弁護士が語る！経営者が知っておきたい法律の話（第73回）個人情報保護法改正の知っておくべきポイント

　改正法の内容のうち、中小企業経営者が注意すべき点について説明しましょう。詳しい内容については、今後、個人情報保護法施行令、施行規則、ガイドライン、Q＆Aなどで明らかにされる予定ですので、それらの内容も注視してください。

　まず、改正の重要なポイントとして「不適正利用の禁止」が挙げられます。違法または不当な行為を助長するなどの不適正な方法により、個人情報を利用してはならない旨が明確化されました（改正法16条の2）。

　具体例としては……以下のケースが挙げられます。

＜1＞違法行為を営む事業者に個人情報を提供するといったようなケース
＜2＞裁判所による公告などにより散在的に公開されているけれども差別を誘発される恐れがあるような個人情報について、集約化して、データベース化、インターネット上で公開するようなケース

　すでに、2020年7月下旬、個人情報保護委員会が、破産者の氏名などの個人情報をWebサイトに掲載している事業者に対し、サイトの停止などを命令しました。個人情報保護委員会が命令（個人情報保護法42条2項）を出すのはこれが初めてです。破産者の情報は、誰もが閲覧できる「官報」により公開されていますが、それを集約化し、Webで公開している行為が問題とされたわけです。

　今回の改正では、イノベーションを促進する観点から、個人情報から氏名などを削除した「仮名加工情報」という概念が創設されました。内部分析に利用することを前提に、利用目的の変更を可能とし、漏えいなどの報告や開示・利用停止請求への対応などの義務を緩和することとされました（改正法２条9項、35条の2など）。

　想定される事例としては、［1］当初の利用目的には該当しない目的や、該当するか判断が難しい新たな目的での内部分析、［2］利用目的を達成した個人情報について、将来的に統計分析に利用する可能性があるため、仮名加工情報として加工した上で保管することとされています。仮名加工情報の取り扱いは、あくまで、内部分析などの目的に限定されており、仮名加工情報を第三者に提供することはできません。

　漏えいなどが発生し、個人の権利利益を害する恐れがある場合に、委員会への報告および本人への通知が義務化されました（改正法22条の2）。これまでは、個人情報保護法委員会の告示で定められた努力義務でしたが、個人情報保護法上の義務になります。要配慮個人情報の漏えい、それから不正アクセスによる漏えい、財産的被害に至る恐れのあるデータの漏えいについては、件数に関わりなく報告の対象とされるほか、一定数以上の大規模な漏えいについても報告対象とすることが想定されています。

　提供元では個人データに該当しないものの、提供先において個人データとなることが想定される情報の第三者提供について、本人同意が得られていることなどの確認を義務付けることとされました（改正法26条の2）。ターゲティング広告の利用増加や2019年に報道されたリクナビDMPフォロー事案に起因して導入された規制です。

　第三者提供の場面において、個人情報に該当しない「個人関連情報」にも、個人情報保護法の適用があることになりました。個人データに該当しない、クッキー、端末識別子、位置情報などを、第三者に提供し、または第三者から提供されている場合には、同規制の条件を満たしているかについて、注意をする必要があります。

　従来は、6カ月以内に消去するデータ（短期保存データ）は、保有個人データに含まれないとされていましたが、改正法では、保存期間による除外はなくなりましたから注意が必要です（個人情報保護法2条7項）。

　また、保有個人データの開示方法について、これまでは、原則として、書面の交付による方法とされていましたが、電磁的記録の提供を含め、本人が指示できるようにすることとされました（改正法28条１項）。さらに、開示対象に、第三者提供記録が含まれることが明示されました（同条５項）。

　利用停止・消去といった個人の請求権について、不正取得などの一部の法違反の場合に加えて、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第22条の２第１項本文に規定する事態が生じた場合、その他個人の権利または正当な利益が害される恐れがある場合にも認められることとされました（改正法30条5項）。個人の権利または正当な利益が害される恐れがある場合の具体例としては、本人の意思に反して頻繁にダイレクトメールが送られてくる場合が挙げられています。

　以上、列挙した改正点の中で、一般的な中小企業に最も大きな影響があるのは、漏えいなどが発生した際の報告義務でしょう。そうしたことにならないように、普段から、個人情報が漏えいしないように、安全確保措置を実施する必要があります。特に要配慮個人情報、財産的被害に至る恐れのあるデータの取り扱いには注意しましょう。