Q. 業務の拡大で顧客（団体）の事務局業務を任されることになりました。個人情報の取扱 いでどんな点を注意すればいいですか？

当社はその団体の仕事で名簿の作成や印刷物の制作、発送代行を請け負っておりましたが、顧客から事務的な仕事全般の代行を打診され、よく存じ上げている永年の顧客ですのでお引き受けすることになりました。そこで、これまで事務局から単にお仕事を依頼されるだけの関係から比重が変わります。顧客と本人との関係を含めどんな点がポイントでしょうか？

A. 事務局業務の代行といっても個人情報の取得は“直接でない取得”であります（場合によっては”直接取得”もあり得ます）。まず取り扱う個人情報の種類を特定することから始めてください。

これまで、名簿、名刺、発送代行等だったと存じますが、事務局業務の代行となると電話、FAX、メールで顧客の会員との直接折衝があるでしょう。会員管理ではデータのメンテナンスも発生します。受注契約を交わす際に、取り決めで個人情報の授受はあくまでも「委託業務」であること。そして“直接でない取得”であることは、これまでと同様ですが責任は大きくなります。
貴社としては、個人情報の特定にあたり個人情報の種類（区分け）を明確化し、事務局代行上の台帳に記載し、貴社の社員が代行者として授受に携わるリスク分析を行ってください。コールセンター業務と似た形態です。各種個人情報の受付代行となれば、その受付内容の把握と応対方法について従業員教育を徹底し、管理面を強化しなければなりません。安全管理面で代行として取り扱う個人情報の範囲を定め、貴社の担当社員の役割を明確にしておく必要があります。業務上は貴社が情報発信を行うケースもあるでしょうし、個人情報の保管（顧客データベース維持・管理、名簿等の在庫、発送リスト等）、廃棄のルール化も定めなければなりません。
人からの問い合わせや苦情対応も含め、何よりも事前の顧客との打ち合わせと意思疎通が肝要です。そして、貴社のホームページに個人情報の利用目的を明記され、その中に事務局業務の代行を掲載し、委託された個人情報を取り扱う旨を記載しておいてください。

※リスク分析とは、取得・入力⇒移送・送信⇒利用・加工⇒保管・バックアップ⇒消去・廃棄に至る一連のライフサイクルに沿って、各業務のフローを作成し、その局面に応じたリスクを考え、対応策（ルール）を定めることです。リスクは人的及び物理的リスクだけでなく、法令、その他の規範、想定される経済的不利益、社会的信用失墜も含まれます。

Q. 本人の同意の確認は、どこまで必要ですか？

当社は仲間仕事や代理店さんから名刺や会員証といった仕事を下請けで受注しています。個人情報保護では「本人の同意」ということを求められていますが、当社では他にもオンデマンドでハガキや小物を処理しています。本人同意が必要となると、どの時点で確認すればいいんでしょうか？

A. 人情報に関する受注では「事業者は適法かつ公正な手段によって個人情報を取得しなければならい」とJISで定められています(個人情報保護法第18条)。下請の場合は、直接でない取得となります。

まず、貴社のホームページに個人情報の利用目的を明記され、その中に名刺、はがき、会員証印刷と云った営業品目を掲載し、委託された個人情報を取り扱う旨を記載してください。原則は下請であっても、委託元（発注者）に本人の同意が取られているのかを確認する必要があります。ただ、仕事を頂戴する立場で、あまり強く確認できないかもしれません。それでも顧客には「本人確認を取ってください」とお願いしてください。できれば、当初の契約段階で「委託される印刷物の個人情報は本人確認を得られたものを発注する」といった約束がなされれば結構です。それも無理であるならば、受注毎に委託元（顧客）との伝票に確認欄を設け、貴社でサインなりチェックをなさってください（プライバシーマーク付与事業所にはこの点を要求しております）。トラブルが発生した場合の担保となります。
ところで、貴社は受注している名刺や会員証のデータの保管・廃棄のルールを定め、安全措置は施されていますか？ リピート受注目的で保管しているならば顧客と充分、確認を取っておいてください。
また、最近は印刷通販、Web入稿の形で受注されるケースも増えております。当会会員企業でも通販事業やWebを介した営業展開をされております。そうした企業へは、Webではどのようなお仕事が飛び込んでくるかわからないので、特にプライバシーマーク付与事業所には、受注段階で、「本人同意のあるものを受注する」旨、明記し、本人同意を得ていないものは受注しないようにお願いしております。