個人情報保護法は、個人情報の有用性に配慮しつつ、個人の権利や利益を守ることを目的とする共通ルールです。2003年に制定され、2005年に全面施行されました。その後、デジタル化や国際化への対応として、2015年、2020年、2021年に大きな改正が行われています。対象は国の行政機関や地方公共団体を含む幅広い主体で、民間事業者にも適用されます。個人情報とは、生存する個人を識別できる情報で、氏名や住所、顔写真に加え、他の情報と容易に照合可能な生年月日や電話番号も含まれます。パスポート番号や運転免許証番号、マイナンバーなどの個人識別符号を含む情報も個人情報です。
個人情報の中でも、病歴や障害、信条、人種、被害の事実などは要配慮個人情報に当たり、取得には原則として本人同意が必要です。個人情報データベース等は検索可能な形で構成された集合体を指し、そこに含まれる情報は個人データと定義されます。事業者が開示や訂正に応じられる権限を持つものは保有個人データです。取扱いの基本では、利用目的を具体的に特定し、公表または本人への通知が求められます。取得した個人情報は目的の範囲内で利用し、範囲外利用にはあらかじめ本人同意が必要です。安全管理措置として、紙は施錠保管、電子データはパスワード設定やセキュリティ対策ソフトの導入などが必要で、委託先を含めた適切な監督も求められます。
第三者提供は原則として本人同意が必要ですが、法令に基づく照会や生命身体保護などの例外があります。国外提供では、本人同意と制度情報の提供、受領側の適切な体制、または認定国地域であることのいずれかが必要です。提供や受領の記録は原則3年間保存します。漏えいや滅失、毀損が発生またはおそれがある場合は、個人情報保護委員会への報告と本人通知が義務です。要配慮個人情報の漏えい、財産的被害のおそれがある事案、不正目的による漏えい、1,000人超の漏えい等が該当します。本人は保有個人データの開示、訂正、利用停止、消去、第三者提供の停止を請求でき、重大事案や利用不要となった場合なども請求対象です。
詳しくは「政府広報オンライン」の公式ページまで。レポート／DXマガジン編集部
