ベネッセコーポレーションの顧客情報漏洩事件

＜ベネッセコーポレーションの顧客情報漏洩事件＞

　企業が集積する個人情報が容易に流出する事件がまた起きました。
 　ベネッセホールディングスの延べ１億件の顧客情報が漏洩したとみられる事件。

　逮捕された被疑者M（39）は、顧客情報データベースの保守管理の再委託先のシステムエンジニア（ＳＥ）でした。Mは、業務上与えられたデータベースへのアクセス権を使って不正に顧客データをコピーしていたのです。

　データベースの端末が置かれていた部屋は出入りをカメラで常時監視するなど、部外者の入場を厳しく制限していました。データベース端末に指定外の記憶媒体などを接続すると、エラーになる仕組みも取り入れられていたそうです。

　しかし、データの持ち出しに使用されたスマートフォンは最新型で、この仕組みを免れることができました。これを知ったMが、管理体制の隙を突いたようです。

＜問題の背景＞

　電子データ化された大量の顧客情報の保守管理を外注する企業は増えています。これに伴い、委託先の従業員が営業秘密に該当する大量の情報を不正に持ち出す事例は後を絶ちません。
 　多くの企業は、顧客などに関する大量の情報を電子データ化し、管理を外注しています。再発防止策の確立は緊急課題です。

　従業員のモラルに頼るのはもう限界。重要情報へのアクセス管理の徹底などが強く求められています。

　委託先と守秘義務契約を結んでも、委託先の個々の社員にまで徹底させるのは難しいようです。データベースの保守管理を請け負うＩＴ企業では、委託先や再委託先など様々な立場の人が出入りする現場では末端の不正まで見抜けないのです。

　漏洩した顧客情報が流通する背景には、2005年の個人情報保護法の完全施行で住民基本台帳から個人情報を入手しづらくなったことがあります。

　漏洩したベネッセの顧客情報は、2006年以降のデータが多いそうです。不正に入手した個人情報の売買は禁じられており、名簿業者らが不正取得の可能性を疑う余地はありました。しかし、「知らなかった」と言えば不正の認識の裏付けは難しく、いったん外部に出た情報の流通は規制が困難です。

＜対策＞
　
　今後は、委託先も含めて社員個人と守秘義務契約を結び、違反すれば損害賠償などのペナルティーがあることを認識させることが必要となるでしょう。

メールアドレスの誤送信

パソコンの初心者の方がよく陥るやってはいけないことがあります。 それは、全員のメールアドレスを「宛先欄」（＝To：）には入れて送信することです。  これは絶対にやってはいけません。 何故なら、全員に全員のアドレスが伝わってしまいます。

メールアドレスの誤送信の法的問題点

特定の個人を識別できるメールアドレスは、「個人情報」に該当します。

 「個人情報」とは、特定の個人を識別できる情報です。一見識別できないメールアドレスでも、他の情報と容易に照合することができ、特定の個人を識別できる場合は、個人情報に当たります。しかし、記号の羅列のようなメールアドレスであれば、検索しても通常は個人を特定できないので、個人情報に該当しないでしょう。個人情報に該当しないメールアドレスを他人にわかる形で一斉送信しても、違法とはいえません。

しかし、企業の内部において個人を特定できるアドレスと特定できないアドレスを別々に分類して管理するということは通常はありえません。また、アドレス自体が通称のような働きをして個人を識別する情報の1つとして取り扱われることも多くなっています。企業としては、すべてのメールアドレスが個人情報に該当するとの前提で取り扱うべきでしょう。

このような考え方に立つと、メールアドレスが大量に漏えいする事故は、個人情報保護法上、安全管理措置義務（法20条）に違反したということになります。法では、安全管理措置義務違反について、直ちに何らかの制裁が想定されているわけではありません。しかし、民法の不法行為の規定を根拠に、漏えいされた顧客から損害賠償を請求されることは考えられます。  　

 問題は、一斉送信され、自分のアドレスが他人にわかってしまうこと、および他人のアドレスを知ってしまうことについての不快感です。不快感は、一般的には法的に保護されません。

例えば、自宅の郵便ポストに、見たくもないチラシが入っていて、不快感があっても、違法ではありません。そのチラシを捨てれば良いだけです。個人情報保護法ができる前、同窓会名簿も売買されていましたが違法ではありませんでした。

ただし、今後、法規制ができたり、現時点で特定できないメールでも将来特定できる状況になれば、違法となるでしょう。

結論として、明らかに個人が特定できるメールアドレスでやり取りをした場合、これは個人情報保護法に違反する可能性があるが、個人を特定できない場合には、違法性はありません。

事実の公表・報告

漏えい事故が発生した場合には、できる限り事実を公表することが求められていますし（法７条に基づき作成された基本方針）、主務大臣が個人情報の管理、利用のあり方について報告を求めてきたり（法32条）、取扱いに関し勧告や命令を受けることも考えられます（法34条）。いずれにしても企業の信頼を 大きく損ねることは間違いありません。


送信したメールを取り消す方法

 送信したメールを取り消す


お詫び文例

個人情報（メールアドレス）の漏えいに関する報告とお詫び

この度、弊社におきまして、お客様にメールにてお知らせをした際、送信業務の不手際により、お客様のメールアドレスが他のお客様のメール内に表示される、と いうトラブルが発生致しました。

該当のお客様におかれましては多大なるご心配とご迷惑をおかけ致しました事、深くお詫び申し上げます。

弊社はこれまで個人情報保護強化に取り組んで参りましたが、このような事案を招いた事を深く反省し、今後は管理体制の見直しと従業員への個人情報保護教育を徹底し、再発 防止に努めて参ります。

今回の件につきましては、あらためて以下の通りご報告申し上げますとともに、ご迷惑をお掛け致しましたお客様に深くお詫びを申し上げます。

記

１．事案の概要

（流失日時・経緯を書きます。）

平成●年●月●日（金）午後●時●分、●●に関する案内メールを送信した際に、個人のメールアドレスを「BCC」に設定して送信すべきところを「CC」で送信したため、全員のメールアドレス（●名分）が表示されて送信されました。　

流出先はメールを受信された同じく●名の方です。

２．対応状況

上記電子メールの送信直後に担当職員がこれに気づき、本件に該当する関係者の方々に対し、直ちに御報告とお詫びを申し上げるとともに当該電子メールの削除をお願いいたしました。
＊現在のところ、この件に関して二次被害は確認されておりません。

３．今後の対応

（再発防止策を書きます。）

① 個人情報を含む重要なメールや複数先宛へのメール送信時の作業手順を見直し、全従業員に周知徹底致します。[複数の個人のメールアドレスあて送信する場合には、複数の職員によるダブルチェックを徹底することにより、個人情報の漏えい防止を徹底してまいります。]　[今後このような事態が生じないよう、送信前に文書送信者以外の者が宛先及び送信内容を再度確認するなど、厳重かつ適正な管理を徹底してまいります。]
② 個人情報取り扱いについてのリスクの認識を全従業員に徹底し、必要かつ適切な措置 を講じます。
③ 本件に関し何らかの被害が発生した場合は、警察や当局の指導に基づき対応致します。

〈 本件に関するお問い合わせ先 〉
株式会社 ●●
 ＴＥＬ：●●●－●●●－●●●●
メールアドレス：●


参考資料

• BCCで広告のメール配信するところをCCで配信してしまいました 
• 面識のない人のメールアドレスがわかってしまう一斉送信はご注意を 
• 厚生労働省　個人情報（メールアドレス）の漏えいに関する報告とお詫び 
• 平成22年7月16日　総務省　メールアドレスの誤送信 

ネット上の個人情報を消すには

ツイッターに顧客のプライベートを書き込んで炎上する事件が相次いでいます。

• 2011年1月、都内ホテルのアルバイト店員がスポーツ選手と芸能人の来店情報を投稿して、ホテル側が謝罪しました。
• 2011年5月、スポーツ用品メーカー社員が来店したスポーツ選手に対する中傷を書き込んで炎上しました。 

どちらの騒動でも、投稿者はネット上で徹底的につるしあげられました。有志によって実名が特定され、住所や顔写真、交友関係、はては自宅の不動産登記簿謄本の画像までネットにアップされました。

コンピュータウイルスや誤操作で個人情報が流出したり、人違いで個人情報を晒されて中傷を受けた事例もあります。

個人情報の漏えいは、いまや誰もが直面するリスクといえます。 ネット上の情報は容易に拡散され、しかも半永久的に残ります。

自分の意に反して広まった情報は、もはやどうすることもできないのでしょうか。

プライバシー侵害は、民法709条の不法行為（故意または過失によって他人の権利や利益を違法に侵害する行為）に該当する場合があります。その場合、情報が掲載されたブログや掲示板の管理者に削除を請求したり、損害賠償を請求することができます。

どのような情報ならプライバシーとして保護されるのでしょうか。

日本初のプライバシー訴訟である昭和39年の『宴のあと』裁判で、東京地裁はプライバシー侵害の要件として、

（1）私生活上の事実または事実と受け取られるおそれがあり、
（2）一般人の感受性を基準として、当該私人の立場に立ったときに公開を欲しないだろうと認められ、
（3）一般の人に知られていないこと、

という3つをあげました。病歴や前科、出自、宗教といったセンシティブな情報の公開は、これらの要件に合致する可能性が高いでしょう。

もっとも、ネット上の炎上事件で晒されるのは、名前や住所、SNSの日記といった公開情報が中心で、先ほどの3要件に必ずしも該当するわけではありません。こうした公開情報は保護対象にならないのでしょうか。

プライバシーの保護範囲は、時代とともに広がっています。もともと公開されている情報でも、本来の趣旨と異なる形で公開され、私生活の平穏に重大な脅威を与えているなら、現在はプライバシー侵害とみられる場合もあります。


プライバシーの保護については、他の利益とのバランスも考慮する必要があります。

犯罪報道で被疑者の実名が報道されるのは、被疑者のプライバシーより、治安維持や国民の知る権利といった利益のほうが大きいと考えられているからです。逆に微罪なのに鬼の首をとったように私生活を暴けば、プライバシー侵害のほうが上回って不法行為になります。

プライバシー侵害と認められても、一度流出した個人情報をネット上から完全に消し去ることは難しいです。法的な手続きを踏んでいるのに削除に消極的な掲示板管理者がいたり、すでに拡散していて削除請求が追いつかないケースも多いからです。

個人データ抜く「アプリ」

スマートフォンの個人データを抜き取るアプリの公開が後を絶ちません。

約9万人のスマホがウイルスに感染し、電話帳にある電話番号やメールアドレスなど1190万件以上の個人情報が流出しました。しかもネットの裏情報では、逮捕された関係者が運営する出会い系や4クリック詐欺サイトから、闇金グループに金が流れているという情報が寄せられていました。この事案で、アプリを公開したとしてIT関連会社の社長ら男女5人が逮捕されました。この件について、東京地検は嫌疑不十分で不起訴処分としました。

なぜ不起訴になったのでしょうか。

スマホのアプリには、必ずパーミッション画面が現れます。インストール直前に「同意します」「同意しません」という表示が出る例の画面です。今回不起訴処分となった背景には、個人情報を収集することにユーザーが同意した点、かつそのアプリがユーザーに説明した通り動画を再生する機能を満たしていた点、この2点の理由があったようです。

しかし実際のところ、多くのユーザーがパーミッションの同意事項についてよく読むこともなく、甘い誘惑に駆られて同意を与えているのが現状です。個人情報保護法では、本人の同意なく第三者に個人情報を提供してはならない、と定められているのですが、それを逆手に取ったやり方といえるでしょう。

今回の不起訴処分により、今年はこうした不正アプリの横行が予想されます。法律が追いついていない以上、自分の身は自分で守るしかありません。

従来の情報漏えいと比べて深刻なのはスマホが電話であり、その中のアドレス帳に友人や取引先など個人情報が入っている点です。漏えいすれば他人に迷惑をかけることになります。「通話無料」「電波改善」「バッテリー長持ち」などを謳う中に、危険なアプリが少なくないのです。いま一度、自分のスマホ内のアプリを見直すことをお勧めします。

参考　個人データ抜く「アプリ」が罪に問われぬ理由

死後のデジタル資産の扱い、ネット上の通信の秘密

GmailやFacebookなどで、自分のプライベートなデータをネット企業に預けている人は多いでしょう。セキュリティに注意していれば、中身が外に漏れることはありません。しかし、本人が死んでしまったら、そのデータはどうなるのでしょうか。

故人のメールを見るニーズ

身内が亡くなると、以下の理由で故人のメールを見るニーズが発生することがあります。

• 葬儀の通知を出したいが、故人の交友関係を知らない。
• 家業を継ぐが、亡父が取引先とどのような話をしていたのかわからない。
• 息子（娘） が自殺した原因を知りたい。 
• 過労死であることを証明するため、過労死した故人のメールを確認したい。

とくに最近ではネット証券やネット銀行などの金銭絡みのアカウントもあるので注意が必要です。もしもデータを残していないと、あなたの貴重な財産が遺族が気づかないままほったらかしにされる事態になりかねないからです。 

端末内に有るデータは簡単に見ることはできますが、クラウド上にあるデータは厄介です。 Gmailを初めとするＷＥＢメールは同じような問題を孕んでいます。

デジタルの世界の権利関係

日本では運営事業者と遺族との間で裁判所で争われたことが公表ベースではありません。そもそもデジタルの世界にはどのような権利が存在しているのでしょうか。

通信の秘匿、個人情報保護、著作権、デジタル財産権などいくつかの権利があります。

メールやメッセージのやり取りは通信の秘匿にあたります。

ＳＮＳでの書き込みや写真、イラストなどは著作権が関わってきます。

電気通信事業法の「通信の秘密」

通信の秘密は日本国民に認められた権利であり、憲法や電気通信事業法で保障されています。政府はもちろん、インターネットサービスプロバイダなどの電気通信事業者、さらに一般人も人の電子メールを勝手に見てはいけないことになっています。

犯罪捜査で捜査機関がプロバイダに情報開示を迫ることはあるものの、それも無制限ではありません。プロバイダが警察から捜査関係事項照会を受けて、ユーザーの名前や住所などの登録情報を本人の同意なく提供するケースはあります。ただ、メールの中身を明かすとなると、ハードルが一気に上がります。電気通信事業法に抵触する恐れがあるので、令状なしでは無理です。

個人情報保護法は、「個人情報」を生存する個人に関する情報に限っているため、死者に関する情報は保護の対象ではありません。しかし、電気通信事業法の「通信の秘密」の保護対象は、一般に生きている者に限定されていないと解釈されています。犯罪にかかわったなどの特殊なケースを除き、プロバイダが本人の許可なく第三者に明かすことはないと考えて良いでしょう。

 一方、遺族の側から見ると、この状況は厄介です。身内が亡くなると、故人のメールを見るニーズが発生することがありますが、通信の秘密の高い壁が立ちふさがるのです。


デジタル資産

では、電子データを「デジタル資産」などと呼ぶことがありますが、メールのデータを資産だと解釈し、遺族が「相続」することはできないのでしょうか。

データに資産的価値がある芸術的な写真や文章が含まれていれば、相続財産だという解釈も可能かもしれません。でも、事務的なメールだと、そのような解釈は難しいでしょう。メールアカウントは一身専属性が強く、相続財産とみなすのは難しいでしょう。

これは、『一身専属権』の考えがあるからです。

一身専属権とは、ある人の一身に専属し、他人が取得または行使することのできない権利のことです。個別の人だけに帰属するもので、特殊な技能的な技術を相続、譲渡はできないことを指します。医師免許や弁護士免許などがそれにあたります。 　


運営者の実務上の取扱い

では、もし遺族がプロバイダに情報開示を要求したらどうなるのでしょうか。


一身専属権という考えに基づいて、サイト「ＢＩＧＬＯＢＥ」（ＮＥＣビッグローブが運営）の会員規約では第８条（権利の譲渡等）の中で、「会員が死亡した場合は、ＢＩＧＬＯＢＥサービスを受ける権利を相続人が承継することはできません」と明記しているようです。


Gmailの場合、故人の正式な代理人としてアカウントへアクセスしたい場合の手続きは、HPに掲載されています。

まず、身分証明書、死亡診断書、故人のGmailアドレスから受信したメッセージのヘッダーと全文などの証明書類を提出します。審査をパスすれば、米国の裁判所命令や追加書類の提出など、さらなる法的手続きへと進みます。

Gmailの場合は、他のユーザーがあなたに代わってメールを閲覧、送信、削除できるように、Gmail へのアクセス権を他のユーザーに委任することができるそうです。
https://support.google.com/mail/answer/138350?hl=ja


Google以外では、事業者によって対応は異なり、それぞれのホームページなどにユーザーが亡くなった場合の対処法が掲載されています。たとえば Facebookでは、ユーザーが亡くなると遺族のリクエストによってアカウントが追悼アカウントとなり、メモリアルページに変更することができます。も はやログインはできなくなり、選ばれた人のみがメッセージを残せるようになるのです。

一方、Yahoo!などのようにユーザーが亡くなっても、遺族を含めたいっさいのアクセスを認めない厳格な事業者もあります。

ただ、会員が亡くなることを想定して、アカウントやパスワードの取り扱いについて明確な基準を定めているITサービス事業者は一部にとどまります。一般的には、ケースバイケースで判断されるようです。ほとんどのサービスはユーザーの死を想定すらしていないのです。

あらかじめ利用規約で手当てしておくことが理想的ですが、通信の秘密や相続といったデリケートな問題が絡むだけに、いまの段階ではルール化しづらいのでしょう。誰にどこまでデータを引き継ぐかユーザー自身に生前登録させるなど、柔軟な仕組みづくりが求められます。


もしあなたがもしものときに備えてメールアカウントの後始末を遺族に託したいなら、IDやパスワードなどの必要なデータやアカウントの扱いに関する希望などをなんらかの形で残しておくべきでしょう。たとえば遺書やエンディングノートなどにそれらのデータが書かれていれば、遺族は容易にアカウントにアクセスしてデータを取り出したり、削除することができるでしょう。

個人情報保護法の調べ方

 個人情報保護士会　2011年2月の設立された一般財団法人。主に、「個人情報保護士」資格取得者である個人会員と、個人情報保護士資格者が所属している企業及び団体で構成されている。

個人情報に関連する規格と制度

JIS Q 15001（個人情報保護マネジメントシステム ― 要求事項）

事業者が業務上取り扱う個人情報を安全で適切に管理するための標準となるべく、財団法人日本規格協会の原案によって策定された日本工業規格の一つ。

個人情報事業の用に供している、あらゆる種類、規模の事業者に適用できる個人情報保護マネジメントシステムに関する要求事項について規定する日本工業規格である。

この規格では、

• 事業者が保有する個人情報を把握し、取得や利用に先立ち個人情報の指す本人から同意を得ること、
• 事業者が個人情報保護指針、個人情報保護のための組織を設けること、
• その体制を定期的に見直し改善すること、そして
• これらを実践するためのシステム（個人情報保護マネジメントシステム）をもつこと

などを求めている。

1999年に海外での先例にならって作られた管理システムであり、個人情報保護に関する同様の理念は2005年から全面施行された個人情報保護法でも見ることができる。日本独自の規格であり国際的な整合性は特に考慮されていない。

JIS Q 15001の要求事項を読み解く上では、要求事項ごとに、個人情報保護法と同じ概念か、個人情報保護法に上乗せした概念か、個人情報保護法には全く記載のない概念かを区別しながら眺めることが重要である。

個人情報保護法の全面施行から1年余りを経た2006年5月20日に、当時の実態を踏まえて、同法で導入された概念・用語を盛り込んだ改定が行われた。用語は個人情報保護法の用語に統一された。


プライバシーマーク制度

日本工業規格「JIS Q 15001個人情報保護マネジメントシステム―要求事項」（国内基準。ただし、韓国・中国と相互承認あり。）に適合して、個人情報について適切な保護措置を講ずる体制を整備している事業者等を認定して、その旨を示すプライバシーマークを付与し、事業活動に関してプライバシーマークの使用を認める制度。

プライバシーマーク制度の目的は、事業者に社会的な信用を得るためのインセンティブを与えることだけでなく消費者の個人情報の保護に関する意識の向上を図ることにもある。

付与されたプライバシーマークの有効期間は2年であり、取得をは2年ごとの更新の手続きが必要である。

プライバシーマーク付与の対象は、国内に活動拠点を持つ事業者。また、プライバシーマーク付与は、法人単位。 

事業者自身による申請書での宣誓と、現地審査時に確認。

ISMS適合性評価制度

情報セキュリティの個別の問題毎の技術対策の他に、組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランを持ち、資源配分して、システムを運用するもの。

適合性評価基準は、「JIS Q 27001:2006 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム - 要求事項」（国際基準に準拠）である。  2005年10月にISMS認 証 基 準として国 際 規 格ISO/IEC 27001：2005が発行され、これにより国内規格JIS Q 27001：2006が発行されたため、ISMS認証基準をJIS Q 27001：2006とし、これに基づく認証を開始した。


参考　

JIS Q 15001 - ウィキペディア

プライバシーマーク事務局

ISMS適合性評価制度 - 情報マネジメントシステム推進センター

 

個人情報、個人データ、保有個人データの定義

個人情報保護法では、個人に関する情報について「個人情報」、「個人データ」、「保有個人データ」がそれぞれ区別されている。分類に応じて階層的に義務が規定されている。

「個人情報」

「個人情報」という括りが最も広い範囲を示し、個人情報保護法の中では、 「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）」（第2条第1項） と規定されている。

また経済産業省のガイドラインでは 「氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化されているかどうかを問わない。なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。

また、「生存する個人」には日本国民に限られず、外国人も含まれるが、法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は含まれない（ただし、役員、従業員等に関する情報は個人情報）。」 と説明されている。 　

「個人データ」

「個人情報データベース等」について、個人情報保護法では、

「個人情報を含む情報の集合物であって、 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第2条第2項）

 と規定されている。

経済産業省のガイドラインには具体的な事例として次のような内容が紹介されている。

個人情報データベース等に該当する事例
事例１ 電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）
事例２ ユーザーＩＤとユーザーが利用した取引についてのログ情報が保管されている電子ファイル（ユーザーＩＤを個人情報と関連付けて管理している場合）
事例３ 従業員が、名刺の情報を業務用ＰＣ(所有者は問わない)の表計算ソフト等を用いて入力・整理し、他の従業員等によっても検索できる状態にしている場合
事例４ 人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合
事例５ 氏名、住所、企業別に分類整理されている市販の人名録

個人情報データベース等に該当しない事例 

事例１ 社員が、自己の名刺入れについて他人が自由に検索できる状況に置いていても、他人には容易にわからない独自の分類方法により名刺を分類した状態である場合
事例２ アンケートの戻りはがきで、氏名、住所等で分類整理されていない状態である場合


「個人データ」について、個人情報保護法の中では、 「この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう」（第2条第４項） と規定されている。

つまり、個人データは個人情報に含まれるものであり、個人データが何らかの形で整理されて検索可能な状態になっているものが個人情報データベース等となる。

また、個人情報データベース等からのバックアップ用の個人情報や出力された帳票等に印字された個人情報なども個人データとなる。

なお、個人情報データベース等を構成する前の入力帳票に記載されている未整理の個人情報は個人データには含まれない。

「保有個人データ」

「保有個人データ」について、個人情報保護法の中では、
 「この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は１年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。」（第2条第5項） と規定されている。

つまり、個人情報取扱事業者が保有しており、その事業者の権限で開示、訂正、追加、削除などができる個人データは「保有個人データ」に該当する。

また、政令第３条及び４条の中で、

政令第３条 「法第２条第５項の政令で定めるものは、次に掲げるものとする。

1. 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの 
2. 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの 
3. 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの 
4. 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」 

政令第４条 「法第２条第５項の政令で定める期間は、６月とする。」

と「保有個人データ」でないものを定めている。

保有個人データは、開示等によって公益やその他の利益が害されるものと、6ヶ月以内に消去することとなるものは対象から除かれる。

例えば、以下の事例はいずれも「保有個人データ」ではないと認められるため、本人からの開示請求に対して拒否することも認められている。

 「保有個人データ」ではないと認められる事例 

事例１ 家庭内暴力、児童虐待の被害者の支援団体が、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データを持っている場合を入力している場合
事例２ いわゆる総会屋等による不当要求被害を防止するため、事業者が総会屋等を本人とする個人データを持っている場合
事例３ いわゆる不審者、悪質なクレーマー等からの不当要求被害を防止するため、当該行為を繰り返す者を本人とする個人データを保有している場合
事例４ 製造業者、情報サービス業者等が、防衛に関連する兵器・設備・機器・ソフトウェア等の設計、開発担当者名が記録された個人データを保有している場合
事例５ 要人の訪問先やその警備会社が、当該要人を本人とする行動予定や記録等を保有している場合
事例６ 警察からの捜査関係事項照会や捜査差押令状の対象となった事業者がその対応の過程で捜査対象者又は被疑者を本人とする個人データを保有している場合
事例７ 犯罪収益との関係が疑わしい取引の届出の対象情報

個人情報取扱事業者とは

個人情報保護法では、
「この法律において個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。

1. 国の機関 
2. 地方公共団体 
3. 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律(平成15年法律第59号)第2条第1項に規定する独立行政法人等をいう。以下同じ。） 
4. その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者（第2条第3項）」

 と規定されている。 　

なお、ここでいう「事業」とは、一定の目的を持って反復継続して遂行される同種の行為であり、営利事業のみを対象とせず、法人格のない任意団体や個人であっても個人情報取扱事業者に該当し得る。

あわせて「個人情報の保護に関する法律施行令」の政令第2条において、｢政令で定める者｣について 「法第２条第３項第５号の政令で定める者は、その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６月以内のいずれの日においても５０００を超えない者とする。」 と具体的な数値と共に定義されている。

よって個人情報データベース等を構成する個人情報の数が過去6ヶ月において5000件を一度も越えていない場合には個人情報取扱事業者とは見なされない。

ただし、対外的には個人情報取扱事業者であるかを示したり、それによって判断されたりすることはないので、個人情報取扱事業者にあたるかどうかに関係なく、法の義務やガイドラインで示されていることは対応すべきである。 　

また、「特定の個人の数」について、個人情報データベース等が以下の３つの要件のすべてに該当する場合は、上記の「特定の個人の数」には加算されない。

1. 個人情報データベース等の全部又は一部が他人の作成によるものである。 
2. その個人情報データベース等を構成する個人情報として氏名、住所（居所を含み、地図上又はコンピュータの映像面上において住所又は居所の所在場所を示す表示を含む）又は電話番号を含んでいる。
3.  氏名又は住所から検索できるように体系的に構成された、市販の住所地図上の氏名及び住所又は居所の所在場所を示す情報 　

簡単に言い換えれば、例えば電話帳やカーナビゲーションに含まれる氏名や電話番号や住所などの個人データの件数は「特定の個人の数」に含まなくても良いということである。

個人情報保護法とは

個人情報保護法（「個人情報の保護に関する法律」、2003年5月制定）が2005年4月1日より全面施行されている。これにより公的機関に加え、民間事業者についても個人情報の取り扱いに関するルールが定められ、個人情報の適正な取り扱いが義務付けられることになった。

 この法律は、OECD(経済協力開発機構)により1980年に制定されたOECD8原則（「プライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告(OECDガイドライン)」）に対応した内容で構成されている。

※　OECDガイドラインは個人情報保護に関する国際的な基本ルールであり、OECD加盟国は各国内でこのガイドラインの内容を準拠するよう要請されている。このガイドラインの中で、個人情報保護に対して8つの原則が明記されており、これをOECD8原則と呼んでいる。OECD8原則は、各国の個人情報保護法制の基本となっている。



個人情報保護法の構成

全体の構成は第1章～第6章と附則で構成されている。

第1章から第3章は公的・民間を含めた国全体の基本法、第4章から第6章は民間部門における個人情報 保護の一般法がそれぞれ定められている。基本法部分は、公布と同時に施行された。一般法部分は、公布から約2年後に施行された。

また、この法律に基づき、関連各省庁からは事業分野毎にガイドラインが制定されており、事業者は法律とあわせて遵守しなければならない。

基本方針とガイドライン

事業全般については、経済産業省（METI）のガイドライン「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」がかかる（個人情報ガイドラインについて - 経済産業省）。


法の目的と基本理念

 「個人情報保護法」という言葉から「保護すること」だけが目的のようにイメージしてしまいがちだが、実際には、

• 個人情報とは何かを理解し、利用目的を明確にした上でその範囲の中で正しく利用すること、
• 当初の目的以外の理由で個人情報を利用する場合には本人の同意を得てから利用すること、
• 個人情報を第三者へ提供する場合には原則として本人の同意を得てから行うこと、
• 個人情報の漏えいを防ぐなどの安全管理措置が正しく行われていること、
• 本人からの要請があっ た場合にその本人の個人情報開示要求に応じなければならないこと、

など個人情報の利用と保護の両面から構成されている法律である。

個人情報保護法の制定

個人情報保護法の制定以前、個人情報の保護に関して、1988年に制定された、行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律が存在しました。

日本の個人情報保護法は、OBCD８原則の採択後の、2003年に制定されました。個人情報保護法は、OECDに加盟するほとんどの国で民間部門を対象とした個人情報保護法制の整備が進められたことを背景として制定されました。OECDとは経済協力開発機構のことです。

EU指令は、1995年にEUにおいて出されたもので、加盟国に対し、3年以内に同指令を重視するために必要な国内法を整備することを求めました。

個人情報の流出事故を事件が多発したことにより、それらを未然に防ぐ法律の整備が急がれました。個人情報保護法は、国際的な情報流通の拡大 ・IT化を背景として制定されました。その内容としては、OECD加盟国のほとんどで民間部門を対象にした法制が整備されたことや、日本の公的部門における電子政府・電子自治体の構築、民間部門における顧客サービスの高度化・電子商取引の進展が挙げられます。また、プライバシーに当の個人の権利利益を侵害の危険性や不安感が増大したことも挙げられます。

2001年3月に国会に提出されましたが、不当なメディア規制につながるものとして、マスコミ等から自らが行う個人情報の取り扱いを法律の対象から全面的に除外すべき等の強い反発を受け、2002年12月にいったん廃案となりました。2003年に成立したのは、この法案が修正されて再度提出されたものです。

市民団体が目的規定に自己情報コントロール権を明記することを求める意見書を提出しました。
個人情報保護法は、2003年に公布と同時に基本法にあたる第1章から第3章が施行されましたが、個人情報取扱い事業者の義務部分である第4章は2005年に施行されました。

個人情報保護法施行後想定以上に過剰反応も起こったため、その対応が検討されましたが、基本方針の一部変更（2008年４月)や、各ガイドラインでの説明強化にとどまり、法改正には至っていません。個人情報の保護に関する法律についての経済産業分野を対象とするガイドラインは、世情を反映し、すでに複数回を改正されています。

個人情報保護法は、その所管が内閣府から、2009年9月に発足した消費者庁に移管されました。

OECD8原則

1980年9月23日にOECD(経済協力開発機構)の理事会で採択された「プライバシー保護と個人データの国際流通についての勧告」の中に記述されている8つの原則。日本を含めた各国の個人情報保護の考え方の基礎になっている。

国際的な情報化が進む中で、各国の法制度に差があると各国間の情報の流通に支障をきたしてしまう。また、IT社会の進展に伴い、個人情報やプライバシーの保護に関する社会的要請が強まり、それに対して新たな法整備をする際の国際的なガイドラインとしてこれらの原則が提唱された。具体的な内容は以下の通り。

(1) 収集制限の原則 ： 個人データは、適法・公正な手段により、かつ情報主体に通知または同意を得て収集されるべきである。
*個人情報保護法上の適正な取得に反映されている。

(2) データ内容の原則 ： 収集するデータは、利用目的に沿ったもので、かつ、正確・完全・最新であるべきである。
*内容の正確性の確保に反映されているが、苦情の処理に反映されているとはいえない。

(3) 目的明確化の原則 ： 収集目的を明確にし、データ利用は収集目的に合致するべきである。

(4) 利用制限の原則 ： データ主体の同意がある場合や法律の規定による場合を除いて、収集したデータを目的以外に利用してはならない。
*個人情報保護法上の利用目的による制限に反映されている。

(5) 安全保護の原則 ： 合理的安全保護措置により、紛失・破壊・使用・修正・開示等から保護すべきである。

(6) 公開の原則 ： データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明示するべきである。

(7) 個人参加の原則 ： データ主体に対して、自己に関するデータの所在及び内容を確認させ、または異議申立を保証するべきである。
*個人情報保護法上の開示等の求めに反映されており、正確性の確保には反映されていない。


(8) 責任の原則 ： データの管理者は諸原則実施の責任を有する。

アメリカでは、1996年に設立された民間の非営利団体「TRUSTe」が、翌1997年からOECDガイドラインを満たしていると認定され、個人情報保護に対し信頼に足るべき欧米のWebサイトに、認証シールを付与する事業を始めた。

日本では、2001年6月から、NPO法人日本技術者連盟が日本での本部となって、インターネット上のWebサイト所有団体を対象に、「TRUSTeシール」認証授与事業を始めた。