PR

 「個人情報保護法では,対象とする情報によって負うべき義務が異なる。個人情報すべてに対して,安全管理措置や開示の法的義務があるわけではない」――。三菱総合研究所 情報環境研究本部 情報通信政策研究部 情報セキュリティチーム リーダーの松尾正浩主席研究員は8月25日,シマンテックが開催したワークショップにおいて,個人情報保護法について講演した。以下,同氏の講演内容の一部をまとめた。

 個人情報保護法については,その理念は理解しているものの,具体的に「どのような情報が保護対象になるのか」や「どう保護すればよいのか」を分かっていないケースが少なくない。個人情報保護法を理解するためのポイントの一つは,保護の対象となる情報の種類によって,企業が負う義務が異なることを知ることだ。

 個人情報保護法において保護対象となる情報には,以下の3種類がある。まず,特定の個人を識別できる情報(他の情報と照合することで識別できる情報を含む)が「個人情報」である。そして,検索できるように体系的に個人情報を構成したもの(データベースなどにしたもの)が「個人データ」となる。

 個人データのうち,その企業(個人情報取扱事業者)がデータの開示や内容の訂正をする権限を持ち(その企業が収集した情報であり,委託などで預かっている情報ではないということ),なおかつ保有する期間が6カ月以上のものを「保有個人データ」と呼ぶ。つまり,(企業が保有するすべての情報)>(個人情報)>(個人データ)>(保有個人データ)の関係になっている。

 「個人情報」「個人データ」「保有個人データ」のいずれであるかによって,企業が法的に負う義務は異なる。具体的には,開示や利用停止などの義務を負うのは,保有個人データについてだけだ。データの安全管理(安全管理措置)が法的に義務付けられているのは個人データ(保有個人データを含む)で,個人情報には義務付けられていない。

 実際には,これらを混同している人は少なくないようだ。「もらった名刺も開示請求があれば見せなければいけないのか」といった質問を受けたことがある。もちろん,道義的な責任と法的な義務は別である。個人データであっても,要求があれば開示したほうが顧客のためである。また,データベース化していない個人情報には安全管理措置の法的義務はないが,企業としてはきちんと管理すべきだ。

 とはいえ,「保護対象の情報には3種類あり,種類によって法的義務が異なる」ことを知っておくことは,個人情報保護法を理解するためには重要である。

(勝村 幸博=IT Pro)