個人契約のSNSに登録された個人情報の移管について

質問

ある、SNSサイトで5000人には満ちませんが登録ユーザを抱えています。
私が、忙しくなったため、他のユーザに管理者権限およびSNSサイトを運用している会社との契約を移管し、登録された情報の管理もお願いしようかと思っています。

1.5000人に満たないため、個人情報保護法に違反しない
2.私が運営しているので他の人に移管するのは違法

という二つの意見があります。

契約しているSNSサイトを運用している会社に問い合わせたのですが、返信がないため、契約者を第三社に変更することが良いのかどうかもわかりません。また、そういった件に関するFAQも存在しません。

私はどうしたら良いのでしょう。

日常生活に支障があるため、運用するのが厳しく運営を辞めたいのです。

SNSサイトを閉鎖することは避けたいため、どういう方法があるのかお教えください。

回答No.3

o24hi

No.1です。

　補足です。肝心なお答えを書くのを忘れていました。

>SNSサイトを閉鎖することは避けたいため、どういう方法があるのかお教えください。

◇もっとも慎重にするには
　最も慎重に，かつ，個人情報提供者への十分な配慮をするとすれば，No.2さんの方法が最も良いかと思われます。

◇一般的には
　一方，「個人情報取扱事業者」であっても，次の場合は提供の相手方は第三者とは扱われませんので，そこへの個人データの提供は自由にできます。「個人情報取扱事業者」にあたらないsnsuserさんでしたら，勿論，自由にできます。(法第23条)

（１）外部委託の場合
・「個人情報取扱事業者」が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合です。
　委託とは，「個人情報取扱事業者」が他の者に個人データの取扱に関する作業の全部又は一部を行わせる契約の一切を含むものを言います。
　例えば，外部のダイレクトメール業者に配信を依頼したり，データ処理会社にデータの打ち込みを依頼したりする場合です。
　委託の場合は，委託先は第三者とされませんので，本人の同意は不要です。

・なお，委託をする場合は，事前に委託先と機密保持契約を締結することが望ましいです。
　委託先からの漏えいについては，委託者にも損害賠償義務を負わせられる場合があるからです。(下記の「余談」参照)

（２）事業承継の場合
・今回は当たりませんが，合併その他の事由による事業の承継に伴って個人データが提供される場合です。

（３）共同利用の場合
・これも今回は当たりませんが，個人データを「他の個人情報取扱事業者」と共同で利用するために，個人データを提供する場合です。

・ただし，次の５点について，あらかじめ本人に通知し又は本人が容易に知り得る状態に置いている必要があります。
(1)　個人データを特定の者との間で共同して利用する旨
(2)　共同して利用される個人データの項目
(3)　共同して利用する者の範囲
(4)　利用する者の利用目的
(5)　個人データの管理について責任を有する者の氏名又は名称

・「本人が容易に知り得る状態」に置くとは，公表が継続的に行われている状態を言います。具体的には，「個人情報取扱事業者」のホームページ等に継続的に掲載することや，事務所の窓口等への掲示・備付け，パンフレットの継続的な配布などがこれに該当します。

◇結論

・今回のケースは，外部に委託するケースにあたると思われますから，例え「個人情報取扱事業者」であっても第三者への提供はできますから，「個人情報取扱事業者」でないsnsuserでしたら何ら問題はないことになります。

・ただ，情報提供者への配慮を考えますと，上記の「（３）共同利用の場合」に準じ，
(1)　個人データの管理を○○社に委託すること
(2)　委託する個人データの項目
(3)　委託を望まない方は連絡があれば委託をしないこと
をホームページに継続的に掲載し，掲載から一定期間後，(3)の申し出があった方を除き委託されればよいかと思います。

--------------
　以下余談です。　

>氏名、住所、性別、生年月日のいわゆる基本四情報を保有していて故意または過失で漏洩等した場合、民事で訴えられると１人について１万円の損害賠償責任を負うという判例があります。

・これは，京都府宇治市で，市民全員の住民登録情報が漏洩して裁判になったものです。
　案件は，市の委託業者のアルバイト職員が情報を持ち出し，いわゆる「名簿会社」に売ったというもので，訴えた方に対し一人1万円の賠償の判決が出て確定しました。

・意外と賠償金が低いのは，宇治市が早急に対応したことなどが斟酌されたと聞いています。
　具体的には，漏洩が判明してすぐに，市長自らが「名簿業者」に出向き変換を求めたそうです。

・私も，仕事上，何度か個人情報保護の研修会などに出席しましたが，必ずこの例は紹介されます。
　大体，氏名、住所、性別、生年月日のいわゆる基本四情報の「名簿業者」の購入相場は1件100円だそうです。
http://www.law.co.jp/cases/uji2.htm

回答No.2

pastorius

個人情報保護法には違反しませんから、訴えられて同法違反で罰金を課せられるってことは無いです。
どの程度の情報を保有しているかわかりませんが、氏名、住所、性別、生年月日のいわゆる基本四情報を保有していて故意または過失で漏洩等した場合、民事で訴えられると１人について１万円の損害賠償責任を負うという判例があります。メアドとハンドルネームぐらいではそんなことにはならないと思いますが、判例がないので何の賠償責任も負わないと保証できるわけでもありません。

移管手続きを取りましょう。
１．運営者変更について説明文書を作成する。
２．３ヶ月程度の猶予期間をもって移管の予告をする。
３．新しい管理者による個人情報取扱方針を作成・開示する。
４．移管する日までに、ユーザー情報の移管についてユーザーの同意を取得する。
５．移管する日までに同意を得たユーザーについては情報を渡し、同意しなかったユーザー情報は渡さない（利用したければ再登録してもらう）。

これぐらいやっとけばいいと思います。違法でなくてもこれぐらいはやっとくもんだと思います。

回答No.1

o24hi

こんにちは。

◇私の考え方

・まず，私の考え方を書かせていただきますと，原則として「1」と思われます。
　そうでないと，そもそも，「個人情報の保護に関する法律」(いわゆる個人情報保護法。以下，「法」と書きます。)と整合性が取れないからです。

・ただし，snsuserさんが「個人情報保護法」に準じた扱いを謳って個人情報を収集しておられましたら，法には抵触しないものの他の責任が生じる可能性があります。

◇説明

・法に定める「個人情報取扱事業者」は，お書きのとおり5000人以上の個人情報を取り扱う者と定められています(法施行令)。
　つまり，snsuserさんは「個人情報取扱事業者」ではないことになります。

・「個人情報取扱事業者」は，個人情報を収集する際には，使用目的を明示して収集する必要があり，その情報を他の目的に使用することは禁止され，また，集めた情報を適切に管理する義務があります。
　適切な管理のひとつとして，個人情報提供者の同意のない第三者への提供を禁止しています。

・つまり，「個人情報取扱事業者」でないsnsuserさんは「使用目的」や「収集した個人情報を目的外に使ったり第三者に提供しない」などと明示(いわゆる「プライバシーポリシー」に書かれているようなことですね)したうえで個人情報を収集する義務はありません。
http://www.asahi.com/kojinjoho/
　ということは，第三者に提供(「移管」も提供に当たると考えられます)することは，法に抵触しないと思われます。

◇考慮すべきと思われること

・ただし，snsuserさんは「個人情報取扱事業者」ではありませんから，上記のような「使用目的の明示」などの義務はありませんが，自主的に同様の取り扱いを謳って個人情報を収集されていたのでしたら，法には触れませんが，少なくとも道義的責任は生じると思われます。

・国の各省庁が，法の制定を受けて監督する業務について「ガイドライン」を作成していますので，それにも留意する必要があります。中には，5000人というハードルを下げているケースがあるからです。
　なお，「ガイドライン」は法律ではありませんので，法的な拘束力がないと思われるもの(「努力義務」を課しているものですね)もありますが，大臣名の告示をしているケースがありますから，遵守を求めているものと思われるものもあります。
http://www5.cao.go.jp/seikatsu/kojin/gaidorainkentou.html

参考URL：

http://www5.cao.go.jp/seikatsu/kojin/gaidorainkentou.html