すべての企業に個人情報保護法が適用されます　～平成29年5月30日から～

　個人情報保護法は事業者の個人情報の取扱いのルールを定めた法律です。

　これまで、保有する個人情報が5,000人以下の企業は適用が除外されていましたが、一昨年（平成２７年）９月の法改正により、今年（平成２９年）５月３０日から、すべての企業が対象となります。
今後はすべての事業者に個人情報保護法のルールに沿った個人情報の取扱いが求められます。

（１）個人情報とは？

　生存する個人についての情報で「ある特定の人物」を識別できる情報を指します。
例えば、「氏名・住所・生年月日」「顔写真」「顔認識データ」「指紋認識データ」「マイナンバー」「パスポートや免許証の番号」「基礎年金番号」などが該当します。

（２）対象となる企業（事業者）は？

　個人情報を名簿化するなどして事業活動に利用している企業はすべて対象となります。
事業者の営利・非営利の区別はありません。企業以外の個人事業主やＮＰＯ法人、自治会、同窓会等も該当する可能性があります。

（３）法規制の内容は？

　次の基本的な４つのルールがあり、罰則も定められています。

①取得、利用のルール
・利用目的を特定して、その範囲で利用する。
・利用目的を通知または公表する。

②保管のルール
・漏えいなどが生じないよう、安全に管理する。
・従業者、委託先にも安全管理を徹底する。

③提供のルール
・第三者に提供するときは、あらかじめ本人に同意を得る。
・第三者に提供した場合、第三者に提供を受けた場合は、一定の事項を記録する。

④開示請求等への対応のルール
・本人から開示の請求があったときは対応する。
・苦情等に適切、迅速に対応する。

（４）罰則の内容は？

　事業者の法順守の状況は、「個人情報保護委員会」が監督します。同委員会は必要に応じて報告を求めたり、立ち入り検査を行い、実態に応じて指導・助言、勧告、命令を行います。罰則の内容は次のとおりです。

①国の命令に違反…６ケ月以下の懲役または３０万円以下の罰金

②虚偽の報告…３０万円以下の罰金

③従業員が不正な利益を図る目的で個人情報のデータベースを盗用または提供…１年の懲役または５０万円以下の罰金（法人にも罰金）

（５）実務上の対応は？

　個人情報保護委員会が作成した中小企業、小規模事業者向けのパンフレットでは、5つの基本チェックリストとその解説をまとめています。以下、抜粋してご紹介します。

①個人情報を取得する時は利用目的を伝える

　あらかじめ利用目的を本人に伝えるか、ホームページや店頭での掲示などで公表します。ただ、配送伝票に送付先を記入するなど、利用目的が明らかなときは不要です。

②取得した個人情報は目的外に利用しない

　例えば商品を配送するためだけに取得した住所情報を自社商品の宣伝に使うことはできません。すでに取得した情報を目的外のことに利用したいときは、あらかじめ本人の同意を得る必要があります。

※以下③～⑤は、個人情報を検索できるようにまとめた（データベース化した）場合のルールです。

③取得した個人情報は安全に管理する

・電子ファイルであればパスワードを設定する、ウイルス対策ソフトを入れる、紙媒体は施錠できるところに保管する、など、「技術的」「物理的」な安全管理措置を実施します。

・社員等が会社の保管する個人情報を私的に使用したり、漏えいすることのないよう社員教育を行うなど、「人的」「組織的」な安全管理措置を実施します。

④個人情報を他人を渡すときは本人の同意を得る

・下記の場合等をのぞき、本人の同意が必要です。

◎警察からの照会など「法令に基づく場合」
◎災害時など「人命にかかわる場合で本人から同意を得るのが困難な場合」
◎商品配達のため配送業者に配送先リストを渡すなど「業務を委託する場合」

⑤本人からの「個人情報の開示請求」に応じる

・会社が保有する個人情報について本人から「開示」や「訂正」等を請求されたら、対応する必要があります。
・照会に対応できるよう、個人情報の利用目的を明確にしておきましょう。

（６）ガイドラインやＱ＆Ａの活用

　実務対応の詳細は、個人情報保護委員会が各種の説明資料やガイドライン、Ｑ＆Ａを公開しています。
同委員会のウェブサイトに中小企業・小規模事業者を想定したサポートページ（「中小企業サポートページ（個人情報保護法）」）が用意されており、参考資料がまとめられています。

「中小企業サポートページ（個人情報保護法）」
https://www.ppc.go.jp/personal/chusho_support/

　たとえば今回の改正では、トレーサビリティの確保のため、「個人情報を第三者に提供する際」と「第三者から提供を受ける際」の確認・記録が義務付けられました。
「ガイドライン（第三者提供時の確認・記録義務編）」とそのＱ＆Ａで具体的な事例別にどう対応すべきか、Ｑ＆Ａ等で紹介されています。
第三者との個人情報のやり取りであっても、確認・記録義務の対象外となるケース等も多く紹介されています。