改正個人情報保護法　～情報漏洩原因と対策～

近年、消費者の購買行動などの情報が、ビッグデータとしてビジネスで活用されています。この背景を受け、個人情報保護法が2017年に改正されました。本記事では、改正のポイントと情報漏洩対策について解説します。

個人情報保護法とは

個人情報保護法は、2005年にこれまで紙で管理していた個人情報がデジタル化され個人データを持ち出しががこれまでより容易になり、欧米諸国や日本が加盟するOECD(経済協力開発機構)がプライバシー保護と個人データの国際流通についてのガイドラインに関する勧告を出したことから各国で法整備が行われ、日本でも個人情報の不正利用や不適切な取り扱いを防ぐため、個人情報を取り扱う事業者を対象に個人情報の取り扱い方についての義務を課す当法律が施行されました。法律の中の個人情報の定義は以下を指します。

「生存する個人に関する情報」
「氏名、住所、性別、生年月日等特定の個人を識別することができるもの」
「他の情報と容易に照合することができるもの」

その罰則はというと、

刑事罰：６ヶ月以下の懲役または３０万円以下の罰
金事罰：数千万～数億以上の支払判例多数

となります。この個人情報保護法が改正されました。

改正個人情報保護法　６つのポイント

2005年に施行された個人情報保護法は、「5,000件以上」の個人情報の保有企業が対象でしたが、2017年に5月「5,000件」撤廃され、保有している個人情報が5000人以下の事業者であっても、適用の対象になります。個人情報データベースの具体例を挙げると、メールソフトのアドレス帳や仕事で使う携帯電話の電話帳があります。

こういったデータベースはほぼ全ての事業者が利用しているので、中小企業や個人事業主を含むほとんどすべての事業者が「個人情報取扱事業者」に含まれます。これまで個人情報保護法の適用対象ではなかった小規模事業者も、個人情報保護法の規制を把握し、対応する必要があります。
改正のポイントは以下となります。

１.個人情報の定義の明確化

「個人識別符号」＝直接的に氏名や住所などの個人情報を表していなくても、その情報単体で個人を特定できる情報（顔認識データ・指紋認識データ・マイナンバー等）も対象となります。

２.要配慮個人情報、匿名加工情報の規定の新設

本人に対する不当な差別や偏見が生じないよう特に配慮を要する個人情報（人種や信条、社会身分、病歴、前科前歴等）を「要配慮個人情報」は本人の許可なしに公表してはならない。また、個人情報を加工し、その個人情報を復元することができないようにしたものを「匿名加工情報」として新たに定義されます。

３.オプトアウト規定の厳格化

本人の同意を得ずに個人情報を第三者提供する「オプトアウト規定」を利用する場合、定義づけられた内容を本人に通知または本人が容易に知りうる状態に置くとともに、個人情報保護委員会に届け出ることが義務づけられます。

４.トレーサビリティ（追跡可能性）の確保

個人情報を体系的にまとめデータベース化した「個人データ」を第三者から受領する場合、受領者は、提供者の氏名や提供者が個人データを取得した経緯を確認するとともに、受領年月日や確認事項等を記録し、一定期間保存することが義務づけられます。また、個人データを第三者に提供する場合、提供者は、個人データの提供の年月日や受領者の氏名等を記録し、一定期間保存することが義務づけられます。

５.個人情報保護のグローバル化

日本の住居者等の個人情報を取得した外国の事業者についても原則適用される。外個人情報委員会の規則に則った方法、または個人情報保護委員会が認めた国、または本人の同意がある場合、外国への個人情報の第三者提供が可能となります。

６.個人情報データベース等不正提供罪

個人情報保護法の改正により、ほぼ全ての企業が対策を実行せねばならなくなりました。また、罰則規定は、「最大６か月の懲役または３０万円の罰金」及び「情報が流出してしまった被害者への損害賠償」とあります。がそればかりではなく、企業の信用が大きく損なわれてしまうのです。ではその原因と具体的な対策はなんでしょう？