デジタル庁の創設に向けたデジタル改革関連法案が今国会で審議され5月12日に可決・成立しました。デジタル改革関連法には改正個人情報保護法も含まれており、日本の個人情報保護制度は昨年6月の法改正と合わせて大きく変わることになります。個人情報保護制度がどのように変わるのか整理したいと思います。
一元化でデータ流通を促進
今回の改正のポイントは個人情報保護制度を統一し全体の所管を個人情報保護委員会に一元化したことです。これまで個人情報保護法は、民間事業者の個人情報の取り扱いを規定した個人情報保護法のほかに、国の行政機関を対象にした行政機関個人情報保護法、さらに独立行政法人等個人情報保護法があり、それぞれの所管も個人情報保護法は個人情報保護委員会、他は総務省に分かれていました。しかし、今回の改正によって法律を１本化し、所管も個人情報保護委員会に一元化されることになりました。また、自治体の個人情報の取り扱いについても、これまではそれぞれの自治体が定めた条例で規定していましたが、今回の改正によって自治体の条例は必要最小限の保護措置を定めたものとなり、国が定めた個人情報保護法が適用され、自治体が定めた条例も個人情報保護委員会に提出して同委員会で所管することになります。
これまでは複数の個人情報保護法があり、各自治体も独自に条例を定めていたことから個人情報保護の取り扱いや考え方に相違があり、データの流通に支障が生じたり、メーカー等が自治体向けのシステムを開発しても別の自治体ではそのシステムを利用することができないなど個人情報がネックとなってビジネス展開ができないようなケースがあったということです。また、国際的にはEUのGDPR(一般データ保護規則)などの制度と調和を図る狙いもあります。国は個人情報保護制度を一元化することでデータ流通を促進しAIやビッグデータ時代に向けた成長戦略を加速させていきたい考えです。今回の改正個人情報保護法は、地方自治体関係については今後、国がガイドラインを策定して２年以内に施行され、その他については1年以内に施行されることになります。
企業の認知進んでいない？
一方、昨年6月に国会で可決・成立した改正では、情報漏えいについて個人情報保護委員会への通知義務を規定するなど事業者の守るべき責務の在り方を明確化し、一方で氏名等を削除した「仮名加工情報」を創設、これらデータの開示や利用停止請求への対応の義務を緩和するなどデータの利活用に関する内容も盛り込まれました。さらに個人情報保護委員会への虚偽報告や命令違反に対する法定刑の引き上げ、日本で個人情報を取り扱う外国事業者も報告徴収・命令の対象とするなど法の域外適用・越境移転の在り方についても規定をしています。今年の法改正は、デジタル時代を見据えて個人情報保護制度全体の法整備を行ったものと言えますが、昨年の法改正は事業者に直接関わる個別具体的な内容について改正が行われ、昨年と今年の法改正によって日本の個人情報保護制度は実質新たな制度となり、個人情報保護委員会がそのすべてを所管することになります。個人情報保護委員会は立ち入り検査や報告を求める権限を有し、勧告や命令を行い、命令違反や虚偽報告等に対しては捜査機関に告発をすることになります。
昨年10月に一版社団法人日本損害保険協会が帝国データバンクに委託して企業4000社を対象に行った「国内企業のサイバーリスク意識・対策実態調査2020」では、サイバー攻撃により個人情報を漏えいさせた企業には漏えいさせた個人全員への通知義務が2022年中にも義務付けられる方針について知っているかとの設問があり、「よく知っている」「よく知らないが、聞いたことがある」と回答した企業は約32％にとどまり、58.6％が「知らなかった」と回答、大企業では54.4％、中小企業では60.7%が「知らなかった」と回答しています。この設問は昨年の法改正によって規定された通知義務について聞いたもので、設問では2022年中となっていますが改正法の施行日が2022年4月1日と決まったことから来年4月からは通知義務が企業等に課されることになります。この調査は昨秋時点での結果ではありますが、改正された個人情報の中身を企業は熟知していないのではないか？との懸念を抱かせます。
法定刑の引き上げは施行済み
ちなみに昨年改正された法定刑の引き上げ部分(第83条～第87条)についてはすでに令和2年12月12日に施行されていますので、個人情報保護委員会の命令違反や虚偽報告等に対する罰則は、懲役刑では1年以下に、罰金刑では法人の場合、命令違反が1億円以下、虚偽報告等が50万円以下へと引き上げられています。新たな個人情報保護制度に対してどのように対応をしていくべきか、企業には来年4月の施行に向けて早急な取り組みが求められます。
■出典
https://www.sonpo.or.jp/cyber-hoken/data/2020-01/pdf/cyber_report2020.pdf