問20
頻出度★★★
個人情報を他社に渡した事例のうち, 個人情報保護法において, 本人の同意が必要なものはどれか。
平成24年度 秋期 ITパスポート試験 問20
ストラテジ系法務 › セキュリティ関連法規
この問題の解説と、これまでの解答の記録です。
解説
問 20
- ア
正解 正解は「ア」。個人情報保護法は、個人情報取扱事業者があらかじめ本人の同意を得ないで個人データを第三者に提供することを原則として禁止している (第三者提供の制限)。ここで重要なのは、親会社・子会社・グループ会社であっても、法人格が別であれば「第三者」に当たるという点である。アは、親会社の新製品を案内するという販促目的で顧客情報を親会社へ渡しており、自社が当初示した利用目的の範囲を超えた別法人への提供に該当する。委託でも共同利用でもなく、生命・身体の保護のような緊急の例外にも当たらないため、本人の同意が必要となる。
不正解イ
誤り。顧客リスト作成という業務を委託するためにデータ入力業者へ渡す行為は「利用目的の達成に必要な範囲内での取扱いの委託」であり、委託先は法律上「第三者」に該当しない。したがって本人の同意は不要である (ただし委託元には委託先に対する監督責任が生じる)。
不正解ウ
誤り。身体に危害を及ぼすリコール対象製品の回収は「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」に該当し、第三者提供の制限の例外として本人の同意なしにメーカへ提供できる。
不正解エ
誤り。請求書の配送業務の委託は、請求という当初の利用目的を達成するために必要な業務の委託であり、配送業者は委託先であって「第三者」には当たらない。よって本人の同意は不要である。
ここがポイント
- 第三者提供の制限: 個人データを第三者へ提供するには原則として本人の同意が必要。親会社・子会社であっても法人格が別なら「第三者」に当たる。
- 同意が不要となる類型: 利用目的の達成に必要な範囲での委託・事業承継・共同利用は「第三者」に該当せず、また法令に基づく場合や人の生命・身体・財産の保護に必要で本人同意の取得が困難な場合 (リコール対応など) は例外となる。
用語