個人情報保護法の義務と権限

個人情報保護法は、個人情報取扱事業者等が個人情報を取り扱う際に負う義務と、個人情報保護委員会が法の施行のために有する権限を定める法律である。法は、生存する個人に関する情報であって、氏名などの記述等により特定の個人を識別することができるもの、又は個人識別符号が含まれるものを個人情報と定める（第2条第1項）。本節では、事業者の義務として利用目的の通知等と漏えい等の報告を取り上げ、委員会の権限として報告徴収と立入検査を整理する。さらに、委員会の認定を受けた団体が担う業務についても確認する。試験では、義務を負う主体、義務の例外、権限の範囲が問われやすいため、それぞれの区別を正確に押さえる必要がある。

利用目的の通知等（第21条）

個人情報取扱事業者は、個人情報を取得した場合に、原則として、その利用目的を本人に通知し、又は公表しなければならない。第21条第1項は、「あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない」と定める。 通知と公表は並列に置かれており、いずれか一方を行えば足りる。取得より前に利用目的を公表していた場合には、同項の義務は生じない。

第21条第2項は、本人との間で契約を締結することに伴って契約書その他の書面に記載された本人の個人情報を取得する場合など、本人から直接書面に記載された個人情報を取得する場合を別に扱う。この場合、事業者は「あらかじめ、本人に対し、その利用目的を明示しなければならない」。「あらかじめ」と定めるため、取得後に速やかに通知すればよいとする第1項とは、義務を履行する時点が異なる。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この明示義務が及ばない。

利用目的を変更した場合には、第21条第3項により、変更後の利用目的を本人に通知し、又は公表しなければならない。第4項は、前三項の規定を適用しない場合を定める。その4号は、「取得の状況からみて利用目的が明らかであると認められる場合」を適用除外の一つとして挙げる。 第4項の1号から3号は、利用目的を本人に通知し、又は公表することによって本人若しくは第三者の権利利益を害するおそれがある場合、事業者の権利又は正当な利益を害するおそれがある場合、国の機関又は地方公共団体の事務遂行に支障を及ぼすおそれがある場合を定める。第4項は前三項の全部を適用除外とする点で、第2項ただし書の緊急性の例外とは適用範囲が異なる。

漏えい等の報告（第26条）

第26条第1項は、個人情報取扱事業者が取り扱う個人データの漏えい、滅失、毀損その他の安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じた場合に、当該事態が生じた旨を個人情報保護委員会に報告しなければならないと定める。 報告義務の対象は個人情報一般ではなく、個人データに係る事態である。個人情報と個人データは区別しなければならない。どの事態が対象となるかは委員会規則に委ねられており、本条文だけから判断することはできない。

同項ただし書は、他の個人情報取扱事業者又は行政機関等から個人データの取扱いの全部又は一部の委託を受けた場合であって、委員会規則の定めるところにより、当該事態が生じた旨を委託元に通知したときは、この限りでないと定める。すなわち、委託を受けた者は、委託元への通知を行った場合に限り、委員会への報告を要しない。