改正個人情報保護法の概要 ~改正前および改正後の変更点について~ 第1回:改正個人情報保護法の全体像

セキュリティ

2021.07.27

  

令和2年(2020年)6月5日に「個人情報の保護に関する法律等の一部を改正する法律」(以下、改正法)が国会で可決、成立し、同年6月12日にとして公布されました。
本コラムでは、改正法の概要および、テーマごとの内容をご説明します。
なお、本コラム公開後に改正法のガイドラインやQ&Aが変更になった場合、その内容、状況に応じて更新する予定です。

1.改正個人情報保護法の制定の背景

今回の改正は、平成27年(2015年)改正の際に個人情報保護法に設けられた「3年ごと見直し」に関する規定(附則第12条)に基づいたものです。
個人情報保護委員会(内閣府)において、本人の個人情報に対する意識の高まり、技術革新を踏まえた保護と利活用のバランス、越境データの流通増大に伴う新たなリスクへの対応等の観点から、改正されました。

2.施行スケジュールについて

改正法は公布日から2年以内に施行することと定められていますが、施行期日は令和4年(2022年)4月1日とされています。ただし、法定刑の引上げ(第83条~第87条)は、既に令和2年(2020年)12月12日から施行されています。
また、個人データを第三者提供しようとする際の経過措置(第23条第2項)は、令和3年(2021年)10月1日に施行予定とされています。

通常、個人情報保護法の改正に際しては、円滑な施行へ向けて関連する政令、委員会規則、ガイドライン、Q&Aが少しずつ公開されていきますので、各企業ではこれらの公開に基づいて準備が必要となります。
なお、今回の改正法で個人情報保護法は法律の施行後、3年後をめどに見直しすることとなったため、今回の改正法施行の3年後(2025年)か、そのさらに後に次回の見直しが入るものと思われます。

3.改正の全体像

改正法の主な改正内容は以下の通りとなっています。
全体的には、個人の権利の保護が強化され、事業者への規制が強化される方向ですが、一部、事業者のデータ利活用促進の側面もあります。

(1)個人の権利の在り方

より個人の権利が保護される方向となりました。(事業者にとっては規制強化になります)

  • 利用停止・消去等の個人の請求権について、不正取得等の一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合にも要件を緩和する。
  • 保有個人データの開示方法について、電磁的記録の提供を含め、本人が指示できるようにする。
  • 個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする。
  • 6ヶ月以内に消去する短期保存データについて、保有個人データに含めることとし、開示、利用停止等の対象とする。
  • オプトアウト規定により第三者に提供できる個人データの範囲を限定し、不正取得された個人データおよび、オプトアウト規定により提供された個人データについても対象外とする。

(2)事業者の守るべき責務の在り方

事業者への責務が強化される方向となりました。

  • 漏えい等が発生し、個人の権利利益を害するおそれがある場合に、個人情報保護委員会への報告及び本人への通知を義務化する。
  • 違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはならない旨を明確化する。

(3)事業者による自主的な取組を促す仕組みの在り方

事業者が個人情報保護の取り組みを促進しやすくなりました。

  • 認定団体制度について、現⾏制度に加え、企業の特定分野(部門)を対象とする団体を認定できるようにする。

(4)データ利活用に関する施策の在り方

事業者への規制が緩和された部分と、逆に強化された部分があります。

  • イノベーションを促進する観点から、氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和する。
  • 提供元では個人データに該当しないものの、提供先において個人データとなることが想定される情報の第三者提供について、本人同意が得られていること等の確認を義務付ける。

(5)ペナルティの在り方

事業者への罰則が強化されました。(令和2年(2020年)12月12日から施行されています)

  • 委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げる。
  • データベース等不正提供罪、委員会による命令違反の罰金について、法人と個人の資力格差等を勘案して、法人に対しては行為者よりも罰金刑の最高額を引き上げる(法人重科)。

(6)法の域外適用・越境移転の在り方

事業者への規制が強化されました。

  • 日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された報告徴収・命令の対象とする。
  • 外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等を求める。

次回以降は、改正の具体的内容に踏み込んで解説します。

参考資料