あっても気をつけるべき内容が盛り込まれています。守るべきルールなどをうかがいました。※本記事は、29年8月10日時点の取材をもとに執筆・掲載しています。同委員会は内閣府の外局であり、公正取引委員会や国家公安委員会と同様、高い独立性のある行政機関です。これまでは消費者庁が個人情報保護法を所管し、各省庁の大臣がそれぞれに事業所の監督権限を有していました。それを改め、一部の分野を除いて監督権限を一元化するとともに、事業者が講ずる措置を定めたガイドラインもかつて38あったものを一元化しました。3つのガイドラインが定められています。特殊性のある一部業種に対しては、これまでどおり監督省庁がガイドラインを策定しています。必要に応じて、事業者に対して報告を求めたり、立ち入り検査を行ったりすることができます。ホームページ個人情報保護法の目的は、個人の権利・利益を保護するのはもちろんのこと、個人情報の有用性を確保することです。これらのバランスを図るため、事業者の遵守すべき義務を定めています。個人情報保護法が約10年ぶりに改正された背景としては、スマートフォンの普及やIoT(モノのインターネット)の推進に挙げられるような、個人情報を巡る環境の変化があります。改正のポイントはこちらからお読みいただけます。個人情報保護法が改正されると、どうなるの?取り扱う個人情報の数が5,000以下の事業者は、旧法では義務規定を免除されていましたが、改正法ではこの例外規定が撤廃されました。営利・非営利や、法人格の有無に関わりません。個人情報の定義が明確化され、個人識別符号はその情報単体で個人情報に該当すると定義されました。個人利用者の運転免許証番号などを控える事業所も多いかと思います。個人と結びつけられるような形で保管していない場合であっても、個人識別符号の取り扱いに留意する必要があります。守るべきルールは、以下のとおり大きく分けて5つあります。守るべきもの、2~4については個人情報データベース等を有する事業者に義務があるもの、5については、開示等の権限のある個人データを有する事業者が守るべきものとなっています。1個人情報を取得・利用するときのルール個人情報を取得した場合は、その利用目的を本人に通知、または公表することが必要です。通知とは、手紙やメールなどにより本人に知らせること。公表とは、広く一般にHPなどで知らせること。運送会社が配送伝票により個人情報を取得する場合など、明らかに使用目的がわかる場合は通知などをしなくても構いません。一方で、その目的を超えて使用するときには本人の同意を得ることが必要となります。ついては、不当な差別、偏見につながる恐れがあるため、取得の際に本人の同意が必要となりました。法改正より前に取得された要配慮個人情報についてはこの限りではありませんが、法改正後に新たに取得する、といった場合には注意が必要です。2個人情報を保管するときのルール情報の漏えいなどが生じないように安全に管理することが必要です。鍵がかかる引き出しで個人データを保管するなどはもちろん、従業員や委託先の監督義務もあります。とっては負担がかかると思われます。けの安全管理措置の例がガイドライン(通則編)P86~P98に示されているので、参考としていただければと思います。基本(PDF形式:1,021KB)▶個人情報の保護に関する法律についてのガイドライン(通則編)(PDF形式:825KB)3個人情報を他人に渡すときのルール個人情報を本人以外の第三者に渡すときは、原則として本人の同意を得ることとしていますが、要配慮個人情報にあたるもの以外はオプトアウト手続き(本人の求めによる第三者への提供停止)が認められています。社会的背景を受け、改正法では、これを厳密に行うために公表内容の届出が必要となりました。過去に大規模な個人情報漏えい事件があった際に、漏えいの出所の特定に時間を要したことから、記録義務が課されるようになりました。漏えいの出所がすぐ特定できるようになることが期待されています。4個人情報を外国にいる第三者に渡すときのルール外国の第三者に個人情報を提供する場合には、次のいずれかを満たさない限り、原則として開示することはできません。規則で定める基準に適合する体制を整備している場合=APECの越境プライバシールールシステムの認証を得ている場合などがこれにあたります。認めた国に所在する場合=これは現時点で認められた国はありません。することと、消費者からいつでも問い合わせられる状態にしておくことが必要です。個人情報の取り扱いに関する苦情を受けたときは、適切かつ迅速に対処してください。詳しくは、法令やガイドラインなどをご覧ください。▶中小企業サポートページ「匿名加工情報」の利活用の規定が新設されました。従前から、特定の個人を識別することができず、かつ、元となる個人情報に復元することができない情報であれば、本人の同意がなくても第三者に渡すことができましたが、個人の権利・利益の侵害に繋がりかねないと、消費者が不安を感じる一方、事業者もどこまで保護すればよいか明確でありませんでした。いった「炎上につながるようなリスク」を恐れずに、事業者がビッグデータを適切に活用できるように定義を明確化したものです。匿名加工情報の作成にあたっては、特定の個人を識別できないよう加工するとともに、それを復元できない状態にすることが必要で、一定の基準が設けられています。ガイドラインや各業界団体による自主ルールを十分に確認してください。監督し、内容によっては、是正に向けた勧告をします。勧告に従わない場合は命令を行うこととなりますが、それに違反した場合には、6ヶ月以下の懲役または30万円以下の罰金が科されます。虚偽報告の場合は30万円以下の罰金が科されます。従業員の一人が不正に利益を図る目的で個人情報を第三者へ漏えいさせた事件をきっかけに、「個人情報データベース等不正提供罪」が新設されました。これに違反した場合は、従業者個人に1年以下の懲役または50万円以下の罰金が科されます。その所属する法人にも監督責任として罰則がありますので、十分留意しましょう。)TEL:03-6457-9849すべての特集を見る。