弁護士が語る！経営者が知っておきたい法律の話（第86回）22年4月改正個人情報保護法施行、留意点を解説

　次に（2）の事業者の守るべき責務の在り方に関わる改正への対応について説明します。今回の改正では、個人データの漏えいなどが発生したときの報告・通知が義務化されましたから特に注意が必要です。改正法は、個人データに次の①~④の事態が生じたときは、企業に対し、個人情報保護委員会への報告と本人に対する通知を原則として義務化しました。

①要配慮個人情報の漏えい・滅失・毀損
（これらが発生した恐れがある場合を含む。以下②~④も同じ）
②財産的被害が生じる恐れがある漏えい・滅失・毀損
③不正アクセスなどによる漏えい・滅失・毀損
④1000件を超える大規模な漏えい・滅失・毀損

　企業としては、報告・通知の対象となる事態に含まれる、要配慮個人情報、不正利用による財産的被害が生じる恐れがある情報（クレジットカード情報など）、または1000件を超える個人情報の取り扱いの有無を確認し、取り扱いがある場合はどこでどのように管理されているかを把握しておくとともに、不正アクセスなどへの対応が十分か改めてチェックする必用があります。また、漏えいなどが生じたときに報告・通知を行う部署やその業務フローを定めるなどして、有事に備えておくことも重要です。

　さらに改正法は、企業に対して、違法・不当な行為を助長・誘発する恐れがある方法によって個人情報を利用しないよう義務付けています。これは、例えば違法行為を営む第三者に個人情報を提供するなど、相当程度悪質なケースが想定されています。

　従って、通常の企業であれば問題となることはないでしょうが、改正法の施行を機会に、自社における個人情報の利用方法について、改めて確認しておくとよいでしょう。

データ利活用の在り方に関わる改正への対応

　3番目に、（4）のデータ利活用の在り方に関わる改正への対応について説明します。ここでは、このうち「個人関連情報の第三者提供」に関する改正への対応について触れます。この改正点は少々分かりづらいので、個人情報保護委員会「改正法に関連するガイドライン等の整備に向けた論点について」に記載の下図を基に説明します。

[caption id="attachment_42674" align="aligncenter" width="600"] 出典：個人情報保護委員会「改正法に関連するガイドライン等の整備に向けた論点について」[/caption]

 

　これは、A社では誰の個人データか分からない情報（個人関連情報＝Cookie情報など）をB社に提供するというケースに関するものです。こうしたケースであっても、Ｂ社において、提供を受けた当該情報をＢ社が保有する個人データにひも付けて利用することが想定される場合には、次の規制が及びます。

　すなわち、Ｂ社は、このような取得をすることにつき、本人の同意を得ておかなければならず、Ａ社は、このような情報の提供に当たってＢ社がこうした同意を得ていることを確認し、その記録を作成・保存することが求められるのです。

　従って、企業の対応としては、まず、そもそもこうした事例に当てはまる個人関連情報の取り扱いがあるか、取り扱いがあるとして提供側か受領側かを確認します。そして、どちらの側であるかに応じて、本人からの同意取得方法、あるいは同意を得ていることの確認方法・記録方法につき検討して準備しておかなければなりません。

　最後に、2021年の個人情報保護法改正について触れておきます。この改正は、主に公的部門と学術研究部門に関するもので、一般の企業には影響を与えません。この改正によって、個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法という3本の法律は1本の法律に統合され、全体の所管が個人情報保護委員会に一元化されます。この改正の一部については、2022年春に施行が予定されています。