改正個人情報保護法の概要 ~改正前および改正後の変更点について~ 第4回:改正個人情報保護法の内容(3)

仮名加工情報、第三者提供の制限、共同利用の通知

セキュリティ

2021.08.23

  

今回は、データ利活用に関する施策の在り方について解説します。

<注記>

本コラムは、2021年8月までに公開された改正法やガイドライン等の内容をベースにしています。本コラム公開後に改正法のガイドラインやQ&Aが変更になった場合、その内容、状況に応じて順次更新させていただく予定です。最新のガイドラインと必ずしも内容が合っていない場合もございますのでご了承ください。

1.データ利活用に関する施策の在り方

(1)「仮名加工情報」を創設し、開示・利用停止請求への対応等の義務を緩和した。(法第35条の2・第35条の3関係)

改正前

なし

改正後

「仮名加工情報」の概念が創設されました。仮名加工情報とは、個人情報や個人識別符号について、その一部を削除することや復元可能な規則性が無いよう置換することで、特定の個人を識別することができないよう加工した情報です。

解説

仮名加工情報は、新たに創設された考え方のため、少し詳細に解説します。

① 仮名加工情報の加工方法

仮名加工情報とは、どのように加工したものなのでしょうか。個人情報取扱事業者は、仮名加工情報を作成するには個人情報保護委員会規則第18条の7各号に定める基準に従って個人情報を加工しなければなりません。
この基準とは、以下のような基準です。

  • 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
  • 個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
  • 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること(当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。) 。

例えば以下のような方法です。

事例1)会員ID、氏名、年齢、性別、サービス利用履歴が含まれる個人情報を加工する場合に次の措置を講ずる。

  • 1)氏名を削除する。

事例2)氏名、住所、生年月日が含まれる個人情報を加工する場合に次の1から3までの措置を講ずる。

  • 1)氏名を削除する。
  • 2)住所を削除する。又は、○○県△△市に置き換える。
  • 3)生年月日を削除する。又は、日を削除し、生年月に置き換える。

なお、他の記述等に置き換える場合は(例えば仮IDを割り当てる場合は)、元の記述等を復元できる規則性が無い方法でなければなりません。

また、財産的被害が生じるおそれがある記述等については削除や規則性を有しない方法に置換えが必要ですが、これには例えばクレジットカード番号や送金や決済機能のあるWebサービスのログインID ・パスワードが挙げられます。

② 匿名加工情報と仮名加工情報

これまで似た位置づけの情報として「匿名加工情報」がありました。今回の改正で創設された仮名加工情報と匿名加工情報の違いは何でしょうか。

  • 匿名加工情報:「当該個人情報を復元することができないように加工したもの」
  • 仮名加工情報:「他の情報と照合しない限り特定の個人を識別することができないよう加工したもの」

仮名加工情報は、他の情報と照合すれば個人を識別できる可能性があるため、匿名加工情報よりも仮名加工情報のほうが元の個人情報に近いイメージです。
仮名加工情報は第三者提供が禁止となりますが、匿名加工情報は第三者提供が可能です。また、仮名加工情報については安全管理措置を講じる義務がありますが、匿名加工情報については安全管理措置を講じるのは努力義務にとどまっています。
そのため、仮名加工情報はあくまで社内の利活用を念頭に置いたものと考えられます。考え方によっては、実は仮名加工情報はこれまでにも各社社内で何らかの形で作成されていた可能性もあり、それが今回の法改正で「仮名加工情報」と定義づけられ、利活用や規制の方向性が示されたものと思われます。

なお、仮名加工情報には、「個人情報である仮名加工情報」と、「個人情報ではない仮名加工情報」があります。
「個人情報である仮名加工情報」とは、仮名加工情報の作成元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により他の情報と照合することで特定個人が識別できる状態にあるもので、これは個人情報の範疇に位置付けられます。「個人情報ではない仮名加工情報」はその逆で、個人情報ではなく、匿名加工情報と同様に個人に関する情報の範疇に位置付けられます。

③ 仮名加工情報の取扱いに関する義務

仮名加工情報を取り扱う個人情報取扱事業者等には、以下の義務があります。

個人情報である仮名加工情報個人情報ではない仮名加工情報
  • 第三者提供の禁止等
  • 安全管理措置
  • 識別行為の禁止
  • 本人への連絡等の禁止
  • 従業者の監督
  • 委託先の監督
  • 苦情処理
  • 利用目的による制限
  • 利用目的の公表
  • 利用する必要がなくなった場合の消去
  • 不適正利用の禁止
  • 適正取得

<適用除外>
以下は適用除外となり義務とはなりません。

  • 利用目的の変更
  • 漏えい等の報告等
  • 本人からの開示等の請求等
  • 第三者提供の禁止等
  • 安全管理措置
  • 識別行為の禁止
  • 本人への連絡等の禁止
  • 従業者の監督
  • 委託先の監督
  • 苦情処理

「個人情報である仮名加工情報」は、いくつかの適用除外はあるものの、通常の個人情報の義務と大きく変わりません。「個人情報ではない仮名加工情報」は、もう少し緩和されていますが、安全管理措置が義務に含まれています。

④ 削除情報等の安全管理措置

削除情報等とは、仮名加工情報の作成時に元の個人情報から削除された記述等及び個人識別符号並び加工方法に関する情報のことです。この削除情報等は、漏えいを防止するために個人情報保護委員会規則で定める基準に従って安全管理措置を講じなくてなりません。個人情報保護委員会規則で定める基準とは、以下の通りです。

  • 削除情報等を取り扱う者の権限及び責任を明確にすること。
  • 削除情報等の取扱いに関する規程類を整備し、当該規程類に従った削除情報等を適切に取扱うこと。削除情報等の取扱い状況の評価を行い、その結果に基づき改善を図るために必要な措置を実施すること。
  • 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を実施すること。

(2)個人データとなることが想定される情報の第三者提供が制限されました。(法第26条の2関係)

改正前

なし

改正後

提供元では「個人関連情報」であり個人データには該当しないものの、提供先において個人データとなることが想定される情報を第三者提供する場合は、本人の同意が得られていること等の確認が義務となります。

解説

ここでは、まず「個人関連情報」について説明します。個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものです。この個人関連情報の概念も今回の改正で新たに登場したもので、該当する情報として以下のものが挙げられます。

【個人関連情報に該当する事例(※)】

事例1)Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例2)特定の個人を識別できないメールアドレス(abc_123@example.com等のようにメールアドレス単体で、特定の個人のメールアドレスであることが分からないような場合等)に結び付いた、ある個人の年齢・性別・家族構成等
事例3)ある個人の商品購買履歴・サービス利用履歴
事例4)ある個人の位置情報
事例5)ある個人の興味・関心を示す情報

(※)個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

個人関連情報は、技術の進歩により第三者提供の提供先で他の情報と関連付けることにより個人データとされる可能性が出てきており、本人の関知しないところで個人情報として取り扱われるケースが出てきたことからその取扱いを明確にするために出てきた概念と考えられます。
個人関連情報の第三者提供を行う場合は、提供元における記録義務があり、本人同意を確認した旨、提供年月日、第三者の氏名等、個人関連情報の項目等を記録し、原則3年保存しなくてはなりません。

なお、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しません。

(3)共同利用に関する通知事項が追加されました。(法第23条5項関係)

改正前

個人データを共同利用する場合、以下の事項をあらかじめ本人に通知し、または本人が容易に知りうる情報に置かなければなりませんでした。

  • 共同利用をする旨
  • 共同利用する個人データの項目
  • 共同利用する者の範囲
  • 利用する者の利用目的
  • 当該個人データの管理責任者の氏名または名称
改正後

改正前の上記事項に加え、以下の事項についてもあらかじめ本人に通知し、または本人が容易に知りうる情報に置かなければならなくなりました。

  • 管理責任者の住所
  • 管理責任者が法人である場合、その代表者の氏名

解説

まず、「管理責任者」とは、本人からの「開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者」のことです。
また、「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用する複数の会社の中でも代表的な立ち位置で個人データの管理責任を負う会社を意味します。
その個人データの管理責任者の氏名、名称もしくは住所、または法人の場合は代表者の氏名に変更があったときは遅滞なくその旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければなりません。
また、利用目的又は管理責任者を変更しようとするときは「あらかじめ」、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければなりません。

次回は、ペナルティの在り方および法の域外適用・越境移転の在り方について解説します。

参考資料