個人情報保護委員会（第２５５回）議事概要
１

日時：令和５年９月 27 日（水）１４：３０～

２

場

所：個人情報保護委員会

３

出席者：丹野委員長、小川委員、中村委員、大島委員、浅井委員、委員会室

藤原委員、梶田委員、髙村委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官
４

議事の概要

（１）議題１：改正個人情報保護法の施行状況について事務局から、資料に基づき説明を行った。
小川委員から「改正個人情報保護法施行後の最近の状況を鑑みて、３点ほど意見を申し上げる。
まず、サービスや技術開発に取り組みやすい環境整備について。生成 AI
技術やクラウドサービスの普及を始め、デジタル技術が飛躍的に進展しており、このような技術やサービスが国境を越えて利活用されることが当たり前になっている。また、高度なデジタル技術を用いることで、個人や事業者の利益のみならず、公益のためにも個人情報が活用されることが可能になっている。そのため、我が国の産業の活性化や国際競争力強化の観点からも、特に公益性の高い技術やサービスの開発に取り組みやすくなるような制度が望ましいと考える。
他方で、このような技術が不適正に利用されることで、個人の権利利益が侵害されるリスクも高まっている。顔識別や認証技術等の高度なデジタル技術が普及する中、その使い方は様々であり、中には社会通念上不適正な利用がされているケースも存在しているとみられることから、何をもって不適正な利用とするかを、掘り下げて考えるべきである。
最後に、こどもの権利利益の保護について。昨今、スマートフォンの利用拡大や SNS の普及等によってこどもを取り巻く環境は大きく変化している。
こうした中、こども政策を所管する省庁の取組とは別に、当委員会においても、諸外国の制度や議論の動向を参考にしながら、こどもの権利利益の保護の在り方について、検討していくべきだと思う。
なお、改正法施行後の状況に関しては、デジタル技術の開発者や、サービスの提供者・利用者等の各方面からの意見を聞くことが大切であると思う」
旨の発言があった。
大島委員から「グローバル CBPR が最近では立ち上がり、当委員会はこれを推進する立場であろうかと思う。加えて、GDPR とグローバル CBPR を結ぶ構造が成立するように働きかけていく態度が大事であると考える。逆に言うと、そうしたことを進める中で、世界の中で日本の個人情報保護委員会の存在感を発揮し得るのではないかと考える。これについても引き続き努力していきたいと思う」旨の発言があった。
浅井委員から「令和２年改正法によって施行された、漏えい等報告の義務化は、結果として漏えい等件数の増加に結びついているが、個人情報等を取り扱う事業者の緊張感を生み出した進歩であると考えている。しかし、多くの漏えい等事案の原因については、サイバー攻撃のような被害を別とすれば、事業体におけるガバナンス体制の欠点が浮き彫りになっている。個人情報保護法の順守という、コンプライアンスへの取組やガバナンス強化といった必要性は、官民の組織の責任として更に強化されなくてはならない。今後、当委員会としても、個人情報やプライバシーに関する規律に対する認識を醸成するような取組が更に求められるのではないかと思う。
その点において、GDPR が義務化している、DPO（Data Protection Officer）が一つのモデルとして参考になり、また、利活用という点においても、事業体の組織内に CIO（Chief Information Officer）もしくは CPO（Chief PrivacyOfficer）といった、同等の専門職の設置を推奨するような制度も効果的ではないかと考える」旨の発言があった。
中村委員から「資料を読み、説明を聞き、当委員会がこの３年間という短い時間に制度改正を行い日本の個人情報保護制度を拡充し、的確に法を執行し、また、G7 ラウンドテーブルで議長国を務め国際的なプレゼンスを高めるなど、中身の濃い活動を行ってきたことを再確認した。今年から新たな権限も加わり、ここで少し立ち止まり、着実に執行実績を重ねて、その上で次の法改正や今後の委員会活動についてじっくり考えていきたいところではあるが、そうは言っていられない状況にあると思う。
サイバー攻撃は絶え間なく巧妙化し、生成 AI のような人間に恩恵とリスクを同時にもたらす技術が急速に進展している。諸外国においてもデータ保護の制度の進化がみられ、アジアにおいても近年 GDPR を意識したデータ保護法の成立やアップデートが相次いでいる。世界全体でデータ保護規制の水準が上がっている。このような状況の中で、当委員会も、ここで立ち止まる事なく、G7 や日本と経済的な結びつきの強いアジア諸国のデータ保護制度と調和する方向で、委員会活動や個人情報保護法に更なる磨きをかけていくことが重要であると考える。
言うまでもなく、データ保護制度はその国固有の経済、社会、法制度などの上に成り立つもので、他国の制度をそのままコピーすれば良いというものではない。しかしながら、他国との一定程度の制度調和はグローバルに展開する企業のコンプライアンスコストを下げ、DFFT にも資することができる。また、人々の権利や利益をしっかり守る高い水準のデータ保護制度を備え持つ国であるということは、その国で人々が安心して住んだり、訪問したり、ビジネスができる、ということで人やビジネスをその国に惹きつけるという外部経済的なメリットを社会や経済にもたらし得る。さらに、当委員会が G7 やアジアの DPA（Data Protection Authority）との会合や連携を行う
際に、国際標準的に高いレベルのデータ保護制度を擁することで、当委員会の発言の重みや存在感の更なる向上に資することもできる。
以上の観点から、G7 諸国やアジア主要国のデータ保護制度で一定程度既に採用されている、あるいは今年の G7 ラウンドテーブルで活発な議論が行われた、という観点から、個人情報保護法の目的である『個人の権利利益の保護』に資する委員会活動の更なる充実を考えた場合の検討事項の候補として、以下の４点を挙げたいと思う。
１点目は、Cookie の取扱い・保護の在り方についての明確化。２点目は、『信頼できる AI』の構築により明示的に資するための運用の在り方。３点目は、漏えい報告の期限の更なる明確化・短縮化。４点目は、こどものオンライン上での権利利益の保護についての明確化。
なお、改正法の施行とは異なる観点だが、EU の制裁金などがあることを踏まえれば、罰則について、将来的に課徴金なども検討し得るのではないかと考える」旨の発言があった。
藤原委員から「令和５年４月から個人情報保護法制が一元化されて、国・地方・官民に当委員会の所管が及ぶことになったが、国・地方を通じて行政機関等におけるデータガバナンスが重要な課題であると思っている。また、民間部門では、生成 AI やカメラ技術等の新たな技術に伴うリスクに目配りをすることが必要であると思う。その際、こどもを対象とする保護規定を特だしで置くかどうかも検討していい論点であると考える。
次に、権利救済の観点からだが、必要最低限の取得・収集といった、諸外国でもみられる個人情報保護法制の原則を確認するということが大事であり、さらに、権利救済の実効性、つまり、実効的な権利救済が重要であるため、例えば、執行においては、個人データの不正利用等の直罰化も検討してしかるべきかと思う。さらに、比較法的な視点からみても、課徴金制度の導入の議論はしてしかるべきであると思う。また、破産者マップのような特異な事例においてではあるが、緊急命令の活用も検討していい事項として挙げておきたいと思う。加えて、団体訴訟的制度であるが、これは消費者分野
では実務的な問題が存在すると言われているが、個人の権益保護のための手段を増やすという観点からは検討してよいのではないかと考える。
最後に同意の問題についてだが、同意については、その実体や在り方について長く議論がされてきたところではあるが、前提は同意があれば何でもよいということではない。やはり、実体的な権益保護のためには、同意の概念は当事者の従属関係等も考慮して、当委員会として精緻に検討すべきであると考える」旨の発言があった。

梶田委員から「新破産者マップの事案等の不適正な利用・取得に対して、厳格な対応をしつつも、企業の個人データの利活用や経済活用を委縮させることがないような方向性を持つことや、ガイドライン作成を含めて、制度の主旨や目的の正確な理解を促すような発信を行うべきと考えている」旨の発言があった。
髙村委員から「他の委員の意見と重複する部分もあるが、５点ほど意見を申し上げる。
第１は、不適正な利用の禁止について。違法又は不当な行為を助長し、又は誘発するおそれがある方法による個人情報の利用を禁止したことによって、この観点から、破産者マップ等に対する対応が可能となった。抽象的な表現で禁止行為が規定されているため、今後禁止行為に該当するか否かを慎重に判断しなくてはならない事案が発生する可能性はあるが、必要な対応が遅れた場合、それだけ個人の権利利益が侵害されるため、禁止規定をより実効的に実現する対策について検討する必要があると考える。
第２は、漏えい等の報告について。漏えい等報告が義務化されたことによって、漏えい等の実態がより明らかになりつつあるが、日常的に漏えい等の事案が発生している状況をみると、漏えい等の防止のための効果的な対策を更に検討する必要があると考える。
第３は、令和３年改正法による個人情報保護法制の一元化について。法律は一本化されたが、官と民のそれぞれの分野の性質の違いから個人情報の提供等の規律には異なる点がある。このため、両者の間で個人情報の提供が相互に必要な場合に、個人情報の保護を前提として、効果的な個人情報の共有が可能な規律になっているかを検討する必要があると考える。例えば、家庭内の虐待の事案においては、被虐待者又はその疑いがある者を迅速に保護するため、自治体と民間の事業者の間で情報連携する必要がある場合が少なくないが、このような場合に、被虐待者等の保護に必要な範囲で効果的な個人情報の共有が可能な規律になっているか、検討する必要があると考える。ただし、この点については、個人情報保護法だけで対応すべきか、各種の虐待防止法で対応すべきかについて検討する必要があると考える。
第４は、犯罪者グループが詐欺又は強盗等の犯罪のために個人情報を悪用する事案について。個人情報保護法単独の対応には限界があるが、個人情報が流通・悪用されていることは事実であるから、個人情報の保護を通じた同種事案の抑止の可能性を検討する必要があると考える。
最後に、生成 AI について。こちらも、個人情報保護法単独の対応には限界があるが、現行の個人情報保護法で対応が困難な問題がないかについて、検討する必要があると考える」旨の発言があった。
丹野委員長から「本日の委員会では、議題１として令和２年・３年改正法の施行状況について事務局から説明いただき、また、各委員から様々な論点について言及いただいたところであるが、それに加えて私からも、令和３年改正法の観点から発言させていただく。
行政機関個人情報保護法においては、第三者による執行権限が規定されていなかったが、令和３年改正法の施行により、行政機関等に対しても第三者機関としての個人情報保護委員会の執行権限が及ぶこととなった。そして地方公共団体を含めた行政機関等においては、対象とされる方々の個々のニーズを踏まえたきめ細やかな行政サービスの提供が期待されており、その中で個人情報等の重要性が高まってきている。
例えば、今日の資料の 10 ページの例で申し上げると、教育について言えば、それぞれのこどもに応じた適切な教育の在り方を議論する際に、習熟度や得意教科・苦手教科、または、家庭環境等の事情など様々な個人情報の利用を検討することは容易に想像される。その他、健康・医療、防災、こどもをはじめ、その他の準公共分野においても同様である。
当委員会としては、こうした状況を一般論としては理解する一方で、当然ながら安易な利用を認めることはできない。各行政機関等において、それが政策目的の達成のために真に必要な情報か否かの精査、加えて、実際に発生している漏えい事案を踏まえた実質的な安全管理の実施等の適切な取扱いがなされることが不可欠である。それらを確保する観点から、各行政機関等との連携の在り方等を検討していく必要があるものと考える。
事務局には、本日委員から指摘のあった内容を精査しながら、引き続き改正法の運用をお願いしたいと思う。また、今回の報告に加え、漏えい等事案の直近の動向や、令和２年・３年改正法に基づく執行の現況について報告を頂きたいと思う。その際には本日同様、委員の皆様からは、当委員会として議論すべき論点について御検討いただきたいと考えている」旨の発言があった。
事務局において引き続き検討を進めることとなった。
（２）議題２：監視・監督について※内容について非公表
以上