データ・セキュリティ NEWSLETTER
2024 年 7 月 26 日

個人情報保護法の次の改正に向けた中間整理の概要
及び検討の方向に関するコメント
弁護士

岡田 淳

TEL. 03-5220-1821
atsushi.okada@mhm-global.com

弁護士

弁護士

蔦 大輔

TEL. 03-6266-8769
daisuke.tsuta@mhm-global.com

田中 浩之

TEL. 03-6266-8597
hiroyuki.tanaka@mhm-global.com

弁護士

弁護士

北山 昇

TEL. 03-6266-8931
noboru.kitayama@mhm-global.com

髙橋 玲哉

TEL. 03-6266-8730
reiya.takahashi@mhm-global.com

Ⅰ. はじめに
Ⅱ. 個人の権利利益のより実質的な保護の在り方
1. 生体データの保護、不正取得・不適正利用の規律の明確化
2. 第三者提供規制の在り方（オプトアウトの規律の厳格化）
3. こどもの個人情報等に関する規律の在り方
4. 個人の権利救済手段の在り方
Ⅲ. 実効性のある監視・監督の在り方
1. 課徴金制度
2. 刑事罰の在り方
3. 漏えい等報告、本人通知の在り方
Ⅳ. データ利活用に向けた取組に対する支援等の在り方
1. 本人同意を要しないデータ利活用等の在り方
2. 民間における自主的な取組の促進
3. その他
Ⅴ. 今後の動向

Ⅰ. はじめに
個人情報保護委員会（以下「個情委」といいます。
）は、2024 年 6 月 27 日、
「個人
情報保護法

いわゆる 3 年ごと見直しに係る検討の中間整理」（以下「中間整理」といいます。
）を取りまとめました。中間整理について、個情委は同月 27 日から同年 7 月
29 日までパブリックコメントを募集しています。
この中間整理は、個人情報の保護に関する法律（平成 15 年法 57 号。以下「個情法」といいます。
）に関するこれまでの議論や検討を踏まえた現時点における個情委の考え方をまとめたものであり、今後、寄せられたパブリックコメントを踏まえて、最終的な方向性のとりまとめを行うこととされています。その中で、特に、課徴金、団体訴
訟制度等の事業者又は個人に与える影響が大きい項目については、2024 年 7 月 24 日

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

1データ・セキュリティ NEWSLETTERに開催が公表された「個人情報保護法のいわゆる 3 年ごと見直しに関する検討会」（以下「3 年ごと見直し検討会」といいます。）において議論し、2024 年内にとりまとめを行うこととされています。
中間整理では、大きく分けて、①個人の権利利益のより実質的な保護の在り方、②
実効性のある監視・監督の在り方、③データ利活用に向けた取組に対する支援等の在り方、の 3 つの検討事項がとりまとめられています。本ニュースレターでは、中間整理の内容を上記各項目ごとに整理した上で、概要を紹介しつつ、方向性を分析しつつ解説します。

Ⅱ. 個人の権利利益のより実質的な保護の在り方
個情委は、個人の権利利益のより実質的な保護の在り方として、以下の 4 項目に焦点を当てて整理しています。

1. 生体データの保護、不正取得・不適正利用の規律の明確化（1）中間整理の概要
本項目では、「個人情報等の適正な取扱いに関する規律の在り方」という見出しの下、主に生体データの保護の強化、並びに「不適正な利用の禁止」及び「適正な取得」に関する規律の明確化について検討されています。
まず生体データの取扱いについては、長期にわたり個人を追跡できる等の特徴を持ち得るものであり、個人の権利利益に与える影響が大きいことから、保護を強化すべきという声が高まっています。現行の個情法では、生体データの取扱いについて、欧米をはじめとする諸外国の法規制とは異なり、生体データに着目した特別の規律は存在しません。日本でも特に公共空間における顔識別機能付きカメラシステ
ムをめぐっては社会的反響を呼ぶケースが散見され、個情委でも有識者検討会での議論に基づいて 2023 年に報告書（「犯罪予防や安全確保のための顔識別機能付きカ
メラシステムの利用について」）を公表しました。
このような問題意識も踏まえ、中間整理では、特に要保護性が高いと考えられる
生体データについて実効性ある規律を設ける必要があるとした上で、具体的な方向性としては、生体情報を取り扱う場合は利用目的をより具体的に特定すること（個情法 17 条 1 項関係）や本人による事後的な利用停止（個情法 35 条関係）をより柔軟に認めることが検討されています。
次に、不適正な利用の禁止と適正な取得に関する規律として、現行の個情法は「違法又は不当な行為」を助長又は誘発するおそれのある方法による個人情報の利用（個情法 19 条）及び「偽りその他不正の手段」による個人情報の取得（個情法
20 条 1 項）を禁止しています。
不適正利用及び不正取得に該当する具体的な事例はガイドライン等で記載されて当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

2データ・セキュリティ NEWSLETTER
いますが、適用の予測可能性を高める観点から、中間整理では、両規定が適用される範囲等をより具体化・類型化する必要性が指摘されています。現行の個情法の趣旨等を踏まえ、特に、本人が自律的な選択を行い難い状況（例えば、提供されるサービスがほかで代替困難であり、当該サービスを利用するために個人情報の提供が事実上の条件となっている場合等）での個人情報の取得及び利用についても検討の対象とされています。さらに、個人関連情報についても、事業者が個人に対する連絡が可能な情報（電話番号、メールアドレス、Cookie ID 等）を有している場合には、不正取得・不適正利用等への対応の在り方を検討する必要があるとされています。

（2）中間整理の方向性についてのコメント
ア

生体データの取扱い

生体データの取得・利用機会が増える中で、個人の権利利益保護の観点から保護を強化すべきという問題意識は十分に理解できる一方で、その具体的な規律手法については、幾つかのアプローチが考えられます。例えば欧州一般データ保護規則（以下「GDPR」といいます。）では生体データはセンシティブデータの一例として挙げられていますが、日本でも生体データを「要配慮個人情報」（個情法 2 条 3項）の一例として加えるべきか、それともこれとは別に独自の規律を設けるべきか、については意見の分かれるところです。そのほか、EU でも GDPR とは別に AI Actの下で独自の規律があるように、個別法と一般的なデータ保護法令の間の守備範囲の問題もあります。有識者ヒアリングでも、「医療やゲノムについては適切な立法がなされるべきであり、それを踏まえても個人情報保護法側で概念を変更しなければならないのかという必要性は吟味されるべき」という意見（板倉陽一郎弁護士に対する有識者ヒアリング。以下「板倉ヒアリング」といいます。
）や、EU の AI Act
でも情報自体がセンシティブだからということではなく、公共空間において勝手に個人が識別、トラッキングされてしまうことの脅威が問題にされているとして、安易に海外の動向に追随するのではなく、なぜ生体データをセンシティブデータに加える必要があるのかを整理する必要があるという意見（高木浩光氏に対する有識者ヒアリング）もみられました。
以上の議論も踏まえつつ、中間整理が、生体データを「要配慮個人情報」に加えることでその取得に同意を要求するという方向性ではなく、むしろ利用目的規制や事後的な利用停止に着目して独自の規律を設ける方向性で検討していることが窺われることは注目されます。他方で、「特に要保護性が高い」生体データとはどの範囲までを指すのか、「どのようなサービスやプロジェクトに利用するかを含めた形
で利用目的を特定する」というのが具体的にどの程度の特定を意味するのか、また
顔識別機能付きカメラシステムなどの場面で本人の求めによる事後的な利用停止を
実務的にどのようにワークさせることが可能であるのか、など、議論を深めるべき
実務上の課題も少なからず残されています。

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

3データ・セキュリティ NEWSLETTERイ

不正取得・不適正利用の規律の明確化

個情法の 2020 年改正が不適正利用の規律（個情法 19 条）を導入したことにより、従来の利用目的規制を中心とした手続的規律に加えて、個人情報の取得の場面（個情法 20 条 1 項）に限らず、広く取扱い全般においても適正性を求めるという実体的規律を強化したことは記憶に新しいところです。もっとも、2020 年改正当時か
ら指摘されていたとおり、このような包括的で抽象的な規律は、適用範囲が不明確となり、事業者の活動を過度に委縮させる懸念があります。そのような懸念も踏まえ、これまでも個情委はガイドライン等において具体的な適用事例を追加してきましたが、中間整理を踏まえ、さらなる具体化・明確化が図られることは望ましいといえます。
他方で、民法上の不法行為に該当するような事例をどこまで幅広く個情法上の規制対象とするのかという点は従来から議論があったところであり、仮に不適正利用等の規律が個人情報のみならず個人関連情報までを対象とするようになれば、極めて広汎な情報をカバーするものとなるため、個情法の適切な守備範囲を改めて検証することはより一層重要となるでしょう。代替困難と評価し得る者への対応に関しても、プラットフォーム事業者とユーザー、雇用主と従業員、学校と生徒など様々な文脈が想定されるところ、今後の検討の具体的な方向性は必ずしも明らかではありません。このほか、有識者ヒアリングではいわゆるダークパターンを用いた個人情報の取得が「不正の手段」に該当する可能性も指摘されており（山本龍彦教授に対する有識者ヒアリング）、この点についての今後の議論の動向も注目されるところです。

2. 第三者提供規制の在り方（オプトアウトの規律の厳格化）（1）中間整理の概要
個人データの第三者提供を行うためには原則として本人の同意が必要となりますが（個情法 27 条 1 項本文）、一定の事項を本人に通知等し、個情委に届け出れば、本人の求めに応じて提供を停止することを条件として本人同意なく第三者提供を行うことができます（同条 2 項。以下この制度を「オプトアウト制度」といいます。）。
中間整理では、オプトアウト届出事業者が、意図せずに犯罪グループに個人情報を提供してしまう可能性があること、不正に取得された個人情報がオプトアウト届
出事業者を通じて流通してしまう可能性があること等が指摘されています。そのため、中間整理では、オプトアウトの規律の厳格化として、届出事業者に対しては、一定の場合には提供先の利用目的や身元等を特に確認する義務を課すことや、取得元における取得の経緯や身元等の確認についてより高度の注意義務を課すことにつき検討する必要があるとされています。また、本人のオプトアウト権行使の実効性を高めるために、オプトアウト届出事業者による個人情報の提供や、当該提供の停止を求めることができることを本人が確実に認識できるようにするための措置につ当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

4データ・セキュリティ NEWSLETTER
いて、継続して検討する必要があるとされています。

（2）中間整理の方向性についてのコメント
オプトアウト制度は、多数の個人を対象とするデータベースを利用する事業の中には社会的にみて必要性と有用性があるものも少なくないために個情法制定当初か
ら認められてきた例外ですが、他方でいわゆる名簿屋などによる悪用が社会問題となっており、過去の改正のたびに制度が厳格化されてきました。また、悪質な事業者に対する厳格な執行を求める声も従来から根強く、個情委はこれまでも実態調査を行い、注意喚起を公表してきたほか、指導等の対応も行ってきました。
今回の中間整理でも、さらなる厳格化に向けた検討が必要であるとされています。
オプトアウト制度に対する社会的懸念が依然として大きく、そのような検討の方向
性自体は理解できる一方で、オプトアウト制度をめぐっては、事前届出制という法律の建前と実際の運用状況の乖離や、2020 年改正により禁止された二重のオプトアウト禁止規定をめぐる解釈の問題など、事業者の立場としては難渋する場面も少なくなく、オプトアウト制度が法律上・運用上在るべき姿については、度重なる検討と改正を経てきた今もなお、課題の多い難問といえます。

3. こどもの個人情報等に関する規律の在り方（1）中間整理の概要
中間整理では、前提として、現行法上、こどもの個人情報の取扱い等に係る明文の規定は基本的になく、次の記載があるのみであるとされています。
・法 32 条 2 項以下の開示等の請求等及び法 76 条 1 項の開示請求については、未成年者の法定代理人によってすることができるとされている（政令 13 条 1 号、
法 76 条 2 項）。
・「本人の同意」を得ることが求められている場面（目的外利用、要配慮個人情報の取得、第三者提供等）について、個人情報の取扱いに関して同意したことによって生ずる結果を未成年者が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要があり（通則ガイドライン）、一般
的には、12 歳から 15 歳までの年齢以下のこどもの場合には法定代理人等から同意を得る必要があるとされている（「個人情報の保護に関する法律についてのガイドライン」に関する Q&A）。
また、国際的な枠組みにおいては、児童の権利に関する条約に関して、2021 年に国連・子どもの権利委員会が公表した「デジタル環境との関連における児童の権利についての一般的意見 25 号」や 2021 年に OECD が改訂した「デジタル環境下のこどもに関する OECD 勧告」において、こどもの未熟さや脆弱性を踏まえ、プラ
イバシーの保護のために必要な措置を求めていることや、海外の法制度においては、
EU、英国、米国、中国、韓国、ブラジル、インド、インドネシアやカナダ法の草当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

5データ・セキュリティ NEWSLETTER
案においてこどもの個人情報等に関する規律が存在していることが紹介されています。
さらに、海外においては、上記規律を踏まえた執行事例も各国において存在しており、多額の制裁金の支払命令に至った事例も見られることが指摘されており、国内においても、こどもの個人情報等に関する社会的反響が大きかった事例として学校におけるウェアラブル端末の使用の事例や大手学習塾に対して個情委が行政指導をした事例が紹介されており、個人情報保護法相談ダイヤルに対しても、こどもの個人情報等に係る質問、相談等が寄せられていることが紹介されています。
中間整理では、これらの議論を踏まえ、こどもの個人情報保護について、法定代理人の同意取得や法定代理人に対する情報提供を行うことを法令上明確化することが検討対象となっています。また、こどもの保有個人データについて、より柔軟な利用停止を認めることが検討されており、こどもの個人データについて安全管理措置義務を強化することがあり得るとされています。また、こどもの個人情報等の取扱いについては、こどもの最善の利益を優先し特別な配慮を行うべき等、事業者等が留意すべき責務を定める責務規定を設けることも検討する必要があるとされています。さらに、こどもの個人情報等の取扱いに係る年齢基準の考え方については、
国内外の法制度において様々な年齢基準が設けられていることや、対象年齢によっては事業者等の負担が大きくなることも考慮する必要があるが、対象とするこどもの年齢については、16 歳未満とすることについて検討を行うとされています。

（2）中間整理の方向性についてのコメント
国内外の事例や法制度を参考にしつつ、こどもの保護のためにより実効性のある
個人情報保護法制を構築すべきであることは必要なことであると考えられます。このようなこどもの保護に対する具体的な規制については、個情法の枠内で解決を図る方法だけではなく、インターネットを利用したサービスにおけるこどもの保護を目的とした特別法を立法するといった個情法の枠外の規制も考えられるところですが、以下では個情法の枠内で対応する前提で、コメントをします。
まず、こどもの年齢基準については、こどもの年齢を 16 歳未満とすることが検討されていますが、こどもの個人情報の取扱いについて規制をかける場合、個人情報取扱事業者が、本人がこどもであると現に認識していたり、あるいは認識すべき場合であることを前提とすべきと思われます。そうでないとすると、こどもが本人として含まれることが完全には否定し得ない場合には、全て、事前に年齢確認を行うことが実質上義務づけられてしまうからです。現に認識していない場合には、こどもに関する規制がかからないとすると、敢えて年齢を確認しない方が規制を免れやすくなってしまうため、こどもの個人情報が含まれる可能性が高い事業については規制をかけることも考えられますが、その場合、どのような基準で、「こどもの個人情報が含まれる可能性が高い」のかを判断するかの基準をガイドライン等で明確化する必要があるかと思います。

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

6データ・セキュリティ NEWSLETTER
また、こどもの個人データについて安全管理措置義務を強化することがあり得るとされていますが、こどものような脆弱な本人であることは、安全管理措置の程度をリスクベースで決める際により高いレベルの安全管理措置を講じる方向に作用す
る一考慮要素になるべきものであることは正当だと思われ、この点をガイドラインの安全管理措置の項目に明記することは有益と考えられます。他方、仮に、本人がこどもであることのみを理由に所定の高度な安全管理措置を義務づけるとすると形式的・硬直的な規制となってしまうと思われます。

4. 個人の権利救済手段の在り方（1）中間整理の概要
現行の個情法では、本人は、当該本人が識別される保有個人データについて、法の規定に違反する場合や、本人の権利又は正当な利益が害されるおそれがある場合
等に、個人情報取扱事業者に対して、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求することができますが、個人の権利救済手段としては限定的であるといえます。
中間整理に向けた個情委内の議論では、個人の権利利益保護の手段を増やすという観点から団体訴訟制度について検討され、また、有識者からも、本人による訴訟遂行の負担緩和やより実効的な執行実現を図るために団体訴訟制度の導入を積極的に求める意見が出されています。
これらの議論等を踏まえ、中間整理では、違法な個人情報の取扱いに対する抑止力の強化及び本人の被害回復の実効性の向上という観点から、団体訴訟制度として、適格消費者団体による差止請求制度や被害回復制度 1の導入が検討対象とされています。
なお、中間整理では、差止請求制度について、法に違反する不当な行為を対象行為とすることが検討される旨記載がある一方で、被害回復制度についての詳細は明らかではないところです。

（2）中間整理の方向性についてのコメント
団体訴訟制度の導入について、経済団体等からは、企業の個人データの活用を萎縮させるとして強い反対意見が出されています（「個人情報保護法の 3 年ごと見直しに対する意見」（2024 年 4 月）
。他方で、有識者からは団体訴訟制度が結果責任を問うものではないことや事業者に違法な行為を行う自由はないこと等から事業活動への萎縮効果は問題にならない、との意見もあります（森亮二弁護士に対する有識「適格消費者団体」とは、不特定かつ多数の消費者の利益を擁護するために差止請求権を行使するために必要な適格性を有する消費者団体として内閣総理大臣の認定を受けた法人のことをいいます。そして、適格消費者団体等による団体訴訟制度のうち、差止請求制度は事業者の不当な行為に対して、適格消費者団体が不特定多数の消費者の利益を擁護するために、差止めを求めることができる制度です。また、被害回復制度は、不当な事業者に対して、適格消費者団体の中から内閣総理大臣が新たに認定した
特定適格消費者団体が、消費者に代わって被害の集団的な回復を求めることができる制度です。
1

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

7データ・セキュリティ NEWSLETTER
者ヒアリング）。
こうした団体訴訟制度の導入に関しては課題も指摘されているところです。すな
わち、適格消費者団体が差止請求を行い、事業者による不当な行為を改善する結果を得ても、事業者から適格消費者団体にその手続に要した費用が支払われるわけではないため、この制度は、性質上、適格消費者団体にとって構造的に赤字事業とならざるを得ず、適格消費者団体は限られた資金の下ボランティアベースで運営されている団体が大多数といえます。被害回復制度を導入しても、個人情報の漏えいに伴う損害賠償請求は典型的な少額大量被害事案であり、対象消費者に対する通知公告を適格消費者団体の費用負担で行い、当該消費者に対する還元額も一定程度保障
することが予定されれば、適格消費者団体の負担は軽いとはいえず対応を躊躇することになるおそれがあります。そのため、適格消費者団体への資金援助等、制度運用のための資金の工面は大きな課題といえます。また、訴訟を追行する適格消費者団体において、法に精通した人材を確保しているとは限らないという専門性の課題も指摘されているところです。中間整理では、このほかにも、端緒情報の共有、立証における考慮、報告・監督窓口の一本化等の課題が指摘されています。
このように消費者（適格）団体の財産的基盤、人的基盤が脆弱であることに鑑みると、仮に団体訴訟制度を導入したとしても、それだけでは、違法な個人情報の取扱いに対する抑止力の強化及び本人の被害回復の実効性の向上とならないことが危惧されるところです。いずれにしても、団体訴訟制度の導入については、事業者側の負担と個人の権利利益保護のバランスを考慮しつつ、その必要性を含めて多角的な検討が求められます。
なお、2024 年 7 月 24 日に開催が公表された 3 年ごと見直し検討会では、団体による差止請求制度及び被害回復制度が検討事項に含まれており、経済団体や消費者団体等の利害関係者と有識者が一堂に会して議論することが予定されております。
関係者の意見対立の構図や主張の変化等が見えやすい、オープンな議論が進むことが期待されます。

Ⅲ. 実効性のある監視・監督の在り方
個情委は実効性のある監視・監督の在り方として、以下の 3 項目に焦点を当てて整理しています。

1. 課徴金制度（1）中間整理の概要
個情法は、個人情報取扱事業者に対する行政指導、勧告、命令といった段階的な監視・監督手段を規定し、また、命令違反に対する罰則も規定しています。他方で、GDPR 等の諸外国の法令と異なり、課徴金制度は導入されていません。2015 年だ

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

8データ・セキュリティ NEWSLETTER
けでなく 2020 年の個情法改正時にも、課徴金制度の必要性が検討されましたが、内閣法制局による審査にて、①違反行為による適正な利得の算定が困難であること、②個人情報取扱事業者には経済的利得を目的としない団体もある中で一定の経済的制裁を科すことは比例原則の観点から疑問があること、③課徴金制度を導入する場
合、勧告前置の仕組みを採用する個情法 42 条との整合性にも疑問があること、という複数の課題が発生し、課徴金制度導入は法制的に非常に難しいとされ、導入には至りませんでした。
今回の中間整理でも、課徴金制度の導入について言及されています。中間整理に向けた議論では、関係団体から個人情報の違法利用により巨額の利益を上げる悪質な事案の抑止及び不当な利益の回収という観点からより実効性のある監視・監督の手段として課徴金制度の導入が望ましいという意見があり、また、有識者からも、個情法に違反することの経済的インセンティブを削ぐためには事業者に対する経済的負担の賦課が有効である等の意見があり（中川丈久教授に対する有識者ヒアリング。以下「中川ヒアリング」といいます。）、課徴金制度の導入に賛成する意見が多くみられます。
他方で、従来の法改正時と同様、経済団体等からは、課徴金制度の導入に関して企業のデータ活用を萎縮させるとして強い反対意見が示されています。中間整理では、こうした強い反対意見が示されていることに加え、我が国の他法令における導入事例や国際的動向、個人の権利利益保護と事業者負担とのバランスを踏まえ、その導入の必要性を含めて検討する必要があるとしています。

（2）中間整理の方向性についてのコメント
有識者からは、近時の行政指導事例も含めて、「立法事実も蓄積されている」との意見があり（個人情報保護委員会（第 287 回）議事概要（宍戸常寿教授発言））、
2020 年改正時よりも、課徴金制度の導入は現実的なものとなりつつあると考えられます。
中間整理では、課徴金制度を導入する必要があると考えられる場合の論点として、対象となる違法行為の類型、課徴金の算定方法、最低額の設定等を挙げております。
まず、対象となる違法行為の類型として、中間整理では、個人データの違法な第三者提供等の違反行為によって不当な利得を得ている場合や、個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る
等の悪質な違反行為により、本来なすべき支払を免れた場合等を例示として挙げており、法違反となる行為の全てではなく、違法な個人データの取扱いによる利益のはく奪を主たる目的として対象行為が限定されることが予想されます。一方で、中間整理では、悪質な安全管理措置義務違反も対象となり得ることが言及されていますが、現行法の安全管理措置について定めた条文は非常に簡潔であるにもかかわらず、個情委の指導や勧告事案では安全管理措置義務に様々な要素を読み込んで解釈された事案があることからすれば、課徴金制度の導入に際しては、事業者に対する当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

9データ・セキュリティ NEWSLETTER
予測可能性をどう担保するかが課題になると思われます。
また、課徴金納付命令に関する選択（命じるか否か、命じるならば額をどうするか）に関して、個情委の裁量を認めるかという問題があります。日本の課徴金の立法例は裁量を認めない義務的課徴金制度が主ですが、行政法の一般理論上は、行政裁量を認めることが原則とされているため、個情法の制度としていずれが適切かを検討されると思われます（中川ヒアリング）。
さらに、課徴金の算定方法について、中間整理は、個人データを販売することを通じて違法に第三者に提供した場合については、販売による売上という不当な利益が生じている点に着目することが考えられるとしています。ただ、独占禁止法における課徴金制度が、当初、違法収益のはく奪をする制度という考えであったものが、現在では、違反抑止に足る金額を賦課する命令という考えに変わったこと（中川ヒ
アリング、個人情報保護委員会（第 287 回）議事概要（宍戸常寿教授発言））を踏まえると、個情法上の課徴金制度における課徴金額の算定方法については、さらに慎重な検討がされると思われます。
また、課徴金制度の導入についての事業者の危惧に対して、有識者からは、課徴金の対象行為を重大かつ悪質な事案に限定することや、課徴金賦課の要件及び運用の明確化・予測可能性を与えるための規則やガイドラインを作成すること等の指摘（中川ヒアリング、林秀弥教授に対する有識者ヒアリング）のほか、ガイドラインに課徴金命令の考慮要素として、情報漏えい時の被害者への通知・賠償等の救済、
個人情報の数・性質等リスクに応じた安全管理措置等の実施の有無を規定することも検討に値するとの指摘（宍戸常寿教授に対する有識者ヒアリング）もありました。
上記のとおり、課徴金制度の導入については賛否があるところであり、導入するとしても議論すべき論点が多くあります。3 年ごと見直し検討会の検討事項には課徴金制度も含まれており、課徴金制度が導入されれば、今回の改正の大きな目玉となることから、議論の状況については特に注視する必要があります。

2. 刑事罰の在り方（1）中間整理の概要
個情法では、事業者の個人情報の不適切な取扱いに対して直接罰則が適用される規定（個情法 176 条、180 条、181 条及び 184 条）が設けられており、特に、個人情報データベース等不正提供等罪（同法 179 条）については、2020 年の個情法改正において、法人両罰規定（同法 184 条 1 項）の法定刑が引上げられました。
近年、内部的な不正行為に起因する悪質な事例が増加傾向にあり、不正アクセス
や個人情報の不正公開・取得の事例も多く報告されています。
このような状況において、中間整理では、個人情報の詐取といった不正取得行為を直罰規定の対象に含めるべきかという点を含め、処罰範囲及び法定刑の適切性について検討が進められています。

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

10データ・セキュリティ NEWSLETTER（2）中間整理の方向性についてのコメント
中間整理で指摘されているように、確かに、現行法では、個人情報データベース
等の盗用及び提供については罰則規定がありますが、不正取得についての罰則はありません。
現行の個情法 179 条は、2020 年改正時も自然人に対する法定刑（1 年以上の懲役・50 万円以下の罰金）は維持されていますので、その見直しが図られる可能性があり、また、主観要件について図利目的に限られており、加害目的がないため、不正競争防止法（平成 5 年法 47 号）に基づく営業秘密侵害罪と同様に、図利加害目
的に拡大すべきかどうか等の検討が行われる可能性があります。加えて、板倉ヒア
リングにおいて、「個人情報データベース等提供等罪（179 条）の客体が「個人情報データベース等」であること」から、「被害者に「個人情報データベース等」の立証を厳密に求めることで、ほとんど使えなくなっている」と指摘されていることを踏まえ、客体を「個人データ」にすることも検討に値するようには思われます。
不正取得行為については、特定の情報の不正取得行為について罰則規定を措置している例は多く見られます。例えば、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法 27 号。以下「マイナンバー法」といいます。）においては、「人を欺き、人に暴行を加え、若しくは人を脅迫する行為により、又は財物の窃取、施設への侵入、不正アクセス行為…その他の個人番号を保有する者の管理を害する行為により、個人番号を取得した者」に対する罰則があり（マイナンバー法 51 条）、不正競争防止法においても、同様の行為により営業秘密を取得した者に対する罰則があります（不正競争防止法 21 条 1 項 1 号）
。これらの規定を参考に個情法においても不正取得に対する罰則規定を検討する可能性があると考えられます。

3. 漏えい等報告、本人通知の在り方（1）中間整理の概要
事業者は、一定の条件を満たす個人データの漏えい、滅失、毀損（以下「漏えい等」といいます。）事案又はそのおそれ（報告対象事態）が発生した場合、所定の事項を個情委又は権限委任官庁へ報告し、本人に通知する義務を負います（個情法26 条 1 項及び 2 項）。
報告は、報告対象事態を知った日から 3〜5 日以内を目安にその時点でわかっていることを提出する「速報」と、原則として 30 日以内に提出する「確報」に分類されます。
報告対象事態や報告・通知事項については規則で定められていますが、多くの事案で漏えい等した個人データに係る本人の数は 1,000 人以下であり、特に 1 人の事案が全体の 84％と小規模な事案が大半を占めています。具体的には、病院や薬局における要配慮個人情報を含む書類の誤交付・紛失やクレジットカードの誤交付など

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

11データ・セキュリティ NEWSLETTERが多いとされています。これらは個情法施行規則 7 条 1 号又は 2 号に該当し、人数に関係なく報告等を要する類型です。
このような状況を踏まえ、個情委が事態を早急に把握し、必要な措置を講じられるようにするという制度趣旨に反しない範囲で、個人の権利利益の侵害が発生するリスク等に応じて、個人データの漏えい等に関する報告や本人に対する通知の範囲
及び内容を合理化することを検討すべきとされています。
具体的には、認定個人情報保護団体等の確認を受けることを前提として、一定の範囲で速報を免除すること、また、確報についても、1 人分の漏えい等事案については一定期間ごとの取りまとめ報告を許容することも考えられるとしています。

（2）実務上の諸課題と中間整理の方向性についてのコメント
漏えい等報告義務及び本人通知義務は、2020 年の個情法改正により義務化され、2022 年 4 月から施行されましたが、事務負担が大きい等、関係団体からも多く意見が出ており、実務的には強く注目されている論点と考えられます。一方で、実務的であるがゆえに有識者ヒアリングではほとんどの有識者が取り上げておらず、板倉ヒアリングのみ、実務的な問題点等について積極的に言及している状況です（その他の有識者については、個情委に提出した資料ではほぼ触れていませんが、議事録を見る限り、主に個情委の清水委員から各有識者に対して、（資料では触れられていないがと前置きをした上で）漏えい等対応に関する質問を行い、各有識者がそれに回答しています。）。
以下では、現行法における課題や中間整理の方向性で当該課題が解決されるかどうかという点について、中間整理の記述や有識者ヒアリング（主に板倉ヒアリング）を踏まえながら紹介します2。

漏えい等の「おそれ」（個情法施行規則 7 条）

ア

現状、個情法 26 条の義務は、確定的な漏えいのみならず、その「おそれ」（個情法施行規則 7 条各号）も対象となっています。
「おそれ」とは、「その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合」（個情法ガイドライン（通則編）3-5-3-1（4）※2）とされており、サイバー攻撃事案において「おそれ」があるとされる事例が同ガイドラインでいくつか例示されていますが、例えばランサムウェア攻撃を受けたときなどは、実務上、データが漏えいした「おそれ」があると評価できるほどの蓋然性の有無を判断することが難しく、板倉ヒアリングにおいても、「コストを掛けて調査すればするほど「おそれ」の範囲が拡大して（対象の本人の人数が増えて）、本人通知のコストが上がるというのはインセンティブ構造としておかしい」と指摘されています。中間整理に

その他実務上の課題について、湯淺墾道＝佐々木勇人＝蔦大輔＝寺門峻佑＝山岡裕明「〔座談会〕個
人情報保護法からみたサイバーセキュリティ」（有斐閣・ジュリスト 2024 年 7 月号（No.1599）
・14 頁）や、北山昇＝蔦大輔「クロスセクター・サイバーセキュリティ法 第 2 回 サイバーセキュリティ×個人情報保護法－個人データ漏えい等対応における諸論点」（商事法務 NBL No.1256・68 頁）も参照。
2

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

12データ・セキュリティ NEWSLETTER
おいても、「おそれ」については、関係団体の指摘を踏まえ、「事業者の協力も得な
がら、実態を明らかにした上で検討を行い、必要となる要件の明確化を行うことが必要」とされており、今後のさらなる明確化が期待されます。
例えば、電気通信事業法（昭和 59 年法 86 号）においては、2022 年の改正（2023
年 6 月施行）によって、いわゆる重大事故発生時の総務大臣への報告について、事故が生ずる「おそれ」がある場合も報告対象となり得る旨の改正が行われましたが（電気通信事業法 28 条 3 項）
、具体的にどのようなケースがその「おそれ」に該当するかは、電気通信事業法施行規則 58 条の 2 において限定列挙されていますので、こちらを参考とすることもあり得るように思われます。

いわゆる「漏えい元基準」の妥当性（個情法 Q&A6-10）

イ

漏えい等した情報が個人データに該当するかどうかは、当該個人データを漏えい等した個人情報取扱事業者を基準に判断することとされており、「漏えい元基準」ともいわれます 3。この考え方に基づくと、例えば、ランダム文字列の社内整理用のユーザーID のみが流出した場合であっても、漏えい元の事業者にとっては当該ユーザーID と元となるユーザーのデータベースを照らし合わせれば特定個人を識別できてしまうため、「個人データ」の漏えいとして対応が必要となります。このような、個人の権利利益を害するおそれが大きいとはいえない事態についても一律に個情委への報告や本人通知を義務づける必要があるのかという点は疑問もあるところです。
そもそもこの漏えい元基準は、個情法の 2020 年改正により初めて採用された考え方となっています。2020 年改正以前、個情委は、「個人データの漏えい等の事案が発生した場合等の対応について」（平成 29 年個情委告示第 1 号）を策定していましたが、当局への報告及び本人通知は努力義務として位置づけられていました。こ
の告示では、当局への報告を要しない場合として、「実質的に個人データ…が外部に漏えいしていないと判断される場合」が挙げられており、その具体例として、「漏えい等事案に係る個人データ…によって特定の個人を識別することが漏えい等事案を生じた事業者以外ではできない場合（但し、漏えい等事案に係る個人データ…のみで、本人に被害が生じるおそれのある情報が漏えい等した場合を除く。）」がありました。つまり、漏えい元基準は採用されておらず、漏えいしたデータを漏えい元の事業者以外から見て特定個人を識別できなければ、基本的に本人に被害が生じることはないため、当該被害が生じるおそれがあるという特段の事情がない限り対応は不要と解されていました。
2020 年の法改正に基づく個情法 26 条の新設とともにこの告示が廃止され、漏えい元基準への“パラダイムシフト”が起こりましたが、現状、この漏えい元基準については、対応を要さない例外は何ら措置されていません。したがって、漏えい元基岡田淳＝田中浩之＝蔦大輔＝北山昇＝嶋村直登＝小川智史＝佐々木勇人「特集：改正個人情報保護法
施行後セミナー」CHAPTER01.漏えい等対応（2022 年 6 月 15 日公開）4「『漏えい元基準』が与える実務上の影響」も参照
3

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

13データ・セキュリティ NEWSLETTER
準に基づき形式的には個人データに該当するに過ぎない事案においても、報告対象事態に該当すれば対応を要する状況となっています。
関連するものとして、個情法の 2020 年改正で導入された仮名加工情報（個情法2 条 5 項）制度があります。仮名加工情報とは、他の情報と照合しない限り特定の個人を識別できないように個人情報を加工したものであり、つまり、加工を行った事業者以外の第三者からすれば基本的に個人情報に該当しません。それゆえに、仮名加工情報については、仮に漏えい等したとしても、本人の権利利益に与える影響が低いため、個情法 26 条に基づく漏えい等対応の適用が除外されています（個情法 41 条 9 項）。但し、仮名加工情報を作成するための要件として、仮名加工情報として扱う意図が必要と解されているため、漏えい等したデータがたまたま仮名加工
情報の加工基準を満たしていたとしても、それを法的に仮名加工情報の漏えいと扱うことはできません。例えば、個人データの安全管理のために、生データではなく、
上記のような社内整理用のユーザーID のみを抜粋したデータベースを保存している
場合、それは、客観的には仮名加工情報の加工基準を満たしていますが、仮名加工情報として扱う意図がありませんので、法的には仮名加工情報と評価されず、それが漏えいした場合に個情法 41 条 9 項により同法 26 条の義務を除外することはできません。客観的に見れば、同じデータであり、個人の権利利益に与える影響は同じであるのに、仮名加工情報への加工の意図があるかどうかによって義務の有無が変わるという現行法の建て付けには疑問なしとはしません。
以上の点は、個人データ漏えい等発生時の「個人データ」該当性の問題であり、法令の条文レベルの問題というより解釈の問題であるためか、中間整理では特段の言及はありませんが、実務上の影響が非常に大きい解釈です。いわゆる 3 年ごと見直しにおける個情委での議論及び有識者ヒアリングの中で、現状漏えい元基準に言及しているものは、唯一板倉ヒアリングのみであり、その他の有識者がこの論点に全く触れていないことはもちろん、個情委の議事録にも、この論点は現状全く出てきていません。今後の検討を期待したいところです。

ウ

当局報告義務と本人通知義務の峻別
現行の個情法 26 条では、個人データの漏えい等が発生した際の対応として、当局への報告義務、本人通知義務がセットになっています。個情法施行規則 10 条では、「本人の権利利益を保護するために必要な範囲において」通知が必要とされていますが、本人の権利利益を保護する必要がないような軽微事案であっても、通知自体が不要とは解されていません。つまり、本人通知の省略は現状できないと解されています。
これは、特に上記の「漏えい元基準」と合わさった際に、実務上不合理な対応を強いられることとなります。例えば、サイバー攻撃によって 300 万人分の社内整理用のユーザーID のみが漏えいしたおそれがあるという事案を考えると、漏えい元基準により「個人データ」の漏えいと評価され、さらに、個情法施行規則 7 条 3 号に当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

14データ・セキュリティ NEWSLETTER
該当しますので、当局報告及び本人通知の双方が必要となります。本人通知を省略することはできませんので、事業者は、300 万人に対して本人通知を実施しなければなりません。これは実務上の負担が極めて大きく、かつ、実行の意味が乏しいように思われ、板倉ヒアリングにおいても、「単体では意味すらないような部分が漏
えい等しても、本人通知まで行わなければならないというのは不合理である。漏えい報告の場面は事前判断ではないので、リスクに応じた対応で十分である」と指摘されています。また、個人情報保護委員会（第 287 回）議事録では、個情委の清水委員からの漏えい等報告に関する質問に対し、宍戸常寿教授が、「漏えい時の御報告自体は、もちろん委員会にしていただくのが出発点だと思いますけれども、本人通知が必要な場合はもう少し限定してもよろしいのではないか、リスクベースで考
えてよろしいのではないかと思います」と回答しています4。
中間整理でも引用されていますが、GDPR では、当局への報告と本人通知は条文と要件が明確に分かれています（GDPR33 条及び 34 条）。具体的には、本人の権利及び自由に対するリスクを発生させるおそれがない場合は監督機関への報告は不要であり、本人通知が必要なのは、本人の権利及び自由に高いリスクをもたらす可能性が高い場合に限られています。つまり、本人の権利及び自由へのリスクによって、①当局報告・本人通知不要、②当局報告は要するが本人通知不要、③当局報告・本人通知必要というリスクベースの考え方が採用されています。
例えば上記のようなユーザーID のみが漏えいしたケースであれば、GDPR に則して考えると、本人の権利・自由に対するリスクがなく当局報告・本人通知双方不要となり得ますし、高いリスクをもたらす可能性はまずないため、少なくとも本人通知は不要と考えられます。一方で日本法では、形式的・法的に「個人データ」に該当し、報告対象事態に該当すれば、報告も通知も義務となり、かつ省略もできないため、その意味では、局面によっては GDPR よりも非常に重い義務になってしまっているのが現状です。
中間整理では、上記のとおり、個人の権利利益侵害が発生するリスク等に応じた
個人データの漏えい等に関する報告や本人に対する通知の範囲及び内容の合理化が検討対象となっていますが、具体的な措置の方向性について、本人通知義務の見直
しには全く言及されていません。しかし、本人通知義務は、実務上の負担が重く、本人の権利利益の保護の観点から不要と考えられるようなケースにおいてこの義務を課すことが妥当なのかどうかは疑問もあるところですので、改めての詳細な検討を期待したいところです。

エ

中間整理の方向性で事業者の事務負担の軽減になるのか
現行法では、個人データの漏えい等への対応としての当局報告及び本人通知義務の事務負担が大きいといわれていますが、中間整理では、その対応として、認定個

4
宍戸教授との議論を踏まえた同趣旨の指摘として、岡田淳＝北山昇＝小川智史＝松本亮孝著、宍戸常寿監修「個人情報保護法』（商事法務、2024）846 頁〔研究者と実務家の対話〕参照。

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

15データ・セキュリティ NEWSLETTER
人情報保護団体（以下「認定団体」といいます。）などの第三者の確認を受けることを前提とした速報の免除と軽微事案における確報の一定期間ごとの取りまとめ報
告が方向性として挙げられています。
こちらは、個情委側の事務負担（漏えい等報告の受理・内容検討）は確実に軽減されますが、事業者側の事務負担の軽減になるかどうかについては、疑問も多いところです。例えば、事業者にとって大きな事務負担となる本人通知について何ら言及がない点は上記ウのとおりです。また、速報については、その時点でわかっていることを報告するのみであるため実務上の負担は相対的にみれば過大とまではいえません。
さらに、中間整理で懸念されるのは、速報免除を受けるための要件として、認定
個人情報保護団体の確認を受ける必要があるという点です。具体的にどういった確認を受ける必要があるのかは現時点では不明ですが、個人情報保護委員会（第 284回）議事録において清水委員が「例えば本人の数が 1 人の場合、あるいは認定個人情報保護団体の認定団体（筆者注：これは認定団体の「対象事業者」という趣旨と思われる）である場合は緩和することも考えられる」と発言していることからすれ
ば、認定団体の対象事業者であることを念頭に置いている可能性があり、仮にそうであるとすれば、確認を受けるためのコストと、速報免除によるコスト軽減が釣り合うものかどうかは慎重な検討を要すると考えられます。
例えば、認定団体としては、一般財団法人日本情報経済社会推進協会（JIPDEC）
が有名ですが、当該団体の対象事業者の多くが、JIPDEC が運営するプライバシー
マーク（以下「P マーク」といいます。）制度で認証を受けた P マーク付与事業者
です。JIPDEC の対象事業者かつ P マーク付与事業者は、個情法を遵守する必要があることはもちろん、認定団体としての JIPDEC の対象事業者として、JIPDEC 個
人情報保護指針を遵守する必要があります（JIPDEC の対象事業者となることを承認した場合に限りますが、承認していない事業者は少ないと考えられます。）し、P
マーク付与事業者として、P マーク付与に関する規約を遵守する必要があります。
仮に個情法上の速報免除を受けるために認定団体の対象事業者になる必要があるとすれば、結局のところ、個情法上の速報が免除されるとしても、別の制度として、認定団体の指針や P マーク付与に関する規約に基づき、関係者に対する速報が必要となり、何らの事務負担の軽減にならないことが懸念されます。認定団体を活用しつつ事業者の事務負担軽減を企図するのであれば、対象事業者となる必要がなく、別途のルールを守ることがないなど、認定団体の確認を受けるためのコスト及び受けた後のコストが低減されるような仕組みを作るか、あるいは、認定団体の指針等の関連する規程も平仄を合わせて速報を免除することが不可欠と考えられます。

オ

安全管理措置と課徴金
上記Ⅲ.1.のとおり、課徴金については、導入の是非も論点の一つですが、仮に導入するとして、どういった類型の行為を課徴金の対象とするかは次の論点になると当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

16データ・セキュリティ NEWSLETTER
考えられます。
例えば、個人情報を違法に利活用して不当な利益を得ている場合は、その利益の吐き出しを目的として課徴金を課すことはあり得ると思われますが、一方で、過失により個人データの漏えい等が発生してしまった場合に課徴金を課すというのは、
当該漏えい自体との関係において吐き出すべき利益を認定できるのか疑問があります。板倉ヒアリングにおいても、課徴金の導入には賛成しつつも「違法な取扱いによる利益の吐き出しが主たる目的であり、過失による漏えい等では基本的には利益は存在しないので、対象とはいえない」と指摘されています。但し、「安全管理措
置を全く行わないことによって価格優位を実現して利益を得ていたというような極限的な場合が考えられないではない」とも指摘されており、中間整理では、「個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払を免れた場合等」
が検討対象となっています。
ここにいう「悪質」とは何かは不明ですが、セキュリティインシデントをゼロにすることは不可能ですので、インシデント予防のための対策を取っていたにもかかわらず漏えいが発生してしまった場合に、結果責任的に課徴金を課すことは避けるべきと考えられます。

カ

提供と漏えいの分水嶺
現行法では、特に法人による行為について、「第三者提供」にあたるのか、「漏えい」にあたるのかはっきりしないケースが実務上多く見られます。個情委は、現状、「提供の意図」があるかどうかを分水嶺としていますが、それ以上の具体的な解釈は特に示していません。現行法上、「第三者提供」にあたる場合、同意を取得せずに提供することは原則として違法ではありますが、漏えい等の対応は必要ありません。一方で、「漏えい」にあたるのであれば、個情法 26 条等に基づく対応が必要となり、実務上の対応が大きく変わります。
中間整理では、「事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は存在しないが、個人データが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する必要がある」とされています。
意図した違法な第三者提供を実施する悪質な事業者が自ら当局に報告するとはあ
まり思われず、結局のところ、コンプライアンス意識をしっかりと持っている事業者の負担が増えるだけではないかという懸念もありますが、少なくとも、「第三者提供」なのか「漏えい」なのか明確ではない事案の解決が図られる可能性はあるように思われます。

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

17データ・セキュリティ NEWSLETTER
Ⅳ. データ利活用に向けた取組に対する支援等の在り方
データ利活用に向けた取組に対する支援等の在り方として、中間整理では以下の 2
項目が整理されています。

1.

本人同意を要しないデータ利活用等の在り方（1）中間整理の概要
個情法は個人の権利利益の保護及びデータの有用性のバランスを考慮しつつ、原則として以下の場合には本人からの同意取得が求められます。但し、他の権利利益の保護を優先すべき場合や本人の利益のために必要な場合等には例外的に同意取得が不要となるケースがあります。
- 特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合（個情法 18 条）- 要配慮個人情報を取得する場合（同法 20 条）- 個人データを第三者提供する場合（同法 27 条）
他方で、デジタル技術の急速な進展により、特に健康・医療分野や生成 AI 等の新技術に関連する分野において、個人情報を利活用するニーズが高まっています。
これを受け、中間整理では、社会基盤となる技術やサービスに対して、本人の同意取得に関する例外規定を設ける可能性について検討されており、公益性の評価及び個人の権利保護のバランスが重視されています。また、医療研究分野での個人情報利用に関して、公衆衛生に関する例外規定の適用についてガイドライン等での明確化も検討対象とされています。

（2）中間整理の方向性についてのコメント
これらについては、個情法で例外としての明文を作る方法と個情法以外の法令で手当を行い、個情法上は「法令…に基づく場合」（個情法 18 条 3 項 1 号、20 条 2
項 1 号、27 条 1 項 1 号）で同意不要とする方法があり得ます。後者の方法によると、個情法改正の枠組みにのせる必要はないことになります（例えば、AI に関する特別法や、医療分野に関する特別法を制定すること等の対応になります。）。いずれにしても、実務上の必要性と本人の権利の保護の観点からの許容性を考慮して例外を設計する必要があることには変わりはありません。
例えば、生成 AI に関しては、2023 年 6 月 2 日の個情委の「OpenAI に対する注
意喚起の概要」においては、機械学習のために情報を収集することに関して、要配慮個人情報取得規制の存在を前提としつつ、現実的な対応に配慮しながら注意喚起を行わざるを得ない状況となっており、この点を明文で解決できればすっきりすることになります。しかし、たとえば、本人による機械学習のオプトアウトを必須と当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

18データ・セキュリティ NEWSLETTERする等例外を使えるための要件が厳格となってしまえば、かえって事業者側としては対応が難しくなる可能性もあり、要件については慎重な検討が必要であると考えられます。
なお、GDPR においては、そもそも、個人データの処理全般に法的根拠が要求されており（GDPR6 条）、日本法と異なる状況にありますが、本項目は、日本法をGDPR のように全ての個人データの処理に法的根拠が必要な法制度に転換することは想定していないと思われます。

2. 民間における自主的な取組の促進
中間整理では、Privacy Impact Assessment や個人データ取扱責任者の設置に関する検討も行われています。これらは、現行の個情法において義務として定められていませんが、データガバナンス体制を構築する際の主要な要素として、自主的な取組を促進する方策が検討されています。

3. その他
上記の各項目のほかには、プロファイリング、プライバシー強化技術、金融機関の海外送金時における送金者への情報提供義務の在り方、ゲノムデータ等に関する規制の在り方についても議論が進められています。

Ⅴ. 今後の動向
上記のとおり、中間整理についてはパブリックコメントを募集しており、それも踏まえて法制化作業が行われることになります。
中間整理は、大きな方向性のみならず、具体的な条文に則した措置の内容、その理
由づけについても踏み込んで記載されていますが、当該措置の内容や理由づけについて、内閣法制局の審査を通過できるかどうかを含め、中間整理は確定した内容ではなく、あくまで個情委による中間的な検討結果であるという前提で理解する必要があると考えられます。
したがって、中間整理のとおりの内容で法案が出されるか否かは現時点ではまだ不透明な状況であり、今後の動向をさらに注視する必要があると考えられます。

当事務所は、本書において法的アドバイスを提供するものではありません。具体的案件については個別の状況に応じて弁護士にご相談頂きますようお願い申し上げます。

© Mori Hamada & Matsumoto. All rights reserved.

19