個人情報保護法に違反すると、どんなペナルティがあるの？

従来から個人情報保護法に違反した場合には、行政指導や刑事罰がありました。しかし、2020年の改正法により、ペナルティが強化されていることをご存じでしょうか？特に事業者として注意すべきなのは、個人情報保護法の監督権限が強化されたことです。具体的な法律の規定を見ていきましょう。

企業が受けるぺナルティは決して軽くない

１　個人情報保護委員会の監督権限
（１）報告徵求・立ち入り検査 (法146条)
個人情報保護委員会は、個人情報取扱事業者、その他の関係者に対し、個人情報やcookie情報などの個人関連情報の取扱いに関し、必要な報告若しくは資料の提出を求め、または個人情報保護委員会の職員に、当該個人情報取扱事業者の事務所その他必要な場所に立ち入らせ、個人情報の取扱いに関し質問させ、帳簿書類その他の物件を検査させることができます。このような検査がされたとき事業者としては、法令に則った対応をしていないと、以下のような個人情報保護委員会から、以下の措置が取られます。

（２）指導・助言 (法147条)
個人情報保護委員会は、個人情報取扱事業者に対し、個人情報等の取扱いに関し必要な指導および助言をすることができます。個人情報保護委員会は、指導した会社名、指導内容についても公表をしています。指導・助言であっても行政指導の一環であり、当該事業者が行政指導を受けたことは記録としても残りますし、コンプライアンスの観点からも、上場企業はもちろんこれから上場などを目指す企業についてもマイナスな評価になりかねませんので注意が必要です。

（３）勧告および命令 (法148条)
ア　勧告 (法148条1項)
個人情報保護委員会は、個人情報取扱事業者が法の規定に違反した場合、個人の権利利益を保護するため必要があると認めるときは、当該個人情報取扱事業者に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができます。

イ　措置命令 (法148条2項)
個人情報保護委員会は、勧告を受けた個人情報取扱事業者が正当な理由がなくてその勧告に係る措置をとらなかった場合において個人の重大な権利利益の侵害が切迫していると認めるときは、当該個人情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命ずることができます。

（４）中止・是正命令等 (法148条3項)
個人情報保護委員会は、緊急に措置をとる必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができます。

（５）公表等 (法148条4項)
措置命令 (法148条2項) 、中止・是正命令等 (法148条3項) をした場合において、その命令を受けた個人情報取扱事業者がその命令に違反したときは、個人情報保護委員会はその旨を公表することができます。しかし現実には、指導や勧告レベルでも、公表されることが多くあり、事業者としては、しっかりと個人情報保護法を遵守することが必要になっていきます。

個人情報保護法違反は刑事罰の可能性も！？

また個人情報保護法違反には刑事罰も科され、その罰則も重くなりました。

（１）措置命令違反の罰則の強化 (法178条)
個人情報保護委員会の措置命令違反をした者に対する罰則は、「1年以下の懲役または100万円以下の罰金」(法178条) と強化されました。

（２）報告・立入検査の忌避に対する罰則の強化 (法182条)
個人情報保護委員会への報告もしくは資料の提出をせず、もしくは虚偽の報告もしくは虚偽の資料を提出し、または当該職員の質問に対して答弁をせず、もしくは虚偽の答弁をし、もしくは検査を拒み、妨げ、もしくは忌避したときは「50万円以下の罰金」と強化されました。

（３）法人重科 (法184条)
法人の代表者または法人もしくは人の代理人、使用人その他の従業者が、その法人または人の業務に関して、措置命令違反をした場合、1億円以下の罰金が科せられることとなりました。

注目すべきは、「個人情報保護委員会に対する報告に対する罰則の強化」です。もしも個人情報の漏洩が発生し、個人情報保護委員会への資料提出や報告が適切になされていなかったとします。その場合、会社及び代表者は刑事罰を受けてしまう可能性があるのです。個人情報保護委員会への報告や資料提出については、委員会から求められてから対応したのでは、間に合わない可能性が高いといえます。その時点で把握している事項を報告すべき「速報」はおおむね3〜5日、報告が求められる事項についてすべて報告をする必要がある「確報」は30日以内に報告する必要があるのです。常日頃から、cookie情報を含めた個人関連情報や個人情報について、適切な管理をすることが必要であるといえるでしょう。

次回は、個人情報の取扱いに関する実際の判例についてご紹介します。