信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について― 195 ―

信託セミナー

個人情報の保護に関する法律等の一部を改正する法律について
個人情報保護委員会事務局参事官

片

岡

― 目

秀

実

次 ―

はじめに

Ⅱ．改正法の内容

Ⅰ．改正法の概要

Ⅲ．今後の予定

はじめに

とおり、「 １ .個人の権利の在り方」に利用停止・消去等の請求権の強化など ５ 項目、「 ２ .事

本日は、改正個人情報保護法について、ご業者の守るべき責務の在り方」に漏えい報告の理解を深めて頂けますように、改正内容のポ義務化など ２ 項目、「 ３ .事業者による自主的なイントのほか、実務上の対応における留意点

取組を促す仕組みの在り方」に認定個人情報

や、これまでに金融機関などの皆様から頂い保護団体制度の充実、「 ４ .データ利活用の在たいろいろなご質問への回答も可能な限り加り方」に仮名加工情報の創設と、提供先で個えて、ご説明します。

人情報になることが想定される情報の第三者
提供、要は個人関連情報の第三者提供規制でⅠ．改正法の概要

すが、この ２ 項目、「 ５ .ペナルティの在り方」に法定刑引上げと法人重科、「 ６ .法の域外適昨年 １ 月２７日の信託セミナーで、制度改正

用・越境移転の在り方」に移転先事業者にお大綱について、ご説明しましたが、その後、ける本人への情報提供の充実など ２ 項目があ

３ 月１０日に改正法案を国会に提出、 ６ 月 ５ 日

り、多岐にわたる改正項目となっております。

に可決成立、 ６ 月１２日に公布され、公布の日委員会では、改正法の円滑な施行に向けて、から ２ 年以内に施行されることとなってお関係する政令・規則・ガイドライン等の整備

り、現時点では、来年（令和 ４ 年） ４ 月 １ 日を進めています。参考として政令・規則案のの全面施行を予定しています。施行までのロ

概要を示しておりますが、これから説明する

ードマップについては、後ほどお示しします。

改正法の内容の中で、適宜ふれていきたいと

改正法の概要は、図表 １ に示しております思います。

― 196 ―個人情報の保護に関する法律等の一部を改正する法律について

信託285号 2021.2

信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について

Ⅱ．改正法の内容― 197 ―

ない形で自身の個人情報が利用され、事業者が利用停止等に応じないことなどに対して、

１．

個人の権利の在り方

委員会に多くの意見や不満が寄せられるな⑴

利用停止・消去等の個人の請求権

ど、個人の権利利益を保護するために必ずし●利用停止・消去等の個人の請求権について、一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合にも拡充する。

現行・利用停止・消去ができるのは、目的外利用、不正取得の場合に限定（§30①）
・第三者提供の停止ができるのは、第三者提供義務違反の場合に限定（§30③）

も十分なものとなっておらず、本人の関与を強化することが必要となっておりました。
このような意見を踏まえて、改正後は、現行の場合に加えて、①利用する必要がなくなった場合、②重大な漏えい等が発生した場合、③本人の権利又は正当な利益が害されるおそれがある場合、にも拡充することとしました。
「本人の権利又は正当な利益が害されるおそれ」がある場合とは、例えば、下記のような場合をいいます。
①

事業者が取り扱う個人データの漏えいが発生した場合に、適切な再発防止措置

改正後がとられていないため、本人を識別する

現行の場合に加えて、①利用する必要がなくなった場合②

重大な漏えい等が発生した場合③

本人の権利又は正当な利益が害される
おそれがある場合にも拡充（§30⑤）

保有個人データについても漏えいするおそれがある場合。
②

事業者が本人に対するダイレクトメー
ルを送付した場合に、平穏な生活を害されたくないことを理由として、本人が送付の停止を求める意思表示したにもかかわらず、本人の意思に反して、事業者が利用停止・消去等の個人の請求権について、一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合にも拡充することとします。

ダイレクトメールを繰り返し送付している場合。
次に、料金の請求などに必要な個人情報であっても、必ず消去に応じなければいけない

保有個人データの利用停止等について、現のか、という点については、事業者にとって、行では、個人の権利行使には一定の制約が課

利用停止等の請求に応じる際には一定の負担されており、利用停止・消去できるのは、目がかかるわけであり、本人の不当な利益につ的外利用、不正取得の場合に限定され、第三いてまで保護する合理性はありません。この者提供の停止ができるのは、法の規定に違反ため、例えば、消費者が料金の支払いを不当して第三者提供された場合に限られていまに免れる目的で消去等の請求を行うことは、す。

「権利又は正当な利益が害されるおそれ」の

この点について、消費者から、本人が望ま要件を満たさないため、消去に応じる必要は― 198 ―個人情報の保護に関する法律等の一部を改正する法律について

信託285号 2021.2

ありません。また、請求要件を満たす場合でなクレーマー対応のために顧客情報を把握しも、「権利利益の侵害を防止するために必要ておく必要があることは承知しております

な限度」で応じればよく、利用停止で足りる

し、事業者側で個人データを利用する必要性

場合には、消去は不要です。

と本人側の不利益を勘案して判断する必要がまた、消去等に応じることが、多額の費用あると考えております。委員会では、事業者を要する場合等、困難な場合は代替措置をと側の対応が困難な場合と消費者側の利益とのることも許容されており、例えば、他の法令バランスを考えてガイドライン等の検討を進で保存期間が定められている個人情報についめていきたいと考えています。

ては、法定期間満了後速やかに消去することを約すること等が代替措置として考えられます。
金融機関の実務の観点からは、利用停止等⑵

保有個人データの開示方法●

保有個人データの開示方法について、電磁的記録の提供を含め、本人が指示でについて、確りとした事務処理体制の整備がきるようにする。

求められており、多くの金融機関で対応が行われているものと思います。今後は、利用停止の請求がなされる頻度が上がることが予想されますので、保有個人データの利用停止を

現行

保有個人データの開示方法は、書面の交付求められた場合に、どのデータが対象になっによる方法が原則（§28①②）てどのデータは対象外なのかなどが、データ

改正後ごとにルール化されていないと、対応のための内部コストが大変なことになるのではないかと思われます。金融機関の皆様におかれま
しては、個人情報の台帳を利用停止や開示等

保有個人データの開示方法について、電磁的記録の提供を含め、本人が指示できるよ
うにする（§28①②）に対応したものにアップデートし、社内ルー
ルも請求の頻度がこれまで以上に上がること

保有個人データの開示方法について、電磁を想定したものに見直していくことが実務的的記録の提供を含め、本人が指示できるように必要になってくるのではないかと思いまにすることとします。

す。

保有個人データの開示方法は、現行では、利用停止等については、金融機関の皆様に書面の交付による方法が原則としています。

限らず、事業者にとって最も大きな関心事でしかし、開示請求の対象となる保有個人デあろうかと思われます。特に、いろいろな事

ータについては、情報技術の進展により、膨例について、「権利又は正当な利益が害され大な情報を含む場合があり、データを印字しるおそれがある場合」に該当するのかしないた書面を交付されても、本人にとっては、検のかといった点に特に高い関心を寄せられて索困難で内容を十分に認識できず、開示請求いると思われます。この点、事業者にとってを前提とした訂正、利用停止等の請求が難し

は、アフターサービスのため、あるいは悪質

くなるケースがあります。開示された個人デ信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について― 199 ―

ータを本人が利用する場面で、書面よりも電時・第三者からの受領時の記録が事業者に義磁的形式の方が利便性に優れている場合が少務付けられていますが、この個人データの授なくありません。

受に関する第三者提供記録について、現行でこのため、改正後は、保有個人データの開は、開示請求の対象かについて明確な規定が示方法について、電磁的記録の提供を含め、ありませんが、改正後は、本人が開示請求で本人が指示できるようにすることとしました。

きるようにしました。これにより、本人は、本人が指示できる方法として、具体的には、提供元にも提供先にも第三者提供記録につい

規則案において、①電磁的記録の提供、②書面の交付、③その他事業者の定める方法としています。

て、開示請求できるようになります。
第三者提供記録の開示請求は、本人が事業者間での個人データの流通を把握できるよう電磁的記録の提供が困難な場合への対応とにすることを目的としています。例えば、①

して、現行法同様に書面による交付が認めら事業者に対し、第三者提供を受ける際の記録れる場合はありますが、事業者が当該開示請の開示を請求することで、個人データの入手

求に応じるために大規模なシステム改修を行

元等を把握すること、②事業者（特に名簿屋

わなければならず多額の費用を要する場合な等）に対し、第三者提供を行う際の記録の開どに限られます。

示を請求することで、自らの個人データが誰に提供されたか等を把握すること、ができる⑶

第三者提供記録の開示●

個人データの授受に関する第三者提供記録について、本人が開示請求できるよ
うにする。

現

行

個人データの授受に関する第三者提供記録
は、開示請求の対象か明確な規定なし
改正後
個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする（§28⑤、§28①②③）ようになります。
なお、平成27年に改正された現行法においても、第三者提供記録の作成・保存が義務付けられていますので、今回の改正によって事業者は新たに記録を作成しなければならないというわけではありません。このため、今回の改正は、現行法において、既に作成・保存が義務付けられている記録を本人が開示請求できるようにするもので、記録の作成・保存義務は現行法と同様です。
また、第三者提供記録の開示について、保有個人データの開示と同様、業務の適正な実施に著しい支障を及ぼすおそれがある場合等の例外規定がありますので、これに該当する
場合は不開示とすることができます。

個人データの授受に関する第三者提供記録

なお、金融機関の方から頂いたご質問によについて、本人が開示請求できるようにする

り、一点、補足します。金融機関の実務の観こととします。

点からは、ガイドラインが示している「本人現行法の下でも、個人データの第三者提供に代わって提供している場合」や、「最終的― 200 ―個人情報の保護に関する法律等の一部を改正する法律について

信託285号 2021.2に本人に提供することを意図した上で、受領６ ヶ月以内に消去する短期保存データに者を介在して第三者提供を行い、本人がそれついて、保有個人データに含めることとし、を明確に認識できる場合」、具体的には、振開示、利用停止等の対象とすることとします。

込依頼を受けた仕向銀行が、被仕向銀行に対６ ヶ月以内に消去するデータ（短期保存デして提供する場合ですとか、振込依頼人の法ータ）は、現行では、開示、利用停止等の対

人が、仕向銀行を通じて被仕向銀行に提供す

象外としていますが、改正後は、保有個人デる場合などですが、こうしたものについて、ータに含めることとし、開示、利用停止等の確認・記録義務が解釈上課せられていない場

対象としました。

面が多いように思います。この点について、

現行制度では、短期間で消去される個人デあくまでも、確認・記録義務がある場合に開ータについては、取り扱われる時間が限られ示請求の対象になるのであって、今回の改正ており、個人の権利利益を侵害する危険性がで確認・記録義務を果たすべき場面が、法令低いであろうなどと考えられたため、このよ

上あるいは解釈上、増えるということはなく、うな取扱いとなっていますが、情報化社会の確認記録義務の対象が広がることはありませ進展により、短期間で消去される個人データ

ん。ただし、後ほど説明する今回の改正で新であっても、その間に漏えい等が発生し、瞬設される個人関連情報に関しては、その授受時に拡散する危険が現実のものとなっておに係る確認記録が新たに義務付けられること

り、個人の権利利益を侵害する危険性が低いになりますので、補足させて頂きます。

とは限られないと考えられますので、このように改正することとしています。

⑷●

短期保存データの開示等対象化
６ ヶ月以内に消去する短期保存データについて、保有個人データに含めることとし、開示、利用停止等の対象とする。

現行

６ ヶ月以内に消去するデータ（短期保存データ）は開示、利用停止等の対象外（§ ２ ⑦）
改正後
６ ヶ月以内に消去するデータ（短期保存データ）も、保有個人データに含めることとし、開示、利用停止等の対象とする（§ ２ ⑦）

これまで短期間で消去していた個人データについて、開示等の請求等に応じるためだけに保存する必要はありません。利用目的を達成した場合には、事業者は遅滞なく消去するよう努める必要があります。
わずか １ 日で消去されるものであっても、検索できるように体系的に構成されている「個人情報データベース等」を構成する「保有個人データ」に該当する場合は、開示請求の対象となり得ます。もっとも、同一の本人からの同一内容についての繰り返しの開示請
求のように、「業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当する場
合については、開示請求に応じる義務はありません。なお、開示請求の対象である「保有個人データ」は、検索できるように体系的に構成されている「個人情報データベース等」

信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律についてを構成するものであるため、この要件を満た
さないいわゆる散在情報は、開示請求の対象とはなりません。
こちらと少し似たご質問として、「例えば、来店者を対象に １ ヶ月間のプレゼントキャン
ペーンをやり、 １ ヶ月間のキャンペーン終了― 201 ―

改正後①

不正取得された個人データ、②

オプトアウト規定により提供された個人データについても対象外とする（§23②）

後に当選者を決めたら、応募者の情報を全て消去するケースを考えます。この場合、そのオプトアウト規定により第三者に提供でき情報が保有個人データに当たるという前提

る個人データの限定について、こちらは、主で、当選者が決まって賞品も発送したので、に名簿屋などを対象とした規制の強化ですの

データを消去しようとした日に、開示請求がで、金融機関の皆様には直接関係ないかと思来たとします。そのデータは開示対象になる

われますが、手短にご説明しておきます。

のでしょうか。」といったものがありました。

オプトアウト規定は、本人の同意を得るこ

これについては、請求が来た時点で、まだとなく第三者に提供することを例外的に認め消去・廃棄していないのであれば、開示対象る規定ですが、このオプトアウト規定によりになるということかと思います。今日、ある第三者に提供できる個人データの範囲を限定

いは今ちょうど消去しようとしていたというすることとします。

理屈で請求に応じないことが認められます

オプトアウト規定により第三者に提供すると、開示請求への対応を避けるために、そのことができないものとして、現行では、要配ような対応を行う事業者が増えると考えら慮個人情報のみとしていますが、改正後は、れ、それは法の趣旨を逸脱しているものと考①不正取得された個人データ、②オプトアウ

えられますので、こういうことと理解頂けれト規定により提供された個人データについてばと思います。

も認められないこととします。②について、端的に言いますと、オプトアウト規定による⑸

オプトアウト規定により第三者に提供できる個人データの限定●

オプトアウト規定により第三者に提供できる個人データの範囲を限定し、①不正取得された個人データ、②オプトアウ
ト規定により提供された個人データについても対象外とする。

現行

要配慮個人情報のみ、
オプトアウト規定により第三者提供することができない（§23②）

提供を連続して行うことはできないということです。
２．

事業者の守るべき責務の在り方⑴

漏えい等報告の義務化●

漏えい等が発生し、個人の権利利益を害するおそれが大きい場合に、委員会への報告及び本人への通知を義務化する。

― 202 ―現

個人情報の保護に関する法律等の一部を改正する法律について

行

個人情報保護委員会に報告及び本人通知
するよう努める（委員会告示）
改正後

信託285号 2021.2

あるものと考えられるため、委員会への報告の対象とすることとしています。
なお、漏えい等の発生時の報告先について、原則として委員会に対して報告を行うことになりますが、事業所管大臣に委任されている

漏えい等が発生し、個人の権利利益を害す分野における事業者は、当該事業所管大臣にるおそれが大きい場合に、個人情報保護委

対して報告することとなります。この事業所

員会への報告及び本人への通知を義務化す

管大臣への委任について、現在のところ、皆る（§22- ２ ）様、金融機関につきましては、金融庁に委任しておりますが、こちらに変更がなければと漏えい等が発生し、個人の権利利益を害すいうことが前提となりますが、改正法の下で、るおそれがある場合に、委員会への報告及び漏えい等が発生した場合には、金融庁に報告

本人への通知を義務化することとします。

して頂くことになります。この場合において、漏えい等報告について、現行では、法令上各事業所管大臣は、政令で定めるところによの義務ではなく、行政指導指針として定めらり、委員会に報告することが求められますのれた委員会告示による努力義務にとどまってで、委員会は各事業所管大臣を経由してこれいます。このため、一部ではありますが、漏を把握することになります。

えい等報告に積極的に対応しない事業者が存漏えい等報告について、報告の期限は、委在しています。仮に、事業者側が公表もしな

員会規則案において、速報と確報の二段階でい場合、委員会が事案を把握できず、適切な定めることとしています。

対応が行えないおそれもあります。

まず速報ですが、委員会が必要な措置をと

このため、改正後は、漏えい等が発生し、るために、なるべく迅速に報告して頂く必要

個人の権利利益を害するおそれが大きい場合があります。ただし、事業者が事態を把握すに、委員会への報告及び本人への通知を義務るのに要する時間については、個別具体的な化することとしました。

事情によるところが大きく、一律に日数を規漏えい等の報告が必要となる要件として、定することは困難です。そこで、明確な時間

規則案では、まず、個人データの性質と漏え的な制限は設けず、報告内容を一定程度限定

いの態様に着目し、要配慮個人情報の漏えした上で、「速やか」に報告することを求め

い、不正アクセスによる漏えい、財産的被害ることを予定しています。

に至るおそれがある漏えいを対象とすること

一方、確報ですが、原因や再発防止策等のとしています。これらの類型については、件報告を求める必要もありますので、速報とは数にかかわりなく報告の対象とすることとし別に、原則として３０日以内、不正アクセス等ています。また、これらの類型に該当しないの場合は６０日以内に確報として報告を求める場合であっても、一定数以上の、具体的にはこととしています。

1,000件を超える大規模な漏えい等について漏えい等が発生した場合に、委員会への報は、事業者の安全管理措置の観点から問題が告に加えて、個人の権利利益の保護の観点か信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について

ら、本人への通知も必要です。漏えいが発生したことを本人に通知することで、本人が二次被害を防止したり、必要な権利を行使した⑵

不適正な方法による利用の禁止●

違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはりするなど、自ら適切な措置を講じることがならない旨を明確化する。

できます。
ただし、本人への通知が困難である場合には、代替措置を講じれば、不要となります。
本人への通知が困難な場合として、具体的には、保有する個人データの中に本人の連絡先が含まれていない場合や、連絡先が古いために通知を行う時点で本人へ連絡ができない場― 203 ―

現行

個人情報取扱事業者は個人情報を適正に取得すべきことを法定（§17）
改正後
・「適正な取得」義務に加えて、「不適正な合が想定されます。代替措置として、事案の利用」を禁止概要の公表ですとか、問い合わせ窓口を用意※具体的には、違法又は不当な行為を助して本人が対象となっているか確認できるよ

長し、又は誘発するおそれがある方法

うにするといった対応が想定されます。

により個人情報を利用してはならない

このほか、ご質問として、「他の事業者か旨を法定（§16- ２ ）ら委託を受けた場合において漏えい等の事態が生じたときに、委託元にその旨を通知する

不適正な方法による利用の禁止の規定を新ことで委員会への報告義務を免除しているの設します。すなわち、違法又は不当な行為をはなぜですか」といったものがありました。

助長する等の不適正な方法により個人情報を

委託先での漏えい等の発生時に、委託元と委利用してはならない旨を明確化することとし

託先の双方が個人データを取り扱っているこ

ます。

とから、
原則として双方が報告義務を負うこと

このような規定を設けた理由ですが、昨今になりますが、委託先が委託元に報告することの急速なデータ分析技術の向上などを背景が一般的であるものと考えられます。そして、に、潜在的に個人の権利利益の侵害につなが委員会が事態を把握するという観点からすれることが懸念される個人情報の利用の形態がば、委託元から委員会が報告を受ければ、そのみられるようになっております。特に、現行目的を達成することができます。このため、法の規定に照らして違法ではないとしても、委託先が委託元に当該事態が発生した旨を通違法な行為、あるいは不当な行為を助長した

知したときは、委託先から委員会への報告義

り、誘発したりするように、個人情報を利用

務を免除することとしています。この例外は、するといった、法の目的である個人の権利利

再委託の場合にも適用されます。
再委託元であ益の保護に照らして、看過できないような方

る事業者が再委託先に個人データ取扱いを委法で個人情報が利用されている事例が、一部託している場合には、再委託先は、再委託元にみられています。

に事態が発生した旨を通知したときは、再委

このため、改正後は、現行の「適正な取得」

託先から委員会への報告義務が免除されます。

義務に加えて、「不適正な利用」を禁止する

― 204 ―個人情報の保護に関する法律等の一部を改正する法律について

こととしました。具体的には、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない旨を法定しました。

現

信託285号 2021.2

行団体を認定し、自主ルールに基づく企業単位での個人情報全般（企業の全ての分野（部「違法又は不当な行為を助長する等の不適門）が対象）の適正な取扱いを促す（§47①）

正な方法」については、相当程度悪質なケー

改正後スを想定しており、例えば、①違法行為を営む第三者に個人情報を提供すること、ですとか、②裁判所による公告等により散在的に公開されている個人情報について、差別が誘発

現行制度に加え、企業の特定分野（部門）を対象とする団体を認定できるようにする（§47②）

されるおそれがあることが十分に予見できるにもかかわらず、それを集約してデータベー「認定個人情報保護団体制度の充実」につス化し、インターネット上で公開すること、いて、こちらは、認定個人情報保護団体を対といったケースが挙げられます。今後、具体象とした事項であり、皆様が加入されている的にどのようなものが該当するかについて、信託協会様が特に見直しをされない限り、対必要に応じてガイドラインなどで示すことを象事業者でいらっしゃる皆様には直接関係な考えています。

いかと思われますが、手短にご説明しておき

なお、補足しておきますと、事業者が、こます。

の規定に違反するおそれのある行為を行った

認定団体制度について、個人情報を用いたとしても、まずは委員会による指導・勧告が業務実態の多様化や IT 技術の進展を踏まえ、行われ、さらに勧告に応じなかった場合には企業の特定分野（部門）を対象とする団体を委員会による命令が行われることとなり、そ認定できるようにすることとします。

の上で、その事業者が命令に違反した場合に現行、団体を認定し、自主ルールに基づく初めて罰則が適用されるため、不意打ち的に企業単位での個人情報全般（企業のすべての事業者に罰則が適用されることはありません。

分野（部門）が対象）の適正な取扱いを促すこととしていますが、改正後は、現行制度に

３． 事業者による自主的な取組を促す仕組みの在り方⑴

認定個人情報保護団体制度の充実●

認定団体制度について、個人情報を用いた業務実態の多様化や IT 技術の進展を踏まえ、企業の特定分野（部門）を対象とする団体を認定できるようにする。

加え、企業の特定分野（部門）を対象とする団体を認定できるようにしました。
現行における認定個人情報保護団体の形態として、例えば、〇〇業協会（金融系）では、自主ルールに基づいて、対象事業者であるＡ
銀行、Ｂ証券、Ｃ金融、・・・それぞれの企
業単位でのすべての部門についての個人情報全般の適正な取扱いを促すということになりますが、このような現行の仕組みに加えて、改正後は、例えば、〇×協会として、対象事

信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について業者であるＡ銀行、Ｘ会社、Ｋ電気、Ｎ百貨
店、・・・それぞれの企業の広報部門という
特定分野（部門）を対象とするような団体を認定できるようにします。このような特定分
野での認定を受けることにより、分野ごとのより高い水準の個人情報保護の推進に資するものと期待しております。
データ利活用に関する施策の在り方⑴

仮名加工情報の創設●

イノベーションを促進する観点から、設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を
緩和する。

③

開示・利用停止等の請求対応（§27～§34）

・作成元の「個人情報」は残したまま、これまで通り利用可能※（仮名加工情報ではない）通常の個人デ情報」に一定の加工が施された情報も含め、本人同意の下で第三者への提供

イノベーションを促進する観点から、氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和することとします。
仮名加工情報の作成方法に関して、最低限行

・「個人情報」に該当するものは、一律に個人情報の取扱いに係る規律の対象
・利用目的の制限

・

利用目的の通知・公表

・

安全管理措置・

第三者提供の制限

・

開示・利用停止等の請求対応の規律として、①特定の個人を識別することができる記述等（例 : 氏名）の全部又は一部を削除（置換を含む。以下同じ。）すること、②個人識別符号の全部を削除すること、③不正に利用されることにより、財産的被害が生じるおそれのある記述等（例：クレジットカ

等※個人データ、保有個人データに係る規律を含む
改正後
・「仮名加工情報」として加工すれば、個人情報に該当しても、以下の義務は適用
除外
利用目的の変更の制限（§15②）⇒

漏えい等の報告等（§22-２）

が可能

氏名等を削除した「仮名加工情報」を創①②

ータとして取り扱う限り、当該「個人４．

現― 205 ―

新たな目的で利用可能※本人を識別しない、内部での分析・利用であることが条件（§35- ２ ⑥～⑧）

ード番号）を削除することを求めています。
個人情報から、こうした措置を講じて、仮名加工情報、すなわち、他の情報と照合しない限り特定の個人を識別できないように加工された情報を作成することになります。
仮名加工情報を作成する際に個人情報から削除された情報や加工方法に関する情報、例
えば氏名と仮 ID の対照表等を削除情報等といいますが、こちらは安全管理措置を講じることが義務付けられており、図表 ２ のイラス
トでは鍵で表現していますがこれを使って個人情報を復元することを禁止しています。

― 206 ―個人情報の保護に関する法律等の一部を改正する法律について

信託285号 2021.2

信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について― 207 ―

「個人情報」に該当するものは、一律に個タの利活用を促進するために、特定の個人を

人情報の取扱いに係る規律の対象となりま識別できないように加工し、かつ個人情報をす。これを「仮名加工情報」として加工すれば、復元できないようにした匿名加工情報を導入

あくまで、本人を識別しない、内部での分析・しましたが、今回の改正で創設する仮名加工利用であることが条件となりますが、①利用

情報は、こちらの参考として比較表で示して目的の変更の制限については、新たな目的でおりますように、個人情報と匿名加工情報の利用可能であり、②漏えい等の報告等の義務

中間的規律と言えるものです。

の適用除外、③開示・利用停止等の請求対応

表中の １ 行目に示しているとおり、必要なの義務も適用除外となります。なお、作成元

加工のレベルについて、匿名加工情報は、本の「個人情報」は、残したまま、これまで通人が一切分からない程度まで加工することがり利用可能です。

求められますが、仮名加工情報は、対照表と仮名加工情報のメリットは、開示・利用停

照合すれば本人が分かる程度まで加工するこ止等の請求に対象とならないこと、当初の利とで足りるとしています。仮名加工情報は、用目的としては特定されていなかった新たな匿名加工情報より簡便な加工方法であり、ま目的での分析が可能となることです。ただし、た削除する情報量がより少なく済まされます。

本人を識別する、本人に連絡等する、第三者

このような加工のレベルの差に伴い、表中に提供することを必要としない目的であるこの下から ３ 行目に示しているとおり、第三者とが条件ですので、この点は留意して下さい。

提供について、匿名加工情報は、本人同意の

なお、委託や共同利用は可能となっています。

ない第三者提供が可能ですが、仮名加工情報

こうした仮名加工情報のメリットを活かしは、第三者提供は原則禁止することとします。

た利活用の事例として、①医療・製薬分野等

なお、仮名加工情報について、委託・共同利における研究、②不正検知・売上予測等の機用は可能としています。

械学習モデルの学習等での利用が想定される

こうした情報を企業の内部で分析・活用でほか、利用目的を達成した個人情報について、きるようにすることは、我が国企業の競争力

将来的に統計分析に利用する可能性があるたを確保する上でも重要と考え、データ利活用

め、仮名加工情報として加工した上で保管すに資するものとして、仮名加工情報を創設しるといった利用も考えられます。

ております。

なお、要配慮個人情報を含む個人情報から
仮名加工情報を作成することは許容されることを補足しておきます。仮名加工情報は、本人を識別する、本人に連絡等する、第三者に提供することは原則として認めておりません
ので、仮名加工情報の取扱いによって本人の権利利益が侵害されるおそれはきわめて小さいということが、その理由です。
平成２７年の法改正により、パーソナルデー⑵

個人関連情報の第三者提供規制●

提供元では個人データに該当しないものの、提供先において個人データとなることが想定される情報の第三者提供について、本人同意が得られていること等の確認を義務付ける。（§26- ２ ）― 208 ―個人情報の保護に関する法律等の一部を改正する法律について

信託285号 2021.2

提供元では個人データに該当しないもの

図表 ３ により説明しますと、例えば、Ａ社の、提供先において個人データとなることがにおいて、個人に関する購買履歴についての想定される情報の第三者提供について、本人

データに ID 番号等を付けたものを持ってい同意が得られていること等の確認を義務付けるとします。このデータ自体だけでは特定のることとします。

個人を特定できませんので、個人データには

個人関連情報の第三者提供規制を設けた背該当しません。Ａ社からこのデータをＢ社に

景について説明しますと、ここ数年、インタ提供するとします。Ｂ社では、自社内でそれーネット上のユーザーデータの収集・統合・

ぞれの ID 番号等に特定の個人を紐付けてお分 析 を 行 う、「DMP（Data Management

り、Ａ社から提供された個々の購買履歴に関Platform）」と呼ばれるプラットフォームがするデータを ID 番号等により自社内の個人

普及しており、クッキーなどの識別子に紐付

データと結合させているとします。こうした

く個人情報ではないユーザーデータを、提供

データの授受により、Ｂ社の個人データはよ先において他の情報と照合することにより個りリッチなものになります。

人情報とされることをあらかじめ知りなが

このような、ユーザーデータを大量に集積

ら、他の事業者に提供する事業形態が出現しし、それを瞬時に突合して個人データとするています。

技術が発展・普及したことにより、提供先に

信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について― 209 ―

おいて個人データとなることをあらかじめ知

ける本人同意の確認義務は、提供先で個人デりながら非個人情報として本人同意なしに第ータとなることが想定される場合のみで、ク三者に提供するという、第三者提供の制限のッキーすべてを規制対象とするものではあり

規定の趣旨を潜脱するスキームが横行しつつません。

あり、こうした本人関与のない個人情報の収集方法が広まることが懸念されます。

また、「クッキー等を第三者提供する際に、提供先において個人データになるか否かの調

このため、改正法では、図表 ３ に示してい査義務を課すものなのか」という質問についるとおり、提供先であるＢ社において個人デては、今回の規制では、第三者によって個人ータとなることが想定される場合は、個人デデータとして取得されることが、通常想定でータの第三者提供として原則本人の同意が必きる場面に確認義務を課しています。これは、要であること、これを明示することとします。

当該第三者との取引環境等の客観的事情に照

個人関連情報は、条文上、「生存する個人

らし、一般人の認識を基準として判断します。

に関する情報であって、個人情報、仮名加工

したがって、提供先において個人データとし情報及び匿名加工情報のいずれにも該当しなて取得される可能性が高くない場合を含めていもの」と定義していますが、例えば、氏名調査義務を課すものではありません。

と結びついていないインターネットの閲覧履

本人の同意については、基本的には、提供

歴、位置情報、クッキー等が含まれ得ます。

先事業者によって取得されることを想定して「提供先において個人データとなることがいます。同意の取得方法としては、本人から想定される」場合として、具体例としては、同意する旨を示した書面や電子メールを受領第三者となる提供先の事業者から、事前に「個する方法や、確認欄へのチェックを求める方

人関連情報を受領した後に他の情報と照合し法等が考えられます。ウェブサイトで同意をて個人データとする」旨を告げられているケ取得する場合は、単にウェブサイトに記載すースですとか、個人関連情報を提供する際、るのみでなく、ウェブサイト上のボタンをク

提供先において当該個人関連情報を氏名等とリックする方法等が考えられます。具体的な紐付けることができる固有 ID 等を併せて提同意の取得方法等については、今後、ガイド供するケースなどが考えられます。

ライン等でお示しする予定です。

個人関連情報を提供する事業者としては、①「個人データとなることが想定される」場合に該当しないか検討すること、②該当する場合であれば、本人同意が取得できていることを確認した上で、個人関連情報を提供すること、が必要となります。
「今回の規制は、クッキーの取扱を規制するものなのか」という質問を多く頂きますが、
個人関連情報には、クッキーの取扱も含まれ得ますが、個人関連情報の第三者提供時にお― 210 ―個人情報の保護に関する法律等の一部を改正する法律について

信託285号 2021.2

５．

ペナルティの在り方て、現行では、事業者に科される罰則につい⑴

法定刑の引上げ等て最大でも １ 年以下の懲役又は50万円以下の●委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げる。

●

命令違反等の罰金について、法人と個人の資力格差等を勘案して、法人に対しては行為者よりも罰金刑の最高額を引き上げる（法人重科）。

現行

命令違反の場合、行為者に対し６ 月以下の懲役又は３０万円以下の罰金（§84）
虚偽報告等の場合、行為者に対し３０万円以下の罰金（§85）
法人に対する罰金の上限額は、行為者と同じ（§87①）
改正後
命令違反の場合、行為者に対し、１年以下の懲役又は100万円以下の罰金（§83）
虚偽報告等の場合、行為者に対し５０万円以下の罰金（§85）
法人に対する罰金の上限額は、１億円以下の罰金（§87①）

委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げることとしま
す。また、命令違反等の罰金について、法人と個人の資力格差等を勘案して、法人に対しては行為者よりも罰金刑の最高額を引き上げるということで、法人重科を導入することとします。
ペナルティを強化することとした背景とし罰金としていますので、違反行為に対する実効性が不十分ではないかとの議論がありました。また、委員会が漏えい等報告を受けた事
案や報告徴収・立入検査を行った事案の数は増加傾向にあり、令和元年 ８ 月、委員会は初めての勧告を行っており、このような重大な違反事例事案の発生を踏まえて、個人の権利利益の保護の必要性はより高まっています。
こうしたことから、ペナルティを強化することとしました。
命令違反の場合、行為者に対して、現行
は、 ６ 月以下の懲役又は３０万円以下の罰金としていますが、改正後、 １ 年以下の懲役又は100万円以下の罰金に引き上げることとします。虚偽報告等の場合、行為者に対して、現行は、３０万円以下の罰金としていますが、改正後、５０万円以下の罰金に引き上げることとします。
法人に対する罰金の上限額は、現行は行為者と同じですが、改正後、法人重科を導入して １ 億円以下の罰金に引上げることとします。
参考として、こちらの表で改正前後の法定刑の比較として、法定刑の引上げと法人重科の導入を整理して示しております。

信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について

６．

法の域外適用・越境移転の在り方⑴

域外適用の強化●

日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された報告徴収・命令の対象とする。

現行

現行の権限は、指導・勧告といった強制力のない権限に限定。（§75）
改正後― 211 ―

報告徴収・命令の対象とすることとします。
グローバル化に伴い、個人情報が多様な形
態により海外で取得・処理されていることを踏まえて、前回の平成２７年の法改正により、いわゆる域外適用に関する規定が設けられましたが、現行の権限は、指導・勧告といった強制力のない権限に限定されています。改正
後は、現行の権限に、罰則に担保された報告
徴収・命令も加えることとし、事業者が命令に従わなかった場合には、その旨を委員会が公表できることとします。

現行の権限に加えて罰則に担保された報告徴収・命令
命令に従わない場合の公表（※）（§75）（※）国内の事業者も公表対象
日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された⑵

越境移転に係る情報提供の充実●

外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等を求める。

― 212 ―現

個人情報の保護に関する法律等の一部を改正する法律について

行＜外国にある第三者に個人データを提供できる要件＞
・本人の同意・基準に適合した体制を整備した事業者
・我が国と同等の水準国（EU、英国）
改正後

信託285号 2021.2

こうした国や地域における制度の相違は、個人やデータを取り扱う事業者の予見可能性を不安定なものとし、個人の権利利益の保護の観点からの懸念も生じています。
平成２７年の法改正で導入された外国にある
第三者への提供の制限は、事業者が外国に個人データを移転できる場合を一定の場合に制限するものであり、その規制の対象は個人デ＜各要件に基づく移転時、それぞれ以下をータの移転元である国内事業者ですので、移義務付け＞

転先における状況の多様性に起因するリスク（本人の同意）に対応するためには、移転先の事業者やその⇒同意取得時に、移転先国の名称、移転

事業者がおかれている外国の状況について必先国における個人情報の保護に関する制

要最低限の留意を求めることが必要と考えら度の有無等について本人に情報提供（§

れます。

24②）

このため、今般の制度改正では、移転元と（基準に適合した体制を整備した事業者）

なる事業者に対して、本人の同意を根拠に移⇒移転先事業者の取扱い状況の定期的な転する場合、同意取得時に、移転先国の名称、

確認＋本人の求めに応じて関連情報を提移転先国における個人情報の保護に関する制

供（§24③）

度の有無等について本人に情報提供することとし、また、基準に適合する体制を整備した

外国にある第三者への個人データの提供時

事業者に移転する場合、移転先事業者の取扱に、移転先事業者における個人情報の取扱い

い状況の定期的な確認と、本人の求めに応じに関する本人への情報提供の充実等を求めるて関連情報を提供することとします。

こととします。

「移転先国における個人情報の保護に関す

法改正の背景について説明しますと、これる制度」については、網羅的な調査を求める

まで、データ保護関連法制については、多くものではなく、あくまで本人の予見可能性をの国々で OECD プライバシー・ガイドライ高める趣旨から、我が国の個人情報保護法とンに準拠する形で行われてきましたが、近年、の本質的な差異等、必要最低限の内容・粒度

データ保護関連法制が途上国を含め世界に広を想定しています。

がる中で、一部の国において国家管理的規制がみられるようになっています。データの国

詳細については、ガイドライン等でお示しする予定ですが、例を挙げますと、内での保存等を義務付けるデータ・ローカラ

・「我が国の個人情報保護法と同様の法令

イゼーション、ですとか、民間のデータに対が存在するが、○○に関する義務が存在する制限のないガバメント・アクセスに係るしない点で大きく異なる」

海外の立法例などは、その一例と考えられま

・「APEC 越境プライバシールール（CBPR）

す。個人情報の越境移転の機会が広がる中で、加盟国であり、我が国とほとんど同様の

信託285号 2021.2

個人情報の保護に関する法律等の一部を改正する法律について

個人情報保護法制が存在する」― 213 ―

ついて、補足説明します。まず、クラウドサ

・「個人情報保護法制が存在するものの、ービス等のサーバの運営事業者が、そのサー政府による個人データのアクセスについ

バに保存された個人データを取り扱わないこて、特段の制限がみられない」ととなっている場合には、外国にある第三者といった情報を本人に提供することを考えてへの提供には該当しません。次に、仮に、サいます。また、提供先の第三者に照会して得ーバの運営事業者が外国にある第三者に該当られた情報を本人に提供することも可能でする場合であっても、本人に提供すべき「外す。

国の制度に関する情報」の外国とは、サーバ「一部正確でない情報を本人に提供してしの位置ではなく、運営事業者の法人格としてまった場合、義務違反になるのか」という質登記された外国となります。

問については、本人に提供する情報は、一般的な注意力をもって確認すればよいものとする予定です。

Ⅲ．今後の予定

個人情報保護委員会においても、外国の個

図表 ４ の「今後の想定スケジュール」で、人情報保護制度について、事業者の参考とな

具体的なタイムラインをお示ししています。

るような一定の情報をとりまとめ、公表する

改正法の円滑な施行に向けて、関係する政予定です。
本人への情報提供の手段として、例えば、移転元の事業者のウェブサイトにおいて、外

令・規則・ガイドライン等の整備を進めるとともに、周知広報に積極的に取り組んでいくこととしています。

国にある第三者への提供を認める旨の本人の足元では、政令案と規則案について、昨年

同意を得ようとする際に、「本人に参考とな

１２月２５日から １ 月２５日まで意見募集を行ってるべき情報」を画面上に表示するといった方

おり、寄せられたご意見を踏まえて、 ３ 月頃

法をとることは、許容されるものと考えていの公布を目指しており、ガイドラインについます。

て、議論を引き続き進めております。

移転先の国が不明の場合や、多数の国に移

今回成立した改正法は、公布の日から起算

転する可能性がある場合について、移転先のして ２ 年を超えない範囲内において政令で定国が特定できるのであれば、全ての外国の制める日に施行することとされています。ロー

度に関する情報等を、本人に提供しなければドマップでは、施行を令和 ４ 年 ４ 月 １ 日としなりません。一方、本人の同意を得ようとすていますが、今後の状況によって変わる可能る時点で、移転先の外国を特定できないので性がございます。

あれば、原則としてその旨及びその理由を本

改正個人情報保護法についてのご説明は、人に情報提供すれば足りるものとする予定で以上でございます。皆様におかれましては、す。

今後も、委員会から提供する最新の情報をフクラウドサービスのように、移転先のサーォローの上、体制整備に努めて頂きますようバの所在する国がわからないような場合、どお願いします。ご静聴、有り難うございましのように本人に情報を提供すればよいのかにた。

― 214 ―個人情報の保護に関する法律等の一部を改正する法律について

信託285号 2021.2

本稿は、令和 3 年 1 月22日に開催した信託セミナーにおける個人情報保護委員会参事官

片岡秀実氏の講演内容である。

（かたおか・ひでみ）