個人情報保護委員会（第２８０回）議事概要
１ 日時：令和６年４月 10 日（水）１３：００～

２ 場

所：個人情報保護委員会

委員会室

３ 出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、小笠原委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官
４ 議事の概要（１）議題１：いわゆる３年ごと見直し

個人の権利利益のより実質的な保護の在り方②について事務局から、資料に基づき説明を行った。
小川委員から「前半の『こどもの個人情報等に係る規律の在り方』について意見を申し上げる。
先日、四谷大塚の事案でも申し上げたが、教育現場のみならず IT 関連を中心にして、こどもを取り巻く環境は大きく変化している。特に SNS、ゲーム、動画などのネットサービスとともに、現在は生成 AI について多くのこどもがユーザーになっていると考えられる。業界団体からも、こどもの権利利益の保護は喫緊の課題であるとの指摘があった。資料１の８、９ページにも、こどもの権利利益を侵害したことに対する諸外国の厳しい執行事例が示されている。こういった現状と、今後の日本の情報化、デジタル化の進展に欠かせない要素として、こどもの個人情報の取扱い等に係わる明文化が重要ではないかと考える。その際、こどもの個人情報等の取扱いに関しては、こどもの権利利益の保護のために検討の視点や考え方を明確にした上で、本人同意や情報提供等、実質的な保護の在り方を検討すべきではないか。また、OECD 勧告との関係で指摘されているプライバシーリスクや、英国のChildren’s Code にある『こどもの最善の利益の優先』、『年齢に応じて適切なレベルの規律を適用』を含む 15 の基準を参考にするのも良いのではないか」という旨の発言があった。
浅井委員から「『こどもの個人情報等に係る規律の在り方』について、当然多角的な検討が必要だと理解している。上乗せ規律に関して、こどもの個人情報が取り扱われる利用目的に着目して規律を講じるのも有効ではないか。特に、こどものデータを利用する場合における利用目的の特定で追加のハードルを設け、適切な取扱いを促すことが考えられる。現在は、利用目的の特定はできる限り具体的に行うよう求めているにとどまることから、取得に際して非常に広い範囲で利用目的を特定されることが少なからずあると思う。利用者がこどもの個人情報を取り扱っていることが明らかな場合は、利用目的の特定をより厳格に求めていくのも検討に値するのではないか」という旨の発言があった。
清水委員から「まず、こどもに関する規律は、個情法上にこどもに関する特有の規律を置くべき。そこでは、責務規定を原則として、例外的に年齢規制を置くべきである。責務規定については、広く未成年者である 18 歳未満を対象とし、例外的な年齢規制は適切な年齢制限を置く。その際、一つの考え方として、現行の Q&A と合わせて 16 歳未満とすることが考えられる。一律に年齢規制を置かない理由は、内容によって規制の在り方が異なると思われるし、オンラインサービス等こどものアクセス権の保護も必要な場合もあるからである。責務規定だと法的拘束力が無いとされるが、逆に事業者側にリスク評価と適切な対応を義務づけて説明責任を課すという、いわゆるリスクベースアプローチを推進する一環としてこのような形で規制するのが適切ではないか。
規制が必要な局面は二つあると考える。一つは、こどもが直接アクセスする可能性がある製品やサービスを提供する事業者に係る規制。ここでは責務規定として、こどもの利益を最優先して、透明性を確保する、具体的にはこどもがアクセスする可能性を念頭に明瞭な言葉で説明する、PIA の定期的な実施、年齢に応じた保護措置を求め、その上で高レベルのプライバシー保護を求めるべき。
二つ目は、収集されたこどもの個人情報の利用に関する規定。これも責務規定として、第 19 条の不適正利用の禁止の上乗せとして、特別な保護と配慮が必要であることを追加すべき。また、こどもに限らず社会的弱者に準用することもあり得るのではないか。その上で、プロファイリングの年齢規制など、例外的な禁止規定を置くことが考えられる。
団体訴訟制度については、差止請求と被害回復のうち、差止請求はこれまでに問題となった指導の案件のように、事業者が不特定かつ多数の個人情報を不適切に扱う場合において馴染むものではないか。行為そのものを停止させるという点では非常に効果的である。資料でも課題が多く挙げられているが、適格消費者団体と個人情報保護委員会の連携・情報共有の仕組みを構築することで克服できるのではないか。当面の対象は利用停止請求が認められる違反行為に限って規律を設けるべきと考える」旨の発言があった。
藤原委員長から「こどもの個人情報の取扱いに係る規律については、本日の議論で、様々な論点があることが明らかになったと思う。こどもの脆弱性・敏感性を踏まえるとともに、国際的なスタンダードとして、主要各国においてこどもの個人情報に係る規律が設けられており、執行事例も多数見られることも踏まえ、こどもの権利利益の保護という観点から、規律の在り方の検討を深める必要がある。以上を前提として、規律の在り方について、

４点申し上げたい。
１点目として、こどもが本人となる場合の規律の在り方について、本人の同意や、利用目的の通知などの場面において、法定代理人の関与を明文で義務付けることの必要性について、さらに検討を深めるべきである。
その際には、事業者の負担なども考慮し、対象となる事業者の範囲の在り方や、こども本人の関与の在り方についても検討を行うとともに、本日の各委員からの意見も踏まえることが重要である。
２点目として、こどもの個人情報の取扱いについて、諸外国においてはこどもの権利利益を確保する観点から、こどもの個人情報の取得や、プロファイリング・保管を含めた利用に関して一定の上乗せの規律が設けられている場合が多い。そこで、我が国においても、諸外国の法制度を参考にしつつ、個人情報の取得、プロファイリング、利用停止等請求権、安全管理措置等に関して一般の個人情報よりも上乗せした規律を設けることの必要性について、さらに検討を深めるべきである。
その際には、今申し上げた諸外国の法制度やその執行事例を踏まえるとともに、事業者の負担や利活用への制約となることも考慮し、加えて、本日の各委員の意見も含めて検討することが重要である。
３点目として、こどもの個人情報の取扱いに関し、事業者が留意すべき責務を規定することについても継続的に検討すべきである。この点については、責務規定が事業者にもたらす効果も考慮するとともに、本日の委員からの責務規定についての意見も踏まえることが重要である。
４点目として、こどもの個人情報の取扱いに係る年齢基準の考え方について、継続的な検討が必要である。具体的には、何歳未満の者を対象とするのか、各規律について一律の年齢とするか、異なる年齢基準を設けるかという点について、それぞれ検討する必要がある。その際には、国内外の法制度において様々な年齢基準が設けられていることや、対象年齢によっては事業者の負担が大きくなることも考慮するとともに、本日の委員からの意見も踏まえることが重要であるが、対象とするこどもの年齢については、現行の Q&A の規定ぶりや、GDPR の規定の例などを踏まえ、16 歳未満とすることを議論の出発点としてはどうかと考える。
続いて、団体訴訟についてである。
個人情報保護法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、団体による差止請求や被害回復請求の枠組みは有効な選択肢となりうるものである。このうち、差止請求については、差止請求の端緒となる情報の共有の在り方等の課題を踏まえつつ、継続して検討すべきである。
被害回復については、差止請求の課題に加え、個人情報の漏えいに伴う損害賠償請求が少額・大量被害事案となることから、資金面の課題がさらに大きな課題となることも踏まえた検討が必要である。その際には、関係者等からの意見も聴きつつ、検討していくことが重要である」旨の発言があった。
（２）議題２：国際関係について事務局から、資料に基づき説明を行った。
浅井委員から「当委員会は、個人情報保護法第７条の規定に基づき定められた『個人情報の保護に関する基本方針』において、DFFT 推進の観点から個人情報を安全・円滑に越境移転できる国際環境の構築の一環として企業認証制度の推進を行うこととされている。当委員会が本年３月 27 日に定めた国際戦略においては、より具体的に、グローバル CBPR フォーラムを中心に、国際的な企業認証制度に係る議論を主導するとともに、同フォーラムへの参加促進に積極的に取り組むとしているところである。また、この国際戦
略では、個人データの越境移転について、各国の個人情報保護制度の多様性を前提に、排他的なアプローチには与せず、異なる法制度や国際枠組みが共存し、相互運用性のある国際環境の構築を目指すとし、事業者側のニーズを把握した上で、ビジネスの態様や規模に応じて、複数の選択肢から利用しやすい越境移転のスキームを選ぶことができる国際環境の創出を目指すとしている。よってこのグローバル CBPR システムは、このための重要な政策ツールの一つである。
これらを踏まえ、グローバル CBPR フォーラムにおいて、国際的な企業認証制度となるグローバル CBPR システムに必要となる基礎文書がこの度整い、同システムの稼働、すなわち、同システムによる事業者の認証手続きの開始に向けた目処が立ったことは歓迎すべきと思う。
グローバル CBPR システムについては、G7 データ保護・プライバシー機関ラウンドテーブルや、私も参加してきた GPA（世界プライバシー会議）や APPA（アジア太平洋プライバシー機関）フォーラムにおいて、しばしば議論のテーマとして取り上げられていることから、各国機関の関心や期待は高まってきていると思う。当委員会として、引き続き、先に述べた国際戦略の目的実現のため、関係各国・地域及び企業のより一層の参加拡大に向けた取組や稼働後の認証基準の充実等に関する議論に積極的に関与して、グローバルCBPR システムの普及促進を行ってまいりたいと考える」旨の発言があった。
清水委員から「APEC の枠組みを越えて国際的に個人情報の越境流通を促進するための枠組みができ、稼働の運びとなったことは大変有意義なことと考える。一方で、これまでの枠組みの下、我が国では認証機関が１機関、認証取得事業者が４者にとどまっており、課題があることもうかがえる。コストを上回るメリットがあること等の普及啓発など、利用する価値のある仕組みとして認知されるための努力を是非お願いしたいと思う」旨の発言があった。

なお、本議題の資料、議事録及び議事概要については、後日公表することとなった。
以上