リサーチ・センター審理情報〔No.22〕

個人情報保護法下の監査業務の実施に当たって
平 成 17年 ３ 月 11日
日本公認会計士協会
平成17年４月１日から「個人情報の保護に関する法律」（平成15年法律第57号。以下「個人情報保護法」という。【参考】「１．個人情報保護法関連条文について」参照）が全面施行される。
これに伴い、公認会計士又は監査法人が行う公認会計士法第２条第１項の業務（以下「監査業務」という。）に何らかの支障が生じるのではないかとの照会が寄せられている。すな
わち、被監査会社が個人情報保護法第２条第３項に規定する個人情報取扱事業者に該当する場合、監査業務を行う公認会計士又は監査法人（以下「監査人」という。）が確認等の監査手続を実施するに際し、当該被監査会社が同法第２条第４項に規定する個人データを監査人に提供することは、同法第23条の第三者提供の制限を受けるか否か疑義が生じており、これに関する照会が当協会に寄せられている。
この取扱いについては、関係当局及び法律専門家による見解を踏まえ、次のように解することが適当と考えられる。
(1) 監査業務において被監査会社が監査人に対して当該被監査会社の「顧客等の個人データを提供すること」は、個人情報保護法においては第23条第４項第１号の「委託」に該当することとされていることから、当該個人データの提供を受ける者である当該監査人は同条の第三者には該当せず、あらかじめ顧客等の同意を得る必要はないと考えられる。
(2) 個人情報保護法第22条は、個人情報取扱事業者、すなわち被監査会社が個人データの取扱いの全部又は一部を委託する場合、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行うことを求めているが、これはあくまで個人データの安全管理措置に関する監督に限定される。当然のことながら、当該監督により、監査手続の実施に際して被監査会社のコントロール下におかれる等の制約を受けるものではなく、また、監査人の独立性が阻害されるものではない。
(3) 「委託」とする扱いのほか、株式会社の監査等に関する商法の特例に関する法律第２条に基づく法定監査又は証券取引法第193条の２の規定等に基づく法定監査である場合、被監査会社が当該監査への対応として監査人に対して当該被監査会社の「顧客等の個人データを提供すること」は、個人情報保護法第23条第１項第１号の「法令に基づく場合」に該当することとされていることから、法定監査については第三者への制限の適用が除外されると考えられる。経済産業省から平成16年10月に公表された「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」においても、法定監査への対応は同法第23条第１項第１号の「法令に基づく場合」として例示されている‑ 1 ‑（【参考】「２．個人情報保護法第23条第１項第１号「法令に基づく場合」について」参照）。
(4) 公認会計士は等しく公認会計士法第27条により業務上の守秘義務を課せられており、被監査会社が個人情報取扱事業者であるか否かにかかわらず、監査手続の実施に際し被監査会社から入手した個人データをはじめとする秘密を他に漏らす等の行為は禁止されている。このことは、間接的であっても個人情報保護法の目的やその趣旨を十分担保し得るものと考えられる。
上記(1)から(4)のとおり、監査業務上は特段の問題は生じないものと考えられる。
しかしながら、監査人となる会員各位におかれては、監査業務の実施に当たり、被監査会社等との間に無用の混乱が生じることのないよう、個人情報保護法の目的やその趣旨、監査人に課せられた守秘義務等を踏まえ、被監査会社と個人データの安全管理に係る取扱い等に関して事前に十分協議を行い、必要に応じ監査契約書に明記する等の慎重かつ万全な対応をお願いするものである。
なお、監査・保証実務委員会では、今後、個人情報保護法の下における監査実務の状況等を踏まえ、実務上の特別な問題や留意事項があれば、検討の上必要に応じ公表することを考えている。
以【参考】１．個人情報保護法関連条文について
個人情報の保護に関する法律（平成十五年五月三十日法律第五十七号）
（目的）
第一条

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。
（定義）
第二条

この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
２

この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
一二

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

‑ 2 ‑

上

個人情報の保護に関する法律施行令（平成十五年十二月十日政令第五百七号）（個人情報データベース等）
第一条

個人情報の保護に関する法律（以下「法」という。）第二条第二項第二号 の政令で定めるものは、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。

３

この法律において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
一

国の機関

二

地方公共団体三独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成十五年法律第五十九号）第二条第一項に規定する独立行政法人等をいう。以下同じ。）

四

地方独立行政法人（地方独立行政法人法（平成十五年法律第百十八号）第二条第一項に規定する地方独立行政法人をいう。以下同じ。）

五

その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者

個人情報の保護に関する法律施行令（平成十五年十二月十日政令第五百七号）（個人情報取扱事業者から除外される者）
第二条

法第二条第三項第五号の政令で定める者は、その事業の用に供する個人情報データベー

ス等を構成する個人情報によって識別される特定の個人の数（当該個人情報データベース等の全部又は一部が他人の作成に係る個人情報データベース等で個人情報として氏名又は住所若し
くは居所（地図上又は電子計算機の映像面上において住所又は居所の所在の場所を示す表示を含む。）若しくは電話番号のみが含まれる場合であって、これを編集し、又は加工することなくその事業の用に供するときは、当該個人情報データベース等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）の合計が過去六月以内のいずれの日においても五千を超えない者とする。

４

この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

５

（省略）

６

（省略）

（委託先の監督）
第二十二条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
（第三者提供の制限）
第二十三条

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支‑ 3 ‑障を及ぼすおそれがあるとき。
２

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

３

一

第三者への提供を利用目的とすること。

二

第三者に提供される個人データの項目

三

第三者への提供の手段又は方法

四

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
４

次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

二三

合併その他の事由による事業の承継に伴って個人データが提供される場合
個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

５

（省略）

２．個人情報保護法第23条第１項第１号「法令に基づく場合」について
経済産業省から公表された「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」（平成16年10月）では、以下のとおり説明を付している。
Ⅱ．法令解釈指針・事例
２．個人情報取扱事業者の義務等(4) 第三者への提供（法第23条関連）①

原則（法第23条第１項関連）（省略）

ただし、以下の場合は本人の同意なく第三者への提供を行うことができる。
ⅰ．法令に基づいた個人データを提供する場合（事例は、(1)⑤ⅰ．と同様。）

上記の(1)⑤i．は次のとおり(1) 個人情報の利用目的関係（法第15条〜第16条関連）⑤

適用除外（法第16条第３項関連）（省略）

ⅰ．法令に基づく場合（法第16条第３項第１号関連）法第16条第３項第１号
前２項の規定は、次に掲げる場合については、適用しない。
１

法令に基づく場合
法令に基づいて個人情報を取り扱う場合は、その適用を受けない。
上記の根拠となる法令の規定としては、刑事訴訟法第218条（令状による捜査）、地方税法第72条の63（事業税に係る質問検査権、各種税法に類似の規定あり。）等が考えられる。これらについては、強制力を伴っており、回答が義務づけられているため、一律これ‑ 4 ‑に該当する。
事例）所得税法第225条第１項等による税務署長に対する支払調書等の提出
一方、刑事訴訟法第197条第２項（捜査と必要な取調べ）等のような、個人情報の提供が任意協力の場合についても対象となり得ると考えられるが、個別の判断が必要とされる。
事例１）商法第274条の３による親会社の監査役の子会社に対する調査への対応
事例２）株式会社の監査等に関する商法の特例に関する法律第２条及び証券取引法第193条の２の規定に基づく財務諸表監査への対応

３．監査業務において監査人が提供を受ける個人データについて

個人情報保護法における個人データとは、同法第２条第１項、第２項及び第４項を整理すると、電子計算機等を用いて特定の個人情報を検索できる体系的な個人情報データベース等（個人情報を含む情報の集合物）を構成する個人情報をいう。監査業務において監査人が個人情報取扱事業者である被監査会社から提供を受ける個人データとしては、例えば、次のようなものが挙げられる。
＜一般の事業会社＞(1) 株主名簿(2) 従業員関係（給与、賞与、退職金、社会保険料、人事データ等）の個人情報(3) 役員関係（報酬、賞与、退職金、社会保険料、人事データ、個人会社データ等）の個人情報(4) 個人に対する債権・債務に関する個人情報(5) 発行者が個人である領収書、請求書等の証憑書類に基づく個人情報(6) 社債権者に関する個人情報(7) ストックオプションの保有状況に関する個人情報＜特定の事業会社等＞(1) 銀行における個人に対する預金残高、貸出残高、担保等に関する個人情報(2) 証券会社における預り資産に関する個人情報(3) 通販業者の顧客名簿(4) 学校法人における生徒名簿
以‑ 5 ‑

上