通信販売会社が、顧客名簿に含まれる氏名と住所を、本人一人ひとりの同意を得ずに 提携先へ提供したいと考えている。個人情報保護法が認めるオプトアウトによる第三者 提供の方法として、最も適切なものはどれか。
正解：ア
ア提供する項目や方法をあらかじめ本人に通知等し、個人情報保護委員会に届け出た上で、本人の求めがあれば提供を停止する。
正解。オプトアウトは「事前に知らせて、断る機会を本人に渡しておく」仕組みです。 本人への通知等と委員会への届出、そして求めがあれば止めることがそろって初めて、 同意なしの第三者提供が認められます。
イ個人データを提供するたびに提供先と項目を示して本人から同意を得て、同意しない本人の分は提供しない。
誤り。これはオプトインで、第三者提供の原則の形です。確実な方法ですが、本問は 一人ひとりの同意を得ずに提供したい場面なので当てはまりません。同意を先に取るのが オプトイン、断る機会を渡すのがオプトアウトです。
ウ提供する個人データの氏名を伏字に置き換えることで、本人への通知や委員会への届出を不要にする。
誤り。これはデータマスキングという技術的な加工手法です。氏名を伏せても住所などから 本人を識別できるなら個人データのままで、第三者提供の手続は免除されません。加工の 技術と、提供のための法的手続は別の話です。
エ病歴や信条などの要配慮個人情報についても、通知と届出を行えば同じ手順で提供できるものとする。
誤り。要配慮個人情報はオプトアウトの対象から外されており、通知と届出を行っても 本人の同意なしには提供できません。不正に取得した個人データや、オプトアウトで 受け取った個人データの再提供も同様に対象外です。
「先に同意をもらう」か「断る機会を渡す」か
個人データを他社へ渡すときの原則は、本人からあらかじめ同意を得るオプトインです。 ただし何万人もの名簿では一人ひとりの同意取得が現実的でないため、法律は例外として オプトアウトを用意しました。「こういう内容を提供します。嫌なら言ってください」と 先に知らせておき、申出があれば止める。同意ではなく、拒否の機会を渡す方式です。
オプトアウトに必要なこと
- 提供する個人データの項目、提供の方法、本人の求めに応じて提供を停止することなどを、 あらかじめ本人に通知するか、本人が容易に知り得る状態に置く
- 同じ内容を個人情報保護委員会に届け出る（届出内容は委員会が公表する）
- 本人から停止の申出があれば、その本人の分の提供をやめる
例外の仕組みなので、使えない場面もあります。要配慮個人情報、不正に取得された個人 データ、オプトアウトによって受け取った個人データの再提供は、いずれもオプトアウトでは 提供できません。「オプトアウトの届出さえ出せば何でも渡せる」とは考えないことです。
混同しやすいものとの違い
| 用語 | 中身 |
|---|---|
| オプトイン | 事前に本人の同意を得てから提供する。第三者提供の原則 |
| オプトアウト | 通知等と届出を行い、本人が求めれば停止する例外的な方法 |
| データマスキング | 氏名などを伏字や置換で隠す技術的な加工手法 |
| 要配慮個人情報 | 病歴や信条など、オプトアウトでは提供できない情報 |
試験では「同意を取っているか」「断る機会を渡しているか」で両者を見分けます。 機微な情報が問題文に出てきたら、オプトアウトは使えないと判断してください。