個人情報保護法改正と企業への影響
2015/06/30   コンプライアンス, 情報セキュリティ, 個人情報保護法, その他

　2015年5月21日、「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律案」が衆議院で可決された。今年６月に発生した日本年金機構の個人情報流出により参議院での審議は見送られているが、原案通りの改正がなされれば、個人情報の取扱いに影響が見込まれる。
　そこで、本稿では本改正により「個人情報の範囲」が広がることに伴うビジネスへの影響について言及する。

・個人情報の範囲
　本改正では、従来の個人情報に加え、「個人識別符号が含まれているもの」（改正法2条2項）が「個人情報」に含まれるとしている。
　「個人識別符号」とは、個人の特徴を電子計算機の用に供するために変換した符号で個人を識別できるもの（顔認識データ、指紋データなど。注1）又は個人に発行されるカード等に記載された符号であって特定の利用者を識別できるもの（マイナンバー、運転免許証番号、保険証番号など。注2）で、政令で定めるものをいう。
　具体的内容は政令の制定によることになるが、判断要素としては、個人と情報の結び付きの程度（情報が一意であるか等）、情報の不変性の程度（情報の内容が頻繁に変更されていないか等）、本人への到達性（情報に基づいて直接個人にアプローチできるか等）などが考慮されると考えられる。国会衆議院内閣委員会会議録によれば、マイナンバー、運転免許証番号、保険証番号は該当することになる。
　つまり、新たに加わる「個人識別符号」について、「個人データの安全管理のために必要かつ適切な措置」（現行法20条）が必要となる。

・本改正による影響
　前述の通り、「個人識別符号」の該当性は政令によるため、その内容は不明確である。そこで、従来個人情報とされてこなかった情報、具体的にはクレジットカード番号やポイントカード等の会員番号などの該当性が問題となる。
　仮にこれに該当するとなるとデータの暗号化などに莫大なコストが発生する可能性があるため、法務担当者は自社が使用している番号が個人情報に当たった場合の影響を検証する必要がある。そして、自社への影響が大きい場合には、本改正に基づく社会への影響を内閣官房や社会に対して発信し、法案の訂正を働きかけるなど、リスク回避に努めるべきだろう。
　上記のような莫大なコストが生じないような場合であっても、個人情報を取り扱う企業の法務担当者は、本改正に対応した、プライバシーポリシーや個人情報の管理マニュアルなどの見直しをする必要があると考えられる。

注1　「特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの」（改正法2条2項1号）
注2　「個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの」（改正法2条2項2号）