日時：令和５年 10 月 18 日（水）14：50～

場

所：個人情報保護委員会

委員会室

出席者：丹野委員長、小川委員、中村委員、大島委員、加藤委員、藤原委員、梶田委員、髙村委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、片岡参事官、石田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、浅井委員が御欠席です。
以後の委員会会議の進行につきましては、丹野委員長にお願いいたします。
○丹野委員長それでは、ただいまから、第258回個人情報保護委員会を開会いたします。

本日の議題は二つございます。
議題１「改正個人情報保護法の施行状況について」、事務局から説明をお願いいたします。
○事務局

それでは、資料に沿って御説明させていただきます。

最初に１ページ目を御覧いただければと思います。こちらは、個人情報取扱事業者等に対する令和４年度の監督状況です。漏えい等事案に対する報告が7,685件、報告徴収となったものが176件、立入検査を行ったものが26件、指導及び助言を行ったものが115件、勧告、命令がそれぞれ１件となっております。
２ページ目を御覧ください。こちらは、行政機関等に対する令和４年度の監視状況です。
こちらは、９月の委員会でも御紹介いたしましたとおり、令和３年改正法による官民一元化に伴い、当委員会が第三者機関として行政機関を監視することとなったことによるものです。件数といたしましては、漏えい等事案に関する報告が114件、資料提出の求めが20件、実地調査が26件、指導及び助言が24件となっております。なお、勧告及びこれに基づく措置についての報告の要求はありませんでした。
続きまして、３ページ目を御覧ください。こちらは、個人情報取扱事業者等に係る漏えい等報告の件数の推移です。令和２年改正法の施行により、令和４年度から漏えい等報告が義務化されたこともあり、漏えい等報告の件数は、令和３年度の5,846件から令和４年度の7,685件に増加しております。また、同一の事業者によって繰り返し漏えい等が発生している事例も存在しております。
続きまして、４ページ目を御覧ください。こちらは、各事案について、漏えい等した人数を示したものとなります。表にございますとおり、多くの事案において1,000人以下ではあるものの、個人情報取扱事業者等においては42件、全体の0.5％ではありますけれども、５万人超という非常に大規模な漏えい等が発生したケースも存在しております。
続きまして、５ページ目を御覧ください。こちらは、漏えい等した情報の種類を示したものとなります。個人情報取扱事業者等であれば顧客情報、行政機関等であれば国民等の1情報がそれぞれ８割を超える割合を占めております。
続きまして、６ページ目でございます。こちらは、漏えい等の原因を示したものとなります。個人情報取扱事業者等では、誤交付が2,485件で全体の58.9％、誤送付が801件で全体の19％を占めております。また、行政機関等では、誤交付が12件で全体の10.5％、誤送付が52件で45.6％、誤廃棄が13件で全体の11.4％と、ヒューマンエラーによる事案が多くなっております。加えて、個人情報取扱事業者等では366件で全体の8.7％、行政機関等では４件で全体の3.5％、不正アクセスを原因とするものも一定程度存在しております。その中には100万人を超える個人データの漏えいのおそれが生じたものもありました。
続きまして、７ページ目を御覧ください。ここからのスライドは、指導等の状況に関することとなります。このスライドでは、個人情報取扱事業者等や行政機関等に対して指導等を行った直近の重大事案を挙げております。各事案の後ろの括弧の中で指導等の主な理由を記載しておりますけれども、安全管理措置や委託先の監督が適切に実施されていないことを理由とするものが多く、不適正取得や不適正利用を理由とするものは少ないという状況にございます。
続きまして、８ページ目を御覧ください。先ほども言及いたしましたとおり、令和２年改正法により不適正利用の禁止の規律が新設されました。個人情報取扱事業者が多数の破産者等の個人情報を、個人情報保護法に反する態様で継続的にウェブサイトに掲載していたという悪質な事案がありましたけれども、これに対しては、不適正利用の禁止の規律に違反する事案として、令和４年７月に勧告、同年11月に命令、本年１月に告発という形で、半年を要して順次の対応となったものがございました。このほか、本年９月、勤務先の名刺管理システムのID・パスワードを転職先の会社に不正に提供した者が個人情報保護法違反（個人情報データベース等不正提供罪）の容疑等で逮捕された事案は、同提供罪の全国初の適用事例とみられているところでございます。
最後に９ページ目を御覧いただければと思います。最初のポツに記載しておりますとおり、いわゆる「闇名簿」や生成AI、サーマルカメラ等の新たな事案や、高度な技術を利用して個人情報を扱うサービスについて、個人の権利利益の侵害リスク等を含めた実態を十分に把握しながら、監視や指導等を行う必要がございます。
こうした中、オプトアウト届出事業者に対する実態調査を行ったところ、オプトアウトによる個人データを提供するに当たって、提供先が提供を受けたデータを法第19条に規定する不適正利用に該当する形で利用していないことを確認していないという回答が約３割、提供先に対して本人確認手続を実施していないとの回答が約３割ございました。こうした状況を踏まえて、本年４月にオプトアウト届出事業者に対する注意喚起を行っております。
加えて、生成AIサービスやサーマルカメラの利用についても、個人情報保護法の観点からの注意喚起を本年６月、９月にそれぞれ実施しているところでございます。
また、不正アクセス等の技術が巧妙化する中、個人情報の漏えい等をより効果的に防止・抑止する観点から、情報共有等、サイバーセキュリティ関係省庁・機関との連携を進めて2

いくこととしております。関係省庁・機関との間で連携の仕組みを整理するとともに、本年３月に個別の省庁・機関と覚書を締結いたしました。具体的には、セキュリティインシ
デント発生時における関係省庁・機関への報告制度の相互紹介・共同でのヒアリング等の実施、平時における統計データ等の情報共有を行っていくこととしております。
事務局からの説明は以上となります。どうぞよろしくお願いいたします。
○丹野委員長ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
中村委員、お願いします。
○中村委員

漏えい等報告制度、罰則、サイバー攻撃に対する関係省庁等との連携、不適

正利用の禁止に関連して、コメントと意見を述べます。
令和２年改正法でそれまで努力義務であった漏えい等報告が義務化され、報告件数が増加しました。漏えい等報告制度の長期的・究極の目標は報告件数を増やすことではなく、漏えい等やそれに伴う報告件数を限りなく０に近づけることですが、制度が始まって間もない現時点においては、漏えい等報告制度の実効性を更に高めながら個人情報取扱事業者の意識改革・行動改革を浸透させていくことが重要です。
漏えい等報告制度が個人情報取扱事業者に、より真剣に受け止められ、漏えい等報告を行う事態に陥らない為に、個人情報保護法の要求を満たすための人的・財政的な投資を事業者が自主的・継続的に行う、そのような動機付けを個人情報取扱事業者に十分に与える制度を構築する必要があります。
動機付けと罰則は密接に関係しているため、まず、罰則の在り方に関して４点ほど意見を述べます。１点目は罰則の水準についてです。個人情報保護法の罰則の水準は、欧米やアジア主要国に比較しておおむね低い水準にあります。法の実効性を高めるためには、罰則の水準の引上げを、課徴金の導入も含めて検討する必要があると思います。また、２点目として、漏えい等報告が義務であることをより実効的に浸透させるため、報告の期限をより明確にする、さらに、報告を怠った場合に罰則の対象とすることも検討する必要があるのではないかと思います。３点目として、罰則を強めるだけでなく、法令順守を前向きに促す仕組みも必要です。例えば、漏えい等報告を迅速かつ正確に行う、あるいは、漏えい等発覚後速やかに個人情報保護体制を整備し、そのための投資等を行った事業者には罰則を軽減する仕組み等も検討してはどうかと思います。以上の３点は、悪意というより、不注意や不十分な安全管理に起因する漏えい等に対する罰則に関しての意見です。４点目として、明らかに悪意のあるデータの不正な取得や提供については、迅速な執行を確保するため、罰則の直罰化を検討してはどうかと思います。以上４点が罰則に関連する意見です。
次に、サイバー攻撃に関する関係省庁等との連携に関しての意見を述べます。サイバー攻撃が巧妙化する中、サイバー攻撃による個人情報の漏えい等をより効果的に防止・抑止するためには関係省庁等との連携を進めることが重要で、委員会は３月に関係省庁等との3連携推進に向けて覚書を締結しました。覚書の締結は「はじめの一歩」で、今後はこの覚書の実効性を高めるために協力の成功事例を、まずは一つ、作っていくことが重要ではないかと思います。協力の過程で学びがあることに加え、覚書の有益性の具体例の提示により関係者のコミットメントをより強く動機付ける、覚書に対する評価を高めるなど様々なメリットが期待できると思います。
最後に、令和２年改正法で新設された、不適正利用の禁止に関する意見です。資料では指導等の理由として、令和２年改正法で新設された不適正な利用を理由とするものは１事案のみです。現在、AIがその利活用のやり方次第で個人の権利やプライバシーを侵害し得るという懸念が高まっていることに鑑み、将来、AIなどの先端技術に関連した不適正利用等を理由とする指導等を行うことも場合によってはあり得るということを前提に、ガイドラインを含む法制度や委員会の体制の充実に努める必要があるのではないかと思います。
以上です。
○丹野委員長ありがとうございました。

ほかにどなたか御意見や御質問等はございませんでしょうか。
小川委員、お願いします。
○小川委員

２点あります。

まず、事業者における安全管理体制確保のための支援についてです。令和４年度から漏えい等報告が義務化されたこともあり、報告件数は増加しています。その中で、不正アクセスを原因とする事案では大規模な漏えい等につながったものも存在しております。また、当委員会が指導等を行った直近の重大事案では、その発生理由の多くが、安全管理措置や委託先の監督が適切に実施されていないということでありました。こうした中、事業者において適切な安全管理体制が確保されるように、専門的な知見を有する当委員会が積極的に周知・啓発を行っていくことはもちろん、責任者の設置等、事業者における自主的な取組を支援していくことが重要だと思います。
次に、９月27日の委員会で議論した、個人の権利利益の保護と利活用についてです。この、個人の権利利益の保護と利活用は、一体として考えることが大切だと思います。例えば、PIAやプライバシー・バイ・デザインの考え方を組み込むことによって、個人情報等を活用したビジネスに取り組みやすくなるといった側面もあると考えております。こうした考え方を事業者に浸透させていくことが、結果的に様々なビジネス活動等において、個人情報等が適正に取り扱われることになると考えております。
以上です。
○丹野委員長ありがとうございました。

ほかにどなたかございますでしょうか。
藤原委員、お願いします。
○藤原委員

御報告、ありがとうございました。

もう既に意見も出ておりますけれども、漏えい等報告の義務化が事業者にどの程度周知
4

されているのか、あるいは順守されているのか、これは一つの別の問題だと思いますけれ
ども、いずれにせよ漏えい等関連の問題については、関係省庁との密接な協力関係を一層進める必要があるのではないかと思っております。
それから、権利救済との関係では、漏えい等事案も含めてより一般的な権利救済という観点から、認定個人情報保護団体に関連して申し上げます。苦情処理というのは認定個人情報保護団体の主要な業務の一つであるわけですから、真摯に取り組む必要があり、また、取り組んでいただくような仕組みにする必要があると思っております。
以上です。
○丹野委員長ありがとうございました。

ほかにどなたかございますでしょうか。
それではまず先に、梶田委員、お願いします。
○梶田委員

御報告、ありがとうございました。

御報告に対して２件、意見を申し上げます。
１点目ですが、令和４年度から漏えい等報告が義務化されたこともありまして、報告等の件数が増加しております。件数の増減もありますが、やはり実態を把握して次につなげていくこと、すなわちコンプライアンスの取組やガバナンス強化などにつなげていく観点が重要であると思っています。漏えい等原因の調査・分析、再発防止策などを検討し、教育訓練やマニュアル改訂等、PDCAにつなげること、また、予防・防止の観点での攻めの施策推進が進められるよう牽引していくことが重要であると考えています。
２点目ですが、悪質な事案について、勧告・命令・告発まで半年かかったという事案の報告がありました。ペナルティの強化に関しては、議論が分かれるところでありますけれ
ども、企業の個人データ利活用を委縮させることがないよう、罰則などを引き上げる場合でもその引上げ幅については極めて慎重にすべきだと考えています。一般的には、行政からの助言・指導・勧告等は、企業のレピュテーションリスクにつながるという観点から、ほとんどの企業は法に則した運営を着実に行おうとしています。そのため、極めて悪質な場合という点に着目して、不適正な利用が防止されるという前提が確保される場合には、手続規定を一定程度柔軟にしていくことや緊急命令などの活用もあると考えています。
以上です。
○丹野委員長ありがとうございました。

それでは、加藤委員、お願いします。
○加藤委員

３つほど申し上げたいと思います。

１点目は、既にお話があった漏えい等件数の話なのですが、令和４年度における漏えい等報告の件数について7,685件ということでありました。これは、あくまでも外側に出てきた表側の件数であり、犯罪でいえば認知件数ということになろうかと思いますが、実際にどの程度の漏えい等が発生しているかについても、一定程度、当委員会として、研究を行うべきではないかと思っています。また、件数については、ヒューマンエラーが存在する
5

ため０件にするのは無理でありますが、件数を出すだけでなく、どういうことを当委員会として目標にしていくのか、例えば漏えい等の発生を増加させていかないようにするのか等、何らかの形で目標を立てることが必要ではないかと思います。
２点目は、資料の４ページで、漏えい等した人数は1,000人以下が93.8％であるとの数字が記載されていますが、これは、1,000人以下の内訳をもう少し細かく分けてみていく必要があるのではないでしょうか。例えば、漏えい等した人数が１名から10名程度の場合、あまり大きな事案とはいえないかもしれないですが、件数として数えた場合にはどの程度なのか、それから、同一の事業者が繰り返し漏えい等しているケースも想定すると、事業者ベースでは何社あるいは何人といったレベルの情報も必要なのではないかと思います。
３点目は、名刺管理システムについて、名刺それ自体でも個人情報でありますが、それをデータベース化した場合には大きな課題となってくるのだと思います。そういった課題について、世の中ではあまり認識されていないのではないかと感じています。漏えい等の発生元の多くは、窓口等の現場の担当者レベルの方々であります。そうした方々に個人情報の保護について理解していただくのは大変な努力が必要です。単に講習を開催する等の話ではなく、いかにして、個人情報の保護に関する考えを浸透させていくのか、当委員会としての非常に大きな課題であると考えます。
以上です。
○丹野委員長ありがとうございます。

それでは、先ほど挙手されました、高村委員、お願いいたします。
○高村委員

漏えい等について申し上げます。

中小規模の民間事業者を対象とした、本年３月の「個人情報の保護に関する実態調査報告書」によると、漏えい等報告の義務化を知らなかった割合が約80％でした。対象は中小規模の民間事業者に限定されており、また、回収率が約15％と低いため、今回の調査結果をもって全体の傾向を推し量ることには注意が必要ですが、漏えい等の報告件数は、発生件数のごく一部に過ぎない疑いがあります。
また、大規模な民間事業者や病歴等の要配慮個人情報を取り扱っている医療機関、そして行政機関等でも漏えい等が発生しており、これらの中には基本的な安全管理措置を明らかに怠ったものも見受けられます。こうした状況をみると、安全管理措置に限らず、個人情報の取得、利用及び提供等の各場面においても、個人情報が適切に取り扱われているかについて疑いが生じます。漏えい等の防止だけが個人情報保護ではありませんが、漏えい等の発生の背後には、個人情報保護法の規律が実効性をもって順守されていない状況があるかもしれません。当委員会としては、漏えい等報告の義務化の周知を一層図ることは当然のこととして、個人情報保護法の規律全般が実効性をもって順守されているかどうかにも注意を払いながら、漏えい等の防止のための効果的な対策を更に検討する必要があると思います。
以上です。
6

○丹野委員長

ありがとうございました。

ほかに御質問、御意見はございますか。よろしいでしょうか。
それでは、私からも申し上げます。
本日の委員会では、令和２年、３年改正法の施行状況の中、監視・監督の状況について事務局から御説明をいただきました。私からは、先ほど、委員に言及いただいた内容に加えて、２つの観点について申し上げたいと思います。
１点目ですが、日常生活において様々な場面で個人が個人情報の提供を求められ、しかもそれがサービスを受けるための条件となっているケースが存在します。そもそも、個人情報の取得は、あくまでその利用目的との関係で必要最小限にとどめるべきではないのかと考えます。
２点目ですが、顔識別機能付きカメラやAIの普及に伴い、個人を追跡することによる権利侵害のおそれや、個人のプロファイリングに伴うリスクも高まっております。令和２年
改正法により導入された、不適正利用の禁止に関する規定によって、個別の事案に対応することとされているが、より実効性がある形での個人の権利利益の保護につながるよう、検討が必要ではないかと考えます。
また、９月27日及び本日の委員からの御意見には、個人情報保護法そのものの制度の在り方についての検討が必要なものも含まれていると思われます。よって、これらの点についても事務局において検討のうえ、改めて委員会に報告をいただきたいと思います。
加えて、今後の検討にあたっては、幅広い関係者から意見を聞くことが重要ですので、委員会での関係団体等へのヒアリングの実施に向けて、事務局において所定の準備を進めていただきたいと思います。
以上です。
それでは、事務局においては、引き続き検討を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については、準備が整い次第、委員会ホームページで公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。次の議題は、監視・監督関係者以外の方は御退席願います。
（監視・監督関係者以外退室）○丹野委員長それでは、議題２「監視・監督について」、事務局から説明をお願いいたします。
（内容について非公表）
それでは、本日の議題は以上でございます。
本日の会議はこれで閉会といたします。

7