日時：令和６年７月 24 日（水）10：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、梶田委員、髙村委員、小笠原委員、佐脇事務局長、西中事務局次長、小川審議官、大槻審議官、佐々木総務課長、山口参事官、片岡参事官、澤田参事官○佐々木総務課長

それでは、皆様おそろいでございますので、これから会議を始めさせていただきたいと思います。
本日は、全委員が御出席でございます。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長

おはようございます。

それでは、ただいまから第296回個人情報保護委員会を開会いたします。
本日の議題は三つです。
議題１「個人情報保護法のいわゆる３年ごと見直しに関する検討会の設置について」、事務局から説明をお願いします。
○芦田企画官

それでは、資料１に沿って御説明させていただきます。

まず 、 「 １ ．目 的 」 で ござ い ま す 。当 委 員 会 にお い て は 、令 和 ２ 年 改正 法 の 附 則第 10条 の規 定 を 踏 まえ 、 昨 年 11月 か ら い わゆ る ３ 年 ごと 見 直 し に関 す る 検 討を 開 始 し 、本 年６月に、現時点における委員会の考え方をまとめた「個人情報保護法

いわゆる３年ごと見直しに係る検討の中間整理」を公表しました。中間整理においては、その内容を踏まえ、事業者、個人それぞれに与える影響が大きく、今後とも一層の意見集約作業が必要だと考えられる論点について、様々なステークホルダーと議論する場を設けることとしました。
これを踏まえて本検討会を設置することとするものです。
「２．検討事項」ですが、中間整理において取り扱うこととしている「課徴金制度」、「団体による差止請求制度及び被害回復制度」及び「その他」として「本検討会における議論の状況等を踏まえ必要と考えられる事項」としています。
「３．構成員等」については、別紙の名簿に記載の構成員、関係団体としています。
「４．スケジュール（予定）」ですが、本日の委員会でお認めいただきましたら、所要の 準備 を 進 め 、来 週 ７ 月 31日 に 第 １ 回会 合 を 開 催し 、 年 内 に取 り ま と めを 行 い た いと 考えております。
説明は以上となります。よろしくお願いいたします。
○藤原委員長ありがとうございました。

ただいまの説明について御質問、御意見をお願いいたします。
小川委員、どうぞ。
○小川委員

御説明ありがとうございました。
1

本検討会の設置について一言だけ申し上げたいと思います。資料 １の別紙に構成員等が記載されております。構成員と関係団体に分かれておりますけれども、構成員及び関係団体は対等に議論していただくとともに、それぞれの立場もあると思いますけれども、個人情報保護法第１条の目的を念頭にして検討を進めていただければと思います。
すなわち、言うまでもないのですけれども、個人の権利利益の保護と個人情報の適正かつ効果的な活用のバランスを配慮して、我が国にとって活力ある経済社会と豊かな国民生活を実現することを基本的な考え方として、検討事項の具体的な方向性が得られるように議論を深めていただきたいと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいでしょうか。
それでは、特に修正の御意見はないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
ありがとうございました。
それでは、次の議題に移ります。
議題２「厚生労働省（公的年金業務等に関する事務）の全項目評価書（年金振込口座情報の提供（既裁定者）に伴う評価の再実施）について」、事務局から説明をお願いいたします。
○事務局

厚生労働省が提出した全項目評価書については、 7月10日に開催されました第294回個人情報保護委員会において、厚生労働省及び日本年金機構の職員に出席いただき、概要説明が行われたところです。本日は、当該評価書につきまして、指針に定める審査の観点等に基づいた評価書の指針への適合性・妥当性について、事務局の精査結果の主な内容を説明いたします。その上で評価書を審査いただき、承認の可否をお伺いいたします。
それでは、資料２－１に基づき、事務局による精査結果を説明させていただきます。
なお、厚生労働省から提出された全項目評価書についても、資料２－２として配付しておりますが、当資料については、第 294回個人情報保護委員会の資料から内容に変更がないため、説明は省略させていただきます。
まず、１ページから３ページまでの「全体的な事項」では、評価実施手続を適切に行っているか、事務の流れやシステムを具体的に記載しているか、といった観点から審査をし てお り ま す 。事 務 局 に おい て 確 認 を行 っ た 結 果、 １ ペ ー ジの 「 審 査 の観 点 （ 指 針第 102（２））」の（６）では、「再実施の理由となる新たに実施する事務は、提供口座情報照会システムをガバメントクラウド上に新設し、オプトアウトの手法により年金受給権者の同意を得た上で、既裁定者に係る年金振込先口座の情報を内閣総理大臣（デジタル庁）に提供するものであるが、当該重要な変更についても求められる事項が具体的に記載されている」ため「問題は認められない」としており、そのほかにつきましても求められる事項が具体的に記載されており、問題となる点は認められませんでした。
次 に 、４ ペ ー ジ か ら 10 ペ ー ジま で の 「 特 定個 人 情 報フ ァ イ ル 」 では 、 入 手・ 使 用 、提供、保管・消去等、各取扱いの場面やそのリスク対策について、適切に記載しているか、といった観点から審査をしております。事務局において確認を行った結果、求められる事項が具体的に記載されており、いずれも問題となる点は認められませんでした。
次 に 、「 評 価 実 施 機関 に 特 有の 問 題 に 対 する リ ス ク対 策 」 の 審 査に つ き まし て 、 11ページを御覧ください。
「 主 な考 慮 事 項 （ 細目 ） 」 の 74 番 で は 、 「預 貯 金 者の 同 意 の 上 で、 デ ジ タル 庁 に 公的給付支給等口座登録簿への登録に必要となる情報として、年金給付事務において取得する年金振込先口座等を提供するが、その際に不正な提供・移転が行われるリスク対策について具体的に記載されているか。記載された対策は特定個人情報保護評価の目的に照らし、妥当なものか」といった観点で審査し、「年金振込先口座に係る情報の提供について、同意を得られなかった者については、日本年金機構から内閣総理大臣（デジタル庁）へ提供を行わないことから、誤って情報が提供されないよう、不同意申出の処理を担う委託業者には作業手順書に基づく作業を徹底させること」、「委託業者の処理結果を日本年金機構においても確認し、提供口座情報照会システムが保有する情報の真正性を確保すること」、「宛所不明により意向確認書が返却された場合においても、郵便局からの送達情報と返却された郵便物の突合を行うこと」、「電子記録媒体に固有の番号（バーコード）を貼付して取得から廃棄に至るまでの状況を電子媒体管理ツールで管理し、その管理状況を定期的に確認する運用を機構の統一的ルールとして行っていること」等が記載されており、「問題は認められない」としております。
続 き まし て 、 12 ペ ージ 上 段 の「 総 評 」 を 御覧 く だ さい 。 「 総 評 」と し て ３点 を 記 載しております。
（１）として、公的年金業務等に関する事務においては、特定個人情報ファイルを取り扱うことについて、事務の内容や流れが具体的に記載されており、特段の問題は認められないものと考えられること、（２）として、特定個人情報ファイルの取扱いについてのリスク及びリスク対策が具体的に記載されており、特段の問題は認められないものと考えられること、（３）オプトアウトの手法により年金受給権者の同意を得た上で、既裁定者に係る年金振込口座情報をデジタル庁に提供する際のリスク対策等、本評価対象事務において懸念されるリスク及びリスク対策についても、具体的に記載されており、特段の問題は認められないものと考えられることを記載しております。
3

最後に、下段の「個人情報保護委員会による審査記載事項」を御覧ください。審査記載事項の案としまして６点を記載しております。
（１）として、リスク及びリスク対策が具体的に記載されており、特段の問題は認められないと考えられるが、評価書に記載されているとおり確実に実行する必要があること、（２）として、特定個人情報のインターネットへの流出を防止する対策について、特定個
人情報はインターネットに接続する端末や情報系システムの共有フォルダには保管しないこと等について、評価書に記載されているとおり確実に実行する必要があること、（３）として、組織的及び人的安全管理措置について、厚生労働省及び日本年金機構本部が各拠点の実態を十分に把握した上で、実務に即して適切に運用・見直しを行い、今後、リスクを相当程度変動させ得る事実関係の変更が生じ、当該変更に応じたリスク対策を講ずる際などには、特定個人情報保護評価を適切に実施する体制を有効に機能させることが重要であること、（４）として、情報漏えい等に対するリスク対策については、特に公的給付支給等口座登録簿への登録に必要となるデジタル庁との間における電子記録媒体等の取扱いのリスク対策等について、特定個人情報保護評価書に記載されているとおり、確実に実行すること。また、不同意申出の処理を担う委託業者に対し、作業手順書に 基づく作業を徹底させることに加え、日本年金機構において処理結果の確認を行い、提供口座情報照会システムが保有する情報の真正性を確保し、同意を得られなかった国民の特定個人情報が誤って内閣総理大臣（デジタル庁）に提供されることがないようにすることが必要であること、（５）として、既裁定者に係る年金振込先口座の情報をデジタル庁に提供することについての同意・不同意の確認は、意向確認書を送付する方法によって行われることとなるが、送付対象者に高齢の国民も多いことも踏まえ、意向確認書の内容が送付対象者に正しく伝わるようにわかりやすい記載とすること、不同意の意思表示を容易に行えることが重要であること、（６）として、上記について、不断の見直し・検討を行うことに加え、事務フローの変更や新たなリスク対策が生ずることとなった場合は、必要に応じて評価の再実施を行うことが重要であることを記載しております。
精査結果の概要は以上です。なお、本日の委員会で御承認をいただければ、厚生労働省に対し、承認された旨及び審査記載事項を評価書に記載すべき旨を通知いたします。また、本議題の資料、議事概要及び議事録につきましては、準備が整い次第、全て委員会ホームページで公表したいと考えております。
事務局からの説明は以上です。
○藤原委員長はい、ありがとうございました。

ただいまの説明について御質問、御意見をお願いいたします。
はい、清水委員。
○清水委員

特段の問題なしとする総評案、それから審査記載事項の案については異論ございません。実行していただきたいポイントについて、再度述べさせていただきたいと思います。
4

今般加わりました、既裁定者の年金振込先口座情報のデジタル庁への提供におきましては、日本年金機構とデジタル庁間の特定個人情報の授受は電子記録媒体によって、また、「提供口座情報照会システム」への登録は委託契約によって行われるとのことです。７月10 日の 委 員 会 では 、 こ れ ら二 つ の プ ロセ ス の 管 理・ 監 督 に つい て 、 厚 生労 働 省 及 び日 本
年金機構の職員から詳細に御説明をいただきました。また、これらは評価書にリスク対策として記載されています。
厚生労働省及び日本年金機構におかれましては、既存及び新規のリスク対策を確実に実行するとともに、これらの対策が有効に機能しているかどうかを 、適切にモニタリングしていただきたいと思います。
以上です。
○藤原委員長はい、ありがとうございました。

ほかにはいかがでしょうか。
髙村委員、お願いいたします。
○髙村委員

意向確認書の記載内容等について、意見を申し上げます。

７ 月10 日 の 委 員 会 では 、 意 向確 認 書 の 内 容が 国 民 に正 し く 伝 わ るよ う に する た め の工夫や方策について質問をしました。また、口座情報の提供に不同意の場合における意思表示を適切かつ容易に行うことができるようにするための工夫や方策について質問をしました。
その際の回答として、意向確認書に加え、手続方法等を記載したリーフレットを送付することや、日本年金機構側が不同意の申出書にあらかじめ必要な事項を印字することにより、国民に事業の趣旨・目的を正しく伝え、極力負担をかけず不同意の意思表示等を行えること等を御説明いただきました。
繰り返しになりますけれども、今般のデジタル庁に対する既裁定者の口座情報の提供
に際しては、意向確認書の送付対象者に対して制度の趣旨・目的をわかりやすい形で正しく伝え、また、不同意の意思表示を適切かつ少ない負担で行うことができることが重要であると考えます。日本年金機構においては、意向確認書やリーフレットの記載内容等について引き続き精査いただき、対象者に制度の趣旨・目的を正しく伝え、不同意の意思表示を容易に行えるよう、対応していただきたいと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいでしょうか。
それでは、私からも最後に一言だけ申し上げたいと思います。
既裁定者の年金振込先口座情報をデジタル庁に提供することに関する本人同意は、オプトアウト方式により、意向確認書を送付する方法で実施するということになりますが、不同意申出が適切に処理されなかった場合は、本人の意図しない形で口座情報がデジタル庁に提供されてしまうこととなります。
5髙 村 委員 か ら の 御 発言 に も 関連 し ま す が 、７ 月 10 日の 委 員 会 に おい て 、 年金 受 給 者に極力負担がかからない形で不同意の意思表示をしていただけるよう対応していく旨の御説明をいただいたわけですけれども、本人の意思表示を容易とすることに併せ、不同意申出を正しく処理し、本人の意思に反して本人の口座情報がデジタル庁に提供されないよう、適切に対応することが重要であると思いますので、繰り返し申し上げておきます。
それでは、特に修正の御意見はないようですので、原案のとおり評価書を承認したいと思いますが、よろしいでしょうか。
御異議がないようですので、そのように決定いたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
ありがとうございました。
それでは、次の議題に移りたいと思います。
次の議題は、監督関係者以外の方は御退席願います。
（監督関係者以外退席）○藤 原 委員 長

議 題 ３ 「LINEヤ フ ー株 式 会社 への 勧 告等 に 対す る 改 善状 況 の概 要 及び 同社への対応方針について」、事務局から説明をお願いします。
（内容について一部非公表）○事務局よろしくお願いいたします。

本件 は３ 月28日 に行 った LINEヤ フー株 式会 社への 勧告 に対す る改 善状況 につ きまし て、
６月 28 日に LINE ヤフ ー 株式会 社 よ り２ 回目 の 報告を 受け まし たの で 、内容 につ きま して報告をさせていただきます。資料は前回の表を更新した箇所を赤字かつ下線を引いて記載をしております。
まず、LINEヤフー株式会社で定めている改善策として、NAVERグループやNAVER Cloud社とのネットワーク接続を遮断する目的で、NAVERグループ及びNAVER Cloud社と認証基盤や シ ステ ム を分 離 す ると い うも の があ り ま した 。 前回 の 報告 で は 、 LINEヤ フ ー株 式会
社本体は令和７年３月末、国内子会社は令和８年３月末、海外子会社については令和８年12 月末 の 完 了 を見 込 ん で おり ま し た が、 最 も 時 間を 要 す る とし て お り まし た 海 外 子会 社のシステム分離につきまして、システムの移行方法が明確化されたことで国内子会社と並行して作業を進めていくことが可能となったため、令和８年３月末への前倒しが可能という報告を受けております。
続いて、NAVERグループ及びNAVER Cloud社に委託している業務につきまして、前回の報告では縮小・終了の計画を令和６年６月までに策定するという報告を受けておりました。
LINE ヤフ ー 株式 会 社は 既に 委 託業 務 ごと に 終 了・ 縮 小す る 目標 時 期 を定 め てお り 、順 次
6対応を進めていくとしております。最終的に全ての委託業務に関する対応が終了するのが令和７年12月の予定です。
続いて、LINEヤフー株式会社からの追加の改善策として、本件ではNAVER Cloud社との関係に応じたリスクに対する問題意識の一部は、担当部署において認識できていたものの、それが部署内にとどまっており、組織全体の問題と捉えることができていなかったことが課題であるとして、従業者が普段感じているリスクを可視化、評価するために、全従業者に 対す る ア ン ケー ト を 実 施す る こ と とし て お り ます 。 こ れ は令 和 ６ 年 ７月 及 び 11 月に 実施し、その結果を踏まえて順次改善の取組を実施するということです。
２ページに移ります。令和３年の当委員会からの行政指導後における、重要システムへの多 要 素認 証 の導 入 に おい て 、 LINEヤ フ ー株 式会 社 では 、 重要 シ ス テム の 具体 的 な定 義を確立していなかったことや、導入の判断基準やプロセスが明確になっていなかった点につきまして、前回の報告では、重要システムを定義し、リスクを把握、管理する仕組みを構築する予定としておりましたが、令和６年６月にこれらの仕組みの構築を完了し、７月１日付けでセキュリティ規程として明文化しました。これらを踏まえて、今後は①重要システムの特定及びそれらに対する安全管理措置の遵守状況の確認、②安全管理措置未遵守箇所のリスクアセスメント、③時流等に応じた安全管理措置の見直し計画の策定を行うとして おり 、 ①は 令和 ６ 年 10 月、 ② ③は 同年 12 月末 まで に 完了 する と いう 報告 を 受け ております。
３ページ目に移ります。技術的安全管理措置について、進めているシステム分離や委託業務の終了に伴い、不必要となった通信は順次遮断し、通信が残っているものについては遮断が完了するまでファイアーウォール設定のメンテナンスを継続していくこととしております。
また、最後に本資料に新たに追加したものとして、当委員会からの勧告事項に対するもので は ない の です が 、LINE ヤ フー 株 式会 社 と して サ イバ ー セキ ュ リ ティ 対 策及 び セキ ュ
リティ監視に係る効果検証と改善、強化を行うとしており、具体的にはペネトレーションテストの実施や振る舞い検知等の有効性の分析、検証を行い、それらの結果を踏まえ、今年８月末までに是正計画の策定を行うとしております。
今回、LINEヤフー株式会社から報告を受けた改善状況については、特にNAVERグループ及びNAVER Cloud社とのシステム分離の前倒しや委託業務の終了・縮小計画の策定について進展が見られました。その他についても対応が進んでいるものと評価しております。
今後 は 、 令 和６ 年 ９ 月 30日 を 期 限 とし て 次 回 の報 告 を 求 めて お り 、 引き 続 き 状 況を 確認してまいりたいと考えております。
なお、本件については資料３を公表資料として公表したいと考えます。
事務局からは以上です。
○藤原委員長ありがとうございました。

ただいまの説明について御質問、御意見をお願いいたします。
7

どうぞ、清水委員。
○清水委員

ありがとうございます。

全般的に進捗が予定より早くなっているようで非常に喜ばしいことと思います。
ちょっと確認したかったのが、１ページ目の一番下の未了となっております全従業者向
け アン ケ ー ト 調査 に つ い て、 令 和 ６ 年７ 月 、 11 月 に実 施 予 定 とい う こ と で担 当 部 署 内でしか持っていなかった問題意識を共有するように吸い上げる仕組みだと思うのですが、これは継続的に行うべきもの、つまりNAVER Cloud社の件に限らず他の問題点もそういうところから吸い上げる必要があると思うのです。
それと次のページになりますか、そのように上がってきた情報をセキュリティガバナン
ス委員会であるとか、グループ CISO Boardといった上位の会議体があると思うのですけ
れども、どのような形で上がってきた情報を吸い上げて改善につなげていくのかというのがこれだけですと分かりにくいように思うのですが、こういうことも含めて、次回、聞いていただくときにまた改善状況を教えていただければと思います。よろしくお願いします。
○事務局

承知いたしました。

○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、特に修正の御意見はないようですので、原案のとおり決定したいと思いますが、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題
は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を、準備が整い次第、当委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上です。
それでは、本日の会議は閉会といたします。

8