「データ保護規制の最前線」第5回目。
データを安全に利活用するため、個人情報を取り扱う際の留意点について法的リスクを踏まえ解説します。
本連載は、日刊工業新聞（2021年10月～12月）に連載された記事の転載となります。以下の文章は原則連載時のままとし、場合によって若干の補足を加えて掲載しています。
仮名加工情報と個人関連情報の新設
自社の保有データを活用して業務を効率化する、既存事業の枠を超えた新たなデータ利活用ビジネスを推進する動きが国内企業で広がっている。一方で、利活用するデータには個人情報や個人の権利侵害のリスクがある情報が含まれることが想定され、プライバシーを守るための配慮が必要不可欠だ。
令和2年改正個人情報保護法では、データ利活用の促進を目的に「仮名加工情報」を創設した。
「仮名加工情報」は、他の情報と紐づけない限り個人を特定することができないよう個人情報を加工した個人に関する情報だ。個人の権益を侵害しないよう、単体では特定の個人を識別できないような加工をすることを求めている。一方で匿名加工情報と比べると加工基準が簡便である、個人情報に適用される義務の一部を除外するなど、事業者が活用しやすいよう配慮した。ただし、第三者への提供を原則禁止するなど一定の制約もある。
個人の権益を保護するために創設した概念もある。「個人関連情報」だ。
「個人関連情報」は「生存する個人に関する情報であって、個人情報、仮名加工情報および匿名加工情報のいずれにも該当しないもの」と定義されており、ウェブサイトの閲覧履歴や位置情報などが事例として挙げられている。いずれも単体では個人情報に該当しないものの、個人情報を保有する第三者に提供し、その提供先が個人情報と個人関連情報を紐づけて利用すると個人の権益を侵害する可能性が高くなる。このため、提供先の第三者が個人を特定して利用する場合には、本人への通知や同意取得を求めている。
多くの企業は、個人情報を保護するための体制や規程を整備済みだ。しかし、データ利活用を念頭に置いた、個人関連情報となり得る情報の把握や、データ利活用プロセスに対するプライバシー対応の検討の仕組みには、課題がある。個人の権益を守りながら、より付加価値の高いデータ利活用を推進するには、棚卸しの実施やデータ管理台帳の作成・維持などにより自社で保有する情報や当該情報が持つプライバシーリスクを正確に把握する必要がある。海外を含むプライバシー関連法令などに精通した法務部門やセキュリティ部門と連携し、データ利活用のプロセスやITシステムの検討をする運用体制の構築、関係者への周知が、今後さらに重要になる。
執筆者
KPMGコンサルティング
マネジャー 鶴田 八重
日刊工業新聞 2021年11月5日掲載（一部加筆・修正しています）。この記事の掲載については、日刊工業新聞社の許諾を得ています。無断での複写・転載は禁じます。
