個人情報について Vol.11

今回は「本人が容易に知り得る状態」についていです。

法第２３条第２項
個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
法第２３条第４項第３号
次に掲げる場合において、当該個人データの提供を受ける者は、前３項の規定の適用については、第三者に該当しないものとする。
３ 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称につい て、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
その他法第２３条第３項等に記述がある。

「本人が容易に知り得る状態」とは、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態に置いていることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

特に雇用管理情報は、機微に触れる情報を含み、第三者に容易に提供しないことを前提に収集されている可能性が高いことから、本人が定期的に閲覧すると想定されるウェブサイトへの継続的な掲載、事業所内において広く頒布されている刊行物における定期的な掲載等により、本人が確実に知り得ると想定される状態に置くものとする。

【本人が容易に知り得る状態に該当する事例】
事例１）ウェブ画面中のトップページから１回程度の操作で到達できる場所への掲載等が継続的に行われていること。

事例２）事務所の窓口等への掲示、備付け等が継続的に行われていること。

事例３）広く頒布されている定期刊行物への定期的掲載を行っていること。

事例４）電子商取引において、商品を紹介するウェブ画面にリンク先を継続的に掲示すること。

本文と事例で理解されやすい。

個人情報について Vol.10

今回は「本人の同意」についてです。

法第１６条第１項
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

法第２３条第１項
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
１ 法令に基づく場合
２ 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
３ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって本人の同意を得ることが困難であるとき。
４ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
その他、法第１６条第２項・第３項第２号～第４号等に記述がある。

「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提。）。

また「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、子どもが判断能力を有していないなどの場合は、法定代理人等から同意を得る必要がある。

【本人の同意を得ている事例】
事例１）同意する旨を本人から口頭又は書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。）で確認すること。

事例２）本人が署名又は記名押印した同意する旨の申込書等文書を受領し確認すること。

事例３）本人からの同意する旨のメールを受信すること。

事例４）本人による同意する旨の確認欄へのチェック

事例５）本人による同意する旨のウェブ画面上のボタンのクリック

事例６）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力

条文通りで、事例を参照するとよくわかります。
同意を得ていないと責任が問われます。

個人情報について Vol.09

今回は、「本人に対し、その利用目的を明示」についてです。

法第１８条第２項
個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

「本人に対し、その利用目的を明示」とは、
本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

【利用目的の明示に該当する事例】
事例１）
利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付すること（契約約款又は利用条件等の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。）中に利用目的条項を記載する場合は、
例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記述する等本人が実際に利用目的を目にできるよう留意する必要がある。）

事例２）ネットワーク上においては、本人がアクセスした自社のウェブ画面上、又は本人の端末装置上にその利用目的を明記すること
（ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に１回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目にとまるようその配置に留意する必要がある。）
　→Web上では利用目的に関するページがクリックできていれば、よいということになる。

個人情報について Vol.08

今回は「公表」についてです。

個人情報の保護に関する法律　第１８条第１項

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

*****************************************
その他、法第１８条第３項・第４項第１号～第３号等に記述がある。

「公表」とは、広く一般に自己の意思を知らせること（国民一般その他不特定多数の人々が知ることができるように発表すること）をいう。ただし、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
特に雇用管理情報は、機微に触れる情報を含むため、事業者は、自らの置かれた状況に応じ、労働者等に内容が確実に伝わる媒体を選択する等の配慮を行うものとする。

【公表に該当する事例】

事例１）自社のウェブ画面中のトップページから１回程度の操作で到達できる場所への掲載、自社の店舗・事務所内におけるポスター等の掲示、パンフレット等の備置き・配布等
事例２）店舗販売においては、店舗の見やすい場所への掲示によること。
事例３）通信販売においては、通信販売用のパンフレット等への記載によること。

個人情報について Vol.07

今回は「本人」関連についてです。

個人情報の保護に関する法律施行

個人情報の保護に関する法律　第２条第６項関連
法第２条第６項

この法律において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

法第１８条第１項

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

*****************************************
その他、法第１８条第３項・第４項第１号～第３号等に記述がある。
「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

【本人への通知に該当する事例】

事例１）面談においては、口頭又はちらし等の文書を渡すこと。
事例２）電話においては、口頭又は自動応答装置等で知らせること。
事例３）隔地者間においては、電子メール、ファックス等により送信すること、又は文書を郵便等で送付すること。
事例４）電話勧誘販売において、勧誘の電話において口頭の方法によること。
事例５）電子商取引において、取引の確認を行うための自動応答の電子メールに記載して送信すること。

個人情報について Vol.06

今回は「個人情報取扱事業者」についてです。




個人情報の保護に関する法律　第２条第３項

この法律において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
１国の機関
２地方公共団体
３独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号）第２条第１項に規定する独立行政法人等をいう。以下同じ。）
４地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第２条第１項に規定する地方独立行政法人をいう。以下同じ。）
５その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者

個人情報の保護に関する法律施行令　第２条

法第２条第３項第５号の政令で定める者は、その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数（当該個人情報データベース等の全部又は一部が他人の作成に係る個人情報データベース等であって、次の各号のいずれかに該当するものを編集し、又は加工することなくその事業の用に供するときは、当該個人情報データベース等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）の合計が過去６月以内のいずれの日においても５０００を超えない者とする。
１個人情報として次に掲げるもののみが含まれるもの

イ氏名
ロ住所又は居所（地図上又は電子計算機の映像面上において住所又は居所の所在の場所を示す表示を含む。）
ハ電話番号

２不特定かつ多数の者に販売することを目的として発行され、かつ、不特定かつ多数の者により随時に購入することができるもの又はできたもの

*****************************************
「個人情報取扱事業者」とは、国の機関、地方公共団体、独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号）で定める独立行政法人等、地方独立行政法人法（平成１５年法律第１１８号）で定める地方独立行政法人並びにその取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ない者を除いた、個人情報データベース等を事業の用に供している者をいう。
ここでいう「取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ない者」とは、政令第２条では、その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６か月以内のいずれの日においても５０００人を超えない者とする。５０００人を超えるか否かは、当該事業者の管理するすべての個人情報データベース等を構成する個人情報によって識別される特定の個人の数の総和により判断する。ただし、同一個人の重複分は除くものとする。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ一般社会通念上事業と認められるものをいい、営利事業のみを対象とするものではない。
法人格のない、権利能力のない社団（任意団体）又は個人であっても個人情報取扱事業者に該当し得る。

※「特定の個人の数」について個人情報データベース等が、以下の要件のすべてに該当する場合は、その個人情報データベース等を構成する個人情報によって識別される特定の個人の数は、上記の「特定の個人の数」には算入しない。

• 個人情報データベース等の全部又は一部が他人の作成によるものであること。
• 氏名、住所・居所、電話番号のみが掲載された個人情報データベース等（例えば、電話帳やカーナビゲーション）であること、又は、不特定かつ多数の者に販売することを目的として発行され、かつ、不特定かつ多数の者により随時に購入することができる又はできた個人情報データベース等（例えば、自治体職員録、弁護士会名簿等）であること。
• 事業者自らが、その個人情報データベース等を事業の用に供するに当たり、新たに個人情報を加えることで特定の個人を増やしたり、他の個人情報を付加したりして、個人情報データベース等そのものを編集・加工していないこと。

【特定の個人の数に算入しない事例】

事例１）電話会社から提供された電話帳及び市販の電話帳CD-ROM等に掲載されている氏名及び電話番号
事例２）市販のカーナビゲーションシステム等のナビゲーションシステムに格納されている氏名、住所又は居所の所在場所を示すデータ（ナビゲーションシステム等が当初から備えている機能を用いて、運行経路等新たな情報等を記録する場合があったとしても、「特定の個人の数」には算入しないものとする。）
事例３）氏名又は住所から検索できるよう体系的に構成された、市販の住所地図上の氏名及び住所又は居所の所在場所を示す情報

【事業の用に供しないため特定の個人の数に算入しない事例】

事例）倉庫業、データセンター（ハウジング、ホスティング）等の事業において、当該情報が個人情報に該当するかどうかを認識することなく預かっている場合に、その情報中に含まれる個人情報（ただし、委託元の指示等によって個人情報を含む情報と認識できる場合は算入する。）

【個人情報取扱事業者に該当する事例】

事例）電子媒体及び紙媒体（以下「媒体」という。）の個人情報データベース等を構成する個人情報によって識別される特定の個人の数の総和が５０００人を超えている事業者

個人情報について Vol.05

今回は保有個人データについてです。

情報の保護に関する法律　第２条第５項

この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は１年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。

個人情報の保護に関する法律施行令　第３条

法第２条第５項の政令で定めるものは、次に掲げるものとする。
１当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
２当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
３当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
４当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

個人情報の保護に関する法律施行令　第４条

法第２条第５項の政令で定める期間は、６月とする。

***********************************************************
6か月を超えて利用予定の個人情報は、取得直後でも保有個人データに該当し、保有個人データにに対する義務が発生します。







「保有個人データ」とは、個人情報取扱事業者が、本人又はその代理人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止のすべてに応じることができる権限を有する「個人データ」をいう。

個人情報取扱事業者が個人データを受託処理している場合で、その個人データについて、何ら取決めがなく、自らの判断では本人に開示等をすることができないときは、本人に開示等の権限を有しているのは委託元であって、委託先ではない。

ただし、次の①又は②の場合は、「保有個人データ」ではない。
①その存否が明らかになることにより、公益その他の利益が害されるもの。
②６か月以内に消去する（更新することは除く。）こととなるもの。

「その存否が明らかになることにより、公益その他の利益が害されるもの」とは、
以下の場合を指す。
①その個人データの存否が明らかになることで、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。

事例）家庭内暴力、児童虐待の被害者の支援団体が、加害者（配偶者又は親権者）及び被害者(配偶者又は子)を本人とする個人データを持っている場合

②その個人データの存否が明らかになることで、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。

事例１）いわゆる総会屋等による不当要求被害を防止するため、事業者が総会屋等を本人とする個人データを持っている場合
事例２）いわゆる不審者、悪質なクレーマー等からの不当要求被害を防止するため、当該行為を繰り返す者を本人とする個人データを保有している場合

③その個人データの存否が明らかになることで、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの。

事例１）製造業者、情報サービス事業者等が、防衛に関連する兵器・設備・機器・ソフトウェア等の設計、開発担当者名が記録された個人データを保有している場合
事例２）要人の訪問先やその警備会社が、当該要人を本人とする行動予定や記録等を保有している場合

④その個人データの存否が明らかになることで、犯罪の予防、鎮圧又は捜査その他の公共の安全
と秩序の維持に支障が及ぶおそれがあるもの。

事例１）警察からの捜査関係事項照会や捜索差押令状の対象となった事業者がその対応の過程で捜査対象者又は被疑者を本人とする個人データを保有している場合
事例２）犯罪収益との関係が疑わしい取引（以下「疑わしい取引」という。）の届出の対象情報

個人情報について Vol.04

監視カメラの映像について

下記は個人情報保護法の目的が消費庁の説明文です。

監視カメラで撮影された映像も、それによって特定の個人が識別できる場合は「個人情報」に該当します。

しかしながら、そのような映像の記録が「個人情報データベース等」に該当するためには、当該映像記録が、録画された特定の個人をコンピュータを使って検索できるように体系的に構成されているか、または録画された個人の映像を一定の規則にしたがって整理することにより個人情報を容易に検索できるように体系的に構成されている必要があります。

監視カメラの映像の記録を、そのような個人情報の検索性を備えた形で保存することは一般的ではないと考えられます。

映像自体が個人情報ですから、それを画像の情報を検索しやすくすれば個人情報データベース等に該当することになります。
取り扱いは気をつけましょう。

個人情報について Vol.03

今回は個人情報データベース等についてです。

 「個人情報データベース等」とは、個人情報を含む情報の集合物のうち、以下の２つを指します。

(1)　コンピュータを用いて特定の個人情報を検索することができるように体系的に構成されたもの（法第２条第２項第１号）
(2)　(1)以外のもので、個人情報を一定の規則に従って整理することで個人情報を容易に検索することができるように体系的に構成され、さらに目次や索引など個人情報の検索を容易にするためのものを有しているもの（個人情報の保護に関する法律施行令第１条）

　すなわち、コンピュータで処理されたデータベースだけでなく、紙に記録されたものであっても、(2)の条件を満たすものは、「個人情報データベース等」に該当します。

整理をしないことや、検索するのが難しい場合(他人が容易にできない)は該当いたしません。
ノートに名前を書いて整理をすると、対象になりますので要注意です。

個人情報について Vol.02

個人情報保護法で保護される個人情報についてです。
「個人情報」を詳細に見てみましょう。

•  「個人に関する情報」（法第２条第１項）とは、氏名、性別、生年月日、職業、家族関係などの事実に係る情報のみではなく、個人の判断・評価に関する情報も含め、個人と関連付けられる全ての情報を意味します。
• 個人の氏名等を含んだリストがあり、その１項目としてメールアドレスが含まれている場合、リストは全体として、また、メールアドレスはその一部として、個人情報に該当します。
  また、メールアドレスのみであって、ユーザー名及びドメイン名から特定の個人を識別することができる場合、そのメールアドレスは、それ自体が単独で、個人情報に該当します。
  一方、記号や文字がランダムに並べられているものなど、特定の個人を識別することができない場合には、別に取り扱う名簿などとのマッチングにより個人を特定することができない限り、個人情報には該当しません。
• 個人情報保護法は、「個人情報」を生存する個人に関する情報に限っており、死者に関する情報については保護の対象とはなりません。
  ただし、死者に関する情報が、同時に生存する遺族などに関する情報である場合（例：死者の家族関係に関する情報は、死者に関する情報であると同時に、生存する遺族に関する情報である場合がある）には、その遺族などに関する「個人情報」となります。
• 法人名等、法人その他の団体の情報は、「個人情報」に該当しません。ただし、法人の情報の中に、役員の氏名などの個人に関する情報が含まれている場合には、その部分については、「個人情報」に該当します。
• 映像や音声であっても、それによって特定の個人が識別できる場合には、「個人情報」に該当します。
• 顧客情報だけではなく、従業員に関する情報も、「個人情報」に該当します。
• 従業員番号によって特定の個人が識別できるのであれば、「個人情報」に該当します。また、従業員番号それ自体によっては特定の個人が識別できない場合でも、別に管理する名簿などと事業者が容易に照合することができるのであれば、その事業者にとっては「個人情報」に該当します。学籍番号やパソコンIDなども同様です。
• 公知の情報であっても、その利用目的や他の個人情報との照合など取扱いの態様によっては個人の権利利益の侵害につながるおそれがあることから、個人情報保護法では、既に公表されている情報も他の個人情報と区別せず、保護の対象としています。

個人が特定されるものは個人情報に該当するということになります。

個人情報について Vol.01

個人情報については個人情報保護法の規定があります。
と言って法律用語の集団、一般人にとって個人情報の取り扱いは気になりますね。

では個人情報は何でしょう？
下記は個人情報保護法の目的が消費庁の説明文です。

個人情報保護法は、個人情報取扱事業者が個人情報の適正な取扱いのルールを遵守することにより、プライバシーを含む個人の権利利益の侵害を未然に防止することを狙いとしています。したがって、個人情報の取扱いとは関係のないプライバシーの問題などは、この法律の対象とはなりません。プライバシー侵害などが実際に発生した後の個人の権利利益の救済については、従来どおり、民法上の不法行為や刑法上の名誉毀損罪などによって図られることになります。

個人情報より範囲の広いプライバシーは個人情報保護法では保護されておりませんし、個人情報に関係のないプライバシーに問題が生じた場合は、民法と刑法とで保護されますが、これを証明するのが大変です。お金がかかかります。。。

個人情報保護法における用語にある
  「個人情報」、「個人データ」、「保有個人データ」とは何でしょう？
下記は消費庁の説明文です。

　 「個人情報」とは、生存する個人に関する情報であって、その情報に含まれる氏名、生年月日その他の記述等により、特定の個人を識別することができるものをいいます。その情報自体によって特定の個人を識別できるもののほか、他の情報と容易に照合することができ、それによって特定の個人が識別できるものも含みます（法第２条第１項）。
 　 「個人データ」とは、「個人情報データベース等」（＝個人情報を含む情報の集合物で、特定の個人情報を電子計算機を用いて検索できるように体系的に構成したもの又はこれに準ずるもの（法第２条第２項）。
 　 「保有個人データ」とは、個人情報取扱事業者が開示等の権限を有する個人データで、その存否が明らかになることにより公益その他の利益が害されるもの又は６か月以内に消去することになるもの以外のものをいいます（法第２条第５項）。 

 ここから理解するのは難しいと思います。
簡単に言えば、検索しやすいように個人情報を並べて、検索をすれば個人情報が見つかるといういうものが該当します。
個人の年賀状ソフトなどの住所録のようなものです。
ただし、この法文から詳細なことはうかがえませんので、後日、細かく見てみましょう。