「個⼈情報保護法 いわゆる3年ごと⾒直しに係る検討の中間整理」へのコメント等
弁護⼠・ひかり総合法律事務所
理化学研究所⾰新知能統合研究センター客員主管研究員
国⽴情報学研究所客員教授
板倉陽⼀郎

2019/5/17

個⼈情報保護委員会ヒアリング1

アジェンダ• 1 「中間整理」に存在しない項⽬• 1.1 個⼈情報保護委員会の公的部⾨への監督• 1.2 いわゆるプロファイリング
• 1.3 「個⼈情報の保護に関する法律に係るEU域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」の取り込み• 2 「中間整理」の項⽬
• 2.1
• 2.2
• 2.3
• 2.4
• 2.5
• 2.6

個⼈情報に関する個⼈の権利の在り⽅
漏えい報告の在り⽅
個⼈情報保護のための事業者における⾃主的な取組を促す仕組みの在り⽅
データ利活⽤に関する施策の在り⽅
ペナルティの在り⽅
法の域外適⽤の在り⽅及び国際的制度調和への取組と越境移転の在り⽅• 3 その他
2019/5/17個⼈情報保護委員会ヒアリング2

1 「中間整理」に存在しない項⽬
1.1 個⼈情報保護委員会の公的部⾨への監督• ①個⼈情報保護委員会は公的部⾨へ監督範囲を広げるべき• 公的部⾨への監督がないことには公的部⾨について欧州からの⼗分性認定は得られない。テロ対策，公的研究機関・医療機関の連携など様々な⽀障（2000個問題でも同様）• ⼗分性認定は「個⼈情報保護法の適⽤範囲（under the Act on the Protection of Personal Information）」に制限されている（GDPR45条1項，「⼀⼜は複数の特定の部⾨（one or more specified sectors）」への⼗分性認定）• 経済界，学会からの要望• 「個⼈情報保護委員会が⺠間部⾨のみならず，公的部⾨における個⼈情報の適正な取り扱いの確保を図ることとすべき」（第97回個⼈情報保護委員会（平成31年3⽉27⽇）【資料1】個⼈情報保護法の３年ごと⾒直しに向けて（⽇本経済団体連合会））• ⽇本学術会議公開シンポジウム「欧州⼀般データ保護規則（GDPR）に対する⽇本の学術界の対応」（平成31年3⽉27⽇）• ②いわゆる2000個問題を解消すべき• 特に条例については公的部⾨の個⼈情報保護制度の改正への対応，番号利⽤法の改正に伴うハネ改正で全条例が改正している。法制執務の浪費。
• 特に⼩規模⾃治体は⾃らの条例を⼿に余しており，解釈・運⽤もままならない（総務省地域情報化アドバイザーとして出動）• 経済界，学会からの要望• 「国の⾏政機関や国⽴⼤学法⼈等が個⼈情報保護法に定める義務・罰則等の適⽤対象でなく，わが国における個⼈情報の取扱いルールの統⼀化を阻害。」（前述・⽇本経済団体連合会），前述⽇本学術会議公開シンポジウム

2019/5/17

個⼈情報保護委員会ヒアリング

3

1.2

いわゆるプロファイリング

• いわゆるプロファイリング（単なる推知ではない）について正⾯から議論すべき• 「多種多量な情報を，分野横断的に活⽤することによって⽣まれるイノベーションや，それによる新ビジネスの創出等が期待される中，プロファイリングの対象範囲，個⼈の権利利益の侵害を抑⽌するために必要な対応策等については，現状の被害実態，⺠間主導による⾃主的な取組の有効性及び諸外国の動向を勘案しつつ，継続して検討すべき課題とする。」（⾼度情報通信ネットワーク社会推進戦略本部『パーソナルデータの利活⽤に関する制度改正⼤綱』（平成26 年6⽉24⽇）第3・Ⅶ）• ＡＩネットワーク社会推進会議『国際的な議論のためのＡＩ開発ガイドライン案』（平成29年７⽉28 ⽇）•⑦倫理の原則-----開発者は，ＡＩシステムの開発において，⼈間の尊厳と個⼈の⾃律を尊重する。
•••

開発者は，⼈間の尊厳と個⼈の⾃律を尊重するに当たり，⼈間の脳や⾝体と連携するＡＩシステムを開発する場合は，⽣命倫理に関する議論などを参照しつつ，特に慎重に配慮することが望ましい。
開発者は，採⽤する技術の特性に照らし可能な範囲で，ＡＩシステムの学習データに含まれる偏⾒などに起因して不当な差別が⽣じないよう所要の措置を講ずるよう努めることが望ましい。
開発者は，国際⼈権法や国際⼈道法を踏まえ，ＡＩシステムが⼈間性の価値を不当に毀損することがないよう留意することが望ましい。

• ＡＩネットワーク社会推進会議『報告書2018−ＡＩの利活⽤の促進及びＡＩネットワーク化の健全な進展に向けて−』（平成30年7⽉17⽇），AI利活⽤原則案（第３章・3）•⑦ 尊厳・⾃律の原則•⑧ 公平性の原則••

2019/5/17

利⽤者は，ＡＩシステム⼜はＡＩサービスの利活⽤において，⼈間の尊厳と個⼈の⾃律を尊重する。
ＡＩサービスプロバイダ，ビジネス利⽤者及びデータ提供者は，ＡＩシステム⼜はＡＩサービスの判断によって個⼈が不当に差別されないよう配慮する。

個⼈情報保護委員会ヒアリング4

1.3 「個⼈情報の保護に関する法律に係るEU域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」の取り込み• 「個⼈情報の保護に関する法律に係るEU域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」は可能な限り法令レベルに取り込むべき• 欧州市⺠のデータのみに上乗せの保護を⾏うことと平等原則の関係。
• ガイドラインと同様の告⽰レベルで執⾏を担保することの困難性。

• 欧州データ保護ボード（EDPB）は「EDPBは，欧州委員会に対し，その法的価値が⽇EUの⼗分性の必須要素であるため，⽇本における拘束的性質と効果的な適⽤を継続的に監視するよう呼びかけている。」（意⾒書49項）とする。

• (1) 要配慮個⼈情報（法第 2 条第 3 項関係），(3) 利⽤⽬的の特定，利⽤⽬的による制限（法第 15 条第 1 項・法第 16 条第 1 項・法第 26 条第 1 項・第 3 項関係）は取り込み容易。(3)はそもそも本⼈の予測可能性からしても当然• (2) 保有個⼈データ（法第 2 条第 7 項関係）の取り込みは例外規定の検討を伴う• (4) 外国にある第三者への提供の制限（法第 24 条・規則第 11 条の 2 関係）は
APEC-CBPR＋αの検討そのもの• (5) 匿名加⼯情報（法第 2 条第 9 項・法第 36 条第 1 項・第 2 項関係）は仮IDを⽤いることを許すのかという検討

2019/5/17個⼈情報保護委員会ヒアリング5

2 「中間整理」の項⽬
2.1 個⼈情報に関する個⼈の権利の在り⽅• ①開⽰請求のデジタル対応はデータポータビリティの⼀段階⽬の補償と合わせて検討すべき• 中間整理では「個⼈情報保護法における開⽰の際の電磁的形式による提供の明確化についても，今後，利⽤者の利便性も考慮しつつ，検討していく必要がある。 」（17⾴）とあるが，電磁的形式による本⼈への提供は，本⼈が当該個⼈データを利活⽤することに繋がり，賛成である。この際，GDPRにおけるデータポータビリティでは，「⾃⼰が管理者に対して提供した⾃⼰と関係する個⼈データを，構造化され，⼀般的に利⽤され機械可読性のある形式で受け取る権利」があるとされる（⼀段階⽬，20条1項）。本⼈が個⼈データを容易に利活⽤するためには，GDPRが定めるように，「構造化され，⼀般的に利⽤され機械可読性のある形式」である必要があり，これを義務付けるかどうかはともかく，少なくともフォーマットを揃えるようなインセンティブを組み込むことが望ましい。
• 規制改⾰推進会議医療・介護ワーキング・グループ『医療分野におけるデータ利活⽤促進に関する意⾒』（平成 31年４⽉24 ⽇）においても，①「個々⼈が⾃らの健診情報を利活⽤するための環境整備」，②「データ利活⽤のための「標準規格」の確⽴」，③「データを活⽤した最適な医療サービス提供のための包括的な環境整備」が謳われており，参考になる。
• なお，保有個⼈データの開⽰請求についても，その履⾏確保は本⼈からの請求ではなく個⼈情報保護委員会の監督が原則であると解され，除外事由もないのに対応しない事業者に対しては，積極的な法執⾏が必要である。

2019/5/17

個⼈情報保護委員会ヒアリング62.1 個⼈情報に関する個⼈の権利の在り⽅（続）• ②利⽤停⽌等請求の拡⼤は取扱いの適法化根拠の拡⼤と合わせて検討すべき• 中間整理では「利⽤停⽌等に関して，個⼈の権利の範囲を広げる⽅法について検討する必要がある。」（18⾴）とあるが，GDPRの各種請求権は6条の適法化根拠に対応して定められていることに留意すべき。⽇本法上は適法化根拠が同意に限られており，同意概念の負担が重い。
• 同意の撤回について，その法的性質を含めて整理するとともに，同意以外の適法化根拠（GDPR6条1項(b)の契約，同(f)の正統な利益）について導⼊を含めて議論するほうが，結果的に本⼈の請求等についても実効性が保たれるのではないか。特に，無条件の利⽤停⽌請求を認めるのであれば，契約に基づく利⽤を認めないと，事業者は適切な対応ができないのではないか。

• ③オプトアウト届出の不備及び名簿屋対策は刑事告発を含めて徹底的に対応すべき• 中間整理では「相談ダイヤルやタウンミーティングの中で対策の徹底を求める意⾒が多いことから，実態をよく把握しつつ，執⾏⾯も踏まえて検討する必要がある。」（19⾴）とされており，賛成する。
• 平成30年3⽉には名簿屋の亜種といえる「破産者マップ」に対しても⾏政指導がなされたとの報道がある。同事案に適⽤できるかはさておき，意図的に本⼈の同意を得ないで第三者提供を⾏う違法な名簿屋等（例えば，いわゆるカモリストを流通させるもの）については個⼈情報データベース等提供等罪（83条）に関する告発も視野にいれるべきではないか。

2019/5/17

個⼈情報保護委員会ヒアリング

7

2.2

漏えい報告の在り⽅• ①漏えい報告の義務化は番号利⽤法にならうべき• 中間整理では，「国内における法執⾏の安定性や，国際的な議論の潮流等を勘案すると，漏えい報告について，法令上明記し，⼀定の場合について義務付けをすることも検討する必要がある。」（24⾴）とされているが，賛成する。
• 義務付けの対象については，既に運⽤実績のある番号利⽤法29条の4が定める「重⼤な事態」を参考にすべきではないか。
• ① 情報提供ネットワークシステム等⼜は個⼈番号利⽤事務・個⼈番号関係事務を処理するために使⽤する情報シス
テムで管理される特定個⼈情報が漏えい等した事態• ② 漏えい等した特定個⼈情報に係る本⼈の数が100⼈を超える事態• ③ 特定個⼈情報を電磁的⽅法により不特定多数の者が閲覧することができる状態となり，かつ閲覧された事態• ④ 職員等が不正の⽬的をもって，特定個⼈情報を利⽤し，⼜は提供した事態。（以上につき特定個⼈情報の漏えい
その他の特定個⼈情報の安全の確保に係る重⼤な事態の報告に関する規則2条）• ②漏えい報告の内容については分析した上で積極的に政策等に活⽤すべき• 漏えい報告は平成31年3⽉27⽇正午以降は，報告フォームへの⼊⼒により⾏なうこととなったが，認定個⼈情報保護団体，委任先省庁等への報告⽅法については変更がない。
• しかしながら，漏えい報告を分析することによって，事業者の保護措置の不⼗分な点についての傾向，サイバー攻撃等の傾向（⼿⼝，時間等）を把握できるのであるから，電磁的に報告させ集約することによって，分析し，積極的に政策等に活⽤すべきである。その際，NISC等の関連省庁とも⼗分に連携されたい。

2019/5/17

個⼈情報保護委員会ヒアリング8

2.3 個⼈情報保護のための事業者における⾃主的な取組を促す仕組みの在り⽅• ①認定個⼈情報保護団体の指針による共同規制の在り⽅を再検討すべき• 中間整理では「認定個⼈情報保護団体制度の⻑所も活かしつつ，例えば，特定の分野に特化し，指針等ルール単位や分野単位で認定等を⾏う新たな仕組みを設けることが考えられる。」（31⾴）とされており，賛成できる。
• さらに，認定個⼈情報保護団体の指針について，特定の分野に特化等した⼀定の場合には個⼈情報保護法の規制の⼀部に換えて，個⼈情報保護委員会等に認定された当該指針による取扱いを適法なものとする共同規制の仕組み（景品表⽰法の公正競争規約が参考になる）を設けることも検討してはどうか。
• この点は，パーソナルデータに関する検討会において「認定された⾃主規制ルールを遵守していれば，規定されている内容の範囲において，個⼈情報保護法違反になることはない」枠組みとして事務局（当時）から提案されていたが（第９回パーソナルデータに関する検討会（平成26年5⽉20⽇）【資料４】⺠間による個⼈情報保護の取組み），⼗分な議論はなされなかったと認識している。

• ②DPOの設置やPIAについてはインセンティブを考慮すべき• データ保護責任者（DPO）の設置やPIA（プライバシー影響評価）については単純に義務付けるのは⾏き過ぎ（例えばドイツにおけるDPOの設置），単に推奨するのも効果的ではないと思われ，適切なインセンティブを与えるように制度を⼯夫すべきではないか。

2019/5/17

個⼈情報保護委員会ヒアリング

9

2.4

データ利活⽤に関する施策の在り⽅• ①匿名加⼯情報については⼈材育成を含めて検討すべき• 中間整理では，「委員会として，引き続き，具体的な利活⽤モデルやベストプラクティス等を発信していくことが重要である。」（40⾴）とされており，それ⾃体には異論はないが，企業アンケート結果において「分析するための⼈材がいない」という点については，計画的な⼈材育成が必要である。
• 匿名加⼯情報の作成に必要なスキルは，プライバシー保護データマイニングという特殊な分野であって，⾃動的には⼈材は供給されない。統合イノベーション戦略推進会議「AI 戦略2019」（有識者提案）（2019年3⽉29⽇）においても，今後の研究開発重点項⽬「信頼できるAI」の⽬標に「個⼈データの流通の促進に資する，プライバシー保護技術の確⽴」が掲げられており，連携して⼈材育成を⾏うべき。

• ②統計利⽤のニーズ及び技術の利⽤を考慮に⼊れるべき• 中間整理では必ずしも個⼈に関する情報ではなくなった統計としての利⽤について触れられていないが，実際には，（不正確な）個票の形で⽤いられる匿名加⼯情報よりも，正確な統計を導出しての利⽤の⽅がニーズがあるのではないか。
• 統計としての利⽤については，事業者相互に第三者提供を⾏う場合でも，具体的な個⼈データについては相互に秘匿したまま統計結果を導出できる秘密計算技術が極めて有⽤である。当該技術の利⽤については社会受容性も踏まえた上で，積極的に考慮に⼊れるべき。
2019/5/17

個⼈情報保護委員会ヒアリング

10

2.5

ペナルティの在り⽅• ①課徴⾦の導⼊の前提として⾏政命令の実績と外国事業者への執⾏の実質確保があるべき• 中間整理は，「課徴⾦制度について導⼊を求める意⾒もあるが，我が国他法令における⽴法事例の分析も併せて⾏う必要がある。また，⽬的達成のための⼿段として，罰則の強化や，勧告措置や外国当局との執⾏協⼒で担保されている現⾏の域外適⽤の仕組みでは果たして不⼗分なのか，罰則とは別に課徴⾦を導⼊する必要があるのかについても，様々な観点から検討する必要がある。」（47⾴）とする。
• 課徴⾦の導⼊は，事業者に対して，データ保護についての投資を促すアナウンス効果は⼤きいと思われる。他⽅で，⾏政命令が個⼈情報保護委員会から⼀件も出ていないということは⽴法事実を疑わせ，事業者の理解も得られないのではないか。
• また，⾼額な課徴⾦によるコントロールの主たる対象と思われているいわゆるプラットフォーマーについては，⽇本での登記等を⾏っていないため，⾏政処分や⺠事訴訟に著しい⽀障が⽣じている（会社法上の外国会社の登記等に関する規定（817条，818条，933条等）は形がい化している）。GDPRにおける代理⼈設置義務にならい，いわゆるプラットフォーマー等，課徴⾦の対象とすることが適当な事業者については当該義務を課すとともに（⽇本法においても国税通則法には納税管理⼈の制度が存在する）これを満たさない場合は刑事罰（国外犯処罰規定が必要）を課すこととして，⾏政処分の対象とするとともに，国内の事業者同様に⺠事訴訟を起こせるようにすべき。

2019/5/17

個⼈情報保護委員会ヒアリング11

参考：国税通則法117条（納税管理⼈）• 第百⼗七条 個⼈である納税者がこの法律の施⾏地に住所及び居所（事務所及び事業所を除く。）を有せず，若しくは有しないこととなる場合⼜はこの法律の施⾏地に本店若しくは主たる事務所を有しない法⼈である納税者がこの法律の施⾏地にその事務所及び事業所を有せず，若しくは有しないこととなる場合において，納税申告書の提出その他国税に関する事項を処理する必要があるときは，その者は，当該事項を処理させるため，この法律の施⾏地に住所⼜は居所を有する者で当該事項の処理につき便宜を有するもののうちから納税管理⼈を定めなければならない。
• ２ 納税者は，前項の規定により納税管理⼈を定めたときは，当該納税管理⼈に係る国税の納税地を所轄する税務署⻑（保税地域からの引取りに係る消費税等⼜は国際観光旅客税（国際観光旅客税法第⼗六条第⼀項（国内事業者による特別徴収等）の規定により徴収して納付すべきものを除く。）に関する事項のみを処理させるため，納税管理⼈を定めたときは，これらの国税の納税地を所轄する税関⻑）にその旨を届け出なければならない。その納税管理⼈を解任したときも，同様とする。
2019/5/17

個⼈情報保護委員会ヒアリング

12

2.5

ペナルティの在り⽅（続）• ②課徴⾦を導⼊する際は対応のインセンティブを⽰すような規定ぶりにすべき• 仮に課徴⾦を導⼊する際は，どのような対応をすれば課徴⾦によるダメージが最⼩化できるのか，考慮要素を⽰すことによって，データ保護についてどのような点に投資すべきかの適切なアナウンスを⾏うべき。GDPR83条2項（中間整理45⾴，注21）が参考になる。

2019/5/17

個⼈情報保護委員会ヒアリング13

2.6 法の域外適⽤の在り⽅及び国際的制度調和への取組と越境移転の在り⽅• ①外国事業者への執⾏の実質確保が最⼤の問題• そもそも，法の域外適⽤については，個⼈情報保護委員会が⾏政処分を⾏うことができない（法75条）。
• しかしながら，いわゆるプラットフォーマー等，課徴⾦を導⼊するか否かにかかわらず，⾏政処分等が存在しなければ法令遵守を確保できない事業者については，GDPRにおける代理⼈設置義務にならい，対象とすることが適当な事業者については当該義務を課すとともに（⽇本法においても国税通則法には納税管理⼈の制度が存在する）これを満たさない場合は刑事罰（国外犯処罰規定が必要）を課すこととして，⾏政処分の対象とするとともに，国内の事業者同様に⺠事訴訟を起こせるようにすべき。

• ②欧州からの移転は⼗分性認定を確保しつつも様々なアプローチをすべき• 欧州からは平成31年1⽉23⽇付で⼗分性認定を得られたが，「個⼈情報保護法の適⽤範囲」に限定され，「補完的ルール」が付随している。後者を法令に取り込みつつも，⼗分性認定⾃体は維持すべきであるが，戦略的に，「承認された⾏動規範」や「承認された認証⽅法」による移転についても進めるべき（GDPR46条2項(e)(f)）。
これらは，⽇本以外への移転の根拠にもなりうる。

2019/5/17

個⼈情報保護委員会ヒアリング14

2.6 法の域外適⽤の在り⽅及び国際的制度調
和への取組と越境移転の在り⽅（続）• ③APEC-CBPR＋αについては積極的に検討すべき• 事務局からは，『個⼈データに関する国際的なデータ流通の枠組みについて』（第101回個⼈情報保護委員会（平成31年4⽉12⽇【資料2】）において，「CBPRシステムに「何か」を加えた認証⽅法の構築」が掲げられており，賛成である。
• APEC-CBPRとBCR（拘束的企業準則）のインターオペラビリティの議論については，2010年頃から存在しているものの，具体的には進んでいないものと承知している。実際に，「補完的ルール」において，再移転の根拠はAPEC-CBPRだけが許されなかった。そこで，APECCBPR＋αについて，APECにおける別の（より⾼度な）認証とした上で，BCRではなく，GDPR上の「承認された認証⽅法」とのインターオペラビリティを図ろうとする試みは，適切であると思料する。
2019/5/17

個⼈情報保護委員会ヒアリング

15

3

その他

• いわゆる3年ごと⾒直しに係る検討の回は，個⼈情報保護委員会を公開で開催すべき• あらゆる事業者等に影響のある法律の改正に関する議論であり，全くの⾮公開で開催して正統性（legitimacy）が保てるのか，疑問がある。
原則公開で開催すべきではないか。
• 個⼈情報保護委員会本会の公開に⽀障があるのであれば，専⾨委員による専⾨委員会を公開として議論することも考えられるのではないか。

2019/5/17

個⼈情報保護委員会ヒアリング16