個人情報保護制度見直しの動向とビジネスへの影響	
2015.01.24.
小向 太郎 Taro KOMUKAI, Ph.D.
情報通信総合研究所 主席研究員	

1. 制度見直しの背景	
1-1. 環境の変化	
1-2. 個人情報保護法上の義務	
1-3. 第三者提供の制限	
2. 問題となった事例	
2-1. ライフログの利活用	
2-2. 利用目的の変更	
2-3. 個人データの販売・購入	
3. パーソナルデータ制度見直し	
3-1. 各国の個人情報保護制度	
3-2. 制度見直し方針（案）	
3-3. ビジネスへの影響	

1	

講師紹介：小向太郎	
（株）情報通信総合研究所 取締役	法制度研究グループ部長 主席研究員 	
早稲田大学客員准教授	
早稲田大学政治経済学部卒	
中央大学博士（法学）	
【主な著書】	
『情報法入門（第2版）デジタル・ネットワークの法律』(NTT出版、2011年)、『表現の自由Ⅱ-状況から』（共著、
尚学社、2011年）、『実践的eディスカバリ』（共編、NTT出版、2010年）、『プライバシー・個人情報保護の新課題』（共著、商事法務、2010年） 等	
【委員等】	
○国土交通省「情報通信技術を活用した公共交通活性化に関する調査検討委員会（2013-）」	
○経済産業省「IT融合フォーラムパーソナルデータワー
キンググループ(2012-2013)」	
○内閣官房「社会保障・税番号制度個人情報保護ワー
キンググループ(2011-2012)」等	

2	

1. 制度見直しの背景	

3	

1-1. 環境の変化	

プライバシー意識識の⾼高い消費者の増加	  データ取扱の多様化	  企業活動のグローバ
ル化などの環境変化	  • 消費者からの⾮非難	  • 許される利利⽤用範囲の不不明確さ	  • データ利利活⽤用の萎縮	  • 想定を超えた利利⽤用と利利⽤用者の懸念念	  • 利利⽤用範囲の拡⼤大と利利⽤用⽬目的の射程	  • 同意等の困難さ	  • 保護が不不⼗十分という評価	  • 企業のグローバル展開への制約	  • 国外移転への懸念念	  2013年６月	 世界最先端IT国家創造宣言（閣議決定）	
2013年12月	 パーソナルデータの利活用に関する制度見直し方針（IT総合戦略本部	
2014年６月	 パーソナルデータの利活用に関する制度改正大綱（IT総合戦略本部）	
出典：内閣官房IT戦略本部「パーソナルデータに関する検討会」での配布資料等をもとに作成。	
44	

1-2. 個人情報保護法上の義務	

情報種別	
個人情報	
生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの	
個人データ	

個人情報データベース等（コンピュータによる検索等ができるように体系的に構成された個人情報の集積物）を構成する個人情報	

保有個人
データ	
6ヶ月を超えて保有された個人データ	

義務規定	
・利用目的の特定、利用目的による制限（15条、16条）	
・適正な取得（17条）、取得に際しての利用目的の通知・公表（18条）	

・データの正確性、最新性の確保（19条）	
・安全管理措置（20条）	
・従業者の監督（21条）	
・委託先の監督（22条）	
・第三者提供の原則禁止（23条）	

・開示等に必要な手続等についての公表（24条）	
・本人からの求めに対して開示、訂正、利用停止等に応じる義務（25－27条）	

出典：小向太郎 『情報法入門（第2版） -デジタル・ネットワークの法律』NTT出版（2011）178頁	

5	

1-3. 第三者提供の制限	
○ 「個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」（個人情報保護法23条1項）	
○ 第三者提供が認められる場合	
− 法令に基づく場合等（23条1項）	
− オプトアウト（23条2項）	
− 委託先への提供、事業承継、共同利用（23条４項）	

http://www5.cao.go.jp/seikatsu/kojin/index.html	

6	

（参考）ビッグデータへの期待	○ 「個人や機器・インフラの行動・状態等が日々刻々と IT により流通・蓄積されており、この「ビッグデータ」の利活用による、付加価値を生み出す新事業・新サービ ス創出を強力に推進する」「「ビッグデータ」のうち、特に利用価値が高いと期待されている、個 人の行動・状態等に関するデータである「パーソナルデータ」の取扱いについては、 その利活用を円滑に進めるため、個人情報及びプライバシーの保護との両立を可能 とする事業環境整備を進める」（「世界最先端IT 国家創造宣言」2013年6月14日閣議決定）	
− 都市計画：統計情報を利用した交通の効率化、防災対策	
− 医療の高度化：診療情報や行動履歴を利用した医療最適化、創薬 等	

出典：NTTドコモ「モバイル空間統計に関する情報」
http://www.nttdocomo.co.jp/corporate/disclosure/mobile_spatial_statistics/	7	

2. 法的位置づけ	

8	

2-1. ライフログの利活用	
○個人情報の定義(個人情報保護法2条1項)	
「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することとなるものを含む）をいう	
A社	

B社	
統計レポート	

加工	

加工	

加工	

加工	

顧客番号	
氏名	
電話番号	
生年月日、性別	
利用サービス・商品	
利用時刻	
利用額	

顧客番号	
―	
―	
生年月ー、性別	
利用サービス・商品	
利用時刻	
利用額	

加工	

識別番号（変換）	
―	―	
生年月ー、性別	
利用サービス・商品	
利用時刻	
利用額	9	

2-2. 利用目的の変更	
○ 利用目的の特定（個人情報保護法15条2項）	
個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない	○ 利用目的による制限（個人情報保護法16条）	
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない	10	

2-3. 個人データの販売・購入	

○ 適正な取得（個人情報保護法17条）	
個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない	

http://www.ftc.gov/system/files/documents/reports/data-brokerscall-transparency-accountability-report-federal-trade-commissionmay-2014/140527databrokerreport.pdf	

11	

（参考）経済産業省ガイドラインの改定（2014年9月）	
1.経営層によるリーダーシップの強化	
− 経営戦略に則った、セキュリティ対策の基本方針策定と必要なリソース(ヒト・カネ)の 配分。	
− 情報システムの全体概要の把握と対外的な説明責任。	
− 組織横断的な情報管理体制を構築すると共に、体制の責任者、担当者においては、 外部専門家の採用や、研修の実施等による能力確保を図る。	
2.情報システム管理運用の委託における監督強化	
− 業務を委託することの検討の実施と、委託を行う際の必要な監督体制の整備。	
− 委託先の体制や規定等の点検、実地検査による評価を、委託実施前に実施。	
− 委託先のセキュリティ対策を定期・不定期に確認し、委託内容等を見直し。	
− 委託先が再委託を行う際の、事前承認の導入。	
− 情報漏えい発生時等における委託元と委託先の連携を契約等で明確化。	
3.高度化する情報通信技術への対応	
− 対策の有効性を監査する計画を立て、 ITの技術進歩や新たな脅威などの状況に応 じて、継続的に対策を見直し。	
− スマートフォンやUSBメモリ等の外部記録媒体の利用を制限するソフトウェアの導入。	
− 重要情報へのアクセス権限の絞込み。付与する期間の設定や、職務に対応して権限 を割り当てる「ロールベースアクセス制御」の導入検討等	− ログ保存実施事実の利用者への開示による内部不正発生の抑止。	
経済産業省「『組織における内部不正防止ガイドライン』改訂について」（2014年9月26日 ）より	
http://www.meti.go.jp/policy/it_policy/privacy/kojinjohotaisaku.html	

12	

3. パーソナルデータ制度見直し	

13	

3-1. 各国の個人情報保護制度	

EU	
米国	
日本	
個人情報保護全般に
個人情報産業分野毎の個別法 個人情報保護全般についての包括的な立保護制度や自主規制等での対 ついての包括的な立法（EU個人データ保の基本法	
応	法（個人情報保護法）	
護指令）	
規制機関	
独立専門の規制機関	
各分野の主務官庁	 各分野の主務官庁	
自由な流通とビジネ
情報漏洩に厳格	
ス重視	
FTCによる消費者プラ パーソナルデータ制
最近の動 個人データ保護規則
イバシー保護政策の 度見直しに関する検向	案の提案（規制強化）	
強化	
討	
特徴	

プライバシー保護に厳格	

14	14	  3-2. 制度見直しの方針（案）	
1. 個人情報の定義の拡充	
・	電子化された身体情報，事業者の付与するID等を保護対象に	
2. 有用性（利活用）の確保	
・	
匿名加工情報（仮称）：委員会への届け出・公表を条件に第三者提供を可能にし再識別を禁止	
・	
利用目的の制限の緩和：委員会への届け出・オプトアウト・事前公表を条件に，本人同意なく変更可に	
3. 保護の強化	
・	
要配慮個人情報（仮称）：本人同意なき取得の禁止等	
・	
個人情報データベース等の購入等：経緯等確認，記録保存の義務付け	
・	
提供罪の新設：不正な目的の提供・盗用等の処罰	
・	
第三者提供のオプトアウト規定見直し：委員会への届け出，内容の公表	
・	
その他：小規模事業者への法適用，個人データ消去の努力義務，開示請求権の明確化	
4. 個人情報保護委員会	
・	
現行の主務大臣権限に加え立入検査等の付与，事業所轄大臣への委託も可能に	
・	
認定個人情報保護団体のガイドラインへの関与等	
５. グローバル化対応	
・	
国内の個人情報が国外で取り扱われた場合の法適用	
・	
外国執行当局への情報提供	
・	
国外への第三者提供の制限等	
出典：IT総合戦略本部「パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）」	
（http://www.kantei.go.jp/jp/singi/it2/pd/dai13/siryou1.pdf）をもとに要約・作成	

15	

3-3. ビジネスへの影響	

項目	

趣旨等	

必要な対応の例	

1. 個人情報の定義の拡充	

ID情報の保護	

対象情報の確認	

2. 有用性（利活用）の確保	
(1)匿名加工情報（仮称）	
(2)利用目的の制限の緩和	

第三者提供の拡大	
利用目的変更の拡大	

加工方法等の遵守	
変更可能性の提示	

3. 保護の強化	
(1) 要配慮個人情報（仮称）	
(2) 個人情報購入等	
(3) 提供罪の新設	
(4) オプトアウト規定見直し	
(5)その他	

機微情報の保護	
名簿屋対策	
刑罰による漏洩抑止	
透明性の強化	消去努力義務等	

対象情報の確認	
経路確認等の実施	
従業員等への周知	
委員会への届出	
保存期間の設定	

4. 個人情報保護委員会	

規制の実効性確保	

執行状況の注視	

5. グローバル化対応	

海外移転情報の保護	

移転後の保護の確保	

16