個人情報保護法ガイドラインQ&A解説|通関業務従事者向け実務対応

---

個人情報保護法ガイドラインQ&A基本理解

通関業務で荷主の個人情報を扱うあなた、実は本人同意なしで第三者提供すると最大1億円の罰金です。

個人情報保護法ガイドラインとQ&Aの役割

個人情報保護法の「ガイドライン」は、個人情報保護委員会が法律の解釈や運用基準を示した公式文書です。通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編など複数の編に分かれています。
「Q&A」は、ガイドラインの内容をより具体的な事例で解説したものです。令和6年3月時点で1700KB超のPDF資料として公開されています。
通関業務従事者にとって重要なのは、これらが法的拘束力を持つ解釈指針という点です。違反すると個人情報保護委員会からの指導・命令の対象となります。命令違反には6ヶ月以下の懲役または30万円以下の罰金、法人には1億円以下の罰金が科されます。
つまり実務の判断基準です。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A
※最新のQ&A全文とガイドライン通則編へのリンクが掲載されており、実務判断の際の公式参照先として活用できます。

個人情報保護法における通関業務の位置づけ

通関業務では、荷主の氏名・住所・電話番号・貨物内容など、大量の個人情報を日常的に取り扱います。これらは個人情報保護法における「個人データ」に該当し、厳格な管理義務が課されます。
特に注意が必要なのは、通関業法第19条で規定される守秘義務との関係です。通関業者が正当な理由なく業務上知り得た秘密を漏らした場合、1年以下の拘禁刑または100万円以下の罰金が科されます。個人情報保護法と通関業法の両方の規制を受けることになります。
令和6年4月の改正では、個人データとして取り扱われることが予定されている個人情報(データベース化前の情報)も、不正目的による漏えい等の報告義務対象に拡大されました。通関申告書類をデータベース化する前段階でも、盗難や不正アクセスがあれば報告義務が発生します。
これは業務範囲全体です。

個人情報保護法ガイドラインの最新改正内容

令和5年12月27日に個人情報保護法施行規則が改正され、令和6年4月1日から施行されています。この改正により、通関業務における実務対応が大きく変わりました。
改正の3つの柱は以下の通りです。

• 
  不正目的による漏えい等の報告対象拡大：個人データのみならず、データベース化予定の個人情報も対象に
  
• 
  安全管理措置の対象拡大：取得予定の個人情報にも漏えい防止措置が必要に
  
• 
  保有個人データの公表事項拡大：安全管理措置の内容に、取得予定個人情報の保護措置も含む
  

具体的には、通関申告のためにウェブフォームから入力された荷主情報が、サーバに保存される前に攻撃者に窃取される「ウェブスキミング」も報告義務の対象になります。従来は個人データになった後の漏えいのみが対象でしたが、入力段階での窃取も含まれるようになりました。
報告期限は速報が3〜5日以内、確報が30日以内(不正目的の場合は60日以内)です。
BUSINESS LAWYERS「改正個人情報保護法施行規則とガイドライン・Q&Aを解説」
※令和6年4月改正の詳細な解説と実務対応のポイントが記載されており、社内規程の改訂や業務委託契約の見直しの参考になります。

通関業務で押さえるべきQ&A重要項目

通関業務従事者が特に確認すべきQ&Aの項目を整理します。
まず委託関係です。Q7-34では、ダイレクトメール発送業務を業者に委託する際、本人の同意なく個人データを委託先に提供できると明記されています。通関業務でも、配送業者への荷主情報の提供は委託に該当し、本人同意は不要です。
ただし委託先の監督義務(法第25条)は必須です。Q5-8によれば、委託契約書の取交しが原則ですが、誓約書の差入れや覚書でも認められます。安全管理措置の内容を明確に合意することが重要です。
次に第三者提供記録です。Q13-12によれば、従業員の口座に給与を振り込む際は記録義務が適用されません。しかし通関業務で荷主情報を配送業者に提供する場合は委託に該当するため記録義務の対象外ですが、委託ではなく第三者提供とみなされる場合は記録が必要になります。
判断が分かれるところですね。
漏えい報告についてはQ6-23が参考になります。配送事業者の誤配送により個人データが漏えいした場合、配送事業者を利用した事業者と配送事業者の両方に報告義務があります。委託元も免責されません。

通関業務における個人情報保護法違反の具体的リスク

通関業務で個人情報保護法に違反した場合、以下の3段階の制裁措置があります。
第1段階は個人情報保護委員会からの指導・助言です。軽微な違反や初回の違反の場合、改善を促す行政指導が行われます。法的拘束力はありませんが、従わない場合は次の段階に進みます。
第2段階は勧告・命令です。重大な違反や指導に従わない場合、個人情報保護委員会は勧告を行い、それでも従わない場合は命令を発します。命令には法的拘束力があり、違反すると罰則の対象です。
第3段階は刑事罰です。命令違反の場合は6ヶ月以下の懲役または30万円以下の罰金、虚偽報告の場合は30万円以下の罰金、データベース不正提供の場合は1年以下の懲役または50万円以下の罰金が個人に科されます。
法人には両罰規定があります。命令違反とデータベース不正提供の場合は1億円以下の罰金、虚偽報告の場合は50万円以下の罰金です。
さらに民事上の損害賠償責任も発生します。漏えいした本人からの損害賠償請求に加え、社会的信用の失墜による取引先の離反、新規顧客獲得の困難化など、間接的な損害も甚大です。
これは重大なリスクです。
「個人情報漏洩時の3つの罰則規定を詳しく解説」
※個人情報漏洩時の罰則について、具体的な金額と適用ケースが詳細に解説されており、リスク評価の参考になります。

通関業務従事者が今すぐ実施すべき対応策

通関業務における個人情報保護法対応として、以下の実務対応を直ちに実施する必要があります。
まず委託契約書の見直しです。配送業者、倉庫業者、データ入力業務の外注先など、個人データを取り扱う全ての委託先との契約書を点検します。安全管理措置の内容、再委託の条件、漏えい発生時の通知義務が明記されているか確認してください。
次に社内規程の整備です。個人情報取扱規程に、令和6年4月改正で拡大された「データベース化予定の個人情報」の安全管理措置を追加します。通関申告書類の受領から電子化までの期間における紛失・盗難防止策、ウェブフォーム入力時のセキュリティ対策などを明文化します。
従業員教育も必須です。年1回以上の研修を実施し、個人情報の定義、取扱い時の注意点、漏えい発生時の報告ルートを周知します。全従業者を集める講義形式である必要はなく、Q10-14によればeラーニングや資料配付でも可とされています。
漏えい等発生時の体制構築も重要です。責任者の指定、個人情報保護委員会への報告窓口の確認(ウェブサイト上のフォームから報告)、本人への通知方法の準備を行います。速報は3〜5日以内、確報は30日以内(不正目的の場合60日以内)という期限を守るため、初動対応のチェックリストを作成しておくと有効です。
対策は体制づくりです。

個人情報保護法Q&Aから学ぶ通関業務の判断基準

実務で迷いやすい具体的なケースについて、Q&Aを参照した判断基準を示します。
ケース1：荷主から配偶者の連絡先も一緒に教えられた場合です。Q13-14によれば、夫婦・家族の連絡先をまとめて受領しても、個人データに該当しない場合(体系的に構成されていない単発の情報)は、第三者提供の確認・記録義務の対象になりません。しかし個人情報として利用目的の通知は必要です。
ケース2：海外の倉庫業者に荷主情報を提供する場合です。外国にある第三者への個人データ提供は、原則として本人の同意が必要ですが、委託に該当する場合は本人同意不要です(Q12-1)。ただし委託先の監督義務があり、外国の個人情報保護制度の把握(外的環境の把握)が安全管理措置として求められます(Q10-22〜25)。
ケース3：警察からの照会への対応です。Q7-17によれば、刑事訴訟法第197条第2項に基づく警察からの照会は「法令に基づく場合」に該当し、本人の同意なく個人データを提供できます。ただし照会の正当性を確認する必要があります。
どれも実務で頻出です。
ケース4：通関申告書をスキャンしてデータベース化する業務を外注する場合です。委託先が単に紙をスキャンしてデータファイルを作成するだけで、個人を識別して利用しない場合でも、委託元の監督義務は発生します。委託先の従業員による個人データの不正持ち出しを防ぐため、契約で守秘義務と安全管理措置を明記する必要があります。

個人情報保護法対応のチェックリスト作成手順

通関業務における個人情報保護法対応の実効性を高めるため、業務フロー別のチェックリストを作成します。
荷主情報の取得段階では、以下を確認します。

• 
  利用目的の明示(申込書やウェブフォームに記載)
  
• 
  要配慮個人情報(病歴、犯罪歴など)取得時の本人同意取得
  
• 
  取得方法の適正性(不正取得の防止)
  

個人データの保管段階では、物理的・技術的・組織的安全管理措置を実施します。

• 
  書類の施錠保管、持ち出し制限
  
• 
  アクセス権限の設定、パスワード管理
  
• 
  従業者への教育、監督体制の整備
  

第三者提供段階では、委託か第三者提供かを判断した上で対応します。

• 
  委託の場合：委託契約書の締結、委託先の監督
  
• 
  第三者提供の場合：本人同意の取得(例外に該当しない限り)、提供記録の作成・保管(3年間)
  

漏えい等発生時は、速やかに以下を実施します。

• 
  事業者内部への報告(責任者への連絡)
  
• 
  被害拡大防止措置(システム停止、証拠保全)
  
• 
  個人情報保護委員会への報告(速報3〜5日以内、確報30日以内)
  
• 
  本人への通知(氏名・連絡先を保有している場合)
  

これが実務の流れです。
定期的な見直しも重要です。年1回、個人情報の取扱状況を棚卸しし、新たに取得した個人情報の種類、委託先の追加・変更、システム変更による影響などを確認します。ガイドラインやQ&Aの改訂情報も個人情報保護委員会のウェブサイトで確認し、必要に応じて社内規程やチェックリストを更新してください。

個人情報保護法違反を防ぐための組織体制構築

個人情報保護法の遵守は、個人の注意だけでは限界があります。組織として体制を構築することが不可欠です。
第一に、個人情報保護管理者の選任です。Q10-4によれば、中小規模事業者(従業員100人以下かつ個人情報5000人以下)でも安全管理措置は必要ですが、規模に応じた対応が認められています。管理者は経営層または部門責任者が担当し、全社的な個人情報保護施策の立案・実施・監督を行います。
第二に、取扱部門ごとの責任者を配置します。通関業務部門、営業部門、経理部門など、個人情報を取り扱う各部門に責任者を置き、日常的な管理を徹底させます。
第三に、内部監査の実施です。Q10-11では、安全管理措置の見直しの手法として監査の実施が例示されています。参考となる規格として、JIS Q 15001(プライバシーマーク)やISO/IEC 27001(情報セキュリティマネジメントシステム)があります。外部認証の取得までは不要でも、これらの基準を参考に自己点検を行うことが有効です。
第四に、インシデント対応チームの編成です。漏えい等が発生した場合、迅速に事実関係を把握し、被害拡大防止と報告を行うため、あらかじめ対応メンバーを決めておきます。システム管理者、法務担当者、広報担当者などで構成し、役割分担と連絡フローを明確化します。
組織全体で取り組みます。
第五に、外部専門家の活用です。個人情報保護法は頻繁に改正され、解釈も複雑です。顧問弁護士や個人情報保護士などの専門家に相談できる体制を整えておくと、判断に迷うケースでも適切に対応できます。個人情報保護委員会への問い合わせ窓口も活用可能です。

通関業務における個人情報保護法の今後の動向

個人情報保護法は、技術の進展や社会情勢の変化に応じて継続的に改正されています。通関業務従事者が注視すべき今後の動向をまとめます。
デジタル化の進展により、AIやビッグデータの利活用が拡大しています。令和2年改正では「仮名加工情報」制度が新設され、氏名等を削除した情報を内部分析に活用する仕組みが整備されました。通関業務でも、荷主情報を仮名化して統計分析に利用する場合、この制度の適用を検討する余地があります。
越境データ移転の規制強化も続いています。外国にある第三者への個人データ提供について、令和2年改正で提供先の監督義務が強化され、提供先の個人情報保護体制の確認、定期的な状況把握、問題発生時の対応が義務化されました。海外の倉庫や配送業者を利用する場合、これらの義務を確実に履行する必要があります。
サイバーセキュリティ対策の重要性も高まっています。ウェブスキミング、ランサムウェア、標的型攻撃など、個人情報を狙う攻撃が巧妙化しています。令和6年4月改正でウェブスキミング対策が報告義務の対象に含まれたのは、こうした脅威への対応です。
変化に対応が必要です。
個人情報保護委員会は、ガイドラインやQ&Aを随時更新しています。令和6年3月には、クラウドサービス提供事業者による代行報告(Q6-22)、フィッシングサイトへの入力情報の取扱い(Q6-7、Q6-8)など、実務に即したQ&Aが多数追加されました。定期的に個人情報保護委員会のウェブサイトを確認し、最新情報を把握することが重要です。
国際的な規制の動向にも注意が必要です。EUの一般データ保護規則(GDPR)、米国カリフォルニア州の消費者プライバシー法(CCPA)など、各国・地域で個人情報保護規制が強化されています。国際取引を伴う通関業務では、日本の個人情報保護法だけでなく、相手国の規制も考慮する必要があります。

金融分野における個人情報保護に関するガイドライン等 (重要法令シリーズ)