スキップしてメイン コンテンツに移動

個人情報の利用目的の通知・開示の費用請求について

利用目的の通知・開示の費用は実費のみ


　個人情報保護の記事を書くのは久々ですね。なかなかネタが集まらなくて、書くことがありませんでした。


　さてさて、先日（本業のコンサルティングでの）お客様から「お客さんから個人情報の開示を郵送で求められた場合、いくら請求することができるのか？」と言った質問を受けました。結論から言うと、送料とメディア代くらいしか請求してはいけないんです。郵送で紙１枚を送るだけなら、全国一律500円程度にするのが妥当ではないでしょうか。注意する点としては、この手数料に社員の手間賃を含めてはいけないと言うことです。個人情報保護法にもあるように実費を換算して合理的と（主務官庁が）認められる範囲でしか手数料を徴収することはできないんですね。



第三十条　個人情報取扱事業者は、第二十四条第二項の規定による利用目的の通知又は第二十五条第一項の規定による開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。http://www5.cao.go.jp/seikatsu/kojin/houritsu/index.html

　主務官庁も厳しく手数料を確認しているわけではありませんが、本人からの苦情や相談があれば指導などをする場合があります。ある金融会社は、利用目的の通知に手数料として１万円を請求したようです。理由は社員の給料が高いからその手間賃を含めているとのこと。たしか、この会社に経済産業省と金融庁から指導が入ったと思います。



当ブログの本文は著作権により保護されていますが、商用利用を除きご自由に転送、転載していただいて構いません。できればトラックバックまたは出典を明らかにして頂ければ幸いです。

ラベル:

コメント

コメントを投稿

このブログの人気の投稿

個人情報保護法の違反した場合の罰則について

個人情報保護法がザル法だと言われている根拠のひとつが罰則の軽さですよね。 社会的信頼を失うから公表だけでも相当痛いですが。。。 ■個人情報保護法から抜粋 第五十六条　第三十四条第二項又は第三項の規定による命令に違反した者は、六月以下の懲役又は三十万円以下の罰金に処する。 第五十七条　第三十二条又は第四十六条の規定による報告をせず、又は虚偽の報告をした者は、三十万円以下の罰金に処する。 第五十八条　法人（法人でない団体で代表者又は管理人の定めのあるものを含む。以下この項において同じ。）の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、前二条の違反行為をしたときは、行為者を罰するほか、その法人又は人に対しても、各本条の罰金刑を科する。 ほかの法律を犯していると、重たい方が科せられますから一概に言えませんが、個人情報保護法だけだと、どんなに罪を犯しても３０万円ですむわけですね。
コメントを投稿
続きを読む

個人情報につける値段

アフラックの個人情報流出事件は約９億円の賠償金が必要 アフラックが１５万件の個人情報を流出させてしまいました。（以下、朝日新聞） 　アメリカンファミリー生命保険（アフラック）は２６日、約１５万人分の顧客の個人情報が入った業務用パソコン１台を紛失したと発表した。顧客の銀行口座や病気に関する情報などは含まれておらず、同社は「パソコンにはパスワードの設定や情報の暗号化がされており、第三者が情報を閲覧することは困難だ」としている。 　パソコンを紛失したのは、同社が販売委託している代理店「ツーサン」（東京都新宿区）の男性社員。紛失したパソコンには、約１５万人分の顧客の名前や住所、生年月日、性別などのほか、保険料や保障額などの契約内容も保存されていた。 　同社によると社員は１７日朝、東武東上線志木駅から電車に乗り、パソコンが入ったカバンを網棚に置いたまま席に座った。池袋駅で降りようとした際、カバンがなくなっていることに気づいたという。池袋署に被害届を出し、カバンは同日中に同線下板橋駅で見つかったが、パソコンはなくなっていた。 　同社は「これまでのところ、パソコンに保存されていた顧客情報にもとづく不正請求や照会などはない」と説明している。問い合わせはアフラックコールセンター（フリーダイヤル０１２０・５０６・４８８）へ。 http://www.asahi.com/national/update/0726/TKY200707260202.html さてさて、「パスワードの設定や情報の暗号化」がされており「第三者が情報を閲覧することは困難」な情報ですが、もしアフラックがお客さんから訴えられたらいくらの賠償金を払う必要があるのでしょうか？ソフトバンクの個人情報流出から慣例化している500円/人？それともTBCのように1.7万円/人？実は、NPO日本ネットワークセキュリティ協会が「2003年情報セキュリティインシデントに関する調査報告書」で概算金額を計算する公式を提案しているんですね。 損害賠償額＝基礎情報価値×機微情報度×本人特定用意度×社会的責任度×事後対応評価 基礎情報価値：５００円 機微情報度：（10^x-1+5^y-1）：２～１２５ X＝精神的苦痛レベル：1,2,3 Y＝経済的損失レベル：1,2,3 本人特定用意度：1,3,6 社会的責任度：1,2 事後対応評価：1,2 （出典：...
コメントを投稿
続きを読む

保有個人データに関する事項の本人への周知（法第２４条第１項関連）の政令について

個人情報法では、保有個人データについて次のように述べています。 法第２４条第１項 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。 １ 当該個人情報取扱事業者の氏名又は名称 ２ すべての保有個人データの利用目的（第１８条第４項第１号から第３号までに該当する場合を除く。） ３ 次項、次条第１項、第２６条第１項又は第２７条第１項若しくは第２項の規定による求めに応じる手続（第３０条第２項の規定により手数料の額を定めたときは、その手数料の額を含む。） ４ 前３号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの 実は、政令に詳細な内容が書かれているのですよ。 内容は次のような感じです。 政令第５条 法第２４条第１項第４号の政令で定めるものは、次に掲げるものとする。 １ 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先 ２ 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっ ては、当該認定個人情報保護団体の名称及び苦情の解決の申出先 ということは、保有個人データの取り扱いに関する苦情の申し出先は必要と言うことですな。
コメントを投稿
続きを読む