情報セキュリティにおける「使用と開示」の原則とは？

使用と開示の原則の基本概念

個人情報は、収集時の本来の目的（主目的）、または本人が合理的に予想できる関連する目的のためにのみ使用・開示されるべきです。ただし、一部の特定の二次目的については、本人の同意がなくても使用が認められる場合があります。

この原則は、二次目的のための個人情報の利用に制限を設けるものです。端的に言えば、主目的と無関係な二次目的や、本人が予想できない目的での利用は、本人の同意がある場合、あるいは強力な公共の利益が必要とする場合にのみ行うべきとされています。

原則に含まれる具体的な要件

この原則には、以下のような要件が含まれています。

二次目的での利用・開示の例外条件

機関は、収集時の主目的以外の目的（二次目的）で個人情報を使用または開示してはなりません。ただし、以下のいずれかに該当する場合は例外として認められます。

• (a) 機微情報の場合：二次目的が主目的に直接関連しており、本人がその二次目的での使用や開示を合理的に予想できること。
• (b) 機微情報以外の場合：二次目的が主目的に関連しており、本人がその二次目的での使用や開示を合理的に予想できること。
• (c) 同意がある場合：本人が情報の使用または開示に同意していること。
• (d) 緊急事態の場合：機関が、本人または第三者の生命・健康・安全に対する重大かつ差し迫った脅威、あるいは公衆衛生や公共の安全に対する重大な危険を軽減または回避するために必要であると合理的に判断すること。
• (e) 違法行為の調査の場合：機関が違法行為が行われた、行われている、または行われるおそれがあると疑う理由があり、その調査の一環として、あるいは関係者や当局への報告として情報を使用・開示すること。
• (f) 法令に基づく場合：法律により使用または開示が義務付けられている、または認められていること。

法執行機関への提供

機関が、法執行機関による以下の目的のために使用・開示が合理的に必要であると判断する場合も、例外的に認められます。

• 犯罪または法令違反の予防、検出、調査、起訴、処罰
• 犯罪収益の没収に関する法律の執行
• 公共歳入（国税収入）の保護
• 重大な不正行為または規定された行為の予防、検出、調査、是正
• 裁判所または審判機関における手続きの準備・実施、ならびに裁判所・審判機関の命令の執行

その他の重要な責務

• 機関は、管轄区域外の者へ個人情報を移転する場合にも、IPP 9（適正な収集の原則）の要件を遵守する責任を負います。
• 機関が法執行機関に個人情報を提供または開示した場合、その使用または開示の内容について文書による記録を作成しなければなりません。