１．はじめに
第１回では、個人情報の保護に関する法律（以下「個人情報保護法」といいます）がどのような法律なのかを概観しました。
事業者である皆様のビジネスモデルによって、気になるポイントは様々かと思いますし、注意すべきポイントも変わってきますが、２０２２年４月1日に改正個人情報保護法が施行されたことも踏まえ、まずは改正個人情報保護法の全体像を確認していきたいと思います。
２．改正個人情報保護法の全体像
改正個人情報保護法の全体像は、大きく分けると以下の６点です。
＊＊＊＊＊＊＊＊＊
①個人の権利の在り方
②事業者の守るべき責務の在り方
③事業者による自主的な取組を促す仕組みの在り方
④データ利活用に関する施策の在り方
⑤ペナルティの在り方
⑥法の域外適用・越境移転の在り方
＊＊＊＊＊＊＊＊＊
これらのうち、事業者である皆様が業務に際して対応が必要になるのは、以下の4点です。
＊＊＊＊＊＊＊＊＊
①個人の権利の在り方
②事業者の守るべき責務の在り方
④データ利活用に関する施策の在り方
⑥法の域外適用・越境移転の在り方
＊＊＊＊＊＊＊＊＊
そこで、以上の４点について、具体的な改正内容を順に確認していきましょう（以下では、個人情報保護法を単に「法」と表記し、改正前の法を「旧法」、改正後の法を「現行法」と表記します）。
なお、個人情報保護員会が作成した「個人情報の保護に関する法律等の一部を改正する法律（概要）」という資料は、改正の要点がコンパクトにまとまっていますので、適宜ご参照ください。
３．個人の権利の在り方
（１） 利用停止・消去の個人の請求権
旧法は、本人の同意を得ないで利用目的の達成に必要な範囲を超えて個人情報を取り扱っている場合（旧法１６条１項）等や偽りその他不正の手段により個人情報を取得した場合（旧法１７条１項）、本人の同意を得ないで要配慮個人情報を取得した場合（旧法第１７条２項）に限り、利用停止や消去が請求できるとされていました。
しかし、現行法では、これらに加えて、①違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している場合（現行法３５条１項、１９条）、②利用する必要がなくなった場合（現行法３５条５項）、③個人情報保護委員会に報告しなければならない漏えい等が発生した場合（改正法３５条５項）、④その他本人の権利又は正当な利益が害されるおそれがある場合（改正法３５条５項）にも、利用停止や削除が請求できることになりました。
（２） 利用停止・消去の個人の請求権
旧法は、書面の交付による方法とされていましたが（旧法２８条２項、同施行令９条）、改正法では、電磁的記録の提供を含め、本人が定める方法によることになりました（現行法３３条１項）。
（３） 第三者提供記録の開示請求
現行法では、新たに第三者提供記録が開示請求の対象となりました（現行法３５条３項）。
（４） 「短期保存データ」の撤廃
旧法では、６か月以内に消去する短期保存データは個人データには該当しないとされており（旧法２条７項、同施行令５条）、開示請求等の対象外となっていましたが、現行法ではかかる例外が撤廃されました（現行法１６条４項）。
（５） オプトアウト規定による第三者提供の制限
旧法では、オプトアウト規定による第三者提供ができない情報は、要配慮個人情報のみとされていました。（旧法２３条２項）
これに対し、改正法では、これに加えて、①偽りその他不正の手段により取得された場合（現行法２７条２項ただし書き）、②オプトアウト規定により提供された場合（現行法２７条２項ただし書き）にも、オプトアウト規定による第三者提供ができないとされました。
なお、個人情報保護委員会が作成した「オプトアウト規定により第三者提供できる個人データの限定」という資料は、視覚的に理解することができるので、適宜ご参照ください。
オプトアウト規定により第三者に提供できる個人データの限定
（６） 小括
ご参考までに、以上で述べた「個人の権利の在り方」に関する改正内容を図表にまとめましたので、併せてご参照ください（改正箇所は、太字にしています）。
| 項目 | 改正前 | 改正後 |
|---|---|---|
| 利用停止・消去の個人の請求権 | 目的外利用 不正取得 | 目的外利用 違法・不当の助長・誘発 不正取得 利用する必要性の喪失 個人情報保護委員会に報告が必要な漏洩等の発生 その他権利又は正当な利益が害されるおそれの発生 |
| 保有個人データの開示方法 | 書面 | 電磁的記録を含めた（本人の指定） |
| 第三者提供記録の開示請求 | 第三者提供記録は含まれない | 第三者提供記録も含まれる |
| 「短期保存データ」の撤廃 | 短期保存データは開示請求等の対象にならない | 短期保存データの撤廃⇒６か月以内に削除する個人データも開示請求等の対象になる |
| オプトアウト規定による第三者提供の制限 | 要配慮個人情報を含む個人データ | 要配慮個人情報を含む個人データ 不正取得された個人データ オプトアウト規定により提供された個人データ |
５．最後に
今回は、「個人の権利の在り方」に関する改正ついて、深堀してご説明いたしました。
次回は、「事業者の守るべき責務の在り方」と「データ利活用に関する施策の在り方」を中心にご説明いたします。
弁護士 田上 淳一