プライバシーマークコミュの直接書面によって取得する場合の措置について

初歩的な質問となることをお許しください
以前に「委託の形で個人情報を取得する場合の措置について」というタイトルでトピ立てさせていただいたものです

今日は、コンサルを招いて、Pマーク取得のための会議を行いました
弊社は印刷関係の業務を行っており、(1)印刷データとして個人情報を含んだものの預託を受けます
また、(2)店受けとして、お客様から住所・氏名等をお預かりして、年賀状や名刺等を作成します
(2)については、「個人情報を直接書面によって取得する」場合に相当するものになりますので“取り扱いについて記したものを書面にて明示して同意を得る”必要があると考えています
「旅館で宿帳を書く」「宛名と差出人を書いて宅配便を利用する」などと同様なケースと思い、同意を得る方法も、手間のかからない標準的な方法があるかと予想していました

コンサルにたたき台となる規定案を用意いただいているのですが、その中には社員から個人情報（人事情報）を取得する場合の措置のみしか書かれておらず、上記のケースに言及されていませんでした
同意を得るための方法について助言を請うたのですが、このようなケースの生じる業務について、コンサルの経験がないとのことでした

そこで、HPにて「プライバシーマーク付与事業者一覧」を眺めたところ、運輸関係の大手どころのヤマト・サガワ・日通等は載っていません　またPマークを取得している旅館の数もわずか７社ということでした
大手のホテルや宅配業者は、当然Pマークを取得しているものと予想していたので驚きでした
これも、現実問題として、個人情報を書いてもらうたびに同意を得ることが難しいということが原因の一つとなっているのでしょうか？

このように、店先で「個人情報を直接書面によって取得する」場合、Pマークの精神にのっとって行うためには、たとえば「注文受け票」等に“個人情報の取り扱いについて”の必要事項を記し、お客様にそれを渡しながら説明をして同意を得る作業が必要とされるのでしょう？
あるいは、運用上もっと手間のかからない方法があるのでしょうか？
Pマークを取る以上は、手間を惜しむなというお叱りの言葉を受けそうですが、これ以外の場面での負担も出てきていますので、除ける負担は除きたいと思い質問させていただきます

コメント(14)

最初
全て
最新の40件

[1] mixiユーザー 12月19日 01:15

大変失礼ながらヘボな、というか経験不足なコンサルさんに当たってしまっているようですね。お気の毒としかいいようがありません。それとも格安系にハマりましたでしょうか。

それはさておき、3.4.2.4のa)～h)の告知と、それへの同意、別に難しくないと思いますし、他社（しかも他業種の）を見習わなくても、御社として案を作ってみて、実際に店頭で実験されたらいがでしょうか？

3.4.2.4のa)～h)の告知をきちっとされることは、むしろ、明らかに顧客満足に繋がると思います。

「明示と同意」とは、噛み砕けば、取得の方法と同じやり方で告知してください、ということです。ｗｅｂで取得するなら、取得直前の画面で告知して同意ボタンを押していただくようにする。

紙の申込書なりであれば、申込書の上部等に印刷しておく、といった意味合いです。そして、「これこれ（3.4.2.4のa)～h)）に同意されたら、以下にご記入ください」等とすればよく、決して威圧的でもなんでもなく、処置可能と思いますよ。

印刷業は、Ｐマーク取得している事業者がすごく多いです。指定機関の日印産連にご相談されれば、もしかしたら業界標準か、少なくともサンプル的なものはあると思いますが、いかがでしょうか。日印産連所属のＰマーク審査員に知り合いもいますので、もしご希望等あれば個別にメッセージなりをください。

[2] mixiユーザー 12月20日 09:29

ozuさま

回答ありがとうございます

>紙の申込書なりであれば、申込書の上部等に印刷しておく、といった意味合いです。そして、「これこれ（3.4.2.4のa)～h)）に同意されたら、以下にご記入ください」等とすればよく、決して威圧的でもなんでもなく、処置可能と思いますよ。

このような方法ですよね
店受けでは、口頭で注文を聞いて預かり、校正ができたら連絡して見てもらうという方法で、定型の申込書もない現状です
Pマークの他のメンバーは、例示いただいた方法ですら煩雑（×頻繁）と考えているようで、社内の意識改革が必要だと思っています
「日印産連のサンプル的なもの」を調べてみたいと思いますが、入手が難しい場合にはozuさまにご相談させていただくかもしれません
その場合はご面倒ですがメッセージさせていただきます

>大変失礼ながらヘボな、というか経験不足なコンサルさんに当たってしまっているようですね。お気の毒としかいいようがありません。それとも格安系にハマりましたでしょうか。

自分たちの力不足を棚上げして、コンサルのせいにしたくはありませんが、コンサルにも不安を感じています
通常ではコンサルを見比べることは困難ですので…
たたき台となる規定案の検討中、「この書式の文書を実際に運用するのは大変ですよね」などと言うと「こんなの審査のパフォーマンスですよ」と返してくることが時にあります
ザックバランといえば聞こえがいいですが、やっぱり不安です
Pマークを取得するのは自社だという自覚が強くなることがメリットですが…

（後半のコメントはボヤキでした　恥ずかしながら）

[3] mixiユーザー 12月20日 16:02

しょせん、立派なコンサルさんでも、身内ではないので、最終的には自分たちでがんばるしかありません。

応援しますよ！

[4] mixiユーザー 12月20日 16:09

追伸。

http://www.jfpi.or.jp/publication/publication/keiei/privacy2.html

こんな本もあるみたいですね。

「様式例も豊富に掲載」とあります。

[7] mixiユーザー 12月21日 15:37

>今回の取得は、宛先が主と思われますので

ですか？？

差出人の住所・氏名、と思いますが。で、通常は直接書面取得。
間違いが生じないように、申込書に書いていただくと思われますので、申込書の様式を整えれば、十分3.4.2.4の告知事項を説明できると思います。

[8] mixiユーザー 12月21日 17:11

ちょっと整理しよう。

印刷業者甲が、個人顧客乙より、年賀状印刷の仕事を受注する。

この際、差出人として印刷するため、かつ納品時の連絡のために、
甲は乙の個人情報をいただく。

そして宛名を印刷するために、乙さんの友人たちである
aさん、bさん、cさん、dさん、eさんの名前と住所をいただく。

さてこの結果、甲の手元には6人分の個人情報が存在する。

そして乙さん以外の5人は、自分の個人情報が甲という印刷業者の手に
「いつ、どのような形で、何のために」渡ったかを全く知らない。

年賀状が届けば、それが家庭用プリンタではなく
印刷業者が手がけたことに気づくが、
それがどこのなんという業者なのかは知る術が無い。

個人情報保護法の精神によれば、どこにどんな問題があり、
それを解決するために何をすればいいだろうか？

- - - - - - - - - - - - - - - - - - - - - - - - - - - -
私見
差出人も宛先も、どっちも個人情報に変わりないんだから、
どっちが主かなんてことを論じること自体がナンセンスだと思う。

[9] mixiユーザー 12月21日 18:14

色々な場面が想定されるので、整理が難しいですね

(1)宛名情報の入ったデータをお預かりして印刷物を納品する
これは「バリアブルプリント」と呼ばれ最近増えている仕事です
「委託の形で個人情報を取得する場合」と考え、HP等で『個人情報の利用目的』に明記し公表することでクリアする予定でいます
委託元のお客様が、その個人情報を適正に取得していることが前提ですが…

(2)個人のお客様から自身の名刺や年賀状（本人の情報のみを記載）の作成依頼を受け、そのお客様の個人情報をお預かりして印刷物を納品する
トピ作成時は、この場面を想定しました
直接の取得ですので、適正な手続きを踏んで同意を得る予定でいますが、手間のかからない標準的な方法があればと思い、ご相談させていただいています

RYUIIIさま、ジェンカさまのご指摘のように、今後、いろいろなお客様（個人も含む）から、年賀状などで宛名印刷も併せたご依頼を受けることが考えられます
結果的に、私たち印刷業者がその宛名印刷に使用した個人情報を手に入れることになります
たぶんここのところが問題だと思いますし、このようなお客様がすべて適正な方法で個人情報を取得しているかを問えるかどうかが問題となりそうです

別トピ（「委託の形で個人情報を取得する場合の措置について」）にて ozu さま、ひとしさまから指摘・助言をいただきましたので、それを参考にしようかと考えていますが、みなさまのご意見をお聞かせください

[10] mixiユーザー 12月21日 20:09

まあ、乙以外の5人（乙の友人）については、
「3.4.2.5 個人情報を3.4.2.4 以外の方法によって取得した場合の措置」
に該当するから、〓RYUIIIさんの言うとおり、
自社サイトにでも書いておけば十分ですね。

さて、印刷後に乙さんに納品するのではなく、
発送まで請け負った場合はどうなるでしょう？
「本人へのアクセス」が適用されるのかな。
まあ委託だから、3.4.2.7のb）によれば、甲は特に何もしなくていいんだろうけど。

[12] mixiユーザー 12月23日 17:51

バリアブルプリント」ですか！　なるほど、そういう受託業務形態があるのであれば、これについては3.4.2.5ですね！

失礼しました。トピ立て内容からは、発信元の個人情報と判断したので。

[13] mixiユーザー 12月29日 20:47

さて、バリアブルプリントにて受け取った宛名データは、
個人情報であることには違いないのだが、
「個人データ」と言えるだろうか？

顧客から受け取った時点で五十音順にでも並んでいたら、
検索可能ってことになるのかな。
だとしたら、宛名リストは個人情報データベースか。

年賀状を納品してからは不要になるわけで、さっさと削除してしまうのが普通だろう。
（翌年の受注に備えて保管しておくというケースも無くはないが、
　ここでは削除するものとしよう。）

すぐに削除することが前提であれば、保有個人データにも該当しないはずですよね。
訂正や追加の権限だって無いんだし。

では、そんな宛名データが年末に一時的に5000件を超えてしまったら、
個人情報取扱事業者になるんでしょうか？

「印刷作業の委託」で受け取っただけの個人情報は、
「事業の用に供する」個人情報とは別モノでしょうか？

[14] mixiユーザー 12月29日 22:18

ジェンカさんの１３番は、個人情報保護法レベルでの疑問ですよね？

ＪＩＳでは、個人情報・個人データ・保有個人データ、という概念がありません。個人情報保護法の保有個人データとＪＩＳの開示対象個人情報が、ほぼ同一です。（６ヶ月未満云々の違いはありますが）

で、そもそも受託で取扱う個人情報は、保有個人データ／開示対象個人情報にはなりえません。

本人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の求めのすべてに応じることができる権限を有していないからです。

それから、

>では、そんな宛名データが年末に一時的に5000件を超えてしまったら、
>個人情報取扱事業者になるんでしょうか？

については、個人情報保護法レベルではその通りです。

>「印刷作業の委託」で受け取っただけの個人情報は、
>「事業の用に供する」個人情報とは別モノでしょうか？

受託で受け取っている、ということは、事業の用に供している、と考えられます。経産省ガイドラインの５～６ページあたりに解説されています。ご参考まで。

ログインすると、みんなのコメントがもっと見れるよ