個人情報保護法とは 個人の権利 利益の保護と個人情報の有用性とのバランスを図るための法律 基本理念を定めるほか 民間事業者の個人情報の取扱いについて規定 個人情報保護法の目的 第 1 条この法律は 高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み 個人情報の適正な取扱いに関し

Transcription

1 個人情報保護委員会の取組について 平成 30 年 10 月 個人情報保護委員会事務局

2 個人情報保護法とは 個人の権利 利益の保護と個人情報の有用性とのバランスを図るための法律 基本理念を定めるほか 民間事業者の個人情報の取扱いについて規定 個人情報保護法の目的 第 1 条この法律は 高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み 個人情報の適正な取扱いに関し 基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め 国及び地方公共団体の責務等を明らかにするとともに 個人情報を取り扱う事業者の遵守すべき義務等を定めることにより 個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ 個人の権利利益を保護することを目的とする 2

3 個人情報保護法とは 平成 27 年 9 月改正個人情報保護法が成立 ( 施行は平成 29 年 5 月 30 日 ) 改正のポイント 1. 個人情報保護委員会の新設個人情報取扱事業者に対する監督権限を各分野の主務大臣から委員会に一元化 2. 個人情報の定義の明確化 1 利活用に資するグレーゾーン解消のため 個人情報の定義に身体的特徴等が対象となることを明確化 2 要配慮個人情報 ( 本人の人種 信条 病歴など本人に対する不当な差別又は偏見が生じる可能性のある個人情報 ) の取得については 原則として本人同意を得ることを義務化 3. 個人情報の有用性を確保 ( 利活用 ) するための整備匿名加工情報 ( 特定の個人を識別することができないように個人情報を加工した情報 ) の利活用の規定を新設 4. いわゆる名簿屋対策 1 個人データの第三者提供に係る確認記録作成等を義務化 ( 第三者から個人データの提供を受ける際 提供者の氏名 個人データの取得経緯を確認した上 その内容の記録を作成し 一定期間保存することを義務付け 第三者に個人データを提供した際も 提供年月日や提供先の氏名等の記録を作成 保存することを義務付ける ) 2 個人情報データベース等を不正な利益を図る目的で第三者に提供し 又は盗用する行為を 個人情報データベース提供罪 として処罰の対象とする 5. その他 1 取り扱う個人情報の数が 5000 以下である事業者を規制の対象外とする制度を廃止 2 オプトアウト ( ) 規定を利用する個人情報取扱事業者は所要事項を委員会に届け出ることを義務化し 委員会はその内容を公表 ( 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する場合 本人の同意を得ることなく第三者に個人データを提供することができる ) 3 外国にある第三者への個人データの提供の制限 個人情報保護法の国外適用 個人情報保護委員会による外国執行当局への情報提供に係る規定を新設 3

4 個人情報保護委員会とは 主務大臣が有していた監督権限を個人情報保護委員会へ一元化 事業者に対して 必要に応じて報告を求めたり立入検査を行うことができるまた 実態に応じて 指導 助言 勧告 命令を行うことができる 民間事業者の監督体制 公的機関の監督体制 * 改正前 ( 主務大臣制 ) 省 省 省 監督 監督 監督 改正法の全面施行後 監督 個人情報保護委員会 監督 監督 行政機関個人情報保護法 ( 対象 : 国の行政機関 ) 独立行政法人個人情報保護法 ( 対象 : 独立行政法人等 ) A 社 B 社 C 社 重畳的な監督 所管省庁が不明確といった課題 A 社 B 社 C 社 一元的な監督体制 個人情報保護条例 ( 対象 : 地方公共団体等 ) 公的機関の監督体制は 個人情報保護法の改正前後で変更はない 4

5 個人情報保護委員会とは 沿革 平成 26 年 1 月 1 日特定個人情報保護委員会設置 ( 行政手続における特定の個人を識別するための番号の利用等に関する法律第 36 条 ) 平成 28 年 1 月 1 日個人情報保護委員会設置 ( 特定個人情報保護委員会から改組 ) ( 個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律第 1 条及び第 4 条 ) 所掌事務 ( 第 61 条 ) 1 マイナンバー制度に関する事務 ( 監視 監督 特定個人情報保護評価 ) 2 個人情報保護法に関する事務 監視 監督 ( 個人情報保護法を所管 ) 3 上記 1 2 に共通する事務 ( 広報 啓発 国際協力等 ) 組織 委員長 1 名 委員 8 名 ( 合計 9 名 ) の合議制 ( 行政委員会 ) 委員長 委員は独立して職権を行使 ( 任期 5 年 ) 委員会事務局の職員数 :142 名 ( 平成 30 年 9 月現在 ) 5

6 匿名加工情報制度 匿名加工情報 ( 特定の個人を識別することができないように個人情報を加工した情報で あって 当該個人情報を復元することができないようにしたもの ) の類型を新設し 個人情報の取扱いよりも緩やかな規律の下 自由な流通 利活用を促進 匿名加工情報 加工 ( ) 個人情報 匿名加工情報 復元 識別できない 匿名加工情報の作成に関する基準 ( 個人情報保護委員会規則に明記 ) 1 特定の個人を識別することができる記述等 ( 例 : 氏名 ) の全部又は一部を削除 ( 置換を含む 以下同じ ) すること 2 個人識別符号 ( 例 : マイナンバー 運転免許証番号 ) の全部を削除すること 3 個人情報と他の情報とを連結する符号 ( 例 : 委託先に渡すために分割したデータとひも付けるID) を削除すること 4 特異な記述等 ( 例 : 年齢 116 歳 ) を削除すること 5 上記のほか 個人情報とデータベース内の他の個人情報との差異等の性質を勘案し 適切な措置を講ずること 6

7 ( 参考 ) 匿名加工情報の活用状況 平成 30 年 9 月 30 日現在 HP 上で確認できる例を抜粋 業種件数割合 (%) ( 小数点第 2 位四捨五入 ) 小売業 医薬品 その他 医療 医療福祉 健保 介護 情報通信 製造業 専門技術サービス 金融保険 運輸業 農業 建設業 その他 総計 353 7

8 匿名加工情報に係る取組状況 取組の目的 匿名加工情報制度の内容周知 相談対応 事例集の公表等を通じて匿名加工情報の理解 促進や事業者の取組支援等を行うことで 利活用環境を整備 取組状況 パーソナルデータを含むビッグデータの適正な利活用環境の整備 改正個人情報保護法に基づき新設された匿名加工情報制度について 説明会や事業者ヒアリングを通じて内容の周知を継続的に実施し 制度の正確な理解を促進 ( 本年 9 月末時点で 350 社超が匿名加工情報の作成を公表 ) 事業者等からの相談を受け付ける相談ダイヤルを平成 29 年 5 月 30 日に開設し相談対応を実施 ( 昨年末時点で 19,158 件 ) 個人情報の保護を図りつつ 個人情報及び匿名加工情報の適正かつ効果的な活用を促 進する観点から 匿名加工情報の取扱いに関する情報を委員会ウェブサイトで公表するなど情報発信を充実 8

9 匿名加工情報の活用事例 様々な業種で匿名加工情報の活用が進んでおり (350 社超が作成公表済 ) 本年 9 月末時 点で 医薬品分野では 85 社 医薬品以外の小売業分野では 37 社 金融保険分野では 15 社が匿名加工情報の作成を公表 処方箋記載事項 調剤薬局は 自らが保有する処方箋記載事項から匿名加工情報を作成し 医薬 DB 事業者に提供 医薬 DB 事業者は 当該匿名加工情報を分析し その分析結果を製薬会社や研究機関等に提供 製薬会社や研究機関等は 新薬の開発や研究に利用 購買履歴 小売業者は 自らが保有する顧客の購買履歴 (IDPOS データ ) から匿名加工情報を作成し メーカーや卸業者に提供 メーカーや卸業者は 自社商品の購買傾向等を詳細に分析し よりターゲットを絞った効果的なマーケティングが可能となり 小売業者に対する商品陳列の指示等の販売促進活動等に利用 クレジットカード利用情報 クレジットカード事業者は 自らが保有する会員属性情報とクレジットカードの利用履歴から匿名加工情報を作成し 研究機関に提供 研究機関は AI を用いたデータ分析を行い クレジットカード事業者は その分析結果の提供を受けることで 今後の事業計画や新たな事業に関する示唆を得ることに利用 9

10 ( 参考 ) 非識別加工情報に関する総合案内所の開設等 平成 29 年 5 月 30 日 行政機関等非識別加工情報に関する総合案内所 を開設 問合せ件数 ( 平成 29 年度 ) 144 件 ( 内訳 ) 行政機関等 :92 件地方公共団体 :23 件民間事業者等 29 件 ウェブサイトにより広く情報を発信 提案募集を実施する各行政機関等をリスト化し 各問合せ窓口を掲載 紹介 説明会等の実施 : 全 4 回 ( 内訳 ) 全ての行政機関 全ての独立行政法人等 全ての都道府県 埼玉県及び埼玉県内全市町村 全 141 の行政機関等が 平成 29 年度末までに提案募集を全て実施済 提案募集ファイル数 ( 平成 29 年度 ) 1,932 ファイル ( 内訳 ) 行政機関 :283 ファイル独立行政法人等 :1,649 ファイル 10

11 認定個人情報保護団体制度 認定個人情報保護団体を利用することのメリット 漏えい等事案の報告 ( より事業に明るい担当者による事案処理 ) 苦情処理 ( 個社対応による労力の削減 ) 情報 ノウハウの共有 個人情報保護委員会との連携 業界の特性に応じた自主的なルール ( 個人情報保護指針 ) を作成するよう努める義務 対象事業者が指針を遵守するよう指導 勧告を行う義務 情報提供指導 勧告 認定個人情報保護団体 ( 個人情報保護委員会が認定 ) 対象事業者の個人情報の取扱いに関する苦情を処理する義務 苦情処理 対象事業者 漏えい等事案について 認定個人情報保護団体に対して報告 消費者 11

12 認定個人情報保護団体 (44 団体 ) 対象事業等分野名称対象事業等分野名称 平成 30 年 9 月 30 日現在 警備業一般社団法人全国警備業協会経済産業分野一般社団法人日本個人情報管理協会 指定自動車教習所業一般社団法人全日本指定自動車教習所協会連合会ギフト用品に関する事業一般社団法人全日本キ フト用品協会 証券業日本証券業協会クレジット事業一般社団法人日本クレシ ット協会 保険業一般社団法人生命保険協会印刷 グラフィックサービス工業公益社団法人東京ク ラフィックサーヒ ス工業会 保険業一般社団法人日本損害保険協会小売業一般社団法人日本専門店協会 保険業一般社団法人外国損害保険協会経済産業分野特定非営利活動法人日本個人 医療情報管理協会 銀行業 信託業 全国銀行個人情報保護協議会 一般社団法人信託協会 経済産業分野 公益社団法人日本消費生活アト ハ イサ ー コンサルタント 相談員協会 投資信託委託業一般社団法人投資信託協会経済産業分野日本個人情報保護協会 証券投資顧問業一般社団法人日本投資顧問業協会結婚情報サービス業一般社団法人結婚相談業サホ ート協会 貸金業日本貸金業協会結婚情報サービス業一般社団法人日本結婚相手紹介サービス協議会 金融先物取引業一般社団法人金融先物取引業協会結婚情報サービス業株式会社 IBJ( 日本結婚相談所連盟 ) 放送一般財団法人放送セキュリティセンター結婚情報サービス業ナノライセンス結婚専科システム協議会 電気通信事業一般財団法人日本テ ータ通信協会新聞販売業大阪毎日新聞販売店事業協同組合 全般一般財団法人日本情報経済社会推進協会葬祭業 JECIA 個人情報保護協会 モバイルコンテンツ関連事業一般社団法人モバイル コンテンツ フォーラム葬祭業全国こころの会葬祭事業協同組合 製薬業日本製薬団体連合会経済産業分野一般社団法人ビジネスコンプライアンス 医療公益社団法人全日本病院協会経済産業分野一般社団法人医療データベース協会 医療 介護 特定非営利活動法人医療ネットワーク支援センター 経済産業分野 一般社団法人中小企業個人情報セキュリティー推進協会 医療 介護 福祉 特定非営利活動法人検定協議会 自動車登録番号標交付代行業一般社団法人全国自動車標板協議会 医療 一般社団法人国際情報セキュリティーマネシ メント研究所 賃貸住宅管理業 公益財団法人日本賃貸住宅管理協会 手技療法 特定非営利活動法人日本手技療法協会 通信販売業 公益社団法人日本通信販売協会 全般 一般社団法人日本情報システム ユーザー協会 12

13 参考 総務省資料 赤字強調は個人情報保護委員会事務局 情報信託機能の認定に係る指針ver1.0 の公表 情報銀行 については 昨年７月 情報通信審議会において 一定の要件を満たした者を社会的に 認知するため 民間の団体等による任意の認定の仕組みが望ましいとの提言 認定の仕組みを有効に機能させるため 昨年11月より総務省 経産省では合同の検討会を立ち上げ 情報信託機能の認定に係る指針ver1.0 をとりまとめ 6/26に最終版公表 認定基準の基本的な考え方 認定基準 は一定の水準を満たす事業者を認定する仕組みのためのものであり 当該認定によって消費者が安心し てサービスを利用するための判断基準を示すもの 消費者個人を起点としたデータの流通 コントロールできる機能の充実 消費者からの信頼性確保に主眼を置く 主な指針案の内容 ①認定基準 経営面の要件 セキュリティ基準 ガバナンス体制 相談体制 諮問体制等 個人情報の取得方法や利用目的の明示 利用者がコントロールできる機能 損害賠償責任 ②モデル約款の記載事項 委任関係に関する契約上の合意について 具体的な条件をモデル約款として示す 業務範囲 情報銀行が担う義務 事業終了時等の扱い 個人情報保護法上も有効な同意に ③認定スキーム 認定団体の適格性 審査の手法 認定証 認定内容に違反した場合の対応 認定団体と認定事業者の契約 認定団体の運用体制 今秋以降 一般社団法人日本ＩＴ団体連盟において本指針に基づく認定業務を開始予定 〇 今後継続して議論 見直し ver1.0で対象外とした要配慮個人情報の扱いについても検討 13