改正法に関連するガイドライン等の整備に向けた論点について（認定個人情報保護団体制度）

令和３年１月26日

１．認定個人情報保護団体制度の意義

 個人情報保護法（以下「法」という。）の制定前において、我が国における民間部門の個人情報の保護は、業界団体等がガイドラインを策定し、その構成員等が当該ガイドラインを遵守することを中心に行われてきた。法においても、こうした民間団体による自主的な取組を尊重し、法に基づく取組を行っていくことを政府等が支援していくことを基本的な考え方としている。
 法に規定する個人情報取扱事業者の義務は、あらゆる分野を対象とする法の性格上、必要最小限度の規律であることから、各分野の取り扱う個人情報の性質、利用方法、取扱いの実態等に即したより高い水準の自主的な取組が期待されるものであり、民間団体による取組が果たす役割は大きい。
 認定個人情報保護団体（以下「認定団体」という。）制度は、こうした考え方に沿って、個人情報の適正な取扱いの確保を目的として業務を行う民間の団体に対して認定制度を設けることにより、業務の信頼性を確保し、民間団体による個人情報の保護の推進を図ろうとするもの。

1２．認定団体制度の現状
 近年、技術やサービスの内容が複雑化・多様化し、市場の態様も急激に変化することが常態化する中で、行政機関と民間が有する情報量や専門性等に格差が生ずるなど、情報の非対称性が発生するケースが増大。このような環境下にあっては、一般法である法の規律に加えて、民間団体がその専門性や柔軟性を活かして個人データの取扱いに関する自主ルールを策定して運用していくことや、積極的に構成員等に対して指導等を行っていくことがより求められ、認定団体制度の重要性が増大。
 従来、主務大臣が団体の認定・監督を行っていたが、平成27年改正法により委員会に一元化された。委員会が横断的に認定団体の監督等を行う中で、従来の所管ごとに目的や機能に関する認識に差があり、制度の意義、目的や今日的視点から強調されるべき側面等の一定の方向性について、委員会として改めて示す必要がある。
 また、今後、改めて裾野の広い分野で様々な団体が認定を受けようとするに当たって、認定団体として活動するイメージを具体的に持てるよう、認定団体の在り方等を分かりやすく明示する必要がある。

2

２．認定団体制度の現状

 さらに、今般の法改正により、企業の特定分野（部門）を対象とする団体を認定できることとなるが、既存の制度との混同等がないよう、認定団体や対象事業者のみならず、苦情を申し出る主体でもある消費者側も制度を認識できるようにする必要がある。
 他方、認定団体に対しては、現状、その基本的な役割等について、法第７条第１項に基づき策定される「個人情報の保護に関する基本方針」（４ページ参照）に記載されているものの、期待される具体的な業務や活動の指針等を示したガイドラインは存在しない。
（注）認定の申請等の手続きを定めた「認定個人情報保護団体の認定等に関する指針」は別途存在。

3

２．認定団体制度の現状（参考）個人情報の保護に関する基本方針（抜粋）（平成16年４月２日 閣議決定、平成30年６月12日 一部変更）

６ 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項（３）認定個人情報保護団体に関する事項① 認定個人情報保護団体に期待される役割
認定個人情報保護団体は、個人情報等の取扱いに関して、事業者自身による苦情処理の取組を補完し、問題の自主的、実際的な解決を図るとともに、個人情報の保護及び適正かつ効果的な活用を図るため、６の（３）の②にあるように、個人情報保護指針を策定し、それが公表されたときは、対象事業者に対して当該指針を遵守させるため必要な指導、勧告等の措置をとることが義務付けられている等、民間部門における主体的な取組を促進する上で、極めて重要な役割が求められている。
また、事業者の実態に応じた法の適切な運用等を推進するために、認定個人情報保護団体が、対象事業者の運用実態や課題等の情報を収集し、それを個人情報保護委員会と共有するといった役割も期待されるところであり、このような仕組みが十分に活用されることが必要である。
② 個人情報保護指針等の策定・見直し
個人情報等の取扱いに関する事業等分野別の取組においては、認定個人情報保護団体が策定する個人情報保護指針等に、各事業者の取組を促進する上での重要な役割が期待されている。このため、認定個人情報保護団体等においては、消費者の意見を代表する者その他の関係者の意見を聴いた上で、事業等分野の実情に応じた公正・透明な個人情報保護指針等の策定・見直しに努めていくことが望まれ、その際、法第１条の趣旨を踏まえ、個人情報の保護と適正かつ効果的な活用のバランスを考慮した取組が求められる。特に、匿名加工情報の作成方法等に関しては、情報の種類・性質に応じた適切な取扱いを定める指針等を策定することが望まれる。
4

３．認定団体の望ましい取組の方向性等の提示について▶ 上記を踏まえ、認定団体を対象とした個別のガイドラインを策定し、認定団体に求められる役割や具体的な業務等を示してはどうか。
▶ 認定団体の望ましい取組の方向性を示すものであり、また、事業者に広く適用される通則編に含める形では馴染まないことからも、認定団体編として新たに策定。
 ガイドライン（認定団体編）には以下を記載することが考えられる。
 認定団体制度の目的や意義
 認定団体の業務（漏えい等事案に対する関与の在り方含む）
 個人情報保護指針
 その他関係法令の解説

等（※）認定の手続きについては、当該ガイドラインの別紙として、現行の「認定個人情報保護団体の認定等に関する指針」の内容を記載。

5

４．ガイドライン（認定団体編）の主な記載内容のイメージ（１）認定団体制度の目的や意義
 分野ごとにより高い水準の個人情報保護が図られるべく、民間団体等による自主的な取組を尊重し、支援するための仕組み。
 認定団体は、個人情報等の取扱いに関して、事業者自身による苦情処理の取組を補完し、問題の自主的、実際的な解決を図るとともに、事業者の実態に応じた法の適切な運用等を推進するため、対象事業者の運用実態や課題等の情報を収集し、それを対象事業者に還元するとともに委員会と共有するといった役割が期待される。
 特に、技術やサービスの内容が複雑化・多様化し、市場の態様も急激に変化することが常態化する中で、行政機関と民間が有する情報量等に格差が生ずるなど、情報の非対称性が発生するケースが増大している。

6

４．ガイドライン（認定団体編）の主な記載内容のイメージ（１）認定団体制度の目的や意義（続き）
 認定団体制度における自主的な取組については、① 相互的な扶助・監視・苦情対応等の共同活動による、円滑かつ徹底した法の遵守、② 民間が有する専門性や柔軟性を活用することによる、基本的な法の履行よりも深化させた自主ルールの策定・運用、の２つの側面が考えられるが、特に、今日においては、後者の側面の重要性が増している。
 したがって、法の遵守のための取組はもちろん、上記のような自主ルールを策定して運用していくことや、積極的に構成員等に対して分野に応じた適正な取扱いの確保のための指導等を行っていくことがより求められる。

7

４．ガイドライン（認定団体編）の主な記載内容のイメージ（２）認定団体の業務【 個人情報等の取扱いに関する苦情の処理（法第47条第１項第１号、法第52条関係）】
 対象事業者の個人情報等の取扱いに関する苦情について、当事者間で解決が困難である場
合等、認定団体が当事者の立場を離れて公正な第三者としての立場から苦情処理に当たることにより、実効的な苦情処理を行う必要。
 認定団体は、苦情に簡易・迅速に対応するため、人材の養成・確保を含む体制を整備することが求められる。
 苦情申立人と対象事業者の両方に働きかけて円満な処理を図ることができるよう、苦情申立人に助言をし、対象事業者に苦情の内容を通知して、その迅速な処理を求める必要。

8

４．ガイドライン（認定団体編）の主な記載内容のイメージ【 対象事業者に対する情報の提供（法第47条第１項第２号関係）】
 対象事業者の個人情報等の適正な取扱いの確保に寄与するため、対象事業者に対して関係法令や自主ルールの内容等について、会報の制作・配布やセミナーの開催などを通じて情報提供を行う必要。
 対象事業者の適切な個人情報等の取扱いを促し、対象事業者の個人情報等の取扱いに関する苦情の発生を未然に防止する観点から、苦情が多いケースなどを取りまとめて対象事業者に対して情報提供等を行うことが望ましい（苦情処理については前ページ参照）。
 漏えい等事案の情報を参考に、分野ごとの安全管理措置の水準を高め、より実効的な漏えい等の対策が自主的に行われるようにする観点から、漏えい等事案の傾向や求められる対策について対象事業者に対して情報提供等を行うことが望ましい（漏えい等事案への対応については11ページ参照）。
 なお、上記の苦情や漏えい等事案などの情報については、個人情報保護委員会にも共有し、相互に連携を図っていき、全体として実効的な個人情報等の適正な取扱いの確保につなげていくことが重要。

9

４．ガイドライン（認定団体編）の主な記載内容のイメージ【 その他対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務（法第47条第１項第３号関係）】
 （苦情処理、情報提供以外にも）認定団体は、対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務を行うことが必要。
 例えば、個人情報の取扱いが複雑化・高度化している中にあって、対象事業者が自身の個人情報の取扱い等について、いかに本人に対して透明性を確保しながら説明責任を果たしていくかも重要。そのための自主ルールを踏まえた指導等についても認定団体が積極的に行っていくことが望ましい。
 また、対象事業者の従業員に対する研修、調査研究などの業務のほか、ＰＩＡ（PrivacyImpact Assessment、個人情報保護評価）（※）を含むプライバシー・バイ・デザインの実施や個人データの取扱いに関する責任者の設置を含む組織体制の整備などの個人情報等の適正な取扱いの確保に関する事項についても対象事業者に対して積極的に推奨していくことが望ましい。
（※）認定団体として、PIAの自主ルール（業界の特性を踏まえた実施の閾値や評価項目、第三者評価の在り方等）を定めた上で、当該自主ルールに沿った実施を対象事業者に求めていくといった取組も望ましい。

10

４．ガイドライン（認定団体編）の主な記載内容のイメージ【 その他対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務（法第47条第１項第３号関係）（続き）】（対象事業者における個人データの漏えい等の事案が発生した場合等における対応）
 認定団体は、対象事業者が安全管理措置を適切に実施するために必要な助言や指導を行うことも期待されているところ、対象事業者の漏えい等の事案を把握しておくことは、円滑な認定業務の遂行に資すると考えられる。
 したがって、漏えい等事案について、法令上の義務である委員会等への報告に加えて、自主的取組の一環として、対象事業者から事案の情報を受け付けることは有効。委員会への報告義務化の対象となる事案以外のものを含め、認定団体が報告を受け付ける体制を確立し、対象事業者による当該事案への対応、再発防止のための措置や本人通知・公表等に対する実効的な指導・助言等を行うことが望ましい。
 なお、改正法で委員会への報告が義務化される事案については、報告事項を委員会が求める内容とできる限り一致させるなど、事業者の過度な負担とならないよう配慮する必要がある。
 また、事業者が複数の認定団体の対象事業者となっている場合の負担にも配慮する必要。

11

４．ガイドライン（認定団体編）の主な記載内容のイメージ（３）個人情報保護指針（法第53条）
 法の定める規律が一般法としての必要最小限度のものであることを踏まえ、分野ごとにより高い水準の個人情報保護が図られるため、取り扱う個人情報の性質、利用方法、取扱いの実態等に即した自主ルールとして、個人情報保護指針の作成が努力義務とされている。
 個人情報保護指針は、法の趣旨に沿って策定される必要があるが、単に法令の内容を落とし込むのみならず、事業分野等の実態に応じた自主ルールとして（※）、利用目的の特定、安全管理措置、開示請求等に応じる手続き、仮名加工情報、匿名加工情報に係る作成の方法等について、細目や事例を盛り込んでいくことが望ましい。
（※）個人情報保護指針に法の内容にとどまらない当該事業分野に固有のルールを織り込み、例えば、当該事業分野における個人関連情報なども含めた適切な取扱いを促進するための各種の取組を自主的に実施することは、認定団体制度の趣旨を適切に踏まえた取組と考えられる。

 個人情報保護指針の内容が公平かつ適正なものとなるよう、事業者のみならず、本人の側である消費者の意見を代表する者をはじめ、多様な関係者の意見を聞きつつ、指針を策定していくことが望ましい。また、各分野の情勢変化に応じて、不断に見直しを図っていくことが望ましい。
 認定団体は、対象事業者に個人情報保護指針を遵守させるために、指導等を行う必要。

12

（参考）認定団体制度の概要【認定団体の役割（現行制度）】

業界特性等に応じた自主ルール（個人情報保護指針）を作成するよう努める義務

情報の提供
指導・勧告
その他の措置

対象事業者

国認定

対象事業者の個人情報等の取扱いに関する苦情を処理する義務

認定団体（民間団体）

漏えい等事案の報告

対象事業者への苦情苦情処理

消費者
13

（参考）認定団体一覧（40団体）
団体名称

対象事業者とする者の事業分野

関係省庁

団体名称

対象事業者とする者の事業分野

関係省庁

証券業国家公安委
員会
国家公安委
員会
金融庁

一般社団法人 生命保険協会

保険業

金融庁

一般社団法人 日本損害保険協会

保険業

金融庁

一般社団法人 外国損害保険協会

保険業

金融庁

全国銀行個人情報保護協議会

銀行業

金融庁

公益社団法人 日本消費生活アドバイ
ザー・コンサルタント・相談員協会

経済産業分野

経済産業省

一般社団法人 信託協会

信託業

金融庁

一般社団法人 結婚相談業サポート協会

結婚情報サービス業

経済産業省

金融庁

一般社団法人協議会

結婚情報サービス業

経済産業省

金融庁

株式会社ＩＢＪ(日本結婚相談所連盟)

結婚情報サービス業

経済産業省

一般社団法人 全国警備業協会
一般社団法人 全日本指定自動車教習所協会連合会
日本証券業協会

一般社団法人 投資信託協会
一般社団法人 日本投資顧問業協会
日本貸金業協会

警備業
指定自動車教習所業

投資信託委託業及び投資法人資産運用業
投資運用業及び投資助
言・代理業
貸金業

一般社団法人 日本個人情報管理協会

経済産業分野

厚生労働省
経済産業省

一般社団法人 全日本ギフト用品協会

ギフト用品に関する事業

経済産業省

一般社団法人 日本クレジット協会
公益社団法人 東京グラフィックサービス工業会
一般社団法人 日本専門店協会
特定非営利活動法人 日本個人・医療情報管理協会

クレジット事業
印刷・グラフィックサー
ビス工業
小売業

経済産業省

経済産業分野

経済産業省

日本結婚相手紹介サービス

経済産業省
経済産業省

金融庁

大阪毎日新聞販売店事業協同組合

新聞販売業

経済産業省

一般社団法人 金融先物取引業協会
一般財団法人 放送セキュリティセン
ター

金融先物取引業

金融庁

ＪＥＣＩＡ 個人情報保護協会

葬祭業

経済産業省

放送

総務省

全国こころの会葬祭事業協同組合

葬祭業

経済産業省

一般財団法人 日本データ通信協会

電気通信事業

一般社団法人

経済産業分野

経済産業省

一般財団法人 日本情報経済社会推進協会

全般

自動車登録番号標交付代
行業

国土交通省

日本製薬団体連合会

製薬業

厚生労働省

経済産業分野経済産業省

公益社団法人 全日本病院協会

医療厚生労働省

モバイルコンテンツ関連
事業

総務省
経済産業省

医療・介護

厚生労働省

公益社団法人

日本通信販売協会

通信販売業

経済産業省

医療厚生労働省

一般社団法人ザー協会

日本情報システム・ユー

手技療法（柔道整復・はり・きゅう・あんまマッサージ指圧・整体・カイ
ロプラティックス・リラ
クゼーション等）

厚生労働省
経済産業省

工業会 日本万引防止システム協会

特定非営利活動法人 医療ネットワーク
支援センター
一般社団法人 国際情報セキュリ
ティーマネジメント研究所

特定非営利活動法人 日本手技療法協会

総務省
経済産業省
総務省
経済産業省

医療データベース協会

一般社団法人 全国自動車標板協議会
一般社団法人 中小企業個人情報セキュリ
ティー推進協会
一般社団法人 モバイル・コンテンツ・フォーラム全般
電子商品監視機器や防犯カメラ等のセキュリティシステム

14

（参考）改正法による認定団体制度の充実
 認定団体制度について、個人情報を用いた業務実態の多様化やIT技術の進展を踏まえ、企業の特定分野(部門)を対象とする団体を認定できるようにする。
現 行

改正後団体を認定し、自主ルールに基づく企業単位での個人情報全般（企業の全ての分野（部門）が対象）の適正な取扱いを促す（§47①）

現行制度に加え、企業の特定分野(部門)を対象とする団体を認定できるようにする（§47②）

○○業協会
（金融系）

××業協会
（通信系）

A銀行（全ての部門）

X会社（全ての部門）

B証券（全ての部門）
C金融（全ての部門）
・・・

Y産業（全ての部門）
Z興業（全ての部門）
・・・

現行、例えば、認定団体は対象となる企業の全ての分野の苦情に対応する必要。

○×協会
A銀行 （広報部門）
X会社 （広報部門）
K電気 （広報部門）
N百貨店（広報部門）
・・・
特定分野での認定を受けることにより、分野ごとのより高い水準の個人情報保護の推進に資する。
15

（参考）認定団体の関与について

第156回 個人情報保護委員会 資料１「改正法に関連する政令・規則等の整備に向けた論点について（漏えい等報告及び本人通知）」（抜粋）
２．検討すべき主な論点⑤その他（２）認定個人情報保護団体の関与について
 認定個人情報保護団体は、改正法における漏えい等報告の報告先となっていないが、認定個人情報保護団体の制度趣旨や、これまで対象事業者の漏えい等事案の対応・再発防止に関与してきたことを踏まえ、その関与の在り方を検討する必要がある。
 なお、この点を含め、認定個人情報保護団体の活動について、団体にとっても参考となるよう、望ましい取組の方向性等を委員会として示していくことが必要ではないか。

16