個人情報保護法 (コジンジョウホウホゴホウ) とは | 意味や読み方など丁寧でわかりやすい用語解説

個人情報保護法 (コジンジョウホウホゴホウ) の読み方

日本語表記

個人情報保護法 (コジンジョウホウホゴホウ)

英語表記

Act on the Protection of Personal Information (アクト・オン・ザ・プロテクション・オブ・パーソナル・インフォメーション)

個人情報保護法 (コジンジョウホウホゴホウ) の意味や用語解説

個人情報保護法は、個人の権利と利益を保護することを目的として、個人情報を取り扱う事業者などが遵守すべきルールを定めた法律である。情報化社会の進展に伴い、膨大な個人情報が電子データとして収集、利用、提供されるようになった。これにより、生活の利便性が向上する一方で、情報の漏えいや不正利用のリスクも増大した。この法律は、個人情報の有用性に配慮しつつ、その適正な取り扱いを確保するための枠組みを提供している。システムエンジニアにとって、この法律の理解は極めて重要である。なぜなら、開発するシステムの多くが何らかの形で個人情報を取り扱い、その設計や実装が法律の要件を直接的に満たす必要があるからだ。システムの不備が原因で個人情報の漏えいが発生すれば、企業は社会的信用の失墜や損害賠償責任といった甚大な被害を被る可能性があり、その根幹にはエンジニアの責任が問われることになる。 それでは、法律の詳細について解説する。まず、法律の対象となる「個人情報」とは、生存する個人に関する情報であって、氏名、生年月日、住所、顔写真などにより特定の個人を識別できるものを指す。また、他の情報と容易に照合することができ、それにより特定の個人を識別できるものも含まれる。例えば、単体では個人を特定できなくても、従業員番号と部署名を組み合わせることで特定の個人が識別できる場合、その組み合わせも個人情報となる。さらに、マイナンバーや運転免許証番号、パスポート番号、指紋データ、顔認証データといった、それ自体で特定の個人を識別できる文字や符号は「個人識別符号」と呼ばれ、これも個人情報に含まれる。特に、人種、信条、病歴、犯罪歴といった不当な差別や偏見が生じる可能性のある情報は「要配慮個人情報」として定義され、取得する際には原則として本人の同意が必要となるなど、より厳格な取り扱いが求められる。システム開発においては、どのデータがこれらの定義に該当するのかを正確に把握することが第一歩となる。 事業者が個人情報を取り扱う際には、いくつかの基本的な義務が課せられている。第一に、個人情報を取得する際は、その利用目的をできる限り具体的に特定し、本人に通知するか、ウェブサイトなどで公表しなければならない。システムを設計する際には、取得した情報をどのような目的で利用するのかを明確にし、その目的の達成に必要な範囲を超えて情報を取得・利用しないように機能を実装する必要がある。第二に、あらかじめ本人の同意を得ずに、特定した利用目的の範囲を超えて個人情報を取り扱ってはならない。例えば、商品の発送のために取得した顧客の住所を、本人の同意なくマーケティング分析に利用することは原則として許されない。第三に、取得した個人データは、利用目的の達成に必要な範囲内で正確かつ最新の内容に保ち、利用する必要がなくなった際には遅滞なく消去するよう努めなければならない。これには、データの更新機能や不要なデータを定期的に削除するバッチ処理などの実装が関係する。 システムエンジニアが最も深く関与するのが「安全管理措置」の義務である。事業者は、取り扱う個人データの漏えい、滅失、き損を防止するために、必要かつ適切な措置を講じなければならない。この措置は、技術的安全管理措置、組織的安全管理措置、人的安全管理措置、物理的安全管理措置の四つに分類される。エンジニアが主に関わるのは技術的安全管理措置であり、具体的には、システムへのアクセス制御、担当者ごとにアクセスできる情報の範囲を制限する権限管理、外部からの不正アクセスを防ぐためのファイアウォールやWAFの導入、データの送受信時や保存時における暗号化、不正な操作を検知・追跡するためのアクセスログの取得と監視などが含まれる。これらのセキュリティ対策をシステムの設計段階から織り込み、堅牢なシステムを構築することが求められる。 また、個人データを第三者に提供する場合にも厳しい制限がある。原則として、あらかじめ本人の同意を得なければ個人データを第三者に提供することはできない。システム間でデータを連携させる際には、この提供が第三者提供に該当しないか、該当する場合は本人の同意が適切に得られているかを確認する必要がある。例外として、法令に基づく場合や、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難な場合などは同意が不要となるが、安易な判断は禁物である。さらに、個人データを外国の第三者に提供する際には、国内よりも厳格な要件が課されるため、グローバルなサービス開発では特に注意が必要となる。 最後に、本人からの開示、訂正、利用停止などの請求に対応する義務も重要である。事業者は、本人から自己の保有個人データに関する開示を求められた場合、原則として遅滞なくこれに応じなければならない。また、内容が事実でないという理由で訂正を求められた場合や、目的外利用や不正取得を理由に利用停止を求められた場合も、調査の上で適切に対応する必要がある。このため、システムには利用者が自身の情報を確認・修正したり、退会時にデータを削除したりするための機能を設けることが一般的である。万が一、個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きい事態となった場合には、個人情報保護委員会への報告と本人への通知が義務付けられている。インシデント発生時の迅速な検知と対応を可能にする監視・通知の仕組みも、システムに求められる重要な要素である。このように、個人情報保護法はシステム開発のあらゆる工程において遵守すべき基本原則であり、その理解と実践が信頼されるエンジニアになるための必須条件といえる。