正解：ア
各選択肢の解説
ア個人データだが保有個人データではないので、自社は安全管理措置を講じ、開示等の請求は委託元が対応する。
正解。データベース化して処理しているので個人データであり、受託した自社にも安全管理措置の義務があります。 一方、開示等に応じる権限は委託元にあるため、自社の保有個人データではありません。
イ自社のサーバで管理しているので保有個人データに当たり、開示等の請求には自社が直接応じる義務がある。
誤り。保有個人データかどうかは、データの置き場所ではなく、開示・訂正・利用停止等に応じる権限を 誰が持つかで決まります。手元にあると自分のものに見えるのが混同の原因です。 この契約では権限は委託元にあるので、委託元の保有個人データです。
ウ委託を受けて処理するだけなので個人データにも当たらず、安全管理措置の義務は委託元だけが負う。
誤り。個人データかどうかは、個人情報データベース等を構成しているかで決まり、委託かどうかは関係しません。 受託した側も個人データを取り扱う事業者として、安全管理措置の義務を負います。 委託元が受託者を監督する義務は、それとは別に重ねてかかります。
エ委託元から受け取った時点で第三者提供を受けたことになるので、本人の同意の有無を確認してから処理する。
誤り。利用目的の達成に必要な範囲で取扱いを委託するときの提供は、第三者提供に当たりません。 別の会社に渡るので第三者提供に見えますが、委託では受託者は委託元の目的のためだけに使います。 本人の同意ではなく、委託元による監督で守る仕組みです。
理解を深めるために
預かっているデータは「自分のもの」ではない
個人情報保護法は、個人情報・個人データ・保有個人データの三層で義務を変えています。 受託者の立場は、この三層の切れ目がよく見える場面です。給与計算の代行会社は、預かった 従業員データを自社のシステムで整理して処理しているので、データは手元にあります。 しかし、従業員から「自分の記録を見せてほしい」「直してほしい」と言われたときに決める権限は、 雇い主である委託元にあります。
なぜそうなっているのか
- 個人データ: 個人情報データベース等を構成する個人情報。検索できるよう整理して処理していれば、受託者の手元でも個人データになる
- 保有個人データ: 個人データのうち、開示・訂正・利用停止等のすべてに応じる権限を事業者が持つもの
- 受託者が保有個人データに当たるかは、委託契約でどんな権限を与えられているかで個別に判断する
そのため受託者は、漏えいを防ぐ安全管理措置は自分の義務として行い、開示等の請求が自社に届いたら 委託元に回して対応してもらう、という分担になります。委託元は、受託者を必要かつ適切に監督します。
混同しやすいものとの違い
| 判断の軸 | 当たるもの | この場面では |
|---|---|---|
| 開示等に応じる権限があるか | 保有個人データ | 権限は委託元にあるので当たらない |
| データベース等を構成しているか | 個人データ | 整理して処理しているので当たる |
| データを置いている場所 | 判断の軸ではない | 自社サーバでも結論は変わらない |
| 委託か第三者提供か | 委託なら第三者提供に当たらない | 同意ではなく監督で守る |
試験では「手元にあるか」で保有個人データを選ばせる誤答がよく置かれます。 権限が誰にあるかと、データベース等を構成しているかの2つの軸を分けて考えましょう。