個人情報の取扱いルール — 同意・第三者提供・加工

オプトインは、本人が前もってはっきり同意した場合にだけ、その人の情報を集めて使ったり案内を送ったりする方式である。

使い道を示したうえで本人に同意の操作をしてもらい、同意した人だけを対象にする。黙っている人や返事をしない人は対象に入らない。申込画面で本人が自分でチェックを入れて初めて配信先に加わる、といった仕組みが典型である。

たとえ出席と返事した人の分だけ席を用意する食事会に似ている。返事が届かなければ席は用意されない。

覚え方opt in は「中に入ることを選ぶ」。入口の扉を開けるのは本人自身。

この用語の過去問 3 題 オプトイン →

オプトアウトは、本人の事前の同意を待たずに個人情報の利用や送付を始め、本人から停止の申出があればやめる方式である。

使い道ややめ方をあらかじめ本人に知らせておき、申出があればその時点から利用や提供を止める。個人情報保護法でこの方式によって個人データを第三者に渡すときは、本人への通知などに加えて個人情報保護委員会への届出が要る。

たとえ地域の回覧板に似ている。最初から全戸に回し、要らないと言った家だけを回す先から外す。

覚え方opt out は「外に出ることを選ぶ」。はじめは中にいて、出口へ向かうのは本人の申出。

この用語の過去問 2 題 オプトアウト →

第三者提供は、事業者が持つ個人データを本人とその事業者以外の者に渡すことで、原則として本人の事前の同意が要る。

同意なしで渡せる例外として、例えば法令に基づく場合や、人の生命・身体・財産を守るために必要で本人の同意を得るのが難しい場合がある。これとは別に、業務の委託、合併などによる事業の承継、事前に本人へ通知などをしたうえでの共同利用に伴って渡す相手は、そもそも第三者に当たらない。

たとえ友人から預かった手紙を別の人に見せる前に、持ち主に断るのと同じ。ただし火事で本人に連絡がつかないときなど、断れない場面には別の扱いがある。

この用語の過去問 3 題 第三者提供 →

仮名化は、氏名などを別の記号に置き換え、他の情報と照合しない限り特定の個人を識別できないようにする加工である。

置き換えに使った対応表などと突き合わせれば元の個人にたどり着けるため、加工後のデータにも本人を特定できる余地が残る。個人情報保護法では、この考え方で基準に沿って加工したものを仮名加工情報と呼び、令和 2 年の改正で設けられた。仮名加工情報は事業者の内部での分析などに使うためのもので、原則として第三者には提供できない。

たとえペンネームで書く作家に似ている。読者には誰なのか分からないが、出版社の台帳を見れば本名が分かる。

覚え方「仮」は仮住まいの仮。本当の名前へたどる道が別に残っている、と読む。

匿名化は、特定の個人を識別できず、元の情報にも戻せないように個人情報を加工することである。

例えば氏名を削る、年齢を年代にまとめる、ほかに例の少ない値を除くといった加工を組み合わせ、他の情報と合わせても本人にたどり着けないようにする。個人情報保護法では、定められた基準で加工したものを匿名加工情報と呼ぶ。匿名加工情報は、作成や提供の際に含まれる項目を公表するなどの義務を守れば、本人の同意を得ずに第三者へ渡したり活用したりできる。

覚え方「匿」は匿う (かくまう) の字。かくまった人の行き先は、誰にもたどれない。

この用語の過去問 1 題 匿名化 →