質問: 個人情報保護法対象の個人情報取り扱い事業者とは 個人情報保護法対象の「個人情報取り扱い事業者」とは、過去6ヶ月以内に取り扱った個人情報が 5千件以上の事業者と聞いております。 では、6ヶ月以前に取り扱った別の個人情報が当該事業者のデータとして保存されていた場合でも、 同法で言うところの「取り扱い事業者」には該当しないのでしょうか?
回答: 個人情報保護法で対象になるのは「個人情報」全般ではなく、「保有個人データ」になります。 「保有個人データ」というのは、事業者がデータベースの中に保管しているデータのことをさします。 (この場合のデータベースは電子媒体に限らず体系的に保管していることを指します) このデータベースの中に保管している期間が6ヶ月以上の個人情報が、今回の法律の対象になります。 要は取得してから6ヶ月以内に消去してしまうデータは、この法律の対象にはなりません。 これらをまとめてひらたくいえば、 「長期間(半年以上)保有している個人情報が5千件以上」ある時点で、 その事業者は「個人情報取扱事業者」となるわけです。 ご質問を読む限りは、法律の内容と逆の解釈をされているようですので、 気をつけて確認されたほうがいいかと思います。 ただし、一部業種では法律に係る省令・ガイドライン等で、 対象の幅を広く設定しているところもありますので、注意が必要です。 例えばプロバイダなど電気通信事業者は、総務省のガイドラインで、 「保有個人データ」だけではなく「全ての個人情報」が対象になっており、 法律では対象ではなくとも、結果的にガイドラインへの対応が必要になる場合があります。 私も今、この知識が必要なので、この法律関連を勉強している最中です。 私の理解では、「今後使うことがない個人情報はとっとと捨てる」 ほうが、リスクがないかなと考えています。