個人情報Q&A ⁽⁸¹⁾

当社では、営業社員が営業に回った先で集めてくる名刺については、すべて各個人の管理に任せており、データベース化もしておりません。この名刺に記載された個人情報は、個人情報取扱い事業者であるか否かを判断する際に算入されますか？ まず名刺が「個人情報」に該当するか否かという問題については、通常名刺に記載されている氏名、勤務先等の情報があれば、特定の個人を識別できますので、個人情報に該当すると言うべきです。 現在は5,000人という適用基準はありません。個人情報データベース等を事業に用いているかによって判断します。単に箱に無秩序に入れた紙の名刺と、50音順・会社別のファイルや名刺管理アプリで容易に検索できるものは区別します。後者は個人情報データベース等に該当し得ます。ただし名刺の集積は得意先情報でもあり、特定した上での秘密管理がされていなければ、もし盗用されたとしても不正競争防止法上の保護を受けることができませんので、そちらの問題の方が大きいでしょう。

ある雑誌で「人数は延べで計算するので、500名の名簿が10年分あれば5000名となり、個人情報取扱事業者となる」と書かれていました。これは本当でしょうか？ 個人情報保護法の旧5,000人以下の適用除外は2017年５月30日に撤廃されています。現16条は、個人情報データベース等を事業の用に供しているかによって取扱事業者を定めます。 同一人の情報を延べ人数として足すという元の雑誌の説明は、旧5,000人基準の当時でも本稿が指摘する問題があります。現在は名寄せした人数が5,000人に達するかを適用要件として計算する必要自体がありません。10年分の名簿については、利用目的、保存の必要性、正確性と削除時期を整理することが大切です。

当社は派遣業を行っておりますが、特定のスタッフが複数の現場に出ると、現場毎にスタッフのリストを作るため、その特定のスタッフが記載されたリストが複数作成されます。個人情報取扱事業者に該当するか否かを判断する際、このようなスタッフについては、１人として数えますか、それともリストの数だけ数えますか。 個人情報保護法の旧5,000人以下の適用除外は2017年５月30日に撤廃されています。現16条は、個人情報データベース等を事業の用に供しているかによって取扱事業者を定めます。 同じ派遣スタッフが複数の現場リストに掲載されていても、その重複人数を適用判定のため数える必要はありません。現在は人数基準がないためです。各現場への提供は、社内共有か別法人への提供か、目的に必要な項目・閲覧者に絞られているかを確認します。

個人情報取扱事業者に該当するかどうか、保有情報件数で判定するにあたり、受託業務で受け取っている個人情報の数は算入しないといけませんか。 個人情報保護法の旧5,000人以下の適用除外は2017年５月30日に撤廃されています。現16条は、個人情報データベース等を事業の用に供しているかによって取扱事業者を定めます。 受託業務で預かった名簿も、個人情報データベース等を事業に用いている場合には、受託者自身の安全管理等の義務の対象となります。委託元のデータなので適用対象外という制度ではありません。旧制度の氏名・住所・電話番号だけという人数算定上の除外と、現施行令４条の市販電話帳等の除外は区別します。受託した顧客名簿が３項目だけであることから、そのまま管理義務を免れるわけではありません。

当社は情報化が遅れており、顧客の情報は、一人１枚の紙を使用して記録されています。これを五十音順に並べた上でファイリングして管理しています。このような管理方法を取っている場合、個人情報データベース等を保有しているといえますか。 いわゆる電子データベースでなくても、集積された個人情報に、体系性・検索性が認められれば、個人情報保護法に言う「個人情報データベース等」に該当します。したがって、目的の情報が簡単に見つけられるように構成してあるファイルは、個人情報データベースに該当するでしょう。