（画面は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

個人情報保護委員会が、大規模な不正アクセス事件を起こしているFacebook社に対して、個人情報保護法に基づく指導を行ったとWebサイト上で発表しました。

2017 年に改正施行された個人情報保護法で、外国法人であっても、国内にいる人に対してサービスを提供している場合には、国内の個人情報取扱事業者と同等の義務規定の適用を受けることとされました（第75条）。今回は事実上これが初めて適用された例ではないかと思われます。

今回の指導は3つのポイントに関するものとなっています。

⑴ ソーシャルプラグイン（いいね！ボタン）
⑵ ケンブリッジアナリティカ事案
⑶ 不正アクセス事案

(1)については、「いいね！」ボタンが設置されているWebサイトにアクセスするだけで、ボタンを押すかどうかに関わらずアクセスした事実がFacebook社に送信され、閲覧データとして蓄積されていることを問題視しています。個人情報保護員会は以前からこの問題に関心を持っており、Webサイト上で利用者並びにWebサイトの開設者に対して注意喚起を行ってきました。今回の指導の中で、この件に関しては利用者への分かりやすい説明の徹底と本人同意の取得を行うようにとの内容が含まれています。

(2)については、性格診断アプリを使った利用者とその友達の個人情報が、英国のケンブリッジアナリティカ社で不正に利用されていた件ですが、これについても利用者への説明、本人からの削除要求への対応、今後のサードパーティーアプリの監視などを徹底することしています。

(3)については、まさに今発生している問題ですが、これについては本人通知、原因究明、再発防止策の策定と個人情報保護委員会への報告などを求めています。

https://www.ppc.go.jp/news/press/2018/20181022/

（私のコメント）
外国法人に対しても、個人情報保護委員会が毅然とした対応を取ることができるようになって、よかったなと思います。

なお「いいね！」ボタンについては、当Webサイトでも利用しております。注意書きなどに関して早急に検討し、掲載するようにしたいと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

（画面は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

以前から、何回も記事にしている「EUと日本の間の十分性認定」の件ですが、動きがあったようですので、情報共有しておきます。

（おさらい）
日本の新しい個人情報保護法、EUの新しいGDPRは、いずれも域外に個人情報を持ち出す際に厳しい制限を設けていますが、自国と同水準の保護法制を整備している場合には国単位で「十分性」を認定することで制限を緩和する規定を備えています。日本とEUは何年もかけて相互に十分性を認定するための作業を進めてきており、それが遂に実ることになります。

個人情報保護委員会は、9月6日付でプレスリリースを発表しました。その中で、欧州委員会が9月5日に日本に対する十分性認定手続きを開始すると閣議決定したこと、日本もEU側の十分性認定の決定に合わせて逆向きの十分性認定を行うこととしています。

また、これに先立ち、個人情報保護委員会は「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」 を発表しており、このルールを施行することがEUから十分性認定を受ける条件となっています。

※この補完的ルールは、もともと「個人情報の保護に関する法律についてのガイドライン（ＥＵ域内から十分性認定により移転を受けた個人データの取扱い編）」という名称で今年4月25日からパブリックコメントが募集されていたものでした。パブリックコメントの後、主にEU側からの要望に基づいてタイトルが変更されたものです。

個人情報保護委員会による報道発表
https://www.ppc.go.jp/news/press/2018/20180906/
個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール
https://www.ppc.go.jp/files/pdf/Supplementary_Rules.pdf

（関連記事）
GDPRに関して不安をお持ちの日本のビジネスマンの皆様へ
http://www.pmarknews.info/kojin_joho_hogo_ho/52077513.html
日本とEU、双方向で個人情報の取扱いに関する「十分性認定」を行うことで基本合意
http://www.pmarknews.info/kojin_joho_hogo_ho/52076413.html
GDPR全面施行の一方で、日本が国レベルでEUの十分性認定を得ることが現実的に。
http://www.pmarknews.info/kojin_joho_hogo_ho/52073729.html
EUの新しい個人情報保護規則「GDPR」が5月25日に施行〜個人情報保護委員会によるまとめのご紹介〜
http://www.pmarknews.info/kojin_joho_hogo_ho/52073485.html

（私のコメント）
この手のものは何段階にもステップを踏んで進んでいきますので、どこで決定と認識するか難しいのですが、もうここまでくれば、十分性認定は決定と考えてよいと思います。ただし、十分性認定されたからと言ってGDPR対応は何もしなくていいということでもありません。EU居住者の個人情報を取り扱う企業としては一定の対応が必要ですので、そこは勘違いされないようにしてください。

また、何か情報が入りましたら、皆様にシェアいたしますね。

（画像はフジテレビWebサイトより）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中康二です。

お盆休みで世の中の動きも止まっているようですので、
少し気軽な話題を取り上げてみたいと思います。

京都の下鴨神社では、絵馬に書き込んだ願い事や個人情報がSNSなどで広く拡散するのを防止するために、目隠しシールを配布しているという。

あれ？このニュースどこかで見たことあるなと思ったら、2007年ごろにも記事を引用したことがありました。

しかし、当時は主に「他の参拝者に見られるのが嫌→目隠しシール」という流れだったと思います。

それが、その後のスマホとSNSの普及により「SNSで拡散されると困る→目隠しシール」となっていると言います。

確かにたまたま通りかかった参拝者の目に触れるだけなのと比較して「あ、こんな願い事を書いている人がいる」とSNSに投稿された場合の拡散力は比べようもありません。目隠しシールの必要性も高まるものです。

ただし、この流れにも少し違和感を感じました。

他人の絵馬の内容が目に入ったというくらいならともかく、何か面白いことを書いているからと言って、SNSに投稿するというのは個人情報保護の考え方からいっても推奨されることではないはずです（個人情報保護法は、個人の私的な活動を規制するものではありませんが）。本来は神社側で「絵馬の内容を撮影したり、SNSなどに投稿することは禁止です」と注意書きをするべきなんだと思います。

無断でSNSへの拡散防止…神社の「絵馬」に個人情報保護シール
https://www.fnn.jp/posts/00345070HDK

（過去の記事）
神様はお見通し？縁結び絵馬に個人情報保護シール　京都
http://www.pmarknews.info/archives/50623391.html

（私のコメント）
いろいろなことを考えた落としどころとして目隠しシールということになっているのだと思いますが、10年前の記事を思い出して、やはり個人情報保護を考える場合には、技術の進歩や社会環境の変化を前提に、頭を柔らかくして取り組まないといけないなと思った次第です。

また、何か情報が入りましたら、皆様にシェアいたしますね。

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

EUにおける新しい個人情報保護法制「GDPR（一般データ保護規則）」が5月25日から施行され、EU居住者の個人情報を取り扱う企業に対策が求められていることについて、メディアでも多く報道されており、関心が高まっていると思います。

本来、これは国際法務、しかも個人情報保護という絞り込まれた分野の話になりますので、全貌を把握することがかなり困難な領域です。

その割には、有象無象の様々なところから、危機感をあおる情報ばかりが出てきておりますので、日本のビジネス界として過剰反応している部分があると思います。

これじゃいかん！

ということで、わたくしプライバシーザムライが、分かる限りの情報を分析し、日本のビジネスマンの皆さんとしてどのように動くべきか、取りまとめてみましたので、是非参考にしていただければと思います。

一言でいうと、過剰に反応する必要はないということと、全く新しい法律なので、誰も正解を分かっていないということです。

本当に助けてもらいたければ、国際法務に詳しい弁護士さんにお願いするしかないというのが私としての結論です。

https://www.slideshare.net/kojinaka55/gdpr-103532229
（全画面表示にしてスライド1枚目から順番に見ていってください）

また、何か情報が入りましたら、皆様にシェアいたしますね。

（画面は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

個人情報保護委員会が、個人情報の取扱いに関する公益通報窓口を開設したとWebサイト上で発表しました。

2004年に定められた公益通報者保護法において、労働者が業務上知りえた違法行為に関して、社内外に通報したとしても、一定の条件を満たしている場合には不利益を一切受けないこととされました。

今回の個人情報保護委員会の公益通報窓口の開設は、個人情報保護法やマイナンバー法を管轄する行政機関として、公益通報を受け付ける体制を整備したものと言えます。

●公益通報の方法

（郵送の場合）
〒100-0013
東京都千代田区霞ヶ関3-2-1
霞が関コモンゲート西館32階
個人情報保護委員会事務局総務課宛
※「公益通報」と明記する

（電子メールの場合）
kojyoui_tsuuhou@ppc.go.jp
※添付ファイルは不可

（FAXの場合）
個人情報保護委員会事務局総務課宛
FAX：03-3593-7962
※「公益通報」と明記する

https://www.ppc.go.jp/application/internalreport/

（私のコメント）
今後、個人情報の流出事件・事故などが発生した場合に、会社がしっかりとした対応を取らない場合に、内部の関係者が個人情報保護員会に公益通報するケースが出てきそうですね。

また、何か情報が入りましたら、皆様にシェアいたしますね。

（画面は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

つい先日、「GDPR全面施行の一方で、日本が国レベルでEUの十分性認定を得ることが現実的に」という記事を掲載したばかりですが、日本とEUの間での話し合いに大きな進展が出てきたようです。

5月31日に、個人情報保護委員会の熊澤委員と欧州委員会のヨウロバー委員が日本で会談し、日EU間の個人データ移転に関して、可能な限り早期に、日本とEUの双方が、互いに個人情報の取扱いに関する「十分性認定」を行うことで、基本的な合意に達したとのことです。

EU側が、新しい個人情報保護法制「GDPR」において「十分性認定」という考え方を採用しており、EUと同様の個人情報保護法制を取っている場合に限り国単位で十分性を認定し、EU居住者の個人情報を持ち出す場合に、本人の同意がなくても可能としていることを前回の記事で書きました。

一方で、日本も2017年に施行された改正個人情報保護法において、同様の「十分性認定」の考え方を採用しており、日本居住者の個人情報を持ちだす場合には同様の規制があります。

今回は、日本とEUの間で、相互にこの「十分性認定」を行う方向で作業を進めていくことが合意されたということです。

https://www.ppc.go.jp/enforcement/cooperation/cooperation/300531/

（関連記事）
GDPR全面施行の一方で、日本が国レベルでEUの十分性認定を得ることが現実的に
http://www.pmarknews.info/kojin_joho_hogo_ho/52073729.html
EUの新しい個人情報保護規則「GDPR」が5月25日に施行〜個人情報保護委員会によるまとめのご紹介〜
http://www.pmarknews.info/kojin_joho_hogo_ho/52073485.html

（私のコメント）
前の記事を書いたその日に実は会談が行われていたということで、タイミングが良すぎたなと思いました。EUからの個人情報の移転ばかりが気にされていますが、日本からの個人情報の移転も同じく気にするべきだなと思った次第です。

また、何か情報が入りましたら、皆様にシェアいたしますね。

（画面はガイドライン案の表紙です）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

EUにおける新しい個人情報保護法制「GDPR（一般データ保護規則）」が5月25日から施行され、EU居住者の個人情報を取り扱う企業に対策が求められていることについて、マスコミでも多く報道されており、関心をお持ちの方も多いと思います。

これに関して、興味深い動きがありますので、情報共有したいと思います。それは、日本が国レベルでのEUから「十分性認定」を受けられることがほぼ現実的になってきたということです。

以下、もう少し詳細にご説明しますね。

EU（欧州連合）は、他地域にさきがけ、個人情報保護法制を整備してきました。その中で「EU居住者の個人情報を持ち出す時には一定の条件が必要」としてきました。

その条件を分かりやすく集約すると
（１）持ち出す先の国がEUと同程度の厳しさの個人情報保護法制を持っていること
（２）持ち出す先の外国の事業者が一定のルールに基づいて体制を整備すること
（３）本人が明確に同意していること　など
となります。

上記（１）の認定を国レベルで受けることを「十分性認定」と言います。国レベルで十分性認定を受けると、その国の企業は特別な手続きをせずにEUの居住者の個人情報を持ちだせるようになります。しかし、現在まで日本はこの十分性認定を受けていなかったため、企業単位で（２）の対応を行ってきていました。

昨年施行された日本の改正個人情報保護法は、EUの十分性認定を受けることを目標としていました。一方でEU側でも改正個人情報保護法制「GDPR」の施行がありました。この両者の整合性を取るべく、日本の個人情報保護委員会とEUの欧州委員会の間で、やり取りがなされてきました。

その結果、今回のガイドラインを国内に適用することで、日本は国レベルでEUの十分性認定を受けることができることになったようです。（どこにもそのようにはっきりと書いていないので分かりにくいのですが、今回のガイドライン案の発表はそういうことを意味しているようです）

今回のガイドラインの内容を簡単にまとめると下記のようになります。

個人情報の保護に関する法律についてのガイドライン
（ＥＵ域内から十分性認定により移転を受けた個人データの取扱い編）

(1) 要配慮個人情報（法第2条第3項関係）
　→性生活 、性的指向又は労働組合に関する情報を要配慮個人情報に含めること
(2) 保有個人データ（法第2条第7項関係）
　→6か月以内に削除する場合でも保有個人データに含めること
(3) 利用目的の特定、利用目的による制限（法第15条第1項・法第16条第1項・法第26条第1項・第3項関係）
(4) 外国にある第三者への提供の制限（法第24条・規則第11条の2関係）
(5) 匿名加工情報（法第2条第9項・法第36条第1項第2項関係)
　→加工方法等情報を削除した場合のみ匿名加工情報とできる

このガイドライン案については、既にパブリックコメントの受付が終了しており、間もなく正式発表がなされるものと思われます。

http://search.e-gov.go.jp/servlet/Public?CLASSNAME=PCMMSTDETAIL&id=240000050&Mode=0

（関連記事）
EUの新しい個人情報保護規則「GDPR」が5月25日に施行〜個人情報保護委員会によるまとめのご紹介〜
http://www.pmarknews.info/kojin_joho_hogo_ho/52073485.html

（私のコメント）
遂に長年の懸案だった「EUの十分性認定」が現実のものになるということで、うれしく思います。なお、GDPRについては、私も完全に追いかけられていないのですが、皆さんちょっと騒ぎすぎかなと思っております。十分性認定が受けられば、SDPCもBCRも不要になるわけですしね。

また、何か情報が入りましたら、皆様にシェアいたしますね。

（追記）
ちょうどタイミングよく、このようなニュースが入ってきました。
EU、GDPRに基づく個人データの域外移転で日本の「十分性認定」を検討へ
https://japan.zdnet.com/article/35120097/

（画面は個人情報保護委員会の資料より）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

EUにおける個人情報保護法制が新しくなり、5月25日から「GDPR（一般データ保護規則）」が施行され、EU居住者の個人情報を取り扱う企業に対策が求められていることをご存知の方も多いと思います。

●どんな企業が何らかの対応を求められるのか？
●対象となる企業が取るべき対策は何なのか？

これらの気になる情報について、個人情報保護委員会が分かりやすく取りまとめたものをウェブサイト上で公開していますので、本Blogでも共有します。

https://www.ppc.go.jp/files/pdf/eukojindata.pdf

（私のコメント）
既に対策を完了している会社も多いと思いますが、もしかしてまだフォローしていないという方がおられるかもしれないと思いまして、記事にしておきます。

また、何か情報が入りましたら、皆様にシェアいたしますね。

（画面はヒヤリハット事例集より）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中です。

個人情報保護委員会が、個人情報に関するヒヤリハット事例集を
ウェブサイト上で公開しました。

企業の担当者として、業務を進めるうえで何らかの突発事項が起こり、
解決策として、何か行ったことが実は個人情報保護法に違反していた。。。

そんなことは意外とあるかもしれません。

このヒヤリハット事例集で学んでみてください。

https://www.ppc.go.jp/personal/hiyarihatto/

また、何か情報が入りましたら、皆様にシェアいたしますね。

（写真はすべて以前の開催時の様子です。）

皆さんこんにちは。
プライバシーザムライことオプティマ・ソリューションズの中康二です。

弊社も参加している「データセキュリティ・コンソーシアム」で、12月8日(金)に、第14回データセキュリティ勉強会＋いいね大会を開催することになりましたので、皆様にご案内いたします。

データセキュリティ・コンソーシアムは、情報（データ）を取得するところから、利用し、保管し、復旧し、消去し、廃棄し、再生するまで、プロセス毎に集まった各組織が相互に協力し、データの健全な活用を通して社会に貢献する連携体です。今回のような勉強会を定期的に開催すると共に、情報セキュリティEXPOなどのイベントに共同でブース出展したりしています。

コンソーシアムで蓄積されたノウハウを土台として、NPO法人あんとんねえよが千葉県茂原市に設立され、新しい地産地消型のIT機器リサイクルの取り組みが始まっています。

第一部では、障害者の所得向上に取り組むALON ALONの那部さんにお話しいただくほか、私もプライバシーザムライとして「個人情報保護法改正と2017年の情報セキュリティ」というタイトルでお話をさせていただきます。



第二部は、ビジネスチャンスを呼び込む人気の３分毎のショートプレゼン「いいね大会」です。プレゼン希望者はぜひ手を上げてください。高評価1位の方には来年5月の情報セキュリティEXPOの無料ブース出展特典があります（マジです）。

第三部は、懇親会です。参加者相互に名刺交換をしていただいて、ビジネスマッチングもしていただけると思います。

第14回データセキュリティ勉強会＋懇親会
■日時：2017年12月8日（金） 13:40-20:20（受付開始 13:10）
■会場：KFC Hall & Rooms（KFC Rooms 113）
　東京都墨田区横網１丁目６−１
　http://www.tokyo-kfc.co.jp/access/index.html
　都営地下鉄大江戸線「両国駅」A1出入口より徒歩0分。
　JR中央･総武線「両国駅」東口より徒歩約6分。

■会費：一般参加　5,000円 （懇親会参加費含む）
　　シルバー参加　10,000円（3名様まで懇親会参加費含む）
　　ゴールド参加　20,000円（6名様まで懇親会参加費含む）
■幹事
データセキュリティコンソーシアム　事務局　唐鎌 益男
（日東造機株式会社 IT事業部長）

詳細はこちらのPDFをご覧ください。

参加希望される方は、下記のお問い合わせフォームからお申し込み下さい。
http://www.data-security-c.net/contact_17winter.html
（ご質問・ご用件のところに「オプティマ・ソリューションズの紹介」と入れておいてください。）



また、何か情報が入りましたら、皆様にシェアいたしますね。