日時：令和５年 11 月 29 日（水）14：30～

場

所：個人情報保護委員会

委員会室

出席者：丹野委員長、小川委員、中村委員、大島委員、 藤原委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、浅井委員と加藤委員が御欠席です。
以後の委員会会議の進行につきましては、丹野委員長にお願いいたします。
○丹野委員長それでは、ただいまから、第262回個人情報保護委員会を開会いたします。

本日の議題は三つございます。
議題１「いわゆる３年ごと見直し（ヒアリング）」について、事務局から説明をお願いいたします。
○芦田企画官第261回委員会において御了承いただいたとおり、３年ごと 見直しに関連

して、関係団体等へのヒアリングを行うこととしております。
本日は、一般社団法人日本情報経済社会推進協会（JIPDEC）へのヒアリングを実施した
いと思います。
○丹野委員長ただいまの説明のとおり、個人情報保護委員会議事運営規程第９条の規定に基づき、一般社団法人日本情報経済社会推進協会の方に、会議に出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）○丹野委員長それでは、出席を認めます。
（一般社団法人日本情報経済社会推進協会入室）○丹野委員長先ほどの事務局からの説明のとおり、本日は一般社団法人日本情報経済社

会推進協会坂下様並びに奥原様に御出席いただいております。それでは、早速ですが、御説明をお願いいたします。
○JIPDEC

どうも皆さん、こんにちは。日本情報経済社会推進協会 、常務理事の坂下でございます。本日はこのような場にお招きいただきまして、ありがとうございます。
当協会のほうから意見を述べさせていただきます。
まずはお手元の、資料１の３ページ目を御覧ください。この資料を作成するに当たりまして、第261回個人情報保護委員会の配付資料２－１「個人情報保護法

いわゆる３年ごと見直し規定に基づく検討」検討の方向性①から③に基づいて、取りまとめを行っています。
今回は、この資料を基に、意見を述べさせていただきます。
次に、４ページ目、５ページ目を御覧ください。当協会のことをお知りになることが初めての方もおられると思いますので、基本情報について簡単に御紹介いたします。日本情報経済社会推進協会は、1967年に設立された財団でございまして、今年で設立56年目にな1

ります。主な収益事業はプライバシーマーク制度でございまして、全体の職員数は少子高齢化に伴い100人を切りました。今は88名しかおりません。その中で１万1000人の対象事業者を、私たち認定個人情報保護団体で対応しているという状況でございます。事故情報は、大体年間で4,300件位、うち、苦情が223件を占めております。
では、次に、６ページ目、７ページ目を御覧ください。３年ごとの見直しの事項につきまして意見を述べさせていただきます。
まず「①多様な場面で個人情報の利活用が進む一方、個人の権利利益の侵害を防ぐために設定すべき規律」というものがございます。ここに対しては、当協会ではプライバシー
強化技術のような利用は国内外で進んでいるのですが、何をもって是とするかというところの基準がなくて、そういうものをルールとして作れないかということを考えております。
例えば、AIにつきましても、当協会の中では27業種位を集めた勉強会をやっていますけれ
ども、法務の方が安全側に立つので、なかなか新しい技術がつくれないということがあります。何かの尺度を作っていただけると事業者も助かるのではないかと思っております。
８ページ目を御覧ください。
こちらは「本人の関与の在り方、年齢や発達の程度に応じた配慮が必要なこども等の関与の在り方」とございます。ここに関して当協会では、こどもに関する記述は、多くの部分が設定しておりますので、何らかの規律を設定することが望ましいのではないかと思います。本質は消費者法制等で対応するのでしょうが、個人情報を取得するという入口は個
人情報保護法になりますから、そこでの規律というものを考えていただければ幸いでございます。当協会の個人情報保護指針は下側に書いてございますが、「子供、高齢者等からの不適正取得の独自事例」を追記しまして、対象事業者には配慮するように呼びかけてい
るところでございます。
続きまして、９ページ目、「③個人の権利利益保護の手段を増やし、事案の性質に応じた効果的な救済の在り方」というものがございます。こちらは、手段が増えるだけでは、事業者が必要最低限の対応をするにとどまってしまうので、権利利益の行使ができる環境を整備していない場合の対応も明確にしたほうがよいというのを書かせていただきました。
これは何を言っているかといいますと、CBPRの認証を私達はやっています。その審査の現場で、法律が変わっても、従来型の苦情相談の窓口が設定されていないのです。個人情報の知識を持っている消費者であれば、そこに対していろいろ権利を主張することができます。でも、その知識がないと、そこは素通りされてしまうわけです。可能であれば、その苦情相談のところの説明書きを細かくするとか、もしくは 、苦情相談の窓口を分けるという手段があって然るべきだと思います。そういうものを、法定ではなくても構いません
ので、ガイドライン等で明示していただけると事業者は助かると思っております。
次に、10ページ目「実効性のある監視・監督の在り方」というところに対して意見を述べさせていただきます。①から③まであります。
①は「従来の指導を中心とした対応に限らない実効性 のある監視・監督」というものが2

あります。これは他国の執行状況を参考にして、指導を中心とした対応から一段引き上げ
た対応にしたらどうかという御提案でございます。どういうことかというと、 消費者法制の場合には、法改正がありますと、まず、執行をどんどんかけます。それを事業者は見ながら自分の対応を考えていくわけです。指導の場合ですと、執行ではありませんので 参考
情報にはなりにくいというところがあると思います。そこで、このような書き方をさせていただきました。
②の「重大な事案や故意犯による悪質な事案を抑止するための方策」、これは、悪質事案を抑止するための法改正等を行った後は、改正結果を 見る形で、定期的な執行状況の公開で執行強化を行ってはどうかということです。これは、先ほど申し上げました、一段階
引き上げることと同様で、社会に示すことによって事業者の問題を促すという観点で御提案申し上げております。
③の「重大な漏えい等事案の状況把握及び、適切な執行の実施」、これに対しては、当該企業以外から発覚する事例が多いと考えられるため、 虚偽報告だけではなく、未報告、報告の必要性を分かっているけど行っていません。これを厳罰化してはどうかという御提案でございます。
続きまして、11ページ目、「データ利活用に向けた取組に対する支援等の在り方 」につきまして、「①公益性の高い分野／安全性の確保の判断基準・政府内の連携体制」というものがございます。デジタル技術の活用、これを社会実装する際には、①自由の確保、②
公共の安全、③個人の保護というものがあります。
例えば、車の運転を想定した場合に、私達は車を使って好きなときにどこでも移動できます。でも、勝手に移動されると事故が起きます。そこでルールを作ります。これが公共の安全です。さらに、個人に対して免許を発行して、青色やゴールド等でランク付けをするわけです。そういうものをやらないと社会実装ができないのではないかと私 達は考えています。
その上で、個人情報保護と利用を扱う個人情報保護委員会の皆さんと共に自由の確保を議論する省庁が議論を行って、公共の安全について の整合を図る連携体制が必要ではないかと考えております。スマートシティ等で当協会も協力をしておりますが、個人情報保護法に関係する部分がたくさんあります。そういう議論にも御参加いただいて御助言をいた
だくということが必要なのではないかと考えております。
次の12ページ目、「国際的に、より円滑なデータの流通を実現するための制度的課題、議論の進め方（国際的枠組みの例等）」ですが、こちらは、当協会はAPEC CBPRの認証機関をやっております。その上で、越境移転ツールの場合として、意見を述べさせていただきます。
一つ目が、政府主導の制度であることのメリットを事業者に向けて発信する仕組みが必要だと思います。CBPRについては認知度の向上というのが大変重要で、制度が優れていても認知度が低ければ事業者は取得に走りませんので、そこの円滑なデータの流通を促進す3

るツールとして機能するように普及啓発をすることが必要だと思っております。
二つ目は、SCC等の締結によって越境移転は可能ですが、コスト・人員等で中小企業は対応が困難でございます。そういうところに対して補助制度等が検討できないかという御提案でございます。これは、法的に直接影響ありませんが、APEC CBPRの場合、今、私達は国際会議に出ておりますが、シンガポールや韓国では、中小企業等については認証料 を取らずに認証を発行しております。ただ、その部分の費用はかかりますので、そこは国が負担してやっています。そういうことをやって、サプライチェーン上の中小企業も取得をするということができないだろうか、これが二つ目です。
三つ目が、IAPで継続的に取り上げつつ、比較検討だけではなくて、各国の法制度との整
合等越境移転ツールの導入障壁と対応策等、ツールとして機能するための具体的な議論を引き続き実施していただきたいというお願いでございます。
最後に13ページ目、「民間事業者等の取組を促す動機付けの仕組みや支援」です。機微性が高い情報の利活用を行う上で、先ほどの自由の確保、公共の安全、個人の保護を考慮する必要があります。手法としてはPIA（Privacy Impact Assessment）です。個人情報保護委員会のほうでは、民間の自主的取組として『PIAの取組の促進について―PIAの意義と実施手順に沿った留意点―』を公開しておりますが、策定には当協会も協力させていただ
きました。最近は、個人情報の扱いが増えてまいりまして、かなり高度なサービスも生まれています。その中にはPIAを必ずやったほうがいいものも出てきているのも事実です。ですから、PIAについて、もう一度再検討して、こういうサービスはやるべきであるというよ
うなことをガイドライン等で示すということが必要なのではないかと思います。
スマートシティ等で内閣府地方創生から出ている 書類にありますが、そこにはPIAは必須だという書き方をしていただきました。そのような形で進めていく環境が整った のではないかというのが最後の意見でございます。
非常に短いですけれども、雑駁ですが当協会の意見は以上でございます。御清聴、どうもありがとうございました。
○丹野委員長ありがとうございました。

事務局から何かありましたらお願いいたします。
○芦田企画官

特にございません。

○丹野委員長それでは、今の一般社団法人日本情報経済社会推進協会の御説明に対して、各委員から御質問等をお願いしたいと思います。どなたか。
小川委員、お願いします。
○小川委員

御意見、ありがとうございました。

昨今、大規模な漏えい等事案が発生しており、そのような例に鑑みると、三つのことが考えられると思っております。
一つは、委託先の事業者や派遣社員を含めた安全管理体制の整備、二つ目がシステム設計や運用を含めたヒューマンエラーの防止策、三つ目が不正アクセス対策の安全管理措置。
4

この三つの対策を講ずることが、漏えい等の防止のために重要であると考えております。
この点に関しまして、認定個人情報保護団体として、対象事業者における漏えい等を防止するために、どのような取組を行っているか教えていただけますでしょうか。よろし く
お願いします。
○JIPDEC

御質問、どうもありがとうございました。

今、出てまいりました委託先の管理、システム設計の話、不正アクセス等でございます
が、漏えい等事故につきましては、プライバシーマーク付与事業者で起きている事故もそうですが、全体の約７割が人為的ミスであり、残りの約３割がシステムに対する不正アクセスが占めています。
まず、不正アクセスに関しましては、これはゼロにすることができないというのが当協会の考えです。不正アクセスの被害に遭うことは避けられませんが、被害を最小限にする
ためにどうするべきか、この教育をするということが一つです。
次に、人為的な部分に関しましては、これは人的対策、又は技術的対策、物理的対策、組織的対策、この四つのルールをしっかりと順守するということが大切です。
一方で事業者は、どこまでやれば十分なのかが分かりません。そこで当協会の方では、常日頃から事例を収集して、それを対象事業所に情報発信する形で提供しています。事例を見た事業者において、この事例なら導入できると判断していただくという取組を進めているのが、今の状況でございます。
以上です。
○小川委員

どうもありがとうございました。

○丹野委員長ほかにどなたか。

中村委員、お願いします。
○中村委員

プレゼンテーション、ありがとうございました。

不適正利用等事案、海外の状況を踏まえたペナルティーの強化に関連してお尋ねしたいことが１点あります。
我が国において、個人情報の不適正利用事案や、個人情報データベース等の不正提供等事案が発生しているところ、諸外国における直近の執行状況も踏まえると、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げや直罰化、課徴金制度の導入を検討すべきではないかと考えます。この点について、資料１、 10ページの①に記載されていますが、「指導を中心とした対応から一段引き上げた対応」という御提案がありました。
これについて、具体的なイメージを教えていただけますか。
よろしくお願いします。
○JIPDECJIPDEC 認定個人情報保護団体事務局長の奥原です。よろしくお願いいたします。御質問、ありがとうございます。
先ほどの説明の中にもあったのですけれども、もう一段階の引上げというのは、ルールがあったとしても、それが執行されないと、守らなくてはいけない、重要であるというこ
5とが、なかなか事業者に肌感として伝わりづらいということがありますので、それを見せていくことが必要だろうということを意味しております。
先ほどの説明の際、消費者法に関する話なども例として挙げさせていただきましたが、これは、消費者の被害が山のようにありまして、消費者法を改正した方がいいだろうという建議が上がっての改正でありました。改正された後は、これだけ多くの問題があったものを改正法で正したのだから、執行例も増えるという傾向にあります。
その例が、個情法上で、どのように実効性をもってできるかという点はあるのですけれ
ども、事業者にとって見える化し、わかりやすく伝わる仕組みがあると良いのではないかということの意味でございます。
○中村委員

ありがとうございました。

○丹野委員長ほかに御質問は。

髙村委員、お願いいたします。
○髙村委員

貴重な御意見、ありがとうございました。

資料１、13ページに関し、３点ほど質問があります。
１点目は、「PIAの実施を求める必要がある」という記載がありますけれども、この意味
が、法的に義務付けるべきだという御意見なのか、それとも、先ほどガイドラインに記載という説明があったので、努力義務として規定した方がいいという御意見なのか説明いた
だきたいです。
２点目は、PIAの実施を求めるケースとして、具体的に、例えばどのようなケースを想定しているのかについて、説明いただきたいです。
３点目は、PIAを実施する際の評価項目についてですが、個人情報保護法やガイドライン
等の適法性についてのみ評価するのか、それ以外の評価項目もあるのか、もし別に評価項目があるのであれば、どのような評価項目がふさわしいのかについて、説明いただきたいです。
○JIPDEC

ありがとうございます。

まず１点目についてですが、PIAを法制の中で義務化しているのは、EUのGDPRがあると思います。GDPRでは、日本でいうところの要配慮個人情報や、全体のデータをモニタリング
する場合等、幾つかの例があって、その例に該当する場合にはPIAを行うべきである旨が規定されていると思います。
日本のサービスの中にも、そのような例が出てきています。特に令和２年・令和３年の改正個人情報保護法によって、民間事業者、国の行政機関等、地方公共団体等のそれぞれの間における、個人情報に関する壁がなくなってきているわけです。例えば、今まで地方公共団体等しか行えなかったことを、民間事業者もできるようになってきています。そのようなことを民間事業者が行う際に、依るべき基準は必要だと思います。当初のうちはガイドライン等で示す方法はあると思いますが、サービスの進み具合をみて、条文に規 定することも検討してはどうかと考えています。
6

２点目のPIAの実施を求めるケースについてですが、ヘルスケア系、後期高齢者向けサー
ビス、こども向けサービスについてのPIAの相談が、当協会には多く寄せられています。こうした事業では機微情報を扱うので、PIAを極力やりましょうということを、当協会から推奨して、やっていただくようにはしております。
３点目ですが、法律に規定することや、ガイドライン等に明記するだけでは、それは要求事項なのです。当協会は要求事項に対して、ここまでやれば十分であるということを示さなければなりません。その示す一つの基準が、日本産業規格のようなものであったり、国際標準であったりします。
PIAはISO/IEC 29134という国際標準がありまして、それを当協会においてリスト化しています。そうしたものを活用し、十分性をチェックすることで、しっかりとした運用ができるものになると考えています。
以上です。
○髙村委員

どうもありがとうございました。

○丹野委員長ほかにどなたか。

梶田委員、お願いいたします。
○梶田委員

貴重な御意見、ありがとうございました。

プライバシー強化技術（PETs）について、質問させていただきます。資料１、７ページの説明の際に、「各企業において、その適用を考え、ときには安全性を過重に重視し、サービスが行えない等のケースもみられる。」というものがありましたが、事業者において具体的にどのようなことが起こっているのか教えていただきたいと思います。
○JIPDEC

ありがとうございます。

事業者の内部では、当協会でもそうですが、新しい技術を使おうとする際には法務のチ
ェックを受けます。法務のチェックを受ける際に、その技術は大丈夫なのかどうかを 聞かれます。それをどこまで説明できるかということが現場側では課題となります。例えば、人工知能（AI）を使おうとした際に、ここまでのことが技術的に可能ではあるが、安全性の評価ができていないため、なかなかその機能が使えないという課題があります。
PETsも同様で、PETsというのは、秘密計算や連合学習等、幾つか技術はあるのですが、実は同意を取るところの認証もPETsの一つです。また、透明性を高める上では、ブロックチェーンという技術が使えます。最小化してデータを使うのであれば、ゼロ知識証明が使えるわけであります。様々な技術が使えるが、どこまでやれば十分なのかどうかの評価軸がまだ無いのです。
PIAについては、個人情報保護委員会が『PIAの取組の促進について―PIAの意義と実施手順に沿った留意点―』を作成されたように、一定程度ここまで行えばいいのではないかという基準を示されているため、広がってきている背景があります。それと同様に、 PETsについても、そのようなものを考えられたらどうかというのが御提案であります。
以上です。
7

○梶田委員

ありがとうございます。

○丹野委員長ほかにどなたか御質問は。

藤原委員、お願いいたします。
○藤原委員

どうも御説明をありがとうございます。

では、二、三、教えていただきたいと思います。
JIPDECは認定個人情報保護団体ということですけれども、団体傘下の事業者とＰマーク
取得事業者の重なり具合は今どの程度のものなのでしょ うか。
○JIPDEC

ありがとうございます。

資料のほうでは、５ページ目に今の対象事業所数、11,000社というのがあります。
プライバシーマークの方は、おかげさまで、今、18,000社まで延びております。7,000社
は当協会の対象事業者ではありません。これは金融とか業界が様々ありますから、そちらのほうの認定保護団体に入っていると認識をしております。
○藤原委員○JIPDEC○藤原委員○JIPDEC○藤原委員

差分の7,000は金融とかそういったところですね。
あと、医療とかです。
医療はＰマークがありますよね。指定団体。
はい。MEDISという団体が。
二つ目ですけれども、貴協会は、主たる業務の一つとして苦情処理を対応されておられますが、国や都道府県のレベルでも各種消費者相談がございますよね。連携というのはどのようにやっておられるのでしょうか。
○JIPDEC

ありがとうございます。

消費者団体との連携につきましては、今日同席している奥原が消費者団体の理事を兼ねておりまして、そこで連携しております。また、私も、非常に若輩者ではございますが内閣府消費者委員会等の委員になっておりまして、そこで取組などを提供させていただいて
おります。
○藤原委員

国や都道府県レベルで行っている各種消費者相談等の窓口等とは、具体的にどのように連携されているのかという観点からお答えいただければと思います 。
○JIPDEC

当協会に寄せられた苦情や問い合わせの相談を、消費者団体に投げかけることや、意見交換をするような、定期的に開催しているものはないのですけれども、当協会は消費者相談等の対応を強化するため、先ほど触れましたとおり、私も所属する消費者団体の賛助会員になっております。その消費者団体には国や都道府県の消費者相談窓口担当者も数多く在籍しておりまして、特定の事案については、消費者相談の現場に携わる方 々と連携が図れるよう環境を整えています。
○藤原委員

これは最後ですけれども、資料１、10ページにおきまして、未報告事案の厳罰化について触れられていますが、それは、一般社団法人日本情報経済社会推進協会という組織が認定個人情報保護団体としてであれ、Ｐマークの付与事業者としてであれ、一定の漏えい等事案の規模・数をほぼ正確に把握されていることが前提となっていると思いま8すが、厳罰化を唱えられる程度の感触やエビデンスがあるということでしょうか。
○JIPDEC

ありがとうございます。

この文脈というのは、先ほどの指導と執行の話に関係するところでして、一段階上げて執行をしたほうがいいという話を差し上げたと思いますが、その中で、目につかなければ何をやってもいいという形には、法律として規定している以上はなってはいけないと思うのです。そこについても、厳罰化という言葉がいいかどうか分かりませんが、何かしら罰則を科すルールというものを考えたらいいのではないかとの御提案でございます。
当協会としては、運営しているプライバシーマーク制度も含めて、事業者の ほうからは、
正直に事故の報告が上がってきて、それを集計して個人情報 保護委員会のほうには報告しておりますので、そこはしっかりやれているものと理解をしております。
何か補足はありますか。
○JIPDEC

これは、全ての事業者が義務として報告をすることに 、未報告があった場合に厳罰化するということではなくて、やはり大きな社会的にも影響を与えるような事案が発覚した場合ということです。そういう事案が、もし個人情報委員会様への報告が不十分であったり、万一されていないということがあったときには、その辺りをしっかり見ていくということが必要なのではないかということでございます。
○藤原委員

重大事案であるとか故意犯が個情委に上がらないということはないと言えると思うので、私の質問の前提は、認定保護団体としてのJIPDECとか、Ｐマーク事業者としてのJIPDECの制度の下で、漏えい事件を全部吸い上げられているだろうかという、何パー
セントぐらいが来ているのだろうかという実感をお持ちなのか教えていただきたいという意味です。
○JIPDEC

私たちの方としては、ほぼ全て上がってきているとは思っておりますけれども、取得していて外から何か報道が報じられて発覚をしたという大規模事例は 二つ位しか今のところなかったと記憶しております。しっかり把握しているものだと思っております。
○藤原委員○JIPDEC

いや、大規模事例ではなくて一般的な事例としてです。
一般的な事例についても、対象事業者からおおむね上がってきている所感でご

ざいます。
○藤原委員
○丹野委員長分かりました。ありがとうございました。
ほかにどなたか。

大島委員、お願いいたします。
○大島委員

御説明、ありがとうございます。

GDPRと、グローバルCBPRの枠組みの接点を模索して、より広いデータ流通枠組みの在り方というものについて、検討していくことが必要ではないかと考えています。 CBPR認証を担っているJIPDECとして、現状どのような問題があり、またそのような、より広いデータ
流通枠組みのニーズについてどのように考えていらっしゃるか、教えていただきたいと思います。
9

○JIPDEC

ありがとうございます。

APEC CBPRについては、先ほど事業者の認知度が低いと説明をさせていただきました。グ
ローバルCBPRになっていく過程での接点の話になりますと、様々な国に個人データが流通するDFFTの枠組みの中で、グローバルCBPRが確立していくことは、非常に良いことであり、事業者も歓迎するだろうと思います。
一方で、APEC CBPRの中の個人情報の保護要件、これはProgram Requirementsといいます
けれども、これと、グローバルの場合におけるProgram Requirementsは、異なるところが出てくると思います。
以上を踏まえますと、広いデータ流通の枠組みを作る際に、個人情報保護法の規定にかかわらず、何らかの要件の違反に対して、法執行が可能となるような仕組みは考えなくてはいけないのではないかと思います。ただ、グローバル CBPRは現在検討中でありまして、
制度自体は来年以降に立ち上がるものであるので、まずは、制度として立ち上げて、各国と議論をしながら、個人情報保護委員会に御提案と御助言等を申し上げ、制度的な枠組みの構築に貢献できればと考えています。
以上です。
○大島委員

ありがとうございました。

○丹野委員長ほかに重ねて御質問等はございますか。

よろしいですか。JIPDEC様、どうぞ。
○JIPDEC

恐れ入ります。今の大島委員の御質問に追加で申し上げますと、事業者様からは、様々なセミナーを開催した際に、色々な問い合わせを頂きます。また、事業者と直接会った際に寄せられる声としては２点あります。
一つは、PRPの認証ができないのかということであります。日本におきましても、ベンダ
ーやプロセッサー業務を主としている事業者が多く存在しておりまして、潜在的なニーズは高いと考えております。海外に本社があり、既に当該国で APEC PRPの認証を取得している事業者からも、日本でもPRPを導入しないと、制度自体の認知度も上がらず、認証取得事
業者数の向上も期待できないのではないかと思うという御意見を頂きました。
もう一つは、グループ認証についてです。今は米国とシンガポールにおいてグループ認証制度が行われており、ControllerとProcessorが明確に分かれているということにも起因するのですが、データをコントロールしている親会社と同じポリシーを一貫して使える前提があるのであれば、グループ認証できるということで、実施されています。
国際会議、グローバルCBPRの会合等で他国の審査機関や規制当局の方等と話をすることがありますが、日本に本社があり、海外に拠点がある事業者から、日本の法律上はグループ認証の枠組みがないため、グループ認証を取得するためにはどうしたらよいか問合せが入ると聞くことがあります。現状、日本に親会社がある企業は親会社、海外拠点のそれぞれが個社単位で認証を受ける必要がありますので、効率的な認証取得に向けて、当協会へもグループ認証の実現を希望する声が寄せられています。
10

グループ認証実現のためのハードルとしては、個情法上で、個人情報取扱事業者という一義的な括りとなっている点が挙げられます。グループ認証の対象は管理者である親会社の み と な り ま す が 、 管 理 者 と 処 理 者 の 区 分 け を す る の が 難 し い で す 。 APEC CBPR 上 のControllerとProcessorの関係性にも起因します。法律を改正するのか、もう少し広い枠で考えると、EU等との接続までも視野に入れた場合、今のAPEC CBPRは事業者がAPECの枠組みに適合しているのかを確認する際、最終的には個情法で執行をかけるというルールになっているため、限界があると思います。広いデータ流通の枠組みの実現に向けて、個人情報保護法の規定に関わらず、これを超えた枠組みを検討する必要があるのではないかと考え
ます。
以上です。
○丹野委員長

よろしいですか。

○大島委員

ありがとうございます。

○丹野委員長ありがとうございます。

それでは、追加の質問がなさそうなので、私のほうからお聞きします。
資料１、９ページに関しまして、事業者において、個人が権利利益の行使ができる環境を整備していない場合の対応を明確化すべきという御説明がありました。また、現実的に権利を行使できない可能性についても御指摘がありました。
そこで、まず、例にある問い合わせ窓口が対応できないとされている点、体制整備により外国にある第三者への情報提供がなされた場合の申し出が発生し得ないという点につきまして、もう少し詳しく御説明いただきたいと思います。
加えて、イメージしておられるのは、事業者に環境を整備する義務を課した上で、違反した場合の措置を法律上で規定するということなのでしょうか。
また、個人の権利利益保護のための手段を増やすという観点から、消費者団体訴訟制度の導入を検討すべきという指摘もあります。仮に当該制度が成立したとして、例えば、認定個人情報保護団体がその運用を担うということは考えられるか否かについても御説明い
ただきたいと思います。
○JIPDEC

資料１、９ページの内容は、実際に当協会が CBPRの認証に際し事業者に伺った際に見ているものでありまして、事業者が法律を守るうえで極力最低限で進めようとするのは、致し方ない部分もあると思います。そこで、窓口として一つを設置しておりますが、消費者側に知識がないと問い合わせができない作りになってしまっているというのが、ここでの課題であります。そこに対しては、環境を整備する義務を事業者に課したうえで、罰則等も進めた方がいいのではないかと考えております。
○JIPDEC

少し付け加えさせていただきますと、例えば、問合せ窓口という、苦情の問合

せなのか、製品の問合せなのか、何もわからない問合せ窓口が一つだけあり、当該窓口への問合せ可能な事項に令和２年改正で規定された安全管理措置の公表内容に関す ることも含まれる場合、全ての安全管理措置を公表することはリスク等になるため、安全管理措置
11

に関する詳細な情報について公表することを控えている事業者もあります。このような場
合に、どのような安全管理措置を講じているかを確認することは可能でありますものの、
安全管理措置を尋ねる問合せ窓口であることを理解している消費者がどの程度いるのかという問題があります。
令和２年改正法により、第三者提供記録の開示等、個人の権利利益が拡充されましたが、この場合も同様に実態が伴っていないことが考えられます。また、基準適合体制が整備された外国等に越境移転する際は本人の同意なしで個人データを移転できますが、後で本人の求めがあった際に対応できるように準備する必要があるため、当然、最初からそれらは準備されているべきでありますところ、CBPRの審査においても、消費者が理解できる高いレベルまでの実施は、事業者により濃淡があります。ただしそれは違法ではないです。ガイドライン等に環境整備の具体的な対応を例示していただければ、事業者も対応しやすく、当協会としても個人情報保護法上の根拠に基づき、高いレベルでの適正な取扱いを推進しやすいです。シンプルな問合せ窓口だけを設置している場合は、安全管理措置であります
とか、苦情や商品サービスや、それ以外の自分が了知しない間に自身の個人データが移転されていた場合に、後で本人の求めに応じて各種対応ができるという、問合せ内容に関する注意書きを入れておくと、消費者が制度を知ることができます。せっかく法改正により個人の権利利益が拡充されたので、活用されていくべきではないかと考えます。
○JIPDEC

次は、後段のほうの集団訴訟等の対応が認定保護団体でできるかという御質問に対して御回答いたしますが、対応できる認定個人情報保護団体は極めて限られているのではないかと思います。先日も認定個人情報保護団体の連絡会があったのですが、新しく認定個人情報保護団体が一つ増えたという喜ばしい報告を頂 きました。しかし、全体的にみると、財務的な基盤が安定している認定個人情報保護団体がまだまだ少数であり、全体的に同じようなことができるかというと、難しいと感じ ます。訴訟の要因を精査するための個人情報を含む法制度に対する深い知見や、法の専門家との連携も欠かせ ません。もし、そのような制度を検討されるのであれば、認定個人情報保護団体を呼んでいただき、どのような形であれば対応できるのかという議論をする場を設けていただけると、私達としても積極的に意見を述べられると思います。
以上です。
○丹野委員長ありがとうございました。

それでは、御説明をありがとうございました。
本日、お二方からいただいた御意見も含めて、個人情報保護をめぐる様々な状況について、更に各方面の意見を聞きながら課題を整理してまいりたいと思います。
それでは、JIPDECの坂下様、奥原様、本日はありがとうございました。御退室いただけますか。
（一般社団法人日本情報経済社会推進協会退室）○丹野委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りし12ます。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。次の議題は、監視・監督関係者以外の方は御退席願います。
（監視・監督関係者以外退室）○丹野委員長

議題２「青森県上北郡野辺地町における保有個人情報の取扱いについての

個人情報の保護に関する法律に基づく行政上の対応について」、事務局から説明をお願いいたします。
（内容について一部非公表）○事務局

よろしくお願いいたします。

本件は、青森県上北郡野辺地町の健康づくり課の職員が USBメモリを紛失した結果、そこに記録されていた個人情報の漏えいのおそれが発生したものです。これにより、野辺地町
民及び既に同町から転出等している方を合わせて計 12,856人分の個人情報の漏えいのおそれが生じました。
本件USB内に記録されていたデータの内容は、新型コロナウイルスワクチン業務に関わるデータが多くを占め、また、要配慮個人情報である健康診断結果が含まれる方も 51名いらっしゃいました。
次に、本件における個人情報保護法上の問題点でございます。
まず、物理的安全管理措置の不備が見られました。本件USBは、定められた場所に保管をしていたものの、引き出しの施錠は行われておりませんでした。また、暗号化等によるア
クセス制限も行われておりませんでした。
続いて、組織的安全管理措置においても不備が見られました。野辺地町では、USBメモリの持ち出し及び返却に関する管理台帳を作成しておらず、取扱状況について適時確認する
適切な手段が整備されておりませんでした。
最後に、報告遅延についてです。野辺地町より、当委員会に速報の提出が行われたのは
当該事案の発覚後28日目でした。庁内における速やかな報告連絡体制に問題があり、また、委員会への報告についても適正な取扱いがなされておらず、安全管理上の問題への対応が不十分であったと言えます。
最後に、当委員会の対応方針（案）につきましてです。
野辺地町健康づくり課は、住民の特定健康診断業務や新型コロナウイルスワクチン業務等を行っているところ、それらの業務において取り扱う個人情報には、健康診断結果等の要配慮個人情報が含まれており、本人に不利益が生じないように、その取扱いに特に配慮を要するべきでございました。また、漏えいしたおそれのある保有個人情報に係る本人の数は、転出者等も含めて12,856名と多数であり、町民の大部分の個人情報が含まれていることから、極めて重要な事案として指導を行い、また、再発防止策の実施状況につきまし13

ては、資料の提出及び説明を求めることとしたいと考えております。
また、公表資料の範囲で公表することとしたいと考えております。
事務局からは以上です。
○丹野委員長ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
中村委員、お願いします。
○中村委員

地方公共団体における USBメモリ等の外部記録媒体の管理に関連してコメントします。
地方公共団体ではLGWAN接続系や個人番号利用事務系等、複数のシステムが用いられて
おり、システム間の個人情報等のデータ連携にUSBメモリを使用することも多いと聞いています。
USBメモリはデータ連携時の一時的記録として使用し、使用後はデータを削除することが望ましいと考えます。ところが、本件のように、データ連携ごとに使用したUSBメモリの内容を消去せずにいれば、格納された個人情報の数はすぐに膨れ上がり、また、それを適正に管理せずに紛失すれば、本件や、過年度の尼崎市のような重大事案となることも考えられます。
このようなことの無いように、野辺地町の再発防止策の実施状況をよく確認していただ
くほか、本件についての公表や、検査等での確認を通じて、他の地方公共団体にも USBメモ
リ等の取扱いや管理について周知徹底を図っていただきたいと思います。
以上です。
○丹野委員長ありがとうございます。

ほかにどなたか御質問、御意見等はありますでしょうか。
よろしいでしょうか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思いますがよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を準備が整い次第、委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要については公表しないこととしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
それでは、議題３「監視・監督について」、事務局から説明をお願いいたします。
（内容について非公表）○丹野委員長それでは、本日の議題は以上になります。
14

本日の会議はこれで閉会でございます。

15