個人情報保護法は、個人間の関係では適用されない？

　個人情報保護法は事業者に適用されるため、純粋な個人間には適用されません。しかし、事業者は扱う情報の数に関わらずほぼ全てが対象となります。また、企業以外でも、意外な団体でも個人情報保護法が適用されるので、注意が必要です。

第１　個人情報保護法に関する基礎知識

１　個人情報保護法とは

個人情報保護法（正式名称：個人情報の保護に関する法律）は、平成１５年に成立した法律です。

この法律は、個人情報の適切な取り扱いに関し、個人情報の有用性に配慮しつつ、個人の権利利益の保護を図ることを目的としています。

平成２８年には、国の機関として個人情報保護委員会が設立され、個人情報保護法のガイドラインの策定・公表や、事業者に対する監督などを行っています。

２　個人情報とは（概要）

個人情報保護法では、「個人情報」とは、生きている個人に関する情報であることを前提に、①特定の個人であると分かるもの（氏名、住所、生年月日等）及び他の情報と紐づけることで容易に特定の個人であると分かるもの、または、②個人識別符号が含まれるものと定義されています（個人情報保護法第２条第１項）。　

したがって、亡くなった方の情報は、個人情報保護法における「個人情報」にはあたりません。

また、法人（企業や団体など）は生きている個人ではないため、法人情報も「個人情報」に含まれません（もっとも、法人の情報であっても、法人の役員の氏名といった情報は、「個人情報」に含まれることになります。）。

第２　個人情報保護法は誰が対象になる？

１　「個人情報取扱事業者」とは

個人情報保護法においては、「個人情報取扱事業者」が主語として出てきます。

この「個人情報取扱事業者」が、個人情報保護法が規制や義務を課している対象ということになります。

「個人情報取扱事業者」については、個人情報保護法において、以下のように規定されています。

【個人情報保護法第１６条第２項】

この章及び第六章から第八章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。

①　国の機関

②　地方公共団体

③　独立行政法人等

④　地方独立行政法人

ここで出てきた「個人情報データベース等」と「事業の用に供する」とは、次のように説明されています。

（１）「個人情報データベース等」

　「個人情報データベース等」とは、個人情報保護法において、以下のように規定されています。

【個人情報保護法第１６条第１項】

この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

①　特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

②　前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

具体的には、以下のような場合には、個人情報データベース等に該当します。

・コンピュータを用いて検索することができるように体系的に構成する

・紙ベースであっても、個人情報を一定の規則（五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるように目次や索引等をつけて、誰でも容易に検索可能な状態にしている

（２）「事業の用に供する」

　「事業の用に供する」とは、一定の目的をもって、反復継続して遂行される同種の行為であって、かつ、社会通念上事業と認められるものをいいます。

非営利活動かという点は、関係がありません。

また、取り扱う個人情報の数は関係がありません。

※　かつては「５０００人要件」と呼ばれたルールがあり、５０００人以下の個人データしか取り扱わない中小規模の事業者であれば、「個人情報取扱事業者」の定義から除外されていたため、個人情報保護法について、特段意識する必要はありませんでした。

　　しかしながら、近年の法改正により、この「５０００人要件」は撤廃されています。そのため、たとえ取り扱う個人情報の数が数名であっても、要件に該当すれば、「個人情報取扱事業者」に該当することになります。

通常であれば、顧客や従業員の情報については、データベース化したり、順序だててファイリングをしていることが多いと思います。そのため、現在では、ほぼすべての事業者が「個人情報取扱事業者」に該当すると考えて良いと言えます。

２　具体例

（１）個人事業主

個人事業主の場合であっても、「個人情報取扱事業者」に該当することになります。

個人事業主の場合には、業務において取り扱う個人情報の数はそれほど多くないケースもあると思いますが、個人情報の数にかかわらず、「個人情報取扱事業者」に該当します。

（２）士業

弁護士、司法書士、税理士、行政書士、社会保険労務士などの士業についても、上記（１）の個人事業主と同様の考え方により、「個人情報取扱事業者」に該当することになります。

（３）マンション管理組合、NPO法人、同窓会、町内会などの非営利団体について

　これらの非営利団体についても、「個人情報取扱事業者」に該当します。

　「個人情報取扱事業者」は、非営利かどうかを問わないためです。

　また、例えばマンション管理組合では、入居者の名簿の作成等をおこない、適宜利用していると思われますので、事業の用に供しているともいえます。

３　個人情報取扱事業者に該当する場合の注意点

（１）取得、利用するとき

個人情報を取り扱うに当たっては、どのような目的で個人情報を利用するのかについて、具体的に特定し、かつ、あらかじめホームページ等により公表するか、本人に知らせなければなりません（個人情報保護法第１７条第１項、第２１条第１項）。

そして、取得した個人情報は、利用目的の範囲で適正に利用しなければなりません。

もし、個人情報を特定した利用目的の範囲外のために利用したい場合には、あらかじめ本人から同意を得る必要があります（個人情報保護法第１８条第１項）。

（２）保管するとき

取得した個人情報については、漏えい等の事態が生じないよう、安全に管理するための必要な措置を整備しなければなりません（個人情報保護法第２３条）。

必要な措置としては、例えば、パスワードの設定、鍵を掛けられる場所に収納するなどの対応が考えられます。

なお、個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きいとされている一定の場合には、個人情報保護委員会へ報告し、かつ、本人に通知する義務があります（個人情報保護法第２６条第１項、第２項）。

（３）第三者への提供をするとき

個人データを本人以外の第三者に提供するときは、原則として、あらかじめ本人の同意が必要となります。

ただし、法令に基づく場合等には、本人の同意を得る必要はありません（個人情報保護法第２７条第１項）

また、第三者へ提供したときには、一定事項を記録し、保存する義務があります（個人情報保護法第２９条）。

（４）開示請求等を受けたとき

本人から、保有する個人データの開示、訂正、利用停止などの請求を受けたときには、法律に則って適切に対応する必要があります（個人情報保護法第３２条以下）。

第３　個人間において、個人情報保護法は適用されない

これまで見てきたように、個人情報保護法は、「個人情報取扱事業者」を規律するものとなります。

したがって、「個人情報取扱事業者」ではない、純粋な個人については、個人情報保護法は適用されません。

よって、第２の３の（１）～（４）で見てきたルールも適用されないことになります。

もっとも、純粋な個人であっても、例えば他人の個人情報を不適切に扱えば、プライバシー侵害などの問題が生じ、不法行為に基づく損害賠償請求（民法第７０９条）を受ける可能性があります。

第４　最後に

個人間においては、個人情報保護法は適用されないものの、事業者であれば、ほぼ間違いなく個人情報保護法が適用されることになります。

個人情報保護法についてのご不安やご相談がある場合は、ぜひ当事務所までお問い合わせください。

ご相談
グリーンリーフ法律事務所は、設立以来35年の実績があり、18名の弁護士が所属する、埼玉県ではトップクラスの法律事務所です。
企業が直面する様々な法律問題については、各分野を専門に担当する弁護士が対応し、契約書レビューも特定の弁護士が行います。このような専門性により、企業法務において大きな強みを持っています。企業法務を得意とする法律事務所をお探しの場合、ぜひ、当事務所との顧問契約をご検討ください。
　　※　本コラムの内容に関するご質問は、顧問会社様、アネット・Ｓネット・Ｊネット・保険ネット・Dネット・介護ネットの各会員様のみ受け付けております。