一般的に、ある法律が定められるとその法律を実施するために関連法令類が別途定められますが、保護法の場合は以下の3種類の法令類があります。

最後のガイドラインですが、特に企業等に対しては現在以下の4編が定められています。

前述のとおり、いわゆる3年ごとの見直しの2回目が着々と進められている中、委員会は2023年12月27日、以下の規則並びに2編の一部改正及びそれらの施行日を2024年4月1日とすることを発表しました。

また、2024年3月1日には、これらの改正を踏まえたガイドラインに関するQ&Aも更新され、2024年4月1日から適用されると発表しています。

【4月1日に施行が予定されている規則及びガイドライン】

• ① 個人情報の保護に関する法律施行規則
• ② ガイドライン（通則編）
• ③ ガイドライン（第三者提供時の確認・記録義務編）

今回の規則及びガイドラインの改正は昨今頻発し被害の拡大が懸念されるWebスキミングへの対応を目的としています。2023年9月13日に開催された委員会の議事録には以下のように記載されています。

このように、今回のガイドライン改正の直接要因はサイバー攻撃の一つでもあるWebスキミングによる個人情報の漏洩事件の頻発にありました。なお、このWebスキミングについての詳細はこちらをご覧ください。

それでは、まずは規則の改正内容を見ていきましょう。企業等に関連する部分では、第7条 第3号の改正があげられます。第7条は、保護法第26条が定める「個人の権利利益を害するおそれが大きいものとして規則で定めるもの」の内容を補足しているものですが、以下第3号の下線部分が新しく追加されました。

ここでのポイントは、不正の目的をもって行われた恐れのある漏えい等の対象情報に、既に保有している個人データのみならず、これから取得しようとしている個人情報でかつ個人データとして取扱われることが予定されている個人情報までも含まれる点が新しく追加されています。

このポイントは、関連する第8条(委員会への報告)に規定されている個人データにも追加されました。

次にこの規則の改正が２編のガイドラインにどのような影響を及ぼしたのか、その具体的な改正内容を見て行きましょう。

まず、指針全体について定める「通則編」の3-5-1 (「個人データ」の「漏えい等」の考え方) に、3-5-1-1 として「規則第7 条の「個人データ」の考え方」が新しく追加されました。これにより、不正行為による漏洩に関連する個人データには全てこの考え方が適用される旨を明確にしています。

加えて本改正には、直接の引き金となったWebスキミングに関連した事例が幾つか追加されており、不正行為などによる漏えい事態に関わる対象者やその役割責任の明確化並びに従業者による持ち出し情報についても含まれています。

それらをまとめると、ガイドラインの主な改正点は以下のようになります。

次に、これらの改正点が実際にガイドラインのどの条項に反映されているかを見てみますと、そのほとんどが指針全体を取りまとめている「通則編」の条項であり、1項のみ「第三者提供時の確認・記録義務編」に反映されています。

上記の改正点と関連条項を表で表すと、ガイドライン条項と主な改正点一覧は以下のようになります。

なお、先にも触れましたが、本改正内容の理解を深めてもらうため、ガイドライン「通則編」に関するQ&Aが別途公表されていますので、こちらも参考にしてください。

また、本稿では直接触れませんが、Webスキミングによる被害は民間企業にとどまらず、公的組織にても発生が想定されるため、ガイドライン（行政機関等編）も合わせて改正され、同様に4月1日に施行されることになっています。

それでは、この改正を受けて対象となる個人データを取り扱う企業等はどのように対応すべきなのでしょう。

まずは、本改正の直接原因であるWebスキミングへの対応が最重要と考えられますが、個人情報入力者であるユーザーがWebスキミングを事前に検知することは非常に困難です。そのため、当該Webサイト管理者による、Webサイトとその利用者を守る対策の実践が求められます。

Webサイト管理者は、以下のような対策によって、攻撃者の侵入や不正なスクリプトの埋め込みを防ぐことが可能です。そのためには、専門家との連携による対応策検討が必要と考えます。

• 定期的なセキュリティパッチ適用
• 不正アクセスを検知するシステムの導入
• セキュアコーディングの徹底
• コンテンツセキュリティポリシー（CSP）の設定

また、技術的対策に加え、運用ルール及び体制の見直し整備が必要と考えます。これまでは「個人データ」を中心とした保護並びに不正行為に伴う漏洩対応でしたが、改正規則等の施行に伴い「取得しようとしている個人情報であり、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」の意味合いが追加されます。

その対応策として規程類整備を始め以下の対策検討をおすすめします。

• 個人情報特定及びリスクアセスメント手順への、「取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定している個人情報」の特定手順の追加改訂と従業員への周知
• 当該個人情報の特定及びリスクアセスメント結果に基づく安全管理策の見直し改訂と周知
• 当該個人情報に対する不正行為による漏えい事項に対する対応手順の見直し改訂と周知
• 改正に伴うルール変更及び体制整備状況の内部監査による確認と改善支援

これらの改正規則及びガイドラインの施行日は目前に迫っています。Webスキミングへの対応は技術的にも難しく、専門家との連携による対応策検討がおすすめです。

また、不正行為による情報漏洩に関する「取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定している個人情報」の追加への対応は、広範囲にわたりますので、運用ルール改訂及び体制整備の速やかなる着手と、内部監査によるその対応結果確認と改善の検討をおすすめ致します。