課題Ⅰ 第３編② 適正な取得・要配慮個人情報・利用目的の通知
個人情報保護法第20条第1項は、個人情報取扱事業者に対し、「偽りその他不正の手段」により個人情報を取得してはならないと定めています。これが「適正な取得」義務と呼ばれる規定であり、個人情報の取得段階における最も基本的な義務です。ここでいう「偽り」とは、本人を欺いて情報を取得することであり、「その他不正の手段」は偽りに限らず、社会通念上不正と評価されるあらゆる手段を含みます。
Article 20, Paragraph 1 of the Personal Information Protection Act stipulates that business operators handling personal information must not acquire personal information through "deception or other improper means." This is the provision known as the "proper acquisition" obligation, and it is the most fundamental obligation at the acquisition stage of personal information. "Deception" here means deceiving the individual to obtain information, and "other improper means" is not limited to deception but includes any means that would be judged improper by common social standards.
不正な取得の具体例
具体的に「偽りその他不正の手段」に該当する例としては、以下が挙げられます。第一に、他人になりすまして本人から情報を聞き出す行為（例：取引先の担当者を装う）。第二に、書類を窃取する行為（例：他社の顧客名簿を盗む）。第三に、隠しカメラ・盗聴器を用いた秘密録音・録画。第四に、不正に取得された名簿・リストを購入する行為。第五に、ウェブサイトからの無断スクレイピング（利用規約に反する方法での大量収集）。これらはいずれも法20条1項違反となります。
Specific examples of "deception or other improper means" include the following. First, impersonating someone else to extract information from the individual (e.g., pretending to be a contact person from a business partner). Second, stealing documents (e.g., stealing another company's customer list). Third, secret audio or video recording using hidden cameras or wiretapping devices. Fourth, purchasing lists or registers that were illegally obtained. Fifth, unauthorized scraping from websites (large-scale collection in violation of terms of use). All of these constitute violations of Article 20, Paragraph 1.
提供元の不正を知りながらの受領
ガイドラインでは、提供元が不正に取得した個人情報であることを知りながら、その情報を受け取る行為も不正な取得に該当すると解釈されています。つまり、自ら直接不正な行為をしなくても、不正に取得されたデータであると認識した上で受領すれば、受領者自身も法20条1項に違反することになります。さらに、第三者提供の文脈では、提供元が法27条（第三者提供の制限）に違反して本人の同意なく提供した情報を、その事実を知りつつ受け取った場合、受領者も法20条違反を問われる可能性があります。
The guidelines interpret that receiving personal information while knowing that the provider acquired it improperly also constitutes improper acquisition. In other words, even if one does not directly commit an improper act oneself, accepting data with the awareness that it was improperly obtained means that the recipient themselves violates Article 20, Paragraph 1. Furthermore, in the context of third-party provision, if the provider violated Article 27 (restrictions on third-party provision) by providing data without the individual's consent, and the recipient received it knowing that fact, the recipient may also be held accountable for violating Article 20.
要配慮個人情報の取得制限（法20条2項）
法20条2項は、「要配慮個人情報」を取得する場合、あらかじめ本人の同意を得なければならないと規定しています。要配慮個人情報とは、本人に対する不当な差別、偏見その他の不利益が生じないよう、その取扱いに特に配慮を要する記述等が含まれる個人情報です。通常の個人情報と異なり、取得段階で本人の同意が原則必須である点が特徴です。
Article 20, Paragraph 2 stipulates that prior consent of the individual must be obtained before acquiring "sensitive personal information" (requiring special care). Sensitive personal information is personal information that contains descriptions requiring special care in handling, to prevent unjust discrimination, prejudice, or other disadvantage against the individual. Unlike ordinary personal information, its distinguishing feature is that the individual's consent is mandatory in principle at the acquisition stage.
要配慮個人情報の類型（1）〜（6）
要配慮個人情報の具体的な類型は以下のとおりです。（1）人種：民族的出自を表す情報。ただし「国籍」や「外国人」という情報は人種には該当しません。（2）信条：宗教的な信仰や政治的な信念（例：どの宗派に属するか、どの政党を支持するか）。（3）社会的身分：生まれながらにして有する身分で、自分の意志では変えられないもの。単なる職業や地位は含まれません。（4）病歴：過去に罹患した病気の記録。（5）犯罪の経歴：有罪判決を受けた事実（前科）。（6）犯罪により害を被った事実：犯罪被害者であるという情報。
The specific categories of sensitive personal information are as follows. (1) Race: information indicating ethnic origin. However, "nationality" or "foreigner" does not fall under race. (2) Creed: religious faith or political conviction (e.g., which religious sect one belongs to, which political party one supports). (3) Social status: status held from birth that cannot be changed by one's own will. Mere occupation or position is not included. (4) Medical history: records of past illnesses. (5) Criminal record: the fact of having received a guilty verdict (prior conviction). (6) Fact of being a crime victim: information about being a victim of crime.
要配慮個人情報の類型（7）〜（11）
（7）身体障害、知的障害、精神障害等：障害者手帳の交付を受けているか否かにかかわらず、障害があるという事実自体が該当します。（8）健康診断等の結果：定期健康診断やストレスチェックの結果など。（9）医師等による指導・診療・調剤：医療機関での診療記録や薬局での調剤記録。（10）逮捕、捜索等の刑事手続：被疑者として逮捕された事実や捜索を受けた事実。（11）少年保護事件の手続：家庭裁判所での少年審判に関する情報。
(7) Physical, intellectual, mental disabilities, etc.: applies regardless of whether the person has been issued a disability certificate — the fact of having a disability itself qualifies. (8) Results of health examinations, etc.: results of regular health checkups, stress checks, etc. (9) Guidance, medical treatment, and dispensing by doctors, etc.: medical treatment records at healthcare institutions and dispensing records at pharmacies. (10) Criminal procedures such as arrest and search: the fact of being arrested as a suspect or being subject to a search. (11) Juvenile protection case procedures: information relating to juvenile hearings at family courts.
同意不要の例外（法20条2項各号）
法20条2項各号は、要配慮個人情報の取得に際して本人の同意を要しない例外を列挙しています。第1号：法令に基づく場合（例：裁判所の令状に基づく捜査機関への回答、労働安全衛生法に基づく健康診断の実施）。第2号：人の生命、身体または財産の保護のために必要があり、かつ本人の同意を得ることが困難な場合（例：急病人の血液型や病歴を医師に伝える場合）。
Article 20, Paragraph 2, each item enumerates exceptions where consent is not required for acquiring sensitive personal information. Item 1: Cases based on laws and regulations (e.g., responding to investigative agencies based on a court warrant, implementing health examinations based on the Industrial Safety and Health Act). Item 2: Cases necessary for the protection of a person's life, body, or property, and where obtaining the individual's consent is difficult (e.g., conveying a suddenly ill person's blood type or medical history to a doctor).
第3号：公衆衛生の向上または児童の健全な育成の推進のために特に必要であり、かつ本人の同意を得ることが困難な場合（例：感染症の疫学調査、児童虐待に関する情報共有）。第4号：国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合（例：税務調査への協力）。
Item 3: Cases especially necessary for the improvement of public health or the promotion of sound development of children, and where obtaining consent is difficult (e.g., epidemiological investigation of infectious diseases, sharing information related to child abuse). Item 4: Cases where cooperation is necessary for the performance of duties stipulated by law by national or local government agencies or persons entrusted by them (e.g., cooperation with tax investigations).
第5号：本人が自ら公開した要配慮個人情報（例：本人がSNSで自分の病気について公表した場合）。第6号：外形上明らかな場合（例：車椅子を利用していることが外見から明らかな場合。ただし外見からは分からない内部障害は含まれません）。第7号：報道、著述、学術研究、宗教活動、政治活動の目的で取得する場合（適用除外の範囲）。
Item 5: Sensitive personal information that the individual has made public themselves (e.g., when the person publicly announced their illness on social media). Item 6: Cases where it is visually obvious from outward appearance (e.g., when it is apparent from appearance that a person uses a wheelchair. However, internal disabilities that cannot be discerned from appearance are not included). Item 7: Cases where acquisition is for the purpose of news reporting, writing, academic research, religious activities, or political activities (scope of application exclusion).
利用目的の通知等（法21条）
法21条は、個人情報を取得した場合の利用目的に関する義務を定めています。第1項では、個人情報を取得した場合は、速やかにその利用目的を本人に通知するか、または公表しなければならないとされています。ここで「通知」とは本人に直接知らせることであり、「公表」とは不特定多数が知り得る状態に置くことです。通知か公表かは事業者が選択できます。
Article 21 stipulates obligations regarding the purpose of use when personal information has been acquired. Paragraph 1 provides that when personal information is acquired, the purpose of use must be promptly notified to the individual or publicly announced. "Notification" here means directly informing the individual, while "public announcement" means placing the information in a state where an unspecified large number of people can know about it. The business operator can choose between notification and public announcement.
通知・公表の具体的な方法としては、以下が認められています。通知の方法：書面の交付、口頭での説明、メールの送信など。公表の方法：ウェブサイトへの掲載（プライバシーポリシー）、店頭掲示（ポスター・看板）、利用規約への明記など。なお、公表は取得前に行っておくことも可能であり、あらかじめプライバシーポリシーで利用目的を公表しておけば、個別の通知は不要になります。
Specific recognized methods of notification and public announcement include the following. Notification methods: delivery of written documents, oral explanation, sending emails, etc. Public announcement methods: posting on websites (privacy policy), storefront display (posters, signboards), explicit notation in terms of use, etc. Note that public announcement can also be done before acquisition — if the purpose of use is publicly announced in advance through a privacy policy, individual notification becomes unnecessary.
書面による直接取得：「明示」の要件（法21条2項）
法21条2項は、本人から直接書面（ウェブサイトの入力フォームを含む）により個人情報を取得する場合は、あらかじめ利用目的を本人に「明示」しなければならないと定めています。ここでの「明示」は、1項の「通知・公表」よりも厳しい要件です。単にウェブサイトのどこかに記載するだけでは足りず、本人が情報を提供する時点で、利用目的を確実に認識できる状態でなければなりません。具体的には、契約書、アンケート用紙、ウェブフォームの送信ボタンの近くに利用目的を表示する方法が考えられます。
Article 21, Paragraph 2 stipulates that when acquiring personal information directly from the individual via written documents (including website input forms), the purpose of use must be "clearly indicated" to the individual in advance. "Clear indication" here is a stricter requirement than the "notification or public announcement" of Paragraph 1. Simply posting it somewhere on a website is insufficient — the purpose of use must be in a state where the individual can reliably recognize it at the point when they provide their information. Specifically, methods include displaying the purpose of use on contract documents, questionnaire forms, or near the submit button of web forms.
通知・公表の例外（法21条4項）
法21条4項は、利用目的の通知・公表が不要となる例外を定めています。第1号：利用目的を本人に通知し、または公表することにより、本人または第三者の権利利益を害するおそれがある場合（例：不正検知のための監視目的を公表すると不正行為者に手口を教えることになる場合）。
Article 21, Paragraph 4 stipulates exceptions where notification or public announcement of the purpose of use is not required. Item 1: Cases where notification or public announcement of the purpose of use could harm the rights and interests of the individual or a third party (e.g., when publicly announcing the purpose of monitoring for fraud detection would inform perpetrators of the methods being used).
第2号：国の機関もしくは地方公共団体が法令の定める事務を遂行することに対して支障を及ぼすおそれがある場合（例：犯罪捜査に関連する情報収集の利用目的を公表すると捜査に支障が出る場合）。第3号：取得の状況から利用目的が明らかであると認められる場合（例：商談の場で名刺を交換する場合、連絡目的であることが明らか）。
Item 2: Cases where notification or public announcement could hinder the performance of duties stipulated by law by national or local government agencies (e.g., when publicly announcing the purpose of information collection related to criminal investigations would hinder the investigation). Item 3: Cases where the purpose of use is recognized as obvious from the circumstances of acquisition (e.g., when exchanging business cards at a business meeting, it is obvious that the purpose is for making contact).
まとめ
以上をまとめると、個人情報の取得に関しては三つの柱があります。第一に、法20条1項の適正な取得：偽りやその他不正な手段での取得を禁止。第二に、法20条2項の要配慮個人情報：原則として事前同意が必要（7つの例外あり）。第三に、法21条の利用目的の通知等：取得後速やかに通知・公表（1項）、書面取得の場合は事前に明示（2項）。これら三つの義務に違反した場合、個人情報保護委員会から勧告・命令を受ける可能性があり、命令違反には罰則が科されます。
To summarize, there are three pillars regarding the acquisition of personal information. First, proper acquisition under Article 20, Paragraph 1: acquisition through deception or other improper means is prohibited. Second, sensitive personal information under Article 20, Paragraph 2: prior consent is required in principle (with 7 exceptions). Third, notification of purpose of use under Article 21: prompt notification or public announcement after acquisition (Paragraph 1), and clear indication in advance for acquisition via written documents (Paragraph 2). Violating these three obligations may result in recommendations or orders from the Personal Information Protection Commission, and penalties are imposed for violating such orders.