個人情報保護法とは｜要配慮個人情報・第三者提供の例外・開示請求をわかりやすく

第79講、個人情報保護法を始めましょう。

個人情報保護法は、2003年、平成15年に制定された、個人情報の適切な取り扱いについて定めた法律です。個人情報の有用性に配慮しつつ、個人の権利利益を保護することが目的です。

第3条の基本理念です。個人情報は、個人の人格尊重の理念の下に、慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない、とされています。

保護一辺倒ではなく、有用性への配慮と権利利益の保護のバランス。ここが目的のポイントです。

第4条と第5条には、国と地方公共団体の責務が規定されています。国は、この法律の趣旨にのっとり、個人情報の適正な取扱いを確保するために必要な施策を総合的に策定し、及びこれを実施する責務を有します。

地方公共団体は、この法律の趣旨にのっとり、その地方公共団体の区域の特性に応じて、必要な施策を策定し、及びこれを実施する責務を有します。

国は総合的に、地方公共団体は区域の特性に応じて。この違いをおさえましょう。

個人情報の定義です。生存する個人に関する情報で、その情報に含まれる氏名、生年月日などの記述により、特定の個人を識別できるもの、または個人識別符号が含まれるものをいいます。

この定義に基づいて、文書、映像、音声などの形式に限らず、その情報が誰のものであるのか識別できるものは、個人情報として保護の対象になります。

例えば、氏名のみでも個人情報に含まれます。そして、生存する個人、という部分もひっかけどころです。

個人識別符号は2タイプあります。1つめは、特定の個人の身体的特徴を、コンピュータによる処理のために変換した符号。顔、声紋、指紋、歩行の際の姿勢などです。

2つめは、サービスの利用や商品の購入のとき、または個人に発行されるカードなどの書類に記載される、対象者ごとに異なる符号。マイナンバー、基礎年金番号、旅券番号、運転免許証番号などです。

また、人種、信条、社会的身分、病歴、犯罪の経歴などによる不当な差別や偏見が生じないように、特に配慮すべき個人情報が、要配慮個人情報として定められています。身体障害、知的障害、精神障害、発達障害などの心身の機能の障害も含まれます。

加工した情報の名前もセットで。ほかの情報と照合しない限り識別できないように加工したものが仮名加工情報。特定の個人を識別できないように加工したものが匿名加工情報です。

個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者です。個人情報データベースは、個人に関する情報などが集まったもので、検索可能なもの。ただし、国の機関や地方公共団体などは除かれます。

個人情報取扱事業者は、本人の同意を得ずに、利用目的の達成に必要な範囲を超えて個人情報を取り扱うことが、原則として禁じられています。

この原則の例外となるのは、虐待の疑いがあるときなど、人の生命や身体、財産の保護のために必要な場合などに限られます。ケアマネ実務に直結する例外です。

個人情報取扱事業者の義務を見ていきます。まず、利用目的の特定。個人情報を取り扱う際は、利用目的をできる限り特定しなければなりません。変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはなりません。

利用目的による制限。本人の同意を得ずに、必要な範囲を超えて個人情報を取り扱ってはなりません。

適正な取得。偽り、その他不正の手段により個人情報を取得してはなりません。

取得に際しての利用目的の通知等。個人情報取得の際、利用目的を公表している場合を除き、速やかに、それを本人に通知、公表しなければなりません。

データ内容の正確性の確保等。利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりません。

安全管理措置。個人データの漏えい、滅失等の防止のために、必要かつ適切な措置を講じます。従業者に取り扱わせるとき、また取扱いを委託するときは、従業者や委託先に対する必要かつ適切な監督を行わなければなりません。

そして、個人データの漏えい等が発生し、個人の権利利益を害するおそれがある場合には、個人情報保護委員会への報告、および本人へ通知しなければなりません。

第三者提供の制限です。あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないのが原則です。

例外は、生命、身体、財産の保護が必要かつ、本人の同意を得ることが困難な場合などです。

サービス担当者会議などで利用者の情報を共有する場面では、あらかじめ本人の同意を得ておく。これが実務の基本です。

本人からの請求に関する義務です。まず開示。本人から保有個人データの開示を求められたときは、本人に対し、遅滞なく開示しなければなりません。ただし、本人や第三者の生命、身体、財産その他の権利を害するおそれがある場合などは、開示しないことができます。開示制限といいます。

訂正等。本人が識別される保有個人データの内容が事実でないときは、本人は、当該データの内容の訂正、追加、または削除を請求することができます。

利用停止等。利用目的による制限に違反して取り扱われているとき、または適正な取得に違反して取得されたものであるときは、利用の停止または消去を請求できます。さらに、事業者が利用する必要がなくなった場合、漏えい等が生じた場合、権利利益が害されるおそれがある場合は、利用の停止、消去、第三者への提供の停止を請求できます。

個人情報取扱事業者の義務を監視、監督する機関として、個人情報保護委員会が、内閣府の外局に設置されています。

個人情報取扱事業者に対して、必要に応じて報告を求めたり、立入検査を行うことができます。また、実態に応じて、指導・助言、勧告・命令を行うことができます。

それらに従わない場合は、1年以下の拘禁刑、または100万円以下の罰金等の罰則が適用される可能性があります。

厚生労働省ではなく、内閣府の外局。設置場所のひっかけに注意しましょう。

まとめです。個人情報保護法は2003年、平成15年制定。個人情報の有用性に配慮しつつ、個人の権利利益を保護することが目的です。個人情報は、生存する個人に関する情報で、特定の個人を識別できるもの。氏名のみでも該当し、文書、映像、音声など形式を問いません。

病歴や障害などは要配慮個人情報。第三者提供は、あらかじめ本人の同意を得るのが原則で、例外は虐待の疑いがあるときなど、生命、身体、財産の保護のために必要な場合です。

本人は、開示、訂正等、利用停止等を請求できます。監督機関は、内閣府の外局である個人情報保護委員会です。

第79講はここまでです。定義と例外の場面を、一問一答で確かめておきましょう。おつかれさまでした。