資料１－２

改正法に関連するガイドライン等の整備に向けた論点について（利用停止等）

令和３年２月19日

１．改正法における利用停止等の概要
 改正前は、利用停止等の請求の要件は、個人情報の不正取得があった場合等、一部の法違反の場合に限定されていた。
 改正法においては、本人の関与を強化する観点から、利用停止等の請求の要件を個人の権利又は正当な利益が害されるおそれがある場合にも拡充している。
 具体的には、本人は、個人情報取扱事業者に法違反の事実が認められない場合であっても、「当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第22条の２第１項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合」として、利用停止等を請求することができる（改正法第30条第5項） 。

1

１．改正法における利用停止等の概要
 利用停止等の請求の要件が認められる場合、個人情報取扱事業者においては、「本人の権利利益の侵害を防止するために必要な限度で」 利用停止等を行わなければならない（改正法第30条第６項） 。
 また、個人情報取扱事業者は、利用停止等を行うことが困難な場合は、「本人の権利利益を保護するため必要なこれに代わるべき措置」によって対処することも認められる（改正法第30条第６項ただし書）。

2１．改正法における利用停止等の概要（参考）
改正後の個人情報の保護に関する法律（平成15年法律第57号）（利用停止等）第30条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第16条若しくは第16条の2の規定に違反して取り扱われているとき、又は第17条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。
２～４ （略）
５ 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第22条の２第１項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
６ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
７ （略）

3

２．検討すべき主な論点（１）基本的考え方
 利用停止等は、本人からの請求により、本人の権利利益侵害に関する将来的な危険の発生を抑止しようとするものである。
 改正法において、利用停止等の請求の要件を拡大し、より広く本人の関与を認めることで、本人の権利利益の保護を強化している。
 また、事後的な利用停止等の請求の要件を拡大することで、合理的な個人が自己に関する情報を事業者に提供することを躊躇して個人情報の有用性が損なわれる事態を回避することにつながる。
 他方で、利用停止等の制度の検討に当たっては、事業者が代金を請求する場合や、法令で一定の個人情報の保存が義務付けられている場合をはじめ、事業者が正当な事業活動を行うために個人情報を取り扱っている場合があり、事業者が正当な事業活動において個人情報を必要とする事情も考慮する必要がある。

4

２．検討すべき主な論点（２）利用停止等の判断の流れ
 本人から利用停止等の請求があった場合、個人情報取扱事業者は、以下のような流れで判断を行い、対処することになる。
① 本人から利用停止等の請求があった場合、個人情報取扱事業者は、「本人の権利又は正当な利益」等、利用停止等の請求の要件を満たすかどうか判断する。
② 利用停止等の請求の要件を満たす場合には、個人情報取扱事業者は、「本人の権利利益の侵害を防止するために必要な限度で」、利用停止等を行わなければならない。
③ 利用停止等の請求の要件を満たす場合であっても、利用停止等を行うことが困難な場合は、「本人の権利利益を保護するため必要なこれに代わるべき措置」によって対処することも認められる。
 上記の各要件については、個別の事案ごとに判断する必要があるが、判断基準やその考慮要素を明確にすることで、事業者側においても本人からの請求に対応しやすくなり、個人の権利利益の保護にもつながると考えられる。
5

２．検討すべき主な論点▶ 上記の利用停止等の判断の流れを踏まえつつ、以下の論点について検討し、その基本的な考え方や具体例をガイドライン・Q&Aにおいて示すべきではないか。
① 改正法で拡大された利用停止等の請求の要件② 「本人の権利利益の侵害を防止するために必要な限度」③ 「本人の権利利益を保護するため必要なこれに代わるべき措置」（代替措置）

 なお、個別の分野ごとに様々な場面で利用停止等の可否が問題となると考えられることから、必要に応じ、委員会ガイドラインを踏まえ、特定分野ガイドラインにおいて個別の分野で問題となる事例を明確化することも考えられる。

6

２．検討すべき主な論点（参考）「個人情報保護法 いわゆる３年ごと見直し 制度改正大綱」に関する意見募集結果（抜粋）
事業者が目的外利用している、適正な取得をしていないなど法令違反をしているかどうかは消費者が確認し交渉することは到底困難です。
インターネット取引が急激に拡大している状況において、要請があれば原則利用停止等に応じることを義務化しなければ、取引の安全は確保されません。【公益社団法人 全国消費生活相談員協会】
事業者の適切な業務運営が損なわれることのないよう、利用停止等の規律のあり方を慎重にご検討いただきたい。とりわけ損害保険事業においては保険契約者、被保険者、保険金受取人その他の関係当事者が多く存在し、保険金の支払が完了するまでに相当な長期の期間を要することがあるため、一当事者からの要請で利用停止等の対応をとらざるを得ない場合、損害の調査等に必要な情報を網羅的に把握することが困難になり、円滑な保険金の支払に支障をきたす懸念がある。また、多重保険金請求者対策やモラルリスク対策等の様々な取り組みを実施し公平で安定的な制度を確保することが事業の前提であることから、このような制度運営に影響が生じないようご留意いただきたい。【一般社団法人 日本損害保険協会】【意見】
個人の権利利益の侵害がある場合を念頭にの「念頭」、保有個人データの利用停止・消去の請求、第三者提供の停止の請求に係る要件を緩和の「緩和」をガイドライン等で具体的に示して頂きたい。
【理由】
具体的且つ明確にしていただくことで、事業者が実際の対応の場面において迷うことが無くなることで、結果的に本人の権利保護に繋がります。また、明確化する際は、個別に業界団体などと話し合い、対応していただきたい。【一般財団法人 日本情報経済社会推進協会】

7

３．改正法で拡大された利用停止等の請求の要件について
 改正法においては、一部の法違反の場合に加え、以下の３つの場合についても、利用停止等の請求ができるものとしている（改正法第30条第5項）。
（１）「第22条の２第１項本文に規定する事態が生じた場合」（２）「利用する必要がなくなった場合」（３）「本人の権利又は正当な利益が害されるおそれがある場合」（１）「第22条の２第１項本文に規定する事態が生じた場合」について
 「第22条の２第１項本文に規定する事態が生じた場合」とは、委員会規則で定められる予定の委員会への報告の対象となる重大な漏えい等（要配慮個人情報、財産的被害、不正の目的、千人超）の事態が生じた場合をいう。

8

３．改正法で拡大された利用停止等の請求の要件について（２） 「利用する必要がなくなった場合」について
ア 考え方
 「利用する必要がなくなった」とは、法第19条と同様に、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいう。
 利用する必要がなくなった保有個人データについては、その有用性が失われており、個人情報取扱事業者が当該個人データを保有し続けることを許容する合理性がなく、目的外利用や漏えい等の権利侵害のおそれがあることから、利用停止等の対象とするものである。

9

３．改正法で拡大された利用停止等の請求の要件について（２）「利用する必要がなくなった場合」について
イ 具体例【利用停止等又は第三者提供の停止が認められると考えられる事例】
 ダイレクトメールを送付するために保有していた情報について、本人からの求めを受ける等して、ダイレクトメールの送付を停止した後、本人が消去を請求した場合
 キャンペーンの懸賞品送付のために保有していた当該キャンペーンの応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、応募者が利用停止等を請求した場合
 採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、採用応募者が利用停止等を請求した場合

10

３．改正法で拡大された利用停止等の請求の要件について（３）「本人の権利又は正当な利益が害されるおそれがある場合」について
ア 考え方
 「本人の権利又は正当な利益が害されるおそれがある場合」に該当するものとして利用停止等の請求を行うには、法目的に照らして保護に値する正当な利益が存在し、それが侵害されるおそれがあることが必要となる。
• 「正当な利益」には、広く個人の人格的、財産的な権利利益が含まれるが、当該利益が法目的に照らして保護に値せず不当である場合には、認められない。
• 本人は事業者に対し、正当な利益が存在し、それが侵害されるおそれ（※）があることを明らかにする必要がある。
（※）一般人の認識を基準として、客観的にみて侵害されるおそれがあることをいう。

• 「正当」かどうかは、相手方である事業者との関係で決まるものであり、事業者側に本人保護の必要性を上回る特別な事情がない限りは、事業者は請求に応じる必要がある。
 事業者は利用停止等を行わない旨の決定をしたときは、本人にその旨を通知しなければならない。事業者が上記の特別な事情があるとして利用停止等の請求に応じない場合には、本人の理解が得られるよう、その理由を説明するよう努めなければならない。
11

３．改正法で拡大された利用停止等の請求の要件について（３）「本人の権利又は正当な利益が害されるおそれがある場合」について
イ 具体例【利用停止等又は第三者提供の停止が認められると考えられる事例】
 ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
 個人情報取扱事業者が、法第23条第１項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求する場合
 個人情報取扱事業者が、退職した社員の情報を現在も自社の社員であるようにホームページ等に掲載し、これによって本人に不利益が生じていることから、本人が利用停止等を請求する場合

12

３．改正法で拡大された利用停止等の請求の要件について（３）「本人の権利又は正当な利益が害されるおそれがある場合」について
イ 具体例【利用停止等又は第三者提供の停止が認められないと考えられる事例】
 電話の加入者が、電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合
 過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する個人情報取扱事業者に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合
 過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、信用情報機関に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合

13

４． 「本人の権利利益の侵害を防止するために必要な限度」について（１）考え方 個人情報取扱事業者は、本人からの請求が、「本人の権利利益の侵害を防止するために必要な限度」を超えている場合には、必要な限度を超える部分については、請求を拒むことができる。
 例えば、利用停止等を行う保有個人データの範囲を限定した上で利用停止等の対応を行うことや、消去を求められた場合に利用停止によって対応することが考えられる。
 なお、本人の権利利益の保護の観点からは、個人情報取扱事業者は、可能な限り本人の求めに沿った形で対応していくことが望ましい。

14

４． 「本人の権利利益の侵害を防止するために必要な限度」について（２）具体例【本人からの請求に対し、「本人の権利利益の侵害を防止するために必要な限度」での対応として考えられる事例】
 本人から保有個人データの全てについて、事業者において利用する必要がなくなったとして、利用停止等が請求された場合に、一部の保有個人データについては、引き続き利用する必要があるとして、利用する必要がなくなった保有個人データに限定して対応を行う場合
 法第23条第１項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合

15

５． 代替措置について（１）考え方 利用停止等の請求の要件を満たす場合であっても、利用停止等を行うことが困難な場合は、「本人の権利利益を保護するため必要なこれに代わるべき措置」によって対処することも認められる。
 これは、利用停止等の請求に応じることにより、事業者に過大な負担が生じることを避ける観点から、代替措置を講じることによって、当該請求に応じないことを例外的に許容するもの。
 「困難な場合」については、条文上例示されている「利用停止等に多額の費用を要する場合」が代表的なものとして考えられるが、事業者が正当な事業活動において個人情報を必要とする場合についても該当し得る。
 代替措置については、事案に応じて様々考えられるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。

16

５．代替措置について（２）具体例【「本人の権利利益を保護するため必要なこれに代わるべき措置」として考えられる事例】
 既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や損害賠償をする場合
 委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
 他の法令の規定により保存が義務付けられている個人情報を直ちに消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合

17