本人確認は法律的に必要か不要か？
そもそも、本人確認は必要なのでしょうか？
実は個人情報保護法では定めがありません。
しかし、犯罪収益移転防止法という法律では特定の場合に本人確認を実施することが定められています。更に細かく言えば、通称「本人確認法」という法律もあります。
これは、資金洗浄の防止やテロ資金対策を目的とした法律です。そのため、金融機関に対して義務を負わせています。
ということは、法律的に言えば金融機関でなければ本人確認をする必要性はなさそうです。
しかし、本人確認を一切行わずに個人情報を開示したり、取得したりして良いでしょうか？
今回は、本人確認を行なわないことのメリット・デメリットや本人確認の必要十分条件を考えてみましょう。正解が存在するわけではないのですが、少なくとも個人情報の世界では不正解を選んでしまわないことが重要です。
本人確認を行わないことのデメリットは？
具体的なケースを考えてみましょう。
「私は、生命保険会社の社員である。加入している生命保険の保険金の受取人を忘れてしまったので教えて欲しいという、お客様から電話があった。」
という場合です。考えられる対応としては、
- その場で、名前や生年月日を聞いてコンピュータで検索したところ該当者がいたのでその情報を伝える
- 名前と住所を確認したら、契約書上の名前と住所が一致したので、契約書の写しを自宅へ持参すると伝える
- 名前と住所を確認したら、契約書上の名前と住所が一致したので、契約書の写しを自宅へ郵送すると伝える
- 身分証明書(健康保険証のみ)のコピーを保険会社宛てに送ってもらい、その後こちらから契約書の写しを送ると伝える
- 運転免許証と健康保険証、住民票などの身分証明書の写しをいずれか2つ会社宛てに送ってもらい、その後こちらから契約書の写しを送ると伝える
- 面倒だが、最寄りの保険会社窓口まで訪問して頂き、こちらで契約時に保管している身分証明書と照合し問題なければその場で契約書の写しを発行すると伝える
大体、こんな感じでしょうか。
さて、法律的には正解も不正解もないのですが、社会的な常識や個人の感覚として最も適切なものを選ばなくてはいけません。これが個人情報を扱う難しいポイントになります。
1つ1つ見ていく前に、判断のポイントとなることを考えたのですが、私としては以下のように考えます。
「仮に漏洩した時に、漏洩経路を説明したときに大体数の人に納得してもらうことができるか」（以下、①の観点）
そしてもう一つが、
「相手が個人情報についてある程度リテラシーがある場合（弁護士等である場合）、不快感を与えないか」（以下、②の観点）
これを軸に見ていきたいと思います。
1の場合（聞かれたら即答える）
個人情報の保護について何らかの教育を受けていない人や日常生活で個人情報を意識することがない人にとっては、違和感がないかもしれないですね。ですが、これは論外といえるレベルです。
この場合というのは、要するに本人確認を一切していないにも関わらず相手に情報を伝えているということです。
①の観点で見てみますと、例えば保険金の受取人を伝えたは良いもののそれは兄弟であり、自分が受取人でないことを知ってしまい、兄弟間で揉めたとします。そうなると、そもそも何故教えたんだ！という非難を受けるでしょう。その時に、電話口で名前や生年月日を聞いたら該当者がいたので教えた、という説明をした場合、多くの人が納得するでしょうか。かなり厳しそうですね。
また②の観点で考えますと、例えば法律に詳しい弁護士のような人が、電話で問い合わせをしたとします。もちろん、弁護士なのでプライバシーの配慮にも慎重ですよね。当然、問い合わせした弁護士はまさか、即答されるとは思っていないでしょう。その時に、おっ迅速で有難い！と思うか、おいおい、機密情報駄々洩れの会社じゃないか！大丈夫かよ！と思うかどちらかですが、間違いなく後者です。
このように、①と②のどちらも満たすことが出来ない場合、仮に相手が正真正銘ご本人であったとしても問題となる可能性があります。間違いなく本人であったとしても不信感を持たれる恐れがあるので、このように聞かれて即答はまずいです。おそらく、どんな緊急事態であっても、これはまずいです。
2の場合（電話口で本人確認はしないものの自宅まで持参する）
これは、かなり迷うところだと思います。なぜなら、本人確認をしてはいないものの、契約者の住所に契約書の写しを持参するからです。
①の観点で考えると、つまり、持参したものの契約者本人ではない人（家族など）に伝えてしまった、という場合が可能性としてはありそうです。普通は、契約締結時に身分証明書を提出するでしょう。しかし、運転免許証がない人だと顔写真がある身分証明書は提出していないので、確かに本人の顔は分からないわけです。
このような時に、契約者は男性なのに、奥さんらしき人に教えたというのであれば、大多数の人は納得できず、会社は不信感を持たれるでしょう。
となると、自宅訪問時に身分証明書を再度提示してもらい、コピーを取ったり、サインをもらうなどしておいた方が良いでしょう。そうすると、仮に違う人に契約書の写しを渡したとしても、身分証明書の提示や契約者と同じ名前の署名をもらったと主張すれば、大多数の人は、そこまでやっているならば、会社自体に大きな問題があるわけではない、と思うかもしれません。
②の観点で考えた場合も、持参ですので即座に不快感をもたれることは無いように思います。
このように考えると、どうやら、直接対面して情報を受け渡すというのは、かなり精度の高い手段といえそうです。
3の場合（電話口で本人確認はせず自宅へ郵送する）
2の場合の郵送バージョンです。これは即座に回答していない、というだけで実質は1に近いと言えます。従ってあまり良い選択ではないと思います。
4の場合（身分証明書を送ってもらったうえで、郵送する）
実務的には4,5,6というのは良く見ます。
おそらく、一般的に本人確認というのは、身分証明書を何か一つ提出することだというように見えます。
この直接対面しない場合の、本人確認というのはどうしたら効果的でしょうか。
本人確認をする上で、身分証明書は2種類あります。それは、顔写真があるかないかです。そして、当然顔写真がある方が本人確認は適しています。
しかし、直接対面することなく、本人確認をしないといけないとなると顔写真というのは顔写真がないものと比べてより適切と言えるでしょうか。
私としては、このような局面では、身分証明書の数が重要になってくるのではないかと思います。そして、身分証明書に記載されている住所が保険会社に登録されている住所と一致していることも大事だと思います。
さて、今回の場合は健康保険証のみで本人確認をしようとするわけですが、健康保険証というのは、住所が手書きで書けます。つまり、誰でも書き換え可能なので住所の信ぴょう性が低いと言えます。さらに、身分証明書が1つで良いとするとしたら、それは本当の所有者が紛失して拾われたり盗難にあったケースを想定していないことになります。とはいえ、健康保険証の裏面に書かれた住所と契約書上の住所が一致していれば十分であると判断しても良いでしょう。
4の場合だと、最低限、契約書上の住所と健康保険証記載の住所が一致していることが必要だと考えられます。もし、住所が不一致であれば、「裏面の手書きの住所が契約書上の住所と異なっていたが本人に間違いないと判断し現住所（健康保険証記載の住所）に郵送した」というように説明をしないといけませんが、納得するには厳しそうです。よって①の観点からは不適切でしょう。
5の場合
これは、郵送でのやり取りにおいては、十分な本人確認であると言えます。
6の場合（直接来訪して頂く）
これは、基本的には問題ないのですが、場合によっては不適切になってしまいます。
というのが、例えば来訪して頂くにしても、車で数時間もかかる離れている、平日しか窓口が開いていないため会社を休まないといけない、交通手段がタクシーしかなく料金がが高く付くなどのように、来て頂くためのコストが大きい場合です。
このような場合は、相手にかかる負担とこちらが求める水準についてバランスを取らないといけません。実際に個人情報保護法においても、情報を公開するにあたって、あまりにも厳しい条件や手数料をとることを禁じています。要するに公開ありきで法律は作られているので、必要条件を満たしたら情報公開に応じないといけないのです。
となると、遠方に住んでいる方に時間とお金をかけさせて、直接来訪してもらうしか情報を伝える手段がないとするのは問題となります。この場合は②の観点からクレームとなりえるでしょう。
従って、相手の状況に応じて、別の手段を講じる必要性が出てくる点が要注意です。