商品やサービスについてサポートやカスタマーセンターに問い合わせをしたことのある人は多いのではないでしょうか。その際、私たちは「個人情報」との言葉をしばしば耳にします。今や「個人情報」は消費者からの問い合わせはもちろん、企業間取引の打ち合わせでも考慮すべきポイントとなりつつあります。

しかし実際のところ法人が扱う「個人情報」の範囲や注意点についてきちんと把握できている人がどれだけいるでしょうか。「個人情報」には国が定めた定義があります。本稿では法人から見た「個人情報」の概要と注意点について説明します。

個人情報保護法の改正のきっかけ

IT技術の進展に伴い、企業が保持する個人情報についての境目が次第にあいまいになってきました。また近年では労働形態の変化により、正社員のみならず非正規社員も企業に多く勤めています。この結果、企業が保有する個人情報は従来の形式では保全しにくくなってきました。近年では、2014年6月、通信教育の企業で大量の個人情報の流出が明らかになりました。

この企業に勤める非正規社員が約3,000万件にも上る顧客の個人情報を名簿業者に売り渡していたというセンセーショナルな事件です。ビッグデータやAIの活用により、個人情報の収集は以前より容易になりつつあるのではないでしょうか。

個人情報の定義

そもそも個人情報と一言でいっても、それが正確にどの範囲を指すのか明確に答えられる人は少ないのではないでしょうか。元来、個人情報の定義とは『生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により、特定の個人の識別ができるもの』でした。つまり、亡くなった人や個人が識別できない情報は個人情報ではなかったのです。

2017年5月に改正された個人情報保護法では上記に対して、以下の2点が加えられました。

1　文書・図画・電磁的記録に記載され、若しくは記録 され、又は音声、動作その他の方法を用いて表された一切の事項により、個人を識別するもの

2　個人識別符号が含まれるもの

端的にいえば文書や写真、メモリなどの媒体を用いて個人が判別できるものや、指紋や顔認識、DNAなどが個人情報に含まれると定義されたのです。

インターネット上で大きな問題になることも

個人情報保護法が改正されたとはいえ、インターネット上における個人情報の保護はまだまだずさんな実態があります。たとえばECサイト上で個人情報が流出した場合、被害者がECサイトの運営者に削除を求めても、ECサイトを扱っている業者がこれに応じないなど、問題が発生することもしばしばです。

また、宿泊施設などの共有PCを利用した際、検索エンジン側の仕組み（キャッシュ）により、顧客の個人情報まで検索できてしまうこともあります。このように、検索エンジン側にキャッシュが残っていることで問題が発生した場合、「検索エンジンに問題があるのか」「宿泊施設側に問題があるのか」の是非も問われかねません。これが発端で「炎上」騒ぎになることも予想されます。

企業が個人情報を扱う場合、情報の削除はもとより、責任の所在すらもあいまいになりかねないのが実情です。インターネットで個人情報を扱うのであれば、重々注意しなければなりません。

法人が注意すべきポイント

法人が個人情報を扱う場合、細心の注意が求められます。個人情報は取得する時点で、その利用目的を明らかにし、どのように取得するかを明確にしなければなりません。また保管にあたってもデータの保管方法やアクセス制限などを兼ねた安全管理をしておかなければ、万一個人情報が漏えいした際、大きな責任を問われかねません。

最も気をつけたいのが第三者への提供です。提供する場合は、情報を提供した個人に同意を求める必要がありますが、AIの活用などが期待される今後にあたっては、たとえばビッグデータのような個人情報に該当しないものとの線引きを知っておくことが求められます。

個人情報の流出には重々気をつけよう

個人情報を流出させた場合、国は事業者への報告義務や立ち入り検査を行うことが可能です。また罰則の適用などもあり得ます。ただし、個人情報の流出は国による罰則よりも企業の信頼の失墜および民事による損害賠償など、大きな傷跡を残しやすいことのほうが懸念されるでしょう。そのため個人情報の保護に関して迷った場合は専門家に相談するのがおすすめです。