５月３０日に改正個人情報保護法が全面施行され、これまで同法の対象から除外されていた取り扱う個人情報が５０００人分以下の企業も同法に対応しなければならなくなる。個人の権利意識の高まりにより、個人情報の漏えいなどが起これば、その企業の社会的な信用は失墜し、事業の継続が事実上困難になる可能性もある。そこで、企業の情報管理に詳しい影島広泰弁護士に改正個人情報保護法の主な内容と対応策、中小企業が気を付けるべき点などについて話を聞いた。
――今回の改正の主な内容を教えてください。
一番大きいのは、やはり５０００人基準の廃止になる。日本は中小企業の数が多いので、これまで個人情報保護法の対象となる企業の数はさほど多くなかった。それが５月３０日からはすべての企業が個人情報保護法の対象となり、法令の定めに沿った対応をしなければならなくなる。
そのうえで、今回の改正で新設された内容について述べると、大きなものが二つある。一つは「要配慮個人情報」という概念ができたこと。要配慮個人情報とは人種や信条、病歴や犯罪歴、その他取扱いに特に配慮を要するものとして政令で定める個人情報を指し、改正によって特別な扱いをすることになった。企業が管理する従業員の情報には、こうした情報が含まれていることも多いが、要配慮個人情報はあらかじめ本人の同意を得ずに取得してはならないとされている。こうした情報を取得する企業は社内規程を整備し、業務フローも見直す必要があるだろう。
二つ目は、個人データ（個人情報データベース等を構成する個々の個人情報）の第三者提供時に確認・記録義務（トレーサビリティ）が課されることになったことだ。個人データを提供したり、されたりすることは少なくないと思うが、第三者提供の際に提供者、受領者ともに記録義務等が課されるようになることは実務的に非常に重要だ。
――要配慮個人情報の取得で気をつけるべきことは。
例えば、健康診断の結果は要配慮個人情報となる。労働安全衛生法に基づく年１回の健康診断の結果を実施機関から事業主が取得するのは、法令に基づく提供・取得に該当するので同意は不要だが、同法に基づかない健康診断の結果は本人の同意がなければ取得してはならないので、注意してほしい。
――他に注意すべきことはあるか。
今回の改正に当たって個人情報保護委員会から「個人情報の保護に関する法律についてのガイドライン」が制定された。新たなガイドラインはおおむね従来の経済産業分野のガイドラインに準拠したものとなっているが、個人情報の安全管理措置の面で気をつけるべき変更点が２点ある。１点目は区域の管理について。今までのガイドラインにはなかった考え方で、新たなガイドラインのＱ＆Ａでは、個人データの取り扱いは往来の少ないところで行い、パソコンから離れるときにはパスワード付きのスクリーンセーバー等を起動させ、離席時などに個人データを机の上などに放置しないといったことが挙げられている。２点目は個人データを社内で持ち運ぶときに容易に内容が判明しない措置を講じなければならないとされている点。例えば、顧客の個人データ一覧などをプリントアウトした際に、それをそのまま持ち運ばず、封筒に入れて運ぶといった対応が必要になる。この２点について、ルール化されていない企業では、ぜひルール化してほしい。
――中小企業が改正法への対応を進める場合、何から着手すればよいのか。
まずは社内のどこに、どのような個人情報が存在するかを把握することが重要だ。それができてしまえば、①個人情報を取得する際に何の目的で利用されるかが本人に伝わっているか、②取得した個人情報を決めた目的以外のことに使っていないか、③取得した個人情報を安全に管理しているか、④取得した個人情報を無断で他人に渡していないか、⑤本人から個人情報を開示してほしいと言われたときに断っていないか――の５つのポイントに従って、それぞれ対応を進めることになる。
――改正法への対応が不十分だと、どのような不利益が生じるのか。
安全管理措置義務など法律に定める義務に違反した場合は、個人情報保護委員会からの勧告や命令を経て、６月以下の懲役または３０万円以下の罰金に処されることになる。しかし、それ以上に企業にとって影響が大きいのは、レピュテーション（風評）リスクだろう。さらに、大企業は個人情報の取り扱いに敏感になっており、もし取引先の企業から個人情報が漏えいすれば、その後の取引に慎重にならざるを得ないから中小企業が取引関係を維持するためにも改正法への対応が重要だ。また、個人情報が漏えいした企業が本人から訴えられることも考えられる。訴訟となれば、大変な労力を割かなければならない。しっかりと改正法への対応を進めてもらいたい。
かげしま・ひろやす 平成１５年弁護士登録。牛島総合法律事務所パートナー。日本経済新聞社２０１６年企業法務・弁護士調査の情報管理部門で「企業が選ぶ弁護士ランキング２位」。近著に「平成２９年５月施行 改正個人情報保護法の実務対応マニュアル」（大蔵財務協会刊）など。
