資料４

個人情報保護法 いわゆる３年ごと見直し規定に基づく検討項目

令和６年２月21日
個人情報保護委員会事務局

今後のスケジュール
2023年
９月27日

「改正個人情報保護法の施行状況について①」公表

10月18日「改正個人情報保護法の施行状況について②」公表

11月15日「個人情報保護法 いわゆる３年ごと見直し規定に基づく検討」公表

11月下旬～

関係団体等ヒアリングを順次実施

2024年
２月21日

「個人情報保護法 いわゆる３年ごと見直し規定に基づく検討項目」公表

２月下旬～

有識者ヒアリングを順次実施

春頃「中間整理」公表

1

検討の方向性（第261回委員会資料より抜粋）
１．個人の権利利益のより実質的な保護の在り方 情報通信技術等の高度化に伴い、大量の個人情報を取り扱うビジネス・サービス等が生まれる一方で、プライバシーを含む個人の権利利益が侵害されるリスクが広がっている。
 破産者等情報のインターネット掲載事案や、犯罪者グループ等に名簿を提供する悪質な「名簿屋」事案等、個人情報が不適正に利用される事案も発生している。こうした状況に鑑み、技術的な動向等を十分に踏まえた、実質的な個人の権利利益の保護の在り方を検討する。
２．実効性のある監視・監督の在り方
 破産者等情報のインターネット掲載事案、犯罪者グループ等に名簿を提供する悪質な「名簿屋」事案、転職先へのデータベースのID・パスワードの不正提供事案等、個人情報が不適正に利用される事案や、同一事業者が繰り返し漏えい等を起こしている事案が発生している。こうした悪質・重大な事案に対する厳罰化、迅速な執行等、実効性のある監視・監督の在り方を検討する。
３．データ利活用に向けた取組に対する支援等の在り方
 個々の事情や特性等に配慮した政策検討が進む等、健康・医療、教育、防災、こども等の準公共分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが強い。こうした中、政策の企画・立案段階から関係府省庁等とも連携した取組を進める等、個人の権利利益の保護を担保した上で、適正な個人情報等の利活用を促す方策を検討する。
2

これまでの委員会における主な意見
１．個人の権利利益のより実質的な保護の在り方＜関係団体からの意見＞
 AI時代にプロファイリングの利用拡大が予想されるため、事業者における利用環境を整備するためにも、個人情報保護法又はガイドライン等において明確化して欲しい。
 「不適正利用の禁止」の規定に関しては、通常考えられるビジネス上での適正な利用とは明らかに異なる不適正な利用など、当該規定に抵触することが明らかな場合の明確化・例示を示すべき。例えば、オプトアウト届出事業者が取得した個人情報をデータベース化して公開し、削除の求めに対しては対価を要求している場合などが挙げられる。また、こうした不適正利用事案については、注意喚起にとどまらず、適切な執行が必要ではないか。
 こどもに関する規律は多くの国が設定しており、何らかの規律を設定することが望ましい。
 個人情報保護法違反を根拠に差止請求を可能とすべき。また、消費者裁判手続特例法における請求権の対象制限を撤廃し、個人情報漏えい事案も制度の対象とすべき。
 個人の権利利益の行使ができる環境を、事業者が整備していない場合の対応も明確化すべきではないか。
＜委員からの意見＞
 顔識別機能付きカメラやAIの普及に伴い、個人を追跡することによる権利侵害のおそれや、プロファイリングに伴うリスクも高まっている。また、個人関連情報のようにそれ単体では特定の個人を識別することのできない情報であっても、その使い方によっては個人の権利利益が侵害される可能性もあると考える。こうしたリスクに対し、より実効性のある対応を検討すべきではないか。
 個人情報を提供することがサービスを受けるための条件となっているケースが存在するが、個人情報の取得は、あくまでその目的との関係で必要最小限にとどめるべきではないか。
 「不適正利用の禁止」に関する規律がより実効性のある形になるよう、生成AIや認証技術の普及等、技術発展に伴う社会の変化を踏まえて、その考え方を検討すべき。
 本人同意があれば何でもよいということではなく、当事者の従属関係等も考慮して、実体的な権利利益保護の在り方を検討すべき。
 こどもの権利利益の保護について、諸外国の議論の動向も考慮しつつ在り方を検討すべき。
 団体訴訟制度について、実務的な問題は存在するものの、個人の権利利益保護のための手段を増やすという観点から検討すべ
3き。

これまでの委員会における主な意見
２．実効性のある監視・監督の在り方＜関係団体からの意見＞
 個人情報を違法に利用等することで巨額の利益を上げる悪質な事案を抑止し、また、不当な利益を回収し得る、課徴金制度の導入等を検討することが望ましい。
 現行法における執行と運用の活用状況や効果を十分に分析した上で、更なる対策を講じるなど、罰則の強化や課徴金制度の導入の前の段階で検討することがあるのではないか。
 他国の執行状況も参考に、指導を中心とした対応に限らない実効性のある監視・監督を行ってはどうか。
 現在の漏えい等報告の実態や事業者の業務負担の実態等を踏まえ、制度の趣旨・目的に照らしつつ、リスクベースアプローチを取って合理的な範囲に報告対象を絞り込むなど、現在の報告の在り方を見直してはどうか。また、本人通知についても、上記の実態等を踏まえ、その趣旨・目的に照らして必要性が高くないと考えられる場合には、不要としてはどうか。
 重大な漏えい等事案は企業以外から発覚する事例が多いと考えられるため、虚偽報告だけでなく未報告を厳罰化してはどうか。
＜委員からの意見＞
 海外の事例なども参考に、罰則の水準の引上げや課徴金の導入等を検討すべき。また、日本では「指導」が法執行の中心となっている一方で、主要国では「処分」の数が多くなっており、その背景等を含めて、十分に実効性のある監視・監督の在り方を検討する必要があると考える。
 ペナルティの強化については、企業の個人データ利活用を阻害しないよう配慮しつつも、罰則などを引き上げる場合でもその引き上げ幅等については慎重にすべき。
 いわゆる破産者マップのような特異な事例においては、緊急命令の活用も考えられる。
 明らかに悪意のあるデータの不正な取得や提供については、迅速な執行を確保するため、罰則の直罰化を検討してはどうか。また、漏えい等報告が義務であることをより実効的に浸透させるため、報告を怠った場合に罰則の対象とすることも検討する必要があるのではないか。
 犯罪のための個人情報の悪用事案など、個人情報保護法単独での対応に限界がある事象についても、悪用の抑止や権益の保護の可能性を検討すべき。
4

これまでの委員会における主な意見
３．データ利活用に向けた取組に対する支援等の在り方＜関係団体からの意見＞
 個人の権利利益の保護とデータ利活用を実質的に両立する観点からは、個人データの第三者提供について、同意以外の方法についても検討することが適当。例えば、GDPRにおける「契約の履行」や「正当な利益」のように、一定の条件下で個人情報を本人同意なく処理できる場合について、検討を深めるべき。
 CBPR認証とEUの認証制度の相互運用性や、各国・地域の標準契約条項（SCC）・モデル契約条項の相互運用性など、グローバルなデータ移転ツールのハーモナイゼーションに向けた働きかけをお願いしたい。
 PIA（プライバシー影響評価）の普及や、データ保護責任者・プライバシー専門人材の育成に向けた支援を行って欲しい。
＜委員からの意見＞
 健康・医療、こども等の公共性の高い分野において、個人情報の利活用と適切な個人の権利利益の保護のため、関係省庁等との連携の在り方を検討すべき。
 高度なデジタル技術を用いることで、個人や事業者の利益のみならず、公益のためにも個人情報が活用されることが可能となっている。我が国の産業の活性化や国際競争力強化の観点からも、特に公益性の高い技術やサービスの開発に取り組みやすくなるような制度が望ましいと考える。
 個人情報取扱事業者の適切な安全管理体制が確保されるよう、自主的な取組を支援すべき。また、企業や自治体の内部コンプライアンス強化に繋がる制度設計を行うべき。
 事業者自身が個人情報の保護に真剣に取り組み、個人情報保護法を実効的に守ることで違法行為が発生しないような、事前の仕組みを作っていくことも重要である。

5

これまでの委員会における主な意見
４．その他＜関係団体からの意見＞
 「個人データ」（GDPR）と「個人情報」（個人情報保護法）、「処理」（GDPR）と「取扱い」（個人情報保護法）など、GDPRと個人情報保護法との間の定義を可能な範囲で調和させるべき。
 プライバシー強化技術による個人の権利利益の保護は実効性の高い施策であり、社会実装の促進に向けた運用体制や基準の検討、法制度の在り方を検討すべき。また、これらの技術等により一定の保護がなされている場合は、第三者提供規制を緩和してはどうか。
 単体では個人を識別できない情報でも、容易照合性により、事業者内における情報の多くが個人データとしての規律を受ける。シ
ステムで明確に分離・管理されている場合等は個人データの規律の対象外とすることが、利活用促進につながると考える。
 いわゆる「クラウド例外」について、個人データを取り扱わないこととなっている場合に該当するための標準的な契約条項の記載例や、適切なアクセス制御例を具体的に示して欲しい。
 漏えい等報告により委員会に蓄積された情報を分析し、民間事業者が漏えい等の再発防止策やサイバー対策を検討するに当たり、当該分析結果を活用できる仕組みを検討すべき。また、委員会による権限行使の基準や手続きを透明化すべき。
 国際的な企業認証枠組みへの事業者の参入を促すため、制度の発信やインセンティブの設計を検討すべき。
 個人情報保護法第28条に規定する「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」に指定する国の拡充を検討すべき。
 認定個人情報保護団体制度の拡大を目指す場合、補助制度や助成の仕組み等を検討いただきたい。
 地方公共団体から保有個人情報の取扱いの委託をする際に、個人情報保護法により地方公共団体が必要な措置を講じることについて、委託先に理解をしていただくのに苦慮している。
 地方公共団体内部における個人情報の目的外利用について、具体的な事例集等を作成していただくなど、蓄積されたノウハウを情報共有できる仕組みを設けて欲しい。

6これまでの委員会における主な意見
４．その他＜委員からの意見＞
 秘密計算等の専門性が高い技術は、一般利用者が内容などを理解することが難しいと考える。まずは、技術を利用する民間事業者が、その妥当性を含めて適切に説明することが必要と考える。
 漏えい等の防止のためには、委託先の事業者や派遣社員を含めた安全管理体制の整備、システム設計や運用を含めたヒューマンエラーの防止策、不正アクセス対策の安全管理措置を講ずることが重要であると考える。
 漏えい等報告義務の周知を一層図ることは当然のこととして、個人情報保護法の規律全般が実効性をもって遵守されているかどうかにも注意を払いながら、委員会において、漏えい等の防止のための効果的な対策を更に検討する必要があると考える。
 サイバー攻撃が巧妙化する中、サイバー攻撃による個人情報の漏えい等をより効果的に防止・抑止するためには、委員会と関係省庁等との連携を進めることが重要。
 漏えい等報告の義務化によって判明した日常的な漏えい等の発生状況を分析し、その防止のための効果的な対策を検討すべき。
 GDPRとグローバルCBPRの枠組みの接点を模索して、より広いデータ流通枠組みの在り方を検討していくことが必要と考える。
 個人情報保護法に一元化されたが、官と民それぞれの分野の性質の違いから、個人情報の提供等の規律には異なる点がある。
官民の間で個人情報の提供が相互に必要な場合に、個人情報の保護を前提として、効果的な個人情報の共有が可能な規律になっているかを検討する必要があると考える。
 苦情処理は認定個人情報保護団体の主要な業務の一つであり、真摯に取り組んでいただくような仕組みにする必要があると考える。

7

検討項目（案）
１．個人の権利利益のより実質的な保護の在り方
 個人情報等の適正な取扱いに関する規律の在り方（適正取得・不適正利用、個人関連情報、生体データ等）
 第三者提供規制の在り方（オプトアウト等）
 こどもの個人情報等に関する規律の在り方
 個人の権利救済手段の在り方

２．実効性のある監視・監督の在り方
 課徴金、勧告・命令等の行政上の監視・監督手段の在り方
 刑事罰の在り方 漏えい等報告・本人通知の在り方

３．データ利活用に向けた取組に対する支援等の在り方 本人同意を要しない公益に資するデータ利活用等の在り方
 民間における自主的な取組の促進8