EnterpriseZine(エンタープライズジン)

EnterpriseZine(エンタープライズジン)

テーマ別に探す

5ステップで「改正個人情報保護法」対応を考える システム部門におけるポイントとは 第6回:外国事業者への規制強化など

  2022/01/28 08:00

 前回は、漏えい時の義務や事業者の罰則強化を中心に、システム部門に求められる対応について確認しました。連載最後となる今回は、法の域外適用・越境移転および認定個人情報保護制度の変更について解説します。 

域外適用・越境移転の規制強化が明確に定められた

日本国内にある者にかかわる個人情報等を取り扱う外国事業者を、罰則によって担保された報告徴収・命令の対象とすることとなりました(法75条関係)

  • 改正前:外国の個人情報保護事業者に対しては、個人情報保護法の多くが適用されることとなっていますが、報告徴収や立入検査、命令に関する規定は適用されていませんでした
  • 改正後:外国の個人情報保護事業者に対しても、域外適用として国内の事業者と同様に個人情報保護法のすべての規定が適用されることになりました。結果として報告徴収や立入検査、命令に関する規定も適用されることになりました
外国事業者への法の適用
外国事業者への法の適用
[画像クリックで拡大]

解説

 域外適用の対象となる外国にある個人情報取扱事業者とは、たとえば以下のようなケースです。

  • 外国のインターネット通販会社が、日本の消費者に対する商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う場合
  • 外国のメールサービス提供事業者が、日本の消費者に対する メールサービスの提供に関連して、日本の消費者の個人情報を取り扱う場合
  • 外国のホテル会社が、日本の消費者に対する現地の観光地やイベント等に関する情報の配信等のサービスの提供に関連して、日本の旅行会社等から提供を受けた日本の消費者の個人情報を取り扱う場合

 今後は、このような外国の個人情報取扱事業者に対し、個人情報保護委員会は罰則による強制力をともなう報告徴収や立入検査、命令ができるようになります。もちろん、命令違反があった場合は、公表も可能となります。

システム部門が対応するべきこと

 システム部門では、以下の対応が必要です(ユーザー部門が自ら行う。もしくはユーザー部門の依頼に応じて対応する場合もあります)。なお、これらは外国の個人情報取扱事業者に新たに必要な事項であって、日本国内の個人情報取扱事業者にとっては、改正前から対応が義務付けられている事項です。

  • 個人情報保護委員会から報告徴収を求められた場合、システムに関する必要な情報の提供や、報告に必要な技術的対応の支援
  • 個人情報保護委員会から立入検査を求められた場合、システムに関する必要な検査への対応や、検査に必要な技術的対応の支援
  • 個人情報保護委員会から命令が発出された場合、命令に基づくシステムに関する必要な措置の実施や、それら措置の実施に必要な技術的対応の支援

※この続きは、会員の方のみお読みいただけます(登録無料)。


※この続きは、会員の方のみお読みいただけます(登録無料)。


著者プロフィール

  • 戸田 勝之(トダ カツユキ)

    NTTデータ先端技術株式会社 セキュリティ事業本部 セキュリティコンサルティング事業部 担当課長 大手信用調査会社でシステム管理、セキュリティ管理に従事した後、マーケティング会社を経てNTTデータセキュリティ株式会社(のちにNTTデータ先端技術に統合)に入社。リスクアセスメント、セキュリティ監査、ISMS構築、個人情報保護、インシデント対応、脅威インテリジェンス等、多様な案件に従事。技術とマネジメントの両面の視点で企業のセキュリティ課題解決の支援を行っている。 CISSP、CEH、CISA、情報セキュリティスペシャリスト JNSA(日本ネットワークセキュリティ協会)インシデント被害調査WGメンバー  

バックナンバー

連載:【2022年4月施行】改正個人情報保護法 システム部門が担うべき役割とは
All contents copyright © 2007-2022 Shoeisha Co., Ltd. All rights reserved. ver.1.5