罰則アリ！知らないとコワイい個人情報保護法

つい最近もLINEの個人情報の流出事件があったように、「個人情報」の流出は、重大な社会問題になるばかりでなく、個人にとってとても大きな問題＝死活問題にもなってしまう大変な問題なのです。

ネット社会におかれている僕たちの生活を守るために自分の「個人情報」をまもってくれる法律や配信方法のきまりやルールについて知っておくことは実はものすごく重要なことなんです。

基本的なことを分かりやすく、解説しますのでじっくり読んで、あなただけでなく、家族や周りの人たちを守ってください。

そもそも個人情報って何？

個人の情報を守ってくれる法律はあるのか？

その答えは、ズバリYESです。

でも個人が発信する特定の個人の情報に対して保護するという法律ではないのです。残念ながら…。

もしかして、個人情報保護法があるでしょ！って思われるかもしれませんね。

個人情報保護法は、主に個人情報を取り扱う民間事業者の遵守すべき義務等を定める法律なのです（個人情報保護法第4章～第7章）。

つまり、その個人情報保護法とは、あくまで、取扱事業者がちゃんと個人情報を扱うように定められた法律であって個人が発信する特定の個人の情報に対してではないのです。

そして、そのことによって、個人の権利利益を保護することを目的とした法律なのです。

正式には「個人情報の保護に関する法律」という法律で、一般的には「個人情報保護法」と呼ばれ平成15年5月に公布され、平成17年4月（2005年）に全面施行されています。

構成（詳しく調べたい場合は法令検索で）

個人情報保護法の背景目的

背景

情報化社会の進展とともに氏名や住所、クレジットカードの番号といった個人情報の重要性が増し、それとともに不正に取得された個人情報が犯罪などに悪用されるケースが増えてきました。

あいまいなままの個人情報の取り扱いというのは非常にリスクが高くなりますよね！

なので個人情報を扱う場合には、法整備により個人情報の適切な管理と取り扱いを行うことが必要になってきたことが背景となっている。

目的

「個人情報」として氏名や住所、クレジットカードの番号といった情報を明確に定義し、外部に流出して不正に悪用されるといったようなことを防ぐといった目的で管理を厳重にすることを意図して制定された。

個人情報とは（法律上の定義）

法律である「個人情報保護法」での「個人情報」とは、生存する個人に関する情報であって、

①当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）

②個人識別符号＊が含まれるもの

個人識別符号＊とは
・指紋データや顔認識データのような個人の身体の特徴をコンピュータの用に供するために変換した文字、番号、記号等の符号
・旅券番号や運転免許証番号のような個人に割り当てられた文字、番号、記号等の符号

これを、かんたんに要約して言うとこんな感じ

氏名、住所、性別、生年月日、顔の画像などの個人を識別する情報に限らず、個人の身体、財産、職種、肩書などの属性に関して事実、判断、評価を表す全ての情報。

それは評価情報、公刊物等で公になっている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。

具体的な個人情報とはこんな感じ

• 本人の氏名
• 生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
• 防犯カメラに記録された情報等、本人が判別できる映像情報
• 本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報
• 特定の個人を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するコジンイチロウのメールアドレスであることが分かるような場合等）
• 個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。）
• 官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームページ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報

「個人情報」「個人データ」「保有個人データ」の関係性について

個人情報保護法では、「個人情報」、「個人データ」、「保有個人データ」という3つの「個人」が含まれる用語が使われているので、その関係性を図表でわかりやすく表したものがコチラです。

個人データも保有個人データも個人情報であって保有個人データは個人データに含まれる関係性なのです。

ただ、同じ個人情報でも、右側の具体例のとおり、それぞれの情報内容、特性によってデータの種類が異なるということが分かりますね。

損害賠償額（慰謝料＋弁護士費用）の相場・基準

損害賠償額については、過去の事例からある程度の「相場」が形成されています。

この「相場」である金額は、”どの程度デリケートな情報であったか”、を基準に判断されているのが現状です。

その情報が、人に知られたくないものであるほど損害賠償額も高くなる傾向にあります。

たとえば、きわめて基本的な個人情報（住所・氏名・年齢・性別など）が漏洩した場合には、損害賠償額はわりと低く算定されます。

基本4情報（住所・氏名・性別・生年月日）の漏えいの場合の損害賠償額

１人あたり１万5,000円（慰謝料１万円＋弁護士費用5,000円）

基本2情報（住所・氏名）＋αの漏えいの場合の損害賠償額

１人につき6,000円（慰謝料5,000円＋弁護士費用1,000円）

一方、漏洩した個人情報が秘匿性の高いものであったり、デリケートなものである場合には、損害賠償額は高めに算定されます。

【事例】ＴＢＣ個人情報漏えい事件

住所・氏名・電話番号などの基本情報に加え、エステのコース名やスリーサイズなど、人に知られたくない情報が含まれていた。
そのため、後に提起された損害賠償請求訴訟では、賠償額が過去最高の３万5,000円（慰謝料３万円＋弁護士費用5,000円）となった。

③　被害拡大の防止と二次被害対策

漏洩した情報は、必ずといっていいほど犯罪者が狙っています。

僕も実際にあったのですが、まったく知らない業者から莫大な額の通信料、インターネット・サイト閲覧料の請求など詐欺行為が横行しているので、本当に迅速な拡大防止が求められます。
そのため、事業者としては情報漏洩事件対応策も含めた個人情報保護体制の確立が不可欠という事です。
情報が漏洩してしまったとき一番怖いのは、顧客を含め関係者に二次被害が及ぶことですから。

コンピューターウィルスが原因で漏洩した場合の対応方法

ＩＰＡ※に届け出ましょう。

　その具体的な対策について相談に対応してくれます。

※ＩＰＡ
「独立行政法人情報処理推進機構」。
コンピュータウイルスやセキュリティに関係する調査・情報提供や、中小コンピュータソフトベンダーの債務保証事業などのソフトウェア開発補助事業を行っている。

天才的プログラマの発掘のための未踏ソフトウェア創造事業、特に若年の開発者を対象とした未踏ユース制度などの人材育成事業も行っている。

④　漏えいルート・原因の調査

漏洩ルートを突き止めることにおいて最も重要なことは「記録」です。

具体的にはアクセス記録、情報の持ち出し記録、個人情報を扱う部屋への入退室記録などです。

これらの記録を普段から残していなければ、漏洩ルートを究明することはできないばかりか再発防止策を検討することもできません。
万一の場合に備えてきちんと記録を残しておくことが、事故発生時に企業が受ける損害を最小限に抑えるポイントになります。
記録さえきちんと残していれば、こういった記録を入念に調査することで、漏洩原因や漏洩ルートの手がかりを得ることができます。

⑤　再発防止策の検討

•  個人情報や機密情報に近寄りにくくする
•  個人情報や機密情報の持ち出しを制御する
•  情報漏洩を見つかりやすくする
•  機密性の高い情報の意識付けと漏洩した場合のリスクを伝える
•  仕事に対する意識を高めて情報漏洩リスクを低減させる

この記事でのポイントまとめ

個人情報が漏えいする原因とは、些細なちょっとしたミスや不注意によるものであるヒューマンエラーがほとんどで、80％は会社内の人間が引き起こしているといわれています。
そして、情報漏えいの事実が世間に広まれば、その事業者、企業がうけるダメージは計り知れないものとなりますので、情報漏えいに関する社員教育や、セキュリティーポリシーの周知を普段から徹底することが本当に大切であり重要なことなのです。

「個人情報」とは

①生きている個人に関する情報で、その情報に書いてある名前や生年月日などにより特定の個人を特定できるもの、
②生きている個人に関する情報で、他の情報と簡単に照合することができて、それによって特定の個人を識別できるもののこと。

それは、少しのミスや管理体制の甘さによって個人情報漏えいは簡単に発生するので事前の対策がとても重要である。

個人情報を漏洩した場合

刑事上の責任と民事上の責任を負う

刑事上の責任

不注意による漏えいでその後、国からの命令勧告に従わなかった場合、

（個人）1年以下の懲役または100万円以下の罰金のどちらかもしくは両方
（法人）1億円以下の罰金

不正な利益を得る目的で個人情報を漏洩した場合、

（個人）1年以下の懲役または50万円以下の罰金のどちらかもしくは両方
（法人）1億円以下の罰金

民事上の責任

損害賠償責任を負う可能性と謝罪金を支払う可能性がある

・損害賠償額の相場は、5,000円～１万5,000円（個人と事業者双方に責任あり）
漏洩した個人情報がどの程度デリケートなものであったかを基準に判断される。

・謝罪金の相場は、500円～1,000円（事業者が自主的に配布）

個人情報を漏洩しないための対策

個人情報を取り扱う個人の対策

1. 個人情報を許可なく持ち出さない
2. 個人情報を目の届かない場所に放置しない
3. 個人情報を安易に破棄しない
4. 私物の電子機器を許可なく職場に持ち込まない
5. 自分に与えられた管理権限を勝手に他人に貸与・譲渡しない
6. 業務上知り得た情報を許可なく公言しない
7. 情報漏洩に気づいたらまずは報告する

セキュリティ上の対策

1. 機密性の確保
2. 完全性の確保
3. 可用性の確保

個人情報が漏えいしてしまったときの対応

漏えい発生時のプロセスに沿った対応をしなければならない