特定個人情報の提供はどのように制限されているか

IT・情報セキュリティ

 特定個人情報の提供制限について教えてください。

 個人情報保護法では本人の事前の同意があれば第三者提供が可能です(同法23条1項1号)が、番号法においては本人の同意があっても第三者提供は認められません。事前の同意があっても、番号法違反になることに留意する必要があります。
 しかも、単に番号法に違反するだけではなく、故意による特定個人情報ファイルの漏えいとして、罰則の対象にもなり得ます。違反をした個人には、4年以下の懲役もしくは200万円以下の罰金または併科が科され(番号法67条)、その個人が所属する法人に対しては200万円以下の罰金刑が科されます(番号法77条1項)。

解説

目次

  1. 特定個人情報の提供制限
  2. 個人情報保護法上の第三者提供との違い
  3. 「提供」の意義
  4. 特定個人情報の提供ができる場合(番号法19条各号)
    1. 個人番号利用事務実施者からの提供(番号法19条1号)
    2. 個人番号関係事務実施者からの提供(番号法19条2号)
    3. 本人または代理人からの提供(番号法19条3号)
    4. 委託、合併に伴う提供(番号法19条5号)
    5. 情報提供ネットワークシステムを通じた提供(番号法19条7号、同法施行令21条)
    6. 特定個人情報保護委員会からの提供の求め(番号法19条11号)
    7. 各議院審査等その他公益上の必要があるときの提供(番号法19条12号、同法施行令26条、同施行令別表)
    8. 人の生命、身体または財産の保護のための提供(番号法19条13号)
    9. 個人情報保護法の規定に基づく提供(個人情報保護法25条、26条、27条)

特定個人情報の提供制限

 番号法19条は、「何人も、番号法で限定的に明記された場合を除き、特定個人情報を「提供」してはならない」と規定しています。

 事業者が特定個人情報を提供できるのは、社会保障、税および災害対策に関する特定の事務のために従業員等の特定個人情報を行政機関等および健康保険組合等に提供する場合等に限られます。また、金融機関が金融業務に関して特定個人情報を提供できるのは、支払調書等に顧客の個人番号を記載して税務署長に提出する場合等に限られます。

個人情報保護法上の第三者提供との違い

個人番号の提供の制限

 個人情報保護法では本人の事前の同意があれば第三者提供が可能です(同法23条1項1号)が、番号法においては本人の同意があっても第三者提供は認められません。したがって、従業員が親会社から子会社に転籍する際に、当該従業員が個人番号を子会社に提供することについて事前の同意をしていても、番号法違反になることに留意する必要があります。

 しかも、単に番号法に違反するだけではなく、故意による特定個人情報ファイルの漏えいとして、罰則の対象にもなり得るのです。
  違反をした個人には、4年以下の懲役もしくは200万円以下の罰金または併科が科されます(番号法67条)。
  その個人が所属する法人に対しては200万円以下の罰金刑が科されます(番号法77条1項)。

 また、第三者提供の例外として認められる「オプトアウト制度」(同条2項)や「共同利用の制度」(同条4項3号)は個人番号については認められません。

 したがって、特定個人情報の提供を求められた場合には、その提供を求める根拠が、番号法第19条各号に該当するものかどうかをよく確認し、同条各号に該当しない場合には、特定個人情報を提供してはなりません。

 特定個人情報の提供の求めが番号法19条各号に該当しない場合には、その特定個人情報を提供することはできません。なお、その特定個人情報のうち個人番号部分を復元できない程度にマスキングまたは削除すれば個人情報保護法における個人情報となりますので、個人情報保護法23条に従うこととなります。

「提供」の意義

 番号法上、「提供」とは、法的な人格を超える特定個人情報の移動を意味するものであり、同一法人の内部等の法的な人格を超えない特定個人情報の移動は「提供」ではなく「利用」に当たり、利用制限に従うこととなります。

 特定個人情報の「提供」にあたらない場合とあたる場合の具体例は以下のとおりです。

特定個人情報の「提供」にあたらない場合

 事業者甲の中のX部からY部へ特定個人情報が移動する場合、X部、Y部はそれぞれ甲の内部の部署であり、独立した法的人格を持たないから、「提供」には当たらない。
 例えば、営業部に所属する従業員等の個人番号が、営業部庶務課を通じ、給与所得の源泉徴収票を作成する目的で経理部に提出された場合には、「提供」には当たらず、法令で認められた「利用」となる。
特定個人情報の「提供」にあたる場合

 事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たる。同じ系列の会社間等での特定個人情報の移動であっても、別の法人である以上、「提供」に当たり、提供制限に従うこととなるため留意が必要である。
 例えば、ある従業員等が甲から乙に出向または転籍により異動し、乙が給与支払者(給与所得の源泉徴収票の提出義務者)になった場合には、甲・乙間で従業員等の個人番号を受け渡すことはできず、乙は改めて本人から個人番号の提供を受けなければならない。

 すなわち、同じ系列の会社間の出向であっても、出向先の会社で新たに当該従業員の本人確認をした上で個人番号を取得するのが原則です。

 もっとも、特定個人情報ガイドラインは、同じ系列の会社間等で従業員等の個人情報を共有データベースで保管しているような場合には以下のような例外的措置を認めています。すなわち、共有データベースにおいてアクセス制限がなされており、従業員等の出向に伴い、当該従業員の意思に基づく操作で出向先に移動させる場合です。

特定個人情報の適正な取扱いに関するガイドライン(事業者編)第4-3-(2)より

同じ系列の会社間等で従業員等の個人情報を共有データベースで保管しているような場合、従業員等が現在就業している会社のファイルにのみその個人番号を登録し、他の会社が当該個人番号を参照できないようなシステムを採用していれば、共有データベースに個人番号を記録することが可能であると解される。

上記の事例において、従業員等の出向に伴い、本人を介在させることなく、共有データベース内で自動的にアクセス制限を解除する等して出向元の会社のファイルから出向先の会社のファイルに個人番号を移動させることは、提供制限に違反することになるので、留意する必要がある。

一方、共有データベースに記録された個人番号を出向者本人の意思に基づく操作により出向先に移動させる方法をとれば、本人が新たに個人番号を出向先に提供したものとみなすことができるため、提供制限には違反しないものと解される。なお、この場合には、本人の意思に基づかない不適切な個人番号の提供が行われないよう、本人のアクセス及び識別について安全管理措置を講ずる必要がある。

また、本人確認については、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則」(平成26年内閣府・総務省令第3号。以下「番号法施行規則」という。)第4条または代理人が行う場合は同施行規則第10条に従って手続を整備しておけば、本人確認に係る事務を効率的に行うことが可能と解される。

特定個人情報の提供ができる場合(番号法19条各号)

 番号法19条各号においては、特定個人情報が提供できる場合として以下のように規定されています。

個人番号利用事務実施者からの提供(番号法19条1号)

 まず、個人番号利用事務実施者が、個人番号利用事務を処理するために、必要な限度で本人、代理人または個人番号関係事務実施者に特定個人情報を提供する場合があります。
 市区町村長(個人番号利用事務実施者)は、住民税を徴収(個人番号利用事務)するために、事業者に対し、その従業員等の個人番号と共に特別徴収税額を通知することができます。

個人番号関係事務実施者からの提供(番号法19条2号)

 個人番号関係事務実施者は、個人番号関係事務を処理するために、法令に基づき、必要な限度で行政機関等、健康保険組合等またはその他の者に特定個人情報を提供することとなります。
 事業者(個人番号関係事務実施者)は、所得税法226条1項の規定に従って、給与所得の源泉徴収票の提出という個人番号関係事務を処理するために、従業員等の個人番号が記載された給与所得の源泉徴収票を2通作成し、1通を税務署長に提出し、他の1通を本人に交付します。

 事業者の従業員等(個人番号関係事務実施者)は、所得税法194条1項の規定に従って、扶養控除等申告書の提出という個人番号関係事務を処理するために、事業者(個人番号関係事務実施者)に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出することとなります。

本人または代理人からの提供(番号法19条3号)

 本人またはその代理人は、個人番号関係事務実施者または個人番号利用事務実施者に対し、本人の個人番号を含む特定個人情報を提供することとなります。
 本人は、給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために、個人番号関係事務実施者である事業者に対し、自己(またはその扶養親族)の個人番号を書類に記載して提出することとなります。

委託、合併に伴う提供(番号法19条5号)

 特定個人情報の取扱いの全部もしくは一部の委託または合併その他の事由による事業の承継が行われたときは、特定個人情報を提供することが認められています。
 事業者が、源泉徴収票作成事務を含む給与事務を子会社に委託する場合、その子会社に対し、従業員等の個人番号を含む給与情報を提供することができます。

 また、甲社が乙社を吸収合併した場合、吸収される乙社は、その従業員等の個人番号を含む給与情報等を存続する甲社に提供することができます。
 なお、個人情報保護法においても、委託や合併に伴う個人データの第三者提供が認められています(同法23条4項1号、2号)。

情報提供ネットワークシステムを通じた提供(番号法19条7号、同法施行令21条)

 番号法別表第2に記載されている行政機関等及び健康保険組合等の間で、同表の事務に関し、情報提供ネットワークシステムを使用して特定個人情報の提供を行うものです。したがって、健康保険組合等以外の事業者は、情報提供ネットワークシステムを使用することはありません。

特定個人情報保護委員会からの提供の求め(番号法19条11号)

 個人情報保護委員会が、特定個人情報の取扱いに関し番号法52条1項の規定により特定個人情報の提出を求めた場合には、この求めに応じ、委員会に対して特定個人情報を提供しなければなりません。

各議院審査等その他公益上の必要があるときの提供(番号法19条12号、同法施行令26条、同施行令別表)

 ①各議院の審査、調査の手続、②訴訟手続その他の裁判所における手続、③裁判の執行、④刑事事件の捜査、⑤租税に関する法律の規定に基づく犯則事件の調査、⑥会計検査院の検査が行われるとき、⑦公益上の必要があるときには、特定個人情報を提供することができます。

 ⑦の公益上の必要があるときは、番号法施行令第26条で定められており、「私的独占の禁止及び公正取引の確保に関する法律」(昭和22年法律第54号)の規定による犯則事件の調査(番号法施行令別表第2号)、「金融商品取引法」(昭和23年法律第25号)の規定による犯則事件の調査(同表第4号)、租税調査(同表第8号)、個人情報保護法の規定による報告徴収(同表第19号)、「犯罪による収益の移転防止に関する法律」(平成19年法律第22号)の規定による届出(同表第23号)等があります。

 個人情報保護法では、個人データの第三者提供の例外として、「法令に基づく場合」が認められています(同法23条1項1号)が、番号法においては具体的な法令が限定列挙されています。

人の生命、身体または財産の保護のための提供(番号法19条13号)

 人の生命、身体または財産の保護のために必要がある場合において、本人の同意があり、または本人の同意を得ることが困難であるときは、特定個人情報を提供することができます。
 たとえば、客が小売店で個人番号カードを落としていった場合、その小売店は警察に遺失物として当該個人番号カードを届け出ることができます。

個人情報保護法の規定に基づく提供(個人情報保護法25条、26条、27条)

 なお、個人情報保護法25条に基づく開示の求め、同法26条に基づく訂正等の求めまたは同法27条に基づく利用停止等の求めにおいて、本人から個人番号を付して求めが行われた場合や本人に対しその個人番号または特定個人情報を提供する場合は、番号法19条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができます。

 個人情報取扱事業者でない個人番号取扱事業者が、本人からの求めに応じて任意に特定個人情報の開示を行う場合には、特定個人情報の提供が認められるものと考えられます。

 個人情報保護法第25条に基づいて開示の求めを行った本人に開示を行う場合は、支払調書等の写しを本人に送付することができます。その際の開示の求めを受け付ける方法として、書面による方法のほか、口頭による方法等を定めることも考えられます。なお、当該支払調書等の写しに本人以外の個人番号が含まれている場合には、本人以外の個人番号を記載しない措置や復元できない程度にマスキングする等の工夫が必要となります。

無料会員にご登録いただくことで、続きをお読みいただけます。

1分で登録完了

この実務Q&Aを見ている人はこちらも見ています

無料会員登録で
リサーチ業務を効率化

1分で登録完了

無料で会員登録する