資料５
個人情報保護法のいわゆる３年ごと見直しに関する検討会

意見2024 年 7 月 31 日

公益社団法人全国消費生活相談員協会

デジタル化の急激な進行によって、より大量に個人情報を取り扱うビジネスが現れ、プライバシーを含む個人の権利利益が侵害されるリスクのある事案が想定以上に増加しています。これらの実態を踏まえ、迅速・適切に法改正を行うことが、「個人情報の有用性に配慮しつつ、個人の権利利益を保護する」という法の趣旨を実現するものと考えます。
要保護性の高い個人情報の取扱いについて（生体データ）
生体データを原則として要配慮個人情報とすることに賛成です。顔認識カメラが個人の行動を長期かつ広範囲に捕捉することが容易に可能であるなど、生体データについてはプライバシーを含む個人の権利利益の保護が侵害されるリスクが高まっています。国際的にも生体データはセンシティブデータである国が大勢を占めグローバルスタンダードとなっています。少なくとも、生体データの一定事項を本人通知・周知することを前提に、本人による利用停止をより柔軟に可能とすることは必須です。
「不適正な利用の禁止」「適正な取得」の規律の明確化
いわゆる個人関連情報は個人情報であると整理するべきです。現状では、事業者が個人関連情報を取得し、それによって本人へのアクセスが可能になり、個人がさまざまな被害にあうケースが増加しています。またスマートフォンのアプリ等を通じて、端末識別符号や利用状況などの情報を、本人が知らない内に密かに収集するなどの行為も見受けられます。個人関連情報を個人情報と整理することが不正行為の抑止にもっとも効果的であると思われます。欧州等では電話番号、メールア
ドレス、cookie 等は単体で個人情報とされていますが、そのことによる問題は聞いていません。
第三者提供規制の在り方（オプトアウト等）
社会的に真に必要な範囲に絞ってオプトアウト制度の存続を認め、それ以外については、原則通り本人の同意なしに第三者提供を認めないとするべきと考えます。
消費生活センターで消費者の相談に対応する消費生活相談員の団体である本協会としては、消費者トラブルの根本に、いわゆる名簿屋による名簿の悪用があることを強く認識しています。またこれまでのオプトアウト制度の規制強化が必ずしも功を奏していないことは中間整理に列挙されている事例が示しています。加えて、消費者が権利行使として提供停止等を求めた場合、当該事業者から本人確認のためと称して免許証、マイナンバーカード等の提示等、それまで事業者が不知であった個人情報の提供をも求められるのが通例であり、これでは消費者が正当な権利行使を躊躇せざるを得ない現実があります。

こどもの個人情報に関する規律の在り方
こどもの未熟さ、脆弱性、リスク等のありようについては異論の余地がないと思われ、こどもの個人情報について個人情報保護法において規律を設けることに賛成します。
年齢の線引きについては、さまざまな考慮要素がありますが、民法と平仄を合わせて、１８歳未満を子どもとすることが、国民にとって理解しやすく法的安定性も担保するのではないかと考えます。
また現状、最も問題とされるのは、当該こどもの関心・嗜好を分析推測し、判断力が未熟である
こどもに対して、飲酒・ギャンブルその他こどもの心身に著しい影響を与えかねない広告を送りつける、いわゆるターゲティング広告です。大人であっても困惑するこの種のターゲティング広告については、少なくともこどもに対しては明確に規制する必要があります。
個人情報の第三者提供等の本人同意が必要である場面において、こどもを本人とする個人情報については、その法定代理人の同意を必要とすることを法文上明確にするべきと考えます。
個人情報、個人データは、いったん流出すれば、その回収がほとんどかなわないという現実を踏まえれば、流出は個人にとって著しく大きな損害となります。ましてやそれがこどもであれば、その先の生涯に影響する等ダメージの程度は計り知れません。こどものデータを取り扱うに当たっては、安全管理措置についてより一層強固な体制構築を求めるべきと考えます。
個人の権利救済手段の在り方
適格消費者団体が個人に代わって、個人データの利用停止または消去等の請求ができる規律を個人情報保護法に取り入れることに賛成します。
個人データの利用停止または消去の請求は、プライバシーを含む個人の権利利益の保護の観点から大変に重要な権限行使であるにもかかわらず、現実には、消費者個人と事業者の専門知識や交渉力の差が大きく、加えて費用や期間の負担もあり、法定されているにも関わらず個人の権限行使が行われずに、いわば泣き寝入りしている例が少なくないと思われます。適格消費者団体が、個人情報保護法に違反する行為について、個人に代わって差止請求を行う制度を取り入れれば、個人の権利救済に大きく資することになります。その場合に、適格消費者団体による団体訴訟が実質的に機能するためには、端緒情報の取得や個人情報保護委員会との連携等に加えてさらなる検討が必要であると考えます。
課徴金制度、勧告・命令等の在り方
悪質な違反行為に対する法の実効性を確保するために、個人情報保護法に課徴金制度を設けることに賛成します。また、法違反行為によって個人の権利利益の侵害が差し迫っている場合、直ちに中止命令を出せるように規定することにも賛成です。
学生の内定辞退率を提供した事案、破産者マップ事案、いわゆる名簿の転売屋に関する事案、委託業者の従業者が顧客の個人データを長期かつ頻繁に外部漏えいしていた事案等、不法収益の発生を含め、著しく悪質性の高い事案が続出していますが、やり得が放置され、消費者の被害回復はなされていません。現行法の指導・勧告・命令の監視・監督手段では、悪質事案発生の抑止力になっていないと考えます。

諸外国においては、高額の制裁金が課せられるのは珍しくありません。日本においても、悪質事案発生を防ぐための抑止力として金銭的制裁である課徴金制度の導入が必須であると考えます。
勧告・命令についても、破産者マップ事案が典型例を示しているように、個人の権利利益の侵害が切迫している際には、直ちに法的拘束力が発生する命令を行えるようにしなければ、個人の権利利益の保護は守られません。また、委託業者、クラウドサービス業者等の第三者が関与している場合には、当然ながらその第三者にも勧告・命令ができるようにするべきと考えます。
刑事罰の在り方
不正の目的で行われた法違反について罰則の引き上げに賛成します。
作今、データベース等不正提供罪で有罪となった悪質な事例や、個人情報への不正アクセスや従業者による持ち出し等の事例等が多数あります。一度漏えいすれば回収は事実上不可能とされる個
人情報については、現行の罰則のままでは社会的要請に応えているとは評価できず、罰則の強化が行われるべきと考えます。
漏えい報告・本人通知の在り方
漏えい報告については、個人情報保護委員会が事態を早急に把握し措置を取るための制度であり、その趣旨を損なわない限度において一定の合理化はあり得ると考えます。しかし、本人通知については本人が漏えいの事実を知る唯一の方法です。本人の権利利益を保護するために自己防衛をする必要があり、現行制度は確実に維持されるべきです。事業者が違法に個人データを第三者提供した場合は、漏えいとは異なるものの、本人の権利利益の保護のために本人通知がなされる必要があると考えます。
なお、現状、漏えいしていても本人通知や個人情報保護委員会への報告をしない悪質な事業者が存在すると推測します。そうした端緒情報を把握するための通報窓口や公益通報制度の活用等を検討することを求めます。
本人同意を要しないデータ利活用等の在り方
現行法の本人同意が求められる規定には、本人の利益のために必要がある場合や他の利益のためにやむを得ない場合等には本人同意は不要とされる例外規定があります。しかし、すでに生成 AI等の社会基盤になりうる新技術が急激に発展・浸透し、膨大な量の個人情報を取扱うサービスやビジネスが生まれている実態を踏まえれば、例外規定の在りようについて早急に検討する必要があります。その際、例えば生成 AI の開発において、要配慮個人情報を取得してしまう場合などにおいて、少なくとも、要配慮個人情報が不当に利用されないことが担保されているか、本人の不利益を上回る公益的利益があるのか等について、社会的要請の有無、公益性の程度などの観点から早急に検討される必要性があり、消費者にとって安全かどうかの判断ができる技術であるべきと考えます。