M&P Legal Note EX note 2024-1【IT 事業者必見！】個人情報保護法規
則及び個人情報保護法ガイドラインの改正（2023 年 12 月 27 日公布、2024年 4 月 1 日施行）
2024 年 1 月 12 日
松田綜合法律事務所
弁護士

森田 岳人

※この記事は松田綜合法律事務所の note に掲載したものです。
https://note.com/mandp/n/nd7210d566c82

はじめに個人情報保護法施行規則及び個人情報保護法ガイドラインを改正する規則・告示が、2023
年 12 月 27 日に公布されました。施行は 2024 年 4 月 1 日となります。
本稿では、上記施行規則及びガイドラインの改正の概要について説明します。

漏えい等報告の対象範囲の拡大
個人情報保護法では、個人データが漏えい等した場合、個人情報取扱事業者に個人情報保護委員会への速やかな報告義務や本人への通知義務を負わせています（個情法 26 条）。
ところが、近年、個人情報取扱事業者のウェブサイトが第三者に侵入され、不正なスクリプトが埋め込まれ、ウェブサイトの利用者が入力した個人情報が第三者に勝手に送信されてしまうといったケース（Web スキミング）などが出てきました。
このようなケースでは、個人情報取扱事業者のデータベースに入る前の個人情報が流出していることから、従前は、個人情報保護法上、報告義務等の対象とはなりませんでした。
しかし、上記ケースにおいても、利用者の権利利益が害されるおそれが大きいことに変わりません。
そこで、報告義務等の対象を拡大するために、個人情報保護法施行規則が改正され、それにあわせて個人情報保護法ガイドラインも改正されることとなりました。
具体的には、報告義務等の対象となる「個人データ」に、「当該個人情報取扱事業者が取1M&P Legal Note 2024 EX

得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含むようになりました（施行規則 7 条）。また、個人情報保護法ガイドライン（通則編）、同（第三者提供時の確認・記録義務編）及び同（行政機関等編）にも所要の改正が行われています。
以上のように情報漏えい時の報告義務等の対象が拡大されたことから、個人情報取扱事業者は、情報漏えいのインシデント発生時の対応方法を定めた社内規程や契約書などを見直す必要があります。

安全管理措置の対象範囲の明確化
個人情報保護法では、個人情報取扱事業者に対し、個人データの安全管理措置の実施義務を負わせています（個情法 23 条）。
ただ、この安全管理措置の対象に、個人データになる前の個人情報が含まれるのかについては、不明確でした。
そこで、今回、個人情報保護法ガイドラインが改正され、安全管理措置の対象に、個人データになる前の個人情報が含まれることが明記されるようになりました。
具体的には、個人情報保護法ガイドライン（通則編）３－４－２「安全管理措置」の項目に、「なお、『その他の個人データの安全管理のために必要かつ適切な措置』には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。」と明記されました。なお、個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）及び同（行政機関等編）についても同様の改正がされています。
以上のように、安全管理措置の対象に、個人データになる前の個人情報も含まれることが明確になったことから、個人情報取扱事業者は、安全管理措置を定めた社内規程等を見直す必要があります。

外国の制度の確認・情報提供
個人情報保護法は、個人データを外国に移転させる場合（越境移転）、国内での移転と比較して厳格な規制をしています。その越境移転時の規制の１つとして、個人情報保護法
は、個人情報取扱事業者に対し、外国における個人情報の保護に関する制度を確認したり（個情法 28 条 3 項、施行規則 18 条 1 項）、本人に情報提供する義務（個情法 28 条 2 項 3項、施行規則 17 条 2 項、18 条 3 項）を負わせています。
ところで、2022 年 12 月に開催された OECD デジタル経済政策委員会閣僚会合において、「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」が採択されました。これは、信頼性のある自由なデータ流通を実現するために、ガバメントアクセス（法執行や国家安全保障の目的で、政府が民間が保有または管理する個人データへア2
M&P Legal Note 2024 EX

クセスし、処理すること）を行うための原則（法的根拠、正当な目的、データの取り扱い、透明性、監督、救済）を定めたものです。
これを受けて、今回、個人情報保護法ガイドラインが改正され、上記の外国の制度の確認・情報提供時に、上記 OECD の宣言も参照して判断することとされました。
具体的には、個人情報保護法ガイドライン（外国にある第三者への提供編）５－２等に「事業者が保有する個人情報について政府による情報収集が可能となる制度に関して、本人の権利利益に重大な影響を及ぼす可能性のある制度に該当するか否かを判断するに当たっては、例えば、OECD『民間部門が保有する個人データに対するガバメントアクセスに関する宣言』（2022 年）を参照することが考えられる。」という記載が追加されました。
以上のように、個人情報取扱事業者は、今後、外国の制度の確認・情報提供をする際に、上記 OECD の宣言を参照して、ガバメントアクセスの内容を確認すべきことになります。ただし、実務上、個人情報取扱事業者が各国の制度におけるガバメントアクセスの状
況を個別に確認することは困難でしょうから、個人情報保護委員会で公表されている調査結果などを利用することが現実的な対応となります。

【参考資料】⚫

個人情報の保護に関する法律施行規則の一部を改正する規則-個人情報保護委員会- (egov.go.jp)⚫

個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示-個人情報保護委員会- (e-gov.go.jp)⚫

個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）の一部を改正する告示-個人情報保護委員会- (e-gov.go.jp)⚫

個人情報の保護に関する法律についてのガイドライン（行政機関等編）の一部を改正する告示-個人情報保護委員会- (e-gov.go.jp)⚫

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）の一部を改正する告示-個人情報保護委員会- (e-gov.go.jp)⚫

個人情報の保護に関する法律施行規則の一部を改正する規則案等に関する意見募集結果
https://public-comment.e-gov.go.jp/servlet/PcmFileDownload?seqNo=0000265957⚫

OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）
government_access_jp.pdf (保護) (ppc.go.jp)⚫

第 253 回個人情報保護委員会資料、議事録
第 253 回個人情報保護委員会 ｜個人情報保護委員会 (ppc.go.jp)⚫

個人情報保護委員会

諸外国・地域の法制度

諸外国・地域の法制度 ｜個人情報保護委員会 (ppc.go.jp)
3
M&P Legal Note 2024 EX

この記事に関するお問い合わせ，ご照会は以下の連絡先までご連絡ください。
弁護士

森田 岳人

https://jmatsuda-law.com/members/taketo-morita/
info@jmatsuda-law.com
松田綜合法律事務所〒100-0004 東京都千代田区大手町二丁目 1 番 1 号

大手町野村ビル 10 階

電話：03-3272-0101 FAX：03-3272-0102

この記事に記載されている情報は，依頼者及び関係当事者のための一般的な情報として作成されたものであり，教養及び参考情報の提供のみを目的とします。いかなる場合も当該情報について法律アドバイスとして依拠し又はそのように解釈されないよう，また，個別な事実関係に基づく具体的な法律アドバイスなしに行為されないようご留意下さい。

4
M&P Legal Note 2024 EX