鈴木正朝先生から「昔、宅配便の伝票（送り状）の控えが営業所から盗まれた事件があったよ」と聞き、新聞報道を調べたところ、1995年に、ヤマト運輸函館朝市営業所の所長が顧客が書いた伝票の控えを横流しした事件が見つかった。*1
函館朝市内の各店から商品の宅配を請け負っているヤマト運輸（本社・東京）函館朝市営業所=（略）の従業員が、同朝市の顧客情報を最大で約九万件、同市内の別の観光土産店に流していたことが、二十九日わかった。ヤマト運輸本社も事実を認めており、道運輸局は同社から事情を聴くことにしている。
ヤマト運輸本社によると、同営業所の男性従業員（42）が今年十月、同営業所で六、七月に扱った宅配便の送り状控えを持ち出し、観光土産販売の道内最大手、オホーツク観光（本社・網走管内端野町）が経営する函館市内の土産店「おれの箱館本店」に提供。三日後に返却を受けたという。
「おれの箱館本店」は、この控えを基にしてダイレクトメールを発送したとみられ、十月中旬、メールを受け取った函館朝市の顧客十数人から、朝市の各店に問い合わせが相次いだ。朝市側の要請で同営業所が内部調査した結果、顧客情報の流出が判明。流出した送り状の控えは約四万件とも約九万件とも説明している。
ヤマト運輸は、送り状の控えを事業所ごとに一年間保管しているが、統一した管理基準は設けていない。同社北海道支社の遠藤英男支社長は「顧客情報の提供で、新たな得意先を獲得しようとして勇み足になった。金銭の授受はなかったが、顧客の信頼を裏切り、申し訳ない」と釈明。
オホーツク観光本社は「ダイレクトメール用の名簿は名簿業者から買っている。今回の件は知らなかった。事実なら、社会常識に反することで、今後は差し控えたい」と話している。道運輸局自動車部貨物課は「顧客名簿の流出は法には触れないが、個人情報を漏らさないのは常識。事実であれば行政指導する」と話している。（略）
（略）同社広報部（東京）によると、流出した個人情報は函館朝市の各店から配達された、今年六月と七月分の宅配便伝票の控え伝票。宅配便の伝票は五枚つづりになっており、この一枚を会社側が控えとして保管している。控えには依頼主と送り先の住所、氏名、電話番号が依頼主の手書きで記載されている。
十月初めに取引先の土産店から「年末のダイレクトメール用に顧客名簿を見せてほしい」と依頼を受け、同従業員が貸し出したという。控えは二、三日後に返却され金銭授受もなかったと説明している。
控えの管理は、各営業所が倉庫内の段ボール箱に入れ七年間保管しているが、社外への持ち出しは禁止されている。しかし、管理の具体的方法は各営業所に任されているという。
土産店では、この控えをコピーして住所と氏名の部分だけを切り取り、ダイレクトメールの封筒に張りつけ約四万件を発送した。
ダイレクトメールを受け取った人が、自分の筆跡がコピーされていることに不審を抱き、同社に問い合わせた結果、提供の事実が発覚した。
宅配事業を指導している道運輸局は「個人情報の流出は貨物自動車運送事業法などの法律には触れないが、伝票の控えは契約書代わりに保管する必要がある書類。事実関係を調べ、顧客情報の管理について指導していきたい」と話している。（略）
ヤマト運輸函館朝市営業所の顧客情報が大量に流出していた問題で、情報の提供を受けていたオホーツク観光（本社・網走管内端野町、渡辺政義社長）経営の土産店「おれの箱館本店」（函館市若松町）が、入手した送り状控えのあて名をコピーしそのまま自社のダイレクトメール封筒に張って発送していたことが三十日、分かった。
朝市加盟店が保存していた送り状の控えと、「おれの箱館本店」から顧客に送られたダイレクトメールの封筒を照合した結果、メールの封筒のあて名は保管分と同一で、書き損じの部分も完全に一致した。
朝市加盟店では今回のケースについて、「いくらなんでも控えをコピーして、そのままあて名に流用するとは...」と、モラルを欠いた商法に怒っている。
渡辺社長は「函館の店が勝手にやったことだが、社会常識から外れないよう注意した」と話している。
また大量の顧客情報を流されたことで、函館朝市塩干物商業協同組合（略）は同日までに、ヤマト運輸に対し、全国紙への謝罪広告掲載を求めた。個別の店舗からも同様の要求があり、明確な謝罪がない場合、同社に損害賠償を請求する動きも出ている。ヤマト運輸東京本社は「まだ各店に事情を説明している段階で、すぐに対応できない」と話している。
（略）席上、同連合会側は名簿を持ち出した人物の特定を強く迫ったのに対し、同支社長は「朝市営業所の所長だ。会社として組織的に持ち出したわけではない。単独でやったこと」と述べた。
同支社長は同連合会が求めている全国紙への謝罪広告掲載について「流出名簿を特定し、一人ずつ謝罪の電話をかけ、流出先からのダイレクトメールを破棄するようにお願いしているので、広告掲載の必要はない」と述べ、拒否することを伝えた。これに対し、同連合会内では同社に対し謝罪広告掲載を引き続き求め、損害賠償を要求する構えだ。
いやはや、今では到底考えられないことだ。「控えをコピーして住所と氏名の部分だけを切り取り、ダイレクトメールの封筒に張りつけ約四万件を発送」、「受け取った人が、自分の筆跡がコピーされていることに不審を抱き」という展開がなんとも微笑ましい、20年前の牧歌的な日本のデータ保護状況だ。
それでも、ここからわかることは、民間に対する個人情報保護法の義務がなかった20年前*2でも、こうした顧客情報の横流しは非難されるべきこととされているし、ダイレクトメールを送られた人々は疑問に思っているし、出汁にされた朝市加盟店は自分らの商売の信頼が損なわれかねないと考えたようだということである。宅配便会社の支社長レベルでも「新たな得意先を獲得しようとして勇み足になった」などと不用意なコメントが出てくるあたり、不安が残るところだが、個人情報保護法のある今日では、このような不安はすっかり払拭されており、安心して宅配便を利用できる時代となっているわけだ。
それはともかく、この事件に注目したのは、これが2016年の今起きたとしたら、個人情報保護法に基づいて主務大臣は安全管理措置義務違反として勧告なり命令ができるのかである。当然にできると思われているかもしれないが、そうでもない。
まず、今日の宅配便事業では、手書きの送り状も、電子化されて「個人情報データベース等」（2条2項）に該当するデータベースに入力され、管理されているだろう（1995年の事件当時もそうだったかもしれない）。その「個人情報データベース等」から出力される1件の送り状（出力帳票）は、その事業者においては「個人データ」（2条4項）に当たり、安全管理措置と従業者の監督の義務（20条、21条）がかかる。
しかし、この事件で問題となったのは、「個人情報データベース等」に入力される元となる送り状の控えであり、そのような入力帳票は、「個人データ」に該当しないというのが法の政府解釈となっているのである。
この解釈は、経産省ガイドラインでは2-1-4で例示されているだけ*3だが、金融庁ガイドラインQ&Aはこれを明確に説明している。
2-1-4. 「個人データ」（法第2条第4項関連）
【個人データに該当しない事例】
事例）個人情報データベース等を構成する前の入力帳票に記載されている個人情報個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン, 平成26年12月12日厚生労働省・経済産業省告示第4号
（問II-7）顧客から提出された書類と「個人データ」について、
�〃戚鷭馘�の書類の形で本人から提出され、これからデータベースに登録しようとしている情報は「個人データ」に該当するか。
�▲如璽織戞璽垢謀佻燭靴晋紊侶戚鷭馘�は「個人データ」に該当するか。
��その後データベースから例えば紙にメモするなどして取り出された情報は、「個人データ」に該当するのか。それとも当該メモ自体が容易に検索可能な形で整理されていないのであれば、「個人データ」ではない「個人情報」として扱われるのか。
�せ罎離瓮發任呂覆�口頭で第三者に伝えた場合はどうか。（答え）
� 峺朕優如璽拭廚箸蓮◆峺朕余霾鵐如璽織戞璽硬�を構成する個人情報」をいいます（個人情報保護法第2条第4項）。データベース化されていない個人情報は、たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。
�△泙拭�記載されている情報がデータベース化され、「個人データ」となったとしても、契約書等の書類そのものは、「個人情報データベース等を構成する」とは言えないため、「個人データ」には該当しません。
もっとも、当該契約書等が、ファイリングされるなどして、それ自体「特定の個人情報を容易に検索することができるよう体系的に構成したものであって、目次、索引、符号等により一般的に容易に検索可能な状態に置かれている」と言える場合には、当該契約書等は「個人情報データベース等を構成する」と言え、「個人データ」に該当します。
��また、「個人情報データベース等」から紙面に出力されたものやそのコピーは、それ自体が容易に検索可能な形で体系的に整理された一部でなくとも、「個人データ」の「取扱い」の結果であり、個人情報保護法上の様々な規制がかかります。
「個人情報データベース等」から紙にメモするなどして取り出された情報についても、同様に「個人データ」と解される可能性があります。
なお、その出力されたものやそのコピーが、委託先や第三者に提供された場合は、当該委託先や第三者にとっては、（その出力されたものやコピーが容易に検索可能な形で体系的に整理されない限り）当該情報は「個人データ」には該当しないと考えられます。但し、委託元や第三者提供元にとっては、それらを委託・提供する行為は「個人データ」の「取扱い」であり、個人情報保護法上の様々な規制がかかります。
�ぁ峺朕優如璽拭廚鮓�頭で第三者に伝えるという行為も「個人データ」の「取扱い」にあたると解される可能性があります。但し、例えば、金融機関において「個人情報データベース等」を参照しつつ顧客の氏名を店内で呼ぶ場合等、「個人データ」の内容及び取扱いの具体的内容について社会通念上妥当な範囲であれば、「個人データ」の「漏えい」には当たらないと解されます。
金融機関における個人情報保護に関するQ&A
事件に当てはめると、送り状の内容が入力されて個人データ化された後も、入力帳票であった送り状の写しは、マニュアル処理情報（2条2項2号）の形で保管していない*4限り、個人データに該当せず、安全管理措置と従業者の監督の義務（20条、21条）がかからないことになる。
そうすると、散在情報を含めて対象としている義務（15条〜18条）を理由に勧告等するしかない。1995年の事件では、所長が故意に提供しているので目的外利用禁止違反で拾うことはできるが、過失によって流出させた事案や、容易に第三者に盗み出されるとか、アルバイト従業員に持ち出されるような管理体制が原因の事案では、これを適用できない。
これでは、世の中の期待に応えていない法律だということになると思うのだが、なぜこんな解釈になっているのか。
まず、出力帳票の方の解釈について、「個人データ」に該当とする考え方については、文献[宇賀2013]、文献[岡村2009]に次のように書かれていることはよく知られていると思うが、その元は、文献[内閣官房2003]（立法当時の内閣官房個人情報保護担当室が法案の段階で作成した内部向けの逐条解説）にある以下の記述が根拠であろう。
個人情報データベース等を構成する個人情報であれば、個人データの要件を満たすので、現に個人情報データベースを構成していなくてもよい。したがって、たとえば、電子計算機から出力されたハードコピー、マニュアル処理の個人情報データベース等のデータのコピーも個人データに該当する。
宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣, 2013年, 38頁
プリントアウトすること等も当該個人情報取扱事業者自身が個人データとして取り扱うことの一環であって、法文上も現に個人情報データベース等を構成している状態であることは要件とされていないからである。
岡村久道, 個人情報保護法[新訂版], 商事法務, 2009年, 103頁
4 「個人データ」（第4項）
個人データとは、第2項に規定される「個人情報データベース等」を構成する個人情報であり、一定の方式により検索可能な状態になっているものを指す。したがって、個人データは個人情報データベース等を構成するものでなければならないことから、単に個人情報データベース等に含まれるデータとその内容が同じであることのみをもって「個人データ」とみなすことはできない。しかし、他方で、「現に個人情報データベース等を構成する個人情報」とはしていないことから明らかなように、コンピュータから紙面に出力されたものやその、コピー、又はマニュアル処理されているデータのコピーも個人データに含まれる。
個人情報の保護に関する法律案《逐条解説》, 内閣官房個人情報保護担当室, 2003年, 10頁
そうすると、現に構成していなくても「個人データ」だというのであれば、これからデータベース化される予定のものも「個人データ」だということにしてはいけないのか？というのが論点となる。条文は「個人情報データベース等を構成する個人情報をいう」なのだから、未来のことについて「構成する」と言っていると解釈することもできるのではないか。
この疑問に明確に答えた解説は見当たらない。金融庁ガイドラインQ&Aの「たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。」という説明は、結論としては明確であるが、解釈の理由について何も言っていない。
そもそも、19条以降の義務の対象を「個人データ」に絞っている理由は何なのか。このことについて、文献[岡村2009]は、次のように説を唱えている。
以上の各規定が対象情報を「個人データ」に限定した理由は、データベース化することによって事業者の利便性が高まる反面、大量情報の流通・利用等が容易になるので本人の権利利益に対する侵害のおそれが高まること、取得段階を主要対象とする法18条までの規定の場合と異なり、法19条以下の規定は主として取得後を対象とすることから、適用段階で将来データベース化されるか否か不明であるという問題が生じにくいこと、「個人情報」全般を広く対象とすると事業者に過度の負担を強いることになること等による。
岡村久道, 個人情報保護法[新訂版], 商事法務, 2009年, 204頁
たしかに、データベース化すればデータベース丸ごと盗まれたり漏洩するなど、その権利利益侵害のリスクは高まるのであるが、そこから1個を取り出した出力帳票のそれぞれについて言えば、そのリスクは当てはまらない（程度問題であるが程度の差がある）とも言えるわけで、それにもかかわらず出力帳票も「個人データ」として「個人情報データベース等」と同等の義務を課しているのであるから、それを選択したのであれば、入力帳票についても、データベース化を予定して集めることによって「大量情報の流通・利用等が容易になるので本人の権利利益に対する侵害のおそれが高まる」と言えるはずだ。
つまり、このような保護利益の観点からでは、出力帳票も入力帳票もリスクに違いはなく、入力帳票を「個人データ」から除外する理由にはなりそうにない。
実は、この、義務対象を「個人データ」に絞っている理由について、立法直後から誤解が広まってしまったことが、様々な制度矛盾の根源の一つであると私は考えている。
唯一の公式的な逐条解説書である文献[園部編2005]は、前掲[岡村2009]引用部の強調部ようなことを言っておらず、単に次のことしか言っていないことに注意したい。
なお、取り扱う対象を「個人情報」とし「個人データ」としていないのは、いずれ個人情報データベースに記録され「個人データ」となるものであっても、取得段階では「個人情報」の状態であることによる。本条から第18条までの規定は、個人情報の取得段階を含む個人情報の取扱い全般を規律するものであることから、「個人データ」（第2条第4項）ではなく「個人情報」（第2条第1項）を規律の対象としている。
園部逸夫/編集, 藤原静雄+個人情報保護法制研究会/著, 個人情報保護法の解説, 2005年, 117頁
本法第4章は、基本的に個人情報取扱事業者が事業の用に供する個人情報データベース等を対象としていることから、取得段階の規律は「個人情報」を対象としているが、その後の段階における個人情報の取扱いを規律する場合は「個人データ」が対象となる。
園部逸夫/編集, 藤原静雄+個人情報保護法制研究会/著, 個人情報保護法の解説, 2005年, 135頁
これでは説明になっていないじゃないかと、普通は思うだろう。このような不自然な解説は、本当にそれだけしか理由がないことを意識してのものだと私は推測している。
この謎を解く鍵は、法案段階で書かれていた部内用逐条解説[内閣官房2003]と比較することで見えてくる。文献[内閣官房2003]では、これらに相当する箇所で、以下のように書かれていた。
なお、この法律においては、基本理念や、個人情報取扱事業者の義務のうち、利用目的の特定や適正な取得等の規定（具体的には第15条から第18条まで）においては、データベース化されるか否かを問わず「個人情報」を広く対象としているのに対し、個人情報取扱事業者の義務のうち、安全管理措置や第三者提供の制限、開示、訂正等の透明性確保の措置等の規定（具体的には第19条から第27条）においては、他の情報と結合されることにより本人に与える影響が大きい状態にあると考えられるものとして、個人情報のうちデータベース化された「個人データ」に限って適用することとしている（第19条【解説】参照）。
個人情報の保護に関する法律案《逐条解説》, 内閣官房個人情報保護担当室, 2003年, 14頁
※対象を個人データに限らない理由
第24条においては「保有個人データ」について利用目的を本人の知り得る状態に置くべき旨を規定している一方、本条では、「個人情報」の利用目的について、通知・公表する旨の規定としているが、これは、取得の段階では、その個人情報がデータベースの形態に構成されるものか否かは明らかでないことから、本条の趣旨にかんがみ、「保有個人データ」のみならず「個人情報」について、その取得の際（第1項、第2項）及び利用目的の変更の際（第3項）の本人に対する通知・公表等を義務付けるものである。
個人情報の保護に関する法律案《逐条解説》, 内閣官房個人情報保護担当室, 2003年, 54頁
対象となる個人情報を「個人テータ」に限るのは、個人情報のうち、他の情報と結合されることにより本人に与える影響が大きい状態にあるものについて、その内容の正確性を確保することで本条の目的が達成されると考えられるとともに、データベース化されていない個々の個人情報にまで義務を課すことは本条の趣旨にかんかがみ、個人情報取扱事業者に過剰な負担を課すことになるおそれがあるためである。
個人情報の保護に関する法律案《逐条解説》, 内閣官房個人情報保護担当室, 2003年, 58頁
こちらでは、「他の情報と結合されることにより本人に与える影響が大きい状態にある」という理由で、「個人データ」に絞ってより多くの義務を課しているとする趣旨のことが書かれており、前掲[岡村2009]引用部はこれに似たものとなっている。
法案成立後に書かれた文献[園部編2005]は、全体としてほとんど文献[内閣官房2003]の引き写しで書かれているが、文献[内閣官房2003]は、元々、旧法案が提出された2001年に書かれたらしきものであり、旧法案が廃案となって新法案が提出されるとき、必要な最低限の修正をして作成されたものであることがわかっている*5。それを踏まえて文献[園部編2005]と文献[内閣官房2003]の内容を見比べると、旧法案及び新法案の国会審議で取り沙汰された論点に沿って修正が加えられている*6ことがわかる。
つまり、文献[内閣官房2003]に書いてあったのに文献[園部編2005]には書かれていないことというのは、決して書き忘れたのではなく、旧法案の廃案に伴って取り消された見解であるとみるべきだと、私は考える。
旧法案の廃案で何が変更されたかは、結果の条文から見れば単に「基本原則」の削除であるが、国会の審議内容からその趣旨を見れば、「散在情報」を民間部門では対象から外したことであるというのが、私の仮説である。
この仮説が正しいか、その根拠については、近々書く予定の「散在情報と処理情報（パーソナルデータ保護法制の行方 その3）」で再び触れることにして、今回は深追いを避け、話を進める。
文献[宇賀2013]でも、19条の解説部分と、20条の解説部分に、こういう記述がある。
個人情報ではなく、個人データに範囲が限定されているのは、容易に検索しえない散在情報としての個人情報にまで正確性の確保を要求することは、個人情報取扱事業者に過度の負担を課すことになるからである。個人データの場合、他の個人データと容易に照合されうるから、不正確なまま利用されることにより個人の権利利益が侵害され得る蓋然性が高く、かかる事態を防止する必要性が大きい。そのため、個人データに限定して正確性を確保する努力義務を課しているのである。
宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣, 2013年, 96頁
個人情報全般ではなく、「個人データ」に対象を限定しているのは、個人データの安全管理が不十分な場合、漏えいし、他の個人データと容易に結合されること等により、個人の権利利益を侵害するおそれが大きいこと（略）、個人情報全般に一律に具体的な安全確保義務を課した場合、個人情報取扱事業者に過大な負担を負わせるおそれがあることによる。（略）
宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣, 2013年, 98頁
それぞれの理由は至極尤もだと思う。文献[園部編2005]でも20条のところに同様の記述がある*7。だが、これらの理由は、19条以降の対象が「個人データ」に限られている理由とはなっても、15条〜18条の対象を散在情報を含む「個人情報」として区別していることの理由になるとは限らない点に注意したい。つまり、これらの理由は、4章の義務全部について「個人データ」に限定する理由ともなり得るということである。
実際、前掲[園部編2005]135頁の記述を再確認すると、以下のように、4章の全部が「個人情報データベース等」を対象としたものだと言っている。
本法第4章は、基本的に個人情報取扱事業者が事業の用に供する個人情報データベース等を対象としていることから、取得段階の規律は「個人情報」を対象としているが、その後の段階における個人情報の取扱いを規律する場合は「個人データ」が対象となる。
園部逸夫/編集, 藤原静雄+個人情報保護法制研究会/著, 個人情報保護法の解説, 2005年, 135頁
この段落の文は苦しさが滲み出ている。4章全部が「個人情報データベース等」が対象だ（つまり「個人データ」が対象だ）と言いつつ、「取得段階の規律は「個人情報」を対象としている」などと矛盾したようなことを書かざるを得なくなっており、「基本的に」の挿入で取り繕われている。この段落は、前掲[内閣官房2003]58頁の引用部に対応する部分となっており、見比べれば、明らかに意識して内容が変更されていることがわかる。
なぜこんなことになっているのか。私の仮説では、旧法案が廃案となって、散在情報を対象としないことになった*8ものの、散在情報を対象としていた「基本原則」は丸ごと削除で解決したが、4章（旧法案では5章だった）の義務規定を修正する時間がなく、そのまま通して、逐条解説（文献[園部編2005]、改定前の初版は2003年9月発行）で取り繕ったものだと推測する。
一方で、文献[宇賀2013]（初版は2004年2月発行）は、15条、16条について次のように解説してしまっている。
「個人データ」ではなく、「個人情報」全体について、利用目的の特定義務が及ぶ。本条第1項にいう個人情報の取り扱いは、取得段階も含んでおり、この段階においては、当該個人情報が個人情報データベース等に記録されるか否か定かでないので、個人情報全般を規制する必要があるからである。
宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣, 2013年, 78頁
「個人データ」ではなく、「個人情報」全体について、利用目的による制限が及ぶことに留意する必要がある。ここでいう個人情報の取扱いは、個人情報の取得、加工、利用、提供、保存、廃棄等の一切の行為を含む。
宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣, 2013年, 82頁
この説明だと、「他人のうわさ話をする行為」も、利用目的を特定して公表等していないと、目的外利用ということで違法だということになってしまう。（「個人情報」は、個人情報取扱事業者が事業の用に供しているものに限定されていない。*9）
宇賀先生は、もしや文献[内閣官房2003]をベースにこの本を書かれたのであろうか*10。その結果、旧法案の廃案で変更された趣旨が反映されていない内容になっているのではないか。
同じ箇所の文献[園部編2005]の解説と見比べてみると、そのニュアンスの違いがわかる。
なお、取り扱う対象を「個人情報」とし「個人データ」としていないのは、いずれ個人情報データベースに記録され「個人データ」となるものであっても、取得段階では「個人情報」の状態であることによる。本条から第18条までの規定は、個人情報の取得段階を含む個人情報の取扱い全般を規律するものであることから、「個人データ」（第2条第4項）ではなく「個人情報」（第2条第1項）を規律の対象としている。
園部逸夫/編集, 藤原静雄+個人情報保護法制研究会/著, 個人情報保護法の解説, 2005年, 117頁
文献[園部編2005]が「全般を規律するものであることから」と言っているのは、文献[宇賀2013]が「全般を規制する必要があるからである」と言っていることとは意味が違う。前者は、「取得段階とその後の段階の全般」という意味であり、これは16条が目的外利用の禁止を含むことから、15条〜18条の規定が必ずしも取得段階だけを指しているわけではないことからくる取り繕いの文であろう。前の文が「取得段階だから」を理由としているのに、取得段階でない規定もあるので、このような誤魔化しが必要になっている。それに対して、文献[宇賀2013]は、法目的からして「個人情報全般を規制する必要がある」と言ってしまっている。
では、文献[園部編2005]が言う、「取得段階では「個人情報」の状態である」から対象を「個人情報」としたということの意味は何なのか。
似たようなことは、法令ではよくあることなのだろうか、昭和63年法（行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律、2003年に現行の行政機関個人情報保護法に全部改正された。）にも同様のパターンが出てくる。
昭和63年法では、「個人情報」の語とは別に「処理情報」という語が定義されており、これは今日の民間部門で言う「個人データ」に近いものである。昭和63年法では義務規定の対象のほぼ全部が「処理情報」（「個人情報ファイル」を含む意味で）であった。しかし、5条（個人情報の安全確保等）、11条（個人情報の電子計算機処理等の受託者の責務）と12条（個人情報の電子計算機処理等に従事する者の義務）だけは「個人情報」が対象となっている。5条の条文は以下のようになっている。
第5条 行政機関が個人情報の電子計算機処理又はせん孔業務その他の情報の入力のための準備作業若しくは磁気テープ等の保管（以下「個人情報の電子計算機処理等」という。）を行うに当たつては、当該行政機関の長（略）は、個人情報の漏えい、滅失、き損の防止その他の個人情報の適切な管理のために必要な措置（略）を講ずるよう努めなければならない。
昭和63年法の逐条解説書[総務庁1988]を確認すると、この部分について次のように説明されている。先ほどの前掲[園部編2005]117頁引用部の文は、この文とそっくりである。
本項において、「処理情報」ではなく「個人情報」と規定したのは、入力のための準備段階の個人情報は、未だ「処理情報」とはいえないためである。
総務庁行政管理局行政情報システム参事官室監修, 逐条解説 個人情報保護法, 第一法規, 1988年, 98頁
説明はこれだけしかないが、読解すれば、5条は「個人情報の電子計算機処理」と「個人情報の入力のための準備作業」を対象にしていることから、前者については、「処理情報の電子計算機処理」と書くことができるが、後者については、「処理情報の入力のための準備作業」と書くことはできないので、「個人情報」と書かざるを得なかったと、単にそういう意味であろう。
前掲[園部編2005]117頁の文も単にそういう意味のつもりなのだろう。条文上は「個人情報」と書かざるを得なかったけれども、真意は「個人情報」の全部を対象としているわけではないという意味のはずである。
昭和63年法のこの規定の場合、実質、範囲は限定されている。後者は、「せん孔業務その他の情報の入力のための準備作業（略）を行うに当たっては」との限定がかかっているので、すべての個人情報の取り扱いが対象になるわけではない。これに道連れにされた形で、前者まで「個人情報の電子計算機処理」となっているわけだが、これは本来は「処理情報の電子計算機処理」と規定したかったはず*11である。*12
こうした、「本当はこう規定したかったはずが、なぜかできず、逐条解説で簡単に補足する」というパターンは、法案作成時に法制局で細かいことを指摘されて文言を直したものの、後から本来趣旨と合わなくなっていることに気づくものの、もう閣議決定の流れなので直すわけにもいかず、逐条解説で補足を入れるが、詳しく書くと間違ったことがバレるので、簡潔にしか書かないという、役人さんの職務上やむを得ないことが起きているということではなかろうか。
ならば、同様に、民間部門の個人情報保護法の15条〜18条の「個人情報」を読むことはできないだろうか。真意は散在情報まで対象としたのではなく、「個人データ」となるもののみを対象とするのが真意（旧法案を廃止して新法案になった時点から）ではなかったのか。
この謎の続きは、近々書く予定の「散在情報と処理情報（パーソナルデータ保護法制の行方 その3）」で再び触れるとして、話を元に戻すと、何の話だったかといえば、入力帳票を「個人データ」とみなすことはできなかったのかである。
前半で書いたように、金融庁ガイドラインQ&Aの答えは明確であり、「たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません」としている。
この解釈は、前掲[園部編2005]117頁の解説にドライに従ったものなのだろう。つまり、どんな場合であれ、「取得段階では「個人情報」の状態である」から、個人データに当たり得ないというのだろう。昭和63年法の解説の言い方で言えば、「入力のための準備段階の個人情報は、未だ「個人データ」とはいえないため」である。
しかし、それだけが理由なら、改正して解決すればよいではないか。2003年の新法案への修正で時間がなかったのなら、次の改正で直せばよい。
この考えに沿い、15条〜18条を「個人データ」対象にするべきだとする提案を、2013年11月の法とコンピュータ学会第38回研究会で「パーソナルデータ保護法制に向けての提案」と題して発表した。この提案は、入力帳票も「個人データ」とみなすのが前提である。
このとき、何人かの役人さんから意見を頂いている。曰く、趣旨は理解できるが、客体の定義は、客観的に決まるものでなくてはならず、行為主体の主観で決まるような定義にすることはできない、と。行政法は、行政による執行が可能でなければならないところ、主観で決まるようでは、外部から違法性を推定できないというのである。
なるほど、だから、前掲[内閣官房2003]54頁で「取得の段階では、その個人情報がデータベースの形態に構成されるものか否かは明らかでないことから」とされていたのであるし、前掲[宇賀2013]78頁で「取得段階も含んでおり、この段階においては、当該個人情報が個人情報データベース等に記録されるか否か定かでないので」と書かれ、前掲[岡村2009]204頁でも「適用段階で将来データベース化されるか否か不明であるという問題が生じにくいこと」が挙げられていたわけである。
しかし、金融庁Q&Aの線引きは明快である。「通常データベース管理される性質のもので、かつ、これからデータベース化される予定のもの」というのは、行政が外形的に判断できる定義と言えるのではないか。この基準に沿うような条文を考え出せばよいだけではないのか。
「個人情報データベース等」に入れる前の段階の情報にも「個人情報データベース等」と同じ義務を課すということ自体は、昭和63年法でも規定されていた。上でも触れたように、「個人情報ファイル」に対する安全管理の規定で「情報の入力のための準備作業」を対象に入れていたわけである。宅配便の送り状のような入力帳票もこれに相当するものとして対象にすることは、自然であるように思える。
金融庁のQ&Aも経産省のガイドラインも、本当はこれを対象とする必要があることを知っていながら、法の条文がそうなっていないがゆえに、そういうことを言い出す立場にないだけではないのか。
さらに言えば、条文を直さなくとも解釈の変更で乗り切る（ガイドライン化する）こともできなくもないように思える。「◯◯を構成する△△」の条文を「□□段階の◯◯は未だ△△とは言えない」と解釈するルールがいかほどのものだというのか。
実は、このルールが徹底されているわけでもないらしき様子が、今回の個人情報保護法改正に見られる。新36条が以下の条文となっているのである。
第36条 個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
これも、「□□段階の◯◯は未だ△△とは言えない」を当てはめれば、「作成段階の加工情報は未だ匿名加工情報データベース等を構成するものとは言えない」と言えてしまうのではなかろうか。
逆に、これがアリだというのなら、同様に、15条〜18条の規定も、以下の条文とすることができるのではなかろうか。
（利用目的の特定）
第15条 個人情報取扱事業者は、個人情報（個人情報データベース等を構成するものに限る。）を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
（利用目的による制限）
第16条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報（個人情報データベース等を構成するものに限る。）を取り扱ってはならない。
（適正な取得）
第17条 個人情報取扱事業者は、偽りその他不正の手段により個人情報（個人情報データベース等を構成するものに限る。）を取得してはならない。
（取得に際しての利用目的の通知等）
第18条 個人情報取扱事業者は、個人情報（個人情報データベース等を構成するものに限る。）を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
なぜこれらがダメで、新36条は許されるのであろうか。
*1 北海道ローカルでしか報じられなかったようなので、マイナーな事案なのかもしれない。
*2 プライバシーマーク制度が始まったのはこの事件の2年4か月後の1998年4月であり、通産省の「民間部門における電子計算機処理に係る個人情報の保護に関するガイドライン」」（平成9年通商産業省告示第98号）も、1997年のことであった。この事件より前のものとしては、JIPDECが1988年に策定した「民間部門における個人情報保護のためのガイドライン」があったようで、翌1989年には、これを参照した「民間部門における電子計算機処理に係る個人情報の保護について（指針）」が通産省によりとりまとめられ、これに基づいたガイドラインの策定をするよう、関係事業者団体に通達を発出し行政指導した（個人情報保護ガイドブック「民間部門における電子計算機処理に係る個人情報保護ガイドライン」＜解説書＞, 平成10年6月, 通商産業省 より）という状況だったようだ。この事件で、運輸局が出てきて「法には触れないが」としていることから、当時の宅配業は、通産省の指導は及ばないところだったのであろうか。
*3 経産省ガイドラインQ&Aでは、Q22に「宅配便の送り状を受け付けた日付順に並べてファイリングしていますが、この場合、「個人情報データベース等」に該当しますか。」という問いがあるが、その答えは、「送り状に氏名等の個人情報が含まれていても、当該送り状を受け付けた日付順に並べているだけで、特定の個人情報を容易に検索できる状態に整理していない場合には、「個人情報データベース等」には該当しません。（2007.3.30）」としか言っておらず、その送り状が直接「個人情報データベース等」に該当しなくても、それの内容が「個人情報データベース等」に入力することを予定している場合や、入力された後に元の帳票が「個人データ」となるかという、肝心の点について答えていない。
*4 実態は、おそらく、営業所で保管の送り状の写しは、ただ受付順に積まれているだけで、マニュアル処理情報の形にはなっていないだろう。
*5 修正前の版では、旧法案の廃案で削除された「基本原則」に関する記述があちこちにちらばって書かれていたのが、皆削除されている。しかし、一箇所修正漏れがあり、2条3項1号「国の機関」の解説部分で、「国会、裁判所については、これに相当する規定はないが、基本原則は及ぼされており、基本原則にのっとって自律的に所要の措置を講ずることが求められる。」との記述が残っている。ちなみに、文献[園部編2005]のこれに相当する箇所では、「国会、裁判所については、三権分立の観点からそれぞれにおいて実態に即して自律的に所要の措置を講ずることが求められることから、本法や行政機関個人情報保護法では触れられていない。」と書き直されている。
*6 例えば、文献[園部編2005]53頁の「※インターネット上の検索エンジン・電子掲示板について」で、検索エンジンは「個人情報データベース等」に該当しない理由が書かれているのは、新法案の審議中に国会で論点となったことから、加筆されたものとなっている。
*7 137頁に「特に、データベース化されている個人情報（個人データ）については、それを不正に入手した者が他のデータと結合して利用したり、複製して第三者に提供したりすることが容易であり、」とある。繰り返しになるが、これは、20条を「個人データ」対象にする理由にはなっても、15条〜18条を散在情報まで対象とする理由にはならない。むしろ、第4章の義務の全部を「個人データ」対象とする理由の一つとなっていると読むことができる。
*8 これは、旧法案が、表現の自由を奪うものだとして強い批判にさらされたためであり、前回の日記で書いたように、「他人のうわさ話をする行為」も利用目的の特定と通知又は公表が義務というおかしなことにならないようにしたものであると私は推測する。だからこそ、前回の日記で書いたように、逐条解説（文献[園部編2005]）は1条の解説部分で、「他人のうわさ話をする行為（略）も、外形的には他人の個人情報を第三者に提供する行為といえ」という話題を持ち出して、「法律で規律すべき問題ではない」とし、「本法は、あくまで、高度情報通信社会が進展している現状において、個人情報のコンピュータ処理等に伴う個人の権利利益侵害の危険性、本人の不安等の社会問題に対応しようとするものである。」と念押ししたのであろう。
*9 条文は「個人情報取扱事業者は、個人情報を取り扱うに当たっては、」なので、「取り扱う」が「事業の用に供する」という意味を含むとする解釈があり得るが、文献[宇賀2013]の解説はそうはなっていない。文献[園部編2005]もそのような解説をしていない。
*10 文献[宇賀2013]には、15条からの各条の解説の冒頭部分で、「旧法案の基本原則の「利用目的による制限」原則に対応する。」といった記述がある。これは、文献[内閣官房2003]の旧版、すなわち旧法案の段階で書かれた販（この販は有識者の間に出回っていたようである）にも出てくるフレーズで、「本条は、基本原則における「適正な取得」を、個人情報取扱事業者の具体的な義務として明確化したものである。」（旧法案22条より）といった文がある。宇賀先生は、もしかして旧版を元に本を書かれたのであろうか。旧法案は廃案となったのであり、文献[内閣官房2003]からは基本原則に係る記述は皆削除されている。役人の職務からすれば、いかに旧法案での経緯があろうとも、国会で成立したものがすべてであるから、旧法案の基本原則のことなど持ち出していない。その点、文献[宇賀2013]が旧法案で削除された基本原則のことを持ち出すのは、政府解釈に沿っているとは言い難いのではないか。
*11 この部分も意図して「処理情報の電子計算機処理」とせず「個人情報の電子計算機処理」としたのなら、その理由が解説に書かれていて然るべきところ、そのような説明は書かれていない。
*12 この道連れによって、対象情報の範囲で違いが出るかが問題となる。「電子計算機処理」は定義された語（2条3号）であり、「処理情報」（2条5号）は「個人情報ファイルに記録されている個人情報をいう。」と定義されていることから、厳密には両者が差す範囲は異なることになる。具体的には、個人情報ファイルを構成しない電磁的記録上の個人情報（「電算散在情報」とでも言うべきもの。鈴木正朝先生は「デジタル散在情報」と呼ぶのがお好みのようだが。）の電子計算機処理を行う場合が、「処理情報の電子計算機処理」では入らないが、「個人情報の電子計算機処理」では入ってしまうという違いがある。しかし、「電子計算機処理」の定義（2条3号）中に、「ただし、専ら文章を作成し、又は文書図画の内容を記録するための処理その他の政令で定める処理を除く。」とあるので、当時の状況としては、電算散在情報のほとんどが除かれていた。このため、実質「処理情報の電子計算機処理」と規定されたのと同じ運用がされていたと思われる。