第3回個人情報保護法

2003年5月23日「個人情報の保護に関する法律」（以下、「個人情報保護法」）が第156国会で可決されました。その一部（基本法部分）が2003年5月末に公布と同時に施行され、事業者の義務や罰則などの残りの施行は、公布から2年以内に政令で定められることになっています。

個人情報保護法（5法）概説！

民間企業と行政機関に個人情報の適正な取り扱いを義務づけている「個人情報保護法」は民間部門に関する基本法と公的部門に関する4法とで整備されており、「5法」といわれています。また、基本法は「基本法部分」と「一般法部分」からなり、個人情報の適正な取扱いを求める基本理念と国等の責務・施策をうたっています。

企業にとっては、基本法の一般法部分が直接関わることになります。

民間の個人情報取扱事業者の義務
事業者や認定個人情報保護団体による自立的な苦情処理
事業者に対する監督
主務大臣の権限の行使の制限（報道機関等へ）
適用除外
報道の定義

個人情報保護の本質と企業の問題！

個人情報保護法は、「個人情報データベース等」を事業の用に供する者を「個人情報取扱事業者」として対象とする一方で、取り扱う個人情報の件数が5000件未満の小規模事業者などは、政令でその対象から除外する予定になっています。

個人情報に直接関わる企業や関心を持たれている個人には、自社あるいは自組織がこの定義に当てはまるかどうかで悩まれているようです。しかし、被害を受けるかもしれない顧客や消費者にとっては、5000件以上でも5000件未満でも関係ありません。

顧客情報をはじめとする個人情報が自社にとってなくてはならない経営資源であると捉えている企業であれば真剣に考えるべきです。個人情報保護法や政令が定める「個人情報取扱事業者」であるかどうかを問題にする前に、たとえ少量の個人情報であろうと、それに見合った十分な注意と顧客の立場に立った取扱い体制を敷くことが重要なのです。

企業経営における個人情報保護の問題の本質は、個人情報保護法の解釈にあるのではないことに気づく必要があります。個人情報保護法の有無にかかわらず、個人情報の漏洩がもたらすリスクは、企業イメージの低下や信用の失墜という無形のものにとどまらないはずです。

罰則は、6か月以下の懲役または、30万円以下の罰金！

法律でいう「個人情報データベース等」とは、「個人情報を検索できるように体系的に構成したもの」です。コンピュータのデータでも印刷物でも、果ては手書きの名簿であっても対象になります。なお、「個人データ」は個人情報データベース等を構成する個人情報をさします。
この「個人情報データベース等」を「個人情報取扱事業者」は慎重に取り扱う義務を負うべきものとしています。

では、「個人情報取扱事業者」とは何でしょうか。
「個人情報取扱事業者」は、個人情報データベース等を事業の用に供している者（国、地方公共団体等のほか、取り扱う個人情報が少ない小規模事業者等を除く）となっており、ほとんどの企業は含まれます。

「個人情報取扱事業者」の負う義務は、

利用目的による制限
適正な取得
安全管理措置
開示・訂正・利用停止
その他

となっています。
違反した場合の罰則は、6か月以下の懲役または、30万円以下の罰金です。この罰則は2005年4月から適用されることになっています。

しかしながら、個人情報保護法は義務規定違反した個人を罰することができません。そこで、内部犯対策としては止むを得ないのかもしれませんが、経産省が「情報窃盗罪」の新設を要請しているとのことです（5月12日/日本経済新聞朝刊）。現在は無形物では「電気」のみが窃盗罪の対象になっています。昔からこの手の議論はありました。「情報窃盗罪」で「管理者の許可なく情報を持ち出した」となると、企業としては「いつ誰に対して許可した」とか、内部規程や許可の手順の確立、アクセスログの記録保存など、証跡の確保が必要になることでしょう。

【参考資料】
個人情報の保護に関する法律－首相官邸「個人情報保護法の解説」
http://www.kantei.go.jp/jp/it/privacy/houseika/hourituan/ronten.html

中小企業診断士阿部将美
［2004年6月掲載］

ページの先頭へ