問題 No.6609
A社は、顧客の氏名、住所、生年月日、電話番号などの個人情報を含むデータベースを事業として継続的に利用している。この場合、個人情報の保護に関する法律（個人情報保護法）における「個人情報取扱事業者」に関する記述として、最も適切なものはどれか。なお、A社が取り扱う個人情報の数は、過去のある時点においても、現在においても常に5,000人分を超えているものとする。
【正解の解説】
A社は、個人情報データベース等を事業の用に供しているため、保有する個人情報の過去における一日あたりの最多枚数が5,000人分以下であった期間が存在しない限り、原則として個人情報取扱事業者に該当する。
個人情報保護法における個人情報取扱事業者は、かつてあった「5,000人要件」が撤廃され、現在は1人でも個人情報データベース等を利用して事業を行っていれば原則として該当します。例外なく法律のルールを守る必要があるため、顧客リストをビジネスで使っている時点で、この厳しい規制の土俵に上がることになります。
スポンサーリンク
【その他の選択肢の解説】
A社は、取り扱う個人情報の総数が5,000人分を超えていれば事業としての継続性は要件とされないため、データベースを構築した時点で常に個人情報取扱事業者に該当する。
試験対策として非常に重要なのは、単に名簿の数だけでなく「事業として継続的に利用しているか」という点が法律の定義に不可欠であるという点です。偶発的や一時的な保有は対象外となるため、事業性の要件を無視したこの選択肢は典型的なひっかけ問題です。
A社は、個人情報データベース等の利用が事業目的の主たるものではないため、過去から現在に至るまで継続して取り扱う個人情報の数が5,000人分を超えていても個人情報取扱事業者に該当しない。
本業が飲食業や製造業であっても、その傍らで顧客のメールマガジンや会員名簿のデータベースをビジネスで使っていれば、メインの事業目的かどうかに関わらず法律の対象となります。「本業じゃないから関係ない」という言い訳は通用しない点が、初学者が陥りやすい大きな罠です。
A社は、すべての個人情報について本人の事前の同意を得て収集しているため、データベースを利用して事業を行っている場合であっても個人情報取扱事業者の例外事由に該当する。
「ちゃんと同意をもらって集めたから法律のルール（個人情報取扱事業者としての義務）は免除されるはず」と勘違いしがちですが、それは大きな間違いです。適法に収集された情報であっても、それをデータベース化して事業に使う以上は、厳格な安全管理措置などの義務を負うことになります。