日時：令和６年５月 15 日（水）13：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、梶田委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、全委員が御出席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第284回個人情報保護委員会を開会いたします。

本日の議題は三つです。
議題１「令和５年度年次報告（案）について」、事務局から説明をお願いいたします。
○事務局

それでは、議題１となっております「令和５年度年次報告（案）について」、

御説明いたします。
年次報告は、個人情報保護法第168条におきまして、「委員会は毎年、内閣総理大臣を経由して国会に対し所掌事務の処理状況を報告するとともに、その概要を公表しなければならない。」と規定されていることを踏まえ、資料のとおり取りまとめているものでございます。
内容について御説明いたします。資料１－１が概要資料、資料１－２が本体資料になります。本日は、資料１－１を基に御説明いたします。資料１－１の概要資料は、本体資料の第２章、令和５年度の委員会の所掌事務の処理状況の内容について、大きく四つの項目に分け、取りまとめております。
資料の１ページ目を御覧ください。一つ目の項目は、「個人情報保護法等に関する事務」
でございます。個人情報保護制度の一元化に関する取組としては、令和３年改正法の円滑かつ適切な施行及び運用のため、地方公共団体等に対して、地方ブロックごとに設けた担
当窓口による照会対応など様々な支援を行うとともに、地方公共団体等に係るものに関して、個人情報の保護に関する法律についてのQ&A（行政機関等編）の改正を行いました。
次に、個人情報保護制度の見直しに関する取組としては、いわゆる３年ごと見直しについて、検討の方向性を提示し、関係団体及び地方公共団体からのヒアリングを行い、その結果等を踏まえ、検討項目を提示し、個別の検討項目について議論を行いました。
また、個人情報保護法等に基づく個人情報等の利活用等に関する取組としては、PPCビジ
ネスサポートデスクにおける相談受付や、個々の認定団体が主催する説明会等への講師派
遣などを行いました。
資料の２ページ目を御覧ください。個人情報保護法に基づく監督等に関する取組としては、個人情報取扱事業者等に関する監督として、学習塾の四谷大塚に対して、元講師が塾
1

生の写真や動画、塾が管理する個人データを自身のSNSアカウントに掲載して漏えいさせた事案による指導や、LINEヤフー社に対して業務委託先の従業者の業務上PCのマルウェア
感染を契機に不正アクセスを受け個人データが漏えい等した事案による勧告を行いました。
行政機関等に対する監視として、資源エネルギー庁に対して、同庁が管理運用する「再エネ業務管理システム」について、事業者に割り当てたアカウントのID及びパスワードを他の事業者が利用して同システム内の保有個人情報を閲覧し利用していた事案による指導を行いました。このほかの重大な事案については、別紙及び本文９ページから12ページに記載しております。
資料の３ページ目を御覧ください。二つ目の項目は、「マイナンバー法に関する事務」
でございます。マイナンバー法に基づく監督等に関する取組としては、マイナンバー法等
一部改正法の一部の施行に伴い、事業者向け、行政機関等向けのマイナンバーガイドラインについて、マイナンバーの利用範囲の拡大に伴う規定の整理を反映する改正を行いました。また、コンビニ交付サービスにおける住民票等の誤交付、公金受取口座の誤登録、マイナ保険証の紐付け誤りなど、マイナンバーカード等に係る各種事案については、本人確認の措置や安全管理措置等の不備について富士通Japan、デジタル庁、国税庁等に対して指導を行いました。
次に、特定個人情報保護評価に関する取組としては、特定個人情報保護評価指針の３年ごとの再検討について、マイナンバー制度全体のリスク対策の底上げを促すとともに、人為的ミスに関する対策を強化するため、基礎項目評価書の様式を改正するなどしました。
また、マイナンバー法第19条第９号規則に基づく届出の受付に関する取組としては、令和４年の地方分権改革に関する提案を受けて、国民の利便性向上等の観点も踏まえ、マイナ
ンバー法第19条第９号規則及び独自利用事務の情報連携に関する手引を改正するなどしました。
資料の４ページ目を御覧ください。三つ目の項目は、「国際協力」でございます。１番
目のDFFT推進の観点から個人情報が安全・円滑に越境移転できる国際環境の構築に関する取組としては、委員会の主催によりG7データ保護・プライバシー機関ラウンドテーブル会
合が初めて我が国で開催され、DFFT等について議論を行い、初の行動計画や生成AIに関する声明などを採択しました。
また、日EU間及び日英間の相互認証による円滑な個人データ移転を図る枠組みについて、相互認証を継続し、さらに、日本に対する十分性認定の対象範囲の学術研究分野及び公的部門への拡大に向けた協議を開始しました。
また、２番目の国際動向の把握と情報発信に関する取組としては、国際会議に参加し、G7データ保護・プライバシー機関ラウンドテーブル会合の成果文書を発信したほか、ウェブサイト上で掲載している個人情報保護に関する海外の法制度の情報等について拡充しました。
３番目の国境を越えた執行協力体制の強化に関する取組としては、英国のデータ保護機
2関であるICOとの間で委員会としては初となる個人情報保護に関する協力覚書（MOC）を締結しました。
資料の５ページ目を御覧ください。最後の四つ目の項目は、「個人情報保護法、マイナンバー法等に共通する事務」でございます。まず、相談受付に関しては、個人情報保護法
相談ダイヤルにおいては、民間部門では個人データの第三者提供に関する質問が、公的部
門では地方公共団体等における保有個人情報の利用及び提供の制限に関する苦情が多く寄せられました。マイナンバー苦情あっせん相談窓口においては、特定個人情報の安全管理措置に関する質問が多く寄せられました。また、苦情に対しては必要に応じてあっせんの申出を受け付けました。
次に、広報及び啓発に関する取組としては、アニメコンテンツとコラボレーションした
名簿流出防止目的の啓発フライヤーをはじめ各種パンフレット等を作成し委員会ウェブサ
イト上に掲載したほか、個人情報保護法に関する行政機関等職員向けパンフレットや国民向けパンフレットを地方公共団体へ配付しました。
内容については、以上となります。
今後、閣議請議等の手続を経て、国会へ報告し、国会報告後に委員会のホームページに公表させていただきたいと考えております。
説明は以上でございます。
○藤原委員長ありがとうございます。

それでは、ただいまの説明について御質問、御意見をお願いいたします。
加藤委員、お願いします。
○加藤委員

御説明ありがとうございました。

この年次報告を通じて、令和５年度を振り返りますと、各分野で適時適切な取組を行う
ことができたと考えております。個人情報保護法においては、令和５年度は地方公共団体の個人情報保護制度についても委員会が所管することになった最初の年度であり、特に地方公共団体に対し様々な支援等を行ったということでございます。マイナンバー法においては、マイナンバーカードに係る各種事案が発生し、それぞれの事案において指導等を行ったということです。これらの取組によって、社会から求められる委員会の役割はますます増大したと実感しております。
今後とも、個人情報の適正な取扱いを確保するため、適切に活動を行っていきたいと思
います。
以上です。
○藤原委員長ありがとうございます。

ほかにいかがでしょうか。
大島委員、お願いいたします。
○大島委員

年次報告案につき、御説明ありがとうございました。

国際関係の取組につき、コメントさせていただきます。昨年６月に初めて我が国で開催
3

しましたG7データ保護・プライバシー機関ラウンドテーブル会合は我が国のプレゼンスを高めることに大いに寄与したと思っております。また、グローバルCDPR稼動に向けた取組に加え、EUや英国に対する十分性認定の対象範囲の拡大のための協議なども確実に実行されてきたと認識しています。英国ICOとのMOC締結等、各国との関係強化も推進され、トータルとして我が国のDFFTの推進に向けた活動が実行されていると感じております。これからも継続していく必要があろうかと思っております。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
それでは、私からも一言だけ申し上げます。加藤委員からも御発言がありましたように、
令和５年度は社会から求められる委員会の役割が、更に増大した一年であったと感じております。現在まさに個人情報保護法の３年ごと見直しの検討を進めており、関係団体及び地方公共団体に御協力を賜り、御意見を伺っているところです。こうした動きも踏まえつ
つ、個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図るという委員会の任務を果たすことで、引き続き国民の皆様の期待や信頼に応えていくことが委員会として重要であると考えております。
ほかにはよろしいでしょうか。
それでは、特に修正の御意見がないようですので、原案のとおり決定し、今後、閣議請議等の国会報告に向けた手続を進めたいと思いますが、よろしいでしょうか。また、その際、技術的な修正については私に御一任いただきたいと思いますが、これもよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については、後日公表することとしてよろしいでしょうか。
ありがとうございます。そのように取り扱うこととさせていただきます。
それでは、次の議題に移りたいと思います。
議題２「いわゆる３年ごと見直し

データ利活用に向けた取組に対する支援等の在り方について」、事務局から説明をお願いいたします。
○芦田企画官

それでは、資料に沿って御説明させていただきます。

本日の委員会においては、３年ごと見直しに関する検討項目の個別論点の検討の５回目として、まず検討項目の「データ利活用に向けた取組に対する支援等の在り方」について御議論をお願いできればと考えております。これから資料に沿って順次御説明いたします。
１ページを御覧ください。まず、「本人同意を要しない公益に資するデータ利活用の在り方」についてです。個人情報保護法は、その目的を定める第１条において、「個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」を目的としており、第３条にお4

いて、個人情報を「個人の人格尊重の理念の下に慎重に取り扱われるべきもの」と位置づけ、その適正な取扱いを求めています。これらの規定を踏まえて策定され、閣議決定された個人情報の保護に関する基本方針においては、ページの下半分にあるとおり、これらの規定が個人の権利利益の保護とともにデジタル技術の活用による個人情報等の多様な利用
が個人のニーズの的確な反映や迅速なサービス等の提供を実現し、政策や事業活動等の面
でも、国民生活の面でも欠かせないものとなっていることに配慮したものであり、個人情報の保護と適正かつ効果的な活用のバランスを考慮した取組が求められるとしています。
２ページを御覧ください。第18条第１項及び第２項は、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たって、本人同意を必要としています。他方、
同条第３項は、他の権利利益の保護を優先すべきと考えられる場合について、各号において適用除外規定を設けています。
３ページを御覧ください。第20条第１項は、要配慮個人情報の取得について本人同意を必要としています。他方、同条第２項は、本人の利益のために必要がある場合や他の利益のためにやむを得ない場合について、各号において適用除外規定を設けています。
４ページを御覧ください。第27条第１項は、柱書において個人データの第三者提供について原則として本人同意を必要としています。他方、他の権利利益の保護を優先すべきと考えられる場合について、各号において適用除外規定を設けています。
５ページを御覧ください。１ページで御紹介した個人情報の保護に関する基本方針においては、AI等のデジタル技術の飛躍的な進展を踏まえ、データの利活用により新産業・新サービスの創出、国際競争力の強化、イノベーション創出が図られることが一層期待されるとしています。特に個人に関する情報の利用価値は高く、個人のみならず公益目的でも活用が可能となっているとした上で、不適正利用等による個人の権利利益の侵害のリスクが高まっており、個人の不安感も引き続き高まっているとしています。
６ページを御覧ください。政府においては、各種の閣議決定においてデータ利活用の推進に向けた取組を取りまとめています。「デジタル社会の実現に向けた重点計画」においては、プライバシー侵害やデータの不適正利用等の不安・不信感を払拭しつつ、データの活用によるメリットについて理解を得た上で、政府全体として透明性と信頼性のあるデー
タ活用を推進するとしています。
また、規制改革実施計画においては、医療等データについて有用性及びその利活用に関する必要性に配慮しつつ、個人情報の保護に関する他の分野における規律との整合性等を踏まえ、個人情報保護法の制度・運用の見直しの必要性も含めて所要の検討を行うとしています。
７ページを御覧ください。令和２年の個人情報保護法改正時の附帯決議においては、衆参両院において、個人の権利利益の保護を図りながら個人情報の利活用を行うよう民間の実態を常に広く把握し、これに基づく制度面の検討等を行うことが求められています。
８ページを御覧ください。昨今、健康・医療、教育、こども、防災等の準公共分野を中
5

心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが高まっています。こう
した中、個人情報保護委員会は、個人情報等の適正な取扱いに関し、関係府省庁等が主催する検討会への参加やガイドライン等の策定に当たっての助言等を通じて政策の企画・立案段階から連携して取組を進めています。主な例を本ページに記載しています。
９ページを御覧ください。個人情報保護委員会は、令和３年６月及び令和４年５月に同委員会に寄せられた意見等を踏まえ、個人情報の保護と適正かつ効果的な活用の促進の観点から検討を行い、「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」について、公衆衛生例外規定により許容されると考えられるケースの追加・更新を行いました。その概要は、本ページに記載のとおりです。
10ページを御覧ください。各会議・団体からデータ利活用に関する提言が出されています。規制改革推進会議からの提言には、医療等データの利活用のため、生命・身体保護や公衆衛生に関する例外規定について、外縁が明確でなく、円滑な利活用が難しい場合が多いという指摘があると言及されています。日本経済団体連合会からは、個人データの第三者提供に係る例外規定について、個別事例について例外への該当性を事前に判断することは困難であり、予見可能性に乏しく、例外規定の具体化・周知徹底が不可欠との提言がされています。日本IT団体連盟からは、不正利用者の情報について企業間の情報共有が可能である旨を明確化する必要があるとの提言がなされています。
11ページを御覧ください。先日の有識者ヒアリングにおいても、AI・医療に関するデー
タ利活用のコメントがありました。一橋大学の生貝教授からは、欧州の状況として学習データのスクレイピングに関する判断等の紹介がありました。NTT社会情報研究所の高橋チーフ・セキュリティ・サイエンティストからは、利用するデータの出典に応じた規律を評価した上で、AIの浸透に対応した個人情報保護の新しい規律の確立が必要である、事業者義務の困難さ、市民の本質的な不安に対応し、AIの仕組みにふさわしい形で新たな規律が確立されるべき、対象はまずは情報を広く・機械的に扱う「近年の技術革新によるAI」をターゲットに考えることに一定の合理性があるというコメントがありました。
12ページを御覧ください。医療分野について、東京大学の森田名誉教授からは、個人情報保護法上の保護法令の根拠として同意が不要な場合を具体化・明確化すべきこと、早稲
田大学の横野准教授からは、個人情報保護法の学術研究目的及び学術研究機関の解釈や、
学術研究機関とそれ以外の機関の区別は医学系研究の実情には合致しにくいとのコメントがありました。
13ページを御覧ください。EUのGDPRでは、一般の個人データ、特別なカテゴリーの個人
データそれぞれについて、一定の場合において本人同意を取得せずに処理することが可能とされています。米国カリフォルニア州、韓国においても一定の範囲で本人同意を取得せずに個人情報を取り扱うことが認められています。
こうした状況を踏まえ、個人情報保護法で本人同意が求められる規定の在り方について、個人の権利利益の保護とデータ利活用とのバランスを考慮し、どのような制度の在り方が6

あり得るかが論点となるかと考えられます。
14ページを御覧ください。続いて、PIAの制度化・普及に向けた支援についてです。PIA（Privacy Impact Assessment）とは、個人情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個人の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理手法を指します。個人情報の保護に関する法律についてのガイドライン（通則編）においては、組織的安全管理として義務付けられる個人データの取扱状況を確認する手段の整備のページとして個人データの取扱状況を把握可能とすることが挙げられており、その手法として個人情報保護委員会は令和４年10月、取扱状況等を可視化する際の一助とする目的でデータマッピング・ツールキットを公表しています。このツールキットの概要については15ページを御参照ください。
なお、個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）においては、行政機関等の保有する個人情報の適切な管理のための措置に関する指針の中で、「保有個人情報の取扱状況の記録」が挙げられています。
16ページを御覧ください。現行制度において、PIAの実施は「個人情報の保護に関する基本方針」において言及があるものの、法律上の義務とはされていませんが、個人情報保護委員会は令和３年６月にPIAの意義や手順等をまとめた資料を公表しています。
17ページを御覧ください。こちらでは、前のページで紹介した資料の概要を紹介しています。PIAの対象範囲について、個人情報の取扱いの場面ごとにリスクを適切に評価することが不可欠であり、委託先等の利害関係者も含めて実施することが望ましいこと、消費者の不安・懸念に対応するため、個人情報保護法の遵守にとどまらない範囲も含めることが重要であること、業界団体等が実施の基準等を構成員に共有すること、実施したPIAの第三者による評価が有効であること、PIAの主な効果として、消費者をはじめとする利害関係者からの信頼性の獲得、事業のトータルコストの削減、従業者の教育を含む事業者のガバナ
ンスの向上が考えられることとされています。
18ページを御覧ください。EUのGDPRでは、取扱いの性質、範囲、過程及び目的を考慮に入れた上で、特に新たな技術を用いるような種類の取扱いがプロファイリング等の自動的な取扱いに基づくものであり、かつ、それに基づく判断が自然人に対して法的効果や重大な影響を及ぼす自然人に関する人格的側面の体系的かつ広範囲な評価の場合等、自然人の権 利 及 び 自 由 に 対 す る 高 い リ ス ク を 発 生 さ せ る お そ れ が あ る 場 合 に デ ー タ 保 護 影 響 評価
（DPIA）の実施が義務付けられています。
19ページを御覧ください。EU以外でも、アメリカ合衆国、スイス、英国が一定の要件を満たした事業者にPIA実施を義務付けているほか、カナダ、ニュージーランドにおいては、
法律上の義務はないものの、ガイドライン等の公表を行っています。
20ページを御覧ください。国内法においても、いわゆる番号法、環境アセスメントの分野において影響評価の枠組みが規定されています。
21ページには、当委員会において実施している特定個人情報保護評価の概要を記載して7

います。
22ページを御覧ください。続いて、個人データの取扱いに関する責任者の制度化・普及に向けた支援についてです。個人情報の保護に関する法律についてのガイドライン（通則編）においては、組織的安全管理措置として「義務付けられる組織体制の整備」の例示として、「個人データの取扱いに関する責任者の設置及び責任の明確化」が挙げられています。個人情報保護委員会は、令和５年11月、個人データの取扱いに関する責任者・責任部
署の設置事例を複数紹介し、その実態を公表しています。なお、個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）においては、行政機関等の保有する個
人情報の適切な管理のための措置に関する指針の中で、「総括保護管理者」、「保護管理者」が挙げられています。
23ページを御覧ください。大企業向けアンケート調査によると、個人データの取扱いに関する責任者を設置している事業者は、全体の88.6％を占めています。こうした責任者は、事業部門からの相談対応、社内規定の整備等を行っており、各企業のデータ保護・プライ
バシー保護の取組の推進に効果があったとされています。
24ページを御覧ください。EUのGDPRでは、取扱いが公的機関又は公的組織によって行われる場合、管理者又は処理者の中心的業務がデータ主体の定期的かつ系統的な監視を大規模に要する取扱業務によって構成される場合等において、DPO（Data Protection Officer）の選任が義務付けられています。DPOは専門家としての資質・能力を有する必要があるとともに、管理者はDPOの職務が利益相反にならないことを確保しなければならないとされています。
25ページを御覧ください。国内の他法令においても、犯罪による収益の移転防止に関する法律等において、一定の業務の実施等については責任者や管理者を選任する努力義務が定められている例があります。
26ページを御覧ください。個人情報保護委員会においては、PIAや個人データの取扱いに関する責任者の設置等のデータガバナンスを推進すべく、ホームページを開設し、事業者を支援しています。
27ページを御覧ください。こうした状況を踏まえ、検討に当たって論点と考えられるものをまとめています。PIAについては、民間における自主的な取組として実施を推奨し、支援しているという状況を踏まえ、これを維持しつつ、その取組を一層促進させるべきか、
あるいは何らかの法規範性を認めるべきか、仮に法規範性を認める場合、一律に適切な評
価項目・評価手続等を規定することができるかが論点となることが考えられます。
また、PIAの位置づけの設定について、仮に個人情報保護法上の規律の遵守を確保するための手段として考える場合には、既に各規律が直接的に事業者の義務とされていることとの関係でどう整理すべきかも論点となるかと考えられます。
個人データの取扱いに関する責任者の設置については、事業者によって事業規模や取り扱う個人データの量・質などが様々である中、組織体制の整備の手法についてどの程度柔8軟性を残すことが適当であるかが論点となることが考えられます。
また、責任者の設置への対応可能性をどう評価するか、責任者の資格要件についてどう考えるかも論点となることが考えられます。
事務局からの説明は以上となります。よろしくお願いいたします。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見をお願いいたします。
浅井委員、お願いいたします。
○浅井委員

御説明ありがとうございました。

PIA及びDPOについてですけれども、EUのGDPRでは、一定の要件の下で規律化されています。日本においても大企業の多くで自主的取組としてデータ保護責任者の選任、加えてPIAの運用が進んでいると理解いたしました。この背景には、海外市場が事業運営に不可欠であるグローバル企業にとって、GDPRのルール、また、その他の海外法令に対応する必要性が現実的に大きいことがあると考えられます。したがいまして、今回のPIAと個人データの取扱いに関する責任者の制度化の検討においては、国際的な協調を考慮することも望ましいと考えております。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
清水委員。
○清水委員

まず、データ利活用の件なのですけれども、総論としましては、公益に資する場合に本人同意の免除などの特別な取扱いをするということが必要な領域はあると考えています。ただし、これまでの基本的な枠組みは維持すべきであると思っておりまして、
特別扱いを認める範囲は限定的である必要があると考えております。
例えば広く国民に利益をもたらし得る業務の開発や運営等の場合は認めるという条文を新設する場合であっても、許容する範囲は明確にすべきであると思いますし、ガイドラインの修正で足りる場合も追加的に許容される範囲を明示すべきであると考えています。
以上が総論なのですが、各論でいきますと、具体的にはAIに関する規制の新設、あるいは学術研究例外、公衆衛生例外の範囲の拡大が考えられると思っております。これらは関係省庁との連携の上、進めていくべきと思いますし、特にAIに関しましては海外の諸国の規制の動向も進んでいるようですので、こちらも視野に入れて進めていくべきであろうと思います。
これらの課題は、業界団体からの要望もあり急務であると思いますが、一方で国民の懸念も大きいわけです。したがいまして、特に関係省庁と連携の上、進めていく場合の話なのですが、個人情報保護の点から当委員会としてしっかり議論に参加していく必要があると考えております。
それから、後半のPIA・DPOについてです。確かに今、委員の御発言にもありましたよう
9

に実務に根づいてきているとは思いますが、これはそれぞれの事業者によって様々事情が違うかなとは思っておりまして、個人的意見としては、これらに係る規定は現状のままガイドライン等で取り扱うこととした上で、ベストプラクティスの紹介等、さらに自発的な導入を推奨していくことが望ましいのではないかと考えています。
個情法の規制はこれまで逐条的な規制というのが大部分であったかと思うのですが、今後はリスクベースアプローチにシフトしていく必要があると個人的には考えています。例
えばAIに関する規制、あるいはこどもに関する規制、これらは複雑で一律にここまではよい、ここまでは悪いという規制の仕方というのは難しいと考えています。このような局面
では、事業者側にリスクを判定させて対応策を講じさせる必要があるわけなのですけれど
も、PIAはそのリスク評価の一つの手段として有用でありますし、個人データの取扱いに関する責任者もそういった評価やリスクへの対応策として有用なものだと考えておりますので、ご検討をよろしくお願いいたします。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
小川委員。
○小川委員

データの利活用とPIAに対してそれぞれ一つずつ意見を申し上げたいと思います。
まず、教育関連のデータ利活用なのですけれども、こどもの個人データの取扱いに関する保護と利活用のバランスに関しまして、エンターテインメント分野ではこどもの個人データを保護する一方で、教育分野についてはこどもの個人データを利活用することが必要ではないかという意見を業界ヒアリングでも頂いております。教育分野については、様々な統計データとともに一人一人の学習データに基づいた分析を基に、こどもの学習を進めるということもこれからの社会にとってとても大事なことではないかと思っております。
ネット社会では、SNSや動画サイトなどを中心にこどもの個人データの保護が社会全体にとって重要な論点になっておりますが、社会全体にとって有益となると考えられる教育分野におけるこどもの個人データの利活用についても、関係省庁における取組を踏まえつ
つ検討の必要があると思います。
次にPIAなのですが、資料の17ページにありますけれども、PIAの主な効果としてトータ
ルコストの削減、消費者との信頼性の確保、事業者のガバナンス向上の三つがここに掲げられております。企業の提供するサービスやシステムについて、事前にPIAを実施して公表することで顧客の個人情報が保護されるサービス、あるいはシステムであることを示すということは、顧客の不安を解消する上でとても大事なことだと思います。
その一方で、このPIAを実施するためにはコストがかかります。そのため、実際にトータルコストが削減されるのかという疑問もあると思います。PIAの効果は企業の提供するサービスごとに異なると思いますので、ケース・バイ・ケースの評価になるかなと思います。
さらに、システムの開発や運用は委託することも多いので、PIAを委託先に任せてしまうよ10うなことも否めないと思います。多重下請構造が多く見受けられる日本では、PIAは下請任
せにならないようにするということも大事だと思います。
このような状況で当委員会が進めているデータマッピング・ツールキットなどの支援ツールを普及するとともに、清水委員からも御指摘がありましたけれども、PIAを導入することによって効果があった企業のグッドプラクティスやベストプラクティスを業界、あるいは認定個人情報保護団体などで共有するなど、企業の自主性を促進させる施策も大事かと思います。
もう一つ加えて、事業者の提供するサービスがネット社会の進展を阻害しないように、
消費者の信頼や安心を得るために、PIAの実施にインセンティブを持たせる方策の検討も併せて必要かと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、私からも一言申し上げます。何点かあります。
まず、本人同意を要しない公益に資するデータ利活用の在り方についてでございます。
昨今のデジタル化の急速な進展・高度化に伴い、生成AI等の新たな技術の普及等により、大量の個人情報を取り扱うビジネスサービスが生まれております。また、説明にもありましたように、健康・医療等の公益性の高い分野を中心に機微性の高い情報を含む個人情報等の利活用に係るニーズは確かに高まっております。
こうした状況を踏まえ、個人情報保護法で本人同意が求められる規定の在り方について、個人の権利利益の保護とデータ利活用とのバランスを考慮し、特にAIや医療関係のヒアリ
ングにおける有識者の御意見や本人同意を要しない個人情報の取扱いに関する外国の法制度なども参考にしながら継続して検討すべきではないかと思います。その際には、本日、清水委員から基本的な枠組みは維持すべきではないか、許容する場合基準の明確化が必要である、AIの場合には海外の国々の法制も参考に、あるいは学術研究例外、公衆衛生例外の現状を拡大することについては関係省庁ともよく協議してという御意見、さらに国民の懸念も考慮すべきであるという御意見があったと思います。それから小川委員からは、こどものデータについては教育分野における利活用のことを考えるべきではないかという御意見がありました。こういった御意見を踏まえることが重要ではないかと思われます。
続いて、PIA、個人データの取扱いに関する責任者の制度化・普及に向けた支援についてでございます。これらの制度はデータガバナンス体制の構築において主要な要素となるものでありまして、その取組が促進されることが望ましいわけですが、これらの義務化については各主体における対応の可能性や負担面なども踏まえ、慎重に検討を進めるべきではないかと思います。
まずPIAについては、現状の民間における自主的な取組という枠組みを維持しつつ、その取組を一層促進させるための方策について、PIAの出発点となり得るデータマッピングを11活用していくことも含めて検討を進めてみたらどうかと思います。その際、本日の委員会
で清水委員からこの点については現状維持ということで、自主規制の枠組みの中で例えばベストプラクティス等をうまく利用する、そしてリスクベースでPIAについて考えるといったプラス面のお話もございました。それから、小川委員からは評価のコストの問題もあるし、我が国のIT業界の構造における委託の問題もあって、清水委員がおっしゃったようにグッドプラクティス、ベストプラクティスという点も考えて、更に言えばインセンティ
ブがあるような仕組みがとれないかという御意見がありました。こういった御議論があったということも踏まえることが重要ではないかと思います。
それから、個人データの取扱いに関する責任者については、現行のガイドライン等で定める組織体制の整備を超えた措置の必要性について検討を進めるべきではないかと思います。資格要件の要否、設置を求める対象事業所の範囲等によりその効果が変わってくると考えられるところ、各企業の現状も踏まえ、現実的な方向性を検討すべきではないかと思われます。その際、本日、浅井委員から日本の大企業の実態、事業者の海外展開との関係、
あるいは国際的な協調という観点からも制度を考えるべきではないかといった御意見があったことも踏まえることが重要ではないかと思われます。
ほかに特に御意見がなければ、今、私から申し上げた内容も踏まえて事務局において検討させていただきたいと思いますが、よろしいでしょうか。
ありがとうございます。
それでは、議題２について、本議題の資料、議事録及び議事概要の取扱いについてお諮
りいたします。本議案の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようでございますので、そのように取り扱うこと
といたします。
それでは、続いて議題３「いわゆる３年ごと見直し

実効性のある監視・監督の在り方②について」、事務局から説明をお願いいたします。
○芦田企画官

それでは、資料に沿って御説明させていただきます。

前の議題に続きまして、検討項目の「実効性のある監視・監督の在り方」の２回目として、「漏えい等報告及び本人通知の在り方」について御議論をお願いできればと考えております。これから資料に沿って順次御説明いたします。
１ページを御覧ください。ここでは、漏えい等報告に係る現行の規律を紹介しています。
漏えい等報告は、規則第７条各号に該当する事態について、速報及び確報に分けて行うこととされています。要配慮個人情報が含まれる場合、不正に利用されることにより財産的被害が生じるおそれがある場合及び不正の目的をもって行われたおそれがある行為による場合については、本人の数にかかわらず報告対象としています。また、本人の数が1,000人
を超える場合にも報告対象としています。
こうした漏えい等報告の趣旨は、委員会が事態を早急に把握し、必要な措置を講ずるこ
12

とができるようにすることにあります。委員会は、漏えい等報告を受けた内容を踏まえ、関係する法令やガイドラインの説明を行いつつ、報告事項の記載について不明点等を確認
し、個人情報取扱事業者に対し本人通知を履行させ、再発防止に向けた安全管理措置義務に係る指導等を行っています。特に速報を受領した段階においては、事案の規模や概要を把握して、事案の軽重を踏まえて今後の調査方針や権限行使の方向性について検討し、また、必要に応じて漏えい等の事態が発生して間もない段階で個人情報取扱事業者として対応すべきことを助言し、個人情報取扱事業者における調査の一般的な手法やセキュリティ
に関する情報提供等を実施しています。さらに、不正アクセス事案の場合、個人情報取扱事業者に対し警察など関係機関への連絡を行うこと等も助言しています。
２ページを御覧ください。委員会への報告を要する事態が生じた場合には、本人への通知も行う必要があります。本人への通知の趣旨は、通知を受けた本人が漏えい等の事態を認識することでその権利利益を保護するための措置を講じられるようにすることにあります。本人通知は原則として本人に直接知らせる必要がありますが、本人への通知が困難な場合には、事案の公表を含む代替措置を採ることが可能です。
３ページを御覧ください。委員会への漏えい等報告については、概要、漏えい等が発生し、又は発生したおそれがある個人データの項目、本人の数、原因、二次被害又はそのおそれの有無及びその内容、本人への対応の実施状況、公表の実施状況、再発防止のための措置、その他参考となる事項を報告する必要があります。ただし、速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りるとされています。本人へ通知すべき事項は、上記漏えい等報告における報告事項のうち、概要、漏えい等が発生し、又は発生したおそれがある個人データの項目、原因、二次被害又はそのおそれの有無及びその内容、その他参考となる事項に限られます。
４ページを御覧ください。これまで御説明したとおり、個人情報保護法施行規則で定める事態が生じたときは、個人情報保護委員会に対する報告及び本人通知を行う必要があります。他方、現行法上、「個人データ」が違法に第三者に提供された場合、個人情報保護委員会に対する報告及び本人通知を行う義務は存在しません。
５ページを御覧ください。以前の委員会でも御紹介しましたが、令和２年改正法の施行により、令和４年度から漏えい等報告が義務化されたこともあり、漏えい等報告の件数は増加しています。同一事業者において繰り返し漏えい等が発生している事例も存在します。
６ページを御覧ください。報告のあった事案について漏えい等した人数を見ると、多くの事案において1,000人以下であるものの、50,000人超という非常に大規模な個人の権利利益の侵害につながるケースも存在します。また、漏えい等した人数が1,000人以下の事案が全体の93.8％を占めており、中でも漏えい等した人数が１人の事案が全体の80.4％を占めています。また、漏えい等した人数が２～10人、11～100人及び101から1,000人の事案がそれぞれ全体の8.2％、2.9％及び2.3％を占めています。漏えい等した人数が１人の事案としては、病院や薬局における要配慮個人情報を含む書類の誤交付及び紛失やクレジットカ
13

ードの誤送付などが多い状況にあります。
７ページを御覧ください。漏えい等の原因は、誤交付、誤送付等のいわゆるヒューマン
エラーによる事案が多いものの、不正アクセスによるものも一定程度存在します。不正ア
クセスを原因とする事案の中には100万人を超える個人データの漏えいのおそれが生じたものもありました。報告義務該当事例の件数及び割合はページ下半分の表にあるとおりで、直接委員会に報告されたもののうち、要配慮個人情報を含む場合は８割を超えることとなっております。
８ページを御覧ください。GDPRは、個人データ侵害が発生した場合に原則として各加盟国のデータ保護当局に対して通知を行うことを義務付けています。また、GDPRは、個人データ侵害が自然人の権利及び自由に対する高いリスクを発生させる可能性がある場合、そのデータ主体に対し、不当な遅滞なく、通知することを義務付けています。各加盟国及び英国のデータ保護当局が2022年に受領した通知の件数は、表にあるとおりです。また、GDPRの規定やガイドラインの書きぶりは９ページに記載しています。
こうした状況及び４月24日の委員会において、関係団体から漏えい等報告の負担軽減の要望があったことも踏まえ、漏えい等報告及び本人通知の範囲・内容について、制度の趣旨も踏まえつつ、合理化が可能か、どのような形があり得るかが論点になるかと考えられます。
事務局からの説明は以上となります。よろしくお願いいたします。
○藤原委員長ありがとうございました。

ただいまの説明について御質問、御意見をお願いいたします。
清水委員、お願いします。
○清水委員

ありがとうございます。

漏えい等報告の目的なのですけれども、当委員会が案件を迅速に把握して対応策を講ずることとされています。この点、当委員会は問題案件が発生した際に速やかに注意喚起等を発出して被害の拡大や再発防止を図ってきたわけです。したがって、現行制度は有用であると考えています。
しかしながら、事業者からは漏えい等報告等の目的や活用が不明であるという指摘も聞くところであります。したがいまして、まず委員会としては、より積極的にこれまでの漏えい等報告の分析や活用状況についてホームページ等で公表して、事業者等と共有する仕組みを作っていくことが適切ではないかと考えます。これが１点です。
一方、漏えい等報告そのものの緩和なのですけれども、こちらも検討する必要があるとは思います。しかしながら、先ほど述べましたように本制度をこれまで有効に活用してきたことに照らせば、骨抜きになるような報告ないし本人通知義務の免除は不適当だと考えています。例えば本人の数が１人の場合、あるいは認定個人情報保護団体の認定団体である場合は緩和することも考えられるわけですが、その場合であっても、私としましては二つの条件が要るのではないか、つまり、不正使用等の実害がなかったことが確認できてい14

ること、もう一つは本人通知が行われ、本人が通常の報告を行わないことについては異議を唱えないこと、この２条件がクリアされた場合に限って、例えば四半期ないしは半年ごとのまとめての報告でも許容するような方法もあるのではないかと考えています。
一方、事業者側の速報を促すために、速報等の簡素化も一つの検討課題であるかと思い
ます。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
小川委員。
○小川委員

御説明ありがとうございました。

漏えいした個人データのフォローアップについて意見を申し上げます。個人情報の入力を促すフィッシングメールが送られて迷惑している人もたくさんいるのではないかと思います。実際パスワード、あるいはクレジットカードの情報などを入力して犯罪に巻き込まれてしまう人がいるかと想定されます。企業からの個人情報の漏えい等に関するプレスリ
リースでは、現時点では個人情報の不正利用等は確認していないという文言がよく見受けられます。
ただ、公表や本人通知の実施後、ある程度時間が経過してしまうと、それ以降は個人情報が更にほかの第三者に提供されているのかといった二次被害について言及されなくなってしまうようなことになるのではないかと思います。フィッシングメールが送られてきている一般消費者からすると、最初の報告や本人通知も大事なのですが、その後のフォロー
アップがないと不安に感じることもあると思います。これは今、当委員会でもキャンペー
ンをやっております名簿流出の危険性と同じだと思います。自分の個人情報が記載されている名簿が漏えいした際に、どこで使われているのかを不安に思うことと同様だと思います。
そのため、例えば漏えい件数が極めて少ない場合などは漏えい報告の義務を緩和して、その一方で大量流出した個人データのフォローを事業者が行うなどといった検討も重要かと思います。
以上です。
○藤原委員長ありがとうございます。

ほかにはいかがでしょうか。よろしいですか。
それでは、この論点について私からも一言申し上げます。漏えい等報告及び本人通知に関し、事業者における漏えい等報告の件数が令和元年度以降全体として増加傾向にある一方で、関係団体等からは、ヒアリングにおいてもそうでしたけれども、これらの義務が事
業者の過度な負担になっている場面があるとの声も上がっているところです。
そこで、こうした御意見も踏まえつつ、清水委員の御指摘の中にもございましたけれど
も、委員会がこれまでに受けた漏えい等報告の内容を検証した上で、制度の趣旨を損なわ15

ないようにしつつ、漏えい等報告及び本人通知の範囲・内容の合理化も検討すべきではな
いかと思われます。
その際、委員会がこれまでに受けた漏えい等報告では、漏えい等した個人データに係る本人の数が少数であるケースが大半を占めていること等を考慮する、これも一つの考慮要素となるのではないかと考えるところです。
それから、事業者からは、いわゆるおそれ要件の明確化や速報の緩和についても御要望を頂いております。これらについては具体的にどのような場面で事業者に過度な負担が生じているのか、更に実態を明らかにした上で検討すべきではないかと考えるところです。
これらの検討に当たりましては、本日、まず清水委員から漏えい等報告について緩和ということも重要であるけれども、それについては一定の条件を付すべきではないかという御意見があったこと、それから、小川委員から漏えい報告のフォローアップこそ大切な場
合があるのではないかといった御意見があったことを踏まえることも重要ではないかと思います。
さらに、もう一つ私からも申し上げれば、漏えい等報告制度については正直者がばかを見ないという制度を作り、そのように運用する必要もあるものと思います。
それからもう一つですけれども、現行法上、事業者が個人データを違法に第三者に提供した場合における報告及び本人通知義務は存在しないわけです。しかしながら、個人デー
タの漏えい発生時に事業者にこれらの義務が課されていることの均衡からいって、その必要性を検討してみてはどうかと思われます。
ほかに御意見はよろしいでしょうか。
特にこれ以上の御意見はないようでございますので、今、私から申し上げた内容も踏まえて、事務局において御検討いただきたいと思いますけれども、よろしいでしょうか。
ありがとうございました。
それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本
議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上でございます。
それでは、本日の会議はこれにて閉会といたします。

16