※2025年6月1日より、改正刑法に基づき懲役刑および禁錮刑は「拘禁刑」に一本化されました。当ページでは法改正に基づき「拘禁刑」と表記していますが、旧制度や過去の事件に関連する場合は「懲役」「禁錮」の表現も含まれます。
個人情報保護法では、個人情報取扱事業者にさまざまな義務を課しています。
個人情報取扱事業者とは、原則として、個人情報データベース等を事業の用に供している者をいいます。
個人情報データベース等とは、個人情報を含む情報の集合物であって、次のいずれかに該当するものをいいます。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
このページの目次
Toggle利用目的の特定と目的外利用の制限
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければなりません。
利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて変更してはなりません。
また、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことは原則として禁止されています。
ただし、次のような場合には、本人の同意がなくても目的外利用が認められます。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
四 国の機関、地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
五 当該個人情報取扱事業者が学術研究機関等であり、当該個人情報を学術研究目的で取り扱う必要があるとき
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき
なお、学術研究に関する例外については、個人の権利利益を不当に侵害するおそれがある場合などに一定の制限があります。
不適正な利用・不正な取得の禁止
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはなりません。
また、偽りその他不正の手段により個人情報を取得することも禁止されています。
要配慮個人情報の取得
個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはなりません。
ただし、法令に基づく場合や、人の生命、身体又は財産の保護のために必要で本人の同意を得ることが困難な場合など、法律上定められた例外があります。
利用目的の通知・公表
個人情報取扱事業者は、個人情報を取得した場合、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、又は公表しなければなりません。
また、本人との契約の締結に伴って契約書その他の書面に記載された本人の個人情報を取得する場合など、本人から直接書面に記載された個人情報を取得する場合には、原則として、あらかじめ本人に対して利用目的を明示しなければなりません。
個人データの正確性の確保等
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければなりません。
また、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりません。
安全管理措置
個人情報取扱事業者は、取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために、必要かつ適切な措置を講じなければなりません。
また、従業者に個人データを取り扱わせる場合には、安全管理が図られるよう、必要かつ適切な監督を行わなければなりません。
個人データの取扱いの全部又は一部を委託する場合にも、委託先において個人データの安全管理が図られるよう、必要かつ適切な監督を行う必要があります。
個人データの漏えい等が発生した場合
個人データの漏えい、滅失、毀損その他の安全確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める事態が生じた場合、個人情報取扱事業者は、原則として個人情報保護委員会への報告を行わなければなりません。
また、一定の場合には、本人への通知も必要となります。漏えい等が発生した場合には、事態の内容に応じて、二次被害の防止などのため、本人への連絡や公表等の対応も求められます。
個人データの第三者提供
個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで個人データを第三者に提供してはなりません。
ただし、法令に基づく場合や、人の生命、身体又は財産の保護のために必要で本人の同意を得ることが困難な場合など、法律上定められた例外があります。
また、一定の要件を満たす場合には、本人の同意を得ることなく第三者提供を行うことができる制度もあります。
個人情報データベース等の不正提供・盗用に対する罰則
個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等を、自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用した場合には、刑事罰の対象となります。
この場合、1年以下の拘禁刑又は50万円以下の罰金が科されます。
この規定は、単に個人情報を不適切に取り扱った場合すべてを刑事処罰するものではなく、個人情報データベース等を対象として、自己又は第三者の不正な利益を図る目的で提供又は盗用した場合に成立する犯罪です。
