資料１－１「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集結果
１．実施期間
令和６年６月 27 日（木）から令和６年７月 29 日（月）まで

２．意見提出者数及び提出意見数
1,731 の団体・事業者又は個人から延べ 2,448 件の御意見が寄せられた。
意見提出者数及び提出意見の内訳は次のとおり。
（内訳は、中間整理の構成に沿った分類としております。）(1)意見提出者：
合計 1,731 者○各種団体・事業者
72 者
・団体
43 者
・事業者等
29 者
○個人（匿名含む。）：1,659 者(2)提出意見数：合計 2,448 件
特に意見の件数が多かったもの○本人同意を要しないデータ利活用等（うち生成 AI に関するもの○こどもの個人情報等○生体データ○不適正利用/適正取得○漏えい等報告○課徴金○個人の権利救済手段○「４ その他」について○オプトアウト等

1,560 件
1,486 件）
150 件
120 件
92 件
67 件
52 件
48 件
48 件
47 件

３．意見の内容（別紙のとおり）
・匿名希望の有無にかかわらず、個人名は一律に省略しています。
・いただいた御意見のうち、意見募集の対象となる事項のみお示ししています。本中間整理の内容とは関係が無いと考えられる御意見が 14 件ございました。 また、御意見に添えられた参考資料の一部を省略している場合があります。
・御意見は原則として原文のまま掲載しておりますが、とりまとめの都合により一部整理・要約して掲載しております。
・法人の権利、競争上の地位その他正当な利益を侵害するおそれのある記述がある場合、当該箇所を省略しています。

別紙

全体・第１ はじめに（中間整理の位置づけ等）
No.
1

提出者

提出意見
ガイドラインの改正等を含めると法改正が多すぎます。

匿名

３年ごとの見直しであればガイドラインも含めて３年ごとにしていただきたい。
意見

公益社団法人2

全

国消費生活相談員
協会

・今回、3年ごと見直しを行うべき必然性があることに全面的に賛成します。
理由・中間整理でさまざまな実例が示されているように、令和２年改正法、及び３年改正法の施行後においても、デジタル化の急激な進行等によって、より大量に個人情報を取り扱うビジネス等が現れ、同時にプライバシーを含む個人の権利利益が侵害されるリスクのある事案が、想定を超えて急激に増加しています。この実態を踏まえれば、表出しているそれぞれの課題に対応すべく迅速・適切に法改正を行うことが、「個人情報の有用性に配慮しつつ、個人の権利利益を保護する」との法の趣旨を実現するものと考えます。
1:中間整理全体への意見
現状、デバイス(電子計算機)の使用は、「情報通信技術等の高度化に伴い、大量の個人情報を取り扱うビジネス・サービス等が生まれる一方で、プライバシーを含む個人の権利利益が侵害されるリスクが高まっている。」(3頁)と同時に、「…政策や事業活動等の面でも、国民生活の面でも欠かせないものとなっている…」(22頁)中で、より実効性のある個人情報保護法(以降、法と表記する)にしていくことが求められている。
上述した中間報告の指摘と、適正/不適正問わずデータが流通すれば世界規模になる点を考慮すると、個人情報保護法は、「規制行政における三極構造あるいは三面構造の法律関係にある。」(曽和俊文「行政法総論を学ぶ」有斐閣(2014)8頁)といえる。であるから、個人情報保護法の考え方、運用のあり方に、基本権保護義務論の視点が必要ではないか。法3条「個人の人格尊重」はみだりにデータ化されないこと、「適正な取扱い」には、法の規定に則った取扱いと同時に、個人の権利利益(法第1条)に含まれる基本権を侵害しないこと等を含むはずだ。法3条への抵触は、それ自体では行政的・刑事的制裁の対象にならないとしても、信頼及び法の正統性・秩序への毀損になりえる。ガバナンスと言った場合、統制と監督、別の言葉を用いると履行・責任・保証の正当性の担保と維持に実効性がある
か、すなわち正統性が問われる。法17条から40条は、個人情報取扱事業者への規定であるが、各条は、「個人情報データベース等」(法16条1項)を構成することを予定して取得され、処理の対象となる本人の権利利益の保護及び法33条1項、34条1項、35条1項の行使に密接に関係してくるものである。

3

個人

特に、個人情報取扱事業者の法17条、18条、21条、22条、27条、28条の不十分な履行は、各条に波及すると同時に法19条、20条に繋がる要因になる可能性が高いと推察され、ここの規律が崩れると個
人情報保護法の存在意義そのものに関わってくる。よって、確実かつ明確な法執行を求める。
・管理者の明確化
中間整理から、管理者の明確化の必要性を感じる。第三者提供の場合、本人関与を有しているのは提供元であるから、個人データ保護及び提供先の履行に関しての管理者は提供元である。また、委託の場合、委託先の監督(法25条)特に消去、委託範囲を超えた不適正な利用がないか監督する義務がある。これを怠った場合は、各条文に抵触する可能性が増し、結果、安全管理措置(法23条)の規律が危ぶまれることになりかねない。とりわけ行政機関が、個人データを委託する場合の規律の確認と履行をお願いしたい。
・「プライバシー」(3頁)、「公益性」(23頁)への意見
プライバシーの保護というと、安全管理措置や漏洩の視点になりがちである。この視点は重要な視点であるものの一面的である。セキュアであっても、依然として個人を識別できるデータであることに変わりがない。個人を識別できるデータ(個人データ)の利活用は、プライバシー侵害と紙一重である。プライバシーの保護という文言を使えばプライバシーが保護される訳ではないことに留意したい。このことは公益性にもいえる。公益性を謳えば、公益性が担保されるわけではない。健康、安全は、公益性の高い分野であるが、同時に、野放図なデータ化やデータを用いた評価・決定から、個人の自由と基本的人権が保護されていなければならない分野でもあることを強調したい。
最低でもEUと同等かそれ以上の情報保護を義務化すべき。
ITサービスの普及が進んだ現代では、個人で努める情報保護には限界がある。

4

匿名

19年の●●事件等、現状でもデータ関連企業の好き勝手な行いには憤りを感じるが、これ以上企業による個人情報の独占や悪用には恐怖しか覚えない。
対策てして、プロファイリングの一律禁止。端末等識別子、生体データ、こどもの個人情報等は全て要配慮個人情報とすることを求める。
また独占禁止法にあるような課徴金制度も個人情報保護法に導入することも必要である。

1 ページ

【意見】
個人情報保護委員会では、透明性のある公開での議論の場を設け、個人情報保護法の3年ごと見直しを実施する必要があります。
【理由】
今回、経済界、有識者、地方公共団体等からヒアリングを行っていますが、消費者・消費者団体に対する意見の聞き取りが少ないように考えます。個人情報保護法は、消費者にとって非常に重要な法律ですが、その一方で難解で理解しにくい部分が多々存在します。3年ごと見直しにあたっては委員会がその論議を公開して進めるとともに、国民の理解を促進するような情報提供が必要と考えます。
5

全国消費者団体連
絡会【意見】
個人情報保護委員会は、今後も政策立案と執行体制を一元的に担っていくべきであると考えます。
【理由】
現在の個人情報保護委員会は、執行と政策立案・法整備は一元的な体制として取り組まれています。個人情報をめぐって実際に発生している事象を法制度に反映して、個人情報の適切な管理と個人の権
利利益の保護のため、個人情報保護委員会は、政策と執行を一元的に担うべきと考えます。
○意見内容
個人情報保護法の3 年ごと見直しにおいて規制強化（＝事業者の負荷増加）や規定明確化を行う場合は、その対象を必要範囲に限定して頂くこと、あるいは法改正の趣旨を文書にて明確化し、当該趣旨に沿った対象が、事業者において正しく理解できるようにして頂くことを強く希望します。
○理由
法改正を行う場合、その改正規定の趣旨については理解するものの、個人情報保護について真面目に着実に取り組む事業者ほど改正規定を厳格に解釈してしまい、その結果として事業者の実務負荷が増加する可能性がある。（過去の例として、第三者提供における記録保存義務、個人関連情報規定等がある。）法改正の趣旨を明確化し、当該趣旨に沿って対象を限定化して頂くことが重要と考えるた

6

電子情報技術産業 め。
協会○意見内容
中間整理に挙げられている観点での議論を続けていく必要があることに賛同します。3 年ごと見直しにとらわれず、時宜にかなったテーマで様々なステークホルダーが参画し、社会的コンセンサスを形成するための丁寧な議論を踏まえた検討をお願いします。
○理由
有識者検討会（例：犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会）が1 年以上の期間を要したことを踏まえると様々なテーマに対して3 年ごと見直しのタイミングで性急に結論を出すことは社会的コンセンサス形成の観点からも望ましくないと考えるため。
現状示されている個人保護法の範囲では不十分。
個人情報の取り扱いについてはより厳格且つ細分化された保護と対象を追加し、違法利用などに関してはより厳しい罰則等を検討するべきと考える。
余りにも情報保護に関する危機意識が低いと言わざるを得ない。
生体データ、こども個人情報を要配慮個人情報としない意図はなんなのか？

7

匿名

プロファイリングについてもはっきり明文化し、侵害や不当利用などに対する罰則を設ける事が重要だろう。
生成AIによる個人情報の集積及び学習については言わずもがなであり、本人の許諾なくこれに利用する/される事についてはこれを禁じ、使用が確認された場合の権利者の権利をより明確にし、違法利用者に対する罰則をより厳しくする必要もある。
現状の個人情報の取り扱いでは、個人情報の不当な悪用やAIによる権利者への権利侵害を容易に許してしまう。
特に「自動化された意思決定」についてはこれを強く意識し、GDPRにもあるように「個人がこれに服しない権利」を持つ事を支持する。

2 ページ

p14「２ 実効性のある監視・監督の在り方」ですが中間整理で示された内容では国民が予め持つ権利が守られるかどうか不安に思える位データ保護が不十分です。
企業の情報漏洩のニュースが後を絶ちませんし、流出したそれらのデータが特殊詐欺や生成AIによるディープフェイクの蔓延に悪用されている現状に歯止めがかからない一方で、各種の対処療法的な処置も追い付いているように見えません。
事前にこれらの人権侵害を防ぐのであれば「端末の識別保護」「プロファイリング」「顔特徴量などの生体データ」「こどもの人権保護」といった点で米・英・EU等諸外国と同等のデータ保護が可能に
8

個人なる法整備をするべきです。
例えば「プロファイリング」であればアメリカでは州政府によるオプトアウトの義務化がありますし、EUにおいてはGDPR法やAI法があります、日本も現状を一転させて早く世界水準のデータ保護をして下さい。
保護が疎かなまま野放図に膨大なデータをかき集め、それをサイバー攻撃によって悪意ある者に献上してしまい国民を人権侵害の危機に晒してしまうのであれば、個人情報のデータ利活用は根本から見直した方が良いと思います。
（意見）パブリック・コメント終了後も、ステークホルダーとの継続的な議論を行っていくというスタンスを支持します。丁寧かつ密なコミュニケーションが行われることを行っていっていただくことを望みます。
また、コミュニケーションにおいては、何らかの結論があるものではなく、しっかりとした対話の中で結論を導き出していただくことを望みます。時間がなく、議論がまとまらないなどであれば、早急

9Asia Internetに結論を出すのではなく、また、人事異動や財政年度のタイミングにとらわれることなく、必要な検討を継続するとすることこそが、それを経て作られる法制度の信頼性の向上にもつながるものと考え

Coalition Japan ます。
今回の見直しに限らず、我が国の個人情報保護制度において、個人の権利利益の保護と個人情報の利活用の促進のバランスについてどのような重心の置き方をするのか、法目的や各規定の趣旨をどのように考えて制度設計をしていくのかといったグランドデザインを描いたうえで、中長期的に制度を構築していくべきであり、それに事業者の声が反映されることも併せて望みます。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
以下を求めます。
・個人情報を、その契約以外の業務やサービスへ、勝手に流用しない。
・規約の中でこっそり「流用する事の同意」等を入れ込むのは違反とする。
・個人情報を、企業や団体側が私物化する事の禁止。
・個人情報の流出は、その流出規模に応じて、罰金や刑罰を重くする。個人事業含め、企業の場合は上限を設けない事とする。

10

匿名

・他国への流出は、更に厳罰とする。
・他国の企業で日本国内で運営をしている場合、海外への持ち出しは禁止とする。
・個人で購入・契約したマンガ、動画などの電子情報は、いかなるものであっても、それ以外への情報流用は禁止。
・個人購入・契約に関して、いかなる理由があろうとも、提供者が勝手に閲覧不可などの措置をする事を禁止。
・個人情報保護は、著作成果物も含める。
・他国企業や団体などが、日本国外の法律または信条で、日本国民の個人情報に関わる全ての事に不利益となる対応をする事を禁止。
・全ての物事に対し、クレジットカードで購入できなくするように、圧力をかける事を禁止。
課徴金並びに団体による差止請求制度及び被害回復制度について、２０２４年末までに議論する予定が示されている。中間整理では、３年ごと見直しにかかる法改正がどのようなスケジュールで行われ

11

弁護士有志

るか明確にされていないが、すでにこれまでのヒアリング（中間整理末尾参照）でこれらの制度に関する論点は相当程度示されている。上記制度及び今回の中間整理で示された事項については現状の個
人情報保護法の不備を示しており、先送りすることなく今回の法改正にできる限り是正を盛り込めるスケジュールで検討を進めるべきである。

12

匿名

少なくとも通知・確実な許可取りは必要であると考える。
生体データ・こどもについては特に守るべきデータであると考える。

3 ページ

私は情報解析分野やAI開発における企業が持つ権限の拡大によって、個人情報を取り巻く状況はここ１～２年で大幅に消費者(国民)が不利のものに変化し、悪化したものと考えております。
委員会の皆様には、この情勢を踏まえた上での適切な見直しをしていただきたいです。
まず、昨今はAI等の開発目的や、収集したデータの第三者提供・販売目的で企業がサービスの規約の改定を行っており、企業が利用・提供・販売の可能なデータの範囲・種類が以前と比較して一方的な拡大傾向にあるものと私は認識しています。これはすなわち、利用者の権利が徐々に切り崩され、企業による権利侵害が進んでいる状態ではないかと考えています。
13

匿名

一言に個人情報といっても、現在は氏名や住所がまとめられた「名簿」のようなテキストのデータよりも、人の顔写真のような、生体データ・画像データがに重きをおいた動きが見受けられます。
しかし、このような画像データの大半は無許諾で収集・利用され、「個人情報を含む可能性のある、消費者のあらゆるデータ（個人情報、生体データ、ほかのデータと組み合わせて個人を十分に特定可能な情報など）」を含むデータが、同意なく販売・r利用されている状態です。
そのようにして「法が変わっていない間に、企業が取り扱う規約上・サービス上の変化で、企業による情報の収集範囲がみだらに拡大している」ということを前提に、以下のお話をさせて頂きます。

14

個人（意見）3年ごと見直しは必ず引き続きやること。
（理由）一部団体からの意見は存在するが、技術の動向や国際潮流も踏まえて、個人の保護を適正に行いつつ、データの利活用をアジャイルに進めるためには3年ごと見直しは不可欠である。
（意見）①まずは実態把握を深化する必要がある。今回のパブリックコメントでの意見募集を出発点として、幅広く関係者からの意見提出や関係者との意見交換等を行うべきである。そうして得られた現場の知見に基づいた検討がなされるべきである。
②その際、個人情報の保護だけでなく利活用促進の観点からも検討すべきである。例えば、種々の関係者から長年きめ細かく提示されてきた、医療、防災、犯罪対策等の公益にも資するデータの利活用についての各種場面での要望も漏れなく議論の場に乗せるべきである。
③事業者の個人情報関係の対応コスト（漏洩報告、同意取得等）の合理化については、経済界の実態や要望等を十分に踏まえて議論を行う必要がある。
④検討体制については、個人情報保護委員会以外の検討の場を適宜設けることなどの対応も必要である。
⑤今回新たに提示された規律拡大の論点（生体データ、個人関連情報、こどもの個人情報等）については、まずは立法事実の明確化など精緻な議論が行われることが大前提であり、事業者に萎縮効果を及ぼすことにならないようにすることが必要である。
⑥課徴金、団体による差止請求制度や被害回復制度等については、別途議論する場を設けるとあるが、種々の意見が出されているので、丁寧かつ慎重な議論が行われることを望む。
⑦政府が掲げるデータ利活用推進の政策その他の政策との整合性を担保する必要がある。その観点から、他法令との関係や他省庁の政策との調整が行われることが担保されることも大前提であり、拙速

15

制度・規制改革学会有志

な議論でなく慎重な議論が必要である。
⑧議論に当たっては、立法事実の明確化及び目的と規制内容の均衡に係る比例原則に沿っていることが大前提であり、拙速な議論でなく慎重な議論が必要である。
（理由）①今回の報告書は、全般的な傾向として、個人情報保護の視点を絶対視し、データの利活用の重要性をあまりに軽視しているといわざるを得ない面がある。また、ひたすら個人情報保護の程度を高める
ことのみを追及し、立法事実や現場の実情を軽視する姿勢も垣間見える部分がある。
②ネットの利用環境の変化、AIの進展等を踏まえ、プライバシーや個人情報をめぐる状況も大きく変わっており、検討に当たっては、まずは実態を正確に把握することが大前提であり、把握するための体制を制度的に担保する必要がある。保護と利活用の両立の観点から、経済界や実務者からは今までも多数の意見が出されているが、そういったものを漏れなく丁寧に拾っていく必要がある。
③データの利活用は、日本の産業競争力強化として求められる必要不可欠のものであり、本年６月２１日閣議決定された「デジタル社会の実現に向けた重点計画」においても、『個人情報の保護に関する法律の目的（第１条）及び基本理念（第３条）に則し、個人情報の保護に関する基本方針等に基づいて個人の権利利益の保護と個人情報の適正かつ効果的な活用のバランスを考慮した取組を実施する。』と記述されていることなどを十分に踏まえる必要がある。
④他の法令や政策からの検討、整合性の確保が必要な場合がある。（例：AI政策やAI制度のあり方の検討、こどもの保護・健全育成に関する政策、防災政策、教育DX政策、医療データの活用などの医療・ヘルスケア政策等）。
⑤立法事実を明確化し、ルールの目的とその内容が比例原則に沿っていることは、法治国家として法律を起案する上での大前提である。

4 ページ

（意見）
いわゆる３年ごと見直しを改正ありきの儀礼化とすることのないよう、中間整理後であってもその前提となった事実関係を見直すために、消費者団体・業界団体のみならず、広く個別の個人情報取扱事業者等からの情報提供を求めるなどの実態把握を進め、精緻な議論がなされるべきであると考えます。必要に応じて性急な検討に代えて新たな検討の場を設けて対応するなど、柔軟な対応を求めます。
また、個人情報保護法の全体的な見直しも視野に入れて検討するとともに、仮に改正を行って個別の規制を新設等するのであれば、立法事実を明確化し必要性を十分に示すこと、また、必要性を前提とした比例原則に反しないように改正内容を検討すべきです。検討に当たっては、中間整理で掲げられた事項であっても、措置しないと判断することも必要があると考えます。
（理由）「個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理」において指摘されている事項は、令和２年改正、事案によっては平成27年改正の各検討時点においても同様の事案が生じていたなど、これまでの改正時との利益状況の変化が表れていない箇所が散見されます。
平成27年改正に際して、いわゆる３年ごと見直しが改正法附則に規定された趣旨は、平成15年に法律が制定され、劇的にデータ利活用環境が変容していたにもかかわらず、10年にわたって実態に即した改正がなされなかったことの反省と、急速に変化し続ける環境にそぐわない事項を改める点にあります。しかし、環境の変化がないにもかかわらず、附則が定められていることから形式的に改正作業をすることは、データ利活用環境を悪化させることにつながりかねず、改正法附則が初めて規定された当初の趣旨に反するものです。もとより、このような立法事実を欠く改正は、許容されない疑いが強いものとなります。
デジタル社会が進化し、個人情報等の取扱いが複雑化する中では、個人の権利利益が侵害されるリスクの高低も異なるなど、一般法である個人情報保護法による一律の規制によることには、おのずと限界が生じていることが疑われます。例えば、生成AIの利用においては、現状では個人のプライバシーに影響を及ぼし得るレベルにあるか疑問があるところ、形式的に個人情報保護法の各規律に対応することが要求されていますが、このような事前規制によらず、悪意を持ってバイアスを生み出す、また、バイアスが生じた結果につき悪意を持って利用することなどの問題に着目して別途規制する方法なども考えられるところです。このように、個人の権利利益が侵害されるリスクの程度と、規制の対象及びその方法の程度のバランスを図ることが肝要です。
また、個人情報保護法は、行政処分及び罰則によって各規律の実効性を担保する規制法であるところ、義務を課される客体にとって重大な影響を及ぼすものであるため、重大な影響を及ぼす改正事項の16

三浦法律事務所 具体的な検討にあたっては、立法事実を精緻化し、議論の前提とする必要があると考えます（後述のとおり、この議論の出発点となる立法事実が明らかでないにもかかわらず、改正の検討を行っている疑いがあります。）。
十分にスコープがしぼらずに安易に罰則等を強化することは、個人情報取扱事業者等の役職員において、個人情報の取扱いに係る責任ある立場に就任することに躊躇する事態を生じさせるものであり、これによって個人情報取扱事業者等における個人情報の保護と利活用のための環境が損なわれることのないよう、慎重な検討が必要であると考えます。
さらに、国際的にデータ保護に関する法制度が乱立し、グローバルに事業を展開する企業等にとってはその遵守の負担が大きい中、日本の個人情報保護法についても、適正な手続きを経て検討がされ、合理的かつ必要な規制内容となるものでなければ、国際的に考慮されない法律となっていく懸念があります。
（意見）
個人情報保護法において規律し、行政処分及び罰則によってその実効性を担保するなどすべきかを検討するに当たっては、立法事実となる事項を必要十分な程度に整理、提示する必要があると考えます。
（理由）
個人情報保護法は行政処分及び罰則によって個人情報取扱事業者等のみならず、行為者、監督責任者を罰する当事者に重大な影響を及ぼし得る規制法であるところ、規律を創設するにあたっては、本法の体系の下での規律の必要性・相当性を説明し得る必要があります。このため、具体的に規制すべき事実や、これが一般法によって広く規制するべきであること等、立法事実が明らかとされ、議論が進められることが肝要です。
「情報通信技術等の高度化に伴い、大量の個人情報を取り扱うビジネス・サービス等が生まれる一方で、プライバシーを含む個人の権利利益が侵害されるリスクが高まっている」とは具体的にこの３年で従前と比べてどのような変化があったのか、また、該当箇所の(1)以下を含めて規制の必要性を検討するための事実の適示が不十分であると考えます。

5 ページ

•本中間整理には、かなり多くの重要な論点が含まれており、特に規制強化につながる論点は、いずれも実務に大きな影響を与えるものであることから、結論を急ぐべきではなく、実態把握や影響分析をしっかりと行ったうえで、慎重に時間をかけて議論すべきである。
•３年ごとの見直しとは、３年ごとの法改正を意味するものではないため、法改正ありきの議論は避けるべきである。
•本中間整理への意見募集終了後も、ステークホルダーとの継続的な議論を行っていくというスタンスに賛成する。こどもの個人情報についてはこども家庭庁、医療情報については厚生労働省、AIについてやクレジットカードの不正利用対策でのデータ利活用については経済産業省、その他金融分野での不正利用対策でのデータ利活用については金融庁など、各分野において関係する他省庁も含めて議論
17

一般社団法人 新 する必要がある。ビジネスやサービスの実態を踏まえて利活用と保護のバランスをとるためにも、丁寧かつ密なコミュニケーションが重要である。
経済連盟•特にデータ利活用については、現状は事業者の利活用ニーズや既存法に当てはめた場合の課題を積極的に吸い上げて実現に向けて推進していく枠組みが存在していないと認識している。データ利活用を促進するための官民連携の枠組みを作り上げていくことを期待している。
•現状、個人情報保護法においては、「個人情報」「個人データ」「個人関連情報」「保有個人データ」「匿名加工情報」「仮名加工情報」等、複数の定義が並立し、取扱事業者等は、「個々の情報がどれに該当するか」「規律の何が重複し、何が違うのか」など、必要な対応の峻別・判断に苦慮しているところである。加えて、先般の改正電気通信事業法において、特定利用者情報に関する規律等も創設されるなど、一つの情報に複数のラベリングがなされている場合、管理が煩雑になり、理解もますます困難になってきている。改めて「個人データ」等の定義を整理、明確化するとともに、国民や事業者にわかりやすい内容での周知をお願いしたい。
端末などの識別子、プロファイリング、生成データ、こどもの個人情報など全て保護すべき。

18

匿名

外国、特に隣国の下請へは絶対に渡ってはいけないと考える。
今後どう分析されるか、どう悪用される可能性があるか考えの及ばない人間が問題ないと判断してはいけない大事な情報です。
今回の中間整理の存在意義が不明確である。個人情報保護委員会での検討内容がまとめたとあるが偏っている印象が否めない。

19

匿名

本意見は締切間際に作成しているため、「個人情報保護法のいわゆる３年ごと見直しに関する検討会」開催の報にも接したところであるが、まさにこの検討会のプロセスにおいて、第３段落の「本中間整理に挙げているものにとどまらず、今後提起された論点や検討項目についても(略)オープンな議論を続けていく必要があると考えている。」が実践されることを期待する。
・個人情報見直しの在り方全般について
直近数年の個人情報保護法の改正頻度は、これまでの個人的な意見としては過剰に感じていた。しかし、今般の見直しに係る検討のこれまでのプロセスを見て、一定の間隔を定めて周期的な見直しを制度化することは必要なのだと意見を変えるに至った。
いち個人としてヒアリング資料を読んだりマスメディアの報道に触れるなかで、このように意見が変わった決定的要因は、事業者サイドがなりふりかまわず規制緩和を要求する偏執的なまでの姿勢の醜さである。かかる振る舞いを見ると、定期的な見直しを既定路線としなければ、経済界は改革派を騙る議員を通して圧力をかけることをためらわないだろうと感じた次第である。

20

匿名

個人情報保護法の規制のせいで企業の競争力が制約されるというのは違和感を覚える。極端に言えば暴論であり、企業の側における責任転嫁ではないか。
ただ、何らかの形で関係者がオフィシャルに個人情報保護委員会と意見交換をする場はあっていいと考える。「意見交換の場」をめぐっては、率直な議論のためとうそぶいて発言者の名前を明記した議事録が公開されないことがありがちであるが、このような運営はすべきではない。仮に配慮するとしても、日銀の金融政策決定会合のように、暫定的には発言者の名前がわからない議事要旨を公表したうえで、一定期間の経過後に発言者名を明記した逐語の議事録を公開するなどの工夫が必要と考える。
また、今回の見直しの検討とは直接関係ないが、個人情報保護法の制定から20年が経過し、この間にデジタル化等により社会の在り方が大きく変わったことを思うと、一部改正ではなく全部改正も視野に入れた研究をすべきではないかと考える。
個人情報保護法に今以上の規制強化を望みます。

21

匿名情報化社会だからこそ悪用を防ぐことに注力し、個人関連情報を個人情報とすることや顔特徴量などの生体データやこどもの個人情報を要配慮個人情報にするべきと考えます。
特に顔特徴量などの生体データを使用した者や子供の個人情報は生成AIにより蔓延しているディープフェイクや性的な目的に使用されているためその必要性を強く感じます。
またデータを提供する個人が安心してサービスを利用できるようにするためにも個人情報取扱事業者に対する課徴金制度、団体による差止請求制度は設けるべきです。

22

匿名

端末等識別子やプロファイル情報、子どもの個人情報もEU,アメリカなどの国と同じように厳重な扱いをしていただきたいです。

6 ページ

（該当箇所）はじめに（意見）この間の情報環境の変化について、総論的な部分においても、個人情報保護委員会の認識を示すべきである。総論部分では、現状認識として、①技術の発達普及により、事業者に個人に関する情報の収集・蓄積・分析・利用（個人への働きかけ）が増大していること、②このような活動は個人情報に該当しない情報の収集・蓄積・分析により個人に働きかけるものが増えていること、③犯罪組
織や悪質な事業者により悪用されるリスクが高まっていること、④プライバシー保護や情報コントロール権の確保がより重要となっていることを、明確に記載すべきである。
（理由）令和２年（2020年）の改正以降、個人情報を巡る環境は著しく変化している。
現状認識が適切に共有されないことにより、法的解決手段、技術的解決手段の前進が妨げられることが懸念されるし、逆に現状認識が適切に共有されることにより法的解決、技術的解決が導かれること
23

個人も期待できる。個人情報保護委員会の認識を提示することは極めて重要である。
第1に、事業者に収集・蓄積される個人情報はますます増大し、AI関連技術の発達普及により、情報の分析と個人へのはたらきかけはますます精密化し得る状況となっている。プロファイリングとター
ゲティングによる個人へのはたらきかけは日常的に行われており、個人情報に関する、個人と事業者の情報格差はますます大きくなっている。
第2に、この間、個人情報ではない形による情報の収集・蓄積・分析・活用が広がっている。かかる動きには、現行法が適切に適用される必要があるが、必ずしも現行法の規制枠組みや規制対象の範囲
では、その実効性も含め十分に対応できないことが懸念される。
第３に、この間の情報技術の進展が、犯罪組織や悪質な事業者により悪用されるリスクが、以前にも増して高まっている（プロファイリングとターゲティングの犯罪利用、ダークパターン等）。
第4に、この間の変化とも相まって、プライバシーの保護や情報コントロール権の確保は重要となってきている。情報流通が国境をまたぐなか、この点は国際的にも重要となってきている。
意見内容
中間整理にあげられている各観点についてそれぞれ議論を続けていく必要があることに賛成する。しかし、各観点において社会的コンセンサスを形成するための様々なステークホルダーによるオープンな議論は課題が顕在化した際に適時に行うべきであり、3年ごと見直しのタイミングに集中的に行う必要はないと考える。

24

日本電気株式会社理由
有識者検討会（例：犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会）が1年以上の期間を必要としたことを踏まえると様々なテーマに対して3年ごと見直しのタイミングで拙速な結論を出すことは社会的コンセンサス形成の観点からも望ましくない。他方で、技術等の変化の速さを踏まえると、中間整理の各観点のように社会的コンセンサスを必要とする重要なテーマについては適切なタイミングで様々なステークホルダーによるオープンな議論を行うことで、個人情報の保護と利活用のバランスの取れた事業環境を技術等の変化に追随しながら形成することが可能となると考えるため。
意見
中間整理の位置づけについては、わが国が直面する社会課題の解決や国際的なデジタル競争力等も勘案した上で、デジタル社会やデータ利活用の在り方を俯瞰した内容とすべき。
理由
・Society 5.0 for SDG の実現には、個人の信頼を前提とした個人データの利活用が不可欠であるが、IMDによるデジタル競争力ランキング1等では日本のデジタル化やデータの利活用の遅れが露呈。経団連による調査でも、とりわけステークホルダー間のデータ連携の遅れが課題として認識されているところ。

25

一般社団法人日本 ・技術の急速な進化や複雑化する社会情勢、多様化する価値観、それに対応する新たなサービス等変化が極めて激しい状況下、個人の権利利益の保護と利活用について、全てを厳格な規制で定義するこ経済団体連合会 とには限界。
・一般法である個人情報保護法は、事前規制としての考え方が明確で全ての関係者が理解しやすい内容であるべき。新たな技術やニーズ等については、アジャイルかつ事後的な規制と適切にバランスを取るべき。
・以上を踏まえると、本中間整理の位置づけや課題認識の視座は極めて近視眼的であり、デジタル社会における個人の権利利益の保護と個人データの利活用に関する俯瞰的な規律の在り方を展望できる
内容とは言い難い。
・デジタル社会に真に求められる一般法としての個人情報保護法の在り方や個人情報保護委員会の在り方を広範に議論する土台として、中間整理を位置付けることを期待。
「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」は、急速に進展するデジタル社会において個人の権利利益の保護とデータ利活用の促進の両立を目指す上で、重要な方向性を示すものであると評価いたします。
一般社団法人26

MyDataJapan
公共政策委員会

MyDataJapanは、個人中心のデータ利活用を推進する立場から、中間整理で示された基本的な考え方に概ね賛同いたします。特に、生体データやこどもの個人情報、個人に対する連絡が可能な情報に関する保護の強化、個人の権利救済、課徴金制度の導入検討など、個人の権利利益保護に向けた検討の方向性に賛同いたします。
一方で、個人に関する情報に対する個人の権利をより一層強化し、個人中心のデータエコシステムを実現するためには、さらなる検討が必要な点も少なくありません。本意見書では、中間整理の各項目に対する具体的な意見を述べるとともに、個人の権利強化に向けた、より踏み込んだ提案を行っています。
個人情報保護委員会におかれましては、本意見書の内容を十分にご検討いただき、個人の権利利益の確実な保護と、それに基づく健全なデータ利活用の促進を両立する制度設計にお役立ていただければ
幸いです。
7 ページ

（意見）
検討は、(i)個情法の目的を明らかにし、(ii)個人データ概念、処理概念、個人情報取扱事業者概念、同意概念、根幹となる義務等のあり方を検討し、その上で、(iii)個別の追加的ルール（生体データ、児童のデータ等）やエンフォースメントのあり方について検討するという順序で行うべきである。
立案や施行のためのリソースが不足する場合、スケジュールの見直しや段階的な施行を検討すべきである。
（理由）
中間整理には、「社会的反響の大きかった事例」で何らかの形で個人情報に関連するもの（破産者マップ、特殊詐欺対策、電気事業者の事案等）、外国法にあって日本法にない規律（生体データ、児童のデータ等）、エンフォースメント、事業者の要望事項が並べられており、体系性・一貫性のある検討が欠けている。
27

個人

このことは、個情法の目的について、共通認識が形成されていないことに起因していると考えられる。法目的は立法指針となるものであり、それを欠いた状態で、義務規定のあり方を適切に議論することはできない。そして、根幹となる義務規定が適切な内容となっていない状態で個別の追加的ルールについて検討しても、外国の制度の表層的な移植にとどまってしまい、個人データ処理（現行個情法においては「個人情報」の「取扱い」）の適正化を十分に達成することはできない。また、そのような状態でエンフォースメントを充実させても、やはり個人データ処理の適正化を十分に達成することはできない。このような状態は、個情委の独立専門機関としての設置根拠や、3年ごと見直しの合理性にも関わる。
したがって、まずは法目的を明らかにし、根幹となる義務規定のあり方について検討した上で、個別の追加的ルールやエンフォースメントのあり方について検討するべきであり、リソースが不足する場
合、スケジュールを変更するか、より個情法の根幹に関わる部分を優先的に検討すべきである。
なお、個情委の委員の再任が少ないことや、事務局の大半が出向者であり、平均在籍期間が短いことが、体系的かつ一貫性のある政策形成や法執行を阻害しているとすれば、独立専門機関としての個情委や、3年ごと見直しの存在意義に関わる事態であるから、何らかの対応をすべきである。
（意見）
ガイドラインの改正、実態調査、法執行を通じ、個情法の目的である、個人データ処理（現行個情法においては「個人情報」の「取扱い」）による権利侵害の解釈を具体化すべきである。
個別の規定の立法・解釈や、法執行を行うべき案件の選択は、法目的を十分に考慮して行うべきである。
（理由）
法目的を明確にする重要性については、検討の方法に関して述べたとおりである。
個情法の目的については、行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律の制定過程において、(i)個人の秘密が公開されないこと、(ii)誤った情報・不完全な情報により誤った判断がなされないこと、(iii)自己の情報を知ることである旨の答弁がされており（第113回国会衆議院内閣委員会第7号、昭和63年10月13日）、これを参考とすることが考えられる。
ただし、(i)については、現行個情法においても、安全管理措置や第三者提供規制は（体系的に構成された）個人データのみが対象とされており、個人データ処理（現行個情法においては「個人情報」の「取扱い」）に関連しないプライバシー保護が目的とされているわけではないことに留意すべきである。
一方、(ii)は、高木主任研究員提出資料13頁第1段落にいう「個人データ処理による個人に対する評価・決定の適切性確保の利益」であり、現在検討されている生体データ処理を適正化する（すなわち、

28

個人

誤り、バイアス、萎縮効果等のリスクをコントロールする）上で特に重要である。
個別規定の立法にあたっては、整備しようとする規定がこれらの法目的をどのように促進するのかを具体的に検討すべきである（板倉弁護士提出資料13頁参照）。例えば、中間整理5頁第4段落の携帯電
話番号に関する裁判例は、法目的に関連しない。。
個別規定の解釈にあたっては、問題となっている事象には法目的との関係でどのようなリスクがあるのかを具体的に検討すべきである。例えば、別途述べるとおり、Cookieの識別性を否定するような解釈は、法目的に適合しない。。
事件選択にあたっては、有限である個情委のリソースを使用して得られる効用が最大化される、すなわち個人データ処理に起因するリスクが最小となるよう、法目的を害する程度が大きいものを優先すべきである。例えば、破産者マップ、特殊詐欺対策、電気事業者の事案等は、●●事件等と異なり、個人データ処理の適正化という観点からは個情委のリソースを投入する必要性は高くない。
なお、法目的に関して、平成27年改正以来、「個人情報の保護と利活用のバランス」という表現がなされている。個人データ処理は、有用性とリスクの双方を有しており、前者は市場によって実現されるが、後者は市場に任せるのでは十分なコントロールがなされず、結果として個人データ処理の効用が最大化されない。そこで個情法が制定されたのであるから、利用者の「バランス」は、裸の利益衡
量によってではなく、（コンプライアンスコストも考慮して）個人データ処理の効用が最大化される点に求められるべきである。

8 ページ

（意見）
弊社はリーガルテックベンチャーとして、テクノロジーによって政策立案過程の情報を直感的に分かりやすく可視化して提供し、利用者がその強みを活かして政策へのインプットを行い、Policy-Making
Lifecycleの好循環による社会の前進に貢献することをミッションとしています。
29

株式会社polisee

中間整理のパブリック・コメント終了後にステークホルダーと継続的な議論を行う際、個人情報保護委員会がスタートアップや中小企業の意見についても十分にインプットを受けて検討を行うことができるよう、今後の議論の進め方について考慮いただけるよう要望します。
（理由）
スタートアップや中小企業も日本社会・経済・イノベーションにとって重要な機能を果たしており、法律改正においてフェアなプロセスが望ましいためです。
（意見）・中間整理の論点全体について、「ステークホルダーと議論するためのオープンな場」を設けて、双方向性のある議論・対話をしていただきたい。
（理由）

30

一般社団法人 日 ・中間整理の「第１ はじめに」の最下段において、「特に、課徴金、団体による差止請求制度や被害回復制度については、事業者、個人それぞれに与える影響が
本自動車工業会 大きく、今後とも一層の意見集約作業が必要と考えられることから、ステークホルダーと議論するための場を設けつつ、令和６年（ 2024 年）末までを目途に議論を深めていく」とされている。
・一方で、「課徴金、団体による差止請求制度や被害回復制度」という論点に限らず、他の論点（特に「漏えい等報告・本人通知の在り方」）も事業者、個人に与える影響が少なくないため、論点全体について広くステークホルダーとの双方向の議論・対話をお願いしたい。
（総論）
個人情報の取り扱いが現状どのようになっているのかを明確にすることがEBPMに基づいて政策形成をしていくためには不可欠であり、その観点からコメントを申し述べる。
（御意見）
個人情報保護法第１条が「個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮」することを定め、令和２年改正法附則第10条で「個人情報を活用した新たな産業の創出及び発展の状況等を勘案し」と規定されていることに照らして、個人情報保護委員会として、具体的にどのように個人情報を活用した新たな産業の創出及び発展の状況等を捉えているのかを明確にしていただく必要がある。中間整理案については個人情報の取り扱いを巡る問題点にフォーカスされているが、適切な個人情報31

一般社団法人日本
IT団体連盟の利用を促進していく機能を担っている観点から、現行制度が適切な利用の妨げとなっているものがないかどうかも検証すべき責務があり、その責務を果たしていただきたい。「匿名加工情報」、「仮名加工情報」が具体的にどのように活用されているのか、あるいは、活用されているとまでは言えない状態にあるのか、前回の改正で追加された「個人関連情報」が個人情報を巡る規律の中でどのような役割を果たしているのか、例えば、電気通信事業法の外部送信規律との関連で十分な役割を果たせているのかどうか、EUとの十分性認定により行われている個人情報の流通の実情がどのようになっているのか、について十分な説明を頂きたい。
また、Privacy Enhancing Technologiesの発展に伴って、秘密分散などが実務的に利用可能となっていることに照らして、改めて「匿名加工情報」の定義を見直す必要性についてどのように考えているのかを明らかにされたい。
個人情報保護法の見直しは、多くの事業者および消費者への影響があり得ることから、プロセスの透明化を一層推進するために、例えば3年ごと見直しに関する委員会については公開で開催するなどの対応が必要ではないか。
意見内容：

32

全国銀行個人情報 個人情報保護法のいわゆる３年ごと見直しは、改正法附則第10条により、当初から明らかであることから、次回改正までの全体的なスケジュール感（３年間のグランドスケジュール）を前広にご提示い
ただきたい。

保護協議会

これにより、認定個人情報保護団体としても、会員等からの意見募集や現行法制における実務上の課題等の洗い出し、改善提案等、計画性をもって対応できるものと考える。
33

34

一般社団法人

全国銀行協会
一般社団法人命保険協会

意見内容：
法改正の内容によっては、個人情報取扱事業者において相応のシステム開発が必要になる可能性がある（例えば、生体データやこどもの個人情報に対する利用停止権の厳格化への対応等）。改正内容の決定にあたっては、個人情報取扱事業者が法施行までにシステム対応（シス+G332テム開発やその準備）に要する時間を十分確保できるよう配慮いただきたい。

生〇意見・今般の中間整理で示されている論点はいずれも事業者の実務に大きくかかわるものであり、仮に法令等の改正を行う場合には、システム対応等のため相応の準備期間が必要となると考えられる。ついては、法律の公布から施行までに十分な準備期間を設定いただきたい。
9 ページ

第２ 個別検討事項

１ 個人の権利利益のより実質的な保護の在り方(1)個人情報等の適正な取扱いに関する規律の在り方
No.

ア 要保護性の高い個人情報の取扱いについて（生体データ）

提出者

提出意見
現状は生体データ（画像ではなく顔、体の特徴などが数値化されたデータを含む）は個人情報（匿名加工情報含等）として扱うように規定があります。もちろんこのデータが誰のものなのかを瞬時に紐づけることは不可能でありますが、長期にわたり識別することで個人を特定できる可能性があります。
しかしながら現在の技術ではいくつかの方法でこのリスクを排除することが可能です。
例１）取得した生体データを一定期間で自動消去することが可能なプログラムを有したソフトウェアがあります。小売店などでは防犯目的で取得したデータを一定期間で消去しています。
例２) ネットワークのアーキテクチャーがHTTPからWeb3.0の技術へ進化をしている中で、既存データのWeb2.0中央集権管理（クラウドに重要データを置くなど）から、データを断片化し、暗号化をCasley Deep
35

かけ、Peer to PeerのWeb3.0分散管理（分散コンピューティング）とブロックチェーン技術を使い、ハッシュ値による真実性証明、耐改ざん性、耐検閲性、データのハッキング（不正アクセス）など

Innovations 株式 による不可逆性を高めた技術があります。限られた管理者しかデータにアクセスができないといったことが可能になります。現在一部の県警察で利用が始まっています。
会社
顔認証などは犯罪防止、抑止には有効な手段ですので、ある一定条件下で利用が認められていると認識していますが、一般の人々はまだ気持ちが悪い、といった感情的な部分から拒否反応があるのも事実です。今後生体認証で支払いや、マイナンバー利用、交通機関への乗車、チケット購入（ダフ屋排除）など利用シーンは広がり、私たちの生活はますます便利になります。
例２）にような、非常にセキュリティが高いシステムにデータが保存されることが明確な場合には、個人情報の対象から外していただくような特例があると、より安心安全な社会実装が可能となります。
事例として書かれている「破産者マップ事件

2019年」など、プライバシーを含む個人の権利利益が侵害されたものを示すにはネタが古すぎる。●●事案や●●事案などを示さずに、破産者マップ事

案を示すことで特定の事業者に配慮した背景は分からなくもないが、序文に示すネタが古すぎることで、それ以降のものが国民の視線とズレているように思われても仕方ない。
(1)個人情報等の適切な取扱いに関する規律の在り方
・要保護性の高い個人情報の取扱いについて（生体データ）
・生体データは、長期にわたり特定の個人を追跡することに利用できる（本人は容易には変更できない）等の特徴があり、通常の個人情報と比較して個人の権利利益に与える影響が大きく、保護の必要性が高いという考えに賛同する。
その上で、「要保護性の高い個人情報」と「要配慮個人情報」の違いを明確に示した上での議論が必要である。
「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
株式会社シー36「要保護性個人情報」なるものは、「要配慮個人情報」のように「本人に対する不当な差別、偏見その他の不利益が生じる可能性」は無いものの、「長期にわたり特定の個人を追跡することに利用できる（本人は容易には変更できない）等の特徴を持つ情報」ということであるのであれば、そのようなものは「生体データ」以外には存在しないのかを精査すべきである。
ピーデザインコン ・生体データは、本人と直系家族では一致する部分が大きい。その上で、「要保護性個人情報」なるものは、どこまで、「そのデータがユニークであること」を求めるのか検討すべきである。
サルティング

次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するものイ

細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列

ロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌

ハ

虹彩の表面の起伏により形成される線状の模様

ニ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化

ホ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様

ヘ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状

ト

指紋又は掌紋10 ページ

意見・生体データを原則として要配慮個人情報とすることに賛成です。
公益社団法人37

理由

全国消費生活相 ・現行法では、顔特徴データ、声紋、歩容等の生体データは個人情報であるに留まり、その取得に同意を要する要配慮個人情報とはされていません。しかし顔認識カメラの使用の現実を見れば、個人談員協会の行動を長期かつ広範囲に捕捉することが容易に可能であるなど、生体データについては、プライバシーを含む個人の権利利益の保護が侵害されるリスクが想定を超えて高まっており、迅速な対応が必要とされます。国際的にも生体データはセンシティブデータである国が大勢を占めグローバルスタンダードとなっています。
少なくとも、生体データの一定事項を本人通知・周知することを前提に本人による利用停止をより柔軟に可能とすることは必須と考えます。
（意見）
顔特徴データ、声紋、歩容等の生体データは、要配慮個人情報」としてその取得には原則として本人の同意を要することとし、公益的見地から一定の例外を設けるのが妥当である。したがって、

38

個人

行政による生体データの扱いも同時に検討すべきである。
（理由）
生体データは、高い精度で個人の行動を検知・追跡することができるから。
2：2-(1)ア 要保護性の高い個人情報の取扱いについて(生体データ)への意見「生体データ」(3項)は、本人の身体、身体的特徴、人間として生きる中で生じる感情や反応等、身体的・行動学的・心理学的特性をデータ処理したもので、身体、身体的特徴、感情や反応等、身体的・行動学的・心理学的特性それ自体は本人の所有物であるという前提に基づいて意見する。
・「認証」と「識別」の区別と、生体データを用いた「識別」の禁止
まず、生体データを用いた認証と、ある目的のために、生体データを用いて個人を識別する場合では、質が異なり区別が必要である。個人識別符号について「現行法上、政令第1条第1号に規定する身体の特徴のいずれかを電子計算機の用に供するために変換した符号のうち、本人を認証することができるようにしたもの...」(3項)と説明があるように、入退室、出入国、ATM操作、ログイン等、本人が「電子計算機の用に供するため」(3頁)という利用目的を理解し、生体データを用いない代替手段があるという選択肢も確保された上で、生体データの登録に明確な同意がある「認証」は、現行法上認められている。この「認証」に用いる生体データは、認証以外の利用の禁止と、サービスを終了する意思を示した後消去することの厳守が求められる。しかし、「犯罪予防や安全確保等」(3頁)
といった、ある目的のために生体データを用いて個人を識別することは、法の支配すなわち憲法と、自由と民主主義を擁護する観点から認められていないのではないか。なぜなら、日本国憲法第35条

39-1

個人

1項で「何人も、その住居、書類及び所持品について、侵入、捜索及び押収を受けることのない権利は、第三十三条の場合を除いては、正当な理由に基づいて発せられ、且つ捜索する場所および押収する物を明示する令状がなければ、侵されない。」と規定されており、本来、無制限に生体情報をデータ化し識別することはできないことになっている。憲法及び個別法の規定に基づき、手続きに則れば公的機関には権限はある。しかし、民間にはない。また、権限のある公的機関であっても、常時かつ正当な理由なく漠然と行うことはできない(日本国憲法第31、33条、35条、警察官職務執行法
第1条2項)。また、憲法第18条で「何人も、いかなる奴隷的拘束も受けない。又、犯罪に因る処罰の場合を除いては、その意に反する苦役に服させられない。」と規定されていることを踏まえると、
生体データや法第3条の「個人の人格」の根幹にかかわる情報(例、私生活、健康状態等)は、みだりにデータ化されない権利があると同時に、データ化され企業に占有されるものではないといえる。
この方向性は、EUが2024年7月12日付官報で公表した、いわゆる「AI法」(An official website of the European Union, official journal L series daily view,12 July 2024,2024/1689, https://eurlex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202401689 .以降引用及び参照する場合はAI法と表記する)で、より強固に示されている。
妥当性、正確性、透明性、責任に関する議論もできるが、対象者を識別するということは、対象者以外の人々も識別されるのであり、憲法上の規定からみてもバランスが取れていないのではないか。
特に、偏見や差別、誤ったデータに基づく個人への評価・決定を下すことそれ自体が公益を害する。個人に関する情報の深度を問わず、野放図な取得・識別・データのみに基づく評価・決定をすることを許す状況は、立法の不作為になり得るのではないか。

11 ページ・いわゆる「AI法」(2024/1689)との関係
いわゆる「AI法」は、2024年8月に発効された後、113条に基づいて、段階的に適用される。まず、一般規定を定めたChapter1と、禁止されるAIシステムの使用を規定したChapter2を2025年2月から適用する。今回の中間整理を踏まえ関連性のある部分を、AI法5条1項(Chapter2)を参照し意訳した幾つか示すと、顔識別データベースを作成又は拡張するために、顔画像を、インターネットや監視カ
メラ(日本での防犯カメラ)の映像から、無差別にスクレイピングすること(AI法5条1(e))、犯罪予防を目的にした、自然人のプロファイリング又は人格的特徴及び特性の評価のみに基づいてリスク予測すること(AI法5条1(d))、職場や学校などの教育現場での感情の推測(AI法5条1(f))等があり、これらは禁止される。日本では、公共空間というと、公的機関によって運用されている空間をイメージする人が多いと推察するが、AI法における公共空間は、関係者以外立ち入り禁止等の明示や社会通念上そうでないと理解されている場合を除き、不特定多数の人がアクセスできる空間を指し、店舗、レス
トラン、カフェや、銀行、病院、交通機関、公道、広場や公園、映画館等私有空間も含まれる(AI法前文(19))。AI法を踏まえて、個人情報保護法においても、みだりにデータ化されない自由と基本的人権を保護する方向に舵を切っていただきたい。
・GDPRとの関係
39-2

個人

GDPRに目を向けると、GDPRでは、そもそも2条2項(c)で「自然人によって純粋に私的な行為又は家庭内の行為の過程において行われる場合。」は、GDPRの適用外であり、9条1項では「人種的若し
くは民族的な出自、政治的な意見、宗教上若しくは思想上の信条、又は、労働組合への加入を明らかにする個人データの取扱い、並びに、遺伝子データ、自然人を一意に識別することを目的とする生体データ、健康に関するデータ、又は、自然人の性生活若しくは性的指向に関するデータの取扱いは、禁止される。」と規定している(個人情報保護委員会「GDPR 仮日本語訳」,
https://www.ppc.go.jp/files/pdf/gdpr-provisions-ja.pdf.) 。GDPR2条2項(c)及び9条1項の規定は、日本国憲法第13条、14条1項、19条、20条、21条、25条、28条に関連する。GDPR9条2項で除外規定があるものの、別途規定が存在することを想起させる文言になっている。また、除外規定に該当しても、基本権の保護 (GDPR9条2項(b)(g)(j)) が求められている。
個人情報保護法は、2023年4月3日にGDPRとの十分性認定の継続の決定がなされており(個人情報保護委員会「日EU・日英間のデータ越境移転」
https://www.ppc.go.jp/enforcement/cooperation/cooperation/sougoninshou/.)、上記した日本国憲法の各条文と、法3条の規定を踏まえると、本人の基本権侵害につながるデータ処理をしない生体データに関する規律は必要である。
・「適正な取扱い」(法3条)、「不適正な利用の禁止」(法19条)
法19条「個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。」と法3条は相互に関連性がある。法19条に抵触する事案についての法執行が妥当であれば、法秩序と社会的信頼に寄与し、適切に取組んでいる個人情報取扱事業者へのインセンティブにもなるであろう。
現在の日本では、生体認証つまり顔認証登録を不正に行われすぎています。
犯罪等を犯していないのに、●●などの宗教団体による勝手な感情や報復や利権利用のために、罪など犯さないごく普通の真面目な一般人を数千人、数万人と警察に登録させています。
また、車についてはGPS情報も勝手に取得され、車での移動も把握されています。
それ故、顔認証登録をされた一般人は、またGPS情報を把握されてしまった車は、あらゆる場所でいわれの無い監視をされ続けています。

40

匿名

その宗教団体による付き纏いや嫌がらせや監視もあり、その被害者は社会全体からいじめを受けているような状況下で苦しんでいます。
SNSのXなどで、被害者が多数投稿している事実があります。
日本に個人情報保護など本当にあるのでしょうか？それ自体さえも疑いたくなるような苦しみを持って生活している日本人が何万人といることを知ってください。
そして、欧米諸国のように、罪を犯したことも無い一般人の顔認証登録の撤廃を強く希望いたします。
心よりよろしくお願い申し上げます。
・生体データの取扱い規律について
そもそも具体的にどのようなデータが本規律の「生体データ」あたるのかを明確にしていただきたい。なぜならば、「生体データ」の定義次第では、たとえば家電を操作・調整するためには必ずしも個人を特定する粒度である必要がない人感センサー等のデータも本規律の対象となる可能性があり、そうなると事業者側に課せられる実務上の負担が過度に大きくなる懸念があるためである。市場で使用されているデータ収集のもととなるセンサーの精度はその目的に応じて様々であること等、既知の事実関係等や事業者側の負担等を十分に考慮の上で、規律の内容を慎重に検討していただきた

41

個人

い。
「生体データ」の利用については「本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とすることが考えられる」とあるが、具体的にどのレベルでの対応が必要になるのか明確にされたい。なぜならば、特段の違反行為等がない場合にも一律このような利用停止措置が拡充されることにより、サービス品質の維持・改善等、事業者側の「生体データ」の利用目的が適正なものであったとしても、実務上の負担が過剰になり、結果としてサービスの提供やビジネスの展開自体を取りやめる等の悪影響が発生することが懸念されるためである。
「生体データ」の利用目的をどの程度まで特定すべきかについて、具体的なガイドラインが必要と考える。「どのようなサービスやプロジェクトに利用するかを含めた形で利用目的を特定すること」とされていますが、これを実現するための具体的な方法や事例を示していただきたい。

12 ページ

【意見】「生体データ」については、本人の認識の有無にかかわらず、取得された情報が目的外に使用される可能性があります。個人の権利利益の保護の観点から、本人の同意や利用目的を特定する必要があると考えます。
42

全国消費者団体 【理由】
連絡会

いわゆる「防犯カメラ」やデジタル化されたデータなど、本人の意思とは無関係に情報が取得され、取得された情報の中には、要配慮個人情報が含まれる場合もありうることから、生体データの取得や取扱いの制限を強化する必要があります。
更に、取得された後のデータについても、データを取得された本人の希望により削除や利用停止できるようにする必要があります。
○意見内容
生体データに関しては、まずは現行の規律で不十分な点があるのかどうかを厳密に評価するべきです。その上で、もし不十分な点があるならば、法改正によって新たな規定を設けたり要配慮個人情報に分類するのではなく、ガイドラインやQ&A で生体データに関する規律の明確化を行うべきと考えます。具体的には、様々な生体データのユースケース（識別用途、認証用途等）についてリスクの分析を行い、もし現行の規律や事業者の自主的な取組で対処できないようなリスクがあった場合には、ガイドライン通則編またはQ＆A で追加的な対策について記載するとともに、対象となる生体データの定義を明確化するべきと考えます。

43

電子情報技術産 ○理由
業協会①生体データ（顔特徴データ）については既に、個人情報保護委員会の「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」（2023 年3 月）や経済産業省・総務省の「カメラ画像利活用ガイドブックver3.0」（2022 年3 月）で整理がなされており、事業者はこれらの指針に準拠して生体データ（顔特徴データ）を取り扱っているところであるが、これらの公表時点から日本の社会環境・技術環境は大きく変わっていないため。
②「諸外国における法制度なども参考にしつつ」とあるが、背景となる社会環境は各国で異なるため、諸外国に法制度があるから日本も法規制をするという必然性はないため。
③第1 回目の日EU 相互十分性認定レビュー（2023 年4 月完了）においても、欧州委員会や欧州データ保護会議（EDPB）から現行の個人情報保護法における生体データの扱いに関して（規定が不十分等の）指摘を受けていないため。
（意見）

44

日本マイクロソ
フト株式会社

マイクロソフトは、個人情報保護委員会が、生体データ保護について、その機微性と重要性を認識していることを歓迎します。そして、「本人関与や安全管理措置等を通じた個人の権利利益の保護とのバランスを踏まえ」ることが重要であることに同意します。当社は、利用者が自身の個人データのコントロールにおいて高いレベルの柔軟性を有することが適切であると考えます。
また、個人情報保護委員会が、生体データを「本人を認証することができるようにした」データとして定義し続けることは極めて重要です。本定義は、生体の定義に写真などの個人情報を含めるといった生体の定義の過度な拡大を行うことなく、適切な保護を確保するために極めて重要です。
（意見）
生体データについて、GDPRのように原則収集禁止としたうえで例外規定を定める考え方を導入し、個人の権利保護の強化を図るべきである。

45

全大阪消費者団
体連絡会（理由）
中間整理も指摘するように、生体データは保護の必要性が高い個人情報である。例えば欧州評議会では公共空間における顔認証システムの利用について公権力、民間部門ともに禁止している。
例外的に利用を認める場合にも、厳格な運用条件等を課して個人情報保護委員会の監視下に置くなどの規制強化が必須で、明確な本人同意や利用目的の特定、本人意思による削除や利用停止などを要件化すべきである。
■個人の権利利益のより実質的な保護(1)個人情報等の適正な取扱いに関する規律の在り方
ア）要保護性の高い個人情報の取扱いについて（生体データ）46

匿名

・近年の生体データ利活用の現状およびそれにより本人に与えられる影響の大きさを鑑みると、生体データの利活用にあたってはより利用目的を具体化し、本人の権利利益を保護していくという姿勢については賛成する。
一方、生体データは携帯電話端末の認証やカードキーの代わりなど、単に認証目的として取得・利用している事も多く、このような場合においても、今回の論点である利活用と同等の対応を取る事（利用目的をすべて特定する事や同意を必要とすること、現行よりも利用停止における事業者側の対応を厳しくするなど）は事業者に対して過剰な負荷をかけるものでは無いかと考えており、この点については考慮頂きたい
13 ページ【意見内容】「事後的な利用停止を柔軟に可能とすること」について、シッティングサービスにおける見守りカメラの利活用において、シッターへの教育・研修の充実を図るための利用及びその有用性について考慮して検討していただきたい。
【理由】
追尾型の見守りカメラにより録画されたデータは、対象となるお子さまの生体データに該当する可能性があると思われますが、シッターのマッチング・派遣サービスの提供会社の利用目的として、居宅訪問型保育で個々の保育実施におけるお子さまの安全担保のほか、シッターへの個別の教育や保育の安全指導への活用も考えられます。お子さまの安全を担保するシッターへの教育・研修を充実さ
47

株式会社

キッ

ズライン

せるには、一定見守りカメラによる録画データを活用するニーズ・有用性も高い一方で、利用停止の幅が広がることでそうした活用の機会が狭められることも考えられるためです。
【意見内容】
見守りカメラの映像に関する第三者提供の場合における包括的な同意取得の在り方について検討していただきたい。
【理由】
保育中の事故が発生した場合には、事業者は行政への報告対応を行うことになりますが、その際に家庭で設置される見守りカメラの映像を提出する場合があります。そういった場面で個別の同意取得を要するとなると、迅速な報告対応に支障が出ることが考えられます。そのため、見守りカメラにより録画した動画の第三者提供に関し、プライバシーポリシーなどによる包括的な同意取得の在り方の定めなど、運用の負担を踏まえた規律が必要になると考えております。

意見
各報道にもあるように顔認証システムやその他個人識別システムの乱用で本人の知らぬ間に無実の人間が犯罪者として登録されその情報は全国に共有されている上で上げた通りに被害が拡散的に多発ししかも被害者本人はこのようなシステムの存在とその乱用を知らなければなかなか分からないと考えられる
そしてシステム運営者は登録者への通知の義務がないため事実上野放しになっているのが現状である。これは大問題と考えるので是正していただきたい
理由
まず報道ソースの1つとしてhttps://cyzowoman.jp/2021/10/post_361183_1.html （サイゾーウーマンより引用）を上げる
48

個人

上で上げた顔認証システムの乱用の内部告発記事である
このように現状はひどいものである。もちろん中には本物の万引き犯もいるのかもしれないがそのような場合でさえ裁判所を通さずに登録しているので少なくとも法治国家日本に於いては正当なものとは呼べないだろう
また2014年NHKクローズアップ現代での報道では万引き犯でもなんでもない犯罪でもなんでもないものでさえ登録されているとのことであった
各施設を訪れいきなりアラート発報すれば店員なり警備員なりが当然犯罪者として対応するだろう。こんないい加減な運用する人たちだから何をするかさえわからない
これは消費者保護の観点からも問題だしそれどころか人権問題とも考えられる
無実の人間が一部の人間に勝手に犯罪者とされ全国拡散更に本人に通知さえしないというのはありえない。該当箇所でもあるように現状はすべて泣き寝入りである
個人情報委員会はどう考えているのか？今になっても是正されていないところを見ると個人情報保護委員会は問題がないと考えていると見られてもしょうがないのではないか？

14 ページ

意見
出所者や仮出所者は法が裁くものでありそこに民間企業が立ち入るものではない
ましてや不審者というのはそもそも法に触れてはいないしそれはシステム運営の勝手な判断に過ぎない。というより大きなお世話
これではシステム運営者が怪しいと判断したらどんな人間でも至るところで不審者マークされることになる
理由
これは恐らく●●や●●の報道だったと思うのだが各報道を総合的に判断すると大手だけではなく中小も含めそれらが互いに共有しあって人が多く集まる交通拠点に限らず様々なところで似たような
49

個人ことが起きていると思われる
新宿駅や東京駅のようなところだけでなく田舎のあぜ道でも監視対象になりえるのではないか？
つまりシステム運営者が不審者と判断すればどんな人間でもどこでも捕捉監視できるシステムである
その人物が警備システム対象の店や施設に入ったら自動的に犯罪者としてあつかわれることになるのだがこれは私刑ではないか？
出所者仮出所者についても私刑は禁じられてるはずでありこれを堂々と●●のような大手企業が行っていたことが信じられない
自分もこの報道を見たのだが確か記事には続きがあって●●はこのシステムを運用するにあたって個人情報保護委員会に確認を取ったということであった
つまり個人情報保護委員会としては問題ないというお墨付きを与えたわけであり今になって社会的反響が大きかった事例として取り上げているのにはちょっと混乱させられるが何にしてもこれが問題だと認識してくれたのなら早く是正すべきである
生体データを含む個人情報等の取扱いについて、利用目的を本人に対し通知又は十分に周知し許諾を求める事、本人による事後的な利用停止を行える事が重要であると思います。
昨今、人工知能（AI）モデルのトレーニングにユーザーの個人データを使用するために、横柄としか言いようがない規約変更を行う大手IT企業などが見受けられます。
例として、メタのフェイスブックやインスタグラムにおいて人工知能（AI）のトレーニングにユーザーデータを使用する新たなプライバシーポリシーは物議を醸し国によっては抗議しいる国もあります。((1)(2)ニュース記事より)個人情報をオプトアウトするリクエストが可能のようですが、写真や動画といったデータは一般データ保護規則(GDPR)があるE.U.などからだとオプトアウトはできるようですがそれ以外の、日本からではオプトアウトは難しい状況にあります。((3)ニュース記事より)許諾を求めるのではなく、規約の変更と言った強引な方法で個人情報の収集を行う様は目を疑いますが、それに対する本邦の動きがないことも腹立たしく各国で自国民の個人情報、プライバシーを守る動きを見せる中、動きの非常に鈍い本邦は危機感を持つべきだと考えます。
宮内庁が公式インスタグラムを開設したと記憶していますが、皇室の方々の写真など個人情報が保護できているのか、甚だ疑問です。

50

個人

また生成AIが社会の基盤となり得るという考え方は甚だ疑問であり、安易な例外規定設ける事は危険であると考えます。
安易な例外規定設ける事は自分のデータを誰が持っていて、どのように使われているかを知ることをできない状態を形成する懸念や個人に関する膨大な量のパーソナルデータを収集し、それを詐欺に利用するといったリスクをAIが加速させる恐れなどが考えられます。
個人情報の保護が海外から見劣りする現状において、事業者の自主的な取組ではなく、実効性ある規律を早急に設けることがに必要だと考えます。
(1)Forbes:メタが「AIの訓練」に個人データを使用する計画、英国でも問題化
https://forbesjapan.com/articles/detail/72439(2)Reuters:米メタ、ブラジルで生成ＡＩツール停止

データ収集巡り政府が懸念

https://jp.reuters.com/business/technology/PAPVFWTQHBLELFEBP5LBMSINUE-2024-07-18/(3)Fast Company:Instagram is training AI on your data. It’s nearly impossible to opt out(インスタグラムはあなたのデータでAIを訓練している、オプトアウトはほぼ不可能)
https://www.fastcompany.com/91132854/instagram-training-ai-on-your-data-its-nearly-impossible-to-opt-out

51

個人

・個人を識別可能な生体データについては日本でもセンシティブデータとし、原則本人の同意必須や本人によるオプトアウト権を認める等の取扱い法令を敷いてほしい。
これは事業者の自主的な取り組みなどではなく、明確な法規制が必要。

15 ページ

意見

人間の肖像、外観、声、絵柄、場合によっては筆跡などは生体データとして保護すべきです。

理由

人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データとして、または、生体データと同様な保護が求められます。

生成AIの登場により、デジタルデータの情報処理によって個人識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
また生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは特定の個人と紐付けられることで被害が52

個人拡大し深刻化するもので、個人を識別できる何らかのデータへのアクセスがあります。
ディープフェイクはデータ元の方の生活や活動を妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
特に、子どもの肖像（写真）、声優の声やイラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
（意見）
私たちは、現行の法律を見直すにあたり、使用される用語の定義に慎重になることを求めます。個情委は、特定の個人を一意に識別するために使用されるデータに対してのみ、高度な義務を課すべきだと考えます。実際に、個情委が中間とりまとめの中でも指摘しているように、世界の多くの法律では、「生体データ」や「生体情報」という用語は、特定の個人を一意に識別する目的で使用される
データと定義しています。
しかし、個情委は「生体データ」という用語がより広い意味を持つと仮定しているようです。特に、「生体データの取り扱い」を示す例のうち、2つは実際には個人を識別するために身体に関するデータを用いるものではありません。一つ目と三つ目の例は、個人を識別することなく、単に人の流れや動きを分析するものです。一方、二つ目の例は、個人を一意に識別することを含むようです。
これらはリスクプロファイルの点で全く異なります。個情委がこれら異なる種類の使用を同一視し、「生体データ」という同じカテゴリーにまとめてしまうことにより、最も懸念されるべきリスクは何か、また、世界中の現行の法律がどのような保護を提供しているかについての混乱を招くリスクがあります。私たちは、個情委に対して、「生体データ」という用語を特定の個人を一意に識別するために使用されるデータを指す場合にのみ使用することを提案します。身体に関するデータの他のすべての使用については、「身体に基づくデータ」という用語を使用することを提案します。身体に基づくデータの使用に関連する最も懸念されるリスクは、特に公共の場で、時間をかけて個人を広範囲に追跡または監視するために使用された場合に生じるという点であると個情委は指摘したことに

53-1

Asia Internet
Coalition Japan

私たちは同意します。重要なことは、このような情報の用い方には、特定の個人を一意に識別することを含むということです。すなわち、ある実生活においてアイデンティティを持つある特定の人物がある時点において、ある場所にいて、その後その同じ人物が別の時点で別の場所にいることを特定する場合を含むということです。したがって、個情委が新たな保護を導入する場合、「生体デー
タ」という用語を「特定の個人を一意に識別するために使用されるデータ」と定義することが適当であると考えます。
身体に関するデータは、個人を識別せず、様々なサービス等に有益なかたちで使用されることがあります。「生体データ」を上記のように定義しない場合には、低リスクにとどまる有用な情報の活用までも不用意に制限してしまうことになります。有用な情報の活用とは、例えば、身体に関するデータは、仮想現実でのアバターのアニメーションに用いられたり、映画の3Dレンダリングの有効化といった新しいエンターテイメント体験を提供するためによく使用されていることをいいます。また、身体に関するデータは、運転手が疲労しているか注意を払っていないかを検出する車のシステムなど、重要な製品安全機能にも使用されます。障害者コミュニティも、音声からテキストへの翻訳技術など、身体に関するデータを使用する技術に依存しています。また、ほぼ20年前から存在するカメ
ラでさえ、フレーム内の顔が笑っているかどうかを判断する顔検出技術を使用しています。これらの有益な技術のいずれも、個人を識別するために身体に関するデータを使用していませんし、「生体データ」という定義には含まれるべきではありません。
個情委が「生体データ」を個人を一意に識別する目的で使用されるデータと定義する場合、私たちは個人にその生体データが使用される具体的な目的を通知することを要求していることを支持します。また、個人が自分の生体データの使用を一時停止することを許可する要件も支持します。一方、個情委が考慮すべきいくつかの重要な留保事項があると思います。まず、生体データの使用を一時停止する能力は、以下のような場合には適用するべきではないと考えます。

16 ページー個人が要求する製品またはサービスを提供するために合理的に必要な場合。
ー セキュリティ上の脅威、個人情報の盗難、詐欺、インテグリティに対する脅威、嫌がらせ、または同様の脅威から保護することを目的としている場合、ー他の法的義務、プロセス、調査に従うために合理的に必要な場合。
これらの場合は、身体に関するデータを用いて個人を識別することが、重要な公共の利益に資している若しくは個人がすでに用いされることを認識している又はそのことを合理的に予見しているしているため、プライバシーリスクは低いと言えます。
次に、本人が自分の生体データの使用を一時停止することを要求した場合、対応者にはその要求に従うための柔軟で合理的な時間が確保されるべきです。生体データを使用する多くの技術システムは非常に複雑であり、一人のデータの使用を停止することは単純な作業ではありません。したがって、組織は技術的に合理的な時間枠内で要求に従うことが認められるべきであり、過度に短い猶予時間しか認められないようなことは避けられるべきです。
身体に基づくデータが個人を識別するために使用される場合に最も切迫したリスクが生じることとなります。このリスクに対処する必要がありますが、その場合にも、個人を識別しない技術の革新が不当に妨げられないようにすることが肝要です。そのためには、適切なバランスに配慮し、
個情委が上記の提案を制度作りに反映させることが極めて重要です。
53-2

Asia Internet
Coalition Japan

最後に、生体データを処理する際、何らかの義務を負うこととなるデータ管理者を考えるに当たり、どのような条件を備える者を対象とするのか、また生体データの利用目的ごとにもたらされる影響が異なることを踏まえ、その処理の目的の違いなどに配慮するという「必要性原則」を考慮することが必要です。
これは、生体データを処理する目的の違いに着目し、データ処理に係るルールの必要性を考慮する一種のバランステストといえます。また、こうしたことは、一般的に、データ最小化、比例性、および「公正かつ妥当性」に関する概念を含む他のグローバルなプライバシー法制と一致するものです。
また、現状でも、個人情報・個人データ・保有個人データ・要配慮個人データ・個人識別符号・個人関連情報・仮名加工情報・匿名加工情報などと、情報の類型が多数存在し、理解が難しく、コンプ
ライアンスが困難になっています。新たな類型を作ることは控えられるべきです。
現在出ているカメラ画像利活用に関するガイドブックの改定やQ＆Aの補記、追加といった形で、具体的に懸念されるケースの対応策を提示しつつ、民間の自主性に任せた運用を促進する方策が検討されることを望みます。
さらに、生体データを使った認証について。現在、サーバ側でデータを保存・認証する場合は、セキュリティリスクも高いため業界では慎重に扱われています。しかしながら、こうしたことは、
FIDO/パスキーのように端末内で安全に管理され、外部に出る事がない前提の運用がされています。このようなプライバシー配慮型の技術は主流となっており、、こうしたことはしっかりと区別して評価されるべきです。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。

（意見）
54

サステナビリティ消費者会議・個人の権利利益の保護の方法について、「本人関与」「安全管理措置」については実態上の実効性も考慮したうえでの方法も検討が必要。
・「本人の関与」や「安全管理措置」についての個人への影響を調査する必要がある。
（理由）
現在の提示されている内容では個人の権利利益の保護が形式的なものになりかねないと懸念を感じる。

17 ページ

（意見）自署した氏名サインはセンシティブデータ同等の扱いをする必要がある（理由）
欧米では日本の実印と同等の効力を持つものとして自署氏名サインが扱われています。
55

匿名

いま日本では、サービス申し込みの際などに自署した氏名サインをデジタルデータにして社内システム上で各種個人情報と紐づけているケースが多いです。
自署サインについては、いまは宅配の受け取りにあたってスマホ画面に指でサインを入力させるなど、とても扱いが軽く、いったん取得した情報安全管理措置も不安な点が多いです。（そもそもタッ
チパネルに指でサインをすると指紋も取られてしまうのではないかと思います）
流出など起これば、悪意のある第三者によるなりすまし、高度なセキュリティシステムにアクセスが可能になるケースが考えられます。
有効な本人認証手段となる可能性を秘めたデータですが、雑な扱いが続けば、ふいにしてしまうと思います。
より安全で健全な社会のデジタル化絵を進めるうえで非常に重要で機微なデータだと思いますので、欧米のセンシティブデータの扱いと同等の保護が日本でも必要と考えます。
前文
・昨今は、どの企業の社員でも金銭目的で名簿屋に個人情報を売ってしまうのは防げないものとして考えるべきである、これについては何件も被害があり共通で使用しているものを特定しなくてはい
けなく、現実的に個人情報の聞き取り調査はほぼ不可能と思われる。
先日の検察庁ホームページを真似した偽ページ等の電話やＬＩＮＥでの詐欺の件もあり、公官庁で請求の際の書類無しの場合がほぼあり得ないことを周知した方が早いと考えられる。仮に対策として書類が送られてきた場合に物品証拠を得る方が特定には多少であるがつながりやすいと考えられる。

56

個人（１）個人情報等の適正な取扱いに関する規律の在り方
ア 、要保護性の高い個人情報の取扱いについて（生体データ）
・犯罪歴があろうが即座の顔認証は行われるべきでは無い。罪を償った前提条件が抜けてしまう。
仮にＡＩカメラ等の統計を行う前提としても、性別、だいたいの年代まででとどめるべきであり、同意の無い収集が行われる状況で個人を特定してしまうならば、個人の自由を奪う結果につながる。何も法を犯さなければ一般市民の域を出ない事は当然であり、同じ所を移動しているなどの不審な行動がみられるならば管理者や警備が目視で確認し初めて移動追跡としてマークされるべきである。その機能を備える事は許されるが、人間の判断により機能の使用について認可を得るべきである。
その他の認証手段としての指紋、顔、静脈認証などは、他の機関との共有はなられるべきでなく、登録者が個別に登録してある場所は個々個別に本人が知りうる中で登録されるべきである。
（意見）
生体データも要配慮個人情報に含め、その取得には本人同意を必要とすべきである。

57

個人

（理由）
個人情報のなかでも生体データの要保護性は高いと考えられるから、自己情報コントロール権（情報自己決定権、憲法13条）の観点からは、生体データについても要配慮個人情報（個情法２条３項）に含め、その取得には本人同意を必要とするべきである。かりにそれができない場合には、柔軟なオプトアウト制度の導入など、本人関与の仕組みを強化すべきである。
（意見）
生体データに関連し、個人情報保護法16条４項や施行令５条の法改正を行い、顔データは保有個人データであると改正すべきである。
（理由）

58

個人

生体データに関連し、顔識別機能付き防犯カメラシステムによる誤登録の問題に関して、現行法上、顔識別機能付き防犯カメラシステムによる顔データは、個人情報保護法施行令５条のいずれかの号に該当し、当該顔データは保有個人データではないということになり（個人情報保護法16条４項）、結局、顔識別機能付き防犯カメラを運用する個人情報取扱事業者は個人情報保護法を守る必要がな
いということになってしまうが、そのような結論は誤登録の被害者の権利利益の保護（法１条、３条、憲法13条）との関係で妥当とは思えない。
そのため個人情報保護法16条４項や施行令５条の法改正を行い、顔データは保有個人データであると改正すべきである。

18 ページ

（意見）
生体データの問題に関連し、顔識別機能付きカメラシステムによる顔データの共同利用については、全国レベルや複数の県をまたがる等の広域利用を行う場合には、個人情報保護委員会に事前に相談を求めることを個情法上に明記すべきではないか。そのために個人情報保護法の法改正等を行うべきでないか。
（理由）
59

個人

「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会第６回」の議事録５頁に、「そういった観点から、一つ地域というのがメルクマールになると理解している。広域利用に関しては相当の必要性がなければできないとしつつ、個人情報保護委員会に相談があったような場合に対応していくのが１つの落としどころかと感じた。」等との議論がなされているから。
また、宇賀克也『新・個人情報保護法の逐条解説』275頁、園部逸夫・藤原静雄『個人情報保護法の解説 第二次改訂版』187頁などにおいても、共同利用が許される外延・限界は「一つの業界内」、「一つの地域内」などと解説されており、全国レベルの共同利用や県をまたぐ広域利用、業界をまたぐ共同利用などは個人情報保護法が予定しておらず、本人が自分の個人情報がどこまで共同利用されるのか合理的に判断できないと思われるから。
（意見）
開示・訂正等請求を求める一般人（顔識別機能付き防犯カメラの誤登録の被害者等）が個人情報保護法などにおいて取りうる法的手段（例えば個人情報取扱事業者のウェブサイト上のプライバシーポ
リシー上の開示・訂正等請求の手続きに従って請求を行う、民事訴訟を提起する等）に関して、個人情報法保護法ガイドライン（通則編）や「個人情報の保護に関する法律についてのガイドラインに関するQ&A」等に一般人にもわかりやすい解説を用意するべきではないか。
（理由）

60

個人

生体データの問題に関連し、顔識別機能付きカメラシステムの誤登録の被害者が個人情報取扱事業者に顔データの削除などを請求しても事業者から拒否される場合が多い。また誤登録の被害者等は法律のプロではないことが一般的である。
そのため、開示・訂正等請求を求める一般人（防犯カメラの誤登録の被害者等）が個人情報保護法などにおいて取りうる法的手段（例えば個人情報取扱事業者のウェブサイト上のプライバシーポリ
シー上の開示・訂正等請求の手続きに従って請求を行う、開示・訂正等請求の民事訴訟を提起する等）に関して、個人情報法保護法ガイドライン（通則編）や「個人情報の保護に関する法律についてのガイドラインに関するQ&A」等に一般人にもわかりやすい解説を用意するべきではないか。あるいは一般人向けに開示・訂正等手続きについて解説した「自治会・同窓会等向け会員名簿をつくるときの注意事項ハンドブック」のようなパンフレットを作成すべきではないか。
第２ 個別検討事項
１ 個人の権利利益のより実質的な保護の在り方(1)個人情報等の適正な取扱いに関する規律の在り方

61

匿名

ア 要保護性の高い個人情報の取扱いについて（生体データ）【我が国の現状等】、【考え方】

について

こちらについては、おおむね賛同いたします。
今後も国民が個人情報の不適切な取扱いによって不利益を被らないよう、慎重にご検討いただけますと幸いです。
◆意見１
生体データの取扱いについて、事業者の自主的な取り組みの促進だけでは不十分であり、国が具体的かつ実効性のある厳格な規律を設ける必要があると考えます。
また、規律において利用目的の特定をできる限り求めることは有用な手段であり、賛成します。
62

匿名
理由：
関係団体が具体的にどのような団体かは不明ですが、生体データの取扱いを行う団体・事業者にとって運用コストや違反リスクなどの増加から規律を設けることに少なからず抵抗があるのではない
かと思います。要保護性が高い生体データであるからこそ国が具体的かつ実効性のある厳格な規律を定めたうえで、関係団体の言う事業者の自主的な取り組みを促進していくことを求めます。
生体データの保護は、その重要性に鑑みて、自主的取組みに委ねるべきではなく、法律で保護を強化すべきである。事後的利用停止制度は、全般的に現在よりも拡充すべきであるが、特に生体データを他の保有個人データで認められている以上に柔軟に可能とすることは必須であり、中間報告書で示された考え方に賛成する。

63

個人

生体データの利用例として挙げられている防災、防犯の目的は、かなり特殊なものであり、このような特殊な利用例をもって、生体データを広範に利活用すべきという方向に議論が向かわないよう注意すべきである。防災・防犯については、特別のルールを設けることが適切ではないか。なお、この特別のルールでも、生体データの利用については、その必要性・相当性を慎重に吟味すべきである。

19 ページ生体データについての意識がガバガバすぎる。何でも災害対策にかこつけて生体情報取り放題なのは異常である。渋谷のAI監視など特に一人一人に事前に知らされる訳でもなく、オプトアウトするこ64

匿名とも出来ない現状はとてもおかしいので勝手に過剰に生体情報を取得することをやめるべき。
渋谷の件は特に企業の自己満足の側面が強く、そこに関係ない一般人を巻き込まないでほしい。
せいぜい防犯カメラくらいが許容範囲。
人の流れを把握する
顔判別技術

は貴重な情報になりうるかもしれない

セキュリティ対策は上がる可能性があるが個人情報の管理のためAIカメラの使用
使い方によっては65

犯罪の助長

それだけを鵜呑みにするのは危険（誤認逮捕など）である

建造物に入るための証明書として使われるケースがあるが国の管理社会になってしまう可能性があるため

現状

現状の政府によってのプライバシーの侵害含め慎重にならざる負えない問題である

匿名
考え方によってはこのような使い方は同時にその情報が外部流出システムが止まった際の
といった

悪用

犯罪者の制御釈放者の監視などに役に立つがされる恐れ

有事の対応ができなくなる

事が起きるため規制や法律などを設けるべきだと思われる【意見】継続して十分な調査と議論を望みます。
【理由】
66

匿名

昨年、渋谷AIカメラ100台プロジェクトが発表された当時、大変気持ち悪いと感じました。ご検討ありがとうございます。
混雑時の解消に役立てたり、不審者等のセキュリテイ対策に実施した事例などを考えると有用な活用もあるかもしれないと理解しました。ですが、知らないうちにまたは同意がないうちに自身が街中で監視され、行動を追跡され分析された結果をなにかに利用されるのは、他人に自分が制御されているとも思え、知らないうちに一方的に不利益を被るのでは、プライバシーがなくなるのでは、などの不安を覚えます。十分な議論を望みます。
【生体データ】

67

匿名~自然人を一意に識別することを目的とする生体データは、センシティブデータに該当するとされている。本国も同じように生体データを扱うべきである。
悪質な事業者が日本人の生体データを外国へ持ち出すケースなどを想定していないのだろうか。データとして持ち出されたら最後、どのような利用をされ、解析されるのか誰も追いかけることは出来ない。生体データを取り扱う事業者が悪意のある収集を行う可能性について対応が出来ていないのではないだろうか。
（1）生体データによる管理等には、医療目的のみでの使用、強姦や痴漢等の再犯の可能性が高い者に対しては使用する事に賛成します。また、街などに配置する防犯カメラ等に対しては賛成で、強68

匿名

いて言えば電車や人通りの少ない場所、スクールゾーン、住宅街等への設置の数を増やしても問題無いと思います。
ただ、仕事や学校等での使用、主に管理する側が人を思い通りに管理する為の生体データ管理についてはプライバシーの侵害が大きすぎると思いますので反対です。
（意見）
生体データに対する新たな規律の導入は疑問
（理由）

69

個人

すでに個人識別記号としての取り扱いが定められており、また「散財情報」としての生体データを規律の対象にすることは、広く社会での混乱をきたす可能性がある（コップについた指紋の取り扱い等）。 むしろ、プロファイリングの検討として「利用方法にける規律」や「過度なプロファイリングの検討」（法定当時とは比較できない大量のデータ結合とAIの利活用により、本人も気づかないフィルターバブルを利用した個人的脆弱性についてのプロファイリングそれに応じたコンテンツの自動作成、あるいは思想・行動の推知による願望情報を伴った無人攻撃対象としての選定もガザでは行われている様子）といった「利活用リスク視点でのアプローチ」が適当だと考える。

20 ページ例題にあるある地区のスマートシティ化等を目的として、ある駅周辺に多数の AI カメラを設置
このようなデータを非同意で集めることに関しては慎重であるべきだと思っています70

匿名データを見る限りもはやストーカーのように年齢 性別から何時に何を買ったか？
全部データを収集しているようなものでこれはプライバシーにかかわる物であり 事前に同意を求め収集するべきデータに該当するべきだと思います
インターネット上のデータでは匿名性が担保されていますが(顔などは映らない)
現実空間上でAIカメラで撮影しデータを集める場合映像としてその人の容姿含めデータを収集するため非常にセンシティブなデータとなりそのデータを収集 販売等することは遺憾であると考えます
人のデータを勝手にスコアリングし AIによって統計を取る事は人の意思決定権を左右するものでありそれを非正確な今の生成ＡＩを用いた物に非同意状態で許可するべきではない
中間整理が指摘するように、生体データは、長期にわたり特定の個人を追跡することに利用できる等の特徴を持ち得るものであって、本人の知らないうちに、人の過去の行動・言動・選択状況を捕捉し、行動監視し、未来予測までしてしまうという意味での重大なプライバシー侵害の危険が極めて高く、その取扱いは特に慎重である必要がある。
生体データのうち、顔認証システムに関しては、その利用が一般に急拡大しつつあり、日弁連では、２０２１年９月１６日付けで「行政及び民間等で利用される顔認証システムに対する法的規制に関する意見書」において、以下のような規制を提言している。法改正により導入されるべきである。
１ 不特定多数者に対する顔認証システムの利用については、行政部門と民間等とを問わず、市民のプライバシー権等が不当に侵害されないように、国は、①明示の同意のない顔認証データベース等の作成及び顔認証システムの利用の原則禁止、②例外的に行政機関や民間事業者等が顔認証データベース等を作成し顔認証システムを利用することができる場合の厳格な条件、③個人情報保護委員会
による実効的な監督、④顔認証システムに関する基本情報の公表、⑤誤登録されている可能性のある対象者の権利保護などを盛り込んだ法律を制定するなど、厳格な規制を行うべきである。
２ 前項以外の場合、すなわち特定人に対する顔認証システムについても、また、顔認証データベースを作成しない記録媒体中の顔認証データと特定の照合希望者とのその場限りの照合についても、

71

弁護士有志

行政部門と民間部門とを問わず、市民のプライバシー権等が不当に侵害されないように、その利用は、以下の要件を満たす場合に限定されるべきである。
① それを許容する明確な法律が存在すること② 同意していない者に対し、顔認証システムが適用されないこと③ 同意に任意性があり、同意しなくても他の方法を選べることなどにより不利益を受けないこと④ 設置者が、個人情報保護委員会に、顔認証システムを設置利用していることを届け出ること
なお、個人情報保護法には「同意」の定義及び条件が規定されていないため、同意さえ得ればあとは取得者が広い裁量で利用できると誤解されがちになっているから、GDPRの定義（４条１１号）や同意の条件（７条）に即した規定が設けられるべきである。
顔認証システム以外の生体データに関しては、要配慮個人情報と同程度の慎重な取り扱いを要すると考えるべきである（第２８７回個人情報保護委員会資料１－２「いわゆる３年ごと見直しに関する意見（慶應義塾大学 山本教授）」６頁参照）

21 ページ意見①＜生体データ（範囲）＞”現行法上、政令第１条第１号に規定する身体の特徴のいずれかを電子計算機の用に供するために変換した符号のうち、本人を認証することができるようにしたものは、個人識別符号に該当し、個人情報に該当する。なお、現行法において、このような生体データの取扱いについて、生体データであることに着目した特別の規律は設けられていない。”
「生体データ」の定義について、呼称の適切性含め、範囲の明確化を希望
理由：規範の範囲を正しく理解したいため。
意見②<生体データ（利用目的）＞
利用目的の特定の粒度・書き方ではなく、生体データに関する利用目的として問題ない内容/問題ある内容＊を明確化してはどうか？
その際、検討・更新のあり方としては、3年ごと見直し（実質5年ごと）のサイクルでは、現実のデジタル社会の変化の速さに対応できない。定期的に産官学民で協議する場をもち、技術の進展、社会の利用状況に応じて、短いサイクルで更新していく、「アジャイルガバナンス」的なアプローチを採用し、ガイドライン等をタイムリーに更新するべきである。
72

ソフトバンク株
式会社＊明確化にあたっては、生体データを利活用しても問題ない利用目的（ホワイトリスト）方式、または、利活用すべきでない利用目的（ブラックリスト）方式がありうる。
具体的な運用イメージとしては、例えば、・利用して問題ない例（例：犯罪予防や安全確保）または、利用すべきでない例（例：公衆広域での大量の個人の監視・追跡）のリストを官民メンバで協議し、ガイドラインを作成
・モレや修正があるときには、ガイドライン上でリストを更新する運用を継続・結果として、利活用を阻害せず、技術革新や世情変化に応じたルールを随時更新し、保護と利活用をバランスできる
理由：個人の権利利益への侵害の有無・程度に着目した場合、利用目的の書き方や透明性の確保が問題となるのではなく、むしろ、利用目的の内容（そのデータがどんなことに使われるか？）が本質と考えるため。
意見③<生体データ（利用停止）＞
本人による事後的な利用停止については、個人の権利利益に照らして、事業者が現実的に運用が可能な規範とすることを希望。
例えば、顔識別データのみ保有しており、利用停止請求がきても、その本人の特定に必要となる氏名・住所などのデータを保持していない場合を除外規定とするなど。
理由：個人の権利利益に照らして、実務に過度な負担を生じさせることは適切でないため。
生体データを個人識別符号から切り離して別途の規律を設ける場合には、当該情報が高度な暗号化等の秘匿化(例えばテンプレート保護技術の実施)をしている状態で漏えいした場合には現行法同様に報告対象外とするなど、特別な規律以外の部分については現行法を踏襲するようご検討いただきたい。
理由：
・現在検討されている規律以外の部分についての検討状況を確認したいため。
・生体データは顔認証等の本人認証に多く利用されている実態があるとともに、本人認証としての精度や有用性が高いとされている。別途の規律を設けることにより生体データを利用することが却っ73

日本クレジット協会て事業者の過度な負担となることが無いようにご検討いただきたい。
生体情報の利用停止等拡充にあたり、他法令による保管義務遵守によりデータ削除が困難なケースが想定される。従来同様に例外規定として「他法令による規定がある場合には当該法令が優先される」等の規定を検討を頂きたい。
理由：
・他法令との関係性確認のため・影響範囲の確認のため

22 ページ【我が国の現状等】
この部分で【欧州連合（EU）、アメリカ合衆国（カリフォルニア州）、中華人民共和国、インド共和国、ブラジル連邦共和国、オーストラリア連邦、大韓民国においては、自然人を一意に識別することを目的とする生体データは、センシティブデータに該当するとされている。センシティブデータの取扱いについては、一般的な個人
74

匿名

データとは異なる特有の規律として、原則として本人同意の取得を要求する例
や、本人にオプトアウト権を認める例がある。生体データの取扱い関連する執行事例も、各国において確認されている。】つまり、大阪メトロなどが推進している顔認証改札口はセンシティブデータであり一般的なデータと区別しなければならない
https://subway.osakametro.co.jp/news/news_release/20231121_kaoninsyou_kaisatsuki.php
現状、日本ではデータの取り扱いが一般的なデータとセンシティブデータを同じ扱いにしているため、流出した場合は個人を特定できる状態になってしまう。
以上の事から海外が設定しているセンシティブデータと同様に日本も一般的なデータとセンシティブデータを区別し、別の法規制を行わなければならない。
生体データの個人情報保護への立法化に賛成です75

匿名

その他のデータについても、データを収集する場合は個人への同意を明確な意志確認をすべきです。
利用規約に書いてあるから、利用規約を変更したからなどと言うのは言語道断です。
生成AIに使われる大量の著作物においても、個人の同意を得るべきです【意見】
生体データの利活用に係るユースケースは、必ずしも本人同意の元で利活用がなされるケースばかりでなく、経済産業省・総務省の「カメラ画像利活用ガイドブック」（ver3.0は2022年3月公表）では、個人情報保護法遵守を前提としつつ、特定の個人を識別することを目的としないケースであっても（人数カウント、属性推定、動線分析等）、被撮影者とのコミュニケーションに配慮すべき（事一般財団法人日 前告知、利用目的の明示等）としている。必要となる規律の在り方については、個人情報保護委員会では生体データの特徴を鑑み、個人の権利利益の保護とのバランスを踏まえ検討することを期待し
76

本情報経済社会 ているが、中間整理にある通り、諸外国の制度や、事業者における利活用の実態やニーズ、運用の負担、利用目的の違いによる影響なども考慮して検討いただきたい。
推進協会（JIPDEC）【意見】
同意疲れや情報過多による理解不足の他、情報の取扱いに関する規約や通知された情報を読まないという事態が生じているため、「本人がより直接的に関与」できるためには実効性の高い仕組みとすることが求められる。また、実態に則した対応とするためには、「本人に対し通知又は十分に周知すること」において、単にWebサイト等で公表することや、メール・文書で一方的に知らせるだけでなく、具体的な事例と共に事業者が『どこまで何をすれば良いか』を具体的に示すことも検討していただきたい。
（意見）
生体データに対して利用目的を特定することは必要であると考えるが、犯罪予防等のための顔識別機能付きカメラシステムなどの利用目的の通知又は公表をどこまで行うのか、どこまで行えるのか、

77

日本DPO協会事 について疑問が残る。利用目的が防犯予防や安全確保に明らかに限定される場合には、通知義務の例外としてもよいのではないか考える。また、「本人による事後的な利用停止」を顔識別機能付きカ
務局

メラシステムなどで求められたときに、当該本人のみをその画像から削除や停止するのは困難になると思われるため、この点に関しても例外措置を要望したい。
（理由）
生体データに対する実際の運用上、考慮いただきたい事項を明確にしていただきたいため。

23 ページ【意見内容】「本人による利用停止を柔軟に可能にする。」ことについては、事業者への過度な負担にならないような規律が望まれる。
事業者における保有個人データの管理システムの仕様によっては、生体データのみを、その他の保有個人データと切り離して削除等することができない場合もありえる。そのため、必ずしも生体デー
タ単独での削除等を可能にすることまでを事業者に求めるものではない旨をガイドライン等で明示されたい。例えば、システムの仕様によっては、紐づく保有個人データすべてを一括して削除等するという方法をとらざるを得ず、その場合は、結果として、本人のサービス利用に不便をかける可能性があるが、そのような対応方法（紐づく保有個人データのすべてが一括して削除等される）も、許容される旨をガイドライン等で明示されたい。
【理由】
事業者における保有個人データの管理システムの仕様によっては、生体データのみをその他の保有個人データと切り離して削除等することができない場合もありえるため。
78

アマゾンジャパ 例えば、認証データとして使用される生体データをデバイス上ではなくクラウドで保管・管理する際に、別の個人情報と結合して管理される場合があり、この場合、当該生体データを個別に切り離し
ン合同会社て管理するような個人データの取り扱いをしていないことが想定される。その場合、当該生体データだけを切り離して利用停止・削除することは困難である。
【意見内容】
中間整理（3 頁）において「生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することも想定されるものである」とされているとおり、生体データによる本人認
証は、犯罪予防や安全確保といった重要な目的にも資するものである。このような重要な目的の実効性を担保するためには、利用目的の特定に重きを置きすぎると当該手続の潜脱や悪用を許してしまう可能性がある、という点にも留意しなければならない。そこで、①利用目的の特定を合理的に必要でかつ犯罪予防や安全確保等との観点からも不都合が生じない範囲に限定したり、②犯罪予防や安全確保等の観点から必要な場合には利用目的の特定について例外を認めたりするなど、当該手続の潜脱や悪用の防止という観点にも十分な配慮をいただきたい。
【理由】
犯罪予防や安全確保といった重要な目的の実効性を担保する必要があるため。

意見

人間の肖像、外観、声、絵柄、文章、筆跡等を、生体データとして保護すべきです。
理由
生体データの使われ方として、なりすまし、ディープフェイクの被害が拡大しています。
ディープフェイクは、特定の個人と紐付けられることで被害が拡大し、広く拡散されてしまうと、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されます。
79

匿名

人質に取られているも同然のため、著名人に限らず、多くの人が公に問題の被害を訴えたり、意見を発することができていません。
高精度の生成AIの出力物は、データセットに強く依存しており、特に有名なLAION-5Bには、児童性虐待物や医療写真が大量に含まれていることがわかっています。
特に、肖像、外観、声、絵柄などの、ディープフェイクをもたらす、データ収集や生成AIのトレーニングのためのアクセスについて、個人情報保護を緩めるのではなく、厳罰化が早急に必要です。
生成AIに関する問題については、今年の２月に実施された文化庁のパブリックコメントや、文化庁の「文化芸術活動に関する法律相談窓口」でも、多くの事例が寄せられていますので、そちらの意見もご確認ください。
日本の現状においては、世界的には個人情報として保護管理されているものに対して、明確に情報を保護できるような規定も罰則も十分ではありません。
2023年に、渋谷駅周辺に100台のカメラを設置し、人流データを取得・解析するプロジェクトに対して、SNSで批判が散見され、複数記事にもなりましたが、(「40代男、女性と店Aで昼食」渋谷100
台AIカメラが物議、データを企業に提供

ビジネスジャーナル

https://biz-journal.jp/it/post_358920.html)

極めてプライベートな情報を、公益性の高いエリアで、日付をまたぐような長期間、異なる施設にわたって追跡可能な設計にし、識別トークンを保持するということは、個人を特定していることと変
わりない事ではないでしょうか。
これらは渋谷に対する忌避感嫌悪感にまで繋がり、プロジェクトに期待された効果と、人々の反応は真逆のものになりました。
80

個人

端末等識別子は日本以外の主要国では、個人データとして保護されていますが、日本では個人情報としては扱われて織らず、
プロファイリングは、EUではGDPRやAI法で手当てがあります。米国も一部州法で本人に通知するオプトアウトの義務がありますが、日本では明文の規定がありません。
顔特徴量などの生データは、EU,米国の一部の州、中国、インド、ブラジル、韓国などはセンシティブデータとして保護していますが、日本では要配慮個人情報ではありません。
こどもの個人情報は、EU,英国、米国、中国、韓国、ブラジル、インドなどは特別な情報として保護していますが、日本では子供に特化した明文の規定がありません。
そもそもこれら上記のの重要な情報に、明確な規定と、義務、情報漏洩が起こった際に繰り返させない為の罰則も十分ではなく、オプトアウトが機能しているとはとても言えない現状で、行われるべきは、まず諸外国に合わせた規制と罰則、そして情報保護の為の明確な規定と強化です。

24 ページ(意見)ディープフェイクをもたらすスクレイピングや生成AIの学習に関して、個人情報保護法の観点から規制すべき範囲について、情報収集と検討のほどよろしくお願いいたします。
音声データ・肖像や外観・絵など、生体データとして保護が必要だと考えます。
(理由)
生体データですが、現状なりすましやディープフェイクの被害が拡大しています。
81

匿名

ディープフェイクの被害として、AIによって生成された動画や画像が特定の個人と紐付けられ誤解されることで発生している例があります。
(本人の顔と別人の体を生成AIによって合成し、実際には起きていない卑猥な動画や画像を捏造されることで被害発生)
その被害が拡大し深刻化することで、本人が望むように生活をし、活動することが難しくなります。
ディープフェイクの拡散は、自らの知らないところで発生し、また自分の努力ではその拡散をどうすることもできません。
個人情報保護による権利利益が侵害されているといえます。
なので、生体データを個人情報として保護することは必要だと考えます。
意見

人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべき。

理由

人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データとして、または、生体データと同様な保護が求められます。

生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
82

匿名

また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
(1)個人情報等の適正な取扱いに関する規律の在り方
上記項目についてア 要保護性の高い個人情報の取扱いについて（生体データ）の【考え方】にあります「個人の権利利益に与える影響が大きく、保護の必要性が高いと考えられる」という記述に83

個人

対し賛同いたします。
悪用された場合の影響範囲の大きさを鑑み利用目的の特定を厳格化するほか本人の同意は必須とし、取り扱い事業者にはこれを遵守することを義務付け、それに反した場合には指導のほか罰則を設けるなどデータ保護の実効性を高めるよう制度を検討いただきたい。
（意見）
考え方に反対である(理由)
現行法においても個人情報の利用目的については「できる限り特定しなければならない」（法17条）とされており、総則編ガイドラインにおいても「個人情報が個人情報取扱事業者において、最終的

84

匿名にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい」と要請されている。法令及びガイドラインの要請を踏まえて企業においては利用目的の明確化に努めているところ、結果として企業が用意しているプライバシーポリシーは冗長になりがちであり、いわゆる「同意疲れ」と呼ばれる事象も発生している。企業がサービスやプロジェクトを検討・実施する過程でその内容が修正、変更することは通常想定されるところ、サービスやプロジェクトの具体的な内容についてまで明示したうえでの通知又は周知、それを前提として個人情報の第三者提供における同意取得までを想定した場合、サービスやプロジェクトについて幅広く列挙する対応をする企業が現れることは容易に想定される。また、そうでないとしてもサービスやプロジェクトに変更が発生するたびに企業としては利用者に対して再度の通知又は周知、それを前提とした同意取得を実施する必要があり、かかる事態
はサービス利用者の同意疲れを促進し、ひいては企業におけるデータ利活用を阻害する結果となりうると思慮する。
意見
生体データも個人情報として保護するべき。

85

個人

理由
生成AIをはじめ、デジタル化の普及により、容易にディープフェイク等による、人権侵害が発生している。
個人情報の二次利用によって、現状ですでに問題が多く出ており被害者が存在しているため。
人間の肖像、外観、声、絵柄、筆跡などを生体データとして保護してください。

86

匿名

また、以上の生体データを本人の許可なく収集、使用しないでください。渋谷のAIカメラプロジェクトなどの行為は人権を尊重出来ていないのではないかと考えます。日本のインターネットリテラ
シーやデータの取り扱いは杜撰で、機密度の高い生体データを取り扱うことは手にあまります。先に生体データを保護し国内外に漏洩しない仕組みと法律をお願いします。
25 ページ・いわゆる個人情報だけでなく、生体データやインターネット経由で収集された本人の来歴や趣味嗜好、スマートフォンの位置情報や交通系電子マネーによる生活圏の情報などと紐づいて運用される
87

個人

場合、適切に用いられるのであれば非常に有用ではあるものの中国における信用スコアのように、新たな階級の分断を生み出す恐れがあるため、収集された情報は一定期間おきに消去する規則を設けるなど、必要以上に収集されたデータをため込まないようにする仕組みを設ける必要があるものと思われる。
生体データの取り扱いについて
昨今の生成AIの登場以降、「便利であれば・革新的であれば何をしてもいい」という考えの企業やエンジニアを多く見かけ、生体データのような個人に強く結びついたデータの取り扱いにとても不安を覚えます。

88

個人

Intelligence Designの「渋谷100台プロジェクト」では、個人がどこに行き買い物をし、渋谷に何度来ているのかなどをデータ化して収集できると謳っていました（現在は修正されています）。
実際にそのようなことまで一企業が勝手にできるようになるのは反対です。
日本はサイバー犯罪に対するセキュリティ面でも弱い印象があるので、生体データの取り扱いにはより一層慎重になってほしいです。

意見

人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべきです。

特に、事業者や個人によるスクレイピングを拒絶するオプトアウトや、事業者や個人が公開する内容（生成AI出力物を含む）を作成する際に参照した生体データについての透明性要件の義務化について、個人情報保護法制の範囲で検討し、他の法域との連携についても提言すべきです。
理由

人間の肖像、外観、顔の形状・色味や動き（表情やその変化）、声、歌声、絵柄、筆跡のデジタルデータで、個人を特定できる解像度や分量のデータは、生体データとして、または、生体デー

タと同等な保護が求められます。
生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
89

個人

また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被害が拡大し、深刻化するもので、個人を識別できるデジタルデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
特に、子どもの肖像（写真）、声優の声やイラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
ＡＩカメラを多数設置した事例について簡単に言ってしまえばカメラに撮影された人々はそこにそのカメラがあることを知っていたのかと疑問であります
通行人など大抵そのことを知らずにいるにもかかわらず、勝手に動向やともすれば個人の体調や未来的ではあるが財布の中身や通院履歴まで探られてしまわないだろうか

90

匿名

中国では一部地域の実験としてワクチンを接種しているかどうかをＡＩカメラで検知し、商業施設などに入店できないなどといった死活問題にかかわる事象を生み出したとききます
ルールを定めたいものが強権をふるいやすいのが一元管理が可能となってしまうＡＩの使用であり、そのことについては国民の人権にもかかわる形での保護を講じないと却って健全な新技術の発展の妨げとなります
不特定多数の個人情報を簡単に取得できてしまう、支配的な技術には適切な規制が必要です
犯罪者や前科者を追うことができるのはいいと感じた。ただ、ターミナル駅などでしか活用できなければ離れた地域では使えないので、順次いろいろなところに設置して、前科者が「いつでも監視さ91

匿名れている」という状態にできるとベストだと思う。

92

個人

監視カメラ、防犯カメラの情報、残すのを2か月・3か月に制限してください。いつまでも残り、利用されるのはプライバシーの侵害だと思います。

26 ページいわゆる生体データを極めて要保護性の高いものと理解することについては賛同するものの、利用目的の特定（およびその利用目的の明示）を詳細にさせることよりむしろ、そもそも生体データ等によらず当該利用目的を達成できないことの説明をさせ当該利用目的からの逸脱を許容しないようにさせることが重要と思料する。
93

合同会社

asura

生体データを本人認証または識別に利用することを想定した場合であるとしても、事業者がこれをマーケティングのプロファイリング資料に転用することが正当であると考えられるべきではないし、また、当該事業者と本人との関係で取得した生体データは当該事業者が自らの業務仕様に基づいて定義した認証強度を満足させるためのものに過ぎないから原則的に第三者がその用に供することは適当ではない。
したがって利用目的の変更禁止や第三者提供の禁止といった強度の規制を設けても不当に営業上の利益が損なわれるものではないと考える。
意見

人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべきです。

理由

人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データとして、または、生体データと同様な保護が求められます。

生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
94

匿名

また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
意見
人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべきです。
理由
人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データとして、または、生体データと同様な保護が求められます。
生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。

95

匿名

ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
現状データの入手元の開示を強制力を持って行わせる法律がないため自分が学習されたかわからないです。例えばSNSに顔写真を上げたものをAIで学習され顔認証を突破されてしまうようになれば、写真を他人に見せることすら難しい生活になります。悪用されたとき加害者を裁いたり捕まえたりするための法整備がまだされていないのに、悪用されたときに被害が拡大しやすくなるような法律を作るのは反対です。
特に、子どもの肖像（写真）、声優の声やイラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
「第２ 個別検討事項」の「１ 個人の権利利益のより実質な保護の在り方」において掲げる要保護性の高い生体データの取得・利用においては、その双方において条文上明確化するべきであると考える。とりわけ、個人の知らないところでの生体データ取得により当該個人のプロファイリングが規制されないのであれば、例えば現代社会の生活基盤になりつつあるデジタル・プラットフォームサー

96

匿名

ビスの利用において、当該個人の選好・傾向を先んじて分析することにより、当該個人に「最適化された」サービス提供を行うことのできる一方で、利用者たる当該個人における自己決定の余地を減じることにも繋がりかねない。この点において、個人の自己決定権を貫徹する側面からも、生体データの取得・利用においては法律上の規制を要するべきであるし、さらに個人のオプトアウト権の保障も法律上で規律することが、人権上の観点からも望ましいと思われる。

27 ページ

意見
顔認証システムの公共空間、半公共空間における活用は民間企業、警察を含めすべて禁止すべきです。
アで取り上げられている生体データに関する【我が国の現状等】の三例はすべて半公共空間、公共空間における顔認証にかかわる事例です。この三例とも大きな社会的関心を呼びました。今後、AIの活用の進展のなかで、この顔認証のことが更に大きな社会的な問題となっていくことは疑いないと思います。
アで要保護性の高い個人情報の取り扱いについて（生体データ)の問題をとりあげていることを踏まえれば、まずここでは生体データ一般ではなく、大きな社会的な問題となった顔認証をとり上げ、現行個人情報保護法のなかにどう位置付けていくか検討していく必要があります。
顔認証とは、設置されているカメラで撮影されたデジタル画像から「顔」部分を抽出し、顔部分から特徴点をとらえた識別データを生成し、あらかじめ登録されている「顔画像データ」と照合し、その一致、不一致を判定するものです。この顔認証はその特徴から「顔指紋」という人もいます。
人は、特定の人物の識別を顔をみておこないます。決して指紋や虹彩や静脈などの生成データから特定の個人を識別するわけではありません。ここに、顔認証が「顔指紋」といわれる理由があります。プライバシーの侵害性の高い顔認証システムは公共空間、半公共空間においては活用を禁止すべきです。
理由
公共空間、半公共空間における顔認証の活用に反対する第一の理由は、顔認証システムは顔データがデータベースに登録された特定の人物を長期にわたり追跡することが可能なことです。
交通機関を例にとれば、どこの駅から乗車し、どこで乗り換え、どこで下車するのかまでわかります。このシステムが道路やデパートや店舗などのそれと連動していれば、更に何を買い、どこに寄り道し、どこに勤務しているかまでわかります。恐るべきプラウバシーの侵害です。重要なことはデータベースに登録されている人物は自分が登録されていることを知ることができないことです。顔認証システムの設置者が本人に登録されている旨、通知しているはずもありません。本人は何も知らないままに長期にわたり行動を追跡されることになります。ある意味では、室内に監視カメラを設置
97

個人

された人がそれに気づかないまま生活するのと同じようなものです。
第二の理由は、データベースへの顔データの登録が無制限に拡大する可能性があるということです。その端的な例が●●の「不審者」のデータベースへの登録です。●●は指名手配犯、テロリス
ト、出所者、「不審者」などを登録し、社会的批判を受け、出所者を登録ベースから削除したということですが、そのほかの登録者をどうしたかは明言していません。こうしたことからも明らかなようにデータベースへの登録が設置者などの判断で恣意的に行われる可能性があります。特に不審者については実際に違法行為をしていなくとも挙動不審というだけで、次々にデータベース登録されていく可能性があります。
第三の理由は、公共空間における顔認証システムの禁止は国際的な流れになっていることです。
EUでは、本年５月、AIの活用・運用を包括的に規制するAI包括規制案が成立し、２０２６年から本格的には運用される見通しと大きく報道されました。この法案では顔認証の是非が大きな議論になったといわれています。そして当初案通り、公共空間での犯罪捜査や移民管理などを目的とする、リアルタイムに顔認証をおこなう遠隔生体認証の使用は政府によるテロ対策への利用などの例外のほかは禁止されました。
日本は、EUから個人情報保護の「十分性認定」を受けています。日本もこうした国際的な個人情報保護の流れを受け止め、公共空間、半公共空間における顔認証システムの活用を禁止すべきです。
最後に、２０２１年個人情報保護法、行政機関個人情報保護法などの個人情報保護関連法が統合されました。その結果、個人情報保護委員会はそれまでの民間事業者の個人情報の取り扱いだけではなく、行政機関の個人情報の取り扱いについても指導、監督することになりました。つまり、警察の個人情報の取り扱いについても指導、監督の対象とすることになりました。
警察は顔認証システム積極的に活用しようとしています。しかし、その実態はなかなかわかりません。個人情報保護委員会が市民のプライバシー、個人情報保護のために、まず警察の公共空間、半公共空間における顔認証システムの活用がどうおこなわれているのか報告を求め、個人情報保護法上適性に行われているかチェックすべきです。
個人情報そのものや、個人情報が含まれる可能性がある情報収集方法を行ったにも関わらずきちんとした精査を行われていないデータ並びに一個人の逐次の行動などを同定可能な情報という極めてセ
ンシティブになりえる重い情報の取り扱い規則を、適当不適当のばらつきが生じるであろう自主性でのみ対応させることを是とする姿勢は、それを被虐する立場になりえる一市民の心情として信を置98

匿名ける状態のものではないと感じています。
生成AIにおける個人情報利用などの場面における目論見としている善性の利便性の面を大きく贔屓し、自分の権利と他者の権利を曖昧にさせるような「能動的な同意や契約」を取ることのない、取ろうとしない情報の運用の在り方を、今現在の社会において規則の面で助長させる考え方には反対いたします。

28 ページ

意見：

人間の肖像、外観、声、イラストレーターや画家の絵柄、文筆家・小説家の文体なども生体データとして保護すべきです。

理由：

人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データ、または、生体データと同様な保護が求められます。

生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被99

匿名害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
特に、子どもの肖像（写真）、声優の声やイラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
（意見）生体データに関して諸外国との調和を図ることに関しては賛同する。一方で、現在の要配慮個人情報の規定との関係をどのようにするのかに関しての整理が必要であるものと考える。また、生体データに対して本人がより関与するとのことであるが、本人による事後的な利用停止の他、データポータビリティの確保ということに関してはぜひ推進してもらいたいものの、生体データは医療

100

個人

等の公益性の高い領域での利用も想定されるため、本人の同意に関する例外規定に関する設計も現行法の見直しを含めて検討されたい。
（理由）現行法においては、要配慮個人情報に該当しない生体データの保護が諸外国に比して不十分である一方で、現行の要配慮個人情報に対する本人同意の取得が原則となっているルールに関しては、公益的なデータ利用に向けて弊害となっていると考えるため。
個人情報保護法の見直しは不断に行うべきだと思います。
特に民間企業では個人情報保護法も遵守されていない所もあると思うので法整備だけではなく、調査やさらなる周知も徹底して欲しいです。
例えばサーマルカメラでの検温ですね。
サーマルカメラは検温時に撮影もしますが

101

匿名

顔画像は個人情報に該当するにも関わらず今でも事前の説明や周知も無しに「検温お願いします」と検温を求めてくる病院などがあります。
サーマルカメラで顔を撮影し特徴データを取得することは、測定後にただちに廃棄しても個人情報の取得に当たります。
個人情報保護法では、個人情報を取得する際には、その利用目的を事前に本人に通知・公表しなければなりません
いわゆる条文としてはこっそり分かりにくい形で個人情報を取得「改正取得義務法違反（個人情報保護法20条）」ですね。
また、張り紙などで撮影の目的を通知・公表していない「取得の際の通知公表の義務違反（同21条）」です。
この2つに違反する可能性が高いです。
■概要
個人情報については確実に守られるべきであると考えている。
守れる保証がなければ各個人の許可なく使用すべきではない。
マイナンバーの件などを考えると日本のシステムは十分に強固であるとは言えないため、防犯カメラ等の利用であっても使用は悪意ある攻撃に対しても確実に流出しないことを求めたい。
また生成AIについては不特定多数の個人・企業が利用し、その中で個人の特徴が強く反映される可能性が考えられるため、許可なく使用されることは看過できず、また許可もしたくない。
■意見・生体データについて
防犯カメラ等で犯罪者等を追跡するため、生体データを使用したシステムを用いることについては期待している。

102

匿名

しかしながら、システム作成のための生体データが流出するようなことは決してあってはならないと考えており、十分な対策がされるまでは反対の立場を取りたい。
例えばマイナンバーカードであるが、ナンバーと個人が間違って紐づけされており、マイナンバーカードを用いてコンビニにて自分の情報を確認すると他人の情報が出てくるケースが散見された。
マイナンバーや年金情報の取り扱いを中国の中小企業に任せた結果情報が中国のネットに流出したという話も聞く。
このような状態では、既存の個人情報だけでも取り扱いをするだけの体制が整えられているとは言えない。
そんな状態で生体データも取り扱いたいという話が出ても賛成はできない。
まずは役場のアナログな体制を改善し、アナログのいい面は残しつつ、デジタル面での改革を進めること、
そして日本の公務員のみでデータを扱えるようにすること。
これは最低条件であり、さらに他国によるサイバー攻撃にも当然対策してもらいたい。

29 ページ

意見

人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべきです。

理由

人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データとして、または、生体データと同様な保護が求められます。

生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被103

匿名害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
特に、子どもの肖像（写真）、声優の声やイラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
人間の肖像や声、著作物や筆跡等といった、個人を特定できるデータは、生体データとして、又はそれに準じるデータとして保護する事を求めます。
処理により個人を識別可能な生体データは、もはや顔や虹彩、指紋だけではなくなっています。

機械学習等の技術躍進によって、データの情報

また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、ディープフェイク等

といったなりすましの被害も拡大しています。ディープフェイクは、特定の個人と結び付けられる事で被害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。
104

個人

ディープフェイクは、本人の安心安全な生活や活動を妨害してしまいます。データ処理による自動決定と同様に、ディープフェイクの拡散は、自らの努力では改善できないリスクがあり、個人情報保護による権利利益が侵害されています。

特に、子どもの肖像、声優の声や著作物など、ディープフェイクによるなりすましやポルノ化等をもたらす、スクレイピングや機械学習の為のアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期から長期にかけての情報収集と検討をお願いします。
生体データに関する記述があるが、2023年の第42回ユネスコ総会においては、急速に拡大しているニューロテクノロジーの社会的リスクに対応した倫理的枠組みの必要性が合意されている。また、2024年9月から政府間協議が開始され、2025年11月には「ニューロテクノロジーの倫理に関する勧告」の採択が予定されている。
105

個人

現在、その勧告草案(第一版)は全世界に向けて公開されており、そこには「Neural data」や「Cognitive Biometric Data」についての詳細が記載されている。
「生体データ」に関して、そういった現状をふまえる記述があってもよいのではないか。
ご参考：ニューロテクノロジーの倫理(ユネスコ)https://www.unesco.org/en/ethics-neurotech（意見）
具体的にどのような権利利益侵害が生じ、また、生じる蓋然性があるのかの指摘を含め、立法事実の精緻化が必要と考えます。
また、仮に規制を必要とする対象があるとしても、生体データの取扱いのプロセスや目的は様々であり、一律の規制の対象とし、規律することによる形式的な保護と過度な規制のアンバランスさが生じないよう、必要な規制を設けることを求めます。
なお、規制の対象とする生体データは、その必要性がある範囲に限られるべきであり、画像や動画に記録されるものについては対象外とするなど、慎重な検討を求めます。
（理由）
生体データの取扱いについて、【我が国の現状等】に示された事案が必ずしも最近のものではないように思われるところ、令和２年改正当時と異なる利益状況にあり、また、社会的反響を超えてどのようなリスクが顕在化しているのかについては明らかではなく、立法の必要性について疑問があります。諸外国の例を挙げておられますが、我が国とは異なる歴史背景と、個人情報及びプライバシー
106

三浦法律事務所の保護への異なる社会的なコンセンサスがあるものと思料し、必ずしもこれらの例をもって我が国における規制の在り方を検討することが適さないこともあると考えます。
また、取扱いのコンテキストによって権利利益侵害が生じるリスクは異なるのではないかとの疑問があり、【考え方】に示される一律の規制にはなじまないものと考えます（例：必ずしも（特定の）個人にアプローチしない人流データの利活用と、セキュリティリスクを内包する本人認証（ただし、技術的に他社・他者に利用が可能かによって規制の必要性は異なるものと考えます。）では規制の要否、アプローチの方法に差を設けるべきではないか。）。また、規制する場合であっても、具体的なリスクに応じた必要かつ相当な規律を検討すべきです。規律を検討するに際しては、実際に個人情報取扱事業者等が措置を講ずる場合を想定し、どのような差支えがあるのかをみて過度の負担が生じないよう留意すべきです（例：本人のより直接的な関与（通知・十分な周知のうえ、事後的な利用停止を柔軟に可能とすること）については、例えば、氏名や連絡先を有しないケースにおいて、データとその本人が一致するかのためにさらにデータを取得するなどに必要があり、また、特定の精度の問題や全体のコストの問題もあるところ、本人保護の目的と保護手段のバランスを失していないか検討すべきではないかと考えられます。）。こ
なお、規制対象となる生体データの範囲を検討するに当たっては、画像や動画のように、現行法下においては個人データに該当しないものとして規律が一部のみ適用されるものが新たな規制の対象となることによって実務に過大な影響が生じることに留意する必要があります。

30 ページ

（意見）
生体データを要配慮個人情報に含めるべきである。
生体データの利用目的の特定を義務付けるべきである。
107

主婦連合会

生体データの利用について本人がより直接関与できる仕組みが導入されるべきである。（事後的な利用停止をより柔軟とする等）（理由）
生体データは極めてセンシティブな情報であることから、より慎重な取り扱いが求められ、その利用に関して本人の意思による取扱いへの関与の仕組みの構築が必要である。その際、多くの主要国の生体データの取扱いを参考にすべきである。
•中間整理に記載されている通り、「事業者における利活用の実態やニーズ、運用の負担、利用目的の違いによる影響なども考慮」することが重要である。
•「特に要保護性が高いと考えられる生体データ」の定義や、事業者に求められる措置の内容によっては、社会的に意義がある防災や不正・犯罪防止といった目的で利活用されている場合も含めて、かなり広い範囲に深刻な影響が出ることが予想される。本人による事後的な利用停止を柔軟にすることが考えられるとの記載があるが、例えば防災や犯罪・不正防止の目的のために生体データを活用した事業や調査を行う場合に、事後的かつ柔軟な利用停止を可能にするために利用停止を望んだ者の生体データを取得・保持する必要が出てくるといった課題が発生する可能性もある。利用目的、取108

一般社団法人 新 得時の状況、取得後の運用や管理、利用のされ方（アウトプット）といった各段階において、何を問題視し、何からどのような方法で保護するのか、実現可能性も含め、実態を踏まえた慎重な議論を経済連盟行うべきである。万が一の悪用の可能性を懸念するあまり社会的に意義のある利活用までもが現実的に一切実現しなくなるような制度は避けるべきである。
•例えば、顔写真のデータや動画等は多くの事業・サービス・本人確認等で利用されており、顔写真や動画データ一般への規制は事業者への影響が極めて大きい。「特に要保護性が高いと考えられる
生体データ」の範囲については、運用実態も考慮し、広く一般的に活用されているデータの利活用を阻害しないよう配慮いただきたい。
•生体データを使った認証については、サーバ側でデータを保存・認証するのか、利用者の端末内で管理されているのかによっても評価が異なってくるはずであり、生体データの活用の実態を、技術面も含めて慎重に確認する必要がある。
個人情報の大原則である「本人の許可なく利用してはならない（オプトイン方式）」という理念から外れるような個人情報の利用は、断固反対である。
「第１はじめに」に「プライバシーを含む個人の権利利益が侵害されるリスクが高まっている」とあるが、昨今の米国の情報技術産業を中心とした、特に生成ＡＩ関連企業において、「コンピュー

タプログラムによる自動収集（クローリング）および恣意的な利用規約の変更等による個人情報の強制的な剽窃」および「本人に許可のない商業利用」が横行している。
これは、個人のプライバシーを著しく害するものであり、法治国家において到底許容できるものではない。
109

匿名
政府は、やたらと生成ＡＩを公益性の高い技術と判断して推進しようとしているが、生成ＡＩ技術は「大量の窃盗行為を前提にして成り立つ技術」であることは明白であり、世界の潮流をみても、公益性が高いどころか「ディープフェイク乱造機」「性犯罪増進システム」「個人情報流出機構」といった、国民の安全、権利、利益を徹底的に破壊する極めて害悪な代物でしかない、という解釈で確定しており、強い法規制が着々と進められているのが現状である。
如何なる理由を以ってしても、生成ＡＩは絶対に推進してはならなず、強い規制（剽窃したデータの公開および検索機能の提供義務、オプトイン原則の義務化、生成物へのウォーターマーク添付義務）と重い罰則を必達事項とすべきである。
意見
生体データの取扱いについて実効性ある規律を設けることを検討すること、に賛成する
また、事業者の自主的な取り組みの推進、に反対する

110

匿名

理由
●●の生体データ（顔、声など）を利用したディープフェイクが作成されたことは記憶に新しい。
このような生体データの悪質な利用に対し、実効性のある規律の確立は安全な国家の実現において急務である。
また、事業者は「生体データの商用利用側」にあたり、なるべく規制を緩めようとする力が働くため、自主規制では実効性のある規律にはなりえないことが強く懸念される。
1(1)アに記載の生体データは基本的に本人の意思によって作成されるものではなく、また変更できないものや変更には多大なコストを要するものがあるため、漏洩などのインシデントが発生した場

111

匿名

合の被害が特に大きい。その意味では本人の保護を重視し、利活用する事業者に対してはいっそう厳格な義務や責任が課されるべきと考える。この観点で気になったのが「運用の負担」という文言である。利活用を求める事業者等の都合が優先されて個人の権利利益の保護が疎かになるという結果に至らないよう熟慮されたい。

31 ページ生体データの取り扱いについて、より利用目的を特定した利用を定める規律の設置が必要であると感じます。顔識別カメラのようなシステムにおいては、本人が自身の保有情報が収集されていることを把握し辛く、また、利用停止の申し立てを行うことも困難です。
112

匿名

また生体データについては、プライバシー侵害や、状況によっては自然人の監視ともとらえられることから、権利保護との兼ね合いも重要になってくると考えています。国民の根本的な権利に関わること、また長期の追跡が可能なデータであることから、収集とその利用について、事業者主体ではなく、まずは国がラインを示す必要があると考えます。
（該当箇所）
１．個人情報の保護に関する法律

第二条における「個人情報」について

２．個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理の４ページ『要保護性の高い個人情報の取扱いについて（生体データ） 』について（御意見）
１．「個人情報」に死後も期間限定で保護期間を延長出来ないかという提案
２．（生体データ）の詳細情報の条文への明記の提案
（理由）
113

匿名

１．については昨今の生成ＡＩ事情を鑑みるに、死後、即座に故人の個人情報が保護範囲から外れた場合、ディープフェイクによる詐欺や認証関係の犯罪行為を迅速かつ安易に誘発する恐れがあります
そのため、猶予期間として最低でも１０年、出来ることなら１世代相当の３０年を延長期間とし、タイムラグを意図的に作り出すことで抑制しようという考えです
２．については生体データの詳細の明記です
顔認証、声紋認証、指紋認証、虹彩認証、歩行データ等々、悪用者が存在した場合に、曖昧な解釈を可能な限り減らす目的で条文に明記しておくべきだと考えます
少なくとも顔及び声に関してのデータは厳密に管理すべきであり、それらは非常に汎用性が高く、それ故に違法行為へも流用されることが危惧されます
また、生体データの中でも顔データ単体で個人特定に至るケースも考えられるため、単一情報の組み合わせでなければ保護すべき個人情報と言えないかどうかの判断のアップデートも検討すべきだと思われます
第２ 個別検討事項

114

匿名

1（１）（ア）要保護性の高い個人情報の取扱いについて（生体データ）
特定の個人を識別できる生体データが犯罪防止や安全確保に利用されるためであっても、事業者の自主的な取組のみをもって権利利益保護を図るべきではない。
人間の声、容貌、筆記、動作など個人を特定できる生体データ、またデジタル化されたデータは個人情報保護により慎重に取り扱われるべきである。

32 ページ生体データについて「通常の個人情報と比較して個人の権利利益に与える影響が大きく、保護の必要性が高い」とある通り、犯罪予防を盾に個人情報の取得を許容するべきではない。
現状、日本政府、日本企業は、個人情報の管理において重大な過失が続いている。
（中国へのマイナンバー情報流出、●●の個人情報漏洩など）
参考： 【追及スクープ】マイナンバー500万人分を中国に流出させた「実行犯」のヤバすぎる告白 @moneygendai https://gendai.media/articles/-/113680
ランサムウェア攻撃による情報漏洩に関するお知らせとお詫び●●●●●「他方、利便性もあるので企業利用を許容しても……」などという段階ではない。
115

匿名

まずは、個人情報保護の為の強固なサイバーセキュリティ構築をした上で、（ディープフェイク、肖像権パブリシティ権侵害の問題がある）生成AIに乱用されぬような規制を設け、さらに取扱者が十分に倫理を学習し、最後に（企業寄りの利害関係者ばかりではない、公平公正に選出された有識者を交えての）協議、の順番が妥当であると考える。
現在、体温測定や自動レジですら顧客をカメラで監視する風潮があり、政府や企業が国民の個人情報を守れているのか不安になる場面が多々ある。
国民は拙速な議論は望んでいない。
繰り返すが、
まずは強固なサイバーセキュリティの構築
生成AIへの乱用防止の為の法規制
情報使用者の倫理教育
協議の順が妥当である。

生体データ・子供の個人情報について
要配慮個人情報にすべきだと思います。
現在出ている生成AIでは顔の写真を保持している場合、裸体の生成などが簡単に行えてしまう点で危険だと感じました。
それらの生成AIは利用できる人も多く、運営も悪意をもって生成の為に使用した画像を収集した場合、個人情報の特定ののリスクや生成された画像を元に脅迫や嫌がらせなどをされる可能性がありま
116

匿名

す。
運営者だけでなく、利用者内でも生成AIを使用できる小学生～大学生がいた場合裸体の生成を行い、それを元にイジメを行ったり事も想定できます。
また、生体データについてはスパム系アカウントによる無断使用等もされており、本人を装って知らず知らずのうちに犯罪に巻き込まれる事も想定できます。
上記意見でも話しましたサイバー攻撃による情報漏洩も相まって要配慮個人情報にすべきだと思いました。
（意見）
顔や身体動作の特徴量などの生体データは、要配慮個人情報に加え強い保護を与える必要がある。

117

匿名

（理由）
生体データは変更不可能であるため、そのデータが不適正に利用された際の損害は深刻なものとなり得ます。このため生体データに関しては、単に個人情報として利用目的の明確化や事後的な利用停止などを図るだけでは不十分であり、要配慮個人情報として権利利益を十分に保護することが望ましいと考えます。
また「１ 個人の権利利益のより実質的な保護の在り方

118

匿名

(1)ア」の「生体データ」について、人間の外観や顔の形状・色や動き、声、歌声だけでなく、筆跡や絵柄のデジタルデータなど個人を特定出来るものは全て生体データとして、またはそれと同様のものとして扱い、保護すべきと考えます。

33 ページセンシティブデータの取り扱いについてはPIA、DPIAの内容が示す通り、自然人の権利及び自由に対し高いリスクを発生させる事が予想されており、実施する際の権利、自由への侵害に対する対策や検討が充分に進んでいない中で行われるべき議論ではない。
企業へのハッキングとそれに伴う情報流出への対策が問題視されている昨今、識別番号や生体データ等の個人では変える事の容易でないデータをどのような名目であれ使用する際に、そのシステムの119

匿名

ハッキング、悪用等への対策、またセンシティブデータをオプトアウトするか否かを選択出来る旨を国民やサービス利用者に周知する事が充分ではないまま開発に乗り出す事は国家や企業が国民を軽視する事に他ならない。
今後マイナンバーが普及するに伴っても避ける事の出来ない懸念点であり、デジタルの一本化が進めば進むほど利便性の追求により安全性が疎かになり易い点は重要な問題として検討されるべきである。
第２ 個別検討事項
1
個人情報が不適正に使用されている事案の中には、AIによるものが急増しており、中間整理でも言及のある部分です。中には、本来は個人情報を扱う資格を持たないはずのユーザーの悪用も目立っています。これは、生成AIに、個人情報が含まれるリスクが存在するためです。
そのため、【ビジネス・サービス等】、と限定するのは不適切です。
ビジネス・サービスやユーザー、とすべきです。
(1)
生体データの取扱いについて、、実効性ある規律を設けることを検討する必要があるという意見に賛同いたします。
また、日本国における特殊な環境についても一考の余地があることを申し添えておきます。
日本は現在、高齢化が進んでおり、人口のうち約半分、5000万人近くが五十代以上です。
高齢化による認知力の衰えは、見過ごしてはならない問題であると考えています。
高齢者の権利利益の保護は、子どもに対するものと同等か、それ以上に優先順位の高いものであるはずです。
そのため、本人による事後的な利用停止だけでは不十分だと考えます。

120

匿名

高齢者の認知力の低下状況は個々人によって様々なグラデーションを呈しており、一概に「こうすれば問題ない」と定めにくいものがあります。
日常生活に支障がなくても、生成AIによる巧妙化が進んだフィッシング詐欺などに引っかかりやすくなっているということもあるはずです。
この場合、第二十条の「適性な取得の例の二」では対応ができません。
国民の二人に一人が肉体的能力、判断力に問題のある可能性を非常に重く受け止め、諸外国よりも慎重な対応をお願います。
・事前に十分な説明がなされるべきこと・同意があったとしてもいつでも取り消せること
・視力等の低下でオプトアウトの項目が利用しづらい可能性を考え、ユニバーサルデザイン、かつ、非常に容易にアクセスできるページにオプトアウトの項目を設けること
以上三点の対応が急務であると考えます。
事業者の便宜をはかるため、規制をできるだけ行わないようにしようとする姿勢には批判を行いたいと思いますが、もしもオプトアウトのみで対応したいということであれば、社会的弱者や障害者が簡単にはオプトアウトできないような、ダークパターンと呼ばれる詐欺的手法を厳しく慎むような勧告、もしくは実効性のある罰則を設けるべきです。
日本の事業者は、こうした手法を堂々と「適法である」として行う傾向が見られます。
訴訟の手続きにアクセスしづらい弱者を狙ったビジネスは社会的にも許されないものであると考えます。

34 ページ

（同条第２項）について、個人情報事業者のみの適用とするのは少々時代に合っていないと感じます。
スクレイピングと呼ばれる手法で大規模にデータを取得し、電子計算機にかける行為を行う人間が増加したことも合わせ、この項目は、個人情報を含み得るスクレイピングデータで作成したデータ
セットの公開・提供者にも適用されることを検討していただきたいです。
この項目はすでに著作権法の情報解析の用に供するための法律で、利用規制はないものとされていますが、個人情報においてはこの条項が優先されるべきだと考えます。
121

匿名

生成AIによる顔特徴量データの利用は非常に需要が高いものです。
オープンデータをクロールし、生体データを主に取り扱う人間が多数いるにもかかわらず、個人あるいはユーザーであるとの理由で規制が設けられていないのは片手落ちです。
たとえ個人の情報解析であっても、生体データを利用する目的でデータセットを作成するのであれば、著作権法として適法であっても、個人情報事業者と同等の取り扱いを求めることはなんら矛盾していないと思います。
ユーザーの不正利用も念頭に置いた改正を検討していただくようお願いいたします。

122

匿名

意見

人間の肖像、外観、声、声、生体データとして保護すべきです。作家の絵柄等も個人が識別できる場合は対象にすべきです。

理由

個人を特定できるこれらの生体データは、個人の尊厳を守るために個人情報として保護されるべきです。

科学技術の発達により、個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなく、拡大する傾向にあります。
また、生体データの使われ方として、ディープフェイク、特にディープフェイクポルノの被害が世界中で拡大しており、特に対象とされる被害者の生体データを生成AIで使用する事例が目立ちます。子ども、女性、だけでなくあらゆる人間が対象となっております。特に、子どもの写真、商業で活動する声優の声がフェイクポルノ等の対象となっており、これらの生体データを生成AIでポルノ化する違法なサービスがインターネット等配布されており、保護が必要な状況です。
4,身体特徴情報の扱い

123

匿名

顔、声等の身体特徴のデータは、一度悪用されれば被害者の尊厳を深く傷付け、のちに保証を受けたとしても完全に回復するわけではない。生成AIが実在人物の顔に似た画像を「意図せず」作ることもあり、それが単なる偶然なのか？それとも学習データに元となる本人の画像が含まれていたのか？現時点では、学習データの多くが未公表のため判断が難しい。少なくとも、オプトイン方式にすれば意図せず個人のデータが紛れ込むことは少なくなるのではないか？

124

匿名

125

匿名

顔や身体も立派な個人情報ですので盗撮罪等を作るべき。
許可を得ずに偶然何者かの顔や身体がカメラのデータに入ってしまった場合は速やかに削除しなければいけない法律を作るべき。
・生体データの取り扱いについて
要配慮個人情報としてほしい。データの取り扱いには本人の同意を必要とし、オプトアウトも可能とする。
意見_ 人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべきです。
理由_ 人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データとして、または、生体データと同様な保護が求められます。
生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被

126

個人

害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
特に、子どもの肖像（写真）、声優の声やイラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
（意見）生体データは、端的に要配慮個人情報に含めるとともに、規制の実効が確保されるべきである。

127

個人

（理由）現在の情報環境では、生体データは、個人の行動追跡とその同一性の把握を可能とする。行動追跡は、個人のプライバシーや個人の尊厳に脅威となり得るものであり、現代においては、高度な配慮を要する。

35 ページ

意見
公益社団法人日
本消費生活アド128

バイザー・コン
サルタント・相談員協会（NACS）

生体データの取り扱いの実効性ある規律の在り方を検討することに賛成する。
理由
出入国管理やATM利用、スマートフォンのロック解除時など、さまざまな場面で生体情報が認証要素として利用されている。生体情報は、固有のものであるためセキュリティ強度が高い一方で、パスワードと異なり、変更することがほぼ不可能なため、一度露呈してしまうと深刻なリスクにつながる可能性がある。考え方にあるように保護の必要性が高く、本人がより直接的に関与できる必要があるということに賛同する。データの取得の際の利用目的の明確化、同意の取り方、データ保有期間、データ削除通知など現在事業者が実施している取組と海外の規律とを精査し、規律を設けて欲しい。
また、SNS上に写真や動画を投稿することは、顔、虹彩、耳介、声紋、掌形、指紋等の生体情報の露呈につながる可能性があり、生体情報を拡散させ収集され売り買いされアカウントの乗っ取り、な
りすましなど悪用されるリスクに繋がる恐れがある。投稿された生体データについての個人の保護の在り方についても検討が必要と考える。
意見：「生体データ」について、医療分野の研究開発におけるデータの利活用の阻害要因とならないよう、関係ステークホルダに意見を聞きながら、用語の見直し及び用語の明確化を慎重に行うべき。
理由：「生体データ」という用語には防犯カメラに映る画像データのみならず、医療行為から得られる個人の臨床検査値やレントゲン等の画像データも含んでしまう恐れがある。したがって、安易に「生体データ」という用語を用いたり、不明確な用語定義となることで、医療や医療分野における研究開発といった公益性の高い領域におけるデータ利活用の阻害要因となることを強く懸念する。
意見：「生体データ」や個人識別符号の利用目的については、リスクベースで評価する制度とすべき。
理由：
医薬品やAIの開発/学習に用いるなど、その利用目的によっては、本人の権利利益を侵害するリスクがほぼないと考えられる場合もある。同様に、公益性が高いと考えられる利用は、直接本人に影響

129

日本製薬工業協 を及ぼすのではなく、多くのデータから得られた知識・知見を社会に生かすような利用目的である。このように利用目的をリスクベースで評価し、上記に該当するような利用においては柔軟な規律と会すべきである。
意見：
臨床試験で収集されたデータについては、利用停止請求されるまでに収集されたデータについては継続して利用できるようにすべき。
理由：
医薬品の承認申請においては、臨床試験で収集した被験者データの解析結果に加え、その解析方法の検証を目的に、仮名化した被験者データを規制当局に提出することが求められる。解析を実施する
タイミングと規制当局に申請するタイミングは、長い場合では10年以上離れることがあるが、この間に被験者から自身のデータの利用停止請求がなされ、その請求に無条件に対応しないといけないとなれば、当初の解析結果を再現することができなくなり、承認申請に支障が出ることになる。すなわち解析で利用された全データが利用できなければ、科学的な評価を経た新薬を世に出せないことになり、救える命が救えなくなることに繋がり得る。

一般社団法人日 生体データの規律及び利用停止等請求権の拡張等についても、AI の活用に影響を及ぼしうるものであり、このような AI の活用に影響を及ぼし得る規律については、技術面のより深い検討を行うべき
130

本ディープラー である。
ニング協会

36 ページ

中間整理の個別検討事項に関するコメント
個人の権利と利益をより実質的に保護することを確実にするために、個人情報保護委員会の提案の一部に関して、以下の通り個別の意見を提示いたします。ただし、ご提示する意見は、私たちの意見のすべてを網羅しているものではなく、今後のプロセスにおいて、引き続き個人情報保護委員会を支援し、協働し続けてまいりたく存じます。
(1) 生体データ
該当箇所
第２ 個別検討事項
１個人の権利利益のより実質的な保護の在り方(1)個人情報等の適正な取扱いに関する規律の在り方
131

Apple

ア 要保護性の高い個人情報の取扱いについて（生体データ）「生体データは、長期にわたり特定の個人を追跡することに利用できる等の特徴を持ち得るものであり、 特に、 特定の個人を識別することができる水準が確保されている場合において、通常の個人情報と比較して個人の権利利益に与える影響が大きく、 保護の必要性が高
いと考えられる。 」
意見
生体データに関しては、通常の個人情報以上の追加的な保護が必要と考えるべきということに賛同します。そうすることで、例えばユーザーのデバイス上でユーザーによる管理のもとでのみ生体デー
タを処理するなど、組織として当該データの収集と処理を最小限にとどめる取組みが促されるものと考えます。
理由
生体データが特に慎重な取り扱いを要することは明らかであり、プライバシーバイデザインや生体データの収集の最小化などの取組みを促すことが望ましいと考えます。
意見内容

生体データの定義を明確にしていただきたい。
理由
現行法では「生体データ」を一意に定義づけておらず、生体データにはゲノムデータや顔のデータ、指紋のデータなど様々なものが想定される。具体例を列挙するなど読み手が異なる認識をすることを避けることが望ましい。
例えば個人情報の保護に関する法律施行令

第一条

一

イ～トのどれに該当するかのなど具体例を明示いただきたい。

意見内容
生体データを扱うことによるリスクの明確化が必要である。また、生体データの利用ケースによりリスクはそれぞれ異なるが、どのようなリスクが現行法で対応が難しいため規制の見直しが必要になるのかを明確にしていただきたい。
132

中間整理には社会的反響の大きかった事例が示されているが、それらの事例は現行法によるリスク低減が困難な事例であったのかについても明確にしていただきたい。
日本電気株式会 理由
社
生体データを扱うことの具体的なリスクや中間整理で例示されている事例におけるリスクは、現行法を遵守することで対応可能か否かについて検証が必要であり、その検証過程を通じて法改正のポイ
ントについて社会的なコンセンサスが図られると考えるため。
意見内容
規律の在り方の検討にあたっては、個人情報保護委員会が令和５年３月に公表している「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」に記載された内容と矛盾が生じないよう留意していただきたい。
理由
個人情報保護委員会がまとめた「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」は報告書という位置づけではあるものの、国民の理解も十分に得られている内容となっているだけでなく、例えば万引防止等の用途において個人情報取扱事業者はすでに本報告書に準拠した方法で個人情報を取り扱っているため、矛盾が生じると事業者や国民に混乱が生じかねないため。

37 ページ

【意見】133

日本損害保険協会

・事後的な利用停止を認める生体データの類型を明確化していただきたい。また、当然認められるべき利用目的以外の個人情報の取得・利用への規律の適用を検討するにあたっては、中間整理の3.(1)「本人同意を要しないデータ利活用等の在り方」の検討内容を踏まえ、生体データのみが、利用が難しい位置づけにならないように検討していただきたい。
【理由】
・生体データの本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とすることについては、事業者に過度な負担とならないよう、配慮を求めたい。
意見「生体データ」の定義を明確にすべき。その際、解釈の差異が生じないように、具体例を列挙すべき。また、「生体データ」という用語自体の見直しを検討すべき。
理由「生体データ」は、広く身体に関するデータが含まれる表現であり、中間整理に示された保護すべき対象とは必ずしも一致しないものも。また、様々な場面で活用されている生体データの中には、本人が任意に登録し、自由に設定等の変更が可能であったり、FIDO（公開鍵暗号化方式を用いてパスワードなしでログインする方法。FIDO〔Fast Identity Online〕アライアンスとWeb標準化団体のW3Cが共同で規格化）／パスキー等によって安全に管理されていたり、公益性の高い利活用も。今後とも技術の発展により様々な活用が見込まれる中、現行の政令第1条第1項（個人識別符号）に比して徒に広範な規制や、事業者が判断に迷う規制とならないように留意する必要。
【生体データの利活用例】✓本人認証（顔写真、指紋、静脈等）

134✓犯罪防止（防犯カメラ映像）
一般社団法人日 ✓自動運転時の歩行者等の属性認証（車載カメラ映像）
本経済団体連合 ✓疾患マーカー（顔の表情、歩行様式）会✓ゲノム医療、個別化医療（ゲノムデータ）✓人流データの把握（カメラ映像）
等
意見「本人による事後的な利用停止」について、事業者の過度な負担にならないように、慎重かつ丁寧に検討すべき。例えば、事後的な利用停止を認める生体データの類型を例示することも一案。
理由
他の保有個人データ以上に柔軟な利用停止を可能とすることは事業者の負担になりかねず。例えば、早期の削除や利用停止請求に対応する体制整備等、コスト増加に直結。さらに、生体データをAIの学習データとして取り込んでいる場合など、当該データのみを取り除くことが困難なケースも。

38 ページ個人情報保護委員会は、現行法では通常の個人情報として分類している顔特徴データなどの生体データの位置づけを要配慮個人情報にすることはせず、その代わりに、(a)利用目的の特定を通常よりも小さい粒度で行う、(b)利用停止等請求を現行法よりも広く認める、という考え方を示している。たしかに(a)や(b)は個人にとって自分が取得された生体データの利用目的を詳しく知り、不安や不満があれば事後的に削除を求めることが容易になるという点では有効であることは間違いないだろう。しかしながら、個人情報保護委員会が中間整理で指摘しているように、「長期間にわたり特定の個人を追跡することに利用できる等の特徴を持ち得る」生体データの取得や利用に係る脅威を回避するには、それだけでは十分とはいえまい。そのような個人の権利利益に与える影響を軽減するためには、取得の段階で規制する必要があるのではないか。GDPRでは、自然人を一意に識別することを目的とする生体データはspecial categories of personal data（日本法でいう要配慮個人情報）として扱っている。我が国でも、自然人を一意に識別することを目的とする生体データ（指紋や顔特徴データ）については、要配慮個人情報として、原則として取得の際に本人の同意を義務づけてはどうか。
ただし、取得に同意が必須であるとした場合、個人にとってリスクの低い利用法までもが制限される可能性がある。そのため、あらかじめ目的や利用形態、データ保持期間などによって例外を認める事例を定め、政令やガイドラインで除外することとしてはどうか。例えば、経済産業省「カメラ画像利活用ガイドブックver.3.0」p.48で紹介されているような、カメラで撮影された人物の画像から顔135

一般社団法人

特徴データを抽出して、年代・性別といった属性の推定を行い、顔特徴データはすぐに削除し蓄積しないという利用法であれば、個人識別性が無い場合に限り事前の本人同意は不要とし、(a)と(b)のMyDataJapan

み求められる、などとすることが適当ではないか。

公共政策委員会 ちなみに、リスクの高低を検討する際に、例えば、マイナンバーカードやパスポートを用いた顔認証は、カメラの前の人物の顔特徴データと、マイナンバーカードやパスポートのICチップの中に記録された顔画像の顔特徴データとを1対1で比較して照合するため、権利利益の侵害のおそれは低いであろう。
一方で、公的にアクセス可能な空間における遠隔生体識別は、駅や商業施設、スタジアムなどで通行人や来場者の全員の顔や姿を撮影して顔特徴データ（歩き方の特徴であれば歩容データ）を抽出
し、検知対象者の生体データが記録・蓄積された照合用データベースを用いて、1対多ないし多対多の比較をして照合を行うものであり、前者とは似て非なるものである。こうした利用法は、被写体となる個人にとって、避け難く、無差別であり、認識しづらい。また、個人に対する行動の監視や追跡につながる恐れがあり、リスクが高い利用法であるといえる。このほかにも、オンライン上で公開されている写真の画像をスクレイピングして顔特徴データを抽出し、利用者に検索を可能にさせるサービスは、個人本人が気付かぬところで当該個人を追跡や監視しやすくするため、個人の自由や安全が損なわれる恐れが高いものと考えられる。このように、個人の権利利益にとって高リスクであり禁止されるべき利用法がいかなるものであるかについても検討して、政令やガイドラインで明確化する必要があるのではないか。
なお、生体データの名称について、「個人識別符号に該当する生体データ」と呼称した方が、対象がより明確になるのではないか。また、医療分野における生体データの扱いについては特別法において検討することとし、一般法における議論と区別すべきであることにも注意されたい。

（意見）人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべきです。
（理由）人間の肖像、外観、顔の形状・色や動き、声、歌声、絵柄、筆跡のデジタルデータなど、個人を特定できるデータは、生体データとして、または、生体データと同様な保護が求められます。
生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被136

個人害が拡大し、深刻化するもので、何らかの個人を識別できるデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
特に、子どもの肖像（写真）、声優の声、イラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや、生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
・生体データ。要配慮個人情報にするべき。

137

匿名

生成AIによるディープフェイク問題も抱えているのに、顔のデータの取り扱いがずさんなんて恐ろしい。
個人を識別、認証できる生体データは個人情報であり、写真や映像等の肖像は個人情報にあたる。

138

個人

生体データは個人の権利利益に与える影響が大きく、保護の必要がある。
個人情報を保護することを原則とし、デジタル化やビジネス面でのニーズに惑わされず、本人との適切な同意形成が必須である。
よって個人の権利利益が侵害されるリスク、被害の深刻さを鑑みて法第２７条第２項及びオプトアウト届出制度を削除、法第２７条第１項を原則とした個人情報の取り扱いを遵守すること。

39 ページ

（意見）要配慮個人情報を個人データの下位概念（要配慮個人データ）とした上で、定義を拡張し、生体データを含めるべきである。
行政機関等に対し、DPOの選任を義務付け、ハイリスクな個人データ処理、特に生体データの大規模な処理に関しDPIAを義務付け、これらの個情委への届出（DPIAについては対象の処理活動の実施
前の届出）を義務付けるべきである。
個情委は、行政機関等による個人データ処理、特に法執行機関や公立学校による生体データ処理に関し、資料提出・説明要求（個情法156条）、法制上の措置（同法6条）の提案（個人情報保護法制
以外の法令の立案への関与を要求し、個人データの適正処理のための措置を提案することを含む。）、「個人情報等の適正処理に関係する政策の基本原則」に従った規則制定の勧告（同法158条）等
139

個人を行うべきである。
（理由）
生体データ処理の規制を強化する場合、公的機関による処理の適正化は特に重要な課題となるが、公的機関による生体データ処理は、法執行機関や公立学校による生体データ処理がそうであるように、本人関与による適正化が困難である場合も多い。一方で、行政機関等は、自主的に個人データの適正処理を確保することが期待されるが、そのために必要な知識又は能力を有しているとは限らない。そこで、法律で一定の体制整備を義務付けるとともに、独立専門機関としての個情委が、個別の漏えい等や違反行為への対応だけでなく、行政機関等の体制整備自体や、政府全体の体制整備ともいえる立法措置について、積極的な役割を果たすべきである（令和2年改正時の第105回委員会議事録1頁最終段落における板倉弁護士の意見、第287回委員会議事録31頁の宍戸教授の意見参照）。
個人情報保護制度について、顔の画像データや声の音声データなど生体データについても個人情報として定義し、第三者に許可なく使用されないように定めて欲しいと考えます。

140

匿名

防犯や施設管理などを目的とした場合でもデータの保存期間などを定め、無期限に使用し続けられないようにすべきです。
研究・商用目的に個人の情報を使う場合は必ず本人の許可を得る必要があるように定めで欲しいです。
意見
生体データを本人の承諾なく利用することには禁止するべきである。
「・ ある地区のスマートシティ化等を目的として、ある駅周辺に多数の AI カメラを設置し、人流データの取得・解析を開始することを発表した事例」について、
AIカメラの設置には断固として否定します。
次いで、積水ハウスと博報堂の開発している「住まい手の生活行動ビッグデータのAI 解析で行動の源泉(潜在意識)を可視化 」などの、個人の生活行動を記録したデータをAIで利用すること、そのデー
タの管理の安全性の危惧について。
理由

141

匿名

このようなAIカメラで取得された個人を特定できる生体データを、本邦の開発企業や政府が適切に管理できるとは思えないサイバー攻撃を受けての度重なる個人情報の流出が相次いでいる。
このようなAIカメラの設置はEUのAI法でも「最もリスクの高い『容認できない』AI」として位置づけられ、禁止の対象となっている。
本邦でも安易にAIカメラによる個人の追跡を可能とすることは、日本国民としても許容できないものである。
積水ハウスと博報堂の開発している「住まい手の生活行動ビッグデータのAI 解析で行動の源泉(潜在意識)を可視化 」のような個人データのAI利用についても、同様に個人情報の流出や、企業内部の人間によって特定の家庭や個人の生活行動データを閲覧、犯罪利用されるかもしれない危険性を孕んでいる。
生体データの収集には原則として情報提供者の理解の上での承諾のもと、厳しいルールや罰則を設けるべきである。
監視カメラから個人データを収集されたことは生活している一般人には気づきようがなく、あとからオプトアウト申請できることにしても、収集されたことを知らないまま企業によって利用されるだ
ろうことが推察できる。
生体データを本人の承諾なく利用することには禁止するべきである。

142

個人

生体データを、原則として要配慮個人情報とすることに賛成します。
生体データのプライバシー性に鑑みれば、例外を設ける範囲は、犯罪予防や安全確保等公益的見地等から必要最低限とすべきです。

40 ページ意見：「特に要保護性が高いと考えられる生体データについて、実効性ある規律を設けることを検討する必要がある」（4頁）とのことであるが、かかる「特に要保護性が高いと考えられる生体デー
タ」にどのようなものが該当するかについて、定義化やガイドライン等で示すことにより明確化されたい。その上で、➀利用目的の特定、②事後的な利用停止の柔軟化が実務上実施可能なものである
長島・大野・常松法律事務所143

データプロテク
ションチーム有志一同のかについては、事業者の意見も聞きつつ、丁寧に検討されたい。
理由：生体データを活用した本人認証の事業への利活用は、本人及び事業者の利便性の高さや、パスワードによる本人認証に依拠することの限界（例えば、自社からパスワードが漏えいしていなかったとしても本人がパスワードを使い回ししているような場合に特定のサーバ攻撃により漏えいが生じた場合に影響を受けうること等）を踏まえ、今後もその重要性が高まることが予想される。また、
中間整理でも指摘されているとおり、生体データについて犯罪予防や安全確保等のために利用することも、公共の利益のために重要であり、国民から一定の期待があるものと思料している。一方で、規律の適用対象については必要な範囲で定められるべきであり、新たに規律を設ける場合には適用対象となる範囲が明確になるよう、留意されたい。
また、例えば、中間整理の事例であげられたカメラを利用した犯罪予防や安全確保等に生体データを利活用する場合など、一定範囲の公共空間に存在する対象者の風貌等を利用するにあたって、➀利用目的を特定した場合や、例えばカメラ画像など②事後的な利用停止の申し入れがあった場合に、規律の具体的な内容次第では事業者において技術的又は経済的に対応が困難となる場合も予想されることに留意されたい。
（御意見）「生体データ」について、医療分野の研究開発におけるデータの利活用の阻害要因とならないよう、関係ステークホルダに意見を聞きながら、用語の見直し及び用語の明確化を慎重に行うべき。
（理由）「生体データ」という用語には防犯カメラに映る画像データのみならず、医療行為から得られる個人の臨床検査値やレントゲン等の画像データも含んでしまう恐れがある。したがって、安易に「生体データ」という用語を用いたり、不明確な用語定義となることで、医療や医療分野における研究開発といった公益性の高い領域におけるデータ利活用の阻害要因となることを強く懸念する。

144

日本製薬団体連 （意見）
臨床試験で収集されたデータについては、利用停止請求されるまでに収集されたデータについては継続して利用できるようにすべき。
合会（理由）

医薬品の承認申請においては、臨床試験で収集した被験者データの解析結果に加え、その解析方法の検証を目的に、仮名化した被験者データを規制当局に提出することが求められる。解析を実施する
タイミングと規制当局に申請するタイミングは、長い場合では10年以上離れることがあるが、この間に被験者から自身のデータの利用停止請求がなされ、その請求に無条件に対応しないといけないとなれば、当初の解析結果を再現することができなくなり、承認申請に支障が出ることになる。すなわち解析で利用された全データが利用できなければ、科学的な評価を経た新薬を世に出せないことになり、救える命が救えなくなることに繋がり得る。

41 ページ

(意見)
生体データが、標準的な個人情報を超える追加的な保護を必要とすると考えるべきであることに同意する。そうすることで、組織として、そのようなデータの収集と取扱いを最小限とするとともに、
例えば、ユーザーのデバイス上で、ユーザーによる管理のもとで当該データを処理するなどの取組が促進されると考えられる。
(理由)
生体データは特に慎重な取扱いを要することが明白であり、データ取得の最小化等の取組の奨励が望まれるため。
(意見)「本人による利用停止を柔軟に可能にする。」ことについては、事業者への過度な負担にならないような規律が望まれる。
事業者における保有個人データの管理システムの仕様によっては、生体データのみを、その他の保有個人データと切り離して削除等することができない場合もありえる。そのため、必ずしも生体デー
タ単独での削除等を可能にすることまでを事業者に求めるものではない旨をガイドライン等で明示されたい。例えば、システムの仕様によっては、紐づく保有個人データすべてを一括して削除等する、という方法をとらざるを得ず、その場合は、結果として、本人のサービス利用に不便をかける可能性があるが、そのような対応方法（紐づく保有個人データのすべてが一括して削除等される）も、生体データを保護する必要性が高いという観点から許容される旨をガイドライン等で明示されたい。
(理由)
事業者における保有個人データの管理システムによっては、生体データのみ、その他の保有個人データと切り離した削除等ができない場合もありえるため。例えば、認証データをデバイス上ではなくクラウドで保管・管理することにより、別の個人情報と結合して管理される場合があり、この場合は、当該生体データを個別に切り離して管理するような個人データの運用をしていないことが想定される。その場合、当該データだけを切り離して利用停止・削除することは困難である。
(意見)
個人情報保護委員会が、生体データの保護の機密性と重要性を認識していることは適切である。我々は、「本人関与や安全管理措置等を通じた個人の権利利益の保護とのバランス」が重要であること
145に合意する。我々は、ユーザーが個人データを高度に柔軟に管理することが適切であると考える。また、個人情報保護委員会が生体データを「自然人を一意に識別することを意図した」データとして
在日米国商工会 定義することが重要である。この定義は、写真などの個人情報を含むように生体データの定義を過度に拡大しないようにしながら、適切な保護を確保するために重要である。
議所（ACCJ） (理由)適切なデータ保護と運用とのバランスを図ることが重要であるため（意見）
他の個人情報保護法との一貫性を保つため、バイオメトリクスデータを機微な個人データとして扱うことと機微な個人データに適用されるセキュリティ強化措置がそれに応じて適用されることを推奨する。ただし、「高度に保護された個人データ」という第三のカテゴリーを設けることだけは避けるべきである。
さらに、組織が従業員のバイオメトリクスデータを収集・処理する際には、データ主体からの特定の同意以外の追加の法的根拠と、より制限の緩やかな措置を含めることが望ましい。
（理由）
グローバル企業の多くは、事業を展開する市場で同様のバイオメトリクス・ソリューションを導入している（例えば、オフィスへの入退室のための虹彩スキャン、指紋読み取りなど）。プライバシー原則の整合性を図ることは、グローバル企業が異なる市場をまたいでこれらのバイオメトリクス機能を展開する際に、同様のアプローチとソリューションを採用することを可能にするものであり、日本のみが、追加的なより厳しい要件を求める、外れ値のような状況となることは避けていただきたい。
(意見)
中間整理（3ページ）において「生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することも想定されるものである」とされているとおり、生体データによる本人認証は、犯罪予防や安全確保といった重要な目的にも資するものである。このような重要な目的の実効性を担保するためには、利用目的の特定に重きを置きすぎると当該手続の潜脱や悪用を許してしまう可能性があるという点にも留意しなければならない。そこで、①利用目的の特定を合理的に必要でかつ犯罪予防や安全確保等との観点からも不都合が生じない範囲に限定したり、②犯罪予防や安全確保等の観点から必要な場合には利用目的の特定について例外を認めたりするなど、当該手続の潜脱や悪用の防止という観点にも十分な配慮をしていただきたい。
(理由)
犯罪予防や安全確保といった重要な目的の実効性を担保する必要があるため。

42 ページ

（意見）
生体データの利用についての本人による直接的な関与の強化等の新たな規律を検討する際には、中間整理にも記載の通り生体データの取得・利用が本人認証をはじめとして幅広い場面で進んでいることを踏まえ、事業者・関係団体等幅広いステークホルダー関係事業者や事業者団体と連携し、既に行われているリスク管理やガバナンスを含む既存の実務実態を正確に把握した上で、本議論を進めて
146

AIガバナンス協会 いただきたい。
（理由）
生体データを用いるAIサービス等の活用は広がっており、既に学習データとして活用したデータ等を含め、広範に事後的な利用停止等が認められる場合、実務的な運用の負担が過度に大きくなるおそれがある。このため、現状各企業によって実施されている利用目的の通知等の実態も踏まえ、措置の範囲等については慎重に検討することが望ましいと考える。
【意見】
生体データの定義いかんによるが、生体データを利用目的どおりに使っている場合は、本人による事後的な利用停止の導入の必要性は低い。
【理由】
要保護性のある個人情報については、個人情報の保護に関する法律（以下「個人情報保護法」という）において、「要配慮個人情報」として保護が図られているという建て付けを踏まえると、生体データは現在でも要配慮個人情報ではないところ、まず検討すべきは、「特に要保護性が高いと考えられる生体データ」について、要配慮個人情報に含めるかという点ではないかと思われる。そして、要配慮個人情報において一律の事後的な利用停止までは認められていないことは、個人情報保護法上、要配慮個人情報についても、取得に係る本人同意の要件に加えた利用目的の特定等の規律により、個人の権利利益の保護を図ることができることを前提にしてきたといえ、生体データについてもこの枠組みで議論するのが適切ではないかと考えられる。
【意見】
仮に、生体データについて、本人による事後的な利用停止の制度を導入する場合、その対象を具体化すべきである。
【理由】
生体データの要保護性は事業によりけりであり、たとえば、長期間の行動様式を調査する事業ではない場合、本人による事後的な利用停止まで求める必要性が低い。

147

経営法友会

【意見】
仮に、生体データについて、本人による事後的な利用停止の制度を導入する場合、生体データと生体データ以外のデータが一体として管理されている場合は、本人による事後的な利用停止の例外措置を設けるべきである。
【理由】
一体として管理しているデータの一部のみの利用停止は、技術的にハードルがある。
【意見】
仮に、生体データについて、本人による事後的な利用停止の制度が導入され、「本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とする」（中間整理4頁）場合、求められる「柔軟」な利用停止の手段や方法をあらかじめ具体明確化されたい。
【理由】
事業者が、費用や導入期間、経営と事業、現状の運用に、どの程度インパクトがあるのかの予見可能性を高められるようにする必要がある。

（御意見）「生体データの取扱いに関連する社会的反響の大きかった事例」に対する個人情報保護委員会としての考え方を明確にされたい。また、犯罪予防や安全確保等のために利用することも想定されるとし
148

一般社団法人日 ている生体データについて、具体的にどのような方法によって個人の権利利益の保護とのバランスを図っていくことが適切であると個人情報保護委員会が考えているかを明確にされたい。また現在、
本IT団体連盟

セキュリティ上のリスクの変化により、二要素認証、特に生体認証を活用することが求めらることが増えているが、生体認証の採用により個人情報漏洩リスクを低減することができるという機能に関しキュリティリスクのバランスをどのように個人情報保護委員会として考えているのか見解を明らかにされたい。
なお、「生体データ」の用語は、一般的な用法としては人の身体から取得できるデータ全般を指すため定義を明確にしていただきたい。

149

日本郵便(株)

意見・理由：・弊社における郵便物等の配達に用いる個人データのように、社会インフラとして必要不可欠な個人データもあるため、「他の保有個人データ以上に柔軟に事後的な利用停止を認める」
場合においても、社会インフラとしての機能に影響を及ぼさないように運用していただきたい。

43 ページ

意見内容：「生体データの取扱いについて、諸外国における法制度なども参考にしつつ、特に要保護性が高いと考えられる生体データについて、実効性ある規律を設けることを検討する必要がある。」とある
が、生体データの定義を明確化すべきである。生体データについては、顔情報の他、静脈認証、指紋認証、虹彩認証などがあるが、データとしての要保護性の観点から差異があると考えられることか
ら、施行規則等によって、対象となる情報を列挙（限定列挙が望ましい。）するなど対象範囲を明確化していただきたい。
意見内容：「生体データの取扱いについて、諸外国における法制度なども参考にしつつ、特に要保護性が高いと考えられる生体データについて、実効性ある規律を設けることを検討する必要がある。」とある
150

一般社団法人全国銀行協会が、生体データに関する規律を設ける場合、事業者および業務への負担を軽減する配慮も不可欠であり、その観点から下記１、２を提案したい（現時点では生体データを利用している業務はないが、今後の可能性を見据え要望させていただくもの）。
１

諸外国の制度の事例として、例えばシンガポールでは、シンガポール通貨監督庁による【銀行向け通達第626号】にもとづき、金融機関がマネー・ローンダリングおよびテロ資金供与の防止のために（AML/CFT対応）個人情報を利用する際には、本人同意を要しないこととされている。同様に、日本においても、AML/CFT対応の目的で生体データを利用する場合は、本人同意を要しないこととする。
２

本人からのオプトアウトについて、本人の生命・身体の保護や、犯罪防止のために生体データを取得・利用する場合には適用されないこととする。

意見内容：「他方、生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することも想定されるものである。」とあるが、店舗内外の防犯カメラ映像など、犯罪防止等の観点で取得する生体データについては、個人の関与に馴染まないことや利用目的の通知の困難性、公益的利用の観点が必要と考えられることから、例外としていただきたい。

〇意見・中間整理では、「生体データの要保護性を踏まえると、生体データを取り扱う場合においては、例えば、どのようなサービスやプロジェクトに利用するかを含めた形で利用目的を特定することを求
151

一般社団法人生命保険協会

めることが考えられる」「本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とすることが考えられる」とされている。
・生体データの利用において、対象となるサービスやプロジェクトを予め具体的かつ網羅的に特定することは実務上困難である。また、利用停止を他の保有個人データ以上に柔軟にすることについて、例えば、利用停止を電話のみ等の簡易な方法で行えるようにすると、結果的に望まない利用停止を即時に行ってしまうリスクもあり、かえって顧客利便性を阻害する可能性も考えられる。中間整
理にも記載のとおり、「事業者における利活用の実態やニーズ、運用の負担、利用目的の違いによる影響なども考慮し」、顧客利便性等に支障が生じないよう慎重に検討いただきたい。

44 ページ【意見】早期に、EU、中国、韓国、インドなどと同様に、自然人を一意に識別することを目的とする生体データは、センシティブデータとして特有の規律を設けるべき。生体データ(特に顔特徴データ)の収集•
利用は社会通念上その必要性が十分認められる場合に限定され、収集•利用者に対しては明確に本人同意取得義務を課し、一般的な個人データよりも高度な安全管理措置、重い法的責任を求めることが適切と考える。
【理由】
主要国の多くが、自然人を一意に識別することを目的とする生体データをセンシティブデータとして特有の規律を定めているのは、当然ながらそのデータに特殊性があるためだと考えます。
面倒であったとしても変更可能なマイナンバーや携帯番号と違って、生体データ(特に顔特徴データ)は変更不可能であるため数十年間にわたり個人の識別に利用できます。技術的には少年時代の顔特徴データで一生涯個人の識別ができるかもしれません。極めて純度の高い個人情報ですが、その純度の高さが不適切利用や悪用に対する脆弱性につながるという見方もできます。
また、センシティブなデータでありながら、本人に気付かれることなく収集することが比較的容易です(単に録画のみをする監視カメラと個人を特定できる顔認証などの機能を備えた監視カメラの見分けは通常不可能です)。
例えば、利用が急拡大している顔認証•顧客管理システムについて、以下のようなシステムが比較的廉価で多数販売されています。中小企業での導入事例も散見します。
●●●●●
●●●●●
152

匿名

個人情報保護委員会のQ&A (Q1-12〜16)にまとまっていますが、顔特徴データから個人を識別し商用利用する場合には顧客に通知•同意を得なければならないとされています。
https://www.ppc. go.jp/personalinfo/faq/APPI_QA/#q1-31
しかし現状、このルールはあってないようだと感じています。今は顔特徴データのかき集め時(やりたい放題)で、大部分の人が知らないところで膨大な顔特徴データリストが日々作り上げられている
不穏な状況なのではないでしょうか。
このままではいずれ、個人情報データベースを膨らませる過程で、最も高い精度で個人識別できる顔特徴データを軸とした顔寄せが行われるようになってしまうのではないかと思います。
顔特徴データを含む大きな個人情報データベースを持った者は、個人の写真を撮ってデータベースと照合すれば容易に個人を特定でき、場合によっては個人の行動をトラッキングすることも可能になります。オンライン行動履歴などとは比較にならないレベルでプライバシーが侵害されるおそれがあります。
流出した顔特徴データが金融資産などを含むいわゆる「闇名簿」に紐づけば、個人の生活基盤や生命身体の安全を脅かすような犯罪行為との親和性も非常に高くなります。
他のどの個人情報よりも深くプライバシーや生活安全の脅威となる可能性があり、生涯変更できない究極の個人情報ともいえるデータの特殊性を踏まえ、極力早期にセンシティブデータとしてEUのGDPRレベルの法的規制を設けるべきだと考えます。
顔特徴データの収集•利用は社会通念上その必要性が十分認められる場合に限定されるベきで、自社の利益のために顧客(個人)にリスクをむやみに押し付けるような安易な商用利用には規制を設けるべきだと考えます。必要性が十分認められる場合であっても、個人に対していかなる生体データが収集されるのか等を“事前に”情報提供し理解に基づく明白な同意を得ることが必須と考えます。収集•利用者には、データの高度な安全管理措置、重い法的責任を求めることが適切と考えます。

45 ページ

AIカメラについては、中間整理で言及されている国々にあるようにオプトイン制、または事前周知をしっかりした上で（途中停止も可能な）オプトアウトが可能になるべきと考えています。
生体データの個別具体の利用許諾については、オプトアウトではなく必ずオプトイン制で、いつでも撤回できるようにするべきです。指紋や顔認証には便利さも感じていますが、何かあった時に取り返しがつかなくなるためです。
また、いち市民としては、個人証明として登録したデータを第三社に売り渡され、これまで以上の直接的な営利利用や人権侵害リスクの高い利用をされる懸念を、生成AIが登場してから持っています。
画像生成AIで、特定の人物と同人物に見える写実画像が出るリスクがあるのは、SNSなどでも何度も起きそのたびに大きな反響があるのでご存知かと思います。更に性的だったり残虐な写真風AI画像
が自身や家族の顔になっていたら、精神的ダメージはもちろん、社会的ダメージも少なくないでしょう。いくら被害者でも潜在的なイメージというのはどうしてもついて回ってしまいますので。
更に、今でも他人の顔写真を詐欺などの犯罪に使うケースがありますが、これもより難解になると考えています。これまでのように別人の写真を使った場合は従来の画像検索機能レベルで同定が比較的容易ですが、生成AIによる「限りなく本人に見えるが顔認証では別人判定の何か」の場合は同定、差し止め要求、訴訟が困難になるのではないかと危惧しています。少なくとも私は、詐欺師として自分の顔を世界に晒されたくはないです。
これらはAIに限ったことではないですが、AIのように、ノウハウのない人間でも複雑な犯罪工作を容易にしてしまう技術ができた以上、個人情報の無断利用や目的外利用（特にコンテンツが直接出力される生成AI）、個人情報の転売にはより厳しい制限を設け、罰則を厳しくするべきです。また何らかの方法でそれをロンダリングする行為に関しても厳しい罰則、法の穴についてはつどスピード感を持って対応していただきたいです。
153(再掲)

匿名

数ヶ月前、メタなど新しくAI学習機能を実装したサービスにおいて、EUのAI法等を受けオプトアウトを実装したもののオプトアウト方法が難解すぎることが問題になったことがありました。個人情報や個人のコンテンツを利用されるかについて本人に選択権を留保するはもちろん、たとえば会員登録時や規約改訂時に許可するかを選択させる、選択していない時点では収集や学習をしないことを徹底させるべきです。
また、「はい」のみの選択肢の禁止（拒否して退会したいのに「はい」を押さないと退会もできないという悪質なケースもありました）、「はい or 端の小さなバツ」で拒否はできますよなど脱法的なのものも多くあります。これらについても規制の強化を求めます。
生成AIを特別に対象とした法規制の例外は行うべきではないと考えています。
従来のシステムとは違い完全なコントロール下に置くことが行うのが難しいことを踏まえれば、むしろより厳しく規制すべきではないでしょうか。
それでも例外をということであれば、本当に人命に関わるものや国防に関わるもの、それを国が責任を持って研究・管理し、学習用データの民間への提供は絶対に行わないことを法的に義務付けた上で行うべきです。
いかに国益に適っていようと、特定の業界の利益のために無断・無償で個人情報が学習されることを合法とするのは完全に不公平で重大な人権侵害です。海外での規制も踏まえ、短期的利益に走らない冷静な判断を期待します。

154(再掲)

個人

意見

人間の肖像、外観、声を生体データとして保護すべき。

理由

生成AIによりディープフェイクやなりすまし(他人になりすまして金品を騙し取る、あるいは悪事を行なって名誉を毀損する等)の被害が拡大している。

捏造された情報でも拡散されてしまえば流布した人物を訴えても訂正は難しく、また最近では海外のサーバーを間に噛ませるなどして情報開示を回避され、流布した人物を特定できず裁判まで辿り着けない悪質なケースも多く存在する。また、生成AIアプリから意図せず特定の人物の写真データを学習元にした顔が出力されてしまい、そのつもりがないのに他人の肖像を自分のアバターとして使用してしまっていた、というケースも見られた。
個人情報保護法でスクレイピングや本人が望まない生体データの収集を規制してほしい。

46 ページ

第２ 個別検討事項

１ 個人の権利利益のより実質的な保護の在り方(1)個人情報等の適正な取扱いに関する規律の在り方
No.

イ 「不適正な利用の禁止」「適正な取得」の規律の明確化

提出者

提出意見
【意見】
本人の識別または連絡が可能な個人関連情報について個人情報と同様の規律を課すことには賛成である。
【理由】

155

ネット広告業界では近年、ハッシュ化メールアドレスや共通ID等を利用した利用者の識別が行われている。これらを用いることで実質的に本人を識別しターゲティング広告を配信できるにもかかわら個人ず、我が国ではこれらの情報は特定個人を識別しないとして多くの場合規律対象外となっている。しかし、一般人から見れば、他ならない自分に合わせた広告が届くのであるから、自分を特定されていると感じるのは当然であり、それが「個人ではなく端末を識別しているから」規制されないというのは承服しがたい。広告事業者にも法の趣旨を踏まえて事業を行う者とそうでない者が現れており、後者が利益を挙げている実態がある。こうした現状を改めるためには、少なくとも本人の識別や連絡可能な個人関連情報については、不正取得や不適正利用にとどまらず、個人データと同様の規律を課す必要があると考えるから。
・不適正な利用の禁止について、実際に事業者が「不適正な利用」をあえて企てるというケースは極めて少ない。●●事案において、「学生の内定辞退率を計算し、企業に提供した行為」が「不適切な利用」だとして非難されているが、●●参加企業から見れば、内定を出した学生が辞退することで、可能性があった学生に内定を出さなかった分のロスが生じる状況が拡大していっていた背景から、その時点においては、自らが「不適正な利用」に気づくことは難しかったであろう。
これを防ぐには、新規事業において第三者機関の意見を確認することが、そのひとつとなるが、認定個人情報保護団体制度の活用を促すべきではないか。
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
・適正な取得について、現行法で規制しているところは、「脅す、騙す、盗む」の範囲にとどまっている、第三者からの提供によって個人情報を取得する場合に、当該第三者が「脅す、騙す、盗むに株式会社シーピー
156

デザインコンサル
ティング

よって取得したものではないか」を調査することまでは要求されていない。
この点が穴となっていないかは調査する必要がある。
また、「本人が容易に知覚できない方法によって個人情報を取得する場合」について、現行法では、個人情報の利用目的を公表していれば足りることになっている。（店内に設置したビーコンなどでスマホの固有識別子を拾い、個人データと紐付けるなど）
Ｂ社にとって、個人関連情報になるものの提供を受けたＡ社が個人データと紐付ける場合には、Ａ社があらかじめ本人同意を得ておく必要がある（B社には、その確認義務があるため）わけだが、A社自身が「それ単体では個人情報とならない個人に関する情報」を取得し、その後に、既に保有している個人データと紐付ける場合や、後に取得する個人データと紐つける場合において、「それ単体では個
人情報とならない個人に関する情報（店内に設置したビーコンなどでスマホの固有識別子を拾い、個人データと紐付けるなど）」が、本人が気づかない状態で行われている状態が拡がっている。
こうした「本人が容易に知覚できない方法によって個人情報を取得する場合」について、本人に通知するよう規制すべきではないか。
個人情報取扱事業者は、偽り等の不正の手段により個人情報を取得してはならない。
意見
・いわゆる個人関連情報は個人情報に該当すると整理するべきです。

公益社団法人157

全

国消費生活相談員
協会

理由・現行、個人情報に該当しない電話番号、メールアドレス、cookie、ID、端末識別番号、パスワード等の個人関連情報については、法31条に該当しない限り規律がありません。しかし現実には、事業者が個人関連情報を取得し、それによって本人にアクセスが可能になり、結果として個人がさまざまな被害にあうケースが増加しています。またスマートフォンのアプリ等を通じて、端末識別符号や利用状況などの情報を本人が知らない内に密かに収集するなどの行為が行われているリスクも見られます。もともと個人関連情報はテクニカルな規定であり、必ずしも国民に分かりやすい規定とは言えません。しかも実態がここまで進行している以上、個人関連情報を個人情報と整理することが必要であり、不正行為の抑止にもっとも効果的であると思われます。よく知られているように、欧州等では電話番号、メールアドレス、cookie等は単体で個人情報とされていますが、そのことによる問題は聞いていません。

47 ページ

（意見）該当箇所の趣旨に賛同いたします。つきましては、「具体化・類型化」を検討する好ましくない事例として、Q＆A 8-10（https://www.ppc.go.jp/all_faq_index/faq1-q8-10/）で挙げられているような、
webサイトに第三者のタグを設置する事例をより詳細に分析頂きたく存じます。
（理由）
Q＆A 8-10で挙げられている事例は、webサイトの運営者（A社）がアクセス状況を得る為や、広告プラットフォーム事業者（B社）の広告枠を組み入れる為に、B社のタグを設置することで、B社側で保有するユーザーの識別手段にて、当該ユーザーによるA社ウェブサイト訪問の事実を判定、これによりB社が個人情報もしくは個人関連情報として当該ユーザーの閲覧履歴を得るという、現在様々なwebサイトにて非常に一般的になっている状況を示しています。このQ＆Aでは、B社により取得される閲覧履歴をA社が取り扱っていたか否かによって、（一）B社が本人から直接取得したか／（二）B社がA社から提供を受けたかという、個情法において重要な枠組みの違いが生ずるとしています。
ここで、仮に（一）と考えられる場合には、webサイト訪問時にB社による利用目的の通知や公表等がない場合、ユーザーは知らないうちに当該webサイトを閲覧したことをB社により多数のwebサイ
トを跨ぐ閲覧履歴の一部として利用されることとなり、この閲覧履歴が個人情報データベースに該当する場合には、Q＆Aで指摘されている通り、個情法第20条１項の違反になると考えられます。にもかかわらず、実際にはB社に相当するタグ提供事業者は、webサイトに第三者として事実上ユーザーに判らぬよう「潜伏」しており、当該webサイトにてかかる通知又は公表をすることは稀であり、このよ
うなB社による閲覧履歴の収集を拒否したくても、webサイト運営者が「個人データの第三者提供にあたる可能性もある」と考えてユーザーに当該提供を予告の上で不同意の場合の意思表示を受付けて当該提供を停止するための機能を提供していなければ、そうした閲覧履歴の形成を防ぎたいユーザーは、自分が閲覧しようとするwebサイトにかかる「B社の技術の潜伏」がありうることを予め知ってい158

個人

なければならず、かつ、何らかの技術的手段を自ら講じてB社によるかかる収集を防がなければならないという、個情法に基づく保護を受けにくい立場に置かれているのが現実です。
そして、webサイト運営者（A社）からみても、B社のタグを設置することで、A社自身で取り扱っているユーザーのデータをB社が取り扱うことになるか／ならないか／両方なのか……の判断や、B社にて個人関連情報が個人データに復元されることになるのかの判断は、B社のタグでA社webサイトにインクルードされるB社もしくは他の第三者のJSプログラムにより行われるデータの送信や処理の内容をA社では把握しきれないことから、現実に困難であり、その結果は不正確にならざるを得ないのですから、現行の個情法の定めは、webサイト運営者としてユーザーの権利保護のため何をしなければならないか判断するのに必要な定めを欠いていると判断されるべきと考えます。
このような状況を解決するうえで、A社側が必ずしもweb技術の最先端を把握しているわけではないこと、B社の側の知的財産の保護やB社側における（例えば）不正広告の抑制などの正当な理由によってデータ処理の全てを開示できない事情も考慮する必要があることから、A社にB社タグにより生ずるデータ処理仕様の把握義務を課す／Ｂ社にＡ社へのＢ社タグにより生ずるデータ処理仕様の開示義務を課すことは（いずれも）適切でないと考えられますので、A社によるB社処理の理解や把握の程度に依存しない制度が必要と考えます。
そのためには、例えば：（１）こうした法的枠組みの不安定性を生じさせる行為（＝A社が自ら運営するwebサイトにB社タグを設置すること）が、第19条の「違法又は不当な行為を助長し、又は誘発するおそれがある方法」に該当しB社に第20条第1項に違反する取得を生じさせると推定する旨を新たに規定したうえで、（２）B社タグにより収集可能なデータについてA社が提供不同意の機会をユーザーに与えている場合には（１）の推定が覆滅されるとしつつ、（３）B社にて取得したデータの範囲やそれらのデータ項目にかかる利用目的の通知又は公表をB社が適切に行っていない場合には（２）の覆滅がなされない……といったような、第19条における何らかの改正が必要になるものと考えます。
このような改正を検討するうえで、個情委におかれましては、web技術の専門家の助力を得て、実際のwebサイトにて実際の第三者タグの動作を解析し、送信先となる第三者の側の通知・公表などの状況を調査し、その結果を公表していくことが必要と思われますので、これを意見として上げさせていただきました。

48 ページ

（意見）該当箇所の趣旨に賛同いたします。ただし、「これまでに問題とされた事例等」以外にも、ある程度一般化して分析頂きたいパターンがございます。それは：学校や企業などの組織団体等が【1】第三者の SaaS にて自己の構成員の個人データを取り扱ったり、【2】第三者の SaaS を自己の構成員に使用させる場合です。
（理由）
意見で挙げた【1】と【2】は、しばしば同時に起きることが多く、組織団体等が【1】を委託に整理している場合であっても、【2】について SaaS 事業者が顧客（組織団体等）の構成員にプライバ
シーポリシーを提示するなどして自己の目的で取得したと主張するケースがあり、組織団体等の委託元としての責任が損なわれたり、不明瞭になる結果となります。また、こうした SaaS 事業者は複数の顧客（組織団体）と利用契約を締結しており、異なる顧客に跨って構成員である国民を同一のテーブルで集合的に分析できる立場にもかかわらず、顧客側にはそのデータ処理の仕様の一部しか明かさ159

個人

れないなど、著しく非対称な関係にあります。
これは、現在の日本の個情法に基づいて委託元が監督責任を負いにくいというだけでなく、欧州の GDPR に基づいたとしても 【2】の SaaS 事業者独自の利用目的の処理については単に SaaS 事業者がコントローラとみなされるだけなので、プロセッサでありコントローラでもある二重の状態が生じうることは欧州でも同じなのです。つまり、意見にて申し上げた【1】＋【2】のパターンを分析することで、複数の顧客に実質的に同じデータベース・システムを利用させる SaaS 事業は、委託先に整理することも、プロセッサとして扱うことも、単なるコントローラとみなすことも、いずれも適切ではない、何か「別の」個人データ処理の担い手としてとらえることの必要性が浮き彫りになってくるはずです。
このようなパターンの分析は、 SaaS 事業者がどのようにデータ対象者の個人データを取り扱い始めるか？……という観点で行うのが始めやすいものと想像しますが、以上で議論したように、最終的には取扱いの委託の概念に収まらない別の枠組みとして新たな責任や規制を検討する必要性が生じてくるものと考えます。とくに大規模な SaaS 事業者であれば、市場で有力な地位を占めることで、日本人の（小学生向けなら小学生、従業員向けなら従業員の）大多数を半ば強制的に契約させ、自己の決めたデータ処理に供すことが可能なわけですから、、個人情報取扱事業者やコントローラとしてではない何か別の責任が課せられる、現在どの国の法制度に存在しない（であろう）新たな規制の枠組みが必要であることは間違いないと考える次第です。
（意見）

160

個人

電話番号、メールアドレス、Cookie ID等は、個人関連情報ではなく個人情報に位置づけて保護すべきである。
（理由）
これらは、本人に到達できる情報であるから。
【意見】
公共性の高いサービス（以下、「公共サービス等」という。）が、民間事業者のプラットフォームを介して提供されている場合で、当該公共サービス等を受けるためだけに民間事業者のプラットフォー
ムを利用する場合には、その利用目的は当該公共サービス等の提供に必要な利用目的に限定されるべきである。
【理由】
公的サービス等を受ける場面において、自身の個人情報の利用について、民間事業者が規定する規約の下で「本人の同意」に委ねられることに問題がある場合がある。
例えば、

161

匿名

・自治体のサービスを受けるために民間事業者が提供するサービスに加入しなければならないが、その民間事業者のサービス加入には、自治体が提供するサービスに必要な範囲を超える利用目的が附随しており、本人はその民間事業者の「行政サービスの提供に必要な利用目的を超える、事業者の都合の良い利用目的を含むプライバシーポリシー」に同意しなければ、実質的に自治体のサービスを受けられないような場合（防災、行政手続きなど）
・公的な医療保健制度の中で提供されている医療サービスを受けるにあたり、そのサービス提供の過程で関わる民間企業が求める「当該医療サービスの提供に関係しない利用目的」にも本人が同意しなければ実質的にその医療サービスを受けることができないような場合（オンライン診療、SaMDなど）
このような「実質的に同意しなければ公的・行政サービスが受けられない」場面では、本来の公共サービス等に必要な範囲を超えた利用目的について本人が認識していたか怪しく、また「力の不均衡」が働く場面もあるため、自由意思に基づく有効な同意を取得するのは一般的には困難である。そのため、公共サービス等の提供に必要範囲を超える利用目的の法的根拠として、個人情報保護法の「本人の同意」を認めるのは不適切と考える。公共サービス等を盾に、実質的に強制的な「本人同意」が求められるような事態が発生しないように、個人情報保護委員会やサービスの監督官庁には必要な法整備や監視・監督をお願いしたい。

49 ページ個人情報は、本人のものであって、明示的な本人の同意がなければ取得も利用もあってはならないものである、という大原則を明確にすべきである。
個人情報データを「利活用」することが「良いこと」である、という前提で「利活用とのバランス」という言葉が使われ、結果的に明示的な本人の同意の有無は蔑ろにされている。
「利活用」のニーズは、企業等であって、本人の側から生じるものではない。
162

個人「利活用」したい側は、明示的な本人の同意をとらずに済ませられるように、と傾く。
オプトアウト届出制度は、結局「利活用」が主、本人の権利利益の擁護は従、となるものにしかなっていない。
自分の個人情報が、自分が容認した範囲を超えて「利活用」されていても、さらに明らかに不正に使用（外部提供）されていても、目に見える形の被害にならない限りわからない。
ターゲット広告の対象になっていても、それがターゲット広告であるか否かもわからないし、その広告によって思考まで誘導されてしまっているかもしれないこと（例ケンブリッジアナリティカ事件）もわからない。
・空家等対策の推進に関する特別措置法が2015年2月に施行され、国土交通省等が空家の利活用を推進する中で、当社では空家の位置情報（住所及び緯度経度情報）を地方自治体の他、不動産会社等の民間企業に対して提供しているが、当社が保有する個人データとの容易照合により個人データ化されない限り、基本的には空家の位置情報を個人関連情報として扱っている。
・空家の位置情報の提供先では、所有者の特定を行うために登記情報を必要とするが、登記情報を取得して初めて所有者本人が特定できるため、空家の位置情報の提供の前に、提供先が本人同意を得る
ことは現実的ではない。
163

株式会社ゼンリン

・個人関連情報の第三者提供に関する規制が制定されてからは、当社では法第27条第１項各号に掲げられる場合を除き、ガイドライン（通則編）に沿った適法な取引スキームの下で空家の位置情報を提供しているが、取引が制約を受けることは避けられず、空家の対策や利活用を促す事業に影響を及ぼしている。
・国土交通省が整備を進める不動産IDのような建物や土地に紐づく情報についても、居住者や所有者に関する個人データに紐づけられる場合には、個人関連情報に該当すると考えられるが、既述の事案のように、提供時点では本人を特定できないものであっても、提供先で個人データ化されうる事案も見受けられるため、個人関連情報に関する規制が、空家の情報や不動産ID等の利活用によって社会課
題の解決を促そうとする民間企業の取組の妨げになっていると思われる。このため、建物や土地の属性に関する情報の取扱いについて、公益性の高いものについては、例外規定に係る規律について検討
いただくことを望む。
意見
・中間整理には「本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要がある。」とあります。
・順法意識のある業者は、既に共同利用先・利用目的を明示した上で、顧客の同意を得られた範囲内での使用を順守している認識ですが、新たに規律が定められた場合、その内容を踏まえて業者は新た

164

日本貸金業協会に講じるべき措置の有無を検討することになります。
・併せて顧客の便宜やサービスに資する個人情報の利用についても、それらの利用が新たな規律に抵触する可能性を懸念して、当該利用を取りやめるかを検討することになります。
・そのため、本件の規律明確化によって、同意を得て各業者のサービスを利用している既存のお客様に混乱が生じないよう、個人情報保護法施行規則、個人情報取扱事業者等に係るガイドライン・そのQ&Aにおいて、その規律の要件を補充していただき、法違反の可能性を予測できるような規律を整備していただきたい。
理由・法違反の可能性を予測できるような規律を整備していただきたいため。
個人関連情報については、事業者が、電話番号、メールアドレス、Cookie IDなど、個人に対する連絡が可能な情報を有している場合には、個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ、その侵害の程度・蓋然性は、事業者による利用の方法によっては、個人情報と同様に深刻なものになり得ると考えられる。そのため、このような場合について、不正取得や不適正利用等への対応の在り方を検討する必要がある。

165

匿名

上記「Cookie IDなど、個人に対する連絡が可能な情報を有している場合」という記載について、主旨としては個人情報と同様に深刻になり得る識別子／個人関連情報に関しては、個人情報と同様に不正取得や不適正利用等への対応のあり方を検討することの重要性を理解した。一方で、不正取得、不適正利用の対策であったとしても、過度に規制対象を広げすぎることで、産業界における萎縮効果が生まれるため、その対象については慎重な検討が必要であると考える。具体的には、CookieIDは、日本法において、あくまでもブラウザを判別する識別子であり、個人特定性を有しない識別子であると整理されている。加えて、CookieIDは、ユーザ本人がリセットする、またはプライバシー配慮されたブラウザを利用するなどによって、ユーザによるコントロールが可能となっており、権利侵害の蓋然性の程度が電話番号やメールアドレスよりも低いと考えられる。技術的にも、CookieIDは個人に対する連絡を取る手段として活用できないため、本記載においては「電話番号、メールアドレスなど」とし、あくまでも個人への連絡可能性がある情報のみに留めることで、法の整合性を担保することが望ましいと思料する。
クッキーは完全に個人情報であると考える。さっさと個人情報に指定して。日本の政治家は何を考えているの？

166

匿名

日本のゆるゆるの規制を欧州レベルに近づけて。国が国民の情報をただでばらまいているのと同じ。
政治家は自分たちの孫の出生情報や学業情報等が中国やロシア、米国等に流れていても何も感じないのだろうか？
50 ページスマートフォンのアプリ使用やウェブサイトを見た時の利用履歴につては、海外のように厳格に個人情報として管理すべきである。
167

匿名

上記の情報を使用する場合は、個人の承諾をからなず得させるなど、管理を企業に義務付ける必要がある。また罰則規定の設定ももっと厳格化する必要がある。
日本は、企業に甘すぎる。個人のプライバシーをもっと守ってほしい。
・不適正な利用の禁止、適正な取得について事業者提示の利用目的にすべて同意せざるを得ない場合などに、当然認められるべき利用目的以外の利用目的や真に必要な範囲を超えた取得・利用を制限することが示唆されているが、真に必要な範囲

168

個人

を超えた取得・利用の範囲を明確にしていただきたい。 たとえば、グループ企業内で運営する複数のサービスやアプリを連携し、携帯電話番号やメールアドレス等をハッシュ化し、ターゲティング広告等へ利用したり製品開発に活用するケースは、その目的を明記し、同意を取得すれば一般的な利活用と考えられるが、これは利用目的に明記していればOKなのか、それとも、一律認めないようにするのかどうかなどについて。実務上は同意を取得した上での利活用（二次利用、三次利用）ととらえられることも多いように思われるため、具体的な規制内容およびその目的を現状一般企業が広く実務上実施している取引実態を踏まえたうえで精緻な内容を示していただきたい。
【意見】

169

全国消費者団体連
絡会「個人関連情報」である、電話番号、メールアドレス、Cookie IDなどについて、それぞれが単体のレベルでも「個人情報」として扱うべきと考えます。
【理由】
個人関連情報である、電話番号、メールアドレス、Cookie IDなどの漏えいや意図的な抜き取りにより、電話やメールで悪質な勧誘が多様に行われている実態があります。悪質な勧誘が個人の権利利益の侵害につながる事案も多いことから、個人情報の概念を拡大して、取り扱い方を厳しくして、被害抑止につなげることが出来ると考えます。
（意見）
個人情報保護法第19条により禁止される「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用」する行為及び同法第20条により禁止される「偽りその他不正の手段により個人情報を取得」する行為の範囲等の明確化をする場合、中間整理が指摘するとおり、事業者に対する予測可能性を高めることは重要な観点です。
しかしながら、中間整理が、代替困難な事業の類型化など、事業特性に基づく類型化を示唆している点には懸念を有します。即ち、具体化及び類型化を各事業分野やビジネスモデルとの関係で過度に行

170

日本マイクロソフ うと、従前各監督官庁によって法令解釈が示されていた時のように、セクター別の規律が個人情報保護法に取り込まれてセクター間で整合性を欠いたり、また、イノベーションによる新規のビジネス又ト株式会社

はサービスモデルの出現を妨げたりする恐れがあるため、望ましいアプローチとはいえません。

そこで、「不適正な利用」及び「適正な取得」の明確化にあたっては、他法令の遵守を明確に規定しつつ、個人の権利利益に悪影響を与えるリスク度合いといった結果に重点を置いたものとし、また、利用目的の明確な提示による本人への適切な情報提供を充実化させる規律とすることを提言します。さらに、データ利用目的及びデータ利用者によるプライバシー保護と適切なデータ利用のバランスの取り方の両方について規制当局による検査を可能にし、また、データの利用方法を詳細に説明することを可能にするPIA（Privacy Impact Assessment）を用いることを支持します。
（意見）
電話番号、メールアドレス、クッキーIDなどの個人関連情報も個人情報とすること。

171

全大阪消費者団体
連絡会

個人データの第三者提供は本人同意を原則とすること。
（理由）
本人が求めていない悪質勧誘やプロファイリングを防ぐため、個人関連情報も個人情報として規制を強化すべきである。
「闇名簿」「名簿屋」への対策は急務である。オプトアウト届出事業者制度については、個人のオプトアウト申請によって権利保護ができると考えること自体が非現実的であり、オプトインに変更するなど本人同意を原則とする抜本的な制度変更が必要である。
個人情報の定義をGDPRにならって変更し、個人関連情報に関する規律を廃止すれば、自動的に不適正利用や適正な取得の規制が適用されるのであり、そうすべき。
P5の脚注で「個人関連情報とは、「Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴」や「メールアドレスに結び付いた、ある個人の年齢・性別・家族構成」等がこれ

172

匿名

に該当する。ただし、これらの情報が個人情報に該当する場合には、個人関連情報には該当しない。」と書かれているが、個人情報か個人関連情報かを区別することは難しい。
例えば、「情報公開請求で得た内閣法制局予備審査の文書に記載された内容（廃案となった古い内容を含む）を出典を明らかにすることなくほとんどそのままコピーアンドペーストして書籍を出版している人物」は、個人情報なのか個人関連情報なのか。末尾の「人物」を「最高裁判事」に置き換えた場合は個人情報なのか個人関連情報なのか。

51 ページ「第２ 個別検討事項」より、「個人の権利利益のより実質的な保護の在り方」内に記載のある「(1)個人情報の適切な取り扱いに関する規制の在り方」の章にてご意見させて頂きます。特に生成AIに関することが中心です。
イ.「不適正な利用の禁止」「適正な取得」の規律について
・生成AIに関する国内外からの声と、無法地帯化している国内の現状「生成AI」データセット形成の為の無法スクレイピング、無断での機械学習されている現状に世界でも問題視する声は多くなっています。そんな中、欧米はじめ海外各国にて、各々法での規制、罰則など進められており、しかし日本だけは何故か、その問題が放置されたまま、海外でも「日本は規制が緩く、現状ベルヌ条約にも反するのではないか」と評されています。「積極的な規制への取り組みはしない」との考えがあるのかもしれませんが、「タダで多くの個人データを、国内外にて無許諾に無断で渡してしまっている」現状に、国内でも何らかの取り組みは今以上に必要だと感じています。
・生成AIの促進ばかりで、個人情報の保護が無視されている現状
173

匿名

肖像、個人資産含む個人情報の生成AIのスクレイピング、及び追加学習について、諸外国では「罰則を設ける、開発元にも罰金を言い渡せる」よう、積極的な法改正が進められています。日本でも技術推進ばかりに前向きになるのではなく、何らかのセーフティを設ける規制が、今後の技術発展がしやすい環境づくりにおいても必要なのではないでしょうか。個人情報が危険に晒されている状態を放置するだけの日本の現状に、国内外でも批判は多くあります。
生成AI利用に関するガイドラインについても非常に曖昧な点もあり、「享受」利用を疑う企業の取り組みもかなり多く見られるようになりました。国民の生体情報、資産情報含む個人のデータを、何故国が「企業(または一部の個人)が商用で扱う」ことを是として動いているのでしょうか。何の制限もなく、危険性についてもきちんと利用者に対して説明もなく、推進ばかり訴える国または国内の企業、地方団体の現状を強く非難します。
どういったデータが実際に素材に扱われているか、きちんと認識も開示もせず、生成AIの利用だけを進めているのはどうなのでしょうか。データ拡散後に問題があった場合、被害者の損害がどれほどのものになるかは予測できるはずです。
危機感を持ち、生成AIの利用規制に取り組んでほしいと望みます。
昨今、生成AIが広まるにつれて特定の個人を追加学習したデータが本人の同意なくばら撒かれるようになりました。本人の姿や声、クリエイターであればその人の作るコンテンツ等です。最近はオンラ
イン上の個人確認のため、単なる写真撮影でなく様々な角度や動画での確認を要求するものも増えてきましたが、生体情報を追加学習したデータがばら撒かれた人はこのような確認方法も容易に突破さ

174

匿名

れるようになります。既に偽のビデオ会議を通じて詐欺被害に遭った事件も報告されるようになっているため、オンライン上ではリアルタイムでのやりとりですら個人認証の信頼性は揺らいでいます。
また、本人の特徴だけでなくその人が作る作品を生成AIで類似品を作ることでなりすます事例も発生しています。
「名簿屋」事案に関しては収集した生のデータをばら撒くことが問題とされていると思われますが、生成AIの特定個人データを追加学習したデータの分布も同様の扱いを要すると私は考えます。

個人情報の不正利用の形として、IDや住所、電話番号に留まらず、個人の写真を不正に学習し生成AIで許可なく全裸の画像や児童ポルノを生成された事に伴う不利益や自殺の事例が海外で多数起きてい175

匿名

ると聞きました。
名簿屋やID・パスワードの不正利用はもちろんの事、そちらに関する対策もしていただければと思います。
・犯罪グループに関わらない企業であっても、名簿屋を経由した「個人情報の不正入手」により、個人への執拗な勧誘（営業）が行われていることは往々にしてあります。
自分の過去の経験でも、携帯電話を入手し、数人の個人にしか教えていないのにも関わらず一ヶ月と経たない内に名指しで勧誘電話が多数入ったことがあります。
名簿屋が関わっている以外ありえない状況でした。

176

匿名

「個人情報の不正利用」を厳罰化すべきです。
また、簡潔に通報できる電子窓口の設置と周知を望みます。
・「（サービス自体に不必要な）取引先への勝手な顧客情報提供」を強く禁止すべきです。事前連絡なく、同意したつもりのない情報転用が目に余ります。
・個人情報をＡＩに学習させたり、出力することは禁止するべきです。
そもそも、「学習許可の出ていないもの」を無作為に学習すること自体が、個人情報流出に繋がります。
個人情報かどうか、またその重要度を機械が認識することの難易度は高いはずです。

52 ページ

（意見）個人情報取扱いの透明性を高めるためには、個人情報の不適切な収集や利用に限らず、実質的な選択を前提とした利用者の同意が有効に用いられるべきです。不正取得・不適正利用に該当する具体的な事例を追加することは、ビジネス活動に萎縮効果をもたらすおそれがあります。また、ガイドラインの見直しによってこれを行うことは、立法府である国会における審議を経ずに実質的に禁止行為を追加することと同義であり、実体上の適正手続や法の安定性・予見可能性の観点からも疑義を生じさせます。したがって、不正取得・不適正利用の規律を実質的に拡大することについては慎重であるべきです。以下、敷衍します。
個人関連情報について、不適切利用の禁止及び適切な取得への規制を義務付けることに対して慎重になるべきです。
そもそも、個人情報に対する不適切利用の禁止及び適正な取得については、事実上バスケット条項的なものとなっていると思料します。
一方で、個人関連情報の場合は個人関連情報提供の際の規制が主であり、それ以外の規制が明記されていないため「不適正利用の禁止」がかなり抽象的全般的に適用されるおそれがあるとの解釈が可能です。
特に、個人関連情報については、その利用目的の特定なども定められていないところ、そうであるにもかかわらず、解釈上、「不適切利用の禁止」を観念すること自体が困難です。
また、個人関連情報は個人情報とは別の規定として成り立ち、それが規制されたというこれまでの経緯があります。このことに照らせば、、事実上、個人関連情報に個人情報と同等の規制を追加していくことは、個人情報の定義の拡大することに等しいといえます。これは、前述の経緯に照らして考えると、個人関連情報という概念をもって規制を行った趣旨を没却する又はそのこととの整合性を見出すことができなくなるのではないかと考えます。
177

Asia Internet

個人関連情報に関する議論は「個人に対する連絡が可能な情報」という定義がかなり曖昧で、事業者における判断が困難です（例えば、チャットツールのIDなどでも、そのIDを事業者が利用すれば本人への連絡が可能になる場合もあるが、連絡を取れる可能性という概念を新たに導入し、個人関連情報を更に分類することは避けていただきく存じます）。そのような運用負荷が高く複雑性を高める概念
Coalition Japan を新たに導入することは事業活動に混乱をもたらします。
個人情報関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められる場合があるとの分析に賛同し、複数事業者でのトラッキングなど、個人情報の共同利用や第三者提供に類する行為とみなされる目的での取扱いに関して個々の情報ごとに同意を得る必要性について検討すべきと考えます。
第275回個人情報保護委員会の資料1の「代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方」において様々なプラットフォームの事例が紹介されていますが、実態として代替困難なものとはいえないものも含まれており、規律の明確化にあたっては、プラットフォームであるだけで安易に代替困難とされないよう実態に即して範囲を限定し、明確化すべきです。
労使関係が異なるGDPR等の諸外国規制をそのまま導入するのでは適当ではありません。個情法は、日本における労働法制や労使関係、雇用慣行に即した規律とすべきであり、これまでの裁判例により違法とされた事例や他の法律（職安法等）で違法とされる個人情報の取扱いを
個人情報保護法のガイドライン等において紹介する形で具体化・類型化することを基本とし、実質的に厳格な規制になることのないようにすべきです。
「本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用すること」との記載があるが、「本人との関係に照らして」といった規律を課すことで将来のサービス利用者のためにサービス改善等を行うことが妨げられることのないようにすべきです。
Cookie IDを入れる趣旨が不明確であり、個人関連情報のまま不適正な利用をしたケースや規制の必要性を明確にして慎重に議論すべきです。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。

（意見）
178

サステナビリティ ・たとえば、専門家や行政機関による本人への支援なども検討してはどうか。
消費者会議

（理由）
・現在の内容では本人の権利利益の保護を図ることは難しいのではないか。
イ 、「不適正な利用の禁止」「適正な取得」の規律の明確化

179

個人

・できることならば利用規約に同意する事と、個人情報の取り扱いについては別の認可を得る事とするべきであり、更に望ましいのは概要としての第三者への提供の項目はわかりやすく短い文面での説明されるべきである。
第三者への提供が無い場合も、提供される事が無い旨は必ず説明するべきである。

53 ページ

（意見）使用者がパソコンやプログラム等を利用して従業員の生体データや集中度などを監視・モニタリングすることは個情法19条、20条違反であることを明確化すべきである。
180

個人

（理由）
近年、使用者がパソコンやプログラム等を利用して従業員の脳波や集中度などを監視・モニタリングしている事例が増えているが（「●●の新本社、従業員は脳波センサー装着」日本経済新聞2019年10月1日付、●●の「●●」事業など参照）、このような従業員の監視・モニタリングは労働安全衛生法104条違反であるだけでなく、これがもしEUであればGDPR22条違反であり、さらに従業員の「自らの自律的な意思により選択をすることが期待できない場合」に該当するので、個情法19条、20条に抵触して違法であることをガイドライン等で明確化すべきである。
（意見）
学校・教育委員会等がパソコン・タブレットやウェアラブル端末等を利用して生徒・子どもの生体データや集中度などを監視・モニタリングすることは個情法19条、20条違反であることを明確化すべき
である。

181

個人

（理由）
近年、学校・教育委員会等がタブレット・パソコンやウェアラブル端末等を利用して生徒・子どもの生体データ等から集中度などを監視・モニタリングしている事例が増えているが（「「聞いてるふり」
は通じない？

集中しない生徒をリアルタイムで把握

教員からは期待、「管理強化」に懸念も」共同通信2023年6月21日付、デジタル庁「教育データ利活用ロードマップ」など参照）、このような生徒・子どもの生体データの監視・モニタリングは、これがもしEUであればGDPR22条違反であり、さらに生徒・子どもの「自らの自律的な意思により選択をすることが期待できない場合」に該当するので、個情法19条、20条に抵触して違法であることをガイドライン等で明確化すべきである。
（意見）
電話番号、メールアドレス、Cookieなどの情報も個人関連情報とするのではなく、個人情報に該当するとすべきである。
182

個人

（理由）
電話番号、メールアドレス、Cookieなどの情報も、多くの場合、特定の個人を追跡可能であり、ターゲティング広告等により当該個人の自由な意思決定に影響を及ぼし得るのであるから、電話番号、
メールアドレス、Cookieなどの情報も個人関連情報とするのではなく、個人情報に該当するとすべきである。
（意見）
不適正利用の禁止（法19条）に関する個人情報保護法ガイドライン（通則編）の「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に、「AI・コンピュータの個人データ等のプロファイリングの行為のうち、個人の権利利益の侵害につながるもの」を明示すべきである。
（理由）
本人の認識や同意なく、ネット閲覧履歴、購買履歴、位置情報・移動履歴やSNSやネット上の書き込みなどの情報をAI・コンピュータにより収集・分析・加工・選別等を行うことは、2019年のいわゆる●●事件等のように、本人が予想もしない不利益を被る危険性がある。このような不利益は、差別を助長するようなデータベースや、違法な事業者に個人情報を第三者提供するような行為の不利益と実質的に同等であると考えられる。
また、日本が十分性認定を受けているEUのDGPR22条１項は、「コンピュータによる自動処理のみによる法的決定・重要な決定の拒否権」を定め、さらにEUで成立したAI法も、雇用分野の人事評価や

183

個人

採用のAI利用、教育分野におけるAI利用、信用スコアなどに関するAI利用、出入国管理などの行政へのAI利用などへの法規制を定めている。
この点、厚労省の令和元年６月27日労働政策審議会労働政策基本部会報告書「～働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために～」９頁・10頁および、いわゆる●●事件に関する厚労省の通達（職発0906第３号令和元年9月6日「募集情報等提供事業等の適正な運営について」）等も、電子機器による個人のモニタリング・監視に対する法規制や、AI・コンピュータのプロファイ
リングに対する法規制およびその必要性を規定している。
日本が今後もEUのGDPRの十分性認定を維持し、「自由で開かれた国際データ流通圏」政策を推進するためには、国民の個人の尊重やプライバシー、人格権（憲法13条）などの個人の権利利益を保護するため（個情法１条、３条）、AI・コンピュータによるプロファイリングに法規制を行うことは不可欠である。
したがって、「AI・コンピュータの個人データ等のプロファイリングの行為のうち、個人の権利利益の侵害につながるもの」を「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に明示すべきである（「不適正利用の禁止義務への対応」『ビジネス法務』2020年8月号25頁、『AIプロファイリングの法律問題』（2023年）50
頁参照）。

184

個人

個人関連情報が個人の権利利益侵害につながる蓋然性があることは、報告書のいうとおりである。もっとも、個人に対する連絡が可能な情報を有している場合に限るという認識は、誤っており、連絡が可能でなくても権利利益侵害につながる蓋然性はある。個人関連情報というカテゴリーに含まれているデータは、個人情報として保護すべきである。

54 ページ

【意見】次のような事例は「適正な取得」にあたらないことを明確にすべき。
インターネット通販販売店のホームページの『特定商取引法に関する表記』において、次のような記載がある。
~個人情報の取扱いにおいて~
185

個人『入力途中の状態であっても、申込フォームに入力したお客様の情報を取得し、利用する場合があります。
【理由】消費者が、ネット通販で申込をしようとして氏名や住所を入力したが「やはり注文をやめよう」と思い『注文確定ボタン』や『フォームの送信』を押さずに購入を取りやめた場合、『個人情報は相手方に伝わっていない』と思ってしまいます。しかし購入申し込み事項を入力しただけでも情報取得ができるようなシステムを設定している販売店があります。消費者は自らの個人情報の提供について判断する機会を与えられている、とは思えません。
現状、SNSや、各種OS、その付帯ソフトウェアなどは社会インフラと化している。
そのため、同意できない利用規約でも同意をしておかないと、社会生活に支障をきたすことが多々ある。
そのため、利用規約には承服できていないが、既に十年以上使っているために、追加された個人情報の取得や取得後の生成AIの学習への利用などを同意できないにもかかわらず同意させられている。
既に「使用しなければならない社会インフラ」を人質に、個人情報の際限ない収集、機械学習ために個人情報をマスクせずにデータの使用が起っている。

186

匿名

あわせて、規約を変更したから自動で同意したことにされているものも少なくないが、これらは変更された箇所を個別に明示せずだまし討ち的に同意させた非同意の同意確認ともいうべき犯罪行為である。
これは由々しき事態であり、インフラとは別に個人情報やアップロードするデータを個別に使用させないように規約を分離すべきである。
また、非同意で取得されたデータについては、全て破棄を行うべきであり、現状学習したデータを全て破棄し、改めて個人情報の取得に同意した個人から飲み取得するようにすべきである。
不適切な利用の禁止

違法又は不当な行為(例 弁護士が情報開示をした際に187

匿名

それら踏まえ考え方に対して明確な法律

現状

不適切な利用が多発しており

反社会勢力に排除依頼

追跡方法

処罰方法

慎重な検討が必要であるが犯罪に応用したり妨害行為の依頼をするなどや殺人などの計画の材料になる可能性が多いです

不適切な利用目的に画像や写真をAI生成で制作し犯罪や誹謗中傷に使用するなど）が必要かと思われます

早急に対応するべき問題でもあると思われる◯該当箇所
命令などの案
第２ 個別検討事項
188個人

１ 個人の権利利益のより実質的な保護の在り方(4ページ)または【考えかた】(5ページ)◯内容
個人情報の[不正取得や不適正利用等への対応の在り方]に関しての[検討]は、監視チームの創設または強化や刑事罰の厳罰化を検討する必要があり、その主旨の内容を記載することを求めます。
私の本文の趣旨は大まかに2つである。
（１）個人情報が適切に管理されていない現状（２）「生成AI」系への、無制限の学習データ利用を中止、あるいは明文化すること、データ活用をする企業へ、その企業のサービスないしは技術を組み込んだ製品やサービスを利用する利用者・消費者へオプトアウトの権利を義務付けるべきである。

189

匿名（１）個人情報が適切に管理されていない現状
これが最たる例は、特殊詐欺であり、年々被害総額が増え続け、毎日のように詐欺が行われていることは疑う余地もないであろう。
p[3]「破産者等情報のインターネット掲載事案や、犯罪者グループ等に名簿を提供する悪質な「名簿屋」事案等、個人情報が不適正に利用される事案も発生している。」と述べていることからも、そのような悪質な事業者や悪意のある運用に対してなんらかの対抗策を考えているのではと推察する。

55 ページ

[イ]不適切な利用の禁止等について
・名簿販売業者が名指しされていることからも、個人情報を横流ししていることによって生じる迷惑メール、詐欺の電話なども個人を特定するには至らないものの、その発端ともいえる。メールアドレ
190

匿名

スや電話番号も、その入力を促す業者に対してより厳しい運用方法と管理を求める。p[5]にも記載があるように、不特定多数の第三者に開示されることが望まれない情報に電話番号があるならば、メー
ルアドレスも同じように少なくとも今以上に、厳密に利用されるべきであろう。SMSによる詐欺のメッセージなどが最たる例であるのは同意する。
上記の内容が、個人関連情報、として処理されるものであり、継続的に検討するとあるので、是非ともして頂きたい。
個人関連情報も同様に、第三者へ無制限の開示や情報を提供するなどの行為が事業者によって行われないようにするべきである。
不適正な利用の禁止、適正な取得の規定については、個人の権利利益の保護により資するものとするとともに、事業者による予測可能性を高める観点から、適用される範囲等の具体化・類型化を図る必要があるとの中間整理の考え方に賛成する。
また、現行法の個人情報の取扱いに係る規律は、本人が、自らの個人情報の提供等について、自らの自律的な意思により選択をすることが可能である状況にあることを前提としているとの中間整理の指摘に賛成し、自らの自律的な意思により選択できない状況において、本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用

191

弁護士有志

目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等については、不正取得や不適正利用等に該当することを前提として、上記具体化・類型化を行うべきである（前掲・山本教授意見５頁参照）。
さらに個人関連情報については、事業者が、電話番号、メールアドレス、Cookie IDなど、個人に対する連絡が可能な情報を有している場合には、たとえ特定の個人を識別できなくとも、当該個人に対して誘導的に働きかける等して、個人の自己決定を損ない、あるいはプライバシーを侵害するなどの蓋然性がある。この問題については、諸外国の立法例のように、個人関連情報を個人情報に含めるということが基本的な対応策と考えられるが、直ちに当該対応をすることが困難であれば、不正取得や不適正利用等として対応すべきである（前掲・山本教授意見５～６頁参照）。
意見④＜不適正な利用の禁止・適正な取得＞”不適正な利用の禁止、適正な取得の規定については、個人の権利利益の保護により資するものとするとともに、事業者による予測可能性を高める観点から、適用される範囲等の具体化・類型化を図ること” に、賛同。

192

ソフトバンク株式 そのうえで、基準を明確化し、その具体化・類型化にあたっては、できる限り具体的なものとすることを希望。
会社

その際、こどもの個人情報の取扱いで留意すべき具体的な事項を、不適正な取得・利用の類型に含めることも考えられる。（弊社関連意見⑧）
検討・更新のあり方としては、3年ごと見直し（実質5年ごと）のサイクルでは、現実のデジタル社会の変化の速さに対応できない。定期的に産官学民で協議する場をもち、技術の進展、社会の利用状況に応じて、短いサイクルで更新していく、アジャイルガバナンス的なアプローチを採用し、ガイドライン等をタイムリーに更新するべきである。
理由：実務面での予測可能性を高めることで、確実な遵守を行いたいため。

56 ページ意見：
1. 個人関連情報の第三者提供に関しても、個人関連情報取扱事業者に当該本人からの同意取得を義務付けるべきである。
2. 上記1 を義務付けることをしない場合でも、第三者が個人関連情報を個人データとして取得することを知っていて提供する場合は、法第31 条で規定されている確認に加え、当該事実等をあらかじめ公
表することを個人関連情報取扱事業者に義務付けるべきである。
3. 上記1 又は2 を義務付けることをしない場合、個人関連情報の提供を受ける第三者には、提供元となる個人関連情報取扱事業者を特定したうえで、「個人関連情報の提供を受けて本人が識別される個
人データとして取得することを認める旨の当該本人の同意」を得ることを義務付けるべきであり、本人の認識しえない形での包括的な同意取得を認めるべきではない。
4. 上記１ないし3 のような対応をせずに第三者提供によって取得した個人関連情報を個人データとして利用することは禁止されるべきである。
理由：
1. はじめに
193-1

株式会社イルグルム

中間整理の該当箇所の「考え方」に記載のとおり、「現行法の個人情報の取扱いに係る規律は、本人が、自らの個人情報の提供等について、自らの自律的な意思により選択をすることが可能である状況にあることを前提としていると考えられる。」
2
この点、現行法において個人関連情報の第三者提供については、その同意取得の責任を個人関連情報取扱事業者に課さず、提供先である当該第三者が同意取得をしていることを確認すればよいとの規制に留めている。（法第31 条）
しかし、当該第三者による同意取得の態様が「本人が、自らの個人情報の提供等について、自らの自律的な意思により選択をすることが可能である状況にある」といえないもの、例えば提供元を特定していない著しく包括的な同意取得であるような場合において、これをもって個人関連情報取扱事業者が確認したとすることを認めるならば、法第31 条の規制はまったく実効性のないものになってしまうと言わざるをえない。
2. 具体的な事例
具体的な事例として、デジタルプラットフォーム取引透明化法で特定デジタルプラットフォーム提供者として指定されているGoogle LLC（以下、「Google」）の事例をあげる。Google は、「日本のユーザーへの法定表示事項」を以下のサイトに公開している。
https://policies.google.com/privacy/additional?hl=ja#section-1

57 ページ冒頭、「ユーザーは、Google のサービスを利用することにより、本ポリシーに同意することになります。」としており、Google のサービスを利用することで、本ポリシーを包括的に同意したものとみなす立てつけとなっている。
この点、Google が提供するサービスが必ずしも明らかではないが、Android（OS）、Gmail、Chrome（ブラウザ）、検索サービスその他広範に及ぶものと思われ、主要サービスにおいては市場占有率も高いソーシャルインフラとなっていることからすれば、中間整理の該当箇所にある「本人にとって個人情報取扱事業者の提供する商品・サービス等が他の事業者により代替困難であるにもかかわらず、本人が当該個人情報取扱事業者による一定の個人情報の取扱いを許容することが当該商品・サービス等の提供の事実上の条件になっている場合等、個人情報取扱事業者と本人との関係によっては、本人にそのような選択を行うことが期待できない場合」に該当する状況があることが強く疑われる。
個人関連情報についても、同サイトの「提供を受けた個人関連情報の利用について」の中で、「Google は、Google の広告サービスにおける広告配信、パフォーマンスの測定のために『Google がデー
タを収集する目的』のうち『コンテンツや広告など、カスタマイズしたサービスの提供』や『パフォーマンスの測定』の目的で、Google が保有する個人データにGoogle の広告サービスの利用者から受領した個人関連情報を付加するなどして、当該個人関連情報を個人データとして利用することがあります」としており、同様にサービス利用に伴って利用者本人が包括的に同意したものとみなす立てつけとなっている。
ここで大きな問題となるのは、「Google の広告サービスの利用者」がどこの誰なのかをユーザー（個人関連情報を提供する本人）は事前に知らされることなく包括的な同意を迫られているという点である。
Google は「Google 広告」や「Google Analytics」のタグを通じて、「Google の広告サービスの利用者」である事業者等のWeb サイトから広範にユーザーの閲覧履歴等を第三者提供の形で取得し、個人データとして利用しているが、ユーザー本人は個々の事業者等のWebサイトで第三者提供の事実を知らされない限り、どこでどうGoogle に個人関連情報を取得され個人データ化されているのかを認識することすらできない。かかる取得の仕方が適正な取得といえるかは疑わしい。
Web サイトの閲覧履歴等が集積されれば、当該個人の興味関心や思想信条を類推することが可能となってしまうため、ユーザー本人が自らの自律的な意思により「どの」Web サイトの閲覧履歴等を193-2

株式会社イルグル
ム「誰に」収集させることを認めるか選択することを可能な状況にすることは、個人の権利利益の保護にとって重要なことである。
この問題は、法が、個人関連情報の第三者提供に対する同意取得の責任を、端的に個人関連情報取扱事業者に課せば改善される問題である。認知限界の点はあるにせよ、個々の事業者等のWeb サイトにおいてプライバシーポリシー等で事前に公表を求めれば、本人による選択機会の問題は大幅に改善されうる。（EU のように明示的な同意取得までを求めるかはまた別の議論である。）
しかし、現行法が責任の所在を第三者提供先に曖昧な形で求めた結果、第三者提供先は上記のような包括的な同意取得で済ませるような対応を取る一方で、個人関連情報取扱事業者はユーザー本人に対して説明を果たさなくても法的責任を負わなくてよい状態となっている。これにより、ユーザー本人が提供のタイミングで第三者提供の事実を知ることが困難となるグレーゾーンを生んでしまっており、法第31 条の規制を実効性がないものにしていると言わざるをえない。
ところで、Google は「Google の広告サービスの利用者」に対し、例えば下記のような利用規約を定め、規約を順守したうえでサービス利用することを求めている。
Google アナリティクス利用規約
https://marketingplatform.google.com/about/analytics/terms/jp/
サービス利用者はプライバシーポリシーにGoogle のサービスを利用していること等必要な情報を開示することが求められている。
こうした自主規制は一定あるものの、規約の順守は実際のところはサービス利用者に委ねられており、中にはプライバシーポリシーに必要な事項の記載をせずにサービスを利用しているケースも散見される。
自主規制が有効であると評価されるためには、こうした規約違反者をサービス提供者自らが自主点検により発見し、改善を求め、改善されない場合にはサービス利用を速やかに停止し、かかるサービス
利用者から個人関連情報の第三者提供を受けないようにする運用の徹底が図られることが望まれるが、前述のとおりの包括的な同意取得に表れているような効率重視の企業姿勢もあり、本邦の個人の権
利利益の保護の観点からは法による規制強化が必要な状況であると思われる。
3. おわりに
以上のように、令和2 年改正個人情報保護法で制定された個人関連情報の第三者提供に関する規制は、その立法背景となったデジタルプラットフォーム事業者による個人関連情報の取り扱いを適正なものにすることに資するものとして不十分な状況が伺われることから、見直しをする必要があると考える。
個人関連情報の不正取得・不適正利用等の具体化・類型化を検討するにあたっては、例えば自社ホームページの効果測定、サイト改善／利便性向上目的などの自社利用目的であって、本人の権利侵害にあたらない事項については、電気通信事業法の外部送信規律といった他の法令等の定めと足並みをそろえることで、事業者がどれに対応すればいいのか迷わないようにしていただくとともに、ユーザビ

194

日本クレジット協 リティやかご落ちなどの課題とバランスをとった検討を頂きたい。
会

理由：
・他法令との関係性確認のため・影響範囲の確認のため

58 ページ【我が国の現状等】【現行法では、法第 19 条に「不適正な利用の禁止」が、法第 20 条１項に「適正な取得」が規定されている。法第 19 条にいう「違法又は不当な行為」とは、法195

匿名その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。】とあるが現状、指導と言う形だけの体裁の為、不適切な利用が野放しにされている。
ルールを明確化し法改正で厳罰化を行って不適切な利用をしたら痛い目にあう事を知らしめなければならない。

196

匿名

また個人情報やセンシティブデータの情報を取り扱う者は流出しないように取り扱いを厳重にし、故意やハッキング等で流出した場合は重い刑事罰を受けさせる必要がある。
（意見）

197

個人関連情報との関連において、Cookieへの言及がある。Cookie等に関しては、２０２３年６月に施行された改正電気通信事業法において、外部送信規律としての規制が導入された。改正・

一般社団法人国際 導入後1年が経過したが、政策的効果に対する個人情報保護委員会の評価は如何でしょうか。
銀行協会

（理由）

Cookie等に関しては、昨年６月に施行された改正電気通信事業法において、外部送信規律としての規制が導入された。もっとも、電気通信事業への該当性の判断は必ずしも明確とは言えず、複雑な制度となっている感が否めないため。
（御意見）
企業にとっての確実性、個人にとっての保護の明確性を高めることができるため、「不適正な利用」と「適正な取得」を明確化し、具体的な例を示すことが有用と考えます。今後、貴委員会において、さらなる詳細を検討する上では、特定の利活用が個人の権利と利益に与えるリスクの度合いに焦点を当てることを推奨します。また、個人のプライバシーに高いリスクをもたらす利活用に対しては、
BSA ｜ザ・ソフ
198

PIA（Privacy Impact Assessment）を採用することも考えられます。

トウェア・アライ （理由）アンス法第19条と法第20条において禁止されている行為の範囲を明確化することが、事業者による予測可能性を高めるとする、中間整理の考え方に我々は同意します。法第19条は「違法又は不当な行為を助長
し、又は誘発するおそれがある方法により個人情報を利用」することを禁止し、法第20条は「偽りその他不正の手段により個人情報を取得」することを禁止しています。
中間整理でも指摘されているように、これらの義務の明確化は、企業にとっての確実性、個人にとっての保護の明確性を高めることができるため、具体的な例を示すことが有用です。今後、貴委員会において、さらなる詳細を検討する上では、特定の利活用が個人の権利と利益に与えるリスクの度合いに焦点を当てることを我々は推奨します。また、個人のプライバシーに高いリスクをもたらす利活用に対しては、PIA（Privacy Impact Assessment）を採用するなど、法の目標に沿った関連する措置を通して、企業がそのようなリスクを明確に特定し、その軽減に努めることを我々は支持します。
個人関連情報については、第三者提供の場面について、個人情報保護法３１条で定められている規律しかない。同法の規制外の場面に関し、規律がないにもかかわらず、不正取得や不適正利用が適用さ

199

匿名

れることはありえない。
個人関連情報に関する規律を追加するのであれば、対処療法的に取り繕等とするのではなく、全般的な取扱いの規定を明文上に追加すべきである。
【意見内容】
本項に基づいて導入される規律は、あくまで「不適正な利用の禁止」「適正な取得」の内容として従前からあったものに限定されるべきである。
その限りにおいて、従前からあった規律を明確化するという目的は合理的と考えられる一方で、「不適正な利用」の名のもとに実質的に新たな規制を創設した場合、十分な議論がなされないまま妥当性

200

アマゾンジャパン
合同会社

を欠く規制が創設されるおそれがある。仮に法改正を行った場合、新たな「規律の明確化のための文言」の解釈をめぐってさらに不透明な状況を生じ、実務を委縮させることも考えられるため、ガイド
ラインでは対応不可能なケースに限って、法改正を行うことを検討すべきである。
例えば、個人関連情報の取扱いについて、プライバシーが侵害される蓋然性が生じるかどうかは個人関連情報の提供元における利用方法に左右されると明確化することには意義があるかもしれないが、個人関連情報のうち本人到達性のある情報の利用に対して「不適正な利用」の名のもとに一律に制限を課すようなガイドラインの改定や法改正を行う根拠は見当たらない。
【理由】
規律の明確化という趣旨にそぐわない新規制の創設にならないよう注意すべきであるため。

59 ページ

意見1
個人関連情報について「個人に対する連絡が可能な情報を有している場合」に着目されているが、インターネット広告を個人別に出し分ける場合もこれに該当するとされていることに留意されたい。（6頁）
理由
中間報告は、個人関連情報について「在り方を検討する必要がある」と記載するに際して、「Cookie ID」を列挙した上で「……など、個人に対する連絡が可能な情報を有している場合」に着目し、脚注
2でそのような場合を説明するものとして、仮名加工情報に係る規定の「電話をかけ、郵便若しくは……信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法……を用いて送信
201

個人

し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。」（法41条8項）を参照しているが、これに該当する例として、ガイドライン仮名加工情報・匿名加工情報編2-2-3-5の事例2）に「Cookie IDを用いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表示する方法」が挙げられている。
これは、インターネット広告が「電磁的方法……を用いて送信」するものに他ならいからであるが、送信においてCookie IDがどのように作用しているかに着目すれば、問題の本質は、連絡が可能なこと自体よりも、データに基づいて個人別に異なる扱いを体系的に実施できることに着目したものと捉えるべきである。すなわち、中間報告が言う「個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ」るのは、データに基づいて個人別に異なる扱いを体系的に実施できる場合と捉えるべきである。
したがって、中間報告が、個人関連情報に関係する事例として「宅配便事業者や通信事業者になりすましたSNSによりメッセージを送信し、不正アプリのダウンロード等を行わせるもの」を挙げているのは、個人情報保護法の法目的と無関係な事案であって、刑法などで対処すべき事案であることを理解するべきである。
生貝先生の資料で紹介されているように、自動決定からの保護が重要であり、高木先生の意見にあるように、個人情報の利用が「正当な利益」である場合に対象者個人の同意を不要とすべきであり、その「正当性」に関する判断基準が求められる（高木先生の生成AIに関する意見には後述のように同意しない）。
つまり、「適正な取得」の段階ではなく、利用により事業者が得る利益を考慮したうえで、それが正当であるかどうかを判断できなければ、「個人の権利利益」は保護されません。

202

個人

生貝先生資料https://www.ppc.go.jp/files/pdf/240403_shiryou-1-1.pdf
高木先生資料https://www.ppc.go.jp/files/pdf/240612_shiryou-1-2.pdf
個人関連情報の歴史的役割は終わったものというべきであり、定義上、個人情報と統合することとして所要の措置を講ずるべきものと考える。なお、一般社団法人日本インタラクティブ広告協会は、個

203

合同会社

asura 人関連情報が法定される従前より、その公表するプライバシーポリシーガイドライン（https://www.jiaa.org/katudo/gdl/privacy/）において法律上の個人情報であるかにかかわらず利用目的の変更制限を課しており、目的変更に際しては同意を取得すべきことを定めていたことを付言する。

60 ページ意見
個人情報の取得に当たっては本人の同意を必要とするという個人情報保護法の抜本的改正が必要です。
現行の個人情報保護法は個人情報の保護よりも、企業における利活用に重点がおかれています。その結果、「中間整理」が指摘するような下記の状態になっていると考えるべきだと思います。「また、現行法の個人情報の取り扱いに関する規律は、本人が自らの個人情報の提供等について、自ら判断し、選択できる状況にあることが前提となっていると考えられる。他方本人にとって個人情報取り扱い
事業者の提供する商品・サービス等が他の事業者による代替えが困難であるにもかかわらず、本人が当該個人情報取り扱い事業者による一定の個人情報の取り扱いを許容することが当該商品・サービス等の提供の事実上の条件になっている場合等、個人情報取り扱い事業者と本人との関係によっては、本人にそのような選択を行うことが期待できない場合がありうる。」
この文書の「現行法の個人情報の取り扱いに関する規律は、本人が自らの個人情報の提供等について、自ら判断し、選択できる状況にあることが前提となっていると考えられる。」ということですが、これは誤りであり、個人情報保護法上はそうなっていません。その結果、本人が望まないにもかかわらず事業者の商品・サービス等の提供を受けるために事業者に個人情報を提供せざるを得ないということになっています。
その理由は第一に、現行個人情報保護法が企業の個人情報の利活用優先で貫いかれていることによります。それは同法が第一条の「目的」で「個人情報の適性かつ効果的な活用が新たな産業の創出並204

個人

びに活力ある経済社会・・・・・の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする」としていることから明かです。まず個人情報の利活用があり、次に保護と明記されています。
このことはすごく重要なことです。この流れにそって法律全体がつくられています。同法が個人情報の保護を目的とするのなら法の第一条は活用しつつ保護するではなく「個人情報を保護しつつ、活用する」という趣旨に改正しなくてなりません。
第二に、本来なら企業が個人情報の取得に当たっては、本人からの同意を得ることが前提となっていなくてはなりませんが、そう規定されていません。これは、個人情報の利活用が優先されているからです。同法第４章「個人情報取り扱い事業者等の義務」ではいきなり第１７条（利用目的の特定）で「個人情報取り扱い事業者は、個人情報取り扱うに当たっては、その利用目的をできる限り特定しなくてはならない。」とでてきます。つまり、同法では、個人情報の利活用にためには、本人からの同意を取得する必要はなく、利用目的が明かにされていればとよいという、事業者の優位が前提になっています。これでは、「個人情報の取り扱いに関する規律は、本人が自らの個人情報の提供等について、自ら判断し、選択できる状況にあることが前提」ということはできません。これは、個人情報は誰のものかということにかかわる問題です。個人情報は当該の本人の者であって、個人情報取り扱い事業者のものではありません。
第三に、個人情報保護のために「不適正な利用の禁止」「適性な取得の明確化」が必要なことは疑いありません。ただ、そのためにも個人情報の取得に当たっては本人からの同意が必要ということの明確化が必要と思います。
「不適正な利用の禁止」「適正な取得」の規律の明確化について
現状では、インターネット通信販売の注文操作の入力途中で注文を確定せずに注文をしなかったケースでも、「注文をお忘れではないですか」とメッセージが出たり、勧誘やDMを受けることが生じ、

205

個人

消費者においては契約をしたこともない事業者から個人を特定されていること自体に不安を覚える状況があります。個人情報を知らせることに納得できない事業者であると入力途中に判断する場合もあります。契約において相手方である事業者が初めて個人情報を取得するものと捉えている個人が多いのではないかと思いますが、現実にはインターネットシステム上技術的に契約前段階で個人情報を取得できるとなると、そしてそれを合法範囲と位置付けると、個人の尊厳が守られない利用のおそれが出てくることを否めません。個人の同意があってはじめて個人情報の活用が許される法の整備として、多くの個人が抱く認識と乖離しないように、同意認識を当然に持つ範囲を「適正な取得」「適正な利用」の範囲とする規律を望みます。
意見：取得のみならず利用（出力）も含めた適正さ、正当さを評価できるようにし、正当なのかどうかについて、匿名化処理と著作権法の情報解析について共通性のある整理や立案をお願いします。
理由：類型化だけでなく、原則を打ち立てて欲しいです。そのために、「適正な取得」なのかだけでなく、その事業者による利用（出力）も検討したうえで、個人情報を使うことが適正なのか、正当なのかを評価できるようにして欲しいです。
個人情報は、統計処理をして個人を特定できないような統計データとすれば利用できる（正当な使い方である）という考え方があります。著作権法30条の4第2項では「情報解析」なら著作権が制限され

206

匿名

る（侵害にならない）と整理されています。
個人情報保護法で、統計処理後になお個人を特定できてしまうおそれがあれば、それは適正な個人情報の利用には該当しないように、著作権法でも、肖像、顔、声や絵柄・独自の文体などのデジタル
データを生成AIが学習する際、その出力物から肖像、顔、声や絵柄が残存し、個人を思い浮かべ、特定できるのであれば、それは情報解析に適用されないと考えられます。
どのような匿名化処理が正当であるのか、著作権法の情報解析に該当する範囲について、相互に参考としあえるような整理や立案をお願いします。

61 ページさらに取得した個人情報の廃棄も言及も周知も無くこうした病院や店は23条に違反する可能性もあります。
次に防犯カメラですね。コンビニエンスストアやスーパーなどでも設置されていますが防犯カメラは文字通りに防犯のためにあるので例えば正当な理由もなく店舗側が顧客を防犯カメラで特定したりなどは個人情報保護法違反に該当する可能性があります。
またプライバシーの侵害にもあたる可能性もあります。
マイナンバーも同様で、今後は酒やタバコなどを購入する際にマイナンバーカードで年齢確認を行う店も増えてくると思われますがその場合も、あくまで取得する情報は生年月日だけの確認に留まらせるべきであり、それ以外の住所や実名などの情報も取得したならば、それは違反となる可能性があります。
マイナンバーを年齢確認のために読み取ること自体は違反ではありませんが、その他の情報を不正に取得することは違反となります。
アプリの登録も例えば店舗のアプリ登録でもよく見受けられますが、アプリの登録の際に住所や氏名、電話番号などの入力が必須になっていることが多いです。
何を目的としてそこまで細かい個人情報の入力が必要なのか、も分かりません。
207

匿名またアプリをアンインストールして削除しても、業者側のサーバーに顧客の個人情報が残っているならば不正な取得になりえます。
個人情報の廃棄も個人情報保護法に明記すべきと思います。
いずれにしても仮にこれらをしている事業者は全て個人情報保護法第19条の「不適正な利用の禁止」や個人情報保護法第20条1項の「適正な取得」に違反している可能性が高いです。
また課徴金や団体訴訟制度は絶対に導入すべきですし、してください。
消費者全員がおそらく2つの制度は必要不可欠だ、と思っています。
個人情報の漏えいなどあってはいけないし、課徴金や団体訴訟制度を導入しないと企業や業界が個人情報の不適切な取得や管理をしたりそして漏えいの問題が今後も起きる可能性が高いと思います。
つまり法整備しないと業界団体の危機感が欠如したままの恐れがあります。
被害を受けた消費者の訴訟の負担も軽減されます。
ですので個人情報保護法委員会の課徴金制度や被害者に変わって消費者の団体などが代理で差し止め請求をする。などの制度は導入すべき必要性があります。
個人情報について、取得に限らず利用も含めた適正さ、正当さを評価できるようにし、正当なのかどうかについてを、匿名化処理と著作権法の情報解析について共通性のある整理や立案を求めます。
個人情報は、統計処理をして個人を特定できない様な統計データとすれば利用できるという考え方があります。著作権法30条の4第2項では、「情報解析」なら著作権を利用できると整理されています。

208

個人

個人情報保護法で、統計処理後になお個人を特定できてしまうおそれがあれば、それは適正な個人情報の利用には該当しないように、著作権法でも、肖像や声、絵柄等のデータを生成AI等が学習する際、その出力物から肖像や声、絵柄等が残存し、個人を思い浮かべ、特定できるのであれば、それは情報解析にならないと考えられます。
解析に該当する範囲について、相互に参考としあえる様な整理や立案をお願いします。

62 ページ

どのような匿名化処理が正当であるのかと、著作権法の情報

（意見）① 適用範囲の具体化・類型化について「不適正な利用の禁止」及び「適正な取得」について社会の実態を捉えたうえで、具体的にどのような利用や取得の態様が不適切であるかを精査すべきです。
② 代替困難なサービスについて代替困難とされるサービスについて、何を問題とし、また、どのような個人情報の取扱いを規律すべきであるとするのかを具体的に明示したうえで、規制の是非を含めて検討すべきです。また、仮に規制を行う場合に生じる不利益について、個人情報取扱事業者と本人との間で適正な範囲で負担が配分されるようにする必要があると考えます。
③ 個人関連情報について
具体的なリスクと、そのリスクが顕在化する取扱いを前提として議論すべきです。
なお、これらの情報の収集自体が問題であると考えることについて、個人情報の定義の見直しを含めて対応すべきという趣旨なのか等、課題設定を明らかにすべきです。
（理由）① 適用範囲の具体化・類型化について
個人情報保護委員会が、個人情報保護法の運用について明らかとする媒体として、ガイドライン・Q&Aの改定が考えられますが、「不適正利用の禁止」「適正な取得」のように抽象的な規範についてはその裁量の範囲が広範なものとされかねないところであり、罰則を以て担保する以上は、精緻な議論が肝要です。
209【我が国の現状等】において挙げられた例示については【考え方】との関係があいまいであり、上記の議論の例としては不十分であると考えます（国内の裁判例の記載は、個人データの第三者提供とし
三浦法律事務所 て本人の同意を取得して実施されることが必要（法第27条第1項。なお、インターネットの特性上、外国にある第三者による閲覧等が予定されるため、同法第28条第1項の対応を要するものと思料）であると考えられるところ、本人の同意を得ても問題としているのか不明瞭。また、海外の執行事例（詐欺行為は違法であることは明確なため、認証に利用する情報のターゲティング広告への利用に限ります。）は、目的を明確にし、これを示すことで実施は許容する趣旨か等、問題の所在を明らかとする必要があります。）。
② 代替困難なサービスについて【我が国の現状等】に挙げられた「代替困難」なケース（デジタルプラットフォーム事業者、与信事業者、雇用主）における個人情報の二次利用（契約の履行等に必要な範囲を超えた取扱いをいいます。）について本人からの有効な同意の取得を観念しえないとすれば、これらの事業者におけるデータ利活用に大きな影響があるものと思料します。また、仮に民間企業に大きな制約を課す場合、そのデータが利用できないことによるコストの増加等に応じた価格の設定や、一部サービス・機能の利用制限といった他のユーザーとは異なる取扱い自体を制限しないなど、本人が一定の不利益を甘受することも場合によっては考えられるところです。
なお、代替困難なケースと併記される社会的反響が大きかった事例（学校において生徒のウェアラブル端末から心拍数や睡眠時間等を把握すること、脈拍を計測して集中度を推測すること）は、学校という義務教育の過程であれば民間のサービスより硬直的なところがあり、これらを同一に論じることはできないと考えます。
③ 個人関連情報について
個人関連情報について、具体的な侵害の蓋然性は明らかでないところ、保有するのみで規制されるとするほどの保護の要請はあるのか疑問があります。
個人関連情報の取扱いについて、事業者が電話番号、メールアドレス、CookieIDなど、個人に対する連絡が可能な情報を有している場合に個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められるとありますが、どのような侵害が想定されているのか不明瞭です。
また、個人情報とは異なるものとして個人関連情報を位置づけ、規律していることに鑑み、要保護性のほか、法令上の位置づけ等、課題設定が不明瞭です。
（意見）
本人が個人情報を提供することが、商品・サービスの提供を受けることの条件となっている場合など、事実上本人に選択の余地がないケースにおいては、利用目的とその達成に必要な情報の範囲を明

210

主婦連合会

確にし、それを超えた取得・利用に関して、より厳格に「不適正な利用の禁止」「適正な取得」の規律を適用すべきである。
（理由）
個人情報の提供、その利用のされ方に関して、商品・サービス利用のいわば「交換条件」となっており、本人にその選択の余地がないケースは、特にデジタルプラットフォーム事業者との間で多く存在する。消費者の権利という観点から問題であり、より厳格な取り扱いが求められる。

63 ページ•「不適正な利用の禁止」に関しては、現に問題になっている事案をもとに、通常考えられるビジネス上での適正な利用とは明らかに異なる不適正な利用など、当該規定に抵触することが明らかな場合の例示をより積極的に示したうえで、不適正利用事案については、注意喚起にとどまらず、
適切な執行をしていただきたい。一方で、具体化・類型化を図るにあたっては、現に行われている不適切ではないビジネス等に影響が出ないように配慮いただきたい。
•「適正な取得」については、細かく規定することで限定的に解釈され不適正とは言えないものまで事実上禁止するような委縮効果を生む恐れがあることから、具体化や類型化には慎重であるべきと考える。
•「本人にとって個人情報取扱事業者の提供する商品・サービス等が他の事業者により代替困難であるにもかかわらず、本人が当該個人情報取扱事業者による一定の個人情報の取扱いを許容することが当
該商品・サービス等の提供の事実上の条件になっている場合等、個人情報取扱事業者と本人との関係によっては、本人にそのような選択を行うことが期待できない場合があり得る」との記載があるが、211一般社団法人 新経済連盟

先進的なビジネスであることによって競争関係にある他サービスが存在しないという状況は発生しうるものであるし、代替が困難なサービスだとしてもそのサービスを利用するかどうかについては自由に選択ができるところ、安易に「代替困難性」によって情報取得や利用の適正性を判断すべきではない。
•利用目的の達成に真に必要な範囲を超えて個人情報を取得・利用すること等と不正取得・不適正利用等の規律の適用関係を継続検討するとしているが、事業者が提供するサービスの内容等はビジネス環
境の変化や技術の進展などにより変化し続けていく可能性があるという実態を踏まえたうえで、そもそも「真に必要な範囲」とは何を指しているのか、それが取得時に確定できるものなのか、イノベー
ションを阻害したり委縮効果を招いたりしないか、慎重に議論すべきである。
•連絡手段として使える個人関連情報について個人情報と同様に不適切利用の禁止の規律や適正な取得の規律を適用することには強く反対する。「個人関連情報については、事業者が、電話番号、メール
アドレス、Cookie IDなど、個人に対する連絡が可能な情報を有している場合には、個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ、その侵害の程度・蓋
然性は、事業者による利用の方法によっては、個人情報と同様に深刻なものになり得ると考えられる」ことから「不正取得や不適正利用等への対応の在り方を検討する必要がある」とあるが、そもそもCookie IDは連絡可能な情報ではない。また、連絡手段として使えるかどうかと個人情報として保護するかどうかは別の問題であり、個人情報保護法で対処すべきかどうかも含めて慎重に議論すべきである。
消費生活センターに勤務する消費生活相談員です。日々消費者から相談を受ける中で感じることから意見を提出いたします。
（意見）
次のような事例は適正な取得に当たらないことを明確にすべきだと考えます。
インターネット通販事業者の『プライバシーポリシー』において、次のような記載が散見されます。

212

個人

■個人情報の収集について
当社は、お客様がお取引を完了しておらず、情報の入力途中であった場合においても、メールアドレス、電話番号を当社のプライバシーポリシーに従い、リマインド通知の目的で活用する場合があります。
（理由）

消費者としては、通販の申し込みフォームの入力をしても、最終確認画面において「確定ボタン」や「フォームの送信」などは押さずに、途中で購入をやめるなどした場合、個人情報は相手方には提供していないと考える傾向にあります。購入申し込み事項を入力しただけでも情報取得できるようにシステムを設定することは消費者本人が自らの個人情報の提供等について判断、選択等しているとは考えられず、提供しない意思をも有していることが多いと考えられるからです。
ー 「本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること」を一律規制することは、事業者による個人情報の適正かつ効果的な利用を阻害する可能性があり、「新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現」という個人情報保護法の目的にも反する可能性があると考えられる。
ー「個人情報取扱事業者と本人との関係によっては、本人にそのような選択を行うことが期待できない場合」については、事業者の予見可能性を高めるためにも、具体的な内容が議論されるべきである。また、事業者に過度の萎縮効果をもたらすものであるべきではなく、その内容は事業者の意見も踏まえて慎重に検討されるべきである。
ー 不適正な利用の禁止、適正な取得の規定について、適用される範囲の具体化・類型化にあたっては、これまでに問題とされた事例を適切に具体化・類型化すべきである。事業者に対する萎縮効果を213

株式会社プレイド 最低限のものにするためにも、不明確な具体化・類型化や、過度な範囲にわたる類型化などが行われることにないよう留意すべきである。例えば、代替困難な商品・サービスについては、その範囲が不明確・広範囲にわたることのないように慎重に具体化・類型化を行うべきである。また、どのような対応をとることで、当該規律により問題とされる可能性を低減しうるのかについて、具体的な内容を慎重に議論するべきである。
ー 個人関連情報のうち、「個人に対する連絡が可能な情報」に関する一般的な規制を「不適正な利用の禁止」や「適正な取得」に関連づけて新たに設けることは、実質的に見て、個人情報、個人関連情報と異なる新たな概念を生むこととなり、個人情報保護法を過度に複雑にし、事業者及び消費者にとって非常に難解かつ対応困難なものにする可能性があると考えられるため、慎重に検討されるべきである。「不適正な利用の禁止」や「適正な取得」に関する規制としては、特に悪質な事例の具体化・類型化にとどめ、個人関連情報のうち、「個人に対する連絡が可能な情報」に関する一般的な規制とならないように留意すべきである。

64 ページ（意見）個人情報を取得・利用する際には、本人の意思表示を必要とすることや提供の拒否を理由とした不利益な取り扱いの禁止などの規律の明確化が必要です。また、個人データを電子計算機の用に供した
場合には、オプトアウトなどの被害回復の手段と、それを担保するための学習データの開示といった透明性を確保するための制度的仕組みの整備が必要不可欠です。
さらに、端末等識別子などの個人関連情報を保護を要する個人情報に含め、プライバシーの保護を図り、国民の情報を大規模な事業者や外国政府などから防衛することが急務であると考えます。
214

匿名

（理由）
生成AI等の電子計算機による情報解析及びその結果を提供するビジネス・サービスの根幹は、同意なく取得・利用された膨大なトレーニングデータに基づいている。そこにデータ所有者の選択は存在
せず、現在主流となっているAIビジネス・サービスの態様を鑑みれば、社会通念上適正とは到底認められない。そのためAIによるデータ利用の実態に即し、事前の意思表示や事後的なオプトアウト及びそれを担保する取得データの開示義務など、データ利用について強い規制の下に置く方針をとるべきと考えます。
また、プライバシーの保護は表現の自由や知る権利のためにもなくてはならない権利であり、端末等識別子などを個人情報として保護することは、健全な民主主義社会の実現に資すると考えます。

215

個人

＞イ 「不適正な利用の禁止」「適正な取得」の規律の明確化
・意見→厳罰化するべき→文化庁の海賊版対策情報ポータルサイトや生成AI関連の窓口に寄せられたであろう生成AIによるディープフェイク問題、生体データの偽造、訴訟事例などが一切含まれていないのは何故か。スマート
シティのカメラデータ利用に関しても、「その地域を通行したことがデータを第三者に提供することに同意したとみなされる」のか？という点なども明確化してほしい。前提情報も含め曖昧すぎです。
個人の権利利益の保護にはディープフェイクやLoRAモデルを悪用したなりすまし、捏造も対策する必要があるでしょう。
生成AIは生成物で判断するのではなく、そのデータセットに個人情報や生体データが含まれるか否かでしか「個人の権利利益が侵害されているか」を判断することはできません。スマートシティのカメ
216

匿名

ラデータなどに至っては、いつどこで自分がデータとして提供されたかを個人が特定するのは不可能に等しいでしょう。ウクライナでの紛争や、ガザ地区の虐殺においても生体データの学習に重きをおいたモデルである生成AIを利用した兵器が使用されているという問題は世界的にも議論されているはずです。
第三者である企業がそういった目的のために日本で収集したデータを利用した場合は何か罰則があるのですか？
記述が不十分であると指摘いたします。
（意見）①プロファイリングとターゲティングの適切なあり方について検討し、必要な措置を行うべきである。②CookieやIDを個人情報として規制対象とすべきである。③プロファイリングについては、少なくとも、GDPR第21条、第22条及び第15条第1項（h）と同様の規律を設けるべきである。
（理由）情報環境の変化により、個人情報保護法制により、個人に関する情報の適切な利用を確保すること、不適正な利用を抑止する必要性はますます高まっている。特に、プロファイリングとターゲ
ティングの悪用・不適切な利用が、現在社会が直面する最も重要な課題である。

217

個人

プロファイリングとターゲティングについて、悪用・不適切な利用に関する実態を把握し、対応を図ることが必要であり、同時に、適切な利用のあり方についてガイドライン等をされに整備していくことも重要である（①）。
プロファイリングとターゲティングが、個人情報でない（と称する）形により行われること、そのような形であっても、個人へのはたらきかけは可能であり、活用方法によっては、個人の自己決定権を妨げる事態、個人を犯罪被害や消費者被害に巻き込む事態、平等原則に反する結果を招く事態等は、容易に起こり得る。
こうした事態に対処するため、まずは、個人情報保護法上、CookiやIDを個人情報として規制対象とすること（②）、及び、GDPRと同レベルの規律を設けるべき（③）である。

65 ページ

（意見）「不適正な利用の禁止」「適正な取得」の規定において、適用される範囲等の具体化・類型化を図ることについて賛成する。
加えて、個人が真に自律的な選択をすることが困難な状況があることに鑑み、個人情報等の取扱いについて個人の権利強化と透明性の向上を図るべきである。
公益社団法人日本
消費生活アドバイ218

ザー・コンサルタ
ント・相談員協会（NACS）（理由）「不適正な利用の禁止」及び「適正な取得」の規定において、適用範囲等を具体化・類型化することで、法の実効性が高まると考えられる。
また、雇用関係や必須サービスの利用等、個人情報取扱事業者と本人との関係によっては、本人が自律的に選択することが難しい場合がある。かかる状況に対応するため、個人の権利強化と透明性の向上が必要である。
現行法では、個人情報の取得時に利用目的の通知・公表が求められているが、同意取得プロセスの分かりやすさや実質的な選択の確保については改善の余地がある。具体的には、以下の点を検討すべきである：
・ 利用目的ごとの個別同意の取得
・ 平易な言葉での同意文書の作成義務
・ オプトインをデフォルトとする仕組みの導入
意見：

219

日本製薬工業協会

不正取得及び不適正利用の定義の明確化、さらにそれらがどのような場合に該当するかの考え方を明確にし、具体例もガイドライン等で示すべき。
理由：
国民の権利利益保護のためには、企業の法令順守が必須であり、そのためには不正取得とは何か、不適正利用とは何かを明確に示すことが重要である。
意見Appleは、常に、個人の同意は自由な意思と十分な情報にもとづくものでなければならないということ、また、この原則は個人情報の不適切な収集や使用に限定されるべきではないということを考えてまいりました。個人の同意が実質的な意味で付与されなければ、その個人の選択を真正なものとみなすことはできません。さらに、本人の認識や同意なく個人情報を不正に入手したり共有したりすることに対しては、厳格な処置が必要です。個人情報が当該の個人から取得さ

220

Apple

れたものではない場合に特定の義務を課す一般データ保護規則（GDPR）第14条を参考にされることを提案します。
「個人関連情報」に関しては、個人を直接特定できなくとも、個人に関連する情報であれば、個人に対するリスクがあるという点に賛同します。企業が個人と連絡をとれる場合に限らず、企業間でのトラッキングを目的として、あるいは個人情報の共有や第三者への提供に類する行為とみなされる方策のために個人情報を取得する場合には、個々の情報ごとに同意を得るべきものと考えます。
理由
根本的な考え方として、個人情報は本人に帰属します。個人が透明性を維持し、確実にコントロールできるように、できる限り同意を前提とすることが望まれます。
【意見】

221

日本損害保険協会

・不適正な利用の禁止、適正な取得の規定について適用される範囲等の具体化・類型化を図る、という考え方に賛成する。
【理由】
・規律を明確化し、事業者による予測可能性を高める必要があるため。
意見
不適正な利用の禁止、適正な取得の規定について、適用される範囲等の具体化・類型化にあたっては経済界と十分な対話を行い、慎重かつ丁寧に検討すべき。
理由
具体化・類型化の内容によっては事業者に委縮効果をもたらすことが懸念されるところ。事業者の予見可能性を高める観点から、リスクベースアプローチによって具体化・類型化すべき。

222

一般社団法人日本
経済団体連合会 意見「個人に対する連絡が可能な情報」を適切に定義すべき。
理由
事業者が判断に困ることのないように明確に定義する必要。特に、直接的な連絡手段たりえず、本人自らの端末操作によって容易にリフレッシュ可能な「Cookie ID」が「電話番号、メールアドレス」と同列に並べられていることに違和感。

66 ページ

「不適正な利用の禁止」「適正な取得」の規律について、「自律的な意思により選択をすることが期待できない場合」について検討するのはもちろんのこと、より広範囲な状況を考慮に入れ、個人の権利利益を実質的に保護する観点から規定を設けるべきである。
223

一般社団法人

個人情報保護委員会による中間整理において、個人関連情報に本人に連絡可能な情報が含まれている場合に、個人情報と同様に権利利益の侵害のおそれがあるとする考え方は正しい。しかしながら、義MyDataJapan

務規定の拡大が適正取得義務（20条）は不適正利用の禁止（19条）にとどまるとするのであれば、狭きに失している。個人にリーチができるような情報（ブラウザやデバイス等を特定するための識別子

公共政策委員会 等、メールアドレス、電話番号、クレジットカード番号、ソーシャルメディアのIDや広告識別子など）およびこれらを含む個人関連情報については、個人への到達性による個人の権利利益への影響が大きいことから、不正取得や不適正利用等への対応の在り方を検討するだけでなく、個人情報として扱うことを検討すべきである。そして、安全管理措置義務をはじめとする個人データに関する他の義務の対象とすべきである。これにより、個人の権利利益をより実効的に保護することができると考えられる。
224

匿名・端末識別子から割り出される個人情報がある。
海外と足並みをそろえる(個人データとして保護)が妥当。
【該当箇所】イ 「不適正な利用の禁止」「適正な取得」の規律の明確化／（１）個人情報等の適正な取扱いに関する規律の在り方／第２ 個別検討事項／１ 個人の権利利益のより実質的な保護の在り方
現在のインターネットの発達に応じて、考え方で書かれているとおり不正取得や不適正利用等の規律を継続して検討する必要があると思います。また個人情報が流出する経路は現在記憶が新しいものと

225

匿名

してサイバー攻撃による個人情報を含んだ情報が流出し、その流出した情報を用いて新聞社が該当企業の社員に取材を行おうとした事例がありました。該当企業代表の方は報道に供する目的のため適用除外となり注意喚起に収めるとありましたが、このような個人情報の公開経路を知った上での利用の場合などに適用除外は有効であるかなど（著作権法第１１９条第３条に近い考え）データの経路を踏まえたルール作りも検討する必要があるかと思います。（該当ニュース記事：https://news.yahoo.co.jp/articles/1f260e9fb82d9735ac4dfb186738b9cad021b275）（１）不適正な利用の禁止、適正な取得の規律について、過去の事例を踏まえた検討による具体化・類型化の必要性が指摘されています。
しかし、具体化・類型化は明確性には資するとしても、これに該当する事例以外の被害の救済には実効性がありません。
これではいつまで経っても被害の後追いとなるだけで、現実に被害を受けた個人の犠牲ものとに被害類型を積み重ねないと救済されない個人が増える一方であり、抜本的な解決につながるとも思えません。
ＩＣＴやＡＩなど情報等技術の進展やサイバー犯罪の高度化に伴い、情報セキュリティ・リスクは日々変化しています。こうした現状からすれば、より個人情報が悪用されるリスクが高まってい

226

個人

ます。過去に起きた事例を前提に具体化・類型化するだけでは、こうしたリスクに対応することは不可能です。従って、具体化・類型化するにとどまらず、包括的な規律を設けることにより、今後も起きるであろう不正取得や不適正な利用等に実効性のある規律を求めます。
（２）代替困難なサービスの提供等を受けるために個人情報を提供しなければならない場合には、自律的な意思決定により個人情報を提供することは困難です。こうした、事業者と個人情報の保有者との非対称性が著しく、自律的な意思決定が機能せず、個人情報を自らコントロールすることは困難です。このような場面においては、行政が主導的に個人を保護するルールを形成する必要性が大きいことからも、不正取得や不適正利用の規律の在り方の検討を早急に行っていただきたいと思います。
（３）なお、個人関連情報は個人情報と整理をしたうえで、原則的に保護の対象となるよう規律すべきです。
中間整理第２の1(1)イ「「不適正な利用の禁止」「適正な取得」の規律の明確化」最終段落において、個人関連情報に対する不適正利用・不適正取得の規律の適用についての議論が示されている。
個人関連情報については、これまで、不適正利用・不適正取得の対象になっていなかったところ、新たな規律を設け、規制の対象とするのであれば、「規律の明確化」という表題は不適切と考える。新

227

匿名

たな規制を設けるのであればその旨を真摯に公表し、議論の対象とすべきである。
理由
標題からは既存の規律の明確化しようとするように見受けられる一方で、内容としては新設のものであるため。
（意見）

228

日本製薬団体連合 不正取得及び不適正利用の定義の明確化、さらにそれらがどのような場合に該当するかの考え方を明確にし、具体例もガイドライン等で示すべき。
会（理由）
国民の権利利益保護のためには、企業の法令順守が必須であり、そのためには不正取得とは何か、不適正利用とは何かを明確に示すことが重要である。

67 ページ(意見)本項に基づいて導入される規律は、あくまで「不適正な利用の禁止」「適正な取得」の内容として従前からあったものに限定されるべきである。
その限りにおいて、従前からあった規律を明確化するという目的は合理的と考えられる一方で、「不適正な利用」の名のもとに実質的に新たな規制を創設した場合、十分な議論がなされないまま妥当性を欠く規制が創設されるおそれがある。仮に法改正を行った場合、新たな「規律の明確化のための文言」の解釈をめぐってさらに不透明な状況が生じ、実務を委縮させることも考えられるため、ガイド
ラインでは対応不可能なケースに限って、法改正を行うことを検討すべきである。
例えば、個人関連情報の取扱いについて、プライバシーが侵害される蓋然性が生じるかどうかは個人関連情報の提供元における利用方法に左右されると明確化することには意義があるかもしれないが、個人関連情報のうち本人到達性のある情報の利用に対して「不適正な利用」の名のもとに一律に制限を課すようなガイドラインの改定や法改正を行う根拠は見当たらない。
(理由)
規律の明確化という趣旨にそぐわない新規制の創設にならないよう注意すべきであるため。
(意見)
個人情報の不適切な収集や利用に限らず、実質的な選択を前提として、利用者の同意が有効であるべきであることに賛同する。また、利用者の認識や同意なしに個人情報を不正に取得したり、共有したりすることは厳重に扱われなければならないと考える。個人情報が本人から収集されない場合に特定の義務を課すGDPR第14条から示唆を得ることを提案する。
個人情報に関連する情報については、個人が特定されない場合であっても、個人に関連する情報であれば、個人に対する一定のリスクがあることに賛同する。事業者が個人に連絡できる場合のみならず、事業者間のトラッキングなど、個人情報の共同利用や第三者提供に類する行為とみなされる目的で個人情報を取得する場合には、個々の情報ごとに同意を得る必要があると考える。
(理由)
個人情報は当該個人のものであり、できる限り透明性を確保し、個人がコントロールできるよう、同意を前提とすることが望ましいと考えられるため。
(意見)
229

個人情報保護法第19条により禁止される「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用」する行為及び同法第20条により禁止される「偽りその他不正の手段によ
在日米国商工会議 り個人情報を取得」する行為の範囲等の明確化をする場合、中間整理が指摘するとおり、事業者に対する予測可能性を高めることは重要な観点である。
所（ACCJ）

しかしながら、中間整理が、代替困難な事業の類型化など、事業特性に基づく類型化を示唆している点には懸念を有する。即ち、具体化及び類型化を各事業分野やビジネスモデルとの関係で過度に行うと、従前各監督官庁によって法令解釈が示されていた時のように、セクター別の規律が個人情報保護法に取り込まれてセクター間で整合性を欠いたり、また、イノベーションによる新規のビジネス・
サービスモデルの出現を妨げたりする恐れがあるため、望ましいアプローチとはいえない。
そこで、明確化にあたっては、他法令の遵守を前提とし、個人の権利利益に悪影響を与えるリスク度合いといった結果に重点を置いたものとし、また、利用目的の明確な提示による本人への適切な情報提供を充実化させる規律とすべきである。
(理由)
具体化及び類型化を各事業分野やビジネスモデルとの関係で過度に行うと、従前各監督官庁によって法令解釈が示されていた時のように、セクター別の規律が個人情報保護法に取り込まれてセクター間で整合性を欠いたり、また、イノベーションによる新規のビジネス・サービスモデルの出現を妨げたりする恐れがあるため。
(意見)
規律の明確化においては、特定の活動が個人の権利と利益に与えるリスクの度合いに焦点を当てること、また、個人のプライバシーに高いリスクをもたらす活動に対しては、PIA（Privacy Impact
Assessment）の採用を推奨する。
（理由）
法第19条と法第20条において禁止されている行為の範囲を明確化することが、事業者による予測可能性を高めるとする、中間整理の考え方に我々は同意する。法第19条は「違法又は不当な行為を助長
し、又は誘発するおそれがある方法により個人情報を利用」することを禁止し、法第20条は「偽りその他不正の手段により個人情報を取得」することを禁止している。
中間整理でも指摘されているように、これらの義務の明確化は、企業にとっての確実性、個人にとっての保護の明確性を高めることができる。また、具体的な事例を挙げることは、指針を示し、明確化することに寄与する。今後、具体的な検討を進めるにあたっては、特定の活動が個人の権利と利益に与えるリスクの度合いに焦点を当てることを推奨する。また、個人のプライバシーに高いリスクをもたらす活動に対しては、PIA（Privacy Impact Assessment）を採用するなど、法の目標に沿った関連する措置を通して、企業がそのようなリスクを明確に特定し、その軽減に努めることを支持する。

68 ページ（意見）不正取得・不適正利用に該当する具体的な事例を追加する場合には、本文記載の通りこれまでの問題事例等を踏まえて検討することを前提とし、法の趣旨に照らした問題の所在を透明性の高いマルチス
テークホルダーの参加可能なプロセスで議論した上で、検討が進められることが望ましい。特に、不正取得・不適正利用の規律を実質的に拡大することには慎重を期し、事例追加は基本的には法の趣
230

AIガバナンス協会

旨・範囲の明確化に資するものに限定することが望ましい。
（理由）
不正取得・不適正利用に該当する事例の追加は、国会等での議論を経ず不正取得・不適正利用の規律を実質的に拡大することにつながりうるため、予見可能性の低さやそれに伴うAIサービス等の社会実装への萎縮効果を生む可能性がある。このため、検討にあたってもあくまで影響の大きい問題事例への適用等を念頭に、必要最低限の事例追加が、透明性の高いプロセスにおいて実施されることが重要
と考える。
【意見】
個人関連情報のうち、個人への直接の連絡が可能な電話番号、メールアドレスの規制を他の個人関連情報より厳しく規制することは理解できるが、Cookie ID全般についてまで、個人情報と同様にその侵害が深刻と考え、規制を強めるべきではない。

231

経営法友会

【理由】 CookieはWebサイトでの広告やアクセス解析等に用いられるものであり、Google社によるクッキーレスによるサービス提供開始がたびたび遅延していることを考えると、今後も正当な目的でのCookieの利用を妨げるべきではない。また、Cookie IDについて「個人に対する連絡が可能な情報」（中間整理6頁）とあり、ECサイトやアプリ等で相互に意思疎通が可能な、一定の識別可能性がある
状況のみを指しているとも推察するが、Cookie IDは広告を表示するだけで、個人へ直接「連絡」までできるものではないので、電話番号やメールアドレスとは性質が異なる。
（御意見）「破産者等情報のインターネット掲載事案や、犯罪者グループ等に名簿を提供する悪質な「名簿屋」事案等、個人情報が不適正に利用される事案も発生している。」としている部分について、①「等」

232

一般社団法人日本
IT団体連盟の内容を詳述いただきたい、また、②破産者等情報のインターネット掲載事案や悪質な「名簿屋」事案に対する個人情報保護委員会の対応とその評価についても詳述いただきたい。
（御意見）
第三者提供や28条規制に関する個人関連情報の本人の同意取得に関する規制「1. 本人同意を要しないデータ利活用等の在り方」において、サイバーセキュリティの確保のように公益性が高い利活用を例
外的対応の例として明記されたい。

233

匿名

代替困難なサービス事業者による個人情報・個人データの取得について、不適切な利用の禁止、適正な取得の規律を及ぼすこと、仮に及ぼすとしてもその範囲（規制が及ぶ事業者の範囲及び規制対象となる行為の範囲）は明確かつ限定的であるべきであり、過度の萎縮効果が働かないように慎重に検討いただきたい。

69 ページ

意見内容：「不適正な利用の禁止、適正な取得の規定については、個人の権利利益の保護により資するものとするとともに、事業者による予測可能性を高める観点から、適用される範囲等の具体化・類型化を図る必要がある。」とあるが、不適正な利用の事例として、販売した個人データが後に犯罪に利用されるような事態の防止や、個人データや個人関連情報の利用が、個人のプライバシー権の侵害に該当する
ような事例については、対象とすることになると考えられる一方で、不適正利用の基準として、個人のプライバシー権の定義付けや、具体的な利用形態などを定める必要があると考えられる。罪刑法定主義的な観点から、明確化していただきたい。
意見内容：「そのため、こうした場合において、本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要がある。」と記載されている点について、不適正な利用の事例として、犯罪に利用されるおそれがある場合などが挙げられることは十分理解している。
ついては、当該事例を適切に具体化・類型化し、法規制を設けるほか、オプトアウト事業者のように、一定の範囲での貴委員会（もしくは貴委員会が行政事務を委任する各省庁）での届出・資格の付与
234

一般社団法人国銀行協会

全などを検討いただきたい。
意見内容：「本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要がある。」とあるが、「金融分野における個人情報保護に関するガイドライン」第２条第３項の「与信事業に際して、個人情報を取得する場合においては、利用目的について本人の同意を得ることとし、契約書等における利用目的は他の契約条項等と明確に分離して記載することとする。この場合、事業者は取引上の優越的な地位を不当に利用し、与信の条件として、与信事業において取得した個人情報を当該事業以外の金融商品のダイレクトメールの発送等に利用することを利用目的として同意させる行為を行うべきではなく、本人は当該ダイレクトメールの発送等に係る利用目的を拒否することができる。」という規定と同趣旨の内容の追加を検討しているのか、教示いただきたい。
意見内容：
定義や保護すべき理由についてガイドライン・Q&Aに記載されているが、必ずしも明確とは言えない箇所も散見され、解釈や判断の余地もあるため、より明確な記載にしていただきたい。
例えば、６頁に記載のような「事業者が、電話番号、メールアドレス、Cookie IDなど、個人に対する連絡が可能な情報を有している場合には、個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ」（る）というように具体的な表記としていただきたい。
個人情報保護に関する国民の知識が権利とセキュリティーなどのリスク共に不足しており、政府や地方自治体による周知・啓もう・教育もほどんどされていない。このような日本で決済やマイナンバーカードによるデジタル化が政策として進められているが、セキュリティーに係る事件が特殊詐欺の受け子へ知らぬ間に勧誘され、法に触れる行為をしてしまった若者も多く、まるで235

個人

以上の理由で
1節

イ

以下

クッキー

れていないので昨年来、激増し、国民の不安も

政府の政策が国民を選別しているかとキャッシュレス増すばかりである。
錯覚してしまうほどだ。

要望したい。
サイトの閲覧履歴 について

ここを

個人関連情報ということで色々深刻な事態が起こる

ことが指摘される通り、個人情報を活用する技術というものの仕組みが国民に理解さきちんと整理していただきたい。

〇意見・中間整理では、「個人関連情報については、一定の場合における第三者提供のみが規律の対象となっており、具体的には、提供元では個人データに該当しないが、提供先において個人データとなるこ
236

一般社団法人命保険協会

生 とが想定される個人関連情報の第三者提供について、本人同意が得られていること等の確認が、提供元に義務付けられている。」とされている。

・個人関連情報について、仮に個人情報と同様の規制を行う場合は、例えば、オフィシャルＨＰ等の画面遷移情報（Cookie情報 等）の分析の際、第三者へ個人関連情報であるCookie情報等を提供する
ケースにおいて、ブラウザへのアクセスの都度、本人に対し、第三者提供に関する同意等を求められることとなり、顧客利便性が阻害される可能性もあるため、慎重に検討いただきたい。

70 ページ

第２ 個別検討事項

１ 個人の権利利益のより実質的な保護の在り方(2)第三者提供規制の在り方（オプトアウト等）
No.

提出者

提出意見
個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない（法第 27 条第１項本文）
上記の問題点
例えば何らかのサービスの会員になる時に個人情報取扱事業者側が顧客の個人データを第三者に提供します。同意出来ない人はサービスを使用出来ません。などと事実上強制的に個人データを第三者に提供されるのを法律で禁止すべきである。
何故、自分のプライバシーを侵害される事に同意しなければサービスを使えないのか。

237

匿名

顧客の要求がなかったとしても、個人情報の漏洩を避けるために何らかのサービスの会員を辞めた者の個人情報は速やかに削除するよう個人情報取扱事業者に義務付けるべき。
参照(2)第三者提供規制の在り方（オプトアウト等）【我が国の現状等】
個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない（法第 27 条第１項本文）。ただし、第三者に提供される個人データについて、本人の求めに応じて提供を停止することとしている場合であって、その名称や住所、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること、本人の求めを受け付ける方
法等について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、委員会に届け出たときは、本人の同意を得ることなく第三者に提供することができる（同条第２項）。

株式会社シー238

ピーデザインコン
サルティング・現行法の規制においてもオプトアウト規定は有効に機能しており、名簿屋に対するけん制もされていると考える。
・一方で、大量の個人データを保有している事業者が破産した場合や、海外の事業者によるM&Aが行われた場合の対抗策が足りていない。
一定の件数を超える個人データを保有している事業者は、必ず認定個人情報保護団体の傘下に入ることを義務化し、破産や海外事業者との合併・買収に至る前に、当該認定個人情報保護団体に対して、保有している個人データの全てを供託させる制度の設立を求める。
意見
・例外的に、社会的に真に必要な範囲のみに絞ってオプトアウト制度の存続を認め、それ以外については原則通り本人の同意なしに第三者提供を認めないとするべきと考えます。

公益社団法人239

全国消費生活相談員協会

理由・消費生活センター等で消費者の相談に対応する消費生活相談員の団体である当協会としては、従来からさまざまな消費者トラブルの根本に、いわゆる名簿屋による名簿の悪用がある事実を強く認識しています。またここまでのオプトアウト制度の規制強化が必ずしも功を奏していないことは中間整理に列挙されている事例が示しています。加えて、消費者が権利行使として提供停止等を求めた
場合、当該事業者から本人確認のためと称して免許証、マイナンバーカード等の提示等、それまで事業者が不知であった個人情報の提供をも求められるのが通例であり、これでは消費者が正当な権利行使を躊躇せざるを得ない現実があります。よってオプトアウト制度については、その対象を真に社会的に必要な範囲にのみに限定するべく、抜本的な見直しが必要と考えます。

71 ページ2-1-(2)第三者提供規制の在り方(オプトアウト等)への意見
有識者ヒアリングで高木氏は、「現行法の民間部門の規定では、個人データを第三者に提供すると、提供を受けた第三者は新たに独自の利用目的を自由に設定できる。したがって、提供元における提供の目的が正当であっても、提供先において同じ目的で利用される保証がなく、提供元にも責任がない。」状態であると指摘している(高木浩光「個人情報保護法3年ごと見直し令和6年に対する意
見」第289回個人情報保護委員会(令和6年6月12日)2頁, https://www.ppc.go.jp/files/pdf/240612_shiryou-1-2.pdf .)。
240

個人

現状、第三者提供の本人同意が形骸化しており実質的な同意の範囲は、提供元が第三者提供するという文言に対してであり、提供先の個人データの利用目的には及んでいない可能性がある。第三者提供の規律が不透明な現状を危惧する。「事業者による予測可能性を高める観点」(5頁)に立てば、そもそも利用目的は、具体的に明示されている必要がある。利用目的に「等」や「その他」といった具体性に欠け漠然とした十分に予測できない文言があってはならない。また、法27条2項各号が明示されていても、肝心の提供先の利用目的が明示されていない場合、法20条1項、21条、27条に抵触するのではないか。また、取扱い元が変更されるのだから「利用目的と関連性を有する合理的に認められる範囲」(法17条2項)を踏まえて、提供先でも提供元の利用目的と関連性を有する範囲内に限定された個人データの取扱いになっていなければならない。同時に、提供元と提供先で上記したことが履行されていなければ、法21条、27条に抵触するのではないだろうか。個人情報保護法の性質上、本人がその証明をするのはハードルが非常に高く又、本人が損害を受けたことを証明しにくい性質があり、個人情報保護委員会の法執行に期待したい。
対象箇所：第２ 個別検討事項 (2)第三者提供規制の在り方（オプトアウト等）P.8考え方「オプトアウト届出事業者は、提供先の利用目的や身元等について、その内容や真偽を積極的に確認する義務まではないことから、明確に認識しないまま意図せず犯罪グループに名簿を提供してしまうことが生じ得る。そこで、一定の場合には提供先の利用目的や身元等を特に確認する義務を課すことについて検討する必要がある。その際、確認義務の要件についての検討や、住宅地図等を広く市販する場合など規律の在り方についても検討が必要である。」
・当社では、市販品である住宅地図帳や電子住宅地図を、代理店や書店等（以下「代理店等」）を通じて販売することも多く、万一、提供先（以下「最終使用者」）の利用目的や身元等を個別に確認・把握することが義務化された場合には、代理店等が大きな負担を強いられることが想定される。

241

株式会社ゼンリ ・住宅地図の最終使用者の利用目的や身元等の確認については、法29条第1項の規定による第三者提供に係る記録の作成に関する個人情報保護委員会規則第20条第1項第1号に定める記録事項として利用目的が加わり、かつ同号ロの「（不特定かつ多数の者に対して提供したときは、その旨）」という規定が削除され、実質的に全ての第三者提供に係る記録の作成を求められることなどが想定される
ン
が、さらに厳密な身元確認を義務付けるなど事業者に過度な負担を強いるものとならぬよう配慮を望む。

・代理店等による最終使用者の利用目的や身元等の確認義務の履行が実務上困難となった場合には、代理店等を通じた販売を諦めざるを得ないが、このような事態となれば、代理店等による当社商品の販売機会を奪うこととなり、代理店等の事業の存続に影響を及ぼすことになりかねない。
・当社では、個人情報を悪用した犯罪被害の防止のための規律の必要性を真摯に受け止めると同時に、配送・配達や地域の防災等適正な目的のために市販の住宅地図帳を長年使用いただいているユー
ザーの利便性が、さらなる規制によって損なわれることも危惧している。法第16条第1項の利用方法からみて個人の権利利益を害するおそれが少ないものとして、住宅地図は、政令第4条第1項に定める個人情報データベース等に該当しない事例として、ガイドライン（通則編）に示されている事情も踏まえ、住宅地図の市販に関する規律が行き過ぎたものとならないことを望む。
●個人情報を含むデータベースを販売する事業者や住宅地図等で個人情報を提供している事業者等を念頭に置いて設けられた規定であることは理解できる。個人情報はより適切に保護されなければならない。
●しかし、地域の相談窓口、例えば委託型の地域包括支援センター(行政の部署が基幹型地域包括支援センターとして設置されていない場合)では、地域の高齢化率等の数値は情報開示されるものの、
住民基本台帳等の氏名・住所がわかるデータが情報開示・情報公開されていないことが多い。このような状況の場合、地域福祉コーディネーターとの連携や地域の見守り活動、地域作りには、同意方
式か手上げ方式で行うしかなく、一定の限界がある。
●災害時の要援護者名簿を協定を締結し、紙ベースのみで情報開示する取り組みもあるようであるが、あくまで災害時の対応のための名簿であり、地域の見守り活動に転用することは適切ではなく、かつ効果的に使用するこは難しい。
242

匿名⇒このような場合、行政から委託型地域包括支援センターへ住民基本台帳情報を関係機関共有方式へ切り替え、オプトインではなく、オプトアウトの方式とすることはできないか。
⇒行政のホームパージや広報等に個人情報の取り扱いに関するプライバシーポリシーを掲載し、個人情報の運用を停止してほしい場合に届け出てもらう方式に変更する方法はどうか。
⇒提供先の委託型地域包括支援センターの運営法人と行政が委託契約を締結するに当たって、法人の財務状況や運営状況について精査するため、一定のフィルターはかかる。
⇒個人情報漏洩の場合についても、以下の手段を講じることで対処できないか。
・罰則の厳格化
・社会福祉士・介護支援専門員(主任介護支援専門員も含む)・保健師・看護師の資格剥奪の規定の創設
・２度と分野で就業することができない旨の規定の創設

等

72 ページ

【意見】個人データの第三者提供には本人同意が原則必要と考えます。併せて、事業者が第三者に提供した場合と第三者から提供を受けた場合、必ずデータ授受の記録を作成する必要があると考えます。
243

全国消費者団体 【理由】
連絡会

本人の関知しない間に個人データを第三者に提供し、かつ本人が申し出をした際にはすでに第三者に提供済み、というケースが発生することは容易に想定できます。常に第三者提供には本人同意が必要として規制を強化すべきです。
個人情報保護の法令改正を希望するため意見を提出します。

244

匿名

・昨今の電話、ネット、訪問の詐欺などの原因における名簿屋等の存在について情報が悪用された場合に情報の削除と被害者に向けた賠償・返金など措置を取る働きかけをしてほしい。
(2)第三者提供規制の在り方（オプトアウト等）
生成AIの開発では膨大なデータを要することからオプトアウトによるデータ収集は避けられません。しかしながら、SNSから無断で情報を吸い出していた、新聞社の有料記事を学習していた、
robots.txtを無視した学習をしていた等々広い範囲から情報を際限なく収集していることが報告されるようになってきました。
“本人の求めに応じて提供を停止することとしている場合であって、その名称や住所、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること、本人の求めを受け付ける方法等について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、委員会に届け出たときは、本人の同意を得ることなく第三者に提供することができる”
といった記載がありますが、生成AIによる学習を拒否する意思を明確に示している人のデータを不特定多数の第3者に提供されている状況は日常的に発生していますし、また直接本人から提供の停止を要請していても無視する事案も多くみられます。そもそも、情報を収集されている本人が情報を収集されていることを認識できていない事案も数が多く“本人が容易に知り得る状態に置く”という前提が崩れています。
“令和２年改正法により、不正取得された個人データをオプトアウト規定によって提供することが禁止された。また、違法又は不当な行為を助長し、又は誘発するおそれがある方法による個人情報の

245

匿名

利用が禁止された。”とされていますが、現状としてこの部分はまだまだ機能していないのではないでしょうか？
★正当な活動を行っている事業者であっても追加で規定すべきものがあるのでは？
オプトアウトの問題点の記載は主に犯罪に関わる部分に寄っていましたが、生成AIを活用する企業が増えてくると今後想定されます。まっとうな活動している企業であっても、オプトアウトによる情報収集を行う企業が増えた時に私が気にしていることは何かしらの外的な攻撃による情報漏洩等です。日本企業はたとえ大企業であっても情報セキュリティ面が非常に脆弱な企業が数多く存在しています。今年に入ってから様々な企業から情報漏洩やランサムウェアによる攻撃被害が報告されるようになっています。そして、それは生体情報そのものを扱う医療分野も同様です。例えばN社では2023年に自社が提供している電子カルテシステムのうち、大規模病院の半数以上の病院でサーバーやパソコンが病院ごとに同じIDとパスワードを使い回す状態になっていたことが判明しました。そのような杜撰な管理のため同社のシステムを入れていた病院がサイバー攻撃の被害に遭ったことは記憶に新しいです。N社は今年に入り生成AIを搭載した電子カルテシステムを早速販売しています。現
在は診療情報提供書(紹介状)と退院サマリを自動生成するのみに収まっていますが、今後は患者の治療に関与する部分に関与する研究をなされると考えられ、オプトアウトによる情報収集を行った上で研究は行われるもしくは既に行われているでしょう。では、そこで収集したデータがまた以前のようなサイバー攻撃により抜き出されたらどうか？もちろんサイバー攻撃を行った犯罪者が一番悪い
ことは間違いありませんが、情報セキュリティ上の脆弱性を放置したまま・修正したが不十分だったのであればそれも十分に問題ではないかと私は感じます。
結論としては、意図的にではなかったとしても情報流出をきたしうるような脆弱性を抱えた企業によるオプトアウトによるデータ収集は規制されるべきでは？もしくは、情報セキュリティ上の脆弱性がないこともオプトアウトによるデータ収集のための要件に組み込むべきでは？という意見になります。

246

匿名

名簿の売買自体問題だと思います。自社で収集した個人情報は社内機密として保護し外部に漏洩しないことが基本と思います。
過去の改正法により、確実に堅牢な保護へと近づいていることは感じています。
ただし、現在chatGPTなどの生成AIの機能を強化する名目で、これらの法は抜け穴をくぐられ同意すら求められず収集され、収集されていることも気付かないためオプトアウトも申請できず、またオプトアウト申請自体を拒否される場合もあります。

247

匿名

そうして集められ使用されているデータは、一般人である生成AIユーザーが簡単に引き出すことが可能であり国内外で幾度となく情報漏洩問題を起こしています。
これらの無断使用データ内には、既に問題視されている特殊詐欺に関わる情報も多数含まれており、非常にハイリスクであることから、個人情報は範囲を広げ更に強固に保護されるべきであり、
オプトアウトについては更なる周知と共に、より簡便に申請できるようであるべきだと考えます。
73 ページまずオプトアウト届出事業者なるものがある事の周知をお願いしたい。
248

個人

個人データにはオプトアウト権がある事と、それをきちんと守ると届け出ている事業者・守る気が無い事業者が居るという事さえ知らない者が多いように見受けられる。
その上で、個人データを提供する先の利用目的や身元確認義務を付けてほしい。
（２）第三者提供規制の在り方（オプトアウト等）

249

個人

・上記（１）イの記述したとおり、概要を必ず見やすく説明するべきである。
また、第三者提供に関しての記録を残し提供先を説明できる状況、及び提供先でも確認できる状態にする事が望ましい。できることならば提供情報を業種別指定第三者機関への届け出を必須項目とするべきである。

250

個人

オプトアウト制度については、そもそもオプトアウトを認める必要がないような場合にまで、この制度が使われているかどうかを検証する必要があるのではないか。

251

匿名

オプトアウト全般について、オプトインも併用すべき。

252

匿名

名簿を他者に提供する行為

売買自体 犯罪に該当するがまたそれらに該当する者は不快な広告

それら広告を展示するSNSには

(詐欺

詐欺の広告

量が多く

手に負えない状態であるの様な者が多い

不快な広告の停止）対策が必要である

p[6-7]
オプトアウト届出事業者
・個人データの第三者提供記録を作成していなかった事案
利用者に、オプトアウトが適切になされているかの呈示をより明確に示すことが必要なのではないか。個人情報並びに個人関連情報が収集されていたとしても、それらが本来の目的で純粋にサービス
253

匿名の向上等に使われていればなんら問題は無いのであって、それらの個人関連情報を含めたデータを「名簿」として金銭的やり取りができるようになっている現状がそもそもおかしいのではないか。
現状の指導を行った事案のうち、「偽りその他の不正の手段」に該当しないかどうかが適切に機能していない事例を読み杜撰だと感じた。
また、オプトアウト届出事業者という呼称が、一般社会に認知されていないのではないだろうか。
問題が起きてから一般市民が、その悪用あるいは不正利用された個人情報や個人関連情報を防ぐためにも周知が必要なのではないだろうか。

254

匿名

（2）オプトアウトについては、問題の事を知らされず、同意も無い状態なのに最初から同意とみなされている事である事が前提なので反対です。オプトインのみが良いと思います。
流出した名簿が利用された犯罪が後を絶たない現状に大変憤りがあります。
収集した個人情報について、さらに厳格な管理が必要だと思います。
消費者庁での相談事例で、オプトアウトを業者に求めても、すでに売買された情報については回収できないという事例が示されています。

255

匿名

個人情報はオプトアウト対応では不十分ではないでしょうか。
流出したデータがどこに流れているか、個人が完全に把握する事は不可能です。いかに簡単に確認できる状態であると言っても、そもそもどのような名前の事業者がいわゆる名簿業者か、どれ位の人が存じているでしょうか。
一社挙がればよい方ではないでしょうか。
この状態で、オプトアウト対応できるのだから情報の取扱いに問題なしというのは事業者に一方的に有利であると考えます。

74 ページ

本文にあるようにあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くという条件下でデータの提供が行えるとしてその定義が甘すぎるのではないか？と考えます
デジタル社会な今 サインや印鑑を必要とせずワンクリックで同意を得ることができます
オプトアウト届出事業者は、提供先の利用目的や身元等について、その内容や真偽を積極的に確認する義務まではないことから、明確に認識しないまま意図256

匿名

せず犯罪グループに名簿を提供してしまうことが生じ得るとあるように現在の個人情報の扱われ方は非常に緩すぎるのではないか？
データ提供を行う側の責任が伴っていないのではないか？と思われます
また昨今では生成AIに対し顧客情報等を入力する事が考えられ
セキュリティホールが多い生成AIでは容易にデータが流出する事が考えられそのようなデータ利用

そのためのデータ提供には制限を設けるべきだと思っています

個人情報の利用は
257

弁護士有志

258

匿名

本人が特定されないような その人にとって不利益にならない範囲に定めるべきです

オプトアウト届出事業者の義務を強化すること及び本人のオプトアウト権行使の実効性を高めるための措置を検討するとの考え方に賛成する。
(2)第三者提供規制の在り方（オプトアウト等）
について昨今個人情報の流出が多く、情報を取り扱う会社の信頼性が落ちているためオプトアウトではなくオプトイン制にし、サービス提供者だけでなく第三者へ情報提供する場合も本人の意思の確認を行い情報提供するしないを利用者に判断させる必要がある。
現在、様々なサービスがオプトアウトの手法を採用していますが、オプトアウトは構造からして欠陥だらけの手法であり、泣き寝入りをする大量の被害者を生むだけの結果を引き起こします。
オプトアウトは、データを無断で取り上げて、被害者の泣き寝入りを引き起こす制度です。
資料内に取り上げられている「新破産者マップ事案」をご存じなら分かると思いますが、オプトアウトは実質的にデータを人質にとることが可能です。昨今のあらゆるサービスにおけるオプトアウ
トの強要は、「新破産者マップ事案」と本質的に同じ事だと認識しております。
オプトアウトを認めるということは、すなわち「データの利用を停止してほしければ、相手が定めた手続きに従うしかない」「それができないなら、一切の救済が行われない」という状態になるため、データの持ち主に「泣き寝入り」か「手間がかかる申請」の二択を強いる、データの持ち主にとっては理不尽な制度でしかありません。

259

匿名

そもそも、オプトアウトの手続きができることを知らなければ、当然ながら申請もできません。デジタルサービスの構造に疎い人や無知な利用者を搾取する手法です。これを認めるべきではありません。
また悪質なサービス運営者に手にかかれば、いくらでも難癖をつけてオプトアウトの申請を無視することができます。
「破産者の個人情報は官報で一度公開されている情報であるため、それを再度公開することに違法性はない」というような主張が、破産者マップの運営者の用いた見苦しい詭弁でしたが、これと同様の主張をするようなサービス提供者が現れた場合、また「新破産者マップ事案」同じように対応をすることなるでしょう。
そうなる前に、このような結果を招く原因となるデータの収集とオプトアウト制度そのものを根本的に否定すべきです。
オプトアウトのやり方そのものが、もはや現代の情報社会に求められるべき権利保護基準に即しておらず、時代遅れの制度ではないでしょうか。
また(2)第三者提供規制の在り方（オプトアウト等）

260

個人

該当項目については個人情報の重要性、その保護の必要性に対し「オプトアウトにより個人データを提供するに当たって、提供先が提供を受けたデータを「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことを確認していないとの回答が約３割あった」という記述にあるように、現状十分な保護がなされているとは考えられず、これについても上述と同様利活用以
前にデータの保護を最優先としその実効性を高めるよう罰則を設けるなど制度の検討をいただきたい。

261

個人

個人情報を取得する際は同意の確認を取るオプトアウト方式をスタンダードとし、収取した情報に対して事業者に保護を義務とすることは概ね必要なことであり名簿の売買などについてもハードローの形で牽制していくことは必要かと思います。

75 ページ可能な限りオプトイン方式とし、さらにどのような場合もオプトアウトの権利は最大限尊重すべき事項と考えます。
262

またオプトアウトについても、一部企業などでは、分かりにくく複雑な手続きが必要な場合が見受けられます。

個人

手続き方法に一定の基準を設けるのどして、オプトアウトを望む方が手続きしやすい環境の整備も重要に思います。
大変難しい問題ではありますが、国民一人一人のの権利を第一に考えた、運用をよろしくお願いします。
いわゆるオプトアウトの担保を前提とした同意なき第三者提供は、本人が提供先の身元ばかりか当該提供先による利用目的をあらかじめ知ることなく個人データが提供される点で、個人情報保護の大原則中の一つである利用目的制限を大きく逸脱するものであり、本来は廃止されるべき大例外だが、制度を維持するのであれば以下のようなセーフガードを設けるべきと思料する。
(i) オプトアウト届出事業者が提供することのできる個人データは、本人から直接取得したもの、または、公表された事実にかかる個人データに限られなければならない

263

合同会社

asura

(ii) オプトアウト届出事業者から個人データの提供を受けた事業者は、遅滞なく（ただし当該個人データの利用開始より以前に）本人に対して提供を受けた旨を通知すべきこと
なお、オプトアウト届出事業者に対する本人関与を強化することは、奏功しないものと思われる。
また、オプトアウト届出事業者に対するものを除き、個人データ提供の確認記録義務は、ガイドラインが独自に定める確認記録義務への例外があまりに多く、実際的にトレーサビリティの用をなしていないため廃止すべきである。その他の第三者提供にかかる規制も利用目的等が明示されており、その利用目的等が正当と認められるものであるならば特別の規制を設けるべき理由がなく、同意取得を要求すべきではない。
（意見）
度重なる改正に真摯に対応してきた個人情報取扱事業者とそうではないものがわかれる中、そもそもそのような悪質な事業者の個人情報保護委員会による把握が可能であるのか疑問があり、また、現行法を遵守する個人情報取扱事業者のみがさらに改正事項を遵守するとすれば規制の実効性にも疑問があるため、立法事実として挙げられたケースの是正に関して、個人情報保護委員会として追加の規律を設け、監視・監督し得る対象か否か、実効性に鑑みて追加の規制を設けることが合理的かにつき検討を求めます。また、個人情報保護委員会による実効的な監視・監督が期待できないことを前提とした民間への負担要求は慎重に考える必要があります。
（理由）

264

三浦法律事務所 オプトアウト手続は、平成27年、令和2年と立て続けに改正がなされているところ、当該手続の問題としてさらに義務を課すことが合理性のある対処・アプローチであるのか疑問があります。
また、【我が国の現状等】において問題とされるケースは、個人情報保護委員会によって実効性のある監督等が実施し得る懸念があるところ、警察等を交えて省庁横断的に対応を検討する方が良いものと考えます。
実際に、オプトアウト手続によって個人データを第三者へ提供する事業者には、個人情報保護委員会が問題とする犯罪に関与するような悪質な名簿屋のみならず、名刺管理DBや企業に広く浸透したDB事業があります。悪質な事業者と法を順守してきた事業者を混同して一律に規制を設けることは慎重にすべきです。
なお、個人情報保護委員会による監視・監督の実効性に懸念があるところを補うような形で、これまで法を順守してきた事業者側の負担によって一定の効果を得ようとすることが適切か否かに疑問が
あります。
（意見）

265

主婦連合会

現行の「オプトアウト届出制度」は、個人情報をより実効的に保護する観点から、規定内容を見直すべきである。
（理由）
現行の「オプトアウト届出制度」の規定ぶりは、不適正な利用の温床になり得るものであり、個人情報保護の規定を「骨抜き」にしている面が否めない。

266

一般社団法人 新 •「一定の場合には取得元の身元や取得の適法性を示す資料等を特に確認する義務を課すことについて検討」とのことだが、中間整理にもあるように、要件や対象を明確化し、問題視されているよう経済連盟

な事案以外の健全なビジネスやサービスに影響が出ないように慎重に議論すべきである。

76 ページ

(1)個人情報等の適正な取扱いに関する規律の在り方(2)第三者提供規制の在り方（オプトアウト等）に関して「オプトアウト届出事業者」等の個人情報取扱事業者当人に対し、マイナンバーを活用した事業者登録が望ましい。
３ データ利活用に向けた取組に対する支援等の在り方(1)本人同意を要しないデータ利活用等の在り方に関して「（第三者提供の制限）
第二十七条
「五

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。」

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき」

は、インターネット上に様々な写真・動画がアップロードされる現代においては適切とは思えない。
この例外規定により、「学術研究の成果の公表又は教授のためやむを得ない」という名目であればフェイク画像などを作成する事も容認されてしまう。
「個人の権利利益を不当に侵害するおそれがある場合を除く」という文言も、権利侵害による被害を受けた側が明確に本人の権利を侵害する意図があったかを立証する必要があるが困難である。
267

匿名

また、生成AIの学習においても「学術研究の成果の公表」という文言の存在は権利侵害を助長している。
権利侵害の罰則や現行の生成AIに使われているデータセット自体の問題は別の案に任せるとして、ある人物によって権利侵害が起きた際に「学術研究目的であるから問題はない」「生成AIの学習に第三者による提供データを使っており、権利物とは知らなかった」等の言い訳の機会を与えないためにも、責任は全て利用者に負わせるべきのように思える。
生成AIに関する事業者の声明等-共同組合 日本俳優連合
https://www.nippairen.com/about/post-20925.html-日本翻訳者協会 声明
https://jat.org/ja/news/ai%E3%82%92%E7%94%A8%E3%81%84%E3%81%9F%E6%BC%AB%E7%94%BB%E3%81%AE%E5%A4%A7%E9%87%8F%E7%BF%BB%E8%A8%B3%E3%81%A8%E6%B5%
B7%E5%A4%96%E8%BC%B8%E5%87%BA%E3%81%AE%E5%8F%96%E3%82%8A%E7%B5%84%E3%81%BF_%E3%81%AB%E9%96%A2%E3%81%99%E3%82%8B%E6%84%8F%E8%A6%8B%E6%9B%B8

77 ページ＞(2)第三者提供規制の在り方（オプトアウト等）＞ただし、第三者に提供される個人データについて、本人の求めに応じて提供を停止することとしている場合であって、その名称や住所、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること、本人の求めを受け付ける方法等について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、委員会に届け出たときは、本人の同意を得ることなく第三者に提供することができる（同条第２項）
・意見→

一般的に知られていない。国民は自分の個人情報が売買されていることも知らない。ましてやどこの業者が誰に売って、自分の個人情報がどこまでバラまかれているかも知らない。

この私も知らないし、このパブリックコメントを読んでいる役人の方も自身の個人情報がどこに渡っているか知らない。これは異常な事態である。
さらに国民がこれらオプトアウトの仕組みを知り得てなければ、実質的にデータベース販売事業者が圧倒的優遇を受けていることになる。この不公平は正されなければならない。個人情報データベー
ス販売を禁止するべき。
7P＞・ 届出事項を本人が容易に知り得る状態に置くことについて、「自社コーポレートサイトに掲載している。」「ホームページで公表している。」「社内の壁面に掲示している。」「検索出来るようにしている。」といった回答があった。
・意見→

これらいずれも一般人の目に付かない事例ばかりである。そのような対策を取っているというアリバイ作りでしかなく、実質的に国民の目に留まり、周知徹底されるようになっていなければ、それは何もしていないのと同じである。個人情報売買の禁止、規制強化すべき事例である。
同7P＞・ 提供しようとするデータが、法第 20 条第 1 項に違反して取得されたものでないことの確認方法について具体的な内容が不明確な回答が約２割あった。
・ 個人データの第三者提供を受けているオプトアウト届出事業者のうち、提供元の事業者が法第 20 条第１項の「偽りその他不正の手段」に該当しない手段により個人情報を取得していることの確認
方法について、回答に具体性がない又は無回答となっている事業者が約２割あった。
・ オプトアウトにより個人データを提供するに当たって、提供先が提供を受けたデータを「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことを確認していないとの回
答が約３割あった。オプトアウトによる個人データを提供するに当たり、提供先に対して、本人確認手続等を実施していないとの回答が約３割あった。
268

個人

・意見→

オプトアウト制がいかに実効性の低い制度かという悪い事例である。これを見ても個人情報売買禁止、規制強化が妥当である。

同7P＞・ 販売先が、法に違反するような行為を行う者にも名簿を転売する転売屋だと認識していたにもかかわらず、意図的に販売先での名簿の用途を詳しく確認せず、転売屋に名簿を販売していた。また、個人データの第三者提供記録も作成していなかった事案
・ 個人データの第三者提供記録を作成していなかった事案
・ 個人データの第三者提供記録を作成していなかったことに加え、第三者から個人データの提供を受けるに際し、当該第三者の住所について、確認を行わなかった事案
・意見→

言語道断であり厳しく罰するべき事案である。このような事例が事業者にとって大きな損害になるように個人情報売買禁止、規制強化すべきである。

8P＞・ 名簿の販売が許容されていること自体が問題ではないかとしている事例
・ 名簿の入手先・取得元の問合せや第三者提供記録の開示を拒否された、あるいは適切な回答がされていない事例
・ 提供停止を求めるための連絡先が不明又は電話がつながらないなどの理由により停止してもらえなかった、あるいは一旦停止したものの、その後提供が再開された事例
・ 提供停止等を求めたところ、他の個人情報の提供、サービス登録、手数料支払等の条件を付けられた事例
・意見→

政府のこれまでの指針は反社会的組織の活動を助長しているという事例である。

同8P＞【考え方】
オプトアウト届出事業者は、提供先の利用目的や身元等について、その内容や真偽を積極的に確認する義務まではないことから、明確に認識しないまま意図せず犯罪グループに名簿を提供してしまう
ことが生じ得る。
・意見→

オプトアウト制を禁止するべきである。犯罪組織や不正利用に一方的に有利すぎ、一般人は自分の個人情報をどこの誰がどこまで知っているのか何も知らされないまま暮らし、ある日突然犯罪に巻き込まれるのである。このようなことは絶対に許されない。
そしてそもそも、個人情報を売買することが違法とされないのが異常な事態である。

78 ページまた、オプトアウトの規制に関しても、再考の余地があります。
日本は現在超高齢化社会であり、人口のうち、5000万人が50代以上という、極端に偏ったピラミッドを形成しています。
これは諸外国には見られない非常に特殊な環境です。
5000万人近くが、大なり小なり困難を抱えている可能性があります。
・視力の衰えで簡単にはサイトにアクセスできなくなっている・規約をきちんと確認するのに長い時間がかかってしまう
・小さな「同意する」欄の文字が見づらく、ダークパターンに引っかかりやすくなっている
269

匿名・フィッシング詐欺に引っかかりやすくなっている
・認知力が低下し、学習がなかなか難しくなっているのにもかかわらず、適応できる限界を超えて次々と詐欺の手法が開発される・日常生活に支障を来すほどではないものの、不注意が増えている
こうした高齢者の生活様態も考慮に入れ、事業者の努力義務によるオプトアウトの対応だけではまったくの不十分であると思料いたします。
調査も、今後は検討していくべきであると考えます。
高齢者・社会的弱者にとって利用しやすいインターネットのインフラ環境の構築は国としての義務です。これによって健常者も快適に利用できるようになり、利益を得られるはずです。
1，個人情報のオプトアウトについて
無差別に個人情報を学習した生成AIの中に自らの情報が含まれているか知り、オプトアウト権を行使するには、学習元データに一定の透明性があることが必須で、アクセス可能であることが重要で

270

匿名

ある。
しかし、元データが個人情報の集合である以上、容易なアクセス手段を設けることは難しいと思われる。であるから、情報の収集は許諾を取り、オプトイン方式のみで行うことが望ましいのではないか？

79 ページ

意見２第２ ２ (２)について
意見２要旨
オプトアウト届出制度は[廃止ないしより制約の強い要件を満たさなければ実行できない方式とし、違反した場合は多くの懲罰的賠償金を課す]といった制度にする必要があり、本項目の内容は大きく見直されるべきである
意見２理由
オプトアウト方式には大きく２つの問題点があり、国内では全面的に禁止にするべきである。まず１つ目の理由は「オプトアウトを利用したサービス、システム製作者、利用者のモラルが低く、彼らに個人情報や[自身の作成したデータすら]利用させたくないと考えるからである。」これは、さまざまなモラルおよび「データ利用を要求する業界や人員に不信感を蓄積する」事例があるためである。例えば画像生成AIのLoRA機能（特定作者の絵柄に似せた画像を出力するように特化させる機能）を利用し、特定作品の利用規約で禁止されている表現を特定の作者になりすまして生成するという嫌がらせ事例が発生していることが挙げられる（●●●●●●●●●●）。これは、当該作者がその作品の二次創作を行なっていたこともあり、利用規約違反の画像を制作する作者であるという風
評被害を企図したものと考えられ、非常に悪質である。これ以外にも特定の作者になりすまそうとし、それがうまくいかないと殺害予告を繰り返すなどといった反社会的行動を行う人間も存在している。そして、それらの[非常識な利用者]に対して情報を利用しようとする企業やそのシステム利用者から自浄作用は働かなかった。これらの状況を踏まえると、これらのデータ利用を企図している企業や人員たちに対し、一切信頼できない反社会的な素養や性格、コンプライアンス概念のない企業が率先して使用していると推論されてしまう。そのような状況が解消されない限り、[自分の個人情報を渡したくないと考えるのは当然の反応]であり、[自分の作成した作品やデータすら、情報として利用させたくない]と考えるのが自然な感情と言える。そのような状態を招きうるオプトアウトは許可されるべきではない。まして個人情報やそれに類するべき個人関連情報なるものも用意し、海外と比べて個人情報が保護されていない日本において、一国民としてオプトアウトを個人情報に適用す
271

匿名ることを許可することは断じて賛同できない。２つめの理由は「オプトアウトを許可することは実質的に個人情報の無断利用を許可することに等しい不誠実な制度である」ということである。オプト
アウトを行うさまざまな企業のサービスで問題になることではあるが、「オプトアウトを実行するサービスを実装してからしばらくは、その変更が見落とされ実質的に[すべてのユーザーの情報を収集に同意したものとして集めることが可能になる]制度である」という問題点が今回の命令案においてもほとんど議論されていない。これは三年運用していれば確実に露見していた問題である。それにもかかわらずこの命令案の考え方やその他部分で触れられておらず、この命令を考案した構成員が、本当に公平に国民の権利保護と利益のバランスを考慮していたか、大いに疑わざるを得ない。また、この問題は「あ：新たなサービスやサービス改定を行うことで、[オプトアウトの設定を初期化し]、再度個人情報やその他情報を収集することができる期間を作成すること」が可能であり、「い：サービスやビジネスの初期にのみ注意をすれば良い、といったものではなく[ユーザーは常に自身の情報がオプトアウトによって収集されていないか注意を払うストレスとコストを課せられる]ていながら、それによってサービス提供者やビジネス提供者が享受した利益が還元されない」という不誠実かつ不公平なシステムとなる問題もあり、さらに「う：他のビジネスやさまざまな理由から、参加する必要のあるサービスなどにオプトアウトによる情報の収集が行われている場合、[個別に利用規約を交渉することなどはできず、実質的にいの問題点を一方的に引き受けさせられる]というさらに不公平な状態」になるという消費者にとって問題しかなく、サービス提供者にとって都合のいい点しかないという不公平極まりないシステムである。この「う」の問題点は企業間の取引であれば独占禁止法や下請法による優越的地位の濫用で取り締まることが可能だが、消費者と企業の間でそのような救済を行う方法が現在存在していない。しかし、「一主体から得た情報をもとに[その企業の利益を上げながら、その利益を一方的に情報提供者へ還元しない]、という方式をそのサービスの優位性や希少性を楯に一方的に飲ませる」ということが行われていると考えると、消費者は独占禁止法や下請法などで保護されるべき立場となっていると考えられる。
これらの問題を総合して考えると、社会に対して価値を提供せず、それどころか価値を減ずるもしくはそのサービスの提供者だけで利益を独占するようなものを推進するために、個人情報という最も慎重に考慮し、保護されなければならない情報を[より利用しやすくするように保護を緩めよう]という態度で書かれているような命令案を作成すること自体が国益を損ねていると言わざるを得ず、本パブリックコメントで指摘した項目以外にも全面的に方針の見直しを求めたい。
破産情報については『個人の破産情報は、官報及び役所が許可した者のみ第三者に見える形で流布できる』とすべきです。
272

個人

また、オプトアウト届出制度をオプトアウト免許制度に変更し、今起きている違法行為のみならず、過去に間違った個人情報の取り扱い方をした者や反社会的勢力に属していたりそれに近い者を排除する仕組みを導入すべきです。
それから、法律でもって『個人情報の削除要請があったら無条件且つ無償で削除する事』と明記すべきです。
現状、知らず知らずのうちにデータを収集されていることに嫌悪を抱きます。オプトアウトでは本人、権利者のの同意があるとは言えません。本人が理解したことが確認できる形式で、オプトインを基準にしていただきたい。

273

匿名

また、利用範囲について明確でなく、今後、利用者が権利者の許可なく範囲を拡大できうるような記述に不安があります。
現状の日本の生成AIに対する法案はまた不安が多くあります。ディープフェイクが起こり得ること、学習に児童を含め個人の肖像権を侵害しえるものを多く内包していること、成果物が研究目的、私的利用という規約のツールで規約を守らないユーザーが多く見られること。それらの不安が払拭されないかぎり、生成AIの学習に利用されることを望みません。
個人情報保護を目的とするならば、今一度、どうすれば安全に守られるのか考えていただきたいです。
80 ページ（意見）オプトアウト制度については、その廃止を含めた検討を行うべきであるが、少なくとも、①第三者提供の具体的内容及び状況を個人 （及び社会）が容易に知り得る状況を実効的に確保し、②個人が容易にオプトアウトできる体制を確保するよう事業者に義務付けるべきである。
（理由）現在の情報環境において、事業者は、個人に関する情報を広範に収集・蓄積・分析・活用しているが、個人がそのような実体を認識できているとは言い難い。また、個人が実体を認識するこ274

個人とは必ずしも容易でない。第三者提供の場面においても、この点は変わりない。
問題事案に鑑みても、第三者提供について、法的規律及び技術的手対応において、個人（及び社会）への可視化を実効的に確保し、個人及び社会による監視のレベルを上げることが必要である。
個人が容易にオプトアウトできない状況は、例外的にオプトアウトを認めた趣旨に著しく反する。本来、オプトアウト規定の廃止も含めた検討が必要であるが、かかる規律を維持するのであれば、少なくとも、個人が容易にオプトアウトできる状況の確保が必要である。

公益社団法人日 （意見）本消費生活アド オプトアウト届出事業者に対して、提供先の利用目的や身元等を確認する義務を課すこと、オプトアウト届出事業者に取得元における取得の経緯や取得元の身元等の確認についてより厳格な注意義務
275

276

バイザー・コン を課すこと、及び本人のオプトアウト権行使の実効性を高めるための措置を講じることに賛成する。
サルタント・相 （理由）
談員協会

高齢者が特殊詐欺や悪質な電話勧誘販売の被害に遭うケースが依然として多発している。これらの犯罪や悪質商法は、個人情報の不適切な流通や利用と密接に関連している可能性が高い。被害の深刻（NACS）

さと社会的影響を考慮すると、早急な対応が必要である。

一般社団法人オプトアウト制度については、名簿屋やそれに類する事業者による被害状況を鑑みると、現状の登録制では個人の権利利益を十分に保護できていない可能性がある。そのため、より厳格な認可制の導MyDataJapan入や、いわゆる名簿屋の禁止など、より強力な規制の導入を検討すべきである。

公共政策委員会 また、現行のオプトアウト制度を維持する場合でも、個人がより容易に自身の情報の流通をコントロールできるよう、オプトアウトの方法や手続きの簡素化、一元化などを検討すべきである。
こちらは原稿の生成AIに関して残念ながら機能していない状況にあります。
他者のコンセプトを同意なく複製し、第三者が利益目的で享受しているのが現状です。棒人間をかけば裸のポルノイラストが出てくる現状、そしてそれらが版権元を無視して他者へ販売されている件
277

匿名はFANZA等で多く見かけます。
13歳未満は使用不可、18歳未満は保護者のもと、とありますが、成人未満がわからず好奇心で出力できてしまう現状は危険だと考えます。
短絡的な考えで犯罪に手を染めてしまうきっかけにもなりうるので厳重な処罰が必要だと考え、ここに対して素早い厳しい法整備を求めます。
(1)中間整理にあるように、オプトアウト届出事業者が、個人データを犯罪者グループ等に提供してしまう事態は、厳に避けるべきである。
一方で、オプトアウト届出事業者に対し、取得元及び提供先に関する過度に厳格な確認義務を課せば、一定の要件の下、個人データの利活用を促進ないし許容するというオプトアウト届出制度の趣旨に反する結果となりかねないことを懸念する。
個人の権利利益保護を図りながらも、届出事業者に過度な負担とならず、制度趣旨に反しない合理的な程度ないし範囲の確認義務となるよう、検討いただきたい。

278

株式会社ユーザ
ベース(2)現行法における二重のオプトアウト禁止規制により、適正な手続を経てオプトアウト届出を行い、適切な利用目的で個人データを利用している事業者間であっても、オプトアウトによる2回目以降の個人データの第三者提供は、その回数のみをもって形式的かつ一律に禁止されている。
しかし、個人データの適正な取得、利用目的の遵守と、本人のオプトアウト届出事業者に対する権利行使の機会が実質的に確保されていれば、オプトアウトの回数を制限せずとも、本人の権利利益の侵害リスクは低減できると考えられる。
中間整理に基づき、オプトアウト届出事業者に対して取得元・提供先に関する確認義務を課すのであれば、当該義務の履行証明等、本人の権利利益保護を確保するための要件のもとで、オプトアウトに基づく2回目以降の第三者提供を可能とすることも検討いただきたい。
本人の同意なしに第三者提供を認めないとの基本姿勢が貫かれるべきです。
ヤミ名簿の販売が、投資詐欺や訪問販売等を通じた悪質商法を助長している状況からすれば、現行のオプトアウト規制が全く機能していないことは明らかです。団塊世代が後期高齢者に突入し、今後

279

個人

も高齢の一人世帯が増加していく一方の状況において、こうした高齢者を見守る体制が不十分な状況になりつつある中で、犯罪組織による名簿利用が跋扈すれば、被害が今以上に拡大し、日本の社会経済の根幹を揺るがす状況にもなりかねません。
少なくとも、現行のオプトアウト届出事業者に対する規制強化だけでは対策としては全く不十分です。せめてオプトアウト制度自体を抜本的に見直し、オプトアウトが認められる場合を具体化・類型化することで、社会的に真に必要な範囲に限定的に運用がされるべきです。

81 ページ長島・大野・常松法律事務所280

データプロテク
ションチーム有
志一同281

意見：オプトアウト届出事業者に対しての規律として、悪質な名簿屋の存在や個人情報を不正な手段に対して提供する者についての対応という観点から厳格化が検討されていると理解しているが、犯罪や不正に関わらないような通常のビジネスにも適用することとするのか、また適用することとした場合に、事業者として対応が過度に困難にならないかについて、事業者の意見も聞きつつ、丁寧に検討されたい。
理由：元々オプトアウト届出制度は、中間整理でも整理されているとおり、個人情報を含むデータベースを販売する事業者や、住宅地図等で個人情報を提供している事業者等を念頭に置いて、個人情報取扱事業者に対し一定の義務を加重することにより、個人データの積極的な流通を認め、保護と利用のバランスを図ろうとするものであると理解しているが、義務をさらに加重する場合、犯罪や不正に関わらないような通常のビジネスへの影響についても十分に考慮する必要があると考えられるため。

一般社団法人日 （御意見）本IT団体連盟「考え方」に記載されている「一定の場合」は、どのような場合を指しているのかを明確にされたい。
意見内容：
個人データ等が犯罪に用いられているという現状分析に対して、水際での防止策を検討することは非常に重要であり、闇名簿等の流通防止や利用形態などを検討することの必要性は理解するが、一方

282

一般社団法人で、例えば市販されている地図や衛星データ、法人の代表者情報などを販売する事業者においては、かかる規制の対象外とすべきである。貴委員会などへの届出制度等の中で、一定の要件を満たす適全国銀行協会

切な事業者についてはオプトアウト届出事業者に課せられる義務の対象外とするなど、適切な審査基準を検討いただきたい。
また、第三者提供確認記録等についても、オプトアウト届出事業者のうち、一定の事業者に限定した上乗せ規制とするなど、適正な運営を行っている事業者に影響が生じない方法を検討いただきたい。
（意見）
電話番号、メールアドレス、クッキーIDなどの個人関連情報も個人情報とすること。

283(再掲)

全大阪消費者団
体連絡会

個人データの第三者提供は本人同意を原則とすること。
（理由）
本人が求めていない悪質勧誘やプロファイリングを防ぐため、個人関連情報も個人情報として規制を強化すべきである。
「闇名簿」「名簿屋」への対策は急務である。オプトアウト届出事業者制度については、個人のオプトアウト申請によって権利保護ができると考えること自体が非現実的であり、オプトインに変更するなど本人同意を原則とする抜本的な制度変更が必要である。

82 ページ

第２ 個別検討事項

１ 個人の権利利益のより実質的な保護の在り方(3)こどもの個人情報等に関する規律の在り方
No.

提出者

提出意見
【意見】
子供本人と法定代理人との間で利益相反が起こりうることから、データの取得自体を行わない、法定代理人の求めであっても開示等を行わないもしくは存否の回答を拒否する等、子供のプライバシー
保護に配慮した規律を設けるべきである。

284

個人

【理由】
例えば親から虐待を受けている子供が図書館等で児童虐待から逃れる方法を調べている場合に、親が図書閲覧履歴を取得すれば虐待が悪化することが想定される。そこまで極端でなくとも、監視されているという認識によって、子供が行動を過度に自制したり、監視に対する反抗を端緒により重大な逸脱に走る可能性がある。子供は保護されるべきであるが、同時に一個の人間として自己決定を行う欲求や権利があることも重要である。したがって、法定代理人等との関係が良好ではない場合やデータ取得そのものによる萎縮効果も十分想定する必要があると考えるから。
・OECD が改訂した「デジタル環境下のこどもに関する OECD 勧告」において、こどもの未熟さや脆弱性を踏まえ、プライバシーの保護のために必要な措置を求めている。海外の法制度においても多くの国で個人情報等に関する規律が存在している。

株式会社シー285

ピーデザインコン
サルティング

しかし、「こども」の定義が各国によってまちまちとなっているのが現実であるので、まずは「こども」の定義について議論すべきである。示された中間整理では「16歳未満」とすることをもとに検討されることになっているが、上限を16歳未満としたとして下限についての検討はどうなるのか。
1歳児や2歳児が自らの意志で個人情報を提供することは考えられず、親が子供の情報を事業者に提供した場合、「その子供である者は、16歳を超えないと自らの意志では自己情報をコントロールできない。」という理屈にもつながってしまう。16歳未満を一律に強い保護の枠に入れ、その保護のコントロールを法定代理人に委ねる事には反対する。
特に法定代理人の同意によって取得された個人情報の取扱いについて、本人（16歳未満のこどもである場合も、後に16歳を超えた場合も）の意志に反する場合の取扱いについて議論を要すると考える。
・学校で子供の個人情報を扱っている立場としては、法定代理人に通知すべき子供の線引きを原則でいいので決めてもらえるとありがたい。その場合、16歳未満とすることで、高校1年生に15歳と16歳が混在していることで手続きが複雑となり、法令の遵守が困難になることが想定されるため、16歳未満ではなく、中学校までと高校からで分けるのが良いと考える。（なお、特別支援等配慮が必要

286

匿名

な子供については、原則によらないと考えられるが、これらについては現場で対応が可能である）
・学校教育において当然必要となるデータについては、保護者からの不当な利用停止請求がなされないようにするため、ホワイトリストを作成し、ホワイトリストに該当する個人情報については、行政が明示などをせずに当然取得・利用できるようにするとともに、保護者からの利用停止請求の対象とならないようにしてほしい。
意見
・こどもの未熟さ、脆弱性、リスク等のありようについては異論の余地がないと思われ、こどもの個人情報について個人情報保護法において規律を設けることに賛成します。
理由・年齢の線引きについては、さまざまな考慮要素がありますが、むしろ民法と平仄を合わせて、１８歳未満を未成年者すなわち子どもとすることが、法的安定性を担保するのではないかと考えま

公益社団法人287

全国消費生活相談員協会す。
・また現状、最も問題とされるのは、当該こどもの関心・嗜好を分析推測し、判断力が未熟であるこどもに対して、飲酒・ギャンブルその他こどもの心身に著しい影響を与えかねない広告を送りつける、いわゆるターゲティング広告であると思われます。大人であっても困惑するこの種のターゲティング広告については、少なくともこどもに対しては、その行為を明確に規制する等の必要があると考えます。
・個人情報の第三者提供等の、現行法において本人同意が必要である場面において、こどもを本人とする個人情報については、その法定代理人の同意をも必要とすることを法文上明確にするべきと考えます。
・個人情報、個人データは、いったん流出すれば、その回収がほとんどかなわないという現実を踏まえれば、流出は個人にとって著しく大きな損害となります。ましてやそれがこどもであれば、その先の生涯に影響する等ダメージの程度は計り知れません。こどものデータを取り扱うに当たっては、安全管理措置についてより一層強固な体制構築を求めるべきと考えます。
（意見）
こどもの個人情報の取扱い（目的外利用、要配慮個人情報の取得、第三者提供等）に関する本人の同意は、６歳未満の子供については親権者の同意、６歳～１８歳未満のこどもについては本人と

288

個人

親権者双方の同意が必要であることとするべきである。
（理由）
１８歳以上は成年であり本人の同意のみで足りるが、未成年者については、親権者の関与を求めるものの、民法の分野で一定の事理弁識能力を有するとされる６歳以上のこどもについては、本人が同意しない場合にまで親権者の同意で代替することは控えるべきだからである。
83 ページ

（意見）
289

個人

こどもの個人情報をもとにプロファイリングしてターゲティング広告等を行うことを禁止すべきである。
（理由）
こどもは特にターゲティング広告により操作されやすいから。

290

個人

こどもの個人情報の取扱いに係る規律については、こどもの権利利益の保護という観点を強めるべきであり、「利活用」の規制を強化するべきである。
「事業者の負担」への配慮は従であって、過度に考慮すべきではない。
未成年者の個人情報取得時の法定代理人からの同意取得について、同意取得の方法や基準を詳細にお示しいただきたい。

291

匿名

例えば、以下の点について確認したい。
・特にインターネットによる申し込み受付時における、同意者が法定代理人であるかどうかの確認のレベル感
・法定代理人であるとして同意した者が無関係の第三者だった場合など、正しく同意が取得できなかったとき、求めにより個人情報の利用停止をすれば足り、同意取得義務違反とはならないこと
・既に取得済みの未成年の個人情報について、改めて法定代理人の同意取得のしなおしは不要であること（意見）
こどもの脆弱性・敏感性や、諸外国におけるこどもの個人情報等に関する規律を踏まえて、日本においても、こどもの個人情報保護を推進する考え方に賛同いたします。
しかし、個人情報取扱事業者が、こどもの個人情報を取り扱うあらゆる場面で、法定代理人からの同意取得や法定代理人への情報提供を行っていくことは大きな負担と思われるため、こどもの個人情報の一部について規制する、あるいは一定の場合に対象年齢を１３歳未満とするなど、慎重な検討をお願いいたします。

292

株式会社ＷＯＷ
ＯＷ＜例１＞こどもの個人情報すべてについて一律に規制するのではなく、こどもの権利権益の保護において特に重要な個人情報に限って、法定代理人からの同意取得や法定代理人への情報提供を義務付ける。
＜例２＞１６歳未満のこどもについて一律に規制するのではなく、特別な配慮をしなくてもこどもの権利権益の保護への影響が少ないと思われる場合は、法定代理人からの同意取得や法定代理人への情報提供を義務付ける年齢を１３歳未満などに緩和する（例えば、メルマガの運営事業者が、こどもに無料メルマガの購読の登録をしてもらう際に個人情報を取得する場合）。
（理由）
個人情報取扱事業者の負担が大きく、運用することが困難な規制となることは望ましくないため。
・こどもの個人情報の取扱いに関する規律の在り方

こどもかそうでないかの判別が困難

現行法において、こどもの個人情報の取扱いに関する明文の規定が基本的に存在しないことについて、当社を含む家電メーカーが製造・販売する機器やこれに付随するアプリは、年齢によってアプリ
293

個人や機器の利用可否を制限する仕様とはなっていないのが通常であるため、そのユーザーがこどもであるかどうかの判別は事業者側では困難。そのため、法定代理人の関与の強化や利用停止等請求権の拡張等により規制が強化される際には、事業者側に過度の負担とならないよう規制の範囲を限定するとともに、こどもの個人情報の取扱いに関する具体的なガイドラインを示す等の対応が必要になると考える。（例えば、法定代理人の同意をどのように取得すべきか、どのような場合に同意を省略できるか、規律の対象を、法定代理人の関与によりこども本人の同意が取得されている情報に限定するなど）

84 ページ【意見】現行法ではガイドラインで、本人が判断能力を有しない未成年の場合に法定代理人からの同意を得る必要があるとされています。
「ア法定代理人の関与」について、法定代理人の同意取得を法律に明確に規定するべきです。
「イ利用停止等請求権の拡張」について、こどもの保有個人データは利用停止を事後的にも認めるべきです。
294

全国消費者団体
連絡会「ウ安全管理措置義務の強化」について、こどもの個人データの取り扱いについて強化すべきです。
「エ責務規定」について、こどもの最善の利益を優先し配慮すべきです。
「オ年齢基準」について、GDPR規定などを参考に検討すべきです。海外事例は高い規律を設けていますので、それらを参考にこどもの個人情報の規律を設ける必要があると考えます。
【理由】
こどもの個人情報の取り扱いに係る規律は、必ず設けなければなりません。
実際に学校が貸与したタブレットに搭載されたアプリで、不必要な個人情報の供出を求めるケースが発生していることが報道されています。子どもの個人情報の取り扱いについては、より厳しく適切に対応することを求める規律が必要です。
○意見内容
上記箇所に賛同します。取得した個人情報に意図せずこどもの個人情報が含まれていた場合に事業者に求められる対応や、個人情報にこどもの個人情報が含まれているか分からない場合の対応など、事業者が取るべき対応が明確になっていない部分があるため、ガイドライン等での明確化をお願いします。また、本来は年齢情報の取得の必要性がなかったにもかかわらず、こどもか否かを確認する
ために過剰に取得するようなことが、あらゆる場面において起こらないように配慮をお願いします。
○理由
取得した個人情報の中に意図せずこどもの個人情報が含まれている可能性が想定されるため。また、こどもの個人情報とそれ以外の個人情報を区別するためにあらゆる場面で年齢確認が必要となる

295

電子情報技術産業協会と、事業者の負担になるだけでなく、消費者にとっても不要なプライバシーを晒すことに繋がるため。
○意見内容
こどもの個人データに関する安全管理措置を強化することの妥当性が不明瞭と考えます。大手学習塾など一部の事業者が現行法の安全管理措置義務を遵守していなかった事例が挙げられていますが、それを理由に、こどものデータを取り扱う全ての事業者に対して安全管理措置義務を現行法より強化することには飛躍があると考えます。もし安全管理措置義務を強化するのであれば、上記の事例が現行法の遵守では防止できなかったことを検証する必要があると考えます。
○理由
こどもの個人データの保護が現行法の安全管理措置義務では不十分だという根拠が示されていないため。

85 ページ1. はじめに当社は、プリントシール機のユーザから直接個人情報を取得し、その利用目的を画面上で明示しています。しかし、この度の中間整理で示された新たな規制が導入された場合、16歳未満のユーザが親御さんと一緒に利用するケースはほとんどないため、撮影の際に法定代理人に利用目的を明示することは事実上できません。これにより、16歳未満のユーザがプリントシール機サービスを利用できな
くなってしまうおそれがあります。
このような状況を踏まえ、こどもの個人情報に関する規制の導入に際しては、より慎重な検討が必要であり、16歳未満のユーザが引き続きプリントシール機サービスを楽しむことができるような施策が求められると言えます。以下詳述いたします。
2. 現在の状況について
当社は、プリントシール機の製造及び販売を主として営んでいる事業会社です。プリントシール機とは、カメラで撮影した写真をその場でシールに印刷し、合わせて当該写真の画像データをユーザに提供する機械のことで、主にアミューズメント施設やゲームセンター、ファッションビル、ショッピングセンター、大手スーパーマーケット等の商業施設に設置されており、特に10代の若い女性に高い人気のサービスとなっております。
さて、この度の令和6年6月27日付中間整理では、「(3)こどもの個人情報等に関する規律の在り方 ア 法定代理人の関与」として、「本人に対する通知等が必要となる場面（利用目的の通知（法第21条
第１項）、本人から直接書面に記載された個人情報を取得する場合における利用目的の明示（同条第２項）…においても、こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある。」との考え方が示されております（同書面10頁）。
ここで、上記に言う「本人に対する通知等が必要となる場面」（法第21条第１項）及び「本人から直接書面に記載された個人情報を取得する場合」（同条第２項）について、当社の対応の現状をご説明いたします。
当社は、ユーザが当社のプリントシール機を利用するに際して、ユーザの顔写真に加えて、ユーザのメールアドレスを、ユーザがプリントシール機の画面に直接入力する方法で、ユーザ本人から直接取得しております。ここで、ユーザのメールアドレスにつき、当社はユーザ本人の顔写真の画像データを、電子メールを通じてユーザ本人に対して提供しており、そのため、ユーザ本人のメールアド
レスは、当社のプリントシール機サービスの提供の一環として必要不可欠なものとなります。このように、当社は、ユーザのメールアドレスをユーザ本人から直接取得しているため、当社は、「本人から直接書面に記載された個人情報を取得する場合」に該当しうるものとして、利用目的をプリントシール機のプレイ画面において本人にその場で示す方法により「利用目的の明示」（法第21条第２項 ）を行っております。
296-1

フリュー株式会 そして、ユーザ本人の顔写真をその場で撮影し、当該写真の画像データを、電子メールを通じてユーザ本人に提供するというプリントシール機サービスの性質上、ユーザ本人に対する利用目的の明示の方法として、利用目的をメールアドレスを入力する前のプレイ画面において本人にその場で示す方法の他には手段がないのが現状です。
社
3. 令和6 年6 月27 日付中間整理の不都合性（1）その場に居合わせない法定代理人に明示することなどおよそ不可能であること
かかる状況下において、中間整理で示された、「こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある。」といった規制が仮に導入されるとすると、プリントシール機サービスにおいて、当社は、ユーザの法定代理人に対して、当該画面に記載される利用目的を明示しなければならないおそれがあることとなります。
しかしながら、16歳未満のこどもがユーザとなるケースにおいて、当該ユーザがその親御さんと一緒に写真撮影を楽しむというケースはほとんどないのが現状です。
そうだとすれば、上記の「法定代理人に対して情報提供すべきことを法令の規定上明文化する」といった規制が導入されてしまったのでは、当社は、その場に決して居合わせることのない親御さんに対する利用目的の「明示」を行うことは一切できず、したがって、当社は、16歳未満のこども（当社のユーザでは、主に中学生及び高校1年生が想定されます）に対してサービス提供することは一切できないこととなってしまいます。
（2）利用目的を直接本人（及び法定代理人）に通知する機会が存在していない場合には、法21条２項（直接書面取得の場合の明示義務）の適用の前提を欠くこと
また、前述のとおり、16歳未満のこどもがユーザとなるケースにおいて、当該ユーザがその親御さんと一緒に写真撮影を楽しむというケースはほとんどないのが現状です。
そのような現状に鑑みると、利用目的を直接本人（及び法定代理人）に通知する機会が存在していない場合には、そもそも、法21条2項（直接書面取得の場合の明示義務）の適用の前提を欠くに至っていると言わざるを得ません。
すなわち、法21条2 項が個人情報取扱事業者に対して同条1項と比較して厳格な「明示」義務を課しているのは、直接書面取得の場合には、個人情報取扱事業者が直接本人に通知する機会が存在しており、本人がその際に提供の可否を適切に判断する意味からも、その本人に対し、明確・確実に伝達することが適切であるという点にあるとされております。そうだとすれば、利用目的を直接本人に通知する機会が存在しているとは限らない場合においては、明示義務という厳格な義務を課すだけの前提を欠いていると言わざるを得ません。
そして、前述のとおり、プリントシール機においてユーザがその親御さんと一緒に写真撮影を楽しむというケースはほとんどないのが現状であるとすれば、その場に決して居合わせることのない親御さんに対する利用目的の「明示」を行うことは一切できないこととなります。そうだとすれば、利用目的を直接本人（及び法定代理人）に通知する機会が存在していない本件のような場合においては、法21条2 項の明示義務という厳格な義務を課すだけの前提を欠いていると言わざるを得ません。
したがって、こどもを本人とする個人情報について、法定代理人に対して利用目的を明示するとの規制を導入することについては、より慎重な検討が必要なことは自明であり、それを切に希望いたします。
86 ページ

（3）我が国のプリントシール文化の崩壊を招きかねないこと
さらに、前述のとおり、この度の規制が導入されてしまったのでは、当社は、その場に決して居合わせることのない親御さんに対する利用目的の「明示」を行うことは一切できず、したがって、当社
は、16歳未満のこどもに対してサービス提供することは一切できないこととなってしまうところ、これをユーザの側から言えば、16歳未満のこどもは、プリントシール機サービスを楽しむことはおよ
そ不可能となってしまうこととなってしまいます。
ここで、当社が頻繁に実施している調査によれば、「16歳未満のこども」に該当する、中学1年生、中学２年生、中学３年生及び高校1年生までの各世代の女性において、それぞれの各全人口の80%以
上もの方が当社のプリントシール機の利用経験があることが判明しております。
そうだとすれば、この度の規制が導入されることにより、これら各世代の10人中8人以上ものユーザが、プリントシール機サービスを一切楽しむことができないといった事態となってしまいます。
また、上記の調査において、プリントシール機サービスの利用に関して「友人との外出時にはルーティンとして必ず組み込こまれている」という回答もよく見られ、特に中学生及び高校１年生を対象とすると、いずれも90％以上のユーザから「今後も絶対に利用したい」との回答があるほど、16歳未満のこどものプリントシール機サービスの利用に対する意欲は非常に高いという結果も出ております。
このように16歳未満のこどもを含む若年ユーザの間でプリントシール機サービスが高い人気を獲得しているのは、同サービスが、単に友人同士で容易に遊べる安価な娯楽というだけでなく、ユーザにとって、その年齢のその瞬間でなければ体験できない感動や高揚感を同じ空間で友人と分かち合い、その瞬間を切り取って形に残し共有することができる唯一無二の大切な手段となっているからです。
プリントシール機の発売開始から現在までを振り返ると、若年層においては、「プリントシール写真を撮影すること」自体の流行のみならず、獲得した写真シールを交換して思い出を共有することを一般化させ、若年層の交流の活性化に大きく寄与するような二次的な流行を創出し続けてきました。
昨今では、社会のデジタル化及びSNSの台頭に伴い、プリントシール機で撮影した画像データをSNSにアップロードすることで、友人同士で画像データを共有し楽しむだけでなく、広く世界に向けて
296-2

自分を発信するという流行も新たに発生しています。若年層の間で非常に人気の高いSNS「Instagram」においてタグ検索を行うと、「体育祭プリ」で6.7万件・「文化祭プリ」で3.4万件もの画像がフリュー株式会 ヒットしますが、これらの数字はまさに、学生生活におけるイベントや節目のたびにプリントシール機サービスを利用するユーザが多数存在することを端的に表しています。また、中学生・高校生の社
トレンドに関する調査においても、「●●プリ」といった語句や当社の新商品たるプリントシール機の名称が、毎年必ずランキング上位に入っております。
以上の実態から、プリントシール機サービスは20年を超える長きにわたり日本の若年層に愛され続け、学生生活を象徴するものとして既に不可欠な存在となっていることは明らかです。海外メディアにも日本の誇る「Kawaii」文化の一部として取り上げられる等、プリントシール機サービスは、もはや日本の中学生・高校生における「文化」の1つとして確たる地位を築いていると言っても過言ではありません。
この「プリントシール文化」は、保護者が居合わせない16歳未満のこどもであっても本人が自由にプリントシール機サービスを利用できるからこそ維持可能なものであり、当社は、保護者が居合わせることが必須となりかねない今回の規制案が同サービスの利便性を著しく損ない、「プリントシール文化」に致命的な影響を与え、若年層の大切な文化を潰してしまうものになってしまうことを危惧しております。
また、仮に当社がユーザのメールアドレスを取得しないとした場合においても、本件の何らの解決にもならないことを指摘いたします。すなわち、前述のとおり、画像データの提供は、ユーザのメー
ルアドレスにつき、当社がユーザ本人の顔写真の画像データを、電子メールを通じてユーザ本人に提供する方法によっており、そのため、ユーザ本人のメールアドレスは、当社のプリントシール機
サービスの提供の一環として必ず必要となります。そうだとすれば、当社がユーザのメールアドレスを取得しないとしてしまったのでは、ユーザ本人の顔写真の画像データをユーザ本人に提供することができなくなってしまいます。これでは、ユーザは画像データを自分の携帯端末等で見ることができません。そうなると、過去の思い出となる画像データを外出先で手軽に見返すことも、前述の通りプリントシール文化の一端となっているSNSでの共有もできなくなり、撮影後のユーザの楽しみを著しく損なうこととなってしまいます。更にプリントシール紙は経年劣化が避けられないものであり、画像データが無いと、ユーザが大切な思い出を長期間において綺麗に残すことも不可能となります。
4. 結論
以上の次第ですので、「こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある。」といった規制を導入することによって、16歳未満のこどもは、プリントシール機サービスを楽しむことはおよそ不可能となってしまう事態となります。したがいまして、かかる規制の導入にあたっては、16歳未満のこどもによるプリン
トシール機サービスを楽しむ利益を確保するという観点から、保護者がその場に居合わせない場合の対応などを加味した上で、より慎重な検討が必要であると考えられます。

87 ページ（意見）
こどもの保護のために、個人情報保護法にこどもの個人情報等の規律に関する規定を設けることを支持します。
こどもたちがオンライン特有のプライバシーと安全のリスクに直面していることを認識しており、こうした環境におけるリスクを最小限に抑えることを目的とした法制度を支持しています。他方、こどもたちは、教育的な発達を含め、テクノロジーへのアクセスから多くのものを得ることができるため、どのような規律を設けるかはエビデンスに基づき、慎重に判断されるべきです。
オ 年齢基準297

日本マイクロソ
フト株式会社

こどもの定義を16歳未満とすることを支持します。さらに、13歳未満と16歳未満を区別することも検討すべきと考えます。
こどもの定義を16歳未満とすることは他国の法制度とも合致するものであり、支持します。他方、16歳未満のこどもには、新生児、乳幼児、学童及び思春期など発達段階が異なる様々な年齢層が含まれます。基本的なプライバシー保護の多くは、すべてのこどもに与えられるべきですが、思春期のこどもにはより大きな自主性を認めることが適当な場合もあります。そこで、13 歳以上 16 歳未満のこどもについては、一定の場合において、親または保護者の同意または関与を必要とせずに本人がプライバシー保護を行使し享受する、より直接的な権利を有することも検討すべきであると考えます。
こどもの個人情報に関する規定の適用対象となる「こども」かどうかの判断基準は、事業者が実際にこどもであることを認識しているかどうか（これには、実際に知っている場合のみならず、意図的に無視している場合も含む）とすることが望ましいと考えます。事業者がこどもであることを実際に認識しているか又は意図的に無視している場合に「こども」の個人情報の規定を適用することで、対象者の年齢を故意に無視することに対するセーフガードとして機能し、バランスの取れたアプローチが可能になると考えます。
（意見）

298

全大阪消費者団 ガイドラインの規定を強化し、法定化すべき
体連絡会

（理由）
こどものデジタル利用は大きく広がっている。こども自身が適切に個人情報保護の行動をとることは困難であり、社会がしっかりと保護する制度を設けることは当然である。
・業務上、契約者の死亡に伴う相続人調査を目的として戸籍謄本等の公簿を取得する場合がある。戸籍謄本については、当然に契約者以外の個人情報が記載されており、未成年者（16歳未満）の情報が含まれる場合もある。このような場合において、当該未成年者の情報の取得にあたり法定代理人の同意を必須とするような規制が設けられると、債権等の相続人調査に支障が生じる事で相続人の権
利利益の侵害にもつながる可能性がある。

299

匿名

未成年者の情報については慎重に保護すべきという考え方には賛同するが、上記のように同意無く取得できる事例についても整理頂き、ガイドライン等で明記頂きたい。
・「他の保有個人データ以上に柔軟に事後的な利用停止を認める」件について、「取得の際に法定代理人の同意を得ている場合については例外とする」件については例外事項としてガイドライン等での明記をお願いしたい。なお、事業者における業務システムにおいて、個人データの削除を必須とする事は費用・工数的に非常に負荷が大きいことから、現行の保有個人データにおける利用停止の対応と同様の措置で認めて頂けるよう考慮をお願いしたい。

88 ページ【意見内容】
・安全管理措置上、こどもの個人データとそれ以外の個人データを区別し、前者について特に高い水準の安全管理措置を別途構築することは、運用上困難となる懸念がある。
・また、例えば虐待等の可能性があると判断した場合にマッチング会社や児童相談所への通報（第三者提供）については例外規定の適用が困難であるため、例外規定の追加を検討していただきたい。
【理由】（1点目の意見について）
シッターサービスにおいて、ユーザー情報については、保護者とお子さまの情報などを統一的なデータベースで管理しており、個々の保育における保育記録もすべて紐づけて管理しております。過去の利用状況や、トラブル、事故情報の検索のほか、保護者とお子さまの情報を一元的に管理することで、保育における安全管理やトラブル・事故対応の迅速性を図っている側面があるため、こどもの個人データのデータベースやサーバーなどを特に区別し、高い水準の安全管理措置のもとに管理をするシステムの構築は現実的に困難であると考えております。
【意見内容】
法定代理人以外の者からも、こどもを本人とする個人情報の取得が考えられるケースがあることも考慮し、法定代理人の同意の要否や取得方法についてご検討いただきたい。
【理由】
シッターサービスにおいて、お子さまの送迎や付添いの場面では、保護者以外の大人からお子さまの個人情報について共有を受ける場合もあります。例えば、保育園や幼稚園の先生、学校の先生や、学習塾の講師、保育・教育施設の警備員などから、送迎時にお子さまの体調などの状況を聞いたり、あるいはシッターからもそうした情報を提供する場合も考えられます。そのため、一律に法定代理
300

株式会社

キッ 人以外からの同意取得が必要となると、実態に沿わないことも考えられるためです。

ズライン【意見内容】
児童福祉法などの法令に定められる基準（18歳未満）といった年齢設定も踏まえて、ご検討いただきたい。
【理由】
個人情報保護法やGDPRにおいて設定される年齢も基準設定の視点となると考えられますが、保育施設や児童福祉施設では、児童福祉法上の年齢基準を前提にサービス内のルールを設計していることから、そうした法令の定めについても十分に考慮する必要があるのではないかと考えています。
【意見内容】
法人事業者の場合だけでなく、個人事業主として活動する保育事業者（個人シッターなど）に関しても、こどもの個人情報の取扱いについて一定ガイドラインの形式で示すべき。
【理由】
例えばシッター、居宅訪問型保育事業者は、ベビーシッターマッチングサービスの拡大により、個人事業主としての活動が急速に広がっています。一方で、個人事業主の場合、個人情報をどのように管理するのか、特にお子さまの個人情報を取り扱う際に情報の要保護性や性質を踏まえて、どのような点に注意すべきなのか、十分に理解できないことも考えられます。
お子さまの個人情報の取扱いについて、個人事業主が一事業者として責務を負い、どのような安全管理が必要となるのか、ガイドラインレベルで一定の基準を示すことにより、個人で活動するシッ
ターの意識強化や個人情報保護のルール遵守強化につなげることができるのではないかと考えています。

個人情報の取り扱いにおいてコンプライアンスの低い事業所の情報こそ収集して同行を監視するべきと思います。防犯のためのハッキングを合法可する法案がアメリカで提案されていますが、日本政府でも検討していただきたいです。
301

匿名

なぜ子どもの個人情報保護の対象年齢が１６歳未満までなのでしょうか？

１６～１７歳の児童は対象外となることの目的は何でしょうか？

もし１６～１７歳の児童に対して個人情報を収集することで性的に利用しようという仮定があるのであれば政治や法案に個人の性的嗜好を反映するべきではないと思います。公の人間として善良な日本国民を保護することが最優先だと思います。

302

個人

原則センシティブデータとしての取扱いとし、特に第三者による公開はそれを悪用する者が居る可能性を十分考慮する必要がある。
エ.責務規定に関し、「責務規定では十分でないと判断した場合は速やかに厳格な法規制を検討する」等の附則もつけてほしい。

89 ページ

303

個人

意見

子どもの脆弱性を前提とした保護のあり方を検討することに賛成します。

理由

子どもを対象とするビジネスは、顧客が固定しないことから、営業活動にコストがかかり、生年月日と名前と住所などの個人情報を活用する誘惑が大きく、名簿等の流通もありました。

また、子どもは様々な生体データ、特に外観写真などの個人情報の悪用による被害が大きく、強い規制が求められます。
個人情報保護法で、子どもの脆弱性を前提とした保護のあり方を検討することに、賛成します。その検討の成果は、他の法域の解釈でも参考になります。
（意見）未成年者の発育及びデジタルサービスをどのように責任ある形で取り扱っていくかに関するニーズと、テクノロジーの使用方法について家族が選択する能力を尊重する形で、未成年者の保護を提供していくことが重要です。
子どものプライバシー保護をめぐるセンシティビティは、製品やサービス（例：ポルノ）を念頭に置くのか、それとも情報の種類（例：学校証明写真の要求）を念頭に置くのかによって異なり、何を求めるかは、想定されるリスクに応じたものであるべきです。厳格に何かを求めることとすると、むしろリスクを増大させることになりかねません。例えば、無料のオンラインブックサービスのアカウント作成に、16歳以上を証明する身分証明書の写真の提出を求めたり、16歳未満の親のクレジットカードやマイナンバーカードの提出を求めたりする法律があれば、そのような事業者は多くの場合センシティブなものと見なされるデータを過度に収集せざるを得なくなります。より大きなセキュリティ／プライバシーリスクを引き起こす可能性が生じますし、データ最小化原則にも反します。
仮に、提供されるサービスが、想定されるリスクに応じる形で、必ずしも保護者の同意を取る前提のサービスとなっていない場合、若年層の利用者に親の同意を求めることは、その親がオプトインすることを積極的に選択しない限り、サービスへのアクセスがデフォルトで遮断されることを意味します。これは、当該サービスにおいて、広範囲に影響を及ぼし、10代の若者たちが学び、成長し、市民活動を行い、友人や家族と連絡を取り合うために頼りにしている有益なサービスや年齢に応じた情報へのアクセスを制限することになりかねません。同意年齢の引き上げは、こうしたサービスに

304-1

Asia Internet
Coalition Japan

おいて、オンライン・リソースにアクセスする正当なニーズや許容性がありながら、両親から同意を得られない可能性のある若年層の利用者に弊害を及ぼします。例えば、全寮制の高校に通う18歳
未満の個人や、仕事を持っている18歳未満の個人が、親の同意を求めることは不可能かもしれません。特に懸念されるのは、両親から許可を得られない、あるいは両親からプライバシーを守りたい若年層の利用者です。例えば、親が無能力であったり、虐待を受けていたり、日本語が堪能でなかったり、技術に精通していなかったり、複数の仕事をしていたりする場合です。あるいは、若年層の利用者は単に両親と必ずしも見解を共有していないアイデアを探求しているかもしれません。上述のようなサービスにおいてこのような要件を設けることは、若年層の利用者の自主性を高めたいと思っている親にとっても負担となります。
（米国児童オンラインプライバシー保護法（COPPA）にも沿っている）現在の日本のアプローチを維持することは、例えば、子供がソーシャルメディアにアクセスできる時間帯やできない時間帯について、親が決定することを止めるものではなく、重要な保護を提供しつつデジタルサービスや情報へのアクセスを可能とする適切なバランスを取るものです。私たちは、子どもたちがテクノロジー
によってもたらされるあらゆる恩恵を享受できるようにしながら、子どもたちにより安全で年齢に応じた経験を保証できるような、より柔軟で包括的な方法を取ることを求めます。万が一、年齢基準について何らかの変更を行う場合、上記のような意図せざる弊害が生じることがないよう、同意の要件等の具体的な適用については、十分な柔軟性を与えることが明確にされることが必要です。また、保護者の同意に依存するのではなく、プロダクト・バイ・デザインのアプローチによって、子供のプライバシー保護を促進することができることにも留意が必要です。また、子供をオンライン上の弊害から守るアプローチは、より一層の教育・理解の促進を促す取組、保護者の関与を可能にするツールの開発・提供、そしてNPO・NGOといった専門家による貢献など多岐にわたり、こうしたホリスティックなアプローチを促進することも行政庁が行えることだと考えます。

90 ページまた、示されている案について、以下のような実務上の影響が想定されます。
漏洩時の法定代理人への通知を義務化する場合、法定代理人の連絡先を取得するため、登録画面上で法定代理人の連絡先を入力させる必要があることになります。しかしこれは、登録率を低下させる
ような機能変更になるため、ビジネス上のネガティブインパクトはかなり大きくなってしまうことが見込まれます。
法定代理人からの同意の取得や通知が必要とした場合、登録された連絡先が真に法定代理人の連絡先であるかの確認は難しいです。したがって、同意取得や通知によりこどもの権利の保護に資するか疑問です。なお、この点を担保するために、こども本人の法定代理人が、正しい法定代理人であるかどうかの確認等を求めるような運用が求められることは、事業者にコンプライアンス上の著しく過剰な負荷を求めることになります。
安全管理措置の強化が必要という点は理解するも、こどものデータは大人のデータと渾然一体として管理されているのが通常であり、かつ、日々大人になっていく（16歳の誕生日をむかえる）利用者がいる中で、両者を明確に区分しながら安全管理措置をそれぞれに講じていくことは非常に困難であり現実的ではありません。一方、サービスによっては、こどものデータとそれ以外の利用者のデー
タを分けて管理することが前提になっていないため、こどものデータに対してのみ安全管理措置を強化するなど特別な対応をするのに、事業者の負担が過大になります。
こどもが生年月日を偽って会員登録することも考えられます。こうした点を事業者側が確認することとなれば、その責務は果たすことができなくなるほど重くなります。年齢を詐称していたり、本人が法定代理人の同意を偽っていたような場合を想定し、事業者の過度な負担としないようにすることが実務上必要となります。虚偽の申告がされ、事業者が善意である場合の事業者の免責はご検討い
ただきたく存じます。高校一年生には15歳と16歳が混在しています高校生向けに提供しているサービスにおいて同じ高校一年生なのに取扱いを区別することになれば実務上の対応に混乱が生じるた
め、中学卒業を基準とすることが簡単明瞭です。
このような事業者側におけるビジネスの実務、そして消費者の振舞いまでをもしっかりと踏み込んで検討し、実現可能性があり、事業者側に一定の裁量がゆだねられた方法が検討されることを望みます。-利用停止等請求権については、たとえば研究において利用をしている場合など、一部データの利用停止がエビデンスデータの正確性・信用性に影響を与え、結果研究を中止せざるを得ないと
304-2

Asia Internet

いった大きな損失につながることもあります。法定代理人に柔軟過ぎる利用停止請求権を認めることは懸念があります。

法定代理人が同意していない場合に一律に利用停止等をできてしまうと、法定代理人がこどものサービス利用を管理しないことにインセンティブが生じてしまいます。したがって、法令代理人に同意
Coalition Japan を求める仕組みがない場合などに限定し、法定代理人が一定の管理をすることを促すべきではと考えます。
仮に利用停止等請求権を認めるとしても、現行法35条4項但書のような規定を置くことが実務上肝要です。
現行法の安全管理措置義務においても「個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容を実施」の旨が定められています。大人のデータ
であれ、こどものデータであれ、それぞれが適切な形で安全管理措置が組まれていれば良いと考えられ、当該規制によって十分に規制できていると考えられます。
他方で、事業者の取り扱う個人データには、こどもの情報とこども以外の者の個人情報が含まれている場合、こどもの個人情報が含まれているか明らかではない場合もあるため、現行法に加えての個別規定を追加したり、具体的な安全管理の方法に踏み込む規制は事業者に対する過大な負担となるおそれがあります。
また、今後の検討に当たっては以下の点を踏まえることが重要であると考えます。
日本において、こどもの個人情報保護に関する事件が現に発生したことがあり、これを防ぐことが課題であることは一定の理解ができます。しかしながら、実際の事件の限定的な特徴を過度に一般化
し、そうした規制を当該問題をはらんでいる業界だけではなく、不必要にすべての事業者を対象として包括的に適用しようとすることは適当ではありません。そのような規制は、課題の起きていない事業者にもコンプライアンス上課題な負担をかけることとなる点を十分に認識しながら、解決するべき課題を特定し、それを解決するための最小限の方策を検討を行う必要があります。
個人関連情報の第三者提供時かつ提供先で個人データと扱う際に同意が必要とする点について、そもそも特定の個人を識別できない個人関連情報に関してどのように対象データの主体者がこどもであることを証明または把握するのか不明です。
更に、その特定の個人を識別できない個人関連情報の第三者提供において、提供元が同意を取る場合において、どのように法定代理人を把握するのかも不明です。個人関連情報という情報の質を考慮すると、個人関連情報に関する規律と本項目のこどもの情報に関しての同意を得るという部分は現実的ではありません。
（理由）個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
（意見）この内容の記載では、その意味するところがわかりにくいので、「子どもの権利」であることを明記したうえでの記載が必要。

305

サステナビリティ消費者会議（理由）「子どもの権利」であることの説明がなければ、この言葉の重要性を認識せず感覚的に受け止めるにとどまる懸念がある。なお、子どもの権利条約（児童の権利に関する条約）には基本的な考え方として4点示され、その１つに「子どもの最善の利益」がある。その意味は、「子どもに関することが決められ、行われる時は、『その子どもにとって最もよいことは何か』を第一に考える」という意味である。

91 ページ対象とする子どもの年齢について、19歳未満とするべきだと考える。
18歳までの未成年者のうち殆どはまだ教育を受けている只中であり、親権者のもとで守れていなくてはならない。こどもの最善の利益を優先するならば、自分自身の責任を負うことが出来ない、教育を受けている最中である年齢のこどもの個人情報は成人よりも固く守られるべきである。
306

匿名

近年、インターネットの利用が当たり前になり、アプリやサービスなども増えているがそれに従って未成年者の情報が流出している事例が頻発している。
それにより自らの意図しない形で情報が広まり、心身ともに傷つく未成年者が増えることを危惧している。未成年の時期に受けた経験は良くも悪くもその後の人生に大きく影響する。
近年では生成AI技術が広まり更に現在国内に明確な規制がないことで、ディープフェイク等による被害を受ける人が増えている。それにより「いじめ」の増加を懸念する。
それらも個人情報の流出・無断利用により起きている事態であると考える。
自らに責任能力のないこどもの個人情報は特別に守られるべきである。
（３）こどもの個人情報等に関する規律の在り方

307

個人

・インターネット環境における未成年の認証は確実性が無く、本人の意思で保護者の同意無く見られてしまうケースが存在する。
それこそマイナンバーカードを使用した省庁等公的機関からの証明可能な技術等で付与したコード入力なりで防ぐのが望まれる。
（意見）
こどもの個人情報等に関する規律を新設することに賛成します。
（理由）

308

個人

こどもは大人に比べて脆弱性・敏感性及びこれらに基づく要保護性があるにもかかわらず、近年、学校・教育委員会などが、生徒・子どもにウェアラブル端末をつけさせて生体データを収集し集中力や「ひきこもり」の予兆などを監視・モニタリングする事例などが野放しで増加しているが、このような学校等による生徒・子どもの監視・モニタリングは子どもの内心の自由やプライバシー、人格権を侵害しかねないものであり、子どもの権利利益を侵害している（個情法１条、３条、憲法13条、19条）。
したがって16歳未満の子どもの個人情報については収集等に法定代理人の同意を必要とし、また厳格な安全管理措置を要求するなどの法規制を新設することに賛成します。
こどもの個人情報について、特に厳格な規律を行うという考え方に賛成する。こどもの個人情報に基づくプロファイリングについては、許容される場合を限定列挙すべき（一定の場合に限って認めるようにするべき）である。

309

個人

こどもの個人情報が含まれうる場合については、分類をする事業者の負担を考慮して規律を弱めるというのではなく、こどもの個人情報であるという前提で規制することとすべきなのではないか。
こどもの年齢については、少なくとも成人年齢とあわせて１８歳とすべきである。
（意見）
こどもの個人情報等に関する規律の在り方につき、法定代理人の関与を法令の規定上明確化することについては、基本的に賛成する。ただし、精神障がい者、知的障がい者、高齢者等については、

310

個人

成年後見人、保佐人、補助人が法定代理人である場合もあり、これらの法定代理人の関与についても法令の規定の整備を行うべきである。
（理由）
精神障がい者等においても脆弱性がある場面も考えられることから、同様に法令の規定の整備が必要であると考えられるため。

311

匿名

312

匿名

以降の事と同様で対策が必要だが塾の事業者

人攫いなどの犯罪に応用されやすいため子供に関連する事業者の個人情報流出の対策が必要であると思われる

子供の個人情報についてはより厳しく管理されるべきものであり、法規制が必要だと考えます。
学校その他公的機関による、学校教育のための個人情報収集は必要ですが、タブレット端末でのICT教育のための●●、学習塾などの民間企業による収集は個人を判別できない程度の性別、年齢など
必要最低限とするべきであり、個人を判別できるデータ収集は研究目的であっても許容できるものではありません。
近年、スマートフォンの普及や、教育現場においてタブレットなど電子機器の使用が増え、幼少期からインターネットに触れる機会が増えております。その為、子どもが誤って自ら個人情報を漏らしてしまったり、いじめの一つとして加害者が被害者の情報を漏らしたりするケースも増え、そこに加えて生成AIによる無差別な学習によって児童ポルノやディープフェイクのリスクもあり、漏洩された個人情報の削除や停止、個人情報悪用に対する罰則を重くする等対策を強く求めたいです。個人情報漏洩及び悪用の危険は、子どもだけでなく死後を含めたすべての人が該当するものであり、個人
313

匿名情報の保護は全国民の安全に繋がります。
具体的には、個人情報の入力が必要なサイトやアプリはサイバー攻撃を見据えた形での保護を義務づけること（カード情報の別管理等）、依頼された個人情報の削除や停止に速やかに応じること、文字や画像すべてに対する生成ＡＩでの無差別学習への規制を行う事（写真に加えてメールアドレスやパスワードの保護の為）、悪意のある個人情報漏洩やディープフェイク等による情報操作にはより重い罰則を設けることなどが考えられます。
子どもの時に起きた情報漏洩によって生涯に渡り苦痛を受けるといった状況が起きないよう規制を求めます。
92 ページ・こどもの個人情報
こどもの個人情報はセンシティブデータに位置付けるべきなのではないか。
314

匿名

また、サービスを行う事業者はこどもの情報を扱うことを明文化する必要があると思う。
こどもの個人情報、例えば学校内での生活や、交友関係、素行なども管理が杜撰である。
いじめのケースで言えばもっと最悪な状態ではないのか。
（3）こどもの個人情報は特に注意して管理しなくてはいけない物です。弱者を狙う犯罪者は後を絶たないので、よく漏洩問題を起こす管理である政府や企業には全く信用がありません。裏金問題を頻発させているお抱えの身内や、中抜き等での適当な管理状況を完全に無くし、本当に実力や技術、管理能力のある所に任せるのであれば、医療や虐待問題に応用できるので良いと思います。

315

匿名

ですが、何度も言いますが、現在の状況では信用が全くない為に反対です。児童相談所への信頼感もあまりなく、虐待を行う親の場所に返して結果死亡と言う例が後を絶ちません。子供の人権、そのものを見直して頂きたいです。現場への声をしっかりと受け止めて下さい。
「(3)こどもの個人情報等に関する規律の在り方」の項目について。

316

匿名

現在流通している生成AI（sakanaAI等）の基幹データには、インターネット上に掲載されたデータが無秩序に取り込まれており、その中にはこどもの顔写真といった個人情報も含まれています。
こうした生成AIが制限なく使用できる現状においてはこどもの個人情報も不適切な形で利用されるものと考えられます。
そのため、現状の生成AIの規制、もしくはその基幹データ開示の義務化等の条件付けを求めます。
BeRealというアプリに関して強く懸念している。このアプリは13歳未満のアプリの使用を禁止しているが、他のSNS上（X）で自称小学生が使用していた。通知が来るとスマートフォンのインカメラで自撮りしてアップロードするものだが、アプリの利用規約（翻訳）に「当社のサービスを利用する代わりに、お客様は、あらゆるメディアまたは配信方法でグローバル共有コンテンツと共有するコ

317

匿名

ンテンツを使用、コピー、複製、処理、適応、変更、公開、送信、表示、配信するための、世界規模の非独占的、ロイヤリティフリー、サブライセンス可能なライセンスを当社に付与します。このライセンスにより、当社はお客様のグローバル共有コンテンツを世界中の人々に提供し、他者にも同じことを許可する権限を付与されます。」とある。仮にこどもが意図せずグローバル共有コンテンツ
として画像を共有してしまった場合に大きな傷となる可能性が高い。センシティブな自撮りを共有する可能性もあるため、こどもの未熟さを考えると18歳未満は使用禁止などの規制が必要であると考える。
意見1
GIGAスクール構想の下、民間事業者の学習用アプリを導入、子どもの氏名や学習履歴などの個人情報の収集、使用等について。一部自治体が学習用アプリを提供する民間企業に直接右個人情報の取得・管理させていたこと並びに保護者への十分な説明が無いまま取得した子どもの個人データの保護、処理などを海外地域の事業者などに委託していたこと加えて文部科学省が留意事項に「教育データを事業者自身のために利用することは業務に必要とは言えない」（令和6年3月 第2版 文部科学省 教育データの利活用に係る留意事項の内92~93頁より）一般向けに販売している同アプリの機能改善に同取得したデータを利用している、これら（データの海外委託やアプリの機能改善への利用）を2024年度に同学習アプリを導入した14自治体中に把握していなかった自治体が見られたこと、利用する小中学生が約8万5千人にのぼることについて。
義務教育の中で使われる、実質情報の提供に対する拒否が難しい状況であり、海外での右個人情報の保管に関して日本の法令が適用されない場合を孕む状態が成立していること。保護者、親権者、或いは法定代理人への十分な説明がなされていない状態での個人情報取得・利用への同意を求めたことについて、●一部地方公共団体の機関が教育委員会、学校が委託していた子どもの個人情報の取得→利用目的の具体的かつ個別的な、合理的かつ明確に判断できるものとして特定、把握を行っていたか、その体
制の確認

318

匿名

●情報漏えいや不適切な情報の利用並びに管理に起因するGIGAスクール構想下、義務教育での学習用端末を用いた、通しての教育や連絡業務の遂行ができなくなった場合（該当の小中学生、その家族）が確認される場合の対応の確認●保護者、親権者或いは法定代理人に対する求同意時、利用目的の明示の方法（留意事項ではお便りやメール、教室における掲示、集会での説明等、掲載場所配置）、各地方公共団体の行政機関による個人情報安全管理措置の内容、情報漏えい時などのときの本人らへの通知等に関する検証→●セキュリティ問題やネット利用に関するトラブル（本件はセキュリティ問題の色が濃い）が発生した際の問い合わせ先、相談先を、教職員・保護者・児童生徒に分かるように示しているか→地方公共団体首長部局のCSIRT（セキュリティ対策チーム）・POC（連絡窓口）の存在、教育委員会内部でのトラブル早期発見の・早期対応のための相談先の組織化、関係者全員への周知に関する確認（2021年7月14日 第2回 1人1台端末の円滑な利活用に関する調査協力者会議
教育情報セキュリティの考え方について より）を行うべきと考えます。この学習用端末で収集される小中学生の個人情報保護に対する不備の問題は昨年2023年4月~施行の改正個人情報保護法が端を発して今年7月中旬までに至っている問題である
ゆえ、早い解決へ導く事が望まれます。

93 ページ個人情報の適切な保護は前提であるべきだと考えます。
319

匿名

現状日本の個人情報の扱いは軽視されており、早急にEU基準の保護に変更すべきだと考えています。
特に子供の個人情報に関しては子供を安全に育む事ができる環境とは言えません。
早くコンプライアンス等を決め適切に個人情報を扱うべきです。
こどもの個人情報の取扱いに係る規律については、こどもの知的社会的経済的弱さ乃至未熟さを明確に意識してその要保護性を考慮する考え方に賛成する。諸外国の事例を踏まえて、こどもの権利を十分に保護したうえで、個々の子どものために学校等における生徒の教育・学習に関するデータを利用できる規律を考えるべきである。
また、こどもを本人とする個人情報について、法定代理人への情報提供やその同意を取得すべきことを法令の規定上明確化することや利用停止等請求権の拡張については基本的に賛成するが、虐待等

320

弁護士有志

のように親子等の利害が相反している場合にも対応できる規律とするよう配慮が必要である。
こどもの個人情報の取扱いに係る年齢基準については、必ずしも成人年齢を基準とすべきものとは思われないが、中間整理が提案する１６歳未満とすることについては、対象となる情報の性質や利用態様（例えば未成年者がSNSで要配慮個人情報やセンシティブ情報の送信をした場合などはなお未成年者を保護すべき場合があると考えられる）によって吟味する必要がある。
なお、中間整理はGDPRの規定の例を踏まえるとしているが、GDPRでは成人であっても同意の撤回が明文で認められており（７条３項）、同意の撤回ができないと解釈されている日本の個人情報保護法とは同意の位置づけが異なる。そのため、こどもの同意の問題については、第２，１，（１）アで指摘した一般的な同意の問題とセットで検討されるべきである。
意見⑤＜こども（全般）＞
こどもの個人情報の取扱いに係る規律について、”こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮する”

ことに賛同。

一方、どういうリスクがこどもの脆弱性や敏感性に問題となるのか議論されないまま、形式的な規範を決めることに違和感を感じる。
また、今日のデジタル社会を鑑みると、こどもにとってのリスクは、個人情報の取扱いに限らず、こどものオンラインの接点をふまえる必要がある。さらに、こどもの自律性/自主性なども考慮して、事業者が現実の運用で実行できる規範とする必要がある。
従って、こどもの保護を目的とした規範を決める際には、まず以下３点の検討を行うべき。
１）規律のかけ方（How）を決める前に、まず、何がこどもにとって具体的なリスクなのか、何を目的（Why）に、こどもの何（What）を守るべきかを、明確に定めるべき。
年齢確認のために全てのオンラインの接点で本人確認を行い、法定代理人の同意を必須とすることが、このデジタル社会で有効性あるとは考えにくい。
321-1

ソフトバンク株
式会社

例えば、こどもにとってのリスクをふまえると、取得した後の、こどもの個人情報の利用に規制をかけるという考え方もありうるのではないか。
具体例）利用目的の限定、禁止事項の明確化など
２）個人情報の取扱いだけでなく、オンラインでのこどもの利用環境全般について、関係省庁を交えて議論を行い、禁止すべき事項等を整理すべき。
例えば、英国や米国の規範では、オンライン上でのこどもの安全を目的とした規範に、個人情報の取扱いを含み、こどものデータ取扱い時はPIA（個人情報保護影響評価）の実施、サービス提供に必
要最小限のデータ・利用にすることなど、禁止すべき事項を定めている。
３）他の法令との差異をふまえ、実際の運用で実効性が担保される規範とするとともに、どの法令やガイドラインで規範を明確化すべきなのかを関係省庁を交えて議論、整理すべき。
その際、例えば、以下のような事項を考慮する必要がある。
・日本の成年、商取引等の契約は18歳が基準：個人情報の取り扱いを16歳未満とした場合、矛盾が生じないか？
・中間整理案では、15歳以下、16－17歳、18歳以上の3分類の運用が必要となり、その年齢移行段階での運用（例：再同意が必要か）などが生じるが、現実的か？
・年齢確認の絶対的な手法はなく、本人の申告とする場合、詐称は比較的容易。
という実態をふまえ、運用が形骸化せず、こどもの保護に実効的なルールとは？

94 ページ理由：１）こどもの脆弱性・敏感性、要保護性とは、具体的にどのようなもので、どんなリスクがあるのか、その目的が明確でないと、規範を新設したとしても、事業者に負担はかかっても、実際のこどもの保護につながらず、実効性に欠ける可能性があるため。
２）現在のこどもへのスマホ普及状況とデジタル社会をふまえると、こどもにとってのリスクは、個人情報の取扱いにとどまらないため。
３）個人情報保護法のみで規範を決めても、他の法令との差異があると、実運用が回らないものとなり、結果として、遵守されない規範となる可能性があるため。
意見⑥＜こども（学校などにおける教育データ）＞”こどもの個人情報の取扱いに係る規律については、こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮するとともに、学校等における生徒の教育・学習に関するデータの有用性も考慮する必要がある。”

について、こどもや家庭への支援や、教育データの利活用については、商用場面とその公共性が異なることをふまえ、法目的に応じて、規範を検討し、個人情報保護法で規定するべきかの検討を行うべき。
また、本中間整理での規範は民間向けのみの案と思われるが、国や自治体が、義務教育の場面で、民間事業者の教育サービスを利用して、個人情報を取り扱うことも多くみられる。現在の個人情報保護法に民間版と行政版で、利用目的の特定や委託の考え方に差異があることもふまえて検討を行い、自治体関係者・関連民間事業者双方にとってわかりやすい規範とすべき。（弊社関連意見⑤）
理由：こどもや家庭への支援や、教育データの利活用については、商用場面とその公共性が異なるため。
321-2

ソフトバンク株
式会社

こどものデータは、民間と行政でのデータ流通が現に存在するが、規範が異なることをふまえた事前の影響評価が十分になされていない可能性があるため。
10頁意見⑦＜こども（こどもの個人情報が含まれているかが明らかでない場合）＞”他方で、第三者が公開したこどもの個人情報を取得する場合などにおいては、取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合があり得ることから、こうした場合における事業者の負担を考慮する必要がある。” に賛同。
理由：実効性をふまえた規範としないと、遵守が難しくなるため。
10頁意見⑧＜こども（ア 法定代理人の関与）＞”現行法上、原則として本人同意/通知の取得が必要とされている場面において、こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを検討する必要がある。”について、一律に法定代理人の同意や通知を義務付けることには反対。
現在のデジタル社会で、全てのこどもの行動に、常に親からの同意・通知を必要とするのは、今のオンライン上の利用実態を見ると、非現実的ではないか？

こどもの自主性/自律性、親と子の間でのプライバシーの侵害という観点もふまえて、検討を行うべき。
例えば、こどもの個人情報の取扱いに限定した規範として、個別リスクを実質的に軽減する方策を検討すべき。（弊社関連意見⑤）具体例）こどもの判断能力が脆弱であることを前提に、通知や同意の場面での説明をわかりやすくする、利用目的を限定する、ことなどを不適正利用の事例に含めるなど。（弊社関連意見④）
理由：①現実に企業の運用が可能で、その結果、実際のこどもの保護につながる規範とすべきであるため。
(3)こどもの個人情報等に関する規律の在り方「法定代理人の関与」「利用停止等請求権の拡張」「安全管理措置義務の強化」といったこどもの個人情報を別枠で取扱う法改正となった場合には、こどもの個人情報に限定してデータベースから抽出することやこどもの個人情報の識別管理が必要となり多額の費用や準備時間を要する可能性がある。そのため、改正法は公布から施行までの期間を十分に確保していただくとともに、改正内容については事業者への影響面についても考慮のうえで救済措置※なども検討いただきたい。また、利用停止・情報削除を盛り込む場合には、従来同様に例外規定（他法令による規定）等の検討を頂きた
322

日本クレジット協会

い。
※例えば「段階的な措置」として、個人データの消去に関する扱いと同様にこどもの個人情報の取扱いに関する規律を努力義務(～に努めなければならない)の位置づけとすることや、こどもの個人情報を対象とする個人情報保護法違反が発覚した場合に義務を課すといった措置。「代替措置」として、こどもの個人情報とこども以外の個人情報を区別せず安全管理措置を講じるといった措置。
理由：
・影響範囲の確認のため
・他法令との関係性確認のため

95 ページ

（意見）
現行法上「本人の同意」を得ることが求められている場面以外においても、こどもの権利利益に影響を及ぼす可能性が高い一定の個人情報の取得や取扱い、たとえばこどもを本人とする一定の位置情報を取得する場合等については、原則として法定代理人からの同意取得を要することを原則とする規律を新設することも検討すべきである。
（理由）
本人がこどもであることを理由として、一律にその取扱いに法定代理人の同意を要求することは妥当でない。他方で、現行法上、本人同意が要求される場面は限定的であり、仮に現行法において本人同意が必要な場合のみに限って法定代理人の同意が必要であるとすると、こどもの脆弱性・敏感性及びこれらに基づく要保護性に鑑みれば、規制として十分でないようにも思われる。そこで、現行法において「本人の同意」を得ることが求められている場面（目的外利用、要配慮個人情報の取得、第三者提供等）以外においても、こどもの権利利益に影響を及ぼす可能性が高い一定の個人情報の取得や取扱いについては、原則として法定代理人からの同意取得を要するとする規律を新設することも検討すべきと考える。
具体的には、こどもを本人とする位置情報（移動体端末を所持する者の位置を示す情報であって、発信者情報でないもの。定義については「電気通信事業における個人情報等の保護に関するガイドラ
イン（令和6年3月12日版）」5-4-1を参照。）を取得する場合等については、原則として法定代理人からの同意取得を要するとする規律を新設することが考えられる。
（意見）
現行法上「本人の同意」を得ることが求められている場面において、一定の同意能力があると考えられる年齢のこどもを本人とする個人情報については、法定代理人からの同意取得にあわせて、こども本人からの同意取得を要する場合がないかについて慎重に検討すべきである。
（理由）
現行法において「本人の同意」を得ることが求められている場面（目的外利用、要配慮個人情報の取得、第三者提供等）において、こどもを本人とする個人情報（個人データ）について、法定代理人の同意を取得すべきとする方針に異論はない。もっとも、このような考え方に基づけば、法定代理人だけの判断でこどもの個人情報が取り扱われる場合が生じることになる。そこで、こどもの自己決定権を尊重する考え方から、一定の同意能力があると考えられる年齢（たとえば13~15歳）のこどもについては、法定代理人の同意だけではなく、あわせてこども本人からの同意取得も要する場合
AI法研究会プラ323-1

イバシー部会有志がないかについて慎重に検討すべきである。
あわせて、仮に、こども本人からの同意取得も要するとした場合、同意の前提となる情報提供については、こどもの判断能力に照らして、こどもにとってわかりやすい記載を義務付けることに加えて、情報提供の具体例をガイドライン等で例示することが望ましい。たとえば英国のChildren’s Codeは、18歳未満のこどもがアクセスする可能性が高い情報社会サービスが遵守すべき15の基準のうち、透明性の基準において、ユーザーに提供するプライバシーに関する情報、およびその他の公表された規約、ポリシー、コミュニティ基準は、簡潔で目立つように、こどもの年齢に適した明確な言
葉でなければならないこと等を定めている。
（意見）
こども本人と法定代理人の利益が相反するなど、一定の場合には、法定代理人からの同意取得を要しないとする例外を定めるべきである。
（理由）
たとえば親権者に虐待されているこどもを本人とする要配慮個人情報を取得するケースなど、法定代理人からの同意取得が期待できない場合もあるため、法定代理人からの同意取得を要するとの規律には一定の例外を設けるべきである。具体的には、こども本人と法定代理人の利益が相反する場合を法定代理人からの同意取得の例外と定め、こども本人からの同意のみで足りるとすることが考えられる。なお、この場合のこども本人からの同意取得の前提となるこども本人への情報提供については、こどもの判断能力に照らして、こどもにとってわかりやすい記載を義務付けることに加えて、情報提供の具体例をガイドライン等で例示することが望ましい。
（意見）
利用目的等について、こども本人にとってわかりやすい記載が求められるべきである。
（理由）
本人に対する通知等が必要となる場面（利用目的の通知（法第 21 条第１項）、本人から直接書面に記載された個人情報を取得する場合における利用目的の明示（同条第２項）、漏えい等に関する本人への通知（法第 26 条第２項）など）において、法定代理人に対して情報提供すべきことを法令の規定上明文化することには異論はない。もっとも、これらの情報提供は、法定代理人のみならず、
こども本人に対してもなされるべきところ、こども本人にとってわかりやすい記載が求められることに加え、具体的な記載例についてもガイドライン等で記載されるべきである。たとえば英国のChildren’s Codeは、18歳未満のこどもがアクセスする可能性が高い情報社会サービスが遵守すべき15の基準のうち、透明性の基準において、ユーザーに提供するプライバシーに関する情報、およびその他の公表された規約、ポリシー、コミュニティ基準は、簡潔で目立つように、こどもの年齢に適した明確な言葉でなければならないこと等を定めている。

96 ページ（意見）
こどもを本人とするすべての保有個人データについて、事後的な利用停止を認めることについては慎重に検討されるべきである。
（理由）
中間整理第２－１－⑶－「イ利用停止等請求権の拡張」においては、「こどもを本人とする保有個人データについては、他の保有個人データ以上に柔軟に事後的な利用停止を認めることについて検討する必要がある。ただし、取得について法定代理人の同意を得ている場合等、一定の場合においてはその例外とすることも考えられる。」とされている。
かかる記載は、こどもを本人とする保有個人データについて、原則として事後的な利用停止請求権（オプトアウト）を認め、例外的に取得について法定代理人の同意を得ている場合等についてはかかる請求権を認めないとする規律の可能性について示されたものと考えられる。
仮にかかる規律が導入された場合、個人情報取扱事業者としては、こどもを本人とするあらゆる保有個人データの取得にあたって法定代理人の同意を得る運用を事実上強いられることになりかねない
ため、慎重な検討を要する。
こどもの脆弱性・敏感性及びこれらに基づく要保護性の観点から、こどもを本人とする保有個人データの事後的な利用停止が求められるべき場合は、現行法35条5項の「その他当該本人が識別される
保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合」に該当すると考えられる。
そこで、こどもを本人とするすべての保有個人データについて事後的な利用停止を認めるのではなく、まずは現行法35条5項のガイドラインにおいて、「その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合」として、こどもの脆弱性・敏感性及びこれらに基づく要保護性の観点から、こども本人の権利又は正当な利益が害される
おそれがある場合の具体例を記載し、かかる場合には利用停止等請求権の行使が認められることを明記することで対応を図るべきであると考える。
（意見）
本人がこどもであることのみを理由に所定の高度な安全管理措置を義務づけることは避けるべきである。
（理由）
こどものような脆弱な本人（データ主体）であることは、安全管理措置の程度をリスクベースで決める際により高いレベルの安全管理措置を講じる方向に作用する一考慮要素になるべきものであることは正当だと思われ、この点をガイドラインの安全管理措置の項目に明記することは有益と考えられる。他方、仮に、本人がこどもであることのみを理由に所定の高度な安全管理措置を義務づけるとAI法研究会プラ323-2

イバシー部会有志

すると形式的・硬直的な規制となってしまい、妥当ではない。
現実にも、個人情報取扱事業者において、こどもの個人データと成人の個人データとを峻別して管理、保存している例は少なく、こどもの個人データのみについて安全管理措置義務が強化されるとす
れば、結果的にすべての個人データについて安全管理措置義務の強化を義務づけるに等しく、こどもの個人データのみについて安全管理措置義務を強化する実益は乏しいと考える。
なお安全管理措置については、プライバシー強化技術（PETs）の実施により、個人データの漏えい等が発生した際において個人の権利利益に及ぼす影響を減少できると考えられることから、ガイド
ライン（通則編）10-6「技術的安全管理措置」における「手法の例示」としてプライバシー強化技術（PETs）の実施を明記することも検討すべきである。
（意見）
こどもの個人情報の取扱いについて規制をかける場合、個人情報取扱事業者が、本人がこどもであると現に認識しているか、あるいは認識すべき場合であることを前提とすべきである。
（理由）
個人情報取扱事業者が、本人がこどもであると現に認識していたり、あるいは認識すべき場合であることを規制の前提としないとすると、こどもが本人として含まれることが完全には否定しえない場
合には、全て、事前に年齢確認を行うことが実質上義務づけられてしまうことになり妥当でない。
確かに、個人情報取扱事業者がこどもの年齢を現に認識していない場合には、こどもに関する規制がかからないとすると、敢えて年齢を確認しない方が規制を免れやすくなってしまうため、こどもの個人情報が含まれる可能性が高い事業については規制をかけることは妥当と考えられるが、その場合、どのような基準で、｢こどもの個人情報が含まれる可能性が高い｣のかを判断するかについての基準をガイドライン等で明確化する必要がある。
（意見）
こどもの年齢基準を16歳未満とする場合、民法上の未成年者取消権との整合性を、ガイドライン等において明記すべきである。
（理由）
こどもの年齢基準について、画一的な基準を設ける方針には賛同する。もっとも、年齢基準を16歳未満とする場合、16歳以上18歳未満のこどもについて、こども本人がした個人情報保護上の同意について、民法上の未成年者取消権に基づいて法定代理人等が取り消すことができるか、また、取消しを認める場合にどのような効果が生じるかについて、ガイドライン等において明記すべきである。
例えば、利用者の要配慮個人情報を取得するオンラインサービスについて、16歳のこどもが、法定代理人の同意を得ずに利用している事例を想定する。当該事例において、法定代理人は、民法上の未成年者取消権に基づいて、サービス利用契約の申込みの意思表示を取り消すことができる。しかし、一方で、民法上の未成年者取消権に基づいて、こども本人の要配慮個人情報の取得に対する同意を取り消すことができるか否かは、明らかでない。当該事例においては、サービス利用契約を取り消すことができる以上、当該利用契約の締結過程でなされた個人情報保護法上の同意（要配慮個人情報取得に関する同意）についても、同様に取り消すことができるとすることが整合的である。

97 ページまた、オンラインサービスにおいて個人情報の利用態様が多様化する現代社会においては、16歳以上18歳未満のこどもであっても、事業者に自己の要配慮個人情報を取得させること等でどのようなリスクが生じるか、予測が困難な事例が少なからず存在する。個人情報保護法上の同意についても、未成年者保護の観点から、民法上の未成年者取消権の行使を認めるべき必要性は十分に存する。他方
で、個人情報保護法上の同意は、あくまでも行政法上の効果を生じさせるものであって、民法上の意思の通知（準法律行為）とは性質が異なるから、個人情報保護法上の同意に民法上の未成年者取消権を行使しうるか、法解釈上明確でない。
個人情報保護法上の同意について民法上の未成年者取消権を行使しうる場合、具体的にどのような効果が生じるかも問題になる。例えば、当該事例においては、民法上の未成年者取消権が行使されるまでの間に要配慮個人情報を利活用して新たに生じたデータ等につき、どこまで利用を継続しうるかも問題となる。
以上の理由から、こども本人がした個人情報保護法上の同意に民法上の未成年者取消権を行使しうるか、また、行使しうる場合に具体的にどのような効果が生じるか等、民法上の未成年者取消権との整合性について、ガイドライン等において明記すべきである。
（意見）年齢確認の手法については、本人の年齢（生年月日）を取得することのほかにも、プライバシー強化技術（PETs）についてもガイドライン等で触れられるべきである。

323-3（理由）年齢基準を定める場合、本人の年齢確認のために本人の年齢（生年月日）を取得する必要が生じるところ、これまで本人の年齢（生年月日）を取得していなかった個人情報取扱事業者においAI法研究会プラ ても、取得する個人情報の項目が増加することとなる。取得する個人情報は、その個人情報が取扱われる目的との関係において必要なものに限定されるべきであるところ（GDPR5条1項（c）データ
イバシー部会有 最小化の原則参照）、たとえばプライバシー強化技術（PETs）の手法（ゼロ知識証明）を活用することで、本人の年齢（生年月日）を取得せずとも、成年かどうかの判別ができる。本人の権利利益
志の保護の観点からも、年齢確認の手法については、このようなプライバシー強化技術の利用について、ガイドライン等において触れられるべきである。
（意見）
年齢基準を16歳未満とする場合においても、たとえば13歳以上16歳未満のこどもの個人情報については、業界の特性に応じた取扱いを許容するために、認定個人情報保護団体が業界の特性に応じた個人情報保護指針を作成し、かかる個人情報保護指針において、こどもの年齢基準について13歳を下回らない限り、業界の特性に応じた低い年齢を定めることができることを許容する方針も考えられる。
（理由）
GDPR8条1項は、こどもの年齢基準を16歳未満としたうえで、加盟国は、その年齢が 13 歳を下回らない限り、法律によって、それらの目的のためのより低い年齢を定めることができる旨を定めている。かかる規定の例を踏まえて、年齢基準を16歳未満とする場合においても、たとえば13歳以上16歳未満のこどもの個人情報については、業界の特性に応じた取扱いを許容するために、認定個人情報保護団体が業界の特性に応じた個人情報保護指針を作成し、かかる個人情報保護指針において、こどもの年齢基準について13歳を下回らない限り、業界の特性に応じた低い年齢を定めることができることを許容する方針も考えられる。
【意見】
法定代理人の同意取得の方法は、具体的かつ事業者及び法定代理人双方の事務手続き上の負担を軽減できるものを検討していただきたい。また、個人情報保護委員会から法定代理人への情報提供時においても、事業者及び法定代理人双方に配慮されたものとして同様に検討していただきたい。

一般財団法人日324

本情報経済社会推進協会（JIPDEC）【意見】
法定代理人の同意を得るにあたっては、利用目的の特定とその理解が適正に行われている事が大前提である。よって、こどものデータの要保護性に鑑み、例外要件は、「〇〇の場合は事後的な利用停止を認めなくても良い」などとして容易に例外対応が取られることのないように制度設計していただきたい。また、事例の明示や例外対応を限定的なものとする等の工夫をしていただきたい。更に、多岐にわたる利用目的への同意をまとめて得る現行法の同意取得の在り方にも影響を及ぼすため、慎重に議論をしていただきたい。
【意見】
新たにこどものデータに関する規律を設定するのであれば、遵守すべき内容を明確にシンプルなものとし、実効性を高めることが求められる。よって、「最善の利益の優先」や「特別な配慮」等、自主的な取組の促進という観点に基づく規定は、事業者の判断に依存することになってしまい、その結果、実施内容のバラツキや、未実施等、形骸化する恐れがある。そのような点を留意し、検討していただきたい。
そもそも、安全管理措置は「個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含

325

匿名

む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。」とされており（通則GL3-4-2）、こどもの個人情報等について、安全管理措置
義務を強化するのであれば、上記GLの該当部分で、子供の個人情報については、性質上保護が必要であることを明示すれば足りる。
安全管理措置に関する基準をいたずらに増やすことは、企業実務において過大な負担をもたらすものであり、やめるべきである。

98 ページ

326

匿名

意見

12歳から15歳までのこどもについては、本人同意を取得する際には、法定代理人等だけではなく、本人からも同意取得することが必要である。

理由

法定代理人等から同意を得る必要がある子どもの具体的な年齢は、対象となる個人情報の項目や事業の性質等によって、個別具体的に判断されるべきであり（委員会Q&A1-62）、12歳から15歳までのこどもについても、自己情報をコントロールする権利が認められる場合がある。このような場合までも、法定代理人等の同意のみで足りるとすると、本人の自己決定権が侵害され、「個人の権利利益」も侵害されることになる。なお、現行の委員会Q&A1-62の書きぶりでも、12歳から15歳までのこどもについて、法定代理人等の同意のみで足りるかは、読み取れない。
子供の個人情報保護に関する記述について、データの形成時期が本人の幼少期でありつつも、現在本人が成人済である場合の取り扱いについて（例えば幼少期の本人の裸体の写真を、本人が成人して

327

個人

から公開することを望み、かつその写真が本人のものであることが確認できた場合）、今回の議論では十分に検討されていない。個人的には本人がまだ幼少である場合には法定代理人の厳密な管理下に置かれるべきだが、本人の成人以降は本人の責任に帰するべきであると考える。このデータの形成時期と公開・利用時期がずれる場合の子供の個人情報の取り扱いについて、より盛んな議論が行われることを期待する。

328

個人

子どもの個人情報保護に関する記述のオ. 年齢規定について、現在の成人年齢が男女ともに18歳であるにも関わらず、対象とする子どもの年齢が16歳以下となっていることの整合性が説明されていな
い。この年齢のズレについてどのような考えかたに基づいて導き出されたのか明示するべきである。
（意見）
法定代理人への同意取得に対する手続きに対して、こども本人と法定代理人の両方をどのような形で同意取得すれば足りるのか具体例を提示いただきたい。また、既にこどもを本人とする個人情報を取得している状況においては、再度同意を取り直すのではなく、通知または公表で足りるとする配慮を希望する。
（理由）
こどもを本人とする個人情報の強化については理解できるが、対応すべき具体的なイメージと移行性に配慮いただきたいため。こどもを本人とする個人情報について、法定代理人に対して情報提供の329

日本DPO協会事 上、同意を取得する場合、こどもを本人としない成人の同意取得と分けて、個人情報取得のプロセスを分離する必要があり、年齢の判定に伴うシステム等の改修や法定代理人の本人確認などの運用上務局の工数が発生する可能性がある。
（意見）「こどもの個人データについて安全管理措置義務を強化」とあるが、通常の安全管理措置の内容と比較し、強化すべき安全管理措置の具体例を例示してほしい。
（理由）
強化すべき点は理解できるが、その具体的な施策がイメージしにくいため。
【意見内容】
事業者として法定代理人からの同意を取得するに際し、当該法定代理人とこどもとの関係を、事業者としてどこまで、どのように確認することまでが求めるのか、事業者の意見も聞きながら慎重な議論を進めていただきたい。例えば、確認方法について、法定代理人からの本人証明書類などの提出を求め、それらの個々の有効性の積極的な確認や記録をすることなどが求められる場合には、事業者への過度な負担となる。
【理由】
事業者への過度な負担とならないようにする必要があるため。
【意見内容】

330

アマゾンジャパ 本人が 16 歳未満である場合に、その法定代理人の連絡先についても予め把握しなければならないことを課す趣旨か明確にされたい。もしそうであれば、16 歳未満の個人情報の取得に際して（本来、ン合同会社

要配慮個人情報に該当する等の事情がない限り、個人情報の取得自体に同意は不要であるが）、その法定代理人が誰かを把握しておかなければならないという、追加の情報取得および管理の義務を事業者に課すこととなる。また、仮に取得した連絡先が真に法定代理人のものであるかの確認まで事業者に求められるとすれば、その負担は甚大である。
【理由】
法定代理人に対して情報提供すべき、とあるが、法定代理人に関する情報をどこまで追加で取得させられることになるのか、不明瞭であるため。
【意見内容】
こどもの個人データの安全管理措置義務の必要性は理解するが、事業者への過度な負担とならないような規律が望まれる。
【理由】
事業者への過度な負担とならないような規律が望まれるため。

99 ページ

意見2
こどもの個人情報の規律の検討に際しては、個人データとして処理する場合に限って生じ得る問題に取り組むべきである。（10頁）
理由
331

個人

中間報告は、「こどもの個人情報等に関する規律の在り方」において、「第三者が公開したこどもの個人情報を取得する場合などにおいては、取得した情報にこどもの個人情報とこども以外の者の個
人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合があり得る」として、「事業者の負担を考慮する必要」などと述べているが、問題とすべきは、個人データとして処理する場合、すなわち、個人データに基づいて個人に対する「措置又は決定」が行われるとき（行われ得るときを含む）であるから、そのような個人に対する「措置又は決定」を行う際にその対象者（subject）がこどもかどうかを判断すれば足りるのであって、そのような「事業者の負担」は問題とならないと考えるべきである。
10頁「こどもの権利利益の保護という観点から、規律の在り方の検討を深める必要がある。」

332

個人

上記に賛成する。
なお、オーストラリアでは、10代の男子が50人の少女の写真をAIでわいせつ加工し拡散したというディープポルノ事件が発生したとCNNが報じた。個人の写真も個人情報であることを踏まえたうえ
で、こどもの個人情報保護には、こども自身が権利侵害をする可能性を念頭に置いた検討が必要である。
内容【私は上の対象における中間整理の考え方である、こどもの個人情報のを要配慮個人情報として扱わない方向で運用することに反対します。】
理由【成人に比べ、こどもは特に脆弱であり、成人と同等の判断能力を持たないため、こども特有の明文規定が必要と考えます。また、こどもの個人情報が不適切に扱われた場合、その影響は成人よ

333

匿名

りも深刻、かつ長期的なものになる可能性があり、容易に悪用されるリスクが広がる今後を見据えるならば、現在よりも特別な保護が必要です。また、利用停止請求権の拡充だけでは、こどもの個人情報が適切に保護される保証にはならないと考えます。また、こども自身が適切に利用停止請求を行える状況にはないことは明白であり、実効性に疑問が浮かび、形だけの拡充になることが懸念されます。】(3)こどもの個人情報等に関する規律の在り方
上記項目については諸外国の事例にあります「センシティブデータに関する規律とは別に、こどもの個人情報等に特有の規律を設けるケース」に賛同いたします。

334

個人

イ 「不適正な利用の禁止」「適正な取得」の規律の明確化 【我が国の現状等】 にあります「生徒が装着したウェアラブル端末から、心拍数や睡眠時間等を把握しようとしたり、脈拍を計測して集中度を推測したりしていた事例」など行き過ぎた情報の利用でありながら大人より弱い立場であるがために本人に同意の選択が難しい状況がすでに懸念されております。
どうしても大人より社会的な影響力を持ちづらい現状がある以上、通常の個人情報の保護に加え別途こどもの情報に関する保護が必要と考えます。
【意見】こどもの個人情報は要配慮個人情報として、いかなる場合においても扱うべきであることを求めます。
【理由】例にありましたが、こどもと大人の個人情報(肖像)などが含まれ、大人の個人情報に基準を合わせてしまえば、たとえ「こどもの個人情報は要配慮状態である」となっても「ただし大人の情

335

個人

報も掲載されている場合はこの限りではない」という例外事項が生まれれば意味が全くないものになるからです。現時点でも、犯罪に巻き込まれた児童や、犯人と一緒の写真に写っただけで関わりのない児童の個人情報は守られていないので、ここを緩めず、厳に守るべきです。そもそも、児童への性的虐待コンテンツ、痴漢や盗撮サイトなどがはびこっている現状で、児童の個人情報を守らないなどということは許されません。犯罪抑止や、児童の安全のためにも、児童の個人情報は手厚く守り、それを侵すいかなるものも排除するぐらいの規定を設けてください。
内容【私は上の対象における中間整理の考え方である、こどもの個人情報を要配慮個人情報として扱わない方向で運用することに反対します。】

336

匿名

理由【成人に比べ、こどもは特に脆弱であり、成人と同等の判断能力を持たず、また他者による悪用、操作の懸念があります。保護のため、こども特有の明文規定が必要と考えます。こどもの個人情報が不適切に扱われた場合、その影響は成人よりも深刻、かつ長期的なものになる可能性があります。また、子どもひとりではその対処も解決行動もすることはできません。難易度が高すぎます。】（意見）
今、学校ではパソコン・タブレットなどを利用した授業が普通になっている。
そしてこれを利用したデータ収集、集中度などを監視・モニタリングすることも一部ではおこなわれている。

337

匿名

これらは、個人情報保護法19条、20条違反になると思われる。
（理由）
このような生徒・子どもの生体データの監視・モニタリングは、生徒・子どもの「自らの自律的な意思により選択をすることが期待できない場合」に該当する。
だから、個情法19条、20条に抵触して違法であることを明らかにすべきだと考える。

100 ページ

意見

子どもの脆弱性を前提とした保護のあり方を検討することに、賛成します。

理由

第9頁にあるように、子どもは脆弱であり、社会的な保護が求められます。国家による法制度、ガイドラインによる事業者の行動指針の明示、子どもとの関係に関する開示の強制または任意指針の策定などが考えられます。
子どもを対象とするビジネスは、顧客が固定しないことから、営業活動にコストがかかり、生年月日と名前と住所などの個人情報を活用する誘惑が大きいです。
また、子どもによる著作権違反に対しては社会が寛容であることから、著作権違反か否かの判断が難しい生成AI利用などを夏休みの課題などと称して小中学生向けに案内するような恥じずべき日本企業も出現しています。大手企業であれば著作権侵害の恐れのあるような生成AI利用を、子どもたちにさせようとしているのです。
子どもに生成AIを使わせるかどうかは個人情報保護との直接的関連性が薄い可能性がありますが、子どもの脆弱性にまつわる問題であり、個人情報保護法の観点から、子どもの脆弱性について考え方338

個人を整理することは、著作権法その他の法域においても大変に参考となります。
個人情報保護法の見直しに際して、子どもの脆弱性を前提に、生成AIを含むデジタル環境からどのように保護すべきか、個人情報保護の現行法の保護法益のみならず、「自動決定」からの保護をどのように図るべきか、ぜひとも深くご検討ください。
サステナビリティの観点から、事業者に対して、社会環境に不可逆なインパクトを与える行動については自ら開示し、社会と対話すべきという考え方やルールが生まれつつあります（欧州のCSRDやESRS、GRIガイドライン等）。
子どもの成長と子どもの脆弱性を前提として、激しく変化するデジタル環境との関係で、子どもの成長に不可逆な悪影響を与えないようにするには、どのような規律が必要で、また、事業者にどのような開示をさせる（透明性）のが良いか、賢い手法が求められます。
単に未成年者の同意をどうとるかという問題ではなく、同正当な利益との関係で個別評価できることが望ましいと考えます。
子どもが写った写真から、児童ポルノが生成されてしまう時代であり、子どもに関するプライバシーの保護はより重要となっており、迅速な対応が望まれます。
子どもの保護のあり方を検討することに、賛成です
現状子どもの意思決定においては保護者が代理で行っている場合が大半ではあるが、場合によっては保護者の目の届かない範囲で勝手に子どもの意思を得たと解釈されて勝手にいろんなデータを抜き取ったり、一方的に子どもにその日との方針を押し付ける事例を目にすることがあります
検討の中間整理に書かれているパターン以外にもワクチン接種の有無、生徒に挙手させ調査

奈良の中学校教諭が謝罪(毎日新聞)

こちらのように現在我が国では任意とされているワクチンもある中でわざわざ他の生徒もいる面前でデータを取得して何がしたいのかと疑問に思います339

匿名

こちらの場合は発覚したからわかっただけでもしかしたら全国的に蔓延している可能性もあります
また世界的に問題になっている「小児性愛、ペドフィリア」も横行しており、次項で説明させていただく生成ＡＩで勝手に我が子の画像が使われてしまって裸にされたり猟奇的画像に置き換えられた
り、偶然にも生成されてしまい子どもの将来の社会生活に著しい負担が生じている事例も出ております
ここで世界同様我が国も大事な将来を担う国民を保護しないと一方的搾取状態になりかねません
子どもは未熟だから管理者が管理しなくてはいけないというある種の支配者的感覚に偏ってしまっていないか、保護者の知らないところで我が子がさらされている危険性などないようにするためにも子どもの安全と安心のために個人情報の保護は必要です。
意見【こどもの個人情報を要配慮個人情報として扱わない方向で運用することに反対します。】
理由【成人に比べ、こどもは特に脆弱であり、成人と同等の判断能力を持たないため、こども特有の明文規定が必要と考えます。また、こどもの個人情報が不適切に扱われた場合、その影響は成人よ

340

匿名

りも深刻、かつ長期的なものになる可能性があり、容易に悪用されるリスクが広がる今後を見据えるならば、現在よりも特別な保護が必要だと考えます。
また、利用停止請求権の拡充だけでは、こどもの個人情報が適切に保護される保証にはならないとも考えます。こども自身が適切に利用停止請求を行える状況にはないことは明白であり、実効性に疑問が浮かび、形だけの拡充になることが懸念されます。】

101 ページ

第ニ個別検討事項(3)こどもの個人情報に関する…
イ 利用停止請求…
法定代理人の役割が極めて重要であり、その責任をより重くするため法定代理人の同意により個人情報を取得した事業者が何らかの違法な利用を行ったことが明らかになった場合の罰則をより強くしてはどうか。
341

個人

それ以外の団体や企業に関してはこどもの個人情報の入手自体を厳しく制限すべきではないか。
そもそも個人情報として重要な名前、それに準ずる住所や写真などが必要な局面は少ないはずである。公正な事業主が情報を得られるならそこから僅かでも漏洩する。事が起きてから罰しても被害に遭ったこどもは救われない。
ウ 安全管理措置義務の強化
ISOのような厳しい指標を定め大規模な事業展開をしている塾が満たせない場合営業停止処分としてはどうか。個人経営と異なりトラブルの際の被害が甚大になる。
インターネット事業の場合、漏洩はより大規模になる恐れがある。個人情報と紐付く名前等を暗号化し事業主にもわからないようにするなど技術的な解決が必要ではないか。
こどもの個人情報が流出・漏洩した場合、そのこどもの5年後、10年後に及ぼす影響は計り知れません。

342

未成年（18歳未満）の個人情報については、厳重な管理を求める規則を設置するべきです。

個人

また、ア

法定代理人の関与については、本人同意の取得においてこども本人が未熟で判断のつかない年齢である場合、法定代理人の同意が必要ということを明文化するべきだとは思いますが、年数が経ちこども本人が判別できるようになったら、提供した個人情報についてこども本人が利用停止を請求できる規則も併せて設けるべきだと考えます。
こどもの個人情報を取得等するに際しての追加的措置を何とするかは様々ありうるものと思料するが、その追求すべきところはこどもの将来に禍根を残させないことであろうと信じる。自らの行為あ
343

合同会社

asura

るいは罪であるとしても無答責であるこどもが、蓄積されてしまった自らの個人データにより将来苦しむことが無いように、事前的な保護措置として現行法上同意を要する局面であるかにかかわらず親権者による（撤回可能な）同意を必須とすることや必要性の低いデータ取得の制限を設けること、厳に必要とすべき期間を超えてデータ保持をしてはならないこととすることなど、情報の一般法となるべき個人情報保護法制のなかで所要の措置が講じられることを期待する。

344

匿名

345

匿名

子供の個人情報等に関する規律の在り方について、未成年者を含めた子どもの保護のあり方への検討、大いに賛同します。子どもは社会的立場も弱く、外見等の個人情報の悪用による被害を最も受けやすい為、早急にプライバシー保護を強化する必要があると考えます。
また現在のこどもはいわゆるデジタルネイティブとして、我々などより遙かにデジタルに触れる機会が多いのですから、教育を強化して自衛が出来るように指導すべきですし、自衛できるようになるまでは当然大人の保護が必要であると考えます。この場合の大人による保護とは、大人数のこどもを管理、監視しやすくするためにデジタルツールを導入するなどということではなく、SNSに子供の素顔が見える状態の写真をアップしないなどのことを指します。親世代へ向けてのSNS利用の注意喚起が必要だと思います。
１個人の権利利益のより実質的な保護の在り方の３こどもの個人情報等に関する規律の在り方において、昨今、子どもを巻き込んだインターネット上での犯罪に生成AIによるディープフェイクがあ

346

匿名

り、生成AIを気軽に利用できることからも子ども自身が犯罪の加害者になるケースが増えていくことが考えられる。子どものデータを利用する立場にある事業者に対し、重い罰則を設ける必要がある。
なお、「(3)こどもの個人情報等に関する規律の在り方」において、こどもの個人情報に関し、生体データのみならず現行個人情報保護法上の「個人情報」ならびに「個人関連情報」の取扱いに関しては、より一層の保護を法律上与えるべきであるように思われる。上述のように、自己決定権の減衰を招来しうるのみならず、オプトアウト権の行使にあたっての同意能力の有無の問題が残存するから

347

匿名

である。この点については、ガイドラインに委任する状態ではなく、法律上のさらなる保護を与えるために、「個人情報保護法

いわゆる３年ごと見直しに係る検討の中間整理」９頁以下の「ア. 法定代理人の関与 」以下に掲げるこどもの個人情報に関する条項を個人情報保護法の中に創設すべきであるように考える。ただし、法定代理人（親権者含む）の同意があったとしてもこども本人による同意が得られない場合には、当該者の見解を尊重すべきであると考える。
348

個人

349

個人

意見

子どもの保護のあり方を検討することに、賛成します。

理由

SNSのX(旧Twitter）などにおいては、画像生成AI（stable diffusion)を使って、実在児童に画像を使って児童ポルノを制作しているような人間が多々おり、子供のデータをAIから保護する必要性があります。
（意見）こどもの脆弱性・敏感性及びこれらに基づく要保護性を踏まえた保護の強化に関しては基本的に賛同する。一方で、認知機能が低下した高齢者や、精神疾患を有する者などに関しても、同様の保護を行うこと、また、こどもに関しては、虐待のケース等親権者との利害が一致しない場合があることを踏まえて法定代理人の関与の規定などを考慮してほしい。
（理由）こども以外も含めて、保護の在り方を検討すべき社会的弱者が存在し、現行法では必ずしも十分に対応できていないものと考えるため。

102 ページ

意見
こどもの個人情報等の取扱い係る規律を検討するに当たっては、多様な実態を考慮して、規律を適用する場面や例外とする場合について、その対象や範囲を明確にしていただきたい。
また、事業者によって対応の格差が生じることのないよう、規律を厳格に適用する場面や対象、範囲を明確にしつつ、事業者が留意すべき事項等を示し、自主的な取組を促進していくことが望ましいと考える。
理由
こどもの個人情報の取扱いに関しては、「こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮」する「必要がある」とされているとおり、本人が個人情報について自ら管理できる能力を十分に有していると考えられる年齢に達するまでは、事業者において一定の配慮が必要であり、そのことは当協会のインターネット広告に関する業界自主ガイドラインにおいても規定しているところである。事業者がこどもを対象にしたサービスを本人や関係者に提供する目的でこどもの個人データを取扱う場合、こどもの最善の利益を優先することを念頭にサービスを提供すべきであるところ、こど
一般社団法人日 も本人の個人情報を取得する際に親権者等の同意を得ることや、こどもを本人とする個人データを保有している場合に必要十分な安全管理措置を講じることについて、「こどもの権利利益の保護とい
350

本インタラク

う観点」から一定の規律を設けることの必要性は理解できる。

ティブ広告協会 一方で、「取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合があり得ることから、こうした場合における事業者の負担を考慮する必要がある」とされているとおり、こどもの個人情報の取得方法や利用目的との関係、保有状況等によっては、必ずしも規律の厳格な適用が必要とはいえない場合もあると考えられる。
インターネット上で取得されるこどもの個人情報等の取扱いにおいては、事業者が自主的にこどもの保護を優先した取組を行っている例がある。例えば、あらかじめ年齢制限を設けてこどものサービス利用を禁止したり、こどもが対象となり得るキャンペーンを実施する際に応募にあたって保護者の同意に基づく登録を行うよう求めたりするなど、規約やポリシーを設けて運用していることがある。また、こどものアクセスを排除したり対象から除外したりするために、年齢を含めた情報の登録を求めたり、取得した情報等から年齢を推定するなどして、年齢情報を利用することがある。
ただし、これらのこどもの安全に配慮した取組は、各々の事業者が当該サービスの目的や利用実態等に応じた保護措置を講じているものであり、年齢を偽って登録される可能性や推定した年齢情報であるなど不確かなものである場合、保護者の同意を確実に求めることが難しい場合など、厳密な運用が困難なケースもあることに留意が必要である。
子供の個人情報取り扱いに対するあらたな保護規定を設ける事を望みます。
351

匿名

子供の個人情報は、最近学校や塾による漏洩が非常に問題だと思います。
情報を取り扱う側に危機意識が全くない事や、規律がざっくりし過ぎている事もあると思います。
また子供はポルノ方面での不正な情報収集も多く、子供故に同意もあまり意味をなしませんし強制すら容易いからです。
（意見）
こどもの保護については異論のないところですが、まずは、こども家庭庁などを中心に、データに限らないこどもの保護・健全育成について議論し、その結果を踏まえて必要に応じて個人情報保護法の規律を検討すべきと考えます。
なお、個人情報保護法において規律を設ける場合には、一定の目的や行為に対する規制として一律に手続面をカバーする規制が良いのかを検討するとともに、規制を行った場合の個人情報取扱事業者
等における措置を想定しつつ、実施可否の支障を確認する必要があり、拙速な議論を避けるべきと考えます。

352

三浦法律事務所 （理由）
こどもの保護を考えるとき、プライバシーの側面ではなく、広くこどもに関する要保護性が先にあって、保護対象と目的、そして規律の必要性が議論されるべきであるように思われます。こどもの保護のために実効性ある規律を検討するためには、こども家庭庁・文部科学省などを中心として、広くデータに限らないこどもの保護・健全育成・教育におけるこどもの保護の在り方などについて議論
すべきと考えます。そのうえで、必要に応じて個人情報保護法として規律すべき事項があれば、対応することが良いところです。
また、実際にこどものデータの取扱いについて規律を設けると、措置を講ずるために相応の工数を要するところであり、次期通常国会に向けての法制化作業のスケジュールに鑑みれば、個人情報取扱事業者への影響や、必要な措置について精査することなく法案策定がなされる懸念があります。
（意見）

353

主婦連合会

諸外国の法令を参考に、こどもの個人情報保護を強化すべき。具体的には、利用停止等請求権の拡張、安全管理措置義務の強化、責務規定の明記などを検討し、導入することを求める。
（理由）
こどもの脆弱性・敏感性及びこれらに基づく要保護性を十分に考慮するべき。現行の個人情報保護法は諸外国の法令と比較して、こどもを守る観点が極めて不十分である。

103 ページ•こどもの個人情報等の取扱いに係る規律を、個人情報に関する従来の規律とは別に設けるという考えについては、こどもの支援や教育といった政策にも大きくかかわる分野であることから、こども家庭庁など、関係省庁も含むステークホルダーを交えたうえで、利活用の観点からも慎重な議論をすべきである。
354

一般社団法人 新経済連盟•特にインターネットを通じた通常のビジネスやサービスにおいては、こどもをターゲットにして設計されたサービス等でない限り、こどもであることを特に意図せずにこどものデータを取得していた
り、こどものデータが大人のデータと渾然一体となって管理されていることが多く、また、継続的にサービスを利用している場合、取得当時はこどものデータであっても経年によって大人のデータになるといったことも起こりうることから、こどもと大人を常に明確に区分しながら扱いを変えて管理したり措置を講じたりすることはかなりの困難を伴うものであり、現実的でない。実態の把握と影響分析をしっかり行ったうえで、慎重に議論すべきである。
•家庭内で問題を抱えたこどもへの支援に必要な場合など、法定代理人の関与が必ずしもこども本人の利益にならない場合があることにも留意すべきである。
個人情報保護についてのコンプライアンスチェックを経ての商品購入及びインターネットサービスでの企業ブログ投稿を未成年であれば、学校やプリクラ機及び子供写真館等で顔写真や名前といった個人情報を掲載されてきました。
それらの同意した利用範囲を超える生成AIを使用した個人情報とヌード改変された写真が出回っており、ボランティア団体が見つけ被害者個人が掲載されたことを差し止めするまでのハードルが更に

355

匿名

上がっていると考えます。
また、炎上を狙ったコンテンツを扱う配信者の個人を特定した私刑など個人情報を利用した否社会的活動の温床になっていると考える。
昨今進化する技術に対してのガイドラインだけでは、子供達も将来活躍するぶき若者も守れないのではないか？と個人情報の利用範囲について、とても遺憾である。
国家主導で、国民に対してコンプライアンスの重要性、コンプライアンスを守ることで保護できている個人情報について示すべき。
全ての主張が混雑する世の中だからこそ、指針をはっきりさせて欲しい。
子どもの写真は一度ネットに流出してしまえば、ネットタトゥーとして消されることなくずっとネット上に残り続けます。苦しむのは子ども自身です。子どもはまだ世間を知らず、大人が守るべきで

356

匿名

す。子どもの写真については特に取り扱いを厳重にした法改正を強く望みます。
また、個人の写真についても同様です。個人の情報が厳重に守られることを切に願います
8P (3)こどもの個人情報等に関する規律の在り方

357

匿名→まだ判断力に乏しい子どもの権利、特に肖像権に関しては子どもが被害に遭いにくい規律をしっかりと検討してほしい。
10P＞他方で、第三者が公開したこどもの個人情報を取得する場合などにおいては、取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合があり得る
・意見→

358

個人

第三者が公開した個人情報を取得することを禁止すればよいだけである。

＞イ 利用停止等請求権の拡張
現行法上、利用停止等請求権を行使できる場面は、保有個人データについて違法行為があった場合等限定的であるが、こどもの要保護性を踏まえると、こどもを本人とする保有個人データについては、他の保有個人データ以上に柔軟に事後的な利用停止を認めることについて検討する必要がある。
・意見→「他の保有個人データ」を軽視している以上、こともの個人情報軽視も止まらない。こどもであろうがそうでなかろうが、柔軟的に利用停止を認めるのが当然である。

＞ウ 安全管理措置義務の強化
・意見→

こどもに限らず全国民の個人情報に対して強化すべきである。全ての個人データについて安全管理措置義務を強化すれば、おのずとこどもの個人データも守られるのは必然である。

対象【1.個人の権利利益のより実質的な保護の在り方】の【（3）こどもの個人情報等に関する規律の在り方。】

359

匿名

内容【私は上の対象における中間整理の考え方である、こどもの個人情報を要配慮個人情報として扱わない方向で運用することに反対します。】理由【成人に比べ、こどもは特に脆弱であり、成人と同等の判断能力を持たないため、こども特有の明文規定が必要と考えます。また、こどもの個人情報が不適切に扱われた場合、その影響は成人よりも深刻、かつ長期的なものになる可能性があり、容易に悪用されるリスクが広がる今後を見据えるならば、現在よりも特別な保護が必要だと考えますまた、利用停止請求権の拡充だけでは、こどもの個人情報が適切に保護される保証にはならないとも考えます。こども自身が適切に利用停止請求を行える状況にはないことは明白であり、実効性に疑問が浮かび、形だけの拡充になることが懸念されます。】

104 ページまた、子どもの個人情報保護のあり方について検討する事に賛成します。
360

匿名

子どもは自分で自分の身を守る手立てが大人よりもありません。
彼ら自身の詳細な情報、特に外見の情報などは特に悪用されやすい事と思います。
そうならないためにも、子どもの個人情報保護に関して、強い規制が求められます。

361

匿名

意見

子どもの保護のあり方を検討することに、賛成します。

理由

子どもの写真等が生成AIのポルノ出力等に使用されるため、インターネット等に写真を載せられなくなった事例があります。様々な生体データ、特に、外観写真などの情報が、悪用されて開発され、ポルノ生成AI等に使用されている実情をみるに、大いに保護される必要がある。特に、国産の画像生成AIにおいても、児童のポルノ写真を学習したと思しき出力が確認される製品が頒布されており、早急な対策が必要と考えます。
第２

362

匿名

１（３）こどもの個人情報等に関する規律の在り方→上記のAIの話にも関係しますが、すでに子供の写真を使い方児童ポルノ画像などが大量に作られたり(子供同士の虐め(恫喝等)の道具としても使われたり)、snsなどで子供を誘い出し害を加える事例が発生している現在、子供の安全のためにも様々な面から保護と規制をするべきです。
・こどもの個人情報について

363

匿名

センシティブデータとして成人より厳重に取り扱ってほしい。
対象とするこどもの年齢は民法との整合性で18歳未満とする。
無許可でのデータ利活用に反対します。

364

匿名

ディープフェイクなどデータが悪用されやすい現在の状況をまず先に対応すべきであり、利活用についての議論はその次である。子どもの個人情報保護を検討することに賛成します。
未成年者の情報はより強く守られるべきだと考えます。
（意見）本人同意が必要とされている場合について、法定代理人の関与を必要とすべきとしても、法定代理人が代理人として同意を行う場合に子供本人の意思が尊重される仕組みとすべき（一定年齢

365

個人

以上は、原則として子供本人の同意を必要とする等）である。
（理由）現在の情報環境の中では、個人に関する情報が、個人の尊厳の根本を支えるものであることや、子ども基本法の定め等からも、子供の意思が尊重されるべきである。

105 ページ（意見）
こどもの未熟さや脆弱性を踏まえ、プライバシーの保護のために必要な措置を講じるために、規律の在り方の検討を深める必要があるという考え方に賛成する。
（理由）
海外ではこどもの個人情報の取扱い等に係る明文の規定は多く存在するところ、日本ではガイドラインに記載があるのみであることから、早急に規律を定める必要があると考える。
ア法定代理人の関与と、イ利用停止等請求権の拡張において述べられていることが、規律として定める点として重要と考える。
現行法上、原則として本人同意の取得が必要とされているが、こどもを本人とする個人情報については、法定代理人の同意を取得すべきであり、また本人に対する通知等が必要な場面では法定代理人に対しても情報提供すべきことを法令の規定上明確化することが必要であると、同様に考える。
（意見）
未成年者の個人情報は要配慮個人情報と同様であると認識し、取り扱いについて規律を設けるべきと考える。
（理由）
子供や未成年者は未熟さや脆弱性のため、自信の個人情報の提供や取り扱いについてよく理解していないことが多く、情報が不適切に使用されるリスクが高くなる恐れがある。子供の個人情報の取得に際しては、法定代理人の同意の規定を明文化することに加えて、情報の取り扱いや管理についても安全措置を強化することが必要である。
公益社団法人日 子供の権利利益の保護、プライバシー保護の観点から、情報を取得し利用する側にとって厳しい基準を設けておく必要があると考える。取得された子供の情報が教育や学習に有用であるとされるため本消費生活アド には、情報の漏えいなどがなく安全に管理され、悪質な利用を免れなければならない。
366

バイザー・コン

サルタント・相 （意見）
子供の個人情報の取得について、法定代理人の同意を得ることを明文化することに賛成する。
談員協会（NACS）（理由）

現行法においての本人の同意の必要性は、子供や未成年者本人にとっても同様であり重要なことである。
未成年者の個人情報の取得については、親権者や法定代理人から同意を得る必要があることを明確にし、同意の取得の手順や内容についてガイドラインで示すことが重要である。
事業者は、未成年者個人を特定する情報と共に、健康や医療、生体認証データなどを収集することもあり、これらのセンシティブな情報の場合には特に厳しい基準や、安全管理（セキュリティ）などについての規制が必要である。親や親権者が取得されるデータや取り扱いについて正しく理解でき、安全性についても納得できるよう、分かりやすい説明をした上で、同意を得ることが重要である。
（意見）
16歳未満という年齢設定の根拠について引続き検討し、日本の現状に即した基準年齢を示すことを希望する。
（理由）
教育現場での事例がいくつか挙がっていることもあり、不都合が生じるのではないかと思われる。16歳とすると同学年で本人同意がとれる者とそうでない者が生じ、対応や手続き情報の管理が煩雑になる可能性が考えられる。また、16歳以上であっても教育現場では学校や教師からの圧力を感じ実質的に同意を強いられることはないのだろうか。16歳以上は本人同意のみで良いとすることには不安を覚える。生徒が内容を十分に理解せず同意しないよう、必要に応じて親の同意も併せて求めるなど、同意が正しく行われるよう環境を整える必要もあると考える。現状どのように法定代理人等から同意を取っているのかも調査し、考察する必要があると考える。
本人に対する利用目的、漏洩等に関する通知等に関し、法定代理人への情報提供の法令規定上の明確化が中間整理において示されている。一方で、任意代理人の関与についても、同様に法令規定上の367

田辺三菱製薬株 明確化を希望する。
式会社

さらに、PPCのFAQ5-3-3において任意代理人による開示請求につき、その資格を確認することの重要性が示されているところ、その他の関与における資格の確認の必要性や、代理人がいる場合での事業者が本人との間で取るべき対応に関し、FAQやガイダンスで示すことも考えられる。

106 ページ

意見：
こどもに代わり同意等を行う者は「法定代理人」に限定せず、「法定代理人等」とすべきである。
理由：
こどもを対象とする臨床試験の参加に関する説明・同意は法定代理人に限らず可能とされている。GCP省令の第2条第25項では、代諾者の定義について『「代諾者」とは、被験者の親権を行う者、配偶者、後見人その他これらに準じる者をいう。』とされ、同省令のガイダンスでは、『「第25項の「代諾者」とは、治験への参加について、被験者に十分な同意の能力がない場合に、被験者とともに、又は被験者に代わって同意をすることが正当なものと認められる者であり、被験者の親権を行う者、配偶者、後見人その他これらに準じる者で、両者の生活の実質や精神的共同関係から見て、被験者の最善の利益を図りうる者であること。」』と示されていることから、治験の参加については必ずしも法定代理人でない場合がある。そして治験実施の目的上、個人情報の取得・利用・提供・保管等の取扱いが発生するため、一般的には、治験参加に関する同意取得と同時にそこで取得する個人情報の取扱いに関する同意も得ることになる。もし、こどもの個人情報の取扱いに関する同意取得368

日本製薬工業協会

を法定代理人に限定すると、こどもが治験に参加する権利や機会を奪うことにも繋がりかねない。臨床試験・臨床研究に関わる、製薬企業、医療機関、医学研究者、医療倫理専門家、患者団体などの関係者の意見を聞き、現実的で適切な同意の在り方について厚生労働省と調整の上、臨床試験・臨床研究の実施に悪影響がでないように対応いただくことを強く要望する。
意見：
臨床試験で収集されたデータについては、利用停止請求されるまでに収集されたデータについては継続して利用できるようにすべき。
理由：
医薬品の承認申請においては、臨床試験で収集した被験者データの解析結果に加え、その解析方法の検証を目的に、仮名化した被験者データを規制当局に提出することが求められる。解析を実施する
タイミングと規制当局に申請するタイミングは、長い場合では10年以上離れることがあるが、この間に被験者から自身のデータの利用停止請求がなされ、その請求に無条件に対応しないといけないとなれば、当初の解析結果を再現することができなくなり、承認申請に支障が出ることになる。すなわち解析で利用された全データが利用できなければ、科学的な評価を経た新薬を世に出せないことになり、救える命が救えなくなることに繋がり得る。
意見

369

Apple

個人情報保護法において子どもたちの個人情報をより慎重に取り扱うことを求めるという方針に全面的に賛同するとともに、規制の調和について十分な配慮がなされることを望みます。
理由
子どもどもたちは成長途上にあり判断力が限定的である一方で、デジタル技術に触れる年齢が早まっていることから、子どもたちを守る必要性はさらに高まっています。
意見内容「取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合があり得ることから、こうした場合における事業者の負担を考慮する必要がある。」に強く同意する。取得した情報に意図せずこどもの個人情報が含まれていた場合に事業者に求められる対応や、情報に子どもの個人情報が含まれているかわからない場
合の対応など、事業者が取るべき対応が明確になっていない部分があるため、ガイドライン等で示していただきたい。

370

日本電気株式会
社

理由取得した情報の中に意図せずこどもの個人情報が含まれている可能性が想定されるため。
意見内容
こどもの個人データに対する安全管理措置の厳重化に対する妥当性が不明瞭である。妥当性に関して明示いただきたい。
理由
例示されていた事案が現行法を遵守することで防止できなかったことが検証されたのであれば本整理には賛成するが、現状ではその根拠が示されていないため、妥当性が不明瞭であるため。

107 ページ

【意見】・こどもの個人情報の取扱いに係る規律を適用すべき範囲については、慎重に検討していただきたい。
【理由】
・こどもの個人データをそれ以外の個人データと切り分けて異なるレベルの安全管理措置を講じなければならないこととなると、全ての産業において顧客情報管理のあり方全体を大きく見直さなければならなくなるなど、実務への影響は甚大である。全ての業界に一律に規制を課すのではなく、こどもの権利侵害リスクの状況に応じて、どこまでの対応が必要となるのかを検討する、といった対応
371

日本損害保険協 が適切である。
会【意見】・身体障害・高齢等により判断力が不十分である人の個人情報の取扱い等に関しても、規律を定めることを検討していただきたい。
【理由】
・成人の場合、契約締結当初は判断能力に問題がなかった場合においても、その後、同意の取得や通知が必要となった場面において、判断能力を欠いているといったケースが生じ、こうしたケースについては同意の取得や通知の仕方が問題となる。
意見
子どもの年齢確認や、法定代理人と子どもの関係等について、どのように、どの程度、事業者が確認・把握すべきか、経済界と十分な対話を行い、慎重かつ丁寧に検討すべき。
理由
法定代理人と子どもの関係性を厳格に行うこと（例：本人確認書類の提出等）は、①事業者の過度な負担、②ユーザーの利便性低下、③サービス利用者数減少、等につながるおそれ。オンライン上での確認では、確実に把握することが不可能な場合が想定されたり、離れて暮らす法定代理人と子どもの確認が困難であったり、様々な課題も。事業者の責任の範囲を明確化するために、要件等をガイ
ドライン等で示すべき。
意見
法定代理人からの同意取得や法定代理人への通知等、その必要性や合理的な方法について、経済界と十分な対話を行い、慎重かつ丁寧に検討すべき。
理由
本人確認書類の提出や通知先に登録された連絡先の正確性が求められれば、事業者は多大なコストをかけてシステムを構築せざるを得ず。また、サービスの提供にあたって本来不要であった個人情報を取得することが必要に。特定の個人を識別できない個人関連情報について、対象データの主体が子どもであるか否か把握することは実務的に極めて困難。個人関連情報の第三者提供にあたり、提供

372

一般社団法人日 元がどのように法定代理人を把握し、同意を取得するのか不明瞭。
本経済団体連合会

意見「柔軟に事後的な利用停止」について、事業者の過度な負担にならないよう、慎重かつ丁寧に検討すべき。例えば、事後的な利用停止を認める類型を例示することも一案。
理由
他の保有個人データ以上に柔軟な利用停止を可能とすることは事業者の負担になりかねず。例えば、早期の削除や利用停止請求に対応する体制整備等、コスト増加を招来。また、生体データをAIの学習データとしている場合など、当該データのみを取り除くことは困難なケースも。
意見
安全管理措置義務の強化にあたっては、子どもの個人情報の取扱いにおける事業者の実態を把握した上で検討すべき。
理由
子どもに限らず、個人情報を適切に取り扱うべきことは当然。しかし、個人情報を子どもとそれ以外で分けて管理していない事業者が大宗を占める現状下、子どもの個人情報の安全管理措置義務を強化することは、実質的にすべての個人情報の安全管理措置義務を強化することと同義。子どもの個人情報のみ分けて管理する場合、システム構築に多大なコストが発生し、事業者にとって過大な負担に。

108 ページ(該当箇所)(3)こどもの個人情報等に関する規律の在り方
主要各国においてこどもの個人情報等に係る規律が設けられており、執行事例も多数見られることも踏まえ、こどもの権利利益の保護という観点から、規律の在り方の検討を深める必要がある。(意見）
該当箇所に関して賛成だが、規律が設けられるまで、ガイドライン等で法定代理人の同意だけに頼らない、こどもの個人データを保護する規律を設けてほしい。
また、こどもの個人情報等に係る規律に関しては透明性を重視して検討を深めてほしい。(理由)373

個人

欧州のEDPBの「規則2016/679に基づく同意に関するガイドライン05/2020 」にも例(Example4)がある通り、保護者にとって学校から依頼されるこどものデータの提供は、自由に判断し、選択できる状況とは言い難いと感じる。
“授業中の集中度を測定する実証研究”のようなこどもの人権を侵害しかねないプロジェクトへの事実上の強制参加を防ぐために、自由な同意を可能にするためのガイドラインなどを他国のガイドラインを参考するなどして検討してほしい。
本来ならば、こどもの個人情報等に係る規律が別途必要であり、個人情報保護法の範囲外かもしれないが特に、こどもの評価や働きかけをデータをもとに行う場合は、透明性と納得性のある運用を義務化して欲しい。AIを使って雑多なデータから、こどもや家庭に、不本意なレッテルを張られかねない現状を懸念している為である。
こどもの個人情報については、その脆弱性を考慮し、原則として要配慮個人情報と同等の保護を与えるべきである。
ア法定代理人の関与については、学校や学習塾など対象者が確実にこどもであると分かっている場合には有効な方法となり得る。しかし、法定代理人の関与だけでは問題が解決しない場合も想定される。どのようなケースにおいて法定代理人の関与が必須であるか、また、法定代理人以外の者が代替できる場合があるかなど、きめ細かな検討が必要である。さらに、法定代理人の関与が難しい場合に、こどもの権利利益をどのように確保するかということも重要な課題である。
イ利用停止等請求権の拡張については、こどもに限定することなく、本人関与の権利自体を拡大すべきである。
ウ安全管理措置義務の強化、エ責務規定には賛成である。

374

一般社団法人オ年齢基準については、必要であると思われるものの、個人情報保護法において一律に定めるのではなく、対象事例やサービスによって求められる要件が異なることを考慮し、個別分野において慎重

MyDataJapan

に検討されるべきである。特に、オンラインサービスにおける年齢確認の導入に伴う課題（保護対象のこどもだけでなく利用者全員の年齢確認が求められるかもしれないことや、追加の個人情報取得

公共政策委員会 の問題とデータ最小化の必要性、プライバシー侵害、排除のリスクなど、欧州委員会の「Mapping age assurance typologies and requirements」（2024年4月）で検討されているような諸課題）には十分な注意が必要である。さらに、年齢確認の際のデータ最小化を実現する仕組みの導入（例：身分証の情報の選択的開示）も併せて考慮すべきである。
年齢確認の有無にかかわらず、事業者の推察によって、対象の個人がこどもや高齢者であることや、認知力や判断力に脆弱性などを有する者であることが推知され得る場合に、彼らを対象としたター
ゲティング広告の表示や誘導、欺瞞、その他彼らの脆弱性を突くような行為を禁止することが重要である。こうした規制は、こどもだけでなく、脆弱性を持つ全ての個人を保護する観点から設計されるべきである。
特にこどもは可塑性に富むため、往々にしてプロファイリングは正確性を欠くものとなり、不正確な属性の決め付けに陥る可能性が高いことから、こどもに関するプロファイリングを禁止すべきであ
る。
375

匿名
一般社団法人376

意見：こどもの保護のあり方を検討することに、強く賛成します。
理由：こどもは自らの写真・住所などの個人情報の悪用による被害が大きく、実効性の強い規制が求められています。
弊会としましても、こどもの個人情報は非常に重要であると考えております。ただし、その保護の在り方については、こどもに関するデータの活用による有用性・公益性等に鑑み、こどもに関する

こどもDX推進協 データを取り扱う事業者に過度な負担を強いる規制・データの利活用を阻害する規制とならないよう、保護と利用のバランスに十分配慮した形での今後の詳細な制度設計を期待します。
会

377

匿名

・子供の個人情報については特に厳重に保護する。

109 ページ

弊社としても、こどもの個人情報は非常に重要であると考えております。
その理由は「子どもは、個人データの取扱いと関連するリスク、結果及び関係する保護措置、並びに、自らの権利について十分に認識できないかもしれないため、その個人データに関して特別の保護を享受する」（GDPR前文38）べきだからです。
他方で、事業者が個人データを取得した後の安全管理措置については、上記の理由は一律に妥当する訳ではないと考えております。事業者は、対象となる個人データの主体が“こども“か”大人“かとい378

株式会社コドモン

う単純な理由からではなく、「起因するリスクに応じて、必要かつ適切な」（ガイドライン通則編3-4-2）内容になるように安全管理措置を実施する必要があると考えております。
中間整理にて大手学習塾の事案が取り上げられていますが、これは当該事案において、こどもの情報の取扱いの「起因するリスク」（ガイドライン通則編3-4-2）が高いと評価されたものと理解するべきと考えます。教育・福祉・医療などこどもを取り巻く事業者や各事業者が取り扱うこどもの情報は多種多様であり、こどもの情報の取扱いに常に高い「起因するリスク」が伴うわけではありません。そうした状況下で、「こどもに関する情報であれば一律に安全管理措置義務を強化する」という方向性は、事業者にとって過度な規制となりうるものと存じます。
以上より、こどもの個人情報（個人データ）について、「一律に」大人とは区別した安全管理措置を課すことには反対です。
事業者は、個別の場面において、「起因するリスクに応じて、必要かつ適切な」安全管理措置をこどもの個人情報（個人データ）に対して実施すべきであり、それは現状の法律・ガイドラインでも既に要求されているものかと存じます。
こどもの保護のあり方を検討することに、賛成します。
家族の撮った写真などからでも悪用されることが多く、被害が大きい。強い規制を求めます。
現状知る範囲で生成AIを用いて起こっていることは「素材でもないデータの複 製、盗用盗作、虚偽、詐欺、冒涜、なりすまし、個人に対する侮辱」などです。

379

匿名

(生成AI製である旨を明記をしないものに関してはかなり明確に人を騙すつもりですので)
元の学習データはオプトアウト可能、ということもありますが、それには海外への問い合わせであったり、個人(本人)の情報をあけ渡す申請なども必要なことが多く、煩雑で、精神的にもとてつもな
く疲労します。
これらは写真、絵、文章、映像、音楽、音声等々、いずれにも言えることですし、個人情報に至っては「生成AIに通してなにをするんですか?」と思います。 不信感しかありません。
生成AIは医療等では症例などの照会に活用できるかもしれませんが、基本的に時 は使用すること自体を強く制限すべきであり「何かを作る」ことに向けては使用するべき ではないと思います(様々なコストの面からも)。
現在マイナンバーカードで個人情報と福祉が一元化しつつある今、一つでも漏れてカードと紐づけることができれば容易に戸籍などを取得することが可能となってしまうでしょう。

380

匿名

また児童ポルノなどもデータに含まれているとAIの開発元は認めています。
データ開示、また見つかった場合には素早い削除を求めます。

長島・大野・常松法律事務所381

データプロテク
ションチーム有志一同

意見：こどもの個人情報等に関する特別な規律を設ける場合であっても、当該規律が適用される範囲について、適用対象にする必要性の有無・程度及び事業者の負担を考慮しつつ、合理的な範囲に規定されたい。
理由：特にオンライン上で提供されるサービスについては、事業者側で利用者の年齢確認を行っていない又は事業者側で利用者がこどもであるか把握していないことも少なくない。そのため、抽象的にこどもの個人情報等を取得する可能性があることをもって特別な規律への遵守を求めることは、（当然ながら具体的な規律の内容次第であるものの）事業者にとって過度な負担となるおそれがある。こどもの個人情報等の要保護性は理解するが、適用対象を合理的な範囲とした規律とすべきであり、例えば、事業者がこどもの個人情報等であることを知って取得又は利用するときや、こどもを明確に対象に含むサービスを提供するときなどに限ることが考えられる。
（意見）
こどもに代わり同意等を行う者は「法定代理人」に限定せず、「法定代理人等」とすべきである。
（理由）
こどもを対象とする臨床試験の参加に関する説明・同意は法定代理人に限らず可能とされている。GCP省令の第2条第25項では、代諾者の定義について『「代諾者」とは、被験者の親権を行う者、配382

日本製薬団体連
合会

偶者、後見人その他これらに準じる者をいう。』とされ、同省令のガイダンスでは、『「第25項の「代諾者」とは、治験への参加について、被験者に十分な同意の能力がない場合に、被験者とともに、又は被験者に代わって同意をすることが正当なものと認められる者であり、被験者の親権を行う者、配偶者、後見人その他これらに準じる者で、両者の生活の実質や精神的共同関係から見て、被験者の最善の利益を図りうる者であること。」』と示されていることから、治験の参加については必ずしも法定代理人でない場合がある。そして治験実施の目的上、個人情報の取得・利用・提供・保管等の取扱いが発生するため、一般的には、治験参加に関する同意取得と同時にそこで取得する個人情報の取扱いに関する同意も得ることになる。もし、こどもの個人情報の取扱いに関する同意取得を法定代理人に限定すると、こどもが治験に参加する権利や機会を奪うことにも繋がりかねない。臨床試験・臨床研究に関わる、製薬企業、医療機関、医学研究者、医療倫理専門家、患者団体などの関係者の意見を聞き、現実的で適切な同意の在り方について厚生労働省と調整の上、臨床試験・臨床研究の実施に悪影響がでないように対応いただくことを強く要望する。

110 ページ

(意見)
法律がこどもの個人情報をより慎重に扱うよう求める方向性に全面的に同意するとともに、全体として各国との整合性に配慮いただいた検討を望む。
(理由)
子どもは成長過程にあり、判断力に限界がある一方で、子どもがデジタルに触れる時期も早まっており、保護する必要性が一層高まっているため。
(意見)
事業者として法定代理人からの同意を取得するに際し、当該法定代理人とこどもとの関係を、事業者としてどこまで、どのように確認することまでが求めるのか、事業者の意見も聞きながら慎重な議論を進めていただきたい。例えば、確認方法について、法定代理人からの本人証明書類などの提出を求め、それらの個々の有効性の積極的な確認や記録をすることなどが求められる場合には、事業者への過度な負担となる。
(理由)
事業者への過度な負担とならないようにするため。
(意見)
本人が16歳未満である場合に、その法定代理人の連絡先についても予め把握しなければならないことを課す趣旨か明確にされたい。もしそうであれば、16歳未満の個人情報の取得に際して（本来、383

在日米国商工会 要配慮個人情報に該当する等の事情がない限り、個人情報の取得自体に同意は不要であるが）、その法定代理人が誰かを把握しておかなければならないという、追加の情報取得及び管理の義務を事業
議所（ACCJ） 者に課すことになる。
また、法定代理人の確認情報をどこまで求められるのか、具体例も含めて提示していただきたい。
(理由)
法定代理人に対して情報提供すべき、とあるが、法定代理人に関する情報を追加で取得することが必要か、不明瞭であるため。また、併せて、適切な運用のために具体例の提示があれば参考となるため。
(意見)
こどもの個人データの安全管理措置義務の必要性は理解するが、事業者への過度な負担とならないような規律が望まれる。
(理由)
事業者への過度な負担とならないような規律が望まれるため。
(意見)「オ

年齢基準」は具体的な年齢の提示の方向で検討することに賛同する。その場合年齢確認までする必要があるのか、必要な場合にはどのような方法が望ましいのか提示していただきたい。

(理由)
適切な運用のために具体例の提示も併せて提示していただくことが参考となるため。
（意見）
まず、こどもの個人情報の取扱いに係る規律の検討にあたっては、その重要度が製品やサービスの性質、情報の種類によっても異なるため、要件はリスクベースで事例に即して議論されることが望ましい。また、特にオの年齢基準の変更を検討する際には、新たに発生しうる弊害を考慮しつつ、同意の要件等に可能な限り柔軟性を持たせた規律とすることが望ましい。
384

AIガバナンス協会 （理由）
本項目の記載されている事項について、一律での要件修正を行うと、たとえば親等の法定代理人の許可を得られない、あるいは法定代理人への情報の開示を望まないこどもが実質的に個人情報を用いるサービスへアクセスできなくなるなどの弊害につながる恐れがある。検討はそうしたリスクも踏まえ、個人情報を用いるサービスへのアクセスが過度に制限されることがないよう慎重に実施されることが望ましい。
（意見）
・事業者を委縮させることのないよう、「年齢が分からない場合の対応」、「本人確認の程度」、「大人とこどものデータを区別して管理することが困難な場合の対応」等、一律で過度な負担を強いることがないよう十分に配慮してほしい 。

385

一般社団法人 日 （理由）
本自動車工業会 ・諸外国の法制度においても、こどもの個人情報の取り扱いについて法令的に追加措置を講じるケースは多く、それらの国々と足並みを揃える意味でも、こどもの権益の保護に資する規律を設けることは重要である。
・一方で、事業者からするとユーザーの年齢が分からない場合や本人確認・同意取得が難しいケース（ 例 公道走行中の車両の車載カメラが取得した画像におけるこどもの歩行者の写り込み、車に同乗する子供の音声データの取得）、大人とこどものデータを区別して管理することが困難なケースも多いため、一律で過度な負担を強いられることがな いように配慮をお願いしたい。
111 ページ

【意見】仮に、こどもの個人情報等に関する規律を導入する場合、具体的な規律については、中間整理10頁～11頁の【考え方】で示されているように、こどもの脆弱性・敏感性およびこれらに基づく要保護性がある場合のみが適用対象になるように、できるだけ適用場面を限定かつ明確化すべきである。
万が一、こどもの個人情報等に関する規律の適用場面が限定かつ明確化されない場合、実務上柔軟な対応（たとえば、本人が一定年齢以上であることを申告した場合や法定代理人の同意があることを申告した場合には、本人やその法定代理人が事後的に利用の停止を求めた場合にのみ利用を停止すればよいなど）を許容することも検討すべきである。
【理由】
こどもが本人であることを事業者が把握していない場合も多く、このような場合にまで規律が適用されるとすると、事業者としては法定代理人の関与をさせるべきかも判断できない状況となるなど、【考え方】に示された対応をとることは現実的には困難である。また、すべての個人情報の取得の際に、本人がこどもかそうでないかの情報を取得しなければならないとすると、事業者の個人情報の利用目的からは不要な過度の個人情報を取得することになりかねない。
【意見】
仮に、こどもの個人情報等に関する規律を導入する場合、対象事業を限定列挙するなど、明確にこどもが対象年齢の事業に限定すべきである。
【理由】
事業の中には、年齢を知る必要のないものも多いが、こどもが利用者となる可能性のあるすべての事業について、法定代理人の同意や法定代理人への情報提供、安全管理措置を必要としてしまうと、WEBサイトの改修や法定代理人の同意取得手続の導入等を要することになり、事業者に過度な負担を強いることとなる。
【意見】
年齢制限を設けないサービスの場合や、こども向けのサービスであっても、「こどもの個人情報」のデータ主体が同じサービスを利用する過程で年齢を重ねて大人になった場合等、「こどもの個人情報等」と「それ以外の個人情報等」の両方を取り扱う事業が多くなると考えられるが、仮に、こどもの個人情報等に関する規律を導入する場合、「こどもの個人情報等」と「それ以外の個人情報等」
386

経営法友会

の両方を取り扱う事業者において講じるべき策を、具体明確化されたい。
【理由】
こどもの個人情報保護については、「こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮する」（中間整理10頁）必要があると認識しているが、事業者にどのような対応が求められているかを明確にし、言い換えれば、事業者が（結果責任のような形で）意図せず個人情報保護法違反とならないようにする必要がある。
【意見】
仮に、こどもの個人情報等に関する規律を導入する場合、サービス提供者または利用者に過度な負担がかかることで、サービス提供が委縮していくことになれば、こどもの知る権利等に影響が生じる
可能性があるという観点も考慮する必要がある。
【理由】
たとえば、法定代理人の同意の取得過程での煩雑な手続により、サービス利用者（こども、親権者等）への負担が発生し、情報へのアクセスが難しくなることで、サービス利用者の情報へのアクセスする機会や、こどもの知る権利に影響が生じることは避けるべきである。
【意見】
こどものデータについての安全管理措置も、個人情報保護法23条の安全管理措置について個人情報保護法ガイドライン（通則編）3-4-2が規定する枠組み（「当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ
スクに応じて、必要かつ適切な内容としなければならない。」）で事業者が検討するという位置づけで十分である。
【理由】
事業者のとるべき安全管理措置については、一律に定められないように思われるところ、中間整理10頁の【考え方】「ウ 安全管理措置義務の強化」で示された、「こどもの個人データについて安全管理措置義務を強化することがあり得る」という文言が、どのような建付けを目指しているのかが明確でない。

112 ページ（御意見）
中間整理において「こども」という表記が使用されているが、こども家庭庁の「こども」は未成年者に限らず、精神的に未発達の者も含めるため敢えてひらがなで標記することにしていることなどに照らして、同様の趣旨で「こども」という表記としているのかどうかを明確にされたい。
こどもの個人情報保護に関する規律については、教育などのこどもの成長に資する情報の使い方と、こどもをマーケティングの対象として捉えるような情報の使い方については峻別した上で、前者については倫理的な観点からの規律が働くような仕組を整えるなど適切な個人情報の利用を促進するための枠組を特別法等で手当をしていくことが望ましい。
なお、規律の設計にあたっては、こどもの個人情報とこども以外の者の個人情報が混在して管理されている場合などに、こどもの個人情報に関して付加される規律が全ての個人情報に及ばないように十分な配慮が必要である。
（御意見）
欧米で既に導入されている通り、我が国においても法定代理人の関与を義務付けるべきで、本提案に賛成する。
ただし、法定代理人からのみ同意を取得すれば足りるのか、本人と法定代理人の両方から同意を取得するのか、あるいはこの判断は年齢で変わり得るのか具体的な実施方法を示す必要がある。

387

一般社団法人日 （御意見）本IT団体連盟 子どもは、人格形成の過渡期にあり、成長に応じて外見とともに、思考や行動が大きく変化する。すなわち、ある一時期の子どものデータと、その後の子どものデータを同一視することはできないた

めに特別な配慮が求められる。しかし、利用停止等の請求権を拡張しても、請求権の行使が一般的でない我が国においては、子どもの保護への寄与は限定的である。代わりに、子どものデータは保存期間を限定し、保存期間が満了したデータは消去する等の義務を、事業者に対して新たに課すことを提案する。
（御意見）
子どものデータを対象とする安全管理措置の強化には反対する
実際のデータベースの運用において、子どもを対象とするサービスでない限り、子どものデータを他のデータと分けて管理されることはない。このため、子どものデータのみに安全管理措置義務を強化することは現実的に難しいと考えられる。子どものみを対象とするサービスのみを安全管理義務措置対象とするのは、偏った措置となり、法運用も難しくなる。
（御意見）
子どものデータに係る利用目的の制限が必要である。前述のとおり、子どもは人格形成の過渡期にあるため、子どもをマーケティングの対象するためのプロファイリング行為（それらに基づくターゲ
ティング広告の配信を含む）や不利益や差別をもたらすようなプロファイリング行為は禁止することが必要である。

113 ページ

意見1
中間整理第２の1(3)の「考え方」において、「重大なこどもの個人情報の漏えい事件が国内で発生しており、委員会においても前述の大手学習塾に対する指導に際して「こどもの個人データについては、こどもの「安全」を守る等の観点から、
特に取扱いに注意が必要であり、組織的、人的、物理的及び技術的という多角的な観点からリスクを検討し、必要かつ適切な安全管理措置を講ずる必要がある」旨述べているところである。そこで、こどもの個人データについて安全管理措置義務を強化することがあり得る。」との記載がある。
この点、当該大手学習塾に対する指導文で既に公表されているように、現行法の個人情報保護法第23条の安全管理措置義務の解釈として、こどもの個人データは、成人の個人データと比して一般的に、安全管理措置に「注意が必要」であるのか明らかにされたい。
意見2
中間整理第２の1(3)の「考え方」において、「重大なこどもの個人情報の漏えい事件が国内で発生しており、委員会においても前述の大手学習塾に対する指導に際して「こどもの個人データについては、こどもの「安全」を守る等の観点から、
特に取扱いに注意が必要であり、組織的、人的、物理的及び技術的という多角的な観点からリスクを検討し、必要かつ適切な安全管理措置を講ずる必要がある」旨述べているところである。そこで、こどもの個人データについて安全管理措置義務を強化することがあり得る。」との記載がある。
388

匿名

この点、現行法の個人情報保護法第23条の安全管理措置義務の解釈として、こどもの個人データは、成人の個人データと比して一般的に、より加重された安全管理措置義務を講じなければならないとしているのかどうか明らかにされたい。
その場合、3年見直しのための議論を経ずに、そのような規範を導くこととなるため、何を根拠にそのような規範を定立したのか明らかにされたい。
意見3
中間整理第２の1(3)の「考え方」において、「重大なこどもの個人情報の漏えい事件が国内で発生しており、委員会においても前述の大手学習塾に対する指導に際して「こどもの個人データについては、こどもの「安全」を守る等の観点から、
特に取扱いに注意が必要であり、組織的、人的、物理的及び技術的という多角的な観点からリスクを検討し、必要かつ適切な安全管理措置を講ずる必要がある」旨述べているところである。そこで、こどもの個人データについて安全管理措置義務を強化することがあり得る。」との記載がある。
この点、3年見直しの結果、新たな導入する規律として、こどもの個人データは、成人の個人データと比して、より強固な安全管理措置を講ずる義務を、個人情報取扱事業者全体に課そうとしているのかどうか明らかにされたい。
理由
既存の法解釈として、こどもの個人データについては、加重された安全管理措置を課さなければならないとされているのか、新たに導入される規律として、こどもの個人データについては、加重された安全管理措置を課さなければならないのかが明らかでないため。
中間整理では取得した情報にこどもの個人情報が含まれているかが明らかでない場合として、「第三者が公開したこどもの個人情報」のケースが挙げられているが、オンラインのサービスを提供している場合にはそもそもユーザーが「こども」に該当するかどうかわからないことがあるため、直接個人情報を取得する場合についても同様の懸念はあてはまる。
こどもがこどもではないと偽ったり、法定代理人の同意を得たと偽ったりした場合に、事後的にこどもの個人情報に該当するものとして追加的な規律が及ぶとなると、事業者に予期しない負担が生じ

389

匿名

るため好ましくない。
また、取得済みの個人情報についても、こどもの個人情報が含まれているかが明らかでない場合があるため、事後的にこどもの個人情報に該当するものとして追加的な規律が及ぶとなると、事業者に予期しない負担が生じてしまう。
これらの点にも留意した合理的な内容の規律とすることが望ましい。

114 ページ

意見・理由：・弊社では、転居に係るお客さまの住所・氏名情報を郵便物等の転送のために利用しているが、例えば、法定代理人である一方の親からDV被害を受けたこどもが他方の親等とともに加害者である親に住所情報等を知らせずに転居を行っている事例も想定される。
・そのため、転居届を提出する際や、漏えい等に関する本人通知の際に、こどもを本人とする個人情報や個人データの法定代理人への情報提供を義務付けられると、DV被害等から逃れているこどもの転居情報が加害者かつ法定代理人である親にも知られる事態が生じるおそれがある。
・したがって、法定代理人への情報提供を法令で義務付ける場合には、こどもの安全や権利利益の保護の観点から法令上の例外規定を設け、適用されるケース等を具体的に示していただきたい。その際、こどもと一緒に転居をした親等がDV被害を受けており、こどもの法定代理人である加害者が転居先を知るために、その地位を濫用してこどもの転居情報の開示等を求めるケースも想定されることから、判断基準の策定に当たっては、こどもの安全や権利のみに限定せず、第三者の安全や権利利益の保護の観点も考慮していただきたい。
390

日本郵便(株)

意見・理由：
・こどもの個人データについて、必要かつ適切な安全管理措置を講ずる必要があることについて同意する。
・しかしながら、弊社で取り扱う配達データのように、住所・氏名を世帯単位で管理している個人データの中には、年齢や生年月日等の情報が含まれず、大人とこどもの区別がつかない状態で管理しているものも存在し、このようなデータについては、そもそもこどもの個人データのみを分離することが難しく、分離できたとしても、世帯単位で利用することが合理的なものである。
・個人情報保護委員会では、「第三者が公開したこどもの情報を取得する場合などにおいては、取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合」における事業者の負担を考慮する必要があると考えていただいているが、「第三者が公開した情報を取得する場合」に限ることなく、大人とこどもの区別がつかない状態で、住所・氏名を世帯単位で管理している個人データについても、同様に考慮する必要がある事例としてご留意いただきたい。
意見内容：「こどもの個人情報の取扱いに係る規律については、こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮するとともに、学校等における生徒の教育・学習に関するデータの有用性も考慮する必要がある。」とあるが、こどもの個人情報の定義や範囲について、企業がこどものデータであることを（生年月日などから）判断できる範囲の情報に限定していただきたい。また、当該規律は、こども本人が主体となるデータに限定していただきたい。例えば、成人（親など）の取引データの中で、こどもに関する取引データが含まれるケースは対象外としていただきたい。
意見内容：「こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを検討する必要がある。」とあるが、民法上の契約締結等が必要な場合において、本人確認義務を負うようなケースはどのような場合になるかなど、こどもであることの確認方法および契約形式等について、具体的な定めを置いていただきたい。
民法においては、未成年者に意思能力が認められることを前提として、未成年者にとって不利益のない契約については法定代理人の同意なく契約が可能であり、また、法定代理人による取消権も行使ができない。普通預金契約などの消費貸借契約はその代表例と考えられている。

391-1

一般社団法人全国銀行協会

一方、行政法規である個人情報保護法において、民法上の契約成立の有無に関わらず、情報取得等については16歳未満の未成年者について法定代理人の意思確認を必要とするのであれば、16歳未満の未成年者との契約においては、常に法定代理人の同意確認が必要となるのか否か、明確な解釈を示していただきたい。
意見内容：「こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを検討する必要がある。」とあるが、こどもの年齢の確認方法として、どこまでの義務を事業者に課すことになるか。例えば、デジタルツールなどの場合は、表示を行い、表明保証を得ることで足りるという理解でよいか。具体例を提示いただきたい。
意見内容：「こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを検討する必要がある。」とあるが、こどもが年齢を詐称（例えば未成年者が成年者であると詐称）した場合の対応はどのように考えればよいか、解釈を提示いただきたい。
民法上の契約の場合、成年者であると詐称した場合、法定代理人による取消権は行使できないこととなるが、その際に取得したこどもの情報の取扱い方法はどのように考えることになるのかについて
も、解釈を提示いただきたい。

115 ページ

意見内容：「本人に対する通知等が必要となる場面（利用目的の通知（法第21条第１項）、本人から直接書面に記載された個人情報を取得する場合における利用目的の明示（同条第２項）、漏えい等に関する本人への通知（法第26 条第２項）など）においても、こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある。」とある
が、こども本人に加えて法定代理人にも通知が必要となるのか、法定代理人にのみ通知することで足りるのか、法改正後の通知先を明確にしていただきたい。
意見内容：「こどもを本人とする保有個人データについては、他の保有個人データ以上に柔軟に事後的な利用停止を認めることについて検討する必要がある。」とあるが、「柔軟に事後的な利用停止」の内容について、ガイドライン等で具体例・基準を示していただきたい。
391-2

一般社団法人全国銀行協会

意見内容：「そこで、こどもの個人データについて安全管理措置義務を強化することがあり得る。」とあるが、事業者には具体的に何をすることが要求されるのか、明確にしていただきたい。
意見内容：「各事業者の自主的な取組の促進という観点からは、こどもの個人情報等の取扱いについては、こどもの最善の利益を優先し特別な配慮を行うべき等、事業者等が留意すべき責務を定める規定を設けることも検討する必要がある。」とあるが、事業者側で同意主体（こども本人/法定代理人）を管理することが求められる等、事業者に求める管理水準を示していただきたい。
意見内容：「対象とするこどもの年齢については、Q&Aの記載やGDPRの規定の例などを踏まえ、16歳未満とすることについて検討を行う。」とあるが、年齢によって規制される商品・サービス（クレジット
カードや、宝くじ・totoの販売など）には、成人＝「18歳」が基準のものもある。事業者の実運用上の負担も踏まえて、対象年齢を定めていただきたい。

392

個人

（３）子どもの個人情報

今後色々な事例が出てくる可能性があるので

特に教育の場面での整理をきちんとして、企業や親権者が理解できるようにしていただきたい。

【考え方】
ア 法定代理人の関与
意見・質問等:常に、「法定代理人の同意を取得すべきこと」「法定代理人に対して情報提供すべきこと」とした場合、離婚などにより親権者が事後的に変更となった場合等、個人情報取扱事業者側
では合理的努力をもってしても法定代理人を把握しきれない事情も想定されるため、条文の形式は、個人情報取扱事業者側に著しい業務負担を課す場合を例外とするか、または、努力義務の形としていただきたい。
【考え方】
ア 法定代理人の関与
意見・質問等:「法定代理人の同意を取得すべきこと」には、法定代理人から個人情報取扱事業者への同意の意思表示を示すことに加えて、法定代理人が同意をしていることをこども経由で間接的に認識するケースも含まれることとしていただきたい。
393

日本証券業協会【考え方】
イ 利用停止等請求権の拡張
意見・質問等:「ただし、取得について法定代理人の同意を得ている場合等、一定の場合においてはその例外とすることも考えられる」とされているが、他に濫用的な請求の場合も例外に加えていた
だきたい。
【考え方】
ウ 安全管理措置義務の強化
意見・質問等:中間整理の中で検討の契機として紹介されている事案については、そもそも、現行の個人情報保護法、ガイドラインで求められている水準の安全管理措置自体を設けていなかった事案であるため、これをもって、「こどもの個人データについて安全管理措置義務を強化する」という結論は早計である。特に、学習分野など子供向けのサービスを提供する事業分野の個人情報取扱事業者
を除けば、一般的に、現時点で特にこどもとこども以外の個人情報データベース等を分けて管理しているわけではないため、これらの個人情報データベース等を分断する、または、こども以外の個人情報データベース等の安全管理措置の水準自体を引き上げられることとなり、業務が負担となる恐れが有る。

116 ページ

〇意見・中間整理では、「本人に対する通知等が必要となる場面（利用目的の通知（法第21条第１項）、本人から直接書面に記載された個人情報を取得する場合における利用目的の明示（同条第２項）、漏えい等に関する本人への通知（法第26条第２項）など）においても、こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある」とされている。
・漏えい等に関する本人への通知については、行方不明等諸般の事情により、法定代理人への連絡が困難になるケース等も想定されるため、ガイドラインやＱ＆Ａ等にて解釈を示していただく等、柔軟に対応できるような規制となるよう慎重に検討いただきたい。
〇意見・中間整理では、「こどもを本人とする保有個人データについては、他の保有個人データ以上に柔軟に事後的な利用停止を認めることについて検討する必要がある」「こどもの個人データについて安394

一般社団法人生命保険協会

全管理措置義務を強化することがあり得る」とされている。
・事後的な利用停止を柔軟に認める点については、例えば、利用停止を電話のみ等の簡易な方法で行えるようにすると、結果的に望まない利用停止を即時に行ってしまうリスクもあり、かえって顧客利便性を阻害する可能性も考えられる。
・また、安全管理措置義務を強化する点については、仮に、こどもの個人データについて、通常の個人情報以上に厳格な安全管理を求める場合には、こどもの個人データと通常の個人情報を分けて管理する必要が生じる可能性があるが、当該対応は実務上困難であるとともに、顧客利便性を害する懸念もある。少なくとも取得時に法定代理人の同意がある場合には除外とする等、慎重に検討いただ
きたい。
〇意見・中間整理では、「こどもの個人情報等の取扱いに係る年齢基準の考え方について、国内外の法制度において様々な年齢基準が設けられていることや、対象年齢によっては事業者等の負担が大きくなることも考慮する必要があるが、対象とするこどもの年齢については、Ｑ＆Ａの記載やＧＤＰＲの規定の例などを踏まえ、16歳未満とすることについて検討を行う」とされている。
・民法上は15歳で遺言や養子縁組等を単独で行うことができること、また、それを参考に、実務上、15歳で単独で行為を行うことを認めている実務もあることから、年齢基準については、他の法制における取扱との平仄を踏まえて慎重に検討いただきたい。

意見：

子どもの脆弱性を前提とした保護のあり方を検討することに、賛成します。

理由：子どもを対象とするビジネスは、顧客が固定しないことから、営業活動にコストがかかり、生年月日と名前と住所などの個人情報を活用する誘惑が大きく、名簿等の流通もありました。
また、子どもは、様々な生体データ、特に、外観写真などの個人情報の悪用による被害が大きく、強い規制が求められます。
現行の法規制が無いばかりにセクストーションの被害に遭う、或いは既に遭った被害児童が国内にもどれ程居るのか、想像もつきません。
個人情報保護法で、子どもの脆弱性を前提とした保護のあり方を検討することに、賛成します。
その検討の成果は、他の法域の解釈でも参考になります。
既に、子供の写真を利用した、生成ＡＩ技術による性搾取写真の生成などが大々的に跋扈し、多くの実被害が出ているのが現状であり、早急な規制が必要です。
未成年の生成AIによる被害は拡大しており、海外では自殺者も出るなど、子どもたちの成長にも深刻な影響を与えかねない状況が、余談を許さない状態にまで進んでいます。子どもの個人情報保護の395

匿名

議論については、上記内容を念頭に入れた議論を期待しています。
子供を持つご家庭の親御様やその子供達が安心して生活できるようにその家族とお子様の個人情報は厳重に守られるべきだと考えております。
現状、国内で既に生成AIによって学習された子供の画像を悪用したディープフェイク児童ポルノ画像が国内サービスのSNSにて金銭での取引が行われている事が明らかになっており国外からも問題視されております。（BBCの記事にて確認）
生成AIを用いたポルノ作品の中に、実際の性被害児童の写真が用いられていた事件があります。このような事象がまかり通る社会はあってはならないと考えます。
データ利活用の技術はこれからも向上を続けると思われます。それは、データを悪用する手段も増えるということです。
今後、データの悪用を助長させないよう、子どもの保護に対してより厳重な姿勢をもって検討することを期待します。
こどもの個人情報はより保護され、無断でこれを利用したものはより厳しい刑罰を受けられるようになるべきだと思います。
個人情報は名前や電話番号だけではなく著作物や生体データ等も悪意を持って利用されています。ディープフェイクによる犯罪も世界規模で起こっており、テロやSNSを使った犯罪に悪用されています。早急で厳格な規制が必要で急務だと考えます。

117 ページ

生体データ・子供の個人情報について
要配慮個人情報にすべきだと思います。
現在出ている生成AIでは顔の写真を保持している場合、裸体の生成などが簡単に行えてしまう点で危険だと感じました。
それらの生成AIは利用できる人も多く、運営も悪意をもって生成の為に使用した画像を収集した場合、個人情報の特定ののリスクや生成された画像を元に脅迫や嫌がらせなどをされる可能性がありま
396(再掲)

匿名す。
運営者だけでなく、利用者内でも生成AIを使用できる小学生～大学生がいた場合裸体の生成を行い、それを元にイジメを行ったり事も想定できます。
また、生体データについてはスパム系アカウントによる無断使用等もされており、本人を装って知らず知らずのうちに犯罪に巻き込まれる事も想定できます。
上記意見でも話しましたサイバー攻撃による情報漏洩も相まって要配慮個人情報にすべきだと思いました。

118 ページ

第２ 個別検討事項

１ 個人の権利利益のより実質的な保護の在り方(4)個人の権利救済手段の在り方
No.

提出者

提出意見
国際動向に鑑みれば、早急に、課徴金・団体による差止請求制度や被害回復制度の枠組みが導入されるべきである。さもなければ、グローバルスタンダードとの乖離から、むしろビジネスの停滞を生じ

397

匿名

398

匿名

かねない。
一方で、高度のコンプライアンス体制構築が促されるよう、課徴金等導入と併せ、PIA実施・第三者認証（Global CBPR含む）取得等による課徴金等の義務的減免が認められるべきである。
適格消費者団体による差止請求制度や被害回復制度の枠組みは大いに賛成。
悪質性の高い事例に対する課徴金制度の導入により得られた金銭を、適格消費者団体への援助や被害回復制度の原資に充当することで、健全な社会の構築に役立てられるのではないか。
【意見】団体による差止請求制度の導入には賛成である。
【理由】

399

個人

ある個人情報取扱事業者による保有個人データの取扱いが、ある個人にとって法の規定に違反する場合や本人の権利又は正当な利益が害されるおそれがある場合、同じデータセットに含まれる別の個人にとっても同様に不当であることが当然に想定される。今や個人は自らのどのデータがどの事業者に保有されているか把握するのは実質的に不可能であることを踏まえると、事業者の不当な個人情報の取扱いに気づいた者だけが権利行使を通して不当な取扱いから逃れるという現行の枠組みでは本人を十分に保護することはできないと考えるべきである。個人情報の利用について弱い立場に置かれがちな消費者やユーザーの立場を代表する団体による差止請求制度はそうした状況を改善できると期待するから。
民間団体による差止請求制度を導入する方向性について検討すること自体には反対しないが、制度の担い手を適格消費者団体とすることは、既存の制度を安易に流用しようとしただけの乱暴な政策論といわざるを得ず、強く反対する。
そもそも、差止請求制度については消費者機構関西へのヒアリングを実施した以外にまともな検討がされておらず、したがって、中間整理で挙げられている課題も、同団体の説明資料をそのまま転載したかのような内容になっている。その内容も、個人情報保護法に関する研修等を実施していけば、専門性の課題が解決されるかのような楽観的なもので、現状分析としてあまりにお粗末である。

400

匿名

消費者庁における有識者会議でも、ドイツにおける消費者団体などとは異なり、日本の適格消費者団体は個人情報保護法についての専門性がないため、ワークしないであろうことが指摘されており（第10回消費者法の現状を検証し将来の在り方を考える有識者懇談会議事録11頁など）、制度の担い手として適当とは思われない。
さらにいえば、個人情報を保護されるのは、必ずしも消費者に限られないのだから、消費者契約法に基づき認定を受け、消費者庁の監督を受ける消費者団体を制度の担い手とすることは法体系から見ても、おかしいと考えられる。
差止請求制度を導入するにしても、個人情報保護法制や実務についての専門性を有した民間団体を認定する仕組みとすべきであり、このような制度を一から設計する気概もないのだとすれば、始めから
このような改正を議論すべきではない。
・事業者は、本人の権利利益の侵害に対する抗弁として、「本人同意」に偏りすぎている現状がある。本人が読んでいない（あまりに長いポリシーを掲載し「同意」しないと次に進めない仕様にしている。

利用規約と個人情報の取扱いについてをセットにして、「同意」しないとサービスを利用できないようにしている。

など）ことを知っていながら、「本人同意」をとっていることで法的要件を満たしていると考えているケースがあまりに多い。
また、自社の従業者からは、一人一人から「包括的同意」を取得しているケースもあまりに多い。36協定を締結する際に、このように従業者一人一人から同意を取得する方法は優越的地位の乱用に当たるため、同等の立場にあると言える従業者代表又は労働組合との合意を要求されていることから考えると、本来は否定されるようなやり方が横行している。
株式会社シーピー ・本来の「同意」の取り方は以下のような要件が揃っている必要があるのではないか。
401

デザインコンサル ・本人の自由な意思によるものであること。
ティング

・「管理者」が行う「処理」の範囲が特定されたものに対する「同意」であること。
・「処理の目的と内容」について十分な説明を受けた上での「同意」であること。
・「同意したこと」が明確であること。
・「同意」に対する行為があること。
・「同意」はいつでも撤回できること。
有効な「同意」について検討すべきである。

119 ページ

「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点から、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度を導入すること」 との意見につき、大いに賛成します。
402

適格消費者団体は、これまで、総体として、多数の事業者と交渉ないし訴訟を行った結果、違法な契約条項や勧誘行為の是正を実現しています。このため、この種事案で被害回復のためのノウハウ

個人を有しているのは適格消費者団体だけ、といっても過言ではなく、個人情報保護法へ消費者団体訴訟制度が導入されても、これを担うことは可能だし、妥当です。
ただし、係る権能を実効化するため、例えば、個人情報保護委員会が有する情報のうち、団体訴訟制度の活用に資する情報を適格消費者団体に提供可能であるという制度等を設けるべきと考えます。
意見・適格消費者団体が個人に代わって、個人データの利用停止または消去等の請求ができる規律を個人情報保護法に取り入れることに賛成します。

公益社団法人403

全

国消費生活相談員
協会

理由・個人データの利用停止または消去の請求は、プライバシーを含む個人の権利利益の保護の観点から大変に重要な権限行使であるにもかかわらず、現実には、消費者個人と事業者の専門知識や交渉力の差が大きく、加えて費用や期間の負担もあり、法定されている個人の権限行使が行われずに、いわば泣き寝入りしている例が少なくないと思われます。中間整理にあるように、内閣総理大臣が認定する適格消費者団体（当団体も適格消費者団体です）が、個人情報保護法に違反する行為について、個人に代わって差止請求を行う制度を取り入れれば、個人の権利救済に大きく資することは間違いがありません。ただ、その場合に、適格団体による団体訴訟が実質的に機能するためには、端緒情報の取得や個人情報保護委員会との連携等に加えてさらなる論点の検討が必要であると考えます。
（意見）
個人情報保護法違反行為について、適格消費者団体による差し止め制度、特定適格消費者団体による被害回復制度の対象とすることに賛成である。
実施に当たっては、委員会が取得している情報の提供など端緒情報等の共有、立証等における考慮が、これらの実効性を確保するために極めて重要なポイントであるので、それを可能とするような制度的対応をすることに賛成である。

404

個人

（理由）
個人情報保護法違反行為による被害は少額の場合が一般的であり、費用・労力等の負担から泣き寝入りとなりやすいので、適格消費者団体による差し止め制度の対象として民事規制（報告書において委員会の監視監督機能の補完と表現されている役割）の道をつくり、共同規制の体制をつくるべきである。同様の理由で、個人情報保護法違反の行為を特定適格消費者団体による被害回復制度の対象とすることが適切である。
適格消費者団体による差し止め制度、特定適格消費者団体による被害回復制度に対する慎重論、反対論については、これまで適格消費者団体が行ってきた差し止め行為の履歴と組織の現状、特定適格消費者団体が行ってきた被害回復行為の履歴と組織の現状に鑑みれば、過度の警戒であることがわかるはずである。

120 ページ

・個人の権利救済手段の在り方について
405

個人考え方の趣旨については理解するものの、差止請求等が可能となる要件次第では濫用的に請求がなされるおそれがあり、過度の萎縮効果が発生しかねないことから、適格消費者団体やこれに類似する制度の導入等を含めて慎重に検討することが必要。
【意見】

406

全国消費者団体連
絡会

個人の利益保護のためにも、適格消費者団体の差止請求の権利や、特定適格消費者団体の被害回復制度を活用すべきです。
【理由】
この間の個人情報漏えい事案では、多数の個人が対象となっているケースが多数です。そもそも個人では訴訟等を起こすことが難しい現状にある中で、消費者裁判特例法を活用して消費者団体が対応することは、必要最低限な方法であると考えます。正当に事業を行っている事業者には、この制度が導入されても問題はないと考えます。
○意見内容
安全管理措置の不備に対する課徴金の適用は控えて頂くとともに、課徴金制度や（前節記載の）団体による差止請求制度・被害回復制度については慎重な検討をお願いします。
○理由

407

電子情報技術産業 現行法の罰則に加えての課徴金制度や団体による差止請求制度・被害回復制度については、AI やクラウドといった新たな技術の登場等により法解釈に必ずしも明確ではない部分が存在する現状において、思いがけず厳しいペナルティを受ける可能性が生じることとなってイノベーションを阻害する等、真摯に個人情報保護に取り組む真面目な事業者の事業活動を委縮させる恐れがあるため、慎重な検協会討をお願いしたい。特に安全管理措置については、法第23 条において「必要かつ適切な措置を講じなければならない」とされているが、外的環境にも大きく影響を受けるため、個人情報の漏えい事故等が生じた際に「必要かつ適切」な措置であったかを適切に評価することは困難と思われ、そのうえ悪質か否かを適切に評価することはさらに困難であると考える。課徴金制度は、事業者に対して過度な安全管理措置を求めることにもなりかねない。よって、安全管理措置の軽重をもって課徴金の評価をすることは適切ではないと考える。
（御意見）
個人情報保護法への消費者団体訴訟制度の一日も早い導入を切に希望する。

408

個人

（理由）
個人情報保護法違反は、デジタル化された今日において、その質や量に鑑み、集団的消費者被害救済制度の最も必要な分野の典型例である。また、諸外国の例を踏まえても、この分野に消費者団体訴訟を導入することが妥当である。消費者が個人情報の十分に保護されていない著名なSNSの利用を控えるようになることからも明らかなように、個人情報が適切に保護されない世の中では、経済は、結局は停滞するであろう。したがって、短期的視野に基づく経済界のいわゆる萎縮論は妥当ではない。なお、これらは、迷惑メール規制についても同様に言えることである。

121 ページ

意見
個人情報の不正利用に関してはそちらの仰るとおり被害者側が訴訟に勝った場合でさえ極めて低い額で終わる。それどころか有効な証拠を押さえることさえできない場合が多く訴訟にまで至らないのが現状である
つまり企業が圧倒的に強く消費者がそれに比して極めて弱いという状況にある
このような状況に於いても関係団体ヒアリングで差止請求や被害回復の枠組みについては強い反対があったとあるがこれには呆れて物も言えない
あなた方監督省庁の役目は企業におもねる事ではなく社会を公正に導く事にあるのでありこのような意見には断固として立ち向かうべきである
理由
近年普及著しい顔認証システムをはじめとする個人識別システムの乱用はとてもひどい。システム運営側が気に食わなかったら勝手に犯罪者登録して全国に拡散されているのが現状である
409

個人

報道ソースとしてはテレビ東京さんの 追跡！令和の 3 大ニュース！「顔認証社会」到来の裏で・・・
https://lovely-lovely.net/business/japantaxi
現在このHPは削除されているが（数ヶ月前まではあった）これによれば盗難（推定）やクレーマーやいたずらや迷惑行為や要注意のような少なくとも法律上犯罪行為には当たらない名目でも登録されていた。
またhttps://cyzowoman.jp/2021/10/post_361183_1.html(サイゾーウーマン）では現役保安員がその杜撰な運用について告発している
このように企業側は無法と言っていいほど調子に乗っているのが分かるだろう
関係団体ヒアリングで差止請求や被害回復の枠組みに消極的どころか強く反対したというのは彼ら自身が自分たちのやっていることが分かっているということではないか？。疚しいことをしている自覚があるからこその強い反対意見だったように思える。
この期に及んでこのような意見を言われるあなた方個人情報保護委員会も侮られてると思うがどうか？
こんな事をしている連中に事業者の負担と個人の権利利益の保護とのバランスを踏まえつつなどと悠長な事を言っている場合ではない。現状はあまりにも事業者側に有利であり個人が圧倒的に不利な状況にある。これを早急に是正するのが監督省庁の本分である「団体による差止請求」を法定する場合の要件は、私法上の権利利益侵害のおそれに基づく利用停止等請求権の要件（法35条5項・6項）とは峻別する必要があり、混同されてはならない。
消費者契約法や景品表示法等に基づく差止めの団体訴訟については、「厳密には、伝統的な意味での個人の利益に基づく訴訟と捉えることは困難であり、立法上、違法行為の市民による監視（主に、行政による執行の欠缺の是正）のため、（個人の利益に基づかない）資格に基づく訴訟を設けたとみることが適当であると考えられる」との整理が提示されている（大塚直編『新注釈民法（16）債権（9）』（有斐閣、2022年）427頁〔大塚直〕）。
このような理解は、公法上の法令違反を根拠とする利用停止等請求（現行法35条1項ないし4項）に関する立案担当者の説明（「個人情報の取扱いについて個別具体的な利害を有する立場にある本人に関与させることを通じて、個人情報取扱事業者におけるこの法律上の義務違反が実効的に改善されるようにするため」）には親和的である（個人情報保護基本法制研究会編『Q&A個人情報保護法〔第3

410

個人

版〕』（有斐閣、2005年）97頁）。
これに対して、法35条5項・6項は、権利利益侵害の「おそれ」に基づく妨害予防請求の特則を定めている（権利利益侵害に基づく妨害排除は、民法等の解釈に委ねたものと解される。「『個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示案』に関する意見募集結果」（2021年8月2日）525番参照）。そして、プライバシー侵害の事例における人格権に基づく妨害排除および妨害予防請求については、最判令和4年6月24日民集76巻5号1170頁があらわれたところであり、新たな判例法理のもとで立法事実の存否を見極める必要がある。
個人情報保護法は、「個人情報の取扱いに関連する私法上の権利利益の内容や範囲を直接画定しこれを保護しようとするものではな」い（園部逸夫＝藤原靜雄編『個人情報保護法の解説《第三次改訂版》』（ぎょうせい、2022年）60頁）。事業者に対する差止請求権または利用停止等請求権のような私法規定の改正に際しては、民事法の判例・学説との整合性を十分に検討すべきである。

122 ページ（意見）私たちは、プライバシーに関する苦情を解決するのは個情委が最も適任であると認識しています。個情委が果たしてきたこれまでの実績は、個情委が法を効率的かつ効果的に運用する能力があることを示すものです。差止訴訟は、途方もない時間と費用のかかる裁判手続に救済を求めるよう個人を促すことを意味しますが、それは決して個人の利益にはなるものではありません。また、判例としての価値が限定的で、比較的低レベルの申立てに対して貴重な裁判所の資源を割くことにもなりかねません。したがって、団体訴訟制度を新設し、団体による差止請求制度、被害回復制度の新設に反対します。
それでも、政府がこのような権利の導入に踏み切るのであれば、個情委が適切な案件のみを裁判所に持ち込むための重要なゲートキーパーの役割を担うべきだと考えます。特に、個情委が以下の点を確
411

Asia Internet
Coalition Japan

認した場合にのみ、裁判所への提訴が選択肢となるべきだと考えます。
原告が和解に向けて真摯な努力をしたにもかかわらず、和解プロセスが問題の解決に結びつかなかった場合。つまり、原告は和解プロセスを真摯に向き合おうとしていることを実質的な要件とし、個情委の関与が司法手続に入るために必要な単なる確認的事務的作業にはしないようにする必要があります。原告が合理的な態度をとっていれば、もっと早い段階で解決できたはずの案件に関して、企業は多額の費用がかかる可能性のある訴訟に巻き込まれるべきではありません。原告の申立てが、プライバシーの侵害または法令違反に関するものであり、個情委が深刻な被害をもたらすと認めるようなものであるときもまた、企業はそのような件に関し長期的にコストの係る訴訟に巻き込まれるべきではありません。つまり、裁判所が日常的に審理する他の事案と比較して些細であるといえる事案に対して裁判所の資源を不必要に浪費すべきではないということです。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
（意見）

412

サステナビリティ 団体訴訟制度は重要な被害回復の方法であるが、その前に基本的な前提として、本人自ら被害回復する方法について十分検討する必要がある。
消費者会議

（理由）
現在、日本では「ビジネスと人権に関する国別行動計画」のもとに人権の保護・尊重・救済が図られていることから、本人の権利利益については、人権の視点を基本として検討すべきである。
（４）個人の権利救済手段の在り方

413

個人

・内閣総理大臣が認定した消費者団体が差し止め請求を行えると書いてある通りならば、もう少し権限を上げで不当行為の公表までいたっていいと思われるが、金銭やりとりによって、もみ消し等が行われる可能性もあるので、被害者に対して透明性のある状況確認がとれる体制が必要とされる。それに対し刑事罰、行政処分をもうける形も望ましい。
（意見）
課徴金制度の導入などおよび団体請求制度の導入等に賛成します。

414

個人

（理由）
国民・消費者の個人の権利利益のさらなる保護のため（個情法１条、３条）に賛成します。経済界は団体による差止請求にも反対しているようであるが、差止請求は違法な行為にしかなされないところ、経済界は違法行為がしたいのだろうかと疑問である。
抑止力強化・実効的な被害防止の観点から、適格消費者団体の差止請求制度が積極的に活用されるようにすべきである。適格消費者団体の差止請求制度は、他の法分野でも十分に活発に適用されてはおらず、何が障害になっているのかを検証した上で、より積極的な活用にむけた法改正等を行うべきである。

415

個人

被害回復制度について、少額大量被害事案になることから、「更に慎重な検討」が必要になるというのは、意味が分からない（論理的におかしい）。少額大量被害事案は、被害回復が困難であり、抑止効果が働きにくく、このために法の実効性も弱くなる傾向があることから、「少額大量被害事案となること・・・から、［適格消費者］団体による被害回復の枠組みを導入する必要性が、更に高い」というべきだったのではないか。
萎縮効果について、不法・不適切な行為を抑止する効果を「萎縮」効果とは、通常は、呼ばない。このような団体の意見は、考慮に値しない。違反行為をしなければよいだけのことである。

123 ページ

（意見）
適格消費者団体による差止請求制度の導入、特定適格消費者団体による被害回復制度の導入について、いずれも賛成する。これらの制度は、今回の法改正により、可及的速やかに導入すべきである。
（理由）
416

個人

法令違反に対する抑止力を硬化し、被害回復の実効性を高めるためには、必要不可欠の制度であると考えられるため。
個人情報取扱事業者が個人データについて法に違反する不当な行為を行っている場合には、中間整理にも書かれているとおり、本人は、費用・労力等の負担等により、自身の被害回復のための行動を採りにくく、「泣き寝入り」となりやすい点などについて、消費者被害と同様の問題構造があるため。
4の個人の権利救済手段
手段の方法が非常にわかりずらく

対応が遅くさらなる被害を招く可能性があるため何らかの改善が必要である
専門家の確保（自称で専門家と言っている場合
事業者に
417

匿名

対応を促す仕組み

消費者団体にも対し報告

非常な強力な権限を持つと監督窓口の一本化について

不審な情報

資金を含む団体への援助

418

弁護士有志

放置

慎重に選ぶべきである）

はあまり効果がないと思われる

一部事業者を攻撃が可能なため権限を一定的報告窓口専門の情報処理などが篩い分けられるかと思われます

もし制度を考えるべきである

そこから監督窓口に行く方が一本化するのであれば考慮して 制作したほうが良いと思われる

ボランティア 効果もなく正式な資金の援助

情報流出も少なく無視

効率が悪くなる可能性があるためいやがらせの為に通報した物処理能力が足りなくなる事を実行する場合経験がない場合があるため事業者によっては

逆に内部からの情報流出

権利を本部（監督窓口）よりも下にして犯罪の援助も少なくなると思われます

また

犯罪事業者の援助の温床の可能性が高くなる

情報収集をする

ボランティアについては情報整理する限度があるため団体として認定するのが反対します

個人の権利利益の侵害は、損害額等が少額であったり立証が困難であったりすることが多く、現状の司法救済手段では不十分である。したがって、団体による差止請求制度や被害回復制度は個人の権利
利益保護の手段として有効であり、積極的に検討されるべきである。
【考え方】
他方で、団体による差止請求や被害回復の枠組みについては、 関係団体からのヒアリングにおいて、その導入について強く反対との意見があったところであ

419

匿名

り、法に違反する行為や不法行為を対象とする場合であっても、萎縮効果の懸念が示されていることから、事業者の負担と個人の権利利益の保護とのバランスを踏まえつつ、その導入の必要性を含めて多角的な検討を行っていく必要がある。
に関して、意味がわかりません。
「法に違反する行為や不法行為に対する差止請求・被害回復を行われると萎縮する」と言うのならば初めから人様の個人情報になど触れてくれるなとしか言いようがありません。
【意見】

一般財団法人日本 個人の権利利益の保護と、データの利活用を促進する上で、事業者の情報の取扱い上の義務だけでなく、個人の権利利益が侵害された場合は、被害の拡大防止及び被害回復制度はあって然るべきであ420

情報経済社会推進 る。他方、適格消費者団体における専門性の確保を始め、運用上の課題も危惧されるため、実施可能な仕組みを丁寧に検討していただきたい。
協会（JIPDEC） また、制度化された場合、結果報告・公表までのステップが煩雑で長期化しないよう検討していただきたい。関係団体から導入への反対はあるものの、問題となる事象が起こったこれまでの事例では、
個人情報取扱事業者は、同様の対応や補償などを行い、公表を行っている。制度そのものの導入により事業者へ過度な負担がないよう検討していただきたい。

124 ページ

１ 総論「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点から、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度を導入すること」 に賛成します。
法令違反に起因する消費者被害に関し事業者と交渉ないし訴訟を行い、これを是正し、被害回復するノウハウを有しているのは適格消費者団体であり、個人情報保護法への消費者団体訴訟制度の導入に当たり、適格消費者団体を担い手とすることは妥当です。
ただし、導入にあたっては後記する条件が満たされることが、制度が機能するために必須であると考えます。
２ 差止請求差止請求は、不特定多数の事業者に対する事業者の違法行為を是正する効果を有していますが、適格消費者団体は権限を行使すればするほど、費用においても人的資源においても持ち出しとなります。多くの適格消費者団体は極めて限られた財政の下、ボランティアベースで活動を行っています。差止請求は「個人の権利利益保護の手段を多様化する委員会の監視・監督機能を補完し得る」 という公益的な側面を期待されている以上、担い手である団体に対し、その公益性に見合った支援を行うことが必須です。
支援の内容としては，中間取りまとめ記載 のとおり，1)専門性を確保するための措置，2)貴委員会が有する端緒情報の共有や事業者に対し，必要な情報の回答を求めることを可能とする仕組みの構
築，3)報告・監督窓口の１本化，4)資金を含む団体への援助が必要です。団体の活動支援の観点からは、とりわけ資金的援助が重要であり、単に団体に権限を付与するだけでは、貴委員会が期待するよ
うな機能を果たすことは困難です。
３ 被害回復請求（１）制度導入の必要性
情報漏洩による損害賠償事案は、集団的消費者被害回復制度の審理に適した事例です。過去の情報漏洩事件等においては、裁判上の請求・裁判外の請求を問わず、慰謝料額は一律あるいは定型的に判断されてきました。
ところが、現行法上精神的苦痛による損害賠償は、事業者の故意によるもの等に対象が限定されています（消費者裁判手続特例法３条２項６号）。情報漏洩によるものも含め、謝料請求について上記の限定を行う合理的根拠は存在しません。上記限定は撤廃し、情報漏洩事案一般に制度適用を拡大すべきです。
特定非営利活動法
421

人消費者支援機構
福岡

我が国の情報漏洩事案は、1)報告数に比べ裁判となった事例の数が極端に少ない，2)裁判で賠償が命じられた場合も裁判当事者以外には同一の基準で対処していないなど、不十分な被害回復にとどまっているのが現状です。
また，賠償の基準等が対外的に公表されていないことが多く，事業者の被害回復措置の妥当性等の検証が困難です。
被害回復促進のためには制度変更が必要です。
（２）弊害論について
事業者は萎縮効果を理由に上記事案への同制度適用に強く反対しています。しかし、法的責任が生ずるような違法行為を理由に被害者に賠償することは当然のことであり、そのリスクを理由に事業活動が制限されることが不当とはいえません。
また、事業者に不当な負担が生じないようにするのであれば、事業者団体等において、被害発生時に適切な賠償を行うよう自主的基準を策定するといった方法を取ることは可能でした。しかし，２０
１６年１０月の同法施行以降も、知る限り、事業者からは自主的な是正の動きはありませんでした。事業者に自主的対応を促し、また、自主的基準に従わないアウトサイダーに対応する観点からも制度変更が必要です。
（３）情報漏洩事案特有の問題への対応
被害回復制度が機能するためには、制度導入にあたり、情報漏洩事案が中間整理が指摘する「極端な少額大量事案」 であることを踏まえた措置が必須です。
裁判例等によれば、個人情報漏洩による慰謝料額は、弁護士費用を含め一人当たり数千円から数万円程度とされます。
同制度による簡易確定手続のためには、対象者との授権契約や債権届出手続き、手数料の納付等が必要です。また、ガイドライン 上、消費者から支払を受けられる費用及び報酬は上限が設けられており、賠償額によっては、特定適格消費者団体の持ち出しとなります。数千円程度の賠償額の場合、特定適格消費者団体には相当の赤字が発生し、手続き参加者数が多ければ、その負担金額は巨額となる
おそれがあります。
同問題を解決するためには、損害賠償に要する費用の公費補助や事業者負担、特定適格消費者団体の業務の一部を代行する支援法人への公的支援の充実等が必要です。また、一定の信頼に値する事業者について、費用負担に代えて、事業者が主体として分配を行う等の柔軟な制度運用を可能とすべきです。
（４）事業者等の有する情報へのアクセス
情報漏洩事案においては、事実立証ための情報の大半は事業者が保有しています。共通義務確認訴訟の主体となる特定適格消費者団体がこれら情報にアクセスできないと、事業者の責任を立証することは困難です。事業者が立証責任を盾にすることがない様に事業者に応答義務を課す等、特則を設ける必要があります。
また、漏洩事業者は貴委員会に報告義務を負う事項があります。漏洩事案の被害回復の担い手である特定適格消費者団体にこれら報告情報を提供できれば、迅速かつ事実に即した立証が可能となります。情報提供を可能とする法的な手当が必要です。
125 ページ個人情報流出に関連する権利救済と被害回復について、本文にもある通り少額大量案件となることが予想され、現状では権利侵害の抑止につながらない場合が多く想定される。適応範囲について厳密な
422

個人

議論を経て限定したうえで、一部刑事罰の導入の検討をするべきではないか。
一方で、関連事業者が権利救済と被害回復の適用範囲の拡大に際し、何を懸念しているのか本文では全く伝わらない。より具体的な事業者側の懸念事項を書き出すべきである。
【意見】
適格消費者団体の差止請求の制度、特定適格消費者団体の被害回復制度を導入すべきである。
【理由】
消費者が事業者に違法行為の是正を求めても事業者側が対応しない場合、消費者個人が訴訟を提起して利用停止等を求めることになるが、そのような手続きは時間的にも金銭的にも負担が大きいことから、結局のところ断念する可能性が高い。また、事業者が当該個人に個別対応を行うものの、個人情報収集方法や第三者提供先を改めない等の場合には違反行為は継続されてしまうという問題もある。
次に、被害回復の観点から個人情報漏洩事案の損害賠償請求を考えると、現行法上の賠償額は僅少であるため割にあわず、断念するのがむしろ通常である。

423

個人

以上からすると、法の実効性確保と被害救済の観点から、個人情報保護法違反事例に対する差止訴訟や個人情報漏洩事案の賠償請求に関する集団的被害回復訴訟を導入し、適格消費者団体及び特定適格消費者団体に訴権を認めることが必要である。
なお、これらの制度は現に運用されているのであるから、その実績と運用の実態をみれば、経済界の懸念する濫訴の恐れなどという主張は、実態から乖離した空論にすぎず、データの裏付けもなく根拠もない。
逆に、適格消費者団体や特定適格消費者団体の活動の現状を踏まえれば、制度がよく機能するような支援を検討する必要がある。これらの団体の訴訟活動が極めて限定的であることは、実際の活動がいかに困難なものであるかを示している。個人情報保護委員会との関係では、それらの団体に対する情報提供等の仕組みが工夫されるべきである。
企業団体が一般一個人の生体情報を専門的に扱う以上、当然そこには一般一個人が把握しきれない情報の送受信が生まれ、悪質な情報の扱い方から始まり偽装利用や悪用の可能性が生まれる。
一般一個人には専門的な情報はわかるはずもないため、必ずどこかで企業団体が優位的に振る舞い、一般一個人の要望を聞き取らず扱いを決定する瞬間が生まれる。一回通された決定は一般一個人の感知し得ないところで一般一個人の権利と生活を冒す可能性がある。
団体による差止請求制度や被害回復制度は、そういった可能性に対面した一般一個人の最後の逃げ場として、たとえ実現的でなく、枠組み内で発生する事務的処理乃し労力や金銭の消耗が関わる人間
各々の金銭利益より上回るとしても、確実に用意し運用せねばならないと考える。

424

個人

「３ データ利活用に向けた取組に対する支援等の在り方」にも踏み込む内容だが、私は、古今を通して、特に医療の技術発展においては患者の情報を扱う際に確実な説明と署名受付が行われ、患者の要望によって権利救済手段の確保乃し裁判を伴う対応が行われてきたと認識している。
一般一個人が企業団体に対して権利に関する訴えをしやすい環境の構築と合わせ、団体による差止請求制度や被害回復制度を確実に導入して頂きたい。
企業団体という一グループが営利目的のもとに一般一個人の情報を自由に扱う中で、国家主導で現行法律を変更推進し件一グループを支援するということは、国自体が市場に干渉して一部のグループ
を偏って栄えさせるということになる。
ぼんやりとした国営計画を運用して、一部のグループの要望のままに国民の機微をおろそかにするということになれば、それは資本主義から社会主義に至る流れを容認するということであり、いずれ国民に一片のプライバシーも与えない共産主義下の生活を強いるのではないか。大きな危機感を覚えている。引き続き綿密な検討をしたうえで運用決定をなされるよう願いたい。
悪質な事業者に対して、適格団体を通じた個人情報削除請求をできるように制度検討いただきたい。現行のオプトアウトでは個人の請求になるが、本人確認を求められた場合、免許証などの提示が必要

425

匿名

となる。全く信用ができない相手に対し、追加の個人情報を与えるだけになってしまう現行オプトアウト制度には不備があると考える。適格団体が本人確認及び事業者への削除請求を代行できるようになれば、個人の権利保護に繋がる。有料になってもかまわないので、検討いただきたい。その他、悪質事業者に対する懲罰的罰金には違法上等の悪質事業者に対する強力な抑止力となり得るため、賛成する。
大規模漏えいの場合ばかりが個人情報にかかる個人の権利利益の重大な危機ではないものと思われるが、一方で、解釈上現行法でも不適正な取得と考えられるところの権限なき第三者から個人情報を取得し又は取得した個人情報の利用が違法であると定め、個人情報保護委員会が勧告及び命令を速やかに発することができるようにするなどの措置を講じることは有益ではないかと思料する。これにより

426

合同会社

asura 漏えい等の委員会報告がさらに意味を増し、事業者にとっても消費者被害の抑制にも資することが期待できる。
消費者団体訴訟制度における差止請求を可能とする件に関しては、積極的に反対するものではないが、個人情報保護委員会の勧告・命令権のより積極的な行使または積極的に行使しうる条文上の手当て（例：一見して法違反が行われること又は行われていることが明らかな場合等に命令を発出できるようにする）を先んじて行うべきものではないかと考える。

126 ページ

（意見）団体による差止請求制度や被害回復制度に関しては、萎縮効果の懸念も含めて慎重に検討してもらいたい。導入する場合には、現状の要配慮個人情報が対象としているような、犯罪被害者の団
427

個人

体や患者会といった団体が関与できるよう設計してもらいたい。
（理由）関係ステークホルダーの意見収集が不十分と思われる現状においては時期尚早と考えるが、重要な視点であり、そうした団体を育てることもまた個人情報保護委員会の重要な役割であると考える。
また課徴金や団体訴訟制度は絶対に導入すべきですし、してください。
消費者全員がおそらく2つの制度は必要不可欠だ、と思っています。
個人情報の漏えいなどあってはいけないし、課徴金や団体訴訟制度を導入しないと企業や業界が個人情報の不適切な取得や管理をしたりそして漏えいの問題が今後も起きる可能性が高いと思います。

428

匿名

つまり法整備しないと業界団体の危機感が欠如したままの恐れがあります。
被害を受けた消費者の訴訟の負担も軽減されます。
ですので個人情報保護法委員会の課徴金制度や被害者に変わって消費者の団体などが代理で差し止め請求をする。などの制度は導入すべき必要性があります。
（意見）「適格消費者団体を念頭に置いた」とある点は、慎重に議論すべきと考えます。
なお、個人情報保護委員会からの情報共有については、個人情報取扱事業者等の情報の機密性などに鑑み、個人情報保護委員会の裁量の下に行われることには懸念があるところ、手続について相応のものとなるよう、併せて検討する必要があると考えられます。
（理由）
そもそも、「委員会の監視・監督機能を補完し得る」との有益性に係る指摘については、個人情報保護委員会の監視・監督機能に係る課題の有無及びその内容を整理することが肝要です。そのうえで、
まずは一義的に委員会の監視・監督機能を十全化する方策を検討すべきであり、その方策を十分に検討した上で、代替策を検討することが必要と考えます。
【No.9】及び【No.10】のとおり、制度化について疑義があるものの、仮に制度が必要であるとしても、適格消費者団体によることが適切か否か次の点から慎重に議論すべきと考えます。

429-1

三浦法律事務所

個人情報の本人とは、消費者のみならず雇用関係等を前提とする従業者、研究開発等における被験者、法人契約に伴って取り扱うこととなる公的な側面のある個人など、さまざまであるところ、個人の権利利益救済の手段を検討する際に、消費者団体を前提として議論することは選択肢を狭めかねず、本人の保護に資するものではないと考えます。仮にいずれかの団体に対して、個人情報保護委員会による法の運用について補完する手段として機能することを期待するのであれば、どのような機能を有するのか、我が国の法令上の位置づけ等や個人情報取扱事業者等の法令遵守に係る状況を踏まえたう
えで厳に検討することが必要と考えます。
そして、【考え方】で専門性の確保が課題とされていますが、個人情報の取扱いは多岐にわたるところ、問題解決についての認定個人情報保護団体等の方がより知見や問題解決の経験があると考えられます。特に、消費者問題のコンテキストにおいて問題となる個人情報の取扱いと、デジタル社会において議論され、また、問題となる個人情報の取扱いとは、異なる場合の方が多いのではないかと考えます（例：新たな技術やサービスの提供に際しての具体的な個人の権利利益の侵害の検知）。
なお、個人情報保護委員会からの情報共有については、個人情報取扱事業者等の情報の機密性などに鑑み、個人情報保護委員会の裁量の下に行われることには懸念があります。手続についても相応のものとなるよう、併せて検討する必要があると考えられます。

127 ページ

（意見）団体による差止請求については、慎重な検討が必要であると考えます。
（理由）
はじめに、【我が国の現状等】からは、認定個人情報保護団体の苦情処理や、個別の個人情報取扱事業者等による請求に至らない段階における対応について、これらの実効性の有無、程度が検討されておらず、新たな制度を導入する必要性についての検討が不十分であると考えます。また、仮に課題があったとして、問題点をフォローし、現行法の実効性を確保することとして、認定個人情報保護団体
制度や、開示等請求について周知徹底すること等の対応を先に行うべきであると考えます。
次に、差止請求については、裁判規範性を持つ形で差止の対象を特定すべきところ、個人情報の取扱い、事業実施等、何をどこまで対象とするのか（例：個人情報の取扱いが前提となるサービス等において、その実施が困難となるような差止も可能か。）、差止請求権を認めることが妥当な範囲を精査するには相当の時間を要するものと考えられます。また、消費者団体訴訟制度においては、個別の消費者ではなく群で対応すべきという観点があるところ、個人情報保護法は、個人の権利利益（本人ごと）の保護に着目した制度設計を行っており、そもそも、いずれかの主体に差止請求を認めることになじまないのではないかとの疑問があります。特に、個人情報の利用の差止めを求める場合には、個人情報の利用を差止めた結果、一部の消費者において事業者のサービスを受けられなくなるおそれがあり、そのようなことが個別のケースで懸念される中で、消費者から授権されておらず、個別の消費者の不利益について利益調整も図ること（適格消費者団体による差止めという請求が不適当である場
合には、個々の消費者から当該適格消費者団体に対する請求を担保する仕組みなど）がされないまま適格消費者団体に差止請求権を付与することについては慎重にあるべきと考えます。
429-2

三浦法律事務所 （意見）
消費者裁判手続特例法の改正と、その施行状況を見る段階にあり、要件を緩和するなどの状況にはないと考えます。
また、そもそも個人情報保護法違反が被害回復制度になじむものであるか等、慎重な検討が必要であると考えます。
（理由）
多数性・共通性を前提としてリソースを減らすという大義名分がある制度と、多数のユーザーを要する規模のケースに親和性がありますが、消費者裁判手続特例法は、2023年10月に改正法が施行されたばかりであり、このとき慰謝料請求に関しても対象が拡大されているところ、個人情報保護に関する慰謝料請求は現行制度下でも対応可能です。仮に、別途の枠組みを設ける場合に弁護士法との整理をどのように行うのか不明瞭であり、直ちに適切な整理をなし得るものではないと考えます。
次に、消費者裁判手続特例法が請求可能な損害の範囲を制限している趣旨に照らし、インシデントや規定の改定不備などについては対象に含まれるか疑問があり、拡大する必要性が現状あるのか慎重に検討すべきであると考えます。
また、現状においても、一定の事案では個別に訴えが提起され、解決がなされており、加えて、企業側においても問題が発生した際には真摯な対応を行ってきたところです。このような自浄作用が働いている中で、弁護士が対応することによって専門家が必要な取捨選択、合理的な解決を導くことが妥当する状況にあると考えます。特定適格消費者団体が権限を有し、これを行使しなければならない状況にはないのではないかとの疑問があります。
（意見）

430

主婦連合会

適格消費者団体を念頭に、団体による差止請求制度や被害回復制度の枠組みの導入を求める。
（理由）
法の規定に違反する個人情報の取扱いに対する抑止力を強化し、また、本人に生じた被害の回復の実効性を高めるため。
•適格消費者団体を念頭に置いた団体による差止請求や被害回復請求の制度の導入には強く反対する。
•なぜ差止請求や被害回復請求の制度の導入が必要なのか、立法事実が示されていない。

431

一般社団法人 新経済連盟•差止請求については、不当勧誘・不当表示・不当条項といった外形的に判断できる可能性がある分野と比較して、個人情報の分野については、「法に違反する不当な行為」の外形的な判断が困難であり、事実関係の詳細な調査や専門性も求められるところ、適確消費者団体による差止請求制度を導入した場合、実際は当該事業者とは関係のない事象であっても疑いをかけられて差止請求を想定した申し入れ等が発生するなど、事業活動に大きな影響を及ぼす懸念がある。
•被害回復請求制度については、既に、財産的被害と併せた請求や事業者に故意がある場合については、消費者裁判手続特例法において慰謝料請求が可能となっているところであり、先般の消費者裁判手続特例法の改正における議論過程を踏まえ、まずはその施行状況を見守るべきである。

128 ページ

（意見）「個人情報に対する不正の防止と適切なの取扱いのため、適格消費者団体を認定する制度を設け、個人を代位して差止請求を行うことは有効な選択肢となり得る。」という考え方に強く賛同します。
432

匿名

（理由）
個人と事業者ではその交渉力に著しい格差があり、事業者の所在地が外国である場合など個々人の対応にまかせるには負担が重いことは当然予見される。このため、団体による差止請求や被害回復の枠組みなく個人の権利利益の十分な保護を達成することは困難を極めると考えます。

11P＞(4)個人の権利救済手段の在り方
・意見→
433

個人

救済と言いながら実態は後手対応の弱者切り捨て、事業者優遇の措置である。

＞内閣総理大臣が認定した消費者団体が、消費者に代わって事業者に対して訴訟等をすることができる制度
・意見→

訴訟にどれだけの時間がかかるのか、そもそも訴訟されなけらば泣き寝入りするのは変わらない。事業者に忖度した制度設計である。

＞差止請求制度については、法に違反する不当な行為を対象行為とすることを検討すべきである。
・意見→

個人の権利利益を軽視している考えである。消費者が個人情報の利用停止、提供停止を求めたらそれが絶対である。

（意見）
適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度の枠組みを検討することに賛成する。
公益社団法人日本
消費生活アドバイ434

ザー・コンサルタ
ント・相談員協会（NACS）

加えて、第268回個人情報保護委員会（令和6年1月23日開催）において実施された関係団体へのヒアリングの中で、消費者支援機構関西より表明された意見に賛同する。
（理由）a) 個人情報保護の実効性向上
適格消費者団体による差止請求を可能にすることで、個人情報保護法違反に対する抑止力が高まる。個々の個人が法的手段を講じることが困難な状況下においても、専門的知見を有する団体が代わって行動することが可能となり、事業者の法令遵守意識が向上し、個人全体の利益保護に寄与することが期待される。
b) 集団的被害への効果的対応と個人の権利行使の促進
個人情報漏えい事案は、多数の個人に影響を与える典型的な集団的被害である。特定適格消費者団体による被害回復制度は、個々の個人の訴訟負担を軽減しつつ効率的な被害回復を可能にする。また、団体を介した制度整備により、個人の権利行使支援と適切な被害回復機会の提供が実現する。さらに、少額多数被害への対応力が向上し、個人の司法アクセス改善に寄与する。

435

Apple

また、「(4)個人の権利救済手段の在り方」に関して付言しますと、Appleは、個人の権利を確保する最善の方法は、十分なリソースのある独立した強力なプライバシー規制当局が効果的な救済手段を実施する権限を与えられることであると考えます。海外のベストプラクティスを参考にされることを提案します。
【意見】・個人情報の漏えい、不適切利用等を団体訴訟制度における被害回復や差止請求の対象とすることには、反対する。

436

日本損害保険協会【理由】
・デジタル化の進展に伴って増加する情報漏えいについては、社会全体でどのようにリスクを分担するか、また被害をどのように評価するか等について、必ずしも定まっていない状況であり、あわせて個人情報漏えい事案における慰謝料が一律に本制度の対象となると、個別消費者に仮に慰謝料が認められるとしてもその額は現状において一般的に極めて低額であるにもかかわらず、事前予防や事後の措置にかけるべき事業者の有限の資源が賠償のために圧迫されることになりかねないため。
意見
差止請求制度、被害回復制度の導入に強く反対。

437

一般社団法人日本 理由
経済団体連合会 そもそも経済界が導入に反対しているのは、これまでの個情委による執行等の根拠・基準等が極めて不透明で、強い不信感を惹起していることに起因。
国家アクターによる高度なサイバー攻撃の脅威が増大している中、然るべき対策を講じていても漏えいを防げないケースも。
適格消費者団体の性質等によって、企業への影響度合いが計り知れない中、適格消費者団体による上記制度を導入することは事業者に対する委縮効果を惹起。

129 ページ

個人の権利救済手段として、団体訴訟制度の導入を積極的に検討すべきである。欧州では2020年に「消費者の集団的利益の保護のための代表訴訟に関する指令」が成立し既に施行されており、GDPRも対象となっている。また、米国で現在審議されているAPRA（アメリカプライバシー権利法）でも、広範囲で個人の民事訴訟を認める方向性が示されている。
個人情報の取扱いに関して生じた権利利益の侵害に対する損害賠償請求は、典型的な少額大量被害事案であり、訴訟等の費用負担の方が、得られる賠償額よりも大きくなる可能性が高い（漏えい事案だ
けではないことに注意が必要である。例：●●事件など）。そうすると、一般の消費者である個人は弁護士費用が払えないため権利救済が受けられないことになりかねない。消費者裁判手続特例法の令和4年改正によって、同法の団体訴訟に慰謝料を含むこととなったが、(a)事実関係を共通にする財産的請求と併せて請求されるもの、または、(b)事業者の故意によって生じたもののいずれか、という制
438

一般社団法人限がついており、権利利益の侵害（プライバシー侵害）による損害の回復として十分な制度ではない。個人情報保護委員会による勧告、命令が先行するケースが多いと予想されるところ、当該案件につ

MyDataJapan

いて個人情報保護委員会が有している情報に、特定適格消費者団体のアクセスが確保されることが有用である。

公共政策委員会 損害賠償請求と「萎縮」については、当然のことながら、団体訴訟は結果責任を問うものではないことに留意すべきである。例えば、漏えいが生じたことの一事をもって責任を問われるわけではなく、安全管理措置に関して過失がある場合に責任を問われることになる。事業者は、過失なく適切に安全管理措置を実施することを求められており、そのように行動しなければならないことは「萎縮」とはいえない。
差止請求と「萎縮」について、差止を受けるのは違法行為であるから、事業者に違法行為を行う自由が認められていない以上、「萎縮」が問題となる余地はない。また、請求が認められても事業者には経済的負担は生じない。事業を起こす際に適法性の検討に要したコストを指して経済的負担が生じると懸念されるのかもしれないが、事業者は違法ではない事業を企画することが求められる。「法に違反する行為や不法行為を対象とする場合であっても、萎縮効果の懸念が示されている」とあるが、法に違反する行為や不法行為は、差し止められてしかるべきである。
個人情報保護法違反事案に関する救済方法の拡充の見地から、個人情報保護に関する団体訴訟制度を創設又は拡充すべきです。
個人情報保護法違反の事例に関し、個人情報の本人が事業者に是正を求めることができる手段は、保有個人データの利用停止等又は第三者提供の停止（法３５条）、個人情報保護委員会に対する苦情の申立てによるあっせん（法１３２条２号など限定されており、かつそのような手段を取ったとしても、当該個人への個別の対応がなされるにとどまります。また、個人情報漏洩事案における現行法上の賠償額は僅少であり、訴訟の提起に至らず泣き寝入りになるケースも見受けられます。
439

個人

こうした実情に鑑みれば、個人情報保護法違反事例に対する差止訴訟、個人情報漏洩事案の賠償請求に関する集団的被害回復訴訟を導入し、その主体として適格消費者団体及び特定適格消費者団体（以下「各消費者団体」という。）に訴権を認めるべきです。
また、導入に当たっては、食品表示法11条のように、個人情報保護法において、適格消費者団体に対し、差止請求の権限を直接付与する形とするべきです。
なお、当該制度を持続可能なものとすべく、継続的な経済的な補助だけでなく、学習会の開催、資料や書籍などの支援、個人情報保護委員会との連携により、容易に同法違反が判断できるための情報交換ができるようになる仕組みなどの制度導入も検討し、実効性ある制度設計が行われるべきです。
加えて、特定適格消費者団体の監督官庁である消費者庁と個人情報保護法への二重の報告義務が課されないような手当等も考慮されるべきです。

130 ページ

（意見）１ 総論
特定非営利活動法
人消費者機構日本
特定非営利活動法
人消費者支援機構
関西
特定非営利活動法
人埼玉消費者被害をなくす会
特定非営利活動法
人消費者支援ネッ
ト北海道
特定非営利活動法
人消費者被害防止
ネットワーク東海
NPO法人消費者支援ネットくまもと
440-1

特定非営利活動法
人消費者ネットおかやま
特定非営利活動法
人佐賀消費者
フォーラム
特定非営利活動法
人消費者市民ネッ
トとうほく
特定非営利活動法
人消費者支援群馬
ひまわりの会
特定非営利活動法
人えひめ消費者
ネット
特定非営利活動法
人消費生活ネットワーク新潟「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点から、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度を導入すること」¹に賛成します。
法令違反に起因する消費者被害に関し事業者と交渉ないし訴訟を行い，これを是正し，被害回復するノウハウを有しているのは適格消費者団体であり，個人情報保護法への消費者団体訴訟制度の導入に当たり，適格消費者団体を担い手とすることは妥当です。
ただし，導入にあたっては後述する条件が満たされることが，制度が機能するために必須であると考えます。
２ 差止請求差止請求は，不特定多数の事業者に対する事業者の違法行為を是正する効果を有していますが，適格消費者団体は権限を行使すればするほど，費用においても人的資源においても持ち出しとなります。
多くの適格消費者団体は極めて限られた財政の下，ボランティアベースで活動を行っています。差止請求は「個人の権利利益保護の手段を多様化する、委員会の監視・監督機能を補完し得る」²という公益的な側面を期待されている以上，担い手である団体に対し，その公益性に見合った支援を行うことが必須です。
支援の内容としては，中間取りまとめ記載³のとおり，①専門性を確保するための措置，②貴委員会が有する端緒情報の共有や事業者に対し，必要な情報の回答を求めることを可能とする仕組みの構築，③報告・監督窓口の１本化，④資金を含む団体への援助が必要です。団体の活動支援の観点からは，とりわけ資金的援助が重要であり，単に団体に権限を付与するだけでは，貴委員会が期待するような機能を果たすことは困難です。
３ 被害回復請求⑴ 制度導入の必要性
情報漏洩による損害賠償事案は，集団的消費者被害回復制度の審理に適した事例です。過去の情報漏洩事件等においては，裁判上の請求・裁判外の請求を問わず，慰謝料額は一律あるいは定型的に判断されてきました。
ところが，現行法上精神的苦痛による損害賠償は，事業者の故意によるもの等に対象が限定されています（消費者裁判手続特例法３条２項６号）。情報漏洩によるものも含め，慰謝料請求について上記の限定を行う合理的根拠は存在しません。上記限定は撤廃し，情報漏洩事案一般に制度適用を拡大すべきです。
我が国の情報漏洩事案は，①報告数に比べ裁判となった事例の数が極端に少ない，②裁判で賠償が命じられた場合も裁判当事者以外には同一の基準で対処していないなど，不十分な被害回復にとどまっているのが現状です。
また，賠償の基準等が対外的に公表されていないことが多く，事業者の被害回復措置の妥当性等の検証が困難です。
被害回復促進のためには制度変更が必要です。
⑵ 弊害論について
事業者は萎縮効果を理由に上記事案への同制度適用に強く反対しています。しかし，法的責任が生ずるような違法行為を理由に被害者に賠償することは当然のことであり，そのリスクを理由に事業活動が制限されることが不当とはいえません。
また，事業者に不当な負担が生じないようにするのであれば，事業者団体等において，被害発生時に適切な賠償を行うよう自主的基準を策定するといった方法を取ることは可能でした。しかし，２０１
６年１０月の同法施行以降も，知る限り，事業者からは自主的な是正の動きはありませんでした。事業者に自主的対応を促し，また自主的基準に従わないアウトサイダーに対応する観点からも制度変更が必要です。
⑶ 情報漏洩事案特有の問題への対応
被害回復制度が機能するためには，制度導入にあたり，情報漏洩事案が中間整理が指摘する「極端な少額大量事案」⁴であることを踏まえた措置が必須です。
裁判例等によれば，個人情報漏洩による慰謝料額は，弁護士費用を含め一人当たり数千円から数万円程度とされます。
同制度による簡易確定手続のためには，対象者との授権契約や債権届出手続き，手数料の納付等が必要です。また，ガイドライン⁵上，消費者から支払を受けられる費用及び報酬の上限は上限が設けられており，賠償額によっては，特定適格消費者団体の持ち出しとなります。数千円程度の賠償額の場合，特定適格消費者団体には相当の赤字が発生し，手続き参加者数が多ければ，その負担金額は巨額となるおそれがあります。
同問題を解決するためには，損害賠償に要する費用の公費補助や事業者負担，特定適格消費者団体の業務の一部を代行する支援法人への公的支援の充実等が必要です。また一定の信頼に値する事業者について，費用負担に代えて事業者が主体として分配を行う等の，柔軟な制度運用を可能とすべきです。

131 ページ

⑷ 事業者等の有する情報へのアクセス
情報漏洩事案においては，事実立証ための情報の大半は事業者が保有しています。共通義務確認訴訟の主体となる特定適格消費者団体がこれら情報にアクセスできないと，事業者の責任を立証することは困難です。事業者が立証責任を盾にすることがない様に事業者に応答義務を課す等，特則を設ける必要があります。
NPO法人消費者 また，漏洩事業者は貴委員会に報告義務を負う事項があります。漏洩事案の被害回復の担い手である特定適格消費者団体にこれら報告情報を提供できれば，迅速かつ事実に即した立証が可能となりま
市民ネットおきな す。情報提供を可能とする法的な手当が必要です。
440-2

わ

特定非営利活動法 ¹ 「中間取りまとめ」１２頁
人消費者被害防止 ² 同１２頁
ネットながさき ³ 同１２頁
⁴ 同１２頁

⁵ 特定適格消費者団体の認定、監督等に関するガイドライン

441

一般社団法人日本
IT団体連盟（御意見）
現状で示されているアンケート調査の設計、回答社数に照らして、統計的に有意なデータと言えるのかどうかを示されたい。
また救済方法としての集団訴訟制度の導入についても、十分な検討がなされているとは理解できず、現状の課題に関する立法事実を丁寧に説明いただきたい。
意見内容：「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制
度の枠組みは有効な選択肢となり得る。」とあるが、損害賠償請求などの民事上の被害回復制度を行政法規の中で取り込むことには違和感がある。
民事制度は民事制度として考慮し、行政法規に取り込むことは再検討いただきたい。
意見内容：

442

一般社団法人国銀行協会

全「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度の枠組みは有効な選択肢となり得る。」とあるが、適格消費者団体を行政法規の中の報告・監督などの業務に関与させることは、法規制の在り方を抜本的に変更することになる。当該適格消費者団
体の性質等によって、事業者への影響度合いは計り知れず、差止や回復制度を検討するのであれば、行政である貴委員会において執行するべきと考える。また、仮に貴委員会から当該適格消費者団体に一部を委任するのであれば、行政不服審査制度や行政訴訟等の対象となることを明確にし、民事制度としてではなく、行政制度としての位置づけであることや、最終的な責任が貴委員会にあることを明確化していただきたい。
もしも、そのような手続を設けるのであれば、同じく三条委員会である公正取引委員会のように、差止を行う場合の手続を明確化し、不服がある場合の行政不服審査法の適用など、適切な行政手続制度の設計を検討いただきたい。
被害回復制度についても、行政処分の中で認定したもののみを対象とするなど、一定の要件を設けていただきたい。

132 ページ

1意見の趣旨「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制
度の枠組みは有効な選択肢となり得る。」(「中間整理」 12頁)との考え方に賛成し、その制度の導入を求めます。
法令違反に起因する消費者被害に関し事業者と交渉ないし訴訟を行い、これを是正し、被害回復するノウハウを有しているのは適格消費者団体であり、個人情報保護法への消費者団体訴訟制度の導入に当たり、適格消費者団体を担い手とすることは妥当です。なお、導入にあたっては後記する条件を併せて満たすことを求めます。
2差止請求⑴制度導入の必要性
適格消費者団体による差止請求は、同種の被害が拡散的に多発するという特性がある消費者被害に関して、自身の被害回復のための行動を採りにくく、「泣き寝入り」となりやすい個々の消費者に代443-1

わって、不特定多数の消費者に対する事業者の違法行為を是正する効果をもたらしてきた。このような制度は、法の規定に違反する個人情報の取扱いに対する抑止力としても有効に機能することが期待
特定非営利活動法 でき、その導入が強く求められる。
人京都消費者契約 (2)効果的な制度運用のために満たされるべき条件
ネットワーク

不特定多数の事業者に対する事業者の違法行為を是正する効果を有していますが、適格消費者団体は権限を行使すればするほど、費用においても人的資源においても持ち出しとなります。
多くの適格消費者団体は極めて限られた財政の下、ボランティアベースで活動を行っています。差止請求は「個人の権利利益保護の手段を多様化する、委員会の監視•監督機能を補完し得る」(「中間整理」12頁)という公益的な側面を期待されている以上、担い手である団体に対し、その公益性に見合った支援を行うことが必須です。 支援の内容としては、中間整理記載(「中間整理」12頁)のとおり、①専門性を確保するための措置、②貴委員会が有する端緒情報の共有や事業者に対し、必要な情報の回答を求めることを可能とする仕組みの構築、③報告•監督窓口の1本化、④資金を含む団体への援助が必要です。団体の活動支援の観点からは、とりわけ資金的援助が重要であり、単に団体に権限を付与するだけでは、賣委員会が期待するような機能を果たすことは困難となります。
3被害回復請求⑴制度導入の必要性
情報漏洩による損害賠償事案は、集団的消費者被害回復制度の審理に適した事例です。過去の情報漏洩事件等においては、裁判上の請求•裁判外の請求を問わず、慰謝料額は一律あるいは定型的に判断されてきました。

133 ページところが、現行法上精神的苦痛による損害賠償は、事業者の故意によるもの等に対象が限定されています(消費者裁判手続特例法3条2項6号)。情報漏洩によるものも含め、慰謝料請求について上記の限定を行う合理的根拠は存在しません。上記限定は撤廃し、情報漏洩事案一般に制度適用を拡大すべきです。
我が国の情報漏洩事案は、①報告数に比べ裁判となった事例の数が極端に少ない、 ②裁判で賠償が命じられた場合も裁判当事者以外には同一の基準で対処していないなど、不十分な被害回復にとどまっているのが現状です。
また、賠償の基準等が対外的に公表されていないことが多く、事業者の被害回復措置の妥当性等の検証が困難です。
被害回復促進のためには制度変更が必要です。
(2)弊害論について
事業者は萎縮効果を理由に上記事案への同制度適用に強く反対しています。しかし、法的責任が生ずるような違法行為を理由に被害者に賠償することは当然のことであり、 そのリスクを理由に事業活動が制限されることが不当とはいえません。
また、事業者に不当な負担が生じないようにするのであれば、事業者団体等において、被害発生時に適切な賠償を行うよう自主的基準を策定するといった方法を取ることは可能でした。しかし、2016年10月の同法施行以降も、知る限り、事業者からは自主的な是正の動きはありませんでした。事業者に自主的対応を促し、また自主的基準に従わないアウトサイダーに対応する観点からも制度変更が必要
443-2

特定非営利活動法 です。
人京都消費者契約 (3)情報漏洩事案特有の問題への対応
ネットワーク

被害回復制度が機能するためには、制度導入にあたり、情報漏洩事案が中間整理が指摘する「極端な少額大量事案」(「中間整理」12頁)であることを踏まえた措置が必須です。
裁判例等によれば、個人情報漏洩による慰謝料額は、弁護士費用を含め一人当たり数千円から数万円程度とされます。
同制度による簡易確定手続のためには、対象者との授権契約や債権届出手続き、手数料の納付等が必要です。また、「特定適格消費者団体の認定、監督等に関するガイドライン」において、消費者から支払を受けられる費用及び報酬は上限が設けられており、賠償額によっては、特定適格消費者団体の持ち出しとなります。数千円程度の賠償額の場合、特定適格消費者団体には相当の赤字が発生し、手続き参加者数が多ければ、 その負担金額は巨額となるおそれがあります。
同問題を解決するためには、損害賠償に要する費用の公費補助や事業者負担、特定適格消費者団体の業務の一部を代行する支援法人への公的支援の充実等が必要です。 また一定の信頼に値する事業者について、費用負担に代えて事業者が主体として分配を行う等の、柔軟な制度運用を可能とすべきです。
(4)事業者等の有する情報へのアクセス
情報漏洩事案においては、事実立証ための情報の大半は事業者が保有しています。共通義務確認訴訟の主体となる特定適格消費者団体がこれら情報にアクセスできないと、事業者の責任を立証することは困難です。事業者が立証責任を盾にすることがない様に事業者に応答義務を課す等、特則を設ける必要があります。
また、漏洩事業者は貴委員会に報告義務を負う事項があります。漏洩事案の被害回復の担い手である特定適格消費者団体にこれら報告情報を提供できれば、迅速かつ事実に即した立証が可能となります。情報提供を可能とする法的な手当が必要です。
個人情報の分野は、消費者と事業者•開発者•研究者の情報•交渉力の格差が、ことさら著しい分野である。一人一人の消費者が、自身の被害の回復のための行動をとることは、非常に困難であり、結局泣

444

個人

き寝入りに終わらざるを得ない。こうした落差に対応し、他の分野では、すでに、適格消費者団体による差し止め請求並びに被害回復の制度が導入されている。個人情報保護の分野も、他の分野と齟鋸なく、この制度の導入を図ることは、個人情報の保護の実効性を担保するうえで、不可欠である。議論を先延ばしせず、今回の見直しで、真っ先に取り組むべき課題である。

134 ページ

第２ 個別検討事項

２ 実効性のある監視・監督の在り方(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方
No.

ア 課徴金制度

提出者

提出意見
オプトアウト届出制度が違法行為の幇助に多く利用されている実態を考慮すると、現在のような個人情報保護委員会による指導等だけでは不十分だと考える。７頁目に記載の実態調査にあるような杜

445

匿名

撰な管理を行っている企業に関しては課徴金導入による制裁を行う必要があるのではないか。
なお、課徴金導入にあたっては、ガイドラインにおいて処罰対象となる悪質性の高い案件を限定列挙することで、善良な企業にとっては予見可能性が高まるため、健全な企業活動の萎縮には繋がり得ないと考えている。
近時の●●・●●のランサムウェアに対する対策及び事後の対応をみても明らかなように、日本の企業のセキュリティに対する意識の弱さは国際的に見ても異常なレベルにある。EUレベルの課徴金

446

個人

制度を導入して、安全管理体制の構築に取り組まなければ課徴金が課せられるという意識付けが必須である。関係各団体に迎合して断念するのではなく、是非導入されたい。特に、ランサムウェアの提供者に身代金を支払った場合は、特に重い課徴金を課すなど、サイバーテロリストを助する行為について厳格な態度が望ましい。
他方、課徴金を恐れるがあまりに、情報漏えいに関する報告を隠蔽する等の可能性があるため、リニーエンシー等の免責規定もあわせて検討されたい。
課徴金制度は、法令違反行為に対する実効性の高い抑止力として機能し得るものである。特に、個人データの不適切な第三者提供、または個人データの漏えい等の蓋然性を認識しながら適切な措置

447

個人

を講じない場合等、悪質性の高い違反行為に対しては、現行の行政指導、勧告、命令等の措置のみでは十分な抑止効果を期待し得ない。
かかる状況に鑑み、個人情報保護法制における課徴金制度の導入の必要性は極めて高いものと認識する。よって、国際的な法制度の動向を踏まえつつ、我が国においても早急に課徴金制度を導入することを強く要望する。
意見
・悪質な違反行為に対する法の実効性を確保するために、個人情報保護法に課徴金制度を設けることに賛成します。
・法違反行為によって個人の権利利益の侵害が差し迫っている場合、直ちに中止命令を出せるように規定することにも賛成です。
理由448

公益社団法人・中間整理に挙げられているように、学生の内定辞退率を提供した事案、破産者マップ事案、いわゆる名簿の転売屋に関する事案、委託業者の従業者が顧客の個人データを長期かつ頻回に外部漏え
全国消費生活相 いしていた事案等々、不法収益の発生を含め、著しく悪質性の高い事案が続出し、現行法の指導・勧告・命令の監視・監督手段では、悪質事案発生の抑止力にはならないことが示されています。諸外談員協会
国においては、高額の制裁金が課せられるのは珍しくありません。日本においても、悪質事案発生を防ぐための抑止力として金銭的制裁である課徴金制度の導入が必須であると考えます。
・勧告・命令についても、破産者マップ事案が典型例を示しているように、個人の権利利益の侵害が切迫している際には、直ちに法的拘束力が発生する命令を行えるようにしなければ、個人の権利利益の保護が空文になるおそれがあります。また、委託業者、クラウドサービス業者等の第三者が関与している場合には、当然ながらその第三者にも勧告・命令ができるようにするべきと考えます。
（意見）
個人情報保護法に違反に対する課徴金制度を創設することに賛成する。

449

個人

（理由）
勧告・命令に対する違反に対し刑事罰しかないと、手続の重さから制裁が不十分となることはこれまでの経験から明らかであり、課徴金制度を設けることによって違反に対してその内容・程度に合った制裁が可能となる。日本国内の他の分野（独禁法、金商法等）で活用されている制度であること、国際的にも個人情報保護法においてその違反に対する課徴金制度は標準装備となっていること、個人情報を含むデータは国境を容易に超えることから、日本においても、個人情報保護法違反に対して同レベルの執行ができるようにするべきである。
個人情報に関して、日本は鈍感すぎると思います。

450

匿名

海外の企業に日本人の個人情報を管理をさせるなどは絶対にやめて欲しいです。
制度として実施するならば、課徴金の導入も必須だと思います。

135 ページ近年SNSでは罰則を受けるリスクを受容しつつ、名誉棄損や侮辱を大々的に続けることでアテンションエコノミーを最大化し、多額の金銭的利益を得ている事例が散見されます。
この事例は現在標的にしている対象の名誉棄損の話題性が盛り下がったら、次の対象に標的を移し、また同様の名誉棄損を繰り返します。
罰則による罰金や裁判敗訴による信用低下に比べて、利益のほうが大きく、まったく抑止力が働いていません。
451

匿名

上記のスキームは個人情報保護法にも当てはまる可能性があります。
現行の個人情報保護法で1億円の罰金の定めがあったとしても、個人情報の違法な利活用によって数十億・数百億といった利益を得ている場合、抑止力に繋がりません。
信用低下はあるかもしれませんが、代替可能な製品・サービスがあるかどうかで影響度が変わると考えられ、信用低下がきっと起きるだろうという前提に立つのは問題があると思われます。
違法行為の推進力を防止するためには不当な利得に対して課される課徴金制度の仕組みが必要と考えます。
・課徴金制度の導入について
諸外国の制度と横並びで見るのではなく、日本国内の法運用の現状等に照らして立法事実があるのかどうかを慎重に検討する必要がある。特に課徴金制度が導入されることによる事業者側の対応等に要するコストは膨大になることを十分に考慮する必要がある。
この点、有識者からは個人情報保護法違反の事案や重大かつ悪質な事案を対象とする制度であるから、適切に対応している事業者に対する萎縮効果は生じないこと等を理由に、導入に賛成する見解が

452

個人

ある。しかし、GDPRが定める類似の制度やその執行状況のほか、課徴金制度が導入されている独占禁止法や景品表示法等の規定やその執行状況を考慮すると、その性質上、課徴金制度の対象となる事案かどうかは行政庁等の法執行側に広く裁量が認められるケースが大半であり、仮に当該裁量に基づく判断を裁判等で事後的に争うにしても、事業者側には金銭面を含めて多大な負担が生じる。あまりに規定を厳格にすると、事業者側としては法令違反と認定されることをなんとしても避けるべく、社内の対応体制等含めて保守的な判断をせざるを得ず、結果として適正なデータ利活用すらも円滑に進まなくなる可能性がある。
このような萎縮的効果が生じるリスクがあることを十分に考慮した上で、仮に課徴金制度を導入する方向で進めるのであれば、たとえば重大かつ悪質な事案とはどういうものなのか、定義づけを改正
法にて明確にする、その解釈をガイドラインで明確に示す、法執行側の裁量を合理的な範囲に設定する等、過度な萎縮的効果が生じないよう、配慮する必要がある。
【意見】
悪質な違反行為を行った事業者に向けた、課徴金制度は導入すべきです。
更に個人の権利利益の侵害が差し迫った場合に直ちに中止命令を出すことができるようにするべきです。

453

全国消費者団体
連絡会「ア課徴金制度」で、悪質な違反行為を抑止することができます。
「イ勧告・命令の在り方」について、勧告を受けた事業者が措置を怠った時に命令、告発の対応では時間もかかり、規制が不十分です。個人の権利利益の侵害が差し迫った場合に直ちに中止命令を出す必要があります。
【理由】
違反行為を行った事業者に対して、指導・勧告・命令のみでは、違反を通じて得た利得が事業者の元に残ってしまいます。
事業者が重大な違反を起こさないためにも、事業者は個人データの漏えいなどを起こさないような措置を講じて、緊張感を持って個人情報を取り扱うことが必要です。

136 ページ

（意見）
課徴金制度の導入には強く反対します。
1. 課徴金制度の目的と個人情報保護法の目的の不一致
課徴金制度は、主に市場の競争を歪める行為や金融取引における不正を罰するために設けられたものであり、その目的は市場の健全な競争を維持することです。一方、個人情報保護法の目的は、個人のプライバシーを保護し、個人情報の適正な取扱いを確保することにあります。
このように、両者の目的が異なるため、課徴金制度を個人情報保護法に導入することは適切ではないと考えられます。課徴金制度の導入は必ずしも法令遵守を促進するとは限りません。むしろ、企業が形式的な対応に終始し、実質的な個人情報保護の改善にはつながらない可能性があります。個人情報保護の目的に特化した教育や啓発、適切な監督体制の強化など、より直接的で効果的な方法が求められるべきです。
2. 課徴金制度の抑止効果の疑問
課徴金制度が実際に個人情報保護のための抑止効果を持つかどうかは疑問です。企業が課徴金を支払うことは一時的な財政的打撃であるに過ぎず、根本的な問題解決にはつながらない可能性がありま
454

Asia Internet

す。むしろ、企業の責任者や従業員に対する教育や監督の強化、内部統制の充実など、より直接的な対応が求められるべきです。
3. 過剰な罰則による企業活動への悪影響

Coalition Japan 課徴金制度の導入により、企業が過度に罰則を恐れてしまう可能性があります。これにより、企業は新たな技術の導入やデータの利活用を控えるようになり、結果としてイノベーションや経済活動が停滞するリスクがあります。個人情報の保護と企業活動のバランスを取ることが重要であり、過剰な罰則はそのバランスを崩す可能性があります。
4. 課徴金制度の運用における公正性の懸念
課徴金の額の決定や適用において、公正かつ透明性のある運用がなされるかどうかは疑問です。過去の事例においても、課徴金の額や適用基準が不明確であるとの批判がなされてきました。個人情報保護においても同様の問題が生じる可能性があり、公正な制度運用が確保されない限り、導入には慎重になるべきです。
5. 他の法的手段の存在
現行の個人情報保護法には、すでに違反行為に対する罰則や行政指導の手段が設けられています。これらの手段を適切に運用し、必要に応じて改善を図ることで、十分に個人情報の保護が実現できるはずです。新たに課徴金制度を導入する前に、既存の法的手段を最大限に活用することが優先されるべきです。
これらの理由から、個人情報保護法に課徴金制度を導入することには反対する立場を取るべきだと考えます。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
前文
・名簿屋について言ってしまえば、飛ばしの携帯を販売している者についても本来は罰則が必要である。
根本的に、行為に使われる物について野放しの状況もこうした行為が行われる要因のひとつになっていると考えられる。

455

個人

また、個人情報の販売は行われた企業への罰則を厳罰化し、企業としての取扱者に対して監視体制も高めるべきである。経営者が行うような場合もあり各担当省庁での公表もあり得る選択肢は持つべきである。
（１）課徴金、勧告・命令等の行政上の監視・監督手段の在り方
・当人への罰則がやさしすぎる為、利益以下の罰則なら構わないとなるケースが考えられる。その行為の利益、提供先の利益等も踏まえてもう少し厳罰化してもよいと思われる。
課徴金の導入に賛成する。日本の刑事・民事司法制度の実態と他の経済規制法分野での経験を踏まえれば、遅くとも、個人情報保護委員会の設立時に課徴金制度を導入しておくべきであった。直ちに課徴金導入制度を導入すべきである。

456

個人
個人情報保護法上の課徴金制度は、独占禁止法における同制度のように、不当利益のはく奪でなく、違反行為の抑止のためのものとして位置付けるべきである。全ての法律違反行為に対して課徴金が課されるものでないこと等を考えると、不当利益を吐き出させるだけでは、十分な抑止効果は期待できない。

457

個人

現状はあまりにも「やったもん勝ち」の状態であるので、諸外国の事例にかんがみて日本も課徴金、制裁金の額を大きく引き上げるべきだと考える。

137 ページ

経済活動に伴い必然的に外国籍の人間の個人情報も取り扱うにも拘わらず、情報取り扱いを国際的な水準に並べようとせずに現行法に甘んじていた事業主の我儘に、なぜ消費者や国民が付き合わなければいけないのか。事業継続のための課題を放置したまま「無理だ、皆もやっていない、萎縮する」と主張して好き勝手出来る環境を守ろうとする事業主の背中を叩くのが行政の役割ではないで
458

個人

しょうか。
事業者の負担の大きさは、事業主がこれまで国際社会の気運を見て見ぬふりをして無責任で居続けた反動です。生体データや子供の個人情報はもちろん、課徴金制度も含めた整備をEUやアメリカ水準で早急に行うべきです。
課徴金制度については賛同ができる

459

匿名

1

ただ支払いを免れ

個人情報(悪用目的）を無作為に提供による名誉棄損

満たせば

賠償金

課徴金

犯罪を実行するに対する罰則増加
個人情報の売買2

課徴金の追加支払い拒否による逃亡

最低限も必要である

一定以上の要件3 同じような犯罪を繰り返すなどのどれか一つでも増額といった罰則が必要と思われる（意見）
欧米同等の課徴金制度については、インセンティブと併せた導入に賛成
（理由）
460

個人

国内市場も国際的な事業者にとっての国際市場であり、昨今はアジアのIT企業も積極的に国内進出する中、欧米基調での国際的に調和のとれた執行根拠は必要。
ただし、本質的には「漏えいの防止」や「本人の救済」が重要な点であると考え、漏えい防止や本人支援等に対する施策・体制の充実度や事業者としての対応の継続期間によって減額することにより、「セキュリティ体制や本人支援体制へのインセンティブ」を大きく働かせることが重要だと考える。
もちろん、違法な第三者提供や悪質な不適正利用については、犯罪利得の回収としての視点も含め、課徴金の対象として厳しく対処すべきと考える。
賛成する。課徴金制度は、法の実現の手段を多様化するため、一定の規制に違反した者に対して一定の金銭的負担を課す行政上の措置である（第２８３回個人情報保護委員会資料１－１「個人情報保護法における課徴金制度導入にかかる諸論点（名古屋大学 林教授）」２０頁参照）。
課徴金制度は個人情報保護の手段として重要である。なぜなら「「個人情報の商品化」ゆえ、個人情報保護法に違反することの経済的インセンティブがきわめて高く、カルテルなどと同じく、法令違反への誘惑が非常に大きく、違反抑止のためには，違反者に課徴金という経済的負担をかけなければ，実効性が期待できない」（第２８３回個人情報保護委員会資料１－２「個人情報保護法における法執行の強化について（神戸大学中川教授）」３頁）からである。

461

弁護士有志

中間整理が指摘するように、現行法の指導・勧告・命令のみでは違反行為により得た利得が事業者の元に残ることとなり、事業者によるプライバシー権等の個人の権利利益の侵害を効果的に抑止できない。日本の法制度（独占禁止法、金融商品取引法、公認会計士法、景品表示法、医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）上も課徴金制度は広く採用されている。個人
情報保護委員会のヒアリングで多くの有識者がその導入に賛成しており、諸外国の実施状況を見ても実効性も期待できる。悪質な事業者等への対策として、速やかに導入すべきである。
中間整理では関係団体からの強い反対があることも言及されている。しかし、課徴金制度を導入し、世界で日本の個人情報保護制度への信頼が高まることにより、日本の事業者の世界での信用力を高め、日本の事業者が海外で事業展開をしたり、国内事業においても海外との取引が容易になる等の事業者側のメリットが大きい。その導入を遅滞し、日本の個人情報保護制度の実効性に疑問が生じれば、定期的に審査がされるEUとの間のGDPRに基づく十分性認定にも取り消しなどの事態も生じかねず、その影響は極めて重大である。
以上より、課徴金制度については、先送りすることなく、今回の見直しにおいて導入すべきである。
意見⑨＜課徴金＞
課徴金賦課の対象となる違法行為類型＊について、どのような行為が「悪質な違反行為」となるのか、事業者にとって予測可能となるよう、その範囲を明確化すべき。
＊

462

ソフトバンク株
式会社

・個人データの違法な第三者提供等の違反行為によって不当な利得を得ている場合
・個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払を免れた場合-漏えいの可能性を認識したにもかかわらず速やかに適切な措置が講じられない場合-指導を受けたにもかかわらず速やかに適切な措置が講じられない場合
理由：予測可能性が低い場合、漏えい報告実施の萎縮にもつながる恐れがあるため。
（特に漏えい等の発生時において、適切な措置を行っていると企業は考えている一方、委員会が不適切として、事前の指導なく予測可能性が低い状態で課徴金対象とすること、を懸念）

138 ページ

（意見）
課徴金制度をしっかりと導入すべきである。
463

日本DPO協会事
務局（理由）グローバルにビジネスが展開する中で、日本においては課徴金制度がないため、特に海外のプラットフォーマーなどの事業者が、日本法への対応、ひいては消費者保護の対応を軽視するような傾向が感じられるため、これを是正する上でも重要と考える。グローバルでのプライバシー法制のイコールフッティングの観点からも、日本企業が一方的に制裁を受けるのではなく、日本も厳しい課徴金を持つことで、国際交渉も進めやすくなると考える。そもそもきちんと対応している企業は課徴金制度があっても何も問題はないと考える。悪意のある企業を減らし、消費者の被害を減らす観点から、本件は進めるべきと考える。
【意見】
課徴金制度を導入すべきである。
【理由】

464

個人

課徴金制度は、GDPR、カナダ、中国、韓国などで導入されており、米国の場合には、FTCやCCPAによる民事制裁金の制度がある。このような世界的な潮流のなかで課徴金制度を導入しない場
合、グローバル企業の対応のレベルに差が出るとか、対応が後回しにされるなどといった不利益が生じるおそれがある。
次に、日本の企業のうち悪質な違反行為を行う企業の場合について言えば、課徴金制度がないと、違反行為によって獲得した利得をそのまま確保できることになる。このような制度では、違反行為の抑止力に欠ける。このことは、中間整理においてあげた事例からしても明白と言え、課徴金制度の導入は不可欠である。
２(1)ア 課徴金制度に示されているような外国制度、特にEUやアメリカのいわゆる「Act」として定められた法律は、

テック企業が経済合理性のもとに推進する先端技術が個人のプライバシーや身体性そのものを脅かすこれからの時代を見据え、
465

個人

強い危機感を持って根拠を充分に議論して成立した法律だと考えます。
EUのAI officeやFTCといった関連機関と緊密に連携・コミュニケーションを取り、世界的に基盤知識や人権感覚を共有した上で進歩と調和を両立した議論が行われることを望みます。
現行法上の監視・監督の流れとしては、まず、個人情報保護法相談ダイヤル、
個人情報取扱事業者からの漏えい等報告、その他メディア情報等の外部の情報源から、監視・監督に係る情報を得ている。

466

匿名

とあるが、そのような「外部の情報源」だけで監視・監督をしているのでは、課徴金の導入はすべきではないと考える。
漏えい等報告が行われなければ、メディアで報じられなければ課徴金を課されないという結果になり、極めて不公平な状況が生じるおそれがある。
内偵調査や訴訟に耐えうる証拠収集など、侵害行政などで経験を積んだ職員を主体に、外部情報に頼らない事実把握、証拠収集が行える体制にならない限り、課徴金を導入すべきではない。
課徴金制度の考え方について関係団体が反対するのは当然であり、その反対意見に安易に与するのではなく、法目的との関係と法令順守の実効性の点から国際的動向を踏まえて必要性を検討する必要がある。
まず、国際的動向からすればいうまでもなく、大規模プラットフォーマーに対しても適切にその規模に見合った高額の法執行を行っている（GDPRとは法令の仕組みが異なることは承知してい

467

個人

る。）。
次に、わが国の他法令との関係では独禁法や景表法があり、導入に当たり、平仄がとれていないということもない。特に故意・重過失と認定しうるような類型に限定すれば、むしろ利益の掃き出しの観点や、安全管理措置を実質的に一切していないなど法令遵守していないことへのサンクションとして機能する。
そうであれば、個人の権利利益の保護を一切していない者への制裁として、慎重な制度設計は必要としつつも導入することは不可避である。
「２ 実効性のある監視・監督の在り方」について、 「個人情報保護法

いわゆる３年ごと見直しに係る検討の中間整理」１４頁以下に掲げるように、個人情報データベースの不正提供に関しては刑事罰のほかに課徴金制度の創設も考慮されるべきである。刑事罰の本来的な目的は、不正提供行為に対する一般予防効果、および不正提供行為者に対する特別予防効果であり、科する刑罰は犯した行468

匿名為に対する責任に応じた害悪の賦課であることに留意する必要がある。この点、不正提供行為により得られた利益の収奪は、行為者本人の将来の行為の抑止とする目的も併せて、課徴金制度により実現することが望ましいように思う。この点、行為者に対して、当該利益の没収を行うことも可能であるが、犯罪が成立することが条件となる付加刑であることに鑑みれば、犯罪として処罰するに値しない行為であったとしても、個人情報保護法上の違反行為に対応する非刑罰的措置として課徴金により当該利益を剥奪することにより、違反行為の「抑止」的効果が得られるように思われる。
（意見）課徴金に関して、現状では時期尚早と考えるが、要配慮個人情報ないし生体データの扱いについての適用は引き続き検討してもらいたい。

469

個人

（理由）現状では有効性が期待される領域が限られそうであるが、要配慮個人情報ないし生体データを用いた悪質な事業者に対して薬事法・景品表示法での規制外で有効な規制を行える可能性があるものと考えるため。

139 ページ2の(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方
470

個人

ア課徴金制度について

EU等諸外国のように高額な制裁を行うべき。当項目以外でも共通したことではあるが、我が国は個人情報保護の観念において非常に軽率である。関係団体にヒアリングを行ったところ強く反対されたらしいが、その関係団体をすべて公開せよ。個人情報を軽く扱い、流出等問題があれば適当に謝罪と僅かな制裁金で済まそうという魂胆を隠さないのはいかがなものか。
個人情報の権利はその個人のものであり、その権利を一切持ってない関係団体などにヒアリングをしたところで権利者の誰が納得するのか?
（意見）
現在、命令や緊急命令も可能であるにもかかわらず、それらの措置が講じられている事案が数少ない中、新たに課徴金制度を導入することについては、導入に係る立法事実の精査や、監視・監督権限に関連する手続の見直し等、慎重な議論が必要であると考えます。
なお、命令・緊急命令及び罰則に比べて課徴金の執行が容易に行いうるものではなく、また、仮に実施されるとすれば、企業や学校法人等は、株主や関係者等からの責任追及の可能性もあるところ、そのようなリスクがあることも念頭に検討を進めていただきたいところです。
（理由）
①

制度的課題

課徴金制度は、不当に得た利益のはき出しによって違法行為を抑制し、行政目的を達成するものとするのが政府見解であると考えられます。そもそも、個人情報の取扱いについては、経済的利得を目的とする法令違反であるとは言えない場合が多いところ、課徴金制度による違法行為の抑制しようとすることが適切か否か、疑問があります。この点、中間とりまとめでは「悪質な安全管理措置義務違反の場合には、本来なすべき支払を免れた結果として、事業活動から得られる利益が増加している点に着目することが考えられる」（17頁）と事業者の不作為にも着目されているところ、これは、「やり得」を事業者の手元に残さずにインセンティブの観点から違法行為を抑止しようという既存の課徴金制度と異質な面があると考えます。「悪質な」という限定を付したものの、何をもって「悪質な」と判断するのか、重大性と同義の運用がされればその適用対象は曖昧になることで事業活動への悪影響が懸念され、故意に匹敵するほどの重過失ということであれば行政規制においてこうした事業者の主観的要素を考慮事由に入れることが妥当か、特に適用対象の切り分けの場面であることも踏まえた慎重な判断がされるべきであると考えます。
また、個人情報の取扱いによって経済的利益を得ることが想定されないケース（例：学術研究機関等における学術研究目的での個人情報の取扱い）等、課徴金制度によって行政目的が達成されないよ
うなものがあることと、企業に対しては現行法上の行政処分及び罰則の適用に加えて課徴金制度も併用されることとのバランスがはかられないことについての合理的な説明がなされるべきところです。
471

三浦法律事務所 次に、課徴金制度の目的に照らし、また、二重処罰の禁止（憲法39条）に抵触しないようにするためには、明確かつ合理的な算定方法が存在する必要があります。検討段階では諸外国・地域の制度として挙げられていた欧州一般データ保護規則（GDPR）は、違反行為に関して制裁金を科すこととし（同83条）、事業とデータの紐づけを問うことなく、直近会計年度の世界全体売上高の一定割合で算定しつつ（同条4項・5項）、軽微な違反行為等について制裁金の代わりに注意処分を行うことができるとして（同条2項、前文148）います。しかし、個人情報の取扱いに関して、対象商品という概念での切り分けは難しく、また、仮にGDPRと同様の制度とするとその算定の前提となる条件の合理性に疑問があるところです。また、軽微事例の条件の設定及び適正な評価は容易でなく、明確性についても懸念があります。
どのような事案で、どのような条件において課徴金を執行すべきかを慎重に検討する必要があり、そもそもそのような制度を個人情報の取扱いに対して導入する必要があるのか、要否から検討すべきと考えます。
②

立法事実について

個人情報保護委員会が【我が国の現状等】において示した事案は、新破産者マップ事案以外は命令及び刑事告発を実施したものはないように思料するところ、指導等によって改善されている現状において、課徴金制度を導入しなければ行政目的を達成できないものではないということが明らかではないかと考えます。
③

その他

現行法の運用における個人情報保護法の監視・監督権限行使や、その前提における任意含む情報収集、調査においては、必ずしも秘密保持や、手続的基準が明確ではないところであり、懸念の声があるところです。課徴金制度が導入された場合、課徴金執行のスコープに入るのか否かを判断するための手続を含めて、適正さが担保されなければ、個人情報取扱事業者等に看過しがたい影響が懸念されるところです。
（意見）
472

主婦連合会

課徴金制度の導入を求める。
（理由）
悪質な違法行為を抑止する効果が期待できる。諸外国の考え方、規定を参考にすべき。

140 ページ•課徴金制度の導入には強く反対する。データの利活用を促進するための制度や枠組みが確立しておらず、利活用より保護を重視した規制の厳格化が進んでいる現状において、課徴金制度の導入はデー
タ利活用へのさらなる委縮効果をもたらすだけであると考える。
•海外の個人情報保護法制や個人情報保護を取り巻く文化と国内のそれらとには違いがあり、海外で課徴金制度が活用されているからといって、国内でうまく機能するとは限らないことに注意が必要
473

一般社団法人 新 である。
経済連盟

•日本の他法令における課徴金制度は、不当に得た利益のはき出しによって違法行為を抑制するという目的で導入されていると認識しているところ、個人情報保護法の分野において、そのような目的に合致する事案としてどのようなものが想定されるのかが不明瞭である。中間整理において、「個人データの違法な第三者提供等の違反行為によって不当な利得を得ている場合」「個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払を免れた場合」といった事例が記載されているが、具体的にどのような事案を指しているのかわからず、予見可能性が無い。
・

意見

課徴金に関し、予測可能性の観点から、その適用される場合を具体的に下記らかにすべきであり、規模が大規模であるなどの結果をもって責任を問うようなこととならないよう、慎重に検討がなされるべきである。
・
474

個人

理由

課徴金に関しては、「個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払を免れた場合等について検討することが必要」とされているところ、「適切な措置」の内容、「悪質」な違反行為の内容が抽象的であり、少なくとも現時点で、どのような場合に課徴金制度が適用されるかが不明である。
漏えい等が問題となるインシデント発生時においては、その規模や、その影響範囲が大きく取り上げられることが多いが、そのような結果だけをもって課徴金の適用の可否、多寡を判断することなく、客観的な基準をもって、課徴金の在り方を定めるべきであり、慎重な判断がなされるべきである。

475

匿名

2(1)アに記載の課徴金制度については、導入に賛成ではあるが、（対象を違反行為のうちでも特に悪質な類型に限定するなど）制度設計には慎重な検討を要する。
（意見）
課徴金制度の導入は、適正な個人情報等の利活用を促す有効な手段であると考えます。また、違法行為の抑止を目的とする懲罰的損害賠償の導入も視野に入れた検討を進めるべきです。

476

匿名

（理由）
生成 AI 等の新たな技術の普及は大規模なデータ利用に際し、事業者の良心に期待できないことを明らかにした。事業者は生成AIサービスを展開するにあたり、必要データを不適切な方法で取得しており、データ所有者が事前の意思表示やオプトアウトを求めても救済の実効性がない状況が続いている。このようなことから、事業者は実効性ある規律がなければデータ利用に際し個人の権利利益の保護を図ることは無く、適正な個人情報等の利活用を促すには明確な強い抑止力が必要不可であることを示していると考えます。

141 ページ

(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方【我が国の現状等】
現行法上の監視・監督の流れとしては、まず、個人情報保護法相談ダイヤル、個人情報取扱事業者からの漏えい等報告、その他メディア情報等の外部の情報源から、監視・監督に係る情報を得ている。
・意見→

一般人はまず警察に相談するので警察との連携を強化すること。

＞この命令に違反した場合には、法第 178 条により罰則の対象となる。法定刑は、行為者は１年以下の懲役又は 100 万円以下の罰金であり、法第 184 条の両罰規定により、法人等は１億円以下の罰金刑の対象となる。また、委員会への虚偽報告等についても、法第 182 条により行為者は 50 万円以下の罰金刑の対象となるほか、法第 184 条の両罰規定により、法人も 50 万円以下の罰金刑の対象
となる。
477

個人

・意見→

罰金が少なすぎる。国民の個人情報を軽視している証左である。この程度では個人情報の不正利用はする方が得になるだろうから、違反者はすべての利益を没収されるような厳罰化をしなければ効果はない。
17P＞【考え方】
ア 課徴金制度
課徴金制度については、関係団体からのヒアリングで強い反対意見が示されていることに加え、我が国の他法令における導入事例や国際的動向、個人の権利利益保護と事業者負担とのバランスを踏まえ、その導入の必要性を含めて検討する必要がある。
・意見→優先されるべきは個人情報、権利保護である。事業者の負担とは、不正利用した反社会的行動が原因なのだから考慮する必要はない。

このように事業者に対してばかり忖度した制度設計をするから反社会的組織がそれを抜け穴として犯罪に利用するのである。猛省すべし。
課徴金制度については、導入に賛成する。
478

匿名

対象については、安全管理措置が不十分な場合における漏えい等事案など、個人情報取扱事業者の過失により発生した事案についても、対象とすべきである。
理由

故意でも過失でも、個人情報保護法違反がある点では同様であるため。また、個人情報漏えい等の大半は、過失によるものであり、個人の権利利益の観点からは、過失による事案も対象にする必要がある。
（意見）課徴金制度の導入をすべきである。その際、課徴金の額について、不当利得相当額だけでなく、違法行為抑止の観点から必要とされる額を徴収し得るしくみとすべきである。
（理由）EUや米国では課徴金制度が導入されているが、これは、個人情報の保護の重要性が高まっており、かつ、その規律の実効確保の必要性が高まっていることによる。EUや米国で活動する事業479

個人

者は当然これらを前提に活動しているはずであるし、わが国事業者の個人情報保護体制を底上げしていくためにも、欧米並みの監視・監督体制を整えることは極めて重要である。
課徴金制度においては、監視・監督の実効とともに、制度により事業者の対応を促すことが必要であり、かかる観点から、海外の制度も参考に、事業者の利得だけでなく、違法行為抑止の観点から必要とされる額を徴収し得るしくみとすべきである。

公益社団法人日
本消費生活アド480

バイザー・コン
サルタント・相談員協会（NACS）（意見）
個人情報保護法制における課徴金制度の導入に賛成する。
（理由）
課徴金制度は、法令違反行為に対する実効性の高い抑止力として機能し得るものである。特に、個人データの不適切な第三者提供、または個人データの漏えい等の蓋然性を認識しながら適切な措置を講じない場合等、悪質性の高い違反行為に対しては、現行の行政指導、勧告、命令等の措置のみでは十分な抑止効果を期待し得ない。
かかる状況に鑑み、個人情報保護法制における課徴金制度の導入の必要性は極めて高いものと認識する。よって、国際的な法制度の動向を踏まえつつ、我が国においても早急に課徴金制度を導入することが必要である。

142 ページ

意見内容
課徴金制度については慎重な検討をするべきである。特に、安全管理措置の不備に対する課徴金制度の適用は控えていただきたい。
481

日本電気株式会
社

理由
現状においても現行法に違反した個人情報取扱事業者の社会的評価の低下によって当該事業者に対し同等の効果が生じており十分な規制内容となっているだけでなく、厳罰化により真摯に個人情報保護に取り組む真面目な事業者の事業活動を委縮させるおそれがある。また、安全管理措置は、法第二十三条において「必要かつ適切な措置を講じなければならない」とされている。外的環境にも大きく影響を受ける安全管理措置は、個人情報の漏えい事故等が生じた際にも、「必要かつ適切」を適切に評価することは困難と思われ、そのうえ悪質か否かを適切に評価することはさらに困難であると考える。事業者に対して過度な安全管理措置を求めることにもなりかねない。よって、安全管理措置の軽重をもって課徴金の評価をすることは適切ではないと考えるため。
【意見】

482

日本損害保険協会

・課徴金の導入には、反対する。
【理由】
・令和2年個人情報保護法改正時に罰金の引き上げが行われてから間もなく、また、想定されている対象行為類型（不当な利得を得ている場合、適切な措置を講じることを怠る等の悪質な違反行為など）に対し、罰金、科料、過料に加え、課徴金を課すことが違法行為抑止の実効性向上に必要不可欠であるとの立法事実は明らかになっていない。
意見
課徴金制度の導入に強く反対。
理由(1) アセスメントを通じたEBPMの推進
課徴金制度導入の是非を議論する前に、確信犯的な事案に対処すべく、現行の勧告・命令、刑事罰が実効的に機能するように運用を見直すことが先決。
これまでの法執行を通じて個情委に蓄積されたデータのアセスメ
ントが不十分。規制強化／罰則導入ありきではなく、EBPMの観点から現行の運用では不十分な点や政策効果等、慎重に分析すべき。

一般社団法人日 (2) 法目的のバランス（わが国産業の国際競争力）
483

本経済団体連合 課徴金制度導入によって、法目的（第1条「・・・個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであること・・・」）の達成
会を著しく阻害。
日本のデジタル競争力（＝国際競争力の源泉）が低下の一途を辿っている現状に歯止めがかからず、一層悪化。
(3) 政策的なインプリケーション（帰責性に係る重大な懸念）
そもそも経済界が導入に反対しているのは、これまでの個情委による執行等の根拠・基準等が極めて不透明で、強い不信感を惹起していることに起因。
事業者の大多数は適切に法令を遵守。国家アクターによる高度なサイバー攻撃の脅威が増大するなど、然るべき対策を講じても漏えいを防げないケースもある中、日常的な「報告疲れ」もあって既に委縮しているのが現状。
「新破産者マップ事案」や違法な名簿販売など、確信犯的な事案を除き、大多数の漏えい事案は意図せざる結果として発生。一部の悪質な事案のために全ての事業者を課徴金制度の対象とすることは、適切なデータ利活用の促進、安全管理措置を講じる事業者にとって、大幅なコスト増加と甚大な委縮効果を惹起。

課徴金制度については、世界的に多くの国で導入されている現状を踏まえ、日本においても積極的に検討すべきである。日本がこの潮流に乗り遅れると、世界標準から取り残され、情報流通の国際化において不利な立場に置かれる可能性がある。具体的には、海外の企業が規制の緩い日本へのデータ移転をリスクと考えることで、海外から日本へのデータ移転にハードルを感じるようになり、逆に、日本から海外へのデータ移転が進むようになれば、グローバルでデータを利用した事業を進める環境として日本は不向きな国となる可能性がある。日本の産業保護の観点からも、世界の動向に平
一般社団法人484

MyDataJapan
公共政策委員会

仄を合わせることが重要である。
課徴金制度が、個人情報保護委員会が指摘する不当な利益の吐き出しに有効である点はそのとおりである。
さらに、悪質な事案について、現状の罰金のみでは、法執行が個人情報保護委員会で完結せず、「刑事司法任せ」となってしまう問題がある。刑事司法側では個人情報関連事案の重大性・悪質性が十分に把握できないことがありうる。
課徴金は重大事案、悪質事案を想定したものであるから、事業者におけるデータ利活用の「萎縮」は生じない。事業者は最低でも、自身が行うデータ利活用が重大事案、悪質事案に該当しないように注意すべきであり、そのような最低限の慎重さをもってふるまうべきことは、「萎縮」ではなく「常識的な節度ある行動の期待」であって、事業者に当然に求められる社会的責任の一部である。

485

匿名

まず、課微金制度について「関係団体からの強い反対意見が示されている」という点に疑問があります。諸外国のような課微金制度を導入することにより、不利益を被る関係団体の意見を優先すべき理由の説明を求めます。

143 ページGDPR第83条5項において、最大で2000万ユーロまたは企業の全世界の前年売上高の４%のいずれか大きい金額という厳しい課徴金制度を設けているだけでなく、カナダや中国、韓国においても課徴金制度が導入され、米国においても、FTC経由又はCCPAの元で民事制裁金の対象とされていること等からも、課徴金制度の導入は世界的な潮流です。
486

個人

こうした潮流に加えて、ＩＣＴやＡＩなど情報等技術の進展やサイバー犯罪の高度化に伴い、情報セキュリティ・リスクは日々変化している昨今の状況も踏まえるならば、我が国でも、実効性ある課徴金制度が導入されるべきです。
もっとも、課徴金を恐れるために、個人情報漏えい事件を隠蔽するようなことが無いようにエンフォースメントが適切にされなければなりません。ついては、自ら申告した場合には課徴金の一部を免除する制度などの導入も併せて検討されるべきです。

長島・大野・常松法律事務所487

データプロテク
ションチーム有志一同

意見：仮に課徴金制度を導入する場合には、対象となる違法行為類型に該当する対象をより明確化すべきである。すなわち、例えば、課徴金制度の対象となる違法行為類型について、「個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払を免れた場合」が例としてあげられているところ、「適切な措置を講じることを怠る」ことが直ちに単なる「違反行為」を超えた「悪質な違反行為」となるとは限らないようにも思われるので、より明確化すべきである。
理由：例えば不正アクセスによる情報漏えいの場合には、原因も様々であり、「適切な措置を怠」っていた場合であったとしても、それが「悪質」とまでいえるかどうかは評価が難しいのではないか。また、通常のオペレーションの中で個人データの漏えいの可能性を認識した場合に、適切な措置を講じることを怠ったとまで言えるような状況として、個人情報保護委員会がどのような場面を想定しているのかについても、明確化すべきである。
【意見】
法に違反する個人情報の取扱いに対する、団体による差止請求制度や被害回復制度、課徴金制度の導入については、継続的な意見集約が予定されているが（中間整理2頁）、導入する必要性の検討過

488

経営法友会

程をオープンにされたい。
仮に、導入の必要性が確認された場合には、事業者に対する委縮効果が生じないように論点の整理をされたい。
【理由】
自社の事業において、課徴金要件、または団体による差止請求や被害回復の要件に該当する可能性がある場合に、前提を正しく理解し、早期に適切に事前対応・準備を検討する必要がある。
（御意見）

489

一般社団法人日 課徴金制度の導入は、特に国内事業者に対して非常に強い萎縮効果を生じさせる懸念があり、その導入の要否については極めて慎重に議論されるべきである。そのため、課徴金制度の検討の前提とし本IT団体連盟て丁寧に立法事実を検討頂きたい。また、課徴金が導入された場合、サイバー攻撃者に対して身代金を払う方が経済的な利益があるという判断を行い、報告義務にも従わず課徴金も逃れるといった事態が発生する可能性もあり、課徴金制度が社会全体の安定を却って損なうというような事態をどう避けるかについても説明いただきたい。
意見内容：
課徴金制度は経済活動を委縮させる可能性がある。現状の監督官庁からの業務改善命令・行政指導でも十分な効果がある。新たに課徴金制度をスモールスタートするといっても一度始まると本格稼働

490

一般社団法人することに変わりはなく、導入には慎重な検討が必要である。

全国銀行協会

仮に課徴金制度を導入する場合、事業者の個人データの適法かつ有効な活用の萎縮につながるため、明確かつ透明性のある要件が必須である。導入する際は、具体的事例（過去に起きた事案の該当性および該当する場合の課徴金額を明確にするなど）による説明も併せて発信し、事業者にとって明確に判断ができる材料を提供し、安全管理措置義務に対する整備に必要な金額規模が事業者にとってわかりやすいものとしていただきたい。

144 ページ意見：リニエンシー制度等の導入に関する検討をして頂きたい。
理由：
個人情報保護委員会の体制強化が前提ではあるが、その後悪意のある事業者を炙り出し、消費者の被害を減らす観点では、そのような消費者被害事案をいかに速やかに、多く把握するかが重要となる。
その観点で、EUのリニエンシー制度や米国ドット・フランク法の内部告発者報奨金プログラムなどの仕組みを研究し、日本のビジネス風土に適した形で事案を発見する方式を検討・実現すること
で、より実効性のある監視・監督が実現できると考える。
（株）インター491

ネットイニシア 意見：課徴金制度に賛成する。
ティブ

理由：
現状、勧告・命令が出るまで非常に時間がかかりかつ、命令に背かないと罰金には至らないという他国と比べると非常に寛大な措置をとっているといえる。
一方でグローバル企業は既にEU GDPRや米国カリフォルニア州CCPAなどの厳しい法律に対応してきているが、企業法務観点では実務上リスク見合いで考えるため、厳しい課徴金制度があるからこそ真剣に取り組むという意思決定になっている。
今の勧告・命令・罰金の流れでは時間がかかる上に、勧告・命令時点で是正をすれば罰金を免れることができるため、海外法対応と比べてリスクが低いとみなされているきらいもあると考える。
結果として不誠実な個人情報の取扱いを行う事業者が減らない状態となり、一般消費者が被害に合う状況を作り出してしまっている大きな要因と考える。
企業の負担が増えるという意見もわからなくはないが、企業人も家に帰れば一消費者であり、企業の負担と消費者の被害を比較衡量した際には、消費者の被害を減らす方が重要と考える。
この状況を改善するために、課徴金制度による厳しい対応を個人情報保護委員会がとるというメッセージを社会に打ち出す必要があると考える。
また、この課徴金制度は海外から日本に進出する企業が日本法対応を強く意識させる面でも効果があると考える。

課徴金制度の導入は、日本の法制度の実態、並びに、世界の法制度の趨勢からみても、今回の見直しで導入を避けてはならない。すなわち、我が国の独禁法、金商法、景表法 その他消費者保護にか
492

個人

かわる重要な分野で、すでに導入済みであり、違反行為の抑制、 違反行為に対する規制の実効性担保のために重要な役割を果たしている。また国際的にみても、EUのGDPR, UKのGDPR、米のF TC
法でもすでに採用されており、多額の制裁金が課された事例も報告されている。もし今回の見直しで、この課徴金制度をみおくると、日本の法制度の実態からも、またグローバルな法制度からも、著しく乖離し、法の実効性を問われることになる。
国際動向に鑑みれば、早急に、課徴金・団体による差止請求制度や被害回復制度の枠組みが導入されるべきである。さもなければ、グローバルスタンダードとの乖離から、むしろビジネスの停滞を生

493(再掲)

匿名

じかねない。
一方で、高度のコンプライアンス体制構築が促されるよう、課徴金等導入と併せ、PIA実施・第三者認証（Global CBPR含む）取得等による課徴金等の義務的減免が認められるべきである。
○意見内容
安全管理措置の不備に対する課徴金の適用は控えて頂くとともに、課徴金制度や（前節記載の）団体による差止請求制度・被害回復制度については慎重な検討をお願いします。
○理由

494(再掲)

電子情報技術産 現行法の罰則に加えての課徴金制度や団体による差止請求制度・被害回復制度については、AI やクラウドといった新たな技術の登場等により法解釈に必ずしも明確ではない部分が存在する現状にお業協会

いて、思いがけず厳しいペナルティを受ける可能性が生じることとなってイノベーションを阻害する等、真摯に個人情報保護に取り組む真面目な事業者の事業活動を委縮させる恐れがあるため、慎重な検討をお願いしたい。特に安全管理措置については、法第23 条において「必要かつ適切な措置を講じなければならない」とされているが、外的環境にも大きく影響を受けるため、個人情報の漏えい事故等が生じた際に「必要かつ適切」な措置であったかを適切に評価することは困難と思われ、そのうえ悪質か否かを適切に評価することはさらに困難であると考える。課徴金制度は、事業者に対して過度な安全管理措置を求めることにもなりかねない。よって、安全管理措置の軽重をもって課徴金の評価をすることは適切ではないと考える。
（意見）
課徴金制度の導入などおよび団体請求制度の導入等に賛成します。

495(再掲)

個人（理由）
国民・消費者の個人の権利利益のさらなる保護のため（個情法１条、３条）に賛成します。経済界は団体による差止請求にも反対しているようであるが、差止請求は違法な行為にしかなされないところ、経済界は違法行為がしたいのだろうかと疑問である。

145 ページ

また課徴金や団体訴訟制度は絶対に導入すべきですし、してください。
消費者全員がおそらく2つの制度は必要不可欠だ、と思っています。
個人情報の漏えいなどあってはいけないし、課徴金や団体訴訟制度を導入しないと企業や業界が個人情報の不適切な取得や管理をしたりそして漏えいの問題が今後も起きる可能性が高いと思います。
496(再掲)

匿名

つまり法整備しないと業界団体の危機感が欠如したままの恐れがあります。
被害を受けた消費者の訴訟の負担も軽減されます。
ですので個人情報保護法委員会の課徴金制度や被害者に変わって消費者の団体などが代理で差し止め請求をする。などの制度は導入すべき必要性があります。

146 ページ

第２ 個別検討事項

２ 実効性のある監視・監督の在り方(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方
No.

イ 勧告・命令の在り方

提出者

提出意見
（意見）
該当箇所の趣旨に賛同いたします。そのうえで、「個人情報取扱事業者等による法に違反する個人情報等の取扱いにより個人の権利利益の侵害が差し迫っている場合」の直後に、「または、個人情報取扱事業者等による個人情報等の取扱いに関与するものとして実質的に想定し当該事業者等に第三者が提供している事業に、個人の権利利益の侵害を誘発する性格や不足等が認められる場合」を挿入頂きたく存じます。
（理由）
個人情報取扱事業者等に対し第三者が提供しているSaaSのなかには（１）個人情報取扱事業者等が個人情報等を取り扱うwebサービスやスマートフォン・アプリに組み込まれたり連係したりする
いわば機能部品として外国から提供されているものや（２）個人情報取扱事業者等が自己に所属する個人に当該個人のパフォーマンス等を計測するために利用させる調査分析システムとして提供されているものがあり、それらにおいては個人情報取扱事業者等が当該SaaSを利用することで生じたデータを当該SaaS提供元の第三者が第三者自身の利用目的で利用するとしているものが非常に多くご
ざいます。

497

個人

しかし、こうした第三者となる事業者は、こうしたポリシーやこれによる個人情報取扱事業者等の取扱いへの影響を顧客となる個人情報取扱事業者等へのSaaS提供契約の提案内容に含めていなかったり、外部のwebサイト上の文書へ参照を繰り返すなどして把握されにくくしていたり、さらに（１）の場合には第三者となる事業者がSaaS利用者となる個人情報取扱事業者等に対し第三者のシステムで処理されることになるデータに個人情報を含めてはならないという提供元基準では実現不能なはずの（いわば）幻惑的といえる規約条項を設けている場合もあって、個人情報取扱事業者等が「個人データの取扱いの委託」に整理できないことに気づかないまま採用した結果、取り扱われる個人情報等につき本人の知らないうちに外国の第三者による取扱いが開始されたり、もしくは第三者に対する提供について個人情報取扱事業者等から同意を強要される結果になるなど、本人にって回避困難となる状況が生じており、法がその趣旨を達成できていない状況と考えざるを得ません。
こうした第三者の振舞いは、個人情報取扱事業者等を欺くことで自己の利用目的に利用するデータフローを確保する意思があったとまでは判断できない場合であっても、個人の権利利益の侵害を誘発する行為であるとみなすべきと考えますので、このような場合に（欺かれた）個人情報取扱事業者等が免責されるかは別として、個情委への情報提供等に基づいて当該第三者への調査が開始され行
政上の措置がとれることが、個人情報取扱事業者等の当該SaaSの採用によりそれぞれの違法事案が発生した後になって当該SaaSを採用した個人情報取扱事業者に個別に行政上の措置をとるよりも、明らかに効果的であると考えますので、意見として上げさせていただきました。
（意見）
中間整理は、法に違反する個人情報等の取扱いを行う個人情報取扱事業者等のみならず、これに関与する第三者に対しても行政上の措置をとることの必要性について検討する、としています。

498

日本マイクロソ しかしながら、個人情報保護委員会が指導・助言等の行政上の措置を行うことは、あたかも当該関与する第三者が違反行為を行ったかのように受け止められ、社会的評価を下げることにもつながりか
フト株式会社

ねません。そして、当該関与する第三者において何らの法違反又は帰責性がない場合にまで社会的評判を下げることには合理的な許容性が認められません。
よって、どのような場合に関与する第三者が違法行為に関して帰責性があると評価されるのかを分析したうえで、帰責性ある特定の行為を行うことを要件とすることなくして、行政上の措置を制度化することは認めるべきではありません。
（意見）「２

実効性のある監視・監督の在り方」の中で「勧告・命令の在り方」については触れられているが、指導・助言については触れられておらず、これらの線引きが不透明であるため、指導・助言との違いについてきちんと議論されたい。
499

匿名

（理由）
貴会の発表資料を見ると、勧告・命令だけでなく、指導・助言も行っている。p.16には「勧告・命令は、いずれも、法の規定に違反した「当該個人情報取扱事業者等」に対して行うものとされている」の記述がある。しかし、貴会が指導・助言を行っている発表資料を見ると、安全管理措置に不備と書かれていて、第23条に違反しているのではないか。その上、必要な措置を取るよう事実上命令しているが、これでは指導・助言と勧告・命令の線引きがあいまいではないか。行政庁は、不利益処分をするかどうか又はどのような不利益処分とするかについてその法令の定めに従って判断するために必要とされる具体的な基準（処分基準）を設定し、かつ、これを公にしておくよう努めなければなりません（第12条）。

147 ページ

（意見）勧告・命令が、法の規定に違反した事業者に対してなされべきであるのは、明白です。行政上の措置をとることのできる対象事業者の範囲を第三者にまで拡大することは、ビジネスの予見可能性、規制の安定性を不当に阻害するものであり、そのような改正はなされるべきではありません。差止命令は、ある一点において深刻なビジネス上の不利益をもたらすだけではなく、将来にかけて企業の事
業活動を制約することとなる危険性があるからです。
500

Asia Internet

勧告・命令の在り方については、事案によっては早急性が求められているものもあるかもしれませんが、その解決方法は、迅速化を阻害する要因を特定し、それを除去するというためには何が必要か

Coalition Japan という点を検討していくことが望ましいと考えます。
一方で、行政指導における公表などについては、何を公表し何を非公表にするかが曖昧であり過ぎ、公表されることに対する萎縮効果もあるため、このあたりの運用や公開の基準などは透明性を持った用を検討していただきたく存じます。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
個人の権利利益の侵害が差し迫っている場合に直ちに中止命令を出すことの必要性、法に違反する個人情報等の取扱いを行う個人情報取扱事業者等だけでなくこれに関与する第三者に対しても行政上

501

弁護士有志

の措置をとることの必要性、法に違反する個人情報等の取扱いの中止のほかに個人の権利利益の保護に向けた措置を求めることの必要性等に鑑みて、手続保障を確保したうえで、勧告・命令の拡大をすることに賛成する。
意見⑩＜勧告・命令（第三者命令）＞”法に違反する個人情報等の取扱いを行う個人情報取扱事業者等のみならず、これに関与する第三者に対しても行政上の措置をとることの必要性”

502の検討においては、

ソフトバンク株 どのような場合に行政上の措置が必要となるか、どのような場合にどのような第三者に措置をとるのか、措置をとる場合の行政上の措置の方法等について、実現可能、かつ必要最小限のものとすべ式会社

き。
理由：行政上の措置をとる場合は、個人情報保護委員会から、その業種ごとの監督官庁経由で、事業者（第三者）に協力要請するなど、手続きの明確化が必要。
（意見）

503

一般社団法人国際銀行協会

勧告・命令の在り方として、「個人情報取扱事業者等による法に違反する個人情報等の取扱いにより個人の権利利益の侵害が差し迫っている場合に直ちに中止命令を出すことの必要性」などが検討事項として挙げられている。この中止命令の範囲をどのように設定するかも含めて慎重に検討すべきと考える。
（理由）

中止命令が事業者に与える影響は大きく、例えば、中止命令により事業者の事業の一部を停止せざるを得なくなり、そのため事業者の顧客へのサービス（例えば、金融機関の顧客に対する金融サービス）を提供が中断されることがありうる。中止命令の内容・範囲によっては、停止する事業の期間が長期化するおそれがあるほか、停止する事業の範囲が必要以上に広範になるおそれもあり、これらにより、事業者の顧客への影響が大きくなるおそれがあるため。

148 ページ（御意見）
・法に違反した事業者だけでなく、そのような個人情報の取扱いに関与した第三者が法に違反していなくても、その第三者に対して行政措置を実施する可能性が中間整理には示唆されていますが、そのような措置がとられた場合、違反行為を行ったと認識される可能性があるため、第三者が違法行為を行った場合にのみ、行政措置を認めることを奨めます。
・刑事罰は、プライバシー法やデータ保護法において有用な効果をもたらさず、国際的なベストプラクティスからも外れているため、法違反に対してこれ以上の刑事罰を検討しないことを強く推奨します。
（理由）
BSA ｜ザ・ソフ
504

トウェア・アライアンス

個人のプライバシー権が十分に保護され、企業の義務違反が抑止されることを確実にするためには、効果的な救済措置が重要となります。しかし、我々は、中間整理で示されている、いくつかの考え方が、法において防止しようとする損害に見合った救済をもたらす執行制度とならないのではないかと懸念しています。特に以下の二つの点に関し、懸念があります。
・第三者に対する行政措置
中間整理では、法に違反した事業者だけでなく、そのような個人情報の取扱いに関与した第三者が法に違反していなくても、その第三者に対して行政措置を実施する可能性が示唆されています。この
考え方に我々は懸念を抱いています。貴委員会による勧告・命令などの行政措置は、第三者が違反行為を行っていないにもかかわらず、違反行為を行ったと認識される可能性があるからです。第三者が違法行為を行った場合にのみ、行政措置を認めることを我々は奨めます。
・刑事罰の在り方
金銭的罰則に加え、法では、特定の状況における刑事罰も規定しています。我々はこの在り方に大きな懸念を抱いています。刑事罰は、プライバシー法やデータ保護法において有用な効果をもたらさず、国際的なベストプラクティスからも外れています。プライバシー法における実質的な要件を、金銭的な救済、また、行政や民事司法のプロセスを通じて利用可能な救済と組み合わせることで、個人のプライバシーの利益を保護し、起こりうる違反を抑止することは十分に可能です。これとは対照的に、刑事責任のリスクは、有益で無害なデータ利活用の実務を委縮させる可能性があります。
我々は、法違反に対してこれ以上の刑事罰を検討しないことを強く推奨します。
（意見）

第三者の義務違反について、自らが行政処分及び罰則の対象となり得るとするには、相応の違法性がなければならないものと考えます。
特に、個人情報保護法の監視・監督権限の行使及び裁量による事案の公表に関しては、係る権限行使・公表の手続等が不明瞭であり、新たに勧告・命令の対象とされる者も含めて必要な防御ができない懸念があるため、個人情報保護委員会の手続の透明化等を先行して議論する必要があると考えます。
505

三浦法律事務所（理由）
勧告・命令の対象としようとする第三者は、個人情報保護法のいずれの規定にも違反していない可能性があります。また、仮に個人情報保護法違反の行為に関係しているとしても、これを調査し、また、是正する義務を負うものではないところです。勧告・命令を受けることによる法的又は事実上の不利益（対応コストを含みます）を甘受すべき立場にあるのか疑問があります。
また、具体的な違反がない状態で勧告・命令を行われた者は、必要な防御がなしえない懸念もあり、必要な情報を得ることや、弁明の機会が設けられることを含めて、個人情報保護委員会の手続の透明化等の改善が喫緊の課題として挙げられます。
（意見）
法に違反する個人情報等の取扱いにより個人の権利利益の侵害が差し迫っている場合に直ちに中止命令を出せるようにすべき。個人情報取扱事業者等のみならず、これに関与する第三者に対しても行

506

主婦連合会

政上の措置をとれるようにすべき。取扱いの中止のほかに個人の権利利益の保護に向けた措置を求めることがでる規定を求める。
（理由）
個人の権利利益の侵害を効果的に抑止するため。
•これまで、命令に至った事案がほとんどない現状をふまえ、どのような事案を対象としてどのような見直しが効果的なのか、必要性の有無や手続保障にも配慮しながら、慎重な検討をすべきであ507

一般社団法人 新経済連盟

る。
•特に、第三者に対する行政処分については、現状の個人情報保護法の規定では対象とならない行為や者が、関係する事業者の行為によって突然個人情報保護法上の行政処分の対象となる恐れがあり、必要性や予見可能性の担保も含め、極めて慎重な議論が必要である。また、必要性の議論をするにあたり、想定している問題事案が、第三者が処分対象となっていないことで発生しているのか、
そもそも問題となる事業者を個人情報取扱事業者ではなく第三者として整理していることで発生しているのかといった、現行法に照らした分析も重要であると考える。
意見

一般社団法人日 個情委が行政上の措置を行う対象となる個人情報取扱事業者を第三者まで拡大することに反対。
508

本経済団体連合 理由会

個情委が行政上の措置を行うことで、あたかも関与する第三者が違反行為を行ったかのように世間に受け止められかねず。法違反や帰責性がないにもかかわらず、社会的評価を下げるレピュテーショ
ンリスクを招くおそれがあり、合理的な許容性が認められず。そもそも、個情委の行政上の措置におけるプロセスや根拠が不透明であり、事業者に著しい委縮効果を惹起。
149 ページ

(意見)中間整理は、法に違反する個人情報等の取扱いを行う個人情報取扱事業者等のみならず、これに関与する第三者に対しても行政上の措置をとることの必要性について検討する、としている。
509

しかしながら、個人情報保護委員会が指導・助言等の行政上の措置を行うことは、あたかも当該関与する第三者が違反行為を行ったかのように受け止められ、社会的評価を下げることにもつながりか
在日米国商工会 ねない。そして、当該関与する第三者において何らの法違反又は帰責性がない場合にまで社会的評判を下げることには合理的な許容性が認められない。よって、どのような場合に関与する第三者が違議所（ACCJ） 法行為に関して帰責性があると評価されるのかを分析したうえで、帰責性ある特定の行為を行うことを要件とすることなく、行政上の措置を制度化することは認めるべきではない。
(理由)
個人情報保護委員会が指導・助言等の行政上の措置を行うことは、あたかも当該関与する第三者が違反行為を行ったかのように受け止められ、社会的評価を下げることにもつながりかねないため。
（意見）
行政上の措置をとることのできる対象事業者の範囲を第三者にまで拡大することは、ビジネスの予見可能性を損なうおそれがあるため、慎重な議論が求められる。仮に拡大を行う場合も、その対象範囲や発出の条件は法の趣旨に照らして必要最低限とすることが望ましい。

510

AIガバナンス協会 （理由）AIサービスの活用等の場面においては、多様な第三者がサプライチェーン上に関与する場合が多く存在するが、そうした際に法に違反する個人情報等の取扱いを行う事業者以外の事業者一般にまで行
政上の措置がとられる可能性があれば、取引の萎縮等を招く可能性がある。このため、「第三者」の範囲や発出の条件等含め、慎重な議論が必要であると考えられる。実際に中間整理の議論の過程においても、第三者の範囲については一定の限定が想定されていたものと理解している。

511

一般社団法人日 （御意見）本IT団体連盟

個人情報保護委員会において、より実効性のある監視・監督を行うことができるよう、同委員会の人的リソースを大きく拡充し先進諸外国と同等以上に引き上げることを検討すべきである。
意見：是正勧告、命令を受けた事業者に対して、その後一定期間（3年等）の間、独立した立場の監査人により、個人情報保護の管理体制や安全管理措置について監査を受けることを義務とする。
理由：これも執行力強化の1つであり、是正勧告、命令を受けて初年度の対応までは個人情報保護委員会が確認をしても、次年度以降については対応が終了したとして甘くなる可能性がある。このような企業は同じ間違いを繰り返す恐れがあるため、しっかりとした監査を個人情報保護委員会もしくは独立した立場の第三者である監査人が行うことが必要と考える。

（株）インター512

ネットイニシア そこで初年度の確認事項よりも改善していない場合は即、罰金の対象とすることも法律の遵守強化の面で効果的と考える。
ティブ
このような従来の日本のやり方よりも厳しい対応をとっていかないと、グローバルでの調和はとれないし、諸外国の企業が対応を軽視し、結果として日本国民が被害に合うという状況を作り出してしまう。
またこのような厳しい対応が必要となれば、当初から個人情報保護法をしっかり遵守するという努力に対する強い意識が働くと考える。
意見
・悪質な違反行為に対する法の実効性を確保するために、個人情報保護法に課徴金制度を設けることに賛成します。
・法違反行為によって個人の権利利益の侵害が差し迫っている場合、直ちに中止命令を出せるように規定することにも賛成です。
公益社団法人513(再掲)

全国消費生活相
談員協会

理由・中間整理に挙げられているように、学生の内定辞退率を提供した事案、破産者マップ事案、いわゆる名簿の転売屋に関する事案、委託業者の従業者が顧客の個人データを長期かつ頻回に外部漏えいしていた事案等々、不法収益の発生を含め、著しく悪質性の高い事案が続出し、現行法の指導・勧告・命令の監視・監督手段では、悪質事案発生の抑止力にはならないことが示されています。諸外国においては、高額の制裁金が課せられるのは珍しくありません。日本においても、悪質事案発生を防ぐための抑止力として金銭的制裁である課徴金制度の導入が必須であると考えます。
・勧告・命令についても、破産者マップ事案が典型例を示しているように、個人の権利利益の侵害が切迫している際には、直ちに法的拘束力が発生する命令を行えるようにしなければ、個人の権利利益の保護が空文になるおそれがあります。また、委託業者、クラウドサービス業者等の第三者が関与している場合には、当然ながらその第三者にも勧告・命令ができるようにするべきと考えます。

150 ページ

【意見】悪質な違反行為を行った事業者に向けた、課徴金制度は導入すべきです。
更に個人の権利利益の侵害が差し迫った場合に直ちに中止命令を出すことができるようにするべきです。
514(再掲)「ア課徴金制度」で、悪質な違反行為を抑止することができます。
全国消費者団体 「イ勧告・命令の在り方」について、勧告を受けた事業者が措置を怠った時に命令、告発の対応では時間もかかり、規制が不十分です。個人の権利利益の侵害が差し迫った場合に直ちに中止命令を出連絡会す必要があります。
【理由】
違反行為を行った事業者に対して、指導・勧告・命令のみでは、違反を通じて得た利得が事業者の元に残ってしまいます。
事業者が重大な違反を起こさないためにも、事業者は個人データの漏えいなどを起こさないような措置を講じて、緊張感を持って個人情報を取り扱うことが必要です。
前文
・名簿屋について言ってしまえば、飛ばしの携帯を販売している者についても本来は罰則が必要である。
根本的に、行為に使われる物について野放しの状況もこうした行為が行われる要因のひとつになっていると考えられる。

515(再掲)

個人

また、個人情報の販売は行われた企業への罰則を厳罰化し、企業としての取扱者に対して監視体制も高めるべきである。経営者が行うような場合もあり各担当省庁での公表もあり得る選択肢は持つべきである。
（１）課徴金、勧告・命令等の行政上の監視・監督手段の在り方
・当人への罰則がやさしすぎる為、利益以下の罰則なら構わないとなるケースが考えられる。その行為の利益、提供先の利益等も踏まえてもう少し厳罰化してもよいと思われる。

151 ページ

第２ 個別検討事項

２ 実効性のある監視・監督の在り方(2)刑事罰の在り方
No.

提出者

516

個人

提出意見
直罰規定を設けることは、その解釈運用を警察・検察・裁判所に委ねることになり、処罰規定の拡大解釈が予想される。また、個人情報保護法違反を口実にした別件捜索差押えが横行しかねない。個
人情報の不適切な取扱に対するサンクションは、行政庁に一次的な判断権がある課徴金によるべきであり、直罰規定の導入については慎重であるべきである。
意見

公益社団法人517

・不正の目的で行われた法違反について罰則の引き上げに賛成します。

全国消費生活相 理由
談員協会

・作今、データベース等不正提供罪で有罪となった悪質な事例や、個人情報への不正アクセスや従業者による持ち出し等の事例等が多数あります。一度漏えいすれば回収は事実上不可能とされる個
人情報については、現行の罰則のままでは社会的要請に応えているとは評価できず、罰則の強化が行われるべきと考えます。
2-2-(1)、(2)への意見
個人情報保護法の最大の目的は個人の権利利益(法1条)の保護であり、法の規制対象は、有識者ヒアリングで高木浩光氏が指摘した、「個人データ処理」及び「データに基づく個人に対する評価・決定」である(高木浩光「個人情報保護法3年ごと見直し令和6年に対する意見」第289回個人情報保護委員会(令和6年6月12日)資料1-2, 1頁,3頁 https://www.ppc.go.jp/files/pdf/240612_shiryou-1-

518

個人

2.pdf.)。このことを踏まえて、「…不正アクセスや従業員による持ち出し等、不正の目的をもって行われたおそれのある個人データの漏洩等…」(18頁)や、「…個人情報の搾取等の不正取得が多数発生している状況…」(18頁)は憂慮する現状であるが、個人情報保護法の適用範囲と、他の法律で対処すべきことは区別しなければならない。不正アクセスに基づく事案は、不正アクセス行為の禁止等に関する法律で、「不正の目的をもって行われたおそれのある個人データの漏洩等」(18頁)及びそれに該当することを知りながら個人データを取得/保持、転売をしている場合は、組織的な犯罪の処罰及び犯罪収益の規制等に関する法律で、事案によっては該当刑法の教唆、幇助等で対応するべきであり、区別が必要だ。
【意見】

519

全国消費者団体
連絡会

詐取等の個人情報の不正取得が発生している状況から、直罰規定を入れるべきであると考えます。
【理由】
個人データの取り扱いに関して、この間、従業員により悪意を持って行われた大規模な不正取得事例が多発しています。そのような悪質な行為に至らないよう、個人情報を不正に取得した個人・組織を直罰規定の対象とするべきであると考えます。
○意見内容
直罰規定に関して個人情報データベース等不正提供罪以外に拡大することについては、慎重な検討をお願いします。仮に個人データの不正取得・利用にも拡大する場合には、不正競争防止法で個人

520

電子情報技術産 データの不正取得・利用に対して適用される刑事罰との対象範囲や適用条件の明確化をお願いします。
業協会○理由
個人データの不正取得・利用については、特定の対象要件を満たす場合には営業秘密として不正競争防止法でも個人・法人に対する刑事罰が定められており、実際に罰則が適用されている状況において、新たに個人情報保護法で刑事罰等の定義を行うことになり、その適用条件の明確化が必要なため。
（意見）
権利救済、監視・監督については、個人情報保護委員会の権限と体制の大幅拡充による強化と並行して、適格消費者団体の差止請求・特定適格消費者団体の被害回復制度、違反行為への課徴金制
度、急迫事案への中止命令、直罰規定を導入すべき
（理由）

521

全大阪消費者団体連絡会

個人情報のデジタル利活用が急速に拡大していく現状に対して、個人情報保護委員会の対応能力は不十分であり、大幅な体制・機能強化が必須と考える。
加えて、消費者視点に基づく権利救済手段として、適格消費者団体の差止請求・特定適格消費者団体の被害回復制度の活用は有益である。ただし、適格消費者団体・特定適格消費者団体は資金・体制
ともにぜい弱な現状にあるため、支援策等がなければ適切な効果は期待し難いことを付言する。なお、「関係団体」からは萎縮効果の懸念から強い反対意見があったとのことであるが、これまでの適格消費者団体・特定適格消費者団体の活動において萎縮効果や濫訴の例は知られておらず、全くの杞憂と考える。
課徴金には違法収益の剥奪・抑止の効果が期待できる。「関係団体」から強い反対意見が示されたとあるが、個人情報の利活用を適正に進める立場からすれば、違法行為の「やり得」を許さない課徴金制度の導入はむしろ積極的に進めるべきである。
権利侵害が差し迫っている事案への中止命令や直罰規定は、違法行為にできるだけ早期に対処することによって、回復不可能な権利侵害を減らすために導入すべきである。

152 ページ

522

浮気調査アプリ「●●」「●●」のように他者が個人の端末に無断でダウンロードさせることによって本人の同意を得ず個人情報を収集するサイバー犯罪の存在を確認しています。サイバー犯罪やそ匿名

れを斡旋するような危険なアプリについて取り締まりを強化し厳罰化するべきです。
（意見）

523

Asia Internet
Coalition Japan「不適切取得」に対する刑事罰は慎重に検討すべき事項です。検討に当たっては、まず具体的な、悪質事案の類型を慎重に分析していく必要があります。また、「不適切に取得したもの」をさらにプ
ライバシーを侵害するように利用した場合においても、罰則による対応を検討しても良いのではないかと考えます。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
（２）刑事罰の在り方
・個人情報の提供先次第では、生命、身体、金銭的な損害が発生する事も念頭に置き、提供先からの提供も抑えなくてはならない。

524

個人

提供者と提供先（共に主犯と考えるべき）については状況に応じて厳罰化するべきである。反社会的組織に販売する提供者については懲役刑含め判断されるされるべきである。
また、不特定多数が確認できる状態に個人情報がおかれた場合、やむを得ず見てしまうのは防げない事として措置は不問とされると思われるが、拡散者やその件で保存したことが推認できるようであるならば取り締まり対象になるとするべきである。

525

個人

526

匿名

刑事罰については、独占禁止法７４条の公訴を提起しない処分をした場合に内閣総理大臣に報告する制度とその運用も参考として、機能していない現状を改善すべきである。
2

実効性のある管理監督

罰則を重くするべきである
現社会において指導（画像の無断使用が多発して助言監督した際に名誉棄損が大きく逃亡する恐れがあるため社会的信用低下も引き起こすため）一部監視が必要である

罰則の厳罰化を求めます。現状の情報化社会において個人情報を狙った犯罪も増加、手口も巧妙になりより悪質なものになってゆくと思われます。現行法を確認しましたが罰則が軽くもう時代に適し

527

個人

528

匿名

529

弁護士有志

ないと感じます。甘い罰では再犯の抑止防止にはなりませんので犯罪を事前に抑止する意味でも厳罰化が効果ありと考えます。
シンプルに、法が時代に合っていない。刑が軽すぎる。抜けや制度が甘すぎて簡単に犯罪が行えてしまう。もっと重罪とし、厳しく処罰すべきです。
悪質事案についての刑事罰の在り方を検討することについて賛成する。
ただし、刑事罰は、事案の全容解明や問題の早期解決、改善に役立つことを目的としているわけではないから、過大な期待をするべきではない。
（意見）

530

一般社団法人国際銀行協会

個人情報の不適切な取扱いについて、直接罰則が適用される規定（いわゆる直罰規定）の処罰範囲などが検討事項として挙げられているが、処罰範囲の拡大については慎重に検討すべきと考える。なお、仮にこれを導入するとしても、極めて悪質で処罰もやむを得ないような故意犯に限定されるべきと考える。
（理由）
現状の個人情報が不正に取り扱われた悪質事案を防止するという目的を維持すれば足りるからであり、それを超えて処罰範囲を拡大すべきではないと考えることができるため。
【意見】
直罰規定の対象範囲、法定刑の適切性の検討に賛成し、抑止力の効果が発揮できるよう見直しを検討すべきである。
【理由】
悪質な個人情報の不正取得等の事案が発生しており、法の実効性の確保が図られるべきであるところ、悪質性が高い行為については刑事罰による制裁によって抑止を図る以外ない。現在の刑事罰で

531

個人

は抑止力に欠けていることは、悪質な事案が後を絶たないことからも明らかである。
なお、刑事罰の在り方を検討するに際しては、課徴金制度との関係を考慮する必要がある。悪質性が強度で課徴金制度も機能しない事業者の事案については、刑事罰による外はない。しかし、課徴金制度を導入することによって違法行為の抑止が期待できる領域においては、課徴金制度を優先した検討が適切である。このような観点からすると、違法収益のはく奪制度がない日本法の下では、課徴金が低すぎると違反業者のやり得が残ってしまうことになるので、刑事罰による抑止力の役割が高くなるという関係になる。逆に刑事罰は抑制的あるいは限定的にする方向で考えるのであれば、課徴金が十分に抑止力をもつような制度設計とする必要がある。
【意見】現時点で個人情報保護は「企業」や「団体」からの漏洩を主としていますが、第三者の個人からの漏洩についても罰則や差し止めなどを求められるように改正するべきではないかと考えま
す。

532

個人

【理由】週刊文春などの大手マスコミへの俗にいう「タレコミ」の他に、現在はSNSでの不特定多数への「晒し」と呼ばれる個人間で入手した個人情報を全世界に向けて発信、性加害や暴行を誘発す
るようなネット掲示板への投稿などをする行為が非常に頻繁に行われています。これらへの罰則規定だけでなく、悪質な個人に対しては「差し止め要請」「禁止」及び被害者への関与を禁ずるなど、被害者の救済措置を第一に、早く行えるように整えるべきではないかと感じています。

533

合同会社

asura

個人情報保護法制への敵対または違法行為に対する抑止のためには、刑事罰の新設や上限刑の引き上げをもってするよりは、民事上の手続きによらず市場から不当に得た利益を引きはがす目的のために課徴金をもってするのがよいのではないかと思料する。
153 ページ

インターネットやデジタル技術の使用頻度、習熟度は世代によって差がありますが、今後それらの技術がなくなること・退化することはないと思われます。従って、進化した技術が悪用されることを未然に少しでも防ぐために、個人情報の保護や、漏洩したデータを悪用したときの罰則は厳しくしておくべきだと考えます。
漫画家や小説家に加え、最近ではVtuberなど、芸名を使い顔をださずに活動するひとたちが増えてきているので、いわゆる身バレの心配がなく安心して活動できる仕組みを強化すべきです。
534

匿名

インターネット、いわゆる匿名掲示板などが台頭した当時に「インターネット上で匿名性が守られるのはマナーを守っているときだけで、誹謗中傷などをした場合には個人は特定され罰を受ける」という仕組みができるのが遅れてしまったために(あるいは周知が遅れてしまったために)、インターネット上では個人は特定されない、何を言っても良いと強く思い込む人間がいまでも多く見られます。これと同じパターンを防ぐためにも、マナーを守っていれば個人情報はしっかり秘匿され、そうでない場合は個人情報は公開され罰を受けるのがあたりまえだと周知徹底されるべきと思います。
個人情報の不正取得に関し、不正競争防止法上の「営業秘密」には該当しない個人情報を例えばダークウェブ上から取得し、これをさらに開示ないし利用することも規制対象とするべきであると考える。本年６月に株式会社●●に対するランサムウェア攻撃により、攻撃者により取得されたと思われる個人情報を含むデータが開示されたのではないかという報道は記憶に新しいが、個人情報データ

535

匿名

ベース不正取得罪が不正競争防止法上の営業秘密侵害罪を補完する性質で創設された背景にも鑑みれば、個人情報取扱業者のみならず、一般に個人情報を不正取得した者に規制範囲を拡張し、その中でも「自己または第三者の不正な利益を図る目的あるいは当該事業者に損害を加える目的で、当該情報を開示し又は盗用した場合」および、「正当な理由なく、自己または第三者の不正な利益を図る
目的あるいは当該事業者に損害を加える目的で、当該情報に関連する情報を開示しまたは盗用した場合」において処罰する旨の規定を創設してもよいように思われる。
最後に、個人情報保護法

536

匿名

いわゆる３年ごと見直しに係る検討の中間整理」において留意されるべき事項としては、こども性暴力防止法において追加された、いわゆる「日本版DBS」で定められる、

こどもに関連する職業の求職者に対して性犯罪の前科・前歴に関する情報の取扱いについてである。これは「要配慮個人情報」に該当するものであり、この情報についての正当な理由なき開示および流用に関しては、当該者の職業選択の自由やプライバシーの観点から、より一層の刑法上の保護が必要であり、個人情報データベースの不正開示と同等、もしくはそれ以上の科刑を設定すべきである
ように思われる。
（意見）
罰則によって対応すべきものがあるか否かについて、慎重な議論を求めます。
（理由）

537

三浦法律事務所 個人情報データベース等不正提供罪においては、自己もしくは第三者の不正な利益を図る目的での提供・盗用が構成要件とされるところ、個人情報保護委員会がいう「悪質事案の類型」について、現行個人情報保護法上において行政処分及び罰則の対象としているところを超えて、直接罰則を設ける合理的な理由が必要であると考えます。
行為者、監督すべき立場の役員等も両罰規定によって処罰され得るところ、現行個人情報保護法の規制の在り方を変えて直罰規定を設けることによって、過度の委縮効果が生じないか懸念がありま
す。
（意見）

538

主婦連合会

個人情報が不正に取り扱われた悪質事案の類型が様々であることを踏まえ、現行法の規定では不十分な点を洗い出し、処罰範囲を広げることを求める。
（理由）
個人情報の不正取得の事例が多く発生している現状に鑑み、個人の権利利益の侵害の抑止につなげるため。

539

一般社団法人 新 •直罰規定は、行為者だけでなく監督すべき立場の役員等にも大きな影響を及ぼすものであるから、「悪質事案」と呼ばれる事案を分析・整理し、それらの悪質性はどこにあるのか見極めたうえで、
経済連盟

必要性を含め、慎重な議論をすべきである。
すでにマイナンバーカードの偽造が起こっており、（ youtube MBS NEWSから引用

540

匿名

https://www.youtube.com/watch?v=c-Xhkfj_k2U ）国から委託された事業者が、下請けなどで外部の業者に情報を渡している可能性が高く、現在は個人情報の取り扱いが極めて不適切だとしか思えません。
マイナンバーは国民の安全と財産に直結しておりpdfの１５ページに記載されている罰則では不十分に思えます。より安全な情報の取り扱いと、違反事業者へのより強い罰則を求めます。
今後、マイナンバーカードそのもののセキュリティも上げるようですが、内部から漏れてしまっては、それも意味がありません。

541

個人

＞(2)刑事罰の在り方
・意見→

厳罰化するべきである。

（意見）個人情報の詐取等の不正取得等について、直罰規定とすべきである。直罰規定の範囲は、悪質な事例、及び、犯罪集団等により悪用されるおそれのある行為に十分対処し得るものとすべきで
542

個人

543

匿名

ある。
（理由）現在の情報環境や犯罪集団の在り方に鑑みると、個人に関する情報の悪用は、重大な犯罪につながり得る。かかる犯罪を抑止するために、直罰規定を設ける必要があり、かつ、その範囲は十分なものである必要がある。
・また金銭目的などで個人情報を売買した個人、団体への厳罰化を強く求む。

154 ページ

（意見）第三者が違法行為を行った場合にのみ、行政措置を認めることを推奨する。また、法の違反に対してこれ以上の刑事罰を検討しないことを強く要望する。
（理由）
個人のプライバシー権が十分に保護され、企業の義務違反が抑止されることを確実にするためには、効果的な救済措置が重要となる。しかし、我々は、中間整理で示されている、いくつかの考え方が、法において損害を防止し、それに見合った救済をもたらす執行制度とならないのではないかと懸念している。特に以下の二つの点に関し、懸念がある。
•第三者に対する行政措置544

在日米国商工会 中間整理では、法に違反した事業者だけでなく、そのような個人情報の取扱いに関与した第三者が法に違反していなくても、その第三者に対して行政措置を実施する可能性が示唆されている。この考議所（ACCJ）

え方に我々は懸念を抱いている。貴委員会による勧告・命令などの行政措置は、第三者が違反行為を行っていないにもかかわらず、違反行為を行ったと認識される可能性があるからである。第三者が違法行為を行った場合にのみ、行政措置を認めることを要望する。
•刑事罰の在り方
金銭的罰則に加え、法では、特定の状況における刑事罰も規定しているが、この在り方に大きな懸念を抱いている。刑事罰は、プライバシー法やデータ保護法において有用な効果をもたらさず、国際的なベストプラクティスからも外れている。プライバシー法における実質的な要件を、金銭的な救済、また、行政や民事司法のプロセスを通じて利用可能な救済と組み合わせることで、個人のプライ
バシーの利益を保護し、起こりうる違反を抑止することが十分に可能であると考える。これとは対照的に、刑事罰に対する恐怖とリスクは、有益で無害なデータ利活用の実務を委縮させる可能性がある。法の違反に対してこれ以上の刑事罰を検討しないことを強く推奨する。
（御意見）・法に違反した事業者だけでなく、そのような個人情報の取扱いに関与した第三者が法に違反していなくても、その第三者に対して行政措置を実施する可能性が中間整理には示唆されていますが、そのような措置がとられた場合、違反行為を行ったと認識される可能性があるため、第三者が違法行為を行った場合にのみ、行政措置を認めることを奨めます。
・刑事罰は、プライバシー法やデータ保護法において有用な効果をもたらさず、国際的なベストプラクティスからも外れているため、法違反に対してこれ以上の刑事罰を検討しないことを強く推奨します。
（理由）
個人のプライバシー権が十分に保護され、企業の義務違反が抑止されることを確実にするためには、効果的な救済措置が重要となります。しかし、我々は、中間整理で示されている、いくつかの考え

BSA ｜ザ・ソフ 方が、法において防止しようとする損害に見合った救済をもたらす執行制度とならないのではないかと懸念しています。特に以下の二つの点に関し、懸念があります。
545(再掲)

トウェア・アラ ・第三者に対する行政措置
イアンス

中間整理では、法に違反した事業者だけでなく、そのような個人情報の取扱いに関与した第三者が法に違反していなくても、その第三者に対して行政措置を実施する可能性が示唆されています。この
考え方に我々は懸念を抱いています。貴委員会による勧告・命令などの行政措置は、第三者が違反行為を行っていないにもかかわらず、違反行為を行ったと認識される可能性があるからです。第三者が違法行為を行った場合にのみ、行政措置を認めることを我々は奨めます。
・刑事罰の在り方
金銭的罰則に加え、法では、特定の状況における刑事罰も規定しています。我々はこの在り方に大きな懸念を抱いています。刑事罰は、プライバシー法やデータ保護法において有用な効果をもたらさず、国際的なベストプラクティスからも外れています。プライバシー法における実質的な要件を、金銭的な救済、また、行政や民事司法のプロセスを通じて利用可能な救済と組み合わせることで、個人のプライバシーの利益を保護し、起こりうる違反を抑止することは十分に可能です。これとは対照的に、刑事責任のリスクは、有益で無害なデータ利活用の実務を委縮させる可能性があります。
我々は、法違反に対してこれ以上の刑事罰を検討しないことを強く推奨します。

155 ページ

第２ 個別検討事項

２ 実効性のある監視・監督の在り方(3)漏えい等報告・本人通知の在り方
No.

ア 漏えい等報告提出者

提出意見漏洩などの報告について報告期間を緩和することに絶対反対。「事業に影響が出る」と言うのは勝手な都合であり、そもそも問題を起こしておいてどの口が言うのかと言う話でしかない。問題を起こし

546

匿名

たのだから、事業に影響が出るに決まっており、理屈は通らない。漏洩された側のことをあまりにも軽視し、馬鹿にした主張と案であるとしかいえない。漏洩された側は、その瞬間から支障をきたしており、損失が生じていることを考えれば期間の短縮など検討の余地もないことは明白なはずなのに、経団連の横暴な圧力に屈する内容でまったくもってありえない。そして、漏洩されてもそのような対応で良いと考えるような組織の書式に個人情報を入力するなんて差し支えしかない。個人情報の重みを理解していないとしか思えない案には断固反対。
【意見】
このような規制緩和は行うべきではない。
【理由】

547

個人

- 適切な体制・手順が整備されているのであれば、法が定める義務に対応することが過度な負担になるはずがない。したがって、規制を緩和することに効果がないと考えるから。
- 漏洩等の速やかな報告を義務化している点については、EDPBが”Statement 1/2023 on the first review of the functioning of the adequacy decision for Japan”において、日EU間のデータ保護水準の調和に寄与すると歓迎している。これを緩和することは日本のデータ保護水準を下げることに繋がり、十分性認定に悪影響を及ぼしかねないから。
- 一律で報告を義務化することで、漏洩等の実態を悉皆的に把握することができる。対応の程度によって報告内容や義務を上下させることは、実態把握を困難にする懸念があるため。
漏えい等報告の速報免除に関して、事業者側の要求に肩入れしすぎではないか？
以下理由につき、速報免除の変更案に反対する。
1.認定個人情報保護団体が提供する独自認証を取得していたとしても、当該個人情報取扱事業者が真に有効な個人情報保護体制を構築できているかは別問題であること。

548

個人

2.認定個人情報保護団体側の運営体制も大小様々であり、認定個人情報保護団体に漏えい等報告をしたとしても、当該団体から十分なサポートを得られるかが不明瞭であること。
3.速報は『報告をしようとする時点において把握している内容を報告すれば足りる』というルールであり、現状、事業者の過度な負担になっているとは到底言えないこと。
4.国内外のプライバシー保護に関する意識の高まりとは反する内容であること。
・漏えい等報告及び本人通知に関し、これらの義務が事業者の過度な負担になっているために、「速報については、一定の範囲でこれを免除し、確報について一定期間ごとの取りまとめ報告を許容する」というのは本末転倒である。
そもそも、個人情報保護委員会への報告義務があるのは、委員会が事態を早急に把握し、必要な措置を講ずることができるようにすることにあったわけであるが、急速に増えているランサムウエア感染株式会社シーピー
549

デザインコンサル
ティングに対して、個人情報保護委員会が火消し役と果たしていないがために、漏えい報告が単にペナルティとしか映っていないがための反応だと考える。
漏えい報告は、本来の思想のとおり、「事業者が社会のために行う協力行為」であることを強く示し、事業者の社会性を問うべきである。その上で、事業者からの報告を個人情報保護委員会が集約することの価値を生み出さなければならない。
・一方で、少人数組織である個人情報保護委員会が国内の４００万事業者を監督することには、そもそもの無理がある。「公正取引委員会
護団体制度を拡げることには大いに賛成する。
各認定個人情報保護団体が、個人情報保護委員会に代わって火消し役を務められるよう権限の強化を求める。

156 ページ

各公正取引協議会」が機能しているように、認定個人情報保

病院に勤務する者です。
P.18漏えい報告について、個人情報であるかどうかの判断が、漏洩先ではなくその事業者内で個人を特定できるかどうかとされていることが負担です。
例えば患者IDや、「●月●日に入院した●か月児」といった情報は、たしかにその病院内の電子カルテにアクセスできる者であれば個人を特定できますが、それ以外の者には誰のことか想像もできません。
550

漏えい先（多くが別患者）が、その情報だけでは到底個人を特定できない場合は、漏えいには当たらないのではないでしょうか？仮に同じ病院内の別部署の人間がカルテで特定したとして、それは業務匿名上の問題であり、個人情報保護委員会への報告対象ではないはずです（患者も、科を特定して個人情報の使用を同意しているわけではありません）。
漏えいされた本人からも「病院も大変ですね」といった同情的な意見が寄せられています。
また、病院間の診療情報提供書の誤送付、患者への処方箋や予約票などの誤配付は、電子化することによって防げると思います。国の効果的なシステム設計を望みます。
また、関係団体からは、いわゆる「おそれ」要件についての要望も示されている。「おそれ」については、個人の権利利益を害する可能性等を勘案してより合理的と考えられる場合に報告や本人通知を求めることが適当であるとも考えられるが、その具体的な当てはめについては、現実の事例に応じて精査する必要がある。事業者の協力も得ながら、実態を明らかにした上で検討を行い、必要となる要件の明確化を行うことが必要である。

とあるが、私は業者の個人情報漏洩について下記事例について覚えがある。
551◯●●から情報流出が起こるのではないか?

個人●●は、彼が出演するラジオ番組で「●●は偽名を使わないと身バレしてしまう。偽名で宅配を頼んだところ配達員が間違えて別人に送付してしまい、見ず知らずの人に届けられてしまった。たぶん食されている」ことをネタにしていた。
旧Twitterであるインフルエンサーが炎上した個人の情報流出を匂わせる出来事を目にしたため、●●からの情報流出はあり得るのではないかと考えている。宅配員が勝手にインフルエンサーに情報を漏らしたのではないか？という案件だった。宅配員が個人情報をもらして漏洩した際、業者からは何の案内もなかった。炎上した個人が一方的に損害を被るのではないかと危惧している。何らかの対策が必要なのではないか？
意見及び理由公益社団法人552

全

国消費生活相談員
協会

・漏えい報告については、個人情報保護委員会が事態を早急に把握し措置を取るための制度であり、その趣旨を損なわない限度において、一定の合理化はあり得ると考えますが、本人通知について
は、本人が漏えいの事実を知る唯一の方法であり、本人の権利利益を保護するために、現行制度が確実に維持されるべきと考えます。また、事業者が違法に個人データを第三者提供した場合は、漏えいとは異なるものの、本人の権利利益の保護のために、本人通知がなされる必要があると考えます。
・なお、現状、漏えいしていても本人通知や個人情報保護委員会への報告をしない悪質な事業者が存在すると推測します。そうした端緒情報を把握するための通報窓口や公益通報制度の活用等を検討することを求めます。
個人情報の不正使用や漏洩は、目に見える形の被害にならない限り「わからない」。「わからない」ので相談等もしないし、利用停止の申し立てもしない。

553

個人

結局、個人情報保護委員会が「必要に応じて報告徴収・立入検査を行う」ことに頼らざるを得ないが、実効性については心許ない。
「必要」をどのように認知するのか？上述の通り、「わからない」本人からの申し出を待っても意味がない。大量の漏洩や金品詐取などの被害があって初めて認知するのでは遅すぎる。
個人情報Gメンのような（人員・予算を伴った）制度を検討すべきである。
昨今、個人情報保護方針を掲げながら個人情報を流出させる企業、官庁等が続出している。情報流出をした場合の罰則をしっかりと規定し、保護する方向性を国が示すべきだ。

554

匿名

今の状態はいかにも保護に取り組みますというパフォーマンスだけを行い、いざ流出したらごめんなさいの一言で終わり。馬鹿にしている。
国策として個人情報を国益につなげていこうとしているのならば、対策もしっかりと行うのがすじであると思う。マイナカードもしかり。
メリットだけの話をしても中身がスカスカでは信用できない。デメリットにも本気で取り組めと強く言いたい。

157 ページ

【意見】漏えい等の報告について、報告期限の延長などが報道されています。個人情報保護委員会への報告期限は現状を維持し、かつ対象の人数に関わらず、速やかに本人に通知し、併せて漏えいされた本人を保護するための施策を講じるための規律を設けるべきです。
【理由】
個人情報保護委員会への報告を要する事態が生じた場合には、本人への通知も行う必要があります。そもそも漏えいのあった事実が本人に知らされないこと自体が個人の権利を侵害していると受け止め
555

全国消費者団体連 ます。併せて「中間整理」の現状にも、同一の事業者による繰り返しの漏えい等も記載されており、事業者内での周知や教育の徹底が重要です。
絡会「ア漏えい等の報告」について、現行通り早急に委員会に報告するべきであると考えます。誤送付等で漏えいが1名の場合などの記載がありますが、漏えいは人数の問題ではなく、漏えいした事実にこそ着目するべきと考えます。また、個人の権利利益を害する漏えいの「おそれ」がある場合にも、委員会への報告や本人通知を早急に行うことが必要です。何より本人通知を行うことで、対象者自らによる早期に対処につながり、有効であると考えます。
「イ違法な第三者提供」について、報告義務を課すべきです。また、関係団体等からはこれらの義務が事業者の過度な負担になっているという意見が出されているようですが、漏えいを起こしてしまった事業者として、誠実に対応すべきであると考えます。GDPRでも個人データ侵害や高いリスクを発生させる可能性がある場合に、遅滞なく通知を義務付けていますので、参考として規制すべきです。
○意見内容
漏えい等報告について、一定の体制・手順が整備された事業者については速報を免除し、確報については一定期間ごとの取りまとめ報告を許容するという考え方に賛同します。具体的には、JISQ15001に基づくプライバシーマークなどの認証を取得した個人情報取扱事業者に対しては速報を免除するとともに、確報については①（漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件）のケースに限らず、一定期間ごとの取りまとめ報告を許容して頂くことをお願いします。また、現行制度では、個人情報保護委員会に加えて認定個人情報保護団体にも漏えい等を報告する義務がありますが、いずれか一方に報告した場合には他方には報告不要として頂くことの検討をお願いします。
○理由
漏えい等報告について、現行制度では報告及び本人通知の義務が企業に過大な負担を生じさせている。プライバシーマークなどの認証を取得している事業者については、認証取得が適切な体制・手順を整備していることの明確な証拠となり、漏えい等の報告基準の一部として考慮することが可能なため。また、既に認定個人情報保護団体の介在により漏えい報告が重複している部分については、両者の報告書式が異なるなど事業者の負担となっているため。

556

電子情報技術産業協会○意見内容
報告対象の「おそれ」要件（漏えい等が発生したおそれがある事態）については、2023 年12 月の第266 回個人情報保護委員会のヒアリングでも意見させて頂きましたが、「発生したおそれがある」か否かは事業者での判断が難しく、また続発するサイバー攻撃において僅かでも「おそれのある事態」をすべて報告することは、事業者に過度の負担が生じる可能性があります。ガイドライン通則編には「個別の事案ごとに蓋然性を配慮して判断する」とありますが、個人データの漏えい等がほぼ確実になった段階で報告する等、「おそれのある事態」の定義に関して、個人の権利利益へのリスクと事業者の負担とのバランスを考慮した見直しをお願いします。例えば、「会議後提出資料（https://www.ppc.go.jp/files/pdf/231221_shiryou-1-1dantaikaitou.pdf）」において示した箇所について見直しをお願いします。また、以下２つのいずれかに該当する場合など、個人データの漏えい等が「発生したおそれがない」ケースについても例示して頂くことをお願いします。
 事業者による調査の結果、個人情報の第三者への漏えい等の痕跡が確認されなかった場合
 漏えいした情報のみでは本人を特定できず、かつ漏えいした情報を用いて本人に連絡することができず、かつ本人に金銭的な被害が及ぶ情報が含まれていない場合○理由「発生したおそれがある」か否かは事業者での判断が難しく、僅かでも「おそれのある事態」をすべて報告することは、事業者に過度の負担が生じる可能性があるため。また、ガイドライン通則編で「おそれがある事態」は例示されているが、「おそれがない」場合についても例示した方が報告や本人通知についての事業者による要否判断が確実になるため。上記の２つのケースは、個人情報の漏えい等の可能性がない、または個人の権利利益を害する可能性がないと見なすことに合理性があると考えられるため。

158 ページ

（意見）
これまでに個人情報保護委員会が受けた漏えい等報告の内容を検証したうえで、漏えい等報告の範囲・内容の合理化を行うことに賛同します。また、漏えいした個人データに係る本人の数が極めて少な
く、本人通知が的確になされている限り、個人情報保護委員会に速報を提出する必要性が比較的小さいとの分析も合理的であり賛同します。当該分析に基づき、当該状況においては、一定期間ごとの取557

日本マイクロソフト株式会社

りまとめ報告を許容するとともに、一定期間ごとの取りまとめ報告において漏えい等への適切な対処の状況を簡潔に報告することを提言します。
全般的には、リスクベースアプローチに基づき合理的な範囲に報告対象を絞り込むことが重要であるとの中間整理の認識に賛同します。当該アプローチは、個人情報保護委員会が、消費者への過剰な通知や通知疲れを回避しつつ全ての適切な状況において確実に通知するための適切な柔軟性を創造します。
また、中間整理では、体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提にするとの要件追加が提案されていますが、企業の規模や業態等によっては対応が容易ではない
特定の制度への参加等を条件とすべきではないと考えます。あくまでも本人への影響が少ないケースについて報告の合理化を図ることを提言します。
＜意見＞
本中間整理では、個人情報取扱事業者の漏えい等報告・本人通知の在り方に係る現状と考え方が示されている。
このうち、P20には我が国の現状等として、「関係団体等からは、（中略）漏えい等報告及び本人通知の負担軽減を要望する声が上がっている。」と記載されているが、その意見と同様に負担軽減策を検討していただきたい。

558

全国信用金庫協会

なお、検討の方向性については、「考え方」に示されている内容に賛同する。
＜理由＞
令和4年度より漏えい等の報告が義務化されたことから件数は増加傾向にあり、今後の事業者負担にも繋がる恐れがあるため。
（御意見）・丸数字1に関し、漏えいした個人データに係る本人の数が「10人以下」の場合は、本人通知を適切に実施することを条件として速報を免除いただきたい。
（理由）・速報免除の趣旨として、漏えい報告の大半を占める誤交付・誤送付において、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が比較的小さいことが挙げられていると

559

匿名

ころ、漏えいした個人データに係る本人の数が1人の場合に限らず、10人以下という人数範囲であれば、本人通知を含め、十分に迅速かつ適切な本人対応が期待でき、当該趣旨が妥当する。
・また、関係団体等からは速報の義務が事業者の過度な負担になっているという意見が示され、これまでの報告実績によると、漏えい等した個人データに係る本人の数は、1人が84.0%、2？10人が7.6％と、10人以下のものが漏えい事案の90％超を占めるところ、上記のとおり速報免除の範囲を10人以下まで緩和すれば、負担を軽減することができ、より本人対応に注力することができる。
・なお、上記の範囲で速報を免除したとしても、確報を一定期間ごとに取りまとめて報告することを前提としているため、個人情報保護委員会においては、確報により漏えいの件数やその対応等を適切に把握することも可能である。

159 ページ

【意見】漏えいした個人データに係る本人の数が少なく、本人通知が的確になされている場合に、「速報を免除する」「確報の取りまとめ報告を許容する」等の、「リスク等に応じた対応」への見直しは、事故発生時の個人情報取扱事業者の対応の負担を軽減するものであり、歓迎します。
さらに、本法改正後の「特定分野ガイドライン」等の改正におかれまして、漏えい等報告・本人通知が必要な「事故の範囲」に関しても、「リスク等に応じた対応」をご検討いただくことを、事前にお願い申し上げます。
【理由】
560

個人

現在、金融機関は、金融分野ガイドライン第11条に基づき、個人情報保護法第26条に基づく漏えい等報告・本人通知以外に、「上乗せ規定」として、原則「すべての」個人データの漏えい等事故につき、漏えい等報告・本人通知が義務であるとともに、原則「すべての」個人情報の漏えい等事故につき、漏えい等報告・本人通知が努力義務となっています。
現状すでに、前述の「上乗せ規定」の漏えい等報告には、今回の見直し案と同様、「速報を免除する」「確報の取りまとめ報告を許容する」等が認められています。しかし、「すべての」個人デー
タ・個人情報の漏えい等事故につき、原則「漏えい等報告・本人通知」の「両方」が求められている点については、その対応が負担になっています（特に本人通知の対応）。
つきましては、各社の「安全管理措置」と「当該事故と類似の事故の再発防止策」が確立されていることを前提に、一定の範囲内の「本人の権利利益の侵害の可能性が極めて低い事故」については、「漏えい等報告・本人通知を省略できる」等の、「リスク等に応じた対応」のご検討をお願いしたいと思います。

個人情報漏洩等事故の中には、「中間整理」にも繰り返し記載があるとおり、委託先が発生させたものも少なくない。しかし、委託先事業者が事故を起こした場合でも、現行法では委託元に管理責任を課していることから、委託元事業者の名称公表や各種命令が課されている。一方、次世代医療基盤法の認定作成事業者に医療情報を提供する医療情報取扱事業者や、地域医療連携ネットワーク（地連）にデータ提供を行う医療機関等、自らの組織に直接的・積極的な利益がないものの、国等が行う事業への協力を含む社会的活動としてデータ提供を行うような事例で、データ提供に伴って求められるデータ抽出処理等の業を委託しているような事例も少なくない。もしこのような場合でも、委託先が発生させた事故に伴って自組織に何らかの負担が発生する可能性があれば、データ提供自身を事業者が控える行動が誘発され、結果として、国等が行うデータ利活用を推進する事業自身が阻害され得る。
このような懸念を払拭するため、米国においても参考文献で報告されているように、地域医療連携ネットワーク（HIE）にデータ提供をおこなう場合に、委託元に一般的な管理責任を課さないような
561

個人

ルールが設けられている事例がある。
以上のことから、次世代医療基盤法の認定作成事業者のように、一定の要件を満たしていることを制度的に担保している事業者へのデータ提供、及び、データ提供に伴い自組織が行うべき業務の提供
先機関への委託については、提供元に一般的な管理責任を課さないようなルールを設けることが必要であると考える。
（参考文献）
黒田佑輝, 山本豪志郎, 黒田知宏: 米国における医療情報交換(HIE)の利用状況と患者の同意および医療機関の責任に関する法制度からみた日本への示唆. 医療情報学, vol.43, no.4, pp.149-164(2023/10/11)

160 ページ（意見）私たちは、個情委の報告期間の見直し提案を支持します。同時に、業界としては、実際にどのような改革が有益なのかについて、より詳しく意見が聴取されることを期待しています。例えば以下のような考え方があります。
一般的な通知義務に一定の基準を設けること（例えば、データ侵害の責任者が軽減できない重大な被害のリスクなど）には大きな利点があるという点には同意しますが、「体制・手順について認定個人
情報保護団体などの第三者の確認を受けることを前提と」することが有益であるという点には同意できません。被害に関して何らかの基準を設ける案については、そうすることにより消費者は、真に関連性があり、リスクをもたらしうる件についてのみ通知を受けることになります。このようにすることにより、通知疲れ、すなわち、消費者が通知に対して鈍感になり、適切な事例で行動を起こすリス
クが減退することを回避することができます。
第三者による確認・認証が自主的なものであったとしても、それは一部の企業にとって有益なものとなる可能性がありますが、義務化すべきではありません。義務化してしまうと、企業は自社のプロセ
スや慣行の詳細を第三者に開示することを義務付けることになり、新たなリスク領域を生み出す可能性があります。
「漏えい等のおそれ」について。「おそれ」の度合いをリスクベースで評価すべきです。
562-1

Asia Internet
Coalition Japan

具体的には「おそれ」がどの程度存在していたのかをリスクの段階に分けて評価することが考えられます。
例えば、以下の3段階で評価してはどうか。
- ハイ・リスク：漏えい等が発生したことがほぼ確実であると合理的に考慮できる場合- ミドル・リスク：漏えい等が発生したことが推測されるが、おそよ確実であるとは合理的には考慮できない場合- ロー・リスク：漏えい等が発生したことが論理的には考慮する事ができるが、その発生の可能性は合理的に考慮してほとんど存在し得ないような可能性である場合-

161 ページハイ・リスクの場合には、報告・通知の可能性を考慮する。ただし、後述するように、対象のデータが本人の権利利益のどの程度侵害するか、その度合いによって、報告を行うのか、通知を行うのかを考慮する。
ミドル・リスクの場合には、報告の可能性を考慮する。ただし、後述するように、対象のデータが本人の権利利益のどの程度侵害するか、その度合いによって、報告を行うのか、通知を行うのかは考慮する。
ロー・リスクの場合は、報告も通知も行わないこととする。
「漏えい等」又は「漏えい等のおそれ」があった対象の個人データが、本人の権利利益の侵害の度合いがどれくらいあるのかについても、リスクベースで考慮した上で、委員会報告・本人通知（公表）の実行をどうするべきかを判断すべきです。
個人情報保護法においては、いわゆる容易照合性の考え方のもと、対象の情報が個人情報であるのかどうかについては、事実上かなり広い範囲の情報が個人情報または個人データであると評価されることとなります。
その事自体は構わないが、情報を単体として評価した際においては、個人情報であっても、それぞれ単体の情報が「漏えい等」が起きた場合であっても、本人の権利利益の侵害の度合いは全く持って同じではなく、大いに異なることがあります。
特に、情報単体では特定の個人を識別できない個人情報や、容易照合性を根拠とする個人情報については、「漏えい等」または「漏えい等のおそれ」が起きた場合の、本人の権利利益を侵害する度合い
562-2

Asia Internet

は著しく低い場合があります。

Coalition Japan また、このような情報においては、本人に通知しても、本人は何も対応できることがないケースもあります。
このような場合においては、例えば委員会報告は行うが、本人通知（公表）は行う必要が無いといった、合理的な運用と考慮がされて当然であると考えます。
委員会報告はした上で、通知の要否について個人情報保護委員会と当該案件におけるリスクベースの考え方を、ディスカッションしつつ柔軟に対応できるようにする、ということもまたひとつ考えられます。
上記の2点（「おそれ」の考え方、対象となったデータの本人の権利侵害の程度）をそれぞれリスクベースアプローチで考慮したうえで、報告及び本人通知を考慮する必要があります。
「1件の漏えいの件について本人通知ができていれば報告する必要性は低い」とあるが、多くの企業が現在苦労しているケースは、漏えいの恐れの件数としては多数にはなりますが、実際の個人の権利利益への影響は軽微にとどまると思われるケースです。
漏えい報告がサンクションとして捉えられる誤解もあり、より円滑な報告のために報告義務の趣旨を明確にすべきです。
漏えい先において特定の個人を識別できないケースでは、漏えい報告、本人通知をしても個人の権利利益の保護につながらず、漏えい報告、本人通知を義務付ける意味はありません。
１件でも本人通知できない場合には公表しなければならない運用とされているのは硬直的です。公表は要配慮個人情報が含まれる個人データ、財産的被害が生じるおそれに限定するなど本人通知と公表に差を設けることが肝要です。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
（意見）
本人通知について、本人の権利利益の確保、つまり権利侵害の救済につながるものにする必要がある。
（理由）
本人に通知されただけでは単に「知る権利」を充足するに過ぎず、本人の救済にはならない。

563

サステナビリティ
消費者会議

（意見）
個人の権利利益侵害のリスクに応じた報告のあり方は賛同できるが、その大前提として、個人情報の安全管理措置が権利利益の侵害リスクに応じた仕組みを策定している事が必要である。また、そのリスクの判断についてはステークホルダーや社外の有識者の参画が求められる。
（理由）
人権リスクの特定・評価については「ビジネスと人権に関する指導原則」において人権デュー・ディリジェンスのプロセスの一つである。認定個人情報保護団体の活用も基本を踏まえて検討すべきである。
（３）漏えい等報告・本人通知の在り方

564

個人

・義務が負担と言われても、漏洩した責任の方が重いので義務であるべきである。
本来そのような事が起きないように心がけるべきであり負担と思われる程度で構わない。
違法な提供については、こちらの方が社会的、倫理的に考えれば重く義務化されるべきである。
162 ページ

（意見）現行の漏えい等報告・本人通知の在り方を緩和することに反対。
（理由）
565

個人

二次被害・類似事案の防止が漏えい等報告及び本人通知の趣旨・目的なのであるから、たとえば事業者がセキュリティインシデントに対応中でマルウェア等の犯人を泳がせて調査しているような場合は別として、原則として個人情報漏えい事故が発生した場合は、迅速に漏えい等報告・本人通知を事業者に行わせるべきである。現行の漏えい等報告・本人通知の在り方を緩和することには反対。
また、漏えい等に関する義務が生じる「おそれ」要件についても、「おそれ」が発生している以上は安全管理措置義務違反が発生していることは事実なのであるから、事業者は違法であるのであって、「おそれ」要件を緩和することには反対である。

566

匿名

国や企業が個人情報を漏洩した場合の罰を強化すべき。
（意見）
漏えい等報告における速報免除とには反対
（理由）

567

個人

一般的な漏えいについて重要なことはデータ主体への二次被害の防止であり、企業が自ら迅速に対応するためには第三者である個情委あるいは認定個人情報保護団体に「迅速に通知」する手続きは、社
内的な対応を回避できなくするための重要な法定事項であると考える。
上場企業でのセキュリティマネジメント導入・運用経験からも、速報が義務でなくなれば、事業者が即時対応体制自体を回避する可能性が高く（企業として不要なコストを投じないことは当然）、その間にもデータ主体（管理顧客ではない可能性も高い）が二次被害に晒される可能性が増加することが懸念される漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件（①）については、本人に対する通知が適切になされることを前提に、一定の範囲で個人情報保護委員会への報告義務を緩和する
考え方に賛成する。

568

弁護士有志

他方、漏えい等又はそのおそれを認識した場合における適切な対処（漏えい等が生じたか否かの確認、本人通知、原因究明など）を行うための体制・手順が整備されていると考えられる事業者（②）については、漏洩の重大性によっては、なお社会全体で速やかに情報共有する必要性があることも多いと考えられることから、安易に報告義務を緩和すべきではない（報告を遅らせることは情報隠しにもつながるおそれがある。）。
「おそれ」の要件の明確化については、賛成するが、報告・通知義務を安易に緩和する方向での検討はされるべきではない。

163 ページ（３）漏えい等報告・本人通知の在り方
意見⑪＜漏えい報告・通知（全般・リスクベース＞”個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の 合理化を検討すべき” とのリスクベースの対応とする考え方に賛同。
また、中間整理には記載がないが、たとえばリスクが少ない例として、以下のような場合は、本人通知や漏えい報告が不要となることを明確化すべき。
・提供元基準で個人データとなるが、本人の権利利益への影響がないような項目＊のみの漏えいの場合＊法令上個人データとなるが、性別、年齢、組織名等の個人にひもづく属性で、ひとりの個人情報ともいえないデータ項目
なお、令和2年の法改正前は、報告を要しない場合＊の規定が存在していた。
このうち、①太字箇所、”漏えい等事案に係る個人データ又は加工方法等情報によって特定の個人を識別することが漏えい等事案を生じた事業者以外ではできない場合”に該当する除外規定を、復活させるべきではないか？
＊4-3 報告を要しない場合
次の①又は②のいずれかに該当する場合は、報告を要しない（※2）。
（※2） この場合も、事実関係の調査及び原因の究明並びに再発防止策の検討及び実施をはじめとする上記4-2.の各対応を実施することが、同様に望ましい。
① 実質的に個人データ又は加工方法等情報が外部に漏えいしていないと判断される場合（※3）（※3） なお、「実質的に個人データ又は加工方法等情報が外部に漏えいしていないと判断される場合」には、例えば、次のような場合が該当する。
・ 漏えい等事案に係る個人データ又は加工方法等情報について高度な暗号化等の秘匿化がされている場合
・ 漏えい等事案に係る個人データ又は加工方法等情報を第三者に閲覧されないうちに全てを回収した場合・漏えい等事案に係る個人データ又は加工方法等情報によって特定の個人を識別することが漏えい等事案を生じた事業者以外ではできない場合（ただし、漏えい等事案に係る個人データ又は加工方法等情報のみで、本人に被害が生じるおそれのある情報が漏えい等した場合を除く。）
・ 個人データ又は加工方法等情報の滅失又は毀損にとどまり、第三者が漏えい等事案に係る個人データ又は加工方法等情報を閲覧することが合理的に予測できない場合② FAX若しくはメールの誤送信、又は荷物の誤配等のうち軽微なものの場合（※4）

569

ソフトバンク株式 （※4） なお、「軽微なもの」には、例えば、次のような場合が該当する。
会社

・FAX若しくはメールの誤送信、又は荷物の誤配等のうち、宛名及び送信者名以外に個人データ又は加工方法等情報が含まれていない場合
理由：個人の権利利益の侵害につながらないことが明確な場合においても、形式的に報告や本人通知を行うことは、過剰であり、利用者・事業者・個人情報保護委員会、いずれにとっても望ましくないと考えるため。
意見⑫＜漏えい報告・通知（1件速報免除）＞”速報については、一定の範囲でこれを免除”し、”確報について一定期間ごとの取りまとめ報告を許容”することに賛同。

なお、速報を不要とし、確報で一定期間まとめ報告とする件数の閾値については、1件と数件で大きな差があると考えにくいのではないか。
令和６年５月15日個人情報保護委員会の資料P.6の統計の分布＊をふまえ、漏えい等した人数が数件～100件程度を閾値とすることを検討してもよいのではないか？
＊

１人の事案：80.4％（6,175件）
２～10人の事案：8.2％（631件）
11～100人の事案：2.9％（220件）
101～1,000人の事案：2.3％（180件）

理由：個人の権利利益の保護の観点で、質的に緊急性の低い事案に関する業務を削減することで、事業者のみならず、個人情報保護委員会がリソースを有効活用できるようにすべきと考えるため。
意見⑬＜漏えい報告・通知（おそれ）＞”「おそれ」については、個人の権利利益を害する可能性等を勘案してより合理的と考えられる場合に報告や本人通知を求めることが適当であるとも考えられるが、その具体的な当てはめについては、現実の事例に応じて精査する必要がある。事業者の協力も得ながら、実態を明らかにした上で検討を行い、必要となる要件の明確化を行うことが必要である。” に賛同。
理由：同上

164 ページ漏えい等報告の合理化として、認定個人情報保護団体等の第三者による確認を踏まえたうえで事業者の自主的な取組みに一定程度委ねることには賛成。
認定個人情報保護団体(第三者)による確認は事業者の体制・手順だけでなく、例えば、認定個人情報保護団体がこれまで受け付けた漏えい等報告を分析したうえで、二次被害発生のリスクが低いと判断できる漏えい事案をあらかじめ類型化し、当該事案が発生した場合であって本人通知が的確になされているものについては報告時期や頻度を合理的なものとする、といったリスクベースアプローチの観点を含めることをご検討いただきたい。
また、どのような漏えい事案が二次被害発生のリスクが低いと判断できるかは、貴委員会と認定個人情報保護団体が調整・確認していくことも併せてご検討いただきたい。
570

日本クレジット協会

理由：・漏えい等報告制度の趣旨を損なわないようにしつつ、一定の合理化をご検討いただきたいため。
漏えい等の報告基準の緩和は賛成。配送業者による誤配、本人自身で住所変更が行われなかった、1会員にしか生じ得ない事象などにおける報告基準の緩和は、法の完全施行を待たず、段階的に施行していただきたい。
理由：
・現運用に課題認識があり、多くの事業者の早期負荷削減に寄与すると考えるため（意見）
現状の個人情報保護法においては、不正アクセスを含む「不正の目的をもって行われたおそれがある」漏えい等については、常に本人の権利利益を害するおそれが大きいものとして、極めて例外的な場
合を除き、本人に被害が生じるおそれの有無や程度を問わず、当局への報告及び本人への通知が必要とされているが、以下の点から合理化が必要であると考える。
具体的には、以下で述べる不均衡を是正するため、報告等に関する個人情報保護法施行規則第７条を改正し、不正アクセスの場合もカバーする軽微基準の要件（例えば、「本人の権利利益に実質的なリスクを与えるおそれがないと合理的に想定される場合」は、報告および通知は不要とするなど）を導入していただけるよう要望する。その上で、中間整理でも検討されているように、事案の内容に応じて、速報、本人通知及びバルクレポートなどを合理的に要求する制度設計を要望したい。
（理由）（１）報告・通知の趣旨との関係
漏えい等報告の趣旨は、委員会が事態を早急に把握し、必要な措置を講ずることができるようにすることにある。また、本人への通知の趣旨は、通知を受けた本人が漏えい等の事態を認識することで、その権利利益を保護するための措置を講じられるようにすることにある。したがって、そのような措置を講ずる必要性がない場合には、報告および通知を求める必要性は低い。

571（２）GDPRとの均衡
一般社団法人国際 GDPR等の他国の法制の多くにおいては、不正アクセスによる場合であっても、本人の権利に対するリスクを生じさせない場合には報告および通知しないことを認めている。本人の権利保護と事業者の銀行協会負担のバランスが図られていると考える。国際的に事業展開している事業者に対する不正アクセスによる情報漏えいにおいては、複数の国で同時に被害が発生することが通常であるところ、現状の法制であると、本人の権利に対するリスクが低いと思われる場合において、他国においては不要な報告および通知を日本では行わなくてはならない場合が生じうる。このような場合、日本特有の対応として、事業者に過度な負担が生じ、海外のステークホルダーからも理解を得られにくい。
（３）規則７条２号との均衡「不正に利用されることにより財産的被害が生じるおそれがある」漏えい等（規則７条２号）に関し、「個人情報保護に関する法律についてのガイドライン」に関するQ&A（令和６年３月１日更新）において、「報告の対象となる事態」が当該データの内容や性質を踏まえ、具体的に示されており（Q６ー９から６ー１４）、報告の対象となる事態にあたらない場合も示されている。
これら（１）（２）（３）は、本人の権利利益を害するおそれが小さい場合に報告等を要しないものとして、軽微基準の要件が考慮されていると解される。他方、規則７条３号にはこのような要件がな
く、本人の権利利益を害するおそれが小さい場合（例えば従業員の氏名、会社割り当ての電話番号とEmailアドレスのみが漏えい等した場合）であっても、一律に報告等を要求するのは２号とのバランスを失するものと考える。

165 ページ（御意見）
漏えい報告の範囲と内容の簡素化、「おそれ」要件の見直しという検討の方向性を支持します。簡素化の恩恵を受けるためには、第三者の確認を前提としない、簡素化されたアプローチをより広範に採用することを推奨します。
（理由）
BSAは、漏えい等報告の範囲と内容を簡素化するという中間整理における検討を支持します。
BSA ｜ザ・ソフ これらの義務を合理化することで、企業、規制当局、個人が、最大のリスクをもたらす事案に焦点をあてることが可能となります。報告義務範囲をリスクベースのアプローチに基づいた、合理的な範囲
572

トウェア・アライ に絞る重要性が中間整理において認識されていることを我々は歓迎します。我々は特に、以下を支持します。
アンス・漏えいした個人データに係る本人の数が少数である場合の報告要件の見直し
漏えいした個人データに係る本人の数が少数であり、かつ、本人通知が的確になされている限りにおいては、貴委員会への速報提出を求めることが適当ではないとする中間整理の考えに同意します。む
しろ、そのような状況では、このような漏えいに関し、企業が一定期間ごとに情報をまとめて報告提出するのが望ましいかもしれません。一方、中間整理においては、このようなプロセスの合理化は、
体制・手順について認定個人情報保護団体等の第三者の確認を受けることが前提であるとしています。報告義務の簡素化の恩恵を受けるためには、企業にそのような制度の参加を義務付けるのではな
く、本人への影響が最小限の事案に対する貴委員会への報告義務を合理化するために、簡素化されたアプローチをより広範に採用することを推奨します。
・「おそれ」要件の見直し
本人への実際の危害リスクが評価されていない状況においては、本要件が漏えい等に関する過剰報告につながりかねない、という考えに我々は同意します。個人の権利利益を害する可能性等を十分に勘案した上で報告または通知を義務付けるという中間整理の考え方を我々は支持します。

166 ページ

【意見】「本人通知が的確になされている限りにおいては委員会に速報を提出する必要性が小さい」とあるが、例えばクレジットカード情報のように財産的被害を防ぐためには本人の迅速な対応が必要となると考えられることから、速報の提出を免除するにあたっては、その対象を漏えい等した本人の数で判断するのではなく、漏えい等した個人データの内容も判断要素とするようご検討いただきたい。
【意見】
適切な対処ができる体制・手順が整備されているかどうかを認定個人情報保護団体などの第三者機関の確認に委ねるものとなっている点について、以下1）から4）の意見を提出する。
1）現状では、個人情報保護委員会のホームページ（認定個人情報保護団体制度の概要）によれば、認定個人情報保護団体の業務の一つとして、「3.対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務」が示されている。今回の中間整理にある「例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受けること」は、当該業務に含まれるものと解釈するが、その確認方法（内容・手順等）については、一定の精度を担保する必要があるため、認定個人情報保護団体個々の判断に一任するのではなく、認定個人情報保護団体を横断したベースとなる基準を定める必要があるのではないか。なお、基準を作成するにあたっては、認定個人情報保護団体に過度な負担とならないよう考慮願いたい。また、「認定個人情報保護団体などの第三者の確認を受けることを前提として…」とあるが、第三者の確認の具体例を示していただきたい。
2）十分な確認を行うノウハウを有する第三者機関として指定・認定などが行われるのか、明確にしていただきたい。
573

一般財団法人日本 3）第三者機関による確認作業に係る負担（人的、金銭的）は補償されるのか、明確にしていただきたい。
情報経済社会推進 4）第三者機関が確認したことにより速報を免除された事業者が本人通知を的確に行わず確報提出までの間に財産的被害等が生じた場合、当該第三者機関はその責を負うことはないのか、明確にしてい協会（JIPDEC） ただきたい。
【意見】
漏えい等報告や本人通知の範囲・内容の合理化を検討することは賛成であるが、本人への通知が適格になされていることの判断規準を具体的に示す必要があり、速報の免除はセットで考える必要がある。また、1.のようなケースで確報を一定期間ごとの取りまとめ報告を許容することについて、『適正に行われるかどうか』を判断できる基準も必要なのではないか。それらの点も含めて検討していた
だきたい。
【意見】
「おそれ」要件については、本中間整理にあるとおり、明確化を行っていただきたい。また、事業者が判断するタイミングについても検討いただきたい。例えば、事故発覚直後は「漏えいのおそれ」がある事象であっても、その後の調査で「おそれすらない」と判断されることもあり得る。速報の免除や確報の取りまとめ報告を検討する上で、おそれの有無に関する判断のタイミングによっては、事業者の対応が変わることが予想されるため、実態に即した検討を行っていただきたい。

（意見）「体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除し、さらに①のようなケースについては確報について一定期間ごとの取りまとめ報告を許容する」旨の対象事業者が、プライバシーマーク認証取得事業者である場合には、非常に歓迎すべき内容である。但し、一層の改善を要望したいのは、プライバシーマーク認証
574

日本DPO協会事 取得事業者は、現在、漏えい等の報告を審査機関経由で、認定個人情報保護団体に、個人情報保護委員会への事故報告内容とほぼ同じ内容の事故報告を行っており、速報・確報とも重複した報告業務が務局発生している。2022/4 施行の改正個人情報保護法が施行される前は、プライバシーマーク認証取得事業者は、漏えい等の報告を審査機関経由で、認定個人情報保護団体、さらには、個人情報保護委員会に報告されていたと認識しており、従来の報告方法・手順に戻してほしい。その上で、一定期間ごとの取りまとめ報告に変更いただきたい。
（理由）
漏えい等の報告工数の削減に繋がるため。

167 ページ

【意見内容】
現在、個人情報保護法上報告・通知が求められているのは、（１）要配慮個人情報が含まれる事態、（２）財産的被害が生じるおそれがある事態、（３）不正の目的をもって行われた漏えい等が発生し
575

アマゾンジャパン
合同会社

た事態、（４）1,000 人を超える漏えい等が発生した事態の 4 つの場合に限定されている。もし、確報が（１）～（４）に該当しない軽微な事象まですべて報告等を求める内容となれば、事業者にとって過大な負担となり、報告の負担軽減という中間整理の趣旨に反する結果を生じる。したがって、速報においても、確報においても、上記の（１）～（４）に該当しないものは報告等の対象外であることを明確にするよう求める。
【理由】
規律の明確化のため。
近年、日本企業を狙った不正アクセスやランサムウェア被害などのサイバー犯罪による、個人情報の漏洩の被害件数が増加しているのではないかと思いますが、こちらの対策を講じて企業や団体が保有する個人情報(顧客情報、従業員情報、採用者情報、病院であれば患者の医療情報など)が守られるように、情勢に基づいた個人情報保護法への見直し案を検討する必要があると考えます。
こちらは国民の生活を脅かす存在へ対抗するための重要な課題であり、現状役に立たないAIへのデータ提供よりもよほど重要な話なのではないでしょうか。
各企業に改正案への対応を要求して日本国内全体のセキュリティの水準の向上を促したり、万が一サイバー犯罪を受けた際にも極力被害を抑えられるよう企業側が必要以上に個人情報を漏洩しないよ

576

匿名

うな仕組みを構築・推奨して、漏洩を未然に防いだり、漏洩が発生しても被害を抑えるために必要な法制度をつくるべきではないでしょうか。
また、個人情報保護法とは少し別件にはなりますが、「サイバー犯罪の実行犯は社会に大規模な被害を与えるのに対して、実行犯が逮捕に成功しても実行犯が受ける刑罰が軽すぎるのではないか」と思います。
不正アクセスや個人情報漏洩の実行犯が受ける罰則を重くするなどして、サイバー犯罪の実行犯のリスクを増加させることで少しでも犯罪を躊躇させる抑止力に期待するなど、極力日本企業と国民の個人情報が狙われないような方向へと向かわせるべきではないですか。
個人情報保護の範囲の向上を通して、日本企業や国民の生活をサイバー犯罪による情報漏洩の脅威から守るべきです。

577

匿名

データ漏洩について、もう少し漏洩したデータを取り戻させることはできないかと思う。一度ネットに流れてしまった情報を消すことが容易でないことは承知しているが、漏洩させたことへの責任を情
報を消すことで負ってくれないかと感じることがある。
実効性のある監視・監督の在り方について、漏えい等報告に比重があまりにも偏っているのではないか。

578

匿名

漏えい以外の、関連性原則に違反するような、、データの誤った利用による不適切な決定が行われる事例について、監視・監督し、指導・勧告等を行っていくべきではないか。
公表された事例を見る限り、漏えい報告や報道を契機に受け身で対応しているようにしか見えない。
能動的に不適切なデータの取り扱いを把握し、適切な権限行使をしていくべき。
・意見
情報漏洩を発生させうる事業者等の負担軽減をはかる方針が含まれていますが、あくまで被害者となった人物の権利・利益の保護を最優先とし、過度に事業者側に有利にならないように検討をお願いい
たします。

579

匿名

・理由
有事の際に最も被害を被るのは被害者本人です。情報漏洩を発生させた側が有利となるような制度設計は、個人情報の不適切な取り扱いを蔓延させる原因となりえると考えます。
また、今後の技術発展において、特にIT事業者は法的・倫理的なリスクを侵してでもインターネット上のデータを収集する可能性が指摘されています。そのため、情報漏洩の監視・監督にはより一層の注意が必要であり、事業者側の負担軽減を理由に監視がおろそかにならないよう、慎重な議論が必要と考えます。
>関係団体等からはこれらの義務が事業者の過度な負担になっているという意見が示されている。
>そこで、こうした意見も踏まえつつ、委員会がこれまでに受けた漏えい等報告>の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個人の権利>利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の

580

個人

>合理化を検討すべきである。
個人情報取扱事業者にとって個人データとなる場合でも、漏えいしたデータのみで個人を識別できないケースにおいては、
個人の権利利益侵害が発生するリスクが極めて低いと考えられるが、個人情報取扱事業者にとっては報告対象となることから、大きな負担となっていると考えられる。
このようなケースにおいては、報告対象外とする方向などの議論を通し、合理化を検討することが必要と考えられる。

168 ページ

（意見）「おそれ」要件についての精査について賛成します。また、「おそれ」のほか、現在報告対象事態に該当しないとされる「高度な暗号化」以外にも例外とし得る措置がないか併せて検討していただくよ
うお願いいたします。
具体的なケース（氏名等の本人を特定する情報の漏えいか、本人の連絡先等アプローチが可能な情報の漏えいか、また、財産的被害が直接生じる情報の漏えいかといった、漏えい等が懸念されるデータの内容、実際に漏えいが発生した蓋然性のほか、漏えいした場合にデータを悪用し得る仕様（暗号化に限らず、データの保存・管理の態様等を広く含みます。）であるかといった本人の権利利益侵害の蓋然性）を踏まえ、漏えい等報告と本人通知を必要とする報告対象事態について改めて検討がなされるべきと考えます。なお、当局への報告等に関しては、欧州一般データ保護規則（GDPR）よりも厳しい要求がされているとの指摘もあり、本人の権利利益の保護と個人情報取扱事業者の負担のバランスが適切であるかなど、精緻な議論が必要です。
また、個人情報保護委員会が公表する事案の多くは漏えい等であるところ、時期や内容に鑑みて公表の趣旨・目的が不明瞭であり、必要性のない公表（懲罰的公表を含みます。）は控えるべきと考えます。
（理由）
現行法下での個人情報保護委員会による漏えい等報告・本人通知についての運用は、具体的な個人の権利利益の侵害が惹起されないような場合（社内管理IDの漏えいや、技術的に悪用が困難な仕様で保581

三浦法律事務所存された情報の漏えいについても報告対象となること等）であっても報告等の対象とされ、個人の権利利益の保護として要求されるレベルとして不適当な状況が続いています。他方、企業は、個人情報保護委員会から監督権限を行使されるほか、公表によるレピュテーションの低下を受け入れざるを得ない状況が続いています。
具体的な個人の権利利益の侵害が惹起されないような場合にまで、法令上の義務として報告対象事態とする必要性はないのではないかと考えます。
その他、速報の期限が短すぎること、報告対象事態の該当性判断の困難さ（例：「おそれ」要件）等、漏えい等という速やかに影響範囲を限定するなどの措置を講じなければならない場面における個人情報保護委員会対応の過度の負担が問題視されています。
（意見）
違法な第三者提供がなされたことについての個人情報保護委員会への報告及び本人への通知を義務付けることまでは要求しないことでよいと考えます。
（理由）
現行個人情報保護法の運用上、第三者提供の制限（第27条・第28条）に違反するケースを漏えい等として報告対象としているケースが多いところであり、現状でも多くの問題について個人情報保護委員会は把握でき、また、ご本人の知るところとなっていると思料します。提供先が特定されるのであれば、単に提供先との関係で個人データの消去等を実施すれば足りるように考えられます。
なお、目的外利用等、個人情報取扱事業者内部で対処すれば足りる他の義務違反については、本人通知の義務付けまでは要求されなくてもよいのではないかと思料します。
（意見）
現行の漏えい等報告の規律の合理化の検討は慎重に進められなくてはならない。事業者都合から軽々に規律をゆるめるべきではない。

582

主婦連合会

また、現行法において、事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務が存在しないことは問題である。違法提供の場合の規律を導入すべき。
（理由）
事業者の都合を優先することにより個人の権利利益を守る機能が損なわれてはならない。
•現状の漏えい等報告や本人通知については、個人の権利利益の侵害が発生するリスクの大小にかかわらず、多くのケースにおいて実施することが求められる運用となっており、健全な事業者ほどかなりの負担を強いられていることから、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討することに賛成する。
•中間整理で挙げられている事例はいずれも本人通知を前提としているが、個人の権利利益を害する恐れがほとんどないようなケースは、本人通知や公表が権利利益の保護にとって意味をなさないことか583

一般社団法人 新経済連盟

ら、本人通知やそれに代わる公表も不要とすべきである。
•「体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として」合理化するとあるが、現状は法の条文にある「個人の権利利益を害するおそれが大きいもの」の範囲を大きく超えて、権利利益を害するおそれではなく、漏えい等のおそれが少しでもあれば本人通知や報告の対象となってしまうような運用となっているところ、まずはそのような運用や考え方を見直すことが重要である。
•「違法な第三者提供」の報告について、「漏えい等」と具体的に何が異なるのか、本来の漏えい等報告の必要性や趣旨に照らしてどのように評価されるのか、現状の漏えい等報告における運用はどうなっているのか、具体的事案をもとに慎重な検討が必要である。

169 ページ

・ 意見
個人情報保護委員会への報告、本人通知を緩和することについては賛成する。
漏えいの対象に関しては、個人情報保護法施行規則7条各号において、「発生したおそれがある事態」「財産的被害が生ずるおそれがある個人データの漏えい等」といったように、「おそれ」がある場
合も広く対象としているが、これを撤廃すべきである。
個人情報保護法施行規則7条3項において、個人データについて、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。」として、他の個人データとは別の定義を定めているが、これを撤廃すべきである。
報告対象となる個人データに関し、漏えい先基準により判断すべきである。
速報における報告内容をより簡素にすべきである。
確報に関し、現在は原則として発覚日から30日以内、不正な目的で行われたおそれがある場合には60日以内に行うこととされているが、これらの時間を延長し、あるいは、報告内容の簡素化等の対応を検討すべきある。
584-1

個人

認定個人情報保護団体などの第三者の確認を受けることを前提とした速報の免除を制度として導入すべきではない。
個人情報保護委員会において、個人情報取扱事業者からの速報、確報を受け、これらを定期的に分析・検証し、その結果を適時適切に行うよう義務付けるべきである。
・ 理由
情報セキュリティ・インシデント発生時において、特に発覚当初、個人情報取扱事業者は急遽の対応を求められ、インシデント対応の体制整備にその時間のほとんどを奪われることとなる。
個人情報保護委員会への速報は、そのような時間がない中で、個人情報取扱事業者にそのための報告を捻出することを強要するものであり、実際、個人情報取扱事業者には大きな負担となっている。
また、確報を求められる30日、60日という時期に、インシデント対応が完了することは多くなく、多くの場合、「確報」であるにも関わらず、確報を二度三度と繰り返すことを余儀なくされる。インシデントを受けている個人情報取扱事業者としては、速報よりは時間的な余裕があるとはいっても、事業を再開し、各ステークホルダーへの対応に注力している時期であり、そのような時期に確報を何度も行うことは、個人情報取扱事業者にとって負担となる。
個人情報保護委員会への報告対象は、個人情報保護法施行規則7条各号において、それぞれ「おそれ」を含めていることにより、かなりの広がりが生じており、かつ、インシデントに関して真面目に調査を行えば行うほど、「おそれ」が拡大し、それにつれて報告や本人通知の場面が増えるという結果を生じさせており、これでは、「おそれ」を拡大させない範囲での適当な調査が最適となってしま
い、かえって、不十分なインシデント対応を横行させる原因となる。

170 ページこれに含め、「個人データとして取り扱われることが予定されている」ものまで個人データに取り込んでしまうと、いわゆる散財情報たる個人情報に関してまでも、結局漏えい報告、本人通知を行う必要が生じ、大規模なインシデントのほとんどが7条3項に関するものであることを踏まえれば、実質的には個人データによる限界づけが行われていないに等しくなる。
加えて、漏えいにおける対象が個人データであることにより、当然のように、漏洩元基準による判断がなされているが、いわゆる第三者提供時の提供元基準においては、事業者の意思で提供をする場
面であるから、提供によるリスク判断や本人同意の問題が生ずるため、これを維持する必要があるのに対し、漏えいの場合は、当該情報が本人に損害等を生じさせるか否かが問題なのであって、第三者からして、単体では特定個人を識別することができない情報まで、漏えい等の報告、通知対象とする意味はない。
ついては、個人情報保護委員会への報告、本人通知を緩和することについて賛成であり、その方法として、個人情報保護法施行規則7条各号における「おそれ」の撤廃、及び個人情報保護法施行規則7条3項における「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。」の撤廃、個人データにおける漏え
い先基準の適用とその明示を求める。
また、速報の報告内容、及び確報のうち、最終的な報告以外の報告内容の簡素化が図られるべきである。
次に、中間整理では、認定個人情報保護団体などの第三者の確認を受けることを前提とした速報の免除の制度が例として挙がっているが、これまで衆目を集めた多くの個人情報漏えい案件において、認定個人情報保護団体である一般財団法人日本情報経済社会推進協会の認証制度であるプライバシーマーク取得企業が漏えい主体であったことを想起すべきであり、不当である。
認定個人情報保護団体における確認で期待されるのは、インシデントレスポンスが適切になされることのみであり、認定された個人情報取扱事業者が適切な対応をしたからといって、個人情報保護委
員会が早期にインシデントに関する情報に接し、適切な監督を行う役割まで全うされる理由は無い。
このような方法を採っても、結局のところ、報告対象が当該認定個人情報保護団体に代わるだけであり、個人情報取扱事業者において、漏えい等対応の負担軽減には全くなっておらず、無意味である。
本人への通知に関しても、本人への通知を書面などにより交付した場合、書面の送付だけでも莫大な費用と手間が生ずることを想起すべきであり、被害拡大防止という本人通知が求められる理由に立
ち返り、軽減が図られるべきである。
584-2

個人

現在の立て付けでは、公表等による代置は、「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき」とかなり狭く、例外の緩和を求める。
以上のように、漏えい時の報告等については軽減が図られるべきであるが、そもそも、漏えい等の報告を受けた個人情報保護委員会側にも大きな問題がある。
すなわち、個人データの漏えい等の報告に対し、個人情報の漏えい等報告に関して、当該報告に基づくフィードバックが個人情報保護委員会から全く行われおらず、委員会内で適切な分析がなされているかどうかすら不明だということである。
漏えい等報告が義務化された令和2年個人情報保護法改正に先立ち、公表されていた「個人情報保護法いわゆる３年後と見直し制度改正大綱」では、基本的考え方として、「漏えい等報告は、委員会が漏えい等事案を把握し、個人の権利利益の保護を図るためのいわば情報源である。個々の事業者を適切に監督するというだけでなく、当局が、事業者が参考にすべき情報を積極的に事業者に対して発信したり、助言したりすることによって、他の多くの事業者の適切な対応につなげていくという意義も大きい。」とし、「漏えい等報告が個人情報の本人、個人情報取扱事業者、監督機関それぞれにとって多くの意義があること、国際的な潮流になっていること等を勘案する必要がある。このため、漏えい等報告について、法令上の義務として明記することとする。」としていた。
しかし、このうち、「当局が、事業者が参考にすべき情報を積極的に事業者に対して発信したり、助言したりすることによって、他の多くの事業者の適切な対応につなげていく」という運用は、個人情報保護委員会において現実に全く行われておらず、「漏えい等報告が個人情報の本人、個人情報取扱事業者、監督機関それぞれにとって多くの意義」があるとはとてもいえない状況となっている。
これはひとえに、個人情報保護委員会自身が、漏えい等報告の本来の目的を忘れ、機械的な報告徴求と報告の受領に終始したことによると言わざるを得ない。
個人情報保護委員会に集中したインシデント情報は、非常に有益な情報であり、これを適切に分析、公開し、適切に個人情報取扱事業者に対し注意喚起することにより、同様のインシデント発生を抑止
でき、ひいては、将来インシデントを引き起こすおそれのあった個人情報取扱事業者のサービスを利用する本人の利益に繋がることとなる。個人情報保護委員会には、そのためのインフォメーションセ
ンターとなる役割が期待されている。この様な役割を果たすべく、個人情報保護委員会は、検証した結果の公表を適時適切に行うべきであり、法により、個人情報保護委員会による定期的な分析・公開を義務付けるべきである。

2(3)の漏えい等報告の論点については、委員会におけるヒアリング資料を読んでいる段階では、事業者サイドが随分無責任な姿勢を取っている印象を受けたが、本資料に記載の現状の数字を見ると、
585

匿名

確かに一律の規制にすることはかえって硬直的のように感じた。その意味では、報告及び本人通知の対象については見直し論にも一定の合理性はあると考える。一方、「おそれ」要件については、慎重な検討の上、事業者サイドに都合のいい恣意的な解釈運用の余地が生じないようにすべきである。
・P20「漏えい等報告」について：「適切な対処を行うための体制・手順が整備されていると考えられる事業者については、一定程度自主的な取組に委ねることも考えられる」「第三者の確認を受ける

586

匿名

ことを前提として、速報については、一定の範囲でこれを免除することも考えられる」とあるが、現在、大規模な情報漏えいがたびたび起きているのに、事業者の自主的な取組に委ねてはいけないと思います。第三者の確認を受けたところで、確認さえ受けてしまえばその後はその体制が継続的に確保されないということも大いに考えられると思います。
171 ページ

「第２個別検討事項」「２

実効性のある監視・監督の在り方」「(3) 漏えい等報告・本人通知の在り方」の「【考え方】

ア

漏えい報告等」について

医療機関ではヒューマンエラーによる誤交付・誤送付事例が一定の確率で発生している。これらの事例について、医療機関においては、医療安全上の観点でインシデントレポートシステムが提出され、患者に真摯に説明・謝罪し、院内で事例を集積して原因分析・再発防止策の実施が図られてきた。医療機関として、医療安全対策と並んで、個人情報漏えい対策にも注力すべきであることは言うまでもないが、一方で、繁忙な医療現場において、これらの事例の発生時に漏えい等報告対応も併せて行うことは、多大な業務負荷を生んでいる。この点、医療・介護施設等についてのみ法令上の義務を免除することは難しいとも推察するが、「【考え方】」に記載の「個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである」との点の具体化にあたり、上記実情を踏まえて検討いただきたい。
587

東京大学医学部附
属病院

例えば、患者IDが記載された紙の誤交付や紛失等は一定程度の確率で発生するが、これらの事例について、漏えい先では患者IDを閲覧しただけでは個人が特定できないにも関わらず、漏えい元基準（漏えい先ではなく漏えい元の電子カルテデータと照合して個人が特定できるなら漏えいとみなす基準）に基づくと、要配慮個人データの漏えいとして漏えい等報告が必要となる。しかし、漏えい先で個人が特定できないのであれば、実質的には漏えいしていないものとして、報告不要としてもよいのではないかと考える。
また、医療機関相互の連携にあたり、他の医療機関宛てに紹介状（診療情報提供書）を送付する場面があり、その際、送付先医療機関の名称類似等による誤送付が発生することがある。誤送付が発生した場合、要配慮個人情報を含む個人データが漏洩したものとして、漏えい等報告が必要になる。しかし、誤送付先は医療機関であるため、（診療情報提供書に記載されている内容は普段から触れている情報であるため特段珍しいものではなく）悪用の可能性は低いと思われ、受領後の対応（シュレッダー廃棄）も送付元から依頼するまでもなく直ちに行われている。このことから、他の医療機関宛ての誤送付は、第三者への漏えいではあるが、個人の権利利益を害するおそれが小さいと考える。

（意見）漏えい等報告については、法的規律の緩和よりも、より簡易に効率的に報告を行うことができる技術的な対応を促すべきである。また、法的規律や監督においてはより効率的な技術開発を促す
588

個人

ようなあり方を整えるべきである。
（理由）漏えい等報告の事務的負担が議論されるが、事務的な負担の軽減は、規律の緩和だけでなく、デジタルを活用した技術開発により克服できることもあり得る。かかる観点からの検討が必要である。
（意見）
関係団体等より、漏えい等報告及び本人通知の義務が事業者にとって過度な負担になっているとの意見が示されたことを踏まえ、当該報告及び通知の範囲・内容を合理化することに関しては、慎重な検討を要するものと考える。
（理由）
令和5年度個人情報保護委員会年次報告によれば、令和5年度における個人データ等の漏えい等報告件数は12,120件に達し、前年度の7,685件から大幅に増加した。その主たる原因は誤交付・誤送付等の公益社団法人日本
消費生活アドバイ589

ザー・コンサルタ
ント・相談員協会（NACS）

ヒューマンエラーであり、事業者が事前に適切な防止策を講じることによって回避し得た可能性が高いと推察される。かかる状況に鑑み、事業者の負担に配慮しつつも、個人の権利利益保護の観点か
ら、報告及び本人通知義務の緩和については慎重に検討すべきである。
また、本人通知は個人の権利利益保護の要諦であり、実効性向上のため、以下の強化策を要望する：a） 通知内容の充実
・ 漏えい等の事実に加え、本人がとるべき対応も明示させる。
・ 本人がとるべき対応策には、二次被害防止のための具体的なアドバイスを含める。
b） 通知方法の多様化
・ 電子メールやSMS等、迅速かつ確実な通知手段の活用を推奨する。
・ 本人が選択した連絡手段での通知を原則とする。

医療分野、創薬分野において治験等で用いられる情報は、要配慮個人情報に該当する為、一件の漏洩であっても報告対象となる。本見直しによって「認定個人情報保護団体などの第三者の確認を受けることを前提として、」まとめ報告等の緩和が検討されているが、要配慮個人情報そのものの該否基準が明確化されていないため、「それ単独では個人特定はできないよう処置した臨床試験データの一件
590

田辺三菱製薬株式 の漏洩」は報告対象と解釈することができる。しかし、そもそも治験で用いられる個人情報性ありとされるデータは、個人識別符号を持たず、高度な手続きを踏まなければ照合性を得る事もできない用会社配慮されており、数件単位の情報の人為的誤作業による漏洩が生じた場合に提供者当該本人に重大な侵害が生じる可能性はほぼ無い。そこで、治験施設、治験CRO等との適切な契約（Source Date
Verificationの照合行為の要件、禁止事項の明記等）によって制限が確認できる治験データで、個人識別符号を持たない者については、「非要配慮個人情報」（要配慮個人情報ではない）とし、一例漏洩の報告義務対象外となる要件を整備してほしい。

172 ページ

意見：591

日本製薬工業協会

事例に応じて速報の免除と一定期間ごとの取りまとめ報告を許容するとの考え方に賛同する。
理由：
１人の個人データの漏洩の場合などは本人への通知の速報が重要であり、委員会へ速報を求める必要性は低いと考える。よって、一定期間ごとの取りまとめとして報告することに賛同する。
意見内容
いわゆる「おそれ」要件について個人の権利利益を害する可能性等を勘案して限定的、かつ具体的に規定していただきたい。また、次の２つのいずれかに該当する場合は個人情報の漏えい等の「おそれ」がないことを明示していただきたい。

592

日本電気株式会社①事業者による調査の結果、個人情報の第三者への漏えい等の痕跡が確認されなかった場合②漏えいした情報のみでは本人を特定できず、かつ漏えいした情報を用いて本人に連絡することができず、かつ本人に金銭的な被害が及ぶ情報が含まれていない場合
理由「おそれ」がない場合を限定列挙した方が報告や本人通知についての事業者による要否判断が確実になるため。明示した２つの要件は、個人情報の漏えいの可能性がない、または個人の権利利益を害する可能性がないと見なすことに合理性があると考えられるため。
【意見】・漏えい等報告の過度な負担を考慮し、速報については一定の範囲でこれを免除する考え方や、確報について一定期間ごとの取りまとめ報告を許容する考え方に賛成する。なお、漏えい等報告の速報や確報に関する緩和の対象について、1名ではなく一定の少人数を許容していただきたい。
【理由】
・漏えい等報告について、損保実務において、報告が必要な事案の大半は1～10名程度の要配慮個人情報の漏えい等であり、事業者は相当なリソースを割かざるを得ず、過度な負担が発生している。
【意見】・次のような事案について漏えい等事案の報告対象外としていただきたい。
①具体的な傷病名等が含まれない要配慮個人情報の漏えい②特定の個人を識別することが漏えい等事案を生じさせた事業者以外ではできない情報のみの漏えい

593-1③漏えい先が明らかで、その漏えい先において既知の情報の漏えい

日本損害保険協会 ④「個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態」⑤漏えい先が医師、弁護士、探偵など法律上の守秘義務を課せられている職業の個人、法人に当たる場合で、ただちに守秘の合意を得られた事案【理由】
・個人の権利利益を害するおそれが大きいものが報告対象と規定されているが、上記のものは権利利益侵害の蓋然性と報告における事業者負担との比較衡量の観点から対象外としていただきたい。
①「病院等を受診したという事実」「薬局等で調剤を受けたという事実」も要配慮個人情報に該当するため、漏えい等報告対象となるが、当該事実のみでは個人の権利利益を害するおそれが大きいとまでは言えない。
②個人の特定は漏えい等の事故者となる個人情報取扱事業者以外では実行できず、個人の特定を行うための個人情報データベースへのアクセスが事業者で厳格に管理されている場合は個人の権利利益を害するおそれが大きいとまでは言えない。

173 ページ

③不特定かつ多数の者により随時に購入可能なデータベースは個人情報データベースに該当しないとされているところであるが、同様に漏えい先において既知の情報を漏えい等した場合も個人の権利利益を害するおそれが少ない。
④千人超の漏えい等の中には、漏えい等した個人情報、漏えい等の形態等により、権利利益を害するおそれのレベルについて、大小様々なものがあると考えられる。千人超の漏えい等は「個人の権利利益を害するおそれが大きいもの」として一律漏えい等報告の対象となっているが、個人情報保護法施行規則第7条第1号～第3号が「個人の権利利益を害するおそれが大きいもの」となっていることとの対比において、質的な面が考慮されておらず、バランスを欠くものとなっている。
⑤法律上の守秘義務が課せられた先への漏えいは、事故発生時に直ちに守秘の合意が得られた場合には、第三者への被害拡大は防止されることが期待され、実質上の不利益は発生しない。
【意見】
・事業者の側において個別事情に応じて個人の権利利益を害するおそれが大きいかどうかを判断して報告する枠組みとしていただきたい。
【理由】
・GDPRをはじめとする諸外国の法令においては、「漏えい等のうち個人の権利利益を害するおそれの大きいもの」が報告対象となっており、事業者の側において個別事情に応じて個人の権利利益を害するおそれが大きいかどうかを判断して報告する枠組みとなっているが、日本においても諸外国の法令のような規定とすることを検討していただきたい。
・事業者においては、漏えい等予防のための体制の充実および、よりリスクが高い漏えい事案等の対応に注力できるような制度とすべきである。
【意見】・「体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除」との考え方に賛成する。なお、制度化にあたっては、どのよ
うな体制・手順であれば速報の免除や取りまとめ報告の容認が受けられるのかが事業者にとって予測可能なものとなるよう、確認の要件・基準はできる限り客観的かつ透明性あるものとしていただきたい。
【理由】
・どのような事業者において一定の範囲での速報免除が許容されるかの基準が明確でなければ、認定個人情報保護団体等、国以外の第三者における適切な運用が困難と思われる。
593-2

日本損害保険協会【意見】・漏えい等の「おそれ」について、個人の権利利益を害する可能性等を勘案して、より合理的と考えられる場合に報告や本人通知を求めることが適当との考え方に賛成する。
【理由】・漏えい等報告について、事業者は相当なリソースを割かざるを得ず、とりわけ「漏えい等が発生したおそれ」に該当するか否か判断する際、自ずと報告対象が広がり、過度な負担が発生している。
【意見】・以下の類型について、通知義務の対象外とすることを要望する。
①個人データに係る本人の数が千人を超える漏えいが発生した場合②特定の個人を識別することが漏えい等事案を生じさせた事業者以外ではできない場合③本人の権利利益を害するおそれが大きいといえない場合【理由】①個人情報保護法第26条第1項に該当する場合は一律的に本人への通知が義務付けられているが、千人を超える漏えいの場合に関しては、千人を基準とすることに合理的な根拠がないと考える。また、複数の企業から業務を受託する会社において情報漏えいが発生した場合、千人を基準として、委託元の企業から通知がされる被漏えい者と、通知がされない被漏えい者が混在することとなり、漏えい発生有無に関し誤解を生じかねない。
②本人への通知は通知を行うことで本人の権利利益を保護する観点で実施するものと理解しているが、上記個人の特定が漏えい元事業者以外ではできない事態においては漏えいした情報から本人の権利利益が侵害を受ける蓋然性に比して、通知した本人にいたずらに不安を惹起させる面が大きいと考える。丁寧な説明により不安を払拭することは可能であるが、そのための事業者の負担も大きく、本人への通知が困難である場合に認められる代替措置をとることなどでも可としていただきたい。
③個人データを構成する個人情報には要配慮個人情報から、氏名、住所、電話番号といったものがある一方で、漏えい等による二次被害の可能性が極めて小さいもの、個人を特定することが難しいもの（例えば、証券番号、受付番号といったデータ取得者による悪用の可能性がほぼないが、千人超の漏えいのもの）まで様々である。二次被害の可能性が極めて小さいものに関する漏えい等について、被漏えい者に通知を行った場合、まずもって通知を受け取った本人が漏えい等によってどのような影響が被漏えい者本人に及ぶのかが理解しがたく、いたずらに混乱を招くばかりであるため、通知の対象
範囲は被漏えい者にとって影響のある範囲に限定すべきと考える。
174 ページ

【意見】・個人情報保護法第26条第2項の対応においては、通知もしくは公表のいずれの方法でも可能としていただきたい。
【理由】
・本人通知を行うためには、被漏えい者の最新の住所・連絡先等が必要となるが、保有個人データが必ずしも最新の情報ではない可能性がある。漏えい件数が多くなるほど、１件ごとの情報の精査は困難となり、誤った住所への書面送付、誤った連絡先への架電等、二次被害発生のリスクが高まることが懸念される。
・このような場合に、通知もしくは公表、どちらの方法が望ましいかを個人情報取扱事業者において主体的に判断できるようなルールとしていただきたい。
【意見】「二次被害のおそれ」について、金銭的被害以外の具体例を明示していただきたい。
【意見】・「個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである」という点に賛同するとともに、検討にあたっては、以下の観点を考慮していただきたい。
593-3

日本損害保険協会【理由・観点】
・通知義務の対象は、個人の権利利益の侵害が大きく、本人の権利利益の保全のために個別に通知を必要とする類型と理解しているが、現行の個人情報保護法施行規則第7条の類型について、この観点で再度検討を求める。また、本人通知の目的に鑑み公表による代替措置で可とされる類型について、新たに定義していただきたい。
・事業者においては、漏えい等予防のための体制の充実および、よりリスクが高い漏えい事案等の対応に注力できるような制度とすべきである。
・サイバー攻撃による個人データの漏えい等の可能性がある場合には、コストをかけた丁寧な調査により可能性の範囲が拡大し、また被害拡大の防止のためにとった初期化等の措置のためフォレンジッ
ク調査が一部不可能となり、このため漏えい等のおそれの可能性に該当する範囲が幅広くなることがある。このような場合、おそれの範囲が広いために、本人通知の件数が多いことに加え、本人通知が不可能であるために代替措置である公表を行わねばならない場合がある。しかしこうした場合、本人は通知を受けても権利利益保護のためになしうることは不審なメール等による連絡に注意する程度であり、漏えい等のおそれについて通知を受けたかどうかにかかわらず、インターネットユーザーとして常日頃留意するべきことであり、通知を受ける実益があまりないことが多い。
・また本人通知の代替手段としてのウェブサイト上での公表は、本人通知が不可能であるような本人がこれに目を通すことはあまり期待できない。一方、事業者にとって公表はそれ自体、事態の深刻度の程度にかかわらず、「個人データ漏えい等を引き起こした」と見られ、事業者のブランドイメージの毀損につながるおそれがある。本人通知や公表は、事業者へのペナルティではなく、本人の権利利益が目的であり、実質的に本人の権利利益保護に必要な範囲で義務付けるべきものである。
・本人としても、軽微な漏えい等事案についても通知が届くとなると、顧客等がさまざまな取引先から受け取る通知の数が増え、通知内容にあまり注意を払わなくなり、重大な漏えい等事案にかかる通知に本人が注意を払わなくなるおそれがある。

意見
これまでの漏えい等報告の内容を検証した上で、リスクベースアプローチで漏えい等報告や本人通知の範囲・内容の合理化を検討して594

一般社団法人日本 いくことに賛同。また、「おそれ」要件の明確化についても賛同。本人通知については、経済界と十分な対話を行い、慎重かつ丁寧に検討すべき。
経済団体連合会 理由
事業者は漏えい等報告と同様、本人通知にも苦慮。例えば、漏えいのおそれの件数が多くても個人の権利利益への影響が軽微にとどまるケースや、通知したところで本人が対応できることが何もないケースについて、合理的な運用となるように検討することが必要。
一般社団法人595

MyDataJapan
公共政策委員会

漏えい等報告については、もう少しエビデンスベースで議論を深めた方が良いのではないか。漏えい報告については、速報・確報のフォーマットが決まっているため、その負担は限られたものであり、むしろ本人通知が全件ベースで求められていること、全件通知ができない場合の代替措置が公表であることが事業者の負担となっている。このような負担を漏えい被害者の権利利益の侵害のおそれとの関係で、どう評価するかについての議論はありうるが、少なくとも、一定の場合に速報・確報を免除するという中間整理の提案は、事業者の負担を軽減するものになっていないのではないか。また、GDPRでは、原則72時間以内の報告、不当な遅滞のない本人への通知が求められており、グローバルスタンダードとの隔たりが生じる懸念もある。

175 ページ

（意見）考え方に賛成である。
（理由）
EC事業者において登録会員のアカウントへのなりすましログインなど対策を行っていてもある一定数は発生する事故があると考え、会員による設定パスワードの使い回しや、フィッシングサイト等による漏えいによりログイン情報が他事業者などから漏洩している場合などが挙げられる。初回発生時に対策状況を委員会および認定個人情報保護団体に報告し、事案を理解いただき助言をいただいた後も596

匿名

発生都度1件でも報告は行っているが、被害者への対応や再発防止の対応などに変わりはない報告書を何度も提出するという状況になっている。
EC事業者内からのアカウント情報漏えいが疑われるなりすましログインや、1000名を超えるような大規模ななりすましログインなど、異なるケースにおいては、あらためて報告が必要と考えるが、報告済みの事案と同様のものについては取りまとめ報告としたい。
プライバシーマーク取得事業者であれば、認定個人情報保護団体への事故報告も義務づけられており助言を受けることもできている。その結果、事案の確認や助言などの対応が委員会と重複して行われている。プライバシーマーク取得事業者は委員会への報告は無くし、認定個人情報保護団体から委員会への共有でよいこととし、プライバシーマーク取得していることで事業者の負担が軽減されるような施策として検討いただきたい。

597

株式会社ユーザ 中間整理の「考え方」に記載されているように、リスクに応じた効果的な報告制度を実現する観点から、漏えい等又はそのおそれを認識した場合における適切な対処を行うための体制・手順が整備されベースている事業者について、速報の免除や、一定期間ごとの取りまとめ報告を許容する等の方向でご検討いただきたい。
(1) 漏えい等報告・本人通知に関する中間とりまとめの案は不当です。これまでに生じた複数の大規模な個人情報漏えい事案において、認定個人情報保護団体である一般財団法人日本情報経済社会推進協会の認証制度であるプライバシーマーク取得企業が漏えい主体であったことを考えれば、安易に認定個人情報保護団体等の確認をもって、速報の義務を免ずる理由にはなりません。
速報が、個人情報保護委員会における早期のインシデント把握及びそれによる適切な監督のためにあることを考えれば、認定個人情報保護団体等の確認はその代替手段にはなり得ません。
また、現行の個人情報の保護に関する法律施行規則第７条が、漏えい等の規模に関する４号だけでなく、１号ないし３号の場合を定めた理由は、１号ないし３号にあたる漏えい等が発生した場合には、規模の如何に関わらず本人に対する重大な影響を生じさせる恐れが高いことによるからです。従って、規模が小さいからといって、安易に１号ないし３号の場合の確報の軽減を図る理由はありません。
さらに、本人通知に関して、報告対象を絞り込む点については賛成できません。報告から除外された本人が、漏えい等に対する対応や被害想定等を行うことが難しくなることが予想されること、情報技術の進展やサイバー犯罪の高度化に伴い、情報セキュリティ・リスクは日々変化し、法令、規則等により報告対象を絞り込んだ後、除外された対象が高リスクとなった場合に柔軟に適時の対応を行うこ

598

個人

とができるとは思われません。
(2) なお、個人データの漏えい等の報告に対し、当該報告に基づくフィードバックが個人情報保護委員会から全く行われておらず、委員会内で適切な分析がなされているかどうかすら不明な状況にあるのが問題ではないでしょうか。
個人情報保護委員会に集中したインシデント情報は、非常に有益な情報であり、これを適切に分析、公開し、個人情報取扱事業者に対し注意喚起することにより、同様のインシデント発生を抑止でき、ひいては、将来インシデントを引き起こすおそれのあった個人情報取扱事業者のサービスを利用する本人の利益に繋がります。
個人情報保護委員会には、そのためのインフォメーションセンターとなる役割が期待されています。この様な役割を果たすべく、個人情報保護委員会は、検証した結果の公表を適時適切に行うべきであり、個人情報保護委員会による定期的な分析・公開を義務付けるべきです。

意見：中間整理で示された我が国の現状を踏まえ、漏えい等報告及び本人通知の趣旨を損なわないようにしつつ、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内
長島・大野・常松599

法律事務所データプロテクション
チーム有志一同容の合理化を検討すべきとの個人情報保護委員会の整理に賛成する。もっとも、「考え方」に記載されたような方向性（体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として速報を一定範囲で免除すること、及び漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件は確報について一定期間ごとの取りまとめ報告を許容する）に限らず、速報を不要とする類型を設けたり、本人通知についてGDPRのように個人の権利及び自由に対する高いリスクを発生させる可能性がある場合に限って必要とするなど、更なる合理化を検討されたい。
理由：漏えい等報告における速報や本人通知は、特にサイバー攻撃の拡大抑止や二次被害防止等の観点から有用な制度であるものの、事業者の負担となっていることも事実であり、漏えい等の原因、情報の性質、漏えい等の規模等を勘案し、速報や本人通知を要しない類型としてさらにどのような場面が考えられるか検討されるべきである。
（意見）

600

日本製薬団体連合 事例に応じて速報の免除と一定期間ごとの取りまとめ報告を許容するとの考え方に賛同する。
会（理由）
１人の個人データの漏洩の場合などは本人への通知の速報が重要であり、委員会へ速報を求める必要性は低いと考える。よって、一定期間ごとの取りまとめとして報告することに賛同する。
176 ページ

(意見)漏えい等が「不正の目的をもって行われたおそれ」がある場合はいつでも通知しなければならないという現在の要件は、負担が大きく、GDPR及び他のほとんどのデータプライバシー制度に定められた範囲をはるかに超えている。通知は、データ侵害が「個人の権利及び自由を高いリスクにさらす可能性がある」場合（GDPR）等、本人に対する何らかの実際のリスクと結びついている場合にのみ要求されるべきである。
(理由)
現在の文言では、個人への脅威がなくても、「不正の目的をもって行われたおそれ」があるというだけで企業は通知を求められる。リスクベースのアプローチが適用されないことは、1日に何千回も攻撃されることが多い企業にとって、過度の負担となる。例えば、数人の個人の業務用Eメールアドレスにアクセスされたとしても、それは通知すべき問題とはらないはずである。
(意見)
現在、個人情報保護法上報告・通知が求められているのは、（１）要配慮個人情報が含まれる事態、（２）財産的被害が生じるおそれがある事態、（３）不正の目的をもって行われた漏えい等が発生した事態、（４）1,000人を超える漏えい等が発生した事態の4つの場合に限定されている。もし、確報が（１）～（４）に該当しない軽微な事象まですべて報告等を求める内容となれば、事業者にとって過大な負担となり、報告の負担軽減という中間整理の趣旨に反する結果を生じる。したがって、速報においても、確報においても、上記の（１）～（４）に該当しないものは報告等の対象外であることを明確にするよう求める。
(理由)
規律の明確化のため。

601

(意見)
在日米国商工会議 速報の免除について、認定個人情報保護団体などの第三者の確認を受けることが前提となっているが、確認の内容についてどのような内容を提示していくことが必要なのか方向性も示していただきた所（ACCJ）

い。例えば、認定個人情報保護団体への加盟の有無で判断する方向性を検討いただきたい。認証等のみによる確認は避けるべきである。しかしながら、まず認定個人情報保護団体による確認という第三者の確認の要件の必要性から検討すべきであると考える。この第三者による確認は、他の個人情報保護法制には存在しないものであり、企業などの組織体が個人情報保護法を遵守する責任と義務を負っているのであり、このような確認を得ることの価値は、速報の提出を免除されるという限定的な範囲にとどまるものであり、その価値はほとんどない。
誤送付など漏えいした個人データに係る本人の数が１名であるなど少数の場合、認定個人情報保護団体等の第三者の確認を受けた場合の確報について一定期間ごとの取りまとめ報告とすることを要望する。とりまとめ報告の期間は四半期から半年ごとが望ましい。
(理由)
実効性のある運用の在り方を検討すべきであり、より煩雑となることは本末転倒となり、避けるべき。
(意見)
これまでに個人情報保護委員会が受けた漏えい等報告の内容を検証したうえで、漏えい等報告の範囲・内容の合理化を行うことに賛同する。また、漏えいした個人データに係る本人の数が極めて少な
く、本人通知が的確になされている限り、委員会に速報を提出する必要性が比較的小さいとの分析も合理的であり賛同する。当該分析に基づき、当該状況においては、一定期間ごとの取りまとめ報告を許容するとともに、一定期間ごとの取りまとめ報告において漏えい等への適切な対処の状況を簡潔に報告することとすべきである。
中間整理では、体制・手順について認定個人情報保護団体等の確認を受けることを前提とするとの要件の追加が提案されているが、企業の規模や業態等によっては対応が容易ではない特定の制度への参加等を条件とすべきではなく、あくまでも本人への影響が少ないケースについて報告の合理化を図るべきである。
(理由)
漏えい報告制度の見直しにあたり特定の制度への参加等を前提とすることは、企業の規模や業態等によっては対応が容易ではない場合があるため。

177 ページ

（意見）本人通知が的確になされていることを前提とした当局報告の緩和措置等が中間整理において示されているところ、本人へのリスクの度合いに応じた本人通知の要否判断が可能な制度設計も検討していた
だきたい。
（理由）
閲覧者の属性（グループ会社従業員等）、閲覧者数、閲覧時間、閲覧時の記憶・記録の有無等のさまざまな事情に鑑み、本人に与えるリスクが極めて低い事案も想定される。そのような事案にまで、逐次、本人通知（通知困難の場合は公表）を求めると、却って本人に混乱を与えるのみならず、通知・公表が持つ意義も低減しかねない。GDPRにおいてもリスクに応じた本人通知の要否を検討することとしており、同一事案であっても、適用法により対応が異なる運用ともなり得る。リスクに応じて、本当に必要な漏えいに関する情報を本人に届ける制度設計を検討していただきたい。
602

AIガバナンス協会 （意見）漏えい報告等に関する「おそれ」の要件について、事業者の協力も得ながら、実態を明らかにした上で検討を行い、必要な要件の明確化を行うとの中間整理の方針を、早期に推進していただきたい。その際は、政令・規則の改正、ないしはガイドラインやQ＆Aへの追記など、法改正を待たずしてより早期に実現できる方策を検討していただきたい。
（理由）
漏えい報告や本人通知義務の要件となる「おそれ」の解釈が不明確なままでは、事業者において対応が区々になるとともに、保守的に考えるとおよそ全てのケースが当該義務の対象になるものと評価されかねず、その場合、漏えい対応業務に事業者が追われてしまう。加えて、本来的には不要な事案であっても本人は通知等を受けることとなり、不安の醸成、通知等の意義の低下、情報の埋没も招来し
かねない。

（意見）
・本人への権利侵害や経済的損害がおよそ想定できない場合 は、漏えい報告の例外としてほしい。
・本人通知は、本人への権利侵害や経済的損害が考えられる場合に限定してほしい。
（理由）
・現行の 漏洩報告 義務について、 要件がはっきりしていて自己裁量が求められない 点で事業者としては対応しやすい。
・一方で、 1 ,000 件以上の漏えいは要報告という要件 があると、一定程度の規模をもつ事業者においては、 漏えいの内容を問わず、事実上漏えいの全件報告になっている。
・海外法令、例えば E U の GDPR では、当局への通知義務の例外として本人の権利と自由が侵害される恐れが非常に低い場合（“ personal data breach isunlikely to result in a risk to the rights andfreedoms of natural persons Art.33. GDPR ）には当局への通知の例外に当たるとされている。
・そのた め、本人への権利侵害や経済的損害がおよそ想定できない場合（例：従業員の機微情報ではない情報（名刺情報など）のアクセス権の設定ミス等によるグループ内漏洩）は漏えい報告の例外と603

一般社団法人 日 していただきたい。ただし、後日何等かの形で本人への影響が起きた場合に備えて、 GDPR で定められているように、漏えい事実の記録の作成、保管義務は別途定める必要がある。
本自動車工業会 ・また、本人通知に関しては海外法令（ GDPR 、 C CPA 等）と比較しても日本法はかなり厳しいものになっていると思われる。多くの海外法令では、当局への漏えい報告義務はあるものの 、本人への権利侵害や経済的損害が考えにくい場合には免除されている事が主流である。
・先進国の各国法令と目線を合わせ、本人通知は、本人への権利侵害や経済的損害が考えられる場合に限定していただきたい。具体的には、本人の権利利益の侵害および二次被害のリスクが限りなく少ない場合（例：グループ会社間における誤送信）やそもそも社外においては特定の個人を識別できない情報（例：車載器ID および当該機器の通信ログ）の場合は、本人通知を行うことが本人の権利利益の保護に繋がらず、本人通知を行うことでかえって混乱を生む場合もあるため、本人通知の対象から除外していただきたい 。
・加えて、特に個人情報保護委員会規則第７条４ 号 の「個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態」に該当する場合は、対象者全員に本人通知を実施できる可能性が低く、結果的に本人通知を実施したうえで、さらに代替措置として公表することとなる場合が多い。ガイドライン上でも公表は代替措置として認められているため、代替措置として公表する場合には、本人通知の実施は 任意としていただきたい。

178 ページ

【意見】仮に、「漏えい等又はそのおそれを認識した場合における適切な対処」を行うための体制・手順の整備（中間整理20頁）により、漏えい等報告の義務が軽減される制度が導入される場合は、その体制・手順について想定している内容を早期に具体的に示されたい。
【理由】
上記体制・手順については、「認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除……することも考えられる」としているが、事業者において、速報免除のために必要な適切な対処を行うための体制・手順整備の必要性、整備の体制・工数・コスト等を早期に判断しておく必要がある。
604

経営法友会

【意見】
個人データの漏えい等が発生し、または発生したおそれがある場合の本人通知については、欧州のGDPRと同じように自然人の権利および自由に対する「高い」リスクを発生させる可能性がある場合のように限定にするなど、要件の見直しを図るべきである。
【理由】
個人情報保護法26条では、個人データの漏えい等が発生し、または発生したおそれがある場合の個人情報保護委員会への報告の要件と本人通知の要件が同じであるが、本人への二次被害のおそれがない
ような場合にまで本人通知が必要であるとはいえず、制度の趣旨を踏まえて、事業者の負担も考慮しつつ、実効性のある規律内容とすべきである。
（御意見）「漏えい等報告の趣旨は、委員会が事態を早急に把握し、必要な措置を講ずることができるようにすることに」あるとしているが、サイバー攻撃を受けたケースについて、個人情報保護委員会が具体的

605

一般社団法人日本 にどのように必要な措置を講ずることができるのか、サイバーセキュリティの専門家の人数及び体制を含めて詳細を説明頂きたい。また、①漏えいした個人データが提供元以外では特定の個人を識別す
IT団体連盟ることができず、当該データおよび提供元以外の者が通常取得できるデータを組み合わせても本人に到達することができない場合、②提供元との間で提供された個人データを適切に取り扱う義務を負う
契約関係等のある他者に対する漏えいが生じた場合、③漏洩した個人情報が不特定多数によって既に取得されている、あるいは公表されている項目（氏名、性別、組織名など）の場合、などは本人の権利利益の侵害は通常想定されないことから報告等の義務を不要としてはどうか。
合理化の方向性については賛成。
体制・手順が整備されていることの第三者の確認の方針自体は賛成であるが、事業者としてはCBPRやプライバシーマークなど複数の第三者機関の認証等をすでに受けていることから、それと重複して新
たに別の第三者機関の確認を受ける必要があるとなると負担が大きい。そのため、CBPRやプライバシーマークなどでは個人情報の管理体制についてのチェックが行われることから、これらの第三者機
関の認証等を受けている場合には、漏えい等報告に関しても体制・手順が整備されていることの第三者の確認を受けているものとみなすこととしてはどうか。

606

匿名

また、中間整理で記載されている事柄以外にも、合理化の余地がないか検討するべきである。例えば、個人データの漏えいの場合も「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたもの」については漏えい等報告の対象外とされているが、暗号化よりも安全性が高いハッシュ化がこれに含まれるかは必ずしも明らかにされていない。漏えい等報告が不要な例の明確化もご検討いただきたい。
また「おそれ」要件については中間整理でも言及がされているが、見直しが行われるべきである。漏えいに関する公表を行ったことを契機として新たに脆弱性の存在を知ったハッカーにより、被害が拡大されることも想定されることから、必ずしも早期の公表が望ましいものではない。また、本人通知に関しても、ご本人がSNSなどで当該事実を拡散する場合もあり、公表と同様のリスクを有することに留意する必要がある。
意見内容：
個人の権利利益侵害が発生するリスク等に応じた漏えい等報告や本人通知の範囲・内容の合理化の具体例として、「体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については一定範囲で免除すること」等が挙げられているが、本件免除等の運用は、統一的な基準の下、各認定個人情報保護団体など（以下「各団体等」という。）において実施される必要

607

全国銀行個人情報保護協議会があると考える。
この点、前回の法改正により、個人の権利利益を害するおそれがあるときは、貴委員会への報告および本人への通知が義務化されたことを踏まえると、仮に貴委員会から体制・手順の確認に係る統一的な基準やガイドラインが公表されず、各団体等の自主的な取組みに委ねられ、広範な裁量の余地が認められた場合、各団体等の経営体力や知見の多寡等にもとづく漏えい等事案の重大性に係る認識・解釈の相違等に起因し、結果的に漏えい等報告制度の堅確な運営が損なわれる懸念も否めない。
以上を踏まえ、漏えい等報告や本人通知の範囲・内容の合理化に当たり、各団体等の第三者を関与させる場合には、各団体等向けの各種基準・ガイドラインの整備をはじめ、統一的かつ堅確な運用が図られるよう十分ご配意いただきたい。
179 ページ

意見内容：
１ 速報の要件について
現状、報告範囲が広く業務負荷が大変高い。監督官庁に対する情報連携は定期報告（四半期に一度程度の報告）でも実現でき、あえて緊急性のない事案を速報として報告する意義は低い。また、監督官
庁においても、授受する報告案件が多量のため、真に注力すべき案件に注力できない状況があると思われる。
ついては、以下の制度見直しを提案したい。
・「財産的被害が生じるおそれ」等の「おそれ」を削除または明確な表記（要件）に見直し、対象を限定する（「おそれ」の不確かさから解釈判断の負荷が高い）・事業者に責任のない情報漏えいについて対象外とする
・「1000人超える」の要件の削除（1000人以上の漏えいが生じたとしても一概に安全管理措置に問題があるとはいえない）
２ 速報の提出期限（おおよそ３日～５日）について
608-1

一般社団法人国銀行協会

全３日～５日の期限は、おおよそであり必須でないことは理解しているが、遵守意識が高い金融機関においては当該期限を守るべく奔走している。遵守意識が高い組織ほど不利益を受けることがないよう
現実的な期限を設定いただきたい。ついては、以下の制度見直しを提案したい。
・おおよそ３日～５日を、現在の確報の目安である30日とする（少なくとも10日以上とする）。
・上記が難しい場合、３日～５日を実日ではなく営業日とする（土日祝日を挟むと対応時間がほぼなくなる事態が生じさらに業務負荷が高まるため）。
意見内容：「そこで、例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除し、さらにマル１のようなケースについては確報について一定期間ごとの取りまとめ報告を許容することも考えられる。」とあるが、「第三者の確認」の要件の明確化（具体的な認定基準や認定方法等）、「速報については、一定の範囲でこれを免除」の一定の範囲の明確化、「マル１のようなケース（「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件のようなケース」）」とは個人データに係る本人の数が基準となるのか等の事案の明確化をお願いしたい。

180 ページ

意見内容：
本人への通知について、速報要件を満たす事案については本人通知が原則必要となっているが、例えば、本人通知の要件に該当する漏えいがあった場合であっても、カナ氏名のみの漏えい事案などのよ
うに本人の権利利益が害される可能性は極めて低いと考えられる場合には、必ずしも本人通知は不要であり、また、本人通知により却って本人の不安を必要以上に惹起する懸念も考えられる。本人通知をする趣旨は、本人の権利利益を保護するためであることを踏まえ、限定的かつ弾力的な運用を許容すべきである。
意見内容：「そこで、こうした意見も踏まえつつ、委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである。」とあるが、個人の権利利益侵害が発生するリスク等に比して事業者側の負担が重すぎる事案もあることから、漏えい等報告、本人通知が不要となる事例を明示していただきたい。

608-2

一般社団法人
国銀行協会

全

意見内容：
「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件が大半を占めているがこのようなケースは、当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わらないものの、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が比較的小さい。」とあるが、フィッシング詐欺等の不正アクセスのケースは本人からの連絡で判明するケースがほとんどであり、被害が判明した時点で、漏えい等の事態について本人通知はなされている。さらに、不正アクセスによる被害については、別途、警視庁および金融庁への報告等もなされている。これらを踏まえ、このような不正アクセスのケースについては、漏えい等報告の「速報」の対象外としていただきたい。
意見内容：「さらにマル１のようなケース（「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件」）については確報について一定期間ごとの取りまとめ報告を許容することも考えられる。」とあるが、取りまとめ報告を行う際は、報告書式についても簡便化（一覧化等）していただきたい。

181 ページ

意見内容：「ガイドライン（通則編）

3-5-3-2 報告義務の主体」では、「個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。」とされている。連名で報告する場合、委託元と委託先の双方が本中間整理の言うところの「体制・手順について認定個人情報保護団体などの第三者の確認を受け」ている場合は問題ないが、一方が「確認を受け」ていない場合に双方の「速報」が義務化されると、「確認を受け」ている方が不利益を被るのではないか。その適用関係については議論が必要と考える。
意見内容：「マル２…（中略）…例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受ける」について、プライバシーマークを導入していることや、ISMS適合性評価を受けていることなどを必須とされると、費用対効果の観点から政策的にこれらを導入していない事業者が不利益を被るおそれがある。例えば、金融機関においては、各種「監督指針」や、「金融分野における個人情報に関するガイドライン」、「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」を遵守することとされており、これらを遵守している限りにおいて、政策的にプライバシーマーク等を導入していない金融機関もある。これらの実態を踏まえた取扱いを検討いただきたい。
意見内容：「委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである。」について、ある事業者において「不正アクセス」（規則第７条第３号）が発生したために、当該事業者に「個人データの取扱い」を委託していた複数の事業者が影響を受けることがある。
608-3

全 例えば、A従業員（本人）→B事業者（雇用主企業/委託元）→C事業者（委託先）→D事業者（再委託先）→E事業者（再々委託先）のように「従業員の個人データ」が数次にわたり外部委託がなされたケースにおいて、E事業者（再々委託先）において「不正アクセス」による情報漏えいが発生した場合、「ガイドライン（通則編）3-5-3-2 報告義務の主体」によれば、「委託先が、報告義務を負ってい国銀行協会

一般社団法人る委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される」とあるので、E→D→C→Bと順次通知がなされれば、Bにおいて個人情報委員会等へ報告、本人通知を行うこととなる。これらのB、C、Dがそれぞれ１社であれば、相互の意思疎通が比較的取りやすいと思われるが、B、C、Dに該当する事業者が複数存在し、更に事業所管大臣が異なるケースにおいては、同一事
象について、様々な経路を通じて、事業所管大臣、貴委員会へ報告がなされることになり、情報の過不足等が生じて混乱が発生する可能性がある。
このようなケースにおいては、取りまとめを行う事業者に権限を集中させ、全体的統一的に報告がなされるのが合理的である。
また、Aの従業員（本人）についても、必ずしも B事業者（雇用主企業/委託元）が適切な説明をできるとは限らないので、この場合についても上記の取りまとめを行う事業者において本人通知を行うことで、他の事業者の通知義務を免除できるとすることが合理的である。これを認めなければB、C、D、Eのそれぞれの事業者から本人通知がなされることも想定され、本人の不安を余計に助長する可能
性がある。
意見内容：
「個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべき」とあるが、現状においては、漏えいしたデータのみによっては第三者が特定の個人を識別することができない場合であっても、報告および本人通知の対象とされている（「個人情報の保護に関する法律についてのガイドライン」に関するQ&A「Q6-10」参照）。この点については、漏え
い情報にかかる本人の権利利益の侵害の程度に比して、個人情報取扱事業者に対して過度な負担をもたらしかねないものであり、また通知を受けた本人に対して無用な不安を与えかねないおそれがあることから、通知・報告が不要となる一定の基準を設定すべきである。
さらに、複数事業者による数次の委託・再委託が行われている場合にあって、情報漏えいが発生した事業者よりも上流の事業者の有する情報も加味したうえで、容易照合性を判断するのであれば、漏えいした情報が個人データに該当する範囲が、飛躍的に増大する可能性がある。このような場合については、あくまで情報漏えいの発生した当該事業者のみを基準として、報告・通知事態への該否の判断を行えば足りることを明確化するべきである。

182 ページ漏洩の委員会への報告は委員会に報告を提出する必要性が比較的小さい,

自主的取り組みに委ねる, 一定期間ごとの取りまとめ報告を許容
2022年法改正のとある。

報告が義務化されたことにより、7685件から２０２３年度は２０１７年度以降で過去最高の1万３２７９件になった（6月12日

朝日新聞より）

ヒューマンエラーが８１％とあり、不正アクセスも全体の６，３％を占めるという記述があるが、今後はデジタル化そのもののシステムによるエラーも増大する可能性がある。不正アクセスは、昨年来
企業などからは
国民に
609

個人

通知負担を軽減求める声があるだろうが増加の一途だと思う。

人数の閾値を整理し情報の保護の実態をきちんと「見える化」していただきたい。たとえ一人でも、今まで以上に徹底していただきたい。

２節や3節に関連し、個人情報保護委員会について
デジタル庁という組織が数年前にできて位置することになり、今後はデジタル庁の大臣はＪPKIと国民を繋ぐ中間に関門のように

デジタル認証アプリと民間へも公開して個人情報の利活用を目ざすということになっている。

個人情報保護委員会も掌握し、内閣総理大臣直下の組織員であるから、日本の権力を1人が握っているとも過言ではない。

個人情報保護委員会は、ナンバーで人間を掌握した人類の歴史の教訓を日々

思い出して

監視・監督

情報の利活用を取り扱っていただきたい。

意見・質問等:漏えい等報告に係る速報の免除等の要件として「体制・手順について認定個人情報保護団体などの第三者の確認を受けること」とあるが、事業者の「体制・手順」について、認定個人情報保護団体が具体的にどのようなことを確認することを想定しているか。
各団体によって、その対象事業者の規模や数も様々であるため、上記方向性で検討を進める場合には実務的にワークしうる枠組みとしていただきたい。例えば、認定個人情報保護団体が定める個人情報保護指針等において、事業者に対し、漏えい等が生じた場合に適切な対処を行う「体制・手順」の整備を義務として課している場合等には、事業者が個別に認定個人情報保護団体の確認を受けることまでは不要とする等、「自主的な取組」として柔軟な在り方が許容されるような制度を検討いただきたい。
意見・質問等:いわゆる「おそれ」要件については、中間整理21頁でもお示しをいただているとおり、「個人の権利利益を害する可能性等を勘案してより合理的と考えられる場合に報告や本人通知を求め
610

日本証券業協会ること」の方向性自体には賛成である。したがって、この一般的規範を「個人情報の保護に関する法律についてのガイドライン（通則編）」の「3-5-3-1 報告対象となる事態」の（※2）に明記、または、「個人情報の保護に関する法律についてのガイドライン」に関するQ&Aにその旨を示していただきたい。
意見・質問等:20頁の【考え方】については、本人通知が記載されていないが、是非、本人通知の対象範囲についても検討対象に入れていただきたい。現行の「個人情報の保護に関する法律についてのガイドライン」に関するQ&Aの6-10において、報告義務との関係で、いわゆる漏洩元基準に基づく見解が示されている。そして、現行法の元では、報告義務の対象範囲はそのまま本人通知義務の対象範囲と同一になっていることから、本人通知義務との関係でも、漏洩元基準が前提となっている。しかし、中間整理でも「本人への通知の趣旨は、通知を受けた本人が漏えい等の事態を認識することで、その権利利益を保護するための措置を講じられるようにすることにある」と示されている通り、本人通知義務の趣旨は本人が自己の権利利益の保護に係る措置をとる機会を担保する点にあることから、本人の権利利益に影響が無い又は著しく少ないなどの場合は、本人通知義務の対象外とする等の文言としていただきたい。

183 ページ

〇確認
・中間整理では、「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件」は「当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わらないものの、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が比較的小さい」とされている。
・一方、保険会社では、保険金や給付金等の支払明細等の「要配慮個人情報」が含まれるお客様（１名）宛通知を発信しているが、現在、金融業界においては、「要配慮個人情報」が含まれている場合には、配送業者の過失による誤配か否かを問わず、速報の対象となっている。
・中間整理で示された考え方においては、「要配慮個人情報」が含まれるか否かを問わず、速報の免除、および、確報における一定期間ごとのとりまとめ報告が認められるとされているが、「要配慮個611

一般社団法人命保険協会

生人情報」が含まれる場合でも、速報の免除等が認められる認識でいるが相違ないか。
〇意見・中間整理では、「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件」は「当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わらないものの、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が比較的小さい」とされている。
・保険会社から顧客への郵送物には、契約者と保険金受取人が別人等の場合、１通の郵送物に個人データに係る本人の数が２名以上含まれているケースがある。
・漏えい等報告や本人通知の範囲・内容の合理化を検討するにあたり、上記のような契約関係者
複数名の個人データが記載されている郵送物１件の漏えい等についても、個人の権利利益侵害が発生するリスク等を踏まえ、速報の免除等が認められるよう、検討いただきたい。
漏洩にかかわる報告、本人通知の在り方を後退させてはならない。早期の報告は、委員会の迅速な調査、権限行使に不可欠であり、被害を最小限にくいとめ、拡大を阻止するよすがとなる。報告のわず

612

個人

かな遅れも、委員会のその後の活動の効果に著しく影響する。報告は迅速に行われなければならず、期限を延ばすことなどは許容できない。GDPR 等にならい、遅滞のない報告を義務化し、より強固な報告体制を構築すべきである。

184 ページ

第２ 個別検討事項

２ 実効性のある監視・監督の在り方(3)漏えい等報告・本人通知の在り方
No.

イ 違法な第三者提供

提出者

提出意見
個人情報取扱事業者が違法な第三者提供を行っていたとしても、当該個人情報取扱事業者が漏えい等報告を行うケースが想定しづらいのではないか？

613

個人

個人情報取扱事業者が違法な第三者提供に関する報告しても、罰則が科される可能性があるだけであって、事業者側にとってのメリットが存在しない。
公益通報のような位置づけで、専用の公益通報フォームを用意し、匿名での情報提供を受け付けるのが妥当だと考える。
（意見）
本人の同意を得ないで個人データを第三者に提供してはならないことを貫くべきである。あらかじめ届ければ本人の同意なしで個人データを第三者に提供できるとする現行のオプトアウト制は廃止

614

個人

すべきである。
（理由）
名簿屋は社会的に有害な存在であり、その営業の継続性を前提とするのは誤りである。
（意見）
個人情報取扱事業者において「違法な第三者提供」が発生した場合に報告等を行う規制の導入に賛同いたします。ただし、導入にあたっては、あわせて以下の検討をお願いいたします。
デジタル化の進展に伴い、容易照合性によって個人データとなるもの（例えば「顧客ID＋居住している都道府県」）の取り扱いが増加しています。
個人データの第三者提供（法27条1項）において、容易照合性によって個人データとなるものを第三者に提供する場合は、「提供元基準」が採用されており、提供先で個人データとして取得することが想定されるかどうかにかかわらず、個人データを提供するものとして本人の同意を得る必要があります。
一方、個人関連情報の第三者提供（法31条１項）においては、「提供先基準」が採用されており、提供先で個人データとして取得することが想定されるときは、あらかじめ個人情報保護委員会規則で定615

株式会社ＷＯＷＯ
Ｗ

めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならないとされています。
この「提供元基準」「提供先基準」の違いについて、「提供先基準」に統一いただきたいです。
（理由）・「個人関連情報を第三者に提供し、当該第三者が個人データとして取得することが想定される」と「個人データを第三者に提供し、当該第三者が個人データとして利用又は取得することが想定される」の間にほとんど違いはありません。個人関連情報の提供が「提供先基準」で十分であるならば、個人データの提供についても「提供先基準」で十分であると考えます。
・「提供元基準」「提供先基準」の両方があることは、個人情報取扱事業者の従業者に理解されにくく、個人データ・個人関連情報の管理も煩雑になります。「提供先基準」に統一することにより、第三者への提供の基準が分かりやすくなり、「イ 違法な第三者提供」に該当するかどうかの判断が円滑に行えます。それにより、個人データ・個人関連情報の適正な利活用も促進されると考えます。
・第三者提供規制の在り方について

616

個人

事業者側からすると提供先の第三者の利用目的や身元等について確認しようとしても、その回答の真偽等を自ら確認することは不可能であるケースが多い。このような前提を省いて規律を厳格化すると、データ利活用に過度な萎縮効果を生じさせる可能性がある。そのため、第三者提供規制についてより厳格な義務を置くとしても、たとえば合理的な範囲内で第三者の利用目的等を確認する等の行為
義務にとどめる、または努力義務にとどめた上で具体的な対応策をガイドラインで明確に示す等、事業者側に過度に負担とならないよう規律を建てつける必要があると考える。

185 ページ

○意見内容「漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する」とありますが、「個人データの違法な第三者提供」を報告対象として追加することの意義・効果や、その定義・範囲の明確化の検討をお願いします。
617

電子情報技術産業 ○理由
協会

法27 条5 項に基づき、委託、共同利用、事業承継の場合は提供先が第三者に当たらず、例外として同意不要で提供が可能である。しかし、委託におけるクラウド例外や共同利用などについては条文・ガイドライン等で必ずしも明確な線引きがなされていないことから、「個人データの違法な第三者提供」を報告対象とした場合、立法趣旨の一つであるデータ利活用に対して委縮効果を引き起こすおそれがあると考える。「個人データの違法な第三者提供」により個人の権利利益が侵害されることは言語道断であるが、意図せぬ「違法な第三者提供」を恐れるあまり、データ利活用が進展しないことも、立法趣旨との関係で均衡を失すると考えるため。
（意見）
個人データを他の事業者に提供する場合、法27条1項（第三者提供）に該当せず、同条5項（委託や共同利用など）に該当すると整理するかどうかは、提供元と提供先の判断に委ねられています。
そのため、仮に提供元が、同条1項にもとづく本人の同意を取得すべきであるにもかかわらず、その同意を取得することなく個人データを第三者提供しても、提供元と提供先が「第三者提供ではなく、委

618

個人

託である又は共同利用である」という口裏合わせをしてしまうと、報告等はなされないことになってしまいます。
そのため、報告等を義務化するのであれば、その義務が、全ての個人情報取扱事業者で適切に遵守されるようにする方法についても、検討いただきたいです。
（理由）
この義務を軽視する個人情報取扱事業者や、この義務に違反していないと偽る個人情報取扱事業者が発生するのは望ましくないため。
（意見）
ガイドライン（第三者提供時の確認・記録義務編）2-2-1-1(2)の「本人に代わって提供」に書かれている以下の事例が分りやすいため、これをもとに意見を述べます。
事例3）
事業者が、取引先から、製品サービス購入希望者の紹介を求められたため、顧客の中から希望者を募り、購入希望者リストを事業者に提供する場合
この事例で、事業者が本人に対して「取引先の製品Ａの購入手続きのため、取引先にあなたの個人データを提供します」と伝えて同意を取得して個人データを取引先に提供したあと、取引先が製品Ａの購入手続きをするだけでなく、全く異なるサービスａ、ｂ、ｃ・・・などのお知らせ（営業活動）を本人に対して行うケースが考えられます。しかし、これは本人にとってかなりの不意打ちです。また、そうなることを事業者が知っていたら問題があるのではないかという印象を受けます。

619

個人

一方、取引先（提供先）は、個人データの提供を受けたあとに、法21条1項に基づいて「当社が販売する製品の購入手続き、サービスの利用手続き、及びそれら製品・サービスのお知らせを行うために個人データを利用します」という利用目的を公表すれば、違法ではないように見えます。
そのため、提供元が同意取得時に本人に伝えた「提供する目的」より、提供先における「提供を受けた個人データの利用目的」のほうがかなり幅広い場合であって、提供元がそうなるおそれをあらかじ
め知っていたとき（すなわち、「提供する目的」と関連性を有すると合理的に認められる範囲を超えて提供先が利用するおそれがあることを提供元があらかじめ知っていたとき）、「違法な第三者提供」となるのかどうかについても明確化をお願い致します。
（理由）
本人が「提供する目的」として把握していない目的（特に営業的な目的）で提供先が個人データを利用した場合、本人にとって不意打ちとなり、本人の権利権益の保護の観点で問題があると考えます。
そのため、「違法な第三者提供」かどうかの明確化が必要と考えます。

186 ページ

（意見）
違法な第三者提供が許されないのはいうまでもありませんが、新たな報告を義務とすることは事業者にとって過度な負担となる恐れがあります。
例えば、違法な第三者提供と、漏えいの外縁が若干不明瞭です。したがって、行為主体者の意図がある場合に限るなど、むやみに不正の目的の対象が広がることが無いように、ケースを限定的にするこ
620

Asia Internetとをビジネス界は望みます。

Coalition Japan また、漏えい等の際の報告義務と本人通知義務と同じように、報告義務と本人通知義務については、リスクベースでの考え方を同じように取り入れることを望みます。
仮に、同意なき第三者提供も報告対象にするのであれば、報告を不要を不要とするの例外規定も併せて検討することを求めます。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。

621

弁護士有志

事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務を課すことについて賛成する。
（意見）
中間整理に「漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する」とあるが、「個人データの違法な第三者提供」の定義・範囲の明確化及び件数等で一定の限定を付す
ることを検討いただきたい。

622

日本DPO協会事 （理由）法 27 条 5 項に基づき、委託、共同利用、事業承継の場合は提供先が第三者に当たらず例外として同意不要でデータ提供できる。しかし、委託におけるいわゆるクラウド例外や共同利用など条文、ガイ

務局

ドライン等で必ずしも明確な線引きがなされていないことから、「個人データの違法な第三者提供」を報告対象とした場合、立法趣旨の一つであるデータ利活用に対して、委縮効果を引き起こすおそれがあると考える。当然、「個人データの違法な第三者提供」により、個人の権利・利益が侵害されることは言語道断であるが、それを恐れるあまり、データ利活用が進展しないことも、立法趣旨との関係で均衡を失すると考える。
NHK特集でじ児童ポルノが転載され、今も消去されずにいる少女の事例があった。
個人の、しかもこれからのある１０代の少女の将来にも大きく響く被害であるにも関わらず、何も対策が打てない現状の法律はおかしいと思います。
損害賠償請求は極端な少額大量被害事案となることも、悪意のある業者には痛手にならず、抑止力にならないのではないかと思う。
早急に児童ポルノを規制する枠組みが必要である。
623

匿名「個人データが違法に第三者に提供された場合 、委員会に対する報告及び本人通知を行う義務は存在しない」のには違和感がある。
先の児童ポルノ被害は事業を第三者に売却しているため、被害が出続けているのに被害者が手を打てず、泣き寝入りの状況だ。
第三者に提供された個人情報についても報告義務が必要である。
データはコピーされて拡散されるからだ。
漏えい等の条文上の意味内容を明らかにすべきこととして一部には立法的に解決すべき問題を含むものと考える。すなわち、個人情報取扱事業者の管理すべき個人データの安全管理が危殆に瀕しその結果漏えい等が生じるから報告を行うべきなのであって、その意味においては「おそれ」を含まなければならない。他方で、当該個人情報取扱事業者が権限上も実際上も管理を行う立場にないデータ（た

624

合同会社

asura

だし同一の内容を含むデータを保有している）の漏えい等が生じたようなときには、事実問題として管理外にある個人データが漏えい等しているとしても報告の対象とはならないよう整理されることを期待する。
現行法上の解釈として違法に第三者提供が行われた結果として、客観的には（ないし本人からの主観的にも）漏えいであるにもかかわらず、行為者の主観的な要素により義務の有無が決定されることは合理的とは言えないため、解決されるべきものと考える。
＞イ 違法な第三者提供

625

個人

現行法においては、事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は存在しないが、→ やはり個人情報売買そのものを違法とし禁止すべきであると固く確信する。
意見626

一般社団法人日本 違法な第三者提供の定義を明確にすべき。
経済団体連合会 理由
違法な第三者提供と漏えいの外縁が不明瞭。また、違法か否かを客観的に判断することは困難。

187 ページ違法な第三者提供と漏えいとでは、一般に影響範囲が異なる点に留意が必要である。例えば漏えいの場合には影響範囲が直ちにはわからないことが多いことから、速やかな当局報告などのニーズが高い
627

匿名のも理解できるが、これに対し違法な第三者提供の場合にはいわば手続き違反に過ぎないため、誰のどの情報が提供されたか、その第三者は誰かなどの範囲の特定が容易である点が異なる。この点を踏まえ、違法な第三者提供について広い報告通知義務を課すことの必要性や、事業者に対する影響について慎重にご検討いただきたい。
意見内容：

628

一般社団法人国銀行協会

全「現行法においては、事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は存在しないが、個人データが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する必要がある。」とあるが、「違法な第三者提供」と「漏えい等」との違いが分かりにく
く、報告が必要となった場合に混乱が生じるため、対象となる事案の明確化、当局報告する場合の報告内容の明確化をお願いしたい。

188 ページ

第２ 個別検討事項

３ データ利活用に向けた取組に対する支援等の在り方(1)本人同意を要しないデータ利活用等の在り方（医療関係）
No.

提出者

提出意見
（3）医療分野の利活用「3．データ利活用に向けた取組に対する支援等の在り方」に「個々の事情や特性等に配慮した政策検討が進む等、健康・医療、教育、防災、こども等の準公共分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが強い。こうした中、政策の企画・立案段階から関係府省庁等とも連携した取組を進める等、個人の権利利益の保護を担保した上で、適正な個人情報等の利活用を促す方策を検討する必要がある。」とは記載されている。まずは、必要な分野を広くするのではなく、優先度をつけて取り組むことも必要ではないかと考えます。ＥＨＤＳとＧＤＰＲのように全体と医療分野との法関係にして、医療分野をまずは先進的に特別な法を先行させるような考え方を見習ってもいいのかと思います。

629

個人

特に医療分野に関しては、個情法成立前から、患者さんの利益権利を尊重した取り組みが実施されていた。医療分野の研究では、そのリスクに応じて匿名化を実施したりもされていた。匿名化したからといって、個人が100％識別できなくなるわけではないが、その利用方法に合わせて、個人の権利利益を保護できるレベルで匿名化されていたとも思われる。
また、本邦の多くの国民は、自分の医療データを医療の発展に使うことに関しては、ネガティブな意見を持つ方は、ほとんどいないと考えられる。このような状況ではあるが、個情法が設定されたことにより、個人のデータの利活用が、個人の同意を得ないで実施することは適切ではないと考える方もでてきているのかも思われる。これも個情法立法の悪影響ではないかとも考える。分野毎に支援する
ことではなく、分野の特性を考慮した上で、共通的に規制すべきことを個情法として制定すべき考えにしていく必要がある。つまり、医療分野の匿名化で活用していたときの状況を十分、考慮して、共通の個情法で規制すべき点、例外にすべき点などを考慮していく必要がある。極端に記載すると医療分野(医薬品、医療機器の開発含む)では医療法、薬機法他の法律で個人の権利利益の保護は図られているので、個人情報に関しては個情法では特別には規制しないとか、個人の権利利益の保護の方策は、医療法、薬機法他の法律に委譲するとかにはならないでしょうか。
（意見）
該当箇所の趣旨に賛同いたします。しかしながら、このようなバランス論は、実際に規律を設計するうえで有効な指針や方向性を与えるものでもないと考えます。そこで、個人データの移転について
本人同意を要する規定が設けられている理由のひとつは、本人にとって脅威となりうる（規模において／項目において）リッチに過ぎるデータベース等の現出を制限する必要性であること、従ってそのような集積制限の原則が（法により）収集や移転に際する同意を不要とする場合には特に重要となること、および、利活用を想定したうえで、リッチ過ぎる集積データ／学習モデルの現出が有効に制限される規範の検討が求められることを、明示頂きたく存じます。
（理由）
個人データの利活用ニーズに答えることは必要と考えますが、例えば：欧州ヘルスデータ空間にあるように複数医療機関の医療データを二次利用の目的で本人同意なく、もしくは令和６年６月21日の規制改革実施計画にあるように複数医療機関の医療データを事後取消し可能な包括的同意を得たうえで、恒久的な識別子で仮名化し容易に突合可能とし集積することは、都度の二次利用の目的に正当性があり、都度の二次利用に供されるデータのリッチ度合がその目的に照らして適正であったとしても、意図せず流出したデータが過剰にリッチであった場合の流出先への法執行までのタイムラグにおいて本人や本人に遺伝的に類似する者が被る（標的型攻撃や差別による）不利益は不可逆かつ破壊的なものとなりえますから、そうした二次利用に用いるデータは容易に突合可能であってはならず、集積

630

個人

データとして保存されていてはならず、二次利用のために必要となる集積も、何らかの申請・認可メカニズムに基づいて安全と認められた設備内での一時的な取扱いに限り許されるのでなければならな
いとともに、本人や本人と遺伝的に類似した者が当該集積への利用を差止めできる必要があると考えます。医療データにせよ何にせよデータは必ず流出するものと考えねばなりません。流出がありうるとの前提のもとで、流出時の被害があまりに大きくなることのないよう、データの集積度合自体を制限し、必然的に分散保存することになるそれぞれの単位においても、統一空間の識別子で仮名化されていてはならないと考えます。これと同様に、個人個人について過度にリッチなデータセットを学習させたＡＩモデルも、その流出により本人達が被る不利益は不可逆かつ破壊的なものとなりえますか
ら、同様な考え方のもとで、そのようなモデルは、その正当な利用目的に対し適切な規模の学習であったとしても、何らかの申請・認可メカニズムに基づいて安全と認められた設備内での一時的な利用に限り存在が許されなければならないとともに、そうした一時的な大規模学習に供することを本人や本人と遺伝的に類似した者が差止められる必要があると考えます。
このような過剰集積／学習に対する制限的規制は、医療データに限らず必要になるでしょう。現行法の規定では、個人関連情報の集積は個人データ化しない限り（本人同意の関所が無いために）無制
限に行えてしまい、それらが意図しない流出を経るなどして悪用され、本人や本人所属集団に所属する他の者が危険にさらされることを抑止できていません。また、本人同意のうえ仮名化して第三者提供されたデータが転々流通していくうちに、推測や識別子間のシンクなどに基づいて突合され集積されていく場合にも、同意という関所にて緩和されているものの、同様な問題があるといえます。
このような過剰集積／学習に対する制限的規制を実効性のある規範にするためには、「リッチ過ぎる」と評価するための基準や、複数の空間の識別子を特別な手続きを経た場合にのみ突合可能にするための技術規格、リッチ過ぎる状態を現出させてよい期間の上限、当該期間が満了した時点で要する処分の内容、現出が適正に行われ適切に処分されたことの認証方法など、様々な要素につき検討を頂く必要があるものと理解いたしますので、意見として上げさせていただきました。

189 ページ

資料22p「３ データ利活用に向けた取組に対する支援等の在り方」から続き23pの「考え方」に「まず、生成 AI などの、社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が高いと考えられる技術やサービスについて、既存の例外規定では対応が困難と考えられるものがある。」とありますが、生成AIは社会の基盤となり得る技術では無く、個人情報の悪用を含むあらゆる犯罪の基盤となる、社会にとって有害な技術となっているのが実情と考えます。
2023年度に生成ＡＩを導入しようと発表した多くの企業が、2024年度に入ってから類を見ない頻度でサーバー攻撃や大規模障害の被害を招き、●●や●●等から顧客情報が流出していることを発表しています。かねてより生成AIにはバックドアやランサムウェアが仕込まれている可能性が指摘されており、生成AIの導入が原因である可能性は否定できません。
個人情報は秘匿されるべきものです。
各国では生成AIに対して非常に厳しい法規制を準備している中、日本は「検討」という言葉で放任し続け、完全な無法状態を受け入れています。
631

匿名

生成AIが野放しで存在する以上、個人情報を保護することは叶わず、「個人情報侵害し放題な闇市」であるのが日本の実情であると考えます。
23pの「考え方」にて「また、医療機関等における研究活動等に係る利活用のニーズについても、公益性の程度や本人の権利利益保護とのバランスを踏まえて、例外規定に係る規律の在り方について検討する必要がある。例
えば、医療や研究開発の現場における公衆衛生例外規定の適用のように、例外規定はあるものの、適用の有無に関する判断にちゅうちょする例があるとの指摘がある。こうした点等については、事業者の実情等も踏まえつつ、関係府省庁の関与を得ながら、ガイドラインの記載等についてステークホルダーと透明性のある形で議論する場の設定に向けて検討する必要がある。」とありますが、生成AIの開発者たちが「個人のPCのファイヤーウォールを突破する」ことを仄めかしたり、「社会にどのような実害があろうと技術の発展を優先する」理念を掲げている以上、医療や研究活動での個人情報も漏洩し侵害してしまう懸念はぬぐえません。
また、生成AIが野放しにされている以上、企業が「個人情報の取り扱いについて」どのような規約を定めていようと、一切の信用ができない状態が続いています。
まずは生成AIにあらゆる個人情報等のデータを取り扱わせないよう、一刻も早く厳しい法規制を望みます。

190 ページ

（意見）医療データにつき例外規定を設け、取得や目的外利用、第三者提供等に本人同意やオプトアウトを不要とする議論に反対。
（理由）
現在の情報法・憲法の学説上、個人情報保護法（個人データ保護法）の趣旨・目的は自己情報コントロール権説（情報自己決定権説）が通説であり、ドイツやEUなど多くの西側自由諸国でも同様である（曽我部真裕・林秀弥・栗田昌裕『情報法概説第２版』209頁、渡辺康行・宍戸常寿・松本和彦・工藤達朗『憲法Ⅰ基本権』121頁、山本龍彦『個人データ保護のグローバル・マップ』247頁、359頁等
参照）。
そして自己情報コントロール権説からは、個人情報保護法が目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合において、事業者や行政機関等が患者などの本人の同意を取得することが必要と規定されていることは当然のことと考えられる。
そのため、この目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合に本人の同意の取得を不要とする有識者ヒアリング等における森田朗名誉教授や鈴木正朝教授、高木浩光氏などの主張は自己情報コントロール権説に反し、つまり個人情報保護法（個人データ保護法）の趣旨・目的に反している。
また、法律論を離れても、たとえば4月3日の個人情報保護委員会の有識者ヒアリングでは、横野恵准教授の「医療・医学系研究における個人情報の保護と利活用」との資料13頁の「ゲノムデータの利活
用と信頼」においては、一般大衆の考えとして、ゲノムデータの利活用に関する「信頼の醸成に寄与する要素」の２番目に「オプトアウト制度」が上がっている。
632

個人

したがって、医療データの利用等に関して、患者の本人の同意やオプトアウト制度などの本人関与を廃止する考え方は、一般国民の支持を得られないと思われる。
また、森田名誉教授や鈴木正朝教授、高木浩光氏など、医療データの製薬会社やIT企業などによる利活用を推進する立場の人々は、「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」との考え方を前提としているように思われる。
たしかに患者が医療に貢献することは一般論としては「善」である。しかし上でも見たように、日本は個人の自由意思を原則とする自由主義・民主主義国である（憲法１条、13条）。患者個人が医療や社会に貢献すべきか否かは個人のモラルにゆだねるべき問題であり、ことさら法律で強制する問題ではない。すなわち、患者の医療への貢献などは、自由主義社会においては自由な討論・議論によって検討されるべきものであり、最終的には個人の内心や自己決定にゆだねられるべきものである（憲法19条、13条）。
「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」「そのような考え方を個人情報保護法の改正や新法を制定し、国民に強制すべきだ」「そのような考え方に反対す
る国民は非国民、反日だ」との考え方は、中国やロシアなど全体主義・国家主義国家の考え方であり、自由主義・民主主義国家の日本にはなじまないものである。
さらに、患者の疾病・傷害にはさまざまなものがある。風邪などの軽い疾病のデータについては、製薬会社などに提供することを拒む国民は少ないであろう。しかし、がんやHIVなど社会的差別のおそれのある疾病や、精神疾患など患者個人の内心（憲法19条）にもかかわる疾病など、疾病・傷害にはさまざまな種類がある。それらをすべて統一的に本人同意を不要とする政府の議論は乱暴である。
したがって、憲法の立憲主義に係る基本的な考え方からも、医療データの一時利用・二次利用について患者の本人の同意を原則として不要とする議論は、個人情報保護法（個人データ保護法）の趣旨・目的に反しているだけでなく、わが国の憲法の趣旨にも反している。以上のような理由から、私は医療データの一時利用・二次利用について患者の本人の同意やオプトアウト等の本人関与の仕組みを原則として不要とする個人情報保護委員会や政府の議論に反対である。

191 ページ

>健康・医療等の公益性の高い分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが高まっている。(中間整理p23より引用)
から、健康医療などの公衆衛生を向上させる公益性の高いものに関しては個人情報が個人を特定されない形、(例えば、nn歳男性,病状:○○など)で利用することに関して同意なしで実行できても本人に損害を及ぼす可能性は非常に少ないため例外規定に含めてもよいと思う。
633

個人

一方、生成AIなどは少なくとも現在、人間が生成したものとAIで生成されたものを区別する手段に乏しく、一般人が見るとまるで人間が作ったようにみえる精巧な絵画、文章、写真を生成できる。このような技術は適切に利用すれば便利であるが、画像生成AIを例えに使うと、これはインターネット上に存在する無数の画像データを学習させて使うものである。インターネット上に存在する画像は、個人が完全に特定できるような写真、著作権によって保護された絵画、写真、映像であふれている。そして、画像生成をする際に特定の人物に似た画像を作るように指定するとその人物とぱっと見では見分けがつかないような画像を生成できる。これを公開することは個人情報を侵害しているし、その画像が公開されないようにすることを完全に防げないために生成AIに関しては少なくとも同意なしのデータ利用、活用は禁止すべきである。
公益性のある医療分野だとしても、個人情報の取り扱いはこれまで通り本人の同意を必須とするべき。例外規定に反対。

634

匿名

生成aiは現状多量の無許諾なデータに依存しており、活用する前に法の制定や罰則をまず設けることが不可欠である
日本はデータの扱いに関する法が緩すぎる。EUと足並みを揃えるべき
例えば医療などでは、身体的性別、身長、体重、年齢などで治療法などがより適したものが見つかるなど公益性が想像しやすいが、現状生成AIは芸術分野で多くの既存クリエイターの仕事を奪い、芸術

635

匿名

の多様性を加速度的に縮めている、AIでないように見せかけるばかりで公益性が全く見出せない。そういったものに個人情報を提供するのは理に合わないと思う。この段階では、研究機関が自分たちのみで用意したデータで研究すべきと考える。例外規定は設けるべきではない。
加えて、いずれの研究でも無断で情報を利用するのは好ましくない。一人一人に許可を取って、初めて現場で活用できるモデル等を作成できると考えている。
例外規定を認められる程度の公益性の高さがあると判定する技術に関してビッグデータの活用は昨今必要性が高いものとして扱われていますし、医療情報の活用等は更なる医療技術の貢献に寄与するた

636

匿名

め、例外を設けても構わないと思います。ただし個人を特定できるような形での情報提供は避けるべきかと考えます。
また、生成AI関連もデータの活用が期待されてはいますが、個人のデータの取り扱いや生成元データへの還元について不安を抱く声もよく聞きます。例外規定を設ける前に、データの取り扱いについて
生成AI利用企業に明確な基準を示してもらう必要があるかと思います。不安感が大きい中個人情報保護の例外とするのは時期尚早です。

192 ページ

医療機関、研究活動等にかかる利用ニーズの部分についての意見です。
昨今は、生成AIを搭載したサービスを提供するものが登場するようになりました。医療に関わる部分であれば、国民の健康に寄与する面もあり、公益性の高いものに分類されると考えることもできるかもしれません。しかしながら、本当にそうなのか疑問符が付くものもあります。
例えばですが、ある会社から2024年春に販売が開始された生成AIを搭載した電子カルテシステムは診療情報提供書(紹介状)と退院サマリに活用できる文章を自動生成できるそうです。医療文書に記載する要約文章を新規作成する場合と比較して、作成時間を平均47%削減でき、表現や正確性についても医師から高い評価を受けているという報告から昨今の働き方改革等の面から見ても非常に優れた機能
かのように見えます。しかしながら、背景的な問題としてその電子カルテとしては視認性や操作性が拙く患者情報の収集にかかる手間と時間がかかる設計となっています。元々のUIに問題があり改善点
すべき要素を大量に抱えているがために時間がかかっている作業が、生成AIによって短縮できたというのであれば根本的な解決にはなりません。また生成AIにはハルシネーションという問題がある以上、存在しない疾患・問題点があるかのような文章を提案することや、むしろ重要だが目立たない問題点をマスクするといった動作をきたしかねません。そして、元々の操作性が悪いため提案された文章の検証は煩雑な作業になるため、提案された文章を確認もせずにそのまま利用するという医師もそれなりに居るでしょう。
では、生成AIが出力した情報によって致命的な問題が患者に対して発生した場合には責任はだれがとるのか？最終的な記載や判断を行ったのは医師だったとしても、誤情報を提供したのは生成AIです。
生成AIが提供した文章を検証すべきというのはもっともな意見かもしれませんが、検索性・操作性・視認性に乏しいがために生成AIが出した情報を検証しない状況が発生した場合は本当に医師のみの責任と言えるのか？いずれにせよ提供した生成AIによって患者への不利益が発生した場合にどのような対応と行うのか事前にある程度明確にすべきではないかと考えます。
そもそもですが、医療分野に関わる企業も営利企業です。利益を出すためにはなるべく支出を抑え・収入を増やす方向に動くのが普通の動きです。電子カルテの操作性やUI変更といった作業はたとえ医療者の満足度や、それによる患者情報の見落としの減少といった公益性はありますが、企業側は大変な労力をかける必要があっても収益の増加には結びつきません。一方で生成AIという追加サービスであれば利益をだした上で電子カルテの機能向上を宣伝でき、投資家へのアピールにもつながります。「医師の働き方改革」や「DX化」といった電子カルテの導入決定権を持っているような立場の人間にも魅力的に聞こえるフレーズを活用することで導入を促しています。しかしながら、こういった営利活動は営利活動でしかなく公益性があるとはとても言い難いと感じます。提供しているソフトが抱える問題点を放置しておきながら追加サービスによる利益を出そうとする姿勢は、他業種であれば普通は非難の対象になり得ますし、そもそも競争が発生している分野であれば同業他社に乗り換えられてしまいます。しかしながら、電子カルテの場合は電子カルテの移行が手間で費用もかかり、それをまかなえる医療法人が限られるために移行は起こりません。そのため殿様商売で問題ありませんし、シ637

匿名

ステムの保守点検こそすれ改善にはほぼ取り掛かりません。2023年には同社の電子カルテがパスワード使いまわしによるランサムウェア被害を出すという非常に杜撰な管理体制であることもニュースにも出ましたし、こういった会社が患者情報を活用した生成AIを販売するのは大丈夫なのか不安しかありません。
今後、医療分野にも生成AIを活用したサービスが増えることは間違いないでしょう。その中で、オプトアウト形式で患者情報を個別の同意なく収集したものに関しては規制又は制限を設けるべきではと考えます。
まず気になることとして同意なく収集した患者データを元に営利的活動を行っていいのか？学術研究であれば公益性があると言えるでしょうが、一企業によるサービスの恩恵を受けるのはごく一部の人です。そうでなくとも普通の人はある企業の新技術開発のために無償で協力して欲しいと言われても協力する人は少ないでしょう。オプトアウト形式を取ったとしても、そもそも自分のデータが利用されているか知らなければ拒否しようがありません。ホームページでの公開といった形をとるところが多いと思いますが、利用した患者のデータが出力される可能性を踏まえると個別同意を取得は難しかったとして個別に事後報告はすべきでは？とも思います。
オプトアウト形式をとったとして、販売が始まってしまったサービスから患者が自分の情報を除外してくれと言われた場合に対応するのか？オプトアウト形式をとる以上は拒否の意思を示す患者は尊重すべきです。しかしながら、提供済みのサービスに利用されている患者情報を個別の除外できるのか？意思表示が来たらその都度除外するのか？除外したとして、そのサービスの信頼性やクオリティは担保されるのか？といった懸念点が想定されます。一人二人であれば大したことはないかもしれませんが、その生成AIサービスに関わる重大な問題が発覚し全国ニュースになった場合は拒否の意思を示す人が殺到するかもしれません。そこまでなった場合はどのようにするのか？
現在も行われているオプトアウト研究は侵襲や介入がないことに加え、過去のデータを用いることから直接同意を得ることが困難であることから大抵はその形を取られています。逆に言えば、何かしらの不利益があるのであればその形をとるべきではないのでは？とも取れます。生体情報を学習させたものが外部に流出した場合、内容によっては患者に多大なる不利益や精神的な苦痛を与えるものにな
りかねません。
急いで書いているためまとまりがない話になっているかもしれませんが、本人同意を要しないデータ利活用等に関して・営利企業による営利活動の一環と言える範囲内でのオプトアウト研究には制限を設ける、可能なら営利的な活動禁ずる、収集した患者データの流出時の賠償等の規定を明確にする
・既存の問題を放置し、生成AIを使ったことで解決したかのように見せる活動を制限する
・患者データを元に出力物が出る以上は、患者に対して不利益が出る可能性は否定てきない。そのため、個別同意を取らない場合でも事後報告を個別に出すべき193 ページ公益性のある医療用技術については現在もしっかりと許諾を取った上で、個人情報を扱っていることをご承知ではないのでしょうか。
638

匿名

把握しておられないのであればそこから学び直してはいかがですか。
無許諾ではなく研究は問題なくできるはずですので、今後も個人情報の取り扱いは厳重にしてください。
それができなくて何が法でしょうか。
PPCのFAQ,Ｑ2－14により、治験で取得したデータの公衆衛生例外の使用は許される事が示されているが、目的外利用の「目的」の解釈が不明確であるため、多くの企業では「適応症」「疾患名」を目

639

田辺三菱製薬株式 的の範囲と解釈している。しかし、創薬の適応、対象疾患、疾患の背景にある知識は科学の発展によって日々広がっており、治験開始時の特定の適応症を「目的の範囲」と解釈すると、新たな科学的知
会社

見によって得られた新たな適応症の為の「創薬」研究に使用が制限され、公衆衛生の発展が著しく阻害された状況となる。そこで、公衆衛生例外における治験データ利用においては、「目的」の範囲の解釈が特定の「適応症」、「疾患名」を意図するものではなく、「治療方法、治療薬の無い疾患への創薬」（適応症を限定しない）解釈が可能となるよう、要件設定、ガイダンス等の整備を求めます。
意見：
欧州のEuropean Health Data Space（EHDS）を参考に、医療分野の個人情報保護法の特別法を一刻も早く制定すべきである。
理由：
2023年に閣議決定された規制改革実施計画において適切な診療・ケアや医学研究、創薬等のため、必ずしも同意に依存しない医療等データ利活用法制等を検討することとされた。欧州ではEHDS法案がすでに欧州議会で採択され、間もなく成立するところ。日本における法制化が遅れれば、昨今問題化しているドラッグロスを益々拡大させる要因にもなりかねず、国民にとって不利益な状況となることを強く懸念する。
意見：640

日本製薬工業協会 医薬品の研究開発等に関する公衆衛生例外規定についてガイドラインの記載等について議論する場を設定することに賛同する。本来は、欧州のEuropean Health Data Space（EHDS）を参考に、医療分
野の個人情報保護法の特別法を一刻も早く制定すべきであるが、その実現までのつなぎとして公衆衛生例外規定の解釈の柔軟化が必要である。
なお、議論によってはガイドラインのみならず法の改正が必要になる可能性もありえるため、次回の法改正に間に合うようなスケジュールで議論すべき。さらに国民への周知を十分実施すべき。
理由：「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（Q2-14）において、製薬企業が実施する研究を公衆衛生の向上に資するものとされたが、当該Q&Aは、本人の同意を得ることが困難な場合に加えて、「公衆衛生の向上のために特に必要がある場合」の「特に」の解釈や「研究」に限定された記載となっていること、さらには研究結果を「広く共有・活用すること」など様々な要件の記載があり、この例外規定を用いて個人情報を入手し利活用することは実務上進んでいない。

意見
ヘルスケア分野については、本人の権利保護を担保する策を適切に講じつつ、入口規制から出口規制へ転換すべき。とりわけEHDS（European Health Data Space）によりヘルスケア分野におけるデー
641

一般社団法人日本
経済団体連合会

タ利活用に関する制度整備を進めるEUの動き等も参考にしつつ、必ずしも同意ではなく、データ管理機関やデータ利用者への監督等により、個人の権利利益を保護する制度の在り方も検討すべき。
理由
製薬企業が実施する研究を公衆衛生の向上に資するものとして明確化したものの、ガイドラインやQ&Aでは様々な要件が課せられ、例外規定を用いたデータ利活用は進んでいないのが現状。

194 ページ本人同意を要しないデータ利活用等の在り方について、「単に利活用の促進の観点から例外事由を認めるのは適当ではなく、本人の権利利益が適切に保護されることを担保することが必要」とする点は妥当であり、賛成である。また、同意を要しないとする場合には公益性を求めるという点も妥当であり、賛成である。
本人同意を要しないデータ利活用等の在り方については、公共性が高い分野に限定し、本人同意を要しないデータ利活用等を行う事業者や組織を登録制とし、どのようなデータをどのような目的で利用するか等を個人情報保護委員会が個別に公開する仕組みを検討してはどうか。また、これらの登録事業者に対するオプトアウトの窓口を一本化することで、個人の権利を保護しつつ本人同意を要しない
642

一般社団法人データ利活用を可能とする枠組みの構築ができるのではないか。

MyDataJapan

生成AIについては、一括りに「社会にとって有益であり、公益性が高いと考えられる」との考え方が示されているようにも読めなくもないのだが、どのような目的で生成AIが使われるかによって、公益公共政策委員会 性は異なるはずである。それぞれの利用目的や影響を個別に評価すべきである。また、生成AIだけを取り上げて特別視すべきではなく、どのような技術やサービスであっても、その目的や利用形態によって公益性は異なるため、きめ細かな検討が必要である。
公衆衛生等、既存の例外規定の内容の明確化はぜひ進めてもらいたい。どのようなケースに公益性があり例外とすべきかを検討する検討会は、傍聴可能とし、議事録（議事要旨ではなく）を公開するな
ど、プロセスの透明性を高めるべきである。また、多様なステークホルダーの参加を確保し、特定の利害関係者の意見に偏ることなく、幅広い視点から議論を行うことが重要である。
643

個人

公益性のある医療用技術はいままでも許諾をとって個人情報を扱ってました。無許諾じゃなくても研究できるはずなので今後も個人情報の取り扱いは厳重にしていただきたいです。
意見：健康・医療データについては利活用に係るニーズが強いことから、第三者提供や要配慮個人情報の取得等について、現行の法制度のように原則として本人同意の取得を求め例外的に本人同意が不要となる事由を設けるという形式ではなく、原則として本人同意は不要としつつも、利活用を行う事業者にデータの適切な管理を徹底させ、転々流通することを防止する等の規制を課す形式に転換されるよう検討されたい。
理由：個人データの第三者提供や要配慮個人情報の取得については本人同意を基本とすることが健康・医療データの二次利用の障壁の一つとなっているため、本人同意を原則とする入口規制から、デー
タ利用事業者における取得後のデータ取扱方法を規制する出口規制への転換が望まれる。
なお、現行の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」Ⅳ９．（３）に基づき、院内掲示等により一定の要件を満たす場合には、患者による「黙示の同意」がある
ものとして医療機関による個人データの第三者提供が認められており、実質的に患者による明示的な同意は要求されていないところ、入口規制から出口規制への転換はこのような現状とも整合的である。

長島・大野・常松644

法律事務所データプロテクション
チーム有志一同

意見：本人同意に係る例外規定について、「医療や研究開発の現場における公衆衛生例外規定の適用のように、例外規定はあるものの、適用の有無に関する判断にちゅうちょする例があるとの指摘がある」（23頁）との考え方が示されているが、特に公衆衛生例外の適用について、事業者の意見も踏まえつつ、現行のQ&Aの記載をより明確化されたい。
理由：現行の「個人情報の保護に関する法律についてのガイドライン」に関するQ&AのQ2-15等に基づくと、「本人の転居等により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき」や「同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがあるとき」には公衆衛生例外が認められるとされている。もっとも、これらの記載は外縁が明確ではないため、例えば、①連絡先の入手から長期間が経過しており、本人の有効かつアクティブな連絡先か否かの確認も難しい状態になっている場合に「本人からの同意取得が困難であるとき」に該当するか、②本人の同意を得るためには、時間や費用の観点から研究の遂行に多少なりとも支障が生じざるを得ないところ、具体的にどの程度・範囲の支障が生じれば「同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがあるとき」に該当するか、といった部分について明確になるよう留意されたい。また、同Q&AのQ2-15では、「医療機関等における臨床症例を、当該医療機関等における観察研究や診断・治療等の医療技術の向上のために利用することは、当該研究の成果が広く共有・活用されていくことや当該医療機関等を受診する不特定多数の患者に対してより優れた医療サービスを提供できるようになること等により、公衆衛生の向上に特に資するものである」として、対象となる疾患の希少性や既存の治療法の有無などによる限定を示唆するような文言無しに、患者の臨床情報の二次利用について公衆衛生の向上に資する旨が示されているのに対し、Q2-14では、「製薬企業が行う有効な治療
方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明、創薬標的探索、バイオマーカー同定、新たな診断・治療方法の探求等の研究は、その結果が広く共有・活用されていくことで、医学、薬学等の発展や医療水準の向上に寄与し、公衆衛生の向上に特に資する」として、有効な治療方法や薬剤が十分にない疾病等に関する研究や開発に限り、臨床試験等で得た患者の個人情報の二次利用が公衆衛生の向上に資するかのような文言となっており、整合性が取れていないとも思われることから、Q2-15で記載されている内容と同様に、疾患の希少性や既存の治療法の有無にかかわらず、上記のような目的であれば公衆衛生の向上に資する旨を明確化することが望まれる。この点は、Q7-24とQ7-25の関係についても同様である。

195 ページ

（意見）欧州のEuropean Health Data Space（EHDS）を参考に、医療分野の個人情報保護法の特別法を一刻も早く制定すべきである。
（理由）
2023年に閣議決定された規制改革実施計画において適切な診療・ケアや医学研究、創薬等のため、必ずしも同意に依存しない医療等データ利活用法制等を検討することとされた。欧州ではEHDS法案がすでに欧州議会で採択され、間もなく成立するところ。日本における法制化が遅れれば、昨今問題化しているドラッグロスを益々拡大させる要因にもなりかねず、国民にとって不利益な状況となることを強く懸念する。
（意見）645

日本製薬団体連合 医薬品の研究開発等に関する公衆衛生例外規定についてガイドラインの記載等について議論する場を設定することに賛同する。
会

本来は、欧州のEuropean Health Data Space（EHDS）を参考に、医療分野の個人情報保護法の特別法を一刻も早く制定すべきであるが、その実現までのつなぎとして公衆衛生例外規定の解釈の柔軟化が必要である。
なお、議論によってはガイドラインのみならず法の改正が必要になる可能性もありえるため、次回の法改正に間に合うようなスケジュールで議論すべき。さらに国民への周知を十分実施すべき。
（理由）「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（Q2-14）において、製薬企業が実施する研究を公衆衛生の向上に資するものとされたが、当該Q&Aは、本人の同意を得ることが困難な場合に加えて、「公衆衛生の向上のために特に必要がある場合」の「特に」の解釈や「研究」に限定された記載となっていること、「有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究」に限定されていること、さらには研究結果を「広く共有・活用すること」など様々な要件の記載があり、この例外規定を用いて個人情報を入手し利活用することは実務上進んでいない。
(意見)
公的医療保険制度において集められた健康・医療情報（生体の画像データ等）は通常の生体データとは区別して取り扱うことを明記、これらのデータについては入口規制という形で本人同意を求めるのではなく（原則オプトアウトとし）、出口規制という形で利用目的等を含め適切な利活用かどうかをチェックするという在り方で国民を保護する効果的な方策を検討することなど、実効的な健康・医療情報の活用方策について検討すべきと考える。

646

在日米国商工会議 (理由)所（ACCJ）

以下のような状況が現に生じていることを考慮することが必要であるため。
-医療機関が医療データを一般の生体データに対する規制と同じように取り扱わなければいけないと理解し利活用に繋がっていないこと-医療技術・将来の技術・医療政策に対しての患者の知識が限られているため、同意の意義に疑義が生じていること-患者が緊急に治療を要する状況や意識障害・認知症などにより同意を有効的に行えないことがあること-医療の効果や政策を分析する際には、患者が死亡した時点での情報（医療・介護行為のエンドポイントの確定）や、死後のデータを活用する必要がある場合が多いこと

196 ページ

【考え方】
また、医療機関等における研究活動等に係る利活用のニーズについても、公益性の程度や本人の権利利益保護とのバランスを踏まえて、例外規定に係る規律の在り方について検討する必要がある。
例えば、医療や研究開発の現場における公衆衛生例外規定の適用のように、例外規定はあるものの、適用の有無に関する判断にちゅうちょする例があるとの指摘がある。
こうした点等については、事業者の実情等も踏まえつつ、関係府省庁の関与を得ながら、ガイドラインの記載等についてステークホルダーと透明性のある形で議論する場の設定に向けて検討する必要が
ある。
（意 見）
当該【考え方】について、当研究会として、賛同する。
但し、一般法である個人情報保護法をベースとした「ガイドラインの記載等」などの解釈で書き下すことは、「医療や研究開発の現場における公衆衛生例外規定の適用のように、例外規定はあるものの、適用の有無に関する判断にちゅうちょする。」を度々繰り返すことになると懸念する。
つまり、一般法を前提とした「ガイドラインの記載等」、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」などの「解釈」による小手先の対応に終始しないことが重要で

647-1

公益社団法人日本 ある。

医業経営コンサル そのためには、少子高齢化、人口減少下における労働供給制約社会を前提として、我が国の将来を見据え、マルチステークホルダー・プロセスで医療・介護・福祉分野の既存の関係法令の改正若しく
タント協会

は、特別法の制定が期待される。
例えば、労働分野の就職活動における学生等の個人情報を労働分野の実情を考慮した「職業安定法」で当該個人情報の取り扱いも含めて法令化しているように、医療・介護・福祉分野においても、医療・介護・福祉分野の実情（世界に誇れる我が国の「国民皆保険制度」、国および地方公共団体の責務として介護保険法に規定されている「地域包括ケアシステム」など）を考慮した要配慮個人情報の取り扱いを法令化することが望まれ、一次利用（本人の健康予防、治療、介護、福祉）、二次利用（政策立案、公衆衛生、医学研究、過度に海外依存しない国産のワクチンや医薬品等の開発、健康寿命延伸などの医学的エビデンスに基づいたヘルスケアサービスの開発など）とも、医療・介護・福祉分野の既存の関係法令の改正若しくは、特別法の制定が期待される。
（理由）
以下に、当研究会が2024年3月に公表した研究会提言の一部を抜粋したものを示す。
この中の「①国民皆保険医療リアルワールドデータの分析に基づく政策立案」、「②国民皆保険医療リアルワールドデータの一次利用（本人の治療）時の個人情報保護法との不整合の解消」、「④国民皆保険医療リアルワールドデータの二次利用の促進」が、「理由」に該当し、誤解が無いように前後の文脈も含めて、意見書として提出する。

197 ページ

「医療 DX 政策動向と研究会提言」（2024年3月公表）
公益社団法人日本医業経営コンサルタント協会
近畿地区協議会

医療DX研究会（以下、一部抜粋）【国・地方公共団体への提言】(1)国民皆保険制度で発生した医療情報（リアルワールドデータ）を利活用し新しい価値を創出し、持続可能な社会保障制度の構築を着実に進められる環境整備
毎年 40 兆円を超える膨大な日本の国民医療費は、本人負担分と保険料では賄えず、約 40％を公費で賄っている。
つまり、傷病などの健康リスクを国民全員で共有し費用を負担し合う共助である社会保険方式を基本としつつ、皆保険制度を維持するために、公費を投入している。そのおかげで私たち国民は安価で高度な医療を消費しているのである。
国民皆保険制度における医療提供サービスの消費に伴い発生した医療情報（リアルワールドデータ）（以下、国民皆保険医療リアルワールドデータ）は、本人の要配慮個人情報であると同時に、前述の趣旨から国民全員で共有すべき貴重な医療情報資源であり、国民全体の財産であるといえる。したがって、全国に分散した個々の保険医療機関任せにせず、安全保障上も国が保管・管理し、さらには利活用して国民全体にその恩恵を還元する責務があるのではないか。

647-2

公益社団法人日本 ①国民皆保険医療リアルワールドデータの分析に基づく政策立案
医業経営コンサル エビデンスに基づく効率的で質の高い医療提供を目的とした政策立案を可能にするため、国（行政）は、国民皆保険医療リアルワールドデータを積極的に分析し、最適な医療リソース配分を実施する
タント協会

ための基礎情報として利活用することが求められる。

②国民皆保険医療リアルワールドデータの一次利用（本人の治療）時の個人情報保護法との不整合の解消
厚生労働省施策「医療機能の分化・強化、連携の推進」を前提とした国民皆保険制度において、医療情報の連携先への提供時の本人同意プロセスを個々の保険医療機関の現場責任とせず、個人情報保護法の法令例外適用とすべく、健康保険法などの関係法令の改正および整備が望まれる。
③ 「全国医療情報プラットフォーム」で国民皆保 険医療リアルワールドデータの保管・管理・監視
全国に分散した個々の保険医療機関にサイバーセキュリティ対策などの本業以外の過大な負担をかけないためにも、多大な税金で初期投資や運用費を賄う「全国医療情報プラットフォーム」で国民 1
人ひとりの生涯の国民皆保険医療リアルワールドデータを保管、管理、監視することが期待され、健康保険法などの関係法令の改正および整備が望まれる。
④ 国民皆保険医療リアルワールドデータの二次利用の促進
一次利用（本人の治療）だけでなく、二次利用（公衆衛生、医学研究、過度に海外依存しない国産のワクチンや医薬品等の開発、ヘルスケアサービスなど）による恩恵を国民全体が受ける権利があ
り、国民全体にそれらの恩恵を還元するためには、医療分野の特性を十分に踏まえた関係法令の改正や特別法の制定が望まれる。

198 ページ

第２ 個別検討事項

３ データ利活用に向けた取組に対する支援等の在り方(1)本人同意を要しないデータ利活用等の在り方（生成AI）
No.

提出者

提出意見
webサイト等インターネットに公表されている情報(画像、テキスト、プログラム等)の利活用に、個人情報や著作、肖像の面で懸念を持っています。
公表されているデータが本人のものでない可能性がある以上、あらゆる情報は保護されるべきと考えます。
生成AIについても、各サイトやサービス運営者がスクレイピングやクローラーを用いた情報取得等を規約などで禁止しているにも関わらず、それを破ってデータが使用されています。海賊版や違法サイ

648

匿名

トから収集されたデータも見つかっています。このような不正に取得されたデータを元に開発されたものを世に出してはいけない考えます。このような法の抜け穴を利用する企業に対して権利者、個人はあまりにも無力で不公平です。個人情報、著作、肖像についてはぜひオプトイン(本人が許可したもの)のみの利活用を望みます。
個人情報の有効利用のためといえば権利者や個人の情報が不正に、不適切に、本人の意思と関係なく利用されうる、ということはあってなりません。
海賊版や不正なサイトを完全に撲滅することが仕組み上不可能なこと、一度インターネットに流れた情報が消すことが困難であることを大前提として、一度でも個人情報の不正取得、不正利用をさせな
い仕組みづくりを求めます。
(1)本人同意を要しないデータ利活用等の在り方について、生成AI等のサービスの公益性に言及しているが、現状画像生成AIによる誤情報の拡散や特定の個人に対する名誉毀損等の問題が懸念される。
メディアやニュースサイトでも生成画像を使用している事があり、事実と異なる画像が拡散されることによって事実誤認されている事例が散見される。

649

匿名

信用出来る技術として活用していくためにも、まずAI学習させる時点で学習元となる画像や情報の所有者に同意を得る事を義務付けるなどの規制が必要である。また、生成画像を実際の映像と誤認させないよう使用の際にはAI生成である旨の記載を義務付けるなどの仕組みが必要である。
他者の権利を侵害しないこと、情報元を明瞭にしなければ情報の提供もサービスの利用も現段階ではリスクにしかならない。
資料「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」の22~23ページ『本人同意を要しないデータ利活用等の在り方』について『「いかなる技術・サービスに高い公益性が認められるか」について，極めて多様な価値判断を踏まえた上で高度な意思決定が必要になる。』とあるが，基本的には「許諾を得て使用する」を大前提とし，その運用の結果「大幅な公益性が認められた」という「明確な実績」が生まれたものに対してのみ検討するべきであると考える。
例えばこのページでは『公益性が高いと考えられる技術』の一例として「生成AI」が挙げられている。しかし，生成AIは登場してから1年以上経っているにもかかわらず，それで生活が好転した「明確な実績」は何一つ生まれていないと言っていい。それどころか世界の動向を見ると，その成り立ちや運用が問題視され規制に動いている国や地域も多い（EUなど）。とても『公益性が高いと考えられる

650

個人

技術』とは思えず，それに対し「有用な技術だからプライバシーを奉げろ」などと言われても到底納得できないのである（この意見の本題からは多少逸れるが，生成AIは勝手に他者の写真等を取り込むことでディープフェイクや性的画像の捏造などが行われてしまい，むしろ『本人同意を要しないデータ利活用』の負の側面が現れている）。そして『極めて多様な価値判断を踏まえた上で高度な意思決定』の結果が「生成AIは公益性が高いと考えられる技術」という判断だというのなら，はっきりと言ってしまえばその意思決定は信用できない。
一企業にしろ国にしろ，技術やアイデアに対し期待できるから投資するという姿勢そのものは間違いではないかもしれない。しかし，個人情報は我々の安心のために最優先で守られるべきものの一つであり，成功するかどうか不透明な技術に勝手に賭けられてはたまったものではないのである。そのため，『いかなる技術・サービスに高い公益性が認められるか』の判断基準として，まず個人情報を「許諾を得て使用する」という上で運用し「明確な実績」が生まれたかどうか，を考えるべきである。
現段階で合成エンジン（生成ＡＩ）を「社会的に有益」や「社会的にニーズが高まっている」と唱えている層は『他人の個人情報を金儲けに使いたい（不適切に利用したい）一部の企業』しか存在しておらず、さらにそれ以外の企業では作業の効率化向上どころか『余計な作業を増やし生産性を低下させ』かつ『社会的基盤を破壊している』状態である。
同時に偽情報、いわゆる「ディープフェイク情報」を『誰でも安易に』かつ『大量に』生産し、国益に貴重なビッグデータに「偽情報」が大量に混ざる『データ汚染』も深刻である。そこにセキュリ

651

匿名

ティ機能にも問題があり情報漏洩が多く確認されている状態でもある。総じて合成エンジン（生成ＡＩ）は個人情報を取り扱う分野で使うべきではない。
合成エンジン（生成ＡＩ）関係では、現状日本は他国との勝敗どころか『一番の遅れをとっている状態』である。このままでは『ＡＩ関係では国際的な信用』も失い、ＡＩ関係に関して『国際的な孤立』が避けれない可能性もある。
現状まずは「他国との勝ち負け」に拘らず、ＡＩ法などで規制法を整えているＥＵやアメリカなどの国際情勢と同じように、日本も合成エンジン（生成ＡＩ）そのものを「法的規制」するべき。

199 ページ

生成AIの使用について意見を提出させていただきます。
現在使用されている生成AI、特に芸術分野(声、イラスト、写真等)について、悪質な使われ方をしていることが非常に多く、またそもそもその学習元についてクリーンなものは現状基本的に存在していないため、政府主導で早急にこれを規制する必要があると考えられます。
このままでは日本の芸術分野におけるクリエイターの権利は踏みにじられ、法整備が整っていないために日本が海外からも搾取され放題の場所となり、衰退していくことは明確です。
もちろん個人情報保護に関連して、肖像権の観点などからも、ディープフェイクや悪質なコラージュ等に生成AIが使用されることを防ぐ必要があると考えられます。
652

匿名

海外の生成AIに対する法令や、現在法による規制が行われていないことによって発生している大変悪質な事例(児童含む実在する人物の架空のポルノ画像・映像や、特定のイラストレーターの「絵柄」の癖などをコピーすることにより、本来コンテンツによっては規約違反となる贋作を、そのイラストレーターの描くイラストに寄せて出力したり、あるいはなりすましたり、またそれらの画像や動画によって生成AIによる出力者が利益を得ることで本来クリエイターに還元されるはずだった利益が減少してしまうことであったり、生成AIの使用者による、その使用について抗議する意思を持つクリエイ
ターに対してインターネット上で執拗な攻撃・嫌がらせ等が行われたりといった事例)について、早急に、正しい理解と対策が必要であると考えられます。
つきましては、旧態依然とした、生成AIの使用の是非について間違った認識によってその是非を考えるのではなく、広くクリエイターや生成AIによる被害に遭われた方々の意見を取り入れ、どう規制するべきかを可及的速やかに検討するべきであると、意見を提出させていただきます。

653

匿名

ニーズや公益性を踏まえて例外規定を設けるとの事ですが、今の状況で自分の個人情報や肖像を勝手に生成AIに使われるのは不安でなりません。何をもって例外とするのでしょうか？すでにSNS等アップした個人情報プライバシー写真イラスト文章音声動画など生成AIに素材として勝手に収集され悪用されています。絶対にやめて欲しいです。
「生成AI」と呼ばれるものは実際は学習どころか既存のデータを合成するツールである。
「生成AI」の普及により増加した出来事は、・他人の絵を合成した画像を自作と称する著作権侵害行為

654

匿名

・実在の人物の画像を利用することによる肖像権の侵害・ポルノ画像の濫造・情報の信憑性の低下(虚偽の災害の写真などが見られる)・他者の声を利用したなりすまし・詐欺行為
・「生成AI」の利用に反対する者に対する迫害行為
これだけのことがあれば十分に世界的な損害と見られるので、今後一切利用しないことが一番の恩恵になると自分は考えている。
（意見）
生成 AI などの、社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が高いと考えられる技術やサービスとありますが、もしこれが医療分野などで癌やコロナ肺炎を特定するなどの功績を出している解析用でなく、画像や文章、音楽などを生成する生成AIについてであるのであれば、前者の解析用と同じ扱いにするべきではなく、むしろ厳格な規制を行うべきだと判断します。
（理由）
現状の生成AIモデルは人工知能とは呼ばれていますが、それは消費者に分かりやすくするための方便であり、実際は技術者側がパラメーターの調整を行っているため生成AIが考えているわけではなく、調整した値によって運用しているために、場合によってはハルシネーションと呼ばれる嘘を出力することがあり、基盤データをネットから無断で収集しているために権利問題や情報汚染の影響を受けや

655

匿名

すいという弱点も指摘されています。
そのため今までのような一般のツールとは違い、正確性が劣るにもかかわらず利用を決めた側の期待だけが大きく、実際の現場とのずれが発生しやすいものであるということが先に導入した海外のニュースなどから知られており、また運用するにあたって膨大な電力を消費することから今後も持続可能かを疑問視されています。
また現状のサービスが一般公開されていることにより第3者に自身の顔・声などの個人データを勝手に利用され、詐欺・クラスメイトや芸能人のポルノ画像の作成や、音声生成、権利を持たない人間が他者の追加学習データの販売によって金銭を得る行為なども報告されており、最近公開され始めた動画生成AIによる虚偽の犯罪行為の捏造などによる社会的地位を貶める被害が発生する懸念もあります。
こちらも海外ですが企業が声について仕事の契約を求め、求めた相手が断ったところ生成AIを利用して声を再現する事例も発生しているため、モデルなどにも影響が出ることが懸念されます。
これらの日常や仕事の契約における場面での問題は社会にとって有益で、公益性が高いとは言えないどころか、むしろ実害を与える存在になりえると判断するため、画像や文章・音楽などを生成する生成AIが扱うデータについては厳格な規制を行うべきだと判断します。

200 ページ3(1)本人同意を要しないデータ利活用等の在り方
概ね賛成いたします。その上で同時にサービス提供者に個人情報がそのサービスを通して漏れないように対策することを義務づけるべきと考えます。
656

匿名

生成AIなどは様々な公益性の高い事業、例えば現在位置からの避難所までの道のりの算出やチャットボットへの活用、法令や書類の概要の解説など、多くの事業に活用でき、生成AIに対する忌避感から発生する誤情報や誤った方向の懸念に負けずに推進を継続すべきと考えます。しかしながら同時にその事業によって得られた個人情報を基にした生成によって別の利用者が他人の個人情報を得られる、
殊に有名人などの個人情報が得られるということは個人情報保護の観点から適当ではないと考えます。従って今まで通りAIなどを推進しつつ、同時にサービス提供者に対して個人情報が漏れ出さないという担保が同時になされるべきだと考えます。
意見及び理由公益社団法人657

全

国消費生活相談員
協会

・現行法で本人同意が求められる18条１項、20条2項、27条2項にはそれぞれ例外規定があり、本人の利益のために必要がある場合や他の利益のためにやむを得ない場合には例外的に本人同意は不要とされています。しかし、すでに生成AI等の社会基盤になりうる新技術が急激に発展・浸透し、膨大な量の個人情報を取扱うサービスやビジネスが生まれている実態を踏まえれば、例外規定の在りようについて早急に検討する必要があると考えます。その際、例えば生成AIの開発において、要配慮個人情報を取得してしまう場合などにおいて、少なくとも、要配慮個人情報が不当に利用されないことが担保されているか、本人の不利益を上回る公益的利益があるのか等について、社会的要請の有無、公益性の程度などの観点からの早急に真摯な検討が行われるべきと考えます。
○意見内容
生成AI について、例外規定を設けずとも現行法の範囲内で対応できる部分については、ガイドライン等での明確化をお願いします。具体的には、生成AI などのAI モデルの開発に当たって、Web 上などに散在する個人情報（要配慮個人情報を含まない）を学習データとして利用する場合には、個人情報に係る規律を遵守すればよく、個人データや保有個人データに係る規律は適用されないことをガイド
ラインやQ&A で明確化することをお願いします。
また、2023 年12 月の第266 回個人情報保護委員会のヒアリングでも意見させて頂きましたが、上記のようにWeb 上の個人情報を学習データとして利用する際に、その中に要配慮個人情報（信条、病歴、犯罪歴等）が含まれてしまう場合があります。法第20 条2 項（７）では「当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第57 条第1 項各号に掲げる者その他委員会規則で定める者により公開されている場合」は本人同意なく取得が可能とされ、ガイドラインで「報道機関（報道を業として行う個人を含む）」や「著述を業として行う者」等を含め、その範囲が列挙されています。Web 上で公開されている要配慮個人情報について、どのようなWeb サイト（例えばWikipedia 等）で公開されているものであれば、本人同意なく学習データとして取得及び利用することができるかについて、ガイドラインやQ&A で明確化することをお願いします。

658

電子情報技術産業 ○理由
生成AI については、現行法の範囲内でもガイドライン等の明確化により、その開発・利用促進を図る余地があると考えるため。
協会

また現状、どのようなWeb サイトで公開されている要配慮個人情報であれば本人同意なく取得できるかについて明確化されておらず、事業者におけるAI 開発を委縮させるおそれがあるため。
○意見内容「生成AI 等の新たな技術の普及等により、大量の個人情報を取り扱うビジネス・サービス等」が生まれている環境において、「生成 AI などの社会の基盤となり得る技術やサービス」について、新たに例外規定を設けることに賛成します。具体的には、他事業者が提供する生成AI などのAI モデルを業務利用するに当たり、当該AIモデルから個人情報の復元はできないことが担保されているAI モデルであれば、プロンプト入力に伴う個人情報（散在情報）の当該事業者への第三者提供時の通知・公表義務を緩和することや、個人データの当該事業者への第三者提供時の本人同意義務を緩和すること等の検討をお願いします。
○理由
個人情報の復元はできないことが担保されているAI モデルであれば、個人情報を入力することによる個人の権利利益への侵害はないと考えられるため。

201 ページ

（意見）中間整理が指摘するとおり、デジタル化や技術の進展に伴い、社会に有益な様々なビジネス・サービス等が生まれており、これらを、個人の権利利益保護とデータ利活用のバランスに考慮しつつ、日本社会が享受する便益を増大させ、また、生産性の向上や経済成長に有効に用いていくことが重要です。
この観点から、生成AIなどの社会にとって有益性が高い技術やサービスについて検討のうえ、例外規定を設けることに賛同します。ただし、公益性の程度を基準とすることは、民間で行う事業に関して
659

日本マイクロソフ 例外規定を設ける際の基準としてそぐわないものと考えます。よって、ビジネス・サービス等の社会にとっての有益性及び個人のプライバシー・権利利益を毀損するものではないか、という実質的な判
ト株式会社

断基準を用いて、例外規定を設けることを提言します。
また、個人情報の処理に正当な利益（legitimate interests）の適法性根拠を導入する、という別のアプローチもあります。正当な利益の枠組みを個人情報保護法に取り入れることによって、より柔軟で適応性のある枠組みを創ることができ、企業が、個人、企業及び社会のために様々なサービスをサポート、提供及び改善するために必要なデータを収集できるようになります。当該枠組みは、特定の種類のデータ利用の便益及び個人のプライバシー保護を確保するための措置を詳細に説明することを可能にするデータ保護影響評価（DPIA：Data Protection Impact Assessment）の義務付けと組み合わせることも考えられます。
（意見）「公益性が高いと考えられる」技術やサービスに対しての、同意を要しないデータ利活用を推進するような規律には賛成します。例えば、AI モデルのトレーニングにおいては膨大な量のデータが必要になる点に配慮することは極めて重要です。
大規模な言語モデル（LLM）のトレーニングには、多種多様な膨大な量のデータが必要です。そのため、このようなトレーニングにライセンス取得済みの専有データのみを使用することは現実的ではありません。
LLM のパフォーマンスを効果的に確保し、LLM の出力における偏りや不正確さなどのリスクを軽減するには、公開されているデータの量と多様性が重要な要素となります。
現在、LLMを構築するために必要な言語の量、幅、多様性、ニュアンスを入手できる妥当かつ実行可能な代替ソースはありません。これは、例えばイギリスにおいては、以下のように認識されています。
「英国情報コミッショナーオフィス（ICO）の理解では、現在、生成型AIのトレーニングは、大規模なスクレイピングによって得られた大量のデータを使用することでしか実現できない。将来的な技術

660-1

Asia Internet
Coalition Japan

開発により斬新なソリューションや代替案が提供される可能性はあるが、現在、小規模な独自のデータベースで生成型AIを開発できる証拠はほとんどない」
Information Commissioner’s Office, “Generative AI first call for evidence: The lawful basis for web scraping to train generative AImodels”,
https://ico.org.uk/about-the-ico/what-we-do/our-work-on-artificial-intelligence/generative-ai-first-call-for-evidence/
バイアスと差別に関しては、生成AIモデルの開発において取組むべき重要な問題であることが、研究や規制当局によって十分に認識されています。この問題は、データセットの多様性によって改善することができるとされています。
例えば、MITの研究者チームがハーバード大学と富士通株式会社と共同で『Nature Machine Intelligence』誌に発表した論文（下記参照）では、学習用データセットの多様性がニューラルネットワーク
が偏りを克服できるかどうかに大きな影響を与えることを明らかにしています。この発見は、データセットの偏りを克服するにはデータの多様性が実際に必要であるという考え方を裏付けるものであり、アルゴリズムによる差別やその他の偏りの潜在的な害悪を軽減するには、データの多様性だけでなくその規模も考慮する必要があることを強調しています。もしも、センシティブな個人情報が、データ主体の同意を得た上で生成AIモデルのトレーニングにのみに使用が認められるということになってしまうと、日本の開発者はセンシティブな個人情報を使用してLLMをトレーニングすることが実質的に制限されることになってしまいます。LLMがセンシティブな個人情報を使用してトレーニングされていない場合、LLMは生成AIトレーニングデータにセンシティブな個人情報が反映されていない
ため、データ出力に偏りのパターンが生じる可能性があることになります。

202 ページMadan, Spandan, Henry, Timothy, Dozier, Jamell, Ho, Helen, Bhandari, Nishchal et al. 2022. "When and how convolutional neural networks generalize to out-of-distribution category–viewpoint
combinations."
Nature Machine Intelligence, 4 (2), accessible athttps://dspace.mit.edu/handle/1721.1/143479. Press release from MIT
News accessible athttps://news.mit.edu/2022/machine-learning-biased-data-0221.
人工知能と自然言語処理の開発は急速に進んでおり、個人と社会全体にとって大きな利益をもたらしています。偏りのないLLM（大規模かつ多様なデータセットで訓練された）の責任ある開発は、生成
AIがもたらす利益の鍵となる必要不可欠なステップです。技術革新を促進するために日本が政策と規制を近代化することが重要です。
660-2

Asia Internet
Coalition Japan

一方で、公益性のみを必須とした項目にすべきではないとの考え方もあり得ます。例えば、国際的な動向においては、個人情報の利用や提供の場面において、必ずしも同意を必要としない仕組みが整備されています。具体的には、契約の履行のためや正当な利益のためであれば、公益性の有無にかかわらず、同意の無い情報の活用が可能です。これら諸外国の、イノベーションにも通じる制度をしっかりと認識したうえで、公益性の有無にとらわれない同意のない情報活用の規律を策定すべきであると考えます。
・令和３年改正にて、行政機関等匿名加工情報の提供については提案募集制度が用意され、例外を除き原則として提供には当該制度を活用することが義務化されていますが、制度運用の難易度から実効的な活用がされていません。健康・医療情報については公的部門の保有する情報の活用が有用であるところ、当該状況が妨げになっています。
そもそも、匿名加工情報については民間部門においては自由な提供が可能であるところ、公的部門においては上記規律が付されるなど、不均衡が大きいです。公的部門に過度な規制をかけるのでなく、民間に合わせた規制とすべきです。令和３年改正において、大学では国立・公立・私立大学における規制が異なることで生じる連携のしにくさを解消する改正がされています。こうした実例もある分野
を参考にして検討をすることを求めます。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
意見：
あらゆる生成AI技術が社会の基盤となり得るという前提に、大きな疑問があります。
とりわけクリエイティブ分野で使用される生成AI技術については世界的にその規制が議論されており、既存のクリエイター達に与える経済的および心理的な負担を考慮すれば、公益性を自明なものとするのは無理があります。
生成AIを社会の基盤と考えるのであれば、生成AI技術の分野による区分を明確にし、それぞれの分野での権利制限が適当であるかを逐一検討する必要があると考えます。
生成AIと個人情報の関係については、肖像権やパブリシティ権など多くの論点が存在するはずです。よって、既存の法律の解釈変更で対応することには懸念があります。個人情報保護法の見直しにあ

一般社団法人日本 たっては、生成AIという語の示す明確な範囲について立法などを通して国民的合意が得られるまでは、生成AIが個人情報を本人同意なく使用することに関して、慎重に慎重を重ねた取り扱いを求めま661

アニメフィルム文 す。
化連盟

また、有識者検討会で生成AIについて議論する際には、自らの作品または声を含む肖像などを生成AIの学習対象とされているクリエイターおよび実演家など、当事者の意見を確実に議論の俎上に載せるため、クリエイターや実演家を検討会に招集することを強く望みます。その人選にあたっては生成AIに対する賛否の両論を反映できる公平性を求めます。
理由：
私達NAFCAはアニメのクリエイターとファンによって構成される団体です。
NAFCAにはクリエイターが多く所属しており、これまで生成AI技術の進歩に伴い発生してきた様々な権利侵害の問題解決に向けて、様々な意見提出および実態把握に取り組んでまいりました。
現在のように、個人情報をなし崩し的に本人同意なく学習することで生まれる生成AIによる技術やサービスに対して公益性のみを見出すことに強い違和感を覚えている会員は、とても多く存在するものと感じています。
（意見）
P.23の【考え方】に、「生成AIなどの、社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が高いと考えられる技術やサービスについて、既存の例外規定では対応が困難と考えられるものがある。」とあるが、生成AIに関して「社会にとって有益」で「公益性が高い」ものという一面的な捉え方を前提に扱うことに、消費者・市民として強い違和感がある。

662

主婦連合会

安易に現行の例外規定の枠を広げるべきではない。医療情報等も含め、利活用については、徹底した透明性が必要であり、仮に例外規定を広げる場合には、消費者を含めた慎重な議論が必要である。
（理由）
生成AIのような技術は、社会、そして個人にとって有益である場合がある一方で、本人の権利利益を侵害する可能性もまた極めて高い技術であることは現代社会の共通認識である。
医療情報等も含め、個人の権利利益の保護の観点から慎重に検討されなければならない。
203 ページ

要配慮個人情報の取得規制は、当該要配慮個人情報を個人データとして取得する場合に限って適用されるという方向で現行法の見直しを検討すべきである。また、少なくとも、技術的な観点からより深く検討を進めるとともに、「OpenAI に対する注意喚起の概要」について、ガイドライン等において内容の明確化等を行うべきである。中間整理では、かかる対応をとることを明記すべきである。

663

一般社団法人日本 AI の学習は、パラメータと特定の個人との対応関係が排斥されている AI モデルの学習については、統計処理と何ら異なるところはない。そのため、AI モデルの学習にあたり、個人情報の利用目的としディープラーニン て当該 AI モデルの学習を特定する必要がない AI モデルもありうるところであるが(「 『個人情報の保護に関する法律についてのガイドライン』に関する Q&A」(以下、単に「Q&A」という)2-5 参照)、
グ協会

現状はこの点について十分な議論がなされておらず、AI の開発に委縮効果が生じている。そのため、この点について具体的に議論することを明記すべきである。
また、パラメータと特定の個人との対応関係が排斥されている AI モデルの学習について、複数の委託元から受領した個人データを用いて、(それぞれの個人データを突合することなく)個人データをあわせて一つのデータとして同時に学習に用いることは、委託の範囲内として許容されるべきであり(Q&A7-43②参照)、この点についても具体的に議論をすべきである。
意見内容
社会基盤となり得る技術開発における個人情報の利活用に関して、例外規定を設けるための検討が必要であることに賛成する。AIも社会基盤となり得る技術と認識されており、すでに社会実装が進んでいるため、この例外規定の枠組みに含めるべき。AIから個人データを復元できないことが担保されているAI開発を行っている、且つデータ管理体制が整備されているような事業者への個人情報、及び個

664

日本電気株式会社

人データの第三者提供については「公益性に資する技術開発用途で第三者提供することがありうる」旨の公表をその要件とすることなどを検討いただきたい。
理由
我が国としてAI関連の開発支援、制度設計、社会実装に係る基盤形成を進め、産業競争力の向上を目指している現状において、先端技術開発目的に対し、我が国のAI技術の開発を推し進めることを念頭にした検討が必要である。なお、個人データの復元はできないことが担保されているAI開発およびその利用は、個人に対する権利利益への侵害はないと考えられる。また、データ流通による情報漏えい
リスクは、データガバナンス強化等によりリスク低減が可能と考えられる。
（意見）
社会基盤となり得る技術開発における個人情報の利活用に関して、例外規定を設けるための検討が必要であることに賛成する。特に物体検知や人物検知を行う画像解析AI、映像に関する生成AI等のAI技術はこれから発展する領域であり、且つその利用は自動走行の高度化など公益性に資するものが多数考えられる。これら技術の開発観点から以下2点の意見を申し上げる。
①AI（学習済モデル）の開発には、大量の学習データが必要であり、その調達手段として第三者提供によるデータ流通は有効な手段となり得る。しかし、利用目的特定等の義務やレピュテーションの懸念のため、データ流通は活性化しておらず、限定的なデータ量を取得するために多くの工数をかけて調達するという高コストなAI技術開発を行っているのが現状。開発スピードの向上やAI精度向上に資665

一般社団法人デー するデータ流通の枠組みについて検討いただきたい。
タ社会推進協議会 具体的には、AIから個人データを復元できないことが担保されているようなAI開発を行う事業者であって、且つデータ管理体制が整備されているような事業者への個人情報、及び個人データの第三者提供については「公益性に資する技術開発用途で第三者提供することがありうる」旨の公表をその要件とすることなどを検討いただきたい。

②技術開発の実態を踏まえた上で、技術開発のポテンシャルを引き下げないような制度設計を検討いただきたい。例えば、研究テーマによっては、再学習や再検証のために学習データを保管する場合も
ある。
（理由）
意見の通り
意見
666

一般社団法人日本
経済団体連合会

生成AI等の社会の基盤となり得る技術やサービスに関する制度設計にあたっては、技術開発の実態や社会的ニーズを踏まえ、わが国産業競争力を低下させることのないように制度設計を行うべき。
理由
事業者に委縮効果をもたらす制度の導入は、多様な主体による社会課題の解決と生活者価値の創造を阻害しかねず。

204 ページ

（意見）生成AIやプライバシー強化技術など、有益かつ社会の基盤となり得る技術及びサービスについて、経済活動を阻害しない適切な普及がなされるよう、官民が連携した議論の場を組成すべきである。
（理由）
667

一般社団法人シェ 社会の基盤となり得る生成AIなどの技術の登場により情報の有用な利活用の幅が広がっている一方、プライバシーをはじめとする個人の権利利益を取り巻く問題・課題も生じてきており、生成AIの利活
アリングエコノ 用については、一定の規律が求められるところである。

また、この状況に対し、プライバシー強化技術の導入検討が一つ有用な手段と思われるが、現行法上、プライバシー強化技術が法的にどのように取り扱われるかが全く整理されていない状況であり、プミー協会

ライバシー強化技術の利用も進まない状況である。
中間整理においては、両技術に関し、関係府省庁やステークホルダーの意見も含めた検討がなされると記されているが、有益かつ社会の基盤となり得る技術及びサービスについて、経済活動を阻害しな
い適切な普及がなされるよう、適切な議論の場が組成され、かつ、経済活動の主体となる民間事業者の意見が適切に反映される座組となることを期待する。
（意見）
AIや最先端技術の国内活用を推進するため、データ利活用に際して本人同意が求められる規定の例外規定を設けることに賛成する。なお、「いかなる技術・サービスに高い公益性が認められるか」や具体的なその該当性の判断基準を検討する際には、新たな技術がもたらす価値を減退させることのないよう、事業者・関係団体等幅広いステークホルダーの意見を聞きながら幅広に例外規定をご検討いた
だきたい。
（理由）
生成AIなどの最先端の技術開発においては、個人情報を含む可能性がある大量のデータを活用する必要がある。その際、すべてのユーザの本人同意を得る必要があるとすれば、過度な負担となり、企業

668

AIガバナンス協会の技術開発の妨げになりかねないため、適切な範囲で例外規定が設けられることは、個人情報等の適正かつ効果的な活用を推進する上で重要であると考える。特に、具体的に検討が求められる論点例を
下記に2点示す。
1.既に取得されたユーザーデータセットをAIモデルの学習に利用する場合、目的外利用により再度本人同意を得る必要が生じれば、開発の遅延とともに、活用できるデータ量が大幅に減り、競争力のあるAI開発が困難になると考えられる。たとえば米国FTCにおいても、個人データのAIモデルの学習における利用について、必ずしもユーザ同意を必須としない運用となっている(
https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2024/02/ai-other-companies-quietly-changing-your-terms-service-could-be-unfair-or-deceptive ）。
2.生成AIサービスを利用する際のプロンプト情報等に個人情報が含まれる場合、クラウド例外該当性や、それに該当しない場合における法28条の基準適合体制の整備などが論点になる場合があるところ、これら解釈に事業者間で相違がみられるため、生成AIサービスへの個人情報の利用の可否の判断が難しく、活用の阻害要因になることが懸念される。生成AIサービスの活用は今後社会基盤としてますます重要になるものと考えられるため、こうした不透明性を解消し、活用を促進できる制度整備が求められる。
意見内容：

669

一般社団法人国銀行協会

全 「これらの技術やサービスについては、社会的なニーズの高まりや、公益性の程度を踏まえて、例外規定を設けるための検討が必要である。この際、「いかなる技術・サービスに高い公益性が認められるか」について、極めて多様な価値判断を踏まえた上で高度な意思決定が必要になる。」とあるが、どういった場合に例外が認められるか、規則等において解釈を明確化していただきたい。
また、明確化される場合には、民間事業者側での対応が必要となるため、施行までに一定の期間を確保していただきたい。

205 ページ

第２ 個別検討事項

３ データ利活用に向けた取組に対する支援等の在り方(1)本人同意を要しないデータ利活用等の在り方（その他）
No.

提出者

提出意見
（意見）
「社会的なニーズの高まりや、公益性の程度を踏まえて、例外規定を設けるための検討が必要である」の考え方に賛同する。また、この考えに基づき、運送分野の宅配便事業における公益目的でのデータ利用を可能とする方策の採用を要望する。
物流業界はトラックドライバーの不足（いわゆる「2024年問題」）等の課題に直面しており、宅配便の需要が高まる中で、持続可能な物流を実現するため、政策的にも、事業推進の観点からも、配達先情報をはじめとするデータの利活用等により輸配送の効率化を促進する必要性に迫られている。一方で、個人情報保護法上、宅配便事業者は個人データの取扱いの委託先に該当するため、宅配便伝票に記載された配達先の情報等を委託の範囲を超えて利用することができない状況にある。この状況を打開するため、例えば、以下のような措置をお願いしたい。
①第三者提供の制限（法27条）等に係る例外規定の改正又は解釈（27条1項2号又は3号の解釈）により、宅配便伝票に記載された配達先の個人情報等を、個人データの取扱いの委託先である宅配便事
業者が輸配送の効率化のために第三者提供を受けて利用することができるようにする。
②新たな規定の創設又は解釈により、個人データの取扱い委託を受けている宅配事業者が、委託を受けて取り扱っている配達先の氏名・住所・電話番号の情報を、輸配送の効率化目的の範囲内において取得及び利用することができるようにする。
③物流業界の所管法令において、配達先情報等のデータの利活用により輸配送の効率化を可能とする条項を創設し、個人情報保護法との関係では法令に基づく例外（法27条1項1号等）とする（中間670

ヤマト運輸株式 整理上記箇所における、「関係府省庁も含めた検討や意思決定」）。
（理由）
会社「総合物流施策大綱（2021年度～2025年度）」（令和3年6月15日閣議決定）では、「物流は、我が国における豊かな国民生活や産業競争力、地方創生を支える重要な社会インフラであり、人口の減
少や国際経済の不確実性の増大、新型コロナウイルス感染症の流行など社会環境の大きな変化の中にあっても、我が国経済の持続的な成長と安定的な国民生活を維持するため、決して途切れさせてはならず、その機能を十分に発揮させていく必要がある。」とされ（1頁）、「社会資本整備重点計画」（令和3年5月28日閣議決定）でも、「新型コロナウイルス感染症を契機とした住まい方や働き方の変化等を踏まえ、多核連携型の国土づくりや豊かで暮らしやすい地域づくりを推進するとともに、社会資本整備分野のデジタル化を推進する。また、リスクに強い社会経済構造の構築を図るため、
人流・物流を支えるネットワークの強化等を進めていく。」ことが掲げられている（2頁）。かように、運送分野は、社会的ニーズ・公益性ともに高い事業領域である。
また、運送分野の宅配便事業は、現在では一般的となったECサービス等に不可欠な要素であり、誰でも簡単かつ安価に利用可能な配送サービスは、日常生活に欠かせない。
従来、宅配便事業では、住所の表記ゆれや典型的な間違い、駐停車や納品窓口の位置、マンション管理者からから指示された敷地内のルールなどを、各配達ドライバーが記憶し、配達ルートを組むことで、効率的かつ配達先の顧客体験に資する配達が行われてきた。しかし、2024年問題などが生じている中、同一の配達ドライバーが特定の地域での業務を実施し続けることを必要とする配達ドライ
バーの経験に頼った配達方法は持続不可能である。それゆえ、例外規定の改正等の措置によって、過去の配達行為を再利用できる形で記録・活用できるようにし、配達ドライバーの経験や負担に依存せずとも、将来にわたって高い配達品質を維持可能とすることが望まれる。

206 ページ提言：個人情報保護法27条1項2号について、以下のとおり改正いただきたいです。
（現在）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（改正案）①人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき又は相当でないと認められるとき。
提言理由：
要件が厳しすぎて、必要な情報共有に支障を生じているため。
例えば、犯罪対策のためには、反社会的勢力等に係るブラックリストだけでなく、匿名・流動型犯罪グループ、ランサム組織、サイバー攻撃、その他犯罪を行っている疑いがある者に係るリスト（グレーリスト）や、これに付随する様々な情報も共有する必要があります。
これには、加害者と疑われる者だけでなく、被害者と主張する者に係る情報も含まれる場合があります。
671

個人

例えば、最近、犯罪組織が、被害者に対してフィッシングをして、銀行口座から資金を奪い、これを暗号資産交換業者の口座（犯罪組織が偽造本人確認書類で作った被害者名義の口座）に移し、それを、自己の暗号資産アドレスに移転するという手口があります。
このようなケースでは、被害者の財産を守るためには、銀行送金があった直後に、銀行は、被害者の氏名等の情報を暗号資産交換業者に伝達して、暗号資産口座の速やかな凍結を求める必要があります。しかし、犯罪組織に属する者の個人情報は、27条1項2号で伝達できる者の、被害者（＝ホワイト）に係る情報については、（本人の同意を得ることにある程度時間がかかったとしても同意取得は可能であるから）即座に同号で伝達できず、被害者の同意を得てからでないと伝達できない等ということでは、対応に困難が生じてしまいます。
また、グレーの方（＝犯罪者と疑われる方）についての情報について、そのグレーの方の同意を取ろうとすれば、その犯罪者と疑われる方に、犯罪の嫌疑がかかっているという情報が伝わってしまい、証拠隠滅や、資金の隠匿等をされてしまうことになりかねません。これでは、警察の捜査や、資金の凍結（ひいては被害者の救済）等にも支障が生じてしまいます。
犯収法では、疑わしい取引の届出をしたことを犯罪者と疑われる者に伝達してはならないという趣旨の規定（いわゆるTipping Offの禁止の規定）が同法8条4項にありますが、このような観点から同意を得ることが「相当でない」場合もあります。
そのようなケース等で、同意の取得を不要となることを明らかとすべく、文言を修正いただきたいです。

提言：EUのGDPR6条にならい、以下の各号を追加いただきたいです。

①本人が契約当事者となっている契約の履行のために取扱いが必要となる場合、又は、契約締結の前に、本人の要求に際して手段を講ずるために取扱いが必要となる場合（GDPR6条1項(b)参照）。
②本人又は他の自然人の生命に関する利益を保護するために取扱いが必要となる場合（GDPR6条1項(c)参照）。
③管理者によって、又は、第三者によって求められる正当な利益の目的のために取扱いが必要となる場合。ただし、その利益よりも、個人データの保護を求めるデータ主体の利益並びに基本的な権利
及び自由のほうが優先する場合を除く（GDPR6条1項(e)参照）。
提言理由：
①について
日本の個人情報保護法27条1項各号の適用除外は、EUのGDPRの6条と比べてもかなり狭いものと認識しており、これが、犯罪対策その他のデータの活用に大きな支障となっています。
外国に対して、情報を提供する場面においては、法28条において、当該外国の法制等を説明した上で、本人の同意を得なければならないものとされています。
例えば、ある顧客が、日本から外国の銀行口座に送金をしようとする場合、トラベルルール（犯収法10条）や業界慣習等に基づき、送金人や受取人に係る情報等を、仕向銀行が、仲介銀行・被仕向
672-1

個人

銀行に伝達しなければなりません。
このようなケースについて、EUでは、GDPR 6条1項(b)で同意取得の適用除外となりますが、日本の金融機関だけ、わざわざその外国の法制度を説明した上で、同意を得なければならないという規制になっています。EUのGDPR 6条1項(b)のような適用除外の規定を、個人情報保護法27条1項各号に追加してはどうかと考えます。
②について
EUでは、生命を守る場合については、同意の取得が困難である等という要件は付されておらず、日本の方がEUより要件として厳しくなってしまっています。EUにあわせてはどうでしょうか。
③について
EUにおいては、優越的利益がある場合については、適用除外となっています。EUにあわせてはどうでしょうか。
予想される反論について：EUの場合は、データの取扱いについて、法的根拠が包括的に必要ということであり、二本とは法制度の仕組みが根本的に異なるので、「適用除外をEUと揃えればよいという考えは、相当でない」との反論が予想される所です。（日本では、「目的外利用」と、「第三者提供」だけ、同意が基本的に必要と個人情報保護法で必要とされており、EUとは違うという趣旨の反論です。）
しかし、日本でも、例えば、「金融分野ガイドライン」や、「信用分野ガイドライン」等により、金融機関やカード会社等の多くは、「個人情報を取得する場合においては、利用目的について本人の同意を得ることと」とされ（金融分野ガイドライン3項参照）、GDPRと似たような規制にガイドライン上、服しています。

207 ページ大部分の金融機関等との関係で、個人情報の取扱い、及び、第三者提供の双方について、同意又は適用除外という法的根拠が必要とされており（個人情報保護法18条1項、27条1項、金融分野ガイド
672-2

個人

ライン3項等）、同意又は適用除外がないと個人情報の取扱いができない点はEUと事実上、変わらないのではないかとの印象を抱いています。（個人情報の取扱いとは、取得、利用、加工、移転等の幅広い範囲を含む概念です。）
むしろ、適用除外について、EUより厳しくすることで、犯罪対策のための情報共有等は、米国やEU等と比べかなり遅れてしまっているのではないでしょうか。
提言：①金融庁等の「マネー・ローンダリング及びテロ資金供与対策 に関するガイドライン」（以下「マネロンガイドライン」）について、「法令」に含まれることを、個人情報保護委員会のガイドライン
等において明示いただきたいです。
②グレーゾーン解消制度において、取引時確認（犯収法4条1項）のために、情報の提供を受ける場合において、法27条1項1号にあたるとの趣旨の回答がなされています（https://www.ppc.go.jp/files/pdf/190306_gaiyou.pdf）が、この点を、個人情報保護委員会のガイドライン等においても明示いただきたいです。
③銀行・資金移動業者が、為替取引分析業者に提供する個人情報について、為替取引分析業者が、当該個人情報の委託元である金融機関だけでなく、他の金融機関のためにも、利用し得ること（「法令に基づく場合」にあたること）を、個人情報保護委員会のガイドライン等において明示いただきたいです。
提言理由：
①について
ガイドラインは、通常は、法令と異なり、拘束力がなく、法令とは異なるものと整理されているように思われます。

673-1

個人

もっとも、金融庁のマネロンガイドラインについては、日本政府は、「Enforceable Means」、すなわち、「法的強制力のある規範」であるとFATF（国際機関）に対して説明をしているようです（FATＦ対日報告書33頁77項¹ [https://www.fatf-gafi.org/content/dam/fatf-gafi/mer/Mutual-Evaluation-Report-Japan-2021.pdf]）。
すなわち、金融庁マネロン・ガイドラインに違反した場合には、金融庁は、金融機関に対して、業法の規定²等に基づき、行政処分が可能と位置付けており、このため、金融機関に対して、「法的強制力のある規範」（Enforceable Means）として機能しているものと解されています。
そして、上記マネロンガイドラインにおいて、金融機関は、犯収法4条に基づき取得が求められる情報よりも広範な情報の取得・利用や、グループ内の情報共有を求められています。
そこで、このような金融庁マネロンガイドライン等の「法的強制力のある規範」（Enforceable Means）に基づいて、情報の取得・利用や第三者提供が、事業者に求められる場合についても、「法令に基づく場合」（個人情報保護法27条1項1号）の規定でカバーされることを明確にしていただきたいです。
②について金融機関等としては、国の犯罪対策に協力するため、犯罪収益移転防止法、及び、金融庁のガイドライン等に基づき、顧客についての本人確認と、調査（情報収集とそのリスクカウ付等）を行い、犯罪の疑いがあれば、これについて、政府に、疑わしい取引の届出という形で、情報提供することが求められています。
その中では、反社DBとの照合や、制裁対象リストとの照合等、顧客が暴力団・犯罪組織に属していないか、犯罪・マネロン等を行っている可能性が高くないかについての調査も求められていると解されます。

208 ページ

電力会社による電気の利用状況についての情報は、その顧客が、申告した住所に本当に居住しているかを確認するために有用な情報であり、まさに、顧客が虚偽の住所を金融機関に伝達していない
か、詐欺を行っていないかを確知するために重要な情報です。
このような情報を、電力会社が、金融機関（又はその委託先）に提供することが、「法令に基づく場合」にあたると明確化することは、犯罪対策を推進することにつながり、大変に有益です。
そこで、このような考え方を、個人情報保護委員会のガイドラインにおいて、明確化いただいてはどうかと考えます。
③について為替取引分析業は、振込め詐欺や、なりすましによる不法送金等の犯罪やマネロンを検知することを目的としています。
また、為替取引分析業者に委託する銀行等の金融機関は、犯収法及び金融庁マネロンガイドラインに基づき、顧客について本人確認等を通じて情報を収集し、調査し、犯罪の疑いがあれば、これについて、政府に疑わしい取引の届出を行うことを求められています。
そして、金融機関の間での情報共有については、犯罪対策・マネロン対策等のため、FATFも、英米等の各国も、強く求めている所でございます。
電力会社による金融機関への犯罪対策、犯収法順守のための個人情報の提供が、「法令に基づく場合」として整理できるのであれば、金融機関による為替分析取引業者を通じた他の金融機関への個人情報の提供も、「法令に基づく場合」と整理できるのではないでしょうか。
673-2

個人

犯罪組織は、多数の預金口座を準備し、同一の詐欺の被害者に対して、何十口にも分けて、送金をさせたりします。その際に、一つの預金口座について、犯罪組織が用いている預金口座と分かれば、その預金口座と同一の名義、メールアドレス、電話番号、又はIPアドレスを用いて開設された預金口座も、犯罪組織が利用している疑いありなどとなってくる訳です。
そのような情報を、為替取引業者が活用できない、金融機関間で共有できないとなれば、日本の金融犯罪対策は、遅れたままとなり、犯罪組織が跋扈するままとなります。
米国、英、シンガポール、中国、ドイツなどは、何千億円もの犯罪組織の資金を剥奪していたりしますが、日本の年間没収額は、2億円にすぎません。圧倒的に犯罪組織対策が遅れています。その大きな障害となっているのが、個人情報保護法です。
振込め詐欺等で、銀行に振り込まれた資金は、24時間以内に別の口座に移転されてしまうケースが多いと認識しています。犯罪対策のためには、スピードが重要であり、そのためにも、為替取引分析
業者等を通じた即時の情報共有が喫緊の課題となっています。犯罪被害者救済のため、ぜひ、迅速な対応をご検討いただければ幸いです。
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿¹ “In February 2018, the JFSA adopted AML/CFT Guidelines in order to set a common minimum standard for the understanding of ML/TF risks by the financial sectors under its supervision. The
Guidelines were amended in April 2019 to clarify that customer risk assessment should be conducted on all customers. Those Guidelines include binding requirements for FIs, and qualify as
enforceable means as per the FATF legal basis of requirement on FIs and DNFBPs. “² 銀行法26条から28条参照。
【意見】
デジタル化の中で、利活用の促進が優先ではなく、本人の権利利益の適切な保護こそを第一義とした法制度とするべきです。

674

全国消費者団体
連絡会【理由】
個人データの利活用の推進のみがデジタル化の進展と経済発展に資するとの考え方があります。個人データの中には要配慮情報が含まれる可能性があること、何より個人そのものを単なる「コト」「情報」として認識しているようにも受け止めます。
法で本人同意が求められる規定の在り方は、個人の権利利益の保護とデータ利活用とのバランスを考慮して検討するとありますが、利活用の促進が優先ではなく、本人の権利利益が適切に保護されることを担保することを優先すべきです。

209 ページ

（意見）デジタル社会においても人間の自律性を守るため、プライバシー権・自己情報コントロール権を確保することが最優先の原則であることを明示し、利活用はそれを損なわない範囲に限定されることを制度と運用で厳格に担保すること
（理由）
675

個人の尊厳は人間として不可侵の分野で、それが厳格な制度の厳正な運用によって担保されていることが確立し、共通認識となっていることこそが、利活用の前提であり基礎になるべきと考える。
全大阪消費者団 本人同意のあり方についても、デジタル化の中では本人同意がサービス提供の必須条件化している場合があったり、長文で専門用語が連なる同意事項の承認をワンクリックで求める形骸化が広がって体連絡会いる現実を前提として検討を進めるべきである。
また、制度・運用の設計においては、市民の参画を尊重するべきである。今回の中間整理前の個人情報保護委員会のヒアリングには市民社会・消費者を代表するメンバーがほとんど呼ばれず、事業者
中心のヒアリング内容が「関係団体」の意見として記載され、パブリック・コメントに付されているのは看過できない問題である。「パブリック・コメント終了後も、ステークホルダーと継続的な議論を行っていく」というのであるから、これまでに事業者に対して実施したヒアリングと同規模で市民・消費者団体等からもヒアリングを行い、検討項目の方向性にしっかりと反映させる見直しを行うことを強く求める。
・一定の場合に同意を不要とすることに賛成する。ただし、どこまでの事例が認められるのかガイドライン等で具体例を示していただきたい

676

匿名

・2024年3月までに導入が求められているEMV 3-Dセキュアについて、初回決済時やカード番号取引時にEMV 3-Dセキュアによる認証を行うこととされており、EC加盟店はEMV 3-Dセキュアのため
顧客の個人情報をイシュアへ提供する必要がある。EMV 3-Dセキュアのための顧客の個人情報のイシュアへの提供は第三者提供にあたるため、顧客からの明示的な同意を取得する必要があるとされている。
このような場合において、不正防止目的などでの利活用として、本人の同意なく個人データを提供することを認めていただけるよう考慮いただきたい。
【意見】
本人同意を要しないデータ利活用の方法として、すでに「共同利用」がありますが、現状、共同利用は十分に機能していないように思われます。
共同利用を有効に機能させるためには、より明確な「判断基準」を制定することが、必要であると考えます。

677

個人

【理由】
現行の法令・ガイドライン等は、共同利用に関する「大枠」を規定するに留まっていると考えられます。そのため、個人情報取扱事業者は「どのような情報を」「どこまで」共有できるのか、具体的に判断することが困難なことが、共同利用が十分に機能していない原因の一つだと考えます。
そこで、たとえば、GDPRにおける正当な利益の判定テストのLIA(legitimate interest assessment)のような客観的な判断手段を持つことが、有効化につながるのではないかと考えます。
【意見】「本人同意を要しないデータ利活用」の根拠として、安易に「公共性」を用いることは避けるべきである。
「公共性」に関しては、明確で客観的な基準等を設けたうえ、その範囲内で運用する必要があると考える。

678

個人
【理由】
「公共性」を理由に、個人の権利利益を害したり、個人の尊厳を傷つけたりすることは、あってはならないことである。
民間の判断（自主的な取り組み）だけに任せるのではなく、公的に「基準」や「正当性の判定テスト」等を制定する必要があると考える。

679

匿名

本人の同意が無くても使える個人情報の範疇、また、それによる個人の権利利益への影響度について明記されていないのは何故でしょうか？
事でしょうか？

日本国民として不安を感じます。

210 ページ

リスクが高いので国民に広く認識されると不都合という（意見）一定の場合に同意なくデータを利用する場合が認められる場合であっても個人の権利利益の保護を踏まえて行われる必要がある。たとえば、プライバシー強化技術（PETs）を用いて、データの匿名
680

サステナビリ性を担保するなどの取組とセットで検討する方法などが考えられる。

ティ消費者会議 （理由）現在の検討内容では、個人の権利利益の保護よりも、デジタル技術の活用促進に傾いているように見える。
データ利活用の大前提に、個人の権利利益の保護が適切に行われていることが何よりも重要である。

681

個人

本人同意を要しないデータ利活用等の在り方に関係して言及のある要配慮個人情報について、現在、この種の情報として分類される情報の範囲は狭すぎるのであり、拡大を検討すべきである。
・御意見
個人の権利権益の保護を重視しての整備を検討していただきたいです。

682

匿名

・理由
個人の権利権益の保護を怠り、長期的に得られた筈の利益を損失するような事態は避けるべきだと考えます。
また、公益性のために損なうものの分析も行うことが、整備に必要であると感じます。
個人情報保護法の目的が、プライバシーを始めとする人権を保護することにあることを明確にしたうえで、公共の福祉のための制約の可否や程度の問題として検討する必要がある（前掲・山本教授意

683

弁護士有志

見７頁、第２８７回個人情報保護委員会資料１－４－２「宍戸教授御提出資料（令和元年５月２１日提出）」１頁参照）。
安易に必要性を強調して、本人のコントロールの及ばない個人情報の利用を推し進めることには反対する。
意見⑭＜本人同意を要しないデータ利活用＞”本人の権利利益が適切に保護されることを担保する”

684

ソフトバンク株
式会社

ことを前提に、第三者提供時の例外規定を設けることに賛同。

なお、原案では、公益性が高い技術やサービスを主な対象としているが、”契約の履行”や”不正防止目的”もその範囲に含めるべき。
また、利用者の認知限界などもふまえ、形式的な事前同意でない方法についても検討が必要。
例：事業者が事前のリスク評価（PIA）を行い、かつ、取得後のオプトアウトを柔軟に行えるようにし、実効的な本人の権利利益の保護を行うことを前提に、形式的な同意要件を緩和する、など
理由：個人情報保護法第一条に”...個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする”とあるように、利活用の有用性と個人の権利利益保護のバランスをふまえることが必要と考えるため。

(1)本人同意を要しないデータ利活用等の在り方
クレジットカード分野での不正対策にあたり、不正犯の情報である可能性が高いものの明確にならない段階（グレーなケース）では、法第18条第3項の厳格な解釈により利用目的を超えた利用の同意取得が必要となり、同意が取得できていないことから情報授受ができない状況。早期の不正抑止にあたり、解釈を緩和するなど、不正抑止の観点で有用に活用できるようにご検討いただきたい。
理由：・不正抑止の選択肢拡充のため・影響範囲の確認、影響極小化のため
685

日本クレジット協会

生成AI等の社会の基盤となり得る技術やサービスの利用にあたって、個人の権利利益の保護とデータ利活用とのバランスを考慮し、現行法で本人同意が求められる規定の在り方や新たな例外規定を検討する方向性に賛成する。
そのうえで、例外規定を新設する場合には事業者が適切な対応を取ることが可能となるよう、具体的な例示をご検討いただきたい。
理由：
・事業者が新たな技術を利用することを躊躇することを防ぐため。
・生成AI等を適切に利用することにより不正利用抑止のための選択肢を拡充するため。

211 ページ（御意見）
テクノロジーの進展に伴い出現した有益なビジネスやサービスを効果的に活用することの重要性を認識していることを歓迎します。公益性のある活動や研究を根拠として個人データの処理を認める考えに同意しますが、これらに該当せずとも、個人データを有益に活用する状況もあるため、データ利活用の取組をより広範に支援することを奨励します。
データ利活用を支援するもう一つの在り方として、正当な利益（legitimate interest）の枠組みを個人情報保護法に採り入れることを推奨します。このような枠組みを、データ保護影響評価の実施要件と組み合わせることも可能と考えます。
（理由）
中間整理では、デジタル化やテクノロジーの進展に伴い、有益なビジネスやサービスが広範に出現していることを認識しています。日本社会が享受できる便益を拡大させ、個人の権利と利益を保護し
BSA ｜ザ・ソフ つつ、生産性と経済成長を向上させるために、新たなツールやサービスを効果的に活用することが重要であるとする中間整理の考え方に賛同します。
686

トウェア・アラ これらの有益な目的のために、同意以外の法的根拠によるデータ処理を特定しようとする中間整理の取組みを我々は支持します。公益性のある活動や研究を根拠として個人データの処理を認めるべき
イアンスであるという考えに我々は同意しますが、一方、公益や研究活動に該当せずとも、個人データを有益に活用する状況もあるため、貴委員会がデータ利活用の取組をより広範に支援することを奨励します。
データ利活用を支援するもう一つの在り方は、企業が正当な利益（legitimate interest）に基づいて、データ処理することがあると認識することです。正当な利益の枠組みを法に採り入れることで、より柔軟で適応性のある枠組みを構築することができます。これにより、企業は個人の権利を保護しながら、個人、企業、社会に恩恵をもたらす多様なサービスを支援、提供、改善する上で必要となるデータを収集することが可能となります。例えば、このような枠組みを、データ保護影響評価の実施要件と組み合わせることもできます。このような評価を通して、データの特定利用がもたらす影
響と、それに関連したプライバシー保護措置の確実な実施の評価を企業に対して求めることが可能となります。
これらの目標に向けて、透明性のある形でステークホルダーと議論する場を設けるという中間整理の考え方を我々は支持します。このような場を通して、公益や研究を根拠とするデータ処理という従来の概念からは外れるものの、社会的利益を生み出す可能性がある有益な事業活動についての理解を深めることが可能となります。また、こうした状況下での適切なプライバシー保護の措置について情報交換することも可能となります。
（意見）

本人同意を要しないデータ利活用等の在り方について、GDPR など外国制度における規制と均衡した内容としていただきたい。
（理由）
687

日本DPO協会事 GDPR では原則として、第６条第１項に定める法的根拠のいずれかを備えれば、必ずしも本人同意によらず第三者提供が可能となる。一方で個人情報保護法においては、第三者提供にあたり本人同意
務局の取得が原則である。中間整理で示されているとおり、「昨今のデジタル化の急速な進展・高度化に伴い、生成 AI 等の新たな技術の普及等により、大量の個人情報を取り扱うビジネス・サービス等が生まれている。また、健康・医療等の公益性の高い分野を中心に、機微性の高い情報を含む個人 情報等の利活用に係るニーズが高まっている」状況であり、このような「大量の個人情報を取り扱
うビジネス・サービス等」の競争力が国家の競争力を大きく左右する環境と認識する。こうした環境下において、データ利活用（提供）にあたり、本人同意が必要であることは、事業者側の大きな負担、阻害要因となっており、諸外国との競争力の毀損に繋がると考えるため。
【意見内容】
法律の解釈・運用にあたり、「ガイドラインの記載等についてステークホルダーと透明性のある形で議論する場の設定」といったステークホルダーに対する透明性を改善するご提案については賛同する。
しかし、法律の規定自体についても、過度に制限的な規定、明確でない規定、運用することが困難な規定となっていることにより、公益性を有するデータ利活用の促進や、生成 AI の発展などイノ

688

アマゾンジャパ ベーションの発達を阻害することとなっていないかについて、ステークホルダーと議論して検討することが必要と考えられる。
ン合同会社

例えば、例外規定の「特に必要」、「本人の同意を得ることが困難であるとき」など法律が定めている要件が、公益性を有するデータ利活用の促進の観点から過度に制限的なものになっていないか等について、データ利活用の実態や必要性を踏まえて検討いただきたい。
また、公益性の程度のみならず、事業者によって追及される正当な利益の目的（例えば、セキュリティ確保等）があるか、という点も含めてご検討いただきたい。
【理由】
個人の権利利益の保護に配慮しつつ、生成 AI を通じたデータ利活用など、適正・必要なデータ利活用を促進する観点から。

212 ページ意見3「個人の権利利益の保護とデータ利活用のバランス」ではなく、「個人の権利利益の保護」を前提としたデータ利活用を行うべきで、この法が保護する「個人の権利利益」とは何かを明らかにするべきである。（23頁）
理由
中間報告は、「本人同意を要しないデータ利活用等の在り方」の「考え方」において、「個人の権利利益の保護とデータ利活用のバランスを考慮し、その整備を検討」と記載しているが、バランスで689はなく、「個人の権利利益の保護」は利活用が許される前提条件である。そのように考えることができず「バランス」論に陥るのは、単に「個人の権利利益の保護」を過剰に捉えているからにすぎな個人

い。
例えば、目的外利用は法で原則禁止されているが、これは「個人の権利利益を保護する」ための手段であって目的ではないのであり、目的外利用することが直ちに個人の権利利益を害することになる
わけではない。第三者提供の制限についても同様である。
すなわち、この20年、「保護と利活用のバランス」論が答えを出せないできたのは、OECD 8原則が求める手段的規律を法の目的として取り違えてきたことに原因があると言える。この際、この法がいう「個人の権利利益の保護」が何を指すのかを明確にし、そのような保護の目的と、それを実現するための手段的規制を区別して理解し、手段については代替手段があり得ることを踏まえて、「本人同意を要しないデータ利活用等の在り方」を検討するべきである。
（意見）
考え方に賛成である
(理由)

690

容易照合性の観点より個人データに該当してしまうデータの中には、仮に漏洩等が発生した場合であっても個人の権利利益侵害の程度が著しく低い情報が散見される。具体的には、ECサイト等におい匿名て利用者が世界各国から閲覧されることを認識した上で投稿した各種コンテンツ（商品に対する評価等）につき、ECサイト運営事業者が当該各種コンテンツと個人データと連携をしている場合には
当該各種コンテンツは容易照合性の観点から個人データに該当するところ、当該コンテンツは投稿された時点で世界各国から閲覧が可能であり当該データについても個人データとして保護をすることの必要性は低い。企業としては容易照合性の観点から要保護性の低い個人データについても個人データとして管理及び利用をしているところ、記載をしたような事情における要保護性の低い個人デー
タについては、本人からの承諾がなくとも外部提供の上で利活用できることを許容する、個人データとしての保管管理を不要とするようなを例外規定を設けて頂きたい。
まずは【我が国の現状等】について。
「諸外国においても、本人の同意がなくとも、一定の場合に個人情報の取扱いが可能となっている。」との記述があり、あたかも海外の個人情報の取扱いが日本よりも緩いかのような印象を受ける

691

が、実際にはアメリカのCPRA（カリフォルニア州プライバシー権）、EUのGDPR（EU一般データ保護規則）、中国のサイバーセキュリティ法およびPIPL（個人情報保護法）などを見るに実態は真匿名

逆で諸外国での個人情報に対する扱いは日本よりも厳格なものであると取れる。
具体例も挙げず事情に詳しくない者を誘導するかのような文言をパブリックコメントに記載する事は不適切ではないか。
根拠となる事実があるのならば具体例を示して頂きたい。
社会的なニーズが高まったから例外的に目的外利用等を許容する、といった論は、個人情報保護法の精神から最も遠いところにあるものと言わざるを得ず、とても賛同できない。「公益性が高いと考

692

合同会社

asura

えられる」、とするのもある種の価値判断に過ぎず、恣意的な運用を生むものであり、同様である。
GDPRがなぜ副次的な利用目的のためのデータ処理を容認することを内包した”legitimate” interestsを定め、かつ、なぜ公的主体がこれを原則として援用できないこととしているか再考されるべきで
ある。

693

匿名

694

個人

3データ利活用に向けた取組に対する支援等の在り方(1)本人同意を要しないデータ利活用の在り方について、不安を感じます。個人に関わるデータや個人に属するデータは本人の同意なしに提供されてはならないものではないでしょうか。
（意見）ぜひ本人同意を要しないデータ利活用に関する制度の検討を進められたい。
（理由）災害やパンデミック時のような他の法令に基づいた利活用が可能な場合ですら、現場では本人同意を過剰に求める場合があること、また、地域医療連携ネットワークのようなデータベース登録における同意取得等、同意取得のコストが現場を圧迫しているため。
「データ利用活用の推進の必要性について言及」とし、「諸外国においても、本人の同意がなくとも、一定の場合に個人情報の取扱いが可能となっている」とあるが、ふわっとさせないでもっと明確

695

匿名

にガイドライン、決めていただきたい。また、諸外国の取扱の具体例、それによるメリットデメリットもはっきりさせていただかないことには不信感しかない。（現在の政府の在り方がそもそも信頼できないのだから）

213 ページ

（意見）検討対象を「公益性の高さ」に限定すべきではなく、広く民間（消費者団体、企業、業界団体等）の意見を踏まえて検討していただく必要があると考えます。
本人同意を要しないデータ利活用等の在り方については、現在のデータ利活用環境や、技術的な進展についてステークホルダーが議論し、正確な理解と、これによる適正な判断がなされるよう、また、場合によっては別途の要件や規律を併せて設けることとするなど、精緻な議論と必要な措置が講じられることが望まれます。
（理由）
例えば、医療・ヘルスケアデータの利活用にあたっては、公衆衛生例外（18条3項3号等）が問題となることがありますが、「公衆衛生の向上・・・のために特に必要がある場合」として「特に」と強調されることや、本人の同意を取得することが困難な場合に限られるため、厳格かつ限定的な場合にのみ例外事由によって利活用が可能とされています。また、令和３年改正によって新たに設けられた学術研究機関における学術研究目的の例外事由も、要件の解釈等を理由として実務上根拠とすることに躊躇する例が見受けられ、かつ、企業が関与する場合は相応にリスクを負うこととなります（例：個人データの第三者提供に係る例外事由の判断を誤ったことによって同意を取得すべきであるのにかかわらず怠ったことが、漏えい等に該当することとなります。）。実務上、なりすまし防止のための措置についてユーザー全員から同意を得るとし、なりすましをしようとする者に措置が明らかとなってしまう場合／外形上認知機能の低下が明らかではないが、疑わしい場合や、包括同意を取得し得る場合に同意取得が困難と言えるか難しい、認知機能が低下した方の親族等から同意を得られる場合などもあり、本人その他の者の要保護性と比較しても、本人の同意の取得を優先すべきか
一考に値するケースは少なくないと考えています。
加えて、デジタル競争力、データ利活用について世界における競争力が低い状態にあるとの指摘もあり（例：https://worldcompetitiveness.imd.org/countryprofile/JP/digital?internal=true696

三浦法律事務所【日本版】 2023年世界デジタル競争力ランキング 日本は総合32位、過去最低 - IMD News （ビッグデータとアナリティクスの活用については、最下位（64位）））、個人情報の保護と利活用に関して、それぞれにおいて何に課題があるのか、懸念があるのかをステークホルダーにおいて議論し、精査していくフェーズではないかと考えます。
一方、中間整理が示す例外事由としての「公益性の高さ」については、医療情報の二次利用における公的DBの利用審査等においても用いられる概念ですが、営利事業との関係でどの程度許容されるか等、その範囲について狭く解される可能性が十分にあります。加えて、【考え方】では「公益性の高さ」を問題としているところ、このように検討対象を限定することは、データの利活用実態や技術の進展から求められる対応との間に齟齬があると考えます。
個人情報保護法は、一部の規律において本人の関与を求めることとし、原則として本人の同意を取得することを要求していますが、クリックトレーニングの問題や、個人情報の利活用の態様によっては個人に不利益が生じるものではない場合もあり得、必ずしも本人の同意を取得することのみを原則として維持する必要はないものと思料します。
例えば、秘密計算その他の新しい技術を導入する場合、係る技術及びこれによって個人情報を利活用する主体における技術水準や取扱いの適正さを担保することができるのであれば、本人の同意の取得とは異なる要件のもとに個人情報の目的外利用や、個人データの第三者への提供を行う余地があるものと考えられます。
また、契約の履行や、適法な利益による個人情報の取扱いに関して原則を拡張することや、現行法においていくつかの例外事由の要件とされる「本人の同意を得ることが困難な場合」を要しないとする例外事由の検討等、個人情報の利用実態や、技術の進展に合わせた規律とし、個人情報の保護と利活用のバランスをはかることが肝要です。
なお、新たな技術に対しては、個人の権利利益に係るリスクのほか、不安感なども問題となり得るところ、正確な理解と、これによる適正な判断がなされるよう、また、場合によっては別途の要件や規律を併せて設けることとするなど、広くステークホルダーによる議論がなされることが望まれます。
•現行法においては、同意を要しない第三者提供の要件がかなり厳格であり、利用目的に関わらず同意を得なければ利活用ができないために、利活用そのものを断念するケースが相当程度あると認識している。また、個人情報保護委員会の相談窓口に、データを利活用した新たな事業等を実施したいと相談しても、同意が必要であるという回答を得るだけで、利活用に向けたニーズを吸い上げるよ
うな仕組みはない。利活用をしようとしている事業者等から、利活用に関する悩みや課題などの事例や意見を吸い上げ、利活用を促進するための検討を継続的に行う枠組みを作るべきである。
•現状は、たとえば通信販売においてクレジットカード決済利用時にカード加盟店がカード会社の認証サービスを利用しようとすると、注文者の個人情報等を加盟店からカード会社に提供

697

一般社団法人 新 するための同意を取得しなければいけないなど、契約の履行において当然想定される情報提供にも支障がでたり、クレジットカード決済やアプリ決済等での不正利用対策として、決済事業者等が連携して不正利用に関するデータを共有しようとすると、本人同意が必要となってしまい効果的な不正対策ができないといった支障が出たりしている。データの利活用を推進するために、現行法の同意を経済連盟要しない要件を見直し、公益性が高い利活用はもちろんのこと、契約の履行に伴う個人情報の提供や、犯罪・不正利用防止目的などの利活用が認められるような制度にすべきである。

•AIにおけるデータの利活用については、データの取得・学習・利用時の入力・アウトプットまでの段階において、具体的にどのような場合に現状の制度に当てはめた場合にどう整理され、それがAIの利活用や技術の発展にどのように影響するのか、あるいは個人の権利利益への影響としてどのようなことが考えられるのか、慎重に議論したうえで、利活用を阻害するのではなく、適切な利活用が促進されるようにすべきである。また、経済産業省など、関係省庁も含めた議論を行うべきである。

214 ページ

・

意見

契約の履行に関して、同意のない第三者提供を認めるべきである。

・理由

GDPR6条1項(f)において、契約の履行について、「データ主体（注：個人情報取扱事業者における「本人」に相当）が契約当事者となっている契約の履行のために取扱いが必要となる場

合」に、第三者提供を含む個人ータの取扱いを認めており、個人情報保護法においても、同様の取扱いを採用すべきである。

契約の履行に際しての第三者提供、特に外国にある第三者に対する提供について、必ずしも適切な同意がなされているとはいえないケースがあり、適法な契約の履行に基づく取り扱いを統一的に求めたほうが取り扱いが適正化するものと思われるだけでなく、プライバ
シーポリシーと利用規約の混同による不透明さを回避することにもつながる。
698

個人

また、以前よりクラウドやASP、SaaSの使用に関して問題となっている第三者提供と委託、クラウド例外の問題に関しても、結局のところ、同意の取得の有無により、このような区分が必要となっているところ、昨年の社労夢の案件に関し、委託に当たるかクラウド例外に当たるかにより、個人情報保護委員会内部での判断にもブレが生じたことからも分かる通り、既に一般人、特に、重要な利害関係を有するクラウドユーザーから区別することが難しい状況になりつつある

特に、クラウド例外に関しては、適切なアクセス制御がなされているか否かというユーザー側から確認が困難な事実が判断要素とされていることもあり、ユーザーの立場を不安定なものとしている。

先述の社労夢においても、同サービスを提供していた会社が個人情報取扱事業者でないとされたり（クラウド例外が適用される場合）、個人情報取り扱い事業者であるとされたり（委託に当たるとされた場合）したことにより、漏えい等の報告に関してユーザーに混乱を生じさせており、このような内容を「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」における解釈で運用することは限界が生じていることを考えるべきである。
対象【3 データ利活用に向けた取組に対する支援等の在り方】の【(1)本人同意を要しないデータ利活用等の在り方】
699

個人

700

匿名

内容【私は上の内容について反対します】
理由【公益性が高いサービスの判断が具体的であるように思えず、公益性が低い、またはほとんど無いサービスに情報が渡ってしまった場合、それによるリスクが大きいと考えられるからです。】→個人情報の保護をせずに利用するデータが本当に必要なものかを今一度検討してほしい。また利用を検討するにしても、どのようなことにデータを利用されるのか、限定的かつ具体的に提示されたものに限ることを前提にしてほしい。
2,例外規定について

701

匿名

例外規定を設ければ、必ずその隙間狙った悪質な利用方法が生まれると考えられる。例外規定ごとに問題へ対処することは、リソースの無駄である。
一律の規定による個人情報利用こそ、抜け道を少なくしてリスクを最小限にすることができ、問題発生時の対処方法を事前に策定しやすくできるのではないか？
なので、個人情報利用の例外規定を検討について断固反対である。
＜該当箇所＞
・第27条1項
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人デ ータを第三者に提供してはならない。
＜意見＞・27条1項各号の例外事由として、下記を追加してはいかがでしょうか。
『当該個人データが、本人の事業用または本人の使用者の業務用の連絡先に関する情報であって、本人又は本人の使用者が名刺・ウェブサイト等により提供・公表しているものであるとき』を追加す
る」

702

個人

＜理由＞
理由1；
オフィスの所在地や電話番号などの業務用連絡先は、名刺に記載されたり本人の所属企業 のウェブサイトで公表されていたりしますが、個人情報保護法上はその他の個人情報と同様 の規制を受けており、第三者提供には原則として本人の同意が必要です(27 条 1 項)。
理由2；
業務用の連絡先であって名刺に記載されたり所属企業ウェブサイトで公表されたりしているも の(以下「ビジネス連絡先」といいます。)については、その流通は本人の想定の範囲内であり、 同意のない第三者提供を認めても、権利利益の侵害のおそれが高いとはいえないと考えられます。
理由3；
国内には、約80万人の法人営業従事者がいると言われていますが、諸外国とは異なり必要 なビジネス情報が流通していないことで生産性が非常に低く、結果として本来届くべきソリュ ーションが届
き辛く、企業活動の課題解決速度の停滞を招いているのが実態です。

703

匿名

個人情報取扱事業者による、個人情報の第三者提供を禁止する方向性でお願いします。
殆どの顧客側からしたら個人情報を広めて欲しくないのと、個人情報流出リスクが高まるので利点がありません。
215 ページ【意見】3（１）において、準公共分野において本人同意を要しないデータ利活用等についての考え方は示されているが、本人同意の下での第三者によるデータアクセスを確保するために必要な、権利の在り方や法制度化について、貴委員会において海外の類似する法制度なども参考としながら、検討を行うべきと考える。
【理由】
本人同意の下での第三者によるデータアクセスについては個人の権利が明確化されておらず、多様な経済的条件・技術的条件に起因して、当該アクセスが不可能となる場合が、今後発生してくることが予見されている。
具体的には金融関係のデータ（例として金融機関における資産残高や入出金履歴等、個人のFinancial Well-beingに密接に関連する領域のデータ）等において、本人同意の下、電子決済等代行業等か
一般社団法人電 らの当該データへのアクセスを確保するために、必要となる法的環境の整備について検討を行うべきと考える。
704

子決済等代行事 海外においては当該アクセスを確保するために、データを保有している金融機関等に、API（Application Programming Interface）による外部からのアクセスを義務付けると共にアクセス料の無償化
業者協会も義務化するといった法制化を行う場合が多く見られており、当該法制化の背景としては、欧州のGDPR（General Data Protection Regulation）におけるデータポータビリティなどの権利が意識されている。
本邦においては上記に類するアクセスの義務付けに関しては、2017年の銀行法改正の際にも法制化はされず、金融機関における努力義務に留まっている。同改正法施行時には「未来投資戦略」において「今後３年以内に、80行程度以上の銀行におけるオープンAPIの導入を目指す」という政府目標が設定されるなどの後押しもあり、ほぼ全銀行においてAPIによる接続が可能となっているが、銀行とのAPI接続はむしろ希な成功事象であり、その他の金融機関等においてはAPI接続は進展していない上に、従来型のスクレイピングによる接続が禁止され、代替となるべきAPI接続も準備されないといった事例も現出しつつあるところである。
この様な状況を現出させた根源的な理由として、上記データアクセスに関する権利が法令上明確になっていないことがある。関係省庁においても、当該権利が存在せず、法的権限も無いため、効果的な政策対応を行うことができない状況に陥っている。この状況を打開するためにも、貴委員会における、当該データアクセス権の法制化についての議論が必要であると思料する。
3-(1)本人同意を要しないデータ利活用等の在り方

705

匿名

上記の章節に対し、意見を述べる。
本人の同意なくデータが利用されるという例外を作ることは、現状では時期尚早だと考える。ニーズの高まりや公益性の程度を踏まえて例外規定を設けると記述しているが、その程度を決める以前に、違反した場合の取り決めを固める必要がある。まずは規制の制度を整えてから、データ利活用について考えることが順当である。
（意見）本人同意を要しないデータ利活用については、少なくとも、本人同意のないデータが、いかに収集・蓄積・分析・活用されるのか、本人や社会が具体的に知り得る状況の確保が必要である。
また、個々人を通じたガバナンスとともに、個人情報保護委員会の監督を通じたガバナンスの確保が必要であり、かかるガバナンスの在り方についても、個人や社会が知り得る状況を確保することが必要である。

706

個人（理由）本人同意を要しないデータ利活用により、事業者は、高度な情報収集・蓄積・分析・活用が可能となり（プロファイリングやターゲティング等）、かかる活動により個人の判断に影響を及ぼすはたらきかけが行われ得る。かかる活動がどのような実態にあり、全体としてのガバナンスをいかに実現するか、そのために個人情報保護法の規律と監督は如何にあるべきかが課題である。
本人同意に基づいてデータが利活用される場合においても、（全体としての）ガバナンスの実効確保が重要であるが、本人同意を要しない場合においては、本人の関与可能性を期待することがより難しいことから、社会的監視や行政監督によるガバナンス確保の必要性はより高くなるというべきである。
（意見）
データ利活用の大前提として、プライバシー保護が適切に行われていることが何よりも重要である。今回の見直しにおいて、本人の同意なくデータ利活用が行われることが検討されているが、本人の知らないところでデータが流通してしまうと、個人の権利利益を侵害する危険性もある。適切なプライバシー保護を実現するため、同意なくデータを利用する場合は、プライバシー強化技術を用いて

707

個人

データの匿名性を担保するなどの取組とセットで検討するとともに、その必要性やプライバシー保護の十分性について、消費者が理解し、判断できるよう説明責任を課すこととすべきである。
なお、プライバシー強化技術などについては、適切な技術が使われなければ、結果的に脱法的な行為を助長しかねないため、適切な技術が使用されることが必要となる。そのため、外部の専門家など
による技術評価なども併せて検討、議論すべきと考える。
（理由）
データ利活用の重要性は理解するが、単に規制緩和だけではなく、必要なプライバシー保護もセットで検討されるべきと考えるため。
鈴木教授が指摘するように、個人の権利利益の保護とデータ利活用のバランスを考慮すると謳う一方で、「個人の権利利益」（ないしプライバシー権）がそもそも曖昧な概念であることと、両者の調708

田辺三菱製薬株 整規律が明確でないために議論が進まない現状もあろうかと思われる。（その結果としての入口規制：本人同意ありきのデータ利活用）
式会社

厚労省の健康・医療・介護情報利活用検討会 医療等情報の二次利用に関するワーキンググループにおいても、データ利活用について同様の課題認識をしており、利活用を普及させるポイントとしての
出口規制の検討を行うにあたり、改めて（GDPR等他国の法令も踏まえ）法の目的（法益が何か）を整理すべきでないか。

216 ページ

意見内容
社会基盤となり得る技術開発における個人情報の利活用に関して、例外規定を設けるための検討が必要であることには賛成する。技術は適用の仕方によって公益性の程度が変化しうるため、技術開発における例外規定の検討にあたっては公益性の程度ではなく公益性への貢献の可能性を前提としていただきたい。
また、個人の権利利益とのバランスのあり方検討を要する公益性は、中間整理に例示されたものに限らず、公共空間の安全なども該当するものと認識している。
理由709

日本電気株式会
社

意見の通り
意見内容
社会基盤となり得る技術開発における個人情報の利活用に関して、例外規定を設けるための検討が必要であることに賛成する。検討においては、技術開発の実態を踏まえた上で、技術開発のポテン
シャルを引き下げないような制度設計を検討いただきたい。
理由
技術開発を行っている研究者の課題を踏まえ、AI技術開発を推し進める観点からの議論が必要と考えるため。例えば、技術性能の比較検証や、技術製品の安全性確保の観点から、同じ学習データセッ
トによる検証が必要となる等、開発する技術によっては学習データセットを事業者にて保管しておくこともある。
（意見）
DSAは自由なデータ流通と利活⽤による豊かな社会(「データ社会」)を実現し、国内はもとより世界と連携し貢献することを目的とし、データホルダーや利活⽤ニーズ側との連携推進や課題解決に係る調査・研究、データ流通・利活⽤の促進による産業競争⼒の向上、イノベーションの創出に向けたデータ社会を構成する事業者間のマッチング、データホルダーや利活⽤ニーズを持つ企業・団体との連携推進や課題解決に係る調査・研究、関係ステークホルダーとのコミュニケーション等の活動を行っている。

一般社団法人710

とりわけ個人データの活用においては個人の権利利益に配慮しつつ、利活用の促進やイノベーションを創出するための調査研究活動を行っている。

データ社会推進 今般取りまとめられた「個人情報保護法
協議会

いわゆる3年ごと見直しに係る検討の中間整理」には、データ利活用に向けた取組に対する支援等の在り方として、データ利活用の推進の必要性、個人の権

利利益の保護を担保した上で、適正な個人情報等の利活用を促す方策検討の必要性が言及されたこと、及び本検討を契機として、データ利活用に関する俯瞰的な規律のあり方について、議論が深化することを歓迎する。
（理由）
意見の通り
意見

一般社団法人日 公益性の有無にかかわらず、本人同意を要しない第三者提供の在り方について検討すべき。
711

本経済団体連合 理由会

個人の権利利益の保護とデータ利活用を実質的に両立する観点からは、同意取得の例外が認められる範囲を見直し、契約履行や正当な利益を目的とした場合など、本人同意によらない方法での第三者提供や利活用の在り方を検討すべき。
（意見）
必ずしも公益性を求めずとも、PETsを用いた安全なデータ利活用に限っては、本人同意を要しないとすべきである。

712

プライバシー
テック協会（理由）
中間整理の「(1)本人同意を要しないデータ利活用等の在り方」について、「社会的なニーズの高まりや、公益性の程度を踏まえて、例外規定を設けるための検討が必要」とある。
しかし、この「公益性の程度の検討」はコストがかかること、また、公益性の判断基準を定めるのが容易ではないと考える。
そこで、組織間でデータを突合して統計情報を出力する場合であり、かつ、十分に安全なPETsを用いている場合に限っては、必ずしも公益性を求めずとも、本人同意を要しないとすべきと考える。

217 ページ（意見）シェアリングエコノミーの健全な発展のため、本人同意を要しないデータ利活用等の在り方の一場面として、規約違反ユーザーの個人情報の共有の在り方についても議論いただきたい。

一般社団法人713

シェアリングエ
コノミー協会（理由）
シェアリングエコノミーにおいて、あるプラットフォームで規約違反をしアカウント停止をされたユーザーが、同種の別プラットフォームにアカウントを新規に作成し、同様の規約違反行為を行うという例が存在する。
このようないたちごっこの状況は、シェアリングエコノミーの健全な発展に望ましいものではなく、個社ではなく業界全体として、このような状況に対処する必要がある。しかし、業界全体として対処するにあたり、規約違反ユーザーの個人情報を各事業者間で共有（第三者提供または共同利用）する必要があるところ、本人同意が取得できるのかという課題や、共同利用がそもそも許容される場
合なのかが不透明といった課題が存在し、業界としての取組みが進まない一因となっている。
ついては、シェアリングエコノミーの健全な発展のため、本人同意を要しないデータ利活用等の在り方の一場面として、規約違反ユーザーの個人情報の共有の在り方についても議論いただきたい。
上記意見内にも書いた通り昨今は企業に対するサイバー攻撃による情報の流出が急激に増え、事業者が情報の取り扱いにより慎重になるべきであるとともに、国内全体でオンライン上のデータのセ

714

匿名

715

匿名

716

匿名

キュリティ面やデータの取り扱い方の認識を改めることが優先されるべきであり、公益性や利活用を考えるのは時期尚早に思います。特に考え方でも書かれている生成AIの中で知名度の高いOpenAIに関しては、個人情報保護委員会がサービス利用に関する注意喚起及びOpenAIに対する注意喚起を行っておられます「https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/」
個人データはどのような活用をする場合でも、本人の許可を必要とするように厳しい規定を設けてください。
例外が認められる場合、説明責任を必ず果たしてください。
個人情報こそ、必ず同意をとってデータ収集するべきです。
中間整理における、「社会にとって有益であり、公益性が高いと考えらえる技術やサービス」に関して、本人の同意を要しない個人データ利活用の余地を検討する方向性（新たな例外規定を設けることも含む）に賛成する。
中間整理には、生成AI、医療機関等による研究・開発活動等が例示されているが、企業情報の一部である個人情報（役員情報等）についても、上記検討の対象としていただきたい。

717

株式会社ユーザ
ベース

企業情報としての個人情報（代表者、役員、株主等に関する情報）は、企業のコーポレートサイト、登記簿や有価証券報告書等の法定開示資料で公開されており、個人情報取扱事業者が一定の目的・範囲において本人の個別同意なく取り扱ったとしても、本人にとって想定の範囲内であり、権利侵害に繋がる可能性は低いと考えられる。
一方で、これらの情報に効率的にアクセスできることは、企業間取引（通常の商取引に加え、事業提携、M&A等を含む）の迅速かつスムーズな実行に不可欠であり、ひいては日本経済の活性化の重要な基盤となるといえる。
一部有識者の方々においても、この点を問題意識として挙げられており（板倉陽一郎氏「第二次いわゆる3年ごと見直しへのコメント」5頁、森亮二氏「3年ごと見直しヒアリング2024」17頁ご参照）、委員会においても前向きにご検討いただきたい。
憲法に『８条（個人情報の保護） １ あらゆる人は、自らに関する個人情報を保護される権利をもつ。 ２ 当該情報は、関係する人の同意にもとづいて、もしくは法の定める正当な理由にもとづいて、特定された目的のために公正に処理されなければならない。』とある通り、関係する人の同意なき場合は法で定められた理由にもとづいて扱われる必要があり、例外規定を設ける余地は無いもの

718

個人

と考えられる。
参考として欧州基本権憲章『８条（個人情報の保護） １ あらゆる人は、自らに関する個人情報を保護される権利をもつ。 ２ 当該情報は、関係する人の同意にもとづいて、もしくは法の定める正当な理由にもとづい て、特定された目的のために公正に処理されなければならない。』があるように、日本においても法に定められた理由でのみ個人情報は取り扱われるべきである。
憲法13条「生命、自由及び個人の幸福を追求する権利」にプライバシー権が含まれる限り、例外規定の余地は無いように考える。

218 ページ

（意見）昨今のデジタル化の急速な進展・高度化の動きは、イノベーションとデジタルトランスフォーメーションによって日本の社会課題を解決し豊かな将来を実現するために、大変重要なものであると考えます。他方で、個人データの取扱いに関して、個人のプライバシーが守られるべきことは当然のことです。よって、最新のテクノロジーやサービス提供の状況を踏まえたうえで、個人の権利利益保護とデータ利活用のバランスを検討していくべきと考えます。

719

株式会社polisee

特に政策立案に関連する分野でのデータ利活用の観点からは、国・地方自治体・政党等の政策立案に関わる機関及びこれらの機関により設置された会議体が公表した正規の情報に含まれる個人情報（氏名、所属、発言内容等）について、オープンデータのカテゴリとして例外規定を設けることを要望します。
（理由）
オープンデータ基本方針が「オープンデータの意義」として示すのと同様、上記情報の利活用は、（１）国民参加・官民協働の推進を通じた諸課題の解決、経済活性化、（２）行政の高度化・効率化、（３）透明性・信頼の向上に資するというメリットを有しており、他方、政府等の正規公表情報に基づくものであるため、当該有識者等会議体に参加される方々も政策立案の文脈で国民に広く利用されることを認識されているものと思われ、個人のプライバシーや権利利益の観点からも問題がないと考えられるためです。
(意見)
法律の解釈・運用にあたり、「ガイドラインの記載等についてステークホルダーと透明性のある形で議論する場の設定」といったステークホルダーに対する透明性を改善するご提案については賛同する。しかし、法律の規定自体についても、例外規定の「特に必要」、「本人の同意を得ることが困難であるとき」など法律が定めている要件が、公益性を有するデータ利活用の促進の観点から過度に制限的なものになっていないか等について、データ利活用の実態や必要性を踏まえて検討いただきたい。
(理由)
個人の権利利益の保護に配慮しつつ、生成AIを通じたデータ利活用など、適正・必要なデータ利活用を促進する観点から。
(意見)
公益活動や研究活動に該当せずとも、個人データを有益に利活用する状況もあるため、データ利活用の取組をより広範に支援することを奨励する。また、より柔軟で適応性のある枠組みを構築することを可能とするために、正当な利益（legitimate interest）に基づく、企業によるデータ処理を認め、本枠組みを個人情報保護法に採り入れることを要望する。
（理由）

720

在日米国商工会 中間整理では、デジタル化やテクノロジーの進展に伴い、有益なビジネスやサービスが広範に出現していることを認識している。日本社会が享受できる便益を拡大させ、個人の権利と利益を保護しつ
議所（ACCJ）

つ、生産性と経済成長を向上させるために、新たなツールやサービスを効果的に活用することが重要であるとする中間整理の考え方に賛同する。

これらの有益な目的のためのデータ処理を可能とする、同意以外の根拠を特定しようとする中間整理における考え方を支持する。公益性が高いと考えられる活動や研究活動を根拠として個人データの処理を認めるべきであるという考えにも同意する。一方、公益活動や研究活動に該当せずとも、個人データを有益に利活用する状況もあるため、貴委員会がデータ利活用の取組をより広範に支援することを奨励する。
データ利活用を支援するもう一つの在り方は、正当な利益（legitimate interest）に基づく、企業によるデータ処理を認めることである。正当な利益の枠組みを法に採り入れることで、より柔軟で適応性のある枠組みを構築することができる。これにより、企業は個人の権利を保護しながら、個人、企業、社会に恩恵をもたらす多様なサービスを支援、提供、改善する上で必要となるデータを収集することが可能となる。また、例えば、このような枠組みを、データ保護影響評価の実施要件と組み合わせることもできる。このような評価を通して、データの特定利用がもたらす影響と、それに関連したプライバシー保護措置の確実な実施の評価を企業に対して求めることが可能となる。
これらの目標に向けて、透明性のある形でステークホルダーと議論する場を設けるという中間整理の考え方を支持する。このような場を通して、公益や研究を根拠とするデータ処理という従来の概念からは外れるものの、社会的利益を生み出す可能性がある有益な事業活動についての理解を深めることが可能となる。また、こうした状況下でのプライバシー保護の適切な措置についても情報交換することができるであろう。

219 ページ

（意見）・ 公益に資するデータ利活用が柔軟に行えるように、個人データの第三者提供に係る同意取得の例外措置の対象を拡大してほしい。
（理由）・ 個人情報保護法第 2 7 条１項では、個人データの第三者提供に係る同意取得の例外措置がいくつか定められている。このうち、２号の「人の生命、身体又は財産の保護のために必要がある場合で721

一般社団法人 日 あって、本人の同意を得ることが困難であるとき」については、これまで厳格な運用 がされていると承知しているが、実務上は「本人の同意を得ることが困難であるとき」が壁となってしまい、提供
本自動車工業会 できない場合が多い。
・ そのため、例えば「本人の同意を得ることが困難である等、本人の同意を得ないことについて相当の理由がある場合」と することや、法 69 条２項４号の「前三号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに 本人の利益になるとき、その他保有個人情報を提供することについて特別の理由があるとき。」を参考に「本人以外の者に提供することが明らかに本人の利益になるとき」として、ガイドラインにおいて例示を追加することで公益に資する提供が柔軟に行えるようにして いただきたい。

722

一般社団法人日本IT団体連盟（御意見）
本人同意に加えて、契約履行のために必要な場合や正当な利益がある場合についてもデータ利活用ができる旨の条項の追加を頂きたい。また、WEB上に記載されており誰でもアクセス可能な個人情報については記載の目的に沿った利用であれば本人同意なく利活用できる旨についても追加頂きたい。
【考え方】
意見・質問等:中間整理でも「諸外国においても、本人の同意がなくとも、一定の場合に個人情報の取扱いが可能となっている」と記載されているが、その事例の一つとして、シンガポールでは個人情報の定義に関して、ビジネスコンタクト情報（Business Contact Information, BCI）については個人情報保護の適用から除外されていることが挙げられる（https://www.pdpc.gov.sg/overview-ofpdpa/the-legislation/personal-data-protection-act）。ビジネスコンタクト情報とは、ビジネス上連絡をとるために用いる情報のことであり、具体的には名刺に記載されるような情報（individual’s
name, position or title, business telephone number, business address, business email, business fax number and similar information.）を言う。ただし、名刺に記載された情報であっても、あくま

723

日本証券業協会 でビジネス目的で取得されたものに限られ、ビジネスと関係ない私的な目的での名刺交換、例えば個人でフィットネスジムに入会登録する際に名刺を連絡先登録情報として渡された場合は含まれないものと認識している。
このようなビジネスコンタクト情報に加えて、有価証券報告書や、企業の公式ホームページに掲載されている企業経営者などの個人情報（以下、「ビジネスコンタクト情報等」という）は、あくまで法人間のビジネス活動における情報であり、これらの情報が本来的に想定している通常の利用方法に則れば、個人としての権利利益の保護に悖るものではなく、法人間ビジネスの信義則、商慣行などでの解決に委ねられるべき整理のものである。
したがって、ビジネスコンタクト情報等の取扱においては、個人情報保護法における第三者提供規制及び越境移転規制に服する必要が無いものと整理していただきたい。
無許可でのデータ利活用に反対します。

724(再掲)

匿名ディープフェイクなどデータが悪用されやすい現在の状況をまず先に対応すべきであり、利活用についての議論はその次である。子どもの個人情報保護を検討することに賛成します。
未成年者の情報はより強く守られるべきだと考えます。

220 ページ

第２ 個別検討事項

３ データ利活用に向けた取組に対する支援等の在り方(2)民間における自主的な取組の促進
No.

ア PIA（Privacy Impact Assessment）

提出者

提出意見
【意見】

725

PIAの実施と個人データの取扱いに関する責任者の設置を義務付けるべきと考えます。
全国消費者団体連 【理由】
絡会

「アPIA」について、日本ではあくまでガイドラインの中での位置付けですが、GDPRにおいては実施が義務付けられています。
「イ個人データの取扱いに関する責任者」について、多くの大企業で設置済みの状況です。組織の大小を問わず、国として個人情報保護法の順守のために取り組みの推進を行うべきであると考えます。
○意見内容
PIA については、民間における自主的な取組という現状の枠組み維持しつつ、慎重に検討を進める考え方に賛同します。

726

電子情報技術産業 ○理由
協会

個人情報の取り扱いに伴うリスクを適切に評価・理解し、その管理を行うことは必要だが、法令等によりPIAの全面的な実施を義務付けると、我が国の個人情報取扱事業者に過大な負担が生じ、国際的な競争力にも影響を及ぼす可能性がある。むしろ、各事業者が構築する個々の個人情報保護マネジメントシステムの中で、取り扱いを評価しリスクを継続的に低減するような自主的な取組を進めることが望ましいと思われるため。
（意見）

727

全大阪消費者団体
連絡会

PIAと個人データ取扱責任者の義務化を（理由）
民間規律の分野においてPIAと個人データ取扱責任者はデータガバナンス体制構築の主要な要素であり、GDPRでは一定の場合に義務化されている。日本でも、対象や取扱件数などを勘案しつつ義務化すべきである。

728

匿名

・PIA（Privacy Impact Assessment）、個人データの取扱いに関する責任者の設置については、既にPMS（個人情報保護マネジメントシステム）を導入している事業者においては類似の対応を行っている。特にPIAについて法としての特定の実施方法を定めるのではなく、PMS等を参考としつつ事業者の実態に合わせた運用で行う事を認めて頂きたい。
（意見）
PIAを含めた自主的な取組については、ぜひ継続的かつ具体的な支援をしていただくことを期待します。具体例やサンプルなどの充実なども、各事業者にとっては有益なものとなると考えるため、積極的な情報の整理と公開なども併せて希望します。
一方、個人データの取扱いに関する責任者に関しては、DPOの任命を義務付ける前に、GDPR第37条と同様に、「最低基準」を導入することを提案します。例えば、その性質、範囲、又はその目的により、データ対象者の大規模かつ定期的かつ組織的なモニタリングを必要とするプロセス業務を主たる業務とする組織、又は大規模な機密個人情報の処理業務を主たる業務とする組織にDPOの任命を義務付けることが考えられます。このアプローチは、人員や予算が限られているためDPOの任命が難しい可能性のある小規模な地元企業にとっても有益であると考えます。
DPOの機能を外部委託できるようにすることを提案します。これは、シンガポールPDPA に基づくベストプラクティスに沿ったものであり、国際的な組織がグループレベルのDPO を任命することで、よ

729

Asia Internet
Coalition Japanり柔軟に管理と監督を行うことが可能になります。このアプローチは、DPO 機能を担当する社内リソースを持たない小規模な企業にも有益です。信頼のおける外部プロバイダーと協力することで、デー
タ対象者の要求やその他のプライバシーに関する問い合わせに対応することができます。また、DPOは日本に所在する必要はないと考えます。一つ目の理由は組織がDPOを任命する際には、物理的な所
在地よりもデータ保護に関する法律や規制に関する専門知識に基づいて決定することが重要であるためです。DPOの所在地を制限すると、適任者の候補が限られ、データ保護監督の質が低下する可能性があります。また、二つ目の理由は、GDPRやその他のデータ保護規制では、DPOを国内に置くことを明示的に要求していません。これらの規制は、DPOの地理的な場所よりも、DPOの資格と責任に重点を置いています。
最後に、DPOは個情法の下で個人責任を問われないことを明確にすべきです。これは、国際的なビジネスにとって日本の魅力を確保するために不可欠です。このような任命を受けた人物が個人責任を問われるリスクは、個人がその役割を引き受けることを妨げるだけでなく、従業員のリスクが利益を上回る可能性があるため、国際的な企業が日本に拠点を設けたり投資したりすることを妨げる要因にもなります。DPOに個人責任を問うことは、組織は独立した法人であるという会社法の確立された原則に反し、いくつかの国際基準とも一致しません。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。

221 ページ

（２）民間における自主的な取組の促進
730

個人

・当然の話をすると、第三者が見てわかる使用データの項目や使用用途の概要は常に公表されている事が望ましい。
漏洩、第三者への提供、販売の情報がここで伏せられてしまうなら、上記大枠の１と２は、なんの為の存在なのか、工程を挟めば許されるなら意味をなさなくなる。
PIA

731

匿名

個人情報の一つでもまた元となるデータに混入していれば無数に被害は広がります

データにはどこかから提供されたものであり

権利侵害

プライバシー侵害

その提供されたデータはの侵害リスク低減

無数の情報の塊のため

回避は

不可能です

判別も不可能です

法の目的は、処理情報としての個人データの濫用することにより、不適切な選別・評価・決定から個人を守るのが法の目的であったはず。そういった意味で目的はデータプロテクションであったはず、
個人データの濫用を防ぐには、利用目的の明確化を義務付けすることも重要であり、目的に照らした範囲のデータセットだけが利用されることになっているか、データセットと利用目的の関係性（レリ732

個人

バント）を事前に確認するのが本来的なDPIA（データプロテクションインパクトアセスメント）である。（もちろん、データの入手、使用、保管、廃棄、消去といったライフサイクル全般において、事前確認するのも重要ではあるが）日本でもPIAと呼ぶのではなく、欧州のように本来の意味合いを捉えてDPIAと呼ぶべき。
組織の管理体制を対象としたPIAに限定した記述が愚の骨頂。以下に分けて検討すべき。
１．事務・サービスを対象にしたPIA

733

個人

２．商品・製品を対象にしたPIA
１．については、ある意味PマークやISO27701が該当する組織的な管理態勢を事前にアセスメントするものであり、２．については、主にAIスピーカー、IoT機器等の機器類を市場に出す前の企画段階でアセスメントするものである。後者については、製造業分野においては、安全管理、セキュリティ管理の一貫で既に行われているものも多い。この事実を調査して、検討すべき。

734

匿名

P24の「考え方」について、「PIAについては、民間における自主的な取り組みという現状の枠組みを維持しつつ、」とあるが、生成AIの開発企業には著作権など第三者の権利利益をあえて無視して生成AIの開発を続けてきた「前科」があり、自主的な取り組みは期待できないと思われる。
PIA・個人データの取扱いに関する責任者については、個人情報保護の実効性を高めるものであり、その取組を促進する施策を実施すべきであるが、社会の理解が伴わないまま義務化すると形式的な対

735

弁護士有志

応にとどまるおそれがあり、かえって個人情報保護が不十分となりかねないから、現時点においては、まずは効果的な活用事例を共有したり、何らかのインセンティブを与えることで任意での取り組みを促進すべきと考える。
【意見】
経済産業省・総務省の「DX時代における企業のプライバシーガバナンスガイドブック」（ver1.3は2023年4月公表）や関連する政府資料においては、プライバシーガバナンスは『自社の有するプライバ

一般財団法人日本 シーリスクや組織構造の特性を踏まえ、円滑な事業運営など考慮して、企業自らが適切な形を検討することが重要である』とされている。企業の形式的な対応（形骸化したPIAの実施や形骸化した責任736

情報経済社会推進 者の設置等）にならないよう企業自らが、個人の権利利益の保護のために、自社のリスクを考え、能動的に対応していくことに対してインセンティブが与えられるような在り方を検討していただきた協会（JIPDEC） い。
併せて、PIAが“サービスを実施する前に実施した免罪符“のようなものにならないように、JISX9251に規定される「組織のより広範なリスクマネジメントの枠組みに組み込まれたもの」として明確に認知される仕組みとなるように配慮をいただきたい。

222 ページ

（意見）PIA については、民間における自主的な取組と言う現状の枠組み維持しつつ、慎重に検討を進める考え方に賛同する。
（理由）
GDPR では、第 35 条第 1 項に従い、高リスクな個人データの取り扱いに対してのみデータ保護影響評価（DPIA）の実施を義務付けており、全ての取り扱いに対して実施を強制していない。DPIA の実施が必要となる場合でも、欧州委員会はガイドラインでその概念のみを示しており（Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is "likely to resultin a high risk" for the purposes of Regulation 2016/679）、詳細な手法等は個々事業者の判断に委ねている。英国のデータ保護機関 ICO やフランスのデータ保護機関（CNIL）等においても、独自に考737

日本DPO協会事
務局

案した DPIA の手法を公開しているが、これらは国際的に標準化された手法として確立されているわけではない。個人情報の取り扱いに伴うリスクを適切に評価・理解し、その管理は必要だが、法令等により PIA の全面的な評価を義務付けると、我が国の個人情報取扱事業者に過大な負担が生じ、国際的な競争力にも影響を及ぼす可能性がある。このため、当該事業者が構築する個々の個人データ保護
マネジメントシステムの中で、取り扱いを評価しリスクを継続的に低減する自主的な取り組みを進めるなど、が望ましいと思われる。
（意見）
PIA を実施する上で、いかにプライバシーリスクや脅威をどのように捉え、認識するかによって、PIA のレベルが決定されると考えられる。現在公表されているデータマッピングツールキットのように、民間事業者向けに想定される個人の権利利益・プライバシーの侵害リスクに係る脅威リスト（サンプル）を個人情報保護委員会として具体例を公表してほしい。
（理由）
現時点では、プライバシーリスクや脅威の指針になるものがないため。（ＤＸ時代のプライバシーガバナンスガイドブックでは一部記載があるが、具体例が乏しいため）【意見内容】
多くの企業はすでに、プライバシー対応の取組みの一環として、リスク評価とコンプライアンスギャップの是正を行っており、政府が方法等を後付けで指定すると、かえって混乱を生じる可能性がある。したがって、自主的な取組みという現在のアプローチを維持することを求める。また、PIA について法律で何かしらの内容を定める場合であっても、民間によるこれまでの自主的な取り組みを損な

738

アマゾンジャパン うことがないよう、最大限の柔軟性を確保することを求める。
合同会社

【理由】
多くの企業はすでに、プライバシー対応の取組みの一環として、リスク評価とコンプライアンスギャップの是正を行っており、法律の制定がかえって妨げになる可能性もある。リスク評価について、特定の方法を義務化する形で法定した場合、同じ方法がすべての場合に妥当するとは限らないため、評価の一貫性が失われ、混乱を招く可能性がある。また、記載内容やアクセス主体を法定した場合、その内容次第で、リスク評価を実施する企業の機密情報や秘密保持義務との抵触を招くこともあり、かえって混乱を招く可能性がある。

739

個人

（意見）PIAに関しては本人同意の位置づけの検討と合わせて位置づけを検討してほしい。
（理由）あらゆる場合にPIAを実施するのは現実的ではないが、本人同意を得ない公益目的でのデータ活用のような一定の場合にはPIAを求めてリスク評価をすることが適切であると考えるため。
民間企業等、個人情報取扱事業者にとっては、、「データマッピング・ツールキット」のような形で、「個人データの取扱状況を把握」することは合っても、いわゆるPIA/DPIAのような評価手法が活用される機会は多くはない。このことは、利用目的に沿った個人データの取扱いとなっているか、適切な安全管理措置の実施がされているか、など、個人の権利利益侵害にとってリスクとなっていると考
えられる。

740

個人

例えば以下のような、PIAを促進させる方向性の議論・検討が必要と考えられる。
・一定の個人データの処理(取扱う個人データの件数、種類)においては、要件等を定めた上、PIAの実施を義務付け・推奨を法令・ガイドライン上に明記
・漏えい等報告の場合には、PIAの結果内容を合わせて報告
・PIAの結果を事業者のHP上などに公表

223 ページ

（意見）PIA及び個人データの取扱いに関する責任者の法定については、【考え方】にあるとおり、慎重に検討を進める必要があると考えます。
（理由）
PIA及び個人データの取扱いに関する責任者については、民間事業者における自主的な取組として、個人情報保護委員会がユースケースの共有等によるサポートを充実させることがよいと考えます。
741

PIA実施については、発生するコストや人員不足から、対応困難な個人情報取扱事業者等が相当数あるように思料します。個人情報保護委員会によって、リスクや実効性を考慮したプライオリティ付け
三浦法律事務所 や具体的な実施基準の共有されることに期待が寄せられます。
個人データの取扱いに関する責任者については、知識・経験を有する人材確保の観点から課題があると考えます。そして、現状任意に置かれている係る責任者については、GDPRとは異なり、役員が選任されることなどもあるところであり、また、従業員である場合を含めて、個人情報保護法においては罰則の対象となり得ることも相違点であるとの理解です。
どのような責任を負うものであるかもあいまいであること、現行法の安全管理措置の一環（組織体制の整備）よりも広範な責任を負うこと、また、選任されることで罰則の対象となりやすいことに鑑みれば、委縮効果が生じることや、インセンティブが働かずなり手がいないなどの問題が生じる懸念があります。
•PIAの実施は、個人の権利利益の侵害リスクを低減・回避するために非常に有用な仕組みだと考えているが、一定のコストがかかることから、インセンティブ設計が重要であると考える。

742

一般社団法人 新 •PIAの実施や責任者の設置を義務化するなど、ディスインセンティブを設ける方向の施策は、中小企業も含めた主体の負担を考えると好ましくないため、あくまで自主的な取り組みとして促進すること経済連盟が重要である。
•PIAの実施によってどのようなインセンティブがあれば事業者がより自主的に実施しやすくなるのか、アイデアを募ったうえで、効果的な制度設計はどのようなものか、議論が必要である。

743

個人

（意見）民間の自主的な取り組みを推進するため、個人情報保護委員会等も積極的な役割を果たすべきである。かかる観点からプリンシプルベースの規律やガイドラインの充実を促進すべきである。
（理由）民間の自主的な取り組みは、行政や社会からの要請があって促進し得るし、その促進のために行政は積極的な役割を果たし得る。
【意見】・PIAについて、民間における自主的な取組という現状の枠組みを維持しつつ、義務化については各主体における対応可能性や負担面などを踏まえ慎重に検討する必要がある、との考え方に賛成する。

744

日本損害保険協会 【理由】
・自主的な取組では不十分で法律上の義務化が必要不可欠であるとの立法事実は明らかになっていない。
（意見）
PIAを実施した事業者に法的なインセンティブを付与する方向での法改正を検討いただきたい
（理由）

745

株式会社
Acompany

PIAは、個人情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個人の権利利益の侵害リスクを低減・回避するために、非常に有用な仕組みと考えている。
一方、現状は、民間における自主的な取組に留まっており、民間事業者において、コストがかかるPIAを実施する理由及びインセンティブが全くない。
PIAの取り組みを普及促進していくためには、PIA実施を法的義務とすることも一案であるが、各主体における対応可能性や負担面などを踏まえると、実現が困難であると思われる。
一方、PIAの取り組みを普及促進していくためには、PIAを実施した事業者に法的なインセンティブを付与するという設計もありえる。この方向性であれば、PIA実施が法的義務とはならないため、各主体における対応可能性や負担面などを踏まえても、十分に実現可能性があると思われる（法的なインセンティブを享受したい事業者だけがPIAを実施すれば足りる）。
個人の権利利益の保護に資するPIAの取り組みを一層と普及促進していくためにPIAを実施した事業者に法的なインセンティブを付与することが必要である。

746

一般社団法人「個人識別符号に該当する生体データ」「こどものデータ」「要配慮個人情報」「自律的な意思により選択をすることが期待できない場合」については、特に配慮が必要な個人情報としてPIA（Privacy

MyDataJapan

Impact Assessment）を義務化すべきである。

公共政策委員会
意見：個人データの取扱いに関する責任者が、PIAと並んでデータガバナンス体制の構築において主要な要素となるものであり、その取組が促進されることが望ましい、という点には賛成する。ただし、
長島・大野・常松 GDPRにおけるDPOのような制度、すなわち、利益相反の禁止や独立性の確保を要件とするデータ保護責任者を事業者内におくことは、日本の企業文化に即しておらず、一定の場合に個人データの取扱
747

法律事務所データ いに関する責任者の設置を義務化する場合には、より日本に即した制度として設計することが必要である。
プロテクション 理由：データ保護に関する高度の専門性と法的な知識をもった人材を、事業者が内部で確保することにはまだ一定の困難さがあり、そういった人材を意思決定に関与させず、独立して経営層に意見をさチーム有志一同 せるという体制は、日本の企業文化になじまない。外部の専門家も多くなく、義務化された場合にデータ保護責任者を担える人材に乏しい。そのため、個人データの取扱いに関する責任者の設置義務化は慎重に検討すべきであり、仮に将来的に義務化するのであれば、日本企業の文化や実態に即した制度に設計する必要がある。

224 ページ

(意見)PIAの実施に関して、義務化ではなく自主的取り組みの位置づけが望ましい。
DPOの設置に関しても、義務化ではなく自主的取り組みの位置づけが望ましい。また、個人データの取扱いに関する責任者の資格について検討されているとのことだが、人的要件は、事業を開始するに748

在日米国商工会議 あたっての障害となり、事業活動自体を阻害する要因になることがしばしばある。日本における事業活動全般の障害にもなり得るため、人的要件の導入については慎重な検討を求める。特に、日本にしかないような独自の資格要件等を定めた場合、実質的な参入障壁となることも考えられるため、仮に必要となった場合でも、グローバルスタンダードと整合的な内容となることを求める。
所（ACCJ）(理由)

グローバル企業の場合はグローバル組織全体での最適のガバナンス体制が構築されていることから、グローバル組織全体での最適なガバナンス体制を許容いただく必要があり、実質的な参入障壁となることを避けるため。
749

一般社団法人日本 （御意見）IT団体連盟データマッピングを活用することに異論はないものの、他方日本特有の認証制度であるプライバシーマーク上における台帳管理との関係性をJIPDECとも協議の上検討を進めていただきたい。
現在PIAは法律上義務化されていない。しかし、GDPRは「新たな技術を用いるような種類の取扱いが、自然人の権利及び自由に対する高いリスクを発生させる恐れがある場合、DPIAを実施しなければ

750

個人

ならない。」との規定を置いている。また、その他諸国でも、義務化ないしはその動きが活発化している。特に、GAIの予想外に急速な発展により、新たなビジネスが多数創設されている現在、PIAは自主規制のまま据え置くのではなく、法律上の義務と明定すべきではないか。

225 ページ

第２ 個別検討事項

３ データ利活用に向けた取組に対する支援等の在り方(2)民間における自主的な取組の促進
No.
751

イ 個人データの取扱いに関する責任者

提出者
匿名

提出意見
個人データに取り扱い
たとえ企業が取り扱っているといっても同じようにブラックボックス化

しており何が混入しているかも不明のためデータの販売提供も禁止するべきです

考え方について責任者や管理者や民間や事業者
どこから

またそれらのデータには752

匿名の義務化は無意味です

どこまでの被害にあっている情報とましてや規制を設けることも不可能です

それを使用することによって無断収集 犯罪写真(ポルノや殺害写真など）理由は元となるデータのブラックボックスとなっているため被害拡大が懸念されます

文化財の写真やデータなど複数含まれている(研究目的以外の使用）

現時点での考えとしては生成AIを使用している会社
これ等を行わなかったは罰則や禁止を設ける必要があります

日本だけの問題ではなく

結果

現日本における

各国の問題です

それの元となるデータ売買やフランスの会社UBIや他国の意見やトーマスロックリーなどの制限などを考え提供なども取り締まるべきです
歴史改変の足並みをそろえたほうが助長として使用されております

生成AIの規制やそれを使用する

犯罪の防止にも繋がります（意見）
要配慮個人情報を一定数以上扱う事業者および外国籍の方の個人情報を一定数以上扱う事業者に関しては、EU 同様独立した第三者である DPOのアサインを努力義務としていただきたい。また、その他ビジネスをグローバル展開する事業者は自主的に DPO のアサインを推奨いただきたい。加えて、事業者側のプライバシー責任者として CPO(Chief Privacy Officer)の自主的な専任を推奨いただきたい。
・DPO アサインのインセンティブ：
有事の際の報告義務要件を緩和する（緩和の要件は別途有事の報告義務要件の緩和に関する検討結果に準ずる）
753

日本DPO協会事 ・DPO の資格要件
務局

グローバルな法規制対応および倫理的観点で一定の力量を有することが証明できる資格を有すること（例：IAPP CIPP/A, CIPP/E, CIPP/US, CIPP/CN, CIPM もしくは 日本 DPO 協会プライバシーホ
ワイト）
（理由）
事業者のプライバシー保護レベルを上げていく上で、Privacy by Design, by Default の業務プロセスへの組み込みと運用が重要となるが、PIA を実施した後のレビューなど事業者側ではなく第三者としてチェックするDPO が有用と考えるため。一方、事業者側としてもプライバシー保護に責任を持つ管掌役員を設置することで、企業全体としての個人情報の取扱いに対する意識を高めることができると同時に、日本企業の信用力を国際的に示すことができるため。なお、個人情報保護法上は、違反行為者に対しても刑事罰による制裁が予定される義務も規定されているところ、DPO の個人責任の厳格化を防ぐ制度上の工夫は必要ではないかと考える。
【意見内容】
個人データの取扱いに関する責任者の資格について検討されているとのことだが、人的要件は、事業を開始するにあたっての障害となり、事業活動自体を阻害する要因になることがしばしばある。日本における事業活動全般の障害にもなり得るため、人的要件の導入については慎重な検討を求める。特に、日本にしかないような独自の資格要件等を定めた場合、実質的な参入障壁となったり、そこ

754

アマゾンジャパ
ン合同会社

までいかなくとも形式的・硬直的な組織編成を強いられることも考えられるため、仮に必要となった場合でも、グローバルスタンダードと整合的な内容となることを求める。特に、居住地、専門知
識、職歴、年功序列等に関しては最大限の柔軟性を持たせていただきたい。
【理由】
実質的な参入障壁となることを避けるため。
また、多くの企業、特に多国籍企業は、適用諸法令を確実に、かつ効率的に遵守するために複雑な組織を構築している。組織について法律が形式的な要件を設定することは、かえって組織を形式化・硬直化させ、コンプライアンス向上の取組みを妨げる可能性がある。

226 ページ

（意見）
考え方に反対である。
755

匿名

(理由)
GDPRが要請するDPOのような一定の独立性が要請されるような個人データの責任者を必要とする場合、体制構築や人材の選任に関して企業における人的、経済的な負担が増加することが想定されるところ、企業としては発生したコストはサービス価格に反映せざるをえず、結果として顧客に対する経済的な負担が増加することとなる。かかる事情が、日本におけるデータ利活用促進を阻害する結果を生むことを懸念している。

756

個人

（意見）DPO等の責任者の選任に賛同する。
（理由）AI関連も含めてガバナンス体制整備を求めることと併せてデータ活用推進のための法整備を行うべきと考えるため。
【意見】・個人データの取扱いに関する責任者について、各企業の現状も踏まえ現実的な方向性を検討する考えとの考え方や、各主体における対応可能性や負担面などを踏まえ慎重に検討する必要がある、と

757

日本損害保険協 の考え方に賛成する。
会【理由】
・個人情報保護法ガイドライン（通則編）における例示により、既に大企業においては個人データの取扱いに関する責任者の設置がかなり進んでいる中、自主的な取組では不十分で法律上の義務化が必要不可欠であるとの立法事実は明らかになっていない。
意見内容：

758

一般社団法人「個人データの取扱いに関する責任者に関しては、現行の通則ガイドライン等で定める「組織体制の整備」を超えた措置の必要性について検討を進めるべきである。資格要件の要否、設置を求める対

全国銀行協会象事業者の範囲等によりその効果が変わってくると考えられるところ、各企業の現状も踏まえ、現実的な方向性を検討する必要がある。」とあるが、具体的に求められる資格要件、設置対象かどうかの基準、設置必須とした場合の関連資料を整備いただきたい。
意見：グローバル展開を行う企業および一定数（例：月間取扱い数1,000件以上もしくは保管個人情報数10,000件以上）以上の要配慮個人情報を扱う事業者およびインバウンド顧客を扱う事業者は力量を有するCPO（Chief Privacy Officer：最高プライバシー責任者）もしくはCPOを補佐するチームの設置を努力義務とする。
また、独立した第三者であるDPO（Data Protection Officer：データ保護オフィサー）のアサインはを努力義務とし、DPOをアサインした企業には有事の際の報告義務要件を緩和する。緩和の内容
は、別途議論されている有事の際の報告義務に関する議論に準ずるものとする。
尚、問題が発生した際の責任は事業者側にあり、DPOは責任を負わないようにする一方で、かなり高度な能力をDPOが有することを求める（法的観点、倫理的観点での判断能力を問う資格要件
等）。

759

（株）インター 理由：
ネットイニシア 日本においてはこれまでのITセキュリティ対策の延長で個人情報保護が語られることが多く、幅広に消費者や従業員が嫌な思いをするかもしれないというプライバシー保護の観点まで広げて考えられティブていない事業者が多いのが現状である。CISOがプライバシーを管掌しているものの、実体としてはCISOもプライバシーのことをよく分かっていないというのが現場で散見される実体である。
事業者側で個人情報保護、プライバシー保護を明確に意識させるためにプライバシー保護を管掌する役員であるCPOの設置が必要と考える。

但し、いきなりすべての企業にCPOの設置を義務付けるのは性急すぎるため、まずはグローバル展開を行う企業および一定数以上の要配慮個人情報もしくは外国の個人情報を扱う事業者に限定してCPOの設置を努力義務とし、様子を見ながら対象範囲を広げる等の措置をとることで各事業者のプライバシー保護レベルを向上させるきっかけとする。
またCPOは個人情報取扱事業者の責任者となるが、さらに独立した立場のDPOをアサインした場合には漏えいの「おそれ」の場合の報告義務要件を緩和するなどインセンティブを与えることでより実効性のあるプライバシーガバナンスの推進が行えると考える。
尚、CPOもしくはCPO補佐チームおよびDPOについては、一定以上の能力・力量を保有することが必要であり、その能力・力量の証明が可能な資格を有していることを義務付けることで実効性を担
保する。
【意見】
PIAの実施と個人データの取扱いに関する責任者の設置を義務付けるべきと考えます。
760(再掲)

全国消費者団体 【理由】
連絡会

「アPIA」について、日本ではあくまでガイドラインの中での位置付けですが、GDPRにおいては実施が義務付けられています。
「イ個人データの取扱いに関する責任者」について、多くの大企業で設置済みの状況です。組織の大小を問わず、国として個人情報保護法の順守のために取り組みの推進を行うべきであると考えます。

227 ページ

（意見）
761(再掲)

全大阪消費者団
体連絡会

PIAと個人データ取扱責任者の義務化を（理由）
民間規律の分野においてPIAと個人データ取扱責任者はデータガバナンス体制構築の主要な要素であり、GDPRでは一定の場合に義務化されている。日本でも、対象や取扱件数などを勘案しつつ義務化すべきである。
（意見）
PIAを含めた自主的な取組については、ぜひ継続的かつ具体的な支援をしていただくことを期待します。具体例やサンプルなどの充実なども、各事業者にとっては有益なものとなると考えるため、積極的な情報の整理と公開なども併せて希望します。
一方、個人データの取扱いに関する責任者に関しては、DPOの任命を義務付ける前に、GDPR第37条と同様に、「最低基準」を導入することを提案します。例えば、その性質、範囲、又はその目的により、データ対象者の大規模かつ定期的かつ組織的なモニタリングを必要とするプロセス業務を主たる業務とする組織、又は大規模な機密個人情報の処理業務を主たる業務とする組織にDPOの任命を義務付けることが考えられます。このアプローチは、人員や予算が限られているためDPOの任命が難しい可能性のある小規模な地元企業にとっても有益であると考えます。
DPOの機能を外部委託できるようにすることを提案します。これは、シンガポールPDPA に基づくベストプラクティスに沿ったものであり、国際的な組織がグループレベルのDPO を任命すること762(再掲)

Asia Internet

で、より柔軟に管理と監督を行うことが可能になります。このアプローチは、DPO 機能を担当する社内リソースを持たない小規模な企業にも有益です。信頼のおける外部プロバイダーと協力することで、データ対象者の要求やその他のプライバシーに関する問い合わせに対応することができます。また、DPOは日本に所在する必要はないと考えます。一つ目の理由は組織がDPOを任命する際にCoalition Japan は、物理的な所在地よりもデータ保護に関する法律や規制に関する専門知識に基づいて決定することが重要であるためです。DPOの所在地を制限すると、適任者の候補が限られ、データ保護監督の質が低下する可能性があります。また、二つ目の理由は、GDPRやその他のデータ保護規制では、DPOを国内に置くことを明示的に要求していません。これらの規制は、DPOの地理的な場所よりも、DPOの資格と責任に重点を置いています。
最後に、DPOは個情法の下で個人責任を問われないことを明確にすべきです。これは、国際的なビジネスにとって日本の魅力を確保するために不可欠です。このような任命を受けた人物が個人責任を問われるリスクは、個人がその役割を引き受けることを妨げるだけでなく、従業員のリスクが利益を上回る可能性があるため、国際的な企業が日本に拠点を設けたり投資したりすることを妨げる要因にもなります。DPOに個人責任を問うことは、組織は独立した法人であるという会社法の確立された原則に反し、いくつかの国際基準とも一致しません。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。
PIA・個人データの取扱いに関する責任者については、個人情報保護の実効性を高めるものであり、その取組を促進する施策を実施すべきであるが、社会の理解が伴わないまま義務化すると形式的な763(再掲)

弁護士有志

対応にとどまるおそれがあり、かえって個人情報保護が不十分となりかねないから、現時点においては、まずは効果的な活用事例を共有したり、何らかのインセンティブを与えることで任意での取り組みを促進すべきと考える。
【意見】

一般財団法人日764(再掲)

本情報経済社会推進協会（JIPDEC）

経済産業省・総務省の「DX時代における企業のプライバシーガバナンスガイドブック」（ver1.3は2023年4月公表）や関連する政府資料においては、プライバシーガバナンスは『自社の有するプライ
バシーリスクや組織構造の特性を踏まえ、円滑な事業運営など考慮して、企業自らが適切な形を検討することが重要である』とされている。企業の形式的な対応（形骸化したPIAの実施や形骸化した責任者の設置等）にならないよう企業自らが、個人の権利利益の保護のために、自社のリスクを考え、能動的に対応していくことに対してインセンティブが与えられるような在り方を検討していただ
きたい。
併せて、PIAが“サービスを実施する前に実施した免罪符“のようなものにならないように、JISX9251に規定される「組織のより広範なリスクマネジメントの枠組みに組み込まれたもの」として明確に認知される仕組みとなるように配慮をいただきたい。

228 ページ

（意見）PIA及び個人データの取扱いに関する責任者の法定については、【考え方】にあるとおり、慎重に検討を進める必要があると考えます。
（理由）
PIA及び個人データの取扱いに関する責任者については、民間事業者における自主的な取組として、個人情報保護委員会がユースケースの共有等によるサポートを充実させることがよいと考えます。
765(再掲)PIA実施については、発生するコストや人員不足から、対応困難な個人情報取扱事業者等が相当数あるように思料します。個人情報保護委員会によって、リスクや実効性を考慮したプライオリティ付
三浦法律事務所 けや具体的な実施基準の共有されることに期待が寄せられます。
個人データの取扱いに関する責任者については、知識・経験を有する人材確保の観点から課題があると考えます。そして、現状任意に置かれている係る責任者については、GDPRとは異なり、役員が選任されることなどもあるところであり、また、従業員である場合を含めて、個人情報保護法においては罰則の対象となり得ることも相違点であるとの理解です。
どのような責任を負うものであるかもあいまいであること、現行法の安全管理措置の一環（組織体制の整備）よりも広範な責任を負うこと、また、選任されることで罰則の対象となりやすいことに鑑みれば、委縮効果が生じることや、インセンティブが働かずなり手がいないなどの問題が生じる懸念があります。
長島・大野・常松法律事務所

766(再掲)

データプロテク
ションチーム有
志一同

意見：個人データの取扱いに関する責任者が、PIAと並んでデータガバナンス体制の構築において主要な要素となるものであり、その取組が促進されることが望ましい、という点には賛成する。ただし、GDPRにおけるDPOのような制度、すなわち、利益相反の禁止や独立性の確保を要件とするデータ保護責任者を事業者内におくことは、日本の企業文化に即しておらず、一定の場合に個人データの取扱いに関する責任者の設置を義務化する場合には、より日本に即した制度として設計することが必要である。
理由：データ保護に関する高度の専門性と法的な知識をもった人材を、事業者が内部で確保することにはまだ一定の困難さがあり、そういった人材を意思決定に関与させず、独立して経営層に意見をさせるという体制は、日本の企業文化になじまない。外部の専門家も多くなく、義務化された場合にデータ保護責任者を担える人材に乏しい。そのため、個人データの取扱いに関する責任者の設置義
務化は慎重に検討すべきであり、仮に将来的に義務化するのであれば、日本企業の文化や実態に即した制度に設計する必要がある。
(意見)
PIAの実施に関して、義務化ではなく自主的取り組みの位置づけが望ましい。
DPOの設置に関しても、義務化ではなく自主的取り組みの位置づけが望ましい。また、個人データの取扱いに関する責任者の資格について検討されているとのことだが、人的要件は、事業を開始する

767(再掲)

在日米国商工会 にあたっての障害となり、事業活動自体を阻害する要因になることがしばしばある。日本における事業活動全般の障害にもなり得るため、人的要件の導入については慎重な検討を求める。特に、日本
議所（ACCJ） にしかないような独自の資格要件等を定めた場合、実質的な参入障壁となることも考えられるため、仮に必要となった場合でも、グローバルスタンダードと整合的な内容となることを求める。
(理由)

グローバル企業の場合はグローバル組織全体での最適のガバナンス体制が構築されていることから、グローバル組織全体での最適なガバナンス体制を許容いただく必要があり、実質的な参入障壁となることを避けるため。

229 ページ

第２ 個別検討事項
No.

４ その他

提出者

提出意見
【意見】
プロファイリングに関する検討を先送りにするべきではない。先送りにするのであれば、せめてそれに足る理由を示すべきである。

768

個人

【理由】
プロファイリングに関する規制については、令和3年デジタル社会形成基本法案等の参議院附帯決議で検討を行う旨定められているのであるから、「その他」の一つとして単に先送りするのではなく、きちんと検討を行っていただきたい。

769

匿名

・プロファイリングについては、生体データを用いて学校で行われているような事例を知って危機感を持った。プロファイリングは、生体データとの関係性も含め、早急に整理をしてほしい。
（2）複雑さの回避
現在、個人情報、匿名加工、仮名加工、個人関連情報、さらには、何とか例外等複雑になっている。もっと、個人の権利利益を守るためにシンプルな考え方を踏まえた法制度にすべきではないかと考えます。中間とりまとめの文書でも、個人情報を保護するような意図の文書が散見される。個人情報を保護するのではなく、それによって、どうして権利利益を守れるかの観点が重要かと思いま

770

個人

す。例えば、現法では、個人が識別可能な個人情報の場合は、その取扱いが規定される。しかし、本来は、個人情報であってもできるだけ不必要な情報を扱わない、リスクを減らす観点で、匿名化や最小原則に従うようにしなえればならない。
現状は、複雑すぎるので実務では、それが個人情報、匿名加工情報、仮名加工情報、個人関連情報等のどれに該当するかと該当したら、その規制を守ることだけに主眼が置かれてしまっている。本来は、いかに個人の権利利益の保護が図れるかと、その利活用のバランスを元に個別に対策が図られるべきである。
個人情報保護法は、個人情報の有用性に配慮しながら、個人の権利や利益を守ることを目的としているが、個人情報と位置付けるデータでなければ規制対象外となる結果、個人の権利や利益を損ねる結果となっている。
本来、個人の権利や利益を保護するためであるのに、個人情報の定義に法律が縛られてしまう結果、このような事態が起きている可能性が極めて高いのではないか。
例えば、プロファイリングは個人を特定するものではないため、個人情報保護法での規制対象外となっている。しかし、現在、社会問題化しているSNSなどで詐欺広告を行う犯罪者にとって第一に重要なのは、個人の特定ではなく、プロファイリングである。彼らにとって重要なのは、「金融資産を持ち投資への関心が高い」というプロファイルを持つ人々にアクセスできることであり、個人を特定することではない。
名前や住所を知らなくとも、相手を騙し、その財産を引き出すことができれば、彼らの目的は達成できるからである。その点、SNSなどはプロファイリングを利用した広告配信が安価かつ容易にできるため、犯罪者がこれを悪用している。
一方、プロファイリングは新しいビジネスの創造にも有用で、企業のマーケティング活動に重要な役割を果たすことも事実であり、これを規制対象とすることへの企業側からの反対意見があることも理解できる。
そこで、私が提案したいのは、プロファイリングそのものを個人情報保護法で規制するのではなく、その利用資格を設定することである。

771

個人

例えば、プロファイリングを利用できる事業者は、第三者によりその存在を証明しなくてはならないこととし、SNSなどのプラットフォーム事業者にはプロファイリングを利用した広告配信を企業などに提供する場合、広告主の第三者認証、または中小広告主の場合は、マイナンバーカードでの代表者の特定や連帯保証人の審査を行うこと、さらには、これら広告主情報の消費者への開示を義務付け、それを怠った場合は厳しい罰則を設けるのである。これらの規制が施行されたとしても、善良な広告主企業やプラットフォームにとっては何ら懸念するものではないはずである。
このように、個人情報保護法でプロファイリングそのものを規制するのではなく、その利用資格を定義し、その利用にあたってのルールを整備すれば、SNSなどでの詐欺広告被害の発生の低減に繋げることができ、個人の権利や利益を保護できる可能性は極めて高いのではないだろうか。
プロファイリングは、AIによりさらにその精度が高まり、企業のマーケティング活動に与える有用性も拡大していく一方で、プロファイリングを行う事業者の正確な情報を消費者は知る術がないために、現在、消費者が自律的かつ主体的に、SNSなどのデジタルプラットフォームを通じて提供される広告を含めた様々な情報の信頼性判断を行うことができない。
すなわち、これは情報市場において企業と消費者の間に非対称性が存在することを示唆しており、この「情報市場の非対称性」が広告詐欺などの事象発生の原因になっている可能性がある。
「情報市場の非対称性」の解消には、消費者の情報リテラシーの向上が欠かせないが、個人情報保護法がプロファイリングの利用資格定義と利用ルールの整備、消費者へのこの新たな法整備の周知徹底とその啓蒙を図っていくことで、消費者の情報リテラシーの向上をも実現し、「情報市場の非対称性」を大きく改善できるのではないか。
個人情報保護法の見直しの一つとして、プロファイリングの利用資格定義と利用ルール整備への対応、消費者への啓蒙が検討されていくならば、企業のマーケティング活動をむやみに抑制することな
く、個人の権利や利益を保護できる点で、個人情報保護法の目的に適うものであると考える。

230 ページ（意見）ステークホルダーの意見やパブリック・コメント等の結果を踏まえて、「個人情報等に関する概念の整理」をすることに賛同いたします。
ただし、その整理の中で、法2条1項1号にある「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。」という定義について、インターネット
環境等を用いて自社にない「他の情報」と照合すること（※）を「容易」と評価してよいかどうか明確化をお願いいたします。
772

株式会社ＷＯＷＯ
Ｗ（※）自社が保存する情報（例えば電話番号、住所、メールアドレス、SNSアカウント等の一部）をインターネットの検索エンジンやSNS等で検索し、その結果と照合すること（理由）
個人情報取扱事業者それぞれで「容易」か否かの判断が異なると、提供元と提供先（第三者提供先、委託先、共同利用の提供先）の間で個人情報や個人データに該当するかどうかの認識が異なるケース
が発生し、業務に支障が生じるため。
【意見】
その他に列挙された事項については、早急に検討すべきと考えます。

773

全国消費者団体連
絡会【理由】
個人の嗜好、行動パターンなど、デジタル空間の中で入手した個人情報にあたらない情報を、AIなどを活用して紐づけて人物像を特定し、広告宣伝等の事業に活用しているといわれています。広告の送りつけなどのレベルにとどまらず、特定した人物像をもとにして、本人の行動コントロールや思想信条や嗜好などに対する攻撃や侵害などが容易に想定できます。プロファイリングに関する規制は必要です。加えて要配慮個人情報の扱いについても、この間報道されている個人情報漏えい事案などを見るにつけ、情報を取得した側が正しく適切に管理できないのではないかと思わせるレベルであり、規律の早急な検討が必要であると考えます。
○意見内容「個人情報等に関する概念の整理」に関し、個人情報、個人データ、仮名加工情報、匿名加工情報等の整理を頂くとともに、各ガイドラインやFAQ 等でより分かりやすく、具体的な案内をして頂くよう
お願いします。

774

電子情報技術産業 ○理由
協会

現状でも、個人情報の保護に関する法律についてのガイドライン通則編やQ&A 等で、個人情報等に関する概念について案内頂いているところではあるが、企業実務においては、「これは個人情報に該当するのか？」といったごく基本的な部分での判断に時間を要するケースがあるのが実情である。立法趣旨の一つである「個人情報の有用性」を十分活用できているとは言い難い状態であるため、事業者の法務部門、プライバシー部門といった専門部署以外の担当者でも容易に理解し、事業活動に個人情報を活用できるよう、より分かりやすい案内と、必要に応じて定義やそれに紐づく法要件の見直しをお願いしたい。

775

日本マイクロソフ
ト株式会社

（意見）
最後に、ステークホルダーと透明性のある形で議論するために、パブリックフォーラムを創設することを支持します。当該フォーラムは、有益な事業運営及びプライバシー保護措置を理解することを可能にします。
（意見）776

全大阪消費者団体 列挙された事項を早急に検討すべき
連絡会

（理由）
特にプロファイリングについては、GDPRに倣って、プロファイリングされない権利、個人データ削除権、データポータビリティ権等を早急に保障すべきである。
（意見）
プロファイリング、個人情報等に関する概念整理、PETsの位置づけなど、各事業者からの意見や実例を踏まえたうえで引き続き慎重かつ丁寧な議論をしていっていただきたい。

777

Asia Internet

現在個人情報保護法が社会実態を踏まえてプラクティカルな運用がされている中で、慎重な例外規定を検討することは、事業者によるデータ利活用に関して過剰な制限・萎縮につながりかねない可能性

Coalition Japan あり。日本における技術的なイノベーションの促進やその浸透、技術やサービスがもたらす消費者の便益等の社会的なニーズを阻害することがないようにすべきです。
（理由）
個情法の見直しはビジネスの実情を踏まえたかたちで行われる必要があると考えるため意見を提出します。

231 ページ（意見）プロファイリングによる要配慮個人情報の「推知」を要配慮個人情報の「取得」として法規制すべきである。本人同意または本人関与の仕組みを導入すべきである。また、日本も早期にEUのようなAI法を制定すべきである。
（理由）
2016年のケンブリッジ・アナリティカ事件、最近のイスラエルの軍事AI「ラベンダー」など、プロファイリングの問題は個人情報保護の本丸である。個人情報保護法20条２項は要配慮個人情報の取得に778

個人

ついては本人同意を必要としているが、プロファイリングによる要配慮個人情報の「推知」、すなわち要配慮個人情報の迂回的取得は法規制が存在しない。これでは本人同意は面倒だと、事業者はプロ
ファイリングによる推知を利用してしまう。
この点、世界的には、EUのGDPR21条はプロファイリングに異議を述べる権利を定め、同22条は完全自動意思決定に服さない権利を規定している。またアメリカのいくつかの州も同様の法規制を置いている。
このように世界的な法規制の動向をみると、日本もプロファイリングによる要配慮個人情報の「推知」を要配慮個人情報の「取得」として法規制すべきである。すなわち、本人同意または本人関与の仕組みを導入すべきである。
また、日本も早期にEUのようなAI法を制定すべきである。

779

個人

780

個人

781

匿名

プロファイリングについて、規制を強化すべきである。
今後、ステークホルダーと透明性のある形で継続的に議論することに賛成する。この点に関係して、ロビー活動と政官接触の状況にかかる情報（関係団体・企業と政策立案者、行政機関と政治家等が、いかに接触し、どのような議論をしているかの情報等）が、請求等をまたずして、公に明らかにされる制度を導入すべきである。
プロファイリングについて、なぜ分析されなければならないのか疑問です。犯罪履歴もないのに監視されなければならない理由はないと思います。
また、一般人であっても生体情報をAIに分析・利用されるのは懸念を覚えます。ディープフェイクやポルノに利用されかねない現状、早急な規制を求めます。
個人情報保護法の目的が不明確、制度趣旨が不明確なため目的を改めて明確にすべき。現状は、目的（what）を置いてけぼりにして、手法(how)ばかりの検討をしている。本末転倒。本来は個人情報を保護することが目的ではなく、個人データが不適切に取り扱われ、データ処理により個人の選別から個人を保護することが目的のはず。法の目的が不明確、制度趣旨が不明確なため、例えば、法第19条の不適正利用の禁止においても、制度趣旨に反する行為が対象になってはいるが、そもそもの制度趣旨が不明のままのため、法の実効性がなくなっている。

782

個人

個人情報保護法の真の目的を個人情報を保護することが目的ではなく、個人データが不適切に取り扱われ、データ処理により個人の選別から個人を保護することが目的とすると、個人情報、個人データの定義の明確化をすべき。今年の委員会規則第7条第3号、ガイドライン通則編の改正にて、漏洩規則については、webスキミング対応として、個人データとして取り扱われることが予定されている個人情報の漏洩も含めて、規律がかかることが明確化された。このように個人データの定義に、個人データとして取り扱われることが予定されているものを含む（予定個人情報）を加えて、義務・規律の全域における対象を個人データに統一すべき。
全体

個人情報保護員会の職員の異動が2年ごとのためか、3年前の改正や運用の一貫性がない。過去の歴史が忘れ去られている。日進月歩の分野のため、10年選手、20年選手を養成すべき。。

プロファイリングについては、以前から課題であったが、AIにおける個人情報利用等により、より精度の高いプライバシー情報の推知が可能になりプライバシー保護にとって一層大きな課題となってい
783

弁護士有志

る。プロファイリングにより要配慮個人情報を推知する場合には、本人の関与（事前同意、利用停止等、容易なオプトアウト等）を認めるなど、先送りすることなく今回の見直しにおいて改正が必要である（前掲・山本教授意見３～４頁参照）。
（意見）「上記のほか、（中略）金融機関の海外送金時における送金者への情報提供義務の在り方、（中略）などの論点についても、ステークホルダ―の意見やパブリック・コメント等の結果を踏まえ、引き続784

一般社団法人国際 き検討する」とある。具体的にはどのような論点から検討するのかご教示頂きたい。
（理由）
銀行協会

昨年秋から今年6月に掛けて開催された一連の「３年ごと見直し」に関する委員会やヒアリングの議事録には、かような議論の形跡は見当たらないため。また、前回２０２２年４月に改正個人情報保護法が施行された際に、全国銀行協会などが「外国送金するときの個人情報の取扱い」に関して丁寧な広報活動を実施済みであり、対応可能な余地はあまり残されていないのではないかと思料するため。

BSA ｜ザ・ソフ
785

トウェア・アライ
アンス（御意見）・（理由）我々は中間整理に対して意見を提出する機会が得られたことを感謝します。法改正についての議論を継続するあたり、本提言が有益なものとなることを願っています。本見直しの過程において、貴委員
会がステークホルダーへの説明、また、その関与の機会を設けてくれたことを歓迎します。
特に、中間整理において、ステークホルダーと透明性のある形で議論する場を設けることが検討されていることを我々は高く評価しています。そのような場に寄与する機会と、このような重大な課題について継続的に議論していけることを期待しています。本意見書に関して、ご質問や、より詳細な議論をご希望であれば、ぜひお知らせください。

232 ページ

【意見】「個人情報等に関する概念の整理」は、どこまでを想定しているのか。概念の変更は個人情報取扱事業者に対する影響が少なくないと想定される。検討にあたっては、諸外国の動向との整合性やDFFTの一般財団法人日本
786

情報経済社会推進協会（JIPDEC）

観点等も考慮し、慎重かつ時間をかけて検討を行っていただきたい。また、変更が生じる場合には、個人情報取扱事業者による対応準備等も必要になることから検討内容の透明性を担保し、議論の状況は公開していただきたい。
【意見】
プライバシー強化技術については、国際的に技術進展が進んでいる。よって、個人情報の有用性と個人の権利利益の保護を目指すためにも、安全管理措置やデータ最小化等に対応したサンドボックスのような取組や、よい事例を広く参照できる形で整理される事が必要ではないか。
（意見）
個人情報等に関する概念の整理に関し、個人情報、個人データ、仮名加工情報、匿名加工情報等の整理をいただくとともに、各ガイドライン、FAQ等でより分かりやすく、具体的な案内をしていただき
たい。

787

日本DPO協会事 （理由）
務局

現状でも、個人情報の保護に関する法律についてのガイドライン（通則編）、「個人情報の保護に関する法律についてのガイドライン」に関するQ&A 等で、個人情報等に関する概念について案内いただ
いているところではあるが、企業実務においては、「これは個人情報に該当するのか？」といったごく基本的な部分での判断に時間を要するケースがあるのが実情である。立法趣旨の一つである「個人情報の有用性」を十分活用出来ているとは言い難い状態であるゆえ、事業者、それも法務部門、プライバシー部門といった専門部署以外の担当者でも容易に理解し、事業活動に個人情報を活用できるよう、より分かりやすい案内や必要に応じて定義やそれに紐づく法要件の見直しをお願いしたいため。

788

匿名

法改正では、規律の対象を個人データに統一すべき。個人情報データベース等を構成することを予定していない個人情報に対して規律をかけ続けることは過剰規制である。
行政機関等にあっても民間と同一の規律の下で個人情報が取り扱われることは、デジタル化を推進するうえで不可欠なファクターであり、行政機関等ばかりがその保有する個人情報の質量に照らしてあ

789

合同会社

asura まりにも緩やかな規律にとどまっていることは不当というほかなく、真の意味における公民一元化を実現することを強く望む。
個人関連情報にとどまらず、仮名加工情報もすでに歴史的役割は終えており、廃止して個人情報（個人データ）の規律のなかでシンプルに運用されることを望む。

790

個人

（意見）プロファイリングによる要配慮個人情報の推知もしくは取得に関する整理を進めてほしい。
（理由）生成AIの活用や、医療・公衆衛生目的での利用等、関連するユースケースが増加しつつあるため、各有識者委員指摘の通り検討をすべきと考える。
（意見）今回さらに生体データ等の規定を増やすことも考えられるが、非常に用語が煩雑となっているため可能な限り整理を行ってほしい。

791

個人

（理由）GDPR等の海外との整合性の観点からは、そもそもの保護対象である個人情報、個人データの定義との差異があるが、匿名加工情報、仮名加工情報といったものに関しても定義のずれが存在し、国内外での理解の障害となっている。
（意見）PETsの位置づけに関してはぜひ整理を行ってもらいたい。

792

個人

（理由）に関しては安全管理措置として期待されるものであるが、それにより取扱事業者の義務が免除されるようなものではないと考える。一方で、匿名加工や仮名加工の制度の妥当性の根拠とも関連しうるため、個人情報保護制度全体の整理として重要な技術であると考える。
（意見）ゲノムデータに関しては、現状個人識別符号・要配慮個人情報との関係で位置づけられているが、生体データのルールの検討と合わせて是非検討を行ってもらいたい。

793

個人

（理由）ゲノムデータに関しては、機微性が非常に高いが、利活用も進められつつある。研究目的の場合は研究倫理指針により一定の規律があり、事業者に向けても「経済産業分野のうち個人遺伝情報を用いた事業分野における 個人情報保護ガイドライン」はあるが、プロファイリングの具体的な事例であると同時に、容易には変更できない情報であるため、法律レベルでの規制の検討をすべきものと考える。

233 ページ（意見）パブリックコメント終了後に予定されるステークホルダーとの継続的な議論に当たっては、個人情報保護法によって一律に規制する方法の是非を判断し、関係各省との調整や別途の検討を待つなどの対応を行うべきと考えます。少なくとも、政府における別途の検討がなされているにもかかわらず、個人情報保護法の改正のみが先行することでデータ利活用環境に不当な影響を及ぼさないようにする必要があると考えます。
（理由）
個人情報の取扱いには、何らかの目的があるところ、他の法令や、別のコンテキストからの検討を要する場合があり得るところです（例：AI、こどもの保護・健全育成）。
（意見）
個人情報保護委員会は、これまでのように不透明な形でガイドライン等の改定を行うべきではなく、また、少なくとも関係各所の意見を丁寧に扱うべきであると考えます。
「個人情報保護法のいわゆる３年ごと見直しに関する検討会」とは別途の場において、ステークホルダーや有識者によって早期に検討し、必要な対応を行うべきと考えます。
794

（理由）
三浦法律事務所 PETsのほか、秘密計算、（生成）AIのような新たな技術については、改正の議論のみならず、個人情報保護法の運用に当たっても、正しい理解と対応が肝要です。
新たな技術の進展、既存技術の改善及び新サービスの創出の阻害要因とならないよう、早期に必要な対応を行うこととし、検討を進める必要があります。
（意見）
個人情報保護委員会が個人情報保護法の見直しの方向性や検討事項を決定する前提としての関係団体及び有識者のヒアリングに際して、バックグラウンドの異なる複数の主体を選定し、その意見を聞く必要があると考えます。
（理由）
関係団体及び有識者のヒアリングにあたって、消費者側の団体は、特定非営利活動法人消費者支援機構関西のみであったと見受けられます。この際、団体による差止請求制度や被害回復制度にフォーカスした意見はあったものの、個人情報保護法や、プライバシーリスクを前提とした意見がなされていないように思料します。
企業側とは異なる視点を有し得る消費者団体の意見や、実際に相談を受けてきた国民生活センターや消費者生活センターからの実態ヒアリングなど、個人情報保護委員会が個人情報保護法の見直しの方
向性や検討項目を検討する前提として確認すべきであったと考えます。
•プロファイリングが引き続き検討課題として挙げられているが、具体的にどのようなことが問題とされているのかや、検討の方向性はまだ見えていないところである。検討の内容や方向性によっては現在広く一般的に行われている行動ターゲティング広告などに大きな影響を与えるものであることから、関係事業者等としっかりコミュニケーションを取り、既存の実務実態やビジネスの状況を正確に把握したうえで、時間をかけて慎重に議論していただきたい。

795

一般社団法人 新経済連盟•プライバシー強化技術については、技術の具体的な内容を確認しつつ、法的位置づけやデータの利活用時の保護にどのような効果があるのか整理することで、より安全な利活用が促進できる可能性があることから、技術的知見を有する関係事業者等を交えて、官民が協力し利用促進に向けた前向きな議論・検討を進めていただきたい。
•金融機関のデータ利活用の一環として、データポータビリティ（例えば本人の同意を得たうえでの電子決済等代行業者など第三者による金融機関へのデータアクセス）についても、ニーズの有無を含めて今後議論・検討いただきたい。
•委員会が関係の深いステークホルダーと透明性のある形で継続的に議論する場を設け、個人情報保護政策の方向性や、本人同意を要しないデータの利活用に関係するガイドライン等の見直しの在り方などについて検討していくことには大いに賛成する。本人同意を要しないデータの利活用については、上述のとおり、公益に資するデータに限らない議論が必要である。

796

株式会社プレイドー プロファイリングや、個人情報等に関する概念の整理などに関する規律の在り方などについては、事業者にとって不意打ちとならないよう、十分に事業者側の意見も踏まえて議論されるべきである。
◯目次について、

797

匿名

定義の明確化がない。
個人情報・個人データの定義を明確化して、処理情報としての個人データに着目した規律にすべき。個人データになる予定の個人情報を含めた個人データに概念整理を全般的にすべき。
今年、漏えい規則である委員会規則第7条第三項の規律を改正したのと同じロジックで概念整理すべし。
端末など識別子・プロファイリングについて

798

匿名

本人の使用許可がされており、人物の特定リスクがないという2つの前提条件が加わる場合は不正取得等の禁止を強化については賛成します。
また、昨今のサイバー攻撃の様に情報漏洩のリスクが増えている為、管理方法などで漏洩した場合でも個人情報が一緒に漏れないようにしていく事が必要だと思います。
234 ページ

（意見）①プロファイリングについては、「「不適正な利用の禁止」「適正な取得」の規律の明確化」」の項に述べたとおりである。②金融機関の海外送金時における送金者への情報提供義務の在り方
799

個人については、マネーロンダリング対策の実効を図る観点から、（ガバナンスや適正手続きを適切に確保しつつ）金融庁や捜査当局等の関係機関において適切な検討を行うべきである。
（理由）①については該当箇所で述べたとおりである。②については、マネーロンダリング対策は喫緊の課題であり、技術的な対応も含め、より実効が確保された運用が行われることを期待する。かかる実効確保の観点からも、ガバナンスや適正手続きがより洗練されたものとなることを期待する。
現行ではゲノムデータのうち、医学的アノテーションを付けた情報は要配慮個人情報として扱う必要があり、創薬研究への利用は著しく阻害されている。
しかし、個人識別符号としてのゲノム配列情報から個人を特定するためには、ゲノムデータ以外の個人識別符号との連結可能なデータベースを取り扱い、高度な統計的手法を用いて同一性の検証を行う

800

田辺三菱製薬株式 ことが必要で、視覚的確認ができる顔画像、指紋や虹彩、聴覚的に確認できる声紋と音声データとは「本人到達性」の難度と性質が大きく異なると思われる。すなわち、ほとんどのゲノムデータは、他
会社の個人識別符号との突合の禁止を定めれば十分にの本人到達性を失わせることができる性質のものと考えられる。特定家系にのみ生じる希少疾患、人種、出身地などを特定可能な情報、性別の変更を示
す情報など要配慮性の要件を確化する事ができれば、一般的な医学的アノテーションが付いただけのゲノムデータは要配慮個人情報として扱わなくてもよいとする事が可能と考えられることから、ゲノムデータの要配慮性に関する要件整備を行ってほしい。
意見：
医薬品の研究開発等の利用目的におけるゲノムデータの利活用に関する規律の柔軟化を強く求める。
理由：
製薬企業における研究開発等の活動においては、ゲノムデータを本人を識別する目的で利用することは無く、またゲノムデータ単体では本人到達性はほぼ無いに等しい。また、「特定の個人を識別することができる」とは、「社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物と情報との間に同一性を認めるに至ることができることをいう」（Q&A 1-1）。さらに、｢特定の個人を識別することができるもの｣であるかの判断要素として、国会審議においては、①個人と情報との結び付きの程度（一意性等）②可変性の程度（情報が存在する期間や変更の容易さ等）③本人到達性が示

801

日本製薬工業協会 され、これを総合判断するとされている。そのため、そもそもゲノムデータを個人識別符号とすること自体が疑問である。
日本においては、個人識別符号に該当するゲノムデータは、第三者提供の際には全部を削除しなければならず匿名化も仮名化もできないため、事実上製薬企業がこれを得るには同意が必要となり入手が困難である。
本来は、欧州のEuropean Health Data Space（EHDS）を参考に、医療分野の個人情報保護法の特別法を一刻も早く制定した上で、ゲノムデータを含む規律の国際整合が重要と考えるが、その実現までのつなぎとして早急な解釈の柔軟化（体細胞変異が個人識別符号に該当しないことの明確化や、一定程度の量のゲノムデータの仮名化・匿名化を可能とすること等）が必要である。
医薬品研究開発におけるゲノムデータの利活用ニーズは非常に大きい。現に米国において承認された医薬品のうち約3分の2はゲノムデータを研究段階から活用したものである。医薬品の研究開発等の促進の観点から、ゲノムデータに関する規律の在り方の柔軟化を強く求める。
意見
私たちは、個人が有意義な選択をするためには透明性が絶対的な最低条件であるとの信念をもっています。したがって、個人は、個人データまたは個人関連情報の利用について理解する機会を付与されるべきであり、ユーザーのプロファイルを構築するためにデータが収集される際には明確な同意がなされなければなりません。さらに、プロファイリングの結果にもとづいて、個人にとって重要な決定が自動的に行われる可能性がある場合は、そのことが個人に明確に伝えられるべきです。データ主体の明示的な同意を取得することなど、一定の条件を課しているGDPR第22条を参考にされることを提

802

Apple

案します。
理由
技術の進展に伴い、企業が個人データを利用するビジネスモデルを追求する中、個人の想定や許容範囲を超えて個人データがプロファイリングのために収集、使用されています。個人のプライバシーを保護するためには、個人にとっての透明性が鍵となります。個人データまたは個人関連情報に関して行われうるあらゆる利用について、企業として個人が知る機会を与える義務があるという認識が、個
人情報保護法によって促されることが望まれます。

235 ページ

（意見）複数の組織が保有する個人データを突合して統計量を集計する処理は強いニーズが存在し、その処理はプライバシー強化技術（PETs）を用いることで安心・安全に行える。PETsは安全なデータ活用のために重要であるため、PETsの位置づけの整理は喫緊の課題である。そこで以下3点の意見を申し上げる。
①複数の企業・組織が保有する個人データを突合して統計量を得る処理について、その途中処理にあたる処理（突合して統計量を得る処理）については、第三者提供の同意を必須とするべきではない（※1）。また、処理途中において個人特定を防ぐためにはPETs（秘密計算など）が有効であるため、このような第三者提供の同意を必須とする規定をなくすための条件として、十分に安全な技術的な安全管理措置の要件を設けることを提案する。そして、この要件については、有識者を交えて議論し、政令やガイドライン等で具体的に示していくべきである。
②PETsの社会実装の法制度の研究においては、技術の専門家や事業者、法学者、市民団体などを含め、官民が連携したオープンな議論を行う会議体を作るべきである。
803

一般社団法人デー
タ社会推進協議会③信頼性のあるデータ流通の促進のために有効なPETsの普及に向けた制度設計を急ぐべきである。例えば、「高度な暗号化」を用いている場合は、漏洩時の報告義務が免除されるなどの技術導入のインセンティブがあるが、「秘密分散」というISOでも標準化されている技術は、過去のパブリックコメントの回答では「高度な暗号化」に該当されていない（※3）、また検討も進められていない。専門家を含めた議論を進め、既存の政府推奨暗号リストの考え方に止まらない広い視座で検討し、十分に安全と確認されたPETsは「高度な暗号化」に含めるべきである。
※1

公的部門においては統計を作成する場合の第三者提供の同意は不要とされている。個人情報保護法

第六十九条第二項第四号 「専ら統計の作成……のために保有個人情報を提供するとき」 は、「利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。」※2「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）の一部を改正する告示」等に関する意見

募集の結果について」、「意見募集結果（通則編）、【別紙２－１】意見募集結果（通則編）、番号169」”秘密分散については、技術の進展や社会実装の動向も踏まえつつ、引き続き検討してまいります。” と回答されている、https://public-comment.e-gov.go.jp/servlet/Public?CLASSNAME=PCM1040&id=240000069&Mode=1
（理由）
意見の通り
意見
804

一般社団法人日本 3年ごとの見直しという年限に形式的にとらわれることなく、様々なステークホルダーを巻き込みながら、透明性ある形で丁寧かつ継続的な検討を進めるべき。
経済団体連合会 理由
個人情報等に関する概念の整理やプライバシー強化技術の位置づけ等、重要な論点は数多存在。今回の見直しのタイミングでこれら論点をすべて網羅的に議論し尽くすことは困難。
４その他の意見(1) プライバシー強化技術（PETs）
PETs（Privacy Enhancing Technologies）等、プライバシーを保護・強化すると謳っている技術については、一括りに検討するのではなく、個別の技術について真にプライバシーを保護・強化し個人の一般社団法人805-1

MyDataJapan

コントローラビリティを高める技術であるかを詳細に評価して判断する必要がある。ここで留意すべきは、これらの技術の多くが、プライバシー保護だけでなくセキュリティ強化の側面も併せ持つという点である。この二面性を踏まえ、プライバシー保護の観点からの評価を適切に行うことが重要である。

公共政策委員会 例えば、秘密計算技術に関しては、処理されたデータを仮名加工情報や匿名加工情報と同様に一定の規律の緩和を行うべきとの見解がある一方で、秘密計算は計算過程の秘匿化にとどまり、その結果自体は秘匿化されないため、PETsの使用有無にかかわらず、計算（プロファイリング）により取得されるデータの内容とその利用目的こそが本質的に重要であるとの指摘もある。
このような議論を踏まえ、PETsの導入が個人の権利利益保護の形骸化や、個人のデータに対するコントロール能力の低下を招くことのないよう慎重な検討が求められる。各技術の評価に際しては、その目的適合性や個人の権利保護への貢献度を綿密に分析し、個別具体的な文脈に即して判断すべきである。

236 ページ(2) プロファイリング
プロファイリングにおける取得規制の適正化が、デジタル対応、プライバシーの重視の観点から強く要請される。現状では生成は「取得」にあたらないとされており、プロファイリングに取得規制がかからない。信条などの要配慮個人情報をプロファイリングによって生成することは可能だが、要配慮個人情報の取得に関する20条第2項の適用がないことになる。さらに、プロファイリングの結果として生成される情報については、「取得」に際しての利用目的の通知・公表（21条第1項、2項）も不要となっている。それゆえ、わが国は、プロファイリングに規制がかからない「プロファイリング天国」となっている。
そもそも前記の取得規制は、事業者が個人情報を入手することによって一定の権利利益の侵害のおそれが生じ得ることから設けられたものであり、「生成は取得にあたらない」とする合理的根拠がない。個人情報が外部から入手したものであるか、内部で生成されたものであるかにかかわらず、個人の権利利益が保護されるべきである。
したがって、プロファイリングによる情報の生成を個人情報の取得とみなし、適切な規制の下に置くべきである。特に、プロファイリングによって要配慮個人情報に相当する情報が生成された場合は、要配慮個人情報の取得とみなし、本人の同意を必要とすべきである。
一般社団法人805-2

MyDataJapan

プロファイリングによる推知によって、要配慮個人情報に匹敵する情報が得られる可能性があり、さらに推知の結果が誤っていた場合、権利利益の侵害のおそれは大きくなる。また、正確なプロファイ
リングであっても、人に知られたくない特性を暴く行為は権利利益の侵害にあたる。特にこどもは可塑性に富むため、往々にしてプロファイリングは正確性を欠くものとなり、不正確な属性の決め付けに陥る可能性が高いことから、こどもに関するプロファイリングを禁止すべきである。プロファイリングによって、対象の個人が認知力や判断力に脆弱性などを有する者であることが推知され得る場合
公共政策委員会 （典型例はこどもや高齢者など）、彼らを対象としたターゲティング広告の表示や誘導、欺瞞、その他彼らの脆弱性を突くような行為を禁止することも併せて重要である。
一方で、プロファイリングの有用性も考慮すると、一律の規制や禁止は現実的ではない。この問題に対処する方策の一つとして、本人が自分の情報についての開示請求を容易にできるような開示制度強化の方向を考えるべきである。
また、プロファイリングに用いるべきでない情報やプロファイリングを禁止すべきカテゴリの設定についても検討が必要である。
(3) 補完的ルール
補完的ルールは十分制認定によりEUから移転された個人データに関する特則であるが、法の下の平等（憲法14条）に違反するおそれのあるルールである。補完的ルールは、日本の個人情報保護法がGDPR十分性認定のレベルに達していないことを自認するものであり、グローバルスタンダードへの接近の視点から、早々に補完的ルールを不要にするために必要な法改正を行うことが求められる。
したがって、補完的ルールについて、中間整理で論点として取り上げられていないこと自体が大きな問題である。
具体的には、例えば、要配慮個人情報について、性生活、性的指向または労働組合に関する情報を追加すること、仮名加工情報は統計目的利用のみ、匿名加工情報は完全匿名化すること、などが必要である。
(4) 同意による第三者提供
現状では、第三者提供の同意を得る際に、提供先の明示などは必要としておらず、個人にとって自分のデータがどこに何のために提供されているのかを知ることが困難な状況になっている。第三者提供に関する同意取得の際には、少なくとも提供先と提供先のプライバシーポリシーを明示した上で同意を得るべきである。
(5) ダークパターン
現状、ガイドラインにおいて「本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない」とされているものの、実態としては、複雑なプライバシーポリシー
一般社団法人805-3

MyDataJapan

の一部に同意に係る情報が記載されているのみであり、ほぼすべての同意がダークパターンになっていると考えられる。
このような実態を回避し、真に本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法により、同意を取得させるための検討が必要である。例えば、同意取得時の説明文やボタンの配置、デザインなどに関する具体的な基準を設け、ダークパターンの使用を規制すべきである。また、同意の有効要件をガイドラインで示すことも検討すべきである。具体的には、任意に与えられるも
公共政策委員会 のであること（任意性）、何に対する同意かが特定されていること（特定性）、十分な説明を前提とするものであること、外形的に明確なものであること、などである。
(6) 利用停止・消去請求権の拡大
利用停止・消去請求権の拡大が、プライバシーの重視（自己情報コントロール）の観点から強く要請される。現行法では、保有個人データの利用停止、消去の請求には、18条、19条または20条の違反やもはや利用目的を終えていること、権利利益の侵害のおそれがあること等が条件となっており、第三者提供停止の請求は、27条1項又は28条の違反が条件となっている。これらを条件としない利用停
止・消去請求権の拡大については、消費者からの要望が強く、かつJISQ15001において広く実現されている運用であることから、これらの条件なく、利用停止、消去、第三者提供の各停止請求を原則として義務化してはどうか。なお、JISQ15001は、業務支障などの例外を設けており、これに合わせても事業者の業務運営に困難をもたらすおそれは低いと考えられる。

237 ページ(7) 概念整理の必要性
保有個人データについては、「個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって…」と定義されているが（16条4項）、「開示できても訂正等はできない」ようなことは起こりうる。そのため、「保有個人データ」という概念をなくして、義務規定をたとえば「当該個人情報取扱事業者が当該
個人データの開示を行う権限を有する場合には…」のようなものに改めることが考えられる。
同じ問題は、22条（データ内容の正確性の確保等）についても存在するが、こちらは個人データに対する義務になっており（正確な内容に変更する権限が前提になっておらず）現状では一貫性に欠ける状況にある。
(8) 個人情報の定義
現行の個人情報保護法は、事業者によるデータ利活用に配慮して、個人情報のほか、個人関連情報、仮名加工情報、匿名加工情報という定義を設けてきたが、それがかえって事業者にとって複雑である
一般社団法人805-4

MyDataJapan
公共政策委員会ということであれば、これらを個人情報に一本化してはどうか。
(9) 国際的整合性
前掲の個人情報の定義の一本化とあわせて、GDPRやCCPAなど国際的に影響力のあるルールと個人情報保護法との整合性を確保することで、グローバルに事業を展開する日本企業の競争力を維持・向上
させることが重要である。特に、日本法による個人データの保護水準が低いと見なされることで、海外のデータを日本に持ち込んで利用できなくなる恐れがあることをもっと懸念すべきである。例えば、日本向けにサービスを提供している海外のSaaS事業者のようなグローバルテックの日本向け公式サイトに掲載されているプライバシーポリシーは、GDPRやCCPAに基づいた説明しかなされておらず、日本法での取扱いに関する説明がない場合がある。そうした場合に、彼らに「日本法についての考え方を説明してください」と連絡しても、十分な回答を得られないことが往々にしてある。こうしたことの背景には、グローバルでは日本法による個人データ保護が甘く見られていることが一因としてあるのではないか（日本法に準拠できなくても事業者にはたいした制裁がないので、当面は対応しなくて良いだろう、と見られている可能性があるのではないか）。
こうした状況は、日本から海外へのデータ移転規制は緩く、海外から日本へのデータ移転規制は厳しいという事態を招くことになるため、日本にはデータが集まりにくくなり、結果的に日本でのビジネ
ス環境を悪化させることに繋がるとともに、海外SaaS事業者が日本法を無視して事業を続ける原因にもなっていると強く懸念される。したがって、こうした問題を解消するためにも、日本のルールや実効性確保の手段の水準を高める必要性がある。
■1. PETsの議論促進（該当箇所）「4. その他」の「プライバシー強化技術（Privacy Enhancing Technologies(PETs)の位置づけの整理」
（意見）

806-1

プライバシーテッ
ク協会

PETsの位置づけの整理は喫緊の課題であるため、今回の法改正で十分に議論されるべきである。
（理由）
PETsは個人の権利利益を保護しつつ、データを安全に利活用できる技術である。しかし、現行法ではPETsと法制度の整理が不十分であるため、結果として、PETsの普及を妨げ、個人の権利利益が侵害されていたり、データ利活用が進んでいない状況である。また、PETsは、秘密計算、差分プライバシー、連合学習、合成データなどが含まれ、特に日本企業は秘密計算のISO標準化をリードするなど、日本企業が強い技術分野の一つであり、活用が望まれている。
PETsを用いた安全なデータ利活用を促進するため、法制度におけるPETsの位置づけの整理は喫緊の課題である。
プライバシーテック協会は、PETsを用いた個人の権利利益を阻害しない安全なデータ利活用を促進させるため、PETsに関する議論に貢献していきたいと考えている。

238 ページ■2. 複数組織の個人データの統計的集計の同意不要とPETs適用（該当箇所）「4. その他」の「プライバシー強化技術（Privacy Enhancing Technologies(PETs)の位置づけの整理」（意見）
複数の企業・組織が保有する個人データを、突合して統計量を得る処理について、その途中処理については、一定の要件を満たすPETsを用いる場合には、第三者提供の同意を不要とする法改正をするべきである。また、その際のPETsの要件については、専門的知識を有する有識者、事業者などを交えて議論していくべきである。
（理由）
806-2

プライバシーテッ
ク協会

複数の組織が保有する個人データを突合して統計量を集計する処理には強いニーズが存在し、その処理はプライバシー強化技術（PETs）を用いることで安心・安全に行える。
このような複数の企業・組織が保有する個人データを突合して統計量を得る処理について、その途中処理にあたる突合して統計量を得る処理については、処理途中において個人特定を防ぐための安全管
理措置が十分に行われていないと、個人の権利利益を侵害する恐れがある。
そのため、PETs（秘密計算など）を用いることを前提として、上記のような処理について、第三者提供の同意を不要とする法改正をするべきである。
なお、このような統計を作成する場合の第三者提供の同意は、公的部門では不要とされている（※1）。また、同様な意見は有識者からも出ている（※2）。
PETsは専門的な知識が必要であるため、具体的な要件などは有識者含めて官民での議論が必要である。
※1 個人情報保護法

第六十九条第二項第四号 「専ら統計の作成……のために保有個人情報を提供するとき」は、「利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。」※2 例：”個人情報保護法3年ごと見直し令和6年に対する意見”、第289回個人情報保護委員会、資料1-2、https://www.ppc.go.jp/files/pdf/240612_shiryou-1-2.pdf、p.3-4■3.組織間の個人データ突合分析におけるPETsと現行法との関係整理（該当箇所）「4. その他」の「プライバシー強化技術（Privacy Enhancing Technologies(PETs)の位置づけの整理」（意見）
複数の企業・組織が保有する個人データから、個人を識別する情報を鍵付きハッシュ（※1）を用いてハッシュ化後に、鍵（ハッシュに用いた秘密の文字列、ソルトともいう）を破棄するなどして特定個
人との関係を排斥した後、秘密計算等のPETsを用いることで、同意無しで個人データを突合・集計した統計情報を出力する方式が知られている。この方式について、PETsと法制度との関係を明確にするべきである。
（理由）
複数の組織が保有する個人データを突合・分析し、統計情報を得ることは、有益である。これを安全に行うためにPETsが有効である。具体的には、鍵（ソルト）付きハッシュを用いてハッシュ化後に鍵806-3

プライバシーテッ
ク協会（ソルト）を破棄することで特定個人との関係を排斥した後、秘密計算等のPETsを用いることで、同意無しで個人データを突合・集計した統計情報を出力する方式が、実際の個人データに対して実施され、また、注目されている。
しかし、現状はPETsと法制度の関係性が不明確であるため、前記に示したような方式において、PETsを適用する法的なインセンティブが不明確となっている。そのため、前記の方式のうち、PETsを利用しない方式（※2）も検討されていたりすると仄聞する。しかし、当該PETsを利用しない方式は、処理途中で個人特定されてしまう恐れがあるなど、個人の権利利益の保護に欠ける可能性があり（加えて、違法である可能性もある）、この状況を放置すると、個人の権利利益の保護に欠けるデータ利活用手法が蔓延する恐れもある。
そのため、PETsと法制度の関係性の明確化を急ぐべきである。この活動は、個人関連情報の不適正な利用の防止にも資すると考える。
※1 鍵付きハッシュとは、秘密の文字列である「鍵」とともにハッシュ化する処理。ソルト付きハッシュとも表現する場合がある。本コメントに記載している方式では、この鍵に当たる文字列を、個人
データを突合したい複数の企業・組織間で共有して、ハッシュ化を行う。同じ鍵と同じ識別子でハッシュ化すると、同じハッシュ値となるため、突合の判定ができるが、鍵を削除することで、ハッシュ値から識別子を推定することは困難となる。
※2 具体的には、鍵付きハッシュを用いてハッシュ化後に鍵を破棄後、秘密計算などのPETsを用いずに突合して集計処理を行うような方法。突合・集計処理の途中で個人特定が出来てしまう恐れがある
ため、秘密計算などのPETsを用いることで、このような恐れを技術的に防ぐことが望ましいと考える。

239 ページ■4. PETsと安全管理措置「高度な暗号化」との関係整備（該当箇所）「4. その他」の「プライバシー強化技術（Privacy Enhancing Technologies(PETs)の位置づけの整理」（意見）
様々なPETsについて、電子政府推奨暗号リストやISO/IEC18033に含まれない技術についても、学術的に安全性が示されていると専門家が判断しているものについては、「高度な暗号化」に含めるべき
である。
（理由）
PETsは、正しく適用することで、従来よりも安心・安全なシステムを構築できる可能性がある技術である。
しかし、新たな技術であるため、学術的に安全性が明確にされているものであっても、現状の法制度では法的なインセンティブがある制度に該当しないと判断されているものも存在する。その結果、PETsの適用が阻害されてしまっている。
例えば、「高度な暗号化」に該当する暗号技術を用いている場合は、漏えい等の報告義務が免除されるなど法的なインセンティブがある。そして、この「高度な暗号化」はFAQにて「電子政府推奨暗号リストやISO/IEC18033等に掲載されている暗号技術」と例示で示されている（※1）。
しかし、PETsの一つである秘密計算にも使われている、秘密分散という秘匿化の方法について、「高度な暗号化」に該当するかを2021年のパブリックコメント時に問い合わせたところ、「秘密分散に
806-4

プライバシーテッ ついては、技術の進展や社会実装の動向も踏まえつつ、引き続き検討してまいります」と回答され、秘密分散は「高度な暗号化」に該当しないものとされている（※2）。秘密分散は、ISO/IEC 195922:2017で標準化され、秘密分散を用いた秘密計算もISO/IEC 4922-2:2024で標準化されるなど、安全性について専門家から合意がとられている状況である。
ク協会
このように、電子政府推奨暗号リストやISO/IEC18033に含まれないものであっても、十分に安全な技術については「高度な暗号化」に含めるべきである。
また、どのような技術が安全であるかを判断するには、専門的な知識が必要であるため、その判断ができる体制を作るべきである。
※1 FAQ A6-16 https://www.ppc.go.jp/all_faq_index/faq1-q6-16/※2 "「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）の一部を改正する告示」等に関する意見募集の結果について"、2021年、【別紙２-１】意見募集結果（通則編）、番号169
https://public-comment.e-gov.go.jp/servlet/Public?CLASSNAME=PCM1040&id=240000069&Mode=1■5. 検討会議の早急な組成（該当箇所）「4. その他」の「プライバシー強化技術（Privacy Enhancing Technologies(PETs)の位置づけの整理」（意見）
PETsと法制度の位置づけ整理のため、技術の有識者も含めた官民で議論を行う体制を早急に組成するべきである（理由）
現状の法制度ではPETsと法制度との関係整理が不十分となっており、結果として技術導入が阻害され、安全なデータ利活用が進んでいない。また、技術導入の法的メリットがないと判断し安全な技術の導入がされないケースもある。このように、PETsと法制度の議論は早急に行う必要がある。

806-5

プライバシーテッ
ク協会

また、PETsに関する法制度の検討には、技術的な知見も必要となるため、官民での有識者を含めた検討会をオープンに行い、最新の知見も含めた議論を行うべきである。
なお、このようなPETsに関する議論を進めることについて、同様な指摘が以下のような団体からも出ている。
・自由民主党 「デジタル・ニッポン2024」https://www.jimin.jp/news/policy/208287.html
一般財団法人日本情報経済社会推進用協会（JIPDEC）「ヒアリング資料」：https://www.ppc.go.jp/files/pdf/231129_shiryou-1.pdf
・一般社団法人 新経済連盟「個人情報保護法の見直しについて」：https://www.ppc.go.jp/files/pdf/231215_shiryou-1-1.pdf
・一般社団法人日本経済団体連合会 デジタルエコノミー推進委員会 データ法制WG 「個人情報保護法の3年ごと見直しに対する意見」：https://www.ppc.go.jp/files/pdf/240131_shiryou-2.pdf ）・プロファイリングについては踏み込み過ぎのような気がするが、

807

匿名

本人が同意するのであれば良いと思う。選択制にすればよい。
もちろん年齢制限は設けるべきで、16歳が基準になるのではないか。

240 ページ

（意見）現在「個人情報」を対象としている規定は全て「個人データ」を対象とするように改めるべきである。
これに合わせて、「取扱い」は全て「処理」に改めるべきである。
（理由）
板倉弁護士提出資料、高木主任研究員提出資料と同意見である。
808

個人

そもそも、個情法は、個人情報データベース等を事業の用に供している者に適用されるところ、これは、そのような行為が個人データ処理に関連する権利侵害リスク（権利侵害リスク一般ではない。）
を有意に高めるからである。そうであるにもかかわらず、一度個人情報データベース等を事業の用に供すれば、個人情報データベース等に関連しない、いわゆる散在情報の取扱いまで規制されるというのは不合理である。取得に関する規定が「個人情報」を対象としているのも、「いずれ個人情報データベースに記録され「個人データ」となるものであっても、取得段階では「個人情報」の状態である
ことによる」ものにすぎない（園部逸夫＝藤原靜雄編『個人情報保護法の解説 第三次改訂版』149頁（ぎょうせい、2022））。したがって、法目的を考慮して合理的に「仕組み解釈」を行えば、現行個情法で「個人情報」が対象とされている規定も、個人データである個人情報又は個人データとして取り扱われることが予定されている個人情報にしか適用がないと解すべきことになるはずである。しかしながら、このような解釈をしなければならないこと自体無用なコストであるから、法文自体をそのような内容に改めるべきである。
（意見）
個人情報の定義中「特定の個人を識別することができる」を「当該個人を識別することができる」に改めるべきである。
（理由）「特定の個人を識別することができる」とは、社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物と情報との間に同一性を認めるに至ることができることをいうとされている（Q&A
1-1）。ここでは、「特定の個人」が「具体的な人物」と、「（当該）人物と情報との間に同一性を認めるに至ること」が「識別」と言い換えられている。この結果、電話番号、メールアドレス、
Cookie IDは個人情報に該当しないとされ（中間整理6頁第2段落）、また、個人識別符号である生体データに関する個情法施行規則2条の「特定の個人を識別することができる水準」が、単なる正解率を超えて、認証を指すものとされている（ガイドライン通則編2-2、中間整理3頁の「我が国の現状等」の第1段落）。
しかしながら、(i)このような解釈は、個情法の目的（特に誤った情報・不完全な情報により誤った判断がなされないこと）に適合しない。例えば電話番号、メールアドレス、Cookie IDであっても、事業者はそれらによって本人一人ひとりに応じた対応をすることができ、そこに権利侵害リスクが存在する。そのため、「特定の」の文言が上記のような狭い意味での「特定の」（比喩的に言えばcertain
ではなくspecifiedな）個人の識別を要求していると解釈することは不合理な限定解釈であり、文字通りの識別で足りるとすべきである（第287回委員会議事録11頁最終段落以降の山本教授の意見、令和2年改正時の第105回委員会議事録18頁最終段落以降における高木主任研究員の意見、堀部政男ほか「個人情報保護法制のグローバルダイナミズム」情報ネットワーク・ローレビュー13巻1号157頁におけ

809

個人

る石井専門委員の発言参照。29WPのOpinion 4/2007も、識別性を、個人をdistinguishできるとか、single outできることと説明している。）。このことは、現在規制強化が検討されている生体データについても当てはまる。すなわち、EDPBのGuidelines 05/2022の2.2は、顔識別技術の利用態様には、認証（authentication）と識別（identification）があることを示し、それぞれにリスクがあることを示しているが、上記の解釈の下では、このうち後者が規制対象ではないことになってしまい（実際、中間整理3頁の「考え方」の第1文はそのことを示唆している。）、規制強化の意味が大幅に減殺されてしまう。
(ii)上記のような解釈は、沿革の観点からも適切ではない。すなわち、行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律においては、「特定の個人」に相当する文言は、「当該個人」とされていた。個情法（及び行政機関個情法）の検討過程で「特定の個人」に変更されたが、規制対象を狭める趣旨ではなかった（高木浩光「個人情報保護から個人データ保護へ ？民間部門と公的部門の規定統合に向けた検討（2）」情報法制研究2号88頁）。
さらに、(iii)個情委も、既に上記のような解釈を貫徹はしていない。すなわち、「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」31頁においては、「カメラにより顔画像を撮影し、当該顔画像から顔特徴データを抽出することは個人情報の取扱いに当たる」とされている。「特定の」を上記の意味に解釈した場合、そこに示されたデータベースの項目例について、識別性を認めることは困難なはずであり、ここでは識別性は文字通りの識別で足りると解されている（同文書で参考とされたEDPBのGuidelines 3/2019や、ICO・CNILの文書が上記の29WPのOpinion 4/2007
を前提としているからだと思われる。）。
以上のような現状は、「特定の」の解釈を改めることによっても是正することができるが、そもそも「特定の」には実質的な意味はないのであるから、疑義を避けるため、削除すべきである。

241 ページ

（意見）医薬品の研究開発等の利用目的におけるゲノムデータの利活用に関する規律の柔軟化を強く求める。
（理由）
製薬企業における研究開発等の活動においては、ゲノムデータを本人を識別する目的で利用することは無く、またゲノムデータ単体では本人到達性はほぼ無いに等しい。また、「特定の個人を識別することができる」とは、「社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物と情報との間に同一性を認めるに至ることができることをいう」（Q&A 1-1）。さらに、｢特定の個人を810

日本製薬団体連合会

識別することができるもの｣であるかの判断要素として、国会審議においては、①個人と情報との結び付きの程度（一意性等）②可変性の程度（情報が存在する期間や変更の容易さ等）③本人到達性が示され、これを総合判断するとされている。そのため、そもそもゲノムデータを個人識別符号とすること自体が疑問である。
日本においては、個人識別符号に該当するゲノムデータは、第三者提供の際には全部を削除しなければならず匿名化も仮名化もできないため、事実上製薬企業がこれを得るには同意が必要となり入手が困難である。
本来は、欧州のEuropean Health Data Space（EHDS）を参考に、医療分野の個人情報保護法の特別法を一刻も早く制定した上で、ゲノムデータを含む規律の国際整合が重要と考えるが、その実現までのつなぎとして早急な解釈の柔軟化（体細胞変異が個人識別符号に該当しないことの明確化や、一定程度の量のゲノムデータの仮名化・匿名化を可能とすること等）が必要である。
医薬品研究開発におけるゲノムデータの利活用ニーズは非常に大きい。現に米国において承認された医薬品のうち約3分の2はゲノムデータを研究段階から活用したものである。医薬品の研究開発等の促進の観点から、ゲノムデータに関する規律の在り方の柔軟化を強く求める。
（意見）「プロファイリング（本人に関する行動・関心等の情報を分析する処理）」が引き続きの検討課題になっているところ、中間整理においては特段の方向性は示されていないものと理解している。本人の行動・関心の分析は、例えば行動ターゲティング広告などにおいて広く利用されており、プロファイリングについての規律の導入は、既存実務に影響を与える可能性がある。そのため、事業者・関係団

811

AIガバナンス協会 体等幅広いステークホルダーと連携し、既に行われているリスク管理やガバナンスを含む実務実態を正確に把握した上で、本議論を進めていただきたい。
（理由）
既存実務に影響を及ぼし得る議論については、ステークホルダーとの緊密な議論の下でその影響範囲や影響度合いを図りつつ議論を進める必要があるところ、中間整理段階では本論点の議論状況が不透
明である。
（御意見）

812

一般社団法人日本 不適正な利用が発生している原因の一つに「個人情報」「個人データ」「個人関連情報」「保有個人データ」「匿名加工情報」「仮名加工情報」等、複数の定義や取扱の違いの乱立による混乱があるよIT団体連盟うに思われるため、「個人データ」等の定義を整理、明確化すべきである。また、「個人関連情報」については電気通信事業法におけるいわゆる外部送信規律における規律と重複していることから規律を一本化するなどの整理がなされるべきである。
意見内容：「プライバシー強化技術（「PETs」：Privacy Enhancing Technologies）の位置づけの整理」とあるが、明確な位置づけがないことで、ユースケースごとの弁護士確認や貴委員会への照会が必要となり、活用のハードルとなっているのではないか。安心・安全なデータ利活用の推進に向け、具体的な基準の策定や法的な位置づけ（個人情報保護法の義務の適用除外となる場合の整理）を明確化していただきたい。

813

一般社団法人国銀行協会

全 意見内容：金融機関の海外送金時における送金者への情報提供義務の在り方について、海外送金という契約の履行のために実施される業務であることから、以下の措置を検討いただきたい。
１ 経由銀行の有無や経由銀行については銀行側も容易には把握できないため、海外送金手続の際に行っている情報提供（全銀協作成の案内チラシの手交（以下「チラシの手交」という））自体を省略できる運用としていただきたい。
（ただし、お客さまに質問された際、全銀協および貴委員会のHPを案内できる体制を銀行側で整備）
２ 上記「１」が難しい場合、海外送金手続時にチラシの手交を原則としつつ、例外的に繰り返し取引を行っているなどチラシの手交済であることが明白なお客様に対しては省略できる扱いとしていただきたい。
以上の理由で814

個人

その他のプロファイリングについて

個人の情報と云うものは

誰でも喉から手が出るほど欲しいものです。

マイナ保険証から医療情報が漏洩することはないのか？マイナ保険証を持ってる人が優先されてより良い医療がうけられるなど「法の下の平等」あるのか？個人の権利利益、人権が侵害されないよう、
慎重な議論をお願い致します。

242 ページ

意見・質問等:「金融機関の海外送金時における送金者への情報提供義務の在り方……ステークホルダーの意見やパブリック・コメント等の結果を踏まえ、引き続き検討する。」とのことだが、この事例のみならず、越境移転規制に基づく情報提供義務については、本人の権利利益の保護という観点からは過度に広範囲な規制となっているため、海外送金のみならず、幅広く再検討をして、同規制の情報提供義務の適用を合理的範囲に限定し、それをガイドラインまたはＱＡに明記していただきたい。
815

日本証券業協会
・例１

名刺に記載されているレベルのビジネスコンタクト情報のみ（氏名、肩書、会社電話番号、会社メールアドレス、会社FAX番号など）を外国の第三者に提供する場合

・例２

海外機関投資家と上場企業や外部専門家講師とのIRミーティング、セミナーをアレンジするにあたり、スピーカーの個人情報（所属機関、役職名、氏名）を海外機関投資家へのご案内・集客の目的で提供する場合

243 ページ

その他
No.

提出者

816

匿名

提出意見
個人情報保護法の検討においては内容変更や解釈の通達において、社会通念上激震をもたらす内容であるため、慎重に検討願い度。
現在の日本のインターネット社会は、スラム街の状態に陥っております。
情報漏えいのセキュリティがあまりにも酷い状態に陥っております。
以下が、現在、確認している状態です。
・オンラインゲームのID番号、ユーザー名、キャラクター名、SNSのID番号、ユーザー名を、インターネット掲示板(2ちゃんねる、5ちゃんねる)等に、書き込み、晒して報告している者がいる。
陰口、中傷している者がいる。難癖をつけている者がいる。
・インターネット掲示板(2ちゃんねる、5ちゃんねる)に、「SNS観察」という項目あり。
・SNS、ユーチューブにオンラインゲームのプレイ実況を投稿している利用者が、他の利用者のID番号、ユーザー名、キャラクター名に、ぼかし、黒塗りをせず、モザイクをせずに投稿している状態。

817

匿名

・ブログの投稿者の名前を、インターネット掲示板(2ちゃんねる、5ちゃんねる)等に、書き込み、晒して報告している者がいる。陰口、中傷している者がいる。難癖をつけている者がいる。
・公共の場所で、SNS、ユーチューブに動画、画像を投稿する際、多くの者が、個人情報保護の努力に努めておらず、ぼかし、黒塗り、モザイクの加工をしてない状態で、SNS、ユーチューブに動画、画像を投稿している。
・SNS、ユーチューブを利用している学生、若年者の方々は、個人情報漏えいの恐ろしさを熟知してない状態。
・ティックトックのデータが、某国へ流出している状態。
以上ですが、この状態を改善する為には、個人情報保護法を徹底的に見直し、新しいルールを考える必要があります。
オンラインゲームの運営者、SNSの運営者、動画投稿サービスの運営者、掲示板の運営者と、個人情報漏えい防止をする為の会議が必要です。
「個人情報を保護する為に、オンラインゲームのID番号、ユーザー名、キャラクター名、SNSのID番号、ユーザー名の書き込みがある投稿があったら、削除をする」というルールが必要です。
個人情報保護法

いわゆる３年ごと見直しに係る検討の中間整理には、個人情報保護法等に関する極めて重要な施策等が、詳細に記載されており、個人情報保護に関する、日本人の総意で推し進めていってほしい。しかし、「個人情報保護法相談ダイヤル）による個人情報保護制度等に関する相談や苦情等の受付・対応」については、残念ながら、まったく個人情報の案件を聴こうともしない相談員がおり、個人情報の専門家であるべき立場ながら、個人上保護について真摯に話をしている途中で、電話をブチ切る、女性相談員がおり、また、「相談員は、匿名が認めらているんですううーー」と嬉しそうに話す男性相談員。このダイヤルは、まったく仕事をしていない。すべて音声記録も有ります。政策評価もでたらめで、何の反応も無い。
個人情報保護法相談ダイヤル（民間部門）の相談員賃金計／相談件数
令和3年度 JPY 26,614,000円 / 21,237件
相談 1件に対し、JPY 1,253円

1.3

1.25319018694%

相談員賃金の賃金の実数がいくらなのか、実数を資料から、引用し、示してください。なぜ相談件数を、JPY 千円単位で割るのか、その理由を、資料から、引用し、示してください。それは、コストとして、過大なのか、適正なのか、その理由を、資料から、引用し、示してください。
818

匿名「個人情報保護法相談ダイヤル（民間部門）」の利用満度

97.6%

相談件数に対し、相談者が相談員の説明に納得したことを確認できた件数の割合「相談者が相談員の説明に納得したことを確認できた」とは、実際にどのように確認しているのか、実例を示して、お考えを示してください。統計学的な誤差を考えると、毎年98％ などという、100％を超えた事例もあるかのような、数値になっているが、それに関する疑義には、どのようにお考えか、示してください。
個人方法保護法の知識をまったく伝えず、消費生活センターに仕事を押し付け、話している途中で電話をブチ切った相談員に対する満足度は、どのようにして、評価しているのか。その実例と、理由を、資料から、引用し、示してください。
「個人情報保護法相談ダイヤル（民間部門）」の苦情あっせん解決率

89.6%

あっせんの申出件数に対し、あっせん成立と確認できた件数の割合「あっせんの申出件数に対し、あっせん成立と確認できた件数の割合」とは、実際にどのように確認しているのか、実例を示して、示してください。
現場に優秀な人材がいなければ、考え方が正しくとも、意味が有りません。無駄な相談員は、一切不要です。
819

個人

初めてパブコメをやりました、
この国に住む人々のためによろしくお願いします。
244 ページ

昨今スマホやネットの普及により、個人情報は簡単に手に入れる事ができたり、売買されたりしています。今日のNHKのあさイチで盗撮の犯罪についての特集がありました。学校や公共の場所などで盗撮、売買されていて、性別問わず誰もが加害者にも被害者にもなれる状態に子供を持つ親として恐怖感を覚えます。
盗撮した犯人はもちろんの事、サイト運営、管理会社、カメラはシャッター音を大きくする事を法律で義務付けたり、犯罪に繋がりそうな個人情報、猥褻画像を載せる事を厳罰化して、既にある画像は削除、性犯罪を野放しにした会社や学校、組織、人は重い罰になる、慰謝料や損害賠償金を払わないと逮捕される仕組みに法律を変えて下さい！！加害者に厳しく被害者は泣き寝入りをしなくて済むよ
うに、心の傷を癒すために、法律を作って下さい！！
820

匿名

被害者側からの削除申請に弁護士へのお金や削除までの時間、手間がかかるそうです。加害者が盗撮してサイトに載せたり閲覧するのは簡単にできるのに対し、被害者は大変な労力がかかる事はあまりにも理不尽過ぎます。法律の力で犯罪させない社会にする事が必要です。
今までは加害者の人権は守られて、被害者は顔も名前も露わされ蔑ろにされて泣き寝入りや、誹謗中傷されるような事件が多すぎました。被害者遺族もモザイクや仮名にして報道した方が良いと思います。遺族や関係者もまた、未来があり生活していかなければなりません。
何よりも一番防がなければいけないのは、加害者がろくに反省もせず再犯してしまう事です。そうさせないための法律を制定して下さい！！加害者より被害者の人権を守って下さい！！
加害者や加害者を野放しにする事への罪を厳しくして下さい！！これからの日本を少しでも良くするためによろしくお願いします！！！
【意見】
23団体にヒアリングを実施したようであるが、個人情報の利活用を推進しようという団体がほとんどを占め、消費者保護に関わる団体へのヒアリングがほぼ行われていない。ヒアリング先の偏りを是正

821

個人

した上で中間整理を作り直すべき。
【理由】
ヒアリングを行った団体に著しい偏りがある中で作られた本中間整理がステークホルダーの意見を十分に汲み取っているとは評価できないため。

822

個人

いわゆる3年ごと見直しの観点を洗い出す際には、今以上に諸外国の法制度との差分に焦点を当ててはどうか？

245 ページ1.「個人情報の保護に関する法律に係るＥＵ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」の撤廃
・欧州委員会は、ＧＤＰＲ第 45 条に基づき、日本が個人データについて十分な保護水準を確保していると決定したが、その一方で、ＥＵ域内から十分性認定により移転を受けた個人情報については、
高い水準の保護を確保するために、「補完的ルール」を策定していると当該ルール上にも述べられている。
・しかし、「ＥＵ域内から十分性認定により移転を受けた個人情報」と比較して、それに該当しない個人情報は、低い水準での保護で足りるという根拠は示されていない。
・今後、EUに限らない各国政府との協力の実施を考慮して、以下のように本ルールに定められた事項を全て、個人情報保護法に移すべきだと考える。
・要配慮個人情報（法第 2 条第 3 項関係）
性生活、性的指向又は労働組合員資格に関する情報については、法第 2 条第 3 項における要配慮個人情報に含める。
・利用目的の特定、利用目的による制限（法第 17 条第 1 項、法第 18 条第 1 項、法第 30条第 1 項・第 3 項関係）
株式会社シーピー
823

デザインコンサル
ティング

第三者から個人データの提供を受ける際は、規則で定めるところにより、当該第三者による当該個人データの取得の経緯等を確認し、記録しなければならないこととなっている（法第 30 条第 1 項・第3 項）ところに加えて、個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
同様に、個人データの提供を受けた他の個人情報取扱事業者から、当該個人データの提供を受ける場合も、当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
さらに、当該個人情報の利用に当たっては、記録されている利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することとする。
・仮名加工情報（法第 2 条第 5 項、法第 16 条第 5 項、法第 41 条関係）
仮名加工情報は、法第 41 条に基づき取り扱われることとする。加えて、当該仮名加工情報は統計目的のためにのみ取り扱われることとする。
この場合、統計目的とは、統計調査のため又はその他の統計結果を作成するためのあらゆる処理を意味し、それにより作成された統計結果は集計データであり、特定の個人に関する措置又は決定を裏付けるために利用してはならない。
・匿名加工情報（法第 2 条第 6 項、法第 43 条第 1 項・第 2 項関係）
加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。）を削除することにより、匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、法第 2 条第 6 項に定める匿名加工情報とみなすこととする。
（意見内容）
企業集団において、親会社の内部監査部門が行う、子会社を対象とした会計・業務監査に際し、個人情報を収集し、また当該監査対象会社から提供されることがあるが、これを「個人情報の保護に関する法律」第２７条第１項第１号に定める「法令に基づく場合」として明示的に定めることを要望します。
具体的には、個人情報保護委員会が公開されている、「『個人情報の保護に関する法律についてのガイドライン』 に関するＱ＆Ａ（以下「ガイドライン」と言います。）」のA１－６３に列記される
法令に、以下内容を追記いただきたいと考えております。
〇 会社法第３６２条第４項第６号に定める「業務の適正を確保するための体制」に基づく、親会社の内部監査部門の子会社に対する調査への対応（会社法第３９９条の１３第１項第１号ハ及び第４１６条第１項第１号ホも同様。）

824

個人

（理由）
大会社である取締役会設置会社等の内部監査部門は、会社法が制定を要請する「内部統制システムの基本方針」に基づき設置され、会計監査人、監査役（会）との連携による三様監査の一翼として、
企業集団全体を監査対象として業務を行っております。また、２０２１年６月のコーポレートガバナンス・コードの改訂においても、内部監査部門の活用や、取締役会・監査役会に直接報告する仕組みの整備等が盛り込まれており、近年その役割の重要度はさらに増しております。
一方で、監査業務に関する個人情報の第三者提供の除外要件（法令に基づく場合）については、ガイドライン上、監査役監査と会計監査人監査について定めがあるのみで、親会社の内部監査部門に関する定めがありません。親会社内部監査部門が企業集団内部で行う監査業務が除外要件に該当しないとなると、例えば親会社内部監査部門が子会社監査において休日・労働時間管理状況の分析のために勤怠データ等を受け取るためには、子会社従業員全員の同意を得ることが必要となり、不合理です。
三様監査を構成する監査主体のうち、二者については除外要件に該当するとガイドラインに明示的な定めがあり、内部監査部門については特段の定めがないという現状では、内部監査部門については除外要件の適用がないとの解釈が生じうる疑念もあり、手当をお願いいたします。

246 ページ（意見内容）金融商品取引法第２４条第１項の規定による有価証券報告書を提出しなければならない会社については、同法第２４条の４の４に基づき、事業年度ごとに、内部統制報告書を有価証券報告書と併せて内閣総理大臣に提出しなければならないとされているが、本件に係る業務に関しても、「個人情報の保護に関する法律」第２７条第１項第１号に定める「法令に基づく場合」として明示的に定めることを要望します。
具体的には、個人情報保護委員会が公開されている、「『個人情報の保護に関する法律についてのガイドライン』 に関するＱ＆Ａ（以下「ガイドライン」と言います。）」のA１－６３に列記される
法令に、以下内容を追記いただきたいと考えております。
〇 金融商品取引法第２４条の４の４に定める「財務計算に関する書類その他の情報の適正性を確保するための体制の評価」として、内閣総理大臣に提出する内部統制報告書の作成に係る親会社の内部監査部門の子会社に対する調査への対応
825

個人

（理由）
金融商品取引法第２４条第１項の規定により有価証券報告書を提出しなければならない会社は、事業年度ごとに、当該会社の属する企業集団及び当該会社に係る財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（内部統制報告書）を、有価証券報告書と併せて内閣総理大臣に提出しなければなりませんが、当該評価は、会計監査人が直接行うものではなく、経営者が行うこととされており、実務上は内部監査部門が行っております。また、２０２３年４月の内部統制基準・実施基準の改定
では、ＩＴを利用した内部統制について重要性が増している旨を言及されておりますが、例えば、子会社の業務システムについて、管理権限等、アカウント・ＩＤの管理状況について、退職者や休職者の他、無権限者が含まれていないか等を親会社の内部監査部門が確認する場合に、子会社従業員全員の同意であるとは想定されていないと思われます。
この点につき、監査業務に関する個人情報の第三者提供の除外要件（法令に基づく場合）については、ガイドライン上、監査役監査と会計監査人監査について定めがあるのみで、親会社の内部監査部
門に関する定めがありませんので、会社法第３６２条第４項第６号と同様に手当をお願いいたします。
１ 個人の権利利益のより実質的な保護の在り方 情報通信技術等の高度化に伴い、大量の個人情報を取り扱うビジネス・サービス等が生まれる一方で、プライバシーを含む個人の権利利益が侵害されるリスクが高まっている。 破産者等情報のインターネット掲載事案や、犯罪者グループ等に名簿を提供する悪質な「名簿屋」事案等、個人情報が不適正に利用される事案も発生している。
とあるが、
1.個人情報が不適正に利用されているサービスが多数存在するが、規制の実態はどうなっているのか？
2.個人情報保護委員会に相談しても意味がないのではないか？
★「ネットの電話帳」について

826

個人

https://jpon.xyz/
たとえば、「ネットの電話帳」というウェブページがある。
この「ネットの電話帳」は悪用されるケースも散見される。ネットである個人が炎上した際、炎上した個人を嫌う人物たちが、個人の結び付けに確たる証拠がないのにさまざまな情報を継ぎ接ぎして特定個人であると言い張り、嫌がらせに活用される事例を何件か見たことがある。ー宅配便を着払いで送り付ける、出前寿司の偽注文を大量に行うなどである。
その際引き合いに出されたのが「ネットの電話帳」である。
私は、一等親の親族の個人情報が勝手に記載されていることを確認したので、２０２３年４月末に個人情報保護法相談ダイヤルに相談したが音沙汰がない。
このままでは様々な人が炎上しては「ネットの電話帳」を悪用した嫌がらせが多発するのではないかと懸念する。
ユーザーが何らかのサービスのアカウントを削除したら、速やかに登録した個人情報を削除するよう個人情報事業取扱事業者に義務付けるべきです。

827

匿名サービスを使ってないのにサイバー攻撃等で個人情報流失何て理不尽です。

247 ページ個人情報保有の有効期限について、真に検討いただきたく意見申し上げます。
現在の個人情報保護法では保有期限が設けられていないために、例えば会員を退会した後でも企業が利用すると言ってしまえば、個人情報を無期限に保有できることになります。
（現に8年前に退会したサービスの個人情報が未だに保有されたままでした）
また、消去を依頼することは可能ですが、そのために住民票を取得したり、身分証明書の写しを郵送したりせねばならず、何社分も依頼するとなると負担が大きいことから、個人情報が削除したくても828

匿名できない状況が発生します。
そこで、サービスの利用が一定期間無い場合や、退会して一定期間が経過した場合には個人情報を消去しなければならないという制限をご検討いただきたいです。
もちろんすぐに消去することは企業に負担かかり過ぎるとは思いますので、数年の猶予は必要かと思いますが、企業が個人情報を永遠に保有できる今の状況では個人情報保護にはなりません。
是非、前向きにご検討いただけますと幸いです。
（1）法律の名称変更
個人情報保護法は、個人情報を保護することが目的ではなく、利活用を図ったうえで個人の権利利益を保護するための法なので、目的に合わせた法律の名称にすべきではないか。
現時点では、「個人情報保護法」のため、個人情報を保護するために、個人情報の分類わけとかその個人情報の保護の方法が主に議論されているように思える。
例えば、中間整理の「第2

829

個人

個別検討事項」の「1.個人の権利利益のより実質的な保護の在り方」の（1）の「ア 要保護性の高い個人情報の取扱いについて（生体データ）」において、3つの事例が示されている。この考え方に「通常の個人情報と比較して個人の権利利益に与える影響が大きく」と個人情報の保護ではなく、個人の権利利益への影響に言及している。しかし、どのように権利利益へ影響するかの言及はされていない。このため、読者によっては個人情報の保護が主題のようにとらえられるおそれがある。さらに、「個人の権利利益の保護という観点からは、生体データの利用について、本人がより直接的に関与できる必要がある。」と記載されているが、なぜ、本院が関与できないと個人の権利利益が保護されないのかまでは言及されていない。
まずは、法律の名称を個人情報を保護するを変更したほうがいいのでは。
例えば、個人情報適正利用法、個人情報利活用と権利利益保護法などどうでしょうか。

830

個人

(4) パブコメ文書は、コメントしやすいように行番号をつけたり、電子的な可読性を確保するために、PDFなら、しおり付きPDFで公開するなどの配慮をしてほしい。
IPアドレスの取り扱いに関しての意見です。
背景
私の友人はP2Pファイル共有ソフトを使用したとしてISPより個人情報の開示請求受けました。しかし全くの事実無根であり、間違えもしくはネットワークを乗っ取られた等の被害者である可能性があるにも関わらず個人情報の開示が認められました。また同様にまったく心当たりがないにも関わらず開示請求を受けている利用者が他にもSNS等で相当数散見されるように思えます。この様な状況になった場合、利用者側には全く弁明の余地はなく、基本的にはISP側は請求者に対して個人情報を開示することになります。これにより示談金等を目的とした組織に対して、住所、名前等の機密情報を明かすことになり悪用される可能性もあります。この様に個人情報開示に関する手続きが簡易化したことにより一部の示談金を目当てにした組織が無闇矢鱈にインターネット利用者の個人情報を取得することが可能となり、自宅のネットワークを不正利用されていた場合には個人には全く罪が無いにも関わらず多額の賠償金を求められることになります。この様な方法が罷り通ってしまうのであればユーザー
観点からは安心してインターネットを利用することは不可能です。

831

匿名

意見
上記の背景で記述した様な問題を防ぎ、ユーザーが安心してインターネットを使用するためには、IPアドレスと個人の紐付けに対して考え方を改める必要性が急務だと考えます。現に海外諸国では同様のP2Pファイル共有ソフトによる個人情報の開示に対してIPアドレスと個人が必ずしも紐づくとは限らないという決定がなされているケースもある等、冤罪による被害を防ぐ試みが見られます。これは私の主観であり、定量的根拠はありませんが無関係であることが明確だと主張するユーザーが相当数いる状況でIPアドレスが完全に個人と一致するというのはあまりにも飛躍した考え方だと言えます。
現にIT大企業においても大規模な情報漏洩が多々発生するなど、情報技術・そしてその脆弱性は日々目まぐるしく変化しています。このセキュリティの対応を各家庭で対応し、仮に抜け穴がありネット
ワークを乗っ取られP2P通信が行われれば、インターネットの契約者が罪に問われるというのは決してあってはならないことだと考えられます。
まとめ
発信者情報開示の簡易化に伴い複数の示談金を目的とした業者が無秩序に個人情報を取得することが可能になっている。そしてそこには利用者の意思は実質反映されることはなく、個人情報保護の観点で大きな問題だと言える。サービス提供者を通じた個人情報の第三者への提供だけでなく、こういった現行の法律を悪用した問題に対する対策に関しても議論をしていただきたいです。

248 ページ個人情報保護法が、個人情報取扱業者という民間だけを対象にしているために、隔靴掻痒の感を免れない。
最も大量に個人情報を取得・保管しているのは行政である。
832

個人

本人からの「届け出」などによって取得されたものだけでない。
公安警察は、抽象的な「犯罪の予防」などの事由で、思想信条や医療情報まで含めたセンシティブな情報を、密行的に取得している（いくつか表に出たものがある）。
個人情報は、本人のものであって、明示的な本人の同意がなければ取得も利用もあってはならないものである、という大原則を明確にし、公的機関に対しても、厳格な個人情報保護の法律で規律する抜本的な法改正がなされるべきである。
個人情報と要配慮個人情報は個人情報保護法で、マイナンバーを含む特定個人情報はマイナンバー法で規定をされている。今般、個人情報保護法の改正に伴い、個人情報と特定個人情報の安全管理措置には大きな差がない状況となっているが、情報漏洩時の社会的インパクト（報道における扱いの大きさ等）の差異からマイナンバーを含む特定個人情報に対して過大な安全管理措置を行っている自治体

833

匿名

や企業が多い。このことがデジタル先進国と比較し日本において官民でのデータ利活用が進まない原因の１つと考えられる。
このため、個人情報保護法の見直し検討においては、見直し範囲にマイナンバー法も含めて一体的に検討を行い、特定個人情報に係る過大な安全管理措置を防ぐ対策を盛り込むことで、官民でのデータ利活用を促すことが必要と考える。
（意見）
個人情報取扱事業者におけるクラウドサービスの利用が拡大することに伴い、以下２つの課題が発生しているため、あわせて検討をお願いいたします。
(1)クラウドサービスのシステムによる個人データの処理と、提供の該当性の明確化。
ガイドラインQ&A7-53には、「クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等」と書かれています。
しかし、当該外部事業者の従業者がサーバに保存された個人データを取り扱わない旨の規定がある一方で、当該クラウドサービスのシステムが個人データを処理しているとき、その処理がどんなものであっても「当該クラウドサービス提供事業者は個人データを取り扱わない（提供を受けていない）」と評価してよいかが曖昧であるため、明確化をお願いいたします。
(2)自ら果たすべき安全管理措置の内容の明確化。
834

株式会社ＷＯＷＯ ガイドラインQ&A7-54には、「クラウドサービスの利用が、法第 27 条の「提供」に該当しない場合、法第 25 条に基づく委託先の監督義務は課されませんが、クラウドサービスを利用する事業者は、
Ｗ

自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります。」と書かれています。
しかし、クラウドサービスを利用する事業者は、ガイドライン（通則編）「10（別添）講ずべき安全管理措置の内容」に規定された物理的安全管理措置や技術的安全管理措置を幅広く講じることはできず、クラウドサービス提供事業者に多くの安全管理措置を委ねざるを得ません。そのため、「自ら果たすべき安全管理措置」とは何かについて明確化をお願いいたします。
（理由）(1)について。
クラウドサービスのシステムが個人データを処理する場合の「提供」の該当性について曖昧な点があり、個人情報取扱事業者が、法27条1項の第三者提供や、法第27条5項１号の委託に該当するかどうかを適切に判断できず、業務に支障が生じるため。
(2)について。
「自ら果たすべき適切な安全管理措置」とは何かが曖昧であり、個人情報取扱事業者がどこまでの安全管理措置を行えば良いのか判断できず、業務に支障が生じるため。

249 ページ

○意見内容個人情報保護委員会のウェブサイトには40 ヶ国・地域の法制度情報を掲載頂いているが、定期確認及び法令遵守を確実にするため、これらの掲載情報を最新化して頂くようお願いします。
○理由
個人情報取扱事業者が外国で個人情報を取り扱ったりデータ移転を行う際には、当該国の個人情報保護に関する制度等を理解した上で、個人情報の安全管理に必要かつ適切な措置を施すことが求められている。さらに、データ主体から見て当該国の制度の存在及びその概要を理解できる状態に保つことが要求されている（法32 条1項、施行令10 条1 項）。しかし、各事業者が個々に同一の外国の法制度を調査、最新化することは効率的とは言えないため。

835

電子情報技術産業協会○意見内容
個人情報保護委員会には、Global CBPR（越境プライバシールール）への参加国・地域、参加企業を増やすとともに、当該国・地域においてCBPR を移転ツールとして活用するスキームを構築してもらえるよう働きかけをお願いします。具体的には、越境移転規制を導入している国・地域において、日本のガイドライン（外国にある第三者への提供編）と同様に、移転元や移転先がCBPR 認証を取得している場合には越境移転を可能とするよう働きかけをお願いします。
○理由
海外では、日本と同様、個人情報保護法令において個人データ越境移転を規制する国・地域（EU、UK、中国、韓国、台湾、シンガポール、タイ、フィリピン、マレーシア、インドネシア、ベトナム、
オーストラリア、ロシア、カナダ、メキシコ、ブラジル等）が増加している。国・地域ごとに異なるデータ越境移転規制に従わざるをえないことにより、個人情報取扱事業者に多大な負荷が発生し、国際競争力低下などにも影響が生じかねない。我が国がリーダシップを取り、個人情報保護の領域において関連の基準や認証制度をグローバルのレベルで統一していくことは、これらの国々からのデータ移転を十分な保護レベルを確保しながらスムーズに行うことを可能とし、DFFT の実現と、それに紐づく我が国の競争力の維持・向上につながると考えるため。
顔識別防犯カメラに誤登録された被害者です。酷い人権侵害を受けながらよく生きてきたと思う。でも、やっと登録削除や裁判ができるかもしれないという希望が見えてきた。今も引きこもりではあるが、あの時自殺しなくてよかった。
希望する事・まずは、誤登録あるいは冤罪、恣意的な登録がたくさん起きている事を認める事。
・被害者相談窓口の設置、個人情報保護委員会は事業者寄りなので、それを監視できる被害者(個人)寄りの機関の設置。
・登録する側の氏名、理由、不審な行動をした映像を提出の上での本人同意。

836

匿名

・攻める防犯という推定有罪の考えで、根拠のない嫌がらせ防犯の禁止。
・一般人が一般人を、怪しいという思いだけで勝手に登録し、犯罪者に仕立て上げ
全国あらゆる施設で、楽しそうに仲間とピースし合ったり、カップルや夫婦役を演じなが追いかけまわしたり、睨んだりぶつかったり、優越感に浸りながら大勢でリレーのように監視して、世界でも類をみない人権侵害だと思うので、●●の問題の様に国連に報告し、BBCに取材を要望したい。
・裁判によって、今まで被った被害や損害を補償してもらいたい。登録した人がわ・登録した側(店舗、人)は重い懲罰規定。これが無い為に安易に登録できた。今まで

かる場合その人個人を相手に裁判を起こせる権利の取得。
やってきた事が犯罪なので、罪に問えるとか。

事業者側が萎縮するとか意見されている様だか、私達被害者はずっと萎縮して生きてきた。罪を犯した事もないのに、あらゆる場面で犯罪者として扱われ監視される絶望をおわかりいただけるでしょうか。もう終わりにして下さい。
・提供元基準について
個人情報の該当性について、提供元基準が採用されており、弊社においても、提供元基準に基づいた対応を行っている
837

匿名ただ、提供元基準を採用した場合に個人情報保護法の主旨にそぐわないケースがあると考える。
たとえば、事業者側で契約ごとに付与している契約番号が流失した場合に、提供元基準に基づき判断をすれば、漏えいとなるが、契約番号単体では、漏えい元事業者以外が個人を特定するのは不可能であり、実態として個人の権利利益を害するおそれは限りなく低いと考える。
このようなケースについては、提供元基準の例外に当たる等、一定の整理等のご検討をお願いしたい。

250 ページ・クラウドサービスの利用について838

匿名クラウドサービスの利用において個人データを取り扱わないとする（クラウド例外）ための、標準的な契約条項の記載例や、適切なアクセス制御の例を具体的にガイドライン等で示していただきたい。また、現状、個人情報保護委員会から展開されているQA等をもとに業務構築等を行っているため、仮に追加の条件等を付加されるような検討をされているのであれば、実務上の影響についても考慮いただき、慎重なご検討をお願いしたい。
日本は他国と比べても法律が緩いにも関わらずデジタル化が進んでいるようには思えません。
むしろルールが曖昧だからこそ何にどのような風に使われるのかわからずに一般人が個人情報を提供することを躊躇っているのではないでしょうか。

839

匿名

意思表示のできる成人はともかく決定を自分で判断することが難しい未成年や若年層に対する個人情報収集はもっと規則が厳しくあるべきだと思います。
業界側はデジタル化が萎縮するというという言い分ですが世界基準に合わせたほうが他国ですでに行われている規制を参考にしつつ国内のルール作りをしたほうがいいのではないでしょうか。
昨今の個人情報の取り扱いに関わる事件等を見てもガイドライン程度ではIT企業に好き放題される一方なのではっきりとした規制化を個人としては望みます。
●●社の営業機密が流失し、その中の社員の個人情報をマスコミが不正に取得し社員の自宅へ取材を申し込むような個人の平穏を侵害する事件がありました。
https://biz-journal.jp/company/post_382389.html

840

個人

この件は報道機関が取材をするという段階でとどまっていますが、YouTubeなどの個人で開くことのできるメディアがある以上、迷惑系Youtuberなどが自身もメディアであるとして同様の行動を起こす
可能性は十分にあります。
こうした行動は本来は個人情報の保護に関する法律第19条により守られているはずなのですが同第57条の適用によりメディアであれば誰でも個人の静謐を侵すことが出来るような状況になっています。
そのため同57条には個人情報の相手を不当に害するような運用の仕方を制限するような但し書きが必要だと考えています。

841

匿名

もっと罰則を含めて強化して下さい。とくにマスコミの個人情報軽視主義は国民を危険に晒してしています。

842

匿名

個人情報保護よりも公益が優先されることなどあってはならないことです251 ページ

生成AIについては著作権の問題もありますが、盗撮が横行する本邦では顔面認証等の際に他人に使用される危険、SNS等でのなりすましに利用され採用に影響が発生したり犯罪の責任転嫁等の危険があります。
なりすましによる危険の件は既に事件になっていたと思われます。
現状野放しですので、早急に他人が使用できないようにする規制を設けるべきです。
法がなければ何をしてもいいと考える人間を放置しては公共の安全は確保出来ません。
盗撮の画像も著作権の関係で簡単に削除できないとか。
盗撮画像が保護されるのはおかしいです。
本人に優先権を付与させるようにして下さい。
鉄道やコンビニで顔認証を使えるようにしようという動きがあるようですが、本邦では危険しかありません。
盗撮が横行し、倫理観も乏しいからです。
843

匿名

本人でも自分の情報に触れられない場合があるようですが、そこも是正して欲しいです。
本人にも感知できない個人情報が存在することはおかしいです。
それから思想の自由に関する個人情報については、本邦では非常に軽視されています。
デモをテロと同列に並べる議員がいる国ですので、思想信条の自由についても個人情報に属するものとして勘違いした議員や執行当局の教育を実施して下さい。
犯罪被害者の情報が加害者に提示されていると言える現状についても是正して下さい。
加害者が被害者に復讐することを阻止する為にもみだりに情報を提示しないで下さい。
個人情報を集約するマイナンバーカードは危険です。
健康情報をビッグデータ扱いするのは止めて下さい。
個人は国の為の存在ではなく、国が個人の為に存在するのです。
（意見）
２０２４年１月３１日個人情報保護委員会資料２の１０ページに「行政調査や行政指導、公表といった権限行使の基準や手続きを透明化すべき」、２０２４年４月２４日個人情報保護委員会資料１の８ページに「個情委の不透明な判断基準によって監督権限が行使されることで、事業者のブランドイメージが毀損されるおそれ」という意見があるが、この点について今回の資料で触れられていないのは

844

匿名

意図的なもの？
（理由）
有名企業をねらって監督権限を公表しているとおもいました。中小も含めてきちんと公表しなければ不公平

個人情報保護法は公表できる場合が「その命令を受けた個人情報取扱事業者等がその命令に違反したとき」しか定めていないのに公表してるのでしょうか？
・昨今の犯罪被害者等の個人情報をメディアに公開するかはメディア製作者による判断が大きく、当人らの拒否を無視して個人情報が公開されていることがある。また、現状の取材等において明確な規845

匿名律は会社によるのか、取材の対応者が器物破損、情報の改窮の被害を訴える事案を聞く。こういったメディアに対して情報そのものの取り扱いについて法令等法的拘束力を持つもので対応できるようにしてほしい。
個人情報を現在の政府に預けるには法整備やセキュリティなど不安しかありません。

846

匿名

847

匿名

848

匿名

日本のデジタル関連はかなり低いです。まずはデジタルセキュリティの向上をしてください。そして法整備を抜け穴なく整えてください。
全て完備してから個人データの利用を検討してください。政府が未熟である以上、時期尚早です
どうしてもすごく嫌です。
●●の大規模漏洩以降調べ始めましたが、週に数万人規模の情報漏洩が起こっておりその原因、フォロー、再発防止に至っては一般人には全く聞き及ぶことがありません。
防ぐ実務、能力が無防備のままでは法は機能しません。
見直すべきは実態と脆弱な国内体制です。

252 ページ企業や個人などのやりとりにおいて、個別のやりとりに対して個人情報が保護される者と保護する者を明瞭に記録するように強く広告するなど、個人情報を扱っているという質感を持つことができる記録方式を示してほしい。また、個人情報の保管に際して、一般企業等においては、個人を識別できない形での保存のみを採用し、生データの漏洩はさせないようにしてほしい。このことを、保存方法の例を含めて広報してほしい。
国においてもオプトインを採用してください。本人の預かり知らぬところで情報が転がされ過ぎです。個人情報を持つ者の承認は、その人が個人であることの証左です。情報の広報が不十分な現状では、オプトアウトは個人の意思を無視して進めることができる悪質な手段です。
個人情報というよりは、情報の取得についてですが、Xにおいて投稿がAIの学習に使われるアップデートがありました。しかし、学習に利用される設定があらかじめオンになっています。オプトアウト
方式です。
SNSを利用する立場としては方針に沿うよう努めますが、本来投稿内容の権利や責任は投稿者にあります。しかし、それを無視して利益を最大化するためにオプトアウトを採用しています。
個人情報保護に対しても、情報の利用が適切になされなければ、保護が謳い文句になってしまいます。「取得、保管、利用、共有」に対して情報の変換方式を毎年見直し発表する機会を(ほぼ)義務化
し、かつ、国や行政におかれましては「取得、保管、利用、共有」のやり方を調べられる場所を広報するなど、実践にみあった強力な方法を選んでください。知識が浸透しないうちに発動することが多いと感じます。
広報においては、メディアに(名実ともに強制しないで)お願いする形もありだと思います。予め、テレビなら動画、文字媒体ならスクリプトなど不可変なものを用意し、メディアを通じ改変なし報酬なしで広報するとか。現状は正式な広報をリンクなどで示し、メディアが見解を示すものになっています。しかし、ご存知の通りメディアの信用は非常に低いです。(言葉遣いは悪いですが)どうせ一次資料を確認しないと誤解を生むなら、始めから一次資料を広報するのはどうですか。メディアに一次情報の利用方法や著作権や適切な参照方法を教える良い機会になると思います。
行政では、正式な資料とともにわかりやすくまとめた資料を日頃から用意していると思いますが、我々(私)に届く情報はいつも簡単な資料をさらに簡単にまとめたもので、「詳しくは調べて」が通常です。ただ、調べるのは正直面倒です。キーワードを示されることがないので、何を検索ワードにしてどのサイトに辿り着くべきか毎回考えないといけません。それなら、「さらに簡単にまとめたもの」
849

匿名を見る時間で簡単にまとめた資料が確認できるように仕組んでほしいです。
もう一度言いますが、一次情報が届くことはごく稀です。広報のやり方を考え直してください。SNSやメディアでも一次情報相当のものが届くようにしてください。
情報は漏れるものという認識ではいますが、漏れても利用されない方法があることも知っています。
また、ログインなどの認証に際して、こちら側にのみ認証を押し付ける現状を変えてください。相手側(クレカやアカウント)が個人情報の取引をしている正式な相手であるとこちらも認証できる仕組みを取り入れるように強く広報してください。偽の入力画面だと気づければ、個人情報を入力しないはずです。現状では、認識はどうであれ、積極的に漏洩する仕組みになっています。
銀行は窓口やATMなど物理媒体が相手側の認証を担っていますが、ネット上には物理媒体はないため、それ相応の認証機構が必要です。
相手側が正式な相手だとわかる認証の仕組みがありますので、それに変えるよう強く促してください。これは個人ではできないことです。個人情報保護がすでに整っているシステムがある場合には、導入はさして難しくないはずです。よろしくお願いいたします。
個人情報と同等なもので著作権の権利者についてです。著作物がAI学習に無断利用され、これをもとにした二次著作物が溢れてきました。著作物や製作者を個人情報相当として扱えないでしょうか。二次利用に際して積極的なオプトイン方式を行う手段はないものでしょうか。
関連性は低いかもしれませんが、情報を保護するという観点で著作物に応用できないでしょうか。
個人で自身の著作を守れないほど規模が大きくなっています。個人情報同様規定側からの行動が必須です。
法律関連はわからないので割愛します。
個人情報とともに個人情報の周縁や周辺との取り組みを強く期待します。個人情報保護のみに終始することがないように努努見逃さず気配りなさいませ。
二の舞での狂喜乱舞は何度も見るものではありません。

850

匿名

個人情報や肖像を自分の手の離れたところでおもちゃにされるのは不快だし不安しかありません。絶対に反対です。

253 ページ

昨今、民間企業などでも個人情報の取り扱いには厳重に注意している中でも流出している事案があり（●●など）可逆的に入力した情報にアクセスできる、こと画像生成ＡＩなどの出力できるシステム
851

匿名に対しては利用すべきではない、また出力でない分析分野のＡＩなどでもオプトイン制にする必要があると考えます（口座管理法においてのマイナンバー取り扱いのように）
そして情報収集の際にはどのような目的で運用されるものであるかを整理し、広報などで周知するべきと考えます。

852

個人

853

個人

854

匿名

全体としてはEUで施行されているGDPRと同程度の法令・罰則の施行を求めたい。
EUやブラジル、ナイジェリア等でMeta社によるユーザーデータ収集計画を停止する命令や罰金命令が出る、Microsoftがユーザーの承諾を得ずonedriveを勝手に有効化するなど、最近デジタルプラット
フォーム事業者の問題行動が見られるようになっており、特にこの分野の法規制が必要。
他人に勝手に使用される用な法案を作らないでください。確認必須です。
他国でつくられたモノを活用するのは意味が無いです。
守る為に力を注いでください。
４ その他

855

個人

・社会ランク付け、顔収集等の公的機関以外のＡＩ使用は欧州の自然人に対して行えばハイリスク分類に入るため、来日した人がいる状況下て使えるのか確認は必要である。
他国の個人情報を収集しているという評価がされる事も考えなくてはいけない。

856

匿名

857

匿名

858

匿名

個人情報や個人の著作物、情報資源を他者が身勝手に扱うのは危険であり傲慢である。
その危険性を考慮して再考お願いします。
個人情報は、本当にその人だけではなく国の威信にも関わる問題です。昨今の生成AI問題を見ていないはずがないので、言及はしませんが。
日本国に住む、日本人の為の政治、法整備を心より望みます。
言い訳はいりません。それを仕事としてお金を稼いでいるのなら期待に応えて下さい。
個人情報の保護をより厳重にすることを求めます
詐欺師が有利にならないように

859

匿名

真面目に活動している人々がバカを見ないようによろしくお願いいたします。
個人情報に当たるデータの全ては、基本的にオプトインの形式を取る事が最重要だと考えます。

860

匿名

何故不特定多数の他者から「あなたのデータを勝手に使った。申請すれば使わない」と迫られなければならないのでしょうか。
スマートフォン等の普及により確かにそれらの連絡手段は増えましたが、それらを持たない人間はいったいどうやってそのような拒否の姿勢を示せばよいのでしょうか？

861

匿名

862

匿名

863

匿名

また

書類(案や意見募集要領）に関して 何に対しての意見が欲しいのか

イマイチ分かりませんでした（4）被害者側に負担があり過ぎる事と、詐欺のような騙しが多過ぎて専門知識が無いと太刀打ち出来ない状況が多過ぎます。もっと単純化、もしくは相談に気軽に届かせる事が出来る方法が必要だと思います。
反対。無理。

254 ページ

宗教団体による再勧誘を目的とした本人の同意のない個人情報等の取得等を防止し、本人の同意なく取得等された個人情報等の開示・利用停止・消去等の請求を可能とすること信仰を持つ親や家族のもとで育った宗教２世が自立し、一人暮らしを始める等して宗教団体から距離を置いた後も、宗教団体が本人の同意なく親や家族から本人の個人情報等を取得し、訪問・電話・手紙等の手段を用いて、宗教２世に宗教活動等の再開を求める等、いわゆる「再勧誘」に利用する事例が多数発生している。
幼少期から長期間にわたり、親や家族と一体となって宗教活動を強制等してきた宗教団体と無縁の生活を望む宗教２世も多いなか、突如宗教団体の幹部や信者等から訪問等され、宗教活動等の再開を求められる等した宗教２世の精神的苦痛は計り知れない。
また、宗教２世が宗教団体と一体になって宗教活動を強制等してきた親や家族から避難・自立する際も、新たな住所や連絡先等の個人情報等を、個人情報取扱事業者等の義務の適用を除外される宗教団体に取得されないよう、細心の注意を払わなければならない等、親や家族からの避難・自立における大きな障壁となっている。
相手方が宗教団体というだけで、本人の同意なく個人情報等を取得・利用されないという当然の権利すら主張することができず、本人の同意なく取得・利用された個人情報等の開示・利用停止・消去等の請求権すらない事実は、宗教２世のプライバシー権や平穏に生活する権利が著しく侵害されているものと指摘せざるを得ない。
個人情報保護法の見直しにあたっては、上記のような事例が多数発生している事実に鑑み、宗教団体によるいわゆる「再勧誘」を目的とした、本人の同意なく個人情報等を取得・利用する行為を防止したり、本人の同意なく取得等された個人情報等の開示・利用停止・消去等の請求を可能としたりする見直しを行うこと。
宗教団体が宗教２世の要配慮個人情報を含む個人情報等を継続して保有する場合、法定代理人、および一定年齢に達した本人による開示・利用停止・消去等の請求を可能とするとともに、宗教団体に対864

宗教２世問題ネッ
トワーク

し、漏えい等を防止するために必要かつ適切な措置等を義務付けること信仰を持つ親や家族のもとで育った宗教２世が宗教活動等から離れた後も、宗教団体が宗教２世の要配慮個人情報を含む個人情報等を継続して保有する事例が発生している。
一部の宗教団体では、宗教２世の意思に関わらず幼少期から信者として扱い、宗教活動等に参加させ、その一環として、親や家族、または本人から直接、本人の住所・氏名といった個人情報等のみならず、本人が宗教２世であるという事実や、宗教活動等に関する個人情報、性的思考・性的体験に関する個人情報、病歴に関する個人情報等、要配慮個人情報を含む個人情報等を取得し、宗教２世が宗教活動等から離れた後も、継続して保有している。
また、宗教団体は個人情報取扱事業者等の義務の適用を除外されているため、宗教２世の要配慮個人情報を含む個人情報等の保有にあたっては、漏えい等を防止するために必要かつ適切な措置を講じる義務がなく、漏えい等が発生した場合の個人情報保護委員会への報告および本人への通知義務すら発生しないことから、仮に漏えい等があったとしても、本人は被害を認識することすら難しいのが実態である。
相手方が宗教団体というだけで、ひとたび漏洩すれば本人に対する不当な差別、偏見その他の不利益が生じかねない要配慮個人情報を含む個人情報等の開示・利用停止・削除等の請求権すらなく、要配慮個人情報を含む個人情報等の漏えい等を防止するために必要かつ適切な措置等すら取られない事実は、宗教２世のプライバシー権や平穏に生活する権利が著しく侵害されているものと指摘せざるを得ない。
個人情報保護法の見直しにあたっては、上記のような事例が多数発生している事実に鑑み、宗教団体が宗教２世の要配慮個人情報を含む個人情報等を継続して保有する場合、法定代理人、および一定年齢に達した本人による開示・利用停止・消去等の請求を可能とする見直しを行うこと。
合わせて、宗教団体が宗教２世の要配慮個人情報を含む個人情報等を継続して保有する場合、漏えい等を防止するために必要かつ適切な措置を義務付けたり、漏えい等が発生した場合の個人情報保護委
員会への報告および本人への通知を義務付けたりする見直しを行うこと。
（意見）中間整理への取り組みにはさらなる専門性と継続性に基く安定性やリテラシー共有が個情委には必要ではないか（理由）
この分野は1980年のOECD8原則を基本に、世界的な議論に基く継続性・安定性・国際連携に基き進化してきた領域であり、属人的な専門性と継続性に基く信頼性向上は重要なファクターと思われる。

865

個人

今回の、●●及び●●にはその点から、本中間報告の今後について、大きく期待できると感じている。
また、個情委の専門的な知見に基づき、以下のような件についても期待している。
例1：専門性向上のための最低勤続期間の設定等明文化規定の検討
例2：人権とデータ保護に関する市民セクターを含むあらゆるセクターに対する共通的で専門的なリテラシー教育（修了者には一定の肩書とアップデートにつながるコミュニティへの参加資格を与える等も効果的ではないか）
例3：ガバメントアクセス（OECD）やセキュリティクリアランスと個人データ保護、トラストについての周知・理解への協力。

255 ページ

（意見）「プライバシーを含む個人の権利利益」についての検討の深化が必要ではないか
例1：基本的人権とプロファイリングの関係についての検討：人格的自律の表現としての自己決定に対して、高度な機械によるプロファイリングが与える影響と在り方
例2：サイバー空間上の私的空間についての検討：サイバー空間においても保護の対象となる私的空間の概念と、安心で自由な情報の発信や責任の在り方
866

個人

例3：「コミュニティ・プライバシー」の検討：非婚と独居が増加するなかで今後の「共助」の基盤となる可能性を持つ「コミュニティ（家族ではないが共通の価値観等に基き家族的な支援が行われる
ような集まり）」に関する「プライバシーの境界」としての在り方（理由）
あらゆる場所でデータが取得され、集積されたデータを高度に解析し、個人の行動を誘導するコンテンツがAIで作られる現在の現実社会において、個人情報保護法が利活用とともに一方で尊重するプラ
イバシー概念のアップデートに係る検討が「3年ごと見直し」の基盤として重要と考えられるため。
（意見）
個人情報の保護と、競争力のある技術進歩やサービス普及促進のバランスは非常に重要であり、個人情報保護法見直し中間整理において本件が個別検討事項として議論されていることについて、まずは感謝申し上げます。
現在の検討項目に加え、データの保管・蓄積に関しても運用基準を具体化することの重要性が高いと思い、ご意見させて頂きたく存じます。
＜現状＞『地方公共団体における情報セキュリティポリシーに関するガイドライン(R5年3月版』において、第3編 地方公共団体における情報セキュリティポリシー（解説）の第2章 情報セキュリティ対策基準（解説）、8.業務委託と外部サービスの利用、8.2. 外部サービスの利用（機密性２以上の情報を取り扱う場合）の3（実際はローマ数字）-150ページに次のような記載があります。
「外部サービス提供者のサービスの利用を通じて海外のデータセンター内に蓄積された地方公共団体の情報が、データセンターの設置されている国の法令により、日本の法令では認められていない場合であっても海外の当局による情報の差し押さえや解析が行われる可能性があるため、日本の法令の範囲内で運用できるデータセンターを選択する必要がある。」
この記載を受けて、個人情報を取扱う場合、日本の国内法が適用されない海外リージョンのデータセンター（サーバー）の利用は原則NGと見解されています。
一方で、生成AI等の高度で先進的な技術は、海外での先行事例が多い為、データセンターは海外に設置されているケースがあります。例えば、OpenAI社のChatGPTが挙げられ、このガイドラインに準じ

867

た場合、個人情報の取扱いがあれば、LLMによる代表的なサービスであるChatGPTの利用範囲は制限されます。（OpenAI社のサーバーは米国リージョンです）

ユニファ株式会社 ＜意見＞

しかし、上記ガイドラインに提示される要件は「海外のデータセンター内に蓄積された地方公共団体の情報」に関するものであり、日本の国内法が適用されない海外リージョンのデータセンターで個人情報を取り扱ったとしても「データが保管・蓄積されない」形であれば、このガイドラインに抵触しないとの解釈が可能です。
そこで、個人情報を取り扱う場合において、「データが保管・蓄積されない」形であれば、日本の国内法が適用されない海外リージョンのデータセンターの選択が制限されないことを、公的に解説・公表することで、地方公共団体や企業における生成AI等の外部サービスの適切な活用が推進されると考えます。
＜参考＞
OpenAI社のAPIの仕様は、「データは保管・蓄積がされない」仕組みや、入力したデータを学習させないようにできるオプトアウトという機能があります。
（理由）
特に地方公共団体においては、「個人情報データが保管・蓄積されない場合、海外リージョンのデータセンターを選択しても、ガイドラインに抵触しない」と判断することが難しい（判断材料が乏しい）状況をお伺いすることがあり、生成AIやデータ利活用等のビジネス活用が急拡大する中、ChatGPTなどの先端技術が十分に活用されない現状は損失が大きいと思い、保人情報と取り扱う場合のデー
タの保管・蓄積に関する事例等を公的な形で解説することは、個人情報の保護と競争力のある技術進歩やサービス普及促進に資すると考え、是非ご見解をお伺いしたくよろしくお願いいたします。
868

匿名

869

匿名

870

個人

普通に考えてありえなく無いですか？何をどう考えたらそうなるんです？
勝手に個人の情報使われたりするの嫌なんですけど
資料の中で個人情報に対して「利用」や「活用」等の言葉をあてていますが、本来個人情報は企業などによる何かしらの経済的利益のために利活用を考えるようなものではないはずです。
特に情報の悪用事例が頻発する生成AIが個人情報も狙っていることから、今は個人情報の保護をより厳格にすべき時と考えます。
より厳格でより実効的かつ親告に頼らない個人情報保護の方針による改正であれば、現状に苦しむ多くの国民が助かるかとも思います。
有識者ヒアリング 第289回、第290回の高木浩光氏、板倉陽一郎氏、鈴木正朝氏の提言がほとんど中間整理の中に盛り込まれていない。盛り込むべき。

256 ページ

第113回国会衆議院内閣委員会第7号昭和63年10月13日の議事録を見ても、当時の高島国務大臣は、個人情報保護法はデータ保護法であることを明確に発言している。
871

個人

個人情報保護法ではなく、個人データ保護法とすべき。
というのも、処理情報としての個人データの濫用することにより、不適切な選別・評価・決定から個人を守るのが法の目的であったはず。そういった意味で目的はデータプロテクトであったはず。
個人データの「取り扱い」について、

872

個人

「取り扱い」を 日本産業規格

JIS X 0001の「処理」に統一すべき。

というのも、「取り扱い」では、マニュアル処理を連想し、誤解しやすい。特に散在個人情報の取り扱い守備範囲にしただけの概念にとらわれやすい。重要なのは個人データの処理のはず、法の目的
は、個人データが不適切に（自動）処理され差別的な選定や評価がなされないように防止し、人の権利利益を保護することのはず。

873

匿名

874

匿名

個人情報使用の同意画面上で利用目的(生成AIに使用、ビッグデータに活用等)の明記を義務化する必要があります。
別文書だと見逃す人もいますので、ある程度の文字サイズで目立つように同意画面に明記して個人が確実に判断できるようにしていただきたいです。
個人情報の利用に規制を希望します。
こどもの肖像など個人情報、また個人の著作物を勝手に利用することは人間活動のすべてを障害し、毀損し得る危険な行為であると思います。
個人情報保護は名ばかりで既に個人情報も●●、●●、ランサムウェア等で既に盗られて居て何も体をなしていない。
今の生成AIは基盤からして無断で色々な知財を集めて、途上国の子供達が分けたデータセットで作られている。日本でもその仕事がある。公益性など自ら放棄したものだ。
生成AI画像をまた追加学習して行くと画像が壊れるなどの論文https://www.nature.com/articles/s41586-024-07566y?utm_medium=Social&utm_campaign=nature&utm_source=Twitter#Echobox=1721898113

875

匿名
国民の不安を取り除く事なく、議員の携帯も乗っ取られる現状。生成AIとAIとの区別が一般消費者からは区別が付かず、マイナ保険証と似ていて情報の流出や背乗りも出来ると見る。クラウドも侵入されやすいとも見ました。こういう現状で子供の情報のあり方なども語れるになく、行政省庁の基幹に使うには心許無く、別の安全性の高いものを省庁一丸で探すか元に戻した方が良いと思います。
●●の責任は免れる所になく、屈する事なく機能する事が個人情報保護委員会に課せられた当然の職務。無駄に税金を投入して意に沿う様に曲げるのではなく、医療情報は要配慮個人情報なので医療を学んだ者が取り扱う事が望ましい、無断学習禁止して生成AIは使わない事やAI表記、個人情報流出時の補償込みの国民目線の個人情報保護の改正が必要と思います。
とにかく個人情報や画像を使用・利用する側へリスク、学習の機会を増やすべきだと考えます。

876

匿名

本人の意思を確認せず写真をSNSにアップする・第三者に連絡先を教えるなど、身近な人達の挙動から考えても個人情報の重さを理解している人間がそもそも少ないと感じます。「悪用する人間が100%悪い」のは前提として、そういう人間がこの世界に存在する以上扱う側にも責任が伴うことを十分理解する必要がある・また学習の機会を設ける必要があると思います。
そしてそれを扱う重さを実感させるために、扱った際の利便性と同等の何かしらの手間（資格取得・講義への参加必須など）を作るべきだと考えます。

257 ページ

（意見）諸外国の一部では、個人情報などを国内に存在するサーバーに保管することなどを求める、いわゆるデータローカライゼーション規制が実施されている。個人情報保護法及び関連規則上、EUや英国との相互認証を維持している日本においてこのようなデータローカライゼーション規制やそれに類似する規制の導入は検討されておらず、それゆえ、中間整理でも取り上げていないものと理解しているが、同様の規制を本邦へ導入すべきではないと考える。
（理由）
877

このような規制は、事業者の国際展開を含む事業活動を制約するおそれがあり、また、個人情報の国内保存義務により、外国に所在する本人からの消去等の請求に事業者が対応できないおそれがあるた
一般社団法人国際 め。
銀行協会

（意見）
「個人情報保護法」における要配慮個人情報の規律と、「金融分野における個人情報保護に関するガイドライン」における機微情報の規律との間には、微妙な差異が有る。例えば、機微情報の定義では、労働組合への加盟、門地、本籍地、性生活が上乗せされている。

上乗せを廃し、一般法である個人情報保護法の“要配慮個人情報”の規律に統一していただきたい。

（理由）
統一することによって、事業者による取組みが円滑に進み、個人情報保護の実効性が上がるものと思料。
878

匿名

イラスト等の創作物は、生存する個人に関する情報ではないので、個人情報保護委員会や個人情報保護法は一切関与しないことが求められます。
現状の保護法よりも規制を緩める方向へ行くという事は世界的に見ても時代を逆行しており、個人のプライバシーの侵害に当たると考えます。個人から得た生体データを使用して福祉や医療、防災などに有効活用できる場合は、適正な判断のもと提供者の意思を尊重した上で利用されるべきです。しかし、企業や個人などが利益の為に勝手にデータを取得、売買することができる状態になるのは健全で

879

匿名

はないと思われます。全ての個人情報は保護されるべきであり、第三者によって無断で使用する事が出来るようになってしまうと、悪用する事例は増える事が懸念されます。規制の進んでいる国の傾向
として、個人情報を不正に利用し個人の名誉を毀損するような事例が多く、人間の善性に頼った治安維持が不可能であったことが挙げられます。日本人の多くはモラル的に他人の情報を悪用しようとはしないでしょうが、一部の犯罪者により個人情報の悪用がされているのは事実です。情報化の進む昨今、個人情報の保護は手厚くなるべきであり、緩めるのは不適切です。

880

匿名

国民一人一人の肖像や情報は、それぞれが許可した範囲内でしか使われるべきではありません。
●●の件で個人情報の漏洩がより身近なものとなりとても不安を感じております。

881

匿名

生成AIが関わっているのではないかとの噂や、それを使用することによりサイバー犯罪がとても増えている現状を顧みると、より慎重な使用や安全と分かる範囲まで段階的に規制をする必要があると感じておりますので、常に最悪の状態を想定して考えていただければと思います。

258 ページ

（意見）個人情報保護委員会のウェブサイトには 40 ヶ国の法規制情報を掲載いただいているが、定期確認及び法令遵守を確実にするため、これらの掲載情報を最新化いただきたい。
（理由）
個人情報取扱事業者が海外で個人情報を取り扱う際には、該当する個人情報保護に関する制度等を理解した上で、個人情報の安全管理に必要かつ適切な措置を施すことが求められている。さらに、デー
タ主体から見てその国の制度の存在及びその概要を理解できる状態に保つことが要求されている（法 32 条 1 項、施行令 8 条 1 項）。しかし、各個人情報取扱事業者が個々に同一の海外の法制度を調査、最新化することは効率的とは言えないため。
（意見）
個人情報保護委員会として、Global CBPR（越境プライバシールール）への参加国、傘下企業を増やすとともに当該国・地域において CBPR のツールを活用するスキームを構築・提案するような動きに期待したい。具体的には、EU・UK、中国など越境移転規制を導入している国・地域において CBPRを活用した移転方法をオプションとして組み入れていただく働きかけをお願いしたい。
（理由）
海外では、日本と同様、個人情報保護法令において個人データ越境移転を規制する国（EU、UK、中国、韓国、台湾、シンガポール、タイ、フィリピン、マレーシア、インドネシア、ベトナム、オース
882

日本DPO協会事務局

トラリア、ロシア、カナダ、メキシコ、ブラジル等）が増加している。個人情報の保護と法に基づくデータ移転を個別の国・地域で法制化することは、個人情報取扱事業者にとって多大な負荷が発生し、国際競争力低下などにも影響が生じかねない。我が国がリーダシップを取り、個人情報保護の領域においても関連の基準や認証をグローバルのレベルで統一することは、これらの国からのデータ移転を十分な保護レベルを確保しながらスムーズに行うことが可能となり、DFFT の実現と、それに紐づく我が国の競争力の維持・向上につながる。現在の CBPR 認証は参加国、企業が少ないこともあり、十分な効果が見られず、宝の持ち腐れとなっていると考えるため。
（意見）
所謂、「クラウド例外」について、シンプルで分かり易いリスクベース・アプローチ等に変更してほしい。
（理由）
外部サービスを利用する場合であって、当該サービス提供事業者が当該個人データを取り扱わないことになっているサービスを利用する場合の判定に下記の要件があるが、その判定に苦慮するケースがある。特に海外のクラウドサービス提供事業者については外国語の規約等を深く理解する必要があり、ハードルが高い。
①サーバに保存された個人データを取り扱わない旨が定められており、②適切にアクセス制御を行っている場合等が考えられる。
判定の結果、「委託」に該当するか否かで、委託先の監督義務（３項目）か、安全管理措置状況の確認かを選択するが、民間事業者にとって、この「クラウド例外」を理解できず、判定に迷う現行の手
続きは、結局、個人の権利利益の保護に繋がるとは到底思えない。また、社労夢事件のように、民間事業者が現行の複雑化する法制度に追随できない状況になっているため。
（意見）
行政機関等への監視の強化が必要

883

匿名

（理由）
全体を通して、個人データに関する中間整理となっており、保有個人情報に対する整理はされていないように感じました。私の自治体では個人情報保護法を理解している職員がとても少ないと感じます。自治体に対する監視は十分なのでしょうか。
【意見】１にかかるのかもしれませんが、個人情報としての肖像権がありますが、そこに「声」などの今は権利のない個人情報にも権利を認めてください。
【理由】昨今、生成AIにおいて、顔写真のみならず「声」を勝手に利用される事態が多発しています。今後声帯認証などが一般的になれば「声」は立派な個人を特定する情報であり、個人の資産にアク

884

個人

セスする情報になります。また、声は個人個人で違うもので、生成AIで合成された音声と言えども、自分とほぼ同じ声で詐欺事件などをされてしまうと、容疑者として何もしていない個人が疑われて逮捕されるというような事態になりかねません。声、静脈、体などなど、恐らくこれまでは万人がコピーできなかったために保護されていない個人的な身体的特徴なども保護できるように改正をお願いします。
個別検討事項において、第１の項目として個人の権利利益のより実質的な保護の在り方について検討するとしておられます。「個人情報保護法」と聞くと、どうしても名簿などのモノとしての個人情報

885

匿名

を守るイメージがついてしまい、中間整理で触れられているような、個人の権利救済を求める認識につながらない面もあるのではないかと考えます。そこで、「個人の権利利益を保護することを目的とする」法律であることがよりわかりやすい名称・略称へと変更することが、罰則等のバランスをとりつつ抑止力を強化し、被害回復の実効性を高めるうえで必要ではないかと考えました。（例：個人の情報保護に関する法律、など）
259 ページ

886

匿名

私の顔写真を公共データにしないで

私の個人情報を勝手に使わないで現状のマイナンバー等の個人情報の扱いの杜撰さには、大きな問題があります。企業においても、公的機関においても、個人情報（画像を含む）を適切に暗号化しなければ罰則を設けるなど、拘束力の887

匿名ある規制が必要だと思われます。また、複数の個人情報を一か所に集約するような場合は、情報にアクセスした人物を特定できるようにする仕組みを国が構築するなど、国全体としてのセキュリティ対策が必要ではないでしょうか。利便性のみを求めるのではなく、セキュリティや保護に重点を置いた個人情報の利用のあり方を、エストニアなどのIT先進国に倣うべきであると考えます。

888

匿名

個人情報保護法相談ダイヤルも広く認知されていない印象がある。
国の被害者の早急な保護を求める。
高木浩光氏の以下の指摘によると、個人情報保護委員会は担当者が異動を繰り返すことでノウハウが失われているようである。
そもそも、個人情報保護法の民間部門の規定は、個人情報データベース等を対象としたものであって、このような人の噂話を規制するものではない。そのことは、平成15年法の立案担当者らによる逐条解説書には説明があるものの、ガイドライン通則編には記載がなく、初期の担当者が前提としていたはずの理解が、その事情を知らない外部の有識者によって執筆された解説書が氾濫した結果、担当者も交代を繰り返すうちに、そうした解説書の影響を受けて、本来の理解が次第に忘れられてきているように見受けられる。このことは前回の3年ごと見直しでも指摘したが、改善されていないように見受

889

匿名

けられる。
個人情報保護委員会の中の法律所管部署について、長年の蓄積された知識を理解し、過去の検討状況も知っている中核となる人材が確保されているのか。されていないのであれば、それはなぜか。改善の見込みはあるのか。
個人情報保護委員会の採用パンフレットに「職員の多くは他の府省庁、民間企業からの出向者である」との記述があった。職員の大部分が出向者で占められているのであれば、２年程度で異動してしまい、ノウハウの蓄積は見込めないのではないか。
また、個情委の幹部は他省庁キャリア官僚の出向がほとんどを占めているようだが、そのような他省庁出身者が主体の組織で、長期間在籍し組織の中核を担う人材育成が可能なのか非常に疑問である。
意見

米国FTCのように、消費者保護や創作者保護の立場からの分析や情報発信もして欲しいです。

理由
米国FTCは、「やあ、アレクサ！私のデータで何をしているの？」というタイトルの記事で、AIとプライバシーは密接に連携して機能するべきだと述べています。
https://www.ftc.gov/business-guidance/blog/2023/06/hey-alexa-what-are-you-doing-my-data
事業者に対する注意喚起でもあり、消費者や保護者に自分たちの権利を思い起こさせる内容でもあり、印象的で効果的な情報発信です。法制の普及活動として良質と思われます。
また、次のブログ記事では、クリエーターによる創作のコントロールとの関係で、FTC法の適用可能性への言及があります。
https://www.ftc.gov/business-guidance/blog/2023/08/cant-lose-what-you-never-had-claims-about-digital-ownership-creation-age-generative-ai
890

個人

抜粋の抄訳
自分の作品に対する創作コントロールについてはどうでしょうか？
「（上記の）レコード店の例では、購入者はそのレコードアルバムが本物であるとある程度は確信できました。しかし、（生成AI時代の）現在では、デジタル音楽や小説が生成AIによって生成され、実在のアーティストや作家の作品として（なりすまし）、とても容易に質の高い形で偽装されてしまいます。すでに、実在する音楽のアーティストによる偽の新曲や、人間が執筆したかのように販売されているが実際にはLLM出力を反映した新しい書籍の例を目にしています。このようなコンテンツを消費者を騙して販売している企業は、FTC法に違反しています。これらの行為は、アーティストや作家にも明らかに損害を与えています」
内容もわかりやすさも素晴らしく、自分たちの存在意義や描き手の専門性へのプライドを感じさせる普及活動です。
我が国の組織にも、このような情報発信を期待しています。そして、そのような情報発信を通じて、生成AIへの評価に関する国際的な現況への理解を深めていただきたく、お願いします。（３(1)本人同意を要しないデータ利活用等の在り方の書きぶりは、生成AIへの理解が足りないことを推認させます）
なぜ、鈴木正朝氏や高木浩光氏らの有識者へのヒアリングを中間整理の直前にしたのか。その結果、それらの有識者の意見が中間整理にまったく反映されていないように見える。

891

匿名

これはあまりにも不公平ではないか。
都合が悪い意見を排除しているように感じる。

260 ページ（意見・理由）
この中間整理では、10回も「安全管理措置」という言葉が用いられている。P9「必要となる安全管理措置を講じるよう、指導を行った。」、P10「こどもの個人データについては、こどもの「安全」を守る等の観点から、特に取扱いに注意が必要であり、組織的、人的、物理的及び技術的という多角的な観点からリスクを検討し、必要かつ適切な安全管理措置を講ずる必要がある」、P15「組織的安全892

匿名

管理措置の不備の是正のために必要な措置をとるよう勧告を実施した」などあるが、委員会が行った指導や勧告で求めている安全管理措置は、法23条で「個人情報取扱事業者は、その取り扱う個人デー
タの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」と述べているだけで、具体的にどのような措置かは個人情報保護法に定められていない。ガイドラインというものによって示されているが、ガイドラインという法律ではないものに違反したことを理由に指導するのはやりすぎではないか。安全管理措置を法律や政令や省令に掲載
しないと、法令で規定されていないことを指導していることにならないか。
【意見】
法律の運用時に社会が混乱せず、スムーズに啓発・普及されるよう、法律上定義する用語の選定には配慮頂けますようお願い致します。

893

匿名

【理由】
一般的に使用されている用語、または特定分野で日常的に利用されている用語を、それらと一致しない意味で法的に定義されると、社会全体または当該分野において個人情報保護法を啓発・運用する際に混乱をきたすため。可能な限り、普段から使われていない用語を法律で採用することで、一般用語との区別を明確にするなどの工夫をご考慮頂きたい。

894

匿名

895

個人

個人情報をとられるそれだけで不利益しかないのでやめてもらってよろしいでしょうか（意見）補完的ルールに関する手当（理由）法的な位置づけが問題であり、対外的な説明としても不適切であると考えるため。
・ 顔識別技術を有した防犯カメラを導入し、刑務所からの出所者・仮出所者を含む不審者等を検知するセキュリティ対策を、交通拠点において実施していた事例

896

個人

意見：
これは全国的に現在も施行しているのでしょうか。
犯罪者や不審者の検知は一生続けてほしいです。
犯罪者検知を止めろと言うのは犯罪者だけです。
今回の内容とはまた違うかもしれませんが、犯罪者(特に性犯罪者)の所在地は必ずいつでも把握できるようにすべきです。
該当箇所：
参考
１．関係団体ヒアリングの実施状況

897

個人

２．有識者ヒアリングの実施状況
意見：
上記の団体や有識者の中には、いろんな意見をお持ちの方が参加されていますでしょうか？
ある特定の意見を持った団体や有識者だけになっていないか、今一度確認をお願いいたします。

261 ページ

先日、●●グループにサイバー攻撃があり、多くの情報が流出した事件は記憶に新しく、また未だ尾を引いています。
私も10数年前の新卒時に●●系列会社へ履歴書を出したことがあり、その情報が流れたと聞き、開いた口がふさがりませんでした。
この事件では犯罪行為の被害者であるとはいえ、デジタルで個人情報を扱うことの危険性を広く世間へ知らしめたのではないでしょうか。
行政機関でホワイトハッカーを雇い、あるいは行政で育成し、非公開で個人情報を扱う会社へのハッキング試験を定期的に行い、常時デジタル犯罪への防犯性能を高めるべきだと考えます。
私の様な一個人では、個人情報を預けるその企業がどれほどデジタルな防犯を考え、実施しているか知りようもありません。知りたいとは思いますが、一個人が企業を試すためにハッキングを試みれ
898

匿名

ば、それはただの犯罪行為です。行政機関に試験していただきたいです。警察による専門部署か、デジタル防衛専門の組織の必要性を感じます。
ＩＴ・インターネットの利便性を追い求めるその裏で倫理観の欠如した人間・組織の存在への懸念、対応がおざなりになってはいけません。
企業は利益追求を第一にするものであることを念頭に置き、行政機関は国民一人一人の権利を守護すべき組織であることを忘れず、企業の利益・利便性ばかり追い求めることのないように歯止めをかける存在であることを願います。
企業が自浄・防犯意識の向上ができないのであれば、行政が強く介入するべきです。
個人情報は犯罪に利用されればその人の一生に関わる傷跡を残すこともあります。犯罪に利用される企業は社会的な脅威であるととらえ、指導、監督、改善を日々求めていくべきです。改善が成されない場合は業務停止まで視野に入れた強力な措置が必要だと考えます。

899

匿名

個人情報を承諾を得ないで使おうとしないでください。著作物の利用も問題ですし容姿や声など肖像などの個人情報利用も問題です。
個人情報の使用（ウォーターサーバーの電話販売から、この会社が保有しているので、どこかで流用されているのではないか？）の報告がしやすくなってほしい。
「一定の場合における第三者提供」を消費者個人としても把握したいが、個人情報を総合的に扱う管轄に、すぐ確認出来る体制が整っていないと考える。
民間企業はどこに提供したか？をデータベースに申請を義務付けて、国民もそれを確認したい。
個人情報流出したかどうか？を把握し、個人情報を守るためには、どこの誰の情報か？分かっていることが必要不可欠だ。技術的には難しいかもしれないが、時間をかけてでも、流出には十分に注意して、自治体がこのデータベースを管理をするべきであると考える。
不正な利用の追跡に関しても、まず国民のデータが管理され守られているからこそ出来るものだと考える。
老人世帯には難しいが、インターネットを使う層こそ、このような流出の機会が多く、国産プラットフォームやマイナポータルのようなアプリ開発などにも力を入れてほしい。インターネットに強い世代が家族の個人情報を照合するなどもしやすいのではないか。

900-1

匿名

深刻な肖像権や生体認証の悪用は、被害者が落ち着いて相談や報告・対応する環境づくりがまず必要だと考える。生体認証を使っているサービスをすぐに停止などサービスとの連携が必要だと考える。
また、毎日次々に起こる流れの早いウェブサービス規約の、危険な法の抜け道などの注意喚起がもっとなされるべきだと考える。
この規約に同意しますか？というチェックボックスがあるが、本当に読んで理解をしているか？問いに解答しなければ、同意が出来ないなど。このような国民の共通の認知を底上げすることでも、オー
プンデータやIoTなど最新技術が浸透しやすいのではないか。
子供たちのインターネット上のトラブルにおいて、インターネットの相談は同じインターネットや同じコミュニティやSNSを使っている人に1番しやすいため、これは国が教育を掲げ、注意喚起すると同時に、まず日々のネットの見回りやWebサービスの流行を追うことなど、子供と同じSNSを使い、発信してコミュニケーションをすることなど、地道な行動が必要であると考える。
今あるユーザー間の共助に、専門家や行政も力をいれるべきだ。
本パブリックコメントも懸念している問題は、誰もが加害者になり得るということ、その敷居がとても低くなったこと、インターネット時代の他者との距離感が格段に近くなったことで、ならば近くにいる大人が増えることが、青少年のためになることだ。

262 ページ

インターネットで起きていることを相談するためには、そのＳＮＳやプラットフォームの簡単な構造や特色などを説明する手間があり、世代が離れている即座の対応というのは難しい。それは徐々に解消されるはずだが、それは行政や教育機関などにも必要だと考える。
テレビなどでも、最近のＳＮＳの問題を取り上げるが、実際に起こっている現場とは様子が異なり、親世代はより一層想像しにくい。
その中で、頼りにしているのはそのSNSで発言力のあるインフルエンサーや同世代や配信者だが、それだけでは不十分だ。
悪質なアカウントなど注意喚起は、ユーザー間の共助で成り立っていることが多く、それを担うのが実質、有名人やフォロワーの多いインフルエンサーだが、インフルエンサーとは名ばかりのアカウン
トが多く、そのアカウントが専門家だという信用性なども、ブルーバッヂが誰でも買えることや、アカウントの売買もされていてアカウントの作成日時見ても十分ではない。
アカウントの信用性の担保というのも従来の発表の場であるSNSやプラットフォームでは不十分であり、アカウントの売買もされていること・認証済みアカウントの証明であったバッヂ付与なども課金
900-2

匿名

制になっており、フォロワーなども購入することが出来る。
次々に新しい技術や、それを提供するサービスが起こり、それが瞬く間にひろまり、移り変わるのがインターネットの特色だが、その穴をつくプライバシーポリシーや規約などは、もっとそれが何であるのか？教育機関も共有してくれないだろうか。
ユーザーが提供する個人情報を、サードパーティに提供することに同意する、ユーザー体験を向上させるために、どこからどこまで情報を収集するのか・・・など。
現に、恋人との画像のやりとりが流出し脅される・ディープフェイク動画を作られるセクストーションなどに直接関連すると考える。わたしたちはこのような規約の穴を共有するべきだ。
そこに、ここ１～２年ほどの、Stable DiffusionやChatGPTなど、生成AIによりディープフェイクの民主化がもたらされた。
特にディープフェイク動画や画像などは、ここ１，２年の間で爆発的に数が増えていて、世界中で規制も固まっていなく、プラットフォームも対応はしているものの、足並みを揃え、包括的な取り組み
や理念というのは、もっともっと先であり、国民の共助を連鎖的に促すことがまず先だと考える。
いいかげん、献金のあるテック企業からのロビー活動で政治を動かすのやめていただけませんでしょうか？自分たちの利益のために、日本の著作権・人権等を売るのはやめて下さい。まさに鬼畜の所業

901

匿名

とはこのことですね。最低です。現在の日本の政治家と官僚は本当に最低の人間ですね。このまま国を売っていくなら日本はますます貧しくなるでしょうね。ストリートチルドレンを無くす・出さない

902

匿名

個人の声や肖像を素材として使われるのは嫌です

903

匿名

著作物も個人情報の一つであると明確にすべきである。その上で第三者による同意なき利用及び著作物の著作者を騙る行為を規制・制限する法の整備が必要であると考えている。

ようにがんばった昔の政治家や官僚に恥ずかしいと思わないのでしょうか？

まず個人情報の取り扱いですが、流出盗用されない下地が出来てからの話ではありませんか？ハッキング等100%防ぐ事は不可能でしょうが、マイナンバーカード情報を流出させてしまった本邦。これ
904

匿名で特例を儲けて個人情報を使う気とは議論の入り口にすら立っていません。今よりももっと厳しく個人情報を扱って下さい。
最近も●●、●●の個人情報流出もありました。民間企業にも免許、認可制度を設けてください。
本邦のセキュリティーはとてもハイレベルとは思えません。
個人情報の保護
情報社会の現在、多くのデータの保護が無ければあらゆる面で懸念点が残り続ける

905

匿名

悪用されるリスクは現状でも多く示されている
ディープフェイクなどと言った物は元から問題視されていたが現在規制されていないと言うのは少々甘く見ているとしか思えない
情報社会でそういった物の整備を整えないのは国民の信用を失う事に繋がる

906

匿名

907

匿名

個人情報取扱事業者であるマスコミは公共の電波を使っているので民間人を勝手に撮影しない等の規制を強化すべき。
・経済団体の要望に応じて「考え方」がまとめられていますが、官僚の皆様方には「国民の利益」を第一に考えていただきたいと思います。国民が安心して安全に暮らせる国を作ることが国家公務員の仕事ではないでしょうか。経済団体の要望を優先して個々の国民の安心安全を蔑ろにするなどということがあってはならないと思います。政治屋から要求があっても国民の利益にならないことには断固として抵抗していただきたいです。

908

匿名

海外に遅れを取らないようにするには、法整備も海外と同レベルでなければなりません。デジタル化が進む世の中では、今まで個人情報として扱ってこなかったものも、個人情報として保護されるべきものとなってきます。生成系AIのこともありますし、個人情報の保護に関しては、もっと厳重に取り扱い、守れなかった者にはさらに厳しい罰を与えるべきだと思っております。

263 ページ個人情報の範囲の拡充、保護の強化
クローリングによる無差別収集情報を無断再構成する生成AIへの対処
情報の応用利用への規制罰則
並びにオプトアウト方式の運用を再検討したほうが良いです。
まず個人情報とはどこまでの物を指すつもりでしょうか？
政府広報オンライン
https://www.gov-online.go.jp/useful/article/201703/1.html
では「特定の個人を識別できるもの」
909-1

匿名

とあります。
住所氏名年齢等、公的な扱いの文書
身体の情報やそれらに振り分けられる公的な番号がそれに当たるという説明になっております。
ですが本当にそれだけでしょうか？
個人を特定する手段は多岐にわたります。その人の趣向、技術、癖、生活リズム、趣味、あらゆる情報から個人は特定できます。そもそも害を成すために個人を特定するにあたり、氏名や個人番号が本当に必要なのかということも疑問です。
接触して害を与えればいいのですから、十分に個体識別が可能なら現状公的に保護されるとされている情報に一切アクセスする必要はない場合もあります。
かといって人間は「人の間」と書くほどに関係性を重視します。SNS等である程度の自己発信をすることはオンライン生活では無くてはならない行為の一つです。
もちろんそこに対する自衛は各個人に必要な節度秩序防衛反応リテラシーですが、個人が対応できる範囲を超えることを推奨することは良くないと思います。
例えばSNS上で関東住まいを公言している人がいたとします。関東住まいだけなら4330万人の中の一人なので、まず見つかりはしないでしょう。
ある日、友人と旅行に行く計画を話していました。もちろんプライベートな話なのでDM、あるいは鍵をかけたアカウントを利用しています。日程と行きたい場所をピックアップし、旅行の予定を完成させました。

264 ページ

その情報が漏れてしまったらどうでしょう？
公的保護されている個人情報を参照しなくても、ある程度絞れてしまいます。そうなれば害を与えることなど簡単ではないでしょうか？オンライン上での会話が増えている以上、「わかりやすく重要そうな情報」だけを保護するだけでは不十分なのです。
現状、特に問題なのは生成AI関連です。
元々クローリング、スクレイピングによる情報収集は、ある程度無機質で雑多な情報だったが故に見逃されてきました。
しかし、冷静に考えればつなぎ合わせることが可能ならば疑似的な個人情報が習得可能な技術です。生成AIは収集した情報から関連性の高い情報をつなぎ合わせます。大半はピンクのユニコーンだった
かもしれませんが、最近は「元のデータの再現率を上げる」という方法で正答率を上げています。
つまりクローリングした情報を再現することを「生成」と言い始めたのです。これは個人情報の復元の危険が高いのではないでしょうか？論文や画像関係の生成AIでは再現実験がかなり成功しています。著作権侵害の話題の方が大きい問題ではありますが、そういった表現や著作物も「個人を特定できる情報」といって差し支えないのではないでしょうか？
909-2

匿名

オプトアウト方式にも疑問が残ります。
オプトアウト方式を成立させるには「自分のデータが利用されていることを確認できる」事、つまりデータ開示が必須になってきます。
しかし「データの確認ができる」ということは「他人のデータにもアクセスできる」ということと同意です。
である以上、個人情報データの開示は不可能です。そうでなければ今の議論は無意味になりますから。となるならばオプトアウト方式はそもそも不成立ではないでしょうか？仮に代理人や職員による確認だとしても、悪用のためのアクセスではないとどうやって結論付けるのでしょうか？
実現実行が不可能なオプトアウトには賛同できません。
現状、個人情報保護の観点で日本は後れを取っています。
海外を猿真似しようとは言いませんが、情報統制機能に不備がある状態を放置すれば、国際社会からおいていかれてしまいます。企業個人の萎縮を懸念しソフトローでいきたい気持ちはわかりますが、だからこそ、超えてはならない一線をはっきりと線引きする必要があります。
規制の話をするときに利用者の善性に期待をしないでください。どこに線を引こうと、悪人はその線を反復横跳びするだけなのですから。

910

匿名

911

匿名

世界的な潮流としてIT産業での無法図な個人情報濫用に対する法規制が強まっている傾向がある中で日本は逆行しているように思えるので良くない。欧州でのEU・デジタルサービス法 （DSA）や欧州一般データ保護規則（GDPR）に相当する法整備の必要性を提言する
私の個人情報を勝手に使用しないで下さい。怖いです。

265 ページ

*情報技術の高度化によるなりすましの防止について--・後述している最も重要な点を挙げると"個人に対する集中的-網羅的な収集は明確に禁じるべき"という点である。
---個人情報に限らないあらゆる情報やデータのデジタルでの活用においては、ユーザー認証=デジタル処理上の個人の識別が重要-もしくは前提であるが、本文中にもあるデジタル技術の発展により、個人のなりすましについても高度化が進んでいると言えることから、
912

個人

高度ななりすましの原因になりうる個人に対する高度なプロファイリングについては十分に制限される必要がある。
-とくに今まで自然人が個人を識別するために重要視されていた相貌や声紋は、生成AIによって自然人による識別を困難にしており、どちらかといえば著作権法によって保護されるような情報やデータについても、プライバシーや憲法で明記されている自由を保護するためには、
それらのデータ等の悪用を防止する必要があると考えられる。
-現状の高度な技術であっても本人を完全に再現するようなAIはいまだ夢物語ではあるが、コンピューターの処理能力によっては実現不可能と言いきれるほどの状況でもないため、なりすまし防止という観点ではそのような高度なAIの一般化に対しては事前の防止措置が必要だと考えます。-本人の同意があっても(法律上の個人情報にあたる範囲を超えるような)個人に関わる情報を1つの機関や組織が網羅的に収集してしまうとデジタル処理上で個人の識別を困難にする可能性があるため、十分に注意が必要であると考えられる。
信頼できる判断のもとである場合を除き、少なくとも、基本的にあらゆる場合において個人に対する集中的-網羅的な収集は明確に禁じるべきである。
-なりすましの高度化が進みきってしまってからでは、権利救済は非常に困難になると考えられるため、技術発展のためには慎重さが必要ではあるが、なりすましの高度化が一般に広まるような状況が確認されれば牽制を行えるような体制を整えてほしい。
本文書は個人情報保護法に関するものであり、「第1 はじめに」中にも「個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。）」と記載されていることから、凡例に、「法: 個人情報の保護に関する法律（平成15年法律第57号）」を記載する方が良いと思います。

913

田辺三菱製薬株式会社

医薬品安全性に係るリアルワールドデータの活用においては、医療機関に由来する情報以外との統合的な解析が今後進むことでより精緻な因果関係、影響因子の考察ができるようになると考えられるが、現状では次世代医療基盤法において整備された仮名加工医療情報と取り扱いが異なる情報を統一環境において解析するインフラを整備する事は非常に難しい。そこで、仮名加工医療情報と同様の情報区分が医療情報以外にも拡大する法整備を行い、さらにこのとき、Visiting環境限定で利用の認定要件を、国による認定の取得ではなく「認定個人情報保護団体」に認定権限を与えるような要件見直しを行ってほしい。

914

Apple

915

匿名

最後に、私たちは、日本とEU間の相互認証を維持しようとする個人情報保護委員会の取組みにも敬意を表し、賛同します。GDPRは、十分に現代的で、データフローやデジタル経済のダイナミズムにも適応可能なものであり、どのように個人の権利に関する効果的なシステムを実施するかのグローバルな指針となっているものと考えます。
国民の個人情報や肖像権等の侵害にあたると考えます。
自分の写真を勝手に使われるのは不愉快です。

916

匿名

コスプレイヤーさんやグラビアアイドルさん達が既に勝手に使われています。
人権もクソもない最悪の状況です。
絶対に保護されるべきです。

917

匿名

918

匿名

近年、個人情報の扱いが軽くなっていると感じています。以前からなりすましによる詐欺やディープフェイクなどの被害はありましたが、生成AI、BeReal等中国製アプリなど簡単に他人の個人情報に触れることができる媒体が増えたことにより、更に被害が増えやすい環境になっていると体感しています。そしてそれらが未だ法律による規制がされていないことが、とても残念です。
個人情報を本人の許可もないまま使用するのは絶対にやめてください。至急法律を整備して、厳しく取り締まってください。

266 ページ

（意見）GDPR、中国法、韓国法等を参考に、個人情報取扱事業者を、GDPRのController（個人データ処理の目的と手段を決定する者）に改め、新たにGDPRのProcessor（Controllerに代わって個人データを処理する者）に相当する者を定義し、Controllerに相当する事業者がProcessorに相当する事業者を使用する場合の義務と、Processorに相当する事業者の義務を、それぞれ個情法に明確に規定すべきである。
個情法又はガイドラインを改正し、GDPRのJoint Controllerに相当する規定を設けるか、共同でControllerに相当する事業者に該当する場合があることを記載すべきである。
（理由）
現行個情法において、Controllerに相当する事業者とProcessorに相当する事業者は、利用目的による制限、委託、漏洩報告、保有個人データなど、個情法のほぼ全般に渡って異なる規律を受けているに
919

個人もかかわらず、いずれも「個人情報取扱事業者」とされている。そして、Processorに相当する事業者は、Controllerに相当する事業者と異なる様々な規律を受けるにもかかわらず、それらは主として
Q&A（ガイドラインですらない。）に記載されている。このような立法例は特異である。
教育データ利活用等の分野において、(i)Controllerに相当する事業者となるべき者が自らは個人データ処理（現行個情法においては「個人情報」の「取扱い」）をしていないと誤解したり、(ii)Processorに相当する事業者がControllerに相当する事業者としても行動することにより、委託に関する規制を潜脱している疑いのあるケースが見られるが、これらは、個情法上、Controllerに相当する事業者とProcessorに相当する事業者が明確に区別されていないことが影響していると考えられる。
したがって、それらを法文上明確に区別し、それぞれの責任を明らかにすべきである。
また、GDPRのJoint Controllerは、第三者提供規制の例外にすぎない日本法の「共同利用」と異なり、むしろ、特定のデータ処理活動に、2以上のControllerを認定し、連帯責任を課すことに主眼がある（刑法の共同正犯に類似し、その目的は中川教授提出資料の第三者命令と重なる。EDPBのGuidelines 07/2020の3、CJEUのFashion ID事件判決参照）。(i)を避けるためには、これに相当する規定を置
くか、個人情報取扱事業者の認定方法に関してそれに相当する解釈を示すことが適切である。
（意見）
GDPR5条1項(c)を参考に個情法又はガイドラインを改正し、利用目的による制限には、必要性だけでなく、適切性（ないし十分性）及び関連性が含まれることを明らかにすべきである。
ガイドラインを改正し、利用目的の特定、必要性・適切性・関連性をより厳密に適用すべきことを示すべきである。
（理由）
個人データの不適正処理（現行個情法においては「個人情報」の「取扱い」）には、誤りやバイアスへのセーフガードを伴わない態様での個人データ処理が含まれる（このような権利侵害の防止は、現

920

個人

在検討されている生体データ処理を適正化する上で特に重要である。EDPBのGuidelines 05/2022を参照）。しかしながら、必要性だけではそのような権利侵害を十分に防止できず、適切性・関連性をも要求する必要がある。
利用目的による制限は、個情法の根幹であり（園部逸夫＝藤原靜雄編『個人情報保護法の解説 第三次改訂版』146頁（ぎょうせい、2022））、今後積極的な法執行の対象とすべきである（例えば中間整
理5頁第4段落の二段階認証用の情報をターゲティング広告に利用した例は、端的に利用目的による制限違反とすべきである。）。そのためには、司法審査に耐えうるよう、解釈を精緻化すべきである（このことは、一般条項である不適正利用禁止規定の謙抑的運用につながり、予測可能性にも資する。）。
なお、GDPRにおいては、自然人を一意に識別するための生体データ処理（9条）や、法的効果又はこれと同等の法的効果をもたらす自動化された個人に対する意思決定（22条）について特別の規制が課されているが、これらはあくまで基本原則（5条）に追加して、その実効性確保のために課されるものである（EDPBのGuidelines 05/2022、29WPのWP251 rev.01を参照）。
（意見）
ガイドラインを改正し、正確性には事務処理の誤りを回避するだけでなく、収集、分析等における正確性確保のための措置を含むことを明記すべきである。

921

個人
（理由）
生体データ処理やプロファイリングの適正化においては、上記の意味での正確性が重要であるため（EDPBのGuidelines 05/2022、29WPのWP251 rev.01を参照）。

267 ページ

（意見）GDPR6条を参考に、個人データの不適正処理（現行個情法においては「個人情報」の「取扱い」）全般に法的根拠を要求し、第三者提供規制を廃止すべきである。
処理の法的根拠には、同意及び現行個情法27条1項各号の事由だけでなく、契約履行・締結、正当利益を含めるべきである。
（理由）
現行個情法は、個人情報の取扱いには法的根拠を要求しておらず、第三者提供についてのみ、GDPR6条と比較して狭い例外事由（法的根拠）を定めている。特に、契約履行・締結、正当利益が存在しな
いため、事業者は、無用な負担をするか、技巧的で不安定な解釈に依拠するか、施策自体を断念するかの選択を強いられている（板倉弁護士提出資料5頁参照）。もっとも、単純に第三者提供の例外事由を拡大した場合、受領者が当初の利用目的に拘束されない結果、本人に予測困難なリスクが生じる可能性があり、単に例外事由のみを拡大することはできない。
GDPRは、個人データの処理全般について同意その他の法的根拠を要求しており、例えば提供者が同意に基づいて取得した個人データを受領者に提供した場合、受領者は、改めて同意を取得しない限922

個人

り、提供者が取得した同意の範囲内（したがって提供者が設定した利用目的の範囲内）で当該個人データを処理しなければならない。個情法についても、これと同様の規律とすることが考えられる。
このような改正を行った場合、これまで同意を取得していなかったデータについて同意を取得しなければならない場面が生じ、事業者の負担が増える可能性もある。しかしながら、現状でも、少なくない事業者が取得段階で第三者提供の同意を取得していること、同意以外の法的根拠として契約履行・締結、正当利益を導入することを考慮すれば、大幅に負担を増やすことにはならないと考えられる。
そもそも第三者提供規制は、利用目的による制限の特則であり、第三者提供がされた場合、本人に不測の不利益を及ぼすおそれがあることから規定されたものである（園部逸夫＝藤原靜雄編『個人情報保護法の解説 第三次改訂版』196頁（ぎょうせい、2022））。しかしながら、事業者による個人データ利用は（個情法制定時と比較しても）ますます高度化し、内部利用だから予測可能とはいえなくなっている（ガイドライン通則編3-1-1の※1の第2段落、第3段落はこのことを反映したものである。）一方、個人データ処理のサプライチェーンは複雑化しており、第三者提供について一律に同意原則を取ることは、個人データ処理を適正化する上で、有効とも適切ともいえなくなっている。このような立法事実の変遷という観点からも、見直しを行うべきである。
なお、このような改正を行った場合、(i)優越的地位の濫用事案（中間整理5頁第1段落、第2段落）は、同意に依拠している限り、端的に法的根拠を欠くと評価すればよく、(ii)名簿の犯罪利用（中間整理5頁第4段落のなりすましSMSの事例）やオプトアウト事業者が犯罪インフラとしての名簿を提供している事例も、端的に法的根拠を欠くと評価すればよい（なお、このように、法的根拠の導入は、一般条項である不適正利用禁止規定の謙抑的運用につながり、予測可能性に資する。）。(iii)オプトアウトに関する規制は、第三者提供規制の例外の適用要件とされているところ、独立の義務として規定することが考えられ、(iv)共同利用に関する規制は、第三者提供規制の例外の適用要件とされているところ、解釈とするか、後述のJoint Controllerに相当する規定の中で規律することが考えられる。
（意見）
GDPR4条(11)を参考に個情法又はガイドラインを改正し、同意は、自由意思に基づき、十分な情報提供を受けた上でのものでなければならないことを明らかにすべきである。

923

個人

（理由）
個情法は、既に、外国第三者提供に係る同意については、同意取得前の情報提供義務が課しているところ、それ以外の同意についても、上記のことは当然に要求されると考えられる（山本教授提出資料
5頁「3」参照）。しかしながら、このことが十分に理解されているとはいえないため（教育データの利活用に関する有識者会議(第15回)における石井委員、個情委担当官の発言参照）、法文又はガイド
ライン上明示すべきである。

268 ページ

（意見）個情委は、個別の漏えい等や違反行為に対応するだけでなく、事業者による様々な施策について、実態調査を行い、見解を公表すべきである。
事業者に対し、個人データの不適正処理（現行個情法においては「個人情報」の不適正な「取扱い」）からの個人の権利保護のための体制整備義務を課すべきである。DPOの選任及びDPIAの実施は、体制整備の例として位置付けるべきである。
課徴金を導入する場合、体制整備の状況を考慮して課徴金額を決定すべきである。
（理由）
個人データの不適正処理には様々なものがありえ、個情委は、いわゆる民間の自主的な取組みの推進によって、個人の権利保護を達成しようとしている。しかしながら、仮にDPOを設置し、DPIAを実施したとしても、どのような個人データ処理が不適正と評価されるかの基準がなければ、問題を発見することは困難である。したがって、個情委は、個情法の目的を明らかにした上で、事業者及び行政機924

個人

関等による様々な施策の実態を調査し、法目的の観点からどのようなリスク（それは法目的に関連するものでなければならない。）があるのか、そのリスクはどのようにしてコントロールすることができるのかについて検討し、その結果を公表すべきである（宍戸教授提出資料2頁の箇条書き1点目参照）。
事業者の取組みは、事業に伴う具体的なリスクに応じて行われるべきであり、整備すべき体制の内容を法律で詳細に規定することは望ましくないが、どのような事業者も何らかの取組みをすべきことは明らかであるから、体制整備義務を課し、DPOの設置、DPIAの実施等は、ガイドライン等において、体制整備の例として示すべきである。
その上で、仮に課徴金を導入する場合、個別の漏えい等や違反行為について結果責任を追及するのではなく（曽我部教授提出資料8頁参照）、それらを防止するための体制整備を怠ったことへの制裁とし、体制整備へのインセンティブとして利用すべきである。
なお、中間整理15頁は、課徴金の立法事実として、新破産者マップ事案、名簿屋事案を挙げているが、これは適切ではない。すなわち、刑事手続によっても摘発できなかった者について、課徴金を徴収することは困難である。また、後者は、犯罪インフラを提供することによって収益を上げており、課徴金が課されるからといって法令遵守へのインセンティブは持たないし、収益も当然隠匿すると考えられるから、行政上の措置である課徴金というよりは、詐欺等の共犯規定や犯罪収益規制によって対処することが適切である（そのためにオプトアウト事業者に提供時の確認義務を課し、確認内容を記録・保存の対象とすることは適切である）。

925

匿名

個人情報の定義を、諸外国並みに、保護してください。
個人情報保護委員会が告示したいわゆる「補完的ルール」の法制化が中間整理において一度も言及されていないのはなぜか。継続的に議論すべき事項として盛り込むべきである。
既に学説においても批判されているとおり（とくに重要なものとして、巽智彦「個人情報保護を担う行政組織の展開」情報法制研究12号（2022年11月）84-95頁（94-95頁））、「補完的ルール」のみ

926

個人

に根拠を有するにもかかわらず、対外的には執行可能性があると個人情報保護委員会が説明していると思われるものが残っている（前掲・巽95頁注72）。
これらについての検討を継続しないままに十分性認定の交渉に入ることは不誠実であるし、これらについてもし外部効果を認めるのであれば、それは公法学（憲法学・行政法学）の通常の考え方からは大きくかけ離れたままとなる。法律による行政の原理からすれば、放置することは許されないのであって、3年ごと見直しにおいて欠くことができない（それゆえ、宍戸教授ヒアリングでも、2019年の段階から指摘されている）のではないか。
個人情報の保護は資料にもあるとおり世界基準に達しておらず非常に問題です

927

匿名

また、生成AIに公共性はありません

928

匿名

勝手に個人情報使うな

929

匿名

個人情報こそ、必ず同意をとってデータ収集するべきです。

930

匿名

大人の情報はもちろんですが、子どもの個人情報についても手厚い保護が必要です

まず、SNSやアプリで画像を読み込んだ画像を勝手に生成データとしない法案を必要とします。
例えばXでは初期設定で画像や位置情報まで学習できる設定になっており、それを各自で切らないといけない設定になっています。
これは企業に対して個人情報を吸い上げられ、学習され、知らずのうちにAIにより他者へ漏れる懸念があります。

269 ページ

（意見）・貴委員会の WEB ページ「諸外国・地域の法制度」https://www.ppc.go.jp/enforcement/infoprovision/laws/ の内容を定期的に更新いただきたい。
（理由）
931

一般社団法人 日
本自動車工業会

・個人情報保護違法第 28 条２項 では、外国にある第三者に個人データを提供する場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供したうえで同意を得ることが求められている。
・これらの外国の法制度等に関する 情報提供について、多くの事業者が 貴委員会の「諸外国・地域の法制度」を参考にしているが、掲載内容が更新されておらず、複数国について現在では誤っている情報が掲載されている。
・各事業者が個別に各国の法令 等を調査し、情報を更新することにも限界があるため、貴委員会による情報提供が望まれる。
地方自治体が保有するデータの保管先のクラウド化が進んでいく一方、保管されている個人情報の主体である住民意思がクラウドの選択に適切に反映されるような手続保障がないという課題があると認

932

一般社団法人日本 識している。現状では地方自治体が契約をしているベンダーが使用しているクラウドがそのまま選択される形態が多いため、重要な住民データの預け先について、どのクラウドを選択するのかについて
IT団体連盟

例えば議会承認に付すことを義務付けるなど住民意思が反映されるようにすることが住民のデータ主権を守る事にもつながると考えている。そのため、住民意思が反映されないままクラウド移管が進んでしまうことがないよう、個人情報保護法での手当を検討いただきたい。
医療機関やマイナパータルアプリのように行政手続きができることは大変便利だと思うが、個人情報を登録し預かる方法については慎重になった方がよい。委託業者などで取り扱う、情報を持って帰る
途中紛失する、情報を転売する、システムを乗っ取られて個人情報が流出するのは、あってはならないことだと考える。また、情報が流失、紛失してしまうと取り返しがつかないことは、最近起こった

933

匿名

の●●の事件見ても明らかである。まずは預かるシステム、人、また預かるためのシステム、罰則を含めた法を整え、検討しなければならない。
また、AIについては、国民の個人情報や肖像を本人の同意なく勝手に生成AIに読み込ませるのは反対である。法が整ってない日本でのAIの悪用が多いのを目の当たりにしているため、まずAIについても使用する者の法を整えなくてはならないと思う。個人情報を悪用し、なりすましなどの可能性を踏まえ、AI使用者の登録、AIの表記の強制、悪用した、情報を盗用した者の罰則の取り決めをしていただ
きたい。
個人情報保護法のずさんな管理や漏洩は決してあってはいけないので、さらに整備をして欲しいですね。個人情報保護法委員会が何かしら漏洩などの個人情報保護法違反した企業や個人に改善命令ではなく直接罰則を与える課徴金、とか。
アプリ登録でも宅配や通販のように自宅に来るものならまだしも、客が出向く店舗の企業のアプリ登録でも、住所氏名電話番号の登録が必須になっているアプリが多いけど、なぜそこまで情報収集する

934

匿名

必要があるか疑問ですし、色々と個人情報保護法に抵触しているケースも多いと思います。
個人情報保護法違反の被害者も自ら訴訟を起こすのは多大な負担ですので、消費者団体などが代わりに違法行為の差し止めや被害回復のための損害賠償請求を行う、なども個人情報保護法に取り入れるべきです。
業界団体は規制強化に反対しロビー活動までしていると新聞にも書かれていたので、そのような事で個人情報保護法が緩いままでは個人情報のずさんな管理や漏洩が無くならないので、法令遵守を重視するためにも規制強化をして欲しいです！

935

匿名

社会的に有益じゃないです

270 ページ該当箇所：その他
意見：強固なガバナンスを有していることが外形的にわかる事業者へのインセンティブを与える。例えば、EUのBCRsやAPEC(今後はGlobal) CBPR、ISO27701、プライバシーマークなど外形的に個人情報保護のマネジメントシステムを運用していることがわかる事業者は漏えい等の「おそれ」の場合の報告義務の緩和やサイバーセキュリティ保険の減額の保険会社への協力要請など経済的インセン
ティブを与える理由：（株）インター936

ネットイニシアティブ

事業者全体として個人情報保護に対する真剣な取組を促進し、日本社会全体のプライバシー保護レベルの向上に寄与するため。
意見：個人情報保護委員会の人的リソース、予算を強化し、執行力を強化する必要があると考える。
理由：
課徴金制度の導入同様、個人情報保護委員会による執行力が諸外国と比べて強くないため、事業者が本気で個人情報保護（主にプライバシー保護観点）に取り組まない傾向を生み出す一因となっている。
また海外の事業者にとっては非常に日本の規制、罰則が軽く見えていると思われるため、巨大プラットフォーマーが消費者の対応窓口を日本で日本語で開設しないなど、日本国民を軽視した対応をとっている一因にもなっていると考える。
イコールフッティングの観点からもこのままでは日本国民および日本企業が一方的に他国の厳しいプライバシー保護規制の餌食になるだけのため、是非個人情報保護委員会の体制を強化して、実効性のある監視・監督体制を整えて頂きたい。
(御意見)一事業者から他へ顔認証データ登録者の情報が流れた場合のプロセスを開示請求できるようにしてほしい。違法であることの周知徹底と罰則も厳しく規定してほしい

937

匿名

(理由)
数年前は商業施設でのつけまわし、監視行為ですんでいたが、今では居住地域町内でも「不審者」としてみられている。これは完全に第三者提供が行われてきたことの結果である。普通の生活が送れな
い程精神的ダメージも深く、様々な場面で差別待遇されている。このような人権を全く無視した防犯データベースをいったんとりやめきちんと法整備してからの運用を希望する。

271 ページ