「個人情報の保護に関する法律施行令及び個人情報保護委員会事務局組織令の一部を改正する政令（案）」及び「個人情報の保護に関する法律施行規則の一部を改正する規則（案）」に関する意見
2021 年 1 月 25 日

個人情報保護委員会事務局（個人情報保護担当） 御中

郵便番号 150-0013
住所 東京都渋谷区恵比寿 4-4-5 第 3 伊藤ビル 603
名称 一般社団法人モバイル・コンテンツ・フォーラム
常務理事 越智 政人
電話番号 03-5449-6409
電子メールアドレス info@mcf.or.jp
個人情報保護法及び関連する政令・委員会規則の不断の見直しについて、個人情報保護委員会をはじめ関係者の皆様のご尽力に感謝いたします。また、意見を表明する機会をいただ
き、誠にありがとうございます。
【総論】
今般の政令及び委員会規則については、度重なる改正により極めてわかりにくい構成となり、特に参照関係が複雑になって読み解くのに大きな労力が必要なものとなっている。次回の改正では、内容だけではなく法令の構成や構造を一から見直していただきたくお願い
すると同時に、少なくとも本改正に伴うガイドラインでは、逐条的なものだけでなく、構造が一目でわかり、また関連するものは一つにまとめるような構成にしていただくこと、及び逆引きを含む索引等の付属文書の作成を強く要望する。
内容全般については、国際的なプライバシー保護の潮流とは異なる日本独自の手続きの詳細化がさらに進んでいるように思われ、ともすれば本来の目的を忘れたチェックシートとしての使い方になるのではないかと危惧している。ガイドラインでは、我が国の「プライバシー保護」の原理原則を明示し、それとの関係性を表すような対応を求める。特に我が国が進める DFFT（Data Free Flow with Trust）に資することに留意して、仮名加工情報と匿名加工情報の国際的な定義や活用方法との差異を示し、有効な利用が可能となるよう配慮を求める。
また、現在進められている個人情報保護法の行政や地方自治体との一本化や EU との十分性認定との整合性にも鑑み、政府、行政機関、地方自治体等の公的機関からの個人情報の提供依頼について、国民の不信や事業者の負担等を招くことが無いよう一定の指針を示すと同時に個人情報保護委員会による監視・監督を明確にすることを強く要望する。
【個別】
・漏えい等報告（規則案第六条の二の二）「不正に利用されることにより財産的被害が生じるおそれがある個人データ」とあるが、これは対象が極めて広く、金銭的なものだけではなく不動産、物品、権利等も含まれると解される。しかし、例えばゲームや購入コンテンツを利用するための ID やPW の漏えい（なりすましが想定される）等も含まれることになると事業者の負担は極めて大きくなる。ID や PW の漏えいは事業者の責に依らないリスト攻撃等により日常的に起こっているが、ゲームやコンテンツにおける被害の程度は一般に軽微である。このような場合も報告が必要となると事業者の負担は非常に大きく現実的ではない。
「財産的被害が生じるおそれがある個人データ」という要件ではなく支払手段として用いられる情報（クレジットカード情報等）に限定するか、財産的被害について、どのような場合が該当するのか、一定の条件を示すことを求める。
・漏えい等報告（規則案第六条の二の三）「不正の目的をもって行われたおそれがある個人データの漏洩等」とあるが、漏洩等が生じた場合に広く当該文言に該当してしまうおそれがある。
「令和２年改正個人情報保護法 政令・規則案の概要」にある「不正アクセス等故意によるもの」を報告対象とするための文言だとすると、「不正の目的」「おそれ」という要件ではなく、不正競争防止法を参考に不正アクセス行為等管理侵害行為による漏洩等を要件とするな
ど、より趣旨に沿った要件とすることを求める。
・漏えい等報告（規則案第六条の二）
規則案第六条の二をはじめ事象が発生したことだけでなく、その「おそれがある」ことを要件とする定めがあるが、「おそれがある」ことまで範囲に含めると対象が極めて広くなる。
「おそれがある」は要件から削除するか、「おそれがある」の該当性の判断基準を示していただくことを求める。
・漏えい等報告（規則案第六条の三の３の二）報告の方法について、事業所管大臣が別に定める方法を許容するのは、事業者へ無駄な負担を求めるもので、迅速な報告を行う上でも障害となることから、方法や書式は統一することを求める。

・漏えい等報告（規則案第六条の五）
本人への通知に必要な項目が決められているが、迅速に通知することを優先すべきと考えると、すべての項目が揃わなくても通知した方が良いと考えられる。本規則の表現ではすべての項目が揃うまで通知しなくても良いと誤解される可能性があるた
め、その前であっても速報が行え、全ての項目がそろった場合には必ず通知することがわかるように表現するべきである。
・海外への第三者提供：同意取得の際の通知（規則案第十一条の三）
可能な限り具体的で分かりやすく通知すべきとの前提ではあるが、相手国によって状況が異なるものでもあり内容や項目を統一できるものではないと考えられるため、事業者が参照できる具体的な方法を例示していただくことを要望する。
また、第 2 項第 2 号で「適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報」を提供することとされているが、クラウドサービス等の利用に伴い外国にある第三者への提供は頻繁にあり得るところ、この調査を各事業者が一から行うことは事業者の過重な負担となるおそれがある。国において、当該情報提供義務の履行に足り得る程度に各国における個人情報の保護制度の概要について取りまとめて、公表いただきたい。
・海外への第三者提供：措置の継続的実施の確保（規則案第十一条の四）
適切な方法、定期的等あいまいな表現であるが、相手により様々な方法が考えられるため、事業者が参照できる具体的な方法を例示していただきたい。
・個人関連情報の第三者提供における確認（規則案第十八条の二）
その他の適切な方法について様々な方法が考えられるところでもあり、ガイドラインで詳細が示されると想定しているが、細かく規定するのではなく原則を明確にし、事業者が原則に反するか否かを判断できるものとしていただきたい。
・個人関連情報の第三者提供における記録事項（規則案第十八条の四）・個人関連情報の第三者提供における記録の保存期間（規則案第十八条の五）
個人関連情報を提供する側が記録するものとして当該個人関連情報の項目とあり、保存期間が規定されているが、実際に提供するデータはこの保存期間とは別に消去、削除してよいことを明確にしていただきたい。個人情報に紐づかない Cookie 等は短期の保有が推奨されおり、上記の規定により長期の保有を誤解あるいは正当化することのないよう注意喚起をすることを要望する。

・仮名加工情報の作成の方法に関する基準（規則案第十八条の七）
第 3 号に「・・・不正に利用されることにより財産的損害が生じるおそれがある記述等を削除すること」とあるが、広範すぎて個人情報全般が該当し得る文言となっており、この基準で加工を求めると仮名加工情報が実務上利用できないものとなってしまうおそれがある。また、匿名加工情報の加工基準にもない条件が課されることで仮名加工情報の作成が匿名加工情報の作成よりも難しくなる場合も想定され、データ利活用を促進するために仮名加工情報が創設される趣旨を損なうものと考えられる。そのため、第 3 号は削除するか、第 3 号により削除すべき記述等の限定および明確化を求める。