個人情報保護法の過去・現在・未来

慶應義塾大学 総合政策学部 教授
新保 史生

我が国の個人情報保護制度の沿革

OECDプライバシー８原則(1980年）
日本及び諸外国における個人情報保護制度整備の端緒
「プライバシー保護と個人データの流通についてのガイドラインに関する理事会勧告」（ＯＥＣＤプライバシーガイドライン）（1980年採択）（2013年改正）①収集制限の原則

行政機関個人情報保護法(1988年)②データ内容の原則

日本で最初の個人情報保護法の制定


対象は国の行政機関のみ「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」 （昭和63年(1988年)12月16日法律第95号）③目的明確化の原則④利用制限の原則

プライバシーマーク制度(1998年)⑤安全保護の原則

民間部門における取り組み⑥公開の原則「民間部門における個人情報保護のためのガイドライン」（財）日本情報処理開発協会(ＪＩＰＤＥＣ)（1988年）

「民間部門における電子計算機処理に係る個人情報の保護に関するガイドライン」（平成9年(1997年)3月4日通商産業省告示第98号）
プライバシーマーク制度の運用開始（1998年4月1日）
ＪＩＳ Ｑ １５００１「個人情報保護に関するコンプライアンス・プログラムの要求事項」(1999年3月20日制定)
改正ＪＩＳ Ｑ １５００１「個人情報保護マネジメントシステム ― 要求事項」(2006年5月20日改正、2010年10月1日確認)⑦個人参加の原則⑧責任の原則現行の個人情報保護関連五法の制定過程
1999年7月23日「個人情報保護検討部会」（座長：堀部政男 中央大学法学部教授）の開催（12回審議）1999年10月20日「個人情報の保護について」（骨子・座長私案）の公表
11月19日 高度情報通信社会推進本部個人情報保護検討部会「我が国における個人情報保護システムの在り方について（中間報告）の公表
2000年2月4日 「個人情報保護法制化専門委員会」（委員長：園部逸夫 立命館大学大学院客員教授）の開催（28回審議）
2000年10月11日 「個人情報保護基本法制に関する大綱」を決定
大綱に基づいて法律案が作成され、2001年3月27日に、閣法第90号を第１５１回国会に提出
2001年4月18日 総務大臣決裁により、総務大臣政務官主宰の「行政機関等個人情報保護法制研究会」（座長：茂串俊 元内閣法制局長官。）を開催（11回審議）
2002年3月15日に、閣法第70号～73号を第１５４回国会に提出
2002年12月13日に、衆議院内閣委員会において、個人情報保護五法案の廃案を決定（マスコミ規制法批判）
2003年3月7日に、修正個人情報保護関連５法案 閣法第71号～75号を第156回国会に提出

2003年5月23日、個人情報保護関連５法成立： 同月30日公布©2016 SHIMPO Fumio

現行の日本の個人情報保護制度の全体像
基本方針
個人情報保護法
行政機関等個人情報保護法

法令に基づく個人情報の保護基本方針（閣議決定された個人情報保護に関する基本方針）
基本法及び民間部門の個人情報取扱事業者の義務を定めた法律（個人情報の保護に関する法律及び政令等）
行政機関及び独立行政法人等の公的部門を対象とした法律（行政機関等個人情報保護法及び政令等）
個別法令における個人情報保護を目的とした規定に基づく個人情報の保護（派遣業法，職安法等の法令）
個人情報の漏えいや不正利用等の行為に対する法的責任を追及する上で用いられる法令（不正競争防止法等）
法令の定める職業上の秘密保持義務規定（公務員法，各種の士業法等）

個人情報保護条例

地方自治体の個人情報保護条例

個人情報保護法第８条に基づく各府省庁ガイドライン

各省庁や業界ガイドライン

その他の法令に基づく規格やガイドライン（工業標準化法，プロバイダ責任制限法，電子署名法等に基づくガイドライン）

行政機関が行政機関等を対象に策定したガイドライン（安全管理や情報通信技術の利用）
民間団体が民間部門を対象に策定したガイドライン（業界ガイドライン等）

現行の個人情報保護関連五法
２００３年５月２３日成立： 同年同月３０日公布・施行
行政機関等個人情報保護法と個人情報保護法の個人情報取扱事業者に対する具体的義務を課す第４章から第６章までの義務規定及び附則第２条から第６条までの規定については、２００５年４月１日施行

個人情報の保護に関する法律（平成１５年法律第５７号）

行政機関の保有する個人情報の保護に関する法律（平成１５年法律第５８号）

独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号）

情報公開・個人情報保護審査会設置法（平成１５年法律第６０号）

行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律（平成１５年法律第６１号）©2016 SHIMPO Fumio

個人情報保護法の適用範囲
民間部門

個人
情報
保護法

基本法部分

公的部門

個人
情報
保護法

行
政
機関個
人
情報
保護法

独立
行
政
法
人
等

情報公開・個人情報保護審査会設置
法

行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律（整備法）

地方公共団体には個人情報保護関連五法の義務規定は適用されない

地
方
公
共団
体の条
例
１７１８団体(平成26年4月5日以降）

基本理念
国及び地方公共団体の責務等
個人情報の保護に関する施策等

個人情報の保護に関する基本方針

6

現行の個人情報保護法に基づく主務大臣の所掌範囲
金融庁

経済産業省

金融安全管理
実務指針

信用情報

国土交通省
国土交通

不動産流通業

情報健康情報処
船員の雇用管理理 労働者派遣

医療・介護
債権回収

医療情報システム安全管理

法務省
法務

警察共済組合国家公安委員会

外務省

個
人
遺事業一般
伝
情
医
療 雇用管理一般 報

警察外務＊斜体は通達／下線は通知

職業紹介

厚生労働省
労働組合

福祉
企業年金
健保組合
国民健康保険組合

文部科学省
ヒトゲノ
ム・遺伝
子解析
研究

遺伝子治療臨
床研究

文部科学
教育
電気通信
放送

ヒト幹細胞
臨床研究

郵便事業

疫学研究

信書便事業

臨床研究

総務省

環境省
環境

地方公務員
共済組合

防衛省

財務省

農林水産省

防衛財務

農林水産

©2016 SHIMPO Fumio

個人情報取扱事業者の義務

個人情報● 利用目的の特定、利用目的による制限（15条、16条）

個人情報を取り扱うに当たり、その利用目的をできる限り特定特定された利用目的の達成に必要な範囲を超えた個人情報の取扱いの原則禁止● 適正な取得、取得に際しての利用目的の通知等（17条、18条）
偽りその他不正の手段による個人情報の取得の禁止
個人情報を取得した際の利用目的の通知又は公表
本人から直接個人情報を取得する場合の利用目的の明示● 苦情の処理（36条）
個人情報の取扱いに関する苦情の適切かつ迅速な処理

個人データ

保有個人データ● データ内容の正確性の確保（19条）● 保有個人データ事項の公表等（24条）

利用目的の達成に必要な範囲内で個人データの正確性、最新性を確保● 安全管理措置(20条）

保有個人データの利用目的、開示等に必要な手続等についての公表等● 開示、訂正等、利用停止等（25～27条）

個人データの安全管理のために必要かつ適切な措置● 従業者・委託先の監督（21条、22条）

保有個人データの本人からの求めに応じ、開示、訂正等、利用停止等● 理由の説明（28条）
本人関与に関する理由の説明
保有個人データ

従業者・委託先に対する 必 要かつ適切な監督● 第三者提供の制限（23条）● 開示手続、手数料（29条、30条）

本人の同意を得ない個人データの第三者提供の原則禁止©2016 SHIMPO Fumio

個人情報保護制度をめぐる検討


国民生活審議会個人情報保護部会
第１９次国民生活審議会個人情報保護部会(2003-2005）
 第２０次国民生活審議会個人情報保護部会(2005-2007)
 第２１次国民生活審議会個人情報保護部会(2007-2009)「個人情報保護に関する取りまとめ(意見)」(2007.6.29)


消費者委員会個人情報保護専門調査会
消費者委員会個人情報保護専門調査会（2010-2011.7.26）「個人情報保護法及びその運用に関する主な検討課題」(2011.7)





経済産業省
ＩＴ融合フォーラムパーソナルデータワーキンググループ(2012.11.29-2013.4.10)「パーソナルデータ利活用の基盤となる消費者と事業者の信頼関係の構築に向けて」（2013.5.10報告書公表）
 パーソナルデータの利活用に関する事前相談評価試行（2013.9.20募集開始）




総務省
パーソナルデータの利用・流通に関する研究会(2012.11.1-2013.6.11)「パーソナルデータの利用・流通に関する研究会報告書 ～パーソナルデータの適正な利用・流通の促進に向けた方策～」（2013.6.12報告書公表）

高度情報通信ネットワーク社会推進戦略本部（ＩＴ総合戦略本部）
パーソナルデータに関する検討会（2013.9.2-2013.12.10）

技術検討ワーキンググループ（2013.9.27-2013.11.8）

パーソナルデータの利活用に関する制度見直し方針（2013.12.20）
パーソナルデータの利活用に関する制度改正大綱（2014.6.24）©2016 SHIMPO Fumio

高度情報通信ネットワーク社会推進戦略本部（ＩＴ総合戦略本部）

高度情報通信ネットワーク社会推進戦略本部（ＩＴ総合戦略本部）
本部長 ：内閣総理大臣
副本部長 ：IT政策担当大臣、内閣官房長官、総務大臣、経済産業大臣
本部員 ：本部長・副本部長を除く全国務大臣、内閣情報通信政策監及び有識者（10名以内）

新戦略推進専門調査会（親会）
会長： 内閣情報通信政策監（政府ＣＩＯ）
委員： 高度情報通信ネットワーク社会の形成に関し優れた見識を有する者のうちから、内閣総理大臣が任命する者

高度情報通信ネットワーク社会の形成に関する政府の戦略等の推進管理等を行う

電子行
政分
科会

農業
分
科会

医療・
健康分
科会

人材
育成分
科会

防災・減災
分
科会

新産業
分
科会

道路
交
通分
科会

規制
制
度
改
革分
科会

各（府Ｃ省
Ｉ情Ｏ報）化
連統
絡括会責
議任
者

デ電ー子
タ 行
実政
務オ
者ー
会プ
議ン

ワー
キン デグー
グタ
ルー
プ

ワー
キルン ー
グル
グ・
ル普ー及
プ

パ
関ー
すソる ナ
検ル
討デ会ー
タに

ワー
キン 技
グ術
グ検ル討
ー
プ

Ｉ
活Ｔ
用コ
促ミ
進ュ
戦ニ
略ケ
会ー
議シ
ョン

情報
政セ
策キ会ュ
議リ
テ
ィパーソナルデータに関する検討会について
パーソナルデータに関する利活用ルールの明確化等に関する調査及び検討
座 長：宇賀克也 東京大学教授 （2014.1～）
委 員：研究者、弁護士、消費者、経済界から人選
オブザーバ：消費者庁、特定個人情報保護委員会
事務局：内閣官房 IT総合戦略室、総務省、経済産業省
伊藤 清彦

公益社団法人経済同友会常務理事

宇賀 克也

東京大学大学院法学政治学研究科教授

金丸 恭文

フューチャーアーキテクト株式会社代表取締役会長兼社長

佐藤 一郎

国立情報学研究所アーキテクチャ科学研究系教授

宍戸 常寿

東京大学大学院法学政治学研究科教授

新保 史生

慶應義塾大学総合政策学部教授

鈴木 正朝

新潟大学法学部教授

滝 久雄

株式会社ぐるなび代表取締役会長

長田 三紀

全国地域婦人団体連絡協議会事務局次長

松岡 萬里野 財団法人日本消費者協会会長
椋田 哲史

一般社団法人日本経済団体連合会常務理事

森 亮二

英知法律事務所弁護士

安岡 寛道

株式会社野村総合研究所上級コンサルタント

山本 隆一

東京大学大学院情報学環・学際情報学府准教授

技術検討ワーキンググループの概要
主 査：佐藤一郎 国立情報学研究所教授
主査代理 ：森亮二 弁護士
事務局：内閣官房 IT総合戦略室、総務省、経済産業省＜2013年の検討テーマ：合理的な水準の匿名化とは＞◆第1回～第4回

中央大学 経済学部 准伊藤 伸介 教授

日本ＩＢＭスマーター・シティ

技術検討WG報告書（2013年12月10日第5回パーソナルデータに関する検討会）
パーソナルデータの利活用に関する制度見直し方針へ検討結果が反映

岡村 久和 ー事業・部長

明治大学 総合数理学部

菊池 浩明 教授

筑波大学 システム情報工

佐久間 淳 学研究科 准教授

国立情報学研究所 アーキ＜2014年の検討テーマ：個人情報等の定義等について＞◆第５回～第６回

佐藤 一郎 テクチャ科学研究系 教授
日本ヒューレットパッカード

佐藤 慶浩 個人情報保護対策室長

技術検討WG報告書（2014年5月29日
第10回パーソナルデータに関する検討会）
パーソナルデータの利活用に関する制度改正大綱へ検討結果が一部反映

ＮＴＴセキュアプラットフォー

高橋 克巳 ム研究所 主席研究員
松本 泰

セコム株式会社ＩＳ研究所
コミュニケーションプラットフォーム
ディビジョン マネージャー

森 亮二

英知法律事務所 弁護士

個人情報保護制度の国際関係

プライバシーコミッショナー会議OECD（世界の個人情報保護機関の集まり）

プライバシー・ガイドライン(2013年改正）
越境協力勧告 /セキュリティ勧告等
プライバシー執行機関の整備

GPEN（Global PrivacyEnforcement Network)

OECD加盟国間で国境を越えて個人情報保護への取り組みを行うネットワーク

日本 米国
個人情報保護法APPA(Asia PacificPrivacy Authorities)

プライバシー・フレームワーク
越境プライバシー・ルール(CBPR)
越境執行協力協定(CPEA)
個人情報の漏えいなどが国境を越えて発生した場合などに対応可能な越境執行協力

APEC個別法•データ保護機関としての認定基準•法的基礎、自主性及び独立性、国際基準との整合性、適正な機能
日本はオブザーバ参加

欧州評議会条約第108号(1981)
及び同追加議定書 (2001)（個人データの自動処理に係る個人の保護に関する条約）

ＥＵ
個人データ保護指令
個人データ保護指令による第三国への個人データの移転制限
EUが定める「十分なレベルの保護基準」

個人データ保護規則（案）（2012年1月25日公表、2013年10月21日欧州議会採択、2015年12月17日合意）

・データ主体の権利の拡大（忘れられる権利（消去権）、データ・ポータビリティ、プロファイリングの制限）
・セキュリティ（情報漏洩時の通報義務）
・管理責任（データ保護影響評価、データ保護のためのマーク（シール）制度）
・個人データの移転（統一的な手続）・独立の個人情報保護機関の設置は必須要件

パーソナルデータの利活用に関する制度改正大綱(平成26年6月24日)
Ⅰ

目的・基本理念

Ⅱ パーソナルデータの利活用を促進するための枠組みの導入等

１ 個人が特定される可能性を低減したデータの取扱い

Ⅲ 基本的な制度の枠組
みとこれを補完する民間の自主的な取組の活用

１ 基本的な制度の枠組みに関する規律

Ⅳ 第三者機関の体制整備等による実効性ある制度執行の確保

１ 第三者機関の体制整備

Ⅴ グローバル化への対応

１ 域外適用
２ 執行協力３ 他国との情報移転

Ⅵ その他の制度改正事項
Ⅶ 継続的な検討課題

２ 行政機関及び独立行政法人等が保有するパーソナルデータの取扱い

２ 民間主導による自主規制ルール策定・遵守の枠組みの創設
３ 民間主導による国境を越えたパーソナルデータ移転の枠組み

２ 行政機関、独立行政法人等、地方公共団体及び事業者間のルールの整合性
３ 開示等の在り方

１ 取り扱う個人情報の規模が小さい事業者等の取扱い
２ 学術研究目的の個人情報等の取扱い
１ 新たな紛争処理体制の在り方
２ いわゆるプロファイリング
３ プライバシー影響評価（PIA）
４ いわゆる名簿屋規制

制度改正の趣旨「パーソナルデータの利活用に関する制度改正大綱」(平成26年6月24日)
背景
 個人情報保護法（現行法は2003年制定）の制定から10余年が経過 情報通信技術の飛躍的な進展

多種多様かつ膨大なデータ、いわゆるビッグデータの収集・分析が可能

利ビ
活ッ用グ推デ進ータ

新産業・新サービスの創出や我が国を取り巻く諸課題の解決に大きく貢献するなど、これからの我が国発のイノベーション創出に寄与するものと期待

個人の行動・状態等に関する情報に代表されるパーソナルデータ

高度な情報通信技術を用いた方法により、本人の利益のみならず公益のために利活用することが可能

自由な利活用が許容されるのかが不明確な「グレーゾーン」が発生・拡大

個人情報及びプライバシーという概念が世の中に広く認識されている
 悪用されるのではないかという不安 十分な注意を払ってパーソナルデータを取り扱って欲しいなどの消費者の意識が拡大グレーゾーン

保護されるべきパーソナルデータが適正に取り扱われることを明らかにし、消費者の安心感を生む制度の構築が望まれている
パーソナルデータの利活用に当たって、保護すべき情報の範囲や事業者が遵守すべきルールが曖昧になりつつある個人情報保護法の改正
個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成２７年９月９日法律第６５号）
平成27年９月３日成立・同月９日公布

１．個人情報の定義の明確化

改正個人情報保護法の主な整備事項
修正(1)個人情報の定義（２条１項及び２項）

２．適切な規律の下で個人情報等の有用性を確保するための規定の整備
新設(1)匿名加工情報に関する規定（２条９項及び１０項、３６条から３９条）

微修正(2)利用目的の制限の緩和（１５条２項）

修正(3)情報の利用方法からみた規制対象の縮小（２条４項）

３．個人情報の保護を強化するための規定の整備
新設(1)要配慮個人情報に関する規定（２条３項、１７条２項、２３条２項）

新設(2)第三者提供に係る確認及び記録の作成の義務付け（２５条及び２６条）

新設(3)不正な利益を図る目的による個人情報データベース等提供罪（８３条）

修正(4)本人同意を得ない第三者提供への関与（オプトアウト規定の見直し）（２３条２項から４項）

削除(5)小規模事業者の適用除外（２条５項５号削除）

修正(6)個人データの消去の努力義務の追加（１９条）

修正(7)開示等請求権の明確化（２８条から３４条）

４．個人情報保護委員会の新設及びその権限に関する規定の整備
新設(1)個人情報保護委員会の主な権限（４０条から４６条、５９条から７４条、７８条、７９条）

新設(2)個人情報保護指針の作成への関与（５３条２項及び３項）

５．個人情報の取扱いのグローバル化に対応するための規定の整備
新設(1)国境を越えた個人情報の取扱いに対する適用範囲に関する規定の整備（７５条）

新設(2)外国執行当局への情報提供に関する規定の整備（７８条）

新設(3)個人データの外国にある第三者への提供の制限（２４条）

改正個人情報保護法のポイント①個人情報の定義「個人情報」の定義（範囲）に変更なし → 定義の明確化のための明記・追加「個人識別符号」の定義を明記①身体特徴量／②役務利用、商品購入
・ (政令事項）又はカード等に付される符号

・ 特定の個人を識別可能な符号（個人情報に該当するにもかかわらず、個人情報として「意識（認識）」していなかった情報の取扱いのあり方が問われる）「要配慮個人情報」、「匿名加工情報」、「匿名加工情報取扱事業者」、「匿名加工情報データベース等」の定義の追加②匿名加工情報

第三者提供・目的外利用の本人同意が不要な情報

特定の個人を識別することができないよう加工した情報（個人情報として復元できないもの）
個人情報取扱事業者としての義務【作成】加工方法（法定、安全管理）／公表（個人に関する情報の項目、安全管理措置等）／明示（匿名加工情報）／復元の禁止

匿名加工情報取扱事業者としての義務【提供】公表（個人に関する情報の項目、提供方法）／明示（匿名加工情報であること）【識別行為の禁止】再識別化の禁止 【安全管理措置等】③利用目的制限の緩和「相当の」が削除される → 利用が可能となる場面は？
「個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」

具体例（私見）：エアコンの購入時にＤＭの送付など広告目的での利用を明示して取得した個人情報を、購入後にアフターサービスやクリーニングサービスの案内の送付を行うこと。

④ 要配慮個人情報の取得制限
差別の要因となる個人情報の取得を禁止
本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実
不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述⑤ 個人データの第三者提供に係る確認及び記録の作成の義務付け【提供する場合】 記録 提供した年月日、提供先の第三者の氏名又は名称その他の委員会規則で定める事項【提供される場合】 確認 ①提供元の氏名又は名称及び住所（法人・団体：代表者・管理人の氏名）②取得の経緯（虚偽×）
記録 提供を受けた年月日、確認に係る事項その他の委員会規則で定める事項⑥不正な利益を図る目的による個人情報データベース提供罪
不正な利益を図る目的での個人情報データベース等の提供・盗用 → 罰則の適用
直罰規定による罰則の適用
情報漏えいへの萎縮効果
罰則の新設に伴う社会的制裁の変化の可能性⑦ オプトアウト規定の見直し
オプトアウトを実施する場合 → 個人情報保護委員会への届出 → 委員会から公表
1.第三者提供すること、2.個人データの項目、3.提供の手段又は方法、4.求めに応じた提供停止、５．本人の求めを受け付ける方法

誰がどこでオプトアウトを実施しているのか確認が可能に （現状は、消費者が自分で見つけてオプトアウトを請求することは困難）

⑧小規模事業者の適用除外撤廃
誰もが、個人情報保護法を遵守する義務を負う
特定の個人の数が5000件以下の小規模事業者の適用除外規定が削除される⑨消去の努力義務
個人データを利用する必要がなくなったとき → 遅滞なく消去
個人データのクリーニング、不要な情報の消去（削除ではない）⑩開示等請求権開示、訂正等、利用停止等の請求を裁判上の権利として位置づけ⑪個人情報保護委員会の設置
監督権限の統一・明確化／立入検査も含む執行権限の強化
苦情処理は「認定個人情報保護団体」が実施⑫グローバル化への対応(1) 国境を越えた個人情報の取扱いにも法執行(2) 外国執行当局への情報提供(3) 個人データの外国にある第三者への提供の制限

個人情報とプライバシーの関係

個人情報領域公知（公開）の情
報

氏名

性別

住所

生年月日

法令等に基づいて公開される場
合がある

公の場

例：住民基本台帳

非公
知要配
慮

職業所得

健康状態
学歴

趣味

人種

信条

社会的身分

病歴
犯罪経歴
犯罪被害事実

社会生活上必要に応じて取得される場合がある

位置
情報

取得禁止
原則：本人同意に基づく取得
例外：法令に基づく場合、生命・身体・財産保護、公衆衛生、公的事務©2016 SHIMPO Fumio

私生活個人の自律

プライバシー