いまさら聞けない「改正個人情報保護法」

個人データの漏洩等が発生した際に、個人情報保護委員会等に対する報告、及び本人通知が『義務化』されました。報告対象は 【1】 要配慮個人情報の漏洩、 【2】 財産的被害が発生する可能性がある場合、 【3】 不正アクセス等の発生、 【4】 1,000件を超える漏洩が発生した場合 で、個人情報保護委員会等への報告は、速やかな「速報」と30日以内の「確報」が必要となります。

外国の第三者へ個人データを提供（越境移転）する場合、本人同意を取得する際に、情報提供先となる第三者の「個人情報取扱いに関する情報」を提供することが求められます。

本人が把握できるように、どのような安全管理措置（セキュリティ対策）が講じられているかについての公表等が義務化されました。

従来、6カ月以内に消去される個人情報は、個人情報保護法の対象となる保有個人データから除外されていました。しかし、今回の改正により、たとえ6カ月以内に消去する短期保存データであっても、保有個人データに含まれることになりました。また個人データを提供・受領した際の記録も開示請求の対象となり、本人における保有個人データの利用停止・消去等の請求権も拡充されています。

今回の改正では、個人情報取扱事業者が不適切な方法で個人情報を利用することの禁止が明確化されました。不適切な方法で個人情報を利用した場合、利用停止等の対象となります。

提供元では個人データに該当しないが、提供先では個人データになると想定される情報は、必ず本人同意を得た上で、第三者に提供する必要があります。

改正個人情報保護法を順守するためには、プライバシーポリシーや関連規定の改定、安全管理措置（セキュリティ対策）の見直しが必要不可欠です。対応が進んでいない企業においては、まずはツールを使った個人情報の棚卸し、従業員教育等の優先対策から着手することでキャッチアップも十分可能かと思います。ご不明の点やご相談がございましたら、お気軽にお問合わせください。

大日本印刷株式会社
情報イノベーション事業部 セキュリティソリューション本部
佐藤 俊介（セキュリティコンサルタント）

Visa/Mastercard等の国際カードブランドの認定工場監査対応を長年担当。現在は豊富な監査経験を活かし、金融や製造業を中心にセキュリティコンサルタントとして従事。OSINT(Open Source INTelligence)によるインシデント分析情報をもとにした講演実績も豊富。

DNPは、ダイレクトメール発送、クレジットカード発行、BPO等、多くの業務を受託しており、現在、月間1億5,000万件に及ぶ個人情報を得意先から預かり、厳重に管理・運用しています。こうしたセキュリティ体制を構築・維持・改善していくためには、入退室管理や監視カメラ等の物理的対策、ネットワークセキュリティをはじめとする技術的対策、各種社内規定や従業員教育等の人的・組織的対策のすべての領域における知見が必要であり、DNPは永年にわたりその知見を積み上げてきました。現在は、こうした知見をベースに、顧客向けのコンサルティング、教育、各種脆弱性診断業務といった上流工程から、具体的な対策に資する製品・サービスの提供まで幅広く事業を展開しています。