個人情報Q&A ⁽⁸¹⁾

当方は不動産仲介業者です。知り合いの業者から名簿を取得してＤＭを発送するなどの営業活動を行うことがあるのですが、このような行為は違法でしょうか。 個人情報保護法上、不正な手段による個人情報の取得は禁止されていますが（同法20条）、他業者からの名簿の取得が一概にこの規定に該当するわけではありません。もっとも個人情報の提供については、27条において、提供する側に、事前に本人の同意を取得しなければならないという規制がかけられています。すると、名簿の提供を受ける際に、「本人の同意を得ないで提供されている個人情報である」という認識があるのであれば、不正な取得と判断される可能性があるでしょう。また同意を得ないまま提供された情報を使用してＤＭを発送すれば、本人の側から見れば、不正に提供された情報を御社が使用していることが一目瞭然です。そのため御社の個人情報の使用態様が一般に公表されるなどして社会的な非難を浴びる可能性が高いですから、十分に注意が必要でしょう。 個人データを第三者から受け取る際には、法令上の例外を除き、提供者の氏名・名称、取得経緯等の確認と受領記録の作成・保存が必要です（30条）。利用目的の通知・公表も行います。適法な第三者提供の根拠があるかを確認せず、知り合いからもらったという理由だけで利用しないことが大切です。

当社が所属する企業グループでは人事データベースをイントラネット上で共同で利用しています。各企業はグループ全体の人事データを閲覧できます。各企業が個人情報取扱事業者に該当するかどうかの判断では、このデータベースの件数は算入しますか？ 現在は5,000人の人数基準が廃止されているため、データベース内の人数を各社に算入するかによって適用の有無を決める必要はありません。各社が個人情報データベース等を事業に用いていれば、原則として個人情報取扱事業者です（16条）。 ただし、グループ各社は別法人であるため、人事情報を自由に相互閲覧できるわけではありません。個人データの第三者提供として本人の同意を得る方法（27条１項）、又は共同利用の要件を満たす方法（同条５項３号）等を整理する必要があります。この区別は現在も重要です。 共同利用では、共同利用する旨、データ項目、共同利用者の範囲、利用目的、管理責任者の氏名・名称、住所、法人代表者等の必要事項を、あらかじめ本人に通知するか、容易に知り得る状態に置きます。各社が何の情報を閲覧できるか、権限を必要な者に限定し、委託による集中管理なのか各社の共同利用なのかも実態に即して区別します。

５０００件以上の個人情報のデータベースを保有していると個人情報取扱事業者に該当することになると聞きました。すると電話帳や人名録をもっているとそれだけで個人情報取扱事業者に該当してしまうのでしょうか？ 現在、個人情報取扱事業者に該当するかどうかを5,000人で区切る基準はありません。個人情報データベース等を事業に用いれば、人数にかかわらず原則として対象となります（16条）。 もっとも、施行令４条１項は、不特定多数向けの販売を目的に発行され、一般に購入でき、他の個人情報を加えず本来の用途で利用している情報の集合物を、個人情報データベース等から除外しています。市販の電話帳・住宅地図等は、これらの要件を満たす限り、この除外が問題になります。 旧制度の「氏名・住所・電話番号のみ」という人数算定上の説明とは異なります。購入した人名録でも現行の各要件で判断します。顧客属性を追加して独自の営業台帳にするなど、利用態様を変えたものは、そのまま除外されるとは限りません。

当方は町の酒屋ですが、ご用聞きに回る先の名簿の登録件数が５００件ほどに達しています。当方には個人情報保護法が適用されるのでしょうか。 個人情報保護法の旧5,000人以下の適用除外は2017年５月30日に撤廃されています。現16条は、個人情報データベース等を事業の用に供しているかによって取扱事業者を定めます。 500件程度のご用聞き先名簿でも、容易に検索できるよう整理し、酒屋の営業に用いていれば、原則として個人情報取扱事業者となります。利用目的を特定し、目的に沿った配達・連絡に用い、名簿を紛失させない管理や不要時の消去等を行います。

私の会社にはさまざまな種類の名簿がありますが、大きなものでも収録されている個人情報は１０００人分程度です。個人情報取扱事業者に該当するでしょうか。 個人情報保護法の旧5,000人以下の適用除外は2017年５月30日に撤廃されています。現16条は、個人情報データベース等を事業の用に供しているかによって取扱事業者を定めます。 各名簿が1,000人程度か、名簿全体を合算して何人かにかかわらず、個人情報データベース等を事業に用いる会社は原則として対象となります。名簿を分割すれば法律を免れるという仕組みではありません。名簿ごとの利用目的・保管先・アクセス権限を把握し、必要な管理を行います。