資料１

個人情報保護法 いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方③）

令和６年５月29日
個人情報保護委員会事務局

課徴金制度の導入①
１-１．これまでの行政上の対応（個人データの違法な第三者提供等に関連する事案）
企業・団体名

人材サービス事業者（A社）及びその関連事業者（B社）
いわゆる内定辞退率を提供するサービスの利用企業

ー

対応時期

令和元年12月

令和４年７月 /令和４年11月 /令和５年１月

問題となった取扱い• A社及びB社は、2018年度卒業生向けの新卒向け就職情報サービスにおいて、
いわゆる内定辞退率を提供するサービス（採用活動に応募した学生等の情報と会員情報を突合し、就職情報サービス上の学生等の閲覧履歴等を基に内定を辞退する確率を算出して提供するサービス）を本人の同意を得ずに同サービスの利用企業へ提供する等した。

• ウェブサイト上において、破産手続開始決定又は民事再生手続開始決定を受けた個人（以下「破産者」という。）の氏名及び住所などの個人データをインター
ネット上に公開されている地図データと紐付けられる形で表示した。

（令和４年７月）• ウェブサイトを通じた個人データの提供を停止するよう勧告を実施。

行政上の対応（A社及びB社に対する勧告）• 個人データを取り扱う際に、適正に個人の権利利益を保護するよう、組織体制を見直し、経営陣をはじめとして全社的に意識改革を行い、適正な個人情報の取扱いのための体制整備、適切な利用目的の通知又は公表等を含め必要な措置をとることを勧告を実施。
（いわゆる内定辞退率を提供するサービスの利用企業に対する指導）• 適切な利用目的の通知又は公表等、適切な対応を指導を実施。

その他

ー（令和４年11月）• ウェブサイトを通じた個人データの提供を直ちに停止するよう命令を実施。
• 勧告とともに発出した報告徴収に応じなかったことから、罰則の適用を求めて刑事告発の手続を進めている旨を公表。
• 今後、上記命令に違反した場合、罰則の適用を求めて刑事告発することを検討している旨を公表。
（令和５年１月）• 令和４年11月某日付けでウェブサイトを通じた個人データの提供を直ちに停止することを求める命令を発出したが、正当な理由なくその命令に係る措置がとられなかったことを理由に刑事告発を実施。
• 令和４年７月某日付け及び同年11月某日付けで報告徴収を行ったにもかかわらず、報告を行わなかったことを理由に刑事告発を実施。
• 当該事業者は、破産者に対し、破産者情報を非表示にするには６万円分のビットコインを、破産者情報とピンを全て削除するには12万円分のビットコインを要求。
• 司法統計年報によると、破産既済事件数のうち「自然人」に区分されているのは2022年が64,496件、2021年が70,406人。

1

課徴金制度の導入②
１-１．これまでの行政上の対応（個人データの違法な第三者提供等に関連する事案）
企業・団体名

海外プラットフォーム事業者（C社）

名簿販売事業者（D社）

対応時期

平成30年10月

令和６年１月• C社サービスの利用者（以下「ユーザー」という。）が、ソーシャルプラグインである
ボタンが設置されたウェブサイトを閲覧した場合、当該ボタンを押さなくともユーザー
ID、アクセスしているサイト等の情報が同社に自動で送信されていた。

• 販売先が、法に違反するような行為を行う者にも名簿を転売する転売屋（ブローカー）だと認識していたにもかかわらず、意図的に販売先での名簿の用途を詳しく確認せず、転売屋に名簿を販売した。

• 性格診断アプリを介して取得したユーザーの個人情報が不正に英国の分析会社に共有された。

• 個人データを第三者に提供したときに、当該個人データを提供した年月日並びに当該第三者の氏名又は名称及び住所について、記録を作成しなかった。

問題となった取扱い••
行政上の対応その他

以下の事項について指導を行った。
ユーザーへの分かりやすい説明の徹底、本人の同意の取得、本人からの削除要求への適切な対応等を行う。
プラットフォーム上の第三者が開発したアプリケーションの活動状況の監視等を徹底する。

• これらの事案に関連し、米国のFTC（2019年７月、同社との間で50億ドルの支払等を内容に含む和解命令を発出）、英国のICO（2018年10月、英国
データ保護法に基づき当時最高額の50万ポンドの制裁金の支払を命令）などの複数の国の当局が調査・処分を行っている。

以下の事項について指導を行った。
違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用しないよう、定期的に監査を行う等して個人情報の取扱状況を適切に把握するとともに、定期的な研修及び教育の実施を通じて、代表取締役を含む役員及び従業者に、個人情報の適正な取扱いを周知徹底すること。
個人データを第三者に提供したときは、個人情報保護法第29条、個人情報保護法施行規則及び個人情報の保護に関する法律についてのガイドラ
イン（第三者提供時の確認・記録義務編）に従い、個人データを提供した年月日、当該第三者の氏名又は名称及び住所等の記録が必要な事項について、適切に記録を作成し保存すること。

ー（※）（※）消費者庁が行った「名簿販売事業者における個人情報の提供等に関する実態調査」（平成28年３月）における名簿販売事業者ヒアリング調査結果によれば、名簿販売事業者の年商は「数百万円から１億円程度までと比較的差が大き」く、また、「取引ごとの総額は、おおむね5,000円～10万円／回程度が多」かったとのことである。

2

課徴金制度の導入③
１-２．これまでの行政上の対応（漏えいの可能性を認識したにもかかわらず速やかに適切な措置が講じられなかった事案）
企業・団体名

コールセンターサービス事業者（E社）及びその関連事業者（F社）

対応時期

令和６年１月問題となった取扱い• 民間事業者30社や38の地方公共団体から委託を受けE社が行っていたコールセンター事業に関し、コールセンター業務で用いるシステムの保守運用を同社から委託されたF社に所属し、システム保守運用業務に従事していた者が、委託元の顧客又は住民等に関する個人データ等を不正に持ち出した。
• 個人データの不正な持ち出しは平成25年から令和５年にわたって反復的に行われており、影響を受けた個人データは判明しているものだけで約928万人分。

行政上の対応（E社に対する勧告）• 組織的安全管理措置の不備を是正するために必要な措置をとるよう勧告を実施。
• その他に確認された安全管理措置及び委託先の監督の不備を改善するよう指導を実施。
• 過去の調査において不適切な調査報告に至った経緯及び原因並びに再発防止策の実施状況について報告徴収を実施。
（F社に対する勧告）• 組織的安全管理措置の不備を是正するために必要な措置をとるよう勧告を実施。
• その他に確認された安全管理措置の不備を改善するよう指導を実施。
• 過去の調査において不適切な調査報告に至った経緯や再発防止策の実施状況について報告徴収を実施。

その他• コールセンター業務をE社に委託していたX社は、令和４年１月頃から同年３月頃に、同社の顧客から、「不審な投資の勧誘電話があり、X社から自身の個人情報が流出しているのではないか。」と問い合わせを複数回受け、顧客情報の漏えいの可能性が高いと認識。
• X社は社内調査及びY県警への相談及び捜査依頼を行ったが、X社自身からの個人データ等の漏えいの事実は確認されなかったため、令和４年４月、コールセンター業務の委託先であったE社に調査を依頼。
• 令和４年７月、E社はX社に対し、個人データ等の漏えいは確認されなかった旨を報告。
• しかしながら、その後、X社からの捜査依頼を受けたY県警によりF社に対して捜査が実施されたことを発端として、E社は個人データ等の持ち出しがあった事実を認めるに至る。同社が漏えいがあった事実をX社その他の委託元に報告を行ったのは令和５年８月以降。

１-３．これまでの行政上の対応（指導を受けたにもかかわらず速やかに適切な措置が講じられなかった事案）
企業・団体名タクシー関連事業者（G社）

対応時期

平成30年11月 / 令和元年９月

問題となった取扱い• G社は、タクシー車内に設置したタブレット端末付属のカメラを用いてタクシー利用者の顔画像を撮影して広告配信に利用しているが、その旨をタクシー利用者に対して十分に告知していなかった。

行政上の対応（平成30年11月）• 上記取扱いに関して、タクシー利用者に対する分かりやすい説明の徹底等について指導を実施。
（令和元年９月）• 平成31年４月に至るまで改善策が実施されていなかったことが判明したことを踏まえ、タクシー利用者の権利利益に対する影響の程度や、事業者における顧客目線の重要性という観点に加え、当委員会の指導への対応に時間を要した組織体制上の問題点も考慮し、再度の指導を実施。

その他

ー

3

課徴金制度の導入④
２-１．国内他法令における課徴金制度の概要
私的独占の禁止及び公正取引の確保に関する法律（昭和22年法律第54号）
導入時期

金融商品取引法（昭和23年法律第25号）（個人情報保護委員会事務局調べ）
公認会計士法（昭和23年法律第103号）

不当景品類及び不当表示防止法（昭和37年法律第134号）

医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（昭和35年法律第145号）

・昭和52年改正により導入

・平成16年改正により導入

・平成19年改正により導入

・平成26年改正により導入

・令和元年改正により導入

対象行為

・不当な取引制限（カルテル、談合）・支配型私的独占・排除型私的独占・事業者団体の競争制限
・不公正な取引方法（共同の取引拒絶、差別対価、不当廉売、再販売価格の拘束、優越的地位の濫用）・不公正取引（インサイダー取引等）
・有価証券届出書等の不提出・虚偽記載等（発行開示義務違反）
・有価証券報告書等の不提出、虚偽記載等（継続開示義務違反）
・公開買付開始公告の不実施、公開買付届出書等の不提出・虚偽記載等
・大量保有報告書等の不提出・虚偽記載等
・プロ向け市場等における特定証券等情報の不提供等、虚偽等及び発行者等情報の虚偽等・虚偽開示書類等の提出等を容易にすべき行為等
・情報伝達・取引推奨行為

・故意による虚偽証明
・相当の注意を怠ったことによる重大な虚偽証明・優良誤認表示・有利誤認表示・医薬品等の効能等に関する虚偽又は誇大な広告

課徴金額の
算定方法

・対象期間中の違反行為に係る商品又は役務の売上額又は購入額に、対象行為及び事業者の規模に応じて定められた一定の算定率（１％～10％）を乗ずる等の方法により算定

・対象行為に応じて定められた算定方法により算定・例えば、インサイダー取引については、「重要事実公表後２週間の最高値×買付等数量」から「重要事実公表前に買付け等した株券等の価格×買付等数量」を控除する等の方法により算定・故意による虚偽証明については、
監査報酬相当額の1.5倍に相当する額・相当の注意を怠ったことによる重大な虚偽証明については、監査
報酬相当額

・対象期間中の違反行為に係る商品又は役務の売上額に一定の算定率（３％）を乗ずる等の方法により算定・対象期間中の違反行為に係る医薬品等の売上額に一定の算定率（4.5％）を乗ずる等の方法によ
り算定

加算規定

・不当な取引制限等について、①違反行為を繰り返し行った場合の加算、②主導的役割を担った場合の加算等を規定

・違反行為を繰り返し行った場合の加算を規
定

-

-（※）

-

減算規定等

・不当な取引制限等について、①違反行為を自主的に報告した場合の減免、②罰金との調整等を規定・①違反行為を自主的に報告した場合の減算、②罰金との調整等を規定-

・①違反行為を自主的に報告した場合の減算、②返金措置の実施による減算を規定

・①違反行為を自主的に報告した場合の減算、②不当景品類及び不当表示防止法に基づく課徴金納付命令との調整を規定

規模基準

・課徴金額が100万円未満であるときは、その納付を命ずることができない。

・課徴金額が１万円未満であるときは、その納付を命ずることができない。

・課徴金額が１万円未満であるときは、その納付を命ずることができない。

・課徴金額が150万円未満である
ときは、その納付を命ずることができない。

・課徴金額が225万円未満である
ときは、その納付を命ずることができない。

（※）不当景品類及び不当表示防止法の一部を改正する法律（令和５年法律第29号）により、違反行為を繰り返し行った場合の加算規定が導入された（令和６年10月１日施行予定）。

4

課徴金制度の導入⑤
２-２．国内他法令における課徴金制度の概要（独占禁止法上の課徴金制度）①（出典）公正取引委員会「私的独占の禁止及び公正取引の確保に関する法律ガイドブック：知ってなっとく独占禁止法」（令和６年4月）（https://www.jftc.go.jp/houdou/panfu_files/dokki
npamph.pdf）

5

課徴金制度の導入⑥
２-２．国内他法令における課徴金制度の概要（独占禁止法上の課徴金制度）②（出典）公正取引委員会「私的独占の禁止及び公正取引の確保に関する法律ガイドブック：知ってなっとく独占禁止法」（令和６年4月）（https://www.jftc.go.jp/houdou/panfu_files/dokki
npamph.pdf）

6

課徴金制度の導入⑦
２-２．国内他法令における課徴金制度の概要（独占禁止法上の課徴金制度）③（出典）公正取引委員会「私的独占の禁止及び公正取引の確保に関する法律ガイドブック：知ってなっとく独占禁止法」（令和６年4月）（https://www.jftc.go.jp/houdou/panfu_files/dokki
npamph.pdf）

7

課徴金制度の導入⑧２-２．国内他法令における課徴金制度の概要（独占禁止法上の課徴金制度）④（出典）公正取引委員会「私的独占の禁止及び公正取引の確保に関する法律ガイドブック：知ってなっとく独占禁止法」（令和６年4月）（https://www.jftc.go.jp/houdou/panfu_files/dokki
npamph.pdf）

8

課徴金制度の導入⑨２-３．国内他法令における課徴金制度の概要（景品表示法上の課徴金制度）①（出典）消費者庁表示対策課「景品表示法への課徴金制度導入について」（平成28年）（https://www.caa.go.jp/policies/policy/representation/fair_labeling/pdf/fair_labeling_18
1225_0002.pdf）

9課徴金制度の導入⑩
２-３．国内他法令における課徴金制度の概要（景品表示法上の課徴金制度）②（出典）消費者庁表示対策課「景品表示法への課徴金制度導入について」（平成28年）（https://www.caa.go.jp/policies/policy/representation/fair_labeling/pdf/fair_labeling_18
1225_0002.pdf）を基に作成。

10

課徴金制度の導入⑪
３．金銭的不利益を課す行政上の措置等に関する外国制度の概要①
国・地域

EU（欧州連合）

英国

法令等

GDPR（General Data Protection Regulation）

UK GDPR（UK General Data
Protection Regulation）

対象行為

第５条（個人データの取扱いと関連する基本原則）、第６条（取扱いの適法性）、第７条（同意の要件）、第８条（情報社会サービスとの関係においてこどもの同意に適用される要件）、第９条（特別な種類の個人
データの取扱い）を含む多くのGDPR上の条項違反が制裁金の対象となっている（第83条第４項、第５項）。
違反条項に応じて下記のいずれかの算定方法が適用される。
• 1,000万ユーロ、又は、全世界総売上高の２％のうちいずれか高い方を上限とする（第83条第４項）• 2,000万ユーロ、又は、全世界総売上高の４％のうちいずれか高い方を上限とする（第83条第５項）

金額/算定
方法

第83条第２項は、制裁金は個々の案件の事情に応じて後述する「その他の義務履行確保手段」に加えて、又は、代えて科されるものであり、制裁金を科すか否かを判断する場合及び制裁金の額を判断する場合には、違反行為の性質、重大性、持続期間、害を受けたデータ主体の人数、データ主体が被った損害の程度、違反の故意又は過失、データ主体が被った損害の軽減措置等の諸要素を適正に考慮に入れるものと規定している。

その他の義
務履行確
保手段

制裁金以外の措置として、以下の措置が定められている（第58条第２項）。
• 意図されている取扱業務が本規則の条項に違反するおそれがある旨の警告を発すること• 取扱業務が本規則の条項に違反する場合、懲戒を発すること• 自らの権利を行使するデータ主体の要求に従うように命ずること• 本規則の条項を遵守するものとさせるように命ずること等• 個人データ侵害をデータ主体に連絡するように命ずること• 取扱いの禁止を含め、一時的な制限又は恒久的な制限を課すこと• 個人データの訂正若しくは削除又は取扱いの制限を命ずること等• 認証を取り消すこと、認証機関に対して発行した認証を取り消すように命ずること等• 第三国又は国際機関の取得者に対するデータ流通の停止を命ずること

域外適用
の有無

有り
（GDPRは、EU域内に事業所がない場合であっても、適用され得る（第３条第２項）。）（出典）令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美坂井法律事務所・外国法共同事業）の調査結果等を基に作成。

基本的に同左。
違反条項に応じて下記のいずれかの算定方法が適用される。
• 870万ポンド、又は、全世界総売
上高の２％のうちいずれか高い方を上限とする（第83条第４項）• 1,750万ポンド、又は、全世界総売上高の４%のうちいずれか高い方を上限とする（第83条第５項）• 第83条第２項について、同左。

基本的に同左。

基本的に同左。

11

課徴金制度の導入⑫
３．金銭的不利益を課す行政上の措置等に関する外国制度の概要②
国・地域

米国（連邦）

米国（カリフォルニア州）

法令等

Federal Trade Commission Act（FTC Act）

カリフォルニア州消費者プライバシー法（CCPA）

対象行為

米国において包括的な個人情報保護法制（連邦法）は存在しない。もっとも、連邦取引委員会（FTC）はFTC法第 ５条（｢不公正・ 欺瞞的行為 又は慣行｣(15 U.S.C.
§57a(a)(1)(B))）に基づく法執行を通して消費者の個人情報やプライバシーの保護を図っている。例えば、事業者が消費者に対して説明していたとおりのプライバシー保護の機能が製品に備わっていなかったことや、事業者が消費者に対して説明していた内容と異なるプラ
イバシー保護の実務が行われていたことが、同条違反となり得る。
また、COPPA（児童オンラインプライバシー保護法）違反についてはFTC法第５条違反とみなされる旨が規定されている(15 U.S.C. § 6501(c)、COPPA規則§312.9)。
同様に、現在包括的な個人情報保護法制（連邦法）として制定が検討されている
ADPPA（米国プライバシー保護法）の草案（2022年６月公表）やAPRA（米国プラ
イバシー権法）の草案（2024年４月公表）においても、これらの法律違反がFTC法第５条違反とみなされる旨が規定されている（ADPPA案第、APRA案第16条(b)(1)）。
FTCは、民事制裁金（civil penalty）を請求する権限があり、命令に違反した事業者から民事罰を徴収できるほか、FTC法第５条に違反し、不公正又は欺瞞的で規則により禁止されているとの現実の認識を持ち、又は客観的状況に基づき認識していたと相当に暗示
さ れ る 場 合 等 に は 地 方 裁 判 所 に 民 事 制 裁 金 を 求 め る こ と が で き る （ 15 U.S.C.
§45(m)(1)(A)等）。

金額/算定方法

FTCは毎年１月にインフレを踏まえて民事制裁金の上限額を調整しており、2024年１月
10日以降、FTC法第５条違反に対する民事制裁金の最高額は違反ごとに51,744米ドルである（16 C.F.R.§ 1.98）。
違反数の計上方法に関して、継続的な不遵守による違反の場合、不遵守が継続したそれぞれの日が別個の違反として取り扱われる（15 U.S.C. §45(m)(1)(C)）。

意図的な違反又は事業者が16歳未満であることを実際に知っている消費者の個人情報に関する違法の場合：各違反について7,500米ドル以下（Cal. Civil Code
§1798.155(a)）
そ の 他 の 違 反 ： 各 違 反 に つ い て 2,500 米 ド ル 以 下 （ Cal. Civil Code
§1798.155(a)）

その他の義務
履行確保手段排除措置命令（15 U.S.C. §45(b)）、裁判所に対する差止請求（15 U.S.C. §53b）、同意命令（16 C.F.R. §2.31～2.34）などの措置も予定されている。

違反行為停止命令（Cal. Civ. Code §1798.199.55 (a)(1)）、個人情報のセキュリティ侵害に係る消費者による民事訴訟の提訴（損害賠償請求の場合、消費 者 １ 人 １ 事 件 あ た り 100 ド ル 以 上 750 ド ル 以 下 ） （ （ Cal. Civil Code
§1798.150 ） 、 司 法 長 官 に よ る 違 反 行 為 の 差 止 め （ Cal. Civ. Code
§1798.199.90(a)）などの措置も予定されている。

域外適用の有無有り（FTC法第５条が禁止する「不公正・欺瞞的行為又は慣行」には外国の商取引も含まれ得る（15 U.S.C. §45(a)(4)(A)）。

有り（「事業者」に該当する限りは、日本の事業者であっても適用対象となり得る（Cal.
Civ. Code §1798.140(c)(1)））。

個人情報の販売・共有規制（Cal. Civil Code §1798.120）等のCCPA違反
行為が民事制裁金（civil penalty）対象とされている（Cal. Civil Code第1798.155(a)）。

（出典）令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美坂井法律事務所・外国法共同事業）の調査結果等を基に作成。

12

課徴金制度の導入⑬
３．金銭的不利益を課す行政上の措置等に関する外国制度の概要③
国・
地域
法令等

カナダ（連邦）
個人情報保護及び電子文書法（PIPEDA）

消費者プライバシー保護法（CPPA）（案）無い

カナダにおいては、現行法（PIPEDA）に代わる新法として消費者プライバシー保護法（CPPA）の制定が検討されている。2022年６月に公表されたCPPAの草案では、第94条以下において「行政制裁金（Administrative Monetary Penalties）」に係る規定が設けられている。
コミッショナー（Privacy Commissioner）は、対象事業者が第15条第１項（情報の取得・利用・開示について原則として本人の有効な同意を得る義務を規定）等の各CPPA上の規律に違反したと認めるときに、審判所が当該対象事業者に対して行政制裁金を課すことを勧告するか否かを決定しなければならない（第94条第１項）。
審判所は、以下の場合に命令により当該対象事業者に対して行政制裁金を課すことができる（第95条第１項）。
• コミッショナーがCPPAに従い決定の写しを提出した場合又は審判所がコミッショナーの制裁金を課さない旨の勧告に代えて請求により当該対象事
業者に行政制裁金を課すことを勧告する旨の自ら決定する場合であり、• 対象事業者及びコミッショナーに陳述の機会が与えられており、かつ、• 審判所が行政制裁金を課すことが適切であると判断した場合

金額/算定
方法

無い

1,000万カナダドル又は全世界総売上高の３％の制裁金のうちいずれか高い方を上限とする（第95条第４項）。
なお、審判所は、組織に行政制裁金を課すことが適切か否かを判断し、またその額を決定する際に、次の要素を考慮しなければならない（第95条第５項）。
• 第94条第２項に定める要素（違反の性質及び範囲、組織が違反を回避するために相当の注意を払ったという証拠、組織が違反の影響を緩
和又は逆転させるために合理的な努力をしたかどうか等）• 当該組織が制裁金を支払う能力及びその支払が当該組織の事業遂行能力に及ぼす可能性のある影響• 組織が違反によって得た経済的利益

その他の義
務履行確
保手段

勧告（第13条第１項、第19条第１項）や強制執行可能なコン
プライアンス契約の締結を通じて組織の法令の履行を確保することが予定されている（第17条）。また、法令違反の程度が著しい場
合には、組織の名前を公表することもあり得る（第20条第２項）。

コミッショナーは、本法の遵守を確保するために合理的に必要な範囲において、以下の事項を組織に命じることができる（第93条第２項）。
• 本法を遵守するための措置を講じること• 本法に反する行為を中止すること• 組織が締結した遵守協定の条件を遵守すること• 組織が本法に基づく義務を履行するために導入した方針、慣行又は手順を是正するために講じた、若しくは講じようとしている措置を公表すること
なお、第93条第２項（遵守命令）に基づく命令に故意に違反した組織、又は苦情調査、調査、監査において、委員又は委員の代理人を妨害した組織は、起訴可能な犯罪として有罪となり、2,500万カナダドルと判決が下される前の会計年度における組織の全世界総売上高の５％のいずれか高い額を超えない罰金に処せられる（第128条）。

域外適用
の有無

明文規定無し（ただし、法の適用関係を定めた第４条において、外国企業への適用を排斥する規定は確認されていない。）

対象行為

明文規定無し（ただし、法の適用関係を定めた第６条において、外国企業への適用を排斥する規定は確認されていない。）（出典）PIPEDAについて、令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美坂井法律事務所・外国法共同事業）の調査結果等を基に作成。

13

課徴金制度の導入⑭
３．金銭的不利益を課す行政上の措置等に関する外国制度の概要④
国・
地域
法令等

中国

大韓民国

個人情報保護法（PIPL）

サイバーセキュリティ法（CSL）

個人情報保護法（PIPA）

PIPLの規定に違反して個人情報を取り扱う場合又は個人情報を取り扱う際にPIPLに規定する個人情報保護に係る義務を履行しない場合であり、かつ、
当局による是正命令を拒否した場合又は上記違反行為の情状が重い場合に制裁金の対象となる（第66条）。

以下の場合に制裁金の対象となる（第64条）。
第22条第３項（ユーザー情報の収集・保護）、第41条（個人情報の収集・使用）、第42条（個人情報の漏えい・提供）、第43条（個人情報の削除要求など）の規定に違反し、個人情報が法により保護を受ける権利を侵害した場
合第44条（個人情報の窃取など）の規定に違反し、個人情報を窃取し、又はその他の不法な方式で取得し、不法に売却し、若しくは不法に他人に提供したが、犯罪を構成していない場合

個人情報の取得・利用・提供について本人同意その他の要件の充足を求める
第15条第１項（個人情報の収集と利用）及び第17条第１項（個人情報の提供）や第22条の２第１項（子どもの個人情報の保護）、第23条第１項第１号（センシティブ情報の処理制限）、第28条の８第１項（個人情報の越境移転）などの多くのPIPA上の条項違反に加え、個人情報の漏えい等があった場合が制裁金の対象となっている（第64条の２）。

金額/算
定方法

対象事業者が是正命令を拒否した場合：100万人民元以下の制裁金（第66条）
違法行為の情状が重い場合：5,000万人民元以下または前年度の売上高の５％以下の制
裁金（第66条）

違法所得の同額以上10倍以下の制裁金
違法所得がないときは100万人民元以下の制
裁金（第64条）

個人情報処理者の全体売上高（違反行為があった事業年度の直前３事
業年度の年平均売上高（個人情報保護法施行令第60条の２第１項））の３％以下の範囲で、違反行為の重大性に応じて課徴金の算定比率を乗じて基準金額が算出される（第64条の２）。
第64条第４項は、韓国の個人情報保護委員会は、課徴金を課すに際して、違反の詳細と程度、違反の期間と頻度、違反から得られた利益の規模、漏えい等の規模、被害回復・被害拡大防止措置、等の諸要素を勘案し、課徴金が違反行為に比例し、かつ、違反の防止に実効性を有することを確保するものと規定している。

その他の
義務履行
確保手段

是正命令、警告、違法所得の没収、個人情報を違法に取り扱うアプリケーションに対するサービス提供の一時停止または終了の命令、関連業務の停止命
令なども存在する（第66条）。

是正命令、警告、違法所得の没収、関連業務の一時停止、業務停止・整頓、ウェブサイトの閉鎖を命じ、関連業務許可または営業許可の取消しなども存在する（第64条）。

改善勧告（第61条第２項）、是正措置命令（第64条第１項）、捜査機関への告発（第65条第１項）、責任者の懲戒処分を勧告（第65条第２項）、過料（第75条）、措置内容及び結果の公表・公表命令（第66条）、
罰金または懲役（第70条ないし第73条）、利益の没収または追徴（第74条の２）などの措置が予定されている。

域外適用
の有無

有り（中国国内に拠点を持たない外国企業に対しても適用があり得る（第３条））

明文規定無し

明文規定無し（ただし、実務上は、当局の解釈により、韓国国内利用者の個
人情報を処理する海外事業者への域外適用が認められている。）

対象行為（出典）令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美坂井法律事務所・外国法共同事業）の調査結果等を基に作成。

14

課徴金制度の導入⑮
４．金銭的不利益を課す行政上の措置等に関する外国の執行事例等①
企業・団体名Marriott International Inc.

該当国／当局

英国／ICO

執行等の日2020年10月30日

問題となった取扱い• ICOは、サイバー攻撃を受けていたスターウッド・ホテル＆リゾーツ・ワールドワイド社を買収した
Marriott International Inc社が、買収時に適切なデューデリジェンスを行わず、また、システム上で処理されている個人データを保護するための適切な技術的又は組織的措置を講じていなかったと指摘し、同社がGDPR第5条1項(f)、第32条の規定に違反していると判断した。
• なお、上記サイバー攻撃により、全世界で3億3900万人の顧客記録が影響を受けたと推定されている。

Clearview AI

•
•
•
•

フランス／CNIL
英国／ICO
カナダ／ケベック州情報アクセス委員会等
オーストラリア／OAIC• 1,840万ポンドの制裁金を科した。
※ICOの調査では、サイバー攻撃は2014年まで遡るが、罰金はGDPRの新ルールが施行された2018年5月25日以降の違反にのみ適用された。

フランス／CNIL

2021年～2022年

2019年１月21日

同社は、インターネットやソーシャルメディア・プラット
フォームで公開されている情報から200億人以上の顔画像やデータを収集し、写真を使って人物を検索できる検索エンジンの形で、オンライン・データベースを作成し、販売した。

• 同社は、ユーザーの個人データを、有効な本人同意なく、広告のパーソナライゼーション目的で処理した。
• 同社は、ユーザーの同意を得ている旨を主張していたが、ユーザーは、アカウントを作成する前に、「Googleの利用規約に同意します」、「上記及びプ
ライバシーポリシーでさらに説明されている私の情報の処理に同意します」のボックスにチェックを入れることが求められ、Googleが同意に基づき実施する全ての処理に係る利用目的（広告のパーソナライズ、
音声認識等）について、完全に同意する必要があり、「特定」された同意ではなかった。

※GDPR第５条第１項(f)は、個人データは適切な安全性を確保する
態様により取り扱われるという基本原則を定め、同第32条第１項は、管理者に適切なセキュリティレベルを保証する適切な技術的・組織的な対策を実施する義務を課す。

金銭的不利益を課す措置等の内容

Google LLC※透明性のある情報提供義務の違反等も認定されている。

• 2,000万ユーロの制裁金を科した（フランス）。
• 750万ポンドの制裁金を科した（英国）。
• 本人同意を得ることなく、ケベック州・ブリティッシュコロ
ンビア州・アルバータ州で人々の画像の収集、使用、開示をやめること等を命令した（カナダ）。
• オーストラリア国内の個人から顔画像を収集することを中止すること等を命令した（オーストラリア）。

（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）を基に作成。

• 5,000万ユーロの制裁金を科した。

15

課徴金制度の導入⑯
４．金銭的不利益を課す行政上の措置等に関する外国の執行事例等②
企業・団体名Twitter, Inc.

Epic Games, Inc.

Google Limited Liability
及びMeta Platforms, Inc.

該当国／当局

米国／FTC

米国／FTC

韓国／個人情報保護委員会

執行等の日

2022年５月26日

2022年12月19日

2022年９月14日

問題となった取扱い• 同社は、ユーザーから、二段階認証、パスワー
ドを失念した場合のリセット又はアカウントの凍結の解除に必要であるとして取得した電話番
号及びメールアドレスを、ターゲティング広告（＝広告主の電話番号・メールアドレスのリストと突合したうえでの広告）に利用した。
• FTCは、同社がアカウントのセキュリティデータをターゲティング広告に不正に使用しており、プラ
イバシーとセキュリティの慣行を偽ることを明示的に禁止した2011年のFTC命令に違反しているとして、民事制裁金等を求めて提訴した。

• 以下の内容の命令が発出された。
金銭的不利益を課す措置等の内容

１億5,000万ドルの民事制裁金の支払い
欺瞞的に収集されたデータから利益を得ることの禁止等• 同社は、「フォートナイト」というマルチプレイ
ヤーシューティングゲームを開発・運営しているが、フォートナイトをプレイした13歳未満のこどもから、両親に通知することなく、両親の検証可能な同意を得ずに個人情報を収集していた。
• FTCは、こどもの個人情報の収集等に関する親の同意の取得義務等を定めたCOPPA
規則違反等を理由に民事制裁金等を求めて提訴した。
※ダークパターンを用いてプレイヤーを意図しない課金へ誘導した点等も問題視され、別途FTC法違反が認定され民事制裁金が課されている。
• 以下の内容の命令が発出された。
FTCに対し２億7,500万ドルの民事制裁
金の支払い
児童や10代の若者向けに強力なプライバ
シーの設定を行うこと等• 両社は、ユーザーの行動情報を収集、分析してユー
ザーの関心を推論し、カスタマイズされた広告などに使用する等していたにもかかわらず、その事実を利用者に明確に知らせず、また、事前に同意も得ていなかった。
• 韓国の個人情報保護委員会は、個人情報の取得時に利用目的等の通知及び同意の取得を求めた
改正前・第39条第３項に違反しているとして、以下の措置を講じた。

• ユーザーの行動情報を収集利用するには、ユーザーが自由な決定権を行使し、簡単かつ明確に認知できるように利用者に知らせ、同意を得るように是正措置をとらせた。
• 以下の課徴金を科した。
Google：692億4,100万ウォン
Meta：308億600万ウォン（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）を基に作成。

16

課徴金制度の導入⑰
５．有識者ヒアリング（監視監督の在り方等）（第283回個人情報保護委員会）
資料１－１ 個人情報保護法における課徴金制度導入にかかる諸論点（名古屋大学 林教授）（抜粋）① 個情法違反行為により経済的利得が生じているのであれば、その不法な利得を違反行為者に留め置いたままにするのは、社会的に（あるいは立法政策的にも）望ましくなく、課徴金賦課により収奪すべき。※もちろん不法な利得の収奪だけが問題であるなら課徴金でなくても必要的没収・追徴でもよいわけだが、課徴金の役割はそれに限られない（制裁的機能）。
そもそも両者は併存可能なものである。立法政策的には両者併存させた上で、課徴金額から当該没収・追徴の合計額（「没収等相当額」）を控除した額を課徴金額とすることも可
能（金商法185条の7第17項参照）② 個情法違反行為により経済的利得が生じているような事例は現実には限られているのかもしれないが、まずはスモールスタートとして制度を発足させる意義は大きいのではないか。
③ 課徴金制度導入によって事業活動に萎縮効果が生ずるあるいは個人情報の保護と利活用のバランスが崩れると懸念する向きもあるが、課徴金賦課対象行為は措置命令をかけるよ
うな事案に限られるから、課徴金制度導入を過大に懸念すべきではない（懸念するにあたらない）。
④ 課徴金制度をスモールスタートとして導入する際には、違反行為を早期に是正させるインセンティブをもたせるような制度にすべきではないか（アメとムチ）。
⑤ ①のような事案に課徴金制度を導入し続けないでいるという立法態度が、世界からどう見られているかという「外からの視点」も大事なのではないか。

資料１－２ 個人情報保護法における法執行の強化について（神戸大学 中川教授）（抜粋）❶個人情報保護法は，「指導中心主義から法執行主義へ」と転換すべき時期に来ている。
第１に，悪質な個人情報保護法違反事例が散見される。すなわち，極悪層の存在はすでに知られている（フィッシング等による個人情報の詐取，ダークウェブサイトでの販売等）。また，
法令遵守態勢の非常に甘い中間層の事例（著名企業における個人情報保護法違反の事例），法令違反の警告を意に介しない事例（破産者マップ）も現れている。
第２に，現在の企業法務では，個人情報保護法対応を重視する認識が広く浸透している。
第３に，個人情報はいったん違法に収集されたり，外部提供されたりすると，その消去や回収はかなり困難であるから（とくにインターネット上），強力な違反抑止が必要である。
❷どのように法執行を強化するべきか
第１に，課徴金制度は，個人情報保護法に非常に親和的であり，導入しない理由はない。「個人情報の商品化」ゆえ，個人情報保護法に違反することの経済的インセンティブがきわめて高く，カルテルなどと同じく，法令違反への誘惑が非常に大きい。そのため，違反抑止のためには，違反者に課徴金という経済的負担をかけなければ，実効性が期待できない。
課徴金と刑事罰は併存して差し支えない。また，罰金高額化による実効性確保の効果は，限定的である。
（中略）❶勧告・措置命令との関係• 課徴金納付を命じるのは，措置命令を受けた者に限ることが望ましい。指導や勧告に応じる者は，将来違反の可能性が低いと見られるため。
（略）❸義務的課徴金か，裁量的課徴金か• 措置命令を発出した場合に，課徴金納付命令に関する選択（命じるか否か，命じるならば額をどうするか）に，個情委の裁量を認めるかという問題がある。
• 日本の課徴金の立法例は，法執行の容易さ/予見可能性の高さに配慮するという観点から，義務的課徴金制度ばかりである。
• 他方，行政法の一般理論上は，課徴金納付命令のような不利益処分の内容選択には，行政裁量を認めることが原則である。措置命令だけで十分に抑止力があると考えられる事案がもしあるならば，課徴金納付を命じないことが比例原則に則しているからである。
• 以上から，先行立法にとらわれずに，「義務的課徴金か，裁量的課徴金か」を検討する必要がある。裁量的課徴金制度を導入する場合には，行政庁が権限発動要素を示すガイド
ラインを公表して予見可能性を確保することが望ましい。
17

課徴金制度の導入⑱
６．平成27年個人情報保護法改正時の検討状況（再掲）①パーソナルデータの利活用に関する制度見直し方針（平成25年12月20日）（抜粋）
Ⅱの２ プライバシー保護に対する個人の期待に応える見直し（抜粋）
専門的知見の集中化、機動的な法執行の確保、及び諸外国の制度との整合を取りつつパーソナルデータの保護と利活用の促進を図るため、独立した執行機関（第三者機関）に行政処分等の権限を付与するとともに、プライバ
シーに配慮したデータ利活用の促進を図る観点から、罰則の在り方…等を検討する。
②パーソナルデータの利活用に関する制度改正大綱（平成26年６月24日）（抜粋）
Ⅳの１（５）罰則等（抜粋）
課徴金制度の導入については、その必要性や制度趣旨等について引き続き検討する。

18

課徴金制度の導入⑲
７．令和２年個人情報保護法改正時の検討状況（再掲）①個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理（平成31年４月25日）（抜粋）
第５節 ペナルティの在り方…課徴金の導入や罰則の引上げなどのペナルティ強化については、個人の権利利益の保護に資するとの見方がある一方で、事業者の過度な萎縮を招き、ひいては創
意工夫や技術革新の果実を国民が十分に享受できなくなる可能性があるとの見方もあり、ペナルティの相当性についての比較衡量が必要である。
課徴金制度について導入を求める意見もあるが、我が国他法令における立法事例の分析も併せて行う必要がある。また、目的達成のための手段として、罰則の強化や、勧告措置や外国当局との執行協力で担保されている現行の域外適用の仕組みでは果たして不十分なのか、罰則とは別に課徴金を導入する必要があるのかについても、様々な観点から検討する必要がある。

②個人情報保護法 いわゆる３年ごと見直し 制度改正大綱（令和元年12月13日）（抜粋）
第８節 継続的な検討課題（課徴金制度）
課徴金制度の導入については、ペナルティ強化の一環としてこれを求める意見がある一方で、中間整理の意見募集等では、経済界等から反対の意見が寄せられた。
課徴金制度は、違反行為を行った事業者に経済的不利益を課すことにより、違反行為を事前に抑止することを目的とする制度である。現行法は、最終的な実効性確保の手段として刑事罰のみを予定しているところ、課徴金制度は、刑事罰の限界を補完し、規制の実効性確保に資するものである。
特に域外適用を受ける外国事業者の違反行為に対しては、国内事業者と同様に法執行を行う必要があるところ、課徴金制度は、外国事業者に対する有効な法執行手段となり得る。
また、諸外国の個人情報保護法制において、違反行為に対して、高額の制裁金を課すことによって規制の実効性を確保している例がある。
他方、国内他法令における課徴金制度は、不当利得を基準として課徴金を算定している例が多く、我が国の法体系特有の制約があることから、法制的な課題もある。
課徴金制度の導入については、我が国の法体系、執行の実績と効果、国内外事業者の実態、国際的な動向を踏まえつつ、引き続き検討を行っていくものとする。

③個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議（令和２年６月４日参議院内閣委員会）（抜粋）
高度情報通信社会の進展に伴い集積される個人情報の利活用に際し、個人の権利利益の保護を図りながら個人情報の利活用を行うことが、より良い社会環
境の発展のために一層重要な課題になっていることを踏まえ、政府は、本法の施行に当たり、次の諸点について適切な措置を講ずるべきである。
八 違反行為に対する規制の実効性を十分に確保するため、課徴金制度の導入については、我が国他法令における立法事例や国際的な動向も踏まえつつ引き続き検討を行うこと。

19

勧告・命令の在り方①
１．個人情報取扱事業者に対する監視・監督の流れ（再掲）
総合的な案内所（法169）

その他情報源（メディア報道等）

漏えい等報告（法26①）

個人情報保護委員会
報告徴収・立入検査（法146①）

指導・助言（法147）

勧告（法148①）

緊急命令（法148③）※権限行使の結果は必要に応じて公表（法９,148④）
命令（法148②）※命令に違反した者は罰則（法178）20

勧告・命令の在り方②
２．監視・監督に係る現行法の規律（勧告前置）（勧告及び命令）（抜粋）
第百四十八条 委員会は、個人情報取扱事業者が…（略）…の規定に違反した場合において個人の権利利益を保護するため必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
２ 委員会は、前項の規定による勧告を受けた個人情報取扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった場合
において個人の重大な権利利益の侵害が切迫していると認めるときは、当該個人情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命ずることができる。
３ 委員会は、前二項の規定にかかわらず、個人情報取扱事業者が第十八条から第二十条まで、第二十三条から第二十六条まで、第二十七条第一項、第二十八条第一項若しくは第三項、第四十一条第一項から第三項まで若しくは第六項から第八項まで若し
くは第四十三条第一項、第二項若しくは第五項の規定に違反した場合…（略）…において個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。

個人情報保護法上、個人情報取扱事業者等の監督のための措置としては、報告徴収・立入検査、指導・助言のほかに、勧告、命令が存在する。
法第148条第２項において「勧告を受けた個人情報取扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった場合」と規定されているとおり、個人情報取扱事業者の義務違反の是正については、基本的に命令に勧告を前置することとされている。
個人情報取扱事業者が、多数の破産者等の個人情報を個人情報保護法に反する態様で継続的にウェブサイ
トに掲載していたという悪質な事案に対しては、半年を要して勧告、命令、告発という順次の対応に至った。
このような勧告前置の例外として、同条第３項に規定される緊急命令が存在する。
もっとも、緊急命令の対象は一部の義務違反に限定されており、かつ、個人の重大な権利利益の侵害が現に発生していること等の要件も加重されている。

21

勧告・命令の在り方③
３．勧告前置及び緊急命令を定める国内の主な他法令の規律
法的根拠

勧告・命令の対象となる違反行為と緊急命令の対象となる違反行為
範囲の差

命令要件

緊急命令要件

公職選挙法第28条の４無し• 正当な理由がなくてその勧告に係る措置を講じなかった場合において• 個人の権利利益が不当に侵害されるおそれがあると認めるとき• 個人の権利利益が不当に侵害されることを防止するため特に措置を講ずる必要があると認めるとき無し• 正当な理由がなくてその勧告に係る措置を講じなかった場合において• 個人の権利利益が不当に侵害されるおそれがあると認めるとき• 個人の権利利益が不当に侵害されることを防止するため特に措置を講ずる必要があると認めるとき無し• 正当な理由がなくてその勧告に係る措置をとらなかったとき• 保全対象発明の漏えいのおそれが切迫していると認めるとき無し• 正当な理由がなくてその勧告に係る措置を講じなかった場合において• 個人の権利利益が不当に侵害されるおそれがあると認めるとき• 個人の権利利益が不当に侵害されることを防止するため特に措置を講ずる必要があると認めるとき

住民基本台帳法第11条の２

経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律第83条

日本国憲法の改正手続に関する法律第29条の３

22

勧告・命令の在り方④
４．勧告前置を求めない国内の主な他法令の規律
法的根拠

規律の内容
第32条の4（略）３ （略）当該特定保守製品の所有者…（略）…の氏名又は名称及び住所、当該特定保守製品の所在場所並びに当該特定保守製品を特定するに足りる事項（以下「所有者情報」という。）（略）

消費生活用製品安全法（昭和49年法律第31号）

第32条の９ 特定製造事業者等は、その製造又は輸入に係る特定保守製品…（略）…に係る所有者情報を取得するに当たつては、あらか
じめ、次の事項を公表しなければならない。（略）一 所有者情報の利用の目的（以下「利用目的」という。）
二 （略）第32条の13 特定製造事業者等は、第三十二条の九第一項から第三項までの規定により公表した利用目的の達成に必要な範囲を超えて、その製造又は輸入に係る特定保守製品に係る所有者情報を取り扱つてはならない。（略）２ 特定製造事業者等は、その製造又は輸入に係る特定保守製品に係る所有者情報の漏えい、滅失又はき損の防止その他の所有者情報の安全管理のために必要かつ適切な措置を講じなければならない。
第32条の16 主務大臣は、特定製造事業者等が…（略）…、第三十二条の九…（略）…、第三十二条の十三…（略）…の規定に違反していると認めるときは、当該特定製造事業者等に対し、当該違反を是正するために必要な措置をとるべきことを命ずることができる。

医療分野の研究開発に
資 す る ため の 匿 名 加 工
医療情報及び仮名加工
医療情報に関する法律（平成29年法律第28号）

第61条 主務大臣は、認定匿名加工医療情報作成事業者…（略）…が…（略）…の規定に違反していると認めるときは、その者に対し、当該違反を是正するため必要な措置をとるべきことを命ずることができる。
２ 主務大臣は、認定仮名加工医療情報作成事業者…（略）…が…（略）…の規定に違反していると認めるときは、その者に対し、当該違反を是正するため必要な措置をとるべきことを命ずることができる。
３ 主務大臣は、認定仮名加工医療情報利用事業者…（略）…が…（略）…の規定に違反していると認めるときは、その者に対し、当該違反を是正するため必要な措置をとるべきことを命ずることができる。
４ 主務大臣は、認定医療情報等取扱受託事業者…（略）…が…（略）…の規定に違反していると認めるときは、その者に対し、当該違反を是正するため必要な措置をとるべきことを命ずることができる。

23

勧告・命令の在り方⑤
５．有識者ヒアリング（監視監督の在り方等）（第283回個人情報保護委員会）
資料1－2 個人情報保護法における法執行の強化について（神戸大学 中川教授）（抜粋）
法１４８条における「勧告前置＋緊急停止命令」という構成を見直すべきではないか。
行政法理論上，勧告前置をすることが常に望ましいという見解はない。個々の法令が問題とする状況に応じて，勧告前置主義が政策的に望ましいかどうか次第である。
水質汚濁防止法（１３条・１４条の３など）や大気汚染防止法（１４条など）は，緊急性があるので，直ちに命令を発出できる規定である。
個人情報保護法は，水質汚濁防止法や大気汚染防止法と似た問題状況である。法令違反によってただちに法益侵害が生じるおそれが高いからである。
そうすると法１４８条①②を「勧告または命令」，又は「命令」のみの規定（指導は当然に可）に変更することが，法目的に適合的と考える。

６．個人情報の保護に関する基本方針
個人情報の保護に関する基本方針（平成16年４月２日閣議決定、令和４年４月１日一部変更）（抜粋）

これに対し、顔識別・認証技術、ＡＩ等の高度なデジタル技術を活用して行われる個人の行動、政治的立場、経済状況、趣味・嗜好等に関する高精度な推定（いわゆるプロファイリング）、さらには、大量の個人情報等を取り扱う民間事業者等の出現等が認められるところであり、ひとたび個人情報等の不適正な利用等に及んだ場合には個人の権利利益に対する大きな侵害につながるリスクが高まっている。そして、自分の個人情報等が悪用されるのではないか、これまで以上に十分な注意を払って取り扱ってほしいなどの個人の不安感が引き続き高まっている。
加えて、経済・社会活動のグローバル化等に伴い、個人情報等を含むデータの国境を越えた流通が増えており、デジタル化のもたらすプライバ
シーやセキュリティ上の懸念や地政学的緊張等が世界的に顕在化してきている。その中にあって、データがもたらす価値を最大限引き出すには、
プライバシーやセキュリティ等への適切な対処により信頼を維持・構築し、国境を越えた自由なデータ流通を促進することが一層求められている。
個人の権利利益を害するおそれが大きい個人データの漏えい等個別の事案が発生した場合、個人情報保護委員会は、個人情報等の適正な取扱いを確保するため、各主体による漏えい等の報告の受理等を通じて、必要な情報の収集を行うとともに、事案による個人の権利利益に対する被害の広がりや社会的な影響を踏まえ、迅速に法第６章第２節の規定に基づく措置等の検討を行う。加えて、同様の事案の再発防止や被害拡大の抑制等に資する観点から、個別の事案から得られる教訓や対処措置等に関する事例について、認定個人情報保護団体と連携した研修等を通じて、各主体に対する共有や周知啓発を行うものとする。

24

勧告・命令の在り方⑥
７．監視・監督に係る現行法の規律（命令の対象者）（勧告及び命令）（抜粋）
第百四十八条 委員会は、個人情報取扱事業者が…（略）…の規定に違反した場合において個人の権利利益を保護するため必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
２ 委員会は、前項の規定による勧告を受けた個人情報取扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった場合
において個人の重大な権利利益の侵害が切迫していると認めるときは、当該個人情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命ずることができる。
３ 委員会は、前二項の規定にかかわらず、個人情報取扱事業者が…（略）…の規定に違反した場合において個人の重大な権利
利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。

勧告・命令は、いずれも、個人情報保護法上の規定に違反した「当該個人情報取扱事業者等」に対して発することが可能。
そのため、個人情報取扱事業者が、個人情報保護法に違反する個人情報の取扱いを第三者に委託している場
合や、個人情報保護法に違反して個人情報を取り扱うに当たって第三者の提供するサービスを利用している場合
において、当該第三者自身が個人情報保護法に違反した個人情報取扱事業者に当たらない場合は、当該第三者に対して直接勧告等を行うことは困難である。
個人情報取扱事業者が、多数の破産者等の個人情報を個人情報保護法に反する態様で継続的にウェブサイ
トに掲載していたという悪質な事案においては、当該ウェブサイトの運営者に対して中止命令を発出したものの、
現在、当該運営者自身は当該中止命令に従っていない。
現在でも、検索サービス上で当該ウェブサイトの名称を検索すれば、上位に表示される場合がある。

25

勧告・命令の在り方⑦
８．第三者に対する権限を定める国内の主な他法令の規律
法的根拠

規律の内容

廃棄物の処理及び清掃に関する法律（ 昭 和 45 年 法 律 第137号）

第19条の５ 産業廃棄物処理基準…（略）…に適合しない産業廃棄物の保管、収集、運搬又は処分が行われた場合において、生活環境の保全上支障が生じ、又は生ずるおそれがあると認められるときは、都道府県知事…（略）…は、必要な限度において、次に掲げる者…
（略）…に対し、期限を定めて、その支障の除去等の措置を講ずべきことを命ずることができる。
一 当該保管、収集、運搬又は処分を行った者（略）
五 当該保管、収集、運搬若しくは処分を行った者…（略）…に対して当該保管、収集、運搬若しくは処分若しくは前三号に規定する規定に違反する行為…（略）…をすることを要求し、依頼し、若しくは唆し、又はこれらの者が当該処分等をすることを助けた者があるときは、その者

消防法（ 昭 和 23 年 法 律 第186号）

第５条 消防長又は消防署長は、防火対象物の位置、構造、設備又は管理の状況について、火災の予防に危険であると認める場合、消火、避難その他の消防の活動に支障になると認める場合、火災が発生したならば人命に危険であると認める場合その他火災の予防上必要があると認める場合には、権原を有する関係者（特に緊急の必要があると認める場合においては、関係者及び工事の請負人又は現場管理者）
に対し、当該防火対象物の改修、移転、除去、工事の停止又は中止その他の必要な措置をなすべきことを命ずることができる。（略）

医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（ 昭 和 35 年 法 律 第145号）

第72条の５ （略）２ 厚生労働大臣又は都道府県知事は、第六十六条第一項又は第六十八条の規定に違反する広告（次条において「特定違法広告」という。）である特定電気通信…（略）…による情報の送信があるときは、特定電気通信役務提供者…（略）…に対して、当該送信を防止する措置を講ずることを要請することができる。

26

勧告・命令の在り方⑧
９．有識者ヒアリング（エンフォースメント関係）（第283回個人情報保護委員会）
資料1－2 個人情報保護法における法執行の強化について（神戸大学 中川教授）（抜粋）（４）法改正の必要性２――第三者への命令権限の導入
インターネット上の情報は，様々なサイトに移転しながら表示され続けるから，プロバイダー（通信事業者），デジタルプラットフォーム（検索事業者・SNS 事業者），意図的に転載するサイト管理者，逆に，自らのサイトを乗っ取られたサイト管理者など，様々な第三者が，容易に個人情報保護法違反に加担してしまう環境にある。
そのため，⑴個人情報保護法違反者に対して，違反行為の中止命令（表示の削除等）をするのみならず，⑵一定範囲の第三者，すなわち同法違反の事案であることを知りながら（←被害者からの削除リクエストや，行政からの削除措置要請によって知るに至った者であって）手を貸していると認められる第三者に対しても，措置命令を発出しうるよう法改正する必要が大きいと考えられる。
第三者命令は，個人情報を晒すサイトのテイクダウンを実現するために必須である。第三者に対して，個人情報の表示を削除する措置や，乗っ取られたコンピューターの停止措置等を命じることになる（テイクダウン措置命令）。

27

勧告・命令の在り方⑨
10．監視・監督に係る現行法の規律（命令可能な措置）（勧告及び命令）（抜粋）
第百四十八条 委員会は、個人情報取扱事業者が…（略）…の規定に違反した場合において個人の権利利益を保護するため必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
２ 委員会は、前項の規定による勧告を受けた個人情報取扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった場合
において個人の重大な権利利益の侵害が切迫していると認めるときは、当該個人情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命ずることができる。
３ 委員会は、前二項の規定にかかわらず、個人情報取扱事業者が…（略）…の規定に違反した場合において個人の重大な権利
利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。

勧告・命令・緊急命令は、いずれも、「当該違反行為の中止その他違反を是正するために必要な措置」をとるよう求めることができる。
個人情報保護法に違反する取扱いを行った個人情報取扱事業者に対しては、利用目的の通知、公表等を適切に行うことや、適切な安全管理措置を講じるための組織体制を整備すること等を求めてきているが、このほか、当該取扱いの結果や影響を除去することや、問題が是正されるまで個人情報の取扱いを一旦停止すること等を求めるこ
とも、法の目的の実現のために重要である。

28

勧告・命令の在り方⑩
11．外国における主な執行事例等（将来の違法行為の抑止に向けられた措置）
企業・団体名Clearview AI

Facebook, Inc.

Fédération des caisses
Desjardins du Québec

Uber Technologies, Inc.及びUber B.V

該当国／当局

カナダ／ケベック州情報アクセス
委員会等

米国／FTC

カナダ／プライバシー委員会（OPC）

オーストラリア／オーストラリア情報委員会（OAIC）

執行等の日

2021年12月14日

2020年4月28日

2020年12月14日

2021年6月30日

Clearviewは、Facebook、YouTube、Instagram、Twitter、Venmo等の公共のウェ
ブサイトから、利用規約に明らかに違反し、個人の同意なしにデジタ
ル画像をスクレイピングにより収集し、顔認識データベースを構築していた。

FTCは、同社がサードパーティのアプリ開発者と個人情報を共有する場合には、利用者から事前に明確な同意を得なければならない旨等の行政命令を発出していた。
FTCは、同社が当該命令に違反して、第三者が利用者の個人情報にアクセスできる範囲について利用者を欺いていたと主張した。

悪意ある従業員が、 同社により顧客から収集された970万人の情報を民間金融業者等に売却するなどして流出させていた。当該情報は当該従業員にはア
クセス権のないデータウェアハウスに保存されていたが、他の従業員が組合のポリシーに反して当該情報共有ドライブにコ
ピーしており、アクセス権を持たない従業員もアクセス可能となっていた。

2016年に起こった同社のAWSアカウ
ントに対するサイバー攻撃による上記の個人情報の漏えいが問題となった。
Uberの当時のセキュリティプロセスや慣
行では、オーストラリア人ユーザーの個
人情報を不正アクセスから保護するための合理的 な措置が講 じ られていなかったとされた。

• 同意を得ることなく、ケベック、ブリティッシュコロンビア及びアルバータの3州で顔認識サービスの提供を停止する旨の命令• 例えば、①実装前に全ての新規又は変更された製品、サービス、慣行のプ
ライバシー審査を実施し、リスク軽減の決定を文書化すること、②個人情報のセキュリティ強化を義務付け、アカ
ウントのセキュリティのために取得した
顔認識情報と電話番号の使用に制限を課すこと等、利用者のプライバ
シー保護に関する包括的で新しい措置を設けることの同意命令• 情報セキュリティ及び個人情報の保護のために取った措置に関する進捗報告書を6ヵ月ごとのOPCへ提出すること、調査報告書の公表から6ヵ月以内に、データ保管スケジュール及び破棄プロセスを確定してOPCへ提出、及びスケジュール確定後の個人情報の削除又は匿名化などの措置を行うこと等の命令• 3カ月以内に、個人情報の保持・破棄方針、情報セキュリティプログラム
及びインシデント対応方針を作成す
ること、適切な資格を有する独立専門家を設置すること、5カ月以内に、独立専門家に対し、報告書を作成させること等の命令問題となった
事例の概要

当局が取った措置（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）を基に作成。

29

勧告・命令の在り方⑪
11．外国における主な執行事例等（違反行為の結果・影響の除去に向けられた措置）
企業・団体名Clearview AI

Secretary to the Departmentof Home Affairs

Ring, LLC

Twitter, Inc.

該当国／当局• フランス／CNIL• 英国／ICO• カナダ／ケベック州情報アクセス
委員会等• オーストラリア／OAIC

オーストラリア／OAIC

米国／FTC

米国／FTC

執行等の日

2021年～2022年

2021年1月11日

2023年5月31日

2022年5月26日

問題となった
事例の概要

当局が取った措置

同社は、インターネットやソーシャルメディア・プラットフォームで公開されている情報から200億人以上の顔画像やデータを収集し、写真を使って人物を検索できる検索エンジンの形で、オンライン・データベースを作成し、販売した。

同省が2014年2月10日に移住収容 消費者の個人情報を保護するために者に関する報告書をウェブサイト上に掲 適切な措置を講じている旨の虚偽の説載した際に、誤って当時入国管理局に 明をしていた場合は、「不当又は欺瞞収容されていた9,258人の個々の移住 的な行為又は慣行」に該当するところ、収容者を特定できる個人情報（氏名、 Amazon傘下のRingは、監視ドアベル
性別、国籍、生年月日、入国管理局 の販売・管理をしていたが、顧客の情報の勾留機関、勾留場所、不法滞在とさ を保護するためのセキュリティ対策の実れた理由等）を掲載したことが問題と 装が不十分であった。
なった。

同社が、二段階認証、パスワードを失念した場合のリセット又はアカウントの凍結の解除のために必要であるとして利用者から個人情報（電話番号とメー
ルアドレス）を収集したにもかかわらず、
無断でターゲティング広告のためにも流用していたのではないかが問題となった。

• 既に収集した国内居住者の個人のデータを削除することの命令（フランス・英国）。
• 国内3州の個人から同意なしに収集した画像と生体に関する画
像アレイを削除すること等の命令（カナダ）。
• 国内の個人から収集した顔画像を破棄すること等の命令（オーストラリア）。

• 損害を被った移住収容者に対し、個別事情に応じて補償すること等の命令。

• 欺瞞的に収集されたデータから利益を得ることの禁止等の命令。

• 違法に収集した動画に由来するデー
タ及びアルゴリズムを削除することについて合意した。

（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）を基に作成。

30