2023

WINTER

IT-REPORT
Contents【特集】企業におけるプライバシーガバナンス
座談会 今考えるプライバシーガバナンス〜生成AIをはじめデータの高度な利用が進む中で〜

01
01【JIPDECレポート】
DFFT促進の現況と課題

09
09

国立情報学研究所 教授 佐藤 一郎氏
PwC Japan有限責任監査法人 システム・プロセス・アシュアランス
パートナー 平岩 久人氏
一般財団法人日本情報経済社会推進協会 電子情報利活用研究部
主幹 恩田 さくら

元 一般財団法人日本情報経済社会推進協会

上河辺 康子グローバル化する個人情報の越境移転ツール

13

メタバースと個人情報やプライバシーについて19

AIガバナンスに係る国内外の動き

22

プライバシーマーク25周年 記念表彰式【記念講演レポート】
JIPDECプライバシーマーク制度創設25周年を迎えて〜更なる発展を目指して〜

24
26
26

【コラム】
JIS Q 15001の改正について

31
31

英国政府のサイバーセキュリティ戦略

32

ドメイン名のご利用は計画的に

33

デジタルトラストとトラストサービスの信頼性評価

34

一般財団法人日本情報経済社会推進協会 認定個人情報保護団体事務局
事務局長 奥原 早苗
一般財団法人日本情報経済社会推進協会 電子情報利活用研究部
野町 綺乃

特

集

企業における
プライバシーガバナンス

一般財団法人日本情報経済社会推進協会 電子情報利活用研究部
主幹 恩田 さくら

一橋大学名誉教授、元JIPDECプライバシーマーク制度委員会委員長、
元個人情報保護委員会委員長 堀部 政男氏

一般財団法人日本情報経済社会推進協会 電子情報利活用研究部
主幹 恩田 さくら一般財団法人日本情報経済社会推進協会
セキュリティマネジメント推進室 主任研究員 大熊 三恵子
一般財団法人日本情報経済社会推進協会
セキュリティマネジメント推進室 主幹 高倉 万記子

一般財団法人日本情報経済社会推進協会 デジタルトラスト評価センター
副センター長 萩原 隆

35〈資料編〉国内外の主な個人情報保護関連の年表
情報化に関する動向（2023年4月〜2023年9月） 39

一般財団法人日本情報経済社会推進協会

JIPDEC IT-Report 2023 WinterChatGPTの登場から早1年。生成AIの進化によって、私たちの生活、ビジネスは大きな変革期を迎えています。
早々にAI利用に関するガイドラインや声明を発表する企業や大学も相次ぎ、技術の進歩に合わせていかに社内の体制構築を行うかは、今後、とても重要な経営テーマになると感じています。
つい1年前にはなかったものが自分たちの仕事を大きく変える。このような変革がこの後もどんどん起こっていくとすれば、状況を素早く把握して、理解した上で必要か不要か、必要であればどのよ
うな体制、ルールで活用していけばいいのかを変化を恐れず柔軟に受け入れる姿勢が必要だと思います。
IT-Report 2023 Winterでは、生成AIなど技術の進歩に伴いますます配慮が必要になっているパー
ソナルデータと、さらにはデータの利活用が高度化するに当たり、より効果的かつ安全に取り扱うためのヒントとして、「プライバシーガバナンス」の観点から高度化するデータの利活用に対してどう向き合うかについて特集を組みました。
また、データ流通の国際的な取組みとして、「グ
ローバルCBPR」や「DFFT」に関する調査レポー
トのほか、今年4月に25周年を迎えたプライバシー
マークの表彰式の模様等も収録しています。
本誌掲載の内容は、JIPDECのWebサイトでも公開中です。資料の引用・転載等をご希望の方はぜ
ひお問い合わせください。皆さまの日々の業務対応、改善の一助になれば幸いです。
2023年12月
一般財団法人日本情報経済社会推進協会

Contents【特集】企業におけるプライバシーガバナンス
座談会

01

今考えるプライバシーガバナンス〜生成AIをはじめデータの高度な利用が進む中で〜
国立情報学研究所

教授

01

佐藤 一郎氏PwC Japan有限責任監査法人
システム・プロセス・アシュアランス パートナー 平岩 久人氏
一般財団法人日本情報経済社会推進協会

電子情報利活用研究部
主幹 恩田 さくら

【JIPDECレポート】

09

DFFT促進の現況と課題
元

09

一般財団法人日本情報経済社会推進協会

グローバル化する個人情報の越境移転ツール
一般財団法人日本情報経済社会推進協会

13

認定個人情報保護団体事務局
事務局長 奥原 早苗

メタバースと個人情報やプライバシーについて
一般財団法人日本情報経済社会推進協会

AIガバナンスに係る国内外の動き

19

電子情報利活用研究部

野町 綺乃

22

一般財団法人日本情報経済社会推進協会

プライバシーマーク25周年

上河辺 康子

記念表彰式

電子情報利活用研究部
主幹 恩田 さくら24

【記念講演レポート】

26

JIPDECプライバシーマーク制度創設25周年を迎えて～更なる発展を目指して～

26

【コラム】

31

一橋大学名誉教授、元JIPDECプライバシーマーク制度委員会委員長、元個人情報保護委員会委員長
堀部 政男氏JIS Q 15001の改正について

31

一般財団法人日本情報経済社会推進協会

英国政府のサイバーセキュリティ戦略
一般財団法人日本情報経済社会推進協会

ドメイン名のご利用は計画的に一般財団法人日本情報経済社会推進協会

電子情報利活用研究部
主幹 恩田 さくら32

セキュリティマネジメント推進室
主任研究員 大熊 三恵子

33
セキュリティマネジメント推進室
主幹 高倉 万記子

デジタルトラストとトラストサービスの信頼性評価

34〈資料編〉国内外の主な個人情報保護関連の年表
情報化に関する動向（2023年4月～2023年9月）

35
39

一般財団法人日本情報経済社会推進協会

デジタルトラスト評価センター
副センター長 萩原 隆

企業におけるプライバシーガバナンス

企業におけるプライバシーガバナンス

特集
座談会

今考えるプライバシーガバナンス〜生成AIをはじめデータの高度な利用が進む中で〜
国立情報学研究所

PwC Japan有限責任監査法人

システム・プロセス・アシュアランス

一般財団法人日本情報経済社会推進協会

教授

パートナー

電子情報利活用研究部

主幹

佐藤
平岩
恩田

一郎氏
久人氏
さくら

企業のプライバシーガバナンスとは、プライバ

はじめにシー問題の適切なリスク管理と信頼の確保による企デジタル化の加速を背景に、パーソナルデータの業価値向上に向けて、経営者が積極的にプライバ

利活用におけるプライバシーへの配慮はますます重シー問題への取組みにコミットし、組織全体でプラ要になってきています。経済産業省、総務省は、「企

イバシー問題に取り組むための体制を構築し、それ業のプライバシーガバナンスモデル検討会」での議を機能させることをいいます。ガイドブックでは、論を通じて、企業が社会から信頼を獲得するためのプライバシーガバナンスの構築のために、経営者がプライバシーガバナンスの構築に向けて取り組むべ

取り組むべき3要件及びプライバシーガバナンスのきことを取りまとめた「DX時代における企業のプ

重要項目（5項目）が整理されています（図1参照）。

ライバシーガバナンスガイドブック」（以下、ガイ

2021年7月に公表されたガイドブックver1.1やドブック）を2020年8月に発表し、その後も2023

2022年2月に公表されたガイドブックver1.2では、年4月に公表されたガイドブックver1.3に至るまで、

具 体 的 な 事 例 の 充 実 が 図 ら れ ま し た。 そ し て、改訂を重ねてきました。

2023年4月に公表されたガイドブックver1.3では、

図1．DX時代における企業のプライバシーガバナンスガイドブックver1.3の概要（出典）「DX時代における企業のプライバシーガバナンスガイドブックver1.3概要」

IT-Report 2023 Winter1ガイドブックの理解をさらに深めていただくことがガバナンス体制を構築しできるよう、ガイドブックに記載される概念整理がていただけたと思いま

進められ、プライバシーガバナンスについてのフす。私も他の検討会の委

レームワークによる整理等が追加されました。また

員も、ここまで皆さんにあわせて、海外への発信を見据えたガイドブック

ご賛同いただけたことver1.3英訳版や、実務において参照できる具体的なを、素直に喜んでいると情報を充実してほしいとのニーズを踏まえて、ガイころです。まずはお礼をドブックの要件、重要項目別に整理した、実践例集申し上げたいと思いま「企業のプライバシーガバナンスに関する実践例のす。啓発活動を続けてい整理」（以下、実践例の整理）が公表されました。

ただいた、経済産業省、

ガイドブックや実践例の整理の内容の詳細につい総務省、検討会の委員のては、ぜひ本文や概要資料を参照ください 。
1

国立情報学研究所 教授
佐藤 一郎氏方々、JIPDECにも、検討会の座長として深く感

2020年8月のガイドブックver1.0リリース後、3謝申し上げます。

年が経過しました。今回は、ガイドブックを取りまとめた「企業のプライバシーガバナンスモデル検討

平岩：この3年間、多く会」座長 国立情報学研究所 佐藤一郎氏と、検討会の企業の方とお話する中に委員として参加されたPwC Japan有限責任監査

で実感しているのは、技法人 平岩久人氏に、今、改めてガイドブックをど術やサービスの進展に伴のように捉えていらっしゃるか、企業の皆さまが自い、様々なデータの利活社の有するプライバシーリスクや組織構造の特性に用のアイデアは生まれて応じてプライバシーガバナンスを実践される際のポきていても、このようなイントやヒント、生成AIをはじめ高度なデータ利活

使い方を本当にして良い

用が進む現状を踏まえ、今後のプライバシーガバナのだろうかという不安がンスをどう考えられるかについて、対談形式でお話つきまとっている、といを伺いました。

うことです。そのような

PwC Japan有限責任監査法人
平岩 久人氏JIPDEC恩田

さくら

時に、このガイドブックを参照してもらいたいで

今考える、プライバシーガバナンスガイドブッ

す。実際、多くの企業がガイドブックを参考に、ガクの意義

バナンスの構築を進めていただいていると思いま

恩田：2020年8月のガイドブックver1.0リリースから事例を取りまとめることができたのは、とても意義

3年が経過しました。いま、ガイドブックをどのようのあることだったと思います。

す。2023年4月に「実践例の整理」として、多くのに捉えられているかから、お話を聞かせてください。
佐藤：検討会の議論でも何度か話題に上がりました
佐藤：この3年の間に、多様な業界の特にトップ企

が、日本では、個人情報は、法律に基づく情報の類

業を中心に、ガイドブックに沿った、プライバシー型であり、比較的明確です。では、個人情報保護法

1

2

経済産業省「DX時代における企業のプライバシーガバナンスモデルガイドブックver1.3（令和5年4月25日改訂）」https://www.meti.go.jp/policy/it_policy/privacy/privacy.html#book
総務省「「DX時代における企業のプライバシーガバナンスガイドブックver1.3」を策定しました（令和5年4月25日）」
https://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000513.html

IT-Report 2023 Winter企業におけるプライバシーガバナンス

ですが、その前身となったOECDのプライバシー8

す。この点について、今後、法令対応は当然として、

原則 を考えると、個人情報とプライバシーに関す

ガバナンスという形でどのように配慮、保護を実践ることの重なりが大きいという点を利用して、個人していくのかというところが、今、多くの企業の方

情報保護を通じて間接的にプライバシーを保護するが悩まれている点だと思います。

2ということが、個人情報保護法の考え方なのではな
いか、とも思います。プライバシーの保護として考佐藤：プライバシーの保護に関して権利利益の侵害

慮すべき範囲と、個人情報保護法により守られる範ということになれば、当然民事的な訴訟にはなりま

囲は重なっていますが、一方で、両者の範囲は同じ

すが、個人情報保護法で保護できる範囲は限定的でではない（図2参照）ということは、ガイドブック

す。プライバシー保護の観点から配慮すべき情報のを理解する上で、重要な点だと思っています。近範囲が広がっていることを考えると、どのような情

年、ビッグデータ、IoT、AIなどが進化することに報を、どのように利用すれば、適切な保護をした上

よって、個人情報ではなくても、プライバシー保護での活用となるのか、企業自身が考える必要がありの観点からは配慮しなければならない、利用の仕方ます。このガイドブックは、それを考えていただくによっては、個人の権利利益の侵害になるような情ための基本的な枠組みを提供しています。ガイド

報の範囲が広がっています。そのため、個人情報保ブックは、繰り返しバージョンアップを行い、その護法を守れば、プライバシーが守れるということで時その時で必要な情報や事例を追加する等していまはなくなってきていて、プライバシーを保護するとすが、骨格はあまり変わっていません。

いうことと、そのプライバシーの保護のためのガバナンスが、より重要になってきていると思います。
平岩：個人情報の保護とプライバシーに関する情報

プライバシーガバナンスへの主体的な取組みと企業文化の醸成の保護については、プライバシーに関する情報の利

恩田：ガイドブック策定や改訂の検討の中で、他に用の仕方が進化していて、今まで想像すらできな

強調されたい点や、印象的であった点について、さかったような使い方ができてしまい、分析や推論をらにお話を伺います。

経てプライバシーを侵害しうるような状況がありま

図2．プライバシー保護の観点で考慮すべき範囲（イメージ）（出典）「DX時代における企業のプライバシーガバナンスガイドブックver1.3」

2

 ECDが1980年9月に採択した「プライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告」
Oに記述されている以下8つの原則。「目的明確化の原則」、「利用制限の原則」、「収集制限の原則」、「データ内容の原則」、「安
全保護の原則」、「公開の原則」、「個人参加の原則」、「責任の原則」が定められている。

IT-Report 2023 Winter3

佐藤：このガイドブックは、企業の自主的な取組み

大事になってくるのは、組織に根付いた企業風土を促す枠組みです。検討会で議論になった内容で、や文化であると最近つくづく思います。担当役員を“北風と太陽”という話があります。企業にプライ指名し、組織を作ってプライバシー保護活動を始め

バシーガバナンスに取り組んでいただく際に、「プるのももちろん大切であり必要です。他方、プライ

ライバシー侵害が起きると社会的にも怒られます

バシーに関する情報の利活用を伴う新しいビジネス

よ、だから対策をしてください」という「北風」的を企画する、あるいはプライバシーに関する情報をな、ネガティブインセンティブにより説明するとい実際に取り扱う際には、その情報の背後にいるお客う考え方と、「企業がプライバシーを適切に保護す

様、生活者を、リアルに想像して、プライバシー保ることによって、消費者の信頼が得られ、結果的に護という取組みを行っていけるかどうかが、非常に収益の改善につながります」という、いわゆる「太重要なポイントなのだと思います。こういったプラ

陽」路線、ポジティブインセンティブにより説明す

イバシー保護に関する企業風土や文化は、社内規程るという考え方があると思います。どちらも成立すを定めるだけで実現できるものではありませんし、ると思いますが、私の個人的な見解としては、企業

プライバシー保護のための社内組織があるだけでもに自主的に対応いただくとなると、やはりポジティ

十分ではなく、一人ひとりが意識し続けざるを得な

ブインセンティブ、「太陽」路線を強調せざるを得い。これから、データの利活用が高度化し、ますまないところがあると考えています。皆さんにご理解す難しい判断や対応を迫られることが多くなってくいただきたいのは、プライバシーの対応は、嫌々すると思いますが、先ほどの佐藤先生のお話の、ポジるというものではなく、それによってお客様の信頼

ティブインセンティブの基礎になりうるのは、企業が上がり、自社の売上げが伸びるという観点からすのプライバシー保護に関する風土や文化なのではな

れば、むしろ企業の商品やサービスの品質改善と同

いかと思います。

じものなのだということです。その観点でプライバ
シーへの対応をしていただくことが、重要だと思っています。

自社の特性にあわせたプライバシーガバナンスの実践に向けて

平岩：プライバシーという、時間の経過やコンテク

恩田：自社の有するプライバシーリスクや組織構造

ストに応じて可変的であるものに対して、企業がどの特性にあわせた実践が強調されたところですが、う向き合っていくかを考えたときに、「静的で固定実際にプライバシーガバナンスに取り組もうという的な組織やプロセスを構築し、一般的・典型的なリ企業においては、もう少し踏み込んだアドバイスやスクと対策が整備されてさえいれば十分にプライバヒントをいただけたらありがたいという面もあるの

シーへの対応ができる」ということではない、といではないかと思います。本年4月にガイドブック

う点を、常に意識していました。具体的には、例え

ver.1.3にあわせて「実践例の整理」を公表していばプライバシー保護体制を検討するときに、「適切

ますが、これは実際に事業者の方から、実務で参照な形を提示してほしい」という気持ちはとてもよくできる具体的な情報（プラクティス）を充実して欲わかるのですが、やはりこれまで培ってきた企業のしいという声を受けて整理されたものでした。

特性や組織構造、風土や文化に即した形で考えてい4

ただく必要がある、と強調してきたつもりです。可佐藤：確かに、急にプライバシーガバナンス、プラ

変的なものに対して静的に対応するのではなく、そイバシー保護をしてくださいと言っても、なかなかの時々の技術の進化や、社会的な受容性の変化に対そういった経験がない企業からすると「どうやった応できるような柔軟な組織や対応の在り方はどういらいいのか」と思うところです。ガイドブック中でうものか、という問題意識のもとで、そう申し上げ

も、「実践例の整理」でも、いろいろな企業の事例てきました。

をご紹介しているので、それを見ていただくことは

IT-Report 2023 Winter企業におけるプライバシーガバナンス

有益だと思います。ただ、平岩さんからも指摘がて、プライバシーを侵害してもいいので売上げを上

あ っ た よ う に、 プ ラ イ バ シ ー 保 護 は 企 業 の カ ル

げたいという誘惑に駆られることがあるかもしれま

チャーに大きく依存しています。もう少し具体的なせん。それを避けるために、我々はちゃんとガバナお話をすると、同じ情報でも、利活用する企業の業

ンスを作ってくださいと申しているのと、企業の考種によって、プライバシー的な懸念が起きる場合もえ方と、消費者やそのほか多くの方々の考え方はあれば、起きない場合もあります。例えば、「人が違ってくる可能性があるので、消費者団体を含めた在宅しているかどうか」という情報は、警備会社が第三者の意見を聞いて、取り入れて、どういう情報持っていてもプライバシー的に問題とは言われないをプライバシーとして守るべきなのか、またはそのかもしれない（もちろん、言われる場合もあるかも中でどのように利用すればプライバシーの問題が起しれませんが、気にしない人もいるかもしれない）。

きずに済むのかということを、よく理解して進めてでも、それを家電メーカーが持っていたとしたら、いただくことが大切だと思います。

プライバシーの観点からすると、変でしょう、という話になるかもしれない。このように、同じ情報で

平岩：ガイドブックver.1.3への改訂に当たって、概あっても、利活用する企業の業種によって、消費者念整理を行い、フレームワークのイメージを具体的の捉え方は違ってくるし、また、同じ業種の中におにすることができました（図3参照）。フレームワー

いてもどういうビジネスでその情報を利用するかにク自体は非常に抽象度の高いものなのですが、それ

よって、「ここまでは利用できる」という範囲は違っでもこのようなフレームワークがあれば、フレームてくるところがあります。したがって、事例を参考

ワーク中のいくつかの機能は、自社の中で、既に確にしていただくことは大切ですが、結局は、企業自立した、あるいは類似した機能や組織、プロセスな

身が考えなくてはいけない。実際にプライバシーをどがあり、それらを活用してプライバシーガバナン

守るのは、組織だけでなく、従業員一人ひとりなの

ス構築を検討する契機として役に立つのではないか

で、一人ひとりがその企業でどういうプライバシーと考えたからです。プライバシーガバナンス構築にを守っていくのかという共通の認識を、きちんと作

当たり、どこから手を付けたらいいかわからないとるということが大切だと思います。こういった取組いうことがもしあれば、このフレームワークを自社

みには、なかなか「銀の弾丸」はないと思いますが、のプライバシー保護活動に当てはめてみて、自社のただ一方で、プライバシーの保護は、企業によって取組みで既に実現できているところや、逆に足りなは自社の利益やビジネスと相反するところがあっいところはどこか、不足する点を実現するにはいつ

図3．プライバシーガバナンスのフレームワーク（イメージ）（出典）「DX時代における企業のプライバシーガバナンスガイドブックver1.3」

IT-Report 2023 Winter5

までに何が必要か、そういった議論からはじめていただくのも、一つの進め方だと思います。

③生成AIの出力に個人のプライバシーに関する情報が出てくるという問題

また、実際に取り扱うプライバシーに関する情報④AIの生成物にプライバシーの情報が含まれていのリスクを検討するときには、第三者、外部の目線るとして、それが正しくなかった場合の問題を入れ続けることができる体制・組織にすることが重要です。有識者の先生方からご意見を伺うことも一案ですし、プライバシーに関して問題になった事

4つとも、個人情報保護法だけで守れるかというと、そうではなさそうです。

案を含む社会の動向や実際のお客様の声なども含め①は、学習モデルと特定の個人との対応関係が排て、プライバシーに関する多様な考え方、感じ方、

斥されている場合には、学習モデルは個人情報では受止め方というものを、リスク管理のインプットとないとされていますが3、そもそも統計データについして確保できるような仕組みにしてもらえると良いては利用目的の特定が不要とされています。このこのではないかと思います。

とから、個人情報ではない学習モデルについて、利用目的規制との関係でどのような解釈をするのかが進む高度なデータ利活用とプライバシーガバナ

不明瞭との指摘もあります。②は、入力（プロンプ

ンスト）が利用目的の範囲内であることを十分に確認す

恩田：次に、プライバシーガバナンスをめぐる今後

結果の出力以外の目的で取り扱われる場合（生成AIの動きについて、お話を伺います。目下、生成AIのを提供する事業者の側で学習データとして利用され利活用が急激に進んでおり、各社がガバナンスを効ることが予定されている場合）には、個人情報保護

かせつつどう生成AIを活用していくか、悩まれてい法の規定（利用者が入力した情報が個人データである状況もあると思います。

れば第三者提供に当たるため本人同意が必要となる

るよう注意喚起されていますが（入力に対する応答等の規定等）に違反することとなる可能性がある
佐藤：生成AIに関しては、ChatGPTが出てきたの

4、やはりそもそもプロンプトとしてプライバ
等）

が2022年11月30日で、比較的新しい話題です。生

シーに関する情報を入力するのは、学習モデルに反成AIについては、いろいろなリスクがある中に、プ映されていなくても生成AIの事業者のログには残る

ライバシーに関するリスクもありますが、必ずしもので、プライバシーの観点では配慮がいるのではな

しっかりとした手当てがまだできていない、といういかと思います。③は、個人情報保護法では、出力状況だと思っています。実際、生成AIに関するプラを規律するのは、個人データの第三者提供に係るもイバシーにかかわる問題はいくつかありますが、主のであり、体系化されていない状態の個人情報やプなものは以下の4つと認識しています。

ライバシー情報については規律が十分にできない可能性があります。④に関しては、個人情報保護法の①プ ライバシーに関する情報が生成AIの学習対

場合、開示請求をすることができるのは保有個人

象、学習データに含まれてしまうという問題

データ（個人データであって、事業者が修正や訂正②利用者が生成AIを利用するときに入力（プロンができる場合）となるため、やはりこの条件に当てプト）に誰かのプライバシー情報を入れてしま

はまらなければ、開示請求への対応が法的には求めうという問題きれない可能性があります。個人情報保護法で十分

3 「個人情報の保護に関する法律についてのガイドライン」に関するQA1-8
（ https://www.ppc.go.jp/all_faq_index/faq1-q1-8/ ）4 「生成AIサービスの利用に関する注意喚起等について」
（個人情報保護委員会、2023年6月 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/ ）リーフレット「生成AIサービスの利用に関する注意喚起」（個人情報保護委員会、https://www.ppc.go.jp/files/pdf/generativeAI_notice_leaflet2023.pdf ）6

IT-Report 2023 Winter企業におけるプライバシーガバナンスに保護しきれないと思われるところは、現状は、企切な同意なり手順に則って取得されたものなのかど

業が、個人情報に限らずプライバシーに関しても配うかが、わからないと、使えないわけです。こう慮いただきながら、自主的に保護していただかなけ

いったことに対して、プライバシーガバナンスをればならない状況なのではないか、と思います。

しっかり構築していただくことによって、他社のデータでも取得経緯、同意及びそのときの説明内容

平岩：生成AIを利用していきたいと考えている企業がある程度見えてくることで、データの利用が広がが多くある一方で、今ご指摘のあったようなリスク

る可能性はあると思います。

や懸念事項も、多く挙げられています。まずは自社で規定やルールを整備したいというご相談をいただ

平岩：佐藤先生の仰るように、まずは各社で個々にくことが多いです。生成AIのユーザー側においてガバナンスを構築してもらうことが大前提であるとは、個人情報やプライバシーに関する情報は入力し思います。その上で初めて、データ流通させたとな い、 生 成AIを 利 用 し て 出 力 さ れ た も の は 人 がき、あるいは共通のデータ流通の基盤を複数社で利チェックするということが多いようですが、現状用するようなとき、責任分界点はどこで、どの企業

は、企業がそれぞれ自主防衛的、保守的に対応せざが何をやるべきなのかという話ができるのだろうとるを得ない状況ではないかと思います。

思います。利活用の仕方のモデルやアーキテクチャにも依存しますが、各社の責任範囲として行うべき

恩田：ありがとうございます。他方、データ流通や領域がある一方で、共通的な基盤として、どこの会

連携の基盤の整備が進むなど、複数社の間でデータ社がやってもいいが、どこもあまりやりたがらないを流通・連携させて、新たな価値を生んでいく取組

ような領域も、おそらく出てくるのではないでしょ

みも進んでいます。プライバシーガバナンスとの関うか。この点、公的な機関か業界団体等が担うのか連で、将来像や、今後検討が必要となること等があ

わかりませんが、いずれにせよ各個社のガバナンス

れば、お聞かせください。

では拾いきれないところを誰がどのようにサポートできるかが、データ流通が進展するかどうかの一つ

佐藤：1社ではなく複数社におけるプライバシーガの鍵ではないかと思います。

バナンスは、なかなか難しい問題です。コーポレー
トガバナンスは、基本的には個社単位の考え方なの

佐藤：複数社のアライアンスに入りさえすればよいで、まずは個社でガバナンスを作っていただくことと考える企業が出てくると思うので、複数社でデーが先で、その上で、複数社間で、何らかのプライバ

タを利活用するような将来においても、各社が責任シーに関するルールや、考え方を作っていくというをもって個社のガバナンスをするという線は、押さことかと思います。

えておいた方がいいと思います。

データの流通の観点では、日本ではDFFT（DataFree Flow with Trust：信頼性のある自由なデータ

平岩：確かに、そのようなケースも考えられますの

流通）といった考え方も非常に強いですが、なかなで、各社が責任をもって個社のガバナンスをすべきか進んでいないところもあります。それは、一つはであることは、前提として確認しておきたいですね。

データの取得経緯が見えないと分析が難しいことです。例えば、スーパーの購買履歴であれば、スーパーがある商品を安売りしていた時のデータなのか

企業の皆さまへのメッセージ

どうかで、分析が全く違ってくるというように、

恩田：それでは最後に企業の皆さまへのメッセージ

データの取得経緯がわからないと、分析はできないをお願いします。

という点が挙げられます。さらに、プライバシーや法的な問題がでてきたときには、そのデータが、適

佐藤：はじめの方で申し上げた通り、プライバシー

IT-Report 2023 Winter7

の観点で配慮すべき範囲と、個人情報保護法により用されてしまう恐れもあるところには注意が必要だ

守られる範囲は、同じではないということを認識しと感じています。

ていただきたいです。プライバシーに関しては、利用の仕方や企業の業種であったり企業の特性によっ

恩 田： ガ イ ド ブ ッ ク で は、 第5章 でDANIEL J.

て、プライバシーの侵害が起きる場合があったり、

SOLOVEの「A Taxonomy of Privacy」を参照して起きない場合もあって、企業自身が考えていかなけ「プライバシー問題の例」が掲載されています。プ

ればいけないところです。それを考えるための枠組

ライバシー問題を提起する特定の諸活動に焦点を当

みや、実現するための方法論、考え方が、ガイドて、類型論として整理されたものと理解していま

ブックにまとめてあるのでぜひ参考にしていただきす。プライバシーの捉え方には様々な考え方、アプ

たいと思います。企業自身で考えて、そこで働いてローチがありますが、ガイドブック記載の内容が、いる一人ひとりがその考え方を共有することが、大企業の皆様の検討のお役に立てばと思います。

切だということを再度強調したいと思います。
2点目としては、ややアカデミックな観点ですが、

平岩：プライバシーガバナンスは、プライバシーと現状、プライバシーについて、主に2つの考え方がいう可変的なものを対象としなければならない以あると思っています。一つは、憲法13条に基づく、上、社内規程や組織、プロセスを一回作って終わり、

いわゆる「自己コントロール権」説、もう一つは、というものではないということを、改めて強調して「適正な取扱いを受ける権利」説です。自己コント

おきたいと思います。これからプライバシーガバナ

ロール権は、自己に関する情報の開示範囲や利用にンスの構築に取り組まれようとされる企業の皆さん

ついて自分自身で決められるという考え方です。同には、このガイドブックが、基本的なところから解意するか否かが重要となってきます。一方、適正なきほぐして、本質的なところをすべてカバーしてい取扱いを受ける権利は、同意やオプトアウトは、自ると思いますので、まずご一読いただければと思い己の情報が適正に扱われる手段にすぎないので、適ます。その上で、具体的にどうしたらいいかわから正に扱われることを担保できさえすればいいのではないときには、「実践例の整理」を見ていただけれないか、という考え方です。ガイドブックは、一見、ばと思います。そこで試行錯誤をしながら、取り組

後者として読めてしまうかもしれませんが、例え

み続けることが何よりも大事だと思います。その先ば、企業が個人に対して同意を求めたり、オプトアにあるのは、プライバシーを保護する企業風土や文プトを提供することによってプライバシーの侵害を化だと思いますので、そこに向けて、地道な取組み

未然に防ぐという、前者となる自己コントロール的かもしれませんが、懲りずにやり続けていただくこなやり方を積極的に使っていくことを否定していまとが一番重要かなと思います。

せん。なお、現状は、後者、つまり「適正な取扱いを受ける権利」説の場合、適正な取扱いはなにかと恩田：本日は貴重なお話を伺わせていただき、ありいうところは不明確なところもあり、また、同意やがとうございました。

オプトアウトをさぼってもよいという理由付けに利8IT-Report 2023 Winter企業におけるプライバシーガバナンス

JIPDEC
レポート
DFFT促進の現況と課題
元

一般財団法人日本情報経済社会推進協会

上河辺 康子なった。G20大阪首脳宣言では、DFFTはデジタル

はじめに経済の機会を活かすものとされ、“データ、情報、信頼性のある自由なデータ流通（Data Free Flow

アイデア及び知識の越境流通は、生産性の向上、イwith Trust、以下、DFFT）は、日本が国際社会に

ノベーションの増大及びより良い持続的開発をもた向けて提唱したデータ利活用の在り方を示す概念でらす一方で、プライバシー、データ保護、知的財産あり、提唱後は国際的な議論の論点として定着して権及びセキュリティに関する課題を提起する”3ときた。また、気候変動、COVID-19のパンデミック、し、国内的及び国際的な法的枠組みの双方が尊重さウクライナ情勢、生成AI利用拡大等を通じて、デーれることの必要性や、異なる枠組みの相互運用性に

タ越境移転の必要性及びその国際的な規制の在り方言及された。

に関わるDFFTは、ますますその重要性を増していると考えられる。今回は、DFFTに関する国際的な議論の経緯をふまえ、DFFT推進に向けた取組みの

2．DFFTのための協力体制の構築
DFFTは、日本による提唱後、国際的なデータ流

進捗と課題を検討したい。

通のあるべき姿として、G20、G7の国際会議の場

1．日本によるDFFTの提唱において議題に挙げられてきた。G20は、2020年以降も首脳宣言等でDFFTに言及してきた。2023年

DFFTは、2019年1月の世界経済フォーラム年次

は、インドがG20の議長国を務め、G20デジタル経総会（ダボス会議）における安倍総理大臣（当時）済大臣会合の成果文書及びG20ニューデリー首脳宣の演説において言及された 。その意味は、「デジタ

言では、デジタル公共インフラの相互運用の観点か

ル時代の新たなIT政策大綱」（2019年6月7日、高度らDFFTを実現することの重要性に言及された4。

1

情報通信ネットワーク社会推進戦略本部・官民デー

G7では、DFFT具体化に向けた協力体制の構築がタ活用推進戦略会議）において、“プライバシーや進められてきた。2019年8月のG7ビアリッツサミッ

セキュリティ・知的財産権に関する信頼を確保しな

ト（議長国：フランス）の成果文書「開かれた自由

がら、国際的に自由なデータ流通の促進を目指すとで安全なデジタル化による変革のためのビアリッツ

いうコンセプト”2と説明された。

戦略」では、DFFTはデジタル化による変革の機会

さらに、同年6月のG20大阪サミット（議長国：を活かすものとされ、G20大阪首脳宣言と同様、国日本）の成果文書であるG20大阪首脳宣言にDFFT

内及び国際的な法的枠組みの双方が尊重されることが盛り込まれ、DFFTは各国が共有するところとの必要性や、異なる枠組みの相互運用性に言及され

1

安倍総理大臣演説「希望が生み出す経済」の新しい時代に向かって（政府仮訳）
https://www.mofa.go.jp/mofaj/ecm/ec/page4_004675.html
2 デジタル時代の新たなIT政策大綱 41項
3 G20大阪首脳宣言 11項
4 G20デジタル経済大臣会合 成果文書・議長総括 9項（2023年8月）、G20ニューデリー首脳宣言55項（2023年9月）

IT-Report 2023 Winter9

た5。2021年6月のG7コーンウォールサミット（議する附属書」12及びDFFT具体化に向けたパートナーシッ

長国：英国）の首脳コミュニケを通じて「信頼性のプのためのアレンジメント（IAP：the Institutional

ある自由なデータ流通に関する協力のためのG7

Arrangement for Partnership）の設立13が承認されロードマップ」が承認された6。このロードマップ

た14。IAPは、ステークホルダーと関連するデータ保は、同年4月のG7デジタル・技術大臣会合での成果

護当局を含め、様々なバックグラウンドを持つデー物 であり、2021年Q2からQ4の簡略なロードマッ

タガバナンスに関する専門家からなるコミュニティ

プと協力の主要分野を示した。このロードマップにを結集することとされ15、何らかのコミュニティの基づき、各国の規制協力のためデータ保護・プライ設立が想定されている可能性がある。日本は、G7バシー保護機関（以下、DPA）による会合として

広島サミット後、北欧諸国とDFFT及びIAPに関す「G7データ保護・プライバシー機関ラウンドテーブ

る意見交換を行い、賛同を得たとしている16。また、ル」（以下、DPAラウンドテーブル）が、2021年92023年6月に開催された第3回DPAラウンドテーブ

月に、G7議長国である英DPAを議長に開催された。

ルのG7 DPAコミュニケ及びG7 DPA行動計画では、会合の結果、翌年のG7議長国であるドイツのDPA

柱の第一にDFFTを挙げ、IAPを支持する方向性をが再びDPAラウンドテーブルを開催することが合意示すとともに、次のG7議長国であるイタリアのされた 。2022年6月のG7エルマウサミット（議長

DPAが次回DPAラウンドテーブルを開催予定とさ国：ドイツ）の首脳コミュニケにおいても、同年5れ、G7のDPAラウンドテーブルも継続する見込み

月開催のデジタル大臣会合の成果である「信頼性の

である。

7

8

ある自由なデータ流通の促進のためのG7アクションプラン」9が承認され10、同年9月にドイツDPAを議長に第2回目のDPAラウンドテーブルが開催され、3．DFFTの論点

翌年のG7議長国である日本の個人情報保護委員会

2021年から2023年のG7デジタル大臣会合におが次回DPAラウンドテーブルを開催することとされけるDFFTの主たる論点は、①データローカライ

11

た 。

ゼーション、②規制協力、③ガバメントアクセス、

2022年から2023年にかけて顕在化した生成AIの④データ共有である。

利用拡大は、デジタル分野におけるエポックメイキ

DFFTは、国境を越えてデータを移転しかつ保護ングであり、G7における議論にも大きな影響を与することにより、経済成長とイノベーションを促進

え、2023年5月のG7広島サミットの議論を通じてする立場である。このため、国境を越えたデータ流

広島AIプロセスの発出に至ったが、G7における通に影響を与える可能性があるデータローカライ

DFFT具体化に向けた議論も維持された。G7広島サゼーションへの対応（論点①）、国境を越えたデー

ミットの首脳コミュニケでは、2023年4月のG7デ

タ流通に向けた国内の規制アプローチの違いへの対

ジタル・技術大臣会合の成果である「DFFT具体化

応（論点②）、政府による民主主義的な価値と法ののためのG7ビジョン及びそのプライオリティに関支配に基づく個人データへのアクセス（論点③）に5 開かれた自由で安全なデジタル化による変革のためのビアリッツ戦略 6項
6 G7カービスベイ首脳コミュニケ 34項
7 2021年G7デジタル・技術大臣会合 大臣宣言 附属書2
8 2021年G7データ保護・プライバシー機関ラウンドテーブル コミュニケ 将来に向けて第1段落
9 2022年G7デジタル大臣会合 大臣宣言 附属書1
10 2022年G7首脳コミュニケ デジタル化第7段落
11 2022年G7データ保護・プライバシー機関ラウンドテーブル コミュニケ 44項
12 2023年G7デジタル・技術大臣会合 閣僚宣言 附属書1
13 2023年G7デジタル・技術大臣会合 閣僚宣言 13項
14 G7広島首脳コミュニケ 39項
15 2023年G7デジタル・技術大臣会合 閣僚宣言 附属書1 2項
16 https://www.digital.go.jp/news/2ed46224-c0cc-4a1b-be3d-8e25ed7d974a/

10IT-Report 2023 Winter企業におけるプライバシーガバナンス

2021年12022年2

データローカライゼーション※貿易大臣会合との整合性を考慮

2023年3

DFFTのための証拠基盤の強化※データローカライゼーションを含む

データローカライゼーション

デジタル貿易の文脈におけるDFFT
の促進
規制協力

規制協力の継続

規制協力

ガバメントアクセス

将来の相互運用性促進のための共通性の構築

信頼された政府のデータへのアクセス

国際データスペースの展望に関する知識の共有データ共有※G7データ保護機関等による会合開催を含む※標 準契約条項等の分析、ガバメン
トアクセスを含む

優先分野のためのデータ共有
優先分野：医療分野等

優先分野：ヘ ルスケア、グリーン/
環境、モビリティ

表1．G7デジタル大臣会合におけるDFFTの論点1
2
3

G7「信頼に基づくデータの自由な流れに関する協力のためのG7ロードマップ」を参考に作成
G7「信頼性のある自由なデータ流通の促進のためのG7アクションプラン」を参考に作成
G7「DFFT具体化のためのG7ビジョン及びそのプライオリティに関する附属書」を参考に作成

取り組むとともに、国際的な共通課題に関するデー
タ共有を促進しようとしている（論点④）。

4．DFFTにおけるDPAの役割

論点①については、DFFTは、日本による提案当DFFTは、日本による提案後、G7を中心に協力体

初より、デジタル貿易の拡大を想定していた。この制が構築され、具体化に向けた検討が進められてきため、デジタル大臣会合におけるDFFTの議論におた。特に、前述の論点のうち、①データローカライ

いても、貿易分野を考慮していると考えられる。実

ゼーション、②規制協力、③ガバメントアクセスに際に、日本とEUは、2022年10月より日・EU経済

ついては、G7各国のDPAの協力体制のもとに対応

連携協定に「データの自由な流通」に関する規定をが進められてきたと考えられる。

含めることに関する正式交渉を開始した 。
17

論点②規制協力については、DPAラウンドテーブ

論点④データ共有は、COVID-19のパンデミックルの開催などの協力体制も規制協力の一部であり、を通じて、実現の必要性がより明確になったと考え

また、G7のDPAは、規制協力に向けて、生成AI等られる。2022年は国際データスペースに言及されの先端技術、プライバシー強化技術（PETs）の検たが、この背景には欧州が進めた独自のデータイン

討、OECD等の国際機関との連携に取り組んでいる。

フラ構築（GAIA-X）があると考えられる。2023年

G7のDPAは、2023年のDPAラウンドテーブルを

は、データ共有の優先分野としてヘルスケア、グ

通じて、DFFTの促進に向けて次の事項に取り組ん

リーン／環境、モビリティを挙げている。この分野でいる。

において、日本は、電子文書の発行元を証明するト（1）データ移転ツール

ラストサービスであるeシールについて、日本とEU

データ移転ツールの相互運用性の促進に向けて、のeIDAS規則に基づくeシール等の国際相互認証に

CBPRなどの認証システムやモデル契約状況等の比向けた検討を開始している 。

較分析を行い、2024年にかけても継続するとして18いる。このようなデータ移転ツールの相互運用性の1718

https://www.mofa.go.jp/mofaj/files/000415752.pdf
https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00173.html

IT-Report 2023 Winter11促進は、論点①データローカライゼーションの対策てきた。アジア太平洋地域の国と地域の経済協力のにつながると考えられる。

枠組みであるAPECが2017年に採択した「APECイ（2）ガバメントアクセス

ンターネット・デジタル経済に関するロードマップ

論点③ガバメントアクセスについて、G7のDPA（AIDER）」21や、2022年5月に米国主導で立ち上げ

は、「OECDの民間が保有するデータへの政府のアられたインド太平洋14カ国の経済枠組みである

クセスに関する宣言」（2022年12月）を支持した。

IPEFは、日本が提唱するDFFTと同等の方向性を含

宣言は、ガバメントアクセスが、各国の法的枠組み

むと考えられる。2023年のAPEC（議長国：米国）

により規制されることや、正当な目的のために実施においても、APEC首脳宣言において、個人情報保されること等の原則を示している。

護やデジタル貿易等の分野においてAIDERの加速化を推奨する22ことが引き続き示され、また、同じタ

5．DFFT促進に向けた課題

イミングで米国で開催されたIPEF首脳会合では、
主要な4つの柱のうち、デジタル貿易を含む貿易分

DFFT促進に向けた論点の背景には、デジタル経野 23 を除く3分野での成果が示される形 24 となり、済においても法の支配と民主的価値、人権尊重を重

データ流通分野のインド太平洋地域との協力関係の視し、かつ気候変動やパンデミック等のグローバル

構築は途上にあるといえる。

な課題に対応しようとするG7の姿勢があると考えられる。しかし、DFFT促進に向けては、G7を超えて、諸外国や国際機関の協力が必要であり、具体的おわりにな協力体制の拡大は、DFFT促進に向けた課題と考DFFTは、2019年に日本が提唱し、G7、G20をえられる。マルチステークホルダーによるIAP設立

中心に共有され、2023年G7サミットでは、G7に留は今後の協力体制整備に向けた布石と捉えることもまらないマルチステークホルダーによるIAPを設立できる。日本は、2023年3月に「自由で開かれたイ

する方向性が示された。この間、デジタル分野におンド太平洋（FOIP）」のための新たなプラン」の取いては生成AIの利用拡大を通じた、プライバシー、

組み例としてDFFT推進のための途上国の法整備・

偽情報、知的財産権の在り方などがグローバルな課

基盤整備等支援を挙げ 、2023年9月の日ASEAN包題となったが、DFFTは、生成AIを含むデジタル分

括的連結性イニシアティブにおいても、ASEANへ

野の課題検討の基盤となる概念と考えられる。G7のインフラ整備支援を通じたDFFT推進を掲げていのDPAの取組み等を通じたDFFT推進が、今後どの

20

る 。

ように世界に展開されるのか、引き続き動向を注視

アジア太平洋を含むインド太平洋地域との協力関

したい。

19

係の構築の在り方は、従来より課題として認識され

19 https://www.mofa.go.jp/mofaj/files/100477405.pdf
20 https://www.mofa.go.jp/mofaj/files/100548765.pdf
21 AIDER ８項 http://mddb.apec.org/Documents/2017/SOM/CSOM/17_csom_006.pdf
22 2023年APEC首脳宣言「ゴールデンゲート宣言」全ての人々にとって強靱で持続可能な未来を創造 13項
23 IPEF Piller1（Trade）
https://ustr.gov/sites/default/files/2022-09/IPEF%20Pillar%201%20Ministerial%20Text%20(Trade%20Pillar)_
FOR%20PUBLIC%20RELEASE%20(1).pdf
24 https://www.mofa.go.jp/mofaj/files/100582858.pdf

12IT-Report 2023 Winter企業におけるプライバシーガバナンス

グローバル化する個人情報の越境移転ツール
一般財団法人日本情報経済社会推進協会

1．はじめに

認定個人情報保護団体事務局

事務局長

奥原 早苗

転ツール」の項では、「安全かつ信頼性のある移転
ツールに関する知識を、とりわけ、グローバル越境

2023年6月に「第3回G7データ保護・プライバ

プライバシールール（以下、グローバルCBPR）及

シー機関ラウンドテーブル会合」が個人情報保護委

びEU認証の要件の比較や、既存のモデル契約条項

員会（以下、PPC）によって開催された。このラウの比較を通じて、共有する。本作業は、異なる認証

ンドテーブルは、個人データの保護を図りつつ、利メカニズムその他の移転ツール間の相互運用性及び活用を進めるDFFT（Data Free Flow with Trust）

収斂の水準を評価し、共通点、考えられる相違点及（以下、DFFT）の推進に向けて、G7各国のデータ

び更なる改善のための領域をマッピングする。
」こ

保護・プライバシー機関の委員長級による議論が行とが行動計画の一つとして示された。これまでわがわれるものである。DFFT、生成AIを始めとする先国では、PPCのガイドラインに記載のある3APEC端技術及び執行協力の3つの柱1に基づいた議論が行のCBPRシステムが越境移転ツールとして知られてわれ、データ保護・プライバシーに関するグローバ

いるが、多様な選択肢があるとは言えない中、グルな共通課題の解決に向けた具体的な方策などが合ローバルCBPRは、コミュニケにあった越境移転

意された2。この方策の内容を示した「G7 DPAコ

ツールの有力な選択肢候補として期待できるものでミュニケ」（以下、コミュニケ）では、第1の柱-DFFTある。具体的には、安全かつ信頼性のある移転ツーにおいて、本稿で取り上げる越境移転ツールについル に 関 す る 知 識 を 共 有 す る た め に、 グ ロ ー バ ルて触れており、越境移転ツールの選択肢を創出する

CBPR及びEU認証の要件比較や、既存のモデル契約ことの必要性と、それらを開発することについて、条項の比較等が行われる4が、これらが行動計画に

更なる提唱・促進・助言することを目指すとしてい明示的に盛り込まれたこと、この新しい越境移転る。

ツールが国際的な枠組みで継続的に議論・推進され現在、EUとの間でデータを越境移転する場合は、ること等の意義は大きい。

GDPRに則した対応となるが、数十・数百の国と取引があるグローバルな活動を行っている企業等は、越境移転に莫大なコストや時間、労力等が必要とな
り、大企業には良いがとりわけ中小企業にとっては2．A PEC CBPRシ ス テ ム（APEC Cross
Border Privacy Rules System）

経済合理性と相反する状況となっている。世界各国

前項で触れたグローバルCBPRは、3．で後述するの異なる法域で、データ保護・プライバシーの要件

こ と と し、 グ ロ ー バ ルCBPRの ベ ー ス と な っ たや法制度等を遵守する上で、今後越境移転ツールのAPEC CBPRシステム（以下、APEC CBPR）につ

新たな開発は重要な役割を果たすことに違いない。

いて、主要なポイントを示したい。

また、コミュニケを具体的に推進するために策定された「G7 DPA行動計画」（以下、行動計画）の「移1）APEC CBPR とは
APECのWebサイトでは、「データプライバシー

1 2022年のラウンドテーブル会合でPPCが提案したもの。
2 PPCの当該Webサイトでは、「G7 DPAコミュニケ」「生成AIに関する声明」「行動計画」の原文と仮訳が掲載されている。
3 外国にある第三者に個人データを提供する場合は本人の同意が必要となるが、PPCが定める基準に適合する体制を整備している者に対して個人データを提供する場合は、本人の同意を得ることなく外国にある第三者へ個人データの提供が可能となる他、詳細は、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」を参照。
4 認証メカニズムその他の越境移転ツール間の相互運用性等を評価し、改善のための領域をマッピングする。

IT-Report 2023 Winter13

APEC AA、認証取得事業者数の協力に対するAPECの革新的なアプローチが、個
人データを保護し、貿易を促進して消費者と企業に

国名

ＡＡ名

2023年10⽉現在

AA認定

CBPR認証取得
事業者数

PRP認証取得
事業者数

⽶国

TrustArc

2013年

３７

２９

利益をもたらす方法であり、政府が支援するデータ

⽶国

Schellman

2019年

１

９

⽶国

NCC Group

2020年

４

４

プライバシー認証である。」と説明されており、認⽶国

ＨiTrust

2020年

ー

ー

証を取得する企業には、APECプライバシーフレー

⽶国

BBB National
Programs

2019年

６

４

5

ムワークへの適合が求められ、適合しているかどう

シンガ
IMDA
ポール

2019年

１１

５

かは説明責任代理人（アカウンタビリティ・エー

韓国

KISA

2019年

８

ー

台湾

III

2021年

ー

ー

⽇本

JIPDEC

2016年

４

ー

７１社

５１社

ジェント（以下、AA））と呼ばれる各国の認証審査
6

機関によって、APEC CBPRのプログラム要件に準拠していると評価される必要があり、各国法によっ

合計
http://cbprs.org/compliance-directory/cbpr-system/

http://cbprs.org/compliance-directory/prp/

Copyright©2022 JIPDEC All rights reserved

図表2．APEC CBPR 各国AA別CBPR、PRP認証事業者数（2023年10月末時点）

2て執行可能でなければならない。
APEC CBPRに関する枠組みに参加する国・地域

2）日本の参加（以下、エコノミー ）の状況を取りまとめたものは

わが国は2014年からこの制度に参加しており、図表1の通りで、APECプライバシーフレームワー

わが国初のAAとしてJIPDECが2016年1月に認定を

クは21すべてのエコノミーが参加しているが、越受け、2016年12月に初めてAPEC CBPRの認証付

境執行協力協定（以下、CPEA）に参加するエコノ与を行った。2023年10月末時点で、APEC CBPR

ミーは11にとどまる。そのうち、9エコノミーがの認証を取得している事業者は4社である（図表3）。

7

APEC CBPRに参加を表明し、AAを擁するエコノ
ミーにおいてのみ認証を受けることができる。

図表3．APEC CBPR認証取得事業者（JIPDEC）

3）CBPR 認証と PRP 認証
図表2に示すCBPR認証とPRP認証の違いは、個
人情報の取得や利用の管理者（コントローラー）か処理者（プロセッサー）かによるものである。米国

図表1．APEC（アジア太平洋経済協力）の取組み

やシンガポールでは、当該国に所在する親会社がコ
2023年10月時点で、AAの認定があるのは米国・ントローラーとなるため、グループ会社は法人としシンガポール・韓国・台湾・日本の5エコノミーとて当該国に登記されていても処理者となり、CBPR

なっており、それぞれのAAが認証するCBPRの認の認証を申請することができない。また、SaaS等

証企業数は71社（図表2参照）で、グループ認証のサービスを展開する事業者は、処理者としてPRPを含めると1,800社を超える。

8の認証を受けている。現在、わが国では日本の個人情報保護法上、管理者と処理者の区分がなく、“個5 「APEC CBPRs」 https://cbprs.org/ APEC CBPRの概要の他、認証された企業情報を公開している。
6 当該国の政府機関、APEC JOP監視パネル並びに全APECエコノミーの同意を得て認証される。
7 主権国家として承認されていない地域も参加しているため、参加国・地域を表す場合は「エコノミー」と称される。
8 AAの認定がある5エコノミーのうち、米国とシンガポールのみが実施している。

14

IT-Report 2023 Winter企業におけるプライバシーガバナンス

人情報取扱事業者”となるため、日本国内で法人登2）設立宣言記がなされている場合、親会社やグループ会社を問宣言された内容は以下の通り。

わず、個社単位でCBPRの認証取得を行うことはで

1．相互運用性を促進し、データ保護及びプライ

きるが、PRPの認証を行うことはできない。ただし、バシーに関する様々な規制アプローチを橋渡し

わが国では処理者としてのサービスを提供するグするために、グローバルCBPRフォーラムを設

ローバル企業も少なくない。今後、事業者のニーズ立する。

が高まれば、PRP認証に向けて個人情報保護法上の2．グローバルCBPRフォーラムの目的は、

新たなメリットが創出される可能性も否定できない。

a．APEC CBPRシステム及び処理者向けプラ
イバシー認証（PRP）システムをベースとし3．グローバルCBPR
1．
項で、世界的な枠組みで推進されることとなった、国際的な認証システムを設立すること
b． グローバルCBPRシステム及びPRPシステ
ムを通じて、データの自由な流通と効果的なた越境移転ツールの創出や開発に向けて、グローバ

データ保護及びプライバシーを支えること

ルCBPRとEU認証の要件の比較が具体的な行動の

c． グローバルCBPRシステム及びPRPシステ

一つに挙げられていることを確認した。また、現在

ムに関する事案について情報交換及び連携のわが国が参加し、JIPDECがAAとなっている個人情ためのフォーラムを提供すること

報の越境移転ツールとして、APEC CBPRを2．項d． ベストプラクティスに沿ったグローバルで紹介した。本項では、APEC CBPRをベースとし

CBPRやPRPプログラム要件を確保するためて策定され、今後注目が集まるであろうグローバルにメンバーのデータ保護及びプライバシーの

CBPRについて概観する。

水準を定期的にレビューすること

1）グローバル CBPR フォーラム

e．他のデータ保護及びプライバシー枠組みとグローバルCBPRを運営するグローバルCBPRの相互運用性を促進することフォーラム は、APEC CBPRに参加している現在の〈活動の範囲〉

経済圏であるカナダ、日本、韓国、フィリピン、シ3．グローバルCBPRフォーラムは、

9ンガポール、チャイニーズタイペイ及び米国によっa．データ保護と自由なデータ流通を促進するて2022年4月21日に設立された。わが国は、経済ためにグローバルCBPRシステム及びPRPシ

産業省とPPCが設立当日同時に、「我が国を含む

ステムの認証取得を世界的に促進する

APEC CBPR参加エコノミーの連名で、より広範囲

b．データ保護及びプライバシーと相互運用性

での個人データの円滑な越境移転や各国における規に関するベストプラクティスを広める

律の相互運用性を促進させる等の目的で、CBPRのc．他のデータ保護及びプライバシー枠組みと拡大に向けた宣言をすることに合意しました。
」との相互運用性を追求するいう内容を公表した 。グローバルCBPRフォーラム〈運用〉のサイトでは、各種資料が公開され、認証制度の開4．連携は、以下に基づく。

10

始に向けた準備が進められている。2023年10月16a． すべてのメンバーの意見を公平に尊重し日にはAPEC CBPRのCPEAに当たるCAPE（Theた、相互利益主義及び開かれた対話と合意形

Global Cooperation Arrangement for Privacy

成へのコミットメント

Enforcement）が公開された。ここでは宣言内容のb．メンバーや関係機関が実施する調査、分析、みを掲載する。

政策に基づくメンバー間のコンサルテーショ

9 https://www.globalcbpr.org/
10 「経済産業省」Webサイト
https://www.meti.go.jp/press/2022/04/20220421001/20220421001.html「PPC」Webサイト https://www.ppc.go.jp/files/pdf/220421_houdou.pdf

IT-Report 2023 Winter15

ン及び意見交換

第 2 回会合：2022.11

韓国 ソウルc．適切な活動における活発なマルチステーク
ホルダーによる積極的な参画〈参加〉
5． 基本的にグローバルCBPRフォーラムは、本宣言文に謳われる組織の目的と原則を承諾する
以下の領域に開かれることを意図している。
6．将来の組織への参加に関する決定は、全メンバーの合意に基づいてなされるものとする。

出所：米国商務省Shannon Coe 氏 SNSサイトより（集合写真）

7．メンバーではない者は、全メンバーによって決定される条件に基づいて、会合に参加することができる。
〈組織〉8． グローバルCBPRフォーラムの会合は少なくとも1年に2回開催され、本宣言文の範囲内の活動の方針や性質を決定する。会合は対面あるいはオンラインで開催される。

3日目AA連携にて出所：グローバルCBPRフォーラム提供（中央 JIPDEC奥原）

第 3 回会合：2023.4

英国 ロンドン9．全メンバーの決定に基づいて、追加の会合を開催することができる。
わが国も〈組織〉8．で規定するグローバルCBPR
フォーラムの会合に参加し、JIPDECも日本のAPEC
CBPRのAAとして参加し、新しい枠組みの開始に備えて準備中である。2022年4月に宣言されてから、直近の2023年10月25日～27日に米国サンディ

出所：グローバルCBPRフォーラム提供（集合写真）

エゴで開催されたものまで、4回の会合が年に2回2023年4月13日に、グローバルCBPRフォーラム

開催されている。参加者は毎回100名程度で（第1は「Global CBPR Framework」及びフォーラムの回〜第3回はオンライン参加も含む）、3日間に亘り「Terms of Reference」を公開し、関心のある世界開催される。

の国・地域の参加を歓迎するリリースを行った。第
米国 ホノルル

3回会合開催の前夜、2023年4月17日に英国外務省「The Global Cooperation on Data Privacy &で行われたイブニングレセプションで、英国政府関

・第1回：2022.4

CBPR System: The Path Forward Workshop」
・第2回：2022.11

韓国 ソウル「Global CBPR Forum: Realizing Our Shared
Vision」
・第3回：2023.4

英国 ロンドン「T h e G l o b a l C B P R F o r u m A t O n e Ye a r :Challenges and Opportunities」
・第4回：2023.10 米国 サンディエゴ「Global CBPR Forum: CBPR2.0」

初日セッション1：CBPR・PRPの機会と課題
出所：JIPDEC職員撮影（左端

16IT-Report 2023 Winter

JIPDEC奥原）企業におけるプライバシーガバナンス

係者より準会員としてグローバルCBPRフォーラムに参加の意向である旨が宣言された。
第3回会合が開催されたロンドンでは、AAの立場
から米国AAのTrustArc ノエル・ルーク氏（左から2人目）と共にCBPRへの参加を検討する事業者に向けたパネルに参加し、JIPDECはAPEC CBPR上の課題を「本来目指すべき認証制度とは？」を問題意識として講演を行った（資料1）。

出所：グローバルCBPRフォーラム（集合写真）

1)‐1 Method of Assessment
Do we understand how AAs in each country review
against the CBPR program requirements and can weraise issue appropriately?
 Consistent system Varies from AA to AA

 Granularity
 DepthSharing and maintenanceConsistency/
Standardization

 On‐site assessment
 Group certification

Trust

Visualization

出所：グローバルCBPRフォーラム（GCBPR総会議長 米国商務省 Shannon Coe氏）

transparency

Raising Awareness and Securing Trust
Copyright©2022 JIPDEC All rights reserved

（資料1）

4

各国の審査機関における審査内容の粒度や審査員の要件の差異等に対し、一貫性と透明性の確保が制度の信頼性向上に重要であるという主旨で、BCRとの比較検証や審査の標準化、審査員の資格要件等の導入による一貫性確保を提案した。また、現地審査

出所：グローバルCBPRフォーラム（演台JIPDEC

奥原）やグループ認証等、AAにより導入状況が異なるもの円滑な運用につながること、その結果認証制度にのは、可視化による透明性の担保が有効であるこ

対する社会や事業者からの信頼性向上につながる等と、年2回の会合間に定期的なミーティングを導入を説明した（資料2）。例えば、わが国の場合は、すること等を提案し、第4回会合までの間に進捗状

定期的な意見交換や認証制度の運用における実務上

況他の共有がなされた。

の課題や法解釈等について、規制当局より助言・サ
ポートを得て認証を付与する事業者への正確かつ納第 4 回：2023.10

米国 サンディエゴ

得感のある丁寧な説明を行っている。

このパネルは、初日のセッションで政府関係者・

なお、今後に向けては、事業者からみたグローバ

規制当局向けに「政府と規制当局にとってのCBPR

ルCBPRの認証取得におけるメリットの創出についとPRP制度の利点と機会」をテーマに開催され、米て触れている。現在、APEC CBPRでグループ認証

国商務省のサラ氏をモデレーターとして、各国規制を行っているのは、米国とシンガポールの審査機関

当局からシンガポール、フィリピン、英国の政府機のみであり、わが国では法的な執行の仕組みがない

関関係者が登壇し、AAの代表として日本からJIPDEC

ため、実施していないが、事業者からのニーズは少がパネルに参加した。CBPRは消費者苦情の対応をなくない。特に、処理者（プロセッサー）としての審査機関、政府機関が共に対応窓口となっている消業務を実施する企業からは、PRP認証が実施される費者保護に手厚いユニークな制度であること、規制ことを期待しているという声が聞かれる。グループ

当局と審査機関との良好な協力体制が、CBPR制度

認証やPRP認証の導入検討以外に、グループ認証をIT-Report 2023 Winter17

導入しておらず、個社単位で審査を行っている日本

してそれほど有効に機能しているだろうか。グローと 韓 国 を 例 に 挙 げ れ ば、 も し デ ー タ の 移 転 先 がバルCBPRの会合では、政府機関関係者及び参加企

CBPR認証を取得している場合、認証を取得してい業共に、APEC CBPRの拡大が限定的なのは認証制ない企業と比較し、審査工数の軽減等が実施できな度の知名度が低いことが原因の一つとして挙げておいか、審査の効率化を検討する余地もあるのではな

り、わが国でもAPEC CBPRの認知度は決して高い

いかということを提起した（資料3）。

とは言えない。
越境移転ツールを利用しなくてもデータの越境移

Relationship with the regulator
AA

転は可能だが、企業の個人情報の取扱いに対して第Government/
Regulators(Assessment Body)

三者の視点を導入することは、例えばグローバル
CBPRフォーラムの会合でも、企業の説明責任を果Operation ofcertification systems(cooperation)
Request for advice and support
 Operational Issues
 Legal Basis for Examination, etc.

Certification
Practices

たすと共にデューデリジェンスとしても機能することやグローバルな規模で企業の信頼の証になるこ

Advice, assistance and support
Provides opportunities forregular exchange of ideasと、とりわけ中小企業にとっては規制コストの削減

Institutional
Designoperation

 Regular meeting (Management
System) Smooth operation (CBPRs)
 Early resolution of issuesにつながる等をメリットとして挙げる声が、規制当局及び参加企業を問わず共通して聞かれた。また、Integrated efforts will lead to increased credibility of the certification system.
5

Copyright©2022 JIPDEC All rights reserved（資料2）

軽減する意味で政府をサポートする役割もあると述べていたAAもあった。

For the future
Strengthening AA
Coordination
 Exchange of opinions‐ Certification Criteria‐ Review Process‐ Complaint handling, etc.
 Sharing Use Cases(good practices) Streamlining the review
process

AAの存在は事業者間の情報の取扱いに係る紛争をTrustArc
Schellman
BBB National
Programs
NCC Group
HiTrust日本政府が参加を表明したグローバルCBPRは、

IMDA

AAs

個人情報保護法上でもAPEC CBPRと同様のメリッ
トが受けられると想定され、対象とする国・地域も制限を設けていないことから今後も英国のみなら

KISA
JIPDECず、APEC域外の幅広い国・地域の参加が期待され

AAA

If the applicant company is a group company with CBPR certification in aforeign country. *Group certification not yet implemented

る。繰り返しとなるが、冒頭で触れた第3回G7デー

Reduction of review
man‐hours ?

KISA

タ保護・プライバシー機関ラウンドテーブル会合

Data Transfer

Certified Companies

JAPAN
Applicant Company

Copyright©2022 JIPDEC All rights reserved

（資料3）

6

で、DFFTを推進するための具体的な議論の中にグローバルCBPRが取り上げられたため、本格的にグローバルCBPRの制度運用が開始されれば、企業に

4．おわりにる。政府が支援する越境移転の認証制度として、

本稿では、今後注目が高まるであろう個人情報のJIPDECは日本のAAとして政府機関と協力しながら越境移転ツールについて、グローバルCBPRを中心

これまで以上に普及啓発活動を推進する。その結とした内容を取り上げた。現在、APEC CBPRに参果、企業が個人情報の越境移転を行う上で、APEC

加するエコノミーのうち、自国の個人情報の保護に

CBPRやグローバルCBPR等の認証を取得すること関する法律に紐づくメリットがあるのは日本とシンが企業の信頼の証となることや、異なる法域への対ガポールのみであり、国際会議の場では事業者が認応コストの削減につながる一助になれば幸いであ証制度を取得する動機付けとして有益である事例とる。

してたびたび取り上げられる。しかし、現状は果た

18

とって越境移転ツールの選択肢が広がる第一歩とな

IT-Report 2023 Winter企業におけるプライバシーガバナンス

メタバースと個人情報やプライバシーについて
一般財団法人日本情報経済社会推進協会

電子情報利活用研究部

野町 綺乃

シーへの関心が高まっていることから、今回は、メ1．はじめに

タバースにおける個人情報やプライバシーに関する2007年のセカンドライフが登場した際に、メタ問題として、アバターやメタバース上で収集される

バースというワードが一定数検索され、2021年秋

情報（行動履歴）の取扱いについて取り上げる。

ごろ、Facebook社が社名をMeta社に変更するということから、以前よりGoogle Trendsでの検索数が急上昇し、話題となった。
「メタバース」とは、ギリシャ語で“超越した”、“より高次の”という意味を持つ「メタ（meta）」と

2．アバターについて
メタバースにおける「アバター」の取扱いについて考えていく。

“世界”、“宇宙”を意味する「ユニバース（Universe）」

個人情報保護法における「個人情報」とは、生存を組み合わせて作られた言葉で、1992年に発表さする「個人に関する情報」であって、「当該情報にれたニール・スティーヴンスンのSF小説『スノウ・含まれる氏名、生年月日その他の記述等により特定クラッシュ』の作品内で、「インターネット上の仮の個人を識別することができるもの（他の情報と容想空間（情報によって構築されたサイバー空間）」

易に照合することができ、それにより特定の個人をとして扱われたものがメタバースの始まりと考えら識別することができるものを含む。
）」又は「個人識れている 。

別符号が含まれるもの」3と定められている。

1

メタバースについては明確に定義されていない

メタバースにおける「アバター」とは、「ゲームが、一般的には、「VRなどを利用し、没入感があるやネット上で動かすキャラクター4」である場合だけ仮想空間において、ユーザーが物理的な制約を受けでなく、「自己の分身として、顔のパーツ（例：目、ることなく、現実世界に近い体験、すなわち、アバ

鼻、髪型、肌色）や身体の形状、あるいは服装のデターなどのアイデンティティを起点として、他のザインなど、極めて詳細に設定・調整されたもの5」

ユーザーとコミュニケーション、コンテンツ制作、である場合もある。

売買などの経済活動ができるもの 」を指すと考えら
2れている。
近年、社会全般において、個人情報やプライバ

1

2
3

4
5

アバターを自己の分身として、「個人」を忠実に再現する場合や「個人」を忠実に再現していない場
合でも、他の情報と容易に照合することができ、そ 光宏尚，2022年，『メタバースとWeb3』，東京：株式会社エムディエヌコーポレーション、成原慧，2022年，「特集論國文 メタバースのアーキテクチャと法―世界創造のプラットフォームとそのガバナンス―」『Nexcom Vol.52 2022 Winter』、
AMTメタバース法務研究会，2022，「（第1回総論―メタバースと法）」，『NBL』，No.1223、三宅陽一郎，2022年6月，「［メ
タバースがやってきた］2. メタバースの成立と未来―新しい時間と空間の獲得へ向けて―」『情報処理』，Vol.63 No.7他
西村あさひ法律事務所，「メタバースにおける法律と論点（上）」，2022年4月15日，P.1
https://www.nishimura.com/ja/knowledge/newsletters/20220415-34251
個人情報保護委員会，「個人情報の保護に関する法律についてのガイドライン（通則編）」，2016年11月（2022年9月一部改正），P.5https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
一般社団法人日本デジタル空間経済連盟，「デジタル空間の経済発展に向けた報告書」，2022年11月16日，P.39
https://jdsef.or.jp/assets/document/achievement/report_20221116.pdf
上野達弘，2022，「メタバースをめぐる知的財産法上の課題」，『Nextcom』，Vol.52，P.11

IT-Report 2023 Winter19

の情報を参照して、特定の個人を識別することがでるデータを活用することにより、ユーザーに対するきるものを含む場合 には、個人情報に該当し、個パーソナライズされたサービス提供や提案、ビック

人情報保護法を遵守することが必要となる。

データとして利活用することなどが想定される。

6

他方で、アバターが「個人」を忠実に再現しておユーザーのIDや登録情報に、メタバース空間上でらず、他の情報と容易に照合することができず、特のアバターやその行動などに関する記録が紐づけら定の個人を識別することができない場合には、「個れている場合など、特定の個人を識別することがで人情報」には該当しないと考えられる 。ただし「個きる場合には、行動履歴なども含めて個人情報に該人情報」には該当しない場合であっても、ユーザー

当するため、個人情報保護法を遵守することが求め本人のプライバシーへの配慮の観点から、個人情報

られる。

7

を取り扱う場合と同程度の保護措置を講ずることが望ましい と考えられる。
8

他方で、ユーザーのIDと登録情報、メタバース空間上でのアバターやその行動などに関する記録が紐づけられていない場合（行動履歴単体）など、個人

3．メタバース上で収集される情報（行動履歴）について情報に該当しないデータを収集する場合でもプライバシー配慮の観点から、ユーザーが、「データを勝手に取得・蓄積し、利用されている」と感じてしま「メタバース上で収集される情報（行動履歴）」のわないよう、利用目的の特定、本人への通知・公表、取扱いについて考えていく。

同意の取得などを丁寧に行う必要があると考えられメタバースでは、メタバース内に一度入ってしまうと、利用者の行動に関するデータが収集・記録できる。

る。
メタバースを通じて取得し、利活用する情報をプ
ラットフォーマー自らが制限し、当該情報の取扱い

ユーザーがアイトラック・フェイストラック・フについてはその管理方針や管理方法についてのプロ

ルトラックなどを利用している場合には、人の視セスを公表する等して、透明性を確保することが望線・表情・体の動作などの動きのデータを収集する

ましい12と考えられている。

こともできる9。

さらに、透明性確保に加えて、ユーザー自身がメ

メタバース上では、既存のインターネットサービ

タバースを通じてプラットフォーマーに取得される

スよりも、より多くのパーソナルデータを収集する

情報の対象や利活用の方法をコントロールできるよ

ことが可能である と考えられているため、プライ

うな仕組みを導入することも望ましい13と考えられバシー侵害のリスクの程度も大きくなる11と考えら

ている。

10

れる。
また、プラットフォーマーは利用者の行動に関す
6

今後、メタバース内で様々な活動が行われていき、メタバース内で生活する人々も増えていくこと の情報と容易に照合することができ、その情報を参照して、特定の個人を識別することができるものを含む場合というの
他
は、メタバースのサービス上、ユーザー登録をする際に、氏名や住所などの個人情報を登録し、利用者IDやパスワードの付与を受けることとされている場合に、当該利用者IDその他の登録情報と、メタバース空間上でのアバターやその行動などに関する記録との紐づけが容易に可能であるということを指している。
7 なお、この場合に、個人情報保護法上の「個人関連情報」に該当する可能性があり、その場合に、「個人関連情報」の取扱いに関する規律が及ぶ可能性があることには注意が必要である。
8 P
 WC，
「企業のためのメタバースビジネスインサイト 法の観点から見るメタバース 個人情報の取り扱い編」2023年5月9日
https://www.pwc.com/jp/ja/knowledge/column/metaverse/vol31.html
9 西村あさひ法律事務所，「メタバースにおける法律と論点（下）」，2022年5月9日，P.5
https://www.nishimura.com/ja/knowledge/newsletters/20220509-80296
10 西村あさひ法律事務所，「メタバースにおける法律と論点（下）」，2022年5月9日，P.5
11 西村あさひ法律事務所，「メタバースにおける法律と論点（下）」，2022年5月9日，P.5
12 バ ーチャルシティコンソーシアム「バーチャルシティガイドライン Ver2.0.0」，2023年7月20日，P.37
https://shibuya5g.org/research/docs/guideline.pdf
13 バ ーチャルシティコンソーシアム「バーチャルシティガイドライン Ver2.0.0」，2023年7月20日，P.37
https://shibuya5g.org/research/docs/guideline.pdf

20

IT-Report 2023 Winter企業におけるプライバシーガバナンス

から、既存のインターネットサービス以上に、デースはゲームに限らず、SNSといったコミュニケー

タや情報などのプライバシーの保護は重要である

ションツールや、エンターテインメント、オフィス、

14と考えられている。

学校・教育、医療、観光など様々な分野で活用されつつある。

4．おわりに
今回は、メタバースにおける個人情報やプライバ
シーに関する問題について取り上げたが、メタバー

14

そのため、メタバースを利用する分野ごとやコン
テンツごとにも、個別の状況を踏まえて、具体的な検討を行い、プライバシー侵害が起こらないように、丁寧に進める必要があると考える。

バーチャルシティコンソーシアム「バーチャルシティガイドライン

Ver2.0.0」，2023年7月20日，P.37

IT-Report 2023 Winter21

AIガバナンスに係る国内外の動き
一般財団法人日本情報経済社会推進協会

電子情報利活用研究部

主幹

恩田 さくら

2022年11月、米国のOpenAI社が、ChatGPTのする国際的な議論を進めることとなり、広島AIプロ

提供を開始した。GoogleやMicrosoftをはじめとすセスが創設された。同年10月には、広島AIプロセ

る米国の大手IT企業も大規模言語モデル（LLM）のスに関し、まずは、開発者を対象とした行動規範と開発・提供を進めている。生成AIの利用者は急増し指針について、G7首脳声明が発出された3。AIの利ており、文章、画像、音声、音楽、動画、プログラ

用者や事業者向けのルールは、別途2023年中にまムコード等を生成する生成AIが多くの人に広く利用とめられる予定である。

されることで、生活やビジネスにおけるイノベー

各国のレベルで、AIに関する具体的な制度や規律

ションの期待が高まっている一方で、偽情報、プラの策定も進んでいる4。欧州においては、AI法案につイバシー、著作権、公平性等の課題も、改めて認識

いて、2023年6月に欧州議会が修正案を採択し、今されている 。

後早期の法の公布と施行を目指し調整を行う方向と

1

AIをめぐる政策的な議論は2015年頃から始まっされている。リスクベースアプローチで、許容できたといわれ、2016年のG7情報通信大臣会合（高松）

ないリスクをもつAIシステム（個人の意思決定を歪にて日本からAIの開発原則の議論を提案し、2019

ませるAI、公的機関によるソーシャルスコアリン

年5月にOECDで合意されたAI原則が公開され、同グ、法執行を目的とした公にアクセスできる場所で年6月のG20首脳会合で、AI原則を首脳宣言の付属のリアルタイム遠隔生体識別システムの利用等）は文書として、G20AI原則が合意された 。このように原則禁止、ハイリスクなAIとされるものには、デー

当時AI原則については概ねコンセンサスが形成され

タベース登録、適合性評価等、厳格な要件が課せらつつあり、AI原則を社会に実装するための具体的なれる。米国においては、2023年7月に、AI開発で先制度や規律の策定についての議論に移行してきてい行する米国企業7社（OpenAI、Google、Microsoft、

たが、2022年の生成AIの登場により、各国においMeta等）がAIの安全な開発のための自主的な取組ても、G7等の国際協調の場においても、AIガバナ

みを約束したこと、9月にはさらに8社（Amazon、ンスの議論が加速している。

Adobe等）が新たにそれに参加することを米国政府

2

2023年4月のG7デジタル・技術大臣会合（高崎）が発表した。10月30日には、バイデン大統領が、では、G7メンバーの間で異なる場合のある、AIガ

AIに関して、新たな安全性評価、公平性と公民権にバナンスの枠組み間の相互運用性の重要性が確認さ関するガイダンス、AIが労働市場に与える影響に関れ、5月に開催されたG7広島サミット首脳宣言におする調査を義務付ける大統領令を発表した5。英国

いては、包摂的なAIガバナンス及び相互運用性に関は、2023年11月1日～2日に、世界28カ国がAIの安

1 「AIに関する暫定的な論点整理」
（AI戦略会議、2023年5月、https://www8.cao.go.jp/cstp/ai/ronten_honbun.pdf）、「AIの責任ある展開に向けて 広島AIプロセスへの政策提言」（東京大学未来ビジョン研究センター 技術ガバナンス研究ユニッ
ト、2023年9月、https://ifi.u-tokyo.ac.jp/news/16642/）
2 「我が国のAIガバナンスの在り方ver.1.1」（経済産業省、2021年3月、https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20210709_1.pdf）
3 「広島AIプロセスに関するG7首脳声明」（2023年10月、https://www.mofa.go.jp/mofaj/ecm/ec/page5_000483.html）
4 詳細は以下のレポートも参照いただきたい。
「AIに関する国際的なルールメイキングと生成AIのインパクト （1）欧米における議論の動向」（JIPDEC、2023年9月、https://www.jipdec.or.jp/library/report/20230925.html）「AIに関する国際的なルールメイキングと生成AIのインパクト （2）広島AIプロセス及び国際動向」（JIPDEC、2023年10月、https://www.jipdec.or.jp/library/report/20231012.html）
5 「バイデン米政権、AIの安全性に関する新基準などの大統領令公表」
（JETRO、2023年11月、https://www.jetro.go.jp/biznews/2023/11/495833ae70119dbf.html）

22

IT-Report 2023 Winter企業におけるプライバシーガバナンス

全性を議論する国際会議「AI安全サミット」を英国用目的を達成するために必要な範囲かを十分確認すで開催し、報道によれば、AIの安全性を政府の研究ることや、特に、入力する情報が、生成AIサービス

機関で事前検証することなどが議論されたという。

の提供者において、AIの学習データとして利用されこのように、AIガバナンスをめぐる各国の取組みやることが予定されている場合には、あらかじめ本人

議論は、日々更新されている状況である。

同意を得ることなく個人データを含むプロンプトを日本においては、2019年に「AI利活用ガイドラ

入力してしまうと、個人情報保護法の規定に違反す

イン」「人間中心のAI社会原則」、2021年に「AI原ることとなる可能性があることが注意喚起されてい則実践のためのガバナンス・ガイドライン」
（2022

る。

6

7

年に改訂）8 等が制定されてきた。2023年、政府は

今回は生成AIに係る制度・規律の議論の状況を中

AI戦略会議を設置し5月に初会合を開催し、6月に心に記載したが、制度・規律の議論・検討状況や関「AIに関する暫定的な論点整理」を公表するととも係省庁からの注意喚起等の情報と併せて、実務におに、各省庁のガイドラインの統合に向けた作業を進いては生成AIやLLM自体の技術革新、提供される

めることとされ、9月には同会議にて「新AI事業者

サービス自体のアップデートの状況等も注視していガイドライン スケルトン（案）」が示された10。原稿

くこととなる。業界団体、関連する協議会、商工会

執筆点（2023年11月）では、政府で検討が進めら議所などから、生成AIの利活用を進める際のポインれているところであり、公表が待たれる。

トや注意事項等、実務で参照できる内容が公表され

9

個人情報保護の観点では、2023年6月には、個人ているものもある。こういった成果物を活用するこ

情報保護委員会が、「生成AIサービスの利用に関すとや、場合によっては団体活動への参画なども、利る注意喚起等」を発出した11。生成AIに個人情報を活用を進める企業にとって有益であると考えられ含むプロンプトを入力する場合には、特定された利る12。

6 「AI利活用ガイドライン～AI利活用のためのプラクティカルリファレンス～」
（AIネットワーク社会推進会議、2019年8月、https://www.soumu.go.jp/menu_news/s-news/01iicp01_02000081.html）
7 「人間中心のAI社会原則」（統合イノベーション戦略推進会議、2019年3月、https://www8.cao.go.jp/cstp/aigensoku.pdf）
8 「AI原則実践のためのガバナンス・ガイドラインver.1.1」（経済産業省、2022年1月、https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20220128_report.html）
9 「AIに関する暫定的な論点整理」（AI戦略会議、2023年5月、https://www8.cao.go.jp/cstp/ai/ronten_honbun.pdf）
10 AI戦略会議 第5回 議事次第・配布資料（2023年9月、https://www8.cao.go.jp/cstp/ai/ai_senryaku/5kai/5kai.html）
11 「生成AIサービスの利用に関する注意喚起等について」
（個人情報保護委員会、2023年6月、https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/）
リーフレット「生成AIサービスの利用に関する注意喚起」（個人情報保護委員会、https://www.ppc.go.jp/files/pdf/generativeAI_notice_leaflet2023.pdf）
12 日 本ディープラーニング協会からは、生成AIの活用を考える組織の円滑な導入のために利用ガイドラインのひな形が公表されている（https://www.jdla.org/document/#ai-guideline）。2023年10月には、AIガバナンスをめぐるマルチステークホル
ダーでの議論の必要性を受けて、有志企業で構成されるAIガバナンス協会が設立された（https://www.ai-governance.jp/）。
また、東京商工会議所からは「中小企業のための『生成AI』活用入門ガイド」が公表されており、2023年10月31日には第2版が公表されている（https://www.tokyo-cci.or.jp/page.jsp?id=1201389）。

IT-Report 2023 Winter23

プライバシーマーク25周年記念表彰式
創設に当たり多大なるご尽力をいただき、1998年
から2014年1月に特定個人情報保護委員会委員長に就任されるまでプライバシーマーク制度委員会委員長を務めていただいた堀部政男氏に「JIPDECプラ

プライバシーマーク制度は、2023年4月に制度創イバシーマーク創設25周年を迎えて、さらなる発

設25周年を迎えました。25周年という節目に、こ展を目指して」と題しご講演いただきました。な

れまでの制度運営にご尽力いただいた関係者の皆さ

お、講演の模様は記念講演レポートとしてとりまとまをお迎えして開催した記念表彰式の模様をご紹介

め、本誌で紹介しています。
その後、これまでの制度運営にご尽力いただいたします。

関係者の皆さまへの感謝の意を表し、杉山よりプラ
イバシーマーク付与事業者、指定審査機関、指定研修機関、審査員の各代表の方に記念品を贈呈しました。2社のプライバシーマーク付与事業者の方をはじめ、ご登壇の皆さまには、日頃のご苦労や工夫、
今後の課題などのご挨拶を賜り、また、プライバ
シーマーク制度への心強い激励のメッセージをいた
だきました。表彰式後はご参加の皆さま方との懇親

表彰式の様子：品川プリンスホテル

会にて、日頃のご尽力に感謝をお伝えするととも表彰式では、プライバシーマーク付与事業者、指定審査機関から約100名の来賓の皆さまにご臨席いに、今後のプライバシーマーク制度へのご支援ならびにご協力をお願いし、閉会しました。

ただきました。
冒頭、会長

杉山よ

プライバシーマーク付与事業者

り、「 プ ラ イ バ シ ー
マ ー ク 制 度 が25周 年を迎えることができたの も、 ひ と え に 事 業
者、審査・研修機関、

NOCアウトソーシング＆コンサルティング株式会社

審査員の皆さまのご尽
力によるものです。制度発足当初はまだ認知

JIPDEC会長

杉山秀二

代表取締役社長

澤登

哲也様

度が低かったものの、初期に付与された事業者の皆さまの個人情報保護に対する高いご見識とご協力が心強く、また当協会の原動力となっております。今後のプライバシーマーク制度の姿を見据えるための貴重なこの機会に、忌憚なきご意見を賜り、30周
年、50周年が迎えられるよう尽力してまいります」と挨拶をしました。
続いて、記念講演としてプライバシーマーク制度

24

IT-Report 2023 Winter

株式会社日本総合研究所
執行役員

大谷

法務部長

和子様

企業におけるプライバシーガバナンス

プライバシーマーク制度創設25周年記念表彰対象者一覧
・プライバシーマーク制度創設年度である1998年4月1日から1999年3月31日までに付与適格決定を受け、2023年6月30日現在、付与継続中の事業者様
事業者名

プライバシーマーク
登録番号

登記上の本店所在地

1

株式会社アイネス

11820026（13）

神奈川県

2

株式会社インテージ

12390001（13）東京都

3

株式会社HDC

11820034（12）北海道

4AGS株式会社

11820038（12）埼玉県

5

株式会社SRA

11820033（12）東京都

6SCSK株式会社

11820015（13）東京都

7NOCアウトソーシング&コンサルティング株式会社

10820002（13）東京都

8

NCS&A株式会社

11820030（13）大阪府

9株式会社エネコム

11820037（13）広島県

10 株式会社エフコム

11820024（13）福島県

11 株式会社オーネット

10740002（13）東京都

12 株式会社学情10820003（13）東京都

13 キーウェアソリューションズ株式会社

11820063（12）東京都

14 株式会社さくらケーシーエス

11820011（13）兵庫県

15 株式会社シーイーシー

11820032（12）神奈川県

16 株式会社シーエーシー

11820025（12）東京都

17 株式会社ジーシーシー

11820009（13）群馬県

18 JFEシステムズ株式会社

11820008（13）東京都

19 株式会社JOE

11820005（13）東京都

20 株式会社ジャステック

11820012（13）東京都

21 情報技術開発株式会社

11820031（13）東京都

22 株式会社中電シーティーアイ

11820036（12）愛知県

23 株式会社ZWEI

10740003（12）東京都

24 TIS株式会社

11820020（13）東京都

25 TISシステムサービス株式会社

11820021（13）東京都

26 株式会社ディーエムエス

10860001（13）東京都

27 株式会社テプコシステムズ

11820027（13）東京都

28 東芝情報システム株式会社

11820014（13）神奈川県

29 日鉄ソリューションズ株式会社

11820028（12）東京都

30 株式会社日本総研情報サービス

11820004（13）東京都

31 株式会社日本総合研究所

11820002（12）東京都

32 株式会社日立インフォメーションエンジニアリング

10820009（13）神奈川県

33 株式会社日立ソリューションズ

11820016（13）東京都

34 株式会社日比谷コンピュータシステム

11820013（13）東京都

35 株式会社マーケティングセンター

12390002（13）東京都

36 みずほリサーチ&テクノロジーズ株式会社

11820010（13）東京都

37 三菱総研DCS株式会社

11820035（12）東京都

38 明治安田オフィスパートナーズ株式会社

10820006（13）東京都

39 株式会社ラポールエム・アール・エス

12390004（13）東京都

40 株式会社リクルートスタッフィング

10860002（13）東京都11820018（13）群馬県

41 株式会社両毛システムズ

五十音順：41社（2023年9月25日時点の表記による）・プライバシーマーク指定機関：指定審査機関（19機関）／指定研修機関（3機関）
・プライバシーマーク審査員（2023年3月31日時点の契約審査員）

IT-Report 2023 Winter

25

記念講演
レポート
JIPDECプライバシーマーク制度創設25周年を迎えて～更なる発展を目指して～
一橋大学名誉教授、元JIPDECプライバシーマーク制度委員会委員長、元個人情報保護委員会委員長

本レポートは、2023年9月15日に開催されたプライバシーマーク制度創設25周年記念表彰式で行われた、堀部政男氏による記念講演の内容をまとめたものです。

堀部 政男氏

プライバシー・個人情報保護論議の歴史的展開
私は「歴史を知らずして現代は語れない」と述べていますが、「プライバシー・個人情報保護論議の世界的展開」について第1期から第8期まで時期区分しています。
第1期 プライバシー権の歴史的展開期（19世紀
末以降）
第2期

歴 史 的 展 開 期・ デ ー タ 保 護 法 議 論 期（1960年代）

第3期

データ保護法制定萌芽期（1970年代）

第4期

国際機関基準確立・データ保護法制定発展期（1980年代）

第5期

国際機関基準確立・データ保護法展開期（1990年代）

第6期

データ保護法制定拡大期（2000年代）

第7期

現行制度の再検討議論期（2010年代）

第8期

プ ライバシー・個人情報保護制度のグ
ローバル展開期（2020年代）

はじめに
1998年にプライバシーマークが創設され、今年、25周年ということで大変おめでたく存じます。
これからお話していきますように、国際的にもこのプライバシーマーク制度は大きな関心を呼んでい26

第1～3期「プライバシー権の歴史的展開期～
データ保護法制定萌芽期」
1970年代あたりからは10年ごとに区切ることができますが、最初の第1期「プライバシー権の歴史的展開期」は19世紀末に遡ります。

ます。今やJIPDECといえばプライバシーマーク、

1890年にHarvard Law Reviewという法律雑誌に

プライバシーマークといえばJIPDECであると、関掲載されたSamuel D. Warrenと Louis D. Brandeis

連付けられているように、プライバシーマークは、のThe Right to Privacyという論文で、プライバシー

日本国内はもとより世界的にも知られるようになっが法的権利として論じられました。日本でプライバています。

シーマークが創設されたのは1998年ですから、世IT-Report 2023 Winter企業におけるプライバシーガバナンス

界で最初に「プライバシーを法的なものとしてきちを務めました。その間、1988年12月には「行政機んと保護していこう」という提案がなされてから、関の保有する電子計算機処理に係る個人情報の保護

108年後にプライバシーマークは始まったことになに関する法律」が制定されており、この法律の制定ります。

にも携わりました。1989年4月に「民間部門におけ第3期になりますと、データ保護法制定の議論が行われるようになります。

る電子計算機処理に係る個人情報の保護について」という報告書をまとめ、指針を示しました。このよ

JIPDECでどういう議論がなされてきたかについうな経緯で、1980年代は行政機関について国の法ては、第4期「国際機関基準確立・データ保護法制

律ができ、通産省とJIPDECで民間向けのガイドラ

定発展期」以降で見ていきたいと思います。

インを作りました。

第4期「国際機関基準確立・データ保護法制定

第5期「国際機関基準確立・データ保護法制定

発展期」

展開期」

OECD（経済協力開発機構）のプライバシー・ガ

次に1990年代を第5期「国際機関基準確立・デー

イドラインは1980年9月23日に採択されましたが、タ保護法制定展開期」として見てみます。自治体レ

それを受けて日本ではいろいろ検討が始まりましベルでは、これまでも市町村では1975年から、電た。OECDの勧告を受け、当時の行政管理庁、現在

子計算機処理関係の条例が制定されるようになり、は総務省の一部になっていますが、そこで「プライその中で個人情報を保護するという規定が設けられバシー保護研究会」ができ、1982年には立法化をてきました。都道府県では、神奈川県で本格的に検提唱しました。私は、当時、構成員の中では最年少

討を始めたのが1980年代中頃です。同県は、1990者でした。

年3月に「神奈川県個人情報保護条例」を制定し、しかし日本ではなかなか民間部門を対象とする法PDマーク（下図）を導入しました。中央のＰはパー律制定まで至りませんでした。2003年になって法ソナル（個人）、周囲のＤはデータ（情報）を表し、律ができるわけですが、その間「民間できちんとプ

ＤがＰを囲み個人情報を保護することを表現していライバシー・個人情報を保護していこう」というこます。ちなみに東京都も1990年12月に「東京都個とになり、JIPDECでは1986年1月に「民間部門に

人情報の保護に関する条例」を制定しましたが、神おけるプライバシー保護調査研究委員会」が立ち上

奈川県・東京都両方とも関わったのは私だけです。

がりました。私はその委員長を仰せつかり、いろい
ろ検討をして翌年には報告書をまとめました。その後、1987年度には「これを一つのガイドラインにして民間部門できちんと守るようにしよう」ということでガイドラインの策定に当たり、5月にJIPDEC
でガイドラインをまとめました。

図．神奈川県「PDマーク」（2014年に制度廃止）

JIPDECと密接に連絡をとりながら検討していた

1980年代にJIPDECでガイドラインを議論したとのが通商産業省でした。財団法人であるJIPDECがきはOECDの理事会勧告にある「プライバシー8原

作ったガイドラインをきちんと守ってもらうために則」を参考にしましたが、1990年代になると欧州

は「通商産業省としてガイドラインを出したい」と委員会（European Commission）が新たな動きをいうことで今度は同省で検討が始まりました。

示してきます。

当時の通産省機械情報産業局長の諮問機関として

この1990年には、欧州委員会がData Protection「個人情報保護部会」が設置され、私はその部会長

Directive（データ保護指令）の提案をします。当IT-Report 2023 Winter27

時の通産省幹部が欧州委員会と貿易問題などで話をドラインを基に「プライバシーマーク制度」を作り、している際に、「日本の個人情報保護はどうなって発足したのが1998年4月1日です。

いるか」と聞かれました。1989年のガイドライン

その後、通産省工業技術院関係者から「通産省のを英訳したもので説明すると「ガイドラインに違反

ガイドラインで運用すると通産省所管の団体や事業したらどうなるのか、sanction（制裁）があるのか」者に限定されるのではないか」「これを日本工業規

な ど と 問 わ れ、「 な い 」 と 答 え る と「 そ れ で は格（現：産業規格）として、もっと広く、いろいろ

effective（効果的）ではない」と言われたというこ

な業種でこのマークを取り入れてもらうようにしてとです。

はどうか」とアドバイスをいただき、JISとして提このようなこともあり、1995年に通産省で「プ案していくことになりました。

ライバシー問題検討ワーキンググループ」ができ、原案はJIPDECで作成し、日本規格協会でJIS原案

私はその座長を務めました。そこではEUの「デーを審議する「個人情報保護規格審議委員会」が立ちタ保護指令」をも念頭に置きながら1989年のガイ上がり、私が委員長を務めました。ここで1999年3

ドラインの改正を検討しました。

月に日本工業規格JIS Q 15001「個人情報保護に関EUの「データ保護指令」は1995年10月24日に採するコンプライアンス・プログラムの要求事項」を択され、3年後に施行されました。その間、通産省

まとめました。
「プライバシーマーク制度」は1998

ではワーキンググループでいろいろ議論を行い、年4月に発足し、そのときは通産省のガイドライン

1997年3月4日には同省が改正ガイドラインとしてを基にしていましたが、1999年4月からはJIS Q「民間部門における電子計算機処理に係る個人情報

15001に基づく運用を開始しました。

の保護に関するガイドライン」を官報告示しましこの年には、政府の「高度情報通信社会推進本部」

た。改正後のガイドラインはかなり詳しいものに（本部長・小渕恵三内閣総理大臣）において「個人なっています。

情報保護検討部会」が立ち上がり、私はその座長をそこでは、認証制度は議論になりませんでした

務めることになりました。7月に第1回会合を開き、が、神奈川県で創設されたPDマークの審査などもこの年の12月までには報告をまとめるように要請

経験していましたので、民間が個人情報を保護してされ、大忙しでした。

いく上でインセンティブになるようなものとして、私が提案したのが神奈川県のPDマークのようなものでした。

第6期「データ保護法制定拡大期」

1990年に神奈川県で取り入れ、今JIPDECの指定

21世紀に入ると、世界的に個人情報保護法がま機関で行っている審査ほど厳密なものではなかった

すます多くの国で制定されるようになりました。

ものの、私も実際に審査を行っていました。19972000年代の第6期「データ保護法制定拡大期」です。

年までそういう経験を持っていたため神奈川県の事

当時の経済界の方々などと話してみると、厳しい例を話したところ、当時の通産省幹部の方が「それ法律は困ると言います。ならば「日本には基本法とは重要なものですね」と興味を示してくれました。

いう体系があるので、それでルールを作っていくの「JIPDECで検討してみてほしい」という要請を受けはどうだろうか」と話し基本法で進めることになり

ました。

ました。
当時の検討部会では様々な分野の方が入っており1997年7月からはJIPDECの「個人情報保護に係「基本法を作るのはなかなか難しいだろう」というる環境整備検討委員会」で委員長として、マーク制

こともあり、全閣僚で構成されている「高度情報通度の検討を始めました。神奈川県のような自治体と信社会推進本部」へ説明に行き、新たな委員会をは違い、JIPDECでの取組みは全国規模になるため、作っていただきたいと提案しました。

規程類もいくつも策定しました。通産省の改正ガイ28

IT-Report 2023 Winter

青木幹雄官房長官に検討していただくことにな

企業におけるプライバシーガバナンス

り、新たに「個人情報保護法制化専門委員会」が「プライバシーマーク」を描いて「日本ではこうい

2000年に設けられることになりました。委員長は、

うマークも取り入れてJIS Q 15001で保護措置を講

前最高裁判事の園部逸夫さんで、今日お見えの高芝じることになった」とスピーチしたところ、規格と利仁先生と藤原靜雄先生はその委員を務めました。

マークを一体化させたことに関心が集まりました。

私は検討部会座長の立場で、名簿には「以上のほか、主催者だったカナダ規格協会からは「日本が中心に

堀部政男検討部会座長が常時出席するものとする」

なってISO化を進めてほしい」という声も上がりまということで参加しました。

したが、日本でそれを引き受けるだけの余力がな

2001年には国会に法案が提出されましたが、な
かなか通らずようやく2003年に成立しました。

かったので、引き受けないままになりました。
その後も海外への発信はかなり行いました。例え先ほど述べた1988年の「行政機関の保有する電ば、2002年3月25日、ニュージーランドのオーク

子計算機処理に係る個人情報の保護に関する法律」

ランドで開催の「第3回プライバシー・データ保護も全部改正されましたので、その他の関係法律も含

アジア太平洋フォーラム」で、2003年2月13日、め個人情報保護関係5法というような言い方をしま

タ イ の チ ェ ン ラ イ で 開 か れ た「APECプ ラ イ バ

すが、2003年5月23日に成立、5月30日に公布され、

シー・ワークショップ」でもプライバシーマークを2005年4月1日に全面施行されました。

紹介しています。

2003年から2005年までは施行準備期に入りますが、その間にプライバシーマークの申請が急増しました。

また、国際会議の参加者や外国のデータ保護関係者などからよく質問され、説明してきています。
後になりますが、2020年にWolters Kluwer社が発行したジャーナルGlobal Privacy Law Review,

プライバシーマーク付与事業者数の推移

vol.1, issue3では日本が特集され、プライバシー「プライバシーマーク付与事業者数」の推移を見

つが、ブリュッセルの弁護士であるTanguy Van

ますと、最初は58件ほどで、2004年度は1,294件とOverstraeten氏による論稿です。次のように書いてずいぶん増えています。これは「個人情報保護法」

います。

マークについても触れられています。そのうちの一が2005年4月1日に施行されるということで、民間で「プライバシーマーク制度」への関心が高まって私が2006年に初めて堀部教授にお会いしたときいったことがよくわかります。その後、2005年度には、日本ではすでに1998年4月から始まった「プ3,656件、2006年度7,347件と、倍々といってもいライバシーマーク」と呼ばれる認証制度が導入されいぐらいに付与事業者数が増えていきました。

ていた。簡単に言うと、プライバシーマーク制度の2022年度の終わりで17,480件と、発足後は順調

目的は、事業者の個人情報処理が、特定の基準に基に増えています。これも指定機関・事業者の方々のづいて安全かつ適切な方法で行われることを証明す

おかげと感謝しております。

ることにある。この制度はJIPDECが主導し、一定の要件を満たす企業は「プライバシーマークロゴ」

国外への情報発信を使用することができるようになっている。

JIPDECでは英語での資料も作っており、私も国

最近、こういうこともありました。現在の世界プ

際 的 に ず い ぶ ん 発 信 し て き ま し た。 最 も 早 く はライバシー会議（Global Privacy Assembly, GPA）の1999年 の 香 港 で の 国 際 会 議 でRecent National

2021年の主催国はメキシコでした。そのデータ保護

Privacy Standards Initiatives : Japanというタイト機関であるINAI（National Institute for Transparency,

ルで報告しました。

Access to Information and Personal Data Protection）

ボードに神奈川県の「PDマーク」とJIPDECのか ら、「 デ ー タ 保 護 の 人 間 中 心 の ア プ ロ ー チ 」

IT-Report 2023 Winter29

（Human-centric approach）について、500語以内

形で紹介されています。NHKが2005年4月に全国で原稿を書いてほしいという依頼を受けました。

ニュースでプライバシーマーク制度の審査風景を取

INAIは、依頼論稿や2021年の国際会議（オンライ材、放送するなどメディアからの注目も集めていまン中心）の報告・記録などをMemory Bookと題すす。

る書籍にまとめて、2022年10月にトルコのイスタ

そこでは、審査員が厳正な審査を行う過程を事細ンブールで開かれたGPAで一定数を配布しました。

かに伝え、個人情報保護法をきっかけに取得企業がそれを読んだイギリスのStewart Dresner氏から、急増している現状を伝えていました。番組では「個同氏が発行するPrivacy Laws & Businessにも書く

人情報の適切な管理次第では取引ができない事態もように要請されました。Dresner氏は、プライバ

招きかねず、企業にとって生き残りをかけた取引はシーマークについていくつか質問したいということ

これからも続く」と締め括られ、実際の審査が適切で、それへの回答も含めて原稿をまとめてみてほしに行われていることがよくわかる内容となっていまいと言ってきました。それに答えて書いたものが、した。

Privacy Laws & Businessの2022年12月号に掲載されました。
そ れ を 見 た、Journal of Data Protection and

更なる発展を目指して

Privacyと い う 雑 誌（ イ ギ リ ス のHenry Stewart

述べたいことは尽きませんが、JIPDECの事業計

Publicationsという出版社発行）の編集委員会の委

画書で明らかにしている展望を紹介します。
「2023

員長から、プライバシーマークについてやや詳しい

年度事業計画書」は、次のような項目を挙げて、具原稿を頼まれました（ただし、査読ありとのことで体的に説明しています。

した）。JIPDECの英文の資料も紹介しながら原稿を 書 き ま し た。 査 読 も 通 り、 同 誌 の 第6巻 第1号（1）制度運用の基盤強化（デジタル化）（2023年秋発行）に載りました。14頁にわたる拙稿

（2）普及促進活動の充実

は、その制度創設の歴史から現状までを記述した、（3）時代の変化に対応した事故の評価と対応

これまでのところ最も詳しい情報を英文で提供して（4）審査の迅速化いるものであると言えます。
このように、国際的発信もしてきています。

更なる発展のためには、これらが具体化されることが必須であり、そうすることを望んでいます。

国内での紹介プライバシーマークについては、日本でも様々な

30

IT-Report 2023 Winter

指定審査機関には、これからもぜひ厳格に審査をしていただき、付与事業者の数を増やしていただく
ことを期待しています。

企業におけるプライバシーガバナンス

コラム
JIS Q 15001の改正について
一般財団法人日本情報経済社会推進協会

電子情報利活用研究部

主幹

恩田 さくら「JIS Q 15001 個人情報保護マネジメントシステ

変更されており、それらへの対応がなされています。

ム―要求事項」は、事業者が大量の個人情報を扱い、

ま た、 組 織 の マ ネ ジ メ ン ト シ ス テ ム 規 定 は、

個人情報の適切な利用及び保護が極めて重要となる

2017年版規格では、ISO/IEC専門業務用指針 第1部

なか、各事業者におけるマネジメントシステムによ統合版ISO補足指針の付属書SLを参考に、原則としる個人情報保護の取組みを促進し、高度情報通信社て規格の本体に規定されることとされつつ、それ以会 の 健 全 な 発 展 及 び 消 費 者 保 護 を 目 的 と し て、前の版の要求事項の基本的な考えを変更しないこと

1999年に個人情報保護に関するコンプライアンとしたため、2017年版規格の付属書Aには、マネジ

ス・プログラムの要求事項として制定されました。

メントシステム規定と、個人情報保護法に対応する

この規格の制定後、情報技術の発展に伴い、個人情規定の両方が含まれていました。そのため、2017

報の保護の必要性が一層高まるとともに、個人情報

年版規格本体のマネジメントシステム規定と、附属保護法が2003年に制定され、2007年4月からの全書Aに含まれるマネジメントシステム規定との対応

面施行を迎え、規格を取り巻く環境が大きく変化しがわかりにくい状況があり、今回の改正においてたことを受け、2006年に個人情報保護法に基づくは、2017年版規格の付属書Aのうち、マネジメント

個人情報保護ルール及びマネジメントシステムをあシステム規定は、規格の本体に規定を設けることとわせもった規格へ改訂されました。その後複数回のし、2023年版規格の付属書Aは、改正個人情報保護

改 訂 を 経 て、2023年9月20日 に、JIS Q 15001：

法の内容に対応する規定として整理されました。

2023が発行されました 。
1

これまで、この規格の適用範囲は、個人情報取扱

2023年版規格は、令和2年改正個人情報保護法

事業者を単位とすることが想定されてきました。一（2020年6月12日公布、2020年12月12日一部施行、方で、組織の形態は、必ずしも事業者単位ではなく、2022年4月1日全面施行）及び令和3年改正個人情カンパニー制などのように事業者の一部または複数

報保護法（2021年5月19日公布）が公布され、この事業者を対象とするマネジメントシステムの運用

れらの改正法に整合する規格とするため、改正が行も想定されるところ、規格利用者が、事業者単位にわれています。なお、令和2年改正個人情報保護法

限定されず、組織の形態に応じた個人情報保護マネ

では、仮名加工情報、個人関連情報などが新しく定

ジメントシステムに適用可能な規格とするための改義されるとともに、保有個人データにかかる規律が正も、併せて行われています。

1 「JIS Q 15001 個人情報保護マネジメントシステム−要求事項」（一般財団法人日本規格協会、2023年9月）を参照。

IT-Report 2023 Winter31

英国政府のサイバーセキュリティ戦略
一般財団法人日本情報経済社会推進協会

セキュリティマネジメント推進室

2023年10月24日、英国下院の科学・イノベー
ション及び技術委員会 は、英国の重要国家インフ
1

主任研究員

大熊 三恵子なって防衛すること、の2つを戦略的柱に据えています。

ラ（Critical National Infrastructure：CNI）のサイ

これらの戦略的柱を支えるために、変革案の一つ

バーレジリエンスの調査のため、コメント募集を開として盛り込まれたものが、サイバーアセスメント

始しました。英国は、ITUの“Global Cyber Security

フレームワーク（Cyber Assessment Framework：

Index”で世界第2位（2021年版）、ハーバードベル

CAF）の採用です。CAFは、①セキュリティリスク

ファーセンターの“Cyber Power Index”では第4の管理、②サイバー攻撃に対する防御、③サイバー位（2022年）と高いサイバーセキュリティ能力をセキュリティ事象の検知、④サイバーセキュリティ誇る一方で、米国、ウクライナに次いで世界第3位

インシデントの影響の最小化という4つの目的、「ガのサイバー攻撃の標的国であり 、2023年8月には、バナンス」「リスクマネジメント」「資産管理」等を数千万人分の有権者情報がサイバー攻撃によって漏含む14の原則、「リスクマネジメントプロセス」「保えいしていた事実が1年以上検出されなかったとい証」「資産管理」「アイデンティティ及びアクセス管

うインシデントが報道されています。ここでは、今理」を含む、39の成果による段階的な構成となっ回のコメント募集の対象の一つとなっている『政府ています。このCAFの採用によって、政府は英国のサイバーセキュリティ戦略2022-2030』（2022年1

重要なサービスを運営する他の組織と整合のとれた

月25日発表。以下、本戦略）について概説します。

比較可能な方法でサイバーレジリエンスを評価する

本戦略の目標は、2025年までに政府の重要な機ことが可能です。CAFは、政府省庁の一貫したサイ

能をサイバー攻撃に対して大幅に強化し、遅くともバーセキュリティ保証を提供するための枠組みとし2030年までに、公共部門全体にわたるすべての政て使用されますが、各省庁は、サイバーセキュリ

府組織が既知の脆弱性（known vulnerabilities）とティリスクの管理を最も適切に行うことができると攻撃手法に対して回復力を持つようにすることで考える枠組みを引き続き使用することができるとしす。この目標を達成するために、政府は、①政府機ています。特に、CAFと整合がとれているサイバー

関がサイバーセキュリティリスクを管理するためのセキュリティフレームワークとして、米国国立標準

適切な構造、メカニズム、ツール、サポートを確保

技術研究所（NIST）のサイバーセキュリティフレー

すること、②サイバーセキュリティに関するデー

ムワークやISO/IEC 27001が挙げられています。

2

3

4

タ、専門知識、能力を政府全体で共有し、一丸と

1
2
3
4

32

Science, Innovation and Technology committee
https://www.itu.int/pub/D-STR-GCI.01-2021
英国議会 Cyber resilience of the UK's critical national infrastructure - Committees - UK Parliament
https://committees.parliament.uk/work/7934/cyber-resilience-of-the-uks-critical-national-infrastructure/Government Cyber Security Strategy 2022-2030：Government Cyber Security Strategy: 2022 to 2030 - GOV.UK (www.
gov.uk)https://www.gov.uk/government/publications/government-cyber-security-strategy-2022-to-2030

IT-Report 2023 Winter企業におけるプライバシーガバナンス

ドメイン名のご利用は計画的に一般財団法人日本情報経済社会推進協会

セキュリティマネジメント推進室

Webサイトを運営したり、メールを送信したり

主幹

高倉 万記子ることがあります。

するのに必要なドメイン名ですが、2023年10月1

その廃止されたドメインがどうなるかというと、

日現在、日本の企業が登録できるco.jpドメイン名

携帯電話の番号のように、一定期間経過後再利用は47万件以上、企業以外の日本の法人組織が登録（再登録）できるようになっているため、オークショ

できるor.jpは4万件以上が登録されています 。

ンサイトで販売されていたりします。

1

国内の企業数は1999年に485万社、2009年に元々、知名度の高い企業や公的なサイトは、多く

421万社、2016年に359万社 でしたが、co.jpドメの人に周知され、ブックマークにも追加されておイン名は1999年に9万件、2009年に33万件、2016

り、検索サイトの検索結果でも最初の方にヒットも年に39万件 となっており、企業数に対するドメイ

します。このようにアクセス回数が望めるわけです

ン名登録数は1.9％、7.8％、10.9％と、増加の一途

から、価値が高いわけです。

2

3をたどっています。実際にはco.jpドメイン名以外

このため第三者が登録し、そのドメイン名でウェの汎用JPドメイン名や、.COMなど、いろいろなドブサイトを構築することがたびたびあるのですが、メイン名が利用できるため、ドメイン名を登録して中には悪意ある者が登録して、前の登録者と同じよいる企業ははるかに多いと推測されます。

うに見えるウェブサイトを構築する、なりすましサ
イトが作られセキュリティ上の脅威となることがあ

ドメイン名は安いものだと年額数百円で登録でります。

き、オンラインで簡単に登録申請ができます。ドメ

このようなことがあるため、オークションにかけ

イン名の登録数に制限はないため、組織の活動のデられていたことに後から気づいて買い戻した企業もジタル化が進むにつれ、コーポレートサイト用のドあります。

メイン名に加え、ブランド用、キャンペーン用にと、手軽に登録が進んでいます。

第三者に登録されないようにするためにも、一度登録したドメイン名は手放さないこと、そもそも後一方で、キャンペーンが終了したり、ブランドの取扱いを終了したりした場合、そのドメイン名が不で不要となり手放すかどうかを吟味してからドメイ
ン名を登録することをお勧めしています。

要になったということで、登録を更新せずに廃止す

1
2
3

JPRS「JPドメイン名の登録数」より
中小企業庁：2020年版「中小企業白書」第1部第3章第1節
JPRS「JPドメインの登録推移」より

企業数の変化と開廃業の動向（meti.go.jp）

IT-Report 2023 Winter33

デジタルトラストとトラストサービスの信頼性評価
一般財団法人日本情報経済社会推進協会

デジタルトラスト評価センター

萩原 隆

インターネットやクラウドサービスの普及によ

JTS登録は、トラストサービスの信頼性を公平

り、デジタルデータのやり取りが日常的に行われて性・中立性の観点から評価する事業です。電子契約

います。しかし、デジタルデータはなりすましや改サービス等を提供する事業者は、JTS登録を通じて、

ざんなどのリスクを伴うため、これらのリスクを防利用者に安心して利用いただけるサービスであるこ止するための対策が施されていることを示すことがとを対外的にアピールすることができます。

できるデジタルトラストの確保が不可欠となっています。

JIPDECは、これまで登録のための要件の概要のみ公開していましたが、JTS登録の透明性をより高

デジタルトラストの確保には、認証局により発行めるために、2023年7月にJTS登録基準（認証局）

された電子証明書を使った電子署名や、eシールのをWebサイトで公開しました2。この基準は、電子署機能であるデータの改ざん防止などが有効です。近

名やeシール用電子証明書を発行する認証局の運年、リモート署名などの利用者の利用しやすさを高用、技術及び設備に関する要件を定めた基準です。

める技術も普及しつつあります。リモート署名と今後も他の基準を公開していく予定です。eシール

は、物理的に離れた場所からでも電子署名やeシー

は、電子文書等の発行元の組織等を示す目的で行わルを行うことができる技術です。リモート署名は、れる措置であり、当該措置が行われて以降当該文書

署名者の利便性を向上させる一方で、署名者の秘密等が改ざんされていないことを確認する仕組みです

鍵を第三者（トラストサービス提供者）が保管する。
（総務省「eシールに係る指針」3より）ことになるため、署名の信頼性を証明できることが重要です。

なお、総務省は、「eシールに係る検討会」を開催しており、JIPDECも構成員として参加していま

トラストサービスは、その信頼性が一般にはわかす。本検討会においては、eシールの定義として、りにくいという課題があります。この課題を解決す「措置」と捉えるか「データ」として捉えるかが論るために、JIPDECは、認証局、リモート署名など点の一つとなっています。

のトラストサービスの運用、技術及び設備を審査

JIPDECは、認証局、リモート署名等のトラストし、その結果を公開する「JIPDECトラステッド・

サービスの評価を通して、デジタル社会の実現に貢サービス登録（JTS登録）」を実施しています1。

献してまいります。

1
2
3

34

副センター長JIPDECトラステッド・サービス登録（JTS登録） https://www.jipdec.or.jp/project/jtsr.html
JIPDEC トラステッド・サービス登録（認証局）登録基準
https://www.jipdec.or.jp/project/jtsr/isp54l0000000aee-att/JTS_CA_TOROKU_KIJUN.pdf
総務省「eシールに係る指針（令和3年6月25日）」 https://www.soumu.go.jp/main_content/000756907.pdf

IT-Report 2023 Winter企業におけるプライバシーガバナンス〈資料１〉国内外の主な個人情報保護関連の年表
国

内

年
1970

海

外

ドイツ

ヘッセン州において世界初の「データ保護法」
採択

アメリカ

「プライバシー法」制定

ドイツ「データ処理における個人データの濫用防止に関する法律（連邦データ保護法）」制定（1月）。
（2009年に改正）

フランス「データ処理・データファイル及び個人の自由に関する法律」制定

カナダ「カナダ人権法」制定

徳島県徳島市「電子計算組織運営審議会条例」
1973
施行（6/28）1974「電子計算機処理データ保護管理準則」策定

1976
1977

1978
1979

コミッショナー 「プライバシー・コミッショナー会議」開始
欧州評議会

閣僚委員会が「個人データの自動処理に係る個人の保護に関する条約（条約第108号）」採択（9/17）

OECD「プライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告」採択（9/23）

1981

欧州評議会

「個人データの自動処理に係る個人の保護に関する条約（条約第108号）」発布（1/28）

1982

カナダ

「連邦プライバシー法」制定

ドイツ

ドイツの憲法にはデータに関連したプライバ
シーの権利が含まれていないが、連邦憲法裁判
所が個人の「情報を自己決定する権利」を公式
に認める

アメリカ

「ケーブル通信政策法」制定

イギリス「データ保護法」制定（1998年に改正）

1985

欧州評議会

「個人データの自動処理に係る個人の保護に関する条約（条約第108号）」発効（10/1）

1986

アメリカ

「電子通信プライバシー法」制定

1980

1983

福岡県春日市にて「個人情報保護条例」可決（7/4）。10/1施行

JIPDEC、民間事業者を対象とした「個人情報保護に関する調査研究」に着手

1984「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律案」閣議決定「コンピュータ・マッチング及びプライバシー
保護法」制定JIPDEC、「民間部門における個人情報保護のためのガイドライン」策定（5月）「行政機関の保有する電子計算機処理に係る1988
個人情報の保護に関する法律」公布（12/16）。
「行政機関の保有する個人情報の保護に関する法律」で全部改正
1989年10月1日に第三章と23条以外の規定が施行
1990年10月1日に全面施行

アメリカ「ビデオプライバシー保護法」制定

IT-Report 2023 Winter

35

国

内

年

海
韓国

「公共機関における個人情報保護に関する法律」
制定

フランス

フランス憲法では明示的にはプライバシーの権利は保護されていないが、憲法裁判院がプラ
イバシーの権利は憲法に内在的に含まれてい
ると裁定

1994

香港

「個人データ（プライバシー）法」制定

台湾「1995年コンピュータ処理に係る個人情報の保護に関する法律」制定

EU「個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する欧州会議及び理事会の指令」公示（10/24）（加盟国に3年以内の個人情報保護法制の整備
を求める）

1995

1996
通商産業省、「民間部門における電子計算機
処理に係る個人情報の保護に関するガイドラ
イン」公表（3/4）

「電気通信法」制定

アメリカ「児童オンラインプライバシー保護法」成立（10/21）「EUデータ保護指令」施行（10/24）

EU

2001

イギリス

「人権法」採択（11月）カナダ「個人情報保護及び電子文書法」制定

EU-アメリカ

EU・米国間における「セーフハーバー協定」
締結（7月）

アメリカ「米国愛国者法」制定（10/26）。2015年6月失効

APEC「APECプ ラ イ バ シ ー フ レ ー ム ワ ー ク 」 採 択（10/29）APEC

・「越境プライバシールール」策定
・「パスファインダープロジェクト」の試験的な取組み開始EU「EUデータ保護規則案」提出

2003
2004

「個人情報保護法」全面施行（4/1）

2005「JIS Q 15001：2006」改正（5月）

2006
2007

2012
アメリカ

36

IT-Report 2023 Winterスウェーデンで、アメリカン航空に対してス
ウェーデン国内で収集した搭乗者の個人情報を米国内の予約センターに移転することを禁じる（11月）

1999

2000

「個人情報保護法」公布・一部施行（5/30）

アメリカ

1997

JIPDEC、プライバシーマーク制度開始（4/1）（1997年の「民間部門における電子計算機処
1998
理に係る個人情報の保護に関するガイドライン」に基づく）「JIS Q 15001個人情報保護に関するコンプライ
アンス・プログラムの要求事項」制定（3/20）

外「消費者プライバシー権利章典」が掲載された
行政白書にオバマ大統領が署名（2/23）

企業におけるプライバシーガバナンス

国内「行政手続における特定の個人を識別するための番号の利用等に関する法律」及び関連法
公布（5/31）

年
2013

海

外

OECD

「プライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告」改正（7/11）アメリカ

・「米国自由法」成立（6/2）
・「サイバーセキュリティ情報共有法」にオバ
マ大統領が署名（12/18）

EU-アメリカ

欧州で「セーフハーバー協定」無効判決（10月）EU

欧州本会議「一般データ保護規則（GDPR）」
を正式可決（4/14）

EU-アメリカ

EU・米国間における「プライバシーシールド」
がEU諸国で承認（7/12）。8月から米商務省への参加申請受付開始

EU

欧州委員会、電気通信分野のプライバシー保護を目的とする「e-プライバシー規則案」公表（1月）中国「中華人民共和国サイバーセキュリティ法（インターネット安全法）」施行（6/1）

ドイツ

GDPR施行に向け「連邦データ保護法」全面改正（6/30）EU「EU一般データ保護規則（GDPR）」施行（5/25）

ベトナム「サイバーセキュリティ法」公布。国内でのデー
タ保存と事務所設置を義務化（6/12）。2019/1/1
施行

フランス「個人情報保護に関する法律」成立（5/14）

特定個人情報保護委員会発足（1/1）
APEC越境プライバシールール（CBPR）シ
ステムに参加（4月）2014「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の2015
利用等に関する法律の一部を改正する法律」
成立（9/3）
特定個人情報保護委員会が改組し、個人情報保護委員会発足（1/1）
APEC-CBPRシ ス テ ム の 認 証 団 体 と し て、
JIPDECがアカウンタビリティ・エージェント（AA）に認定（1月）
個人情報保護委員会、アジア太平洋プライバ
シー機関フォーラム（APPA）の正式メンバーに就任（6月）2016「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律の施行に伴う関係政令の整備及び経過措置に関する政令」及び「個人情報の保護に関する法
律施行規則」制定（10月）「カメラ画像利活用ガイドブックver.1.0」公表（1/31）「改正個人情報保護法」全面施行（5/30）

2017「JIS Q 15001：2017」改正（12/20）「カメラ画像利活用ガイドブックver.2.0」公表（3/30）

情報銀行に求められる「情報信託機能の認定に係る指針ver.1.0」公表（6/26）。
日-EU間の相互の円滑な個人データ移転を図る枠組み構築に係る最終合意確認、及び個人
データの越境移転に言及した共同声明発出（7/17）

2018「個人情報の保護に関する法律に係るEU域内
から十分性認定により移転を受けた個人デー
タの取扱いに関する補完的ルール」策定（9月）。2019/1/23施行

EU-アメリカ

欧州議会、「プライバシーシールド」がEUの求める保護水準に達していないとして、米国当局に対応を要求（7/5）
。米商務省は「準拠している」と声明（8/30）

ベルギー「個人データの処理に関する保護法」制定（7/30）

イタリア「改正個人データ保護法典」施行（9/19）

米カリフォル 「カリフォルニア州消費者プライバシー法 2018
ニア州
年（CCPA）」発効（9/23）。2020/1/1施行

2019

EU

欧州委員会、日本の個人情報保護に対する十分性認定の採択手続きに着手（9月）タイ「個人情報保護法（PDPA）」施行（5/28）

IT-Report 2023 Winter

37

国

内

年

「個人情報の保護に関する法律等の一部を改正する法律」」公布（6/12）。2022年4月全面施行
2020「DX時代における企業のプライバシーガバナ
ンスガイドブックver1.0」策定（8/28）

海

外

EU-米国

EU司法裁判所、「プライバシーシールド」無効判決（7/16）

米カリフォル
ニア州「CCPA」改正提議が住民投票で可決。より厳しいカリフォルニア州プライバシー権利法（CPRA）」成立（12月）。2023/1/1施行

EU

欧州委員会、「プライバシーシールド」の無効判決を受け、「標準契約条項（SCC）」改定案
発表（11/12）

シンガポール 「個人情報保護法（2012）」改正法施行（2/1）
「DX時代における企業のプライバシーガバナ
ンスガイドブックver1.1」策定（7/19）

2021

日本を含む7カ国・地域がグローバルCBPR
フォーラム設立宣言に合意（4/21）「電気通信事業法」改正（6/17）。2023/6/16
施行
2022「DX時代における企業のプライバシーガバナ
ンスガイドブックver1.2」策定（2/22）「カメラ画像利活用ガイドブックver3.0」策定（3/30）「DX時代における企業のプライバシーガバナ
ンスガイドブックver1.3」策定（4/25）

G7データ保護・プライバシー期間ラウンド
テ ー ブ ル、 生 成AIに 関 す る 共 同 声 明 採 択（6/21）

G7、広島AIプロセスに関するG7首脳声明発出（10/30）

38

IT-Report 2023 Winter

米国で2番目の「消費者データ保護法」制定
（3/2）

中国

・
「データセキュリティ法」成立（6/10）。9/1
施行
・「個人情報保護法」成立（8/20）。11/1施行

EU-アメリカ

2020年に無効判決を受けた「Privacy Shield」に 代 わ る「T r a n s - A t l a n t i c D a t a P r i v a c y
Framework」原則的に合意（3/25）

アメリカ

連 邦 レ ベ ル の「 デ ー タ プ ラ イ バ シ ー 法（ADPPA）」 が 下 院 委 員 会 で 可 決（7/20）。
2022年中の成立なし

中国「データ越境安全評価弁法」公布（7/7）。9/1
施行

インドネシア

初の「個人データ保護法（PDPL）」制定・施行（10/17）EU・
「デジタル市場法（DMA）」公布（10/12）。
11/1発効・
「デジタルサービス法（DSA）」公布（10/27）。
11/16発効

英国

グローバルCBPRフォーラムへの参加表明（4/17）

中国「個人情報域外移転標準契約弁法」公布（2/24）
。
6/1施行

米ユタ州

18歳未満のソーシャルメディア使用を制限する規制法「SB152」「HB311」成立（3/23）

ベトナム「個人情報保護政令」公布（4/17）。7/1施行

米モンタナ州 「TikTok禁止法」成立（5/17）。2024/1/1施行
2023「JIS Q 15001：2023」改正（9/20）

米バージニア州

米カリフォル
ニア州

CPRA執行規則発効（3/29）。7月執行予定が裁判所命令で2024年3月に延期（6/30）

EU-アメリカ「EU-US Data Privacy Framework（DPF）」始動（7/10）インド「デジタル個人データ保護法」成立（8/11）

スイス「改正連邦データ保護法」と関連条例施行（9/1）

イギリスアメリカ

データ移転のための十分性認定「データブリッジ」発効（10/12）

企業におけるプライバシーガバナンス〈資料２〉情報化に関する動向（2023年4月～2023年9月）【国内／国際連携】
2023年4月
・日立ソリューションズ、システム開発頓挫の訴訟でZ会に11億円の賠償金支払い。抗争5年で結審。
・経済産業省・総務省「DX時代における企業のプライバシーガバナンスガイドブックVer1.3」策定。概念の整理、実践事例集を収録。
・G7、生成AI活用のための5原則設立合意へ。G7群馬高崎デジタル・技術大臣会合では、越境データ移転推進等6つのテーマを盛り込んだ「G7デジタル・技術閣僚宣言」採択。
5月
・政府、生成AIの利活用・開発・規制について検討する「AI戦略会議」設置。
・神戸市議会、生成AIの利用ルールを追加する条例改正。自治体のAI利用規制は初。
・厚生労働省、サイバー攻撃で約10万件の迷惑メール送信の踏み台に。
・トヨタ自動車、クラウド誤設定で、約10年にわたり約215万人分の車の位置情報が閲覧可能であったことと、26万人分の顧客情報漏えいの可能性を公表。7月に総務省が行政指導。
・富士通、コンビニ交付用証明書発行システムの度重なる証明書誤交付で、システム再点検。個人情報漏
えいに関し、9月にPPCが行政指導。
6月
・改正マイナンバー法成立。2024年秋に健康保険証を廃止し、「マイナ保険証」に一本化。
・個人情報保護委員会（PPC）、利用者の同意方法に問題ありとして、OpenAIに注意喚起。生成AI事業者
への行政指導は初。
・尼崎市、46万人の住民情報入りUSBメモリ紛失は業務委託契約不履行として、委託先BIPROGYが損害賠償金2,950万円支払い。
・改正電気通信事業法施行。電気通信事業者に対するCookie情報の利用規制強化。
・G7データ保護・プライバシー機関ラウンドテーブル会合、生成AIに関する声明。生成AI開発段階からプ
ライバシーに配慮して設計するよう訴え。
7月
・名古屋港、ランサムウェア攻撃によるシステム障害で、3日間コンテナ搬入・搬出不能に。
・NTTドコモ、3月に発覚した元派遣社員の顧客情報不正持出しによる件数は約596万件と発表。
8月
・サイバートラスト、JIPDECトラステッド・サービス（JTS）登録取得の認証局発行のeシール用証明書を提供開始。
・総務省、eシールの認定制度創設に向けた有識者会議設置。
・ヤフー、利用者に十分な周知なく、約756万のユニークブラウザ分の検索クエリを韓国企業に試験的に提供。総務省が行政指導。
9月
・警視庁、前勤務先保有の名刺情報を転職先同業他社に不正提供したとして、転職者を個人情報保護法違反の疑いで逮捕。保護法違反逮捕者は初。
・PPC、別人のマイナンバーを公金受取口座に紐づけた誤登録問題で、安全管理面を問題視し、デジタル
庁に行政指導。

IT-Report 2023 Winter

39

【海外】
2023年4月
・米ユタ州、18歳未満のソーシャルメディア使用を制限する2つの規制法（SB152とHB311）成立。閲覧
時間制限や利用時の親の同意、メディア依存時の提供企業への罰金など盛込み。
・韓国公正取引委員会、モバイルゲーム市場地位の独占でGoogleに421億ウォンの支払い命令。G社は異議表明。
・Twitter社、Eron Musk氏が経営するX社に統合され、SNS「Twitter」消滅してXへ。投稿呼称はtweetからPostに。
・ベトナム政府、個人情報保護政令公布。個人情報の処理に当たっては情報主体からの同意を義務付け。
本人からの回答がなければ同意と認めず。
・米ミシガン州他8州、2023年1月の司法省によるGoogleのデジタル広告市場に対する反トラスト法訴訟に参加。
・英政府、グローバルCBPRフォーラム参加意向表明。APEC参加国以外の参加は初。
・米最高裁判所、生成AIによる発明特許出願認めぬ判決。人間による発明のみが特許発行対象に。
・米連邦取引委員会（FTC）他3機関、AIを含む新しい自動化システムに影響されない機会均等を守るための監視強化を共同宣言。
・欧州委員会（EC）、デジタルサービス法（DSA）の適用対象に19のSNSサービス指定。本年8月までにDSA規定準拠対応へ。
・イタリア政府、3月31日にChatGPTを一時禁止措置するも、OpenAIが個人データ取扱いの改善策を導入
し、約1カ月後に禁止解除。
5月
・FTC、Metaが子どもから収集した情報の収益化を禁ずる包括的規制案公表。Metaは連邦地裁に差止要請。
・米モンタナ州、全米初、一般ユーザーのTikTok利用、運営会社によるアプリ提供を禁止する「TikTok禁止法」成立。2024年1月1日施行。ByteDanceは、事業活動禁止は言論の自由に反すると州を提訴。
・Google、位置情報追跡に関する慣行が消費者に誤解を与えるとする問題で、米ワシントン州に3,990万ドルの和解金。位置情報追跡の透明性記載へ。
・アイルランドデータ保護委員会（IE DPA）
、Facebookユーザーデータを米国に移転したとして、GDPR
違反でMetaに12億ユーロの制裁金。M社は控訴を発表。
・F TC、Alexaが子どもの音声データを不正に保持していたとして、児童オンラインプライバシー法（COPPA）違反でAmazonに2,500万ドルの罰金。その他ドアホン事業でユーザー情報を不適切に利用したとして、580万ドル支払いで合意。
6月
・中国インターネット情報弁公室、「個人情報域外移転標準契約弁法」施行。個人情報取扱者や受取事業者の義務、標準契約の必須条件を規制。
・Microsoft、FTCからXboxを利用する子どもの情報を親の同意なしに不正収集するのはCOPPA違反と指摘を受け、2,000万ドル支払い。
・英－米政府、データプライバシーを安全に保持しつつ、自由なデータ移転を行うための「データブリッジ」創設に向け原則合意。10月発効。
・米ルイジアナ州、親の同意なしに子どものSNSアカウント作成を禁止する法案可決。2024年8月施行予定。
・欧州議会、生成AIを含むAIを包括的に規制する「EU AI Act」可決。リスクレベルを4段階に分類して使用規制。
・FTC、消費者の同意なく不当な方法で有料会員登録を誘導、多額な会費を徴収したとして、Amazonを提訴。A社は簡単・明確に登録・解約可能と反論。
・米カリフォルニア州、州消費者プライバシー法（CCPA）を改正する州法「カリフォルニアプライバシー
権法（CPRA）」の最終規則を7月1日付で執行予定も、上級裁判所が2024年3月に執行延期の判断。

40

IT-Report 2023 Winter企業におけるプライバシーガバナンス

7月
・Meta、コミュニケーションアプリ「Threds」公開。公開5日でユーザー数1億人超。
・EU－米政府、「EU-US Data Privacy Framework（DPF）」実施に向け、米国側手続き完了。次いで欧州委員会（EC）が十分性に関する決定を採択し、始動。
・仏経済・財務省、ネット検索結果で適切な情報提供を怠ったとして、Google欧州法人に200万ユーロの制裁金。
・EC、国境を越える案件の処理迅速化を目指すため、各国データ保護機関間の協力の合理化を図る規則を発表。
・中国政府、国家の発展、安全を重視した生成型AIサービスに関する「生成型人工知能サービス管理暫定弁法」公布。
・欧州司法裁判所、Metaの独占地位による同意なし情報収集に対する独カルテル庁の利用者データ収集制
限命令への不服申立てを覆し、M社へのプライバシー侵害の調査、対応権限を許可。
・経済協力開発機構（OECD）、グローバル企業のデジタル課税、法人税の引下げルールを改める多国間条
約の大枠とりまとめ。
・Googleユーザー、Ｇ社の生成AI開発への個人データの無断使用、著作権侵害で集団訴訟。AI機能強化に
データ利用可能とするＧ社のプライバシーポリシー改定にも言及。
・FTC、OpenAIが消費者保護の取組みで個人情報の不正取得、風評被害を招くような慣行に従事していな
いか調査開始。
・Google、豪Touchstream Technologiesからの特許侵害訴訟で、米テキサス州連邦地方裁判所が3.4億ドルの損害賠償命令。
・Google、Microsoft、Anthropic、OpenAI、業界団体「Frontier Model Forum」設立。AIの安全性研究の推進等取組み。
8月
・ノ ルウェーデータ保護局、行動ターゲティング広告がプライバシー侵害に当たるとして、Metaに1日100万ノルウェー・クローネの制裁金と広告表示の一時停止命令。
・インド政府、インド国内の個人情報のデジタル処理を規制する「デジタル個人データ保護法」成立。デー
タ受託者はデータの正確性の維持、安全保管、目的達成後のデータ削除を義務付け。
・米イリノイ州、子どものインフルエンサーを保護する全米初の法律成立。収益の一部受取り、コンテン
ツ削除が可能に。
9月
・スイス連邦法務省、改正連邦データ保護法（DSG）と関連条例施行。データ処理の透明性向上、個人デー
タ管理を強化。
・EC、デジタル市場法（DMA）の適用対象企業公表。Apple、Microsoft、Meta、Alphabet、Amazon、
ByteDanceの6社、22サービスを規制。2024年2月の全面適用に向けた対応必須。
・中国国家インターネット情報弁公室、学術情報大手「知網」に、必要以上の個人情報の収集、同意なし
収集など「インターネット安全法」「個人情報保護法」「行政処罰法」違反で5,000万元の罰金。
・Google、司法省が2020年に提訴した反トラスト法違反訴訟の公判開始。検索サービス市場独占維持のために年100億ドルをスマホメーカーに支払い。
・IE DPA、TikTokの子どもの個人データ取扱い不備でByteDanceに3.4億ユーロの制裁金。
・Google、同意なく位置情報履歴を追跡、データを使用したとする米カリフォルニア州と個人による団体訴訟で、計1.5億ドルの和解金支払い。
・EC、CPUの市場独占的地位乱用によるEU競争法違反でIntelに3.6億ユーロの制裁金。2009年に10.6億ユーロの制裁金が決定した際は、EU司法裁判所が決定取消し。
・FTCと17州政府、Amazonのネット通販事業が独占的で競合他社のビジネス機会損失、消費者に損害を与えたとして、反トラスト法違反で提訴。

IT-Report 2023 Winter41

JIPDEC IT-Report 2023 Winter2023年12月22日発行（通巻第22号）
発行所

一般財団法人日本情報経済社会推進協会〒106-0032 東京都港区六本木1-9-9
六本木ファーストビル12階
TEL：03-5860-7555

制株式会社ウィザップ

作

禁・無断転載