2024 年７月 29 日
個人情報保護委員会事務局

御中
一般社団法人全国銀行協会「個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理」

に対する意見について

2024 年６月 27 日付で意見募集のあった標記の件に対する意見を別紙のとおり取りまとめましたので、何卒ご高配賜りますようお願い申しあげます。
以上

（別「個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理」に対する意見について【総括】「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」（以下「本中間整理」）では、個人情報の不正利用事案の増加や生成 AI の台頭等、昨今の社会情勢の変化、及び、諸外国の法制度を踏まえた上で、顔画像・指紋情報といった生体データやこどもの個人情報等に関する規律の在り方、本人同意を要しないデータ利活用の在り方、等についての現在の個人情報保護委員会の考え方が示されている。また、具体的な改正内容の検討項目について、個人の権利・利益の保護の厳格化とデータ利活用の拡大の両面から挙げられており、今後、様々なステークホルダーとオープンな議論を通じて、改正内容が最終化されていくものと理解している。
一般社団法人 全国銀行協会としては、(1)生体データ等要保護性の高い個人情報の取扱いや、個人情報の「不適正な利用の禁止」「適正な取得」に係る規律の明確化については、金融実務への影響に鑑み、定義、対象範囲、基準、解釈、等を明確化すること、具体例を提示すること、及び、既存の行政制度の在り方を踏まえた改正内容とすること、(2)生体データの取扱いについては、犯罪防止目的での利用の場合は例外的な取扱いを許容すること、(3)個人情報漏えいの際の報告や本人宛通知、また、金融機関の海外送金時における送金者への情報提供義務等については、個人の権利利益の保護に必要な範囲で、金融実務の実態に合わせた改正内容とすること、(4)金融機関側でシステム開発等を要する改正となる場合には、法施行まで十分な準備期間を確保すること、等を本意見書にて要望する。
今後、各項目の改正内容について、個人情報保護委員会と認識のすり合わせや協議する場を持たせて頂きたい。

【意見内容】
項番ページ

該当箇所

意見内容

１

３～４

第２の１(1)ア【考え「生体データの取扱いについて、諸外国における法制度なども参考にしつつ、特に要保護性が高いと考えられる生頁

方】

体データについて、実効性ある規律を設けることを検討する必要がある。」とあるが、生体データの定義を明確化すべきである。生体データについては、顔情報の他、静脈認証、指紋認証、虹彩認証などがあるが、データとしての要保護性の観点から差異があると考えられることから、施行規則等によって、対象となる情報を列挙（限定列挙が望ましい。
）するなど対象範囲を明確化していただきたい。

２

３～４

第２の１(1)ア【考え「生体データの取扱いについて、諸外国における法制度なども参考にしつつ、特に要保護性が高いと考えられる生
1紙）

項番

該当箇所

ページ頁

方】

意見内容
体データについて、実効性ある規律を設けることを検討する必要がある。」とあるが、生体データに関する規律を設ける場合、事業者および業務への負担を軽減する配慮も不可欠であり、その観点から下記①、②を提案したい（現時点では生体データを利用している業務はないが、今後の可能性を見据え要望させていただくもの）。
①

諸外国の制度の事例として、例えばシンガポールでは、シンガポール通貨監督庁による【銀行向け通達第 626号】にもとづき、金融機関がマネー・ローンダリングおよびテロ資金供与の防止のために（AML/CFT 対応）個人情報を利用する際には、本人同意を要しないこととされている。同様に、日本においても、AML/CFT 対応の目的で生体データを利用する場合は、本人同意を要しないこととする。

②

本人からのオプトアウトについて、本人の生命・身体の保護や、犯罪防止のために生体データを取得・利用する場合には適用されないこととする。

３

３～４

第２の１(1)ア【考え「他方、生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することも想定さ頁方】れるものである。」とあるが、店舗内外の防犯カメラ映像など、犯罪防止等の観点で取得する生体データについては、個人の関与に馴染まないことや利用目的の通知の困難性、公益的利用の観点が必要と考えられることから、例外としていただきたい。

４５頁

第２の１(1)イ【考え「不適正な利用の禁止、適正な取得の規定については、個人の権利利益の保護により資するものとするとともに、方】

事業者による予測可能性を高める観点から、適用される範囲等の具体化・類型化を図る必要がある。」とあるが、不適正な利用の事例として、販売した個人データが後に犯罪に利用されるような事態の防止や、個人データや個人関連情報の利用が、個人のプライバシー権の侵害に該当するような事例については、対象とすることになると考えられる一方で、不適正利用の基準として、個人のプライバシー権の定義付けや、具体的な利用形態などを定める必要があると考えられる。罪刑法定主義的な観点から、明確化していただきたい。

５５頁

第２の１(1)イ【考え「そのため、こうした場合において、本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人方】

情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要がある。」と記載されている点について、不適正な利用の事例として、犯罪に利用されるおそれがある場合などが挙げられることは十分理解している。
ついては、当該事例を適切に具体化・類型化し、法規制を設けるほか、オプトアウト事業者のように、一定の範囲での貴委員会（もしくは貴委員会が行政事務を委任する各省庁）での届出・資格の付与などを検討いただきたい。

６５頁

第２の１(1)イ【考え「本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然
2

項番

該当箇所

ページ

方】

意見内容
認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要がある。」とあるが、「金融分野における個人情報保護に関するガイドライン」第２条第３項の「与信事業に際して、個人情報を取得する場合においては、利用目的について本人の同意を得ることとし、契約書等における利用目的は他の契約条項等と明確に分離して記載することとする。この場合、事業者は取引上の優越的な地位を不当に利用し、与信の条件として、与信事業において取得した個人情報を当該事業以外の金融商品のダイレクトメールの発送等に利用することを利用目的として同意させる行為を行うべきではなく、本人は当該ダイレクトメールの発送等に係る利用目的を拒否することができる。」という規定と同趣旨の内容の追加を検討しているのか、教示いただきたい。

７５～６

第２の２(1)イ 「不定義や保護すべき理由についてガイドライン・Q&A に記載されているが、必ずしも明確とは言えない箇所も散見さ

頁

適正な利用の禁止」

れ、解釈や判断の余地もあるため、より明確な記載にしていただきたい。

「適正な取得」の規

例えば、６頁に記載のような「事業者が、電話番号、メールアドレス、Cookie ID など、個人に対する連絡が可能律の明確化な情報を有している場合には、個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ」（る）というように具体的な表記としていただきたい。

８８頁

第 ２ の １ (2) 【 考 え個人データ等が犯罪に用いられているという現状分析に対して、水際での防止策を検討することは非常に重要で方】

あり、闇名簿等の流通防止や利用形態などを検討することの必要性は理解するが、一方で、例えば市販されている地図や衛星データ、法人の代表者情報などを販売する事業者においては、かかる規制の対象外とすべきである。貴委員会などへの届出制度等の中で、一定の要件を満たす適切な事業者についてはオプトアウト届出事業者に課せられる義務の対象外とするなど、適切な審査基準を検討いただきたい。
また、第三者提供確認記録等についても、オプトアウト届出事業者のうち、一定の事業者に限定した上乗せ規制とするなど、適正な運営を行っている事業者に影響が生じない方法を検討いただきたい。

９10 頁

第 ２ の １ (3) 【 考 え「こどもの個人情報の取扱いに係る規律については、こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮方】するとともに、学校等における生徒の教育・学習に関するデータの有用性も考慮する必要がある。」とあるが、こどもの個人情報の定義や範囲について、企業がこどものデータであることを（生年月日などから）判断できる範囲の情報に限定していただきたい。また、当該規律は、こども本人が主体となるデータに限定していただきたい。例
えば、成人（親など）の取引データの中で、こどもに関する取引データが含まれるケースは対象外としていただきたい。

1010 頁

第 ２ の １ (3) 【 考 え「こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを方】ア検討する必要がある。」とあるが、民法上の契約締結等が必要な場合において、本人確認義務を負うようなケース
3

項番

ページ

該当箇所

意見内容はどのような場合になるかなど、こどもであることの確認方法および契約形式等について、具体的な定めを置いていただきたい。
民法においては、未成年者に意思能力が認められることを前提として、未成年者にとって不利益のない契約については法定代理人の同意なく契約が可能であり、また、法定代理人による取消権も行使ができない。普通預金契約などの消費貸借契約はその代表例と考えられている。
一方、行政法規である個人情報保護法において、民法上の契約成立の有無に関わらず、情報取得等については 16歳未満の未成年者について法定代理人の意思確認を必要とするのであれば、16 歳未満の未成年者との契約においては、常に法定代理人の同意確認が必要となるのか否か、明確な解釈を示していただきたい。

1110 頁

第 ２ の １ (3) 【 考 え「こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを方】ア検討する必要がある。」とあるが、こどもの年齢の確認方法として、どこまでの義務を事業者に課すことになるか。
例えば、デジタルツールなどの場合は、表示を行い、表明保証を得ることで足りるという理解でよいか。具体例を提示いただきたい。

1210 頁

第 ２ の １ (3) 【 考 え「こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを方】ア検討する必要がある。」とあるが、こどもが年齢を詐称（例えば未成年者が成年者であると詐称）した場合の対応はどのように考えればよいか、解釈を提示いただきたい。
民法上の契約の場合、成年者であると詐称した場合、法定代理人による取消権は行使できないこととなるが、その際に取得したこどもの情報の取扱い方法はどのように考えることになるのかについても、解釈を提示いただきたい。

1310 頁

第 ２ の １ (3) 【 考 え「本人に対する通知等が必要となる場面（利用目的の通知（法第 21 条第１項）、本人から直接書面に記載された個方】ア

人情報を取得する場合における利用目的の明示（同条第２項）、漏えい等に関する本人への通知（法第 26 条第２項）など）においても、こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある。」とあるが、こども本人に加えて法定代理人にも通知が必要となるのか、法定代理人にのみ通知することで足りるのか、法改正後の通知先を明確にしていただきたい。

1410 頁

第 ２ の １ (3) 【 考 え「こどもを本人とする保有個人データについては、他の保有個人データ以上に柔軟に事後的な利用停止を認める方】イ

ことについて検討する必要がある。
」とあるが、「柔軟に事後的な利用停止」の内容について、ガイドライン等で具体例・基準を示していただきたい。

1510 頁

第 ２ の １ (3) 【 考 え「そこで、こどもの個人データについて安全管理措置義務を強化することがあり得る。」とあるが、事業者には具方】ウ

体的に何をすることが要求されるのか、明確にしていただきたい。
4項番

ページ

該当箇所

意見内容

1611 頁

第 ２ の １ (3) 【 考 え「各事業者の自主的な取組の促進という観点からは、こどもの個人情報等の取扱いについては、こどもの最善の利方】エ

益を優先し特別な配慮を行うべき等、事業者等が留意すべき責務を定める規定を設けることも検討する必要がある。」とあるが、事業者側で同意主体（こども本人/法定代理人）を管理することが求められる等、事業者に求める管理水準を示していただきたい。

1711 頁

第 ２ の １ (3) 【 考 え「対象とするこどもの年齢については、Q&A の記載や GDPR の規定の例などを踏まえ、16 歳未満とすることについ方】オて検討を行う。」とあるが、年齢によって規制される商品・サービス（クレジットカードや、宝くじ・toto の販売など）には、成人＝「18 歳」が基準のものもある。事業者の実運用上の負担も踏まえて、対象年齢を定めていただ
きたい。

1812 頁

第 ２ の １ (4) 【 考 え「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めると方】

いう観点からは、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度の枠組みは有効な選択肢となり得る。」とあるが、損害賠償請求などの民事上の被害回復制度を行政法規の中で取り込むことには違和感がある。
民事制度は民事制度として考慮し、行政法規に取り込むことは再検討いただきたい。

1912 頁

第 ２ の １ (4) 【 考 え「法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めると方】

いう観点からは、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度の枠組みは有効な選択肢となり得る。」とあるが、適格消費者団体を行政法規の中の報告・監督などの業務に関与させることは、法規制の在り方を抜本的に変更することになる。当該適格消費者団体の性質等によって、事業者への影響度合いは計り知れず、差止や回復制度を検討するのであれば、行政である貴委員会において執行するべきと考える。また、仮に貴委員会から当該適格消費者団体に一部を委任するのであれば、行政不服審査制度や行政訴訟等の対象となることを明確にし、民事制度としてではなく、行政制度としての位置づけであることや、最終的な責任が貴委員会にあることを明確化していただきたい。
もしも、そのような手続を設けるのであれば、同じく三条委員会である公正取引委員会のように、差止を行う場合の手続を明確化し、不服がある場合の行政不服審査法の適用など、適切な行政手続制度の設計を検討いただきたい。
被害回復制度についても、行政処分の中で認定したもののみを対象とするなど、一定の要件を設けていただきた
い。

20

14 頁

第 ２ の ２ (1) ア
徴金制度

課

課徴金制度は経済活動を委縮させる可能性がある。現状の監督官庁からの業務改善命令・行政指導でも十分な効果がある。新たに課徴金制度をスモールスタートするといっても一度始まると本格稼働することに変わりはなく、導5

項番

該当箇所

ページ

意見内容
入には慎重な検討が必要である。
仮に課徴金制度を導入する場合、事業者の個人データの適法かつ有効な活用の萎縮につながるため、明確かつ透明性のある要件が必須である。導入する際は、具体的事例（過去に起きた事案の該当性および該当する場合の課徴金額を明確にするなど）による説明も併せて発信し、事業者にとって明確に判断ができる材料を提供し、安全管理措置義務に対する整備に必要な金額規模が事業者にとってわかりやすいものとしていただきたい。

2120 頁

第 ２ の ２ (3) 【 考 え①

速報の要件について方】

現状、報告範囲が広く業務負荷が大変高い。監督官庁に対する情報連携は定期報告（四半期に一度程度の報告）でも実現でき、あえて緊急性のない事案を速報として報告する意義は低い。また、監督官庁においても、授受する報告案件が多量のため、真に注力すべき案件に注力できない状況があると思われる。
ついては、以下の制度見直しを提案したい。
・「財産的被害が生じるおそれ」等の「おそれ」を削除または明確な表記（要件）に見直し、対象を限定する（「おそれ」の不確かさから解釈判断の負荷が高い）・事業者に責任のない情報漏えいについて対象外とする

・「1000 人超える」の要件の削除（1000 人以上の漏えいが生じたとしても一概に安全管理措置に問題があるとはいえない）②

速報の提出期限（おおよそ３日～５日）について３日～５日の期限は、おおよそであり必須でないことは理解しているが、遵守意識が高い金融機関においては当該期限を守るべく奔走している。遵守意識が高い組織ほど不利益を受けることがないよう現実的な期限を設定いただきたい。ついては、以下の制度見直しを提案したい。
・

おおよそ３日～５日を、現在の確報の目安である 30 日とする（少なくとも 10 日以上とする）。

・

上記が難しい場合、３日～５日を実日ではなく営業日とする（土日祝日を挟むと対応時間がほぼなくなる事態が生じさらに業務負荷が高まるため）。

2220 頁

第 ２ の ２ (3) 【 考 え「そこで、例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速方】ア

報については、一定の範囲でこれを免除し、さらに①のようなケースについては確報について一定期間ごとの取りまとめ報告を許容することも考えられる。」とあるが、「第三者の確認」の要件の明確化（具体的な認定基準や認定方法等）、「速報については、一定の範囲でこれを免除」の一定の範囲の明確化、「①のようなケース（「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件のようなケース」）」とは個人データに係る本人の数が基準となるのか等の事案の明確化をお願いしたい。
6項番

ページ

該当箇所

意見内容

23

20 頁

第 ２ の ２ (3) 【 考 え

本人への通知について、速報要件を満たす事案については本人通知が原則必要となっているが、例えば、本人通知方】の要件に該当する漏えいがあった場合であっても、カナ氏名のみの漏えい事案などのように本人の権利利益が害される可能性は極めて低いと考えられる場合には、必ずしも本人通知は不要であり、また、本人通知により却って本人の不安を必要以上に惹起する懸念も考えられる。本人通知をする趣旨は、本人の権利利益を保護するためであることを踏まえ、限定的かつ弾力的な運用を許容すべきである。

2420 頁

第 ２ の ２ (3) 【 考 え「そこで、こうした意見も踏まえつつ、委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度方】アの趣旨を損なわないようにしつつ、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである。」とあるが、個人の権利利益侵害が発生するリスク等に比して事業者側の負担が重すぎる事案もあることから、漏えい等報告、本人通知が不要となる事例を明示していただきたい。

2520 頁

第 ２ の ２ (3) 【 考 え「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件が大半を占めているがこのようなケー方】アスは、当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わらないものの、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が比較的小さい。」とあるが、フィッシング詐欺等の不正アクセスのケースは本人からの連絡で判明するケースがほとんどであり、被害が判明した時点で、漏えい等の事態について本人通知はなされている。さらに、不正アクセスによる被害については、別途、警視庁および金融庁への報告等もなされている。これらを踏まえ、このような不正アクセスのケースについては、漏えい等報告の「速報」の対象外としていただきたい。

2620 頁

第 ２ の ２ (3) 【 考 え「さらに①のようなケース（「漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件」）について方】アは確報について一定期間ごとの取りまとめ報告を許容することも考えられる。」とあるが、取りまとめ報告を行う際は、報告書式についても簡便化（一覧化等）していただきたい。

2720 頁

第 ２ の ２ (3) 【 考 え「ガイドライン（通則編）

3-5-3-2 報告義務の主体」では、「個人データの取扱いを委託している場合において方】アは、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるた
め、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。」とされている。連名で報告する場合、委託元と委託先の双方が本
中間整理の言うところの「体制・手順について認定個人情報保護団体などの第三者の確認を受け」ている場合は問題ないが、一方が「確認を受け」ていない場合に双方の「速報」が義務化されると、「確認を受け」ている方が不利益を被るのではないか。その適用関係については議論が必要と考える。

2820 頁

第 ２ の ２ (3) 【 考 え「②…（中略）…例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受ける」について、プ方】アライバシーマークを導入していることや、ISMS 適合性評価を受けていることなどを必須とされると、費用対効果
7項番ページ

該当箇所

意見内容の観点から政策的にこれらを導入していない事業者が不利益を被るおそれがある。例えば、金融機関においては、各種「監督指針」や、「金融分野における個人情報に関するガイドライン」、「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」を遵守することとされており、これらを遵守している限りにおいて、政策的にプライバシーマーク等を導入していない金融機関もある。これらの実態を踏まえた取扱いを検討いただきたい。

2920 頁

第 ２ の ２ (3) 【 考 え「委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個方】ア

人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである。」について、ある事業者において「不正アクセス」（規則第７条第３号）が発生したために、当該事業者に「個人データの取扱い」を委託していた複数の事業者が影響を受けることがある。
例えば、①従業員（本人）→②事業者（雇用主企業/委託元）→③事業者（委託先）→④事業者（再委託先）→⑤事業者（再々委託先）のように「従業員の個人データ」が数次にわたり外部委託がなされたケースにおいて、⑤事業者（再々委託先）において「不正アクセス」による情報漏えいが発生した場合、「ガイドライン（通則編）3-53-2 報告義務の主体」によれば、「委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される」とあるので、⑤→④→③→②と順次通知がなされれば、②において個人情報委員会等へ報告、本人通知を行うこととなる。これらの②、③、④がそれぞれ１社であれば、相互の意思疎通が比較的取りやすいと思われるが、②、③、④に該当する事業者が複数存在し、更に事業所管大臣が異なるケース
においては、同一事象について、様々な経路を通じて、事業所管大臣、貴委員会へ報告がなされることになり、情報の過不足等が生じて混乱が発生する可能性がある。
このようなケースにおいては、取りまとめを行う事業者に権限を集中させ、全体的統一的に報告がなされるのが合理的である。
また、①の従業員（本人）についても、必ずしも②事業者（雇用主企業/委託元）が適切な説明をできるとは限らないので、この場合についても上記の取りまとめを行う事業者において本人通知を行うことで、他の事業者の通知義務を免除できるとすることが合理的である。これを認めなければ②、③、④、⑤のそれぞれの事業者から本人通知がなされることも想定され、本人の不安を余計に助長する可能性がある。

3020 頁

第 ２ の ２ (3) 【 考 え「個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべ方】アき」とあるが、現状においては、漏えいしたデータのみによっては第三者が特定の個人を識別することができない場合であっても、報告および本人通知の対象とされている（「個人情報の保護に関する法律についてのガイドライン」に関する Q&A「Q6-10」参照）。この点については、漏えい情報にかかる本人の権利利益の侵害の程度に比して、8

項番ページ

該当箇所

意見内容
個人情報取扱事業者に対して過度な負担をもたらしかねないものであり、また通知を受けた本人に対して無用な不安を与えかねないおそれがあることから、通知・報告が不要となる一定の基準を設定すべきである。
さらに、複数事業者による数次の委託・再委託が行われている場合にあって、情報漏えいが発生した事業者よりも上流の事業者の有する情報も加味したうえで、容易照合性を判断するのであれば、漏えいした情報が個人データに該当する範囲が、飛躍的に増大する可能性がある。このような場合については、あくまで情報漏えいの発生した当該事業者のみを基準として、報告・通知事態への該否の判断を行えば足りることを明確化するべきである。

3121 頁

第 ２ の ２ (3) 【 考 え「現行法においては、事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は方】イ

存在しないが、個人データが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する必要がある。」とあるが、「違法な第三者提供」と「漏えい等」との違いが分かりにくく、報告が必要となった場合に混乱が生じるため、対象となる事案の明確化、当局報告する場合の報告内容の明確化をお願いしたい。

3223 頁

第 ２ の ３ (1) 【 考 え「これらの技術やサービスについては、社会的なニーズの高まりや、公益性の程度を踏まえて、例外規定を設ける

方】ア

ための検討が必要である。この際、「いかなる技術・サービスに高い公益性が認められるか」について、極めて多様な価値判断を踏まえた上で高度な意思決定が必要になる。」とあるが、どういった場合に例外が認められるか、規則等において解釈を明確化していただきたい。
また、明確化される場合には、民間事業者側での対応が必要となるため、施行までに一定の期間を確保していただ
きたい。

3324 頁

第 ２ の ３ (2) 【 考 え「個人データの取扱いに関する責任者に関しては、現行の通則ガイドライン等で定める「組織体制の整備」を超え方】ア

た措置の必要性について検討を進めるべきである。資格要件の要否、設置を求める対象事業者の範囲等によりその効果が変わってくると考えられるところ、各企業の現状も踏まえ、現実的な方向性を検討する必要がある。」とあるが、具体的に求められる資格要件、設置対象かどうかの基準、設置必須とした場合の関連資料を整備いただきたい。

3426 頁

第２の４

その他「プライバシー強化技術（「PETs」：Privacy Enhancing Technologies）の位置づけの整理」とあるが、明確な位置づけがないことで、ユースケースごとの弁護士確認や貴委員会への照会が必要となり、活用のハードルとなっているのではないか。安心・安全なデータ利活用の推進に向け、具体的な基準の策定や法的な位置づけ（個人情報保護法の義務の適用除外となる場合の整理）を明確化していただきたい。

3526 頁

第２の４

その他

金融機関の海外送金時における送金者への情報提供義務の在り方について、海外送金という契約の履行のために実施される業務であることから、以下の措置を検討いただきたい。
9

項番

該当箇所

ページ

意見内容
①

経由銀行の有無や経由銀行については銀行側も容易には把握できないため、海外送金手続の際に行っている情報提供（全銀協作成の案内チラシの手交（以下「チラシの手交」という））自体を省略できる運用としていただきたい。
（ただし、お客さまに質問された際、全銀協および貴委員会の HP を案内できる体制を銀行側で整備）②

上記①が難しい場合、海外送金手続時にチラシの手交を原則としつつ、例外的に繰り返し取引を行っているなどチラシの手交済であることが明白なお客様に対しては省略できる扱いとしていただきたい。

36―

全体

法改正の内容によっては、個人情報取扱事業者において相応のシステム開発が必要になる可能性がある（例えば、生体データやこどもの個人情報に対する利用停止権の厳格化への対応等）。改正内容の決定にあたっては、個人情報取扱事業者が法施行までにシステム対応（システム開発やその準備）に要する時間を十分確保できるよう配慮いただきたい。
以10上