6-1法律

パーソナルデータの利活用に関する制度改正の動き

12
北澤 一樹

●弁護士

弁護士法人英知法律事務所

パーソナルデータの利活用に関する制度改正の検討が進み、改正法案が2015 年 1 月以降の通常国会に提出予定だが、「制度改正大綱」と「法律案骨子」の相違部分もあり、注視を要する状況にある。

3

4より、わが国の経済成長を実現しようとするニー■大綱における「制度改正内容の基本的な枠組み」についてズが高まる一方で、個人情報・プライバシーへの大綱は、PD 利活用に向けての課題として、いわ懸念が叫ばれている。その中で、政府 IT 総合戦略

ゆる「利活用の壁」の解消、機動的な対応、確実本部により設置された「パーソナルデータに関すな制度執行及び個人情報、プライバシー保護に関る検討会」（以下、PD 検討会）は、2013 年 12 月する議論や法整備を含む制度の国際的調和をあげ、20 日に、「パーソナルデータの利活用に関する制これらの課題解決のための制度改正内容の基本的度見直し方針」を公表し 、個人情報保護法の改正

1な枠組みとして、次の 3 点をあげた（大綱第 2 Ⅱ）。

も含めた提言を行い、2014 年 6 月 24 日には、同（1）本人の同意がなくてもデータの利活用を可能

法改正案の基礎となる「パーソナルデータの利活とする枠組みの導入等用に関する制度改正大綱」（以下、大綱）が公表さ（2）基本的な制度の枠組みとこれを補完する民間れ、併せて 2015 年 1 月以降には関係法案が国会にの自主的な取組の活用近年、パーソナルデータ（以下、PD）の利活用に2提出されることが明らかにされた 。
その後、2014 年 12 月 19 日に第 13 回 PD 検討会（3）第三者機関の体制整備等による実効性ある制度執行の確保が開催され、同日付で「パーソナルデータの利活骨子案を見る限り、大綱における上記 3 点の枠用に関する制度改正に係る法律案の骨子（案）」（以組みが維持されているか明らかではないが（例え3下、骨子案）が公表された 。

ば、2 点目の民間の自主的な取組の活用について

本稿では、大綱の概要を中心に紹介する予定では骨子案では言及されていない）、便宜上、3 点のあったが、骨子案では大綱からの変更箇所も見受枠組みに関する項目ごとに大綱および骨子案の概けられることから、大綱および骨子案の中で特に要を紹介する。

重要と思われる箇所を中心に紹介したい。

■パーソナルデータの利活用を促進するための枠組みの導入等
大綱では、「『個人データ』を特定の個人が識別

第 6 部 社会動向

271

56

1

23（以下、個人特定性低減データ）について、特定の■基本的な制度の枠組みとこれを補完する民間の自主的な取り組みの活用個人を識別することを禁止するなど適正な取り扱●個人情報の定義についてされる可能性を低減したデータに加工したもの」

いを定めることによって、本人の同意を得ずに第パーソナルデータの中には個人情報保護法上の三者提供や目的外利用をすることを可能とするな「個人情報」に該当するか否かが不明確なものがあど、情報を円滑に利活用するために必要な措置をり、これが、事業者にとって「利活用の壁」となっ講ずるとされた。また、個人特定性低減データへているとの指摘があるため、PD 検討会では、個人の加工方法については、PD 検討会から技術的観情報の定義に関する見直しも含めた検討がされた。

点からの検討を依頼された技術検討ワーキンググ

この点につき当初、PD 検討会では、「個人情報」の4456ループ（以下、技術 WG）の報告 をふまえ、一律ほかに、特定個人を識別しないが、その取り扱いには定めないこととした。また、加工方法等につによって本人に権利利益侵害がもたらされる可能いて民間団体が自主規制ルールを策定し、第三者性があるものとして「（仮称）準個人情報」という機関が当該ルールまたは民間団体の認定等を行う概念が新たな類型として提案され、その具体的内こととされた（大綱第 3 Ⅱ 1）。

容について、技術 WG により、技術的観点から検骨子案では、個人特定性低減データの名称を「匿討がされた。技術 WG では、「（仮称）準個人情報」

名加工情報（仮称）」とした上で、（ア）個人情報の定義について提案され、具体的には、「個人又は取扱事業者が、第三者提供のために匿名加工情報個人が使用する通信端末機器等に関するもの」とを作成する際の義務、（イ）第三者への提供時の「個人の身体的特性に関するもの」が準個人情報に義務、（ウ）提供先が負うべき義務、（エ）提供先含まれるものとされた 。その後、親会である PDが再提供する時の義務が、それぞれ提案されてい検討会における検討の結果、新たに「準個人情報」る（それぞれの具体的な要件については、骨子案の定義を設けるのではなく、「個人情報」概念を拡2（1）を参照）。

大することにより対応することとなった。

5

当該骨子案については、匿名加工情報への加工

そして、大綱において、「個人の権利利益の保方法に関する自主規制ルール（当該ルールに対す護と事業活動の実態に配慮しつつ、指紋認識デーる第三者機関の関与も含む）について言及されてタ、顔認識データなど個人の身体的特性に関するいないため、事業者がどのような加工方法がされもの等のうち、保護の対象となるものを明確化し、ているのかについて外部から監視することができ必要に応じて規律を定めることとする」とされた

ず、透明性に欠けるという批判がされている。ま（技術 WG で準個人情報に含めるべきとされた「個た、骨子案には、大綱で明記された「本人の同意人又は個人が使用する通信端末機器等に関するもの代わりとしての取扱いに関する規律」が見当たの」については、上記「身体的特性に関するものらず、大綱の主旨と乖離しているとの批判もされ等」の「等」に含まれるものとされた）（大綱第 3ている。

Ⅲ 1（1））。
骨子案では、身体的特性に関するもの（指紋データ、顔認識データ等）のほかに、大綱では「等」に含まれるとされていた、「携帯電話番号、旅券番号及び運転免許証番号のような対象者ごとに異なる

272

第 6 部 社会動向

ものとなるように役務の利用、商品の購入又は書かし、自主規制ルール等を活用すること。

類に付される符号」についても、個人情報として（6）個人情報の保存期間について、一律に定め新たに位置づけるものと明記された（ただし、具ず当該期間の公表の在り方について検討すること。

体的には政令で定めることとされている）（骨子案

このうち、（4）については、制度改正というよ1）。

1

りも、現行法の「共同利用」の解釈について、「個

2

人データを共同して利用する者の全体が一つの取●機微情報（要配慮個人情報（仮称））について扱事業者と同じであると本人が捉えることができ大綱では、個人情報に、人種、信条、社会的身る場合」に限られることが明示的に確認されたも分および前科・前歴等の機微情報が含まれる場合の、ということができる。（4）以外については、には、原則として取り扱いを禁止するなどの慎重以下、骨子案との相違の有無を中心にみていくこな取り扱いとすることについて検討するとされた。ととする。

併せて、本人の同意がある場合や、法令に基づく（1）情報の集積、突合、および分析等により、本場合や人の生命・身体または財産の保護のために人が認知できないところで個人が識別される場合必要がある場合について例外規定を設けることとに関する規律についてされた（大綱第 3 Ⅲ 1（2））
。

本人が知らないところで個人が識別される場合

骨子案では、機微情報を「要配慮個人情報（仮に関する規律（大綱第 3 Ⅲ 1（3）①）について、骨称）」という名称とし、原則取り扱い禁止とする

子案では言及がなされておらず、大綱に則した対点は大綱から継承されたものの、大綱で規定され応が望まれる。ていた例外規定に関する記載は明記されていない（2）利用目的の変更の規律について（骨子案 3(1)）
。

大綱では、利用目的の変更時の手続について、

Ⅲ 1(3) ②）。ただし、検討にあたっては、本人が十大綱では、個人情報の取扱いに関する見直しと分に認知できない方法で、個人情報を取得する際して、以下の内容がそれぞれ提案された（大綱第に特定した利用目的から大きく異なる利用目的に3 Ⅲ 1（3））。

変更されることとならないよう、実効的な規律を（1）情報の集積、突合、および分析等により、本導入することも併せて大綱に明記された。

人が認知できないところで個人が識別される場合これに対し、骨子案では、次の 3 つの要件を満たにおける、個人情報取扱事業者がとるべき手続きす場合に、個人情報取扱事業者による利用目的の等について、必要な措置を講じること。

変更を認めることとされた（骨子案 2(2)）
。①個人（2）利用目的の変更時の手続の見直し。

情報を取得する際に本人に利用目的を変更するこ（3）個人データの第三者提供におけるオプトアとがある旨を通知、または公表すること。②（ア）ウト規定（個人情報保護法 23 条 2 項）の運用徹底。

変更後の利用目的、（イ）変更に係る個人情報の項（4）共同利用（同法 23 条 4 項 3 号）についての目、（ウ）本人の求めに応じて変更後の利用目的に運用徹底。

よる取り扱いを停止すること、および本人の求め（5）分かりやすい同意の取得方法等について、
6

マルチステークホルダープロセス の考え方を活を受け付ける方法を、個人情報保護委員会規則で定めるところにより、あらかじめ本人に通知し、第 6 部 社会動向

456

オプトアウトによることが提案された（大綱第 3●個人情報の取扱いに関する見直しについて

3273

1

または本人が容易に知り得る状態に置くこと、③（5）については、前述した 3 点の枠組みのうち、個人情報保護委員会に上記（ア）〜（ウ）を届け民間の自主的な取組の活用に基づくものといえる出ること。

が、この点につき骨子案では特に言及されていな

そして、個人情報保護委員会は、上記②の状態

23が不適切な場合には、勧告・命令を実施すること（6）保存期間についてができるとされ、また、個人情報取扱事業者から保存期間について、大綱では一律に定めず、保の届出事項については公表しなければならないと有個人データの保存期間等の「公表の在り方」にされた。

ついて検討することとされた（大綱第 3 Ⅲ 1（3）

このような骨子案に対しては、第 13 回 PD 検討

45⑥）。

会において、複数の委員から、大綱で明記されていこれに対し、骨子案では、個人情報取扱事業者

た、「本人が十分に認知できない方法で、個人情報は、個人データを利用する必要がなくなったときを取得する際に特定した利用目的から大きく異なは、遅滞なく当該個人データを消去するよう努める利用目的に変更されることとならないよう、実なければならないとされ（骨子案 3（6））
、大綱か効的な規律を導入すること」に対応する箇所が存

らの変更があった。

在しないことについて、批判がなされている。また、利用目的の変更が認められた場合に、変更後●民間主導による自主策定ルール策定・遵守及びの利用目的が変更前に取得した個人情報にも適用

越境データ移転に関する枠組みについてされることがないようにすべきとする意見も複数

6

い点は前述のとおりである。

大綱では、マルチステークホルダープロセスに出された。

より、民間主導による自主規制ルールの枠組みを（3）個人データの第三者提供におけるオプトア創設することが明記された。そして、第三者機関

ウトの運用徹底についてが、このような自主規制ルールや民間団体の認定大綱では、①個人データの第三者提供における等を行うこととされた（大綱第 3 Ⅲ 2）
。また、国オプトアウト規定（個人情報保護法 23 条 2 項）に境を越えた PD の移転については、第三者機関の認ついて、現行法の趣旨を踏まえた運用の徹底を図定を受けた民間団体が、国境を越えて情報流通をるとともに、②現行法の要件に加え、第三者機関行おうとする事業者に対して、相手当事国が認めに対し、同法 23 条 2 項の本人通知事項等を届け出るプライバシー保護水準との適合性を審査して認ることとし、第三者機関は届出事項を公表するな証する業務を行う枠組みを創設することとされた

ど、必要な措置を講じることとされた（大綱第 3（大綱第 3 Ⅲ 3）
。なお、これらの第三者機関の関与Ⅲ 1（3）③）。これは、本人が、第三者機関を通と、各府省大臣の関与との関係については、両者じて、どの事業者がオプトアウト規定を用いて個の関係の整理を踏まえ検討することとされた（大人データの提供を行っているか把握することが可綱第 3 Ⅲ 2・3）。

能となることを目指したものである。
骨子案においても、大綱の内容がおおむね承継されている（骨子案 3（4））
。
（5）同意の取得方法等に関する自主規制ルール等の活用について274

第 6 部 社会動向

これに対し、骨子案では以上の点について、具体的な言及はされていない。

■第三者機関の体制整備等による実効性ある制度執行の確保
大綱では、専門的知見の集中化、分野横断的か情報提供等を通じた外国執行当局との執行協力、た（大綱第 3 Ⅴ）。

つ迅速・適切な法執行の確保により、PD の保護と骨子案でも、（a）日本国内にある者への物品ま利活用をバランスよく推進するため、独立した第たはサービスを提供する海外事業者にも個人情報三者機関を設置することとされ、具体的には、番保護法を適用することとし、域外適用を認め（た7号法 に基づく特定個人情報保護委員会の所掌事

だし、個人情報保護委員会による命令に関する部

務に PD の取り扱いに関する事務を追加すること分は除く）、（b）個人情報保護委員会による外国執とし、内閣総理大臣の下に委員会を設置すること行当局に対する情報提供が可能とされた。また、とされた（大綱第 3 Ⅳ（1））
。当該第三者機関の権（c）個人データの海外移転については、（ア）本人限・機能等については、現行の主務大臣がもつ権同意を得るか、または、（イ）個人情報保護委員会

限に加え、指導、立入検査、公表等も認められたが定める国にある第三者への提供であり、かつ、（大綱第 3 Ⅳ（2））。このように、第三者機関は現その第三者について、同委員会規則の基準に適合行の主務大臣がもつ権限をもつこととなるため、する体制が整備されていることを要件として、認各府省大臣との関係も整理するものとされた（大められることとなった（骨子案 5）。

綱第 3 Ⅳ（3））
。

（2）大綱では、CD-ROM、電話帳、カーナビゲー
ションシステム等他人が作成したデータベースの情報保護委員会を改組し、第三者機関として「個利用や、自治会や同窓会等の内部用の連絡網等に人情報保護委員会」を設置するものとした。個人

ついては、個人情報取扱事業者の適用除外とする

情報保護委員会の権限については、大綱のとおり、ことが提案された（大綱第 3 Ⅵ（1））。

現行の主務大臣の権限に加え、立入検査の権限等

この点につき、骨子案では、市販の電話帳を例を付与し、権限を一元化することとし、必要に応じとして、「利用方法からみて個人の権利利益を害すて報告徴収および立入検査の権限を事業所管大臣るおそれが少ないもの」は、個人情報データベー等に委任することとされた（骨子案 4（1））
。また、ス等の規制から除外することとされた（骨子案 2

認定個人情報保護団体が個人情報保護指針を作成（3））。

する場合には、当該指針を個人情報保護委員会へ（3）大綱では、現行法における、取り扱う個人情の届出が必要とされた。個人情報保護委員会は当報によって識別される特定の個人数が 5000 以下

該指針の変更等を命じる権限をもつほか、当該指である場合の適用除外規定（2 条 3 項、施行令 2 条

針を公表しなければならないとされた（骨子案 4柱書）を廃止し、骨子案でも同様に明記された（骨（2））
。

子案 3（5））。
（4）大綱では、名簿屋規制について、継続して検討すべき課題と位置付けていた（大綱第 3 Ⅶ 4）。

（1）グローバル化への対応として、大綱では、（a）

しかし、大綱公表後、通信教育、出版等の企業に国外に拠点をもつ事業者に対して現行法が適用さよる大量の個人情報流出事件が発生し、その中でれるか明らかにするために、個人情報取扱事業者名簿屋の関与が社会問題となった。このような事の該当要件を改めること（域外適用の問題）、（b）

情をふまえ、骨子案では、第三者提供における提供

第 6 部 社会動向

2345

骨子案では、番号法の監督機関である特定個人■その他について

1（c）他国との情報移転に関する規律、が提案され

275

6128側と提供を受けるそれぞれの個人情報取扱事業者

案が公表され 、同検討会における検討をふまえ、に対し、一定の確認および記録の作成および保存2015 年 1 月の通常国会に改正法案が提出される予をさせる義務を課した（骨子案 3（2））
。また、不定である。骨子案の内容について、前記のとおり正な利益を図る目的による個人情報データベース複数の批判がなされているところもあり、今後公提供罪の新設について明記された（骨子案 3（3））
。

表される法案についても引き続き注視を要する状況といえる。

■最後に

3

以上のとおり、第 13 回 PD 検討会において骨子

1. パーソナルデータの利活用に関する制度見直し方針 [PDF]（パー4

ソナルデータに関する検討会、2013 年 12 月）
http://www.kantei.go.jp/jp/singi/it2/kettei/pdf/dec1312
20-1.pdf
2. パーソナルデータの利活用に関する制度改正大綱（検討会案）[PDF]（パーソナルデータに関する検討会、2014 年 6 月）

5http://www.kantei.go.jp/jp/singi/it2/info/h260625̲siryou2.pdf
3. パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）[PDF]（内閣官房 IT 総合戦略室、2014 年 12 月）
http://www.kantei.go.jp/jp/singi/it2/pd/dai13/siryou1.pdf
4. 技術検討ワーキンググループ報告書 [PDF]（パーソナルデータに6関する検討会技術検討ワーキンググループ、2014 年 5 月）
http://www.kantei.go.jp/jp/singi/it2/pd/dai10/siryou1-2.pdf

なお、2013 年 12 月 10 日付の「技術検討ワーキンググループ報
告 書 」（http://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou
2-1.pdf）も参照
5. 前掲注（4）の 15 頁
6.「マルチステークホルダープロセス」とは、国、事業者、消費者、有識者等の関係者が参画するオープンなプロセスでルール策定等を行う方法のことをいう。
7. 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年 5 月 31 日法律第 27 号）。
8. なお、同検討会では、①総務省から「『行政機関等が保有するパーソナルデータに関する研究会』検討状況について」（2014 年 12月 19 日）および②内閣府大臣官房番号制度担当室から「次期通常国会で個人情報保護法等と一括改正を予定しているマイナンバー法改正関係について（案）」（2014 年 12 月 19 日）がそれぞれ報告された。これらの点についても同検討会において審議がされ、例えば、①における総務大臣の権限・機能等と第三者機関の関係について、第三者機関の独立性について不十分であると、EU の十分性の認定要件を欠くおそれがあることから（EU データ保護指令２５条では、十分性が認定されない第三国への個人データの移転が原則禁止されている）、慎重に対応すべきとの意見などが出された。

276

第 6 部 社会動向