個人情報保護法とは？事業者の義務と罰則を正しく確認

個人情報保護法とは？事業者の義務と罰則を正しく確認

個人情報とは

個人情報とは、生存する個人に関する情報で、氏名や生年月日などによって特定の個人を識別できるものです。その情報だけでは個人を特定できなくても、ほかの情報と容易に照合でき、特定の個人が分かるものも含まれます。

顔認識データや指紋認識データ、旅券番号、運転免許証番号などの「個人識別符号」が含まれる情報も個人情報です。病歴、障害、健康診断の結果、犯罪被害の事実などは「要配慮個人情報」に当たり、取得や取扱いに特に注意が必要です。

氏名を削除しただけで、ほかの情報と照らし合わせれば本人を識別できる場合は、個人情報のままです。一方、法律で定められた方法により、特定の個人を識別できず、元の個人情報に戻せないよう加工したものは「匿名加工情報」として別の規律が適用されます。

事業者に求められる主な対応

事業者は、個人情報を何に使うのかをできる限り具体的に定め、本人へ通知するか公表しなければなりません。あらかじめ示した利用目的を超えて扱う場合は、原則として本人の同意が必要です。

個人データを扱うときは、漏えい、滅失、毀損を防ぐために必要かつ適切な安全管理措置を講じます。従業者や委託先の監督も必要です。また、個人データを第三者へ提供するときは、法律上の例外を除き、原則として本人の同意を得なければなりません。

漏えいなどが発生し、個人の権利や利益を害するおそれが大きい事態に当たる場合は、個人情報保護委員会への報告と本人への通知が必要です。対象になるか、いつまでに何を報告するかは、漏えいした情報の種類や件数、原因などによって決まります。

本人が求められること

本人は、事業者が保有する「保有個人データ」について、利用目的の通知や開示を請求できます。内容が事実と異なる場合は訂正、追加または削除を求められます。

利用目的の範囲を超えて扱われている場合、不正に取得された場合、違法な第三者提供が行われた場合などには、利用停止や消去、第三者提供の停止を請求できることがあります。ただし、どのような場合でも希望だけで直ちにデータを削除できるという制度ではありません。事業者が法令に基づいて保管する必要がある情報などは、削除されない場合があります。

違反した場合の命令と罰則

個人情報保護法に違反したからといって、すべての行為に同じ刑事罰が直接科されるわけではありません。個人情報保護委員会は、必要に応じて報告を求め、立入検査、指導・助言、勧告、命令を行います。

個人情報保護委員会の命令に違反した場合は、1年以下の拘禁刑または100万円以下の罰金の対象になります。個人情報データベースなどを扱う者が、不正な利益を得る目的でデータを提供または盗用した場合は、1年以下の拘禁刑または50万円以下の罰金の対象です。委員会への虚偽報告や検査拒否などには、50万円以下の罰金が定められています。

法人については、命令違反や不正なデータ提供などで1億円以下の罰金が科される場合があります。安全管理が不十分だった事実だけで直ちに刑事罰が決まるわけではありませんが、行政上の措置や損害賠償、信用低下につながるおそれがあります。

まとめ

個人情報保護法は、個人情報を使ってはいけないと定めた法律ではありません。利用目的を明らかにし、安全に管理し、本人の権利に配慮しながら適正に活用するための法律です。事業者は、扱う情報の内容と業務の規模に合わせて管理方法を定め、漏えいなどが起きたときの連絡・報告手順も準備しておく必要があります。