『個人情報取扱事業者』として守るべき4つの義務とは？

個人情報とは？

個人情報保護法では、“個人情報”を以下のように定義しています。

『生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）』（個人情報保護法第2条第1項・一部要約）。

また、経済産業分野を対象とするガイドラインによると、『“個人に関する情報”は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報』と定められており、顔写真やDNA、指紋、虹彩はもちろん、旅券番号や基礎年金番号、免許証番号、マイナンバーなどの“個人識別符号”も個人情報に含まれます。

では、個人情報はどのように保護すればいいのでしょうか？

遵守すべきルールとは？

個人情報取扱事業者には、主に以下の４つのルールが課せられています。

（１）取得・利用について

・ “新商品のご案内送付のため”や“アフターサービスご案内のため”など、利用目的を具体的に特定し、本人に通知、または公表したうえで、その範囲内でのみ利用すること。

（２）保管について

・ 『紙媒体の書類は、施錠可能な引き出しに保管する』・『パソコンで管理する場合は、ファイルにパスワードを設定する』など、個人情報取り扱いのルールを定め、従業員に周知・教育を行い、漏えいなどが生じないよう安全に管理すること。
・ 個人情報を委託する場合は、委託先にも安全管理の徹底を求めること。

（３）提供について

・ 第三者に提供する場合は、あらかじめ本人の同意を得ること。
・ 第三者に提供した場合、および第三者から提供を受けた場合は、“いつ・誰の・どんな情報を・『誰に提供』もしくは『誰から提供』”などについて記録し、原則３年間は保管すること。

（４）本人からの開示請求への対応について

・ 本人からの開示等の請求があった場合は、これに対応すること。
・ 苦情等に適切かつ迅速に対応すること。

社内でルールを徹底するためには、就業規則に個人情報保護に関する規定を加え、マニュアルを作成するなどの環境整備が必要です。
情報漏えいが起きてしまったときの対応も含め、危機管理に関しては弁護士などの専門家に相談することをおすすめします。

※本記事の記載内容は、執筆日現在の法令・情報等に基づいています。
本稿は一般的な情報提供であり、法的助言ではありません。正確な情報を掲載するよう努めておりますが、内容について保証するものではありません。

執筆者：弁護士小野智博
弁護士法人ファースト＆タンデムスプリント法律事務所　代表弁護士
企業の海外展開支援を得意とし、日本語・英語の契約審査サービス「契約審査ダイレクト」を提供している。
また、ECビジネス・Web 通販事業の法務を強みとし、EC事業立上げ・利用規約等作成・規制対応・販売促進・越境ECなどを一貫して支援する「EC・通販法務サービス」を運営している。
著書「60分でわかる！ECビジネスのための法律 超入門」

当事務所のご支援事例