個人情報保護法
いわゆる３年ごと見直し 制度改正大綱に対する意見
2020 年 1 月 14 日
個人情報保護委員会事務局（３年ごと見直し担当）御中
郵便番号 150-0013
住所 東京都渋谷区恵比寿 4-4-5 第 3 伊藤ビル 603
名称 一般社団法人モバイル・コンテンツ・フォーラム
常務理事 越智 政人
電話番号 03-5449-6409
電子メールアドレス info@mcf.or.jp【総論】
保護と利活用のバランスが重要とされているが、今回の制度改正大綱では規制強化が主となっており、利活用に資するものはほとんど見当たらない。また、技術的側面、社会的側面の急激な変化に柔軟に対応するための共同規制の枠組みや事業者の自主的取組を支援するための実効的な制度の在り方には言及されておらず、むしろ監督官庁による直接的な規制が強化されている。さらに、国際的な制度調和についても、欧米の制度設計の潮流を思慮したうえのものではなく、表面的、形式的な対応であり、むしろ根本的な方向性においては乖離が大きくなっているのではないかと危惧される。
枝葉末節に捕らわれた個々の事象に手当てするような改正は制度の複雑化に繋がり、結果として個人、事業者双方の予見可能性が低下し、本質的な個人情報保護の理解を毀損することとなりかねない。制度改正においては、大所高所から俯瞰し時代に即したものとなるよう、改めて根本的な個人の権利利益と経済成長の在り方や方向性を示したものとなるよう以下の通り要望する。
１．大綱でも指摘されている変化の激しい不確実性の高いデータ社会において、一律的な規制では、ローラグが発生するとともに、高度な利用形態に対応することが益々困難となっていくことが考えられる。このような課題に対応するための方策として、法的安定性と柔軟性を両立した共同規制スキームを導入すべきであると考えられるが、今回の大綱では、このような流れに逆行するような方針が見受けられるため見直しを求める。
２．仮名化情報（仮称）や提供先において個人データとなる情報の取扱い等、新たな規制は、日本が提案した理念である Data Free Flow with Trust（信頼ある自由なデータ流通）を実現するための方策として位置付ける必要があると考える。それにも関わらず、仮名化
情報を非常に狭い自社内での利用ニーズに限定したり、情報を利用する側ではなく提供側に困難な義務を与えたりすることには反対する。日本独自の情報の分類、企業内部のデータ利用主体の分割、データ流通における信頼関係構築の阻害等は個人情報の運用に大きな混乱を及ぼす可能性が高いと考えるため見直しを求める。
【個別検討事項】
１）
「要件」
「範囲」
「緩和措置」「例外」「困難な場合」「個人の権利利益の侵害を念頭の“念頭”」
「一定」
「適正」
「不適切」「明らかな」など具体的には不明な表現が多く、内容によっては個人、事業者のいずれにとっても負荷が大きくなりすぎたり、実効性が失われたり、本来の法の趣旨が失われるなどのおそれがある。
技術、社会が急速に変化する中で、個人の権利利益と利活用のバランスへの対応を適時に行えるようにするために、官民による共同規制の枠組みとして認定個人情報保護団体の活用を推進することされており、前述の具体的な内容については、認定個人情報保護団体等の活用によって官民で連携する共同規制スキームを要望する。
１．利用停止、消去、第三者提供の停止の請求に関わる要件の緩和
・個人の権利利益の侵害がある場合を「念頭」
・要件を「緩和」し、個人の権利の「範囲」を広げる
・本人の権利利益を保護するため必要なこれに代わる措置を取る場合は、請求に応じないことを「例外的」に許容する
２．開示請求の充実
・当該方法による開示に「多額」の費用を要する場合その他の当該方法による開示が「困難」である場合にあっては、書面の交付による方法による開示を認めることとし、その旨を本人に対し通知することを義務付けることとする
３．漏えい等報告の義務化
・報告が義務付けられる「「一定」数以上の個人データ漏えい、要配慮個人情報の漏えい等、「一定」の類型」
４．適正な利用義務の明確化
・「適正」とは認めがたい方法
５．提供先において個人データとなる情報の取扱い・提供先において個人データになることが「明らかな」情報
２）開示請求の充実における「原則として、本人が指示した方法により開示するよう義務付ける」は、きわめて膨大な方法に対応しなければならないこととなり、例えばファイル

形式などで対応しなければならないソフトウェアが膨大になる、提供媒体（CD、USBメモリー、ファイル転送サービス、メール、郵便等）が膨大になる等によって事業者の負担が大きすぎる。事業者が、電磁的記録の提供を含め、社会通念上合理的な開示方法を複数指定することを義務化する等に変更するのはどうか？
３）オプトアウト規制の強化
名簿屋対策についての規制強化の必要性は認めるが、その方法として一般の事業者のデータ流通にまで必要以上の規制とならないよう要望する。
特に、「オプトアウト規定に基づいて本人同意なく第三者提供できる個人データの範囲をより限定していくこと」となった場合、事前に通知しているデータであっても提供できないとなれば、オプトアウト規定そのものが無意味になる。
問題の所在は、違法な取得、違法な第三者提供、記録確認義務の不履行などにあり、こちらの取り締まりを強化せずにデータ流通を規制することで対処するのは本末転倒である。
４）第三者提供時の確認記録義務の開示義務化
オンラインでの継続的な第三者提供の場合、すべての記録となると膨大なログデータからの抽出と、場合によっては膨大な本人データの開示となる恐れがある。最新の記録でよいなど、一定の条件設定が可能であるべき。
５）漏えい等報告の義務化「委員会又は権限委任官庁への提出に限定する」ことに反対する。
認定個人情報保護団体に適時に情報が入らず、本来あるべき役割が果たせなくなり、事業者が加入するインセンティブが著しく損なわれることとなる。このような、民間の取り組みを促進する認定個人情報保護団体を排除するようなスキームには反対する。
６）認定個人情報保護団体制度の多様化「特定の事業活動に限定した活動を行う団体を認定できるよう制度を拡充すること」
は、消費者目線で見た場合、問合せ窓口が狭くなるだけである。
本来、個人情報保護は企業が全社で総合的、統一的に行うべきものであり、責任の所在が矮小化される恐れが生じる。
７）「仮名化情報（仮称）」の創設
・個人情報の類型がさらに増えることが良いのか検討すべき。国際的な整合性を取るうえでも、匿名加工情報の在り方、個人情報の範囲を含めて再整理すべきではないか？

・仮名化情報が企業内だけのものであると定義した場合、第三者提供されるものは、これまで通り提供元基準により「個人データ」として同意を取ったうえで、提供先では「特定の個人を識別できない情報」として個人情報保護法の範囲外でよいと考えられる。もし脚注 6 の解釈が、提供先でも「仮名化情報」であれば、さらなる第三者提供においては「個人データ」として同意を取得することは事実上不可能であるため、データマーケットや広告事業の大半が事実上不可能になる。
このように解釈が複雑化するような制度の在り方は、かえって事業者の萎縮を招くことになる。したがって、パッチワークのような後付け改正ではなく、根本的な制度設計を検討すべきである。
８）提供先において個人データとなる情報の取扱い・「提供元では個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する」場合、あくまでも提供を受けた側が「個人情報の取得」の規律に対応するのが大前提である
ところ、このような規定を置いた場合、いつ、どこで「個人データ」になるかが事実上わからないデータマーケットや広告事業において委縮することが想定される。
・この規定が個人データの第三者提供に当たらないような脱法対策であるなら、同意を得ずに、第三者に個人データを取得させることを目的とした手法を禁止すべきである。データの利活用を阻害するような規定は避けるべきである。
９）ペナルティ、課徴金制度・ペナルティの強化、課徴金制度の創設は、まじめに個人情報の保護に取り組むことにインセンティブを与えるために一定程度必要であると考えられる。しかしながら、十分に注意を払っていても予期せぬ事故は起こりうるものでもあり、そのような場合にも一律に厳しい制裁を科せられとなるとデータ利活用が阻害されることとなる。
一方的な規制とならないよう、官民の共同規制スキームの中で、慎重に検討を進めることを要望する。