業務委託先への個人データ提供に同意は必要？今さら聞けない「個人情報保護の基礎」

2022年4月、個人情報保護法が改正されました。ご自身の企業ではしっかりと対応できているでしょうか？　何を守るための法律なのか、企業が求められる義務とは何なのか、経営者として把握しているでしょうか？

『経営ノウハウの泉』では中小企業経営者向けウェビナーを開催。日比谷タックス＆ロー弁護士法人 堀田陽平先生にご登壇いただき、個人情報保護法の内容を改めて整理していただきました。

ここでは、その模様を4回に分けて連載していきます。本記事では第2回として、「個人情報保護法の基礎」を解説します。

第1回：今さら聞けない個人情報の定義・概念
第2回：個人情報保護法の基礎
第3回：個人情報保護法違反のリスクと漏洩事例
第4回：ウェビナーに寄せられた質問と回答

【資料動画のダウンロードはこちらから】
※第1~4回のどの記事からでも全編の動画の閲覧URL・資料DLが可能

【登壇者】

出典: 経営ノウハウの泉

堀田 陽平（ほった ようへい）
日比谷タックス＆ロー弁護士法人

2020年9月まで、経産省産業人材政策室で、兼業・副業、テレワーク等の柔軟な働き方の推進、フリーランス活躍、HRテクノロジーの普及、日本型雇用慣行の変革（人材版伊藤レポート）等の働き方に関する政策立案に従事。「働き方改革はどうすればいいのか？」という疑問に対するアドバイスや、主に企業側に対して労務、人事トラブルへのアドバイスを行っている。日経COMEMOキーオピニオンリーダとして働き方に関する知見を発信。著書「Q＆A　企業における多様な働き方と人事の法務」（新日本法規出版）など多数。

個人情報について事業主が守らなければならないこと

個人情報について事業主が法的に守るべき義務について解説します。前回説明したように、個人情報は複層的な構造になっていて、個人情報保護法ではそれぞれ段階的な義務が課されています。

出典: 経営ノウハウの泉

まず、“個人情報”全般については、利用目的の特定、利用目的による制限、不適正な利用の禁止、適正な取得が規定されています。取得に際しては利用目的の通知、公表、苦情処理といった義務も課されます。

次いで“個人データ”については、データベース化されている情報なので、データが漏れることで悪用されやすいです。そのため、より義務が加重されて、データ内容の正確性の確保等、安全管理措置、従業者の監督、委託先の監督が必要です。他にも漏洩等の報告、第三者提供の制限、外国にある第三者への提供の制限、第三者提供を受けるサイトの確認など、提供を受ける側も同意をきちんと取っているのか確認する義務が課されています。

さらに“保有個人データ”については、これに関する事項の公表、開示、訂正、利用停止等に応じる義務があります。

流れで知る「個人情報の原則」

個人情報の流れと、原則的な考え方をまとめると、以下の図のような形になっています。

出典: 経営ノウハウの泉

まず、法的な義務を負うのは“個人情報取扱事業者”です。個人情報取扱事業者は、民間事業社で個人情報データベースを事業に使っている者をいいます。法人だけではなくて個人も含まれますが、個人がプライベートで使っている場合には含まれず、あくまで“ビジネスで”使っていることが条件です。

情報の流れを見てみると、ある人から個人情報を取得するとき、契約書などの書面で情報を取得する際には、利用目的をあらかじめ明示する義務があります。携帯電話の契約などで、書面を提示されてから個人情報を書くことが多いと思いますが、それはこの義務に該当しているためです。一度個人情報を取得すると、その会社では個人情報をどういう目的で利用するかを特定してプライバシーポリシーなどで明示しなければなりません。個人情報は明示された目的の範囲内のみで利用できるのが原則です。それを超える場合には、再び同意を取る必要があります。また、利用目的を達した場合には情報を削除するのが努力義務となっています。

そして、取得した個人情報がデータベース化されていた場合は、安全管理措置を講じる必要が求められます。安全管理措置は、従業員の育成や組織として管理体制を作ること、物理的なアクセスの管理、データ漏洩が起こらないようなシステム的・技術的な措置などがあります。

個人データが、第三者提供される場合には、原則として同意が必要です。第三者提供ではなくデータの管理を委託する場合には同意は不要ですが、その場合でも委託先がきちんと管理監督してください、という契約上の一定の対応が必要になります。

なお、企業が保有している個人データについて開示や訂正、削除といった要求があれば、それに対応する義務があります。

個人情報の流れを見ていくと、企業が個人情報保護法で課されている義務がわかるかと思います。次回は「個人情報保護法違反のリスクと漏洩事例」について解説していきます。

*asai_h / PIXTA(ピクスタ)

【まずはここから】はじめてのフリーアドレス導入ガイド