個人情報
名刺は個人情報か
条文は媒体を区別していない
「名刺は相手が自分から渡してきたものだから自由に使える」という理解を、現場でよく聞きます。しかし個人情報保護法第2条第1項の定義に、媒体についての記述はありません。 名刺だから特別、という条文はないのです。この記事は、条文の文言に戻って、イベントで受け取った名刺をどう扱うかを整理します。
結論
個人情報保護法第2条第1項は「個人情報」を、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）、または個人識別符号が含まれるものと定義しています。条文は媒体を区別していません。
条文の文言
この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。（第2条第1項）
当該情報に含まれる氏名、生年月日その他の記述等（…）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）（同項第1号）
要素に分解する
- 01生存する個人に関する情報であること
- 02氏名、生年月日その他の記述等により
- 03特定の個人を識別することができること
- 04（他の情報と容易に照合することで識別できるものも含む）
Point
「名刺」「名簿」「アンケート用紙」といった媒体の区別は、この条文に出てきません。 判断の軸は特定の個人を識別することができるかです。氏名が記載されている名刺がこれに当たりうることは、条文の文言から読み取れます。
注意
ただし、個別のケースについて本記事では断定しません。 「個人情報取扱事業者」に当たるか、「個人データ」として扱われる状態にあるかといった論点も別にあります。実際の運用は、個人情報保護委員会の案内を確認し、必要に応じて弁護士に相談してください。
よくある3つの理解と、条文の書き方
| 現場でよく聞く言い方 | 条文の書き方 |
|---|---|
| 相手が自分から渡してきたものだから自由に使える | 第2条第1項の定義に、取得の経緯に関する記述はない |
| 会社の情報だから個人情報ではない | 定義は「生存する個人に関する情報」。氏名が記載されていれば第1号の文言に重なりうる |
| 紙のまま持っているだけなら関係ない | 定義は媒体を区別していない。なお第2条第1項第1号は「他の情報と容易に照合」できる場合も含めている |
Point
「自由に使える」という言葉の中身を分解してください。 名刺交換そのものが問題になるのではなく、そのあと何に使うかが論点です。利用目的、第三者提供、安全管理。条文が関わるのはそこからです。
受け取ったあと、何に使うか
第17条第1項は利用目的をできる限り特定することを求め、第21条は取得時の扱いを定めています。
第21条の2つの水準
| 場面 | 条文 | 求められること |
|---|---|---|
| 一般（取得した場合） | 第21条第1項 | あらかじめ利用目的を公表している場合を除き、速やかに通知又は公表 |
| 本人から直接書面に記載された個人情報を取得 | 第21条第2項 | あらかじめ明示 |
注意
第21条第4項は適用除外を4つ挙げており、第4号は「取得の状況からみて利用目的が明らかであると認められる場合」です。どの場合がこれに当たるかの判断は本記事の範囲外です。 「名刺交換なら明らかだから何もしなくてよい」と自己判断しないでください。
イベントで名刺を受け取ったあとの用途
- お礼のメールを送る
- 当日の資料を送る
- 次回のイベントの案内を送る
- 自社の商品・サービスの案内を送る（営業）
- 名刺管理ツールに取り込む
- CRM・MAツールに登録する
- 共催・協賛企業に渡す（→ 第27条）
- 出展者に渡す（→ 第27条）
Point
下の2つは性質が違います。 第27条第1項は、条文が挙げる除外を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないとしています。「名刺をもらったから渡してよい」とはなりません。
名刺管理ツールに取り込むとき
紙の名刺をスキャンしてツールに入れると、検索できる状態になります。ここで関わるのが安全管理と、委託の論点です。
第23条 — 安全管理措置
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。（第23条）
注意
何をすれば足りるかは条文に書かれていません。 本記事では措置の一覧を示しません。以下はイベント運営で確認すべき箇所の洗い出しであり、法令上の要件の列挙ではありません。
- 誰がツールにアクセスできるか（協力会社のスタッフが見られる状態になっていないか）
- 退職・契約終了時のアカウントの扱い
- スマートフォンのアプリで撮影する運用にしている場合、端末に画像が残らないか
- 紙の名刺の保管場所と、いつ処分するか
- イベント当日に名刺を集める箱を置く場合の管理
- スキャン作業を外部に委託する場合の取り決め
委託という枠組み
第27条第5項第1号は、利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託することに伴って提供される場合、提供先は第三者に該当しないものとするとしています。
Point
ただし「委託だから何もしなくてよい」ではありません。 委託する側に求められる監督の内容は本記事の取得範囲外なので示しませんが、契約で何を取り決めるかは発注の段階で決めるべき項目です（業務委託契約書）。
いつまで持つか
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。（第22条）
Point
条文は「努めなければならない」＝努力義務の書き方です。義務ではありません。ただし「利用する必要がなくなったとき」に消去するよう努めるという構造が示されている以上、いつまで持つかを決めていない状態は、この条文の想定から外れています。
注意
具体的な保存期間（何年、何ヶ月）は条文にありません。 本記事では日数も年数も示しません。特定した利用目的に照らして、自社で期間を決めてください。
イベントで集めた名刺は、担当者の引き出しと、個人のスマートフォンと、共有ドライブに同時に存在することが珍しくありません。どこに何部あるのかを把握していない状態では、消去のしようがありません。集めた時点で保管場所を一箇所に決めるのが現実的です。
イベント運営としての設計
- 01
名刺を受け取る場面を洗い出す
受付、ブース、商談スペース、懇親会、登壇後。誰が、どこで受け取るのかを一覧にします。アンケート用紙に名刺を貼ってもらう運用がある場合も含めてください。
- 02
用途を決めて、伝え方を決める
お礼のメールだけなのか、営業の連絡もするのか。何に使うかを決めてから、第21条のどちらの水準で対応するかを検討します。
- 03
第三者に渡す予定があるかを決める
共催、協賛、出展者。渡す予定があるなら、申込や受付の段階で設計してください。後から足せません。
- 04
保管場所を一箇所に決める
イベント終了後、誰がどこに集約するのか。個人の端末に残さない運用を決めてください。
- 05
協力会社との取り決めを確認する
受付を外部に委託している場合、その会社のスタッフが名刺に触れることになります。発注時に取り決めてください。
- 06
保存期間と廃棄の手順を決める
第22条の努力義務に対応します。紙とデータの両方について決めてください。
注意
展示会での名刺交換に特化した論点は展示会の名刺交換と個人情報、文面の作り方は個人情報の取扱いの書き方、全体像は来場者名簿と個人情報保護法を参照してください。
この記事の要点
- 第2条第1項の定義に媒体の区別はない。 判断の軸は「特定の個人を識別することができるか」。
- 定義には取得の経緯に関する記述もない。「相手から渡されたから自由」という条文上の根拠はない。
- 名刺交換そのものではなく、そのあと何に使うかが論点。利用目的・第三者提供・安全管理。
- 第21条第4項第4号に「取得の状況からみて利用目的が明らかであると認められる場合」があるが、当てはめは自己判断しない。
- 第三者に渡すなら第27条第1項。「名刺をもらったから渡してよい」とはならない。
- 第22条は努力義務だが、いつまで持つかを決めていない状態は条文の想定から外れている。保存期間は条文にないので自社で決める。
FAQ
よくある質問
条文の定義からは、そうは読めません。個人情報保護法第2条第1項は、生存する個人に関する情報で、氏名などにより特定の個人を識別できるものを個人情報としており、紙かデータかという媒体を区別していません。名刺には通常、氏名と会社名が書かれているため、特定の個人を識別できる情報として扱うのが前提になります。
個人情報保護法第2条第1項は、個人情報を「生存する個人に関する情報」であって「氏名、生年月日その他の記述等により特定の個人を識別することができるもの」等と定義しています。条文に媒体の区別はなく、判断の軸は特定の個人を識別できるかどうかです。氏名が記載された名刺がこれに当たりうることは条文の文言から読み取れますが、個別のケースについて本記事では断定しません。
第2条第1項の定義に、取得の経緯に関する記述はありません。したがって「渡されたから自由」という条文上の根拠はありません。問題になるのは名刺交換そのものではなく、そのあとの利用目的（第17条）、第三者提供（第27条）、安全管理（第23条）です。
第21条第4項第4号は「取得の状況からみて利用目的が明らかであると認められる場合」を適用除外として挙げていますが、どの場合がこれに当たるかの判断は本記事の範囲外です。自己判断せず、どこまでの用途を想定しているかを整理したうえで確認してください。お礼の連絡だけなのか営業の連絡もするのかで、検討の前提が変わります。
第27条第1項は、法令に基づく場合など同条が挙げる場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。協賛企業への提供はこれらの除外に当たりません。渡す予定があるなら、申込や受付の段階で設計してください。企画の後から足すことはできません。
第22条は、利用する必要がなくなったときに個人データを遅滞なく消去するよう努めなければならないとしています。これは努力義務の書き方で、具体的な保存期間は条文にありません。特定した利用目的に照らして自社で期間を決めてください。なお、紙の名刺・名刺管理ツール・個人の端末・共有ドライブに分散していると消去できないため、保管場所を一箇所に決めておくことをおすすめします。