今回は、前回の個人情報保護法改正の続きです。あくまで条文を読んだ際のメモを元に、急ぎ作成しているものであることはご理解ください。
改正案の概要（再掲）
改正案の概要を再度掲載しておきます。今回は、このうち、中小企業にも影響がありそうな、リスクに適切に対応した規律のうち、顔特徴データ等に係るものを除いた事項を見ていくこととします。
- 適正なデータ利活用の推進
- AI開発を含む統計情報等の作成のみに利用される場合、一定の要配慮個人情報の取得・個人情報の第三者提供に関して本人同意が不要となります。
- 目的外利用・要配慮個人情報取得・第三者提供に関し、本人の権利利益を害さないことが明らかな取扱いの場合は、本人の同意が不要となります。
- リスクに適切に対応した規律
- 16歳未満の本人である場合、同意取得や通知等について法定代理人を対象とすることを明文化し、未成年者本人の最善の利益を優先して考慮する旨の責務規定が設けられます。
- 顔特徴データ等にの取扱いにおいて、一定事項の周知が義務化されます。
- データ処理等の委託を受けた事業者について、個人データ等の適正な取扱いに係る義務が見直されます。
- 本人の権利利益の保護に欠けるおそれが少ない場合、個人情報の漏えい等発生時の本人への通知義務が緩和されます。
- 不適正利用等の防止
- 個人情報でないが、特定の個人へ働きかけが可能となる情報の不適正利用等が禁止されます。
- 規律遵守の実効性確保
- 違反行為の是正に係る命令の要件が見直されます。また、本人への通知・公表等の必要な措置をとるよう勧告・命令することが可能となります。
- 重大な違反行為に対する課徴金納付命令の制度が設けられます。
子どもの個人情報の取扱いに関するルール
法定代理人を対象とした同意取得・通知
改正個情法40条の2が、読替規定というテクニカルな方法で、新たなルールを定めています。1項が個人情報に関する規律の読替えで、2項が個人関連情報に関する規律の読替えとなっています。
新ルールが適用される状況
事業者が16歳未満の者の個人情報を取り扱う場合ですが、次の場合が除かれています。
- 16歳未満の者の個人情報であることを知らないことについて正当な理由がある場合
- 法定代理人が16歳未満の者の営業を許可していた場合で、当該営業に関する個人情報の取得であるとき
- 16歳未満の者に法定代理人がない場合か、法定代理人がないと信ずるに足りる相当な理由がある場合
重要なのは1つ目の「16歳未満の者の個人情報であることを知らないことについて正当な理由がある場合」と思われます。今後、ガイドラインなどで解釈が明らかになると想定されます。
ただ、「16歳以上ですか？ Yes/No」のような確認で「Yes」と回答された場合が「正当な理由なし」となるように、厳格な解釈が取られると（ただでさえYes/Noの実装は煩瑣であるのに）、実務上影響がかなり大きくなってしまうように思われます。
新ルールの内容
影響がある条項のうち主要なものは、以下となります。
- あらかじめ本人の同意を得ないで、利用目的の達成に必要な範囲を超えた個人情報の利用を禁止する18条
- あらかじめ本人の同意を得ないで、要配慮個人情報を取得を禁止する20条2項
- 個人情報を取得した場合に利用目的について本人への通知 or 公表を必要とする21条
- あらかじめ本人の同意を得ないで、個人データの提供を禁止する27条・28条
- 保有個人データに関して一定事項を本人の知り得る状態に置くことを要請する32条1項
- 漏えい等があった場合に本人への通知を必要とする26条2項
これらは「本人」に向けたものとなっていますが、本人の法定代理人に向けたものとなります。したがって、法定代理人（親など）から同意を取得し、親に対して通知を行うといった対応が必要になります。
未成年者本人の最善の利益を優先して考慮する旨の責務
改正個情法58条の3が定めます。努力義務にはなるものの、未成年者の年齢及び発達の程度に応じて、その最善の利益を優先して考慮した上で、未成年者の権利利益を害することがないように必要な措置を講ずる必要が出てきます。
いかなる対応が求められるのか、今後のガイドラインの改正などで明らかになってくるものと思われます。
個人情報の取扱いを受託する事業者における新ルール
個人情報の取扱いを受託する事業者は、原則、委託を受けた業務の遂行に必要な範囲を超えた個人情報の取扱いをしてはならない旨が明文化されました（改正個情法30条の3）。また、このような受託事業者においては、今後改正される個人情報保護規則で要請される事項（受託する個人情報の取り扱いの方法を含む。）を委託契約に含めることにより、個人情報取扱い事業者としての義務が緩和されます。
たとえば、次の定めは、適用除外となります。
- 利用目的に関連する各種規律
- 第三者提供に関連する各種規律
- 保有個人データに係る本人からの請求に関連する各種規律
委託を受けた業務の遂行に必要な範囲を超えた個人情報の取扱いをしてはならないというルールは従前と同様ですし、適用除外となった定めは受託事業者において重い義務ではなかったという理解であり、実際は適用除外を狙って契約を見直すまではしないのではないかと想定されます。その意味で、実務的な影響は小さいものと考えています。
他方、今後の実務としては、要件を満たすような委託契約の作成が求められる可能性が高く、その意味では実務上の影響は十分にあると考えます。
漏えい等報告における本人への通知の規律緩和
改正個情法26条2項は、これまで「本人への通知が困難な場合」しか認められなかった、漏えい等発生時における本人通知の義務の免除を広げるものとなります。その具体的な内容は今後改正される個人情報保護規則で定めることとされています。
本人通知は、コストがかかったり、技術的に困難だったりするため、また、通知をすることで本人に不要な不安を煽る可能性があったため、ご相談において回避したいと多くのお客様から言われてきました。しかしながら、「本人への通知が困難」とはいえないため、通知を実施いただいた案件も相応にありました。
今回、かかる実務上のニーズが満たされるような、本人通知の義務の免除範囲の拡大が期待されます。なお、これまでの議論を踏まえると、社内でのみ利用されるサービスの識別子の漏えいなどが想定されているようです。
