法務系アドベントカレンダー2021を終えて
今年も25日間にわたるアドベントカレンダーが無事に終了しました。
法務系アドベントカレンダーはテーマを特に限定せず、「法務に関係してそうであればなんでもOK」にしているのですが、今年も多種多様なエントリーになりました。
忙しくて例年以上に幹事っぽいことできていないのですが、アドベントカレンダーがだいぶ文化っぽくなってきたなと感じる次第です。
エントリーいただいた皆様、
各エントリー内容をご覧いただいた皆様、
コメントで参加いただいた皆様、
本当にありがとうございました！
来年も幹事するのかはわかりませんが、また来年お会いしましょう！
それでは皆様よいお年をー。
【AC参加者向け連絡】
毎年恒例（去年はできていない）の打ち上げですが、ちょっとどうするか検討中です。
皆様のご意見を伺いたく、下記アンケートにご協力いただけると助かります。（所要時間は５分以内）
法務ではないところから少しだけ法務を眺めてみた #legalAC
題名「中田契約法を読むサメ」
これは法務系アドベントカレンダー2021のエントリーです。
アドベントカレンダー幹事のkanekoです。今年も25日間どうぞよろしくお願いします。
初日からガッツリハードル下げていきます。
1．はじめに
実は今年の6月に転職しまして、肩書きとしては法務ではなくなりました。
※お仕事としては法務っぽいお仕事です。
法務に相談したり、法務と連携しながら案件を進めるような立場ですので、「会社内の別部署から法務を眺めてどう感じたか」を備忘録としてメモしておこうと思います。
2．感じたことメモ
(1)法務の中で何しているか事業部からはよくわからない
法務の外から見ると、普段接点のある仕事以外で法務がどんな仕事をしているのかなんてよくわからないんだなと改めて感じます。
契約系はともかく、コーポレート系なんてわかんないですね。。。
「わかったところでどうなの？」というのはあるかもしれませんが、少なくとも事業部からは見えにくい状態であることは理解しておく必要があると思います。
(2)法務が忙しい状況なのか外からだとわからない
(1)と関連しますが、仕事を依頼する際に担当法務がどのような状況なのかよくわからないというのも感じます。
(3)レスが早いだけで印象が違う
いや。これほんと。依頼する側として、依頼後に一言でも反応があると安心します。
(4)法務担当が誰なのか知らない事業部の人は多い
事業部と話をしていると
kaneko「あっ、これは法務に確認しといてくださいー」
事業部「我々のサービスを担当している法務って誰ですか？」
という会話があったりなかったり。
3．あれ？これって...
と、ここまで書いていて、これって法務に限らない一般的なお話だなと思い始めました。(特にバックオフィス系の職種)
そう。法務じゃない自分にもフツーに当てはまる内容だなと。
というわけで、
上記の感じたことを踏まえて、「自分だったらこうするのかな」というのを追加メモしておきます。
※結論が出ていない部分もあります。
(1)法務のお仕事わからん問題について
これは取り扱う情報の関係上、オープンにしていくことが難しい部分もあると思うので、ある程度抽象化して法務ニュースレターみたいなので事業部に発信していくとかが普通なんでしょうかね。
ただ、この手のものは「フツーにやるだけだと確実に読まれない」ので工夫しないと自己満で終わりそうです...
あと、これは組織としてどう対応していくかというお話にもなりそうですので、組織として法務のお仕事内容をどう社内で情報発信しているか、フォロワーの皆様にもお聞きしたいところです。
(2)忙しさの外部（事業部向け）の可視化について
これは色々できそうだなと思います。
たとえば、契約書であれば契約書の審査待ち件数状況を可視化して公開するとかありそうです。（実現できなかったのですが、前職でやろうとしたことがあります。）
ちなみに、kanekoはチャットの自分の表記名に自分の忙しさ度合いを追記することを始めました。
なお、これによって
- メンションする側はなんとなくコイツ忙しいんやなと気づく
- 事業部とのMTGのネタになる
という効果が初日から現れています。（たぶん、やりすぎるとよくないやつ）
(3)レスの速さについて
チャットであれば、「とりあえずスタンプで反応する」とかでしょうか。
メールであればとりあえずレスをしておく。
たいしたことではないのですが、繁忙期になると結構これすらきつくなる...（なお、チャットのメンション過多によるレス漏れが絶賛発生中）
(4)担当者誰やねん問題について
サービスごとの担当者一覧をポータルに記載するとかが一般的なんでしょうかね。
それよりも事業部に「担当者は自分なんや」としっかり売り込むことが必要な気がしていて、個人的にはそこを意識しています。
このあたりは、過去の経験上、事業部に対して勉強会を行うとかすると一気に顔を覚えてもらえる気がします。
IT系の企業だとまだリモートワーク中心の会社もまだ多いと思うので去年のエントリー内容も踏まえていきたいところです。↓
4．最後に
ものすごい薄っぺらい内容になってしまった...
お次はdtkさんです！
（dtkさん裏と合わせると二日連続なんですねｗ）
【今年もこの時期がやってきた】法務系アドベントカレンダー #legalAC #裏legalAC
皆さん、お久しぶりです。kanekoです。
低浮上気味ですが、生きてます。
というわけで今年もこの季節がやってきました。（1年ホント早い）
皆様、是非ともエントリーお願いしますｍｍ
（初めましても久しぶりも常連も大歓迎です！）
エントリーはこちらから↓
--------------------------------------------------------
11/1 更新
表が初日のお昼には埋まったようです！エントリーありがとうございますｍｍ
というわけで、今年も裏を開設しました。
ご興味ある方は是非！
です。
（※追ってトゥギャるときに必要になります。）
--------------------------------------------------------
エントリーしなかった方も是非とも上記ハッシュタグで感想を呟いてもらえると嬉しいです。
後ほどtogetterでまとめさせていただきます。
エントリー者向けに打ち上げは...誰かいいアイデア下さい...
※去年開催できなくてすみません（土下座）
【以下だいたい去年のエントリーのコピペ】
そもそも「アドベントカレンダーとはなんぞや？」という方は以下をお読みくださいませ。
●アドベントカレンダーとは
アドベントカレンダー(Advent calendar) は、本来は「クリスマスまでの日数を数えるために使用されるカレンダーのこと」です。
クリスマスまでのに窓を毎日ひとつずつ開けていくいってすべての窓を開け終わるとクリスマスを迎えるという楽しみで可愛らしいカレンダーが一般的なようです。
こんなの↓
これが転じてIT系界隈では、「12/1から12/25までに、（持ち回りで）特定のテーマに沿って毎日ブログなどで記事を投稿していく企画」のことを意味します。
法務系アドベントカレンダーはこれを法務界隈でやってみたものです。
ちなみにテーマは法務系であれば基本的に自由です。（かすっていればいいレベル）
●過去アーカイブ
過去のアドベントカレンダーは下記をご参照ください。
2020年
法務系 Advent Calendar 2020 - Adventar
裏 法務系 Advent Calendar 2020 - Adventar
法務系Advent Calendar 2020 #legalAC #裏legalAC - Togetter
2019年
法務系 Advent Calendar 2019 - Adventar
裏 法務系 Advent Calendar 2019 - Adventar
法務系Advent Calendar 2019 #legalAC #裏legalAC - Togetter
2018年
法務系 Advent Calendar 2018 - Adventar
法務系Advent Calendar 2018 #legalAC - Togetter
2017年
法務系 Advent Calendar 2017 - Adventar
Advent Calendar 2017 #legalAC - Togetter
2016年
法務系 Advent Calendar 2016 - Adventar
法務系Advent Calendar 2016 #legalAC - Togetter
2015年
法務系 Advent Calendar 2015 - Adventar
法務系Advent Calendar 2015 - Togetter
2014年
法務系 Advent Calendar 2014 - Adventar
法務系 Advent Calendar 2014 - Togetter
2013年
法務系Tips Advent Calendar 2013 - Adventar
法務系Tips Advent Calendarのまとめ #legalAC - Togetter
令和２年改正個情法ガイドライン案等の個人的メモ
少し時間がたってしまいましたが、令和２年改正個人情報保護法ガイドライン案をざっと読んだので気になるところを少しだけメモしておきます。（パブコメは出し忘れた）
ガイドライン案は以下にて公表されています。
以下、主に
- 「個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）」（以下「通則編案」）
- 「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）の一部を改正する告示（案）」（以下「仮名加工情報・匿名加工情報編案」）
からピックアップしてメモを残しておきます。
【注意事項】
※本ブログにおけるkanekoのコメントはガイドライン案等ざっと読んだ感想です。深く考察して書いたものでもありませんので、間違った解釈をしている箇所があるかもしれません。ご留意いただいたうえでご覧くださいませ。
※一部、ガイドライン案に加えて、政令規則案のパブコメ結果（以下「政令規則案パブコメ結果」）と佐脇紀代志編著「一問一答 令和２年改正個人情報保護法」（以下「一問一答」）にも言及しています。
- 利用目的の特定について
- 情報漏洩時の報告等
- 個人関連情報について
- 仮名加工情報について
- 保有個人データに関する安全管理措置の公表について
- 保有個人データの開示について
- 「個人データ第三者提供時の記録」の開示について
利用目的の特定について
「利用目的は本人にとってわかりやすい表記にせぇよ」ということが書いてあるのですが、以下のとおり、より詳細な補足説明が追加されていました。
「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例2）「取得した行動履歴等の情報を分析し、結果をスコア化した上で、当該スコアを第三者へ提供いたします。」通則編案 27、28ページ
情報漏洩時の報告等
委託時の漏えい報告主体
自分用に要点だけメモ。
- 漏えい等の報告主体は、漏洩した（漏洩のおそれのある）個人データを取扱う個人情報取扱事業者
- 取扱いを委託している場合には、原則委託元と委託先の双方が報告義務あり
- ただし、委託先が委託元に通知した場合は委託先は報告義務が免除
EUの十分性認定の影響
「そういえば、今回の令和２年改正でEUの十分性認定時の条件になにか影響あるんやろか」と思ったら政令規則案パブコメ結果に以下の言及があることに気づきました。
Q：「個人情報の保護に関する法律に係るＥＵ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」では「ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人データに、ＧＤＰＲ及び英国ＧＤＰＲそれぞれにおいて特別な種類の個人データと定義されている性生活、性的指向又は労働組合に関する情報が含まれる場合には、個人情報取扱事業者は、当該情報について法第 2 条第 3 項における要配慮個人情報と同様に取り扱うこととする。」と定められている。ここで定められる「性生活、性的指向又は労働組合に関する情報」に関しても、規則案 6 条の 2 第 1 号の報告の対象になるのか。
A：御理解のとおりです。
忘れないようにせねば。
個人関連情報について
令和２年改正では、「個人に関する情報だけど、個人情報でも仮名加工情報でも匿名加工情報でもない情報」として個人関連情報が新たに規定されました。
具体的には、氏名と結びついていないインターネットの閲覧履歴、位置情報、Cookie等が想定されています。
長期蓄積による個人関連情報の個人情報該当性
個人関連情報の説明箇所に大変興味深い記載がありました。（太字はkankoによる。以下同じ。）
【個人関連情報に該当する事例（※）】
事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴事例 2）特定の個人を識別できないメールアドレス（abc_123@example.com 等のようにメールアドレス単体で、特定の個人のメールアドレスであることが分からないような場合等）に結び付いた、ある個人の年齢・性別・家族構成等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報
事例 5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。
通則編案 89、90ページ
長期蓄積による特定個人識別性の問題については、いろんな弁護士の方が懸念事項として言及していたと理解していますが、ついにガイドライン案でも言及されるようになったようです。
「どの程度の蓄積で特定個人識別といえるのか」という問題があるようにも思われますが、セーフティにいくのであれば、「特定のIDで紐づいてデータが長期蓄積されている場合（または特定IDで長期蓄積を想定している場合）は、そのデータを格納しているDB単体で個人情報に該当する可能性がある」という前提で取り扱うのが無難ということになるかと思います。
アドテク領域でよくある、パブリックDMP内のデータの個人情報該当性の議論にも影響してきそうです。
個人関連情報提供規制について
提供先で個人データとして取得される前提で個人関連情報を第三者提供する場合には、本人同意が新たに必要になりました。
契約による表明保証の有効性
「提供先で個人データと紐づけない旨を（表明保証的に）契約に入れ込んだ場合についてはどうなんねん」という疑問に関しては以下のように説明されています。
提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、法第 26 条の 2 は適用されない。この場合、提供元の個人関連情報取扱事業者は、提供先の第三者における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されない。もっとも、提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合には、当該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。
通則編案 95ページ
今後、データ提供系の契約をまく際にはこういった条項が入ってくるようになるのでしょうか。。。
本人同意について
「個人関連情報提供時の本人同意について、包括同意（例：プラポリに入れ込んで同意取得）が可能なのか」という懸念については以下のように説明されています。
本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
通則編案 96ページ
仮に包括同意を取得する場合、「個人関連情報の項目」についてどの粒度で記載すべきなのか検討する必要がでてきそうです。（個人データとして取得する個人関連情報は都度データのカラムが変わってくることも多いので、包括同意でどこまでできるのか検討が必要な気がします。）
なお、この本人同意について、将来的な個人関連情報の取り扱いも含めて同意取得が可能かという点については、政令規則案パブコメ結果において「（必要な説明を行った上で）可能である」旨が記載されています。（政令規則案パブコメ結果 No.395）
同意を取得する主体については、「原則提供先だが、提供元でもOK」であることが明記されていますが、
個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
通則編案 97ページ
ことに注意が必要です。特に、提供先の名称を本人が認識できるようにする必要がある点については留意が必要です。提供元で代理同意を取得する場合には、（継続提供が前提である場合を除き、）都度同意が必要になる気がします。
なお、個人関連情報は個人データの時と同じく越境移転規制が別途あるので注意です（通則編案101ページ以降）。検討するときに忘れそう。。。
本人同意の確認方法について
個人関連情報提供時の提供元における本人同意の有無の確認方法については以下のように記載されています。
提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 26 条の2第1項第1号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、法第 26 条の2第1 項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（法第 23 条第1 項第1 号）に該当する。通則編案 100ページ
前段はともかく、後段の部分は「なんや？」という感じですが、これは個人情報保護委員会が令和2年11月20日に出した「改正法に関連する政令・規則等の整備に向けた論点について（個人関連情報）」に記載された以下部分に起因するものと思われます。（赤枠箇所）
実際の現場では、毎回事前に同意得たIDの提供&突合を行うことは少ないような気がするのでどうなんやろかと思うところです。
確認記録について
個人データ提供時やオプトアウト時と比較した分かりやすい表があったのでキャプチャ。
※通則編案 119ページより
提供先での記録事項は下記
※通則編案 133ページより
個人関連情報と委託
個人関連情報提供規制には個人データのような委託等の例外がありません。この点に関して、ガイドラインで何かしら説明されているのかと思ったのですが、現状ではないようです。（見つけられなかっただけかもしれない）
その代わり 政令規則案パブコメ結果には、これに関係する内容がいくつかあったので紹介しておきます。
一般的に委託（法第 23 条第５項第１号）に伴って委託元が提供した個人データが、委託先にとって個人データに該当せず、個人関連情報に該当する場合において、委託先が委託された業務の範囲内で委託元に当該データを返す行為については、改正後の法第 26 条の２の規律は適用されないと考えられます。なお、委託先で独自に取得した個人関連情報を付加した上で、委託元に返す場合には、改正後の法26条の２の規律が適用されると考えられます。
個人的には、「委託先で独自に個人関連情報を付加する前提で、委託元が委託先に個人データを提供する行為自体が委託の範疇に含まれ得るのか」について回答してほしかったですね。
Q：法制局説明資料によれば、一般的な状況下において、個人関連情報の委託、承継及び共同利用による提供は原則として自由であり、改正法 26条の 2 の規制がかからないと理解されるが、PPC もそのような理解だと考えてよろしいか。
A：「一般的な状況下」の内容が不明ですが、提供先において「個人データとして取得することが想定」されない場合には、改正後の法第 26 条の２第１項の適用はないと考えられます。
Ｑ：（意見）
提供元から個人関連情報を取り扱う業務の一部の委託を受けている場合における委託元から委託先への個人関連情報の提供は個人関連情報の第三者提供には該当しないことをガイドラインに明記いただきたい。（理由）
個人関連情報においても委託や事業継承による提供が第三者提供にあたらないことは、個人情報と同様となるはずであるが、委託による提供の解釈は特に事業に与えるインパクトが大きいため、明確にしていただきたい。
A：個人関連情報の提供につき、法第 23 条第 5 項各号に相当する例外規定はないため、改正後の法第 26 条の２の適用の有無については、提供先において個人データとして取得することが想定されるかどうかによって判断することとなります。
個人関連情報とアドテク
ガイドラインにはあまりアドテク領域に特化した内容はないのですが、政令規則案パブコメ結果にあったのをメモしておきます。
Q：媒体社がソーシャルプラグイン等第三者のタグを設置してクッキー等を当該第三者に送信する場合、第三者側での直接取得となり、個人関連情報の第三者提供にあたらないという理解でよいか。
A：個別の事案ごとに判断することとなりますが、第三者のタグを設置した事業者が当該タグにより収集される情報を取り扱っていないのであれば、個人関連情報の第三者提供にあたらないと考えられます。
ﾃﾞｽﾖﾈｰ(*´・З・)
アプリ内SDKでのデータ送信とかにも当てはまる内容でしょうね。
仮名加工情報について
仮名加工情報の範囲について
仮名加工情報は、「個人情報に含まれる情報の一部を削除したり置き換えたりといった措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報」のことをいいます。
もっというと、「加工後の情報それ自体により特定の個人を識別することができないような個人に関する情報」のことです。
具体的な加工基準が気になるところ、規則では以下の３点が挙げられています。
- 特定の個人を識別することができる記述等の削除
- 個人識別符号の削除
- 不正に利用されることにより財産的被害が生じるおそれのある記述等の削除
仮名加工情報・匿名加工情報編案では（少ないですが）加工例も記載されており、その中で気になった例を以下引用しておきます。
「特定の個人を識別することができる記述等の削除」の加工例
※仮名加工情報・匿名加工情報編案 19ページ
上記例で興味深いのは会員IDの削除 or 置き換えが想定されていない点でしょうか。
ちなみに、匿名加工情報と違い仮名加工情報は「特異な記述の削除等」が求められていないのですが、
加工前の個人情報に含まれる「特異な記述」が、それ自体により、又は他の記述等との組み合わせにより、社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物との同一性を認めるに至ることができるものである場合には、当該「特異な記述」は、本規則案第 18 条の７第１号により、加工の対象となります。
他方、仮名加工情報は、その定義上、他の情報と組み合わせることにより、特定の個人を識別できること自体は許容されていることから、加工前の個人情報に含まれる「特異な記述」が、当該個人情報に含まれる記述等以外の情報と組み合わせない限り、特定の個人を識別できない場合には、当該「特異な記述」は、必ずしも加工が求められるものではないと考えます。
という点は留意が必要かと思います。
「不正に利用されることにより財産的被害が生じるおそれのある記述等の削除」の加工例
※仮名加工情報・匿名加工情報編案 22ページ
なお、上記加工例にはない、電話番号やメールアドレスは削除対象なのか？という疑問に対しては、政令規則案パブコメ結果と一問一答にそれぞれ以下のような記載があります。
仮名加工情報は、その定義上、他の情報と組み合わせることにより、特定の個人を識別できること自体は許容されています。そのため、御指摘のメールアドレス、電話番号、広告ＩＤ、ＭＡＣアドレス等については、それ自体により、又は他の記述等との組み合わせにより、社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物との同一性を認めるに至ることができるものではない限り、必ずしも加工が求められるものではないと考えます。
この場合でも、加工前の個人情報に係る本人を識別するために、仮名加工情報を他の情報と照合することは禁止されており...（中略）...、また、本人に連絡等をするために仮名加工情報に含まれる連絡先その他の情報を利用することが禁止されていること...（中略）...等に鑑み、仮名加工情報にメールアドレス、電話番号、広告ＩＤ、ＭＡＣアドレス等が含まれることによるリスクは、一定程度低減されていると考えます。
一般的に、本人到達性のある情報である電話番号やメールアドレスを仮名加工情報に含めて利用することは想定されませんが、「他の情報と照合しない限り特定の個人を識別することができない」との要件を満たす限り、電話番号、住所、メールアドレス等の連絡先が含まれていても、仮名加工情報に該当することとなります。
一問一答 26ページ
また、一問一答（の26ページ）には「例えば仮名加工情報に位置情報が含まれる場合に」とあり、位置情報単体でも仮名加工情報にあたり得る前提で記載されています。
このあたりは、前述の「個人関連情報の長期蓄積による個人情報該当性」のところと合わせて考えると大変興味深い部分です。
仮名加工情報の利活用について
仮名加工情報は、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務が緩和されています。
特に内部分析に限定するための行為規制として
- 安全管理措置義務
- 第三者提供禁止義務（委託を除く）
- 識別行為の禁止義務
- 連絡等禁止義務
が課されています。
4.については、CookieIDを利用した広告配信を含むのですが、以下のように仮名加工情報からアウトプットされた統計情報を利用して広告配信を行うこと自体はOKとなっています。
Q：仮名加工情報を利用して分析し、より有効なダイレクトマーケティングのための知見を得て、それを利用してダイレクトマーケティングを行うことは禁止されないということを明らかにされたい。
A：例えば、仮名加工情報を用いて分析を行い、統計を作成した上で、当該統計により得られた傾向等を踏まえて、加工元前の個人情報を利用して広告配信等を行うことは禁止されません。
仮名加工情報に関するその他
直接的に仮名加工情報の話題ではないのですが、政令規則案パブコメ結果の仮名加工情報の枠で個人的に興味深いQAがあったので載せておきます。
Q：① 個人情報取扱事業者がその保有する個人データについて加工基準に従った加工を行っても、当該個人情報取扱事業者が当該情報を個人情報として扱い続ける限り、仮名加工情報に関する規制は適用されないと理解してよいか。
Q：② 仮名加工情報に関する規制は適用されないとした場合、当該加工後、原データである個人情報を削除した場合、当該加工情報は個人情報としても仮名加工情報としても取り扱わないとすることは可能なのか（法 2 条 9 項、35 条の 2、規則案 18 条の 7）。仮名加工情報自体が、個人の権利利益の侵害を引き起こす可能性が低い情報であるため、かかる整理も可能と思うため、明らかにされたい。
A：①御理解のとおりです。...（以下略）...。
A：②上記①により加工した情報について、元データである個人情報を削除した場合において、加工後の情報が、容易に照合できる他の情報と組み合わせることで特定の個人を識別できる状態にない場合には、当該加工後の情報は、個人情報でも仮名加工情報でもない情報になり得ると考えます。
上記は
個人情報をほぼ仮名化→元の個人情報を削除→残った「ほぼ仮名化した情報」は非個人情報？
というお話だと思います。
PPCの回答は、（残った加工データは）「個人情報でも仮名加工情報でもない情報」となっていますが、実際は個人関連情報に該当する可能性が高いような気がします。仮に加工データを外に出す場合には、個人関連情報の第三者提供規制に留意が必要かと思います。
保有個人データに関する安全管理措置の公表について
令和２年改正によって、個人情報取扱事業者は、保有個人データに関する安全管理措置の内容を本人の知り得る状態にする必要があります。
具体的に何を書いたらいいんや、という疑問に関しては以下のような具体例が記載されていますので参考になりそうです。（長文注意）
【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※7）
（基本方針の策定）（個人データの取扱いに係る規律の整備）
- 事例）取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定
（組織的安全管理措置）
- 事例1）個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備
- 事例2）個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施
（人的安全管理措置）
- 事例1）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施
- 事例2）個人データについての秘密保持に関する事項を就業規則に記載
（物理的安全管理措置）
- 事例1）個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止する措置を実施
- 事例2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施
（技術的安全管理措置）
- 事例1）アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定
- 事例2）個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入
（外的環境の把握）
- 事例）個人データを保管しているA 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（※8）
【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例】（※9）
- 事例1）個人データが記録された機器等の廃棄方法、盗難防止のための管理方法
- 事例2）個人データ管理区域の入退室管理方法
- 事例3）アクセス制御の範囲、アクセス者の認証手法等
- 事例4）不正アクセス防止措置の内容等
~（中略）~
（※7）法第 27 条第 1 項第 4 号及び政令第 8 条第 1 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人データの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、本ガイドラインでは、個人データの安全管理のために講じた措置についての事例を記載している。
安全管理措置の事例について、詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。
（※8）外国（本邦の域外にある国又は地域）の名称については、必ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本人の適切な理解と関与を促す観点から、保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。
（※9）例えば、【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】にあるような、「盗難又は紛失等を防止するための措置を講じる」、「外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入」といった内容のみでは、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあるとはいえないが、その具体的な方法や内容については、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあると考えられる。しかしながら、何をもって安全管理に支障を及ぼすおそれがあるかについては、取り扱われる個人情報の内容、個人情報の取扱いの態様等によって様々であり、事業の規模及び性質、保有個人データの取扱状況等に応じて判断され る。通則編案 140~147ページ
保有個人データの開示について
本人から保有個人データの開示請求をうけて開示対応する際に、「そのままのデータの状態（一般人にとっては可読性が著しく低い状態）で開示して問題ないのか」という点について、通則編案では以下のように追記されています。
電磁的記録の提供による方法については、個人情報取扱事業者がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り本人の要望に沿った形で対応することが望ましい。
通則編案 151ページ
あくまで 「望ましい」ではありますが。。。
「個人データ第三者提供時の記録」の開示について
第三者提供記録 VS 秘密保持契約
令和２年改正から「個人データ第三者提供時の記録」が開示対象になります。（提供記録、受領記録双方）
「個人データ第三者提供時の記録」には、提供元または提供先となる第三者の企業名が含まれますので、開示請求を受けた企業と当該第三者と間で秘密保持契約がある場合に当該第三者の企業名等を開示できるのか（改正法２８条２項２号を使って開示を拒否できるのか）という問題がありました。
※例えば、秘密保持契約上の秘密情報の定義に２社間での取引の事実までが含まれている場合等
これに対して、通則編案では以下のように記載されています。
他の事業者と取引関係にあることが契約上秘密情報とされている場合であっても、記録事項そのものを開示することについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。
通則編案 161ページ
思ったよりふわっとした回答ですね。。。結局どう判断したらええねん。
「基本は該当しない（開示が必要）」くらいは言ってほしかったところです。。。
なお、政令規則案パブコメ結果を見ると以下の記載がありました。
他の事業者との契約上秘密情報であるとされていることのみをもって、直ちに第三者提供記録の開示の例外事由に該当するものではないと考えられます。
令和２年改正法の施行以前の第三者提供記録も開示対象か
政令規則案パブコメ結果をみると、平成27年改正法の施行以降が開示開示対象のようですね。（「みんなすでに適法に記録確認しているはずだよね？それを開示すればいいだけだから」という趣旨なのでしょう。）
平成 27 年改正法の施行後に第 25 条第１項又は法第 26 条第３項に基づいて作成された記録については、開示の対象となります。
「個人データ第三者提供時の記録」の開示対応をどこまで準備するのか
ガイドライン案とは全く別で素朴な疑問なんですが、本人から開示請求をうけてスムーズに対応できる会社さんってどれくらいいるのでしょうね。
第三者提供の記録を独立したデータベースとしてしっかり構築している企業なら問題ないのでしょうが、今まで「（結構分散しているけど）システムのログとかメールとかで残っていて、人力でかき集めれば必要項目が確認できるので記録としてはOK」って感じで対応してきた企業だといざ開示請求を受けると対応が大変な気がします。
まぁ、現行法での保有個人データの開示請求対応も大変なのですが。。。
最後に、 一問一答の該当箇所を引用します。
Q67：事業者に個人データの入手元と提供先を把握させ、本人への開示を義務付けるのは、過度な負担となりませんか。
A：
１ 改正前の本法においても、個人データの流通に係るトレーサビリティを確保する観点から、既に第三者提供時の確認・記録が義務付けられており、個人情報取扱事業者は、個人情報保護委員会が提出を求めた場合に、これを提出できるようにしておく必要があります。
２ 今回の改正は、本人から請求があった場合には、本人に対しても第三者提供記録を開示することを求めるものであり、個人情報取扱事業者が確認・記録すべき範囲は、改正前の本法と同様です。・・・（中略）・・・
３ したがって、今回の改正により義務付けられる第三者提供記録の開示は、改正前の本法においても作成している記録の開示を求めるものであり、事業者にとって過度な負担になるものではありません。
一問一答 79ページ
（ ¨）遠い目
kanekoのリモートワーク環境 ver.3
こうなりました。
今までの変遷は以下をご覧ください。
ver.1はコチラ↓
ver.2はコチラ↓
ver.2から変わった点
モニタ３枚だぜ！
先に縦置き可能なモニタ（23.8インチ）を購入してデュアルモニタ体制（当時のPCのスペック的に２枚までしか対応していなかった）にしていたのですが、最近PCが変わってCPU的にモニタ４枚まで対応可になったので、思い切ってノートPC用アームを購入してモニタ３枚体制にしました。
↑今見たら売り切れだった（販売中止かな？）。
モニタ３枚体制の個人的メリット
・モニタごとに役割分担を設定しやすくなる
各モニタについて、以下のように役割分担して使っています。
モニタ①：チャット、メール確認用
モニタ②：メイン作業用
モニタ③：縦長で作業したい時用
・物理的に分割される
あくまで個人的な好みなのですが、物理的に画面が分かれているのが好きなんです。ここを気にしない人であれば、ドデカモニタ１枚で十分なのかもしれません。
ちなみに仕事柄ブラウザのタブをいっぱい開くのですが、分割されることにより以下のような「ブラウザのタブを開きすぎてどれがどのページなのかわからなくなる」というのも防ぎやすい気がします。（モニタ①~③のすべてでブラウザを開いているので、１ブラウザあたりのタブの数が少なくなりタブの表示名がちゃんと表示されやすい）
※ノートPCの画面だけで仕事をしている人とWeb会議して画面共有してもらうときに上記のタブカオス状態をよくみます。（個人的観測範囲に基づく）
・出社する気がおきなくなる
縦置きモニタの個人的メリット
正直、机の領域的に仕方なく縦置きにしたのですが、意外なメリットがあって結果的には満足しています。
・可視領域が増える（ような気がする）
- 縦長の文書（A4）を想定したワードやPDF（契約書や社内文書等）
- 縦に埋まっているエクセル
- slackやteamsチャットのスレッドがクソ伸びた時
については、縦長モニタの方が可視性がいい気がします。
一方で、（当たり前かもしれませんが）
- パワポをいじったり閲覧する場合
- 左右に画面を並べたい場合
には、縦長モニタは向かないので横長モニタの方がいいですね。
・ワード上下分割した場合に見やすい
・出社する気がおきなくなる（２回目）
縦長モニタと横長モニタを併用したことによる個人的メリット
・用途別に使い分けができる （縦長と横長のそれぞれのメリットを享受できる）
（モニタ３枚のメリットと被りますが）縦長モニタと横長モニタ両方あるので、それぞれ用途に応じてモニタを使い分けることができるようになりました。
なお、②のモニタもモニタアームに設置すれば自由に縦横を変更できるモニタが２枚になるのですが、②はVESAマウントが付けられない仕様になっている（その代わり、薄型で軽量）ので現状横長オンリーになっています。
・出社する気がおきなくなる（３回目）
最後に
ソーダストリームとブリタの浄水ポッドも買いました。ますます在宅が捗る。
人生なにが起こるかわからない
というわけで、突然ですが5末で転職します。
この2カ月、仕事の引継ぎをスムーズに行うために「GW以外は半休を取り続けて仕事はする」という働き方を実施した結果、最終週まで（引継ぎではない）MTGをガッツリ入れられてしまうという知見を新たに得ることに成功しました。
今日もガッツリ働いたので、明日から新しい職場という実感がありません。
医療機器メーカーで営業職だった自分にとって「未経験だけど法務と知財やりたい」かつ「大学院に通いながら」というスーパーハイボールな要求を受け止めてくれたのが現職でした。
法務として成長させてもらった現職には感謝しかありません。
ただ、もう少し専門的にやっていきたいという思いがあって、今回の転職に繋がりました。
次の職場では（一応法律関係ではあるものの）「法務」という肩書ではなくなりますが、頑張ります。
P.S.
LegalACは、まだ企画してもいいのだろうか。。。
（結局打ち上げできてなくてごめんなさい）
新人法務におすすめした本
@itootanuさんの以下のエントリーを読みました。
自分もここ数年、新卒法務パーソンの教育に少しだけ携わる機会があり、その際におすすめした本をメモしておこうと思います。
なお、本エントリーは、以下のいずれかに該当する新人法務を想定しています。
- 非法学部卒だけど法務に配属された
- 法学部卒だけどそんなに勉強してなかった
１．日本語力を鍛えなおす
法務は、他の職種より文章をよく書くお仕事だと思っています。
議事録や報告書の作成、契約書のドラフト、法務相談対応...etc
新人法務の教育に少しだけ携わって感じたことは、「（法的知識以前の問題として、）日本語の作文能力をアップさせることが大事だ」ということです。
そのために、まずこの本をおすすめしました。
この本は、「読む側にとってわかりやすい文章を書くために必要なこと」が記載されています。1976年に書かれたものがベースなこともあり、人によって評価が分かれる本ではありますが、個人的には勉強になった本です。
例えば、以下のようなことが学べます。
【修飾語の使い方】
- 節（１個以上の述語を含む複文）を先にし、句（述語を含まない文節）を後にする
- 長い修飾語は前に、短い修飾語が後にする
- 大状況から小状況へ、重大なものから重大ではないものへ
- 親和度の強弱による配置転換を考慮する（単語が直列的にかかってゆくときは親和度の強さに従い、並列的にかかるときには親和度が強いほど引き離す）
※1.と2.が特に重要
【テンの使い方】
- 長い修飾語が２つ以上あるとき、その境界にテンをうつ
- 語順が逆順の場合にテンをうつ（短い修飾語を前にもっていきたい場合には、テンをうつ）
【助詞の使い方】
- ひとつの文（または節）の中では３つ以上の「は」はなるべく使わない（２つまでとする）
- 「まで」は継続的な意味し、「までに」は期限を意味する
- 「間」は期間を意味し、「間に」は時点を意味する
- 逆説条件ではない「が」は使わない方がよい（例、少し脱線するが~）※文章をいったん切った方が読みやすい。
ちなみに、kanekoが法務としてのキャリアをスタートするときに知り合いの先生からおすすめされたのがこの本でした。
２．法務のお仕事を知る
物語風のテイストで法務の業務（ただし、メーカー前提）が理解できる本。
読み進めるうちに、主任がごくせんのあの人、課長が蔵之介で脳内再生されるようになります。
この本以外ですと、（恥ずかしながら未読なのですが）「今日から法務パーソン」を推す法クラも最近は多いですね。
また、法務業務のフレームワーク的な部分だと「スキルアップのための企業法務のセオリー」もいいですよね。
３．契約関連
「まずは新書レベルで読みやすい書籍」ということで安定の福井健策先生のこの本を。
これを読んだら、次は会話形式で契約書作成&修正のプロセルが学べる下記を。
ちなみに、バナナおやつ本（先生! バナナはおやつに含まれますか?―法や契約書の読み方がわかるようになる本―）も個人的にはおすすめなのですが、なぜか部内では不評...（ｼｭﾝ
４．民法の学びなおし
非法学部卒の場合も想定するとまずはこのあたりかなと思ってます。
他のオススメあれば是非ともご教示いただきたいです。（この分野はまじで沼）
５．法令用語の使い分け
「新法令用語の常識」や「条文の読み方」あたりが候補なのですが、新人法務にとって読むのは苦行のようです。
結局以下のようなサイトをざっと見ておいてもらう感じになりました。
６．知財
弊社のような中堅IT企業だと知財（特に著作権）は必須なので。
新書レベルだととりあえず下記２冊を。
上記２冊をサクッと読めたら、次は下記かな。
７．個人情報、プライバシー
いきなりPPCのガイドラインに突っ込んだ自分にとって、選定が非常に難しい。。。
でも個人情報の知識は必須の業界なので、「新書レベルでザックリ全体感を理解させる」ということにフォーカスをあてると
からの「個人情報保護法の知識」でしょうか。
８．その他
１～７を一通り読んだら、これをざっとでいいから読んどいて欲しい。（個人的希望
現場からの法務相談がきたときの対応スキル（「こういった相談にはこういった法的論点がある」というあたりをつけること）が格段に上がるはずだから。たぶん。
最後に
以上、新人法務に個人的におすすめした本を紹介してきました。
書き出してみて改めて感じたのですが、法務として必要な分野をあまり網羅できてなかったなぁと感じています。（例えば、非法学部卒も視野に入れているならば、もうちょっと法学入門的な本をおすすめしておけばよかったなぁとか）
法クラの皆様のオススメ本もお聞きしたいところです。
ところで、配属１年後に「ぶっちゃけ、おすすめした本のうちどれ読んだ？」と聞いたところ、なんt...コンコン、ガチャ...おや、誰か来たようだ。
