2020年改正個人情報保護法の解説～ＥＵの一般データ保護規則（ＧＤＰＲ）との比較も含めて

保険研究部専務取締役研究理事兼ヘルスケアリサーチセンター長松澤登

■要旨

2003年に制定された個人情報保護法については3年ごと見直しがされることとされている。最終2015年改正（2016年1月以降順次施行）後3年経過したことから、個人情報保護委員会で2019年1月より審議が開始され、2019年12月に改正大綱が公表された。
これを受け、2020年通常国会に改正案が付議され、6月5日に可決成立、6月12日に公布された。改正法は一部を除き、公布より2年以内に施行される。改正のポイントは以下のとおりである。
まず、情報加工事業者が、クッキーなどのオンライン識別子だけを利用して、匿名のままデータを加工するが、その加工データの提供先では個人情報に該当することとなる場合には、提供先が、本人からあらかじめ個人情報の取得についての本人同意を得なければならないこととされた。
次に、個人情報取扱事業者において、個人データが適切に取り扱われることを確保するための前提としての、本人からの開示請求について、電子的に提供するように求めることができることとした。また、個人データの利用停止等の請求ができる場合を拡大した。そして、重大な漏洩事案が発生した場合、個人情報保護委員会への報告と本人への通知を義務付けることした。漏洩事案発生時に、これらの対応が求められることを踏まえた事前の準備が欠かせない。
また、オプトアウト方式（本人からは事後に提供停止を請求できる）による個人データの第三者提供について、提供できるデータの範囲を限定するなどの改正が行われる。さらに、すでに個人情報取扱事業者間で個人データのやり取りを行った場合に記録をすることが求められているが、改正法ではその記録について本人が開示請求できることとした。
最後に、仮名加工情報という新たな個人データの利用方法を認めることとした。個人データから個人を識別できる情報を削除することで、個人情報保護法の一定の規制を受けず、データを利活用できるとするものである。経営戦略作手にあたってデータをより活用できることが期待される。
ＥＵの個人情報保護法制であるＧＤＰＲほど厳格ではないが、個人データ保護に関する規律が強化される一方で、仮名加工情報を認めるなど、バランスの取れた改正法となっている。

■目次

1――はじめに
2――個人データを利用する事業者への規制適用
　　1｜個人情報取扱事業者の定義
　　2｜個人情報の範囲とこれまでの議論
　　3｜提供先で個人情報になるデータ提供規制の導入
　　4｜残された課題：オンライン識別子の取り扱い
3――個人情報取扱事業者に対する本人の権利
　　1｜個人情報取扱事業者の現行法における責務
　　2｜開示請求をはじめとする本人権利の強化
　　3｜個人データ漏洩時の事業者の責務の強化
　　4｜残された課題：同意の撤回とデータポータビリティ
4――個人データの第三者提供に関する規律
　　1｜現行法で第三者提供を行うための三つの方法
　　2｜オプトアウトの規制強化
5――新たに導入される仮名加工情報
　　1｜仮名加工情報の意味・定義
　　2｜仮名化による規制適用除外
6――おわりに

日付	タイトル	執筆者	媒体
2024/12/03	AI事業者ガイドライン－総務省・経済産業省のガイドライン	松澤登	基礎研レポート
2024/11/22	TemuのEU消費者保護法制違反被疑事案－CPCネットワークの指示・調査	松澤登	研究員の眼
2024/11/19	欧州委員会によるTemuの調査－デジタルサービス法違反被疑事案	松澤登	研究員の眼
2024/11/06	情報伝達・取引推奨による内部者取引－東証職員によるインサイダー取引疑惑	松澤登	研究員の眼

日付

タイトル

執筆者

媒体

2024/12/03

AI事業者ガイドライン－総務省・経済産業省のガイドライン

松澤登

基礎研レポート

2024/11/22

TemuのEU消費者保護法制違反被疑事案－CPCネットワークの指示・調査

松澤登

研究員の眼