個人情報保護法～個人情報取扱事業者の保有個人データに関する義務について

　個人情報保護法の対象となる事業者（個人情報取扱事業者）は、個人情報の漏えい事故などが起こらないよう、個人情報を適切に取り扱わなければなりません。個人情報取扱事業者が保有する個人データについては、本人に開示請求権等が認められており、個人情報取扱事業者の義務について、個人情報保護法３２条から３９条によって規定されています。

　本コラムでは、個人情報取扱事業者の保有個人データに関する義務について解説いたします。

保有個人データに関する事項の公表・通知（法３２条）

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
　一　当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
　二　全ての保有個人データの利用目的（第二十一条第四項第一号から第三号までに該当する場合を除く。）
　三　次項の規定による求め又は次条第一項（同条第五項において準用する場合を含む。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求に応じる手続（第三十八条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）
　四　前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

２　個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
　一　前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
　二　第二十一条第四項第一号から第三号までに該当する場合

３　個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

　個人情報取得の際には、本人に利用目的の通知・公表・明示が必要でしたが（個人情報保護法２１条）、これを保有個人データとして継続的に利用する場合には、本人が知り得る状態に置くことが必要とされます。事業者としては、本人からの求めがあれば、遅滞なく回答できる体制づくりが必要となります。

本人の開示請求等への対応

開示（法３３条）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。

２　個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
　一　本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
　二　当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
　三　他の法令に違反することとなる場合

３　個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

４　他の法令の規定により、本人に対し第二項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。

５　第一項から第三項までの規定は、当該本人が識別される個人データに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第三十七条第二項において「第三者提供記録」という。）について準用する。

　２項２号の「個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」とは、例えば、人事考課などの企業の正当な権利利益に関わる評価情報や、クレーマーによる嫌がらせ、不当な企業攻撃などが考えられます。

　開示方法については本人が指示でき、事業者も本人が請求した方法によって開示する義務を負いますが、本人が請求した開示方法に多額の費用を要する場合や、当該方法による開示が困難である場合は書面の交付も許容されています。

訂正等（法３４条）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。

２　個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

３　個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。

　「保有個人データの内容が事実でないとき」に内容の訂正等を請求することができるのであって、「評価」が適切でないといった場合では訂正等を求める理由とはなりません。ただし、評価の前提となる事実に関する情報に誤りがある場合には、訂正等の対象となります。

利用停止等（法３５条）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

２　個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

３　本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十七条第一項又は第二十八条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

４　個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

５　本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。

６　個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

７　個人情報取扱事業者は、第一項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

　個人情報保護法３５条は、本人が自分の個人データの「利用停止・消去」や「第三者提供の停止」を事業者に請求できる権利を定めた条文です。不正取得や不適切な利用、本人の権利利益が害されるおそれがある場合などに請求できます。事業者は正当な理由があれば、速やかに対応する義務があります。

理由の説明（法３６条）

個人情報取扱事業者は、第三十二条第三項、第三十三条第三項（同条第五項において準用する場合を含む。）、第三十四条第三項又は前条第七項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

　事業者が不開示を決定した場合には、その理由の説明に努めるべきこととなります。理由説明は努力義務となりますので、個人情報保護法１４８条の対象外となります。

開示等の請求等に応じる手続（法３７条）

個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含む。次条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求（以下この条及び第五十四条第一項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

２　個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

３　開示等の請求等は、政令で定めるところにより、代理人によってすることができる。

４　個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

　個人情報保護法３７条では、開示や訂正などの請求方法は事業者が決定することができ、本人はその方法に従って請求するという手続きについて定められています。また、本人が簡単に請求できるよう配慮することも求められています。

手数料（法３８条）

個人情報取扱事業者は、第三十二条第二項の規定による利用目的の通知を求められたとき又は第三十三条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

２　個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

　個人情報保護法３８条では、本人が自分の個人データの利用目的の通知や開示を事業者に請求した場合、事業者がその対応にかかる手数料を徴収できることが定められています。なお、手数料は実費などを考慮し、合理的な範囲で設定しなければなりません。

事前の請求（法３９条）

本人は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

２　前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。

３　前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る仮処分命令の申立てについて準用する。

　個人情報保護法３９条は、本人が自分の個人データの開示・訂正・利用停止などを裁判で求める場合、まず事業者にその請求をし、請求から2週間経過した後でなければ訴訟を起こすことができないことを定めています。ただし、事業者が請求を拒否した場合は、ただちに訴訟することができます。