日時：令和６年６月 26 日（水）13：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、梶田委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は全委員が御出席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから第292回個人情報保護委員会を開会いたします。

初めに、個人情報保護委員会議事運営規程第３条第３項の規定に基づき、６月19日に開催した第291回個人情報保護委員会の審議の結果を事務局より報告願います。
○森川総務課長

第291回個人情報保護委員会の報告をいたします。議題は「デジタル社会の実現に向けた重点計画（案）に対する意見聴取について」です。当該議題について御審議いただき、原案のとおり決定いたしました。
御報告は以上となります。
○藤原委員長ありがとうございました。

それでは、議事に入ります。
本日の議題は四つです。
議題１「いわゆる３年ごと見直しに係る検討の中間整理（案）について」、事務局から説明をお願いします。
○芦田企画官

それでは、資料に沿って御説明させていただきます。

本日の委員会においては、いわゆる３年ごと見直しについて、中間整理案の御議論をお願いできればと考えております。これから資料に沿って順次御説明いたします。
２ページを御覧ください。ここでは、「第１はじめに」として本中間整理の位置づけ

等について記載しています。個人情報保護法のいわゆる３年ごと見直しは、令和２年改正
法附則第10条の規定を踏まえ、昨年９月及び10月の委員会において令和２年改正法及び令和３年改正法の施行状況を確認した上で、同年11月の委員会において検討を開始しました。
その後、本年２月の第273回個人情報保護委員会において「個人情報保護法

いわゆる３年ごと見直し規定に基づく検討項目」を公表し、以降、関係団体や有識者からのヒアリングを実施するとともに各検討項目について議論を重ねてきました。
本文書は、その「中間整理」としてこれまでの議論や検討を踏まえた現時点における委員会の考え方をまとめたものとしています。本文書は、取りまとめられた後においてパブ
リック・コメントに付すこととしており、そこで寄せられた意見を踏まえて最終的な方向
性の取りまとめを行う予定です。また、パブリック・コメント終了後もステークホルダー
1

と継続的な議論を行っていくものであり、こうしたプロセスを踏まえて各検討項目の方向
性を見直すことも想定されるものとしています。
また、本中間整理に挙げているものにとどまらず、今後提起された論点や検討項目についても必要に応じて実態把握や影響分析なども行いながらオープンな議論を進め続けていく必要があるとしています。特に課徴金、団体による差止請求制度や被害回復制度については事業者、個人それぞれに与える影響が大きく、今後とも一層の意見集約作業が必要と考えられることから、ステークホルダーと議論するための場を設けつつ、本年末までを目途に議論を深めていくこととしますが、更なる検討項目の追加等については上記プロセス
等の状況を踏まえて引き続き検討することとしています。
３ページを御覧ください。ここから「第２個別検討事項」として、これまで委員会において御議論いただいた項目について、論点ごとに我が国の現状等と考え方をまとめています。このうち我が国の現状等は、我が国や諸外国の法令の規定や執行の状況をまとめたものです。それぞれの内容は各項目を御議論いただいた委員会において事務局から御説明した資料をベースにしており、内容も重複していますので、説明は割愛させていただき、考え方を中心に御説明させていただきます。
最初に、大きな検討項目の一つ目の「個人の権利利益のより実質的な保護の在り方」の「（１）個人情報等の適正な取扱いに関する規律の在り方」についてです。まず、「ア要保護性の高い個人情報の取扱いについて（生体データ）」について、３ページの一番下の段落から考え方を記載しています。生体データは長期にわたり特定の個人を追跡することに利用できる等の特徴を持ち得るものであり、特に特定の個人を識別することができる水準が確保されている場合において、通常の個人情報と比較して個人の権利利益に与える影
響は大きく、保護の必要性が高いと考えられます。
他方、生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することも想定されるものです。これを踏まえ、生体データの取扱いについて、諸外国における法制度なども参考にしつつ、特に要保護性が高いと考えられる生体データについて実効性ある規律を設けることを検討する必要があるとしています。
この点について、関係団体からは事業者の自主的な取組を促進すべきとの声もありましたが、本人関与や安全管理措置等を通じた個人の権利利益の保護とのバランスを踏まえ、検討を進める必要があるとしています。
まず、現行法上、個人情報の利用目的についてはできる限り特定しなければならないとしていますが、生体データの要保護性を踏まえると、生体データを取り扱う場合においては、例えばどのようなサービスやプロジェクトに利用するかを含めた形で利用目的を特定することを求めることが考えられるとしています。
また、個人の権利利益の保護という観点からは、生体データの利用について本人がより直接的に関与できる必要があるとしています。そのため、生体データの取扱いに関する一定の事項を本人に対し通知又は十分に周知することを前提に、本人による事後的な利用停
2

止を他の保有個人データ以上に柔軟に可能とすることが考えられるとしています。
このほか、必要となる規律の在り方について、事業者における利活用の実態やニーズ、運用の負担や実現可能性、利用目的の違いによる影響なども考慮して検討する必要があるとしています。
次に、「不適正な利用の禁止」、「適正な取得」の規律の明確化について、５ページの後半に考え方を記載しています。不適正な利用の禁止、適正な取得の規定については、本人の権利利益の保護により資するものとするとともに、事業者による予測可能性を高める
観点から、適用される範囲等の具体化・類型化を図る必要があり、その際には、これまでに問題とされた事例等を踏まえて検討することが必要であるとしています。
また、現行法の個人情報の取扱いに係る規律は、本人が自らの個人情報の提供等について自らの自律的な意思により選択をすることが可能である状況であることを前提としていると考えられます。
他方、個人情報取扱事業者と本人との関係性によっては、本人にそのような選択を行う
ことが期待できない場合があり得ます。そのため、こうした場合において、本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を超えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要があるとしています。
６ページの最初の段落に移ります。個人関連情報については、事業者が電話番号、メー
ルアドレス、Cookie IDなど、個人に対する連絡が可能な情報を有している場合には、個人
関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ、その侵害の程度・蓋然性は、事業者による利用の方法によっては、個人情報と同様に深刻なものになり得ると考えられます。そのため、このような場合について法で対処するべきかどうかも含め、不正取得や不適正利用等への対応の在り方を検討する必要があるとしています。
続いて、「（２）第三者提供の在り方（オプトアウト等）」について、８ページの前半に考え方を示しています。オプトアウト届出事業者は、提供先の利用目的や身元等について、その内容や真偽を積極的に確認する義務まではないことから、明確に認識しないまま
意図せず犯罪グループに名簿を提供してしまうことが生じ得ます。そこで、一定の場合には提供先の利用目的や身元等を特に確認する義務を課すことについて検討する必要があります。その際、確認義務の要件についての検討や住宅地図等を広く市販する場合などの規律の在り方についても検討が必要であるとしています。
また、不正に名簿等を持ち出した者が当該名簿等により利益を得る有力な方法として、
オプトアウト届出事業者への販売が想定されます。そのため、オプトアウト届出事業者には、取得元における取得の経緯や取得元の身元等の確認について、より高度の注意義務を課すことが考えられます。具体的には、一定の場合には取得元の身元や取得の適法性を示
3

す資料等を特に確認する義務を課すことについて検討する必要があるとしています。また、
その際、確認義務の要件や対象の類型化についての検討が必要であるとしています。
さらに、本人がオプトアウト届出事業者によって個人情報が提供されており、かつ、当該情報の提供の停止を求めることができることを確実に認識することができるための措置など、本人のオプトアウト権行使の実効性を高めるための措置について継続して検討する必要があるとしています。
「（３）こどもの個人情報等に関する規律の在り方」について、10ページ冒頭から考え方を示しています。こどもの個人情報の取扱いに係る規律については、こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮するとともに、学校等における生徒の教育・学習に関するデータの有用性も考慮する必要があります。これを踏まえ、主要各国においてこどもの個人情報等に係る規律が設けられており、執行事例も多数見られることを踏まえ、こどもの権利利益の保護という観点から規律の在り方の検討を深める必要があります。
他方、第三者が提供したこどもの個人情報を取得する場合などにおいては、取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合やこどもの個人情報が含まれているかが明らかでない場合があり得ることから、こうした場合における事業者の負担を考慮する必要があります。
「ア

法定代理人の関与」については、現行法上、原則として本人の同意の取得が必要とされている場面において、こどもを本人とする個人情報について法定代理人の同意を取得すべきことを法令の規定上明確化すること、本人に対する通知等が必要となる場面においてもこどもを本人とする個人情報について法定代理人に対して情報提供すべきことを法
令の規定上明文化することをそれぞれ検討する必要があるとしています。
「イ

利用停止等請求権の拡張」については、現行法上、利用停止等請求権を行使できる場面は保有個人データについて違法行為があった場合等限定的ですが、こどもの要保護性を踏まえると、こどもを本人とする保有個人データについては他の保有個人データ以上に柔軟に事後的な利用停止を認めることについて検討する必要があるとしています。ただし、取得について法定代理人の同意を得ている場合等、一定の場合においてはその例外とすることも考えられるとしています。
「ウ

安全管理措置義務の強化」については、重大なこどもの個人情報の漏えい事件が国内で発生しており、委員会においても大手学習塾に対する指導事案に際して言及があっ
たことも踏まえ、こどもの個人データについて安全管理措置義務を強化することがあり得るとしています。
11ページに移り、「エ責務規定」については、アからウにかかわらず、各事業者の自主的な取組を促進という観点からは、こどもの個人情報等の取扱いについてはこどもの最善の利益を優先し、特別な配慮を行うべき等、事業者等が留意すべき責務を定める規定を設けることも検討する必要があるとしています。
「オ

年齢基準」については、こどもの個人情報等の取扱いに係る年齢基準の考え方に4

ついて、国内外の法制度において様々な年齢基準が設けられていることや、対象年齢によっては事業者等の負担が大きくなることも考慮する必要がありますが、対象とするこどもの年齢についてはQ&Aの記載やGDPRの規定の例などを踏まえ、16歳未満とすることについて検討を行うとしています。
「（４）個人の権利救済手段の在り方」について、12ページに考え方を示しています。
法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、適格消費者団体を念頭に置いた団体による差止請求制度や被害回復制度の枠組みは有効な選択肢となり得ると考えられます。このうち、差止請求制度については法に違反する不当な行為を対象とすることを検討すべきであるとしています。差止請求の実効的な運用のためには専門性の確保、端緒情報等の共有・立証等における考慮、報告、監督窓口の一本化、資金を含む団体への援助といった課題が指摘されている一方で、差止請求は個人の権利利益の保護の手段を多様化する委員会の監視・監督
機能を補完し得るとの指摘もあることから、継続して検討する必要があるとしています。
もう一方の被害回復制度については、差止請求制度の課題に加え、個人情報の漏えいに伴う損害賠償請求は極端な少額大量被害事案となること、立証上の問題があることが課題として考えられることから、更に慎重な検討が必要であるとしています。
他方で、団体による差止請求や被害回復の枠組みについては、関係団体からのヒアリン
グにおいてその導入について強く反対との意見があったところであり、法に違反する行為
や不法行為を対象とする場合であっても萎縮効果の懸念が示されていることから、事業者の負担と個人の権利利益の保護とのバランスを踏まえつつ、その導入の必要性を含めて多角的な検討を行っていく必要があるとしています。
14ページからは、大きな検討項目の二つ目である「実効性のある監視・監督の在り方」
についてです。
まず、「（１）課徴金、勧告・命令等の行政上の監視・監督手段の在り方」の「ア

課徴金制度」について、17ページに考え方を示しています。課徴金制度については、関係団体からのヒアリングで強い反対意見が示されていることに加え、我が国の他法令における導入事例や国際的動向、個人の権利利益保護と事業者負担とのバランスを踏まえ、その導入の必要性を含めて検討する必要があるとしています。
課徴金制度を導入する必要があると考えられる場合には、課徴金賦課の対象となる違法行為類型、課徴金の算定方法、課徴金の最低額の設定、一定の要件を満たした場合の課徴金の加減算等の論点を整理する必要があるとしています。
「イ

勧告・命令の在り方」に関しては、個人情報取扱事業者等による法に違反する個

人情報等の取扱いにより個人の権利利益の侵害が差し迫っている場合に直ちに中止命令を出すことの必要性や、法に違反する個人情報等の取扱いを行う個人情報取扱事業者等のみ
ならず、これに関与する第三者に対しても行政上の措置を執ることの必要性、法に違反する個人情報等の取扱いの中止のほかに個人の権利利益の保護に向けた措置を求めることの5

必要性の有無や手続保障など、その法制上の課題について検討すべきであるとしています。
続いて、「（２）刑事罰の在り方」について、18ページの中ほどに考え方をまとめています。個人情報が不正に取り扱われた悪質事案の類型が様々であることを踏まえ、法の直罰規定がこれらの事案を過不足なく対象としているかを検証し、その処罰範囲について検討するとともに、法定刑の適切性についても検討する必要があるとしています。さらに、個人情報の詐取等の不正取得が多数発生している状況を踏まえ、こうした行為を直罰規定の対象に含めるべきかについても検討する必要があるとしています。
「（３）漏えい等報告・本人通知の在り方」の「ア漏えい等報告」について、20ペー

ジに考え方をまとめています。漏えい等報告及び本人通知に関し、漏えい等報告の件数は
令和４年度から漏えい等報告が義務化されたこと等により、令和元年度以降全体として増加傾向にある一方で、関係団体等からこれらの義務が事業者の過度な負担になっているという意見が示されています。
そこで、こうした意見も踏まえつつ、委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個人の権利利益侵害が発生するリスク等に応じて漏えい等報告や本人通知の範囲・内容の合理化を検討すべきであるとしています。
この点、委員会がこれまでに受けた漏えい等報告を件数ベースで見ると、漏えいした個
人データに係る本人の数が１名である誤交付・誤送付案件が大半を占めていますが、このようなケースは当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わらないものの、本人通知が的確になされている限りにおいては委員会に速報を提出する必要性が比較的小さいと考えられます。
また、漏えい等又はそのおそれを認識した場合における適切な対処を行うための体制・手順が整備されていると考えられる事業者については、一定程度自主的な取組に委ねることも考えられます。
そこで、例えば体制・手順について、認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については一定の範囲でこれを免除し、さらに①に書いてあるようなケースについては確報について一定期間ごとの取りまとめ報告を許容することも考えられるとしています。
また、関係団体からは、いわゆる「おそれ」要件についての要望も示されています。「おそれ」については、個人の権利利益を害する可能性等を勘案して、より合理的と認められる場合に報告や本人通知を求めることが適当であるとも考えられますが、その具体的な当てはめについては現実の事例に応じて精査をする必要があります。事業者の協力も得ながら、実態を明らかにした上で検討を行い、必要となる要件の明確化を行うことが必要であるとしています。
21ページ、「イ

違法な第三者提供」について、現行法においては事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は存在しませんが、
6個人データが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する必要があるとしています。
大きな項目の三つ目の「データ利活用に向けた取組に対する支援等の在り方」の「（１）本人同意を要しないデータ利活用等の在り方」について、23ページに考え方をまとめています。昨今のデジタル化の急速な進展・高度化に伴い、生成AI等の新たな技術の普及等により、大量の個人情報を取り扱うビジネス・サービス等が生まれています。また、健康・医療等の公益性の高い分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが高まっています。このほか、契約の履行に伴う個人情報等の提供や不正防止目的などでの利活用についてもニーズが寄せられています。
こうした状況を踏まえ、法で本人同意が求められる規定の在り方について、個人の権利利益の保護とデータ利活用とのバランスを考慮し、その整備を検討する必要があるとしています。この場合においては、単に利活用の促進の観点から例外事由を認めるのは適当ではなく、本人の権利利益が適切に保護されることを担保することが必要であるとしています。
まず、生成AIなどの社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が高いと考えられる技術やサービスについて、既存の例外規定では対応が困難と考えられるものがあります。これらの技術やサービスについては社会的なニーズの高まりや公益性の程度を踏まえて例外規定を設けるための検討が必要であるとしています。
この際、いかなる技術・サービスに高い公益性が認められるかについて、極めて多様な価値判断を踏まえた上で高度な意思決定が必要になります。個人の権利利益の保護とデータ利活用の双方の観点から多様な価値判断が想定されるものであり、関係府省庁も含めた検討や意思決定が必要と考えられるとしています。
また、医療機関等における研究活動等に係る利活用のニーズについても、公益性の程度
や本人の権利利益保護とのバランスを踏まえて、例外規定に係る規律の在り方について検討する必要があるとしています。例えば医療や研究開発の現場における公衆衛生例外規定
ちゅうちょの適用のように、例外規定はあるものの適用の有無に関する判断に 躊 躇 する例があるとの指摘があります。こうした点等については、事業者の実情等も踏まえつつ、関係府省庁の関与を得ながらガイドラインの記載等についてステークホルダーと透明性のある形で議論する場の設定に向けて、その具体的な在り方について検討する必要があるとしています。
「（２）民間における自主的な取組の促進」について、24ページに考え方をまとめています。PIA・個人データの取扱いに関する責任者は、データガバナンス体制の構築において主要な要素となるものであり、その取組が促進されることが望ましいと考えられます。他
方、これらの義務化については、各主体における対応可能性や負担面などを踏まえ、慎重に検討を進める必要があるとしています。
PIAについては、民間における自主的な取組という現状の枠組みを維持しつつ、その取組
7

を一層促進させるための方策について、PIAの出発点となり得るデータマッピングを活用していくことを含め、検討を進める必要があるとしています。
個人データの取扱いに関する責任者に関しては、現行の通則ガイドライン等で定める「組織体制の整備」を超えた措置の必要性について検討を進めるべきと考えられます。資格要件の要否、設置を求める対象事業者の範囲等によりその効果が変わってくると考えられる
ところ、各企業の現状も踏まえ、現実的な方向性を検討する必要があるとしています。
26ページを御覧ください。最後に「４その他」となります。これまで挙げた検討項目のほか、プロファイリング、個人情報等に関する概念の整理、プライバシー強化技術の位
置づけの整理、金融機関の海外送金時における送金者への情報提供義務の在り方、ゲノムデータに関する規律の在り方、委員会から行政機関等への各種事例の情報提供の充実などの論点についても、ステークホルダーの意見やパブリック・コメント等の結果を踏まえ、引き続き検討することとしています。
また、個人情報保護及びその利活用とのバランスの在り方が国民各層にとって重要な課題であり、その重要性は以前にも増して高まっていることを踏まえ、委員会が関係の深い
ステークホルダーと透明性のある形で継続的に議論する場を設け、個人情報保護政策の方
向性や本人同意を要しない公益に資するデータ利活用に関係するガイドライン等の見直しの在り方などについて検討していくこととすることも考えられるとしています。
27ページ及び28ページは、これまで委員会において実施した関係団体や有識者等のヒアリングの実施状況をまとめたものです。
事務局からの説明は以上となります。よろしくお願いいたします。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について御質問、御意見をお願いいたします。
清水委員、どうぞ。
○清水委員

ありがとうございます。３点申し上げます。

１点目は４ページ、イの上の段落です。「このほか、必要となる規律」というところなのですが、この段落は事業者側のニーズを書いている箇所かと思います。この中の「実現可能性」という言葉が何を指すかというのが明瞭性に欠くと思います。もしこれが事業者側における対応可能性を指すのであれば、その前の「負担」というところに含めて読めるものだと思いますので、この文言はその曖昧さから削除したほうがよろしいと思います。
以上が１点目です。
それから２点目ですが、これも文言のことですが、６ページの（２）にオプトアウトのことが書いてある上の２行目のところなのですが、個人関連情報について書いてあるのですけれども、「法で対処すべきかどうかも含め」と書いてあります。この委員会で個人関連情報について議論をしたときは、電話番号やメールアドレス等の直接本人にコンタクトするような手段については法律で規律をするということを念頭に置いて議論していたと思うのですが、他方でそれ以外の項目についてもそうなのですけれども、規律をすべきとい8ったときに法律の条文なのか、ガイドラインなのかというのはあまり明確に書き分けていないと思います。ですので、「法で対処すべきかどうかも含め」というフレーズは少し違
和感を覚えます。ここは削除すべきと個人的に考えます。
それから３点目なのですが、23ページの「（２）民間における自主的な取組の促進」の前のところです。医療機関等における例外の話が書いてありまして、いろいろ書いてあって最後の２行なのですけれども、「透明性のある形で議論する場の設定に向けて、その具体的な在り方について検討する必要がある」ということなのですが、「在り方」というのは何か変な気がします。「透明性のある形で議論をする場の設定に向けて検討をする必要がある」と簡単にしてしまったらどうかと。何の在り方なのかが疑問に思いますので、少し簡略化して書いてはどうかと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
それでは、中間整理案はこれまでのまとめで、重要なものでございますので、ただいま頂いた３点に関する御意見を踏まえて私が事務局と調整したいと思います。詳細は私に御一任いただきたいと思いますが、よろしいでしょうか。
それでは、今後、事務局においては所要の手続を進めてください。
それから、本案の特に御説明いただいた最初のほうにもありますけれども、記載のとおり、特に課徴金、団体による差止請求制度や被害回復制度等の事業者・個人それぞれに与える影響が大きく、今後とも一層の意見集約作業が必要な検討項目につきましては、ステークホルダーと議論するための場を設けつつ、今後の検討を進めていきたいと思います。
事務局においては本案において言及のあった検討の場の設置等に向けて、これも所要の手続をどうぞ進めてください。
それでは、最後に本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については準備が整い次第、公表することとしてよろしいでしょうか。
ありがとうございます。それでは、御異議がないようですので、そのように取り扱うことといたします。ありがとうございました。
それでは、次の議題に移ります。
議題２「日EU相互認証の枠組みの拡大に向けた対応について」、事務局から説明をお願
いいたします。
○事務局

日EU相互認証の枠組みの拡大に向けた対応について、御説明いたします。

現在、当委員会は、欧州委員会司法・消費者総局との間でEUによる日本への十分性認定の対象範囲を学術研究分野・公的部門に拡大する協議を行っているところです。６月20日、藤原委員長と欧州委員会ヨウロバー副委員長が、ベルギー・ブリュッセルにおいて日EU相互認証の枠組みに関して会談を実施し、同日、共同プレス声明を発出しました。資料２－
9２が原文、資料２－３が事務局作成の日本語仮訳となります。
同会談においては、藤原委員長と欧州委員会ヨウロバー副委員長との間でEUによる日本への十分性認定の対象範囲の拡大に係る協議の着実な進展を歓迎し、両者の間の協議を可
能な限り早期に妥結させることを視野に入れて作業を加速させることに合意いたしました。
そのほか、欧州委員会の十分性認定の対象範囲の拡大に係る決定文書に対する意見を作成する欧州データ保護会議（EDPB）のタルス議長、同会議の構成員であり、EUの機関・組織における個人データの処理に関し、EU加盟国の各監督機関が有する任務・権限と同様のものを有している欧州データ保護監察機関（EDPS）のビブロフスキー総裁と面会し、早期の発効に向けた協力を要請してまいりました。
次に、共同プレス声明のポイントについて、御説明させていただきます。データ保護及びデータ流通の分野における日本とEUの緊密なパートナーシップを再確認しました。また、
日EU相互認証は2019年１月に発効し、個人データが安全かつ自由に流通する世界最大の地域を創出し、この協力を継続的に強化するための唯一無二の基盤を提供するものであることを再確認しました。
十分性認定の対象範囲拡大は、学術研究分野・公的部門などの新たな分野にまで保護を拡大した日本のデータ保護の枠組みに係る2021年改正を踏まえたものであり、規制協力や円滑な研究を促進するものであること、また、日EU経済連携協定がもたらす利益を更に補完・増幅させ、個人データの交換に大きく依存するほかの分野における協力を強化する道を開き得るものであるという認識を共有しました。
両者はまた、OECDの枠組みにおける個人データ保護及びプライバシーの分野での「信頼性のある自由なデータ流通（DFFT）」というコンセプトの具体化を含め、データ流通を促進するための前提条件として、高いデータ保護基準を推進するために国際レベルで協力を続ける意向を確認しました。
事務局からの説明は以上でございます。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について御質問、御意見をお願いいたします。
大島委員。
○大島委員

まず、委員長並びに事務局の皆さん、御出張お疲れさまでした。一言コメン

トさせていただきたいと思います。
2019年に発効しました日本EU相互認証の枠組みは、日本側の事業者にとってメリットが大きいものであり、昨年12月に事務局が公表した企業アンケートにおいても本枠組みは個
人データ越境移転に際して広く活用され、各企業に多大な利益をもたらしているとの声があったことを覚えております。日本に対するEUの十分性認定の対象範囲が学術研究分野・
公的部門へ拡大すれば、日EU間の研究協力と規制協力を更に深化させ、日EU双方に更なる利益をもたらすとともに、本年１月に署名された日EU・EPA改正議定書によってもたらされた利益を補完し、強化することが期待されるところであります。
10

今回の欧州委員会ヨウロバー副委員長との会談において、EUによる日本への十分性認定の対象範囲の拡大に関わる協議の着実な進展を確認し、関連する手続を可能な限り早期に完了させるための作業を加速させることに合意することができたことは、大変喜ばしいことと感じております。
EUとの協議が合意した暁には、英国による日本への十分性認定の対象範囲の拡大、その他の国・地域との相互認証の枠組みの構築も検討でき、そのいずれも多大な利益をもたらすことが想定されます。事務局においては、今回の合意によって生み出された早期妥結に向けたモメンタムを十分に生かし、可能な限り早期の発効に向けてEU側とよく調整し、必要な作業が迅速に進むようしっかり取り組んでほしいと考えております。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、私からも一言だけ申し上げます。今回、私にとって、委員長に就任しましてから初めての海外出張であったのですけれども、欧州委員会のヨウロバー副委員長等と会談をしてまいりました。特に、EUによる日本への十分性認定の対象範囲を学術研究分野・公的部門に拡大する協議については、私からもヨウロバー副委員長に対して、日本としては年内の完了を目指したい旨をお伝えいたしました。
それと、事務局から説明がありましたけれども、ほかにも、European Data Protection
Supervisor、EDPSが設立20周年となり、その20周年記念のサミットがブリュッセルで行われ る と い う こ と で 、 今 回 上 手 く タ イ ミ ン グ が 合 い 、 EDPS の 総 裁 や 、 European Data
Protection Board、EDPBという十分性認定について欧州委員会の決定文書が出たら意見書を書くところなのですけれども、その議長もお見えになっていて、この方々と直接お目にかかってお話しする、一対一での対談の機会を持つことができ、そういう意味で人間関係を築くことができてよかったと思います。外交でもそうですけれども、向こうの方々は任期も長くございますし、ある意味では、同じような人物が同じグループで各国を回っていますので、やはり対面で協議して人間関係を築くことが重要だと改めて思ったところです。
結論としては、個人情報保護の高い水準にある日本とEUが、日EU間のみならず様々な国際的な場で協力関係を一層強化していくことを確認することができたのは大変意味のある機会だったと思っております。
以上です。
それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りをいたします。
本議案の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。それでは、御異議がないようですので、そのように取り扱うことといたします。ありがとうございます。
それでは、次の議題に移ります。
次の議題は、監督関係者以外の方は御退席を願います。
11（監督関係者以外退室）○藤原委員長

議題３「一般送配電事業者及び関係小売電気事業者等における顧客情報の不適切な取扱事案に対する個人情報の保護に関する法律に基づく行政上の対応について」、事務局から説明をお願いします。
（内容について一部非公表）○事務局

では、説明いたします。資料３に沿って御説明申し上げます。

まず、東京電力パワーグリッド及び東京電力エナジーパートナーの顧客情報の漏えい事態についてです。事実関係について、まず接点情報システムについてです。エナジーパート
ナーは同社とパワーグリッドが顧客と接点を有する業務における顧客情報や顧客との接触に関する情報を集約する接点情報システムを管理・運営し、パワーグリッドと共用利用しておりました。このシステムのアクセス権限がパワーグリッドの親会社である東京電力ホールディングスとホールディングスの子会社である東京電力リニューアブルパワーに誤って設定され、パワーグリッドとエナジーパートナーの顧客の個人データをホールディング
スとリニューアブルパワーから閲覧できる状態であることが判明しました。
次に、要請応対システムです。エナジーパートナーは顧客からの意見・要望、対応状況
や結果をパワーグリッドと共有する要請応対システムを管理・運営し、パワーグリッドと共同利用しておりました。このシステムは「顧客検索機能」と「要請事項と対応結果の登録機能」から構成され、エナジーパートナーには顧客検索機能における自社の顧客情報と要請事項と対応結果の登録機能へのアクセス権限のみ設定されているはずでしたが、実際には以下の事象が発生しておりました。
１点目、エナジーパートナーに要請事項と対応結果の登録機能だけでなく顧客検索機能
におけるパワーグリッドの顧客情報へのアクセス権限も誤って設定されたままになっておりました。
２点目、本来このシステムを利用しないはずのホールディングスとリニューアブルパワ
ーにも両機能へのアクセス権限が誤って設定されたままになっておりました。
両システムにおける顧客情報の漏えいの根本的原因は、旧東京電力の分社化の際、ホールディングスの両システムへのアクセス権限とエナジーパートナーの要請応対システムの顧客検索機能におけるパワーグリッドの顧客情報へのアクセス権限を適切に制御できなかったことであります。さらに、ホールディングスを親会社として令和元年に設立されたリ
ニューアブルパワーによる両システムへのアクセスを制御する必要性も認識が不足しておりました。
その後、電気事業法に基づく送配電部門の法的分離が実施された令和２年４月、パワー
グリッドがシステムの総点検を自主的に実施した令和３年のいずれの時点においても不備が是正されることはありませんでした。
次に、パワーグリッドとエナジーパートナーにおける内部監査の不実施についてです。
両システムを管理・運営するエナジーパートナーと両システムを共同利用していたパワー
12

グリッドは、令和５年の一般送配電事業者における顧客情報の漏えい事案の発生を踏まえ、
令和５年度内に非公開情報の管理の用に供するシステムに対してアクセス権限などを確認することとしておりましたが、本事態が発覚する令和６年１月まで両システムに対する内部監査をしておりませんでした。
パワーグリッドとエナジーパートナーにおいては本事態の発覚前、両システムにおいて
ホールディングスとリニューアブルパワーが顧客情報を閲覧可能であり、一部の従業者が顧客情報の漏えい又はそのおそれがあることを認識していたにもかかわらず、是正できませんでした。
他方、両システムにおいて顧客の個人データを閲覧していたホールディングスでは、平成28年の分社化に伴い、東京電力グループ会社間で非公開情報の共有を制限する方針を定めており、その際にアクセス制限がなされたと誤認しておりました。また、リニューアブ
ルパワーも両システムで顧客の個人データを閲覧可能であったことや閲覧していたことを一部の従業者が認識しておりましたが、大半の従業者は認識がありませんでした。さらに、ホールディングスとリニューアブルパワーの従業者には、システム画面上表示されていた
顧客の個人データを業務上や業務以外の目的に利用していた者がおりました。
なお、エナジーパートナーがこの機能を利用した際、新電力顧客の氏名と住所が表示されることがありましたが、この情報だけでは顧客か新電力顧客か判別できませんでした。
次に、個情法上の問題点についてです。個人情報の適正な取得、第20条第１項についてです。
ホールディングスが両システムにおいてパワーグリッドとエナジーパートナーの顧客の個人データを閲覧・利用していた行為は、個人データを営業活動に利用するために行われたものとは認められなかったものの、一部の従業者が能動的に個人データを閲覧しており、不適切であったと経済産業省電気・ガス取引監視等委員会、電取委が認めております。
また、リニューアブルパワーが両システムにおいてパワーグリッドとエナジーパートナ
ーの顧客の個人データを閲覧・利用していた行為は、発電事業の業務において個人データを利用するために行われたものであり、電気事業法の行為規制の趣旨からすると不適切であったと電取委が認めております。
さらに、パワーグリッドによる電気事業法上の体制整備義務への違反と送配電業務に係る差別的取扱いの禁止への違反があり、これらがホールディングスとリニューアブルパワ
ーによるパワーグリッドとエナジーパートナーの顧客の個人データの閲覧・利用の元となったと電取委が認めております。ホールディングスとリニューアブルパワーは電気事業法の規律と趣旨を知り又は容易に知ることができる立場にあったことを鑑みますと、この２社によるパワーグリッドとエナジーパートナーの顧客の個人データの閲覧・利用は社会通念上適正とは認められない行為と言え、適正性を欠く個人情報の取得と認められ、偽りその他不正の手段による個人情報の取得に該当いたします。
したがって、ホールディングスとリニューアブルパワーによる両システムにおける顧客
13

の個人データの取得は、個情法第20条第１項の規定に違反します。
他方、エナジーパートナーが要請応対システムの顧客検索機能を用いてパワーグリッドの顧客の個人データを取得した行為は、自社の業務に係る依頼事項を受けたことに伴い自社の顧客の契約情報を検索しようとする際にパワーグリッドの顧客情報を偶発的に閲覧してしまうものであり、パワーグリッドの顧客情報を自社の業務や業務外の目的に利用することを意図したものではないことから、電取委は不適切と認められる情報の閲覧があったとは認められないとしております。この事情を考慮しますと、社会通念上不適正とは認められないため、適正性を欠く取得には該当いたしません。
続きまして、安全管理措置、個情法第23条です。技術的安全管理措置についてです。本
件では以下の点につきましてアクセス制御に問題点が認められました。
１点目、パワーグリッドは両システムにおいてホールディングスとリニューアブルパワ
ーがアクセスできないよう適切なアクセス制御を行わなければなりませんでしたが、できておりませんでした。
２点目、パワーグリッドは要請応対システムの顧客検索機能について、エナジーパート
ナーが自社の顧客情報以外にアクセスできないよう適切なアクセス制御を行わなければな
りませんでしたが、できておりませんでした。したがって、パワーグリッドにおいては技
術的安全管理措置に不備が認められます。
次に、組織的安全管理措置です。本件でパワーグリッドは両システムにおける個人デー
タの取扱状況について定期的な点検や内部監査を実施しておりませんでした。
したがって、パワーグリッドにおいては組織的安全管理措置に不備が認められます。
次に、人的安全管理措置です。パワーグリッドにおいては従業者に対し一般的内容の研修を行うにとどまっておりました。従業者の中にはホールディングスとリニューアブルパ
ワーがアクセス可能な状態となっていることを知りながら適切な対応を講じなかった者も存在したことからすると、個人データの適切な取扱いの重要性に関する認識を醸成するには不十分なものでありました。
したがって、パワーグリッドにおいては人的安全管理措置に不備が認められます。
なお、エナジーパートナーの顧客の個人データには電気事業法上の非公開情報が含まれておりません。また、本事象におきまして、エナジーパートナーは電取委から顧客の個人データの情報管理について電気事業法への違反行為を特段指摘されておりません。これらの事情を考慮いたしますと、エナジーパートナーの個人データの取扱いについて個情法上の安全管理措置の不備を指摘するほどの問題点があったとは認められません。
以上が東京電力グループに係る事象でございます。
続きまして、全社的総点検の追加結果等についてです。当委員会によって令和５年指導に基づく全社的総点検の一環で以下の個人情報の取扱いに関する事象が報告されております。事象Ａとしまして、関西電力より報告された業務システム、情報共有基盤及びその他のシステムにおける個人データの取扱いに関する追加的調査後に発覚した事象、事象Ｂと
14

しまして中国電力ネットワークより報告された各システムの追加的調査により発覚した事
象、さらに全社的総点検後、新たに発覚した顧客の個人データの取扱いに関し、事象Ｃとしまして中部電力パワーグリッドより報告された集合住宅等の空室への入居に伴い電気供給の再開の申込みを処理するためのシステムにおいて生じた事象。
当委員会はこれらについて個情法違反の有無を検討いたしました。事象Ａ及びＢにつきまして、根本的原因である情報遮断措置の不備は、電力小売の全面自由化時である平成28
年４月又は一般送配電事業と関係小売電気事業の分社時である令和２年４月に発生しているところ、この時期は令和５年指導の対象期間内であり、各社において不備について所要の改善措置が既になされております。
事象Ｃにつきまして、漏えい等又はそのおそれが生じた個人データは限定的であることから、本人の権利利益を侵害する度合いは比較的小さいと考えられます。また、その事象は、特殊な状況下においてのみマスキングが外れる不具合であり、令和５年指導を踏まえて実施された全社的総点検の手法や実効性に問題があったとは認められません。
最後に、今後の対応方針案でございます。東京電力グループ４社において判明した事象
では、パワーグリッド、ホールディングス、リニューアブルパワーの３社における個人情報等の取扱いについて個情法違反が認められましたことから、個情法第147条の規定による指導を行うこととしたいと思います。
エナジーパートナーにつきましては個情法上の安全管理措置の不備を指摘するほどの問
題点があったとは認められないことから、指導を行わないこととしたいと思います。
続いて、全社的総点検の追加結果等についてです。事象Ａ及びＢについては電力小売全面自由化時である平成28年４月又は一般送配電事業と関係小売電気事業の分社時である令和２年４月に向けた対応を行った際に発生した不備であり、この時期は令和５年指導の対象期間内であること、不備について所要の改善措置が既になされており、一定の取組が認められることから、今回、重ねての指導は行わないこととしたいと思います。引き続き再発防止策の実施状況を注視してまいります。
事象Ｃにつきましては、漏えい等又はそのおそれが生じた個人データは限定的であり、本人の権利利益を侵害する度合いが比較的小さいこと、特殊な状況下でのみマスキングが外れることを踏まえ、指導を行わないこととしたいと考えております。引き続き再発防止策の実施状況を注視してまいります。
御説明は以上でございます。
○藤原委員長ありがとうございました。

ただいまの説明について御質問、御意見をお願いいたします。
清水委員、どうぞ。
○清水委員

ありがとうございます。

今、御説明がありましたように、当委員会は東京電力グループ３社についてこのたび判明した託送業務システム以外のシステムからの個人データの漏えいに対して改善措置を講15

ずるとともに、全社的な総点検を実施することを指導することといたしました。事案の重大性を踏まえて、経営層が主体となり徹底した総点検の実施をお願いしたいと思っております。
一方で、東京電力グループ以外の電力各社につきましては、本年３月の第275回個人情報保護委員会において各社が行った全社的総点検の結果を議題として一定の取組を確認した
ところではありますが、グループ内の複数の事業者が関係するシステムにおいては、設定上の問題などから予測が困難な漏えいが生ずることもあることから、各社におかれましては、今後とも個人データの適正な取扱いに関して不断の点検に努めていただきたいと考えております。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
小川委員。
○小川委員

今、清水委員からもありましたけれども、本件は東京電力に限らず日本の各電力会社は大量の顧客個人データを取り扱っていると思いますが、一たび漏えい等の事態が生じた場合は社会的な影響は極めて大きいということは明らかです。このため、普段から個人データを正確かつ最新の内容に保つために努めるとともに、個人データの取扱いに関する責任者の設置や責任の明確化といった組織の整備などを通じて安全管理措置を着実に実施できる体制を確保してほしいと考えます。
社会的インフラを担う事業者として責任をよく自覚し、万全の対応を期していただきたい。
以上です。
○藤原委員長ありがとうございました。

ほかにはよろしいでしょうか。
それでは、特に修正の御意見はないようでございますので、原案のとおり決定したいと思いますが、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題
は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を、準備が整い次第、委員会のホームページで公表し、それ以外の資料等や資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
それでは、ありがとうございました。
それでは、議題４「監視・監督について」、事務局から説明をお願いします。
16

（内容について非公表）
本日の議題は以上でございます。
それでは、本日の会議は閉会といたします。

17