問10
頻出度★★★
個人情報取扱事業者が個人情報を第三者に渡した事例のうち, 個人情報保護法において, 本人の同意が必要なものはどれか。
平成26年度 春期 ITパスポート試験 問10
ストラテジ系法務 › セキュリティ関連法規
この問題の解説と、これまでの解答の記録です。
解説
問 10
不正解ア
捜査令状に基づく警察への情報提供は「法令に基づく場合」に該当し、本人の同意なしに提供できる。令状という法的な強制力のある根拠がある以上、本人の同意を待つ必要はなく、例外規定が適用される。
不正解イ
児童虐待のおそれがある家庭の情報を児童相談所・警察・学校などで共有するのは、「人の生命・身体の保護に必要で、本人の同意を得ることが困難な場合」および「児童の健全な育成の推進に特に必要な場合」に当たる。虐待の加害者側に同意を求めれば子どもの保護が不可能になるため、同意なしの共有が認められている。
- ウ
正解 正解はウ。個人情報取扱事業者が個人データを第三者へ提供するには、個人情報保護法上、原則として本人の同意 (オプトイン) が必要である。フランチャイズ組織の本部と加盟店は、同じブランドで営業していても法人格が別の独立した事業者であり、加盟店から見て本部は「第三者」に当たる。したがって加盟店が自ら収集した顧客の個人情報を本部へ渡す行為は第三者提供であり、しかも「本部から要請を受けたから」という理由は法令に基づく提供でも、生命・身体・財産の保護でも、児童の健全育成でも、国の機関への協力でもなく、同意不要の例外事由のどれにも当たらない。よって本人の同意が必要となる。なお、あらかじめ利用目的として本部との共有を明示して同意を得ておく、または共同利用の要件 (共同利用する旨・項目・範囲・目的・管理責任者の通知または公表) を満たしておけば適法に共有できる。
不正解エ
反社会的勢力や業務妨害を行う悪質者の情報を企業間で共有するのは、「人の生命・身体・財産の保護に必要で、本人の同意を得ることが困難な場合」に該当する。当該本人に同意を求めること自体が現実的でなく、また同意を得ようとすれば被害防止の目的が達成できないため、同意なしの共有が例外として認められている。
ここがポイント
- 第三者提供の原則: 個人情報取扱事業者が個人データを第三者へ渡すには、あらかじめ本人の同意を得る (オプトイン) のが原則。別法人であれば、親会社・フランチャイズ本部・グループ会社であっても「第三者」に当たる点が頻出のひっかけ。
- 同意が不要となる 4 つの例外を覚える: (1) 法令に基づく場合 (令状に基づく捜査協力など)、(2) 人の生命・身体・財産の保護に必要で本人の同意取得が困難な場合 (反社・悪質者情報の共有など)、(3) 公衆衛生の向上・児童の健全育成に特に必要で本人の同意取得が困難な場合 (児童虐待情報の共有など)、(4) 国や地方公共団体への協力に必要な場合。
用語