自主規制の枠組みを活用した
パーソナルデータ利活用と保護の提言

2014 年 6 月
アジアインターネット日本連盟(AICJ, Asia Internet Coalition Japan)

本資料は、AICJ が株式会社野村総合研究所に委託して実施した調査研究に基づくもの
である。

目

次

概要（Executive Summary） .......................................... 1
１．パーソナルデータ利活用と保護に求められる規制のあり方 ........... 3
１－１．規制類型
１－２．自主規制と直接規制のメリット/デメリット
１－３．パーソナルデータの特性を踏まえた規制枠組みの選択

２．実効性のある自主規制スキームと先行事例の分析 ................... 7
２－１．自主規制スキームの類型
２－２．先行事例
２－３．マルチステークホルダープロセスの活用

３．第三者機関の建て方に関する経済性の考察 ........................ 20
３－１．推計ロジック
３－２．推計結果
３－３．推計に用いた資料

４．結論 .......................................................... 26

付属資料・有識者ヒアリング結果
・パーソナルデータ検討会提出資料（2014 年 5 月 20 日）

概要（Executive Summary）
ビッグデータ活用によるイノベーション推進、及びその中心に位置づけられるパーソナ
ルデータ利活用は、我が国の経済成長戦略に位置づけられる重要なテーマである。しかし、プライバシー保護に対する規律がないと、産業の健全な成長を阻害することになりかねない。このため政府では、パーソナルデータの利活用に関する制度改正に当たって、新たにプライバシー保護のための第三者機関の設置や民間主導による自主規制ルールのあり方が検討されている。
本提言では、直接規制と自主規制のメリット・デメリットを比較し、パーソナルデータ
利活用と保護には、自主規制が現実的な選択であることを示すとともに、自主規制の実効性確保のための方策を、国内外における先行事例をもとに整理した。また、第三者機関設立にかかるコストについて、米国、EU の事例をもとに考察を行った。
（パーソナルデータ利活用と保護に求められる規制のあり方）一般にある産業に対する規制を考える際、公的機関が法的な根拠を持って規制を行う直接規制が想起されやすい。一方で、技術の進歩の速さや対応する問題の複雑さなどから、
特に情報通信産業においては自主規制に規律を委ねられている場合も少なくない。直接規
制、自主規制は、それぞれにメリット、デメリットが有り、規制形態は、対象の特性に応じて適切に選択する必要がある。
パーソナルデータ利活用分野は、次に掲げる経済性、専門性、迅速性の３つの視点から
直接規制のみで対処するのは現実的に困難であり、自主規制を活用した運用を模索する必要がある。
・ 経済性の視点：規制対象となり得る事業者が多種多様で、かつ相当数にのぼること、消費者保護への対応が求められることからルールの運用に大きなコストを要する。
・ 専門性の視点：新興で、高い専門性が求められる分野で、官民における情報の非対称性が大きいため、民間の高度な専門知識・経験が必要。
・ 迅速性の視点：技術やビジネスの変化が著しく、ルール作成・見直しを迅速に行う必要がある。
しかし、民間が主導して実施する自主規制は、「事業者に都合のよいルール策定・運用がなされる可能性がある。」「身内である事業者に対し、実効的な執行を行えない可能性がある。」「自主規制に参加しない事業者が出る。」のように、「中立性」や「執行性」に構造的な課題が存在する。これらの課題を克服し、自主規制の実効性を確保するための仕組みが不可欠である。
1

（実効性のある自主規制スキームと先行事例の分析）
国内外における自主規制の先行事例を調べると、実効性を確保するために、主務官庁による一定程度の関与が、自主規制の枠組みの中に取り入れられているものが多く、直接的、間接的に行政機関の影響力が確保されている。
また、マルチステークホルダープロセスを活用し、中立的で透明なルール作成を指向している事例も少なくない。
さらに、パーソナルデータの利活用における法制度が不明確な領域、いわゆる「グレーゾーン」を自主規制ルールで明確にし、これに従うことによって、データ活用を公然と実施できるようにして、事業者が自発的に自主規制に参加するというインセンティブ付けを指向している事例も見られた。
また、自主規制は、民間事業者の創意工夫を尊重する米国だけでなく、第三者機関を中心とする直接規制によってパーソナルデータ保護を推進している欧州連合（EU）においても、第三者機関が積極的に関与する態様で、自主規制スキームが活用されていた。我が国でもオンライン広告などの分野で自主規制が機能している事例がみられた。
（第三者機関の建て方に関する経済性の考察）
我が国において新たにプライバシー保護の第三者機関を設立する場合に必要となる人員や予算規模を、米国、EU 構成国（英国、仏国）それぞれの第三者機関をモデルにして類推し、経済性の観点から考察を行った。
この結果、自主規制を主体として当該規制が機能しない場合に公的機関が執行するという米国モデルを採用した場合と、直接規制を中心とした執行を行う EU モデルを採用した
場合とでは、第三者機関に必要となるコスト、すなわち経済性に約２．５倍の差が確認された。

2

１．パーソナルデータ利活用と保護に求められる規制のあり方1
一般にある産業に対する規制を考える際、公的機関が法的な根拠を持って規制を行う直接規制が想起されやすい。
しかし、技術の進歩の速さや対応する問題の複雑さなどから、特に情報通信産業においては自主規制が積極的に用いられてきているという傾向が指摘されている。ただし、身内に対して実効的な規制が及ぼせていない場合が存在するなど、こうした自主規制の限界が指摘されていることも事実であり、パーソナルデータの活用を含む情報通信産業に対する望ましい規制の在り方は、議論の途上であり、一概に直接規制あるいは自主規制が優れていると断じることは難しい。
そこで本章では、一般的に情報通信産業の規制にはどのような類型があるかを整理し（１－１）、それらのメリットとデメリットを整理したうえで（１－２）、パーソナルデータを活用したビジネスの特徴から、どのような規制類型が望ましいかを検討する（１－３）。
１－１．規制類型
一般に、情報通信産業の規制枠組みについては、４つのパターンが存在するといわれる。
すなわち、①規制なし、②自主規制、③共同規制、④直接規制の４つであり、これは英 Ofcom（Office of Communications, 情報通信庁）の分類による。
「規制なし」とは、まったく法的あるいは民間が主体となった規制を必要としない枠組
みであり、おおむね市場の自律性に委ねることで適切な規律が行われている状態に用いられる。次に、「自主規制」とは産業界が集合的に市民・消費者問題やその他の規制方針に対する解決策を管理するが、事前の明確な法的補強が存在していない枠組みを指す。「共同規制」とは、自主規制に法的な補強が存在している場合であり、公的機関と産業界が特定の問題に対する解決策を共同で管理する枠組みを指す。最後に、「直接規制」とは規制が法律
や政府、規制者によって定義されており、公的機関の執行が担保されている枠組みを指す。
現在日本では、たとえば匿名化されたデータの販売が現行法上必ずしも違法と言えないにもかかわらず、事前の承諾を得なかったことなどを理由に消費者から当該事業者に多数の抗議が寄せられる事態等が生じており、市場の自律性に委ねることで適切な規律が行われている状態とは判断し難い。そのため、①の「規制なし」は本稿では検討の対象外とする。
次に、共同規制については、先に述べたとおり自主規制に法的補強が加えられた類型であるから、自主規制の一類型として取り込むこととした。
以上から、プライバシー保護の規制枠組みとして、自主規制、直接規制の２類型を検討することとする。
1

本章は、生貝直人「情報社会と共同規制」、原田直樹「自主規制の公法学的研究」、及び両氏へ
の聞き取り調査の結果を参考に記述している。

3

１－２．自主規制と直接規制のメリット/デメリット
自主規制と直接規制のどちらがパーソナルデータ活用ビジネスの規制枠組みとして望ましいか検討する準備として、両者の比較検討を行う。比較項目としては、①ルールの策定・運用主体、②中立性、③経済性、④執行性、⑤専門性、⑥迅速性を取り上げる。
まず①ルールの策定・運用主体であるが、１－１で述べた通り、自主規制ではこれらは民間が主導して実施され、民間で完結するか、あるいは民間で規制しきれない場合に公的機関が直接執行を行うことなどで補足する枠組みである。他方、直接規制ではルールは法律または公的機関のガイドラインなどで規定され、執行についても公的機関が担うことになる。
次に②中立性について。自主規制はルールの策定・運用についても民間の組織（業界団体など）によって行われるが、身内の集まりである民間組織がどこまで消費者の求める水準のルール策定を行えるのか、逆にいえば自らにどこまで厳しいルールを課すことができるのか、また、ルールの執行をどこまで厳格に行えるのか、疑問が呈されている。すなわ
ち、自主規制はルールの策定・運用が事業者や消費者双方から独立した、中立的な公的機関によって行われる場合と比べて中立性が十分担保されない可能性がある。ただし、こうした自主規制の欠点は、ルール策定や運用に一定程度公的機関やその他のステークホルダ
ーを巻き込み、事業者を牽制することで補うことができるため、決定的ではない。
③経済性については、特に公的支出の観点から 2 つの類型でかなり差異が生じる。すな
わち、規制を民間が担う自主規制では民間がコストを負担するため、公的機関の担保がない場合には公的支出は全く生じず、また仮に公的機関が補充的に執行を行う場合であっても、公的支出は比較的限られる。他方、直接規制は行政機関が規制対象がルールを履行しているか否かを監視するコストや、違反を発見した際に是正するコストなどを負担することとなり、公的支出は自主規制に比べて大きく増加する。特に、監督対象の数が多い業種（たとえば貸金業など）や消費者問題を扱う業種では、履行状況の監視にかかる手間や処理すべき事案が多数にのぼり、それにともなって公的機関に多数の人員を抱える必要があり、莫大なコストを要することとなる。
④執行性については、直接規制は規制の実施主体である公的機関は規制対象から完全に分離しているため、中立的な立場で実効的な規律を及ぼすことができる。他方、自主規制
は事業者自らが執行を行うため、身内である他の事業者に十分な規律を及ぼせるか疑問が残る。ただし、公的機関の直接執行の可能性を残したり、執行を行う自主規制機関に他のステークホルダー（公的機関や消費者、有識者などの第三者）を入れることである程度実効的な執行を担保することができる。
⑤専門性については、公的機関は実際の運用者ではなく、また人事異動なども頻繁であるため、一般的に直接規制は高い専門性を持ちづらい傾向にある。もっとも、人員を固定する、外部のリソースを積極的に活用するなどして専門性を持たせることは不可能ではない。他方、自主規制であれば当該業界の業務に従事している高い専門性を持つ事業者が直4接ルールの策定・運用を行うため、高い専門性を持ちやすい傾向にある。
最後に、⑥迅速性について。直接規制を採用して公的機関がルール策定・運用を行う場
合には、公的機関に高い説明責任が求められるため、一般に自主規制に比べて手続きが煩雑になり、迅速性は自主規制に比べて劣ってしまう傾向がある。
以上をまとめると、下記の表のようになる。直接規制は事業者や消費者の利害から独立した公的機関が行い、また公的機関の執行力は中立かつ高い強制力を持つため、中立性や執行性に優れる。他方、公的資金支出を伴うため経済性は相対的に低く、一般に手続きが遅いため迅速性に欠ける懸念がある。また、専門性についても、自主規制に比べて劣っている点は否めない。
他方、自主規制は民間事業者に運用が委ねられるため、身内である事業者自身に不利なルールの策定や運用が行えるかといった、中立性や執行性については何らかの手当てが必要であると思われる一方、規制にかかるコストは事業者が負担するため経済性に優れるほか、専門性、迅速性に優れている。
このように、直接規制と自主規制はメリット/デメリットがあるため、規制対象の特性を踏まえて最適な規制枠組みを選択していく必要があると考えられる。

図表 直接規制と自主規制のメリット/デメリットの比較

概要

メリット/
デメリット

直接規制

自主規制

ルールの策定・運用（執行）

公的機関（政府/規制者）が実施

民間が主導して実施（公的機関が補完）

中立性○
事業者、消費者双方から独立し、中立的な立場から規制を実施可能△
政府等による牽制機能が働かないと、事業者に都合のよいルール策定・運用がなされる可
能性がある

経済性（政府視点で見たコストの大きさ）×
規制対象によるが、一般的には大きい○
民間の自主的な取り組みであり、政府の支出は小さい

執行性○△
強制力を持ち、事業者から中立的な観点で執 身内である事業者に対し、実効的な執行を行行ができる
えない可能性がある。

専門性△
新興分野、高度な専門性を要求される分野では、知識・経験が不足しがち○事業に精通した人員を抱え、高い専門性を有する

迅速性

×
所定の手続を踏まえる必要があり、遅い○
臨機応変に対応が可能

出所）生貝直人「情報社会と共同規制」、原田直樹「自主規制の公法学的研究」等をもとに作成。

5

１－３ パーソナルデータの特性を踏まえた規制枠組みの選択
それでは、本稿で検討対象となっているパーソナルデータを利用する事業については、
どのような特性があるだろうか。
第一に、ルールの運用に高いコストがかかる点があげられる。本事業は、インターネッ
ト上で事業活動を行う事業者が多数参加することが想定され、こうした多種多様で、かつ相当数にのぼる事業者を監視するためには大きなコストが必要になる。また、苦情や紛争の処理など、消費者保護への対応が求められるため、消費者対応についても相当数の人員が必要となり、大きなコストが必要になる。すなわち、公的機関が主体となって規制を行うことは莫大な追加コストを要するため、現実的に困難であると言わざるを得ないであろう。
次に、高い専門性が求められる。パーソナルデータを用いたビジネスは複雑な内容のクロス解析や複雑な経路・加工プロセスをたどってのデータの授受等が発生する事業であり、その規制には高い専門性が求められる。そのため、当該ビジネスの実態に関する深い理解が必要であるが、そうした専門性は実際に事業に従事している事業者に委ねるほうが望ましいと言える。
最後に、迅速性が求められる。パーソナルデータを用いたビジネスはアルゴリズムの進歩やデータの処理能力の向上などにより日進月歩で進んでおり、実際に事業に携わっている事業者でなければ、規制が必要とされる範囲・内容等を十分に知ることが難しい。
経済性、専門性、迅速性が求められるパーソナルデータ利活用の特徴を勘案すると、自主規制がより望ましいといえよう。
１－４ パーソナルデータの自主規制に関する課題
１－２で述べたとおり、自主規制には「中立性」や「執行性」については何らかの手当てが必要であると言えるため、これらを克服する制度設計、たとえばルール策定や運用に一定程度公的機関やその他のステークホルダーを巻き込む、あるいは直接執行の可能性を担保することで事業者へのけん制機能を持たせる等の措置が求められる。
また、自主規制は自由参加を基本とするため、こうした枠組みに参加しない事業者をどう規制するのか、という観点も重要である。

6

２．実効性のある自主規制スキームと先行事例の分析
前章でみたように、パーソナルデータ利活用と保護は、経済性、専門性、迅速性の観点から、直接規制中心の運用は現実的に困難であり、自主規制を活用した運用を模索する必要がある。
本章では、自主規制の課題を克服して機能するスキームを提示し、国内外における先行事例をみながら、その運用に求められる要点を確認する。また、自主規制のルール作成及び運用体制構築のための手法：マルチステークホルダープロセスの活用法について考察する。
２－１．自主規制スキームの類型
公的機関が実施する直接規制と異なり、民間が主導して実施する自主規制は、その実効性をどのように確保するかが構造的な課題として認識されている。前章で整理した視点を用いると、「中立性」及び「執行性」の課題である。
・事業者に都合のよいルール策定・運用がなされる可能性がある。
・身内である事業者に対し、実効的な執行を行えない可能性がある。
・自主規制に参加しない事業者が出る。
すなわち、中立性や執行性の課題を克服することができれば、実効性のある自主規制の実現に近づくことができる。
中立性や執行性の確保には、自主規制といえどもルール作成や運用に当たって、主務官
庁による一定程度の関与が必要となる。あるいは、後述するマルチステークホルダープロ
セスの活用も考えられる。これにより、事業者の一方的なルール策定を抑止し、法制度や社会規範との整合、消費者の保護といった社会全体に適切なルール作りが期待される。
また、民間事業者が自主規制に自発的に参加するためのインセンティブ付与も重要である。パーソナルデータの利活用には法制度が不明確な領域、いわゆる「グレーゾーン」が大きいため、民間事業者を萎縮させ、データ活用が停滞していたと言われている。このため、グレーゾーンを自主規制ルールで明確にし、これに従うことによって、データ活用を公然と実施できるようにすれば、事業者は自発的に自主規制に参加するという効果が期待される。
この実効性確保に向けたアプローチは、主務官庁による行政指導の一環として実現する手法（オプション１：間接的な法的根拠により実現する手法）と、自主規制を法制度の中に明示的に位置づけて実現する手法（オプション２：直接的な法的根拠に基づき実現する手法）との２種類に区分される（次図表）。
7

図表 実効性のある自主規制スキーム像

主務官庁／第三者機関

オプション１：
間接的な法的根拠により実現• 助言• 直接執行免除

自主規制機関

• 参加
• 遵守

• 監督
• 直接執行オプション２：
直接的な法的根拠により実現

• 監督
• 執行

自主規制ルールに参加する事業者

不参加
事業者「オプション１：間接的な法的根拠によって実現」とは、法令上で自主規制を明文化せず、主務官庁や第三者機関が策定する指針やガイドライン、あるいはスタッフレポートといった資料を参考に、民間事業者が自主的に従うルールを作成・運用する場合を想定している。自主規制の実効性は、マルチステークホルダープロセスや、同プロセスへ主務官庁
や第三者機関が事実上関与するといった方法で確保が図られる。
「オプション２：直接的な法的根拠により実現」とは、法令上で自主規制機関を指定したり、自主規制ルールを認定したりする規定を盛り込む場合を想定している。主務官庁や第三者機関が自主規制機関やルールを承認することに加え、取り消す権限を保持すること
で、自主規制の実効性が確保される。
オプション１と比べ、実効性は高まるメリットがある一方で、主務官庁や第三者機関の関与が強いために、ルールの策定・変更に係る承認手続や調整に時間がかかるなど、民間ビジネスの自由度が損なわれてしまうというデメリットに留意が必要である。
いずれのオプションにおいても、自主規制機関が複数存立することは、多様性を確保し、適者が生存する競争原理を機能させる観点から好ましいといえる。そして市場から支持される自主規制があれば、「不参加事業者」は自ずと淘汰される。すなわち、主務官庁や第三者機関による直接執行という歯止めがある限り、不参加事業者を許容する仕組みにすることは、よりよい自主規制の実現に寄与するともいえる。

8

２－２．先行事例
本節では、実効性のある自主規制スキームの国内外の先行事例をみていく。
米国の事例として、「モバイルアプリの行動規範」作成と「オンライン広告のオプトアウ
トルールの運用」を取り上げる。米国におけるパーソナルデータの保護は、自主規制を中心とした運用が行われている。これは、民間事業者の創意工夫を尊重し、パーソナルデー
タビジネスにおけるイノベーションを阻害しないように配慮していることによる。
欧州連合（EU）の事例としては、「RFID 利用のプライバシー・データ保護影響評価フレームワーク作成」とオランダでの業界ごとの行動規範について取り上げる。EU は、第三者機関を中心とする直接規制によって、パーソナルデータ保護を推進していることで知られているが、自主規制のスキームも巧みに取り入れていることをここでは紹介する。
国内の事例としては、「行動ターゲティング広告ガイドライン」と「APEC 越境プライバ
シールールシステム」について取り上げる。また、国内における異分野の事例として、日本証券業協会における自主規制スキームについても同様に取り上げて考察する。

図表 パーソナルデータに関する自主規制の先行事例

米国

米国

ＥＵ

自主規制の例主体

モバイルアプリの行動規範（Code of Conduct）作成

アプリ開発協会、消費者団体などのマルチステークホルダー

オンライン広告のオプトアウト
ルールの運用DAA（ネット広告の業界団体）

RFIDアプリのプライバシー・
データ保護影響評価のフレー
ムワーク作成RFID関連事業者

オランダ
（ＥＵ構成
国）

データ保護法（EUデータ保護 各業界を代表す指令27条の国内実施法）に基 る団体（金融、製づく業界ごとの行動規範
薬業等）

日本

行動ターゲティング広告ガイド JIAA（ネット広告
ラインの業界団体）APEC加盟国（米国、日本含む）

APEC越境プライバシールール
システム

民間機関（米国
はTRUSTe、日本
は未定）

9

法的基礎

公的機関の関与

間接的

商務省電気通信事業庁（NTIA）
が主導。執行機関（FTC）もオブ
ザーバで参加。

間接的執行機関（FTC）の方針が尊重されている。非公式な相談対応がなされている。

直接的

ＥＵ構成国の執行機関のWG（29条委員会）が、民間作成のPIAフ
レームワークを承認。

直接的

データ保護当局が行動規範の内容を審査・承認。
これまでに18以上の規定を承認。

間接的事業者の自発的取組みとして、総務省の提示した配慮原則も考慮し、ガイドラインを作成。

直接的

APEC各国の公的機関がルールを作成し、さらに執行状況も監視。

事例１： モバイルアプリの行動規範（Code of Conduct）作成
ａ）概要
・ 2012 年 2 月に、米国ホワイトハウスから発表されたレポート2において、プライバシー
保護の為に、マルチステークホルダープロセスを通じてパーソナルデータ活用に関する行動規範を作成・運用することが明示された。これを受け、米国商務省・国家電気通信事業庁（NTIA）は、アプリ開発者、広告事業者、消費者団体、法律事務所、プライバ
シー保護事業者、監督機関などを招集し、「モバイルアプリの透明性のための行動規範」
を一年以上かけて策定した3。
・ 同規範では、モバイルアプリ事業者が、透明性を確保するために、アプリの利用に際して消費者に伝えるべき内容として、収集するデータ要素、データを共有する外部事業者などを具体的に列挙した上で、さらに通知画面のデザイン要素も示している。
・ 同規範は、作成された後も、民間事業者において実運用に向けた検討が継続して行われている。現状では、同規範を運用するための機関は未だ設置されていない。
ｂ）法的基礎・ 間接的な法的根拠により実現している。
・ 消費者プライバシー権利章典や連邦取引委員会（FTC）法 5 条が、事業者に、同規範の遵守を促している。
ｃ）実効性確保のための仕組み
・ 本事例では、ルール策定に当たって、マルチステークホルダープロセスが活用されており、アプリ開発事業者、広告事業者、消費者団体、法律事務所などの多用なステークホ
ルダーが参画することで、中立性が確保されている。また、NTIA という行政機関がコーディネート役を演じていることも、中立性の確保に寄与している。
・ 執行性については、米国では、連邦取引委員会（FTC）法 5 条において、不公正・欺瞞
的行為を幅広く取り締まることができるため、本事例で作成された行動規範の運用も執行対象に含まれる。

The White House "We Can’t Wait: Obama Administration Unveils Blueprint for a“Privacy Bill of Rights” to Protect Consumers Online" February 23, 2012
3 Privacy Multistakeholder Process: Mobile Application Transparency,
http://www.ntia.doc.gov/other-publication/2013/privacy-multistakeholder-process-mobile-ap
plication-transparency
210

事例２： オンライン広告のオプトアウトルールａ）概要4・ IAB(Interactive Advertising Bureau）が 2008 年に公表したオンライン広告に関する
自主規制原則を元に、2009 年 7 月に消費者代表を含む 7 団体が中心となった自主規制原則が公表され、Digital Advertising Alliance (DAA)が設立された。
・ 本連盟は、ウェブサイトにおけるクッキーなどのオプトアウトツールとして、特定のマークをウェブサイトに表示させ、適切なオプトアウト手続きが可能なウェブサイト
への消費者の誘導を行っている（当該マークをクリックすることで手続き用のウェブ
サイトに移行する）。
・ また、BBB(Better Business Bureau)および DMA(Direct Marketing Association)を通じて、消費者からの苦情の収集・あっせんや会員企業の原則の遵守確保を行っている。
ｂ）法的基礎・ 間接的な法的根拠により実現している。
ｃ）実効性確保のための仕組み
・ 本事例では、オンライン広告に関する自主規制原則の履行確保について、DAA を構成する各業界団体を通じて、違反に対する退会等の措置が実施されており、特に、BBB等の消費者団体が苦情申立・あっせんの窓口となることで、実効性を担保している。
・ また、規制機関（FTC）は本スキームが有効に機能しない例外的な場合や、本スキームに加盟していない企業に対して規制を行う。これにより、自主的な執行をけん制している。
図表

DAA の自主規制原則の執行スキーム
DAA
原則の遵守確保※

自主規制原則の周知
オプトアウトツールの提供

4A’s

ANA
各団体の
加盟企業

NAI

消費者

AAF
苦情のあっせん※※

IAB

DMA
BBB

苦情の申し立て※※活動費※※実際にはDAAの原則の遵守確保は、業界団体を通じて実施される※※BBBとDMAのみ苦情の申し立て・あっせんを実施

4

本事例の記述は、DAA ウェブサイトを参照している。
（http://www.aboutads.info/resource/download/OBA%20Self-Reg%20Implementation%20Gu
ide%20-%20Full%20Text.pdf）

11事例３： RFID 利用のプライバシー・データ保護影響評価のフレームワーク作成ａ）概要
・ 電子タグ（RFID）利活用の普及とともにプライバシー侵害への懸念が高まっていたことを受け、欧州委員会は、2009 年に、RFID 利用に関するプライバシー・データ保護
影響評価のフレームワークを、関連するステークホルダーを集めて策定し、さらに EU
データ保護指令 29 条委員会5（以下「29 条委員会」という。
）から承認を得ることを勧告した。
・ 同勧告を受け、RFID に関する民間事業者代表らによる会合がもたれ、RFID による個
人識別が及ぼすプライバシーへの影響を評価し、対処するためのフレームワークが策定された。
・ 同フレームワークは、民間事業者代表らによって原案が作成され、その後 29 条委員会の評価を受け、指摘事項を修正した後、2011 年に承認された。
・ 同フレームワークでは、RFID を利用する場合のプライバシー要件、プライバシーリス
ク、さらにプライバシーリスクへの対処方法が盛り込まれ、具体的に、プライバシー保
護対策の実施手順が規定された。
ｂ）法的基礎・ 直接的な法的根拠により実現している。
・ 法令では無いが、欧州委員会による勧告を受けて作成されたものであり、かつ 29 条委
員会が承認したものであるため、法的根拠があるのと同等と評価される。
ｃ）実効性確保のための仕組み
・ 本事例では、民間事業者等が作成したフレームワークの原案を、29 条委員会が評価して、修正意見を公表した。また、その意見を受けて、民間事業者等によって同フレーム
ワークは修正され、最終的に 29 条委員会が公式に承認している。
・ このように、第三者機関の専門官が集う 29 条委員会が、ルール作成に大きく関与しており、かつその作成プロセスが透明に実施されていることで、ルールの中立性が確保されている。

各 EU 構成国のプライバシー保護の第三者機関が参加し、データ保護に関する専門的な検討を実施する機関。
5

12

事例４： EU データ保護指令に基づく業界ごとの行動規範6ａ）概要
・ EU データ保護指令 27 条は、プライバシー保護に関わる多様な産業分野において画一的基準を定めるが困難であるため、同指令およびそれに基づいて制定される各国法の規定を適切に反映することを要件としつつ、民間の自主的な行動規範の重視と、その適正性を担保するための条項を規定している。
・ オランダでは、EU データ保護指令の国内実施法 25 条において、産業界の自主規制（行動規範）について規定している。同法によれば、行動規範を提出する主体が当該産業分野を適切に代表していること、行動規範の内容が個人データ保護法の要求を網羅していること、法規制の保護水準を上回っていることに加え、紛争処理などの追加的条項を含んでいることを求められる。また、これらの要件が承認された場合は 5 年間、
当該自主規制は署名企業にとってデータ保護法にほぼ代替する法的効力を有する。
・ また、こうした検討過程では、当局と産業界の交渉のほか、公衆からの意見聴取や司法審査等を経る必要がある。
・ オランダでは、既に金融、製薬、情報仲介業、ダイレクトマーケティング、医療研究等の産業分野毎に、少なくとも 18 以上の行動規範が、同国プライバシー保護当局によって承認されている。
・ なお、こうした自主規制の活用は、1989 年の個人データファイル法以来自主規制を運用し続けてきたため、自主規制に豊富な知見を持つオランダに顕著なものであり他のEU 構成国ではオランダほど自主規制の採用は進んでいない。
ｂ）法的基礎・ 直接的な法的根拠により実現（2000 年の個人データ保護法 25 条により、自主規制がセーフハーバーと認められるには、プライバシー保護当局による審査と承認が必要）。
ｃ）実効性確保のための仕組み
・ 自主規制の内容について当局が国内に整合しており、かつ紛争処理などの追加的条項を含んでいることを審査・承認する過程をたどるため、当局の関与が大きいものとなっている。
・ また、こうした内容の審査をたどっても、自主規制がデータ保護法と同等の効力を持つ期間が５年と限定されている。すなわち、５年ごとに審査があることで、ルールの見直しを行う機会を持つこととしている。

6

本事例の記述は、生貝直人「イノベーションと共同規制―米国・EU におけるプライバシー分
野のセーフハーバー概念を題材として―」、15-17 項を参照している。

13

事例５： 行動ターゲティング広告ガイドラインａ）概要
・ 米国連邦取引委員会（FTC）や米関連業界団体（NAI, IAB 等）の自主規制原則を参考
として、また総務省の「利用者視点を踏まえた ICT サービスに係る諸問題に関する研究会」第二次提言における配慮原則を参考として、インターネット広告推進協議会（JIAA）が策定。
※JIAA は、インターネット広告、モバイル広告ビジネスにかかわる企業（媒体社、メディアレップ、広告会社など）から構成される一般社団法人。
ｂ）法的基礎・

間接的な法的根拠により実現している。

ｃ）実効性確保のための仕組み
・ JIAA は、会員企業に対して報告書の提出や勧告の対象とすることで、規律を保っている。
・ 主務官庁の直接執行を免除されることはないが、監督官庁の支援を受けて作成したガイ
ドラインを遵守することで、執行に関して一定の配慮が期待される。
図表 JIAA の自主規制スキーム

主務官庁／関係官庁• ガイドライン策定を
支援、尊重

JIAA
（自主規制機関）• 参加• 報告書提出• 監督• 直接執行• 監視• 勧告

JIAA会員企業

不参加
事業者

14

事例６： APEC 越境プライバシールールシステムａ）概要
・ APEC 越境プライバシールールシステム（以下「CBPR システム」という。
）は、企業等の越境個人情報保護に係る取組に関し、APEC プライバシー原則への適合性を認証する制度である。申請企業等は、自社の越境個人情報保護に関するルール、体制等に関して自己審査を行い、その内容について予め承認された中立的な認証機関（アカウンタビ
リティ・エージェント）から認証審査を受ける。
・ CBPR システムへ参加するためには、法的に執行可能な認証機関（アカウンタビリティ・エージェント）が必要となる。
・ 我が国では、アカウンタビリティ・エージェントに、認定個人情報保護団体の枠組みを適用することとし、経済産業省は、認定個人情報保護団体が CBPR システムの認証業
務を行えるように認定個人情報保護団体の認定指針を改訂した7。
ｂ）法的基礎・ 直接的な法的根拠により実現している。
・ CBPR システムは、アカウンタビリティ・エージェントになる機関に法的基礎を求めており、我が国では、個人情報保護法で規定する認定個人情報保護団体にその資格を与えるスキームが認められている。
ｃ）実効性確保のための仕組み
・ 執行機関が認定するアカウンタビリティ・エージェント（日本の場合は、認定個人情報保護団体）が、事業者を認証するスキームとなっているため、アカウンタビリティ・エージェントが不適切な振る舞いをした場合は、執行機関が、その認定を取り消すことが出来る。
・ CBPR システムの認証を受ける企業等は、アカウンタビリティ・エージェントによって監督される。
・ アカウンタビリティ・エージェントは、複数存立することが認められており、エージェ
ント同士が切磋琢磨して、よりよい運用となることが期待される。

指針の改訂案は、2014 年 5 月 16 日～6 月 16 日の間、パブリックコメントが実施され、6 月
26 日に改訂版が公表された。
715

図表 CBPR の認証スキーム

執行機関（日本では経済産業省が初めて担当）
日本では、認定個
人情報保護団体の資格が申請に必要

• 申請

• 認定
• 監督

認証機関
（アカウンタビリティ・エージェント）
• 申請
• 遵守

• 認証
• 監督

企業等
出所）経済産業省「APEC プライバシールールシステムについて」及び「『認定個人情報保護団
体の認定の申請等の手続についての指針』の改正案に対する意見公募について」をもとに作成

16

事例７： 日本証券業協会ａ）概要
・ 日本証券業協会は、金融商品取引業者等のほとんどが加盟する日本最大の証券業の団体であり、下部に業界団体と自主規制機関を持つ。
・ 自主規制機関（自主規制会議）のトップは業界外の人間となっており、また構成員にも複数の業界外の人員が配置されている（ほとんどは企業経営者、法律家など）。
・ 自主規制機関では、自主規制ルールの策定のほか、会員のルール遵守状況の監査、制裁の発動などを行っている。
・ 規制機関（証券取引等監視委員会）は、本スキームが有効に機能しない場合や、本スキームに加盟していない企業に対して規制を行う。
ｂ）法的基礎・

直接的な法的根拠により実現している（本協会は、金融商品取引法第４章（67-77 条）
で自主規制機関として規定される、金融商品取引業協会である）。

ｃ）実効性確保のための仕組み
・ 自主規制機関である自主規制会議に複数の事業者と利害関係を持たない有識者を入れることで、事業者に有利な規制の制定・執行を防いでいる
・ 公的機関の直接執行の可能性を残すことで、協会が主体となっての執行が事業者に甘いものにならないよう、けん制している。
図表 日本証券業協会の自主規制スキーム

執行機関（証券取引等監視委員会）• ガイドライン策定
を支援、尊重

日本証券業協会（自主規制機関）

• 参加

• 監視
• 直接執行• 監査• 制裁

会員企業（証券会社等）

不参加
事業者

出所）日本証券業協会ウェブサイトをもとに作成

17ｄ）独占禁止法との関係8
日本証券業協会は、証券取引法の規定に基づいて設立された団体として独占禁止法の適用除外を受けていたが、1999 年に除外範囲から外れ、独占禁止法の適用を受けるようになった。
同協会によれば、適用除外の終了に伴い、同協会は独占禁止法 2 条にいう「事業者団体」に該当し、同 8 条に列挙された行為（一定の取引分野における競争を実質的に制限すること、等。
）を行うことを禁じられる。
公正取引委員会は独占禁止法 8 条についてガイドライン（「事業者団体の活動に関する独占禁止法上の指針」）を策定しており、競争阻害性の有無については次の３つの考慮要素に基づいて判断される。
①競争手段を制限し需要者の利益を不当に害するものではないか②事業者間で不当に差別的なものではないか③社会公共的な目的等正当な目的に基づいて合理的に必要とされる範囲内のものか
ここで、「社会公共的な目的」の範囲は、環境の保全や安全の確保等に限られ、極めて限定的に解釈されている。
この点、独占禁止法上、自主規制等の利用・遵守は構成事業者の任意の判断に委ねられるべきであって、事業者団体が自主規制等の利用・遵守を構成事業者に強制することは、
一般的には独占禁止法上問題となるおそれがある、とされている。
他方、同協会は金融商品取引法により、法令や自主規制規則等に違反した協会員を処分する旨を定款に定めることを義務付けられ（同法第 68 条の 2）、また、協会員に対する処分権限を行使していない場合には内閣総理大臣により処分される可能性があるとされる（同法第 74 条第 1 項）。
すなわち、独占禁止法と金融商品取引法において、一見すると整合的でない記載が見受けられる。
こうした独占禁止法上の同協会の扱いは、2012 年 6 月に最終報告を提出した、同協会の「自主規制規則の在り方に関する検討懇談会」においても、米国の議論などを参考としつつ①不適切な事業者の排除、および②本協会への加入義務づけと独禁法との関係について議論が行われたが、出席者から様々な意見が提出され、今後も継続的な議論が必要とされている。
（同最終報告書、10 項）

日本証券業協会「独占禁止法と自主規制の関係について」等より NRI 作成
http://www.jsda.or.jp/katsudou/kaigi/jisyukisei/gijigaiyou/files/kaigiwg01_22021702.pdf
818

２－３．マルチステークホルダープロセスの活用「中立性」と「執行性」という自主規制スキームの課題を克服するため、「事例１：モバ
イルアプリの行動規範（Code of Conduct）作成」や「事例４： EU データ保護指令に基づく業界ごとの行動規範」では、多様なステークホルダーが参加してルールを作成するマ
ルチステークホルダープロセスが活用されている。
事例１では、アプリ開発事業者、広告事業者、消費者団体、法律事務所などの民間事業者・団体が主導しながらも、国がファシリテート役を演じ、また執行機関である FTC はオ
ブザーバという立場で参加している。一方、事例４では、当局と産業界との交渉のほか、公衆からの意見聴取や司法審査等を経るというプロセスを取っている。
一般に、マルチステークホルダープロセスとは、国、事業者、消費者、有識者等の関係者が参画するオープンなプロセスでルール策定等を行う方法のことをいうが、事例で見たように、マルチステークホルダープロセスの方法は、画一的なものでは無く、ケース毎に様々に実施されている。
我が国では、未だマルチステークホルダープロセスの実施例は多くないため、今後、実績を積み重ねながら、我が国に適した実践方法を追求していく必要がある。

19

３．経済効果「１．パーソナルデータ利活用と保護に求められる規制のあり方」で述べたとおり、直接規制は自主規制に比べ高いコストが必要とされる。そこで、両者のコストの差異がどの程度であるかについて、定量的な比較を試みたい。もちろん、日本にいまだ導入されていない機関に関する試算であるから、あくまでいくつかの仮定を置いたうえでの、参考値として算出している。しかし、こうした定量化によって、２つの規制枠組みにどの程度のコ
スト差があるかを検討することは有益であろう。
なお、自主規制にはいくつかの類型があり、行政が関与しない自主規制であれば、行政の支出はゼロである。このため、ここでは行政関与型の自主規制（自主規制を尊重しつつ、それが機能しない場合には公的機関が介入・執行を行う）類型を想定する。
現在既にこうした自主規制の枠組みを導入している事例として、米国があげられる。２－２．の先行事例でいくつか取り上げたように、プライバシーに関する自主規制が機能しない場合には、米国では連邦取引委員会（FTC）が FTC 法５条に則って、直接執行する方式を採用している。
このため、FTC のプライバシー関連部局の予算・人員は基本的に事業者の自主規制に委
ねつつ、当該自主規制が機能しない、または自主規制に参加していない事業者を規制する
規制類型において、規制機関に必要となる予算・人員規模といえよう。
他方、直接規制型を採用している諸国として EU 構成国があげられる。EU では、データ保護指令によって各国にプライバシー保護のための第三者機関（プライバシーコミッショ
ナー）を設置することが義務付けられており、第三者機関並びにそのスタッフが直接規制を担っている。そのため、EU の代表的な構成国、たとえば英仏等の当局は、プライバシー
保護において、直接規制を採用した際に必要となる予算・人員規模を示していると言える。
以上から、擬似的に、米国を自主規制の代表例、EU（英国、仏国）を直接規制の代表例
として扱い、それらのプライバシー規制を担当する当局の人員、予算を元にして、日本におけるプライバシー規制機関の必要コストを算出することとする。
３－１推計ロジック
推計に先立ち、米国や EU の規制機関のデータから、いかにして日本において仮に直接/自主規制が導入された際のコストを算定するかという、推計ロジックを検討する。
まず、規制機関の必要コストは、何によって決まってくるであろうか。それは、①規制対象となる事業者数、②事業者当たりのデータ量、③国民のうち苦情などのあっせんを申し立てる数、等であるが9、これらはいずれも人口規模（①、③）、経済規模（①、②）に比9

自主規制を採用した場合には、採用すべきはこれらのうち自主規制で解決できずに公的機関の関与を必要とする数であるが、それは海外と日本で一定という仮定を置いている。すると、これらは結局元となる数に比例することとなる。

20

例するとみなせる。すなわち、ベンチマークとなる海外諸国（米国、EU（英国、仏国））と日本の、人口規模と経済規模における差異をいかに調整するかが問題となる。
この点、まず日本において規制にかかるコストを職員数と職員一人当たりコストとに分解する。そして、職員数についてはベンチマーク先となる国と日本の人口の比で調整する。
一人当たりコストについては、ベンチマーク先となる国と日本の一人当たり GDP 比で調整
したうえ、為替換算を行うことで、現地通貨から円に変換する。
なお、ここで GDP そのものではなく、一人当たり GDP 比を採用したのは、GDP（＝人口×一人当たり GDP）では、GDP 内に既に人口比の項目で調整した「人口」の要素が入ってきてしまうためである。
図表 推計ロジック

日本の職員数

＝

職員/人口

×

日本の総人口

＝コスト/職員×

為替レート

×
日本の職員一人あたりコスト×

一人当たりGDP比（対日本）【情報ソース】
各国のデータ保護担当機関

日本のコスト

IMF等の統計

なお、ここで用いる各データであるが、データの信用性などの観点から、なるべく一次情報並びに公的機関のデータソースに当たることとした。
そこで、ベンチマーク先の各国のプライバシー（データ保護）担当機関の予算・人員数については各国の当該機関の年次報告書から、総人口や一人当たり GDP については IMFの統計から、為替レートについては三菱 UFJ リサーチ＆コンサルティング社の過去の為替レートのデータから引用することとした。

21

３－２ 推計結果
EU 構成国である英国および仏国と、米国のデータを用い、５－１で採用したロジックを用いて日本における規制類型別の必要コストを推計した結果、下記のような結果が得られた（各国の詳細なデータは３－３を参照）。
自主規制を主体として当該規制が機能しない場合に公的機関が執行するという米国モデルを採用した場合と、自主規制にゆだねずに直接規制を採用する EU モデルを採用した場合とでは、規制機関に必要となるコスト、すなわち経済性に約 2.5 倍の差が確認された。
なお、英国と仏国は米国と異なり、詳細な予算や人員にデータが入手できなかったため、プライバシー以外の担当業務（情報開示など）を含んだ当該機関全体の数値となっている。
そこで、人員・予算ともに全体の 4 分の 1 程度がプライバシー関連の業務に用いられているという仮定を置いて計算している。
図表 推計結果

項目

EU構成国※３

米国

英国

職員数（人）※1

予算額（千円 ）

仏国

62

88

40

1,77,300

778,447

518,161

職員数は総人口に、職員一人当たりコストは一人当たりGDPに比例するものとして、日本に当てはめた場合の値を算出

日本に当てはめた場合の値

職員数
総コスト（千円）

25

177

80

706,978

1,873,389

1,890,496

約2.5倍の開きがある

平均1,881,943※1：米はUSD、英はポンド、仏はユーロ。
※2：公表されている最新年に基づく。（米国は2012年（職員数は2010年）、英国は2012年、仏国は2011年）※3：ＥＵ構成国の第三者機関は、公的機関も監督し、また情報公開分野も対象としていることが多いため、実際に民間部門のデータ保護に該当するのは、全体の1/4として計算

ここで、英国と仏国を元にした場合、職員数では倍以上の差が生まれているが、総コス
トはほとんど僅差になっている。
これは一つの仮説であるが、仏国では外部リソース（弁護士事務所などが想定される）を積極的に活用して規制機関自体が抱える人員数を削減しているため、職員一人当たりの費用には直接雇用に加えて外部からの調達分が上乗せされて高くなっているのに対し、英22

国では内部で調達しようとした結果人員数が増える一方、外部から調達するコストが減って一人当たりコストが減少している。これらの結果としてコストが近い値になっているものと推測される。

３－３ 推計に用いた資料
最後に、上記推計に用いた各国のデータの算出根拠を掲載しておく。
FTC の予算額は、うちプライバシー関連業務と、その補助経費（FTC 全体の運営に要するコスト）を正規職員に換算した工数（FTE）で按分した合計値を FTC におけるプライバ
シー関連の予算として算出した。

•

プライバシー関連業務と、その補助経費（FTC全体の運営に要するコスト）をFTEで按分図表
FTC の予算の算定根
した合計値をFTCにおけるプライバシー関連の予算とした。

8,596

合計17,773
補助経費はFTEで按分して、83851×51/466=9,177※FTE-Full Time Equivalents（＝正規職員に換算した工数）

23次に、FTC の人数は消費者庁の調査による 30 名の個人情報担当に、当該スタッフの補助人員を先にあげた FTE の比率から 32 名と推計し、これらを合計した 62 名を FTC のプラ
イバシー関連のスタッフ数とした。
図表 FTC の人員の算定根（消費者庁資料による）+補助人員32名（FTEの比率で算出し、30×9,177/8,596=32名）
全体で62名と算出
出所）消費者庁「パーソナルデータに関する海外の状況」（2013年9月）
http://www.kantei.go.jp/jp/singi/it2/pd/dai1/siryou2_3.pdf

24

英国の第三者機関（ICO）の予算額は、年間 19,871 千ポンド、正規職員数は 350 名となっている。
図表 英国の予算、人員の算定根

予算額（2012-13年）

分類

予算額（千ポンド）

分類

人数

12,013

正規職員

350

719

非正規職員

17

その他支出

6,755

合計

367

減価償却等

1,103

合計

20,590

人件費

正規

人員規模（2012-13年）

非正規

19,871※その他支出はオフィス賃料や旅費、その他備品の購入費用などを指す。

仏国の第三者機関（CNIL）の予算は年 1,580 万ユーロ、職員数は 159 名となっている。

図表 仏国の予算、人員の算定根

25

４．結論
以上述べたことは、次の通りに結論としてまとめられる。
・ パーソナルデータ利活用の規律は、法令等で定められた原則に基づいて、産業界が自主規制ルールを作成し、運用することが、経済性、専門性、迅速性の視点から現実的である。
・ 自主規制は、米国、EU ともに取り入れられており、ルールの作成・運用には、多様なステークホルダーが参加している。EU では第三者機関の関与が大きく、その分ルール
形成に時間がかけられている。
・ 自主規制ルールの運用は、基本的に民間が設置する自主規制機関が担い、第三者機関は、自主規制に問題が生じた場合の執行、又は自主規制に参加しない事業者の監督を担うという、官民で役割分担した階層化アプローチが実効性の確保に寄与する。
・ 我が国において新たにプライバシー保護の第三者機関を設立する場合に必要となる人
員や予算規模を、米国、EU 構成国（英国、仏国）それぞれの第三者機関をモデルにして類推したところ、自主規制を主体とする米国モデルを採用した場合と、直接規制を中心とした執行を行う EU モデルを採用した場合とでは、第三者機関に必要となるコストに約 2.5 倍の差が確認された。
・ 我が国でも、第三者機関と効果的・効率的に役割分担して運用する実効性のある自主規
制のスキームを推進するべきである。

26

参考資料
・有識者ヒアリング結果
・パーソナルデータ検討会提出資料（2014 年 5 月 20 日）

原田大樹先生（京都大学教授）ヒアリングメモ
日時：2014 年 5 月 8 日 13:00～14:30
場所：京都大学 原田研究室（１）直接規制はリソースの面から現実的に極めて困難であり、次善の策として有効に機能する自主規制の議論を進めることが重要。


例えば、特定商取引法では、業者の数が多すぎるため届出制さえ制度の実効性の観点から採用が見送られている。



３条機関を置くのは制度しては確かに美しいが、委員会を巨大な組織にするか、あるいは独立行政法人を活用するなどしてリソースを確保しないと有効性を発揮できない（例：原子力規制委員会）。尤も，現状で国家公務員数や独立行政法人の数を増やすのは極めて難しい。

（２）法令上は規制の原則だけを定め、具体的なルール策定や執行を、政省令などを通じて自主規制機関にゆだねる形が考えられる

完全な自主規制ではなく、自主規制を法令上位置づけることで、例えばカルテル規制（独占禁止法）を適用除外することができる。



法律では基本的な原則だけを定め、政省令で自主規制機関の要件や規制の内容の大枠を定める形にすることが一案として考えられる。

（３）自主規制導入における留意点①：強制加入は難しいため、任意加入にすべき

強制加入を導入するためには法律で自主規制機関の活動やガバナンス構造を明確に規定する必要がある。最近導入された強制加入制の自主規制機関として貸金業法に基づ
く貸金業協会があるが、これは過払いや闇金融などの問題で世論の盛り上がりがあってこそ実現できた制度設計と思われる。



立法上の困難さを回避するには任意加入にせざるを得ないのではないか。

（４）自主規制導入における留意点②

自主規制機関は認証の対価として活動費を徴収するスキームとし、認証制度の設計は国際標準に則って行うことが重要

業界団体と自主規制機関を、法人格の上で分離することは最低限必要。

自主規制機関の活動経費を活動費として取ってしまうと、自主規制団体と事業者の関係に上下関係が生じてしまい、自主規制機関が業界利益を代表していると見られかねない。



そこで、たとえば自主規制に要するコストを認証の対価として徴収すれば、自主規制
機関と業界団体との優劣関係は消滅する。



認証は苦情処理とセットなので、ADR とセットになる。このため、ADR 手続が備えるべき内容を規定した ISO1002 などが参照されるべきである。



こうした適合性評価制度の設計については、ISO/IEC 17000 等の規格が存在している。

こうした国際規格に準拠することで、業界が自らの利害のためだけに設計した認証制
度とは違うことが消費者に対しても示せるのではないか。



また、将来的にはこうした適合性評価を国際的な相互認証に持ち込めば、国境を越える規制という政府で行うことが容易ではないものなので、民間自主規制が活用される意義がさらに増すと考えられる。



逆に言えば、このままでは情報保護に関する認証ビジネスを他の国に取られてしまう
おそれがあるともいえる。

（５）自主規制導入における留意点③

ルール策定や執行に消費者等を参加させることが重要

米独では行為規範だけを作り、執行等を完全に業界団体に任せてしまう（団体自律モデル）スキームが多いが、ルール策定・執行に消費者（団体）等を立ち会わせる等の透明性の確保が求められると考えている。



この際の立会人は消費者利益を代表する者であればよく、例えば公募制を採用する等の開かれた選出方式が望ましい。



規制の現場に消費者が立ち会わなくても、自主規制のルール策定や執行を行う担当者の選定に消費者の代表を含む等、何らかの形で消費者の代表者が制度の枠組に入っていることが重要である。

生貝直人先生（東京大学特任講師）ヒアリングメモ
日時：2014 年 5 月 13 日 13:30～15:00
場所：東京大学近辺（１）提言案に対するコメント。


DAA は FTC 法第５条で規制されている部分が大きいので、全く法的なバックグラウ
ンドがないということではない。FTC 法５条は主に事業者が定めたポリシーに反した時に発動されるが、特にここ数年は「不公正・欺瞞的」の意味を広めにとっており、合理的に避けることのできない害悪を与える恐れがあるときも含まれる。オプトアウ
トの手段を提供しないことそれ自体が FTC 法５条違反になりうるかもしれない。

FTC のスタッフレポートは、数々の同意命令を集約した、FTC 法第５条の執行指針と読むべきではないか。それなりに拘束力のある規範性を持つ文書と認識している。



プライバシー分野以外では、環境分野と金融分野が最も自主規制を活用した規制枠組みが発達している分野である。プライバシー分野の共同規制も、環境法の研究者が研究していることが見受けられる。

（２）EU における自主規制

EU は 1970 年代からプライバシーなどに関する規制を運用しており、その蓄積から、今の指令などの条文を作成している。EU でも共同規制的な仕組みでの指令運用は存在しており、データ保護指令 29 条作業部会や各国のプライバシー・コミッショナーが、業界団体等の策定する自主規制の適切性を判断する枠組みがある。

EU は包括的なハードローを持ちつつも実際の運用はソフトローベースになっている部分があり、実質的なプライバシー保護を実現するためにはソフトローを重視しなけ
ればならないという認識はあるはずである。この点、日本において EU の形式的に強固な部分だけ取り入れても、ソフトローの部分を見落としては規制としてうまく機能しないと考えられる。



すなわち、EU でもそれなりにアメリカ的な柔軟な規制をやっている部分もあるといえる。ただし、アメリカ的な自主規制は、イノベーションを促進する観点を中心に支持されている点が、実質的なプライバシー保護を最重要視する EU とは若干違っているかもしれない。

EU 構成国の中でも、特にオランダが 1980 年代から積極的に自主規制・共同規制を活用しており、資料が豊富にそろっている。この点は私のウェブ上で公開している論文（「イノベーションと共同規制」）に記載している。

第9回 パーソナルデータに関する検討会 提出資料

自主規制の枠組みを活用した
パーソナルデータ保護の提言
アジアインターネット日本連盟(AICJ, Asia Internet Coalition Japan)
2014年５月20日

本資料は、AICJが株式会社野村総合研究所に委託して実施した調査研究に基づくものである。

本資料の内容• 直接規制・自主規制の比較• 実効性のある自主規制スキームと先行事例• 執行の経済性の視点からの考察
• まとめ

1

直接規制・自主規制の比較

直接規制・自主規制はそれぞれに長所、短所があり、規制対象の特性に応じて適切な規制形態を選択する必要がある。

概要

直接規制

自主規制

ルールの策定・運用（執行）

公的機関（政府/規制者）が実施

民間が主導して実施（公的機関が補完）

中立性○
事業者、消費者双方から独立し、中立的な立場から規制を実施可能△
政府等による牽制機能が働かないと、事業者に都合のよいルール策定・運用がなされる可能性がある×
規制対象によるが、一般的には大きい○
民間の自主的な取り組みであり、政府の支出は小さい

経済性（政府視点で見たコストの大きさ）
メリット/
デメリット

執行性

○
△
強制力を持ち、事業者から中立的な観点で執 身内である事業者に対し、実効的な執行を行行ができる
えない可能性がある。

専門性△
新興分野、高度な専門性を要求される分野では、知識・経験が不足しがち○事業に精通した人員を抱え、高い専門性を有する

迅速性

×
所定の手続を踏まえる必要があり、遅い○
臨機応変に対応が可能

出所）生貝直人『情報社会と共同規制』、原田直樹『自主規制の公法学的研究』等をもとにNRI作成

2

パーソナルデータ保護分野は、その特性から自主規制の方が適していると判断される。
•

規制対象となり得る事業者が、多種多様で、かつ相当数にのぼる。また、消費者保護への対応が求められる。
⇒ルールの運用に大きなコストを要する。（経済性の視点）•

新興で、高い専門性が求められる分野で、官民における情報の非対称性が大きい。
⇒民間の高度な専門知識・経験が必要。（専門性の視点）
技術やビジネスの変化が著しい。
⇒ルール作成・見直しに迅速性が必要。（迅速性の視点）•

直接規制で対処するのは現実的に困難。自主規制の課題を克服し、機能するスキームの構築を目指すべき3

パーソナルデータ保護分野における自主規制の事例
自主規制の例

主体

法的根拠

公的機関の関与

モバイルアプリの行動規範（Code of Conduct）作成

アプリ開発協会、消費者団体などのマルチステー
クホルダー

有り
（間接的）

商務省電気通信事業庁（NTIA）
が主導。執行機関（FTC）もオブ
ザーバで参加。

米国

オンライン広告のオプトアウト
ルールの運用DAA（ネット広告の業界団体）

有り（間接的）執行機関（FTC）の方針が尊重されている。非公式な相談対応がなされている。

ＥＵ

RFIDのプライバシー影響評価（PIA）のフレームワーク作成

RFID関連事業者

有り
（直接的）

ＥＵ構成国の執行機関のWG（29条委員会）が、民間作成のPIAフ
レームワークを承認。

オランダ
（ＥＵ構成
国）

データ保護法（EUデータ保護
指令27条の国内実施法）に基づく業界ごとの行動規定

各業界を代表する団体（金融、製
薬業等）

有り
（直接的）

データ保護当局が行動規定の内容を審査・承認。
これまでに18以上の規定を承認。

日本

行動ターゲティング広告ガイド
ライン

JIAA（ネット広告の業界団体）

有り（間接的）

総務省の提示した原則に基づき、ガイドラインを作成。

APEC加盟国（米国、APEC越境プライバシールール
システム

民間機関（米国
はTRUSTe、日本
は未定）

有り
（直接的）

APEC各国の公的機関がルールを作成し、さらに執行状況も監視。

米国

日本含む）

4

実効性のある自主規制スキーム像
自主規制スキーム像

監督官庁／第三者機関• 助言• 直接執行免除

自主規制機関

• 参加
• 遵守

• 監視
• 直接執行オプション２：
直接的な法的根拠により実現

• 監視
• 執行

自主規制ルールに参加する事業者

オプション１：
間接的な法的根拠により実現

不参加
事業者
5

オプション１：間接的な法的根拠により実現に該当する事例：

日本：行動ターゲティング広告ガイドライン
行動ターゲティング広告ガイドラインの概要
自主規制スキーム

監督官庁（総務省）• ガイドライン策定を支援、尊重※JIAAは、インターネット広告、モバイル広告ビジネスにかかわる企業（媒体社、メディアレップ、広告会社など）から構成される一般社団法人。

• JIAAは、会員企業に対して報告書の提出や勧告の対象とすることで、規律を保っている。

JIAA

• 監視
• 直接執行

（自主規制機関）• 参加• 報告書提出• 総務省「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」第二次提言における配慮
原則や米国の議論を踏まえ、インターネット広告推
進協議会（JIAA）が策定。

• 監視
• 勧告

• 監督官庁（総務省）の直接執行を免除されることはないが、監督官庁の支援を受けて作成したガイド
ラインを遵守することで、執行に関して一定の配慮が期待される。

不参加
事業者

JIAA会員企業

出所）経済産業省「APECプライバシールールシステムについて」及び「『認定個人情報保護団体の認定の申請等の手続についての指針』の改正案に対する意見公募について」をもとに作成

6

オプション２：直接的な法的根拠により実現に該当する事例：

APEC越境プライバシールールシステム（CBPR）
CBPRシステムの概要
CBPRの認定スキーム

執行機関（日本では経済産業省が初めて担当）
日本では、認定個
人情報保護団体の資格が申請に必要

• 申請

• 認定
• 監視

認証機関
（アカウンタビリティ・エージェント）
• 申請
• 遵守

• 認証
• 監視

企業等

• 企業等の越境個人情報保護に係る取組に関し、
APECプライバシー原則への適合性を認証する制度。
• 申請企業等は、自社の越境個人情報保護に関するルール、体制等に関して自己審査を行い、その内容について予め承認された中立的な認証機関（アカウンタビリティ・エージェント）から認証審査を受ける。

日本のCBPRシステムに関する現況• 同システムへの参加には、法的に執行可能な認証機関（アカウンタビリティ・エージェント）が必要となるため、これに認定個人情報保護団体の枠組みを適用。
• 経済産業省は、認定個人情報保護団体がCBPRシ
ステムの認証業務を行えるように認定個人情報保
護団体の認定指針を改正する予定（現在改正案のパブリックコメント実施中）。

7出所）経済産業省「APECプライバシールールシステムについて」をもとに作成

他分野における自主規制スキームの事例（直接的な法的根拠により実現）

日本証券業協会
日本証券業協会の概要
日本証券業協会の自主規制スキーム• 日本証券業協会は、金融商品取引業者等のほとんどが加盟する日本最大の証券業の団体であり、下部に業界団体と自主規制機関（を持つ。
• 自主規制機関（自主規制会議）のトップは業界外の人間となっており、また構成員にも複数の業界外の人員が配置されている（ほとんどは企業経営者、法律家など）。
• 自主規制機関では、自主規制ルールの策定のほか、会員のルール遵守状況の監査、制裁の発動などを行っている。
• 規制機関（証券取引等監視委員会）は本スキームが有効に機能しない例外的な場合や、本スキームに加盟していない企業に対して規制を行う。

執行機関（証券取引等監視委員会）• ガイドライン策定を支援、尊重

日本証券業協会（自主規制機関）

• 参加

• 監視
• 直接執行• 監査• 制裁

会員企業（証券会社等）

不参加
事業者

出所）日本証券業協会ウェブサイトをもとにNRI作成

8

執行の経済性の視点からの考察

自主規制を主体とする米国モデルと、第三者機関が主に執行するEUモデルとでは、経済性に約2.5倍の差がある。
EU構成国※３
項目

米国
英国

職員数（人）
予算額（千円※1）

仏国

62

88

40

1,77,300

778,447

518,161

職員数は総人口に、職員一人当たりコストは一人当たりGDPに比例するものとして、日本に当てはめた場合の値を算出

日本に当てはめた場合の値

職員数
総コスト（千円）

25

177

80

706,978

1,873,389

1,890,496

約2.5倍の開きがある

平均1,881,943※1：米はUSD、英はポンド、仏はユーロ。
※2：公表されている最新年に基づく。（米国は2012年（職員数は2010年）、英国は2012年、仏国は2011年）※3：ＥＵ構成国の第三者機関は、公的機関も監督し、また情報公開分野も対象としていることが多いため、実際に民間部門のデータ保護に該当するのは、全体の1/4として計算

9

まとめ
•

パーソナルデータ利活用の規律は、法令等で定められた原則に基づいて、産業界が自主規制ルールを作成し、運用することが、経済性、専門性、迅速性の視点から現実的である。

•

自主規制は、米国、EUともに取り入れられているが、EUでは第三者機関の関与が大きい。ルールの作成・運用には、多様なステークホルダーが参加している。

•

自主規制ルールの運用は、基本的に民間が設置する自主規制機関が担い、第三者機関は、自主規制に問題が生じた場合の執行、又は自主規制に参加しない事業者の監督を担うという、官民で役割分担した階層化アプローチが実効性の確保に寄与する。

•

我が国でも、第三者機関と効果的・効率的に役割分担して運用する実効性のある自主規制のスキームを推進するべきである。

10【参考】コスト削減効果の算出ロジック•

職員数は総人口に、職員一人当たりコストは一人当たりGDPに影響を受けるとして算出する。

日本の職員数

＝

職員/人口

×

日本の総人口

＝コスト/職員×

為替レート

×
日本の職員一人あたりコスト×

一人当たりGDP比（対日本）【情報ソース】
各国のデータ保護担当機関

日本のコスト

IMF等の統計11

【参考】米国の第三者機関（FTC）の予算額の導出方法•

プライバシー関連業務と、その補助経費（FTC全体の運営に要するコスト）をFTEで按分した合計値をFTCにおけるプライバシー関連の予算とした。

8,596

合計17,773
補助経費はFTEで按分して、83851×51/466=9,177※FTE-Full Time Equivalents（＝正規職員に換算した工数）
出所）FTC “FY 2012 and 2013 Performance Plan” p. 42

12【参考】米国の第三者機関（FTC）の予算額の導出方法•

Support（議会/訴訟対応の部署や広報等のコスト）の内訳；

出所）FTC “FY 2012 and 2013 Performance Plan” p. 117
13

【参考】米国の第三者機関（FTC）の職員数：62名+補助人員32名（FTEの比率で算出し、30×9,177/8,596=32名）
全体で62名と算出
出所）消費者庁「パーソナルデータに関する海外の状況」（2013年9月）
http://www.kantei.go.jp/jp/singi/it2/pd/dai1/siryou2_3.pdf
14【参考】英国の第三者機関（ICO）の予算額と職員数の導出法• ICO全体の予算額は、年間約33億8,000万円（19,871千ポンド、1ポンド＝170円として計算）、正規職員数は350名となっている。
予算額（2012-13年）
分類

人員規模（2012-13年）

予算額（千ポンド）

分類

人数

正規

12,013

正規職員

350

非正規

719

非正規職員

17

その他支出

6,755

合計

367

減価償却等

1,103

合計

20,590

人件費

19,871※その他支出はオフィス賃料や旅費、その他備品の購入費用などを指す。
出所）ICO "Information Commissioner’s Annual Report and Financial Statements 2012/13"

15

【参考】仏国の第三者機関（CNIL）の予算額と職員数の導出法

出所）CNIL Activity Repoirt 2011, P. 77

16