該当するか否かについては、その営利・非営利を問わない(通則編〔各ガイドラインの名称については第1回を参照〕2−5)。該当するように思われる。ここで、政令制定の過程において、同窓会名簿や町内会名簿を、利用方法からみて個人の権利利益を害するおそれが少ないものを例外として個人情報データベース等から外す政令3条に規定するべきかが議論された。)にのみ頒布ないし販売をするにとどまる同窓会名簿や町内会名簿は通常、この例外要件に該当しないため、同窓会名簿や町内会名簿はなお個人情報データベース等である(たとえば、政令・規則パブコメ268番参照)。みなされる可能性は高いといえる*2。ついては、重要な点についてだけ措置を講じれば足りるという考え方を採用している(通則編8)*3。5,000を超える者」と「委託を受けて個人データを取り扱う者」を除くものとされている(通則編8*1)。順にその概要を、特に大規模事業者と中小規模事業者の相違点にフォーカスして概説する。(2)基本方針まず、個人情報の取扱いに関する基本方針の策定が求められる。個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要」とされている(通則編8−1)。関する事項」、「質問及び苦情処理の窓口」程度の抽象的なものが想定されている(通則編8−1)ことから、過重な負担にはならないと判断されたのだろう。経産省ガイドラインでは、規程類の整備(安全管理に対する規程や手順書)が必要とされていた(経産省ガイドライン2−2−3−2)ところ、ガイドラインでは「規律」という表現がされ、その整備が求められている(通則編8−2)。ような仰々しい規程までは設けなくてよいという趣旨と理解される*4。行う場合の基本的な取扱方法を整備する」(通則編8−2)とされており、取扱規程を策定することまでは求められておらず、基本的な取扱い方法について何らかの「きまり」を定めればよいという趣旨と理解される*5。個人データの取扱いの全部を委託しているからといって規律整備が不要となるわけではないものの、その内容は簡易なものでもよいと解されている*6。なされればよいとされているかを紹介するにとどめる。組織体制の整備である。これについては、中小規模事業者については「個人データを取り扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する」とされる(通則編8−3(1))。次に、個人データの取扱いにかかる規律に従った運用(通則編8−3(2))と個人データの取扱い状況を確認する手段の整備(通則編8−3(3))が求められる。これら双方につき、中小規模事業者については「あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する」とされている。漏えい等の事案に対応する体制の整備が求められる。これについては、中小規模事業者につき「漏えい等の事案の発生時に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認する」とされている(通則編8−3(5))。最後に、取扱状況の把握および安全管理措置の見直しである。これについては、中小規模事業者につき「責任ある立場の者が、個人データの取扱状況について、定期的に点検を行う」とされている(通則編8−3(6))。この程度であれば、ある程度規模が小さい事業者でも対応は不可能ではないと思われるところ、大規模事業者に対してはより詳細な組織的管理措置が規定(通則編8−3)されており、この点では、中小規模事業者に対する配慮をしているといえるだろう。して、大規模事業者も中小規模事業者も従業員の教育が必要とされている。大規模事業者については「個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う」、および中小規模事業者については「個人データについての秘密保持に関する事項を就業規則等に盛り込む」とされていて、両者の差はない(通則編8−4)。実際には、研修の頻度等において中小規模事業者では大規模事業者のようなものまでは求められないと解すべきであろう(通則編パブコメ650)。ついては、中小規模事業者について以下のような規律が適用される。個人データを取り扱う区域の管理である。これについては、中小規模事業者につき「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講ずる」ことが求められる(通則編8−5(1))。次に、電子媒体等を持ち運ぶ場合の漏えい等の防止である。安全な方策を講ずる」ことが求められる(通則編8−5(3))。個人データの削除および機器、電子媒体等の廃棄である。これについては、中小規模事業者につき「個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄したことを、責任ある立場の者が確認する」とされている(通則編8−5(5))。ここで注目されるのは、「機器及び電子媒体等の盗難等の防止」(通則編8−5(2))であり、中小規模事業者も、大規模事業者と同様「個人データを取り扱う機器、個人データが記録された電子媒体又は個人データが記載された書類等を、施錠できるキャビネット・書庫等に保管する」措置、および「個人データを取り扱う情報システムが機器のみで運用されている場合は、当該機器をセキュリティワイヤー等により固定する」措置等が要求されている。これは、機器、電子媒体の盗難等による個人情報漏えいの被害の防止が重要であること、および中小規模事業者でも資産管理として重要物件の施錠保管やワイヤー固定等が一定程度行われていることによると理解される。関しても、中小規模事業者について特例が設けられている。アクセス制御につき「個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する」措置(通則編8−6(1))、アクセス者の識別と認証につき「機器に標準装備されているユーザー制御機能(ユーザーアカウント制御)により、個人情報データベース等を取り扱う情報システムを使用する従業者を識別・認証する」措置(通則編8−6(2))、外部からの不正アクセス等の防止につき「個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する」措置および「個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする」措置(通則編8−6(3))、情報システムの使用に伴う漏えい等の防止につき「メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定する」措置(通則編8−6(4))、等を講じることが求められている。若干ではあるが大規模事業者と比較して義務が軽減されている。関する事項」、「質問及び苦情処理の窓口」等を盛り込んだ基本方針の策定が求められる。ついても個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行うことや、個人データについての秘密保持に関する事項を就業規則等に盛り込むことが求められる。ついても個人データを取り扱う機器、個人データが記録された電子媒体または個人データが記載された書類等を、施錠できるキャビネット・書庫等に保管することや、個人データを取り扱う情報システムが機器のみで運用されている場合は、当該機器をセキュリティワイヤー等により固定することが求められている。施行まで、約4ヶ月であるが、昨年からの全5回にわたるガイドラインの解説の連載により、実務的な留意点のうち重要なものを解説することができたのではないかと思われる。今後は、例えば、金融機関特有の問題、データが漏えいした場合の問題、規程類の改訂方法等、施行に際して生じ得る様々な実務上の問題について、我々が実務上受けている相談の内容等を踏まえて解説していきたいと考えているので、ぜひ、ご期待いただきたい。)*1:通則編パブコメ610番等参照。定義には該当しないものの、規模が比較的小さい事業者等について、グローバルな上場企業と同じ安全管理措置が求められるということではなく、当該事業者において必要かつ適切な手法で足ります。」とされている(総則編パブコメ624番)。行う場合の基本的な取扱方法等を定めたものを指します。したがって、個人データの具体的な取扱を定める取扱規程もこれに含まれますが、それらの内容を含む業務マニュアル等もこれに含まれ、また、口頭により個人データの取扱方法等として従業者に周知されているものがあれば当該内容もこれに含まれます。」(総則編パブコメ638番)。*5:中小規模事業者が取扱方法を「整備」するという趣旨は、「規程」や「マニュアル」を策定する必要はなく、例えば社内の告知文書や電子メール等で基本的な取扱方法を告知することも「整備」に含まれるとされている(通則編パブコメ635番)。*6:通則編パブコメ640番「個人データの取扱いの全部を委託している場合も、個人データの取扱いに係る規律を整備することが必要です。この場合は、個人データの取扱いの全部を委託することが何らかの形で定められており、適切に委託先の監督(改正後の法第22条)(委託契約の締結等を含む。)が行われていれば足りるものと考えられます。