「個人情報保護法」「マイナンバー法」「プライバシーマーク制度」 実務に関わる「個人情報」の取り扱いについて

「個人情報」の取扱いについての基本ルール

個人情報を取得するときの基本的なルールは、あらかじめ利用目的をできる限り特定する、利用目的の範囲内で個人情報を取り扱う、個人情報は適正な方法で取得する、取得する際には利用目的の通知・公表等を行う、という4つになります。

取得・利用に関するルール

個人情報を取得する際は、どのような目的で個人情報を利用するのかについて、具体的に特定しなければなりません。個人情報の利用目的は、あらかじめ公表するか、本人に知らせる必要があります。
また、取得した個人情報は、特定した利用目的の範囲内で利用する必要があります。特定した利用範囲以外のことに利用する場合は、あらかじめ本人の同意を得なければなりません。

「要配慮個人情報」

要配慮個人情報は、不当な差別、偏見その他の不利益が生じないように取扱いに配慮を要する情報として、法律・政令・規則に定められた情報です。
人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実等のほか、身体障害、知的障害、精神障害等の障害があること、健康診断その他の検査の結果、保健指導、診療・調剤情報、本人を被疑者又は被告人として、逮捕、捜索等の刑事事件に関する手続が行われたこと、本人を非行少年又はその疑いがある者として、保護処分等の少年の保護事件に関する手続が行われたことが該当します。
要配慮個人情報を取得する場合は、利用目的の特定、通知又は公表に加え、あらかじめ本人の同意が必要です。また、要配慮個人情報は、オプトアウトによる第三者提供はできないので注意が必要です。

保管に関するルール

●安全管理措置について

個人情報取扱事業者は、個人データの安全管理のために必要かつ適切な措置を講じなければならないとされています。漏えい等が生じないよう、安全に管理するほか、従業者・委託先にも安全管理を徹底する必要があります。
安全管理措置は、「基本方針の策定」「個人データの取扱いに係る規律の整備」「組織的安全管理措置」「人的安全管理措置」「物理的安全管理措置」「技術的安全管理措置」「外的環境の把握」からなります。それぞれ、具体的には以下のような措置を実施することが求められます。

安全管理措置	条　項	条　文
	法第23条	個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

また、取り扱う個人情報が「個人データ」に該当する場合には、正確で最新の内容に保つことに取り組むほか、個人データの安全性を確保するために、従業者や委託先の監督をしっかりと行うことが求められます。

提供に関するルール

●個人データの第三者提供

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはいけません。
同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければなりません。

第三者提供に係る記録の作成等（法第29条）、第三者提供を受ける際の確認等（法第30条）

第三者から個人データを受領する場合には、個人情報保護委員会規則に基づき、受領者は提供者の氏名やデータの取得経緯等を確認、記録し、一定期間その内容を保存しなければなりません。第三者に個人データを提供する場合も、提供者は受領者の氏名等を記録し、一定期間保存をしなければなりません。

【保存期間】

契約書等の代替手段による方法により記録を作成した場合	最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間
一括して記録を作成する方法により記録を作成した場合	最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間
上記以外の場合	3年

本人からの開示請求等に関するルール

個人情報取扱事業者は、本人から保有個人データ又は第三者提供記録の開示請求を受けたときは、本人に対し、原則として当該保有個人データ又は第三者提供記録を開示しなければならないとされています（法第33条）。
また、個人情報の取扱いに関する苦情等には、適切・迅速に対応するよう努めることが必要です（法第40条）。

• point
  01他の事業者からデータ編集作業のみを委託されて取り扱っているだけの個人情報（＝開示等の権限がないもの）は、対応は不要です。
• point
  02以下の�@〜�Eについて、「本人が知り得る状態」に置く必要があります。
  （例：HP公表、事業所での掲示等。また、それらを行わず、以下の事項に関する問合せに対して遅滞なく答えられるようにしておくことでもOK）
  • �@ 事業者の名称及び住所並びに法人にあっては、
    その代表者の氏名
  • �A 利用目的
  • �B 請求手続
  • �C 苦情申出先
  • �D 加入している認定団体個人情報保護団体の名称・苦情申出先
    （認定個人情報保護団体に加入している場合のみ）
  • �E 保有個人データの安全管理のために講じた措置

仮名加工情報

●仮名加工情報について

仮名加工情報とは、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいいます。利用を内部分析等に限定することを条件に、利用目的の変更の制限等を緩和されます。

匿名加工情報の作成方法の基準は、個人情報保護委員会規則で定められています。
個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表する必要があります。（法第41条第4項）
仮名加工情報の第三者提供は禁止されています。（法第41条第6項、法第42条第1項）
仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合することは禁止されています。（法第41条第7項）
電話、電子メールの送信等のために、仮名加工情報に含まれる連絡先その他の情報を利用することは禁止されています。（法第41条第8項）

匿名加工情報

●匿名加工情報について

匿名加工情報とは、個人情報を本人が特定できないように加工をしたもので、当該個人情報を復元できないようにした情報をいいます。個人情報の取扱いよりも緩やかな規律の下、自由な流通・利活用を促進することを目的に個人情報保護法の改正により新たに導入されました。

匿名加工情報の作成方法の基準は、個人情報保護委員会規則で定められています。
これを最低限の規律とし、民間事業者の自主的なルールの策定が期待されます。 このような基準に則って匿名加工情報を作成した場合は、当該匿名加工情報に含まれる個人に関する情報の項目を公表する義務があります（法第43条第3項）。

匿名加工情報を第三者に提供する場合は、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供方法を公表するとともに、提供する情報が匿名加工情報である旨を明示する必要があります（法第43条第4項）。

罰則について

国は事業者に対して、必要に応じて報告を求めたり立入検査を行うことができます。 また、実態に応じて、指導・助言、勧告・命令を行うことができます。 監督に従わない場合は、罰則が適用される可能性があります。