個人情報の保護に関する企業の義務と責任

著者：パラリーガル ア.ノミン＝エルデネ

こんにちは。法律知識をわかりやすく、簡単にお届けすることを目的としたAKP法律事務所の定期ブログをご覧いただきありがとうございます。

今回のブログでは、「個人情報の保護に関する企業の義務と責任」について解説します。

本記事では、以下の内容をご紹介します。

個人情報とは何か？
企業活動と個人情報
個人情報を保護するための企業の義務と責任

個人情報とは何か？

朝起きてスマートフォンを開くと、名前や写真、位置情報など、さまざまな情報が画面に表示されます。また、インターネットで商品を注文する際には、氏名、年齢、住所、電話番号などの入力を求められます。

このような情報は日常生活では当たり前に取り扱われていますが、実は私たち一人ひとりを識別する重要な「個人情報」です。

個人情報は、個人を識別するための重要な情報です。氏名、生年月日、住所だけでなく、どのような音楽を聴くのか、どの店舗を利用するのかといった情報も、その人のアイデンティティを構成する要素となります。そのため、個人情報は単なるデータではなく、個人の自由、プライバシー、安全を守るための重要な情報として保護されています。

個人情報が何であるかは、国ごとに法律で定められています。モンゴルでも、この点は法律によって規定されています。

モンゴルの「個人情報保護法」第4.1.11条では、個人情報とは、個人のセンシティブ情報および父母の氏名、自身の氏名、生年月日、出生地、住所、位置情報、個人登録番号、財産、学歴、所属、電子識別子、個人を直接または間接的に特定できるその他の情報ををいうと定義されています。

1) 電子識別子- 電子識別子とは、デジタル環境において個人を識別するための情報をいいます。具体的には、情報システムのログインID、電子メールアドレス、SNSアカウント、有線・無線通信に関するアドレス、その他の端末や情報システム上で個人を識別できる情報が含まれます。例えば、メールアドレス、Facebookアカウント、銀行アプリのログインID、IPアドレスなどがこれに該当します。

2) 個人を直接特定できる情報- その情報だけで特定の個人を識別できる情報をいいます。例えば、個人登録番号や電子メールアドレスなどが該当します。

3) 個人を間接的に特定できる情報- 複数の情報源から取得した情報を組み合わせることにより、個人を特定できる情報をいいます。例えば、社員番号や車両登録番号などがこれに該当します。

4) センシティブ情報（Sensitive information）-センシティブ情報とは、人種、民族、宗教、思想・信条、健康状態、通信内容、遺伝情報、生体情報、電子署名の秘密鍵、犯罪歴、性的指向、性自認、性的行動などの情報をいいます。

i) 遺伝情報 - DNAなど、生物学的サンプルの分析により得られる、個人の身体的・遺伝的特徴に関する情報

ii) 生体情報 – 生体情報とは、端末、機器またはソフトウェアを用いて個人を識別できる、指紋、虹彩、顔、声、身体の動きの特徴など、個人の身体的特徴に関する固有の情報をいいます。

iii) 健康情報 - 個人の身体的・精神的健康状態や、医療サービス・治療の受診に関する情報

このように、個人情報には氏名や個人登録番号などの基本的な情報だけでなく、デジタル上に残る記録や身体的特徴なども含まれます。これらはいずれも個人を識別するための重要な情報であり、一人ひとりが固有の存在であることを踏まえ、適切に保護し、法令に従って取り扱うことが求められます。

次に、企業や組織がどのような場合に個人情報を収集・利用・処理できるのかについて見ていきましょう。

企業活動と個人情報
企業や組織は、次の場合に限り、個人情報を収集・利用・処理することができます。
1) 法律に基づく場合 – 法律により個人情報の収集・利用・処理が認められている場合
2) 労働関係において – 法律で定められた場合に、労働関係の過程において、情報管理者がその権利を行使し、義務を履行することを目的として。
3) 契約締結の場合 –契約の締結または契約上の義務を履行することを目的として。
4) 公開情報の場合 – 契約の締結または契約上の義務の履行を目的として。
5) 個人を識別できない情報である場合 – 歴史研究、学術研究、芸術・文学活動、オープンデータの作成、統計作成等を目的として、個人を識別できない形態で情報を収集、利用または処理する場合。
6) 本人の同意がある場合– 　上記のいずれにも該当しない場合には、本人の同意を得た上で収集・利用・処理を行う必要があります。
このように、企業や組織は、法令で認められた範囲内で、かつ、あらかじめ定めた目的のためにのみ個人情報を取り扱うことが認められています。これに違反した場合には、違反法および刑法に基づき法的責任を負う可能性があります。
個人情報保護に関する企業の義務とその責任
個人情報の保護は、単なる企業倫理上の問題にとどまらず、法令に基づく義務であり、その違反には重大な法的責任が伴います。
企業や組織は、個人情報を収集・保管・利用する際には、本人の同意や法令上の根拠を遵守しなければなりません。これらの義務に違反した場合には、違反法および刑法に基づき責任を負うことになります。
違反法第6条27項の規定によると：
- 当初同意を得た目的とは異なる目的で個人情報を利用した場合、個人には500,000トゥグルグ、組織には5,000,000トゥグルグの罰金が科せられます。
- 人間の関与なく電子的手段により個人情報を不適切に処理し、本人の権利または自由に悪影響を及ぼす可能性のある決定を下した場合も、同額の罰金が科されます。
- ただし、本人のセンシティブ情報を違法に取得、処理、第三者へ提供、または漏えいした行為が刑事責任を問われる程度に至らない場合には、より重い過料の対象となり、個人には2,000,000トゥグルグ、組織には20,000,000トゥグルグの罰金が科せられます。
刑法第13.10条および第13.11条では、より重大な結果をもたらし、社会に重大な悪影響を及ぼした場合、または損害額が大きい場合には、当該行為を違反行為ではなく犯罪として規定しています。特に、通信手段や電子機器を利用して行われた場合、または公務員が職務の遂行過程において個人の秘密を侵害した場合には、より重い責任を負うことが規定されています。
例えば、刑法においては、以下の罰則が定められています：
- 450,000〜27,000,000トゥグルグの罰金
- 1か月以上5年以下の移動制限
- 6ヶ月以上5年以下の懲役
  したがって、組織は個人情報を適切に保護するため、以下のような措置を講じる必要があります：
- 個人情報の収集・処理に関する内部規程を策定し、これを適切に運用すること
- 内部統制体制および情報セキュリティ対策について、年1回以上、専門機関または専門家による評価・監査を実施すること
- 従業員に対し、個人情報の取扱いに関する秘密保持義務および内部規程の内容を周知するため、定期的な研修を実施すること
  これらの取組みにより、企業は法的リスクを低減できるだけでなく、顧客や取引先からの信頼を維持・向上させることにもつながります。
  ただし、各法律や規定を自社の特性に合わせて導入・実施することは複雑であるため、専門の弁護士に相談することが最善の解決策です。