名簿屋に流れた名簿はとめられない？

　こんにちは、丸山満彦です。個人情報保護法の全面施行後「名簿屋に流れた名簿を名簿屋が売らないようにしたい」、「名簿屋が販売した名簿を利用させないようにしたい。」個人情報保護法によりこのようなことは可能でしょうか？

　個人情報保護法の条文を追いながら考えていきましょう。
　
　名簿屋さんは取得した個人情報について、いちいち各個人宛に名簿を販売することについての同意を（多分）得ないでしょうから、第三者提供は第23条第2項の方法によるのでしょうね。その場合、本人の求めに応じ、当該本人が識別される個人データの第三者への提供を停止することができます。すなわち、名簿屋さんは、第三者提供があった人について、顧客データのエクセル表から行削除するか、紙媒体の場合は黒塗り等の処理をしなければならないことになりそうですね。この場合は、多額の費用がかかろうと個人情報保護法上は免責？がありませんので、確実に第三者提供がとまるように対応しなければなりませんね。これは止めれそうですね。

　問題は、既に第三者提供してしまった先ですね。名簿屋さんには、第三者提供をした相手先が誰であるかを報告又は開示する義務はありませんから、一旦第三者に渡ってしまえば、誰が私の個人情報をもっているのかは把握できませんね（今もそうなんですけど・・・）。そうなれば、その先が第三者提供をしていれば・・・、自分が気付くまで個人情報は流通し続づけることになりますね。

　そして、一旦第三者に渡ってしまえば利用停止等をすることも大変ですね。例えば、A通販会社が名簿屋から個人情報を買ったとします。A通販会社自体は、適切な手段、すなわち、不正の手段によらずに個人情報を取得し、利用目的範囲内で利用しているとすれば、個人情報保護法上は、本人の求めに応じて利用停止等をする義務がありませんので、拒まれるかもしれませんね。

　次に、第三者提供について同意をしてしまった場合、例えば、名簿屋さんが「あなたの個人情報を第三者に提供します。もし、問題があればこのはがきの住所に対して不同意である旨の回答を1ヶ月以内にして下さい。」というはがきを郵送してきた、とします。その場合、回答をしなければ同意したことになるかもしれませんね。同意したと言われてしまえば、第23条第1項に違反をしていないので、名簿屋さんは本人から第三者提供を止めて下さいと言われても、個人情報保護法上は止める義務はありませんね。

　ということで、個人情報保護法だけでは、「名簿屋さんから第三者提供されていく個人データを止める」、「第三者提供を受けた事業者に利用停止をさせる」という側面においては、あまり機能しないのかもしれませんね。

＝＝＝

（第三者提供の制限）
第二十三条　個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
＝中略＝
２　個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一　第三者への提供を利用目的とすること。
二　第三者に提供される個人データの項目
三　第三者への提供の手段又は方法
四　本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

（利用停止等）
第二十七条　個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているという理由又は第十七条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２　個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第二十三条第一項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３　個人情報取扱事業者は、第一項の規定に基づき求められた保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。