企業の責務が増える！改正個人情報保護法のポイント

最終更新日：2022/2/10

個人情報保護法とは

個人情報保護法とは、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とした、個人情報の取扱いに関連する法律です。

企業が個人情報を活用できるよう配慮する一方で、情報元である個人のプライバシーを守るよう制定されました。

2015年の改正で、国際動向や情報通信技術の進展等を反映し、3年ごとに見直しを行うことが規定されました。

2022年施行の改正個人情報保護法概要

2022年4月に施行される改正個人情報保護法では、「個人の権利利益の保護」、「技術革新の成果による保護と活用の強化」など、個人情報が多様に活用されることによるリスク対応等の観点から見直しが行われました。

下記の6つのテーマについて改正されました。

個人情報保護法改正のポイント

1.個人情報を提供する側の権利の拡大

利用停止・消去等の請求要件の緩和

個人情報の利用停止・消去を請求できる場合について、以下のように変更されます。

また、第三者への提供の停止請求ができる場合についても、以下のように変更されます。

保有個人データとは：個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去および第三者への提供の停止を行うことができる権限を持った個人データのことです。

開示請求のデジタル化

原則書面による交付とされていた開示方法について、電磁的記録による提供など、本人の指定する方法による開示が可能となります。

個人情報取扱事業者は、原則として本人が請求した方法により開示する義務があります。ただし、本人が指定した方法による開示が困難である場合（多額の費用を要する場合など）は、書面の交付による開示も認められています。

第三者提供情報の開示請求権

個人情報取扱事業者は個人情報を第三者に提供する際、「個人データの第三者提供に係る記録」と「個人データの第三者提供を受ける際の確認の記録」を作成する必要があります。これをあわせて「第三者提供情報」といいます。

この「第三者提供情報」を本人が開示請求できるようになります。

短期保有データの保有個人データ化

6カ月以内に消去する短期保存データについても、保有個人データに含まれることとなります。

それにより、開示請求や利用停止等の対象となります。

オプトアウト規定の厳格化

個人情報の第三者提供は本来、本人の事前の同意（オプトイン）が必要となります。

第三者に提供する個人データの項目等について届出を事前に行った「オプトアウト届出事業者」は、本人からの求めがあった場合に第三者提供を停止することを前提に、オプトインなく第三者提供ができます。これをオプトアウト規定といいます。

改正前は「要配慮個人情報」のみがオプトアウトの対象外でしたが、「不正取得された個人データ」「オプトアウト規定により提供された個人データ」についても対象外となり、オプトアウト規定に基づく第三者提供の範囲が狭くなります。

2.個人情報取扱事業者が守るべき責務の追加

漏えい等報告の義務化

漏えいが発生し、個人の権利利益を害するおそれが大きい場合、委員会への報告および本人への通知が義務化されます。

報告の義務化対象は下記のとおりです。

不適正な方法による利用の禁止

違法または不当な行為を助長するなど、不適正な方法による個人情報の利用は禁止されることが明文化されました。

3.個人情報取扱事業者による自主的な取組を促す仕組み

認定個人情報保護団体制度の充実

個人情報保護委員会等だけでなく、民間団体による個人情報保護の推進が求められており、苦情の処理や情報提供、その他必要な業務を行う法人は、個人情報保護委員会の認定を受けることができる制度があります。

改正前では、認定された法人（主に業界団体）は対象企業のすべての分野に対応する必要がありました。今回の改正により、業務実態の多様化やIT技術の進展を踏まえ、対象事業者の特定の分野に限定した個人情報の取扱いを対象とする団体を認定することが可能となりました。

4.データ利活用に関する施策

仮名加工情報の創設

個人情報を復元することができないように加工する必要がある匿名加工情報よりも、比較的簡便な加工方法で、一定の安全性を確保したうえで個人情報の利活用を促進するため、「仮名加工情報」が創設されました。

仮名加工情報とは「他の情報と照合しない限り特定の個人を識別できないように加工した情報」です。第三者への提供の禁止、内部分析での利用に限定する等を条件に、開示・利用停止請求への対応等の義務が緩和されます。

個人関連情報の第三者提供規制

提供元では個人データに該当しないものの、提供先において他の情報と照合して個人データとなり得る 個人関連情報の第三者提供について、本人の同意が得られていること等の確認が義務づけられます。

Cookie等により収集されたウェブサイト閲覧、商品購買、サービス利用などに関する履歴等から生成された個人の興味・関心等に関する属性情報は、個人関連情報となります。個人関連情報の第三者提供にあたっては、提供先が自社保有データと照合し、個人データとして利用する可能性がある場合、提供先が本人の同意を得ていることを確認する必要があります。

5.ペナルティ

法定刑の引上げ等

個人情報保護委員会による命令違反・委員会に対する虚偽申告等の法定刑が引き上げられました。2020年12月に施行済みです。

6.法の域外適用・越境移転

域外適用の強化

日本国内に住んでいる人の個人情報等を取り扱う海外の事業者も、報告徴収・立入検査などの対象となります。

これまでは国内の事業主のみが対象でしたが、海外の事業者が個人情報の不適切な使用をした場合にも適用されることになります。

越境移転に係る情報提供の充実

外国の第三者へ個人データを提供するときに、移転先事業者における個人情報の取扱いについて、本人への情報提供が義務づけられます。

外国の第三者に個人データを提供できる要件は下記の通りです。

• 本人の同意がある
  同意取得時に、移転先の国名、移転先国における個人情報の保護に関する制度の有無当について、本人に情報を提供
• 基準に適合する体制を整備した事業者
  移転先事業者の取扱い状況等の定期的な確認および、本人の求めに応じて関連情報を提供
• 日本と同等の水準国（EU、英国）

• この他、「法令に基づく場合」等の例外要件あり。

個人情報保護に最適なシステム・サービス

個人情報保護には、個人情報の適切な管理・運用が必要です。

また、従業員が個人情報の取り扱いについて、正しい知識を身につけることも重要です。

個人情報の漏えい対策

個人情報の不正使用を防止

個人情報の取り扱いについての社員教育

漏えい等報告の義務化対策