個人情報保護法とは（１）

個人情報保護法　WIＳDOM　インターネットビジネスと法律より
佐々木美咲　著
第1回　個人情報保護法wisdom20050829
1.　個人情報保護法とは
　個人情報保護法は、個人情報の有用性に配慮しながら、個人の権利や利益を保護することを目的とした法律です。
　 そのため個人情報保護法では、民間事業者の個人情報の取扱いに関して共通する必要最小限のルールを定めるに留まっています。個人情報保護法を遵守していていたとしても、その取扱いが不適切であれば民事上の損害賠償請求の対象となる可能性も十分にあります。そのため、各事業者は、その属する事業分野の実情に合わせて、自律的に取り組むことになりますが、その参考となるのが主管官庁の出すガイドラインです。
　 インターネットビジネスと法律をお読みの多くの方々に関係するのが、経済産業省の出している「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」だと思います。経済産業省のガイドラインでは、従わなかった場合、経済産業大臣から個人情報保護法違反と判断され得る規定（「〜しなければならない。」と記載されています）と、従わなくても個人情報保護法違反と判断されることはないが、個人情報保護の推進のために取り組むことが望ましいとされる規定（「〜望ましい。」と記載されています）によって構成されています。
　 第一回の「個人情報の保護」でも述べましたが、「個人情報保護法」を守ることは当然ですが、「個人情報」を守るということがより重要ですので、そのためにもガイドライン（特に「〜望ましい。」と規定されている事項）を参考にして、個人情報を保護することが必要でしょう。
2. 個人情報とは
　個人情報とは、生存する個人に関する情報で、これに含まれる氏名、生年月日その他の記述によって特定の個人を識別することができるもの（他の情報と容易に照合することにより特定の個人を識別することができることとなるものを含みます）をいいます。
　これをキーワードごとに解体してみますと、個人情報とは、「生存する」、「個人に関する」、「特定の個人を識別できる」情報ということになります。
　 「生存する」とは、解説するまでもなく読んでそのままですが、死者に関する情報でも、例えば遺伝子情報や家族構成情報など、その情報が同時に生存する遺族等の個人に関する情報になる場合もありますので、注意が必要です。尚、日本の法律だからといって日本人の情報だけが対象ではなく、外国の方の個人情報も含まれます。
　次に、「個人に関する」とは、氏名、生年月日、性別等の個人を識別する情報に限ることなく、個人の身体、財産、職種、肩書等の属性に関して事実・判断・評価を表す情報や、映像、音声による情報も含まれます。これらの個人に関する情報には刊行物等によって公にされている情報ももちろん含まれます。電話帳や職員名簿等で一般的に配布されているもので公にされているケースは良くありますが、ここでは公に知られているかどうかは関係ないということです。
　そして、「特定の個人を識別できる」とは、その情報だけで特定の個人を識別できるというものに限らず、身近にある他の情報と照合して容易に特定の個人を識別できることも含むという意味です。例えば、顧客番号を例にとります。ある会社（ここではＡ社とします）が顧客に連番だったり、何らかの方法で番号をつけます。Ａ社においては顧客番号と氏名は必ずひも付けられています。ですから顧客番号単体であったとしてもＡ社にとっては、容易に氏名を関連づけることができるため「特定の個人を識別できる」ことになります。
　以上のことから、個人情報の具体例には、「本人の氏名」や「本人の氏名」と組み合わされた「住所」、「電話番号」、「生年月日」という情報や、撮影された本人が判別できる映像情報などが挙げられます。
　一方、個人情報に該当しないものとして、記号や文字列だけからなる電子メールアドレスが例としてよく挙げられていますが、上に書いたように他の情報と照合して容易に特定の個人を識別できれば、個人情報となりますので注意が必要です。インターネットプロバイダなどは、加入している会員のメールアドレスと住所・氏名を容易にリンクできるでしょうから、インターネットプロバイダにとって、会員の電子メールアドレスは記号や文字列だけからなるものであっても個人情報になります。
　顧客の電子メールアドレスのみをデータベース化している場合は、「[e-mail]」のように「ＮＥＣ商事の山田太郎」と個人が特定できる電子メールアドレスと、「ABC12345@〜」記号と文字列のみからなって個人が特定できない電子メールアドレスの２種類が混在しているものと思われます。個人が特定できる電子メールアドレスをデータベースから消去しないかぎり、記号と文字列のみからなる個人が特定できない電子メールアドレスも含んだデータベース全体を個人情報の集合とみなして、取扱うべきでしょう。
　尚、個人情報保護法上は、個人情報について「個人情報」、「個人データ」、「保有個人データ」という使い分けをしています。そのそれぞれによって管理義務等が異なりますので注意が必要ですが、詳しくは次回以降ご説明します。
3. 個人情報取扱事業者とは
　1.の個人情報保護法の解説のところで、個人情報保護法では民間事業者の個人情報の取扱いに関して共通する必要最小限のルールを定めていると書きましたが、この民間事業者のことを個人情報保護法では「個人情報取扱事業者」といいます。
　「個人情報取扱事業者」とは、個人情報データベースを事業活動に利用している事業者のことですが、個人情報データベースに登録される個人情報の件数が過去６ヵ月間一度も５，０００件を超えていない場合は、個人情報保護法上は「個人情報取扱事業者」には該当しません。これは、取扱う個人情報の量からみて個人の権利利益を害するおそれが少ないからという理由です。
　個人情報データベースとは、電話帳やカーナビ情報などの一定の例外を除き、個人情報がデータベース化されたものをいいます。メールソフトのアドレス帳に氏名とメールアドレスを入力したものや、もらった名刺を表計算ソフトに入力したものなども個人情報データベースになります。
　そして、個人情報データベースには、コンピュータに入力された情報のみならず、５０音順など検索可能な状態にファイルされた紙媒体も含みます。
　一方、応募はがきなどが、氏名、住所等で分類整理されていない状態であれば、これは個人情報データベースではありません。
　尚、５，０００件の数え方については、同一個人の重複がある場合は、これは1件として数えます。また、１００件づつの個人情報データベースを５０個ほど事業のために使っていれば、その中の個人情報に重複がない限り５，０００件の要件を満たすことになります。
　一方、データセンターや倉庫業のような業務をされている場合、顧客から情報を預かりますが、その情報が個人情報に該当するかどうかは認識されておらず、これは個人情報データベースを事業の用に供していないので、何件預かっていようとカウントしません。
　他方、従業員情報は通常会社においてデータベース化されていますが、これは会社の事業活動のために利用される個人情報なので、５，０００件のカウントに含まれます。ですから、社員の方が５，０００名以上いらっしゃる会社は、通常個人情報取扱事業者になります。
4. 個人情報を取扱うにあたって守らなければならないルール
　個人情報保護法上、個人情報取扱事業者は、以下のようなルールを守らなくてはいけません。
　しつこいくらい重ねてになりますが、個人情報保護法を守ることは大切ですが、個人情報を保護することがより重要ですので、個人情報保護法上の個人情報取扱事業者に該当されない方も、これらのルールを参考にして個人情報を取扱うべきではないかと思います。尚、個人情報保護法第３条は、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」と規定しています。個人情報取扱事業者であるかなしかにかかわらず、個人情報を適正に取扱わなくてはならないということが個人情報保護法の基本理念です。
(1) 個人情報の利用に関するルール
　個人情報を取扱う場合、個人情報の利用目的を出来るだけ特定し、その利用目的の達成に必要な範囲を超えて個人情報を取扱ってはなりません。
　例えば、個人情報の利用目的を「商品の発送のため」とした場合、新商品の案内等のダイレクトメールを送ることに使うことは出来ません。
(2) 個人情報の取得に関するルール
　偽りやその他不正な手段によって個人情報を取得することは禁止されます。