日時：令和６年４月 10 日（水）13:00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、小笠原委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから第280回個人情報保護委員会を開会いたします。

本日の議題は二つです。
議題の１は「いわゆる３年ごと見直し個人の権利利益のより実質的な保護の在り方②について」です。事務局から説明をお願いいたします。
○芦田企画官

それでは、資料に沿って御説明させていただきます。

本日の委員会においては、３年ごと見直しに関する検討項目の個別論点の検討の３回目として、検討項目の「個人の権利利益のより実質的な保護の在り方」のうち、「こどもの個人情報等に係る規律の在り方」と「団体訴訟制度」について御議論をお願いできればと考えております。
これから、資料に沿って順次御説明いたします。
１ページを御覧ください。
現行の個人情報保護法においては、こどもの個人情報の取扱い等に係る明文の規定はありません。ただし、法第32条第２項以下に規定する開示等の請求等については、法第37条第３項及び施行令第13条第１号において、未成年者の法定代理人によって行うことができる旨が定められています。
また、ガイドラインにおいて、「本人の同意」を得ることが求められている場面（目的外利用、要配慮個人情報の取得、第三者提供等）について、未成年者が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要があるとした上で、その年齢については、Q&Aにおいて、「一般的には12歳から15歳までの年齢以下の子どもの場合」がこれに該当するものとしています。
２ページを御覧ください。
国際的な枠組みとして、まず、「児童の権利に関する条約」があります。この条約では、18歳未満を児童と定義し、児童の権利に関する具体的な事項を規定しており、児童のプライバシーも保障対象とされています。
また、2021年には、OECDにおいて「デジタル環境下のこどもに関するOECD勧告」が取りまとめられています。これは、18歳未満をこどもと定義した上で、プライバシー保護を含1

む「デザインによる年齢に適したこどもの安全」を提供する措置等を勧告するものです。
３ページを御覧ください。
ここからはこどもの個人情報等に関する外国制度等の説明となります。
現在、例えばEU（欧州連合）、英国、アメリカ合衆国、中華人民共和国、大韓民国、ブラジル、インド、インドネシアにおいて、こどもの個人情報に関する規律があります。規律の在り方は国・地域によって様々ですが、主としてこどもの個人情報等を、センシティブ情報又はセンシティブデータに分類した上で特別な規律の対象とする、こどもの個人情報等に特有の規律を設ける、オンライン分野等一定の分野に限定した上で、個人情報保護法令とは異なる法令に規律を設けるという三つのパターンが確認されています。
このほか、カナダにおいても、未成年者の個人情報をセンシティブ情報と位置付ける新法の制定が検討されています。
４ページを御覧ください。ここから７ページ目までが各国の規律の具体的な内容の説明となります。
５ページの米国COPPA、７ページの中国、韓国、インドネシア、インド、ブラジル等は、こどもの個人情報の取得・処理について、法定代理人等の事前同意を要求しています。
また、４ページのGDPRも、こどもの個人情報の処理の法的根拠について、正当な利益に依拠するに際しては、データ主体の利益等が当該利益を上回ってはならないとするなど、いわゆる「正当な利益」に依拠しづらい、同意その他の法的根拠に依拠すべき設計となっています。
また、４ページ目のEUのGDPR、DSA、英国のChildren's Code、５ページの米国のADPPA、６ページのカリフォルニア州のCCPA、CAADCA、７ページのインド等においては、こどもに対するプロファイリング、また、ターゲティング広告を規制する規律があります。
また、これらの国以外についても、５ページの米国COPPA、７ページの韓国、ブラジルでは、プロファイリングであるか否かを問わず、こどもの個人情報の収集そのものを規制する規律があります。
なお、GDPRにおいては、こどもであるか否かを問わず、プロファイリングに係る異議権等が規定されています。
加えて、６ページのカリフォルニアCAADCA、７ページの中国、インドネシアにおいては、こどもの個人情報の取扱いに関して、PIA、データ保護影響評価の実施を要求する規定があります。
年齢要件については、４ページ、EUのGDPRでは、16歳未満とした上で、加盟国ごとに13歳未満にまで引下げ可としており、５ページの米国COPPAでは13歳未満としているのをはじめとして、４ページから７ページ目に挙げているとおり、13歳から18歳まで各国制度で様々となっています。
８ページ、９ページは、諸外国における、こどもの個人情報の取扱いに係る執行事例の紹介となります。
2

欧米各国において、親の同意を取得せずにこどもの個人情報を取得していた事案などに対して、多額の制裁金の支払いが命じられた事例が見られます。
10ページを御覧ください。
こどもの個人情報等に関する社会的反響の大きかった事例として、全寮制の学校が、全生徒にウェアラブル端末を購入してもらい、心拍数、血圧、睡眠時間、入退室履歴等を把握し、生徒の健康管理に役立てるとした事例、別の学校で、生徒の手首につけた端末で脈拍を測定し、授業中の集中度を測定する実証研究を行っていた事例を挙げています。
また、こどもの個人情報等に関する個人情報保護法に基づくこれまでの行政上の対応として、本年２月に指導を行った四谷大塚の事案を挙げています。
11ページを御覧ください。「個人情報保護法相談ダイヤルにおけるこどもの個人情報等に係る相談事例等」を挙げています。
「頻度が多い事例」として、本人が未成年である場合における同意取得の対応を挙げているほか、その他の相談事例を挙げています。
このような状況を踏まえ、こどもの個人情報等の取扱いについて、諸外国の制度等を踏まえ、本人同意の取得等における法定代理人の関与の在り方や、こどもの個人情報の取扱いであることを理由とした上乗せ規律の強さや範囲が論点となるとともに、仮に何らかの規律を設けるとした場合に、その基準となる年齢の考え方が論点になるかと考えられます。
12ページを御覧ください。ここからは団体訴訟についての説明となります。
当委員会の相談ダイヤルでは、令和４年度において25,055件の相談を受け付けました。
このうち、苦情に係る受付件数は7,466件であり、その内訳は下の表のとおりとなっています。苦情のうち、あっせんの申出受付の件数は23件となっています。
13ページを御覧ください。
以前の委員会でも御紹介しましたが、令和４年度における個人情報取扱事業者等に対する監督の状況としては、報告徴収176件、立入検査26件、指導及び助言115件、勧告・命令はそれぞれ１件となっています。
また、本人による保有個人データの利用停止については、令和２年に実施されたアンケート調査においては、回答事業者の47％が、１年間に受け付けた利用停止請求件数が10件未満と回答した状況になっています。
14ページを御覧ください。
消費者行政においては、消費者庁に加え、都道府県や市区町村に置かれている消費生活センターや国民生活センターが、消費者からの相談受付を行っているほか、公正取引委員会は、地方支分部局を持つなど、個人情報保護委員会と比較して充実した体制にあります。
15ページを御覧ください。
消費者関連法制においては、適格消費者団体による差止請求の仕組みが設けられています。これは、差止請求を行うのに必要な適格性を有するとして、内閣総理大臣が認定した消費者団体である適格消費者団体が、事業者が不特定かつ多数の消費者に対して「不当な3

勧誘」「不当な契約条項」「不当な表示」などの消費者契約法等に違反する不当な行為を行っている、又は行うおそれがあるときに、これを差し止めることを求めることができるというものです。
16ページを御覧ください。
この差止請求は、消費者からの情報提供等を端緒として、裁判外の交渉、協議を経て、これが不成立の場合、裁判所に訴えを提起するという流れになっています。
これを担う適格消費者団体は全国に26団体あり、制度の運用が開始された平成19年６月から令和５年３月31日までの間に、差止請求が966件行われ、うち85件の差止請求訴訟が提起されています。
なお、現行の個人情報保護法には、適格消費者団体の差止請求についての規定は設けられておらず、差止請求を行うのに必要な適格性を有する団体を認定する制度も設けられていませんが、適格消費者団体が事業者に対し、法令上の差止請求権の行使とは別に、個人情報の取扱いの改善を求めた例があります。
17ページから19ページにかけて、個人情報に係る本人が不特定かつ多数と評価し得る事例について、個人情報保護法に基づく行政上の対応を行った事例を挙げています。
17ページのフェイスブックインク、JapanTaxi株式会社はいずれも指導、18ページのリクルート等の事例は勧告・指導、19ページのいわゆる新・破産者マップの事案は命令を、本年１月の有限会社ビジネスプランニングは指導をそれぞれ発出しています。
20ページからは、被害回復に関する説明となります。
以前の委員会でも説明したとおり、個人情報保護委員会への漏えい等報告の件数は、令和４年度から漏えい等報告が義務化されたこともあり、漏えい等報告の件数は増加しており、令和４年度で7,685件となっています。この中には、同一の事業者において繰り返し漏えい等が発生している事例も存在しています。
また、漏えい等をした人数は、多くの事案において1,000人以下であるものの、50,000人超という非常に大規模な個人の権利利益の侵害につながるケースも存在しています。
21ページを御覧ください。
こうした漏えい事案や個人情報保護法に違反する個人情報の取扱いが行われた事案については、民法上の不法行為に該当するケースもあります。現に、講演会の参加申込者の個人情報を無断で警察に開示した事案、会社が管理していた個人情報が外部に漏えいし、持ち出された個人情報の全部又は一部が名簿業者に売却された事案において、慰謝料の支払いが命じられたというものがあります。
22ページを御覧ください。
消費者保護法制においては、特定適格消費者団体による被害回復制度があります。これは、特定適格消費者団体が、消費者裁判手続特例法に基づき、多数の消費者に共通して生じた被害について、訴訟を通じて集団的な被害の回復を求めることができるとするものです。
4

流れとしては、第１段階として特定適格消費者団体が、事業者側の責任確定のために提訴し、勝訴判決や和解等によって事業者側の責任が確定した場合、第２段階として被害回復のための手続を進めるというものです。
23ページを御覧ください。
被害回復の対象は、消費者と事業者との間で締結される契約に関して、被害を受けた消費者から、事業者に対して一定の金銭の支払請求権が生じるものであり、慰謝料は、従来は対象から除かれていました。これが消費者裁判手続特例法の令和４年改正により、一定の要件を満たす場合の慰謝料が対象に追加されました。
特定適格消費者団体は全国に４団体あり、現在までに８件の被害回復に係る訴訟が提起されています。
個人情報取扱事業者が、個人情報保護法上の義務に故意に違反した場合における慰謝料請求は、被害回復の要件を満たし得ると考えられる一方、個人データの漏えい等が発生した場合における慰謝料請求等は、直ちにはこれを満たさないと考えられます。
また、個人情報取扱事業者が、個人情報保護法上の義務に違反した場合における損害賠償請求のうち、「消費者契約に関する」請求ではないものは、消費者裁判手続特例法に基づく被害回復の対象とはならないと考えられます。
24ページを御覧ください。
こうした団体訴訟については、これを実現するとした場合には幾つかの課題が考えられます。
差止請求・被害回復に共通する課題として、専門性の確保、端緒情報等の共有・立証等における考慮、報告・監督窓口の一本化、資金を含む団体への援助が考えられます。
また、被害回復に特有の課題として、個人情報の漏えいに伴う損害賠償請求は、典型的な少額大量被害事案となることに伴う費用面の負担、立証上の課題が考えられます。こうした状況を踏まえ、団体訴訟について、差止請求・被害回復それぞれについて、その導入の適否をどのように考えるか。仮に導入に向けた検討を行うとした場合に、24ページで説明した課題についてどのように対処すべきかが論点となるかと考えられます。
事務局の説明は以上となります。よろしくお願いいたします。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について、御質問、御意見をお願いいたします。
小川委員。
○小川委員

御説明、ありがとうございました。

前半のこどもの個人情報について意見を申し上げたいと思います。
先日、四谷大塚の事案でも申し上げたのですけれども、教育現場のみならず、IT関連を中心にしてこどもを取り巻く環境が大きく変化していると思います。特に、SNSやゲームや動画、ネットサービスとともに、現在は生成AIについても多くのこどもがユーザーになっていると想定されます。業界団体からのヒアリングでも指摘されておりましたけれども、5こどもの権利利益の保護が喫緊の課題となっていると思います。資料の８ページ、９ペー
ジにも、こどもの権利を侵害したことに対する諸外国の厳しい執行事例が示されております。こういった現状と、今後の日本の情報化、デジタル化の進展に欠かせない要素として、こどもの個人情報の取扱い等に係る明文化を行うことが重要だと思っております。
その際、こどもの個人情報の取扱いに関しましては、こどもの権利利益を保護するための検討の視点や考え方を明確にした上で、本人同意や情報提供等、実質的な保護の在り方を検討していただければと思います。
例えば、資料にもありましたけれども、OECD勧告との関係で指摘されておりますプライ
バシーリスクや、ここにありますけれども、英国のChildren's Codeにある「こどもの最善の利益の優先」とか、「年齢に応じて適切なレベルの規律を適用」といった15の基準などを参考にするのもいいかと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
浅井委員、お願いします。
○浅井委員

ありがとうございます。

私からも、「こどもの個人情報等に係る規律の在り方」について一言申し上げます。
当然、多角的な検討は必要だと理解しております。一つ、上乗せ規律に関して、こどもの個人情報が取り扱われる目的、つまりは利用目的に着目して規律を講ずることも有効ではないでしょうか。特に、こどものデータを利用する場合における利用目的の特定で追加のハードルを設け、適切な取扱いを促すことが考えられると思います。
現在は、利用目的の特定は、できる限り具体的に行うよう求めているにとどまることから、取得に際して非常に広い範囲で利用目的を特定されることが少なからずはあると思います。利用者がこどもの個人情報を取り扱っていることが明らかな場合は、利用目的の特定をより厳格に求めていくことも検討に値するのではないかと考えます。
以上です。
○藤原委員長分かりました。

ほかにいかがでしょうか。
清水委員、お願いします。
○清水委員

ありがとうございます。

まず、こどもに関する規律ですが、私の意見としましては、個情法上にこどもに関する特有の規律を置くべきであり、そこでは、責務規定を原則として、例外的に年齢規制を置くべきだと考えております。
責務規定につきましては、広く未成年者、18歳未満を対象にすることが考えられ、また、例外的な年齢規制では適切な年齢制限を置く。一つの案としては、現行のQ&Aを踏襲して16歳未満とすることも一つの考え方かと思います。
6一律に年齢規制を置かない理由は、内容によって規制の在り方が異なるということもありますし、オンラインサービス等、こどものアクセス権の保護が必要な場合もあると思いますので、責務規定を原則とすべきと考えます。
責務規定は、法的拘束力が無いとはされていますけれども、逆に、事業者側にリスク評価と適切な対応を義務づけて説明責任を課すという方法、いわゆるリスクベース・アプローチを推進していく、その一環として、このような形で規制するのが適切ではないかと思います。
具体的には、規制が必要と考えられる局面は二つあると考えております。
一つは、こどもが直接アクセスする可能性のある製品・サービスを提供する事業者に係る規制。こちらは責務規定を置く、内容としては、こどもの利益を最優先し、透明性を確保するということです。こどもがアクセスする可能性を念頭に、透明性、つまり、平易・明瞭な言葉で説明するということを重んじていただく、PIA（プライバシー影響評価）を定期的に実施させる、年齢に応じた保護措置、例えば親権者の同意を求める。その上で高レベルでのプライバシー保護を行うといった取組が必要と思います。
二つ目ですが、収集されたこどもの個人情報の利用に関する局面、これは先般起きた四谷大塚事件を想定しているわけですが、現在の19条の不適正な利用の禁止への上乗せとして、こどもの個人情報には特別な保護と配慮が必要であるという旨の責務規定を追加するということです。こちらに関しましては、こども以外の社会的弱者にも場合によっては準用するということも考えるべきかと思います。その上で、例外的に禁止、ないしは制限規定を置くことも必要かなと考えております。例えば、先ほどお話がありましたプロファイリング、あるいはターゲティング広告といったことについては、適切な年齢規制というものを例外として置くことが考えられるのではないかと思います。
以上がこどもに関する規律のことで意見を申し上げましたが、二つ目、団体訴訟制度に関して一つ申し上げたいと思います。
御紹介がありました差止請求と被害回復のうち、差止請求は、現在、これまでに問題があった、資料にありましたような案件のように、事業者が不特定多数の個人情報を不適切に扱う場合に馴染むものだと考えております。行為そのものを停止させるという点では非常に効果的であると考えます。
資料でも課題が多く挙げられておりますけれども、個情委と特定適格消費者団体の間でも連携、情報共有等の仕組みを構築することにより克服できるのではないかと考えます。
当面の対象としては、利用停止請求が認められる違反行為に限って規律を設けるべきかと考えております。
長くなりましたが、以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。ほかにはよろしいですか。
それでは、今、各委員から貴重な御意見をいただきました。私からも、本日の二つの論7

点について、一言申し上げたいと思います。
まず、こどもの個人情報の取扱いに係る規律についてですけれども、本日の議論で様々な論点があるということが明らかになったことと思います。こどもの脆弱性、敏感性を踏まえるとともに、国際的なスタンダードとして、主要各国においてこどもの個人情報に係る規律が設けられており、執行事例も多数見られるということを踏まえ、何よりもこどもの権利利益の保護という観点から、規律の在り方の検討を深める必要があると思います。
これを前提として、その上で、規律の在り方について４点ばかり申し上げたいと思います。
１点目としては、こどもが本人となる場合の規律の在り方について、本人の同意や、利用目的の通知などの場合において、法定代理人の関与を明文で義務付けることの必要性について、更に検討を深めるべきであろうと思います。
その際には、事業者の負担なども考慮し、対象となる事業者の範囲の在り方や、こども本人の関与の在り方についても検討を行うとともに、本日の各委員の意見、例えば小川委員から、教育現場のみならず、今日のIT環境下ではこどもの利益の侵害が深刻であって、その際には、イギリス、EU、OECDなど、国際基準も踏まえる必要があるのだろうという御意見をいただきました。
浅井委員からは、こどもの権利利益侵害について、利用目的の特定の厳格化、追加的ハードルを設けるという観点からの御意見がありました。
清水委員からは、事業者の義務としての責務規定を設け、そして、場合によっては、個別の場合に、年齢を考えて個別の規律を置くべきではないかという御意見もいただきました。
そういった意見があったことを踏まえて、この論点を検討することが重要ではないかと思います。
それから、２点目ですけれども、こどもの個人情報の取扱いについて、１点目と関係しますけれども、諸外国においては、こどもの権利利益を確保する観点から、こどもの個人情報の取得やプロファイリング、保管を含めた利用に関して、一定の上乗せの規律が設けられている場合が多いと。そこで、我が国においても、先ほど、国際的なスタンダードと申し上げましたけれども、諸外国の法制度を参考にしつつ、個人情報の取得、プロファイリング、利用停止等の請求権、安全管理措置等に対して、一般の個人情報よりも上乗せした規律を設けることの必要性について、更に検討を深めるべきではないかと思います。
その際には、今申し上げた諸外国の法制度や、今日御紹介いただきました執行事例を踏まえるとともに、事業者の負担や利活用への制約となることも一方で考慮し、加えて、本日、委員から、１点目のところで既に御紹介したような御意見があったということも、検討することが重要ではないかと思われます。
３点目として、こどもの個人情報の取扱いに関し、事業者が留意すべき責務を規定することについても、継続的に検討すべきではないかと。この点については、責務規定が事業8者にもたらす効果も考慮するとともに、本日、清水委員から、責務規定の在り方について詳細に御紹介がありましたが、そういう御意見を踏まえることが重要であろうかと思います。
４点目ですけれども、こどもの個人情報に係る年齢基準の考え方についてです。
これについても継続的な検討が必要であろうと思います。具体的には、まず、何歳未満のものを対象とするのか。２番目に、各規律について一律の年齢とするのか。異なる年齢基準を設けるかという点について、それぞれ検討する必要があろうかと思います。
その際には、事務局からの説明でもありましたように、国内外の法制度において様々な年齢基準が設けられていることや、併せて、対象年齢によっては事業者の負担が大きくなることも考慮するとともに、本日いただいた、最初に御紹介したような意見を踏まえることが重要でございますけれども、私としては、対象とするこどもの年齢については、これは清水委員も言及されましたけれども、現行のQ&Aの規定ぶりとか、あるいは、国際的な基準の一つでありますGDPRの規定の例などを踏まえ、16歳未満とすることを議論の出発点としてはどうかと考えております。
以上がこどもの権利利益の保護に関する雑感でございます。
続いて、団体訴訟についても一言申し上げます。
個人情報保護法の規定に違反する情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、団体による差止請求や被害回復請求の枠組みは有効な選択肢となるものであると言えると思います。このうち、差止請求については、差止請求の端緒となる情報の共有の在り方等の課題を踏まえつつ、継続して検討すべきであると。この方法の有効性については、先ほど清水委員からも御指摘のあったところでございます。
一方、被害回復でございますけれども、被害回復については、差止請求で検討すべき課題に加え、個人情報の漏えいに伴う損害賠償請求が少額大量被害事案となることから、資金面の課題が更に大きな課題となるといった事実も踏まえた検討が必要であろうかと思います。
その際には、団体訴訟、被害回復等についての議論もあるところですので、関係者等の御意見も聴きつつ検討していくことが重要ではないかと思います。
以上のようなことを考えているわけですけれども、特に御意見はございますでしょうか。
よろしいですか。
それでは、特に御意見等がないようですので、今私から申し上げた内容を踏まえて、事務局においてよく御検討いただきたいと思いますが、よろしいでしょうか。
では、よろしくお願いいたします。
○芦田企画官承知しました。ありがとうございます。

○藤原委員長ありがとうございました。

それでは、本義題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
9本議題の資料、議事録及び議事概要については、公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移りたいと思います。
議題２「国際関係について」、事務局から説明をお願いいたします。
○事務局

本日の議題２でございます、グローバルCBPRシステムの稼働について御報告させていただきます。
まず、グローバルCBPRフォーラムにおけるこれまでの取組について御説明します。
越境プライバシールール（CBPR）システムは、事業者の個人情報の保護に関して、第三者機関であるアカウンタビリティ・エージェント、認証機関が、所定の個人情報保護要件への適合性を認証することで、当該事業者の個人情報の取扱いが信頼に値することを国際的に認証し、もって個人情報の越境流通を促進することを目的とする制度であり、現在、APECの取組として実施されております。
APEC CBPRシステムにつきましては、提供元や提供先がこの認証を取得していることは、個人情報保護法第28条第１項における個人情報保護委員会規則で定める基準に適合する体制を整備していることに該当し、これにより、本人の同意なくAPEC CBPR認証取得事業者による個人データの安全・円滑な越境流通が可能となっております。
CBPRシステムについては、APECの枠組みにとらわれず世界中からの参加を可能とし、参加国・地域と認証取得事業者を拡大することを目的として、一昨年、令和４年４月にグローバルCBPRフォーラムの設立に係る宣言が我が国を含むAPEC CBPRシステム参加国・地域により公表されました。
昨年、令和５年４月には、フォーラムの組織体制を定める運営規約等が公表され、公表を受けて、６月に英国が新規に準会員として参加し、フォーラムには令和６年３月末時点
で10の国・地域が参加しております。
運営規約及び参加国・地域について補足いたします。
フォーラムは、意思決定機関である総会、これは米国が議長、シンガポールが副議長を務めておりますが、総会のほか、参加を希望する国・地域の申請審査を担うメンバーシッ
プ委員会、参加を希望する認証機関の申請審査等を行う認証機関委員会及び広報活動などの対外対応を行うコミュニケーション・ステークホルダー委員会を設置しております。また、議決権を有する正会員に加え、正会員としての参加に向けた準備段階としての準会員の類型を創設してございます。
フォーラムには、正会員として、オーストラリア、カナダ、日本、韓国、メキシコ、フィリピン、シンガポール、台湾、米国。また、準会員として英国が参加しております。
昨年10月には、フォーラムの下、プライバシー執行機関（PEA）同士の越境協力の枠組みであり、CBPRシステムへの参加の前提となるプライバシー執行のためのグローバル協力取10

決めが公表され、当委員会を含むPEAが参加しております。
また、一昨年のフォーラムの設立に係る宣言の公表以来、APEC CBPRシステム及びPRPシステムに参加している認証機関及び認証取得事業者の円滑な移行を前提に、フォーラムにおいて運営される新たな企業認証制度、グローバルCBPRシステム及びグローバルPRPシステムの運用に必要となる各基礎文書の策定に係る議論を継続してまいりました。
具体的には、九つのプライバシー原則を含むあるべき個人情報保護施策の内容と、その実装等について示した「グローバルCBPRフレームワーク」、グローバルCBPRシステム及びグローバルPRPシステムの運用規則を定めた「ポリシー、ルール及びガイドライン」、フォーラムに認証機関としての承認を求める組織に必要とされる基準及び申請手続を定める認証機関承認申請書、認証機関が事業者の申請に基づき、グローバルCBPRシステム又はグローバルPRPシステムの認証を付与するための個人情報保護要件に対する審査基準を定める「プログラム要件及び受入質問票」などの文書について議論してまいりました。
以上が、これまでのフォーラムによる取組でございます。
次に、CBPRシステムの稼働及び今後の予定について御説明いたします。
公表済みのグローバルCBPRフレームワークを除く基礎文書は、フォーラム総会における最終合意を経て、本年４月21日の公表が予定されております。これら文書の公表により、フォーラムが設立された第一の目的である、グローバルCBPRシステム及びグローバルPRPシステムが確立され、新たな国際的企業認証制度の一つとして稼働することとなります。
稼働後においては、フォーラムによる認証機関の承認を経て、本年６月には、同システムにおける認証機関による事業者の認証開始を目指しております。
今後の予定としては、これに加え、我が国を含むフォーラム会員による新たな国・地域の参加拡大に向けたワークショップの開催を含むアウトリーチ活動が進められるとともに、より多くの国・地域の参加を可能とするためのグローバルCBPRシステムに係る個人情報保護要件の見直しについて、フォーラム総会において議論が行われる予定でございます。
なお、本議題につきましては、フォーラムにおける基礎文書の最終合意とその公表は、今後の予定であるため、委員会資料の公表は、フォーラムによる公表後とさせていただく点を申し添えさせていただきます。
御報告は以上でございます。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見をお願いいたします。
浅井委員、お願いします。
○浅井委員

ありがとうございます。

ただいまの事務局の御説明の補足になりますが、一言申し上げます。
当委員会は、個人情報保護法第７条の規定に基づき定められた「個人情報の保護に関する基本方針」において、DFFT推進の観点から、個人情報を安全・円滑に越境移転できる国際環境の構築の一環として、企業認証制度の推進を行うこととされております。
11

当委員会が、本年、令和６年３月27日に定めました国際戦略においては、より具体的に、グローバルCBPRフォーラムを中心に、国際的な企業認証制度に係る議論を主導するとともに、同フォーラムへの参加促進に積極的に取り組むとしております。
また、この国際戦略では、個人データの越境移転について、各国の個人情報保護制度の多様性を前提に、排他的なアプローチには与せず、異なる法制度や国際枠組みが共存し、相互運用性のある国際関係の構築を目指すとし、また、事業者側のニーズを把握した上で、ビジネスの様態や規模に応じて、複数の選択肢から利用しやすい越境移転のスキームを選ぶことができる国際環境の創出を目指すとしております。よって、このグローバルCBPRシステムは、このための重要な政策ツールの一つであります。
これらを踏まえて、グローバルCBPRフォーラムにおいて、国際的な企業認証制度となるグローバルCBPRシステムに必要となる基礎文書がこの度整えられ、同システムの稼働、すなわち、同システムによる事業者の認証手続の開始に向けためどが立ったことは歓迎すべきだと思います。
グローバルCBPRシステムについては、G7データ保護・プライバシー機関ラウンドテーブ
ルや、私も参加してまいりましたGPA（世界プライバシー会議）、APPA（アジア太平洋プライバシー機関フォーラム）において、しばしば議論のテーマとして取り上げられていることから、各国機関の関心や期待は高まってきていると思います。
当委員会として、引き続き、先に述べました国際戦略の目的実現のため、関係各国・地域及び企業のより一層の参加拡大に向けた取組や、稼働後の認証基準の充実等に関する議論に積極的に関与して、グローバルCBPRシステムの普及・促進を行ってまいりたいと考えます。
以上です。
○藤原委員長補足的な説明をありがとうございました。

確かに、相互運用性、インターオペラビリティーというのは大変重要だと思います。どうもありがとうございました。
それでは、ほかには。
清水委員、どうぞ。
○清水委員

ありがとうございます。

APECの枠組みを越えて国際的に個人情報の越境流通を促進するための枠組みができ、稼働の運びとなったことは大変有意義なことと考えます。一方で、これまでの枠組みの下では、我が国では認証機関が１機関、認証取得事業者が４社にとどまっており、今後の運用に課題があることもうかがえます。
コストを上回るメリットがあること等の普及啓発など、使う価値のある仕組みとして認知されるための努力を是非お願いしたいと思います。
以上です。
○藤原委員長ありがとうございました。
12ほかにはよろしいでしょうか。
ありがとうございました。それでは、ただいまの御説明を認めたということにさせていただきます。
それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。
今、御説明がありましたように、本議題の資料、議事録及び議事概要については、後日公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
それでは、本日の議題は以上でございます。
本日の会議はこれにて閉会いたします。

13