5-1

制度・法律・政策全面施行された「改正個人情報保護法」のガイドライン等に関する Q&A の概要

12
北澤 一樹

●弁護士

弁護士法人英知法律事務所

3
改正個人情報保護法が 2017 年に全面施行された。同法について 4 編のガイドラインとデータ漏えい時の対応が作成され、その具体的説明を行う「Q&A」も公開された。重要と思われる「Q&A」の概要を紹介する。
■はじめに

4その概要を紹介する。

52015 年に大きな改正が行われた個人情報保護法は、2017 年 5 月 30 日に全面施行となった。全

■「通則編」に関する Q&A

面施行にあたり、個人情報保護委員会は、2016●定義について年 11 月に「通則編」、「外国にある第三者への提店舗に防犯カメラを設置し、撮影した顔画像や供編」、「第三者提供時の確認・記録義務編」、「匿そこから得られたデータを防犯目的のみに利用す名加工情報編」に関する各ガイドラインを公表する場合については、「取得の状況からみて利用目るとともに、2017 年 2 月に「個人データの漏えい的が明らか」（個人情報保護法 18 条 4 項 4 号＝以等の事案が発生した場合等の対応について」（平下、「法 18 条 4 項 4 号」等と略記）であることか

成 29 年個人情報保護委員会告示第1 号）の告示をら、利用目的の通知・公表は不要とされる（Q&A行った（なお、「通則編」及び「匿名加工情報」はにおける Q1-11 に対する回答。以下、他の回答も2017 年 3 月に一部改正された）。

含め、「Q1-11」等と略記）。ただし、同回答では、

さらに、同委員会は同月、「『個人情報の保護に望ましい措置として、防犯カメラが作動中である関する法律についてのガイドライン』及び『個人ことを店舗入口に提示するなど、本人に対して自データの漏えい等の事案が発生した場合等の対応身の個人情報が取得されていることを認識させるについて』に関する Q&A」（以下「Q&A」）を公ための措置を紹介している。なお、防犯目的のみ

1

表し 、上記ガイドライン等の具体的な内容に関にならず、マーケティングなどの商業目的に利用する説明を行っている（なお、Q&A については、する場合には、当該利用目的の公表または個人情2017 年 5 月 30 日に更新された）。同時期には、上報の取得後の本人通知もしくは公表が必要である

記各ガイドラインの特則として、他の事業分野に（Q1-12 参照）。

関するガイドライン（後記参照）も公表された。

個人識別符号に関する Q1-22 では、携帯電話番

本稿では、Q&A のうち、それぞれのガイドラ号やクレジットカード番号それ自体は、個人識別インごとに、注意すべき内容や、2015 年改正前符号に該当しないことが確認されているが、これからの見解が改めて明確にされたものを中心に、らの情報が氏名などの他の情報との容易照合性がインターネット白書／ ©1996-2018 Impress R&D
第 5 部 社会動向

2796

1

認められる場合には、個人情報に該当し得ることた。なお、法 15 条 2 項による利用目的の変更がも明らかにされている。

認められるケースと認められないケースについて

要配慮個人情報については、Q1-30、31 で、無23456は、Q2-8、2-9 で具体例が紹介されている。

罪判決を受けた事実や不起訴処分を受けた事実も要配慮個人情報に該当するものとされている。

●個人情報の取得（法 17 条・18 条関係）について本人の同意の取得方法については、一定期間内

Q3-2 では、名簿業者から個人の名簿を購入すに回答がない場合には同意をしたものとみなす旨る場合の注意点が回答されている。具体的には、の電子メールを送り、当該期間を経過したことの①名簿業者から個人の名簿を購入すること自体はみをもって同意を得たとみなすことをできないこ

禁止されていないこと、②ただし、購入に当たっとが明らかにされた（Q1-56）。また、明示の同ては、適正取得（法 17 条 1 項）や、第三者提供を意以外に黙示の同意が認められるか否かについて受ける際の確認・記録義務（法 25 条、26 条）がは、本人の同意を得たといえるためには明示の同適用されることである。なお、2015 年改正法が意に限るべきとする見解（宇賀克也『個人情報保施行された現時点では、一般的に名簿業者はオプ

護法の逐条解説〔第5版〕』（有斐閣）125頁）もあトアウト規定による届出が必要となるため（法23るところではあるが、Q1-57 では、個別の事案ご条 2 項）、名簿業者から個人情報を取得する際にとに、具体的に判断するものとされ、黙示の同意は、当該名簿業者が届出をしていることの確認をも認められ得ることが明らかにされた。Q1-58 でする必要があると解されている。

は、未成年者を本人として同意を得る必要がある

2015 年改正により、新たに「要配慮個人情報」場合において、法定代理人等の同意を得る必要がという概念が登場したが、同改正前に適法に取得ある未成年者の具体的な年齢について、個別具体した個人情報が施行後に要配慮個人情報に該当す的に判断すべきであるものの、一般的には 12 歳ることとなった場合について、いくつか注意すべから 15 歳までの年齢以下の子どもについて、法き点が明らかにされている。まず、同改正前に適定代理人等から同意を得る必要があるとされ、参法に取得した個人情報が施行後に要配慮個人情報考になると思われる。に該当したとしても、あらためて要配慮個人情報取得のための本人同意（17 条 2 項）を得る必要は●個人情報の利用目的（法 15 条〜16 条、18 条 3ない（Q3-5）。しかし、同改正法施行前にオプト項関係）についてアウトによる第三者提供をしていた個人情報が、個人情報を統計処理して、個人情報に該当しな施行後に要配慮個人情報に該当することとなった

い統計データとして利用するにあたり、かかる統場合、当該要配慮個人情報について、オプトアウ計データへの加工を行うこと自体を利用目的とすトによる第三者提供をすることは認められていなる必要はないものとされた（Q2-5）。

い（Q3-6）。

Q2-7 では、利用目的の変更通知（法 18 条 3 項）にあたり、変更前の利用目的との対比によって示●個人データの第三者への提供（法第 23 条〜第す必要があるかという質問に対し、変更後の利用26 条関係）について目的の通知で足りるが、当初特定した利用目的の個人データの第三者提供にあたっては、原則とどの点が変わったのか示すことが望ましいとされしてあらかじめ本人の同意を得る必要があるとこ

インターネット白書／ ©1996-2018 Impress R&D280

第5部

社会動向

ろ（法 23 条 1 項）、かかる同意の取得方法についは、クラウドサービスの利用が本人の同意が必要ては、例えば、個人情報の取得時に、その時点でな第三者提供（23 条 1 項）、または委託（23 条 5予測される個人データの第三者提供について、包項 1 号）に該当するかどうかは、クラウドサービ括的に同意を得ておくことも可能であることが明ス提供事業者において個人データを取り扱うことらかにされた（Q5-8）。となっているかどうかが判断基準となることが明

また、2015年改正前においては、上記第三者提らかにされている。例えば、クラウドサービス提供の同意を得るにあたり、提供先の第三者を具体供事業者が当該個人データを取り扱わないことと的に特定することは、不要と解されていた。Q5-9なっている場合（契約条項によって当該提供事業では、第三者提供の同意を得るに当たり、提供先者がサーバーに保存された個人データを取り扱わを個別に明示することまでが求められているわない旨が定められており、適切にアクセス制御をけではないとし、この点が明らかにされた。ただ行っている場合等）には、個人データの「提供」

し、他の事業分野に関するガイドラインでは、特は認められず、本人の同意を得る必要はない。ま則（提供先の第三者の特定を要する旨など）が設た、個人データを含む電子データを取り扱う情報けられているので注意を要する（いずれも 2017

システムなどの保守を外部事業者に委託する場合

年 2 月に公表された、「金融分野における個人情についても、クラウドの場合と類似の見解が示さ報保護法に関するガイドライン」、「信用分野におれており、単純なハードウェア・ソフトウェア保ける個人情報保護に関するガイドライン」、「債権守サービスのみを行う場合で、契約条項によって管理回収業分野における個人情報保護に関するガ

当該保守サービス事業者が個人データを取り扱わイドライン」等参照）。

ない旨が定められており、適切にアクセス制御をオプトアウトによる第三者提供を行うためには、法 23 条 2 項各号の事項を、あらかじめ本人行っている場合などには、個人データの「提供」には該当しないとされている（Q5-35）。に通知または本人が容易に知り得る状態に置くとる。個人情報保護法施行規則 7 条は、かかる「通■「外国にある第三者への提供編」に関する Q&A知又は容易に知り得る状態に置く措置」といえる

2015 年改正により外国にある第三者への提供ための要件の一つとして「本人が…当該提供の停の制限に関する法 24 条が新設された。この点に止を求めるのに必要な期間をおくこと」（同条 1

関し、前記クラウドサービスの利用の場合とも関項 1 号）を定めている。この「必要な期間」は、連するが、外国にあるサーバーに個人データを含個人情報取扱事業者が法 23 条 2 項に基づき、本む電子データを保存するケースについては、当該人に通知し、または本人が容易に知り得る状態にサーバーの運営事業者が、当該サーバーに保存さ置いた時点から起算すること、および、この「必れた個人データを取り扱わないこととなっている要な期間」の満了点は、オプトアウトによる第三場合（契約条項によって当該事業者がサーバーに者提供を行う前である必要があるとされている保存された個人データを取り扱わない旨が定めら（Q5-23）。

れており、適切にアクセス制御を行っている場合

ともに、個人情報保護委員会への届出が必要とな

今日では情報管理にあたりクラウドサービスを利用することも珍しくない状況にある。Q5-33など）には、外国にある第三者への提供（24 条）に該当しないとされた（Q9-5 ）。

インターネット白書／ ©1996-2018 Impress R&D
第 5 部 社会動向

281

1234561

なお、外国の事業者が運営するクラウドを利用する場合であって、サーバーは国内にあるケー2いるものと評価されることもあり得るとしている（Q10-8）。

スについて、当該サーバーの運営事業者が、当該この他に、Q10-21 では、オプトアウトによるサーバーに保存された個人データを取り扱わな第三者提供について、確認・記録義務が適用されいこととなっている場合には、外国にある第三者ない場面がないことが明確にされている。

への提供に該当しない（Q9-6）。また、当該運営

3

4

事業者が、上記個人データを国内で取り扱ってい■「匿名加工情報編」に関する Q&A

ると認められる場合についても、当該運営事業者

匿名加工情報の作成時および第三者提供時には個人情報取扱事業者に該当するので、外国にあは、一定の事項（前者については当該情報に含まる第三者への提供には当たらないとされているれる情報の項目、後者については提供する情報の（Q9-6）。

項目および提供方法）について公表が要求される（法 36 条 3 項、4 項、37 条）。この「公表」につい5

6■「第三者提供時の確認・記録義務編」に関する Q&Aては、それぞれの場合に応じて「作成したとき」、2015 年改正により、第三者提供時の確認・記ものであり、事前にプライバシーポリシーに包括録義務（25 条、26 条）が新設された。当該規定的な記載を掲載するだけでは上記「公表」義務をは、名簿業者等により個人情報が不正に流通した履行したものとは認められないことが明らかにさ場合におけるトレーサビリティの確保を目的としれた（Q11-14）。

または「提供したとき」に行うことが求められるたものであるが、一方で、当該規定により事業者また、匿名加工情報の第三者提供時の公表におへの過重な負担がかかることが懸念された。そのいて、提供先名や利用目的については公表する必ため、第三者提供時の確認・記録義務編のガイド要がないことが明らかにされた（Q11-18）。

ラインでは、解釈により確認・記録義務が適用さ

この他、Q11-21では、匿名加工情報を取り扱っれない場合を明らかにし、そのような場合の一つている際に、偶然作成元の本人を識別してしまっとして「本人に代わって個人データを第三者提供た場合については、識別行為の禁止を定める法36している」といえる場合が具体例とともにあげら

条 5 項および法 38 条に抵触するものではないとれている（同ガイドライン 2-2-1-1(2)）
。

された。ただし、このような場合には当該情報をQ10-4〜10-7では、本人に代わって個人データを第三者提供しているといえる具体例がさらに追速やかに削除することが望ましいことが併せて明記されている。

加されている。なお、「本人に代わって個人デー供先の第三者の個別明示が必要かという質問につ■「個人データの漏えい等事案対応告示」
に関する Q&A

いては、提供先の事業者名を個別に明示しない場「個人データの漏えい等の事案が発生した場合合においても、本人からの委託等の内容、提供の等の対応について」（平成 29 年個人情報保護委員

客体である個人データの内容、提供するとき等の会告示第 1 号）では、漏えい等事案が発覚した場要素を総合的に考慮して、当該提供を具体的に特合に講ずることが望ましい措置を列挙している

定できている場合には、本人に代わって提供して（同告示 2(1)~(6)）。かかる措置のうち「(5) 影響をタを第三者提供している」といえるためには、提インターネット白書／ ©1996-2018 Impress R&D

282

第5部

社会動向

受ける可能性のある本人への連絡等」および「(6)略できる場合に該当するものと判断しないよう、事実関係及び再発防止策等の公表」を省略できる

漏えい等事案によって本人の権利利益が侵害され場合について、具体例（第三者に閲覧されることておらず、二次被害の防止の観点からも必要がななく速やかに漏えい等のあった個人データや加工いと認められる場合に当たるかどうかについて、方法等情報を回収した場合等）とともに紹介され慎重な判断が要求されるというべきである。

1

2ている（Q12-5）。ただし、安易にかかる措置を省3
1.「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆Ａ（個人情報保護委員会）

4

https://www.ppc.go.jp/files/pdf/kojouhouQA.pdf

5

6

インターネット白書／ ©1996-2018 Impress R&D
第 5 部 社会動向283

［インターネット白書 ARCHIVES］ご利用上の注意

このファイルは､ 株式会社インプレスR&D が 1996年〜 2018 年までに発行したインターネットの年鑑『インターネット白書』の誌面をPDF 化し､ ｢インターネット白書 ARCHIVES｣として以下のウェブサイトで公開しているものです。

https://IWParchives.jp/
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
●記載されている内容（技術解説、データ、URL、名称など）は発行当時のものです。
●収録されている内容は著作権法上の保護を受けています｡ 著作権はそれぞれの記事の著作者（執筆者、写真・図の作成者､ 編集部など）が保持しています。
●著作者から許諾が得られなかった著作物は掲載されていない場合があります。
●このファイルの内容を改変したり、商用目的として再利用したりすることはできません。あくま
で個人や企業の非商用利用での閲覧、複製、送信に限られます。
●収録されている内容を何らかの媒体に引用としてご利用される際は、出典として媒体名および年号、該当ページ番号、発行元（株式会社インプレスR&D）などの情報をご明記ください。
●オリジナルの発行時点では、株式会社インプレスR&D（初期は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが､ すべての情報が完全に正確であることは保証できません｡このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

お問い合わせ先│株式会社インプレス R&D│

U iwp-info@impress.co.jp│©1996-2018 Impress R&D