パーソナルデータの自由な利活用が許容されるかが不明確な「グレーゾーン」が発生・拡大し、その利活用に当たって保護すべき情報の範囲や事業者が遵守すべきルールが曖昧になりつつあると指摘されてきました。そこで、内閣のＩＴ総合戦略本部でパーソナルデータに関する検討会が重ねられ、「パーソナルデータの利活用に関する制度改正に係る法律案の骨子案」としてまとめられ公表されました。
■パーソナルデータの利活用に関する制度改正に係る法律案の骨子案概要
1.個人情報の定義の拡充
生存する個人に関する情報であって、次のいずれかに該当する文字、番号、記号その他の符号のうち政令で定めるものが含まれるものを個人情報として新たに位置付けるものとする。
(1)特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号であって、当該個人を識別することができるもの(例：指紋データ及び顔認識データ)
(2)個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行される書類に付される符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は付されるもの(例：携帯電話番号、旅券番号及び運転免許証番号)
2.適切な規律の下で個人情報等の有用性を確保するための規定の整備
(1)匿名加工情報(仮称)に関する規定の整備
(ｱ)第三者に提供するために匿名加工情報を作成するときは、創設予定の個人情報保護委員会に届け出た上で、個人情報保護委員会規則で定める基準に従い、個人情報から特定の個人を識別することができる記述等の削除(他の記述等に置き換えることを含む。)をするなど、当該個人情報を復元することができないようにその加工をしなければならないこととする。
(ｲ)(ｱ)により匿名加工情報を作成した者が当該匿名加工情報を第三者に提供する場合には、第三者提供をする旨を公表し、提供先に匿名加工情報であることを明示しなければならないこととする。
(2)利用目的の制限の緩和
個人情報取扱事業者は、個人情報を取得する際に本人に利用目的を変更することがある旨を通知し、又は公表した場合において、次の事項を、個人情報保護委員会規則で定めるところにより、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、利用目的の変更をすることができることとする。
3.個人情報の保護を強化するための規定の整備
(1)要配慮個人情報(仮称)に関する規定の整備
本人に対する不当な差別又は偏見が生じないようにその取扱いについて特に配慮を要する記述等(例：本人の人種、信条、社会的身分、病歴、犯罪被害を受けた事実及び前科・前歴)が含まれる個人情報については、本人同意を得ない取得を原則として禁止するとともに、利用目的の制限の緩和及び本人同意を得ない第三者提供の特例の対象から除外する。
(2)第三者提供に係る確認及び記録の作成の義務付け
(ｱ)個人情報取扱事業者は、個人情報データベース等の提供を受けるときは、その提供をする者が当該個人情報データベース等を取得した経緯等を確認するとともに、提供の年月日、当該確認に係る事項等の記録を作成し、一定の期間保存しなければならないこととする。
(ｲ)個人情報取扱事業者は、個人情報データベース等の第三者提供をしたときは、提供の年月日、提供先の氏名等の記録を作成し、一定の期間保存しなければならないこととする。
(3)不正な利益を図る目的による個人情報データベース提供罪の新設
個人情報データベース等を取り扱う事務に従事する者又は従事していた者が、その業務に関して取り扱った個人情報データベース等を不正な利益を図る目的で提供し、又は盗用する行為を処罰対象にする。
4.個人情報保護委員会の新設及びその権限に関する規定の整備
(ｱ)個人情報及び匿名加工情報の取扱いに関する監督等の事務をつかさどる内閣府の外局たる機関として、個人情報保護委員会を設置する。
(ｲ)個人情報保護委員会には、現行の主務大臣の有する報告徴収、命令、認定個人情報保護団体の認定等の権限に加えて、立入検査の権限等を付与する。
5.個人情報の取扱いのグローバル化に対応するための規定の整備
(1)国境を越えた個人情報の取扱いに対する適用範囲に関する規定の整備
本法は、国内にある者に対する物品又は役務の提供に関連してその者を本人とする個人情報を取得した個人情報取扱事業者が、外国において当該個人情報を取り扱う場合についても、個人情報保護委員会による命令に関する部分を除いて、適用することとする。
(2)外国執行当局への情報提供に関する規定の整備
個人情報保護委員会は、本法に相当する外国の法令を執行する外国執行当局に対し、その職務の遂行に資すると認める情報の提供を行うことができることとする。
