個人情報保護法の3年ごと見直しに対する意見

2024年1月31日（一社）日本経済団体連合会 デジタルエコノミー推進委員会

データ法制WG本日の内容I.

総論：個人情報保護法・個人情報保護委員会に対する要望

II. 各論：「検討の方向性①～③」に対する課題認識
III. その他要望

1I.

総論：個人情報保護法・個人情報保護委員会に対する要望

2

I. 総論：個人情報保護法・個人情報保護委員会に対する要望①

現状認識➢ Society 5.0 for SDG の実現には、個人の信頼を前提とした個人デー
タの活用が不可欠であるが、様々なステークホルダー間や越境のデータ連携は道半ば➢ 個人に関する情報区分の複雑化、各国・地域のデータ保護法制の相違、技術の進化による新たなリスクなど、保護と活用のバランスに係る複雑化に伴い、事業者の負荷が拡大➢ 本検討を契機に、デジタル社会における個人の権利利益の保護と利活用に関する俯瞰的な規律のあり方について議論が深化することを歓迎

3

I. 総論：個人情報保護法・個人情報保護委員会に対する要望②
1. 個人の権利・利益の保護と利活用に関する規律のグランドデザイン➢ 法目的や各規定の趣旨を踏まえつつ、国際的な動向やAI等の技術の進展と価値、国の重点計画や各省庁の政策、事業者の実務や予見可能性、消費者の価値観の変化等に照らし、中長期的なグランドデザインを描くべき

２．データ主体や社会からの信頼獲得➢ 適切な規律と執行、事業者の規律遵守と適正利用に向けた自主的な取組みの相互作用による信頼の好循環の形成➢ アジャイル・ガバナンスの考え方の採用、プライバシーガバナンスの促進等によるPDCAサイクルの構築と事業者の主体的取組みの推進

３．国際的なハーモナイゼーションに向けた取組み強化➢ DFFT（IAP等）やグローバルCBPRにおける省庁間連携の強化と検討の加速➢ 各国・地域の法制度の状況に関する情報提供の充実➢ データローカライゼーション規制の抑止やガバメントアクセスの在り方に関する検討4

II. 各論：「検討の方向性①～③」に対する課題認識5

1. 個人の権利利益のより実質的な保護の在り方①(1) 個人情報保護法の位置づけ➢個人情報保護法を個人の権利利益の保護と個人データの円滑な活用を一元的にカバーする規範と位置付け、個人情報保護委員会は事業者やデータ主体が法の正しい理解を促進する取組みを強化すべき(2) 個人情報保護委員会の機能➢

個人の権利利益の保護の実効性を高めるには、例えば戦略（グランドデザイン）の策定およびモニタリングを行う機能を具備し、PDCAを適切に回す仕組みの構築、事業者が利用しやすい相談窓口の整備・拡充、個人のデータリテラシー向上の支援体制など、組織の強化が有効(3) 第三者提供における本人同意の在り方➢

個人の権利利益の保護とデータ利活用を実質的に両立する観点からは、同意以外の方法についても検討することが適当

6

1. 個人の権利利益のより実質的な保護の在り方②(4) 新技術への対応、新技術の活用➢

AIやクラウドサービス等の新しい技術の実装に係る個人の権利利益への影響については、初期段階から広範な関係事業者を包含した検討を行うべき➢

秘密計算等のプライバシー強化技術による個人の権利利益の保護は実効性の高い施策であり、社会実装の促進に向けた運用体制や基準の検討、法制度の在り方も検討すべき(5) 不適正利用、不適正取得➢

不適正利用、不適正取得については、企業に過度な萎縮効果を生じさせないよう新たな技術の適用領域を斟酌し、範囲の明確化や適切な例示を行うべき(6) 子どもの権益保護➢

子どもの権益の保護に規律を設けることが重要であることは論を俟たないが、事業者の負担や活用のバランス等も十分検討の上、包括的な議論が必要(7) 協力要請等への対応➢

金融犯罪の防止目的など、第三者提供が必要なケースや警察等からの協力要請に対応する際の開示対象データの定義等を明確化すべき7

2. 実効性のある監視・監督の在り方①(1) 漏えい等事案の報告や本人通知の在り方① 「おそれのある事案」の定義、一定の条件等の例示② 「財産的被害が生じるおそれ」の定義の明確化、事例の充実③ 実態を踏まえた報告期限の見直し④ 責任の所在に応じた報告義務の差別化⑤ 不正の目的の漏えいにおける報告頻度の見直し⑥ 漏えい先で特定の個人を識別できない場合の漏えい報告、本人通知義務の見直し⑦ データ主体に確実に到達する手段がない場合の本人通知の在り方
等8

2. 実効性のある監視・監督の在り方②（参考）企業から寄せられた具体的な課題•

特にサイバー攻撃においてすべからく「おそれのある事案」を報告することは過度な負担。「おそれのある事案」の定義や一定の条件等を提示すべき•「不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態」の報告対象について、これまで判明した漏えい等の発生状況等を分析した上で、それでもなお1件でも報告対象とすべきか慎重に検討すべき•

報告期限の「速やか」の目安については個人情報取扱事業者が当該事態を知った時点から概ね3～5日以内とされているが、過去の報告内容を分析し適切に見直すべき•

本人の権利利益保護の要請がない場合や特定の個人を識別できないケース、本人に確実に到達する手段がないケース等における漏えい等報告、本人通知義務を適切に見直すべき•

技術や状況を総合的に勘案し第三者に閲覧等されていないと評価できる案件について「第三者に閲覧されていないことが確実に100％保証されるか」というゼロリスクではなく、状況に応じて合理的・合目的的に評価すべき•１件でも本人通知できない場合には公表しなければならない運用について、公表が求められるケースを重大な権利利益の侵害が生じるおそれがある場合に限定すべき•

漏えい報告がサンクションとして捉えられる誤解もあることから、報告の円滑化の観点から報告義務の趣旨を明確にし、慎重に判断すべき•

他者に帰責性があるケースに配慮すべき9

2. 実効性のある監視・監督の在り方③(2) 事業者の主体的な取組みや適切な対応を促す仕組み•

セキュリティや安全管理措置の強化への投資を促進する仕組み•

プライバシーガバナンスやデータガバナンス体制の整備を促す仕組み•

インシデント対応における好事例の紹介•

これまでの漏えい報告等に係る蓄積された情報をビッグデータとして分析、再発防止、サイバー対策等に民間が積極的に活用できる仕組み•

PIA（プライバシー影響評価）の普及への支援•

データ保護責任者やプライバシー専門人材の育成支援(3) 権限行使や制度検討の透明性➢ 行政調査や行政指導、公表といった権限行使の基準や手続きを透明化す
べき➢ 3年ごと見直し等、国民全体、事業者全体への影響が大きい議論については公開形式で行う等、検討過程の透明性を高めるべき103. データ利活用に向けた取組に対する支援等の在り方①(1) ガイドライン ／ Q&A➢ 日々進歩する技術や新しいサービスの調査、事業者の実務や課題の継続的な把握により、内容を随時アップデートすべき。また、明記することで適切な利活用が促進する、もしくは事業者の負荷が軽減される視点からのアップデートが望ましい(2) 認証制度➢ 個人情報保護に係る各認証制度について個人情報保護法における特定の規制が緩和されるなど、実益のある制度を設計すべき(3) 準公共分野における利活用➢ 前回の法改正において製薬企業が実施する研究を「公衆衛生の向上に資するもの」と位置付けたが、Q&A には様々な要件があり例外規定による活用は困難。準公共分野における個人情報の利活用を推進するため、まずは仮名化での医療データの活用を円滑に行うための法制度を皮切りに、一般法とは別に利用ニーズに合致した特別法を整備すべき(4)DFFTの促進➢ グローバルCBPRやDFFT等の取組みが有機的に連携するよう、省庁間連携の具体的方策を検討すべき➢ 「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」として指定する国の拡充を検討すべき11

3. データ利活用に向けた取組に対する支援等の在り方②（参考）ガイドライン ／ Q&Aについて企業から寄せられた具体的な課題•

いわゆる「クラウド例外」については、現在のQ&Aのアプローチに基づいて実務に定着し有効に機能しているところ、追加の条件等の付加には慎重を期し実務上の混乱なきよう進めるべき•

個人情報保護委員会は事業者間の各種契約の記載例の提示などの支援を行うべき。
記載例については、事業者の自主的な取組みを尊重し、定型的な契約文言を一律に強制しない旨、明記すべき•

委託先が委託の範囲内で作成した統計情報を自社のために利用することなど、第三者提供の同意が取得できないケースにおける統計情報の活用に関する明確化•

学術研究目的において個人データの第三者提供同意等の適用除外となるケースの例
示の充実•リモート手続きが増加している現状を踏まえ、金融分野で制限される口頭での同意を認める記載•匿名加工情報については、作成後、都度の公表ではなく、事前・包括的な公表も可能とする旨の明記•

予め従業員からの包括的な同意を得ている範囲で、当該法人が従業員の個人データを第三者提供する際の取扱いの明記•

グループ会社間の個人データの第三者提供について、別途トレーサビリティが確保可能な場合には記録作成・保存義務及び個人データの受領に係る確認義務・記録作成義務が不要となることの明記。及び開示請求対象からの除外
12

Ⅲ．その他要望

13

その他要望➢ 生成AI等新しい技術の活用に関する要望• 個人の権利利益の保護や事業者の負荷軽減に資するガイドラインやQ&Aの充実、適宜修正は歓迎。生成AIなど日進月歩で発展する新しい技術については、関係事業者も交えた検討を進めつつ、イノベーションや健全な成長を阻害することがないよう、ガイドライン等の記載は必要最小限にとどめるべき• 一定の保護がなされている個人情報の第三者提供の規律緩和（秘密計算技術等により個人識別性を排除した上で、統計処理やAIモデル作成等を目的とする場合、研究開発や新たな価値創造を行う場合等）• 自動運転や映像解析AIの高度化、その他社会課題の解決に期待されるカメラ映像の大規模な収集・活用が進まず。目的や対象データに応じた取り扱いに関するガイドライン等の充実に加え、産官学間の流通や集約に向けた法制度や仕組みを検討すべき14