２０２０年６月１２日に公布された改正個人情報保護法については、その一部が２０２２年４月１日に施行されることが決まっており、本ブログ投稿時点でもう間近となっております。最近では、この改正に係るご相談をいただくことが多く、この点は、改めてブログにて解説したいと考えております。
　上記のような改正法の動向を追うことも勿論重要ですが、個人情報保護法に関してクライアントからご質問いただくもののうち、これは解説しておいたほうがよいという、基本的だけれども重要な点をいくつか拾ってみました。本ブログで、皆様の誤解を解く意味を込めて解説してみたいと思います。

１．本人の同意がなければ取得できない！？
　よくいただくご質問もしくは無意識的に誤解されている点は、「個人情報は、本人の同意がなければ取得できない。」という点です。
結論として、明確に誤りとは言い難いのですが、個人情報保護法の基本的なスタンスとしては、「同意は不要」です。なぜなら、個人情報保護法のどこにもそのような記載がないからです。
　唯一、要配慮個人情報（病歴など極めてセンシティブな情報）について、第１７条第２項において、「個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。」と記載されているにとどまります。すなわち、「通常の」個人情報については、その取得にあたって本人の同意が不要ですが、「要配慮個人情報」については、その取得にあたって本人の同意が必要ということになります。
　勿論、取得後、利用目的を本人に通知又は公表し（法第１８条）、第三者提供の際には本人の同意を取得する（法第２３条）ということは遵守する必要があります。前者の公表については、通常はプライバシーポリシーの掲載にて対応することが多いと思われます。

２．公表されているから問題ない！？
　次によくいただくご質問が、「公表されている個人情報はどのように扱っても問題ないのか？」というものです。しかし、これは誤りです。
　これも個人情報の定義を見れば明らかですが、法第２条第１項には、「公表されている情報を除く。」という文言はありません。したがって、インターネット等で（なぜか）公表されている個人情報についても、これを取得した場合には、個人情報保護法の規制に服することになります。
　なお、契約書等を見ると、ＮＤＡ（秘密保持契約書）の中に個人情報に関する規制がついでのように書かれることがあります。これ自体は誤りというわけではなく、同じく「情報」の取扱いに関する取り決めを一つの契約の中でしてしまおうというのは合理的です。上記のような誤解について、私見ですが、秘密保持契約に個人情報保護に関する規定が盛り込まれていることが、個人情報＝秘密情報＝公表されていない情報という錯覚を生んでいるのは、と考えています。

３．数が少ないから問題ない！？
　最近では少なくなりましたが、「個人情報を片手で数えるほどしか扱っていないのだけれども、それでも安全管理措置等を講じなければならないのか。」というご質問もあります。
　確かに、以前では、いわゆる５０００人要件というものがあり、個人情報の件数として、５０００件未満しか保有していない事業者については、個人情報保護法の規制がかからないという立て付けとなっていました。しかしながら、現在では、この要件は撤廃されており、個人情報の件数にかかわりなく、個人情報を保有する限り、個人情報保護法の規制対象となります。
　もっとも、正確には、「個人情報データベース」を作成していなければ規制の対象となりませんが、この点の議論は割愛させていただきます。

４．名札を隠したい！！
　最後に、企業の方から、「従業員が、個人情報保護を理由に名札をつけたくないというが、どうしたらよいか。」というご質問もありました。
　これは、厳密には個人情報保護法の問題ではなく、労務問題になります。雇い主は、従業員に対し、就業規則や雇用契約等で義務付けている限り、当該契約に基づく業務命令を発することができます。したがって、「就業中は名札を着用すること。」という規定がどこかにある限り、これに基づき、雇い主は業務命令を発することができ、従業員は従う義務があります。
　これが原則ではあるのですが、例えば、ストーカー被害にあっている、付きまとわれているお客さんがいるなど、本人の生命・身体等に危険が迫っている状況があるのであれば、むしろ雇い主としては、本人の安全を確保すべく、名札の使用を免除することが義務として課せられる可能性もあります。

５．さいごに
　その他、個人情報に関してご相談事項等ございましたら、何なりとご連絡ください。次回のブログでは、何とか改正個人情報保護法について触れていきたいと思います。

神田