企業法務2015年11月18日 個人情報保護法、１０年ぶりの改正！ 発刊によせて執筆者より 執筆者：森山裕紀子

　平成１７年の個人情報保護法の完全施行から１０年、私たちのパーソナルデータをめぐる法制度は、激動の時代を迎えています。行動ターゲティング広告など、個人情報保護法の制定当時には想定されていなかったパーソナルデータの利用が可能となっています。また、政府の成長戦略においては、パーソナルデータを用いた新産業によるイノベーションの創出が期待されています。平成２５年１２月２０日には、「パーソナルデータの利活用に関する制度見直し方針」が出され、平成２７年通常国会への法案提出を目指した制度見直しのロードマップが示されました。
　しかしながら、平成２６年７月のベネッセ事件などが起き、消費者の立場からは、事業者におけるパーソナルデータの適正な取扱いがこれまで以上に強く求められています。
　そのような中、改正法案が平成２７年３月１０日　国会提出され、平成２７年９月３日　法案成立（同年同月９日公布）しました。改正点は、以下の通りです。

　現行法では、個人情報取扱事業者は、「体系的に整理された個人情報（個人データ）を５０００件以上保有する企業」となっていますので、保有する個人情報が５０００件以上ではない事業者は、同法の規制が及びませんでしたが、このような例外が撤廃されることとなりました。ここは、多くの中小企業に影響があると考えられます。

　また、機微情報について「要配慮個人情報」という情報類型を新設し、他の個人情報とは異なり、本人の同意なく取得することを原則として禁止し（新法１７条２項）、本人は当該違反に対して利用停止請求が可能となります（新法３０条１項）。さらに、オプトアウトにより本人の同意を得ないで第三者提供をすることができません（新法２３条２項）。

　現行法では「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲」を越えた利用目的は禁止されていましたが、「相当の」という文言が削られました。

　現行法では、個人データの消去についてはなんら触れられていません。新法では、「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」（新法１９条）と規定されました。

　現行法では、個人情報取扱事業者がオプトアウト方式で第三者に個人情報を提供していることを、本人が容易に知りうる状況にしていれば良いとされていました。新法では、このオプトアウトに関する規制を強化し、オプトアウト方式で第三者に提供する場合には、新設される個人情報保護委員会に届け出をする義務を負い、当該委員会がその旨を公表することとなりました（新法２３条２項～４項）。

　現行法では、個人情報取扱事業者が個人データを第三者提供し、又は第三者提供を受けても、記録をする必要はありませんでした。新法は、個人情報取扱事業者が第三者提供又は提供を受けた場合には、その旨の記録を作成し、一定期間の保存が求められることとなりました（新法２５、２６条）。

　現行法では、本人からの保有個人データの開示等が、裁判上の権利か否かという点で、議論がありました。新法は、裁判上請求が可能であることを明示する趣旨で「請求することができる」と明記されました（新法２８条１項、２９条１項、３０条１項）。

　新法では、外国にある第三者に個人データを提供する場合には、その旨の本人の同意を得ることが必要になりました（新法２４条）。
　新法は、平成２７年９月９日から起算して２年を超えない範囲において政令で定める日に完全施行になります。それまで、まだ対応する時間は十分ありますが、マイナンバー法の施行も控えている現在、改正個人情報保護法の施行も見据えて、社内規定等を整備していくことが望ましいと言えます。

（２０１５年１１月執筆）