ある日Pマーク担当になった人のために　第4回（最終回）「個人情報保護法の改正について」

個人情報の定義変更

個人情報の定義が変わり、今までと比べて個人情報の対象範囲が広がりました。

今までは、個人を特定できる情報（氏名、生年月日その他の記述などになり特定の個人を識別できるもの）だけに限られていたものが、身体の一部の特徴をデータ化した文字、番号、記号その他の符号や、サービスの利用者や個人に発行される書類等に割り当てられた文字、番号、記号その他の符号のうち、政令で定めるもの、が個人情報の対象になります。

つまり、例えば会員証などの、個人ごとに付与されたIDなども対象となるということです。
身体の一部の特徴をデータ化したものは、写真や動画なども対象となります。

これらのことから、個人情報管理台帳を更新することが、プライバシーマーク取得事業者には必要になります。

また、法的に変更したところでは、個人情報取扱事業者の定義が変わり、以前の個人情報保護法では、5,000件以上のデータベースを保有している組織だけが対象でしたが、今回の改正で5,000件の条件が廃止されるため、基本的にはあらゆる事業者が個人情報取扱事業者になります。

外部提供における条件の変更

外部提供についての変更が特に大きな改定として挙げられます。
オプトアウト規定を準用して外部提供を行っている場合、今までは本人に対して利用停止の手続き方法を提示することだけで対応が可能となっていましたが、今後同様の手続きを実施する場合、個人情報保護委員会への届け出が必要となります。

また、個人情報保護委員会では、その内容を公表します。

さらに、外部提供した場合には、どこに提供したのか追跡できるように記録することが求められます。
しかも、どこに提供したか、だけではなく、受領者が誰であったかというところまで記録が求められるため、きちんと記録をとれるように書式などを整備する必要があります。

罰則の強化

これは直接プライバシーマークとは関連しないのですが、罰則が強化され、今までは個人情報保護法の違反に対する処罰は法人に対してのみ行われるものでしたが、不正に個人情報を第三者に提供や、盗用した場合に罰則が適用できるようになりました。

これにより、個人を罰することが出来るようになりました。

法的な制限ができた分、企業としても従業者に対して、より意識向上を図ることが可能であると考えられます。
個人情報保護法についての改定は2年後ですが、法律の改正に伴って、プライバシーマークの認定基準も改定される可能性があります。
プライバシーマークの認定基準であるJISQ15001:2006は、前回制定されたのが2006年であるため、もう10年近く改正されていません。

また、JISQ15001が出来た際に参考にされていたセキュリティの総合規格ISO27001も2013年に改正が行われたため、今後はJISQ15001も改正される可能性があります。

それらの情報は、プライバシーマーク事務局によりリリースされるので、逐次情報は収集しておくことをお勧めいたします。

プライバシーマークサイト
http://privacymark.jp/