NPO法人も、個人情報保護法の対象になります。
扱う件数が少なくても、適用は免れません。
一方で、名簿を公開する義務もあるという難しさがあります。
この記事では、両立させるための実務を解説します。
NPO法人も対象になる
かつては、扱う個人情報が一定件数を超える事業者だけが対象でした。
現在は、件数にかかわらず適用されます。
小さな団体でも、個人情報取扱事業者として扱われるということです。
会員名簿、寄付者名簿、利用者の記録、ボランティアの登録簿が対象です。
メールアドレスだけの一覧も、個人情報に当たり得ます。
写真も、個人を識別できるものは個人情報です。
知らなかったでは済まないので、基本のルールは押さえておきましょう。
難しい仕組みを作る必要はありません。
最低限のことを、確実に行うことが大切です。
利用目的を決めて知らせる
最初にすべきなのが、利用目的の特定です。
何のために個人情報を集めるのかを、はっきりさせます。
会員名簿なら、総会の招集や会報の送付といった目的です。
利用者の記録なら、サービスの提供と連絡が目的になります。
決めた目的は、本人に通知するか、公表します。
入会申込書に、利用目的を記載しておくのが簡単です。
ウェブサイトにプライバシーポリシーを掲載する方法もあります。
目的の範囲を超えて使うときは、あらためて同意が必要です。
会員名簿を寄付の勧誘に使うなら、その旨も目的に入れておきましょう。
安全に管理する
集めた情報は、漏れたり失われたりしないよう管理します。
紙の名簿なら、鍵のかかる場所に保管します。
電子データなら、パスワードをかけ、アクセスできる人を限定します。
共有ドライブに置く場合は、権限の設定を確認しましょう。
個人のパソコンやスマートフォンに保存したままにしないことも重要です。
担当者が辞めるときは、データを返却または削除してもらいます。
メールで名簿を送るときは、宛先の間違いに注意します。
複数の人へ一斉送信するときは、宛先を伏せる設定を使いましょう。
この設定を忘れて、参加者全員のアドレスが見えてしまう事故は非常に多くあります。
| 場面 | 気をつけること |
|---|---|
| 名簿の保管 | 紙は施錠、データはパスワードとアクセス制限 |
| 一斉メール | 宛先を伏せる設定を使う（宛先の見え方を確認） |
| 写真の掲載 | 撮影時と掲載時に本人の了解を取る |
| 名簿の持ち出し | 原則として持ち出さない／必要なら記録を残す |
| 担当者の交代 | データの返却または削除を確認 |
| 第三者への提供 | 原則として本人の同意が必要 |
| 廃棄 | シュレッダーや確実な削除で処分 |
第三者に渡さない
集めた個人情報は、原則として本人の同意なく第三者に渡せません。
他の団体から名簿を貸してほしいと言われても、応じてはいけません。
同じ分野で活動する団体であっても、同じです。
イベントの共催で参加者名簿を共有する場合も、同意が必要になります。
申込みの時点で、共催団体と共有する旨を伝えておきましょう。
委託先に作業を任せる場合は、第三者提供には当たりません。
ただし、委託先を監督する責任は団体に残ります。
印刷会社に発送を頼むときも、契約で取扱いを定めておきましょう。
安いからという理由だけで委託先を選ばないことが大切です。
写真の扱い
活動の様子を撮った写真は、広報にとって大きな力になります。
一方で、個人が識別できる写真は個人情報です。
撮影するときに、その場で了解を取るのが基本です。
掲載する媒体も、あわせて伝えましょう。
ウェブサイトなのか、会報なのか、SNSなのかで受け止め方が違います。
イベントの申込書に、写真撮影と掲載についての欄を設ける方法もあります。
撮影を希望しない人が分かるよう、目印を用意する団体もあります。
子どもが写る場合は、保護者の了解が必要です。
後から削除を求められたときの対応も、決めておきましょう。
公開義務との関係
NPO法人には、名簿を公開する義務もあります。
役員名簿には、氏名と住所を記載します。
社員名簿も、10人以上の氏名と住所を所轄庁へ提出します。
これらは、閲覧の対象になります。
個人情報の保護と、情報公開が両方求められているということです。
この点は、法律上の要請なので避けられません。
重要なのは、入会や就任のときに説明しておくことです。
知らずに載せられたと感じさせないことが、いちばんの対策になります。
説明したことを、書面に残しておくとより確実です。
本人からの請求に応じる
本人から、自分の情報について請求を受けることがあります。
保有している情報の開示を求められた場合は、応じる必要があります。
内容が間違っていれば、訂正を求められることもあります。
利用の停止や、削除を求められる場合もあります。
正当な理由がなければ、これらに応じなければなりません。
請求を受け付ける窓口を、決めておきましょう。
ウェブサイトのプライバシーポリシーに、連絡先を書いておきます。
対応の手順を決めておけば、慌てずに済みます。
対応した記録も、残しておきましょう。
プライバシーポリシーを作る
ウェブサイトを持っているなら、プライバシーポリシーを掲載しましょう。
書く内容は、それほど多くありません。
利用目的、安全管理の方針、第三者提供の考え方を書きます。
本人からの請求を受け付ける窓口と、連絡先も記載します。
難しい法律用語を並べる必要はありません。
読んだ人が理解できる言葉で書くことが大切です。
ウェブサイトから問い合わせを受ける場合は、その旨も書きます。
メールアドレスをどう扱うのかを示しておきましょう。
一度作れば、しばらく使えます。
- 利用目的を決めて、申込書やサイトで知らせる
- 名簿は施錠またはパスワードで管理し、アクセスできる人を限る
- 一斉メールは宛先を伏せる設定にする
- 写真は撮影時と掲載時に了解を取る
- 第三者へ渡すときは本人の同意を得る
- 委託先には契約で取扱いを定める
- 本人からの開示・訂正・削除の請求に応じる窓口を決める
- 不要になった情報は確実に廃棄する
漏えいが起きたとき
万一、個人情報が漏れてしまった場合の対応も決めておきましょう。
まず、被害の範囲を確認します。
何の情報が、何件、どのように漏れたのかを把握します。
次に、拡大を防ぐ措置を取ります。
該当する本人へ、速やかに連絡します。
内容によっては、個人情報保護委員会への報告が必要になります。
報告が必要かどうかは、漏えいの内容と件数によって変わります。
判断に迷う場合は、委員会の窓口に相談してください。
隠すことがいちばんの悪手です。
早く正確に伝えることが、信頼を守ります。
紙とデータのどちらで管理するか
名簿を紙で持つか、データで持つかは悩ましいところです。
紙は、持ち出しの管理がしやすいという利点があります。
一方で、更新のたびに作り直す手間がかかります。
データは更新が楽で、検索もできます。
ただし、複製が簡単なぶん、流出したときの範囲が広がります。
実務では、データで管理し、必要なときだけ印刷する形が多く見られます。
印刷した紙は、使い終わったらシュレッダーで処分します。
会議で配った名簿を、そのまま持ち帰らせないよう注意しましょう。
回収の手順まで決めておくと、事故が減ります。
担当者を決めておく
個人情報の管理は、担当者を決めておくと安定します。
誰が名簿を持ち、誰が更新するのかを明確にします。
担当者以外は、必要なときに依頼する形にします。
全員が自由に触れる状態は、責任の所在が曖昧になります。
担当者が交代するときは、引き継ぎの記録を残します。
古いデータが個人の端末に残らないよう、削除を確認しましょう。
理事会で、年に一度は管理の状況を報告する形にすると意識が保てます。
難しい規程を作らなくても、この程度の運用で十分に機能します。
大切なのは、決めたことを続けることです。
会員名簿を会員に配ってよいか
会員どうしの交流のために、名簿を配りたいという要望が出ることがあります。
これは、第三者への提供にあたる可能性があります。
会員であっても、本人から見れば他人だからです。
配る場合は、あらかじめ同意を得ておく必要があります。
入会申込書に、会員名簿への掲載可否の欄を設ける方法があります。
掲載を望まない人は、除いた名簿を作ります。
掲載する項目も、氏名だけにするなど絞ると安全です。
住所や電話番号まで配ると、流出したときの影響が大きくなります。
交流が目的なら、氏名と所属だけで足りることも多いはずです。
目的に照らして、最小限の情報にとどめましょう。
SNSでの発信と個人情報
SNSは手軽な反面、事故が起きやすい場所でもあります。
参加者の顔が写った写真を、確認せずに投稿してしまう例があります。
投稿は一瞬で広がり、削除しても完全には消えません。
投稿する前に、写っている人の了解があるかを必ず確認しましょう。
複数人が投稿できるアカウントは、ルールを決めておきます。
誰が投稿してよいのか、事前確認が必要かを明確にします。
アカウントのパスワードの管理も、個人情報の管理と同じ問題です。
担当者が辞めるときは、必ずパスワードを変更してください。
過去の投稿も、定期的に見直すとよいでしょう。
当時は問題なくても、今の基準では配慮が足りない投稿があるかもしれません。
気づいた時点で削除すれば、それ以上の広がりは防げます。
発信の速さより、確認の一手間を優先する運用にしておきましょう。
個人情報のまとめ
NPO法人も、件数にかかわらず個人情報保護法の対象になります。
利用目的を決めて通知または公表し、安全に管理します。
第三者への提供は、原則として本人の同意が必要です。
写真も個人情報なので、撮影と掲載の了解を取りましょう。
一方で、役員名簿と社員名簿は法律上の公開の対象になります。
この点は、入会や就任のときに必ず説明しておきます。
一斉メールの宛先設定など、身近な事故の防止から始めてください。
よくある質問
A. 対象です。かつては件数の要件がありましたが、現在は扱う個人情報の数にかかわらず適用されます。
A. 会員名簿、寄付者名簿、利用者の記録、ボランティア登録簿などです。メールアドレスの一覧や、個人を識別できる写真も含まれます。
A. 本人の同意なく渡すことはできません。同じ分野で活動する団体であっても同じです。共催イベントで共有する場合は、申込みの時点で伝えておきましょう。
A. 個人が識別できる写真は、撮影時と掲載時に了解を取るのが基本です。掲載する媒体も伝えましょう。子どもが写る場合は保護者の了解が必要です。
A. 役員名簿と社員名簿は、法律上の公開の対象です。避けられないため、入会や就任のときに説明しておくことが最も重要な対策になります。
A. 被害の範囲を確認し、拡大を防ぎ、該当する本人へ速やかに連絡します。内容と件数によっては個人情報保護委員会への報告が必要です。判断に迷う場合は窓口に相談してください。
📖 参考にした公的機関の情報
