第5回 改正個人情報保護法（2022年4月1日施行）のポイントと実務対応リスト - プラポリの改訂、外的環境の把握、仮名加工情報

2022年4月1日に迫った改正個人情報保護法の施行。2021年の末に実施したBUSINESS LAWYERSのアンケート ¹ では、対応が順調に進んでいるとする回答が見られた一方、約8割方の企業では対応遅延や未対応という状況にあることがわかりました。

本稿では杉浦健二弁護士が、改正個人情報保護法が実務に与える影響について、対応事項リストも用いて概観したうえで、個人データの安全管理措置に新たに追加された「外的環境の把握」など、いくつかの注目すべきポイントについて解説します。

はじめに

　令和2年改正法と令和3年改正法は、いずれも令和4年4月1日に施行されることになっていますが ²、うち令和3年改正法は、主として行政機関や独立行政法人等を対象としたもので一般的な企業にとっては比較的影響が大きくないと思われます ³。そこで本稿では令和2年改正法の内容を中心に、実務上対応を要する事項について解説します。

まず行うべきなのは「個人情報」の正確な理解と「データマッピング」

　改正法対応を行うための大前提として、個人情報の定義を正確に理解しておく必要があります。この理解がずれると、適切な改正対応が行い得なくなるためです（改正法への対応以前に、現行法についても適切な対応ができていなかった可能性も生じます）。

　個人情報とは、ごく端的にいえば、生存する個人に関する情報であって、特定の個人を識別することができるすべての情報を指します（法2条1項1号）⁴。クッキーなど、それ単体では特定の個人を識別できないオンライン識別子であっても、氏名などの会員情報と紐づけられている場合（または容易に照合することができる場合）は、オンライン識別子を含む情報全体が個人情報に該当します。なお氏名に到達できることは個人情報の要件ではなく、顔画像などで特定の個人を識別できる場合も個人情報に該当する点には留意が必要です ⁵。

　次に自社における個人情報のデータマッピングを行います。個人情報のデータマッピングとは、個人情報の取得（収集）ルート、利用・保管方法（保管サーバの所在国や管理委託先を含む）、第三者に提供している場合は提供先の第三者などを明らかにし、いわば自社における個人情報をめぐる事実関係を「見える化」する作業です。データマッピングにより、適用法令を遵守できているか、改正法対応にあたって何を行うべきかを確認します。なおデータの取得や管理状況は随時変動するため、データマッピングは定期的に確認・更新することが肝要です。

改正個人情報保護法 対応事項リスト

　改正法について、日本国内の事業者（個人情報取扱事業者）が対応を要すると考える主なポイントをまとめたのが以下の表です。

【改正個人情報保護法 対応事項リスト】

※本表は改正法への主な対応事項のみをピックアップしたものであり、対応が必要となるすべての事項を網羅したものではありません。
なお改正法への対応のみならず、各ガイドラインやQ&Aの追加・改訂への対応も行う必要があります。

　データマッピングにより整理した自社の個人情報をめぐる事実関係にあわせて、この表を確認いただくことで、主要な対応事項をピックアップいただけるのではないかと考えます。紙幅の都合上、すべての項目について詳細に解説することはできませんが、今回は上記のなかからいくつかの注目すべきトピックを紹介します。

プライバシーポリシーの改訂

　プライバシーポリシー等において公表等が求められる事項が追加されました（表①、表②）。
　このうち、事業者の住所や法人代表者名は、プライバシーポリシー等から自社ウェブサイトの会社概要ページにおける記載にリンクを張る等の方法でも足り ⁶、また共同利用する場合における個人データの管理責任者の住所や法人代表者名（表④）についても、プライバシーポリシーに直接追記する方法のほか、当該情報が記載された会社概要ページへのリンクを張る方法でも足りると解されます ⁷。これらの事業者情報については、更新ずれの発生を防ぐ意味でも、会社概要ページへのリンクを張る方法が便宜といえそうです。

　また、令和3年改正法では、個人データの第三者提供を本人の同意を得ずに行える場合として、学術研究機関等に関する例外が追記されています（表⑤。法23条（27条）1項5号6号7号）。現在のプライバシーポリシー等において「個人情報保護法が例外として認める場合のほか、本人の同意を得ずに個人データを第三者に提供しません。」等と記載している場合はよいのですが、現行法（23条1項）における例外事由をそのままプライバシーポリシー等で転記している場合は、更新を検討する必要が生じます。令和3年改正法では、提供先の第三者が学術研究機関等にあたる場合、一定の要件を満たせば本人同意取得を要しないと条文上で定められており（法23条（27条）7号）、この改正事項は自社が学術研究機関等に該当しない場合でも影響が生じる点にも留意が必要でしょう。

　あわせて、短期保存データの廃止（表⑫）、開示等の対象となる保有個人データの範囲や開示方法（表⑪）についても、プライバシーポリシー等で現行法の条文をそのまま記載している場合は改訂が必要となります。保有個人データの利用停止や消去等の要件も緩和されたので（表⑪）、プライバシーポリシー等を改訂する必要があるでしょう。
　もちろんプライバシーポリシー等の形式的な改訂のみならず、社内の運用についても変更する必要があるため、担当部署における周知や社内規程の変更もあわせて実施する必要があります。

安全管理措置に追加された「外的環境の把握」

　改正法のなかでも特に影響が大きいと思われるのが、事業者に講ずべき義務が課せられている個人データの安全管理措置の内容について、ガイドラインで新たに「外的環境の把握」が追加され ⁸、かつ、外的環境の把握を含む保有個人データの安全管理措置について、本人の知り得る状態に置かなければならないと定められたことです（表②、表①。法27条（32条）1項、施行令8条（10条）1号）。
　外的環境の把握とは、「個人情報取扱事業者が、（1）外国において個人データを取り扱う場合、（2）当該外国の個人情報の保護に関する制度等を把握した上で、（3）個人データの安全管理のために必要かつ適切な措置」を講じることを指すとされています ⁹。
　（1）「外国において個人データを取り扱う場合」とは、たとえば以下の場合が該当します ¹⁰。

　上記のうち、特に注意を要するのが外国のクラウドサービスを利用している場合です。近年は多くの事業者が、外国事業者が提供するクラウドサービスを利用しているところ、Q&Aでは、この場合に事業者が果たすべき安全管理措置として「クラウドサービス提供事業者が所在する外国の名称」と「個人データが保存されるサーバが所在する外国の名称」のいずれについても明らかにし、当該外国の制度等を把握したうえで講じた措置の内容を本人の知り得る状態に置く必要があるとしています ¹¹。外国にある第三者に対して個人データを提供している場合（個人データの取扱いを委託している場合や共同利用している場合を含みます。法24条（28条））のみならず、外国のクラウドサービスを利用して個人データを保存しているすべての個人情報取扱事業者が対象となる点には留意を要します。

　（2）「当該外国の個人情報の保護に関する制度等」については、個人情報保護委員会が、令和4年1月24日付で、米国や中国、ロシアなどの31の国と地域における制度等の調査結果として「情報提供文書」を公表しましたので ¹²、こちらを参照することが便宜と考えられます。他方、これらの国と地域に含まれない外国の個人情報保護制度については事業者が自ら調査を要することになりますが、調査の範囲や程度については「情報提供文書」を参考とすればよいでしょう。

　以上を把握したうえで、（3）「個人データの安全管理のために必要かつ適切な措置」をとっていくことになりますが、EUまたは英国 ¹³ のほか、EUの十分性認定の取得国または地域 ¹⁴ やAPECのCBPRシステム ¹⁵ の参加エコノミー ¹⁶（民間部門）である場合、「情報提供文書」では個人情報の保護について「概ね我が国と同等の保護が期待できる」としていることに鑑みると ¹⁷、基本的には日本国内における安全管理措置と同等の措置を講じることで、個人情報保護法上の要請には応えられていると解してよいのではないかと考えます。
　他方、事業者に対し政府の情報収集活動への協力義務を課す制度（ガバメント・アクセス）など、本人の権利利益に重大な影響を及ぼす可能性のある制度が存する外国において個人データを取り扱う場合は、当該外国において個人データを取り扱う必要性や取り扱う個人データの内容等を踏まえた、相応の安全管理措置が求められるものと考えます ¹⁸。

　改正法では、以上の外的環境の把握を含めた保有個人データの安全管理措置を実施したうえで、本人の知り得る状態に置かなければならない旨が定められました（表①。法27条（32条）1項、施行令8条（10条）1号）¹⁹。もっとも、ここにいう本人の知り得る状態とは、本人の求めに応じて遅滞なく回答する場合を含むとされているため（法27条（32条）1項）、保有個人データの安全管理措置の概括的な内容のみをプライバシーポリシー等で公表し、具体的な内容については、本人の求めがあった場合に遅滞なく回答するといった対応も可能と考えます ²⁰。
　また保有個人データの安全管理措置のうち「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるもの」、たとえば営業秘密に係る事項など ²¹ については、プライバシーポリシー等で公表する義務や、本人の求めがあった場合に回答する義務を負わない点もあわせて押さえておきたいところです（施行令8条（10条）1号）²²。

　なお本稿では紙幅の都合で詳しく触れられませんが、EUまたは英国を除く外国にある第三者へ個人データを提供する場合、原則として①本人から同意を取得するか②提供先の第三者が規則において定められた基準適合体制を整備していることを要するところ、改正法では、これらの場合における本人への情報提供義務の充実等が図られています（改正の概要は表⑦に記載。法24条（28条）、規則11条の2（16条）、11条の3（17条）、11条の4（18条））。

二重オプトアウト規制によるビジネスモデルの転換

　個人データを含むデータベース等を取り扱っている事業者のなかには、他社（一次提供者）からオプトアウトに基づいて個人データの第三者提供を受けたうえで、自社の顧客に対してさらにオプトアウトを根拠として提供するビジネスを行っている企業もあるところ、改正法では新たに二重オプトアウトが禁止されたことにより（表⑧）、ビジネスモデルの見直しを余儀なくされている可能性もあります ²³。このような事業者が二重オプトアウト規制の適用を受けないようにするためには、たとえば一次提供者から自社が個人データの提供を受けるのではなく、一次提供者と自社の顧客間で直接個人データの提供を行うための場（プラットフォーム）を提供する立場に業態を変更すること等も考えられます。

個人情報を加工して仮名加工情報を作成する場合の利用目的

　改正法で新たに創設された仮名加工情報を活用することで、利用目的の変更の制限等が適用除外となるため（法35条の2（41条）9項、15条（17条）2項）、当初の個人情報取得時の利用目的以外の目的（内部分析のための利用など）での利用が可能となります。
　なお、自社が保有する個人情報を加工して仮名加工情報を作成したからといって、ただちに現在の利用目的とは異なる利用目的での利用ができるわけではなく、あくまで現在の利用目的を変更し、仮名加工情報の利用目的として公表したうえで、はじめて仮名加工情報を変更後の利用目的のもとで利用することができるようになる点には留意を要します ²⁴。
　自社が保有する個人情報をもとに作成した仮名加工情報を、当初の利用目的とは異なる利用目的で利用するための具体的な手続きの流れを以下に記載します。

自社が保有する個人情報を加工して作成した仮名加工情報について、当初の利用目的とは異なる利用目的で利用するための手続き

　変更後の利用目的を公表する際は、その利用目的が仮名加工情報に関するものであることを明確にする必要があります（Q&A Q14-15）。たとえばプライバシーポリシー等では、個人情報の利用目的にあわせて、仮名加工情報の利用目的を以下のように併記することが考えられます。

仮名加工情報に関する利用目的の記載例

おわりに（特定分野ガイドラインの改訂）

　本稿では、改正法が実務に与える影響を概観し、いくつかのポイントを解説しました。
　なお、個人情報保護法の改訂にあわせて、各特定分野のガイドライン ²⁶ も改正案が公表されていますので、自社のビジネスが関係する特定分野についてはあわせて参照しておく必要があります（「電気通信事業における個人情報保護に関するガイドライン及びその解説」²⁷、「放送受信者等の個人情報保護に関するガイドライン及び解説」²⁸、「『金融分野における個人情報保護に関するガイドライン』及び『金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針』」²⁹、「信用分野における個人情報保護に関するガイドライン」³⁰ など）。

　本稿が改正法対応実務に携わる皆様の一助となれるようでしたら幸いです。