産能大学紀要

個人情報保護法について

Personal Information Protection Legislation

2005年

齊藤

聡

２月

Satoshi Saito

第２５巻第２号（別刷）Sanno University Bulletin Vol.25 No. 2 February 2005

個人情報保護法について
Personal Information Protection Legislation

齊藤聡

Satoshi Saito

Abstract
Sanno Institution of Business Administration has been making a special effort
to protect privacy. As a result, Sanno gained permission to use the Privacy Markon May 19th, 2003. This is the first university to obtain this permission in Japan.
The Japan Information Processing Development Corporation has the authority to permit use of this mark. However, to obtain permission you have to passan inspection which is stricter than the Personal Information Act. This law will
come into effect on April 2005.
In this paper, first, I report what Sanno has been doing in order to protect
personal information. Secondly, I analyze Personal Information Protection Act.
Thirdly, I discuss the importance of compliance programs as to privacy protection and how to put the programs into practice.
Ⅰ はじめに産能大では、2003年5月19日付けで、日本の大学で初めてプライバシーマークを取得するなど、個人情報の適切な保護のための体制づくりに力を入れている。このプライバシーマ
ークと個人情報保護法は別物ではある。しかし、このプライバシーマークを取得したことは、
個人情報保護法より厳しい、財団法人日本情報処理開発協会による審査に合格し、認定さ2004年10月5日

受理85

個人情報保護法についてれたということで、情報主体である個人が、個人情報の整備状況を容易に判断できるということである。
2005年の４月から個人情報保護法は全面施行が予定されている。そこで、これまでの個人情報保護に対する産能大学における取り組みをまとめる。その後に、個人情報保護法の骨組みを調べることとする。そして、個人情報保護に関するコンプライアンス・プログラムの重要性と実際の運用手法をまとめてみたい。
１．産能大学での個人情報保護への取り組み推移（プライバシーマーク取得までの時系列）
・2001年9月：個人情報保護に関する施策検討委員会を設置した。
・2001年11月：個人情報保護に関する活動方針を決定した。
・2002年4月：2002年度の理事長方針でプライバシーマークの取得を目指すことを決定した。
法人監査準備室を新設し、そこを中心に各部署の協力を仰ぐ体制を整えた。個人情報保護
基本方針を策定した。
・2002年4月：学内報「花みずき」で、プライバシーマーク取得を目指すことを全ての部署に徹底した。
・2002年6月：学内報「花みずき」で、法人監査準備室から、「プライバシーマークの取得を目指して」と題して、個人情報保護基本方針（2002年4月10日）を再度徹底した。目的は、個人情報保護に関する「コンプライアンス・プログラム」を遵守し、個人情報を正確かつ安全に取り扱うことにより、情報を守り、社会の信用に応えなければならないことである。
個人情報保護に関する学内組織図、個人情報に関する簡単な質疑応答集を掲載した。
・2002年９月：全教職員に研修を実施した。
・2002年10月：各キャンパスにおいて内部監査を実施した。
・2002年11月：以下の作業を終了し、申請書を提出した。
リスク分析、検討課題・対象範囲の決定
個人情報保護の学内体制作り
規程類の見直し、新設
業務に即した手引書・手順書の作成
教育の実施
職場での運用と内部監査の実施
・2002年11月：学内報「花みずき」にて、2003年年初に予定されているプライバシーマークの現地審査に備えて、必須事項を法人監査準備室から再度周知させた。

86

Sanno University Bulletin Vol.25 No. 2 February 2005

・2003年４月：現地審査が行われた。
・2003年５月：プライバシーマーク取得。
・2003年６月：学内報「花みずき」にて、個人情報保護に関する、継続的な活動と維持、向上を呼びかけた。
・2003年11月：調査活動の一環として、対外的に、個人情報保護に関する意識調査をインターネットで実施した。
・その後も、継続的に個人情報保護に関するコンプライアンス・プログラムの励行及びプラ
イバシーマーク研修を実施している。
２．プライバシーマークの取得目的
IT技術の急速な発展により、インターネットが普及し、一般的なものとなった。そのことは、大量の情報データが流通する環境が整っていることを意味する。これは非常に便利な社会の到来ではあるが、その反面、重要な個人情報が流出するリスクも高くなったのである。
顧客データ流出事件が続出し、個人情報保護に関する関心が非常に高まっている。大学では、１万人以上の学生を抱える。この個人情報を守ることは大学として、やらねばならない事項である。個人個人の倫理観も大切であるが、組織防衛するシステムを構築しなければならない。
産能大学が行ってきたのは、個人情報保護に関するコンプライアンス・プログラムの確立である。プライバシーマーク取得は、その管理体制を外部に分かりやすするための手段に過ぎない。以下で、2004年5月30日に公布され、直ちに一部施行され、2005年4月から全面的に施行される予定の個人情報保護法の概要について調べていくが、その過程で産能大学のこれらの動きが、個人情報保護法の基本的な目的に沿ったものであることが確認できる。
Ⅱ 個人情報保護法の概要
ここでは、個人情報保護法の条文に沿って、法を遵守する立場として、具体的に何をしなければならないのか。また、何をしたらいけないのかを考えていきたい。大きな流れとしては、まず、個人情報保護法の概要をつかむことが重要である。この中で特に、条文第四章の個人情報取扱事業者の義務の項目が、企業が個人情報保護の対応に関して対策を立てる上で、最も重要であると考える。そして、用語が何を示しているのか、図を使いながら理解を深めていきたい。

87

個人情報保護法について

１．個人情報保護法の概要
個人情報保護法は、個人情報を使っている法人や個人（個人情報取扱事業者という）に、個人情報の正しい取扱を義務づける法律である（第１条）。但し、この法律を遵守していれば、個人情報取扱事業者の責任が免責されるというわけではない。最低限の基準を示したものに過ぎない。
誰でも、全く身に覚えのないところから、ダイレクトメールが来たら、「なぜ自分の個人情報が伝わったのか」と気になるであろう。個人情報保護法では、個人情報を取得した会社が、その情報をその個人の承諾なしに他社に流れることを、一定のルールを設けて防止するとともに、ルールを守った運用・活用を図ったものである。
（１）目的
個人情報保護法（以下本法とする）の第一条に、「この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱に関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする」とある。
簡潔に言うと、IT技術の進展で個人情報のデータベース化が容易になり、その利用が拡大、高度化しているので、適正な取扱に関する基本理念を定めたものである。また、個人情報取扱事業者の遵守すべき法的義務を明確化し、個人の権利利益を保護し、その違反者に罰則を定めたものである。言い換えると、本人である個人の権利を定める法律ではなく、個人情報を取り扱う事業者に対して、その企業が守らなければならない義務を罰則付きで定めたものである。
（２）背景
個人情報保護法成立の背景には、①情報化の進展で個人情報利用が増加し、不正利用問
題や個人情報の漏洩問題が急増している状況がある。漏洩問題は、あとに示すように非常にたくさんの事件が起きている。これらと同様な事件が起きないようにしなければならない。また、②欧米諸国も個人情報保護法に当たる法律が既に整備されつつあり、貿易立国の日本としても同様の法律を整備する必要性があったのである。①・②から時代の流れを察知し、企業は、情報保護法に基づいた企業体質を早急に整えるべきである。諸外国の事例を知ると、情報保護法がいかに大切であるかが理解できる。また、日本の対応が遅れて

88

Sanno University Bulletin Vol.25 No. 2 February 2005

いることに気がつくであろう。
① 最近の個人情報漏洩事件
表-1
発覚時期
企業名
2004年３月 アッカ・ネットワークス
2004年３月

ジャパネットたかた

2004年２月

ソフトバンクBB

2004年１月

三洋信販

2003年12月
2003年12月

東武鉄道
NTTデータ

2003年11月

ファミリーマート

2003年８月

アプラス

2003年６月

ローソン「最近の個人情報漏洩事件」
流出規模
漏洩情報の種類
顧客への対応201件（140万件） 住所，氏名，電話番号，電話相談受け付け
メール・アドレス148件（66万件） 住所，氏名，電話番号，販売自粛
生年月日451万7039件
住所，氏名，電話番号，会員に500円相当の
メール・アドレス，サー 金券配布
ビス申し込み日
約32万件（200万件）住所，氏名，年齢，職業，24時 間 の 相 談 受 け
相談内容
付け
約13万件
住所，氏名など
招待券を2枚送付
約4300件
氏名、年齢、住所、電話 謝罪文を送付
番号、メール・アドレス、
不動産査定を依頼する物件の情報
535件（18万2870件）住所，氏名，電話番号な 1000円 の プ リ ペ イ
どドカードと謝罪文
送付
7万9110件
住所，氏名，住居形態，1000円 の 商 品 券 と年収区分など謝罪文送付
56万件
住所，氏名，電話番号，会員に500円の商品
生年月日，性別券と謝罪文送付② 海外の個人情報保護関連事情
海外にも個人情報保護法に似た、データ保護法、プライバシー保護法等が既に存在する。
国としては、スウェーデンは一番早く1972年の制定。日本の本法成立は遅いほうである。各国で制定された法律は、内容がまちまちで、国際的に情報を流通させるためには問題があった。そこで、国際機関のOECD（経済協力開発機構）が、個人情報保護の統一基準として、1980年にOECDガイドラインを採択したのである。そして、各国で作られる個人情報保護法は、
このガイドラインの中にある以下の8原則を最低基準として守ることが求められるようになったのである。次に、１992年に発足した、EU（欧州連合）では、加盟国の個人情報保護水準を一定にするため、OECDガイドライン8原則を基に、1995年にEU個人データ保護指令を採択した。これは、EU加盟国とその欧州経済地域に適用され、対象国はこのEU指令を遵守すべ
く法律・規定の整備を要求された。このEU指令の中に、「第三国に対する個人データの移動」
に関する規定があり、処理される個人データの第三国への移動は、適切なレベルの保護を提89個人情報保護法について供している場合に限られるとある（EU指令25条）。これにより、日本も適切なレベルの個人情報保護法の制定が必要になったのである。
米国は法体系が異なり、公共の分野を規制したプライバシー法（1974年）、民間金融分野の規制を対象にした、プライバシー法、ビデオプライバシー法（1988年）がある。
「OECDガイドライン8原則」
１，目的明確化の原則
２，利用制限の原則
３，収集制限の原則
４，データ内容正確性の原則
５，安全保護の原則
６，公開の原則
７，個人参加の原則
８，責任の原則
これらの原則と、個人情報保護法との対比を表で表すと以下のようになる。
主な類似点と相違点を述べたい。OECDガイドラインが先にあり、それに基づいてEU指令が出された。そして、前述の法整備の必要性から、本法ができているのであり、基本理念に大きな相違点はない。しかし、本法は、表現・報道の自由を制約するとして廃案になった旧
法案にあった五つの基本原則を削除され、文言が修正されて努力目標のような弱い表現となっている。OECD８原則と旧法案は、次の用に対応していたが、本法は表現が曖昧で明確な対応を示すことはできない。旧法案との対応は、表の番号で、OECD（右）の１・２→１（旧
法案４条），同様に３→３（同５条）、４→４（同６条）、５→５（同７条）、６・７→６（同８条）、８→表にない（旧法案３条）である。本法では、すべての個人情報について人格尊重の理念の下に慎重に取り扱うべきと明記してあり、基本理念は変わらないと考える。具体的な法律義務でなく、法的強制力の弱い形で成立している。

90

Sanno University Bulletin Vol.25 No. 2 February 2005

図-１：
「先行するOECD8原則と個人情報保護法の対比」

注：（15条）は、個人情報保護法第15条。また、各義務規定には適用除外の規定が存在する。

（３）経過
・1998年11月：政府の「高度情報通信社会推進に向けた基本方針」の中で、電子商取引推進のための環境整備の一環として、個人情報の保護について民間による自主的取り組みを進めると同時に、法律による規制を行うことを検討し始めた。

91

個人情報保護法について

・1999年８月：住民基本台帳法改正法案が通常国会で成立し、その付則1条2項で、政府の責務として、個人情報保護に万全を期すための措置を講じると規定された。
・2001年３月：「個人情報保護に関する法律案」が国会に提出された。しかし、①利用目的による制限、②適正な方法による取得、③内容の正確性の確保、④安全保護措置の実施、⑤
透明性の確保の項目について、表現の自由、報道の自由を侵害するとして強い批判にあった。
2002年12月に廃案になった。
・2003年３月：①基本理念（3条）、②適用除外（50条）を明記することで、個人情報保護法案が再提出され、5月に両院で可決された。
個人情報保護法ができるまでの簡単な過程は以上である。日本の個人情報法制は公的部門と民間部門で取扱が異なる。以下の図で概要を示す。簡潔に言うと、個人情報保護法は、全てにおける基本的な理念を定めた部分と、民間部門に対する義務を定めた部分でできている。
個人情報保護法の対象は変則的である。公的部門については、基本理念の部分のみを定めたものであり、義務、手続等を定めた一般法部分は別の法律、条例で対応する。民間部門については、個人情報保護法がその義務等を定めている。そして、民間部門に関しては、個別法が存在することがある。例えば、労働派遣法、貸金業法、電気通信事業法等には、個人情報保護についての規定がある。一般企業は、個人情報保護法に基づいた義務を履行することになる。
個人情報に関する定義を定めた法律は、以下のようにたくさんある。個人情報を生存者に限ること、識別性を含む旨が明記されていること、照合の容易性が明記されているのは、個
人情報保護法（第２条第１項）のみである。行政機関個人情報保護法（第２条第２項）、独立行政法人個人情報保護法（第２条第２項）からは、照合の容易性の規定はない。また、職業安定法（第４条）、
労働者派遣事業法（第７条）、
港湾労働者（第14条）、
クーロン技術規制法（第13条）、情報公開法（第５条の個人に関する情報）では、照合による識別性を含む旨が明記されているのみである。OECDガイドライン（第１条（b））では、識別されたまたは識別されうる個人（データ主体）に関するすべての情報とあり、EU指令（第２条（a））では、特定できるまたは特定できない自然人（データの対象者）に関するすべての情報を意味するものとするとある。

92

Sanno University Bulletin Vol.25 No. 2 February 2005

図-2：
「個人情報保護法政の全体」
公的部門
国

民間部門

独立行政法人
特殊法人

基本法

地方公共団体

個人情報保護法
個人情報保護法は、基本理念部分のみ定める（他は、別の法律で定める）

一般法

行政機関個人情報保護法（H15-法律58号）
独立行政法人個人情報保護法号（H15-法律59号）
情報公開、個人情報保護審査会設置法（H15-法律60号）
行政機関個人情報整備法（H15-法律61号）

個人情報保護法で、義務等を具体的に定める

個人情報保護条例

２．個人情報の概念（１）条文から①生存する自然人の個人情報を指す。死亡した人の個人情報は、保護されない。
（第２条１項）②法人の情報は、個人情報保護法では保護されない。個人情報のみが対象である。
③「個人情報」とは、その情報単体で、又は他の情報と照合することで、特定の個人を識別することができる情報のことを言う。
（第2条1項）④「プライバシー」と言う言葉が使われるが、日本の法律条文には、その言葉はない。プラ
イバシーとは、一人にしておいてもらう権利、個人の私生活に関わる権利又はそれを干渉されない権利等のことである。個人情報保護法においては、こういったこととは無関係に、
個人情報の内容、性質、使われ方等を考慮せずに、プライバシーの侵害とは関係なく、識別可能な個人情報のことをいう。
（２）具体例①個人情報に当たるものの具体例：氏名、住所、電話番号、携帯電話番号、電子メールアドレス、
パスポート番号、クレジットカード番号等、個人を単体で特定できるか、一定の手続を踏んで照会すれば個人が特定できるもの。また、氏名と結びつく限り、性別、年齢、年収、血液型、家族構成、趣味、嗜好、身長、体重、出生地、本籍地、最終学歴、勤務先、等も個人情報に当たる。ここで、重要なことは、単独では、特定の個人を識別できない情報でも、いくつかを組み合わせることによって特定の個人を識別できる情報は、個人情報になるということである。

93

個人情報保護法について②個人情報に当たらないものの具体例：死亡した個人に関する情報、法人の情報、個人を特定できない情報（例えば、30歳代の男性会社員、50歳の自営業女性）。また、匿名で作成されたメールアドレスやインターネットのクッキーでの情報は、単独では個人情報にあたらない。
③従業員の個人情報：従業員の氏名、生年月日等、その他の記述で特定の個人を識別できるもの。収集した顧客の情報以上に、従業員の個人情報は、履歴書等でかなりプライベート
な情報が含まれることが多く注意したい。労働者の個人情報は、労働省官房政策調査部総合政策担当課担当の「労働者の個人情報の保護に関する研究会報告書」、「労働者の個人情報保護に関する行動指針及び行動指針の解説」（H12.12.20）に具体的に述べられているので概要を示す。なお、この指針では、人種、民族、社会的身分、門地、本籍、出生地、その他社会的差別の原因となるおそれのある事項、思想、信条、信仰、等の基本的人権を侵害するおそれのある個人情報に関して、その収集を原則的に禁止している。いわゆるセンシ
ティブ情報といわれるもので、注意したい。
・基本情報：住所、電話番号、年齢、性別、出身地、人種、国籍
・家族・親族情報：家族構成、同居・別居、扶養関係、家族の職業・学歴・収入、親族の状況
・資産・債務関係：家計、債権、債務、所有不動産評価額、賃金外収入・賃金関係：年収、賃金形態
・思想信条：支持政党、宗教、思想的傾向
・健康・身体情報：健康状態、病歴、心身の障害、身体測定記録
・人事情報：学齢、資格、免許、処分歴・私生活情報：趣味、嗜好、特技、交際・交友関係、住宅事情（３）取得方法
どのような取得方法でも、その内容が氏名と結びついている限り、相手が個人である限り
個人情報となる。相手が、一般消費者でも、営業上の取引先でも個人ならば個人情報である。
・具体例：顧客メンバーカード、ポイントカード、アンケート、懸賞等書面により、顧客に記入させる方法。購入履歴、インターネットのクッキーと何らかの方法による個人識
別できるデータとの組み合わせにより、電子的に取得する方法。個人情報の取得方法に
より、個人情報の区別はなく、全て個人情報保護法の対象となる。従業員の場合は、採94

Sanno University Bulletin Vol.25 No. 2 February 2005

用時の個人情報が含まれる。
・利用目的：取得方法を問わずに、個人情報を取得した場合は、利用目的の本人への通知、公表、明示が義務づけられている。取得した情報を利用するときに、その用途の明示が必要となるので、必要以上の情報収集は、問題がある。特に、情報漏洩時の責任が重くなる。
（４）データの種類
個人情報保護法の対象の概念を図で表すと以下のようになる。
（図-4：「個人情報、個人情報取扱い事業者の範囲」）。個人情報は、「個人情報」（最も広範囲を示す）、「個人情報データベース」、「個人データ」、「保有個人データ」等と呼ばれているがこれらは皆同じと考えて良いが、順に意味が狭くなっていく。条文にあるように個人情報とは、個人を識別できる情報のことである（個人情報保護に関する法律第２条第１項）。
厳密にいうと、本法では、「個人情報」、「個人データ」、「保有個人データ」の語を使い分けており、個人情報取扱事業者に課された義務はそれぞれ異なるので、注意が必要である。
顧客、取引先だけでなく、従業員の個人情報も当然ながら含まれる。

①「個人情報データベース等」とは何か
・個人情報データベース：個人情報の集合体を検索可能な電子データにしたもの。単に住宅地図を作ったのみでは、個人情報データベースではない。
・個人データ：個人のデータで、この集合体が個人情報データベースとなる。
・保有個人データ：個人情報取扱事業者が内容を把握し、加工可能なデータのことである。つまり、個人情報取扱事業者が、個人情報を開示、訂正、追加、削除、利用の停止、消去、第三者提供の停止、等の作業ができるデータを指す。６ヶ月以内に消去予定のものや、公益上の配慮が必要なものは除外される。

②「個人情報取扱事業者」とは誰を指すのか（別途詳述）
上記の「個人情報データベース」を取扱い、個人情報の集合体を取り扱っている会
社や個人を指す。政令では、６ヶ月間で取扱件数が5,000件以上の個人情報を取り扱う者を予定している。

95

個人情報保護法について（５）適用除外
個人情報取扱事業者として、「個人情報データベース」を構築しているものが個人情報保護法の対象となる。政令案では、このデータベースの件数は、６ヶ月以内に、5,000件以上の取扱をするものが、個人情報取扱事業者となっている。しかし、個人情報の内容によっては、より少ない件数でも個人情報取扱事業者となる可能性がある。例えば、病院等で、個人の病歴、症状などのよりセンシティブな情報は少ない件数でも厳重な管理が要求されることは当然と考えられる。個人情報取扱事業者にならない者には、個人情報保護法は適用されないが、この場合は、個人情報取扱事業者として適用されるべきである。
また、以下のように憲法に規定される自由については、適用除外となる。適用除外となる
報道活動には、①報道機関等が行う報道活動等に密接に関わる行為、②報道機関以外の者が行う表現の自由等に関わる行為、③報道機関等が行う取材活動等と裏腹の情報提供者側の情報提供行為も含まれる。この適用除外を盛り込むことで、表現の自由、報道の自由を侵害するとした批判をかわし、一度、2002年12月に廃案になった個人情報保護法が、2003年５月に成立したのである。
適用除外の活動：憲法に規定される自由① 報道活動：表現の自由② 著述活動：表現の自由、学問の自由③ 学術研究：学問の自由④ 宗教活動：信教の自由⑤ 政治活動：政治活動の自由

96Sanno University Bulletin Vol.25 No. 2 February 2005

図-3：
「適用除外について」

注：適用除外となる報道活動には、①報道機関等が行う報道活動等に密接に関わる行為、②報道機関以外の者が行う表現の自由等に関わる行為、③報道機関等が行う取材活動等と裏腹の情報提供者側の情報提供行為も含まれる。

97個人情報保護法について

図-4：「個人情報、個人情報取扱い事業者の範囲」（3条）（2条1項）（2条2項）

（16条）
（17条）
（20条）
（23条）
（25条〜27条）

個人情報保護法は、個人の利益と権利を保護するために、個人情報を取り扱っている事業者に対し、義務とその対応方法を定めたものである。企業が守らなければならない義務を定め、違反者には罰則がある。個人の権利を定めたものではなく、また、事業者の免責手続を定めたものではない。

98Sanno University Bulletin Vol.25 No. 2 February 2005

Ⅲ 個人情報保護法の基本
１．個人情報保護法での禁止行為
個人情報保護法は、個人情報を利用して事業をしている民間の企業や個人に適切な個人情
報取扱行為を求めている。以下の行為をすると同法違反となる。
①利用目的を偽って個人情報を取得する行為②利用目的の範囲を超えて個人情報を利用する行為③本人の同意を得ずに個人情報を第三者に渡す行為④個人情報の開示要求に応じない行為⑤個人情報の利用停止要求に応じない行為⑥④、⑤の手続で手続費用を合理的でない費用に設定する行為⑦個人情報に関して、安全管理措置を取らない⑧従業員、委託先の監督をしない

２．個人情報保護法に違反したときの罰則規定
最高で、6 ヶ月の懲役または30万円の罰金。罰則を課せられるまでの流れは、以下の通り。
（第34条、56条）①個人情報違反をした、個人情報取扱事業者（企業または個人）に対し、主務大臣（担当省庁の大臣）が、違反をやめるように「勧告」する。
②勧告に従わない場合、主務大臣は、さらに強い「命令」を出す。
③命令に従わなかった場合、罰せられる。罰せられる対象は、「命令」に従わなかった担当者・監督者と個人情報取扱事業者の双方である。
④個人情報保護法違反の行為をしたことが報道されることにより、多くの個人は、その企業
または個人（個人情報取扱事業者）に、個人情報を教えない行動を取ることが予想される。
事業の継続が難しくなり、事実上、個人情報を利用した営業ができなくなるため、罰則規定以上の影響が出る可能性が高い。

99

個人情報保護法について

図-５：個人情報保護法の体制（7条3項）（7条）（36条3項）（32条〜34条、46条〜48条）

個人情報保護法に係わる実施体制は、国民生活審議会で有識者の意見等を聞きながら、案・付議を作成し、基本方針が閣議決定される。それを、各主務大臣が認定個人情報保護団体他の協力を得ながら、個人情報取扱事業者に実施させる。所管が不明確な場合は、内閣総理大100

Sanno University Bulletin Vol.25 No. 2 February 2005

臣が主務大臣を指定する（36条-但書）。その他に、国民生活センターや地方公共団体の消費生活センター等との連携、協力も定められている。
図-６：個人情報保護法の実効性担保の仕組み

（31条）

（42条）

（32条）

（34条1項）（34条2項、3項）

個人情報保護法には、罰則規定があり、実効性が担保されている。

101

個人情報保護法について

３．個人情報保護法で本人の同意が必要な場合はどんな時か
以下のケースで、同意が必要である。
（第16条、23条）①利用目的の達成に必要とされる範囲を超えて、個人情報を取扱う場合：具体的には、サービス1を提供する目的で取得した個人情報を、サービス2の利用に拡大すること。
②第三者に個人情報を提供する場合③A社が取得した個人情報を、無断でB社に提供する場合
４．以下のような特別な場合には、同意が不要である。
①法令に基づく場合（例：犯罪捜査等への情報提供）②人の生命、身体・財産の保護のために必要な場合（例：急病人の身元確認にクレジットカードを利用）③公衆衛生の向上、児童の健全な育成の推進のために必要な場合（例：保健所、児童相談所
からの問い合わせに対し回答する場合）④国の機関又は地方公共団体から委託を受けた者が、法令の定める当該事務の遂行をするとき、本人の同意を得るとその事務の遂行に支障が出るとき。
（例：税務署の調査への情報提供）
図-７：オプトアウト（本人の求めによる情報提供停止）の仕組み（第23条第2項）

102

Sanno University Bulletin Vol.25 No. 2 February 2005

個人情報の第三者提供を容認する場合に、オプトアウトの仕組みを利用することが現実的である。要件を満たせば、第23条第2項に基づき情報提供が本人の同意がなくても可能になる。
図-８：個人情報の第三者提供に当たらない場合（第23条第4項）

第１号

第２号

第３号

103

個人情報保護法について

個人情報の保護しながら、通常の経済活動を阻害しないために、オプトアウト、第三者提供に当たらない場合の仕組みを十分に理解する必要がある。
図-９：第三者提供制限の仕組み （第23条）

個人情報を第三者に提供するには、あらかじめ本人の同意が必要である。但し、本人の求めに応じて提供停止（オプトアウト）することにしている場合も情報提供可能である。オプ
トアウトの要件としては、以下の四項目について、あらかじめ通知し、又は本人の知り得る状態にある必要がある。四項目とは、①第三者提供すること、②提供される情報の種類、③提供の手段、④本人の求めに応じて提供停止すること。
次に、本人の同意なしに情報提供できる場合として、①届け出、通知等の法令に基づく場合、②急病のばあいなど、人の生命、身体又は財産の保護に必要な場合、③病気の疫学調査などの公衆衛生、児童の健全育成に特に必要な場合、④税務調査に協力するなど国等に協力する場合がある。
そして、そもそも第三者提供に当たらない場合として、①委託先への個人情報の提供。この場合は、委託元に管理責任がある。②当初の目的に限られるが、合併等に伴う場合、③グループ等で共同利用する場合。この場合もあらかじめ共同利用する者の利用目的、範囲等を明確にしておく必要がある。

104

Sanno University Bulletin Vol.25 No. 2 February 2005

５．個人情報取扱事業者とは「個人情報取扱事業者」とは、個人情報データベース等を、事業に用いている者（2条3項）
である。個人情報データベース等とは、個人情報を含む情報の集まりのことで、コンピュータを使い、個人情報を容易に検索できる体系的に構成されたもののことである。個人情報取扱事業者に当たらない場合でも、その取扱は準じてなされるべきである。当然ながら、個人情報取扱事業者でなくとも管理上の注意義務違反があれば、民法上の不法行為になる。
（１）個人情報取扱事業者に当たらない場合：①個人情報データの数が過去6 ヶ月の取扱で、5,000件を越えない場合。
（2003年9月政令案）②氏名又は住所の表示はあるが、個人情報データを編集・加工しないで事業に使用する場合（例：地図を作製する）（２）個人情報取扱事業者に、課せられる義務：①利用目的を特定すること（15,16条）②個人情報を適正に取得し、利用目的を通知すること（17,18条）③個人情報データの正確性を確保すること（19条）④個人情報データの安全を管理すること。従業員・委託者を監督すること（20,21,22条）⑤第三者提供を制限すること（23条）⑥公表、停止、開示、利用停止等に応じること（24〜27条）⑦苦情の処理をすること（31条）⑧主務大臣の関与を受けること（32〜35条）⑨上記に違反すると罰則規定がある。
（34,35条）
上記の②「通知」、⑥「公表」、「開示」とは具体的に言うと、以下の通りである。
①「通知」：一人一人の個人に電子メールや郵便で知らせることである。
②「公表」：一人一人に対してではなく、インターネットのホームページやパンフレットなどで、社会一般に広く知らせることである。
③「開示」とは、「本人の知りうる状態に置くこと」で、個人情報取扱事業者の事務所に内容を示すものを閲覧できるようにしたり、音声案内・自動ファックスで内容を知ることができたりすることである。つまり、本人が知ろうとすれば知ることができることである。
④アンケートに答える形式で、ページのすぐ横にその目的等を書いておいても本人が105個人情報保護法について知りうる状態にあることになる。
図-９：本人と個人情報取扱業者の関係

６．個人情報保護法の言う「利用の目的」とは何か（１）利用目的とは事業として、個人情報を、何のために集めるのか、個人情報を取得した後に何に使うのか、ということである。事業の定義は、営利・非営利を問わずに、一定の目的を持って反復継続
して行う行為を言う。事業に当たるか否かは、その実体を踏まえて社会通念上で判断する。
「条文から」
個人情報を取扱ためには、利用目的をできるだけ特定し情報取得の際に示さなければならない（15条1項）。また、個人情報取得後は、その特定した利用目的の範囲を超えて情報を取106Sanno University Bulletin Vol.25 No. 2 February 2005

り扱ってはならない（16条1項）。
（２）事例
例えば、雑誌の懸賞やアンケートには、回答欄に、氏名、住所、生年月日、性別、職業、
メールアドレス、好みの記事、購読雑誌・新聞といった項目が並ぶ。何のために、これらの個人情報を使うのかを明確に示す必要がある。データを集計し、市場調査・研究を行い、今後の製品の参考にする。これならば、目的は「市場調査である」。
また、主に、新製品の案内をダイレクトメールで送付することや、電子メールを打つこと
で、商品の販売を目的としている場合が想定される。既に、読者なので、商品購入の確率は、高いかもしれない。これならば、利用目的は「商品情報を届けるため」である。
次に、あいまいに「今後のサービスを消費者に提供するため」とするとどうであろう。これでは、利用目的が明確に分からない。どんな使われ方もできる玉虫色の利用目的である。
条文では「できる限り特定し」とあるので、これでは利用目的を明示したことにはならない。
この場合は、利用目的を問い合わせすることができる。そして、個人情報取扱事業者は、回答しなければならない。
７．個人情報保護法とJISQ15001の相違点は何か。
非常に簡潔に言うと、個人情報保護法よりもJISQ15001の方が、厳しい内容になっている。
しかし、個人情報保護法は、刑事罰を予定した法的強制力を持っているが、JISQ15001は単なるガイドラインであり強制力がない。
個人情報保護法は、個人情報保護に関する包括的な法律であり、JISQ15001は管理のための規格であり、法律とは異質のものである。
（１）相違点
個人情報保護法では、個人情報を取得するときの義務は、通知・公表であるが、JISQは同意が必要となっている。同意とは、個人情報を取得されることを本人が認識し、また、利用されることを了解することである。未成年者の場合には、保護者の同意を必要とする。また、思想・宗教・人種・民族等のセンシティブ情報に関しては、本人の同意がない限り取得できないことになっている。そして、利用停止には応じなければならない。個人情報保護法が、理由のある場合に限り利用停止に応じなければならないことと比較すると、消費者への保護の規定が厳しく設定されている。

107

個人情報保護法について（２）JISQ15001について1997年に通産省（現経済産業省）が、民間企業が取り扱う個人情報の適切な保護を目的として、「民間部門における電子計算処理にかかる個人情報の保護に関するガイドライン」（以
下通産省ガイドライン）を公表した。このガイドラインに沿って、個人情報保護を企業が図る上での管理項目を定めた規格としてJISQ15001「個人情報保護に関するコンプライアンスの要求項目」が制定された。
プライバシーマーク制度は、このJISQ15001を基準として、個人情報保護の査定を行っている。
JISQ15001は、管理規格であるため、コンプライアンス・プログラムを作成し、企業の法令遵守体制を構築するときに利用するとよい。例えば、目的外利用、第三者提供、委託先の管理体制、開示請求、訂正請求、利用停止請求等はJISQ15001を遵守することにより、社内の管理体制が構築できる。
（３）プライバシーマークとは何か。
プライバシーマークとは、個人情報を上記のJISQ15001に準拠した取扱を適正に行っている事業者に対し、財団法人日本情報処理開発協会（JIPDEC）及びその指定機関が実地検査を行い、評価・認定し、プライバシーマークのロゴ使用を認定する制度である。
プライバシーマークの使用期間は2年間で、使用期間を更新したいときは更新審査を受けることになる。現在は、個人情報保護法にある個人情報保護推進の認定団体ではないが、同法の施行後はプライバシーマークの認定機関がその認定団体となる可能性がある。
産能大学が取得したプライバシーマークは、このマークである。個人情報保護法の概念よりも、厳しい運用を要求しており、一般的にプライバシーマークを取得すれば、個人情報保護法を守るべき、組織内のコンプライアンス・プログラムは機能していると見て良い。しかし、あくまでも別物であることははっきりさせておきたい。
（４）個人情報保護法の推進
個人情報保護法では、個人情報の適正な取扱の確保を目的とした民間団体による自主的な取り組みを支援するための規定があり、一定の条件を満たせば、主務大臣により認定を受けることができる。この認定団体は苦情処理、情報の提供を行う。
民間団体が、法の順守に一役買うわけで、この概念は非常に良いことである。市場原理を用いることで、政府は費用を節約しながら、実効性のある法律運用が可能になる。市場では、認定団体審査依頼企業と癒着して、おかしな運用をすれば、誰もその認定団体のプライバシーマークは信じなくなるであろう。また、審査依頼企業が後日、個人情報漏洩問題を起こし108

Sanno University Bulletin Vol.25 No. 2 February 2005て、その原因が従業員等の個人ではなく、依頼企業の組織・システムに起因するものであれば、その審査体制を疑われることになる。
図-10：苦情処理の流れ（7条）（36条、49条）

１，連携、協力、支援：
２，苦情の申し出：
３，指導、命令： →本人は、個人情報取扱事業者の苦情相談・処理窓口、地方公共団体、認定個人情報保護団
体、主務大臣、内閣総理大臣、国民生活センターに苦情の申し出をすることができる。また、訴訟を起こすことができる。
苦情の処理について、既存組織である国民生活センターは、内閣総理大臣（内閣府）（8条、
9条）、主務大臣（14条）、地方公共団体と連携・協力する。地方公共団体は、個人情報取扱事業者に対し、苦情処理の斡旋等（13条）を行う。内閣総理大臣（内閣府）と主務大臣は、連携・協力して、個人情報取扱についての基本方針を策定し（54条）、個人情報取扱事業者に対し、報告徴収、助言、勧告、命令（32条〜34条）を行う。主務大臣は、認定個人情報保護団体に対し、109個人情報保護法について

認定、監督（報告・徴収・命令・認定・取消）（46条〜48条）を行う。認定個人情報保護団体
は、個人情報取扱事業者に対し、苦情の解決を指導する。
（42条）
図-11：認定個人情報保護団体の仕組み（39条1項）（39条2項）（37条1項1号）（37条1項2号）（37条1項3号）

（44条）
（45条）
（46条〜48条）

110

Sanno University Bulletin Vol.25 No. 2 February 2005

Ⅳ まとめ
大量の個人情報を取り扱う組織体としては、以下のような基本方針が大切と考える。
１．個人情報保護に関する基本方針
個人情報は、個人の重要な財産であると言う認識を持ち、個人情報保護に関するコンプラ
イアンス・プログラムを理解する。個人情報を正確かつ安全に取り扱うことにより、顧客、取引先、関係者から得られた個人情報を守り、その信頼に応える。
個人情報に関するコンプライアンス・プログラムの目的は、適切な個人情報の収集及びその利用基準を設けることである。また、その運用規程を明確にすることでもある。
これらの基本方針を、いつでも見られるようにインターネットのホームページで公開したり、案内等に掲載したりすることで、常に閲覧可能な状態に置くことが重要である。
２．組織的活動
基本方針を具体化するために以下のような活動を継続して行う。
①組織体に関係する者（役員、従業員等）は、個人情報に関する法令及び規範を遵守する。
②個人情報保護管理者を選任し、コンプライアンス・プログラムの実施・運用に関する責任及び権限を与え、その業務を遂行させる。
③情報管理に従事するシステム管理責任者を選任し、システム監査を継続的に実施する。
④システム監査に基づき、社内の規定、運用基準を改善する。
⑤組織体と関係する企業、個人、学生に対し、規範の目的のための協力を要請する。
⑥コンプライアンス・プログラムは一度作れば良いものではなく、継続的に改善し、運用も時代に合わせて工夫する必要がある。
３．個人情報の取扱い
個人情報の収集・利用は、利用目的を明確にし、収集した個人情報の使用範囲を限定し、適切に取り扱う。また、個人の権利を尊重し、個人情報の開示・訂正・削除を求められたと
きは、合理的な範囲と期間、費用でこれに応じる。そして、当然ながら、個人情報が社外に流出・改ざんなどのトラブルが発生しないように、社内規定を整備し、組織を持って安全対111

個人情報保護法について策を実施する。
産能大学が行ってきた、コンプライアンス・プログラムの実施と、2004年5月30日に公布され、直ちに一部施行され、2005年4月から全面的に施行される予定の個人情報保護法の目的は、直接関係はないが、個人情報を保護するという大きな見地から同じ方向を向いていると考える。
大学・短大を合わせた１万人を越える学生と多数の受験生の個人情報を取り扱う上で、特に重要なことは、個人情報を保護しなければいけないという意識を関係者すべてが認識することと、個人情報保護を実行できる組織体制を作り、継続することである。来年４月からの個
人情報保護法の運用に、学内で行われた一連のコンプライアンス・プログラムの導入プロセ
スを継続的に役立てていきたい。

「参考文献」
１．書籍
三省堂 三宅弘2003年７月

・個人情報保護法入門

商事法務 岡村久道

2003年６月

・即答個人情報保護法

毎日コミュニケーションズ

・Q&A個人情報保護法解説

2003年12月

個人情報保護法研究プロジェクト
・よくわかるプライバシーマーク

日本実業出版社 松村澄夫

２．ホームページ・法務省ホームページ：http://www.moj.go.jp/
・NTTコミュニケーションズ：http://www.ntt.com/vcn/security/（個人情報保護法対策ガイド）・マクロナイズ：http://www.macronize.com/（個人情報保護体制構築コンサルタント）
・個人情報保護対策ステーション：http://www.kj-hogo.jp/
３．個人情報保護関連のガイドライン
・社団法人日本ダイレクトメール協会：http://www.jdma.or.jp/guide/guide00.htm
・社団法人日本テレマーケティング協会：http://www.jtasite.or.jp/top.html
・総務省；電気通信事業における個人情報保護に関するガイドライン：

112

2003年７月

Sanno University Bulletin Vol.25 No. 2 February 2005

http://www.soumu.go.jp/joho_tsusin/d_syohi/telecom_perinfo_guideline_intro.html
・通商産業省（H9.3.4）：民間部門における電子計算機処理に係る個人情報の保護に関するガ
イドライン：http://www.gip.jipdec.or.jp/policy/infopoli/privacy.html
・ＮＰＯ法人日本サポーター協会：http://www.jsa-npo.or.jp/about/privacyguide.html
・経済産業省（H16.10.22）：http://www.meti.go.jp/policy/it_policy/privacy/041012_hontai.pdf
・社団法人日本通信販売協会：http://www.jadma.org/guid_mai/guidelin.html（通信販売における個人情報保護ガイドライン）
・社団法人情報サービス産業（2000.05.10）：
http://www.jisa.or.jp/activity/guideline/pdp_body.html
・財団法人インターネット協会（1997．
）12.02：http://www.iajapan.org/privacy/
・横浜商工会議所（2000.09.20）：http://www.yokohama-cci.or.jp/ONLINE/theme7.html
・電子ネットワーク協議会：http://www.nmda.or.jp/enc/privacy-rev.html
・電子通信事業者協会：http://www.tca.or.jp/japan/infomation/privacy/
・厚生労働省（20040701）；雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針について：
http://www.mhlw.go.jp/topics/2004/07/tp0701-1.html
４．文中の図表
・出典：内閣官房個人情報保護室「法案の論点解説」から、一部修正したもの。

113