弁護士法人PROの弁護士の伊藤崇です。

２０２２年４月１日から令和２年改正個人情報保護法が施行されます。


令和２年改正個人情報保護法は個人情報の取り扱いに大きな変更を及ぼすもので
あり、大企業のみならず中小企業の事業活動にも大きな影響が生じます。


そこで、今回は令和２年改正個人情報保護法の中から特に個人情報の取得・利用・保管・提供・開示等の求めに関するルールの概要を網羅的に取り上げ、
その中で本年４月１日から施行が開始される改正事項にも触れていきたいと思います。


以下、令和４年４月１日施行の令和２年改正個人情報保護法のことを「改正法」と呼びます。

 

　

１．個人情報・個人データ・保有個人データと個人情報保護法上の規律の適用関係

個人情報保護法では、「個人情報」「個人データ」「保有個人データ」ごとに適用される規律が区別されています。


これを図示すると以下のようになります。

「個人情報」に該当する情報については、上図のⅠのルール（のみ）が、

「個人データ」に該当する情報については、上図のⅠ&Ⅱ&Ⅲが、

「保有個人データ」に該当する情報については、上図のⅠ～Ⅳのすべてのルールが、

それぞれ適用される＝そのルールの順守が必要になる、ということです。

　

２．保有個人データの範囲の拡大【改正】

保有個人データは、個人情報保護法上の全てのルールの順守が必要になる情報です。


保有個人データは、情報の持主本人からの開示請求や利用停止等の請求の対象になる情報であり、情報の持主本人との関わりが生じる情報ですから、企業としては特に適切な取り扱いをする必要があります。


改正前までは、「取得から6ヶ月以内に消去するものを除く」という保有期間要件が設けられていましたが、改正法の施行後はこの保有期間要件が撤廃されます。


つまり、これまでは、取得から6ヶ月以内に消去される個人データは保有個人データから除外されており、Ⅳの開示等の求めに関するルールは適用されませんでしたが、


改正法の施行後は、取得から6ヶ月以内に消去される個人データ（個人情報取扱事業者が開示、訂正、削除等の権限を有するもの）についても保有個人データに含まれることになり、本人からの開示請求や利用停止等の請求の対象になる情報が大きく広がることになります。

　

３．取得・利用に関するルール　（個人情報・個人データ・保有個人データ）

⑴　適正な取得

　　個人情報の取得にあたっては、虚偽や不正手段を用いない限り、本人の同意は不要です。但し、要配慮個人情報の取得に際しては本人の事前の同意が必要です。


⑵　利用目的の特定

　　個人情報を取り扱うにあたっては利用目的をできる限り特定する必要があります。


⑶　利用目的の公表

　　個人情報を取得する場合、あらかじめ利用目的を公表するか、取得後速やかに本人に通知ないしは公表する必要があります。企業のホームページに掲載されているプライバシーポリシーは利用目的の事前公表のために行っているという側面もあります。


⑷　利用目的による制限

　　個人情報は利用目的の範囲内で取り扱うことができ、利用目的の範囲を超えて個人情報を取り扱うことはできません。


　　事後的に事後的に利用目的を変更すること自体は可能ですが、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて利用目的を変更することはできません。


⑸　不適正な方法による利用禁止【改正】

　　個人情報取扱事業者が、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用することが禁止されることになりました。


　　「違法」だけではなく「不当」な行為も規制対象に含まれるため、注意が必要です。

　　「不当」な行為の具体例としては、差別を誘発する利用方法（破産者マップ事件）や違法行為を営むおそれがある者への個人情報の提供（特殊詐欺グループへの名簿の提供）等が想定されています。

　

４．保管に関するルール　（個人データ・保有個人データ）

⑴　正確性の確保

　　個人データを正確かつ最新の内容に保つとともに利用する必要がなくなったときは遅滞なく消去するよう努める必要があります。


⑵　安全管理措置
　　個人データの安全管理のために必要かつ適切な措置を講じる必要があります。

　但し、従業員数が１００人以下の事業者の場合には安全管理措置が緩和されています。

⑶　従業者の監督

　　従業者に個人データを取り扱わせるにあたっては従業者に対する監督を行う必要があります。


⑷　委託先の監督

　　個人データの取り扱いを委託する場合は委託先に対する監督を行う必要があります。


⑸　漏えい等発生時の国への報告及び本人への通知【改正】

　　以下の一定条件を満たした個人情報等の漏えいが生じた場合、国（個人情報保護委員会）や本人への通知が義務化されます。

　ⅱ 個人情報取扱事業者は、本人からの請求に理由があることが判明したときは、利用停止等の対応をしなければなりません。但し、利用停止等に多額の費用を要する場合、利用停止等を行うことが困難な場合で代替措置をとるときは、利用停止等を行わない旨の決定をすることができます。


　ⅲ 利用停止等の請求に対して利用停止等を行ったとき、利用停止等を行わない旨の決定をしたときは、本人に対し、遅滞なく通知しなければなりません。
ⅳ 利用停止等の請求を受けてから2週間以内に対応することが望ましいとされています


⑸　第三者提供の停止（請求権拡充【改正】）

　ⅰ 本人は、本人に関する保有個人データについて、第三者提供に関するルール違反の場合に、保有個人データの第三者提供の停止を請求でき、個人情報取扱事業者はこれに応じる必要があります。

　　この第三者提供の停止を請求できる事由に、以下の場合が追加されました。【改正】

　ⅱ 個人情報取扱事業者は、本人からの請求に理由があることが判明したときは、第三者提　供停止の対応をしなければなりません。但し、第三者提供停止に多額の費用を要する場合、第三者提供停止を行うことが困難な場合で代替措置をとるときは、第三者提供停止を行わない旨の決定をすることができます。


　ⅲ 第三者提供停止の請求に対して第三者提供停止を行ったとき、第三者提供停止を行わない旨の決定をしたときは、本人に対し、遅滞なく通知しなければなりません。


　ⅳ 第三者提供停止の請求を受けてから2週間以内に対応することが望ましいとされています。

 

　

７．プライバシーポリシーの改定が必須に

以上

---