⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

仮名加工情報利用に関する覚書

第1部: 書式本文

第1条(目的) 甲(提供元)は、社内分析等の目的で作成した仮名加工情報(以下「本仮名加工情報」という。)の取扱いを乙(委託先)に委託するにあたり、本覚書のとおり合意する。

第2条(加工基準の遵守) 甲は、本仮名加工情報の作成にあたり、個人情報保護法第41条第1項及び個人情報保護委員会規則が定める基準(特定の個人を識別することができる記述等の削除又は他の記述等への置き換え、個人識別符号の削除又は置き換え、不正に利用された場合に財産的被害が生じるおそれがある記述等の削除等)に従って加工したことを確認する。

第3条(利用目的の制限) 甲及び乙は、本仮名加工情報を、個人情報保護法第41条第3項及び第4項に基づき、利用目的の範囲内でのみ利用する。甲は、本仮名加工情報の利用目的についてあらかじめ公表又は本人への通知を行っている。

第4条(委託の性質) 甲は、乙に対し、本仮名加工情報の分析業務を委託する。当該委託は個人情報保護法第27条第5項第1号の委託に該当し、乙は甲の指示の範囲内でのみ本仮名加工情報を取り扱う。

第5条(第三者提供の禁止) 乙は、個人情報保護法第42条第1項及び第2項に基づき、本仮名加工情報を第三者(委託先としての取扱いを除く。)に提供してはならない。ただし、法令に基づく場合はこの限りでない。

第6条(識別行為の禁止) 乙は、本仮名加工情報を、他の情報と照合して特定の個人を識別する行為(削除された記述等又は加工方法に関する情報を取得する行為を含む。)を行ってはならない(個人情報保護法第41条第7項)。

第7条(連絡等への利用禁止) 乙は、本仮名加工情報に含まれる連絡先情報等を利用して、本人に連絡してはならない(個人情報保護法第41条第8項)。

第8条(安全管理措置) 乙は、本仮名加工情報の取扱いについて、削除情報等及び加工方法に関する情報に係る安全管理措置を含め、甲の指示する安全管理措置を講じる。

第9条(委託先の監督) 甲は、個人情報保護法第25条に基づき、乙による本仮名加工情報の取扱状況について定期的な報告を求める等、必要かつ適切な監督を行う。

第10条(委託終了時の措置) 委託が終了した場合、乙は本仮名加工情報及びその複製物を甲の指示に従い返還又は消去する。

第2部: 立場別・場面別の書き換えパターン

A. 提供元向け

A-1. 委託先による目的外利用の禁止の徹底

修正条文例:「乙は、本仮名加工情報を、甲が指定した分析目的以外のいかなる目的にも利用してはならず、甲は乙の利用状況について随時報告を求めることができる。」 一言解説: 委託先による目的外利用のリスクを抑えるため、報告請求権を組み合わせて監督の実効性を高める修正である。

A-2. 削除情報等の分離管理

修正条文例:「甲は、本仮名加工情報の作成に用いた削除情報等(元の記述等及び加工方法に関する情報)を、本仮名加工情報とは別に、乙がアクセスできない環境で管理する。」 一言解説: 仮名加工情報の識別リスクを最小化するため、削除情報等を物理的・技術的に分離管理する修正である。

B. 委託先向け

B-1. 委託範囲の明確化による責任限定

修正条文例:「乙が本覚書に基づき負う義務は、甲から提供された本仮名加工情報の分析業務に限られ、甲による加工基準の充足性については乙は関知しない。」 一言解説: 加工基準を満たしているかどうかの責任は本来提供元(甲)が負うべきものであり、委託先が二次的に責任を負わないようにする修正である。

B-2. 安全管理措置の具体的な範囲確認

修正条文例:「乙が講じるべき安全管理措置の具体的な内容は、別紙セキュリティ基準に定めるものに限るものとし、甲は当該基準を超える措置を事後的に一方的に要求しない。」 一言解説: 安全管理措置の範囲を事前に確定させ、事後の一方的な追加要求から委託先を保護する修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、令和2年改正個人情報保護法で新設された仮名加工情報制度を利用し、社内での分析等の目的で加工した仮名加工情報の取扱いを外部の委託先に委託する場面で用いる。仮名加工情報は、匿名加工情報と異なり第三者提供が原則として禁止されているため、外部提供を前提とするデータ活用を行いたい場合は、匿名加工情報としての加工を検討する必要があり、両者を混同して本書式を用いることは避けるべきである。

根拠法令 個人情報保護法第2条第5項は、仮名加工情報を、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報と定義する。同法第41条第1項は作成基準を、第3項及び第4項は利用目的の特定及び目的外利用の制限(ただし通常の個人情報よりも公表による目的変更が柔軟である)を、第7項は識別行為の禁止を、第8項は連絡等への利用禁止をそれぞれ定める。同法第42条第1項及び第2項は、仮名加工情報の第三者提供を、法令に基づく場合を除き原則として禁止する。仮名加工情報を第三者に取り扱わせる場合、それが個人情報保護法上の「委託」(第27条第5項第1号)に該当するときは第三者提供規制の対象外となるが、委託である以上、委託者は同法第25条に基づく委託先の監督義務を負う。

実務でよくある失敗と対策 第一に、仮名加工情報を外部の委託先に提供する行為を、匿名加工情報の提供と同様の感覚で行ってしまい、実際には第42条の第三者提供禁止に抵触するおそれがある行為をしてしまう失敗がある。第4条のようにあくまで「委託」の枠組みであることを明確にし、委託先が甲の指示の範囲内でのみ取り扱うことを条文上明記することが対策となる。第二に、削除情報等(元の記述等)と仮名加工情報を同一の環境で管理し、委託先が両方にアクセスできる状態にあることで、識別リスクが実質的に排除されていない失敗がある。A-2のように削除情報等を分離管理することが有効である。第三に、委託先が仮名加工情報に含まれる連絡先情報を用いて誤って本人に連絡してしまい、第41条第8項の連絡禁止に違反する失敗がある。第7条のように連絡禁止を明記し、委託先の担当者にも周知徹底する必要がある。

仮名加工情報の作成基準の充足性や委託の該当性判断は個別の加工方法とデータの性質によって異なるため、専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 本仮名加工情報が個人情報保護法上の加工基準(第41条第1項)を満たしていることを確認したか
• [ ] 利用目的の特定及び公表・通知の履行状況を確認したか
• [ ] 委託先への提供が「委託」(第27条第5項第1号)に該当し、第三者提供規制の対象外であることを確認したか
• [ ] 第三者提供の禁止(第42条)を委託先に周知したか
• [ ] 識別行為の禁止(第41条第7項)及び連絡等への利用禁止(第41条第8項)を明記したか
• [ ] 削除情報等及び加工方法に関する情報の分離管理を行っているか確認したか
• [ ] 委託先における安全管理措置の内容を別紙で具体化したか
• [ ] 委託先の監督(第25条)の方法(定期報告等)を定めたか
• [ ] 委託終了時の返還・消去義務を定めたか
• [ ] 匿名加工情報との違い(第三者提供の可否)を関係者が正しく理解しているか確認したか