守るのはデータではなく「個人の権利利益」

個人情報は、便利なサービスを成り立たせる材料です。通信販売では配送先を使い、会員サービスでは利用履歴をもとに案内を出すことがあります。しかし、目的を知らされないまま使われたり、誤った内容によって不利益を受けたり、漏えいして詐欺に悪用されたりすれば、本人の生活に影響します。

個人情報保護法は、情報を一切使わせない法律ではありません。個人情報の適正で効果的な活用が新しい産業や豊かな生活に役立つことにも配慮しながら、個人の権利利益を守ることを目的としています。保護と活用のどちらか一方だけを選ぶのではなく、利用目的を明らかにし、安全に管理することで両立させる考え方です。

「個人情報」「個人データ」「保有個人データ」は同じではない

法律上の「個人情報」は、生存する個人についての情報で、氏名などによって特定の個人を識別できるものです。その情報だけでは分からなくても、ほかの情報と容易に照合して誰かを特定できるものも含まれます。また、顔認識用の特徴データなど、個人識別符号と呼ばれる符号を含む情報も該当します。生体認証に使うデータは、扱い方によってはこの範囲に入ります。

「個人データ」は、個人情報を検索できるよう体系的にまとめたデータベースなどを構成する個人情報です。「保有個人データ」は、その中でも、事業者が開示や訂正、利用停止などに応じる権限を持つものを指します。似た三つの語を分けるのは、利用目的の通知、安全管理、第三者提供、本人からの請求など、どの規律がどの情報に及ぶかが異なるためです。

さらに、人種、信条、病歴など、取り扱われ方によって不当な差別や偏見などにつながるおそれがある情報は「要配慮個人情報」とされます。法令に基づく場合などの例外を除き、取得にはあらかじめ本人の同意が必要です。

集める前から削除まで事業者の責任は続く

事業者は、個人情報を扱う目的をできる限り具体的に特定します。本人から書面や入力フォームで直接取得するときは、原則としてあらかじめ利用目的を明示します。取得後は、法令上の例外を除いて、その目的に必要な範囲を超えて本人の同意なく利用できません。偽りなど不正な手段で取得することも認められません。

個人データについては、漏えい、滅失、毀損を防ぐために必要で適切な安全管理措置を講じ、取り扱う従業者や委託先を監督します。アクセスできる人を必要な範囲に絞ることは、情報セキュリティの3要素のうち「機密性」を守る対策です。暗号化も有効な手段ですが、目的外利用を防ぐ手続や、正しい情報を保つ運用まで自動的に実現するものではありません。

一定の漏えいなどが起き、個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告と本人への通知が必要です。事故が起きてから対応するだけでなく、情報が不要になったときは遅滞なく消去するよう努めることも含め、取得から利用、保管、廃棄までを通して管理する必要があります。

第三者へ渡すとき「同意が原則」には例外もある

事業者が個人データを第三者へ提供する場合、原則として事前に本人の同意を得ます。ただし、法令に基づく場合や、人の生命・身体・財産を守るために必要で同意を得ることが難しい場合など、法律が定める例外があります。したがって、「同意がなければ、どのような場合も絶対に提供できない」という理解は正確ではありません。

一方、外部の配送会社に発送を委託するなど、利用目的の達成に必要な範囲で個人データの取り扱いを委託する場合、委託先はこの規定でいう「第三者」には当たりません。これは自由に渡してよいという意味ではなく、委託元には委託先を必要かつ適切に監督する義務があります。提供先や受け取った経緯について、記録の作成・確認が必要になる場合もあります。

本人は自分の情報について確かめ、求めることができる

本人は、事業者が持つ保有個人データについて、利用目的の通知や開示を求められます。内容が事実でなければ訂正・追加・削除を、目的外利用や不適正な取得など法律上の要件に当たれば利用停止・消去を請求できます。第三者への提供の停止を請求できる場合もあります。ただし、どの請求も理由を問わず必ず認められるわけではなく、法律が定める要件や例外に沿って判断されます。

まず、サービスのプライバシーポリシーや問い合わせ窓口を確認し、どの情報について何を求めるのかを具体的に伝えることが大切です。事業者には、請求手続を本人が知り得る状態に置き、苦情へ適切かつ迅速に対応するよう努めることが求められます。

名刺一枚も個人情報、公開済みでも対象外にはならない

個人情報は「秘密の情報」だけではありません。ウェブサイトですでに公開されている氏名や所属でも、特定の個人を識別できれば個人情報になり得ます。また、電子データに限られず、紙の名刺や申込書も個人情報です。紙だから法律と無関係になるわけではなく、名刺を氏名順に整理して容易に検索できるようにすれば、個人情報データベース等に当たり得ます。

反対に、個人が特定できない情報がすべて安全とは限りません。複数の情報を組み合わせると誰のことか分かる場合があるからです。公開前には、名前を消したかだけでなく、写真、場所、日時、所属などの組み合わせも確認する必要があります。

なお、個人間で写真や連絡先を扱った問題が、直ちに個人情報保護法違反になるとは限りません。同法が課す義務の対象かという問題と、プライバシーや肖像、相手を尊重する情報モラルの問題は分けて考える必要があります。法律に触れないことは、相手の同意を確かめなくてよいという意味ではありません。