「プライバシー」という言葉の響きと法律のギャップ
　「他人のプライバシーに立ち入るな」、「盗撮によりプライバシーが侵害された」などという言葉は日常的に耳にします。そのニュアンスの中には「他人に触れられたくない、デリケートなもの」というイメージがつきまといます。
　では問題です。「自分は、一般には「明るい」と評価されているが、実は暗くてじっとりとした側面を持っていて、そんなところに自己嫌悪を感じている」と思っていることについては、それを「プライバシー」ということができるでしょうか？　また、そもそも「氏名」や「性別」というものは「プライバシー」なのでしょうか？

JIS規格 JIS Q15001
　個人情報保護に関するコンプライアンス・プログラムの内容を規定する「JIS規格 JIS Q15001　個人情報保護に関するコンプライアンス・プログラムの要求事項」は、法律上の「プライバシー」というものを次のように定義しています。

　個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述、又は個人別に付けられた番号、記号その他の符号、画像若しくは音声によって当該個人を識別できるもの（当該情報だけでは識別できないが、他の情報と容易に照合することができ、それによって当該個人を識別できるものを含む）。
（「JIS規格 JIS Q15001　個人情報保護に関するコンプライアンス・プログラムの要求事項」より引用）

　直ちに理解するのは難しい定義ですが、要するに、「個人を識別できる情報は全て個人情報である」としているのです。氏名や生年月日等の記述、免許証番号等のID識別符号、写真や指紋、声などは全て個人情報です。DNA情報や血液型などというのも、これに属するでしょう。
　その一方で、「個人の生き様」や「自分自身に対する自己評価」というようなものは、一般常識ではまさに個人情報といえるものですが、それが「そんな考えをするのはあの人しかいない」というような感じで、直接的若しくは間接的に「当該個人を識別できるもの」となっていなければ、法律上の「プライバシー」ということはできないでしょう。

　ところで、法律上の「プライバシー」として成立するからといって、それが全て法律によって保護されるというものではない、ということに注意する必要があります。
　これに関しては、JIS規格である「JIS Q15001の適用範囲」について、次のように規定されています。

　この規格は、個人情報の全部若しくは一部を電子計算機などの自動処理システムによって処理されている、又は自動処理システムによる処理を目的として書面などによって処理している、あらゆる種類、規模の事業者に適用できる。
（「JIS規格 JIS Q15001　個人情報保護に関するコンプライアンス・プログラムの要求事項」より引用）

　この記述を見れば明らかなように、保護対象となる個人情報というのは「コンピュータで処理することができる個人情報」に他ならないのです。

なぜ、「コンピュータで処理することができる個人情報」だけが保護されるのか
　それは、コンピュータで処理可能な情報というのは、コンピュータネットワークを介して、欠落も変形もしない状態で瞬時に拡布され、しかも、一度拡布したものについてそれを完全に回収したり、あるいは拡布者の全員に対して修正や訂正を行うことが殆ど不可能だからです。
　これをお読みになっている皆さんであれば、電話による口コミなどと比べて、コンピュータネットワークによる伝送はきわめて広範かつ迅速であり、また、電話による口コミなどとは異なり、伝送された順序をトレースしていき、その内容を修正していくということが殆ど不可能であることが、容易に理解できると思います。おまけに、きわめて広範かつ迅速に伝達された情報は、悪意ある第三者によって容易に改変可能であるというオマケまでついております。
　「個人の思想や考えるところ」などというものは、秘匿という行為によって容易に守ることができるのですが、「コンピュータで処理可能な個人情報」というのは、法律で規制する以外に守りようがありません。これが、このような個人情報を法律によって強力に保護する理由です。

個人情報侵害の発生する部分と OECD 8原則
　いわゆる「個人情報侵害」が発生する部分としては、個人情報について「収集」、「処理」、「利用」、「保管」、「預託」、「提供」、「廃棄」、並びに「これらを管理する管理体制」のところを挙げることができます。
　こうした現象に着目して、OECD（経済協力開発機構）が制定したガイドライン（ 8原則）が国際的な個人情報保護の端緒となりました。

1. 収集制限の原則(Collection Limitation Principle)
　アンケート調査と言って住所などを聞き出し、そこで得た個人情報を販売目的に使用されたりするようなことがあります。これは、個人情報を侵害する行為です。
　個人情報については、｢適法かつ公正な手段によって個人データを収集するなど、個人データの収集は制限されるべきである｣という原則（＝収集制限の原則）があるのです。上記の例は、アンケートと偽って個人情報を収集した点が違法なのです。
　また、この「収集制限の原則」によれば、個人情報については「無制限な収集はしてはいけない。情報提供者の同意を得てすること。」ということにもなりますので、例えば、家族や知人から本人の同意を得ないで個人情報の収集をすることなども、この原則に反することになります。

2. データ内容の原則(Data Quality Principle)
　収集した個人情報の内容が誤っていたために当該個人との間でトラブルになるケースがあります。これは、情報収集の際に生ずる問題ですが、個人情報を処理する段階でも、プログラムの欠陥や操作ミスなどによってデータの更新処理を誤り、その結果として個人情報の内容が不正確になる場合があります。データを保管している場合においても、ハッカー等からの不正アクセスによりデータ改ざんが行われ、結果的に個人情報の内容が不正確になってしまう場合もあります。
　個人情報については、｢個人データは利用目的に沿ったものであること。収集した個人データの正確性、完全性、最新性を確保しなければならない。｣という原則（＝データ内容の原則）があります。印刷ミスやチェック漏れ、住所やメールアドレスの誤りは、送付ミスを誘発し、本人以外の者に個人情報を誤って開示してしまうことにもつながります。個人情報についての「正確性」、「完全性」、「最新性」についてのワキの甘さは許されません。

3. 目的明確化の原則(Purpose Specification Principle)
　収集目的を明確にしない状態でホームページ上やアンケートにて、個人情報を収集するようなことを行うとこの原則に反します。例えばその情報収集が次世代商品の開発に役立てることを企図したものであれば、｢お客様の声を次の商品の企画・開発に反映させるために使用するものです。｣というような断り書きが｢明確に｣なされていなければなりません。もちろん、この文章の後に、｢商品のセールスのような他の目的に使用されることはありません。｣という一文を付け加えれば、ほぼ完璧です。
　要は、「情報の収集目的は明らかにしておかなければならない。」のです（＝目的明確化の原則）。個人情報の収集段階において、こんなところで違反行為を指摘されてしまうというのはつまらないことですから。収集目的を明確にするための一言を忘れないようにする必要があります。

4. 利用制限の原則(Use Limitation Principle)
　適正なアンケートをとり、その過程で得た個人情報を販売目的等に転用したりした場合は、先の「収集制限の原則」には反しませんが、「利用制限の原則」に反することになります。個人情報というのは、｢収集目的に合わない情報の利用をしてはならず、収集した個人データは、本人の同意等がある場合を除き、明確化された目的以外の目的のために開示したり利用されたり等されるべきではない。｣のです（＝利用制限の原則）。
　例えば、新商品に関するアンケート目的だけで使用するとして収集し、実際にそれを新商品のマーケッティングに使用したにしても、そうして得た個人情報を利用してダイレクトメールや広告用の電子メールを送っているようなことはないでしょうか？　個人情報においては、収集目的を超えた利用を行う場合には、当該個人に対する同意等が必要です。
　これについては、社内での利用を行う場合には、特にその部門内で利用をする場合にはあまり問題が生じないのですが、ひとたび部門外へ流れ出してしまうと、そこから一人歩きをし、当初考えていた範囲を逸脱して利用されてしまうことがあります。また、「第三者への提供」や「預託」などの社外での利用の場合には、自社のコントロールから外れてしまうこともあり、注意をしなければなりません。

5. 安全保護の原則(Security Safeguards Principle)
　個人情報は、合理的な安全保障措置により、データの紛失、不正アクセスや破壊、改ざん等から守られていなければなりません（＝安全保護の原則）。
　この原則に従い、例えばハッカーによる不正アクセス、自社ないしは委託会社の従業員による個人データ（顧客リスト等）の持ち出しによる個人情報の窃取や漏えいが起こらないような適切かつ合理的な措置を講じる必要があります。また、データの紛失や破壊という概念の中には、パソコンやサーバ、記憶媒体（ハードディスク等）のクラッシュによるものも含まれますので、注意が必要です。
　もちろん、自社の顧客情報の一部を第三者に販売して利益を得るなどという行為がもってのほかなのはもちろんですが、第三者からの問い合わせに対して、うかつに顧客の住所や電話番号等を教えるのも違法です。
　その他にも、パソコン上の個人情報を適切に処分しなかったために情報が漏えいしてしまったり、パソコン画面のハードコピーのプリントアウトをそのままゴミ箱に捨ててしまったがために情報が漏えいしてしまったり、あるいは、廃棄業者に委託したのだけれども、運送途中に帳票を紛失してしまい、情報が漏えいしてしまったり、というようなことでも、情報漏えいは起こります。

6. 公開の原則(Openness Principle)
　個人情報の運営に関する政策は公開されていなければならず、取り扱い責任者が対外的に明らかになっていなければなりません（＝公開の原則）。
　この原則を徹底するためには、まずは企業における個人情報の管理体制を整える必要があります。責任者が明確でなかったり、問い合わせ窓口（電話番号、電子メールアドレスなどの連絡先、部署名）等がはっきりしてしなかったために、顧客からの問い合わせに対して的確に対応することができず、それが原因となってトラブルが生じているような場合には、この原則が守られているとは言えません。

7. 個人参加の原則(Individual Partnership Principle)
　自分の個人情報を修正したり削除したり訂正したりする権利を持っているのは、あくまで自分です。個人は、自己に関するデータの開示請求、データに関する異議申立て、消去、修正、完全化、補正する権利を有します（＝個人参加の原則）。
　しかしながら、個人が自分の個人データに対して異議を申し立てたりすると、いわゆる｢苦情｣として適当に苦情処理係への処理に回されてしまうようなこともあるようです（その結果、個人情報の消去、修正、完全化、補正などは行われない）。

8. 責任の原則(Accountability Principle)
　個人情報取り扱いの責任者（データ管理者）は、以上の諸原則を実施するための責任を有します。
　なお、個人情報保護に係る組織・体制を確立するためには、ＪＩＳ Ｑ 15001などを参考にして、個人情報管理規定や個人情報取扱マニュアルなどを整備する必要があります。管理体制、責任・権限については個人情報取扱者に対して周知・徹底しなければならず、その際には、役員や従業員だけではなく、派遣社員やパートまでも含めた教育が必要となります。