個人情報の保護に関する法律

個人情報の保護に関する法律
	; 日本の法令
通称・略称	個人情報保護法
法令番号	平成15年法律第57号
種類	消費者法
効力	現行法
成立	2003年5月23日
公布	2003年5月30日
施行	2003年5月30日
所管	（内閣府→）; （特定個人情報保護委員会→）; 個人情報保護委員会; 総務省［行政管理局／統計局］
主な内容	総則; 国及び地方公共団体の責務等; 個人情報の保護に関する施策等; 個人情報取扱事業者の義務等; 雑則; 罰則
関連法令	不正競争防止法; 個人情報保護法施行令
条文リンク	個人情報の保護に関する法律 - e-Gov法令検索
	ウィキソース原文
	テンプレートを表示

プライバシー > ガイドライン、標準規格、法制度等 > 個人情報保護法関連五法 > 個人情報の保護に関する法律

個人情報の保護に関する法律︵こじんじょうほうのほごにかんするほうりつ、英語: Act on the Protection of Personal Information^[1]︶は、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とした個人情報の取扱いに関連する日本の法律^[2]。略称は個人情報保護法。この法律では個人情報の定義を﹁生存する個人に関する情報であって、この情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの﹂としている。2003年︵平成15年︶5月23日に成立、同年5月30日公布。一般企業に直接関わる罰則を含む第4章から第6章︵現行　第7章)以外の規定は即日施行され、2005年︵平成17年︶4月1日に全面施行された。個人情報保護法および同施行令によって、取扱件数に関係なく^[注釈^1]、個人情報を個人情報データベース等として所持し事業に用いている事業者は個人情報取扱事業者とされ、個人情報保護委員会による命令に違反したり、個人情報取扱事業者の役員や従業員が自己または第三者の不正な利益を図る目的で、業務上取り扱った個人情報データベースを提供したりした場合等は、事業者に対して刑事罰が科される。例外規定が存在し、(1)法令に基づく場合、(2)人の生命、身体または財産の保護に必要な場合、(3)公衆衛生・児童の健全育成に特に必要は場合、(4)国等に協力する場合には、本人の同意がなくとも、個人情報の第三者提供が可能と規定されている^[3]。主務官庁は内閣府外局の個人情報保護委員会事務局だが、行政機関の保有する個人情報については総務省行政管理局調査法制課および統計局事業所情報管理課が担当。他の各省庁および独立行政法人国立印刷局官報部などと連携して執行にあたる。

概要[編集]

背景[編集]

個人情報保護法が制定された背景として以下の7つが挙げられる^[4]‥ ●情報化社会の進展とプライバシー問題の認識 ●個人情報保護法制定の世界的潮流 ●OECD 理事会のプライバシー保護勧告 ●地方公共団体の個人情報保護条例の増加 ●EU一般データ保護規則︵欧州連合指令︶^[5] ●電子商取引におけるプライバシー保護の要請 ●住民基本台帳法の改正による個人情報保護法制の要請

個人情報保護法とプライバシー[編集]

本法において、プライバシーという言葉は明示的には現れないものの、プライバシーの保護を重要な目的としている。^[6] しかし、本法違反が﹁直ちに﹂︵プライバシー侵害として︶不法行為を構成するかについては、これを否定する峻別説が一般的である。^[7] そのため、例えば形式的には本法に反する個人情報の目的外利用となる場合であっても、プライバシー侵害としての違法性が否定されることもある。^[8] 逆に、︵他の情報との照合により個人を特定できる場合でない︶携帯電話番号の公開について、プライバシー侵害として不法行為が認められることもある。^[8]

構成[編集]

●第1章総則︵第1条 - 第3条︶ ●第2章国及び地方公共団体の責務等︵第4条 - 第6条︶ ●第3章人情報の保護に関する施策等 ●第1節個人情報の保護に関する基本方針︵第7条︶ ●第2節国の施策︵第8条 - 第11条︶ ●第3節地方公共団体の施策︵第12条 - 第14条︶ ●第4節国及び地方公共団体の協力︵第15条︶ ●第4章個人情報取扱事業者の義務等 ●第1節総則︵第16条︶ ●第2節個人情報取扱事業者及び個人関連情報取扱事業者の義務︵第17条 - 第40条︶ ●第3節仮名加工情報取扱事業者等の義務︵第41条・第42条︶ ●第4節匿名加工情報取扱事業者等の義務︵第43条 - 第46条︶ ●第5節民間団体による個人情報の保護の推進︵第47条 - 第56条︶ ●第6節雑則︵第57条―第59条︶ ●第5章行政機関等の義務等 ●第1節総則︵第60条︶ ●第2節行政機関等における個人情報等の取扱い︵第61条 - 第73条︶ ●第3節個人情報ファイル︵第74条・第75条︶ ●第4節開示、訂正及び利用停止 ●第1款開示︵第76条 - 第89条︶ ●第2款訂正︵第90条 - 第97条︶ ●第3款利用停止︵第98条 - 第103条︶ ●第4款審査請求︵第104条 - 第107条︶ ●第5款条例との関係︵第108条︶ ●第5節行政機関等匿名加工情報の提供等︵第109条 - 第123条︶ ●第6節雑則︵第124条 - 第129条︶ ●第6章個人情報保護委員会 ●第1節設置等︵第130条 - 第145条︶ ●第2節監督及び監視 ●第1款個人情報取扱事業者等の監督︵第146条 - 第152条︶ ●第2款認定個人情報保護団体の監督︵第153条 - 第155条︶ ●第3款行政機関等の監視︵第156条 - 第160条︶ ●第3節送達︵第161条 - 第164条︶ ●第4節雑則︵第165条 - 第170条︶ ●第7章雑則︵第171条 - 第175条︶ ●第8章罰則︵第176条 - 第185条︶ ●附則

見直し[編集]

個人情報保護法は、3年ごとに見直すことが、2015年に明文化されている。当初の根拠規定は次のようである。‥ 個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律︵平成27年法律第65号︶　附則第12条第3項 3政府は、前項に定める事項のほか、この法律の施行後三年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとする。その後、2020年の改正の際に、根拠規定が次のものに変更された。なお個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律︵平成27年法律第65号︶　附則第12条第3項は、﹁この法律の施行後三年ごとに﹂が﹁この法律の施行後三年を目途として﹂に改正されている。 個人情報の保護に関する法律等の一部を改正する法律︵平成27年法律第65号︶　附則第10条 第十条　政府は、この法律の施行後三年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとする。

第一章　総則[編集]

基本理念[編集]

高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念および政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする︵第1条︶。個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきことに鑑み、その適正な取扱いが図られなければならない︵第3条︶。 ●﹁プライバシーの権利﹂については、本法では明文で規定していない。 ●本法は、個人情報をあまねく網羅して規制を掛けるという趣旨の法律ではない。

定義[編集]

個人情報[編集]

本法︵第2条第1項︶では、個人情報を次のとおりに定義している‥ この法律において﹁個人情報﹂とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。一　当該情報に含まれる氏名、生年月日その他の記述等︵文書、図画若しくは電磁的記録︵電磁的方式︵電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。︶で作られる記録をいう。第十八条第二項において同じ。︶に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項︵個人識別符号を除く。︶をいう。以下同じ。︶により特定の個人を識別することができるもの︵他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。︶二　個人識別符号が含まれるもの — 個人情報保護法第2条1項上記二号の﹁個人識別符号﹂は、第2条第2項で次のとおりに定義している‥ 2　この法律において﹁個人識別符号﹂とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。一　特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの二　個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの — 個人情報保護法第2条2項

個人に関する情報[編集]

上述した﹁個人に関する情報﹂の定義や具体例はこの法律には規定されていないが、個人情報保護委員会の﹃個人情報保護法ガイドライン︵通則編︶﹄には個人情報保護法における﹁個人に関する情報﹂を以下のように説明している。氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない︵中略︶。 — 個人情報保護法ガイドライン︵通則編︶ p5 金融庁の﹃金融分野における個人情報保護に関するガイドライン﹄p1にもほぼ同様の記述があるが、最後の暗号に関する記述はない。金融庁のこのガイドラインでは、﹁個人に関する情報﹂と個人情報の関係を以下のように説明している‥ ﹁個人に関する情報﹂が、氏名等と相まって﹁特定の個人を識別することができる﹂ことになれば、それが﹁個人情報﹂となる。 — 金融分野における個人情報保護に関するガイドライン

死者の情報[編集]

本法では個人情報を﹁生存する個人に関する情報﹂と限定している︵第2条1項︶。したがって、死者に関する情報は個人情報に含まれない。ただし前述の﹃個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン﹄には、以下の注意が述べられている‥ 死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。 — 個人情報保護法ガイドライン︵通則編︶ p5 ﹃[https://www.fsa.go.jp/common/law/kj-hogo/01.pdf 金融分野における個人情報保護に関するガイドライン﹄p1にも同一の記述がある。

外国人と法人[編集]

﹁生存する個人﹂には日本国民に限られず、外国人も含まれるが、法人その他の団体は﹁個人﹂に該当しないため、法人等の団体そのものに関する情報は含まれない︵ただし、役員、従業員等に関する情報は個人情報︶。 — 個人情報保護法ガイドライン︵通則編︶p5

その他の用語の定義[編集]

個人情報データベース等個人情報データベース等は、個人情報を含む、コンピュータ等で容易に検索できるデータベースや、目次や索引等によって体系的に整理された紙のデータベース等を指す︵第2条2項︶。コンピュータに入力して検索可能であるか、目次、索引などを有し検索が容易であることが要件であり、未整理の紙の情報等は該当しない。個人データ個人情報データベース等を構成する個人情報は個人データと呼ばれる︵第16条3項︶。保有個人データ︵第16条4項︶個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データのことで、以下のもの以外。 ●その存否が明らかになることにより公益その他の利益が害されるもの︵施行令5条︶ (一)当該個人データの存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの (二)当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、または誘発するおそれがあるもの (三)当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれまたは他国もしくは国際機関との交渉上不利益を被るおそれがあるもの (四)当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧または捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの本法は主に個人データの取扱いに関して個人情報取扱事業者に義務を課している。すなわち、個人情報データベース等に含まれる個人情報だけが、個人データとして法の直接の規制対象になる。個人情報データベース等を構成するすべての情報が個人データになるわけではない。後述の規制対象となる個人情報取扱事業者が扱う個人情報データベース等に含まれない個人情報であって、店頭での呼出しアナウンスなどの音声、メモ書き、人の記憶などのものには、この法律の規制は及ばない。

第二章　国及び地方公共団体の責務等[編集]

国は、この法律の趣旨にのっとり、個人情報の適正な取扱いを確保するために必要な施策を総合的に策定し、及びこれを実施する責務を有する。地方公共団体は、この法律の趣旨にのっとり、その地方公共団体の区域の特性に応じて、個人情報の適正な取扱いを確保するために必要な施策を策定し、及びこれを実施する責務を有する︵第4条、第5条︶。

第三章　個人情報の保護に関する施策等[編集]

国及び地方公共団体の責務・施策[編集]

●政府は、個人情報の保護に関する施策の総合的かつ一体的な推進を図るため、個人情報の保護に関する基本方針を定めなければならない。内閣総理大臣は、消費者委員会の意見を聴いて、基本方針の案を作成し、閣議決定を求めなければならない。閣議決定があったときは、遅滞なく、基本方針を公表しなければならない︵第7条︶。 ●国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする︵第8条︶。地方公共団体は、その保有する個人情報の性質、当該個人情報を保有する目的等を勘案し、その保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずることに努めなければならない︵第11条︶。

個人情報取扱事業者の対象[編集]

個人情報等データベースを事業に用いる者であって、次の者を除く者を対象とする︵第16条2項︶^[9]。 ●国、地方公共団体、独立行政法人等および地方独立行政法人︵第6章で別途規定︶したがって、事業者には営利法人だけでなく非営利法人、個人も事業の用に供している場合は、該当する。

第四章　個人情報取扱事業者の義務等[編集]

OECD8原則との関係[編集]

本法の条文とOECD8原則は以下のように対応している^[10]‥


OECD8原則	個人情報保護法（条文要約）
収集制限の原則	第19条　　偽りその他不正の手段により個人情報を取得してはならない。
データ内容の原則	第22条　　個人データを正確かつ最新の内容に保たねばならない。
目的明確化の原則利用制限の原則	第17条　　利用目的をできる限り特定しなければならない。第18条　　利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。第23条　あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない。
安全保護措置の原則	第23条　個人データの安全管理のために必要かつ適切な措置を講じなければならない。第24条・第25条　個人データの安全管理が図られるよう従業者・委託先に対する必要かつ適切な監督を行わなければならない。
公開の原則個人参加の原則	第21条　　個人情報を取得した場合は速やかに、その利用目的を、本人に通知し、又は公表しなければならない。第32条　利用目的等を本人の知り得る状態に置かなければならない。第33条　本人が識別される保有個人データの開示を請求することができる。第34条　本人は保有個人データの内容の訂正、追加又は削除を請求することができる。第35条　　本人は当該保有個人データの利用の停止又は消去を請求することができる。
責任の原則	第40条　個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

個人情報取扱事業者の主な義務[編集]

個人情報保護法第4章第2節に個人情報取扱事業者の義務が記されている。

個人情報について[編集]

●利用目的の特定︵第17条︶ ●利用目的の制限︵第18条︶ ●適正な取得︵第20条︶ ●取得に際しての利用目的の通知︵第21条︶ ●苦情の処理︵第40条︶個人データについては、データ内容の正確性の確保︵第22条︶、安全管理措置や従業者・委託先の監督︵第24条・第25条︶、第三者提供の制限︵第27条︶が定められている。保有個人データについては、事項の公表等︵第32条︶、開示︵33条︶、訂正等︵第34条︶、利用停止等︵第35条︶が規定されている。事項の公表、開示、訂正、利用停止の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない︵第36条︶。

第三者提供の制限[編集]

個人情報取扱事業者は、以下の場合を除いては、あらかじめ本人の同意を得なければ、個人データを第三者に提供してはならない︵第20条︶。 (一)法令に基づく場合。︵例‥国勢調査などの統計調査等︶ (二)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。︵例‥事故の際の安否情報など︶ (三)公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。︵例‥児童虐待情報など︶ (四)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要があって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。︵例‥犯罪捜査の協力など︶ただし、必ずしも本人の同意を得なくとも、以下の場合は第三者への提供ができるものと規定されている。第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次の4点についてあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる︵第23条第2項︶。 (一)第三者への提供を利用目的とすること (二)第三者に提供される個人データの項目 (三)第三者への提供の手段又は方法 (四)本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することまた、個人情報取扱事業者と実質的に同一とみなしうる事業者が共同で利用する場合、または共同利用もしくは業務委託として一定の要件を満たした場合は、第三者とみなされない規定がある。すなわち、これらの場合は、本人の同意を得る必要がない^[注釈 2]。

事項の公表等[編集]

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない︵第37条2項︶。この場合は、手数料を徴収できる︵第38条︶。

開示請求[編集]

個人情報取扱事業者は、本人から保有個人データの開示を求められたときは、以下のいずれかに該当する時を除いては、遅滞なく開示しなければならない。ただし、情報の存否を明らかにすることによって公益等が害される情報は除かれる︵第19条︶。この場合は、手数料を徴収することができる︵第30条︶。 (一)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合 (二)当該個人情報保護取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合 (三)他の法令に違反することとなる場合医療機関等に訴訟外で、医療の診療録等を開示や、信用情報の個人情報開示請求する例が考えられる。

訂正請求[編集]

個人情報取扱事業者は、本人から、保有個人データの内容が事実でないという理由によって当該個人データの内容の訂正、追加又は削除を求められた場合は、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、保有個人データ等の訂正を行わなければならない︵第34条︶。

利用停止請求[編集]

個人情報取扱事業者は、本人から、個人情報の目的外の利用を行っていること、個人情報を不正に取得したことを理由として、保有個人情報データの利用停止または消去を求められた場合であって、その求めに理由があると認められるときは、違反を是正する限度で、利用停止等を行わなければならない。ただし、利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない︵第35条1項︶。

個人情報保護委員会による報告徴収等[編集]

個人情報保護委員会は、個人情報取扱事業者の義務の規定の施行に必要な限度において、個人情報取扱事業者に関し、個人情報の取扱いについて報告を求め︵第146条︶、助言することができる︵第147条︶。個人情報保護委員会は、個人情報取扱事業者が本法の規定︵ただし開示請求等は除く︶に違反していて個人の権利利益を保護するために措置をとる必要があると認めるときは、勧告することができる︵第148条︶。個人情報保護委員会は、個人情報取扱事業者が正当な理由なく勧告に従わないときにはその勧告に係る措置をとるべきことを命ずることができ︵第148条2項︶、それに従わないときは、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる︵第148条3項︶。命令に違反すると1年以下の懲役または100万円以下の罰金に処せられることがある︵178条︶。

適用除外[編集]

個人情報取扱事業者が、マスコミ・著述業関係、大学等、宗教団体や政治団体であり、それぞれ、報道・著述、学術研究、宗教活動、政治活動の目的で個人情報を利用する場合は、個人情報取扱事業者の義務の適用を受けない︵第57条1項︶。これは、個人情報保護委員会の報告徴収等を通じて表現の自由等を制約するおそれがあるという強い反対論に基づいて設けられた規定である。これらの者については、個人情報保護のために必要な措置を自ら講じ、内容を公表する努力義務が課せられる︵第57条3項︶。さらに個人情報保護委員会は、一般の個人情報取扱事業者がマスコミ・著述業関係、大学等、宗教団体や政治団体に対して、上述の目的に利用するために個人情報を提供する場合には、報告徴収や命令等の権限を行使しないものとしている︵個人情報保護法そのものの適用除外を意味するものではない︶。なお、これらの職にある者が、正当な理由がない場合に、業務上の取扱いによって知り得た秘密を漏らしたときは、刑法134条2項の秘密漏示罪が成立することがある。個人情報取扱事業者の義務の除外と刑法上の責任の免除とは別である点に留意する必要がある。

認定個人情報保護団体[編集]

個人情報に関する苦情処理や事業者への情報提供等の業務を行おうとする法人︵権利能力なき社団も含む︶は、個人情報保護委員会の認定を受けて認定個人情報保護団体となることができる︵第47条︶。認定個人情報保護団体でない者は、認定個人情報保護団体という名称又はこれに紛らわしい名称を用いてはならない︵第56条︶。違反した者は、10万円以下の過料に処せられる︵第185条︶。認定個人情報保護団体は、その認定業務を廃止しようとするときは、あらかじめ、その旨を主務大臣に届け出なければならない︵51条︶。届出をせず、又は虚偽の届出をした者は、10万円以下の過料に処せられる︵第185条︶。個人情報保護委員会は、規定の施行に必要な限度において、認定個人情報保護団体に対し、認定業務に関し報告をさせることができる︵第153条︶。報告をせず、又は虚偽の報告をした者は、50万円以下の罰金に処せられる︵第182条︶。

第五章　行政機関等の義務等[編集]

行政機関の保有する個人情報の保護に関する法律及び独立行政法人の保有する個人情報の保護に関する法律で規定していた事項を規定し、地方公共団体も対象としたもの。

第六章　個人情報保護委員会[編集]

個人情報保護委員会の設置、任務、権限を規定。

2015年改正[編集]

2015年︵平成27年︶の通常国会︵第189回国会︶において、同年9月3日に衆院本会議で﹁改正個人情報保護法﹂が与党や民主党などの賛成多数で可決、成立^[11]^[12]。蓄積された膨大な個人情報を﹁ビッグデータ﹂として企業が利用しやすくする一方、情報漏洩に対する罰則を新設した^[11]^[12]。

●取り扱う個人情報の数が5000件以下の﹁小規模取扱事業者﹂も法律適用の対象となり、﹁件数要件﹂が撤廃となった^[13] 。 ●﹁利用目的の明示﹂、﹁第三者提供の際の本人同意﹂といった個人情報を活用するにあたっての義務が細かく定められた^[13]。 ●個人情報を復元できないよう﹁匿名加工情報﹂にするなど、一定の条件を満たすことで第三者に提供することも可能になるとされた^[13^]。

2022年改正[編集]

●行政機関の保有する個人情報の保護に関する法律及び独立行政法人の保有する個人情報の保護に関する法律で規定していた事項を個人情報保護法に統合。地方公共団体も対象とする。 ●主務大臣の権限を、個人情報保護委員会に移管。

法律への誤解・拡大解釈[編集]

この法律については、誤解や過剰反応に基づいた問題が発生している。﹁個人の権益を守りながらも、必要に応じて個人情報を有効活用する﹂という法律の基本理念を逸脱した拡大解釈が見られる。例として、回答拒否者には罰則規定もある国勢調査のような基幹統計調査の拒否の理由にも使えると誤解した人々が増加して回答率が下がる、学校の緊急連絡網が作れない、災害時要援護者リストの作成遅延などがある^[14]。実際には、法律上、主務官庁の、個人情報取扱事業者に対する監督がなされるだけで、一般国民に対する直接の規制はない。事業者による個人情報漏洩^[注釈 3]それ自体に対する直接の罰則はない。個人情報取扱事業者の主務官庁による中止・是正措置の勧告がなされ、従わない場合または要求された報告をしない場合には罰則が課される。個人情報漏洩を原因とした損害^[注釈 4]が発生した場合は、民事上の責任を問われる。災害や大規模な事故などが発生した際の安否情報も、第23条第1項第2号の﹁人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき﹂に該当するので、この法律の規制は及ばないと解釈される。しかし、次のようなことがあった。 ●JR宝塚線︵福知山線︶の脱線事故では、家族からの安否確認に回答するかどうかで医療現場で混乱が生じ話題となった。 ●新潟県中越沖地震では、同県柏崎市が個人情報保護法の施行を理由に、﹁要援護者﹂の名簿を地元自治会や消防にあらかじめ提供していなかったことが分かった。4人の死亡者が名簿に掲載されており、﹁あらかじめ知らされていれば対応ができたのでは﹂との疑問の声が出た。自治体が保有する要援護者名簿が町内会に共有されていれば、地震の死者を減らせた可能性がある^[15]^[16]。 ●﹁学級連絡網・卒業アルバムが作れない﹂、﹁医療機関への個人情報の提供を拒む﹂、﹁企業の社員住所録が作成されなくなる﹂などの事態も起きている^[注釈 5]。内閣府ではこういった過剰反応や誤解に対し、個人情報保護法に抵触しない例を出すこととなった^[17]。﹁オプトアウト﹂を定める第23条2項の趣旨は﹁利用停止を求めれば、第三者提供は停止される﹂というものであり、﹁本人に通知する﹂ことの代替として﹁本人が容易に知り得る状態に置く﹂ことを容認している。

成立の経緯[編集]

汎用コンピュータの処理能力が向上したことにより、行政・民間が保有する膨大な個人情報を容易に処理することが可能となった結果、そういった個人情報データベース等からの個人情報漏洩によるプライバシー侵害への危険性、不安が増大していった。また、行政部外者による、行政機関に所属する公務員の個人情報取得およびその不適切な使用によって政策決定等への障碍可能性が公平性の観点から危惧されるようになった。1980年︵昭和55年︶にはOECD理事会で﹁プライバシー保護と個人データの国際流通についてのガイドラインに関する勧告﹂^[18]が採択されるなど、国際的にも個人情報の取扱いや積極的プライバシー権の保護が次第に重要視されるようになった。日本では、 1988年︵昭和63年︶に、公的機関を対象とした﹁行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律﹂が公布された。 1989年︵平成元年︶には、民間部門に対して通商産業省︵現:経済産業省︶が﹁民間部門における電子計算機処理に係る個人情報の保護に関するガイドライン﹂を策定した。しかし﹁行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律﹂には罰則規定がなく、また民間部門を対象としたガイドラインには法的拘束力がないなど、個人情報の保護という観点から十分に機能しているとは言いがたい状況であった。さらに住民基本台帳ネットワークの稼動︵2002年︵平成14年︶︶、中川秀直愛人スキャンダル事件︵2000年︵平成12年︶︶、Yahoo! BB顧客情報漏洩事件︵2004年︵平成16年︶︶、TBC個人情報漏洩事件︵2002年︵平成14年︶︶など多発する個人情報漏洩事件を受けて、2002年︵平成14年︶に個人情報保護法関連五法が国会に提出された。個人情報保護法は、個人情報を取得する際には個人情報の利用方法を本人に明確に伝えなければならないと定めているために、報道の自由を侵害するなどの理由から反対運動が展開され、一度廃案となったが、再度審議され2003年︵平成15年︶5月に成立した。企業への準備期間として、法律成立から施行までに2年間の準備期間が設けられた。個人情報保護法が施行される直前の2005年︵平成17年︶3月には、これまで起きていながら隠蔽していた個人情報漏洩事件を公表する企業が多くあった。探偵を安易に多用し、採用時以外においても、必要以上の個人情報を積極的に取得する等、個人情報保護に関する感覚が希薄だった、従来の日本の企業習慣に対する法規制となった。

法律に関わる事務[編集]

法律に関わる事務全般は、個人情報保護委員会によって行われている。これは、平成28年1月1日に効力を発した﹁個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律﹂︵平成27年法律第65号︶の一部施行によるものである。

2000個問題[編集]

2022年改正までは、個人情報保護法には個人情報保護の基本理念、国及び地方公共団体の責務等が規定されているものの、具体的な義務が書かれているのは事業者のみで、国の行政機関、独立行政法人、地方公共団体等の義務については記載がなく^[21]、それぞれ﹁行政機関個人情報保護法﹂、﹁独立行政法人個人情報保護法﹂、﹁個人情報保護条例﹂が規律している^[22]。また事業者に対しても義務を守るための指針は個人情報保護法には規定されておらず、﹁個人情報委員会ガイドライン﹂、﹁事業分野ガイドライン﹂、﹁個人情報保護指針﹂で規定している^[21]。こうした事情から﹁民間事業者﹂＋﹁国の行政機関﹂＋﹁独法﹂＋﹁自治体︵都道府県47、市区町村1750、広域連合等115︶﹂^[21] で日本国内におよそ2000個の条例等があるかなり煩雑な状態になっており、これを2000個問題という^[21]。2000個問題により、下記のような弊害が生じていた‥ ●そもそも条例未制定の地方公共団体の存在^[21] ●個人情報の利活用の格差^[22]や自治体ごとの個人情報に対する知識の格差^[22] ●条例ごとの解釈や手続の差異による自治体間連携の妨げ^[21]^[2^2] ●官民で異なる規律なので監督官庁がはっきりしないものが存在^[22^] 医療情報のような機微な情報でもこのような弊害が指摘されており^[2^1]^[22]、実際東日本大震災の際、﹁民間支援団体に提供して支援や安否確認を実施した自治体は、2自治体しかない﹂^[22]といった弊害が起こった。その後災害対策基本法の改正により﹁﹁避難行動要支援者名簿﹂の作成義務と、自治体と支援団体間での事前情報共有を促す条項が設けられた﹂ものの、平常時から個人情報を官民で共有するにはハードルが高いという現状が2022年まではあった^[22]。 2022年改正で、個人情報保護法に、国、独立行政法人、地方公共団体についても一元的に規定したため、この問題はおおむね解消された。

脚注[編集]

[脚注の使い方]

注釈[編集]

(一)^ 2017年︵平成29年︶5月30日以前は、5,000件以下の個人情報を扱う企業や者は対象外であった (二)^ この規定はメガバンクが相当な広範囲で個人情報を利用するという問題をはらんでいる。大蔵省に対する回答﹁一般に、銀行等と顧客との契約の約款において、個人情報を系列企業の商品販売に利用しないとは書いていないが、顧客から止めてほしい旨言われれば止めるようにしている﹂第4回個人情報保護検討部会議事要旨 1999年9月7日 (三)^ ここでは、個人情報取扱事業者が、個人データの漏洩防止等のための安全管理措置義務︵第20条︶を怠って個人データを漏洩した場合をいう。 (四)^ 通常は、個人情報取扱事業者が安全管理措置義務︵第20条︶を怠って個人データを漏洩し、もって当該データの個人情報が第三者に知られる可能性が生じた時点で、本人の精神的損害︵慰謝料︶は少なくとも認められうる。 (五)^ この法律の規制が及ばないというわけではない。場合によっては、組織外への第三者への無断提供や、漏洩防止等のための安全管理措置義務は、規制の対象になりうる。本人の同意が必要になる場合があり、全員が同意しなかった場合に、﹁本人が同意しなかったという個人情報﹂自体が組織内で共有されてしまうとして、最初から作成しないということも起こり得る。

出典[編集]

(一)^ “個人情報の保護に関する法律” [Act on the Protection of Personal Information]. 日本法令外国語訳データベースシステム. 法務省. 2023年1月19日閲覧。 (二)^ 統計調査と個人情報保護総務省 (三)^ https://www.ppc.go.jp/files/pdf/personal_pamph27_caa.pdf (四)^ 基本的人権の保障に関する調査小委員会 (2003年). “衆憲資第28号知る権利・アクセス権とプライバシー権に関する基礎的資料―情報公開法制・個人情報保護法制を含む―︵平成15年5月15日の参考資料︶” (PDF). 衆議院. pp. 77-78. 2016年8月31日閲覧。 (五)^ 欧州議会 (1995年). “個人データ処理に係る個人の保護及び当該データの自由な移動に関する指令” (PDF). 2016年9月26日閲覧。 (六)^ 石井, 曽我部 & 森 2021, p. 6. (七)^ 松尾 2017, p. 244. (八)^ ^a ^b松尾 2017, p. 245. (九)^ “個人情報の保護に関する法律第16条2項”. e-Gov法令検索. デジタル庁. 2023年10月15日閲覧。 (十)^ 中間整理 p.6. (11)^ ^a ^b“改正マイナンバー法成立＝１８年から預金口座に適用－年金との連結は延期”. 時事通信社. (2015年9月3日) 2015年9月4日閲覧。 (12)^ ^a ^b“改正マイナンバー法成立＝2018年から預金口座に適用－年金との連結は延期”. 産経新聞. (2015年9月3日) 2015年9月4日閲覧。 (13)^ ^a ^b ^c河鐘基 (2017年10月19日). “ビッグデータの利活用、日本企業は﹁匿名化﹂問題を超えられるか”. Forbes Japan. 2017年10月30日閲覧。 (14)^ “統計調査と個人情報保護”. 総務省統計局. 2022年7月23日閲覧。 (15)^ 新潟県中越沖地震﹁要援護者情報﹂伝わらず︵産経新聞7月19日13時30分配信︶ (16)^ 中越沖地震が教える過剰反応対策の必要性 (17)^ 内閣府国民生活局個人情報保護推進室﹁個人情報保護法に関するよくある疑問と回答﹂^{[リンク切れ]} (18)^ OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (19)^ GDPR︵EU一般データ保護規則︶とは？日本企業が対応すべきポイントを考える (20)^ EUデータ保護規則︵GDPR︶ (21)^ ^a ^b ^c ^d ^e ^f ^g“個人情報保護法制２０００個問題について” (pdf). 内閣府. pp. 2-3 (2016年11月). 2020年6月23日閲覧。 (22)^ ^a ^b ^c ^d ^e ^f ^g ^h岡本正︵銀座パートナーズ法律事務所弁護士・法学博士︶ (2015年5月13日). “個人情報保護法制﹁２０００個問題﹂って何？﹁自治体個人情報保護法﹂による解決を目指す”. Yahoo Japan. 2020年6月23日閲覧。

参考文献[編集]

●石井夏生利; 曽我部真裕; 森亮二﹃個人情報保護法コンメンタール﹄勁草書房、2021年3月。 ●松尾　剛行﹃最新判例にみるインターネット上のプライバシー・個人情報保護の理論と実務﹄勁草書房、2017年7月。 ●﹃個人情報保護法の知識﹄日経文庫、2010年。ISBN 4532112095。

個人情報保護法の﹁いわゆる3年毎の見直し﹂関連の資料[編集]

●2020年度 ●“個人情報保護法いわゆる3年ごと見直しに係る検討の中間整理” (pdf). 個人情報保護委員会 (平成31年4月25日). 2019年9月6日閲覧。 ●“﹁個人情報の保護に関する法律等の一部を改正する法律案﹂の閣議決定について”. 個人情報保護委員会 (2020年3月20日). 2020年6月24日閲覧。

外部リンク[編集]

個人情報の保護に関する法律（平成十五年法律第五十七号）.e-Gov法令検索. 総務省行政管理局
個人情報の保護に関する法律施行令（平成十五年政令第五百七号）.e-Gov法令検索. 総務省行政管理局
個人情報の保護に関する法律 - ウェイバックマシン（2002年6月13日アーカイブ分） - 首相官邸
個人情報保護法について（個人情報保護委員会）
個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン（経済産業省）
個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン等に関するＱ＆Ａ（経済産業省）
プライバシーマーク制度（一般財団法人日本情報経済社会推進協会）

[1]

[2]

[注釈

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[注釈 2]

[11]

[12]

[13]

[14]

[注釈 3]

[注釈 4]

[15]

[16]

[注釈 5]

[17]

[18]

[19]

[20]

[21]

[22]