データを収集・管理・活用するIT担当者やマーケターにとって、「個人情報保護法」は必要不可欠な知識。ここでは、今年6月12日に公付された改正法の、押さえるべき要点について日本情報経済社会推進協会 常務理事 坂下哲也氏が解説する。

個人関連情報の定義と定められた背景とは？

2020年6月5日に国会において可決、成立し、6月12日に公布された「個人情報の保護に関する法律等の一部を改正する法律」（以下、同法により改正された個人情報の保護に関する法律を「改正法」という。）は、一部を除き公布後2年以内に施行されることになっています。今回の改正では、利用停止など個人の権利の拡大、漏洩等報告の義務化による事業者の責任の強化、仮名加工情報などのデータ利用、法人処罰への重科、越境移転時の域外適用範囲の拡大などが法定されました。

本稿では、今回の改正で新設され、Web広告をはじめ多くの企業実務に影響する「個人関連情報」について解説します。

個人関連情報は改正法第26条の2第1項において、「生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう」と定義されています。また、個人関連情報を第三者に提供することで、個人データとして取得されることが想定されるときは、本人の同意が必要になります（改正法26条の2第1項1号）。さらに、外国の第三者に提供する場合には、本人の同意を得ることに加えて、個人情報保護委員会規則で定められる、本人への情報提供のための措置を講じることが必要になります（同項2号）。

「個人関連情報を第三者に提供することで、個人データとして取得されることが想定されるとき」というのは、「そのデータを相手に渡した時に、受け取った側で、個人データになってしまう場合」ですから、渡す相手がどのようなデータを持っているのか、渡す側は知らなくてはなりません。また、「本人の同意が必要」というのは、個人関連情報を「渡す側」が行うのか、「受け取る側」が行うのか判断が難しい書き方になっています。

2019年12月、個人情報保護委員会は...