2017年5月改正の個人情報保護法、要点をチェック

2017年5月30日に改正個人情報保護法が全面施行されました。改正内容は主に個人情報の定義変更を中心としており、個人情報を取り扱っている企業にとっては見逃すことはできません。この改正に伴い消費者の意識も変わっていくことが予想され、今後Pマークの需要はさらに高まるでしょう。個人情報保護法の改正内容について、具体的なポイントをお話しします。

個人情報の定義と対象企業の拡大

従来の個人情報保護法では、氏名・生年月日など個人を特定できる情報のみを「個人情報」として定義していました。改正後は、身体の特徴をデータ化したもの、個人に発行される番号なども個人情報に含まれるようになり、適切な管理が求められます。例えば、写真や、会員カードの番号なども個人情報と見なされるようになるのです。

また、改正後は対象となる企業も変わります。改正前の個人情報保護法は5,000件以上の個人情報を管理している企業のみが対象となっていましたが、改正後にはこの制限がなくなります。つまり、個人情報を扱うすべての企業は個人情報保護法に遵守しなければならないのです。

あらゆる企業にとって必要となるPマーク

企業により相次いだ不祥事とマイナンバー制度の開始により、消費者の間でも個人情報漏えいへの警戒心が高まっています。消費者は各々の基準で企業の信頼度を判断しますが、現状その信頼度に一番大きく貢献する要素は企業のブランド力です。つまり、よく名前を聞く大手ほど、個人情報保護の観点からも消費者からの信頼が厚いということです。

一方、中小のECショップなどは、自社のブランド力に頼ることができません。消費者に安心とクリーンさをアピールするためには、Pマークの取得が不可欠です。さらに、個人情報保護法の改正後は、個人情報を1件でも保持していれば法的責任が生じます。業態、ビジネスに関わらず、企業にとってPマークを取得していることは当たり前のことになるかもしれません。
匿名加工情報という新しい枠組み

2017年の改正でもう一つ大きな変化となったのが、「匿名加工情報」という区分の新設です。これは、特定の個人を識別できないように個人情報を加工し、かつ元の情報に復元できないようにしたデータを指します。一定の基準に従って適切に加工されていれば、本人の同意を得ることなく第三者への提供や事業者間でのデータ活用が可能になりました。

この枠組みは、ビッグデータの活用を後押しする狙いがある一方で、加工方法や運用が不適切であれば個人の特定につながるリスクも残ります。匿名加工情報を取り扱う事業者には、加工方法や安全管理措置についてより慎重な検討が求められます。

第三者提供のルールが厳格化

改正法では、個人データを第三者に提供する際のオプトアウト（本人からの求めに応じて提供を停止すること）に関する規定も見直されました。オプトアウトによって個人データを第三者提供する事業者は、あらかじめ個人情報保護委員会への届出が必要となり、届出内容は公表される仕組みになっています。これは、いわゆる「名簿屋」による個人情報の不透明な流通を防ぐことを目的とした改正です。

個人情報保護委員会の新設と監督強化

この改正に伴い、独立した第三者機関である個人情報保護委員会が新設されました。同委員会は、事業者に対する報告徴収や立入検査、指導・助言、勧告、命令といった権限を持ち、個人情報の取り扱いを監督する役割を担っています。それまで分野ごとに主務大臣が監督していた体制から一元化されたことで、事業者にはこれまで以上に体系立ったコンプライアンス対応が求められるようになりました。

中小企業が今から準備しておくべきこと

こうした改正内容を踏まえると、企業規模にかかわらず、自社が保有する個人情報の棚卸しやプライバシーポリシーの見直し、社内規程・教育体制の整備を進めておくことが望ましいといえます。Pマークの取得・運用に取り組む過程では、こうした個人情報保護法上の要求事項を体系的に満たしていくことができるため、法改正への対応力を高める意味でも有効な手段の一つとなります。

要配慮個人情報という新たなカテゴリー

2017年の改正では、人種、信条、社会的身分、病歴、犯罪の経歴など、本人に対する不当な差別や偏見が生じないよう特に配慮を要する情報を「要配慮個人情報」として新たに定義しました。この情報を取得する際には、原則としてあらかじめ本人の同意を得ることが義務付けられており、オプトアウト（本人の求めに応じて後から提供を停止する方式）による第三者提供も認められません。従業員の健康診断結果や採用選考時の情報などを扱う企業は、特に注意が必要です。

外国にある第三者への提供に関するルール

グローバル化に伴い、個人データを海外の事業者に提供するケースも増えています。改正法では、外国にある第三者に個人データを提供する場合、原則として本人の同意を得ることが必要とされました。ただし、当該外国が日本と同等の水準にあると認められる場合や、提供先が個人情報保護委員会の定める基準に適合する体制を整備している場合には、一定の例外が認められています。海外拠点とのデータ連携やクラウドサービスの利用が増えている今、この点を把握しておくことは実務上欠かせません。

罰則規定の強化

改正法では、個人情報データベース等を不正な利益を得る目的で提供・盗用した場合に処罰される「個人情報データベース等不正提供罪」が新設されました。事業者本人だけでなく、その従業者や委託先の担当者が悪意を持って情報を持ち出した場合にも罰則の対象となり得るため、社内における管理体制やアクセス権限の管理を一層徹底することが求められます。

改正の全体像を踏まえた実務対応のすすめ

このように2017年の個人情報保護法改正は、定義の拡大や対象企業の拡大にとどまらず、匿名加工情報の新設、第三者提供ルールの厳格化、監督体制の一元化、罰則の強化など、多岐にわたる内容を含んでいます。自社の事業内容に照らして、どの改正内容が影響するのかを一つずつ確認し、必要な社内規程や運用フローの見直しにつなげていくことが大切です。Pマークの取得・運用に取り組む中でこうした確認作業を一緒に進めていくことで、法改正への対応を効率的に行うことができます。

よくある質問（FAQ）