第14回

DBSC 春のセミナー

個人データの円滑な越境移転に向けた取組み
平成３０年５月３０日
個人情報保護委員会事務局

小川

久仁子

参事官

目次
1.

個人情報保護法の改正

２. 個人情報保護委員会の活動～全面施行後１年を振り返って～3.

国際的連携の推進１．個人情報保護法の改正

個人情報保護制度の体系

個人情報の保護に関する法律(個人情報保護法）

3≪基本法制≫
基本理念
国及び地方公共団体の責務・施策
基本方針の策定 等（第１章～第３章 ）※2 行政機関の保有する
個人情報の保護に関する法律※3 独立行政法人等の保有する
個人情報の保護に関する法律※4 各地方公共団体において制定される個人情報保護条例

個人情報取扱事業者の義務等(第４章～第６章)（個人情報保護条例の中には、公的部門における個人情報の取扱いに関する各種規定に加えて、事業者の一般的責務等に関する規定や、地方公共団体の施策への協力に関する規定等を設けているものもある。）

個人情報保護委員会
ガイドライン等※2≪民間部門≫※3≪公的部門≫※4

個人情報保護法の改正：背景と課題
2003年「個人情報の保護に関する法律」成立（2005年全面施行）

環境の変化
情報通信技術の発展により、制定当時には想定されなかったパーソナルデータの利活用が可能に
１．グレーゾーンの拡大
個人情報に該当するかどうかの判断が困難ないわゆる「グレーゾーン」が拡大
２．ビッグデータへの対応
パーソナルデータを含むビッグデータの適正な利活用ができる環境の整備が必要

３．グローバル化
事業活動がグローバル化し、国境を越えて多くのデータが流通

4

参考資料
行政

5

制度改正の背景と課題
エネルギー

流通・小売

交通

ビッグデータ
防災・減災

医療パーソナルデータ（※）

プライバシー保護にも配慮したパーソナルデータ利活用のためのデータ利用環境整備が喫緊の課題※「ビッグデータ」のうち、特に利用価値が高いと期待されている、個人の行動・状態等に関するデータ

個人情報保護法とは○個人の権利・利益の保護と個人情報の有用性とのバランスを図るための法律○基本理念を定めるほか、民間事業者の個人情報の取扱いについて規定

個人情報保護法の目的
第１条
この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個
人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。

6

個人情報保護法の改正の概要○平成27年９月 改正個人情報保護法が成立（施行は平成29年５月30日）●改正のポイント●１．個人情報保護委員会の新設

個人情報取扱事業者に対する監督権限を各分野の主務大臣から委員会に一元化。

２．個人情報の定義の明確化①利活用に資するグレーゾーン解消のため、個人情報の定義に身体的特徴等が対象となることを明確化（個人識別符号）。
②要配慮個人情報（本人の人種、信条、病歴など本人に対する不当な差別又は偏見が生じる可能性のある個人情報）の取得について
は、原則として本人同意を得ることを義務化。

３．個人情報の有用性を確保（利活用）するための整備

匿名加工情報（特定の個人を識別することができないように個人情報を加工した情報）の利活用の規定を新設。

４．グローバル化への対応①域外適用に関する規定の新設②外国執行当局への情報提供に関する規定の新設③外国にある第三者への個人データの提供に関する規定の新設

５．いわゆる名簿屋対策①個人データの第三者提供に係る確認記録作成等を義務化。（第三者から個人データの提供を受ける際、提供者の氏名、個人データの取得経緯を確認した上、その内容の記録を作成し、一定期間保存することを義務付け、第三者に個人データを提供した際も、提供年月
日や提供先の氏名等の記録を作成・保存することを義務付ける。）②個人情報データベース等を不正な利益を図る目的で第三者に提供し、又は盗用する行為を「個人情報データベース提供罪」として処罰の対象とする。

６．その他①取り扱う個人情報の数が5000以下である事業者を規制の対象外とする制度を廃止。
②オプトアウト（※）規定を利用する個人情報取扱事業者は所要事項を委員会に届け出ることを義務化し、委員会はその内容を公表。
（※本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する場合、本人の同意を得ることなく第三者に個人データを提供することができる。）

7

個人情報保護委員会とは沿革 平成２６年１月１日

特定個人情報保護委員会

設置（行政手続における特定の個人を識別するための番号の利用等に関する法律第36条）

 平成２８年１月１日

個人情報保護委員会

設置（特定個人情報保護委員会から改組）（個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律第１条及び第４条）

所掌事務（１）マイナンバー制度に関する事務（監視・監督、特定個人情報保護評価）（２）個人情報保護法に関する事務、監視・監督（個人情報保護法を所管）（３）上記（１）、（２）に共通する事務（広報・啓発、国際協力等）

組織 委員長１名・委員８名（合計９名）の合議制（行政委員会）
 委員長・委員は独立して職権を行使（任期５年）
 委員会事務局の職員数：131名（平成30年4月現在）

8個人情報保護法の改正と政令等のポイント①
１．個人識別符号
 個人情報の定義として、以下の情報が対象となることを明確化
・身体的特徴を電子計算機の用に供するために変換した符号（顔認識
データ、指紋認識データ）
・対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号（旅券番号、運転免許証番号、マイナンバー）○政令・委員会規則で以下の番号・符号を個人識別符号と規定。
① ＤＮＡ、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋を電子計算機のために変換した符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの② 公的な番号（旅券番号、基礎年金番号、免許証番号、住民票コード、
マイナンバー、各種保険証の被保険者番号等）

顔認識データ 指紋認識
データ

旅券番号

運転免許証番号

マイナンバー9個人情報保護法の改正と政令等のポイント②

10

２．要配慮個人情報の規定の新設
 次のいずれかに該当する情報を「要配慮個人情報」とし、取得について、原則として本人の同意を得ることを義務化。
・人種、信条、社会的身分、病歴、前科・前歴、犯罪被害情報・その他本人に対する不当な差別、偏見が生じないように特に配慮を要するものとして政令で定めるもの○政令で以下の記述等を含む個人情報を要配慮個人情報と規定。
・身体障害・知的障害・精神障害等があること
・健康診断その他の検査の結果（遺伝子検査の結果を含む）
・保健指導、診療・調剤情報
・本人を被疑者又は被告人として、逮捕、捜索等の刑事事件に関する手続が行われたこと・本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたこと

個人情報保護法の改正と政令等のポイント③
３．匿名加工情報の規定の新設
匿名加工情報（特定の個人を識別することができないように個人情報を加工した情報であって、当該個人情報を復元することができないようにしたもの）の類型を新設し、個人情報の取扱いよりも緩やかな規律の下、自由な流通・利活用を促進
匿名加工情報加工（※）
個人情報

匿名加工情報復元

識別できない※匿名加工情報の作成に関する基準（個人情報保護委員会規則に明記）①特定の個人を識別することができる記述等（例:氏名）の全部又は一部を削除（置換を含む。以下同じ。）
すること②個人識別符号（例：マイナンバー、運転免許証番号）の全部を削除すること③個人情報と他の情報とを連結する符号（例:委託先に渡すために分割したデータとひも付けるID）を削除すること④特異な記述等（例：年齢116歳）を削除すること⑤上記のほか、個人情報とデータベース内の他の個人情報との差異等の性質を勘案し、適切な措置を講ずること

11個人情報保護法の改正と政令等のポイント④

12

４．グローバル化への対応（１）域外適用に関する規定

 日本にある者に対する物品、サービスの提供に関連して、個人情報を取得した外国にある個人情報取扱事業者にも個人情報保護法が適用される（法75条）（２）外国執行当局への必要な情報提供に関する規定

 外国の事業者が日本にある者の個人情報を不適切に取り扱った場合に、外国の執行当局が外国の法令に基づく執行をすることができるよう、必要な情報提供を行うことができる（法78条）
 国際的な執行協力の枠組みであるGPEN（グローバルプライバシー執行ネットワーク）に正式メンバーとして参加。
 外国の執行当局との情報提供に向けた体制づくりを実施(2)連携・協力

個人情報保護法の改正と政令等のポイント④（続き）

13（３）外国の第三者への個人データの提供

 以下のいずれかによって、国内と同様に外国の第三者への個人データの提供が可能。
① 外国にある第三者へ提供することについて、本人の同意を得る。
② 外国にある第三者が個人情報保護委員会の規則で定める基準に適合する体制を整備している。
「規則で定める基準」：
 提供を受ける者における個人データの取扱いについて、適切かつ合理的な方法により、個人情報保護法の趣旨に沿った措置の実施が確保されていること
・「適切かつ合理的な方法」の例：
委託契約やグループ企業の内規・プライバシーポリシー、 提供元の個人情報取扱事業者がAPECの越境プライバシールール（CBPR）システムの認証を取得している場合等
・「個人情報保護法の趣旨に沿った措置」の具体例：
OECD、APEC等の国際的な枠組みの基準に基づいたもの



個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること
・提供先の外国にある第三者がAPECのCBPRシステムの認証を取得している場合③ 外国にある第三者が個人情報保護委員会が認めた国に所在する。

（参考）個人情報保護法ガイドライン
 改正個人情報保護法の全面施行に伴い、同法の監督権限が当委員会に一元化されることから、
当委員会が、全ての分野に共通に適用される汎用的なガイドラインを定める。

全分野共通

・・・委員会ガイドラインに一元化●「個人情報の保護に関する法律についてのガイドライン」（2016年11月30日公表）（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、匿名加工情報編）●「個人データの漏えい等の事案が発生した場合等の対応について」（2017年2月16日公表）●上記についてのQ&A（2017年2月16日公表）●匿名加工情報に関する事務局レポート（2017年2月27日公表）「パーソナルデータの利活用促進と消費者の信頼性確保の両立に向けて」

特定分野・・・委員会ガイドラインを基礎として、更に必要となる別途の規律・留意点を取りまとめ●情報通信関連（電気通信、放送、郵便、信書便）
2017年4～5月公表●金融関連（金融、信用、債権管理回収）2017年2月28日公表●医療関連（医療・介護、健康保険組合、国民健康保険組合、国民健康保険団体連合会等
個人遺伝情報）2017年3～4月公表

14

２.個人情報保護委員会の活動～全面施行後１年を振り返って～16【概要】平成29年度 個人情報保護委員会活動方針①
これまでの委員会の取組
ルール等の整備広報活動【個人情報保護法関係】
個人情報の保護と利活用のバランスを考慮したルール等の整備➢

改正個人情報保護法施行令・施行規則➢

個人情報保護法ガイドライン・Ｑ＆Ａ➢

匿名加工情報に関する事務局レポート➢

全国で説明会を実施➢

ラジオや全国地方紙の広告を用いた周知活動➢

委員会ウェブサイトへの様々なコンテンツの掲載➢

マイナンバーハンドブックの作成・配布

等

等

国際協力関係【マイナンバー法関係】
特定個人情報の適正な取扱いを確保するためのルール等の整備➢

行政機関等に対する定期的な検査に関する委員会規則➢

地方公共団体等による定期的な報告に関する委員会規則➢

国際的な取組方針の決定➢

個人データの国際的な流通が円滑に行われる環境整備に向けた諸外国との対話・協調

平成29年度の基本的な考え方【個人情報保護法関係】
・ 窓口に寄せられる質問等への丁寧な対応、積極的な広報活動等を通じ、改正個人情報保護法の円滑な施行を図る。
・ 監督権限の一元化を踏まえ、個人情報等の適正な取扱いを確保するため、効率的かつ効果的な監督に努める。
・ パーソナルデータの適正かつ効果的な活用を促進するための施策を推進する。
【マイナンバー法関係】
・ 特定個人情報の適正な取扱い及び安全管理措置等の実施状況を把握し、必要に応じて指導・助言等を行う。
・ マイナンバーが本格的に活用開始されることを踏まえ、更に効率的かつ効果的な監視・監督活動に取り組む。
【国際協力関係】・ グローバルにプレゼンスを高め、個人データの国際的な流通が円滑に行われる環境を整備する。
・ 諸外国の執行機関との協力関係を構築する。

【概要】平成29年度 個人情報保護委員会活動方針②

17

具体的な取組総論
広報・啓発活動相談窓口における対応

有益な情報発信インシデント対応

人材育成委員会ウェブサイトの利便性向上丁寧な説明及び対応

説明会等において情報提供

関係機関との緊密な連携

専門的・技術的知見を有する人材の育成

監督活動との連携

個人情報保護法関係

マイナンバー法関係

監督活動

活用の促進

監督活動

監視活動

➢漏えい報告受付窓口の設置➢様々な情報を総合的に活用➢適時適切な監督活動➢関係機関等との連携➢匿名加工情報制度等の周知➢個人情報取扱事業者等からの活用に関する相談の受付➢必要な情報提供➢様々な情報を総合的に活用➢報告徴収・立入検査➢適時適切な指導・助言➢監視・監督システムによる監視➢監視体制の強化

認定個人情報保護団体への支援・指導➢情報の提供、助言等の必要な支援

立入検査・定期報告➢行政機関等に対する定期的な検査➢地方公共団体等による定期的な報告➢地方公共団体におけるシステムリスクに焦点を絞った調査

国際協力関係米国との連携・協力

ＥＵとの協力対話

ＣＢＰＲシステムの周知活動及びＡ
ＰＥＣ加盟国エコノミーとの意見交換を積極的に進めていくことについて、連携及び協力を図る。

相互の円滑な個人データ移転を図る
枠組みの早期実現に向けて取り組むとともに、ＧＤＰＲの適用に向けたＥＵの動きに注視しつつ、精力的に対話を進める。
また、ＥＵ加盟国のデータ保護機関との連携を深める。

英国との対話
ＥＵ離脱後の日英間の個人データ移転について、精力的に対話を進める。
また、離脱後の英ＥＵ間の個人デー
タ移転への影響について注視し、必要に応じて情報収集を行う。

平成29年度上半期における個人情報保護委員会の活動実績について（概要） 18
Ⅰ 個人情報保護法に関する事務Ⅱ マイナンバー法に関する事務○改正個人情報保護法の円滑な施行に向けた取組
・ 医療関連分野ガイダンスの公表
・ 認定個人情報保護団体の認定等に関する指針の公表
・ オプトアウト手続の届出受付
・ 改正法の周知・広報のための講演への講師派遣

552件○改正個人情報保護法に基づく一元的な監督等
・ 個人情報保護法に関する相談受付
・ 個人データの漏えい等事案の報告受付、指導等の実施
・ パーソナルデータの適正かつ効果的な活用

14,309件

290件

個人情報保護法
相談ダイヤル受付
件数

個人データの漏えい等事案の報告の受付件数・ マイナンバー苦情あっせん相談窓口における相談受付
・ 特定個人情報の漏えい事案等の報告受付、指導等の実施
・ マイナンバー法に基づく立入検査等の実施

25件

273件

（うち重大な事態３件）

マイナンバー苦情あっせん相談窓口受付件数

特定個人情報の漏えい事案等の報告の受付件数

８件

137件（行政機関等３件、地方公共団体３件、民間事業者２件）

立入検査

指導・助言

Ⅳ 広報・啓発

あっせん

２件

116件

報告徴収

指導・助言

・ 個人情報保護法を分かりやすく解説したハンドブック（子ども向け・中小企業向け等）を作成し、ウェブサイトに掲載
・ 検査等で把握した事例を基に、各機関においてマイナンバーを適正に取り扱うための参考資料をウェブサイトに掲載

Ⅲ 国際協力○個人情報の保護を図りつつ国際的なデータ流通を円滑化するための環境整備に向けた取組
・ データ保護プライバシー・コミッショナー国際会議の正式メンバーとして個人情報保護委員会が承認されるとともに、関係機関との協力関係を積極的に構築
米国：APEC越境プライバシールール（CBPR）システム（企業に対しAPEC基準を認証する仕組み）の促進に向けて協力関係を構築
EU：日EU間の相互の円滑な個人データ移転を図る枠組みの構築を視野に来年の早い時期を目標に手続を進めることで一致（内閣総理大臣と欧州委員会委員長による共同宣言を発出）
英国：英国のEU離脱後も相互の円滑な個人データ移転が確保されるよう、対話と協力関係の構築に努めることで一致

（参考）個人情報保護委員会の活動実績（2017年4月～12月）

窓口での相談受付件数

19,870 件
相談窓口の受付件数

広報・啓発

250回、約25,900人の参加者
個人情報保護法、マイナンバーガイド
ライン等に関する説明会の開催状況

個人情報の適正な取扱いに関する監視・監督

490 件

533 件

335

件

31 件

漏えい等の報告

報告徴収

指導・助言

あっせん

19

個人情報保護法に関する周知広報(シンプルレッスン）「これだけは！」10のチェックリスト

出典：https://www.ppc.go.jp/files/pdf/simple_lesson.pdf

20

個人情報の保護に関する周知啓発
 SNSの利用に関する注意事項の周知
外部ウェブサイトにおけるSNS利用のための「ボタン」等について、・ボタンを設置するウェブサイト運営者
・ボタンが設置されたウェブサイトの利用者の双方に向けた注意事項を、個人情報保護委員会ウェブサイトに掲載。

 個人データの漏えい等事案に関する情報の提供「個人データの漏えい等事案の発生について」を個人情報保護委員会ウェブサイト
に掲載し、個人データの漏えい事案の主な発生原因について周知啓発。
・多くは書類の誤送付/電子メールの誤送信等の人為的ミス
・一方で不正アクセスや業務システムのプログラムミスといった原因も ヒヤリハット事例の紹介
第三者提供、利用目的による制限、電子媒体等の取扱い、電子メールの送信、システムセキュリティの5つの領域を対象に、個人情報の取扱上の誤りを生じがちな事例を紹介。
※「個人データの漏えい等事案の発生について」及び「ヒヤリハット事例」等をまとめた「個人情報ヒヤリハットコーナー」を設置しています。

21

SNSの「ボタン」等の設置に係る留意事項 ウェブサイト運営者向け

出典：https://www.ppc.go.jp/news/careful_information/sns_button/

22

SNSの利用者のみなさまへの留意事項 利用者向け

出典： https://www.ppc.go.jp/news/careful_information/sns_button_life/23

個人情報保護法に関する周知広報(ヒヤリハット事例）

出典： https://www.ppc.go.jp/personal/hiyarihatto/24認定個人情報保護団体制度について
消費者の意見を代表する者等
から意見を聴いて、法律の趣旨に沿って作成

消費者等
苦情
やりとり
苦情の処理

個人情報
保護指針

個人情報取扱事業者又は匿名加工情報取扱事業者（対象事業者）

指導、
勧告等
情報の提供

・報告徴収
・立入検査
・指導／助言・勧告
・命令

個人情報保護委員会（個人情報保護法を所管）

25

認定個人情報保護団体
個人情報
保護指針

業界や事業分野の特性に応じた具体的な履行方法等を本法の趣旨に沿って定める自主的なルール（匿名加工情報の作成方法を含む）

・認定
・報告徴収
・命令
・認定取消

指針
の
届出

公表
指針
の
公表

・個人情報保護委員会規則
・個人情報保護委員会ガイドライン
・Q&A
・個人情報保護委員会事務局レポート
・事例集
等

（参考）認定個人情報保護団体一覧（４４団体）

26※平成30年３月現在
対象事業等分野
警備業
指定自動車教習所業
証券業
保険業
保険業
保険業
銀行業

名称
一般社団法人 全国警備業協会
一般社団法人 全日本指定自動車教習所協会連合会

日本証券業協会
一般社団法人 生命保険協会
一般社団法人 日本損害保険協会
一般社団法人 外国損害保険協会
全国銀行個人情報保護協議会

対象事業等分野

名称

手技療法
経済産業分野ギフト用品に関する事業
クレジット事業

特定非営利活動法人 日本手技療法協会

小売業
経済産業分野一般社団法人 信託協会

経済産業分野投資信託委託業
証券投資顧問業
貸金業
金融先物取引業
放送
電気通信事業全般

一般社団法人 投資信託協会
一般社団法人 日本投資顧問業協会
日本貸金業協会
一般社団法人 金融先物取引業協会
一般財団法人 放送ｾｷｭﾘﾃｨｾﾝﾀｰ
一般財団法人 日本ﾃﾞｰﾀ通信協会

モバイルコンテンツ関連事業

一般社団法人 モバイル・コンテンツ・フォーラム

製薬業
医療
医療・介護
医療・介護・福祉
介護・福祉

日本製薬団体連合会
公益社団法人 全日本病院協会

経済産業分野結婚情報サービス業
結婚情報サービス業
結婚情報サービス業
結婚情報サービス業
新聞販売業
葬祭業
葬祭業
経済産業分野経済産業分野経済産業分野自動車販売業

医療

特定非営利活動法人 医療ﾈｯﾄﾜｰｸ支援ｾﾝﾀｰ

特定非営利活動法人 検定協議会
社会福祉法人 岐阜県社会福祉協議会
一般社団法人 国際情報ｾｷｭﾘﾃｨｰ
ﾏﾈｼﾞﾒﾝﾄ研究所

一般社団法人 全日本ｷﾞﾌﾄ用品協会
一般社団法人 日本ｸﾚｼﾞｯﾄ協会

印刷・グラフィックサービス工業 公益社団法人 東京ｸﾞﾗﾌｨｯｸｻｰﾋﾞｽ工業会

信託業

一般財団法人 日本情報経済社会推進協会

一般社団法人 日本個人情報管理協会

一般社団法人 日本専門店協会
特定非営利活動法人 日本個人・医療情報管理協会

公益社団法人 日本消費生活
ｱﾄﾞﾊﾞｲｻﾞｰ・ｺﾝｻﾙﾀﾝﾄ・相談員協会
長野県個人情報保護協会
一般社団法人 結婚相談業ｻﾎﾟｰﾄ協会
結婚相手紹介ｻｰﾋﾞｽ協会
株式会社ＩＢＪ(日本結婚相談所連盟)

ﾅﾉﾗｲｾﾝｽ結婚専科ｼｽﾃﾑ協議会
大阪毎日新聞販売店事業協同組合
ＪＥＣＩＡ 個人情報保護協会
全国こころの会葬祭事業協同組合
一般社団法人 ビジネスコンプライアンス

一般社団法人 医療データベース協会
一般社団法人 中小企業個人情報セキュリティー推進協会

一般社団法人 日本自動車販売協会連合会

自動車登録番号標交付代行業 一般社団法人 全国自動車標板協議会

賃貸住宅管理業

公益財団法人 日本賃貸住宅管理協会

（参考）漏えい等の事案が発生した場合の報告ルート
【原則】

【原則】

【報告徴収・立入検査の権限が委任される分野】【認定個人情報保護団体の対象事業者】

個人情報保護委員会
報告

報告

認定個人情報保護団体
報告

事業者※権限委任分野の報告先等については以下を参照
http://www.ppc.go.jp/pers
onal/legal/kengenInin/

報告

事業者

事業者

（認定個人情報保護団体の対象事業者）（権限委任のある分野の事業者）

27

３．国際的連携の推進主な国・地域との協調
 EU
 相互の円滑な個人データの移転を実現するために、個人情報保護委員会と欧州委員会司法総局との間で対話を進めてきており、相互の制度に関しては一通り確認。本年の早い時期を目標に、手続きを進めることで一致。

 英国
 英国のEU離脱後も日英間の相互の円滑な個人データ移転が確保されるように、英国当局（制度を所管する文化・メディア・スポーツ省及びデータ保護機関であるICO）との対話を実施。

 米国
 米商務省とは、多国間の取決めであるAPEC越境プライバシールール（CBPR）システム（企業に対しAPEC基準を認証する仕組み）の促進を行っていくことで協力関係を構築。
 当委員会としては、アジア諸国の加盟・国内企業の参加を促進し、EUの個人データ越境移転の制度との相互運用を展望。

29

30

日EU 個人データ越境移転規制の制度比較

GDPR

EU

個人情報保護法

日本

EU

日本

十分性認定

国指定

十分な個人情報の保護水準が保障されていることを欧州委員会が認めた場合。

提供先の第三者が個人情報保護委員会の認めた国・地域に所在する場合。

体制整備

体制整備

企業グループ内の内部行動規範や企業間の契約条項で保護措置を確保している場合。

提供先の第三者が個人情報保護委員会の規則で定める基準に適合する体制を整備している
場合。

本人同意

本人同意

十分性認定等がないことによるリスクについての情報が提供されたうえでの明示的な本人の同意がある場合。

外国にある第三者へ提供することについて本人の同意がある場合。

日EU間の個人データ移転に係る枠組みの構築に向けた取組の経緯
 2016年7月 個人情報保護委員会が取組方針を決定 EU（英国のEU離脱の影響についてその動向を注視。）と相互の円滑なデータ移転を図る枠組みを構築する方針を決定。与党（10月）、経済界（12月）からも相互の自由な越境移転を求める要望あり。

 2017年1月 欧州委員会が政策文書を公表
 十分性認定について、日本が優先国であること、及び双方向の対話であることとして言及。

 欧州委員会との対話の実績
 2016年4月～2018年5月 司法総局との累次の対話 53回（うち、ビデオ会議37回）
 2017年3月・7月 個人情報保護委員会委員と欧州委員会委員との会談【参考】2017年7月 日EＵ定期首脳会談における政治宣言の発出(上記の委員同士の会談を評価し、同会談での合意事項である2018年の早い時期までの枠組み構築を再確
認) 2017年12月 個人情報保護委員会委員と欧州委員会委員との会談(双方の制度間の関連する相違点に対処するための解決策として、EUから日本へ移転された個人情報に係るガイドラインの策定を日本側が検討すること、2018年前半に、最終合意することを想定し、委員レベルで会談をもつことで一致。）

 個人情報保護委員会の取組状況
 2018年4月25日～ 上述の委員同士の会談において合意した内容を踏まえ、ガイドライン案を作成し、意見募集を開始（募集期間は５月25日まで）
 2018年５月９日

外国指定に係る判断基準を個人情報保護委員会規則で策定

31

（参考）個人情報保護委員会委員及び欧州委員会委員との協力対話

熊澤春陽個人情報保護委員会委員とベラ・ヨウロバー欧州委員会委員（司法・消費者・
男女平等担当）による共同プレス・ステートメント（平成29年７月３日）

熊澤春陽個人情報保護委員会委員とベラ・ヨウロバー欧州委員会委員（司法・消費者・男女平等担当）は、基本的な権利として、また、デジタル・エコノミーにおける消費者の信頼の重要な要素としての高水準のデータ保護の推進を視野に対話を進展させるため、2017年７月３日にブリュッセルで会談を行った。
両者は、日本及びEUのデータ保護の制度に関する相互の理解をより一層深めてきた、個人情報保護委員会事務局と欧州委員会司法総局による過去数か月間の作業を歓迎した。同作業に基づき、両者
は、双方のプライバシー法制度の最近の改正によって、双方の二つの制度は、より一層類似したものになったことを認めた。これは、特に双方が十分な保護レベルを同時に見出すことを通して、相互の円滑なデータ
流通をより一層促進する新しい機会を提供するものである。
以上を踏まえ、両者は、双方の制度間の類似性が強化されたことを基礎として、関連する相違点への対処等により、2018年の早い時期に、この目標を達成するための努力を強化することを決意した。

32

（参考）日EU定期首脳会談における政治宣言
安倍晋三内閣総理大臣及びジャン＝クロード・ユンカー欧州委員会委員長による共同宣言（平成29年７月6日）（外務省作成仮訳）
Ｇ７伊勢志摩サミットにおいて、我々は、情報の自由な流通は、グローバル経済及び発展を促進するための基本的な原則であり、また、デジタル経済に関わる全ての主体にとってサイバー空間への公正で平等なアクセスを確保するものであることを再確認した。
我々は、基本的な権利として、及び、デジタル経済における消費者の信頼にとっての中心的な要素として、デジタル経済の発展を導きつつ、相互のデータ流通を一層促進することにもなる高い
レベルのプライバシー及び個人データの安全性を確保することの重要性を強調する。それぞれのプ
ライバシー法制に係る最近の改革、すなわち、２０１８年５月２５日から適用されるＥＵ一
般データ保護規則（２０１６年５月２４日発効）及び２０１７年５月３０日に全面施行された日本の個人情報保護法を前提に、日本及びＥＵは、包括的なプライバシー法制、一連の中核的な個人の権利及び独立した監督機関による執行を特に基礎とする、双方の２つの制度の収れん性を一層高めてきた。これは、双方によって十分なレベルの保護を同時に見出すこと等を通じ、データの交換を促進するための新しい機会を提供する。これを念頭に、我々は、２０
１８年の早い時期までにこの目標を達成するための我々の努力を一層強化することに向けた
我々のコミットメントを再確認する。

33

日EU両委員による共同プレスステートメント（2017年12月） 34
熊澤春陽個人情報保護委員会委員とベラ・ヨウロバー欧州委員会委員（司法・消費者・男女平等担当）による共同プレス・ステートメント（2017年12月14日）
熊澤春陽個人情報保護委員会委員とベラ・ヨウロバー欧州委員会委員は、相互に十分性を見出すことを、2018年のできるだけ早い時期に達成するための作業を加速させることを目指して、
2017年12月14日に東京で建設的な会談を行った。
両者は、この目的の重要性を、特に最近の日EU経済連携協定（EPA）の交渉妥結の観点から再確認した。個人データの自由な流通を確保することにより、十分性を同時に見出すことは、基本的なプライバシーの権利の保護を強化しながら、日EU・EPAの便益を補完し拡大することができる。これは日EU間の戦略的なパートナーシップにも貢献する。
両者は、過去数か月の大きな進展を評価するとともに、双方の制度間の関連する相違点を埋めるための解決策を探った。両者は、次の段階へ進み、解決策の詳細について作業すること、また、議論のペースを加速させることに合意した。これを念頭に置きつつ、次回のハイレベル会談については、議論を完結させることを目指し、2018年初めにブリュッセルで開催することとする。

欧州委員会のステートメント（2018年1月）「デジタルかつグローバルの時代に適合するデータ保護ルール」（2018年欧州データ
保護の日に先立つティマーマンス筆頭副委員長・アンシップ副委員長・ヨウロバー委員・ガブリエル委員による共同声明）（2018年1月26日公表） （部分）（仮訳）
欧州連合は、データ保護において世界的に先頭に立ち、高い水準を目指すことに誇りを持っている。
我々は自身のデータ保護の価値観を国際的なレベルで広めることに尽力する。我々の経済は、データの国際的な流通に強く依存している。欧州連合は、米国との間でのデータの相互流通を促進する
ため、2016年に欧州-米国プライバシー・シールドを開始した。現在は、欧州と日本の間で個人デー
タの自由な流通を可能とするための公式な手順を完了させるべく、日本と議論しているところである。
これらの個人データの相互流通は、貿易を促進する一方で、完全に我々のデータ保護水準を尊重するものである。

35

EUから十分性認定に基づいて移転した個人データの取扱いに係る規律を定めるガイドライン 36
ガイドラインにおける項目
要配慮個人情報の範囲

規律の内容

実務への影響「性生活」、「性的指向」、「労働組合」に関する情報を、要配慮個人情報と同様の取扱いとする。

そもそもこのような情報がEUから移転されてくることは想定されず、影響は大きくない。
保有期間にかかわらず請求に応じている企業は
多い。

開示請求権

国内法上は、6ヶ月を越えて保有する個人データのみ対象となっているが、６か月以内に消去することとなる個人データも同様に請求に応じることとする。

利用目的の特定

もともと丁寧に対応していればこのような運用とな第三者から提供を受ける個人データを、提供元がるところ、EUから個人データを移転するような企業特定した利用目的の範囲内で、利用することとする。 においては丁寧な対応をしていると想定され、影響は大きくない。

日本から外国への個人データの再移転

提供先の事業者における体制整備を根拠として、外国へ個人データを移転する場合には、契約等により個人情報保護法と同等の保護を確保することとする。

匿名加工情報

匿名加工情報として扱う場合、加工方法に関する情報を削除することにより、何人にとっても再識別を不可能とする。

また、そもそも６か月以内に消去することとなる個
人データがわざわざEUから移転されてくることは想定しにくい。

もともと丁寧に対応していればこのような運用となるところ、EUから個人データを移転するような企業においては丁寧な対応をしていると想定され、影響は大きくない。
仮IDを付与しての時系列分析を行うことはできな
くなるが、現時点において、EUから移転した個人
データとの混合分析について強いニーズがあるとは考えにくい。
今後欧州の産業界とも連携して、保護と利活用の適切なバランスの実現に向けて欧州委員会と協議していく予定。

個人情報保護法第24条の外国指定に係る判断基準① 個人情報保護法上の個人情報取扱事業者の義務に関する規定に相当する
規定・コンプライアンス態勢があること。
② 独立した第三者機関があること、また、法令を執行することができる態勢を確保していること。
③ 相互の理解、連携及び協力が可能であること。
④ 個人情報の保護を図りつつ相互の円滑な移転を図る枠組みの構築が可能であること。
⑤ 我が国としてその国・地域を指定する必要性が認められること。

※ 個人情報保護委員会は、指定した外国に対して、レビューや取消しを行うことができる。

37

（参考）EUデータ保護機関との対話
直近1年間におけるEU（EEA参加3か国を含む）データ保護機関との対話○2017年1月31日

フランス（CNIL）○2017年11月20日 ギリシャ

○2017年2月2日

オランダ○2017年11月22日 イタリア

○2017年2月3日

イギリス（ICO）○2017年11月22日 マルタ○2017年3月7日

ポーランド（GIODO）○2017年11月24日 アイルランド○2017年3月8日

ドイツ（BfDI）○2017年12月4日

スロバキア○2017年4月11日

イギリス（ICO）○2017年12月5日

ハンガリー○2017年5月11日

ベルギー（CPP）○2017年12月7日

スロベニア○2017年5月17日

ルーマニア○2018年1月10日

フランス（CNIL）○2017年5月22日

スぺイン○2018年1月17日

フィンランド○2017年5月23日

ポルトガル○2018年1月19日

エストニア○2017年6月14日

オーストリア○2018年1月22日

スウェーデン○2017年6月15日

チェコ○2018年1月24日

デンマーク○2017年6月16日

ルクセンブルク○2018年3月16日

オーストリア○2017年10月19日 ブルガリア○2018年3月19日

アイスランド○2017年10月20日 クロアチア○2018年3月19日

ドイツ・ニーダーザクセン州○2017年11月2日

ラトビア（DSI）○2018年3月20日

ドイツ・バイエルン州○2017年11月3日

リトアニア（SDI）○2018年3月21日

ノルウェー○2018年3月23日

リヒテンシュタイン

38

39（参考）欧州議会LIBE委員会議員団の来訪（2017年10月～11月）
来日の目的
欧州委員会によって日本に対する十分性の認定に向けた検討（相互認証に向けた日EU間の対話）が進められていることを受け、同検討の妥当性（意見具申の要否）を見極めるべく、日本における個人情報保護の状況を視察することが主目的。あわせて、ロボット開発やサイバーセキュリティに関する取組についての視察も目的とする。

議員団の構成（出身国）

×2
英国

×2
ドイツ

ポーランド

フランス

ポルトガル

ルーマニア

スケジュール2017年10月31日【午前】個人情報保護委員会との会談【午後】産業界代表（経団連）との会談
国会議員との会談

2017年11月1日
2017年11月2日【午前】個別企業訪問【午後】学術研究者との会談
消費者団体との会談【午前】総務省との会談【午後】個別企業訪問
経済産業省との会談

結果
特に日本の事業者における個人情報保護の取組に感銘を覚えた様子（ある議員からは「次はブリュッセルで産業界代表と議員団との意見交換を実施したい」との希望が示されたとのこと）。
また、ある議員は、「very promising」といったポジティブな表現をもって個人情報保護委員会との会談を紹介。

7

40

GDPR
○ 「データ保護指令」に基づく各国法に代わり、2018年5月25日からは「一般データ保護規則」（GDPR:
General Data Protection Regulation）がEU加盟国（及びEEA協定に基づきEU法の適用を受ける
アイスランド、リヒテンシュタイン、ノルウェー）に直接適用される。
【事業者の義務の例】
GDPR

個人情報保護法取扱い禁止

取得と提供には本人の事前同意が必要

全ての個人データが対象

6ヶ月以上保有の個人データのみ対象

データポータビリティの権利

認められる

開示請求権あり

データの取扱いの記録義務

全ての取扱いが対象

第三者提供時のみ対象

データ漏えい時の監督当局への通知義務

リスクをもたらす可能性が高い場合には72時間以内に通知する義務

委員会告示等に従い報告する努力義務
ただし、時間制限の規定なし

次の場合に任命義務あり

任命義務なしセンシティブデータ
アクセス権

データ保護オフィサー●定期的かつ体系的な大規模監視を必要とする場合●大規模のセンシティブデータを処理する場合

ただし、従業者の監督義務や安全管理措置を講じる義務あり【EU域外の事業者にも適用される可能性：域外適用】
 EU域内の個人に向けた商品/サービスの提供
 EU域内の個人の行動監視（追跡）※言語・通貨・消費者への言及等の事情によりEUに対する商品/サービスの提供の意図が明白か否かが基準に伴う個人データの取扱いに対しては、EU域外所在の事業者についてもGDPRが適用される【違反時の制裁金】
 最大2,000万ユーロまたは全世界年間売上高の４％の制裁金

委員会ウェブサイトにおけるGDPR情報の提供
アクセスは委員会ウェブサイトトップページから

トップページ右のバナーからGDPR情報ページへ！

41

委員会ウェブサイトにおけるGDPR情報の提供
個人情報保護委員会ウェブサイト GDPR情報提供ページのコンテンツ一覧【GDPRの概要】【EU域外適用に関する影響】○ JIPDECのGDPR本文日本語仮訳掲載ページへのリンク○ GDPRガイドラインの日本語仮訳（データポータビリティ、データ保護オフィサー（DPO）、主監督機関及びデータ保護
影響評価（DPIA）の4本） （その他のガイドラインも順次日本語仮訳を掲載予定）○ 説明と欧州委員会がWebサイトに掲載している資料の日本語仮訳付き
・ 欧州委員会 Infographic（中小企業向けに簡単にまとめられたGDPR説明の日本語仮訳付き）
・ Fact Sheet “Questions and Answers – Data protection reform package”（欧州委員会のGDPRによるデータ保護改革案についての質疑応答概略の日本語仮訳付き）【越境データ移転】○ EU域内から域外へ個人データを移転する条件○ EUが十分なレベルの個人データ保護を保障している旨決定している国・地域【日EU間の越境データ移転】○ 我が国から個人データを越境移転する条件○ 日EU間の対話実績【参考（外部サイトへのリンク）】○ 欧州連合 法令関連公開サービスのGDPRページ○ 欧州委員会のGDPRガイドラインとそのQ&A○ 欧州委員会のData Protection Reform - Factsheets 16 Jan 2017（EU加盟国の各国語）○ 英国情報コミッショナーオフィス（ICO）のGDPR解説○ フランス情報処理と自由に関する国家委員会（CNIL）の処理者向けGDPR解説○ ルクセンブルクデータ保護機関のGDPRに関するQ&A○ アイルランドデータ保護機関のGDPR解説

42

GDPRに関するガイドライン
29条作業部会によって公表されたGDPRのガイドライン（一部は日本語仮訳をウェブページに掲載済・その他も準備が整い次第掲載予定）【パブリックコメントを受けた修正版が公表済のもの】○ データ保護影響評価

4月25日日本語仮訳掲載開始○ データポータビリティ

4月25日日本語仮訳掲載開始○ データ保護オフィサー

4月25日日本語仮訳掲載開始○ 主務監督機関

4月25日日本語仮訳掲載開始○ 制裁金○ 個人データ漏えい通知○ 自動化された意思決定とプロファイリング
○ 透明性
○ 同意
【パブリックコメントが終了したもの】○ 第49条 ＜十分性認定、特定の安全保護措置以外の越境移転事由＞○ 認証機関の認定

43

APEC

越境プライバシールール(CBPR)システム

 CBPRシステムは、APEC参加国・地域において、事業者のAPECプライバシーフレー
ムワークへの適合性を認証する仕組みであり、事業者の個人情報保護の水準を国際的に判断するための有効な仕組みである。
 改正個人情報保護法においては、外国にある第三者への個人データの提供が認められる例として、CBPRの認証を得ていることをガイドラインで示している。
 平成28年1月には、APEC CBPRシステムの認証団体（アカウンタビリティーエージェント）として我が国で初めて一般財団法人日本情報経済社会推進協会（JIPDEC)が認定されており、日本はCBPRシステムのAPEC地域での普及・推進に取り組んでいるところである。
 平成28年12月には、JIPDECが日本におけるCBPR の認証企業第１号としてイン
タセクト・コミュニケーションズ株式会社を認証した。
 平成29年度は、国内外で説明会を計138回開催し、約10120名参加。
同29年4月～12月において、国際的なセミナーにおいてCBPRに関する
プレゼンテーションを計11回行い、約800名が参加。

44

（参考）国際的な枠組みへの参加状況
APEC

ブルネイ
中国 インドネシア マレーシア
パプア ニューギニア ロシア タイ
チャイニーズ・タイペイ
ベトナム
ペルー

チリ
オーストリアデンマーク

APEC
CBPR カナダ
シンガポールAPPA
マカオ

平成30年3月末時点

OECD
フィンランドギリシャ
アイスランド
ラトビア
ポルトガル
スロバキア
スウェーデン

ベルギー
チェコ
エストニア
日本
フランス
メキシコ
ドイツ
韓国
ハンガリー
米国
アイルランドイスラエル
オーストラリアイタリア
ニュージーランド
ルクセンブルグオランダ ノルウェー
ポーランド
香港
スロベニア
フィリピン
スペイン
イギリス
スイス
コロンビア
トルコ
ジブラルタル
モロッコ
ジョージア
リトアニア
ウクライナ
ガーナ
マケドニア
アルバニア
ガーンジー マルタアルゼンチン マン島
アンドラ
モーリシャスアルメニア
ベナン
ジャージー モルドバ
ブルガリア
コソボ
モナコ
ＥＵ
ボスニア・ヘルツェゴビナ
ブルキナファソ

GPEN

ICDPPC

カーボベルデ
コスタリカ
欧州評議会
クロアチア
キプロス
インターポール
リヒテンシュタイン
マリ
モンテネグロ
ルーマニア
セルビア
セネガル
チュニジア
南アフリカ
ウルグアイ

45

国際的な枠組みへの参加○2016年5月
グローバルプライバシー執行ネットワーク（GPEN） 正式メンバー○2016年6月
アジア太平洋プライバシー執行機関（APPA） 正式メンバー○2017年6月
欧州評議会個人データの自動処理に係る個人の保護に関する条約（条約第108号）諮問委員会への当委員会のオブザーバー参加○2017年9月
データ保護プライバシー・コミッショナー国際会議（ICDPPC) 正式メンバー

46