個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理に対する意見

2019 年 5 月 27 日
150-0011
東京都渋谷区東 3-22-8 サワダビル 4 階
一般社団法人モバイル・コンテンツ・フォーラム
常務理事 越智政人
03-5468-5091
info@mcf.or.jp
見直しに係る検討に対する基本的な考え方
我が国社会の効率性、利便性を高め継続可能な形で社会問題を解決するには、個人データの活用が必要であり、また不確実性の高い現代社会では、事前にすべての事象を想定して仕様を策定することは不可能である。将来の不確実性に対応するために、原則をベースとした柔軟な規定とすべきである。現状の法令は、詳細な手続き規定が中心となっており法全体を網羅的に捉えるのが難しい制度となっていないだろうか。一般人の常識（コモンセンス）で判断できる制度となるように努力すべきである。
具体的には、適法性、透明性、公正性等の原則に基づいて、説明責任を履行する基本的なフレームワークがデザインされた法制度を検討すべきである。
（第 1 章総論）
国際的な制度調和や連携のもと、「個人の権利利益の保護」と「産業の振興」のバランスを取りながら見直すことは重要であり、基本的には賛成である。ただし、特定の国や地域の法制度に合わせるための「個人の権利利益の保護」ではなく、我が国の法制度としての法的根拠を明確にすること、「個人の権利利益」と「産業振興」のバランステストを具体的に検討し公表すること等、検討の透明性を確保するとともに、いずれかに偏った形式的な見直しとならないこと、及び我が国の法制度として「個人の権利利益の保護」と「産業振興」がいずれも適切に実現される見直しとなることを要望する。
（第 3 章第 1 節５．
（１） 個人情報に関する個人の権利の在り方全体）
開示、訂正、利用停止等については、インターネット上でビジネスを行っている事業者は、今回の見直し内容についてすでに実施しているものが多く、検討を行うことについて大筋で異論はない。ただし、実務的には本人確認が難しい場合が多く、この点についての議論も併せて検討することを希望する。
（第 3 章第 1 節５．
（３） 開示請求）
開示請求の権利とデータポータビリティの権利は異なるものであり、同列もしくは開示請求権の延長線上で検討することには反対する。開示請求における電磁的な形式での提供において、一定の形式を求めることとなれば事業者から個人へのデータポータビリティの実現を要求することと同義であるため、慎重な検討が必要である。
データポータビリティについては、情報銀行やデータ取引市場等で安全かつ公正なデータ流通を産業界で進めている中、個人の権利利益にのみ焦点を絞った検討ではなく、その保護の法的根拠及び必要性、産業振興並びに事業者の経済的負担の観点も踏まえ、事業者や消費者も含めた Society 5.0 や Data Free Flow with Trust の文脈の中で広く議論を行うことを求める。
（第 3 章第 1 節５．
（４） 利用停止等）
利用停止等の権利の拡大は、法的根拠の明確化やバランステストの実施を前提として行うことが必要である。
「気持ち悪い」とか「個人にとって直接的な利益がない」といった理由による利用停止等は、公共の利益やいわゆる GDPR における事業者や第三者の正当な利益を損ねる恐れがあり、誤った個人の権利意識を助長することにもなりかねないため、十分な議論を行うことを要望する。
「同意の撤回」と利用停止等とは異なるものであり、利用停止等の法的な根拠は明確化されるべきである。例えば災害や犯罪対策としての「公共の利益」、施設内の回遊性を高めるための「事業者の正当な利益」といったカメラ画像等の場合、利用停止等について合理的な理由を見出すことは難しい。
また、利用停止と消去あるいは削除は、技術的にも情報の取扱い対応についても異なるものであり、明確に分けて検討することを強く要望する。消去や削除は、利用停止に比して対応費用が肥大化しやすく、また情報のトレーサビリティを完全に失うことであるため、消去や削除に合理性があるか、記録義務の期間との整合性、消去や削除後の事業者の責任免除、事後に紛争となった場合等に当該情報がないことにより事業者が被る不利益、当該情報がないことにより事業者による利用者へのサポート対応に不備が生じ、結果的に利用者が被る不利益等も考慮したうえで、十分な検討を要する。
（第 3 章第２節３ 漏えい報告の在り方）
現在、事業者にとって複数の提出ルート、複数のルール（書式）が存在することは、手間やコストの負担となっており、改善を要求する。行政サービスにおける One Stop、OnceTime を本件についても適用し、窓口の一本化や関係機関の情報連携、書式、報告基準の統一などについて、制度設計が行われることを求める。そのうえで、報告義務について過度な負担とならないよう漏えいの件数、重大性、原因、漏えいした情報の内容等を考慮し要件整理が行われることが望ましい。
（第 3 章第３節３．
（１） 認定個人情報保護団体制度の充実）
認定団体の対象事業者になるメリットとは、法制度のエンフォースメント強化に伴う認定団体による緩和というインセンティブがあることが基本。そのためには、保護委員会から認定団体への権限の委譲も必要である。各要素について個別に検討するのではなく、共同規制としての枠組みから検討すべき。
また、個人情報保護委員会と認定団体とで分かれている報告や届け出事項について、事業者の利便性を高めるため、認定団体にて包括的に対応できるようにするべき。
認定団体、業界団体のルールに加えて、個別にさらに分散化、多層化することは、各団体の負担が増加し、利活用を妨げることになりかねず、また、事業者にとっても何に対応すべきか混乱することになる。まず共通化を最大限はかったうえで、各団体が強調して分野別や上乗せの指針やルールを策定し、これを自らの指針で指定するなどとするのが望ましい。
その際には、可能な限り国際的に通用する認証システムや行動規範を検討することが最も望ましいと考える。
（第 3 章第３節３．
（２） 民間の自主的取組の推進）
責任者の設置、PIA は、義務ではなく一定のルールに従って行った場合には、漏えい時等の緩和措置として働くようなものとするべきと考える。ただし、現行の法制度では「緩和」すべき対象がなく、PIA を行うインセンティブがないため、エンフォースメントの強化を含めて仕組みから検討する必要がある。例えば、PIA の実施を認定団体に届け出ることを共同規制の一環として組み込むなどが考えられる。
PIA の検討においては、形式だけの不十分な PIA が横行することがないように、一定の基準が必要と考えられるが、その際には国際的な制度との調和に配慮し、国際規格などが推奨されることが望ましい。
（第 3 章第４節５．
（２） 「仮名化」の検討）
仮名化は現行法においても安全管理措置として有効であるにも関わらず、インセンティブがないために普及していない。仮名化の有効活用を進めるためには、安全管理義務における緩和措置と合わせて、制度化することが望まれる。
さらに仮名化は、情報の有効活用に資するという面でも大きな利点があると考えられることから、グローバル企業の仮名化による情報活用に遅れをとることが無いように、早急に検討を進めるべきである。我が国が Data Free Flow with Trust を先導していくためには、インセンティブとして仮名化による第三者提供を認めることが必要である。

（第 3 章第４節５．
（３） 技術の進展に伴うデータ利活用への対応）
前項の仮名化と重複する点があるが、個人の権利利益を保護するための技術も数多くあり、個別の検証よりも「権利利益」が保護できるとはどういうことであるかという要件を明らかにすることがまず求められる。その要件に適合するものが積極的に採用されるようにすることが、法の趣旨に添うことであり、この視点で規制としての法制度やガイドラインではなく、技術革新を後押しするような規制緩和としての法制度やガイドラインとすることが望ましい。
また、技術のみに頼るのではなく、契約による取扱い制限（公開範囲、アクセス権限、利用目的等）やトラスト・フレームワークのような信頼を構築する仕組み、国際的な認証シス
テム、検証可能な行動規範（Code of Conduct、Code of Practice）も、データ利活用のための方策として積極的に活用できるように総合考量して対応できる法制度を検討するべきである。
（第 3 章第４節５．
（５） ターゲティング広告を巡る対応の在り方）
自主規制が有効に機能する領域においては、これを尊重することが産業振興にも寄与することになり望ましいと考える。一方で、自主規制はその事業領域全ての事業者に対応できないことも多く、規範を守っている事業者を守るためにも共同規制的な枠組みを検討する必要があると考える。
（第 3 章第５節４ ペナルティの在り方）
ペナルティの強化は、悪意ある情報の取扱いの阻止に対する効果が高いため、基本的な方向性として賛成である。ただし、その対象はあくまでも悪意のある事業者及び故意・重過失により大規模な漏えい等が発生した事業者に限定されるべきであり、更に課徴金制度についてはエンフォースメントでは実効性が得られない場合に限られるべきことに留意し、過失等による形式的な違反への適用とならないようにすることが重要である。
（第 3 章第６節３ 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方）
データ流通がグローバルに広がる中、ペナルティに限らず規律の適用が、海外の事業者に及ばないのであれば、公平な制度とは言えない。ペナルティ強化の如何にかかわらず個人情報保護法が真にイコールフッティングとなるよう、あらゆる方策を取る必要がある。
そのためには、個人情報保護委員会だけではなく、産学官が協力して幅広い対外活動を強力に推し進める必要があり、国際間で対等に会話ができる協議体のような組織の組成なども検討すべきと考える。

（第 3 章第７節 その他の論点）
国際間でのイコールフッティング、データの流通促進を図るためには、個人情報保護法が国際的な基準や水準を確保していること、個人情報保護委員会が行政や自治体を所管していることは前提である。また、このことを前提とするならば、条例 2000 個という事態はあり得ない。
行政のデジタル・トランスフォーメーションの推進に民間の活力を利用するため、日本企業が海外のビッグテックと競争し、グローバル展開をするために、この課題は早急に解決することが求められる。