個人データの適正管理と第三者への提供（２）

を除く。」等とする必要があります。今まで使用していた秘密保持契約書のフォーマットに個人情報の保護の規定を書き加える場合には注意が必要です。

トップビジネスの知恵インターネットビジネスと法律 第二弾 第3回 個人情報保護法の再チェック 個人データの適正管理と第三者への提供

3.　第三者への提供〜Question

Q１ 　私の会社（個人情報取扱事業者に該当することを前提とします。以下同じ）は、顧客に無断で顧客名簿を親会社に提供しています。私の会社と親会社は、親子会社の関係なので、顧客名簿を顧客に無断で提供しても個人情報保護法に違反しません。
Q２ 　私の会社は、会員情報を第三者に提供していますが、会員からの求めがあれば第三者への個人データの提供をやめることにしていますので、いわゆるオプトアウトにあたり、問題ありません。
Q３ 　システムキッチンを販売している当社は、フライパン等の調理器具を販売している子会社と一体となって「総合調理システム」の販売を行っています。購入申込書には個人情報の利用目的として「総合調理システムの納品及びアフターサービス、新商品のご案内にのみ利用します。」と明示し、購入申込書をデータ化した「総合調理システム」の顧客データは当社が管理しています。当社が子会社に「総合調理システム」顧客データを渡して、子会社が調理器具の新商品のご案内を行うことは、利用目的の範囲内なので、なんらの通知も同意取得も必要ありません。
Q４ 　システムキッチンを販売している当社は、このたび「総合調理システム」を販売することになりました。そこで、当社は、当社の所有している「システムキッチン」顧客名簿を利用して「総合調理システム」に関するダイレクトメール（ＤＭ）を発送することにし、ＤＭ発送業務を、ＤＭ発送業者に委託しました。当社の顧客名簿をＤＭ発送業者に提供する行為には、なんらの通知も同意取得も必要ありません。尚、顧客には個人情報取得時に「総合調理システムに関するＤＭ発送」という利用目的が明示されているものとします。


4．第三者への提供〜Answer

A１ ×
　個人情報保護法第２３条では、「個人情報取扱事業者は、（略）あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。」としています。
ここにいう「第三者」とは、個人情報取扱事業者であるあなたの会社と個人情報の主体である本人以外の者ということですが、次の３つのケースは第三者に当たらないとされています。

（1） 利用目的の達成に必要な範囲内において個人データの取り扱いに関する業務の全部又は一部を委託する場合の受託者
（2） 合併、分社化、営業譲渡等により事業が承継され、個人データが移転される場合の承継者
（3） 定められた要件を満たした上で、個人データを特定の者との間で共同して利用する場合の共同利用者
また、以下の場合は、本人の同意なく第三者への提供ができることになっています。
(1) 法令に基づく場合。
　 例えば刑事訴訟法第２１８条（令状による捜査）や地方税法第７２条の６３（事業税に係る質問検査権）などによる場合は、強制力を伴っていて回答が義務付けられるため本人の同意なく個人データを第三者提供することができます。
(2) 人の生命、身体又は財産の保護のため。
　 この場合は本人の同意の取得が困難な場合に限られますが、例えば、急病の時に、本人の血液型や家族の連絡先を医師や看護師に提供する場合や、意図的に業務妨害を行う者の情報について情報交換される場合などがあたります。
(3) 公衆衛生の向上や児童の健全な育成の推進のため。
　 この場合も本人の同意の取得が困難な場合に限られます。
(4) 国の機関や地方公共団体等への協力
　 本人の同意を得ることにより公的機関の事務の遂行に支障を及ぼすおそれがある場合で、例えば税務署職員や警察など公的機関等の任意の求めに応じる場合などがあたります。

設問の場合、上で述べた第三者にあたらない場合、第三者提供できる場合のいずれにも該当しませんので、顧客に無断で親会社に顧客名簿を提供することは、個人情報保護法に抵触します。

A２ ×
　個人情報保護法第２３条第２項では、第三者提供におけるオプトアウトを行っている場合には、本人の同意なく、個人データを第三者に提供することができるとしています。
　「第三者提供におけるオプトアウト」とは、個人データを第三者に提供する前に、以下の情報を本人に通知、又は容易に知り得る状態に置くことを言います。

(1) 第三者への提供を利用目的とすること。
(2) 第三者に提供される個人データの項目（例：氏名、住所、電話番号等）
(3) 第三者への提供の手段又は方法（例：プリントアウトして交付等）
(4) 本人の求めに応じて第三者への提供を停止すること。

　設問の場合、会員からの求めがあれば第三者への個人データの提供を停止することを実施するのみで、上記各事項を通知、又は容易に知り得る状態に置くことを行っていませんので、個人情報保護法の定めるオプトアウトの条件を満たさず、問題となります。
　オプトアウト手続きは、例えば「当社は、○○会社に対して、顧客名簿内の氏名・住所をデータファイル形式で提供させていただきます。提供の停止をご希望される方は、○○窓口までご連絡下さい。」などとＨＰ上に記載することになります。
A３ ×
　Ａ１で述べたように、子会社は原則として「第三者」ですが、例外的に共同利用者であれば第三者には当たりません。このケースは親会社と子会社が「総合調理システム」の顧客名簿の共同利用者としての要件を満たすかどうかが問題となります。
共同利用する場合は、共同利用する前に以下の情報を本人に通知、又は容易に知り得る状態に置く必要があります。

(1) 共同して利用される個人データの項目（氏名、住所、電話番号等）
(2) 共同利用者の範囲（範囲が明確であれば個別に列挙する必要はありません）
(3) 共同して利用する個人データのすべての利用目的
(4) 本個人データの管理について責任を有する者の氏名又は名称（第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者を「責任を有する者」といいます）

　設問の場合には、利用目的の記載はあるものの、子会社が共同利用者である旨、共同して利用される個人データの項目、個人データの管理責任者の通知、又は容易に知り得る状態に置く措置がなく、子会社は第三者に該当してしまうため、本人の同意を得ずに提供することは問題があるということになります。

A４ ○
　「総合調理システム」のＤＭの発送をＤＭ発送業者に委託することは、総合調理システムに関するＤＭ発送という利用目的の達成に必要な範囲内において個人データの取り扱いに関する業務の一部を委託する場合にあたりますので、第三者提供にはあたらず、本人に何らかの通知をする必要や同意を取得する必要はありません。
　Ｑ３のケースでは、子会社は親会社の委託を受けてＤＭを発送するわけでなく、子会社の商品（調理器具）のＤＭを発送する、すなわち、個人データの取り扱いに関する業務の一部を受託しているわけではないため、このケースでは総合調理システムの顧客名簿の共同利用に関する通知、又は用意に知り得る状態に置く措置が必要でした。
　一方、資本関係のない別会社であるＤＭ発送業者に顧客データを渡す場合でも、利用目的の達成に必要な範囲内において個人データの取り扱いに関する業務の一部を委託しているだけであれば何らの措置も不要です。
　この場合、子会社（Ｑ３のケースでは共同利用者）に対しては監督義務は生じませんが、ＤＭ発送業者（Ｑ４のケースでは第三者・委託先）に対しては個人情報保護法第２２条に定められる委託先の監督義務が生じます。

5．まとめ

　今回は個人データの適正管理と、第三者提供について考えてみました。
個人データの適正管理は、自社や自社の従業員だけでなく、派遣社員や委託先にまで目を配らなくてはなりません。
また、技術的な面や物理的な面はお金をかければある程度のことはできますが、人的な面や組織面ではやはり自らこれを行うことが必要です。大変な作業になりますが、個人情報の漏えいを防ぐためには、取扱われている個人情報の内容に応じてバランスの取れた安全管理措置を取らなくてはなりません。
一方、第三者提供の方は、これは第三者提供なのか、それとも単に委託なのか、はたまた共同利用なのかなど考え方が非常に複雑です。
第三者提供であれば提供先の監督義務はありませんが、委託であれば委託先の監督は必要です。これらのことをちゃんと理解して適切な個人情報の提供を行うようにして下さい。
次回は、引き続きＷＥＢサイトの再チェックを、保有個人データに関する事項の公表、開示等について考えてみたいと思います。