【3/18〜】Amazon、VMwareが語る『クラウドの未来』        

個人情報保護法

個人情報の保護に関する法律

　本人の意図しない個人情報の不正な流用や、個人情報を扱う事業者がずさんなデータ管理をしないように、一定数以上の個人情報を取り扱う事業者を対象に義務を課す法律のこと。2005年4月より全面施行される。以下の5つの原則から成り立つ。

• 利用方法による制限（利用目的を本人に明示）
• 適正な取得（利用目的の明示と本人の了解を得て取得）
• 正確性の確保（常に正確な個人情報に保つ）
• 安全性の確保（流出や盗難、紛失を防止する）
• 透明性の確保（本人が閲覧可能なこと、本人に開示可能であること、本人の申し出により訂正を加えること、同意なき目的外利用は本人の申し出により停止できること）

　この法律によって、本人の了解なくして個人情報の流用や売買、譲渡は規制されることになる。国の定める一定数以上の従業員を持つ企業体や、大量のカルテを有する医療機関など、個人情報をデータベース化（電子情報、紙データを問わない）する事業者は、個人情報を第三者に提供する際に、利用目的を情報主体（本人）に通知し了解を得なくてはならない。また不正流用防止のための管理を行う義務が発生する。　

　これを守らない場合、情報主体の届け出や訴えにより、最高で事業者に刑罰が科されるという実効性を持つ法律である。またこの法律により、DM（ダイレクトメール）や電話商法を目的とした個人情報の売買やそれに準ずる行為を行ういわゆる名簿業者などは、その存在を完全に否定されることとなる。

　しかし問題点として、「情報主体（個人）が苦情処理機関または当該事業者に訴えでない限り、個人情報保護法が実効性を持つことは皆無」な法案であることが挙げられる。従って、政府による監査機能の一切ない法律の中でどれだけの事業者がこの法律に沿って個人情報を取り扱うかは大いに疑問が残るところだ。

　この法律の意味する根底の部分には、情報主体に対して「自分の個人情報の取り扱いについてもっと関心を持ってほしい」との政府側の要望的意味合いが込められているととらえるのが心構えとしては妥当である。法律が自分たちの個人情報を1から10まで守ってくれるという見解を持つと期待外れになる。

　「実効性がない法律」という印象を持たせる一方で、個人情報保護法に定められる「認定個人情報保護団体」（個人情報の取り扱いに関する事業者への苦情の処理や、個人情報保護指針の作成・公表を行う主務大臣認定の機関）によって、Pマークのような認定を証明するマークの発行を考えているNPO団体もあるようだ。

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード