別紙 意見提出様式

氏 名

住 所

所 属

電話番号

意見 1（フリガナ）タハラサチオ
一般社団法人 情報サービス産業協会
個人情報保護 TF 事務局 田原幸朗
〒104-0028
東京都中央区八重洲 2-8-1 日東紡ビル 9 階
（団体名）
（部署名）
一般社団法人 情報サービス産業協会
個人情報保護 TF 事務局
03-6214-1121（該当箇所）○政令（案） ・ ○規則（案） 別記様式
政令（案）・規則（案） 全体（意見）
政令、規則を受けたガイドライン等の早期策定をお願いしたい。

御意見（理由）
今回政令案及び規則案により、改正個人情報保護法に関して事業者がすべき対応がかなり明確化されたが、一部はガイドライン等によることになる。
改正個人情報保護法施行のときに事業者側の対応が混乱しないよう、可能な限り早期に個人情報保護委員会がガイドライン等を策定するようお願いしたい。

別紙 意見提出様式

氏 名

住 所
所 属
電話番号

意見 2（フリガナ）タハラサチオ
一般社団法人 情報サービス産業協会
個人情報保護 TF 事務局 田原幸朗
〒104-0028
東京都中央区八重洲 2-8-1 日東紡ビル 9 階
（団体名）
（部署名）
一般社団法人 情報サービス産業協会
個人情報保護 TF 事務局
03-6214-1121（該当箇所）○政令（案） ・ ○規則（案）

別記様式

現行の政令第 2 条の削除

御意見

（意見）
5000 件の要件が撤廃され、すべての事業者が個人情報取扱事業者として一定のルールに従っていることを確認する状況となったが、これに伴い新たに個人情報取扱事業者となった事業者が行う安全管理措置は、マイナンバー法における中小規模事業者が行う安全管理措置と整合性を持つことが必要である。
また、具体的な業務上の実例に即して、個人情報の扱いの典型的な例を官民で策定し、中小規模事業者も容易に高度な保護レベルを維持できるような活動を継続する必要がある。委員会規則の上でも委員会が関与して提示された対応実例集についての意味を確認するような記述が盛り込まれるべきと考える。

御意見（理由）
マイナンバー法の「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」では、中小規模事業者とは、次と定義されている。
「中小規模事業者」とは、事業者のうち従業員の数が 100 人以下の事業者であって、次に掲げる事業者を除く事業者をいう。
・ 個人番号利用事務実施者
・ 委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者
・ 金融分野（金融庁作成の「金融分野における個人情報保護に関するガイドライン」第１条第１項に定義される金融分野）の事業者
・ 個人情報取扱事業者
仮にマイナンバー法の中小規模事業者の定義と同様の考え方で、改正個人情報保護法で新たに安全管理措置を行うこととなった個人情報取扱事業者が安全管理措置において特例的な対応を行うことができるとされたとき、改正個人情報保護法での特例対応の基準は、現行法における 5000 件基準（＝過去 6 か月のいずれの日でも 5000 件を超えない個人情報のみを扱う）の事業者となることが考えられる。
このとき、マイナンバー法のガイドラインの考え方と同様であれば、5000 件基準に満たない場合でも、改正法においては委託を受けて当該個人情報を取り扱う事業者は、特例措置の対象外となる。また個人情報保護法はマイナンバー法より幅広な情報を扱うため、従業員基準でよいか、基準となる従業員数は 100 人で切ってよいか、検討を要する。

別紙 意見提出様式

氏 名

住 所所 属電話番号

意見 3（フリガナ）タハラサチオ
一般社団法人 情報サービス産業協会
個人情報保護 TF 事務局 田原幸朗

〒104-0028
東京都中央区八重洲 2-8-1 日東紡ビル 9 階
（団体名）
（部署名）
一般社団法人 情報サービス産業協会
個人情報保護 TF 事務局
03-6214-1121（該当箇所）
政令（案） ・ ○規則（案）別記様式
規則（案）第 24 条、25 条、26 条等

御意見（意見）今回の委員会規則案、政令案においては具体的に新たな法律における認定個人情報保護団体の役割の強化について明示的に触れられていないが、以下 4 点についてより一層の協力が行えるような運用を想定していることを確認したい。
(1) EU や APEC においても個人情報を取扱う事業者はコントロー
ラー（管理者）とプロセッサ（処理者）に分けて考えられ、認証制度も別（例として APEC の場合、CBPR（Cross Border
Privacy Rules）と PRP（Privacy Recognition forProcessors））である。
日本においても個人情報の処理者については管理者である顧客
企業の基準とは独立した要件が存在しうることを念頭において、処理者が主体となり積極的に自主ルールを定めて、管理者による保護と両立するような構成を念頭におくべきである。

(2)すべての事業者が個人情報保護取り扱い事業者と想定しうる中で、既存の業界の分類に従わず、現行の認定個人情報保護団体の構成に当てはまらない企業も多い。
巨大な一企業グループはそれ一個で関連する業務全体において自主的なルールとデータ主体についてのきめ細かな対応を行う能力を有しうるが、中小規模事業者やシステム開発・運用に関わる事業者は必ずしも単独の業界に所属せず、新たな業態や複数の業界にまたがることが多い。
このような中で認定個人情報保護団体に資格を与える基準は従来の各省の判断とは別に明確にすべきである。また各団体間の連携及び個人情報保護委員会との協力関係を強化するために、認定個人情報保護団体間の連絡会組織の設置が必要であり、政令等の中においてもその協力関係を明示する表現があるべきである。
(3)現存する民間自主認証（プラバシーマークなど）や、国際的な認証基準の認定業務（CBPR と PRP など）については、個別企業の立場から見ると、所属する認定個人情報保護団体とは別に認証機関が存在することが多くなる。複数の個人情報保護に関する認証制度とガイドラインが錯綜して複雑化し、対応コストや手続き等が煩雑化する結果、肝心な個人情報保護に要する業務へのリソースが割けなくなり、活動低下を招く恐れがある。
これを避けるためには、認定個人情報保護団体が策定するガイドラインでは 、なるべく複数の民間自主認証や国際認証基準に整合し、個別要件を包含することで重複した検証項目が少なくなるよう設計されることを委員会としても推奨すべきである。
(4) 第 24 条における外国事業者への第三者提供のうち、「個人情報保護委員会の規則に則った方法」について、想定されている CBPR に加えて、これと同じく APEC の電子商取引作業部会のデータ保護小部会が策定しているプロセッサ向けの認証制度 PRP についても大きな CBPR の枠組みの中の一つとして同様に扱われることが必要である。

（理由）(1)社会全体が一丸となって個人情報保護への配慮を高め、なおかつデータの活用を両立させて、他国には無い日本なりの産業を盛り立てていくためにも、民間自主規制の中核として委員会とも法的に協力関係を担保できる認定個人情報保護団体の役割が重要と考えている。

（理由）(2)APEC の CBPR については、明文化されないものの、法第 24 条における越境データ移転の際の相手方が遵守していると認定される個人情報保護基準として想定されていると理解している。同時に APEC の ECSG（電子商取引作業部会）の下の DPS（データ保護小部会）において CBPR とともに策定されている
PRP についても、情報処理業界において同様の基準として委員会から考慮されることを期待したい。
このことはオフショアアウトソーシング（主にアジア地域のシステム開発企業と協力して、企業向けの情報システムの開発を行う業態）において重要である。例えばシステム開発に付随してテストデータとして匿名ランダム加工された顧客データを元に、システム機能の検証を行うような場合も、匿名加工基準に即しているかどうかに配慮する必要がある。また拡大しているBPO（ビジネスプロセスアウトソーシング、顧客対応などのフロント業務の一部を海外で行う） においてはさらに重要である。