令和4 年4月1日から、令和2年改正個人情報保護法が施行されます

令和２年改正個人情報保護法の主なポイントをご紹介します

本資料は令和２年改正個人情報保護法の概要をまとめたものであり、事業者の義務や例外規定の全てを記載したものではありません。詳細は個人情報保護委員会のホームページ内の令和２年改正個人情報保護法、ガイドライン・QA等をご確認ください。

個人情報保護法改正の「5つの視点」
改正の背景

個人情報に対する意識の高まり、技術革新を踏まえた保護と利用のバランス、個人情報が多様に利活用される時代における事業者責任の在り方及び越境移転
データの流通増大に伴う新たなリスクへの対応等の観点から、以下の5つの視点を踏まえ、個人情報保護法の改正を行いました。

個人の権利利益の保護「個人の権利利益を保護」するため、必要十分な措置を整備する。

技術革新の成果による保護と活用の強化

技術革新の成果が、経済成長等と個人の権利利益の保護との両面に行き渡るようにする。

国際的な制度調和と連携国際的な制度調和や連携に配意する。

越境データの流通増大に伴う新たなリスクへの対応
海外事業者によるサービスの利用や、国境を越えて個人情報を扱うビジネスの増大による、個人が直面するリスクの変化に対応する。

ＡＩ・ビッグデータ時代への対応
AI・ビックデータ時代を迎え、個人情報の活用が一層多岐に渡る中、事業者が個人情報を取り扱う際に、本人の権利利益との関係で説明責任を果たしつつ、本人が予測可能な範囲内で適正な利用がなされるよう環境を整備する。
令和４年２月発行

改正

漏えい等＊が発生した場合に、個人の権利利益を害するおそれが大きい
事態については、個人情報保護委員会への報告及び本人への通知を義務化。
＊漏えい等・・・漏えい、滅失又は毀損

改正前

個人情報保護委員会に報告し、本人に通知するよう努める。

個人情報保護委員会への報告が必要となる事態（委員会規則で定める事態）

要配慮個人情報の漏えい等
財産的被害のおそれがある漏えい等
不正の目的によるおそれがある漏えい等

他の個人情報取扱事業者から漏えい等
事態が発生

個人情報保護委員会

個人情報取扱事業者

個人情報保護委員会への報告義務を負う。ただし委託先が委託元に報告した場合、委託先は同委員会への報告義務を通知※各事態につき、漏えい等の「おそれ」がある場合も対象本人免除される。

外国にある第三者への個人データの提供時に、本人に対し、移転先事業者における個人情報の取扱いに関する情報提供の充実等を求める。
改正後、新たに追加

改正前

各要件に基づく個人データの移転時、以下を義務付け

外国にある第三者に個人データを提供できる要件

本人の同意基準に適合する体制を整備した事業者

追加

追加

日本と同等の水準国（EU・英国）改正

漏えい 等 の事 態が 発 生した
とき、委託元と委託先の双方がこれらの事態は件数に関わりなく対象

1,000件を超える漏えい等

改正

委 託を受けた場 合において報告

本人からの同意取得時に、以下の情報を提供すること
移転先の所在国の名称
当該外国における個人情報の保護に関する制度
移転先が講ずる個人情報の保護のための措置① 移転元が必要な措置をとること

移転先における適正な取扱い状況などの定期的な確認
移転先における適正な取扱いに問題が生じた場合の対応② 本人の求めに応じて必要な措置等に関する情報を提供すること

安全管理のために講じた措置（公表等*により支障を及ぼす恐れがあるものを除く）を公表等する義務がある事項として追加。
＊本人が知りうる状態（本人からの求めに応じて遅滞なく回答する場合を含む）に置くこと

改正前事業者の名称、利用目的、開示請求等の手続、苦情の申出先等を公表事項として規定。

安全管理のために講じた措置として公表等する内容（例）個人データの適正な取扱いの確保のため、関係法令・ガイドライン等の遵守等についての基本方針を策定
個人データを保管しているA国における個人情報の保護に関する制度を把握した上で安全管理措置を実施するなど

新設

公表等により支障を及ぼすものの例
個人データが記録された機器等の廃棄方法
個人データ管理区域の入退室管理方法
アクセス制御の範囲、アクセス者の認証手法、不正アクセス防止措置の内容など

違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはならない旨を明確化。
違法又は不当な行為とは…
「違法」とは法令に違反することをいう一方で、「 不当」とは単にその行為が道徳上非難されるべきというにとどまる場合
等、法令の規定に違反しているとはいえないものの、その制度の目的からみて適当でないこと。

例）
採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合など

新設

個人関連情報個人関連情報とは、生存する個人に関する情報

例えば*…
Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
ある個人の商品購買履歴やサービス利用履歴
ある個人の位置情報

で、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの。

個人関連情報の第三者提供規制
提供元

A社●B社では、A社とID等を共有●B社では、ID等に紐づいて個人データを保有●A社では、誰の個人データか分からない

氏名
山田一郎
佐藤次郎
伊藤三郎
…

A社から提供されたデータをID等を使って自社内の個人データと結合

個人関連情報?

提供先

B社

提携

B社において個人データとなることが想定される場合は原則本人の同意が必要＊特定の個人を識別できる蓄積された位置情報等は個人関連情報ではなく、個人情報に該当。

氏名
山田一郎
佐藤次郎
伊藤三郎
…

購買履歴
ID等
1 ミルクティー、おにぎり…
2 紅茶、サンドイッチ…
3 スーツ、ネクタイ…

新設

個人データ

MEMO
個人関連情報を第三者に提供する
場合、提供先（B社）において個人

年齢 ID等
55歳
129歳 2
45歳
3

データとして取得することが想定

個人データれていることの確認を義務付け。

年齢 ID等
購買履歴
55歳
おにぎり…
1 ミルクティー、29歳 2 紅茶、サンドイッチ…
45歳
3 スーツ、ネクタイ…

されるときは、提供元（A社）に第三者提供に関して本人同意が得ら※本人同意を得るのは、基本的に提供先（B社）

仮名加工情報仮名加工情報とは、他の情報と照合しない限り、特定の個人を識別できないように個人情報を加工して得られる個人に関する情報。加工により一定の安全性を確保しつつ、匿名加工情報よりもデータの有用性を保ち、詳細な分析を実施し得るもの。
「仮名加工情報」に変換すれば、以下の義務は適用から除外する。

① 利用目的の変更の制限

MEMO
匿名加工情報とは、特定の個人を識※内部での分析・利用であること等を条件に、新たな目的で利用可能

別することができず、加工元の個人② 漏えい等の報告・本人への通知情報を復元することができないように加工された個人に関する情報。

③ 開示・利用停止等の請求対応
作成元の「個人情報」は残したまま、これまで通り利用可能注意）仮名加工情報を、他の情報と照合して、作成元の「個人情報」に係る本人を識別することは禁止

仮名加工情報の作成例

個人情報に含まれる個人識別符号の全部を削除又は置換

個人情報
氏名

金額

旅券番号

店舗

クレジットカード番号

09:50

940円

TH012 霞ヶ関店

5567 2356 …

15:10

1220円

TY560 赤坂見附店

4787 9877 …

21:34

670円

TY390 赤坂見附店

1445 7564 …

年齢

年月日

時刻

山田一郎

55歳

20XX-04-02

佐藤次郎

29歳

20XX-05-29

伊藤三郎

45歳

20XX-11-14…

不正に利用されることにより財産的被害が生じるおそれのある記述等の削除又は置換例）
クレジットカード番号の削除

仮名加工情報YH2356

55歳

20XX-04-02

09:50

940円

霞ヶ関店

YD489029歳

20XX-05-29

15:101220円

赤坂見附店

XJ3375

45歳

20XX-11-14

21:34670円

赤坂見附店

…

例）
旅券番号の削除

特定の個人を識別することができる記述等の全部又は一部の削除又は置換例）氏名などを仮IDに置換※置換…復元することのできる規則性を有しない方法により、他の記述等に置き換えること

改正

保有個人データの開示方法は、電磁的記録の提供（CD-ROM等の媒体の郵送 、電子メールによる送 信 、ウェブサイトでのダウンロード等 ）を含め、本人が指示できる。
改正前

保有個人データの開示方法は、書面による交付が原則。

さらに〇 個人データの第三者提供記録の開示請求が可能に。
提供元と提供先それぞれに対して開示請求が可能。
〇 保存期間にかかわらず、６か月以内に消去する保有個人データも開示、利用停止・消去等の対象。

改正

利用停止・消去等の請求権について、一部の個人情報保護法違反の場合に加え、個人の権利又は正当な利益が害されるおそれがある場合にも拡充。
利用停止・消去ができるのは、目的外利用や不正取得の場合に限定。
第三者提供の停止ができるのは、第三者提供義務違反の場合に限定。

改正前

改正後、新たに追加① 利用する必要がなくなった場合。

例） ダイレクトメールを送付するために保有していた情報について、本人からの求めを受けてダイレクトメールの送付を停止した後、本人が消去を請求した場合 など② 個人情報保護委員会への報告義務のある、重大な漏えい等が発生した場合。

例） クレジットカード番号を含む個人データが漏えいした場合
不正アクセスにより個人データが漏えいした場合 など③ 本人の権利又は正当な利益が害されるおそれがある場合。

例） 退職した従業員の情報を自社のホームページに掲載し続け、本人の不利益になった場合 など

認定個人情報保護団体制度の拡充
企業単位だけでなく、企業の特定分野・部門を対象とする団体も新たに認定の対象に。

罰則規定の強化

命令違反・虚偽報告等の法定刑、罰金刑の引き上げ（令和２年12月12日施行済み）。など、その他にも改正される内容があります。詳しくは、個人情報保護委員会のホームページ
でご確認ください。
個人情報保護委員会
検索

個人情報保護法に関する疑問・質問はこちら
PPC質問チャット

個人情報保護法相談ダイヤル

個人情報保護法に関する質問に回答する24時間
チャットボットサービス

個人情報保護法の解釈や個人情報保護制度についての一般的な質問や、個人情報の取扱いに関する苦情の申出についてのあっせんを行う、相談ダイヤル

03-6457-9849

受付時間

9:30〜17:30 （土日祝日及び年末年始を除く）

個人情報保護委員会公式Twitter

PPCビジネスサポートデスク（要予約）

事業者における個人情報保護のため、適正・効果的な活用・啓発の一環として新技術を用いた新たなビジネスモデルなど、個人情報保護法の留意事項等に関する相談受付

03-6457-9771

受付時間

個人情報保護法などに関する最新情報や活動内容をお知らせしています。

9:30〜17:30 （土日祝日及び年末年始を除く）@PPC_JPN