改正個人情報保護法施行規則とガイドライン・Q&Aを解説

　個人情報保護法施行規則が令和5年12月27日に改正され、令和6年4月1日付で施行されました。この改正に伴い、ガイドライン通則編やQ&Aも改訂されています。

　今回の改正では、①不正目的をもって行われたおそれがある漏えい等発生時における個人情報保護委員会への報告と本人への通知、②安全管理措置、③保有個人データに関する事項の公表等の3点について、対象が拡大されました。
　これらは実務上の影響が大きいにもかかわらず、施行後も自社が受ける影響の内容を正確に認識できていない事業者が少なくないと思われます。本稿では本改正に合わせて新たに追加・更新されたQ&Aも交えて解説します。

凡例
　本稿における主な略称は以下のとおりです。

個人情報保護法施行規則およびガイドライン通則編の主な改正項目

　今回の個情法規則およびガイドライン通則編の主な改正項目は、以下のとおりです ¹。

「個人情報」と「個人データ」の違い

　個人情報保護法において、取扱いの対象が「個人情報」であるか「個人データ」であるかは大きな意味を持ちます。セミナー会場で来場者にアンケート用紙を配布する場面を想定すると、アンケート用紙に記入された氏名等を含む情報が「個人情報」（法2条1項）、アンケート用紙の記入情報をもとに作成したアンケートデータベース（スプレッドシート等）が「個人情報データベース等」（法16条1項）²、このデータベースを構成する個々のレコードが「個人データ」（法16条3項）に当たります ³。

「個人情報」「個人情報データベース等」「個人データ」の関係

　個人情報と個人データいずれについても、利用目的に関する規制は適用されるところ（法17条～21条）、個人データの場合は、第三者提供時に原則として本人同意取得を要し（法27条、28条）、一定の漏えい等発生時には報告等をする義務がある（法26条）のに対し、個人情報の場合は、これらの義務をいずれも負わないとされていました ⁴。

  改正個情法規則が施行される前の規制

※1　取扱いの委託に伴う場合や共同利用など、本人同意取得を要しない一定の例外があります。
※2　漏えい等のうち一定の場合に限って報告等を行う義務があります（3-1参照）。

漏えい等発生時の報告等義務に関する改正

漏えい等発生時に報告等を要する4つのケース

　個人情報保護法は、漏えい等が発生したあらゆる場合に報告等を要するとしているのではなく、漏えい等のうち次の4つのケースに限って、報告等を義務づけています（法26条）⁵。

　2024年3月末まで、報告等の義務対象となるのは、上記4つのケースにおける「個人データ」の漏えい等に限られていました。今回の個情法規則改正により、③不正の目的をもって行われたおそれがある漏えい等については、個人データの漏えい等のみならず、「当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）」の漏えい等も、報告等の義務対象に含まれることになりました（改正個情法規則7条3号）。

　具体的には、改正個情法規則7条3号において、次の①から④までの情報が、漏えい等発生時における報告等の対象となります（Q&A6-1（令和6年3月追加）⁶）。改正によって新たに対象として追加されたのは②③④です。

改正個情法規則7条3号における「個人データ」の意義（Q&A6-1）

　先ほどの例でいうと、データベース化が予定されているアンケート用紙は、②個人情報取扱事業者が取り扱う個人情報（個人データとして取り扱われることが予定されているもの）に当たります。したがって、アンケート用紙について不正目的をもって行われたおそれがある漏えい等（盗難されたおそれがあるなど）が生じた場合は、報告等を行う義務が生じます。

不正行為による漏えい等発生時における報告対象が拡大

報告等の義務が生じる具体的なケース

　このたびの個情法規則改正は、ウェブスキミング対策が念頭に置かれたものです ⁷。ウェブスキミングとは、ECサイトなどに不正プログラムを設置することで、ユーザーが入力フォーム等に入力したパスワードやクレジットカード情報などを盗み出す攻撃手法のことを指します。ウェブスキミングの場合、ユーザーが入力した情報が、ECサイト事業者のサーバを介さず、攻撃者に直接に窃取されるので、「個人データ」になる前の「個人情報」が窃取されていることになります。

ウェブスキミングとは

　改正前の個情法規則では、「個人データ」の漏えい等のみを報告等の対象としていたため、ウェブスキミングによる被害が発生したとしても、ECサイト事業者は報告等をする義務がありませんでした。ウェブスキミングについても報告等の対象とするためには、ECサイト事業者のサーバに入って個人データとなる前の段階である、入力フォームから入力された情報（個人情報）の漏えい等まで、対象を拡大する必要があり、このような経緯で今回の個情法規則改正が行われました。

報告等の義務が生じるケースと生じないケース

　令和6年3月に追加または更新されたQ&Aでは、報告等の義務が生じるケースと生じないケースについて以下のように記載されています。

　まず、正規のウェブサイトに偽装したウェブサイト（偽装ウェブサイト）に本人がIDやパスワード等を入力した場合について、正規のウェブサイトや正規の事業者が送信したメール等を経由せずに、偽装ウェブサイトにアクセスしてIDやパスワード等を入力した場合（正規のウェブサイトやメール内リンクを経由せずに、検索サイト等で表示されたフィッシングサイトに本人が直接個人情報を入力したような場合）は、攻撃者が偽装ウェブサイトを設置した行為は「当該個人情報取扱事業者に対する行為」（改正個情法規則7条3号）に該当するものではないため、報告等の対象にならないとされています（Q&A6-7（令和6年3月追加）参照）。

　次に、偽装ウェブサイトに本人が入力したIDやパスワード等を利用して、第三者が本人になりすまして、正規のウェブサイトにログインした場合は、個別の事案ごとに判断されますが、一般的には、「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ…の漏えい等が発生し、又は発生したおそれがある事態」（改正個情法規則7条3号）が生じたものとして、正規のウェブサイトを運営する個人情報取扱事業者において報告等を行う義務が生じます（Q&A6-8（令和6年3月更新））。

委託先等の第三者に対する不正アクセス等によって生じた漏えい等も報告等の対象となる

　改正個情法規則7条3号は「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」であることを要件としています。この不正行為の相手方となる「当該個人情報取扱事業者」の範囲は広く、第三者に個人データの取扱いを委託している場合における当該第三者（委託先）や、当該個人情報取扱事業者が個人データを取り扱うにあたって第三者の提供するサービスを利用している場合における当該第三者も含まれます（ガイドライン通則編3-5-3-1 (3)）⁸。これらの第三者に対する不正アクセス等によって漏えい等が発生した場合には、報告等をする義務が生じる可能性があることを理解しておく必要があります。

　Q&A6-16（令和6年3月追加）では、具体的にどのような者が当該第三者に当たるかについて列挙されていますので、以下にその一部を引用します。

改正個情法規則7条3号における「当該個人情報取扱事業者」に含まれる第三者の例

クラウドサービス事業者による代行報告

　個人データの取扱いの委託（法27条5項1号）がなされている場合において、委託先において報告の対象となる漏えい等が発生した場合、原則として委託元と委託先の双方が報告する義務を負い、委託元および委託先の連名で報告することができます。委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除されます（ガイドライン通則編3-5-3-2。ガイドライン3-5-3-5（委託元への通知による例外）も参照）。

　これに対し、クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合、すなわち個人データの取扱いの委託をしていない場合において、報告対象となる漏えい等が発生した場合は、クラウドサービスを利用する事業者が報告義務を負い、クラウドサービス提供事業者は報告義務を負いません。
　もっとも、クラウドサービスを利用する事業者が多数にわたる場合は、クラウドサービス提供事業者において報告を行ったことが便宜であることから、令和5年12月25日付で更新されたQ&A6-22では、クラウドサービスを利用する事業者が、自らが負う報告義務に基づく報告を、クラウドサービス提供事業者に代行させることができる旨が明確化され、報告書の記入例も公表されました ⁹。

安全管理措置の対象に関する改正

　今回のガイドライン通則編改正においては、個人情報取扱事業者が講ずべき安全管理措置についても、事業者が個人データとして取り扱うことを予定している個人情報（個人情報取扱事業者が取得し、または取得しようとしている個人情報）の漏えい等を防止するために必要かつ適切な措置が含まれる点が明確化されました。

安全管理措置

　なお個人情報保護委員会は、ガイドライン通則編の上記改正について、「「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれます。本ガイドライン案の御指摘の箇所は、このような従前からの解釈を明確化したものです」（パブコメ29等）としていますが、少なくとも従前のガイドライン通則編においては、そのような解釈についての言及はなされていませんでした。今回の改正により、個情法に基づく安全管理措置の対象は実質的に拡大されたものと理解されます。

保有個人データに関する事項の公表等に関する改正

　保有個人データの安全管理措置については、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならないところ（法32条1項4号）、今回のガイドライン改正により、「保有個人データ」の安全管理措置のみならず、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が保有個人データとして取り扱うことを予定しているもの」の漏えい等を防止するために講じた措置も含まれることになりました（ガイドライン通則編3-8-1）。

事業者における実務対応

　以上の改正を踏まえた主な実務対応としては、プライバシーポリシーや社内規程（個人情報保護管理規程）の改訂、個人データの取扱いの委託を含む業務委託契約書の修正等が挙げられます。

プライバシーポリシーの改訂

　プライバシーポリシーにおいて保有個人データの安全管理措置を公表している場合は、保有個人データに加えて、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が保有個人データとして取り扱うことを予定しているもの」の安全管理措置（たとえばウェブスキミング対策を講じていること等）についても、加筆したうえで公表する方針が考えられます。

　保有個人データに関する事項の公表等は、本人の求めに応じて遅滞なく回答する場合を含むため（法32条1項）、プライバシーポリシーにこのような加筆を行うことは法的な義務とまではいえませんが、加筆によって個情法規則やガイドラインの改正をキャッチアップしており、適切に対応をしているというスタンスを対外的に示しておくことが、企業にとっては有益といえます。

社内規程（個人情報保護管理規程）の改訂

　社内規程（個人情報保護管理規程）においては、安全管理措置の対象が、個人データのみならず「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」が含まれる旨や、社内報告の対象となる漏えい等の事態が拡大された旨を明記するほか、十分な社内周知を行うことも重要となります ¹⁰。

業務委託契約書の修正

　個人データの取扱いの委託を含む業務委託契約書においては、受託者において報告対象となる事態が発生した場合に、受託者が委託者に対して通知義務を負う範囲を、改正個情法規則7条3号に合わせて修正しておく必要等があるでしょう。