このようなデータと取得手段は個人情報に触れる?
《 登場人物 》
A:弊社
B:ユーザ(システム購入会社)
C:購入者(ユーザと取引をしてる末端顧客)
《 全体の流れ 》
弊社(A)で開発したソフトウェアを販売しようと考えております。
このソフトは業務支援システムで、販売先ユーザ(B)の日々の業務を支援するソフトウェアです。
※現在のところ、無償ではなく有償販売を計画しております。
このシステムの中の1機能に、帳票を作成する機能があります。
ユーザは帳票作成の為に、内容を入力または選択し、データを登録する作業を行います。
この作業を完了させ、ユーザはユーザの取引顧客であるエンドユーザー(C)へ出力後提出します。
《 データ送信プログラムの内容 》
帳票が完成した段階で、
この入力または選択したデータの中から、抜粋されたデータ(あらかじめデータの種類を指定)
をバックグラウンド作業(ユーザは画面上に変化が起こらないので分からない)
にて処理し、メーラーを使用して暗号化した後、弊社にデータを送信させます。
《 作成する帳票(分かりやすくする為に、見積書形式に致しました) 》
システムに登録されている顧客である
見本太郎さん
東京都港区六本木X-X-X
03-XXXX-XXXX
に対して、ご要望の
自宅の仕事環境整備
の為に、下記のような見積を作成した。
(1)S●ny V●io XXXX
123456円(税込)で2台
★仕入価格:74321(税込)
※既存のルーターを使うので、新規ルーターは不要。
(2)EPS●N 複合機プリンター XX
12345円(税込)で1台
★仕入価格:7432(税込)
※プリンターをつなぐケーブルが付属されていないので、サービスで付属。
(3)運搬費及び取付費用
を、750円(税込)で1式
★仕入価格:0(税込)
※1名でお伺いをして、据付まで行います。
補足欄
※キャンペーン価格の特価です。
※OS以外のソフトは含まれておりません。
《 指定する取得データ 》
(1)自宅の仕事環境整備
(2)S●ny V●io XXXX,123456,2,74321,既存のルーターを使うので、新規ルーターは不要。
(3)EPS●N 複合機プリンター XX,12345,1,7432,プリンターをつなぐケーブルが付属されていないので、サービスで付属。
(4)運搬費及び取付費用,750,1,0,1名でお伺いをして、据付まで行います。
(5)キャンペーン価格の特価です,OS以外のソフトは含まれておりません。
《 補足事項 》
※ソフトウェアの使用許諾同意書及び契約書にはこの送信機能の説明(条項)を入れることに致します。
※この抜粋するデータには、
生存する個人に関する情報は含まれておらず、当該情報に含まれる氏名等により特定の個人を識別することができる情報は取得いたしません。
※『特定できる個人の情報』ではありませんので、いずれの時点においても5000人など『人の数』では無く『案件の数』との解釈です。
※おそらく、ユーザ側ではセキュリティーソフトの関係上、最初にこのプログラムが作動する時に、
セキュリティーソフトの警告が表示されるはずです。全く警告が無い訳ではない。
※取得したデータは弊社のマーケティングデータとして活用します。
※取得したデータを加工し、有益情報として、無償か有償のどちらかでユーザ(B)に還元します。
※取得し加工したデータは、金銭を伴い第三者へ譲渡する場合が想定されます。
《 重要な論点 》
★上記の取得情報(の内容)及び取得手段(プロセス)は、
個人情報保護法ならびに個人情報の保護に関する法律に
規定される個人情報に対して問題か否か?
《 質問の内容 》
(1) このような条件で、この送信プログラムをソフトウェアに付帯した場合、
何らかの犯罪に当たり、罪に問われるものでしょうか?
(2) このようなデータを弊社がユーザを介して取得する場合に、
ユーザはエンドユーザに『利用目的の明示と本人の了解』を行う義務がありますでしょうか?
また、行う場合にはどのようなプロセスを弊社がユーザにお願いすることが適当でしょうか?
(3) このような情報を取得し加工したデータを第三者へ譲渡する場合があるとするならば、この取得情報(の内容)は、
『安全性の確保(流出や盗難、紛失を防止する)』に触れますでしょうか?
(4) 使用許諾書や契約書に、送信プログラムの説明を記載する場合、どのような文言が適当でしょうか?
的確なご指導を頂戴できますよう、何卒よろしくお願いいたします。
補足
有識者様から率直にご意見をお伺いできまして、 やはり質問をさせて頂いて良かったと心から感謝しております。 現在の構想で進めては、下記のような問題が必ずいつの日か起こりうると確信させて頂きました。 (1)使用許諾契約書などの文書で謳うだけでは不十分。 (2)その機能について、告知・ユーザの同意を得られていない、どのようなデータが送信されるのかユーザが確認できていないなら、スパイウエアと同様の悪質な機能。 (3)第三者への譲渡は控えるべき。 (4)ソフトウェアを購入する企業は、エンドユーザ(その企業の取引顧客)との取引手続きにおいて、 取引情報の提供について明示的にエンドユーザーの許可を得るように取引手続プロセスの変更を余儀なくされる可能性が十分にある。 (5) (1)(2)(3)(4)を踏まえて現状のプロセスでこの機能を付帯した場合、窃盗、個人情報の保護に関する法律に接触し、個人情報を収集する明らかな犯罪行為にあたる。 誠に恐縮ではございますが、 まだ、私の疑問にお付き合い頂けるようでございましたら、 下記のような場合のプロセスであったならばこの機能を付帯しても問題が発生することはありませんでしょうか? (1)使用許諾契約書とは別の書面、『付帯機能についての同意書(仮)』にこの機能の説明、機能が動くプロセス、その機能がもたらす便益等をユーザが 理解できるように説明をし、同意が得られなければ、この機能を外したバージョンを販売する。 (2) (1)のユーザは実際の業務上において、その機能が働き、データが送信される時点で、画面上に送信されるデータが表示され内容の確認が可能。 そのデータを送信しても構わない場合は、暗号化されたデータとして送信される。 (3)第三者への加工情報の譲渡は行わない旨、条項で謳う。 (4)使用許諾契約書とは別の書面、『取引情報取扱に関しての確認基本同意書(仮)』・・・購入する企業のガイドラインに違反しないことを確認した同意書 を交わし、法改正の都度、この同意書を交わす。 このようなプロセスでは、見解は全く違うものになりますでしょうか? 何卒、ご指導のほどよろしくお願い申し上げます。