破産者情報をWebサイトに掲載している事業者に対し、個人情報保護委員会は2022年3月23日、個人情報保護法に基づく停止命令を出した。同委員会が同法に基づく命令を出すのはこれが3回目で、過去の2回も同様に破産者情報をWebサイトに掲載している事業者が対象だ。2022年4月施行の改正個人情報保護法で新設される「不適正な利用の禁止」では、事業者が取得した個人情報の利用目的が「不適正」とされるものの禁止を明確化する。どう変わるのか。
今回、同委員会が停止命令を出した事業者は、官報に掲載された破産者の氏名や住所などの個人情報をデータベース化し、Webサイトに掲載。命令は具体的には以下3点である。同サイトを通じた個人データ提供の停止、提供に当たっては本人同意を得るなどの措置をとること、措置の実施を同委員会が確認した通知を受け取るまでは同サイトを通じた個人データ提供を再開しないこと、である。
同委員会はこれまで3回にわたり、個人データの第三者提供に当たり本人同意の取得などの措置をとるよう同事業者に対し勧告してきたが、正当な理由なく対応がとられなかったとして今回、命令に踏み切った。
法目的に「差別の禁止」が事実上加わる
今回同委員会は、個人情報をデータベース化したうえで、破産者本人に同意を得ないでWebサイトに掲載し第三者に個人データを違法に提供しているとして、個人情報保護法第23条第1項違反とした。
一方、2022年4月以降は、同月施行の改正個人情報保護法で新設される「不適正な利用の禁止」違反になる可能性が高い。現行法では事業者があらかじめ特定した利用目的の範囲内であれば、たとえ「不適正」であっても個人情報を利用できた。これに対し、新設されるルールでは、不適正な利用に該当するものを禁止する。同委員会はこれを「法目的に照らして看過できないような相当悪質なケースを念頭に置いた規律」と説明している。
では不適正な利用とは何を指すのか。例えば同委員会がガイドラインで示す禁止対象の事例には、「裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合」として、破産者情報サイトのケースが明示されている。
ガイドラインではほかに5の事例を挙げている。ただ、行政法が専門で長谷川法律事務所の大島義則弁護士は、「ガイドラインで事例が示されているとはいえ、不適正な利用の明確な基準を決めてもらわないと対応する一般企業は困るだろう」と指摘する。
同委員会は不適正な利用の禁止について、「個人情報の不適正な利用による個人の権利利益の侵害を防止するのが趣旨で、法目的に照らして看過できないような相当程度悪質なケースを念頭に置いた規律」とするが、「不適正利用に該当するか否かは事案ごとに個別具体的に判断する必要がある」としている。
その「法目的」も分かりづらい。今回の改正では個人の権利利益の保護という法目的に変更はないが、大島弁護士は「今回、不適正利用の禁止が新設されたことで、『差別の禁止』という目的が事実上追加されてきており、その影響が第三者提供規制にまで波及していると考える」と指摘する。
今回の停止命令に当たり同委員会はプレスリリースで、命令の原因となる事実として本人同意を得ないで第三者に個人データを違法に提供していることに加え、「本件ウェブサイトでは、不特定多数人に容易に検索できる方法で、多数の破産者等の個人データが継続的に提供されており、これらの者が人格的・財産的な差別的取扱いを受けるおそれがある」とも言及している。
