個⼈情報保護法
第⼆次いわゆる３年ごと⾒直しの現状
弁護⼠・ひかり総合法律事務所
情報法制研究所理事板倉陽⼀郎

2024/7/19

緊急シンポジウム「個⼈情報保護法改正に向けて」

1

⾃⼰紹介
•

•
•

•
•
2024/7/19

2002年慶應義塾⼤学総合政策学部卒，2004年京都⼤学⼤学院情報学研究科社会情報学専攻修⼠課程修了，2007年慶應義塾⼤学法務研究科（法科⼤学院）修了。
2008年弁護⼠（ひかり総合法律事務所）。2016年4⽉よりパートナー弁護⼠。
2010年4⽉より2012年12⽉まで消費者庁に出向（消費者制度課個⼈情報保護推進室（現・個⼈情報保護委員会事務局）政策企画専⾨官）。
2017年4⽉より理化学研究所⾰新知能統合研究センター社会における⼈⼯知能研
究グループ客員主管研究員，2018年5⽉より国⽴情報学研究所客員教授，2020年5⽉より⼤阪⼤学社会技術共創研究センター招へい教授，2021年4⽉より国⽴
がん研究センター研究所医療AI研究開発分野客員研究員，2023年9⽉より早稲⽥
⼤学次世代ロボット研究機構AIロボット研究機構客員上席研究員（研究院客員教
授）。
個⼈情報保護法第⼆次いわゆる３年ごと⾒直し有識者ヒアリング対象者（第290回個⼈情報保護委員会（2024年6⽉13⽇））。
法とコンピュータ学会理事、⽇本メディカルＡＩ学会監事等。
緊急シンポジウム「個⼈情報保護法改正に向けて」

2

近著

2024/7/19

緊急シンポジウム「個⼈情報保護法改正に向けて」

3

アジェンダ• 1 第⼆次いわゆる3年ごと⾒直しの事務関係情報• 2 第⼆次いわゆる3年ごと⾒直しの概要
• (1)
•
•
•
•

• (2)

個⼈の権利利益のより実質的な保護の在り⽅

ア
イ
ウ
エ

実効性のある監視・監督の在り⽅

• ア
• イ
• ウ

• (3)

課徴⾦、勧告・命令等の⾏政上の監視・監督⼿段の在り⽅
刑事罰の在り⽅
漏えい等報告・本⼈通知の在り⽅

データ利活⽤に向けた取組に対する⽀援等の在り⽅

• ア
• イ

• (4)

個⼈情報等の適正な取扱いに関する規律の在り⽅
第三者提供規制の在り⽅（オプトアウト等）
こどもの個⼈情報等に関する規律の在り⽅
個⼈の権利救済⼿段の在り⽅

本⼈同意を要しないデータ利活⽤等の在り⽅
⺠間における⾃主的な取組の促進

その他• 3 今後の⾒通し2024/7/19

緊急シンポジウム「個⼈情報保護法改正に向けて」

4

1

第⼆次いわゆる3年ごと⾒直しの事務関係情報• 2024年6⽉26⽇

第292回個⼈情報保護委員会• 資料１ 個⼈情報保護法 いわゆる３年ごと⾒直しに係る検討の中間整理（案）• 【委員⻑預かりで会議後に修正した資料】 資料１ 個⼈情報保護法
いわゆる３年ごと⾒直しに係る検討の中間整理• 2024年6⽉27⽇ 「個⼈情報保護法 いわゆる３年ごと⾒直しに係る検討の中間整理」の公表及び同整理に対する意⾒募集（〜2024年7⽉29⽇）• 同⽇ 「個⼈情報保護法 いわゆる３年ごと⾒直しについて」
コーナー更新2024/7/19

緊急シンポジウム「個⼈情報保護法改正に向けて」

5

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
ア 個⼈情報等の適正な取扱いに関する規律の在り⽅(ア) 要保護性の⾼い個⼈情報の取扱いについて（⽣体データ）
2条2項
この法律において「個⼈識別符号」とは、次の各号のいずれかに該当する⽂字、番号、記号その他の符号のうち、政令で定めるものをいう。
⼀ 特定の個⼈の⾝体の⼀部の特徴を電⼦計算機の⽤に供するために変換した⽂字、番号、記号その他の符号であって、当該特定の個⼈を識別することができるもの
⼆ （略）
17条1項
個⼈情報取扱事業者は、個⼈情報を取り扱うに当たっては、その利⽤の⽬的（以下「利⽤⽬的」という。）をできる限り特定しなければならない。
GL通則編3-1-1【本⼈から得た情報から、⾏動・関⼼等の情報を分析する場合に具体的に利⽤⽬的を特定している事例】
事例1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利⽤いたします。」
事例2）「取得した⾏動履歴等の情報を分析し、信⽤スコアを算出した上で、当該スコアを第三者へ提供いたします。」
35条1項〜5項
本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データが第⼗⼋条若し
くは第⼗九条の規定に違反して取り扱われているとき、⼜は第⼆⼗条の規定に違反して取得されたものであるときは、当該保有個⼈データの利⽤の停⽌⼜は消去（以下この条において「利⽤停⽌等」という。）を請求することができる。
２ （略）３ 本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データが第⼆⼗七条第⼀項⼜は第⼆⼗⼋条の規定に違反して第三者に提供されているときは、当該保有個⼈
データの第三者への提供の停⽌を請求することができる。
４ （略）５ 本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データを当該個⼈情報取扱事業者が利⽤する必要がなくなった場合、当該本⼈が識別される保有個⼈データに係る第⼆⼗六条第⼀項本⽂に規定する事態が⽣じた場合その他当該本⼈が識別される保有個⼈データの取扱いにより当該本⼈の権利⼜は正当な利益が害されるおそれがある場合には、当該保有個⼈データの利⽤停⽌等⼜は第三者への提供の停⽌を請求することができる。

2024/7/19

第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(1) 個⼈情報等の適正な取扱いに関する規律の在り⽅
ア 要保護性の⾼い個⼈情報の取扱いについて（⽣体データ）【考え⽅】
⽣体データは、⻑期にわたり特定の個⼈を追跡することに利⽤できる等の特徴を持ち得るものであり、特に、特定の個⼈を識別することができる⽔準が確保されている場合において、通常の個⼈情報と⽐較して個⼈の権利利益に与える影響が⼤きく、保護の必要性が⾼いと考えられる。他⽅、⽣体データは本⼈認証に広く利⽤されているほか、犯罪予防や安全確保等のために利⽤することも想定されるものである。
これを踏まえ、⽣体データの取扱いについて、諸外国にお ける法制度なども参考にしつつ、特に要保護性が⾼いと考えられる⽣体データ について、実効性ある規律を設けることを検討する必要がある。この点について、関係団体からは、事業者の⾃主的な取組を促進すべきとの声もあるが、本⼈関与 や安全管理措置等を通じた個⼈の権利利益の保護とのバランスを踏まえ検討を 進める必要がある。
まず、現⾏法上、個⼈情報の利⽤⽬的については、「できる限り特定」しなければならないとされているが（法第 17 条第１項）、⽣体データの要保護性を踏まえると、
⽣体データを取り扱う場合においては、例えば、どのようなサービスやプロジェク
トに利⽤するかを含めた形で利⽤⽬的を特定することを求めることが考えられる。
また、個⼈の権利利益の保護という観点からは、⽣体データの利⽤について、本⼈がより直接的に関与できる必要がある。そのため、⽣体データの取扱いに関する⼀定の事項を本⼈に対し通知⼜は⼗分に周知することを前提に、本⼈による事後的な利⽤停⽌を他の保有個⼈データ以上に柔軟に可能とすることが考えられる。
このほか、必要となる規律の在り⽅について、事業者における利活⽤の実態やニーズ、運⽤の負担、利⽤⽬的の違いによる影響なども考慮して検討する必要がある。

緊急シンポジウム「個⼈情報保護法改正に向けて」

6

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
ア 個⼈情報等の適正な取扱いに関する規律の在り⽅(イ) 「不適正な利⽤の禁⽌」「適正な取得」の規律の明確化

19条
個⼈情報取扱事業者は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない。
GL通則編3-2【個⼈情報取扱事業者が違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤している事例】
事例1）違法な⾏為を営むことが疑われる事業者（例：貸⾦業登録を⾏っていない貸⾦業者等）からの突然の接触による本⼈の平穏な⽣活を送る権利の侵害等、当該事業者の違法な⾏為を助⻑するおそれが想定されるにもかかわらず、当該事業者に当該本⼈の個⼈情報を提供する場合
事例2）裁判所による公告等により散在的に公開されている個⼈情報（例：官報に掲載される
破産者情報）を、当該個⼈情報に係る本⼈に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予⾒できるにもかかわらず、それを集約してデータベース化
し、インターネット上で公開する場合
事例3）暴⼒団員により⾏われる暴⼒的要求⾏為等の不当な⾏為や総会屋による不当な要求を助⻑し、⼜は誘発するおそれが予⾒できるにもかかわらず、事業者間で共有している暴⼒団員等に該当する⼈物を本⼈とする個⼈情報や、不当要求による被害を防⽌するために必要な業務を⾏う各事業者の責任者の名簿等を、みだりに開⽰し、⼜は暴⼒団等に対しその存在を明らかにする場合
事例4）個⼈情報を提供した場合、提供先において法第27条第1項に違反する第三者提供がなされることを予⾒できるにもかかわらず、当該提供先に対して、個⼈情報を提供する場合
事例5）採⽤選考を通じて個⼈情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本⼈に対する違法な差別的取扱いを⾏うために、個⼈情報を利⽤する場
合事例6）広告配信を⾏っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予⾒できるにもかかわらず、当該商品の広告配信のために、⾃社で取得した個⼈情報を利⽤する場合

第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(1) 個⼈情報等の適正な取扱いに関する規律の在り⽅
イ 「不適正な利⽤の禁⽌」「適正な取得」の規律の明確化【考え⽅】
不適正な利⽤の禁⽌、適正な取得の規定については、個⼈の権利利益の保護により資するものとするとともに、事業者による予測可能性を⾼める観点から、適⽤される範囲等の具体化・類型化を図る必要がある。具体化・類型化に際しては、これまでに問題とされた事例等を踏まえて検討することが必要である。
また、現⾏法の個⼈情報の取扱いに係る規律は、本⼈が、⾃らの個⼈情報の提供等について、⾃らの⾃律的な意思により選択をすることが可能である状況にあることを前提としていると考えられる。他⽅、個⼈情報取扱事業者と本⼈との関係によっては、本⼈にそのような選択を⾏うことが期待できない場合があり得る。そのため、こうした場合において、本⼈との関係に照らして当然認められるべき利⽤⽬的以外の利⽤⽬的で個⼈情報を取得・利⽤することや、当然認められるべき利⽤⽬的の達成に真に必要な範囲を越えて個⼈情報を取得・利⽤すること等について、不正取得や不適正利⽤等の規律をどのように適⽤すべきか、継続的に検討する必要がある。
個⼈関連情報については、事業者が、電話番号、メールアドレス、Cookie ID など、個⼈に対する連絡が可能な情報を有している場合 には、個⼈関連情報の取扱いによりプライバシーなどの個⼈の権利利益が侵害される蓋然性が認められ、その侵害の程度・蓋然性は、事業者による利⽤の⽅法によっては、個⼈情報と同様に深刻なものになり得ると考えられる。そのため、このような場合について、不正取得や不適
正利⽤等への対応の在り⽅を検討する必要がある。

20条1項
個⼈情報取扱事業者は、偽りその他不正の⼿段により個⼈情報を取得してはならない。

2024/7/19

緊急シンポジウム「個⼈情報保護法改正に向けて」

7

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
イ 第三者提供規制の在り⽅（オプトアウト等）

27条2項
２ 個⼈情報取扱事業者は、第三者に提供される個⼈データについて、本⼈の求めに応じて当該本⼈が識別される個⼈データの第三者への提供を停⽌することとしている場合であって、次に掲げる事項について、個⼈情報保護委員会規則で定めるところにより、あらかじめ、
本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個⼈データを第三者に提供することができる。
ただし、第三者に提供される個⼈データが要配慮個⼈情報⼜は第⼆⼗条第⼀項の規定に違反して取得されたもの若しくは他の個⼈情報取扱事業者からこの項本⽂の規定により提供されたもの（その全部⼜は⼀部を複製し、⼜は加⼯したものを含む。）である場合は、この限りでない。
⼀〜⼋ （略）30条
個⼈情報取扱事業者は、第三者から個⼈データの提供を受けるに際しては、個⼈情報保護委
員会規則で定めるところにより、次に掲げる事項の確認を⾏わなければならない。ただし、当該個⼈データの提供が第⼆⼗七条第⼀項各号⼜は第五項各号のいずれかに該当する場合は、
この限りでない。
⼀ 当該第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名
⼆ 当該第三者による当該個⼈データの取得の経緯
２ 前項の第三者は、個⼈情報取扱事業者が同項の規定による確認を⾏う場合において、当該個⼈情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
３ 個⼈情報取扱事業者は、第⼀項の規定による確認を⾏ったときは、個⼈情報保護委員会
規則で定めるところにより、当該個⼈データの提供を受けた年⽉⽇、当該確認に係る事項その他の個⼈情報保護委員会規則で定める事項に関する記録を作成しなければならない。
４ 個⼈情報取扱事業者は、前項の記録を、当該記録を作成した⽇から個⼈情報保護委員会
規則で定める期間保存しなければならない。

2024/7/19

第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(2) 第三者提供規制の在り⽅（オプトアウト等）【考え⽅】
オプトアウト届出事業者は、提供先の利⽤⽬的や⾝元等について、その内容や真偽を積極的に確認する義務まではないことから、明確に認識しないまま意図せず犯罪グループに名簿を提供してしまうことが⽣じ得る。そこで、⼀定の場合には提供先の利⽤⽬的や⾝元等を特に確認する義務を課すことについて検討する必要がある。
その際、確認義務の要件についての検討や、住宅地図等を広く市販する場合など規律の在り⽅についても検討が必要である。
また、不正に名簿等を持ち出した者が、当該名簿等により利益を得る有⼒な⽅法として、オプトアウト届出事業者への販売が想定される。そのため、オプトアウト届
出事業者には、取得元における取得の経緯や取得元の⾝元等の確認について、より⾼度の注意義務を課すことが考えられる。具体的には、⼀定の場合には取得元の⾝元や取得の適法性を⽰す資料等を特に確認する義務を課すことについて検討する必要がある。その際、確認義務の要件や対象の類型化についての検討が必要である。
さらに、本⼈が、オプトアウト届出事業者によって個⼈情報が提供されており、かつ、当該提供の停⽌を求めることができることを確実に認識できるようにす るための措置など、本⼈のオプトアウト権⾏使の実効性を⾼めるための措置に ついて、継続して検討する必要がある。

緊急シンポジウム「個⼈情報保護法改正に向けて」

8

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
ウ こどもの個⼈情報等に関する規律の在り⽅(ア) 法定代理⼈の関与
第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(3) こどもの個⼈情報等に関する規律の在り⽅
ア 法定代理⼈の関与
76条2項（⾏政機関等に対する規律）
未成年者若しくは成年被後⾒⼈の法定代理⼈⼜は本⼈の委任による代理⼈（以下この節において「代理⼈」と総称する。）は、本⼈に代わって前項の規定による開⽰の請求（以下この節及び第百⼆⼗七条において「開⽰請求」という。）をすることができる。
GL通則編2-16「本⼈の同意を得（る）」とは、本⼈の承諾する旨の意思表⽰を当該個⼈情報取扱事業者が認識することをいい、事業の性質及び個⼈情報の取扱状況に応じ、本⼈が同意に係る判断を⾏うために必要と考えられる合理的かつ適切な⽅法によらなければならない。
なお、個⼈情報の取扱いに関して同意したことによって⽣ずる結果について、未成年者、成年被後⾒⼈、被保佐⼈及び被補助⼈が判断できる能⼒を有していないなどの場合は、親権者や法定代理⼈等から同意を得る必要がある。
Q&A1-62
Ｑ１−62 何歳以下の⼦どもについて、同意をしたことによって⽣ずる結果を判断できる能⼒を有していないものとして、法定代理⼈等から同意を得る必要がありますか。
Ａ１−62 法定代理⼈等から同意を得る必要がある⼦どもの具体的な年齢は、対象となる
個⼈情報の項⽬や事業の性質等によって、個別具体的に判断されるべきですが、⼀般的には 12 歳から 15 歳までの年齢以下の⼦どもについて、法定代理⼈等から同意を得る必要があると考えられます。

2024/7/19【考え⽅】
こどもの個⼈情報の取扱いに係る規律については、こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮するとともに、学校等における⽣徒の教育・学習に関するデータの有⽤性も考慮する必要がある。これを踏まえ、主要各国においてこどもの個⼈情報等に係る規律が設けられており、執⾏事例も多数⾒られることも踏まえ、こどもの権利利益の保護という観点から、規律の在り⽅の検討を深める必要がある。
他⽅で、第三者が公開したこどもの個⼈情報を取得する場合などにおいては、取得した情報にこどもの個⼈情報とこども以外の者の個⼈情報が含まれている場合や、こどもの個⼈情報が含まれているかが明らかでない場合があり得ることから、こうした場合における事業者の負担を考慮する必要がある。
ア 法定代理⼈の関与
現⾏法上、原則として本⼈同意の取得が必要とされている場⾯（⽬的外利⽤（法第 18 条第２項）、要配慮個⼈情報の取得（法第 20 条第２項）、個⼈データの第三者提供（法第 27 条第１項、第 28 条１項）、個⼈関連情報の第三者提供（法第 31 条第１項）など）において、こどもを本⼈とする個⼈情報について、法定代理⼈の同意を取得すべきことを法令の規定上明確化することを検討する必要がある。
また、本⼈に対する通知等が必要となる場⾯（利⽤⽬的の通知（法第 21 条第１項）、
本⼈から直接書⾯に記載された個⼈情報を取得する場合における利⽤⽬的の明⽰（同条第２項）、漏えい等に関する本⼈への通知（法第 26 条第２項）など）においても、こどもを本⼈とする個⼈情報について、法定代理⼈に対して情報提供すべきことを法令の規定上明⽂化することを検討する必要がある。

緊急シンポジウム「個⼈情報保護法改正に向けて」

9

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
ウ こどもの個⼈情報等に関する規律の在り⽅(イ) 利⽤停⽌等請求権の拡張

35条1項〜5項
本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データが第⼗⼋条若し
くは第⼗九条の規定に違反して取り扱われているとき、⼜は第⼆⼗条の規定に違反して取得されたものであるときは、当該保有個⼈データの利⽤の停⽌⼜は消去（以下この条において「利⽤停⽌等」という。）を請求することができる。
２ （略）３ 本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データが第⼆⼗七条第⼀項⼜は第⼆⼗⼋条の規定に違反して第三者に提供されているときは、当該保有個⼈
データの第三者への提供の停⽌を請求することができる。
４ （略）５ 本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データを当該個⼈情報取扱事業者が利⽤する必要がなくなった場合、当該本⼈が識別される保有個⼈データに係る第⼆⼗六条第⼀項本⽂に規定する事態が⽣じた場合その他当該本⼈が識別される保有個⼈データの取扱いにより当該本⼈の権利⼜は正当な利益が害されるおそれがある場合には、当該保有個⼈データの利⽤停⽌等⼜は第三者への提供の停⽌を請求することができる。

2024/7/19

第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(3) こどもの個⼈情報等に関する規律の在り⽅
イ 利⽤停⽌等請求権の拡張【考え⽅】
現⾏法上、利⽤停⽌等請求権を⾏使できる場⾯は、保有個⼈データについて違法⾏為があった場合等限定的であるが、こどもの要保護性を踏まえると、こどもを本⼈とする保有個⼈データについては、他の保有個⼈データ以上に柔軟に事後的な利⽤停⽌を認めることについて検討する必要がある。ただし、取得について法定代理⼈の同意を得ている場合等、⼀定の場合においてはその例外とすることも考えられる。

緊急シンポジウム「個⼈情報保護法改正に向けて」

10

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
ウ こどもの個⼈情報等に関する規律の在り⽅(ウ) 安全管理措置義務の強化（安全管理措置）第23条 個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失⼜は毀損の防⽌その他の個⼈データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）
第24条 個⼈情報取扱事業者は、その従業者に個⼈データを取り扱わせるに当たっては、当該個⼈データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を⾏わなければならない。
（委託先の監督）
第25条 個⼈情報取扱事業者は、個⼈データの取扱いの全部⼜は⼀部を委託する場合は、その取扱いを委託された個⼈データの安全管理が図られるよう、委託を受けた者に対する必要
かつ適切な監督を⾏わなければならない。
（漏えい等の報告等）
第26条 個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失、毀損その他の個
⼈データの安全の確保に係る事態であって個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものが⽣じたときは、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を個⼈情報保護委員会に報告しなければならない。ただし、当該個⼈情報取扱事業者が、他の個⼈情報取扱事業者⼜は⾏政機関等から当該個⼈デー
タの取扱いの全部⼜は⼀部の委託を受けた場合であって、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を当該他の個⼈情報取扱事業者⼜は⾏政機関等に通知したときは、この限りでない。
２ 前項に規定する場合には、個⼈情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本⼈に対し、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を通知しなければならない。ただし、本⼈への通知が困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

2024/7/19

第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(3) こどもの個⼈情報等に関する規律の在り⽅
ウ 安全管理措置義務の強化【考え⽅】
重⼤なこどもの個⼈情報の漏えい事件が国内で発⽣しており、委員会においても前述の⼤⼿学習塾に対する指導に際して「こどもの個⼈データについては、こどもの「安全」を守る等の観点から、特に取扱いに注意が必要であり、組織的、⼈的、物
理的及び技術的という多⾓的な観点からリスクを検討し、必要かつ適切な安全管理措置を講ずる必要がある」旨述べているところである。そこで、こどもの個⼈デー
タについて安全管理措置義務を強化することがあり得る。

緊急シンポジウム「個⼈情報保護法改正に向けて」

11

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
ウ こどもの個⼈情報等に関する規律の在り⽅(エ) 責務規程(オ) 年齢基準
こども家庭庁設置法3条1項
こども家庭庁は、⼼⾝の発達の過程にある者（以下「こども」という。）が⾃⽴した個⼈としてひとしく健やかに成⻑することのできる社会の実現に向け、⼦育てにおける家庭の役割の重要性を踏まえつつ、こどもの年齢及び発達の程度に応じ、その意⾒を尊重し、その最善の利益を優先して考慮することを基本とし、こども及びこどものある家庭の福祉の増進及び保健の向上その他のこどもの健やかな成⻑及びこどものある家庭における⼦育てに対する⽀
援並びにこどもの権利利益の擁護に関する事務を⾏うことを任務とする。
第 208 回国会参議院内閣委員会第 17 号（令和 4年 5 ⽉ 19 ⽇）⾕内繁内閣官房こども家庭庁設置法案等準備室⻑答弁「法令上の定義や対象年齢は各法令によって様々でございまして、例えば漢字仮名交じりの⼦どもでございますと、⼦ども・⼦育て⽀援法では、⼗⼋歳に達する⽇以後の最初の三⽉三⼗⼀⽇までの間にある者と定義されている⼀⽅で、⼦どもの貧困対策の推進に関する法律では、漢字仮名交じりの⼦どもについて特段の定義がされていないというものでございます。」「また、両⽅とも漢字の⼦供でございますと、公職選挙法に例がございまして、幼児、児童、⽣徒その他の年齢満⼗⼋年未満の者というふうに定義されているところでございます。」「こども家庭庁設置法案では、第三条第⼀項におきまして、両⽅とも平仮名のこどもを⼼⾝の発達の過程にある者と定義しております。ここでいう平仮名のこどもでございますけれど
も、基本的に⼗⼋歳までの者を念頭に置いておりますけれども、それぞれのこどもの状況に応じて必要な⽀援が⼗⼋歳や⼆⼗歳といった特定の年齢で途切れることなく⾏われるよう定義を置いているところでございます。」
Q&A1-62
Ｑ１−62 何歳以下の⼦どもについて、同意をしたことによって⽣ずる結果を判断できる能⼒を有していないものとして、法定代理⼈等から同意を得る必要がありますか。

第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(3) こどもの個⼈情報等に関する規律の在り⽅
エ 責務規程オ 年齢基準【考え⽅】
エ 責務規定上記アからウにかかわらず、各事業者の⾃主的な取組の促進という観点からは、こどもの個⼈情報等の取扱いについては、こどもの最善の利益を優先し特別な配慮を⾏うべき等、事業者等が留意すべき責務を定める規定を設けることも検討する必要がある。
オ 年齢基準こどもの個⼈情報等の取扱いに係る年齢基準の考え⽅については、国内外の法制度において様々な年齢基準が設けられていることや、対象年齢によっては事業者等の負担が⼤きくなることも考慮する必要があるが、対象とするこどもの年齢について
は、Q&A の記載や GDPR の規定の例などを踏まえ、16 歳未満とすることについて検討を⾏う。

Ａ１−62 法定代理⼈等から同意を得る必要がある⼦どもの具体的な年齢は、対象となる
個⼈情報の項⽬や事業の性質等によって、個別具体的に判断されるべきですが、⼀般的には 12 歳から 15 歳までの年齢以下の⼦どもについて、法定代理⼈等から同意を得る必要があると考えられます。

2024/7/19

緊急シンポジウム「個⼈情報保護法改正に向けて」

12

2 第⼆次いわゆる3年ごと⾒直しの概要(1) 個⼈の権利利益のより実質的な保護の在り⽅
エ 個⼈の権利救済⼿段の在り⽅

消費者契約法12条1項
適格消費者団体は、事業者、受託者等⼜は事業者の代理⼈若しくは受託者等の代理⼈（以下この項及び第四⼗三条第⼆項第⼀号において「事業者等」と総称する。）が、消費者契約の締結について勧誘をするに際し、不特定かつ多数の消費者に対して第四条第⼀項から第四項までに規定する⾏為（同条第⼆項に規定する⾏為にあっては、同項ただし書の場合に該当するものを除く。次項において同じ。）を現に⾏い⼜は⾏うおそれがあるときは、その事業者等に対し、当該⾏為の停⽌若しくは予防⼜は当該⾏為に供した物の廃棄若しくは除去その他の当該⾏為の停⽌若しくは予防に必要な措置をとることを請求することができる。
ただし、⺠法及び商法以外の他の法律の規定によれば当該⾏為を理由として当該消費者契約を取り消すことができないときは、この限りでない。

第2 個別検討事項
1 個⼈の権利利益のより実質的な保護の在り⽅(4) 個⼈の権利救済⼿段の在り⽅【考え⽅】
法の規定に違反する個⼈情報の取扱いに対する抑⽌⼒を強化し、本⼈に⽣じた被害の回復の実効性を⾼めるという観点からは、適格消費者団体を念頭に置いた、団体による差⽌請求制度や被害回復制度 の枠組みは有効な選択肢となり得る。
このうち、差⽌請求制度については、法に違反する不当な⾏為を対象⾏為とすることを検討すべきである。差⽌請求の実効的な運⽤のためには、次の課題が指摘され特定商取引法58条の19
適格消費者団体は、販売業者⼜は役務提供事業者が、通信販売に関し、不特定かつ多数の者に対して次にている⼀⽅で、差⽌請求は個⼈の権利利益保護の⼿段を多様化する、委員会の監掲げる⾏為を現に⾏い⼜は⾏うおそれがあるときは、その販売業者⼜は役務提供事業者に対し、当該⾏為
視・監督機能を補完し得るとの指摘もあることから、継続して検討する必要がある。
の停⽌若しくは予防⼜は当該⾏為に供した物の廃棄若しくは除去その他の当該⾏為の停⽌若しくは予防に· 専⾨性の確保（法に精通した⼈材を各適格消費者団体が確保しているとは限らな必要な措置をとることを請求することができる。
いため、研修等の実施や、制度導⼊初期段階での専⾨家確保のための施策が必要と⼀〜四 （略。優良誤認表⽰，表⽰義務違反等）
考えられる。）
消費者裁判特例法3条· 端緒情報等の共有・⽴証等における考慮（委員会が取得している情報のうち重⼤特定適格消費者団体は、事業者が消費者に対して負う⾦銭の⽀払義務であって消費者契約に関する第⼀号案件と考えられるものについて、事業者名を特定して適格消費者団体に提供できるから第四号までに掲げる請求及び第五号イからハまでに掲げる者が消費者に対して負う⾦銭の⽀払義務でと、制度が効果的に機能すると考えられる。また、事業者の応答を促す仕組み等にあって消費者契約に関する同号に掲げる請求（これらに附帯する利息、損害賠償、違約⾦⼜は費⽤の請求を含む。）に係るものについて、共通義務確認の訴えを提起することができる。
ついても検討すべき。）
⼀〜⼆（略）· 報告、監督窓⼝の⼀本化（年次の報告先等が２箇所となれば適格消費者団体の負
三 契約上の債務の不履⾏による損害賠償の請求担となる。）
四 不法⾏為に基づく損害賠償の請求（⺠法（明治⼆⼗九年法律第⼋⼗九号）の規定によるものに限り、· 資⾦を含む団体への援助（適格消費者団体は限られた資⾦の下ボランティアベー
次号（イに係る部分に限る。）に掲げるものを除く。）
五（略）スで運営されている団体が⼤多数。）
２ 次に掲げる損害については、前項第三号から第五号までに掲げる請求に係る⾦銭の⽀払義務について
もう⼀⽅の被害回復制度については、差⽌請求制度の課題に加え、個⼈情報の漏えの共通義務確認の訴えを提起することができない。
いに伴う損害賠償請求は極端な少額⼤量被害事案となる（過去の裁判例等を踏まえ
⼀〜五 （略）ると、認容被害額は数千円から数万円程度と考えられる。）こと、⽴証上の問題が六 精神上の苦痛を受けたことによる損害（その額の算定の基礎となる主要な事実関係が相当多数の消費者について共通するものであり、かつ、次のイ⼜はロのいずれかに該当するものを除く。）
あることが課題と考えられることから、更に慎重な検討が必要である。
イ 共通義務確認の訴えにおいて⼀の訴えにより、前項各号に掲げる請求（同項第三号から第五号までに他⽅で、団体による差⽌請求や被害回復の枠組みについては、関係団体からのヒア掲げる請求にあっては、精神上の苦痛を受けたことによる損害に係る請求を含まないものに限る。以下こリングにおいて、その導⼊について強く反対との意⾒があったところであり、法にのイにおいて「財産的請求」という。）と併せて請求されるものであって、財産的請求と共通する事実上違反する⾏為や不法⾏為を対象とする場合であっても、萎縮効果の懸念が⽰されての原因に基づくもの
ロ 事業者の故意によって⽣じたもの
いることから、事業者の負担と個⼈の権利利益の保護とのバランスを踏まえつつ、その導⼊の必要性を含めて多⾓的な検討を⾏っていく必要がある。
2024/7/19
緊急シンポジウム「個⼈情報保護法改正に向けて」
13

2 第⼆次いわゆる3年ごと⾒直しの概要(2) 実効性のある監視・監督の在り⽅
ア 課徴⾦、勧告・命令等の⾏政上の監視・監督⼿段の在り⽅(ア) 課徴⾦制度

景品表⽰法8条
事業者が、第五条の規定に違反する⾏為（同条第三号に該当する表⽰に係るものを除く。以
下「課徴⾦対象⾏為」という。）をしたときは、内閣総理⼤⾂は、当該事業者に対し、当該課徴⾦対象⾏為に係る課徴⾦対象期間に取引をした当該課徴⾦対象⾏為に係る商品⼜は役務の政令で定める⽅法により算定した売上額に百分の三を乗じて得た額に相当する額の課徴⾦を国庫に納付することを命じなければならない。ただし、当該事業者が当該課徴⾦対象⾏為をした期間を通じて当該課徴⾦対象⾏為に係る表⽰が次の各号のいずれかに該当することを知らず、かつ、知らないことにつき相当の注意を怠つた者でないと認められるとき、⼜はその額が百五⼗万円未満であるときは、その納付を命ずることができない。
⼀ 商品⼜は役務の品質、規格その他の内容について、実際のものよりも著しく優良である
こと⼜は事実に相違して当該事業者と同種若しくは類似の商品若しくは役務を供給している
他の事業者に係るものよりも著しく優良であることを⽰す表⽰
⼆ 商品⼜は役務の価格その他の取引条件について、実際のものよりも取引の相⼿⽅に著しく有利であること⼜は事実に相違して当該事業者と同種若しくは類似の商品若しくは役務を供給している他の事業者に係るものよりも取引の相⼿⽅に著しく有利であることを⽰す表⽰
２ 前項に規定する「課徴⾦対象期間」とは、課徴⾦対象⾏為をした期間（課徴⾦対象⾏為をやめた後そのやめた⽇から六⽉を経過する⽇（同⽇前に、当該事業者が当該課徴⾦対象⾏為に係る表⽰が不当に顧客を誘引し、⼀般消費者による⾃主的かつ合理的な選択を阻害する
おそれを解消するための措置として内閣府令で定める措置をとつたときは、その⽇）までの間に当該事業者が当該課徴⾦対象⾏為に係る商品⼜は役務の取引をしたときは、当該課徴⾦対象⾏為をやめてから最後に当該取引をした⽇までの期間を加えた期間とし、当該期間が三年を超えるときは、当該期間の末⽇から遡つて三年間とする。）をいう。
３ 内閣総理⼤⾂は、第⼀項の規定による命令（以下「課徴⾦納付命令」という。）に関し、事業者がした表⽰が第五条第⼀号に該当するか否かを判断するため必要があると認めるときは、当該表⽰をした事業者に対し、期間を定めて、当該表⽰の裏付けとなる合理的な根拠を⽰す資料の提出を求めることができる。この場合において、当該事業者が当該資料を提出しないときは、同項の規定の適⽤については、当該表⽰は同号に該当する表⽰と推定する。

2024/7/19

第2 個別検討事項
2 実効性のある監視・監督の在り⽅(1) 課徴⾦、勧告・命令等の⾏政上の監視・監督⼿段の在り⽅
ア 課徴⾦制度【考え⽅】
課徴⾦制度については、関係団体からのヒアリングで強い反対意⾒が⽰されていることに加え、我が国の他法令における導⼊事例や国際的動向、個⼈の権利利益保護と事業者負担とのバランスを踏まえ、その導⼊の必要性を含めて検討する必要がある。
課徴⾦制度を導⼊する必要があると考えられる場合には、次のような論点を整理する必要がある。
· 課徴⾦賦課の対象となる違法⾏為類型（現⾏法の指導・勧告・命令のみでは違反⾏為により得た利得が事業者の元に残ることとなり、事業者による個⼈の権利利益の侵害を効果的に抑⽌できないことを前提に、個⼈データの違法な第三者提供等の違反⾏為によって不当な利得を得ている場合や、個⼈データの漏えい等が発⽣している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反⾏為により、本来なすべき⽀払を免れた場合等について検討することが必要である。）· 課徴⾦の算定⽅法（例えば、個⼈データを販売することを通じて違法に第三者に提供した場合については、販売による売上という不当な利益が⽣じている点に着⽬することが考えられる。他⽅、悪質な安全管理措置義務違反の場合には、本来なすべき⽀払を免れた結果として、事業活動から得られる利益が増加している点に着⽬することが考えられる。）· 課徴⾦の最低額の設定、⼀定の要件を満たした場合の課徴⾦の加減算等

緊急シンポジウム「個⼈情報保護法改正に向けて」

14

2 第⼆次いわゆる3年ごと⾒直しの概要(2) 実効性のある監視・監督の在り⽅
ア 課徴⾦、勧告・命令等の⾏政上の監視・監督⼿段の在り⽅(イ) 勧告・命令の在り⽅（指導及び助⾔）
第147条 委員会は、第四章の規定の施⾏に必要な限度において、個⼈情報取扱事業者等に対し、個⼈情報等の取扱いに関し必要な指導及び助⾔をすることができる。
（勧告及び命令）
第148条 委員会は、個⼈情報取扱事業者が第⼗⼋条から第⼆⼗条まで、第⼆⼗⼀条（第⼀項、第三項及び第四項の規定を第四⼗⼀条第四項の規定により読み替えて適⽤する場合を含む。）、第⼆⼗三条から第⼆⼗六条まで、第⼆⼗七条（第四項を除き、第五項及び第六項の規定を第四⼗⼀条第六項の規定により読み替えて適⽤する場合を含む。）、第⼆⼗⼋条、第⼆⼗九条（第⼀項ただし書の規定を第四⼗⼀条第六項の規定により読み替えて適⽤する場合を含む。）、第三⼗条（第⼆項を除き、第⼀項ただし書の規定を第四⼗⼀条第六項の規定により読み替えて適⽤する場合を含む。）、第三⼗⼆条、第三⼗三条（第⼀項（第五項において準⽤する場合を含む。）を除く。）、第三⼗四条第⼆項若しくは第三項、第三⼗五条（第⼀項、第三項及び第五項を除く。）、第三⼗⼋条第⼆項、第四⼗⼀条（第四項及び第五項を除く。）若しくは第四⼗三条（第六項を除く。）の規定に違反した場合、個⼈関連情報取扱事業者が第三⼗⼀条第⼀項、同条第⼆項において読み替えて準⽤する第⼆⼗⼋条第三項若しくは第三⼗⼀条第三項において読み替えて準⽤する第三⼗条第三項若しくは第四項の規定に違反した場合、仮名加⼯情報取扱事業者が第四⼗⼆条第⼀項、同条第⼆項において読み替えて準⽤する第⼆⼗七条第五項若しくは第六項若しくは第四⼗⼆条第三項において読み替えて準⽤する第⼆⼗三条から第⼆⼗五条まで若しくは第四⼗⼀条第七項若しくは第⼋項の規定に違反した場合⼜は匿名加⼯情報取扱事業者が第四⼗四条若しくは第四⼗五条の規定に違反した場合において個⼈の権利利益を保護するため必要があると認めるときは、当該個⼈情報取扱事業者等に対し、
当該違反⾏為の中⽌その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
２ 委員会は、前項の規定による勧告を受けた個⼈情報取扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった場合において個⼈の重⼤な権利利益の侵害が切迫していると認めるときは、当該個⼈情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命ずることができる。
３ 委員会は、前⼆項の規定にかかわらず、個⼈情報取扱事業者が第⼗⼋条から第⼆⼗条まで、第⼆⼗三条から第⼆⼗六条まで、第⼆⼗七条第⼀項、第⼆⼗⼋条第⼀項若しくは第三項、第四⼗⼀条第⼀項から第三項まで若しくは第六項から第⼋項まで若しくは第四⼗三条第⼀項、第⼆項若しくは第五項の規定に違反した場合、個⼈関連情報取扱事業者が第三⼗⼀条第⼀項若しくは同条第⼆項において読み替えて準⽤する
第⼆⼗⼋条第三項の規定に違反した場合、仮名加⼯情報取扱事業者が第四⼗⼆条第⼀項若しくは同条第三項において読み替えて準⽤する第⼆⼗三条から第⼆⼗五条まで若しくは第四⼗⼀条第七項若しくは第⼋項の規定に違反した場合⼜は匿名加⼯情報取扱事業者が第四⼗五条の規定に違反した場合において個⼈の重⼤な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該個⼈情報取扱事
業者等に対し、当該違反⾏為の中⽌その他違反を是正するために必要な措置をとるべきことを命ずることができる。
４ 委員会は、前⼆項の規定による命令をした場合において、その命令を受けた個⼈情報取扱事業者等がその命令に違反したときは、その旨を公表することができる。

2024/7/19

第2 個別検討事項
2 実効性のある監視・監督の在り⽅(1) 課徴⾦、勧告・命令等の⾏政上の監視・監督⼿段の在り⽅
イ 勧告・命令の在り⽅【考え⽅】
勧告・命令に関しては、個⼈情報取扱事業者等による法に違反する個⼈情報等の取扱いにより個⼈の権利利益の侵害が差し迫っている場合に直ちに中⽌命令を出すことの必要性や、法に違反する個⼈情報等の取扱いを⾏う個⼈情報取扱事業者等のみ
ならず、これに関与する第三者に対しても⾏政上の措置をとることの必要性、法に違反する個⼈情報等の取扱いの中⽌のほかに個⼈の権利利益の保護に向けた措置を求めることの必要性の有無や⼿続保障など、その法制上の課題等について検討すべきである。

緊急シンポジウム「個⼈情報保護法改正に向けて」

15

2 第⼆次いわゆる3年ごと⾒直しの概要(2) 実効性のある監視・監督の在り⽅
イ 刑事罰の在り⽅

第179条 個⼈情報取扱事業者（その者が法⼈（法⼈でない団体で代表者⼜は管理⼈の定めのあるものを含む。第百⼋⼗四条第⼀項において同じ。）である場合にあっては、その役員、代表者⼜は管理⼈）若しくはその従業者⼜はこれらであった者が、その業務に関して取り扱った個⼈情報データベース等（その全部⼜は⼀部を複製し、⼜は加⼯したものを含む。）
を⾃⼰若しくは第三者の不正な利益を図る⽬的で提供し、⼜は盗⽤したときは、⼀年以下の懲役⼜は五⼗万円以下の罰⾦に処する。
第184条 法⼈の代表者⼜は法⼈若しくは⼈の代理⼈、使⽤⼈その他の従業者が、その法⼈⼜は⼈の業務に関して、次の各号に掲げる違反⾏為をしたときは、⾏為者を罰するほか、その法⼈に対して当該各号に定める罰⾦刑を、その⼈に対して各本条の罰⾦刑を科する。
⼀ 第百七⼗⼋条及び第百七⼗九条 ⼀億円以下の罰⾦刑
⼆ 第百⼋⼗⼆条 同条の罰⾦刑２ 法⼈でない団体について前項の規定の適⽤がある場合には、その代表者⼜は管理⼈が、その訴訟⾏為につき法⼈でない団体を代表するほか、法⼈を被告⼈⼜は被疑者とする場合の刑事訴訟に関する法律の規定を準⽤する。
不正競争防⽌法21条
次の各号のいずれかに該当する場合には、当該違反⾏為をした者は、⼗年以下の懲役若しくは⼆千万円以下の罰⾦に処し、⼜はこれを併科する。
⼀ 不正の利益を得る⽬的で、⼜はその営業秘密保有者に損害を加える⽬的で、詐欺等⾏為（⼈を欺き、⼈に暴⾏を加え、⼜は⼈を脅迫する⾏為をいう。次号において同じ。）⼜は管理侵害⾏為（財物の窃取、施設への侵⼊、不正アクセス⾏為（不正アクセス⾏為の禁⽌等に関する法律（平成⼗⼀年法律第百⼆⼗⼋号）第⼆条第四項に規定する不正アクセス⾏為をいう。）その他の営業秘密保有者の管理を害する⾏為をいう。次号において同じ。）により、営業秘密を取得したとき。
⼆〜五（略）

2024/7/19

第2 個別検討事項
2 実効性のある監視・監督の在り⽅(2) 刑事罰の在り⽅【考え⽅】
個⼈情報が不正に取り扱われた悪質事案の類型が様々であることを踏まえ、法の直罰規定がこれらの事案を過不⾜なく対象としているかを検証し、その処罰範囲について検討するとともに、法定刑の適切性についても検討する必要がある。
さらに、個⼈情報の詐取等の不正取得が多数発⽣している状況を踏まえ、こうした⾏為を直罰規定の対象に含めるべきかについても検討する必要がある。

緊急シンポジウム「個⼈情報保護法改正に向けて」

16

2 第⼆次いわゆる3年ごと⾒直しの概要(2) 実効性のある監視・監督の在り⽅
ウ 漏えい等報告・本⼈通知の在り⽅（ア）漏えい等報告

26条
個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失、毀損その他の個⼈データの安全の確保に係る事態であって個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものが⽣じたときは、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を個⼈情報保護委員会に報告しなければならない。ただし、当該
個⼈情報取扱事業者が、他の個⼈情報取扱事業者⼜は⾏政機関等から当該個⼈データの取扱
いの全部⼜は⼀部の委託を受けた場合であって、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を当該他の個⼈情報取扱事業者⼜は⾏政機関等に通知したときは、
この限りでない。
２ 前項に規定する場合には、個⼈情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本⼈に対し、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を通知しなければならない。ただし、本⼈への通知が困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

速報

確報

規則8条
個⼈情報取扱事業者は、法第⼆⼗六条第⼀項本⽂の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。
⼀〜九（略）
２ 前項の場合において、個⼈情報取扱事業者は、当該事態を知った⽇から三⼗⽇以内（当該事態が前条第三号に定めるものである場合にあっては、六⼗⽇以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
３ （略）GL通則編3-5-3-3「速やか」の⽇数の⽬安については、個別の事案によるものの、個⼈情報取扱事業者が当該事態を知った時点から概ね3〜5⽇以内である。

2024/7/19

第2 個別検討事項
2 実効性のある監視・監督の在り⽅(3) 漏えい等報告・本⼈通知の在り⽅
ア 漏えい等報告【考え⽅】
漏えい等報告及び本⼈通知に関し、漏えい等報告の件数は、令和４年度（2022 年度）から漏えい等報告が義務化されたこと等により、令和元年度（2019 年度） 以
降全体として増加傾向にある⼀⽅で、関係団体等からはこれらの義務が事業者の過度な負担になっているという意⾒が⽰されている。
そこで、こうした意⾒も踏まえつつ、委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個⼈の権利利益侵
害が発⽣するリスク等に応じて、漏えい等報告や本⼈通知の範囲・内容の合理化を検討すべきである。
この点、①上記のように、委員会がこれまでに受けた漏えい等報告を件数ベースでみると、漏えいした個⼈データに係る本⼈の数が１名である誤交付・誤送付案件が⼤半を占めているが、このようなケースは、当該本⼈にとっては深刻な事態になり得るものであり、本⼈通知の重要性は変わらないものの、本⼈通知が的確になされている限りにおいては、委員会に速報を提出する必要性が⽐較的⼩さい。また、②
漏えい等⼜はそのおそれを認識した場合における適切な対処（漏えい等が⽣じたか否かの確認、本⼈通知、原因究明など）を⾏うための体制・⼿順が整備されていると考えられる事業者については、⼀定程度⾃主的な取組に委ねることも考えられる。
そこで、例えば、体制・⼿順について認定個⼈情報保護団体などの第三者の確認を受けることを前提として、速報については、⼀定の範囲でこれを免除し、さらに①のようなケースについては確報について⼀定期間ごとの取りまとめ報告を許容することも考えられる。
また、関係団体からは、いわゆる「おそれ」要件についての要望も⽰されている。
「おそれ」については、個⼈の権利利益を害する可能性等を勘案してより合理的と考えられる場合に報告や本⼈通知を求めることが適当であるとも考えられるが、その具体的な当てはめについては、現実の事例に応じて精査する必要がある。事業者の協⼒も得ながら、実態を明らかにした上で検討を⾏い、必要となる要件の明確化を⾏うことが必要である。

緊急シンポジウム「個⼈情報保護法改正に向けて」

17

2 第⼆次いわゆる3年ごと⾒直しの概要(2) 実効性のある監視・監督の在り⽅
ウ 漏えい等報告・本⼈通知の在り⽅（イ）違法な第三者提供

26条
個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失、毀損その他の個⼈データの安全の確保に係る事態であって個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものが⽣じたときは、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を個⼈情報保護委員会に報告しなければならない。ただし、当該
個⼈情報取扱事業者が、他の個⼈情報取扱事業者⼜は⾏政機関等から当該個⼈データの取扱
いの全部⼜は⼀部の委託を受けた場合であって、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を当該他の個⼈情報取扱事業者⼜は⾏政機関等に通知したときは、
この限りでない。
２ 前項に規定する場合には、個⼈情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本⼈に対し、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を通知しなければならない。ただし、本⼈への通知が困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
GL通則編3-5-1-2
なお、個⼈データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、個⼈情報取扱事業者が⾃らの意図に基づき個⼈データを第三者に提供する場合（※）は、漏えいに該当しない。

第2 個別検討事項
2 実効性のある監視・監督の在り⽅(3) 漏えい等報告・本⼈通知の在り⽅
イ 違法な第三者提供【考え⽅】
現⾏法においては、事業者が個⼈データを違法に第三者に提供した場合について、報告義務及び本⼈通知義務は存在しないが、個⼈データが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する必要がある。

（※）個⼈情報取扱事業者は、個⼈データの第三者への提供に当たり、原則としてあらかじめ本⼈の同意を取得する必要がある。

2024/7/19

緊急シンポジウム「個⼈情報保護法改正に向けて」

18

2 第⼆次いわゆる3年ごと⾒直しの概要(3) データ利活⽤に向けた取組に対する⽀援等の在り⽅
ア 本⼈同意を要しないデータ利活⽤等の在り⽅

26条
個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失、毀損その他の個⼈データの安全の確保に係る事態であって個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものが⽣じたときは、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を個⼈情報保護委員会に報告しなければならない。ただし、当該
個⼈情報取扱事業者が、他の個⼈情報取扱事業者⼜は⾏政機関等から当該個⼈データの取扱
いの全部⼜は⼀部の委託を受けた場合であって、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を当該他の個⼈情報取扱事業者⼜は⾏政機関等に通知したときは、
この限りでない。
２ 前項に規定する場合には、個⼈情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本⼈に対し、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を通知しなければならない。ただし、本⼈への通知が困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
GL通則編3-5-1-2
なお、個⼈データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、個⼈情報取扱事業者が⾃らの意図に基づき個⼈データを第三者に提供する場合（※）は、漏えいに該当しない。
（※）個⼈情報取扱事業者は、個⼈データの第三者への提供に当たり、原則としてあらかじめ本⼈の同意を取得する必要がある。

2024/7/19

第2 個別検討事項
3 データ利活⽤に向けた取組に対する⽀援等の在り⽅(1) 本⼈同意を要しないデータ利活⽤等の在り⽅【考え⽅】
昨今のデジタル化の急速な進展・⾼度化に伴い、⽣成 AI 等の新たな技術の普及等により、⼤量の個⼈情報を取り扱うビジネス・サービス等が⽣まれている。また、健康・医療等の公益性の⾼い分野を中⼼に、機微性の⾼い情報を含む個⼈情報等の利活⽤に係るニーズが⾼まっている。このほか、契約の履⾏に伴う個⼈情報等の提供や、不正防⽌⽬的などでの利活⽤についてもニーズが寄せられている。
こうした状況を踏まえ、法で本⼈同意が求められる規定の在り⽅について、個⼈の権利利益の保護とデータ利活⽤とのバランスを考慮し、その整備を検討する必要がある。この場合においては、単に利活⽤の促進の観点から例外事由を認めるのは適当ではなく、本⼈の権利利益が適切に保護されることを担保することが必要である。
まず、⽣成 AI などの、社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が⾼いと考えられる技術やサービスについて、既存の例外規定では対応が困難と考えられるものがある。これらの技術やサービスについては、
社会的なニーズの⾼まりや、公益性の程度を踏まえて、例外規定を設けるための検討が必要である。この際、「いかなる技術・サービスに⾼い公益性が認められるか」について、極めて多様な価値判断を踏まえた上で⾼度な意思決定が必要になる。
個⼈の権利利益の保護とデータ利活⽤の双⽅の観点から多様な価値判断が想定されるものであり、関係府省庁も含めた検討や意思決定が必要と考えられる。
また、医療機関等における研究活動等に係る利活⽤のニーズについても、公益性の程度や本⼈の権利利益保護とのバランスを踏まえて、例外規定に係る規律の在り⽅について検討する必要がある。例えば、医療や研究開発の現場における公衆衛⽣例
外規定の適⽤のように、例外規定はあるものの、適⽤の有無に関する判断にちゅうちょする例があるとの指摘がある。こうした点等については、事業者の実情等も踏
まえつつ、関係府省庁の関与を得ながら、ガイドラインの記載等についてステーク
ホルダーと透明性のある形で議論する場の設定に向けて検討する必要がある。

緊急シンポジウム「個⼈情報保護法改正に向けて」

19

2 第⼆次いわゆる3年ごと⾒直しの概要(3) データ利活⽤に向けた取組に対する⽀援等の在り⽅
イ ⺠間における⾃主的な取組の促進

個⼈情報保護委員会「PIA の取組の促進について―PIA の意義と実施⼿順に沿った留意点―」（2021年6⽉30⽇）
個⼈情報保護委員会事務局「データマッピング・ツールキット（個⼈情報保護法関係）」（2022年10⽉）
GL通則編10-3(1) 組織体制の整備
安全管理措置を講ずるための組織体制を整備しなければならない。
（組織体制として整備する項⽬の例）
個⼈データの取扱いに関する責任者の設置及び責任の明確化
個⼈データを取り扱う従業者及びその役割の明確化
上記の従業者が取り扱う個⼈データの範囲の明確化
法や個⼈情報取扱事業者において整備されている個⼈データの取扱いに係る規律に違反している事実⼜は兆候を把握した場合の責任者への報告連絡体制
個⼈データの漏えい等事案の発⽣⼜は兆候を把握した場合の責任者への報告連絡体制
個⼈データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化

2024/7/19

第2 個別検討事項
3 データ利活⽤に向けた取組に対する⽀援等の在り⽅(2) ⺠間における⾃主的な取組の促進【考え⽅】
PIA・個⼈データの取扱いに関する責任者は、データガバナンス体制の構築において主要な要素となるものであり、その取組が促進されることが望ましい。他⽅、これらの義務化については、各主体における対応可能性や負担⾯などを踏まえ、慎重に検討を進める必要がある。
PIA については、⺠間における⾃主的な取組という現状の枠組みを維持しつつ、その取組を⼀層促進させるための⽅策について、PIA の出発点となり得るデータマッ
ピングを活⽤していくことを含め、検討を進める必要がある。
個⼈データの取扱いに関する責任者に関しては、現⾏の通則ガイドライン等で定める「組織体制の整備」を超えた措置の必要性について検討を進めるべきである。資格要件の要否、設置を求める対象事業者の範囲等によりその効果が変わってくると考えられるところ、各企業の現状も踏まえ、現実的な⽅向性を検討する必要がある。

緊急シンポジウム「個⼈情報保護法改正に向けて」

20

2 第⼆次いわゆる3年ごと⾒直しの概要(4) その他

規則7条
法第⼆⼗六条第⼀項本⽂の個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
⼀〜⼆ （略）三 不正の⽬的をもって⾏われたおそれがある当該個⼈情報取扱事業者に対する⾏為による個⼈データ（当該個⼈情報取扱事業者が取得し、⼜は取得しようとしている個⼈情報であって、個⼈データとして取り扱われることが予定されているものを含む。）の漏えい等が発⽣し、⼜は発⽣したおそれがある事態
四（略）23条
個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失⼜は毀損の防⽌その他の個
⼈データの安全管理のために必要かつ適切な措置を講じなければならない。
GL通則編3-4-2
なお、「その他の個⼈データの安全管理のために必要かつ適切な措置」には、個⼈情報取扱事業者が取得し、⼜は取得しようとしている個⼈情報であって、当該個⼈情報取扱事業者が個⼈データとして取り扱うことを予定しているものの漏えい等を防⽌するために必要かつ適切な措置も含まれる。

2024/7/19

第2 個別検討事項
4 その他
【考え⽅】
上記のほか、プロファイリング（本⼈に関する⾏動・関⼼等の情報を分析する 処理）、個⼈情報等に関する概念の整理、プライバシー強化技術（「PETs」：
Privacy Enhancing Technologies）の位置づけの整理、⾦融機関の海外送⾦時における送 ⾦者への情報提供義務の在り⽅、ゲノムデータに関する規律の在り⽅、委員
会か ら⾏政機関等への各種事例等の情報提供の充実などの論点についても、ステー
クホルダーの意⾒やパブリック・コメント等の結果を踏まえ、引き続き検討する。
また、個⼈情報保護及びその利活⽤とのバランスの在り⽅が国⺠各層にとって重要な課題であり、その重要性は以前にも増して⾼まっていることを踏まえ、委員会が関係の深いステークホルダーと透明性のある形で継続的に議論する場を設け、個⼈
情報保護政策の⽅向性や、本⼈同意を要しない公益に資するデータ利活⽤に関係するガイドライン等の⾒直しの在り⽅などについて、検討していくこととすることも考えられる。

緊急シンポジウム「個⼈情報保護法改正に向けて」

21

3

今後の⾒通し• 「オープンな議論」はいつどこでやるのか？
• 「令和6年（2024年）末までを⽬途に議論を深めてい」っていて，令和7年（2025年）通常国会に間に合うのか？
• ⾏政機関等は？

• 「新しい資本主義のグランドデザ
イン及び実⾏計画2024年改訂版」（令和6年6⽉21⽇）XI3.「⾏政保有データの利⽤制約の緩和」

2024/7/19

第１ はじめに（中間整理の位置づけ等）（後半を抜粋）本⽂書は、「中間整理」として、これまでの議論や検討を踏まえた現時点における委員会の考え⽅をまとめたものである。本⽂書は、パブリック・コメントに付すこととしており、そこで寄せられた意⾒を踏まえて最終的な⽅向性のとりまとめを⾏う予定である。また、パブリック・コメント終了後も、ステークホルダーと継続的な議論を⾏っていくものであり、こうしたプロセスを踏まえて、各検討項⽬の⽅向性を⾒直すことも想定されるものと考えている。また、本中間整理に挙げているものにとどまらず、今後提起された論点や検討項⽬についても、必要に応じて実態把握や影響分析なども⾏いながら、オープンな議論を続けていく必要があると考えている。
特に、課徴⾦、団体による差⽌請求制度や被害回復制度については、事業者、個⼈それぞれに与える影響が⼤きく、今後とも⼀層の意⾒集約作業が必要と考えられることから、ステークホルダーと議論するための場を設けつつ、令和６年（2024 年）末までを⽬途に議論を深めていくこととするが、更なる検討項⽬の追加等については、上記プロセス等の状況を踏まえて引き続き検討する。
「新しい資本主義のグランドデザイン及び実⾏計画2024年改訂版」（令和6年6⽉21⽇）XI3.「⾏政保有データの利⽤制約の緩和」
EBPMを推進するためには、⾏政保有データを⾏政機関の外部の⼤学等の研究者が学術研究のために利⽤することを円滑化し、その成果が政策⽴案に活⽤されることが不可⽋である。このため、以下の取組を実施する。
① 税務・関税データを政策の検討のために学術研究に活⽤する取組も参考としつつ、雇⽤保険、厚⽣年⾦等の⾏政の業務ごとに、取得・保有するデータを学術研究⽬的で利⽤・提供する⽅法について、年内を⽬途に結論を得る。
② ⾏政機関等の保有の個⼈情報の学術研究への利⽤・提供に関し、個⼈情報保護法における利⽤・提供に係る規律を踏まえた実務的なマニュアルや必要書類の統⼀的な様式の策定等、環境整備の具体策を検討し、年内に結論を得る。

緊急シンポジウム「個⼈情報保護法改正に向けて」

22