個人情報を守れ！～リスク把握と漏えい対策の基礎知識～

ＩＴ機器の普及，技術の発展

1. (1)　取り扱い可能な情報の質・量の拡大 情報の大量高速処理のほか，以前は補足不可能であったような情報も収集・記録できるようになった。 ex.　インターネットの閲覧・購入等の履歴，電子マネーの利用履歴，GPSの位置情報など
2. (2)　情報の利用が容易になった（電子化）
   情報が電子的に記録されることにより，情報の分析，加工，活用，複製，伝達などが簡単になった。
   ➡　反面，情報漏えいが簡単に起こりうるようになったと言える。

情報漏えいによるリスク

• 業務停止（営業の自粛）
  原因が明らかになるまでシステム停止
• 信用低下
  取引停止・解約等のリスク
• 事後処理のコスト発生
  原因調査，苦情処理，お詫びの品ほか
• 株価下落（上場企業の場合）
• プライバシーマーク認定の取消
• 個人情報保護法違反による勧告等，罰則等
• 民事上の損害賠償責任（プライバシー侵害）

• 「プライバシー権」（憲法１３条の人格権）
  「私生活をみだりに公開されない権利」
  ※近時の有力説「自己情報コントロール権」
• プライバシー侵害の法的効果
  ・・・損害賠償請求ないし差止め請求
• 「個人情報」
  情報の種類は問わない
  ➡　個人を識別するに足りる情報
  （自己情報コントロール権に近い発想）
  　
  違反の効果・・・主務官庁の勧告等，罰則
  個人情報保護法違反が直ちにプライバシー侵害として民事上の請求の対象となるわけではない（逆に個人情報保護法を遵守できていてもプライバシー侵害とされる場合も有り得る？）
  ➡　個人情報保護法の規定の遵守　＋　プライバシー侵害への配慮　が必要

漏えい事故の原因

主な個人情報漏洩事故の原因

• 管理ミス・・・誤廃棄など
• 誤操作・・・誤送付，誤交付など
• 紛失・置き忘れ
• 盗難
• 不正な持ち出し
• ソフトウェアのバグ，セキュリティホール
• 不正アクセス

漏えいの経路等

• 紙媒体
• 記録媒体（USBメモリ，CDRなど）
• 電子メール
• パソコン本体
• インターネット

など

漏えい事件の発生要因

Ex.意図的な持ち出しのケースの場合
①　情報を持ち出す人間の動機（換金目的，会社への恨み等）
＋
②　情報を持ち出しやすい環境（漏えい防止対策が不十分）
➡　これらのファクターを最小化する

（行為者の動機）について
行為者に対する抑止力は？
➡　犯罪成立しないか

「情報」の持ち出し・・・何罪？
➡　窃盗罪が成立しない？
刑法235条：他人の「財物」を窃取した者
※「情報」は「財物」か（無体物と有体物）
ｃｆ．電気は財物（刑法245条）

問題となりうる犯罪

• 窃盗罪，横領罪，背任罪
  （会社所有の紙媒体，記録媒体）
• 信書開封罪（封書に入っていた情報）
• ネットワーク上のPCのアクセス制限がかかった情報（不正アクセス禁止法）
• 営業秘密（不正競争防止法）
  ※3要件（秘密管理性，有用性，非公知性）

「情報」の持ち出し行為については，罰することが出来ないわけではないが，犯罪の成立範囲が限定されている。
➡　抑止力が十分に働かない可能性
➡　なるべく刑罰の対象とできるような管理が必要（＝　漏洩防止策の徹底）
※個人情報保護法の義務遵守と重なる

• 個人情報漏えい対策
  ➡　個人情報保護法制で要求されている情報管理の水準を理解するのが第一歩
• 個人情報保護法の理解
  ➡　利用可能な情報の把握＝経済活動の促進

個人情報保護法の構成

第1章：総則（目的・定義・基本理念）
第2章，第3章：国・地方公共団体の責務・施策
第4章：個人情報取扱事業者の義務
第5章，第6章：雑則，罰則
※　義務を負うのは「個人情報取扱事業者」
※　漏えい対策のために重要なのは第4章

押さえておくべき用語の定義

• 「個人情報」（2条1項）
• 「個人データ」（2条4項）
• 「保有個人データ」（2条5項）
• 「個人情報取扱事業者」（2条3項）
  ➡　何が保護の対象となる情報なのか？ 誰が義務を負うのか？

重要な用語の定義

「個人情報」（法2条1項）

• ①「生存する」「個人」に関する情報
  ※　死者に関する情報
  ※　法人その他の団体に関する情報
• ②「特定の個人を識別することができるもの」
  ※　個人識別性に着目
  ※　情報の種類により区別されない
• ③　他の情報と照合することにより「容易に」
  特定の個人を識別できるもの
  ➡　ｅｘ．通常の作業範囲において，個人情報データベース等にアクセスし，照合することができる場合
  ※他の事業者への照会を 要する場合，当該事業者内部でも取扱部門が異なる 場合等であって照合が困難な状態を除く。（経産省GL）

「個人データ」（2条4項）とは？

＝　個人情報データベース等を構成する個人情報
※「個人情報データベース等」：個人情報を含む情報の集合物であって，特定の個人情報を容易に検索可能なように体系的に構成したもの

「個人情報データベース等」

いわゆる 「データベース」 は当然含まれる
電子データでなくとも，紙媒体でも該当しうる
　
Ex.　名刺は？
➡　50音順等で管理されてインデックスを配したような形で，容易に検索することができるように整理してあるものは含まれる

「保有個人データ」とは？

＝　「個人データ」のうち，個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するもの（その存否が明らかになることにより公益その他の利益が害されるもの，６か月以内に消去することとなるものは除く）

まとめ（「個人情報」「個人データ」「保有個人データ」）

「個人情報取扱事業者」とは？

＝　個人情報データベース等を事業の用に供している者
※　但し，その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ない者は，除外される。

「個人情報取扱事業者」（適用除外）

※「取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ない」
➡「その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去 6ヶ月以内のいずれの日においても5000を超えない者」 （政令）
「特定の個人の数の合計が過去 6ヶ月以内のいずれの日においても5000を超えない」
➡※数え方（経産省GL）
「当該事業者の管理するすべての個人情報データベース等を構成する個人情報によって識別される特定の個人の総和により判断」（但し，同一個人の重複分は除く）

「個人情報取扱事業者」にあたるかの判断手順

• 個人情報の数の把握
  ※従業員情報や株主情報も含まれる
• 個人情報を含むデータベースの把握
  ➡　「個人情報データベース等」にあたるか
• 個人情報の重複の有無の判定
• 事業の用に供しているか

個人情報取扱事業者の義務

○個人情報取扱事業者であれば，個人情報保護法の各規定を遵守する必要がある
➡　「個人情報」，「個人データ」，「保有個人データ」に対応する義務規定を確認

事業者の義務

１．「個人情報」に関する義務

• 利用目的の特定（15条）
• 利用目的による制限（16条 )

※目的外利用が許される場合

• 適正な取得（17条)
• 取得に際しての利用目的の通知等（18条)

＜ポイント＞

• 利用目的はあらかじめ出来る限り特定
• 取得時に，本人に通知又は公表
• 利用目的の範囲内でのみ取り扱う必要あり

※「当社のサービス向上のため」という目的は？

２．「個人データ」に関する義務

データ内容の正確性の確保（１９条）　※努力義務
安全管理措置（２０条）
従業者の監督（２１条）
委託先の監督（２２条）
第三者提供の制限（２３条）

「個人データ」に関する義務

安全管理措置（20条）

ｃｆ．経産省のガイドライン
（１）組織的安全管理措置
（２）人的安全管理措置
（３）物理的安全管理措置
（４）技術的安全管理措置
※「しなければならない事項」と「望まれる具体的手法」が示されている。

組織的安全管理措置

組織体制整備

責任者の設置，データを取り扱う人間を限定する，監査体制の整備
漏えい事故の兆候を発見した時の連絡・報告体制
漏えい事故が発生した時の報告・連絡体制
本人・主務大臣等への情報提供体制

個人データの取扱規程整備

・・・取り扱いの段階に従った内容の例示
①取得・入力段階，②移送・送信段階，③利用・加工段階，④保管・バックアップ段階，⑤消去・廃棄段階など　　　※詳細は経産省GL参照

人的安全管理措置

※漏洩事故の原因　➡人為的ミスによるものが多い
∴　従業者等の意識を高める必要

• 従業者の役割等を定めた規程類の周知を図る
• 従業員教育・訓練　など

技術的安全管理措置

情報管理・・・情報技術への依存が強まっている。
➡　システム整備による漏えいリスクの低下は明らか

※但し，予算制約の問題
➡　保有している情報の質・量等にあわせた合理的な範囲内における措置を講ずること

物理的安全管理措置

情報管理・・・情報技術への依存が強まっている。
➡　システム整備による漏えいリスクの低下は明らか

※但し，予算制約の問題
➡　保有している情報の質・量等にあわせた合理的な範囲内における措置を講ずること

「個人データ」に関する義務

第三者提供の制限（23条1項）

原則：本人の同意がなければ第三者提供は不可
例外： ①法令に基づく場合
②人の生命身体等の保護に必要
③公衆衛生・児童の健全育成に特に必要
④国等に協力する場合

第三者提供の制限（23条2項）

本人の申出により提供停止（オプトアウト） することとしている場合
➡　一定の要件を備えれば，本人から事前に同意を得なくても良い

「オプトアウト」の要件

以下の4項目をあらかじめ本人に通知するか，又は，本人の知りうる状態に置いていること。
➡　①　第三者提供をすること
②　提供される個人データの項目
③　提供の手段・方法
④　求めに応じて提供を停止すること

「本人の知りうる状態」におくとは？

➡　典型的には．．．ホームページへの掲載

同項の仕組みに従った具体例

○住宅地図業者
➡　表札を調べ住宅地図を作成・販売（不特定多数への第三者提供）
○データベース事業者（名簿業者）
➡　DM用の名簿等の作成・販売

「第三者」に該当しないケース（23条4項）

①　委託先への提供（1号）
ex.・データの入力を外部の業者に委託し，入力すべき個人情報を渡す場合
・百貨店が商品の配送のために宅配業者に客の個人情報を渡す場合　など

・委託先に対する監督責任（22条）
「委託を受けた者に対する必要かつ適切な監督」
➡　委託契約において，安全管理措置の内容を明示
定期的に委託契約の内容が遵守されているか確認
※委託契約に記載すべき事項（経産省GL）
・委託先及び委託元の責任の明確化
・個人データの安全管理に関する事項
・再委託に関する事項
・個人データ取扱状況の委託元への報告内容・頻度　など

②　合併等の事業承継に伴う提供（2号）
※　個人情報が承継される前の利用目的の範囲内でしか利用できない

③　グループによる共同利用（3号）
ex.　・金融機関の間で，債務者の信用情報を交換する場合
・グループ企業で総合的なサービスを提供する場合

※以下の事項を予め本人に通知または、本人が容易に知りうる状態に置かなければならない
➡　・共同利用者の範囲
・利用する情報の種類，利用目的
・情報管理の責任者の名称等

３．保有個人データに関する義務
（１）　利用目的の通知，公表
（２）　開示
（３）　訂正等
（４）　利用停止等
（５）　理由説明（努力義務）

本人情報の開示手続（29条）

本人への情報開示
➡　本人確認の方法が重要
※　誤って第三者に開示すれば，プライバシー侵害にもなりうる

個人情報保護・・・何をやるか？
–自社の状況を確認
・保有している個人情報の取り扱い状況確認
保有情報の質・量の確認，取得・利用の態様，送信等の方法，保管状況，廃棄方法　など

管理規程の整備・運用ができているか
➡　○　・・・　見直し
☓　・・・　規程の整備など

–どの程度の対応策を講じるか
・予算や保有情報の内容，質
–漏えい事故が発生した場合の対応策
・・・どこまで決めておくか

以上