Comments
Description
Transcript
パーソナル情報研究会 - 電子政府の総合窓口e
個人と連結可能な情報の保護と利用のために 平成 20 年 11 月 パーソナル情報研究会 経済産業省 目 １． はじめに ２． 検討の背景 次 ３． 個人情報保護制度の枠内の問題 （１） 「共同利用」の規定の解釈に起因する問題 （２） 「事業の承継」の規定の解釈に起因する問題 （３） 個人情報の利用期間・保存期間 （４） 情報の性質に応じた個人情報等の取扱い （５） 情報の性質に応じた個人情報の管理の明確化 ４． 個人情報保護制度の境界線上の問題 （１） 「個人情報」の範疇の解釈に起因する問題 （２） 個人情報及び個人と連結可能な情報を分別管理したデータベースの 取扱い ５． 個人情報保護制度の枠外の問題 ６． おわりに 1 １．はじめに インターネットの普及に代表されるＩＴの発達により、官民両分野におい てＩＴを活用した様々なサービスが提供され、事業活動の効率化、利用者の 利便性の向上がもたらされている。 こうした技術の進展は、従来では考えられないほど大量の情報を高度かつ 高速に処理し、ネットワークを通じて遠隔地との間でも瞬時に取り扱うこと を可能にした。他方、こうしたネットワークの下、個人の人格に密接にかか わる情報がいったん不公正な形で取り扱われると、本人にとって取り返しの つかない深刻な被害が生じることになりかねない状況が出てきている。 ＩＴ社会の進展下、個人情報の有用性に配慮しつつ本人の権利利益の保護 を図るべく、個人情報の保護に関する法律（平成１５年法律第５７号。以下 「法」という。）が制定された。また、法の制定を受け、経済産業省において は個人情報の保護に関する法律についての経済産業分野を対象とするガイド ライン（平成１６年１０月２２日厚生労働省・経済産業省告示。以下「ガイ ドライン」という。）を策定し、法の規定の具体化を進めてきたところである。 こうした取組により、個人情報の適正な取扱いが図られることとなったも のの、個人情報の管理や利用を巡っては事業者・消費者の双方にとって依然 として次のような課題があるものと考えられる。 ・機微性の高い情報を確実に管理する上で、現行の法・ガイドラインの規 定で十分かどうか。 ・ＩＴを活用して個人情報の管理や個人の特性に応じたサービスの提供を 行うビジネスモデルが拡大する中、安全・安心を確保しつつ多様なサー ビスの提供を可能にするためには、どのような環境整備が必要か。 前者については、既に昨年度、本研究会において、特に機微性の高い情報 である医療情報の外部保存の取扱いに関して、 「医療情報を受託管理する情報 処理事業者向けガイドライン」をとりまとめ、医療情報の外部保存の万全を 期すこととしたところである。 本年度、本研究会では、後者に関連し、パーソナライゼーション時代の本 格到来をにらみつつ、個人情報や個人と連結可能な情報の利用を進めるため に必要と考えられる課題について検討を行った。以下、その検討内容につき 報告する。 2 ２．検討の背景 インターネット技術の発展により、ユーザーからの発信機会が増加すると ともに、検索語など行動履歴を基にしたサービス提供が拡大している。今後、 消費者向けのビジネスは、一人一人の個性に応じたサービスを提供するパー ソナライゼーションサービスを中心に大きく変貌していくものと考えられる。 （個性に応じたサービスの事例） 複数の方法により入手した消費者・利用者の情報（売買・検索の履歴等） を一体化・分析し、新たなサービスを提供しようとする動き ポイント・電子マネーの企業間連携に伴う個人の購買情報等の交換・流 通 健康情報活用基盤（ＰＨＲ）の事業化、政府による社会保障カード事業 や電子私書箱構想等の動きを踏まえた、民間事業者による個人情報の一 括管理 一人一人のニーズを満たすサービスやマーケティングを可能にするため には、ユーザー自身のニーズを的確に捉える必要があることから、個人情 報も含めた幅広い情報の有効利用が不可欠となる。その一方、個人と連結 可能な情報がユーザーの意図しない形で利用されると、個人の権利利益を 侵害する、社会的な地位や信頼を脅かすなどの行為が蔓延し、大きな社会 不安に繋がる危険性がある。 このような個人と連結可能な情報には、法が対象としている個人情報の みならず、単独では特定の個人を識別できないが個人に関連する情報（購 買履歴、行動履歴等）が含まれ得る。 そこで、本研究会では、パーソナライゼーション時代の本格到来をにら み、単独で個人情報に該当するか否かにかかわらず個人と連結可能な情報 （以下、総称して「パーソナル情報」という。）について、将来想定される 様々な利用の具体的方法を調査し体系化するとともに、個人と連結可能な 情報を安全・安心かつ適切に利用する環境を支えるための個人情報保護、 セキュリティ、認証等の在り方について検討を行った。 本研究会においてこれらの問題群をすべて論じ尽くしたわけではないが、 この報告書を十分に参考にして更なる検討及び取組の進ちょくが期待され る。 以下では、本研究会で議論された論点につき、 「３．個人情報保護制度の 枠内の問題」「４．個人情報保護制度の境界線上の問題」「５．個人情報保 護制度の枠外の問題」に分けて言及することとする。 3 ３．個人情報保護制度の枠内の問題 （１）「共同利用」の規定の解釈に起因する問題 ① 現状と課題 法第２３条第４項第３号でいう「共同利用」とは、１）共同利用の目的、 ２）共同利用する個人データの項目、３）共同利用者の範囲、４）責任を有 する者の氏名・名称の４項目を、ホームページ等で事前に公表することによ り、本人の同意を得ることなく個人データを複数の事業者間で共同して利用 できる制度である。 「共同利用」は、個人情報の有用性に対する配慮から設けられた制度であ るものの、法及びガイドライン等では事業者が共同利用を行う際の最小限の ルールしか示していないことから、 「共同利用」による個人情報の利用に慎重 な事業者が多いとの指摘がある（共同利用については、後掲のガイドライン 参照。）。 また、ホームページ等で「共同利用」を掲げている事業者でも主にグルー プ企業内での共同利用にとどめている例が多く、公表している「共同利用」 の枠組よりも実際には、きわめて限定的に運用している例が散見される。 例えば、ある百貨店グループ企業の場合、顧客開拓、販売促進の目的でグ ループ各社のＤＭの送付を行うために「共同利用」を利用しているが、ホー ムページ上では全グループ企業での共同利用を掲げているものの、実際には ごく一部の子会社との共同利用にとどまっており、ＤＭ発送後の個人情報の 取得・利用はグループ各社が個別に行っている。グループ全体で個人データ を関連付けて統合的に管理し、マーケティングに利用する等のダイナミック な利用は行われていない。 昨今、航空会社では、マイレージプログラムが提供されている。ある航空 グループ企業の場合、ホームページ上ではグループで取得した全情報項目を 全グループ企業で共同利用することを掲げているが、実際には、まさに航空 運送サービスの提供とマイレージの付与・積算を行うために必要最小限の共 同利用を行うにとどまっている。すべてのデータを保有するのは親会社のみ で、子会社はそれぞれが担うサービス提供に必要最小限の情報項目が閲覧で きるのみである。 金融業界では、事業者が取り扱う個人情報の性質・内容上、より慎重な対 応が要請されることもあり、さらに限られた共同利用しか行われていない。 ほとんどの場合金融持株会社がグループ経営上のリスク管理の観点からグル ープ各社から与信情報を集約する過程で、必要最小限の個人データが共有さ れるだけの共同利用にとどまる。グループ全体での経営やマーケティングを 戦略として意識している金融グループ企業でも、ホームページ上では比較的 幅広い「共同利用」を掲げているものの、現場では共同利用が可能な場合で 4 も、金融庁の「金融分野における個人情報保護に関するガイドライン」 （平成 １６年１２月６日金融庁告示。）に従いオプトインを原則とした運用を行って いる。 このように、 「共同利用」制度の利用があまり進んでいない背景として、事 業者によっては必ずしもそれほど広範な個人情報の利用を必要としていない という事情のほか、以下のような要因も指摘されている。 消費者の間に個人情報保護に対するいわゆる「過剰反応」や誤解が見受 けられる状況では、「共同利用」による幅広い個人情報の利用は理解を 得づらい。 共同利用制度について消費者の認知度が十分ではない。 「共同して利用される個人データの項目」 「共同して利用する者の範囲」 をいちど通知又は公表すると容易に変更することができないため（法第 ２３条第４項及び第５項参照）、制度を利用しにくい。 一方、企業ポイント等を通じた企業間の連携サービスが進む中、共同利用 者の範囲を「提携企業」とだけ標記し、個社名を特定しないで共同利用が進 められる例も見られ、法違反ではないものの、個人情報が利用されている消 費者本人に対する説明が十分に行われていると評価してよいかとの指摘があ る。 さらに、本来は法第２３条第４項第１号に基づく「委託」に該当し、委託 先の監督責任があると考えられる形態にもかかわらず、委託先の監督責任逃 れに「共同利用」の制度を使用する事業者がいるとの指摘もある。 ② 方策の方向性 「共同利用」制度に係る上述のような課題を解決するために、以下のよう な方策を講ずる必要があると考えられる。 １）ガイドライン等における「共同利用」制度の利用要件の明確化 事業者にとって利用しやすい「共同利用」制度とするため、「共同利 用」の制度を利用する上での要件を、ガイドラインやＱ＆Ａにおいて明 確にすることを考慮すべきである。例えば、あらかじめ本人に通知等し なければならない４項目と併せて、下記例のような項目を共同利用制度 の利用上望まれる事項としてガイドラインで明示することにより、個人 情報を利用したビジネスの一層の進展に資するものと考えられる。 5 （例）共同利用の制度を利用する上での要件 共同利用する場合に、あらかじめ、共同利用者間において以下の 事項について周知徹底することが望ましい。 なお、責任を有する者は、利用目的の達成に必要な範囲内におい て、共同利用者間で利用している個人データを正確かつ最新の内容 に保つよう努めなければならない。 ・ 共同利用者の要件（グループ会社であること、親子兄弟会社で あること、○○キャンペーンの一員であること等、ある事業を 遂行する上での一定の枠組） ・ 共同利用の目的 ・ 共同利用する個人データの項目 ・ 責任を有する者の氏名・名称、問い合わせ担当者及び連絡先 ・ 各共同利用者の個人情報取扱責任者、問い合わせ担当者及び連 絡先 ・ 共有する個人データの取扱いルール（禁止事項等） ・ 取得、入力 ・ 移送、送信 ・ 利用、加工 ・ 保管、バックアップ ・ 消去、廃棄 ・ 共同利用の解消時のルール ２）「共同利用」を利用したモデルケースの紹介・普及 「共同利用」制度の普及のためには、１）に加えて、ガイドラインと は別に、「共同利用」を利用したモデルケースを紹介し、事業者に対し て共同利用の制度のイメージを分かりやすく伝えることも求められる。 ３）「共同利用」に係る通知・公表項目についてのルールの明確化と普及 多くの事業者にとって、「共同利用」の利用において不明確な点とさ れている通知・公表項目についてのルールをガイドラインやＱ＆Ａにお いて明確化することが求められる。 例えば、容易に変更することができない「共同して利用される個人デ ータの項目」「共同して利用する者の範囲」について、現行のガイドラ イン 2-2-4.（３）（ⅲ）では「変更することができない」と記述される のみであるが、 「あらかじめ本人の同意1 を取得すれば変更できる」等の 1 「本人の同意」については、現行ガイドライン 2-1-10．参照。 6 要件を加えることは可能か、検討する必要がある。 また、「共同して利用する者の範囲」について現行のガイドライン 2-2-4.（３）（ⅲ）では「本人からみてその範囲が明確であることを要 するが、範囲が明確である限りは、必ずしも個別列挙が必要ない場合も ある。」と一般的に記述されるのみであるが、 「範囲が明確であると認め られる例」や「範囲が明確でない場合の例」等、共同利用の枠組の変更 についてより具体的に例示することが求められる。なおその際、昨今進 展の著しい企業ポイント等を通じた企業間の連携サービスにおける範 囲の示し方、消費者に対する説明のあり方にも留意することを要する。 さらに近年のＭ＆Ａの進展に伴い、グループ内の再編やグループ間の 経営統合などにより「共同して利用する者の範囲」に変更が生じ得る場 面が発生している。後ほど「（２） 「事業の承継」の規定の解釈に起因す る問題」でも述べるとおり、グループ内の再編のみで事実上の範囲に変 動が生じない場合や、グループ間の経営統合により新たな企業体及びグ ループに同等の事業が承継される場合などには、「共同して利用する個 人データのすべての利用目的の範囲を超えない」等の一定の要件を満た せば、法の解釈上許容し得る範囲で、「共同して利用する者の範囲に変 更が生じない場合」として、本人への通知又は公表により共同利用の承 継を許容することができるか否か十分に検討の上で、ガイドライン又は Ｑ＆Ａに反映していくことが望ましい。 ４）非個人識別性データの法的性質の決定 「４．個人情報保護制度の境界線上の問題」で述べるとおり、「非個 人識別性データ」について法の枠外で取り扱うことができるようになれ ば、共同利用の制度を利用せずに、本人の同意無く他の事業者への提供 が可能になるなど、事業者の負担が低減されると思われるため、この点 についても検討を行う必要がある。 ５）消費者に対する個人情報保護法及び共同利用制度の普及啓発 内閣府をはじめ関係府省と協力して、法や共同利用制度等の普及啓発 を行うことにより、消費者のいわゆる「過剰反応」につながらぬよう理 解を求めていくことが、共同利用制度の普及のためにも有効である。 7 ＜本論点に関するガイドラインの抜粋＞ 2-2-4.第三者への提供（法第２３条関連） (３)第三者に該当しないもの（法第２３条第４項関連） (ⅲ)共同利用（法第２３条第４項第３号関連） 法第２３条第４項第３号 次に掲げる場合において、当該個人データの提供を受ける者は、前３項の規定の適 用については、第三者に該当しないものとする。 ３ 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同 して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目 的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらか じめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。 個人データを特定の者との間で共同して利用する場合、以下の①から④までの情報 をあらかじめ※１本人に通知※２し、又は本人が容易に知り得る状態※３に置いておくと ともに、共同して利用することを明らかにしている場合は、第三者に該当しない。ま た、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場 合は、既に取得している事業者が法第１５条第１項の規定により特定した利用目的の 範囲で共同して利用しなければならない。 なお、共同利用か委託かは、個人データの取扱いの形態によって判断されるもので あって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関 係は、共同利用となるわけではなく、委託先の監督義務を免れるわけでもない。 例 えば、グループ企業でイベントを開催する場合に、各子会社から親会社（幹事会社） に顧客情報を集めた上で展示会の案内を発送する場合は共同利用となるが、自社でイ ベントを開催する場合に、案内状を発送するために発送代行事業者に顧客情報を提供 する場合は、共同利用者の範囲に含まれるグループ企業内の事業者への提供であった としても、委託であって、共同利用とはならない。 ※１「あらかじめ」とは、「個人データの共同利用に当たりあらかじめ」をいう 。 ※２「本人に通知」については、2-1-7.参照。 ※３「本人が容易に知り得る状態」については、2-1-11.参照。 【共同利用を行うことがある事例】 事例１）グループ企業で総合的なサービスを提供するために利用目的の範囲内で 情報を共同利用する場合 事例２）親子兄弟会社の間で利用目的の範囲内で個人データを共同利用する場合 事例３）外国の会社と利用目的の範囲内で個人データを共同利用する場合 ①共同して利用される個人データの項目 8 事例１）氏名、住所、電話番号 事例２）氏名、商品購入履歴 ②共同利用者の範囲（本人からみてその範囲が明確であることを要するが、範囲が明確で ある限りは、必ずしも個別列挙が必要ない場合もある。） ③利用する者の利用目的（共同して利用する個人データのすべての利用目的） ④開示等の求め及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等 について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について 責任を有する者の氏名又は名称（共同利用者の中で、第一次的に苦情の受付・処理、開示・ 訂正等を行う権限を有する事業者を、「責任を有する者」といい、共同利用者の内部の担 当責任者をいうのではない。） 9 （２）「事業の承継」の規定の解釈に起因する問題 ① 現状と課題 近年活発化しているＭ＆Ａに伴う個人情報の取扱いについて、現行の法では 「事業の承継」の規定を設けて目的外利用を制限するとともに第三者提供時に おける本人同意を不要と定めている（法第１６条第２項、第２３条第４項第２ 項）。また、ガイドラインでは、 「個人情報取扱事業者が、合併、分社化、営業 譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個 人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成 に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必 要はない。」とされている。 しかし、現行の法及びガイドラインでは「事業の承継」の制度について必ず しもあらゆるケースを想定したルールを示していない。このため、例えば、持 株会社を設立し事業会社間で個人データをやりとりする場合、第三者提供に該 当し、本人の同意を得る必要があると解されるにもかかわらず、事業者の中に は「事業の承継」の制度が適用されるものと解釈し、本人の同意を得ていない ものも見られるとの指摘がある。 一方、グループ内の再編やグループ間の経営統合等、｢事業の承継｣に伴って 共同利用の枠組に変更が生じる場面が発生しているが、この点、法及びガイド ラインでは必ずしもルールが明確ではないため、対応に苦慮する事業者が存在 している。 さらに、事業承継に至る前段階で承継対象の企業の価値等を検討する際に （いわゆるデューデリジェンス）、当該企業の顧客情報や従業員の情報を取得 することが必要となることも多いが、現行のガイドライン 2-2-4.（３）（ⅱ） では「事業承継のための契約を締結するより前の交渉段階で、相手会社から自 社の調査を受け、自社の個人データを相手会社へ提供する場合は、第三者提供 となり得るため、注意する必要がある。」とされており、法第２３条第４項第 ２号の適用対象外となる可能性を強く示唆する記述となっている。 この点、事業承継時における個人情報の取扱いを困難にすることを回避しよ うとした同条項の趣旨を踏まえた解釈が必要なのではないかとの指摘がある。 また、実務上は、事業承継という重要な経営問題に照らして第三者提供に該当 し得るリスクを引き受ける運用や、法で定める取扱いとは異なる実態が少なか らず存在するとの指摘がある。 10 持株会社 事業会社 事業会社 事業会社 承継パターン１ 事業会社 承継パターン２ ② 方策の方向性 １）持株会社設立時の傘下事業会社間の個人情報の共有化ルールの明確化 持株会社傘下の事業会社の間で、本人一人一人に同意を得ることなく 各々が保有する個人データを相互に持ち合い、円滑な利用を図るために は、共同利用の制度を利用することが考えられるため、ガイドラインや Ｑ＆Ａにおいて同制度を紹介することが有効と考えられる。 なお、その場合においては、既に特定の事業者が取得している個人デ ータを他の事業者と共同利用する場合は、既に当該個人データを取得し ている事業者が特定した利用目的の範囲内で共同利用しなければなら ない旨を、併記することを考慮すべきである。（※共同利用に際し、新 たに取得する個人データについては、前述のような制限なく利用目的を 設定できる。） ２）事業承継に伴う共同利用の承継ルールの明確化 １）の中で、事業承継前から存在する共同利用の枠組を事業承継後に おいてどのように取り扱うべきかについて、ルールを明確化して、ガイ ドラインやＱ＆Ａに反映していくことが望まれる。 例えば、既にグループ内において共同利用を行っているときに、グル ープ内の再編が生じた場合や、既にグループ内で共同利用を行っている 複数のグループ間で経営統合する場合などにおいては、形式上は通知や 公表では変更できない「共同して利用する者の範囲」に変動が生じ得る こととなる。 前者の場合、共同利用を開始する前にあらかじめグループ内での再編 の可能性を踏まえて、個社名を列挙せずに範囲を明示する手段も講じ得 る。しかしながら、既に共同利用を開始している事業者にとって、かよ うな場合に何ら共同利用者の範囲に事実上の変動が生じないにもかか わらず、「共同して利用する者の範囲」についてすべての本人から同意 を取得しなければならないとすれば、著しい負担を強いることとなる。 後者の場合も、同様の事業を営み、同様の目的の共同利用を行ってい 11 るグループの間で経営統合した場合であっても、新たに「共同して利用 する者の範囲」についてすべての本人から同意を取得しなければならな いとすれば、事業者にとって著しい負担となり、ひいてはかような経営 統合自体を阻害することにもなりかねない。 事業承継による個人データの提供について第三者提供の例外として、 これに当たらないとしている法第２３条第４項第２号に照らしあわせ て解釈すれば、上述のような事業承継に伴う共同利用の承継についても、 「共同して利用する者の範囲に変更を生じない場合」と解する余地を認 めることには合理性があると思われる。 したがって、事業承継に伴う共同利用の承継について、「共同して利 用する者の範囲に変更が生じない場合」としての許容可能性を検討し、 「共同して利用する個人データのすべての利用目的の範囲を超えない」 等の要件、ルールをガイドライン又はＱ＆Ａで明示することを考慮する ことが求められる。 ３）デューデリジェンスの際の個人情報の取扱いルールの明確化 デューデリジェンスの際の個人情報の取扱いについて、現行のガイド ラインの記述の見直しを含めて再検討し、ルールを明確化した上でガイ ドライン又はＱ＆Ａで明示することが望まれる。 デューデリジェンスについては、現行ガイドラインで「第三者提供と 、、 、、、、、、、、、 なり得るため、注意する必要がある」との記述にとどまっている。しか しながら、事業承継においてはデューデリジェンスが事実上不可欠であ ることに照らして、例えば「デューデリジェンスの際に考慮すべき点」 や｢講ずる必要のある措置の例｣を具体的に明記することが求められる。 その際、事前の本人の同意取得や、個人を識別できる情報の抹消や統計 的処理等の加工を経た上での情報提供などを考慮し得るが、デューデリ ジェンスの実務の実態を十分に踏まえて例示することが望まれる。 また、事業承継やデューデリジェンスの形態についてできるかぎり網 羅的に整理、類型化し、法で定めた事業承継が適用されるケース、事業 承継が適用されないケースをガイドライン等で明確に示し、その上で、 事業承継が適用されないケースについては、本人の同意を得る必要がな い別の方法を示すことで、事業者の過剰な負担や、法令違反の可能性が ある行為を回避させることも可能であると考えられる。その際、デュー デリジェンスの実務に携わる法律家等の意見も踏まえ、十分に検討を尽 くすことが求められる。 併せて、デューデリジェンスにおける個人情報の取扱いについての法 12 的性質についても再度検討する余地もあると思われる。例えば、事業承 継自体を困難にすることを回避しようとする法第２３条第４項第２号 、、、、、、、、、 の趣旨、及び「合併その他の事由による事業の承継に伴って個人データ が提供される場合」という同条項の規定振りにかんがみ、デューデリジ ェンスが事業の承継と不可分性又は牽連性があると評価し得るのであ れば、同条項の適用の余地を考慮することも合理性が認められるとも考 えられる。 そのほか、デューデリジェンスにおける個人情報の取扱いについては、 事業の承継の本質に由来するため法で定められた事業承継の一部とし て認められ得ると解する意見や、第三者提供ではなく個人データの取扱 いの委託と解する意見等も提起されている。これらの諸見解及び実務の 実態を踏まえて、慎重に検討することが求められる。 ＜本論点に関するガイドラインの抜粋＞ 2-2-1.個人情報の利用目的関係（法第１５条∼第１６条関連） (４)事業の承継（法第１６条第２項関連） 法第１６条第２項 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業 を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ない で、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人 情報を取り扱ってはならない。 個人情報取扱事業者が、合併、分社化、営業譲渡等により他の個人情報取扱事業者 から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報 に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはな らず、本人の同意を得る必要はない。 2-2-4.第三者への提供（法第２３条関連） (３)第三者に該当しないもの（法第２３条第４項関連） (ⅱ)事業の承継（法第２３条第４項第２号関連） 法第２３条第４項第２号 次に掲げる場合において、当該個人データの提供を受ける者は、前３項の規定の適用に ついては、第三者に該当しないものとする。 ２ 合併その他の事由による事業の承継に伴って個人データが提供される場合 合併、分社化、営業譲渡等により事業が承継され個人データが移転される場合は、 13 第三者に該当しない。 事業の承継後も、個人データが譲渡される前の利用目的の範囲内で利用しなけれ ばならない。 事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調 査を受け、自社の個人データを相手会社へ提供する場合は、第三者提供となり得るた め、注意する必要がある。 事例１）合併、分社化により、新会社に個人データを渡す場合 事例２）営業譲渡により、譲渡先企業に個人データを渡す場合 14 （３）個人情報の利用期間・保存期間 ① 現状と課題 現行の法では、保有個人データ 2 の定義において６月以内に消去することと なるものについて開示等の義務の対象から除外するとの規定はあるものの、利 用期間・保存期間に関する明確な規定はない。また、経済産業分野ガイドライ ンでも、安全管理措置の一環として、各組織において個人データの利用期間を 規定することを、数多くある望ましい事項の一つとして掲げるにとどめている。 事業者にとっては、法やガイドラインにおいて個人データの利用期間・保存 期間に関する明確な規定がない、ＩＴ技術の発達により大量の個人情報を電子 保存するコストがかからない等の状況があるために、取得した個人情報を長期 間保存する場合が多いとの指摘がある。 他方、消費者にとっては、企業が特にルールを定めないまま自分の個人情報 を保有し続けることの漠然とした不安があるのではないかとの指摘がある。 なお、米国では、連邦取引委員会（FTC）が、事業又は法の要求事項を満た すために必要な期間に限りデータを保存することを推奨しているとの指摘が ある。 ② 方策の方向性 １）保存期間に係る考え方の提示 個人データの保存期間については、そもそも当該情報につき法とは別 の法令や契約の中で規律されているものがある。また、こうした規律と は別に、事業者自らの事情により、 （上記保存期間の定めがない場合に、 または、法令等で定められた期間を超えて）個人データを保有する場合 があることから、法やガイドライン等において、個人データの保存期間 を一律に規定することは困難である。しかしながら、少なくとも当該個 人データの利用目的と無関係に保有し続けることは、リスクマネジメン トの観点から、望ましくない。 よって、個人データの保存期間について何らかの考え方や指針をガイ ドライン等で提示することを検討することが望ましい。 業界の中には、取得した個人データの保存期間について、業界ルール の中で明示しているところもあることから、自主的に保存期間・利用期 間を設定することを推奨することも考慮の余地がある。 また、平成２０年４月に変更された「個人情報の保護に関する基本方 針」（閣議決定）において、個人情報の利用目的の一層の明確化・具体 2 個人情報取扱事業者が、開示、内容の訂正等を行うことのできる権限を有する個人データ。 15 化を事業者に推奨しており、事業者は、取得した個人情報に対する利用 目的の一層の管理が期待されている。 今後、ガイドラインやＱ＆Ａにおいて、取得した個人情報に対する利 用目的の一層の管理を事業者に推奨することによって、結果的に、事業 やサービス、契約等が終了し、利用目的が達成された（利用目的の範囲 から外れた）個人情報（個人データ）については、事業者による消去・ 廃棄が進むことになるのではないかと考えられる。 ２）秘匿性の高い情報の保存期間のあり方の検討 今後、秘匿性の高い健康情報や年金情報の取扱いについて個別に議論 が進めば、クレジットカード情報の取扱いに見られるように、保存期間 の通知・公表により、あらかじめ本人が知り得ることも検討の余地があ るのではないかと考えられる。 今後、これら健康情報や年金情報の取扱いについて関係府省による検 討の進捗を踏まえ、連携して秘匿性の高い情報の保存期間のあり方につ いても検討していく必要がある。 ＜本論点に関するガイドラインの抜粋＞ 2-1-5.「保有個人データ」（法第２条第５項関連） 法第２条第５項 この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正 、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を 有する個人データであって、その存否が明らかになることにより公益その他の利益が害さ れるものとして政令で定めるもの又は１年以内の政令で定める期間以内に消去すること となるもの以外のものをいう。 政令第３条 法第２条第５項の政令で定めるものは、次に掲げるものとする。 １ 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は 財産に危害が及ぶおそれがあるもの ２ 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又 は誘発するおそれがあるもの ３ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国 若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交 渉上不利益を被るおそれがあるもの 16 ４ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他 の公共の安全と秩序の維持に支障が及ぶおそれがあるもの 政令第４条 法第２条第５項の政令で定める期間は、６月とする。 2-2-3-1.データ内容の正確性の確保（法第１９条関連） 法第１９条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正 確かつ最新の内容に保つよう努めなければならない。 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データ ベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の 訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人デ ータを正確かつ最新の内容に保つよう努めなければならない（2-1-4.「＊電話帳、カー ナビゲーションシステム等の取扱いについて」の場合を除く。）。 この場合、保有する個人データを一律に又は常に最新化する必要はなく、それぞれ の利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。 2-2-3-2.安全管理措置（法第２０条関連） 法第２０条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止そ の他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止そ の他の個人データの安全管理のため、組織的、人的、物理的及び技術的な安全管理措 置を講じなければならない ＊＊中略＊＊ ③「個人データの取扱い状況を一覧できる手段の整備」を実践するために講じることが望 まれる手法の例示 ・個人データについて、取得する項目、明示・公表等を行った利用目的、保管場所、 保管方法、アクセス権限を有する者、利用期限、その他個人データの適正な取扱い に必要な情報を記した個人データ取扱台帳の整備 ・個人データ取扱台帳の内容の定期的な確認による最新状態の維持 17 ＜本論点に関するガイドライン（別添）の抜粋＞ クレジットカード情報を含む個人情報の取扱いについて クレジットカード情報（カード番号、有効期限等）を含む個人情報（以下「クレジット カード情報等」という。）は、情報が漏えいした場合、クレジットカード情報等の不正使用 によるなりすまし購入などの二次被害が発生する可能性が高いため、クレジットカード会 社のほか、クレジットカード決済を利用した販売等を行う事業者及びクレジットカード決 済を利用した販売等に係る業務を行う事業者並びにこれら事業者 からクレジットカード 情報等の取扱いを伴う業務の委託を受けている事業者（以下「クレジット販売関係事業者 等」という。 ）は、クレジットカード情報等の安全管理措置として、特に以下の措置を講じ ることが望ましい。 また、個人情報データベース等を構成する個人情報によって識別される特定の個人の数 の合計が過去６か月以内のいずれの日においても５０００人を超えない者であっても、ク レジット販売関係事業者等であれば、クレジットカード情報等の保護の観点から、以下の 措置を講じることも含め、本ガイドラインに規定されている事項を遵守することが望まし い。 なお、クレジットカード会社は「経済産業分野のうち信用分野における個人情報保護ガ イドライン（平成１６年経済産業省告示第４３６号） 」に定めがある場合には、その例によ る。 ①クレジットカード情報等について特に講じることが望ましい安全管理措置の実施 ②クレジットカード情報等の保護に関する規定を含む契約の締結 ③クレジットカード情報等を直接取得する場合のクレジットカード情報等の提供先名 等の通知又は公表 【各項目を実践するために講じることが望まれる手法の例示】 ①クレジットカード情報等について特に講じることが望ましい安全管理措置の実施 ・クレジットカード情報等について、利用目的の達成に必要最小限の範囲の保存期間を設 定し、保存場所を限定し、保存期間経過後適切かつ速やかに破棄 ・クレジット売上伝票に記載されるクレジットカード番号を一部非表示化 ・クレジットカード読取端末からのクレジットカード情報等の漏えい防止措置を実施（例 えば、クレジットカード読取端末にはスキミング防止のためのセキュリティ機能（漏え い防止措置等）を搭載する等） ・クレジットカード情報等を移送・送信する際に最良の技術的方法を採用 ・他のクレジットカード販売関係事業者等に対してクレジットカード情報等が含まれる個 人情報データベース等へのアクセスを許容している場合においてアクセス監視等のモ ニタリングを実施 18 ②クレジットカード情報等の保護に関する規定を含む契約の締結 ・クレジットカード情報等を取り扱う業務に係る契約の締結の際に、クレジットカード情 報等の保護に関する規定を設定（例えば、クレジットカード情報等の保護の観点から情 報提供を求める旨の規定や、クレジットカード情報等の取扱いが不適切なことが明らか な場合において当該情報を取り扱う業務の是正を求めることや当該業務に係る契約を 解除する旨の規定を設定） ③クレジットカード情報等を直接取得する場合のクレジットカード情報等の提供先名等の 通知又は公表 ・インターネット取引においてクレジットカード情報等を本人から直接取得するなど、 クレジットカード情報等を本人から直接取得する場合、法第１８条各項の規定に基づき、 本人に利用目的を明示又は通知若しくは公表するほか、クレジットカード情報等の取得 者名、提供先名、保存期間等を通知又は公表 19 （４）情報の性質に応じた個人情報等の取扱い ① 現状と課題 個人情報の中でも以下のようなものについては、漏えい時のリスクや秘匿性 が比較的低いと考えられることから、事業者に対して、組織的・人的・物理的・ 技術的安全管理措置、漏えい事故対応等において、機微性の高い情報と比べて 同様の安全管理措置を講ずることを求めることが必ずしも合理的でない現状 が一部に見受けられている。 （例） 既に公開されている個人情報（企業の役員情報、市販名簿の情報等） 暗号化され、鍵と分別管理された個人情報 ＩＤ管理され、また氏名等と関連付けるＤＢと分別管理された個人情報 既にガイドラインにおいても、書店等で購入できる市販名簿そのものの取扱 いについては安全管理措置の適正化を進めており、法施行令においても平成２ ０年５月に同様の一部改正が行われた。また、個人データの漏えい事故を起こ した場合に事業者が講ずべき措置についても、機微性の高い情報等を除き、主 務大臣への直接の報告に替えて、認定個人情報保護団体を経由した報告を許容 したり、二次被害の可能性の極めて小さい事案については、事案の公表や本人 への通知を省略可能としたりできるようガイドラインを改正し、負担の適正化 が図られている。 ② 方策の方向性 １）認定個人情報保護団体の設立の推奨 平成１９年度中に経済産業省に届けられた事業者からの個人情報漏 えい事案の報告件数は約 1,700 件にのぼり、平成１８年度に届けられた 785 件を大幅に上回っている。 これは、上述のとおり平成１９年３月にガイドラインが改正され、事 業者から認定個人情報保護団体を経由して漏えい事案の報告が届けら れることが可能となり、漏えい事案を起こした事業者にとって経済産業 省に直接報告するよりも負担が適正化されたことも一因と考えられる。 今後とも、産業界に対して認定個人情報保護団体の設立を推奨するこ とで、事業者の負担の適正化が図られるものと思われる。 ２）非個人識別性データに係る措置の軽減 「４．個人情報保護制度の境界線上の問題」で述べるとおり、「非個 20 人識別性データ」について法の枠外で取り扱うことができるようになれ ば、非個人識別性データのデータベースに関して、事業者の負担は低減 されるのではないかと思われる。 （５）情報の性質に応じた個人情報の管理の明確化 ① 現状と課題 現在政府において、医療情報や健診情報、年金情報等、機微性が高いと考え られる個人情報の管理等を前提として、電子私書箱やＰＨＲ（Personal Health Record）サービス等に関する検討が進みつつあるところである。 他方、当該サービスの提供を行う事業者については、現在ガイドライン規定 が適用されているが、これは多様な業種の事業者が広汎な種類の個人情報を取 り扱うことを想定したガイドラインであるため、機微性の高い個人情報の取扱 いに携わる事業者にとって、必ずしも十分な安全管理措置が規定されていない。 こうしたサービスが安全・安心な形で利用される上では、例えば次のような 点につき検討が必要になるものと考えられる。 （例） 情報の受け渡しにおける責任分界点と到達確認 消費者の同意を得る際の選択肢の多様化 等 なお、平成２０年２月に改正されたガイドラインの中では、個人データの取 扱いに係る委託につき、二次被害のおそれの大きい個人データ（クレジット情 報を含む個人データ等）について、委託元は委託先に対してより高い水準での 監督責任を負う旨が明記されている。 ② 方策の方向性 １）関係府省と連携した安全管理措置具体化への取組 今後、政府内で進められる医療情報、健診情報、年金情報等の取扱い に関する検討状況を踏まえながら、当該個人情報を取り扱うサービスの 提供を行う事業者が実施すべき安全管理措置に関して検討の具体化を 進める必要があると考えられる。 21 ＜本論点に関するガイドラインの抜粋＞ 2-2-3-2.安全管理措置（法第２０条関連） 【安全管理措置の義務違反とはならない場合（従業者の監督及び委託先の監督の義務違 反ともならない場合）】 事例１）内容物に個人情報が含まれない荷物等の宅配又は郵送を委託したところ、 誤配によって宛名に記載された個人データが第三者に開示された場合 事例２）書店で誰もが容易に入手できる市販名簿（事業者において全く加工をし ていないもの）を処分するため、シュレッダー等による処理を行わずに 廃棄し、又は、廃品回収に出した場合 ＊＊中略＊＊ 【各項目を実践するために講じることが望まれる手法の例示】 ⑤「事故又は違反への対処」を実践するために講じることが望まれる手法の例示 ・以下の(ア)から(カ)までの手順の整備 ただし、書店で誰もが容易に入手できる市販名簿等（事業者において全く加工 をしていないもの）を紛失等した場合には、以下の対処をする必要はないもの と考えられる。 (ア)事実調査、原因の究明 (イ)影響範囲の特定 (ウ)再発防止策の検討・実施 (エ)影響を受ける可能性のある本人への連絡 事故又は違反について本人へ謝罪し、二次被害を防止するために、可能な 限り本人へ連絡することが望ましい。 ただし、例えば、以下のように、本人の権利利益が侵害されておらず、今 後も権利利益の侵害の可能性がない又は極めて小さいと考えられる場合に は、本人への連絡を省略しても構わないものと考えられる。 ・紛失等した個人データを、第三者に見られることなく、速やかに回収し た場合 ・高度な暗号化等の秘匿化が施されている場合 ・漏えい等をした事業者以外では、特定の個人を識別することができない 場合（事業者が所有する個人データと照合することによって、はじめて 個人データとなる場合） (オ)主務大臣等への報告 ａ．個人情報取扱事業者が認定個人情報保護団体の対象事業者の場合 認定個人情報保護団体の業務の対象となる個人情報取扱事業者（以下「対 象事業者」という。）は、経済産業大臣（主務大臣）への報告に代えて、自 己が所属する認定個人情報保護団体に報告を行うことができる。認定個人情 22 報保護団体は、対象事業者の事故又は違反の概況を経済産業省に定期的に報 告する。 ただし、以下の場合は、経済産業大臣（主務大臣）に、逐次速やかに報告 を行うことが望ましい。 ・機微にわたる個人データ（ (a)思想、信条又は宗教に関する事項、(b)人 種、民族、門地、本籍地（所在都道府県に関する情報のみの場合を除く。）、 身体・精神障害、犯罪歴その他社会的差別の原因となる事項、(c)勤労者 の団結権、団体交渉その他団体行動の行為に関する事項、(d)集団示威行 為への参加、請願権の行使その他の政治的権利の行使に関する事項、(e) 保健医療又は性生活に関する事項等）を漏えいした場合 ・信用情報、クレジットカード番号等を含む個人データが漏えいした場合 であって、二次被害が発生する可能性が高い場合 ・同一事業者において漏えい等の事故（特に同種事案）が繰り返し発生し た場合 ・その他認定個人情報保護団体が必要と考える場合 ｂ．個人情報取扱事業者が認定個人情報保護団体の対象事業者でない場合 経済産業大臣（主務大臣）に報告を行う。 なお、認定個人情報保護団体の対象事業者であるか否かにかかわらず、主 務大臣に報告するほか、所属する業界団体等の関係機関に報告を行うことが 望ましい。 (カ)事実関係、再発防止策等の公表 二次被害の防止、類似事案の発生回避等の観点から、個人データの漏えい 等の事案が発生した場合は、可能な限り事実関係、再発防止策等を公表する ことが重要である。 ただし、例えば、以下のように、二次被害の防止の観点から公表の必要性 がない場合には、事実関係等の公表を省略しても構わないものと考えられる。 なお、そのような場合も、類似事案の発生回避の観点から、同業種間等で、 当該事案に関する情報が共有されることが望ましい。 ・影響を受ける可能性のある本人すべてに連絡がついた場合 ・紛失等した個人データを、第三者に見られることなく、速やかに回収し た場合 ・高度な暗号化等の秘匿化が施されている場合 ・漏えい等をした事業者以外では、特定の個人を識別することができない 場合（事業者が所有する個人データと照合することによって、はじめて 個人データとなる場合） 23 ４．個人情報保護制度の境界線上の問題 （１）「個人情報」の範疇の解釈に起因する問題 ① 現状と課題 法でいう「個人情報」は、生存する個人に関する情報で「特定の個人を識 別できるもの」を意味する。併せて、法第２条第１項括弧書きにおいて「他 の情報と容易に照合することができ、それにより特定の個人を識別すること ができることとなるものを含む。」としていることから、実際には個人情報の 該当性についてケースバイケースの判断を要する場面が生じ得る。 例えば「住所だけ」、「購買履歴だけ」では個人情報に該当しないが、当該 事業者において他の情報（主に「氏名」）と関連付けて特定の個人を識別する ことができれば、その情報は全体として当該事業者にとって個人情報（個人 データ）に該当する。そして、一旦個人データとなった情報については、一 般論としては、本人の同意なく第三者提供することができず、また安全管理 措置を講ずべき対象となり得ると言える。しかし、かような「住所だけ」、｢購 買履歴だけ｣の情報では個人を特定することはできないにもかかわらず、当該 部分のみについても、本人の同意なくしては第三者に提供することが認めら れないのかどうかは現行の法、ガイドライン、Ｑ＆Ａでは必ずしも明らかで はない。 このように、個人情報の範疇を特定することが必ずしも容易な場合ばかり ではないことから、事業者からは、法で定められた安全管理措置等の適切な 措置を講じることが義務付けられる個人情報（個人データ）の範疇につき、 その明確化や更なる具体的な例示の検討を進めて欲しいとの要望が示されて いる。 そのほか昨今では、例えば電子マネーや企業ポイントプログラム等を中心 に、ＩＤ等の認証符合を活用することにより、企業間で必ずしも個人情報の 授受を行うことなく複数企業によって連携したサービスを提供することが進 展しつつあり、その過程では複数の経路から個人情報ではないが行動履歴・ 購買履歴等の個人と連結可能な情報を取得し得る場面が増加してきている。 このような中では、連携している企業群全体としてみると個人の行動・購買 履歴等が累積的に取得・蓄積されることとなるが、消費者に対して直接サー ビスを提供する個々の企業においては必ずしも個人情報を取得しているわけ ではない。かような当事者関係の態様において個人情報の範疇について新た な問題が生じ得ないかという点については検討の余地があると考えられる。 また、ネット通販、ＩＤビジネスが拡大するとともに、複数のサイト間で のＩＤの共通化を進める動きもある（OpenID、Agurippa、プロファイルパス ポート等）。そうすると、ＩＤ自体、及び必ずしも単独では個人を識別できな いがＩＤと関連付く情報にも一定の価値性を伴うとも考えられ、このような 24 情報をどのレベルで管理していくべきかも今後の課題である。 一方、携帯電話を活用したサービスも進展の一途をたどっている。携帯電 話は端末の性質上、保持している本人とタイムリーに結びついている場面が 多く、ＧＰＳ等による位置情報の取得も可能であることから、パーソナライ ズされたレコメンデーションサービスの提供に適している。しかし、このよ うな位置情報等を利用したパーソナライゼーションを追求していくと、氏名 等でなくても個人を特定できる可能性が生じ得るが、このような場合の個人 情報の範疇の問題についても未整理であるとの指摘がなされている。 ② 方策の方向性 １）個人情報の範疇の明確化と例示 個人情報（個人データ）のうち、特定の個人を識別できるデータ「個 人識別性データ」と、特定の個人を識別できないデータ「非個人識別性 データ」との区分について、ガイドラインやＱ＆Ａで範疇の具体的例示 や類型化した事例の提示等により明確化することが求められる。 ２）事業者にとって個人データの一部を構成する非個人識別性データの法 的性質の決定 「（２）個人情報及び個人と連結可能な情報を分別管理したデータベ ースの取扱い」で述べるとおり、「非個人識別性データ」については、 事業者にとって個人データの一部を構成する場合でも法の枠外で取り 扱うことができるようになれば、本人の同意なく他の事業者への提供が 可能になるなど事業者の負担が低減されると思われる。この点について も慎重な検討を行う必要がある。 ３）新たなサービス形態を踏まえた｢個人情報｣の範疇の問題の整理 電子マネーや企業ポイントプログラムのようにＩＤ等を利用して個 人と連結可能な情報を取得・蓄積したり、携帯電話サービスにおける位 置情報等を利用したりするなど、個人情報等を利用した新たなサービス 形態が見られるようになっている。「個人情報」の範疇の問題について は、現在のサービスの実態や今後予測される展望を踏まえ、今後も検討 を継続し、漸次整理していくことが求められる。 25 （２）個人情報及び個人と連結可能な情報を分別管理したデータベースの 取扱い ① 現状と課題 事業者の中では、取得した消費者の個人情報について、安全管理等の観点 から氏名や住所等とＩＤを関連付けるＤＢと、ＩＤと特定の個人の識別性が 相当程度低い個別利用サービス等を関連付けるＤＢに分別して管理されるこ とも多い。この際、後者のＤＢについては、当該事業者にとっては個人情報 の一部を構成するが、他の事業者にとっては個人情報にならない。このよう な場合、後者のＤＢを構成するデータを本人の同意なく第三者に提供してよ いかどうかは、現行法、ガイドライン、Ｑ＆Ａでは必ずしも明らかでない。 このため、事業者からは、後者のＤＢを構成するデータのように、それ自 体としては特定の個人を識別することができないデータ（以下「非個人識別 性データ」と称する。）について法の枠外で取り扱うことが許容され、本人の 同意なく第三者に提供してもよいのであれば利便性が高いが、その点のルー ルが明らかではないので、積極的な提供・共有がはばかられると指摘されて いる。 連日膨大なトランザクションがあるＤＢ カードＩＤ 電子マネー残 額 購入商品・ サービス 021A1… 4954 週刊○○ 014C 9… 500 ○○コーラ 418DD... 6008 新宿三丁目駅 ～田無駅 772Y6… 3150 比較的固定されたＤＢ 利用者名 カードＩＤ 経済太郎 021A1… 産業 014C 9… 進 ・ 418DD... ・ 772Y6… ・ 【本論点に関するガイドラインの抜粋】 ② 方策の方向性 １）非個人識別性データの法的性質の決定とルールの明確化 「非個人識別性データ」の法的性質について検討の上で、ガイドライ ン又はＱ＆Ａに明示し、「非個人識別性データについて講ずる必要のあ る措置」「非個人識別性データの提供の際に考慮すべき点」等を併せて 明記することが望まれる。 26 現行の法では、非個人識別性データ自体は個人情報（個人データ）に 該当しない場合であっても、ＩＤ等に関連付けて照合することにより個 人を識別できるのであれば当該事業者にとって個人情報（個人データ） に該当し、法で定める義務の対象となる。しかし、「①現状と課題」に 示した例のように、かような情報のうち非個人識別性データのみを取り 扱う場合、事業者は法で定める義務に服する必要があるか否か、現行の 法では必ずしも明らかでない。個人情報（個人データ）の一部を構成す る以上、当該部分のみを第三者に提供する場合でも個人データの第三者 提供に該当し、本人の同意を要するとも解し得る一方で、当該部分自体 は個人情報（個人データ）に該当しないので、当該部分を第三者に提供 する場合は本人の同意を要しないとも解し得る。 ここでの課題は、提供先にとって個人情報に該当しない情報が、提供 元においては他の情報と関連付けられるために個人情報の一部を構成 する場合に、かような情報の部分のみに対して当該事業者に法で定めら れた義務が課されるか否かである。 かような情報の部分が事業者にとって個人情報となるのは、当該情報 部分が個人識別性データと容易に照合できるときである。また、事業者 の個人情報の取扱いにつき法で義務を課している趣旨は、個人識別性デ ータと容易に照合される場合、事業者の情報の不適切な取扱いにより特 定の個人が識別されてしまうおそれが高く、これを回避する必要がある ことによる。したがって、事業者が法で定められた義務を負う場合とし ては、個人識別性データと非個人識別性データを一体として取り扱うケ ースが想定される。他方、個人データのうち非個人識別性データのみの 部分を取り出して、第三者に移転する場合には、既に個人識別性データ との一体性からは切り離されているのであり、本人の同意を得ずに第三 者に提供し得ると解する余地があるとも考えられる。 以上のように、非個人識別性データについては、法の枠外で取り扱う ことを許容し得るか否かを考慮する余地があると思われる。このことに より、当該データを本人の同意を得ずに他の事業者へ提供することが可 能になり、事業者において消費者の嗜好や特性等に応じたビジネスの一 層の展開も期待できる。 ただし、その場合でも、当該非個人識別性データの利用の範囲は、利 用目的により特定された範囲に制限される点を考慮する必要がある。個 人情報の取得時において、個人を識別しない形で、例えばマーケティン グの基礎資料として利用すること等を認識できるような利用目的が特 定されていない場合には、法第１５条第２項や第１８条第３項に基づく 措置が考慮される必要があろう。 27 非個人識別性データの法的性質の決定については、さらに十分な検討 を要するが、以上に述べた点も考慮の上で、ガイドライン又はＱ＆Ａに 反映することができるか否か、さらに検討を行う必要がある。 ＜本論点に関するガイドラインの抜粋＞ 2-1．定義（法第２条関連） 2-1-1.「個人情報」（法第２条第１項関連） 法第２条第１項 この法律において「個人情報」とは、生存する個人に関する情報であって、当該情 報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができ るもの（他の情報と容易に照合することができ、それにより特定の個人を識別するこ とができることとなるものを含む。）をいう。 「個人情報」 ※１ とは、生存する「個人に関する情報」であって、特定の個人を識別 することができるもの（他の情報と容易に照合することができ、それにより特定の個 人を識別することができる ※２ ものを含む。）をいう。「個人に関する情報」は、氏名、 性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等 の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等 によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって 秘匿化されているかどうかを問わない（ただし、「2-2-3-2.安全管理措置（法第２０条 関連）」の対策の一つとして、高度な暗号化等による秘匿化を講じることは望ましい。）。 なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある 場合には、当該生存する個人に関する情報となる。 また、「生存する個人」には日本国民に限られず、外国人も含まれるが、法人その 他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は含まれ ない（ただし、役員、従業員等に関する情報は個人情報）。 ※１ 法は、「個人情報」、2-1-4.「個人データ」及び2-1-5.「 保有個人データ」の語を 使い分けており、個人情報取扱事業者に課せられた義務はそれぞれ異なるので、 注意を要する。 ※２ 「他の情報と容易に照合することができ、…」とは、例えば通常の作業範囲に おいて、個人情報データベース等にアクセスし、照合することができる状態をい い、他の事業者への照会を要する場合等であって照合が困難な状態を除く。 28 【個人情報に該当する事例】 事例１）本人の氏名 事例２）生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社に おける職位又は所属に関する情報について、それらと本人の氏名を組み 合わせた情報 事例３）防犯カメラに記録された情報等本人が判別できる映像情報 事例４）特定の個人を識別できるメールアドレス情報([email protected] p等のようにメールアドレスだけの情報の場合であっても、日本の政府機 関である経済産業省に所属するケイザイイチローのメールアドレスであ ることがわかるような場合等) 事例５）特定個人を識別できる情報が記述されていなくても、周知の情報を補っ て認識することにより特定の個人を識別できる情報 事例６）雇用管理情報（会社が従業員を評価した情報を含む。） 事例７）個人情報を取得後に当該情報に付加された個人に関する情報（取得時に 生存する特定の個人を識別することができなかったとしても、取得後、 新たな情報が付加され、又は照合された結果、生存する特定の個人を識 別できた場合は、その時点で個人情報となる。） 事例８）官報、電話帳、職員録等で公にされている情報（本人の氏名等） 【個人情報に該当しない事例】 事例１）企業の財務情報等、法人等の団体そのものに関する情報（団体情報） 事例２）記号や数字等の文字列だけから特定個人の情報であるか否かの区別がつ かないメールアドレス情報(例えば、[email protected]。ただし、他 の情報と容易に照合することによって特定の個人を識別できる場合は、 個人情報となる。) 事例３）特定の個人を識別することができない統計情報 29 ５．個人情報保護制度の枠外の問題 現行の法の適用対象外の情報（単独では特定の個人の識別にまでは至らな いパーソナル情報）であっても、それらの情報の集積の結果により特定の個 人が識別され得る蓋然性がある場合には、何らかの規律を必要とするか否か 検討する余地があるとも考えられる。また、機微性の高い情報の取扱いにつ いては、個人情報とは別の側面からプライバシー保護上の問題が生じ得る点 に留意すべきである。 これらの個人情報ではないパーソナル情報や、個人情報とは異なる要素を 併せ持つパーソナル情報については、今後もその利用サービスの展開を見据 えつつ、必要となる検討を継続していくことが求められる。 例えば、そのようなパーソナル情報の利用の典型例として、最近、拡大し つつあるのが行動ターゲティング広告である。インターネット上でのＷｅｂ サイト閲覧履歴やキーワード検索履歴、コンテンツ利用履歴やアンケート等 への回答内容などを基に、ユーザーの興味関心や広告主のターゲット設定等 に応じて、何らかの形あるいは水準でパーソナライズされた広告を配信する サービスが多く見受けられるようになった。 こうしたサービスの具体的な情報の利用の仕組みには様々な態様があり、 個人情報を利用するもののほか、クッキーを利用するもの、さらには技術的 にユーザーのブラウザに照会するだけで何ら情報の取得は行わずに反応に対 応して自動配信するものなどがある。 個人情報を利用する形態については、個人情報保護制度の枠内の問題とし て対応を要することは言うまでもない。他方クッキーを利用する形態や情報 取得を行わない形態については法の問題とはならないが、自動的な情報収集 や照会を行う側面もあることから態様によってはプライバシー権侵害の問題 を生じ得る可能性もあり、消費者の懸念や不安に対応していくことも求めら れる。なお、事業者がクッキーにより取得した情報につき、会員情報等と参 照して特定の個人を識別できる情報になり得る場合には、個人情報保護制度 の枠内の問題として対処していく必要がある点にも留意する必要がある。 この点、米国では、オンライン広告事業者による民間団体が、自主規制と しての行動規範を策定するとともに、クッキー作成に関するオプトアウト受 付サービスの構築等を行っている。また、連邦取引委員会（FTC）は、行動タ ーゲティング広告を行う事業者に対して、自主規制のための指針の提示に乗 り出している。一方、ＥＵでは、クッキーの保存期限をできるかぎり短縮す ることを要請しており、2007 年中に Google、Yahoo、MSN などのメガポータル は、クッキーの保存期限を２年以下に短縮した。 我が国でも先進的事業者の中には、既にプライバシーポリシー等において クッキー取得の通知や公表を行うほか、オプトアウト受付を提供するところ 30 も現れ始めており、一部には米国同様に民間団体の設立による自主的な行動 規範を作成しようとする動きも出てきている。 必要以上の規制等は行うべきではないが、我が国においても以上のような 動向を注視し、事業者による自主的な取組を促すような環境整備として必要 な事項や、行動ターゲティング広告を行う事業者が行う自主的な取組として 必要な事項等について、今後、検討を進めていくことが期待される。 また、単独では個人情報に該当しないパーソナル情報の利用が進まないこ との要因として、これら情報の利用について現行の法では特段の制限がない ことにつき消費者が十分に承知していない等の指摘もある。他方で、行動タ ーゲティング広告をはじめとするオンライン上でのサービス提供事業者の中 には、消費者からパーソナル情報を収集する際に、十分に説明していない場 合も見受けられる。同意を取る際には、ユーザーに対してより分かりやすい 情報提供を行うほか、情報の利用方法の多様化に応じて、ユーザーの細やか な希望を受け入れられる同意の取り方（例えば、「はい」「いいえ」の二択に とどまらず、利用方法をレベル分けした上での三択型（積極利用/標準利用/ 消極利用）等）などを検討していくことも今後の課題と考えられる。 個人情報保護制度の枠外の問題についての当面の検討課題例 行動 ターゲティング広告事業者によるパーソナル情報の取扱い パーソナル情報の管理・保存規定の明確化 消費者への情報提供のあり方 同意（パーミッション）の取得方法 31 ６．おわりに 以上、パーソナル情報の利用を巡る課題につき、現行の法の枠組の内にと どまる問題か否かという観点から、課題の整理及び今後の方策の方向性の検 討を行った。現行の法の枠組の内にとどまる問題については、ガイドライン 及びＱ＆Ａの見直しを適宜進め、事業者及び消費者の双方にとって個人情報 の取扱いが適正かつ円滑に行われるよう、法の規定の更なる明確化を図るこ とが求められる。また、現行の法の枠組の内にとどまらない問題については、 事業者の自主的な取組を尊重しつつ、消費者にとっても情報の利用が安心し て行われるための環境整備の在り方等につき、引き続き検討を進めていくこ とが期待される。 また、インターネット技術の一層の発展等に伴い、パーソナル情報の利用 についても、現段階では予想されないようなビジネスモデルの出現や発展、 サービスの多様化や利便性の向上が期待される。他方、今回の検討では盛り 込まれなかった新たな課題が生まれてくることも予想される。したがって、 パーソナル情報の利用の動向については、こうした情報を利用したビジネス の充実・発展の可能性と消費者等の本人の利益の保護のバランスの観点に立 脚しつつ、今後も引き続き注視していくことが重要である。 以上 32