資料１

個人情報保護法 いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方①）

令和６年３月６日
個人情報保護委員会事務局※ 本資料における外国法令等の日本語訳は仮訳である。

生体データの取扱いに係る規律の在り方①
１．生体データの取扱いに係る現行法の規律（概要）
以下の身体の特徴のいずれかを電子計算機の用に供するために変換した符号のうち、本人を認証することができるようにしたもの（＝登録された生体情報をある人物の生体情報と照合することで、特定の個人を識別することができる水準であるもの）は、個人識別符号に該当し、個人情報に該当する（個人情報保護法第２条・個人情報保護法施行令第１条第１号・個人情報保護法施行規則第２条）。
細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列
顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
虹彩の表面の起伏により形成される線状の模様
発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質
歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
指紋又は掌紋
上記から抽出した特徴情報の組合せ
個人情報取扱事業者は、個人情報である生体情報を取り扱う場合、その他の個人情報を取り扱う場合と同様に、
個人情報保護法第４章に規定する個人情報取扱事業者の義務を遵守する必要がある。
なお、現行法において、個人情報である生体情報の取扱いについて、特別の規律は設けられていない（※）。
※ 金融分野ガイドライン第5条第1項第9号等は、金融分野における個人情報取扱事業者に対して、「機微（センシティブ）情報に該当する生体認証情報」（＝機械による自動認証に用いられる身体的特徴のうち、非公知の情報 ）について、本人の同意に基づき本人認証に用いる場合を除き、取得、利用又は第三者提供を行わない努力義務を課している 。

1

生体データの取扱いに係る規律の在り方②
２．犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について①
個人情報保護委員会は、「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会」（座長：宍戸常寿 東京大学大学院法学政治学研究科教授）を設置し、同検討会がまとめた報告書を審議の上、「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」（2023年３月）を公表した。
同文書では、顔識別機能付きカメラシステムの利用に関し、①肖像権・プライバシーに関する留意点、②個人情報保護法上の留意点・望ましい対応、③事業者の自主的な取組として考えられる事項についてまとめている。
【対象】
個人情報取扱事業者が、犯罪予防や安全確保のために、顔識別機能付きカメラシステムにおいて、顔画像及び顔
特徴データを用いる場合が中心。
顔識別機能付きカメラを設置する空間的範囲として、顔画像を取り扱うことについて事前に本人の同意を得ることが困難な、不特定多数の者が出入りする大規模な空間（例：駅、空港等の大規模な施設）等を想定。
【顔識別機能付きカメラシステムの利点】
犯罪予防や安全確保に高い効果を有し得る。

＜顔識別カメラシステムの概要＞【顔識別機能付きカメラシステムの懸念点】
不変性と追跡性
自動的、無差別かつ大量の取得
利用目的の予測困難性
差別的効果
行動の萎縮効果2

生体データの取扱いに係る規律の在り方③
２．犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について②【顔識別機能付きカメラシステムを利用する際の基本的な考え方】
個人情報保護法に基づく義務を履行するのみならず、自ら情報発信して透明性を確保することが重要。
透明性を確保することの意義として以下の３つが考えられる。
• 被撮影者の過大な不安を誘発せず、理解や安心を得ること。
• 事業者が自らの個人情報の取扱いについて精査し、その適正さを検証する機会になること。
• 被撮影者が自らの個人情報の取り扱われ方を知り、開示等の請求や問合せをしたり、事業者が取組についての社会的評価を受けたりする契機になり、それらを通じてより適正な個人情報の取扱いが図られること。
上記透明性を確保することの意義を踏まえ、個別具体的な事案に応じて透明性の確保や適正な運用のために必要な措置を講ずることが重要。
＜施設内での掲示例＞【顔識別機能付きカメラシステムを利用する際の望ましい対応（例）】
個人情報保護法で義務付けられている利用目的の通知・公表に加えて、施設内での掲示やWebサイト等での掲示も行うこと。
専門的な知見を有する有識者等の意見を踏まえて顔識別機能付きカメラシステムの運用基準（①登録基準、②対応手順、③保存期間、④登録消去）を作成し、（利用目的の達成を妨げない範囲で）運用基準を公表すること。
カメラ画像がデータベースを構築していない場合でも、当該画像が漏えい等することがない
よう、個人データに関して講じなければならない安全管理措置を参考として適切に取り扱うこと。
照合用データベースに登録された情報等の個人データの共同利用を行う場合には、どの事業者においても同様の対応を行うことができる文書化された統一的な運用基準を作成
し、登録情報などを含めて適切に管理すること。また、共同利用の目的は犯罪予防や安全確保に限り、他の目的で用いないようにすること。
3

生体データの取扱いに係る規律の在り方④
２．犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について③
個人情報保護委員会は、「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表したこと等を踏まえて、2023年５月、「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」を更新した。
【Q&A1-14の主な内容】
顔識別機能付きカメラシステムにより特定の個人を識別することができるカメラ画像やそこから得られた顔特徴データを取り扱う場合、従来型防犯カメラの場合と異なり、犯罪防止目的であることだけではなく、顔識別機能を用いていることも明らかにして、利用目的を特定しなければならない。
顔識別機能付きカメラシステムを利用する場合は、設置されたカメラの外観等から犯罪防止目的で顔識別機能が用いられていることを認識することが困難であるため、「取得の状況からみて利用目的が明らかであると認められる場合」（個人情報保護法第21条第４項第４号）に当たらず、個人情報の利用目的を本人に通知し、又は公表しなければならない。
本人から理解を得るためできる限り分かりやすく情報提供を行うため、顔識別機能付きカメラシステムの運用主体、同システムで取り扱われる個人情報の利用目的、問い合わせ先、さらに詳細な情報を掲載したWebサイトのURL又はQRコード等を店舗や駅・空港等の入口や、カメラの設置場所等に掲示することが望ましい。
照合のためのデータベース（検知対象者のデータベース）に個人情報を登録するための登録基準を作成するに当たっては、対象とする犯罪行為等をあらかじめ明確にし、当該行為の性質に応じ、利用目的の達成に必要な範囲を超えて、個人情報が登録されることのないような登録基準としなければならない（個人情報保護法第18条第１項）。

【Q&A1-15の主な内容】
当初防犯目的のために取得したカメラ画像やそこから得られた顔特徴データを、マーケティング等の商業目的のために利用する場合には、あらかじめ本人の同意を得なければならない（個人情報保護法第18条第１項）。
4

生体データの取扱いに係る規律の在り方⑤
３．生体データの取扱いに関する外国制度等①【総論】
以下の国・地域において、自然人を一意に識別することを目的とする生体データ （以下「生体データ」という。）は、
センシティブデータに該当する（※１）。
以下の国・地域では、センシティブデータの取扱いに係る規律として、一般的な個人データについて適用される規律とは異なる特有の規律が存在しており、生体データの取扱いについては、原則として本人同意の取得が要求された
り、本人にオプトアウト権が認められたりしている。
EU（欧州連合）

米国（カリフォルニア州）

中華人民共和国

ブラジル連邦共和国

オーストラリア連邦

大韓民国

インド（※２）※１ オーストラリアについては、自動的な生体識別又は生体認証を目的として特別に収集される場合に限られる。
※２ インドでは、個人情報の保護に関する包括的な法令である「Digital Personal Data Protection Act, 2023 (No.22 of 2023)」が、2023年８月に同国大統領の承認を受け、同国官報に掲載された。

（出典）ベーカー＆マッケンジー法律事務所（外国法共同事業）「外国におけるセンシティブデータの取扱いに関する制度等の調査結果報告書」（2023年3月）等を元に作成。

5

生体データの取扱いに係る規律の在り方⑥
３．生体データの取扱いに関する外国制度等②【EU】
EUのGDPRでは、「生体データ」（※１）を含む特別な種類の個人データの処理は、データ主体が明確な同意を与えた場合等、一定の場合を除き、禁止されている（GDPR第９条）（※２）。
欧州議会本会議での正式な採決及び最終的なEU理事会の承認を待つEUのAI規則案（※３）では、インターネッ
ト等から顔画像を無差別にスクレイピングし顔識別データベースを作成等するAIシステム等が、許容できないリスクを有するAIシステムに分類され（AI規則案第５条第１項(db)）、その利用等が禁止されている。
AI規則案では、「遠隔生体識別システム」（※４）等、バイオメトリクス分野における一定のAIシステムは、高リスクのAIシステムに分類されている（AI規則案第６条第２項・AnnexⅢ１.）。高リスクのAIシステムは、厳格な要件を遵守する必要があり、「高リスクAIシステムをEU市場に投入する前、又はその他の方法でサービスを開始する前に、プロバイダーは適合性評価を受ける必要がある。これにより、システムが信頼できるAIの必須要件（データの品質、文書化及びトレーサビリティ、透明性、人間による監視、正確性、サイバーセキュリティ、堅牢性等）を満たしていることを証明することが出来る。…また、バイオメトリックシステムの場合は、第三者による適合性評価が常に必要となる。」（※５）。
※１ 「自然人の身体的、生理的又は行動的な特性に関連する特別な技術的取扱いから得られる個人データであって、顔画像や指紋データのように、当該自然人を一意に識別できるようにするもの、又は、その識別を確認するもの」と定義されている（GDPR第４条第14号）。
※２ 加盟国は、生体データの取扱いに関し、その制限を含め、付加的な条件を維持又は導入することができる（GDPR第９条第４項）。
※３ European Parliamentの「Artificial Intelligence Act: committees confirm landmark agreement」（2024年2月13日）（https://www.europarl.europa.eu/pdfs/news/expert/2024/2/press_release/20240212IPR17618/20240212IPR17618_en.pdf）を参照。
※４ 「典型的には遠隔地から、自然人の生体データと参照データベースに含まれる生体データとの比較を通じて、当該自然人の積極的な関与なく当該自然人を識別することを目的としたAI システム」（AI規則案第３条第36号）。ただし、特定の自然人が本人であると主張する本人であることを確認することのみを目的とする生体認証に利用することを意図したAIシステムを除く（AI規則案
AnnexⅢ１.(a)）。
※５ European Commissionの「Artificial Intelligence – Questions and Answers*」（2023年12月12日）（https://ec.europa.eu/commission/presscorner/detail/en/QANDA_21_1683）から引用。
（出典）ベーカー＆マッケンジー法律事務所（外国法共同事業）「外国におけるセンシティブデータの取扱いに関する制度等の調査結果報告書」（2023年3月）等を元に作成。

6

生体データの取扱いに係る規律の在り方⑦
３．生体データの取扱いに関する外国制度等③【米国】
米国カリフォルニア州のCCPAでは、消費者が、「消費者を一意に識別するための生体情報の処理」（※１）を含む「センシティブ個人情報」（Cal. Civ. Code § 1798.140(ae)(2)(A)）の利用を、①商品又はサービスを要求する消費者が合理的に期待する商品又はサービスの提供に必要な利用や、②セキュリティ及び完全性の確保に合理 的 に 必 要 か つ 相 当 な 利 用 等 に 制 限 す る よ う 事 業 者 に 命 ず る 権 利 を 有 す る （ Cal. Civ. Code §1798.121(a)） 。
米国のFTC法第５条では、「商業活動に関わる不公正な競争手段と、商業活動に関わる不公正又は欺瞞的な行為又は慣行は、違法であることがここに宣言される」と規定されている（15 U.S.C. § 45(a)(1).）ところ、FTC
は、顔識別の対象となるすべての人に通知を行い、同意する機会を与えるよう求めている。
米国イリノイ州のIllinois Biometrics Information Privacy Actでは、バイオメトリクス識別子（※２）及びバイ
オメトリクス情報 （※３） の収集及び使用について、事前に同意を得ることが義務付けられている（740 ILCS
14/15(b)）。
2022年6月に草案が公表された、American Data Privacy and Protection Act, H.R.8152.（以下「ADPPA」という。）では、「sensitive covered data」の１つとして「生体情報」 （ ※ ４ ） が規定されており（ADPPA第２条(28)(A)(iv)）、「sensitive covered data」は、データ主体が要求した特定の製品又はサービスの提供又は維持のために不可欠な場合等、一定の場合にのみ取得又は処理でき（ADPPA第102条(2)）、データ主体の積極的で明示的な同意に基づく場合等、一定の場合にのみ移転できる（同条(3)）。
※１ 「生体情報」は、「個人のデオキシリボ核酸（DNA）に関連する情報を含む、個人の生理的、生物学的、又は行動の特徴であって、個人の身元を確立するために単独で若しくは互いに組み合わせて、又は他の識別データとともに使用される、又は使用することが意図されるもの」と定義されている（Cal. Civ. Code § 1798.140(c)）。
※２ 「バイオメトリクス識別子」は、「網膜若しくは虹彩のスキャン、指紋、声紋、又は手若しくは顔の形状のスキャン」と定義されている（740 ILCS 14/10）。
※３ 「バイオメトリクス情報」は、「個人を識別するために使用される、個人のバイオメトリクス識別子に基づくあらゆる情報」と定義されている（740 ILCS 14/10） 。
※４ 「生体情報」は、「個人の固有の生物学的、身体的、生理学的特徴の技術的処理から生成されたcovered dataであって、個人とリンクしているか、合理的にリンク可能なもの」と定義されている（ADPPA第２条(3)）。
（出典）ベーカー＆マッケンジー法律事務所（外国法共同事業）「外国におけるセンシティブデータの取扱いに関する制度等の調査結果報告書」（2023年3月）、
アンダーソン・毛利・友常法律事務所 外国法共同事業 「「主要国・地域における顔識別機能付カメラの利用に関する法制度」 調査結果報告書」（2023年3月）等を元に作成。

7

生体データの取扱いに係る規律の在り方⑧
４．生体データの取扱いに関する外国における主な執行事例等①
企業・団体名Cadillac Fairview Corporation Limited

Everalbum, Inc.

該当国／当局

カナダ／OPC・OIPC AB・OIPC BC

アメリカ／FTC

執行等の日

2020年10月28日

2021年５月７日• 同社は、ショッピングモール内に設置された、訪問者が店舗を見つけたりできるタッチスクリーンのデジタルキオスク内にカメラを埋め込み、506万
1,324件のセンシティブな生体識別情報を含む個人情報を、本人の有効な同意なしに収集・利用していた。
• 具体的には、上記カメラの視野に入った人間の顔を検知して画像をキャプチャーし、当該画像を処理して検知された顔の数値表現を生成し、当該顔の年齢及び性別を推定していた。加えて、上記各顔検出に際して、上記顔の数値表現、上記カメラの識別子、タイムスタンプ等を保存していた（上記推定プロセスはミリ秒単位で行われ、顔画像自体が保存されるのは当該プロセスの間だけであった。）。
• 同社のプライバシーポリシーには、一部の施設には、モールの訪問者に関する「人通りのパターンをモニターし、人口統計情報を予測する」カメ
ラが設置されており、「当社のサービスを改善する新製品及び新技術の研究及び開発」のために個人情報が収集される場合がある旨が記載されているに過ぎず、また、当該記載は、約5,000語が含まれるプライ
バシーポリシーに埋め込まれていた。
• また、ショッピングモールの入口には、ビデオが録画されている旨が記載されたステッカーが貼られていたが、録画の目的は「安心・安全」と記載されていた。

• 同社は、ユーザーがモバイルデバイス等から写真やビデオ等をアップロー
ドし、これを保存・整理できるアプリ「Ever」を提供していた。
• 同社は、「Ever」の新機能「Friends」を開始した。「Friends」は、写真に写っている人物の顔により写真をグループ分けするために、顔識別技術を利用しており、ユーザーは、タグ付けをして、写真に写っている個
人を名前等により識別することができた。
• 同社は、ウェブサイトの「ヘルプ」セクションにおいて、「顔識別が有効になっている場合…「face embedding」と呼ばれる数字の文字列を作成します。」・「顔識別がオンになっている場合、お客様は…写真やビデオに映っている全ての方の承認があることを、当社に知らせることとなります。」と記載していた。
• それにもかかわらず、テキサス州・イリノイ州・ワシントン州・EU以外の地域にいるユーザーとの関係では、顔識別はデフォルトで有効になっており、当該ユーザーがこれを無効にすることは出来なかった。

• 上記収集・利用を継続する場合には明確なオプトインの同意を得ること、同意なしに収集された顔の数値表現等を削除すること等を勧告した。

• 写真やビデオに顔識別技術を用いる前に利用者の明示的な同意を得ること等を内容とする同意命令を発出した。

問題となった生体データの取扱い

当局が取った
主な措置（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）、令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美8
坂井法律事務所・外国法共同事業）の調査結果等を元に作成。

生体データの取扱いに係る規律の在り方⑨
４．生体データの取扱いに関する外国における主な執行事例等②
企業・団体名Facebook, Inc.
Facebook Ireland Limited

7-Eleven Stores Pty Ltd

該当国／当局

韓国／PIPC

オーストラリア／OAIC

執行等の日

2021年８月25日

2021年９月29日

問題となった生体データの取扱い

当局が取った
主な措置

Clearview AI（※）••••

フランス／CNIL
イギリス／ICO
カナダ／ケベック州情報アクセス委員会等
オーストラリア／OAIC
2021年～2022年

両社は、利用者の同意なしに、顔認識テンプ 同社は、店舗に設置したタブレット端末を用いて顧レート（＝利用者がアップロードした写真・動 客に対してアンケートを実施するに際して、アンケート
画から抽出した情報を数値化し、利用者を識 の重複回答を除外する等の目的で、本人同意を得別できるように加工したもの）を作成・収集した。 る等せず、アンケートに回答した顧客の顔画像を当
該タブレット端末のカメラにより撮影し、当該顔画像
注：違法な住民登録番号の収集等も認定されている。
をアルゴリズムによる顔の表現に変換して利用した。

同社は、インターネットやソーシャルメディア・プラット
フォームで公開されている情報から200億人以上の顔画像やデータを収集し、写真を使って人物を検索できる検索エンジンの形で、オンライン・データベースを作成し、販売した。

• 利用者の同意を得ずに作成・収集した顔認
識テンプレートを破棄し、又は利用者から同意を得ることを命令した。
• Facebook, Inc. に 対 し て 44 億 8,300 万ウォン、Facebook Ireland Limitedに対して19億6,000万ウォンの制裁金を科した。

• 2,000万ユーロの制裁金を科した（フランス）。
• 750万ポンドの制裁金を科した（イギリス）。
• 本人同意を得ることなく、ケベック州・ブリティッシュ
コロンビア州・アルバータ州で人々の画像の収集、使用、開示をやめること等を命令した（カナダ）。
• オーストラリア国内の個人から顔画像を収集することを中止すること等を命令した（オーストラリア）。

• 当該収集行為を継続しないこと、及び、上記アルゴリズムによる顔の表現を削除すること等を命令した。

（※）同社は、米国イリノイ州のIllinois Biometrics Information Privacy Actに違反するとして米国のACLU（アメリカ自由人権協会）から提訴され、2022年、ACLUとの間で、同社が全米の民間企業
及び個人に対してデータベースへのアクセス権を与えることが永久に禁止されること等を内容とする和解が成立している（ACLUウェブサイト（https://www.aclu.org/cases/aclu-v-clearview-ai）参照）。
（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）を元に作成。

9

生体データの取扱いに係る規律の在り方⑩
５．生体データの取扱いに関する社会的反響の大きかった事例
事例A

事例B

• Aは、人流を把握し防災に活用する目的 • Bは、顔識別技術を有した防犯カメラを導で、X駅を中心とした駅ビルに多数のカメラ 入し、刑務所からの出所者・仮出所者をを設置して通行人を撮影し、災害発生時 含む不審者等を検知するセキュリティ対策
等の安全対策に資する人流統計情報の を、交通拠点において実施していた。
作成が可能かを検証する実験を実施する • 出所者・仮出所者の検知については、出ことを発表した。
所者らの監視や行動制限につながる可能• 当該発表後、A等に対して、撮影されたく 性がある旨や、再犯防止推進法の方向ないためカメラの場所を教えて欲しい旨の 性と矛盾する旨が指摘される等した。
声が寄せられたほか、市民団体がプライバ • その後、Bは、出所者・仮出所者の検知
シー権侵害等を理由に中止を要請する等 の実施を取りやめた。
した。
• Aは、カメラから得たデータは特定の個人を識別できない形に処理して分析し、実証実験の実施以外の目的で第三者に提供しない旨を説明していたが、通行人は通勤経路等を変えない限り実証実験への参加を拒否できず、プライバシー権侵害に関する懸念が高まった。

事例C• Cは、Y地区のスマートシティ化等を目的として、Y駅周辺に多数のAIカメラを設置し、人流データの取得・解析を開始することを発表した。
• 具体的には、Y駅周辺での人流データを取得し、混雑時の警備員配置の最適化
や各商業施設への入店客数情報等の複合的な分析等により、各協賛事業者が利用できる形でYのまちに還元するとした。
• しかし、ホームページに記載されていた、AI
カメラに記録された個人の行動データの例
において、年代、性別、同伴者の有無、服装、交通経路等が記載されており、あまりにも詳細すぎる個人の行動記録であるとして「個人を特定できる情報の収集ではな
いか」という指摘が相次いだ。

• Aは、上記実験の延期を発表し、その後、当初の計画からエリアや対象者を大幅に縮小して実験を部分的に再開することを発表した。
（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）を元に作成。

10

代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方①
１．国内の他法令等における主な規律

法的根拠• 独占禁止法第２条第９項第５号ロ• 公正取引委員会「デジタル・プラット
フォーム事業者と個人情報等を提供する消費者との取引における優越的地位の濫用に関する独占禁止法上の考え方」（令和４年４月１日改
正）

規制対象者

自己の取引上の地位が取引の相手方である消費者に優越しているデジタル・プ
ラットフォーム事業者

禁止行為

自己の提供するサービスを継続して利用する消費者に対して、消費者がサービスを利用するための対価として提供している個人情報等とは別に、個人情報等その他の経済上の利益を提供させること。

「金融分野における個人情報保護に関するガイドライン」（平成29年個人情報保護委員会・金融庁告示第１号）
第２条３項• 職業安定法第５条の５• 「職業紹介事業者、求人者、労働者の募集を行う者、募集受託者、募集情報等提供事業を行う者、労働者供給事業者、労働者供給を受けようとする者等がその責務等に関して適切に対処するための指針」（平成11年
労働省告示第141号）

労働安全衛生法第104条

金融分野における個人情報取扱事業者

職業紹介事業者、求人者、労働者の募集を行う者、募集受託者、特定募集情報等提供事業者、労働者供給事
業者及び労働者供給を受けようとする者

事業者

与信事業に際して、個人情報を取得する場合において、取引上の優越的な地位を不当に利用し、与信の条件として、与信事業において取得した個人情報を当該事業以外の金融商品のダイレクト
メールの発送等に利用することを利用目的として同意させる行為を行うこと。

求職者、労働者になろうとする者又は供給される労働者の次に掲げる個人情報を取得すること（特別な職業上の必要性が存在することその他業務の目的の達成に必要不可欠であって、収集目的を示して本人から収集する場合を除く。）。
イ 人種、民族、社会的身分、門地、本籍、出生地その他社会的差別の原因となるおそれのある事項
ロ 思想及び信条
ハ 労働組合への加入状況

労働者の健康の確保に必要な範囲を超えて、労働者の心身の状態に関する情報を収集し、保管し又は使用すること。

（個人情報保護委員会事務局調べ）

11

代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方②
２．代替困難と評価し得る者による個人情報の取扱いが問題となった主な裁判例①
判決日付等

東京地判平成24年５月31日
労判1056号19頁

福岡高判平成31年２月21日
L07420122

事案の概要• 使用者たる会社（＝Y）は、営業部門等における外回りを担当する従業員（＝X）の業務用携帯電話を、GPSを利用して携帯電話の位置情報を常時確認することができるシステムに接続し、当該システムを利用して、早朝・深夜の時間帯、休日、退職後の9回にわたって、Xの居場所を確認した。
• Xは、上記接続に抵抗していたが、Y代表者からの強い指示もあって、接続に同意した。

• 熊本刑務所は、受刑者Xについて、徳島刑務所収容中に同刑務所の職員に対する傷害事件等を起こし、熊本刑務所入所後も粗暴な言動や脅迫等を繰り返していた経緯があったところ、さらに、看守に対する傷害事件等に及んだことから、今後も同種粗暴事案を惹起し、熊本刑務所の正常な管理運営を阻害するおそれが十分に認められるとして、Xを粗暴性要視察者に指定するとともに、Xの居室を、監視カメラの付いた単独室（以下「カメラ室」という。）に指定した。
• これにより、Xは、平成25年３月15日から７ヶ月にわたって、カメラ室に収容された。
• Xが収容されていたカメラ室は、カメラが単独室の天井のほぼ中心に設置されており、撮影範囲としては、トイレを含む部屋全体が撮影されており、撮影の支障になるようなものはなく、昼夜を問わず、部屋の様子を容易に確認することができた。

判旨• 「早朝、深夜、休日、退職後のように、従業員に労務提 • カメラ室には、「通常の居室に備え付けられている机、造り付けの棚、衝立、洗面台等の設備が一切ない上、供義務がない時間帯、期間において…Xの居場所確認を
窓が小さく、天井には監視カメラが設置されており、他の被収容者の居室とは隔離された場所に置かれているとすることは、特段の必要性のない限り、許されないというべ
ころ」、カメラ室への「拘禁が、被収容者に強度の拘禁感や圧迫感等を感じさせるのは、このような保護室の構きであるところ」、Yの取締役は「早朝、深夜、休日、退職造等に起因するものと解される。」
後の時間帯、期間においてXの居場所確認をしており、そ • 「刑事施設の長が、その必要性を十分検討することなく、被収容者に対し、天井に設置した監視カメラにより被の間の居場所確認の必要性を認めるに足りる的確な証拠
収容者を24時間監視できる構造を有するカメラ室を居室として指定し、あるいは、その必要性がなくなったにもはないから」、Xの居場所を確認した行為は「Xに対する監かかわらず、漫然とカメラ室への収容を継続したような場合には、刑事施設の長が職務上通常尽くすべき注意
督権限を濫用するもので違法であって、不法行為を構成義務を尽くさなかったものとして、国賠法上違法との評価を受けることになると解するのが相当である。」
するというべきである（Yは、Xが千葉市内のホテルに度々 • Xは、平成25年６月「27日の指示違反を最後に反則行為に及んだことはなく、その後、ほかに職員に対して宿泊し、宿泊費用をYに請求するなど、その行動に不審な
反抗的な態度をとるなど、刑事施設の正常な管理運営を阻害するような言動に及んだ形跡も認められない上、点があったから、早朝、深夜の居場所確認の必要があった
上記反則行為（指示違反）については、同年７月10日、作業報奨金計算額を3000円削減する懲罰が旨主張するが、Xの不審な行動を確認するのであれば、不科され、その旨Xに告知されたが、Xがこの決定に対し不満を述べた形跡はないところ（ただし，Xは上記反則
審な行動の都度、X本人から事情を聴取し、裏付資料を行為についての弁解録取を拒否した。…）、Xが自殺や逃亡のおそれではなく、粗暴性のみを理由に要視察提出させるなどするのが先決であるから、このような手段を者に指定されたことにも鑑みれば、同日頃には、Xの動静を厳重に監視する必要性は相当程度低下し、数日執らずに、Xの勤務時間外に本件ナビシステムを使用するの経過観察の後には、Xの動静を厳重に監視する必要性はなくなったというべきである。Xに対する要視察者のことの必要性を認めることはできない。）。」
指定を解除し、カメラ室への収容を中止するにあたっては、処遇審査会の議決を経ることを考慮しても、遅くとも• 裁判所は、Yに対して、慰謝料10万円の支払いを命じた。 同月17日以降、Xについて、漫然とカメラ室への収容を継続したことは、熊本刑務所長において、職務上通常尽くすべき注意義務を尽くさなかったものとして、国賠法上違法と評価せざるを得ない。」• 裁判所は、Y１・Y２・Y３に対して、慰謝料40万円の支払いを命じた。
（個人情報保護委員会事務局調べ）

12

代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方③
２．代替困難と評価し得る者による個人情報の取扱いが問題となった主な裁判例②
判決日
付等

事案の
概要

大阪高判令和４年９月２日
2022WLJPCA09026001

東京地判令和５年４月10日
L07830646• A（裁判時には既に死亡。）は、障害の程度B1の療育手帳等の交付を受けていた者であり、市営住宅に居住していた。

• 使用者たる会社（＝Y1）の従業員（＝Y2）は、他の従業員（＝X）に対して、XがY1の元執行役員（＝A）に対して送信したメールについて、「Xさんが退職したAさんに送ったメールについて、Aさんから報告がありました。内容も見ましたが、Aさんに訴訟を提起するので、住所を知らせて欲しい、というものです。Ｘさんは、当社の従業員ですので、当社の服務規律に服します。したがって、この服務規律に違反していないかを確認する必要がありますので…予定している訴訟の概要と訴訟の目的を文書でご説明下さい。…これは業務命令ですので、必ず従って下さい。」とメールを送信した。

• Aは、上記市営住宅の自治会（＝Y1）の、自身が居住するフロアの班長をくじ引きで選出する旨の文書を配布され、自身は班長ができない旨を申し出た。

• Y1の会長（＝Y1）及び上記フロアの班長（＝Y3）は、Aが班長の仕事ができない事情を他• これに対して、Xは、「概要と目的は、Aさんの違法行為で被った損害について賠償請求するものの住民にも理解してもらい、必要な支援が受けられるようにするために、Aの得手不得手な事柄と申し上げます。」などと返信した。
を書面に明らかにする等の意図・目的で、Aに対して、自己の障害について説明する文書の作成• Y2は、上記Xのメールに対して、「『Aさんの違法行為で被った損害』とは何ですか、具体的に報を求め、Aに本件文書（＝「しょうがいかあります」という書き出しに続けて、知的障害や精神障
告をしなければ、会社は判断できません。明日…までに返答下さい。」と返信し、Xがこれに回答
害を有するAの得手不得手なことを、同人自ら全てひらがなで箇条書きするもの）を作成させた。
しなかったため、さらに「これまで何度も報告を求めましたが、貴殿には会社のかかる指示に従う意
思がないことが分かりました。これに関して会社としては、貴殿の今後の行動の内容もあわせて見て、服務規律違反があるかを判断いたします。」などと記載したメールを送信した。
• 本件文書は「36歳のAにとって、秘匿を欲するであろう私生活上の行状を事細かに明らかにするものである。しかも、その内容は、例えば、犬や猫が苦手であるか、自転車の乗車や洗濯等ができるか、漢字やカタカナが書けるかなど、必ずしも班長の仕事とは関連性が高いとはいえない事項にも及んでいる。その上…Y2らは、Aに対し、本件文書を住民に広く回覧するとまでは述べていな
いものの、その具体的な使用方法を明確には説明しておらず…本件文書は、Aに対し、広く住民に回覧されるのではないかとの不安を与える状況・態様で作成されたものといえる」。

判旨• 上記事情等を勘案すると、本件文書の作成は、上記「意図・目的を達成する手段として、社会的相当性を明らかに欠いているといわざるを得ない」から、「Aに対して本件文書を作成させたこと
は、不法行為法上の違法性があるというべきである。」• 「XがAに対し訴訟を提起する場合、当該訴訟はY1の業務に関するものであることが容易に想定されることから、Y2が被告会社の人事担当者として情報収集を図ること自体は相当な行為であるといえる。しかし、反面、原告に裁判を受ける権利（憲法82条）が保障されている以上、その内容如何を問わず訴訟の提起がYとの関係で服務規律違反となることは通常想定されないというべきであり、それにもかかわらず、Xが訴訟を提起する前の時点で、詳細な回答を拒むXに対し服務規律違反の可能性を指摘して重ねて回答を命じることは、人事担当者としての権限を逸脱してXの裁判を受ける権利を心理的に制約したものというほかなく、不法行為に当たると認められる。」• 裁判所は、Y1・Y2に対して、慰謝料５万円の支払いを命じた。

• 「Aが、本件話合いの前に…Y2に対し、障害があることは他の住民に言わないでほしいと伝えていたこと…や、本件話合いの後に、深く落ち込んでいる様子であり、兄に事情を聞かれ、何らかの書面を作成したことを打ち明けていること…に照らすと、複数人の前で話すなどのコミュニケーション能力に乏しいAが…班長職を免れるための話合いにおいて…本件文書の作成に応じたとしても、これをもって、違法性を否定できるような真摯な同意があったと評価することはできない。」• 裁判所は、Y1・Y2・Y3に対して、慰謝料40万円の支払いを命じた。

（個人情報保護委員会事務局調べ）

13

代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方④
３．代替困難と評価し得る者による個人情報の取扱いに関する外国における主な執行事例等①
企業・団体名

Google LLC

Meta Platforms
Meta Platforms Ireland
Facebook Deutschland

該当国／当局

フランス／CNIL

ドイツ／Bundeskartellamt

カナダ／OPC

執行等の日2019年１月21日

2019年２月７日

2022年７月27日• 同社は、ユーザーの個人データを、有効な本人同意なく、広告のパーソナライゼーション目的で処理した。
• 同社は、ユーザーの同意を得ている旨を主張していたが、ユーザーは、アカウントを作成する前に、「Googleの利用規約に同意します」、「上記及びプライバシーポリシーでさらに説明されている私の情報の処理に同意します」のボックスにチェックを入れることが求められ、同意に基づきGoogleが実施する全ての利用目的（広告のパーソナライズ、音声認識等）について、完全に同意する必要があり、「特定」された同意ではなかった。

• Facebookの利用条件において、ユーザーは、Facebook が 、 Facebook の ウ ェ ブ サ イ ト や ス
マートフォンアプリ以外から当該ユーザーのデータを収集し、これらのデータを当該ユーザーのFacebookアカウントに結合することに同意しな
ければ、Facebookを利用することができなかった。
• その結果、WhatsApp、Instagram及び第三者のウェブサイトにおいて集められた全てのデータ
を、Facebookアカウントに結合させることが可能となっていた。

• 輸送サービス会社である同社は、ダッシュ・カメラ・システ
ム（前方の映像と音声を捉えるシステム。以下「本件システム」という。）を、安全な運行の確保等の目的で、トラックの運転席に配備した。
• 本件システムでは、スピード違反や前方衝突の可能性
等のイベントをトリガーとして、12秒間（イベント前8秒
及びイベント後4秒）のクリップ（映像・音声を含む。）が保存される仕組みとなっていた。
• そして、本件システムは、トラックが運転中であるか、ドライバーが勤務中であるかにかかわらず、トラックのエンジンがかかると継続的に作動していたため、ドライバーが非番の時にトラックをアイドリングしている場合でも、クリップが保存される可能性があった。
• また、上記クリップについて、知る必要のない従業員もアクセスできる状態であった。

• ユーザーの自発的な同意が得られない場合は、データの収集・結合を実質的に制限するための措置を作成・提案することを命じた。

• (a)本システムによる音声録音機能を、ドライバーの勤務中及び（勤務時間外であっても）運転中に限定すること、(b)技術的保護措置によりクリップへのアクセスを限定すること、を勧告した。

問題となった取扱い

注：透明性のある情報提供義務の違反等も認定されている。

• 5,000万ユーロの制裁金を科した。
当局が取った
主な措置

Trimac Transportation Services Inc.

（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）、令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美坂井法律事務所・外国法共同事業）の調査結果等を元に作成。
14

代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方⑤
３．代替困難と評価し得る者による個人情報の取扱いに関する外国における主な執行事例等②

企業・団体名

Google Limited Liability Company
Meta Platforms, Inc.

YAHOO EMEA LIMITED

某病院

該当国／当局

韓国／PIPC

フランス／CNIL

韓国／PIPC

執行等の日

2022年９月14日

2023年12月29日

2021年５月12日

問題となった取扱い• 両社は、以下のとおり、利用者の他社での行動情報 • 同社は、Yahoo Mailのユーザーが、サービスの提を収集、分析して利用者の関心を推論したり、カスタ
供に厳密に必要ではないCookieの保存に対するマイズされた広告等に使用しながら、その事実を利用
同意を撤回しようとすると、Yahoo Mailへのアクセ
者に明確に知らせず、事前に同意も受けていなかった。
スができなくなる旨を警告し、同意を撤回しないよ
う促すメッセージを表示した。
Googleは、サービス加入時に他社での行動情報の収集、利用についてを明確に知らせず、その設定画面を隠したまま、デフォルトを「同意」に設定す 注：Yahoo.comにおいてユーザーの同意なくCookieをユーザーるなどの方法を使用していた。
のデバイスに保存したことも認定されている。

• 同病院は、サービスを提供するために必要な同意と、広報等の目的の選択的同意を区別せずに同意を受け、本人の選択権を制限した。

Metaは、アカウント作成時に同意を受ける内容を利用者が分かりにくい形でデータポリシーの全文に掲載しただけで、法定告知事項の具体的な内容を利用者に知らせず、また、同意を受けなかった。

• Googleに対して692億4,100万ウォン、Metaに対して308億600万ウォンの制裁金を科した。
当局が取った主な措置• 1,000万ユーロの制裁金を科した。

• 100万ウォンの制裁金を科した。

• 両社に対して、利用者の他社での行動情報を収集・利用する場合には、利用者が自由な決定権を行使し、簡単かつ明確に認知できるように利用者に知らせ、同意を得るように是正措置をとることを命じた。

（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月） 、令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美15
坂井法律事務所・外国法共同事業）の調査結果等を元に作成。

代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方⑥
４．代替困難と評価し得る者による個人情報の取扱いに関連する個人情報保護法に基づくこれまでの行政上の対応
企業・団体名対応日

株式会社リクルート
株式会社リクルートキャリア
いわゆる内定辞退率を提供するサービス（※）の利用企業
2019年12月４日• 2018年度卒業生向けの「リクナビ2019」におけるサービスでは、個人情報である氏名の代わりに Cookie で突合し、特定の個人を識別しないとする方式
で内定辞退率を算出し、第三者提供に係る同意を得ずにこれを利用企業に提供していた。リクルートキャリア社は、内定辞退率の提供を受けた企業側において特定の個人を識別できることを知りながら、提供する側では特定の個人を識別できないとして、個人データの第三者提供の同意取得を回避しており、法の趣旨を潜脱した極めて不適切なサービスを行っていた。

問題となった取扱い• 本サービスにおける突合率を向上させるため、ハッシュ化すれば個人情報に該当しないとの誤った認識の下、サービス利用企業から提供を受けた氏名で突合し内定辞退率を算出していた。ハッシュ化されていても、リクルートキャリア社において特定の個人を識別することができ、本人の同意を得ずに内定辞退率を利用企業に提供していた。
• 「リクナビ2020」プレサイト開設時（2018年６月）に、本サービスの利用目的が同サイト内に記載されたことをもって、サービス利用企業から提供を受けた
氏名で突合し内定辞退率を、算出していた。しかしながら、プレサイト開設時のプライバシーポリシーには第三者提供の同意を求める記載はなく、2019年３月のプライバシーポリシー改定までの間、本人の同意を得ないまま内定辞退率をサービス利用企業に提供していた。
• 本サービス利用企業は、本サービスに関する利用目的の通知又は公表等が不適切であったり、個人データを外部に提供する際の法的検討ないし当該法的整理に従った対応等が不適切であったりした。
• リクルート社及びリクルートキャリア社に対して、個人データを取り扱う際に、適正に個人の権利利益を保護するよう、組織体制を見直し、経営陣をはじめとして全社的に意識改革を行い、以下の事項を含め、必要な措置をとることを勧告した。
新しい商品等を検討する際に、法に則り適正に個人情報を取り扱うよう検討、設計する体制を整備すること
個人情報を取得する際は、商品等の内容をできる限り特定し、当該利用目的の通知又は公表を適切に行うことリクルート社においては、業務を委託する場合は、委託先に対し、必要かつ適切な監督を行うこと

行政上の対応• 利用企業に対して、以下の事項について適切に対応するよう指導を行った。
利用目的の通知、公表等を適切に行うこと
個人データを第三者に提供する場合、組織的な法的検討を行い、必要な対応を行うこと
個人データの取扱いを委託する場合、委託先に対する必要かつ適切な監督を行うこと（※）採用活動に応募した学生等の情報とリクナビ会員情報を突合し、リクナビ上の閲覧履歴等を基に内定を辞退する確率を算出して提供するサービス。

16

代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方⑦
５．代替困難と評価し得る者による個人情報の取扱いに関する社会的反響の大きかった事例
事例A

事例B

事例C

• 全寮制の学校Aが、全生徒にウェアラブル • Bは、ユーザーの取引実績や予約キャンセ • 学校Cで、生徒の手首につけた端末で脈端末を購入してもらい、心拍数、血圧、睡 ル率、カード利用金額等を分析・集計した 拍を計測し、授業中の集中度を測定する
眠時間、入退室履歴等を把握し、生徒の 信用スコアについて、パートナー企業への提 実証研究を行っている。
健康管理に役立てる取組を実施すること 供を開始すると発表したところ、一部の有 • 生徒の集中度は、教員の端末に即座にが報道された。
識者やメディアから批判が相次いだ。
反映され、一人ずつのグラフが現れる。
• 上記報道の後、SNS上では、好意的な声 • 批判のポイントは次のとおり。
• 教員は、授業後や放課後に上記データをも寄せられる一方で、批判も少なくなく、賛
スコアリングがデフォルトでONになっている 確認し、授業の進め方と子どもの集中度
否交えた議論となった。
ユーザーに対して、事前の説明がなかっ の関連性等を見て自分の授業を振り返る。
• Aは、導入は検討中である等として、報道た• また、上記データは、生徒自身の「振り返を否定するコメントを公表した。
り」に使うことも目的とする。
ユーザーはスコアの確認ができない
スコアの提供先が不明瞭• また、スコア情報の提供に係る同意を取得する画面において、信用スコアの具体的な内容は明確に記載されていなかった。

• 成績の評価や教員の授業評価には利用しない。

（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）等を元に作成。

17

不適正取得・不適正利用に係る規律の在り方①
１．不適正取得・不適正利用に係る現行法の規律（概要）（不適正な利用の禁止）
第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（適正な取得）第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

個人情報保護法第19条にいう「違法又は不当な行為」とは、個人情報保護法その他の法令に違反する行為、及び直ちに違法とはいえないものの、個人情報保護法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
個人情報保護法第19条にいう「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。
不適正取得・不適正利用に該当する具体的な事例は、個人情報の保護に関する法律についてのガイドライン（通則編）において、６事例ずつ記載されている。

18

不適正取得・不適正利用に係る規律の在り方②
２．不適正取得・不適正利用に係る個人情報保護法に基づくこれまでの行政上の対応
企業・団体名対応日問題となった取扱い

多数の破産者等の個人情報を個人情報保護法に反して取り扱っているウェブサイトの運営者

関西電力株式会社 九州電力株式会社
東北電力株式会社 中部電力ミライズ株式会社
中国電力株式会社 四国電力株式会社

有限会社ビジネスプランニング2022年11月２日

2023年６月29日

2024年１月17日• 上記ウェブサイトでは、破産手続開始決定又は民事再生手続開始決定を受けた個人の氏名及び住所といった個人データ（個人情報）が、不特定多数の者による当該個人に対する財産的・人格的差別が誘発されるおそれがあることが十分に予見できるにもかかわらず、インターネット上に公開されている地図データと紐付けられる形で表示されていた。

• 関西電力株式会社は、電気事業法第23条の３
において禁止されているにもかかわらず関西電力
送配電株式会社に依頼し、同社から、新電力（＝新規参入の小売電気事業者）の顧客情報を含む個人データを取得した。

• 販売先が、法に違反するような行為を行う者にも名簿を転売する転売屋（ブローカー）だと認識していたにもかかわらず、意図的に販売先での名簿の用途を詳しく確認せず、転売屋に名簿を販売した。

• 九州電力株式会社は、同法の趣旨に違背するにもかかわらず、九州電力送配電株式会社から、新電力顧客情報を含む個人情報を取得した。
• 東北電力株式会社は、東北電力ネットワーク株
式会社から、同社による提供行為が同法第23条
第１項第２号等に違反するにもかかわらず、新電力顧客情報を含む個人情報を取得した（中部電力ミライズ株式会社以下も同様。）。

• 個人情報保護法第145条第２項に基づき、ウェ
ブサイトを通じた個人データの提供を直ちに停止す
ることを求める命令を発出した。
行政上の対応

注：上記命令にもかかわらず、正当な理由なく上記命令に係る措置がとられなかったため、2023年１月11日、個人情報保護法が定める罰則に抵触しているものとして、関係捜査機関への告発を実施した。

• 個人情報保護法第147条に基づき、個人情報の適正な取扱いについて、全社的に総点検を実施し、必要に応じて改善策を講ずることを内容とする指導を行った。

• 個人情報保護法第147条に基づき、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用しないよう、定期的に監査を行う等して個人情報の取扱状況を適切に把握するとともに、定期的な研修及び教育の実施を通じて、代表取締役を含む役員及び従業者に、個人情報の適正な取扱いを周知徹底することを内容とする指導を行った。

19

不適正取得・不適正利用に係る規律の在り方③
３．個人情報の取扱いの適正性に関連する国内の主な他法令の規律（概要）

法的根拠• 公益通報者保護法第11条第２項• 「公益通報者保護法第11条第１項及び第２項の規定に基づき事業者がとるべき措置に関して、その適切かつ有効な実施を図るために必要な指針」第４の２（２）

障害を理由とする差別の解消の推進に関する法
律第８条第１項• 特定商取引法第７条第１項第５号• 特定商取引法施行規則第18条第２号・第３号

訪問販売を行う販売業者又は役務提供事業者
規制対象者

規制内容

事業者

事業者

注：特定商取引法では、電話勧誘販売、連鎖販売取引、特定継続的役務提供、業務提供誘引販売取引及び訪問
購入についても、顧客の判断力・知識等に着目した規律が存在する。

事業者は、公益通報者を保護する体制の整備として、次の措置をとらなければならない。

その事業を行うに当たり、障害を理由として障害者でない者と不当な差別的取扱いをすることにより、障害者の権利利益を侵害してはならない。

以下の行為を行ってはならない。

• 事業者の労働者及び役員等が範囲外共有（＝公益通報者を特定させる事項を必要最小限の範囲を超えて共有する行為）を行うことを防ぐための措置をとり、 範囲外共有が行われた場合には、適切な救済・回復の措置をとる。
• 事業者の労働者及び役員等が、公益通報者を特定した上でなければ必要性の高い調査が実施できないなどのやむを得ない場合を除いて、通報者の探索を行うことを防ぐための措置をとる。
• 範囲外共有や通報者の探索が行われた場合に、当該行為を行った労働者及び役員等に対して、
行為態様、被害の程度、その他情状等の諸般の事情を考慮して、 懲戒処分その他適切な措置をとる。

• 若年者、高齢者その他の者の判断力の不足に乗じ、訪問販売に係る売買契約又は役務提供契約を締結させること。
• 顧客の知識、経験及び財産の状況に照らして不適当と認められる勧誘を行うこと。
注：個人の判断能力に着目した規律として、刑法第248条・
消費者契約法第４条第３項等も存在する。

（個人情報保護委員会事務局調べ）20

不適正取得・不適正利用に係る規律の在り方④
４．個人情報の取扱いの適正性に関連する主な裁判例①
判決日付等

東京地判平成27年７月１日
L07020281

事案の概要• 「性同一性障害者の性別の取扱いの特例に関する法律」に基づき性別取扱い変更の審判を受けた者（＝X）が経営する会社（＝A）が、株主会員制のゴル
フクラブ（＝Y1）に入会の申込みをしたが、性別変更を理由に入会及びY1を経営する株式会社（＝Y2）に係る株式の譲渡承認を拒否された。

• 「たとえ私人間においても、疾病を理由として不合理な取扱いをすることが許されるものではないところ…性同一性障害が医学的疾患の一つであることは公知の事実であったということができ、したがって、性同一性障害及びその治療を理由とする不合理な取扱いをすることが許されないことは、その他の疾病を理由とする不合理な取扱いが許されないのと同様」である。
• Y1・Y2は、「Aの入会を認めることによって、既存会員に強い不安感や困惑が生じ、Y1の運営に支障が生じるおそれがあるなどとも主張する」が、「Y1が閉鎖的な団体であるということはできない」こと等からすれば、当該主張は「抽象的で具体性に欠けており…多分に感情的、感覚的なものであ」る。

判旨• 「Xの被った不利益は、直接的には、AがY1の法人会員の記名者たる地位を取得できず、Y1の実質的な会員としてY1でプレーすることができないなどの経済的不利益にとどまるものではあるが、性同一性障害であること及びその治療を受けたことを理由として、Y1の定めにしたがって入会申込みの手続を行えば入会申込みを拒否されることはないであろうとの期待ないし信頼を裏切られ、いわれのない不利益を被ったこと、このような理由による本件入会拒否及び本件承認拒否によって、Xは、自らの意思によってはいかんともし難い疾病によって生じた生物的な性別と性別の自己意識の不一致を治療することで、性別に関する自己意識を身体的にも社会的にも実現してきたことを否定されたものと受け止め、人格の根幹部分に関わる精神的苦痛を受けたことも否定できない」。
• 「本件入会拒否及び本件承認拒否は、憲法14条１項及び国際人権Ｂ規約26条の規定の趣旨に照らし、社会的に許容しうる限界を超えるものとして違法というべきである。」• 裁判所は、Y1・Y2に対して、慰謝料100万円の支払いを命じた。

（個人情報保護委員会事務局調べ）

21

不適正取得・不適正利用に係る規律の在り方⑤
４．個人情報の取扱いの適正性に関連する主な裁判例②
判決日付等

東京地判令和２年１月29日
判例時報2503号33頁

東京高判令和５年５月30日
L07820203• 女性であるXらは、学校法人（＝Y）が設置する大学の医学部医学科の入学試験を受験した。

事案の概要• 宝石等の装飾品、バッグ、衣類（呉服、婦人服等）、健康食品、家具、寝具等の販売を主な業とする株式会社（＝Y）が、高額な取引をするのに必要な判断能力が相当程度低下していた高齢男性（＝X）に対して、Xの判断能力が相当程度低下している事実を認識し、又は容易に認識し得たにもかかわらず、また、Xにとって、その生活に通常必要とされる分量を著しく超えた
過大な取引であることを認識していたにもかかわらず、宝飾品、時計、眼鏡、衣類等を販売し続けた。
• Yは、「Xの判断能力が相当程度低下している事実を認識し、又は容易に認識し得たと認められる…時点では…社会通念に照らし、信義則上、Xとの本件取引を一旦中断すべき注意義務を負っていた」ため、その後も「YがXとの取引を中断せず…取引を継続したことは、社会通念上許容されない態様で買主であるXの利益を侵害したものとして、不法行為法上違法と評価されるべきものと解するのが相当である。」• 「本件属性調整は…性別という自らの努力や意思によっては変えることのできな
い属性を理由として、女性の受験者を一律に不利益に扱うものであって、性別による不合理な差別的取扱いを禁止した教育基本法４条１項及び憲法14条１項の趣旨に反する。」

判旨• 裁判所は、上記時点以後の取引によるXの支払済みの売買代金額合計を、Yの不法行為と相当因果関係のあるXの損害であると認めた。

• Yは、一般入試及びセンター利用入試のそれぞれの二次試験において実施した
小論文試験の点数について、受験者の性別及び高校卒業年からの経過年数といった属性に応じ、一部の男性受験者だけに加点をする等して、当該受験者の成績順位を高める等の措置（＝本件属性調整）を行った。

• 「本件属性調整を行っていることを公表することなく学生を募集した上、本件属性調整を実施したYの行為は、本件属性調整により合否に影響を受けたか否かにかかわらず、本件学科の一般入試及びセンター利用入試を受験したXらが自らの意思により受験校を選択する自由を侵害するものとして、Xらに対する不法行為に該当するとともに、本件属性調整がなければ合格と判定されていたにもかかわらず、本件属性調整の結果、不合格と判定された者との関係では、性別による不合理な差別的な取扱いとして不法行為に該当するものと認めるのが相当である。」• 裁判所は、Yに対して、本来であれば合格と判定されるべきところを本件属性調
整によって不合格と判断されたことに対する慰謝料（200万円又は300万円）、及び、自らの意思により受験校を選択する自由を侵害されたことに対する慰謝料（20万円）の支払いを命じた。
（個人情報保護委員会事務局調べ）

22

不適正取得・不適正利用に係る規律の在り方⑥
５．個人情報の取扱いの適正性に関連する外国における主な執行事例等
企業・団体名Sunkey Publishing, Inc.
Fanmail.com, LLC
等

Twitter, Inc.

DiDi Global

該当国／当局

米国／FTC

米国／FTC

中国／国家インターネット情報弁公室

執行等の日

2018年９月６日

2022年５月26日

2022年７月21日• 同社らは、米軍と関係があるわけではないにもかかわらず、米軍の公式リクルートウェブサイトかのようにみせかけたウェブサイトを用いて、米軍への加入を希望する者の個人情報を収集する等した。

• 同社は、ユーザーから、二段階認証、パスワードを失念した場合のリセット又はアカウントの凍結の解除に必要であるとして取得した電話番号及びメー
ルアドレスを、ターゲティング広告（＝広告主の電
話番号・メールアドレスのリストと突合したうえでの広告） に利用した。

• 同社には、以下の違反行為等があったとされている。

問題となった取扱い

当局が取った主な措
置• 同社らは、サイトに情報を入力した消費者等に対して、自らが米軍であり、又は米軍と提携しているかのように装って電話をかけ、当該消費者が、「military
friendly」な大学等に関する情報を受け取ることに関心を示した場合、（米軍の推薦又は承認はないが、同社らからの情報の購入に同意した）大学等を紹介し、当該消費者が当該大学等から連絡を受けることに同意すると、当該大学等に対して、当該消費者の情報を、１件15～40ドルで販売する等した。

• 上記ウェブサイトに係る権利・利益等をFTCに引き渡すことや、情報の取得主体が米軍であると偽ったり、情報共有の範囲を偽ったりすること等の禁止等を内容とする同意命令を発出した。

ユーザーの携帯電話のアルバムに保存されているスクリーンショット情報1,196万
3,900件を違法に収集した。
ユーザーの携帯電話のコピー情報を保存するメモリーのクリップボード上の情報及びア
プリ一覧情報83億2,300万件を過度に収集した。
乗客に明確に告知せず、乗客の外出計
画を分析した情報539億7,600万件を収集した。

• 以下の内容の同意命令を発出した。
１億5,000万ドルの民事制裁金の支払い• 同社に対して80億2,600万元の課徴金を科す等した。

欺瞞的に収集されたデータから利益を得ることの禁止等（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）等を元に作成。

23

不適正取得・不適正利用に係る規律の在り方⑦
６．個人情報の取扱いの適正性に関連する個人情報保護法に基づくこれまでの行政上の対応
企業・団体名フェイスブックインク

対応日2018年10月22日• フェイスブックの利用者（以下「ユーザー」という。）が、ソーシャルプラグインである「いいね！」ボタンが設置されたウェブサイトを閲覧した場合、当該ボタンを押さなくともユーザーID、アクセスしているサイト等の情報が同社に自動で送信されていた。

問題となった取扱い• 性格診断アプリを介して取得したユーザーの個人情報が不正にケンブリッジアナリティカ社（英国の分析会社）に共有された。

• 以下の事項について指導を行った。
行政上の対応ユーザーへの分かりやすい説明の徹底、本人の同意の取得、本人からの削除要求への適切な対応等を行う。
プラットフォーム上の第三者が開発したアプリケーションの活動状況の監視等を徹底する。

７．個人情報の取扱いの適正性に関連するその他の事例• Aは、タクシー配車アプリの設定でユーザーが位置データの取得を「常に許可する」としていた場合、タクシー乗車の有無を問わず位置情報を取得し、広告目的で利用するXへ提供していた。

事例A• Aは、上記アプリのプライバシーポリシーにおいて、位置情報等を第三者の広告配信等に利用することがある旨を明記していたが、同意取得に際しては、ス
ムーズにタクシーを配車するために必要である旨を説明していた。アプリの利用規約においては、位置情報を含む個人情報を広告目的で利用する旨は明記されていなかった。
• AとXは協議の上、アプリからデータが送信されても情報を取得しないように改修し、AもXへデータを提供する仕組みの利用を停止した。
• 行政機関が実施する調査であるかのような紛らわしい説明をして、個人情報等を聞き出す、以下のような「かたり調査」のトラブルが発生している。

事例B

行政機関を名乗り「台風の被害調査をしており、見舞金が出る」と電話がかかってくる。
行政機関を名乗り、世論調査の協力を求めるURL付きのメールが送信されてくる。
行政機関を装い、独居の親の自宅に高齢者の動向調査を行うという訪問がなされる。

（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）、独立行政法人国民生活センターのウェブサイト
（https://www.kokusen.go.jp/t_box/data/t_box-faq_qa2019_16.html）等を元に作成。

24

個人関連情報の適正な取扱いに係る規律の在り方①
１．個人関連情報に係る現行法の規律（概要）（個人関連情報の第三者提供の制限等）
第三十一条 個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を個人データとして取得することが想定されるときは、第二十七条第一項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
二 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他
当該本人に参考となるべき情報が当該本人に提供されていること。
２ 第二十八条第三項の規定は、前項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。
この場合において、同条第三項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
３ 前条第二項から第四項までの規定は、第一項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場
合において、同条第三項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

例えば、以下の情報が、個人関連情報に該当する（※）。
• Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴• メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
提供元では個人データに該当しないが、提供先において個人データとなることが想定される個人関連情報の第三者提供について、本人同意が得られていること等の確認が、提供元に義務付けられている。
なお、現行法において、特定の個人を識別しないことを前提とする個人関連情報の取扱いに係る規律は設けられていない。
※ 個人情報に該当する場合は、個人関連情報に該当しないことになる。

25

個人関連情報の適正な取扱いに係る規律の在り方②
２．個人関連情報の取扱いにも適用され得る国内の主な他法令の規律（概要）

法的根拠

規制対象者

規制内容

特定電子メールの送信の適正化等に関する法律第３条不正アクセス禁止法第２条第４項第１号・第３条・第４条

電子メールの送信をする者（営利を目的とする団体及び営業を営む場合における個人 対象の限定なしに限る。）

自己又は他人の営業につき広告又は宣伝 • 他人の識別符号を悪用することにより、本を行うための手段として送信をする電子メー
来アクセスする権限のないコンピュータを利ルについて、原則としてあらかじめ本人の同用する行為をしてはならない。
意がなければ送信してはならない。
• 上記行為の用に供する目的で、他人の識
別符号を取得してはならない。

電気通信事業法第51条

以下のサービス（＝対象役務）をブラウザ
又はアプリケーションを通じて提供する電気
通信事業者• 他人の通信を媒介するサービス• 情報交換・取引の「場」を提供するサービス• オンライン検索サービス• オンライン情報提供サービス
利用者に対し対象役務を提供する際に、当該利用者の端末に対して、当該端末に記録された利用者に関する情報を外部に送信するよう指令するプログラム等を送信するときは、原則として、外部に送信される情報の内容や送信先となる電気通信設備等について、当該利用者に確認の機会を付与しなければならない。

（個人情報保護委員会事務局調べ）26

個人関連情報の適正な取扱いに係る規律の在り方③
３．個人関連情報の取扱いに起因する個人の権利利益の侵害に関連する主な裁判例
判決日付等

事案の概要

判旨

東京高判令和４年９月15日
判タ1507号68頁• さいたま市情報公開条例（以下「本件条例」という。）に基づき、公立学校に関する体罰事故報告書の開示請求がなされた。
• 当該報告書には、「１ 事故者の職・氏名・年齢・性別」「２ 事故の種別」「３ 事故発生日時」「４ 事故発生場所」「５ 児童生徒の氏名・年齢・性別・学年等」「６ 負傷等の程度」「７ 事故の概要」「８当事者等からの意見等」「９ 学校の対応等」「１０ その他」の各欄が設けられ、各欄にその具体的な内容が記載されていた。

• （個人情報保護法第78条第１項第２号と同様の非開示情報を規定している、本件条例第７条第２号の）「「特定の個人を識別することはできないが、公にすることにより、なお個人の権利利益を害するおそれがあるもの」とは、本人の財産権等の正当な権利利益が害されるおそれのあるものや、個人の人格と密接に関連しており、当該個人がその流通をコントロールすることが可能であるべきであり、本人の同意なしに第三者に流通されることが適切でないものなどの社会通念上秘匿性の高い法的保護に値する情報をいう」。
• 「被害児童生徒は体罰の一方当事者であり、体罰に至る経緯その他」体罰事故報告書「に記載されている情報の中には被害児童生徒にとって不名誉なものやその私生活に関わるものなど、被害児童生徒からすれば第三者の目にさらされたくない情報が含まれることも十分にあり得るところ、これらの情報が被害児童生
徒の特定につながりかねない情報と共に開示されるとなれば、単なる不快感にとどまらない精神的苦痛を与える可能性も生じてくるというべきであって、被害児童生徒が若年で保護を要する成長過程にあることも踏まえると、体罰被害に係る情報の取扱いには慎重な配慮が必要になるものというべきである。また、被害児童生徒の保護者や事情聴取を受けた他の児童なども、体罰という異常事態が発生した渦中における自らの言動等を第三者の目にさらされたくないという意向を持つことも十分にあり得るところであって、これについても
また被害児童生徒の場合と同様に配慮すべき事情があることは否定できない。」• 「本件は公文書開示という制度の下において情報の開示が求められているものであるところ、本件条例の定めによれば、何人もその目的を問われることなく公文書の開示請求を行うことができるのであって、例えば興味本位に関係者特定のための手がかりにしようとするなどの目的の下に開示請求がされたような場合であっても、非開示事由がない限りは他の目的による請求の場合と同様に文書が開示されることとなるのである。
本件各文書に含まれる情報のうちどの範囲が非開示情報に当たるかを判断するに際しては、公文書開示制度のこのような性格を踏まえつつ、個々の事案の具体的事実関係の特質に配慮しながら検討する必要がある」。
• 裁判所は、体罰事故報告書に記載の情報のうち、体罰が発生した学校名・クラス名等について、「特定の個人を識別することはできないが、公にすることにより、なお個人の権利利益を害するおそれがあるもの」に該当するとして非開示とした。

東京高判令和４年12月21日
2022WLJPCA12216017• インターネット上の掲示板の風俗関係の話題を投稿する趣旨で立てられたスレッドであって、「●●（＝本件建物の名称）」というタイトルが付され、冒頭の投稿には、本件建物の所在地、建物の構造や築年数、階数が記載されているものにおいて、氏名不詳者が、「電話したらどない i090…（＝Xの携帯電話番号）」という内容の本件投稿１、及び、本件投稿１に対する返信として、「〉〉６
８９ ショートメイルでもいいんじゃないの 090…（＝Xの携帯電話番号）」という内容の本件投稿2等を投稿した。
• なお、本件建物の所在地である豊中市は、Xの住所地や勤務地である吹田市の近隣ではあるものの、これらは一致していない。
• 「プライバシー権の侵害は、一定の主観的領域にとどまるべき情報が外部に公表されたか否かという基準によって判断されるべきものであり、特定の記事や書き込みに掲載された情報が特定人物のプライバシーに関する情報であるか否かというプライバシー情報該当性は問題となるものの、名誉毀損の成否において問題となるいわゆる同定可能性と同じ意味での、一般の閲覧者において当該投稿において掲載された情報がプライバシー侵害を訴える者に関する情報であると客観的に判断できることは要しないと解するのが相当である。」• 「一般に、個人が使用している携帯電話の番号は、その性質上、不特定多数の第三者に開示されることを望まない情報であり、プライバシー権によって保護されるべき情報に当たるところ、見知らぬ他人から連絡が来ることを一般的には望まないものであり、迷惑電話や嫌がらせの電話がかかってくる危険もあることは、携
帯電話の番号を公表されない法的利益として考慮されるべき事情であるといえる。」• 「一般の閲覧者において本件投稿１及び本件投稿２中の本件番号が携帯電話の番号であることは認識可能であると認められるところ、本件番号は、Xが仕事関係で用いている名刺に記載されており、Xが個人で使用している携帯電話の番号であることからすると、X個人ないしは仕事に関係する者以外の、不特定多数の第三者に開示されることを望まない情報であると認められる。その上、…X
は、自分の携帯電話に見知らぬ番号から電話がかかってきて、迷惑に感じたことがあると述べており、…スレッド…の性質を考慮すると、Xの携帯電話にいたずらや買春目的での電話がかかってくる蓋然性は高いといえる。」• 裁判所は、本件投稿１及び本件投稿２によりXのプライバシー権が侵害されたことを認めた。

27（個人情報保護委員会事務局調べ）

個人関連情報の適正な取扱いに係る規律の在り方④
４．個人関連情報の取扱いの適正性に関連し得る外国における主な執行事例等
企業・団体名Twitter, Inc.

CRITEO SA

BetterHelp, Inc.

該当国／当局

米国／FTC

フランス／CNIL

米国／FTC

執行等の日

2022年５月26日

2023年６月15日

2023年７月14日• 同社は、ユーザーから、二段階認証、パスワー
ドを失念した場合のリセット又はアカウントの凍結の解除に必要であるとして取得した電話番
号及びメールアドレスを、ターゲティング広告（＝広告主の電話番号・メールアドレスのリストと突合したうえでの広告）に利用した。

• 同社は、インターネットユーザーに対してパーソナライズされた広告を表示するため、パートナー企業のウェブサイトにアクセスした端末にCookieを配置し、これを通じて、インターネットユーザーの閲覧習慣を分析していた。

• 同社は、オンラインメンタルヘルスカウンセリング
サービスのユーザー等から取得したメールアドレス
について、「誰にも共有、販売、開示しない」旨等をユーザーに伝え、ユーザーの健康情報について、プライベートに保ち治療支援等の非広告目的にのみ利用する旨等をユーザーに約束していた。

問題となった取扱い• しかし、複数のパートナー企業が、インターネット
ユーザーの同意なく、その端末に上記Cookieを配置しており、また、同社は、パートナー企業による同意取得を確認するための措置を講じていなかった。
• さらに、同社のプライバシーポリシーは、意図された全ての利用目的が含まれておらず、また、一部の利用目的が曖昧・広範な用語で表現されていた。

• それにもかかわらず、同社は、ユーザーのメールア
ドレス等や健康情報を、リターゲティング広告等
を 行 う 目 的 で 、 Facebook 、 Snapchat 、
Criteo、Pinterest等のプラットフォームに提供する等した。

注：上記のほか、GDPR第15条（データ主体によるアクセスの権利）に係る違反等も認定されている。

• 以下の内容の同意命令を発出した。
当局が取った
主な措置

１億5,000万ドルの民事制裁金の支払い• 4,000万ユーロの制裁金を科した。

• 780万ドルの民事制裁金の支払いを含む内容の同意命令を発出した。

欺瞞的に収集されたデータから利益を得ることの禁止等（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）等を元に作成。

28

個人関連情報の適正な取扱いに係る規律の在り方⑤
５．個人関連情報の取扱いの適正性に関連するその他の事例
事例A

事例B

•端末にインストールされたアプリのリストや、アプリの起動履 •SMSを用いた、以下のような不正アプリのインストール被歴を収集・活用する事業を展開していたAが提供する、分 害が発生している。
析サービスXや動画視聴アプリYについて、「ユーザーへの •まず、電話番号を用いて、宅配便業者や通信事業者に十分な説明なく情報を収集している」としてネットを中心に なりすましたSMSでメッセージが送信される。
批判が噴出した。
•当該メッセージ上に記載したURLをクリックすると、不正ア•サービスXは、これを実装したアプリをインストールした端末 プリのダウンロードに誘導される。
にインストールされている他のアプリの情報や起動回数など•不正アプリをダウンロードした後、正規のセキュリティアプリのを収集し、アプリYは、動画視聴アプリとして配布されてい削除に誘導される。
ながら、バックエンドでは端末の個体識別番号などを集め•不正アプリをダウンロードしたスマートフォンから、見知らぬて同社に送信する仕組みだった。
宛先に対して、SMSが多数送信させられたり、当該スマー•Aは、この仕組みについて抽象的な文言で説明してユー
トフォン内のデータが窃取・不正使用されたりする。また、ザーの同意を得ていたのみであり、どんな情報を送信する
正規のセキュリティアプリの削除により、セキュリティ対策がのかの説明が不十分であることが問題とされた。
機能しないことになり、さらなる被害につながりやすくなる。

（出典）株式会社日本総合研究所「個人情報保護に係る主要課題に関する海外・国内動向調査 最終報告書」（2023年12月）、独立行政法人情報処理推進機能ウェブサイト
（https://www.ipa.go.jp/security/anshin/attention/2021/mgdayori20211222.html）等を元に作成。

29