急務！法対応（第1回）個人情報保護法が改正。信用失墜のリスクに備えよ

　K氏は地場産品の製造・販売を手掛ける事業を5年前に立ち上げた。現在、個人商店から企業組織への成長過程にある。Webサイトでも商品を販売しており、顧客の個人情報は慎重に扱ってきた。だが、インターネットの情報セキュリティー対策が後回しになっていた。サーバーへの不正な侵入を許し、数千件の個人情報が抜き取られてしまった。「パソコンのウイルス対策はしっかりやってきたつもりだが、本格的な情報セキュリティー対策機器の導入をためらったばかりに……」と、K氏は悔やむ。

　個人情報が漏えいしたため、現在、個人情報保護委員会（※）が職場に立ち入り、K氏と従業員に対し情報管理の方法についてヒアリングを行っている。今後K氏の会社には、刑事罰や顧客からの損害賠償請求など、事業継続を脅かす重大なリスクが想定される。

たとえ1件でも個人情報があれば対象に

　ここに挙げた2つの想定ケースは、2017年6月以降、中堅・中小企業のさまざまな現場でも起こり得るものだ。これまで5000件以下の個人情報を取り扱う事業者は、個人情報保護法の対象外だった。しかしT氏の発言にもあったように、今回の改正によって、個人情報を取り扱う数に関係なく、たとえ1件でも個人情報を事業活動で取り扱っていれば、同法が適用される。

　個人情報の定義も明確化された。マイナンバーや免許証番号、指紋・顔認識データ、さらには購買履歴など、個人を識別できる符号が含まれる情報も「個人情報」と定義された。また、利用する必要がなくなった個人データは、復元不可能な手段で消去するという努力義務が新たに加えられた。

　新たに順守対象となった事業者は、何から取り組めばよいのだろうか。とりわけ重視すべき点は、同法の「安全管理措置」だ。

[caption id="attachment_14750" align="aligncenter" width="650"] 個人情報を事業で取り扱っている事業者は、4つの側面から「安全管理措置」を講じなければならない[/caption]

　改正個人情報保護法への対策は、個人情報保護委員会Webサイト内の「中小企業サポートページ」に詳しい説明が記載されている。上図で示した4つの安全管理措置のうち、「物理的」「技術的」な策を講じるための機器・ソリューションについては、ITベンダー各社が短期間・低料金で導入できる製品群を発表している。事業所への入退室を管理するシステムやファイアウォール、UTMなどが、安全な環境で個人情報を運用していく有効な対策になるだろう。

　なお、同法が定める義務に違反した場合は、個人情報保護委員会による注意勧告や命令の対象となる。その命令にも違反した場合には、罰則規定により6カ月以下の懲役、または30万円以下の罰金が科せられる。K氏の経営する地場産品事業会社のように、顧客から損害賠償を求める民事訴訟を起こされるリスクも発生する。

　もはや「うちには関係ない」「知らなかった」では済まされない。顧客や地域社会からの信頼を守り続けていくためにも、経営者は今何をすべきかを考え、適切な対策を講じる時である。

※個人情報保護委員会：個人情報の有用性に配慮しつつ、その適正な取り扱いを確保するために、内閣府の外局として設置された独立性の高い機関。個人情報保護法の所管は、消費者庁から、この個人情報保護委員会に移行された