Cookieなどの識別子に紐づくWebサイトの閲覧履歴のように、提供元では特定の個人を識別できない情報は、個人情報保護法上の「個人関連情報」に当たり得る。A社が保有する個人関連情報をB社に提供し、B社がそれを自社の顧客データと照合して、本人が識別される個人データとして取得することが想定される場合、同法の規律として最も適切なものはどれか。
- 1個人関連情報は個人情報に該当しないため、A社はB社への提供について個人情報保護法上の制約を受けない。
- 2A社は、提供のつど事前に個人情報保護委員会の許可を得なければならない。
- 3A社は、B社が「A社から提供を受けて本人が識別される個人データとして取得すること」について本人の同意を得ていること等を確認しなければ、当該情報を提供してはならない。
- 4A社は、当該情報を匿名加工情報に加工しない限り、B社に提供することはできない。
正解と解説を見る
正解：3
個人関連情報とは、生存する個人に関する情報のうち、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないものです。Cookie等に紐づく閲覧履歴などが典型例です。提供先が個人データとして取得することが想定される場合、提供元は、提供先が本人の同意を得ていること等を確認しなければ提供できません（同意は原則として提供先が取得します）。個人情報に該当しないからといって無制約ではありません。一方で、個人情報保護委員会の許可制や、匿名加工を必須とする規定もありません。単体では個人を識別できないデータでも、提供先で照合されることが想定されれば規律の対象になる点を覚えておきましょう。
根拠：個人情報保護法第2条第7項（個人関連情報の定義）、第31条第1項（個人関連情報の第三者提供の制限等）