個人のお客様からご自身に関する個人情報を開示してほしいという申し出を受けました。
このような申し出を受けた場合、どのような対応をとればよいでしょうか？
インデックス
個人情報保護法のWEB弁護士相談 - 入門・定義編 -
8. 個人情報の開示請求とは
個人情報の開示請求とは、企業が保有している個人情報の内容を明らかにすることを求める請求のことです。
個人情報保護法に従って適切に開示請求に対応できるように、開示請求についての理解を平時から深めておきましょう。
開示請求の対象となる情報の範囲や、開示請求の受付・開示方法について解説します。
開示請求とは
本人から保有個人データの開示請求を受けた場合、遅滞なく開示に応じなければならないのが原則です。
ここにいう「開示」は、どのような保有個人データを保有しているのかを示すことだけでなく、該当する保有個人データが存在しない旨を知らせることも含んでいます。
（個人情報保護法33条1項、2項柱書、施行規則30条、ガイドライン（通則編）3-8-2）
開示請求に応じる義務の対象となるのは、企業が保有するすべての個人情報でしょうか？
開示請求の対象となるのは、「保有個人データ」と「第三者提供記録」に限られます。
令和2年個人情報保護法改正（2022年4月施行）により範囲が拡大していますので、注意してください。
保有個人データについての詳しい解説は、「1.個人情報、個人データ、保有個人データの違い」の記事を参照してください。
第三者提供記録については、また改めて解説の機会を設ける予定です。
（個人情報保護法33条5項、施行令11条各号、（通則編）3-8-3）
顧客情報のデータベースの内容を開示することはできそうですが、従業員の手元メモ、受信・送信メールなどを漏れなく検索することは不可能です。
どのように対応すればよいでしょうか？
特定の個人情報を検索することができない状態になっているのであれば、「保有個人データ」に該当しませんので、開示請求に応じる義務の範囲外となります。
実現不可能な対応を強いる趣旨の制度ではありませんので、ご安心ください。
（Q&A9-5）
お客様が自身の個人情報に加えて家族の個人情報の開示も請求してきた場合、それに応じなければならないのでしょうか？
開示請求は本人の保有個人データが対象であるため、たとえ本人の家族や知人の保有個人データであっても開示請求の対象外です。
本人に対してその家族や知人の保有個人データを開示してしまうと、かえって守秘義務違反の問題が生じるため、注意が必要です。
（Q&A9-8）
契約書代替の方法で第三者提供記録を行っている場合、第三者提供記録として契約書の内容をすべて開示しなければならないのですか？
第三者提供記録を本人に開示する場合、個人情報保護法で記録事項とされている事項を開示すればよいとされています。
そのため、契約書代替の方法で第三者提供記録を行っている場合は、その契約書から記録事項を抽出して開示すれば十分で、契約書そのものを開示する必要はありません。
具体的な方法としては、記録事項以外の部分をマスキングして開示する方法や、記録事項を抜粋して別媒体に記録して開示する方法が考えられますね。
（ガイドライン（通則編）3-8-3-2、Q&A9-16）
お客様から「自分について、どのような情報を保有しているのか開示してほしい」と電話やメールで申し出を受けた際の初動対応におけるポイントを教えてください。
初動対応のポイントは、お客様からの申し出が個人情報保護法に基づく開示請求を行う趣旨かどうかを適切に確認することです。
開示請求を行う趣旨であれば、後に説明する受付方法を案内し、所定書式での開示請求書や本人確認書類の提出、手数料の支払などを求めることになります。
実務上は、クレームを述べる趣旨でなされただけの発言であったとして、正式な開示請求までは行わないという結果となることもあります。
開示しないことができる場合とは
本人に対して開示を行わなくてもよい場合はありますか？
以下の1～3に当てはまる場合には、例外的に全部または一部の開示を行わなくてもよいとされています。
- 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
- 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
- 他の法令に違反することとなる場合
（参照：個人情報保護法33条2項各号）
1.本⼈または第三者の⽣命、⾝体、財産その他の権利利益を害するおそれがある場合について、例えば、当社と取引先との間のメールでの連絡内容はどうでしょうか？
確かに、個人顧客に関する情報をメール本文や添付ファイルでやりとりすることはありますが、取引先との間の守秘義務との抵触が生じますので、個人に対する開示を行うことは避けたいです。
本人以外の第三者とのメールやチャットの連絡履歴については、第三者のプライバシーや取引上の秘密を侵害するということであれば、1.本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合に該当します。
2.個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合とは、具体的にどのような場合ですか？
ガイドラインでもいくつか事例が挙げられていますが、大別すると次の2つの場合が考えられます。
- 開示に応じることによりその個人情報を利用する業務に支障が生じる場合（取引先に対する信用調査の結果、試験の採点結果など）
- 開示請求そのものの態様により企業の業務に支障が生じる場合（同一内容による開示請求が繰り返し行われている場合など）
（参照：ガイドライン（通則編）3-8-2）
ただし、単に開示する個人情報の量が多いという理由だけでは不十分であるとされています。
（ガイドライン（通則編）3-8-2）
特に、2.個⼈情報取扱事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合に該当すると言えるかどうかについては、実質的に開示を拒否しているとの疑念を生じさせることのないように、具体的な状況を踏まえて丁寧に検討するようにしましょう。
お客様からの商品クレームに関するお問合せをデータベース化しています。
データベースには、ユーザーの氏名・電話番号・対応履歴だけでなく、悪質なクレーマーかどうかの評価も記録されています。
これらの情報についても開示請求に応じなければならないですか?
いわゆる不審者や悪質なクレーマーなどについての情報は、そもそも保有個人データに該当しないことを理由に、開示請求の対象外と整理できる可能性があります。
保有個人データについての詳しい解説は、「1.個人情報、個人データ、保有個人データの違い」の記事を参照してください。
（ガイドライン（通則編）3-8-5）
また、仮に保有個人データに該当するとしても、開示により、2.個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当するとすれば、開示に応じないと判断することもできます。
（個人情報保護法16条4項、33条2項2号、施行令5条2号、ガイドライン（通則編）2-7、Q&A9-9）
従業員に関する情報には人事評価や選考についての情報が含まれています。
これらの情報を非公開にするためにあらかじめどのような対応をとることが望ましいですか？
従業員に関する雇用管理情報については、開示により2.個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合にあてはまる情報の範囲をあらかじめ定めておき、従業員に周知することが望ましいとされていますね。
必要に応じて労働組合などと協議することも考えられます。
（Q&A9-11）
開示請求を拒むことができる場合、本人に対してその理由を説明する必要はありますか？
本人からの開示請求の全部または一部について、開示を拒む旨や別の措置をとる旨を本人に通知する場合には、本人に対して、その理由を説明するように努めなければならないとされています。
（個人情報保護法36条、ガイドライン（通則編）3-8-6）
開示請求の受付時の流れ
個人から開示請求を行いたいとの申し出があった場合、開示請求をどのように受け付ければよいでしょうか？
開示請求の受付方法については、企業各社において定めることができます。
どの部署で受付対応を行うかなど、企業の実態に即したルールを定めるようにしましょう。
開示請求の受付方法をあらかじめ定めていない場合には、本人は任意の方法により開示を請求できるとされていますので、注意が必要です。
（個人情報保護法37条1項、ガイドライン（通則編）3-8-7、Q&A9-25）
また、受付方法の内容は、本人に過重な負担を課すものとならないよう配慮しなければなりません。
（個人情報保護法37条4項）
必要以上に煩雑な書類の記載を求めるなど、開示請求を躊躇させるような受付方法を定めることは違法と評価されるおそれがありますので、同業他社と同水準の受付方法にしておくことが無難です。
開示請求の受付方法を公表する必要はありますか？
開示請求の受付方法は、本人の知り得る状態に置かなければなりません。
公表すればこの要件をみたしますが、本人の求めに応じて遅滞なく回答する体制を整えておくことでも構いません。
ホームページに掲載する場合には、簡単な操作によって手続きに関するページへ到達でき、円滑に請求を行えるようにしておくことが望ましいとされています。
また、本人の求めに応じて遅滞なく回答することによって対応する場合には、その前提として、簡単な操作によって手続きに関する問い合わせをできるようにすることが望ましいとされています。
（個人情報保護法32条1項3号、37条1～4項、施行令12条各号、ガイドライン（通則編）3-8-7）
開示請求の受付方法として、具体的にどのような事項を定めることができますか？
以下の1～4の事項を定めることができます。
- 請求の申出先
担当窓口名・係名、郵送先住所、受付電話番号、受付FAX番号、メールアドレス - 請求に際して提出すべき書面・電磁的記録の様式、その他の請求の受付方法
郵送、FAX、電子メール、ウェブサイトなどオンラインで受け付ける - 請求者が本人またはその代理人であることの確認の方法
本人確認書類の提出、キャッシュカードの暗証番号の入力 - 個人情報を開示する際に徴収する手数料の徴収方法
銀行振込、オンライン決済
（参照：ガイドライン（通則編）3-8-7）
開示請求の受付方法を定める際に、特に気を付けるべき事項はありますか？
本人またはその代理人であることの確認を確実に行うようにしましょう。
万一確認が不十分で本人になりすました第三者に開示を行ってしまった場合は、プライバシー侵害や守秘義務違反の問題が生じるおそれがあります。
具体的には、どのように本人確認を行うのですか？
開示請求を窓口で受け付ける場合には、運転免許証やマイナンバーカードなどの提示を求めることが一般的です。
郵送・FAXの場合には、運転免許証やマイナンバーカードなどのコピーの送付によって本人確認を行います。
オンラインでの受付を行うのであれば、IDとパスワードの入力を経なければアクセスできないマイページから請求を行う仕組みにすることが考えられます。
（ガイドライン（通則編）3-8-7）
本人の代理人であることはどのように確認したらよいでしょうか？
上述のような本人確認書類の提出を代理人についても求めることに加えて、代理権を与える旨の委任状の提出を求めることが考えられますね。
親権者が未成年者の法定代理人であることを示す場合は、委任状の代わりに、本人・代理人が共に記載され、その続柄が示された戸籍謄抄本や住民票の写しを提出してもらいます。
成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書の提出によって代理権を確認します。
（ガイドライン（通則編）3-8-7）
お客様から「私に関する情報すべて」を開示するように請求を受けています。
弊社側でそのお客様に関する保有個人データを網羅的に調査して開示しなければならないのでしょうか？
開示請求を受けた場合には、円滑にその手続を行えるように、本人に対して開示請求の対象となる保有個人データの特定に必要な事項の提示を求めることができるとされています。
個人情報の項目、事業の種類、取得時期などで範囲を特定するように促す対応を行うとよいでしょう。
ただし、その際には、本人が容易かつ的確に開示を請求できるよう、その保有個人データの特定に資する情報を提供するなど、本人の利便性を考慮しなければならないとされています。
（個人情報保護法37条2項、ガイドライン（通則編）3-8-7）
開示の方法とは
企業が開示請求に応じる場合、どのような方法で開示すべきでしょうか？
本人が指定した方法により開示を行う必要があります。
具体的には、書面の交付、電子データ（電磁的記録）の提供または企業が定める独自の方法のいずれかを本人に指定いただくことになります。
ただし、本人が指定した方法による開示に多額の費用を要する場合やその方法による開示が困難である場合には、企業側で、書面の交付による開示を指定することができます。
（個人情報保護法33条1～2項、施行規則30条、ガイドライン（通則編）3-8-2）
電子データ（電磁的記録）の提供による方法の具体例を教えてください。
CD-ROMなどの媒体の郵送、電子メールの添付ファイルとしての送信、ダウンロード用のWebページへのアップロードなどが考えられます。
いずれを採用するかは企業側の裁量判断になりますので、それぞれの長所と短所を比較検討し、適切なものを選択してください。
（ガイドライン（通則編）3-8-2）
書面、電子データ（電磁的記録）以外に、企業が定める独自の方法もあるのですね。
その具体例を教えてください。
ガイドライン（通則編）では、企業の本支店で音声・動画データを視聴してもらう方法や、企業指定の場所で文書の閲覧をしてもらう方法が紹介されています。
（ガイドライン（通則編）3-8-2）
本人が請求する方法による開示に多額の費用を要する場合やその方法による開示が困難である場合とは、具体的にどのような場合ですか？
例えば、電磁的記録の提供による開示請求に応じるために大規模なシステム改修を行わなければならないような場合や、書面で個人情報や帳簿の管理を行っているため電磁的記録の提供に対応することが困難な場合が挙げられます。
もっとも、本人が請求する方法による開示が困難な場合であっても、それを理由に直ちに書面の交付による開示を行うのではなく、企業側で対応可能な方法や様式への変更を求めることが望ましいとされています。
開示請求を受け付ける際に提出してもらう開示請求書の書式に、企業側で対応可能な方法や様式をあらかじめ記載しておくといった対応をとるとよいでしょう。
（ガイドライン（通則編）3-8-2）
ご注意いただきたい点
- 2023年4月1日に施行されている法令等をもとに執筆されています。同日以降の改正の有無については、個別にお問い合わせください。
- 個人情報保護法では、個人情報・個人データ・保有個人データの用語が使い分けられていますが、記事中では「個人情報」を「個人データ」「保有個人データ」と同じ意味で使用しています。
- この記事で登場する法令名と資料の略称は、次のとおりです。
- 個人情報保護法：「個人情報の保護に関する法律」
- 施行規則：「個人情報の保護に関する法律施行規則」
- ガイドライン（通則編）：「個人情報の保護に関する法律についてのガイドライン（通則編）」
- ガイドライン（仮名・匿名加工編）：「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」
- 金融分野ガイドライン：「金融分野における個人情報保護に関するガイドライン」
- 信用分野ガイドライン：「信用分野における個人情報保護に関するガイドライン」
- Q&A：「個人情報の保護に関する法律についてのガイドライン に関するQ&A」
- 金融分野Q&A：「金融機関における個人情報保護に関するQ&A」
- 不正アクセス禁止法：「不正アクセス行為の禁止等に関する法律」
- 個人情報取扱事業者からの初回のご相談は60分無料ですので、お気軽にお問い合わせください。なお、個人の方からの個人情報保護法に関するご相談には、一律対応しておりません。
関連リンク
「個人情報保護法のWEB弁護士相談 - 入門・定義編 -」（記事一覧）
関連業務のご紹介
ご依頼までの流れ
1. 資料のダウンロード
当事務所の業務紹介資料をこちらからダウンロードいただけます。
2. ご依頼に向けた初回相談
3. 初回相談後の流れ
初回相談後に、お聞かせいただいたお話の内容をもとに、当事務所が提供できる業務の内容と料金のお見積をご提示いたします。
料金は、タイムチャージ（弁護士の時間単価×業務に要した時間による積算）を原則としております。
なお、債権回収案件などでは着手金・報酬金方式をご提案させていただくこともあります。
また、顧問契約（法律事務基本契約）の締結をご希望される方には、顧問契約のお見積もご提示いたします。
ご依頼いただける場合の料金のお支払には、銀行振込のほか、クレジットカード（VISA、Mastercard、JCB、AMEX）、PayPay、PayPalをご利用いただけます。（ご依頼内容により銀行振込のみでのお支払いとなる場合がございます。）
PDFとしてダウンロードしたい場合は、印刷の設定画⾯で
「プリンター」を「PDFに保存」に変更してください。