2022年4月に個人情報保護法が改正され、変更点に基づいたルール統制が義務になりました。すでにプライバシーポリシーを変更した事業者もいれば、まだ対応できていない事業者の方も多くいるかもしれません。
昨今、従業員の過失による情報漏えいや第三者からのサイバー攻撃など、情報セキュリティにまつわる事件やインターネット犯罪が増加している傾向。いつ、どこの企業にもリスクがあると言っても過言ではありません。重大な被害を被る前に、改めて『改正個人情報保護法』について理解を深め、きちんと対策を行う必要があります。
今回のテーマは、“Webメディア担当者のための”最新サイバーセキュリティ講座です。数々のテレビ出演や講演実績を持つ情報セキュリティのプロ 石川が、改正後のいま、具体的にどのようなことをしなくてはならないのか、ポイントを押さえて解説します。
石川英治
日本初の情報セキュリティ専門会社「アルテミス」創業。
一般社団法人日本ハッカー協会理事。
2018-2019年株式会社オウケイウェイヴ（セントレックス 3808）の取締役CTOを務める。
2021年7月 株式会社リボルバーCISO（最高情報セキュリティ責任者）就任
・官公庁へのハイテク犯罪対策の指導
・コンピュータ関連書籍の執筆
・TVでインターネット犯罪の解説
主な出演：日本テレビ「ZIP!」、読売テレビ「情報ライブ ミヤネ屋」
個人情報保護法にまつわる知識をおさらい！
本題に入る前に、まずは個人情報保護法にまつわる知識をおさらいしましょう。
個人情報
生存する個人に関する情報。氏名、生年月日その他の記述等により特定の個人を識別することができるものが該当します。また、個人情報保護法では、マイナンバーカードや運転免許証の番号など、個々に対して割り当てられている「個人識別符号」も個人情報として含まれます。
個人情報取扱事業者
個人情報をデータベース化し利用する事業者のこと。個人情報の「利用目的の特定」、「安全管理措置義務」、「第三者提供の制限」などさまざまな義務が課されています。
個人情報保護法
個人情報を取り扱う際のルールを定めた法律のこと。個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的としています。2003年5月に公布され、2005年4月に全面施行。社会・経済情勢の変化を踏まえ、3年ごとに見直されています。（改正個人情報保護法：2020年6月12日公布、2022年4月1日施行）
改正の背景にあるものとは？
石川は、まず初めに改正の背景について解説します。主な背景としては以下3点が挙げられます。
- 情報を提供する個人の権利意識が高まってきた
- 個人を特定する情報（IDやメールアドレス等）のバランスが取れなくなってきた
- 個人情報のグローバル活用の増加
インターネットの進歩により、個人情報を活用した便利なサービスが提供されるなど、デジタル社会の発展が進んでいます。その一方で、情報漏えいのリスクや利用目的の不透明さに不安を抱える人々も増加。次第に、個人情報に関する個々の意識が高まっているようです。これらが今回の改正の背景にあります。
また、これまで個人を特定する情報は「氏名・電話番号・メールアドレス」が主流でした。昨今は、メールアドレスの利用者が減り、LINEなどSNSの個人IDが増えています。その結果、個人を特定する情報のバランスが不安定になり、改めて見直す必要が生じたことも背景のひとつに挙げられます。
その他にも、海外を拠点としたビジネス展開や海外サーバーの活用など、グローバルでの個人情報の取り扱いが増えているため、事故発生のリスクを抑制することが背景にあるそうです。
これらの背景を踏まえて施行されたのが、今回の『改正個人情報保護法』。改正ポイントは下記6点ですが、本ウェビナーのテーマに添い3つの内容に絞って解説します（赤文字）。
〜 2022年4月施行『改正個人情報保護法』6つの要点 〜
- 本人の請求権の拡充等
- 事業者の義務・公表等事項の追加
- 外国事業者関係（域外適用・第三者提供時の情報提供等）
- 新たな情報類型の創設（仮名加工情報・個人関連情報）
- 部門別の認定個人情報保護団体の制度化
- 罰則の強化
【Webメディア担当者がおさえておきたい】改正個人情報保護法 ポイント3点
1. 事前の対策＆シミュレーションで緊急時にも速やかに対応
今回の個人情報保護法の改正において、要点の一つ目「本人の請求権の拡充」に対する事業者への要件がもっとも厳格化されたと石川は言います。具体的には、ユーザーが事業者側に対し、不正に扱われた個人情報データの利用停止や削除依頼など、個人情報に対する請求権を行使できるようになりました。
そこでまず企業がやらなくてはならないことが、情報漏えいが発生した際の本人通知の手順を整えることです。
情報漏えい時の個人情報保護委員会への報告や対象ユーザーに対する通知は、これまで努力義務とされていましたが、今回の改正により義務になりました。
情報漏えいが発生した際はスピーディな対応が求められるため、社内体制の整備や通知文書の作成、対象ユーザーへ迅速に告知する方法などを事前に明文化しておくことが重要です。インシデント発生時は特に外部からの問い合わせなどに追われるため、こうした対策を備えておくことで冷静な判断・対応ができる、と石川は言います。
また、避難訓練のようなシミュレーションを社内で行うなど、万が一の事態に備えて日ごろから社員の意識を高めることも有効的な対策でしょう。
