個人情報と第三者提供

要点と定義

個人情報とは、出題時点の個人情報保護法の定義では、生存する個人に関する情報で、記述などにより特定の個人を識別できるもの、または個人識別符号を含むものです。企業が管理する顧客情報や、秘密の情報だけに限られません。

氏名などが公表済みでも、個人を識別できるなら個人情報に当たります。個人を識別できるメールアドレスや、個人に結び付いた業績評価も該当し得ます。法人の所在地や代表電話番号など、個人に関する情報ではないものは、この定義だけでは個人情報に当たりません。

要配慮個人情報は、個人情報のうち、出題時点の法令・ガイドラインで特に配慮が必要な情報として扱われた区分です。平成30年度春期の出題では、診療記録など、本人に診療が行われたことに関する情報が例として示されました。

OECDプライバシーガイドラインの「データ内容の原則」は、個人データを利用目的に沿った範囲で正確、完全かつ最新に保つという考え方です。

個人情報保護マネジメントシステムの規格では、本人から書面に記載された個人情報を直接取得する場面について、出題時点のJIS Q 15001:2017附属書Aに、利用目的などを事前に書面で明示し、書面による本人の同意を得る要件がありました。

第三者提供は、個人情報を第三者に渡す取扱いを考えるときの項目です。誰に何の目的で情報が渡るのかを整理し、委託などの取扱いと区別して検討します。該当性や必要な手続は、適用される法令・規格や時点を確認して判断します。

適用条件と例

たとえば、会員管理表に氏名と会員番号があり、番号から本人を特定できるなら、氏名を伏せてもその表は個人情報として扱う判断が必要です。一方、個人との対応関係を持たない売上合計だけの表は、この例の条件では個人を識別できません。

個人番号を含むファイルは、個人番号関係事務などに必要な範囲で作成する考え方です。業務成績の管理を目的とするファイルはその範囲に含まれないと、出題時点のガイドライン等に基づく問題で説明されています。

個人番号関係事務を税理士に委託し、源泉徴収票の作成に必要な範囲でファイルを扱う例は、平成28年度の出題時点のガイドラインで認められる取扱いとして示されました。