『個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理』についての意見
令和６年７月１７日
公益社団法人 全国消費生活相談員協会

該当箇所

・はじめに（中間整理の位置づけ等）

意見・今回、3 年ごと見直しを行うべき必然性があることに全面的に賛成します。
・中間整理でさまざまな実例が示されているように、令和２年改正法、及び３

理由

年改正法の施行後においても、デジタル化の急激な進行等によって、より大量に個人情報を取り扱うビジネス等が現れ、同時にプライバシーを含む個人の権利利益が侵害されるリスクのある事案が、想定を超えて急激に増加しています。この実態を踏まえれば、表出しているそれぞれの課題に対応すべく迅速・適切に法改正を行うことが、「個人情報の有用性に配慮しつつ、個人の権利利益を保護する」との法の趣旨を実現するものと考えます。

該当箇所

・要保護性の高い個人情報の取扱いについて（生体データ）

意見・生体データを原則として要配慮個人情報とすることに賛成です。

理由・現行法では、顔特徴データ、声紋、歩容等の生体データは個人情報であるに留まり、その取得に同意を要する要配慮個人情報とはされていません。しかし顔認識カメラの使用の現実を見れば、個人の行動を長期かつ広範囲に捕捉することが容易に可能であるなど、生体データについては、プライバシーを含む個人の権利利益の保護が侵害されるリスクが想定を超えて高まっており、迅速な対応が必要とされます。国際的にも生体データはセンシティブデータである国が大勢を占めグローバルスタンダードとなっています。
少なくとも、生体データの一定事項を本人通知・周知することを前提に本人による利用停止をより柔軟に可能とすることは必須と考えます。

該当箇所

・「不適正な利用の禁止」「適正な取得」の規律の明確化

意見・いわゆる個人関連情報は個人情報に該当すると整理するべきです。

理由・現行、個人情報に該当しない電話番号、メールアドレス、cookie、ID、端末識別番号、パスワード等の個人関連情報については、法 31 条に該当しない限り規律がありません。しかし現実には、事業者が個人関連情報を取得し、それによって本人にアクセスが可能になり、結果として個人がさまざまな被害にあうケースが増加しています。またスマートフォンのアプリ等を通じて、端末識別符号や利用状況などの情報を本人が知らない内に密かに収集するなどの行為が行われているリスクも見られます。もともと個人関連情報はテクニカルな規定であり、必ずしも国民に分かりやすい規定とは言えません。しかも実態がここまで進行している以上、個人関連情報を個人情報と整理することが必1

要であり、不正行為の抑止にもっとも効果的であると思われます。よく知られているように、欧州等では電話番号、メールアドレス、cookie 等は単体で個人情報とされていますが、そのことによる問題は聞いていません。
該当箇所

・第三者提供規制の在り方（オプトアウト等）

意見

・例外的に、社会的に真に必要な範囲のみに絞ってオプトアウト制度の存続を認め、それ以外については原則通り本人の同意なしに第三者提供を認めないとするべきと考えます。

理由・消費生活センター等で消費者の相談に対応する消費生活相談員の団体である当協会としては、従来からさまざまな消費者トラブルの根本に、いわゆる名簿屋による名簿の悪用がある事実を強く認識しています。またここまでのオプトアウト制度の規制強化が必ずしも功を奏していないことは中間整理に列挙されている事例が示しています。加えて、消費者が権利行使として提供停止等を求めた場合、当該事業者から本人確認のためと称して免許証、マイナンバーカード等の提示等、それまで事業者が不知であった個人情報の提供をも求められるのが通例であり、これでは消費者が正当な権利行使を躊躇せざるを得ない現実があります。よってオプトアウト制度については、その対象を真に社会的に必要な範囲にのみに限定するべく、抜本的な見直しが必要と考えます。

該当箇所

・こどもの個人情報に関する規律の在り方

意見・こどもの未熟さ、脆弱性、リスク等のありようについては異論の余地がないと思われ、こどもの個人情報について個人情報保護法において規律を設けることに賛成します。

理由・年齢の線引きについては、さまざまな考慮要素がありますが、むしろ民法と平仄を合わせて、１８歳未満を未成年者すなわち子どもとすることが、法的安定性を担保するのではないかと考えます。
・また現状、最も問題とされるのは、当該こどもの関心・嗜好を分析推測し、判断力が未熟であるこどもに対して、飲酒・ギャンブルその他こどもの心身に著しい影響を与えかねない広告を送りつける、いわゆるターゲティング広告であると思われます。大人であっても困惑するこの種のターゲティング広告については、少なくともこどもに対しては、その行為を明確に規制する等の必要があると考えます。
・個人情報の第三者提供等の、現行法において本人同意が必要である場面
において、こどもを本人とする個人情報については、その法定代理人の同意をも必要とすることを法文上明確にするべきと考えます。
・個人情報、個人データは、いったん流出すれば、その回収がほとんどかなわないという現実を踏まえれば、流出は個人にとって著しく大きな損害となり2ます。ましてやそれがこどもであれば、その先の生涯に影響する等ダメージの程度は計り知れません。こどものデータを取り扱うに当たっては、安全管理措置についてより一層強固な体制構築を求めるべきと考えます。
該当箇所・個人の権利救済手段の在り方

意見・適格消費者団体が個人に代わって、個人データの利用停止または消去等の請求ができる規律を個人情報保護法に取り入れることに賛成します。

理由・個人データの利用停止または消去の請求は、プライバシーを含む個人の権利利益の保護の観点から大変に重要な権限行使であるにもかかわらず、現
実には、消費者個人と事業者の専門知識や交渉力の差が大きく、加えて費用や期間の負担もあり、法定されている個人の権限行使が行われずに、いわば泣き寝入りしている例が少なくないと思われます。中間整理にあるように、内閣総理大臣が認定する適格消費者団体（当団体も適格消費者団体です）が、個人情報保護法に違反する行為について、個人に代わって差止請求を行う制度を取り入れれば、個人の権利救済に大きく資することは間違いがありません。ただ、その場合に、適格団体による団体訴訟が実質的に機能するためには、端緒情報の取得や個人情報保護委員会との連携等に加えてさらなる論点の検討が必要であると考えます。

該当箇所

・課徴金制度、勧告・命令等の在り方

意見・悪質な違反行為に対する法の実効性を確保するために、個人情報保護法に課徴金制度を設けることに賛成します。
・法違反行為によって個人の権利利益の侵害が差し迫っている場合、直ちに中止命令を出せるように規定することにも賛成です。

理由・中間整理に挙げられているように、学生の内定辞退率を提供した事案、破産者マップ事案、いわゆる名簿の転売屋に関する事案、委託業者の従業者が顧客の個人データを長期かつ頻回に外部漏えいしていた事案等々、不法収益の発生を含め、著しく悪質性の高い事案が続出し、現行法の指導・勧告・命令の監視・監督手段では、悪質事案発生の抑止力にはならないことが示されています。諸外国においては、高額の制裁金が課せられるのは珍しくありません。日本においても、悪質事案発生を防ぐための抑止力として金銭的制裁である課徴金制度の導入が必須であると考えます。
・勧告・命令についても、破産者マップ事案が典型例を示しているように、個人の権利利益の侵害が切迫している際には、直ちに法的拘束力が発生する命令を行えるようにしなければ、個人の権利利益の保護が空文になるおそれがあります。また、委託業者、クラウドサービス業者等の第三者が関与している場合には、当然ながらその第三者にも勧告・命令ができるようにするべきと考えます。
3

該当箇所

・刑事罰の在り方

意見・不正の目的で行われた法違反について罰則の引き上げに賛成します。

理由・作今、データベース等不正提供罪で有罪となった悪質な事例や、個人情報への不正アクセスや従業者による持ち出し等の事例等が多数あります。一度漏えいすれば回収は事実上不可能とされる個人情報については、現行の罰則のままでは社会的要請に応えているとは評価できず、罰則の強化が行われるべきと考えます。

該当箇所・漏えい報告・本人通知の在り方

意 見 及 び ・漏えい報告については、個人情報保護委員会が事態を早急に把握し措置理由を取るための制度であり、その趣旨を損なわない限度において、一定の合理化はあり得ると考えますが、本人通知については、本人が漏えいの事実を知る唯一の方法であり、本人の権利利益を保護するために、現行制度が確実に維持されるべきと考えます。また、事業者が違法に個人データを第三者提供した場合は、漏えいとは異なるものの、本人の権利利益の保護のために、本人通知がなされる必要があると考えます。
・なお、現状、漏えいしていても本人通知や個人情報保護委員会への報告をしない悪質な事業者が存在すると推測します。そうした端緒情報を把握するための通報窓口や公益通報制度の活用等を検討することを求めます。

該当箇所

・本人同意を要しないデータ利活用等の在り方

意 見 及 び ・現行法で本人同意が求められる 18 条１項、20 条 2 項、27 条 2 項にはそれ理由ぞれ例外規定があり、本人の利益のために必要がある場合や他の利益のためにやむを得ない場合には例外的に本人同意は不要とされています。しかし、すでに生成 AI 等の社会基盤になりうる新技術が急激に発展・浸透し、膨大な量の個人情報を取扱うサービスやビジネスが生まれている実態を踏まえれば、例外規定の在りようについて早急に検討する必要があると考えます。その際、例えば生成 AI の開発において、要配慮個人情報を取得してしまう場合などにおいて、少なくとも、要配慮個人情報が不当に利用されないことが担保されているか、本人の不利益を上回る公益的利益があるのか等について、社会的要請の有無、公益性の程度などの観点からの早急に真摯な検討が行われるべきと考えます。

4