【問60】個人情報保護士 練習問題｜適正な取得・利用目的の制限
問題文
要配慮個人情報の取得に関する次の事例のうち、本人の同意を得ずに取得することが認められるものとして、最も適切なものはどれか。
- 1.従業員の健康診断結果を、福利厚生サービスの充実のために本人に無断で健康保険組合から取得した。
- 2.採用候補者の犯罪歴を、採用判断のために本人に無断で調査会社から取得した。
- 3.災害発生時に、負傷した従業員の血液型情報を救急搬送先の医療機関に伝えるために取得した情報を、当該医療機関が本人同意なく利用する場合。
- 4.顧客の人種に関する情報を、マーケティングリサーチのために本人に無断で取得した。
解説
正解
正解は選択肢3です。
各選択肢の解説
選択肢1 → ❌認められない
健康診断結果は要配慮個人情報に該当する病歴等の情報を含み得ます。福利厚生サービスの充実は法定の例外事由に該当しないため、本人の同意を得ずに健康保険組合から取得することは認められません。
選択肢2 → ❌認められない
犯罪歴は要配慮個人情報に該当します（法第2条第3項）。採用判断のために本人に無断で調査会社から取得することは、法定の例外事由に該当しない限り認められません。
選択肢3 → ✅認められる
災害時に負傷者の生命・身体を保護するために必要な場合であって、本人の同意を得ることが困難であるとき（法第20条第2項第2号）に該当します。救急搬送先の医療機関が、負傷者の治療に必要な血液型情報等を本人の同意なく取得・利用することは認められます。
選択肢4 → ❌認められない
人種は要配慮個人情報に該当します。マーケティングリサーチは法定の例外事由に該当しないため、本人の同意を得ずに取得することは認められません。
背景知識
要配慮個人情報の取得について、法第20条第2項は原則として本人の同意を必要としていますが、例外として法令に基づく場合（第1号）、人の生命・身体・財産の保護に必要で本人同意が困難な場合（第2号）、公衆衛生・児童の健全育成に必要で本人同意が困難な場合（第3号）等が定められています。災害時や緊急医療の場面は、第2号の典型的な適用場面です。通常の業務遂行やマーケティングのための取得は例外事由に該当しません。
学習アドバイス
要配慮個人情報の取得の例外事由は、通常の個人情報の目的外利用の例外事由と類似していますが、より厳格に解釈されます。特に「本人の同意を得ることが困難」の要件は、単に手間がかかるだけでは満たされず、物理的に不可能な場合等を想定しています。事例問題で具体的な場面を判断できるようにしましょう。
まとめ
- 要配慮個人情報の取得は原則として本人同意が必要
- 生命・身体の保護のため必要かつ同意取得困難な場合は例外的に認められる
- 業務効率化やマーケティング目的では例外に該当しない