自社のＷＥＢサイトの再チェック（２）

　したがって、メールアドレスでも個人情報に該当する可能性があるため、個人情報保護法上、利用目的の特定、利用目的の変更禁止、利用目的の制限、適正な取得、利用目的の通知又は公表という義務に服する必要があります。
A８ ×
　個人情報を６ヵ月以内に消去する場合は「保有個人データ」とはなりませんが、ＷＥＢ上で応募を受け付ける場合は、受け付けた時点から個人情報がデータベース化されるので、６ヵ月の起算点は抽選のときからではなく、初めて応募をＷＥＢ上で受け付けた日からになりますので注意が必要です。
　「個人データ」については、個人情報保護法上、正確性の確保、安全管理措置、従業者の監督、委託先の監督、第三者提供の禁止という義務に服する必要がありますが、「保有個人データ」になるとさらに、利用目的や開示手続、苦情の申出先の公表、本人からの要求に応じた利用目的の通知、開示、内容が真実でないという理由による訂正、追加又は削除、目的外利用、不正取得、同意のない第三者提供を理由とする利用停止の義務に服する必要があります。
　「個人情報」、「個人データ」、「保有個人データ」のおのおのの義務を整理すると以下のような表になります。

5．利用目的と収集時の手続について〜Question

　個人情報を利用する際にはできる限り利用目的を特定しなくてはなりません。どのように特定すればよいのでしょうか。わかりますか。

Q９ 　私の会社では、ＷＥＢ上で個人情報を集めるにあたって、目立たない位置とはいえトップページに利用目的を「事業活動に用いるため」と明記しているので、個人情報保護法上問題はありません。
Q１０ 　私は、ＨＰ上で公表されている人の氏名を集めて名簿にしています。公表されている個人情報なので、特に何もする必要はありません。
Q１１ 　私の会社は、いままで「当社のワイン販売事業における注目商品に関する情報を電子メールにより送信するために利用します。」と利用目的を明示して、会員に電子メールで注目商品の案内をしていましたが、今回は、住所のわかる会員に郵便はがきで案内を送ることになりました。郵便はがきで案内を送る程度は目的外利用とまではいえないため、何らの手続も行う必要はありません。

6．利用目的と収集時の手続について〜Answer

A９ ×
　「利用目的の特定」という点と「利用目的の明示」という２点で誤りがあります。まず１点目、個人情報の利用目的は「可能な限り具体的に特定」しなければなりません。たとえば、「通信販売事業における、新商品に関する情報のお知らせ」など、具体的なもので、単に「事業活動に用いるため」では特定しているとはいえません。
　２点目は、直接本人にＷＥＢ上で個人情報を入力させて取得する場合には、個人情報の「利用目的を明示」しなくてはなりません。ＷＥＢ等ネットワーク上で本人から個人情報を直接取得する場合は、本人が個人情報を送信するボタンをクリックする前等にその利用目的が本人の目にとまるようにしなければなりません（利用目的の内容が示された画面に１回程度の操作でページ遷移するように設定したリンクやボタンでも可能です）。トップページの目立たない位置の記載では「明示」として不十分です。
A１０ ×
　たとえ公表されている個人情報でも、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに利用目的を本人に対し通知するか、公表しなくてはなりません。実務上は、都度利用目的を、本人に通知したりするのは面倒ですので、自社のＷＥＢ上に利用目的を具体的に特定して公表しておくべきでしょう。この場合、いわゆるプライバシーポリシーとあわせて掲載する例が多いようですが、「利用目的」はトップページから１回程度の操作で到達できるページに掲載する必要があります。
A１１ ×
　　このケースのように電子メールで注目商品の案内を送っていたところ、郵便はがきでも送る程度であれば、「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲」ですので目的外利用とまでは言えず、利用目的の変更として許容される範囲に含まれます。しかしながら、今回のように許容される範囲内で利用目的を変更した場合でも、変更された利用目的について本人に通知、又は公表する必要があります。したがって、「何らの手続きも行う必要はありません」は誤りです。
　尚、変更前の利用目的と相当の関連性がない利用目的に変更する場合は、あらかじめ利用目的の変更について本人の「同意」を得なくてはなりません。

7．まとめ

　個人情報保護法では、「個人情報」、「個人データ」、「保有個人データ」という３区分に個人に関する情報を分類し、それぞれに異なった義務を設定しています。個人情報保護法を理解する上では非常に重要な分類ですが、このそれぞれについて管理態様を変えるということは困難と思われます。「保有個人データ」となると管理が非常に煩雑になりますので、実務上は６ヵ月以内に廃棄・消去するということをルール化するという対応方法も検討する必要があるかと思います。
　次回は、引き続きＷＥＢサイトの再チェックを、個人データの適正管理、第三者提供などを中心に考えてみたいと思います。