質問: 個人情報保護法23条5項1号の解釈等について 【相談の背景】 委託先に対する個人情報の提供につきまして 【前提】 1.当社の取引先(以下「a社」といいます。)は、webページに設置する専用フォームから個人情報を取得します。 2.当社(以下「b社」といいます。)は、a社から、上記で取得した個人情報に係る個人に対してメールマガジンを配信することについて委託を受けます。 3.b社は前項の実施にあたり、a社より、取得した個人情報の提供を受けます。 【質問1】 a社が個人情報を取得する際、専用フォーム内に個人情報の「利用目的」を記載するということでよろしいでしょうか? 【質問2】 登記簿に掲載されているような公開済みの個人情報を取得する際は、プライバシーポリシー等により利用目的を「公表」すれば足りるが、未公開の個人情報を取得する際は、質問1のような方法となる理解でよいしょうか? 【質問3】 本件は、a社から、個人情報を提供され、メールマガジンの配信を委託されたということは、個人情報保護法第23条5項1号に該当し、b社は「第三者」に該当せず、個人情報の本人の同意は不要でよいでしょうか?
回答: > 【質問1】 > a社が個人情報を取得する際、専用フォーム内に個人情報の「利用目的」を記載するということでよろしいでしょうか? (利用目的の特定) 個人情報保護法第十五条 「個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的(以下「利用目的」という。)をできる限り特定しなければならない。」 (取得に際しての利用目的の通知等) 第十八条 「個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。」 ⇒おっしゃるとおりです。 > 【質問2】 > 登記簿に掲載されているような公開済みの個人情報を取得する際は、プライバシーポリシー等により利用目的を「公表」すれば足りるが、未公開の個人情報を取得する際は、質問1のような方法となる理解でよいしょうか? ⇒(利用目的による制限) 第十六条「3 前二項の規定は、次に掲げる場合については、適用しない。 一 法令に基づく場合」 具体的な内容如何ですが、おおむね上記のご理解でよろしいかと存じます。 > 【質問3】 > 本件は、a社から、個人情報を提供され、メールマガジンの配信を委託されたということは、個人情報保護法第23条5項1号に該当し、b社は「第三者」に該当せず、個人情報の本人の同意は不要でよいでしょうか? ⇒「利用目的の達成に必要な範囲内において」といえるかによります。 ⇒b社でも別途プライバシーポリシーを策定すべきかは具体的な判断を要します。 一度弁護士にご面談の上ご相談されておいたほうが安全かと存じます。 ご参考になれば幸いです。