災害時の個人情報の取扱い

トップページ
審査基準・指針
PMS関連情報
災害時の個人情報の取扱い

災害発生時の個人情報の取扱いについてプライバシーマーク制度としての考え方をご案内しますので、参考としてください。

【表記について】
※各事項に記載される項番（Jから始まる番号）は、「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」（構築・運用指針）の各要求事項に対応しています。

災害時の個人情報の提供について

震災で負傷した社員の個人情報の提供

【事例】

震災で当社の社員数名が負傷しました。なかには意識不明の者もいました。救急隊に本人の氏名、性別、年齢、住所、緊急連絡先、勤務先、健康保険証情報等を書面で渡しました。救急隊からかかりつけの病院も聞かれましたが分かりませんでした。この場合、救急隊に本人の同意を得ないで本人の個人情報を提供してしまいましたが、構築・運用指針上は問題ありませんか。

【対応】

本人の同意がない限り個人情報を提供できないという誤解が多いようですが、「J.8.8 個人データの提供に関する措置」では、本人の同意がなくても例外事項に該当する場合は、本人の個人情報を提供できると規定しています。本件の場合は、例外事項としてJ.8.8のただし書きg）に規定されている“J.8.3 要配慮個人情報にあるただし書きb）”（※注）に該当しますので、本人の同意がなくても救急隊に負傷者の個人情報を提供することができます。個人情報保護法の第27条（第三者提供の制限）にも同様の規定があります。

※注：J.8.3にあるただし書きb)：人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

行方不明社員の個人情報の提供

【事例】

震災で当社の社員が行方不明になりました。安否確認のため本人の自宅や緊急連絡先さらには警察に問い合わせても行方が分かりませんでしたので、「災害・消息情報サービス」を運営している通信事業者のウェブサイトに掲載したところ、本人の知人からの情報で近くの病院に入院していることが判明しました。今回は、本人の同意を得ないで本人の個人情報をWEBサイトにて公開してしまいましたが、構築・運用指針上問題はありませんか。

【対応】

本件の場合も、前項と同様に「J.8.8 個人データの提供に関する措置」の例外事項 g）に規定されている“J.8.8 要配慮個人情報にあるただし書きb）”に該当すると考えられますので、本人の同意を得なくても本人の個人情報を通信事業者の「災害・消息情報サービス」サイトに掲載することは問題ないと考えられます。このような「災害・消息情報サービス」サイトは、不特定多数の者に閲覧されるため、本人の個人情報を掲載する場合は、その必要性を十分に検討した上で、サイト運営者の利用規約を遵守して掲載内容を決めるなど慎重な対応が必要です。
なお、今回のような震災の経験を踏まえて、緊急時対応策の一環として、あらかじめ通信事業者の「災害・消息情報サービス」サイトへの掲載などについても、社員から同意を得るなどの対応策を検討すると良いでしょう。

緊急連絡網について

緊急連絡網の配布

【事例】

震災を契機に、社員の緊急連絡網を整備し、全社員に配布したいと考えています。緊急連絡網には、社員個人の固定電話番号、携帯電話番号およびメールアドレスが含まれます。それを紙に印刷して配布することを検討しています。しかし、緊急連絡網の携行、自宅保管、個人の携帯電話のアドレス帳に登録するなど、会社として管理することは非常に困難です。このような想定で緊急連絡網を配布しても、構築・運用指針上は問題ありませんか。

【対応】

プライバシーマーク付与事業者であるため、緊急時に必要な連絡網の整備ができないというのでは支障が生じる場合があります。構築・運用指針は、適切な個人情報の取扱いを支援するための仕組みです。確かに社員に配布した後の緊急連絡網の管理は難しいと言えます。しかし、緊急連絡網が必要であると考えるのであれば、その利用目的、それが部外者にわたったときのリスクを理解させ、その取扱いに関する注意事項を徹底するなどの対策を講じた上で、実施すれば問題ないと思います。