利用できる個人情報の範囲
個人情報保護法は、「特定された利用目的の達成に必要な範囲を超えて、
個人情報を取り扱ってはならない」となっています。
では、取得した個人情報をどのように扱えばいいでしょうか。
取得した個人情報は利用目的の範囲でのみ使いなさい、という規制あるために、
個人情報を取得する際には、利用目的を特定して、それを本人に伝える必要があります。
たとえば、お店から商品発送する際のことをみてみましょう。
お客さまの同意なしに、ダイレクトメールを送ることはできません。
それは、お店がお客さまから配送先として利用することが目的で
情報を得たとき、その住所にダイレクトメールを送るのは目的外利用となるからです。
取得した個人情報を配送以外の目的、マーケティング目的などで利用すると、
個人情報保護法に違反になるのです。
場合によっては、目的外で利用していいのか？
しかし、これにも例外があります。
個人情報は原則として目的外で利用してはならないのですが
例外的に、目的外で利用して問題ないことになっているのが
以下の４つの例外になります。
- 法令に基づく場合
- 人の生命、身体又は財産の保護のために必要がある場合であって、
本人の同意を得ることが困難であるとき - 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき４国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
たとえば、急病になった従業員がいたとします。
その場合には、血液型や家族の連絡先の情報を早急に医師に提供する必要がある場合があります。
また、商品に生命・身体に危険を及ぼす欠陥がありリコールするような場合は、
「2.人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ること
が困難であるとき」にあたり、利用目的として特定せずに、個人情報を利用できます。
利用目的の変更による緩和
今回の改正では、利用目的の変更制限の緩和が行われています。
通知または公表（あるいは明示）した利用目的と少しでも違う目的で
利用するときには､すべて本人の同意が必要なのでしょうか
改正前と改正後での違いをみていきましょう。
改正前は、「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲」であれ
ば、利用目的を変更することができました。
それは、「商品の配送目的」で取得した個人情報をダイレクトメール目的で使うことは、
本人が想定していない目的で「商品の配送目的」とは関連性がないといわれています。
そして相当の関連性とは、経済産業省のガイドラインでは次のように示されていました。「当
社の行う○○事業における新商品・サービスに関する情報のお知らせ」とした利用目的におい
て「既存の商品・サービスに関する情報のお知らせ」を目的の変更が認められる例として
あげられています。
お知らせが届くことがわかっていれば、新商品のお知らせが、既存の商品のお知らせでも問題
なしと認められるということです。
この程度なら変更なら認められてきました。
そして、改正前は「本人が想定できる範囲内であれば変更してもいい」となっていました。
しかし、実際には、本人の同意なく変更できる範囲はあまりなく限られたものでした。
そこで、利用するのに便利なように｢相当の」の表記が削除され、「関連性があればよい」と改
正されました。
今回の改正で、この中の「相当の」の3文字がなくなり、このたった3文字ではありますが、
「相当の」が入っているかいないかで大きな違いがでてくることになりました。
｢関連性｣があれば変更可能になりましたが「相当の」の表記がなくなっても、たとえば商品の
モニターしてもらうために収集した個人情報をもとに、自社の商品の販売促進のため取扱商品
カタログと商品購入申込書を送ることは、「関連性を有すると合理的に認められる範囲」
とは認められません。
しかし、フィットネスの会社が新たにその食事メニューの食品の販売サービスを始める際に
以前から取得していた食事メニューの指導を行うことで取得した個人情報を利用することが
認められるようになるといわれています。
利用目的に書いていないとき、個人データの｢第三者提供｣はできない？
たとえば、Ａ社とＢ社があったとします。
Ａ社が別の会社のＢ社がマーケティング目的で利用するため、購入者の個人情報のデータを
Ｂ社に提供したりするのであれば、Ａ社は「第三者に提供します」と利用目的に明示しておく
ことが必須事項なのです。
個人情報を第三者に提供する場合には、そのことを利用目的に記載しておかなければならない
としています。
しかし、利用目的には第三者提供が書かれていないことの方が多かったのが現実です。
通信販売が始まった頃は、その情報を第三者に提供したり、販売することは想定していません
でした。
たとえば、インターネット販売を通して、自社には多くの顧客情報があるとします。
企業経営の面から考えると、これだけ顧客情報が集まったので、このデータをビジネスに活用
したい。
そんなケースが現在、非常に多くなっていますが売却や提供したりすることなどを想定してい
なかったため多くの場合は第三者に提供することが書かれていなかったのです。
その結果、このデータは第三者への提供できず、そのような企業は自社データをビジネスに使
いたくてもできずに板ばさみにあります。
しかし、本人の同意がなくても行う方法が第三者提供に関してはありますが、
本人の同意なしに利用目的だけは変更ができません。
現実問題として、第三者提供が利用目的に書かれていない状態で、
長年のビジネス活動により蓄積された個人データについて、
ひとりひとりから第三者提供に関して同意を得ることは不可能といえるでしょう。
その結果、「取得した時点で利用目的に書いていなかったので第三者提供はできません」とい
うことになっていました。
以後、取得した個人データを第三者に提供したりしてビジネスに生かそうとするのであれば、
いますぐに利用目的に「第三者提供」を含めるように明示し、その明示したよりも後に収集し
たデータだけを「第三者提供」利用するようにするか、または「匿名加工情報」として利用す
るようにしましょうということで、今回の改正で追加されたのが「匿名加工情報」です。
報道機関に提供する防犯カメラの映像の問題
では、以下のケースは個人情報保護法に違反するでしょうか。
有名人が薬物事件などで逮捕された際に、有名人の様子が映った防犯カメラの映像が
報道機関に提供する行為がありました。
防犯カメラの映像は、第三者提供の規制にかかりません、それは「個人情報」に過ぎません。
なにが問題かというと、個人情報は利用目的の範囲内で利用しなければならないという規制
からです。
目の前で犯罪行為等が行われた際にそれを記録するという防犯目的で設置されているため
防犯カメラでの個人情報の取得は、目的が明らかであれば利用目的を明示しなくてよいことに
なっています。
防犯の目的以外で個人情報を第三者に提供することは、通常は目的外の利用であるといえる可
能性が高いはずです、しかし、報道機関に報道目的で個人情報を提供することは、
個人情報保護法に違反していても、委員会は勧告命令をしません。
それは、以下の例外規定からです。
「放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む)」が
「報道の用に供する目的」で個人情報を取り扱う際には、
個人情報取扱事業者に対する義務が課せられないという例外規定があり、
入手した報道機関がその映像を番組で放映することは個人情報保護法上許されています。
しかし、個人情報保護法とプライバシーとは別で、提供された映像についても、、放映した
ニュース番組についても、その有名人のプライバシーを違法に侵害していないかどうかは別の
問題にになります。
「まとめ」
ここまで、個人情報を取得する際には、利用目的を特定して
本人に伝える必要があること、また、利用する際には、その利用目的の範囲を超えてはいけま
せん。
また、利用目的の範囲を超えた利用には事前の本人の同意が必要になります。
ただし、4つの例外があることを覚えていてください。
今回の改正では、利用目的の変更制限の緩和が行われています。
その改正の一つで追加されたのが「匿名加工情報」です。
収集した個人データを第三者に提供してビジネス利用する場合は「匿名加工情報」として利用
するようにしましょう。