「パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）」に対するJISA意見
平成27年2月4日 （一社）情報サービス産業協会（JISA）「骨子案」については、個人情報の適切な管理と利活用の両面に配慮した内容であると認識。一方で、以下の点について十分な配慮・検討が必要と考える。
① 複数の業界にまたがるサービスを提供する場合に、シームレスなサービス提供を行うためのルールの共通化やルール間の調整機能が働く制度設計② オフショア開発やデータセンターの国際展開などグローバルに連携した業務を円滑に行うため、保護レベルの同等性確保や民間の自主的な認証制度の相互運用等の活用③ 小規模事業者の活力を阻害しないような十分な周知と事務手続きの簡素化等を含むコスト負担の軽減策①業界ルール間の整合性について[通信事業者等][オンライン広告事業者等]

位置情報

クーポン配信依頼

位置情報
クーポン

来店

[消費者]

[流通・小売事業者等]

 業界独自ルール（個人情報保護指針）の適用部分は、匿名化の方法、グレーゾーンの扱いなど多岐にわたる（大綱）。
 指針ごとに相当程度の自由度がある場合、業界ごとに異なるときには、シームレスなサービス（左図参照）の構築が困難になる恐れがある。
 一定程度は業界横断的なルールの整合性が保たれるよう留意すべきである。（以下は対策例）• 個人情報保護委員会が雛形や基準などのガイドラインを定める• 認定個人情報保護団体が連携して統一的なルールを定める仕組みを設ける

「パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）」に対する JISA 意見
平成 27 年 2 月 4 日
一般社団法人情報サービス産業協会（JISA）
政策委員会企画部会個人情報保護 TF
１．JISA 意見提出の趣旨
平成 26 年 7 月に「パーソナルデータの利活用に関する制度改正大綱（以下、大綱）」に関するパブリックコメントが行われ、JISA より、「民間の自主規制ルール、第三者機関の権限行使」「マルチステークホルダープロセス」「パーソナルデータの定義」「共同利用」「開示等」「業務提携した外国事業者の契約違反による事故等」「特に小規模事業者に対する義務の軽減」の７項目について意見を提出したところである（意見の概要については別紙参照）。
大綱では法律と民間自主規制ルールにより個人情報保護を行うスキームが示されているが、自主規制ルールの位置づけ、策定単位（業界単位等）、決めるべき項目、内容については曖昧なままである。
情報システムの構築・運用を主要ビジネスとする情報サービス業界にとって個人情報の適切な管理はビジネス上の大きな課題であり、今回の制度改正に関心を有している。
このようななか、平成 26 年 12 月 19 日開催の IT 総合戦略本部「第 13 回パーソナルデータに関する検討会」において事務局より提出された「パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）（以下、骨子案）」については、個人情報の適切な管理と利活用の両面に配慮した内容であると認識している。
しかしながら、情報サービス事業者が複数の業界にまたがるサービスを提供する場合に、規制ルールが異なれば、シームレスなサービス提供が困難になる懸念があり、可能な限りルールの共通化やルール間の調整機能が働く制度となるよう制度設計が必要と考える。
また、近年オフショア開発やデータセンターの国際展開などグローバルに連携した業務を行う場合もある。特にアジア諸国との間での事業展開が日本の過度な保護処置により阻害されることのないよう、保護レベルの同等性を確保するとともに、民間の自主的な認証制度の相互運用を認める等の施策の検討も必要である。
また、業界には中小事業者が多く、当該模事業者に対する義務の軽減措置が必要である。
昨年６月の大綱では現行法の 5000 件以下の取り扱い事業者についての適用除外の廃止と同時に示された小規模事業者に配慮する「必要な措置」(大綱 VI(2))が、今回の骨子案

では｢除外規定を排除｣（骨子案３．(5)）とのみ示されていて、この点で後退している印象を受ける。今後の検討において、小規模事業者の活力を阻害しないよう十分な周知を行うとともに、事務手続きの簡素化等を含むコスト負担の軽減を図るべきである。
２．複数の業界にまたがるサービスを提供する場合の制度改正の在り方
大綱によれば、「民間団体が業界の特性に応じた具体的な運用ルール（例：個人の特定性を低減したデータへの加工方法）や、法定されていない事項に関する業界独自のルール（例：情報分析によって生じる可能性のある被害への対応策）を策定し、その認定等実効1

性の確保のために第三者機関が関与する枠組みを創設する。」とされており、こうした業界独自ルールの適用部分は、匿名化の方法、グレーゾーンの扱い、事前同意の取得方法、オプトアウトの方法、法定されていない事項のルール化など多岐にわたっている。この大綱を受けた骨子案では、この業界独自ルールは「認定個人情報保護団体」が「個人情報保護指針」として策定し、個人情報保護委員会に届け出ることとなっている。
この「個人情報保護指針」がパーソナルデータの扱いに関して規定する範囲は必ずしも明確ではないが、認定個人情報保護団体ごとに相当程度の自由度があると想定した場合、個人情報の範囲や匿名化の水準等で業界ごとに異なる状況が生じると考えられる。
一方、昨今の情報サービスにおいては、複数の業界にまたがり、事業者が連携して一つのサービスを構築する場面が多くなっている。例えば、消費者の携帯電話に近隣店舗のクーポン情報を送るといった場面である（図１参照）。この場合は、携帯電話事業者とオンライン広告事業者、流通事業者企業などが連携して一つの消費者のデータをやり取りすることが想定される。このような場合に、業界ごとに個人情報の範囲や必要となる匿名化の水準などが異なる場合、シームレスなサービス構築が困難になる恐れがある。
従って、「認定個人情報保護団体」が業界特性に応じた「個人情報保護指針」を作成する場合であっても、一定程度は業界横断的なルールの整合性が保たれるよう留意すべきである。例えば、個人情報保護委員会が「個人情報保護指針」の雛形や基準などのガイドラインを定める、あるいは認定個人情報保護団体が連携して統一的なルールを定める仕組みを設ける等が考えられる。このような方策を通じて、パーソナルデータの扱いが業界ごとに不整合な状態とならないよう配慮すべきである。

[通信事業者等]
位置情報[オンライン広告事業者等]

位置情報
クーポン配信依頼
クーポン

来店

[消費者]
図１

複数業界にまたがるサービス例
2[流通・小売事業者等]

（別紙）「パーソナルデータに関する制度改正大綱」に関する JISA 意見の概要
１．民間の自主規制ルール、第三者機関の権限行使
制度改正の趣旨としてデータ利活用による産業再興があるが、第三者機関の権限があまり強すぎると、データ利活用の壁になり、企業活動が萎縮するおそれがある。自主規制ルールに参加し、合理的に従っていることが認められれば、第三者機関による直接の権限行使が極力免除されること。また、業界横断的な事業に取り組む際に、異なる自主規制ルール間で混乱が生じないようにすべき。
２．マルチステークホルダープロセス
マルチステークホルダープロセスの考え方を活かした自主規制ルールの活用については、個人情報保護に関する適切かつ柔軟な取り組みを前進させる上で期待できるが、その活性化には、情報発信力と発言力を備えた消費者層の更なる重厚化を目指す必要がある。
一方、情報サービス業は、保有個人データ以外の大量の個人データを委託等によって取り扱う事案が多く、消費者等のマルチステークホルダーと直接の接点を持つ機会が乏しいた
め、必ずしもマルチステークホルダープロセスの活用が適切とは言えない。
３．パーソナルデータの定義
保護対象となるパーソナルデータの定義は、国内外で統一すべき。
４．共同利用共同利用について議論する際は、より現実に即した判断基準を作るとともに、現状の適切な利用に対しては、あまり影響を与えないようにすべき。
５．開示等
開示等については、現行法の仕組みを維持すべきであり、開示対象となる範囲は、保有個人データのうち、個人が識別できる情報に限定すべき。
また、電子情報開示など他の制度から生じる制約との整合性を念頭に置いた議論をすべき。
６．業務提携した外国事業者の契約違反による事故等
個人データを提供した外国の事業者が契約に違反して個人データを漏えいし、また、契約に違反してプライバシー保護水準の十分でない国で個人データの取扱を行っていることが明らかになった場合、第三者機関の権限行使に当たり、契約締結の当事者である日本の事業者にとって実施することが困難な命令等が行われないように配慮すべき。
７．特に小規模事業者に対する義務の軽減
現行法にある取り扱う情報の規模 5,000 件以下の事業者としての適用除外規定が廃止される場合であっても、個人の権利利益を侵害するおそれが少ないと認められる一定の要件を満たす、特に小規模事業者に対する義務の軽減について配慮すべき。
以上
3