出版書誌データベース

個人情報保護法は、令和２年に本人の権利の強化などに重点を置いた単独の改正がなされ、さらに令和３年にデジタル社会の形成を図るための関係法令の「整備法」の中で、民間と行政機関、独立行政法人に分かれていた法制度を個人情報保護法に一本化する等の改正がなされています。
企業としては、個人情報の定義づけや情報漏えい時の対策、「仮名加工情報」の新設など、主として令和２年改正への対応が求められますが、令和３年改正では条文番号が変更され、さらには施行日も複数（一部は未施行）になるなど、専門家の間でも複雑でわかりにくいとの声が上がっています。
そこで、本書では、令和４年４月の施行（未施行部分含む）を踏まえ、２度にわたる改正で企業や専門家が押さえておくべきポイントを65のＱ＆Ａで整理・解説しています。

第１章　改正の全体像
１－１　令和２年改正と令和３年改正の関係
Ｑ１　個人情報保護法の改正が続いて全体像が見えないのですが、どうなっていますか？
１－２　令和２年改正の概要
Ｑ２　令和２年改正法の中身はどのようなものですか？
１－３　令和３年改正の概要
Ｑ３　令和３年改正法で何が変わるのですか？
１－４　改正法の条文関係
Ｑ４　条文番号が資料によってまちまちです。改正により従前の条文番号はどう変わったのですか？
◆改正個人情報保護法　重要条文照合表

第２章　保有個人データ
２－１　保有個人データの範囲の拡大
Ｑ５　これまですぐに消去していた個人データについて、今後は開示請求に対応するため、一定期間保存しておいたほうがよいですか？
２－２　保有個人データに関する事項の周知
Ｑ６　保有個人データに関する周知事項について、改正法によりどのような変更があったのですか？
２－３　保有個人データの開示方法
Ｑ７　保有個人データの開示について、本人からデータポータビリティを求められた場合、これに応じなければならないのですか？
２－４　保有個人データの安全管理のために講じた措置
Ｑ８　今回の改正で、保有個人データの安全管理のために講じた措置についても本人へ周知するよう義務付けられたと聞きましたが、どこまで周知すべきなのでしょうか？
２－５　利用停止・消去・第三者提供停止の要件の緩和
Ｑ９　本人から、使う必要のない個人データを消去するよう求められたのですが、消去しなければなりませんか？
２－６　保有個人データと他の概念との関係
Ｑ10　仮名加工情報、匿名加工情報、個人関連情報は、保有個人データとなるのですか？

第３章　仮名加工情報
３－１　仮名加工情報とは何か
Ｑ11　個人データではなく仮名加工情報を子会社に提供しようと思いますが、問題ありませんか？
３－２　仮名加工情報と匿名加工情報の差異
Ｑ12　特定の個人を識別できなくした情報は、仮名加工情報と匿名加工情報のどちらですか？
３－３　仮名加工情報の仮名加工方法
Ｑ13　どうやって加工すれば仮名加工情報になるのですか？
３－４　個人情報である仮名加工情報と個人情報でない仮名加工情報
Ｑ14　個人情報でない仮名加工情報は漏えいしても問題ありませんか？
３－５　仮名加工情報の利用の場面
Ｑ15　仮名加工情報が新設されましたが、第三者に提供できないのに利用するメリットはあるのですか？
Ｑ16　仮名加工情報の委託先への提供や共同利用は可能ですか？

第４章　不適正な利用の禁止
４－１　不適正な利用の禁止とは
Ｑ17　新たに禁止されることになった不適正な利用と違法な利用行為は違うのですか？
４－２　不適正な利用の判断
Ｑ18　裁判所の公告情報をデータベース化して公開しようと思いますが、問題ありませんか？

第５章　漏えい等の報告
５－１　漏えい等における報告・通知
Ｑ19　個人データが漏えいしてしまった場合、事業者は何をしなければなりませんか？
Ｑ20　顧客情報が入ったＵＳＢメモリーを社内で保管していたのですが、見つかりません。これは、「滅失」でしょうか、それとも「漏えい」でしょうか？　また、社内といっても、外部の人が立ち入る場所でなくなった場合は、「漏えい」でしょうか？
Ｑ21　20万件の個人データ漏えいが発生し、本人に対し電子メールを送信してその旨通知したのですが、そのうち５万件に通知メールが届きませんでした。このような場合でも、個人情報保護法上の義務違反となるのでしょうか？
５－２　漏えい等の報告先
Ｑ22　個人データの漏えいが発生しましたが、どこに報告すればよいですか？
５－３　漏えい等対応ロードマップ
Ｑ23　今回の法改正により、情報漏えいした場合のスケジュールはどのように変わりますか？
５－４　漏えい対応の実務的問題点
Ｑ24　本人への通知には、何を記載すべきでしょうか？
Ｑ25　個人情報保護委員会への報告の確報は、何をどこまで記載すべきですか？　速報との違いは何ですか？
Ｑ26　個人データの漏えい件数が多いのですが、コールセンターは設置すべきですか？
Ｑ27　委託先が個人データを漏えいした場合、だれが個人情報保護委員会に報告すべきですか？
Ｑ28　個人データの開示請求について、間違えて、Ａの情報をＢに、Ｂの情報をＣに、Ｃの情報をＤに開示してしまった場合は、個人データの漏えいになるのでしょうか？

第６章　第三者提供の制限
６－１　オプトアウトの規制強化
Ｑ29　令和２年改正法で、オプトアウトに関する規制はどのように変更されたのですか？
６－２　オプトアウトが可能かどうかの判断
Ｑ30　小学生を対象とした学習塾で、塾が小学生から取得した親の年収データを、オプトアウトにより、まったく別法人の不動産会社に提供しても問題ないですか？
６－３　オプトアウトの取扱い
Ｑ31　オプトアウトで取得した個人データをオプトアウトで第三者に提供できますか？
６－４　第三者提供記録の開示
Ｑ32　情報提供先との間に秘密保持契約を締結している場合でも、第三者提供記録を開示する必要がありますか？
６－５　個人データ第三者提供の実務的問題
Ｑ33　子会社や関連会社に対しても脅迫行為がなされているとの理由でクレーマーの情報を子会社・関連会社と共有したいのですが、問題はありませんか？
Ｑ34　当社研究部門が顧客の動向調査と新商品開発のために大学の研究室と共同研究を行うことになりましたが、個人データを共有して研究してよいでしょか？

第７章　外国にある第三者への利用の制限
７－１　個人データ越境移転規制の内容
Ｑ35　海外の事業者に個人データを提供する場合に新たな規制はありますか？
７－２　本人への情報提供
Ｑ36　外国の個人情報保護制度はどうやって把握すればよいのですか？
Ｑ37　個人データの越境移転に際して、外国の個人情報保護制度を不正確に本人に伝えた場合に罰則の適用はありますか？
７－３　クラウドサービスの諸問題
Ｑ38　サーバが海外にある日本のクラウドサービス事業者に個人データを提供する場合に越境移転規制の適用はありますか？
Ｑ39　サーバがどこにあるかわからない外国のクラウドサービス事業者に個人データを移転する場合は、本人への情報提供はどのように行えばよいですか？　個人データの処理のために単にクラウドサービスを利用する場合はどうですか？

第８章　個人関連情報の第三者提供の制限
８－１　個人関連情報とは何か
Ｑ40　個人関連情報にはどのようなものが該当するのですか？
Ｑ41　個人関連情報を提供する事業者との間で「個人データとして取得しない」という契約があっても提供先の事業者に本人の同意を確認する必要がありますか？
８－２　Cookieの取扱い
Ｑ42　クッキー（Cookie）について、自社サイトに掲載したポリシーで説明しているので、第三者提供は自由に行ってよいのですか？
８－３　同意取得した場合の記録の方法
Ｑ43　個人関連情報を第三者提供する際に、同意取得はウェブサイト上の「同意する」ボタンを押してもらう以上に同意の記録を残す必要はありませんか？
８－４　個人関連情報と他の概念との関係
Ｑ44　個人関連情報と匿名加工情報、仮名加工情報の関係はどのように整理できますか？

第９章　域外適用
９－１　域外適用の対象範囲
Ｑ45　海外の事業者に日本の個人情報保護法の適用はあるのですか？
９－２　域外適用の実効性とその対応
Ｑ46　海外の事業者への規制は実効性はあるのですか？

第10章　罰　則
10－１　厳罰化
Ｑ47　事業者が個人情報保護法違反をした場合、どのような刑罰が科されますか？
10－２　どのような場合に処罰されるか
Ｑ48　本人からの保有個人データの開示請求を無視した事業者は処罰されますか？
10－３　漏えい等と処罰の関係
Ｑ49　個人データが漏えいしたにもかかわらず何もしなかった事業者は処罰されますか？
Ｑ50　処罰以外に、事業者名が公表されることはありますか？　公表されるのであれば、どのような場合に公表されるのですか？

第11章　医療・学術分野の規定の見直し
11－１　官民の規律統一化
Ｑ51　どのような機関に民間部門の規制が適用されるのですか？
Ｑ52　国公立大学の病院に民間部門の規制が課されることで、これまでの治療や研究に問題はありませんか？
11－２　学術研究の適用除外規定の精緻化
Ｑ53　学術研究機関についてどのような法改正が行われたのですか？
Ｑ54　我が国の学術研究機関にはＥＵのＧＤＰＲの十分性認定の効力が及ばないということと、令和３年改正法には関係ありますか？
Ｑ55　学術研究機関にも安全管理措置や開示等請求に関する義務は課されますか？
Ｑ56　当社で保有する個人データについて、研究機関からウイルス研究のために提供してほしいとの要請を受けましたが、本人の同意を得ずに提供してもよいですか？
Ｑ57　研究機関が民間企業と共同で新製品の研究開発を行う場合、「学術研究目的」には当たらないのですか？

第12章　地方公共団体等の個人情報の取扱い
12－１　共通ルールの適用
Ｑ58　地方公共団体の「共通ルール」とはどのようなものですか？
12－２　地方公共団体における個人情報の取扱い
Ｑ59　地方公共団体は同意なく要配慮個人情報を取得できるのですか？

第13章　法律と条例の関係
13－１　法律と条例の関係
Ｑ60　改正法と各自治体の個人情報保護条例はどのような関係になるのですか？
Ｑ61　地方公共団体が独自に厳しい義務を規定することは可能なのでしょうか？

第14章　個人情報保護委員会の権限と行政機関の規制
14－１　個人情報保護委員会の権限
Ｑ62　個人情報保護委員会は、行政機関に対してどのような監視権限を持つことになりますか？
Ｑ63　情報公開法に基づく行政機関の開示決定に対しても、個人情報保護委員会は監督するのですか？
Ｑ64　個人情報保護委員会が権限を委任しているか否かは、どうしたらわかるのですか？
14－２　行政機関に対する規制
Ｑ65　行政機関が外国にある事業者に対して個人情報を同意なく提供した場合、何か問題はありますか？

付　録
１　個人情報保護法令和２年改正　重要ポイント対応チェックリスト
２　プライバシーポリシー雛形