2022年4月に改正された個人情報保護法をわかりやすく解説

「個人情報保護法（個人情報の保護に関する法律）」は、個人の情報を適切に保護するための決まりが明記された法律です。2003年に成立し、2005年に全面施行されました。ビジネスシーンでは、個人情報を1件以上取り扱っている事業者は対象となります。対象事業者の保有個人データのなかでも、氏名などの個人に関する情報のほか、組み合わせて個人を特定できる情報が「個人情報」に該当します。具体例としては、マイナンバー・顔写真・氏名と社名を含むメールアドレス・声が識別できる音声などが挙げられます。

個人情報保護法の目的は、大きく分けて2つあります。1つは、個人情報が持つ権利と利益を保護するためです。もう1つは、個人情報を適正かつ効果的に活用するためです。例えば、多くの通販サイトでは個人の注文履歴やユーザー情報からおすすめの商品を提示する仕組みが採用されています。こうした個人情報の取り扱いに関しても、法律上ではデータの取得や利用に同意が必要なことが規定されています。

法令違反に該当していなくても、個人情報の利用停止や消去を依頼できるようになりました。個人の権利や利益が害されていると判断された場合は、取扱事業へ消去や公開停止を請求できます。また、本人が個人情報の開示を依頼する際、紙以外の公開形式を選択できるようになった点もポイントです。音声や動画の保存データなどを含め、保存形式の多様化に対応した内容となっています。個人情報が第三者に提供される際は、どのようにして提供されたかの記録も開示請求ができるようになりました。

個人情報の漏えいが発生し、個人の権利や利益を害するおそれがある場合の報告が義務づけられました。取扱事業者は、個人情報保護委員会と本人に事象を報告する必要があります。旧法では、個人情報保護委員会への報告は努力義務と定義されていました。これらの報告に関しては、瞬時に伝える「速報」と、状況が明らかになってから伝える「確報」に分けて行うことが求められます。

報告の必要がある例

・本人の人種や社会的身分、病歴、犯罪歴を含む要配慮個人情報の漏えい
・クレジットカードやWebサイトのログインパスワードなど、財産的被害の発生が想定される漏えい
・不正アクセスによる漏えい
・1,000件を超える大規模な漏えい

不当な行為を助長もしくは誘発するおそれがある方法で個人情報を利用することが禁止となります。これまでは不適正な方法での利用に関して、特に明記がありませんでした。違反した場合には利用停止などの対象になります。

不適正な利用の例

・詐欺行為を企てるグループに個人情報を提供する
・破産した人の情報を不特定多数の人へ公開する

仮名加工情報とは、ほかの情報と照合しない限り個人の特定ができないように加工された情報のことです。改正後は、内部分析のみの利用などを条件に、開示や利用停止請求への対応義務が緩和されています。

情報の提供先で個人が特定できる可能性のあるデータの提供について、今後は本人同意の確認が義務化されます。例えば、提供元では誰のものか分からない個人データも、提供先が所有するデータとの組み合わせ次第で、個人特定につながるケースが存在します。このように個人を特定できることを知りながらデータを渡す行為が問題視されていたため、第三者提供規制が新設されました。

認定団体制度とは、個人情報の保護にあたり民間団体を利用できる制度のことです。改正法では、企業の特定分野のみを対象とした認定団体の存在が認められるようになりました。今後は認定団体の活用が進み、高い専門性を生かした個人情報保護の取り組みが期待されています。

外国の事業者に対する個人情報保護法の適用範囲が変更されました。本国内の個人情報を取り扱う事業者も、報告徴収や命令、立ち入り検査の対象となります。外国の事業者が個人情報を不適切に扱っていた場合にも罰則が適用される点が大きな変更点です。

改正法では、個人情報保護委員会からの措置や報告義務に違反した場合の法定刑が引き上げられました。重罰化することで、措置命令違反や虚偽報告の防止などの効果が期待されています。個人の場合、個人情報保護委員会の命令に違反すると懲役1年以下または100万円以下の罰金が課されます。法人による違反の罰金の上限は、さらに大きく引き上げられました。措置命令違反の罰金は最大30万円から最大1億円に変更、虚偽報告の罰金は最大30万円から最大50万円に変更となっています。措置命令違反や報告義務違反には注意が必要です。

法人で注意したいのは、ウイルス感染や不正アクセスなどの攻撃を受けて情報が抜き取られるケースです。なかでも「マルウェア」と呼ばれる不正なソフトウェアによる攻撃が問題となっています。マルウェアに感染すると、デバイス操作の不具合や情報漏えいを引き起こします。手口が巧妙化し、あらゆる方法でセキュリティーをすり抜けようとするので、継続的な対策が必要です。テレワークの導入拡大で、業務のデジタル化が推進される昨今、新しいセキュリティー対策が求められています。

従業員のセキュリティーリテラシーが低いと、ヒューマンエラーが原因で情報漏えいが起こる危険性があります。代表例として挙げられるのは、個人情報の持ち出しが意図的に行われて漏えいが起こるケースです。社員が自主的に自宅や私用PCで作業をするなど、悪意なく情報の持ち出しが行われてしまうことも珍しくありません。一方で、会社に不満を持っている人が、損害を出させるため故意に情報を流出させた事例も存在します。情報の利用目的に応じてアクセス権限を限定するなど、内部の管理を徹底する必要があります。

企業が個人情報を適切に保護し、情報漏えいを防ぐには、外部的要因および内部的要因の対策が重要といえます。個人情報の取扱業者様は、外部・内部いずれの脆弱性ももれなくカバーするセキュリティー対策をご検討ください。