内閣官房 ＩＴ総合戦略室 パーソナルデータ関連制度担当室 御中「パーソナルデータの利活用に関する制度改正大綱」に対する意見
氏

名

一般社団法人 情報サービス産業協会

住所〒104-0028

号

03-6214-1121(代表)電話番

ファクシミリ番号

東京都中央区八重洲 2-8-1

日東紡ビル 9F

03-6214-1123

御意見 該当箇所
・第２ 基本的な考え方Ⅱ「２ 基本的な制度の枠組みとこれを補完する民間の自主的な取組の活用」 (8 ページ)・第２ 基本的な考え方Ⅱ「３ 第三者機関の体制整備等による実効性ある制度執行の確保」 (8～9 ページ)
・第３ 制度設計Ⅲ「２ 民間主導による自主規制ルール策定・遵守の枠組みの創設」(12～13 ページ)

¾ 意見内容保護すべき個人データの範囲やデータの匿名化の手法は、技術の進展が速い IT 分野では、市場環境や競争条件に応じて変化することが予想される。このため、制度設計及び運用に当たっては、民間の柔軟性と独立した第三者機関が関与する直接規制とを効果的に融合させ、ビジネス環境の変化に応じて継続的に見直していかなければならない。
また、独立した第三者機関の企業に対する権限行使の在り方によっては、企業活動が萎縮してしまうおそれがある。そこで、業界団体の自主規制ルールの策定には第三者機関がしっかり関与し、自主規制ルールに参加した企業で、しかも当該ルールに合理的に従っていると認められる場合には、第三者機関による直接の権限行使を極力免除すべきである。
一方、ビジネスモデルの変化が激しい今日では、複数の業種に跨がるデータを組み合わせて利用することや他の業界へデータを提供することなどを含め、業界横断的な事業に取り組む事案も考えられる。このような状況下で業界ごとに異なる自主規制ルールが定められた場合、同じパーソナルデータであっても業界によっては保護の水準が異なるなど不合理な状況が生じたり、事業変化に際してどの業界ルールを適用すべきか混乱が生じたりすることが懸念される。そのため、業界団体による自主規制ルールが業界横断での個人情報の利活用を阻害することのないように、異なる自主規制ルールの不合理や混乱を解消する仕組みについても考慮しなければならない。

1 該当箇所・第２ 基本的な考え方Ⅱ「２ 基本的な制度の枠組みとこれを補完する民間の自主的な取組の活用」 (8 ページ)
・第３ 制度設計Ⅲ「１(3)⑤多様な情報が様々な形で活用されている実態を踏まえ、本人にとって分かり易い同意の取得方法等について、消費者等も参画するマルチステークホルダープロセスの考え方を活かした自主規制ルール等を活用することにより改善を図ることとする。」(12 ページ)

¾ 意見内容マルチステークホルダープロセスの考え方を活かした自主規制ルール等を活用することについては、個人情報保護に関する適切かつ柔軟な取り組みを前進させる上で期待できる。しかしながら、特に保有個人データ以外の大量の個人データを委託等によって取り扱う情報サービス事業者においては、消費者等のステークホルダーとの直接の接点を持つ事案が乏しいことから、対象となるステークホルダーの範囲については、固定された考え方が通用するものではなく、運用に当たって、多様な考え方を持つ消費者(データの主体)の一部を代表者として参加させることが必ずしも適当ではない。
また、我が国においてマルチステークホルダープロセスを活性化させるためには、事業者はもとより消費者がデータの利活用に伴うリスクの正しい認識を持つとともに、個人の利益と社会全体への効用を理解することが必要不可欠であり、自主規制ルールの形成に向け、情報収集力と発言力を備えた消費者層の更なる重厚化を目指さなければならない。

 該当箇所・第３ 制度設計Ⅲ「１(1) 保護対象の明確化及びその取扱い」 (10～11 ページ)
・第３ 制度設計Ⅲ「３ 民間主導による国境を越えたパーソナルデータ移転の枠組み」(13 ページ)¾ 意見内容パーソナルデータの国外移転を行う上で、「パーソナルデータ」の定義が国内外で異なる懸念がある。保護対象となるパーソナルデータの定義は、国内外で統一しなければならない。

 該当箇所・第３ 制度設計Ⅲ「１(3)④共同利用については、個人情報取扱事業者において現行法の解釈に混乱が見られるとの指摘があるところであり、個人データを共同して利用する者の全体が一つの取扱事業者と同じであると本人が捉えることができる場合のみ共同利用が認められるものであるという現行法の趣旨を踏まえた運用の徹底を図ることとする。」(12 ページ)2

¾ 意見内容
情報サービスを利用する企業では様々な態様でグループ会社間、フランチャイズ組織内、海外拠点間で個人データを利用してきた。共同利用に対する現行法の趣旨を踏まえた運用の徹底について議論する際は、運用の主体が明確であるかを含め、より現実に即した判断基準を作るとともに、現状の適切な利用に対しては、あまり影響を与えないように配慮しなければならない。

 該当箇所・第３ 制度設計Ⅳ「３ 開示等の在り方」 (15 ページ)

¾ 意見内容開示等については、現行法の趣旨を踏まえ、引き続き、非開示とすることができる場
合(現行法第 25 条 1 項ただし書き)、その他の開示等に関する規定(現行法第 29 条及び同第 30 条等)、保有個人データに含まれないもの(政令第 3 条及び同第 4 条)などを維持しなければならない。
また、本人からの求めについて、裁判上の行使が可能であることを明らかにするよう開示等の請求権に関する規律を定めることに異論はない。「開示等の請求が認められるための要件については、本人の権利利益の保護と事業者の負担とのバランスに配慮し、現行法の規律を基にしつつ、濫訴防止の要請も踏まえ、規律を整理する」とした本制度改正大綱に賛同する。
なお、開示等に係る制度設計を考える上では、守秘義務や e-ディスカバリー(電子情報開示)など他の制度から生じる制約との整合性をあらかじめ念頭に置いた議論をする必要がある。また、開示対象となる範囲については、保有個人データのうち個人が識別できる情報そのものに限定することとし、履歴や利用記録などの付随情報、特定性を低減化したデータ及びグレーゾーンにある識別子等のうち適当と判断されるものについて
は、現行法第 25 条ただし書き第 2 号の規定にあるとおり、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがあることから、現行法の趣旨を踏まえ、開示を拒否できるものとすること。さらに、非開示情報の開示請求を行う個人の権利利益の保護を図りつつ、該当事業者が適切かつ合理的に対応できるよう、調停前置とすることも含めた紛争処理の在り方について検討し、苦情処理に係る認定個人情報保護団体の果たすべき役割との関係を整理すべきである。

 該当箇所・第３ 制度設計Ⅴ「３ 他国との情報移転」 (15～16 ページ)

¾ 意見内容個人データ等を取り扱うサーバの所在地(国)及び取扱いの実状について、国内の個人情報取扱事業者が正確な情報を適時に取得することは、極めて困難である。そのような状況のもとで、国内の個人情報取扱事業者から個人データ等の提供等を受けた外国事業
3

者が契約に違反して個人データ等を漏えい等し、また、外国事業者が契約に違反してプライバシー保護水準の十分な国以外で個人データ等の取扱いを行っていることが明らかになった場合、契約締結当事者である国内の個人情報取扱事業者がとり得る措置は極めて限られる。
このため、主務大臣の権限の行使(現行法第 35 条)に当たり、外国事業者ではない個人情報取扱事業者にとって実施することの困難な命令等が行われることのないように配慮しなければならない。

 該当箇所・第３ 制度設計Ⅵ「１(2) 取り扱う情報の規模及び内容並びに取扱いの態様による配慮」 (16 ページ)

¾ 意見内容現行法にある取り扱う情報の規模に関する適用除外規定を廃止する方向での検討が進められているが、個人の権利利益を侵害するおそれが少ないと認められる一定の要件を満たす、特に小規模事業者に対する義務の軽減について配慮しなければならない。
以上

4