個人情報保護法
いわゆる３年ごと見直し
制度改正大綱令和元年12月13日
個人情報保護委員会

1目次
第１章 総論 .............................................................................................................. 3
第２章 検討の経緯 ................................................................................................... 5
第３章 個別検討事項 ................................................................................................ 7
第１節 個人データに関する個人の権利の在り方 ................................................. 7
１．基本的考え方 ................................................................................................ 7
２．個人情報保護法相談ダイヤルの充実 ............................................................ 7３．利用停止、消去、第三者提供の停止の請求に係る要件の緩和 ..................... 8４．開示請求の充実 ............................................................................................ 9５．開示等の対象となる保有個人データの範囲の拡大..................................... 10
６．オプトアウト規制の強化 ............................................................................. 11
第２節 事業者の守るべき責務の在り方.............................................................. 14
１．漏えい等報告及び本人通知の義務化 .......................................................... 14
２．適正な利用義務の明確化 ............................................................................ 16
第３節 事業者における自主的な取組を促す仕組みの在り方 ............................. 17
１．認定個人情報保護団体制度 ........................................................................ 17
２．民間の自主的取組の推進 ............................................................................ 19
第４節 データ利活用に関する施策の在り方 ...................................................... 21
１．匿名加工情報制度....................................................................................... 21
２．「仮名化情報（仮称）」の創設 ..................................................................... 21
３．公益目的による個人情報の取扱いに係る例外規定の運用の明確化............ 22
４．端末識別子等の取扱い ............................................................................... 23
５．個人情報の保護と有用性に配慮した利活用相談の充実 ............................. 25
６．データ利活用に関する国際的な取組の必要性 ............................................ 26
第５節 ペナルティの在り方 ............................................................................... 27
第６節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方.............................................................................................................................. 28
１．基本的考え方 .............................................................................................. 28
２．域外適用の範囲の拡大 ............................................................................... 28
３．外国にある第三者への個人データの提供制限の強化 ................................. 29
第７節 官民を通じた個人情報の取扱い.............................................................. 32
１．基本的考え方 .............................................................................................. 32
２．行政機関、独立行政法人等に係る法制と民間部門に係る法制との一元化 . 32
３．地方公共団体の個人情報保護制度.............................................................. 32
第８節 継続的な検討課題 ................................................................................... 34（課徴金制度） ................................................................................................. 34

1

【凡例】
平成27年改正法

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成27年法律第65号）

委員会

個人情報保護委員会

個人情報保護法

個人情報の保護に関する法律（平成15年法律第57号）

ＧＤＰＲ

ＥＵが2016年（平成28年）４月に制定した「一般データ保護
規則（General Data Protection Regulation）」。ＥＵ域内の個人データ保護を規定する法として、1995年（平成７年）
か ら 適 用 さ れ て い る 「 Ｅ Ｕ デ ー タ 保 護 指 令 （ Data
Protection Directive 95）」に代わり、2018年（平成30年）
５月25日に施行。

中間整理

個人情報保護法 いわゆる３年ごと見直しに係る検討の中
間整理（平成31年４月25日公表）

2

第１章 総論〇 個人情報保護委員会（以下「委員会」という。
）では、平成27年改正法制定以降の社会・経済情勢の変化を踏まえ、本年１月28日に示した「いわゆる３年ごと見直しに係る検討の着眼点」に即していわゆる３年ごと見直しを進めてきた。
〇

個々の着眼点にはそれぞれ固有の論点はあるものの、全体を俯瞰した際のおおむね共通した視点を中間整理において示したところであるが、その後の検討や、中間整理公表後に発生した事案等も踏まえ、改めて、今次の見直しに当たっての共通の視点を以下により示すものである。

〇

第一に、情報を提供する個人の、自らの情報の取扱いに対する関心や、関与への期待が高まっており、個人情報保護法第１条の目的に掲げている「個人の権利利益を保護」するために必要十分な措置を整備することに配意しながら制度を見直す必要がある。

〇

第二に、平成27年改正法で特に重視された保護と利用のバランスをとることの必要性は、引き続き重要であり、個人情報や個人に関連する情報を巡る技術革新の成果が、経済成長等と個人の権利利益の保護との両面で行き渡るような制度を目指すことが重要である。

〇

第三に、デジタル化された個人情報を用いる多様な利活用が、グローバルに展開されており、国際的な制度調和や連携に配意しながら制度を見直す必要がある。

〇

第四に、海外事業者によるサービスの利用や、国境を越えて個人情報を扱う
ビジネスの増大により、個人が直面するリスクも変化しており、これに対応する必要がある。

〇

第五に、ＡＩ・ビッグデータ時代を迎え、個人情報の活用が一層多岐にわたる中、本人があらかじめ自身の個人情報の取扱いを網羅的に把握することが困難になりつつある。このような環境の下で、事業者が個人情報を取り扱う際に、本人の権利利益との関係で説明責任を果たしつつ、本人の予測可能な範囲内で適正な利用がなされるよう、環境を整備していくことが重要である。

〇

なお、制度の見直しに当たり、個人情報を巡っては、技術的側面、社会的側面において、急激な変化が進展しつつあることを踏まえ、柔軟な対応を可能とする枠組みが望ましい。また、新たな産業の創出などを促進する観点か
らは、事業者自身による自らの事業等の実態に即した個人情報保護のための3

取組が率先して行われる必要があり、そのような自主的取組が法制度等と相まって、活力ある経済社会及び豊かな国民生活を実現していくことが重要である。

4

第２章 検討の経緯〇 個人情報保護法は、平成15年に制定（平成17年全面施行）されたが、平成27
年に改正が行われ、平成29年５月30日に全面施行された。特に、平成27年改正
法においては、情報通信技術の進展が著しいこと等から、３年ごとの見直し規定が設けられた。
〇

平成27年改正法附則第12条第３項において、政府は、同法の施行後３年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、平成27年改正法による改正後の個人情報保護法（以下「改正個人情報保護法」という。）の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとされている。

〇

また、同条第２項において、政府は、改正個人情報保護法の施行後３年を目途として、個人情報の保護に関する基本方針の策定及び推進その他の委員会の所掌事務について、これを実効的に行うために必要な人的体制の整備、財源の確保その他の措置の状況を勘案し、その改善について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとされている。

〇

さらに、同条第６項においては、政府は、改正個人情報保護法の施行の状況、
第１項の措置の実施の状況その他の状況を踏まえ、改正個人情報保護法第２条
第１項に規定する個人情報及び行政機関等保有個人情報の保護に関する規定を集約し、一体的に規定することを含め、個人情報の保護に関する法制の在り方について検討するものとされている。

〇

委員会は、平成27年改正法附則第12条の規定を踏まえ、いわゆる３年ごと見直しについて具体的に検討を進めてきた。第83回個人情報保護委員会（平成30年12月17日）において、「個人情報保護委員会の第一期を終えるにあたって」を公表し、当時の委員長の下で運営されてきた第一期目1の終了に際し、これまで５年間の経緯を踏まえ、次期委員会への申し送りとして、現下の状況を基に主な論点を取りまとめた。また、これを踏まえ、第86回個人情報保護委員会（平成31年１月28日）において、「いわゆる３年ごと見直しに係る検討の着眼点」を
公表した。

〇

委員会では、これらを踏まえ、個人情報保護を巡る国内外の政策、技術、産業等の状況、消費者からの意見の分析、取りまとめを行うとともに、経済界からのヒアリングを実施し、本年４月25日に中間整理を公表した。

1

平成 26 年１月１日の特定個人情報保護委員会の発足から平成 30 年 12 月 31 日まで。

5

〇

当該中間整理については、本年４月25日から同年５月27日まで意見募集を行い、計137の団体・事業者又は個人から延べ525件の御意見が寄せられたところである。

〇

委員会では、当該意見募集に寄せられた御意見等も踏まえつつ、その後も実態把握やヒアリングを通じて検討を深めてきたところであり（延べ24回の委員
会で審議）、今回、個人情報保護法の３年ごと見直しの内容を大綱として取りまとめた。今般、本大綱について、改めて意見募集を行い、国民の皆様の御意見を伺うこととする。

〇

今後、その御意見等も踏まえ、法律による対応を行う事項については、制度
設計の細部等について法案化の作業を進め、来年の通常国会への個人情報保護法改正案の提出を目指すこととする。

〇

なお、改正法の施行時期等については、改正法の成立後、周知及び準備が必要な事項については、事業者等が適切に対応できるよう、一定の準備期間を設けたのち、施行することとする。

〇

おって、改正法の施行に当たっては、新たな制度の周知等に努め、既存の制度における民間の取組等を活かしながら円滑に移行できるよう取り組むこととする。

6

第３章 個別検討事項
第１節 個人データに関する個人の権利の在り方
１．基本的考え方〇 個人及びデータを活用する事業者の双方にとって、本テーマは重要であり、実効性や実態、影響を踏まえ、慎重かつ丁寧な検討が求められる。特に、個人情報保護法相談ダイヤル（以下「相談ダイヤル」という。）に寄せられた意
見やヒアリングの結果をみると、消費者側と事業者側で意見の分かれる点も多く、多面的な検討が求められるところである。中間整理の意見募集に寄せられた御意見でも、全般的に大きく意見が分かれた。
〇

我 が 国の個 人 情報保 護 法は、 経 済協力 開 発機構 （Organisation for
Economic Co-operation and Development。以下「ＯＥＣＤ」という。）プラ
イバシー・ガイドライン８原則に対応しており、個人データに関する個人の権利に対応する規定においても国際的に調和のとれたものになっている。しかし、この本人の関与に関する部分は、相談ダイヤルに寄せられる事業者の取扱いに対する不満等の中でも、事業者固有の対応に対する意見にとどまらず、制度に関連する意見が多い部分であり、重点的に検討を行った。

２．個人情報保護法相談ダイヤルの充実〇 相談ダイヤルは、平成27年改正法で個人情報に係る監督権限が委員会に一元化されたことを受けて設けられた。
〇

委員会では、相談ダイヤルを、消費者・事業者との接点として重視してきた。相談等が寄せられた事案については、消費者等が可能な限り納得感を得られるよう、丁寧な対応に努めており、今後ともこの取組を着実に進めることは重要である。また、相談ダイヤルに寄せられた情報を契機として、個人情報の取扱いに関し指導を行った事例もあり、監督業務における情報収集の契機としても重要である。

○

また、苦情あっせんについては、委員会が苦情あっせんを実施したことにより、消費者等及び事業者間では解決できなかった事案が解決に至っており、一定の成果を上げていると考えられ、この取組を着実に進める必要がある。
そのため、事業者による個人情報等の取扱いに関して苦情を申し出る消費者等に対し、苦情あっせん制度の案内を積極的に行うことも重要である。

〇

中間整理の意見募集では、相談ダイヤルについて、より実務に即した利便性の高い運用を求める意見等が寄せられた。今後、相談ダイヤルについては、
引き続き丁寧な相談対応に努めることで相談者の納得感を更に高めるよう
7

取り組むとともに、国民の利便性の向上のためＡＩを使ったチャットボット（問合せ件数が多く、比較的シンプルな質問について、24時間自動で回答することができるサービス）を導入するなど、更なるサービスの充実を図ることとする。
〇

相談ダイヤルやチャットボットに寄せられた相談については、その秘匿性を守りつつ、貴重な意見として集約し、相談が多かった内容については、ガイドラインやＱ＆Ａ等として分かりやすく示していくこととする。また、相談の傾向を分析し、相談者の関心やニーズに合ったきめ細やかな相談対応が可能となるよう、更なるサービスの充実を図ることとする。

３．利用停止、消去、第三者提供の停止の請求に係る要件の緩和〇 利用停止又は消去等に関しては、中間整理でも示した通り、相談ダイヤルに寄せられる意見や、タウンミーティング2における議論でも、消費者からは、自分の個人情報を事業者が利用停止又は消去等を行わないことへの強い不満が見られる。一方、プライバシーマークの審査基準の根拠である「ＪＩＳＱ １５００１個人情報保護マネジメントシステム－要求事項」に即するな
ど、事業者の中には顧客の利用停止等の要求に対応する例も存在することも踏まえ、利用停止等に関し、個人の権利の範囲を広げる方向で検討を行った。
〇

この点、中間整理の意見募集では、多岐にわたる意見が寄せられた。利用停止や消去の義務化を求める意見や、利用停止等に関して個人の権利の範囲を広げる方向について検討することは十分に可能でないかとの意見があった。一方で、経済界からは、「現行制度の下での自主的対応で十分である」、「ＥＵのＧＤＰＲも参考にしつつ、保護と利活用のバランスを考慮した範囲にするなど慎重に検討すべき」、「請求権行使の例外規定を設ける必要がある」、「利用停止と消去・削除については切り分けて検討すべき」、「諸外国の実態を踏まえるべき」等様々な意見のほか、利用停止等に関して個人の権利の範囲を広げる方向性や、個人が自らの個人情報にコントロールを有することについて、支持する意見もあった。

〇

こうした意見を踏まえ、事業者の負担も考慮しつつ保有個人データに関す
る本人の関与を強化する観点から、個人の権利利益の侵害がある場合を念頭に、保有個人データの利用停止・消去の請求、第三者提供の停止の請求に係る要件を緩和し、個人の権利の範囲を広げることとする。

2

委員会では、日常的に個人情報に接する消費者や自治会・企業関係者等の方々に、個人情報の保護やその取扱いに関して感じている悩み・疑問点等について意見交換していただき、個人情報保護に関する制度や運用等について理解を深めていただくとともに、制度に対する御意見をいただくため、全国各地（これまでに
37 か所）でタウンミーティングを開催している（本大綱末尾の「参考」も参照のこと）。

8〇

ただし、事業者の負担軽減等の観点から、利用停止・消去又は第三者提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わる措置を取る場合は、請求に応じないことを例外的に許容することとする。

４．開示請求の充実（１）適正な運用に向けた取組の強化〇 開示請求については、平成27年改正法により請求権であることが明確化されたが、相談ダイヤルには事業者に対する不満が多く寄せられており、また、
これまで委員会が行ったヒアリングでも、一部に開示請求への対応について
消極的な考え方があった。加えて、相談ダイヤルに寄せられる情報を見ても、必ずしも制度が正しく理解され、又は運用されていないと思われるケースが散見された。中間整理の意見募集でも、例外規定の拡大解釈により法の目的が果たされていないとの意見や、より行いやすく工夫される必要があるとの意見が寄せられた。
〇

個人情報の本人に対する開示は、利用目的等の通知、公表等の仕組みと相まって、個人情報の取扱いの透明性を高めるものである。加えて、開示の請
求は、訂正、利用停止等の請求の前提となる手続でもあり、これらは一体となって個人情報に対する適切な本人からの関与の仕組みを構成する。その意
味で、開示の仕組みは、個人情報の適正な取扱いに関するルールの中でも重要な仕組みの一つである。

〇

このような法の趣旨を踏まえ、今後、開示請求については、引き続き事業者の対応状況を注視するとともに、企業に対して制度の周知に引き続き努めることとする。

（２）開示のデジタル化の推進〇 開示の提供形式について、現行制度では個人情報の保護に関する法律施行
令（平成15年政令第507号。以下「施行令」という。）第９条で「書面の交付による方法」を原則としつつ、「開示の請求を行った者が同意した方法があるときは、当該方法」とされている。
〇

しかし、今年の通常国会で民間手続における情報通信技術の活用の促進等を謳った情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るための行政手続等における情報通信の技術の利用に関する法律等の一部を改正する法律（いわゆる「デジ9タル手続法」）が成立したこと等を踏まえ、個人情報保護法における開示の際の電磁的形式による提供についても、利用者の利便を考慮しつつ、明確化をすべきであると考えられる。
〇

この点については、中間整理の意見募集では、電磁的形式による提供については、賛同する意見が多く寄せられたが、電磁的形式を義務付けること等については意見が分かれた。

〇

開示請求の対象となる保有個人データについては、情報技術の進展により、膨大な情報を含む場合があるところ、当該保有個人データを印字した書面を交付された本人にとっては、検索も困難であり、その内容を十分に認識することができないおそれがある。特に、当該保有個人データが音声や動画である場合は、その内容を書面上に再現すること自体が困難である。このように、書面による開示では、当該保有個人データの取扱状況を十分に明らかにすることができず、これを前提に訂正等並びに利用停止等及び第三者提供の停止の請求を行うことが困難なケースがある。また、開示された個人データを本人が利用する場面で、電磁的形式である方が利便性が高い場合も少なくない。

〇

そこで、開示請求で得た保有個人データの利用等における本人の利便性向上の観点から、本人が、電磁的記録の提供を含め、開示方法を指示できるよ
うにし、請求を受けた個人情報取扱事業者は、原則として、本人が指示した方法により開示するよう義務付けることとする。ただし、当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場
合にあっては、書面の交付による方法による開示を認めることとし、その旨を本人に対し通知することを義務付けることとする。

５．開示等の対象となる保有個人データの範囲の拡大〇 現行法上、開示等の対象となる保有個人データについては、１年以内の政令で定める期間以内に消去することとなるものが除外されており（法第２条第７項）、政令で定める期間については、施行令第５条の規定により６月とされている。これは、短期間で消去される個人データについては、取り扱われる時間が限られており、個人の権利利益を侵害する危険性が低く、また、本人の請求を受けて開示等が行われるまでに消去される可能性も高いことから、個人情報取扱事業者に請求に対応するコストを負担させることの不利
益が、本人に開示等を請求する権利を認めることの利益を上回るものと考えられたためである。
〇

しかし、情報化社会の進展により、短期間で消去される個人データであっ10ても、その間に漏えい等が発生し、瞬時に拡散する危険が現実のものとなっている。このように、短期間で消去される個人データについても、個人の権
利利益を侵害する危険性が低いとは限らず、また、既に消去されていれば、請求に応じる必要もないことから、個人情報取扱事業者に請求に対応するコストを負担させることの不利益が、本人に開示等を請求する権利を認めることの利益を上回るとはいえないものと考えられる3。なお、現在でも、プライ
バシーマークにおいて審査基準の根拠とされている「ＪＩＳ Ｑ １５００１
個人情報保護マネジメントシステム－要求事項」においては、６か月以内に消去する個人情報も含め、開示等の求めに原則応じることとされており、事業者において自主的に個人情報保護法の水準を超えた対応が行われている。
〇

そこで、本人の開示等の請求対象となる保有個人データについて、保存期間により限定しないこととし、現在除外されている６か月以内に消去する短期保存データを保有個人データに含める。

６．オプトアウト規制の強化（１）執行の強化〇 いわゆるオプトアウト規定については、平成27年改正法により改正前の手続に加え、委員会への届出義務が創設された。制度としては一定程度有効に機能しているものと評価される。
○

名簿屋対策については、古くから問題とされていた中、従来、名簿屋対策に責任を持つ主務官庁が必ずしも明確でなかったところ、平成27年改正法により、届出義務が課されるオプトアウト規定が導入されるとともに、委員会が一元的に対応することが可能となった。こうした中、相談ダイヤルやタウ
ンミーティングの中で対策の徹底を求める意見が多い。また、中間整理の意
見募集でも、名簿屋対策についてより厳格な執行を求める意見が多く寄せられた。

〇

これまで委員会が行った実態調査4では、確認・記録義務の履行が不十分な

3

委員会では、本年９月、個人情報取扱事業者内における個人データの保存期間等の実態把握を目的として、日本経済団体連合会加盟企業を対象にアンケート調査を実施した。この中で、６か月以内に消去することとしている個人データは「ない」と回答した企業が 55 社中 42 社に及んだ。一方、仮にこの除外規定を撤廃した場合に、「支障がある」と回答した企業は 55 社中 10 社存在し、業務やコストの増加を懸念する意見等であった。この点、現行の規定においても、例えば、開示請求において「事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」は開示しないことができる等の例外規定は規定されているところであり、業務の適正な実施に著しい支障がある場合は、このような例外規定の適用により対応すべきと考えられる。
4
平成 29 年度及び平成 31 年度にそれぞれ実施。
前者については委員会報道発表「個人情報の第三者提供事業等に係る実態調査結果について」（平成 30 年９月 26 日。https://www.ppc.go.jp/files/pdf/300926_houdou.pdf）を、後者については
第 112 回委員会 資料２（https://www.ppc.go.jp/files/pdf/0726_shiryou2.pdf）をそれぞれ参照。

11

事業者や未だ届出のない事業者が存在することが分かった。また、本人がオ
プトアウトの要否を判断する手がかりとなる、オプトアウト手続に関する委
員会への届出の内容と実際の業況が異なる業者が存在することも判明している。さらに、本人が、第三者提供後の用途を考慮しオプトアウト手続をとる上で必要十分な具体性のある内容が提供されているかどうかという点で、懸念がある。
〇

このような実態を踏まえ、委員会においては、届出を行っている全事業者に対し、届出書の記載内容の確認を求め、必要に応じて再届出を行わせている。今後も指導等を行った事業者の業務実態や未届事業者の把握を継続的に行うなど、執行による名簿屋対策の徹底を進め、個人情報保護法に適合しない形で名簿等が取り扱われている場合には必要な措置をとっていく。

（２）オプトアウトの対象となる個人データの限定〇 さらに、委員会が行った実態調査において明らかとなった課題は、適正に取得していないと思われる個人データをオプトアウト規定により流通させる等、個人の権利利益保護の観点から問題のある取扱いである。
〇

具体的には、名簿屋の個人情報の取得については、判明している限りにおいて、第三者から提供を受けて取得するケースが大半を占める。名簿屋に持ち込まれる名簿の中には、本人が提供した覚えのない形で流通しているような名簿が含まれている実態があり、提供者が違法に持ち出したり、不正の手段で取得している名簿も含まれているとみられる。名簿を取得する名簿屋においても、提供者が不正の手段で取得していることを知り、又は容易に知り得るケースがあるものとみられる。

〇

また、いわゆる名簿屋同士で名簿が取引されることもある。平成29年度に委員会が実施した個人情報の第三者提供事業等に係る実態調査では、オプト
アウト届出を行っている事業者約30者を対象としてヒアリング等を行った
ところ、半数近い事業者が同業者間で個人情報の取引を行っていることが判明した。

〇

さらに、名簿屋を含むオプトアウト届出事業者は、個人データの第三者提供の際、又は第三者提供を受ける際に確認・記録義務を負うところ（法第25条、第26条）、その義務を履行していない事業者もあった。

〇

このように、名簿の流通により本人の関与が困難となっている現状を踏まえ、オプトアウト届出事業者によって個人情報が不適切に取得されることが12

ないよう、個人の権利利益を保護する観点から、オプトアウト規定に基づいて本人同意なく第三者提供できる個人データの範囲をより限定していくこととする。
（３）届出対象事項の追加〇 オプトアウト規定に基づく第三者提供は、個人情報の利活用の観点から必要性がある一方で、本人の同意なく個人データが第三者提供され、個人の権利利益の観点から問題のある取扱いがされるおそれがあることから、委員会としてもその実態を把握した上で、適切に権限を行使する必要がある。しかし、オプトアウト届出に関しては、現行法上、事業者の住所等の基本的な事
項が法定の届出事項となっていないことから、届出後、一定期間経過後に住所変更等により連絡がつかなくなる場合がある。平成31年４月に委員会が実施したオプトアウト届出事業者の実態調査において、同年３月31日時点の全158者に調査票を郵送したところ、所在不明により６者の事業者とは連絡がとれなかった。
〇

適正な執行の確保等といった観点から、事業者の名称や住所といった基本的事項を届出事項として追加するとともに、変更があった場合の届出を求め、委員会がオプトアウト届出事業者の所在を把握できるようにする。

（４）第三者提供時の確認記録義務の開示義務化〇 平成27年改正法においては、第三者提供に係る確認記録が義務付けられることとなった。この確認義務は、①不正の手段によって取得された個人情報が転々流通することを防止し、また、②記録の作成・保存の義務により、個
人情報の流通に係るトレーサビリティの確保を図るものである。しかしながら、この「個人情報の流通に係るトレーサビリティ」は、あくまでも監督機関から見たトレーサビリティの確保であって、本人からみたトレーサビリテ
ィは担保されなかった。
〇

個人情報の流通に係るトレーサビリティについては、本人にとって利用停止権や請求権を行使する上で、必要不可欠な要素である。実際、委員会が設置している相談ダイヤルには、個人情報の取得元の開示を求めることはできないかという相談や、取得元の開示を求める制度を作るべきであるという意
見が多く寄せられている。

〇

したがって、第三者への提供時・第三者からの受領時の記録も、開示請求の対象とすることとする。

13

第２節 事業者の守るべき責務の在り方
１．漏えい等報告及び本人通知の義務化（１）基本的考え方〇 漏えい等報告は、委員会が漏えい等事案を把握し、個人の権利利益の保護を図るためのいわば情報源である。個々の事業者を適切に監督するというだ
けでなく、当局が、事業者が参考にすべき情報を積極的に事業者に対して発信したり、助言したりすることによって、他の多くの事業者の適切な対応につなげていくという意義も大きい。
〇

諸外国においては、多くの国で漏えい等報告が義務とされている。一方、我が国では、制度上は努力義務であるが、漏えい等報告について、多くの企業でしっかり対応されており、これは、我が国の事業者の個人情報保護に対する意識が浸透しつつある証左とも考えられる。

〇

一方で、漏えい等報告は法令上の義務ではないため、積極的に対応しない
事業者も一部に存在しており、仮に、事業者側が公表もしない場合、委員会が事案を把握できないまま、適切な対応が行えないおそれもある。

〇

また、事業者側から見ても、漏えい等報告について、一定の軽減措置を設
けることを前提に、法令上明確に位置付けた方が、企業側が報告の要否に係る判断に迷わないといった面もある。

〇 加えて、国際的な議論の潮流の観点からしても、世界プライバシー会議（Global Privacy Assembly5）やＯＥＣＤといった多国間での枠組みで、各国の漏えい等報告の状況を当局間で共有し、効率的な執行を目指すという方向で議論が行われている状況も考慮する必要がある。
〇

中間整理の意見募集では、漏えい等報告を法令上義務化することには賛否共に多くの意見が寄せられたが、漏えい等報告が個人情報の本人、個人情報取扱事業者、監督機関それぞれにとって多くの意義があること、国際的な潮流になっていること等を勘案する必要がある。このため、漏えい等報告について、法令上の義務として明記することとする。

（２）報告対象となる事案〇 漏えい等報告について、諸外国の立法例では法令上の義務としているもの

5

2019 年 10 月に開催された第 41 回データ保護プライバシー・コミッショナー国際会議（International
Conference of Data Protection and Privacy Commissioners （ICDPPC））の結果により、2019 年 11 月 15 日から会議の名称が Global Privacy Assembly へ変更された。

14

が多いが、報告義務の対象となる事案、期限、軽減措置、本人への通知等において、多様な状況にある。これら諸外国の立法例も参考としつつも、我が国の制度の在り方はどうあるべきか、影響や実効性等も勘案しながら、検討を行った。
〇

中間整理の意見募集では、仮に法令上義務化する際は、企業の実行可能性等を踏まえた検討や報告対象事案の限定を求める意見が多く寄せられた。また、報告の時間的限定については、否定的意見が多かったほか、漏えい等報告について、報告先の一元化を求める意見、本人の通知について、義務付け
る必要性は高くないとの意見もあった。

〇

漏えい等報告の義務化に当たっては、こうした意見を踏まえた上で、制度整備を行う必要があり、軽微な事案についても全て報告を求めることは、報告対象となる事業者の負担、及び報告を受領する執行機関にとっての有用性の観点から疑問がある。

〇

以上の点を踏まえ、一定数以上の個人データ漏えい、要配慮個人情報の漏
えい等、一定の類型に該当する場合に限定して、速やかに委員会へ報告することを義務付けることとする。

（３）報告の期限、報告先等〇 漏えい等の報告については、委員会がその事態を把握し、必要な措置を講ずるという趣旨に鑑み、速やかに行われる必要がある一方、事業者が事態を把握するのに要する時間については、個別具体的な事情によるところが大きく、一律に日数を規定することは困難である。そのため、明確な時間的な制
限は設けないものの、報告内容を一定程度限定した上で「速やか」に報告す
ることを義務付けることとする。
〇

他方で、原因や再発防止策等の報告を求める必要もあることから、運用上、上記の速報とは別に、一定の期限までに確報として報告を求めることとする。

〇

なお、現行の制度では、漏えい等報告の報告先については、一定の場合、委員会以外に、権限委任官庁及び認定個人情報保護団体に対して提出することを認めている。これについては、中間整理の意見募集では、報告先の一元化を求める意見が寄せられたこと、今回、法令上の義務とすることに鑑み、委員会又は権限委任官庁への提出に限定することとする。

15

（４）本人への通知〇 個人データの漏えい等が発生した場合に、その旨を本人に通知することで、本人が二次被害の防止を行ったり、必要な権利を行使するなど、自ら適切な措置を講じることができる。そこで、個人情報取扱事業者は、（２）に記載した報告の対象となる場合、原則として本人に通知しなければならないものとする。
〇

一方で、個人データの漏えい等が発生した場合であっても、実際、本人に対する通知が困難な場合がある。具体的には、把握している個人データに、本人に対する連絡先がそもそも含まれていない場合や、把握している情報が古いために、本人に対する連絡ができない場合が想定される。本人に対する通知は可能な限り行うべきであるが、保有している情報に基づいて本人に対する通知ができない場合にまで、本人の現在の連絡先を特定した上で、本人に対する連絡を求めることは、事業者に過度な負担を課すこととなる。

〇

ただし、本人に対する通知が困難な場合であっても、個人情報取扱事業者
としては、個人の権利利益に配慮し、公表を行い問合せに応じるなど代替的な措置を講じることは可能である。したがって、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときについては、例外規定を置くこととする。

２．適正な利用義務の明確化〇 昨今の急速なデータ分析技術の向上等を背景に、潜在的に個人の権利利益の侵害につながることが懸念される個人情報の利用の形態がみられるようになり、消費者側の懸念が高まりつつある。
〇

そのような中で、特に、現行法の規定に照らして違法ではないとしても、違法又は不当な行為を助長し、又は誘発するおそれのある方法により個人情報を利用するなど、本法の目的である個人の権利利益の保護に照らして、看過できないような方法で個人情報が利用されている事例が、一部にみられる。

〇

こうした実態に鑑み、個人情報取扱事業者は、適正とは認めがたい方法による、個人情報の利用を行ってはならない旨を明確化することとする。

16

第３節 事業者における自主的な取組を促す仕組みの在り方
１．認定個人情報保護団体制度（１）基本的考え方〇 認定個人情報保護団体制度は、平成27年改正法において、マルチステーク
ホルダーの意見を聴いた上での個人情報保護指針策定の努力義務や、対象事業者に対し、個人情報保護指針を遵守させるための措置が努力義務から義務へ変更されるなど、その役割が強化された。
〇

認定個人情報保護団体制度は、民間事業者による自主的取組を促すことで個人情報等の保護のレベルを高めることを狙った我が国独自の制度であったが、事業者の自主的な取組を法の重要な要素として位置付ける仕組みとして、国際的にも注目されている。

〇

認定個人情報保護団体のうち、一部の団体では、積極的に対象事業者を指導・支援したり、個人情報保護指針で独自ルールを定めたりするなどの取組が行われている。一方で、ほとんど活動を行っていない団体も存在した。

〇

このため、委員会では、認定個人情報保護団体による認定業務の適正な実施の確保のための取組を進めてきた。具体的には、実態把握の結果を踏まえて、法の認定基準に適合していない認定個人情報保護団体に対して、不適合の解消に向けた働きかけを行うとともに、実質的な活動実態が存在せず、不適合の解消の見込みが立たない認定個人情報保護団体の認定の取消しを行った。

〇

また、認定個人情報保護団体制度についての課題も明らかになってきた。
例えば、・個人情報保護法が平成27年改正法以前は、主務大臣制であった影響もあり、構成団体の多くが業界単位となっていること・インターネット関連サービス業等、業態が多様化しているものについては、
必ずしも「業界団体」に加入していない事業者も多く、加入率が低い傾向にあること
・業種横断的に特定の事業を対象に活動する団体による専門性を生かした個
人情報の保護のための取組も望まれる中、現行法上、認定個人情報保護団
体は、対象事業者の個人情報等の取扱い全般を対象とすることとされており、特定の事業のみを対象とすることはできないことなどが挙げられる。

17〇

こういった課題に対応する形で、中間整理の意見募集では、認定個人情報保護団体制度の更なる活性化に向けて、事業分野単位等での認定を求める意
見等が寄せられた。

〇

認定個人情報保護団体制度の重要性に鑑み、その期待される役割が十分に発揮されるよう、認定個人情報保護団体の活動を活性化させる観点と、認定
個人情報保護団体の対象事業者となることのメリットを高める観点との両面から、委員会による支援の在り方とともに、制度の在り方を検討してきた。

（２）委員会による支援の在り方○ 委員会による支援としては、認定個人情報保護団体連絡会を定期的に開催し、委員会からの情報の提供や、団体相互の情報共有等の促進を図っている。
また、平成30年度からは、対象事業者となるメリットを提供するための新たな取組として、対象事業者向け実務研修会を全国で開催しており、令和元年
度には全国５か所で計８回開催する。さらに、認定個人情報保護団体シンポジウムを開催し、認定個人情報保護団体制度の目的や、個別の団体の活動の状況、対象事業者となることの意義等について、周知、広報に努めている。
今後も、認定個人情報保護団体の認知度及び活動水準のさらなる向上に向けて、これらの取組を強力に進める。
（３）認定個人情報保護団体制度の多様化〇 制度の在り方については、現状、企業全体として対象事業者となるという前提となっている点が、活動の幅を制約しているとの見方がある。大企業等、幅広い事業分野を有する企業については、企業側から見た場合、企業全体の業務に対応した認定個人情報保護団体を見つけることが難しい場合が想定される。また、逆に認定個人情報保護団体側から見ると、当該団体の特性に必ずしもふさわしくない部門も含め、対象事業者となる企業全体に関する業
務に対応せざるを得ない可能性がある。実際、委員会が行ったヒアリングにおいても、この点を指摘する意見があった。
〇

このため、個人情報取扱事業者における個人情報を用いた業務実態の多様化や、必要な規律の在り方の変化を踏まえ、認定個人情報保護団体制度について、その対象事業者による個人情報の取扱い全般に関する苦情受付、指導等を行える現行制度に加え、特定の事業活動に限定した活動を行う団体を認定できるよう制度を拡充することとする。

18

２．民間の自主的取組の推進（１）基本的考え方〇 個人情報保護法は、認定個人情報保護団体制度を含め、民間事業者の自主的な対応を尊重する制度設計が織り込まれてきている。
〇

特に、デジタル技術を活用した新たな利用分野では個人情報保護に関する問題が発生しやすいが、このような分野ではビジネスモデルの変革や技術革新等も著しいことが多いことから、法の規定を補完する形で、民間主導で自主ルールが策定、運用されることは望ましく、これらの取組を更に促進していく必要がある。

〇

具体的には、ＰＩＡ（Privacy Impact Assessment、個人情報保護評価）の
取組、個人データの取扱いに関する責任者の設置、企業の自主的な取組を推奨する仕組みなどについて、その取組を促進していくことが考えられる。

（２）ＰＩＡの推奨〇 ＰＩＡについては、特に、大量の個人データを扱う事業者にとっては、このプロセスを通じた事前評価を行うことで、個人データの管理や従業員への教育効果等も含め、事業者自身にとって、効率的かつ効果的に必要十分な取組を進めるための有用な手段である。
〇

中間整理の意見募集でも、ＰＩＡなどについて、漏えい時の緩和措置として働くようにすべき、ＰＩＡを努力義務化し、一定の場合は義務化を検討すべきなどの意見もあった。

〇

他方、ＰＩＡについては、自社の基準に基づいて自主的に実施する事業者が増加してきているとともに、民間において、国際規格（ＩＳＯ/ＩＥＣ ２
９１３４：２０１７）のＪＩＳ化が進められている中、現時点において、評価の項目や手法等を規定して義務化することは、かえってこうした自主的な取組を阻害するおそれもあるため、このような民間の動向を踏まえつつ、民間の自主的な取組を促すことが望ましいと考えられる。

○

民間の自主的な取組を促進するために、委員会としても、ＰＩＡに関する事例集の作成や表彰制度の創設など、今後、その方策を検討していくこととする。

（３）個人データの取扱いに関する責任者の推奨○ 個人データの取扱いに関する責任者の設置については、体制整備の一環と
19

して、個人情報の取扱いに関して、部署横断的・専門的な立場から各部署・従業員の指導・監督等を行うことは有効である。
○

責任者の設置について一部義務化することも考えられるが、個人情報の取扱いに関して横断的に対応するための部署の自主的な設置が一定程度進展している6こと等を考慮すると、その要件や業務等を規定して一律に義務付けることは、こうした自主的な取組を阻害するおそれがある。したがって、ＰＩＡと同様に、自主的な取組を促進することが望ましいと考えられる。

（４）保有個人データに関する公表事項の充実○ 個人情報を保護するための体制整備や適正に取り扱うための取組の内容については、事業者の取り扱う情報の性質等に応じて、自主的に行われることが求められるが、こうした取組を促進する観点から、何らかの枠組みが設けられていることが、事業者及びその経営者の意識を高める上で重要である。
○

したがって、個人情報取扱事業者による保有個人データの本人に対する説
明の充実を通じて、本人の適切な理解と関与を可能としつつ、個人情報取扱事業者の適正な取扱いを促す観点から、個人情報の取扱体制や講じている措
置の内容、保有個人データの処理の方法等の本人に説明すべき事項を、法に基づく公表事項（政令事項）として追加することとする。

6

事業者向けアンケート調査によると、個人情報保護に関する全組織的な責任担当部署がある事業者は、全体の 68.5%を占め、大規模事業者においては、86.0%を占めている（個人情報保護委員会事務局「個人情報の保護に関する事業者の取組実態調査」（平成 30 年３月））。

20

第４節 データ利活用に関する施策の在り方
１．匿名加工情報制度〇 匿名加工情報については、既に一定程度の活用が進みつつあるところであるが、企業に対するアンケート結果によれば、「利用方法が分からない」、「自社データへのニーズがあるのか分からない」、「分析するための人材がいな
い」、「レピュテーションリスクが問題である」といった意見がみられ、いずれも、具体的な匿名加工情報の利活用モデルについて、必ずしも企業が把握できていないことも大きな背景の一つと考えられる。
〇

この点、意見募集でも、ベストプラクティスの発信を求める意見が多く寄せられ、事業者が実施しやすい環境整備を求める意見も寄せられた。したがって、委員会として、具体的な利活用モデルやベストプラクティス等の発信を進めていくことが重要である。

２．「仮名化情報（仮称）」の創設〇 事業者の中には、自らの組織内部でパーソナルデータを取り扱うにあたり、安全管理措置の一環として、データ内の氏名等特定の個人を直接識別できる
記述を他の記述に置き換える又は削除することで、加工後のデータ単体からは特定の個人を識別できないようにするといった、いわゆる「仮名化」と呼ばれる加工を施した上で利活用を行う例がみられる。
〇

こうした実務の広がりや、情報技術の発展を背景として、個人情報取扱事
業者においては、仮名化された個人情報について、一定の安全性を確保しつ
つ、データとしての有用性を、加工前の個人情報と同等程度に保つことにより、匿名加工情報よりも詳細な分析を比較的簡便な加工方法で実施し得るものとして、利活用しようとするニーズが高まっている。

〇

ＥＵにおいても、個人情報としての取扱いを前提としつつ、若干緩やかな取扱いを認める「仮名化」が規定され、国際的にもその活用が進みつつある。
我が国においても、「仮名化」のように、個人情報と匿名加工情報の中間的規律について、従前から経済界から要望があり、中間整理の意見募集でも、匿名加工情報等との関係を整理した上で、「仮名化」制度の導入を支持する意見が多く寄せられた。

〇

特に、こうした、仮名化された個人情報について、加工前の個人情報を復元して特定の個人を識別しないことを条件とすれば、本人と紐付いて利用されることはなく、個人の権利利益が侵害されるリスクが相当程度低下することとなる。一方で、こうした情報を企業の内部で分析・活用することは、我21

が国企業の競争力を確保する上でも重要である。
〇

したがって、一定の安全性を確保しつつ、イノベーションを促進する観点から、他の情報と照合しなければ特定の個人を識別することができないように加工された個人情報の類型として「仮名化情報（仮称）」を導入することとする。この「仮名化情報（仮称）」については、本人を識別する利用を伴わない、事業者内部における分析に限定するための一定の行為規制や、「仮名化情報（仮称）」に係る利用目的の特定・公表を前提に、個人の各種請求（開示・訂正等、利用停止等の請求）への対応義務を緩和し、また、様々な分析に活用できるようにする。

〇

なお、一般に、「仮名化情報（仮称）」を作成した事業者は、「仮名化情報（仮称）」の作成に用いられた原データも保有していることが想定される。
したがって、本人は、それ単体では特定の個人を識別することができない「仮名化情報（仮称）」に対しては各種請求を行うことができないものの、当然のことながら、その原データ（保有個人データ）に対しては、各種請求を行う
ことができることとなる。

〇

また、「仮名化情報（仮称）」は、事業者内部における分析のために用いられることに鑑み、「仮名化情報（仮称）」それ自体を第三者に提供することは許容しないこととする。その場合であっても、「仮名化情報（仮称）」の作成に用いられた原データ（保有個人データ）を、本人の同意を得ること等により第三者に提供することは可能である7。

３．公益目的による個人情報の取扱いに係る例外規定の運用の明確化〇 情報通信技術の飛躍的な進展により、顧客情報をはじめとしたビッグデー
タの収集、分析が可能となる中、例えば、地域活性化や医療・介護といった分野において、こうした分析結果等を用いて、社会的な課題を解決する動きが見受けられる。
〇

こうした中、我が国では、ビッグデータ分析等の先端技術をあらゆる産業
や社会生活に取り入れ、経済発展と社会的課題の解決を両立していく新たな社会であるＳｏｃｉｅｔｙ ５．０の実現を目指すなど、データの更なる利活用等が求められている。社会的課題が多様化する中、効率的・効果的にこうした課題を解決していくためにも、事業者がデータを利活用できる環境を後押ししていくことが望ましいと考えられる。

7

あらかじめ本人の同意を得ること等により、原データのほか、原データを仮名化したデータを、（現行法における）個人データとして、第三者に提供することも可能である。

22

〇

この点について、現行の個人情報保護法において、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」や「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」などの利用目的や第三者提供の制限の例外規定があり、個人情報の公益目的利用についても、一定の場合では許容されると考えられるところ、これまで当該例外規定が厳格に運用されている傾向があることから、想定されるニーズに応じ、
ガイドラインやＱ＆Ａで具体的に示していくことで、社会的課題の解決といった国民全体に利益をもたらす個人情報の利活用を促進することとする。

〇

具体的に示していく事例としては、例えば、安全面や効果面で質の高い医療サービスや医薬品、医療機器等の実現に向け、医療機関や製薬会社が、医学研究の発展に資する目的で利用する場合などが考えられる。

４．端末識別子等の取扱い（１）基本的考え方〇 インターネットにおいては、ユーザーの訪問先サイトに係る登録情報、行動履歴情報、デバイス情報等の情報（以下「ユーザーデータ」という。個人
情報及び個人情報以外のユーザーに関する情報が含まれる。）を取得し、利活用することが広く行われるようになっている。
〇

その典型例がインターネット広告の分野であり、ユーザーがあるウェブサ
イトにアクセスした際に、当該ユーザーのＰＣやスマートフォン等のブラウ
ザごとのクッキー等を通じてユーザー一人ひとりの趣味嗜好・性別・年齢・居住地等に関するユーザーデータを取得し、それを活用して当該ユーザーに狙いを絞った広告配信を行う、いわゆるターゲティング広告の手法が広く普及している。

〇 こうした端末識別子等を用いたビジネスモデルの実態は非常に複雑かつ多様である。ターゲティング広告のベースとなるウェブ技術は進化が著しく、本来、イノベーションを阻害することを避ける観点からも、まずは、自主ルール等による適切な運用が重要である。一方、可能な限り民間の自主性を活かしつつ、認定個人情報保護団体制度等を活用するなど効果的な執行の在り方を検討していく必要がある。
〇

さらに、個人の権利利益との関係で不適切な取扱いとして看過しがたい事
態に対しては、委員会として適切な執行を行うとともに、制度の検証を行う
23

必要がある。
（２）端末識別子等の適正な取扱い〇 端末識別子等であっても、会員情報等と紐付けられ特定の個人を識別できるような場合は、個人情報保護法上の個人情報として取り扱われなければならない。しかし、事業者の中にはこの点について理解不足と思われる事例も散見されるため、今後、実態を注視しつつ、適切に周知・執行を行っていく必要がある。
（３）提供先において個人データとなる情報の取扱い〇 ターゲティング広告には、個人情報が使用される場合もあるが、個人情報を含まないユーザーデータのみが使用される場合が多い。例えば、クッキー等の識別子に紐づくユーザーデータであっても、他の情報と容易に照合することができ、それにより特定の個人を識別することができる場合は個人情報となるが、従前、ターゲティング広告の多くでは、個人を特定しない形で行うことが業界の慣行となっていたところである。
〇

一方、ここ数年、インターネット上のユーザーデータの収集・蓄積・統合・分析を行う、「ＤＭＰ（Data Management Platform）」8と呼ばれるプラットフ

ォームが普及しつつある。この中で、クッキー等の識別子に紐付く個人情報ではないユーザーデータを、提供先において他の情報と照合することにより個人情報とされることをあらかじめ知りながら、他の事業者に提供する事業形態が出現している。
〇

ユーザーデータを大量に集積し、それを瞬時に突合して個人データとする技術が発展・普及したことにより、提供先において個人データとなることを
あらかじめ知りながら非個人情報として第三者に提供するという、法第23条の規定の趣旨を潜脱するスキームが横行しつつあり、こうした本人関与のない個人情報の収集方法が広まることが懸念される。

〇

個人情報保護法では、生存する個人に関する情報であって、特定の個人を識別できるものを個人情報として規律の対象としているが、それ自体で特定の個人を識別できる場合に加えて、当該情報を取り扱う事業者の内部において、他の情報と容易に照合することにより特定の個人を識別できる情報も、
個人情報に該当することとしている。

8

このＤＭＰには、企業が自社で蓄積したデータを活用するために用いる「プライベートＤＭＰ」と、ＤＭＰを運営する事業者が様々な事業者からユーザーデータを収集し、それにＩＤを付した上で統合・分析し、さらには、外部に提供する「パブリックＤＭＰ」がある。

24

〇

個人情報保護法は、それぞれの個人情報取扱事業者が個人情報を適切に取り扱うことを求めている。このため、外部に提供する際、提供する部分単独
では個人情報を成していなくても、当該情報の提供元である事業者において「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる」場合には、提供元に対して、個人情報としての管理の下で適切に提供することを求めている。

〇

これは、提供先で個人情報として認識できないとしても、個人情報を取得した事業者に、一義的に、本人の権利利益を保護する義務を課すという基本的発想から、提供元において、上記のような情報についても個人情報として扱うことを求めるものである（一般に「提供元基準」と呼ばれている。）。

〇

しかし、最近問題となっている「提供元においては個人データに該当しな
いが、提供先においては個人データに該当する場合」に関しては必ずしも考え方が明らかになっていなかった。

〇

そこで、前述のいわゆる提供元基準を基本としつつ、提供元では個人デー
タに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する。

５．個人情報の保護と有用性に配慮した利活用相談の充実〇 利活用を含めた個人情報の取扱いに関し、委員会により相談しやすい環境を求める個人情報取扱事業者等の意見は、ヒアリング等でも寄せられたところである。
〇

これまでも、委員会においては、必要に応じ、業界団体や各事業者等からの相談に個別に応じてきたところであるが、このような声に適切に応えるべ
く、相談支援体制の充実・強化を図る。具体的には、新たに「パーソナルデ
ータ効果的活用支援窓口」（仮称）を設置し、特に、新たなビジネスモデルや業界団体や複数事業者の共通の問題意識として挙げられた論点について積極的に相談に応じ、相談者によるパーソナルデータの適正かつ効果的な活用を支援する。

〇

また、相談支援対応等を通じて得られた利活用事例に関する知見を、企業ノウハウ等に配意し一般化した形で、委員会Ｗｅｂページ等を通じて一般に周知するとともに、広く有益と考えられる情報については、ガイドラインやＱ＆Ａにより周知していくことで、事業者等がパーソナルデータの利活用を25

検討しやすい環境整備を進めることとする。
６．データ利活用に関する国際的な取組の必要性〇 国際的なデータ利活用を促進する上でも、個人データの保護が適切になされていることが重要である。当委員会は、本年、プライバシーの国際的な動向について議論を行い、①アジア太平洋地域における執行活動に関し協力するためのＡＰＰＡ（アジア太平洋プライバシー機関（Asia Pacific Privacy
Authorities））フォーラム、②Ｇ２０サミットが日本で開催された機会を捉え、個人データを保護しつつ、信頼ある自由なデータ流通を創造することの意義、関連する課題等に関する認識を深めること等を目的とした個人データ
国際セミナー（Ｇ２０サイドイベント）を主催した。
〇

ＥＵとは円滑な個人データ流通のための枠組みの構築（いわゆる相互認証）
を 通 じ 、 米 国 と は ア ジ ア 太 平 洋 経 済 協 力 （ Asia Pacific Economic
Cooperation。以下「ＡＰＥＣ」という。
）の越境プライバシールール（Cross
Border Privacy Rules。以下「ＣＢＰＲ」という。
）システムの促進等を通じて構築してきた関係性を活かし、引き続き、個人データの保護と利活用について、委員会が国際的な議論をリードしていくことが重要である。

〇

また、ＡＩと個人データ保護・プライバシーとの関係については、世界プ
ライバシー会議でも議論が始まっている。ＡＩについては、我が国でも関係省庁での議論が進められているところであり、国際協調の観点等からも、Ａ
Ｉとデータ保護との議論について、国内の関係議論の状況を踏まえた上で、引き続き積極的に貢献していくこととする。

26

第５節
〇

ペナルティの在り方
個人情報保護法では、個人情報取扱事業者に科される罰則について最大でも１年以下の懲役又は50万円以下の罰金とされていることから、違反行為に対する実効性が不十分であるとして、ペナルティの強化が必要との議論がある。

〇

平成27年改正法の施行後の国際的状況を見ると、ペナルティの強化が大きな潮流となっているのは否定できない。しかし、国際比較の観点では、各国ごとに国全体の法体系やペナルティに対する考え方に違いがあり、我が国の実態、法体系に照らして望ましい在り方を検討してきた。

〇

現状においては、個人情報の取扱いに係る違反行為について、委員会が捕捉した案件に関しては、指導等により違法状態が是正されているのが実態である。これは、企業にとって、消費者からの信頼を失うことのコストが大きいことなどが背景として考えられる。実際、ヒアリングにおいても、経済界からは、事業者は個人情報保護法を遵守しており、ペナルティの引上げに慎重であるべきとの意見が多くあった。

〇 しかし、委員会が漏えい等報告を受けた事案や報告徴収・立入検査を行った事案の数は増加傾向にある。勧告・命令や罰則については、中間整理公表
時点での適用事例は存在しなかったが、本年８月、委員会は初めての勧告を行った。これは、安全管理措置を適切に講じず、個人データを第三者に提供する際に必要な同意を得ていなかった事案に対して、その重大性に鑑み、適正に個人の権利利益を保護するよう、組織体制の見直しや意識改革をはじめ、必要な措置を講じることを勧告したものである。こうした重大な違反事例事案の発生を踏まえて、個人の権利利益の保護の必要性はより高まっている。
〇

個人情報保護法は、罰則を違反行為に対する最終的な実効性確保の手段とし、法人に対してもいわゆる両罰規定を設けているところ（法第87条）、罰金刑の効果は、刑罰を科せられる者の資力によって大きく異なる。個人情報取扱事業者の中には、十分な資力を持つ者も含まれるところ、法人に対して、現行法のように行為者と同額の罰金を科したとしても、罰則として十分な抑止効果は期待できない。

〇

このため、現行の法定刑について、法人処罰規定に係る重科の導入を含め、必要に応じた見直しを行うこととする。

27

第６節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方
１．基本的考え方〇 我が国は、ＥＵとの相互認証やＡＰＥＣのＣＢＰＲシステム等の取組を進め、グローバルな連携に努めてきた。今後、国際的なデータ流通がより増大していくことを踏まえると、国際的制度調和の重要性が更に増していくことになる。個人情報・プライバシーの領域では、近年、途上国を含め世界の国々
で個人情報保護関連法制に動きがみられる中、一部に管理的規制が出現しつつある。こうした現状を踏まえ、委員会が良好な関係を築いてきた米欧を中心とした関係国・機関と共に国際的な議論を引き続きリードし、個人情報保護に関する国際的な指針の見直し及びそれらに基づく国際的な制度調和を図り、その下で、適切な形での個人データの保護と円滑な流通の確保につなげていく必要がある。
〇

このような個人情報に係る制度を巡る国際的な議論は、二国間、多国間ともに、ここ数年、活発化している状況にある。平成27年改正法では、個人情報保護法第６条に「国際機関その他の国際的な枠組みへの協力を通じて、各国政府と共同して国際的に整合のとれた個人情報に係る制度を構築するために必要な措置を講ずる」との規定が追加されたが、今後、当該規定の趣旨を踏まえつつ、昨今の国際的な議論の進展を受け、我が国がこうした議論をリードし国際的な制度調和への取組を進めるため、委員会の国際交渉体制の強化にも取り組んでいく必要がある。

２．域外適用の範囲の拡大〇 いわゆる域外適用については、平成27年改正法によって、法の適用関係が明確化された。この結果、外国において個人情報又は当該個人情報を用いて作成した匿名加工情報を取り扱う個人情報取扱事業者に法が適用されるのは、①国内にある者に対する物品又は役務の提供に関連して、②その者を本人とする個人情報を取得した場合とされている（法第75条）。
〇

ただし、現行法の規定により、報告徴収及び立入検査並びに命令に関する規定は外国の事業者に適用されないため、委員会が、域外適用の対象となる外国の事業者に行使できる権限は、指導及び助言並びに勧告のような強制力を伴わない権限にとどまっており、報告徴収及び立入検査並びに命令を行うことはできないこととなっている。

〇

これまでのところ、外国の事業者の不適切な取扱いについては、日本の拠点を通じた指導等により是正されてきている。しかしながら、仮に、外国の事業者に本法の義務規定に違反する行為があると認められ、指導・助言又は28

勧告を行っても改善されない等、より強力な措置をとる必要がある場合には、委員会が、個人情報保護法に相当する外国の法令を執行する外国の当局に対して、相互主義の考え方の下、その外国の法律に基づく執行の協力を求めて（法第78条）、実効性を確保することとなっている。
〇

ただし、中間整理の意見募集では、域外適用の拡大について反対する意見も寄せられる一方、外国事業者に対する執行を強化すべきとの意見も多く寄せられた。

〇 また、外国事業者について、平成29年度は、漏えい等報告10件、指導助言４件、平成30年度は、漏えい等報告20件、指導助言15件の対応実績があり、対応件数は増加している。このような状況について、国内事業者と外国事業者との公平性の観点から問題であるとの指摘もある。
〇

こうした状況を踏まえ、日本国内にある者に係る個人情報又は匿名加工情報を取り扱う外国の事業者を、罰則によって担保された報告徴収及び命令の対象とする。また、事業者が命令に従わなかった場合には、その旨を委員会が公表できることとする。さらに、委員会による外国の事業者に対する立入検査を可能とする。もっとも、外国主権との関係から、他国の同意がない限
り、他国領域内における公権力の行使はできないため、必要に応じて、外国当局との執行協力を行っていく。

〇

併せて、内外の事業者に対して実効的に権限を行使し、かつ、適正手続を担保するため、領事送達・公示送達等の送達に関する手続を具体化する。

３．外国にある第三者への個人データの提供制限の強化〇 海外への業務委託の一般化やビジネスモデルの複雑化が進む中、個人デー
タの越境移転に伴うリスクも変化しつつある。これまで、データ保護関連法制については、多くの国々で、ＯＥＣＤプライバシー・ガイドラインに準拠
する形で行われてきたが、近年、データ保護関連法制が途上国を含め世界に広がる中で、一部の国において国家管理的規制がみられるようになっている。
データの国内での保存等を義務付けるデータ・ローカライゼーションや、民間のデータに対する制限のないガバメント・アクセスに係る海外の立法例はその一例と考えられる。
〇

個人情報の越境移転の機会が広がる中で、こうした国や地域における制度の相違は、個人やデータを取り扱う事業者の予見可能性を不安定なものとし、個人の権利利益の保護の観点からの懸念も生じる。例えば、データ・ローカ
29ライゼーション政策との関係から、本人による個人データの消去の請求に越境移転先の事業者が対応することができないおそれや、外国政府による無制
限なガバメント・アクセスによって、我が国で取得され越境移転された個人
データが不適切に利用されるおそれがある。こうした国家管理的規制は、個人の権利利益の保護の観点から看過しがたいリスクをもたらすおそれがある。
〇

また、Ｇ２０茨城つくば貿易・デジタル経済大臣会合（令和元年６月８日
及び９日）において、「データ・フリー・フロー・ウィズ・トラスト（ＤＦＦＴ）」（信頼性のある自由なデータ流通）のコンセプトがＧ２０全体で合意され、信頼につながる各国の法的枠組みは相互に接続可能なものであるべきことが確認された。このような国際的潮流の中にあって、「プライバシーやセキュリティ・知的財産権に関する信頼を確保しながら、ビジネスや社会課題の解決に有益なデータが国境を意識することなく自由に行き来する、国際的に自由なデータ流通の促進」9を実現するためには、国家間では相互に信頼性を確保した自由なデータ流通を促進する必要があることに加え、上記のような、個人データのフリー・フローを支える信頼を、事業者と本人の間においても確保することが重要である。
〇

平成27年改正法で導入された法第24条は、個人情報取扱事業者が外国に個人データを移転できる場合を一定の場合に制限するものであり、その規制の対象は個人データの移転元である国内事業者であることから、当該規制によって、移転先における状況の多様性に起因するリスクに対応するためには、移転先の事業者やその事業者がおかれている外国の状況について必要最低限の留意を求めることとする。

〇

具体的には、移転元となる個人情報取扱事業者に対して本人の同意を根拠に移転する場合は、移転先国の名称や個人情報の保護に関する制度の有無を含む移転先事業者における個人情報の取扱いに関する本人への情報提供の充実を求める。また、移転先事業者において継続的な適正取扱いを担保するための体制が整備されていることを条件に、本人の同意を得ることなく個人データを移転する場合にあっては、本人の求めに応じて、移転先事業者における個人情報の取扱いに関する情報提供を行うこととする。

〇

なお、移転先国の個人情報の保護に関する制度等についての本人に対する情報提供は、当該個人情報の取扱いについて本人の予見可能性を高めることが趣旨であることから、その範囲で必要最低限のものとし、網羅的なもので

9成長戦略フォローアップ（令和元年６月21日閣議決定）30ある必要はない。今後、事業者の負担や実務に十分配意した上で、過重な負担とならないように、提供する情報の内容や提供の方法等について具体的に検討することとする。

31

第７節 官民を通じた個人情報の取扱い
１．基本的考え方〇 中間整理の意見募集では、行政機関、独立行政法人、地方公共団体、民間事業者等の法律等の統合を求める意見や、委員会が行政機関や地方公共団体
における個人情報の取扱いについても所管することを求める意見が多く寄せられた。
〇

公的分野の個人情報の取扱いの論点としては、大別して、行政機関個人情報保護法及び独立行政法人等個人情報保護法の取扱いと地方公共団体の個人情報保護条例に係る取扱いの論点に分けられる。

〇

これら、公的分野の個人情報の取扱いについては、行政機関等では公権力を行使して個人情報を収集できることに鑑み、収集した個人情報の保護への信頼を確保する要請は非常に大きいのに対し、民間部門では、営業の自由等にも配慮する必要があることから、取扱いについて一定の差異が存在することは許容されるべきと考えられる。一方で、官民を通じた個人情報の取扱いについては、個人情報保護法制全体の規律の在り方を俯瞰した上で、官民で整合的で調和のとれた制度の検討・運営がなされることが求められる。

〇

官民を通じた基本法でもある個人情報保護法を所管し、個人情報の保護に関する基本方針を策定するとともに、民間部門における個人情報の取扱いを監督する委員会は、関係省庁等の協力を得つつ、主体的に検討を行っていく必要がある。

２．行政機関、独立行政法人等に係る法制と民間部門に係る法制との一元化〇 行政機関、独立行政法人等に係る個人情報保護制度に関し、規定や所管が異なることにより支障が生じているとの指摘を踏まえ、民間、行政機関、独立行政法人等に係る個人情報の保護に関する規定を集約・一体化し、これらの制度を委員会が一元的に所管する方向で、政府としての具体的な検討において、スケジュール感をもって主体的かつ積極的に取り組む。
３．地方公共団体の個人情報保護制度〇 地方公共団体の個人情報の取扱いについては、条例によって定められており、法律より早期に制定された団体も多く存在することから、その実態は団体ごとに異なる点がある。この点、地方公共団体の個人情報保護制度の中長期的な在り方については、これまで検討が十分になされている状況とはいいがたい。このため、まずは関係者による実務的な意見交換の場として、委員会と地方公共団体等から構成する「地方公共団体の個人情報保護制度に関す
32

る懇談会」の開催を本年10月に決定し、12月から開催しているところである。
〇

今後、現在条例で定められている地方公共団体が保有する個人情報の取扱いについて、法律による一元化を含めた規律の在り方、地方公共団体の個人情報保護制度に係る国・地方の役割分担の在り方に関する実務的論点について地方公共団体等と議論を進めることとする。

33

第８節 継続的な検討課題（課徴金制度）〇 課徴金制度の導入については、ペナルティ強化の一環としてこれを求める
意見がある一方で、中間整理の意見募集等では、経済界等から反対の意見が寄せられた。
〇

課徴金制度は、違反行為を行った事業者に経済的不利益を課すことにより、違反行為を事前に抑止することを目的とする制度である。現行法は、最終的な実効性確保の手段として刑事罰のみを予定しているところ、課徴金制度は、
刑事罰の限界を補完し、規制の実効性確保に資するものである。

〇

特に域外適用を受ける外国事業者の違反行為に対しては、国内事業者と同様に法執行を行う必要があるところ、課徴金制度は、外国事業者に対する有効な法執行手段となり得る。

〇

また、諸外国の個人情報保護法制において、違反行為に対して、高額の制裁金を課すことによって規制の実効性を確保している例がある。

〇

他方、国内他法令における課徴金制度は、不当利得を基準として課徴金を算定している例が多く、我が国の法体系特有の制約があることから、法制的な課題もある。

〇

課徴金制度の導入については、我が国の法体系、執行の実績と効果、国内外事業者の実態、国際的な動向を踏まえつつ、引き続き検討を行っていくも
のとする。

34

（参

考）

本大綱をまとめるに当たっては、以下の活動の中で、寄せられた意見を参考とさせていただいた。
１．個人情報保護法相談ダイヤルに寄せられた御意見平成29年５月30日から、委員会事務局内に設置されている窓口（※）において、個人情報の取扱いに関する質問、苦情、あっせんの申出等を受け付けており（１日平均約75件（平成29年５月30日～令和元年９月30日））、その中で寄せられた御意見を分析し参考としている。
※

改正個人情報保護法の全面施行（平成 29 年５月 30 日）に合わせ、従来設置していた「個人情報保護法質問ダイヤル」を改組したもの。

２．中間整理の意見募集に寄せられた御意見平成31年４月25日から令和元年５月27日まで実施し、137の団体・事業者又は個人から、延べ525件の御意見が寄せられた。意見提出者数及び提出意見の内訳は以下のとおり。
○意見提出者：合計137者
・各種団体・事業者：54者
・個人（匿名含む。）：83者○提出意見数：525件
・特に件数が多かったものは、利用停止等（65 件）、オプトアウト・名簿
屋（43 件）、漏えい報告（35 件）、ターゲティング広告（36 件）である。
３．タウンミーティング
日常的に個人情報に接する消費者や自治会・企業関係者等の方々に、個人情報の保護やその取扱いに関して感じている悩み・疑問点等について意見交換していただき、個人情報保護に関する制度や運用等について理解を深めていただ
くとともに、制度に対する御意見をいただくため、全国でタウンミーティング
を開催している（これまでに全国37か所実施）。
場所

開催日

参加者

大分県

平成30年
６月11日

消費者２名、消費生活相談員１名、自治会１名、企
業１名

滋賀県

平成30年
12月18日消費者団体２名、消費生活相談員１名、自治会１
名、企業１名

青森県

平成31年
１月22日

消費者１名、消費生活相談員１名、自治会１名、企
業１名
35

島根県

平成31年
１月30日

ＰＴＡ１名、消費生活相談員１名、自治会１名、企
業１名

愛知県

平成31年
２月５日

消費者２名、消費生活相談員１名、自治会１名、企
業１名

高知県

平成31年
２月12日

消費者２名、自治会２名、企業２名

栃木県

平成31年
２月22日

消費者１名、消費生活相談員１名、企業１名

愛媛県

令和元年
７月12日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

福岡県

令和元年
８月５日

消費者１名、消費生活相談員１名、自治会１名、企
業３名

広島県

令和元年
８月30日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

岡山県

令和元年
９月12日

消費者３名、消費生活相談員１名、自治会２名、企
業１名

北海道

令和元年
９月13日

消費者２名、消費生活相談員１名、自治会２名、企
業２名

兵庫県

令和元年
９月17日

消費者２名、消費生活相談員２名、自治会２名、企
業３名

山形県

令和元年
９月19日

消費者１名、消費生活相談員１名、自治会１名、企
業２名

新潟県

令和元年
９月26日

消費者２名、消費生活相談員１名、自治会２名、企
業２名

徳島県

令和元年
10月２日

消費者２名、消費生活相談員２名、自治会２名、企
業１名

香川県

令和元年
10月３日

消費者２名、消費生活相談員２名、自治会２名、企
業１名

福井県

令和元年
10月８日

消費者２名、消費生活相談員１名、自治会１名、企
業２名

大阪府

令和元年
10月９日

消費者１名、消費生活相談員１名、自治会１名、企
業１名

岐阜県

令和元年
10月16日

消費者２名、消費生活相談員２名、自治会１名、企
業１名

宮城県

令和元年
10月18日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

鳥取県

令和元年
10月23日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

埼玉県

令和元年
10月24日

消費者３名、消費生活相談員１名、自治会１名、企
業１名
36

山口県

令和元年
10月29日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

秋田県

令和元年
11月５日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

奈良県

令和元年
11月11日

消費者１名、消費生活相談員１名、自治会１名、企
業１名

富山県

令和元年
11月12日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

石川県

令和元年
11月13日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

京都府

令和元年
11月18日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

和歌山県

令和元年
11月19日

消費者１名、消費生活相談員１名、自治会１名、企
業１名

鹿児島県

令和元年
11月21日

消費者２名、消費生活相談員２名、自治会２名、企
業１名

山梨県

令和元年
11月25日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

静岡県

令和元年
11月26日

消費者２名、消費生活相談員１名、自治会２名、企
業２名

神奈川県

令和元年
11月27日

消費者２名、消費生活相談員１名、自治会２名、企
業２名

熊本県

令和元年
11月28日

消費者２名、消費生活相談員２名、自治会２名、企
業２名

群馬県

令和元年
11月29日

消費者１名、消費生活相談員１名、自治会１名、企
業２名

宮崎県

令和元年
12月12日

消費者２名、消費生活相談員２名、自治会２名、企業２名

４．個人情報保護法シンポジウム
平成31年１月25日、法曹・企業活動・消費者相談・サイバーセキュリティ対策など、様々な立場から個人情報保護に関わる有識者の方々を招き、「個人情報保護法シンポジウム～暮らしの中の個人情報のこれからを考える～」を開催した。
本シンポジウムでは、個人情報を巡る最新動向の紹介や個人情報の保護・利活用の今後をテーマとして各分野の有識者によるパネルディスカッションを通じて意見をいただいた（パネリスト等は次のとおり）。
パネリスト
岡村 久道 氏（弁護士法人英知法律事務所 弁護士）37

坂下 哲也 氏（一般財団法人 日本情報経済社会推進協会 常務理事）
清水 健 氏（株式会社セブン＆アイ・ホールディングス 執行役員）
西本 逸郎 氏（株式会社ラック 代表取締役社長）
福井 晶喜 氏（独立行政法人国民生活センター 相談情報部相談第２課長）
其田 真理（個人情報保護委員会事務局長）
モデレーター
大林 尚 氏（日本経済新聞社 上級論説委員）
５．経済界及び有識者等からのヒアリング
回次

開催日

団体名

第89回

平成31年２月19日

在日米国商工会議所〃〃

日本ＩＴ団体連盟

第92回

平成31年３月12日

電子情報技術産業協会

第96回

平成31年３月26日

日本商工会議所〃〃

全国商工会連合会

第97回

平成31年３月27日

日本経済団体連合会

第98回

平成31年３月29日

日本インタラクティブ広告協会

第99回

平成31年４月１日

新経済連盟

第105回

令和元年５月17日

板倉陽一郎氏（ひかり総合法律事務所弁護士）
加藤隆之氏（亜細亜大学法学部教授）
小向太郎氏（日本大学危機管理学部教授）
新保史生氏（慶應義塾大学総合政策学部教授）
鈴木正朝氏（新潟大学教授）
高木浩光氏（産業技術総合研究所主任研究
員）

第106回

令和元年５月21日

石井夏生利氏（中央大学国際情報学部教授）
佐藤一郎氏（国立情報学研究所教授／所長補佐）
宍戸常寿氏（東京大学大学院法学政治学研
究科教授）
曽我部真裕氏（京都大学大学院法学研究科教授）
森亮二氏（弁護士法人英知法律事務所弁護士）
山本龍彦氏（慶應義塾大学大学院法務研究
38

科教授）
岡村久道氏（弁護士法人英知法律事務所
弁護士）（※資料提出のみ）
第119回

令和元年９月12日

ダニエル・シュワルツ氏

第121回

令和元年10月４日

日本労働組合総連合会

６．認定個人情報保護団体シンポジウム
平成31年３月６日、「認定個人情報保護団体シンポジウム～認定個人情報保護団体の意義と今後の可能性を考える～」を開催。
二部構成で実施したパネルディスカッションには、８団体の代表者がパネリ
ストとして参加していただき、制度に対する要望等を含めて意見をいただいた。
（パネリスト等は次のとおり。日本ＩＴ団体連盟以外は認定個人情報保護団体）
第１部パネルディスカッション「認定個人情報保護団体業務とメリットについて」
内田 浩示 氏（全国銀行個人情報保護協議会（一般社団法人 全国銀行協会
業務部長））
飯田 修平 氏（公益社団法人 全日本病院協会 常任理事）
万場 徹 氏 （公益社団法人 日本通信販売協会 専務理事）
宮下 清 氏 （一般社団法人 日本情報システム・ユーザー協会 常務理事）
第２部パネルディスカッション「自主ルールの策定と運用について」
岸原 孝昌 氏（一般社団法人モバイル・コンテンツ・フォーラム専務理事）
坂下 哲也 氏（一般財団法人 日本情報経済社会推進協会 常務理事）
古谷由紀子氏（公益社団法人 日本消費生活アドバイザー・コンサルタント・相談員協会 常任顧問）
野津 秀穂 氏（一般社団法人日本ＩＴ団体連盟 情報銀行推進委員会 認定分
科会事務局 シニアエキスパート）

39