質問

購買履歴のある顧客から、多くの事業者が個人情報漏洩をしており大変心配しているので、私の個人情報を消して欲しいと言われている。当社は、利用目的外ではあるが危機管理上（PL法等の理由）、全ての保有個人データを消去まではしていない。
しかし、情報の「利用停止」にとどめておき「消去」までは行わない場合には、もしも情報の漏えいが起こった時にこれら顧客から大変な苦情を頂く事が想定される。正直に事情を説明して、それでも消去するのか顧客に判断してもらい、削除対応するべきか？

助言

１．今回のケースは法的にはどのように整理すべきか？

個人情報保護法上、退会や契約終了のみを理由として、直ちに全ての個人情報を消去しなければならないとは整理されていません。
一方で、個人情報保護法第22条では、利用する必要がなくなった個人データについて、遅滞なく消去するよう努めなければならないとされています。
また、個人情報保護委員会も、利用目的との関係で保有する合理的な理由がなくなった個人データについては、適切に消去することが望ましい旨を示しています。

したがって、本件については、

* 当初の利用目的に基づく通常利用は終了しているのか
* 法令対応、PL法対応、苦情対応、紛争対応等の保存理由が存在するのか
* 保存理由に照らし、どの情報をいつまで保有する必要があるのか

を個別に整理することが必要であると考えます。

単純に「退会したから即消去」、「保存理由があるから無期限保存」のいずれでもなく、利用目的と保存理由に基づいて判断すべき問題と考えます。

２．顧客対応として、削除できないと考える理由を正直に説明したうえで、顧客に消去するか改めて判断してもらい、削除対応するべきか？

私は基本的にはそのような対応が望ましいと考えます。

例えば、

* 現在のサービス利用は停止していること
* マーケティング利用は停止していること
* DMやメール配信は停止していること
* 法令対応や過去取引に関する問い合わせ対応等のために保存していること
* 保存期間終了後は消去する予定であること

を説明したうえで、本人に理解していただく努力を行うことは重要だと思います。
ただし、この説明によって本人が「それなら保存してもよい」と考えるかどうかは別問題です。
事業者側が合理的と考える保存理由であっても、本人が十分な安心感を持てない場合もあるため、単に法的根拠を説明するだけではなく、どのように管理し、誰が利用し、いつ消去するのかまで含めて説明することが求められると思います。

３．消去しない場合、他に考え方はあるか？

必ずしも「保存を継続する」か「完全消去する」かの二択ではないと思います。

例えば、

* マーケティング利用停止
* DM発送停止
* メール配信停止
* 第三者提供停止
* 通常業務での参照停止
* アーカイブ領域への隔離保管
* アクセス権限の大幅な制限

などを実施し、通常利用と切り離した状態で保管する方法も考えられます。
また、事故調査や紛争対応のため保存が必要な場合であっても、通常業務で利用するデータベースとは分離し、保存目的を限定した管理を行うことが望ましいと考えます。

４．最後に

今回の件については、法令解釈や権利対応だけでは整理しきれない重要な視点があると考えています。
それは、
「なぜ本人はそこまで消去を求めているのか」
という視点です。
近年、大規模な個人情報漏えい事案が相次いで報道されています。

そのような状況で本人が退会後の個人情報の消去を求める背景には、
「これ以上その事業者に自分の個人情報を預けておきたくない」
という不安が存在している場合があります。

事業者側は、
*       PL法対応
*       苦情対応
*       紛争対応
などの保存理由を説明します。

もちろん、その説明自体は合理的である場合もあるでしょう。
しかし本人の立場から見ると、
その事業者の商品・サービスから得られる価値
と
その事業者が自分の個人情報を保有し続けることへの不安
を天秤にかけた結果として、消去要求に至っているケースも少なくないのではないでしょうか。

言い換えれば、
「その商品・サービスを利用し続ける価値よりも、個人情報を預け続けるリスクの方が大きい」
と本人が判断した状態です。

その意味では、消去要求は単なる個人情報保護法上の権利行使の問題ではなく、事業者に対する信頼の問題として捉える必要があると思います。

事業者が本当に向き合うべきなのは、
「法令上保存できるか」
だけではなく、
「本人が安心して預け続けられる状態を作れているか」
なのではないでしょうか。

また、事業者自身が
「退会者の情報まで漏えいしたら大きな問題になる」
と考えるのであれば、そのデータを保有し続ける合理性とリスクを定期的に比較評価し、説明責任を果たすことも重要であると考えます。

JADMA認定個人情報保護団体 諮問委員会 委員・プライバシーク合同会社 代表​　鈴木　靖