「保有個人データ」の取り扱いは、個人情報保護法改正でどう変わる？：短期保有データの扱いにも変化（1/5 ページ）

Q：　令和2年改正個人情報保護法では「保有個人データ」に関してどのような改正がなされましたか。

A：【改正のポイント】

ポイント（1）6カ月以内に消去する短期保存データも保有個人データと扱われることになりました。

　本人の開示などの請求対象となる「保有個人データ」について、保存期間により限定しないこととされ、現在除外されている6カ月以内に消去する短期保存データも「保有個人データ」に含められることになります。

ポイント（2）保有個人データの開示請求は電磁的記録の提供その他の本人の意向による方法によることになりました。

　本人が、電磁的記録の提供を含め、開示方法を指示できるようにされ、請求を受けた個人情報取扱事業者は、原則として、本人が指示した方法により開示するよう義務付けられます。ただし、当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法による開示を認めることとし、その旨を本人に対し通知することが義務付けられます。

ポイント（3）保有個人データ利用停止請求権・第三者提供の制限の要件が緩和されました。

　個人の権利利益の侵害がある場合を念頭に、保有個人データの利用停止・消去の請求、第三者提供の停止の請求にかかる要件が緩和され、個人の権利の範囲を広げられます。ただし、事業者の負担軽減などの観点から、利用停止・消去または第三者提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わる措置を取る場合は、請求に応じないことを例外的に許容します。

ポイント（4）保有個人データの開示項目として、安全管理措置に関する項目が追加されて充実化が求められることになりました。

1.6カ月以内に消去することとなる個人データの保有個人データ化（個人情報保護法2条7項）

出典：個人情報保護委員会「個人情報保護を巡る国内外の動向」（令和元年11月25日）

1-1.改正前の個人情報保護法における規定

　令和2年改正法の施行前においては、「保有個人データ」については、1年以内の政令で定める期間以内に消去することとなるものが除外されており（個人情報保護法2条7項【16条4項】）、政令で定める期間については、同法施行令5条の規定により「6月」とされています。

　すなわち、現行法上、6カ月以内に消去することとなる個人データは、「保有個人データ」の定義から除かれており、個人情報取扱事業者は、開示や利用停止等の請求に応ずる義務がありません。

　立法当時このように定められた背景は、短期間で消去される個人データについては、データベースに蓄積されて取り扱われる時間が限られており、個人の権利利益を侵害する危険性が低く、また、本人の請求を受けて開示などが行われるまでに消去される可能性も高いことから、個人情報取扱事業者に請求に対応するコストを負担させることの不利益が、本人に開示などを請求する権利を認めることの利益を上回るものと考えられたためです。

1-2.改正の背景　情報化社会の進展による状況の変化

　しかしながら、情報化社会の進展により、短期間で消去される個人データであっても、その間に漏えい等が発生し、瞬時に拡散する危険が現実のものとなっています。このように、短期間で消去される個人データについても、個人の権利利益を侵害する危険性が低いとは限りません。

　また、すでに消去されていれば、請求に応じる必要もないことから、個人情報取扱事業者に請求に対応するコストを負担させることの不利益が、本人に開示などを請求する権利を認めることの利益を上回るとはいえないものと考えられます。

　なお、現在でも、プライバシーマークにおいて審査基準の根拠とされている「JIS Q 15001 個人情報保護マネジメントシステム−要求事項」においては、6カ月以内に消去する個人情報も含め、開示などの求めに原則応じることとされており、事業者において自主的に個人情報保護法の水準を超えた対応が行われています。

1-3.令和2年個人情報保護法改正ではどのような規定が設けられたか

　令和2年改正法では、「保有個人データ」の定義から、「一年以内の政令で定める期間以内に消去することとなるもの以外のもの」との部分が削除されることにより、6カ月以内に削除するものも「保有個人データ」に該当することとされました。

© BUSINESS LAWYERS