個人情報保護法（こじんじょうほうほごほう）

個人情報保護法（こじんじょうほうほごほう）とは、個人に関する情報を扱う事業者が守るべき決まりを定めた日本の法律のことです。正式には「個人情報の保護に関する法律」といい、集め方から使い方、保管、第三者への提供までを幅広く対象にしています。

現実世界に例えると、個人情報保護法は預かり物の扱いを定めた決まりのようなものです。預かった品物を勝手に使ったり、断りなく他人へ渡したりはできません。何のために預かるのかを先に伝えておくことが、そもそもの出発点になります。

個人情報保護法図解

※画像をクリックすると拡大表示します。

まず押さえておくべき点です。かつては扱う件数が少なければ対象外でしたが、2017年の改正でその線引きがなくなり、一件でも扱えば対象になりました。小さな事業者や個人で活動している場合も例外ではなく、顧客名簿を持つ時点で義務が生じます。

この法律の背骨にあたる考え方です。何のために使うのかをあらかじめ定め、本人に伝えるか公表しておかなければなりません。そして、伝えた範囲を超えて使うことは原則としてできません。「今後のサービス向上のため」といった漠然とした書き方では足りない、とされています。

実務でつまずきやすい部分です。取得した情報を他社へ渡す場合は、原則として本人の同意が必要で、いつ誰に渡したかの記録を残す義務もあります。ただし、業務を委託する先へ渡す場合や、法令にもとづく場合など、同意が不要とされる例外も定められています。

近年強化された点です。本人は、自分の情報の開示、訂正、利用の停止、そして削除を求めることができ、事業者はこれに応じる義務を負います。求めがあってから慌てないよう、どこに何を保管しているかを日ごろから把握しておく必要があります。

2022年の改正で加わった重い義務です。一定の規模や内容の漏えいが起きた場合、個人情報保護委員会への報告と、本人への通知が義務付けられました。速報と確報の二段階で期限も定められており、気付いてから何をするかを手順として決めておくことが求められます。

求められるのは技術だけではありません。担当者を定める、規程を作る、教育を行うといった組織面の措置と、アクセス権の制限や暗号化といった技術面の措置の両方が必要です。委託先が適切に扱っているかを監督する責任も、委託した側に残ります。

付き合い方として知っておくべきことです。この法律は三年ごとに内容を見直す決まりになっており、技術や社会の変化に合わせて改正が重ねられています。一度整えた体制をそのままにせず、改正のたびに自社の運用を確かめ直す姿勢が欠かせません。