中国：個人情報安全規範の改正（2）
長島・大野・常松法律事務所
弁護士 鈴 木 章 史
複数の製品やサービスが提供される場合の同意取得に係る規制
事業者が複数の製品やサービスを提供している場合、それぞれの製品やサービスにおいて個人情報を取得することが必要となる場合がある。このような複数の製品やサービスで個人情報の取得が必要となる場合について、改正版では、個人情報の主体の意思を尊重し、取得に対する授権同意の強要を禁止する旨の規定が設けられた（改正版5.3条）。
具体的には、事業者が製品やサービスを区別することなく一括して個人情報を取得した場合、個人情報の主体が望んでいない製品やサービスについても授権同意することが事実上強制されるおそれがあるところ、改正版は、製品又はサービスを一括りにして、個人情報の主体から一括して個人情報の取得に対する授権同意を要求してはならないと規定された(改正版5.3条a）。
また、 授権同意しないことを理由に個人情報の主体が不利益を受けることがないよう、個人情報管理者は、個人情報の主体が特定の業務機能に関して使用や終了等に授権同意しない場合に、当該主体が使用するその他の業務機能を一時的に停止したり、サービスの品質を低下させたりしてはならないとされた（改正版5.3条e）。また、本人の意思に反して同意が事実上強制されることがないよう、サービス品質の向上、使用体験の向上、新製品の開発、セキュリティ強化等のみを理由として、個人情報の取得に対する授権同意を強制してはならないとされた（改正版5.3条f）同時に、同意を事実上強要することを回避する観点から、個人情報の主体が、特定の業務機能に関して使用や終了等に授権同意しない場合に、個人情報の主体に対し授権同意を頻繁に求めてはならないという規定も加えられた（改正版5.3条d）。
また、製品やサービスの提供時期や個人情報の取得の開始時期に関して、個人情報の主体の意思による肯定的な動作（例えば、自らの意思によるクリック、チェック又は記入等）があって初めて製品又はサービスの特定の業務機能を開始でき、個人情報管理者による個人情報の取得は、個人情報の主体が当該業務機能を開始した後でなければならないとされた（改正版5.3条b）。さらに、個人情報の主体が、特定の業務機能を終了することを選択した場合は、それ以降、個人情報管理者は、個人情報の取得を停止しなければならないことも規定された（改正版5.3条c）。
生体認証情報の取扱いに係る規制強化
個人の遺伝子、指紋、声紋、手相、耳介、虹彩、顔の特徴等の生体認証情報は、現行版において、個人センシティブ情報とされており、個人情報の中でもより慎重な取り扱いが要求されている。改正版においても、生体認証情報が個人センシティブ情報である点に変更はなく、個人センシティブ情報に関する規制は生体認証情報にも適用されるが、近時のビジネスにおいて生体認証情報が頻繁に利用されている状況とその機密性の高さから、より厳格な規制が設けられた。
まず、生体認証情報の取得について、個人情報管理者が個人の生体認証情報を収集する前に、その収集・使用の目的、方法、範囲及び保存期間の規則等を単独で個人情報の主体に告知し、かつ、個人情報の主体から明示的同意を取得しなければならないとされた（改正版5.4条c）。
また、生体認証情報の保存に関して、個人情報管理者は、個人の生体認証情報と個人の身分情報[1]を分けて保存しなければならないとされた（改正版6.3条b）。原則として、個人情報管理者は、生体認証情報そのものを保存してはならず、その対応策として、個人の生体認証情報の要約情報のみを保存する方法（改正版6.3条c-1）、生体認証情報は端末上でのみ直接使用することとし、保存は行わない方法（改正版6.3条c-2）、生体認証情報を使用して本人の識別、認証を行った後直ちに当該情報を削除する方法（改正版6.3条c-3）等を採用することが求められることとなった。なお、要約情報は、元に戻すことができず、元の情報まで遡ることができない情報であることが要求される。
さらに、改正版では、原則として、取得した個人の生体認証情報を共有又は譲渡してはならず、業務上の必要性により共有又は譲渡する必要がある場合、その目的、関係する個人の生体認証情報の類型、データ受領者の身分及びデータ安全能力を個人情報の主体に個別に告知し、個人情報の主体から明示的同意を取得しなければならない（改正版9.2条i）。
（3）に続く