FCOM's Blog

個人情報の不正な流通を防ぎ、国民のプライバシーを守るために、個人情報の第三者提供に関するルールが厳格化されました。重要な改正ポイントは２点です。それぞれ詳しく見ていきましょう。

個人情報を第三者に提供する場合、原則としてあらかじめ本人の同意を得る事が必要ですが、これを簡略化するために「オプトアウト方式」が認められています。

オプトアウト方式とは、個人情報の第三者提供について予め通知した上で、本人から第三者提供の拒否が無い限りは第三者提供ができる方式の事です。

簡単にまとめると、予め「オプトアウト方式で第三者に提供します、拒否する方はこの手順で手続きをしてください」という事をきちんと公表していれば本人の同意を得たものとみなす、という事です。

現行法でも、個人情報のオプトアウト方式による第三者提供が認められていたのですが、改正法でルールがひとつ付け加えられ、個人情報保護委員会（※）への届け出が必要になりました。安易な第三者提供を防ぐために、オプトアウト方式の条件が厳しくなったという事ですね。

また、前回記事で取り扱った「要配慮個人情報」についてはオプトアウト手続きによる第三者提供が認められません。要配慮個人情報の第三者提供にあたっては、必ず個別に本人同意を得る必要があります。（この、個別に本人同意を得る方式を「オプトイン方式」と言います）

（※）番号法（マイナンバー法）で設置された「特定個人情報保護委員会」をベースに、 「個人情報保護委員会」が設けられました。マイナンバーを含めて、個人情報全体の監視・監督を行う行政機関です。

個人情報の第三者提供にあたっては、提供する側、提供を受ける側の双方が記録を作って一定期間保存するように義務付けられました。

収入と支出を記録する現金出納帳のイメージに近いですね。集めた個人情報はお金と同じように大事に扱い、いつ、誰に、何を、どのように」提供・受領したかを記録するという事です。

個人情報の第三者提供に関するルールが厳格化した一方で、データの適切な流通と利活用を促すために「匿名加工情報」が定義されました。匿名加工情報とは、特定の個人を識別することができないように個人情報を加工した情報の事です。匿名加工情報の取り扱いには、個人情報とは別のルールが適用されます。
それでは、匿名加工情報に関するルールの重要ポイントを整理しましょう。

データ（１）

具体例を見てみましょう。データ（１）は、「姓名」「性別」「生年月日」「住所」を含む、加工前の個人情報データベースです。このデータを元に、姓名を単純な番号に、生年月日を年代に置き換え、住所は市町村以下を削除してデータ（２）を作成しました。

データ（２）

この状態であれば特定の個人を特定する事ができませんので、匿名加工情報として利活用が認められます。

データ（３）は、不適切な匿名加工の例です。データ（２）とどこが違うかわかりますでしょうか？

データ（３）

データ（３）の「番号」は、元データの姓名を半角カナに変換し、さらにシフトJISという規則で文字コードに変換した文字列なのです。一見ランダムな英数字に見えますが、規則がわかってしまえば簡単に元データへ復元する事が出来ます。これでは、匿名加工情報として不適切です。

またこの例から、匿名加工情報の具体的な加工方法や使用したツールの情報は、情報を復元するためのヒントになり得ることがわかります。加工方法に関わる情報が第三者に知られないように、安全管理が重要です。

ルールに沿って作成した匿名加工情報は、第三者提供にあたって本人の同意は不要です。ただし、「どのような情報を」「どのような方法で」提供したのか、という事について公表する義務があります。また、提供先に対してもその情報が匿名加工情報であるという事を予め明示する必要があります。

以上、エフコムブログでは改正個人情報保護法について、その背景と改正の重要ポイントを特集しました。

改正法は2017年5月30日から全面施行になります。今回の改正によって個人情報保護法が適用される事になった中小企業の皆様、改正法への対応はお済みでしょうか？ エフコムでは潜在的なリスクと対策を洗い出す簡易診断を始めとした、貴社のお悩み・ご不安に寄り添うサービスをご提供しております。改正個人情報保護法への対策は、是非エフコムまでご相談ください。