事業を行うにあたっては、顧客を始めとして多くの個人情報を取扱うことになります。
氏名や生年月日といった個人情報は、有効に活用することで業務の効率化や提供できるサービスの向上を図ることが可能になるため、企業にとってビジネスの観点からも重要なものといえます。
他方、個人情報はその名のとおりプライバシーに関わるものであるため、適切な取扱いがされなければ、個人に対して深刻な不利益がもたらされるおそれがあります。
事業の規模が大きくなるほど取扱う個人情報の数も膨大になりますし、デジタル技術が発達した情報化社会においては、個人情報の漏洩や不正な提供が行われてしまうと、個人が受ける被害も看過できません。
そこで、個人情報の有用性は前提としながらも、個人の権利や利益を守ることを目的に制定されているのが、個人情報の保護に関する法律、すなわち個人情報保護法になります。詳細は後に触れますが、個人情報保護法に違反した場合、罰則を伴うペナルティが生じることがあります。
しかし、個人情報への関心がますます高まっている現代においては、受ける処分以上に顧客に悪印象を与えてしまうため、個人情報の取扱いに関するコンプライアンスに不安がある場合は、早急に企業犯罪・不祥事に詳しい弁護士の助言を得ることが肝要です。
このページの目次
保護の対象となる個人情報の定義
保護の対象となる個人情報の定義は、個人情報保護法２条１項によって規定されています。
そこでは、特定の個人を識別することができるもの（同項１号）及び個人識別符号が含まれるもの（同項２号）が挙げられており、これらに該当する、生存する個人に関する情報を個人情報と定義されています。
前者は生年月日のように、それ単体では個人の識別ができないものの、他の情報と照合することで個人を識別ができるものを、後者はDNAのように、その情報単体で個人を識別できるものを指します。
個人情報保護法による義務
個人情報取扱事業者（個人情報保護法１６条２項）には、個人情報の取得・利用、個人データ（同法１６条３項）の保管・管理、個人データの第三者への提供といった様々な場面で、個人情報保護法による義務が生じます。
保有する個人データの開示等を求められた際の対応義務についても規定がされています。
個人情報の取得・利用の場面
個人情報の取得・利用の場面では、利用目的をできる限り特定すること（同法１７条１項）、利用目的を公表するか本人に通知すること（同法２１条１項）、利用目的の範囲を超えて利用するには事前に本人の同意を得ること（同法１８条１項）などが義務づけられています。
また、違法その他不適正な方法で個人情報を利用することは禁止されています（同法１９条）。
個人情報の保管・管理の場面
個人情報の保管・管理の場面では、情報漏洩などの問題が生じることがないよう、個人データを安全に管理するために必要かつ適切な措置を行うことが（同法２３条）、個人情報取扱事業者に要求されます。
事業者自身が適切に個人情報を取扱うことはもちろんですが、個人データの取扱いに関わる従業者（同法２４条）や委託先（同法２５条）に対しても必要かつ適切な監督をすることが義務づけられています。
実際に情報漏洩などの問題が生じた場合は、個人情報保護委員会に報告し（同法２６条１項）、本人にも通知することが義務づけられています（同条２項）。
個人データを第三者に提供するには、法令に基づく場合（同法２７条１項１号）などの例外的な場面を除き、原則として事前に本人の同意が必要になります（同項柱書）。
また、第三者に個人データを提供した場合は、当該個人データの内容や提供した年月日に関する記録を作成し（同法２９条１項）、保存する必要があります（同条２項）。
本人（同法２条４項）、すなわち個人情報によって識別される特定の個人は、個人情報取扱事業者に対して、保有する個人データの開示を請求することができます（同法３３条１項）。
請求を受けた事業者は、第三者の権利利益を害するおそれがある場合（同条２項１号）などを除き、本人が請求した方法によって遅滞なく開示を行う義務があります（同項柱書）。
本人は個人データの開示のみならず、訂正・削除（同法３４条１項）や利用停止（同法３５条１項）を求めることもできます。
まとめ
個人情報取扱事業者が個人情報保護法に違反する不適切な取扱いを行っている場合には、個人情報保護委員会が報告や資料の提出を求めるほか、立入検査を行うことができます（同法１４６条１項）。
個人情報保護委員会はその他にも、事業者への指導・助言（同法１４７条）や、勧告（同法１４８条１項）・命令（同条２項、３甲）を行うことができます。
事業者が個人情報保護委員会に対して虚偽の報告や立入検査の拒否を行った場合には、５０万円以下の罰金が科せられます（同法１８２条１号）。
個人情報保護委員会による命令に違反した場合は、１年以下の懲役又は１００万円以下の罰金が科せられます（同法１７８条）。また、命令に違反した事実を個人情報保護委員会に公表されるおそれもあります（同法１４８条４項）。
