個人情報保護法の基礎知識 (2) – 個人情報のライフサイクル
投稿日 : 2023年9月19日｜最終更新日時 : 2023年9月19日｜ 秦野真衣
個人情報保護法は、個人情報の取扱いについて、あらゆる角度から規制をかけており、一見、分かりにくい内容に思われるかもしれませんが、個人情報の取得から利用、消去に至るまで時系列で規制の内容を見ていくと、具体的な場面が想像しやすくなります。以下では、個人情報のライフサイクルごとに、その規制の内容について順を追って簡単に見ていきます。
シリーズ一覧
個人情報のライフサイクル
個人情報は以下のようなライフサイクルをたどります。
個人情報保護法は、個人情報のライフサイクルのあらゆる局面において、その取扱いを規制しています。以下では、その規制について簡単に見ていきます。
取得
個人情報を取得した場合、まずは利用目的をできる限り特定することが必要となります（法17条1項）。特定した利用目的については、あらかじめ公表、又は速やかに通知・公表（法21条2項）しなければなりません。ただし、本人から直接書面で取得する場合は、あらかじめ本人に明示することが要求されています（法21条1・2項）
また、要配慮個人情報（病歴など）については、取得の際に、あらかじめ「本人の同意」が必要となります（法20条2項）。
利用
個人情報の利用にあたっては、上記の取得時に特定し、通知・公表した利用目的の縛りを受けることになります。すなわち、基本的には、利用目的の範囲内でしか利用できないこととなります（法18条1項）。利用目的の変更を行うことは可能ですが、当初の利用目的と関連性を有すると合理的に認められる範囲を超える変更は本人の同意が必要とされています（法18条2項）。
加工
個人データの利用にあたっては、匿名化が求められるのは言うまでもありませんが、どこまで匿名化すれば個人情報ではなくなるのかが明らかではなく、個人情報の利活用の妨げになっていました。
現在では、個人情報保護法において、法に基準に従った加工を行うことにより安全性を担保しつつ、有効に個人データを活用するため、匿名加工情報及び仮名加工情報の制度が設けられています。
保管
個人データを取り扱う場合は、取り扱う個人データの漏えい等を防ぐために、必要かつ適切な措置を講じなければならないとされており、これを安全管理措置といいます（法23条）。安全管理措置の具体的な内容については、ガイドライン上、基本方針の策定、規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握か掲げられており、それぞれの手法についても個人情報保護法のガイドラインに詳しく例示されています。
また、個人データが漏えいしてしまった場合には、財産的被害がある場合など一定の場合につき、個人情報保護委員会への報告及び本人への通知が義務となっています。
提供
個人情報を第三者に提供する場合は、原則として、本人の同意が必要となります（法27条1項）。例外的にオプトアウト（法27条2項）（本人が反対をしない限り、個人情報の第三者提供に同意したものとみなす制度）もありますが、公表と個人情報保護委員会への届出が必要となりますので、基本的に名簿業者などが前提と言えるでしょう。
ただし、委託に伴う提供や共同利用など、一定の場合には同意不要となる例外が認められており、これらを有効に活用することが個人情報の利活用の肝となります。
また、海外の第三者に提供する場合には、一定の情報提供が必要となるなど、国内とは違った枠組みが適用される点にも注意が必要となります。
消去
個人データについては、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならないとされており（法22条）、また、不適正な利用を行っていたり、本人の権利又は正当な利益が害されるおそれがある場合など、一定の場合には利用停止等請求（改正法35条）が認められています。
また、個人データの安全管理措置としても、「個人データの削除及び機器、電子媒体等の廃棄」が掲げられています。
「消去」には「削除することのほか、当該データから特定の個人を識別できないようにすること等を含む」とされていますが、実際にどこまで行えば「消去」に該当するかは、悩ましい問題となっています。
本記事に関するお問い合わせはこちらから。
（文責・秦野）
