個人情報Q&A ⁽⁸¹⁾

会社で日常的に使っている座席図にはレイアウト図の上に名前や組織名及び電話番号が掲載されています。この座席図やこれを集めたものは個人情報データベース等に該当しますか？ まず判断の前提として各情報が個人情報に該当するかが問題となりますが、ある特定の会社に関する情報であることを前提とすれば、所属組織名、氏名、座席位置が記載されていれば個人の特定が可能ですから個人情報に該当するでしょう。個人情報データベース等への該当性については、この座席図の様に、検索を容易にするための手段が付されていないものの、一方で、各個人情報の一覧性があるものは、判断は微妙になります。もっとも氏名順の索引等がなく、紙のレイアウト図だけであるという前提で、現行法16条１項及びガイドラインに照らすと、該当しないという結論となる可能性が高いでしょう。そしてこの座席表を集めた場合には、個人情報の数は増えますが、検索性は逆に低下することになりますので、個人情報データベース等への該当性はより低くなります。 ただし、電子データで氏名検索ができる座席表や、氏名別の索引・検索機能を備えたものは、個人情報データベース等に該当し得ます。単に座席表を複数集めたという事情だけで決まるものではなく、実際の構成と検索の仕組みで判断します。

当社ではおつきあいのあるお客様に当社の機関誌を送付しています。個人情報保護法上、こういった機関誌を送付する際に、送付先の個人から同意を取得する必要はありますか？ 個人情報保護法上、通常の個人情報では、当初の利用目的を超える利用や個人データの第三者提供を行う場合に、原則として本人同意が必要となります。公表したり、本人に通知したりしているか否かにかかわらず、当初お客様の個人情報を収集した際の御社の目的に機関誌の送付が含まれているのであれば、現在の取扱いについて、機関誌の送付を利用目的として一般に公表すれば、利用目的内の利用ということになるので改めて同意を取得しなくても、今後の機関誌を送付することができます。 これは当初から送付が利用目的に含まれていた場合の説明です。後から利用目的として公表すれば、元々目的外だった利用が当然に適法となるものではありません。送付停止の申出を受けた場合には、現行の利用停止等の請求制度（35条）や本人の意向も踏まえて対応します。

当社では個人情報の利用目的をホームページに掲載しております。この場合、ご本人から利用目的の通知を求められた場合、やはり通知をしないといけないのでしょうか。それともホームページをご覧下さいとお伝えすればよろしいのでしょうか。 個人情報保護法32条２項・３項は例外として、同条１項によって利用目的が明らかになっている場合を除外しています。そのためホームページが誰でもアクセスできる状態であり、利用目的が具体的に把握できる状態になっているのであれば、「ホームページをご覧ください」と回答することで十分でしょう。 本人が該当する利用目的を容易に確認できるよう、一般的なホームページの入口だけでなく、該当ページのURLや項目を具体的に案内することが実務上適切です。ウェブを利用できない本人には、書面や電話で説明する方法も考えられます。

当社には長年収集されてきた個人情報が蓄積されており、これらは当社の資産であると考えています。収集した際の目的は様々ですが、個人情報保護法もこの情報を活用できるように、利用目的を変更したいと考えています。どうすれば変更できますか。 個人情報の利用目的の変更は、変更前の利用目的と合理的な関連性を有する範囲に限られています（個人情報保護法17条２項）。関連性を認めることのできる範囲で変更する場合には、変更後の目的を本人に通知し、又は公表することが必要です（同法21条３項）。もっとも大量の個人情報が蓄積されている場合には、目的を通知することは現実的ではない場合が多いでしょう。関連性を認めることができない利用目的に変更する場合には、本人から個別に同意を得ることが必要です（同法18条１項参照）。大量に蓄積されている個人情報の本人から個別の同意を得るのは、かなりの手間がかかり、余程の工夫がなければ難しい場合が殆どです。このように規制がなかなか厳しくなっていますので、個人情報である情報資産の利用は簡単でない場合が多いでしょう。

当社では個人情報取得の際にいちいち利用目的を通知するのは面倒なので、事前にホームページで公表しておき、個別の通知は省きたいと思っています。可能でしょうか。 個人情報保護法21条１項では、原則としては個人情報の取得後速やかに利用目的の通知又は公表を行うものとされています。ただしあらかじめ公表している場合には、事後の公表又は通知が不要となります。なおどのような方法で公表を行えばいいのかについては法律に定めはありませんが、一般的にはホームページへの掲載は「公表」にあたると考えられています。 なお書面によって個人情報を取得する場合には、必ず予め利用目的を明示することが必要となっていますのでご注意ください。 本人から直接、申込書やウェブフォーム等で取得する場合の事前明示（21条２項）は、一般的な公表とは分けて判断します。プライバシーポリシーがサイトのどこかにあるだけで足りるとは限らず、入力前に利用目的を確認できる表示・導線を用意します。