取得した個人情報の破棄について

2023年11月29日2024年1月9日

自社で懸賞品を送付するというキャンペーンを行っていました。キャンペーンは終了したのですが、キャンペーンに際して取得した個人情報はどうすればよいですか？: 取得した個人情報については、遅滞なく消去するよう努めなければなりません。

個人情報の破棄

個人情報保護法（以下「法」といいます。）上、個人情報の破棄については以下のとおり定められています。

第二十二条　個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
引用：個人情報の保護に関する法律 | e-Gov法令検索

したがって、法は個人情報を破棄すべき期間を具体的には明記していないものの、遅滞なく消去するよう規定しています。

「遅滞なく」が示す具体的な期間は、個人データの取扱状況等により異なりますが、業務の遂行上の必要性や引き続き当該個人データを保管した場合の影響等も勘案し、必要以上に長期にわたることのないようにする必要があると解されています。

もっとも、事業者のデータ管理のサイクル等、実務上の都合に配慮することは認められています（「個人情報の保護に関する法律についてのガイドラインに関するＱ＆Ａ」Ｑ５－２参照）。

このように、「遅滞なく」の期間は、例えば個人データを紙媒体で保有している場合には、これをシュレッダーにかけるにも時間を要するためその期間が延びることが想定されます。

また、例えばキャンペーンで懸賞品送付を行った後、キャンペーンが終了したからといって即時にこれを破棄する必要はなく、不着対応等のための合理的な期間が経過するまではこれを保有しておくことができます。

このように「遅滞なく」の期間は、業務内容や保有媒体等でもその長短が変わります。

個人情報を削除できない場合

法22条は、「個人データ」について定めたものであり、「保有個人データ」に関する規定ではありません。

「個人データ」と「保有個人データ」の違いは、以下のとおり、個人情報を削除することができる権限があるか否かです。

第十六条・・・（抜粋）・・・
３　この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
４　この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
引用元：個人情報の保護に関する法律 | e-Gov法令検索

したがって、個人情報保護法は、取得した個人情報を削除する権限のない者についても、これを削除するよう規定しています。

委託元から個人データの取扱いを受託し、その際の契約により削除の権限が制約されているような場合には、委託先は、委託元に対してこれを削除するよう通知すれば、法22条の努力義務は履行されたと評価できると考えられています（石井夏生利　編著／曽我部真裕　編著／森亮二　編著『個人情報保護法コンメンタール』（勁草書房、2021年）221頁参照）。