親カテゴリなし法令業界・トピック

【2022年4月施行】個人情報保護法改正とは？ ポイントを分かりやすく解説！（新旧対照表つき）

契約ウォッチ編集部

2022/08/26 （公開：2022/06/17）

COPY LINKリンクをコピーしました。

※この記事では、法令名を次のように記載しています。

• 個人情報保護法…改正後の個人情報保護法（平成15年法律第57号）
• 旧個人情報保護法…改正前の個人情報保護法（平成15年法律第57号）

先生、個人情報保護法が改正されたと聞きました。キャッチアップが大変です。

そうですね、個人情報の取扱いに対する社会の関心も高まっており、法務担当者としては、必ず知っておくべき法令の1つですね。今から一緒に理解しておきましょう！

改正個人情報保護法（2020年6月公布）とは？

改正の目的

個人情報保護委員会は、平成27年の個人情報保護法の改正以来、社会・経済情勢の変化を踏まえて、令和元年1月に示した「3年ごと見直しに係る検討の着眼点」に即し、3年ごとに個人情報保護法の見直しを進めてきました。今回の改正は、3年ごと見直しの過程で、得られた共通の視点を反映したものです。

個人情報保護委員会は、以下の5つの共通の視点を示しています。

公布日・施行日

改正の根拠となる法令名は、「個人情報の保護に関する法律等の一部を改正する法律」です。公布日と施行日は、次のとおりです。

個人情報保護法改正の概要

改正のポイントは、以下6点です。以下、それぞれ解説します。

・ポイント1│本人の権利保護が強化される
・ポイント2│事業者の責務が追加される
・ポイント3│企業の特定分野を対象とする団体の認定団体制度が新設される
・ポイント4│データの利活用が促進される
・ポイント5│法令違反に対する罰則が強化される
・ポイント6│外国の事業者に対する、報告徴収・立入検査などの罰則が追加される

改正のポイント

ポイント1│本人の権利保護が強化される

次の4点について、本人の権利保護が強化されました。

・短期保有データの保有個人データ化
・保有個人データの開示請求のデジタル化
・利用停止・消去請求権、第三者への提供禁止請求権の要件緩和
・個人データの授受についての第三者提供記録の開示請求権

以下、それぞれ解説します。

短期保有データの保有個人データ化

個人情報保護法では「保有個人データ」を定義していますが、旧法では、6か月以内に消去されるデータは、「保有個人データ」に含まれないとされていました。

すなわち、旧法では、保有個人データについて、「個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって」、「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」または「一年以内の政令で定める期間内に消去することとなるもの」以外のもの、と定義されていました（旧個人情報保護法2条7項）。そして、「一年以内の政令で定める期間」とは、6か月とされていました（旧個人情報保護法施行令5条）。

保有個人データとは、どのような個人情報でしょうか？

保有個人データとは、個人情報取扱事業者が、開示・訂正・利用停止等の権限を有する個人データのうち、一定の除外事由にあてはまらないものです。個人情報取扱事業者は、保有個人データについて、本人への開示義務・訂正義務・利用停止に応じる義務などを負います。

しかしながら、短期間で消去されるものであっても、消去されるまでの短い間に漏えいなどが発生すれば、それが瞬時に拡散し、本人によっては回復困難な損害が生じる可能性もあります。

そこで、今回の改正では、旧個人情報保護法2条7項の「又は一年以内の政令で定める期間以内に消去することとなるもの」という文言が削除され（個人情報保護法16条4項）、これにより、6か月以内に消去される短期保有データについても「保有個人データ」に含まれることになりました。

もっとも、旧法下においても、プライバシーマークの審査基準とされている「JIS Q 15001個人情報保護マネジメントシステム」においては、6か月以内に削除されるデータも開示請求などに対応すること、が定められておりました。そのため、プライバシーマークの審査基準を遵守している場合は、改正による影響はあまりないものといえます。

保有個人データの開示請求のデジタル化

本人は、個人情報取扱事業者に対して、保有個人データの開示を請求することができます（個人情報保護法33条）。開示請求を受けた個人情報取扱事業者は、原則として保有個人データを開示しなくてはなりませんが、この開示は、書面による交付が原則とされていました（旧個人情報保護法28条2項、同法施行令9条）。

しかし、情報量が膨大である場合、書面による交付が適さない場面があります。また、動画や音声データのように、そもそも書面による交付に適さない保有個人データもあります。

そこで今回の改正では、開示を受けた保有個人データの利用等における本人の利便性向上の観点から、以下のいずれかの方法のうち「本人が請求した方法」による保有個人データの開示を行うことが原則とされました（個人情報保護法33条1項、2項本文、同法施行規則30条）。

・電磁的記録の提供による方法
・書面の交付による方法
・その他個人情報取扱事業者が定めた方法

一方で、事業者の負担軽減の観点より、その方法による開示に多額の費用を要するなど、本人が指定した方法による開示が困難であるような場合は、本人の請求した方法にかかわらず、書面の交付による方法での開示も認められています（同法33条2項かっこ書き）。

利用停止・消去請求権、第三者への提供禁止請求権の要件緩和

今回の改正では、本人が、保有個人データの利用停止・消去・第三者への提供の停止を請求できる要件を緩和し、本人の権利保護をより強化しました。

旧法では、本人が保有個人データの利用停止・消去を請求できる場面は、次の場合に限定されていました（旧個人情報保護法30条1項）。

・個人情報を目的外利用したとき（同法16条違反のとき）
・不正の手段により取得したとき（同法17条違反のとき）

また、第三者の提供の停止を請求できる場面は、次の場合に限定されていました（同法30条3項）。

・本人の同意なく第三者に提供した場合（同法23条1項違反のとき）
・本人の同意なく外国にある第三者に提供した場合（同法24条違反のとき）

新法では、 本人は、次のような3つの場面においても、利用停止・消去・第三者提供の停止を請求できるようになりました（個人情報保護法35条5項）。

①個人情報取扱事業者が、保有個人データを利用する必要がなくなったとき
②保有個人データの漏えい等が生じたとき
③その他、保有個人データの取扱いにより、本人の権利又は正当な利益が害されるおそれがあるとき

一方で、事業者側の負担軽減の観点より、利用停止等の措置を行うことが困難な場合であって、かつ、本人の権利利益を保護するため必要な代替措置が取られている場合には、利用停止等の措置を行う必要がないことも定められました（個人情報保護法35条6項ただし書）。本人の権利保護を図りつつ、事業者側の負担をも考慮した規定になっています。

個人データの授受についての第三者提供記録の開示請求権

旧法では、本人は、事業者が作成した第三者提供記録の開示請求ができませんでした。

「第三者提供記録」とは、どのようなものでしょうか？

個人情報取扱事業者は、個人データを第三者に提供する際に、法令で定められた記録を作成しなければなりません。

また、第三者提供を受ける者も、同じく、法令で定められた記録を作成しなければなりません。

このように、個人データの第三者提供に係る記録（個人情報保護法29条1項）と個人データの第三者提供を受ける際の確認の記録（同法30条3項）のことをあわせて、「第三者提供記録」といいます。

第三者提供記録の作成を義務付けることによって、①不正の手段によって取得された個人情報が転々流通することを防止し、また、②個人情報の流通に係るトレーサビリティ（追跡可能性）の確保を図ることが期待されています。

ただし②については、旧法下では不正な手段による情報の流通を防止するための監督機関によるトレーサビリティが主眼とされており、本人による追跡可能性を考慮したものではありませんでした。

そこで、今回の改正により、本人は第三者提供記録の開示を請求できることになりました。

すなわち、本人の開示請求を定めた個人情報保護法33条1項から3項までの規定を、同法29条1項と30条3項に基づき作成される第三者提供記録について準用すると定めており、第三者提供記録が、本人による開示請求の対象となりました（個人情報保護法33条5項）。

なお、「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」は開示の対象から除かれます（同項かっこ書）。第三者提供記録の開示の対象とならない「政令で定めるもの」は、以下のとおりです（同法施行令11条）。

・当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
・当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
・当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
・当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

ポイント2│事業者の責務が追加される

事業者の責務が追加された事項は、次の2点です。

・漏えい時の報告義務
・不適正な利用の禁止

漏えい時の報告義務

今回の改正で、事業者の責務として、個人データの漏えい等の発生時における、個人情報保護委員会に対する報告義務が新たに追加されました。

旧法では、個人データの漏えい等の発生時の、個人情報保護委員会に報告する法的義務はありませんでした。しかしながら、諸外国では、漏えい等が発生した際には報告が義務とされている国も多い一方で、日本においては企業の個別対応に委ねる状況でした。このような状況を受けて、今回の改正では漏えい等が発生した際の報告義務が定められました。

個人情報取扱事業者は、「その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたとき」、に「個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない」と定められました（個人情報保護法26条1項）。報告義務の対象となる漏えい等の事態は、以下のとおりです（同法施行規則7条。ただし、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じていた場合を除きます）。

・要配慮個人情報が含まれる個人データの漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態
・不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態
・不正の目的をもって行われたおそれがある個人データの漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態
・個人データに係る本人の数が千人を超える漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態

ただし、他の個人情報取扱事業者から個人データの取り扱いの委託を受けた場合は、漏えい等の事態が発生した旨を委託者である事業者又は行政機関等に通知すれば、この報告義務は免除されます（同法26条1項ただし書）。

また、個人情報保護委員会に対する漏えい等の報告義務が課される事態が発生した場合、個人情報取扱事業者には本人に通知する義務も課されます（同法26条2項）。

ただし、本人への通知が困難かつ本人の権利利益の保護のために必要な代替措置をとっている場合には、通知義務は免除されます（同項ただし書）。

「本人への通知が困難な場合」とは、具体的にどのような場合でしょうか？また、「代替措置」にはどのようなものが考えられますか？

「本人への通知が困難」とは、たとえば、本人の連絡先について、古い連絡先しか把握していない場合などが想定されます。「代替措置」としては、漏えい等が発生したことを公表して問い合わせに応じるなどの方法が考えられます。

不適正な利用の禁止

今回の改正では、個人情報取扱事業者の義務として、個人情報の不適正な利用の禁止が定められました（個人情報保護法19条）。

旧法では、個人情報の不適正な利用の禁止、つまり、違法・不当な行為を助長・誘発するおそれがある方法によって個人情報を利用することが、明文で禁止されていませんでした。


そのため、旧個人情報保護法の規定に照らして違法ではないとしても、違法又は不当な行為を助長し、又は誘発するおそれのある方法により個人情報を利用するなど、本法の目的である個人の権利利益の保護に照らして、適切でない方法で個人情報が利用されている事例が存在しました。

このような背景から、今回の改正では、個人情報取扱事業者が不適正な方法で個人情報を利用することが禁止されました。不適正な方法で個人情報を利用した場合、利用停止等（個人情報保護法35条）の対象になります。

ポイント3│企業の特定分野を対象とする団体の認定団体制度が新設される

旧法では、認定団体制度は、対象事業者の全ての事業・業務において、適正に個人情報等を取り扱う団体を認定する制度でした。

今回の改正では、対象事業者の事業・業務のうち、特定の事業・業務に限定して認定を行うことが可能となりました（個人情報保護法47条2項）。

「認定団体制度」とは、どのような制度なのでしょうか？

個人情報保護法では、個人情報保護委員会の他に、民間団体を利用した情報保護を図っており、認定団体制度を設けています。
個人情報の取扱いに関する苦情の処理、事業者への個人情報の適正な取り扱いに関する情報の提供、などを行う法人などの団体は、個人情報保護委員会の認定を受けて、「認定個人情報保護団体」となることができます。

事業単位での認定団体を認めることによって、さらに認定団体の活用が進み、特定の事業を対象に活動する団体による、専門性を生かした個人情報の保護のための取り組みなどが期待されます。

ポイント4│データの利活用が促進される

データの利活用を促進する観点からは、次の2点が改正されました。

・「仮名加工情報」について事業者の義務を緩和
・提供先で個人データとなることが想定される場合の確認義務を新設

仮名加工情報について義務を緩和

旧法では、事業者が、自社内部で利用するために、個人情報を加工して個人を特定できない情報に変換した場合でも、変換後の情報は個人情報に該当したため、以下の対応をしなければなりませんでした。
・利用目的を特定（個人情報保護法17条）
・目的外利用の禁止（同法18条）
・取得時の利用目的の本人に対する通知、公表（同法21条）
・データ内容の正確性の確保（同法22条）

個人を特定できないように変換した情報は、個人の権利利益の侵害のおそれは低いにもかかわらず、通常の個人情報と同様に取り扱わなければならないことについて、データの利活用の観点から疑問が生じていました。

そこで、データの利活用を促進する観点から、「仮名加工情報」制度が新設されました。「仮名加工情報」については、通常の個人情報に比して、事業者の義務が緩和されることとなりました。

「仮名加工情報」とは、どのような情報でしょうか？

「他の情報と照合しない限り、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報」です。改正された個人情報保護法2条5項に定義が定められています。

改正された条項について、解説します。
「仮名加工情報」に関する規定は、個人情報保護法41条以降の、第4章第3節以下にあります。

仮名加工情報とは、2条1項1号の「1号個人情報」と2条1項2号の「2号個人情報」について、記述の一部の削除、個人識別符号の全部の削除などの措置が講じられて、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいいます（個人情報保護法2条5項）。

仮名加工情報の作成などにおける事業者の義務は、個人情報保護法41条で定められています。

「仮名加工情報」にあたる場合、事業者は、個人情報保護法の一定のルールの適用を免れることになります。
仮名加工情報、仮名加工情報である個人データおよび仮名加工情報である保有個人データについては、漏えい等の報告義務（同法26条）や、開示請求（同法33条）、利用停止等請求（同法35条）などの適用対象外となります（同法41条9項）。

このように、仮名加工情報にあたる場合、事業者の義務が一部免除されることになり、負担軽減につながります。

提供先で個人データとなることが想定される場合の確認義務を新設

旧法では、提供元では個人データではないものの、提供先で個人データとして取得されることが想定される場合の規制はありませんでした。
今回の改正により、提供元で個人データとして取り扱っていなくても、提供先で個人データとして取得されることが想定される個人データを第三者提供する場合、提供元は提供先に、本人の同意が得られているか等の確認を行わなければなりません（個人情報保護法31条1項）。

すなわち、個人関連情報データベース等を構成する「個人関連情報」を、第三者が個人データとして取得する場合には、提供元の事業者は、本人の同意が得られているか等を確認する必要があります。

「個人関連情報」とは、「生存する個人に関する情報であって、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないもの」（個人情報保護法2条7項）をいいます。たとえば、Cookieなどのような識別子情報があげられます。

旧法下では、Cookieなどのような情報の第三者提供についての規制はありませんでした。しかし、Cookieなどのような情報は、他の情報と照合することにより容易に特定の個人を識別することができる場合があります。

DMP（Data Management Platform）と呼ばれるプラットフォームが普及してきている中、個人情報ではないデータを、提供先において他の情報と照合することで個人データとなることを知りつつ、本人の同意などを得ずに第三者へ提供するというような事例が見られていました。

大きな問題となった「リクナビ問題」では、提供元であるリクルートキャリア社において、特定の個人を識別しないとする方式で内定辞退率を算出し、提供先である利用企業でにおいては特定の個人を識別できることを知りながら、第三者提供に係る同意を得ずに内定辞退率を利用企業に提供していたとされています。

改正された条項を解説します。

まず、「個人関連情報取扱事業者は、提供先の第三者が、個人関連情報を個人データとして取得することが想定される場合には、第三者が本人が識別される個人データとして情報を取得することについて本人の同意が得られていることなどの確認をしないで、個人関連情報を第三者に提供してはならない」旨が定められました（同法31条第1項本文）。

この他にも、個人関連情報取扱事業者は、確認に係る事項などの記録の作成・保存義務（同法30条2項～4項）などの義務を課されます。

なお、外国にある第三者への提供の場合には個人情報保護法28条が適用されます。

ポイント5│法令違反に対する罰則が強化される

罰則が強化されたのは、以下の2点です。

・措置命令・報告義務違反の罰則について法定刑を引き上げた
・法人に対する罰金刑を引き上げた

措置命令・報告義務違反の罰則について法定刑を引き上げた

今回の改正において、措置命令・報告義務違反の罰則について法定刑が引き上げられました。これにより、制裁の実効性が上がり、命令違反や虚偽報告の抑止が期待されます。

個人情報保護法173条は、同法145条2項・3項（個人情報保護委員会の措置命令）に違反した場合には、1年以下の懲役又は100万円以下の罰金に処することを定めました。旧法下では、同規定に違反した場合の法定刑は6月以下の懲役又は30万円以下の罰金（旧個人情報保護法84条）であり、今回の改正で重罰化が行われたことになります。

また、個人情報保護法177条は、同法143条１項および同法150条の規定（報告拒否・虚偽報告等の報告義務違反）に違反した場合には、50万円以下の罰金に処することを定めました。旧法下では30万円以下の罰金であり、今回の改正により重罰化がなされました。

法人に対する罰金刑を引き上げた

今回の改正においては、重罰化による抑止効果期待を目指し、法人に対する罰金刑を引き上げました。

旧法下では、法人に対する罰金の額については行為者等と同じ法定刑でした（旧個人情報保護法87条）。しかし、個人情報保護法179条1項は、個人情報保護法173条および同法174条に違反した場合には、法人に対して1億円以下の罰金を科すとし、法人への高額な罰金制度を導入しました。

ポイント6│外国の事業者に対する、報告徴収・立入検査などの罰則が追加される

個人情報保護法166条（旧個人情報保護法75条）は、外国の事業者への域外適用について示したものです。今回の改正によって、域外適用の範囲が変更されました。

すなわち、日本国内にある者に係る個人情報などを取り扱う外国の事業者も、罰則によって担保された報告徴収・命令および立入検査などの対象となりました。
旧法の下では、報告徴収や立入検査、命令に関する規定が外国の事業者に対しては適用されていませんでした。このため、個人情報保護委員会の行使できる権限は指導や助言、勧告のような強制力を伴わないものに限られていました。

今回の改正により、外国の事業者の不適切な取扱いに対して、より実効的な措置を実施することが期待されます。

【解説つき】改正前と改正後の条文を新旧対照表で比較

それでは、改正点について、条文を確認しましょう。解説つきの新旧対照表をご用意しました。 以下のページからダウンロードできます。

ぜひ、業務のお供に！ご活用いただけると嬉しいです！

参考文献