2020年個人情報保護法改正の全体像を弁護士が解説【2024年2月加筆】

2020年10月19日 IT企業のための法律, 個人情報の管理

２０２０年の個人情報保護法の改正

2020年個人情報保護法改正では、権利行使の要件の緩和やオプトアウト規制の強化といった個人情報の本人の権利の拡充、不適正な利用の禁止や漏えい等の報告義務の新設といった事業者の責務の強化、データ利活用を促進するための仮名加工情報概念の新設等の改正がされました。

2020年6月に個人情報保護委員会が公表したロードマップの案によれば、以下のことが予定されています。

2020年改正では、新たに「個人関連情報」という概念が導入されています。

「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しない情報を指し、例えば、氏名と結びついていない閲覧履歴、位置情報、Cookie等がこれに当たります

その上で「個人関連情報」については、第三者が個人関連情報を個人データとして取得することが想定されるときは、一定の場合を除くほか、本人同意の存在等、一定の事項を事前に確認しなければ、当該個人関連情報を当該第三者に提供してはならないとされました。

なお、GDPR 等の諸外国のCookie規制と異なり、今回の法改正はCookieによる情報を取得する場面で本人からの同意を取得することを必要とするものではなく、第三者に提供する場面で一定の規制がかかります。

2020 年改正では、データ利活用の促進のための施策の一環として、新たに「仮名加工情報」という概念が導入されています。

「仮名加工情報」とは、一定の措置を講じて、他の情報と照合しない限り特定の個人を識別することができないように、個人情報を加工して得られる情報をいいます。

ここでいう「加工」は、氏名等の特定の個人を識別できる記述の削除等であり、2015年改正で導入された「匿名加工情報」と異なり、個人情報が復元できない状態とすることまでは要求されていません。

匿名加工情報は、厳格な加工基準と作成時の情報項目等の公表義務、漏洩防止措置等を課す等の規律を置くことで、本人の同意なく第三者提供を可能としています。

これに対し仮名加工情報は、事業者内部での利用に止めることを条件に、その加工基準等を緩和しています。

仮名加工情報とすることで、それ単体では特定の個人を識別できなくなるため、加工前の個人情報よりも漏えいリスクを低減させつつ、データとしての有用性を、加工目的の個人情報と同等程度に保つことにより、匿名加工情報よりも詳細な分析を、比較的簡便な加工方法で実施することが可能です。

データセット中の特異な値が重要とされる医療・製薬分野における研究用データセットとして用いるケースや、不正検知等の機械学習モデルの学習用データセットとして用いるケース
事業者が過去に取得した個人情報を新たな形で利活用（特定の個人を識別する必要のないもの）したい場合に、その利活用が、当初に特定した利用目的の範囲内に該当するものであるか、判断に迷うようなケース