- 作成日 : 2024年3月18日
個人情報データベース等とは？該当するケースや法的な義務などを解説
個人情報データベース等とは、個人情報保護法で定義された重要な概念であり、同法による各種義務が課されるかどうかを分ける点でも重要な意味を持っています。
当記事ではその定義について解説し、具体的に何が個人情報データベース等に該当するのか、法律上定められている取り扱い方法についても併せて解説します。
目次
個人情報データベース等とは？
「個人情報データベース等」とは、個人情報を含み、それを体系的に整理した集合体を指しています。
定義は個人情報保護法に置かれています。
「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
つまり、個人情報が含まれていることを前提とし、さらに「ある特定の個人情報について体系的に構成され、検索ができるようになっていること」を個人情報データベース等の要件としています。
多くの場合はシステム上で検索ができるようになっていると思われますが、必ずしも電磁的に（コンピュータを使って）検索ができる必要はありません。何かしらの仕組み・工夫で整理されており検索ができる状態にあるのならこの要件を満たします。
個人情報データベース等に該当するケース
個人情報データベース等に該当するケースは多いです。さまざまな場面で、さまざまなものがこれに該当します。
個人の氏名や住所などの情報をデータベース上で管理することで容易に情報検索できるようにしている場合や、氏名・メールアドレスがスマホのアドレス帳に記録されたときにも、それが個人情報データベース等として成立することがあります。
また、受け取った名刺を一定の規則に従って整理している場合でも該当することがあります。仮にそれが「従業員各自が私的に管理しており企業のものではない」と評価されるのなら、例外として該当しません。しかし、業務上取得したものを私的利用のみを目的とする状況は考えにくいため、その例外にあたる可能性は低いでしょう。
なお、コンピュータ上に保管されている必要がなければ、管理システムの制限もありません。そのためExcelなどの表計算システムで個人情報を並べ、独自の方法でこれを管理しているときでも個人情報データベース等に該当し得ます。
個人情報データベース等に該当しないケース
システム上で体系化されている情報でも、その中身が個人情報でないときは個人情報データベース等には該当しません。また、個人情報が含まれていても、当該情報が体系的に構成されて検索できる状態になければやはり該当しません。
例えば、議事録をシステム上で作成、して管理しており、当該文書には会議に参加者した方の氏名が記載されているとしましょう。システム上、氏名を検索できるケースも多いですが、体系化はされていないことから個人情報データベース等に該当しないと通常は考えられます。
また、管理者自身が容易に検索できる状態でも、それが独特の方法によるものであり他者が操作したときに検索自体が困難であれば該当しません。「多数のハガキがあるが、乱雑に保管されている」という場合も、体系的に構成されていませんし、検索できる状態にはありません。
個人情報取扱事業者に課される義務
個人情報データベース等を持ち、これをビジネスに活用しているときは、同法上の「個人情報取扱事業者」に該当します。
そして個人情報取扱事業者に該当するときは、個人情報（個人情報データベース等を構成するときは「個人データ」と呼ぶ。）の取り扱いに関するいくつかの義務が課されます。
例えば次のような義務が挙げられます。
- 個人情報の利用目的をできる限り明確化すること
- 定めた利用目的の範囲を超えた取り扱いをしてはいけない
- 個人情報を取得するときは利用目的を通知・公表しないといけない
- 個人データを安全に管理しないといけない
※委託したときは委託先への監督義務も生じる - 本人の同意を得ず、第三者へ個人データを渡してはいけない
- 個人データについて、本人から開示を求められたときはそれに応じないといけない
- 「個人データの内容が事実ではない」と本人から訂正や削除を求められたときは応じないといけない
これらは個人情報取扱事業者に課される基本的な義務であって、別途状況に応じて発生する義務もありますので注意してください。
個人情報データベース等の取り扱いに関する注意点
個人情報データベース等の取り扱い、そして個人情報保護全般にもいえる注意点は「法改正が多く、定期的な知識のアップデートが必要」ということです。
最近では、個人データの開示方法に関してWeb上でのダウンロードなど電磁的記録の提供も必要に応じて対応しないといけなくなりましたし、個人データの保存期間に関わらず開示・利用停止・消去の対象となっています。
さらに、利用停止や消去を求めることのできる要件が緩和されたこと、漏洩事案が生じたときに個人情報保護委員会に知らせないといけなくなったことなど、より厳格化が進んでいます。
データの利活用を促進するため、事業者の義務を緩和する個人情報の枠組みが設けられた例も一部ありますが、改正に伴う変化の多くは事業者の義務による負担を増やしています。ペナルティがより重く設定された例もあり、個人情報を個人情報データベース等として構成するときは、その取り扱いに慎重にならなくてはなりません。
ほとんどの企業は個人情報データベース等を持っている
個人情報データベース等とは、個人情報を体系化し、容易に検索できるようにしたものを指しています。特別高度な仕組みにより構成されている必要はなく、ほとんどの企業がこの個人情報データベース等を持つと考えられます。
つまり多くの企業が個人情報取扱事業者に該当すると言い換えられ、個人情報保護法上のさまざまな義務を課されます。
以前は一定規模以下の企業なら適用が除外されていたのですが、法改正によりその規定もなくなりました。数年おきに法改正が実施されていますので、常に最新情報を追うようにし、法令違反のないよう留意しましょう。
※ 掲載している情報は記事更新時点のものです。
契約の知識をさらに深めるなら
※本サイトは、法律的またはその他のアドバイスの提供を目的としたものではありません。当社は本サイトの記載内容（テンプレートを含む）の正確性、妥当性の確保に努めておりますが、ご利用にあたっては、個別の事情を適宜専門家にご相談していただくなど、ご自身の判断でご利用ください。
