ネットワーク管理者が知っておくべき法律問題
ネットワーク管理者が知っておくべき法律問題〜個人情報保護法施行直前対策〜〜個人情報保護法施行直前対策〜

神戸大学 近畿大学 法科大学院 兼任講師 弁護士

岡村 久道
http://www.law.co.jp/

個人情報保護法政

個人情報保護法への対応体制についての具体化ステップ

令2003年12月
制定済み

政府の基本方針（第7条）

策定時期は、2004年4月

主務官庁の指針（第8条）

策定が相次ぐ

業界団体（認定団体）の指針（第43条）

個別企業の対応(c) Hisamichi Okamura, 2004

策定時期は？
対応の期限は、義務規定に関する施行予定日の2005年4月1日

出典・拙著「個人情報保護法の基礎知識」（財）インターネット協会『安心して個人情報を取り扱うためには』

1

法整備の前後における比較
法整備の前後における比較
法整備前

行政機関
保有個人
情報保護
法

法整備後

個人情報を取り扱う者すべて

公的部門

個人情報
保護法の
基本理念

個人情報を取り扱う者すべて

公的部門

全面改正

国の行政機関国の行政機関独立行政法人等

規定整備
個人情
報保護
条例

行政機関
個人情報
保護法

地方公共団体

独立行政法
人等個人情
報保護法

地方公共団体個人情報保護条例

個人情報取扱事業者に対し義務規定

民間部門

民間部門
個人情報保
護法（一般
法部分）
(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

基本法
個人情報保護法の基本法部分（第1章〜第3章）

一般法
公的部門

民間部門

国の行政機関独立行政法人等

地方公共団体

行政機関個人情報保護法

独立行政法人等
個人情報保護法

個人情報保護条例・情報公開・個人情報保護審査会設置法

個人情報保護法の一般法部分
（第4章〜第6章）

・行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律

個別法
今後、必要に応じて整備(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）2

個人情報保護法制にかかる一般法部分の適用関係
個人情報保護法制にかかる一般法部分の適用関係•• 個人情報を取り扱う部門ごとに、適用される一般法が異なる
個人情報を取り扱う部門ごとに、適用される一般法が異なる•• 医療機関を例にとって説明すると……
医療機関を例にとって説明すると……

(a)(a)私立病院
私立病院＝＝個人情報保護法の適用対象
個人情報保護法の適用対象(b)
国立病院（国立がんセンター､国立循環器病センター､国立精神・神経セン(b) 国立病院（国立がんセンター､国立循環器病センター､国立精神・神経セン
ター､国立国際医療センターなど）
ター､国立国際医療センターなど）＝＝行政機関個人情報保護法の適用対象
行政機関個人情報保護法の適用対象(c)
最近の独立行政法人化の波によって従来の国立病院が独立行政法人に(c) 最近の独立行政法人化の波によって従来の国立病院が独立行政法人に移行したもの移行したもの＝＝独立行政法人等個人情報保護法の適用対象
独立行政法人等個人情報保護法の適用対象(d)
地方公共団体が運営する病院（市立病院など）(d) 地方公共団体が運営する病院（市立病院など）＝＝当該地方公共団体が制
当該地方公共団体が制定した個人情報保護条例の適用対象
定した個人情報保護条例の適用対象•• 同一の患者が病院間の紹介もしくは自由意思で複数の病院を行き来す
同一の患者が病院間の紹介もしくは自由意思で複数の病院を行き来す
ることは少なくなく、そのたびに適用される法律が異なるることは少なくなく、そのたびに適用される法律が異なる•• ほぼ同様に一般法部分の適用関係が分かれているものの例
ほぼ同様に一般法部分の適用関係が分かれているものの例–– 貸出し情報を扱う各種の図書館
貸出し情報を扱う各種の図書館–– 学生の情報を扱う各種の学校
学生の情報を扱う各種の学校(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法入門』（商事法務、2003/6）

現在までに策定済みまたはパブコメ中の省庁ガイドライン
現在までに策定済みまたはパブコメ中の省庁ガイドライン
1.1.
2.2.
3.3.
4.4.
5.5.
6.6.
7.7.
8.8.
9.9.
10.
10.
11.
11.

厚生労働省「臨床研究に関する倫理指針」（2003年7月）
厚生労働省「臨床研究に関する倫理指針」（2003年7月）「診療情報の提供等に関する指針」（2003年9月）「診療情報の提供等に関する指針」（2003年9月）
総務省・経済産業省「電子タグに関するプライバシー保護ガイドライン」
総務省・経済産業省「電子タグに関するプライバシー保護ガイドライン」（2004年6月）（2004年6月）
経済産業省「個人情報の保護に関する法律に基づく経済産業分野ガイド
経済産業省「個人情報の保護に関する法律に基づく経済産業分野ガイド
ライン」
ライン」
厚生労働省「雇用管理に関する個人情報の適正な取扱いを確保するた
厚生労働省「雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」（
めに事業者が講ずべき措置に関する指針」（2004年7月）
2004年7月）
国土交通省「船員の雇用管理に関する個人情報の適正な取扱いを確保
国土交通省「船員の雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」
するために事業者が講ずべき措置に関する指針」
総務省「電気通信事業における個人情報保護に関するガイドライン」
総務省「電気通信事業における個人情報保護に関するガイドライン」
総務省「放送受信者等の個人情報の保護に関する指針」
総務省「放送受信者等の個人情報の保護に関する指針」
金融庁
金融庁「金融分野における個人情報保護に関するガイドライン」「金融分野における個人情報保護に関するガイドライン」
厚生労働省「医療・介護関係事業者における個人情報の適切な取扱い
厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」のためのガイドライン」
その他
その他(c) Hisamichi Okamura, 20043

個人情報保護法の構成（全6章59条及び附則）
個人情報保護法の構成（全6章59条及び附則）
基本法部分
第１章
第１章 総則（第１条〜第３条）
総則（第１条〜第３条）
第２章
第２章 国及び地方公共団体の責務等（第４条〜第６条）
国及び地方公共団体の責務等（第４条〜第６条）
第３章
第３章 個人情報の保護に関する施策等（第７条−第１４条）
個人情報の保護に関する施策等（第７条−第１４条）
第１節
第１節 個人情報の保護に関する基本方針（第７条）
個人情報の保護に関する基本方針（第７条）
第２節
第２節 国の施策（第８条〜第10条）
国の施策（第８条〜第10条）
第３節
第３節 地方公共団体の施策（第11条〜第13条）
地方公共団体の施策（第11条〜第13条）
第４節
第４節 国及び地方公共団体の協力（第14条）
国及び地方公共団体の協力（第14条）

公布日に
即日施行

第４章
第４章 個人情報取扱事業者の義務等（第１５条〜第４９条）
個人情報取扱事業者の義務等（第１５条〜第４９条）

第１節
第１節 個人情報取扱事業者の義務（第15条〜第36条）
個人情報取扱事業者の義務（第15条〜第36条）
第２節
第２節 民間団体による個人情報の保護の推進（第37条〜第49条）
民間団体による個人情報の保護の推進（第37条〜第49条）

第５章
第５章 雑則（第５０条−第５５条）
雑則（第５０条−第５５条）
第６章
第６章 罰則（第５６条−第５９条）
罰則（第５６条−第５９条）

2005年4月
1日施行

一般法部分

附
附則
則
(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

個人情報保護法の目的（第１条）
個人情報保護法の目的（第１条）
背景・高度情報通信社会の進展に伴い個人情報の利用が著しく拡大

プライバシー権
ではない？

保護法益：
「個人の権利利益の保護」

個人情報
の有用性
配慮

① 基本理念を定める…第１章② 政府による個人情報の保護に関する施策の基本となる事項を定める…第３章③ 国及び地方公共団体の責務等を明らかにする…第２章④ 個人情報を取り扱う事業者の遵守すべき義務等を定める…第４章(c) Hisamichi Okamura, 2004

出典・拙著『個人情報保護法入門』（商事法務、2003/6）

4

プライバシー権と個人情報保護法とは別のもの
プライバシー権と個人情報保護法とは別のもの•

わが国の判例法上承認されてきたプライバシー権そのもの、もしくはその一部である自己情報コントロール権の保護を実定法化したものではない。
– これらの権利概念は必ずしも確立したものと言えず不明確さが残る半面、これらの権利概念を持ち出さなくても個人情報の保護を図ることは可能であること
等の点が、その理由として指摘されている。そのため法文にこれらの概念が明記されることなく、これに代わって前述の「個人の権利利益」という抽象的な言葉が記載されているにとどまる。

•

プライバシー権と個人情報保護法とは、互いに密接に関連したものではあるが、法制度としては別個独立の存在。したがって、今後企業が漏えい事
故などを起こした場合には、プライバシー権侵害と個人情報保護法違反という二重の責任を問われることになった。
– 前者は本人（個人情報によって識別される特定の個人）に対する損害賠償などの責任であり、これから説明するように、後者は主として監督官庁から行政処分を受けるという内容の責任。

(c) Hisamichi Okamura, 2004

「個人情報取扱事業者」の義務に関する「積み上げ構造」「保有個人データ」に特有の義務
第24条〜第27条「個人データ」に特有の義務
第19条〜第23条「個人情報取扱事業者」（第２条第３項）「個人情報」全般に関する義務
第15条〜第18条

基 本 形(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

5

「個人情報データベース等を事業の用に供している者」（第2条第3項）

個人情報保護法における保護対象

基本理念
個人情報（第2条第1項）

個人情報取扱事業者の義務
第15条（利用目的の特定 ）第16条（利用目的による制限）
第17条（適正な取得）第18条（取得に際しての利用目的の通知等）

個人データ（第2条第4項）

保有個人データ（第2条第5項）

第19条（データ内容の正確性の確保）
第20条（安全管理措置）
第21条（従業者の監督）第22条（委託先の監督）第23条（第三者提供の制限 ）第24条（保有個人データに関する事項の公表等）
第25条（開示）第26条（訂正等）
第27条（利用停止等）(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

出典・内閣府国民生活局企画課個人情報保護推進室資料

実効性担保の仕組み(c) Hisamichi Okamura, 2004

6

報告徴収・助言、勧告、命令の要件の比較
緊急の命令（第34条第3項）
第16条、第17条、第20条から第22条まで又は第23条第1項の規定に違反した場合において個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるとき

通常の命令（第34条第2項）
正当な理由なく勧告に係る措置をとらなかった場合で、個人の重大な権利利益の侵害が切迫していると認めるとき

勧 告（第34条第1項）
第16条から第18条まで、第20条から第27条まで又は第30条第2項の規定に違反した場合において、個人の権利利益を保護するため必要があると認めるとき

報告徴収・助言（第32条・第33条）
第4章第1節の規定の施行に必要な限度において(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）(c) Hisamichi Okamura, 2004
出典・内閣官房個人情報保護室「法案の論点解説」

7

個人情報とプライバシーの権利
個人情報とプライバシーの権利「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。） 」 （第2条第1項）

個人情報
個人データ

「個人情報データベース等を構成する個人情報」 （第2条第4項）「個人情報取扱事業者が､開示､内容の訂正､追加又は削除､利用の停止､消この法律が去及び第三者への提供の停止を行うことのできる権限を有する個人データで適用されるかあって､その存否が明らかになることにどうかを画すより公益その他の利益が害されるもの
る境界線として政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のもの｣(第2条第5項）

保有個人データ①公表された事柄が私生活上の事実または私生活上の事実らしく受け取られるおそれのある事柄であること（私事性）、②一般人の感受性を基準にして当該私人の立場に立った場合公開を欲しないであ
プライバシーの権利のろうと認められる事柄であること、保護対象となる個人情報③一般の人に未だ知られていない事柄で(c) Hisamichi Okamura, 2004
あること（非公知性）
出典・拙著『個人情報保護法』（商事法務、2004）

個人情報（第２条第１項）の概念「生存する個人に関する情報であって、当該情報に含まれる･･･記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。） 」

START

YES

自然人
（個人）
の情報
か
NO

YES

生存者
の情報
か

例
死者の情報

情報自
体に本
人識別
性はある
か

NO

NO
他の情報と
容易に照合
することにより特定の個人を識別しう
るか

例
法人情報

例
埼玉県民数
個人情報に該当せず

YES

個人情報
に該当

YES
プロバイダにとってアクセスログ 本法の保護対象

NO

本法の保護対象外(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法入門』（商事法務、2003/6）

8

プライバシー概念と個人情報概念の異同
プライバシー概念と個人情報概念の異同• 「宴のあと」事件判決（東京地判昭和39（1964）年9月28日判時385号12頁）にいうプライバシーの権利概念– 「私生活をみだりに公開されないという法的保障ないし権利」– ①公表された事柄が私生活上の事実または私生活上の事実らしく受け取られるおそれのある事柄であること（私事性）– ②一般人の感受性を基準にして当該私人の立場に立った場合公開を欲しないであろうと認められる事柄であること– ③一般の人に未だ知られていない事柄であること（非公知性）• 個人情報– 個人識別性があれば足り、上記のような限定がなく、公開情報・非センシティ
ブ情報も含む– インハウス情報（内部管理情報）も含む
自社の営業部だけでなく、– 評価情報も含まれる
人事部（人事情報）、経理部（金銭出納）なども対応の対象

人事考課、クレーマー顧客情報なども対象(c) Hisamichi Okamura, 2004

「個人情報取扱事業者」（法２条第３項）の概念
法2条3項1号〜3号で公的部門は除外

民間事業者で「個人情報データベース等を事業の用に供している者 」「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう（法２条第２項）。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの「これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの」（施行令第1条）「その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないもいわゆる電子データベースのとして政令で定める者」を除く（法2条3項4号）「その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数（当該個人情報データベース等の全部又は一部
非電子データベース
が他人の作成に係る個人情報データベース等で個人情報として氏名又は住所若しくは居所（地図上又例・五十音配列のカルテは電子計算機の映像面上において住所又は居所の所在の場所を示す表示を含む。）若しくは電話番号のみが含まれる場合であって、これを編集し、又は加工することなくその事業の用に供するときは、当該
個人情報データベース等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）の合計が過去六月以内のいずれの日においても五千を超えない者」（施行令第2条）(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

9「個人情報」、「個人データ」及び「保有個人データ」と義務規定
個人情報
（※1）

個人データ 保有個人デー（※2）
タ

第15条（利用目的の特定）

○

○

○

第16条（利用目的による制限）

○

○

○

第17条（適正な取得）

○

○

○

第18条（取得に際しての利用目的の通知等）

○

○

○

第19条（データ内容の正確性の確保）

×

○

○

第20条（安全管理措置）

×

○

○

第21条（従業者の監督）

×

○

○

第22条（委託先の監督）

×

○

○

第23条（第三者提供の制限）

×

○

○

第24条（保有個人データに関する事項の公表等）

×

×

○

第25条（開示）××○

第26条（訂正等）

×

×○

第27条（利用停止等）

×

×

○

（○は適用対象、×は適用対象外）※1但し個人データに該当しないもの※2但し保有個人データに該当しないもの(c) Hisamichi Okamura, 2004

個人情報に関する義務
個人情報に関する義務• 第15条（利用目的の特定）– 利用目的をできる限り特定• 第16条（利用目的による制限）– 利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはな
らない– 利用目的の変更は、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲に限られる• 第17条（適正な取得）– 不正の手段により個人情報を取得してはならない• 第18条（取得に際しての利用目的の通知等）– 利用目的を本人に対し通知・公表しておく必要– 本人から書面や電子媒体で個人情報を直接取得する場合には、これを本人に対し事前に明示しておく必要(c) Hisamichi Okamura, 200410

利用目的による制限と利用目的の変更との関係

変更前の利用目的と相当の関連性を有すると合理的に認められない範囲

変更前の利用目的と相当の関連性を有すると合理的に認められる範囲

利用目的を変更できな
い範囲（第15条第2項）

変更には事前に本人の同意取得必要（第16条第1項）
利用目的を変更可能な範囲（第15条第2項）

当初の利用目的の達成に必要な範囲変更された利用目的を本人に通知公表（第18条第3項）
適法に取り扱える範囲（第16条第1項）(c) Hisamichi Okamura, 2004

出典・拙著『個人情報保護法入門』（商事法務、2003/6）

目的外の取扱いが可能な場合（第16条第3項）
目的外の取扱いが可能な場合（第16条第3項）

第16条第3項
の該当号数

事

由

具体例

第1号

法令に基づく場合

令状捜査を受ける場合

第2号

人の生命、身体又は財産の保護に必要な場合
で、本人の同意取得が困難なとき

急病の場合

第3号

公衆衛生向上又は児童の健全な育成推進に特に必要な場合で、本人の同意取得が困難な
とき

疫学調査の場合

第4号

国の機関、地方公共団体又はその受託者の法 税務署の反面調査に協力
令上の事務遂行に協力が必要な場合であって、 する場合本人の同意取得が当該事務遂行に支障を及ぼすおそれがあるとき(c) Hisamichi Okamura, 2004

11

利用目的の通知・公表等
利用目的の特定（第15条）
適正な取得（第17条）
書面による直接取得以外
書面による直接取得の方法の取得（第18条第1（第18条第2項）
項） 事前に公表するか、あらかじめ本人に利用目的
速やかに、その利用目的を明示（例外：通知等が適を、本人に通知又は公表
当でない場合）店舗で客からアンケートを取る場合
書面による直接取得（第18条第2項）に該当
あらかじめ本人に利用目的を明示する必要
利用目的の範囲内でしか利用できないから、どのような利用目的としておくのか、事前に詳しい検討が必要（後で原則として変更できない）
明示した証拠を残す（アンケート用紙自体に記載）
ネット上でのアンケートの場合も同様（本条第２項括弧書き参照）
継続利用（保有個人データ） （第24条）のケースも含めて総合
的に手段を講じる(c) Hisamichi Okamura,
2004
出典・拙著『個人情報保護法』（商事法務、2004）• 「通知」とは•本人に直接知らせること。
•具体的には、面談、電話での口頭説明、電子メール、ファクスによる送信、文書での郵送など。
•「公表」とは•広く一般に知らしめること。
•具体的には、ホームページへの掲載、店舗・事務所等での掲示・備
え付け、商品・パンフレット等への掲載など。
•「本人が容易に知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。） 」に置くとは•本人が知ろうとすれば、時間的・手段的に、容易に知ることができる状態に置くこと。
•ホームページへの掲載、店舗・事務所等での掲示・備え付け、商品・
パンフレット等への掲載などによる公表が継続的に行われていること、など。
(c) Hisamichi Okamura, 2004

12

利用目的の通知、公表が不要な場合（第18条第4項）
利用目的の通知、公表が不要な場合（第18条第4項）
第18条第4項
の該当号数

事

由

具体例

第1号

それによって本人又は第三者の生命、身体、 病院での検査目的の通知が病名
財産その他の権利利益を害するおそれが告知となり本人に重大な精神的ある場合苦痛を与える場合

第2号

それによって当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

開発中の新製品に関する企業秘密が明らかとなる場合

第3号

国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき捜査機関から捜査中の被疑者情報を取得する場合

第4号取得の状況からみて利用目的が明らかであると認められる場合

宅配便事業者が顧客からお届け
先の住所情報を取得する場合(c) Hisamichi Okamura, 2004

適法に取り扱える範囲（第16条第1項）

特定されるべき利用目的（第15条）の範囲

通知・公表等された利用目的（第18条）の範囲

利用目的の通知・公表等が不要な場合（第18条第4項）

目的外の取扱いが可能な場合（第16条第3項）(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）13

個人データに関する義務
個人データに関する義務「個人情報データベース等を構成する個人情報」 （第2条第4項）•

第19条（データ内容の正確性の確保）– 利用目的達成に必要な範囲内で、正確・最新の内容に保つよう努めなければならない– わが国でも過去に、信用事故を起こした別人と取り間違えられて不利益を受けたことを理由に損害賠償請求を命じた判例があり、本条はこのような事態を避けるために規定– 本条自体は努力義務にとどまるが、プライバシー権侵害となる場合がある。
– 参考−京都地判平成15年10月3日• 「大手消費者金融会社が，債務者の氏名と同音で漢字１字違いという類似の氏名である者に対して、債務者と間違えて支払の催促を行い、人違いが判明した後も，登録したその者の個人情報を抹消せず，再度の支払催促をしたことが，その者のプライバシー権を侵害する不法行為に当たるとされた事例」（裁判所ホームページ「下級裁主要判決情報」より転載）•

第20条〜第22条（安全管理措置）– 安全管理措置を講じなければならず（20条）、従業者や委託先に対する監督も要する（21条及び22条）•

第23条（第三者提供の制限）– 第三者に提供するためには、あらかじめ本人から同意を得ることが原則(c) Hisamichi Okamura, 2004

安全管理措置
安全管理措置第２０条（安全管理措置）
第２０条（安全管理措置）
個人情報取扱事業者は、その取り扱う個人データ
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人の漏えい、滅失又はき損の防止その他の個人デー
デー
タの安全管理のために必要かつ適切な措置を講
タの安全管理のために必要かつ適切な措置を講じなければならない。
じなければならない。
第２１条（従業者の監督）第２１条（従業者の監督）
個人情報取扱事業者は、その従業者に個人デー
個人情報取扱事業者は、その従業者に個人デー
タを取り扱わせるに当たっては、当該個人データ
タを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対するの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
必要かつ適切な監督を行わなければならない。
第２２条（委託先の監督）第２２条（委託先の監督）
個人情報取扱事業者は、個人データの取扱いの個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を委託を受けた者に対する必要かつ適切な監督を行わなければならない。
行わなければならない。

内部規程・機密保持誓約書・社内教育・社内監査などを中心に対処

委託契約・機密保持誓約書などを中心に対処選任についても重要(c) Hisamichi Okamura, 200414

従業者の監督
従業者の監督
••従業者との秘密保持契約の締結（入社時・退職時等における誓約書の徴収、機密保持条項を含んだ労働契約内容の整備等）が含まれる。派遣労働者については、派遣元との秘密保持契約の締結および派遣元と派遣労働者の間の適切な秘密保持契約の締結の確保等の措置を図る（電気通信事業ガイドライン解説）。さらに、関連する社内諸規程の整備、社内教育研修、社内監査の実施等が考えられる。この場合、関連する他の社内規程との重複に注意する必要があり、また不幸にして事故が発生した場合に適正な懲戒処分が可能か、懲戒規程との関係でも検討が必要である。派遣社員に対する関係では、派遣元との秘密保持契約の締結および派遣元と派遣社員の間の適切な秘密保持契約の締結の確保等の措置が含まれる。
内部教育研修に関し、政府の基本方針は、「従業者の啓発」として、「事業者において、個人情報の漏えい等の防止等、その取り扱う個人情報の適切な保護が確保されるためには、教育研修の実施等を通じて、個人情報を実際に業務で取り扱うこととなる従業者の啓発を図ることにより、従業者の個人情報保護意識を徹底することが重要である。」（6(1)③）とする。電気通信事業ガイドライン第12条第2項および放送分野指針第15条第２項（努力義務であることを明記）も、安全管理措置等のため従業者に対し必要な教育研修を実施することを求め、電気通信事業ガイドライン解説は、その内容として安全管理に関する内部規程・マニュ
アルの周知等が考えられるとする。
(c) Hisamichi Okamura, 2004

個人情報の流出原因は？
個人情報の流出原因は？ その１
その１

過失によるケース････最近の事件「カバンはどこへ？」
過失によるケース････最近の事件「カバンはどこへ？」•システム設定ミス– ＴＢＳラジオでクイズに応募した63人の個人情報が、他の応募者の携帯電話画面に誤って表示される状態になった(04/6/30)•

車上荒らし被害•紛 失– 生命保険会社職員が車上荒らしで、顧客情報書類入りカバン盗難 (04/7/27)– 信託銀行の嘱託社員が顧客情報入り資料を紛失 （04/6/25）– 郵政弘済会職員が共済加入者リスト入りカバンを帰宅途中に紛失（04/7/5）•

駐車場に置き忘れ•

電車の網棚に置き忘れ•

酔って寝込む– 百貨店の外回り営業社員が、顧客名簿の入ったカバンを駐車場に置き忘れ(04/06/15)– 信託銀行営業職員が顧客情報入りカバンを電車網棚に置き忘れた（04/5/6）– 酔った名古屋市内の税務署員が雑居ビルの階段で寝てしまい、目を覚ましたときにはパソコン用携帯メモリー入りカバンがなくなっていた（04/7/8）(c) Hisamichi Okamura, 200415

個人情報の流出原因は？
個人情報の流出原因は？ その２
その２•「ハッカーの犯行」よりも、内部者・委託先従業員の犯行が多い。

•

内部者・委託先従業員の犯行の事例– さくら銀行の事件では、システム開発を孫請けした会社の派遣社員が犯人として逮捕– 宇治市住民基本データ大量漏えい事件では再々委託先のアルバイト学生
が持ち出した– ブロードバンド接続サービス事件でも、サポートセンター勤務の元派遣社員が持ち出し– 電力会社社員が業者の要請に応じて顧客情報を数回漏えい(04/5/7)•

興味本位で内部者が閲覧したケースもある– 社会保険事務局と社会保険事務所の職員が、業務目的以外に個人情報を閲覧していたとして、社会保険庁は職員約500人を処分(04/7/30)(c) Hisamichi Okamura, 2004

委託先の監督委託先の監督• 一般的には、委託先選任上の注意義務の履行と、委託契約の内容中に必要な条項を盛り込み、それが遵守されているか否か、実施状況を適正に点検することにより対応が図られる。
• 委託先選任• 委託契約の書面化・内容等(c) Hisamichi Okamura, 2004

16

委託契約
委託契約
•
•

一般的には、基本方針に明記された①委託先による保護のための措置（安全管理措置）の内容、②委託元・委託先の責任の明確化、③再委託の条件をベースとして、各指針が独自の条項を具体化・付加している。
安全管理措置– 経済産業分野ガイドラインⅡ.2.(3)は、 (i)個人データの漏えい防止・盗用禁止に関する事項、(ii)委託契約範囲外の加工・利用の禁止、(iii)委託契約範囲外の複写・複製の禁止、(iv)委託契約期間、および(v)委託契約終了後の個人データの返還・消去・廃棄に関する事項を盛り込むことが望ましいとする。雇用管理指針第3.4もほぼ同様の事項（なお(iii)は安全管理上必要なバックアップを目的とするもの等委託契約範囲内のものを除く）に留意するものとする（但し前記①か②かを区分しない）。

•(i)の中心となる契約条項– 秘密保持義務の規定であり、雇用管理指針第3.4は、「委託先において、その従業者に対し当該個人データの取扱いを通じて知り得た個人情報を漏らし、又は盗用してはならないこととされていること。」を掲げている。電気通信事業ガイドライン第12条第4項（但し前記①か②かを区分しない）および放送分野指針第17条第2項第2号（但し前記②の内容に含まれるとする）も秘密保持を定めることを求める。

•

経済産業分野ガイドラインⅡ.2.(3)– 以上に加えて、④個人データの取扱状況に関する委託者への報告の内容・頻度、⑤
契約内容が遵守されていることの確認、⑥契約内容が遵守されなかった場合の措置、⑦セキュリティ事件・事故が発生した場合の報告・連絡に関する事項を掲げる。
(c) Hisamichi Okamura, 2004

委託契約における再委託条項
委託契約における再委託条項• 経済産業分野ガイドラインⅡ.2.(3)および雇用管理指針第3.4は、再委託を行う旨の委託元への文書による報告を求めているが、契約で原則として禁止しているケースも多い。
• 電気通信事業ガイドライン第12条第4項も、再委託の条件として、再委託を許すかどうか、再委託を許す場合は再委託先の選定・再委託先の監督に関する事項等を定めることを求め、二段階以上の委託を許す場
合は同様に再々委託先等の選任監督に関する事項を定める必要があ
ると解説する。
• 放送分野指針第17条第2項第3号は、委託先による再委託先選定基準の設定とそれに従った選定・監督を明記する。

(c) Hisamichi Okamura, 200417

(c) Hisamichi Okamura, 2004
出典・内閣官房個人情報保護室「法案の論点解説」

出典・内閣官房個人情報保護室「法案の論点解説」(c) Hisamichi Okamura, 200418

出典・内閣官房個人情報保護室「法案の論点解説」(c) Hisamichi Okamura, 2004

「保有個人データ」（法２条第5項）の概念• 個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、• その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のもの「法第二条第五項の政令で定める期間は、六月とする。」 （施行令4条）「法第二条第五項の政令で定めるものは、次に掲げるものとする。
一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」（施行令3 条）（具体例）•犯罪被害者への援助を行う民間機関が加害者を本人とする
個人データを持っている場合•事業者が総会屋を本人とする
個人データを持っている場合•事業者が外国要人を本人とする行動記録などが記録された個人データを持っている場合•事業者が警察からの捜査関係事項照会の受理、回答の過程で犯罪者を本人とする個
人データを持っている場合(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）19

保有個人データに関し本人の知り得る状態に置か
保有個人データに関し本人の知り得る状態に置かなければならない事項（法第24条第1項）
なければならない事項（法第24条第1項）①当該個人情報取扱事業者の氏名又は名称（第1号）②すべての保有個人データの利用目的（第2号）③第24条第2項、第25条第1項、第26条第1項又は第27条第1項若しくは第2項の規定による求めに応じる手続（第3号）④保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの（第4号）

次の場合には対象外• 法令に基づく場合（第18条第4項第1号）• 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（同項第2号）• 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（同項第3号）
第35条第2項の規定により手数料の額を定めた
ときは、その手数料の額を含む
施行令第5条• 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先• 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

出典・内閣官房個人情報保護室「法案の論点解説」(c) Hisamichi Okamura, 200420

開示等の求めの受付方法（第29条）
開示等の求めの受付方法（第29条）•

政令で定めるところにより、その求めを受け付ける方法を定めることができる（第1項）•

対象となる保有個人データを特定するに足りる事項の提示を求めることができる （第2項）•

開示等の求めは、政令で定めるところにより、代理人によってする
ことができる（第3項）

受け付ける方法として定めることができる事項
は、次に掲げるとおり（施行令第7条）
1.開示等の求めの申出先2.開示等の求めに際して提出すべき書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。）の様式その他の開示等の求めの方式
3.開示等の求めをする者が本人又は次条に規定する代理人であることの確認の方法
4.法第三十条第一項の手数料の徴収方法

次に掲げる代理人とする（施行令第8条）
1.未成年者又は成年被後見人の法定代理人
2.開示等の求めをすることにつき本人が委任した代理人(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

個人情報保護におけるコンプライアンスの対象法令等
個人情報保護におけるコンプライアンスの対象法令等• 民間部門において遵守対象となる法令の中心は、同部門の個人情報保護に関する一般法たる法第4章第1節。
• 第2に、法第8条に基づく主務大臣のガイドラインが義務として規定している内容を満たす必要。
• 第3に、自ら対象事業者である認定個人情報保護団体が、法第43条に基づく個人情報保護指針（ガイドライン）を作成している場合には、それに対応することが要請される。
• 第4に、以上に述べた本法とこれに基づく基本方針・ガイドライン（指針）以外に、当該事業者が行う事業の性質等に照らし、関係法令等も遵守することを要する。
• 第5に、近時は民間事業者の義務を定めた個人情報保護条例が制定されているケースもあり、その場合には当該条例にも適合させる必要がある。
• 第6に、判例法上のプライバシーの権利も法規範にほかならないから遵守を要する。
(c) Hisamichi Okamura, 2004

21

本来は適法な領域許容される領域

自主的な法令適用の拡大・上乗せ

法令の具体化 明確化を要する領域︵グ
レーゾーン︶※２･

違法であることが明らかな領域 ※１

コンプライアンスによるコントロールの対象となる領域※１ 法令以外に主務官庁のガイドライン等を含む。
※２ 禁止対象か否かを事前に内部規定等で明確化する方法以外に、コンプライアンス
担当部署・所定の外部専門家の判断を仰ぐための手続を導入する等の方法がある。
(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

プライバシーポリシーの策定
個人情報保護管理者の設置等

個人情報保護法への対応ステップ

個人情報の洗い出し・一覧表化

政府の基本方針
各指針参照
情報のライフサイク
ルも考慮

法令等の要求事項との対比
現状の取扱い方法
は妥当か

社内規程化

適正な取扱い方法を義務化

実施・社内教育

社内への啓発による定着

点検・見直し社内監査を制度化(c) Hisamichi Okamura, 200422

個人情報保護方針の策定・公表
個人情報保護方針の策定・公表• 政府の基本方針–「事業者の個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリシー、プライバシーステートメント等）の策定・公表……が、事業活動に対する社会の信頼を確保するために重要である。」• 主務大臣の指針–電気通信事業ガイドライン第14条「プライバシーポリシー（当該電気通信事業者の個人情報の取扱いに関する方針についての宣言をいう。）」–放送受信者等指針第28条「個人情報の取扱いに関する事項についての基本方針」–経済産業分野ガイドラインⅤ「個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリシー、プライバシーステートメント等）」を策定し、ウェブ画面への掲載等により公表することが望ましい。
–金融分野ガイドライン案第23条は「個人情報保護宣言」(c) Hisamichi Okamura, 2004

大和銀行株主代表訴訟第一審判決
大和銀行株主代表訴訟第一審判決
大阪地判平成12年9月20日判時1721号3頁
大阪地判平成12年9月20日判時1721号3頁••「健全な会社経営を行うためには、……各種のリスク……の状況を正確に把握し、適切に制御すること、すなわちリスク管理が欠かせず、会社が営む事業の規模、特性等に応じたリスク管理体制（いわゆる内部統制システム）を整備することを要する。そして、重要な業務執行については、取締役会が決定することを要するから（商法260条2項）、会社経営の根幹に係わるリスク管理体制の大綱については、取締役会で決定することを要し、業務執行を担当する代表取締役及び業務担当取締役は、大綱を踏まえ、担当する部門におけるリ
スク管理体制を具体的に決定するべき職務を負う」。
「どのような内容のリスク管理体制を整備すべきかは経営判断の問題であり、会社経営の専門家である取締役に、広い裁量が与えられている」が、（商法266条1項5号に基づき）「取締役は、自ら法令を遵守するだけでは十分でなく、従業員が会社の業務を遂行する際に違法な行為に及ぶことを未然に防止し、会社全体として法令遵守経営を実現しなければならない。……取締役は、従業員が職務を遂行する際違法な行為に及ぶことを未然に防止するための法令遵守体制を確立するべき義務があり、これもまた、取締役の善管注意義務及び忠実義務の内容をなすものと言うべきである。この意味において、事務リスクの管理体制の整備は、同時に法令遵守体制の整備を意味」しており、「取締役に与えられた裁量も法令に違反しない限りにおいてのものであって、取締役に対し……法令に遵うか否かの裁量が与えられているものではない」。

(c) Hisamichi Okamura, 200423

個人情報保護方針の二面性
個人情報保護方針の二面性•「方針（Policies）」–個々の事業者が営む事業の規模、特性等に応じ、いわば「リスク管理体制（内部統制システム）」たる「法令遵守体制」の「大綱」として商法第260条第2項に基づき取締役会で決定（決議）すべき事項。
–決定された「方針（Policies）」を踏まえ、業務執行を担当する代表取締役・業務担当取締役は、担当する部門におけるリスク管理体制を具体的に決定するべき職務を負う。
–「方針（Policies）」を内部の従業者に対して周知することは、いわば経営方針の一部として従業者に対し指示すべき業務命令の意味を有している。

•「宣言文（Statements）」–公表の対象は、個々の事業者が行う措置の対外的明確化のため、利害関係者に向けて対外的に公表すべき「宣言文（Statements）」である。
–一般に、対内的な経営方針は、そのままの形で対外的に公表すべき性格のものではないから、必ずしも両者を同列に扱うべきものではない（公表については前記判例も取締役の義務の対象としていない）。

•

その他–両者の内容が矛盾することは許容されないとしても、記載内容が異なることも当然。
–基本方針が「考え方や方針に関する宣言」という微妙な表現を用いていることは、以上の意味により理解すべき。
–金融分野ガイドライン案第23条は、端的に「個人情報保護宣言」という言葉を用いており、両者の区別を前提に、後者について公表を求める意味であることを、より明確化す
る趣旨に基づくものと思われる。
(c) Hisamichi Okamura, 2004

個人情報保護方針の具体的記載事項
個人情報保護方針の具体的記載事項•

政府の基本方針6(1)①–個人情報を目的外に利用しないことや苦情処理に適切に取り組むこと等を宣言するとともに、事業者が関係法令等を遵守し、利用目的の通知・公表、開示等の個人情報の取扱いに関する諸手続について、あらかじめ、対外的に分かりやすく説明する」

•

「表題」

•

「前文」

–「株式会社○○個人情報保護方針」程度で足りる。
–個人情報保護に関する事業者の理念を示すことが考えられる。
–保護方針は、営んでいる事業の特性など個々の個人情報取扱事業者の特色を踏まえたものでなければならない。
–社訓、経営理念の下位に置かれるものであるから、その内容を踏まえたものであるこ
とが必要。

•

制定日と最終改訂日–主務大臣による報告徴収への対応等を考慮して、何時から制定しているか等を明らかにするため、制定日と最終改訂日も記載して、改訂履歴も残すべき。
–それによって主務大臣からの報告徴収にも対応しうる。

•

策定・公表の主体等–「方針（Policies）」は、前述のように個人情報保護の領域における「リスク管理体制の大綱」に属するものと解されるので、商法第260条第2項に基づき取締役会が決定（決議）すべきことが原則。
(c) Hisamichi Okamura, 200424

個人情報保護方針の具体例
個人情報保護方針の具体例
１．弊社は、個人情報（生存する個人に関する情報であって、特定の個人を識別できるものをいい、以下も同様とします。）を取り扱う際に、個人情報保護法をはじめ個人情報保護に関する関係諸法令、および、主務大臣のガイドラインに定められた義務、並びに、本保護方針を厳正に遵守することを誓約します。
２．弊社は、利用目的をできる限り特定したうえ、あらかじめご本人（その個人情報によって識別される特定の個人をいい、以下も同様とします。）の同意を得た場合、および法令により例外として扱われるべき場合を除き、利用目的の範囲内でのみ、個人情報を取り扱います。
３．弊社は、個人情報を取得する場合、適正な手段で取得するものとし、法令により例外として扱われるべき場合を除き、利用目的を、あらかじめ公表するか、取得後速やかにご本人に通知または公表します。但し、ご本人から書面で直接取得する場合には、あらかじめ明示します。
４．弊社は、取り扱う個人データ（個人情報データベース等を構成する個人情報をいい、個人情報データベース等とは、個人情報を含む情報の集合物であって、電子データベースのほか、紳士録書籍のように特定の個人情報を容易に検索できるように体系的に構成したものとして政令で定められたものをいいます。以下も同様とします。）を、利用目的の範囲内で正確・最新の内容に保つよう努め、また、安全管理のために必要・適切な措置を講じ、従業者および委託先を監督します。
５．弊社は、法令により例外として扱われるべき場合を除き、あらかじめご本人の同意を得ることなく、個人デー
タを第三者に提供しません。
６．弊社は、保有個人データ（開示、内容の訂正等の権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの、または６か月以内に消去することとなるもの以外のものをいいます。）につき、法令に基づきご本人からの開示、訂正等に応じます。
７．弊社は、取り扱う個人情報につき、ご本人からの苦情に対し迅速かつ適切に取り組み、そのための社内体制の整備に努めます。

(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

法定公表等事項
法定公表等事項
事項名

内

容ⅰ.取得する個人情報の利用目的（法第18条関係）保護方針とは別個に「個人情報保護法に基づく公表事項等に関するご案内」等の名称で別文書としてウェブ画面等で公表することが妥当であると思われる。なぜなら、保護方針は事業者にとって個人情報保護に関する憲法に例えられるべき性格を有する存在であり、その内容は原則として取締役会が決定（決議）すべき事柄である。これに対し、法定された前記公表事
項には、「保有個人データの利用目的の通知及び開示に係る手数料の額」のように細目にかかる事項や、第三者提供にかかるオプトア
ウトの対象、「すべての保有個人データの利用目的」等のように新規事業等の発生に伴い迅速に更新すべき事項が含まれているので、前述の性格等に合致しないからである。

ⅱ.＜本人の同意なく第三者提供する場合＞（法第23条第2項及び第3項関係）・利用目的に第三者提供が含まれていること
・第三者に提供される個人データの項目
・第三者への提供の手段又は方法

ⅲ.＜共同利用する場合＞（法第23条第4項及び第5項）

・特定の者との間で共同利用すること・共同して利用される個人データの項目・共同利用者の範囲
・共同して利用する者の利用目的
・共同して利用する者のうち、個人データの管理について責任を有する者の氏名又は名称

ⅳ.以下の保有個人データに関すること（法第24条関係）

・自己の氏名又は名称
・すべての保有個人データの利用目的
・「開示等の求め」に応じる手続
・保有個人データの利用目的の通知及び開示に係る手数料の額（定めた場合に限る）
・苦情の申出先（認定個人情報保護団体の対象事業者である場合には当該認定個人情報保護団体の名称及び苦情解決の申出先も含む。）

ⅴ.開示等の求めに応じる手続に関すること（法第29条関係）

・申請書の様式（定めた場合に限る）
・受け付ける方法（定めた場合に限る）
・保有個人データの特定に資する情報の提供

ⅵ.問い合わせ及び苦情の受付窓口に関すること（法第23条第5項、第24条第1項、第29条第1項及び第31条関係）(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

25

法令
個人情報
保護方針

基本規程

各種細則（詳細規程）

手引き書等(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）

個人情報漏えい事案の法律関係

主務大臣

プライバシー権侵
害・契約違反による損害賠償請求個人情報保護法等に基づく、報告
徴収・勧告・命令
2005年4月
施行予定

被害者
（本人）
プライバシー権侵害による損害賠償請求

自組織（漏えい元）

漏えい者（加害者）
不正競争防止法に基づく差止請求・損害賠償請求、刑事告訴・
告発

ポイント
個人情報保護法上の責任
プライバシーの権利に基づく責任

主として主務大臣に対する責任本人に対する責任

不正アクセ
スをはじめ
手段が違法
な場合など
には刑事罰

捜査
機関

(c) Hisamichi Okamura, 2004
出典・拙著『個人情報保護法』（商事法務、2004）26

漏えい時の対応
漏えい時の対応• 「漏えい企業」の対応････市場から退場させられないために– 被害継続の阻止– 最近の主務官庁の指針の傾向−３点セット– 被害者に対し「おわび」の封書・メール– 漏えい事実の公表（ウェブページ、全国紙） 参考−個人情報保護法第7条に基づく政府の基本方針「事業者において、個人情報の漏えい等の事案が発生した場合は、二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係等を公表することが重要である。」– 監督官庁への報告– フリーダイヤル、メールでの問い合わせ窓口を開設– 「補償」としての「粗品」の進呈– 漏えい経路の特定– 対策委員会の設置– 「監督不行届き」で社内処分– 監督官庁による処分も(c) Hisamichi Okamura, 200427