日時：令和６年４月 24 日（水）13：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから第281回個人情報保護委員会を開会いたします。

本日の議題は、二つございます。
議題１「いわゆる３年ごと見直し（ヒアリング）」について、先日ヒアリングを実施した日本経済団体連合会（経団連）、新経済連盟（新経連）、日本IT団体連盟（IT連盟）が中心となり、関係団体の意見を取りまとめたとのことですので、改めてヒアリングを実施したいと思います。個人情報保護委員会議事運営規程第９条の規定に基づき、経団連、日本商工会議所、経済同友会、新経連、IT連盟、Fintech協会、シェアリングエコノミー協会、
プライバシーテック協会の８団体に会議に出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）
ありがとうございます。それでは、出席を認めます。
（各団体入室）○藤原委員長

よろしいでしょうか。本日は経団連若目田様、小川様、新経連片岡様、小木曽様、IT連盟別所様、須田様、そのほか関係団体の皆様に御出席いただいております。
それでは、早速ですが、御説明をお願いいたします。
○経団連

経団連でございます。本日はこのような機会を頂きまして誠にありがとうございます。
今回は、個人情報保護法の３年ごと見直しに対して、８団体連名で取りまとめた意見について御説明申し上げます。
まず、１ページになります。
大前提となりますが、データドリブン社会を構築する観点からは、個人の権利利益を十分に保護しながら、データの利活用を図ることが極めて重要と認識しております。個情法の目的もまさに保護と利活用の両立にあると理解しております。この目的の達成には、個情委及び事業者等、ステークホルダー間の相互の信頼が大切だと認識しております。私ども産業界は、政府と連携してSociety5.0やDFFTの実現に取り組む中、個情委の皆様と中長期的なグランドデザインに基づく、バランスの取れた合理的・合目的的な個人情報保護法
1

制の在り方について建設的な意見交換を行うことを切に希望しております。
今回の見直しに当たりましても、いざ運用段階になって現場の実情と齟齬を来し、デー
タドリブン社会の構築を阻害するような事態が生じることのなきよう、個人はもとより事業者を含む、我が国の経済社会全体の広範なステークホルダーとの双方向かつ丁寧なコミュニケーションが重要と考えております。個情委及び個情法に対する信頼を強固なものとする観点からも、経済界と適時適切に双方向の対話をいただきますよう、この場を借りて重ねてお願い申し上げます。
２ページ目になります。
続きまして、経済界として特に重要と考える事項を簡潔に５点申し上げたいと思います。
第一に、「個人データ等の定義の明確化」です。個情法ではデータの定義が複数存在し、かつ電気通信事業法の改正においても特定利用者情報に関する規律が創設されました。こ
うした取扱いに関して事業者に大きな負担が生じているのが実情でございます。こうした状況を鑑み、国民・利用者の視点に立ち、個人データの範囲は何か、保護すべき対象は何か等々、複雑化する概念の定義を明確にしていただきたいと考えております。
３ページになります。
第二に、「「３年ごとの見直し」について」です。
過去の見直しの結果、個人情報の保護や利活用にどのような影響があったのかについてのアセスメントが十分に行われず、また、事業者側も規制対応に追われて利活用が進まな
いまま、３年ごとに新たな規制が追加される結果、実質的に利活用ではなく、規制強化のみが繰り返されることを懸念しております。そこで、機械的な３年ごとの法改正・規制強化ありきではなく、蓄積された情報に基づき、これまでの法改正施行状況に関するアセス
メントを徹底いただきまして、その結果を踏まえ、見直しの要否も含め、透明性高くPDCA
サイクルを回す形で前広に検討を進めていただきたいと考えております。
４ページになります。
第三に、「漏えい等報告等の負担軽減」です。
事業者は、日常的に漏えい等報告や本人通知に相当のリソースを割かざるを得ず、残念ながら目的や効果が不明のまま対応している状況も見られます。とりわけ「漏えいのおそれ」に該当するかを判断する際、おのずと報告対象が広がって、過度な負担が発生しているのが現状です。一例として、日々頻発するサイバー攻撃など「おそれのある事案」をす
べからく報告することは、本当に必要なのか、今一度お考えいただければ幸いです。また、報告期限が「おおむね３～５日以内」とされていることは、漏えいが発生した際、被害の拡大防止に取り組むことと同時に、非常事態への緊急対応を迫られる事業者にとっては、
現実的ではないと考えています。このような中、不透明な判断基準のまま個情委に権限を行使されることで、企業にとって最も大切とするブランドの価値若しくは企業価値が大きく毀損されるリスクにさらされています。そこでまずは、これまでの漏えい等報告によって蓄積されたデータベースを踏まえて、エビデンスに基づき検証した上で、漏えい等報告
2

の在り方を検討いただきたいです。その上で制度の趣旨・目的に照らしつつ、リスクベー
スアプローチによる合理的な範囲に報告対象を絞り込むなど、現在の報告・通知の在り方を見直すことを強く求めます。
５ページになります。
第四に、「本人同意を要しない第三者提供・利活用」の在り方です。
御案内のように現行の個情法では同意取得の例外が認められる範囲が限定的であり、データ連携・流通による課題解決の障壁となっています。例えば前回の法改正に伴って製薬企業が実施する研究は公衆衛生の向上に資するものと位置づけられましたが、Q&Aに様々な要件が課された結果、例外規定による活用は実質的には不可能となっております。同意取得の例外が認められる範囲を見直し、契約履行若しくは正当な利益を目的とした場合など、本人の同意によらない方法での第三者提供や利活用の在り方について検討を開始すべきではないでしょうか。御案内のように欧州ではEHDS（European Health Data Space）の創設によってヘルスケアデータの利活用に大きく政策のかじを切っております。必ずしも同意ではなく、データの管理機関やデータ利用者の監督等によって、個人情報を保護する制度の在り方も検討いただくようお願いします。
最後に、「課徴金および団体訴訟制度の導入の反対」についてです。
そ個人情報取扱事業者が個情法を遵守している中、課徴金及び団体訴訟制度も議論の 俎 上に上がっていると承知しております。小規模事業者を含め企業の個人データの活用を萎縮させるおそれがあることから、個人情報保護法に課徴金及び団体訴訟制度を導入することには、経済界として強く反対しております。
駆け足でございましたが、私からの説明は以上でございます。
補足すべき点がございましたら、新経連様、IT連盟様等々からの補足をお願いしたいと思いますが、いかがでしょうか。
○新経連

新経連です。本日はお時間を頂きありがとうございます。

今、御説明いただいた部分は我々の意見もまとめたもので、抽象的な部分もあると思うのですけれども、後ろのアペンディックスに事例なども載せております。我々としても団体の会員企業などから具体的な事例などを集めて、こういう場合に使えない、あるいはこういう場合に報告しなければいけないので大変だという話を頂いておりますので、是非今回の意見に基づいて慎重に御検討いただければと思っております。
以上です。
○IT連盟

IT連盟でございます。

IT連盟からは特に補足等はございません。ここに書いてある８団体の総意としてまとめているものを、今、経団連さんから御説明していただいたとおりでございます。
○藤原委員長ありがとうございました。

それでは、ただいまの御説明について御質問等をお願いいたします。
では、浅井委員からお願いします。
3

○浅井委員浅井でございます。よろしくお願いします。

本日は皆様に御参席いただき、御説明をどうもありがとうございました。
私からは、先ほどの御説明の御要望１の「個人データ等の定義の明確化」のテーマについて、御指摘は理解いたしましたが、お聞きしたい点がございます。
個人情報保護法は、安全管理措置や第三者提供など規律の対象がデータベースを構成する個人情報、つまり個人データに限定されていることなどについては、事業者への負担を考慮して整理されてきた経緯があると理解しております。複数の定義が乱立との御指摘に従い、例えば統合や整理するという方向性となると、かえって規律の範囲を広げることにもつながるという懸念を生まないでしょうか。
また、外国データ保護規制との協調は、国際的事業展開に今や不可欠と言えます。定義の整理が影響を及ぼすと思われるEU・英国との十分性認定へのインパクトは考慮する必要があると思います。GDPRと異なる規律を維持するのか、また、緩やかな規律施行をしていくのかは、場合によっては異なる規律を求められるなど、事業活動においても負担を増加させることにつながるのではないかと心配いたします。今回の定義の整理のテーマで特に国際的な影響についてお考えを教えていただけると幸いでございます。どうぞよろしくお願いいたします。
○経団連

御指摘の個人情報データベースの問題、また、過去の法改正におきましても、

匿名加工、仮名加工等々の制度は利活用の促進に向けて御配慮いただいたものと承知しております。そういう意味では、それらを一つにするというよりは、企業の使い勝手や理解促進の点からもう一度実情を踏まえた見直しを検討いただき、特にそれぞれの定義の範囲については今般の見直しでわかりやすく整理していただければと考えております。
国際的な協調に関しましても、これらを前提として、我が国の特性も踏まえながら進めていただきたいです。
○新経連

新経連としても、一つにしてくださいということよりは、だいぶいろいろな観

点でラベリングが増えてきて、ほかの法律も関わる部分が出てきたりしているので、分かりやすくしていただきたいという意見です。例えば１枚の図にしたときにどういう関係があるかや、その内容について個人や事業者が理解しやすいように、今一度整理して明確化してみてはどうかという視点でございます。
○IT連盟

IT連盟は前回のヒアリングでもお話しさせていただきましたように、長期的な視野に立って個人データの定義を見直していただきたいと考えております。その際に、当然国際的なフレームワークとの関係は重要だと思っております。しかしながら、規範の在り方と執行を含めた制度全体の運営のバランスをどう考えていくかも実は重要だと思っております。国際的には、ある意味規範の文字面の在り方の争いにはなっているわけですけ
れども、実態がどうだというところは執行の体制とか各国体制によってもだいぶ違っていると認識しております。実態面で個人情報が十分に保護されつつ利活用されるという在り方を模索するために、データの在り方もハーモナイゼーションを前提として考えていただ4きたいということを前も申し上げておりますし、今もそのように考えております。
○浅井委員

貴重な御意見をありがとうございました。

○藤原委員長

御要望１についてはほかにないですか。

それでは、小川委員、どうぞ。
○小川委員

御説明ありがとうございました。小川と申します。

資料の冒頭にありますけれども、データドリブン社会を構築する上で、個人の権利利益の保護と利活用の両立あるいはバランスが極めて重要と思っております。特に現代のデジタル社会においては、生成AIなどの新しい技術やサービスに関して、その利活用と発展に伴う個人情報の保護とのバランスがとても重要だと思っております。そのバランスの取り方ですが、これはケースバイケースになると思います。これも資料の冒頭にありますけれども、様々な意見に耳を傾けることが重要だと思っております。このバランスの取り方なのですが、事業者の自主性と公的な規律のバランスが大事な論点になるかと思います。この点について一つ質問させてください。
御存じのようにネット社会におけるこどもの個人データの取扱いなどが、大きな社会問題になっています。このような問題の解決に際して事業者の自主的な取組に委ねる、そしてこれを促進する方が有効な場合もあると思います。その一方で、自主的な取組に委ねる
べきではないこともあると思います。例えば先ほどのこどもの個人データの取扱いについては、こどもの脆弱性や要保護性を踏まえまして一定の事項について法令に基づく記述を行うべきという考え方もあります。昨今の状況に鑑みて、社会全体にとって事業者の自主的な取組に委ねるのではなく、法令に基づき規律を行うことが必要と考えられる場面があるのか、それはどのような場面なのか、さらに法令で定めることによる弊害があるのかという点について、例えばこどもの個人データの取扱いに絞っていただいても結構ですので、もし御意見があればお考えをお聞かせください。
以上です。よろしくお願いします。
○経団連

今回の五つの意見の中で具体的には書いておりませんが、前回の経団連ヒアリ

ングの際にも申し上げたように、何らかの道しるべになるような指針が必要ではないかと考えております。これは規制という考え方もありますが、こどもが１人１台端末を配られるような時代になって、どのような範囲であれば利活用が認められるかということを、例
えばリスクの中に明確化していくことによって、活用と保護の両立を図るとか、何らかの指針が利活用の促進につながることもあり得るのではないかと考えております。非常に雑ぱく駁 ですが、そのように考えております。
○新経連

新経連としてはこどもの個人情報、個人データという観点で会員と深く議論したことは今までないのですが、具体的にどういう場面で問題になっているのか、逆にこういう場合であればむしろ利活用が進むべきではないかということをしっかり考えた上で、適切な対応を考える必要があると思っています。情報を保護するセキュリティーの話なのか、あるいは分析をするというインプットのところなのか、あるいはアウトプットのとこ5ろなのか、アウトプットも広告なのか、それとも例えば教育利用なのか、アウトプットの部分にもいろいろな場面がありますので、今、日本でこどもの情報といったときに具体的にどの場面でどういう問題が起きているのかを慎重に見極めながら対応を考える必要があると思っています。変な方向に行ってしまうと、例えば虐待からの保護等、こどもの保護のために活用しづらくなりますし、あるいは全てを同意に頼ってしまうと、親の同意がな
いと、こどもの保護のために何もできなくなってしまうというのは本末転倒です。教育でもデータをいかに活用して未来のために生かすかということが重要になってくるので、フェーズごとに区切った上で、具体的に何が問題になっていて、逆にどういうところでは利活用が進むべきなのかというのを慎重に見極めるべきで、こどもの個人データに関して今、具体的な答えを持っているわけではありません。
○IT連盟

こどもの個人データの取扱いにつきましては、こどもの個人データという括り

よりは、どのフィールドでこどもの個人データについて考えるのかということで、きちんと区分けして考えていく必要があると思っております。こどもの育成・教育・保護に関しては、むしろ利活用を促進するための規律が必要ではないかなと思っておりますし、例えば広告とかエンターテインメントの領域では、逆にこどもを保護するための規律が求められていくと思っています。その規律のあることが、事業者の自主的なものを支えていくと思っていますし、特に問題の多い領域で事業者の自主的な規律に任せていて、それが社会的に許容されるかというと、そこは難しい問題があると思っております。もちろん事業者
としては、そこはできるだけ努力していきたいと思っております。ただ、今も申し上げた
ように領域によってやはり考え方が違いますし、特にこどもに関しては特定の領域については利活用を促進するための規範というようなものを積極的に作っていただく必要があるのではないかと考えております。
○小川委員

どうもありがとうございました。

○藤原委員長

今日非常に多種多様な御要望を頂いたので、途中になりますが１点申し上げます。今のこどもや生体データもそうだと思っているのですけれども、御意見としては
フィールドやフェーズに応じて考えるべきである、しかし規律そのものの必要性あるいは弊害を生む分野では何らかの規律が必要であるということについては皆様もお認めになっているということでよろしいでしょうか。
○新経連

新経連ですが、まず分析した上で必要性を考えるべきだと思っておりまして、

今のところ中身を議論するより先に箱となる規律が必要だという意見を持っているわけではありません。具体的に問題になっているフェーズなどを見た上で、規律が必要なのかど
うかを慎重に検討すべきだと思っています。
○新経連

補足します。経済団体として、法規制するかどうかというところで常に言っている一般論の視点から申しますと、法的な規制をかけるということであれば、当然慎重な立法事実の検討が必要だと思っております。また、対応に何か課題があるということと、直接法規制する必要性は、必ずしも一致しないと思います。また、個人情報保護法で解決
6

する話ではないかもしれません。全てのいろいろな論点についてもう一度きちんと細かい分析をした上で、それについて何を対応策とすべきかの整理や必要性の議論ができていな
いところですので、今の段階で課題があるから法規制の必要があるかと聞かれれば、「そうではない」という回答になります。
○藤原委員長

先程の御回答でフィールド、フェーズとおっしゃったこともあり、規律へのアプローチはおっしゃるとおりですけれども、必要性は場面場面によるということは一致しているのかと私は受け止めたということでございます。
○経団連

経団連としても、今、新経連さんがおっしゃったのと同じように、まずフィールドによって分けて検討が必要であるというところは賛同いたします。その上でやはり一般論として規制の導入に当たりましては、立法事実があるかないかということが非常に重要だと思っております。そしてまた、対応が必要な場合に、それが規制であるべきなのか、
指針であるべきなのか、自主的な規律であるべきなのか、その辺りを実情に即して慎重に検討する必要があると考えております。いずれにしてもその検討に当たりましては、個人情報保護委員会と経済界も含めたステークホルダーとの丁寧な双方向のコミュニケーショ
ンを是非お願いしたいと思っております。
○IT連盟

IT連盟としては、今、二つの団体がおっしゃっていましたように、基本的には法律を作るのであれば、立法事実が必要だと思っていますけれども、様々なフィールドごとに検討した結果、規律が必要だといったときに規律を導入するところを選択肢として捨ててほしいと言っているわけではなくて、もう一つの規律の在り方としては先ほどありましたように利活用を進めるための規律もあると思っていますので、規律は規制をしていくという観点だけではなくて、利用促進という意味での規律の在り方を含めて検討いただければと考えています。
○藤原委員長ありがとうございました。

ほかには御質問いかがでしょうか。
それでは、引き続き私からも、今のように非常に具体的にお答えいただけると助かりますので、お伺いしたいことがございます。要望３ですけれども、「漏えい等報告等の負担軽減」で、御要望には真摯に対応しなければならないと考えているので、その上でお伺いするのですけれども、おそれ要件がある結果として報告対象が広がり、過度な負担が発生していると、簡単に言えばそういうことであろうかと思うのですけれども、もう少し具体的な事例をお示しいただけないかなと思う次第です。例としてサイバー攻撃を挙げていた
だいているのですが、サイバー攻撃とサイバー攻撃以外のおそれ自体それぞれにもう少し具体的にどういった事例を想定されているのか、まず教えていただけますでしょうか。
併せて、リスクベースで報告対象を絞っていくとすると、どうしても文言上定義がしきれないことになって、抽象的な規範を提示することにならざるを得ないのですけれども、先ほど指針とおっしゃいましたけれども、それでも事業者において報告対象への該当の有無を判断する方向になるのではないかと思っているところです。例えばEUは、皆様方も御7存じのとおり、個人データの安全性に対する侵害を要件としておりますけれども、具体的な報告は個人の権利及び自由に対するリスクを事業者が評価し、その要否を判断するということとされているわけです。このような定性的な判断を求められることは、考えようによっては事業者にとってかえって負担になるのではないかと思うわけですけれども、こういう定性的な判断の方がやりやすいということかという二つです。具体例と今の要件についてもう少し具体的にお聞かせ願えますでしょうか。
○新経連

まず、いま既におそれのある事案はかなり抽象的で広いという印象を持っていまして、具体的には何が問題になっているかというと、結局おそれが０％であることを証明しない限り漏えい等報告の対象になり、通知の対象になるような形になってしまっています。例えばグループ会社間であるツールの閲覧権限を間違えて設定し、限られた特定の社員に対し個人情報が1,000件以上閲覧できる状態になっていた場合、それは漏えいの「おそれ」に当たると思います。一方で、グループ会社なので従業員も誰か分かっているし、個人情報を記録していないことを本人に確認したりすることもできます。EUだと、そうい
うものは、侵害はUnlikely toと事業者が判断して報告しなかったりするのですが、日本は０％を証明しなければいけないという感じになっています。ほかの例でいうと、よほど特殊な条件が重ならないと見られないのですけれども、確かにその条件が重なったときには、ほかの人に見られる可能性がある一方で、アクセスデータ上、大量にアクセスを受けているわけではなく、本当に見られた人がいるかもしれないし、いないかもしれない、正常なアクセスと正常ではないアクセスがログ上からは分からないといったことがあるのですけ
れども、そういう場合も結局０％を証明できないので報告しなければいけないという感じになってしまって、結果、すごく膨大になってしまうということが起きています。おそれのある事案という現在の抽象的な文言を、ある程度抽象的にはならざるを得ないと思いつ
つ、もう少し、よりおそれの度合いの強い文言にした上で、事業者側でリスクを判断できるようにすれば、もちろん抽象的だから分かりづらいという事業者は出てくると思います
けれども、それは今も似たようなものですので、少なくとも今のとにかく報告して通知しなければいけないということよりはもう少し健全になると思っております。もちろん判断の仕方についてガイドライン化してほしいとか、あるいは具体的な事例を書くとかいったことは求められるとは思いますけれども、今の「おそれのある」は広いので、それを少し違う言葉に置き換えて、よりおそれの度合いの強いものにすることに関しては事業者としては是非やっていただきたいと思っています。
○藤原委員長○経団連

そういうことでよろしいでしょうか。

繰り返しになりますが、先ほど申し上げたとおり既に相当数の事案に関する情

報が個人情報保護委員会には蓄積されていると認識しております。そうした観点から、報告期限だけの問題ではなく、蓄積されたデータベースを分析することによって適切な在り方を具体的に示した方が良い、若しくはこのような場合はむしろ報告まで必要がない等の判断材料が見えてくると思います。負担の軽減というよりも事業者が適切に対応できるよ8

うな助言として、若しくはある事業者の対応が他の事業者に対して参考になるような事例の共有等、エビデンスに基づいた運用となるよう見直しをお願いしたいです。
以上、補足になります。
○藤原委員長以上でよろしいですか。

おそれの蓋然性のお話から説いていただいたことはよく分かりました。ありがとうございます。
それから、今、報告期限のことを経団連から言及されましたけれども、GDPRは個人デー
タ侵害を知ってから、これは皆さんも御存じのように72時間以内の規制機関への通知でございます。EU圏内でサービス提供を行っている事業者は規律ベースで運用していることからすると、おおむね３日～５日以内という報告期間が非現実的かというところを伺ってみたいなと。特にポイントとなるのは、GDPRとは異なり、日本法の下ではおおむね３～５日以内に報告する必要があるのは、報告しようとする時点において把握しているものに限って報告すれば足りるとなっています。しかもそれは、速報であるということです。確報の期限はGDPRよりもはるかに長い30日、不正アクセス等の３号事態については60日とされているわけですけれども、これをもってあまり現実的でないという御主張だということでしょうか。申し上げた質問の趣旨は、速報・確報を使い分けて事項を限定していて、さらに柔軟に報告についてはやっているのではないかということを申し上げたかったので、それで比較して、現実的かどうかを伺いたかったということでございます。
どうぞ。
○新経連

今、確実な答えがあるわけではないのですけれども、推測するに、やはり第一報の時点でかなりしっかりしたものを出さなければいけないという考えが事業者の方にある可能性があります。ほかの事業者のことは分かりませんので、その辺りがひょっとしたら求められているものと実際やっているところにずれが生じている可能性があると思いました。よって、実務上どういったデータが集まってきているか、今まで出されているものの実態がどうなっているかという点も検討の余地があると思いました。
○藤原委員長ありがとうございました。

そうしますと、漏えい等の事態が発生すると、いずれにしても事業者におかれては直ちにおっしゃった事態の把握を行って、漏えい等の発生を停止する措置でありますとか、再発防止策の実施、その他の措置を講ずることになると思うのですけれども、事態の把握を行って、発生を停止する措置を取り、再発防止策の実施、その他の措置をするという一連のプロセスの中で、一応速報なりを報告することがどのような点で具体的に過度な負担になっているのか、こちらが対応するためにも具体的に伺いたいと思っています。どういう点で過度な負担になって、速報と確報に分けてここがというものを今のように具体的にお教えいただけると助かるのです。
○新経連

速報か確報かは確認してみないといけないところはあるのですが、事業者からよく聞くのは、起こったことの分析のうち、特に漏えいしたかしないか、そのおそれがあ9

ったかどうかというところのログの分析と、漏えいのおそれがあったのは何人だったかと結構具体的な数字を求められるので、それを出すのにかなり苦労して、本来は再発防止策にどんどんリソースを割きたいのだけれども、起きた事象の分析として、何人だったかといった細かい点にすごく時間を割かれているという話はよく聞きます。
○藤原委員長ほかにはよろしいですか。

ありがとうございました。
それでは、ほかの質問をお願いいたします。
では、清水委員からお願いいたします。
○清水委員

今の最後の質問の過度な負担について、そうではないかというお話は少しいただいたのですけれども、具体的にこういうところが負担であるということについてもう一度整理していただいて報告いただきたいという気がいたしました。
○藤原委員長

今の点について、要望とともにで結構でございますので、整理していただ

ければと思います。よろしくお願いいたします。
○新経連

その点も含めてなのですけれども、今、委員会には何千件と報告が来ているはずで、多分たくさんデータがあると思いますので、そこの傾向なども是非教えていただけ
ると有り難いと思っています。我々が聞くのは、あくまで個社が提出するときに自分たちが大変だったことなので、全体の傾向がどうなのかというところは、今まで集まったもの
から踏まえて、どういう感触を持っていらっしゃるのかというところも含めて是非検証していただきたいと思っています。
○藤原委員長それでは、ほかの御質問はいかがでしょうか。

梶田委員、どうぞ。
○梶田委員

梶田と申します。本日はお忙しい中、お越しいただき、また、御説明をあり

がとうございました。
私は、要望２の「「３年ごとの見直し」について」お考えをお聞かせいただければと思っています。定期的な見直し規定があるのは、事業者にとってもその時点の規律を時代に合ったものにアップデートしていく良い機会になるのではと考えています。不定期な見直しが続く方が、事業者にとって改正の前提としての対話も含め、対応に苦慮することにな
るのではないかと考えていますが、その辺はいかがでしょうか。
また、これまでの個人情報保護法改正でも匿名加工情報・仮名加工情報制度の創設、また、個人情報保護制度の官民一元化によるデータ流通の促進など、個人情報の有用性に配慮する観点からの改定も行ってきています。先ほど御説明の中で規制強化がクローズアッ
プされているというような趣旨の御説明もあったのですが、データ利活用を促進するのであれば、当然個人の権利利益保護とのバランスを取ることが必要になると思いますが、この点についてどうお考えかをお聞かせいただければと思っています。一般的な考えでも構いませんが、具体的な事例でこれはバランスを欠いた規制強化というものがあれば伺いた
いと思います。
10

○経団連

冒頭ありました３年ごと見直しは、むしろ事業者にとって望ましいことではな

いかということだと思いますけれども、その点に関しましては３年に限らず日常的にコミュニケーションを取りながら、喫緊に立法の必要性があると考えられる場合には、適宜対応する必要があるということです。３年ごとの改正ありきという考えではなく、状況に応じて取り組むべきと思っております。ですので、蓄積された事案からの検討も必要でしょ
うし、テクノロジーの進化からこうしたテクノロジーにはこのようなリスクもあるかもし
れないというような我々の憂慮からの検討も必要でしょう。様々な観点があろうかと思いますけれども、日常的にそうした観点でコミュニケーションを取っていただくことが望ましいという意味が根底にあることをお伝えしたいと思います。
また、活用に向けての制度をお考えいただいていることは事実だと思っております。どのようにそれを定量的に測るかについては難しい部分もあろうかと思いますけれども、当然我々としても新たな制度が実際に現場でどのように活用されて、経済効果若しくは社会的インパクトがあったのか等々、きちんとコミュニケーションを取らせていただきたいと考えております。もし制度の使い勝手に問題があるなら問題点を共有する、若しくは経済界の不勉強で活用できていない場合は教えていただく等々、法改正若しくは現行における運用を検証した上で共に進めていけたらどうかと考えております。
以上でございます。
○藤原委員長

よろしいですか。

それでは、ほかの質問はいかがでしょうか。
髙村委員、お願いいたします。
○髙村委員

要望４について質問させていただきます。

「【要望】」の１段目のところで「契約履行や正当な利益を目的とした場合」に取り扱えるようにしてほしいという御要望が出ていますけれども、例えばGDPRの場合は、契約履行や正当な利益を適法性の要件とはしていますけれども、他方で本人同意については厳格な要件が定められています。そこで日本での本人同意について、より厳格な要件を定めるなどの手当てが必要とお考えなのかどうか、その点についてまず御意見を伺いたいと思い
ます。
○新経連

我々が要望しているのは、あくまで今、同意が必要とされている部分について本当に同意が必要なのかどうかという観点のことを申し上げておりまして、厳格な同意が必要かという点については慎重に検討する必要があると思います。今、日本の個情法はかなり同意に頼っている部分がありますので、今の制度の中で同意を厳格にとなるとかなり大変なことになってしまいます。したがって、それはやはり個人データの保護の在り方としてどういうやり方があるのかを今一度考えたときに、どう整理するかということになると思いますので、もちろん検討自体を否定するものではないですけれども、あくまで我々が今、申し上げているのは、今、同意が必要とされているものについて、同意が必要ではない部分もあるのではないかという意見でございます。
11

○髙村委員それは同意が不要と考えられる場面として何か具体的な例を挙げることはで

きますか。
○新経連

まず一つが、クレジットカードのセキュリティーのためにEMV3-Dセキュアという仕組みを入れている事業者が最近かなり多くなってきておりまして、経済産業省もそれを導入促進していこうと言っています。EMV3-Dセキュアは加盟店から買物に関する情報や注文者に関する情報をカード会社に送って、イシュアーであるカード会社がリスク判定をした上で、リスクが高い場合にはワンタイムパスワードで認証するといったような仕組み
で、EUなど海外では、クレジットカードを使って契約するに当たって当然に必要なことですので、特に同意は求められていないのですが、日本の場合は第三者提供に当たるという整理がなされておりまして、決済画面でいちいち同意を取ったりしている状況があり、本当にそれは同意が必要なものなのだろうかという整理は必要だと思います。
あとは、不正利用防止という観点になりますが、例えば最近でいうとバーコード決済な
どいろいろなペイメントサービスがあるのですけれども、これも不正利用者がいて、不正利用防止をそれぞれの会社がしている中で、不正利用に関する情報・データをペイメント
サービス事業者間で共有したり、あるいは捜査機関などと共有したりということを検討したいと思ったときに、今の制度の中だとどうしても共同利用という形にせざるを得ず、そうなると結局同意を取り直したり、新しい事業者が共同利用の枠組みに入ってくるに際して、また同意を取らなければいけないとか、そういうことが発生してしまって、なかなか踏み出せない事態が起きていると聞いております。共同利用の仕組みは一部の事業者で始まっていたりはするのですけれども、なかなか参加者が増えないのはそういった同意を取らなければいけないところに起因している可能性が大きいということです。
○髙村委員

今、御説明があった例については個人情報保護法第27条第１項第２号などの例外要件で対処しにくいという問題があるのですか。
○新経連

そうです。特に不正利用防止という観点ですと、実際に被害が起こる前に止めたりしていますので、今の考え方ですと、委員会に正面から聞きに行くと同意が必要ですと言われてしまうようなものと認識しております。
○髙村委員

それから、やはり「【要望】」の第１段目のところなのですけれども、「正当な利益」を提供した場合については適法にすべきではないかという御趣旨の要望だと思うのですけれども、「正当な利益」という要望だとかなり抽象的で事業者の判断が難しくなると思うのですけれども、この点はどういうふうにお考えでしょうか。
○新経連

その辺りは海外の事情も参考にできる部分があると思うのですけれども、こういう場合に同意が必要となっていて困っているという分野について検討するのもありです
し、海外の実情としてこういうものは正当と整理されることが一般的だというものについて、日本の制度に照らしたときにどうするか考えるという両側のアプローチが必要だと思います。ある程度抽象的だとしても、考え方や方針等を明確化していけば事業者側で判断することも可能ですし、あとは逆に、利活用について、こういうデータ活用をしたいがど
12うしたらいいかという場合のアドバイスというか、コンサルティング機能が、今は個人情報保護委員会に無いような気がしていますので、データ利活用の際に困ったことがあった
ときどうしたら良いかという観点で、事業者がいろいろアイデアを出して、それを実現できるような仕組みも考えてもいいのかなと思っています。
○髙村委員ありがとうございます。

それから、「【要望】」の２段目なのですけれども、これは、医療データなどの個別分
野のデータについては特別法を作るべきだという御趣旨と理解してよろしいですか。
○経団連

特別法も含めて検討していただきたいと考えております。現在は学術研究や公衆衛生の例外規定でしか使えない状況なのですけれども、事業者が使おうとすると実質的には不可能な状況です。特にヘルスケアデータの利活用は、社会課題の解決、ヘルスケア
分野を成長産業につなげるために非常に重要だと考えております。例外という特殊な形で対応するのではなく、この分野の重要性に鑑みて特別法を設けることも含めて検討いただ
きたいと思っております。
○髙村委員○藤原委員長ありがとうございました。
ありがとうございました。

ほかに御質問は、清水委員、お願いします。
○清水委員

要望５の課徴金についてお伺いしたいと思います。

資料６ページの１点目に書いていただいております、個人情報取扱事業者は法律を遵守しているという記述でございます。法令遵守は問題がないと書いていただいているのです
けれども、これまで当委員会としましては、限定的な執行手段、指導・助言・勧告を使いまして、事業者の自主的な取組を尊重してきた経緯がございます。しかしながら、このよ
うな仕組みでは規律をきちんと守っていない事業者を抑止できない状況を生んでいるのも事実でございます。いわゆるやり得を放置すると、きちんと規律を守っている事業者が損をしてしまうことにもなりかねません。そうならないようにルール違反には厳しいペナル
ティーが科されるようにした方が、規律を遵守する事業者の競争力の強化や一般利用者が安心できる形での利活用につながるのではないかと考えている次第です。この点は本日御参加いただいています団体さんにも十分御理解いただいているものと思っております。昨
年からさせていただきましたヒアリングの中でも、条件付きではありますが、おおむね前向きに捉えていただいているのではないかと思います。例えばIT連盟様の御報告では、「個
人情報を違法に利用等し個人の権利利益を侵害することで巨額の利益を上げる悪質な事案を強力に抑止し、また不当な利益を回収しうる課徴金制度の導入等を検討することが望ましい」と言っていただいております。新経連様からも悪質な事案への適切な執行が必要と言っていただいております。経団連様に関しましても、各論で「不適正利用、不適正取得
しんについては、企業に過度な萎縮効果を生じさせないよう新たな技術の適用領域を 斟 酌し、範囲の明確化や適切な例示を行うべき」、また、個別の企業の参考意見として、「権限行使の基準や手続きを透明化すべき」という御意見を頂いたところでございます。今回の資13

料では課徴金導入には反対と書いていただいているのですが、なぜ課徴金が駄目なのかということについて、大変恐縮ではございますが、三つの団体様からそれぞれ、また、それ以外の団体様からももしありましたらコメントを頂ければと思います。よろしくお願いし
ます。
○IT連盟

IT連盟が12月のヒアリングで提出させていただいた資料なのですけれども、当日御説明させていただきましたように、IT連盟として出している意見は意見総論にまとめさせていただいています。そこには課徴金の件は触れていません。アペンディックスとして後ろの方に各意見が出ましたというのは付けさせていただきましたけれども、当時御説明させていただいたように、個人情報保護法が抱えているいろいろな課題の中で混乱が生じている、十分な理解がないままこういう意見を出してきているところもありますという例でつけさせていただいたもので、団体として課徴金について積極的に触れたという趣旨のものではないので、そこは一旦解説させていただければなと思っています。３団体でまとめておりますけれども、IT連盟としましても、御説明いただきましたけれども、現状規律を守らない事業者への規律の徹底のために必要だというところについて、立法事実が本当にあるのかどうかはまだこちらの団体としては理解できていないところでございますので、もしそういうものがあるのだとすれば、具体的にそういう例をお示しいただければなと考えている次第でございます。
○経団連

繰り返しになりますが、新たな規制導入の際には立法事実を慎重に見極めて検討すべきであると考えております。私どもの議論の中で課徴金の導入が今すぐに必要だという意見は出てきておりません。
○新経連

新経連も、以前申し上げたのは不適切な利用をしている事業者に対して既存の制度の中でできることをしっかりやってほしいということをお話ししたものであって、課徴金はここに書いてあるとおり８団体とも反対しております。どうしても萎縮効果が生じやすいのと、ほかの法律もそうなのですけれども、海外事業者をターゲットにしていたはずが、国内事業者がすごく苦労してしまうことも多いので、やはりまず、現状の仕組みでどこに問題があるのか、どこが足りないのか、どこをしっかりやったらいいのかを検討した上で、かなり慎重に考えなければいけないものだと認識しております。
○清水委員

ありがとうございました。まず、立法事実をしっかりと見極めよということだったかと思います。
あとは萎縮効果ということなのですが、確かにおっしゃることも分かるのですけれども、やはり法にのっとってやっていただければ何も萎縮していただくことはないわけで、その辺のコンプライアンスをしっかり守っていただければいいのではないか、その辺は既存の枠組みでできるものとできないものをしっかり整理する必要があるのかなと思います。
また、適用の面も当然海外事業者・国内事業者の公平性を担保する必要があると思うので、そこの御懸念もよく理解しております。ありがとうございました。
○藤原委員長ほかにはいかがですか。
14

小笠原委員、お願いします。
○小笠原委員小笠原です。

同じく要望５のところになりますけれども、団体訴訟制度に関してです。団体訴訟制度としては差止請求と被害回復請求があります。それぞれ差止請求について企業の個人デー
タの活用を萎縮させることにつながるということで反対の御意見があると理解しております。そこで差止請求、被害回復請求各々について、どういう点というか、どういうところ
が企業の個人データの活用を萎縮させるという意見が所属団体様から出ているのでしょうか。具体的に団体訴訟制度が入るとこういう点で活用を萎縮させるという御意見を紹介していただけると、最初におっしゃっていた相互理解、コミュニケーションが進むのかなと思っておりますので、よろしくお願いします。
○新経連

まず、団体訴訟制度はおっしゃるとおり差止請求と被害回復制度とあると思うのですけれども、被害回復は消費者庁の方で何年か前に議論されて、そのときにお話ししたものとしては、事業者が事案の公表などをしている中で、それが結局団体訴訟につながってしまうという点、今でも財産的被害が生じているか、故意のものについては対象になっているわけですけれども、それ以外のものについても範囲を広げるということになると、素直な事業者が公表したことに基づいて少額で大量の訴訟を起こされてしまうことによって、そこに対する萎縮効果が生じてしまうという点がまずあります。
差止請求についても、今まで差止請求になっている対象は不当勧誘や不当表示など、表に出ているものが対象になっていると思うのですが、それを個人情報に置き換えたときにどうなるのかもよく分かりません。何よりもまず必要性はどこにあるのかをきちんと分析した上で、こういう必要性、こういう立法事実、こういうニーズがあって、こうでなければ実現できないのだということがあるか、あるとすれば、それに対してこういう問題があり得ますという議論が発展していくと思うのですけれども、まだそこが漠然としていると思っています。御存知だと思いますが、今は利活用をしようと新しいサービスを始めても、個人情報の関係で、メディア等にネガティブに書かれたりすると、すぐそのサービスがやりづらくなってしまって、次の事業者が出てこないといったことが起こりますので、団体訴訟の対象になった場合にはますます萎縮効果が大きくなると思っております。
以上です。
○藤原委員長

よろしいですか。

○小笠原委員

被害回復請求に関しては、萎縮させるという御意見があったのは分かった

のですけれども、差止請求の導入がどうして個人データの活用を萎縮させることにつながるのかが分からなかったので、説明をお願いしたいです。
○新経連

今、想定されている差止請求は個人情報の利用等について差止めを請求するということではないのでしょうか。
○小笠原委員

不正な利用をしていたりというような場合に、そういうことはしないでくださいとするということになります。
15

○新経連

そうなると不正かどうかという観点において適格消費者団体が調査したりするということでしょうか。
○小笠原委員調査というか、事業者さんとやり取りして不正かどうかを確認することはあると思います。
○新経連

それでは新たな利活用をしようとすると、そういった観点で常に不正利用しているのではないかという目で見られてしまったり、情報を請求されたり、差止請求につながってしまうというようなおそれを抱いてしまうと、なかなかいろいろな利活用をオープンにしたり、進めていくのが難しくなったり、萎縮したりすることがあるのではないかと思います。今、どういう問題が起きていて、差止請求によって何を実現しようとしているのかによっても、その辺りの萎縮効果の部分は変わってくるかなと思っております。
○小笠原委員

分かりました。おそらく消費者団体が勝手に事業者さんの活動に関与して不正な利用だと言うところが、萎縮につながるという御意見でいいでしょうか。
○新経連

その可能性もあると思っています。ヒアリングの中で出てきた事例でも、ここの事業者でサービスを使ったら、なぜかここからも連絡が来たといったものが入っていたと思いますので、おそらく疑いという観点ではいろいろなものが入ってくるのかなと思っています。
○小笠原委員

ありがとうございます。

○藤原委員長ほかにはよろしいでしょうか。

どうぞ。
○新経連

さっき要望３のところで「過度な負担」の御質問を頂いて、逆に私は個人情報保護委員会さんに求めたいことが１点ありまして、やはり行政対応コスト最小化は常にしなければいけないことだと思っております。その観点で、今、漏えい等報告等で収集しているデータをどのように活用して、どのような成果が出ているのかというところは経済界として是非教えていただきたいと思っているので、今後、何らかの形でお示しいただけな
いかというのが追加の意見でございます。
○藤原委員長○新経連

追加の御要望であるということですね。

はい。

○藤原委員長ほかにはよろしいですか。

一つ最後に、第三者提供の利活用のところで新経連様から事前相談の仕組みというものがあればというふうに聞こえる御回答があったのですが、今、事前相談の仕組みはない、あるいは機能していないという御認識だということでよろしいのでしょうか。
○新経連

そうです。事前相談の仕組みはもちろんあるのですけれども、事前相談をすると同意が必要ですと言われて、すごすご帰ってくるというのが実態だと思っていまして、そこで実現したかったことは何で、それは今の制度上何がハードルになっていて、本来それを実現すべきかを考える制度というか、仕組みはないと思っています。それぞれ事業者
が思いを抱えている状態が今なのではないかと思っています。保護以外の観点、利活用の16

観点のところで、相談があった内容も踏まえて、利活用のための方向性を考えるような仕組みがあってもいいのかなと思った次第です。
○藤原委員長ありがとうございました。

立法事実が重要であるという何回も述べられた御意見をはじめ、本日頂いた御意見を含めまして、個人情報保護をめぐる様々な状況について、また、各方面の意見を伺いながら課題を整理、審議していきたいと考えております。関係団体の皆様、本日は本当にありがとうございました。どうぞ御退席ください。
（各団体退室）○藤原委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
本議題の資料、議事録及び議事概要については、公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題２は「いわゆる３年ごと見直し

個人の権利利益のより実質的な保護の在り方③について」でございます。事務局から説明をお願いいたします。
○芦田企画官

それでは、資料に沿って御説明させていただきます。

本日の委員会においては、３年ごと見直しに関する検討項目の個別論点の検討の４回目として、検討項目の「個人の権利利益のより実質的な保護の在り方」のうち、オプトアウ
ト届出事業者について御議論をお願いできればと考えております。これから資料に沿って順次御説明いたします。
１ページを御覧ください。ここから４ページまでオプトアウト制度に関する現行法の規律について説明しています。
個人情報取扱事業者は、法第27条第１項各号に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされています。同条は第２項でその例外として、第三者に提供される個人データについて、本人の求めに応じて提供を停止することとしている場合であって、一定の事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、本人の同意を得ることなく第三者に提供することができます。これが、いわゆるオプトアウト届出による第三者提供です。これは、個人情報を含むデータベースを販売する事業者や、住宅地図等で個人情報を提供している事業者等を念頭に置いて設けられた規定
であり、個人情報取扱事業者に対し、一定の義務を加重することにより、個人データの積極的な流通を認め、保護と利用のバランスを図ろうとするものです。
２ページを御覧ください。
オプトアウト届出事業者は、その名称や住所、本人の求めに応じて当該本人が識別され
17

る個人データの第三者への提供を停止すること、本人の求めを受け付ける方法等を、本人が確実に認識できる適切かつ合理的な方法によって、本人に通知し、又は本人が容易に知り得る状態に置かなければならないとされています。ここでいう「本人が容易に知り得る状態」とは、継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいいます。例えば本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて、本人が分かりやすい場所に分かりやすく継続的に掲載する場合、本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合、本人に頒布されている定期刊行物への定期的掲載を行っている場合、電子商取引において商品を紹介するホームページにリンク先を継続的に表示する場合といった事例がこれに該当するとされています。
３ページを御覧ください。
提供先の事業者による違法又は不当な行為を助長するおそれが想定されるにもかかわらず、当該事業者に個人情報を提供する場合、不適正利用に該当することとなります。他方、提供先の第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、提供元が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないとされています。なお、個人情報取扱事業者が個人データを第三者に提供したときは、当該第三者提供に係る記録を作成しなければならないこととされていますが、提供先の利用目的や提供先に対する身元確認方法等は記録義務の対象に含まれていません。
４ページを御覧ください。
不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合は、不適正取得として法第20条第１項違反となります。また、法第30条の規定により、個人情報取扱事業者は、第三者から個人データの提供を受ける際は、当該第三者に対して、当該第三者による当該個人データの取得の経緯を確認しなければならないとされています。ここでいう「取得の経緯」とは、個人データの内
容、第三者提供の態様などにより異なり得ますが、基本的には取得先の別、取得行為の態様などとされています。もっとも、受領者にとって「個人データ」には該当しない個人情報として提供を受けた場合、後に当該個人情報を個人情報データベース等に入力したとしても、確認義務は適用されないとされています。
５ページを御覧ください。
ここでは、オプトアウト制度に関連する改正の経緯を記載しています。平成26年に、大手通信教育会社から委託を受けてその顧客情報等を管理していた会社の従業員が、当該顧客情報等を持ち出した上、これを名簿業者に売却し、多額の金を入手するという事案が発生しました。同事案においては、名簿業者が個人データを更に販売し、別の名簿業者にも拡散していたところ、実際には、このような状況を本人が十分に認識できていなかったことが明らかとなりました。こうした事案も踏まえて、平成27年改正では、不正に取得され18

た個人情報が、名簿業者等に転売されることを防止するため、第三者から個人データの提供を受ける際には、取得の経緯を確認することとされました。また、委員会による監督を強化するとともに、法定の事項を事前に本人が容易に知り得る状態を確保するため、オプ
トアウト届出事業者は一定の事項を個人情報保護委員会に届け出ることとし、個人情報保護委員会がこれを公表することとされました。
また、オプトアウト届出事業者のうち、大半が業として名簿の販売を行う者、いわゆる「名簿屋」であり、名簿屋が販売する名簿を構成する個人情報の大半が一般の第三者又は他のオプトアウト届出事業者からの提供を受けて取得されていること、また、一部の届出事業者において、第三者提供を受ける際の確認義務が履行されていなかったことから、不正に持ち出された名簿等が取得されている実態がうかがわれました。そこで令和２年改正
においては、不正取得された個人データをオプトアウト規定によって提供することが禁止されるとともに、違法又は不当な行為を助長し、又は誘発するおそれがある方法による個
人情報の利用が禁止されました。
６ページを御覧ください。
いわゆる特殊詐欺は認知件数・被害額とも令和３年以降増加傾向にあり、検挙件数・人員も令和４年に増加に転じています。こうした状況を踏まえ、令和５年３月17日の犯罪対策閣僚会議において「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」が策定され、政府は同プランに基づく施策を強力に推進することとされました。この緊急対策プランでは、個人情報保護法の的確な運用等による名簿流出の防止等の「闇名簿」対策の強化として、犯罪者グループ等にこうした名簿を提供する悪質な「名簿屋」、さらに、個人情報を不正な手段により取得して第三者に提供する者に対し、あらゆる法令を駆使した取締り等を推進することとされました。加えて、電話や自宅訪問等により、真の目的を偽装し、個人の資産や貴金属の所有状況、家族構成等を聞き出して犯罪に利用するケースも見られることから、このような不当な個人情報の収集活動に対する注意を一層喚起することとされました。
７ページを御覧ください。
個人情報保護委員会は、緊急対策プランが策定されたことを踏まえ、オプトアウトの届出を行った事業者を対象に、個人情報の適正な取扱いがなされているのかについて把握するための実態調査を行いました。
その結果ですが、届出事項を本人が容易に知り得る状態に置くことについては、自社コーポレートサイトに掲載している、ホームページで公表している、社内の壁面に掲示している、検索できるようにしているといった回答がありました。また、個人情報の取得については、提供しようとするデータが、法第20条第１項に規定する不適正な取得の禁止に違反して取得されたものでないことの確認方法について、具体的な内容が不明確な回答が約２割ありました。加えて、個人データの第三者提供を受けているオプトアウト届出事業者のうち、提供元の事業者が法第20条第１項の「偽りその他不正の手段」に該当しない手段
19

により個人情報を取得していることの確認方法について、回答に具体性がない又は無回答となっている事業者が約２割ありました。
８ページを御覧ください。
オプトアウトにより個人データを提供するに当たって、提供先が提供を受けたデータを「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことを確認していないとの回答が約３割、提供先に対して本人確認手続等を実施していないとの回
答が約３割ありました。
９ページを御覧ください。
この実態調査により、個人情報の取得や提供に際して不適切な対応があった事例が明らかになり、ここに記載の３社に対して当委員会として本年１月に行政指導等を行いました。
有限会社ビジネスプランニングの事案では、販売先が法に違反するような行為を行う者にも名簿を転売する転売屋（ブローカー）だと認識していたにもかかわらず、意図的に販売先での名簿の用途を詳しく確認せず、転売屋に名簿を販売していました。また、個人データの第三者提供記録も作成していませんでした。
また、株式会社中央ビジネスサービスの事案においても、個人データの第三者提供記録を作成していなかったことが問題とされました。
さらに、株式会社フリービジネスの事案においても、同様に個人データの第三者提供記録を作成していなかったことに加え、第三者から個人データの提供を受けるに際し、当該第三者の住所について確認を行わなかったことが問題とされました。
10ページを御覧ください。
ここでは、不正に持ち出された個人情報を名簿業者が買い取ったとされる事例を紹介しています。
事例Ａ～Ｃにおいては顧客情報又は住民等の情報を、事例Ｄにおいては住民基本台帳のデータをそれぞれ従業員ないし委託先の職員が持ち出し、名簿業者に販売した事案です。
11ページを御覧ください。
ここでは、当委員会の個人情報保護法相談ダイヤルにおけるオプトアウト届出事業者に係る質問・相談を紹介しています。頻度の多いものとしては、名簿の販売が許容されていること自体が問題ではないかとしているもの、名簿の入手先・取得元の問合せや第三者提供記録開示を拒否されたり、適切な回答がされていないもの、提供停止を求めるための連
絡先が不明、電話がつながらないなどして停止をしてもらえなかったり、一旦停止したものの、その後再開されたもの、提供停止等を求めたところ、他の個人情報の提供、サービ
ス登録、手数料支払い等の条件を付けられたものがあります。
こうした状況を踏まえ、オプトアウト届出制度について、いわゆる闇名簿問題への対応という観点から、不正に持ち出された名簿の取扱いに係る問題等の防止及び本人の権利行
使の機会のより実質的な確保の観点から、提供先の身元や利用目的、取得の適法性の確認、本人に対する通知等について、どのような制度の在り方があり得るかが論点となるかと考20

えられます。
事務局からの説明は以上となります。よろしくお願いいたします。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問、御意見をお願いいたします。
清水委員、どうぞ。
○清水委員

では、意見ということで申し上げたいと思います。緊急対策プランに基づく施策を推進する必要性が高まっているという御説明がございました。こういう状況に鑑みまして、一つはオプトアウト届出事業者の注意義務の強化が必要かと考えております。オ
プトアウト届出事業者は個人情報の第三者提供を目的とする事業者であるために、個人情報の取扱いにより高度な注意義務を課す必要があるのではないかということです。具体的には、まず届出事項の追加です。事業者の連絡先、本人の認識を確保する方法として通知を原則としたうえで、例外的に本人が容易に知り得る状態の方法を取った場合はその理由と方法を届出事項に追加することが考えられます。次に確認記録義務の追加ですが、デー
タ取得時には不正な手段で取得したデータでないことを確認した方法、データ提供時にはやはり不適正利用に該当しないことを確認した方法を事業者に説明させることが必要なのではないかと思います。以上が、オプトアウト届出事業者の注意義務の強化のために必要な事項と考えます。
二つ目は、この委員会のモニタリング機能についてなのですが、もう少し強化すべきではないかと考えています。特殊詐欺等の原因はオプトアウト制度に起因するものには限らないとは思いますけれども、少なくとも本制度に係る管理は適切に委員会でやっていることを説明する責任があるのではないかと考える次第です。報告徴収、立入検査は令和４年度末の調査でやっていただいておりますけれども、その時点でも未回答が結構多く、162件の調査のうち18件あるということでございます。こういった事業者や問題が発見された事
業者の改善状況がどうか、それから新規に届出している事業者もあると思いますので、そういったところも法令、規則への準拠性も報告徴収が必要なのではないかということです。
このように法令遵守をウォッチしていくべきというのが一つやるべきことかと思っています。
さらに、届出事業者の最新の状況がどうかということなのですけれども、今の制度ですと、一旦届出した後に、変更があれば再度届出を要求しておりますけれども、出されていない可能性があり、言い方を悪くすれば出しっ放しということも考えられます。事業内容が変わっていたり、廃業したりするケースもあるのではないかと考えられるところです。
可能であればということなのですが、一定間隔で照会状として、どういう現況かを書面などを送って問い合わせ、変更届の督促であるとか、返答のないものについては再確認の後、場合によっては届出を無効にする等の手段を通じて、現に機能しているオプトアウト届出
事業者を把握すべきではないかと考えております。
以上です。
21

○藤原委員長

ありがとうございました。

ほかにはいかがでしょうか。
小川委員、どうぞ。
○小川委員

説明ありがとうございました。当委員会でもポスターを作成し、「STOP!名簿流出」というキャンペーンを実施していると思います。特殊詐欺ですとかフィッシングな
どの犯罪にこういった名簿が悪用されることは社会問題になっております。犯罪者グループは様々な名簿を基に情報収集を行って、ターゲットを絞り込んで犯行に及んでいるのではないかと想定されます。一方、適正なビジネスについても様々な名簿を基に情報収集を行って、顧客のターゲットを絞り込んでマーケティングを行うことは承知しております。
ただ、特にネットビジネスにおいては顔が見えないこともあって、情報収集・利用される本人からは相手がいずれなのかを判断できないという問題があるのではないかと思います。
そのため、名簿の悪用ばかりが話題になってしまい、ネットによる情報収集やｅコマースなどに対する不信や不安が社会全体に広がると、企業による適正なネットビジネスの活性化が阻害されることにもなりかねないと思います。そのため、相手の顔が見えないネットビジネスでは、名簿業者による名簿の取扱いに対する規律を課すだけではなくて、名簿を利用する事業者に対しても自らが適正に名簿を取得・利用している事業者か否かを消費者が判断するための手段を提供させることが、個人情報の取扱いに関わる透明性の確保ですとか、本人関与の原則の観点からも有益ではないかと思っております。例えばビジネスの主体の身元を明らかにすることは当然といたしまして、適正な名簿を使っているのか、適
正な目的の利用なのかなど、名簿の取得方法や利用目的の適法性を示すとともに、問合せや苦情などの連絡先を電話も含めて明示するなど、様々な手段を検討することも重要ではないかと思っております。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
ありがとうございます。オプトアウト制度についてですけれども、いわゆる闇名簿問題への対応とか不正に持ち出された名簿の取扱いに係る問題等の防止及び本人の権利行使の機会のより実質的な確保の観点から、提供先の身元、利用目的、取得の適法性の確認、本人に対する通知等についてどのような制度の在り方があり得るか、罰則も含めて実効性ある規律となるようさらに検討を深めるべきではないかと思います。その際には、本日清水委員から、事業者にはより高度な注意義務を課して、届出義務事項の追加あるいは確認義務の追加等の御意見があり、あるいは小川委員からも、ネットビジネス等の利用実態においてどういうふうに名簿が利用されているのか、それを反映した制度になるようにという御意見があったことも踏まえることが重要ではないかと思われます。ほかに御意見等はな
いようでございますので、今、私から申し上げた内容を踏まえて、事務局において御検討いただければと思います。
22

それから、最後にもう一言ですけれども、ヒアリングですけれども、本日八つの経済団体の意見が集約されたことを受けて、改めてヒアリングを行ったわけです。意見に示された課徴金とか団体訴訟制度を含め、海外の規律との整合性、権利利益の保護、事業者の負担、悪質な事業者への対応等の様々な論点について御意見があり、また、見解を伺ったわ
けです。これらを十分に精査して制度の検討を進めるべきだと理解されたと思います。ヒ
アリングについては本日頂いた御意見も含めて、個人情報保護をめぐる様々な状況について各方面の御意見を伺いながら課題を整理、審議してまいりたいと思います。
それでは、私から申し上げたいことは以上でございます。
ただいまの３年ごと見直しについて、議題の資料、議事録及び議事概要の取扱いについてお諮りしたいと思います。
資料、議事録及び議事概要については、公表することとしてよろしいでしょうか。
ありがとうございます。御異議ないようですので、そのように取り扱うことといたします。
それでは、本日の議題は以上でございます。本日の会議はこれで閉会といたします。

23