改正個人情報保護法における基本的なルール
◆「個人情報」とは
個人情報保護法上の「個人情報」とは、生存する個人に関する情報で、特定の個人を識別することができるもの及び他の情報と照合することで容易に特定の個人識別することができることとなるものをいいます。例えば、「氏名」、「生年月日と氏名の組合せ」、「顔写真」、「個人識別符号」※などが該当します。
日本に居住する外国人の情報も個人情報に含まれますが、法人の情報は「個人情報」に含まれません。ただし、法人の情報であっても、法人の役員等の氏名等の情報は「個人情報」です。
※「個人識別符号」とは、その情報だけで特定の個人を識別できる文字、番号、記号、符号等をいい、指紋データ、パスポート番号、免許証番号、マイナンバー等。
◆事業者が守るべき基本的なルール
◎取得・利用する時
・どのような目的で個人情報を利用するのかについて、具体的に特定する。
・特定した目的は、公表しておく。あらかじめ公表していない場合には、本人に通知又は公表する。
※個人情報を取等する際に利用目的が明らかであれば遂一相手に伝える必要はありません。
・取得した個人情報は特定した利用目的の範囲内で利用する。
※商品を配送するためだけに取得したお客様の住所を使って自社の商品の宣伝はできません。
・すでに取得した個人情報を他の目的で利用したい場合には、本人の同意を得る。
・要配慮個人情報※を取得する時は、本人の同意が必要。
※「要配慮個人情報」とは、不当な差別、偏見その他の不利益が生じないように取扱いに配慮を要する情報として、法律・政令に定められた情報。人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実等の他、身体障害等の障害があることや、健康診断結果等も該当します。
◎安全管理
・取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じる。例えば、紙で管理している場合は鍵のかかる引き出しで保管する、電子データは暗号化、パスワードの設定により保護するなどです。
・正確で最新の内容に保ち、必要がなくなったときはデータを消去するよう努める。
・従業員が会社で保有する個人情報を私的に使ったり、言いふらしたりしないよう社員教育を行う。
・個人情報の取扱いを委託する場合、委託先に対して必要かつ適切な監督を行う。
◎第三者に提供する場合
・個人情報を第三者に提供する時は、原則として本人の同意が必要。
※例外として、①法令に基づく場合、②人の生命、身体又は財産の保護のため（かつ本人の同意を得ることが困難）、③公衆衛生・児童の健全な育成のため（かつ本人の同意を得ることが困難）、④国や地方公共団体等への協力
・本人の同意を得ない揚合には、いわゆるオプトアウト（本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する場合、本人の同意を得ることなく第三者に個人データを提供することができる制度）の手続をする。だだし、要配慮個人情報については禁止。
・業務の委託、事業の承継、共同利用は、第三者提供には当たらない。
・第三者へ提供した時は、受領者の氏名等を記録し、一定期間保存する。
・第三者から個人データを受け取るときは、提供者の氏名等、取得経緯を確認し、受領年月日、確認した事項等を記録し、一定期間保存する。
◎開示請求への対応
・本人からの請求に応じて、個人情報を開示、訂正、利用停止等する。
※一時的に保有しているにすぎない個人情報（半年以内に消去するもの）や、他の事業者からデータ編集作業のみを委託されて取り扱っているだけの個人情報（開示等の権限がないもの）は、対応は不要です。
・①事業者の名称、②利用目的、③請求手続の方法、④苦情の申出先、⑤認定個人情報保護団体に加入している揚合、当該団体の名称及び苦情申出先、についてHP に公表するなど本人の知り得る状態に置く。
・個人情報の取扱いに関する苦情を受けた時は、適切かつ迅速に対処する。