日時：令和５年 12 月 15 日（金）14：30～

場

所：個人情報保護委員会

委員会室

出席者：丹野委員長、小川委員、中村委員、大島委員、 浅井委員、藤原委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官○森川総務課長

それでは、定刻になりましたので会議を始めます。

本日は、加藤委員が御欠席です。
以後の委員会会議の進行につきましては、丹野委員長にお願いいたします。
○丹野委員長それでは、ただいまから、第264回個人情報保護委員会を開会いたします。

本日の議題は二つございます。
議題１「いわゆる３年ごと見直し（ヒアリング）」について、前回に引き続き、本日は、
新経済連盟（新経連）及び日本IT団体連盟（IT連盟）へのヒアリングを実施したいと思います。
個人情報保護委員会議事運営規程第９条の規定に基づき、新経連及びIT連盟の２団体から会議に出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）○丹野委員長それでは、出席を認めます。新経連に会議に出席していただきます。
（新経済連盟入室）○丹野委員長

本日は、新経連の関様及び片岡様に御出席いただいております。それでは 、早速ですが、御説明をお願いしたいと思います。よろしくお願いします。
○新経連

本日は御説明の機会をいただきまして、ありがとうございます。資料に従いながら御説明をしたいと思います。
新経連は、日本の経済の活性化をどうやって図っていくかということを日々考えてい る
経済団体でございまして、今年で11年活動を続けてきております。我々の基本的な考え方をこの４スライド目に記載しておりますが、まず、産業競争力強化は非常に重要なファクターだと思っていまして、そのためにデータの利活用というのは非常に重要だとまず考えております。加えて、個人情報の保護と利活用のバランスということも考えなくてはいけないと思っております。したがいまして、制度設計に当たっては、民間事業者の実態の継続的な把握、あるいはそれへの考慮といったものが重要になっていくと思っています。
この基本的な考え方を踏まえまして、６スライド目を御覧ください。現状認識・課題認
識について幾つか御説明したいと思います。
次のスライドも含めて五つ記載しておりまして、まず、個人情報の不適正事案が発生しているかと思います。例えばオプトアウト届出事業者等による不適正利用事案がございま
すが、これにつきましては、オプトアウト規定との関係では適切に対応しているかとは思1

うのですが、不適正利用の防止という意味では対応が難しい面もございます。現状 、個情
委による注意喚起等にとどまっているのではないかという認識を持っております。
それから、次の点ですけれども、漏えい等の報告、あるいは本人通知につきまして、報告等が必要な事案が発生した場合に、事業者側としては報告のために相当のリソースが費やされている実態がございます。特に、「漏えいのおそれ」があるというようなケースの場合、この該当性の判断というのは広く捉えがちでございまして、報告対象が広がって、それに過大な負担がかかっていると考えております。また、報告した内容につきまして、
個情委側でいろいろな指導・助言に生かしていただければと思っている一方で 、具体的にどのようにそれが生かされているのかというのが明確になっていないというのも、事業者から見ると一つ不満の点になっているのかなと思っています。また３ポツ目にも書いてありますけれども、本人の権利利益が侵害される可能性が限りなく低いと認められる場合についても本人通知が求められたりするので、この点でも事業者側の負担感が大きいという状況がございます。
現状・課題認識の三つ目ですけれども、域外適用につきまして、前回の見直しの際に 新経連からも要望させていただきまして、域外適用に関する規定が整備されつつあるのです
けれども、外国事業者に対して、それらが適切に適用、特に執行されているのかという状
況が必ずしも明らかではございませんので、その点の認識がございます。
７スライド目を御覧ください。第三者提供など個人情報の利活用へのハードルが高いという点がございます。個人情報の第三者提供には、原則として本人の同意が必要でございますけれども、必ずしも同意を要しない類型などを考えてもいいのではないかと。もっと柔軟にデータを利活用できる場合があるのではないかという認識を持っており ます。
最後でございますが、複雑化している個人情報の類型とその対応 については、個人情報、
個人データや匿名加工情報など、いろいろなタイプの個人情報に分類されるところでございまして、現状、個々の具体的な情報がどれに該当するのかということや、それに対する規律がどうなっているのか、重なるところもあれば 異なるところもあって、事業者側から見ると、非常に取扱いに当たって現場に混乱が生じているという実態がございます。また 、
改正電気通信事業法におきまして、特定利用者情報に関する規律ができましたが、これも加えて管理が煩雑になって、なかなか理解も容易で はない状態だと考えています。
９スライド目を御覧ください。現状・課題認識を踏まえて、見直し等に関する要望を五
つ書いてございます。
不適正利用の禁止規定の関係につきましては、法第19条に抵触することが明らかな場合はどういうものかということを、例示を今まで以上に積極的に示すようにしてはどうかと思います。また、その例示を踏まえて、注意喚起以上の対策が取れないかといったことも検討していいのではないかと考えております。
それから、漏えい等時の報告、本人通知対象についてですけれども、リスクベースアプ
ローチというものを踏まえて絞り込みをしたらどうかと考えております。 このリスクベー2

スアプローチにより、合理的な範囲に報告対象を絞り込むなど、現在の報告の在り方を見直してはどうかと考えております。
本人通知につきましても、その趣旨や目的に照らして、必要性が高くないと考えられる
場合には本人通知を要しないという整理もあるのではないかと考えています。これは例えば、「漏えいのおそれ」があるという事案の場合において、第三者に閲覧された可能性が限りなく低いというようなことが判断できるような場合 、こういったケースでは報告を要しないとするか、あるいは極めて簡易な報告で良いというようにしたらどうかと考えております。また、今のケースのような場合など、本人が自らの権利利益の保護に必要な措置を講じる必要性が低いというようなことが考えられ るような場合は本人通知を要しないという整理もあり得るのではないかなと思っています。
法の域外適用につきましては、その状況の把握とともに確実に域外適用 、域外執行、これを運用するということが重要だと思います。これを担保する制度整備を引き続きお願い
できればと考えています。
次のスライドが最後のスライドになります。
データの利活用を促進する仕組み等の検討について、個人の権利利益を適切に保護するということが前提になるわけですが、これを保護しつつ、個人情報を含むデータの利活用を促して新たなサービスや産業を生み出して競争力強化を促すという仕組みが必要だと思っております。
それにも関連して、プライバシー強化技術を法令等に明確に位置 付けるということをできればと思っておりまして、これの利活用を促す仕組みを検討してはどうかと思っています。データが秘匿化されて処理される場合など、プライバシー侵害のリスクが低減されていると認められる場合、例えば匿名加工情報に準ずるものとして扱ったらどうかと考えております。
また、GDPRでは、「契約の履行」や「正当な利益」といった状況の場合に、一定の条件の下で個人情報を同意なく処理できるという整理がされております。それについても同様の仕組みが考えられないか、日本でも検討したらどうかと思います。
それから、ベース・レジストリの整備につきましては、デジタル庁が主導で検討が進められておりますが、個人情報の取扱いというものにも当然関係していきますので、その部分については、是非個情委のほうでも積極的に検討に参加いただいて、例えば 「一般化した基準」の作成も含めて検討をお願いできればと思います。
最後になりますが、個人情報保護規律に関する周知徹底でございまして、個人情報の利活用の促進の観点も踏まえまして、例えば仮名加工情報など、様々な類型が整備された趣
旨は理解できるのですけれども、一方で、事業者側から見ると、このルール等が非常に分かりにくいという状態になっており、そういった声が強くなっておりますので、引き続き事業者への分かりやすい周知をお願いできればと思います。
御説明は以上でございます。質問に答える形で補足説明をさせていただければと思いま3

す。よろしくお願いします。
○丹野委員長ありがとうございました。

質問に答える形で補足説明とおっしゃいましたので、こちらの ほうから質問をさせていただきたいと思いますが、ただいまの新経連からの説明について、各委員からの御質問をお願いしたいと思います。
中村委員、お願いします。
○中村委員

御意見、ありがとうございます。

資料の９ページ目における「不適正利用禁止規定の対象の明確化と悪質事案への適切な執行」の部分に関連して、何点か質問させていただきたいと思います。
我が国において、個人情報の不適正利用事案や、個人情報データベース等の不正提供等事案が発生しているところ、諸外国における直近の執行状況も踏まえると、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げや直罰化、課徴金制度の導入を検討すべきと考えます。
この点に関連して、貴団体は不適正利用の規定に抵触する内容を明らかにすべきとして、
オプトアウト事業者の事例を挙げていますが、オプトアウト制度そのものに御意見があればお聞かせください。
加えて、プロファイリングなどの行為が、結果的に不適正利用に当たる場合もあると考えられます。こうした可能性を含めた個人の権利利益の侵害をどのように排除することができると考えるか。また、不適正利用の例として、ほかに想定される事例があれば教えていただけますか。
さらに、「注意喚起にとどまらず、適切な執行が必要」という御説明がありましたが、具体的にはどのようなイメージをお持ちかお聞かせください。
以上です。
○丹野委員長○新経連

それでは、回答をお願いします。

御質問、ありがとうございます。

現行法において、指導及び助言、勧告、あるいは命令がどの程度活用されているかわからない部分はありますが、我々から見ると、それらの結果が十分に活用されていないのではないかという見方もあると思います。オプトアウト制度そのものよりは、そういった現行法における制度上の執行と運用について検討する議論が必要かなと思っています。
プロファイリングについては、結局、不適正利用であると判断すべきケースもあります
し、不適正利用とまではいえないと判断されるケースもあると思います。そのような意味
で、不適正であるかどうかの基準は、非常に曖昧であるため、その線引きについては、ガイドライン等で示していただくのが良いのではないかと思います。
それから、ほかの不適正利用の例につきまして、何かありますか。
○新経連

よろしくお願いいたします。

ほかに想定される不適正利用の例については、今回挙げている課題認識のもとにあるも4

のは、オプトアウト事業者もいろいろあるということで す。想定し得る個人データの使い方をしている事業者もたくさんいるところ、ごく一部ではあ るのですが、個人データを本
来の目的と異なる方法で利用し、公開を前提とされていない個人データをデータベー ス化
した上で一般に公開し、さらに、本人が、目的外利用であることを理由としてその公開された個人データを削除するよう請求した際に金銭を要求するオプトアウト事業者が事例として存在すると聞いています。そのような事案が存在していると、制度が本来想定している、ビジネスの促進の観点からオプトアウト制度を活用している事業者からすると、やりにくいという意見もありますので、線引きをして、少なくとも誰の目から見ても不適正であるとわかるものについては明確化しておき、段階を追って、法執行しては 良いのではないかと思っております。
○新経連

続いて四つめの御質問でございますが、御説明いたしました「注意喚起にとど

まらず、適切な執行が必要」に関しましては、例えば、罰則の強化や課徴金制度の導入もあると思いますが、その前の段階で検討することがあるのではないかと考えておりまして、
罰則の強化や課徴金制度の導入については慎重な考え方をしております。例えば、注意喚
起にとどまらず是正を求めることによって、より効果的に問題を解決する仕組みが考えられないか等、そういったものを検討した方が良いのではないかと考えています。いずれにしても、冒頭申し上げたとおり、指導及び助言等、現行法における 執行と運用の活用状況
や効果を十分に分析した上で、更なる対策を講じることについて考えてはどうかと考えて
おります。
○中村委員
○丹野委員長ありがとうございました。
よろしいですね。それでは、ほかにどなたか。

小川委員、お願いします。
○小川委員

御提案、ありがとうございました。

資料10ページ目の最後に、個人情報規律に関して「事業者への分かりやすい周知を継続していただきたい」という記載がございます。この規律の周知に関してなのですけれども、欧米の保護当局では、指導が中心である日本と異なりまして、制裁金等を含めた処分を行っておりまして、それが規律の理解や遵守のインセンティブになっているとの指摘もあります。このようなこと以外に、事業者の適切な対応を促すインセンティブや周知活動として、どのようなものが有効であると考えていらっしゃいますでしょうか。
また、日本の最近の漏えい等事案の例を踏まえますと、委託先事業者や派遣職員を含めた安全管理体制の整備やシステム設計や運用を含めたヒューマンエラーの防止策、さらに、
不正アクセス対策等の安全管理措置を講じることが重要と考えられますが、規律について
単にわかりやすく説明するだけで十分なのでしょうか。事業者として自主的に取り組んでいる内容について、御存じの範囲で差し支えないので、教えていただければ幸いです。よろしくお願いします。
○丹野委員長それでは、回答をお願いします。
5

○新経連

御質問、ありがとうございます。

まず、個人情報の種類は細かく分類されておりまして、それぞれ適用される規律が異なる部分があります。さらには、電気通信事業法での規律もあるため、事業者側の理解が十分でないという状況にあると思っております。そのため、まずは規律についてわかりやす
い形で啓発をすることが必須であると思っています。そもそも、 現行のルールが十分に理解されていない状況で制裁だけを科し、事業者に守らせるという方法は、やや無理があると思いますので、まずは事業者に規律を理解させるための取組が重要だと考えております。
また、例えば、不正アクセス対策等についても、当然、事業者側において導 入すべきだと思いますが、それについても事業者が十分な知見を有していないというケースもままあ
りますので、事業者側が不正アクセス対策等に関する情報を得る機会をいろいろな形で提供することや、その部分について、補助金の形なのか、税制優遇の形なのかわかりません
が、何らかの形でインセンティブ的なものを考えるという手もあるのではないかと 思います。
○丹野委員長○小川委員

よろしいですか。
事業者として具体的に自主的に取り組んでいる ようなものは何か御存じでし

ょうか。
○新経連

事業者として自主的に取り組んでいることについ ては、特に意識が高い事業者

は、それぞれが技術を駆使して対策を行っているというのが実情です。しかし、事業者の間でも、意識、規模、セキュリティ対策レベルには差がありまして、グラデーションが存在しています。そのため、インセンティブについて考えるに当たりましても、どの層の事
業者にはどのようなインセンティブが効果的なのかといったことを検討すべきなのではないかと思います。
また、恐らくですが、委員会には過去の漏えい等報告の蓄積が多く存在していると思いますが、そこから得られたデータから、事業者がどういったことにつまずい ているのかという分析をした上で、今後の政策やインセンティブの導入に活用することが期待されているのではないかと思います。
○小川委員

どうもありがとうございます。

○丹野委員長ありがとうございます。

ほかにどなたか御質問等はございますでしょうか。
梶田委員、お願いいたします。
○梶田委員

御提案、ありがとうございます。

資料の９ページ目において御説明いただきました、リスクベースアプローチについて、
詳しくお伺いしたいと思います。「第三者に閲覧された可能性が限りなく低い」場合や、「本人が自らの権利利益の保護に必要な措置を感じる必要性が低い 」場合について御提案いただきましたが、具体的にはどのような事例を想定しているのかについて教えていただ
きたいと思います。
6

以上です。
○新経連

御質問、ありがとうございます。

よくある事例としては、システムにバグがあり、そのバグが原因となって一定条件下で個人情報が閲覧可能な状態になっていることを事業者側が認識した場合、現状では、漏えい等のおそれがあるということになり、漏えい等報告の対象になると思うのですけれども、この一定条件というのが、極めて特殊な条件が重ならないと発生しない場合であっても、現状では、漏えい等報告の対象となるものであると認識して おります。ログの調査を行う
ことができれば、個人情報が閲覧されたかどうかを確認でき るわけですけれども、場合によってはログの調査を行うことが難しいケースもあるので、そうなると 100％閲覧されなかったと言い切れません。このような場合にも、実際に漏えいした場合と同様の扱いで報告や公表が必要なのかどうかについては、検討しても良いのではないかという御提案でございます。
○丹野委員長○梶田委員

よろしいですか。
はい。ありがとうございました。

○丹野委員長ほかにどなたか。

浅井委員、お願いいたします。
○浅井委員

浅井です。よろしくお願いいたします。御説明、どうもありがとうございました。
私からプライバシー強化技術の点について質問をさせていただきます。
まず、資料10ページ目に関しまして「プライバシー強化技術の利活用を促す仕組み」という言及がありましたが、現状、具体的にはどのような取組が事業者内で実施されているのか。また、どのような技術を想定しているかについて教えていただきたいと思います。
続いて、プライバシー強化技術の評価について、客観的な基準を定めることが難しいという意見も聞いたことがありますが、例えば、データが秘匿化されて処理される場合に、その際の個人の権利利益の保護の水準について、どういった基準でどのような評価が可能であるか、教えていただきたいと思います。
○新経連

プライバシー強化技術につきましては、世の中の企業が、例えば秘密計算のような技術等、いろいろな技術を提案・提供している状態になっているかと思 います。しかし、個人情報の保護の機能・性能については、もう少し研究を深める必要があると思っています。研究をした上で、機能・性能を踏まえて個人情報を一定程度保護できると判断できた場合には、先ほどのリスクベースの考え方にも関係して くるのですが、若干扱いやす
くする、例えば匿名加工情報と同レベルにしても良いのではないか等の議論もあっていいのではないかという御提案でございます。
○新経連

プライバシー強化技術は、まだ定まった基準がないことを事業者側も認識しているところでありまして、個人情報保護法との関係で、こういったところがクリアされると、こういった扱いができるのではないかといったような議論が深まることで、そこに向7

かって技術が進展していくということが考えられると思います。そのため、関係者を集めて、実態を踏まえて議論をすることが一番重要だと思っています。また、よく聞くニーズ
としては、暗号化された状態の個人データを委託先で分析する際、暗号化された状態で他社の個人データと突合したい場合、結果として出てくるものは完全に匿名加工されるため、戻ってきたデータを活用するわけではなく、分析目的ですけれども、突合の段階で第三者提供に該当するということが厳しいという意見があ ります。プライバシー強化技術にもレベル・種類が様々あると思いますので、何かしら一定の水準を確保した上で利用する必要はあり、事業者としてもむやみに利用することを望んでいるわけではなく、議論を深めて、法律との関係を明らかにしていくのが、重要ではないかと考えて おります。
以上が回答になります。
○浅井委員

ありがとうございました。

○丹野委員長ありがとうございました。

ほかにどなたかございますでしょうか。
藤原委員、お願いいたします。
○藤原委員

御説明、ありがとうございました。

２点ほど教えてください。
まず一つ目、資料の10ページ目に記載されている秘密計算について、私も関心があるのですが、御説明では匿名加工とおっしゃっていましたが、それは秘密計算技術による処理を施された個人情報を匿名加工情報として評価すべきであるという意味なの でしょうか。
また、仮名加工情報は実務において使いにくい面があるの でしょうか。それぞれについて、忌憚のない意見を伺いたいと思います。
○新経連

ありがとうございます。

秘密計算技術によって処理された個人情報は、恐らく、匿名加工情報と仮名加工情報の間に存在するものではないかと私は考えているのですが、その方法や技術によって限りな
く匿名加工情報に近づけることができるものがあるのではないかと思っています。結局、
秘密計算技術によって出力されたデータが統計情報になるようなものである等、不可逆性を有している場合には匿名加工情報に近いと評価でき、暗号化しているが分析の段階で突合するような場合には、仮名加工情報に近いと評価できます。仮名加工情報に類似したものを分析・突合した際に出力されたものが匿名加工情報に近いものであった際、プライバ
シー評価技術を使用した場合、どのような評価ができるのかというところについて、議論していただきたいと思っております。
仮名加工情報については、分析のため突合等をする場合は、第三者提供をすることになってしまい、結局本人同意が必要なため、そのことを理由に使用を躊躇する事業者は多いと認識しております。
○藤原委員

仮名加工情報が使いにくい状況というのは、同一事業者内における利用ではなく、純然たる第三者提供の場合という認識でよろしい でしょうか。
8

○新経連

御認識のとおり、分析に関連してよく聞くのは、異なる事業者間でのやりとりに際して、使いにくい面があるという声があります。
○藤原委員

わかりました。ありがとうございます。

それから、次に二つ目ですけれども、梶田委員からの質問に対する回答との関連で、極めて特殊な条件下においてのみ個人情報等が閲覧可能な状態となった場合に、実際に漏えいした場合と同様の扱いで報告等が必要なのかを検討してはどうかという御提案についてですが、前提として、貴連盟が把握されている限りでは、そのような状態にある事業者は漏えい等報告を行っているという認識でよろしいでしょうか。
○新経連

我々が話を聞く事業者は、個人情報保護法の中身を理解した上で、法に 則り対応をしているため漏えい等報告への負担が大きくなっているという声を聞いております。
その上で、報告件数は多く、また、特殊な条件下においてのみ閲覧等が可能なものではあるが報告をしなくてはならないとなると、アクセスログの解析や、最大で何名分の個人情報が閲覧等された可能性があるのか等、過去の事象の確認にリソースを割くことにな りま
すが、実際は再発防止等のために何ができるか等、未来に向けてリソースを割きたい ということがございますので、事案の内容ごとにレベル分けをすることで、漏えい等報告に係る負担を軽減できないのかという意見があります。漏えい等報告を行っているからこそ、負担が大きいという意見が出てきているとの認識です。
○藤原委員

ありがとうございました。

○丹野委員長

よろしいでしょうか。

○藤原委員

はい、大丈夫です。

○丹野委員長ほかにどなたか。

よろしいでしょうか。
それでは、私からも一つ質問をさせていただきます。
資料の中で、GDPRの「契約の履行」や「正当な利益」について指摘がございますが、GDPR
においてはこれらが単独で存在するのではなく、同意の要否やその例外条件を含めた規律
全体としてバランスが取られているものと認識して おります。この観点から、「正当な利益」があるわけでありますが、本人関与としての同意を取得することが困難な場合とは、
具体的にどのような場合を想定しているのかお教えいただきたい と思います。
○新経連

例としては、不正行為の防止のために事業者間で連携して個人情報を活用したい場合に、日本の現行法と照らした場合に取扱いが難しいことが多いと聞いてい ます。ただ、GDPRで実際どのように「契約の履行」や「正当な利益」が使用されているのか把握しきれていないため、日本の現行法とGDPRを比較の上、使えそうな部分があれば、是非日本でも活用しても良いのではないかと思っています。
○丹野委員長○新経連

具体的にどういう場合というのが出てくるわけではないのでしょうか。

今、これ以上の具体例の詳細は持ち合わせていないのですが、よく聞く話としては、不正行為防止のための事業者間のデータ連携でございます。
9

○丹野委員長

分かりました。ありがとうございます。

ほかに質問はございませんか。
それでは、お二方、御説明ありがとうございました。
当委員会としては、頂いた御意見も含め、個人情報保護をめぐる様々な状況について、
各方面の意見を聞きながら課題を整理し、審議してまいりたいと思っております。
新経連の関様及び片岡様、本日はありがとうございました。御退 室いただけますでしょうか。
（新経済連盟退室）○丹野委員長それでは、続いて、IT連盟に御出席いただきます。
（日本IT団体連盟入室）○丹野委員長それでは、続いてIT連盟のヒアリングを始めます。

本日は、IT連盟の別所様及び須田様に御出席いただいております。それでは、早速です
が御説明をお願いいたします。
○IT連盟

今日は貴重なお時間を頂きまして、ありがとうございます。

最初に、IT連盟の簡単な御紹介をさせていただきますと、日本の国内にある IT関連の業
界団体の更に団体という形になっております。全部で、会社数で言うと加盟社数が 5,000社を超えて従業員数約400万人というような規模になっていますので、いわゆる IT系の団体としては最大規模と御理解いただければと思います。
早速ですけれども、弊団体の方の意見を申し上げさせていただきます。
まず、資料の３ページ目になりますけれども、基本的に弊団体が考えていることは、日本の個人情報保護法とGDPRとの調整はどのように詰めていただけるのかということでございます。御存じのように、GDPRというものの存在感はグローバルにはかなり増してきております。グローバルで仕事をせざるを得ないというような状況で見ていくと、日本だけ特殊な環境があっていいのだろうかというようなことが大きな疑問になっているというところです。
個人情報保護法が制定された当時にどんな議論があったかというと、私も多少関与していましたので、当時は欧州のやり方、アメリカのやり方、それとは別に日本のやり方があるというようなことで、日本の個人情報保護法というの は作られました。当時はまだGDPRというものは存在しておらず、directiveというような形でしたけれども、GDPRというもの
が2018年に施行されて、存在感が大分増してきていると考えております。個人情報保護委
員会の取組によって十分性認定というのは出ていますけれども、御存じのようにガイドラ
インというようなもので差分を埋めなければならないというような状況になっているというところです。
今、日本の市場が、御存じのように少子化、高齢化によって縮小してきているというよ
うなところで、マーケットをグローバルに見ていかざるを得ないというのはもう避けられないというところで、グローバルでビジネスをする前提でいろいろなことを考えなくては10

いけないときに、個人情報、プライバシーデータの保護に関して特殊な状態であるというようなことに合わせてしまうと、そのまま外国に持っていけないというような課題が起きてくると思っております。
マーケットは外国なので、海外でビジネスをしなければ問題はないのではないかというような御意見もあるかと思いますけれども、今、実は インバウンドというのが増えていて、
そのインバウンドでビジネスをしている人たちは、どこで顧客を獲得しているのかというと日本国外から獲得しているわけです。何年か前までであれば、海外のお客様を受け入れるというような、例えばホテルというようなものが、大規模なホテルだけですけれども、今は実は民泊のような非常に小さい事業者がそういうものを受け入れていると。彼らは 民間の事業者が運営している宿泊予約サイトを使って海外でお客様が入力したデータを使っているというようなことが起きているわけです。そういう彼らが GDPRというようなものについて詳しく知っているかというと、多分そうではない。その差分がある状態で日本の中でビジネスをしていくというようなことが果たして妥当なのだろうかというようなことを、
やはりそろそろ考えざるを得ないという問題意識を持っております。
よって、資料にも少し書かせていただいておりますけれども、一気に持っていくことは難しいとしても、少なくとも個人情報の定義のようなものは欧米と考え方を合わせていただく。日本の場合には個人情報の定義の中で、個人識別符号も含めてですけれども、かな
り差分があって、CookieとかIPアドレスとか、そういったものが個人情報ではないというような取扱いになっております。電話番号もそうですしクレジットカード番号もそうなのですけれども、そういうような差分を持ったまま国内のシステムができてしまっているというようなことがあるので、作っている側からすると、そういうものをちゃんとほかの海外で行われているような形に合わせていくというようなことが重要ではないかなと考えているというところです。
同時に、日本の個人情報保護法は、こちらの団体の見解ではありますけれども、やはり利用のところが、同意にかなり重くウェイトが置かれ過ぎているのではないかというようなことも考えておりまして、GDPRの中に含まれているような契約締結・履行のために必要な場合とか、あるいはlegitimate purposeというようなものも考え方として含んでいただ
くことができないかなというようなことを考えているというところです。
もう１点は、こどもの情報というのも、16歳未満のこどものデータの取得には親とか後見人からの同意が必要だというようなことがGDPRの方ではなっていますけれども、国内ではその部分の差分というのがまだ残っているというようなところになっています。なかなかオンラインで年齢確認をしていくということの難易度は当然あるわけですけれども、多くのサービスが、やはり未成年の方々に使われているというような状況ですし、データの収集というのはその中で行われているということを考えると、やはりそこの平仄を合わせていただくというようなことが必要ではないかなと考えております。
もう１点、日本の個人情報保護法は、個人情報保護法の対象外に報道機関というのが置11

かれていて、除外はされているのですけれども、これは個人情報保護法の範疇に入るかど
うかはちょっと微妙ですけれども、除外がされていたまま、そのままその後の手当が何もなく、実際にはプライバシーの保護との関係で報道機関のあるべき形というのはどこかで規範が必要だと思っています。GDPRでも各国法制には委ねていますけれども、各国法制を作るようには要請しているわけですので、日本の個人情報保護法の中でも同様に規範というようなものを求めて、プライバシーと報道とのバランスを何らかの規律を もって見ていただくようにしていただけないかというようなことを考えているところです。
一方で、GDPRに近づいていくときの産業界側からの懸念は、執行体制が十分できるのかというところであります。やはりそこは個人情報保護委員会自体の機能の拡充というのは不可避だと思っておりますので、きちんと拡充していただいた上で、中小の事業者に対する指導も含めてきっちりしていただくというような形を 是非取っていただきたいと思っています。
一方で、一足飛びにここまで行くのは難しいというのを考えておりますので、次回の改正でできるのがどこまでで、その次はどこまでというようなプロセスも含めて御考慮いた
だくことができないかというようなことを考えているところでございます。
今回の施行で、ようやくバラバラだった個人情報に関する法律が一本化されましたし、「2000個問題」と言われたものも何とか片が付きましたので、是非次のステップは、そのどこの部分がということを示していただいて、GDPRというようなグローバルな規範にできるだけ近づいていっていただけないかと考えているところでございます。
総論の後ろに各論というのを付けさせていただいています。各論のところは、各団体から上がってきたものを実はそのまま付けさせていただいておりますけれども、多分見てい
ただいて、一番最後の各論の「意見各論５／５」というのがちょっと特殊な書きぶりになっています。ここでは容易照合性の基準の緩和というものを求めている書きぶりになっています。
これは正直申し上げまして、各団体からの意見の中にはこういうものもあります というもので、容易照合性の基準の緩和を求めていくというのが本当に正しいのかというようなところをまさに考えなければならないと思っておりまして、団体としては、先ほど言いましたように、国際的な枠組みの中で、外れてしまっているがゆえにこういう議論が起きてくる。いろいろな方々がデータを利用しやすくしたいので容易照合性に何とかならないか、
あるいは、個人情報の定義から外れるような方法はないかというようなことを考え出してしまうということ自体が、実は最も大きな問題だと思っておりますので、きちんと個人データ、個人情報というものを定義していただいて、その中で適切に使えるようなフレームワークを個人情報保護法の中で作り上げていっていただきたいと考えております。
簡単ですけれども、弊団体からの意見を申し述べさせていただきました。
○丹野委員長御説明、ありがとうございました。

それでは、ただいまの御説明について、各委員から御質問をお願いいたします。
12大島委員、お願いします。
○大島委員

御説明、どうもありがとうございました。

先ほどおっしゃっていただきましたお話の中で、国際的ルールとのハーモナイゼーショ
ンという言葉が印象的であったわけですけれども、我々個人情報保護委員会としても、DFFTの実現に向けて相互運用性を促進するための作業を継続していることは分かっていただきたいと思っております。また、GDPRのグローバルルールに占める存在感という言葉も非 常に印象的であったと思っております。
米国・欧州等の様々な国や地域の間で個人情報等の概念の定義等が異なる中で、 GDPRに合わせていくべきであると考えられる理由について教えていただければと思います。また、個人情報の定義については、具体的に、GDPRと個人情報保護法のどういった差分が、どのような問題を生んでいるのか、教えていただければと思います。 お願いいたします。
○IT連盟

御質問、ありがとうございます。

GDPRと申し上げましたのは、グローバルルールの中でもGDPRの存在感が高くなっている認識があるためでございます。米国ではcomprehensiveなfederal lawが存在していないが、州法レベルでは、カルフォルニアを代表して、いろいろな形で規律がGDPRのようになってきていると認識しております。それは、欧州のような影響力がある地域でのビジネスを考えた場合、それぞれの地域のルールに目を向けざるを得ない。そのことを考えた場合、やはり、影響力が大きいところにハーモナイズしていくのは、一つの選択肢であると思っている。米国は特にfederal lawについてはGDPRとは異なるスタンスであると理解していますが、そのようなスタンスを取ることができる理由は米国のマーケットが大きいからであると認識しております。GDPが世界一の大きいマーケットを有しているため、自分達のルールを譲らずに頑張っている部分があると思っております。その点、日本はなかなか難しい
ポジションにあり、GDPの水準も世界４位に落ちており、国際的なマーケットの強さの観点からルールメイキングの争いで勝てるかどうかを考えたときに、難しい立ち位置にいると考えています。それを踏まえ、一番伸びる可能性がある地域に合わせるのが一番よいと思っています。
個人情報の定義の違いの部分につきましては、日本は、例えば CookieやIPアドレス等が個人情報として取り扱われていない国になります。インターネットを通じて様々なビジネスが行われていく中で、自分達が作るシステムの中で個人情報は特殊に取り扱われるようにする必要がありまして、同意を得るための画面の設計等いろいろな部分に関係してきま
すし、そういったものでズレが生じてしまう。そのズレが生じないシステム開発をするた
めに、少なくとも、個人情報の定義については合わせていく必要があると考えているとこ
ろでございます。
○大島委員○丹野委員長ありがとうございました。
ありがとうございました。

ほかにどなたか質問等はございますか。
13

小川委員、お願いします。
○小川委員

御意見、ありがとうございます。

意見の中にありましたけれども、こどもがインターネットを活用する時代ですので、こどものデータの取り扱いがグローバルに広がるということだけではなく、日本国内でも大事なことだと考えています。このことに関して、３点ほど質問させていただきたいと思います。
１点目は、こどものデータに対する保護の規定を設けるべきとのことであるが、 GDPRとの差分、特に同意の在り方やこどものデータ利用に関して、 IT連盟としてはどのような取組を行っているのか、教えていただきたいと思います。
２点目は、どういった規定が存在することが望ましいと考えているか、その詳細を教えていただきたいと思います。
３点目は、現状そのような規定が無いことで、どういった問題が生じているか、具体的な事例を教えていただきたいと思います。
○丹野委員長○IT連盟

お願いいたします。

御質問、ありがとうございます。

１点目の、IT連盟の取組というところでございますけれども、団体としてこの点について取り立ててガイドラインを作成する等のことは、今のところ行っていません。加盟各社の対応に委ねているのが実態でございます。逆に言うと、加盟各社の取扱方法についての一律の規律が存在していないため、本当にバラバラというところであります。保護者の同意を確認するために何歳で区切るのがよいのか等についてもバラつきがあると認識しておりますし、場合によっては加盟各社の中には全くそこを理解していない事業者も残念ながら幾つか存在していると理解しているところです。
２点目の、規律については、一つは年齢を何歳にするかということはある のですけれども、一定年齢未満のこどものデータを取得する際には保護者の同意あるいは許可を得なくてはならないとする規定を設けることや、オンラインサービスの利用に年齢制限をかける
場合には、年齢確認をするというようなこともあると思っております。年齢確認の方法は、オンラインで行うことは非常に難易度が高いところ ですけれども、幸い、マイナンバーカードによる認証について、デジタル庁が来年春頃に APIの方法を公開するという話が出てきておりますので、そういったものを使用すると、以前に増して、より正確に年齢確認ができると認識しておりますので、そういったものを使って年齢確認することが可能になってくると考えています。もう一つ、こどものデータを取り扱う場合についてですが、これはこどものデータの取扱いに限らないが、PIAの実施を義務付けることを考えていただいてよいのではないかと思っています。
３点目の、現状そのような規定が無いことでどういった問題が生じているかについて は、
少し抽象的になりますが、一つはこども本人が知らないまま、データ収集・分 析が行われておりますので、様々な広告の客体にはなっていると思います。その広告がこどもにとっ14

て適切かどうかの判断がなされているか、今のところは分からないという状況であ ります。
個別のサービスでは、こどもが利用者であることが判別しにくかったことで、こどもが過剰にサービスを利用し、登録されていた保護者のクレジットカード宛てに多額の請求がなされ、取消権の行使もできないということも発生している問題があ ります。これは、個々の問題ではありますが、様々な情報が行き交っておりまして、AIの時代に正しくない情報がまん延してしまうときに、そういった情報からこどもを守っていく手段を沢山用意する必要があると思っておりますため、SNSのように、非常に雑多な情報がある空間にどのようにアクセスさせるべきかについては、まさにこれから考えていかなくてはならない課題であると認識しております。
○小川委員

どうもありがとうございました。

○丹野委員長ありがとうございました。

ほかにどなたか。
中村委員、お願いします。
○中村委員

大変貴重な御意見、ありがとうございました。

私からは事業者側のインセンティブに関連して、 IT連盟のお考えや取組について質問させていただきます。
資料の９ページ目に、課徴金等も含めた厳罰化だけでなく、事業者の適切な対応を促すための事業者側のインセンティブを検討すべきとの記載がありますが、個人データを取り扱う事業者にとって、具体的にどういった枠組みがあればインセンティブとして働くのか、考えをお聞かせください。
また、最近の漏えい等事案の例に鑑みますと、委託先事業者や派遣社員を含めた安全管
理体制の整備や、システム設計や運用を含めたヒューマンエラーの防止策、不正アクセス対策等の安全管理措置を講じることが重要と考えています。対象事業者における漏えい等を防止するために、IT連盟あるいは加盟団体において、自主的に行っている取組などがあれば教えていただけますでしょうか。また、そのような「取組を行うインセンティブ」、
または、「行わないことに伴うディスインセンティブ」となるものがあれば併せて教えていただきたいと思います。よろしくお願いします。
○丹野委員長
○IT連盟

それでは、回答をお願いします。

１点目の、インセンティブに関する御質問についてなのですけれども、具 体的な案を持ち合わせていないというのが、正直なところでございます。一つの例として、 IT
連盟では情報銀行というフレームを作り、また、情報銀行認定という制度を作りデータの利活用を進めようとしているのですけれども、安全な仕組みであることを説明しても、そういった制度をなかなか使っていただけません。制度を作っても使用するインセンティブが働かないことに対する対策については、IT連盟としても取り組んでいるところですが、大きな課題の一つだと思っております。具体例としては、何か申し上げる案は今の時点では持ち合わせていないところです。
15

２点目の、安全管理措置に関する質問についてですが、ここでは各社が適切に取り組んでいるということしか申し上げられないのですけれども、インセンティブという点に関しては、事業者は個人情報の漏えい等事案が発生した際における社会的なレピュテーションの低下をとても気にされます。その社会的なレピュテーションの低下が生じないようにするということは、かなり大きなインセンティブになっていると思います。実際、漏えい等を発生させて個人情報保護委員会に報告等をする必要が生じた事業者の話を聞くと、彼らが気にしている点はレピュテーションリスク、顕在化させてしまったことに対する反省でもあり、逆に言うと、実態としては報告の仕組みがあるということが歯止めになっていると理解しています。
○中村委員

ありがとうございました。

○丹野委員長ほかに御質問等はございますでしょうか。

髙村委員、お願いします。
○髙村委員

貴重な御意見、ありがとうございました。

資料の10ページ目の２段目、３段目について、一つずつ質問させていただきます。
１点目ですが、10ページ目の２段目に「システムが明確に分離・管理されている場合など、一定水準で個人のプライバシー侵害のおそれがないものについては、対象外とする こと」との意見があったと記載されていますが、具体的には、どのような場合を想定されている要望なのか、教えていただきたいです。
２点目ですが、同じく資料10ページ目の３段目に、第三者提供の場合に、いわゆる提供
先基準を採るべきではないか、という意見があったと記載されていますが、そうすると、提供元において提供先に個人識別性があるかどうかを判断することになり、これはかなり難しいのではないかと感じるのですが、どのように考えられているか、その辺りについて意見を出した会員の方の御意見を把握されていれば、教えていただきたい と思います。
○IT連盟

まず１点目についてですが、意見を提出した事業者の全体を把握しているわけではないのですけれども、システムの分離とは、恐らく、基本的にデータベースが完全に分離されており、かつアクセス制限が相互に課されており、両方にアクセスするようなことができないようになっているケースを想定しているものであると思って おります。
次に２点目ですが、第三者提供の基準については、これは相当悩みが深いと思っておりまして、なぜ、このような意見が出てきてしまうのか、個人情報保護法自体の在り方について、容易照合性の考え方を用いて、個人情報には該当しない、個人情報保護法の規律から逃れられると思ってしまう人達が存在すること自体が課題だと認識しており、その例として挙げさせていただきました。
○髙村委員

ありがとうございました。

○丹野委員長ほかにございますか。

藤原委員、お願いします。
○藤原委員

包括的にいろいろ御指摘いただいてありがとうございました。
16１点目ですが、プレゼンの中で、個人情報の定義をはじめ GDPRに寄せるべきであるとの意見がございましたが、個人的な御見解で差支えないのですが、個人情報の定義を変更する場合、個人情報保護法全体にも影響が生じます。執行力や課徴金に関する部分も GDPRに寄せるべきだと思っているかどうかについて、考えを聞かせていただきたいと思います。
２点目ですが、プレゼンの内容はいずれも個人情報保護法に関係していますが、例えば、こどもの問題の例における具体的な被害の話になると、青少年インターネット利用整備法の領分にもかなり入ってくると思います。そういった部分に個人情報保護法で一定程度、重なって引き受けるべきか、個人的な御見解で差支えないので、考えを聞かせていただきたいと思います。よろしくお願いします。
○IT連盟

御質問、ありがとうございます。

１点目の質問についてですけれども、執行力や課徴金に関する部分についても、基本的にはGDPRに寄せていくべきだと考えています。その寄せ方やスピード感については、いろ
いろと検討いただければなと思っているところです。
２点目の質問についてですけれども、いろいろ法律が存在しており、必ずしも個人情報保護法だけで全ての範囲をカバーできていないことは理解しております。こ どもの話に触れましたので青少年インターネット利用整備法を例に挙げられたものと思われますが、先日改正された電気通信事業法は、逆に言うとあの内容を電気通信事業法において改正すべ
きなのかどうか、個人的には疑問に思っており、むしろ、個人情報保護法がカバーすべき範囲だったのではないかと思っています。逆に、そこが欠落していることにより他の法律が出てきてしまうことが起きており、個人情報保護法を核として全体の個人情報に関する法体系となるのが望ましいと思っています。
○藤原委員

ありがとうございました。

○丹野委員長ほかに御意見、御質問等はございますでしょうか。

それでは、私から追加で２点ばかり質問をさせていただきます。
今の興味深いお話における、ハーモナイゼーションという主張の中でも、「 GDPRとの差分」を埋めるために、GDPRのLegitimate Interestsを特に強く要望しておられるように感じました。ただし、GDPRにおいてはこれらが単独で存在するのではなく、規律全体としてバランスが取られているものであり、Legitimate Interestsだけを単独で主張するのは適切ではないものと考えております。
その観点で、正当な理由があるにもかかわらず「同意」の取得が困難である場合として、具体的に想定しておられる事例があれば教えていただきたい と思います。加えて、公衆衛生例外等の個人情報保護法の現行の例外規定では、事業を行う上で、どういった状況に対応できないと考えているのかについても教えていただきたいです。
もう１点、プロファイリングなどの行為が、結果的に不適正利用に当たる場合もあると考えますが、具体的に想定されるケースはあるかについて教えていただきたいと思います。
○IT連盟

御質問、ありがとうございます。
17１点目ですが、legitimate purposeについては、代表例として話させていただいたつもりでありまして、全体的に整合を取るべきだと思いますので、ここだけ突出してということはあり得ないと思っています。ほかの要素を含めてバランスを取っていく必要があると思っています。いずれにしても、どのような基準でどの部分を加えていくのか、部分的に加えると全体的な整合が取れなくなるため、そこのところをどういった手順で進めていただくのかを考えていただければと思い、申し上げた次第であります。
２点目の公衆衛生例外についてですが、確かに公衆衛生例外は存在している のですが、実際使いづらいということもあり、今年の５月に、医療分野の研究開発に資するための匿
名加工医療情報に関する法律の一部を改正する法律が成立し、仮名加工情報でも使えることになりました。これは、公衆衛生例外のところが十分に機能していなかったのではない
かと、個人的には思っています。この改正法が必要だったのかを考えると、本当はそうではなかったのではないかと思っています。個人情報保護法本体では、公衆衛生例外と学術研究の例外があり、医療機関に関するところについては、人を対象とする生命科学・医学系研究に関する倫理指針というものがあり、その見直しの中で個人情報保護法との整合性を取るために、例外処理のところで整合性が取れたガイドラインが完成し ましたが、産業界側から学術研究以外の部分の取扱いをどのようにするのかという声があり、個人情報保護委員会でも、公衆衛生例外について、いろいろ解説等を出してい ましたが、なかなか、実態として、製薬会社や医療機器メーカー等の事業者側から見ると難しいところもあり、意見が多かったため、仮名加工情報の利用を認めるような法律ができたと理解してい ます。
そのため、公衆衛生例外のところの使い勝手がもう少し適切であれば、必要ない法律ではないかと、産業界側の方では感じていたと思っております。
３点目のプロファイリングによる不適正利用については、当然、発生し得ると思っています。何をもって不適正とするかの判断もあるので、私が把握している事例のうち、このケースが不適正であるとはっきりとは申し上げられないのですが、これがプロファイリン
グに該当するとすれば、数年前に発生した内定辞退者の情報を基に作成した辞退率予測のようなものは、該当し得ると考えております。
○丹野委員長御回答、ありがとうございました。

ほかに御質問等はございますでしょうか。
よろしいでしょうか。
それでは、IT連盟の別所様及び須田様、今日は御説明をありがとうございました。本日頂いた御意見を含めて個人情報保護をめぐる様々な状況について、各方面の意見を聞きながら課題を整理して審議してまいりたいと思います。別所様、須田様、本日はありがとうございました。
○IT連盟

ありがとうございました。

今日申し上げた意見は、産業界側の意見としてはかなり特異なものである と認識しておりますけれども、このような意見が産業界側にちゃんとあるということを、是非御理解い18

ただければと思います。よろしくお願いします。
○丹野委員長ありがとうございました。それでは、御退室をお願いします。
（日本IT団体連盟退室）○丹野委員長それでは、ヒアリングもこれで終わりましたので、議題１、二つの団体のヒアリングですが、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。
本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
○丹野委員長準備はよろしいですか。

議題２「『個人情報の保護に関する法律施行規則の一部を改正する規則案』等に関する意見募集の結果について」、事務局から説明をお願いいたします。
○事務局

本年９月13日の第253回個人情報保護委員会でお諮りいたしました 、個人情報の保護に関する法律施行規則の一部を改正する規則案等の意見募集結果について、御報告申し上げます。
今回の改正案においては、Webスキミング等によって引き起こされる情報流出をはじめとする、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの、不正の目的をもって行われたおそれがある個人情報取扱事業者に対する行為による流出を 、報告対
象事態に追加したところです。
また、昨年12月に開催されたOECDのデジタル政策委員会閣僚会合において採択された「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」を踏まえ、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」において、外国にある第三者への個人データの提供を認める旨の本人同意を得ようとする場
合の、当該外国における個人情報の保護に関する制度に関する情報の提供義務に関し、同宣言を参照することが考えられる旨の記載を追加したところです。
これらの改正案について、資料２－１に記載のとおり、本年９月14日から同年10月13日まで意見募集を行い、延べ85件の御意見が寄せられました。資料２－１別紙は、意見募集において提出された御意見及びそれらに対する考え方です。
一部御意見を踏まえ、改正案の内容を修正しましたので、その点について御説明させていただきます。
具体的には、資料２－１別紙の１ページの１番の「『個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの』についても安全管理措置を講じるとされている。この場合、法32条の保有個人データの公表をする必要はないとの理解で良いのか。」というものです。22ページの18番でも同様の意見が提出されています。これらの御意見を踏まえ「個人情報の保護に関する法律についてのガイドライン（通則編）案３－８－１④」において、
19

「なお、当該安全管理のために講じた措置には、個人情報取扱事業者が取得し、又は取得
しようとしている個人情報であって、当該個人情報取扱事業者が保有個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる 。」と追記しております。
また、22ページの30番の「取得しようとしている個人情報について、『当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの』について漏えい等を防止するための安全管理措置が求められるという点につき、委託先となるアンケート用紙の回収業者やオンラインフォームの提供事業者等、自ら個人データとして取り扱うことは予定していないものの、委託元において個人データとして取り扱うことを予定している場合であれば、当該委託先においても安全管理措置を実施する義務があるという理解で良いか 。」というものです。こちらの御意見を踏まえ、「個人情報の保護に関する法律についてのガイドライン（通則編）案３－５－３－１（３）」において「 個人情報取扱事業者が、個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう『個人情報取扱事業者が第三者に個人データの取扱いを委託している場合 』に該当する。」などと修正しております。
なお、「個人情報の保護に関する法律についてのガイドライン（通則編）案」の反映箇所としては、資料２－３を御参照願います。11ページの上から１段落目及び13ページの※３並びに21ページの④の４段落目に先ほどの修正内容を反映しております。
また、改正案のうち「個人情報の保護に関する法律施行規則の一部を改正する規則」第１条、「個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示」第１条及び「個人情報の保護に関する法律についてのガイドライン（行政機関等編）の一部を改正する告示」第１条は、「こども家庭庁設置法の施行に伴う関係法律の整備に関する法律」の施行等に伴い、当然必要とされる規定の整理を行うものですので、事前に案を公示して意見の募集を行いませんでした。
改正案について、本日御了解いただけましたら、準備が整い次第、公布させていただきたいと存じます。改正案のうち「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」の改正案、並びに「こども家庭庁設置法の施行に伴う関係法律の整備に関する法律」の施行等に伴う施行規則の改正案及び各ガイドラインの改正案については、公布日と同日に施行することとしております。この 余の施行規則の改正案及び各ガイドラインの改正案につきましては、令和６年４月１日に施行することとしております。
説明は以上となります。何とぞよろしくお願いいたします。
○丹野委員長ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
藤原委員、お願いします。
20

○藤原委員

施行準備について要望があります。

意見募集開始時にも申し上げたことなのですけれども、不正の目的をもって行われたおそれがある行為により個人情報が流出するような事態は、二次被害が発生するおそれが大きいわけですから、委員会として事態を捕捉し、事業者等に適切な対応を促していくことが重要であると考えております。
改正後の規則等に基づき、事業者等において漏えい等報告及び本人通知義務が果たされるよう、令和６年４月１日の施行に向けて、事務局では周知・広報等を徹底して行っていただきたいと思います。よろしくお願いします。
○丹野委員長ありがとうございます。

ほかにどなたか御質問、御意見等はございますでしょうか。
よろしいでしょうか。
それでは、特に修正の御意見がないようですので 、原案のとおり決定したいと思いますがよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上になります。
それでは、本日の会議はこれで閉会といたします。

21