学内試験の合否を学内掲示板により学内公開することに関する個人情報保護法上の問題点

弁護士　吉岡譲治

１．

　学内試験の合否を学内の掲示板に掲示することにより学内に公開する場合、まず何が個人情報であるかを特定する必要があります。
公開の方法は、学校によって異なるようですが、一般的に氏名、学籍番号を用いて行われるようです。学生の氏名、学籍番号が個人にかかわる情報であることは間違いありません。しかし、これだけでは学内で発表しても個人情報保護法上は何の問題もないでしょう。なぜなら、これだけの情報であれば教師、学生にとって周知の事実と考えられるからです。では、本件の場合、氏名と学籍番号だけが個人情報でしょうか。
　個人情報は、本人から提供を受けるのが通常です。しかし、これに限られるものではありません。第三者から提供を受けることもあります。また、情報を取得する側が個人情報を新たに作り出す場合もあります。例えば、カード会社が顧客に対してその顧客特有の会員番号を与えれば、これが当該顧客の属性となり個人にかかわる情報となります。
　本件ではどうでしょうか。氏名は本人から提供を受けた情報ですが、学籍番号は学校が本人に付与したことにより個人にかかわる情報になったものです。そして、学内試験に合格した、あるいは不合格となり再試験を受けなければならない地位にあるということも学校によって付与された情報になります。このように合格者か不合格者かという情報も個人にかかわる情報です。更に、その学校に所属しているという点も情報の１つといえます。
　以上のとおり、本件における個人情報の中身は所属する学校、氏名、学籍番号、合否ということになります。そして、これだけの情報があれば個人を識別することが可能といえるので個人情報保護法上の個人情報といえます。

２．

　ところで、学生の合否情報を掲示するに際して学籍番号のみをもって行う学校もあるようです。この場合は、所属する学校、学籍番号、合否が個人にかかわる情報となります。これだけで個人が識別可能であれば個人情報保護法上の個人情報ということになります。
　問題は、当該学校の教師、学生にとって他の学生の氏名や学籍番号は公知の事実である場合が通常だということです。そうすると、学籍番号のみによる掲示の場合でも個人が識別可能ということになりそうです。
　しかし、個人情報保護法は事業者が個人情報を適正に取り扱うことを目的としているのであって、識別可能性も事業者が取り扱う情報を対象として判断すべきなのです。言い換えると事業者が管理可能な個人情報が対象となるのです。同法第２条も個人情報は「記述等により」個人が識別できるものと規定しています。ここに「記述等」というのは、記述の他、映像、声、指紋、筆跡などを含む趣旨であり、書面やCD、MOなどの記録媒体に記録されていることが念頭に置かれています。事業者の構成員ではあっても、学生が有している他の学生にかかる氏名などの個人情報は、学校から提供したというよりは、学友として相互に提供し合った結果取得されたものと考えられます（入学当初、自己紹介をすることによりお互いに情報を共有することは周知の事実です。）。このような情報は、学校（事業者）が「取り扱う」情報とはいえませんし、管理の対象となる情報ともいえないでしょう。
　そうすると、識別が容易か否かは所属する学校、学籍番号、合否情報で判断することになりますが、これだけの情報で個人を識別することは容易ではないといえそうです。個人が識別できないということになると匿名による公開となります。

１．

　ここでは、私立の学校を前提としてお話しします。しかし、公立等の学校についても原則として当てはまります。
　私立の学校の場合は、法が定める要件に該当しない限り「個人情報取扱事業者」（以下、「事業者」といいます）として個人情報保護法（以下、「法」といいます）が適用されます。
　事業者は、個人情報を取り扱うにあたっては、その利用目的をできる限り特定し（法１５条１項）、個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知するか、公表しなければならないとされています（法１８条１項）。最も、これにはいくつかの例外がありその１つに、取得の状況から見て利用目的が明らかな場合は必ずしも公表、通知は必要ないことになっています（法１８条４項４号）。看護学校が、学生の氏名を取得し、学籍番号を付与することは学生に対する教育及び指導監督に必要な情報であるといえるので「利用目的が明らかな場合」といえるでしょう。学内試験を施行し合否を決定することにより学生の合否情報を取得することも同様に考えていいでしょう。

２．

　では、本件では何が問題となるのでしょうか。学校が、学生の氏名、学籍番号、合否情報を利用することは、以上のとおり個人情報保護法上特段の問題はありません。そうすると、学校内で学生の合否情報を掲示して公開することに問題がありそうです。以下、この点について検討します。
　事業者は、個人情報の利用目的を特定するほか、個人データを取り扱うに際しては、その正確性を確保し（法１９条）、安全管理措置を実施し（法２０条）、従業者や委託先に対する監督を行なわなければなりません（法２１条、２２条）。更に、個人情報を第三者に提供する場合は、あらかじめ本人の同意が必要とされています（法２３条）。