特集改正個人情報保護法③ ～不適正利用等防止～

オプトアウト制度で提供する場合は提供先の氏名等の確認が義務に

　前回（本誌第2251号（2026年９月21日付））の特集「改正個人情報保護法② ～リスクに適切に対応した規律～」では、令和８年７月17日に公布された、「個人情報の保護に関する法律等の一部を改正する法律」（以下「改正個人情報保護法」という）の改正項目のうち、２「リスクに適切に対応した規律」を紹介した。 　今号では、３「不適正利用等防止」をみていく。 　現行では、個人情報取扱事業者は、例外規定（人（法人を含む）の生命、身体または財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合など）に該当する場合を除き、あらかじめ本人の同意を取得せずに、個人データを第三者に提供してはならない。 　ただし、一定の要件（第三者に提供される個人データについて、本人の求めに応じて提供を停止することとしている場合で、その名称や住所、本人の求めを受け付ける方法等について、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たとき）を満たした場合には、本人の同意を得ることなく第三者に提供することができる（いわゆる「オプトアウト制度」）。 　改正個人情報保護法では、「いわゆる『闇名簿』問題が深刻化する中で、オプトアウト届出事業者である名簿屋が、法に違反するような行為に及ぶ者にも名簿を転売する悪質な名簿屋に名簿を提供する事案が発生しており、オプトアウト制度に基づいて提供された個人データが『闇名簿』作成の際の情報源の一つとなっている現状がある」ことなどを踏まえ、『オプトアウト制度に関する規律』を新たに設けるとしている。 　具体的には、個人情報取扱事業者は、オプトアウト制度により個人データを第三者（国の機関、地方公共団体などを除く）に提供するときは、あらかじめ、「当該第三者の氏名、または名称及び住所並びに法人にあっては、その代表者の氏名」、「当該第三者における当該個人データの利用目的」──の確認を義務化するとされている。 　ただし、当該個人データの全部が、当該個人情報取扱事業者が当該個人データを取得した時点において、「本人」、「国の機関」、「地方公共団体」、「学術研究機関等」、「放送機関」──などにより公開されていたものである場合等は、上記の事項を確認する必要はないとしている。 　なお、個人情報取扱事業者から上記の確認を求められた第三者は、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならないとされている。

（編集部）