日時：令和５年 12 月 20 日（水）14：00～

場

所：個人情報保護委員会

委員会室

出席者：丹野委員長、小川委員、中村委員、大島委員、 浅井委員、加藤委員、藤原委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官○森川総務課長

それでは、定刻になりましたので会議を始めます。

本日は全員が御出席です。
以後の委員会会議の進行につきましては、丹野委員長にお願いいたします。
○丹野委員長それでは、ただいまから、第265回個人情報保護委員会を開会いたします。

本日の議題は七つございます。
議題１「いわゆる３年ごと見直し（ヒアリング）」について、前回に引き続き、本日は在日米国商工会議所（ACCJ）へのヒアリングを実施したいと思います。
個人情報保護委員会議事運営規程第９条の規定に基づき、会議に出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）
それでは、出席を認めます。
（在日米国商工会議所入室）○丹野委員長

よろしいですか。

本日は、ACCJの井田様及び白壁様に御出席いただいております。
それでは、お二方、早速ですが御説明をお願いいたします。
○ACCJ

本日は貴重な機会をいただきまして、ありがとうございます。

まず、ACCJの概要についてご説明いたします。ACCJは、1948年に日本に設立され、今年で設立75年となります。設立当初の会員は40社ぐらいの米国企業であったのですが、今は600社を超えまして、各社の会員がそれぞれ会員として登録する仕組みですが、会員も3,000名を超えるといった規模になっております。このようにACCJは、いろいろな国でいろ
いろな業界、業種で活動している企業が集まっているという組織になります。
では、今日のヒアリングの内容に入らせていただきたいと思います。
お手元の資料に基づいてお話しいたします。
ACCJは、ユーザーのプライバシーとセキュリティを、規制ガイダンスの中心に据えること、そして、その規制ガイダンスは、グローバルのデータ保護やプライバシーの慣行に合致したものであるという、そうしたアプローチが重要であろうと考えています。
世の中では、いろいろな悪意のある者が、サイバー攻撃、あるいは個人情報の悪用といったこともしております。こういった背景を踏まえて、適切な個人情報保護、時代に見合った個人情報保護を行っていくといったことは極めて大事であると考えております。
1

その際に、個人情報保護委員会において、今後、個人情報保護法を見直すに当たっては、
リスクベースのアプローチを採用していただき、この個人情報保護法がグローバルスタン
ダードとの相互運用性（インターオペラビリティ）を確保できるようにしていただくことを強く望んでおります。
また、この相互運用性の必要性を念頭に置きながら検討をお願いしたいところでありますけれども、見直しに当たっては、必ずしも権限を強化したり、新しい法律を導入したりするアプローチだけではなかろうとも考えております。産業界が既存の個人情報保護法をより適切に運用・実施していくといったことでいろいろ対応していけることもあるのではなかろうかと思っております。
また、その意味で、個人情報保護委員会が実用的なユースケースに基づいて、明確で実行可能かつ、測定可能なガイダンスといったものを事業者に提供していただくことによって、既存の法律、制度であっても、より適切な対応を促すといったことができるのであろうと考えております。
また、ガイダンスを提供していただくに当たっては、背景となる 文書のほうでも書かれていらっしゃいますとおり、データの流通等の活用による便益、社会・個人が受け取る便益に関しても、しっかりと理解を得るための説明をしていただき、また、それと同時にプライバシーを保護していく方策を積極的にお話していただくことも望んでいるところでございます。
また、執行に関しましても、罰金や罰則といった話があるのは承知しておりますけれど
も、それに頼るだけではなく、今申し上げたような、どのようなサポート や、どのようなアプローチをしていくことによって、より効果的な実施を導けるのかといった、規制の 評
価のようなものを行っていただければ有難いと考えております。
日本政府はDFFTといったクロスボーダーの取組について、国際的にリーダーシップをとってお進めいただいているところではございますけれども、個人情報保護は、まさにデー
タが国境を超えグローバルな影響を発生させ得るものでありますので、そこの影響を考慮
いただいて、先ほど申し上げましたとおり、相互運用性を確保し、また、実際の検討や実施の在り方に関しては、デジタルの世界の最近のはやりワードのようになっていますけれ
ども、マルチステークホルダーベースでの議論の場や定期的な対話といった場を活用していただくこともお願いしたいと考えております。
資料の後段のほうになりますが、11月15日の委員会の資料でも出ておりましたが、不正アクセスといったセキュリティ絡みの事案も年々増えているということでございますので、
サイバーセキュリティ対策といったものをしっかり進めていくことが必要であろうと考えております。その際、今の多くのグローバル企業は、様々な対策を既にいろいろ講じておりますので、どのような対策を講じているのか、どういったベストプラクティスがあるのかといったことを、弊所のほうも情報提供などをさせていただきますが、把握していただ
き、そして、既にそのような投資をしている、あるいは取組を行 っているところと齟齬の2

生じないような措置を講じていただくことが大事であろうかと思っております。
その意味で、資料の真ん中辺りに書いておりますけれども、広く認知されている サイバ
ーセキュリティスタンダードの活用をお認めいただくといったことを提言している 次第になります。
また、こうしたガイダンスを出していただくことによって、日本企業だけではなくてグ
ローバル企業に対しても、日本で個人データを扱う過程で信頼を得るためにサイバーセキ
ュリティへの投資をさらに増やしていくといったことへの、ポジティブなインセンティブが出てくることも期待されます。
また、この既存のスタンダードを活用してサイバーセキュリティを高度化するといったことは、今、経済安全保障などの話も出ているとおり、国家安全保障を強化する必要性にも合致していると考えております。
今日はまだ本当に始まりのほうの議論と承知しており、このようなハイレベルなアプロ
ーチ、方針に関するようなお話をさせていただきましたが、冒頭申し上げましたように、
弊所会員の多くの会社が様々な国でいろいろな業界で活動しておりますので、今後、各論の話や具体的な話になったときには、また、弊所で必要な情報を集めるなり、具体的な論点を整理した上で、御説明し、議論させていただければと思っております。
○丹野委員長

御説明をありがとうございました。

ただいまのACCJの御説明につきまして、御質問等をお願いいたします。
髙村委員、お願いします。
○髙村委員

貴重な御意見をありがとうございました。

日本文のほうで幾つか質問させていただきます。
まず、１段落目のところに「リスクベースのアプローチを維持し」という記述がありますけれども、日本の個人情報保護法も、個人情報と個人データを区別したり、あるいは 要
配慮個人情報とそれ以外の個人情報を区別したりしていて、これは、ある意味リスクベー
スのアプローチだと思うのですけれども、現在の日本の法律の対応以外に、こういうリス
クベースのアプローチがあるのではないかという何か具体的な例があれば教えていただけますか。
○丹野委員長○ACCJ

お願いいたします。

ありがとうございます。

必ずしも海外の例示ではないのですが、今回、この意見書をまとめるに当たって所内でいろいろ議論しておりました折に、特にリスクベースのアプローチということが出てきました。いろいろな観点があるのですが、一つには、prescriptive、規範的な、詳細を定めるようなルールになると、どんどん詳細が細かくなっていくので、やはり原理原則でリスクベースのアプローチを取れるような法規制、規制枠組みであってほしいというような意
見が強くあったというのがまず背景にあります。
あと、運用面については、例えば、ヘルスケア業界のメンバーも弊所に在籍しています3

が、医療関係の個人情報は非常にセンシティブであるため取扱いに特に注意が必要である
ところ、やはり現場の判断として、かなり保守的になる傾向があります。そういった、保守的になったり、その中で解釈が定まらなかったりして、結局、リスクベースというよりは、とにかく厳しい取扱いになることが多いので、リスクベースのアプローチ で良いというようなことも含めて発信いただけると有難いのではないかという、意見が強くございました。具体的な、こういう枠組みがいいのではないかという観点ではなくて恐縮ですが 、御意見を紹介させていただきました。
あと、１点、個人情報の情報区分に関してなのですけれども、おっしゃるように、それ自体がリスクベースのアプローチだということは認識していますが、一方で、非常に複雑で難しいという意見も当然あります。この個人情報保護法の枠組みの中での区分に加えて、
例えば電気通信事業法でも特定利用者情報といった情報があり、さらに、弊所にとってのチャレンジという意味では、それをさらに英語で説明しなければいけないような場面が多くあるものですから、英語で説明したときに成立する説明ができるのか、つまり、日本語を介する者だけではなくて、英語話者も含めて、概念としてクリアなものなのかといったところを含めて、かなり区分の細分化というところにはチャレンジがあるという意見 も実は多くございます。
以上、いくつかの意見を御紹介させていただきました。
○髙村委員

同じく資料１－２の、１ページ目の２段落目について、三つほど質問したいのですけれども、一つ目は、２段落目の３行目に「実用的なユースケースに基づく」という表現があるのですけれども、この実用的なユースケースとして何か具体例があれば教えていただきたいです。
二つ目は、４行目から５行目にかけて「企業は個人情報保護に関するユーザー組織間の一貫性の欠如という課題に直面」という記述があるのですけれども、この課題として具体的にどういうものがあるのかが分かれば例を挙げていただきたい。
それから、三つ目は、２段落目の12行目から13行目のところに「グローバルな規制との相互運用性」という言葉があるのですけれども、このグローバルな規制というのが、例え
ばEUやアメリカなどの特定の制度を想定されているのか、どういう規制を想定されているのか、この辺りを教えていただければと思います。
３点、よろしくお願いいたします。
○ACCJ

ありがとうございます。

一つ目の「実用的なユースケースに基づく」の部分なのですが、この瞬間、このユースケースだというところが、今、手元にございませんが、所内で意見を集約することはできますので、追って御共有させていただければと思います。
二つ目の「企業は個人情報保護に関するユーザー組織間の一貫性の欠如という課題に直面」という部分については、特に先ほど申し上げたことと重複してしまうのですが、やはり制度が複雑であればあるほど判断に迷って、結局、正しい判断が一つの会社内でもでき
4

なければ、あるいは複数の会社含めて対応がなされている場合、あるいはパートナー企業
等も含めて、やはり個人情報保護の概念の解釈にばらつきがあって、結果 、運用に違いが生じてしまったようなことは現場で起きていることではございます。そういったことも指して判断の一貫性の欠如ということになります。ですので、分かりやすい制度というのは非常に有難いというところでございます。
三つ目の「グローバルな規制との相互運用性」に関して、特定のやり方を想定している
わけでは必ずしもございません。他方で、当然、GDPRを含めて海外の法規制との相互運用性という観点で申しますと、日英の間では相互運用の仕組みがあるということですが、日米の間では存在しないため、GDPR、CBPRなどの国際枠組みを弊所のメンバー含めて活用しております。アメリカ側に認証の仕組みがあるわけではないので、そんなに簡単なことではないかもしれませんが、例えば日米の間で何らかあるというのは、非常にACCJのメンバーの会員企業にとっては大変心強いことだという意見が 多くございます。
○髙村委員○丹野委員長ありがとうございました。
よろしいですか。

では、ほかにどなたか。
大島委員、お願いします。
○大島委員

御意見、御紹介、ありがとうございました。

今の髙村委員の御質問の中にちょっと関係してくるのかもしれませんけれども、一つ目の段落の最終行ぐらいに「グローバルスタンダードとの相互運用性」という表現を使われていらっしゃいます。各国、まさにおっしゃるとおり様々な法制度が存在していることを踏まえますと、相互運用性のある国際環境の構築を目指すことが重要だと私ども も考えております。日本・EU間あるいは日本・イギリスの間には、お互いの個人情報保護制度が同等の水準にあると認める相互認証の枠組みが存在しています。今のお話の中にも認証という言葉が出てきましたが、これに基づく円滑な個人情報の越境移転が可能になっていることと理解しています。
一方では、アメリカとの間では包括的な個人情報保護に関する連邦法が存在していない
ようで、現在は日米間には相互認証の枠組みが存在していません。このような状況についてどうお考えでしょうか。お考えがあれば教えていただきたいと思います。
それから、二つ目ですが、アメリカとEUの間には、EUから米国への個人データの越境移転の枠組みに関し、今年の夏に「EU米データ・プライバシー枠組み」がGDPRに基づくEUの十分性認定を受けて施行されたものと認識しています。 「EU米プライバシー・シールド」など従前の枠組みへの十分性認定が取り消されたことがありましたが、米国企業としては、
その安定性も含めて、当該枠組みについてどのように評価しているのか教えていただければと思います。お願いいたします。
○丹野委員長○ACCJ

お願いします。

ありがとうございます。
5１点目でございますが、「グローバルスタンダードとの相互運用性」の部分、こちらに関しましては、先ほどと重複してしまって恐縮ですが、米国では連邦法が存在せず、当然、相互運用するに当たってのチャレンジがある中ではありますが、当然、日米間でそういった枠組みがあれば有難いとは思っております。同時に、DFFTもそうですが、データの越境
移転というのが非常に重要になってくる中で、各国の法規制が異なるというのは 、運用上非常に大きな障害になり、実務的に管理を含めて、あるいは、いろいろなレベルで解釈を含めてでしたり、あるいは運用を含めてでしたり、非常に困難に直面しますので、大きな願いとしては、できる限りハーモナイズしていると有難いということでございます。
２点目は、米欧のところに関しましては、これは2020年に欧州連合司法裁判所が、当時の「プライバシーシールドフレームワーク」に懸念を示して無効になったところ、その懸念を解消するためにできたものであると考えております。まず、こうした枠組みをしっかりつくっていただいた欧州委員会と米国政府に関しては、我々は、大変有難いという感謝をしているところでございます。
この枠組みは、米国の監視法に対するEUの二つの懸念に対処するというものでできたと理解しております。一つ目は、許容される米国の国家安全保障活動の範囲と比例性、二つ目は、米国の諜報機関によって個人データが不適切に収集及び使用されているヨーロッパ
市民の救済メカニズムの利用可能性と、この２点に対して取り組んでいくといったものであると考えております。
また、安定性については、まだ始まったばかりあるということも踏まえますと、この「データプライバシーフレームワーク」が、今後、異議申立てや政治的変化などに対してレジリエントであるのか、関係する利害関係者の支持や適切な認識を得ていけるのかといったことに関わってくると思いますが、当然、そこをしっかり乗り越えていくものであることを期待しています。よろしくお願いします。
○丹野委員長○大島委員○丹野委員長

よろしいですか。
分かりました。ありがとうございます。
ほかにどなたか。

中村委員。
○中村委員

御提言、ありがとうございます。

罰則に関連して２点質問させていただきます。
我が国において、個人情報の不適正利用事案や個人情報データベース等の不正提供等事案が発生しているところ、諸外国における直近の執行状況も踏まえると、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げや直罰 化、課徴金制度の導入を検討すべきと考えます。
そこで１点目の質問ですが、欧米においては、EUのGDPRには制裁金が規定され、１か国で年間２桁から３桁の執行件数があり、米国でも多額の制裁金を重ねる例があると認識しています。もし、御提言にあるグローバルスタンダードとの相互運用性を確保するという6

ことであれば、我が国の個人情報保護法についても、これに合わせて強化するというベクトルで考えるというのが理論的帰結であるように思われます。貴団体としては、罰則や罰金等のペナルティーの強化については否定的なようですが、その点はどのようにお考えになりますか。
次に、２点目の質問です。
令和２年改正のヒアリングの際に、有識者の方々から、国内企業 はレピュテーションリ
スクを非常に恐れているので、指導で違法体制が是正されるという評価もあり得るが、多額の制裁金リスクに既に対応している海外事業者に対しては、いわゆる指導ではなく課徴金等の金銭的な制裁が有効ではないかという趣旨の指摘をいただきました。そういった指摘についてはどのようにお考えになりますか。
質問は以上です。よろしくお願いします。
○ACCJ

御質問、ありがとうございます。

罰則に関しましては、グローバルでご指摘のような流れで動いているということは十分承知しております。どのように執行を担保していくか、適切に実行していくかということが肝であろうと考えますと、冒頭のお話のほうで申し上げましたように、サポート面をしっかり提供していくことや、先ほどお話ししましたように、一貫性を確保していくといっ
たことも大事であろうかと思っております。
これは、個人的な感覚的なコメントになってしまうかもしれませんけれども、先ほどのレピュテーションリスクといったところは、米国企業としても非常に重要に考えておりま
して、社内でもトラストという言葉が頻繁に使われます。このトラストの基盤には、当然ながらデータ保護や個人情報をしっかり守るといったことや、お客様の信頼に応える、約束を守るといったことが入っております。したがいまして、外資系企業がレピュテーショ
ンリスクを気にしないということは多分全くなく、皆様が想像される以上に、コンプライ
アンスに対しては徹底的な意志を社内で感じることがあります。したがいまして、罰則の多寡によってコンプライアンスへの意識が変わるのかどうかは分からないところではあり、罰則を引き上げるから直ちにインセンティブが増すということではなかろうと は思っては
います。
○ACCJ

ありがとうございます。

さきほど申し上げたこととほぼ同一でございますが、課徴金、制裁金の部分については、
恐らく、日本が今までそうしてこなかった歴史的背景でしたり、あるいは法規制面でのその差分といったものがそもそも存在するのではないかと思います。それを考慮せずに罰金、課徴金の部分だけを海外にそろえるというのは、逆に日本は、より萎縮効果を抱き合わせで生んでしまうようなことにもなりかねないのではないかとは思っていま す。したがいまして、そもそもデータの利活用自体を非常に慎重に進めるような風土がある中において、さらに課徴金を含めて入ってくると、かなり利活用での制約にもなり得るのではないかということは懸念しております。
7

それから、レピュテーションリスクのところは、 さきほど申したことと全く同一でございますけれども、海外企業といっても、大変恐縮ながら、米国企業とそれ以外というところは大いに差分があるだろうなというところは、まずもってあると思いますが、むしろ非常にレピュテーションリスクというものは気にしているということが言えるかと思っております。
それは、恐らく日本企業以上ではないかと感じることも多くございますし、さらに、加えて、やはり法令遵守、コンプライアンスという観点からは、むしろ決まっていることはやって当然だということの思いのほうが強いので、日本の議論の中に、法令を守っているのか、違反しているのかどうかといった、監視指導のような議論は当然ありますけれども、それ自体が起こることがむしろ違和感がある部分があって、法律で決まってくるは当然守るというような風土は非常に米国企業に関しては強いと思っております。
○中村委員○丹野委員長ありがとうございました。
よろしいですか。

どなたかほかに。
加藤委員。
○加藤委員

御説明、ありがとうございました。

私からは、安全管理措置と民間の自主的な取組についてお伺いしたいと思います。
最近の漏えい等の事案の例に鑑みますと、委託先事業者や派遣社員を含めた安全管理体制の整備や、システム設計や運用を含めたヒューマンエラーの防止策、不正アクセス対策
等の安全管理措置を講じることが重要だと考えております。グローバル企業の多くは 、グローバルスタンダード遵守のためのセキュリティ投資を行っているということであります
が、具体的にどういった対策がスタンダードとして実施されているのか教えていただければと思います。どうぞよろしくお願いいたします。
○ACCJ

御質問、ありがとうございます。

グローバルスタンダードに関する御質問に関して、対象業界によっても、参照する国際基準、守らなければいけない基準はばらつきが当然あると思いますが、多くの企業はISOやNISTの標準といったことを含めて、遵守して、強化して取り組んでいると思っております 。
ここからは、多少印象論といいますか個人的な見え方という観点でお話し申し上げれば、個人情報の管理だけではなくて、経営においても一般論として、相当いろいろなことのシステム化が進んでおります。アクセスできる情報の制限 や、見られる人、見られない人、承認の仕組みなど、全てシステム化されているというのが非常に大きく、そこは恐らく日系企業との違いでもあるのではないかと思います。従いまして、しっかりとシステムを活用しながら、ガバナンスが効いた形で運営をすることによって、安全管理措置 、セキュリ
ティを万全にしているということが言えるかと思っております。
○ACCJ

ありがとうございます。

完全に文脈に沿っていないかもしれませんが、一つ個別事例の御紹介をさせてください。
8

私が勤めております会社では、あらゆるプロダクトをつくる、設計する上で、プライバシ
ー・バイ・デザイン、セキュリティ・バイ・デザインというものが最初から組み込まれております。BtoCの文脈で考えますと、例えばゲーム機があったとすると、まずはアーキテ
クチャーを検討するところで、どのようなリスクがあるのかといったことを徹底的に議論します。このリスクというのは、プライバシー、セキュリティ、詐欺、あるいはこどもとか性的なもの等いろいろな要素が含まれています。時には、被害者の方なども含めて一緒に議論します。そのときに対策とするツール、あるいはポリシーも含めて議論をした上で、アーキテクチャーをまずつくります。アルゴリズム含めて議論します。その次の段階として、不適切な事案が起こったときの対処方法を検討します。コンテンツであればコンテン
ツモデレーションをどのようにやるかといったところを議論します。
三つ目として、ユーザー参加型のサービスですと、カルチャーやコミュニティーがありますので、どういったカルチャーをつくりたいのかといったところで、利用規約、あるいはユーザーの方への啓発などを行いカルチャーの醸成を行います。
４段階目として、マルチステークホルダーでいろいろな方の意見をいただいて、フィードバックをして改善をしていくというコラボレーションがあります。
このように、最初のビジネスモデルを作る段階で、既にプライバシー／セキュリティ・
バイ・デザインといったアプローチをとっています。また、別の視点で言いますと、全社員を対象にしたセキュリティやプライバシーに関するトレーニングがあります。表面的に実施するというものではなくて、理解度に関する試験問題も出てきて、ちゃんと回答しな
いとトレーニングが終わりません。終わらないと、あなたは研修を終えていないですよ、という警告がいつまでも出るといった社員のリテラシーや意識啓発の取組もあります。こういったものが全て総合的にできた上でのセキュリティ、安全管理措置であり、広く捉え
ると、そういったところまで含めていろいろやっているということになります。もちろん、サプライヤーの方の契約においても、いろいろな管理を行ってやっております。
○丹野委員長○加藤委員○丹野委員長

よろしいですか。
ありがとうございました。
ほかにどなたか御質問はよろしいですか。

それでは、御説明をありがとうございました。
本日いただいた御意見も含め、個人情報保護をめぐる様々な状況について、各方面の意
見を聞きながら課題を整理し、審議してまいりたいと思います。
ACCJの井田様及び白壁様、本日はありがとうございました。
それでは、御退室いただけますか。
（在日米国商工会議所退室）○丹野委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
9御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題２「第60回アジア太平洋プライバシー機関（APPA）フォーラム等結果報告ついて」、
本日は参加された中湊専門委員にも御出席いただいております。
それでは、事務局から説明をお願いいたします。
○事務局

第60回APPAフォーラム等の結果について報告いたします。

APPAフォーラムは、アジア太平洋地域の13の国・地域における20のデータ保護機関が、
プライバシー保護に関する法制度や執行状況などに関して情報交換を行うことを目的として年２回開催されております。当委員会は2014年からオブザーバーとして参加しており、
2016年に正式メンバーになっております。
第60回目となる今回のフォーラムは、11月30日及び12月１日の２日間、オーストラリア
情報コミッショナーオフィスの主催により開催されました。当委員会からは、浅井委員と中湊専門委員にも御参加いただき、二つのセッションと一つのパネルディスカッションにおいて、当委員会の取組状況などを御説明いただきました。
まず、一つ目としまして「各国からの報告：法改正その他の取組」のセッションにおいて浅井委員に御登壇いただき、本年６月に東京で開催された、第３回G7データ保護・プラ
イバシー機関（DPA）ラウンドテーブル会合において、信頼性のある自由なデータ流通（ DFFT）、
先端技術、執行協力という三本柱に基づき議論が行われたことを 御紹介した上で、それぞれの柱について成果文書として合意された内容を御説明いただきました。
また、同じく、G7で採択された生成AIに関する声明の概要を説明し、当該声明が本年 10月に開催された世界プライバシー会議（GPA）においても決議されたことで、G7の成果が実を結んだ旨、御紹介いただくとともに、来年のラウンドテーブル会合に向け、今後は行動計画等に沿ってG7間で議論を継続する旨、御発言いただきました。
二つ目としまして「越境データ流通における信頼の促進」のセッションにおいて、中湊専門員に御登壇いただき、当委員会の取り組む信頼性のある個人データの越境流通の推進に関し、令和４年12月の経済協力開発機構（OECD）における信頼性のあるガバメントアク
セスに関する高次原則の策定について、議論の背景及び経過、同高次原則を明らかにした
閣僚宣言の意義、並びに今後の展望を御説明いただきました。
当該セッションでは、APPAフォーラムによる取組の可能性として、各法域におけるガバ
メントアクセスについて、APPAフォーラムの場で情報共有を行うことが考えられる旨、御発言いただきました。
そして、APPAとCentre for Information Policy Leadership（CIPL）の共催により開催されたサイドイベントにおける「生成AI時代のデータ保護：未解決の論点と期待」のパネ
ルディスカッションには、浅井委員に御登壇いただき、当委員会が本年６月に公表した「生成AIサービスの利用に関する注意喚起等」について、生成AIサービスを利用する個人情報取扱事業者、行政機関等及び一般の利用者それぞれに対する注意喚起等の内容を御説明い
10

ただきました。
また、当該注意喚起等と併せて行った、生成AIサービスの開発者・提供者向けの注意喚起の内容及びフォローアップ等について説明いただき、今後も生成AIサービスの開発・利用状況を引き続き注視し、状況に応じて追加的な対応の検討を行っていく旨、御発言いただきました。
そのほか、本フォーラムでは、「プライバシーと他の規制領域との接点」等のテーマにつき、各DPAの取組の共有、意見・情報の交換が行われたほか、APPAの各ワーキンググルー
プ、GPA、グローバルプライバシー執行機関ネットワーク（ GPEN）、OECD等における活動状
況が紹介されました。
以上の本フォーラムでの成果を取りまとめる形でコミュニケが採択されました。その英語版を資料２－２、仮訳を資料２－３として提出しております。
報告は以上でございます。
○丹野委員長ありがとうございました。

それでは、APPAフォーラムに参加された、浅井委員並びに中湊専門委員からもそれぞれコメントをいただきたいと思います。まずは浅井委員からお願いいたします。
○浅井委員

私から補足の報告をさせていただきます。

APPAフォーラムには、私は４回目の参加となりました。今回が初めての対面の参加となりました。
まず、本年６月に開催されたG7DPAラウンドテーブル会合の議長国として、その成果について報告を行いました。APPAフォーラムにおいても、G7DPAラウンドテーブルの成果について紹介できたことは、有意義な情報提供の機会になったと考えております。
また、AIをテーマに取り上げられたパネルディスカッションでは、当委員会が公表した「生成AIサービスの利用に関する注意喚起等」について紹介し、各国プライバシー機関に多少なりとも気付きを与えられたと考えております。
APPAフォーラムは、アジア太平洋地域に特化した視点からのプライバシー機関間の知見
及び情報交換の場として有用であると考えております。引き続き、当委員会の取組を積極的に発信する場として活用していきたいと考えます。
以上です。
○丹野委員長ありがとうございました。

続いて、中湊専門委員からもお願いいたします。
○中湊専門委員

中湊でございます。

私は今回で７回目のAPPAフォーラムの参加となりました。今回のフォーラムでは、 OECDにおける信頼性のあるガバメントアクセスの高次原則の策定、そして、日本の活動、役割について報告をさせていただきました。
この報告に対する各国の参加メンバーからの反応ですけれども、DFFT推進の取組のみならず、このOECD高次原則の策定を含むいろいろな活動に関しての日本のリーダーシップに11

感謝するといったような発言や、あるいは、ガバメントアクセスの問題は、プライバシー機関が検討すべき重要な課題であるというような意見が出されました。DFFT推進に関する当委員会の姿勢を改めて打ち出すことができたのは大変 良かったと感じております。
さらに、各国のプライバシー機関の主要メンバーと、会議以外の様々な機会も通じて対面で会話することによって、各国の取組や当委員会との協力の可能性についてより深い議論ができたことも成果ではなかったかなと考えます。
引き続き当委員会として、国際的な議論や活動に積極的に貢献し、プレゼンスの向上に寄与していきたいと思います。
私からは以上でございます。
○丹野委員長ありがとうございました。

ただいまの御説明とお二人のコメントについて、御質問、御意見をお願いいたします。
よろしいでしょうか。
それでは、中湊専門委員、ありがとうございました。御退室いただけますか。
（中湊専門委員退室）○丹野委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは次の議題に移ります。
議題３「厚生労働省（公的年金業務等に関する事務）の全項目評価書（年金業務システ
ムの本格開発（フェーズ２）に伴う評価の再実施）の概要説明について」、事務局から説明をお願いいたします。
○事務局

番号法の規定により、行政機関の長等が特定個人情報ファイルを保有しようとするときや、重要な変更を加えようとするときには、原則として特定個人情報保護評価の実施が義務づけられております。厚生労働省及び日本年金機構が実施する 「公的年金業務等に関する事務」については、対象人数が30万人以上であり、全項目評価が義務づけられることから、番号法第28条第１項の規定に基づき、広く国民の意見を求めた上で委員会の承認を受けることが必要となります。
今回、厚生労働省から当委員会に対し、当該事務についての全項目評価書が提 出されました。つきましては、個人情報保護委員会議事運営規程第９条の規定に基づき、厚生労働省年金局の樋口事業企画課長、日本年金機構の嶌内理事、日本年金機構の安藤システム調整監に御出席いただきたいと考えております。
○丹野委員長ただいまの説明のとおり、個人情報保護委員会議事運営規程第９条の規定に基づき、厚生労働省職員及び日本年金機構職員に会議に出席いただいてよろしいでしょうか。
（異議なし）
12

それでは、出席を認めます。
（厚生労働省職員及び日本年金機構職員入室）○丹野委員長準備はよろしいですか。

先ほど事務局から説明をしたとおり、本日は、厚生労働省年金局の樋口事業企画課長、並びに日本年金機構の嶌内理事、安藤システム調整監に御出席いただいております。
それでは、御提出いただいた全項目評価書の概要について、説明をお願いいたします。
○樋口課長

厚生労働省年金局事業企画課長の樋口です。

個人情報保護委員会の皆様方には、日頃より年金業務につきまして、御指導、御支援いただきまして、厚く御礼申し上げます。
公的年金業務における情報セキュリティ対策の取組につきましては、厚生労働省と年金機構が一体となって強化を行ってまいりました。昨今、マイナンバーを取り扱う業務に対する社会の関心はますます高まっているものと認識しております。今回、審査の対象になっております、いわゆる刷新フェーズ２でございますけれども、これは公的年金業務の基幹システムのうち、記録管理システムと基礎年金番号管理システムを刷新いたしまして、
年金業務システムを構築するというものでございまして、個人番号を利用する範囲というのはこれまでと変更はございませんけれども、今後予定している事務につきまして、特定個人情報保護評価の審査をお願いしたいと考えております。
事務やリスク対策の内容に関する説明につきましては、実務の中核を担っております日
本年金機構からさせていただきます。
○丹野委員長○嶌内理事

よろしくお願いします。
日本年金機構システム部門担当理事の嶌内でございます。

委員長、委員の皆様、また、委員会事務局の皆様には、日頃より当機構の事業運営につきまして、御指導、御支援を賜り厚く御礼申し上げます。
当機構におきまして、平成29年１月よりマイナンバーの利用を開始し、平成 30年３月からは、マイナンバーによる届出を開始しました。現在、稼働している社会保険オンラインシステムのうち、記録管理システム及び基礎年金番号管理システム、この現行システムにつきましては、年金業務システムフェーズ２として、次世代を担うオープンシステムとして刷新する取組を進めております。
この刷新の取組におきまして、現行システム及びそれを利用した業務では、年金事務所の管轄と制度ごとの処理を前提とした構造となっているため、拠点ごとに事務所記 号の体系の違いなどから、国民個人の長期にわたる正確な記録管理を複雑にする面がございます。
そのため、システムのオープン化のほか、データ管理を拠点別・制度別から個人別に見直すとともに、日本年金機構の内部処理の効率化を図るよう現行システムを刷新、再構築することとし、本年９月以降、必要な契約を順次行っているところでございます。
今回の評価書では、現行システムの記録管理システムと基礎年金番号管理システムが年金業務システムとして刷新されることに伴い修正を行うことになったものでございます。
13

今回審査いただく具体的な追加・修正点は、年金業務システムの刷新に伴い、一つ目に、
現行システムで保持していたデータベースを年金業務システムのデータベースに移行し、統合データベースとして構築する変更。
二つ目に、入力されたマイナンバーを基礎年金番号に変換する内部処理が、年金業務シ
ステム、年金給付システムの間でのみ行われることに伴う変更。
三つ目に、可搬型端末からの接続先が、記録管理システムから年金業務システムに変更となることに伴う変更。
四つ目に、これらの変更に伴うリスク及びリスク対策の４点でございます。
マイナンバーの利用に関しましては、各業務に従事する担当者の一人一人が、本評価書に記載されたリスク対策について十分理解し、実践することが重要であり、刷新フェーズ
２において、システム基盤がメインフレームからオープン基盤に変わっても重要性は変わりません。継続した教育・研修を実施することにより、特定個人情報の適切な取扱い及び特定個人情報の漏えい等の発生リスクの軽減に努めてまいる所存ですので、今後とも委員会の皆様からの御支援、御指導のほど、よろしくお願いいたします。
それでは、評価書の具体的な変更内容について説明させていただきます。
なお、年金業務システムフェーズ２につきましては、５年を超える大プロジェクトです。
そのため、評価書の修正としましては、現行システムにおける事務の記載は残しておきつつ、令和11年１月以降の年金業務システムフェーズ２稼働時の事務につきましては、別途記載を加えていることを申し添えます。また、業務や事務の流れをはじめ、情報セキュリ
ティレベルに変更がないことを併せて申し添えます。
○安藤システム調整監

日本年金機構刷新システム開発部の安藤と申します。

それでは、評価書の具体的な変更内容について説明をさせていただきます 。
まず、お手元の全項目評価書の13ページを御覧いただきたいと思います。
「２．特定個人情報ファイルを取り扱う事務において使用するシステム 」の変更についてでございます。
まず、現行システムについては、年金業務システムフェーズ２稼働により、年金業務システムに切り替わります。また、この年金業務システムは、制度別を基本とした現行シス
テムの機能、データ管理構造を、原簿の管理、原簿の利用といった機能別に再構成、サブシステムに分割し、これらのサブシステム間を比較的独立した状態にして、効率的な運用・保守を可能とする構成に再構築するものでございます。この再構築により、各サブシステ
ムが担う機能とともに、現行システムの周辺システムについても併せて記載をしているところでございます。
続きまして、15ページを御覧いただきたいと思います。
社会保険オンラインシステムのうち、年金給付システムについては、現行システムとの連携部分について、年金業務システムフェーズ２稼働後は年金業務システムとの連携に変更となることから、当該変更に伴う修正を行っているところです。
14

続きまして、18ページを御覧いただきたいと思います。
「３．特定個人情報ファイル名」についてでございます。
現行システムの記録管理システムと基礎年金番号管理システムの関連ファイルについて、年金業務システム関連ファイルとして整理し、修正をしているところでございます。
続きまして、26ページを御覧ください。
「（別添１）事務の内容」の記載の部分になりますが、そのうち、「１．個人番号と基礎年金番号の対応関係を記録管理する事務」についてでございます。
現行システムについて、フェーズ２稼働後は年金業務シス テムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合データベースとして構築することに伴い必要な修正を行っております。
続きまして、31ページを御覧ください。
「２．個人番号による年金の相談・照会業務」についてでございます。
フェーズ２稼働後は年金業務システムに切り替わることにより、まず、 一つ目は、現行システムで保持していたデータベースを年金業務システムのデータベースに移行し、統合
データベースとして構築する変更。
二つ目、入力されたマイナンバーを基礎年金番号に変換する内部処理が、年金業務シス
テム・年金給付システム間でのみ行われることに伴う変更。
そして、三つ目ですが、可搬型端末からの接続先が、記録管理システムから年金業務システムに変更となることに伴う修正を行ってございます。
続きまして「３．厚生年金保険等の適用・徴収事務」についてでございます。
現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合データベースとして構築することに伴う修正を行ってございます。
続きまして、44ページを御覧ください。
「４．船員保険等の適用・徴収事務」についてでございます。
こちらにつきましても、先ほどと同様、現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合データベースとして構築することに伴う修正となってございます。
続きまして、52ページを御覧ください。
「５．国民年金の適用・徴収事務」についてでございます。
こちらにつきましても、現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合データベースとして構築することに伴う修正を行ってございます。
続きまして、62ページでございます。
「６．年金給付関係事務」についてでございます。
15

こちらにつきましても、現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、統合データベースに移行するということに伴い修正を行ってございます。
続きまして、69ページを御覧ください。
「７．税関係業務」についてでございます。
こちらにつきましても、現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合データベースとして構築することに伴い修正を行ってございます。
続きまして、75ページを御覧ください。
「８．年金生活者支援給付金関係事務」についてでございます。
こちらにつきましても、現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合データベースとして構築することに伴い修正を行ってございます。
続きまして、79ページを御覧ください。
「９．情報提供ネットワークシステムを通じた外部機関（国・地方公共団体等）への情報提供事務」でございます。
こちらも、現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合
データベースとして構築することに伴い修正を行ってございます。
続きまして、81ページを御覧ください。
こちらは参考ではございますが「公的年金業務に関するシステム概要」についてでございます。
こちらにつきましても、現行システムについて、フェーズ２稼働後は年金業務システムに切り替わり、保持していたデータベースについても、年金業務システムのデータベースに移行し、統合データベースとして構築することに伴う修正を行ってございます。
なお、補足ではございますが、こちらは評価書には記載していないものではございますが、この年金業務システムフェーズ２につきましては、国民の生活を守る政府最大級の公的年金システムの移行を安全・確実に進めていくため、まずは基幹システムのオープン化を図ることを最優先としてございます。フェーズ２の基盤というものは、各サブシステム
共通のプラットフォーム化を目指すこととして、クラウド・バイ・デフォルトの原則にのっとりまして、クラウド化のメリットであるコスト削減、また、システム導入の迅速化 、
また、ITリソースの柔軟な配分を享受することを目的として、仮想化技術を最大限全面的に採用していくこととしてございます。
公的年金業務や年金記録に求められる安全性、また、大量処理の安定性、また、災害対策や検証環境の在り方を十分に検証しながら、将来的なクラウドサービスの適用、こちらについては検討を進めることとしてございますので、申し添えておきます。
16

まず、１章のほうについては以上となりまして、続いてよろしいでしょうか。２章「特定個人情報ファイルの概要」についてでございます。
84ページを御覧ください。
「３．特定個人情報の入手・使用」の④の部分についてでございます。
これまで、個人番号を管理するシステムとして、年金業務システムの個人番号管理サブシステムとして記載をしてございましたが、年金業務システムフェーズ２稼働を契機にサブシステムの構成が見直されることから、１サブシステムの個人番号管理システムとの記載を見直しまして、年金業務システムと名称の変更を行ってございます。
続きまして「４．特定個人情報ファイルの取扱いの委託」についてでございます。
こちらにつきましても、これまで個人番号を管理するシステムとして、年金業務システ
ムの個人番号管理サブシステムと記載しておりまし たが、年金業務システムフェーズ２稼
働を契機にサブシステムの構成が見直されることから、１サブシステムの個人番号管理サ
ブシステムの記載を見直しまして、年金業務システムと名称の変更を行ってございます。
また、年金業務システムフェーズ２については、現行システムからのデータ移行が伴います。そのため、当該データ移行業務及びデータ移行に係る移行元データの抽出業務について、委託事項９及び10に新たに記載してございます。
続きまして、101ページを御覧ください。
「６．特定個人情報の保管・消去」についてでございます。
年金業務システムについては、現行システム側のデータ移行が伴います。このデータ移
行では、移行データを収録した電子媒体を使用して年金業務システム内に情報を登録、移行しますが、その手順について記載をしてございます。
具体的には、移行データの電子媒体での登録移行後、機構担当部署において媒体管理ルールに従って廃棄伺いを作成、責任者の承認、その後、物理的破壊を実施し、廃棄証明書を作成して保管することとしてございます。
続きまして、３章「特定個人情報ファイルの取扱いプロセスにおけるリスク対策」についてでございます。
106ページを御覧ください。
「２．特定個人情報の入手」の「リスク４：入手の際に特定個人情報が漏えい・紛失するリスク」についてです。
こちらについては、107ページを御覧いただきまして、上部「○書類による入手」の「届け書のデータ入力を行う委託業者から納品される電子媒体の受領」の記載部分に関し、これまで個人番号を管理するシステムとして年金業務システムの個人番号管理サブシステムと記載をしておりましたが、年金業務システム稼働を契機にサブシステムの構成が見直されることから、１サブシステムの個人番号管理サブシステムの記載を見直し、年金業務シ
ステムと名称の変更を行っております。
続きまして、108ページを御覧ください。
17

「３．特定個人情報の使用」の「リスク１：目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク」についてです。
まず、「宛名システム等における措置の内容」については、これまで個人番号を管理するシステムとして年金業務システムの個人番号管理サブシステムと記載しておりましたが、年金業務システムフェーズ２稼働を契機にサブシステムの構成が見直されることから、１
サブシステムの個人番号管理サブシステムの記載を見直し、年金業務システムと名称の変更を行っております。
続きまして、109ページを御覧ください。
「事務で使用するその他のシステムにおける措置の内容」については、入力されたマイナンバーを基礎年金番号に変換する内部処理が、年金業務システム、年金給付システム間でのみ行われることに伴い変更してございます。
続いて、111ページを御覧ください。
「リスク２：権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク」についてです。
既存システムの運用管理・保守業者に対しては、個人番号をその内容に含む電子データを取り扱うことはできないように、管理業務に必要のない業務系データベースのアクセス権限は付与しておりません。運用管理・運用業者が、個人番号をその内容に含む電子デー
タを取り出すことはできない旨を明確にするため、追記を今回行ってございます。
続いて、113ページを御覧ください。
「特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置」についてです。
３点記載してございます。
一つ目は、業務におけるDBアクセスに係るセキュリティリスク及び対策。
二つ目は、紐付け誤りが発生するリスク及び対策。
三つ目は、特定個人情報ファイルが不正に複製されるリスク及び対策を記載してございます。
まず、一つ目の、業務におけるDBアクセスに係るセキュリティリスク及び対策についてですが、年金業務システムではメインフレームからオープンシステムへの切替えを行うことから、守るべき特定個人情報のセキュリティレベルを下げるということは絶対に許されません。そのため、当機構では、業務に使用している端末については、インターネット環
境から完全分離し、外部からの不正アクセスによる漏えいリスクを 除去しています。また、業務におけるDBアクセスについても、端末から特定個人情報データまでは多層的な防御を行うとの考え方の下、セキュリティレベルに応じて領域を分割することで、隣接する領域
でのみ通信を可能とする対策を行います。
さらに、知識や生体認証によるアクセス制御のほか、アプリケーションによるアクセス制御を行うこととしてございます。
18なお、評価書の修正につきましては、今まで記載のなかった業務のDBアクセス部分について、今回追記をさせていただきました。
続いて、二つ目の、紐付け誤りが発生するリスクと対策についてでございます。
当機構におきましては、マイナンバーと基礎年金番号の紐付け作業をシステム的に行うことを基本としてございます。具体的には、二十歳に到達した者を国民年金の被保険者として適用する際、J-LISから提供されたマイナンバーを含む本人の基本情報を基に新たな基礎年金番号の払出し及びマイナンバーとの紐付けを、人の手を介さずにシス テム的に行っています。
また、二十歳前の厚生年金保険に加入する際、適用事業所から届け出される被保険者の資格取得届に個人番号を記載することを義務づけており、令和５年９月に厚生労働省令を改正し、その内容を明確化したところでございます。
続いて、三つ目の、特定個人情報ファイルが不正に複製されるリスク及び対策についてです。
今回、年金業務システムフェーズ２については、現行システムからのデータ移行が伴います。このデータ移行では、特定個人情報ファイルが不正に複製されるリスクが存在すると考えているため、フェーズ２のデータ移行時に、特定個人情報ファイルが不正に複製されるリスクとして新規にリスクを追加するとともに、その対応策を記載してございます。
具体的には、データ移行の作業については、機構が別途指示する作業場所において実施すること、基本的には人の手を介さないようアプリケーション機能により実施 すること。
なお、人の手を介した作業が必要な場合には、最低限必要な情報取扱者により機構職員の立会いの下で行うこと。そして、作業を実施するに当たっては、事前に作業計画を策定し、受注者において関係する一連の責任者及び統括責任者の承認を経 た上で、刷新システム開発部長の承認を得ること。情報取扱者は、作業終了後、計画どおりに作業が行われていることを示すアクセスログなどを提出し、同様に統括責任者及び刷新システム開発部長の承認を得るということとしてございます。
続きまして、123ページを御覧ください。
「７．特定個人情報の保管・消去」の「リスク３：特定個人情報が消去されずいつまでも存在するリスク」についてでございます。
これまで届け書の情報を電子媒体に収録した特定個人情報ファイルの消去手順としては、年金業務システムの経過管理・電子決裁サブシステムと記載しておりましたが、年金業務
システムフェーズ２稼働を契機にサブシステムの構成が見直されることから、１サブシス
テムの経過管理・電子決裁サブシステムとの記載を見直し、年金業務システムと名称の変更を行ってございます。
続きまして、124ページを御覧ください。
現行システムから年金業務システムへのデータ移行に使用する電子媒体内の特定個人情報ファイルの消去リスクについても、今回、新規で追加をしてございます。
19具体的には、移行データの電子媒体での登録移行後、機構担当部署において、媒体管理
ルールに従って廃棄伺いを作成、責任者の承認、その後、物理的破壊を実施し、廃棄証明書を作成して保管することとしてございます。
続いて「特定個人情報の保管・消去におけるその他のリスク及びそのリスクに対する措置」についてです。
今回、二つのリスクについて、新規に追加してございます。
まず、一つ目は、データ移行に使用した電子記録媒体のデータを消去するまでの間に電子記録媒体を紛失するリスク。
二つ目は、刷新フェーズ２で使用する統合データベースへ移行した特定個人情報が既存
システム環境から消去されないリスクについてです。
まず、一つ目の、データ移行に使用した電子記録媒体のデータを消去するまでの間に電子記録媒体を紛失するリスクについてですが、こちらは、データ移行を年金業務システム
で使用する統合データベースに格納するまでの間及び、統合データベースに格納後、電子記録媒体のデータを消去するまでの間については、データセンター内の施錠可能な保管庫で管理することとしています。
なお、電子記録媒体の保管庫への媒体搬入及び搬出の際は、機構の担当部門職員が立ち会う。また、複数人で電子記録媒体の移送を行うことにより、個別のリスクを軽減させます。
続きまして、フェーズ２で使用する統合データベースへ移行した特定個人情報が、既存のシステム環境から消去されないリスクについてです。
既存システムの機器の撤去に対しては、既存システム保守業者が物理的破壊、データを消去するソフトウエア、データ消去装置などを用いて全ての情報を復元不可能な状態とした後、機構に「撤去／データ消去完了証明書」を含む撤去完了報告書を提出し承認を得ることとしております。そのため、対象となる機器及び媒体については、情報の記録が可能な全てのものとし、「撤去／データ消去完了証明書」には、データ消去方法、作業場所、個々の装置が一意に特定可能な製造番号、情報が完全に削除されたことを確認できる写真、証跡ログ等の証跡を記載するものとします。
続きまして、129ページを御覧ください。
その他の対策として、統合データベースへのデータ移行リスク、例えば、統合データベースへのデータ移行時に、何らかの理由により別人の情報と統合されてしまうリスクに対する対策を記載してございます。
データ移行については、移行前の既存システムで管理されているデータを個人ごとに識別して抽出、そのまま移行することとしており、ほかの個人として示されたデータと統合するなどのデータの補正は一切行わないことで、既存システム内で別人として管理されている情報同士が紐付くことを防止します。
具体的には、移行プログラムの設計・開発の際、他人のデータと統合されないよう、設20

計、開発、テストで品質を高めるとともに、記録照会機能を利用した現新一致検証を行うことでデータ移行の正確性を確認することとしております。
最後になりますが、161ページを御覧ください。
別紙２「（別添２）特定個人情報ファイル記録項目」についてです。
令和11年１月以降として、年金業務システム関連ファイル、年金給付システム関連ファイル（周辺システム含む）として整理を行ったものとなります。
以上が今回の特定個人情報保護評価に関する御説明となります。何とぞよろしくお願いいたします。
○丹野委員長ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
小川委員、お願いします。
○小川委員

委員の小川です。御説明、ありがとうございました。

リスク対策を詳細に御説明いただきましたけれども、リスク対策と統合データベースに関して二つほど質問させていただきたいと思います。
１番目の質問なのですけれども、この年金業務システムは、公的年金業務の基幹を担う
重要なシステムですが、日本年金機構において、このフェーズ２移行に際して、特定個人情報データの取扱いだけではなくて、移行後の障害によるシステム停止やデータの毀損等、多角的なリスク分析やその対応を実施していると考えております。リスク対策の検討に おいては、例えば、過去の事例分析も一つの手法として考えられますが、フェーズ２移行においては、どのような方法でリスクの洗い出しを行っていたのか具体的に説明していただ
けないでしょうか。これが最初の質問です。
２番目の質問なのですけれども、年金業務システムフェーズ２では、統合データベース
化によって、今まで分散していた年金情報というのが一元的に管理されると理解しております。これにより、さらに事務処理や運用・保守等の効率化が図れると期待しております
けれども、ただ、フェーズ２が稼働すると、悪意のある者が統合データベー スに不正アクセスして、統合データベースに保存されていた年金情報が全て漏えいしてしまうというリスクも考えられます。この点、データベースへのアクセスに関わるリスクやその対策について、今、詳細に御説明いただいたと思いますけれども、端末や媒体等の安全管理措置な
どは、多くは従来から取り組んでいるのではないかなと思います。この統合データベース
化に伴い、何か特別に新規のリスク対策を講じていらっしゃいますでしょうか。その点、御回答のほど、よろしくお願いします。
以上です。
○嶌内理事

最初の質問のリスク対策について、まずお答えさせていただきたいと思います。
日本年金機構では、過去の大規模プロジェクトの事例を分析し、リスクの洗い出しを実施しております。具体的には、都市銀行のシステム統合プロジェクトでは、システムやプ21

ロジェクトの特性から考えられるリスクを洗い出し、リスクの大きさを定量的に把握してから、それぞれ優先順位をつけて対策を考えていたことから、フェーズ２開発におきましても同様の取組を行った上で、RFIにおける技術的対話を通じまして取得した開発事業者
からの意見や情報提供の内容も踏まえたリスク対策を実施してございます。
例えば、都市銀行のシステム統合プロジェクトでは、接続テストの失敗はプロジェクトの失敗に直結するというリスクに対しまして、プロジェクトの準備段階で、テストの計画
立案と遂行に責任を持つ専門組織、テスト移行推進グループを発足しており、フェーズ２
開発におきましても、移行作業を限られた期間内に確実に実施するために、移行ワーキン
グを設置しまして、移行準備作業から本番移行及び移行作業結果報告に至る一連の移行全
体作業について、現行事業者を含む複数の関係者間での調整及び検討を行うこととしてございます。
なお、テストにつきましても、マルチベンダー体制で各種テストを円滑に実施するために、テストワーキングを設置しまして、サブシステム間にまたがる課題、リスクの抽出、対策の検討やテストの検証観点等を整理した、テスト方針書の早期策定を実施しているところでございます。
○安藤システム調整監

二つ目の統合データベース化に伴う御質問につきましては、私のほうから回答させていただきたいと思います。
まず、統合データベース化に伴うリスク対策についてでございますが、日本年金機構で扱う年金個人情報、こちらの重要性に鑑みまして、現行システムにおいても、 端末から管理するデータまで多層的なセキュリティ対策を行ってございます。年金業務システムフェーズ２においても、扱う年金個人情報の重要性は変化しないことから、現行システムと同様に、端末から管理するデータまで多層的なセキュリティ対策を行うこととしてございます。具体的には、当機構で業務に使用している端末については、インターネット環境から完全分離していることから、外部から不正アクセスによる漏えいリスクは除去されてございます。
また、業務におけるDBアクセスについても、セキュリティレベルに応じて領域を分割し、隣接する領域でのみ通信を可能とすることで、最も重要なデータベースに対してのアクセスを限定、業務端末が直接アクセスできない対策を行ってございます。これに加えて、知識や生体認証によるアクセス制御のほか、アプリケーションによるアクセス制御、これを行うこととしてございます。
なお、システム運用管理や運用・保守業者につきましては、個人番号をその内容に含む
電子データを取り出すことはできないように、管理業務に必要のない業務系データベースのアクセス権限は付与しないこととしてございます。
今後、開発を進める中で、社会的なセキュリティ脅威の動向や政府統一基準の変更によ
りリスク対策の追加が必要となった際には、その都度、御報告をさせていただきたいと考えてございます。
22

回答は以上でございます。
○小川委員○丹野委員長どうもありがとうございました。
よろしいですか。

ほかにどなたか。
加藤委員、お願いします。
○加藤委員

御説明、ありがとうございました。

私のほうからは２点ほど、データ移行に係る特定個人情報の保存期間についてお伺いしたいと思います。
年金業務システムのフェーズ２への移行に当たり、既存システムからのデータ移行業務を外部に委託するということが評価書に記載されております。１点目ですが、データ移行のために電子記録媒体に特定個人情報を一時保存することが想定されており、当該電子記録媒体の管理に関して御説明をいただきましたが、どの程度の期間保存するのか御説明をいただければと思います。
また、２点目ですが、現行システムに保存された特定個人情報が消去されないリスクについても御説明をいただきましたが、現行システムにおいては、どの程度の期間、保存をするのか御説明いただければと思います。よろしくお願いいたします。
○安藤システム調整監

御回答申し上げます。

御指摘のとおり、データ移行に際しては電子記録媒体を利用することとしてございます。
この電子記録媒体については、正確なデータ移行完了と判断できるまで保存することを想定しておりますが、具体的な保存期間については、詳細設計工程で決定する予定でございます。
また、現行システムに保存された特定個人情報については、年金業務システムのフェー
ズ２システムの切替えが完了し、安定稼働したものと判断されるまで保存することを想定してございます。現行システムの閉塞と同時の消去になると考え ておりますが、具体的な保存期間については、現時点での回答はなかなか難しいということを御理解いただきたいと考えてございます。
○加藤委員○丹野委員長分かりました。ありがとうございます。
ほかにどなたか。

梶田委員、お願いいたします。
○梶田委員

御説明、ありがとうございました。

職員の操作ミスの対策について御質問させていただきます。
フェーズ２への移行により事務の流れに変更はないとの御説明でしたが、職員が事務を遂行するに当たり、使い勝手や画面の見え方など、ユーザーインターフェースに変更等が生じ得ると考えられます。日本年金機構は全国に事務所等が存在し、当システムを利用する職員数も多いため、慣れない場面での操作等により操作者のミス等が発生し、特定個人情報等の毀損リスクもあると思いますが、どのようなリスク対策を講じるのか御説明いた23

だきたいと思います。
以上です。
○安藤システム調整監

お答え申し上げます。

まず、今回の年金業務システムフェーズ２の開発におきましては、新たなプログラム開発により生じ得るリスクを低減させるため、既存の記録管理システム及び基礎年金番号管理システムの設計情報を活用した、現行資産を活用した開発、つまり既存のプログラムロ
ジックというものを変更せず、プログラム言語の置換による開発というものと、あとは新規にプログラム開発を行ってリビルドするという開発を組み合わせた開発手法をとってございます。このうち、全国の年金事務所、事務センターの職員が原簿更新などに使用する
画面については、現行資産を活用した開発で構築するため、画面の操作性に変更は生じな
いこととなります。
なお、システムチェックのみならず、届け書処理の職員などの目視による審査、これはシステムチェックで確認できない入力誤りや添付書類の確認 等などですが、これを徹底し、人為的ミスの抑止に引き続き努めてまいりたいと考えてございます。
また、職員が被保険者情報などを照会する際に使用する画面、こちらについてはリビル
ドという開発で構築しますが、照会画面を使用して原簿更新を行うような業務はございません。したがって、御指摘のような、ユーザーインターフェースの変更に伴う特定個人情報等の毀損リスクについては生じないと考えてございます。
なお、このシステムの稼働前には、全国の拠点職員に対し操作研修を十分な期間をかけて実施することとしておりまして、フェーズ２稼働後に職員が画面操作に困ることがないように努めてまいりたいと考えてございます。
以上でございます。
○丹野委員長ありがとうございます。

ほかにどなたか。
よろしいでしょうか。
では、私のほうから一つお伺いしたいと思います。
日本年金機構では、公的年金に関する事務のために１億人以上という非常に多くの国民の特定個人情報を取り扱っていると承知をしております。年金業務システムのフェーズ２
は、公的年金に関する事務の基幹システムとして、自機関での利用だけではなく、外部機
関との年金に関する情報のやり取りを行うこととなります。また、フェーズ２は、非常に大規模で長期間の開発となるため、開発中に要件変更等が発生すること、それから、技術の進歩等により、現時点で想定されていない様々なリスクが生じることも考えられます。
ところで、厚生労働省及び日本年金機構は過去に、当委員会から特定個人情報の適正な取扱いについて番号法に基づく指導を受けているところであります。今回、厚生労働省及び日本年金機構においては、こうした事実も踏まえ、リスク対策について、より十分な注
意を払って不断の見直し・検討を行うことに加え、システム改修等の変更等 により、事務24

フローの見直しや新たなリスクが生じることとなった場合には、必要に応じて評価の再実施を行っていただきたいと考えますが、いかがでしょうか。
○嶌内理事

私どもとしましても、セキュリティに関して世の中の動向、もしくは、政府の統一基準の変更、そういったことが十分予想できますので、御指摘のとおり、今後、また、変更が生じたら、都度、御相談・御報告をさせていただきたいと思いますので、よろしくお願いいたします。
○丹野委員長ほかにどなたか質問等はありませんか。

よろしいですか。
では、ほかに質問がないので、質疑応答はこれまでとさせていただきたいと思います。
それでは、厚生労働省年金局の樋口事業企画課長、並びに日本年金機構の嶌内理事、安藤システム調整監、お三方、ありがとうございました。御退室いただけますでしょうか。
（厚生労働省職員及び日本年金機構職員退室）○丹野委員長○事務局

それでは、引き続き事務局より説明をお願いいたします。

全項目評価書の概要の説明は以上となります。

本日の説明及び質疑応答の内容等を踏まえ、事務局において評価書の内容の精査を進めてまいります。後日、精査結果を御説明の上、御審議をいただきたいと考えております。
また、本議題の資料、議事概要及び議事録につきましては、準備が整い次第、委員会ホームページで公表したいと考えております。
事務局からの説明は以上です。
○丹野委員長ありがとうございました。

今、事務局から説明がありましたとおり、本日御説明いただいた全項目評価書の精査結果については、後日の説明を受け審査をしたいと思いますが、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
本議案の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは次の議題に移ります。
議題４「特定個人情報保護評価指針の改正案に関する意見募集 について」、事務局から説明をお願いいたします。
○事務局

御説明いたします。

特定個人情報保護評価指針の改正案に関する意見募集について、御説明いたします。
本議題４に関する資料は、計３点でございます。
資料４－１が概要、資料４－２が規則の改正案、資料４－３が指針の改正案です。
改正案について御決定いただきましたら、パブリックコメントを開始したいと考えております。
それでは、資料４－１に基づき、本議題の概要を御説明いたします。具体的な条文や改25

正箇所については、資料４－２と資料４－３を併せて御参照いただければと思います。
まずは、「１．指針改正の概要（案）」の「（１）リスク対策の強化に係る改正」として、ア「特定個人情報に関する重大事故」等の定義の変更について、御説明いたします。
漏えい等が発生した特定個人情報に係る本人の数が少人数であっても、その内容が国民の不安を招く事案については、より詳細な評価書種別による評価の再実施を求めることとするため、「特定個人情報に関する重大事故」の定義を、特定個人情報の漏えい等報告における報告対象事態の定義とそろえることとしております。
ただし、配送事故等のうち評価実施機関の責めに帰さない事由による事態については、
従前どおり重大事故に当たらないものとし、当該事態に係る本人の数についても、旧定義と同様に、当該機関の従業員の数を含まないことといたします。
また、「特定個人情報に関する重大事故」と同様に、重点項目評価書と全項目評価書の記載項目である「個人情報に関する重大事故」の定義についても、個人情報の漏えい等報
告における報告対象事態の定義とそろえることとしております。
次に、同じく、規制強化に係る内容として、イ「緊急時の事後評価の適用及び実施時期の明確化」について御説明いたします。
保護評価は事前に実施することが原則であり、事後評価はあくまでも例外的な対応であるところ、この趣旨を明確化するため、特定個人情報保護評価に関する規則第９条第２項の規定に基づく保護評価の実施時期について、指針第６の３として独立した項目を新たに設け、次の二つの内容を明記することとしております。
具体的には、まず１ポツ目ですが、保護評価の目的が事前対応による個人のプライバシー等の権利利益の侵害の未然防止及び国民・住民の信頼の確保であることを踏まえ、「既に個人番号利用事務等として定着している事務を実施する場合には、原則どおり 、事前に評価を実施すること」を追記します。
この「既に個人番号利用事務等として定着している事務」といたしましては、例えば、評価実施機関が新たに特定個人情報ファイルを保有する事務を行う場合において、当該事
務と本人の範囲及び特定個人情報ファイルを取り扱うプロセスが類似する事務を過去 に反復して実施しているときなどを想定しておりまして、新たな規定案の中にもこちらを例示として盛り込んでおります。
２ポツ目ですが、事前評価が困難である場合についても、評価を行うことが困難であった状態が解消された時点などの適切な時期において、可及的速やかに評価を実施するものとすることについて、新たに指針に規定することとしております。
また、基礎項目評価書の様式を改正しまして、規則第９条第２項を適用した評価書については、その旨及びその理由を記載することとしております。
次に、こちらも規制強化に係る内容となりますが、ウ「基礎項目評価の実効性強化及び人為的ミスが発生するリスクへの対策」についてです。
昨今、マイナンバーカード等を活用したサービスを利用する国民が不安を抱くきっかけ
26

になり得る事案が発生しております。国民・住民の信頼確保を目的とする保護評価制度においてリスク対策を一層強化するため、重点項目評価や全項目評価が義務付けられない小規模な地方公共団体等を中心としてマイナンバー制度の全体のリスク対策の底上げを促す
とともに、人為的ミスに関する対策を強化する必要がございます。
具体的には、基礎項目評価書の「Ⅳリスク対策」の記載項目として、「８．人手を介在させる作業」と、「11．最も優先度が高いと考えられる対策」を追加し、選択肢形式で措置の実施状況を評価した結果を選択し、その根拠について自由記述形式により記載することとしております。
なお、重点項目評価書又は全項目評価書と併せて提出する基礎項目評価書に関しては、
当該評価書内で十分な検討がなされるため、「11．最も優先度が高いと考えられる対策」の欄の記載を免除することとしております。
また、基礎項目評価の実効性強化の観点から、特定個人情報の適正な取扱いに関するガ
イドライン等の参照箇所を評価書の様式中に記載いたします。
以上の改正内容と併せて、基礎項目評価書の「Ⅳリスク対策」の主な措置の実施状況

について、「１）特に力を入れている」、「２）十分である」といった評価を選択することができる基準を、特定個人情報保護評価指針の解説において示すこととしております。
次に「（２）評価実施機関等の事務負担軽減」について御説明します。
全項目評価を実施する際の国民・住民等からの意見聴取は、インターネットを利用した方法によることも可能である旨を明確化するため、意見聴取に付する評価 書の公示は、イ
ンターネットの利用その他の適切な方法によるものとすると定めることとし、規則においても所要の改正を行うこととしております。
次に「２．その他の見直しについて」ですが、まず「 （１）地方公共団体の基幹業務シ
ステムの統一・標準化に向けた対応」といたしまして、保護評価指針の解説において、リスク対策の見直しが必要となること等を示すこととしております。
また、「（２）システム等の改善」として、評価書の提出、公表処理について、より簡便な手順となるよう、システムを改修する予定でございます。
評価書の様式についても、より使いやすいものとなるよう記入欄に係る仕様の改善、記載要領の様式内への記入を行うとともに、変更履歴の編集などが容易となるよう、様式の形式を変更いたします。
最後に、「３．施行時期等」について御説明いたします。
本日、指針等の改正案について御了承いただけましたら、速やかにパブリックコメントを行いたいと考えております。パブリックコメントを実施した後、令和６年２月から３月にパブリックコメントを踏まえた検討及び改正内容の公表を行うことを予定しております。
施行については、様式改正を伴わない事項については令和６年４月、様式改正を伴う事項については令和６年10月を予定しております。
事務局からの説明は以上でございます。
27

○丹野委員長

ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたしま す。
小川委員、お願いします。
○小川委員

御説明、ありがとうございました。

この基礎項目評価書は、評価実施機関が活用する最も基本的な評価書です。最近のマイナンバーカードを活用したサービスに関する事案の発生を踏まえますと、このタイミング
で今一度、人為的ミスの発生などのリスク対策を評価実施機関において再検討してもらうことは重要だと思います。特に、自由記述欄を設けることで、必要なリスク対策の検討が深まることを期待しております。
なお、施行日時点で提出されている全ての基礎項目評価書について再提出を求めるということで、一定の事務負担が想定されます。１年半の猶予期間が終了するまでの間、円滑に評価書の再提出が進むよう、指針の解説に記載例を掲載するなど、丁寧に評価実施機関の支援を行ってほしいと思います。よろしくお願いします。
以上です。
○丹野委員長ありがとうございました。

ほかにどなたか。
中村委員。
○中村委員

今回の改正案の内容について、近年の事案等を踏まえた分析等に基づく適切な内容であると同時に、適切な工夫や配慮がなされていると思いましたので、その点についてコメントを述べます。
今般の改正内容は、「特定公的給付などの緊急性を要する事務への個人番号の利用」、「昨今のマイナンバーカード等を活用したサービスに関する事案」など、前回の指針見直
しから３年間に起こった事案を分析・考慮した内容となっていると思います。規制を強化する内容について、経過措置や様式上の工夫など、評価実施機関に対する必要な配慮がなされているほか、システム改修等、評価の水準には影響のない部分で事務負担を軽減する方策も盛り込んでおり、総じて評価実施機関の事務負担にも配慮した内容となっていると考えられます。
以上です。
○丹野委員長ありがとうございます。

ほかにどなたか御質問、御意見等はございますでしょうか。
よろしいでしょうか。
では、私からも一言申し上げます。
昨今、国民の個人情報保護に対する関心の高まりに伴って、特定個人情報保護評価制度の重要性も増しております。今回の改正案は、こうした社会状況の変化や技術の進歩をよく捉えた必要十分な内容になっていると思っております。例えば、インターネットを利用
して特定個人情報保護評価のパブリックコメントを実施することによって、評価実施機関
28

の事務負担が軽減されるのみならず、幅広い国民への周知、意見提出の際の利便性の向上
といった効果も期待されるのではないかと思います。
今回の改正をより実効性のあるものとするために、評価実施機関には、改正の趣旨や内容を十分に理解していただき、遺漏なく対応していただくことが重要であります。パブリッ
クコメントの意見等を踏まえた検討を行い、改正指針等が制定された際には、説明 会や研修の機会を通じて、改正の内容を分かりやすく丁寧に説明するなど、評価実施機関に十分な検討・対応を促すための支援を行っていただきたいと思います。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
御異議がないのですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
本議題の資料、議事録及び議事概要については公表することとしてよろしいでし ょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題５「独自利用事務の情報連携に係る届出について 」、事務局から説明をお願いいた
します。
○事務局

独自利用事務の情報連携に係る届出について、御説明いたします。

資料５の「１

独自利用事務の情報連携とは」を御覧ください。

まず、独自利用事務とは、番号法第９条第２項の規定に基づき、条例を制定することで、地方公共団体が独自に個人番号を利用できる事務をいいます。また、番号法第 19条第９号に基づき、独自利用事務のうち、委員会規則第２条各項で定める要件を満たすと個人情報保護委員会が認めたものについては、他の行政機関等に特定個人情報の提供を求める情報連携を行うことが可能とされています。この独自利用事務の情報連携に係る届出について、委員会規則で定める要件を満たすものとして、現在、1,292団体、9,767件の届出を委員会
ウェブサイトで公表しております。
続いて「２独自利用事務の情報連携に係る届出について」を御覧ください。

この度、地方公共団体から提出されました、令和６年６月から開始される情報連携に係る届出について、委員会規則で定める要件を満たすか確認いたしました。その結果、197団
体から、新規の届出が432件、特定個人情報の追加等を行う変更の届出が287件、事務の廃止等を行う中止の届出が11件の計730件の届出がございました。
当該届出について、委員会規則第２条各項に定める要件を満たすことを認め、委員会規
則第３条第３項等に基づき、内閣総理大臣へ通知したいと考えております。
な お 、 今 回 の 届 出 に 係 る 内 閣 総 理 大 臣 通 知 後 の 届 出 の 総 数 に つ い て は 、 届 出 団 体 数が1,306団体、届出件数が１万188件となります。
御説明は以上でございます。
29

○丹野委員長

ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
ございませんか。
それでは、特に修正の御意見がないようですので、地方公共団体から提出された届出書について、委員会規則に定める要件を満たすものとして認め、内閣総理大臣に通知したいと思いますが、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
本議題の資料、議事録及び議事概要については、公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題６「地方公共団体における個人情報保護法施行条例の措置状況について 」、事務局
から説明をお願いいたします。
○事務局

議題６について御説明させていただきます。

本議題は、令和５年４月１日時点の地方公共団体における個人情報保護法施行条例の整
備状況についての調査結果を踏まえ、４月26日、10月11日の委員会で御報告させていただ
いた内容に関するものでございます。以前、御報告させていただいた概要につきましては、
資料６の２ページ目に参考として掲載しております。
資料６の１ページ目を御覧ください。
個人情報の保護に関する法律第167条第１項では、地方公共団体の長は、個人情報の保護に関する条例を定めたときは、遅滞なく、その旨及びその内容を当委員会に届け出なければならないこととされております。今般、各地方公共団体から法施行条例等の届出を受ける中で、４月調査の団体の回答に誤りがあることが発覚し、４月時点で未措置であった団体が少なくとも３団体存在していたこと、また、そのうち、12月20日、本日時点で１団体が未措置であることが判明しております。
今後、このほかの未措置団体の有無について、法施行条例等の届出、公表手続を通じて、
引き続き確認するとともに、判明した未措置団体に対して、早急に条例を整備するよう働
きかけを行うことといたします。
以上で事務局からの説明を終わりますが、資料につきましては、委員会終了後、当委員会のホームページにて公表することを予定しております。
以上でございます。
○丹野委員長ありがとうございます。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
よろしいですか。
30

では、私から。
ただいま事務局から、条例整備状況調査の回答に誤りがあったことから、本年４月 26日
及び10月11日の委員会で報告された調査結果と、条例届出手続において確認された内容とに齟齬が認められた旨の報告がございました。これを踏まえると、一部の地方公共団体においては、個人情報保護法の理解が十分でない可能性があり、事務局においては、全ての地方公共団体における適正かつ円滑な形での法の運用を確保するため、引き続き地方公共団体に対する支援・助言及び適切な対応を改めてお願いしたいと思います。よろしくお願いします。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
先ほど、事務局が説明しましたように、本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
○丹野委員長

次の議題は、監督関係者以外の方は御退席願います。
（監督関係者以外退室）○丹野委員長それでは、議題７「監視・監督について」、事務局から説明をお願いいたします。
（内容について非公表）○丹野委員長

本日の議題は以上でございます。

本日の会議はこれで閉会といたします。

31