個人情報保護法が改定！Webサイトの運用でも押さえておきたい変更点

2017年5月30日に改正個人情報保護法が施行されました。12年ぶりの改正となった背景には、個人情報の多様化や個人情報を取り扱う機会が多くなったことなどが挙げられます。

改正法では、個人情報に関する対象範囲や定義がより明確となりました。個人情報の保護は収集する側として、もちろんこれまで通り遵守が必要ですので、変更点のポイントをまとめました。

改定個人情報保護法の変更ポイント

旧個人情報保護法から、認識しておくべき変更点は以下となります。

1. 個人情報の取り扱い件数が5,000件以下でも法律の適用対象内に
2. 個人情報の定義が明確に
3. 第三者提供時の記録が義務化
4. 利用目的変更時の制限が緩和

1.個人情報の取り扱い件数が5,000件以下でも法律の適用対象内に

旧法では、取り扱う個人情報が5,000件以下の場合は、法律の対象外となっていました。しかし改正法では、社内の従業員を含む個人情報が1件でもあれば、たとえ取り扱い規模が少なくても法律の対象内となります。また、個人事業主や自治会など規模や組織の分類に限らず対象となります。

今後は、扱う個人情報が少ないから…と言った理由は通らなくなります。

2.個人情報の定義が明確に

旧法で個人情報と定められていたのは、特定の個人が識別できる情報となっていましたが、情報技術の発展に伴い収集可能な情報も多様化し、旧法ではカバーし切れずに漠然となっていた情報も明確に定義されました。具体的に新たに定義された個人情報の範囲は下記となります。

旧個人情報保護法の定義

• 氏名・生年月日・住所・電話番号
• クレジットカード情報
• 顔写真などの画像
• 防犯カメラ映像（画像と音声）
• 銀行口座番号
• メールアドレス（個人特定が可能なもの）

改正個人情報保護法の定義

旧法の定義に加え、

• 顔認証や指紋認証データなど身体特徴をデータ化したもの
• パスポート番号やマイナンバーなど重複なく個々に付与された符号情報
• スマホの端末IDなど機器情報

なお、改正法では人種・宗教などの信条・社会的身分、病歴、犯罪歴および被害歴を、「特に取り扱いに配慮を要する個人情報」として定められています。

3.第三者提供時の記録が義務化

流通する個人情報が追跡できるように、第三者に個人情報を提供する際に、提供年月日・提供先氏名・経緯の記録を残すことが義務となりました。また、提供される側もその記録を残し一定期間保管する必要があります。

これは、不正な個人情報のやり取りを防ぐためのもののようです。

4.利用目的変更時の制限が緩和

Webサイトの「プライバシーポリシー」ページなどが例に挙げられますが、個人情報を収集する場合には利用目的を明記しておく必要がありますが、その明記した情報を変更する制限が緩和されました。

旧法では、利用目的の内容変更範囲は「相当の関連性を有すると合理的に認められる場合」のみと、制限の敷居が高いものでしたが、改正法では「相当の」の部分が緩和されて、変更後の内容が関連性がある内容であれば、ある程度柔軟に変更することが可能となります。

個人情報の保護は収集する側の責務

Webサイトの運営においても、問い合わせフォームから情報を収集するなど、個人情報を取り扱うことが一般的となりました。改正個人情報保護法の変更点は是非内容を確認していただきたいと思います。

今回挙げたポイント以外にも、個人情報保護委員会のWebサイトにも詳しい内容が記載されていますので、合わせてご覧ください。