個人情報保護法の改正（課徴金制度・こども個人情報・生体情報・AI特例）

改正の流れ（衆議院通過）

制度の全体像

個人情報保護法の「3年ごと見直し」にもとづく改正で、2022年の全面施行から3年を経て12項目の見直しが行われます。課徴金制度の導入、こども個人情報の保護強化、生体情報の厳格化、AI・統計処理の特例など多岐にわたり、2006年以来最大規模の改正です。

課徴金制度の導入

個人情報の違法な取扱いによって財産上の利益を得た場合に、個人情報保護委員会が直接課徴金の納付を命じることができる制度が新設されます。罰金・過料と異なり、違反行為の売上高ベースで算出されるため、大規模な情報漏えい等では高額になる可能性があります。

こども個人情報の保護（16歳未満）

16歳未満の個人情報（こども個人情報）について、法定代理人からの同意取得が義務化されます。「本人の最善の利益を優先して考慮すべき」責務規定が新設され、ターゲティング広告や行動追跡への利用に歯止めがかかります。

特定生体個人情報の新設

顔認証データなどの身体的特徴に係る情報が「特定生体個人情報」として新たに定義されます。取扱事実の本人通知義務、違法な取扱いがなくとも利用停止請求が可能、オプトアウト提供の禁止が適用されます。

AI・統計処理の特例（緩和）

統計情報等の作成を目的として第三者に個人情報を提供する場合について、一定の条件下で本人の同意を不要とする措置が講じられます。AI学習データとしての活用は統計処理目的に限定されれば同意負担が軽減されます。

連絡可能個人関連情報

メールアドレス、電話番号、Cookie IDなど特定の個人に対する働きかけが可能となる情報が「連絡可能個人関連情報」として定義され、不正取得・不当利用（詐欺目的等）が禁止されます。

漏えい通知義務の合理化

漏えい等が発生した場合の本人通知義務・委員会報告義務について、本人の権利利益の侵害のおそれが少ない場合は、代替保護措置（暗号化等）を講じていれば通知義務が緩和されます。

罰則の強化

不正提供罪の対象が拡大され、不正取得罪が新設されます。いずれも2年以下の拘禁刑または100万円以下の罰金です。

実務上のポイント

①自社の個人情報取扱いの棚卸し（特に生体情報・こども情報の有無）②課徴金リスクの経営報告③プライバシーポリシーの改定準備④漏えい対応フローの見直し⑤委託先管理体制の強化。公布から2年の準備期間があるため、段階的に対応を進めましょう。

課徴金の対象となる4つの違反類型と「1,000人」基準

記者発表資料によると、課徴金納付命令の対象となるのは、(1)不適正な利用の禁止(法第19条)違反、(2)適正な取得(法第20条第1項)違反、(3)第三者提供の制限(法第27条第1項)違反、(4)統計作成等の特例違反(目的外利用・第三者提供)の4類型に限定されます。さらに、(2)事業者が違反防止のための相当の注意を怠っていない場合は対象外、(3)個人の権利利益が侵害されたか侵害の具体的なおそれが生じた場合に限定、(4)大規模な事案(対象行為に係る本人の数について1,000人を基準とする)に限る、という絞り込みが設けられています。漏えい等を起こしただけで直ちに課されるものではなく、悪質・大規模な違反に的を絞った制度設計です。

課徴金額はどう計算されるか

課徴金の額は、当該違反行為によって得られた財産的利益等に相当する額とされています。記者発表資料では算定方法として、違反事業者が対象行為(または対象行為をやめることの対価)として得た金銭等の財産上の利益に相当する額、と説明されています。制度の目的は、勧告・命令を受けて違反をやめても経済的利得を保持できてしまう現行制度の抜け穴をふさぎ、違反行為の経済的誘因を小さくして悪質な違反を抑止することにあります。

16歳未満の子どもの個人情報に新ルール

改正法律案では、16歳未満の者が本人である場合、同意取得や通知等について当該本人の法定代理人(親権者等)を対象とすることを明文化するとともに、未成年者の個人情報等の取扱いについて本人の最善の利益を優先して考慮すべき旨の責務規定を設けるとされています。年齢基準は16歳未満です。子ども向けサービスや、利用者に未成年が含まれうる事業者は、保護者(法定代理人)の同意取得フローの見直しが必要になる可能性があります。