<433A5C C6B617A B615C B746F705C8E648E965C8D7390AD8F918E6D82CC8BB38DDE5C CC2906C8FEE95F195DB8CEC964082CC92808FF089F090E E291E88F575C95BD90AC E937894C55C CC2906C8FEE95F195DB8CEC964082CC92808FF

Transcription

1 個人情報保護法の 逐条解説 ( 全条文の解説 ) 目次 第 1 章 総則 (1~3 条 ) p2~9 第 2 章 国及び地方公共団体の責務等 (4~6 条 ) p10~12 第 3 章 個人情報の保護に関する施策等 (7~14 条 ) p13~23 第 1 節 個人情報の保護に関する基本方針 (7 条 ) p13~15 第 2 節 国の施策 (8~10 条 ) p16~18 第 3 節 地方公共団体の施策 (11~13 条 ) p19~22 第 4 節 国及び地方公共団体の協力 (14 条 ) p23 第 4 章 個人情報取扱事業者の義務等 (15~49 条 ) p24~87 第 1 節 個人情報取扱事業者の義務 (15~36 条 ) p24~69 第 2 節 民間団体による個人情報の保護の推進 (37~49 条 ) p70~87 第 5 章 個人情報保護委員会 ( 第 50 条 ~ 第 65 条 ) p88~107 第 6 章 雑則 (66 条 ~72 条 ) p108~116 第 7 章 罰則 (73 条 ~78 条 ) p117~121

2 第 1 章総則 (1 条 ~3 条 ) ( 目的 ) 第 1 条この法律は 高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み 個人情報の適正な取扱いに関し 基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め 国及び地方公共団体の責務等を明らかにするとともに 個人情報を取り扱う事業者の遵守すべき義務等を定めることにより 個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ 個人の権利利益を保護することを目的とする 改正 個人情報保護法の目的 (1 条 ) 目的 個人情報保護法は 個人情報の有用性に配慮しつつ 個人の権利利益を 保護すること を目的としています 個人情報の有用性とは たとえば 犯罪捜査に活用したり 事故等で 意識不明になり輸血が必要なときに血液型を入手すること等をいいます さらに 今回の改正で 新たな産業の創出 活力ある経済社会の実現 豊かな国民成果の実現 の 3 つが 有用性の例に追加されました 目的を実現するための手段 目的を実現するための手段として 国 地方公共団体の責務等を明らかに する 個人情報取扱事業者の遵守すべき義務等を定める の 2 つがあります 制定の背景高度情報通信社会の進展に伴い 個人情報の利用が著しく拡大していることを背景に 個人情報保護法はつくられました ~ 2 ~

3 ( 定義 ) 第 2 条この法律において 個人情報 とは 生存する個人に関する情報であって 当該情報に含まれる氏名 生年月日その他の記述等により特定の個人を識別することができるもの ( 他の情報と容易に照合することができ それにより特定の個人を識別することができることとなるものを含む ) をいう 個人情報の定義 (2 条 1 項 ) 生存する個人に関する情報 個人情報は 生存する個人に関する情報 と定義されています 死者の情報は個人情報に含まれませんが 死者の情報が同時に遺族の情報に なれば 遺族の情報として個人情報に含まれます ( 例 : 死者の相続財産についての情報が 同時に相続人の情報になる場合 ) 法人の情報も 死者の情報と同じく個人情報ではありませんが 法人の役員 従業員の情報は 個人情報に含まれます 外国人の情報 公務員の情報は 個人情報に含まれます 特定の個人を識別できるもの 氏名 生年月日などの基本的な情報はもちろん センシティブ情報 ( 思想 病歴等 ) も個人情報に含まれます 他の情報と容易に照合することができる 個人情報保護法では 容易に 照合できるものが個人情報に含まれます 他の情報と容易に照合できないものは 個人情報には含まれません 個人情報に該当する事例 本人の氏名 防犯カメラの映像 特定の個人を識別できるメールアドレス 官報 電話帳 職員録等で公にされている情報 雇用管理情報 など ~ 3 ~

4 2 この法律において 個人情報データベース等 とは 個人情報を含む情報の集合物であって 次に掲げるものをいう 一特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの二前号に掲げるもののほか 特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの 個人情報データベース等の定義 (2 条 2 項 ) 個人情報を含む情報の集合物 個人情報データベース等は 個人情報が集まったものをいいます 電子計算機 = パソコン のことです パソコンのファイルなのか 紙媒体かに関係なく 個人情報が集まっていて 検索できるようになっていれば個人情報保護データベース等に該当します 個人情報データベース等に該当する事例 顧客名簿 メールソフトのアドレス帳 カルテ 指導要録 ( 小学校 ~ 高校の先生が作成する 生徒の学籍等の記録 ) 市販の人名録 など ~ 4 ~

5 3 この法律において 個人情報取扱事業者 とは 個人情報データベース等を事業の用に供している者をいう ただし 次に掲げる者を除く 一国の機関二地方公共団体三独立行政法人等四地方独立行政法人五その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者 個人情報取扱事業者の定義 (2 条 3 項 ) 個人情報データベース等を事業の用に供している者 個人情報取扱事業者は ひとつ前に出てきた個人情報データベース等を 事業に使っている者をいいます 個人 法人 任意団体 すべて個人情報取扱事業者に含まれます 事業の内容が 営利なのか 非営利なのかは関係ないので NPO 法人も個人情報取扱事業者に含まれます 個人情報取扱事業者から除かれる者 次の1~5は 個人情報取扱事業者には該当しません 1 国の機関 ( 国の行政機関 国会 裁判所など ) 2 地方公共団体 ( 都道府県 市町村 23 区など ) 3 独立行政法人等 ( 国立大学法人 法テラスなど ) 4 地方独立行政法人 5 過去 6ヵ月以内に1 度も個人情報の数が5,000を超えない事業者 社員の数ではなく あくまでも個人情報の数が対象です ~ 5 ~

6 4 この法律において 個人データ とは 個人情報データベース等を 構成する個人情報をいう 個人データの定義 (2 条 4 項 ) 個人情報データベース等を構成する個人情報 個人データは 個人情報データベース等にある個人情報をいいます 個人情報 と 個人データ は 意味が違うことに注意 個人情報の一部 ( 場合によっては全部 ) が 個人データです 個人情報だからといって 必ず個人データに該当するとは限りません 個人情報でも 個人情報データベース等を構成していないものは 個人データになりません たとえば 整理してない名刺の束は 容易に検索できない ( お目当ての名刺が探せない ) ので個人情報データベース等ではありません そのため 名刺に書かれている氏名等は個人情報ですが 個人データには該当しないことになります 個人データに該当する事例 1 パソコン内の顧客名簿ファイルの情報を バックアップ用に USBメモリに移したもの 2 パソコン内にある名簿ファイルを印刷したもの ~ 6 ~

7 5 この法律において 保有個人データ とは 個人情報取扱事業者が 開示 内容の訂正 追加又は削除 利用の停止 消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は1 年以内の政令で定める期間以内に消去することとなるもの以外のものをいう 保有個人データの定義 (2 条 5 項 ) 個人情報取扱事業者が開示等を行うことのできる権限を有する個人データ 保有個人データは 個人データのうち 個人情報取扱事業者が開示 訂正 利用停止等ができるものをいいます 個人データ と 保有個人データ は 意味が違うことに注意 個人データの一部 ( 場合によっては全部 ) が 保有個人データです 個人データだからといって 必ず保有個人データに該当するとは限りません 個人データでも 個人情報取扱事業者に開示等の権限がないものは 保有個人データになりません たとえば A 社が B 社に顧客名簿 C( 個人データ ) を委託処理している場合 B 社の判断では名簿 C の開示等ができないときは 名簿 C は A 社にとっては 保有個人データですが B 社にとっては保有個人データではありません 保有個人データから除かれるもの次の1または2に該当するときは 保有個人データから除かれます 1 その存否が明らかになることにより公益その他の利益が害されるもの例 : 児童虐待の相談記録についての個人データで その存否が明らかになることで 児童虐待を一層悪化させるおそれがあるもの 2 1 年以内の政令で定める期間以内に消去することとなるもの 1 年以内の政令で定める期間以内 = 6ヵ月以内 ( 施行令 4 条 ) ~ 7 ~

8 6 この法律において個人情報について 本人 とは 個人情報によって 識別される特定の個人をいう 本人の定義 (2 条 6 項 ) 個人情報によって識別される特定の個人 本人は その個人情報の持ち主のことです 以上 ~ 8 ~

9 ( 基本理念 ) 第 3 条個人情報は 個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ その適正な取扱いが図られなければならない 基本理念 (3 条 ) 個人の人格尊重の理念の下に慎重に取り扱われるべきもの 基本理念で 個人情報の適正な取扱いが義務づけられています その前提条件として 個人情報は 個人の人格尊重の理念の下に慎重に 取り扱われるべきもの という考え方があり この考えに照らし合わせて そのような取扱いになっています ~ にかんがみ は ~ に照らし合わせて という意味です この条文には 憲法 13 条の すべて国民は 個人として尊重される との 関連が示唆されているそうです 参考 日本国憲法 13 条すべて国民は 個人として尊重される 生命 自由及び幸福追求に対する国民の権利については 公共の福祉に反しない限り 立法その他の国政の上で 最大の尊重を必要とする ちなみに この基本理念は 公的部門 ( 国や地方公共団体 ) と 民間部門 ( 事業者 ) の両方に共通しています ~ 9 ~

10 第 2 章国及び地方公共団体の責務等 (4 条 ~6 条 ) ( 国の責務 ) 第 4 条国は この法律の趣旨にのっとり 個人情報の適正な取扱いを確保するために必要な施策を総合的に策定し 及びこれを実施する責務を有する 国の責務 (4 条 ) 必要な施策を総合的に策定し 及びこれを実施する責務を有する 国は 3 条にある 個人情報の適正な取扱い を確保するために 必要な施策を総合的に策定する責務と その施策を実施する責務があります 施策 は 対策 策定 は 決める 責務 は 責任 & 義務 だと 思えば OK です つまり 必要な施策を総合的に策定する責務とは 必要な対策を総合的に決める責任 & 義務 ということになります また 施策を実施する責務とは 決めた対策を実施する責任 & 義務 ということになります この施策には 官民 ( 公 + 民間 ) の両方が含まれています 国は 施策を 総合的 に策定 実施する責務があることにも注意 次の 5 条には 地方公共団体の責務についてありますが 総合的 という言葉は使われていません 国の責務を具体的にしたものが 6 条 ~10 条です ~ 10 ~

11 ( 地方公共団体の責務 ) 第 5 条地方公共団体は この法律の趣旨にのっとり その地方公共団体の区域の特性に応じて 個人情報の適正な取扱いを確保するために必要な施策を策定し 及びこれを実施する責務を有する 地方公共団体の責務 (5 条 ) その地方公共団体の区域の特性に応じて 必要な施策を策定し 及び これを実施する責務を有する 地方公共団体は 3 条にある 個人情報の適正な取扱い を確保するために その地方公共団体の区域の特性に応じて 必要な施策を策定する責務と その施策を実施する責務があります 地方公共団体 は 都道府県 市町村 だと思えば OK です 区域の特性 は 地域の特徴 で 具体的には 区域の人口や その区域でのプライバシー侵害事例の発生状況等があります 施策 は 対策 策定 は 決める 責務 は 責任 & 義務 です つまり その地方公共団体の区域の特性に応じて 必要な施策を策定し 及びこれを実施する責務とは その都道府県 市町村の人口等の特性に応じて 必要な対策を決める責任 & 義務 ということになります 全国一律の内容に決める必要はないので 自分たちの地域に合った内容を 決めることができます 地方公共団体の責務を具体的にしたものが 11 条 ~13 条です ~ 11 ~

12 ( 法制上の措置等 ) 第 6 条政府は 個人情報の性質及び利用方法にかんがみ 個人の権利利益の一層の保護を図るため特にその適正な取扱いの厳格な実施を確保する必要がある個人情報について 保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置を講ずるものとする 政府の義務 1 (6 条 ) 個人情報の性質及び利用方法にかんがみ 個人の権利利益の一層の保護を 図るため特にその適正な取扱いの厳格な実施を確保する必要がある個人情報 特にその適正な取扱いの厳格な実施を確保する必要がある個人情報としては 医療 情報通信 金融 の 3 分野があります たとえば 病院で 個人の健康状態を診察したときには 個人の健康状態が 個人情報の性質 診察が 利用方法 に該当します こうした 個人情報や利用方法をふまえて 個人の権利利益を一層 保護するために 特に取扱いを厳しくする必要がある個人情報があります かんがみ は 踏まえて だと思えば OK です 保護のための格別の措置が講じられるよう必要な法制上の措置 その他の措置を講ずるものとする 特に取扱いを厳しくする必要がある個人情報を保護するために 特別な対応が できるように必要な法令の制定や ガイドラインの作成 行政指導などを する義務が政府にあります 格別 は 特別 措置 は 対応 法制上の措置 は 法令の制定 その他の措置 は ガイドラインの作成 行政指導 だと思えば OK です ~ するものとする は 弱い義務を意味します ~ 12 ~

13 第 3 章個人情報の保護に関する施策等 (7 条 ~14 条 ) 第 1 節個人情報の保護に関する基本方針 (7 条 ) 第 7 条政府は 個人情報の保護に関する施策の総合的かつ一体的な推進を図るため 個人情報の保護に関する基本方針 ( 以下 基本方針 という ) を定めなければならない 政府の義務 2 (7 条 1 項 ) 個人情報の保護に関する基本方針を定める義務 政府は 個人情報の保護に関する基本方針を定める義務があります 6 条は するものとする でしたが 7 条 1 項は しなければならない と 政府に対してより強く義務づけています 基本方針の具体的な内容については 次の 2 項にあります ~ 13 ~

14 2 基本方針は 次に掲げる事項について定めるものとする 一個人情報の保護に関する施策の推進に関する基本的な方向二国が講ずべき個人情報の保護のための措置に関する事項三地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項四独立行政法人等が講ずべき個人情報の保護のための措置に関する基本的な事項五地方独立行政法人が講ずべき個人情報の保護のための措置に関する基本的な事項六個人情報取扱事業者及び第 40 条第 1 項に規定する認定個人情報保護団体が講ずべき個人情報の保護のための措置に関する基本的な事項七個人情報の取扱いに関する苦情の円滑な処理に関する事項八その他個人情報の保護に関する施策の推進に関する重要事項 基本方針の内容 (7 条 2 項 ) 基本方針の8 事項 基本方針で政府が定める事項は 全部で8つあります 1 号 個人情報保護法を制定した背景や 個人情報保護法の理念 など 2 号 政府全体としての制度の統一的な運用を図るための指針 など 3 号 地方公共団体の個人情報保護条例の制定 など 4 号 独立行政法人等の情報セキュリティシステムの整備 など 5 号 地方独立行政法人の個人情報保護に関する規定の整備 など 6 号 個人情報取扱事業者のプライバシーポリシーの作成 認定個人情報保護団体のガイドラインの策定 など 7 号 苦情処理体制 など 8 号 1 号 ~7 号以外の事項 ( 情報収集 調査研究の推進 消費者委員会の役割 ) 1 号から 8 号までの内容を 暗記する必要はありません ~ 14 ~

15 3 内閣総理大臣は 個人情報保護委員会が作成した基本方針の案について 閣議の決定を求めなければならない 改正 内閣総理大臣の義務 1 (7 条 3 項 ) 個人情報保護委員会が作った 基本方針案の閣議決定を求める義務 今回の改正で 基本方針の案を作るのは 個人情報保護審査会 になりました ( 改正前は 内閣総理大臣に基本方針案を作る義務がありました ) 基本方針の案について 閣議決定を求める義務があるのは同じです ( 閣議決定 内閣の OK をもらう ) 閣議決定することで 国の行政機関が基本方針を遵守する義務を負います 4 内閣総理大臣は 前項の規定による閣議の決定があったときは 遅滞なく 基本方針を公表しなければならない 内閣総理大臣の義務 2 (7 条 4 項 ) 閣議決定後 遅滞なく 基本方針を公表する義務 内閣総理大臣は 閣議決定の後 遅滞なく 基本方針を公表します 5 前 2 項の規定は 基本方針の変更について準用する 基本方針の変更 (7 条 5 項 ) 基本方針の変更について準用 閣議決定を求める義務 閣議決定後 遅滞なく 公表する義務 この2つの義務は 基本方針を変更するときも当てはまります ~ 15 ~

16 第 2 節国の施策 (8 条 ~10 条 ) ( 地方公共団体等への支援 ) 第 8 条国は 地方公共団体が策定し 又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため 情報の提供 事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする 国の義務 1 (8 条 ) 地方公共団体 国民 事業者等に対する国の支援 国民 には 外国人も含まれています (2 条 1 項 ) 事業者等 には 個人情報取扱事業者以外の事業者も含まれています 苦情処理を行う国民生活センターや 日本弁護士連合会の紛争処理センターも 事業者に含まれます 個人情報の適正な取扱いの確保に関して行う活動 この活動は 紛争を未然に防止するために行うことが念頭に置かれています 事業者の活動としては プライバシーポリシーの作成等 苦情処理団体の活動としては 対象事業者への情報提供等があります 事業者等が講ずべき措置の適切かつ有効な実施を図るための指針 ガイドラインのことです 一番ガイドラインの多い分野は 医療です その他の措置 個人情報保護のための調査研究 セキュリティに関する監査等があります ~ 16 ~

17 ( 苦情処理のための措置 ) 第 9 条国は 個人情報の取扱いに関し事業者と本人との間に生じた苦情の適切かつ迅速な処理を図るために必要な措置を講ずるものとする 国の義務 2 (9 条 ) 事業者 - 本人 間の適切かつ迅速な苦情処理を図るために必要な措置 事業者と本人の間なので 国や地方公共団体と本人の間は対象外です 事業者 なので 個人情報取扱事業者以外の事業者も含まれます 必要な措置 として 具体的には次の1~4などが考えられます 1 事業者を対象とする 個人情報保護法の内容についての講演会の開催 2 苦情処理についての関係機関 団体のネットワーク構築の支援 3 国自身が 国民に対して情報提供を行う 4 行政機関に苦情相談窓口を設置する ~ 17 ~

18 ( 個人情報の適正な取扱いを確保するための措置 ) 第 10 条国は 地方公共団体との適切な役割分担を通じ 次章に規定する個人情報取扱事業者による個人情報の適正な取扱いを確保するために必要な措置を講ずるものとする 国の義務 3 (10 条 ) 個人情報取扱事業者による個人情報の適正な取扱いを確保するために 必要な措置を講じる義務 必要な措置には 主務大臣が個人情報取扱事業者に対して行う次の1~3が含まれます 1 報告の徴収 (32 条 ) 2 助言 (33 条 ) 3 勧告及び命令 (34 条 ) さらに 主務大臣が認定個人情報保護団体に対して行う 次の4~6も必要な措置に含まれます 4 報告の徴収 (46 条 ) 5 命令 (47 条 ) 6 認定の取消し (48 条 ) 国と地方公共団体との適切な役割分担 上の 1~6 は 個人情報保護法では主務大臣がすることになっていますが 67 条で 政令で決めれば地方公共団体の長等にさせても OK とあるので 地方公共団体の長がすることもできます だから 国 ( 主務大臣 ) と地方公共団体の長等 ( 知事 市町村長等 ) は 適切な役割分担をしてくださいよ というのがこの条文の趣旨です ~ 18 ~

19 第 3 節地方公共団体の施策 (11 条 ~13 条 ) ( 地方公共団体等が保有する個人情報の保護 ) 第 11 条地方公共団体は その保有する個人情報の性質 当該個人情報を保有する目的等を勘案し その保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずることに努めなければならない 地方公共団体の努力義務 1 (11 条 1 項 ) 保有する個人情報の性質 当該個人情報を保有する目的等を勘案 地方公共団体が保有する個人情報には 次のような性質があります 1 法令に基づき強制的に取得することができるものが多い ( 住所 ) 2 行政サービスの提供に不可欠 ( 住民票の提供 ) 地方公共団体が個人情報を保有する目的等には 次のようなものがあります 1 行政サービスの提供 ( 住所の情報がないと 住民票が出せない ) 2 他の法令による規制 ( 法令で 個人情報を保有する義務がある ) 勘案 は 考え合わせる だと思えば OK です 保有個人情報の適正な取扱いが確保されるよう必要な措置を講ずる 努力義務 国は 義務 でしたが 地方公共団体は 努力義務 です 必要な措置は 具体的には 条例で行っています ( 個人情報保護条例 ) ~ 19 ~

20 2 地方公共団体は その設立に係る地方独立行政法人について その性格及び業務内容に応じ その保有する個人情報の適正な取扱いが 確保されるよう必要な措置を講ずることに努めなければならない 地方公共団体の努力義務 2 (11 条 2 項 ) 地方独立行政法人の保有する個人情報の適正な取扱いが確保されるよう 必要な措置を講じる努力義務 地方公共団体は その区域内の地方独立行政法人に対して その法人が 保有する個人情報の適正な取扱いが確保されるように必要な措置を講じる 努力義務があります 地方独立行政法人は 元々は地方公共団体の機関だったものが多く 法人の役員や職員が公務員の特定地方独立行政法人もあります つまり 地方独立行政法人は 実質的には地方公共団体の一部ともいえます そのため 地方公共団体には 地方独立行政法人が個人情報の適正な 取扱いができるように 必要な措置を行う努力義務があります ~ 20 ~