個人情報保護法対策（データ収集）について
個人情報保護法対策は、大きく分けて、
- 個人データを集める際に注意すべきことと、
- 個人データを管理する際に注意すべきこと、
の2つがあります。まず最初にユーザー側から目に付きやすいデータ収集について注意すべき点を取り上げます。（データ管理についてはこちら）
個人情報保護法対策としては、1. に対応して、「プライバシーポリシー（個人情報保護方針）」の策定、2. に対応して、「セキュリティポリシー（安全管理策）」の策定が必要になります。
規制対象となるのは？
「個人情報データベース等」を事業の用に供している者（個人情報取扱事業者）をいいます。ただし、個人情報によって識別される特定の個人の数の合計が過去6か月のいずれの日においても5,000人を超えない場合は対象外となります。
「個人情報データベース等」とは？
- 特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合物をいいます。
- コンピュータを用いなくても、紙で処理した個人情報を一定の規則（ex. 五十音順、年月日順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態においているものも含みます。
「個人情報」とは？
「個人情報」とは、生存する個人に関する情報であって、氏名、性別、生年月日等に限られず、個人の身体、財産、職種、肩書き等の属性に関して、事実、判断、評価を表すすべての情報のこと。
（例）
- 氏名
- 連絡先（住所・電話番号・メールアドレス等）と本人の氏名を組み合わせたもの
※ アンケートで都道府県名だけを入力してもらうなら個人情報にあたらないが、氏名と一緒に入力してもらうと全体として個人情報にあたる - 雇用管理情報
- 個人情報を取得後に当該情報に付加された個人に関する情報
「個人データ」とは？
「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベース等」を構成する「個人情報」のこと。電話帳等のデータは、
- データベース等の全部または一部が他人の作成によるものである、
- その個人情報データベース等を構成する個人情報として、氏名、住所または電話番号のみを含んでいる、
- その個人情報データベース等を事業の用に供するにあたり、新たに個人情報を加え、識別される特定の個人を増やしたり、他の個人情報を付加したりして、個人情報データベース等そのものを変更するようなことをしない、
という条件を満たす場合にのみ個人データから除外されます。
「保有個人データ」とは？
「保有個人データ」とは、「個人データ」のうち、個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止を行うことができる権限を有する個人データのこと。こうした権限を有する者は委託者であって、受託者ではありません。
法施行前の個人データの扱い
法が規制するのは、法施行後のデータの取得行為なので、法施行前の個人データについては適用がありません（ただし、以下を参照）。
法施行後の個人データの扱い
「個人情報」を取得する際には、あらかじめ利用目的を明示しておく必要があります。利用目的は具体的に特定していなければなりません。
（利用目的の例）
- 可
- 「人材派遣業における労働者の選定および労働者（希望者を含む）への連絡のために使用します。」
- 不可
- 「事業活動に用いるため」「提供するサービスの向上のため」では、本人に個人情報が利用される範囲が合理的に予想できないため
（明示の例）
- 申込書・契約書等に個人情報を記載してもらう場合は、利用目的を明記した書面を本人に手渡すか送付する
- ネットワーク上で個人情報をフォームに入力してもらう場合には、本人が送信ボタン等をクリックする前に利用目的が表示された画面を1回程度の操作で見ることができるようにする
「個人データ」を当初の目的以外に利用する場合や、第三者に提供する場合には、別に同意を求めることが必要です。紛争防止のために、同意内容を記録しておく必要があります。
（第三者提供の例）
- 「能力に関する情報等の個人データを派遣先に提供することがあります」
※ 個人データの取扱いに関する業務の全部または一部を委託する場合は、第三者への提供にあたらないが、個人情報取扱事業者に監督義務が課されます。
※ 雇用管理に関する個人データの第三者への提供については、以下の点に留意する（提供時に書面を交わしておくのが望ましい）。
- 提供先において、その従業者に対し当該個人データの取扱を通じて知り得た個人情報を漏らし、または盗用してはならないこととされていること
- 当該個人データの再提供を行うにあたっては、あらかじめ文書をもって事業者の了承を得ること
- 提供先における保管期間を明確にすること
- 利用目的達成後は個人データを返却・破棄・削除すること。また、こうした処理が適切かつ確実になされていることを事業者において確認すること
- 提供先における個人データの複写及び複製（バックアップを除く）を禁止すること
「保有個人データ」の公表・開示
取得した「保有個人データ」については、法施行の前後を問わず、以下の項目について本人に周知（ウェブ画面への掲載、パンフレットの配布など）が必要です。ウェブ画面への掲載の場合は、トップページから1回程度の操作で到達できる場所への掲載が必要です。
- 個人情報取扱事業者の氏名又は名称
- すべての保有個人データの利用目的
- 保有個人データの利用目的の通知及び保有個人データの開示に係る手数料の額（定めた場合に限る）並びに開示等の求めの手続
※ 「開示等の求め」とは、保有個人データの利用目的の通知、保有個人データの開示、保有個人データの内容の訂正、追加又は削除、保有個人データの利用の停止又は消去、保有個人データの第三者への提供の停止の求めをいいます。
※ 定めるべき内容は、
- 開示等の求めの受付先
- 開示等の求めに際して提出すべき書面の様式、受付方法（郵送・FAXなど）
- 開示等の求めをする者が本人またはその代理人であることの確認方法（例：運転免許証やパスポート（のコピー）の提示・郵送、住民票や委任状の提示（代理の場合））
- 手数料を定めるときは手数料の徴収方法
※ 行政機関の情報開示の手数料は300円
- 保有個人データの取扱いに関する苦情及び問い合わせの申出先
罰則
利用目的による制限、適正な取得、利用目的の通知等、第三者提供の制限、保有個人データ事項の公表等、開示、訂正等、利用停止等の規定に違反した場合には、6月以下の懲役または30万円以下の罰金が科されるおそれがあります。
- » 個人情報保護法対策（データ管理編） … 留意すべき点について
- » リフロの個人情報保護法対策へ戻る
個人情報保護法対策の実務のご依頼は
株式会社リーガルフロンティア21 <security@lifr21.com> 担当：生（せい） まで
（専任コンサルタントが個人情報保護法対策や本サービスに関して回答いたします）
フリーダイヤル 0120-098-026
FAX 03-5283-6660（東京）、06-4796-8813（大阪）