個人情報保護法に向けて(2)　利用目的の同意をきっちりとる

前回の「個人情報って何？」では個人情報取扱事業者にどういう事業者が該当するかみてきました。今回は利用目的の同意について考えていきましょう。

ネットショップでの事例

ネットショップでは受注した商品を配送するには住所、氏名、電話番号という個人情報が必要です。この個人情報は注文した顧客から入手し、商品を届けるために利用します。ある日、仲のよいネットショップ仲間から「この頃、売上が減少気味でDMを送りたいと思うのだが、新規顧客の開拓をしたいので、君のところの住所を少し分けてくれないか？」と申し出がありました。こういう場合あなたならどうしますか？

個人情報収集時には利用目的を通知

個人情報を収集する場合はあらかじめ利用目的を本人に通知し、同意を得る必要があります。ネットを使う場合は利用目的をホームページへ掲載したり、電子メールによる通知を行います。また本人が個人情報を入力する画面では送信ボタン等を押す前に利用目的が目にとまるようにします。

具体的にはプライバシーポリシーの説明ページを作成し、個人情報の入力ページからリンクします。つまり1クリックで利用目的が表示されるようにします。利用目的は具体的に記述しなければなりません。

利用目的の記述の仕方

また利用目的を偽ったり、不正な手段で個人情報を取得し、使用・開示すると不正競争防止法や刑事罰の対象になります。さて、冒頭の仲のよいネットショップから頼まれた件ですが、「他のネットショップに渡すこともある」と本人へ利用目的を通知していない限り、渡せません。もし渡すのであれば利用目的の変更通知と同意が必要となります。

利用目的の変更

利用目的を変更する場合、本人への通知と同意が必要となります。ただし本人が想定できうる範囲内の変更ならば大丈夫です。例えば「新商品案内をメールで行う」とホームページに掲載していましたが新たに「郵便でお知らせする」を付け加えるような軽微な変更は許容の範囲となります。

会社が合併、営業譲渡、分社等を行った場合は、今まで他社のものであった個人情報を扱うことになります。この場合は承継前の利用目的の範囲内で取り扱うことができます。業態が同じネットショップの２社が合併した場合、それぞれの顧客に新商品案内を送ると利用目的を通知し同意をとっていた場合は新商品案内を互いの顧客リストに送ることができます。

ただし全然、業態の違う２社が合併した場合は注意が必要です。例えば学習塾とネットショップの会社が合併し、学習塾では事前に成績管理のために個人情報を利用すると通知し同意をとっていたとします。この場合、ネットショップの新商品案内を学習塾が集めた個人情報リストへ送るのは利用目的の範囲外です。利用目的の変更通知をまず行い、再度同意を得る手順が必要です。

第三者への提供は必ず利用目的に記載する

個人情報を本人の同意なしで第三者へ提供することはできません。第三者への提供が想定される場合は、事前に利用目的に記載しておきます。

グループ会社なで共有する場合は個人情報を取得する際にあらかじめグループ会社で個人情報を共有すると利用目的に掲載しておきます。共有するグループ会社の名前も列記しておいた方がよいでしょう。

親会社、子会社間、グループ会社間、フランチャイズの本部と加盟店間で個人情報をやり取りする場合、第三者への提供とみなされますのでご注意ください。