日 時：令和６年３月６日（水）14：00～
場 所：個人情報保護委員会 委員会室
出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、梶田委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、全委員が御出席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第275回個人情報保護委員会を開会いたします。

本日の議題は、九つあります。
まず、議題１「いわゆる３年ごと見直し

個人の権利利益のより実質的な保護の在り方①について」、事務局から説明をお願いいたします。
○芦田企画官

それでは、資料に沿って御説明させていただきます。

まず、２月21日の委員会におきまして、３年ごと見直しに関する検討項目を御議論いた
だき、御了承をいただきました。今後は各検討項目について、複数回の委員会に分けて事務局において資料を御用意し、委員会で御議論をお願いすることとなります。今回はその第１回目といたしまして、「個人の権利利益のより実質的な保護の在り方」のうち、「個人情報等の適正な取扱いに関する規律の在り方」について御議論をお願いできればと考えております。
今回の資料では、生体データの取扱い、代替困難な個人情報取扱事業者による個人情報の取扱い、不適正取得・不適正利用の明確化、個人関連情報の適正な取扱いの四つの項目を取り上げています。
これから資料に沿って順次御説明をいたします。
１ページ目を御覧ください。ここから生体データの取扱いに関する説明となります。現
行法上、ページの中ほどにある表に記載のものについては、個人識別符号として個人情報に該当し、これを取り扱う場合は法第４章の規律を遵守する必要があります。他方、個人情報である生体情報の取扱いについて、特別の規律は設けられておりません。
個人情報保護委員会では、顔識別機能付きカメラシステムの利用について、遠隔で個人を識別することが可能であるという技術的特性等による個人の権利利益侵害のリスクを踏
まえ、有識者検討会による検討を経て、昨年、個人情報保護法上の留意点、望ましい対応等をまとめた文書を取りまとめるとともに、Q&Aの整備を行いました。その内容を紹介したものが資料２ページから４ページまでとなります。
５ページを御覧ください。EUをはじめとする諸外国においては、生体データをセンシティブデータと位置付け、その取扱いについて本人同意を要求したり、本人のオプトアウト
1

権を認めている例が見られます。
６ページでは、EUの規律の概要を紹介しています。GDPRでは、生体データは特別な種類の個人データとして、その処理にはデータ主体の明確な同意等を必要としています。また、
現在調整中のAI規則案においては、インターネット等から顔画像を無差別にスクレイピン
グし、顔識別データベースを作成等するAIシステムは、許容できないリスクを有するAIシ
ステムに分類され、その利用等が禁止されるほか、バイオメトリクス分野における一定のAIシステムは、高リスクのAIシステムに分類され、厳格な要件の遵守が求められております。
７ページでは、米国の規律を御紹介しています。連邦・州レベルでそれぞれに幾つかの規律がありますが、利用者に対して同意の機会を求める又は事後的なオプトアウトを認めるものとなっています。
８ページ目、９ページ目において、生体データの取扱いについての諸外国における主な執行事例を御紹介しています。例えば、９ページ右側に記載しているClearview社の事案は、インターネット上に公開されている情報から200億人以上の顔画像やデータを収集し、写真を使った検索エンジンの形でオンラインデータベースを作成し、販売した事例ですが、各国の当局が制裁金等の措置を課しています。
10ページにおいて、国内において生体データの取扱いについて社会的反響が大きかったと見られる事例を御紹介しています。ここで挙げているケースは、いずれも駅や市街地な
どの公共的空間における生体データの取得・利用が問題とされたケースです。
こうした状況を踏まえ、生体データの取扱いについて一般の個人データと異なる特別の規律を設けるべきか、仮に設けようとした場合にどのような規律を設けるべきかが論点となると考えられます。
続いて、代替困難な個人情報取扱事業者による個人情報の取扱いについての御説明となります。現行法は、個人情報の取扱いについて、利用目的の特定、通知・公表等を要求するとともに、要配慮個人情報の取得や個人データの第三者提供について本人同意を必要としています。これは本人が自らの個人情報の提供等について自ら判断し、選択できる状況にあることが前提となっていると考えられます。
他方、個人情報取扱事業者と本人との関係によっては、本人にそのような選択を行うことが期待できない場合があります。具体的には、本人にとって個人情報取扱事業者の提供するサービス等が他の事業者により代替困難な場合が考えられます。
資料の11ページ目は、代替困難性があり得る関係に対する国内の他法令の主な規律として、デジタル・プラットフォーム事業者、与信事業者、雇用主に対するものを挙げています。
また、12ページ目、13ページ目では、代替困難性があると評価している者による個人情報の取扱いが問題となった裁判例を紹介しています。例えば12ページ左側の東京地裁の裁
判例は、使用者である会社が従業員の業務用携帯電話の位置情報を業務時間内において取2

得していたものです。この事例において、取得については従業員は抵抗していたものの、会社代表者からの強い指示により同意をさせていました。本事案では、こうした確認行為は特段の必要性がない限り許されず、監督権限を濫用するものとして違法であり、不法行為を構成すると判示されています。
また、13ページ目の左側の大阪高裁の裁判例では、療育手帳を交付されていた者について、自治会の班長ができない事情を説明するため自己の障害を説明する文書の作成を求めた事案です。この事案では、情報の内容や文書の作成態様から、その作成がその手段として社会的相当性を明らかに欠いていること、真摯な同意があるとは評価できないことから、不法行為を構成すると判示しています。
さらに、14ページ目、15ページ目では外国における主な執行事例を紹介しています。例
えば14ページの左側、真ん中の段で御紹介している事案は、デジタル・プラットフォーム
事業者がサービス提供の条件としてターゲティング広告等の目的でオンライン購読等履歴を収集・利用することについて、利用者に同意させていた事案です。
また、15ページ目の右側の事案では、病院が治療提供のための必要な同意と広報等の目的の選択的同意を区別せずに同意を受け、本人の選択権を制限したというものです。
これらの事案について、当局から制裁金等の措置がとられております。
16ページ目では、当委員会の対応した事例のうち代替困難と評価している者による事例を紹介しているほか、17ページでは国内において社会的反響が大きかったと見られる事例を御紹介しています。
17ページ目においては、学校において生徒にウェアラブル端末を装着させ、心拍数や睡眠時間等を把握したり、脈拍を計測したりして、集中度を測定するとされていた事案を事例Ａ、事例Ｃとして御紹介しています。
こうした状況を踏まえ、代替困難と評価される個人情報取扱事業者による個人情報の取扱いについて特別な規律を設けるべきか、仮に設けるとした場合、どのような規律を設けるべきかが論点となるかと考えられます。
続いて、不適正取得・不適正利用に係る規律についての御説明となります。
18ページ目を御覧ください。現行法において、個人情報の不適正利用の禁止については第19条、不適正取得の禁止については第20条第１項にそれぞれ規定されています。両条項
とも文言は比較的抽象的・包括的なものとなっておりますが、不適正取得・不適正利用に該当する具体的な事例はガイドラインにおいて各６事例記載されております。
19ページには、これまで当委員会として対応した事例を記載しています。一番左側は、
いわゆる新破産者マップの事案であり、官報に掲載されている破産手続開始決定を受けた個人の氏名や住所等の個人データを地図と紐付く形でインターネット上に公表したことについて、個人データの提供の停止を求める命令を発出したものです。
真ん中は、小売電気事業者が、電気事業法により禁止されているにもかかわらず新規参入の小売電気事業者の顧客情報を含む個人データを取得していたものであり、当委員会と3

して指導を行っています。
一番右側は、本年１月に指導を行ったビジネスプランニング社の事案で、法に違反する
ような行為を行う者にも名簿を転売する、いわゆる転売屋と認識したにもかかわらず名簿を販売したというものであります。
20ページは、関係すると思われる国内の他法令の規律を紹介しています。公益通報者保護法においては公益通報者を特定させる事項を必要最小限の範囲を超えて共有する行為を、
障害者差別解消法では障害を理由とした不当な差別的取扱いを、特定商取引法では若年者・高齢者の判断力の不足に乗じて契約を締結させることをそれぞれ禁止しております。
21ページ、22ページは、関係すると思われる主な裁判例を紹介しています。21ページで紹介している事案は、性別取扱変更の審判を受けた者が、これを理由として会員制ゴルフ
クラブへの入会等を拒否された事案です。この事案では、性同一性障害及びその治療を理由とする不合理な取扱いをすることは許されないとした上で、入会拒否等は社会的に許容し得る限界を超えるものとして違法と判示しています。
また、22ページの右側で紹介している事案は、大学の医学部の入学試験において、一部の男性受験者だけを加点する等の属性調整を行った事案です。この事案では、本件属性調
整は性別という自らの努力や意思によって変えることができない属性を理由として女性の受験者を一律に不利益に扱うものであり、こうした属性調整を公表することなく学生募集を実施し、属性調整を行った行為は、性別による不合理な差別的取扱いとして不法行為に該当するものと判示しています。
23ページ目は、海外における執行事例を紹介しています。例えば一番左側の事例は、米軍と関係があるように見せかけたウェブサイトを用いて個人情報を取得した上で、入力した者に対して米軍であると装って電話をかけ、大学への情報提供に同意をさせた上で大学に対してその情報を転売したもので、当局から当該サイトの権利の引渡し、情報共有を偽ることの禁止と同意命令が発出されています。
24ページ目は、関連すると思われるその他の事例を紹介しています。例えばページ下半分の事例Ａでは、タクシー配車アプリの設定でユーザーが位置データの取得を「常に許可する」としていた場合、タクシー乗車の有無を問わず位置情報を取得し、広告目的で利用する事業者に提供したものです。アプリのプライバシーポリシーにおいて位置情報等を第三者の広告配信で利用することがある旨を明記していたものの、同意取得に際してはスムーズにタクシーを配車するために必要である旨を説明していたほか、アプリの利用規約においては位置情報を含む個人情報を広告目的で利用する旨は明記されていなかったものです。この事例では、アプリからデータを送信されても情報を取得しないよう改修し、デー
タ提供をする仕組みの利用も停止されました。
こうした状況を踏まえ、不適正取得・不適正利用に対する規律について、事業者の予測可能性を高める観点からガイドライン等に明記し、規制範囲の明確性を高めるか、その場
合にどのような事例を記載することが適切かが論点となるかと考えられます。
4

最後に、個人関連情報の適正な取扱いについて御説明します。25ページを御覧ください。
個人関連情報とは、資料下半分にあるように、Cookie等の端末識別子を通じて収集されたある個人のウェブサイトの閲覧履歴やメールアドレスに紐付いたある個人の年齢、性別、家族構成等がこれに該当します。ただし、これらの情報が個人情報に該当する場合には、
個人関連情報には該当いたしません。
資料上半分に記載のとおり、個人関連情報については、第三者が個人データとして取得することが想定される場合についてのみ規律の対象となっており、提供元では個人データに該当しないが、提供先において個人データとなることが想定される個人関連情報の第三者提供について、本人同意が得られていること等の確認が提供元に義務付けられています。
26ページ目を御覧ください。こうした情報に適用される国内法令の例を挙げています。
特定電子メールの送信等の適正化に関する法律は、自己又は他人の営業につき広告又は宣伝を行うための手段として送信をする電子メールについて、原則としてあらかじめ本人の同意がなければ送信してはならないとしています。また、不正アクセス禁止法は、他人の識別符号を悪用した不正アクセスを禁止するとともに、その用に供する目的での他人の識
別符号の取得を禁止しています。さらに、電気通信事業法は、一定の役務を提供する電気通信事業者に対して、利用者に関する情報の外部送信に当たってその利用者に確認の機会を付与することを義務付けています。
27ページ目は、個人関連情報の取扱いに起因する個人の権利利益の侵害に関する裁判例を紹介しています。例えば左側の東京高裁の事案は、公立学校に関する体罰事故報告書の開示請求について、記載の条項のうち、体罰が発生した学校名、クラス名等について特定の個人等を識別することができないが、公にすることにより、なお個人の権利利益を侵害するおそれがあるものに該当するとして非開示としたものです。
右側の事案は、インターネット上の掲示板において建物の所在等が記載されている投稿に対して携帯電話番号を記載した投稿を行ったものです。携帯電話番号はその性質上、特定多数の第三者に開示されることを望まない情報であるなどとして、プライバシー侵害を認めています。
28ページは、関連する海外の執行事例です。例えば左側のTwitter社の事案では、利用者から二段階認証用として取得した電話番号及びメールアドレスをターゲティング広告に利用したことが問題とされました。
また、右側のBetterHelp社の事案では、誰にも共有しないとして取得したメールアドレ
スをリターゲティング広告等の目的で他のプラットフォーム事業者に提供した点が問題視されました。
29ページは、その他関連する事例を紹介しています。事例Ａは、端末にインストールされているアプリ情報について、抽象的な文言による説明のみでユーザーの同意を得ていた
事例、事例Ｂは本人への連絡、接触が可能となる電話番号を用いて宅配事業者や通信事業者に成り済ましたSNSによりメッセージを送信し、不正アプリのダウンロード等を行って5いる事例です。
こうした状況を踏まえ、個人関連情報の取扱いについて特別の規律を設けるべきか、仮に設けるとした場合、どのような規律を設けるべきかが論点となるかと考えられます。
事務局からの説明は以上となります。よろしくお願いいたします。
○藤原委員長簡潔にありがとうございました。

それでは、ただいまの説明について、御質問、御意見をお願いいたします。
小川委員、どうぞ。
○小川委員

御説明ありがとうございました。

３年ごとの見直しに関しては、現時点では業界団体からのヒアリングを踏まえて検討項
目を整理した段階だと思います。今後、より具体的な内容について議論を深めていくと認識しておりますが、今後の議論に際してまず私自身がどう考えているかという基本的な考え方を四つほどお伝えしたいと思います。
一つ目なのですけれども、日本の社会・経済・産業は、情報化・デジタル化の進展を踏まえて今後とも高度化しながら発展していくものと考えています。その際、個人情報の取扱いが極めて重要な役割を果たすのですが、この発展を阻害するような取扱い、例えば特殊詐欺やフィッシングなどについては個人情報の扱いを厳しく規律すべきであり、かつ、
違反した者は厳しく罰すべきだと思います。
二つ目です。これは一つ目とは逆に、犯罪を予防する際に個人情報を取り扱う場合については、社会の発展を促進する取組だと思っておりまして、発展を阻害するものとは逆の対応として個人情報の柔軟な取扱いを認めるべきではないかと考えております。
三つ目は、新しい技術についてです。現状の生成AIに見られますように、技術革新の行方というのを確実に予測することは困難かと思います。そのため、これらについては安易に規制して技術の進展を阻害することは避けるべきではないかと考えております。
最後の四つ目ですけれども、個人の権利利益の保護の観点から、そもそも事業者や行政機関等が個人の権利利益を侵害するような形で個人情報を取り扱わないことが重要だと思います。もちろん公的な規律が必要な場合もありますが、一方で自主的な取組を促進するほうが有効な場合もあるとは思います。そのため、海外の法令を参考にして同様の規制を単純に取り入れるのではなくて、事業者等の現実に即して適正に個人情報を取り扱うための有効な方策を幅広い選択肢から十分に検討すべきと考えております。
以上が基本的な考え方なのですが、それを踏まえまして、今回の御説明の中の項目について二つほどコメントさせてください。
まずは、不適正利用・不適正取得については、先ほど申し上げた阻害する取扱いの代表的なものだと思います。今回御説明いただいた判例などを参考にして明確化することは重要だと思います。加えて、このような取扱いがないよう監視・監督をしっかりと行い、その実効性を確保する必要があると思います。
二つ目は、生体データや個人関連情報などについては個人の権利利益の保護の観点で重6

要な要素と理解しておりますけれども、その一方で、これまでのヒアリングでも新たな定義を追加することには慎重な意見も多かったものと認識しております。犯罪予防などの取組が適切に行われるとともに、事業者の自主的な取組を促進するような現実的な方策をよく検討していただきたいと思います。
以上です。
○藤原委員長○浅井委員

浅井委員、どうぞ。
御説明ありがとうございました。頂いた資料も踏まえて一言申し上げます。

代替困難な事業者への規律の在り方に関連してでございます。
プラットフォーマーなどの事業者に対する海外の執行事例にも見られますように、特に代替が困難な事業者については同意という構成に問題が内在しているように思います。同意の典型的な方法としてオンラインでチェックボックスをクリックさせるというのが一般的になっておりますが、選択オプションの外形は備えていても、慣行的に形骸化している
場合や、本人に分かりにくく、実際は選択が限定的な状況というのが見受けられるように思います。GDPRでは、同意の撤回も規定されています。効力について、期間性も含めた規律の見直しが必要ではないでしょうか。
なお、これらの同意に内在する問題は、代替困難な事業者にとどまらないとも考えられ、より幅広い観点から検討していただきたいと思います。
以上です。
○藤原委員長ありがとうございました。

清水委員、どうぞ。
○清水委員

ありがとうございます。

最初に基本的な考え方を述べさせていただいて、各論について１点申し上げたいと思っています。
３年ごと見直しの国際的な動向を踏まえる、あるいは情報通信技術の発展を踏まえるということでの見直しという趣旨を考えてみれば、以下のように考えております。つまり、通信技術の飛躍的な発展に対応するためには、できるだけ大きなフレームワークを示すということで、原則主義に基づくということです。つまり、細則主義には偏らないということが必要だと思っています。
もう一点は、国際的標準との収れんを目指すということです。日本独自のローカルルー
ルというのはあっていいと思うのですけれども、世界と違う理由があってしかるべきかと思いますので、合理的な理由がない場合は、国際標準に合わせていくべきと考えております。具体的には、私の考えでは、定義はできるだけ統一するということが重要だと思っております。
また、国際標準との収れんという意味では、リスクベースに基づくアプローチを採用することです。つまり、事業者が自らのデータ処理に伴うリスクを判断して、それに見合った対応策をとっていくというアプローチを採用していくことが必要だと考えております。
7

これらは業界ヒアリングにおいても聞かれた意見でもございました。
そういう立場に立って考えてみますと、今回示していただいた各論１、生体データに関する論点につきましては、さきに御発言があった委員とも少し類似の点がございますけれ
ども、第三の類型を設けず、私の意見としては要配慮個人情報に含める、あるいは同等な扱いをするということが適切ではないかと考えております。これにより、グローバルな考
え方、あるいは、金融分野における個人情報保護に関するガイドラインというのがありますが、それとの整合性を取ることにつながると思っております。
生体データは、GDPRではセンシティブデータとしての扱いとなっております。同じセンシティブデータの中でも遺伝子情報につきましては、我が国のガイドラインの通則編で要配慮個人情報に含まれるものもあるとされているのですが、それに対して生体データに関しましては、十分性評価においては現行法上カバーされているとされ、補完的ルールには入っておりません。そういう意味では、この点は少し曖昧であると考えております。
したがいまして、この機会に要配慮個人情報に含める、あるいはそれと同等の扱いをするということが適当ではないかと考える次第です。
以上です。ありがとうございました。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
ほかにないようでしたら、いろいろ御意見をいただきましたので、総括ということではございませんけれども、今日の論点につきまして私からも一言申し上げたいと思います。
ただいまの御意見をお伺いして、まず大前提が二つあるのだろうと思います。一つは、個人情報保護法制というのは法律ですから、法も文化である以上は我が国固有の制度として構築する必要があるのは当然であるものの、他方、個人情報保護法制は国際的に普遍的な価値を持つ部分も多いので、国際的な観点をも捉える必要があるということだと思います。これが一つ目の前提です。
二つ目は、個人情報及びプライバシーの保護を個人情報保護法制は目指すべきものでありますけれども、他方、目的規定にも書いてありますように、社会・経済のための利活用という側面もあり、この二つの側面のバランスを慎重に取る必要がある。この二つが大前提となっているのだろうということを確認しておきたいと思います。
そこで、今、御意見をいただいた論点について、少し私なりの考えをお示ししたいと思います。
まず、生体データの取扱いについては、当委員会では顔識別機能付きカメラシステムの利用に関し、昨年３月に文書を公表し、個人情報保護法上留意すべき事項、特に法律で求められた内容に加え、実施することが望ましい事項についても取りまとめたところでございます。今回の見直しでは、生体データ一般について、取得や利用目的などに係る規律について、諸外国における法制度なども参考にしつつ、今日の社会における実効性ある規律とすべく、さらに検討を深めるべきではないかと考えております。
8その際には、関係団体からのヒアリングにおいて個人情報等の情報区分が多く、関係性を複雑化している等の御意見がありましたし、本日、小川委員、清水委員から法の定義についてのご意見があったということも踏まえた議論が重要ではないかと思います。
それから２番目に、代替困難な個人情報取扱事業者による個人情報の取扱いについては、本人との関係、取得の状況に照らして認められるべき利用目的以外の利用目的で個人情報を取得・利用することを制限することの必要性などについて、これも諸外国における執行事例を参考にしつつ、継続して検討すべきではないかと思っております。ここのところは、
本日、浅井委員から同意について、GDPRには踏み込んだ規律があるし、実務では実際に形骸化している場合があるのではないかという御意見があったことも踏まえることが重要ではないかと思います。
それから、三つ目の不適正利用・不適正取得については、事業者による予測可能性を高めるという観点からの検討を行っていくことが適当ではないかと思います。その際、本日、事務局から国内の裁判例等の御紹介がありましたけれども、民法上の不法行為に該当する
ような事例をどこまで幅広く個人情報保護法上の規制対象とするのかといった点を踏まえて検討していくべきではないかと思います。
それから、個人関連情報については、個人の権利利益の侵害を防止する観点から、個人関連情報の取扱いの適正性に係る規律はどうあるべきか、また、例えば特定の個人への連絡、接触が可能な個人関連情報等は、その取扱いにより特定の個人の権利利益が侵害されるおそれが高く、要保護性が高いと言えるのではないかといった点などから検討を深めていくべきではないかと思います。
これから有識者の方々の意見等を伺って更にこれらの論点を深掘りしていくわけですけ
れども、ただいま私から申し上げた内容も踏まえて、事務局において検討いただきたいと思いますが、よろしいでしょうか。
ありがとうございます。
それでは、事務局、そのようによろしくお願いいたします。
○芦田企画官承知いたしました。ありがとうございます。

○藤原委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題２「医療分野の研究開発に資するための匿名加工医療情報に関する法律に基づく主
務省令の変更の協議について」、事務局から説明をお願いいたします。
○山田企画官資料２－１を御覧ください。

１の「趣旨」ですけれども、次世代医療基盤法では、主務省令を変更しようとするときは、主務大臣はあらかじめ個人情報保護委員会に協議しなければならないという条文にな
9

っています。昨年、法改正がありまして、改正法が来月施行される予定となっていることに伴いまして、主務省令を改正する必要があるため、今般、主務大臣から当委員会に対し変更の協議がありました。具体的な条文案は資料２－３です。
２の「施行規則の改正案の概要」ですけれども、「（１）連結可能匿名加工医療情報の創設に伴う規律の整備」としまして、匿名加工医療情報を公的データベースの情報と連結して解析できる状態で研究者等に提供するために必要な手続と、研究者等が講ずべき連結可能匿名加工医療情報の安全管理措置等の義務の内容を定めます。
「（２）仮名加工医療情報の創設に伴う規律の整備」としまして、まずア、認定仮名加工医療情報作成事業者関係の規律を定めています。具体的には、（ア）仮名加工医療情報の作成の方法に関する基準としまして、個人情報保護法の仮名加工情報の基準と同等の内容を定めます。
（イ）仮名加工医療情報の再識別の禁止の例外としまして、認定仮名加工医療情報作成
事業者が仮名加工医療情報を他の情報と照合することが認められる場合について、医薬品
医療機器等法に基づいて行われる調査に回答するために必要な場合、そのような調査の医
薬品医療機器等法の根拠規定を定めます。
（ウ）その他としまして、現行の認定匿名加工医療情報作成事業者に関する規定を準用するとともに、４行目ですけれども、認定仮名加工医療情報作成事業者に特有の認定基準となります同事業者が講ずべき安全管理措置の内容としまして、仮名加工医療情報について適切な取扱いが行われるように、提供先の認定仮名加工医療情報利用事業者に対して必要かつ適切な監督を行う体制を備えていることを定めます。
次に、２ページ目です。イ、認定仮名加工医療情報利用事業者関係の規律です。
（ア）ですが、提供仮名加工医療情報の第三者提供の禁止の例外として、認定仮名加工
医療情報利用事業者が提供仮名加工医療情報を第三者に提供することができる場合及びその提供先につきまして、医薬品医療機器等法第14条第１項の規定による医薬品の製造販売の承認申請を独立行政法人医薬品医療機器総合機構に行う場合、その他の認められる場合の医薬品医療機器等法の根拠規定と提供先を定めます。
（イ）その他の認定仮名加工医療情報利用事業者の講ずべき安全管理措置の内容等を定めます。
（３）その他の所要の改正としまして、医療情報取扱事業者による認定仮名加工医療情報作成事業者に対する医療情報の提供に関する規定を設けるほか、法律名の変更や条項の移動を踏まえた規定の整理等の所要の改正を行います。この「等」の中には暴力団排除規定などの必ずしも法改正に伴うものではないものも入っています。
３の「対応案」です。施行規則の改正内容につきまして、個人情報保護法の観点から検討したところ、次のとおり個人情報保護法が求める個人情報の保護のための措置の水準と同等程度であり、個人情報等の適正な取扱いが確保されている内容であると認められると考えています。
10

（１）と（２）ですが、仮名加工医療情報の加工基準や認定仮名加工医療情報作成事業者と認定仮名加工医療情報利用事業者が講ずべき安全管理措置につきましては、個人情報保護法と同等の内容が規定されています。
（３）の個人情報保護法の仮名加工情報ではできない、仮名加工医療情報の第三者提供と再識別を認める場合については、医薬品医療機器等の製造販売の承認手続の際に必要となる場合などの医薬品医療機器等法に根拠のある範囲に限って規定しています。
（４）その他につきましても、法や現行施行規則と同等の内容となっています。
他方、近年発生した医療情報の不適切取得事案を踏まえまして、個人の権利利益の保護の観点から、認定事業者に対する適切な監督等により主務大臣が制度を適切に運用することを当委員会として求めることが適当であると考えます。
したがって、主務大臣からの協議については、次の資料２－２のとおり、個人の権利利益の保護の観点から制度を適切に運用することに関する意見を付した上で、当委員会として了承することとしてはどうかと考えます。
次に、４の「今後の予定」ですけれども、今月中に改正施行規則が公布されまして、次のページですが、４月１日予定で改正法が施行されます。その後、認定仮名加工医療情報作成事業者又は利用事業者の認定に係る当委員会の協議が見込まれるという予定となっています。
続きまして、資料２－２を御覧ください。
当委員会からの意見ですけれども、記の１は異存ないということで、２を説明します。
医療分野の研究開発に資するための匿名加工医療情報に関する法律の一部を改正する法律の施行に当たり、個人の権利利益の保護の観点から、次の事項に留意して制度を適切に運用願いたいとしまして、（１）主務大臣は、医療情報等の不適切な取扱いが生じることがないよう、認定匿名加工医療情報作成事業者、認定仮名加工医療情報作成事業者等を適切に監督すること。（２）主務大臣は、認定仮名加工医療情報作成事業者が仮名加工医
療情報について適切な取扱いが行われるように、提供先の認定仮名加工医療情報利用事業者に対して必要かつ適切な監督を行っていることを主務大臣が定期的に確認する等、仮名加工医療情報の適切な取扱いを確保するための取組を行うこと。
このような意見を付した上で了承することとしてはどうかと考えます。
説明は以上です。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見があれば、お願いします。
小川委員。
○小川委員

御説明ありがとうございました。

この認定仮名加工医療情報の利用事業者については、厳格な審査項目に基づいて国が認定することとされております。入口に当たる認定審査を厳格に行う一方で、認定後に仮名加工医療情報の適切な取扱いが確保されていることを国が確認しなければ、制度が適切に11

運営されないおそれがあります。
このため、仮名加工医療情報について適切な取扱いが行われるよう、認定仮名加工医療情報の作成事業者が提供先の認定仮名加工医療情報の利用事業者に対して必要かつ適切な監督を行っていることを主務大臣が定期的に確認することが重要だと思います。資料２－
２の協議回答案の意見にもありますけれども、主務大臣においては当該確認を適切に実施していただきたいと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、特に修正の御意見はないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
ありがとうございます。それでは、御異議がないようですので、原案のとおり決定し、主務大臣に通知することといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
それでは、これも御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題３「行政手続における特定の個人を識別するための番号の利用等に関する法律第19条第17号に基づき同条第15号に準ずるものとして定める特定個人情報の提供に関する規則の一部を改正する規則（案）に関する意見募集の結果について」でございます。事務局から説明をお願いいたします。
○事務局

本年１月17日の第267回個人情報保護委員会でお諮りいたしました、行政手続における特定の個人を識別するための番号の利用等に関する法律第19条第17号に基づき同条第15号に準ずるものとして定める特定個人情報の提供に関する規則の一部を改正する規則（案）に対する意見募集結果について御説明いたします。
改正案につきましては、資料３－２としてお配りさせていただいております。パブリッ
クコメントを踏まえた改正案の修正は行ってございません。
今回の改正案におきましては、番号法第19条第17号による特定個人情報の提供制限の例
外といたしまして、規則第２号において税理士法第55条第３項の規定によるいわゆるニセ
税理士に対する報告の徴取等が行われるときを追加したところでございます。
この改正案につきまして、資料３－１に記載のとおり、１月17日から２月16日までの間、意見募集を行いまして、１件の御意見を頂きましたが、改正案と関係のない御意見でございました。本意見募集の結果及び改正案について、本日、御決定いただけましたら、準備が整い次第、公布させていただきまして、改正税理士法の施行日でございます令和６年４月１日より施行させていただきたいと考えております。
御説明は以上となります。
12

○藤原委員長

ありがとうございました。

ただいまの説明について、御質問、御意見をお願いいたします。よろしいですか。
それでは、特に修正の御意見はないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移りたいと思います。
議題４「令和４年度施行状況調査（令和５年度実施）の結果について」、事務局から説明をお願いします。
○事務局

令和４年度における行政機関及び独立行政法人等の個人情報保護法の施行の状況について御説明いたします。説明は資料４－１に基づき行わせていただきます。
１ページのとおり、今年度の調査対象は、行政機関が49機関、独立行政法人等が188法人
で、令和４年４月１日から令和５年３月31日までの状況について、令和５年３月31日現在の状況を調査しております。
「（１）個人情報ファイルの状況」ですが、保有する個人情報ファイルの数については、
２ページの中段に記載したとおり、国税庁がその多くを保有しており、この状況は、前年度から変化はありませんでした。
「（２）個人情報ファイルの記録情報の利用目的以外の目的のための利用・提供等の状況」ですが、３ページに記載したとおり、行政機関における目的外利用・提供の根拠別の件数につきましては、前年度と比較して大きな変化は認められませんでした。独立行政法
人等につきましては、前年度の件数を記載しておりません。これは注記にも記載しておりますが、前年度は独立行政法人等個人情報保護法に基づく調査でしたが、同法では別表第二法人等という区分がなく、今年度の調査結果と前年度の調査結果を一概に比較できない
ため、前年度の件数につきましては「―」と記載しております。
別表第二法人等における目的外利用・提供の件数につきましては、４ページに記載しております。なお、行政機関、別表第二法人等を除く独立行政法人等及び別表第二法人等のいずれも個別の法令に基づく利用・提供が最も多い結果となりました。
５ページの「２

開示、訂正又は利用停止請求の状況」ですが、令和４年度の請求件数

は、資料に記載しているとおりです。行政機関の開示請求の件数が減少しておりますが、
これは国税庁に対する開示請求の件数が減少したことが主な原因となっております。
６ページに開示決定等の件数を記載しております。開示請求に対して不開示としたもの
は行政機関で3.1％、独立行政法人等で3.0％という結果でした。また、開示決定等に係る行政機関に対する審査請求は269件、独立行政法人等に対する審査請求は64件でした。
13

７ページの「（１）安全管理措置にかかる規定の整備状況」ですが、おおむね必要な規定が整備されていました。なお、外的環境の把握に関する規定を定めていない行政機関及び独立行政法人等もございましたが、こちらは保有個人情報又は個人データを外国で取り扱うことを想定していないことが理由となっております。
７ページの「（２）個人情報の漏えい等事案の状況」ですが、個人情報の漏えい等事案の件数は行政機関において1,244件、独立行政法人等において2,647件となっております。
これらは報告義務が課されない事案を含む件数のため、当委員会の年次報告の件数とは一致しておりません。また、行政機関では国税庁、独立行政法人等では日本年金機構の件数が多い状況ですが、その多くは配送事故が原因となっております。
８ページの「（３）監査・点検の状況」ですが、複数の大学が統合して令和４年度に設立された北海道国立大学機構から、統合に伴う個人情報の取扱規定の見直しなどを実施していたため、令和４年度中に監査及び自己点検のいずれも実施できなかったとの報告を受けております。
結果の説明は以上です。
報告につきましては、掲載の準備ができましたら、当委員会のホームページに掲載する予定です。
また、本日の委員会資料につきましては、委員会ホームページに報告書をアップロード
した際に同時に公表することとさせていただきたいと考えております。
事務局からの説明は以上になります。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見があれば、お願いいたします。よろしいですか。
それでは、御異議がないようですので、そのように取り扱うことといたします。事務局
においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については後日公表とし、準備が整い次第、委員会のホームページで公表することとしてよろしいでしょうか。
ありがとうございます。
それでは、次の議題に移りたいと思います。
議題５「令和６年度

個人情報保護委員会における監視・監督方針について」、事務局

から説明をお願いいたします。
○事務局

本件は、個人情報保護委員会が行政機関等及び事業者における個人情報及び特定個人情報の取扱いに係る監視・監督権限を一元的に所掌する委員会であることを踏まえて、個人情報等の適正な取扱いを確保し、法令、ガイドライン等の遵守状況を適切に監視・監督するため、令和６年度の監視・監督方針を作成するものであります。
令和６年度監視・監督方針については、個人情報保護法に係る監視・監督の方針、マイ14

ナンバー法に係る監視・監督の方針、個人情報保護法・マイナンバー法に共通する方針の３項目で項目立てし、記載しております。
「１.個人情報保護法に係る監視・監督の方針」ですが、まず「（１）漏えい等報告や日常的監視に基づく対応」としまして、個人データ及び保有個人情報の漏えい等事案の報告、個人情報保護法相談ダイヤルに寄せられる情報その他の情報について総合的に活用し、発覚した個人データ及び保有個人情報の不適切な取扱事案については、指導、勧告等の適切な法執行を行ってまいります。また、これらの監視・監督活動により、特定の分野や特定の類型などにおける漏えい等事案が確認された場合等には、必要に応じて当該対象に向けた注意喚起等を行うこととしたいと考えております。
「（２）実地調査」ですが、行政機関等については、委員会において議決した調査計画に基づき、調査対象機関を選定し、計画的な実地調査を行うこととしております。令和６
年度においては、現時点では約50～60機関を対象として実地調査を行う予定です。そして、これらの調査により、個人情報保護法及び委員会が公表している各種ガイドライン等に照らし、不適切又は違法な個人情報等の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言、勧告等を行ってまいります。
「（３）施行状況調査」ですが、全ての行政機関等に対し施行状況調査を実施し、個人情報等の取扱い状況に関する基礎的な情報を把握し、その概要を公表することとしております。なお、地方公共団体等については、個人情報保護法が令和５年度から適用されたことから、その調査・分析結果を取りまとめた上で公表したいと考えております。
続いて、「２.マイナンバー法に係る監視・監督の方針」ですが、まず、「（１）漏えい等報告や日常的監視に基づく対応」では、マイナンバー苦情あっせん相談窓口等に寄せられる通報、メディア報道等による各種の情報、特定個人情報保護評価書等を基に、平時においてマイナンバー法の遵守状況を確認するとともに、それらの日常的な監視等により発覚した特定個人情報の不適切な取扱事案や漏えい等事案の報告等があった場合においては、
機動的に必要な指導等の法執行を行うほか、必要に応じて注意喚起等を行うこととしたいと考えております。
「（２）立入検査」では、マイナンバーの漏えい等事案が発生しないよう、行政機関及び独立行政法人等、地方公共団体等に対して、委員会において議決した検査計画に基づき、検査対象機関を選定して立入検査を行ってまいります。令和６年度においては、現時点では約50から60機関を対象として立入検査を行う予定としております。これらの検査・調査により、マイナンバー法及びガイドライン等に照らし、不適切又は違法な特定個人情報の取扱いを確認した場合、機動的に必要な指導・助言等を行ってまいります。
「（３）定期的な報告」ですが、特定個人情報ファイルを保有する地方公共団体等から
マイナンバー法の規定に基づく定期的な報告を受け、特定個人情報の取扱い状況及び安全
管理措置の実施状況を把握することとしております。必要な安全管理措置が実施できていないなどの機関に対しては、支援等を行ってまいります。
15

最後に、「３.個人情報保護法、マイナンバー法に共通する方針」ですが、「（１）サイバーセキュリティ関係省庁・機関との連携」においては、サイバーセキュリティ関係省庁・機関との間で個人情報保護法サイバーセキュリティ連携会議及び特定個人情報セキュリテ
ィ関係省庁等連絡協議会を開催するとともに、これらの関係省庁・機関との間で認識を共有した連携の仕組みに基づき、緊密に連携して対応してまいります。
「（２）広報・啓発及び人材育成」については、中小規模事業者に対し、個人データの安全管理措置の問題点等を広く周知し、適切な取扱いを促してまいります。行政機関及び独立行政法人等、地方公共団体等に対しては、オンラインによる説明会などを活用し、幅広い対象の多くの職員へ研修を実施していきたいと考えております。
本件に関しては、本日の委員会で決定いただければ、委員会ホームページに掲載すると
ともに、国の行政機関、地方公共団体等に対して周知を行いたいと考えております。
説明は以上でございます。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見があれば、お願いいたします。
清水委員からどうぞ。
○清水委員

ありがとうございます。

マイナンバー法に係る監視・監督の方針のところで書いていただいているのですけれど
も、特定個人情報保護評価書に記載された内容を基に検査されていくということだと思います。私たちは事前に保護評価書を拝見して審査をしているわけなのですけれども、それが評価書どおりにできているかどうかという観点も重要ながら、評価書どおりにされているけれども問題が発生したとか、あるいは評価書に記載されていないポイントとかそういう論点で何か問題が起きたということも考えられるのかなと思います。今、事前にやらせていただいている保護評価というのを実効的にならしめるためにも、この実地検査の結果のフィードバックというのをぜひいただきたいと思います。そして、事前の審査にも役立てていきたいと考えています。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
髙村委員、どうぞ。
○髙村委員

最後に御説明があった広報・啓発について意見を申し上げます。

これまでの取組に加えて、来年度は行政機関等の担当者を対象とした研修や教育機関等を含めた研修を実施されるということですが、安全管理措置の底上げによる漏えい等の未然防止にもつながり、有益であると思います。今後、自治体等ともより連携して様々なチャンネルを活用した広報・啓発を行っていただきたいと思います。
例えば介護保険の分野では、都道府県又は市町村が年１回以上、介護保険施設等を集めるなどして講習等の方法による集団指導を実施することになっているようですから、都道
府県又は市町村と連携して、そのような機会を捉えて情報提供等を行うことも考えられる
16

と思います。
このような点についても今後、検討いただければと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。
それでは、御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移りたいと思います。
議題６「令和６年度

実地調査及び立入検査計画について」、事務局から説明をお願い

します。
○事務局

令和６年度の実地調査及び立入検査計画について御説明いたします。

内容は、「令和６年度

個人情報保護委員会における監視・監督方針」に基づき、記載しているものです。
「１.個人情報の保護に関する法律に基づく実地調査及び立入検査」の「（１）実地調査
及び立入検査実施方針」のとおり、行政機関及び独立行政法人等に対しては、個人情報の保有状況等を踏まえ、個人情報保護法に基づく計画的な実地調査を実施したいと考えております。地方公共団体等に対しては、過去の漏えい等事案の有無やその規模、マイナンバー法に基づく立入検査との一体性や実地訪問の効率性、地域バランス等も加味して選定し、個人情報保護法に基づく計画的な実地調査を実施したいと考えております。
計画的な実地調査は、マイナンバー法に基づく立入検査と一体的に行うことにより、効率的かつ効果的に実施したいと考えております。
計画的な実地調査のほか、漏えい等事案の報告、個人情報保護法に関する総合的な案内所に寄せられた情報等を踏まえ、必要に応じ、随時に実地調査及び立入検査を実施したいと考えております。
実施予定数ですが、行政機関、独立行政法人等及び地方公共団体等で約50から60件を予定しております。
「２.マイナンバー法に基づく立入検査」の「（１）立入検査実施方針」のとおり、行政機関、独立行政法人等、地方公共団体情報システム機構に対しては、マイナンバー法等に基づき、定期的な立入検査を実施したいと考えております。
立入検査の実施に当たっては、これまでの立入検査で把握した各機関の個人番号の管理
17

状況、各機関の規模、特定個人情報の取扱量及び漏えい等事案の有無等を踏まえ、立入検査を行いたいと考えております。
地方公共団体等に対しては、過去の漏えい等事案の有無やその規模、過去の立入検査の結果、定期的な報告の結果、個人情報保護法に基づく実地調査との一体性や実地訪問の効率性、地域バランスなども加味して選定し、マイナンバー法に基づく計画的な立入検査を実施したいと考えております。
計画的な立入検査は個人情報保護法に基づく実地調査と一体的に行うことにより、効率的かつ効果的に実施したいと考えております。
計画的な立入検査のほか、漏えい等事案の報告、個人情報保護法に関する総合的な案内所に寄せられた情報等を踏まえ、必要に応じ、随時に立入検査を実施したいと考えております。
実施予定数ですが、行政機関等及び地方公共団体等で約50から60件を予定しております。
なお、本計画については、漏えい等事案の発生、そのほかの状況により変更することがございます。
事務局からの説明は以上となります。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見をお願いいたします。よろしいでしょうか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移りたいと思います。次の議題は、監督関係者以外の方は御退席願います。
（監督関係者以外退室）○藤原委員長

議題７「一般送配電事業者及び関係小売電気事業者による新電力顧客の個

人情報の不適切な取扱い事案における再発防止策の実施状況及び全社的総点検の結果について」、事務局から説明をお願いいたします。
（内容について一部非公表）○事務局

それでは、資料に沿って御説明いたします。

議題７「一般送配電事業者及び関係小売電気事業者による新電力顧客の個人情報の不適
切な取扱い事案における再発防止策の実施状況及び全社的総点検の結果について」、説明いたします。画面に投影しております資料７に沿って御説明いたします。
18

当委員会は、一般送配電事業者と関係小売電気事業者に対し、令和５年６月29日に個人情報の保護に関する法律（以下「法」）第147条の規定による指導を行うとともに、法第146条第１項の規定に基づき、再発防止策の実施状況及び個人情報の取扱いに関する全社的総点検の結果などについて報告を求めました。
本事案の発生時に認められた問題点と指導事項を御紹介します。一般送配電事業者へは、
法第23条に定める安全管理措置のうち、技術的・組織的・物理的及び人的安全管理措置に不備があったこと、法第25条に定める委託先の監督が十分でなかった点について改善を指導しました。関係小売電気事業者へは、法第20条第１項に定める適正な取得の規定に対する違反、第23条に定める安全管理措置のうち、組織的及び人的安全管理措置の不備並びに法第25条に定める委託先の監督が十分でなかった点について改善を指導しました。
次に、各事業者への指導事項について、主な改善状況を御紹介します。一般送配電事業者は、法第23条に定める安全管理措置を改善しました。技術的安全管理措置として、マスキングによる情報遮断、端末起動の際のIDカード認証によるアクセス制御、物理的安全管
理措置として送配電用設定端末を配置した部屋の施錠と関係小売電気事業者からの隔離、組織的安全管理措置としてアクセスログの定期的解析やいわゆる三線ディフェンスの機能強化や監査、人的安全管理措置として個人情報の徹底に関する幹部から従業者へのメッセージ、研修や理解度テストなどが行われました。このほか、システムの物理的分割を進めております。
法第25条に定める委託先の監督については、委託した個人データの取扱いを把握するための委託会社への監査や委託先が閲覧する個人情報のアクセス制限、非常災害時の業務委
託におけるシステムへのアクセス用カードの非常時の貸与と解除時の返却などを行うこととしました。
関係小売電気事業者は、法第20条第１項に定める適正な取得について、個人情報の適正な取得に重点を置いた研修と理解度チェック、各部署の経営規程自己点検と本部によるモ
ニタリング、コンプライアンス推進部署の新設、監査における重点的チェック、従業者の意識醸成などが行われました。
法第23条に定める安全管理措置については、組織的安全管理措置として営業所の定期点
検や監査における個人情報の適正な取得のチェックの重点化、従業者の意識定着の確認、
人的安全管理措置として教育・研修、従業者向け社長メッセージなどが行われました。
法第25条に定める委託先の監督については、個人情報の適正な取扱いに関する委託先への注意喚起、委託先用の研修室の区分けや執務室への入室制限等を実施しました。
一般送配電事業者と関係小売電気事業者による個人情報の適正な取扱いに係る全社的総点検の結果、一部の事業者に不適切な事象が認められました。
全社的総点検で判明した事象のうち、主なものを紹介します。
まず、北陸電力株式会社及び北陸電力送配電株式会社における事象です。本件は、北陸
電力送配電株式会社が管理する営業システムにおいて、共同利用の対象外である電柱等支19障移設に関する情報が北陸電力株式会社において営業システムの画面で閲覧できる状態であり、北陸電力株式会社は、顧客からの問合せ対応のためにこれを利用していました。これには新電力顧客情報は含まれておりません。
続いて、関西電力株式会社及び関西電力送配電株式会社における事象です。本件は、関西電力株式会社が関西電力送配電株式会社と共同利用するシステムや情報共有基盤で保有する顧客の個人データへのアクセス権限の設定や顧客情報に係る共同利用プライバシーポ
リシーの遵守状況について調査を実施中であります。
続いて、中国電力株式会社及び中国電力ネットワーク株式会社における事象です。中国
電力株式会社のカスタマーセンターにおいて、中国電力ネットワーク株式会社のスマート
メーターの運用を管理するシステム上の新電力顧客の個人データを閲覧し、自己の業務に利用しておりました。
最後に、九州電力送配電株式会社及び九州電力株式会社における事象です。九州電力送配電株式会社及び九州電力株式会社が共有するシステム上で、九州電力株式会社が保有し管理する低圧料金に係る電子帳票上の顧客の個人データを九州電力送配電が閲覧し、自己の業務に使用していました。なお、この個人データは両会社による共同利用の対象ではな
く、新電力顧客の個人データも含まれておりません。
今般の報告により、一般送配電事業者及び関係小売電気事業者の再発防止策の実施状況
について確認したところ、現時点において当委員会の各事業者に対する個別の指導事項に係る改善措置に一定の取組が認められました。当委員会は、今後も引き続き再発防止措置の実施状況を注視してまいります。
また、個人情報の取扱いに関する全社的総点検の結果、一部の事業者に不適切な事象が計23件認められました。内訳は、北陸電力送配電株式会社及び北陸電力株式会社４件、関西電力送配電株式会社及び関西電力株式会社３件、中国電力ネットワーク株式会社及び中国電力株式会社５件、九州電力送配電株式会社及び九州電力株式会社11件です。これらの事象について、当委員会は次のとおり対応いたします。
事象の原因は、一般送配電事業と関係小売電気事業の分社時である令和２年４月又はシステムの開設時に生じた不備が原因であり、その時期は、当委員会が令和５年６月29日付
けで一般送配電事業者及び関係小売電気事業者に対して法に基づく改善指導を行った対象
期間内であること、かつ、その不備については所要の改善措置が既になされている、又は行われる予定となっており、一定の取組が認められることから、今回、重ねての指導は行わないこととしますが、今後も引き続き再発防止措置の実施状況を注視してまいります。
なお、関西電力株式会社が保有する業務システム及び情報共有基盤に関する調査については、同社による調査が継続中であり、調査結果を踏まえて今後の対応を検討いたします。
議題７は以上でございます。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見があれば、お願いいたします。よろしいでし
20

ょうか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題
は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を、準備が整い次第、委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題８「資源エネルギー庁が保有する『再生可能エネルギー業務管理システム』内の保有個人情報の漏えい等事案における再発防止策の実施状況について」、続いて事務局から説明をお願いいたします。
○事務局

資料８に沿って御説明いたします。

当委員会は、令和５年６月29日、資源エネルギー庁に対して法第157条の規定による指導
並びに一般送配電事業者及び関係小売電気事業者に対して法第147条の規定による指導をそれぞれ行いました。また、資源エネルギー庁に対して法第156条の規定により、並びに一
般送配電事業者及び関係小売電気事業者に対して法第146条第１項の規定により、再発防止策の実施状況に係る報告などを求めました。
改善を指導した違反事項・問題点を御紹介します。資源エネルギー庁においては、再生可能エネルギー業務管理システム（以下「再エネ業務管理システム」）のID及びパスワー
ド管理に関する定めの整備と見直し、パスワードの変更や管理に関する指示を一般送配電
事業者に行わず、システムのアクセスログの定期的分析も行わなかったこと、ID及びパス
ワードがどのように利用されているか長期間確認しなかったことなど、法第66条第１項が求める保有個人情報の安全管理措置に不備が認められました。
一般送配電事業者においては、資源エネルギー庁から付与されたID及びパスワードを関係小売電気事業者も利用できる状態にあったにもかかわらず是正せず、適切にアクセス制
御しなかったため、法第23条が求める個人データの安全管理措置に不備が認められました。
関係小売電気事業者においては、一般送配電事業者に付与された再エネ業務管理システ
ムのアカウントのID及びパスワードを用いて個人情報を取得し、自社の業務のために利用した行為は、再生可能エネルギー電気の利用の促進に関する特別措置法の趣旨に反し、適正性を欠く方法による個人情報の取得に該当し、法第20条第１項の規定に違反していました。
個別指導事項に関する改善状況を御紹介します。
21

資源エネルギー庁は、一般送配電事業者ごとのシステムの利用責任者の選定、システムのID・パスワードの個人ごとの付与、人事異動や６か月間不稼動に伴うアカウントの停止、多要素主体認証、アクセスログ分析、外部法人によるシステム監査を実施しました。
一般送配電事業者は、法第23条に規定する安全管理措置として、システムアカウントのID及びパスワードの付与申請を行う事業者の決定、定期的なパスワード変更、アクセスロ
グの定期的確認、内部監査においてシステムのID及びパスワードの管理状況やパスワード
変更の確認を行うこととしました。
関係小売電気事業者は、法第20条第１項に規定する個人情報の適正な取得を遵守するため、再エネ業務管理システムの利用禁止の全体への周知、他の事業者のID・パスワードを使った個人情報の取得を不正事例として規程やマニュアルに記載、マニュアルに定めるチェックリストの確認項目に個人情報の不正な取得をしていないか、取得した個人情報の利用目的を明示しているかなどの追加、監査による定期的検証、従業者への教育などを実施しました。
当委員会は、資源エネルギー庁、一般送配電事業者及び関係小売電気事業者に再発防止策について確認したところ、現時点において当委員会の資源エネルギー庁、一般送配電事業者、関係小売電気事業者に対する個別の指導事項に係る改善措置に一定の取組が認められました。
当委員会は、今後も引き続き再発防止措置の実施状況を注視してまいります。
説明は以上でございます。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見をお願いいたします。よろしいですか。
特に修正の御意見がないようですので、原案のとおり決定したいと思いますが、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題
は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を、準備が整い次第、当委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
今、議題７、８で再発防止策等について御説明いただいたわけですけれども、私から最後に一言申し上げておきたいと思います。
一般送配電事業者、関係小売電気事業者及び資源エネルギー庁においては、昨年６月の当委員会からの指導を踏まえ、個別指導事項に対する改善措置に一定の取組が認められたこと、また、全社的総点検を行ったことは、顧客の個人情報保護の観点から評価してよい
22

のではないかと思います。
他方、一部の電気事業者においては、全社的総点検において不適切な事象が見られました。これらについては電気事業者自らが発見し、改善措置がおおむね講じられているところですが、電気事業者が保有する個人情報は膨大なものでありますから、個人情報の適切な管理については不断の取組が求められ、今後もその推移を注視していくことが必要だと考えております。事務局、よろしくお願いいたします。
それでは、次の議題に移りたいと思います。
議題９「監視・監督について」、事務局から説明をお願いいたします。
（内容について非公表）
本日の議題は以上でございます。
それでは、本日の会議は閉会といたします。ありがとうございました。

23