J I L I Sレポート（2023.12.31）

レポート

ディスカッションペーパー
Date: 2023.12.31
https://jilis.org/report/2023/jilisreport-vol5no11.pdf

Controllerをめぐる日本の議論のねじれと個人情報の処理に関する責任主体の国際比較
株式会社博報堂 DY ホールディングス
マーケティング・テクノロジー・センター 上席研究員
現中央大学 国際情報研究科 修士課程
一般財団法人情報法制研究所 研究員

猪谷 誠一
する条約 ( 以下「108 号条約」という。) の “controller

はじめにof the file” に遡ることができる。その定義は「自然人又は法人、公的機関、部局又はその他の組織であって、規制の対象となる者を正しく定義することは、法

その国の法に従い、自動化されたデータファイルのにおいて非常に重要な作業である。日本の個人情報保護法はその主な規制対象を「個人情報取扱事業者」

目的、保管される個人データのカテゴリ、それらにタベース等を事業の用に供している者をいう。( 第 16

す る。( 第 2 条 (d))」 で あ り、 実 質 的 に DPD や GDPR適用される処理の内容を定める資格を持つ者を意味とし、「『個人情報取扱事業者』とは、個人情報デー
条 2 項 )」と定義している。ここでいう「事業」とは「一と同一となっている。つまり、EU では 1980 年以来、為であって、かつ社会通念上事業と認められるもの

ルデータ処理の目的や手段を定める者であり続けてデータ保護法制の主な責任主体は一貫してパーソナ定の目的をもって反復継続して遂行される同種の行をいい、営利・非営利の別は問わない。
」 と解説されいる。

う事業に利用する目的で個人情報データベース等をを負わせる責任主体を画するために着目する機能がぶりは 2003 年法以来変わっておらず、日本法は一貫

延は、大部分は一致するとはいえ、完全に一致する

1）

日本の個人情報保護法と EU のデータ保護法は義務ており、「事業の用に供している」とは「ある者が行異なっている。定義が異なるのであるから、その外役立たせることをいう。
」2）と解されている。この規定

して個人情報データベース等を実際の事業に利用しとは限らない。このような差異はなぜ生まれたのでの EU 一般データ保護規則 (General Data Protection

この問いを起点に、本稿は次のように構成されてあろうか。

ていることに着目して規制対象を画してきた。一方

Regulation; GDPR) の規制対象は controller であり、いる。第 1 節では、controller という語が、既存の法であって、単独で又は他の者と共同で、個人データたものであることを 1980 年頃の議論から示す。第 2( 第 4 条 7 号 )」と定義している 。GDPR のこの規定はつわる議論を振り返る。最初期に controller の概念を

2 条 (d) の controller の定義「単独で又は他と共同して、用や「わかりやすさ」を求めた結果、外形的に観察

3）

令にない概念を表すものとして新たに「発明」され「自然人又は法人、公的機関、部局又はその他の組織

節では、1980 年以降の日本の個人情報保護制度にまの取扱いの目的及び方法を決定する者を意味する。[...]
4）

正しく輸入したにもかかわらず、用語の混乱した利EU データ保護指令 (Data Protection Directive; DPD) 第

可能な「取扱い」に着目する道を日本が進んだこと

個人データの取扱いの目的及び手段を決定する自然が示される。第 3 節では、諸外国のデータ保護法にお

人、
法人、
公的機関、
機関又はその他の団体をいう。[...]」

ける規制対象の定義を概覧し、controller の概念を継と実質的に同一である。DPD の controller 定義は欧州承した国と同程度に日本同様に実際の取扱いに着目

評議会個人データの自動処理に係る個人の保護に関

1） 個人情報保護委員会 「個人情報の保護に関する法律についてのガイドライン,（通則編）」(2016) p.18.
2） 個人情報保護法制研究会 , 園部 逸夫 , 藤原 靜雄編「個人情報保護法の解説《第三次改訂版》」ぎょうせい (2022) p.87.
3） 通常、controller は「管理者」と訳されるが、本稿では混乱を避けるため、「パーソナルデータの処理の目的や手段を決定する者」を原語のまま controller と記
し、「管理者」の語は他の意味（データベースの管理・運用・ガバナンスなどを行う者等）を指すものとして書き分けている。
4） 個人情報保護委員会 , 一般データ保護規則 (GDPR) 条文仮訳

1

J I L I Sレポート（2023.12.31）【ディスカッションペーパー】 Controller をめぐる日本の議論のねじれと個人情報の処理に関する責任主体の国際比較

して規制対象を画する国もあることを示す。

メンバーの論文で明らかにされている 8）。当時既にスウェーデン、西ドイツ、フランスといった欧州の

1. Controllerという「新語」に込められた意図

国々はデータ保護法を制定していた。108 号条約策

日本法は経済協力開発機構 (OECD) が 1980 年にタ 保 護 法 の 規 制 対 象 を “data controller” で は な くについてのガイドラインに関する理事会勧告」（以や OECD ガイドラインはなぜ data controller という定メンバーの一人であった Hondius はそれらデー“data user” と呼んでいる 9）。それでは、108 号条約

定めた「プライバシー保護と個人データの国際交流

下「OECD ガイドライン」という。）の影響下にあ用語を導入したのであろうか。Hondius はその意図ることが知られており、制定に関わった者もその旨について、以下のように述べている。

を繰り返し表明している 5）。しかしながら OECD ガイ

今日では、別の場所に保管された複数のデータ

ドラインはその対象を data controller としており、を集めて瞬時に統合することが、データネット

個人情報取扱事業者に該当する概念は存在しない。

ワークを通して可能になっている。各国のデーOECD ガイドライン付属文書第 1 部第 1 条 a によれ

タ保護法はその進化に対応して策定された。スば、data controller とは「国内法によって個人デー

ウェーデンの 1973 年データ法はそれを「ファイタの内容及び利用に関して決定権限を有する者を意

ル管理責任者」と、その 5 年後に定められたフ味し、当該管理者又はその代理人が、当該データ

ランス法では処理を「自動化された取扱い」とを収集、保有、処理若しくは提供するか否かは問わない。」6）で、実質的に 108 号条約とそれに続く DPDしている。欧州評議会はどの法にもない新たなる。

としていた。それが “data file” である。同様の解ンバーが策定に関わり、文書の交換やスケジュー義するために選ばれたのが “controller of the file”

用語を、全ての法を確実に包括するために必要

及び GDPR と同一の定義がなされていることがわか決策として、データの保管の原因となる者を定108 号 条 約と OECD ガイドラインは、共通のメである。10）ル の 調 整 な ど、 緊 密 な 連 携 の 下 に 作 ら れ た こ とが、OECD ガイドライン解説メモランダム

7）

や策定

図 1 個人情報の取扱い (a) と control (b) の概念

(a)

(b)

controller
control

収集

保管

提供

分析

収集

提供
取扱

保管

分析
取扱

5） 行政管理庁行政管理局 ( 編 ),「プライバシー保護の現状と将来 - 個人データの処理に伴うプライバシー保護対策」ぎょうせい (1982); 北沢 義博 他 ,「個人情報保護基本法制大綱をめぐって」(2000) ジュリスト vol. 1190 p. 2; 通商産業省機械情報産業局情報処理システム開発課 ,「通商産業省の個人情報保護施策」(1998)
JIPDEC ジャーナル vol. 97 p.1.
6） 堀部 政男 , 新保 史生 , 野村 至 ,「プライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告 ( 仮訳 )」(2014). https://www.jipdec.
or.jp/library/archives/oecd̲guideline.html (Accessed: 2023-11-03)
7） 総務庁行政管理局行政情報システム参事官室 , 行政情報システム研究所 ( 編 )「世界の個人情報保護法 - データ・プライバシー保護をめぐる諸外国の動向」ぎょうせい (1988) p.308.
8） Michael D Kirby, “Transborder Data Flows and the “Basic Rules” of Data Privacy” (1980) Stanford J Int Law vol. 16, p.27; Frits W Hondius, “A Decade ofInternational Data Protection” (1983) Neth Int Law Rev vol. 30, p.115
9） Frits W Hondius, “Data Law in Europe” (1980) Stanford J Int Law vol. 16, p.87.
10）Hondius, 前掲 8）.

2

J I L I Sレポート（2023.12.31）

既存のデータ保護法を抽象化する過程で、処理のについては、

目的や手段の決定に着目することが必要とされたのである。つまり、個人情報の取扱いと control には抽

一般的にはできるだけ私的自治等に委ねること

象度に差があると言ってよい。前者があくまで収集、が適当であり、すべての業種・システムを規制

保管、分析、提供といった具体的な行動をまとめた
概念である

11）

するのではなく、個人データが広く利用され流通する可能性が高く、プライバシー侵害のおそのに対し、後者はそれら取扱いを統括れの大きい特定の業種・システムを指定して規する controller から下される、つまり「『一段上』の制することが必要である。15）

階層からの指示」を指す概念である ( 図 1)。

すると、日本は controller に込められた意図を取り入れることなく、寧ろ OECD ガイドラインで「収集、と規制の方向性は述べたものの、個人情報利用の形

否定的に強調されている「取扱い」に着目する道を当面先送りにすることを示唆していた 16）。結果的に保有、処理若しくは提供するか否かは問わない」と態の多様性や経済活動の自由との調整が必要として、選んだことになる。次節では、当時の関係者の解説

1988 年以降も民間部門の個人情報保護は非拘束的なたのかを見ていく。

となった。この時定められたガイドラインとしては

2. 日本は如何にして個人情報取扱
事業者を採用するようになったかに関するガイドライン」(1991 年 ) や、
通商産業省（以や発言などを手がかりに、なぜそのような選択に至っ

ガイドラインや業界団体の自主規制に任されること
郵政省による「電気通信事業における個人情報保護下「通産省」という。
）による「民間部門における電子計算機処理に係る個人情報の保護に関するガイド

1) 日本の個人情報保護制度の発展ライン」(1997 年 ) が、自主規制は信用情報機関によるものが著名である。

日本の個人情報保護制度は、行政情報の電算化に

この通 産 省ガ イドラインを下 敷きに 2003 年に対する社会の懸念を背景として、1970 年代後半に地民間部門を規制対象とする「個人情報の保護に関方公共団体が個人情報保護条例を定めていったことする法律」（以下「2003 年法」という。
）が成立すを嚆矢とする 12）。これらの条例は自治体自身を対象とするもので、目的外利用やオンライン結合を禁じるる。2014 年には公的機関における個人番号の処理

1980 年 に OECD ガ イ ド ラ イ ン が 発 表 さ れ た 翌れた。2015 年の個人情報保護法改正（以下「2015を監督する特定個人情報保護委員会が新たに組織さものであった。

年法」という。
）によって特定個人情報保護委員会

年、行政管理庁は有識者を招集して地方公共団体の条例の現状、OECD ガイドラインの内容の検討、は個人情報保護委員会 (PPC) に改組され、それまでバシー保護研究会」を組織した。その報告書（以こととなった。これによって日本の個人情報保護制

行政機関による個人情報の利用に係る立法を提言

議 International Conference of Data Protection and

主務大臣制だった民間部門の監督を PPC が巻き取る

その日本への導入の要否などを議論する「プライ度は一定の完成を見て、データ保護に関する国際会

降「プライバシー保護研究会報告書」とする。）は、した

Privacy Comissioners の正式メンバーとなることがで。この報告に従って 1988 年度国会にて「3313）

時間を超える活発な議論 14）」を経て制定されたのがき、2019 年には EU からの十分性認定を得るに至っ報の保護に関する法律」（以下「1988 年法」といまた、2015 年法が定めた 3 年ごと見直し規定にた。

「行政機関の保有する電子計算機処理に係る個人情

よって、制度の機動的な見直しが可能となった。3う。）である。

年ごと見直しにおいて脚光を浴びたのがリクナビ事

さて、プライバシー保護研究会報告書は民間部門

11) 行政文書ファイル管理簿に文書名「個人情報保護法令等策定関係（平成 12 年度）」で登録されている文書（一般財団法人情報法制研究所が開示請求を行って取得したもの。
）中の「「個人情報の取扱い」等の概念整理について」と題された文書にもこの整理を見ることができる。
12）堀部 政男 「日本と世界のプライバシー・個人情報保護論議」,(2003) 衆議院憲法調査会人権小委員会 (2003 年 5 月 15 日 ).
13）行政管理庁行政管理局 前掲 5）14）宇賀 克也 「新・個人情報保護法の逐条解説」,(2021) 有斐閣 p.8.
15）行政管理庁行政管理局 前掲 5）p.71.
16) 行政文書ファイル管理簿に文書名「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律案検討資料（専門委員会・協議会）」で登録されている文書（一般財団法人情報法制研究所が開示請求を行って取得したもの。
）中の「各省庁プライバシー保護対策連絡協議会議事要旨 57.7.21( 水 )」と題された文書に、当時の行政管理庁職員が他官庁へ報告書に関する報告を行った際のメモを見ることができる。そこには、当時の通産省は本報告書の拘束力について確認を行うと同時に、同省においても民間部門の個人情報の利用への規制を検討していることや、経済活動の自由とのバランスへの注意喚起が行われたことが記されている。

3

【ディスカッションペーパー】 Controller をめぐる日本の議論のねじれと個人情報の処理に関する責任主体の国際比較

J I L I Sレポート（2023.12.31）

件といわゆる「2000 個問題」であった。リクナビ

理者」の概念自体が不要だったのであろう。

2000 個問題は 2021 年改正によって解決することと公的部門に加えて民間部門も対象にする内容だった事件は個人関連情報に係る規定の新設をもたらし、

一方で、この国会で日本共産党が提出した法案はなったが、その詳細は本稿では割愛する。

ためか、OECD ガイドラインへの言及が見られる。しかしながら、議員の説明には不自然なところがある。

2)「管理者」概念の変容

第五は、個人情報を保有している行政機関や個この歴史において、controllerはどのように受容され人情報取扱業者等に対し、その記録の正確性の(なかっ ) たのであろうか。OECDガイドラインにない

確認、同意を得ずに収集されたものかどうかな

個人情報取扱事業者はなぜ生まれたのであろうか。

どを知るため、自分に関する情報の開示を請求することができることとし、記録が不正確であっプライバシー保護研究会報告書たり誤っている場合、訂正及び補正を請求する

日本の国レベルの個人情報保護法制の源流とも言ことができることとしました。20）

えるプライバシー保護研究会報告書は、OECD ガイド

ラインにあった 8 つの原則を 5 つの原則、すなわち、

ここで請求権として提案されているのは、OECD ガ(1) 収集制限原則、(2) 利用制限原則、(3) 個人参加原則、

イドライン第 7 原則 (d) に挙げられている内容である。

(4) 適正管理原則、(5) 責任明確化原則にまとめ直したであれば、その権利の請求先は controller、プライバ

ことが知られている。Controller が果たすべき義務に

シー保護研究会の言葉を使えば「データ管理者」でついて述べている OECD ガイドライン第 8 原則は、
(5)あるべきところ、「個人情報取扱業者」という用語が責任明確化原則、

使われ、その要件は「個人情報を保有している」とされているのである。日本共産党がこのような置き

プライバシー保護に関してデータ管理者（データ換えを行った経緯は定かではない。しかし、1980 年

処理について決定権限を有する者）等が負わなに日本社会党が提出した個人情報保護基本法案におければならない責任の内容を明確にする必要がいても、ある。この原則は、OECD 理事会勧告に示された『責任明確化の原則』に対応するものである。17）

第 7 条（目的の正当性）

個人情報処理者（個人情報を記録するために収へと書き換えられた。ここでは明らかに、OECD ガイ

集し、個人情報を記録し、又は記録された個人

ドラインが controller に込めた意味が正しく継承され情報を加工し、貯蔵し、使用し、若しくは提供ていることがわかる。しかし、プライバシー保護研する業務を行う者をいう。以下同じ。
）が個人情究会報告書が用いた「管理」という語が後の混乱を報を取り扱う場合においては、その目的は、正招くことになる 18）。

当なものでなければならない。21）「Controller=個人情報取扱業者」という誤りといった定義が見られる。また、プライバシー保護研究会報告書について他省庁へ説明を行った際の上述の 1988年度国会における「33時間を超える活メモに残されている

発な議論」の中で「OECD8原則との対応」も議論がなされた 19）。しかし、controller や第 5 原則について議論

通産省：特定業種 [ 規制を課す対象となる業種をされることはなかった。これは 1988年法が行政機関

指す ] 等の中に第三 [ 者 ] のために□□者は全てを対象にしていることによると考えられる。つまり、含まれると解するのか

わざわざ「管理者」という語を導入しなくても規制対企画官：具体的には法律に基づき業種を指定す

象は「行政機関」と直接名指すことができる上、「処ることになる。22）

理の目的」は法が定めるのであるから、そもそも「管（□は判読不能）17）行政管理庁行政管理局 前掲 5）p.51
18）以降、OECD ガイドラインの和訳をいくつかの文献、例えば前掲 7) などに見ることができる。それらはプライバシー保護研究会報告書の用語を引いてcontroller を「データ管理者」とした上で、個人情報処理の目的と手段を決定する者とその要件を正しく訳出している。しかしながら、この意味での「管理者」
は OECD ガイドラインの和訳の箇所のみに現れ、後述する日本独自の「管理者」との整合性を検討した記録は見つかっていない。
19）宇賀 克也 前掲 14）p.8.
20）吉川 春子 ( 日本共産党 ), 第 113 回国会参議院内閣委員会第 12 号 (1988 年 12 月 8 日 ).
21）行政管理庁行政管理局 前掲 5）p.147.
22）前掲 16)

4

J I L I Sレポート（2023.12.31）

業活動の実態に応じて適宜修正を加えた改正ガというやり取りからも、業種すなわち具体的に取イドライン第一案が完成した。[...] このような過り扱う個人情報の内容によって規制の対象を定める

程を経て ､ 平成九年一月に ｢ 民間部門におけることを想定していることが窺える。このように、具電子計算機処理に係る個人情報の保護に関する体的な制度を論じる際には、OECD ガイドラインのガイドライン ｣ として発表するに至った。27）( 強controller 定義にとらわれることなく、実際の取扱い

調は筆者による )に着目する考え方が、早い段階で関係者の間にあったことが示唆される。

と、DPD を下敷きに通産省ガイドラインが策定さ

郵政省ガイドラインと通産省ガイドラインの誤り

controller は「個人データの取扱いの目的及び手段をれたことを明かしている。先 述の通り、DPD での決定する自然人、法人、公的機関、機関又はその他

1988 年法制定後、郵政省や通産省は自らが監督する民間部門を対象にしたガイドラインを制定するの団体」であって、組織内の担当者ではあり得ない。

23）

確かに DPD の要素は通産省ガイドラインの管理者定が、ここでは「管理者」に全く異なる意味が与えら義の後半に「個人情報の収集、利用又は提供の目的れた。郵政省ガイドラインでは、及び手段を決定する」という形で引かれているもの

第7条の、そもそも「代表者により指名された者」という

電気通信事業者は、個人情報の取扱いに関する前段が矛盾する以上、DPD を正確に参照して第一案責任者（以下「個人情報管理者」という。
）を置き、が作られたかには疑問が残る。

個人情報管理者において本ガイドラインに従っ

斯様なねじれがあったにもかかわらず、当時の通た内部規定及び監査体制の整備等必要な個人情

産省は管理者を DPD にいう controller と同一になる

報保護措置を講ずるものとする。24）

ように定義したと明言した上、通産省ガイドラインの改正によって「OECD ガイドラインや EU 指令とも、

通産省ガイドラインでは

個人情報保護の内容において、ほぼ同水準となる」

第 2 条 (2)と断言している 28）。

管理者 企業等の内部において代表者により指名

樋口範雄は、された者であって、個人情報の収集、利用又は提供の目的及び手段等を決定する権限を有する[ 通産省ガイドラインにいう ] 管理者は EU ガイ者をいう。25）

ドライン [ 原文ママ ] の情報コントローラーと同様の機能・役割を果たすものとして構想されの よ う に、GDPR で 言 う デ ー タ 保 護 責 任 者 (Dataている。実際、通産省の公表した個人情報保護

Protection Officer; DPO)、すなわち組織内部にあっハンドブック自体が、この二つは同様のものとて組織のデータ利用を監督する者が「管理者」と呼して定義規定をおいたことを明記している。だ

ばれている 26）。これらガイドラインでは、プライバ

が、[...] 通産省ガイドラインにいう管理者は、[...]

シー保護研究会報告書にいう「データ管理者」が持EU 指令一八条二項に出てくる個人情報保護職員

つ意味は換骨奪胎された。にもかかわらず、通産省(personal data protection official) に対応するのガイドラインの策定に関わった担当官はではないか [...] 以上のように見てくると、通産省ガイドラインにいうところの管理者と EU 指令[...] 通商産業省およびプライバシー問題検討にいう controller( 情報コントローラー ) は全く

ワーキンググループにおいて ､ 現行の ｢ 民間部異なるものである。29）

門における個人情報保護のためのガイドライン｣ を改正する作業に入り ､ 平成八年四月には ､と指摘し、通産省ガイドラインが誤った認識を招く

EU 指令を基本にしつつ ､ わが国民間企業等の事

23）各省庁や業界団体がそれぞれの傘下の事業者向けにガイドラインを策定したことは、個人情報の保護を事業すなわち具体的な取扱いの在り方に着目して行う、
つまり規制と業種との結びつきを強める副作用を日本にもたらしたかもしれない。他方、ドイツ、フランス、スウェーデン、英国などはデータ保護法施行に合わせてデータ保護を監督する機関を設立しており、規制と業種との結びつきは、センシティブなデータの取扱いを除くと、弱いと考えられる。
24）郵政省 , 告示 570 号「電気通信事業における個人情報保護に関するガイドライン」(1998).
25）通商産業省 , “( 資料 ) 民間部門における電子計算機処理に係る個人情報の保護に関するガイドライン ” (1997) NBL vol.613, p.38.
26）高木 浩光 ,「高木浩光さんに訊く、個人データ保護の真髄 ̶̶いま解き明かされる半世紀の経緯と混乱」(2022) https://cafe.jilis.org/2022/03/18/160/(Accessed: 2023-11-03).
27）須藤 治 「通商産業省における個人情報保護施策の取組,●個人情報保護ガイドラインの改正」(1997) NBL vol. 613, p.36.
28）通商産業省機械情報産業局情報処理システム開発課 前掲 5）.
29）樋口 範雄 「個人情報に関する法的課題,( 上 ) -EU 指令と通産省ガイドラインとの比較の試み」(1998) ジュリスト vol. 1145, p.52.

5

【ディスカッションペーパー】 Controller をめぐる日本の議論のねじれと個人情報の処理に関する責任主体の国際比較ことを以下のように懸念している。

J I L I Sレポート（2023.12.31）

人情報取扱事業者 = 個人情報を保有する者」という誤った認識が定着していたことが窺える。例外がプ

通産省ガイドラインは、EU 指令を参酌しながら、ライバシー保護研究会にも参加し、後に初代個人情

明らかにそれに対応するものとして策定されて報保護委員会委員長となった堀部政男であった。堀いる。そのことは、EU 指令に実際に対応したも部は 2010 年の論文にてのであるかのごとき印象を与えるおそれがある。
すでに見たように、そこには大きな隔たりがあ

EU データ保護指令では、「管理者」(controller)

る。通産省ガイドラインは、まずそのことを自については、前述のように、「単独で又は他と共ら明確にし、どの部分が EU 指令に則したもの

同して、個人データの取扱いの目的及び手段をでないか、それはなぜか、その違いが、法的性決定する自然人、法人、公的機関、機関又はそ格を持たない民間部門へのガイドラインとしての他の団体をいう。[...]」となっている。これにれ以外の事情があるのかを明らかにすべきであ

取扱事業者」であり、その範囲は、
かなり狭い。36）の性格に由来するものであるのか、あるいはそ相当するのは、個人情報保護法では、
「個人情報

る。

30）

と正しく指摘をしている。一方で、なぜそのような選択に至ったのかの説明はなされていない。

樋口の指摘に対する通産省の回答は見つかっていない。

3.「わかりやすさ」を求めて誤りを引き継いだ 2002 年・2003 年法案

通産省ガイドラインを下敷きに 2003 年法の起草起草担当者がどういった経緯で controller ではなくが行われたためか、検討段階の文書からは、「個人情

個人情報取扱事業者を採用したのか、それを説明し報保護の実効を上げるためには、個人情報を保有すた資料は目下発見されていないものの、どういう点る。
」 ( 強調は筆者による )「個人情報取扱事業者 : 民

は、いくつかのメモや発言が残されている。2002 年

る事業者が基本原則を遵守していくことが必要であに留意して対象を定義しようとしていたかについて

31）

間事業者等のうち、個人情報データベース等を事業の法案策定に際しての内閣法制局との協議メモからは、用に供している一定の事業者」 ( 強調は筆者による )32）「個人情報取扱事業者」をどのような要件（基というように、規制対象が「個人情報を保有する」「個準）を用いて確定するかについては、本法に基人情報取扱事業者」へと変容したことがわかる 33）。まづく保護措置の円滑な実施の観点からは、事業

た、廃案になった 2002 年法案に規定された基本原者及び本人から見て「個人情報取扱事業者」に

則と OECD ガイドライン 8 原則との対応表 34）において該当しているか否かが判別しやすいものであるも、第 8 原則に対応する条文は法案第 3 条「個人情ことが望ましい。37）

報が個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、個人情報を取りと、法の専門家ではない一般人から見た「わかりや扱う者は、以下の基本原則にのっとり、個人情報のすさ」が重視されていたことが窺える。また、2002

適正な取扱いに努めなければならない。
」（強調は筆

年法案廃案後のシンポジウムにおいて担当官のひと者による）と図解されているし、2003 年度国会でもりだった江崎禎英は次のように述べている。

「OECD 原則では、自己の情報について、存在、開示、業規制の問題ですが、よくポジティブリストで、訂正、停止等を個人情報取扱事業者に請求すること

医療とか金融とか機微にわたる情報について規を明確に権利として明記しています」35）という野党質制したらよいじゃないか [...] という話がされま問がなされ、法案の起草担当者や議員の中に「OECDす。これも検討しなかったわけではありません。

ガイドラインでの処理に責任を負う者 =controller= 個30）樋口 範雄 「個人情報に関する法的課題,( 下 ) -EU 指令と通産省ガイドラインとの比較の試み」(1998) ジュリスト vol. 1146, p.108.
31）高度情報通信社会推進本部個人情報保護検討部会 「我が国における個人情報保護システムの在り方について（中間報告）,」(1999).
32）IT 戦略本部個人情報保護法制化専門委員会 「個人情報保護基本法制に関する大綱」,(2000).
33）通産省ガイドラインでは規制対象は「企業等」とされ、特に定義は置かれていない。
34) 行政文書ファイル管理簿に文書名「法令案審議録 個人情報の保護に関する法律案（廃案）」で登録されている文書（一般財団法人情報法制研究所が開示請求を行って取得したもの。
）中の「法案の論点解説」と題された文書より。
35）吉井英勝 ( 日本共産党 ), 第 154 回衆議院本会議第 28 号 (2002 年 4 月 25 日 ).
36）堀部 政男 「プライバシー・個人情報保護の国際的整合性」堀部,政男 ( 編 ),「プライバシー・個人情報保護の新課題」(2010) 商事法務 p.34.
37) 行政文書ファイル管理簿に文書名「法令案審議録 個人情報の保護に関する法律案（廃案）」で登録されている文書（一般財団法人情報法制研究所が開示請求を行って取得したもの。
）中の「個人情報取扱事業者の要件について（稲田参事官お手持ちメモ）」と題された文書より。

6

J I L I Sレポート（2023.12.31）

しかし [...] 同じ情報でも金融機関が出したら懲たはずの controller の概念を個人情報保護法に取り入役だけど、不動産屋なら無罪だということで良れなかった。これは他国には見られない「失敗」ないのか？結局、考えていくときりがない訳ですのであろうか。日本以外にも多くの国が OECD ガイド

ね。ですから、
業規制をしたかったのではなくて、ラインに影響を受けて自国のデータ保護法制を定め

結局、大量に取り扱う人は注意しろというふうており、そのうちいくつかは EU から十分性認定を受にしか法律は書けなかったということなんです。

けている。また、近年では GDPR に強い影響を受けた[...] 結局、
皆が「あなたはちゃんとしててほしかっと思しきデータ保護法を定める国も現れている。本

たよね」と思っている人はだれかというと、お節ではそれらの国々における規制対象の定義の異同

そらくそれで商売をし、ビジネスをし、ほかのを概観し、必ずしも controller 概念を持つ国ばかりで人にも影響を与えるような人たちにまず率先しはなく、日本同様に個人情報の実際の取扱いに着目て守っていただこうということでしかないといする国も見られることを示す。

うことです。38）

1) 欧州諸国

やはりここでも、リスクや機微性といった評価を伴う指標ではなく、個人データの量という客観的で外第 1 節で述べた通り、1980 年以前にデータ保護

部からも観察可能な指標によって判断するという「わかりやすさ」への志向を読み取ることができる

法を定めていた国はいくつかあった。スウェーデン。加の 1973 年データ法 (Datalagen) は自動処理の対象とで内閣官房内政審議室ル」42）43）、それを保有しビジネスに利用する者を「ファ39）なるパーソナルデータを含む記録簿を「個人ファイ

えて、2000 年に個人情報保護基本法制大綱が発表されたことを受けての座談会

40）

個人情報保護担当室長の藤井昭夫は、イル管理責任者」44）として規制対象としている ( 第 1条 )。1977 年に制定された西ドイツの連邦データ保規制型の行政の場合、こういう定義規定はでき

護法 (Bundesdatenschutzgesetz; BDSG) は民間事業者

るだけ法律で明確にしていく必要性があるといを「自らの目的のためにパーソナルデータを処理すうことであれば、政令委任というのは、なかなる者」と「第三者の目的のためにパーソナルデータ

か難しいと思います。ただし全くできないかとを処理する者」の二つに分け ( 第 1 条 2 項 )、後者に対いうと、相当要件を明確にして、十分国会審議してより厳しい義務を課している。1978 年に制定さに耐えられて、こんなもんだというイメージがれたフランスのデータ処理、データファイル及び個

湧く程度のものであれば、政令委任も不可能で人の諸自由に関する法律 (Loi no 78-17 du 6 janvierはないと思います。41）

1978 relative à lʼinformatique, aux fichiers et aux

libertés ) は、定義においては規制対象の要件を明確と述べており、対象の要件を「相当」明確にしなけ

れば国会の審議に耐えられないことを示唆している。

にしてはいないが、公的部門と民間部門を対象にしすることは、国会での審議が「どの業種を高リスク者 ( 第 29 条 )」を名宛人にした条文を定めていることていること、「個人情報の処理を行うまたは行わせる

こうした客観的で観察可能な指標によって対象を画から、処理を行う者については特に要件を定めず、「個とするか」で紛糾することを避ける意味合いもあっ

人データの自動処理」に対して規制を置いたものとたと思われる。

言える。

これらの法律は 1980 年以前に定められたもので4. 他国の規制対象の定義あるため、当然 controller 概念を持たない。一方で

108 号条約に対応するべく定められた 1984 年英国

日本は意図してか意図せずしてかは不明ながら、データ保護法 ( 以降、「UK DPA1984」とする。) にな

プライバシー保護研究会で一旦は議論の俎上に載っ

38）安延 申 他 , RIETI 政策シンポジウム「だれのための電子政府？」討論「個人情報保護法と住基ネット : 法案と政策が抱える真の問題点は何か」https://www.
rieti.go.jp/jp/projects/denshi/index.html (2003),(Accessed: 2023-10-23)39）この判断は、「プライバシー侵害のおそれの大きい特定の業種・システムを指定して規制することが必要である」としたプライバシー保護研究会報告書の方針にそぐわないように思われる。
40）この座談会には、藤原靜雄による「当初の目的との関連性が重要である」という指摘や、藤井による「タグ付きであれば、体系的に検索可能です。
」との発言、同じく藤井による「データベース化された中のデータが規制対象となる」とする一方で「マニュアル処理情報は対象にする意味はない」との見解など、現代の論点に繋がる発言がいくつか見られる。
41）北沢 義博 他 前掲 5）p.15.
42）原語では personregister。
43）総務庁行政管理局行政情報システム参事官室 前掲 7）44）原語で registeransvarig、register は前掲 42) の personregister を指す。Ansvarig はそれ単体では responsible と訳される。

7

【ディスカッションペーパー】 Controller をめぐる日本の議論のねじれと個人情報の処理に関する責任主体の国際比較

ると、それを思わせる規定が認められるようになる。

J I L I Sレポート（2023.12.31）

user と data controller とは何が違うのかといった、

UK DPA1984 は BDSG の影響が見られ、民間事業者を定義に関わる議論はなされていなかった 47）。しかしdata user と computer bureau に分類している。Data

当時の庶民院図書館の報告書には「controller とは、

user は第 5 条 5 項で次のように定義されている。

大雑把に言えば、その情報を保持している (keeping)
組織である。
」48）と書かれており、必ずしも controller

データを保有する者をいい、次の要件に該当すの概念が正確に理解されていなかったことが窺える。

る場合にデータを「保有する」という。

(a) そのデータが、データ利用者により又はデー

2) 十分性認定を受けた国タ利用者のために、第 2 項に規定する方法

で処理されるデータ又は処理される予定のアルゼンチン

データの集積体の一部を成していること。

アルゼンチンは 2000 年に個人情報保護法 ( 以降(b) その者が（単独若しくは共同で、又は他の「LPDP」とする。) を成立させ、2003 年に EU からの者と共同して）その集積体に含まれるデー

十分性認定を受けた。LPDP はパーソナルデータの処

タの内容及び利用を管理 [control] している

理または取扱いに関わる全ての個人と法人に適用さこと。

れる。LPDP の規制の対象は第 2 条に「ファイル、登(c)[...]45）

録簿、データベース又はデータバンクの責任者 49）」と「データ利用者 50）」として規定されている。前者はそ一方の computer bureau は同 6 項にて、のようなデータリポジトリを公民問わず保有している自然人または法人を指す。後者は、自らのデータ

データに関するサービスを他の者に提供する場

合、「コンピュータ・ビューロ」を営むといい、

リポジトリの枠内または他者と共同で、自らの裁量サービスを「提供する」という。

定義されている。なお、この二つは排他的ではなく、でデータを処理する者であって公民を問わない者と次のいずれかに該当する場合、データに関する

後者が前者を含む概念である。

アルゼンチンのデータ保護機関 Agencia de Acceso(a) 他の者の代理人として、当該他の者が保有すa la Información Pública(AAIP) は 2022 年に LPDP

るデータを第 2 項に規定する方法で処理するを「近代化」する修正法案を提案した 51）。修正法案場合(b) 他の者が保有するデータを第 2 項に規定す

第 2 条は LPDP にあった「ファイル、登録簿、デーる方法で処理するため、自ら占有している装タベース又はデータバンクの責任者」と「データ利置を当該他の者に使用させる場合 46）

用者」を削除し、代わりに「個人情報処理責任者 52）」を定めている 53）。その定義は、個人情報処理の目的と手段を決定する者であり、108 号条約の定義と同一でと定義されている。Data user の定義に control の語が使われてはいるものの、その意味は明らかにされてある。AAIP は修正法案の意義を「LPDP のスコープの含意が継承されているとは判じ難い。

controller よりも狭かったことを示唆している。

を拡張することにある」としており、以前の定義がおらず、「目的や手段を決定する」という108 号条約
一方で1998年、UK DPA1984は新たなデータ保護法に置き換えられ、DPD に合わせて data controller

カナダ

審議においては、登録事業者のみを規制対象として制定され、公的部門を主な対象とした人権法に端をることについて議論がなされてはいたものの、data

イバシー法が 1982 年に人権法を廃止する形で制定と data processor の用語が導入された。当時の議会

カナダにおけるプライバシー保護法制は 1977 年にいた UK DPA1984 から、すべての事業者が対象にな発する。続いて、やはり公的部門を対象としたプラ

45）総務庁行政管理局行政情報システム参事官室 前掲 7）p.232
46）同上。p.232.
47）HC Deb 2 July 1998, vol. 315; HL Deb 2 February 1998 vol. 585.
48）Edward Wood, “Research paper 98/48 The Data Protection Bill[HL]: Bill 158 of 1997-98” House of Commons (1998).
49）原語では responsable de archivo, registro, base o banco de datos.
50）原語では usuario de datos.
51）Agencia de Acceso a la Información Pública, “Proyecto de Ley de Protección de Datos Personales” (2022).
52）原語では responsable de tratamiento de datos personales.
53）Agencia de Acceso a la Información Pública, “Proyecto de Ley de Protección de Datos Personales” (2023).

8

J I L I Sレポート（2023.12.31）

された 54）。そして 2000 年に個人情報保護及び電子文

法 (PIPA) で は、 規 制 の 対 象 は “personal information

Documents Act; PIPEDA) が DPD の 影 響 の 下、 民 間「公的機関、企業体、組織、個人その他であって、直書法 (Personal Information Protection and Electronic
部門をも規制下に置くべく成立した

manager” と呼ばれている 57）。第 2 条 5 項はその定義を接又は他者を介して個人情報ファイルを自らの義務。これにより55）

2001 年にカナダは民間部門のみ EU からの十分性認の一部として管理 (manage) する者」と置いており、の規制対象定義は第 4 条 1 項に見ることができる。

同法は改正され、規制対象は “personal information

具体的なデータの管理に着目している。2016 年に定を受けることができた。PIPEDA における民間部門

controller” に変化、その定義は「公的機関、法人、組

本法は、以下の個人情報に関わる全ての組織に

織、個人その他であって、直接間接問わず、公的又適用される。

は私的目的のために個人情報ファイルを処理する者」(a) 商業活動の過程でその組織が収集、利用、開となった。ここでも日本同様に自ら個人情報を処理示をするものすることに着目していることがわかる。

(b)[...]

米国

PIPEDA は 2003 年と 2015 年に改正されているが、この規定は変化しておらず、カナダでは報道、芸術、
私的利用をする個人などの適用除外

56）

米国はこれまでに挙げた国々とは異なり、データ保護全般を対象とする連邦法を持たず、民間部門についてはを除くと、規分野ごとに法や規則、自主規制を組み合わせて保護を制対象を特に限定していないことがわかる。

実現するセクトラル方式と呼ばれるアプローチを採用

ニュージーランドしている。欧米間のこの違いによるデータ移転の不安定

定め、2012 年に EU からの十分性認定を受けている。

年にセーフハーバー合意に達した 58）。セーフハーバーは性を軽減するため、データ移転の枠組みとして、2000

ニュージーランドは 1993 年にプライバシー法を

同法は規制対象を “agency” と呼び、第 2 条 1 項で米国の民間部門全体を対象に十分性を認定するのでは「個人又は個人の集まりで法人か否かを問わず、またなく、米国商務省の定める原則の遵守について自己認証置いている。こうした形で民間部門全体を対象にし、る。原則に違反した場合には、連邦取引委員会が不公

ライバシー法にも見られる。同法を廃止して 2020 年されている。登録方式であるため、対象となる事業者に語は第 7 条 1 項に残ったものの、「第 4 条に定める、と言及されるに留まるが、付属文書II Frequently Asked

されている。

タを受領する組織が単にDPDでいうprocessorである場ている個人情報に関連するあらゆる活動を行う者を対No 10で、EUのcontrollerから単なる処理目的で米国組問わないとしている。この定義ぶりはcontrollerのそれ

要だが、この情報については原則を適用する必要がな

公的部門か民間部門かも問わない」といった定義をを行い登録した組織にのみ十分性を認める枠組みであ

特に要件を定めない定義ぶりはオーストラリアのプ

正又は欺瞞的行為又は慣行として執行することが担保に制定された新たなプライバシー法では、agency の

ついては本文中では特に定義を置かない“organization”

法の適用されるあらゆる者」を指すと定義が抽象化

Questions(FAQs)のFAQ No 3で、米国側でパーソナルデー

当の第4条は、国内外問わず、自らが収集又は保有し合 59）には、controllerによる違反の責任はないこと、FAQ象と定め、収集された場所や保管場所、本人の所在は織がパーソナルデータを受領した場合には、契約は必とは異なり、日本同様に個人情報を実際に取り扱う者をいと整理されていることから、実質的にcontroller概念

対象としていると言える。

を持つものと言える。

大韓民国

フハーバー無効の判決が下ってしまう 60）。急遽、欧州

しかし 2015 年 10 月、欧州司法裁判所によってセー委員会と米国商務省が交渉を行い、2016 年 2 月には

大 韓 民 国 で 2011 年 に 制 定 さ れ た 個 人 情 報 保 護

54）石井 夏生利 , “ カナダのプライバシー・個人情報保護法 ” (2017) 情報法制研究 vol.1 p.11.
55）Miguel Bernal-Castellero, “Canadaʼs Federal Privacy Laws“ (2013).
56）石井 夏生利 前掲 54）.
57）Korea Legislation Research Institute の英訳を用いた。
58）European Commission, “COMMISSION DECISION of 26 July 2000 pursuant to Directive 95/46/EC of the European Parliament and of the Council on
the adequacy of the protection provided by the safe harbour privacy principles and related frequently asked questions issued by the US Department ofCommerce” (2000) Official Journal of the European Communities. L215/759）電気通信事業を営む者で、通信の伝送を担うのみでパーソナルデータ処理の目的や手段を決定しないのであれば、責任はないとされている。DPD 前文第 47 条
でもこの例は controller の判断に資する例として取り上げられている。
60）Maximillian Schrems v Data Protection Commissioner (C-362/14, ECLI:EU:C:2015:650).

9【ディスカッションペーパー】 Controller をめぐる日本の議論のねじれと個人情報の処理に関する責任主体の国際比較

セーフハーバーに代わるプライバシーシールドの合意に達した

J I L I Sレポート（2023.12.31）

然人が信息処理者に対して自らの情報開示や、誤りがあった場合に訂正を求める権利を定めている。第。プライバシーシールドは、セーフハー

61）

バーに比べて、クレジットカード等の分野における1038 条は信息処理者に対して第三者提供の禁止、ける権利や不正確な情報の訂正・削除権の新設など、人及び当局への通知義務を課しており、処理者と呼データセキュリティの確保、漏洩があった場合の本自動処理が本人に与える影響について情報通知を受ばれてはいるが実質的に取扱いを行う者として想定

いくつかの原則が強化されたものの、米国商務省の定める原則の遵守の自己認証制度という大枠は変されていることがわかる。加えて翌年、個人情報保

ル ド 決 定 の 前 文 第 14 条 で controllers と processorsが成立した。同法の第 73 条 1 項が定める “personal

書 II の第 8 条 c 項でも controller が「単独で又は他と情報の処理活動において、処理目的、処理方法を自護に関する包括的な法である个人信息保護法 68）(PIPL)

わっていない。Controller 関連では、
プライバシーシー(agents) の双方に適用されるとされている。付属文

information processor” ( 个人信息処理者 ) を、「個人

共同して、パーソナルデータ処理の目的及び手段をら決定する組織、個人」69）と置いており、実質的に引き続き controller 概念を持っていると言える。こうPIPL 第 20 条は複数の个人信息処理者が関与する場合決定する者または組織」と定義されていることから、GDPR の controller と同一の概念となっている。また、して再出発したプライバシーシールドにも 2020 年 7月に欧州司法裁判所によって無効判決 が再び下るの規定も定めているが、。

62）

二者以上の個人情報処理者が共同で個人情報のEU から米国に移転した情報に対する、米国の情報機処理目的及び処理方法を決定する場合、各自の関による国防目的でのアクセスへの保護が不十分と権利及び義務を約定しなければならない。但し、しての判決であった 63）。本判決を受けて再び EU と米

当該約定は、個人がそのうちのいずれかの個人

国の間で交渉が行われ、2023 年 7 月に EU-US データ

情報処理者に対して本法に規定する権利の行使

プライバシー枠組み ( 以下「DPF」という。) の合意にを要求することを妨げない。個人情報処理者が至った。DPF 合意に達するため、米国では諜報活動に共同で個人情報を処理し、個人情報の権益を侵対するさらなる保護措置が追加された 64）。Controller

害して損害が生じた場合は、法に基づき連帯責については、決定本文第 2 章の第 12 条に controllers

任を負わなければならない。70）

または processors とされる者に DPF が適用されるとあり 65）、やはり controller 概念があることがわかる。

と GDPR 第 26 条と酷似している。こうした類似性に

3)GDPRに影響を受けた国の有用な規定を十全に利用」したという説明が 2021

ついては、PIPL 草案が「重要な国際組織、国、地域

中華人民共和国年全国人民代表大会での起草担当者によってなされ2020 年 に 中 華 人 民 共 和 国 で 成 立 し た 民 法 典 でている 71）。

に関する規定を置いている。規制対象は「信息処理ブラジル

は、第 IV 部第 6 章にプライバシーと個人情報保護者」(information processor

66）) であるが、その要件

ブラジルでは2018 年にはじめての包括的なデー

67）は特に定められていない。民法典第 1037 条では、自タ保護法(LGPD) が成立した。LGPDは第5条 VI 項に61）European Commission, “COMMISSION IMPLEMENTING DECISION (EU) 2016/1250 of 12 July 2016 pursuant to Directive 95/46/EC of the European
Parliament and of the Council on the adequacy of the protection provided by the EU-U.S. Privacy Shield” (2016) Official Journal of the European Commission
L207/1.
62）Data Protection Commissioner v Facebook Ireland and Maximillian Schrems (C-311/18 ECLI:EU:C:2020:559).
63）European Commission, “Commission Implementing Decision of 10.7.2023 pursuant to Regulation (EU) 2016/679 of the European Parliament and of theCouncil on the adequate level of protection of personal data under the EU-US Data Privacy Framework” (2023) Official Journal of European Communities vol.
238 p.118, 決定本文第 5 段落 .
64）板倉 陽一郎 , 寺田 麻佑 ,「欧米データプライバシーフレームワーク（EU-US Data Privacy Framework）に対する十分性認定の分析と示唆」情報処理学会 電子化
知的財産・社会基盤研究会第 101 回研究報告 (2023).
65）European Commission, 前掲 63）.
66）
「処」は正しくは [ 夊 +卜 ] である。
67）同国政府の英訳を用いた。
68）「護」は正しくは [ 扌 + 戸 ] である。
69）大江橋法律事務所 ,「中華人民共和国個人情報保護法 ( 仮訳 )」(2021). https://www.ohebashi.com/jp/newsletter/China%20NL̲Vol.2̲Translation.pdf (Accessed:
2023-11-04)
70）同上。
》的说明 ,71）关于《中华人民共和国个人信息保护法（草案）
https://web.archive.org/web/20210827023936/http://www.npc.gov.cn/npc/c30834/202108/fbc9ba044c2449c9bc6b6317b94694be.shtml (Accessed:
2023-10-29).

10

J I L I Sレポート（2023.12.31）

を下す者」「 公 私 問 わ な い自 然 人 又 は 法 人 で あっ“controlador”(controller)、VII 項に“operador”(operator)て、controller に代わってパーソナルデータの処理を定め、それぞれ「公私問わない自然人又は法人を行う者」と置いている。この規定ぶりは GDPR のであって、パーソナルデータの処理に関する決定

表1
各国・地域のデータ保護法の対象。C , H はそれぞれ、対象を個人情報処理の目的、手段の決定権に着目して定めるものと、実際の取扱いに着目して定めるものであることを示す。A は特に規定を置かず、民間部門全体を対象とするものを示す。十分性認定の ( 有 ) は後に無効の判決が下ったもの。

11【ディスカッションペーパー】 Controller をめぐる日本の議論のねじれと個人情報の処理に関する責任主体の国際比較

J I L I Sレポート（2023.12.31）

controller 及び processor と同一である。

年法起草担当者の間に外形的に観察可能な要件への定の有無をまとめたものを表 1 に示す。十分性認定をいつの間にかそのような「共通認識」ができあがっ以上、各国法における規制対象の定義と十分性認志向が存在したこと等、様々な事情が絡み合って、受けた国であっても必ずしも controller 概念を継承していたと推察される。

おわりにしている場合には、本稿で検討した規制対象事業者ているわけではないことがわかる。

ひとつの組織の中で、取得するデータの設計から、収集、保管、分析、削除に至るまで、取扱いが完結の定義の差が、その外延の差として現れることはないであろう。1980 年代であれば、そうした前提を置いても実態とは大きく乖離はしなかったと考えられ

本稿では OECD ガイドライン及び 108 号条約で発明された controller の概念が日本でどのように個人情る 72）。しかし現代では、ひとつの目的を果たすため、度受容されているかを明らかにした。本文で言及のることは珍しくない。そうした場合、事業者単位で

図 2 か ら 明 ら か な よ う に、 日 本 に 1980 年 代 初制のあり方 73）は、一貫した保護措置を講じることを報取扱事業者へ置き換えられ、他の国々ではどの程一連のデータ処理が複数の事業者によって分担されないものも含めてまとめると、図 2 のようになる。

の具体的な取扱いに着目する日本の個人情報保護法

頭、行政管理庁プライバシー保護研究会が正しく難しくするおそれがある。ひとつの目的のために複controller 概念を輸入したものの、それを継承するこ数組織をデータが移転するのであれば、その一連のとは遂にないまま現在に至った。OECD ガイドライ

処理を単位とし、処理への control の大小を勘案する

ンの controller と違って、個人情報取扱事業者にはEU の方式 74）の方が実態に即した個人の保護が期待でその定義が必要とされた理由の解説は見つかっていきる 75）。

の用に供する者を規制対象にするのが当然で、議論構想や Data Free Flow with Trust など、組織をまたいない。このことは、個人情報データベース等を事業

いわゆる日本版 EHDS(European Health Data Space)の余地のないものと認識されていたことを示唆する。

だデータの共用や連携は我が国でも積極的に検討さ意味を持つとは必ずしも言えない「管理」の語をあと考えられる。組織の外にデータが出るのは例外的

Control に「処理の目的や手段を決定する」というれており、今後も増えることはあれ減ることはないてたこと、公的機関を対象にした立法が先行したたという前提が崩れたのだから、その前提に立脚しため「管理者」概念が不要なまま 10 年以上が経過した

個人情報取扱事業者の概念を再考し、データの共用こと、「管理」の語感に引っ張られたためか、現在のや連携を前提にした対象事業者の定義に改めるべき

GDPR にいう DPO に「管理者」の語を宛てたガイド

ではないだろうか。

ラインを下敷きに 2003 年法が作られたこと、2003

72) 行政文書ファイル管理簿に文書名「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律案検討資料（専門委員会・協議会）」で登録されている文書中（一般財団法人情報法制研究所が開示請求を行って取得したもの。
）の「1984 年 2 月 13 日プライバシー保護対策に関する連絡協議会 第 9 回作業グ
ループ会合議事録」と題された文書では、後の行政機関電算機個人情報保護法に繋がる検討の一環として多賀谷一照によるレクチャーが行われ、その中で多賀谷が「複数省庁で一つのシステムを共有している場合、これをどのようにとらえるかといった問題もあろう。
」と指摘をしているが、これに対する事務局からの回答は見つかっていない。
73）猪谷 誠一 ,「ベルギーデータ保護機関決定に見る GDPR 上のパーソナルデータと管理者の基準」情報処理学会 電子化知的財産・社会基盤研究会第 101 回研究報告 (2023)
74）同上。
75）規制対象の定義ぶりが個人の保護に影響を与えた事例としてリクナビ事件が挙げられる。本件で問題とされたリクナビ DMP フォローは、cookie 等によって個人を特定しない形で推定された学生の内定辞退率が、提供先である広告主に提供され、当該広告主が保有する個人データと結合されることで個人データとなるスキームであった。事業者単位で個人情報該当性を判断する日本法に従えば、取扱う情報が特定個人を識別しない以上、リクルートキャリアは個人情報取扱事業者にはなりえない。他方、処理単位で判断する GDPR に従えば、同社はリクナビ DMP フォローに係る処理の目的や手段を決定したのであるから
controller となるであろう。

12

J I L I Sレポート（2023.12.31）

図２
諸外国、国際組織、日本における controller 概念の受容。赤色の菱形が controller
概念を持つもの、茶色の円形が controller 概念を持たないもの、緑色の正方形
は control の語は使われているがその内容が不明なもの、青色の三角形は DPOの意味で「管理者」の語を使っているもの、灰色の星形は報告時点で未確認のものを表す。また、影響が認められるものを橙色の矢印で結んでいる。法令名の背景が黄色になっているものは EU からの十分性認定を受けていることを表す。

諸外国

1970 1975 1980 1985 1990 1995 2000 2005 2010 2015 2020 2025
英 DPA1984

西独 BDSG●スウェーデン
データ法●
仏 1978 年法 ●国際組織

共通メンバー
で策定

日本

米 Safe Harbor ◆英 DPA1998108号条約 ◆OECD GL ◆■NZ Privacy
Act1993 ●米 Privacy Shield◆◆ NZ Privacy
Act2020●

韓 PIPA2016●◆カナダPIPEDA 韓 PIPA2011●● 中民法典アルゼンチンブラジル
LGPD◆● ◆中PIPL● PDPL豪 Privacy Act

EU データ
保護指令 ◆EU GDPR

我が国における個人
個人情報保護
情報保護システムの● ● 基本法制大網
在り方について●共産党法案●
社会党法案●
共産党法案
通産省 GL
通産省民間部門

公的部門●

電子計算機保護通達
通産省情報化対策委員会
個人情報保護部会報告★

◆

APEC CBPR ■行政管理庁プライバシー
保護研究会報告書 ◆民間部門◆ 米 DPF◆英 DPA2018▲●
個人情報保護法▲郵政省電気通信事業 GL

2021年改正法●

2022年改正法●●2015 年改正法

行政機関個人情報
保護法制研究会★
行政機関電算機個情法●
自治省第二次研究会報告★
●行政機関・独法等個情法

株式会社博報堂 DY ホールディングス マーケティング・テクノロジー・センター 上
席研究員
中央大学 国際情報研究科 修士課程
一般財団法人情報法制研究所 研究員

猪谷誠一（いがや・せいいち）

2008 年東京大学大学院新領域創成科学研究科物質系専攻博士課程単位取得退学。
修士(科学)。同年博報堂に入社。自動車、食品、ゲーム等のマーケティング業務に従事。
2011年より現職。数理・統計技術のビジネス利用に向けたプロトタイピングや、生活者デー
タの適正な利用法の研究に従事。共著に『オーディエンスターゲティング広告における匿名加工情報の利用に関する提言』（一般財団法人情報法制研究所出版部、2017年）。

13