経団連は１２月１２日、東京・大手町の経団連会館で「改正個人情報保護法施行準備説明会」を開催した。個人情報保護委員会事務局の小川久仁子参事官、内田・鮫島法律事務所の日置巴美弁護士から改正法の全面施行に向けた対応について説明を聞いた。説明の概要は次のとおり。

■ 「改正個人情報保護法の施行に向けた最新動向」小川参事官

個人情報保護法は近年のＩＣＴの発展を背景に、１０年ぶりの大改正が行われ、２０１７年春ごろの施行（１２月２０日の閣議決定により、施行日は５月３０日に決定）に向けて準備が進められている。今回の改正では、パーソナルデータの利活用推進を主眼に置き、グレーゾーンの拡大、ビッグデータ、グローバル化等への対応を行った。１６年１月には、個人情報保護法制の監視・監督を担う独立した第三者機関として個人情報保護委員会が設置された。

定義の明確化を図るため、ＤＮＡ情報や顔等を電子計算機のために変換した符号や、旅券番号等の公的な番号を個人識別符号と規定した。そのほか、要配慮個人情報や匿名加工情報の規定も新設した。匿名加工情報の作成基準は、委員会が最低限の加工方法について考え方を示すが、具体的な方法は認定個人情報保護団体等がビジネスの様態を踏まえた自主ルールにより定めることを期待している。

また、漏洩事件への対応としては、トレーサビリティ確保のため、第三者提供にかかる確認・記録を義務化した。一般的なビジネス慣行に支障のないよう規則等で配慮を行っている。

委員会では、国境を越える個人データの円滑な移転を図るために、米国やＥＵ等との対話を進めている。ＡＰＥＣ域内の越境データ移転を円滑にするＣＢＰＲシステムを推進しており、認証取得を検討してほしい。

■ 「改正個人情報保護法全面施行に向けた実務対応概説」日置弁護士

全面施行に向け、企業はおのおののビジネススキームに沿って、個人情報保護法制上いずれの法令が適用されるか、データが定義上いずれに当たるか（個人情報、匿名加工情報、法の適用を受けないもの等）を確認し、適切なデータの取り扱いについて検討しなければならない。

まず、自社が取り扱うデータを、個人識別符号であるか、特定の個人を識別することができるものか、自社内で容易照合性があるかという順で、個人情報該当性の確認をする必要がある。また、要配慮個人情報に該当するものは取得・提供時の義務が厳格化されており、取得の本人同意の得方等、注意が必要である。

取得から消去まで、個人情報の一連の取り扱いには利用目的の制限がある。今後、目的変更の運用緩和が期待される。

第三者提供に関しては、提供先が国内外のいずれかによって適用される規定が異なる。同一法人か、海外企業か、例外に該当するか等を確認し、場合に応じて本人同意や記録作成が必要となる。

データ取り扱いの場面ごとに、匿名加工情報の活用も視野に入れつつ、司法・行政上のリスクやコストを勘案しながら、適切な方法でデータ利活用を進めてほしい。

※ 改正法の詳細は、本紙連載「改正個人情報保護法の全面施行に向けて」（日置巴美弁護士）参照

※ 当日の説明資料は経団連ウェブサイトに掲載

【産業技術本部】