2024 年 7 月 31 日
一般財団法人日本情報経済社会推進協会「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」に関する意見は以下の通りです。

No.

該当箇所
(P3)2-1-(1)-ア

意見

要保護性の高い個人情報の 生体データの利活用に係るユースケースは、必取扱いについて（生体データ）

ずしも本人同意の元で利活用がなされるケー「生体データは、長期にわたり特定の個人を追 スばかりでなく、経済産業省・総務省の「カメ跡することに利用できる等の特徴を持ち得る ラ画像利活用ガイドブック」（ver3.0 は 2022
年 3 月公表）では、個人情報保護法遵守を前提ものであり（以下略）」としつつ、特定の個人を識別することを目的としないケースであっても（人数カウント、属性推定、動線分析等）、被撮影者とのコミュニケ

1ーションに配慮すべき（事前告知、利用目的の明示等）としている。必要となる規律の在り方については、個人情報保護委員会では生体デー
タの特徴を鑑み、個人の権利利益の保護とのバランスを踏まえ検討することを期待しているが、中間整理にある通り、諸外国の制度や、事業者における利活用の実態やニーズ、運用の負担、利用目的の違いによる影響なども考慮して検討いただきたい。
(P4)2-1-(1)-ア

要保護性の高い個人情報の 同意疲れや情報過多による理解不足の他、情報取扱いについて（生体データ）の取扱いに関する規約や通知された情報を読「また、個人の権利利益の保護という観点から まないという事態が生じているため、「本人がは、生体データの利用について、本人がより直 より直接的に関与」できるためには実効性の高接的に関与できる必要がある。そのため、生体 い仕組みとすることが求められる。また、実態

2

データの取扱いに関する一定の事項を本人に に則した対応とするためには、「本人に対し通対し通知又は十分に周知することを前提に、本 知又は十分に周知すること」において、単に Web人による事後的な利用停止を他の保有個人デ サイト等で公表することや、メール・文書で一ータ以上に柔軟に可能とすることが考えられ 方的に知らせるだけでなく、具体的な事例と共に事業者が『どこまで何をすれば良いか』を具る。」

体的に示すことも検討していただきたい。
(P10)2-1-(3)-ア3

法定代理人の関与

法定代理人の同意取得の方法は、具体的かつ事「現行法上、（略）こどもを本人とする個人情 業者及び法定代理人双方の事務手続き上の負報について、法定代理人の同意を取得すべきこ 担を軽減できるものを検討していただきたい。
1

No.

該当箇所

意見とを法令の規定上明確化することを検討する また、個人情報保護委員会から法定代理人への必要がある。（略）法定代理人に対して情報提 情報提供時においても、事業者及び法定代理人供すべきことを法令の規定上明文化すること 双方に配慮されたものとして同様に検討してを検討する必要がある。」

いただきたい。

(P10)2-1-(3)-イ

法定代理人の同意を得るにあたっては、利用目利用停止等請求権の拡張「現行法上、（略）ただし、取得について法定 的の特定とその理解が適正に行われている事代理人の同意を得ている場合等、一定の場合に が大前提である。よって、こどものデータの要おいてはその例外とすることも考えられる。」 保護性に鑑み、例外要件は、「〇〇の場合は事後的な利用停止を認めなくても良い」などとして容易に例外対応が取られることのないよう4に制度設計していただきたい。また、事例の明示や例外対応を限定的なものとする等の工夫をしていただきたい。更に、多岐にわたる利用目的への同意をまとめて得る現行法の同意取得の在り方にも影響を及ぼすため、慎重に議論をしていただきたい。
(P11)2-1-(3)-エ

責務規程

新たにこどものデータに関する規律を設定す「上記アからウにかかわらず、各事業者の自主 るのであれば、遵守すべき内容を明確にシンプ的な取組の促進という観点からは、こどもの個 ルなものとし、実効性を高めることが求められ人情報等の取扱いについては、こどもの最善の る。よって、「最善の利益の優先」や「特別な5利益を優先し特別な配慮を行うべき等、事業者 配慮」等、自主的な取組の促進という観点に基等が留意すべき責務を定める規定を設けるこ づく規定は、事業者の判断に依存することになってしまい、その結果、実施内容のバラツキや、とも検討する必要がある。」

未実施等、形骸化する恐れがある。そのような点を留意し、検討していただきたい。
(P12)2-1-(4)

個人の権利救済手段の在り方

個人の権利利益の保護と、データの利活用を促「法の規定に違反する個人情報の取扱い（略） 進する上で、事業者の情報の取扱い上の義務だ団体による差止請求制度や被害回復制度の枠 けでなく、個人の権利利益が侵害された場合組みは有効な選択肢となり得る。このうち、差 は、被害の拡大防止及び被害回復制度はあって止請求制度については、法に違反する不当な行 然るべきである。他方、適格消費者団体におけ6為を対象行為とすることを検討すべきである。 る専門性の確保を始め、運用上の課題も危惧さ（略）もう一方の被害回復制度については、 れるため、実施可能な仕組みを丁寧に検討して（略）更に慎重な検討が必要である。他方で、 いただきたい。
団体による差止請求や被害回復の枠組みにつ また、制度化された場合、結果報告・公表までいては、関係団体からのヒアリングにおいて、 のステップが煩雑で長期化しないよう検討しその導入について強く反対との意見があった ていただきたい。関係団体から導入への反対はあるものの、問題となる事象が起こったこれま
2

No.

該当箇所

意見ところであり、（略）その導入の必要性を含め での事例では、個人情報取扱事業者は、同様のて多角的な検討を行っていく必要がある。」

対応や補償などを行い、公表を行っている。制度そのものの導入により事業者へ過度な負担がないよう検討していただきたい。

(P20)2-2-(3)-ア

漏えい等報告「本人通知が的確になされている限りにおい「①（略）漏えいした個人データに係る本人の ては委員会に速報を提出する必要性が小さい」
数が１名である誤交付・誤送付案件が大半を占 とあるが、例えばクレジットカード情報のようめているが、（略）本人通知が的確になされて に財産的被害を防ぐためには本人の迅速な対いる限りにおいては、委員会に速報を提出する 応が必要となると考えられることから、速報の必要性が比較的小さい。また、②（略）適切な 提出を免除するにあたっては、その対象を漏え

7

対処（略）を行うための体制・手順が整備され い等した本人の数で判断するのではなく、漏えていると考えられる事業者については、一定程 い等した個人データの内容も判断要素とする
度自主的な取組に委ねることも考えられる。そ ようご検討いただきたい。
こで、例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除し（以下略）」(P20)2-2-(3)-ア

漏えい等報告適切な対処ができる体制・手順が整備されてい「①（略）漏えいした個人データに係る本人の るかどうかを認定個人情報保護団体などの第数が１名である誤交付・誤送付案件が大半を占 三者機関の確認に委ねるものとなっている点
めているが、（略）本人通知が的確になされて について、以下 1）から 4）の意見を提出する。
いる限りにおいては、委員会に速報を提出する 1）現状では、個人情報保護委員会のホームペ必要性が比較的小さい。また、②（略）適切な ージ（認定個人情報保護団体制度の概要）によ対処（略）を行うための体制・手順が整備され れば、認定個人情報保護団体の業務の一つとしていると考えられる事業者については、一定程 て、「③対象事業者の個人情報等の適正な取扱度自主的な取組に委ねることも考えられる。そ いの確保に関し必要な業務」が示されている。

8

こで、例えば、体制・手順について認定個人情 今回の中間整理にある「例えば、体制・手順に報保護団体などの第三者の確認を受けること ついて認定個人情報保護団体などの第三者のを前提として、速報については、一定の範囲で 確認を受けること」は、当該業務に含まれるものと解釈するが、その確認方法（内容・手順等）これを免除し（以下略）」については、一定の精度を担保する必要があるため、認定個人情報保護団体個々の判断に一任するのではなく、認定個人情報保護団体を横断したベースとなる基準を定める必要があるのではないか。なお、基準を作成するにあたっては、認定個人情報保護団体に過度な負担とならないよう考慮願いたい。また、「認定個人情報3

No.

該当箇所

意見保護団体などの第三者の確認を受けることを前提として…」とあるが、第三者の確認の具体例を示していただきたい。
2）十分な確認を行うノウハウを有する第三者機関として指定・認定などが行われるのか、明確にしていただきたい。
3）第三者機関による確認作業に係る負担（人的、金銭的）は補償されるのか、明確にしていただきたい。
4）第三者機関が確認したことにより速報を免除された事業者が本人通知を的確に行わず確報提出までの間に財産的被害等が生じた場合、当該第三者機関はその責を負うことはないのか、明確にしていただきたい。

(P20)2-2-(3)-ア

漏えい等報告漏えい等報告や本人通知の範囲・内容の合理化「漏えい等報告及び（略）漏えい等報告や本人 を検討することは賛成であるが、本人への通知通知の範囲・内容の合理化を検討すべきであ が適格になされていることの判断規準を具体る。（略）本人通知が的確になされている限り 的に示す必要があり、速報の免除はセットで考においては、委員会に速報を提出する必要性が える必要がある。また、①のようなケースで確比較的小さい。また、②漏えい等又はそのおそ 報を一定期間ごとの取りまとめ報告を許容す

9

れを認識した場合における適切な対処（略）を ることについて、『適正に行われるかどうか』行うための体制・手順が整備されていると考え を判断できる基準も必要なのではないか。それられる事業者については、（略）第三者の確認 らの点も含めて検討していただきたい。
を受けることを前提として、速報については、一定の範囲でこれを免除し、さらに①のようなケースについては確報について一定期間ごとの取りまとめ報告を許容することも考えられる。」(P21)2-2-(3)-ア

漏えい等報告「おそれ」要件については、本中間整理にある「また、関係団体からは、いわゆる「おそれ」 とおり、明確化を行っていただきたい。また、要件についての要望も示されている。
「おそれ」 事業者が判断するタイミングについても検討については、個人の権利利益を害する可能性等 いただきたい。例えば、事故発覚直後は「漏え10を勘案してより合理的と考えられる場合に報 いのおそれ」がある事象であっても、その後の告や本人通知を求めることが適当であるとも 調査で「おそれすらない」と判断されることも考えられるが、その具体的な当てはめについて あり得る。速報の免除や確報の取りまとめ報告は、現実の事例に応じて精査する必要がある。 を検討する上で、おそれの有無に関する判断の事業者の協力も得ながら、実態を明らかにした タイミングによっては、事業者の対応が変わる
4

No.

該当箇所

意見上で検討を行い、必要となる要件の明確化を行 ことが予想されるため、実態に即した検討を行うことが必要である。」(P24)3-(2)っていただきたい。

民間における自主的な取組の促 経済産業省・総務省の「DX 時代における企業の進プライバシーガバナンスガイドブック」「PIA・個人データの取扱いに関する責任者は、 （ver1.3 は 2023 年 4 月公表）や関連する政府データガバナンス体制の構築において主要な 資料においては、プライバシーガバナンスは要素となるものであり、その取組が促進される 『自社の有するプライバシーリスクや組織構ことが望ましい。他方、これらの義務化につい 造の特性を踏まえ、円滑な事業運営など考慮しては、各主体における対応可能性や負担面など て、企業自らが適切な形を検討することが重要を踏まえ、慎重に検討を進める必要がある。」 である』とされている。企業の形式的な対応（形骸化した PIA の実施や形骸化した責任者の設置等）にならないよう企業自らが、個人の権利

11

利益の保護のために、自社のリスクを考え、能動的に対応していくことに対してインセンティブが与えられるような在り方を検討していただきたい。
併せて、PIA が“サービスを実施する前に実施した免罪符“のようなものにならないように、
JISX9251 に規定される「組織のより広範なリスクマネジメントの枠組みに組み込まれたもの」として明確に認知される仕組みとなるように配慮をいただきたい。
(P26)2-4

その他「個人情報等に関する概念の整理」は、どこま「上記のほか、プロファイリング（本人に関す でを想定しているのか。概念の変更は個人情報る行動・関心等の情報を分析する処理）、個人 取扱事業者に対する影響が少なくないと想定
情報等に関する概念の整理、プライバシー強化 される。検討にあたっては、諸外国の動向との技 術 （ 「 PETs 」 ： Privacy

12

Enhancing 整合性や DFFT の観点等も考慮し、慎重かつ時Technologies）の位置づけの整理、金融機関の 間をかけて検討を行っていただきたい。また、海外送金時における送金者への情報提供義務 変更が生じる場合には、個人情報取扱事業者にの在り方、ゲノムデータに関する規律の在り よる対応準備等も必要になることから検討内方、委員会から行政機関等への各種事例等の情 容の透明性を担保し、議論の状況は公開してい報提供の充実などの論点についても、ステーク ただきたい。
ホルダーの意見やパブリック・コメント等の結果を踏まえ、引き続き検討する。」

5

No.

該当箇所
(P26)2-4

意見

その他

プライバシー強化技術については、国際的に技「プライバシー強化技術（「PETs」：Privacy 術進展が進んでいる。よって、個人情報の有用Enhancing Technologies）の位置づけの整理」 性と個人の権利利益の保護を目指すためにも、

13

安全管理措置やデータ最小化等に対応したサンドボックスのような取組や、よい事例を広く参照できる形で整理される事が必要ではないか。

6