課題Ⅰ 第６編 保有個人データに関する義務
個人情報保護法では、個人情報取扱事業者が保有する個人データのうち、本人からの開示・訂正・削除等の請求に応じる権限を有するものを「保有個人データ」と呼びます。第6編は、この保有個人データに関する事業者の義務と本人の権利を体系的に定めており、法第32条から第39条までの規定を含みます。試験では特に開示請求と利用停止請求が頻出します。
Under the Act on the Protection of Personal Information, personal data held by a business operator for which the operator has the authority to respond to requests for disclosure, correction, deletion, etc. from the individual is called "retained personal data." Section 6 systematically sets out the obligations of business operators and the rights of individuals regarding this retained personal data, encompassing Articles 32 through 39. Disclosure requests and cessation-of-use requests appear especially frequently on the exam.
法32条1項：本人への周知事項
法第32条第1項は、事業者に対して、保有個人データに関する一定の事項を本人の知り得る状態に置く義務を課しています。具体的な周知事項は次のとおりです。（a）事業者の名称・住所・代表者の氏名、（b）すべての保有個人データの利用目的、（c）開示等の請求に応じる手続、（d）苦情の申出先、（e）認定個人情報保護団体の名称及び苦情の申出先。
Article 32, Paragraph 1 imposes on business operators the obligation to make certain matters regarding retained personal data available to individuals. The specific items to be made known are: (a) the name, address, and representative's name of the business operator; (b) the purpose of use for ALL retained personal data; (c) procedures for requests such as disclosure; (d) the contact point for complaints; and (e) the name and complaint contact of any accredited personal information protection organization.
2022年改正により、周知事項に新たに（f）安全管理措置の内容が追加されました。つまり、事業者はどのような安全管理措置を講じているかを公表しなければなりません。例えば、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置の概要を開示する必要があります。
The 2022 amendment newly added (f) the content of security management measures to the list of items to be made known. In other words, business operators must publicly disclose what security management measures they have taken — for example, an outline of organizational, personnel-related, physical, and technical security management measures.
周知の方法としては、自社ウェブサイトへの掲載、事務所への掲示、パンフレットの配布などが認められています。重要なのは、本人が容易に知り得る状態であることが求められる点です。単に社内文書として保管するだけでは不十分です。
Acceptable methods for making information known include publication on the company website, posting at the office, and distributing pamphlets. The key point is that the information must be in a state where the individual can easily learn of it — merely storing it as an internal document is insufficient.
法32条2-3項：利用目的の通知の求め
法第32条第2項により、本人は事業者に対して、自己の保有個人データの利用目的の通知を求めることができます。事業者は、この求めを受けたときは、遅滞なく本人に通知しなければなりません。「遅滞なく」とは、理由のない遅れなくという意味であり、合理的な期間内に対応することが求められます。
Under Article 32, Paragraph 2, individuals can request the business operator to notify them of the purpose of use of their retained personal data. The operator must notify the individual without delay upon receiving this request. "Without delay" means without unreasonable delay — the operator is required to respond within a reasonable period.
ただし、法第32条第3項は、通知を拒否できる例外を定めています。（a）利用目的がすでに公表されている場合、（b）通知することにより本人又は第三者の権利利益を害するおそれがある場合、（c）国の機関等が法令の定める事務を遂行するのに支障を及ぼすおそれがある場合。拒否した場合は、本人にその旨を通知しなければなりません。
However, Article 32, Paragraph 3 provides exceptions where notification may be refused: (a) when the purpose of use has already been publicly announced; (b) when notification would risk harming the rights or interests of the individual or a third party; (c) when it would impede government agencies in carrying out duties prescribed by law. When the operator declines, the individual must be notified of that decision.
法33条：開示請求
法第33条は、本人が事業者に対して、自己の保有個人データの開示を請求する権利を定めています。これは保有個人データに関する本人の権利の中でも最も基本的な権利であり、試験でも頻繁に出題されます。
Article 33 establishes the individual's right to request disclosure of their retained personal data from the business operator. This is the most fundamental right among the individual's rights regarding retained personal data, and it is tested very frequently on the exam.
2022年改正前は、開示の方法は原則として書面の交付に限られていました。しかし、改正後は、本人が電磁的記録（デジタルデータ）による提供を含む方法を指定できるようになりました。例えば、CSVファイル、電子メールへの添付、ウェブ上でのダウンロードなどの方法が考えられます。これはデータポータビリティの実現に向けた重要な一歩です。
Before the 2022 amendment, disclosure was in principle limited to delivery in written form. However, after the amendment, individuals can now specify a method that includes provision via electromagnetic records (digital data) — for example, CSV files, email attachments, or web downloads. This is an important step toward realizing data portability.
事業者は原則として、本人が指定した方法により開示しなければなりません。ただし、当該方法による開示に多額の費用を要する場合その他当該方法による開示が困難な場合は、書面の交付による方法で開示できます。
In principle, the business operator must disclose via the method specified by the individual. However, if disclosure by that method would require excessive costs or is otherwise difficult, the operator may disclose by delivering a written document instead.
開示を拒否できる場合も法定されています。（a）本人又は第三者の生命・身体・財産その他の権利利益を害するおそれがある場合、（b）事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、（c）他の法令に違反することとなる場合。開示しない旨の決定をしたときは、本人にその旨を遅滞なく通知し、理由を説明しなければなりません。
There are also legally prescribed grounds for refusing disclosure: (a) when it would risk harming the life, body, property, or other rights/interests of the individual or a third party; (b) when it would significantly impede the proper conduct of business operations; (c) when it would violate other laws or regulations. When the operator decides not to disclose, the individual must be notified without delay and given the reasons.
法34条：訂正等の請求
法第34条は、保有個人データの内容が事実と異なる場合に、本人が訂正・追加・削除を請求できる権利を規定しています。ここで注意すべきは、「事実と異なる」ことが要件である点です。単なる評価や意見の相違では訂正請求の対象にはなりません。
Article 34 provides the right for individuals to request correction, addition, or deletion when the content of retained personal data differs from the facts. An important point is that "differing from the facts" is a requirement — mere differences in evaluation or opinion do not qualify as grounds for a correction request.
事業者は請求を受けたときは、利用目的の達成に必要な範囲内で遅滞なく必要な調査を行い、その結果に基づき訂正等を行わなければなりません。「利用目的の達成に必要な範囲内」という限定がかかる点は重要です。訂正等を行った場合も行わなかった場合も、本人に遅滞なく通知する必要があります。
Upon receiving a request, the business operator must promptly investigate within the scope necessary to achieve the purpose of use, and carry out correction etc. based on the results. The important point is the limitation "within the scope necessary for achieving the purpose of use." Whether or not correction is carried out, the individual must be notified without delay.
法35条：利用停止等の請求（2022年改正で拡大）
法第35条は利用停止等の請求権について定めています。改正前の旧法では、利用停止を請求できるのは限定的な場合のみでした。具体的には、法第18条違反（目的外利用）又は法第20条違反（不正取得）の場合に限られていました。
Article 35 governs the right to request cessation of use, etc. Under the old law before amendment, the right to request cessation was limited to specific cases — namely, violation of Article 18 (use beyond purpose) or violation of Article 20 (improper acquisition).
2022年改正により、利用停止請求権は大幅に拡大されました。新たに追加された請求事由は次の3つです。（1）保有個人データを利用する必要がなくなった場合。（2）法第26条第1項に規定する漏洩等が生じた場合。（3）その他本人の権利又は正当な利益が害されるおそれがある場合。
The 2022 amendment significantly expanded the right to request cessation of use. Three new grounds were added: (1) when the retained personal data is no longer needed; (2) when a breach as prescribed in Article 26, Paragraph 1 has occurred; (3) when the rights or legitimate interests of the individual may otherwise be harmed.
さらに、同じ拡大された事由に基づいて、第三者提供の停止も請求できます。つまり、本人は自己の保有個人データが第三者に提供されることを止めることも請求できるのです。事業者は請求に理由があると認めたときは、遅滞なく利用停止等を行わなければなりません。
Furthermore, cessation of third-party provision can also be requested based on the same expanded grounds. In other words, individuals can also request that the provision of their retained personal data to third parties be stopped. When the operator finds the request to be justified, it must carry out cessation of use, etc. without delay.
利用停止等に多額の費用を要する場合その他利用停止等を行うことが困難な場合、事業者は本人の権利利益を保護するための代替措置を講じることで対応できます。例えば、該当データへのアクセス制限を強化するなどの措置が考えられます。
When cessation of use would require excessive costs or is otherwise difficult, the business operator may respond by taking alternative measures to protect the rights and interests of the individual. For example, strengthening access restrictions on the relevant data may be considered.
法37-38条：手続と手数料
法第37条は、事業者が開示等の請求を受け付ける手続を定めることを認めています。具体的に定めることができる事項は、（a）請求の申出先（提出方法）、（b）本人確認のために必要な書類（身分証明書など）、（c）対象となる保有個人データの特定に必要な情報です。
Article 37 permits business operators to establish procedures for accepting requests such as disclosure. Specifically, they can prescribe: (a) where and how to submit requests; (b) documents necessary for identity verification (such as identification certificates); (c) information necessary to specify the retained personal data in question.
ただし、手続の定めは本人に過重な負担を課すものであってはなりません。例えば、遠方の特定の窓口でしか受け付けないとか、不必要に多くの書類を求めることは許されません。本人が容易にかつ的確に請求できる環境を整備することが求められます。
However, the established procedures must not impose an excessive burden on individuals. For example, only accepting requests at a specific distant counter, or requiring an unnecessarily large number of documents, is not permitted. Operators are required to create an environment where individuals can make requests easily and accurately.
法第38条は、事業者が開示等の請求に対して手数料を徴収できることを認めています。ただし、手数料は実費を勘案して合理的であると認められる範囲内でなければなりません。過大な手数料を設定することで本人の権利行使を事実上妨げることは許されません。
Article 38 permits business operators to collect fees for requests such as disclosure. However, the fees must be within a range recognized as reasonable considering actual costs. Setting excessive fees that would de facto hinder the exercise of the individual's rights is not permitted.
法39条：裁判上の訴えの事前請求
法第39条は、裁判上の訴えに関する事前請求制度を定めています。本人が開示・訂正・利用停止等について裁判を起こすには、まず事業者に対して請求を行わなければなりません。いきなり裁判所に訴えを提起することはできません。
Article 39 establishes the pre-litigation request system. Before an individual can file a lawsuit regarding disclosure, correction, or cessation of use, they must first make a request to the business operator. They cannot file directly with the court.
具体的には、事業者への請求の日から2週間を経過した後でなければ訴えを提起できません。この2週間は、事業者に自主的に対応する機会を与える趣旨です。もちろん、事業者から不満足な回答を受けた場合にも訴えを提起できます。
Specifically, the individual cannot file suit until 2 weeks have elapsed from the date of the request to the business operator. This 2-week period is intended to give the operator an opportunity to respond voluntarily. Of course, if the individual receives an unsatisfactory response, they can also file suit.
全体の整理：権利行使の流れ
第6編全体を整理すると、本人の権利は次の流れで行使されます。まず法32条で周知と利用目的の通知を求め、法33条で開示を請求し、内容に問題があれば法34条で訂正を請求し、不当な利用があれば法35条で利用停止を請求し、事業者が応じなければ法39条で裁判に訴えるという構造です。
Organizing Section 6 as a whole: individual rights are exercised in the following flow. First, under Art. 32, request public notice and notification of purpose of use; under Art. 33, request disclosure; if the content has problems, request correction under Art. 34; if there is improper use, request cessation under Art. 35; and if the operator does not comply, file a lawsuit under Art. 39.