個人情報の開示・削除、対応義務はどちらの会社？

質問

Ａ社は顧客リストの入力・更新・保管等をＢ社に委託しています。
　Ｂ社に対し私の情報の開示と一部削除を要請したところ、こういわれました。
「手元のリストはＡ社から預かっているだけで、当社のものではない。よって、Ａ社の指示なしで開示・削除はできない」

　納得できないままＡ社に開示・削除要請すると、こういわれました。
「当社の保有する情報は5000件をはるかに下回るので、個人情報保護法の対象外である。開示・削除の義務はない」

　両社の主張は個人情報保護法の解釈・運用上、正しいのでしょうか。正しいとしたら、開示・削除させる方法はないのでしょうか。
（Ｂ社は5000件以上扱っていることを認めています）

回答No.1

t_ohta

あなたの個人情報を収集する時に表に立った会社はどちらなのでしょうか。

文章からはA社の名前で個人情報を収集したモノと感じられるので、その前提ですと両者の主張は法律上問題無いと思われます。
B社はA社の個人情報データを預かっているだけなので、A社の個人情報データに関してはA社の管理監督下にあり、A社の指示がない限り無断で変更や開示する事は違法です。
A社は自社として収集・管理している個人情報データが5000件未満なのであれば、個人情報保護法の適用外と言う事になります。

お礼

さっそくのご回答ありがとうございます。

　うーむ……おっしゃる通りだとすると、企業等は、データ利用部門・データ管理部門ｅｔｃをそれぞれ形式的に別会社にすることで、法の適用を免れることが可能そうですね。思わぬ抜け穴が生じてしまった、という感じです。