デ ー タ 利 活 用 に 関 連 す る 法 制、 政 策 の 動 向

令和4年2月14日
弁護士 日置巴美

本日の内容I.

R３改正個人情報保護法（51条改正）のポイント

II.

パーソナルデータに関する規制動向III.

プライバシーガバナンスの実施

1

I.

R３改正個人情報保護法（51条改正）のポイント

2R３改正個人情報保護法の概要① 個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の3本の法律を1本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化② 医療分野・学術分野の規制を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用③ 学術研究分野を含めたGDPRの十分性認定への対応を目指し、学術研究に係る適用除外規定について、一律の適用除外ではなく、義務ごとの例外規定として精緻化④ 個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化

3

ポイントとなる改正事項① 適用対象・地方公共団体の機関及び地方独立行政法人を対象とし、国と同じ規律を適用
・病院、診療所及び大学には、民間部門と同じ規律を適用※ ④、⑤、⑥に係る部分は除く② 定義の一元化
・個人情報の定義について、国・民間部門と同じ規律を適用
例：容易照合可能性、個人識別符号、要配慮個人情報 等③ 個人情報の取扱い
・個人情報の取扱いについて、国と同じ規律を適用
例：保有の制限、安全管理措置、利用及び提供の制限 等④ 個人情報ファイル簿の作成・公表
・個人情報ファイル簿の作成・公表について、国と同じ規律を適用※ 個人情報ファイル簿の作成等を行う個人情報ファイルの範囲は国と同様（1,000人以上等）とする※ 引き続き、個人情報取扱事務登録簿を作成することも可能とする⑤自己情報の開示、訂正及び利用停止の請求・開示等の請求権や要件、手続は主要な部分を法律で規定
4

ポイントとなる改正事項⑥ 匿名加工情報の提供制度の導入
・匿名加工情報の提供制度（定期的な提案募集）について、国と同じ規律を適用※ ただし、経過措置として、当分の間、都道府県及び指定都市について適用することとし、他の地方公共団体は任意で提案募集を実施することを可能とする⑦ 個人情報保護委員会と地方公共団体の関係
・個人情報保護委員会は、地方公共団体における個人情報の取扱い等に関し、国の行政機関に対する監視に準じた措置を行う
・地方公共団体は、個人情報の取扱いに関し、個人情報保護委員会に対し、必要な情報の提供又は助言を求めることが可能
例：個人情報の提供を行う場合、匿名加工情報の作成を行う場合 等⑧ 施行期日等・施行期日は、公布から２年以内の政令で定める日とする
・地方公共団体は、法律の施行に必要な条例を制定 例：手数料、処理期間 等
・国は、個人情報の適正な取扱いを確保するため、地方公共団体の準備等について必要な助言(ガイドライン等)を行う※地方公共団体が条例で定める独自の保護措置について
・特に必要な場合に限り、条例で、独自の保護措置を規定
・条例を定めたときは、その旨及びその内容を個人情報保護委員会に届出
5II. パーソナルデータに関する規制動向6

データにまつわる法令

7個人情報保護法の運用動向 ー 利用目的規制 ー・ 利用目的の特定（§17Ⅰ）
個人情報の取扱いにあたって、その利用目的をできる限り特定しなければならない。
（×）利用目的を単に抽象的、一般的に特定する（〇）個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定すること【具体的に利用目的を特定している事例】
・事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合【具体的に利用目的を特定していない事例】
・事業活動に用いるため・マーケティング活動に用いるため
注：「利用目的の特定」の趣旨は、個人情報取扱事業者に利用に係る明確な認識を持たせて具体化することで取扱い範囲を確定し、本人の予測を可能とすることにある。このため、本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
・取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。
・取得した行動履歴等の情報を分析し、結果をスコア化した上で、当該スコアを第三者へ提供いたします。8

個人情報保護法の運用動向 ー 利用目的規制 ー

1 処理内容を踏まえたうえで、利用目的を検討・対応する必要あり。
多くの事業者が、個人情報を最終的どのような事業に活用し、どのような目的で利用するかにフォーカスして利用目的を「できる限り特定」してきたところ、処理内容を踏まえたうえで、特定十分・不十分の判断が求められていることに注意

2 取得、利用のコンテキスト含めた対応の可否➀の検討等にあたっては、取得、利用のコンテキストを加味することが一案
ただし、現行ガイドラインの※にある「定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。」から、どの程度取得、利用のコンテキストを含めた対応が許容されるか不明瞭であることには注意

3 現状の利用目的の記載で足りるか注意を。
ガイドライン案の例にある「行動・関心等の情報を分析する場合」を中心として、プライバシーポリシーその他の媒体に規定する「利用目的」の記載内容の確認を行い、ガイドライン案から不十分と考えられるものの洗い出しを行うことが一案
9個人情報保護法の運用動向 ー 第三者提供関連 ー

1 個人データの「第三者提供」に該当するか？
クラウドサービスの利用が、本人の同意が必要な第三者提供（法第 27条第１項）又は委託（法第 27 条第５項第１号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者
において個人データを取り扱うこととなっているのかどうか（契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等）が判断の基準となる（QA7－53）。

2 「第三者」に該当しない委託として整理できるか？

委託として「第三者」に該当しないケース
・受託する個人データを、受託業務を処理する一環として委託先が自社の分析技術の改善のために利用すること（QA7-39）「第三者」に該当するケース
・委託先が自社のために受託する個人データを統計情報に加工して利用する場合（QA7-38）
・受託する個人データを、委託先が独自に取得した個人データ又は個人関連情報を本人ごとに突合することや、これによって新たな項目を付加し、又は修正して委託元に戻すこと（QA7-41、42）

3 ❶、❷を踏まえて、同意取得その他の個人データの第三者提供に関する措置を講ずる必要があるかを検討し、対応

10電気通信事業法の改正動向ー電気通信事業ガバナンス検討会報告書（案）を踏まえてー① 電気通信事業者の範囲の見直し及びガバナンスの強化「インターネットの発展等に伴い、第三号事業を営む者であっても、利用者への影響度が大きい大規模なサービスを提供する場合も出てきており、・・・利用者利益等を保護する社会的要請が高まってきている」として、「事業法では、伝統的に隔地者間の通信の媒介を主たる規律の対象としていることを踏まえ、他人間の通信（特に他人間の通話・コミュニケーション）を実施的に媒介する電気通信役務は、規律の対象とすることが考えられ」るとし、①SNS、②レビュー機能やコメント機能等を付随的に有するサイト、③ネット・オークション、オンライン・フリーマーケット等を対象として挙げる。
利用者情報の適正な取扱いに係る規律の具体的な在り方として、次の４つが提示された。
❶ 利用者情報の適正な取扱いに関する情報取扱規程の策定等❷ 利用者情報統括管理者の選任等❸ 情報取扱方針の策定及び公表❹ 利用者情報の適正な取扱い状況に関する評価の実施と対策への反映② 利用者に関する情報の外部送信に関する規制「電気通信事業を営む者についても、利用者に対し電気通信役務を提供する際に、利用者の電気通信設備に記録された当該利用者に関する情報を利用者以外の者に外部送信を指令するための通信を行おうとするときは、原則として通知・公表を行い、もしくは利用者の同意を取得あるいはオプトアウト措置を提供することにより、利用者に対して確認の機会を与えることが確保できるようにすること等も考えられる。」
11III. プライバシーガバナンスの実施

12

プライバシーガバナンスの実施「DX時代における企業のプライバシーガバナンスガイドブックver1.1概要」より

13

プライバシーガバナンスの実施「DX時代における企業のプライバシーガバナンスガイドブックver1.1概要」より
14

 ご静聴いただきありがとうございました。

15