2015年5月13日 衆議院内閣委員会資料

個人情報保護法改正案に関するMCF意見
一般社団法人モバイル・コンテンツ・フォーラム
常務理事 寺田眞治

http://www.mcf.or.jpＭＣＦの紹介
一般社団法人モバイル・コンテンツ・フォーラム（MCF）
代表理事
会員数

設立の背景

●1999年4月●1999年10月●2009年4月

ガンホー・オンライン・エンターテイメント㈱ 代表取締役社長CEO 森下 一喜㈱第一興商 常務取締役 和田 康孝㈱ドワンゴ モバイル統括業務本部 本部長 川下 勝也
139社（2015年1月20日）

イージーインターネット協会（EIA）内のフォーラムとして任意団体の活動を開始。
イージーインターネット協会（EIA）の解散にともない独立した民間の任意団体として活動を開始。
任意団体の解散と一般社団法人の設立により一般社団法人モバイル・コンテンツ・フォーラムとして活動を開始。

MCFの使命

１）モバイルコンテンツ関連産業の健全な発展のため、消費者や関係団体等と円滑な関 係を構築し社会との共存共栄を目指して、業界をサポートしていきます。
２）モバイルコンテンツ関連産業の発展のため、利用者ニーズに立脚した多様なビジネスモデルを創造することを支援します。
３）我が国の将来を担う産業として、海外マーケットを含めた新たな市場の開拓の支援を推進します。

プライバシーと第三者機関等に関するMCFの活動●プライバシーマーク制度（Pマーク）の審査機関としてモバイルコンテンツ分野を担当「モバイルコンテンツ関連事業者のための個人情報保護ガイドライン」を策定●総務省「スマートフォン プライバシー イニシアティブ」の検討に参加「スマートフォンのアプリケーション・プライバシーポリシーに関するガイドライン」を策定●第三者機関「モバイルコンテンツ審査・運用監視機構（EMA）」の設立準備員会の運営を担当(設立時の代表理事 堀部政男一橋大学名誉教授）

2モバイルコンテンツ関連市場

2013年モバイルコンテンツ関連市場の合計は、3兆142億円（モバイル・コンテンツ・フォーラム調査）3

要 旨
データ利活用の促進を進めるにあたり、懸念事項となっていた消費者保護について、グローバル化対応、変化への対応迅速化、様々なステークホルダーによるバランスの取れたルール策定の実現に向けた新たな制度構築の基礎となる意欲的な法改正が試みられていることは、今後の産業界の発展を支えると同時に消費者保護の明確化を図るものであり、特に以下の点については評価できるものと考えます。
１．個人情報の定義について、基本的な考え方を踏襲しつつ、あくまでも曖昧な判断を排除するための明確化がなされている。
２．「匿名加工情報」が定義され、利活用の方向性が示されている。
３．第三者提供に係る確認及び記録の作成の義務付け等、安全な個人情報利活用のための手続きが明確化されている。
４．個人情報保護について、縦割り行政から一元的に監視・監督し、国際協力の窓口ともなる個人情報保護委員会が新設され、権限に関する規定の整備がされている。
一方で、個人情報の保護に関する概念や産業振興とのバランスについては、今まさに世界中で議論されていることであり、検討すべきことも多く日々変化しています。
このような状況の中、いわゆる「ガラパゴス規制」とならないようにするためにも、議論の十分ではない過度な規制や、誤った運用が行われる可能性のあるものについて、マルチステークホルダーによるバランスのとれた迅速かつ十分な議論を促進し、実効的な規律を作り運用していくことを可能とするような制度となることを要望いたします。
4

１．個人情報の定義について（１）
個人情報の定義については、あくまでも明確化であり、いたずらに拡大されることがないようにしていただきたい。
第二条 第二項「個人識別符号が含まれるもの」
同2号ー二「個人に提供される役務の利用若しくは個人に販売される購入に関し（略）特定の利用者若しくは購入者又は発行を受ける者を識別できるもの」
この条文では、例えば旅行や商品の予約番号のような他と共有することの無い一過的なものや、いつでも変更できるWEBサービスのIDまで含まれてしまい、消費者に過度な手続きを求めることになるため、利便性が大きく阻害されるだけでなく、無用な混乱を引き起こすことになる。
第二条 第二項第2号「のうち、政令で定めるものをいう」

個人識別符号は数え切れないほどあり、今後も増え続けるため、政令を定める際には、事業者や業界団体と密に協議して決めていただきたい。同2号ー一の「特定の個人の身体の一部の特徴」についても同様。

5

１．個人情報の定義について（２）第二条
同３号「（略）「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するもの（略）」この条文では、例えば病歴では風邪等、社会的身分では会社員や学生等のように一般的なものまで含まれる可能性がある

同「政令で定める記述等が含まれる個人情報をいう」

要配慮個人情報の定義は曖昧であり、政令を定める際には、事業者や業界団体と密に協議して決めていただきたい。
6

２．匿名加工情報について（１）
匿名加工情報について、本来は安全に利活用するために手続きを含めてルールの明確化を行うものであったはずであるが、議論の少ないままに過度な規制とならないようにしていただきたい。
①第二条 第９項「この法律において「匿名加工情報」とは、（略）元できないようにしたものをいう。」

当該個人情報を復単に「復元できない」という表現では、暗号化を総当たりで解いたり、購買情報について店員に聞き取りに行くような、非現実的なことまで含まれるおそれがある。通常一般的にみて簡単には復元できないという意味であることを確認していただきたい。
②第三十六条では、第４項のみ「第三者に提供するとき」と限定されているが、その他には記載が無い。
自社内のみで個人情報を利用する場合や業務委託の際に、漏洩リスクを減らすために匿名加工を行う場合がある。しかしながら、そもそも参照できる元データが存在するため取扱いそのものは個人情報として対応している（しなければならない）。わざわざリスクを低減させているにも関わらず、より厳しい規制（個人情報保護委員会規則による加工方法の指定や公表等）が加わることになるのは明らかに重複した過度な規制となっている。
個人情報として取り扱っている場合には、匿名加工情報の規制を入れるべきではない。

7

２．匿名加工情報について（２）③第三十六条 第３項「個人情報取扱い事業者は、匿名加工情報を作成したときは、個人情報保護委員会で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。」
必要以上の「項目の公表」は、匿名加工情報の復元のヒントを与えることにもなりかねない。この条文の「個人情報保護委員会で定める」とは、一律に公表することを定めるのではなく、「項目」の選定や「公表」の仕方も含めて民間の事業者や団体と協議して定めてるものとしていただきたい。

8

３．自主規制ルールの活用について（１）パーソナルデータの利活用に関する制度改正大綱では、「民間の自主的な取組を活用」とあり、マルチステークホルダー・プロセスによる自主規制ルールの枠組を創設とあったが、法案では明示されていない。
個人情報保護委員会で規則を全て作ることはリソース、時間、技術進化対応の点で現実的ではないため、民間での取り組みを推進する官民の共同規制やマルチステークホルダー・プロセスを明確化する方法を検討していただきたい。
第七条2号で、個人情報保護委員会は、個人情報の保護に関する施策の推進に関する基本的な方向、国、地方公共団体、独立行政法人、地方独立行政法人、個人情報取扱事業者、匿名加工情報取扱事業者、認定個人方法保護団体が講ずべき個人情報の保護のための措置に関する基本的な事項について定めることとしており、同条3号で「内閣総理大臣は個人情報保護委員会が策定した基本方針の案について閣議の決定を求めなければならない」とある。
この個人情報保護委員会が策定する基本方針にて、自主規制ルール活用の枠組みや制度について明確化していただきたい。

9３．自主規制ルールの活用について（２）
第四十七条以降で、認定個人情報保護団体の規定があり、第五十三条にて「個人情報等の適正な取扱いの確保のために （略） 消費者の意見を代表する者その他の関係者の意見を聴いて、この法律の規定の趣旨に沿った指針（個人情報保護指針）を作成する」とある。
この指針を作成することによるインセンティブがなければ、民間が自主的に取組む動機が生まれない。
従って、マルチステークホルダー・プロセスで作成された指針について、政令、個人情報保護委員会規則へ反映していただく、問題が発生した場合にはまず最初に認定個人情報保護団体と協議していただく、個人情報保護委員会への届出等の手続きを代行できる等、自主規制が機能するように、十分な役割を個人情報保護委員会規則等で決めていただきたい。

10

参考資料
米国・EUにおける制度改革後のセーフハーバー型共同規制構造

東京大学大学院情報学環（兼・大学附属図書館新図書館計画推進室）特任講師 生貝直人博士「イノベーションと共同規制」から引用

11

４．第三者提供に係る確認及び記録の作成の義務について本人の同意を得て第三者提供されているブログやSNSにおいて、1件だけの個人情報を閲覧や取得する場合にも、各ブログやSNSの事業者や情報取得者に対して氏名又は名称や住所、さらに取得経緯の確認や記録を行うことは実現不可能な負担となりかねない。また違法な投稿等について第三者が確認する場合にもこの義務が課せられることとなると消費者保護の取組に支障をきたす。
本質的には、骨子案にあった通り、これらの情報を収集してデータベース化したものについて適正な取り扱いを求めるためにトレーサビリティを確保すべきものであると考えられる。データベースを1件ずつに分割するような潜脱行為を防止するために個人データとしたことにより、違法性の無いものについても過度な規制となる副作用があるため、十分に各関係者と協議していただきたい。
第二十五条、第二十六条で、「個人データを第三者に提供したときは」「第三者から個人データの提供を受けるに際しては」とあり、それぞれ「個人情報保護委員会規則で定めるところにより」とされている。
この個人情報保護委員会規則にて、民間の事業者や団体、消費者団体等と協議して、トレーサビリティの確保に必要な範囲での通信ログの保存等、現実的な対応としていただきたい
12

５．合理的、現実的な法制度のために（１）
政令、個人情報保護委員会規則の策定時には、合理的かつ現実的なものとなるよう事業者、団体や消費者等とも密に協議していただきたい。
１．第六、二十四条、国際的な整合性や外国にある第三者への提供の整備についてインターネットではクラウド技術が進展しており、サーバー設置場所は世界各国に分散しており、様々な規制、制度や技術的な優位性に鑑みて拠点を設置することができる。事業者が我が国に拠点を置くことが不利にならないように十分検討していただきたい。
２．第十九条 利用する必要がなくなった個人データの遅滞なく消去について
例えば音楽や書籍等のダウンロード販売では、利用者が誤って消去した場合に再ダウンロードできるように一定の期間は保存しておく必要があったり、システムの関係上一定期間毎にまとめて消去する仕組みである等、個別の事情があるため、消去時期等については事業者が個別に判断できるよう自主判断に任せでいただきたい。
３．第三十九条 安全管理措置について
急速な技術の変化やセキュリティの課題は状況によって大きく差異があり、各業種で多様性があることを踏まえて、一律に個人情報保護委員会規則等で定めるのではなく、民間の認定団体等を活用するよう要望する。

13

５．合理的、現実的な法制度のために（２）４．第四十七条 個人情報保護認定団体の認定基準について業界ごとに所有する顧客データが大きく異なる今回においては、個人情報を守る視点からも、データ活用の面からも、認定個人情報保護団体の設立と運用のサポートこそが重要となってくる。業界団体が認定団体となるための要件や書類あるいはマルチステークホルダー・プロセスなどの相談体制・サポート体制を国としても充実させていただきたい。
５．第六十九条 専門委員の任命について
業種ごとに保有している顧客データが多様であり、各々でないと専門的な事がわからないという実態を考えると、幅広い各業種・各業界団体からの専門委員の選出が重要である。これまで行政と関係の薄かった新興産業からも幅広く専門委員を登用していただきたい。
６．改正法の適用について、法施行前に取得したデータの取扱いについて、経過処置等で配慮していただきたい。

14

参考資料 法案における未定事項（１）項目

1
2

基本方針案
個人識別符号が含まれる個人情報の範囲

3
45

要配慮個人情報の範囲
個人情報データベース等に含まれないもの
匿名加工情報6

同意を得ないで要配慮個人情報が取得できる者

7

個人データの消去

8-1 第三者に個人データを提供する際の制限の特例

8-2 第三者に個人データを提供する際の届出の変更
8-3 第三者提供の届出の個人情報保護委員会の公表
8-4 第三者に該当しない者
9
外国にある第三者への提供が認められる場合
10-1 第三者提供に係る記録

10-2 第三者提供を受ける場合の確認

詳細項目「復元することが出来ない」の定義（程度）
匿名加工情報データベース等の定義
公開されている者
各号に準ずる者

規定方法
個人情報保護委員会
政令
政令
政令
政令
？
政令
個人情報保護委員会規則
政令「利用する必要がなくなったとき」の定義？

「遅滞なく」の定義
あらかじめ通知、本人が容易に知り得る状態の定義？「届出の事項」の定義（内容）※「提供を停止することとしている場合」の定義※届出の方法あらかじめ通知、本人が容易に知り得る状態の定義？「変更する内容」の定義（内容）公表する「届出に係る事項」の定義（内容）※公表する「変更の届出に係る事項」の定義（内容）
共同利用の定義
我が国と同等の水準の定義基準に適合する体制の定義
記録の定義
その他の事項
保存期間
確認の方法※取得の経緯の定義
その他の事項
保存期間？
個人情報保護委員会規則？
個人情報保護委員会規則？
？
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則？
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則？
個人情報保護委員会規則
個人情報保護委員会規則

特定の個人の身体の一部の特徴
役務、商品の購入、カードその他の書類の符号15参考資料 法案における未定事項（２）11-1 匿名加工情報の作成

11-2 （自ら作成）匿名加工情報の第三者提供
11-3 （既存）匿名加工情報の第三者提供
11-4 ※匿名加工情報の安全管理措置

12

認定個人情報保護団体の認定

13-1 個人情報保護指針の作成

13-2 個人情報保護指針の届出

13-3 個人情報保護指針の遵守

13-4 ※個人情報保護指針の公表

加工方法
情報の安全管理のための措置
公表する個人に関する情報の項目
公表する個人に関する情報の項目
公表する「第三者への提供の方法」
公表する個人に関する情報の項目
公表する「第三者への提供の方法」
必要かつ適切な措置
苦情の処理
その他の適正な取扱い
個人情報保護委員会への申請
業務内容
認定基準
利用目的の特定安全管理のための措置
開示等の請求等に応じる手続き
その他の事項
又は匿名加工情報に係る作成の方法
その情報安全管理のための措置
その他の事項
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽの定義「遅滞なく」の定義
届出の方法
変更の届出の方法
指導勧告
その他の措置

個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
個人情報保護委員会規則
？
？
？
政令
？
？
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽ
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽ
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽ
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽ
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽ
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽ
ﾏﾙﾁｽﾃｰｸﾎﾙﾀﾞｰﾌﾟﾛｾｽ？
？
個人情報保護委員会規則
個人情報保護委員会規則？
？
？
個人情報保護委員会規則16