個人情報の管理：買取店が持つ顧客情報は集めたものではなく、法第16条が記載を命じ第18条が3年の保存を命じたものである

顧客情報は集めた結果ではなく、記載を命じられた結果である

多くの業種で、個人情報は事業者が自分の判断で取得します。取得目的を決め、取得範囲を決め、要らなくなれば消せます。買取業はこの前提が当てはまりません。

古物営業法第16条は、古物を受け取ったとき、または引き渡したときに、その都度帳簿等へ記載する義務を定めています。記載事項は①取引の年月日 ②品目及び数量 ③古物の特徴 ④相手方の住所・氏名・職業・年齢 ⑤第15条第1項でとった措置の区分の5つです。④がそのまま個人情報にあたります。

さらに第15条第1項は、買受け等をしようとするときに相手方の真偽を確認する措置をとる義務を課しています。措置は①住所・氏名・職業・年齢の確認 ②本人署名のある文書の交付を受ける ③認定を受けた電子署名つきの電磁的記録の提供を受ける ④これらに準ずる国家公安委員会規則で定める措置、の4つです。②や③をとれば、署名文書や電磁的記録という形でも個人の情報が店に残ります。

取得しない選択肢がありません。 確認せずに買い取れば第33条第1号、記載しなければ第33条第2号で、いずれも6月以下の拘禁刑または30万円以下の罰金です。個人情報の管理を「取得を絞る」方向で設計しようとしても、この2条が下限を決めています。

3年間は消せない。削除で守る発想が使えない

第18条第1項は、帳簿等を最終記載の日から3年間、営業所等に備え付けることを定めています。起算点は個々の取引日ではなく、その帳簿の最後の記載日です。1冊の台帳を1年使えば、最初のページの取引情報は結果として4年近く手元に残ります。

この年限は選べません。取引が終わったから消す、顧客から求められたから消すという処理を、帳簿の記載そのものに対しては行えません。保有期間が法で固定されている個人情報を扱っているという点が、買取業の管理設計の出発点になります。

電磁的記録で保存する場合も3年間で、加えて「直ちに書面に表示できる状態」で保存することが条件です。データを暗号化して安全側に倒すこと自体は選べますが、表示できない状態にすると第18条第1項の要件を満たさなくなります。安全管理と備付け義務が同じデータの上で同時に働きます。

廃業や店舗の閉鎖でも義務は消えません。営業をやめた時点で記載は止まりますが、そこから3年間の保存が始まります。店を畳んだ後に台帳をどこへ置くかを決めずに物件を解約すると、個人情報だけが持ち出されて管理の主体が曖昧になります。

保有する量は、1万円と7品目の線で決まる

帳簿に個人情報が載る取引と、載らない取引があります。第15条第2項第1号により、対価の総額が国家公安委員会規則で定める金額未満の取引は確認が免除され、その金額は施行規則第16条第1項で1万円と定められています。第16条ただし書により、確認が免除される取引は記帳も免除されます。

つまり1万円未満の買取では、相手方の住所・氏名・職業・年齢が原則として店に残りません。取引件数が多くても、保有する個人情報の件数はそれに比例しない、という関係になります。

例外が施行規則第16条第2項の7品目です。自動二輪車及び原動機付自転車（汎用部分品を除く部分品を含む）、エアコンディショナーの室外ユニットと電気温水機器のヒートポンプ、専ら家庭用コンピュータゲームに用いられるプログラムを記録した物、光学的方法により音又は影像を記録した物、電線、金属製のグレーチング、書籍。これらは1万円未満でも確認と記帳が要ります。

扱うジャンルが、そのまま保有する個人情報の量を決めます。 ゲームソフト・CD・DVD・書籍を扱う店は、少額・多点数の取引ごとに氏名と住所が積み上がります。貴金属やブランド品の店は件数が少なく単価が高いので、1件あたりの情報は同じでも総件数は増えにくい。管理コストの見積もりは、この構造から逆算してください。

買取店が保有する個人情報と、古物営業法上の制約

紛失は社内問題では終わらない。第18条第2項の届出義務がある

第18条第2項は、帳簿等をき損・亡失・滅失したときに、直ちに所轄警察署長へ届け出ることを定めています。一般の情報漏洩対応と違い、買取業では帳簿を失った時点で警察署長への届出という別ルートが立ち上がります。

対象は紙に限りません。データの破損や消失も、帳簿等を電磁的記録で作成・保存しているなら同じです。火災・水損・盗難・機器故障・誤削除、いずれも同じ扱いになります。

この規定があるため、社内で「まず復元してから報告する」という順番が取れません。見つからないと分かった時点で届け出る。復元は並行して行いますが、届出の代替にはなりません。伝票や本人確認書類の写しから再作成できても同じです。

実務では、正本を紙とデータのどちらに置くかを決めていない店が最も動けません。 紙が正本ならデータはバックアップであり、紙を失えば届出の対象です。データが正本なら、日次のバックアップ先と復元手順を決める話になります。営業所ごとに保管場所・正本・バックアップ・持ち出しの可否を1枚にまとめておくと、判断が止まりません。

管理の単位は「会社」ではなく「営業所」に置く

第18条第1項が求めるのは営業所等への備付けです。第13条第1項は営業所ごとに管理者を1人選任することを定めています。法が単位を営業所に置いている以上、個人情報の管理単位も営業所に合わせるほうが整合します。

多店舗の場合、本部で一括して台帳データを持つ構成をとることがあります。その際に確認するのは、各営業所で3年分を直ちに書面に表示できるか、という点です。本部サーバーにしかデータが無い状態を営業所での備付けと言えるかは、導入前に管轄の警察署へ確認しておくほうが確実です。

アクセス権も営業所単位で切ると、責任の所在が動きません。他店の台帳を全店員が閲覧できる構成は、備付け義務の観点では不要な広さです。管理者の担当範囲と、閲覧できる範囲と、保管場所を一致させてください。

第13条第2項により、未成年者や第4条第1号から第7号の欠格事由に該当する者は管理者になれません。管理者が退職したまま後任を決めていない営業所は、個人情報の管理責任者も不在の状態になります。人員の異動計画に、この選任を組み込んでおいてください。

出張買取では、書面が営業所の外に出る

店舗等以外の場所で消費者から買い取る出張買取は、特定商取引法の訪問購入に当たります。申込時または締結時に必要事項を記載した書面を交付する義務があり、その書面には相手方の情報が載ります。訪問先で作成した控えを持ち帰るまでの間、個人情報が営業所の外にある状態が生じます。

同時に、古物営業法側の第15条第1項の確認と第16条の記帳も発生します。本人確認書類を撮影して持ち帰る運用をとるなら、端末の紛失がそのまま漏洩になります。訪問先で使う端末と、店舗で使う端末を同じ設計で管理していると、この差が抜けます。

買取市場のチャネル構成比は2023年で店頭買取り78.2%、出張買取り10.0%、宅配買取り9.5%です。出張は全体の1割ですが、個人情報が移動するのはこの1割の側です。件数の少なさで管理の優先度を下げると、持ち出しの手順だけが定義されないまま残ります。

宅配買取では、本人確認書類の写しが郵送やアップロードで届きます。第15条第1項のどの措置で確認するかを決めておかないと、届いた画像データの保存期間と保存場所が現場任せになります。保存の根拠が第16条の記帳なのか、確認の記録なのかで、扱いが変わるという点を先に整理してください。

個人情報保護法側は範囲を示すに留める。断定できる材料が手元にない

買取業も個人情報を取り扱う事業者である以上、個人情報保護法の適用を受けます。ただし、この記事の一次情報には同法の具体的な条番号や義務内容が含まれていないため、ここでは要件を断定しません。安全管理措置の具体的な内容、漏えい等が発生したときの報告や本人通知の要否と期限については、個人情報保護委員会の公表資料で確認してください。

断定を避ける理由は、条件分岐が多いためです。漏えいの規模、要配慮個人情報の有無、不正アクセスかどうかで扱いが変わる領域を、条文を確認せずに書くと誤りが混ざります。古物営業法側は条文と罰則が確定しているので、そちらから書ける範囲を先に固めるほうが安全です。

確実に言えるのは、買取店の場合、古物営業法上の帳簿等が個人情報保護法上の管理対象と重なるということです。1つのデータに対して、3年間の備付け義務と、安全管理の要請が同時にかかります。片方だけを見た運用は、もう片方で破綻します。

実務としては、古物営業法側の要件を先に満たしたうえで、個人情報保護委員会の資料に沿って安全管理措置を当てる順番が取りやすくなります。逆順で「消せるものは消す」から入ると、第18条第1項に抵触します。

漏洩を防ぐ設計は、人の注意ではなく置き場所と権限で決まる

帳簿の保管場所を決めていない店では、査定台の下、レジ裏、事務所の棚に分散します。分散すると、亡失に気づく時点が遅れます。第18条第2項の届出は「直ちに」と定められているので、気づくのが遅い構成は、それだけで義務の履行を難しくします。

紙の台帳は施錠できる場所に置き、持ち出しの記録を残す。データの台帳はアクセス権を営業所単位で切り、閲覧と書き出しを分ける。この2つで、置き場所と権限の設計はおおむね決まります。

従業員教育は、この設計の後に置いてください。順番を逆にすると、注意喚起だけが繰り返されて、置き場所が変わらないまま同じ事故が起きます。第13条第3項は管理者に不正品の判断に必要な知識・技術・経験を得させる努力義務を課しており、教育の中心は本来そちら側にあります。

点検の頻度は、台帳の締めに合わせるのが実務的です。閉店後に当日分の伝票と台帳を突き合わせる作業に、保管場所への収納と施錠を組み込む。作業を1つにまとめると、記帳の抜けと保管の抜けが同じタイミングで見つかります。