新型コロナウィルス感染等の個人情報の取得・第三者提供に関する法律問題

タイトル

新型コロナウィルス感染等の個人情報の取得・第三者提供に関する法律問題

Ｑ１）当社の従業員が、先日、取引先の従業員と長時間にわたって商談をしたのですが、その後、その取引先の従業員の中から、新型コロナウィルスの感染者が出たとの噂を聞きました。当社としては、取引先の従業員と面談した当社従業員を今後いかに処遇すべきか検討するため、取引先の従業員が新型コロナウィルスに感染しているか否か等の情報を取得したいと考えておりますが、許されますか？

Ａ１）新型コロナウィルスに感染しているという情報や、PCR検査で陽性反応が出たという情報は、要配慮個人情報（個人情報保護法２条３項）に該当します。
したがって、これらの情報を取得する場合には、原則として、本人である取引先の従業員の同意を得ることを要することになります（個人情報保護法１７条２項）。
この場合、原則として、これらの情報の取得の経緯などを確認し、その記録を作成・保存しなければなりません（個人情報保護法２６条１項、３項、４項）。
但し、本人の同意を得ることが困難であり、かつ、①人の生命・身体の保護のために必要がある場合、または②公衆衛生の向上のために特に必要がある場合には、例外として、本人の同意なくして、要配慮個人情報を取得することができます（個人情報保護法１７条２項２号・３号）。この場合、例外として、これらの情報の取得の経緯などを確認・記録義務については適用されません（個人情報保護法２６条１項但書）。
したがって、本件においても、取引先の従業員が重症化し、本人の同意を得ることが困難である場合には、②に該当するものとして、当該従業員の同意を得ることなくして、当該従業員が新型コロナウィルスに感染しているという情報を取得することができます。

Ｑ２）Ｑ１の例で、当社の従業員は健康なようなのですが、当社の従業員の家族が新型コロナウィルスに感染したという噂を耳にしました。当社は当該従業員から情報を取得して、当該従業員の処遇を決めたいと考えておりますが、どのような手続きを経れば良いでしょうか？

Ａ２）まず、従業員の家族が新型コロナウィルスに感染したという情報を取得するに際し、家族の内の誰が感染したかがわからない形で取得する場合であれば、要配慮個人情報に該当しないので、感染した家族本人の同意を得ることなく、情報を取得することは可能です。
これに対し、家族の内の誰が感染したかが特定できる形で情報を取得する場合には、当該感染した家族の要配慮個人情報に該当するので、原則として、感染した家族本人の同意を得ることが必要です。この場合、原則として、これらの情報の取得の経緯などを確認し、その記録を作成・保存しなければなりません。
但し、当該感染した家族が重症化し、本人から同意を得ることが困難であり、かつ、①人の生命、身体の保護のため必要がある場合、または、②公衆衛生の向上のために特に必要がある場合には、本人の同意なく、要配慮個人情報を取得することができます（個人情報保護法１７条２項２号・３号）。この場合、例外として、これらの情報の取得の経緯などを確認・記録義務については適用されません。
したがって、本件においても、当該感染した家族が重症化し、本人の同意を得ることが困難である場合には、②に該当するものとして、感染した家族本人の同意を得ることなく情報を取得できると考えられます。

Ｑ３）当社従業員が新型コロナウィルスに感染していることが判明したので、当社としては、至急、当該従業員が関係していた取引先や顧客、出入りしていたビルの管理者や近隣のテナントに情報を提供しなければならないと考えています。当該従業員はすでに入院し隔離されているので、直ちには同意を得ることができません。どのように対応すれば良いでしょうか？

Ａ３）本件も、取引先や顧客、出入りしていたビルの管理者や、近隣のテナントの立場で考えると、Ｑ１、Ｑ２と同様に、新型コロナウィルスに感染しているという要配慮情報を取得するに際しては、原則として、本人である従業員の同意を得ることを要し、例外として、本人の同意を得ることが困難であり、かつ、①人の生命・身体の保護のために必要がある場合、または②公衆衛生の向上のために特に必要がある場合には、本人の同意なくして、要配慮個人情報を取得することができます。
また、当該従業員が新型コロナウィルスに感染したという情報を個人データベースに入力して管理する場合には、個人データの第三者提供に関する規制を受けることになりますので、原則として本人の同意が必要ということになります。この場合、原則として、その記録を作成・保存しなければなりません（個人情報保護法２５条１項、２項）。
但し、本人の同意を得ることが困難であり、かつ、①人の生命・身体の保護のために必要がある場合、または②公衆衛生の向上のために特に必要がある場合には、本人の同意なくして第三者に個人データを提供することができます。この場合、例外として、第三者提供に係る記録義務については適用されません（個人情報保護法２５条１項但書）。
したがって、本件においても、当該従業員が重症化し、本人の同意を得ることが困難である場合には、②に該当するものとして、当該従業員の同意を得ることなくして当該情報を第三者に提供することができるものと考えられます。