問題 No.2681
ある企業が自社の保有する顧客の閲覧履歴や購買履歴などの個人関連情報を、本人の同意を得て別の企業へ提供しようとしています。この際、提供先の企業が当該情報を「個人データ」として取得することが想定される場合、個人情報の保護に関する法律（個人情報保護法）において、提供元の企業に義務付けられている対応として最も適切なものはどれか。
【正解の解説】
提供先の企業において本人の同意が得られていることを確認してから情報を提供すること
個人関連情報を渡す際、相手が個人データとして受け取るなら、例えるなら「他人に合鍵を渡す前に、持ち主の家主からちゃんと許可をもらったか確認する」のと同じように、本人の同意確認が法律で義務付けられています。知らぬ間に個人情報化されるのを防ぐための重要なルールです。
スポンサーリンク
【その他の選択肢の解説】
提供先の企業における利用目的の達成に必要な範囲に限定されていることを確認してから情報を提供すること
これは「利用目的の制限」という別の法的要件の混同を狙った引っかけです。利用目的を決めるのはあくまで受け取る側であり、提供元がその範囲までを事前確認する義務は個人関連情報の提供においては課されていないため不適切となります。
提供先の企業が個人データとして取得した後に本人からの苦情処理窓口を自社内に設置してから情報を提供すること
情報を受け取った企業がクレーム対応の窓口を作るのは当然の責務ですが、それを自社内に設置してから提供しなければならないというルールはありません。責任の所在を混同させるための典型的な出題者の罠なので注意しましょう。
提供先の企業が本人の同意を得る必要がないよう匿名加工情報に加工してから速やかに情報を提供すること
わざわざ別の難しい加工をしなくても、本人の同意さえ確認できれば個人関連情報は提供可能です。法律の原則をねじ曲げた過剰な対応を正解に見せかけるための典型的なダミー選択肢として用意されています。