JIPDECセミナー「抜け漏れ再チェック！全面施行直後、改正個人情報保護法の実務対応ポイント」（2022.7.1開催）【講演レポート】JIPDECセミナー「抜け漏れ再チェック！全面施行直後、改正個人情報保護法の実務対応ポイント」
質疑応答
牛島総合法律事務所
弁護士 影島 広泰氏■安全管理措置の外的環境の把握
Q: 安全管理措置について公表する場合、ガイドラインに記載されている全ての項目をプライバシーポリシーとして公表する必要があるか。
どの程度具体的に記載する必要があるのか、必須記載事項は何かを知りたい。
A: 資料P50-51の個人情報保護委員会ガイドライン（通則編）に記載がある程度でよい。公表することにより支障が出る場合、特に技術的な部分については記載することで悪意のある攻撃者にヒントを与えることにもなってしまうため、法律でも詳細な記載は求めていない。PPC通則ガイドラインの事例でも、大まかな説明となっている。
また、Webサイトでの公開も必須ではなく、本人からの質問があった場合に回答するという対応でも問題はない。
Q: 利用サービスのサーバー設置国が公表されていない場合、外的環境の把握はどのようにすればいいか。また、大企業でもクラウドの利用規約が具体的に開示されていないところも多く、どう対処したらいいか。
A: 資料P27にあるとおり、条文では規則17条3項で外国にある第三者提供について同意を取得する際に提供すべき情報が定められている。外的環境把握においても同様となる。
1)特定できない旨及びその理由（「クラウドサーバーの設置国が公開されていないため特定できない」等）
2)参考となるべき情報（「米国」か「シンガポール」か「日本」のいずれかに設置されている）等）
また、法制度調査だけが求められているのではなく、その調査を前提に、外国にデータを保管することのリスクを踏まえて適切な措置を行うことが求められている。したがって、どこの国に保管されているかも把握できない場合は、ガバメントアクセスやデータローカライゼーションの可能性も前提に対策をとることが求められる。

1

JIPDECセミナー「抜け漏れ再チェック！全面施行直後、改正個人情報保護法の実務対応ポイント」（2022.7.1開催）■個人関連情報について
Q: 個人関連情報を第三者提供する場合に、提供先が個人データとして使用するか、使用する場合に本人の同意を得ているかを具体的にはどのように確認すればいいか。
A: 資料P34では、個人関連情報を第三者が個人データとして取得することが「想定される」「窺われる」場合に確認が必要となると説明した。実際に「想定される」場合、ガイドラインでは、単に提供先が「うちは包括的に同意を取っています」という説明だけでは足らず、個別に本人から同意を取っているかを確認することを求めている。
実務的には、例えば外国の、個人データと紐づけることが想定されるSNSに個人関連情報を提供する
場合は、プライバシーポリシーや利用規約だけでなく実際の会員登録手続き等で「同意した人だけが会員登録可能となっている」ことを確認することなどが必要となると思われる。
Q: 自社サイト上で取得しているCookie情報が個人を特定できるものではない場合は同意（ポップアップ等）が不要か？そもそも、WebサイトでCookie情報を取得する際に案内画面を出すことは必須ではないか？
A: 自社において個人データでないとしても何らかの識別子を送っているとすると個人関連情報（ある個人に関する情報）にあたる。提供先が個人情報と紐づけない場合は同意は不要となる。一方で、提供先が個人データとして取得することが想定される場合も、同意を取得するのは提供先であり、提供元は、提供先が本人から同意を取得していることを確認すればよいので、原則としてポップアップは不要となる。ただし、海外の提供先が実際に同意を取得しているか確認できない場合は、提供元が代行して同意を取得するケースは考えられる。
また、そもそもCookie情報を取得する際に案内画面を出すことの要否は、ケースによって異なる。
１）提供元で個人データに該当する場合は、委託（その業務のためにのみ使用）にあたるか第三者提供（他のデータと混ぜて突合している）で切り分ける。委託であれば同意取得は不要であり、第三者提供であれば必要となる。
２）自分たちが個人関連情報を受領して個人データと突合する場合は、自社での同意取得が必須となる。
Q: 当社がWebサイト制作・運営を受託した際、該当のWebサイトがCookie情報と個人情報を結び付けていた場合、この情報の取扱いに関する主管は制作・運営側の当社となるか、Webサイト発注側の企業になるか？
A：利用目的によって異なるが、委託では一般的には発注元からの依頼内容に関してのみ使用するので、主管は発注元となる。

2

JIPDECセミナー「抜け漏れ再チェック！全面施行直後、改正個人情報保護法の実務対応ポイント」（2022.7.1開催）■仮名加工情報について
Q: 自社内（人事）で社員マスターから年別・性別分布などの資料を作成した際は仮名加工情報にあたるのか。
A: 資料P68後半にあるとおり、仮名加工情報を作成する「意図」があるかどうかになる。氏名等を削除して仮名加工情報として利用しようという糸賀ある場合は仮名加工情報であり、そのような意図がない場合は通常の個人情報として利用していることになる。ただし、年別・性別分布自体は統計情報でそもそも個人情報保護法の対象外である。
Q: 仮名加工情報の容易な照合性とはどこまでを指すのか。例えば、仮名加工情報の取扱者がアクセス制限で元データにアクセスできない場合はどちらと判断すべきか。
A: 公表されている報告書やガイドライン等を見ると、個人情報保護委員会は、社内に2つデータがある場合は通常容易照合性があると考えている可能性が極めて高いので、社内でアクセス制御して元データにアクセスできないことを以て「容易照合性がない」とすることは難しいと思われる。

■外国にある第三者への提供について
Q: 海外に拠点をおくグループ会社に共同利用に伴い個人データを提供する場合、同意の必要はあるか。
A: 資料P22で説明したとおり、原則同意が必要となる。27条5項で定められている「委託、事業承継、共同利用は、第三者提供にあたらない」は、外国にある第三者には適用されない。
ただし、個人情報保護委員会規則で定める国は「外国」から除外され、体制を整備している者は「外国にある第三者」から除外されるので、日本国内と同様の扱い（委託、事業承継、共同利用が使える）となる。
Q: 外国に多数の支社（複数の国のサーバーを利用）がある場合、全ての委託先、共同利用先、サーバー設置国に対して確認事項を実施する必要があるか。
A: 資料P30の表で考えていただくことがわかりやすいと思う。例えば、別法人であるシンガポール現地法人にデータ移転する場合、28条の相当措置によりデータ移転契約を締結して共同利用で移転することが一番やりやすい方法だと思われるが、その際は、移転先であるシンガポール法の調査は必要となるが、保存国や再移転先の調査は不要となる（パブコメNo.47）。これに関しては非常に複雑なので、示している根拠と併せて確認していただきたい。

3

JIPDECセミナー「抜け漏れ再チェック！全面施行直後、改正個人情報保護法の実務対応ポイント」（2022.7.1開催）

牛島総合法律事務所 弁護士

影島 広泰氏一橋大学法学部卒業、03年弁護士登録、牛島総合法律事務所入所
自らアプリ開発を行う等ITに精通し、ITシステム・ソフトウェアの開発・運用、個人情報・プライバシー、ネット上のサービスや紛争に関する案件を中心に、企業法務の第一線で活躍。
日本経済新聞社「企業が選ぶ弁護士ランキング」データ関連部門1位（2019年12月）選出
東洋経済新報社「依頼したい弁護士分野別25人」IT・個人情報・ベンチ

ャー部門の5名に選出【著作】「法律家・法務担当者のためのIT技術用語辞典＜第2版＞」（商事法務）「22年施行 情報の『利用』を重視する個人情報保護の規制強化」（週刊東洋経済、2021年3月6日号）ほか多数
本内容は、2022年7月1日に開催されたJIPDECセミナー「抜け漏れ再チェック！全面施行直後、改正個人情報保護法の実務対応ポイント」の質疑応答を事務局で取りまとめたものです。

4