2005年4月に施行された『個人情報保護法』は、これまで社会情勢に伴い見直されてきましたが、令和元年1月の「3年ごと見直しに係る検討の着眼点」に即し、3年ごとに個人情報保護法の見直しが進められてきました。そして2022年4月より『改正個人情報保護法』が施行されます。今回の改正により、個人情報が外部に流出すると法人に対して1億円以下の罰金を科す、高額な罰金制度が導入するなど、個人情報の取り扱いが厳格化されました。
今回は企業が知っておくべき「改正個人情報保護法」のポイントと漏えい対策についてご紹介します。
まず、個人情報保護法に関してご紹介します。
個人情報保護法は、『個人の権利や利益を守りつつ、デジタル化が進んでいる社会において個人情報の利活用を行うため』の法律です。つまり、個人の権利や利益を保護しながら、個人情報を効果的に活用することを目的として定められた法律です。また、個人情報の定義は個人を識別できる情報、あるいは他の情報と組み合わせることで簡単に個人を識別できる情報のことを指します。
当初、個人情報保護法の法規制の対象事業者は個人情報を5,000件以上取り扱っている事業者でしたが、その後2017年5月に「改正個人情報保護法」が施行され、現在では個人情報を1件でも取り扱うすべての事業者が対象となりました。
次に、改正個人情報保護法についてご紹介します。
今回の改正では個人情報の分類がより細かく・より明確になりました。個人情報の取り扱いに対する「厳格化」、漏えい時の通知が「完全義務化」し、高額な「罰則」が科されるようになります。
その中で抑えておきたいポイントを6つに分けてご紹介します。
違反が行われていない場合でも、個人の権利や利害が害されている場合の請求権（個人情報の停止・削除）を行使できるようになりました。また、個人情報について開示方法の指定や第三者への提供に関するルートも把握できるようになりました。
漏えい事故が発生した場合、個人情報保護委員会に対する報告は「義務化」、本人への通知も「原則義務化」となりました。また、個人情報を違法または不当な行為を助長・誘発する恐れのある不適正な方法で利用してはならないと義務化されました。
認定団体制度について企業の特定分野（部門）を対象とする団体を認定団体として認定できるようになりました。認定個人情報保護団体に認定された場合、「定期的な情報提供」や万が一漏えいが発生した際に団体が「事故報告や仲介業務などの支援」をしてくれます。
個人情報を加工することで個人を特定できない情報に変換した「仮名加工情報」を創設し、利用条件を付けた上で義務を緩和しました。また、個人データに該当しないものの第三者が個人データとして取得することで予想される情報を提供する場合は本人の同意を得ることが義務付けられました。
「個人情報保護委員会からの命令違反」、「委員会への虚偽報告等」、「個人情報データベース等の不正提供等」の法定刑が引き上げとなり、特に法人の罰金刑の上限額は大きく引き上げられました。
日本国内の個人情報を取り扱う外国事業者も報告徴収・命令および立ち入り検査の対象となりました。
また、命令に従わない場合は公表を行うこともできます。
最後に、改正に向けた3つの準備と5つの漏えい対策についてご紹介します。
1. 電磁的記録（デジタルデータ）の開示に向けた準備
改正により、保有している個人データの電磁的記録（デジタルデータ）の開示請求に対応できるよう具体的な体制作りを早期に築くことが求められています。そのため、今から電磁的記録の準備を進めることをお勧めします。
2. 個人の権利利益に対して侵害の恐れがないか確認
改正により、個人情報の第三者提供ルートを請求できるようになりました。また、本人の権利利益の侵害になる恐れがある場合は本人による利用停止・消去・第三者提供停止等の請求を認められます。そのため、提供ルートに対して権利の侵害がないか確認しましょう。
3. 情報漏えい時の対応準備
改正により、漏えい事故が発生した場合の報告が義務化されます。また「速報」と「確報」に分けて報告する必要があり、迅速な対応が求められるため社内の業務フローを確立しておきましょう。
・社内情報の持ち出しに厳しい規則をかける。
・個人上情報に関わる資料を廃棄する際は、必ず復旧不可能な廃棄手段で行う。
・組織の明確なセキュリティポリシーを作成する。
・送信先や「BCC」「CC」の設定など、誤操作が起きないように必ず送信前に確認する。
・セキュリティソフト・フィルタリングシステムの導入や最新版に更新する。
情報漏えいの原因としてもっとも多いのが「*ヒューマンエラー」と「外部からのアクセス」です。
そのため前述のように『ヒューマンエラーを防ぐために組織全体のセキュリティリテラシーを向上させ、ルールを徹底をする』ことや『ウィルス感染や不正アクセスの被害を防ぐためにUTM・セキュリティソフト・フィルタリングシステムの導入することや常に最新版に更新してソフトを使用すること』を推奨します。
以上、企業が知っておくべき「改正個人情報保護法」のポイントと漏えい対策についてご紹介しました。
― 個人情報保護法とは
― 改正個人情報保護法に関して抑えておきたい6つのポイント
― 改正個人情報保護法に向けた3つの準備と5つの漏えい対策
個人情報の利活用のために制定された個人情報保護法ですが、今回の改正で既存制度の不備を解消するため多くの変更と、より厳しいペナルティが加わりました。改正法の施行前に、再度組織内のセキュリティ対策や社内ルールに問題がないか見直しすることを推奨します。
