◎個人情報保護法の概要

Ⅰ．立法目的

(1) 個人の権利利益を保護
○個人情報を取り扱う事業者に対し、「利用目的の通知または公表」、「第三者提供の制限」、「安全管理措置」、「情報の開示・苦情処理」等の義務を課すことにより、目的外利用を制限するとともに十分なセキュリティの確保をさせるなどして消費者の不安を払拭し、その保護を図ろうとしている。

(2) 個人情報の有用性に配慮
○個人情報の利用目的を対外的に明らかにさせることにより不適切な利用を排除する一方、個人情報の利用目的自体には原則として制限を設けず、また、その取得時には本人の同意を不要とするなどして個人情報の有用性に配慮し、保護と利用とのバランスを調整しようとしている。

Ⅱ．個人情報とは

○個人情報は、氏名、生年月日等に限らず、個人の身体、財産、職種、肩書き等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされているものや、映像、音声も含まれ、暗号化されているかどうかを問わない。また、収集する個人情報の項目については一応、特に法的な制限は設けられていない。

＜個人情報に該当する事例＞
① 本人の氏名
② 生年月日、性別、連絡先（住所・居所・電話番号・メールアドレス）
③ 会社での職位または所属に関する情報について、それらと本人の氏名を組み合わせた情報
④ 防犯カメラに記録された情報等本人が判別できる映像情報
⑤ 特定の個人を識別できるメールアドレス情報
⑥ 雇用管理情報（会社が従業員を評価した情報を含む）
⑦ 官報、電話帳、職員録等で公にされている情報（本人の氏名等）

Ⅲ．法の適用対象者

○個人情報データベースの定義
①特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合物
②コンピュータを用いなくても、紙面で処理した個人情報を一定の規則（例えば、五十音順、年月日順等）に従って整理・分類し、特定の個人を容易に検索することができるよう、目次、索引、符号等を付し他人によっても容易に検索することができるようにしたもの

○5,000人を超えるか否かを計算する際に算入除外となるもの
・事業の用に供するデータベース等が、①他人の作成によるもので、②氏名、住所または電話番号のみを含んでおり、③新たな個人情報を加えたり、他の個人情報を付加したりして、ベータベースを変更しない場合は、その個人情報データベースに含まれる個人の数は、「個人情報によって識別される特定の個人の数の合計」に算入されない
＜算入除外となる事例＞
① 電話会社から提供された電話帳及び及び市販の電話帳ＣＤ-ＲＯＭ等に掲載されている氏名及び電話番号
② 市販のカーナビゲーションシステム等のナビゲーションシステムに格納されている氏名、住所または居所の所在場所を示すデータ

Ⅳ．法の義務規定に違反した場合の罰則等

○違反の内容や重大な権利利益を侵害されて緊急性を要する等の事情によっては、勧告の手続を省いていきなり主務大臣から違反行為の中止や違反を是正する措置の実施命令が出されることもある。
○違反行為の中止や違反を是正するために必要な措置をとるべき旨の命令に違反した場合に初めて、罰則が課せられることになる。
○義務規定違反による上記行政・刑事処分と民事上の責任問題とは全くの別問題であり、別途、被害を受けた者からは不法行為を理由とした民事上の損害賠償請求がなされるおそれがある。

［個人情報保護法解釈上の注意点］
○法は、「個人情報」について、その範囲を明確に区分するため、規定内容に応じて以下のような「個人データ」、「保有個人データ」という用語をも使用いており、本資料もそれに従った解説を行なっている。しかし、こうした複数の表現は解釈を複雑にし、混乱を招くおそれがある。

▼「個人データ」－個人情報データベース等を構成する個人情報
▼「保有個人データ」－個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止を行なうことのできる権限を有する個人データ
⇒　一方、個人情報取扱事業者であるレンタル店が取扱う「個人情報」は、基本的に、「個人情報データベース等を構成する個人情報」そのものであり、かつ「個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止を行なうことのできる権限を有する個人データ」そのものでもあって、「個人情報」と「個人データ」、「保有個人データ」との間には、範囲及び内容において殆ど差異はないと考えられる。
⇒　従って、本資料においては、「個人データ」と「保有個人データ」という用語が出てきた際には、それらを「個人情報」と読み替えた方が法内容を理解しやすいと思われる。

◎個人情報取扱事業者の法的義務とレンタル店の対応

1．入会受付等に際する個人情報の取扱い

(1) 利用目的の特定

≪解　説≫
○個人情報の利用目的は、単に抽象的、一般的に特定するのではなく、最終的にどのような目的で個人情報を利用するのかを可能な限り具体的に特定する必要がある。
○違法行為に用いるとか犯罪者に提供するとかの場合は別として、個人情報の利用目的には原則として制限が設けられていないことから、特定さえすれば、ＣＤ・ビデオレンタル店が取得した個人情報をゲームソフトや書籍の販売等の他事業部門で利用することや、グループ会社やＦＣ本部等の第三者へ提供すること（但し、原則として本人の同意が必要 ⇒ 後記(2)3参照）なども、その利用目的とすることができる。
【具体的対応例】
◆以下のように表現すれば、ＣＤ・ビデオレンタル店における個人情報の利用目的を具体的に特定したことになると思われる。
＜具体的な利用目的の特定例＞
・『ビデオ、ＤＶＤ、ＣＤ等のレンタル及びそれらの商品管理のため』
・『ビデオ、ＤＶＤ、ＣＤ等の新作・新譜情報の提供サービスを行なうため』
・『当店の書籍販売事業部門より、新刊情報等の提供サービスを行なうため』
・『当店のグループ会社である○○社に対して会員の入会申込書記載事項及びレンタル履歴を提供し、会員のライフスタイルの分析を行なうため』
※「事業活動に用いるため」、「提供するサービスの向上のため」、「マーケティング活動に用いるため」等の抽象的な表現では、具体的に利用目的を特定しているとは言えない。
◆但し、一旦、利用目的を特定したならば、その範囲を超えた個人情報の利用は制限されることになるので、特定の際には慎重な検討が必要である。

(2) 利用目的の通知・公表

≪解　説≫
○レンタル店への入会時に入会申込書に必要事項を記載してもらうことは、枠内下段の「契約を締結することに伴なって契約書その他の書面に記載された本人の個人情報を取得する場合」に該当するため、あらかじめ、入会者に個人情報の利用目的を明示する必要がある。
＜明示に該当する事例＞
・利用目的を記載した書面（電子的方式、磁気的方式等による記録も含む）を相手方である本人に手渡し、または送付する場合
※この場合、例えば、会員規約の裏面等に利用目的が記載されていることを伝えるなどして、本人が実際に利用目的を目にできるよう留意しなければならない。

○レンタル店入会後、入会者のレンタル利用状況等について管理することは、枠内上段の「個人情報を取得した場合」に該当し、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を、本人に通知し、または公表しなくてはならない。
＜本人への通知に該当する事例＞
・店頭においては、口頭またはちらし等の文書を渡すこと
・電話においては、口頭または自動応答装置で知らせること
・隔地者間においては、電子メール、ファックス等により知らせること等
　　　＜公表に該当する事例＞
　　　　・店舗内における見やすい場所への掲示
　　　　・店舗内におけるパンフレット等の備え置きや配布
　　　　・自社のウェブ画面中のトップページから1回程度の操作で到達できる場所への掲載

○なお、例外的に、以下に該当する場合は、利用目的の本人への通知、公表、明示等の措置をとらなくともよいとされている。
▽利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
▽利用目的を本人に通知し、または公表することにより当該個人情報保護取扱事業者の権利または正当な利益を害するおそれがある場合
▽国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
▽取得の状況からみて利用目的が明らかであると認められる場合
【具体的対応例】
◆前記(1)で特定した個人情報の利用目的を、会員規約に記載し、入会者にその場で明示する（規約を手渡し、利用目的の記載がある旨を明確に伝える）。
◆個人データを第三者へ提供することをも利用目的としている場合は、原則として本人の同意を得ておくことが法的要件とされているので、会員規約に提供先や提供目的等を盛り込み、入会時に、併せて入会者の同意を得ておくとよい（後記2(3)参照）。

(3) 適正な取得

≪解　説≫
○個人情報を取得する際、利用目的を偽ったり、十分な判断能力のない子供から親の収入事情等を聞き出す等の不正な手段を用いることは禁じられているので、念のため注意が必要である。
【具体的対応例】
◆こうした義務に違反すれば、個人情報取扱事業者としての個人情報保護に関する基本的姿勢を問われ、社会的信用の失墜にまで至るので、内部におけるその周知徹底を図るとともに、個人情報の利用目的を特定する際には誤解の生じないよう十分な検討を行なうことが必要である。

(4) 入会時の身分確認について
≪解　説≫
○個人情報保護法では、前述した通り、収集してはいけない個人情報の項目は特に設けられていない。しかし、入会時の身分確認の際、運転免許証や健康保険証等のコピーをとるとすれば、利用目的の達成に不要な個人情報や、本来取得することが望ましくないとされる本籍等の「機微なる情報」をも取得してしまうことになり、仮に、こうした情報が漏えいした場合は大きな責任問題にまで発展する可能性がある。
＜機微なる情報に該当する事例＞
・思想、信条および宗教に関する事項
・人種、民族、門地、本籍地（所在都道府県に関する情報を除く）、身体・精神障害、犯罪歴、その他社会的差別の原因となる事項
・労働者の団結権、団体交渉、及びその他団体行動の行為に関する事項
・集団示威行為への参加、請願権の行使、及びその他の政治的権利の行使に関する事項
・保健医療及び性生活
【具体的対応例】
◆入会時の身分確認は入会者からの身分証明書の提示のみで済ますこととし、コピーは控えるようにすることが望ましい。

(5) 防犯カメラの設置について
≪解　説≫
○店内に防犯カメラを設置する場合、カメラに記録された情報など本人が判別できる映像情報も個人情報に該当し、その利用目的の通知ないしは公表等の措置が必要とされることになる。
【具体的対応例】
◆防犯カメラは必ずしも会員だけの映像を撮影するとは限らないので、会員規約に盛り込むよりも、店内に「当店は、防犯上の目的で、店内に防犯カメラを設置しております」との掲示をして置く。

(6) 会員規約へのその他個人情報保護関連記載事項について
≪解　説≫
○会員規約へは、前述の通り、個人情報の利用目的、及び個人データを第三者へ提供する場合はその旨を最低限記載して置くべきと考えられるが、その他、記載の検討対象となるものとしては、以下の2つが挙げられる。
▽「第三者への提供に該当しない個人データの共同利用に関する事項」（後記2(3)参照） ⇒　あらかじめ、本人に通知し、または本人が容易に知り得る状態に置くことが必要とされる（店内にパンフレットを置く程度でもよい）。
▽保有個人データの利用目的や開示の求めに応じる手続等の「保有個人データに関する事項」（後記4(1) 参照） ⇒ 本人の知り得る状態に置くことが必要とされる（店内への掲示、パンフレットの備え置き等が継続的に行なわれていればよい）。
【具体的対応例】
◆「共同利用に関する事項」については、後記2(3)の「具体的対応例」を参照。
◆「保有個人データに関する事項」については、後記4（1）の「具体的対応例」を参照。

(7) 既存会員に対する個人情報の利用目的等の告知について
≪解　説≫
○本年4月1日以前に入会した既存会員に対しても、保有個人データの利用目的や開示の求めに応じる手続等の「保有個人データに関する事項」（後記4(1）、レンタル履歴等の4月1日以降に新たに取得する個人情報の利用目的（前記(2)枠内上段参照）を知らせることが必要となる。
【具体的対応例】
◆「保有個人データに関する事項」については、4(1)の「具体的対応例」に従い、必要な措置をとればよい。
◆新たに取得する個人情報の利用目的についても、あらかじめ公表するか、取得後、会員に通知、または公表しなければならないことになる。他方、会員に知らせる上記「保有個人データに関する事項」には「保有個人データの利用目的」も含まれている。従って、新たに取得する個人情報と保有個人データの利用目的に違いがなければ、「保有個人データに関する事項」を所定の方法により会員に知らせて置くことにより、新たに取得する個人情報の利用目的については、別途の措置は必要ないとも考えられる（但し、第三者提供を利用目的とする場合は、この限りではない）。

2．個人情報利用上の制限等

(1) 利用目的の範囲を超えた利用

≪解　説≫
○例えば、個人情報の利用目的を『当社におけるビデオ、ＤＶＤ、ＣＤ等のレンタル及びそれらの商品管理のため』にだけと特定しているにも拘らず、会員に対し、例えば、同じ会社の通販事業部門から雑貨商品等のカタログを送付することは、利用目的の範囲を超えた個人情報の取扱いに該当することになり、あらかじめ本人の同意を得ることが条件となる。
＜本人の同意を得ている事例＞
・同意する旨を本人から口頭（電話を含む）または書面（電子的方式、磁気的方式その他、人の知覚によっては認識することができない方式で作られる記録を含む）で確認すること
・本人が署名または記名押印した同意する旨の申込書等の文書を受領し確認すること
・本人から同意する旨のメールを受信すること
・本人による同意する旨の確認欄へのチェック
・本人による同意する旨のウェブ画面上のボタンのクリック
・本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
○利用目的の範囲を超えた利用をする旨を会員に知らせ、「同意しない場合は申し出てください」との告知を行なって、何の連絡もなければ同意したとみなす方法も考えられるが、こうした方法は「同意してない」とのクレームがつくおそれがあるので極力回避すべきである（このことは後記(3)の第三者提供に関する同意の場合にも当てはまる）。
【具体的対応例】
◆先に特定された利用目的の範囲を超えた個人情報の利用をする際には、原則として、上記解説欄に記した方法により本人の同意を得ざるをえない。 ⇒　例外措置は後記（4）枠内参照
◆新たに個人情報の利用目的を追加したいというならば、会員規約にその利用目的を盛り込んで規約を改定し、会員に通知し、または公表すればよいと考えられる。但し、第三者への提供を新たな利用目的とする場合には、原則として本人の同意が必要である。
◆いずれにせよ、利用目的の範囲を超えた個人情報の利用は非常に煩雑な手続が必要である。従って、先ずは、最初に利用目的を特定する際に、想定される利用目的について十分な検討を行なっておくことが肝要である。

(2) 利用目的の変更

≪解　説≫
○先に特定した利用目的は、社会通念上、本人が想定することが困難でないと認められる範囲内で変更することは可能である。経済産業省の個人情報保護に関するガイドラインにおいては、変更として許容される事例として以下の参考例が掲載されている。
・「当社の行なう○○事業における新商品・サービスに関する情報を電子メールにより送信することがあります」との利用目的において、「郵便でお知らせすることがある」旨追加すること。
○また、変更した場合は、変更した利用目的を本人に通知するか、公表をすることが必要。
【具体的対応例】
◆利用目的の変更程度に該当する微修正ならば、公表などする措置も考えられるが、変更内容を会員規約に盛り込み、変更した会員規約を、会員に通知し、または公表すればよい。

(3) 個人データの第三者への提供

≪解　説≫
○一般的には、以下のような事例が個人データの第三者への提供に該当することになる。
▽親子兄弟会社、グループ会社の間で個人データを交換する場合
▽フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
▽同業者間で、特定の個人データを交換する場合
○個人データの第三者提供を行なう際は、あらかじめ、本人に対し、情報提供先、利用目的、提供情報項目等を通知し、本人の同意を得る必要がある。
＜個人情報の第三者提供に該当しない事例＞
・個人データ取扱いの業務委託を行なう場合
・合併等の事業承継に伴なって個人データを提供する場合
・個人データを他の特定された事業者と共同利用する場合で一定の要件を満たしているとき
○「本人が容易に知り得る状態」とは、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態に置いていることをいう。
＜本人が容易に知り得る状態の事例＞
・店内への掲示、パンフレットの備え置き等が継続的に行なわれている場合
・ウェブ画面中のトップページから1回程度の操作で到達できる場所への掲載等が継続的に行なわれている場合等
【具体的対応例】
◆他の事業者との個人データの共同利用を行なうことを利用目的とする場合は、所定事項を会員規約に盛り込んで本人に通知するか、または、本人の容易に知り得る状態におく。
◆共同利用等を除き、個人データの第三者への提供をも利用目的とする場合は、会員規約にその旨を盛り込み、本人の同意を得る。
◆利用目的の範囲を超えた個人データの利用と同様、個人データの第三者提供も煩雑な手続が必要であり、先ずは、第三者提供の必要性や目的、提供対象等に関し慎重な検討を行なうべきである。

(4) 犯罪捜査に際する個人情報の提供

≪解　説≫
○警察が犯罪捜査に際して、レンタル店に会員の個人情報の提供を求めてくることがありうるが、令状による捜査の場合は上記枠内①に該当し、第三者提供等の利用に際してあらかじめ本人の同意を得ることが要件とされていない（そもそも令状には強制力が伴なうので個人情報を提出せざるを得ないのだが）。
○問題となるのは任意捜査の段階だが、こうした場合は上記枠内④に該当し、同様に個人情報の提供には本人の同意が不要と考えられるとはいえ、捜査には強制力が伴なわないことから、個別に慎重な判断を行なうことが望ましいであろう。
【具体的対応例】
◆令状による捜査の場合は、会員の個人情報を警察に提出する。
◆任意捜査の段階においては、警察に個人情報を提供するか否かは個々の案件毎に慎重な判断を行なう。
※仮に任意捜査の段階で協力する方針であれば、会員規約に「警察、検察庁から捜査上求められた場合、氏名・住所・電話番号・生年月日・貸出作品名、貸出及び返却日時につき情報提供を行う場合がある」旨を記載して本人の同意を得ておけば、トラブルを防ぐことができる。

（5） 延滞金回収業者への依頼
≪解　説≫
○会員の長期延滞金の回収を民間業者に依頼する場合、その内容によって、会員の個人情報の第三者への提供が個人情報保護法上の「業務委託」に該当するのか、「第三者への提供」に該当するのかは不明だが、「業務委託」（前記(3)）であれば本人の同意は必要とされないし、「第三者への提供」に該当するならばあらかじめ本人の同意を得ておけばよいということになる。
○しかし、その一方、弁護士以外の者が法律事務を業として取扱うことは弁護士法で禁止されており、民間業者が延滞金を回収する行為は弁護士法に違反する恐れがあるとの指摘もなされている。
【具体的対応例】
◆仮に、民間業者による延滞金回収が弁護士法違反ということになれば、例え、民間業者に対する延滞会員の個人情報の提供について個人情報保護法上の手続をクリアーしているとはいえ、提供自体が問題化するおそれがあるので、慎重な対応が必要である。

3．個人情報の管理について

(1) 内容の正確性等の確保

≪解　説≫
○具体的には、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行なうことにより、個人データを正確かつ最新の内容に保つよう努めることが義務化されている。
【具体的対応例】
◆上記解説欄に記した方法により、保有する個人データを正確かつ最新の内容に保つように努める。但し、その際、個人データを一律にまたは常に最新化する必要はないので、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すればよいことになる。

(2) 安全管理措置

≪解　説≫
○取扱う個人データの漏えい、滅失または毀損の防止その他の個人データの安全管理のためには、以下の組織的、人的、物理的及び技術的な安全管理措置を講じることが必要である。
組織的安全管理措置
▽組織的安全管理措置とは、安全管理について従業者の責任と権限を明確に定め、安全管理に関する規程や手順書を整備・運用し、その実施状況を確認することをいう。
［組織的安全管理措置として講じなければならない事項］
　・個人データの安全管理措置を講じるための組織体制の整備
　・個人データの安全措置を定める規程等の整備と規程等に従った運用
　・個人データの取扱い状況を一覧できる手段の整備
　・個人データの安全管理措置の評価、見直し及び改善
　・事故または違反への対処
人的安全管理措置
▽人的安全管理措置とは、従業者に対する、業務上秘密と指定された個人データの非開示契約の締結や教育・訓練等を行なうこという。
　［人的安全管理措置として講じなければならない事項］
　　・雇用契約時及び委託契約時における非開示契約の締結
　　・従業者に対する訓練の実施
物理的安全管理措置
　▽物理的安全管理措置とは、入退館（室）の管理、個人データの盗難の防止等の措置をいう。
　［物理的安全管理措置として講じなければならない事項］
　　・入退館（室）管理の実施
　　・盗難等の防止
　　・機器・装置等の物理的な保護
技術的安全管理措置
▽技術的安全管理措置とは、個人データ及びそれを取扱う情報システムへのアクセス制御、不正ソフトウェア対策、情報システムの監視等、個人データに対する技術的な安全管理措置をいう。
　［技術的安全管理措置としてこうじなければならない事項］
　　・個人データへのアクセスにおける識別と認証
　　・個人データへのアクセス制御
　　・個人データへのアクセス権限の管理
　　・個人データへのアクセスの記録
　　・個人データを取扱う情報システムについての不正ソフトウェア対策
　　・個人データの移送・送信時の対策
　　・個人データを取扱う情報システムの動作確認時の対策
　　・個人データを取扱う情報システムの監視
【具体的対応例】
◆個人情報の漏えい等が発生した場合には、民事上の損害賠償責任を追及され、また企業としての社会的信用も失うなど甚大なダメージを被るおそれがあるため、上記解説に示したところに従い、レンタル店の業態に即した安全管理対策を早急に講じる必要がある。
◆経済産業省のホームページに「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」が掲載されており、Ｐ23以降に安全管理措置を策定・実施するに際して具体的に講じるべき事項等の説明があるので参考にするとよい。

(3) 従業者の監督

≪解　説≫
○個人情報事業者には、個人データの漏えい等を防止するため、前記(2)の安全管理措置を遵守させるよう、従業者に対して必要かつ適切な監督をする義務が発生する。
○なお、「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
【具体的対応例】
◆前記(2)の人的安全管理措置等の安全管理措置を講じ、従業者への周知・教育の徹底を図る。
◆就業規則に漏えい防止等の安全管理措置に関する事項を規定するとともに、パート、アルバイト、派遣社員等との間で守秘義務契約を締結しておく。

(4) 委託先の監督

≪解　説≫
○個人情報事業者には、外部に個人データの取扱いの全部または一部を委託する場合も、個人データの漏えい等を防止するため、前記(2)の安全管理措置を遵守させるよう、受託者に対する必要かつ適切な監督を実施する責任が生じる。
【具体的対応例】
◆委託契約の中に、個人データの取扱いに関して必要かつ適切な安全管理措置を盛り込むとともに、安全管理措置が適切に遂行されていることを、あらかじめ定めた間隔で確認する。
［委託契約に盛り込むことが望まれる事項］
・委託者及び受託者の責任の明確化
・個人データの安全管理に関する事項（個人データの漏えい防止・盗用禁止に関する事項、委託契約範囲外の加工・利用の禁止、委託契約範囲外の複写・複製の禁止、委託契約期間、委託契約終了後の個人データの返還・消去・廃棄に関する事項）
・再委託に関する事項（再委託を行なうに当たっての委託者への文書による報告）
・個人データの取扱い状況に関する委託先への報告の内容及び頻度
・契約が遵守されていることの確認（情報セキュリティ監査なども含む）
・契約内容が遵守されなかった場合の措置
・セキュリティ事件や事故が発生した場合の報告及び連絡に関する事項

4．保有個人データの公表・開示・訂正・苦情処理等

(1) 保有個人データに関する事項の公表等

≪解　説≫
○レンタル店の場合、個人情報保護法の完全施行（本年4月1日）以前の入会か、それ以降の入会かを問わず、全ての会員を対象として、「保有個人データに関する事項」を会員の知り得る状態に置くことが必要である（但し、保有個人データの第三者提供を行なう場合は、別途、会員の同意が必要となる）。
○「本人の知り得る状態」とは、パンフレットの配布、会員の求めに応じて遅滞なく回答を行なうこと、ウェブ画面への掲載等、会員が知ろうとすれば知ることができる状態に置くことをいい、常にその時点での正確な内容を会員の知り得る状態に置かなければならない。
＜本人の知り得る状態の事例＞
・問い合わせ窓口を設け、問い合わせがあれば、口頭または文書で回答できるよう体制を構築しておくこと
・店内にパンフレットを備え置くこと
【具体的対応例】
◆各店の都合により、「保有個人データに関する事項」を会員規約に盛り込み公表するなどの方法もあるが、パンフレットを作成して店内に備え置くなどしてもよい。

(2) 保有個人データの利用目的の通知

≪解　説≫
○前記（1）の公表措置や会員規約により利用目的が明らかな場合は、通知しなくともよい。
○利用目的を通知しない旨の決定をした場合は、遅滞なく、その旨を本人に通知する必要がある。
【具体的対応例】
◆保有個人データの利用目的については、前記（1）の公表措置をとるか、あるいは会員規約に盛り込んでおけば、別途の措置は必要ない。

(3) 保有個人データの開示・受付方法・手数料

≪解　説≫
○会員本人（又は一定の要件を満たした代理人）から開示請求があった場合には、その求めの範囲もあるが、原則として保有する当該本人の個人データ（属性、貸出履歴等）を全て開示する必要がある。但し、システムの関係で過去の貸出履歴の保存期間が限られている等の事情があれば、一定の月数分のデータしか開示できない旨を開示請求書等に記載して置くべきである。
○政令は、開示の求めを受け付ける方法として、以下の事項を定めることができるとしている。その際、本人に対して過重な負担を課すことのないよう配慮が求められる。なお、この受付方法を定めない場合は、会員の自由な申請を認めることになってしまうので注意が必要である。

①開示の求めの受付先
　⇒　店舗ないしは事務所等が考えられるが、この場合、担当責任者の氏名、所属、肩書き、連絡先等をも決めて置くべきである。
②開示の求めに際して提出すべき書面（電子的ないしは磁気的方式等のものも含む）の様式、開示の求めの受付方法
　⇒　提出書面には、開示請求者の特定に足る事項、開示を求める個人データの明確な範囲、請求目的等の記載欄を設けることが考えられる。
　⇒　受付方法については、本人確認の確実性から考えれば、来店や郵便による方法が適当である。なお代理人による請求の場合は、来店の場合のみに限定した方が安全である。
③開示の求めをする者が本人またはその代理人であることの確認方法
　⇒　本人来店の場合はその場で身分証明書の提示を求め、郵便ならば、開示請求書と一緒に身分証明書のコピー（場合によっては住民票の写しも）同封してもらうべきである。なお、代理人による来店請求の場合は、代理人の身分証明書、本人の身分証明書の写し、委任状の提出をしてもらうとよい。
④開示をする際に徴収する手数料の徴収方法
　⇒　手数料については、会員への情報の開示作業に係る経費等の実費を勘案して決めることになるが、1件あたり500円前後が妥当と考えられ、また、その徴収方法については、会員及び事業者双方にとって合理的な方法を定めればよい。

［その他の注意点］
▽開示請求された個人データの交付までに要する期間　⇒　法令には具体的な定めがないが、 2週間程度が妥当と考えられ、その旨を開示請求書等に記載して置いた方がよい。
▽開示請求された個人データの交付方法　⇒　安全性確保の観点から、本人確認を行なった上で店頭にて交付する方法や、書留郵便にて本人宛に郵送する方法等が考えられ、その旨を開示請求書等に記載して置くようにする。

○なお、例外的に、開示することにより次の各号のいずれかに該当する場合は、その全部または一部を開示しないことができるとされている。
①本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
②当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
③他の法令に違反することとなる場合
※不当な要求を繰り返す会員から、頻繁に個人データの開示を求められた場合、この種の請求に応じ続ければ、他のレンタル業務が立ち行かなくなる。こうした場合、上記②も「業務の適正な実施に著しい支障を及ぼすおそれがある」に該当するとして、その請求を拒否できることも可能となる。
○また、開示請求に対し、保有個人データの全部または一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならず、その理由についても説明するように努めることが必要とされている。
【具体的対応例】
◆会員からの個人データ開示請求により業務が混乱するのを防止するため、開示に応じる手続（手数料を徴収する場合は、その金額も）をきちんと定め、前記（1）に記載した方法により、それを会員の知り得る状態に置くようにする。

(4) 保有個人データの訂正等

≪解　説≫
○訂正等を行なったとき、または行なわない旨の決定をしたとき（理由の説明に努めることが必要）は、本人に対し、遅滞なく、その旨（訂正等を行なったときは、その内容を含む）を通知しなくてはならない。
○訂正等の請求に関しても、その請求を受け付ける方法を定めることができる（但し、これらの場合においては、手数料を徴収することの定めができない）。
【具体的対応例】
◆訂正等の請求に応じる手続をきちんと定め、それを、前記（1）に記載した方法により会員の知り得る状態に置くようにする。

(5) 保有個人データの利用停止・消去及び第三者への提供停止

≪解　説≫
○利用停止・消去または提供停止等を行なったとき、または行なわない旨の決定をしたとき（理由の説明に努めることが必要）は、本人に対し、遅滞なく、その旨を通知しなくてはならない。
○これらの措置の請求に関しても、その請求を受け付ける方法を定めることができる（但し、これらの場合も手数料を徴収することの定めはできない）。
○なお、これらの請求された措置の実施に多額の費用を要する場合その他これらの措置を実施することが困難な場合であって、本人の権利利益の保護するため必要なこれらに代わるべき措置をとるときは、請求された措置をとらないことができる。
【具体的対応例】
◆前記(3)の保有個人データの訂正等の場合と同様、利用停止等の請求に応じる手続をきちんと定め、それを、前記（1）に記載した方法により会員の知り得る状態に置くようにする。

(6) 個人情報取扱事業者による苦情の処理

≪解　説≫
○個人情報取扱事業者は、苦情の適切かつ迅速な処理を行なうに当たり、苦情処理の窓口や苦情処理の手順を定めるなど必要な体制の整備に努めなければならないが、一方では、無理な要求にまで応じなければならないものではない。
【具体的対応例】
　◆事業者は会員からの苦情に対して適切かつ迅速に対応できるよう、以下のような措置を実施し、社内体制を整備するように努める。
①個人情報保護管理責任者の任命
②個人情報苦情処理窓口の設置
③苦情処理マニュアルの整備、苦情処理担当職員の教育等

5．プライバシーポリシー及びコンプランイアンス・プログラムについて

(1) プライバシーポリシーの公表

＜プライバシーポリシーの記載内容参考例＞
① 事業の内容及び規模を考慮した適切な個人情報の取扱いに関すること
　ⅰ．取得する個人情報の利用目的
　ⅱ．第三者提供を行なう場合 ・利用目的に第三者提供が含まれていること ・提供する個人データの項目 ・第三者への提供の
　　　 手段または方法等
　ⅲ．共同利用を行なう場合 ・共同して利用される個人データの項目 ・共同利用者の範囲 ・共同して利用する者の利用目的 ・
　　　 共同して利用する者のうち、個人データの管理について責任を有する者の氏名又は名称
　ⅳ．以下の保有個人データに関すること ・自己の氏名又は名称 ・すべての保有個人データの利用目的 ・「開示等の求め」に
　　　 応じる手続（定めた場合） ・保有個人データの利用目的の通知及び開示に係る手数料の額（定めた場合） ・苦情の申出先
　ⅴ．開示等の求めに応じる手続に関すること ・申請書の様式（定めた場合） ・受け付ける方法（定めた場合） ・保有個人
　　　 データの特定に役立つ情報の提供
　ⅵ．問い合わせ及び苦情の受付窓口に関すること 。
② 個人情報の保護に関する法律を遵守すること
③ 個人情報の安全管理措置に関すること
④ コンプライアンス・プログラムの継続的改善に関すること

(2) コンプライアンス・プログラムの策定

また、個人情報取扱事業者は、プライバシーポリシー作成と併せて、その事業規模及び活動に応じて、個人情報の保護のためのコンプライアンス・プログラム(実践順守計画とも言い、保護方針、組織、計画、実施、監査及び見直し等を含むマネージメント・システム)を策定し、それを実施し、維持し及び改善を行なっていくことが望ましいとされている。 なお、その体制の整備に当たっては、日本工業規格 JISQ15001「個人情報保護に関するコンプライアンス・プログラムの要求事項」を、個人データの安全管理措置の実施に当たっては、日本工業規格 JISX5070「セキュリティ技術　－　情報技術セキュリティの評価基準」及び日本工業規格 JISX5080「情報セキュリティマネジメントの実践のための規範」等を参考にすることができる。

6．個人情報損害賠償保険について

現在、損害保険会社各社から、個人情報漏えい事故発生に伴う損害賠償責任を負担する等の不測の事態に備えて、個人情報を取扱う事業者を対象とした損害賠償保険が発売されており、こうした保険制度に加入するのもレンタル店における一つの個人情報保護法対策となりうる。

▽補償される範囲の一例
　・情報の漏えいに伴う被害者への損害賠償金（慰謝料、経済的損失への補償等）
　・弁護士費用等の争訟費用
　・謝罪会見・広告・文書費用
　・見舞い品費用
　・クレーム対応費用
　 ・漏洩時のコンサルティング費用等

＜主な個人情報損害賠償保険に関する問い合わせ先＞
□全国中央会個人情報漏えい賠償責任保険※：　同中央会　総務部　TEL03-3523-4901
　 （上記保険の保険料については、加入者数に応じた団体割引が適用される。）
□AIU保険：　同社営業開発部　杉山　TEL03-5619-3955
□ニッセイ同和損害保険：　カスタマーセンター　TEL0120-95-0055
□損害保険ジャパン：　最寄りの代理店　（http://www.sompo-japan.co.jp/）
□三井住友海上火災保険：　最寄りの代理店　（http://www.ms-ins.com/）

以上