個人情報保護法の改正

マイナンバーをはじめとした個人情報は、今でこそ誰もがその取扱いには様々な注意を払っていますが、平成15年に個人情報保護法が施行されてから現在に至るまで14年間でＩＴ分野が大幅な進歩を遂げたことにより、法律制定時には想定していなかった問題が出てくるようになりました。

近年ではいわゆる"ビッグデータ"の活用にも注目が集まり、個人情報の重要性は年々増すばかりです。

このような状況に鑑み、個人情報の保護を図りつつもビッグデータを活用できるよう、改正個人情報保護法が平成29年5月30日に施行されました。

改正によって

 個人情報の定義に変更があり、

 個人識別符号の定義が追加され、

 要配慮個人情報が新たに規定されました。

この三つについて詳しく紹介します。

 個人情報の定義の変更

改正前の法律では個人情報とは以下のように定義されていました。

『個人情報とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの(中略)をいう。 』

改正法では、従来の条文に加えて『当該情報に含まれる氏名、生年月日その他の記述等』をより深く掘り下げ、以下の定義を追加しました。

『文書、図画若しくは電磁的記録(中略)に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項』

 具体例

分かりやすく個人情報保護委員会が発表しているガイドラインを基に例示を見ると、個人情報には次のようなものが含まれます。

・本人の氏名

・生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報

・防犯カメラに記録された情報等本人が判別できる映像情報

・本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報

・特定の個人を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example社に所属するコジンイチロウのメールアドレスであることが分かるような場合等）

・個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。）

・官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームページ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報 

 個人識別符号の定義が追加

「個人識別符号が含まれるもの」という以下の定義も追加され、個人情報に含まれることとなりました。
『特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの』
『利用者ごとに異なるものとなるように役務及び商品の提供又は書類に関して割り当てられる符号』

 具体例

・ＤＮＡの塩基配列

・顔の骨格、目/鼻/口の位置及び形状

・指紋、掌紋

・パスポートの番号

・基礎年金番号

・運転免許証の番号

・マイナンバー

・健康保険証の番号

 要配慮個人情報が新たに規定

新たに規定された「要配慮個人情報」は、
『本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。』
と定義されており、利用目的を明らかにしたうえで本人の同意を得なければ情報の取得ができません。

 具体例

・人種、信条、社会的身分(アイデンティティーに関する情報)

・病歴、身体障害/知的障害/精神障害の有無(身体に関する情報)

・犯罪、犯罪被害の経歴(犯罪に関する情報)

以上をざっくりまとめると、従来より「個人情報とは何か？」が明確に定義され、その範囲がやや拡がりました。
そのため、取扱いに関する注意点も増加しています。

個人情報を取り扱うタイミングは、概ね以下の５つに分類できます。

 取得     利用     保管     他人に渡す     本人から開示請求

それでは、各タイミング毎に気を付けるべきポイントをまとめていきます。

 個人情報を取得する際のポイント

 正しい取得

条文には『偽りその他不正の手段により個人情報を取得してはならない。』とあります。

当たり前ですが、盗撮・盗聴等の不正手段によって個人情報を取得することはもちろんダメです。

また、前回のまとめにサラッと記載しましたが、「要配慮個人情報」を取得する際は、利用目的を特定し、予め本人の同意を得る必要があります。

本人に聞きづらいからと言って他人にコッソリ教えてもらうのはダメです！

ただし、法令に基づいて取得する場合などは本人の同意なしに取得することもできます。

例えば、職場で実施した従業員の健康診断の結果などが該当します。

 利用目的は明確に！

条文には『個人情報を取り扱うに当たっては、その利用の目的をできる限り特定しなければならない。』とあります。

「できる限り」というのは個人情報保護委員会のガイドラインに載っています。

『利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい』

具体例を見てみましょう。

 具体例

良い例：○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。

悪い例：事業活動に用いるため。マーケティング活動に用いるため。お客様のサービスの向上に用いるため。

良い例に比べて悪い例は、捉え方によってどうとでもなりそうな決め方をしていますよね。曖昧な表現は避けて明確にしましょう。

 利用目的は通知か公表が必須！

条文には『個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。』とあります。

ただし、利用目的を公表している場合でも、直接本人から契約等で個人情報を取得する場合は、利用目的を明示しなければなりません。

利用目的に不満があれば個人情報を提供しないという選択肢をちゃんと本人に提示しなさい、という趣旨ですね。

 個人情報を利用する

条文には『あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。』とあります。

ただし、法令に基づく場合や人の生命・財産の保護に必要な場合には、例外的に認められることもあります。

 具体例

・警察の捜査や裁判官の発する令状に基づく捜査に協力する場合

・税務調査に対応する場合 (当税理士事務所的にはココかなり重要です！)

・弁護士会からの照会に対応する場合

・急病人の血液型や家族の連絡先を医療機関に提供する場合

・大規模災害や事故等の緊急時に被災者/負傷者情報を家族や行政機関に提供する場合

・事業者間で反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、所謂"ブラックリスト"を共有する場合

・製品のリコールに伴い、販売事業者等が製造事業者に対して購入者等の情報を提供する場合

・児童虐待のおそれのある家族情報を児童相談所・警察・学校・病院等が共有する必要がある場合

・一般統計調査等に回答する場合

妥当ではありますが、以外と色々な場面で例外的に目的外利用が認められていますね。

 利用目的の変更

目的を明示して取得した個人情報ですが、もし、それ以外の目的で使いたくなった場合はどうすれば良いでしょうか？

この場合、原則として本人の同意が必要になります。

ただし、『変更前の利用目的と関連性を有すると合理的に認められる範囲』であれば、変更された目的を本人に通知または公表すれば、本人の同意は不要です。

ここで言う『合理的に認められる範囲』というのは、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断されます。

 具体例

許容される例：「商品案内等を郵送」→「商品案内等をメール送付」

認められない例：「アンケート集計に利用」→「商品案内等の郵送に利用」

上記具体例は金融庁から発表されているガイドラインに記載されていますが、上記例から分かる通り、変更の範囲は極めて限定的にしか認められないと考えるべきです。

また、目的の変更に同意が不要でも、変更された目的は本人に通知または公表する必要がありますので注意が必要です。

 保管する際のポイント

保管についてまとめる前に必要な知識として

・個人情報
・個人情報データベース
・個人データ
・保有個人データ

という４つの用語を条文を引用してご紹介します。

・個人情報とは・・・『生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの』

・個人情報データベースとは・・・『個人情報を含む情報の集合物であって、特定の個人情報を検索することができるように体系的に構成したもの』

・個人データとは・・・『個人情報データベース等を構成する個人情報』

・保有個人データとは・・・『個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は６か月以内に消去することとなるもの以外のもの』

具体例として名刺で考えてみましょう。

私が誰かから頂いた名刺は氏名・連絡先が記載されていますから「個人情報」です。

何人もの人から頂いた名刺を集めて顧客名簿を作ったら、それが「個人情報データベース」です。

「個人情報データベース」に登録されている個々の情報が「個人データ」です。

そして、自社内で継続的に管理している顧客名簿が「保有個人データ」です。

１枚の名刺は「個人情報」です。それを１万枚集めてもまだ「個人情報」のカタマリに過ぎません。

名刺をあいうえお順に並べたりパソコンで名簿にしたり、"特定の個人情報を検索することができる"ようにした瞬間から、「個人データ」になり、「個人情報データベース」になります。

そして自分で追加・訂正・削除等の編集権限のある「個人データ」を継続して保有すると「保有個人データ」になります。

「保有個人データ」はほとんどの場合「個人データ」とイコールですが、イコールではない例として、６か月以内に削除することが決まっているアンケート用紙に書いてもらった連絡先や、外部から委託を受けて作成した個人情報のデータベース(＝内容に関する権限が委託者にあり、受託者には権限がない場合)がこれに該当します。

つまり、保有個人データは個人データに含まれ、個人データは個人情報に含まれます。
"個人情報⊇個人データ⊇保有個人データ"となり、下の画像のようになります。