「個⼈情報保護法いわゆる 3 年ごと⾒直し制度改正⼤綱」に対する意⾒
⼀般財団法⼈情報法制研究所 個⼈情報保護法研究タスクフォース（板倉陽⼀郎、江⼝清貴、加藤尚徳、鈴⽊正朝、⾼⽊浩光、⻑⽥三紀、丸橋透）

2020 年 1 ⽉ 14 ⽇
意⾒ 1【3 章 1 節 3「利⽤停⽌、消去、第三者提供の停⽌の請求に係る要件の緩和」8 ⾴】
利⽤停⽌等請求権に係る要件は、少なくとも「個⼈の権利利益を害するおそれがある場合」まで含め、データによる個⼈の選別が⾏われている場合はこれに該当するものとするべき。
理由「個⼈の権利利益の侵害がある場合を念頭に」とあるが、「侵害がある場合」に限定したのでは、⽬標として掲げている「消費者から……強い不満」に応えることにならないのではないか。このままでは、そもそも「個⼈の権利利益の侵害」とは何を指すのかが問題となる。
どのような場合に「個⼈の権利利益の侵害がある」と⾔えるのかは、これまで公式には明らかにされてこなかったことからすると、その要件を適切に定めることには困難が予想され、それ故に、ごく狭い範囲を「侵害がある」と定めてしまう事態（例えば、裁判例が認めたような意味でのプライバシー権侵害がある場合に限るなど）に陥りかねない。そのような事態になれば、本法の趣旨をも狭めることになる。
そこで、この要件の緩和に際しては、少なくとも「権利利益を害するおそれがある場合」までは拡⼤することが必要である。
「権利利益を害するおそれ」は現⾏法においても条⽂に頻出するフレーズであり、その意義は相当程度広くすでに解釈されているものと考えられることから、今般の改正においてその意義を明確に定める必要はない。何をもって「権利利益を害するおそれがある」とするかは、法⽬的の明確化と合わせて、今後、検討を深めていくべきことである。
なお、本⼈の同意なく「データによる個⼈の選別」が⾏われている場合は、「個⼈の権利利益を害するおそれがある場合」に当たるものと捉え、利⽤停⽌等請求権の対象とするべきである。
意⾒ 2【3 章 1 節 5「開⽰等の対象となる保有個⼈データの範囲の拡⼤」11 ⾴】
保有個⼈データ該当性を保存期間により限定しない理由は、短期間でも漏えいが起き得ることだけではなく、データによる個⼈の選別が⾏われるのに⼗分であることも重要である。
理由
保有個⼈データ該当性を保存期間により限定しないこととするに際して、「短期間で消去される個⼈データについても、個⼈の権利利益を侵害する危険性が低いとは限らず」とし、その理由付けとして、「短期間で消去される個⼈データであっても、その間に漏えい等が発⽣し、瞬時に拡散する危険が現実のものとなっている」と記載されているが、理由はそれだ
けではないはずである。

例えば、法が⽬的とする「個⼈の権利利益の保護」には、リクナビ事案のような事態の回避も含まれるはずであることを踏まえれば、「短時間で消去される個⼈データであっても、その間にデータによる個⼈の選別が⾏われ、個⼈が差別的に取り扱われ得る」といったことも、その理由の⼀つとして含めて整理するべきである。
意⾒ 3【3 章 2 節 2「適正な利⽤義務の明確化」16 ⾴】
適正な利⽤義務の「適正な利⽤」の意義は「急速なデータ分析技術の向上等を背景に潜在的に個⼈の権利利益の侵害につながることが懸念される個⼈情報の利⽤の形態」の観点から規定するべき。
理由「適正とは認めがたい⽅法による、個⼈情報の利⽤を⾏ってはならない旨を明確化する」とのことであるが、いかなる場合を「適正とは認めがたい」とするのかが判然としない。背景として「本法の⽬的である個⼈の権利利益の保護に照らして、看過できないような⽅法で……事例が、⼀部にみられる」との理由付けが⽰されており、その例⽰として、「現⾏法の規定に照らして違法ではないとしても、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれのある⽅法により個⼈情報を利⽤するなど」との記載があることから、現⾏法の規定に照らして違法⼜は不当な⾏為に関係し得る場合に限って「適正とは認めがたい⽅法」としているようにも読める。その⼀⽅で、本項⽬の冒頭では「急速なデータ分析技術の向上等を背景に、潜在的に個⼈の権利利益の侵害につながることが懸念される個⼈情報の利⽤の形態がみられるようになり……」との記載もあり、データ分析⾃体が「現⾏法の規定に照らして」違法な⾏為を助⻑・誘発することは考えにくいことから、これらの⽂の間には⽭盾があるように⾒受けられる。
これらの記述からではどのような制度改正が予定されているのか判然としないが、少な
くとも、「急速なデータ分析技術の向上等を背景に潜在的に個⼈の権利利益の侵害につながることが懸念される個⼈情報の利⽤の形態」が「適正とは認めがたい⽅法による個⼈情報の利⽤」に該当することとなるよう「適正な利⽤義務」を規定するべきである。
意⾒ 4【3 章 3 節 2「⺠間の⾃主的取組の推進 (2)PIA の推奨」19 ⾴】「P なき PIA」とならないよう、安全管理措置だけでなく、法の趣旨に沿った「PIA」の「P」の意義を明確にする必要がある。
理由「PIA の推奨」とあるが、何をもって「privacy impact」とするのかが定かでない。単に個⼈情報保護法の義務を遵守することを意味するだけのもの（いわゆる「P なき PIA」）を⾔うのなら、PIA の語を持ち出すまでもなく、「法遵守の確認」と⾔うだけで⾜りる。PIA と称するからには、どのような観点から「privacy impact」を検討するべきか、法の趣旨に沿って明確にする必要がある。
⼤綱の記述は、「⼤量の個⼈データを扱う事業者にとっては」「個⼈データの管理や従業員への教育効果等」と記載されており、単に安全管理措置の取り組みを指しているように⾒受けられる。そのようなものは「P なき PIA」であり、PIA と称するに値しないことに注意されたい。
意⾒ 5【3 章 3 節 2「⺠間の⾃主的取組の推進 (4)保有個⼈データに関する公表事項の充実」20 ⾴】「処理の⽅法」には「データによる個⼈の選別」が⾏われるか否かを公表義務とするべきであり、また、27 条 1 項 2 号の「全ての」とは異なり、業務・サービスごとに記載する事項とするべきである。
理由
保有個⼈データに関する事項の公表の義務（法 27 条 1 項）について、公表事項に「保有個⼈データの処理の⽅法」を追加するよう政令で定めるとされているが、「処理の⽅法」がいかなるものを指すのかが判然としない。⼀部報道では、リクナビ事案等を踏まえて「『AIを使って信⽤度を格付けしている』などの説明が必要になる」とされていたが、 AI を使っているか否かよりも、その結果を⽤いて「データによる個⼈の選別」が⾏われるか否かを明らかにすることの⽅が重要である。
「処理の⽅法」には「データによる個⼈の選別」が⾏われるか否かを公表する義務とするべきである。
また、法 27 条 1 項は、その 2 号において、同条 2 項の利⽤⽬的の通知とは異なり、「全ての保有個⼈データの利⽤⽬的」（すなわち、業務・サービスごとの「個⼈情報ファイル」単位ではなく、当該事業者が取り扱う全部を⼀括した「個⼈情報データベース等」の単位で）を公表すれば⾜りるとされていることからすると、本項⽬の公表事項も「全ての保有個⼈データ」で⼀括して記載すれば⾜りることになると考えられるが、そのような記載⽅法では、どの保有個⼈データにおいてそのような「処理の⽅法」が⽤いられているのかが、本⼈には理解できないものとなってしまうことが予想される。
したがって、「保有個⼈データに関する公表事項の充実」にあたっては、「保有個⼈データの処理の⽅法」については、法 27 条 1 項 2 号の「利⽤⽬的」とは異なり、「全ての」ではなく、業務・サービスごとに公表するよう規定するべきである。その場合、「利⽤⽬的」と「処理の⽅法」とで対象が不揃いとなることが不⾃然であるなら、この際、2 号の「利⽤⽬的」についても、業務・サービスごとに利⽤⽬的を公表することとしてはどうか。
意⾒ 6【3 章 4 節 1「匿名加⼯情報制度」21 ⾴】
匿名加⼯情報の事業者内部利⽤に係る規定（法 36 条 5 項）は、仮名化データの制度創設に伴い実質的に無⽤となるので、廃⽌するべきである。
理由
匿名加⼯情報の制度には、事業者内部で⽬的外（元の個⼈データの利⽤⽬的を超えた⽬的）に利⽤することを許すための規定（法 36 条 5 項の規定）があるが、今般の改正により仮名化データ（仮名化情報）の制度が創設されれば、その役割は仮名化データの制度に包摂されることになる。なぜなら、匿名加⼯情報の内部利⽤も、仮名化データの利⽤も、最終的には事業者内における統計量への集計（事業者内部における分析）に⽤いられるからである。仮名化データならば⾃由な分析が可能であるのに対して、匿名加⼯情報は加⼯基準が厳しい分だけ分析に制約が掛かることから、あえて匿名加⼯情報をこの⽤途で⽤いる必要性を⽋くことになる。
元々、仮名化データの創設を待つまでもなく、また、平成 27 年改正前から、統計量への集計は⾃由に可能だったのであり、匿名加⼯情報の内部利⽤のための規定は不要だったとも⾔え、この際、法 36 条 5 項は削除してよいと考える。⾏政機関個⼈情報保護法の⾮識別加⼯情報の制度にこれに相当する規定がないこととも整合することになる。
また、法 36 条 5 項の規定が、「⾃ら当該匿名加⼯情報を取り扱うに当たっては、当該匿名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別するために、当該匿名加⼯情報を他の情報と照合してはならない」としているのは、元データを保有している当該事業者において、何ら「個⼈の権利利益の保護」に資するところのない規制であり、この際この規定は削除するべきである。
（補⾜︓匿名加⼯情報は⾮個⼈情報と評価されるものであるが、それは元データとの照合禁⽌義務があるからではなく、加⼯によって容易照合性をなくすことを求めているからと⾔うべきであり、したがって、法 36 条 5 項の元データとの照合禁⽌規定を削除しても、匿名加⼯情報は⾮個⼈情報であると⾔える。
）
意⾒ 7【3 章 4 節 2「『仮名化情報（仮称）』の創設」22 ⾴】
仮名化データの委託による分析は「事業者内部における分析」に含まれるものとするべきであり、また、従前より作成されている⼀般的な意味での「仮名化データ」との区別と同⼀視について解釈を明確にする必要がある。
理由「仮名化データ」（仮名化情報）について、「事業者内部における分析に限定」とあるが、法 23 条 5 項 1 号の「委託」により分析を⾏う場合がこれに含まれるのかが定かでない。これは含まれるものとして「⾏為規制」を規定するべきである。
また、安全管理措置として従前より作成されている⼀般的な意味での「仮名化データ」と、新たな規律で定義される「仮名化データ」とが、共通する概念でありながら区別される必要がある。すなわち、新たに定義される「仮名化データ」に該当する場合は「⼀定の⾏為規制」が課されることとなる⼀⽅、⼀般的な意味での「仮名化データ」（例えば、他の法令やガイドラインに現れる同種の概念）についてまで本法の⾏為規制が及ぶものではないはずであるが、そうでありながら、客体の該当性要件⾃体は共通であり、同じ「仮名化データ」の⽤語で呼ばれるべきものと⾔える。この点は、平成 27 年改正において、匿名加⼯情報の概念整理が、匿名加⼯情報の客体定義に該当する場合に常に 36 条以下の義務が課されるのではなく、事業者が「匿名加⼯情報として」取り扱う場合に義務が課されるものと整理されたのと同様に、事業者が本法の「仮名化データ」として取り扱う場合の義務として解釈されるよう規定すればよい。
意⾒ 8【3 章 4 節 3「公益⽬的による個⼈情報の取扱いに係る例外規定の運⽤の明確化」
22 ⾴】「公益⽬的」について、挙げられている具体例に加えて、事故⼜は災害の防⽌等についてもガイドライン等での例外規定運⽤の明確化をはかるべきである。また、「公益⽬的」ニーズ検討の体制について明らかにし、相談の窓⼝を設ける等の⼿当を⾏うべきである。
理由
これまで、「公益⽬的」に基づいた例外規定の運⽤に関する議論は充実しているとは⾔えず、何が「公益⽬的」に該当するかは必ずしも明確ではない。⼀⽅で、地⽅⾃治体の条例において「公益⽬的」が含まれたものが確認できるほか、公益社団法⼈及び公益財団法⼈の認定等に関する法律では別表において該当する公益事業が列挙されている等、既存法制においても「公益⽬的」が広く⽤いられている。先の別表を⾒ると、個⼈情報保護法において「公益⽬的」以外の例外規定として定められているものも含まれているほか、個⼈情報保護法において例外規定として運⽤すべきかを慎重に議論すべきと思われるものも含まれている。
他⽅で、度重なる災害等、社会安全に関して早急な対応が求められている分野も存在する。
ガイドライン等の整備については⼤綱においても⾔明されているが、これを医療等に限定せずに検討すべきである。また、「公益⽬的」のニーズが今後⽣じる場合に、どこにどのようなかたちで相談すれば良いのかを明らかにすべきである。
意⾒ 9【3 章 4 節 4「端末識別⼦等の取扱い (3)提供先において個⼈データとなる情報の取扱い」24 ⾴】「提供先で個⼈データ」に係る規定の追加は、規制強化ではなく解釈の明確化であり、追加の規定が、該当する場合において提供元での容易照合性がないと解釈させることのないようにするべきである。
理由「提供先において個⼈データとなることをあらかじめ知りながら」提供する場合は、現⾏法においても、提供先との関係で提供元において容易照合性があると解釈されることは、逐条解説書（園部編、ぎょうせい、2003 年）にも記載されていた（該当部分を引⽤すると、「事業者……の間で組織的・経常的に相互に情報交換が⾏われている場合等は、『容易に照合することができ』る場合に当たると考えられる」とある）ことからすれば、今般の改正案は、規制強化ではなく、解釈の明確化であると理解している。
しかしながら、⼤綱には「提供元では個⼈データに該当しないものの、提供先において…
…」との記載があることから、容易照合性を加味してもなお提供元で個⼈データに該当しないものを対象とする趣旨と読む余地があり、そのような読み⽅を前提とすると、規制強化を意味することになってしまう。
⼤綱のこの記載が、法改正により実現するものか、ガイドライン等での解釈の明確化で実現するものかは必ずしも明らかではないが、法改正による場合には、追加される規定が、翻って対象とする客体について「提供元において容易照合性がないもの」であると解釈させることのないよう、条⽂を構成するべきである。
意⾒ 10【3 章 4 節 5「個⼈情報の保護と有⽤性に配慮した利活⽤相談の充実」25 ⾴】「パーソナルデータ」の語を定着させるべきではなく、「個⼈データ等」などの⽤語を定義して⽤いるべきである。
理由「新たに『パーソナルデータ効果的活⽤⽀援窓⼝』（仮称）を設置」とあるが、「パーソナルデータ」の語は、平成 27 年改正時に「個⼈データ」（個⼈情報）の定義を拡張するための検討⽤の仮設の⽤語であったものであり、その役⽬は既に終えている（当初計画された拡張は未達であったが）ことからすれば、この語を窓⼝の名称に⽤いてあたかも「個⼈データ」とは異なる何かを意味するものとして定着させるべきではない。
意図するところは、現⾏法の「個⼈データ」に限らない「個⼈に関する情報」をも含む（これは匿名加⼯情報と仮名化情報も含むことになるがそれに限られない）趣旨であると推察する。それならば、「個⼈データ等」の⽤語を、「個⼈データその他の個⼈に関する情報」などと定義して⽤いればよい。
（このことは、公正取引委員会「デジタル・プラットフォーム事業者と個⼈情報等を提供する消費者との取引における優越的地位の濫⽤に関する独占禁⽌法上の考え⽅」（令和元年12 ⽉ 17 ⽇）において「個⼈情報等」が「個⼈情報及び個⼈情報以外の個⼈に関する情報」として定義されたのと同様である。
）
意⾒ 11【3 章 7 節 3「地⽅公共団体の個⼈情報保護制度」32 ⾴】
個⼈情報保護条例は国の法律に統合し権限は個⼈情報保護委員会に⼀元化すべきである。
個⼈情報保護法第 5 条の「区域の特性」の趣旨は、法律が許す範囲で上乗せ横出し条例を認める趣旨で改正すべきである。
理由
個⼈情報保護法の第５条は、地⽅公共団体の責務として、「その地⽅公共団体の区域の特性に応じて」必要な施策を策定することを定めているが、基本的に個⼈情報等対象情報の定義や利⽤⽬的、安全管理、開⽰等の請求等の基本的な義務規定は本来的にナショナルミニマムの問題であり条例で規律すべきところではない。
もし、⽴法事実として現に「区域の特性」があるのであれば、第５条の趣旨は、個⼈情報保護法の趣旨の許す範囲で地⽅公共団体の上乗せ横出し条例を認める趣旨となるよう改正すべきである。
なお、今⽇では⽇⽶欧の Data Free Flow with Trust の実現に向けてグローバルな⽔準で個⼈の権利利益を保護していくべきであり、また同時にデータエコノミーの法的基盤整備を図り経済成⻑を具体的に実現していくべきである。特に、官⺠にわたる MaaS 等の実

現や、医療、介護、創薬、防災等のデータ流通の確保は、⽇本の今後の経済成⻑及び⾼齢社会への対応に向けて喫緊の課題となっている。そのためにも個⼈情報保護委員会に権限を移して全国統⼀的に法律でルールを定め、対外的交渉も⼀元化すべきである。