令和2年改正　個人情報保護法の実務対応－Ｑ＆Ａと事例－

第１章　総説

Ｑ１　改正前の個人情報保護法の概要
Ｑ２　令和2年改正個人情報保護法の概要
Ｑ３　個人情報保護分野の重要事例

第２章　Ｑ＆Ａ　令和2年改正個人情報保護法の解説
　第１節　個人情報の不適正な方法による利用禁止
Ｑ４　個人情報の不適正な方法による利用の禁止
　第２節　漏えい等発生時の個人情報保護委員会への報告及び本人への通知の義務化
Ｑ５　漏えい等発生時における個人情報保護委員会への報告及び本人への通知の義務化
　第３節　オプトアウトによる第三者提供の規制追加
Ｑ６　オプトアウト規制
Ｑ７　通知・公表・届出事項の拡大
【トピック①】 改正されなかった事項「公益目的による個人情報の取扱いに係る例外規定」
　第４節　提供先で個人データとなる情報の規制（個人関連情報）
Ｑ８　「個人関連情報」に関する改正がなされた背景
【トピック②】 広告関係用語・技術の概説
Ｑ９　提供先で個人データとなる情報の規制(個人関連情報)
Ｑ10　個人関連情報の第三者提供
Ｑ11　個人関連情報取扱事業者への監督
　第５節　仮名加工情報の創設
Ｑ12　仮名加工情報の創設
Ｑ13　仮名加工情報とは
Ｑ14　匿名加工情報との差異
Ｑ15　個人情報である仮名加工情報に適用される規律
Ｑ16　仮名加工情報に適用（準用）される規律
Ｑ17　仮名加工情報の活用場面
　第６節　本人からの開示請求等の範囲の拡大
Ｑ18　保有個人データの範囲の変更と公表事項の追加
【トピック③】 法改正を踏まえた保有個人データに関するプライバシーポリシー等の変更
Ｑ19　開示対象の追加と開示方法の指定
Ｑ20　利用停止・消去等の個人の請求権の拡充
【トピック④】 改正されなかった事項「個人情報保護計画」
【トピック⑤】 改正されなかった事項「個人情報保護管理者｣
【トピック⑥】 改正されなかった事項「プライバシー影響評価（PIA）」
　第７節　認定個人情報保護団体の認定要件の一部緩和
Ｑ21　業務を限定した認定個人情報保護団体の認定
Ｑ22　個人情報保護指針の履行確保
　第８節　罰則の強化
Ｑ23　罰　則
【トピック⑦】 改正されなかった事項「課徴金制度」
　第９節　法の域外適用・越境移転
Ｑ24　外国にある第三者への提供の制限
Ｑ25　法の域外適用
Ｑ26　外国の事業者に対する執行の強化
Ｑ27　送達に関する規定の整備

第３章　類型別　個人情報保護分野の事例解説
　第１節　個人情報漏えい（総論）
事例１　自治体による個人情報（住民基本台帳等のデータ）の流出事故について住民らのプライバシー権侵害及び慰謝料を認めた事例（大阪高判平13・12・25（平13(ネ)1165）裁判所ウェブサイト／宇治市住民基本台帳データ漏えい事件）
事例２　顧客データベースが格納された社内サーバーへのリモートアクセスの管理が不十分であったとして、顧客情報流出について事業者の責任を認めた事例（大阪地判平18・5・19判タ1230・227、大阪高判平19・6・21（平18(ネ)1704）／Yahoo！BB顧客情報漏えい事件）
事例３　流出した個人情報が誰にも知られたくない種類の価値観に関係した身体状況に係るものであったことなどから比較的高額の賠償を認めた事例（東京地判平19・2・8判タ1262・270、東京高判平19・8・28判時1964・113／TBC漏えい事件）
事例４　業務委託先の情報漏えい対策がスマートフォンの新しい通信方式に対応できておらず個人情報が流出したことについて、業務委託元も責任を負うとされた事例（最判平29・10・23判時2351・7ほか／ベネッセ事件）
事例５　県民の納税情報など大量の個人情報が含まれる行政文書を蓄積していたハードディスクが、データ消去が不十分なままに、ネットオークションを通じて転売されていた事例（令和元年11月／神奈川県データ流出事件）
【トピック⑧】7pay不正被害事件について
　第２節　第三者提供（総論）
事例６　鉄道事業者が仮名化した交通系ICカードの移動履歴を販売した事例（平成25年6月／Suica事件）
事例７　大手ポイントプログラムにおいて顧客情報の提供方法として共同利用方式を採用していたところ、共同利用者の範囲が無限定に広がること等が問題視された事例（平成26年11月／Ｔ会員情報共同利用事例）
事例８　位置情報等の情報を広告利用のため第三者に提供していたがその旨の説明が不十分である等として問題とされた事例（平成30年10月／JapanTaxi位置情報等提供事件）
事例９　ポイントカード事業者が、会員情報等を裁判所の令状なしに捜査当局へ提供していたことが問題視された事例（平成31年1月／CCC事件）
事例10　大手就職情報サイト運営事業者が、学生の内定辞退率を算出し、第三者提供の同意を取得することなく、これを顧客企業に提供等していた事例（令和元年8月～12月／リクナビ事件）
【トピック⑨】新型コロナウイルス接触確認アプリと個人情報保護
　第３節　インターネット上での個人情報の利用（総論）
事例11　個人情報保護委員会がFacebook社に対して、ソーシャルプラグインを用いた情報の自動送信等につき行政指導を行った事例（平成30年10月／Facebookソーシャルプラグイン行政指導）
事例12　破産者の氏名等をオンライン地図と紐付けて公開した破産者マップに対して指導が行われた事例（平成31年3月／破産者マップ事件、令和2年7月～8月／破産者マップ類似サイト事件）
事例13　自社のウェブサービスにおいて収集したユーザーの情報を利用して独自の信用スコアを作成し、それを第三者に提供するサービスを公開したところ、説明や同意取得の方法等について市民や有識者の指摘を受けた事例（令和元年6月／Yahoo！スコア事件）
　第４節　カメラ画像情報の利活用（総論）
事例14　駅ビル利用者をデジタルビデオカメラで撮影して人流統計情報を取得する実証実験につき、市民や有識者からの指摘を受けて延期した事例（平成25年11月／大阪ステーションシティ顔認証実験）
事例15　タクシー車内に設置したタブレット端末付属のカメラを用いて撮影したタクシー利用者の顔画像からその性別を推定し、広告配信に利用することにつき、告知が不十分であるなどとして行政指導が行われた事例（平成30年11月及び令和元年9月行政指導／JapanTaxi車載タブレット事件）
事例16　利用者が登録した顔画像を、一つの地域における複数の事業者に第三者提供すること等を通じて、キャッシュレス決済・キーレスドア解錠等の利便性を提供している実証実験の事例（平成31年1月～令和3年3月予定／南紀白浜IoTおもてなしサービス実証実験）
事例17　参加店における万引き等の犯罪防止と、参加店において万引き等の犯罪を行ったことが確実な者の来店を確認・警戒目的として、複数の書店間で顔画像情報等の共同利用をしている事例（令和元年7月／渋谷書店万引対策共同プロジェクト）
　第５節　海外における個人情報保護法制及び当局による執行事例・裁判事例等の概観（総論）
【トピック⑩】 外国当局対応における留意事項（いわゆるGDPRとの関係で）
事例18　米国司法省、米国連邦取引委員会及びFacebook社の間で2019年7月になされた和解（2019年7月／Facebook社による米国連邦取引委員会の同意命令違反事件）
事例19　行動ターゲッティング広告目的のクッキー運用についてのEUの判断事例（2019年10月／Planet49事件（欧州連合司法裁判所（ECJ）2019.10.1判決））
【トピック⑪】 英国のEU離脱（Brexit）といわゆるGDPRの関係
事例20　中国の電子決済サービス運営会社による顧客の金融情報の収集、使用について、行政処罰が行われた事例（2018年3月中国人民銀行杭州中心支行／杭銀処罰字〔2018〕23号）

索引
〇事項索引