<4D F736F F D A4B A B C835E815B816989FC90B38CC2906C8FEE95F195DB8CEC A2E646F6378>

Transcription

1 DISPUTE RESOLUTION GROUP NEWSLETTER 2016 年 4 月 重要改正法紹介 個人情報保護法の初めての実質的改正 ( 主要改正部分は平成 29 年 9 月 8 日までに施行 ) 弁護士日下部真治 Contents 個人情報保護法を初めて実質的に改正する改正法が 平成 27 年 9 月 9 日に公布された 事業者の義務に関係する主要改正部分は 平成 29 年 9 月 8 日までに施行される 改正法の内容は多岐にわたるが 1 個人情報保護委員会の新設 2 保護対象情報の定めの整備 3 規制対象事業者の範囲の拡大 4 事業者の義務の整備 5 国際的取扱いの整備 及び 6 個人情報データベース等提供罪の新設に大別できる 改正法の施行に向けて事業者のなすべき準備には 今後定められる個人情報保護委員会規則に左右される部分が多い しかし 同規則が定められる前から 事業者の担当部署においては 改正法の内容を十分に把握し できる準備を進めておくべきである 法改正の経緯 個人情報の保護に関する法律 ( 以下 個人情報保護法 という ) は 平成 15 年 5 月 30 日に公布され 平成 17 年 4 月 1 日に全面施行されて以来 10 年以上にわたり 実質的な改正は一度も行われなかった その一方で 個人情報保護法の施行後 情報通信技術の発展に伴い ビジネスにおける個人情報の利用形態も多種多様となり 近年では 購買履歴や位置情報をはじめとする個人に関する情報から当該個人の趣味 嗜好を分析し それに応じた広告を配信するといった 個人情報保護法制定時には想定されていなかった形態での個人情報の利活用も行われるようになっている 個人情報がビジネスにおいて広く利活用されるに伴って 消費者によるプライバシーに対する権利意識も高まっている 個人情報保護法の規定の曖昧さから 事業者による個人情報の利活用が躊躇されているとい う指摘もある 海外でも 個人情報の取扱状況の変化に応じて OECD( 経済協力開発機構 ) では 平成 25 年 7 月 日本を含む加盟国において個人情報保護法制の基礎となるべきガイドラインの改正案が採択され 同年 9 月に公表されており EU や米国においても 個人情報保護の枠組みの整備がなされているところである 個人情報を利活用した企業活動のグローバル化が進んでいる現状において こうした海外における個人情報保護の動向に我が国も歩調を合わせる必要がある そこで 個人情報の適正かつ効果的な利活用にも配慮しつつ 個人の権利利益を保護し また 海外における規制とも国際的な調和のとれる制度を構築すべく 平成 27 年 9 月 9 日に 個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律 ( 以下 改正法 という ) が公布された 改正法に

2 2 よる個人情報保護法の改正事項は多岐にわたるが 以下では 特に事業者がどのような事項に留意すべきかという観点から 改正事項の概要を説明する ( 以下 改正法による改正の前及び後の個人情報保護法を それぞれ 改正前法 及び 改正後法 といい 個人情報によって識別される特定の個人を 本人 という ) なお 改正法の施行日は条文ごとに異なり その一部は平成 28 年 1 月 1 日に施行済みであるが 事業者の義務に関わる部分は 追って政令が定める平成 29 年 9 月 8 日までの日に施行される 事業者は それまでの間に 改正法の施行に向けた準備を整える必要がある ( 以下では 平成 28 年 4 月の時点で既に施行済みの部分のみ 特に指摘する ) (1) 個人情報保護委員会の新設 改正前法においては 個人情報取扱事業者に対する監督は 事業分野ごとの主務大臣が行っていた ( 改正前法 32 条から 36 条 ) そのため 事業分野ごとに個人情報保護法の取扱いに関するガイドラインが作成され 統一的かつ効率的な法執行を難しくし かつ 主務大臣が定まっていない事業分野での法執行に支障を来していた また EU 諸国など外国の目から見た際に 我が国に個人情報保護を担う独立の行政機関が存在しないことは 我が国の個人情報保護体制が不十分なものであると見做される理由となり得た そこで 改正法は 改正前マイナンバー法に基づいて設置されていた特定個人情報保護委員会を改組する方法で 新たに個人情報保護委員会を設置した ( 平成 28 年 1 月 1 日に施行済み ) 個人情報保護委員会は 独立行政委員会と呼ばれる機関であり 行政組織上の位置付けは 公正取引委員会や国家公安委員会に伍する 個人情報保護委員会は 委員長及び 8 名の委員で組織され 事務局を擁している ( 平成 28 年 4 月時点の事務局員数は 70 人強であるが 今後の増加が見込まれる ) 個人情報保護委員会は 個人情報保護法の執行を担うが 事業者に特に影響をもたらすのは 同委員会が制定する個人情報保護委員会規則である 以下においても 同規則に随所で言及するが 平成 28 年 4 月末時点においては まだ同規則は制定されていない (2) 保護対象情報の定めの整備 ア 個人情報 の定義の整備改正前法は 保護対象となる 個人情報 を 生存する個人に関する情報であって 当該情報に含まれる氏名 生年月日その他の記述等により特定の個人を識別することができるもの ( 他の情報と容易に照合することができ それにより特定の個人を識別することができることとなるものを含む ) と定義していた( 改正前法 2 条 1 項 ) 改正前法においては 事業者による個人情報の取扱いが躊躇される理由として この定義 ( 特に アンダーライン部分のカッコ内の容易照合性に係る箇所 ) が曖昧であることが指摘されていた 改正後法は 上記アンダーライン部分を 個人識別符号 が含まれない場合に限っての定義とし ( 改正後法 2 条 1 項 1 号 ) それとは別に 個人識別符号 が含まれるものを 個人情報 の定義に付加した ( 改正後法 2 条 1 項 2 号 ) そして 個人識別符号 とは 1 個人の身体の一部の特徴をコンピュータ処理するために変換した符号で 当該個人を識別できるもの 又は 2 商品 サービスの購入 利用のために個人に割り当てられ 又は個人に発行されるカード等の書類に記載 記録された符号で 当該個人を識別できるものとして 政令で定めるものと定義される ( 改正後法 2 条 2 項 ) 個人識別符号 の具体的な内容 範囲については政令の定めを待つ必要があるが 1としては 指紋認証データや顔認証データ等が 2としては マイナンバーや運転免許証番号等が該当することになると想定される このような 個人情報 の定義の整備により 生存する個人に関する 個人識別符号 が含まれる情報が 個人情報 に該当することが明確になる しかし 個人識別符号 が含まれない場合については 依然として上記アンダーライン部分どおりの判断枠組みが維持されているため 個人情報 の定義が曖昧であるという指摘が完全に解消されるとはいい難い イ 個人情報データベース等 の定義の変更改正前法は 個人情報データベース等 を事業の用に供している者を ( 一定の例外を除き ) 個人情報取扱事業者 と定義した上で ( 改正前法 2 条 3 項 ) 個人情報 (1) のうち 個人情報データベース等 を構成するものを 個人データ (2) と定義し ( 改正前法 2

3 3 条 4 項 ) 個人データ のうち個人情報取扱事業者が開示等の権限を有するものの一部を 保有個人データ (3) と定義し ( 改正前法 2 条 5 項 ) 1 2 及び3のそれぞれについて個人情報取扱事業者に対する規制を定めていた そして 個人情報取扱事業者 及び 個人データ (2) を定義する 個人情報データベース等 は 個人情報を含む情報の集合体で 特定の個人情報をコンピュータ等により検索することができるように体系的に構成したものと定義されていた ( 改正前法 2 条 2 項 ) 改正後法でも 上記の構造は変わらない ( 改正後法 2 条 4 項から 7 項 ) しかし 改正後法では 個人情報取扱事業者 及び 個人データ を定義する 個人情報データベース等 の定義が見直され 利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く とされた ( 改正後法 2 条 4 項 ) その具体的な内容 範囲については 政令の定めを待つ必要があるが 市販の名簿等 ( 例えば 電話帳や四季報 ) や 自治会名簿等 ( 構成員間の情報共有目的の範囲で用いられる場合に限る ) が 政令において定められると想定される このように 個人情報データベース等 の定義が狭まることにより 個人情報取扱事業者 及び 個人データ の範囲も狭まることになり その限りで個人情報の取扱いが自由になる もっとも 個人情報取扱事業者 については 後記 (3) のとおり 別の観点から その定義が拡大していることに留意が必要である ウ 要配慮個人情報 という概念の新設改正前法では 人種や信条など 個人が不当な差別を受ける原因となるような個人情報について 特別 な取扱いは定められていなかった しかし 官庁などが公表する個人情報の取扱いに関するガイドラインでは こうした情報を 機微 ( センシティブ ) 情報 などと呼び その取扱いについて事業者に特段の配慮が求められていた 改正後法は こうした情報を 要配慮個人情報 という新たな概念として定義し 特別な取扱いをすることとした 要配慮個人情報 は 本人の人種 信条 社会的身分 病歴 犯罪の経歴 犯罪により害を被った事実その他本人に対する不当な差別 偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報 と定義される ( 改正後法 2 条 3 項 ) 要配慮個人情報 の具体的な内容 範囲については 政令の定めを待つ必要がある 要配慮個人情報 に対する特別な取扱いについては 後記 (4) エ参照 エ 匿名加工情報 という概念の新設いわゆるビッグデータビジネスを促進するためには 匿名化された個人に関する情報の利活用に対する規制は抑制的である必要がある しかし 改正前法においては 保護対象となる 個人情報 は 前記 (2) アのとおり 定義が曖昧であると指摘されており 技術的に匿名化の工夫をしても 個人情報 に該当しないと解釈することには無理があると考えられていた 改正後法は 前記 (2) アのとおり 個人識別符号 という概念を用いて 個人情報 の定義をある程度明確にしたが それのみでは 上記の問題が解決されるとはいい難い 1 個人情報 2 個人データ ( 個人情報データベース等 を構成するもの ) 3 保有個人データ ( 個人情報取扱事業者 が開示等の権限を有するもの ) 個人情報取扱事業者が義務を負う保護対象となる情報

4 4 そこで 改正後法は 匿名加工情報 という概念を新設し ( 改正後法 2 条 9 項 ) これを 個人情報 に関するものよりも緩和された規制にのみ服するものとした 匿名加工情報 とは 個人情報に一定の措置を講じて特定の個人を識別できないように加工し かつ 当該個人情報に復元できないようにしたものをいう ( 改正後法 2 条 9 項 ) その加工の方法は 個人情報保護委員会規則で定められる基準に従わなければならない ( 改正後法 36 条 1 項 ) なお 改正後法の規定の文言上 匿名加工情報 は 個人情報 には当たらないと明示的には定められていない しかし 匿名加工情報を自ら作成した個人情報取扱事業者は その作成及び取扱いに当たって 本人を識別するために 他の情報と照合することが禁じられ ( 改正後法 36 条 5 項 ) また 匿名加工情報のデータベース等を事業の用に供している者 ( 匿名加工情報取扱事業者 : 改正後法 2 条 10 項 ) は その取扱いに当たって 本人を識別するために 他の情報と照合することが禁じられている ( 改正後法 38 条 ) そのため こうした事業者との関係では 個人情報 の定義中の容易照合性 ( 前記 (2) ア参照 ) が認められず 従って 匿名加工情報 は 個人情報 ではないと解釈されると考えられる 匿名加工情報 に関する規制については 後記(4) オ参照 (3) 規制対象事業者の範囲の拡大 改正前法では 個人情報データベース等 を事業の用に供している者を 個人情報取扱事業者 としつつ 一定の者を例外的に除外していたが その例外には 事業の用に供している 個人情報データベース等 に含まれる個人の数が 過去 6 か月のどの日においても 5,000 以下の者 ( いわゆる小規模事業者 ) が含まれていた ( 改正前法 2 条 3 項 5 号 個人情報の保護に関する法律施行令 2 条 ) 改正後法は この小規模事業者の例外扱いを廃止している ( 改正後法 2 条 5 項 ) その背景としては 小規模事業者による取扱いの場合でも 個人情報保護の必要性が失われるわけではないことや 国際的な動向を踏まえたことが挙げられる この改正により 改正前法の下では小規模事業者と して 個人情報取扱事業者 に該当せず 個人情報保護法における規制を受けなかった者が 改正後法の下では 規制を広く受けることになるため 特に中小企業の対策に不備がないかが問われることになる また 後記 (4) イ2のとおり 改正後法の下では 個人情報取扱事業者には 第三者から個人データの提供を受けるに際して 提供者による法令遵守状況の確認が求められると考えられるため 中小企業から個人データの提供を受ける大企業にも 派生的にコンプライアンスの問題が生じ得る (4) 事業者の義務の整備 ア個人情報に関する義務利用目的の変更範囲の緩和改正前法においては 個人情報取扱事業者は 個人情報の利用目的をできる限り特定し 個人情報の取得に際しては利用目的の通知等をしなければならず ( 改正前法 15 条 1 項 18 条 ) その利用目的の変更は 変更前の利用目的と 相当の関連性 を有すると合理的に認められる範囲に限られていた ( 改正前法 15 条 2 項 ) 改正後法においても 上記の規制の枠組みは維持されているが 利用目的の変更範囲は 変更前の利用目的と 関連性 を有すると合理的に認められる範囲へと 若干緩和された ( 改正後法 15 条 2 項 ) この緩和により具体的にどの程度利用目的の変更が認められ易くなるかは明らかではない しかし 少なくとも 利用目的の変更範囲を改正前法の文言に則り 相当の関連性 のある範囲としているプライバシーポリシーを有する事業者は ポリシーの当該部分を改正後法の文言に則り 関連性 のある範囲に修正することが考えられる イ個人データに関する義務 1 オプトアウト方式での第三者提供への規制強化改正前法では 予め本人が第三者提供に関する一定の事項を容易に知り得る状態にするなど 所定の要件を満たしていれば 本人の同意を得ずに ( オプトアウト方式により ) 個人データを第三者提供することが可能であった ( 改正前法 23 条 2 項及び 3 項 ) 改正後法でも 上記の仕組みは変わらないが 要件として 第三者提供に関する一定の事項を個人情報

5 5 保護委員会へ届け出ることも必要となった ( 改正後法 23 条 2 項及び 3 項 ) なお 個人情報保護委員会は 届出に係る事項を公表する ( 改正後法 23 条 4 項 ) これらは 本人が 個人情報保護委員会の HP 等で個人データの第三者提供をしている事業者をまとめて把握し 希望するなら第三者提供の停止を求められるようにするための措置である 個人データの第三者提供をする個人情報取扱事業者は 個人情報保護委員会への届出の準備を進めなければならない 2 第三者提供の適正化とトレーサビリティーの確保改正後法は 改正前法と異なり 個人データの第三者提供に際し 原則として 受領側の個人情報取扱事業者に 提供者である第三者の氏名又は名称 住所 代表者等の氏名のほか 当該第三者による当該個人データの取得の経緯 を確認することを義務付けた 具体的な確認方法については 個人情報保護委員会規則により定められるが ( 改正後法 26 条 1 項 ) 当該第三者による当該個人データの取得の経緯 については 提供者による法令遵守状況の確認を受領者に求める趣旨と考えられている なお 提供者は 受領側の個人情報取扱事業者による上記確認の際に 確認事項を偽ってはならないとされた ( 改正後法 26 条 2 項 ) また 改正後法は 個人データの第三者提供に際し 原則として 提供側及び受領側の双方の個人情報取扱事業者に 提供に関する記録の作成及びその一定期間の保存を義務付けた 記録事項 記録方法及び記録の保存期間については 個人情報保護委員会規則により定められる ( 改正後法 25 条並びに 26 条 3 項及び 4 項 ) これらは 個人データの第三者提供の際に 一定事項の確認並びに記録の作成及び保存を義務付けることで 不適切な個人データの漏えいを抑止すると共に 個人データが漏えいした場合に どのような経路を辿って漏えいしたのかを追跡できるようにすることを意図したものである 個人データの第三者提供の当事者となる個人情報取扱事業者は 一定事項の確認並びに記録の作成及び保存を適切になすことのできる体制を整えなければならない 3 不要な個人データの消去努力義務の新設改正前法においては 個人情報取扱事業者は 利用目的の達成に必要な範囲内において 個人データ を正確かつ最新の内容に保つ努力義務を負っていた ( 改正前法 19 条 ) 改正後法においては 上記に加えて 利用する必要がなくなった個人データを遅滞なく消去する努力義務が新たに課せられた ( 改正後法 19 条 ) 上記はいずれも努力義務ではあるが 個人情報取扱事業者は 個人データの消去プロセスを構築することを検討すべきであり また 改正前法下での努力義務を謳うプライバシーポリシーを有する事業者は 該当部分を見直すことが考えられる ウ保有個人データに関する義務本人の開示等請求権の明確化改正前法では 個人情報取扱事業者は 本人から 保有個人データの開示 ( その内容が事実に反する場合の ) 訂正 追加若しくは削除 又は ( その取扱い 取得若しくは第三者提供が違法になされた場合の ) 利用停止 消去若しくは提供停止を求められた場合に それらに応じる義務が定められていた ( 改正前法 25 条から 27 条 ) しかし その規定ぶりから 本人に開示等の請求権が私法上の権利として認められるのか否かについて見解が分かれ これを否定する裁判例も見られた ( 東京地判平成 19 年 6 月 27 日 ) 改正後法は 本人に私法上の権利として開示等の請求権があることを明確にするとともに ( 改正後法 28 条から 30 条 ) 本人がその請求権に基づく訴えの提起又は仮処分命令の申立てをするには 予め個人情報取扱事業者に裁判所外の請求を行い 2 週間を経過することが必要であると定めた ( 改正後法 34 条 ) このように保有個人データに関する本人の開示等の請求権が明確になり かつ 訴え提起又は仮処分命令申立ての前の手続が明確になったことにより 個人情報取扱事業者は 本人から開示等の請求を受けた場合に 2 週間以内にしかるべき対応ができる体制を整えることが必要になっている エ 要配慮個人情報 に対する特別な取扱い改正後法の下では 前記 (2) ウで説明した 要配慮個人情報 については そうではない個人情報 個人データ及び保有個人データとは異なり 以下の特別な取扱いが必要とされる 1 個人情報の取得の局面

6 6 要配慮個人情報 の取得においては 一定の例外の場合を除き 予め本人の同意を得なければならない ( 改正後法 17 条 2 項 ) 2 個人データの第三者提供の局面 要配慮個人情報 については オプトアウト方式により本人の同意を得ずに第三者に提供することはできない ( 改正後法 23 条 1 項及び2 項 ) 3 保有個人データの利用停止等の請求の局面 要配慮個人情報 が上記 1 又は2に違反して取得又は第三者提供された場合 本人は これを含む保有個人データの利用停止 消去又は提供停止を請求することができる ( 改正後法 30 条 1 項及び 3 項 ) 以上により 個人情報取扱事業者は 要配慮個人情報 については従来と異なる取扱いをする体制を整えるか そもそも 要配慮個人情報 を取得しない体制を整えることが必要になろう オ 匿名加工情報 に関する規制改正後法の下では 前記 (2) エで説明した 匿名加工情報 に関して 個人情報取扱事業者及び匿名加工情報取扱事業者に それぞれ 以下の規制が適用される なお 個人情報取扱事業者及び匿名加工情報取扱事業者は その匿名加工情報に関する限り 別途 個人情報 に関する規制を受けないと考えられる そのため 例えば 匿名加工情報の第三者提供に当たっては 本人の同意を得る必要はなくなる 1 個人情報取扱事業者に対する規制個人情報取扱事業者は 匿名加工情報の作成 元となった情報等の安全管理措置 匿名加工情報に含まれる個人に関する情報の項目の公表 並びに匿名加工情報の第三者提供の際の一定事項の公表及び当該第三者に対する明示を 個人情報保護委員会規則に従って行わなければならない ( 改正後法 36 条 1 項から 4 項 ) また 個人情報取扱事業者は 匿名加工情報の作成及び取扱いに当たって 本人を識別するために 他の情報と照合することが禁じられ ( 改正後法 36 条 5 項 ) さらに 匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ その内容を公表する努力義務を負う ( 改正後法 36 条 6 項 ) 2 匿名加工情報取扱事業者に対する規制匿名加工情報取扱事業者は 匿名加工情報の第 三者提供の際の一定事項の公表及び当該第三者に対する明示を 個人情報保護委員会規則に従って行わなければならない ( 改正後法 37 条 ) また 匿名加工情報取扱事業者は 匿名加工情報の取扱いに当たって 本人を識別するために 元となった情報等を取得すること 及び他の情報と照合することが禁じられ ( 改正後法 38 条 ) さらに 匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ その内容を公表する努力義務を負う ( 改正後法 39 条 ) 以上のとおり 匿名加工情報 に関しては 個人情報 に関するものよりも規制は緩和されているが 個人情報保護委員会規則で定められる対応が求められるため いわゆるビッグデータビジネスに関わる事業者は 同規則に従った体制を構築することが必要となる (5) 国際的取扱いの整備 改正後法は 以下のとおり 個人情報が国際的に取り扱われる場合の規制を整備した ア域外適用改正前法は 行為の主体が日本の個人 法人であるか 外国の個人 法人であるかを問わず 日本国内でなされる個人情報に関わる行為に対して適用されていた 改正後法も 上記の適用関係が基本であることは変わらない しかし 改正後法は 一定の行為については それが外国においてなされる場合にも適用されるものとした すなわち 国内にある者に対する物品又は役務の提供に関連してその者を本人とする個人情報を取得した個人情報取扱事業者が 外国において当該個人情報又は当該個人情報を用いて作成した匿名加工情報を取り扱う場合には その行為につき 改正後法の多くの規定が適用される ( 改正後法 75 条 ) これにより 外国を本拠とする企業グループはもちろん 日本を本拠とする企業グループにおいても グループ企業の外国における行為に改正後法が適用されるか否かを検証する必要が生じることとなった イ外国にある第三者への個人データの提供前記 (4) イ1のとおり 改正後法の下でも 所定の要件を満たせば 本人の同意を得ずに ( オプトアウト方式により ) 個人データを第三者提供することが可能である

7 7 しかし 提供先の第三者が外国にある場合には 特則として 本人の同意を得なければ個人データの提供はできないことが原則とされた ( 改正後法 24 条 ) この例外となるのは 個人情報保護の制度が我が国と同等の水準にある国として個人情報保護委員会規則で定められる国にある第三者に対する提供の場合 又は 個人情報保護委員会規則が定める基準に適合する個人情報の保護体制を整備している第三者に対する提供の場合とされる これらの例外に該当すれば 国内の第三者に対する個人データの提供の場合と同じ規制に服することになる 改正前法の下で オプトアウト方式により外国にある第三者に対して個人データを提供していた個人情報取扱事業者は そのような扱いを改正後法の下においても継続できるか否かを 個人情報保護委員会規則に照らして判断することが必要となる なお 改正前法において 国内の第三者に対する個人データの提供については (a) 利用目的の達成に必要な範囲での取扱いの委託をする場合 (b) 事業の承継に伴う場合 及び (c) 一定の条件の下で特定の者と共同して利用する場合には 提供を受ける者を 第三者 に該当しないものとし その者に対する個人データの提供は 本人の同意が必要とされる 第三者 提供に当たらないとされていた ( 改正前法 23 条 4 項 ) 改正後法においても 上記の仕組みには変化はない ( 改正後法 23 条 5 項 ) しかし 前述した 外国にある第三者への個人データの提供に原則として本人の同意が必要とされる定め ( 改正後法 24 条 ) は 上記 (a) (b) 及び (c) の場合の個人データの提供にも等しく適用されることに留意が必要である ( 改正後法 23 条 5 項柱書 24 条第 2 文 ) また 外国にある第三者への個人データの提供の場合でも 前記 (4) イ2のとおり 提供側の個人情報取扱事業者には 提供に関する記録の作成及びその一定期間の保存が義務付けられる ( 改正後法 25 条 ) そして この義務は 提供行為が外国でなされる場合でも 域外適用の要件を満たせば適用される ( 改正後法 75 条は 改正後法 25 条を引用している ) 一方 前記 (4) イ2のとおり 受領側の個人情報取扱事業者には 提供者である第三者の氏名又は名称 住所 代表者等の氏名及び 当該第三者による当該個人データの取得の経緯 を確認することのほか 提供に関する 記録の作成及びその一定期間の保存が義務付けられる ( 改正後法 26 条 1 項 3 項及び 4 項 ) しかし 外国にある受領側の個人情報取扱事業者にはそうした義務は及ばない ( 域外適用を定める改正後法 75 条は 改正後法 26 条を引用していない ) ウ外国にある第三者からの個人データの受領外国にある第三者からの個人データの受領の場合 受領行為が日本国内でなされるときは 前記 (4) イ2 のとおり 受領側の個人情報取扱事業者には 提供者である第三者の氏名又は名称 住所 代表者等の氏名及び 当該第三者による当該個人データの取得の経緯 を確認することのほか 提供に関する記録の作成及びその一定期間の保存が義務付けられる ( 改正後法 26 条 1 項 3 項及び 4 項 ) そして 当該第三者による当該個人データの取得の経緯 については 提供者による法令遵守状況の確認を受領者に求める趣旨と考えられているため 提供者が外国にある場合 外国の個人情報保護法制を当該提供者が遵守していることの確認が求められると考えられる このような外国法制の遵守の確認を具体的にどのようにすべきであるのかは 今後 実務的な工夫が必要になろう なお 前記 (4) イ2のとおり 提供側の個人情報取扱事業者には 提供に関する記録の作成及びその一定期間の保存が義務付けられるが ( 改正後法 25 条 ) この義務は 提供行為が外国でなされる場合でも 域外適用の要件を満たせば適用される ( 改正後法 75 条は 改正後法 25 条を引用している ) (6) 個人情報データベース等提供罪 改正後法は 個人情報保護法上の罰則 ( 刑事犯罪 ) として 個人情報データベース等提供罪を新設した ( 改正後法 83 条 ) これは 個人情報の漏えい事件が社会問題となったことを受けて 悪質な漏えいや盗用をした個人を処罰するものである 個人情報データベース等提供罪は 1 個人情報取扱事業者 ( 法人等の場合は 役員 代表者又は管理人 ) 若しくはその従業者又はこれらであった者が 2その業務に関して取り扱った個人情報データベース等 ( その全部又は一部を複製し 又は加工したものを含む ) を 3 自己若しくは第三者の不正な利益を図る目的で提供し 又は盗用したことにより構成される 例え

8 8 ば 個人情報取扱事業者である企業の従業員が 業務上取り扱っていた顧客のデータベースを社外の第三者に売り渡す場合がこれに当たる 個人情報データベース等提供罪の法定刑は 1 年以下の懲役又は 50 万円以下の罰金である 個人情報データベース等提供罪については 国外犯も処罰される ( 改正後法 86 条 ) また 同罪には両罰規定の適用があり 違反行為を した個人が法人の代表者 代理人 使用人その他の従業者であり その法人の業務に関して当該違反行為をした場合は その法人にも上記罰金刑が科せられる ( 改正後法 87 条 ) そのため 法人である事業者としては 自らの法的リスクでもあるとの認識を持ち 役職員に対して 社員研修などで 同罪について十分な注意喚起を図るべきである 本ニュースレターの内容は 一般的な情報提供であり 具体的な法的アドバイスではありません お問い合わせ等ございましたら 下記弁護士までご遠慮なくご連絡下さいますよう お願いいたします 本ニュースレターの執筆者は 以下のとおりです 弁護士日下部真治 Tel: Fax: 本ニュースレターの配信又はその停止をご希望の場合には お手数ですが までご連絡下さいますようお願いいたします 本ニュースレターのバックナンバーは にてご覧いただけます