個人情報保護法の改正

マイナンバーに関する法律が制定されたというと皆さんピンとくるかと思いますが、個人情報保護法が改正されたというと「？」となる方も多いのではないのでしょうか。マイナンバーが今までにない制度で議論も多くあったことからインパクトが強いかも知れませんが、この個人情報保護法はその親ともいうべきマイナンバーからすれば上位にあたる法律です。しかも、改正内容が思ったより大きいのですがインパクトがなかなか薄まっている印象があります。

とはいえ、個人情報をめぐる争いはマイナンバーをはじめ、某大手通信教育業者における個人情報漏洩事件や某ポイントカードが勝手に？購入商品のデータを集めているなどと言われ、ネットを中心に炎上騒動になったりと多く起こっている問題です。昔から名簿流出や氏名等の情報が勝手に公開されるなど個人情報に関する議論があったことはあったのですが、情報通信技術の飛躍的発展により個人情報そのものが増加し、その利用・保管の範囲も拡大し続けていることから、議論が増えるのも当然でしょう。

このような争いに応えるべく今回個人情報保護法が改正されることになりました。そこで、改正ポイントをいくつか見ていくことにしたいと思います。

個人情報の定義の明確化

個人情報といっても何が個人情報なのかということは案外難しいものです。近所のクリーニング店の会員番号が個人情報なのかと言われるとうーんという気がする一方、同じ番号でも運転免許証やパスポートなどの番号については個人情報であると皆が思うでしょう。法律上は、その曖昧さを避けて厳格に運用するために、「個人識別符号」という概念を用いて何が個人情報かを明確にすることにしました。

①身体的特徴をデータ化した符号であり、当該特定の個人を識別することができるもの

②サービスの利用又は商品の購入に関し割り当てられ、又は個人に発行されるカード等に記載され、若しくはデータとして記録された符号等であって、特定の個人を識別することができるもののうち、政令で定めるもの

①の例としては顔認証や指紋認証、生体認証がこれにあたるでしょう。②の例としては、運転免許証番号などが政令で定められることになると思いますが、この番号のみで個人情報として認められることになります。

さらに、個人情報の中でも「要配慮個人情報」というものが定められることになりました。

要配慮個人情報とは、人種、信条、病歴等本人に対する不当な差別又は偏見の原因となるおそれがあり、締めや住所等の他の情報に比べ、慎重な取り扱いを要する情報のことをいいます。具体的にどのような情報が要配慮個人情報にあたるかはこれから定められる政令により定められます。この要配慮個人情報については、原則として本人同意を得て取得することが義務づけられ、後述の本人同意を得ない第三者提供の特例（オプトアウト規定）が禁止されることになります。

適切な規律の下での個人情報等の有用性確保

個人が何をしたかは大量かつ多種多岐にわたるデータとして存在しています。企業としてはこれを集合的に利用することにより営業戦略をたてるなど種々の利用価値がある状況になりました。先に見ましたポイントカードの事例などがその例といえるでしょう。とはいえ、その情報で個人を特定することもできてしまうのは問題があるので、特定の個人を識別することができないように個人情報を加工することになります。これを匿名加工情報と呼ぶことにして、本人の同意なくして第三者提供をすることを認めることにしました。ただし、第三者に提供する旨を公表し、個人の識別を目的とする他の情報との照合を禁止することが条件とされています。

さらに、現行法上、個人情報の保護の推進を図る自主的な取り組みとして、苦情の処理等を行う民間団体である認定個人情報保護団体というものがあります。今回の法改正により、当該団体が個人情報保護方針を作成するに際して、消費者を代表する物その他の関係者の意見を聞くように努めて、作成した際には後述の個人情報保護委員会に届け出ることとなりました。

個人情報保護の強化

個人情報の漏洩などがあった場合に情報流通経路を把握するために、情報を第三者に提供するに際しては、提供する者には提供先等に関する記録の作成および保存が義務付けられます。また、この情報を受領する者にも提供者等に関する記録の作成及び保存が義務づけられることになります。

さらに、個人情報データベース等を取り扱う事務に従事する者又は従事していた者が、不正な利益を図る目的で提供し、又は盗用する行為について、1年以下の懲役又は50万円以下の罰金に処することになります。現行法では、このような行為を行った者に対してまずは主務大臣による命令等がなされ、これに反した場合に初めて処罰がなされるという仕組みでしたが、即座に罰せられうることになりました。

個人情報保護委員会の新設とその権限

個人情報保護法の監督機関として、個人情報保護委員会が新設されることになります。詳しくは後述することにします。

個人情報の取り扱いのグローバル化

現行法では、個人情報保護法の適用は日本の領土内での行為や事象に限られていますが、改正により日本国内の個人情報を取得した外国の個人情報取扱事業者についても原則適用されることになります。情報の簡易迅速な流通に対処するためです。さらに、二国間で協力して問題に迅速に対応することができるとされることになります。さらに、外国にある第三者に個人情報を提供する場合には、あらかじめ外国にある第三者に情報を提供することについての同意を得る必要があることになります。

個人情報については一般的な物流などと比べて圧倒的なスピードで流通します。これに対応する諸策を日本国内において整備することによりできるだけ対処することが可能になりつつあるといえます。しかし、個人情報保護法がいわゆるガラパゴス化してしまっては想定していないこと等への対処が困難になってしまいます。そこで、国際的整合のとれた制度の構築のために必要な措置を講ずる旨が改正法において定められることになっています。

第三者提供の際の届出

現行法では、第三者に個人情報を提供するに際して、事前に同意を得ることなく、本人が第三者提供をやめることを求めた場合に事業者がこれに応じる旨等、一定の事項を本人に通知又は本人の容易に知りうる状態に置きさえすればよいとされています。これはオプトアウト規定と呼ばれていますが、改正によりこの規定によって第三者提供をするには個人情報保護委員会にデータの項目等を届け出ることを義務づけることとになります。そして、個人情報保護委員会は届け出られた情報はその内容等について一覧性をもって公表することになります。

開示の求め等

現行法においても、開示の求め、訂正等の求め、利用停止等の求めは、本人から求めがあった場合、個人情報取扱事業者はこれに応じる義務があります。しかし、これを裁判で争うことについては否定する裁判例がありました。そこで、裁判でこの求めをすることが改正により明文で認められることになります。

5000件要件撤廃

現行法では、小規模事業者への配慮から、取り扱う個人情報が5000人を超える場合のみ個人情報保護法の対象となるとされていましたが、改正により5000人以下でも対象とされることになります。小規模事業であっても個人の権利侵害は起こりうるからです。ただし、小規模事業者の過度の負担を避けるために、引き続き小規模事業者への配慮がなされることとなっています。

利用目的変更

個人情報の利用目的を一度定めた場合は、その変更をするときに、「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない」として厳格な要件を要求していました。しかし、機動的な目的変更の必要性があったことから、「相当の関連性」の箇所について「相当の」の文言が削除されることになります。

不要となった個人データ消去の努力義務

利用することのなくなった個人情報についても、引き続き漫然と保有されることが多々あるようです。そこで、このように残存した個人情報については迅速に削除するように努めるべきとする規定が改正により定められることになりました。

改正法案成立したけど

個人情報の定義の明確化など法律の根幹に関するような部分も含めて多くの事項が政令により定めるとされています。そして、現在未だ政令は定められてないので、今後の政令の制定については注視する必要があります。

個人情報保護委員会って何？

一通り個人情報保護法の改正内容を見てきましたが、いたる箇所で「個人情報保護委員会」が出てきました。この組織は現行法上は規定されておらず、今回の法改正により初登場の組織ということになります。

そこで、この個人情報保護委員会について少し見ておくこととします。

まず、この個人情報保護員会は突如として出現したわけではありません。現行存在する特定個人情報保護委員会がこの個人情報保護委員会に引き継がれるということになっています。そして、その任務は、個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ることとされています。

委員会の所轄事務は、

①基本方針の策定及び推進に関すること

②個人情報及び匿名加工情報の取扱いに関する監督並びに苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関すること

③認定個人情報保護団体に関すること

④特定個人情報の取扱いに関する監視又は監督並びに苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関すること

⑤特定個人情報保護評価に関すること

⑥個人情報の保護及び適正かつ効果的な活用についての広報及び啓発に関すること

⑦前各号に掲げる事務を行うために必要な調査及び研究に関すること

⑧所轄事務に係る国際協力に関すること、⑨前各号に掲げるもののほか、法律に基づき委員会に属させられた事務

となっています。

現在は監督権限などについては該当する省庁の主務大臣が有していましたが、誰が主務大臣なのかわからなかったり、そもそも必要なところで必要な規制がなされなかったりと、多くの問題が指摘されていました。そこで、専門的知見を有する統一的な執行機関を設置する運びとなったのですが、それがこの個人情報保護委員会ということになります。

これにより今後の相談窓口が統一したといえることから、事業者としては相談しやすい環境ができたといえます。