個人情報保護とデータ管理 / Data Protection & Privacy

個人情報保護法 (APPI) を中心とした日本のデータ保護法制の包括ガイド。 越境移転規制、漏えい報告義務、マイナンバー法、製造業固有のデータ管理課題を解説。 M&A によるグループ構築と IPO を目指す中小製造業を前提とする。

→ 知識ベース: knowledge/17-legal-ip/compliance-systems.md (コンプライアンス・法務システム) → 知識ベース: knowledge/17-legal-ip/corporate-law.md (会社法・契約管理)

---

1. 個人情報保護法の全体像 (APPI Overview)

基本情報

法改正の主な経緯

APPI の主要改正:
├── 2003年 制定 (法律57号)
├── 2015年改正 → 2017年施行
│   ├── 個人情報保護委員会の設立 (監督権限の一元化)
│   ├── 匿名加工情報制度の新設
│   └── 取扱事業者の規模要件撤廃 (5,000件以下の事業者も対象に)
├── 2020年改正 → 2022年4月施行
│   ├── 仮名加工情報制度の新設
│   ├── 漏えい報告の義務化 (努力義務→法的義務)
│   ├── 越境移転規制の強化
│   ├── 罰則の大幅引上げ (法人: 5,000万円→1億円)
│   └── 本人の権利の拡充 (利用停止・消去請求権の要件緩和)
└── 3年ごと見直し条項に基づき、継続的に改正

---

2. 主要定義 (Key Definitions)

要配慮個人情報の特別規制

• 取得には明示的な本人同意が必要 (Art. 20(2))
• オプトアウトによる第三者提供は不可

---

3. 個人情報取扱事業者の義務 (Obligations)

7つの基本義務

安全管理措置の4分類 (PPC ガイドライン)

安全管理措置
├── 組織的安全管理措置
│   ├── 個人データ取扱いの責任者・担当者の明確化
│   ├── 取扱規程の整備
│   └── 取扱状況の定期的な監査
├── 人的安全管理措置
│   ├── 従業者への教育・研修
│   └── 秘密保持義務の明確化
├── 物理的安全管理措置
│   ├── 入退室管理
│   ├── 機器・電子媒体の盗難防止
│   └── 電子媒体の持出し時の漏えい防止
└── 技術的安全管理措置
    ├── アクセス制御
    ├── アクセス者の識別と認証
    ├── 外部からの不正アクセス防止
    └── 情報システムの使用に伴う漏えい防止

---

4. 越境移転規制 (Cross-Border Transfer — Art. 28)

2022年改正で大幅に強化。外国にある第三者への個人データ提供には以下のいずれかが必要。

提供の適法根拠

製造業での具体的トリガー

---

5. 漏えい報告義務 (Data Breach Notification — Art. 26)

2022年4月〜義務化

漏えい等発生
  │
  ├── 報告対象か判定
  │   ├── 要配慮個人情報の漏えい
  │   ├── 財産的被害のおそれがある漏えい
  │   ├── 1,000件超の個人データの漏えい
  │   └── 不正の目的による漏えい
  │
  ├── YES → PPC への報告義務
  │   ├── 速報: 概ね 3-5日以内
  │   └── 確報: 30日以内 (不正利用の場合は60日以内)
  │
  └── 本人への通知義務
      └── 速やかに通知

違反時の制裁

---

6. マイナンバー法 (My Number Act — 法律27号, 2013年)

制度概要

事業者の義務 (製造業雇用主として)

マイナンバーの安全管理措置の具体的要件

マイナンバーの安全管理措置 (通常の個人情報よりも厳格):
├── 組織的安全管理措置
│   ├── 事務取扱担当者の明確化
│   ├── 事務取扱担当者の役割・責任の明確化
│   └── 取扱状況を確認する手段の整備 (ログ管理等)
├── 人的安全管理措置
│   ├── 事務取扱担当者への教育・監督
│   └── 秘密保持に関する誓約書の取得
├── 物理的安全管理措置
│   ├── 取扱区域の管理 (入退室管理)
│   ├── 機器・電子媒体等の盗難防止
│   └── 電子媒体等を持出す場合のデータ暗号化
└── 技術的安全管理措置
    ├── アクセス制御 (担当者以外のアクセス防止)
    ├── アクセス者の識別と認証
    └── 外部からの不正アクセス等の防止

刑事罰

---

7. 製造業固有のデータ管理 (Manufacturing-Specific Data Considerations)

7.1 健康診断データ (健康診断データ)

7.2 カメラ・監視映像 (Camera/Surveillance Data)

カメラ映像の取扱い:
├── 個人を識別できる映像 → 個人情報に該当
├── 対応策:
│   ├── カメラ設置の掲示 (利用目的の通知)
│   ├── 保存期間の定義
│   ├── アクセス権限の制限
│   └── 不要データの定期的削除
└── 製造現場では品質管理・安全管理目的が多い
    → 利用目的を明確に特定・通知

7.3 IoT・機械データ

---

8. データ管理体制の構築 (Data Governance Framework)

IPO 準備企業に求められる体制

データ管理体制:
├── 個人情報保護方針 (プライバシーポリシー) の策定・公表
├── 個人データの取扱いに関する規程の整備
├── 個人情報保護管理者 (CPO) の設置
├── 処理活動の記録 (Record of Processing Activities)
│   ├── 個人データの種類
│   ├── 利用目的
│   ├── 取扱部門
│   ├── 第三者提供の有無
│   └── 安全管理措置の内容
├── 従業員教育プログラム (年次研修)
├── インシデント対応手順書
│   ├── 発見→初動→調査→報告→通知→再発防止
│   └── PPC報告テンプレート
└── 定期的な監査 (内部監査 + 外部監査)

グループ企業間のデータ共有ルール

共同利用 (Art. 27(5)(iii)) の詳細

グループ企業間でのデータ共有に最も実務的な枠組み。

共同利用の要件:
├── 事前に本人に通知すべき事項:
│   ├── 1. 共同利用する旨
│   ├── 2. 共同利用される個人データの項目
│   ├── 3. 共同利用者の範囲
│   ├── 4. 利用目的
│   └── 5. 管理責任者の氏名・名称
└── 変更時:
    ├── 共同利用者の範囲、利用目的の変更は
    │   事前に本人に通知 or 容易に知りうる状態に置く
    └── 管理責任者の変更は遅滞なく通知等

---

9. 個人データの本人請求権 (Data Subject Rights)

2022年改正で大幅に拡充された本人の権利。

---

10. 主要法令リファレンス (このファイルで参照した条文)