個人情報を扱う会社が守るべきルールの土台が個人情報保護法です。用語の定義から取得・利用・保管・提供の場面ごとの義務、そして漏えい時の対応まで、実務のセキュリティ対策とセットで整理しましょう。
紺野 アキ
個人情報保護法ってさ、名前は聞くけど、そもそも『個人情報』ってどこまでが対象なの?
銀城 ナディア 先生
いい入り口ね。
個人情報とは、生きている個人に関する情報で、氏名などから特定の個人を識別できるものを指すのよ。
他の情報と容易に照合して分かる場合も含まれるわ。
灰原 さや
つまり氏名や生年月日そのものだけでなく、単独では分からなくても社内の名簿と照合すれば個人が特定できる情報も対象になるということですね。
薔薇崎 ねむ
亡くなった方の情報はどうなるんですかぁ?
銀城 ナディア 先生
法律上の個人情報は『生存する個人』が対象だから、故人の情報はこの法律の直接の対象外なの。
ただし遺族の個人情報になることもあるから、扱いには配慮が必要よ。
紺野 アキ
指紋とか顔の情報も個人情報になるの?
銀城 ナディア 先生
それらは個人識別符号と呼ばれ、それ単体で個人情報になるわ。
マイナンバーや旅券番号もこれに含まれるのよ。
灰原 さや
さらに、人種・信条・病歴・犯罪歴のように取扱いに特に配慮が必要な情報は要配慮個人情報に分類され、取得には原則として本人の同意が必要です。
薔薇崎 ねむ
会社が個人情報を集めるときのルールは、どんな感じなんですかぁ?
銀城 ナディア 先生
まず取得時は利用目的をできる限り特定して、本人に通知または公表することが必要よ。
そして、その目的の範囲を超えて使ってはいけないの。
灰原 さや
取得した情報は正確かつ最新に保つよう努め、漏えいなどを防ぐために組織的・人的・物理的・技術的の四つの側面から安全管理措置を講じる義務がありますね。
紺野 アキ
集めた情報を他の会社に渡すときは、勝手に渡していいの?
銀城 ナディア 先生
原則ダメよ。
第三者提供には、あらかじめ本人の同意が必要なの。
委託や事業承継、共同利用などは例外扱いだけど、記録を残す義務があるわ。
薔薇崎 ねむ
もし情報が漏れちゃったら、どうすればいいんですかぁ?
銀城 ナディア 先生
一定規模以上や要配慮個人情報が絡む漏えいが起きたときは、個人情報保護委員会への報告と本人への通知が義務づけられているのよ。
灰原 さや
監督官庁である個人情報保護委員会が全体を監視していて、違反があれば勧告や命令を行い、従わない場合は罰則の対象になります。
紺野 アキ
なるほど、集める・使う・守る・渡す・漏らさない、って流れで押さえればいいんだね!
銀城 ナディア 先生
その通りよ。
ライフサイクルの各段階に義務がある、と覚えておくと試験でも実務でも役立つわ。
確認クイズ
個人情報保護法における「要配慮個人情報」に該当するものはどれか。
- 氏名と会社名の組み合わせ
- 本人の病歴
- 自宅の郵便番号
- 業務用メールアドレス
こたえを見る
正解: 2. 本人の病歴
正解は「本人の病歴」。要配慮個人情報とは、人種・信条・社会的身分・病歴・犯罪歴・犯罪被害の事実など、不当な差別や偏見が生じないよう特に配慮を要する個人情報を指し、取得には原則本人同意が必要。氏名と会社名、郵便番号、業務用メールアドレスは通常の個人情報や識別に用いる情報ではあっても、要配慮個人情報には該当しない。
