御池総合法律事務所

個人情報データベース等を事業の用に供しているのであれば、業種・規模等を問わず、個人情報保護法が定める対策を取る必要があります。
法の施行（平成29年5月30日）前においては、 5000人分以下の個人情報しか取り扱っていない者は、個人情報取扱事業者から除外されていましたが、施行後はこれらの者も個人情報取扱事業者に該当することとなりました。

従業員に関する情報であっても、法2条1項の定義に該当すれば、個人情報に該当します。携帯電話番号については、氏名等の他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる場合には、個人情報に該当します。運転免許証番号は、法2条2項2号の定める個人識別符号に該当する個人情報です。

たとえば、イベントの参加者に氏名等の情報を紙に書いてもらい、回収した紙を段ボールに入れて保管している場合、当該氏名等の情報は「個人情報」にあたります。この紙に記載された情報について、情報処理の外部委託をして、受託者がイベントの参加者の情報を業務用パソコンのエクセル等に入力したり、紙を五十音順に並べて索引等をつけたりすることにより、当該情報が検索可能な状態にされれば、受託者にとっては「個人データ」にあたることになります。イベントを開催した会社が自ら上記の作業を行った場合、当該データは「保有個人データ」となります。

匿名加工情報は、個人情報に含まれないため、個人情報に関する義務規定（法15条～35条）が適用されず、本人の同意なく第三者提供をすることが可能です。他方、仮名加工情報は、個人情報にあたりうるため、本人の同意なく第三者提供をすることはできません。データの利活用に関する改正点としては、個人関連情報に関する規定が新設されたことが挙げられます。

あなたが個人情報を取り扱うことによって達成しようとする最終的な目的を、利用目的として特定する必要があります。あなたの場合、「健康食品の販売事業における商品の発送、関連するアフターサービス、新商品、サービスに関する情報のお知らせのために利用する」という特定になると思われます。

インターネットにおいて入力された個人情報を取得する場合には、あらかじめ本人に対しその利用目的を明示する必要があります。そのため、あなたは、顧客が個人情報を貴社に送信する前に、特定された利用目的を開示し、顧客がその内容を理解したことを確認するための処理をする必要があります。

個人情報を収集した事業者は、一定の例外事由が認められない限り、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことはできません。消費者のニーズの分析は、Q2－1において特定した貴社の利用目的には含まれておらず、法が定める例外事由にもあたらないため、貴社は、そのような利用はできません。

変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行うことはできませんので、このような利用目的の変更はできません。

個人情報取扱事業者として、利用目的の達成に必要な範囲で、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりません。
また、個人データの安全管理のために必要かつ適切な措置を講じなければなりません。

基本方針の策定、個人データ取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置をとる必要があります。

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、原則として個人データを第三者に提供してはなりません。

保有個人データに該当する場合、以下の事項を本人の知りうる状態に置く必要があります（本人の求めに応じて遅滞なく回答する場合も含みます。）。
（1）　個人情報取扱事業者の氏名又は名称
（2）　全ての保有個人データの利用目的（法18条4項の通知等をしなくてよい場合 1を除く。）
（3）　保有個人データについて、利用目的の通知、開示、訂正・追加・削除、又は利用停止・消去の請求に応じる手続（手数料を定める場合はその額）
（4）　苦情申出先
（5）　認定個人情報保護団体の名称（個人情報取扱事業者が対象事業者である場合）及び苦情解決の申出先

遅滞なく、書面により（開示請求を行った者が同意した方法がある場合は別です。）、回答する必要があります。
本人若しくは第三者の生命・身体・財産その他の権利利益を害するおそれのある場合、貴社の業務に著しい支障を生ずるおそれのある場合、又は法令違反となる場合は全部又は一部を開示しないことができます。

調査の結果、遅滞情報に誤りがない場合、訂正には応じられないと本人に遅滞なく通知することになります。

当該顧客の請求の理由が、同意なく個人情報を取得された、利用目的外の利用がされているなど、不正取得又は不正利用を理由としている場合には、遅滞なく、違反を是正するために必要な限度で、消去するなど利用停止に対応しなければなりません。逆に、当該保有個人データにこのような不正事由がなければ、利用停止に対応する必要はありません。ただし、令和2年改正法では、以下の解説で述べる通り、不正以外の理由でも対応を必要とする場面が追加されました。
なお、多額の費用を要する場合その他の利用停止等を行うことが困難な場合には、本人の権利利益を保護するため必要なこれに代わるべき措置をとることもできます。

GDPRとは、General Data Protection Regulationの略称で、2018年5月25日に施行されています。EU域内に拠点を持たない日本企業であっても、欧州経済領域（EEA）に在住する自然人の個人データを扱う場合、GDPRの適用対象となり得ます。

GDPRは、個人データの取扱い及び移転に関する規律を定めると共に、データ主体の権利、個人データ侵害が生じた場合の措置、規則違反に対する制裁等も定めています。

GDPRは、高額な制裁金を定めています。施行後2年間で高額な制裁事例も出てきています。

前記1のとおり、EU域内に拠点を置かない日本企業であっても適用される場合があること、日本の個人情報保護法とGDPRでは規律内容に違いが存在する部分があることに留意が必要です。