個人情報保護法とは、個人情報の効果的な活用に配慮しながら、個人情報を保護するための法律です。
 「個人情報」とは、生存する「個人に関する情報」であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）、又は個人識別符号が含まれるものをいいます。
 
 個人情報保護法に違反し、この件に関する個人情報保護委員会の改善命令にも違反した場合、違反した個人には「1年以下の懲役または100万円以下の罰金」の刑事罰が科され、違反した法人に対しては「1億円以下の罰金」の重い刑事罰が科されます。
 
 【個人情報保護法に違反する場合とは】
 
 【利用目的の特定（法15条）】
 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければなりません。
 
 したがって、利用目的が抽象的な場合は、個人情報保護法違反となります。
 
 例えば、以下の場合は違反と考えられます。
 
 ・「事業活動に用いるため」
 
 ・「お客様のサービスの向上のため」
 
 反対に、以下ようなの場合、利用目的を具体的に特定していると考えられます。
 
 ・「当社の◯◯事業の新商品に関する情報のお知らせのために利用します。」
 
 ・目的外での利用禁止（法16条）
 個人情報取扱事業者は、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合、あらかじめ本人の同意を得なければなりません。
 
 なお、同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しません。
 
 【不適切な利用の禁止（法16条の2）（改正法新ルール）】
 個人情報取扱事業者は、違法な行為や不当な行為を助長したり誘発したりするおそれのある方法により個人情報を取り扱ってはなりません。
 
 たとえ利用目的の範囲内であっても、違法な行為や不当な行為を助長・誘発するおそれのある方法での個人情報の利用は禁止です。
 
 例えば、以下の場合は違反と考えられます。
 
 差別を助長するような個人情報の利用―例えば、破産した人の情報を集めてインターネットに公開し、不特定多数の人が見れるようにすること
 違法な行為につながる可能性のある個人情報の利用―違法な行為をする可能性のある者（たとえば、いわゆるオレオレ詐欺の集団）に個人情報を提供すること
 このルールは、2020年の個人情報の改正で新しく導入されたルールです。
 
 2022年4月1日から有効になります。
 また、個人情報の漏えいは、直接の被害者は当該情報の本人であるため、被害者本人から、加害者である事業者に対して、漏えいによる被害や、慰謝料について、不法行為に基づく損害賠償請求がなされる可能性があります。
 
 【個人情報保護法とは】
 個人情報保護法とは、個人情報を取り扱う民間事業者の遵守すべき義務等を定める法律をいいます。
 
 2003年8月に成立した法律ですが、2017年5月に改正法が施行されています。
 さらに、個人情報保護法は、2020年にも改正されました。
 2020年の改正法は、一部を除き2022年4月1日（金）から施行されます。
 
 【改正の背景】
 ・2017年の改正の背景
 近年、ITの進化によって、ビッグデータの収集・分析が可能となっています。
 
 ビッグデータは、新たな産業を創出し、日本経済の発展に役立つと期待されています。
 
 他方で、ITの活用によって、個人情報が悪用されたり、プライバシーが侵害されることが懸念されています。
 
 消費者の立場からすると、個人情報は適正に取り扱われ、安心・安全を確保することが重要です。
 
 また、経済・社会活動のグローバル化に伴い、個人情報を含むデータの国境を越えた流通が増えており、国際的にも個人情報を保護しつつ、円滑なデータ流通を確保することが求められています。
 
 このような状況を踏まえ、2017年5月に改正個人情報保護法が施行されることとなりました。
 
 大きな改正点として、従来は保有する個人情報が5000人を超えるものに限られていましたが、改正後は、個人情報の保有件数にかかわらず、個人情報データベース等を事業の用に供する者はすべて「個人情報取扱事業者」に該当することとなりました。
 
 この改正によって、ほとんどの事業者が「個人情報取扱事業者」に該当することになったと考えられます。
 
 【2020年の改正の背景】
 社会のデジタル化が進んだいま、個人情報の多くは、コンピュータで扱うデータという形になりました。
 
 デジタル社会は、短いサイクルで急激に変化していきます。
 
 個人情報保護法も、このようなデジタル社会の変化に合わせたベストなルールへとアップデートしていく必要があります。
 
 このような背景から、個人情報保護法は、おおよそ3年ごとに見直しをすることになりました。
 
 2020年の個人情報保護法の改正は、このようなおおよそ3年ごとの見直しの一環として行われたものです。
 
 上記の個人情報保護法の義務に違反し、この件に関する個人情報保護委員会の改善命令にも違反した場合、違反した個人には「1年以下の懲役または100万円以下の罰金」の刑事罰が科されます。さらに、違反した法人に対しては「1億円以下の罰金」の重い刑事罰が科されます。
 
 この刑事罰は、近年の個人情報の重要性の高まりから、2020年の法改正で厳罰化されました。
 
 特に、法人に対する罰金の額は、改正前の「30万円以下」から改正後は「1億円以下」へと大きく引き上げられています。
 
 2020年の法改正の新ルールは、原則として2022年4月1日から有効になることになっていますが、この刑事罰の厳罰化だけは2020年12月12日から有効になっています。
 
 【民事上の問題】
 個人情報の漏えいは、直接の被害者は当該情報の本人です。
 
 そのため、被害者本人から、加害者である事業者に対して、漏えいによる被害や、慰謝料について、不法行為に基づく損害賠償請求がなされる可能性があります。
 
 また、被害者である本人と加害者である事業者の間に何らかの契約関係がある場合で、個人情報の漏えいが契約の違反と判断された場合は、契約違反を理由に損害賠償が請求される可能性もあります。
 
 流出した個人情報の件数が多い場合、巨額の賠償金支払いのリスクも考えられます。
 
 例えば、ベネッセコーポレーションの個人情報流出事故は最大約2070万件と言われています。
 
 【損害賠償請求権の消滅時効】
 被害者による損害賠償請求には、消滅時効という制度が適用されます。
 
 ここでいう消滅時効とは、被害者が損害賠償を請求できる状況で、請求をしないまま法律で定めた一定の期間が過ぎると、被害者は損害賠償の請求ができなくなる制度のことです。
 
 不法行為に基づく損害賠償請求の場合、「被害者が個人情報の漏えいがあったことを知った時点から3年」、または「被害者が個人情報の漏えいがあったことを知ったかどうかに関係なく、情報漏えいが発生した時点から20年」の2つのうち、どちらか早く来た時点で時効になります（民法第724条）。
 
 契約違反に基づく損害賠償請求の場合は、「被害者が個人情報の漏えいがあったことを知った時点から5年」、または「被害者が個人情報の漏えいがあったことを知ったかどうかに関係なく、情報漏えいが発生した時点から10年」の2つのうち、どちらか早く来た時点で時効になります（民法第166条1項）。
 
 消滅時効に必要な期間が過ぎれば、情報漏えいの被害者本人の損害賠償の権利が消滅してなくなりますので、加害者となった企業は、損害賠償の責任から逃れることができます。
 
 しかし、情報化が発達した現代社会では、情報漏えいを隠すことは難しいでしょう。
 
 また、この記事でも紹介したように、2020年の改正法の新ルールとして、一定の情報漏えいが発生したときは、個人情報保護委員会への報告と本人への通知が義務化されました。
 
 したがって、情報漏えいが発生してしまったときは、速やかに公表して迅速な対応をとることが、個人情報保護法の義務を守るうえでも不可欠であり、また会社のダメージを最小限に抑える最良の選択肢といえます。

カテゴリ: 法律
質問: 個人情報を取り扱う民間事業者の遵守すべき義務等を定めた法律は、どのように見直しをすることとされていますか？
回答: 個人情報を取り扱う民間事業者の遵守すべき義務等を定めた法律は、おおよそ3年ごとに見直しをすることとされています。

カテゴリ: 法律
質問: 16条において個人情報の目的外利用を禁じている法律に違反し、この件に関する個人情報保護委員会の改善命令にも違反した場合、どうなりますか？
回答: 16条において個人情報の目的外利用を禁じている法律に違反し、この件に関する個人情報保護委員会の改善命令にも違反した場合、違反した個人には「1年以下の懲役または100万円以下の罰金」の刑事罰が科され、違反した法人に対しては「1億円以下の罰金」の重い刑事罰が科されます。

カテゴリ: 法律
質問: 生存する「個人に関する情報」であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるものまたは個人識別符号が含まれるものを保護するための法律で、2020年に改正されたものは、一部を除いていつから施行されますか？
回答: 生存する「個人に関する情報」であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるものまたは個人識別符号が含まれるものを保護するための法律で、2020年に改正されたものは、一部を除いて2022年4月1日（金）から施行されます。

カテゴリ: 法律
質問: 違反した法人に対しては「1億円以下の罰金」の刑事罰が科される、個人情報関連の法律が成立したのはいつですか？
回答: 違反した法人に対しては「1億円以下の罰金」の刑事罰が科される、個人情報関連の法律が成立したのは2003年8月です。