個人情報Q&A ⁽⁸¹⁾

当社は不動産販売業者です。自社が販売した物件が転売された際に、新しい入居者を訪問して、本人から名前を聞いたり、不在の場合には表札から名前を取得しています。これは個人情報保護法上適法ですか？ 御社が新しい入居者を訪問した際、その新しい入居者が御社からの質問に答えたり、アンケートに記入するなどして、任意に御社に対して情報を提供しているのであれば、法律に対する抵触の問題を生じることはありません。もっとも入手した個人情報の利用目的を公表することは必要ですし、書面により取得する場合には、あらかじめ本人に利用目的を明示する必要があります（同法21条２項）。同じ書面への印刷だけが法定の方法ではありません。 個人情報保護法20条では、不正な手段での個人情報の取得が禁止されています。しかし表札からの氏名の取得が不正な手段と評価されることはないでしょう。

株主総会の模様をビデオで撮影する予定です。後ろから撮影するだけなので個人情報保護法上問題は無いでしょうか？ 個人を特定しうる映像情報は個人情報に該当します。株主総会を後ろから撮影する場合、ほとんどの方の顔は写らないでしょうが、質問される方や会社の役員等の顔が撮影されますので、このようなビデオ撮影も「個人情報の取得」として扱うべきでしょう。また株主の質問では、出席番号を言ってから質問させると思われますが、会社側では出席番号から個人の特定が可能ですので、たとえ氏名を言わなかったとしても、出席番号や、その質問内容が個人情報に該当することになるでしょう。 すると、ビデオ撮影にあたっては、事前または事後に、個人情報の利用目的の通知又は公表が必要になります。実際には、「総会議事進行の記録のため」や「防犯のため」といった利用目的を、招集通知に記載したり、会場に張り紙をしたりして、本人に公表するのが便宜な方法でしょう。 顔が映っていない部分でも、出席番号と株主名簿を容易に照合できれば個人情報となります。内部記録のための撮影と、動画を一般公開・配信することは利用態様が異なるため、配信まで予定する場合は利用目的と第三者提供の根拠を別途整理します。

採用活動の際に応募者から提出される履歴書・職務経歴書・エントリーシート等は、収集する前に「個人情報の直接収集に関する同意書」等に署名をもらっておくべきでしょうか？ 個人情報保護法上、個人情報の収集の際の規制は、利用目的の明示と不正取得の禁止が原則として問題になりますが、要配慮個人情報には別の規律があります。個人情報を第三者に提供するというような場合でなければ、通常の個人情報の取得に一律に同意書を要求する制度ではありません。 もっとも採用の際には本人から書面により個人情報を取得することになりますので、かならず事前に利用目的を明示する必要があります。面接の時点では遅いのです。そのため採用案内等に利用目的を掲示するなどして、利用目的が応募者の目に留まる状態にしておく必要があります。 病歴等の要配慮個人情報を取得する場合は、20条２項により原則としてあらかじめ本人の同意が必要です。本人が自発的に記載した書類を提出する等、本人の意思が認められる場面も含めて判断します。採用では業務に必要な範囲に絞り、取得する情報の内容にも注意します。

当社は米国法人ですが、米国で運営しているサーバーで日本人向けのホームページを作成し、日本人から個人情報を収集しています。当社は関連会社に日本法人があるのですが、米国法人から日本法人に、収集した個人情報を提供する場合があります。このような行為は個人情報保護法に抵触しますか。 現在は、法人やサーバーが国外にあるというだけで日本の個人情報保護法の対象外にはなりません。171条は、国内にある者への物品・役務の提供に関連して、その者の個人情報等を外国で扱う場合にも法律を適用します。本人の国籍ではなく、国内にある者への提供に関連する取扱いかが重要です。 この適用範囲に入る米国法人では、利用目的、取得、安全管理、第三者提供等の関連する義務を確認します。米国法人と日本法人は別法人ですので、同じ企業グループというだけで両社間の提供が社内共有になるものではありません。個人データを提供する場合は27条の同意・例外等の根拠を確認します。 受領する日本法人も、個人データの第三者受領について取得経緯等の確認・記録の義務（30条）、適正取得（20条）、利用目的等の義務を確認します。日本法人から米国法人へ提供する場合は、外国にある第三者への提供に関する28条も別途検討します。国外法人を介すれば日本法を回避できるという構成は採れません。

ある通信会社のサービスの営業代行を行っています。申込書の宛名は通信会社になっていますが、当社でも売上などの集計のために、申込み情報をデータベース管理しています。法的に問題は無いですか？ 個人情報保護法20条は「個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。」と規定しています。そのため情報の収集主体の名義を偽ったりすると、この条文に違反することになります。完全にその通信会社の指揮下で活動し、御社独自に情報を収集・保管しないのであればよいのですが、自社名義でも何からの活動をして主体的に個人情報を利用するのであれば、御社の名刺を示すなどして、収集主体を明示しないといけません。同法21条２項では書面で個人情報を入手する場合には予め利用目的を明示しなければならないとされています。通信会社が用意した申込書を修正して利用するのは難しいでしょうから、営業の際に、口頭で、「当社においても御社の情報については売上等の集計のために利用します」と伝えるか、その旨を記載した書面を別に作成してお渡しする必要があるでしょう。 また、通信会社の委託先としてのみ処理する部分と、自社の独立した利用目的で扱う部分を分けます。後者では利用目的の明示に加え、通信会社から自社への個人データ提供等について27条の根拠が必要となる場合があります。