July 2016

日本システム監査人協会 会報
2016.6「新個人情報保護法」がＰＭＳに及ぼす影響 ～ＰＭＳハンドブック読者！必読！～

第3回

会員番号 1795 藤澤 博（個人情報保護監査研究会）
今月号では「第四章 個人情報取扱事業者の義務等」から解説します。今回ご紹介する条項は、すべて未施行で、交付の日（2015年9月9日）から二年を越えない範囲において施行される予定です。
法改正にあたり、最終改定では、第24条～第26条が新設され、例えば第25条は（第三者提供に係る記録の作成等）となります。しかしながら、2016年6月1日現在、政府の法令サイトでは、第二十五条は（開示）のままと公表されています。
http://law.e-gov.go.jp/htmldata/H15/H15HO057.html
この連載では、最終改定の内容について解説するため、現行の条項番号を漢数字で、最終改定後の条項番号をアラビア数字で区別して、ご紹介していきます。
第３項【2016年１月１日から施行】（第1回連載内容を以下のとおり訂正します）（中略）第25条（第三者提供に係る記録の作成等）、第26条（第三者提供を受ける際の確認等）、第27条（保有個人データに関する事項の公表等）、第30条（利用停止等）
第32条（開示等の請求等に応じる手続）、第34条（事前の請求）、第37条（匿名加工情報の提供）（以下略）

この連載の前回までの内容は、以下のサイトで閲覧できます。
目次 ＝https://www.saaj.jp/03Kaiho/saajpmsHoritsu/000PIPHoritsu.html

第四章 個人情報取扱事業者の義務等
第一節 個人情報取扱事業者の義務第十五条（利用目的の特定）
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
※“相当の” が削除された理由：“相当の”を判断することが困難であるという理由だと考えられます。“あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。”原則には変わりがありません。

第十六条（適正な取得）
個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

日本システム監査人協会 会報1

July 2016

日本システム監査人協会 会報
三公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

五

当該要配慮個人情報が、本人、国の機関、地方公共団体、第７６条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合 六 その他前各号に掲げる場合に準ずるものとして政令で定める場合※一の「法令に基づく場合」とは、弁護士など、守秘義務を負った専門家が、本人の犯罪経歴について調査をするなど、特殊な場合に限定されると考えられます。
“本人の同意を得ることが困難であるとき”という条件は重要です。経済産業省GLでは、原則として、取得した後に、本人に通知をすることが望ましいとされています。
第十八条（取得に際しての利用目的の通知等）
個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
（以下省略）※「個人情報データベース等」のうち、一定の規則で匿名化したものを、第三者提供できるようにするため、カッコ書きに “電磁的記録”が追加されました。
第十九条（データ内容の正確性の確保等）
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
※ 特定個人情報ガイドライン第4－3－(3)Ｂ（保管制限と廃棄）では、継続して保管できる事例として、以下が記述されています。
＊ （中略）従業員等から提供を受けた個人番号を給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために翌年度以降も継続的に利用する必要が認められることから、特定個人情報を継続的に保管できると解される。
※

特定個人情報ガイドライン（別添）特定個人情報に関する安全管理措置（事業者編）
Ｅ 物理的安全管理措置ｄ（個人番号の削除、機器及び電子媒体等の廃棄）に、以下の具体的な廃棄方法が記載されています。事業者は、これを参考にして、リスクに応じた対策を安全管理規程等に定める必要があります。
≪手法の例示≫日本システム監査人協会 会報2

July 2016

日本システム監査人協会 会報＊ 特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解等の復元不可能な手段を採用する。
＊ 特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除
ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用する。
＊ 特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用する。
＊ 特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築する。
＊ 個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定める。
【中小規模事業者における対応方法】○ 特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認する。

第二十三条（第三者提供の制限）（中略）
2 個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一

第三者への提供を利用目的とすること。

二

第三者に提供される個人データの項目

三

第三者への提供の方法

四

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

五

本人の求めを受け付ける方法

3 個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
4 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。
5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

日本システム監査人協会 会報3

July 2016６日本システム監査人協会 会報
個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
※ 第２項は、オプトアウト規定（本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する）です。プライバシーマークでは、現在オプトアウトは不適合とされていますので注意が必要です。
※

オプトアウト規定に従い（あらかじめ本人から同意を得ずに）第三者提供をしようとする場合、事業者は、一～五の項目を個人情報保護委員会へ届出るとともに、個人情報保護委員会は、その内容を公表します。

※ 第５項の三は、共同利用について規定しています。プライバシーマークでは、共同利用は第三者提供の一類型とされていますが、新法では、“第三者に該当しない”という概念が導入されました。（現行の経済産業省GLでも同様の概念です。）しかし、“直接本人から取得”ではありませんので、必要事項を公表する必要があります。
第24条（外国にある第三者への提供の制限）（新設）

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
※“我が国と同等” の判断基準は、今後、個人情報保護委員会規則に定められる予定です。
本人の同意を得ることができれば、自由に外国に提供してよいのかどうか、疑問の残るところです。また本人から、“我が国と同等の水準”であるか、と、事業者は説明責任を求められることでしょう。
第25条（第三者提供に係る記録の作成等）（新設）

個人情報取扱事業者は、個人データを第三者（第2条第五項各号に掲げる者を除く。以下この条及び次条において同じ。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第23条第一項各号又は第五項各号のいずれか（前条の規定による個人データの提供にあっては、第23条第一項各号のいずれか）に該当する場合は、この限りでない。
２ 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
※第2条第五項各号に掲げる者とは、国の機関等を指します。
日本システム監査人協会 会報4

July 2016

日本システム監査人協会 会報※今後、第三者提供する場合、個人情報保護委員会規則で定められる事項の記録を作成し、保管することになります。

第26条（第三者提供を受ける際の確認等）（新設）

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委
員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第23条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

二 当該第三者による当該個人データの取得の経緯
２

前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

３

個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

４

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
※ 第26条は、第十七条（適正な取得）と関連しています。つまり、不正な手段で取得した個人情報でないことを確認することが目的です。
※ 現行の経済産業省GLでは、下記のように記載されています。
第三者から個人情報を取得する場合には、提供元の法の遵守状況（略）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、その都度、例えば、取得の経緯を示す契約書等の書面を点検する等により、当該個人情報の取得方法等を確認したうえで、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
※ 第26条が施行された後は、第三者から提供を受ける場合、個人情報保護委員会規則で定められる事項の記録を作成し、保管することになります。
※ 第26条第２項に違反した場合は、十万円以下の過料に処せられることになります。（新法罰則第88条）
・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

次回は、「第四章の続きで、第27条 保有個人データに関する事項の公表等」から解説します。
バックナンバー目次 ＝https://www.saaj.jp/03Kaiho/saajpmsHoritsu/000PIPHoritsu.html「ＰＭＳハンドブック」の読者専用ダウンロードサイトでは、新個人情報保護法、番号利用法の改正を反映した規程・様式集を公開しています！！
SAAJ「ＰＭＳハンドブック」ご紹介サイト：http://www.saaj.or.jp/shibu/kojin.html
認定NPO法人日本システム監査人協会 個人情報保護監査研究会 ■＜目次＞
日本システム監査人協会 会報5