何が変わったか
2022年4月1日から全面施行されています
2020年6月12日に「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。個人情報保護委員会は、改正法の施行日を2022年4月1日としています。個人データを第三者に提供しようとする際の経過措置は、2021年10月1日から施行されています。改正後の義務は、個人情報を扱う事業者に規模を問わずかかります。
漏えい等の報告と本人への通知
改正により、一定の漏えい等が起きたときは、個人情報保護委員会への報告と本人への通知が義務になりました。委員会の資料は、報告が必要な場合として次の事態を挙げています。いずれも、漏えい等のおそれがある場合を含みます。
- 要配慮個人情報が含まれる個人データの漏えい等
- 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
- 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
- 個人データに係る本人の数が1,000人を超える漏えい等
資料では、従業員の健康診断等の結果を含む個人データの漏えいが、要配慮個人情報の例として示されています。
漏えい等の報告と本人への通知
報告の期限と報告先
報告は速報と確報の2段階で、速報は発覚後速やかに（概ね3〜5日以内）、確報は発覚日から30日以内（不正な目的で行われたおそれがある場合は60日以内）です。
報告先は、原則として個人情報保護委員会です。事業所管大臣に報告の権限が委任されている分野の事業者は、委任先の府省庁等に報告します。委任先は毎年更新されるため、報告前に最新の報告先を確かめるよう資料は求めています。2025年10月1日以降は、ランサムウェア事案について共通様式で報告することもできます。
本人の権利と第三者提供に関する改正
漏えい等のほかにも、次の点が改められています。
- 個人情報の不適正な利用の禁止
- 保有個人データの開示方法の拡充（電磁的記録での開示請求）
- 第三者提供記録の開示請求
- 個人関連情報（Cookie等）を第三者に提供し、提供先で個人データになる場合の本人同意の確認
罰則の引上げ
法定刑の引上げは、全面施行より早く、2020年12月12日から施行されています。委員会の比較表によると、個人情報データベース等の不正提供等では、法人等の罰金が50万円以下から1億円以下になりました。委員会からの命令への違反では、法人等の罰金が30万円以下から1億円以下になりました。
会社が備えること
会社が確認・対応すること
- 漏えい等に気づいたとき、報告の要否を誰が判断し、誰が委員会と本人に連絡するかを社内規程で決めます。
- 自社の業種が権限委任の分野に当たるかと、その報告先を確かめます。
- 開示請求の手順が、電磁的記録での開示や第三者提供記録の開示の請求に応じられる形になっているかを見直します。
- Cookie等を外部に渡すツールを使う場合は、提供先で個人データになるかと、本人同意の確認の方法を点検します。
個人データになるかと、本人同意の確認
注意点
資料は、クレジットカード番号の下4桁と有効期限の組合せだけの漏えいは、直ちには報告対象の事態に当たらないとしています。一方、漏えいした個人データが自社の雇用管理情報や株主情報に含まれる場合は、権限委任の業種でも委員会に報告する必要があると留意を促しています。データの管理については、営業秘密とデータの保護が広がりました ── 改正不正競争防止法（2024年4月から）も参照してください。