個人情報の保護に関する法律
本法において、プライバシーという言葉は明示的には現れないものの、プライバシーの保護を重要な目的としている。
しかし、本法違反が「直ちに」(プライバシー侵害として)不法行為を構成するかについては、これを否定する峻別説が一般的である。
そのため、例えば形式的には本法に反する個人情報の目的外利用となる場合であっても、プライバシー侵害としての違法性が否定されることもある。
逆に、(他の情報との照合により個人を特定できる場合でない)携帯電話番号の公開について、プライバシー侵害として不法行為が認められることもある。
本法の条文とOECD8原則は以下のように対応している:
さらに、プライバシー影響評価(PIA)の方法論をまとめた ISO/IEC 29134 Privacy Impact Assessment Methodology も現在作成中である。
また、個人情報の安全管理処置としては、情報セキュリティマネジメントシステム(ISMS)が満たすべき要件を定めた国際規格ISO/IEC 27001もある。この国際規格の認証は、「個人情報漏洩に対する企業の対策」や「個人情報漏洩後の企業の対策」の資料や手順書を企業が作成および周知し、社員が認識し実行しているかどうかを調べて認定される。取得にはおよそ1年以上の時間を要する。
また、EUでは2012年(平成24年)に新たな概念である「忘れられる権利」がEUデータ保護規則(GDPR)案に導入されたが、これは2013年に、欧州議会の審議において「消去権」に変更され、2016年4月27日に最終的に採択された。この規則は2018年5月25日に施行された。
行政機関の保有する個人情報の保護に関する法律及び独立行政法人の保有する個人情報の保護に関する法律で規定していた事項を個人情報保護法に統合。地方公共団体も対象とする。
主務大臣の権限を、個人情報保護委員会に移管。
2022年改正までは、個人情報保護法には個人情報保護の基本理念、国及び地方公共団体の責務等が規定されているものの、具体的な義務が書かれているのは事業者のみで、国の行政機関、独立行政法人、地方公共団体等の義務については記載がなく、それぞれ「行政機関個人情報保護法」、「独立行政法人個人情報保護法」、「個人情報保護条例」が規律している。また事業者に対しても義務を守るための指針は個人情報保護法には規定されておらず、「個人情報委員会ガイドライン」、「事業分野ガイドライン」、「個人情報保護指針」で規定している。
こうした事情から
「民間事業者」+「国の行政機関」+「独法」+「自治体(都道府県47、市区町村1750、広域連合等115)」
で日本国内におよそ2000個の条例等があるかなり煩雑な状態になっており、これを2000個問題という。2000個問題により、下記のような弊害が生じていた:
行政機関の保有する個人情報の保護に関する法律及び独立行政法人の保有する個人情報の保護に関する法律で規定していた事項を規定し、地方公共団体も対象としたもの。
政府は、個人情報の保護に関する施策の総合的かつ一体的な推進を図るため、個人情報の保護に関する基本方針を定めなければならない。内閣総理大臣は、消費者委員会の意見を聴いて、基本方針の案を作成し、閣議決定を求めなければならない。閣議決定があったときは、遅滞なく、基本方針を公表しなければならない(第7条)。
国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする(第8条)。地方公共団体は、その保有する個人情報の性質、当該個人情報を保有する目的等を勘案し、その保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずることに努めなければならない(第11条)。