施行開始されますので、急遽、解説したいと思います。事業規模関係なく、すべての事業者が適用対象となる法律であることを、まず申しあげておきたいと思います。安やさまざまなスパムメールやサイバーテロなど、当時では想定されていなかった様々な問題が顕在化していることにあります。「5000人要件」が撤廃されたことです。適用を受ける、ということです。以下、その概要を紹介します。今回から小規模事業者も規制対象になります。改正後では同条項が削除されたましたので、保有している個人情報が5000人以下の事業者であっても適用の対象となります。これまで個人情報保護法の適用対象ではなかった小規模事業者も、個人情報保護法の規制を把握し対応する必要があるということになります。現代はインターネットあるいは携帯電話等で多くの事業者が個人情報を入手している時代です。あなたの会社にも関係があることになりますので、必ず対応が必要です。第三者提供を行う場合の手続きこれまで企業が個人データを第三者に提供する場合には、その提供記録の作成は義務付けされていませんでした。改正ではこれを作成すべきことになりました。このことを「トレーサビリティの確保」といいます。トレーサビリティの確保とは、追跡可能性の確保という意味です。記録しなければならない事項は、以下のとおりです。(1)本人の同意を得て、第三者に提供する場合1個人データの提供先の氏名又は名称その他の第三者を特定するに足りる事項2本人(個人情報の主体、以下同)の氏名又は名称その他の本人を特定するに足りる事項3個人データの項目4本人の同意を得ている旨(2)オプトアウト手続きにより第三者に提供する場合オプトアウトとは、受け取りたくない人は受け取り拒否ができるということです。1から3は「本人の同意を得て、第三者に提供する場合」と同様です。マイクロフィルムとされています。一括記録の方法がとられる場合や個人データを含む書類の保管により代替する場合を除き、作成した日から3年間です。本人がその個人データを提供する場合や本人に代わって個人データを提供する場合には、このような義務は負いません。すべての企業は、個人情報を提供する場合には記録を取り、3年間保存しなければなりません。第三者提供を受ける場合の手続き今回の改正法では、個人データを第三者に「提供する場合」のみならず、第三者から個人データの提供を「受ける場合」にも確認・記録する新たな義務が新設されました。これも「トレーサビリティの確保」です。第三者から個人データの提供を受ける場合には、提供者に関する以下の情報を確認しなければなりません。1氏名又は名称2住所3代表者の氏名(法人の場合)さらに、提供を受ける個人データの取得の経緯も確認しなければならないとされています。この場合、個人データの取得の経緯を示す書面(契約書や同意書、本人が個人データを示した書面など)の提示を求める必要があります。個人データを第三者に提供する場合と同様、個人データを受領した場合も記録を作成しなければなりません。記録しなければならない事項は以下のとおりです。本人の同意に基づいて個人データの提供を受ける場合」の1から6の事項。本人の同意に基づいて個人データの提供を受ける場合」の1から6の事項。オプトアウト手続きの届出が公表されている旨つまり、すべての企業は、個人情報を受け取った場合には、やはり記録を取り、3年間保存しなければなりません。個人データを第三者提供する際には、原則として本人の同意が必要になります。本人の希望により第三者提供を停止することなどを事前に本人に通知し、又は知りえる状態に置いていれば、本人の同意がなくても個人データを第三者に提供できるというオプトアウト手続きという例外がありました。対応が必要になります。届出をしなければならなくなりました。そのため、オプトアウト手続きを行うことが予定される場合には、届出の準備が必要になります。新たに「本人の求めを受け付ける方法」が追加されました。これまでオプトアウト手続きをとっており、かつ今後もオプトアウト手続きを続ける事業者は、プライバシーポリシーに「本人の求めを受け付ける方法」を追加する必要があります。オプトアウト手続きに関する事項は、一般にプライバシーポリシーにおいて公表されていますので、自社のプライバシーポリシーを改正すべきかどうかを確認する必要があります。以前の個人情報保護法は、外国にある第三者に対する個人データを提供することについては特段の規定を設けていませんでした。新たな対応が求められます。次のいずれかに該当する場合でない限り、外国にある第三者に対して個人データを提供することはできません。求められるものと同等の体制を整備する第三者に対して個人データを提供する場合3日本の個人情報保護法と同等の個人情報保護制度がある国にある第三者に提供する場合4法令に基づく場合など但し、2と3については、国内の第三者に提供する場合と同様に「第三者に提供する旨の同意」が必要になります。国内の第三者に対する提供する場合、委託や事業承継および共同利用の場合には、第三者提供の同意は不要でした。国外の第三者に提供する場合には、たとえ委託や事業承継および共同利用の場合であっても、上記1から3のいずれかを充たす必要があります。外国の第三者に個人データを提供する場合にも、本人の同意を取ることが基本的に必要となります。「個人識別符号」という概念が新設されました。コードなど個人に割り当てられる符号をいいます。このような情報は、改正前ではそれらの情報単独では「個人情報」とは扱われず、「特定の個人を識別できる情報」と結びついて初めて個人情報と扱われていました。今回の改正により、個人識別符号に該当する情報も、単独で個人情報に該当することになります。該当する情報とその他の個人情報を結びつけず、別に管理しているなどの場合には対応が必要になります。個人識別符号も個人情報に該当するため、個人識別符号にかかる取り扱いの方法を見直ししなければなりません。いう概念が新設されました。関する手続きがおこなわれたことなど、本人に不当な差別や偏見などが生じないように、特に配慮が必要な情報をいいます(センシティブデータ(機微情報))。通常の個人情報を取得する場合には、本人の同意は求められていません。利用目的を公表し、又は取得後に速やかに本人に利用目的を通知し、若しくは公表する必要はあります。要配慮個人情報については、本人の同意がある場合や、法令に基づく場合など一定の場合を除いて、取得が禁止されます。要配慮個人情報に当たる個人データは、その他の個人データとは異なり、オプトアウト手続きによる第三者提供をすることができません。要配慮個人情報を取り扱う企業は、このような規制に対応する必要があります。