中小事業者・団体向け
個人情報保護法説明会
～
個人情報の取扱についてのルール・制度に関する説明～
はじめに
◎平成２７年９月 個人情報保護法（以下「法」という。）の改正
公布の日（平成２７年９月９日）から２年以内の政令で定める日
→平成２９年５月３０日全面施行
◎個人情報取扱事業者
顧客や従業員の個人情報（氏名、住所、電話番号等）を紙面やパソコンで名
簿化して事業に活用しているすべての事業者に適用される。
→法人・個人、営利・非営利を問わず（NPO法人や自治会、PTAなども）
＊改正前は取り扱う個人情報の数が５０００人分以下の事業者は規制の対象外
であった
特例的対応と適用除外
◎特例的対応 小規模の事業者における安全管理措置については事業活動が円滑に行われるよう配慮 ＊従業員数が１００人以下の事業者（ただし、取り扱う個人情報の数が５０００人分超の事 業者や委託に基づいて個人データを取り扱う事業者は除く） ◎適用除外 １ 放送機関、新聞社、通信社その他の報道機関→報道の用に供する目的 ２ 著述を業として行う者→著述の用に供する目的 ３ 大学その他の学術研究を目的とする機関等・その所属者→学術研究の用に供する目的 ４ 宗教団体→宗教活動の用に供する目的 ５ 政治団体→政治活動の用に供する目的法の目的
①高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み ②個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人 情報の保護に関する施策の基本となる事項を定め ③国及び地方公共団体の責務等を明らかにするとともに ④個人情報を取り扱う事業者の遵守すべき義務等を定めることにより ⑤個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊 かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個 人の権利利益を保護することを目的とする。個人情報とは
◎生存する個人に関する情報で、次のいずれかに該当するもの ①当該情報に含まれる氏名、生年月日その他の記述等で作られる記録により特定の個人を 識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人 を識別することができることとなるものを含む） ②個人識別符号が含まれるもの →死者に関する情報は原則として対象とならない →氏名、住所、生年月日、顔写真、指紋認識データ、マイナンバー、旅券番号、免許証番号 個人の身体的特徴を変換したもの等も個人情報個人識別符号とは
◎以下のいずれかに該当するものであり、政令・規則で個別に指定される ①身体の一部の特徴を電子計算機のために変換した符号 →ＤＮＡ、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋 ②サービス利用や書類において対象者ごとに割り振られる符号 →公的な番号 例）旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー等要配慮個人情報とは
◎人種、信条、社会的身分、病歴、前科・前歴、犯罪被害情報など不当な差別、偏見等を生じ るおそれのあるもの 具体例） ・身体障害・知的障害・精神障害等があること ・健康診断その他の検査の結果 ・保健指導、診療・調剤情報 ・本人を被疑者又は被告人として、逮捕、捜索等の刑事事件に関する手続が行われたこと ・本人を非行少年等として、保護処分等の少年の保護事件に関する手続が行われたこと ＊取得については事前に本人の同意を得ることが必要 ＊オプトアウト手続きが取れない個人情報データベース等と個人データとは
◎個人情報データベース等 特定の個人情報について、コンピュータ等を用いて検索することができるように体系的に構 成した個人情報を含む情報の集合物のことで、コンピュータを用いていない場合でも紙面で 処理した個人情報を一定の規則（例：五十音順）に従って整理・分類し、特定の個人情報を容 易に検索することができるよう目次、索引、符号等を付し、容易に検索可能な状態にしている ものも含む ◎個人データ 「個人情報データベース等」を構成する個人情報保有個人データとは
◎個人情報取扱事業者が、本人又はその代理人から求められる開示、内容の訂正等の全て に応じることができる権限を有する個人データ ただし、以下のいずれか及び６か月以内に消去（更新することは除く）するものは除く ①本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの ②違法又は不当な行為を助長し、又は誘発するおそれがあるもの ③国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は 他国若しくは国際機関との交渉上不利益を被るおそれがあるもの ④犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがある もの個人情報取扱事業者の義務①
◎利用目的の特定（法１５条） できる限りの特定と利用目的を変更する場合（関連性があると合理的に認められる範囲） ◎利用目的による制限（法１６条） 利用目的の達成に必要な範囲の取扱と例外事由 ◎適正な取得（法１７条） 偽りその他不正な手段による取得の禁止と要配慮情報の取得には同意が必要 ◎取得に際しての利用目的の通知等（法１８条） 利用目的の公表又は通知（変更があった場合も） ＊取得の際に目的が明らかな場合は通知等をしなくても基本的な例外事由
①法令に基づく場合 ②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ること が困難であるとき ③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本 人の同意を得ることが困難であるとき ④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行する ことに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂 行に支障を及ぼすおそれがあるとき個人情報取扱事業者の義務②
◎データ内容の正確性の確保（法１９条） 個人データの正確かつ最新の内容保持と消去の努力義務 ◎安全管理措置（法２０条） 個人データの漏えい、滅失又はき損の防止と必要かつ適切な安全管理措置 ◎従業者の監督（法２１条） 従業者に対する必要かつ適切な監督 ◎委託先の監督（法２２条） 委託を受けた者に対する必要かつ適切な監督個人情報取扱事業者の義務③
◎第三者提供の制限（法２３条） 以下のいずれかの場合以外は、本人の同意なしに個人データを第三者に対して提供してはいけ ない。 ①法令に基づく場合、②人の生命、身体又は財産の保護のために必要がある場合であっ て、本人の同意を得ることが困難であるとき、③公衆衛生の向上又は児童の健全な育成の 推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき、④国 の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行すること に対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に 支障を及ぼすおそれがあるとき ＊但し、委託、事業承継、共同利用に伴って提供する場合は、第三者への提供に当たらないオプトアウト手続
◎本人の同意を得ない場合の第三者に対しての提供（社内の部署間は提供でない） 以下の手続が必要 １ 本人の求めに応じて、その本人のデータの提供を停止することとする ２ 以下の①から⑤をホームページに掲載するなど、本人が容易に知ることができる状態に しておく ①第三者提供を利用目的としていること、②提供される個人データの項目、③提供の方 法、④本人の求めに応じて提供を停止すること、⑤本人の求めを受け付ける方法 ３ 本人に通知した事項を個人情報保護委員会に届け出る ＊但し、要配慮個人情報については、オプトアウト手続による提供は禁止個人情報取扱事業者の義務④
◎第三者提供に係る記録の作成等（法２５条） ・第三者へ提供したときは、受領者の氏名等を記録し一定期間保存 ・保存期間は原則３年（本人に対する物品等の提供に関連して本人同意のもとで提供した場 合は１年） ・本人との契約等に基づく提供については既存の契約書等で代替可能 ・反復継続して提供する場合は包括的な記録で足りる個人情報取扱事業者の義務⑤
◎第三者提供を受ける際の確認等（法２６条） 第三者から個人データを受け取るときは、提供者の氏名等、取得経緯を確認し、受領年月 日、確認した事項等を記録し、一定期間保存する。 ＊次のようなケースでは確認・記録義務がかからないと整理 ・本人による提供と整理できるケース（例:SNS上の個人のプロフィール） ・本人に代わって提供と整理できるケース（例：銀行振込） ・本人側への提供と整理できるケース（例：同席している家族） ＊名簿屋対策 第三者提供時の記録等、第三者から受領時の確認・記録等 →違法に取得した思われる名簿は取得しない 18◎外国にある第三者への提供の制限（法２４条） 以下のいずれかに該当する必要 ①外国第三者へ提供することについて本人の同意を得る ②外国第三者が個人情報保護委員会の規則で定める基準に適合する体制を整備している ③外国にある第三者が個人情報保護委員会が認めた国に所在する ＊②の「適合する体制」について ・提供を受ける者における個人データの取扱いについて、適切かつ合理的な方法により、個人 情報保護法の趣旨に沿った措置の実施が確保されていること ・個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受 けていること
