個人情報保護法の改正で企業がすべきことは？
2022年4月改正の変更点

改正前は個人情報保護委員会への報告は努力義務とされ、必須ではありませんでした。改正後は、個人データが漏えいしたときの対応が変更になり、個人情報保護委員会および漏えいした情報の本人への事象報告が義務化されました。情報漏えいが発生してから委員会に報告するまでのフローも企業内で決めておく必要があります。

改正により、個人情報取扱事業者が不適正な方法で個人情報を利用することの禁止が明記されました。不当な行為を助長もしくは誘発するおそれがある方法による利用は、処罰の対象になります。不適正な方法で利用した場合、利用停止等の対象になる点に留意が必要です。

個人情報を漏えいしてしまうと、企業イメージが低下する可能性があります。機密性が高い情報の管理がずさんである印象を与えかねないためです。イメージの悪化は苦情を招くだけではなく、顧客離れや株価の下落につながるおそれもあります。

個人情報の漏えいが発生した場合、部門間で連携して迅速に対応する必要があります。本来取り組む予定だった業務を停止せざるを得ないケースも考えられます。また、情報漏えいで生じ得る損失にもご注意ください。金額によっては、会社の利益低下につながるおそれがあります。

漏えいした情報が悪用されて二次被害が起こるおそれがあります。機密情報が流出すると刑事罰とは別に、民事上の損害賠償責任が発生することがあります。

個人情報が漏えいした場合は、個人情報保護委員会と情報の持ち主である本人への報告が必須です。報告の対象になる情報がまとまって保管されているか、どこでどのように管理されているかを把握する必要があります。

例えば、今回の法改正にて、個人データのやり取りがあった場合、本人が第三者提供記録を開示請求できるようになりました。個人情報取扱事業者がデータ提供する際は、授受の記録をつくる必要があります。個人データを受け取る提供先の企業も同様に、記録を作成することが必要です。開示方法は本人が指定できます。こうした記録の作成を適切に行い、徹底した管理を行うことが大切です。

また、これまでは6カ月以内に削除される個人情報は保有個人データとみなされず、本人からの請求があっても開示や訂正、利用停止をする義務はないとされてきました。改正後は、短期間で消去するものでも保有個人データとして扱う義務が生じます。

このように、改正法では本人の権利をより強固に保護できるような見直しが行われました。企業側は、有事の際に迅速な対応ができる体制を整えておくことも重要といえます。漏えいが起こったときの担当者や責任者などについての確認もしておき、トラブルに備えておくと安心です。

多様化する不正アクセスの手口に対抗できる体制を構築しておくと、万が一の事態を防げる可能性があります。不正アクセスを検知するための対策のほかに、侵入を許した場合に備えてリスクを最低限に抑えるための対策も重要です。

セキュリティー対策は、複数のシステムやソフトウェアを組み合わせるのが一般的です。自社にとって必要な機能を確認し、適切なセキュリティー対策システムを導入しましょう。