資料１－２「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集結果（概要）

令和６年９月
個人情報保護委員会事務局

意見募集結果の概要
１ 実施期間
令和６年６月27日(木) から同年７月29日(月)まで

２ 意見提出者数及び提出意見数（１） 意見提出者：〇 各種団体・事業者
72者（うち団体43者、事業者等29者）〇 個人（匿名含む。） 1,659者（２） 提出意見数： 合計2,448件 ※ 本中間整理と関係が無いと考えられる意見14件を除く。
特に意見の件数が多かったもの
本人同意を要しないデータ利活用等
1,560件（うち生成AIに関するもの
1,486件）
こどもの個人情報等

150件

生体データ

120件

不適正利用/適正取得

92件

漏えい等報告

67件

課徴金

52件

個人の権利救済手段

48件「４ その他」について48件

オプトアウト等

47件
1パブリックコメントにおける主な御意見
中間整理全体・第１ はじめに（中間
整理の位置づけ等）※掲載の都合上、御意見提出者の「株式会社」、「一般社団法人」等の記載は省略しております。

◼ 様々な論点について議論を続けていく必要があることに賛同。３年ごと見直しにとらわれず、時宜にかなったテーマで様々なステークホルダーが参画し、実態把握・影響分析を行い、社会的コンセンサスを形成するための丁寧な議論を踏まえた検討をしてほしい。【日本経済団体連合会、新経済連盟、電子情報技術産業協会（以下、JEITA）、日本電気】◼ ３年ごと見直しを行うことに賛成。デジタル化の急激な進行等により権利利益が侵害されるリスクのある事案が急増しており、表出している課題に対応すべく迅速・適切に法改正を行うことが必要。【全国
消費生活相談員協会】◼ 今回の中間整理で示された事項については現状の個人情報保護法の不備を示しており、先送りすることなく今回の法改正にできる限り是正を盛り込めるスケジュールで検討を進めるべき。【弁護士有志】◼ 一部団体からの意見は存在するが、技術の動向や国際潮流も踏まえて、個人の保護を適正に行いつつ、データの利活用をアジャイルに進めるためには3年ごと見直しは不可欠。【個人】◼ 中間整理の論点全体について、「ステークホルダーと議論するためのオープンな場」を設けて、双方向性のある議論・対話をしていただきたい。【日本自動車工業会】◼ ステークホルダーと継続的な議論を行う際、個情委がスタートアップや中小企業の意見についても十分にインプットを受けて検討を行うことができるよう、今後の議論の進め方について考慮が必要。
【Polisee】◼ 今回の中間整理前のヒアリングに市民社会・消費者を代表するメンバーがほとんど呼ばれず、事業者
中心のヒアリング内容が「関係団体」の意見として記載されているのは看過できない問題。【全大阪消費者団体連絡会】◼ データ利活用について事業者の利活用ニーズや既存法に当てはめた場合の課題を積極的に吸い上げて実現に向けて推進する枠組みが存在しない。データ利活用を促進する官民連携の枠組みを作ることを期待。【新経済連盟】◼ 中間整理の位置付けは、デジタル社会やデータ利活用の在り方を俯瞰（ふかん）した内容とすべき。
デジタル社会に真に求められる一般法としての個人情報保護法の在り方や個情委の在り方を広範に議論する土台として位置付けることを期待。【日本経済団体連合会】

2

パブリックコメントにおける主な御意見
中間整理全体・第１ はじめに（中間
整理の位置づけ等）◼ 利活用の促進が優先ではなく、本人の権利利益の適切な保護が重要。個人情報保護法は消費者にとって重要だが、難解で理解しにくい部分が多い。国民の理解を促進するような情報提供が必要。
【全国消費者団体連絡会】◼ 規律拡大の論点については、まずは立法事実の明確化など精緻な議論が行われることが大前提であり、事業者に萎縮効果を及ぼすことにならないようにすることが必要。【制度・規制改革学会】◼ 「匿名加工情報」、「仮名加工情報」が具体的にどのように利用されているか、「個人関連情報」がどのような役割を果たしているのか等説明してほしい。【日本IT団体連盟】

第２ 個別検討事項
２－１ 個人の権利
利益のより実質的な保護の在り方
２ー１－（１）
個人情報等の適正な取扱いに関する規律の在り方
ア 要保護性の高い個
人情報の取扱いについて（生体データ）◼ 生体データの取得や取扱いの制限を強化する必要がある。実効性のある規律の在り方を検討することに賛成する。【全国消費者団体連絡会、日本消費生活アドバイザー・コンサルタント・相談員協会（以下、NACS）、在日米国商工会議所（以下、ACCJ）、Apple】◼ 生体データは極めてセンシティブな情報であり、本人の意思による取扱いへの関与の仕組みの構築が必要。【主婦連合会、日本マイクロソフト】◼ 人間の肖像、外観、声、絵柄、場合によっては筆跡などは生体データとして保護すべき。【個人】◼ 生体データについて追加的な保護を必要とすると考えるべきであることに同意。「自然人を一意に識別することを意図した」データとして定義することが重要。「本人による利用停止を柔軟に可能にする」こと
は事業者への過度な負担にならないような合理的な規律が望まれ、ガイドライン等で明示してほしい。
犯罪予防や安全確保といった重要な目的との観点、セキュリティ上のリスクに対応した生体認証の利用等に不都合が生じないように例外を認めるなど配慮してほしい。【ACCJ、日本IT団体連盟】◼ 自然人を一意に識別することを目的とする生体データ（指紋や顔特徴データ）については、要配慮個
人情報として、原則として取得の際に本人の同意を義務付けてはどうか。個人にとってリスクの低い利用法については政令やガイドライン等で除外してはどうか。【My Data Japan公共政策委員会（以下、My Data Japan）】◼ 顔特徴データ、声紋、歩容等の生体データは、要配慮個人情報としてその取得には原則として本人の同意を要することとし、公益的見地から一定の例外を設けるのが妥当である。したがって、行政による生体データの扱いも同時に検討すべきである。【個人】
3

パブリックコメントにおける主な御意見２ー１－（１）
ア 要保護性の高い個
人情報の取扱いについて（生体データ）◼ 現行の規律で不十分な点があるのか確認し、ある場合には対象となる生体データの定義を明確化した上で、ガイドライン通則編やQ&Aで規律の明確化をしてはどうか。【JEITA】◼ 生体データの保護は、その重要性に鑑みて、事業者の自主的な取組の促進だけでは不十分であり、国が具体的かつ実効性のある厳格な規律を設ける必要がある。【匿名】◼ 知らないうちに自身が街中で監視され行動を追跡され分析された結果を利用されるのは不安。【個人】◼ 生体データを「本人を認証できるようにした」データとして定義することは、写真などの個人を含めるといった過大な拡大を行うことなく、適切な保護を確保するために極めて重要。【日本マイクロソフト】◼
「個人識別符号に該当する生体データ」と呼称した方が対象が明確になるのでは。【My Data
Japan】◼ 「生体データ」の定義を明確化すべき。「生体データ」という用語の見直しを検討すべき。事後的な利用停止は事業者の過度な負担にならないよう検討すべき。【日本経済団体連合会、日本電気】◼ 規律の在り方の検討に当たり、個情委が公表している「犯罪予防や安全確保のための顔識別機能付
きカメラシステムの利用について」に記載された内容と矛盾が生じないように留意してほしい。【日本電気】◼ 防災や犯罪・不正防止等、社会的に意義のある目的での利活用が現実的に一切実現しなくなるような制度は避けるべき。【新経済連盟】◼ 防犯・防災は特別のルールを設けることが適切。【個人】◼ 本人による事後的な利用停止については、個人の権利利益に照らして、事業者が現実的に運用が可能な規範とすることを希望。【ソフトバンク、アマゾンジャパン、ACCJ】◼ 「生体データ」について、医療分野の研究開発におけるデータの利活用の阻害要因とならないよう、関係ステークホルダーに意見を聞きながら、用語の見直し及び用語の明確化を慎重に行うべき。【日本製薬工業協会、日本製薬団体連合会】◼ 郵便物等の配達に用いる個人データのように、社会インフラとして必要不可欠な個人データもあるため、「他の保有個人データ以上に柔軟に事後的な利用停止を認める」場合においても、社会インフラとしての機能に影響を及ぼさないように運用していただきたい。【日本郵便】

4

パブリックコメントにおける主な御意見２－１－（１）
イ 「不適正な利用の禁止」「適正な取得」の規律の明確化◼ 不適正な利用の禁止、適正な取得の規定については、個人の権利利益の保護により資するものとするとともに、事業者による予測可能性を高める観点から、適用される範囲等の具体化・類型化を図る必要があるとの中間整理の考え方に賛成。【弁護士有志、ソフトバンク、BSA｜ザ・ソフトウェア・アライアン
ス（以下、BSA）、NACS、日本損害保険協会】◼ 具体化・類型化にあたっては経済界と十分な対話を行うべき。【日本経済団体連合会】◼ 不適正利用事案については、適正な利用とは明らかに異なる不適正な利用について例示を積極的に示した上で、適切な執行をしてほしい。【新経済連盟】◼ 代替困難な事業の類型化を示唆している点には懸念を有する。具体化及び類型化を各事業分野やビ
ジネスモデルとの関係で過度に行うと、従前各監督官庁によって法令解釈が示されていた時のように、セクター別の規律が個人情報保護法に取り込まれてセクター間で整合性を欠いたり、また、イノベーションによる新規のビジネス・サービスモデルの出現を妨げたりするおそれがあるため、望ましいアプローチとはいえない。個人の権利利益に悪影響を与えるリスク等の結果に重点を置き、利用目的の明確な提示による本
人への適切な情報提供を充実させるべき。PIAの採用を推奨。【ACCJ、マイクロソフト】◼ 安易に「代替困難性」によって情報取得や利用の適正性を判断すべきではない。【新経済連盟】◼ 事実上本人に選択の余地がないケースにおいては、より厳格に不適正利用・適正取得の規律を適用すべき。同意の分かりやすさや実質的選択の確保も改善余地がある。【主婦連合会、NACS】◼ 実質的な選択を前提として利用者の同意が有効であるべきことに賛同。利用者の認識や同意なしに個
人情報を不正に取得したり、共有したりすることは厳重に扱われなければならない。個人に関連する情報は個人に対する一定のリスクがあることに賛同する。事業者が個人に連絡できる場合のみならず、事業者間のトラッキングなど、個人情報の共同利用や第三者提供に類する行為とみなされる目的で情報を取得する場合には、同意を得る必要があると考える。【ACCJ、Apple】◼ 電話番号、メールアドレス、Cookieなどの情報も、多くの場合、特定の個人を追跡可能であり、ターゲ
ティング広告等により当該個人の自由な意思決定に影響を及ぼし得るのであるから、電話番号、メール
アドレス、Cookieなどの情報も個人関連情報とするのではなく、個人情報に該当するとすべき。アプリ・
ウェブサイト利用履歴等も含め海外と足並みをそろえ個人データとして保護すべき。【匿名、個人】

5

パブリックコメントにおける主な御意見２－１－（１）
イ 「不適正な利用の禁止」「適正な取得」の規律の明確化◼ 連絡手段として使える個人関連情報について個人情報と同様に不適切利用の禁止の規律や適正な取得の規律を適用することに強く反対。Cookie IDは連絡可能な情報ではないし、連絡手段として使えるかどうかと個人情報として個人情報保護法で保護するかどうかは別問題。【新経済連盟】◼ 「個人に対する連絡が可能な情報」を適切に定義すべき。Cookie IDが電話番号やメールアドレスと同列に並べられていることに違和感。【日本経済団体連合会、経営法友会】◼ 正当な目的でのCookieの利用を妨げるべきではない。【経営法友会】◼ 個人関連情報に本人に連絡可能な情報が含まれている場合に、個人情報と同様に権利利益の侵害のおそれがあるとする考え方は正しい。義務規定の拡大が適正取得義務（20条）や不適正利用の禁止（19条）のみでは狭い。個人の権利利益をより実効的に保護するため、個人にリーチ可能な
個人関連情報（ブラウザやデバイス等を特定するための識別子等、メールアドレス、電話番号、クレ
ジットカード番号、ソーシャルメディアのIDや広告識別子等）は、個人情報として扱い、安全管理措置
義務等の義務も対象とすることを検討すべき。【My Data Japan】◼ 「個人関連情報」である電話番号、メールアドレス、Cookie IDなどについては、それぞれが単体のレベ
ルでも「個人情報」と扱うべき。【全国消費者団体連絡会、全国消費生活相談員協会、asura】◼ 送信においてCookie IDがどのように作用しているかに着目すれば、問題の本質は、連絡が可能なこと自体よりも、データに基づいて個人別に異なる扱いを体系的に実施できることに着目したものと捉えるべきである。すなわち、中間整理が言う「個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ」るのは、データに基づいて個人別に異なる扱いを体系的に実施できる場合と捉えるべき。【個人】◼ 取得のみならず利用（出力）も含めた適正さを評価できるようにし、個情法上の統計化や匿名化処
理と著作権法30条の４第2号「情報解析」について共通性のある整理や立案をお願いしたい。【匿名】

6

パブリックコメントにおける主な御意見２ー１－（２）
第三者提供規制の在り方（オプトアウト等）◼ 現行法を順守する個人情報取扱事業者のみが更に改正事項を遵守した場合に規制の実効性があるのか。悪質な事業者について個情委による把握が可能なのか。【三浦法律事務所】◼ オプトアウト届出事業者の義務を強化すること及び本人のオプトアウト権行使の実効性を高めるための措置を検討するとの考え方に賛成する。【弁護士有志、NACS】◼ 現行の規定ぶりは個人情報保護の規定を「骨抜き」にしている感が否めない。【主婦連合会】◼ 現状十分な保護がなされているとは考えられず、利活用以前にデータの保護を最優先としその実効性を高めるよう罰則を設けるなど制度の検討をいただきたい。【個人】◼ 個人データの第三者提供は本人同意が原則必要。【全国消費者団体連絡会、全国消費生活相談員協会】◼ より厳格な認可制の導入や、いわゆる名簿屋の禁止など、より強力な規制の導入を検討すべき。現行制度の下でもオプトアウトの方法や手続きの簡素化、一元化などを検討すべき。【My Data Japan】◼ 個人の権利利益保護を図りながらも、届出事業者に過度な負担とならず、制度趣旨に反しない合理的な程度ないし範囲の確認義務となるよう、検討いただきたい。【ユーザベース】◼ 市販品である住宅地図帳や電子住宅地図を、代理店や書店等（以下「代理店等」）を通じて販売することも多く、万一、提供先の利用目的や身元等を個別に確認・把握することが義務化された場合には、代理店等が大きな負担を強いられることが想定される。【ゼンリン】◼ 市販されている地図や衛星データ、法人の代表者情報などを販売する事業者においては、かかる規制の対象外とすべきである。個情委などへの届出制度等の中で、一定の要件を満たす適切な事業者についてはオプトアウト届出事業者に課せられる義務の対象外とするなど、適切な審査基準を検討いた
だきたい。【全国銀行協会】

7

パブリックコメントにおける主な御意見２－１－（３）
こどもの個人情報等に関する規律の在り方◼ どういうリスクがこどもの脆弱性や敏感性に問題になるのか議論されないまま形式的な規範を決めることに違和感を感じる。規制のかけ方を決める前に、何がこどもにとって具体的なリスクなのか、何を目的に、こどもの何を守るべきか明確に定めるべき。個人情報の取扱いだけではなく、オンラインでのこどもの利用
環境全般について、関係省庁を交えて議論を行い禁止すべき事項等を整理すべき。【ソフトバンク】◼ こどもの個人情報をより慎重に扱うように求める方向性に同意。法定代理人の同意を取得すべきことを法律上の規定上明確化すること。各国との整合性に配慮いただいた検討を望む。【ACCJ、日本IT団
体連盟、Apple】◼ こどものデータに係る利用目的の制限が必要。人格形成期であるこどもをマーケティングの対象とするためや、不利益や差別をもたらすようなプロファイリング行為は禁止することが必要。【個人、日本IT団体
連盟】◼ こどもや高齢者であること、認知力や判断力に脆弱性などを有する者であることが推知され得る場合に、彼らを対象としたターゲティング広告の表示や誘導、欺まん、その他彼らの脆弱性を突くような行為を禁止することが重要。【My Data Japan】◼ 保護の在り方については、こどもに関するデータの活用による有用性・公益性等に鑑み、こどもに関するデータを取り扱う事業者に過度な負担を強いる規制・データの利活用を阻害する規制とならないよう、保護と利用のバランスに十分配慮した形での今後の詳細な制度設計を期待。【こどもDX推進協会】◼ こどもの支援や教育といった政策にも大きく関わる分野であることから、こども家庭庁など、関係省庁も含むステークホルダーを交えたうえで、利活用の観点からも慎重な議論をすべき。【新経済連盟】◼ 法定代理人の同意取得を法律に明確に規定すべき。【全国消費者団体連絡会、NACS】◼ 諸外国の法令を参考に、こどもの個人情報保護を強化すべき。利用停止請求権の拡張、安全管理措置義務の強化、責務規定の明記等を検討し導入することを求める。【主婦連合会、NACS】◼ こどもの個人情報保護を推進する考え方に賛同。しかし、個人情報取扱事業者が、こどもの個人情報を取り扱うあらゆる場面で、法定代理人からの同意取得や法定代理人への情報提供を行っていくことは大きな負担と思われるため、こどもの個人情報の一部について規制する、あるいは一定の場合に対象年齢を13歳未満とするなど、慎重な検討が必要。【WOWOW】

8

パブリックコメントにおける主な御意見２－１－（３）
こどもの個人情報等に関する規律の在り方◼ 個人情報にこどもの情報が含まれているか分からない場合があり得る。年齢取得の必要性がないのに、こどもか否か確認するために過剰に取得することが起こらないように配慮してほしい。実態の把握と影響分析をしっかり行うべき。【JEITA、新経済連盟】◼ プリントシール機のユーザーから直接個人情報を取得し、その利用目的を画面上で明示しているが、16歳以下の利用者が親と一緒に利用するケースはほとんどないため利用できなくなってしまうおそれがある。【フリュー】◼ 家庭内で問題を抱えたこどもへの支援に必要な場合など、法定代理人の関与が必ずしもこども本人の利益にならない場合があることにも留意すべき。【新経済連盟】◼ こども本人と法定代理人の利益が相反するなど、一定の場合には、法定代理人からの同意取得を要さないとする例外を定めるべき。【個人、AI法研究会プライバシー部会有志】◼ こどもを対象とする臨床試験の参加に関する説明・同意は法定代理人に限らず「代諾者」で可能とされているため、「法定代理人等」で可能となるよう厚労省と調整してほしい。【日本製薬工業協会】◼ こどもの個人データのみ安全管理措置を強化する妥当性があるのか、事業者に過度な負担にならない
ようにしてほしい。（こどものデータと他のデータは一体的に管理されている場合が多く、）こどものデータのみを対象とする安全管理措置の強化に反対。【JEITA、ACCJ、日本IT団体連盟、日本経済団体
連合会、キッズライン】◼ 起因するリスクに応じて、必要かつ適切な安全管理措置が必要。【コドモン】◼ 利用停止権の請求権を拡張しても、請求権の行使が一般的でない我が国では寄与は限定的。こどものデータの保存期間を限定して満了後にデータを消去する等の義務を事業者に新たに課してはどうか。
【日本IT団体連盟】◼ 利用停止・消去請求権の拡大が、プライバシーの重視（自己情報コントロール）の観点から強く要請される。JISQ15001において広く実現されている運用である、法令違反等を条件としない利用停止、消去、第三者提供の各停止請求を原則として義務化してはどうか。【My Data Japan】◼ 年齢基準は具体的な年齢提示の方向の検討に賛同するが、年齢確認までする必要があるのか。必要な場合どのような方法か。【ACCJ】
9

パブリックコメントにおける主な御意見２－１－（３）
こどもの個人情報等に関する規律の在り方◼ 年齢確認の方法については、（ゼロ知識証明を活用することで、本人の年齢（生年月日）を取得せずとも成年がどうかの判別ができる等）プライバシー強化技術（PETs）の利用についてガイドライン等
で触れられるべき。【AI法研究会プライバシー部会有志】◼ こどもの自己決定を尊重する考え方から、一定の同意能力があると考えられる年齢（たとえば13-15
歳）のこどもについては、法定代理人の同意とともに、こども本人からの同意取得を要する場合がない
か慎重に検討すべき。【AI法研究会プライバシー部会有志】◼ 成年年齢、商取引等の契約は18歳が基準であり、関係の整理が必要。【ソフトバンク】◼ 16歳未満という年齢設定の根拠について引き続き検討し、日本の現状に即した基準年齢を示すことを希望する。【NACS】◼ こどもの定義を16歳以下とすることを支持。さらに、13歳未満と16歳未満を区別することを検討すべき。
【日本マイクロソフト】

２－１－（４）
個人の権利救済手段の在り方◼ 適格消費者団体を念頭においた差止請求や被害回復請求の制度導入に反対。【日本経済団体連
合会、新経済連盟、日本損害保険協会】◼ そもそも経済界が導入に反対しているのは、これまでの個情委による執行等に対する強い不信感に起因。【日本経済団体連合会】◼ 差止請求が可能となる要件次第では濫用的に請求がなされるおそれがあり、過度の萎縮効果が発生しかねないから、制度の導入等を含めて慎重に検討することが必要。【個人】◼ 適格消費者団体を念頭におく点、団体による差止請求は慎重に議論すべき。被害回復制度に個人情報保護法違反がなじむのか。【三浦法律事務所】◼ 個人情報の分野は「法に違反する不当な行為」の外形的判断が困難。関係ない事象で疑いをかけられて差止請求を想定した申し入れ等が発生すると事業活動に支障。被害回復請求制度は、消費者裁判手続特例法で慰謝料請求が可能であり、その施行状況を見守るべき。【新経済連盟】
10

パブリックコメントにおける主な御意見２－１－（４）
個人の権利救済手段の在り方◼ 民間団体による差止請求制度を導入する方向性について検討すること自体には反対しないが、制度の担い手を適格消費者団体とすることは、既存の制度を安易に流用しようとしただけの乱暴な政策論といわざるを得ず、強く反対。日本の適格消費者団体は個人情報保護法についての専門性がないた
め、ワークしないであろうことが指摘されており、制度の担い手として適当とは思わない。【個人】◼ 適格消費者団体による差止請求制度や被害回復制度の枠組みに賛成。【匿名、個人、消費者支
援機構福岡】◼ 適格消費者団体が、個人に代わって差止請求を行う制度を取り入れれば、個人の権利救済に大きく資する。ただ、適格団体による団体訴訟が実質的に機能するためには、端緒情報の取得や個情委との連携等さらなる論点の検討が必要。【全国消費者生活相談員協会】◼ 適格消費者団体を担い手とすることは妥当。単に団体に権限を付与するだけではなく、担い手である団体に対して専門性を確保するための措置、個情委が有する端緒情報の共有、団体への活動支援の観点からの資金的援助、慰謝料請求の対象の情報漏えい事案一般への拡大、事実立証のための事業者保有情報等へのアクセス確保などの条件が満たされることが、制度が機能するためには必須。
【適格消費者団体等14団体】◼ 適格消費者団体による差し止め制度、特定適格消費者団体による被害回復制度に対する慎重論、反対論については、これまで適格消費者団体が行ってきた差止め行為や被害回復行為の履歴と組織の現状を鑑みれば、過度の警戒である。濫訴の恐れは、実態から乖離した空論。【個人】◼ 適格消費者団体を活用すべき。個人情報保護法違反に対する抑止力が高まる。個々の個人が法的手段を講じることが困難な状況下においても、専門的知見を有する団体が代わって行動することが可能となり、事業者の法令遵守意識が向上し、個人全体の利益保護に寄与することが期待される。
【主婦連合会、NACS】◼ 適格消費者団体は、総体として、多数の事業者と交渉ないし訴訟を行った結果、違法な契約条項や勧誘行為の是正を実現している。個情法への導入の際は、権能を実効化すべく、個情委が有する情報のうち、団体訴訟制度の活用に資する情報を提供可能である制度等を設けるべき。【個人】◼ プライバシーに対する苦情を解決するのは個情委が最も適任であると認識。【Asia Internet
Coalition Japan（以下、AICJ）】

11

パブリックコメントにおける主な御意見２－２ 実効性のある
監視・監督の在り方
２－２－（１）
課徴金、勧告・命令等の行政上の監視・監督手段の在り方
ア 課徴金制度◼ データ利活用のさらなる萎縮効果をもたらすため課徴金制度の導入に強く反対。【日本経済団体連
合会、新経済連盟、日本損害保険協会】◼ 一部の悪質な事案のために全ての事業者を課徴金制度の対象とすることは、事業者にとって大幅なコスト増加と甚大な萎縮効果を惹起。【日本経済団体連合会】◼ AIやクラウドなど新たな技術に対して法解釈が必ずしも明確ではない部分が存在する現状において、思いがけず厳しいペナルティを受ける可能性が生じるとイノベーションを阻害し事業活動が萎縮する。
【JEITA】◼ 課徴金制度の導入は、国内事業者に対して非常に強い萎縮効果を生じさせる懸念があり、導入の要否については極めて慎重に議論されるべき。導入された場合、サイバー攻撃者に対して身代金を支払う方が経済的合理性があるといった事態をどう避けるか説明してほしい。【日本IT団体連盟】◼ 個人情報の漏えい事故が生じた際に、「必要かつ適切」な措置であったか適切に判断することは困難であり、悪質か否かを適切に評価することは更に困難。課徴金制度は事業者に対して過度な安全管理措置を求めることになりかねない。安全管理措置の不備に対する課徴金の適用は控えてほしい。
【JEITA】◼ 不当に得た利益のはきだしという目的に合致するものがあるのか。具体的にどのような事例を指しているか分からず、予見可能性がない。【新経済連盟】◼ 現在命令や緊急命令も可能であるが、それらの措置が講じられた事案が少ない中、新たな課徴金制
度導入には慎重な議論が必要。新破産者マップ以外は指導等で改善された現状があるのではないか。
現行法の運用における監視・監督権限行使は、秘密保持や手続的基準が明確ではなく懸念の声がある。課徴金執行のスコープに入るのか否かを判断する手続きを含め、適正さが担保されないと看過しがたい影響がある。【三浦法律事務所】◼ 課徴金制度は経済活動を萎縮させる可能性があり、導入には慎重な検討が必要。仮に課徴金制度を導入する場合、明確で透明性のある要件が必須である。具体的事例（過去に起きた事案の該当性及び該当する場合の課徴金額を明確にするなど）による説明も併せて発信し、事業者にとって明確に判断できる材料を提供し、安全管理措置義務に対する整備に必要な金額規模が事業者にとって分かりやすいものにしていただきたい。【全国銀行協会】

12

パブリックコメントにおける主な御意見２－２－（１）
ア 課徴金制度◼ 課徴金賦課対象となる違法行為類型について、どのような行為が「悪質な違反行為」となるのか予測可能となるよう、その範囲を明確化すべき(個人データの違法提供で不当な利得を得ている場合、個人データの漏えいが発生している可能性を認識してにもかかわらず適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払いを免れた場合等）。【ソフトバンク】◼ 課徴金の対象を違反行為のうち、特に悪質な類型に限定するなど制度設計には慎重な検討を要する。【匿名】◼ 課徴金制度を導入すべき。悪質性の高い違反行為に対して、現行の行政指導、勧告、命令等の措置のみでは十分な抑止効果を期待し得ない。個人情報保護法制における課徴金制度の導入の必要性は極めて高い。国際的な法制度の動向を踏まえつつ我が国においても早急に課徴金制度を導入することが必要。【全国消費者団体連絡会、主婦連合会、NACS、個人】◼ 現行法の指導・勧告・命令のみでは違反行為により得た利得が事業者の元に残ることとなり、事業者による個人の権利利益の侵害を効果的に抑止できない。日本の法制度（独禁法、金商法、公認会計士法、
景表法、薬機法）上も課徴金制度は広く採用され、実効性も期待できる。【弁護士有志】◼ 「関係団体」から強い反対意見が示されたとあるが、個人情報の利活用を適正に進める立場からすれば、違法行為の「やり得」を許さない課徴金制度導入はむしろ積極的に進めるべき。【全大阪消費者団体連
絡会】◼ 課徴金制度に賛成する。現状、勧告・命令が出るまで非常に時間がかかり、かつ、命令に背かないと罰金には至らないという他国と比べると非常に寛大な措置をとっているといえる。【インターネットイニシア
ティブ（以下、IIJ）】◼ 課徴金は重大事案、悪質事案を想定したものであり、事業者は最低でも、自身が行うデータ利活用が重大事案、悪質事案に該当しないように注意すべき。最低限の慎重さをもってふるまうべきことは事業者に当然求められる「常識的な節度ある行動の期待」であって、事業者におけるデータ利活用の「萎縮」が生じるものではない。【My Data Japan】◼ そもそもきちんと対応している企業は課徴金制度があっても何の問題もないと考える。悪意ある企業を減らし、消費者の被害を減らす観点から、本件は進めるべき。【日本DPO協会事務局】
13

パブリックコメントにおける主な御意見２－２－（１）
ア 課徴金制度◼ 学生の内定辞退率を提供した事案、破産者マップ案件、名簿の転売屋に関する事案、委託業者の従業者が顧客の個人データを長期かつ頻繁に外部漏えいしていた事案等、不法行為の発生を含め著しく悪質性の高い事案が続出し、現行法の指導・勧告・命令の監視・監督手段では、悪質事案発生の抑止力にならない。諸外国のように日本においても悪質事案発生を防ぐための抑止力としての金銭的制度の導入が必須である。【全国
消費生活相談員協会】◼ オプトアウト届出制度が違法行為のほう助に多く利用されている実態を考慮すると、現在のような指導等では不十分であり、課徴金導入による制裁を行う必要あるのではないか。課徴金導入にあたって、ガイドラインにおいて処罰対象となる悪質性の高い案件を限定列挙することで、善良な企業にとっては予見可能性が高まるため、健全な企業活動の萎縮にはつながりえないと考える。【匿名】◼ 国際動向に鑑みれば、早急に、課徴金・団体による差止請求制度や被害回復制度の枠組みが導入されるべきである。さもなければ、グローバルスタンダードとの乖離から、むしろビジネスの停滞を生じかねない。【匿名、個人】◼ 情報取扱いを国際的な水準に並べるべき。事業者の負担の大きさは、これまで国際社会の機運に対応しなかった反動。課徴金制度の整備をEU等水準で早急に行うべき。【個人】◼ グローバルにビジネスが展開する中、日本において課徴金制度がないため、特に海外プラットフォーマーなどの事業者が、日本法への対応、ひいては消費者保護の対応を軽視するような傾向が感じられるため、これを是正する上でも重要。グローバルでのプライバシー法制のイコールフッティングの観点からも、日本企業が一方的に制裁を受けるのではなく、日本も課徴金を持つことで国際交渉も進めやすくなる。【日本DPO協会事務局】◼ 課徴金制度が世界的に多くの国で導入されている現状を踏まえ、日本においても積極的に検討すべき。この潮流に乗り遅れると、世界標準から取り残され、情報流通の国際化において不利な立場に置かれる可能性がある。
海外の企業が規制の緩い日本へのデータ移転をリスクと考えることで、海外から日本へのデータ移転にハードルを感じるようになり、グローバルでデータを利用した事業を進める環境として日本は不向きな国となる可能性がある。
日本の産業保護の観点からも、世界の動向に平仄（ひょうそく）を合わせることが重要。【My Data Japan】◼ 課徴金制度は、GDPR、カナダ、中国、韓国などで導入され、米国ではFTCやCCPAによる民事制裁金の制度がある。このような世界的潮流の中で課徴金制度を導入しない場合、グローバル企業の対応のレベルに差が出るとか、対応が後回しにされるなどの不利益が生じるおそれがある。【個人】◼ 悪意のある事業者をあぶり出し、消費者の被害を減らす観点で、消費者被害事案をいかに速やかに、多く把握するかが重要。EUのリニエンシー制度等の仕組みを研究し導入の検討をしてほしい。【IIJ】

14

パブリックコメントにおける主な御意見２－２－（１）
イ 勧告・命令の在り方◼ 第三者に対する行政処分は、必要性や予見可能性の担保も含め、きわめて慎重な議論が必要。法
違反又は帰責性がない場合にまで指導・助言等の行政上の措置を行うことは社会的評判を下げることにもつながりかねず合理的な許容性が認められない。【新経済連盟、ACCJ、三浦法律事務所、日本マイクロソフト、BSA、AICJ】◼ あたかも第三者が違反行為を行ったかのように世間に受け止められかねず、法違反や帰責性がないにもかかわらず、社会的評価を下げるリスクを招くおそれがある。【日本経済団体連合会】◼ 個人の権利利益の侵害が差し迫っている場合に直ちに中止命令を出せるようにすべき。また、事業者
等のみならず、これに関与する第三者に対しても行政上の措置をとれるようにすべき。【主婦連合会、弁護士会有志】◼ 個情委において、より実効性のある監視・監督を行うことができるよう、同委員会の人的リソースを大きく拡充し先進諸外国と同等以上に引き上げることを検討すべき。【日本IT団体連盟】

２－２－（２）
刑事罰の在り方◼ 罰則によって対応すべきものがあるか否かについて、慎重な議論を求める。【三浦法律事務所、
AICJ）、国際銀行協会】◼ 個人情報を不正に取得した個人・組織に対する直罰規定を入れるべき。【全国消費者団体連絡会】◼ 現行規定で不十分な点を洗い出し、処罰範囲を広げることを求める。【主婦連合会】◼ 直罰規定の対象範囲、法定刑の適切性の検討に賛成。抑止力の効果が発揮できるよう見直しを検討すべき。【個人】◼ 刑事罰は、プライバシー法やデータ保護法において有用な効果をもたらさず、国際的なベストプラクティ
スからも外れている。プライバシー法における実質的な要件を、金銭的な救済又は行政や民事司法のプロセスを通じて利用可能な救済と組み合わせることで、個人のプライバシーの利益を保護し、起こりうる違反を抑止することが十分に可能であると考える。これとは対照的に、刑事罰に対する恐怖とリスクは、有益で無害なデータ利活用の実務を委縮させる可能性がある。法の違反に対して、これ以上の刑事罰を検討しないことを強く推奨する。【BSA、ACCJ】
15

パブリックコメントにおける主な御意見２－２－（３）
ア 漏えい等報告◼ 個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討することに賛成。【新経済連盟、全国信用金庫協会】◼ このような規制緩和は行うべきではない。【匿名、個人】◼ 漏えい等報告や本人通知の範囲・内容の合理化を検討することに賛成。個人の権利利益を害するおそれがなくとも、漏えい等のおそれが少しでもあれば、本人通知や報告の対象となってしまう運用をまずは見直すべき。【新経済連盟】◼ 漏えい等報告については、事業者都合から軽々に規律を緩めるべきではない。また、違法な第三者提供の場合の報告に係る規律を導入すべき。【主婦連合会】◼ 報告及び通知の合理化については慎重な検討を要する。【NACS】◼ 一定の体制・手順が整備された事業者については、速報を免除し、確報については一定期間ごとの取りまとめ報告を許容するという考え方に賛同する。個情委と認定個人情報保護団体へも報告する義務があるが、いずれか一方に報告した場合には他方には報告不要としてほしい。【JEITA】◼ CBPRやプライバシーマークなどでは個人情報の管理体制についてのチェックが行われることから、これらの第三者機関の認証等を受けている場合には、漏えい等報告に関しても体制・手順が整備されている
ことの第三者の確認を受けているものとみなすこととしてはどうか。【匿名】◼ 認定個人情報保護団体等の第三者の確認を前提としない、簡素化されたアプローチを推奨する。
【BSA、日本マイクロソフト】◼ 個情委への報告義務があるのは、委員会が事態を早急に把握し、必要な措置を講ずることができるよ
うにするため。急速に増加するランサムウェア感染に対して、事業者は「社会のために行う協力行為」として漏えい報告を行い、個情委は事業者からの報告を集約することの価値を生み出さなければならな
い。一方、個情委も少人数組織であり、「公正取引委員会―各公正取引協議会」が機能しているよ
うに、認定個人情報保護団体制度をひろげることは多いに賛成する。各認定個人情報保護団体が、個情委に代わって火消し役を務められるように権限の強化を求める。【シーピーデザインコンサルティン
グ】
16

パブリックコメントにおける主な御意見２－２－（３）
ア 漏えい等報告◼ サイバー攻撃を受けたケースについて、個情委が具体的にどのように必要な措置を講じることができるのか。サイバーセキュリティの専門家の人数及び体制はどうなっているのか。本人の権利利益の侵害が想定されない場合は報告義務を不要としてはどうか。【日本IT団体連盟】◼ 発生したおそれがあるか否かは事業者での判断が難しく、わずかでもおそれがある事態を全て報告する
ことは、事業者に過度の負担。「おそれがない」場合もガイドラインに明示してほしい。個人への脅威がなくても、漏えい等が「不正の目的をもって行われたおそれ」がある場合いつでも通知しなければならない
現在の要件は負担が大きい。おそれの精査に賛成。【JEITA、ACCJ、三浦法律事務所】◼ 公表事案の多くは漏えい等であるが、公表の趣旨・目的が不明瞭であり、必要性のない公表（懲罰的公表を含む）は控えるべき。【三浦法律事務所】◼ 委託におけるクラウド例外や共同利用については条文・ガイドライン等で明確な線引きがなく、「個人データの違法な第三者提供」を報告対象とした場合、意図せぬ第三者提供が発生することを恐れ、
データ利活用が萎縮するおそれがある。具体的事案をもとに慎重な検討が必要。違法な第三者提供については「漏えい等」との違いや報告・本人通知の必要性の有無など慎重な検討が必要。【JEITA、
新経済連盟、三浦法律事務所】◼ 漏えいのおそれの件数が多くても個人の権利利益への影響が軽微にとどまるケースや、通知したところで本人が対応できることがないケースについて、合理的な運用となるよう検討することが必要。【日本経済団体連合会】◼ 本人への権利侵害や経済的損害がおよそ想定できない場合は、漏えい報告の例外としてほしい。本
人通知は、本人への権利侵害や経済的損害が考えられる場合に限定してほしい。【日本自動車工業会】◼ 本人へのリスクの度合いに応じた本人通知の要否判断が可能な制度設計も検討していただきたい。
【AIガバナンス協会】◼ 漏えい報告については、速報・確報のフォーマットが決まっているため、その負担は限られたものであり、むしろ本人通知が全件ベースで求められていること、全件通知ができない場合の代替措置が公表である
ことが事業者の負担となっているのではないか。【My Data Japan】

17

パブリックコメントにおける主な御意見２－２－（３）
ア 漏えい等報告◼ 現状、漏えいしていても本人通知や報告をしない悪質な事業者がいると推測するが、そうした端緒情報を把握するための通報窓口や公益通報制度の活用等を検討することを求める。【全国消費生活相
談員協会】

２－２－（３）
イ 違法な第三者提供◼ 個人情報取扱事業者が違法な第三者提供を行っていたとしても、当該個人情報取扱事業者が漏えい等報告を行うケースが想定しづらいのではないか。個人情報取扱事業者が違法な第三者提供に関する報告しても、罰則が科される可能性があるだけであって、事業者側にとってのメリットが存在しない。
公益通報のような位置付けで、専用の公益通報フォームを用意し、匿名での情報提供を受け付けるのが妥当だと考える。【個人】◼ 事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務を課すことについて賛成する。【弁護士有志】◼ 違法な第三者提供と漏えいの外縁が不明瞭。違法か否かを客観的に判断することは困難。【日本経済団体連合会】

18

パブリックコメントにおける主な御意見２－３ データ利活用に向けた取組に対する支援等の在り方２－３－（１）
本人同意を要しない
データ利活用等の在り方（生成AI）◼ 生成AI等のサービスの公益性に言及しているが、現状画像生成AIによる誤情報の拡散や特定の個人に対する名誉毀損等の問題が懸念される。【匿名】◼ ニーズや公益性を踏まえて例外規定を設けるとのことだが、今の状況で自分の個人情報や肖像を勝手に生成AIに使われるのは不安でならない。【個人】◼ 生成AIなどの、社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が高いと考えられる技術やサービスとあるが、もしこれが医療分野などでがんやコロナ肺炎を特定するなどの功績を出している解析用でなく、画像や文章、音楽などを生成する生成AIについてであるのであれば、前者の解析用と同じ扱いにするべきではなく、むしろ厳格な規制を行うべき。【匿名】◼ 生成AIについて、例外規定を設けずとも現行法の範囲内で対応できる部分について、ガイドライン等での明確化をお願いしたい（例えば、生成AI等のAIモデル開発に当たり、Web上の散在個人情報（要配慮個人情報を含まない）を学習データとして利用する場合には、個人情報に係る規律を遵守すればよく、個人データや保有個人データに係る規律は適用されないことを、ガイドラインやQ&Aで明確化してほしい）。【JEITA】◼ プロンプト入力に伴う個人情報（散在情報）の第三者提供時の通知・公表義務の緩和等を検討してほしい。【JEITA】◼ 生成AIに関して「社会にとって有益」で「公益性が高い」ものという一面的な捉え方を前提に扱うことに、消費者・市民として強い違和感がある。生成AIは社会、個人にとり有益である場合がある一方で、本人の権利利益を侵害する可能性もまた極めて高い技術である。安易に現行の例外規定の枠を広げる
べきではない。仮に例外規定を広げる場合には、消費者を含めた慎重な議論が必要である。【主婦連合会】◼ 今まで同様AIなどを推進しつつ、その上で同時にサービス提供者に個人情報がそのサービスを通じて漏れないように対策することを義務付けるべきと考える。【匿名】

19

パブリックコメントにおける主な御意見２－３ データ利活用に向けた取組に対する支援等の在り方２－３－（１）
本人同意を要しない
データ利活用等の在り方（医療）◼ 医薬品の研究開発等に関する公衆衛生例外規定についてガイドラインの記載等について議論する場を設定することに賛同する。本来は、欧州のEuropean Health Data Space（EHDS）を参考に、医療分野の個人情報保護法の特別法を一刻も早く制定すべきであるが、その実現までのつなぎとして
公衆衛生例外規定の解釈の柔軟化が必要である。【日本製薬工業協会、日本製薬団体連合会】◼ 公益性のある医療分野だとしても、個人情報の取扱いはこれまでどおり本人の同意を必須とするべき。
例外規定に反対。【匿名、個人】◼ 公的医療保険制度において集められた健康・医療情報（生体の画像データ等）は、入口規制ということで本人同意を求めるのではなく（原則オプトアウトとし）、出口規制という形で利用目的等を含め適切な利活用かどうかをチェックするという在り方とするなど、実効的な健康・医療情報の活用方法について検討すべき。EHDSによりヘルスケア分野におけるデータ利活用に関する制度整備を進めるＥＵの動き等も参考にしつつ、必ずしも同意ではなく、データ管理機関やデータ利用者への監督等により個人の権利利益を保護する制度の在り方も検討すべき。【ACCJ、日本経済団体連合会】◼ 法律の例外規定の「特に必要」、「本人の同意を得ることが困難であるとき」などの要件が、公益性を有するデータ利活用の促進の観点から過度に制限的なものになっていないか等について、データ利活用の実態や必要性を踏まえて検討いただきたい。【ACCJ】

20

パブリックコメントにおける主な御意見２－３ データ利活用に向けた取組に対する支援等の在り方２－３－（１）
本人同意を要しない
データ利活用等の在り方（その他）◼ 個情法がいう「個人の権利利益の保護」が何を指すのかを明確にし、そのような保護の目的と、それを実現するための手段的規制を区別して理解し、手段については代替手段があり得ることを踏まえて、「本人同意を要しないデータ利活用等の在り方」を検討すべき。【個人】◼ 同意を要さない第三者提供の要件がかなり厳格であり、利用目的にかかわらず同意を得なければ利活用ができず、利活用に向けたニーズを吸い上げる仕組みもないために、利活用そのものを断念するケース
が相当程度ある。例えば、通信販売におけるクレジットカード決済利用時にカード加盟店がカード会社の認証サービスを利用しようとする際、クレジットカード決済等での不正利用対策として注文に関する
データ共有の際にも本人同意が必要になってしまう。公益性が高い利活用、契約の履行に伴う個人情報の提供や、犯罪・不正利用防止目的などの利活用が認められるような制度にすべき。【新経済連盟、
日本経済団体連合会】◼ 例外規定を広げる場合には、消費者を含めた慎重な議論が必要。【主婦連合会】◼ 公益活動や研究活動に該当しなくても、データの利活用の取組をより広範に支援することを奨励。より柔軟で適応性のある枠組みを構築することを可能とするため、正当な利益（legitimate interest）に基づく企業によるデータ処理を認め、個人情報保護法に取り入れることを要望。【ACCJ】◼ 契約履行のために必要な場合や正当な利益がある場合にデータ利活用ができるようにしてほしい。
WEB上に記載され誰でもアクセス可能な個人情報は本人同意なく利活用できるようにしてほしい。【日本IT団体連盟】◼ 本人同意を要しないデータ利活用については、公共性が高い分野に限定し、当該データ利活用を行う事業者等を登録制とし、目的や利用形態を個別に公開する仕組みを検討してはどうか。【My Data
Japan】◼ 一定の場合に同意なくデータを利用する場合が認められる場合であっても個人の権利利益の保護を踏まえて行われる必要がある。たとえば、プライバシー強化技術（PETs）を用いて、データの匿名性を担保するなどの取組とセットで検討する方法などが考えられる。【サステナビリティ消費者会議】◼ 必ずしも公益性を求めずとも、PETsを用いた安全なデータ利活用に限っては、本人同意を要しないとすべきである。【プライバシーテック協会】

21

パブリックコメントにおける主な御意見２－３－（２）
民間における自主的な
取組の促進
ア PIA
イ 個人データの取扱
いに関する責任者◼ PIA・DPOの設置については、あくまでも自主的な取組として促進することが重要。人的要件として日本にしかないような独自の資格要件を定めた場合、実質的な参入障壁となることも考えられる。【新経済連盟、JEITA、ACCJ、三浦法律事務所、アマゾンジャパン】◼ 「個人識別符号に該当する生体データ」「こどものデータ」「要配慮個人情報」等については、特に配慮が必要な個人情報としてPIAを義務化すべきである。【My Data Japan】◼ PIA・個人データの取扱いに関する責任者については、個人情報保護の実効性を高めるものであり、その取組を促進する施策を実施すべきであるが、社会の理解が伴わないまま義務化すると形式的な対
応にとどまるおそれがあり、かえって個人情報保護が不十分となりかねない。【弁護士有志】◼ PIAと個人データの取扱いに関する責任者の設置を義務付けるべき。【全国消費者団体連絡会】◼ プライバシーリスクや脅威をどのようにとらえ、認識するかによってPIAのレベルが決定される。現在公表されているデータマッピングツールキットのように、想定される個人の権利利益・プライバシー侵害リスクに係る脅威リスト（サンプル）を個情委として具体例を公表してほしい。【日本DPO協会事務局】

２－４ その他◼ プロファイリング、個人情報等に関する概念整理、PETsの位置付けなど各事業者からの意見や実例を踏まえたうえで引き続き慎重かつ丁寧な議論をしていってほしい。【AICJ】◼ プロファイリングによる要配慮個人情報の推知もしくは取得に関する整理を進めてほしい。生成AIの活用や医療・公衆衛生目的での利用等、関連するユースケースが増加しつつあるため、各有識者委員
指摘のとおり検討をすべき。【個人】◼ プロファイリングに関する規制は必要であり早急に検討すべき。【全国消費生活相談員協会】プロファイ
リングは行動ターゲティング広告などにおいて広く利用されている。幅広いステークホルダーと連携し、実務実態を正確に把握した上で、議論を深めてほしい。【AIガバナンス協会】

22

パブリックコメントにおける主な御意見
２－４ その他◼ プロファイリングにおける取得規制の適正化が、デジタル対応、プライバシーの重視の観点から強く要請される。現状ではプロファイリングによる生成は「取得」にあたらないため、信条などの要配慮個人情報をプロファイリングによって生成することも含め「取得」に際しての同意、利用目的の通知・公表等の規制が一切かからない。プロファイリングの一律の規制や禁止は現実的ではないとしても、本人が自分の情報についての開示請求を容易にできるような開示制度強化や、プロファイリングに用いるべきでない情報、
プロファイリングを禁止すべきカテゴリの設定についても検討が必要。【My Data Japan】◼ ステークホルダーの意見やパブリックコメント等の結果を踏まえて、「個人情報等に関する概念の整理」をすることに賛同。【WOWOW】◼ 「個人情報等に関する概念の整理」を行い、「個人データ」などの定義を整理、明確化し、国民や事業者に分かりやすい内容を（各ガイドラインやQ&A等でわかりやすく具体的に示すなど）案内してほしい。
【JEITA、新経済連盟、日本IT団体連盟】◼ 事業者によるデータ利活用に配慮して、個人情報のほか、個人関連情報、仮名加工情報、匿名加
工情報という定義を設けてきたが、それがかえって事業者にとって複雑であるということであれば、これらを個人情報に一本化してはどうか。【My Data Japan】◼ プライバシー強化技術については、技術的知見を有する関係事業者等を交えて、官民が協力し、利用促進に向けた前向きな議論・検討を進めていただきたい。【新経済連盟】◼ PETsの位置づけの整理は喫緊の課題であるため、今回の法改正で十分に議論されるべき。【プライバシーテック協会】◼ 複数の組織が保有する個人データを突合して統計量を集計する処理は強いニーズが存在し、その処理はプライバシー強化技術（PETs）を用いることで安心・安全に行える。PETsは安全なデータ活用のために重要であるため、PETsの位置づけの整理は喫緊の課題。【デー タ社会推進協議会】◼ プライバシー強化技術については、国際的に技術進展が進んでいる。よって、個人情報の有用性と個人の権利利益の保護を目指すためにも、安全管理措置やデータ最小化等に対応したサンドボックスのような取組や、よい事例を広く参照できる形で整理されることが必要ではないか。【JIPDEC】
23

パブリックコメントにおける主な御意見
２－４ その他◼ PETsの導入が個人の権利利益の形骸化や個人のデータに対するコントロール能力の低下を招くことがないように慎重な検討が求められる。これら技術はプライバシー保護とセキュリティ強化の側面を併せ持つ中でプライバシー保護の観点からの適切に評価すべき。秘密計算技術については、秘密計算は計算過程の秘匿化にとどまり結果は秘匿化されないため、計算により取得されるデータとその利用目的こそが本質的に重要との指摘がある。各技術の評価は目的適合性や個人の権利保護への貢献度を分析し、個別具体的な文脈に即して判断すべき。【My Data Japan】。
◼ 金融機関のデータ利活用の一環として、データポータビリティについても、ニーズの有無を含めて今後議論・検討いただきたい。【新経済連盟】◼ 医薬品の研究開発等の利用目的におけるゲノムデータの利活用に関する規律の柔軟化を強く求める。
【日本製薬工業協会】◼ ゲノムデータの要配慮性に関する要件整備を行ってほしい。【日本製薬工業協会】

その他（中間整理以外に関する御意見）◼ クラウドサービスを利用する事業者は、物理的安全管理措置や技術的安全管理措置を幅広く講じることはできず、クラウドサービス提供事業者に多くの安全管理措置を委ねざるを得ないため、「自ら果たすべき適切な安全管理措置」とは何か、明確に判断できず、業務に支障が生じる。また、クラウドサービ
スが個人データを「取り扱わない」と評価してよいかが曖昧であるため、第三者提供や委託に該当するかを適切に判断できない。【WOWOW、日本DPO協会事務局】◼ 身体障害・高齢等により判断力が不十分である人についても、個人情報の規律を定めることを検討いただきたい。【日本損害保険協会】◼ 現在ほぼ全ての同意がダークパターンとなっている。真に本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法により、同意を取得させるための検討が必要。【My Data Japan】◼ 行政機関等ばかりが緩やかな規律にとどまっていることは不当であり、真の意味における公民一元化を望む。【asura】

24

パブリックコメントにおける主な御意見その他（中間整理以外に関する御意見）◼ 個人情報の該当性について、提供元基準が採用されており、弊社においても、提供元基準に基づいた対応を行っている。ただ、提供元基準を採用した場合に個人情報保護法の主旨にそぐわないケースがあると考える。例えば、事業者側で契約ごとに付与している契約番号が流失した場合に、提供元基準に基づき判断をすれば、漏えいとなるが、契約番号単体では、漏えい元事業者以外が個人を特定するのは不可能であり、実態として個人の権利利益を害するおそれは限りなく低いと考える。このようなケースについては、提供元基準の例外に当たる等、一定の整理等のご検討をお願いしたい。【匿名】◼ 悪意のある事業者をあぶり出し、消費者の被害を減らす観点では、そのような消費者被害事案をいかに速やかに、多く把握するかが重要となる。その観点で、EUのリニエンシー制度や米国ドット・フランク法の内部告発者報奨金プログラムなどの仕組みを研究し、日本のビジネス風土に適した形で事案を発見する方式を検討・実現することで、より実効性のある監視・監督が実現できると考える。【IIJ】◼ Global CBPRの参加国・地域・企業を増やすとともに、当該国・地域においてCBPRを移転ツールとして活用するスキームを構築してほしい。【JEITA、日本DPO協会事務局】◼ 補完的ルールは日本の個人情報保護法がGDPR十分性認定のレベルに達していないことを自認するものであり、早々に補完的ルールを不要にするために必要な法改正を行うことが求められる。例えば、要配慮個人情報に性生活、性的指向又は労働組合に関する情報を追加すること、仮名加工情報は
統計目的利用のみとすること、匿名加工情報は完全匿名化することなどが必要である。【My Data
Japan】◼ 現状、第三者提供の同意に提供先の明示などが必要とされず、自分のデータがどこに何のために提供されているのかを知ることが困難な状況。第三者提供に関する同意取得の際には、提供先と提供先のプライバシーポリシーを明示した上で同意を得るべき。ガイドラインの記載はあるが、現状、複雑なプライ
バシーポリシーの一部に同意に係る情報が記載されているのみであり、ほぼ全ての同意がダークパターンになっていると考えられる。真に本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法により、同意を取得させるための検討が必要である。【My Data Japan】

25

パブリックコメントにおける主な御意見その他（中間整理以外に関する御意見）◼ 個人情報の定義の一本化とあわせて、GDPRやCCPAなど国際的に影響力のあるルールと個人情報保護法との整合性を確保することで、グローバルに事業を展開する日本企業の競争力を維持・向上させることが重要である。日本法による個人データの保護水準が低いとみなされ、海外のデータを日本に持ち込んで利用できなくなるおそれを懸念すべき。【My Data Japan】◼ 個情委として、Global CBPRへの参加国、傘下企業を増やすとともに当該国・地域において CBPRのツールを活用するスキームを構築・提案するような動きに期待したい。【日本DPO協会事務局】◼ 海外グローバルテックの日本向け公式サイトのプライバシーポリシーは、GDPRやCCPAに基づいた説明のみで日本法での取扱いに関する説明がない場合があるが、日本法に準拠できなくても事業者には大した制裁がないので、対応しなくて良いと見られている可能性がある。【My Data Japan】◼ 個情委のWEBページ「諸外国・地域の法制度」の内容を定期的に更新いただきたい。【日本自動車
工業会、日本DPO協会事務局】◼ 個情委は、今後も政策立案と執行体制を一元的に担っていくべき。【全国消費者団体連絡会】

26