「個人情報保護法」（正式名称「個人情報の保護に関する法律」）が改正され、2022年4月に施行されました。

前回の「個人情報保護法」の改正について（1）に続き、新たな改正ポイントをみていくことにしましょう。

 

改正のポイントは、大きく分けて６つです。

※https://www.ppc.go.jp/files/pdf/200612_gaiyou.pdf

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律（概要）」より引用。

• 個人の権利の在り方
• 事業者の守るべき責務の在り方
• 事業者による自主的な取組を促す仕組みの在り方
• データ利活用に関する施策の在り方
• ペナルティの在り方
• 法の域外適用・越境移転の在り方

 

今回は個人情報を取り扱う事業者に焦点をあて、2．事業者の守るべき責務の在り方、3．事業者による自主的な取組を促す仕組みの在り方、また、5．ペナルティの在り方について詳しくみていきたいと思います。

 

 

改正ポイント2「事業者の守るべき責務の在り方」について

個人（本人）の権利の在り方が手厚くなったことに対して、事業者については個人情報を取り扱う責務がより重くなりました。

では、具体的にどう変わったのかをみていきましょう。

 

• 漏えい等が発生した時の報告や通知が義務化された！

個人情報の漏えい等が発生したとき、事業者は通常、個人情報委員会に報告、かつ、本人にその旨通知しなければなりません。

このような報告や通知は、これまでにも行われてきました。

では、一体どこが変わったのでしょうか。

それは、これまで報告等をすることが「努力義務」であったことに対し、これからは「義務」となった点です。

誤解を恐れずに言い換えるなら、「なるべく通知しなさい」から「必ず通知しなさい」に変化したということです。

 

また、個人情報委員会への報告も二段階に分けて行うことになりました。

一段階目は「速報」として、漏えい等の事態を知ってからおよそ3～5日以内に、その時点で把握している内容を報告しなければなりません。

そして、二段階目に「確報」として、漏えい等の事態を知ってからおよそ30日以内（不正の目的によるおそれがある場合は60日以内）にすべての報告を終えなければなりません（例外あり）。

 

• 個人情報の「適正な取得」義務に加えて「不適正な利用」が禁止された！

改正前までは、個人情報を適正に取得することのみが、法定化されていました。

改正後は、更に、個人情報の不適正利用を禁止することが付け加えられました。

では、不適正な利用とはどのようなケースが想定されるでしょうか？

例えば、性別、国籍等の個人情報を、差別的取扱いを行うために、採用選考を通じて利用することなどがあげられます。

また、暴力団員からの暴力的要求行為を防止するために、責任者の名簿等をみだりに開示することも不適正利用の一例です。

今回の改正により、上記のような不適正な利用はすべて禁止の対象となりました。

 

改正ポイント3「事業者による自主的な取組を促す仕組みの在り方」について

・企業の特定部門単位を対象とした個人情報保護団体の設置が可能となった！

これまでは、「企業単位」を対象に認定個人情報保護団体が機能していました。

言い換えるなら、とある会社の個人情報に関する苦情について、その会社のすべての部門において認定個人情報保護団体は対応しなければなりませんでした。

しかし、昨今のIT技術の進展や業務の多様化に伴い、全部門をまとめて対象とするのではなく、「企業の特定部門」のみを対象に個人情報保護団体を認定することができるようになりました。

例えば、とある会社の広報部門のみを対象に団体を認定することが可能となりました。

結果、専門性が高く、より上質な個人情報保護対策がとれることとなりました。

 

改正ポイント5「ペナルティの在り方」について

このポイントをみるにあたって、少し話は飛びますが、「ウ・ヨンウ弁護士は天才肌」という韓国ドラマの内容について少し触れたいと思います。

このドラマは自閉症の弁護士が奮闘するとても面白い内容のドラマですが、その15話に、ハッカーにより大手企業の取り扱う個人情報が漏えいするといった事件が描かれていました。

興味深いのは、その時に放送通信委員会から当該大手企業に課された課徴金が3000億ウォンという大金だったことです。

あくまでドラマの内容であり、現実とは別で考える必要がありますが（現に、ドラマ内で「情報通信網法」が改正されたとありますが、実際は、韓国では「情報通信網法」に規定された個人情報保護に関する事項は「個人情報保護法」に一本化されています）、昨今の個人情報保護に対する意識の高さが反映された場面であるといえます。

少し話がそれましたが、日本でも同じような動きがみてとれます。

ここからは事業者に対する実際の罰則規定をみていきましょう。

 

・罰則の法定刑が引き上げられた！

タイトル通り、事業者に対するペナルティは改正により引き上げられました。

例えば、個人情報保護委員会に対する命令違反を行った場合、旧法では、６月以下の懲役又は３０万円以下の罰金であったのに対し、新法では、１年以下の懲役又は100万円以下の罰金が科せられることになりました。

また、虚偽報告等を行った場合、旧法では、３０万円以下の罰金でしたが、新法では、５０万円以下の罰金に引き上げられています。

法人に対する罰金の上限額は、もともと違反行為者と同じ上限額でしたが、改正後は、1億円以下の罰金となりました。

このように、法定刑はぐんと引き上げられ、法人に至っては、違反行為者よりも罰金刑の最高額を更に引き上げられることとなりました