令和２年　個人情報保護法改正について５（個人関連情報）

　令和2年改正では個人に関する情報についての新しい定義に基づく規律が創設されています。その一つが「個人関連情報」です。

背景

　自社では個人情報（個人データ）に該当しない情報であっても、提供先にとってはその情報が個人データとして取得するものである場合があります。

　「インターネット上のユーザーデータの収集・蓄積・統合・分析を行う、「ＤＭＰ（Data Management Platform）」と呼ばれるプラットフォームが普及しつつあり、この中で、クッキー等の識別子に紐付く個人情報ではないユーザーデータを、提供先において他の情報と照合することにより個人情報とされることをあらかじめ知りながら、他の事業者に提供する事業形態が出現している」（「個人情報保護法　いわゆる３年ごと見直し　制度改正大綱」24頁）

　提供先において個人データとなることをあらかじめ知りながら非個人情報として第三者に提供するという、個人情報保護法第23条の規定による第三者提供の制限の趣旨を潜脱する懸念があり、その点についての規制をすることとなりました。

改正法26条の２

　個人関連情報（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの）データベースを事業の用に供している者は、第三者が、個人関連情報を「個人データ」として取得することが想定されるときは、次のような事項を確認しなければ提供してはならない、とされています。

１　当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
２　外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること

　「個人情報」「個人データ」ではない情報を第三者に提供するときに、第三者が何のために、どのように利用するのか、注意をする必要が出てきたのではないかと思います。