ほとんどの企業が対象に!?改正個人情報保護法とは

posted by 水野春市

　2017年5月30日に、改正個人情報保護法が全面施行されました。今回の改正法は、これまで以上に個人情報管理に関するルールが厳格化され、新たな義務が追加されています。

　改正個人情報保護法に伴い、これまで適用対象外だった企業も、個人情報を管理する体制整備を進めなければならない可能性が生じます。今回は改正によって変更された点について解説しましょう。

個人情報を1件でも持つと規制対象に

　改正個人情報保護法の改正内容で注目すべき点は「個人情報取扱業者の規定」「利用目的の特定・適正取得」です。

　まずは「個人情報取扱業者の規定」について。個人情報保護法では、個人情報を保有する企業を「個人情報取扱事業者」と規定しています。改正前は、保有する個人情報が5,000人以下の場合「個人情報取扱事業者」から除外する措置が講じられていました。

　しかし改正個人情報保護法では、この除外措置を撤廃。たとえ1件でも個人情報を有した時点で、個人情報取扱事業者として扱われます。また企業だけでなく、NPOや自治会などの非営利組織、さらには個人事業主も、氏名・住所・連絡先などの記載された名簿を保有していれば個人情報取扱業者とみなされるのです。適用の範囲が広がったため、多くの企業・団体で個人情報の取り扱いに注意が必要になります。

　次に「利用目的の特定・適正取得」は、個人情報取扱業務に利用目的の特定や、個人情報の取得における本人同意の取得を義務化したものです。たとえばネットショップなどで通信販売を行っていれば、商品を配送するためにお客さまから住所を教えてもらうでしょう。また、飲食店で席の予約を受け付けるときには、予約者の名前や電話番号を控えておくはずです。これらは商品を配送する、予約という利用目的で取得した個人情報になるので、それ以外の目的で利用する際には、改めて本人同意を得ることが必要になります。

　また個人情報を取得する際には、事前に利用目的を伝えなければなりません。これは名簿業者など第三者へ個人情報が売買されることの抑止を目的としていますが、常連のお客さま同士の電話番号を店が教える場合にも、本人同意が必要ということなります。

企業担当者の65％が内容を把握していない

　改正個人情報保護法の施行により、ほとんどの企業が個人情報取扱事業者になるものと考えられますが、企業の個人情報管理者は具体的な内容を把握していないことが分かりました。

　情報セキュリティソフトを提供しているアララが企業の情報システム部門在籍者を対象に実施したアンケート調査では、回答者の65％が改正個人情報保護法の内容を把握できていないという結果が出ています。また、この中には「法の名称も内容も全く知らない」という回答者も一定数含まれていました。

　個人情報取扱事業者としての義務を怠ると、企業としての信用失墜はもちろんのこと、経営者に懲役刑が科されることもあります。法律の内容を知らなかったからと許されるものではありません。経営者は、経済産業省の告知パンフレットなどを活用した企業担当者への教育が喫緊の課題となりそうです。

企業も個人も手探り状態

　一方、保護される立場の個人も、個人情報保護法の全体像を理解しきれていない面があります。

　マーケティングリサーチ大手のマクロミルが、全国20～69歳の1,000名を対象に実施したアンケート調査によると、85％の人が自身の個人情報の取り扱いについて「意識している」と回答しています。しかし店頭やインターネット上で個人情報を入力する際に、個人情報の利用目的を説明する「プライバシーポリシー・個人情報保護方針」の有無を必ず確認している人は12％に留まりました。個人情報保護法の存在は意識していても、そこから、自身の個人情報保護に向けて能動的に動く人は少ないという傾向が見えます。

企業として求められる対応

　改正個人情報保護法では、個人情報の定義を改めて明確化しています。改正前の個人情報は、生存する個人に関する情報であって、氏名・生年月日、そのほかの記述などにより特定の個人が識別できるものでした。改正後はそれらに加え、指紋など身体の一部の特徴を記録した電子データのほか、マイナンバーや免許証番号といった符号（個人識別符号）も含まれることが定義されたのです。

　さらに個人情報の中でも人種、信条（宗教など）、社会的身分、病歴、犯罪歴、犯罪被害の事実などは、本人に対する不当な差別または偏見が生じないように、本人の同意を得て取得することを原則義務化した「要配慮個人情報」に定義されました。

　前述のマクロミルが実施したアンケート調査では、保護対象である個人情報の範囲について、8割以上がマイナンバーや免許証番号に加え、指紋データなどの電子データが個人情報と認識しているものの、要配慮個人情報については6割以上が把握していない状況です。

　改正前の個人情報保護法は自社には関係ないという意識のままでいると、思わぬところで違反事業者として摘発される可能性が考えられます。企業だけでなくビジネスパーソンとしても改正個人情報保護法の内容を正しく理解し、プライバシーポリシーの改定や社内処理の見直しを行っていく必要があります。