＜改正個人情報保護法2020【3】＞　改正個人情報保護法で企業はどのような対応が必要なのか？見直しポイントを解説！

2020年に見直しが実施される個人情報保護法では、ネット情報社会のニーズに合わせた法改正となる予定です。個人情報が法によってより強固に守られることは、消費者としてとてもありがたいことですが、個人情報を「守る」立場となる企業の対応はどう変わるのでしょうか？改正個人情報保護法2020によって変更となるポイント、罰則規定、実務への影響などについて解説いたします。

個人情報保護法で企業が守るべき4つのルール

まず、現行法上で「企業が守るべき個人情報保護法4つのルール」について、下記にまとめました。

(1)個人情報の取得・利用について(個人情報保護法第15条1項)
個人情報を取扱う事業者は、個人情報を取り扱うにあたり「利用目的をできる限り特定しなければならない」とされています。

(2)個人データの安全管理措置(個人情報保護法第20条)
個人情報を取扱う事業者は、個人データの安全管理のため「必要かつ適切な措置を講じなければならない」とされています。

(3)個人データの第三者提供について(個人情報保護法第23条1項/個人情報保護法第25条・26条)
個人情報を取扱う事業者は、個人データを第三者に提供する場合「原則としてあらかじめ本人の同意を得なければならない」とされています。(同法23条1項)また、第三者に個人データを提供した場合や第三者から個人データの提供を受けた場合は「一定事項を記録する必要」があります。(同法25条・26条)

(4)保有個人データの開示請求(個人情報保護法第35条)
個人情報を取り扱う事業者は、本人から保有個人データの開示請求を受けた場合、本人に対して「原則として当該保有個人データを開示しなければならない」と定められています。

2020年改正で見直しされた3つのポイント

2020年改正で企業が守るべきルールとして、見直された3つのポイントについて見てみましょう。

●消費者のための「透明性」
企業が消費者から個人情報を取得する際、「消費者にとっての透明性」が求められます。この場合の「透明性」とは「同意の内容」や「同意の取り方、記録」等についてです。現行法上で、企業と消費者間の「同意の内容が不明瞭」であったために、企業が取得した個人情報が第三者に提供されてしまうという大きな事件がありました。これを受け、今後は「利用規約」などで使用目的などを「見える化」し、消費者にとって不明瞭な点があれば見直しが必要となります。

●消費者による個人情報のコントロール権
これまで、消費者が企業に提供した個人情報の「利用停止」「消去」などに関する企業対応は「努力義務」でしたが、2020年改正では消費者側の方から申し立てた「利用停止」「消去」「第三者提供の停止」に対し、企業はそれに応じる義務が生じるようになりました。企業の方でコントロールできた個人情報が、消費側にもコントロール権が発生するため、それに合った対応が必要となります。

●消費者保護
企業が第三者データを提供する際、提供元として個人情報が「含まれていない」データでも、提供元において第三者のcookieなどと紐づければ個人情報の特定は可能です。実際に企業がそれを悪用した事件があり、それを防止するために、cookieなどの個人情報には該当しないデータも、企業が個人情報と照合して利用する際は、「本人の同意を得ること」を義務付けることになっています。

その他に、現行法では6か月以内に消去するデータは、「保有個人データに該当しない」とされていましたが、この情報も「保有個人データに該当する」へ変更されます。また、個人情報漏えい時の報告についても、これまでは「個人情報漏えい時の報告は努力義務」でしたが、報告と本人への通知も義務化の流れとなっています。

罰則規定の変更

現行法と改正法では、より厳格化の方向で罰則規定が変更となっています。

・命令違反
従来：命令違反した時6か月以下の懲役または30万円以下の罰金
改正後：1年以下の懲役又は100万円以下の罰金

・虚偽報告等
従来：命令に違反したとき30万円以下の罰金
改正後：30万円以下の罰金

他にもデータベース等不正提供罪、個人情報保護法による命令違反の罰金について、法人と個人の資力格差等を勘案し、法人に対しては、行為者よりも罰金刑の最高額を引き上げています。(法人十科）

従来：個人と同額の罰金(50万円又は30万円以下の罰金)
改正後：1億円以下の罰金

導入化が検討されている「仮名加工情報制度」とは？

2020年改正では、現行法の「匿名加工情報制度」を見直し「仮名加工情報制度」の導入が検討されます。仮名加工制度とは「他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工する」制度のことです。氏名、住所、電話番号といった個人情報を別の形に置き換え、追加情報があれば復元できる仕組みとなっています。匿名加工情報制度をアンケートなどで利用した場合、個人情報を中間整理する企業のアンケート利用方法が不透明であったり、自社データのニーズが不明であったりと、その特性を活かせていない企業が多くみられました。他方、仮名化した個人情報は、取扱いが容易な上、匿名加工よりもより安全に活用できるため、ビッグデータなどでの利活用が期待されています。