「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」に対する意見
経営法友会「個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理」（以下「中間整理」という）について、示された方向性のまま法制化されると、企業法務の実務の観点から問題となる点や、今後明確にされたい点に限定して、以下で具体的に述べる。
【該当箇所】
第２

個別検討事項／１

個人の権利利益により実質的な保護の在り方／(1)等の適正な取扱いに関する規律の在り方／ア

個人情報

要保護性の高い個人情報の取扱いについて（生体データ）【意見】
生体データの定義いかんによるが、生体データを利用目的どおりに使っている場合は、本人による事後的な利用停止の導入の必要性は低い。
【理由】
要保護性のある個人情報については、個人情報の保護に関する法律（以下「個人情報保護法」という）において、「要配慮個人情報」として保護が図られているという建て付けを踏まえると、生体データは現在でも要配慮個人情報ではないところ、まず検討すべきは、「特に要保護性が高いと考えられる生体データ」について、要配慮個人情報に含めるかという点ではないかと思われる。そして、要配慮個人情報において一律の事後的な利用停止までは認められていないことは、個人情報保護法上、要配慮個人情報についても、取得に係る本人同意の要件に加えた利用目的の特定等の規律により、個人の権利利益の保護を図ることができることを前提にしてきたといえ、生体データについてもこの枠組みで議論するのが適切ではないかと考えられる。
【意見】
仮に、生体データについて、本人による事後的な利用停止の制度を導入する場合、その対象を具体化すべきである。
【理由】
生体データの要保護性は事業によりけりであり、たとえば、長期間の行動様式を調査する事業ではない場合、本人による事後的な利用停止まで求める必要性が低い。
【意見】
仮に、生体データについて、本人による事後的な利用停止の制度を導入する場合、生体データと生体データ以外のデータが一体として管理されている場合は、本人による事後的な利用停止の例外措置を設けるべきである。
【理由】
一体として管理しているデータの一部のみの利用停止は、技術的にハードルがある。

1

【意見】
仮に、生体データについて、本人による事後的な利用停止の制度が導入され、「本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とする」（中間整理 4 頁）場合、求められる「柔軟」な利用停止の手段や方法をあらかじめ具体明確化されたい。
【理由】
事業者が、費用や導入期間、経営と事業、現状の運用に、どの程度インパクトがあるのかの予見可能性を高められるようにする必要がある。
【該当箇所】
第２

個別検討事項／１

個人の権利利益により実質的な保護の在り方／(1)

個人情報等の適正な取扱いに関する規律の在り方／イ 「不適正な利用の禁止」「適正な取得」の規律の明確化【意見】
個人関連情報のうち、個人への直接の連絡が可能な電話番号、メールアドレスの規制を他の個人関連情報より厳しく規制することは理解できるが、Cookie ID 全般についてまで、個人情報と同様にその侵害が深刻と考え、規制を強めるべきではない。
【理由】
Cookie は Web サイトでの広告やアクセス解析等に用いられるものであり、Google 社によるクッキーレスによるサービス提供開始がたびたび遅延していることを考えると、今後も正当な目的での Cookie の利用を妨げるべきではない。また、Cookie ID について「個人に対する連絡が可能な情報」（中間整理 6 頁）とあり、EC サイトやアプリ等で相互に意思疎通が可能な、一定の識別可能性がある状況のみを指しているとも推察するが、Cookie IDは広告を表示するだけで、個人へ直接「連絡」までできるものではないので、電話番号やメールアドレスとは性質が異なる。
【該当箇所】
第２個別検討事項／１

個人の権利利益により実質的な保護の在り方／(3)

こどもの個人情報等に関する規律の在り方【意見】
仮に、こどもの個人情報等に関する規律を導入する場合、具体的な規律については、中間
整理 10 頁～11 頁の【考え方】で示されているように、こどもの脆弱性・敏感性およびこれらに基づく要保護性がある場合のみが適用対象になるように、できるだけ適用場面を限定かつ明確化すべきである。
万が一、こどもの個人情報等に関する規律の適用場面が限定かつ明確化されない場合、実務上柔軟な対応（たとえば、本人が一定年齢以上であることを申告した場合や法定代理人の同意があることを申告した場合には、本人やその法定代理人が事後的に利用の停止を求めた場合にのみ利用を停止すればよいなど）を許容することも検討すべきである。
【理由】
こどもが本人であることを事業者が把握していない場合も多く、このような場合にまで規律が適用されるとすると、事業者としては法定代理人の関与をさせるべきかも判断できない状況となるなど、【考え方】に示された対応をとることは現実的には困難である。また、2

すべての個人情報の取得の際に、本人がこどもかそうでないかの情報を取得しなければならないとすると、事業者の個人情報の利用目的からは不要な過度の個人情報を取得することになりかねない。
【意見】
仮に、こどもの個人情報等に関する規律を導入する場合、対象事業を限定列挙するなど、明確にこどもが対象年齢の事業に限定すべきである。
【理由】
事業の中には、年齢を知る必要のないものも多いが、こどもが利用者となる可能性のあるすべての事業について、法定代理人の同意や法定代理人への情報提供、安全管理措置を必要としてしまうと、WEB サイトの改修や法定代理人の同意取得手続の導入等を要することになり、事業者に過度な負担を強いることとなる。
【意見】
年齢制限を設けないサービスの場合や、こども向けのサービスであっても、「こどもの個人情報」のデータ主体が同じサービスを利用する過程で年齢を重ねて大人になった場合等、「こどもの個人情報等」と「それ以外の個人情報等」の両方を取り扱う事業が多くなると考えられるが、仮に、こどもの個人情報等に関する規律を導入する場合、「こどもの個人情報等」と「それ以外の個人情報等」の両方を取り扱う事業者において講じるべき策を、具体明確化されたい。
【理由】
こどもの個人情報保護については、「こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮する」（中間整理 10 頁）必要があると認識しているが、事業者にどのような対応が求められているかを明確にし、言い換えれば、事業者が（結果責任のような形で）意図せず個人情報保護法違反とならないようにする必要がある。
【意見】
仮に、こどもの個人情報等に関する規律を導入する場合、サービス提供者または利用者に過度な負担がかかることで、サービス提供が委縮していくことになれば、こどもの知る権利等に影響が生じる可能性があるという観点も考慮する必要がある。
【理由】
たとえば、法定代理人の同意の取得過程での煩雑な手続により、サービス利用者（こども、親権者等）への負担が発生し、情報へのアクセスが難しくなることで、サービス利用者の情報へのアクセスする機会や、こどもの知る権利に影響が生じることは避けるべきである。
【意見】
こどものデータについての安全管理措置も、個人情報保護法 23 条の安全管理措置について個人情報保護法ガイドライン（通則編）3-4-2 が規定する枠組み（「当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければなら3

ない。
」）で事業者が検討するという位置づけで十分である。
【理由】
事業者のとるべき安全管理措置については、一律に定められないように思われるところ、
中間整理 10 頁の【考え方】「ウ 安全管理措置義務の強化」で示された、「こどもの個人データについて安全管理措置義務を強化することがあり得る」という文言が、どのような建付けを目指しているのかが明確でない。
【該当箇所】
第２個別検討事項／１

個人の権利利益のより実質的な保護の在り方／(4)個人の権利救済手段の在り方、2 実効性のある監視・監督の在り方／(1) 課徴金、勧告・命令等の行政上の監視・監督手段の在り方／【考え方】ア 課徴金制度【意見】法に違反する個人情報の取扱いに対する、団体による差止請求制度や被害回復制度、課徴金制度の導入については、継続的な意見集約が予定されているが（中間整理 2 頁）、導入する必要性の検討過程をオープンにされたい。
仮に、導入の必要性が確認された場合には、事業者に対する委縮効果が生じないように論点の整理をされたい。
【理由】
自社の事業において、課徴金要件、または団体による差止請求や被害回復の要件に該当する可能性がある場合に、前提を正しく理解し、早期に適切に事前対応・準備を検討する必要がある。
【該当箇所】
第２ 個別検討事項／2

実効性のある監視・監督の在り方／(3)知の在り方／【考え方】ア

漏えい等報告・本人通

漏えい等報告【意見】仮に、「漏えい等又はそのおそれを認識した場合における適切な対処」を行うための体制・手順の整備（中間整理 20 頁）により、漏えい等報告の義務が軽減される制度が導入される
場合は、その体制・手順について想定している内容を早期に具体的に示されたい。
【理由】
上記体制・手順については、「認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除……することも考えられる」としているが、事業者において、速報免除のために必要な適切な対処を行うための体制・手順整備の必要性、整備の体制・工数・コスト等を早期に判断しておく必要がある。
【意見】
個人データの漏えい等が発生し、または発生したおそれがある場合の本人通知について
は、欧州の GDPR と同じように自然人の権利および自由に対する「高い」リスクを発生させる可能性がある場合のように限定にするなど、要件の見直しを図るべきである。
【理由】
個人情報保護法 26 条では、個人データの漏えい等が発生し、または発生したおそれがあ4る場合の個人情報保護委員会への報告の要件と本人通知の要件が同じであるが、本人への二次被害のおそれがないような場合にまで本人通知が必要であるとはいえず、制度の趣旨を踏まえて、事業者の負担も考慮しつつ、実効性のある規律内容とすべきである。

5