個人情報保護を巡る最近の状況と
　　　　実務のポイントについて（金融・信用の分野を中心に）
　　　　

�T、個人情報保護を巡る最近の状況について
　　　平成２４年９月に公表された消費者庁「平成２３年度　個人情報の保護に
　　関する法律施行状況の概要」（以下、消費者庁報告書という）によると、
　　
　　ａ、平成２３年度において、地方公共団体及び国民生活センターに寄せられ
　　　　た、個人情報に関する苦情は、合計５，２６７件でした。同庁の報告によ
　　　　ると、平成２２年度は合計６，２１２件、平成２１年度は合計８，５５９件で
　　　　したので、個人情報に関する苦情は、法の普及に伴い、減少傾向にある
　　　　ことが伺えます。
　　ｂ、苦情相談の対象となった事業分野は、特に適正な取扱いを確保すべき個
　　　　別分野（医療、金融・信用、情報通信）が全体の約３９％を占めています。
　　　　そのうち、金融・信用は約６．２％でした。同庁の報告によると、金融・信用
　　　　は、平成２２年度は約８．２％、平成２１年度は約９．４％でしたので、金融・
　　　　信用の分野の苦情は、業界の尽力により、減少傾向にあることが伺えます。
　　ｃ、相談の内容は、不適正な取得に関するものが約５３％で最も多く、次いで、
　　　　同意のない提供に関するものが約２４％、漏えい・紛失に関するものが約
　　　　１５％、目的外利用に関するものが約１４％となっています。不適正な取得
　　　　に関する相談が約５３％もあるということは、いかに、国民の関心が個人情
　　　　報の取得に集まっているかが分かります。他方、開示等が約３．３％と少な
　　　　いことも注目されます。
　　ｄ、個人情報の漏えい事案の漏えい元については、事業者から直接漏えいし
　　　　た事案が約７１％、委託先から漏えいした事案が約２８％となっています。
　　　　同庁の報告によると、平成２２年度は、事業者から直接漏えいした事案が
　　　　約７５％、委託先から漏えいした事案が約２３％でしたので、委託先から漏
　　　　えいする事案は、増加傾向にあることが伺えます。


�U、実務のポイントについて（金融・信用の分野を中心に）

　１、利用目的について
　　　個人情報保護法が平成１７年４月１日に全面施行された当時、漏洩事故へ
　　の関心が高かったのですが、次第に、消費者の目は、利用目的にも向けられ
　　るようになってきました。目的外利用は、消費者にとって、サプライズになるも
　　のですので、例えば、「予期せぬダイレクトメールが送付されてきた」　「不要
　　な勧誘電話がかかってきた」等のクレームにつながりかねません。前述の消
　　費者庁報告書でも、目的外利用は、相談内容の第４位となっています。
　　言うまでもなく、利用目的は、事業者を拘束するものであり、事業者のリスク
　　となりますので、事業者が、新たな事業を企画する際には、当初から、ビジネ
　　ス・スキームに沿った利用目的をしっかり特定することが重要となってきます。
　　　そして、「個人情報の保護に関する基本方針（閣議決定）」は、いわゆるプラ
　　イバシーポリシー、プライバシーステートメント等に、「事業者がその事業内
　　容を勘案して顧客の種類ごとに利用目的を限定して示したり、事業者が本人
　　の選択による利用目的の限定に自主的に取り組んだりするなど、本人にとって
　　利用目的がより明確になるようにすること」を考慮した記述を盛り込み、本人か
　　らの求めに一層対応していくことも重要であるとしていますので、利用目的の限
　　定（利用目的しばり）への関心は益々高くなってくると考えられます。

　２、個人情報の適正な取得について
　　　上記の消費者庁報告書では、不適正な取得が、相談内容の第１位となって
　　います。このように、個人情報の取得に国民の関心が集まっていますので、
　　心当たりのない会社等からの電話やメール、ダイレクトメールに関連して、個
　　人情報の入手先、入手方法の問合せがなされるようになってきています。
　　　個人情報保護法では、事業者が個人情報の入手元を当該本人に開示する
　　ことは求めていませんが、オプトアウトを申出でるためにも必要な情報ですし、
　　また、「個人情報の保護に関する基本方針（閣議決定）」は、いわゆるプライバ
　　シーポリシー、プライバシーステートメント等で、「個人情報の取得元又はその
　　取得方法（取得源の種類等）を、可能な限り具体的に明記すること」を考慮した
　　記述を盛り込み、本人からの求めに一層対応していくことも重要であるとしてい
　　ますので、今後、個人情報の取得元を開示する場面が増えることが想定されま
　　す。
　　　ところで、国際化に伴い、日本語の読み書きはできないが、話すことはできる
　　外国人に、日本語で利用目的を明示して、個人情報を取得するケースも出てき
　　ています。その関係で、利用目的の明示は、本人が読める言語にすべきかが
　　問題とされることがありますが、個人情報保護法は、日本の法律ですので、多
　　言語とすることまでは、求めていないと解されます。ただ、トラブル防止の観点
　　からの工夫は、今後の課題となるでしょう。
　　　なお、カスタマーセンター、お客様相談室等で、電話の通話内容を録音して
　　いる場合、録音していることを伝える必要はありませんが、特定の個人を識別
　　できるときは、通話内容も個人情報となりますので、利用目的を通知または公
　　表する必要があります（「個人情報の保護に関する法律についての経済産業
　　分野を対象とするガイドライン（以下、経済産業分野ガイドラインといいます）」
　　等に関するＱ＆ＡのＱ11参照）。

　３、個人データの正確性の確保に関する相談
　　　個人データは、時間の経過により、正確性を減じて行きますので、個人情報
　　の保存期間の定めが課題となります。個人情報保護法には、保存期間の定め
　　に関する規定はありませんが、個人データを保有していることは、リスクを伴い
　　ますので、必要最小限とすることが安全です。
　　　そこで、経済産業分野のうち信用分野における個人情報保護ガイドライン（以
　　下、信用分野ガイドラインといいます）�U２（３）１）は、「与信事業者等は、保有す
　　る個人データの利用目的に応じて保存期間を定め、当該保存期間経過後には
　　当該保有する個人データを消去しなければならない。ただし、法令等に基づく保
　　存期間の定めがある場合には、この限りではない」としています。但書の「法令
　　等」としては、犯罪による収益の移転防止に関する法律等がありますが、今後、
　　保存期間の定めの有無も注目されてくると考えられます。
　　
　４、安全管理について
　　　上記の消費者庁報告書では、漏えい・紛失は、相談内容の第３位となってい
　　ます。一般に、漏洩事故には、社内紛失型（申込書、依頼書、証明書等の紛失）、
　　社外紛失型（ノートＰＣ、ＵＳＢ等媒体、携帯電話等の紛失）、誤送付、誤封入、
　　メールの誤送信、ファイル交換ソフトによる個人情報の流出等々、様々なケース
　　があります。
　　　ところで、経済産業分野ガイドラインの２−２−３−２は、「安全管理措置の義
　　務違反とはならない場合」として「内容物に個人情報が含まれない荷物等の宅
　　配又は郵送を委託したところ、誤配によって宛名に記載された個人データが第
　　三者に開示された場合」を例示していますが、これは、「内容物に個人情報が
　　含まれない荷物等」を前提としてますので、請求書や明細書等、内容物に個人
　　情報が含まれている場合は該当しませんので、留意が必要です。

　５、委託先の監督について
　　　上記のとおり、最近は、委託先からの個人情報の漏えい、紛失事案は増加
　　傾向ですので、委託先の「必要かつ適切な監督」の重要性が増しています。
　　　しかして、経済産業分野ガイドラインの２−２−３−４は、「必要かつ適切な
　　監督」には、�@委託先を適切に選定すること、�A委託先に個人情報保護法第
　　２０条に基づく安全管理措置を遵守させるために必要な契約を締結すること、
　　�B委託先における委託された個人データの取扱状況を把握することが含まれ
　　るとしています。
　　　また、「個人情報の保護に関する基本方針（閣議決定）」は、いわゆるプライ
　　バシーポリシー、プライバシーステートメント等に、「委託の有無、委託する事
　　務の内容を明らかにする等、委託処理の透明化を進めること」を考慮した記述
　　を盛り込み、本人からの求めに一層対応していくことも重要であるとしています
　　ので、今後、更なる「委託処理の透明化」が求められてくると思われます。ただ、
　　金融・信用情報は、個人のプライバシーに関わる情報ですので、どこまで「委託
　　処理の透明化」に対応できるか、実務の課題があると思われます。

　６、第三者提供の同意について
　　　個人データを第三者に提供するには、原則として、本人の同意を得ることが必
　　要とされており、上記の消費者庁報告書でも、同意のない提供は、相談内容の
　　第２位となっています。そして、家族も第三者とされますので、例えば、「顧客の
　　自宅に架電した場合において、本人が不在時に電話に出た家族に契約内容な
　　どの個人情報を提供する」ためには、原則として、本人の同意を得ることが必要
　　とされます。
　　　また、信用分野ガイドライン�U１(10)、金融分野における個人情報保護ガイドラ
　　イン（以下、金融分野ガイドラインといいます）第４条は、両分野においては、本人
　　の同意の取得は、原則として、「書面」によることとしていますので、留意が必要で
　　す。

　７、開示の求めについて
　　　例えば、配偶者等の家族から開示の求めがなされた時は、代理人からの開示
　　の求めとして対応することになります。そして、本人確認について、信用分野ガイ
　　ドライン�U２（５）６）、金融分野ガイドライン第１９条は、　「開示等の求めをする者
　　が本人又は代理人であることの確認の方法を定めるに当たっては、十分かつ適
　　切な確認手続とするように努めなければならない」とするとともに、「代理人による
　　開示の求めに対して、本人にのみ直接開示することは妨げられない」としています
　　ので、代理人から開示の求めがなされた時に、本人にのみ直接開示することにす
　　れば、無用なトラブルを減らすことができると思われます。
　　　しかして、個人情報保護法第２５条第１項第２号は、「業務の適正な実施に著しい
　　支障を及ぼすおそれがある場合」を適用除外としています。そして、経産分野ガイド
　　ラインの２−２−５−２は、この適用除外の事例として、「同一の本人から複雑な対
　　応を要する同一内容について繰返し開示の求めがあり、事実上、問い合わせ窓口
　　が占有されることによって他の問い合わせ対応業務が立ち行かなくなる等、業務
　　上著しい支障を及ぼすおそれがある場合」を示していますので、例えば、「顧客か
　　ら、自身に関する顧客情報の一切を開示せよと何度も請求がなされた場合」など
　　は、この適用除外に該当する可能性があります。
　　　なお、金融分野ガイドライン第１８条は、開示しない場合の処置として、本人に対
　　し、「判断の根拠及び根拠となる事実を示し、その理由を説明することとする」とし
　　ていますので、留意が必要です。

　８、削除の求めについて
　　　「個人情報を削除して欲しい」と求められることがありますが、個人情報保護法
　　で、削除を求められるのは、「同意のない目的外利用」「不正な取得」「同意のな
　　い第三者提供」の手続違反があった場合に限られており、また、同法には、保存
　　期間の定めに関する規定はありませので、個人情報を削除する特段の事情がな
　　い限り、事業者は個人情報を保有することができます。特に、保有期間について
　　同意を得ている場合は、その期間、保有することができます。ただ、上記のとおり、
　　信用分野ガイドライン�U２（３）１）、金融分野ガイドライン第９条は、「保有する個人
　　データの利用目的に応じて保存期間を定め、当該保存期間経過後には当該保有
　　する個人データを消去しなければならない。ただし、法令等に基づく保存期間の定
　　めがある場合には、この限りではない」としていますので、保存期間に関する社内
　　規定等を設け、同期間経過後は個人データを消去することが求められます。

　９、利用停止の求めについて
　　　ダイレクトメールの送付等の停止を求められることがありますが、上記のと
　　おり、個人情報保護法で、利用停止を求められるのは、「同意のない目的外利
　　用」「不正な取得」「同意のない第三者提供」の手続違反があった場合に限られ
　　ています。しかし、「個人情報の保護に関する基本方針（閣議決定）」は、いわゆ
　　るプライバシーポリシー、プライバシーステートメント等に、「保有個人データに
　　ついて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主
　　的に利用停止等に応じること」を考慮した記述を盛り込み、本人からの求めに一
　　層対応していくことも重要であるとしていますので、今後は、個人情報の利用停
　　止の求めに対して一層前向きに取組むことが求められると思われます。

　10、犯罪収益移転防止法に規定する疑わしき取引の届出等と個人情報保護法との
　　　関係について
　　　犯罪収益移転防止法第８条第１項に基づく特定事業者による疑わしき取引の届
　　出は、法令に基づく場合として、利用目的による制限、第三者提供の制限の適用
　　除外として、同意の取得が必要とされない場合とされます（個人情報保護法第１６
　　条第３項第１号、第２３条第１項第１号）。
　　　また、犯罪収益移転防止法第８条第１項に基づき行政庁に取引の届出を行った
　　ときに、当該届出を行ったことが記録されている保有個人データを、疑わしき取引
　　の届出に係る顧客等またはその関係者に漏らすことは禁止されていますので、開
　　示することにより他の法令に違反することとなる場合として、開示の適用除外とな
　　ります（個人情報保護法第２５条第１項第３号）。