個人情報保護法施行規則の令和６年改正について

（丸の内中央法律事務所事務所報No.45, 2024.8.1)

第１　個人情報保護法施行規則の令和６年改正の概要

　個人情報保護法施行規則（以下「施行規則」といいます。）第7条第3号が、令和５年12月27日付で改正、令和6年4月1日付で施行され、同改正に併せて「個人情報保護法ガイドライン（通則編）」1）も改訂されました（以下、便宜的にこれらの改正・改訂を併せて「令和6年改正」といいます。）。

　令和6年改正の概要は以下の通りです。

　①　漏えい等発生時の報告・通知等の義務が生じる「個人データ」の範囲の拡大
　②　安全管理措置に関する「個人データ」の範囲が拡大

第２　改正の趣旨

　令和6年改正は、ウェブスキミング2）対策を念頭に置いた改正です3）。

　ウェブスキミングによって、ウェブサイトにユーザーが入力しようとした情報が当該ウェブサイトの運営事業者のサーバーを介さず、攻撃者に直接に窃取4）された場合、当該情報は、事業者の取得前の情報ですので、令和6年改正前は「個人データ」には該当しませんでした。そして「個人データ」に該当しないとなると、個人情報保護委員会への報告義務や本人5）への通知義務等は生じず、また、当該情報に対する安全管理措置も不要でした。

　しかし、個人情報取扱事業者に対するウェブスキミング等によって個人情報が流出する（おそれがある）事態は、二次被害が発生するおそれが大きいことから、個人情報保護委員会及び個人情報取扱事業者が適切な対応を行うことが重要であると考えられて令和6年改正に至りました。

第３　個人データと個人情報データベースについて

　令和6年改正は「個人データ」に関する改正であるため、令和6年改正の理解には、個人情報保護法（以下「法」といいます。）が定める「個人データ」の理解が必要であるため、改正点についてご説明する前に「個人データ」のご説明を行います（個人情報については、弊所ホームページにて当職が解説しておりますので、そちらをご参照ください。）。

　「個人データ」への理解が十分であって、改正点だけ把握されたい方は第3を読み飛ばして、第4からお読みください。

１　定　義

（1）「個人データ」とは、個人情報データベース等を構成する個人情報をいいます（法第16条3項）。
（2）「個人情報データベース等」は、以下のいずれかに当てはまる情報の集合物です（法第16条1項）。　

　①　特定の個人情報をコンピュータを用いて検索できるように体系的に構成されたもの

２　ポイント

　個人情報データベース等に該当すれば、それに含まれる個人情報は全て個人データとなります。

　例えば、「電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）」7）が個人情報データベース等に該当しますので、そこに含まれている氏名・アドレス等の個人情報は「個人データ」となります。
　このように個人情報データベース等に当たるか否かの判断が重要ですので、どのような場合に個人情報データベース等に当たるかをガイドラインからご紹介します。

3　　個人情報データベース等の具体例（ガイドライン16～17頁より引用）

（1）個人情報データベース等に該当する例

（2）個人情報データベース等に該当しない事例　

4　政令によって個人情報データベース等から除外されているもの

　政令8）によって、個人の権利利益を害するおそれが少ないものは、個人情報データベース等から除外されています。ガイドライン17頁ではその一例として「市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等」が示されています。

第４　個人データの漏えい等の報告・通知等について

1　個人情報保護委員会への報告・本人への通知義務

　個人情報取扱事業者9）は、以下①～④の事態が生じたときは、当該事態が生じた旨を個人情報保護委員会に報告し、本人に通知等をしなければならないのが原則10）11）12）です（法第26条、同法施行規則第7条参照。）。

３　具体例

　個人情報保護委員会によるガイドラインや、「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」（以下「Q&A」という。）に報告・通知を要する具体例が挙げられていますので、以下にご紹介します。

（1）報告・通知を要する具体例

（2）報告・通知を要しない具体例

（3）状況によって報告・通知の要否が異なる具体例

（4）判断のポイント　

第５　安全管理措置について

1　安全管理措置（法第23条）の一般的内容

　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければなりません（法第23条）。
　安全管理措置には、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置及び外的環境の把握等がありますが、ここでは詳細を割愛します。

２　安全管理措置を知り得る状態に置くこと等

　個人情報取扱事業者は、保有個人データ22）の安全管理のために講じた措置を本人の知り得る状態に置くか、本人の求めに応じて遅滞なく回答しなければなりません（法第32条1項4号、施行令第10条1号）。23）

３　令和6年改正による変更点

　安全管理措置の内容について、法令による改正はありませんが、令和6年改正に併せてガイドラインが変更され、個人情報取扱事業者は、個人データのみならず、予定個人データについても安全管理措置を講じる必要が生じます24）。
　また、安全管理措置を本人の知り得る状態に置き、又は本人の求めに応じて回答するという点に関しても、ガイドラインが変更され保有個人データのみならず、予定個人データに関する安全管理措置の内容について本人の知り得る状態に置くか、本人の求めによる回答を行う必要が生じます25）。

第６　個人情報取扱事業者の対策

令和6年改正によって、個人情報取扱事業者が新たに行うべき対策として以下のようなものが考えられます。

１　安全管理措置の改善

２　プライバシーポリシーの改訂

３　個人情報保護管理規程の変更と社内周知

　上記の各変更にあわせて、個人情報に関する社内規程の変更や社内への周知も必要となります。
特に、不正目的によって行われたおそれがある個人データの漏えい等のおそれについては、速やかに個人情報保護委員会への報告・本人への通知等を行わなければなりません28）。

　そのために、担当部署が迅速に事態を把握し、上記の報告・通知等の義務を果たせるように、社内に向けて十分に周知する必要があります。

第７最後に

　個人情報の保護に関する要請は年々高まる一方であり、個人情報の流出が生じた場合に多額の損害賠償責任を負うケースもございます。
　このようなリスクを回避するためにも、令和6年改正への対応に併せて、社内の個人情報の取り扱いについて見直されてみてはいかがでしょうか。
　お困り事やご不明点等がございましたらお気軽にお問い合わせください。

以上

　お困り事やご不明点等がございましたらお気軽にお問い合わせください。