急務！法対応（第1回） 個人情報保護法が改正。信用失墜のリスクに備えよ

　改正個人情報保護法が、2017年5月30日から全面施行される。個人データを取り扱うすべての企業に直接的な影響があるにもかかわらず、その中身は中堅・中小企業にあまり知られていないことも予想される。改正のポイントは、たとえ1件でも個人情報を取り扱っていれば、同法が適用されること。法で定められた安全管理措置を怠ると、企業は訴訟と信用失墜の大きなリスクにさらされる。

「うちには関係ない」では済まされない

　A氏は従業員20人のリフォーム会社を経営している。年間数十件の工事を請け負っており、順調に事業を拡大中だ。ある日、顧客である中堅企業T社の施工現場でこんなことを言われた。
「個人情報保護法が改正されるって知っていました？御社だって対象になりますよね」
「まさか、うちみたいな小さな会社には関係ないですよ」

　数時間前、このリフォーム会社の従業員が、T社の玄関前に車両を停車させていた。そしてダッシュボードの付近には、設計図面とノートパソコンが置かれていた。短い時間ではあったが、車両ドアが開いていた。

　車両ドアを開けたままにしていた状況を目撃したT社から厳しい指摘を受けた。
「万が一のことがあれば、元請である我が社も管理責任を問われることになる。そんなことになれば、お宅の会社には責任を取ってもらうよ」

　T社は改正個人情報保護法の施行を機に、情報セキュリティー対策を強化する。出入りの事業者に対しても同様に対策を求めている。
「これからは個人データを1件でも取り扱っていれば、保護法を守らなくてはいけない事業者になるんですよ。守らないと、懲役や罰金を科せられる場合もあるんです」
「えっ、本当ですか！」

立ち入り検査に入られる可能性も

　K氏は地場産品の製造・販売を手掛ける事業を5年前に立ち上げた。現在、個人商店から企業組織への成長過程にある。Webサイトでも商品を販売しており、顧客の個人情報は慎重に扱ってきた。だが、インターネットの情報セキュリティー対策が後回しになっていた。サーバーへの不正な侵入を許し、数千件の個人情報が抜き取られてしまった。「パソコンのウイルス対策はしっかりやってきたつもりだが、本格的な情報セキュリティー対策機器の導入をためらったばかりに……」と、K氏は悔やむ。

　個人情報が漏えいしたため、現在、個人情報保護委員会（※）が職場に立ち入り、K氏と従業員に対し情報管理の方法についてヒアリングを行っている。今後K氏の会社には、刑事罰や顧客からの損害賠償請求など、事業継続を脅かす重大なリスクが想定される。

たとえ1件でも個人情報があれば対象に

　ここに挙げた2つの想定ケースは、2017年6月以降、中堅・中小企業のさまざまな現場でも起こり得るものだ。これまで5000件以下の個人情報を取り扱う事業者は、個人情報保護法の対象外だった。しかしT氏の発言にもあったように、今回の改正によって、個人情報を取り扱う数に関係なく、たとえ1件でも個人情報を事業活動で取り扱っていれば、同法が適用される。

　個人情報の定義も明確化された。マイナンバーや免許証番号、指紋・顔認識データ、さらには購買履歴など、個人を識別できる符号が含まれる情報も「個人情報」と定義された。また、利用する必要がなくなった個人データは、復元不可能な手段で消去するという努力義務が新たに加えられた。

　新たに順守対象となった事業者は、何から取り組めばよいのだろうか。とりわけ重視すべき点は、同法の「安全管理措置」だ。

個人情報を事業で取り扱っている事業者は、4つの側面から「安全管理措置」を講じなければならない

　改正個人情報保護法への対策は、個人情報保護委員会Webサイト内の「中小企業サポートページ」に詳しい説明が記載されている。上図で示した4つの安全管理措置のうち、「物理的」「技術的」な策を講じるための機器・ソリューションについては、ITベンダー各社が短期間・低料金で導入できる製品群を発表している。事業所への入退室を管理するシステムやファイアウォール、UTMなどが、安全な環境で個人情報を運用していく有効な対策になるだろう。

　なお、同法が定める義務に違反した場合は、個人情報保護委員会による注意勧告や命令の対象となる。その命令にも違反した場合には、罰則規定により6カ月以下の懲役、または30万円以下の罰金が科せられる。K氏の経営する地場産品事業会社のように、顧客から損害賠償を求める民事訴訟を起こされるリスクも発生する。

　もはや「うちには関係ない」「知らなかった」では済まされない。顧客や地域社会からの信頼を守り続けていくためにも、経営者は今何をすべきかを考え、適切な対策を講じる時である。

※個人情報保護委員会：個人情報の有用性に配慮しつつ、その適正な取り扱いを確保するために、内閣府の外局として設置された独立性の高い機関。個人情報保護法の所管は、消費者庁から、この個人情報保護委員会に移行された