行政書士 一般知識 問21｜個人情報保護法の第三者提供・開示請求

誤りはエです。事業の承継に伴って個人情報を取得した事業者は、承継前の利用目的の達成に必要な範囲内であれば本人の同意なく取り扱えますが、その範囲を超えて取り扱うには、あらかじめ本人の同意が必要です（18条2項。法令に基づく場合等の18条3項の例外を除く）。同意なく範囲を超えて取り扱えるとするエは誤りです。ア（正）：27条1項が第三者提供の同意原則を定めます。イ（正）：オプトアウト方式（27条2項）は要配慮個人情報には適用されません（27条2項ただし書）。ウ（正）：33条は保有個人データの開示請求を定め、事業者は原則として遅滞なく開示しなければなりません（同条2項。拒否できる例外事由あり）。オ（正）：23条（安全管理措置）・24条（従業者の監督）に根拠があります。

エが誤りです。事業承継と利用目的については、18条2項が「個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない」と定めています。つまり、承継前の利用目的の範囲内での取扱いは同意なく可能ですが、その範囲を超える取扱いには本人の同意が必要です（法令に基づく場合など18条3項各号の例外を除く）。同意なく範囲を超えて取り扱えるとするエは誤りです。ア（正）：27条1項の第三者提供の同意原則。例外は同条1項1〜7号で、①法令に基づく場合（警察の照会等）、②人の生命・身体・財産保護のために必要かつ本人同意取得困難の場合、③公衆衛生向上・児童の健全育成のために特に必要かつ本人同意取得困難の場合、④国の機関等が法令の定める事務を遂行することへの協力の場合、⑤〜⑦学術研究機関等に関する場合です。イ（正）：オプトアウト方式（27条2項）は、要配慮個人情報には適用されません（同項ただし書。センシティブ情報の保護強化）。ウ（正）：開示請求を受けた事業者は、本人が請求した方法により「遅滞なく」保有個人データを開示しなければなりません（33条2項。本人等の生命・財産等を害するおそれがある場合などの例外あり）。オ（正）：23条（安全管理措置）・24条（従業者の監督義務）・25条（委託先の監督義務）が義務の体系を構成します。

【第三者提供規制の体系】

個人情報保護法における第三者提供の規制は、①同意原則（27条1項：原則として本人の同意が必要）、②例外（同条1項各号：法令・生命保護等）、③オプトアウト方式（27条2項：一定条件のもと本人の拒否機会を与えて提供可）、④委託・事業承継・共同利用（27条5項各号：これらは「第三者提供」に該当しない例外）という層構造で成り立っています。「委託」「事業承継」「共同利用」は第三者提供の例外扱いとされますが、目的外利用・安全管理の義務は継続します。第三者提供の記録作成義務（29条）と受領側の確認義務（30条）は「トレーサビリティ確保」を目的とする規定です。

【オプトアウト方式の詳細】

オプトアウト方式（27条2項）は、第三者に提供される個人データの項目・取得の方法・提供の方法・本人の求めに応じて提供を停止すること等を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときに、本人の同意なく第三者に提供できる仕組みです。主に名簿業者・DM業者等が活用してきました。現行法では、同項ただし書により、要配慮個人情報（イの正答根拠）に加え、20条1項に違反して取得されたもの、他の事業者からオプトアウトにより提供されたもの（その複製・加工物を含む）もオプトアウトによる提供の対象外とされています（いわゆる「横流し防止」）。

【本人の権利（開示・訂正・削除・利用停止等）】

本人は以下の請求をすることができます。①開示（33条）：自己が識別される保有個人データの開示を、電磁的記録の提供による方法など個人情報保護委員会規則で定める方法により請求できます。②訂正等（34条）：保有個人データの内容が事実でない場合の訂正・追加・削除。③利用停止等（35条）：18条・19条違反の取扱いや20条違反の取得があった場合の利用停止・消去（1項）、27条1項・28条違反の第三者提供があった場合の提供停止（3項）に加え、利用する必要がなくなった場合や26条1項本文の漏えい等の事態が生じた場合など、本人の権利又は正当な利益が害されるおそれがある場合にも利用停止等・提供停止を請求できます（5項）。開示請求を受けた事業者は「遅滞なく」開示しなければならず（33条2項）、法律上「何か月以内」という期間は定められていません。

【事業承継と個人情報の関係】

合併・会社分割・事業譲渡等の組織再編では個人データが大量に承継されます。承継に伴う個人データの移転自体は「第三者提供」に当たりません（27条5項2号）。そのうえで18条2項は、承継に伴って取得した個人情報について、承継前の利用目的の達成に必要な範囲内での取扱いを認める一方、その範囲を超える取扱いには「あらかじめ本人の同意」を要求しています（エの誤りの根拠）。例外は18条3項各号（法令に基づく場合、生命・身体・財産の保護のために必要で同意取得が困難な場合等）に限られます。なお、承継後に利用目的を変更する場合には、17条2項（変更前の利用目的と関連性を有すると合理的に認められる範囲）の制約と、21条3項（変更された利用目的の本人への通知又は公表）が適用されます。「承継」「変更」「同意」の三つの条文の関係を整理しておくことが重要です。

【根拠条文】

個人情報の保護に関する法律 第18条第2項（事業承継に伴う取得と利用目的による制限）・第3項（例外）、第27条第1項（第三者提供・同意原則）、第27条第2項（オプトアウト）・第5項第2号（事業承継は第三者に当たらない）、第33条（開示）、第35条（利用停止等）、第23条・第24条（安全管理・従業者監督）

※条番号は現行条文に基づく。

【補足】

エの誤りは「同意なく承継前の利用目的の範囲を超えて取り扱える」とした点。範囲内は同意不要、範囲を超えるには本人の同意が必要（18条2項）。オプトアウトが要配慮情報に不適用（イ正）と並んで出題頻度が高い。