名前を集めるとき、何に気をつける？

1名前・名簿・個人データの違いを知る

生きている個人についての情報で、氏名などから特定の個人を識別できるものが個人情報です。他の情報と容易に照合して個人を識別できるものや、法令で定める個人識別符号を含むものも対象です。名前と連絡先のある予約名簿は身近な例です。

病歴など、不当な差別や偏見につながらないよう特に配慮が必要な情報は、要配慮個人情報と呼びます。

• 必要な人の情報を探せるように整理した情報の集まりが、個人情報データベース等です。検索できる予約一覧だけでなく、索引を付けた紙の名簿なども該当します。
• その中に含まれる一人ひとりの個人情報が、個人データです。

2目的を決め、必要な情報を適切に扱う

名簿を作る前に、何に使うかという利用目的をできる限り特定します。取得時の通知・公表や、本人から申込書などで直接取得するときの明示など、場面に応じた対応が必要です。通常の個人情報の取得が、すべて事前同意必須という意味ではありません。

一方、利用目的の範囲を超える取扱いや要配慮個人情報の取得などは、原則として本人の同意が必要です。小さな店でも、個人情報データベース等を事業に使えば義務の対象になり得ます。

3本人の同意が原則でも、例外には理由がある

個人データを第三者へ渡すときは、本人の同意が原則です。法令に基づく場合や、人の生命・身体・財産を守る必要があり本人の同意を得ることが困難な場合などには例外があります。例えば意識のない人の救命に必要な情報提供と、新商品の営業のために名簿を渡す行為は、同じ理由で扱えません。

オプトアウトによる第三者提供にも制度上の条件があります。本人が容易に知り得る状態に必要事項を置くなどの対応、個人情報保護委員会への届出、本人からの求めに応じた提供停止が必要です。要配慮個人情報、不正取得されたデータ、別の事業者からオプトアウトで受けたデータ等は、この方式の対象外です。

「拒否されたら止める」と書くだけでは十分ではありません。

利用目的に必要な処理を委託する場合は、法定の第三者に当たらない扱いですが、委託先の監督が必要です。外国にある第三者への提供には追加のルールが関わるため、国内と同じ一文だけで判断しません。

参考：e-Gov：個人情報の保護に関する法律 ↗

4漏えいを防ぎ、起きたときに対応する

漏えいなどを防ぐ安全管理措置も行います。要配慮個人情報を含む場合や、不正利用による財産的被害のおそれがある場合など、法令で定める漏えい等では、個人情報保護委員会への報告や本人への通知が必要です。少人数でも対象になることがあります。

発見したら、まず責任者へ速やかに報告します。

5人に関わるデータを、もう少し丁寧に分ける

パーソナルデータは、人に関わるデータを広く表す言葉です。日本法上の個人情報に当たるものだけでなく、個人を識別できない行動履歴等を含む文脈もあります。法律上の個人情報・個人データと、全く同じ範囲を表すとは限りません。

個人識別符号には、個人を識別するために変換した指紋等の身体の特徴や、旅券番号など法令で定める番号が含まれます。すべての会員番号が、その名前だけで法令上の個人識別符号になるわけではありません。ただし名簿と容易に照合できれば個人情報に当たり得ます。

要配慮個人情報には、信条、病歴、犯罪の経歴などがあります。学歴・国籍・資産額という項目だけで、全て要配慮個人情報とするわけではありません。要配慮でない個人情報も保護が不要になるわけではありません。

個人情報データベース等を事業に使う者が個人情報取扱事業者に当たり、個人情報保護委員会は制度の監督等を担います。会社が小さいことだけで対象外にはなりません。

参考：e-Gov：個人情報の保護に関する法律 ↗

参考：個人情報保護委員会：ガイドライン ↗

6番号への置き換えと、復元できない加工の違い

仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないよう、法定の方法で加工した情報です。匿名加工情報は、法定の基準で特定の個人を識別できず、元の個人情報を復元できないように加工した情報です。

例えば名前を001に変えても、「001＝ハル」という対応表があれば、照合で本人に戻せます。また、名前を消しても住所・職業などの組合せから特定できる場合があります。単なる伏字と法定の加工は同じではありません。

• 仮名加工情報：本人の識別を目的とする照合等を禁止し、法令に基づく場合等を除いて第三者提供を原則禁止するなどの規律があります。
• 匿名加工情報：適切な加工、加工方法等の安全管理、情報項目等の公表、第三者への提供時の明示、識別行為の禁止などを守って活用します。

国際的にいう仮名化・匿名化と、日本の法律の仮名加工情報・匿名加工情報は、似た考え方でも制度上の要件を別に確認します。

参考：e-Gov：個人情報の保護に関する法律 ↗

参考：個人情報保護委員会：ガイドライン ↗

7海外にある会社だけが、海外のルールを守る？

GDPR（General Data Protection Regulation：一般データ保護規則）は、EU（European Union：欧州連合）の個人データ保護の規則です。

• EU域内の拠点の活動に関連する処理は、実際の処理場所がEU外でも対象になり得ます。
• EU域内に拠点がない事業者でも、EU域内にいる人への商品・サービスの提供や、域内での行動の監視に関わる処理などは対象になり得ます。

国籍だけ、会社の所在地だけで決めません。日本語サイトが偶然EUから見えることだけで、直ちにEU向け提供だと決めるわけでもありません。

忘れられる権利（消去権）は、目的のために不要になった等の条件で個人データの削除を求める権利です。表現・情報の自由、法令上の義務、公益上の理由等の例外もあり、本人が言えばどの記録も必ず消す制度ではありません。仮名化しても再識別できる個人データは、当然に保護対象外となるわけではありません。

参考：個人情報保護委員会：ガイドライン ↗

参考：個人情報保護委員会：ガイドライン ↗

8マイナンバーは、便利な社員番号にしてよい？

マイナンバーは、住民票のある人に付番される12桁の個人番号です。日本国籍の人だけに付ける番号ではなく、住民票のある外国人にも付番されます。希望する数字を自由に指定したり、気分で変更したりする制度ではありません。

漏えいし不正利用のおそれがある場合などの変更手続は別にあります。

マイナンバー法は、法令で定める事務での利用・提供等を規律します。会社が税や社会保険の手続で扱う場面があっても、社内の社員番号や店の会員番号へ自由に流用できるわけではありません。必要な事務と目的を確認し、本人確認や厳格な管理を行います。

参考：e-Gov：行政手続における特定の個人を識別するための番号の利用等に関する法律 ↗