内閣府傘下の組織である個人情報保護委員会が、昨年（2019年）12月に公表された制度改正大綱を踏まえ、本年通常国会での個人情報保護法改正に向けた検討を加速している。

当初、個人情報保護法の改正は小幅なものにとどまることが想定されていたが、いわゆる“リクナビ事件”を契機に、より規制色が強い内容となる見込み。人材紹介関連事業者にとどまらず、一般の事業者にとっても規制に伴うコスト増加は避けられない情勢だ。

リクナビ事件 ： リクルートキャリアが運営する大手就活サイト「リクナビ」のサイト上での行動履歴の解析結果に応じて「内定辞退率」を予測し、企業に販売していたことが、個人情報保護法上、問題視された事件。内定辞退率は、ある企業の志願者が何社にエントリーしたか、どのような就職活動をしたのかなどの情報からその企業に対する志望度の高さを数値化することにより算出されていた。

以下、事業者に影響が大きい項目を中心に概説する。

１．利用停止等の権利の拡大
改正個人情報保護法では、個人が事業者に対して行使する個人データの利用停止等の権利（利用停止・消去・第三者への提供禁止）が拡大される見込みだ（大綱８ページ一番下の〇参照）。現在は、事業者が合法的に取得した個人データであれば利用停止等の権利を行使されることはないが、今回の法改正で、合法に取得した個人データにも規制が及ぶことになる。

一方で、改正法は事業者に対する配慮も念頭に置いたものとなる。具体的には、個人が利用停止等の権利を行使できるのは「個人の権利利益の侵害がある場合」に限定される（大綱８ページ一番下の〇参照）。つまり、通常のサービス提供に必要な範囲で個人データを活用している場合まで利用停止等の請求を受けることはない。また、「利用停止・消去又は第三者提供の停止を行うことが困難な場合であって、本人の権利利益を保護するために必要なこれに代わる措置をとる場合は、請求に応じないことを許容する」こととされる（大綱９ページ一番上の〇参照）。

「個人の権利利益の侵害がある場合」とは具体的にどのような場合を指すのかは今後政省令やガイドライン等である程度明確になるものと思われるが、事業者としては、今のうちからそれぞれのビジネスの実態を踏まえ消費者から利用停止等の請求を受けそうなケースを洗い出しておくべきだろう。

２．開示のデジタル化の推進
大綱では、事業者が保有する個人データの開示について、「本人が、電磁的記録の提供を含め、開示方法を指示できるようにし、請求を受けた個人情報取扱事業者は、原則として、本人が指示した方法により開示するよう義務付ける」としている（大綱10ページ上から３つめの〇参照）。要するに、本人が電磁的開示を求めれば事業者は原則として応じなければならないということだ。これにより、現在は個人データの開示請求に書面で対応しているという事業者の場合、電磁的開示に対応できるようにシステム整備が必要になるケースも出て来るだろう（もっとも、システム整備が必要になるかどうかは、ビジネスでどれほど個人情報を扱っているかにもよる）。

一方、大綱では「開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法による開示を認める」ともしている（大綱10ページ上から３つめの〇参照）。今後明らかにされる政省令やガイドライン等でどの程度例外（書面開示）が認められるかが、事業者におけるシステム整備の要否を左右することになろう。

３．開示等の対象となる保有個人データの対象の拡大
大綱では、開示請求等の対象となる保有個人データを、「保存期間により限定しないこととし、現在除外されている６カ月以内に消去する短期保存データを保有個人データに含める」とされている（大綱11ページ一番上の〇参照）。
　
現状、多くの事業者は、管理の煩雑さを避けるため、６カ月を基準にして個人データを区分けすることは行っていないようだが、６カ月基準を採用している事業者も一定程度存在している。そのような事業者においては、今回の法改正で、これまで６カ月以内に消去することとして開示請求等の対象外と扱っていた個人データも「保有個人データ」として開示請求等の対象になることから、システムや社内規程の整備が必要になるだろう。

４．保有個人データに関する公表事項の充実
大綱では、個人情報取扱事業者に対し保有個人データの適正な取扱いを促すため、「個人情報の取扱体制や講じている措置の内容、保有個人データの処理の方法等本人に説明すべき事項を、法に基づく公表事項（政令事項）として追加する」としている（大綱20ページ一番上の〇参照）。
　
保有個人データを持つ事業者にとっては、プライバシーポリシー等に基づく開示が増えることになる。特に影響がありそうなのが、「保有個人データの処理の方法」の開示だ。これが例えばプロファイリングの中身というセンシティブな情報の開示を指すとすれば、事業者は開示内容を精査する必要があるだろう。政令でどのような内容が規定されるか要注意だ。

プロファイリング ： 個人の精神的および行動的特性を記録・分析すること

５．提供先において個人データとなる場合の規律の明確化
現状では、提供元において個人データである場合にのみ個人情報保護規制が及ぶことになっているが、大綱では、「いわゆる提供元基準を原則としつつ、提供元においては個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する」としている（大綱25ページ上から４つ目の〇参照）。

大綱の趣旨は、たとえ提供元では個人データとはならなくても（個人が特定されていなくても）、提供先で個人データとなることが「明らかな」場合には、個人データの提供が制限されるということである。リクナビ事件で、リクルートキャリアからデータ提供先企業に（提供先で個人を特定することが可能な形で）クッキー情報が渡ったことが、この規制を導入する契機となった。

クッキー ： ウェブサイトがブラウザ（MicrosoftのInternet Explorer、グーグルのChromeなど、パソコンやスマートフォン等でウェブサイトを閲覧するためのソフト）に各種情報を保存するための仕組み

ポイントは、「提供先において個人データとなることが明らかな情報」が何を意味するかという点だ。この定義付け次第では、クッキー等の提供に大きなブレーキがかかる可能性がある。

６．ペナルティの在り方
個人情報保護法に違反した者には「六カ月以下の懲役又は三十万円以下の罰金」が科され（同法84条）、法人は罰金刑の対象となる（同法87条１項）が、大綱では、「現行の法定刑について、法人処罰規定に係る重科の導入を含め、必要に応じた見直しを行う」としている（大綱27ページ上から４つ目の〇参照）。つまり、個人情報保護法違反時の「六カ月以下の懲役又は三十万円以下の罰金」の罰則の引き上げと同時に、個人同様に低い法人への罰金（三十万円）が引き上げられる（法人重科）ことが想定される。

特に法人重科については最大で「１億円」への引き上げといった報道も見受けられるが、現在の個人情報保護法では、報告及び立入検査（第40条）、指導及び助言（第41条）、勧告（第42条１項）、命令（第42条第２項）と段階を踏み、命令に違反した場合にようやく罰金・懲役等の罰則が科される仕組み（間接罰）が採用されている。これまでも、「勧告」が出されたケースはある（リクルートキャリア）が、命令に至ったケースはなく、もちろん罰則に至ったこともない。これは、普通の事業者はそこに至るまでに適切な是正措置を行うからだ。

間接罰 ： 違法行為に対して、まず行政指導や行政命令を行い、その指導・命令に違反する行為があった場合に、それを理由として適用される罰則のこと。これに対し、違法行為に対して即時に適用される罰則を、直罰という。

今回の法改正でもこのような間接罰の考え方に変更はないことから、事業者が個人情報保護法違反で“いきなり”高額の罰則が科されることはない。事業者としては、仮に法令違反を行った場合には、個人情報保護委員会と密に連携を行うとともに、適切な是正措置を行うことで罰則を免れることができるということを理解しておく必要がある。