前のページ 1/3 次のページ

個人情報の保護に関する法律(こじんじょうほうのほごにかんするほうりつ)は、個人情報の取り扱いに関連する法律。略称は個人情報保護法。

2003年(平成15年)5月23日成立、2005年(平成17年)4月1日全面施行。

◆ 成立経緯

情報化社会の進展とともに、行政・民間が保有する膨大な個人情報を容易に処理することが可能となり、プライバシー侵害への危険性、不安が増大していった。1980年にはOECD理事会で「プライバシー保護と個人データの国際流通についてのガイドラインに関する勧告」が採択されるなど、国際的にも個人情報の取扱いやプライバシーの保護が次第に重要視されるようになった。

日本では、1988年(昭和63年)、公的機関を対象とした「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」が公布され、1989年、民間部門に対して通産省(現:経済産業省)により「民間部門における電子計算機処理に係る個人情報の保護に関するガイドライン」が策定された。しかし「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」には罰則規定が無く、また民間部門を対象としたガイドラインには法的拘束力が無いなど、個人情報の保護という観点から十分に機能しているとは言いがたい状況であった。

さらに住民基本台帳ネットワークの稼動(2002年)、中川秀直愛人スキャンダル事件(2000年)やTBC個人情報漏洩事件(2002年)など多発する個人情報漏洩事件を受けて、2002年に個人情報保護法関連五法が国会に提出された。個人情報保護法は、個人情報を取得する際には個人情報の利用方法を本人に明確に伝えなければならないと定めるために、報道の自由を侵害するなどの理由から反対運動が展開され、一度廃案となったが、再度審議され2003年5月に成立した。

企業への準備期間として成立から施行までに2年間の期間が設けられた。個人情報保護法が施行される直前の2005年3月には、これまで起きていながら隠蔽していた個人情報漏洩事件を公表する企業が多くあった。

◇法律の概要

個人情報保護法および同施行令により、5000件を超える(5001件以上の)個人情報を個人情報データベース等として所持し事業に用いている事業者は個人情報取扱事業者とされ、個人情報取扱事業者が主務大臣への報告やそれに伴う改善措置に従わない等の適切な対処を行わなかった場合は、事業者に対して刑事罰が科される。

◇関連する国際基準

1980年にOECD理事会で採択された「プライバシー保護と個人データの国際流通についてのガイドラインに関する勧告」には収集制限の原則、利用制限の原則などの「OECD8原則」が含まれる。

1995年、EUが「個人データ処理に係る個人情報保護及び当該データの自由な移動に関する欧州議会及び理事会の指令」を採択し、EU加盟国以外への個人情報の移転は、当該国が十分なレベルの保護措置を講じている場合に限られるとした。1998年、EUの指令により顧客データの授受をはじめとする様々な経済活動に影響が出ることが懸念されたため、「プライバシーマーク制度」が設立された。また、この制度の検討期間中には、EU加盟国等によって、日本の個人情報の保護措置が「十分なレベル」に達することが確認された

他に国際基準としては情報セキュリティマネジメントシステム(ISMS)もある。これらの制度については、「個人情報漏洩に対する企業の対策」「個人情報漏洩後の企業の対策」を企業が細かくマニュアル化し、それを社員が認識し実行しているかどうかを調べて認定される。取得にはおよそ1年以上の時間を要すことになる。

◆構成

・第1章 総則(第1条―第3条)

・第2章 国及び地方公共団体の責務等(第4条―第6条)

・第3章 個人情報の保護に関する施策等

  ・第1節 個人情報の保護に関する基本方針(第7条)

  ・第2節 国の施策(第8条―第10条)

  ・第3節 地方公共団体の施策(第11条―第13条)

  ・第4節 国及び地方公共団体の協力(第14条)

・第4章 個人情報取扱事業者の義務等

  ・第1節 個人情報取扱事業者の義務(第15条―第36条)

  ・第2節 民間団体による個人情報の保護の推進(第37条―第49条)

・第5章 雑則(第50条―第55条)

・第6章 罰則(第56条―第59条)

◆主な内容

◇基本理念

個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきことに鑑み、その適正な取扱いが図られなければならない()。

◇定義

;個人情報

:個人情報とは、生存する個人の情報であって、特定の個人を識別できる情報(氏名、生年月日等)を指す。これには、他の情報と容易に照合することができることによって特定の個人を識別することができる情報(学生名簿等と照合することで個人を特定できるような学籍番号等)も含まれる()。

;個人情報データベース等

:個人情報データベース等は、個人情報を含む、コンピュータ等で容易に検索できるデータベースや、目次や索引等によって体系的に整理された紙のデータベース等を指す。未整理の紙のデータ等は該当しない(2条2項)。

;個人データ

:個人情報データベース等を構成する個人情報は個人データと呼ばれる(2条4項)。

;保有個人データ(2条5項)

:個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データのこと。

:その存否が明らかになることにより公益その他の利益が害されるもの(施行令3条)

:# 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

:# 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

:# 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

:# 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

:6ヶ月以内に消去することとなるもの以外のもの(施行令4条)。

◇個人情報取扱事業者の対象

個人情報等データベースを事業の用に供する者で、国、地方公共団体、独立行政法人等、地方独立行政法人(行政機関個人情報保護法等の適用を受ける)や、取扱う個人情報(市販の電話帳やカーナビの住所情報等は除く)が過去6か月以内のいずれの時点においても5000人を超えない事業者を除く者を指す(2条3項、[外部リンク] 施行令2条)。

したがって、事業者には営利法人のみならず非営利法人も該当するが、一般の個人については原則として対象とならない(ただし、個人事業主等でこの定義に当てはまる者は当然、本法の対象となる)。

◇個人情報取扱事業者の主な義務

個人情報保護法第4章第1節に個人情報取扱事業者の義務が記されている。

;個人情報について

・利用目的の特定()

・利用目的の制限()

・適正な取得()

・取得に際しての利用目的の通知()

・苦情の処理()

個人データについては、データ内容の正確性の確保()、安全管理措置や従業者・委託先の監督( - )、第三者提供の制限()が定められている。

保有個人データについては、事項の公表等()、開示()、訂正等()、利用停止等()が規定されている。

事項の公表、開示、訂正、利用停止の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない()。

 第三者提供の制限

個人情報取扱事業者は、以下の場合を除いては、あらかじめ本人の同意を得なければ、個人データを第三者に提供してはならない()。

#法令に基づく場合(統計調査等)

#人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(事故の際の安否情報など)

#公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(児童虐待情報など)

#国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要があって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(犯罪捜査の協力等)

但し、必ずしも本人の同意を得なくとも、以下の場合は第三者への提供ができるものと規定されている。

第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、?第三者への提供を利用目的とすること、?第三者に提供される個人データの項目、?第三者への提供の手段又は方法、?本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること、についてあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。(第23条第2項)

また、個人情報取扱事業者と実質的に同一と見なし得る事業者が共同で利用する場合、共同利用または業務委託として一定の要件を満たした場合、第三者と看做されない規定がある。すなわち、これらの場合、本人の同意を得る必要がない。

 事項の公表等

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない(2項)。

前のページ 1/3 次のページ

・個人情報の保護に関する法律 page1

・個人情報の保護に関する法律 page2

・個人情報の保護に関する法律 page3