以降で説明する安全管理措置が緩和されます。個人情報保護のために行わなければいけない事項です。以下の条件に一致する事業者。いう取り扱いになり、規則も異なります。法律関係の説明においては、本題に入る前に以降に出てくる言葉を事前に定義しておかなければいけないことがちょくちょくあります。これは法律が適用される範囲を特定するためには必要なのですが、普通に説明しようとしていると結構まどろっこしいです。行わなければいけない義務の中に出てくる言葉を4つ定義しておきます。個人情報について、利用目的や第三者への提供などを「本人に通知」するという文言がよく出てきます。個人情報保護法における「本人に通知」とは以下のような手段を指します。・ちらし等の文書を直接渡すことにより知らせる。・口頭又は自動応答装置等で知らせる。等により送信し、又は文書を郵便等で送付することにより知らせる。口頭や自動応答をもって「本人に通知」したことになるのはちょっと怖い気もしますが、サポート窓口とかに電話した時に自動音声で「尚、この通話はお客様サービス品質の向上のため録音させていただきます」等アナウンスされるのも「本人に通知」されたことになります。利用目的は「本人に通知」し、又は「公表」しなければいけない、という文言があります。個人情報保護法における「公表」とは以下のような手段を指します。「利用目的はホームページに書いてます」なんて、「続きはWebで」より読まねえよ!と思ったとしても、官報なんかと同じく誰もがアクセスできる場所に掲示されていれば「公表」となります。収集した個人情報の利用目的の変更などで「本人の同意」を得る必要がある、などの際に使われます。個人情報保護法における「本人の同意」とは以下のような手段を指します。・確認欄のチェック・ボタンのクリック・音声入力、タッチパネルへのタッチソフトやアプリのインストールの際に、表示されるポップアップダイアログの「次へ」や「OK」を連打していませんか。第三者への「提供」、のような使われ方をします。個人情報保護法における「提供」は、物理的に相手にデータや書面を受け渡す以外にも、個人データへのアクセス権を付与することも指します。取得する個人情報の利用目的をできるだけ具体的に特定する必要があります。できるだけ具体的に、というのはどれくらいかという例を挙げてみます。・商品・サービスに関する提案、その他の情報提供のため→OK・購入またはお申込みいただいた商品などの発送→OK・事業活動に用いるため→NG・お客様サービス品質の向上のため→NG・対応内容からよりわかりやすいご説明やご案内ができるよう検討するため→OK下から2番目は先ほどのサポートセンターの件です。個人情報が含まれる問合せの場合はあまりよろしくないガイダンスと思われます。上から2番目について、配送伝票に直接記入してもらうような場合は、利用目的が明らかであり、改めて通知する必要はありませんが、別紙アンケート用紙やWebの会員登録画面などで住所情報を記入してもらう場合には必要になります。取得した個人情報の利用目的を変更する場合は「本人に通知」又は「公表」する必要があります。利用目的の範囲を超えて個人情報を利用する場合には「本人の同意」が必要です。第三者への提供を目的した取得である場合は、当然その目的を提示する必要があります。これについては「第三者への提供」の項で詳しくお話します。目的外利用の例外は次の通りです。個人情報を取得する際は利用目的を「本人に通知」又は「公表」しなくてはいけません。「本人に通知」又は「公表」しなくてはいけない取得パターンは以下のようなものがあります。・インターネット上で本人が自発的に公にしている個人情報を取得した・インターネット、官報、職員録等から個人情報を取得した・個人情報の第三者提供を受けた前回の「個人情報の定義」でも公になっている情報であっても個人を特定できるものは個人情報であるとお話しました。その事業で用いるために「個人情報を取得」する場合は「本人に通知」又は「公表」する必要があります。閲覧するだけであればその必要はありません。取得の方法について、個人情報を不正な手段で取得してはいけません。具体的な「不正な手段」の例を挙げてみます。・十分な判断能力の無い子供から、目的とは関係の無い家族の情報を、家族の同意なく取得する・取得する事業者名や利用目的を偽って取得する・他の業者に不正な手段で情報を取得させる・明らかに不正な手段で取得した情報を取得する・他の事業者等の保有する個人情報を、脅迫等の手段で本人の同意無しに提供させる初回の話にもありましたが、個人情報を収集している名簿業者でさえも、不正に取得してきたと思われる個人情報は買い取りません。明らかに不正な方法で収集してきたとわかる個人情報を取得することも「不正な手段」になるのです。取得にはあらかじめ「本人の同意」が必要です。法令に基づいた取得は本人の同意が不要です。情報を実施期間から取得することは本人の同意なしに可能です。その他「目的外利用の例外」と同様に生命、身体の保護、児童の健全な育成の保護のためには本人の同意が不要な場合があります。著作などで既に公表されているよう要配慮個人情報の取得は本人の同意が不要です。特定の宗教を信仰していることを本人が著作などを通じて公表している場合などです。定める者」以外が公表している情報、例えばインターネット掲示板の書込みなどから個人情報を取得する場合は、本人の同意を必要とします。取得した個人情報は漏えいや改ざんなどが行われないように安全に管理・保管しなければいけません。特例があり、一部の管理手法について緩和されているものがあります。安全管理措置が必要とする管理コストに見合わない規模であれば、管理を簡素化できることになります。定義は、一般的な「中小企業」の定義とは異なります。「うちは中小企業だから安全管理措置は緩和される」と勘違いしないように気を付けましょう。安全管理措置については次回細かく内容を確認していきましょう。保管・管理のために従業員の監督や、個人情報を委託する場合は委託先の監督も徹底する必要があります。個人データを第三者へ提供する場合、あらかじめ「本人の同意」を得る必要があります。名簿業者などの全くの第三者の場合は当然ですが、例えばグループ企業間やフランチャイズ組織の本部と加盟店の間であっても、「第三者提供」にあたります。同一会社内であっても当初と異なる利用目的であれば、「第三者提供」ではありませんが「利用目的の変更」として「本人の同意」が必要です。認めた国であるかなどの条件を確認した上で、「外国の第三者への提供」について「本人の同意」が必要です。第三者への提供を行った場合、もしくは第三者から提供を受けた場合、そのどちらの場合も「いつ、誰の、何の情報を、誰に提供した/誰から提供された」を記録する義務が生じます。提供を受ける場合はこれに相手側の個人データの取得経緯も併せて確認する必要があります。確認記録の保管期間は原則3年です。「本人の同意」を得ずに第三者提供が可能な方法もあります。保護、児童の健全な育成の保護のため等を理由に本人の同意無しに第三者提供することが可能ですが、第三者提供の場合は別の手段があります。それが「オプトアウト」です。届け出た場合には、あらかじめ本人の同意なしに個人情報を第三者に提供できることを指します。届け出た場合、その内容を自らも「公表」することになります。オプトアウトによる第三者提供を行ってはいけません。これが名簿業者が合法的に個人情報を販売している根拠です。名簿業者に限らず、多くの場所で顧客情報の収集にオプトアウトは活用されています。個人情報を不正に悪用するためではなく、マーケティング活用などを意図したものがほとんどですが、利用規約を読み飛ばしたり「OK」ボタンを連打しているとオプトアウトの条項が「本人に通知」されていたことに気付かずに個人情報が第三者に提供されてしまうかもしれません。いう人に限って、この手の個人データの収集を毛嫌いする傾向にあります。確かに個人情報が収集されること自体気持ちの良いものではないと感じる人も多いかもしれませんが、それならきちんと利用規約や注意事項を読み、同意しなければよいのです。早くサービスを開始したい、早く目的を達成したい、そのために不要なものは全て読み飛ばす、という態度が個人情報を流出を容易にします。相手は第三者に提供する旨を「本人に通知」したとしているため、不正に第三者提供を行ってはいません。決められている「第三者提供」の仕組みなのです。事業者が情報を詐取する意図があろうとなかろうと、本人が読み飛ばそうとも、「本人に通知」されていることが確実であれば事業者側に落ち度はなく、読み飛ばした人の自己責任なのです。オプトアウトの届け出を行っているわけでもありません。事業を行う側からしても、例えば先ほどのグループ会社は本部と加盟店のようなパターンでデータのやり取りの度に「本人の同意」が発生していては、事業そのものが停滞する恐れもあります。「第三者提供しますよ、いいですね」を「本人に通知」していることを条件にこれを緩和することがオプトアウトの目的です。これに対応しなくてはいけません。これについてもいくつかの除外対象がありますが、概ね繰り返しになるのでそろそろ割愛しておきます。本人からの請求に対して、個人情報保護法では「合理的であると認められる範囲」手数料を請求することを許可しています。世の中には様々な事業者がいますし、様々な形態の「個人情報データベース」が存在します。膨大な紙資料から1件の個人データを取り出す等、索引や体系化をして整理しても取得に時間が掛かる状態にあることも想定され、その対応時間に係る費用を請求することを法律で正当化しています。「必ず手数料を取らなければいけない」わけではないですが、「手数料を取る=個人情報を開示する気が無い」といきなり判断しないようにしましょう。法外な手数料で情報開示を暗に拒むようなパターンもあるかもしれませんが、個人情報保護法では手数料はあくまで「合理的であると認められる範囲」をうたっています。個人情報に関する外部からの問合せに対応する窓口並びに対応体制を事業者が備えることを求められています。ちなみに個人情報保護法には「問合せ」でなく、「苦情」と力いっぱい書いていますが、先の項目の請求もどこに問い合わせればよいかわからなければ困ってしまいます。個人情報に関する問い合わせルートが決まっており、それが公開されていることが必要になります。あとがき全体的に長くなったので、最後に図でまとめておきます。これでも「安全管理措置」について端折っていますので、法律全体を読み解こうと思うと非常に時間がかかります。詳細を説明して、それからようやく「取組と事例」の話になります。ページhttps://jyosys-hack.info/page-2214/「情シスHack」で紹介した個人情報保護関連の記事を纏めました。企業のセキュリティにおいて重要な要素の1つとして「個人情報」が挙げられます。社内のファイルが外部に送られ、履歴が残[...]GSuite14日間無料おためしGSuiteを14日間無料で試用できます。※Googleのサイトへ接続します。当サイトからGSuiteをお申込みいただいた方へ、開始1年目の利用料が20%OFFになるクーポンを差し上げています。ひとり情シスという詰み一歩手前の状況から色々四苦八苦してなんとか形になってきたので、「自分のやったことをアウトプットした方が、世の中の情シスの人が同じことで困らなくて済むんじゃないか」と思い、このブログを立ち上げました。技術よりもサービス/マネジメント寄りの内容が多いかもしれません。WordPress.。