中小事業者・団体向け 　　個人情報保護法説明会 　～個人情報の取扱についてのルール・制度に関する説明～

Transcription

1 中小事業者 団体向け 個人情報保護法説明会 ~ 個人情報の取扱についてのルール 制度に関する説明 ~ 弁護士秋山一弘 1

2 はじめに 平成 27 年 9 月個人情報保護法 ( 以下 法 という ) の改正公布の日 ( 平成 27 年 9 月 9 日 ) から2 年以内の政令で定める日 平成 29 年 5 月 30 日全面施行 個人情報取扱事業者顧客や従業員の個人情報 ( 氏名 住所 電話番号等 ) を紙面やパソコンで名簿化して事業に活用しているすべての事業者に適用される 法人 個人 営利 非営利を問わず (NPO 法人や自治会 PTAなども ) * 改正前は取り扱う個人情報の数が5000 人分以下の事業者は規制の対象外であった 2

3 特例的対応と適用除外 特例的対応小規模の事業者における安全管理措置については事業活動が円滑に行われるよう配慮 * 従業員数が100 人以下の事業者 ( ただし 取り扱う個人情報の数が5000 人分超の事業者や委託に基づいて個人データを取り扱う事業者は除く ) 適用除外 1 放送機関 新聞社 通信社その他の報道機関 報道の用に供する目的 2 著述を業として行う者 著述の用に供する目的 3 大学その他の学術研究を目的とする機関等 その所属者 学術研究の用に供する目的 4 宗教団体 宗教活動の用に供する目的 5 政治団体 政治活動の用に供する目的 3

4 第 1 法の目的と用語の意味 4

5 法の目的 1 高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み 2 個人情報の適正な取扱いに関し 基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め 3 国及び地方公共団体の責務等を明らかにするとともに 4 個人情報を取り扱う事業者の遵守すべき義務等を定めることにより 5 個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ 個人の権利利益を保護することを目的とする 5

6 個人情報とは 生存する個人に関する情報で 次のいずれかに該当するもの 1 当該情報に含まれる氏名 生年月日その他の記述等で作られる記録により特定の個人を識別することができるもの ( 他の情報と容易に照合することができ それにより特定の個人を識別することができることとなるものを含む ) 2 個人識別符号が含まれるもの 死者に関する情報は原則として対象とならない 氏名 住所 生年月日 顔写真 指紋認識データ マイナンバー 旅券番号 免許証番号 個人の身体的特徴を変換したもの等も個人情報 6

7 個人識別符号とは 以下のいずれかに該当するものであり 政令 規則で個別に指定される 1 身体の一部の特徴を電子計算機のために変換した符号 DNA 顔 虹彩 声紋 歩行の態様 手指の静脈 指紋 掌紋 2サービス利用や書類において対象者ごとに割り振られる符号 公的な番号例 ) 旅券番号 基礎年金番号 免許証番号 住民票コード マイナンバー等 7

8 要配慮個人情報とは 人種 信条 社会的身分 病歴 前科 前歴 犯罪被害情報など不当な差別 偏見等を生じるおそれのあるもの具体例 ) 身体障害 知的障害 精神障害等があること 健康診断その他の検査の結果 保健指導 診療 調剤情報 本人を被疑者又は被告人として 逮捕 捜索等の刑事事件に関する手続が行われたこと 本人を非行少年等として 保護処分等の少年の保護事件に関する手続が行われたこと * 取得については事前に本人の同意を得ることが必要 * オプトアウト手続きが取れない 8

9 個人情報データベース等と個人データとは 個人情報データベース等特定の個人情報について コンピュータ等を用いて検索することができるように体系的に構成した個人情報を含む情報の集合物のことで コンピュータを用いていない場合でも紙面で処理した個人情報を一定の規則 ( 例 : 五十音順 ) に従って整理 分類し 特定の個人情報を容易に検索することができるよう目次 索引 符号等を付し 容易に検索可能な状態にしているものも含む 個人データ 個人情報データベース等 を構成する個人情報 9

10 保有個人データとは 個人情報取扱事業者が 本人又はその代理人から求められる開示 内容の訂正等の全てに応じることができる権限を有する個人データただし 以下のいずれか及び6か月以内に消去 ( 更新することは除く ) するものは除く 1 本人又は第三者の生命 身体又は財産に危害が及ぶおそれがあるもの 2 違法又は不当な行為を助長し 又は誘発するおそれがあるもの 3 国の安全が害されるおそれ 他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの 4 犯罪の予防 鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの 10

11 第 2 全ての事業者の義務 11

12 個人情報取扱事業者の義務 1 利用目的の特定 ( 法 15 条 ) できる限りの特定と利用目的を変更する場合 ( 関連性があると合理的に認められる範囲 ) 利用目的による制限 ( 法 16 条 ) 利用目的の達成に必要な範囲の取扱と例外事由 適正な取得 ( 法 17 条 ) 偽りその他不正な手段による取得の禁止と要配慮情報の取得には同意が必要 取得に際しての利用目的の通知等 ( 法 18 条 ) 利用目的の公表又は通知 ( 変更があった場合も ) * 取得の際に目的が明らかな場合は通知等をしなくても 12

13 基本的な例外事由 1 法令に基づく場合 2 人の生命 身体又は財産の保護のために必要がある場合であって 本人の同意を得ることが困難であるとき 3 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって 本人の同意を得ることが困難であるとき 4 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって 本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき 13

14 個人情報取扱事業者の義務 2 データ内容の正確性の確保 ( 法 19 条 ) 個人データの正確かつ最新の内容保持と消去の努力義務 安全管理措置 ( 法 20 条 ) 個人データの漏えい 滅失又はき損の防止と必要かつ適切な安全管理措置 従業者の監督 ( 法 21 条 ) 従業者に対する必要かつ適切な監督 委託先の監督 ( 法 22 条 ) 委託を受けた者に対する必要かつ適切な監督 14

15 個人情報取扱事業者の義務 3 第三者提供の制限 ( 法 23 条 ) 以下のいずれかの場合以外は 本人の同意なしに個人データを第三者に対して提供してはいけない 1 法令に基づく場合 2 人の生命 身体又は財産の保護のために必要がある場合であって 本人の同意を得ることが困難であるとき 3 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって 本人の同意を得ることが困難であるとき 4 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって 本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき * 但し 委託 事業承継 共同利用に伴って提供する場合は 第三者への提供に当たらない 15

16 オプトアウト手続 本人の同意を得ない場合の第三者に対しての提供 ( 社内の部署間は提供でない ) 以下の手続が必要 1 本人の求めに応じて その本人のデータの提供を停止することとする 2 以下の1から5をホームページに掲載するなど 本人が容易に知ることができる状態にしておく 1 第三者提供を利用目的としていること 2 提供される個人データの項目 3 提供の方法 4 本人の求めに応じて提供を停止すること 5 本人の求めを受け付ける方法 3 本人に通知した事項を個人情報保護委員会に届け出る * 但し 要配慮個人情報については オプトアウト手続による提供は禁止 16

17 個人情報取扱事業者の義務 4 第三者提供に係る記録の作成等 ( 法 25 条 ) 第三者へ提供したときは 受領者の氏名等を記録し一定期間保存 保存期間は原則 3 年 ( 本人に対する物品等の提供に関連して本人同意のもとで提供した場合は1 年 ) 本人との契約等に基づく提供については既存の契約書等で代替可能 反復継続して提供する場合は包括的な記録で足りる 17

18 個人情報取扱事業者の義務 5 第三者提供を受ける際の確認等 ( 法 26 条 ) 第三者から個人データを受け取るときは 提供者の氏名等 取得経緯を確認し 受領年月日 確認した事項等を記録し 一定期間保存する * 次のようなケースでは確認 記録義務がかからないと整理 本人による提供と整理できるケース( 例 :SNS 上の個人のプロフィール ) 本人に代わって提供と整理できるケース( 例 : 銀行振込 ) 本人側への提供と整理できるケース( 例 : 同席している家族 ) * 名簿屋対策第三者提供時の記録等 第三者から受領時の確認 記録等 違法に取得した思われる名簿は取得しない 18

19 個人情報取扱事業者の義務 6 外国にある第三者への提供の制限 ( 法 24 条 ) 以下のいずれかに該当する必要 1 外国第三者へ提供することについて本人の同意を得る 2 外国第三者が個人情報保護委員会の規則で定める基準に適合する体制を整備している 3 外国にある第三者が個人情報保護委員会が認めた国に所在する *2の 適合する体制 について 提供を受ける者における個人データの取扱いについて 適切かつ合理的な方法により 個人情報保護法の趣旨に沿った措置の実施が確保されていること 個人データの提供を受ける者が 個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること 19

20 個人情報取扱事業者の義務 7 保有個人データに関する事項の公表等 ( 法 27 条 ) 開示 ( 法 28 条 ) 本人に請求権あり 訂正等 ( 法 29 条 ) 訂正の他に 追加又は削除 利用停止等 ( 法 30 条 ) 法 16 条 法 17 条に違反するとき 理由の説明 ( 法 31 条 ) 努力義務 開示等の請求に応じる手続き ( 法 32 条 ) 手数料 ( 法 33 条 ) 開示の他に 求められての利用目的の通知に関するものも 事前の請求訴えを提起する前に必要な請求 * 個人情報取扱事業者による苦情の処理 ( 法 35 条 ) 適切かつ迅速な処理 20

21 第 3 個人情報流出に関する事例 21

22 個人情報流出に関する事例 1 盗難 個人情報が保存されているノート型パソコンの盗難 個人情報が記録されたデスクトップ一体型パソコンの盗難 ノ-ト型パソコンが車上荒らしにより盗まれた 保管期間が経過して廃棄予定になっていた書類の盗難 紛失 個人情報が記載された書類の紛失 個人情報が含まれたUSBメモリの紛失( 会社内 出張中など ) 業務用携帯電話の紛失 退職者による情報の紛失 22

23 個人情報流出に関する事例 2 置き忘れ コンビニエンスストアにUSBメモリが入ったケースを置き忘れ 電車内にノートパソコンを置き忘れ 通信手段関係 個人情報が含まれているファイル( 複数の操作を行うことで個人情報の閲覧が可能となるもの ) がインターネットを経由しアクセス可能な状態であった メールにて利用手続きの変更のお知らせを一斉配信した際 登録されている者全てへ BC Cで配信すべきところを誤って 送信先に登録者のメールアドレスや登録児童の氏名が表示される状態で送信 FAX 又はメールにより誤送信 23

24 個人情報流出に関する事例 3 委託業者関係 廃棄業者の手違いにより資源ゴミに混入されてしまい 運搬途中に公道でその一部が飛散 保管期限の過ぎた書類を焼却処分するため委託業者車両にて運搬中に車外に飛散 その他 個人情報が含まれた資料を用いてプレゼンテーションを行った 委託している警備業務において 社員と偽った男性に対し 他の社員の氏名を知らせた 飲食店等での会話 24

25 重大な個人情報流出事故 日本年金機構職員の端末に対する外部からのウイルスメール ( 添付ファイルの開封 ) による不正アクセスにより 保有している約 125 万件の個人情報の一部が外部に流出した事故 ベネッセ業務委託先元社員がお客様情報をデータベースから不正に取得し 約 3504 万件分の個人情報を名簿業者 3 社へ売却していた事故 三菱 UFJ 証券システム部元社員が 個人のお客様情報を不正に取得し 4 万 9159 人 ( ただし 不正取得した情報は148 万 6651 人分 ) の個人情報を名簿業者へ売却した事故 25

26 第 4 取扱の基本的なルール 26

27 各段階でのルール作り 取得 利用するときのルール利用目的の特定 その通知 適正な取得 目的外利用の原則禁止など 保管するときのルール 4 種類の安全管理措置 ( 小規模の事業者については特例的対応 ) 他人に渡すときのルール原則として本人の同意を得る 例外事由該当性の確認 開示等を求められたときのルール開示や訂正等の請求を断らないこと 手数料など 27

28 安全管理措置 1 組織的安全管理措置責任者 担当者の明確化 規程等の策定 運用 評価 見直し 事故 違反への対処など 人的安全管理措置個人情報保護に関する契約 誓約等 従業員への周知 教育等など 物理的安全管理措置入退室の管理 盗難の防止など 技術的安全管理措置アクセス制御 アクセス権限の管理 アクセスの記録 ウィルス対策ソフトを導入など 28

29 安全管理措置 2 具体的には 1 資料や外部記憶媒体の管理について 私物等の使用禁止 資料等の持ち帰り禁止 鍵のついた書庫等での保管 ( 鍵の管理も ) 2 帳票類 電子データ 社員証の管理について 放置の禁止や施錠保管等 3 サーバや端末等の管理について 窃視の防止やワイヤーロックによる固定 入退室管理 ラックの施錠管理 29

30 第 5 匿名加工情報 30

31 匿名加工情報 1 匿名加工情報とは次に掲げる区分 措置に応じて 特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報で 当該個人情報を復元できないようにしたもの 1 個人識別符号以外の個人情報当該個人情報に含まれる記述等の一部を削除すること ( 当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む ) 2 個人識別符号当該個人情報に含まれる個人識別符号の全部を削除すること ( 当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む ) 31

32 匿名加工情報 2 匿名加工情報取扱事業者の義務 匿名加工情報の作成等 ( 法 36 条 ) 個人情報保護委員会規則に従い 復元できないよう加工 漏えい防止等 公表 明示など 匿名加工情報の提供 ( 法 37 条 ) 個人情報保護委員会規則に定めるところにより 提供方法等の公表や明示 識別行為の禁止 ( 法 38 条 ) 他の情報との照合禁止など 安全管理措置 ( 法 39 条 ) 32

33 第 6 その他の事項 33

34 個人情報保護委員会と認定個人情報保護団体 個人情報保護委員会個人情報取扱事業者に対する監督権限を各分野の主務大臣から委員会に一元化 事業者に対して必要に応じて報告を求めたり立入検査を行うことができる 実態に応じて 指導 助言 勧告 命令を行うことができる 認定個人情報保護団体事業者の個人情報の適切な取扱の確保を目的として国の認定を受けた民間団体 対象事業者への情報提供 個人情報に関する苦情の処理など業界の特性に応じた自主的なルールの作成に関する努力義務 34

35 罰則 国からの命令に違反した場合 6 ヶ月以下の懲役又は 30 万円以下の罰金 不報告 資料の不提出 虚偽の報告 資料の提出 答弁 検査の拒否等をした場合 30 万円以下の罰金 個人情報データベース等不正提供罪従業員等が不正な利益を図る目的で個人情報データベース等を提供又は盗用した場合 1 年以下の懲役又は 50 万円以下の罰金 35

36 ご清聴ありがとうございました 36