日時：令和５年９月 13 日（水）14：30～

場

所：個人情報保護委員会

委員会室

出席者：丹野委員長、小川委員、中村委員、大島委員、浅井委員、加藤委員、藤原委員、梶田委員、髙村委員、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、全委員が御出席です。
以後の委員会会議の進行につきましては、丹野委員長にお願いいたします。
○丹野委員長それでは、ただいまから、第253回個人情報保護委員会を開会いたします。

本日の議題は二つございます。
議題１「個人情報の保護に関する法律施行規則の一部を改正する規則案等に関する意見募集について」、事務局から説明をお願いいたします。
○事務局事務局から御説明させていただきます。

まず、本議題１に係る資料は計６点ございます。資料１－１が本議題の概要、資料１－２が個人情報の保護に関する法律施行規則の改正案、資料１－３が個人情報の保護に関する法律についてのガイドライン（通則編）の改正案、資料１－４がガイドライン（第三者提供時の確認・記録義務編）の改正案、資料１－５がガイドライン（行政機関等編）の改正案、資料１－６がガイドライン（外国にある第三者への提供編）の改正案になります。
それでは、資料１－１に基づき、本議題の概要を御説明申し上げますが、具体的な条文や改正箇所については資料１－２から資料１－６までを併せて御参照いただければと思います。
近年、ECサイトに対する攻撃の一類型である、いわゆるWebスキミングと呼ばれる手法により個人情報が流出するケースが発生しております。Webスキミングによる情報流出の中には、攻撃者によって個人情報取扱事業者であるECサイト事業者のウェブサイトに不正なスクリプトが埋め込まれた結果、当該ウェブサイトの利用者が自己の端末上で入力フォームに入力した個人情報が直接攻撃者に流出するケースがあります。
このような情報流出は、攻撃者が故意に個人情報を流出させているものであり、流出した個人情報の悪用による二次被害が発生するなど、個人の権利利益が害されるおそれが大きいことから、委員会が事態を把握する必要があると考えています。
他方で、今、申し上げたWebスキミング等によって引き起こされた情報流出をはじめとする、個人情報データベース等を構成する前の、すなわち個人データとなる前の個人情報の流出は、現行の施行規則第７条で規定する漏えい等の報告及び本人通知の対象となる事態には該当しないと考えられます。そこで、資料１－２のとおり、施行規則第７条第３号を改正し、不正な目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為
1

による漏えい等に関しては、個人データのみならず、当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものについても、漏えい等の報告及び本人通知の対象事態にすることとしております。
また、民間部門と同様に、公的部門においても同様の事態を報告対象事態とするなど、関連する施行規則の規定についても所要の改正を行うこととしております。
次に、この施行規則第７条第３号の改正に伴い、資料１－３のとおり、ガイドライン（通則編）において、解釈の明確化や事例の追加等を行っております。例えば施行規則第７条第３号改正案における攻撃者からの不正行為の相手方である当該個人情報取扱事業者には、当該個人情報取扱事業者の委託先も含まれる旨、解釈を明確化するなどしております。
また、施行規則第７条第３号改正案における報告対象事態に該当する事例として、先ほど申し上げたWebスキミングによる情報流出等の事例を幾つか追記しております。
加えて、個人情報保護法第23条が定める安全管理措置に関しましては、個人情報取扱事業者が取得し、または取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものについて、漏えい等を防止するために必要かつ適切な措置も含まれるということを追記し、明確化を図っております。
ガイドライン（第三者提供時の確認・記録義務編）につきましても、資料１－４のとおり関連する記載について所要の改正を行うこととしております。
また、先ほど申し上げたとおり、民間部門と同様に、公的部門においても施行規則を改正いたしますので、これに伴い、ガイドライン（行政機関等編）につきましても、資料１－５のとおり所要の改正を行うこととしております。
最後になりますが、ガイドライン（外国にある第三者への提供編）についても改正を行うこととしております。まず、外国にある第三者へ個人データを提供するための本人の同意取得時の情報提供義務に関して、資料１－６のとおり追記を行っております。これは、令和４年12月に開催されたOECDデジタル経済政策委員会閣僚会合において、信頼性のある自由なデータ流通を脅かす新たなリスクへの対応として当委員会が提唱し、継続的に議論が行われた成果として採択された、「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」を踏まえた追記になります。すなわち、個人情報保護法第28条第１項及び施行規則第17条第２項は、外国にある第三者への個人データの提供に係る本人同意の取得時に、本人に対する情報提供が必要となる旨を定めております。
かかる情報提供に関し、ガイドライン（外国にある第三者への提供編）は、提供先の第三者が所在する外国において、我が国の制度と比較して、本人の権利利益に重大な影響を及ぼす可能性のある制度が存在する場合には、当該制度の存在について本人に情報提供しなければならないとした上で、当該制度の事例として、事業者に対し、政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有している個人情報について、政府による広範な情報収集が可能となる制度を挙げています。
2

今般、「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」が採択されたことを受け、今、申し上げた、事業者が保有する個人情報について、政府による情報収集が可能となる制度が本人の権利利益に重大な影響を及ぼす可能性を事業者が判断するに当たっては、同宣言を参照することが考えられる旨を追記しました。
また、このほか、関連する当該ガイドライン（外国にある第三者への提供編）の記載について、所要の改正を行うこととしております。
ただいま御説明を申し上げました施行規則の改正案及びガイドラインの改正案について、本日、御審議の上、御了承いただきましたら、速やかに意見公募手続を行いたいと考えております。そして、意見公募手続を実施した後は、各改正案を令和５年11月下旬から12月中旬頃に公布し、このうちガイドライン（外国にある第三者への提供編）の改正案については、公布日と同日に施行することを現時点では予定しております。その余の施行規則の改正案及び各ガイドラインの改正案につきましては、令和６年４月１日に施行することを現時点では予定しております。
事務局からの説明は以上でございます。どうぞよろしくお願い申し上げます。
○丹野委員長ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
藤原委員、お願いいたします。
○藤原委員

規則等の改正の必要性について、一言申し上げます。

近時問題となっているWebスキミングを念頭においての改正でありますけれども、個人情報取扱事業者に対して不正の目的をもって行われたおそれがある行為により個人情報が流出するような事態は、二次被害が発生するおそれが大きいことから、委員会として事態を捕捉して事業者に適切な対応を促していくことが重要であるわけです。そこで、個人データとして取り扱われる予定がある以上、かかる事態を漏えい等報告及び本人への通知の対象とすることが適当であると考えます。その際、フィッシングサイトなど他の類型と今回新たに捕捉対象とする類型の区別、あるいは、事業者と一体とみなされうる委託先等の範囲等、事業者にとって対象となる事態が明らかになるよう、今後実施する意見募集において提出された意見の内容等も踏まえ、個人情報の保護に関する法律についてのガイドライン等で明確化を図っていただきたいと思います。
よろしくお願いします。
○丹野委員長ありがとうございます。

ほかにどなたか御質問、御意見等はございますでしょうか。よろしいでしょうか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資3

料、議事録及び議事概要については、準備が整い次第、委員会ホームページで公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、議題２に移ります。議題２「サーマルカメラの使用等に関する注意喚起について」、事務局から説明をお願いいたします。
○事務局

議題２について、事務局から御説明させていただきます。

まず、「サーマルカメラを使用する場合の個人情報保護法上の留意点について（注意喚起）（案）」について、資料２－１に基づいて御説明いたします。
新型コロナウイルス感染症の対策のために急速に普及した、赤外線を検知して温度を計測するカメラ、いわゆるサーマルカメラには、顔画像を取得する機能を有するものがあることが確認されております。特定の個人を識別できる顔画像は、個人情報保護法第２条第１項に規定する個人情報に該当するところ、サーマルカメラで個人情報に該当する顔画像を取得等している場合、当該サーマルカメラを使用する事業者等には個人情報保護法の規律が適用されることになりますが、事業者等においてこのことが十分に認識されず、個人情報保護法上の規律が遵守されずに顔画像の取得等が行われている可能性があるため、サーマルカメラを使用する事業者等に対し、当該サーマルカメラにおける特定の個人を識別することができる顔画像を取得する機能の有無の確認を促した上で個人情報保護法の規律を遵守するよう、注意喚起を行いたいと考えております。
具体的には、まず資料２－１の２ページ目、「１サーマルカメラにより『個人情報』（法第２条第１項）を取り扱う場合の留意点について」を御覧ください。個人情報取扱事
業者は、サーマルカメラにより個人情報を取り扱う場合の留意点として、個人情報たる顔画像等の利用目的をできる限り具体的に特定するとともに、「取得の状況からみて利用目的が明らかであると認められる場合」に該当しない場合は、あらかじめ利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表すること及びサー
マルカメラの設置状況や外観等から、検温が行われているのみならず、自らの個人情報が取得されていることが本人において容易に認識可能といえない場合には、設置場所への掲示等、容易に認識可能とするための措置を講じること、また、個人情報を取得されていることが本人において容易に認識可能であったとしても、掲示等の措置により、より容易に認識可能とすることが望ましいことを周知したいと考えております。
次に、「２サーマルカメラで取得した顔画像の情報が『個人情報データベース等』（法第16条第１項）を構成する場合の留意点について」を御覧ください。個人情報取扱事業者
がサーマルカメラにより取得した、個人情報たる顔画像が個人情報データベース等を構成し、個人データを対象とする個人情報保護法の規律が適用される場合の留意点として、顔画像を含む個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するように努めること及び個人データの漏えい等の防止のため、個人情報保護法第23条に基づき、個人情報の保護に関する法律についてのガイドライン（通則編）等に従った必
4

要かつ適切な安全管理措置を講じること、特にサーマルカメラの廃棄時、中古品として売却したりする場合について、安全管理措置の一環として当該サーマルカメラに保存された個人データを復元不可能な手段で消去する等の個人データの漏えい等を防止するために必要な措置を行うこと、また、サーマルカメラにより取得した個人情報たる顔画像が個人情報データベース等を構成せず、個人データを対象とした規律が直接適用されない場合においても、当該顔画像が漏えい等することがないよう、各種安全管理措置を参考とした適切な取扱いが望ましいことを周知したいと考えております。
資料２－１に基づく御説明は以上となります。
続いて「サーマルカメラを製造・販売する場合の個人情報保護法上の留意点について（注意喚起）（案）」について、資料２－２に基づいて御説明いたします。
資料２－１に基づいて御説明させていただいたとおり、サーマルカメラを使用する事業者がサーマルカメラにより個人情報を取り扱っていても、そのことを十分に認識せず、個人情報保護法の規律が遵守されずに顔画像の取得等が行われている可能性があることから、サーマルカメラを製造・販売する事業者に対しても資料２－１のサーマルカメラの使用者向けの注意喚起を参照の上、特に次の３点について、サーマルカメラのユーザーに対し適切に周知を図っていただくよう、注意喚起を行いたいと考えております。
具体的には、製造・販売するサーマルカメラが顔画像を取得している場合は、当該サーマルカメラのユーザーがそのことを認識できるよう、取扱説明書に記載する等の適宜の方法により明示すること、製造・販売するサーマルカメラが顔画像を取得し保存する機能を有する場合は、当該サーマルカメラのユーザーがそのことを認識した上で、保存された顔画像の消去等を適切に行うことができるよう、データの消去方法等について取扱説明書に記載する等の適宜の方法により明示すること、その他、製造・販売するサーマルカメラのユーザーにおいて、個人情報保護法の規律を遵守する前提として認識することが有用と考えられる事項を必要に応じて周知することについて記載しております。
資料２－２に基づく御説明は以上でございます。
最後に、本日、御説明させていただいた資料２－１及び資料２－２については、当委員会ウェブサイトにて公表したいと考えております。
事務局からの御説明は以上になります。
○丹野委員長ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いいたします。
どなたからもなければ、私から一言申し上げます。
サーマルカメラについては、新型コロナウイルス感染症のまん延に伴い急速に普及したところです。そのうち、顔画像を取得するサーマルカメラの活用に当たっては、資料２－１の１に記載されているとおり、顔画像を取得している旨や顔画像の利用目的を利用者にわかりやすく明示することが重要であります。また、本年５月に新型コロナウイルス感染症の感染症法上の位置付けが５類へと変更されたことから、サーマルカメラの利用を終え、5廃棄や転売されるものもあると考えられます。このため、資料２－１の２に記載された廃棄等する際の留意点の周知が大変に重要であると考えます。今回の注意喚起の対象者が多数存在すると考えられることから、民間のみならず地方公共団体なども含め、わかりやすく周知を行ってほしいです。
私からは以上です。
そのほかに御意見等はございますでしょうか。よろしいでしょうか。
それでは、特に修正の御意見等がないようですので、原案のとおり決定したいと思いますが、よろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については、準備が整い次第、委員会ホームページで公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上になります。
それでは、本日の会議はこれで閉会といたします。

6