「個人データ」に該当する顧客の取引内容を、本人の同意を得ずに、その内容を知る家族に伝えた場合、「個人データ」の漏えいとなるか。

5 第三者提供等

Q5-2

）「個人データ」に該当する顧客の取引内容を、本人の同意を得ずに、その内容を知る家族に伝えることはできるか。

A5-2

個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を「第三者」に提供することを禁じられています（個人情報保護法第27条第１項）。本人の同意を得ずに、「第三者」に「個人データ」を提供した場合、「第三者」が当該「個人データ」の内容をあらかじめ知っていたか否かにかかわらず、個人情報保護法第27条第１項に違反することとなります。

ここで、「第三者」とは「個人データ」を提供しようとする個人情報取扱事業者及び当該「個人データ」に係る本人のいずれにも該当しない者をいい、本人の家族であっても、「第三者」に該当します。よって、「個人データ」に該当する顧客の取引内容を本人の同意を得ずに、その内容を知る家族に伝えた場合、個人情報保護法第27条第１項に違反することとなります（なお、ここにいう「本人の同意」における「本人」については、未成年者又は成年被後見人の法定代理人が含まれると考えられます）。

ただし、明示的な同意がなくとも、例えば、本人が家族を連れて金融機関に融資の申込みをしに来た際に入手した情報を、後日当該家族に伝える場合等、本人が当該家族等に対する個人データの提供に同意していると判断できる場合は、個人情報保護法第27条第１項に違反しないこととなります。

• （注）個人情報保護法第27条第１項は、本人の同意を得ないで「個人データ」を第三者に提供し得る一定の場合として、
  • ① 法令に基づく場合（第１項第１号）、
  • ② 人の生命、身体又は財産の保護のために必要がある場合で、本人の同意取得が困難な場合（第１項第２号）、
  等を掲げています。なお、個人情報保護法第27条第１項に規定する「法令」には、「条例」も含まれます。