電通法 特定利用者情報とは？
こんばんは！
昨日、総務省から、特定利用者情報を適正に取り扱うべき電気通信事業者の指定、として、19事業者が指定され、来年から適用が開始されることが公表されました。
今日は、「特定利用者情報」の規範について、概要を紹介します。
１規範の背景
特定利用者情報規範の議論が始まったのは、2021年。
その検討会の背景としては、いわゆるLINEの事案で顕在化した外国の法的環境の影響やサイバー攻撃の増加等、デジタルサービスに対するリスクの高まりがあげられています。
大きな話題をよんだこの記事が2021年3月17日、その約1ヶ月後、4月27日に総務省の電気通信事業ガバナンス検討会が発足しました。
最初は非公開、
そして、以下の記事にあるような炎上🔥、
紆余曲折を経て…
約2年後の2023年6月16日、(外部送信規制と同合わせ)改正電通法は施行されました。
2 規範の対象
🏢対象事業者
特定利用者情報の規範は、利用者の利益に及ぼす影響が大きい電気通信役務として、施行規則で定められた以下の基準で指定された事業者だけが対象となります。
📏指定の基準
利用者の利益に及ぼす影響が大きいの基準については、議論の末、
以下のいずれかの対象事業、かつ、
⚫︎電気通信事業(固定通信やモバイル通信などの役務)
⚫︎SNSやアプリ配信等(媒介相当電気通信役務)
⚫︎総合的な検索サービス提供事業者(検索情報電気通信役務)
総務省が定めた役務ごとに以下の基準を超えると、指定を受け、規範義務の対象になります。
⚫︎無料電気通信役務 : 利用者数1000万以上
or
⚫︎有料電気通信役務 :利用者数 500万以上
▷指定のプロセス
初年度のプロセスは、
①法施行後、対象になりそうな事業者に総務省が声がけ
②事業者が役務ごとの数を総務省に報告
③総務省が情報通信行政・郵政行政審議会に諮問、対象事業者決定 →これが昨日だった
④告示(12月予定)
⑤適用開始(④の1ヶ月後、1月を予定
次年度以降は、
毎年期末(3月)時点の数を1ヶ月以内に報告(②)し、毎年、総務省が対象事業者を確認する運用が予定されています。
3 特定利用者情報の規律
規律の内容は、法施行後、総務省のHPに開設されたこちらのページで説明されています。
🗝️特定利用者情報の規範
規範は、以下のように比較的、シンプルです。
(1)情報取扱規程の策定・届出
いわゆる社内規程に関するもので、
指定適用から3ヶ月以内に定められた項目の規程作成と届出が義務付けられます。
(2)情報取扱方針の策定・公表
いわゆるプライバシーポリシーなどのかたちで、
外国での委託や、保管がある場合、国名や制度の公表が義務づけられます。
個人情報保護法の「クラウド事業者が取り扱わない場合」のような除外要件はありません。
(3)特定利用者情報の取扱状況の評価
毎年自主的に取扱状況の評価が求められ、そのやり方を規程に記載する必要があります。
(4)特定利用者情報統括管理者の選任・届出
海外の一部の国のDPOのように、責任者の選任・届出が義務化されています。
(5)特定利用者情報の漏えい時の報告
個人情報保護法での漏えい報告、
通信の秘密の漏えい報告に加え、
特定利用者情報に該当する場合は、特定利用者情報の漏えい報告も義務付けられます。
では、特定利用者情報の範囲とは？？
📱特定利用者情報の情報の範囲
特定利用情報の範囲は、
まず、前述の対象事業者の対象役務に限定した上で、以下の情報との定義になっています。
(1) 通信の秘密に該当する情報
(2) 利用者を識別することができる情報であって、次に掲げる情報の集合物を構成する情報（データベース等を構成する情報）
(1)は従来の通信の秘密と同義ですが、特定利用者情報にも該当する場合があるということになります。
(2)については、主に3点の注意が必要かと思います。
個人情報保護法でいうところの個人情報ではなく、個人データに相当する検索性を有する情報が対象
利用者を識別できる情報は、個人情報保護法で言う個人データに限らず、
法人の契約情報など、個人識別できないものも含む
無料サービスの役務も対象のため、
アカウント登録するサービスの利用者情報は、個人情報を保持しなくても、対象
なお、前述の特定利用情報の適正な取扱いに関する規律のページで、総務省は以下のようなベン図で整理しています。
通信の秘密や特定利用者情報の電気通信事業法と、個人情報保護法は別の法律です。
情報の内容によっては、両方の法令の規範がかかるため、万が一の漏えい等事案の際には特に注意が必要となりそうです。
4 複雑化する電気通信事業の個人情報保護ガイドライン
これら特定利用者情報の取り扱いについては、電気通信事業における個人情報等の保護に関するガイドラインに詳細が示されています。
このガイドラインは、個人情報保護法の特定分野ガイドラインのひとつですが、
個人情報ではなく、個人情報等となっており、個人情報以外の情報が範囲に含まれていることに注意が必要です。
また、構成としては、2023/6/16の電通法改正により、下図でAのパートだけだったものが、
Bパートの外部送信、今回ご紹介したCパートの特定利用者情報が加わりました。
3つのパートごとに対象事業者や、対象となる情報が異なるので、注意が必要です。
c.f. 下は、改正法で入ったBパート、Cパートの概要の規律概要
出典: https://www.soumu.go.jp/main_content/000835939.pdf
複雑ですね…
このガイドラインはいろいろ沼が多いと感じています…
そのことについては、また別の記事で。
では、また！
おまけ 今日のDall-E 3
