December 2013

日本システム監査人協会 会報
2013.11「個人情報保護マネジメントシステム実施ハンドブック」簡易版

第 16 章

個人情報保護監査研究会

第16章

本人の権利

“本人の権利”とは、個人情報は“本人のもの”という理念に基づいています。

16.1

開示対象個人情報とは開示対象個人情報とは、JIS Q15001:2006 規格の用語です。規格では、個人情報保護法でいう“保有個人データ”と同様の概念ですが、件数（5000 件）や消去までの期間（6 ヶ月）を問いません。
開示対象個人情報は、事業者が取得・保有し、本人からの求めに応じて開示等の求めに応じる権限を有している個人情報になります。
本人から開示等を求められた場合は、事業者は、法令等にもとづき、遅滞なくこれに応じる必要があります。

16.2

開示対象個人情報に含まれないもの

受託する個人情報は、委託元に管理権限があるため、開示対象個人情報に該当しません。
また、当該個人情報の存否が明らかになることによって次のいずれかに該当するおそれのある場合は、開示請求に応じる必要はありません。
当該個人情報の存否が明らかになることによって・・・a) 本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるものb) 違法又は不当な行為を助長し、又は誘発するおそれのあるもの
c) 国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの
d) 犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序維持に支障が及ぶおそれのあるもの
ただし、回答に応じられない場合であっても、本人に対し上記 a)～d)のいずれかの理由を示して、遅滞なく通知しなければなりません。
なお、人事評価制度で人事考課の結果を本人に公開しないと決めた場合など、事業者の判断で開示対象個人情報に含めなくてもよいケースがあります。この場合は「3312 個人情報管理台帳」の開示区分に非開示であることを明記し、取り扱いを明確にします。

16.3

開示等の求めに応じる手順

事業者は、本人からの開示等の求めに応じる手続きは、本人に過大な負担を課さない範囲で、下記 a)～d)を定めます。
a) 開示等の求めの申し出先b) 開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式
c) 開示等の求めをする者が、本人又は代理人であることの確認の方法d) 利用目的の通知又は開示による場合の手数料およびその徴収方法※b)開示等の求めの書式として「3440-01 個人情報開示等請求書兼回答書」を定め、個人情報保護管理者の承認を得て回答します。
d)手数料の徴収方法は「切手」の同封や「金融機関振込」などを定めます。

日本システム監査人協会 会報1

December 201316.4

日本システム監査人協会 会報

開示対象個人情報に関する事項の周知など

開示対象個人情報に関する事項の周知は、ホームページ公表への公表が一般的です。
ホームページを持たない事業者は、リーフレットを用意します。
ホームページに公表する項目
a) 会社名b) 個人情報保護管理者の氏名、所属及び連絡先
c) すべての開示対象個人情報の利用目的
d) 開示対象個人情報の取扱いに関する苦情の申し出先e) 認定個人情報保護団体の名称及び苦情の解決の申し出先
f)
3.4.4.2 によって定めた、下記の手続き
a)開示等の求めの申し出先b) 開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式c) 開示等の求めをする者が、本人又は代理人であることの確認の方法d)利用目的の通知又は開示による場合の手数料およびその徴収方法「3210 個人情報の取扱について」に開示対象個人情報に関する事項について規定し、公表します。
公表の事例（「3210 個人情報の取扱について」の一部）

事例：「3440-01 個人情報開示等請求書兼回答書」の一部

日本システム監査人協会 会報2

December 201316.5

日本システム監査人協会 会報

利用目的の通知

利用目的の通知など、回答を行う場合は、遅滞なくこれに応じなければなりません。
回答までの期間は約 1 週間～2 週間以内が適切です。
事例：「3440-01 個人情報開示等請求書兼回答書」の一部

利用目的を通知しなくてよい場合は、下記の場合に限定されています。
(法 18 条：努力義務、JIS：義務)
3.4.2.5 a) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
3.4.2.5 b) 当社の権利又は正当な利益を害するおそれがある場合
3.4.2.5 c) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがあるとき
3.4.2.5 d) すべての開示対象個人情報の利用目的を公表している場合。
ただし、回答しない場合であっても、その理由を示して本人に通知しなければなりません。

16.6

開示請求

開示請求に応じない場合は、下記の場合に限定されています。
(法 25 条：努力義務、JIS：義務)a)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b)

当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合

c)

法令に違反することとなる場合

c)の法令に違反することとなる場合では、金融機関が「組織的な犯罪の処罰及び犯罪利益の規制等に関する法律」第 54 条第 1 項に基づき、犯罪に係る取引について主務大臣に届け出を行った場
合、そのことを本人（犯罪関係者）に知らせることが、同条第 2 項違反となる、等の事例があります。
日本システム監査人協会 会報3

December 201316.7

日本システム監査人協会 会報

訂正、追加又は削除訂正等が必要でないと判断した場合や、訂正等の請求が正しくないと判断した場合には、訂正等を行う必要はありませんが、他の請求と同様に、その理由を本人に通知します。

16.8

利用又は提供の拒否権

利用又は提供の拒否に応じない場合は、下記の場合に限定されています。
(法 27 条第 1 項：努力義務、JIS：義務)

16.9

a)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b)

当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合

c)

法令に違反することとなる場合

本人および開示対象個人情報の確認

本人から開示等の要求があった場合、本人であることの確認、および開示対象個人情報であるかどうかを、確認してから対応します。
本人確認を行う場合は、できる限り保有している個人情報と照合し、本人確認のためだけに、あらたな個人情報を取得することはできる限り避けなければなりません。例えば、現住所を確認するためだけに、本籍記載の住民票を取得することのないよう注意します。

16.10

本人への回答方法

本人への回答は、開示等受付担当者が「3440-01 個人情報開示等請求書兼回答書」に記載し、個人情報保護管理者の承認を得て、書面もしくは本人が同意した方法によって回答します。
開示等の求めに応じられないときも同様に、個人情報保護管理者の承認を得て回答します。
■

次回は「第 17 章教育」「第 18 章 文書管理」「第 19 章 苦情」をご紹介します。＞目次へ
個人情報保護監査研究会 http://www.saaj.or.jp/shibu/kojin.html

日本システム監査人協会 会報

以上4