2022年4月施行！
個人情報保護法の改正ポイントと
企業に求められる対応とは

「個人情報保護法」は、個人情報の外部流出と悪用を防ぐため、2005年4月から施行された法律です。施行から10年が経過した2015年、法律制定時には想定されていなかったレベルで個人情報利活用の範囲が広がったこと、クラウドサービスの拡大などで、日本とは法体制が異なる海外の企業に情報管理を委託する民間事業者が急増したことなどにより、最初の見直しが行われました。
その際、政府の外郭組織である個人情報保護委員会が政府による改正法附則を審議して定めたのが、「3年ごとに個人情報保護法を見直す」という規定。今年施行された改正個人情報保護法は、この「3年ごと見直し規定」に基づいて成立した初の改正法ということになります。

前述の通り今回の個人情報保護法改正は、デジタルデータ化された個人情報が様々な場面で利活用され、その情報がグローバルに展開されている昨今の社会情勢を鑑み、国際的な制度の調和・連携に配慮しながら個人の権利と利益を保護することを主目的にしています。特に、以下の6項目が、改正の「ポイント」です。

2015年の改正で、それまで除外されていた「保有する個人情報が5000人以下の小規模事業者」も法律適用の対象となったのに加え、今回の改正で、短期間でも個人情報を事業活動に利用している事業者（個人事業者も含む）は営利・非営利を問わず、全て適用対象となりました。したがって、いずれの項目についても概要を把握し、必要と思われる対策を急ぐことが重要だと言えます。

今回の改正では、「個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資する」という側面と、「個人情報の有用性に配慮しつつ、個人の権利利益を保護する」義務とを両立させるため、様々な項目について見直しが図られています。上記6項目のポイントの中でも、特に注意すべき変更点を見てみましょう。

個人の権利利益の保護を強化するため、「保有個人データの開示方法を本人が指示できる」、「第三者提供記録を本人が開示請求できる」など、個人による請求権の範囲が拡充されました。「短期保存データ」も、開示・利用停止などの対象となります。
従来法では、6ヵ月以内に消去する個人データは「保有個人データ」と見なされなかったため、情報更新を行わない限り、開示や利用停止等の請求対象ではありませんでした。しかし改正後は、データの保存期間による限定が排除され、6ヵ月以内に消去する短期保存データも「保有個人データ」に含められることになるのです。
なお、これまで本人が保有個人データの利用停止や消去を請求できるのは、「目的外利用された場合」と「不正な手段で取得された場合」に限られていましたが、改正法ではこれに加え、「不適正な利用がなされた場合」、「保有個人データを利用する必要がなくなった場合」、「保有個人データの漏えい等が生じた場合」、さらに「保有個人データの取扱いにより本人の権利・正当な利益が害されるおそれがある場合」も、利用停止や第三者提供の停止が請求できることになりました。

従来法では、個人情報が漏えいした際の報告等は「努力義務」であり、強制力を持つ法的義務ではありませんでした。しかし改正法では、個人情報の漏えいによって個人の権利利益が侵害される場合には、「本人への通知」だけではなく「個人情報保護委員会への報告」も義務付けられました。
これは、事業者側の内部事情（社員による不正行為など）に起因する漏えいばかりでなく、予想し得ない不正アクセス被害等によって顧客情報などが漏えいした場合も同様です。同時に、企業による個人情報の活用が違法行為や不当行為の助長・誘発につながらないよう、「不適正な方法による個人情報利用の禁止」が明文化された点も、事業者への責務追加の1つと言えます。
本人や個人情報保護委員会への通知・報告だけではなく、事実関係の調査および原因の究明、再発防止策の検討および実施などについても「必要な措置を講ずることが望ましい」として、事業者が負うべき責務が、これまで以上に明文化されています。

個人情報保護に関する基本方針の策定や監督及び指導、法令違反があった場合の勧告・命令などは、基本的に個人情報保護委員会が行いますが、それ以外にも個人情報保護委員会が認定する民間の「認定団体」を活用した情報保護が行われてきました。
今回の改正では、この認定団体制度がさらに拡張され、企業の特定分野・部門を対象とする団体も「認定団体」として登録できるようになりました。

個人情報を企業活動に利用する際、「特定の個人を識別できないように個人情報を加工し、かつ復元できないようにした情報」（いわゆる「匿名加工情報」）に加工しなければならないルールが定められていました。
今回の改正では、他の情報と照合しない限り特定の個人を識別できないようにする「仮名加工情報」制度が新設されました。仮名加工情報は、匿名加工情報と比較して加工が簡便で詳細な分析も可能なので、情報の利活用によるイノベーション促進が期待されています。

今回の改正のうち、改正法が公布された2020年の12月から先行して施行されているのが、この「ペナルティ強化」です。「個人情報保護委員会からの命令に違反した場合」や「虚偽報告が発覚した場合」、「個人情報データベースなどの不正提供を行った場合」の罰則規定が、以下のように強化されています。

従来は「50万円以下」が上限だった罰金が、改正後、最大で「1億円以下」にまで引き上げられました。前述したように、事業規模に関係なく個人情報の利活用を行っている全ての事業者が対象となるので、対応が遅れると重大な経営損失を生みかねないのです。

日本国内に支店等を持つ海外企業が日本人顧客の個人情報も海外で管理したり、海外のインターネット通販事業者が、日本の消費者の個人情報を取得したりするケースが急増しています。
これまでは、海外企業が報告徴収・命令や立入検査などの対象となることはありませんでしたが、今回の法改正により、海外企業であっても日本在住の人（国籍に関わらず）の個人情報を取り扱っていれば、報告徴収や立入検査などの対象とし、罰則も適用されることになりました。

個人情報保護法が改正されたことは知っているが、「自社の場合はどのような対応・対策が必要なのか」「情報セキュリティを強化するには、何から始めれば良いのか」など、具体的な対応内容について迷っている経営者やシステム管理者は少なくないようです。そこで、企業や団体における情報セキュリティのスペシャリストである、キヤノンITソリューションズ株式会社 サイバーセキュリティ技術開発本部の西浦 真一氏、岡庭 素之氏に、企業に求められる改正法対策について尋ねました。

【3つの重要ポイント】

インタビューでも指摘があったように、「紛失・置き忘れ」「誤操作」による情報漏えいが、全体の半数以上を占めています。改正個人情報保護法の施行により企業が負うべき責務が追加された以上、こうした情報漏えい原因に対する意識を高め、対策を「後回し」にしないということ。これが、ポイントの１つ目であり、企業に求められる最も重要な対応と言えるでしょう。
ポイントの2つ目は、自社の情報管理状態を改めて確認し、業種・業態・事業規模などに応じた適切な情報管理体制を整えるということ。自社の情報管理体制がきちんと把握できていないと、適切な情報漏えい防止対策も立てられません。
ポイントの3つ目は、近年の「不正アクセス」増加に対応し、ネットの「出入り口」だけでなく自社内の「各端末」でも情報を守る体制を整備するということ。
各セキュリティ機器のログや、通信ログ、サーバーへのアクセスログなど各種ログを記録・保存できる体制を整えた上で、運用体制・運用責任者も明確にしておきましょう。
以上の3つのポイントが、個人情報保護法改正後の急務と言えそうです。