第3回 ガイドラインとは何なのか？：個人情報保護法を読み解くキーポイント（1/3 ページ）

個人情報保護法を読み解くシリーズの第3回は、実際に個人情報保護法にのっとって対策を立てるにあたり重要となる、政府関係省庁から発表されている「ガイドライン」について解説する。

[牧野二郎（牧野総合法律事務所），ITmedia]

　政府関係省庁から、各産業に関する個人情報保護のためのガイドラインが順次発表されてきている。事業者としては、自らの事業活動に関連する監督官庁の作成するガイドラインが重要となるので、必ず参照し、検討しておかなければならない。

　今回は、行政の各省庁から出されているガイドラインについて検討する。

判断基準を示すガイドライン

　個人情報保護法の施行に際して最も困るのが、事業者はいったい何を行ったらいいのか、何を行うべきか、という問題である。法律自体には、事業者がなすべき具体的な行動内容、管理内容、注意義務の内容は全く書かれていないため、その基準を読み取ることができない。

　法律が記載しているのは、事業者は「必要かつ適切な措置を講じなければならない」とするのみ（個人情報保護法 20条、21条、22条）であって、極めて抽象的であり、いわば白紙委任となっているのが実態である。

　そのため、個人情報保護法は第7条において国は個人情報の保護に関する基本的な方向を定め、国や地方公共団体がなすべき基本的措置を定めるとし、さらに第8条において、事業者に関しては個人情報を適切に取り扱うための支援を行うこと、また、有効な実施のための「指針」の策定を行うとしている。ここにいう「指針」というのが、個人情報保護のためのガイドラインである。

　さらに、内閣総理大臣がそれぞれの産業分野の担当として、主務大臣を指定したものについては、各大臣がガイドラインを策定して、事業者を支援するものとしているのである（個人情報保護法　第36条）。

　ガイドラインは本来、努力目標のはずであった。しかし、現在は法律の解釈の部分も多く含んでおり、行政処分などの基本となるため、法律実施の基本的な方向性や、判断基準を示すと見るべき存在となっている。従って、事業者は、法律を具体的に解釈するものとして、各ガイドラインを検討の対象としておかなければならない。

　特に、経済産業省のガイドラインは「講じなければならない」と表記した部分と、「望ましい措置」とする部分を明確に区分している。「講じなければならない」とした部分に関しては、事業者は必ず行うべきものであって、これを怠慢した場合には行政処分などの対象となるものと考えられる。従って、行政指導、行政命令などへの対策を考える場合には、ガイドラインは必須のものとなる。

　各省庁は、それぞれの産業分野に関して、包括的なもの、あるいは各分野の特徴を考慮した個別のガイドラインを策定している。各省庁が策定したガイドラインは順次整備されているが、ひとまず把握できるガイドラインを以下に列挙するので、それぞれの事業者の属する部分を検討し、必ずダウンロードして参照していただきたい（政府関係省庁ガイドラインへのリンク集はこちら）。

ガイドラインのポイント