相次ぐ企業の個人情報の漏洩事故とは?事例や対策を解説ISMSとは?わかりやすく概要を説明。個人情報、つまり個人の特定やプライバシーに関する情報に伴う権利や利益を守ることを目的とした法律です。現行の個人情報保護法には3年ごとの見直しが行われるようになっており、令和2年に改正され4年に施行されることが注目されています。この記事では、個人情報保護法について、改正の背景や中諸企業が注意すべき点、セキュリティ対策のポイントまでを詳しく解説します。個人情報保護法とは?個人情報保護法とは、個人情報に伴う個人の権利や利益を守ることを目的とした法律です。個人の特定やプライバシーに関する情報が個人情報にあたります。個人情報は、サービスの質の向上や業務効率化のために、医療や行政、ビジネスなどの分野で広く活用されています。情報化社会の急速な発展に伴い、個人情報を収集・活用することにより個人の権利・利益が侵害されるリスクが高まりました。個人情報保護に関する諸外国の法制定の影響も受けたことから、個人情報保護法は平成15年5月に交付・平成17年4月に全面施行されるに至りました。その後、情報通信技術の進展やグローバル化に伴う社会情勢の変化、個人情報に対する社会的な関心の高まりなどによって、個人情報保護法は3度大きく改正されています。平成29年に現行法となって以降、3年ごとに法律を見直すという内容が盛り込まれています。これは、目まぐるしく変化する国際的な動向や技術の進歩を個人情報保護法に反映させ、実態に見合った形で法律を運用するためです。令和2年には、3年ごとの見直しの規定に基づき、初めて個人情報保護法の改正が行われました。背景には、個人情報に該当するおそれのある情報の範囲が拡大したことがあります。技術革新により、これまで個人の識別には利用できなかった情報が、個人を識別できるものとして機能するようになったためです。高度情報化社会の進歩は、個人情報保護への対応のあり方にも大きな影響を与えていると言えます。令和2年に改正された個人情報保護法は、令和4年に全面施行される予定です。個人情報保護法の改正は、中小企業にも影響を与えます。ニュースなどで個人情報流出などが問題となっていますが、個人情報を取り扱う上で注意すべきは流出についてのみではありません。予期せぬトラブルを回避するためにも、中小企業も個人情報保護の改正内容を知っておく必要があります。ここからは、個人情報保護の改正項目に関して中小企業が注意すべき点や知っておくべきポイントについて解説します。「違法な行為を助長するおそれ」があるだけで違反となる個人情報保護の改正によって、事業者が守るべき責務が追加されました。旧法では個人情報の不適正な利用の禁止について明文化されていませんでしたが、改正後の法律では「違法な行為を助長するおそれ」がある行為をはっきりと禁止しています。これによって、「違法な差別などが誘発されるおそれがあるにもかかわらず、公表されている個人情報をデータベース化して公開する行為」などが違法になりました。官報で公表されている破産者の氏名などをデータベース化してインターネットに公開した場合、差別を誘発するおそれがあるため個人情報保護違反にあたります。報告と本人への通知が義務づけられるようになりました。トラブル発生時の対応について、改正前は企業ごとの個別対応に委ねられていましたが、改正後は「トラブルが発生するおそれがある」だけでも報告の対象となります。改正後の法律では、例えば決済機能があるWebサイトのID・パスワードなど、個人の財産的被害が生じるおそれがある情報の流出についても報告義務が生じます。対し、自身の個人情報についてデータの請求が可能です。事業者の保有個人データの量は膨大なため、書面による交付が適さない場合もあります。動画や音声など、そもそも書面による交付自体が適していない個人情報もあるでしょう。令和2年の法改正では、個人情報のデジタル開示の請求が可能になりました。基本的には請求者がデジタルデータの提供を含む開示方法を指定できるため、事業者はデジタル開示請求への対応体制を事前に築いておく必要があります。罰則が強化されている個人情報に関する事業者への抑止力を強化するために、法改正後は個人情報保護法に違反した場合の罰則が強化されました。命令に違反した法人に対する罰金は、30万円以下から1億円以下に大幅に引き上げられています。法人と個人の資金力の差を考慮して、法改正後は、法律違反者が法人である場合は個人よりも重いペナルティを課す内容に変更になりました。した場合の罰則も強化されました。そのため中小企業でも、個人情報の管理をより一層徹底する必要があります。ここからは、中小企業が個人情報保護のために行うべき情報セキュリティ対策を、3つのポイントに分けて紹介します。2条第1項では、個人情報は以下のように定義されています。この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。その他人の知覚によっては認識することができない方式をいう。)で作られる記録をいう。)に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項(個人識別符号を除く。