個人情報を取得する際の「本人との事前の同意」に関する要求事項が「3.4.2.4 本人から直接書面によって取得する場合の措置」、「3.4.2.5 個人情報を3.4.2.4以外の方法によって取得した場合の措置」のそれぞれの要求事項となります。
本人に通知し同意を得る
直接本人から、個人情報を書面などによって取得する場合は、事前に以下の事項を本人に通知し同意を得ることを要求しています。
- 事業者の名称又は氏名
- 個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
- 利用目的
- 個人情報を第三者に提供することが予定される場合の事項
- 個人情報の委託を行うことが予想される場合には、その旨
- 開示対象個人情報に該当する場合には、その求めに応じる旨及び問合せ窓口
- 本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果
- 本人が容易に認識できない方法によって個人情報を取得する場合には、その旨
特に「JIS Q 15001:2006 解説 3.4.4」では「提供に関する通知」において、「個人情報の提供は、本人が直接関与しないことが多いため、本人に懸念を抱かせないよう具体的に明らかにすることが必要である」とし、提供に関する通知について注意を促しています。なお、通知する範囲は、以下のとおりです。
- 第三者に提供する目的
- 提供する個人情報の項目
- 提供の手段又は方法
- 当該情報の提供を受ける者又は提供を受ける者の組織の種類、及び属性
また「JIS Q 15001:2006 解説 3.4.4」では、通知手段について、明示することとは、以下の手段が考えられ、内容が適切な方法でありまた、本人に認識される合理的な方法でなければならないとしています。
- 通知内容を記載した契約書などを本人に手渡しすること、又は送付すること
- 自社のweb画面上に通い内容を明記すること（本人が容易に参照できる）
あわせて、同意について正しい同意手段は「通知内容に対する本人の署名」「同意欄へのチェック」及び「web上での同意ボタンの押下」などが正しい同意のあり方であり、明示的な本人の意思表示がされていることが原則であると「JIS Q 15001:2006 解説 3.1」では規定しています。
したがって、以下の例示は「原則として不適切である」としていることから同意の手順を確立する場合には留意するべきでしょう。
- 通知項目が記載された書面に、本人が記載することを同意とみなす
- 通知後一定期間に応答がなかった場合は、同意とみなす。
通知や同意が必要ない場合もある
個人情報保護法でも規定されている以下のケースでは「通知及び同意」を割愛できます。
- 個人情報保護法 第18条
人の生命、身体又は財産の保護のために緊急に必要がある場合
- 個人情報保護法 第18条4項 及びJIS Q 15001:2006の3.4.2.5a)～d)
ー利欲目的を本人に通知し、又は好評することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
ー利用目的を本人に通知し、又は好評することにより当該個人情報取扱事業者（JISでは当該事業者）の権利又は正当な利益を害するおそれがある場合
ー国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は好評することにより当該事務の遂行に支障を及ぼすおそれがあるとき
ー取得の状況からみて利用目的が明らかであると認められる場合
- 個人情報保護法 第16条 3項 及びJIS Q 15001:2006の3.4.2.6a)～d)
ー法令に基づく場合
ー人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
ー公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
ー国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
個人情報保護法との関連
個人情報保護法「第18条 取得に際しての利用目的の通知等」の2項が「3.4.2.4 本人から直接書面によって取得する場合の措置」に相当しますが、個人情報保護法では「利用目的」の通知だけを要求しているのに対して、規格では利用目的に加え幾つかの内容を付加して通知するよう要求しています。
