個人情報保護委員会（第２６５回）議事概要
１ 日時：令和５年 12 月 20 日（水）１４：００～

２ 場

所：個人情報保護委員会

委員会室

３ 出席者：丹野委員長、小川委員、中村委員、大島委員、浅井委員、加藤委員、藤原委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官
４ 議事の概要（１）議題１：いわゆる３年ごと見直し（ヒアリング）
個人情報保護委員会議事運営規程（以下「議事運営規程」という。）第９条の規定に基づき、在日米国商工会議所（以下「ACCJ」という。）井田デジタルフォーラム委員長及び白壁デジタルエコノミー委員会共同委員長が会議に出席した。
ACCJ から資料に基づき説明があった。
髙村委員から「資料１－２に関して、幾つか質問をさせていただく。
１ページ目の１段落目中に『リスクベースのアプローチを維持し』との記述があるが、日本の個人情報保護法では、個人情報と個人データ、あるいは要配慮個人情報とそれ以外の個人情報を区別しており、これは、ある意味リスクベースのアプローチだと思うが、こういった現在の日本の個人情報保護法上の対応以外に、具体的なリスクベースのアプローチの例があれば教えていただきたい。」旨の質問があった。
これに対し ACCJ から「必ずしも海外の例ではないが、今回この意見書をまとめるにあたり弊所において様々な議論をしている折に、リスクベースのアプローチという話も出てきた背景としては、一つには prescriptive、規範的な、詳細を定めるようなルールになると、その詳細が細かくなっていくため、原理・原則でリスクベースのアプローチを行えるような法規制の枠組みであってほしいという法律的な面からの意見が強くあったことがある。
運用面でも、弊所にはヘルスケア事業を行っているメンバーも在籍しているが、例えば、医療関係の個人情報はセンシティブであるため取扱いに特に注意が必要であるところ、現場の判断としてかなり保守的に倒れる傾向にあり、あるいはその中で解釈が定まらず、結局、リスクベースというよりは厳しい取扱いとなることが多い。そのため、リスクベースのアプローチで良いということも含めて情報発信いただけるとありがたいという意見が強くあった。

また、日本の個人情報保護法上における区別の話については、それ自体がリスクベースのアプローチであるということを認識しているが、一方で複雑かつ難しいという意見もあり、この個人情報保護法における枠組みに加えて、例えば、電気通信事業法においても特定利用者情報という情報が規定されており、さらに、弊所にとってのチャレンジという意味では、そういった区分や用語について英語で説明する必要がある場面が多くあるため、英語で説明した際に伝わるような、日本語を解する者だけでなく、英語話者等にとっても概念としてクリアなのかというところも含め、区分の細分化ということについてはチャレンジがあるという意見が多くある」旨の回答があった。
髙村委員から「同じく資料１－２の、１ページ目の２段落目について、三つほど質問させていただく。
一つ目は、３行目に『実用的なユースケースに基づく』という記述があるが、この具体例を教えていただきたい。
二つ目は、４行目から５行目にかけて『企業は個人情報保護に関するユーザー組織間の一貫性の欠如という課題に直面』と記述があるが、この課題の具体例を教えていただきたい。
三つ目は、12 行目から 13 行目にかけて『グローバルな規制との相互運用性』という記述があるが、このグローバルな規制というのが、例えば EU や米国といった特定の地域を想定されているのか、どのような規制を想定されているのかについて、教えていただきたい。」
これに対し ACCJ から「一つ目の、『実用的なユースケースに基づく』についてだが、この場で具体的な例を持ち合わせていないが、弊所で意見を集約することは可能なため、追って共有させていただく。
二つ目の、『企業は個人情報保護に関するユーザー組織間の一貫性の欠如という課題に直面』については、先ほど申し上げた内容と一部重複するが、制度が複雑であればあるほど、判断に迷い、一つの事業者内でも正しい判断ができず、あるいは複数の事業者含めてレジメントされている場合、あるいはパートナー企業とも含めて、個人情報の解釈にバラつきが生じているということが、現場で起きていることである。そういった、判断の一貫性の欠如である。そのため、分かりやすい制度が存在するとありがたい。
三つ目の、『グローバルな規制との相互運用性』についてだが、こちらについては特定の方法を想定しているわけではない。他方で、GDPR を含め、海外の法規制との相互運用性の観点から申し上げると、日 EU の間では相互運用の仕組みが存在しているが、日米の間では存在しないため、CBPR 等の国際的な枠組みを、弊所のメンバーを含め活用している。例えば、米国側に認証の仕組みが存在しないため簡単ではないかもしれないが、日米の間で何らかがあるというのは、ACCJ のメンバーである会員企業にとっては大変心強いという意見が多くある」旨の回答があった。
大島委員から「１点目は、資料１－２の、１ページ目の１段落目、４行目から５行目にかけて『グローバルスタンダードとの相互運用性』という表現を使用されている。各国に様々な法制度が存在していることを踏まえれば、相互運用性のある国際環境の構築を目指すことが重要だと、私どもも考える。日 EU 間、日英間には、お互いの個人情報保護制度が同等の水準にあると認める相互認証の枠組みが存在している。これに基づく円滑な個人情報の越境移転が可能である。一方で、米国には包括的な個人情報保護に関する連邦法が存在していないため、現在は、日米間には相互認証の枠組みが現状存在していない。このような状況についてどのように考えるか、教えていただきたい。
２点目は、米 EU 間については、EU から米国への個人データの越境移転の枠組みに関し、今年の夏に『EU 米データ・プライバシー枠組み』が、GDPRに基づく EU の十分性認定を受けて施行されたものと認識している。『EU 米
プライバシー・シールド』など従前の枠組みへの十分性認定が取り消されたことがあるが、米国企業としては、その安定性も含めて、当該枠組みをどのように評価しているかについて、教えていただきたい」旨の質問があった。
これに対し ACCJ から「１点目の、『グローバルスタンダードとの相互運用性』については、先ほどの説明内容と一部重複するが、米国では連邦法が存在しないという、相互運用をするにあたってのチャレンジがある中ではあるが、当然、日米間で相互運用をすることができればありがたいと思っており、同時に、DFFT もそうだが、データの越境移転が重要となってくる中で各国の法規制が異なるというのは、実務的な管理や法解釈のレベル等、様々な面から運用上の障害になるため、大きな願いとしては、できる限りハーモナイズされているとありがたいというもの」という旨の回答があった。
また、ACCJ から「２点目の、『EU 米データ・プライバシー枠組み』については、2020 年に欧州連合 EU 司法裁判所が当時の『プライバシーシールドフレームワーク』に懸念を示し、これを無効としたところ、この懸念に対処するために成立したものであると考えている。まず、こうした枠組みを作られた欧州委員会と米国政府に関しては、我々はありがたいと感謝しているところ。この枠組みは米国の監視法に対する EU の二つの懸念に対処するものであると理解しており、一つ目は、許容される米国の国家安全保障活動の範囲と比例性、二つ目は、米国の諜報機関によって個人データが不適切に収集及び使用されている欧州市民の救済メカニズムの利用可能性、この２点に対して取り組んでいくといったものであると考えている。
安定性に関しては、この、『EU 米データ・プライバシー枠組み』がまだ成立したばかりの仕組みであるということも踏まえると、今後、異議申立てや政治的変化に対し、関係する利害関係者の支持や適切な認識を得ることができるのか等に関わってくるものであると思うが、そこを乗り越えていくものであろうと期待している」旨の回答があった。
中村委員から「罰則に関連して、２点質問させていただく。我が国において、個人情報の不適正利用事案や、個人情報データベース等の不正提供等事案が発生しているところ、諸外国における直近の執行状況も踏まえると、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げや直罰化、課徴金制度の導入を検討すべきと考える。
１点目だが、欧米においては、EU、GDPR には、制裁金が規定され、１か国で年間２桁から３桁の執行件数があり、米国でも多額の制裁金を課される例があると認識している。もし、御提言にある『グローバルスタンダードとの相互運用性』を確保するということであれば、わが国の個人情報保護法についても、これに合わせて強化するというベクトルで考えるというのが論理的帰結であるように思われる。貴団体としては、罰則や罰金等のペナルティの強化については否定的のようだが、その点はどのように考えるか。
２点目だが、令和２年改正のヒアリングの際に、有識者の方々から『国内企業はレピュテーションリスクを非常に恐れているので指導で違法体制が是正されるという評価もあり得るが、すでに多額の制裁金リスクに対応している海外事業者に対してはいわゆる指導ではなく、課徴金等の金銭的な制裁が有効ではないか』という趣旨の指摘を頂いた。そういった指摘については、どのように考えるか」という旨の質問があった。
これに対し ACCJ から「罰則に関しては、グローバルの基準に引っ張られる流れであると十分承知している。どのように執行を担保していくか、適切に執行していくかという部分が肝であろうと考えると、サポート面をしっかり提供していくことや、ユーザー組織間の一貫性を確保していくことも大事だと思っている。
ここからは個人的、感覚的なコメントになってしまうかもしれないが、レピュテーションリスクについて、米国企業としても重要であると考えており、社内でも trust という言葉が頻繁に使われる。この、trust は個人情報を含むデータの保護や、顧客の信頼に応える、約束を守るといった意味が当然のごとく含まれている。そのため、レピュテーションリスクを気にしないということは全くないと感じている。また、おそらく皆様が想像される以上に、コンプライアンスに関しては徹底的な意思を社内で感じることがある。

そのため、罰則を引き上げることで直ちに法令を遵守するインセンティブが増すということではなかろうと思っている」旨の回答があった。
また、ACCJ から「罰金や課徴金等については、おそらく、今まで日本がそうしてこなかった歴史的背景や、法規制面での海外との差分といったものが存在すると思われる。そのことを考慮せずに、罰金や課徴金の部分だけを海外に倣うというのは、萎縮効果だけを生み出してしまうことになりかねないと思っている。そのため、データ利活用自体を慎重に進める風土がある日本において課徴金等の罰則も加わると、利活用面での制約にもなり得ると懸念はしている。
それから、レピュテーションリスクの部分についてだが、海外企業と言っても米国企業とそれ以外では大いに差分はあると思うが、むしろ、レピュテーションリスクについては気にされていると思っている。それは日本企業以上ではないかと感じることも多く、更に加えて法令遵守やコンプライアンスの観点から、法律で決まっていることはやって当然であるという意識が強いため、日本において法令を守っているのか、違反しているかという議論が起こっているが、そのこと自体に違和感がある部分もあり、法律で決まっていることは当然守るという風土が、米国企業においては非常に強いと思っている」旨の回答があった。
加藤委員から「安全管理措置と民間の自主的な取組について質問させていただく。最近の漏えい等事案の例に鑑みると、委託先事業者や派遣職員を含めた安全管理体制の整備や、システム設計や運用を含めたヒューマンエラーの防止策、不正アクセス対策等の安全管理措置を講じることが重要であると考える。グローバル企業の多くはグローバルスタンダード遵守のためのセキュリティ投資を行っているとのことだが、具体的にどういった対策がスタンダードとして実施されているのか教えていただきたい」旨の発言があった。
これに対し ACCJ から「業界によって守らなくはならない国際基準等にバラツキはあると思うが、多くの企業は ISO や NIST の標準を含めて、遵守していると思っている。ここからは個人的な印象論になるが、個人情報等の管理に限らない経営一般に関して、いろいろなことについて相当システム化が進んでいる。そのため、アクセスできる情報の制限や閲覧の承認の仕組み等、全てシステム化されており、そこは日系企業との大きな違いだと思っている。そのため、システムを活用しながらガバナンスが効いた形で運用することにより、安全管理措置の実現、セキュリティの安全性を確保しているということが大きく言えると思っている」旨の回答があった。
また、ACCJ から「一つの個別事例の御紹介になるが、私が勤務している

会社の例でいうと、あらゆるプロダクトを設計するうえで、プライバシー・バイ・デザイン、セキュリティ・バイ・デザインの考え方は最初から組み込まれており、BtoC の文脈で考えると、例えばゲーム機があったとすると、まずアーキテクチャを検討する段階でどのようなリスクが存在するのかというところを社内で徹底的に議論する。このリスクがプライバシーやセキュリティ、詐欺、こども、性的なもの等いろいろなものが含まれる。時には、被害者の方も含めて、社内で一緒に議論をする。その際に、対策ツールやポリシー等について、アルゴリズムも含めて議論した上でアーキテクチャを作る。その次の段階として不適切な事案が発生した場合の対処法、例えばコンテンツであればコンテンツモデレーションをどのように行うかというところを議論する。そして、ユーザーがいる場合には、カルチャーやコミュニティが存在するため、どのようなカルチャーを作りたいのかといったところで、例えば利用規約の作成やユーザーの方への啓発等により、カルチャーの醸成を行う。４段階目として、マルチステークホルダー、いろいろな方から意見を頂き、フィードバックをして改善をしていく、コラボレーションの段階に入っていく。
このように、最初のビジネスモデルを作る段階で、既にプライバシー・バ
イ・デザイン、セキュリティ・バイ・デザインのアプローチを取っている。
また、別の視点で言うと、全社員を対象としたセキュリティやプライバシーに関するトレーニングを、理解度に関する試験も含めて実施するなど、社員のリテラシーや意識啓発の取組も行っている。安全管理措置としては、そういったことも含めて、総合的に対策をした上でのセキュリティになると考えている。また、もちろんサプライヤーとの契約上の管理についてもいろいろな対策を行っている」旨の回答があった。
丹野委員長から「本日頂いた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」
旨の発言があった。
（２）議題２：第 60 回アジア太平洋プライバシー機関（APPA）フォーラム等
結果報告について事務局から、資料に基づき説明を行った。
浅井委員から「私は４回目の参加となったが、今回が初めての対面参加となった。まず、本年６月に開催された G7 DPA ラウンドテーブル会合の議長国として、その成果について報告を行った。APPA フォーラムにおいても、
G7 DPA ラウンドテーブルの成果について紹介できたことは、有意義な情報提供の機会になったと考えている。

また、AI をテーマに取り上げられたパネルディスカッションでは、当委員会が公表した生成 AI サービスの利用に関する注意喚起等について紹介し、各国プライバシー機関に多少なりとも気付きを与えられたと考えている。
APPA フォーラムは、アジア太平洋地域に特化した視点からのプライバシー機関間の知見及び情報交換の場として有用であると考えている。引き続き、当委員会の取組を積極的に発信する場として活用していきたい」旨の発言があった。
中湊専門委員から「私は今回で７回目の参加となった。今回のフォーラム
では、OECD における信頼性あるガバメントアクセスの高次原則の策定と日本の活動・役割について報告した。この報告に対する各国の参加メンバーからの反応は、高次原則の策定を含む DFFT 推進の取組における日本のリーダーシップに感謝するといった発言や、ガバメントアクセスの問題はプライバシー機関が検討すべき重要な課題であるとの意見があった。DFFT 推進に関する当委員会の姿勢を改めて打ち出すことができたのは大変良かったと感じている。
さらに、各国のプライバシー機関の主要メンバーと、会議以外の様々な機会も通じて対面で会話をすることにより、各国の取組や当委員会との協力の可能性について、より深い議論ができたことも成果であったと考える。
引き続き、当委員会として国際的な議論や活動に積極的に貢献し、プレゼンスの向上に寄与していきたい」旨の発言があった。
（３）議題３：厚生労働省（公的年金業務等に関する事務）の全項目評価書（年金業務システムの本格開発（フェーズ２）に伴う評価の再実施）の概要説明について
議事運営規程第９条の規定に基づき、厚生労働省樋口事業企画課長並びに日本年金機構嶌内理事及び刷新システム開発部安藤システム調整監が会議に出席した。
樋口課長、嶌内理事、安藤システム調整監から、資料に基づき説明を行った。
小川委員から「リスク対策と、統合データベースについて、２点ほどお尋ねする。
１点目の質問だが、年金業務システムは公的年金業務の基幹を担う重要なシステムに位置づけられるものであり、日本年金機構においては、年金業務システムのフェーズ２移行に際して、特定個人情報データの取扱いだけでなく、移行後の障害によるシステム停止や、データの毀損等の多角的なリスク分析と対応を実施していると考えている。リスク対策の検討においては、例えば、過去事例の分析等も手法の一つとして考えられるが、年金業務システムのフェーズ２移行においては、どのような方法でリスクの洗い出しを行ったのか、具体的に説明いただきたい。
２点目の質問だが、年金業務システムのフェーズ２では、統合データベース化により今まで分散していた年金情報が一元的に管理されると理解している。これにより、更に事務処理や運用保守等の効率化が図れると期待しているが、年金業務システムのフェーズ２稼働後においては、悪意のある者が統合データベースへ不正アクセスすることにより、統合データベースに保存されていた年金情報がすべて漏えいしてしまうリスクも考えられる。この点、データベースへのアクセスに係るリスクやその対策について、説明いただいたと思う。端末や媒体等の安全管理措置は従来からも取り組んでいるものだと承知しているが、統合データベース化に伴い、何か新規のリスク対策は講じているのか御回答いただきたい」旨の発言があった。
これに対し、１点目の質問については嶌内理事から「リスク対策について、日本年金機構では、過去の大規模プロジェクトの事例を分析しリスクの洗い出しを実施している。具体的には都市銀行のシステム統合プロジェクト
では、システムやプロジェクトの特性から考えられるリスクを洗い出し、リスクの大きさを定量的に把握して、それぞれに優先順位をつけて対策を考えていたことから、（年金業務システムの）フェーズ２開発においても同様の取組を行った上で、RFI における技術的対話を通じて取得した開発事業者からの意見や情報提供の内容も踏まえたリスク対策を実施している。
例えば、都市銀行のシステム統合プロジェクトでは、接続テストの失敗は、プロジェクトの失敗に直結するというリスクに対し、プロジェクトの準備段階で、テストの計画立案と遂行に責任を持つ専門組織『テスト移行推進グループ』を発足しており、年金業務システムのフェーズ２開発においても、移行作業を限られた期間内に確実に実施するために、移行 WG（ワーキング）を設置し、移行準備作業から本番移行及び移行作業結果報告に至る一連の移行全体作業について、現行事業者を含む複数の関係者間での調整及び検討を行うこととしている。
なお、テストについても、マルチベンダ体制で各種テストを円滑に実施するために、テスト WG（ワーキング）を設置し、サブシステム間に跨る課題・リスクの抽出、対策の検討やテストの検証観点等を整理したテスト方針書の早期策定を実施しているところである」旨の回答があった。
２点目の質問については、安藤システム調整監から「統合データベース化に伴うリスク対策については、日本年金機構で取り扱う年金個人情報の重要性に鑑み、現行システムにおいても、端末から管理するデータまで、多層的なセキュリティ対策を行っている。年金業務システムのフェーズ２においても、取り扱う個人情報の重要性は変化しないことから、現行システムと同様に端末から管理するデータまで、多層的なセキュリティ対策を行うこととしている。
具体的には、当機構で業務に使用している端末についてはインターネット環境から完全分離していることから、外部からの不正アクセスによる漏えいリスクは除去されている。また、業務におけるデータベースアクセスについても、セキュリティレベルに応じて領域を分割し、隣接する領域でのみ通信を可能とすることで、最も重要なデータベースに対してのアクセスを限定し、業務端末から直接アクセスできない対策を行っている。
これに加えて、知識や生体認証によるアクセス制御のほか、アプリケーションによるアクセス制御を行うこととしている。
なお、システムの運用管理・保守業者については、個人番号をその内容に含む電子データを取り扱うことはできないように、管理業務に必要ない業務系データベースのアクセス権限は付与しないこととしている。
今後開発を進める中で、社会的なセキュリティ脅威の動向や政府統一基準の変更により、リスク対策の追加が必要となった際には、その都度ご報告させていただきたい」旨の回答があった。
加藤委員から「データ移行に係る特定個人情報の保存期間について、２点ほどお尋ねする。年金業務システムのフェーズ２への移行にあたり、既存システムからのデータ移行業務を外部に委託することが評価書に記載されている。
１点目の質問だが、データ移行のために電子記録媒体に特定個人情報を一時保存することが想定されており、当該電子記録媒体の管理に関して説明いただいたが、どの程度の期間保存をするのか説明いただきたい。
２点目の質問だが、現行システムに保存された特定個人情報が消去されないリスクについても説明いただいたが、現行システムにおいては、どの程度の期間保存をするのか説明いただきたい」旨の発言があった。
これに対し安藤システム調整監から「ご指摘のとおり、データ移行に際しては、電子記録媒体を利用することとしている。この電子記録媒体については、正確なデータ移行完了と判断できるまで保存することを想定しているが、具体的な保存期間については、詳細設計工程で決定する予定である。
また、現行システムに保存された特定個人情報については、年金業務システムのフェーズ２システムへの切り替えが完了し、安定稼働したものと判断されるまで保存することを想定しており、現行システムの閉塞と同時の消去となると考えているが、具体的な保存期間については、現時点での回答

は困難であることをご理解いただきたい」旨の回答があった。
梶田委員から「年金業務システムのフェーズ２への移行により、事務の流れに変更はないとの説明であるが、職員が事務を遂行するに当たり、使い勝手や画面の見え方等ユーザーインターフェースに変更等は生じると考えられる。
日本年金機構は全国に事務所等が存在し、当システムを利用する職員数も多いため、慣れない画面での操作等により、操作者のミス等が発生し、特定個人情報等の毀損リスクもあるかと思うが、どのようなリスク対策を講じるのか説明いただきたい」旨の発言があった。
これに対し安藤システム調整監から「今回の年金業務システムフェーズ２の開発においては、新たなプログラムの開発により生じ得るリスクを低減させるため、既存の記録管理システム及び基礎年金番号管理システムの設計情報を活用した現行資産を活用した開発、つまり、既存のプログラムロジックを変更せずプログラム言語の置換による開発と新規にプログラム開発を行うリビルド開発を組みあわせた開発手法をとっている。
このうち、全国の年金事務所、事務センターの職員が原簿更新等に使用する画面については、現行資産を活用した開発で構築するため、画面の操作性等に変更は生じないこととなる。なお、システムチェックのみならず、システムチェックで確認できない入力誤り、添付書類の確認等、届書処理の職員等の目視による審査を徹底し、人為的ミスの抑止に引き続き努めてまいりたい。
また、職員が被保険者情報等を照会する際に使用する画面については、リビルド開発で構築するが、照会画面を使用して原簿更新することはない。したがって、ご指摘のようなユーザーインターフェースの変更に伴う特定個人情報等の毀損リスクについては生じないと考えている。
なお、当該システムの稼働前には、全国の拠点職員に対し、操作研修を十分な期間をかけて実施することとしており、年金業務システムのフェーズ２稼働後に職員が画面操作に困ることがないよう努めてまいりたい」旨の回答があった。
丹野委員長から「日本年金機構では、公的年金に関する事務のために１億人以上という非常に多くの国民の特定個人情報を取り扱っていると承知している。
年金業務システムのフェーズ２は、公的年金に関する事務の基幹システムとして、自機関での利用だけでなく、外部機関との年金に関する情報のやりとりを行うこととなる。
また、年金業務システムのフェーズ２は、非常に大規模で長期間の開発となるため、開発中に要件変更等が発生することや、技術の進歩等により、現時点で想定されていない様々なリスクが生ずることも考えられる。
厚生労働省及び日本年金機構は、過去に、当委員会から特定個人情報等の取扱いについて、番号法に基づく指導を受けているところである。厚生労働省及び機構においては、こうした事実も踏まえ、リスク対策についてより十分な注意を払って不断の見直し・検討を行うことに加え、システム改修内容の変更等により、事務フローの見直しや新たなリスクが生ずることとなった場合は、必要に応じて評価の再実施を行っていただきたいと考えるが、どのように考えているか御回答いただきたい」旨の発言があった。
嶌内理事から「セキュリティに関する世の中の動向や、政府統一基準の変更が十分に予想されるため、ご指摘のとおり、今後、変更が生じた場合には、都度ご相談、ご報告させていただきたい」旨の回答があった。
質疑応答の後、樋口課長並びに嶌内理事、安藤システム調整監は退席した。
続いて事務局から説明を行い、今回の厚生労働省及び日本年金機構の説明内容を踏まえ、審査の手続を進めることとなった。
（４）議題４：特定個人情報保護評価指針の改正案に関する意見募集について事務局から、資料に基づき説明を行った。
小川委員から「基礎項目評価書は、評価実施機関が活用する最も基本的な評価書である。最近のマイナンバーカード等を活用したサービスに関する事案の発生を踏まえると、このタイミングで今一度、人為的ミスの発生などのリスク対策を評価実施機関において再検討してもらうことは重要である。
特に自由記述欄を設けることで、必要なリスク対策の検討が深まることを期待している。
なお、施行日時点で提出されている全ての基礎項目評価書について再提出を求めるということで、一定の事務負担が想定される。１年半の猶予期間が終了するまでの間、円滑に評価書の再提出が進むよう、指針の解説に記載例を掲載するなど、丁寧に評価実施機関の支援を行ってほしい」旨の発言があった。
中村委員から「今回の改正案の内容について近年の事案等を踏まえた分析等に基づく適切な内容であると同時に適切な工夫や配慮がなされていると思うので、その点についてコメントを述べる。今般の改正内容は、『特定公的給付などの緊急性を要する事務への個人番号の利用』、『昨今のマイナンバーカード等を活用したサービスに関する事案』など前回の指針見直しから３年間に起こった事案を分析・考慮した内容となっていると思う。規制を強化する内容について、経過措置や様式上の工夫など、評価実施機関に対する必要な配慮がなされているほか、システム改修等、評価の水準には影響のない部分で事務負担を軽減する方策も盛り込んでおり、総じて評価実施機関の事務負担にも配慮した内容となっていると考えられる」旨の発言があった。
丹野委員長から「昨今、国民の個人情報保護に対する関心の高まりに伴って、特定個人情報保護評価制度の重要性も増している。今回の改正案は、こうした社会状況の変化や技術の進歩をよく捉えた必要十分な内容となっていると思う。例えば、インターネットを利用して特定個人情報保護評価書のパブリックコメントを実施することによって、評価実施機関の事務負担が軽減されるのみならず、幅広い国民への周知、意見提出の際の利便性の向上といった効果も期待されるのではないか。
今回の改正をより実効性のあるものとするために、評価実施機関には、改正の趣旨や内容を十分に理解していただき、遺漏なく対応していただくことが重要である。パブリックコメントの意見等を踏まえた検討を行い、改正指針等が制定された際には、説明会や研修の機会を通じて、改正の内容をわかりやすく丁寧に説明するなど、評価実施機関に十分な検討・対応を促すための支援を行っていただきたいと思う」旨の発言があった。
原案のとおり決定することとなった。
（５）議題５：独自利用事務の情報連携に係る届出について事務局から、資料に基づき説明を行った。
独自利用事務の情報連携に係る届出について原案のとおり了承され、内閣総理大臣に通知することとなった。
（６）議題６：地方公共団体における個人情報保護法施行条例の措置状況について事務局から、資料に基づき説明を行った。
丹野委員長から「ただいま事務局から、条例整備状況調査の回答に誤りがあったことから、本年４月 26 日及び 10 月 11 日の委員会で報告された調査結果と、条例届出手続において確認された内容とに齟齬が認められた旨の報告があった。これを踏まえると、一部の地方公共団体においては、個人情報保護法の理解が十分でない可能性があり、事務局においては、全ての地方公共団体における適正かつ円滑な形での法の運用を確保するため、引き続き地方公共団体に対する支援、助言及び適切な対応を改めてお願いしたい」
旨の発言があった。

（７）議題７：監視・監督について※内容について非公表
以上