改正個人情報保護法 ①概要

個人情報保護法 改正の概要について

改正個人情報保護法が平成２９年５月３０日より全面施行された

全面施行以前は取り扱う個人情報の数が5000に満たない小規模事業者に個人情報保護法が適用されることはありませんでしたが適用除外の規定が撤廃されました。つまり、個人情報を取り扱う事業者のすべてが、個人情報取扱事業者として法規制の対象になりました。

法改正の趣旨

改正前の『個人情報の保護に関する法律（以下「個人情報保護法」）』は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人の権利利益を保護することを目的として平成17年4月1日に全面施行された。その後、情報通信技術の発展や事業のグローバル化等の急速な環境変化により、個人情報保護法施行当時には想定されていなかった以下のような点に対応することを目的として改正された。

• 個人情報に該当するかどうかの判断が困難な「グレーゾーン」の拡大
• パーソナルデータを含むビッグデータの適切な活用ができる環境整備の必要性
• 国境を越えたパーソナルデータの流通等

つまり、個人情報保護法は個人の権利・利益の保護と個人情報の有用性とのバランスを図るための法律であり、民間事業者の個人情報の取り扱いについて遵守すべき義務を規定しているのである。これは、当該法の第一条（目的）において以下の通り示されている。

”第１条 この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、 個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ個人の権利利益を保護することを目的とする。”

そもそも「個人情報」とは何か？

【改正前】の個人情報保護法において、個人情報とは「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述などにより特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう」と定義されていた。（改正前個人情報保護法第２条第１項）。

【改正後】 第二条条文は以下の通り。 この法律において「個人情報」とは、生存する個人に関する情報であって、 次の各号のいずれかに該当するものをいう。

一、 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。 次項第二号において同じ。）で作られる記録をいう。第十八条第二項において同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの （他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。） 

二、 個人識別符号が含まれるもの

（※赤字：改正部分）

改正個人情報保護法では、個人情報の範囲自体は変わらないものの、情報の性質上、特定の個人を識別することができるものを新たに「個人識別符号」として定義している。（改正個人情報保護法第２条第２項）

では「個人識別符号」とは？

基本的に以下2つのどちらかに該当するものをいう。

①　身体の一部の特徴を電子計算機のために変換した符号

②　役務の利用や書類において対象者ごとに割り振られる符号

これら符号は具体的に政令で定められることとされているが、①は例えば、DNAを構成する塩基配列、骨格、歯列、指紋、掌の静脈、虹彩、声紋、疾病既往歴や手術跡などが挙げられる。②の具体例としては、マイナンバー、免許証や旅券の番号、基礎年金番号、住民票コード、各種保険証などである。

個人識別符号が含まれるものを個人情報とすることで保護対象が明確になる。また、クレジットカードや口座番号については、必ずしも特定の個人を識別することができるとは限らないことなどから個人識別符号として位置づけられてはいないが、このような番号もまた氏名や住所などと容易に照合できて特定の個人を識別することができる場合には、個人情報に該当することになるので、留意が必要である。

今後は旧来の個人情報と個人識別符号を併せて管理しなければならない

従来は個人識別符号のような情報は単独では個人情報として扱われず「特定の個人を識別できる情報」と紐づけられてはじめて個人情報として扱われていたが、今回の法改正により、個人識別符号に該当する情報も単独で個人情報に該当することになった。従来の方式で個人識別符号の類を別途で管理していた場合は取扱の方法を見直さなければならない。

結局、当該法で保護対象となる情報は？

個人情報保護法においては、保護が必要な情報として「個人情報」「個人データ」「保有個人データ」の３つの概念が策定された。そして、それぞれの概念に対して実施しなければならない義務が定められることとなった。

「個人情報」は前述のとおり、生存する特定の個人を識別できる情報であり、個人識別符号を含むもののほか、他の情報と容易に照合することができて結果的に特定の個人を識別できてしまう情報である。

「個人データ」は、個人情報のうち、紙・電子媒体を問わず、特定の個人情報を検索できるように体系的に構成したもの(個人情報データベースなど)に含まれる個人情報である。

また「保有個人データ」は、個人データのうち、開示・訂正・消去などの権限を有し、かつ６ヶ月を超えて保有するもの。

個人情報は個人データを、個人データは保有個人データを包含する概念ですが、守るべき義務の範囲は詳細な情報になればなるほど広がっていることに注意しなければならない。