国際・隣接の個人データ法規 — マイナンバー法・GDPR

マイナンバー法は、住民票を持つ一人ひとりに割り当てる 12 桁の個人番号 (マイナンバー) について、使える範囲と安全管理を定めた法律である。

正式名は「行政手続における特定の個人を識別するための番号の利用等に関する法律」で、個人番号を含む個人情報は特定個人情報と呼ばれる。番号を使える事務は法律で決められたもの (例えば社会保障・税・災害対策の手続き) に限られ、本人が同意しても、それ以外の目的に使うことは原則できない。事業者が番号の提供を受けるときは、本人確認も求められる。

たとえ役所の手続き専用の合鍵のようなもの。決められた扉 (法律が定めた手続き) にしか差し込めず、ほかの扉を開けるために使うことは許されない。

覚え方「マイ (私の) + ナンバー (番号)」で、私一人に付く番号の法律と覚える。正式名の「番号の利用等」が、守る中心が番号の使い方であることを示している。

この用語の過去問 2 題 マイナンバー法 →

GDPR (General Data Protection Regulation、一般データ保護規則) は、EU が定めた個人データ保護の規則である。

2016 年に採択され、2018 年から EU 加盟国に直接適用されている。適用されるかどうかは事業者の本拠地だけでは決まらず、EU 域内の人を相手に商品やサービスを提供していれば、日本の企業も対象になりうる。本人の権利を幅広く定め、個人データを EU 域外へ移すことも原則として制限している。

たとえEU という会場の入場ルールのようなもの。どこの国から来た出店者でも、その会場で客を相手に商売をするなら、会場のルールに従う必要がある。

覚え方G = General (一般)、DP = Data Protection (データ保護)、R = Regulation (規則)。「一般」は特定の業種に限らず、個人データを扱う事業者に広く及ぶことを示す。

この用語の過去問 1 題 GDPR →

忘れられる権利は、インターネット上などに残り続ける自分の過去の情報を、消してもらったり検索結果に出ないようにしてもらったりする考え方の呼び名である。

検索すればいつまでも昔の出来事が出てきて、本人が不利益を受ける問題から注目されるようになった。EU では 2014 年に、検索事業者に検索結果の削除を求められるとした EU 司法裁判所の判決が出ている。ただし報道の自由や公共の利益と比べて判断されるため、求めれば常に消してもらえるわけではない。

たとえ町の掲示板に何年も貼られたままの古い貼り紙を、もう役目を終えたので外してほしいと頼むようなもの。ただし、みんなが知っておくべき告知なら外してもらえないこともある。

覚え方「忘れられる」は受け身の形。自分が忘れるのではなく、世間 (検索結果) に忘れてもらう側の権利だと読む。

消去権は、本人が事業者に対して自分の個人データを消すよう求めることができる、GDPR に定められた権利である。

GDPR の第 17 条に定められ、事業者 (管理者) は条件に当てはまれば遅滞なく消去しなければならない。条件には、例えば集めた目的にもう必要がなくなった場合や、本人が同意を取り消した場合がある。法令で保存が義務付けられているデータなど、消去を求めても認められない場合もある。

たとえ会員をやめた店に、預けていた自分の名簿の記録を処分してほしいと正式に申し入れるようなもの。店は理由がなければ、その申し入れに応じなければならない。

覚え方英語名は right to erasure。erase (消す) は消しゴム (eraser) と同じ語で、データを消しゴムで消させる権利と覚える。