個人情報保護法の改正が成立！ 改正内容は？

個人情報保護法（個人情報の保護に関する法律）が改正され、その一部が平成28年から施行されています。そこで、以前とは何が変わったのか、新しい個人情報保護法の改正内容についてのポイントを解説しましょう。
これまで対象外だから気にしていなかったという事業者の多くも、改正によって対象となる可能性が非常に高いので、ぜひ確認しておいてください。

個人情報保護法の改正について

平成17年4月に個人情報保護法が全面施行されてから10年余、その改正法が平成27年9月9日に公布され、平成28年1月1日から一部が施行されました。平成29年5月30日に全面施行となることが閣議決定されています。

10年ぶりに改正されたのは、情報通信技術の急速な発展、事業活動のグローバル化の進展などにより、制定当時には想定されていなかったような個人情報の利用・活用が可能となり、問題点が顕在化してきたことが大きな理由とされています。

個人情報保護法の主な改正内容

新しい個人情報保護法の改正ポイントとして押さえておきたいのは、次の3点です。

個人情報取扱事業者の対象範囲が変更された

個人情報取扱事業者とは、個人情報データベース等を事業活動に利用している者のことをいいます。「個人情報データベース等」とは、特定の個人情報について、検索できるように体系的に構成されたデータ（紙媒体含む）のことです。
つまり、顧客台帳や従業員管理などをソフトウェアのアドレス帳や紙面で管理を行っている会社は、すべて個人情報取扱事業者ということになります。

さらに、以前の個人情報保護法では、5,000人分以下の個人情報を取り扱う事業者は個人情報取扱事業者の対象から外れていましたが、改正後は、個人情報を取り扱う数に関係なく、個人情報データベース等を事業活動に利用しているすべての事業者に同法が適用されることになりました。つまり2017年5月20日の改正法施行により、ほぼすべての事業者が対象となります！

あわせて、個人情報データベース提供罪も新設されています。個人情報データベース等を不正な利益を図る目的で提供または盗用した個人（従事者・元従事者）は1年以下の懲役又は50万円以下の罰金を科せられるのです（改正個人情報保護法83条）。
また、盗用された法人も両罰規定として50万円以下の罰金を科せられます（同法87条）。さらに、以前は盗用した個人情報を「使用」した時点で罰せられる規定だったのが、改正法では盗用した時点で刑事罰が付くという、より厳しい内容に変わっています。

「個人情報」の定義が明確になった

改正法では、個人情報の定義がより明確になります。新たに明確化されたのは、「個人識別符号」が含まれる情報も個人情報として取り扱うとされた点です。これに該当するのは、例えば指紋データ、顔認識データなど、そして旅券番号、免許証番号などです。
また、個人情報と紐づく移動履歴、購買履歴なども個人情報に含まれると考えられています。

個人情報消去の努力義務が規定された

改正個人情報保護法では、個人情報取扱事業者は個人データを利用する必要がなくなった際に、当該個人データを遅滞なく消去するという努力義務が新たに加えられています。
個人情報保護委員会が発行しているガイドラインでは、個人データが書類等の場合は焼却または溶解、機器等の場合は専用のデータ削除ソフトウェアの使用または物理的な破壊によって、「復元不可能」な手段で消去することが定められています。
罰則のない努力義務といえど、重要性を理解し、対応フローを整えておくことが必要と考えられます。

個人情報を流出させないためにすべきこと

個人情報の漏えいというと、ハッキングなどによるネット経由の被害に遭うイメージが強いかもしれません。しかし実際にはむしろ、データを保管していたメディアが持ち出される、書類やカード類が盗まれるといったケースのほうが数多く起きています。
ネットワーク上のセキュリティはもちろんですが、データを保管した記録メディア、紙媒体などに対しても万全の安全対策を講じることが必要です。具体的にはこれらはセキュリティルームや金庫に保管し、限られた者だけが取り扱うことができるよう管理体制を整えることが求められます。

新しい個人情報保護法では、個人情報の流出や漏えいに対して厳しい罰則が設けられています。企業は自らの法的リスクに対する認識を持ち、社員にも個人情報保護法および罰則について十分な注意喚起・周知徹底を図るようにしなければなりません。インターネットのセキュリティ対策、金庫による物理的安全管理対策をとるなど、万全を期しましょう。