個人情報保護委員会（第２７０回）議事概要
１ 日時：令和６年１月 31 日（水）１３：４０～

２ 場

所：個人情報保護委員会

委員会室

３ 出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官
４ 議事の概要（１）新任の委員からの挨拶について
清水委員から「これまで関西大学会計専門職大学院で公認会計士を目指す学生に会計学及び監査論を教えていた。私自身は、その前職の監査法人時代から継続して、パブリック・セクターの会計、監査及び内部統制を中心としたガバナンスを専門としてきた。実際に数多くの公的機関、特に地方公共団体に、監査やコンサルティング等を通じて関わってきた。
監査というと数字のチェックを思い浮かべがちだが、パブリック・セク
ターの場合、数字の正確性はもちろんのことながら、法令遵守、さらに三つの E、すなわち経済性（Economy）、効率性（Efficiency）及び有効性（Effectiveness）といった観点が重要となる。すなわち、無駄はないのか、効率的に運用されているのかといった点に加え、法の趣旨が適切に達成されているのかといった有効性の観点から実際の運営を検証することが求められるのが特徴といえる。
我が国において個人情報保護法制の所管が委員会に一元化されたところであるが、委員として、地方公共団体等での実際の運用状況を、このような観点から検証することにより、課題を見出し、場合によっては法制度の見直しに繋げることも含め、さらによりよい制度・運用となるよう努めてまいりたい」旨の挨拶があった。
（２）議題１：関東 IT ソフトウェア健康保険組合（適用、給付及び徴収関係事務）の全項目評価書（クラウド型ファイル交換サービスによる個人番号の入手に伴う評価の再実施）について事務局から、資料に基づき説明を行った。
加藤委員から「今般、関東 IT ソフトウェア健康保険組合は、新たにファイル交換サービスを利用して特定個人情報を入手することとなる。
利用するファイル交換サービス自体は、国際規格及び、ISMAP の認証取得や暗号化、ファイアウォールの設置、データセンターの物理的対策等、様々なリスク対策が講じられているという説明であった。

一方で、ファイル交換サービスを用いて実際に事務を行うのは人間であるため、適切な使い方がなされない場合は、特定個人情報の漏えいにつながるおそれもある。
そのため、手作業が介在する場面のリスク対策も含め、新たに講じるリス
ク対策が確実に実行されるように研修や説明会を通じて関東 IT ソフトウェ
ア健康保険組合、事業所の職員への意識づけを行うとともに、評価書に記載された対策が、従前のリスク対策も含めて適切に実行されているか、自ら確認していくことが重要であると考える」旨の発言があった。
本評価書について承認され、関東 IT ソフトウェア健康保険組合に対し、評価書が承認された旨及び承認後に評価書に記載すべき委員会の審査結果等について通知することとなった。
（３）議題２：いわゆる３年ごと見直し（ヒアリング）
個人情報保護委員会議事運営規程第９条の規定に基づき、日本経済団体連合会（以下「経団連」という。）デジタルエコノミー推進委員会データ法
制 WG 若目田主査及び産業技術本部中嶋統括主幹が会議に出席した。
経団連から、資料に基づき説明があった。
大島委員から「我が国において、個人情報の不適正利用事案や、個人情報データベース等の不正提供等事案が発生している。諸外国における直近の執行状況等を踏まえると、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げや直罰化、課徴金制度の導入等を検討すべきと考えるが、厳罰化についてどのように考えておられるか。2019 年のヒアリング時の御意見では課徴金については、慎重な検討が必要とされていたが、現時点の御意見はいかがか」という旨の質問があった。
これに対し、経団連から「基本的には、課徴金については慎重に御検討いただきたい。漏えい事案が増えていることについては、我々産業界側も十分に改善すべき点であると考えるが、漏えいに関する状況や背景も多様化しており、過去の事案の蓄積に基づき表面的でない踏み込んだ分析のうえ、実効性のある対応策が何かをエビデンスベースで確認していただきたい。そして、罰則を適用しなければ改善できない一部の事案について、他国の制度に倣うのではなく、我が国が蓄積したデータに基づいた分析結果から検討していくべきではないか、というのが個人的な意見である」旨の回答があった。
小笠原委員から「７ページ、（６）のこどもの権利利益保護のための規律について、３点質問する。
１点目は、現状はこどもの権利利益保護の規律はないわけだが、このことによってどういう問題が生じているか具体的な事例を教えていただきたい。
２点目として仮に諸外国と同様の規律を導入した場合に、どのような問題が生じると考えられるのかを教えていただきたい。
３点目として、こどものデータの取扱いや同意の在り方について、どのような規定が望ましいと現段階で考えているか教えていただきたい」旨の発言があった。
これに対し、経団連から「保護者とこどもの問題において、こどもの人権保護の観点と教育の観点など、整理がついていない。教育データについては、例えば、同意をしなければ教育を受けられないといった環境的な複雑さがあると思っている。こどもの人権保護と教育を明確に整理した上で、様々な議論をスタートすべきと理解しているが、企業が何らかのサービスを提供する際に、残念ながら判断材料が少ないのが現状。スマートシティの実証もそうだが、かなり限定的な活用にとどまっていると認識している。
教育の観点では、一人一台デバイスを配布する中、システムを安定稼働させるためのログ取得等、適正に使用することと、それをどのように使用するかということなど、今の基準をより具体化する必要がある。
２点目、規制強化に伴い発生し得る負担についての意見もあったと思うが、この部分は、必要があれば別途議論させていただきたい。
最後、同意等に関しどのような規定が必要かといったところまで具体的な要望を集約できていない。集約できていないこと自体が課題であると認識している。また、我が国では、こどもに加え、認知症など高齢化社会に向けて議論しても良いのではないか」という旨の回答があった。
髙村委員から「６ページ、（３）について、『同意以外の方法についても検討することが適当』とのことだが、現行の個人情報保護法でも、公衆衛生例外等の例外規定を設けているところ、これらの例外規定で賄いきれない事態は生じているのか。また、そういう事態について、どういう規定があれば、個人の権利利益の保護も含めてうまく対応ができるか教えていただきたい」
旨の発言があった。
これに対し、経団連から「大変重要な御質問にもかかわらず具体的な例示ができず申し訳ないが、いくつかケースがあったかと思うので別途報告させていただきたい。適用除外の中での判断基準もそうだが、日常的な事業展開の中でのケースが実際にあったと思うので、具体的なものを含めて対応の方向性を別途お示ししたい」旨の回答があった。
また、髙村委員から「11 ページについて、『利用ニーズに合致した特別法を整備すべき』との御意見もあったということだが、準公共分野として、どういう特別法があればよいか、どういうニーズがあるか。また、現行の例外規定では賄えない、不十分と考えられる理由についても併せて教えていただきたい」旨の発言があった。
これに対し、経団連から「当該意見は製薬会社から寄せられたものだったと承知している。EU で議論されているヨーロピアンヘルスデータスペース

（EHDS）のイメージに近いような、大量のデータを使用する際、その目的が適正である場合には、何らかの審査を経て第三者提供をするといった活用や、社会課題に貢献するような活用を可能にしてほしいといった要望であった。製薬が、地球全体に貢献するという意味で、共同研究に関して学術利用の適用除外として取扱いできる部分もあるという理解をしているが、実態として現状の要件だけでは不足している部分もあるのではないか」という旨の回答があった。
また、髙村委員から「医療分野以外に、準公共分野として例外を設けるべきだという意見はあったか」という旨の質問があった。
これに対し、経団連から「今のところ出てはいない。個人的な意見ではあるが、防災におけるデータの活用に関しても、人命、財産に係るため適用除外であると思うが、いわゆる 2000 個問題の解消に伴い具体的に機能しているかをチェックした上で、必要があれば医療に準じる形で何らかの法整備の必要性もあるかもしれないと思っている領域ではある」旨の回答があった。
また、髙村委員から「資料では触れられていないが、オプトアプト制度について、何らかの御意見があれば教えていただきたい」旨の発言があった。
これに対し、経団連から「今回の議論に参加している企業からは、オプトアウトに関する意見は出ていない」旨の回答があった。
小川委員から「７ページ、（４）について、秘密計算等の専門性が高い技術については、一般利用者がその技術の内容と、技術によって個人の権利利益の保護はどの程度達成できるのかということを理解して、安心して使ってもらうことが大事だと思う。まずは、当該技術を開発、利用する事業者が、その妥当性を含めて適切かつ丁寧に利用者に説明することが必要であると考えるが、経団連あるいはその会員企業ではどのような取組を考えているか教えていただきたい」旨の発言があった。
これに対し、経団連から「個人の権利利益の保護に有効な技術であっても、理解が進まないことにより普及が進まないことは非常に重要な問題である。
取組の一例としては、秘密計算の社会実装に向け、産官学すべての関係者が集まりイベントを開催したことがあるが、そこでも理解促進の必要性が提示された。また、デザインの手法による伝え方の工夫や、複数の企業の結託などの反応、個人情報が漏えいしていないということを第三者がチェックする仕組み、技術、運用体制を含めた何らかの認証、認定の仕組みなど、さらなる取組が必要ではないかといったことが提言されている」旨の回答があった。
また、小川委員から「いろいろな実装実験が行われていると思うが、その中で一般の利用者から出ている御意見を教えていただきたい」旨の発言があった。

これに対し、経団連から「実験において、個人情報の取扱いに対する一般利用者からの意見の吸い上げが不足している点が課題。これは調達側にも問題があるかと思うが、結果的にどう感じたかなど今の時点では承知はしていない。ただし、類似の取組として、コンビニ業界では無人レジで成人確認するシステムの検討において、個人情報の取扱いに関し、消費者にアンケートやグループインタビューを行い、それを踏まえ業界団体で共通ルールを作った。そうした取組を増やしていくことは良いのではないかと考えている」旨の回答があった。
また、小川委員から「最後のページ、生成 AI などの新しい技術について、『ガイドライン等の記載は必要最小限にとどめるべき』とのことだが、一方で、ガイドライン等で解釈を明確化してほしいという声もあると理解している。特に生成 AI に関しては、データの収集、学習、利用者によるデータの入力、出力といったいろいろな論点があると考えられるが、ガイドライン等の『必要最小限』の記載とは、具体的にどのような内容をイメージしているか。また、現行の規律の下で、何らかの課題が生じているのであれば、具体的に教えていただきたい。なお、それらの課題は、他の技術分野でも共通なのか、それとも、生成 AI 独自の課題なのか教えていただきたい」旨の発言があった。
これに対し、経団連から「ガイドライン等への必要最小限の記載については、どの程度の記述にとどめてほしいという具体的な意見はとりまとまっていない。企業のポリシーによって、自由度を持った活動を望む企業もあれば、明確に示してもらった上でそれに従うほうが良いという企業もあり、本件に限らずさじ加減が難しいところと理解している。生成 AI についても同様に両面あると認識している。
具体的な課題について、企業の従前のポリシーに対して生成 AI そのものが馴染みにくい部分があり、その点の見直しは各社対応をしている。まだ生成 AI の利用を認めていない企業では、上位ポリシーの厳格性から対応を控えるべきとしている。個々の事情は様々あるが、生成 AI の特性によるものもあると認識している」旨の回答があった。
また、経団連から「経団連では昨年 10 月に提言『AI 活用戦略』をアップデートした。企業のイノベーションを阻害することのないように、国際的な整合性に留意しつつ、企業としてコンプライすべき、必要最小限の『ガードレール』の要件を提示することが必要。また、データ活用に関しては、経団連として Society 5.0 for SDGs 実現の観点からは、プライバシー、セキュリティ、データの自由な流通のバランスを取ることの重要性を訴えてきたところ。今後とも、個人情報保護委員会の委員の皆様の御指導も踏まえつつ、取り組んでいきたい」旨の回答があった。
さらに小川委員から「『ガードレール』とおっしゃったが、ルール化の検討はされているか」という旨の質問があった。
これに対し、経団連から「まさに官邸の AI 戦略会議で議論が進められ、広島 AI プロセスに従って、我が国の研究開発のあり方等も含め検討が進められているものと認識。御指摘のルール化については、経団連から積極的にお示しするということではなく、政府との対話等を通じて気付きの点をお伝えしながら、日本が AI について後れを取っている面などあれば、産官学一体で取り組んでまいりたい」旨の回答があった。
浅井委員から「最近の漏えい等事案の例に鑑みると、委託先事業者や派遣職員を含めた安全管理体制の整備や、システム設計や運用を含めたヒューマンエラーの防止策、不正アクセス対策等の安全管理措置を講じることが重要と考えるが、事業者の主体的な取組や適切な対応を促す仕組みとして、具体的にどのようなものが有効と考えられるか。団体や事業者として自主的に取り組んでいる事例、内容などがあれば教えていただきたい」旨の発言があった。
これに対し、経団連から「プライバシーガバナンスとして、実際に企業自身が社外の有識者から助言を得る体制を整備し、第三者の目を入れていくといった取組が多くスタートしている。また、ESG において、サイバーセキュリティやプライバシーの保護を掲げ、その取組をステークホルダーが評価していくといったこともスタートしている。既存の企業ガバナンスのメカニズムの中でチェックの目線を持ちながら、積極的に安全管理措置を進めていくのは健全な運営ではないかと考える」旨の回答があった。
また、経団連から「経団連としても、『個人データ適正利用経営宣言』（2019年 10 月）等において、データの利活用を進める上で当然の大前提として、企業が自ら襟を正してデータを適正に利用することを宣言するよう慫慂。
こうした取組があることをお含みおきいただきたい」旨の発言があった。
清水委員から「１点目として、個人情報保護委員会の在り方について、グランドデザインの策定と記載いただいているが、具体的にはどういうことが現状で不足しているということかお伺いしたい。かつ、企画・戦略の部分とモニタリング機能を分離すべきとのことだったと思うが、そこが不十分という御意見だったのかお教えいただきたい。
２点目は、実効性ある監視・監督の在り方ということで９ページに記載いただいており、メリハリのある監視・監督を目指すべきだという御意見だと思う。リスクに着目した監視・監督の在り方ということで、経団連は先進国で活動する会員企業も多いと思うので、先進国での良いプラクティスについて、調査等で知見としてお持ちか伺いたい」旨の発言があった。
これに対し、経団連から「１点目について、現在、両方の機能を有されていることは承知している。各種政策や技術が多様化する中、より専門性を高め、機能も強化する観点から、企画・戦略の機能と実際に監督・監視する機能は分ける方が良いのではないかという意見があった。
２点目について、具体的にどの国のこの運用が良いのではないかという意見が寄せられているわけではなく、企業目線の実態を列挙している。どこかの国を参考にするということではなく、我が国の企業文化、慣習にも様々あろうかと思う。我が国の企業が努力しても、第三者が提供するプラットフ
ォームに何らかの不具合が生じることでインシデントが発生する場合もある。そういう意味で、大量に蓄積されてきた事案を分析した上で、何をもって適切なラインにしていくかをチェックいただくとよいのではないかという意見である」旨の回答があった。
藤原委員長から「漏えい等報告の義務について、御説明の中でおそれのある事案についても速やかに報告するという姿勢は、漏えい等発生時の初動対応として、被害拡大防止に向けた取組等を含めた執行当局による状況把握という観点からも必要なものと理解している。その上で、本日の御意見は現実に全てのケースが報告されているという御認識か。また、おそれのある事案の定義や条件について、どういった内容であれば企業の実務や発生している漏えい等事案の実態に合ったものとなるか、お考えがあれば是非お聞かせいただきたい」旨の発言があった。
これに対し、経団連から「今回意見を寄せられた企業は、比較的規模の大きな企業、データの取扱いが多い企業が多かったが、基本的には、『おそれ』があれば積極的に報告するという方向で考えている。ただ、企業の目線で見たときに、気付かずに報告していないというケースもあるのではないかということは感想として申していた。様々な事例が出てきていることに鑑み、好事例は公表しにくい部分かもしれないが、そのような事例を示していただきたい。過去の事例を整理・分析いただいた上で、エビデンスベースで技術面によるもの等、事例を分類して示していただきたい。また、トレンドの変化があった場合には、その旨共有いただくことが望ましいのではないかという意見であった」旨の回答があった。
藤原委員長から「頂いた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」旨の発言があった。
（４）議題３：委員長代理の決定について※内容について非公表
以上