当社は懸賞による賞品のＰＲを受託している企業です。依頼企業に代わって懸賞の受付を行います。この業務によって取得する個人情報はデータベース化されますが、６ヶ月以内には削除されます。この場合、保有個人データに関する事項の公表や、開示等の求めへの対応など、個人情報保護法の２４条以下の規定は適用されますか。また６ヶ月以内に終了する懸賞が複数回行われ、期間が重複することにより、同一の依頼企業の懸賞を６ヶ月以上にわたって受託することがあります。この場合は保有個人データに該当しますか。
６ヶ月以上に渡って保有することが予定されている個人データであって、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有しているものは「保有個人データ」に該当します。保有個人データを保有している場合には、個人情報保護法の２４条から２７条の規定が適用されることになります。もっとも受託業務で保有しているデータについては多くの場合、委託企業との関係において、「開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限」を有して いないでしょうから、保有個人データには該当しない場合が多いでしょう。その場合には結果として個人情報保護法の２４条から２７条の規定が適用されません。 なお保有個人データに該当するか否かは、個々の個人データ毎に判断します。実際に行っている業務の受託期間とは関係がありません。ある業務の委託期間が６ヶ月以上であっても、個人データを３ヶ月しか保有する予定が無いのであれば、保有個人データには該当しません。一方、委託期間が３ヶ月であっても、委託期間が終了した後も保有する予定で、その期間が６ヶ月を超える場合には、保有個人データに該当することになります。