資料１

ヒアリング資料

一般財団法人日本情報経済社会推進協会
2023年11月29日©2023 JIPDEC All Rights Reserved.

1

はじめに

©2023 JIPDEC All Rights Reserved.

2

はじめに

・この度は、個人情報保護法「いわゆる３年ごと見直し規定」に関するヒアリングにお声がけいただきありがとうございます。
・本資料は、第261回 個人情報保護委員会 配布資料2-1「個人情報保護法 いわゆる３年ごと見直し規定に基づく検討」検討の方向性①～③を基に、認定個人情報保護団体業務を通じた事例等も踏まえ、とりまとめを行っています。

©2023 JIPDEC All Rights Reserved.

3

基本情報

©2023 JIPDEC All Rights Reserved.

4

基本情報
名 称：(一財)日本情報経済社会推進協会（JIPDEC）
所在地：東京都港区六本木1-9-9 六本木ファーストビル内
沿 革：1967年12月 設立
1998年４月 プライバシーマーク制度運用を開始※以下「Pマーク」と表記
2005年６月 認定個人情報保護団体の認定を受ける
2016年１月 APEC CBPRs AAの認定を受ける
・設立 56周年
・Pマーク制度運用 25周年
＜認定個人情報保護団体＞
・対象事業者：約11,000社（2023.11現在）
・CBPR認証 ：４社
・苦情処理 ：問合せ総数 年間4,341件／苦情223件（2022年実績）※CBPR認証制度窓口での受付
問合せ総数 年間約500件／苦情０件
商品・サービス等に係る問合せや苦情が多い©2023 JIPDEC All Rights Reserved.

5

いわゆる３年ごと見直しに係る事項©2023 JIPDEC All Rights Reserved.

6

いわゆる３年ごと見直しに係る事項（1/7）
１．個人の権利利益のより実質的な保護の在り方

情報通信技術等の高度化に伴い、大量の個人情報を取り扱うサービスが生まれる一方、個人の権利利益侵害のリスクも増大①多様な場面で個人情報の利活用が進む一方、個人の権利利益の侵害を防ぐために設定すべき規律
プライバシー強化技術（Privacy Enhancing Technologies：PETs）の利用が国内外で見られるが、その安全性等を記載したガイドが無いため、各企業において、その適用を考え、時には安全性を過重に重視し、サービスが行えない等のケースもみられる。
PETsに関する安全性基準等のガイドラインの整備を進め、併せて必要に応じて法律面の対応も検討してはどうか。
本頁以降のテーマ
出所：第261回 個人情報保護委員会配布資料
資料2-1「個人情報保護法 いわゆる３年ごと見直し規定に基づく検討」を加筆修正の上記載©2023 JIPDEC All Rights Reserved.

7

いわゆる３年ごと見直しに係る事項（2/7）
１．個人の権利利益のより実質的な保護の在り方②本人の関与の在り方、年齢や発達の程度に応じた配慮が必要なこども等の関与の在り方
こどもに関する規律は多くの国が設定しており、何らかの規律を設定することが望ましい。
グローバルに事業を展開する事業者は対応済であるため、規律を導入した場合も負担なく実施できるのではないか。
（例：Amazon）。
日本は、若者の多くがオンラインショッピングを利用したり、スマホ等の保有率利用時間も長時間化するなか、個人の権利利益
侵害のリスクを防ぐ手段、或いは被害に遭った後の民事的な救済も、本人（保護者）が行わなければならない。
※JIPDEC指針：子供、高齢者等からの不適正取得の独自事例を追記
対象事業者から、子供や高齢者の対象範囲について何らかの基準がないと対応が困難という意見もあり。
©2023 JIPDEC All Rights Reserved.

8

いわゆる３年ごと見直しに係る事項（3/7）
１．個人の権利利益のより実質的な保護の在り方③個人の権利利益保護の手段を増やし、事案の性質に応じた効果的な救済の在り方
手段が増えるだけでは事業者が必要最低限の対応をするに留まりやすいため、権利利益の行使ができる環境を整備していない場合の対応も明確にした方が効果的ではないか。
令和２年改正で個人の権利の在り方が拡充されたが、消費者のうち、正確な理解の元で権利を行使できる者は僅かである。
例）・問合せ窓口が１つしかなく、何の問合せが出来るのかが示されていない場合、法的な権利に基づく窓口とは理解できないことが想定される。
・体制整備により外国にある第三者へ自身の情報が提供された場合、「本人の求め」によって、事業者へ申し出る事例は現実的には発生し得ないのではないか。
なお、窓口が１つあれば法的には違法とまでは解されない。
©2023 JIPDEC All Rights Reserved.

9いわゆる３年ごと見直しに係る事項（4/7）
２．実効性のある監視・監督の在り方

悪質な「名簿」事案、転職先への不正提供事案等、不適正利用事案や、同一事業者の漏えい等事案の発生に対する厳罰化、迅速な執行、実効性のある監視・監督の在り方①従来の指導を中心とした対応に限らない実効性のある監視・監督
他国の執行状況を参考にして、指導を中心とした対応から一段引き上げた対応にしてはどうか。
例）グローバル企業が他国で巨額の罰金刑に処された事例への対応（Google、Meta等 韓国は罰金刑を執行）②重大な事案や故意犯による悪質な事案を抑止するための方策
悪質事案を抑止するために法改正等を行った後は、改正結果を見える形（定期的な執行状況の公開）で、執行強化等を行ってはどうか。
③重大な漏えい等事案の状況把握及び、適切な執行の実施当該企業以外から発覚する事例が多いと考えられるため、虚偽報告だけでなく、未報告を厳罰化してはどうか。
©2023 JIPDEC All Rights Reserved.

10いわゆる３年ごと見直しに係る事項（5/7）
３．データ利活用に向けた取組に対する支援等の在り方
健康・医療、教育、防災、こども等の準公共分野を中心に、機微性の高い情報の利活用ニーズが強い。個人の権利利益の保護と適正な利活用を促進する方策①公益性の高い分野／安全性の確保の判断基準・政府内の連携体制
デジタル技術の活用（社会実装）は、①自由の確保、②公共の安全、③個人の保護の３つの柱のバランスによって促進される。個
人情報の保護と利用を扱う貴委員会と共に、自由の確保を議論する省庁が議論し、公共の安全についての整合を図る連携体制が必要なのではないか。

©2023 JIPDEC All Rights Reserved.

11

いわゆる３年ごと見直しに係る事項（6/7）
３．データ利活用に向けた取組に対する支援等の在り方②国際的に、より円滑なデータの流通を実現するための制度的課題、議論の進め方（国際的枠組みの例等）＜越境移転ツールの場合＞

政府主導の制度である事とメリットを、事業者に向けて発信する仕組みが必要ではないか（認知度向上）。
制度が優れていても、認知度が低く取得事業者も少ない場合、導入事業者が限定的となり、円滑なデータの流通を促進ツールとして機能することが期待できない。
SCC等の締結により越境移転は可能だが、コスト・人員等で中小企業は対応が困難なため、補助制度等を検討できないか。
APEC CBPRでは、AAが政府機関の場合、無償で認証付与を行い取得企業を獲得することで推進を図ってきた（シンガポール、韓国）。
IAPで継続的に取り上げつつ、比較・検討だけではなく各国の法制度との整合等越境移転ツールの導入障壁と対応策等、ツールとして機能するための具体的な議論も併せて実施していただきたい。

©2023 JIPDEC All Rights Reserved.

12いわゆる３年ごと見直しに係る事項（7/7）
３．データ利活用に向けた取組に対する支援等の在り方③民間事業者等の取組を促す動機付けの仕組みや支援機微性が高い情報の利活用を行う上では、前記 ①自由の確保、②公共の安全、③個人の保護（プライバシーの保護）を考慮する必要があり、対応する手法としてPIA（プライバシー影響評価）があり、貴委員会でも“民間の自主的な取り組み”として推奨されている。
一方で、生成AIが登場するなど技術進展が進み、企業においてPIAの実施を判断すべきものと、PIAの実施を求める必要があるものが明確になりつつあると考えている。
その観点から、PIAを求めるべきケースを明示する事が必要なのではないか。

©2023 JIPDEC All Rights Reserved.

13

【参考】
認定個人情報保護団体制度・業務に関する意見©2023 JIPDEC All Rights Reserved.

14認定個人情報保護団体制度・業務に関する意見（1/4）
１．団体の運営
JIPDECは、認定個人情報保護団体（以下、「認定団体」と表記。）の対象事業者に同意をいただき認定業務を提供させていただくにあたり、会費をいただいていない。
他方、苦情処理の対応や対象事業者への情報発信（セミナーの開催）、とりわけAPEC CBPRの認証業務では、情報収集や他審査機関、規制当局等と意見交換も含め海外出張も発生し、赤字運営となっている。
JIPDECは事業分野の対象を限定せず広く受け入れを行っているため、事業者団体とも異なる運営形態となる。
→

今後、民間の自主的な取組を推進する組織として認定団体制度の拡大を目指す場合、補助制度や助成の仕組み等をご検討いただけないか。

©2023 JIPDEC All Rights Reserved.

15認定個人情報保護団体制度・業務に関する意見（2/4）
２．事故報告令和２年改正法により、認定団体を経由して報告していた（対象事業者の場合）漏えい等事案が、個人情報保護委員会へ直接漏えい等事案を報告すること義務づけられた。
１）認定個人情報保護団体への影響：
指導・勧告を行う場合、漏えい等事案に起因するものが想定されるところ、指導・勧告につながる例は発生しづらい。
→ 認定団体の役割の希薄化（＝団体の重要性も低下）
２）事業者の意見：
報告義務のある事案は１件でも速報・確報が必要となり、業務が煩雑化。また、「おそれ」の判断基準が明確でないた
め、結局全ての事案を報告せざるを得ない等、改善要望の声が寄せられる機会あり。※報告しない事業者も→ 報告の手段、報告義務要件等を見直していただけないか。
©2023 JIPDEC All Rights Reserved.

16認定個人情報保護団体制度・業務に関する意見（3/4）
３．対象事業者のメリットの見える化
昨年、ご要望を出させていただき貴委員会Webサイトに対象事業者になることのメリットを追記していただいた。所管官庁が公表する意義は大きい。対象事業者になることの意義やメリットを、更に多くの事業者に理解していただきたい。
→ 既存イベント（認定団体向け、対象事業者向け）だけでなく、対象事業者参加型のイベントを新たに創出できないか。
→ 複数の認定団体に所属する事業者及びそれ以外の認定団体に所属する対象事業者に向けて、対象事業者への情報提供等に関連するイベント情報を、貴委員会のWebサイトに掲載していただけないか。
→ 認定団体制度自体の普及啓発活動を、是非実施していただけないか。（動画、オンライン・対面のイベント等）©2023 JIPDEC All Rights Reserved.

17認定個人情報保護団体制度・業務に関する意見（4/4）
４．個人情報保護法講座・勉強会の開催（実務連動型）
令和２年、令和３年改正等、非常に有益な改正が行われた一方、個人情報保護法が複雑になっている傾向がある。事業者向けの基礎講座は大変好評（チェックリスト形式で改正法対応が出来ているか確認）で、近年増加傾向のクラウドサービスの利用や越境移転等をテーマとしたセミナーでは3,000名の申込があった。
改正内容やその後の利活用を見据えた質問を想定していたが、改正された内容以前に、基本的な部分の理解が不足している実態も明らかになった。（第三者提供、委託、越境移転、外的環境の把握 等）→

個人情報保護法の実務に役立つ基礎的な理解を推進する教材、動画、セミナーの開催を、検討していただけないか。

→

ビジネスサポートに寄せられた、よくあるご相談内容やお尋ねをユースケースとした勉強会の開催等、蓄積された情報を活用する仕組みを検討いただけないか。

©2023 JIPDEC All Rights Reserved.

18