昨年、大量の個人情報漏えい事故が発生し、各企業においても様々な見直し等を行ってきているところ、経済産業省は、「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」を改正し施行しました。主な改正点は、第三者からの適正な取得の徹底、社内の安全管理措置の強化、委託先の監督の強化、共同利用制度の趣旨の明確化、消費者等本人に対する分かりやすい説明のための参考事項の追記等となっています。

■個人情報保護ガイドラインの改正概要

1．背景

経済産業省は、相次いで発生した内部不正やサイバー攻撃による個人情報の漏えい事案を受け、同様事案の発生を防ぐための組織における対策を検討してきました。そこで、個人情報保護法で規定された事業者の義務をより具体化・詳細化した「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」(平成21年10月9日厚生労働省・経済産業省告示第2号)について、個人情報保護ガイドライン検討委委員会を開催し、有識者の意見を踏まえ、パブリックコメントを実施した上で改正を行い、平成26年12月12日付で施行しました。

2．主な改正点

(1)第三者からの適正な取得の徹底

・第三者から個人情報を取得する場合には、適法に入手されていること等を確認することが望ましい旨追記

・適法に入手されていることが確認できない場合は、取引を自粛することを含め、慎重に対応することが望ましい旨追記

(2)社内の安全管理措置の強化

◎外部からのサイバー攻撃対策の追加

【管理手法の追記】

有効であると考えられる管理手法を望まれる手法として追記。

・データベースへのアクセス制御

・ワンタイムパスワード等

・不要アカウントの無効化

・管理者権限の分割

・アクセス記録

・ウイルス対策ソフトウェアの有効性確認

・データ移送時の秘匿化

◎内部不正対策の組織的、物理的、技術的安全管理措置の項目の追加

【組織的安全管理】

・個人情報保護管理者(CPO)への役員の任命など、社内体制を整備すること。

・情報セキュリティ等に十分な知見を有する者による社内の監査体制を構築すること。

・スマートフォン等の記録機能を有する機器の接続制限を行う社内規程を整備すること。

【物理的安全管理】

・業務上許可を得ていない記録機能を有する媒体・機器の持ち込み・持ち出しの禁止と検査を実施すること。

・カメラによる撮影や立ち会い等による記録又はモニタリングを実施すること。

・個人情報を取り扱う部屋への入退室記録の保存をすること。

【技術的安全管理】

・個人情報の監視システムについて、その動作を定期確認すること。

・個人情報へのアクセスやダウンロードのログ(記録)について、不正が疑われる異常な記録の存否を定期確認すること。

(3)委託先等の監督の強化

◎内部不正対策の委託先の安全管理措置の確認、定期的な監査等の追加

【委託先の監督】

・委託先の選定に当たり、委託先の安全管理措置を確認し、ＣＰＯ等が評価すること。

・定期的に委託業務の監査を実施し、その結果について、ＣＰＯ等が評価すること。

・委託契約等において、委託先で個人データを取り扱う者の役職又は氏名、損害賠償責任を盛り込むこと。

◎再委託先以降も同様の措置を行うことが望ましい旨追記

【再委託先の監督】

・委託元は、委託先が再委託を行う場合には、委託先から、事前報告又は承認を求めること。

・委託元は、委託先を通じて、又は必要に応じて自らが、再委託先に対し、定期的な監査を実施すること。

・再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とすること。

(4)共同利用制度の趣旨の明確化

・事業者が共同利用を円滑に実施するために共同利用者における責任等を追加。

・共同利用者の範囲の明確化。

(5)消費者等本人に対する分かりやすい説明のための参考事項の追記

・個人情報取扱事業者は、本人に対して、個人情報保護を推進する上での考え方や方針等について、分かりやすい表現で説明するために参考とすべき基準を追記。