個人情報Q&A ⁽⁸¹⁾

個人情報保護法が施行される前に入手した個人情報を利用して顧客に年賀状やイベント案内を送付しています。今後も継続したいと考えていますが、法律施行に伴い、何か対策を行う必要はありますか？ 個人情報保護法が施行される前に入手していた個人情報については、入手当時の利用目的に年賀状やイベント案内の送付が含まれていたのであれば、個人情報保護法の施行後も、引き続き利用することができます。ただし会社としてその個人情報の利用目的を特定する作業を行わないこと（同法17条１項）、特定された利用目的を公表しないこと（同法21条１項）は、個人情報保護法に違反することになりますのでご注意ください。 法律施行前に取得したというだけで現在の義務がなくなるわけではありません。現在行っている利用が当初の目的の範囲内かを確認し、安全管理や第三者提供、利用停止等の請求にも現行法に沿って対応します。

写真の取扱：当社では社内報を発行していますが、その中でお客様に登場していただくことがあり、写真や氏名を記載しています。法律上問題はありませんか？ 個人情報保護法上の規制及びプライバシー権の侵害とならないかが一応問題となります。しかしながら、どちらの場合も本人の同意がある場合には、同意の範囲内において問題が発生することはありません。実務上重要なのは、その同意が法律上有効な同意といえるだけの条件を満たすために、同意を得るにあたっては、そのお客様が登場するページのゲラ等をきちんとご確認いただくこと、その機関誌の頒布の範囲、部数、期間を事前にお伝えすることが重要です。 写真を撮った著作権者から、機関誌への複製や配布等の許諾を得ているかも確認します。本人の肖像・個人情報に関する同意と、写真の著作権の許諾は別です。紙の社内報の同意を得た場合でも、一般公開のウェブ版やSNSへの再掲載がその範囲に含まれるかを確認します。

いわゆる「名簿屋」から名簿を売って欲しいと頼まれました。結構な額を提示されましたが売るとやはり違法でしょうか。 個人情報取扱事業者はあらかじめ本人の同意を得ない場合には個人データを第三者に提供することは原則としてできません（個人情報保護法27条１項）。また個人情報取扱事業者に該当しないとしても、名簿の売買は、昨今の情報倫理上・個人情報保護意識からは許されるものではなく、またプライバシー権の侵害となって民事的な損害賠償の対象となる可能性がありますので厳に慎むべきです。 2017年５月30日以降、5,000人以下という規模を理由とする適用除外はありません。第三者提供の例外や適法なオプトアウトの制度もありますが、要配慮個人情報、不正取得された個人データ等にはオプトアウトを使えず、委員会への届出等も必要です。売却前に取得経緯・利用目的・同意と提供記録の要否を確認します。

企業から社員の日常の健康状態の管理を請け負っている企業です。社員本人から当社が保有している情報の開示を求められた場合、これに応じる必要はありますか。 開示の求めを拒めるのは個人情報保護法上、一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合 二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合 三 他の法令に違反することとなる場合です。本人の健康状態の開示が一に該当する可能性はかなり低いでしょう。御社の業務が社員に秘匿されて初めて本来の目的を達成しうるものであれば二に該当する可能性はあります。しかし一般的には本人の健康状態を秘匿しないと目的を達成できないというのはまれなケースでしょう。そして一般の企業ではこういった情報の守秘義務を定める法律は見あたりません。そのため、三にも該当しないでしょう。 結果、本人からの開示の求めには応じなければならないと思われます。 まず、そのデータについて御社が開示・訂正・利用停止等を行う権限を有し、「保有個人データ」に該当するかを確認します（16条４項）。委託元だけがその権限を持つなら、御社への請求を委託元の窓口につなぐ取扱い等を整理します。開示の例外は現33条２項であり、原則として本人が請求した電磁的記録等の方法による開示に対応します。

当社では個人情報保護法へのコンプライアンス体制を強化しようと考えています。その際に、何か指針になるようなものはありますか。 一般的な事業者がまず参照する資料は、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」と同委員会のQ&Aです。利用目的、取得、第三者提供、安全管理、本人の請求への対応等を扱っています。旧経済産業分野ガイドラインや旧雇用管理指針だけを現行制度の基準とするのは適切ではありません。 金融、医療・介護等には分野別のガイドラインもあるため、該当分野の資料を併せて確認します。個人番号を扱うときには、番号法と特定個人情報のガイドラインも別に確認します。これらの資料もあらゆる個別課題を解決するものではありませんので、具体的な取扱いに即して規程・契約・手順を整えます。