電話帳や名簿は「個人情報データベース等」にあたるか

※本QAの凡例は注のとおりです¹。

個人情報データベース等

　「個人情報データベース等」とは、個人情報を含む情報の集合物であって、①特定の個人情報をコンピュータを用いて検索することができるように体系的に構成したもの、または②コンピュータを用いないものであっても含まれる個人情報を一定の規則（例：五十音順）に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの、をいいます（改正前個人情報保護法2条2項、改正前個人情報保護法施行令1条、改正個人情報保護法2条4項、個人情報保護法施行令3条2項）。
　具体的には以下のものが「個人情報データベース等」に該当します（個人情報保護法ガイドライン（通則編）2-4）。

　「個人情報取扱事業者」の「個人情報データベース等」を構成する「個人情報」（個人情報保護法2条1項）は、「個人データ」（個人情報保護法2条6項）に該当します。
　「個人データ」に該当すると、個人情報取扱事業者は、①データ内容の正確性の確保（個人情報保護法19条）、②安全管理措置（個人情報保護法20条）、③従業者の監督（個人情報保護法21条）、④委託先の監督（個人情報保護法22条）、⑤第三者提供の制限（個人情報保護法23条）といった措置を講ずる必要があります。 　

改正の背景

市販の電話帳やカーナビゲーションシステム等

　市販の電話帳やカーナビゲーションシステム等のナビゲーションシステムに格納されている氏名、住所または居所の所在場所を示すデータなども、「個人情報データベース等」の定義に該当します。
　しかしながら、これらが市販されている状態のまま使用する場合は、たとえその中の情報が漏えいしたとしても、その漏えいにより個人の権利利益が害されることはほとんどありません。

　それにもかかわらず、「個人情報データベース等」の定義に形式的に該当するからといって、それを構成する「個人データ」についても安全管理措置等を要求することは個人情報取扱事業者にとって過度の負担になるものです。
　そこで、旧・経産省ガイドライン（平成26年12月12日厚生労働省・経済産業省告示第4号）では、以下のとおり、電話帳、カーナビゲーションシステム等について、その利用方法からみて個人の権利利益を侵害するおそれが少ないことから、個人情報取扱事業者の義務を課されないものと解釈する、としていました。

個人情報データベース等を構成しない個人情報

　なお、改正前個人情報保護法においても、「個人情報データベース等を構成する個人情報によって識別される特定の個人の数」から当該個人情報データベース等の全部または一部が他人の作成に係る個人情報データベース等であって、次のいずれかに該当するものを編集し、または加工することなくその事業の用に供するときは、当該個人情報データベース等の全部または一部を構成する個人情報によって識別される特定の個人の数を除かれることとされていました（改正前個人情報保護法施行令2条）。

　これらに該当するのは、以下のような事例です（旧・経産省ガイドライン2-1-3）。

改正内容

　全面改正後の個人情報保護法では、「個人情報データベース等」から、利用目的から見て個人の権利利益を害するおそれがないものとして以下の①から③までのいずれにも該当するものが「個人情報データベース等」から除外されることとされています（改正個人情報保護法2条4項、改正個人情報保護法施行令3条）。

　この改正内容は、上記2の旧・経産省ガイドラインの「電話帳、カーナビゲーションシステム等の取扱いについて」を法令上明文化し、市販の電話帳やカーナビゲーションシステム等のナビゲーションシステムに格納されている氏名、住所または居所の所在場所を示すデータ等が「個人情報データベース等」を構成しないことを明確化したものと考えられます。

　「①不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法または法に基づく命令の規定に違反して行われたものでないこと」の要件は、改正前の個人情報データベース等を構成する個人情報から除外される「不特定かつ多数の者に販売することを目的として発行され」（上記2-2）の要件を厳格化し、「その発行が法または法に基づく命令の規定に違反して行われたものでないこと」を要求しています。

　「②不特定かつ多数の者により随時に購入することができ、またはできたものであること」の要件は、改正前の個人情報データベース等を構成する個人情報から除外される「不特定かつ多数の者により随時に購入することができるものまたはできたもの」（上記2-2）と同じです。

　「③生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること」は、旧・経産省ガイドラインの「電話帳、カーナビゲーションシステム等の取扱いについて」において解釈上の個人情報データベース等から除外するための要件である「その個人情報データベース等を事業の用に供するにあたり、新たに個人情報を加え、識別される特定の個人を増やしたり、他の個人情報を付加したりして、個人情報データベース等そのものを変更するようなことをしていない」ことを法令上の明文にしたものと考えられます。

個人情報データベース等に該当する事例・該当しない事例

　個人情報保護法ガイドライン（通則編）2-4では、以下のとおり、個人情報データベース等に該当する事例・該当しない事例を示しています。

　広く一般に市販されている名簿等は、広く世の中に出回ることを目的として作成、利用されており、それを購入した事業者が当該名簿等をそのまま使用する限りにおいては、たとえ漏えいや第三者への提供等があったとしても、その行為により個人の権利利益の侵害する危険性が少ないことから、個人情報データベース等から除外することとしたものです（PC269）。

　電話帳については、無償で頒布される場合であっても、住んでいる場所以外の地域については不特定かつ多数の者に対して広く有料で販売されていることから、個人情報保護法施行令3条1項に該当し、個人情報データベース等から除外されることになります（PC271）。

　単に無償頒布されている名簿等やインターネット上で無料掲載されている名簿等は、市販されている名簿等に比べて作成、頒布した事業者が不明確であることが多く、意図せず漏えいした個人情報を利用したものである可能性もあることから、入手した事業者において安全管理措置が講じられる必要があると考えられるため、販売することを目的として発行された名簿等のみを、個人情報データベース等から除外することとされています（PC266）。

　同窓会名簿や自治会名簿等が規制なく流通すると、いわゆる名簿屋等に渡ることが考えられ、このような名簿等が個人情報データベース等から除外されることは、いわゆる名簿屋に対する規律を設け、個人情報の大量漏えいに歯止めをかけることの法改正の趣旨にそぐわないこととされています（PC269）。

名刺等の個人情報データベース等への該当性

　メールソフトのアドレス帳や一定の規則で整理された名刺については、従業者の私的な使用のみに用いられているのであれば、企業にとっての個人情報データベース等には含まれないと考えられます。しかし、従業者が企業における業務の用に供するために使用しているのであれば、企業の個人情報データベース等に該当することになり得ます（Q&A1-34）。
　従業者が業務上使用している携帯電話等の電話帳に氏名と電話番号のデータが登録されている場合、特定の個人情報を検索できるように個人情報を体系的に構成されているといえるため、個人情報データベース等に該当すると解されます（Q&A1-35）。