資料１−３

3年ごと見直しヒアリング2024

弁護士森 亮二

1

あるべき改正の方向性① デジタル対応② グローバルスタンダードへの接近③ プライバシーの重視•••

1条（目的）の「～個人の権利利益を保護することを目的とする。」における「権利利益」の中心は、プライバシーであり、本法の目的の一つはプライバシー侵害の防止。裁判所の長年の判断の積み重ねと離れて「権利利益」を考えることは、独善に陥るおそれがある。
特に、不適正利用の禁止（19条）、適正取得義務（20条）の解釈の際に、裁判所の判断は不可欠な要素として参照されるべき。
基本方針１（２）「法第３条は、個人情報がプライバシーを含む個人の人格と密接な関連を有するものであり」④ 医療情報、災害時は特別法で2保護・利活用の通常のバランスではないので一般法の議論になじまない。

改正事項の提案
1. 個人情報の概念の拡大とその他の概念の整理

6. 利用停止・消去請求権の拡
大2. 課徴金の導入

7. 補完的ルールの解消（法の下の平等）

3. 団体訴訟制度

4. 生体情報、子どものデータに関する規制

8. 委託先（サービス提供者）の利用目的とサービス改善のための利用

5. 取得規制の適正化（プロファイリングを「取得」に）

9. 連絡先情報の提供制限の緩和
3

1. 個人情報の概念拡大◼ 個人情報の概念を拡大し、端末やブラウザの識別子、スマホの電話番号、メールアドレスなどを単体で個人情報とすべき。

◼ ①デジタル対応、②グローバルスタンダードの観点から強く要請される。
◼ 概念整理との関係では、この改正により個人関連情報の概念をなくすことができる。
◼ そもそもR2改正による個人関連情報の提供制限の導入は、時宜に応じた改正ではあったものの、しょせんは弥縫策。
◼ 特に広告IDやスマホの電話番号のような、一意性、共用性、本人到達性のある情報に紐づいたデータについては、氏名等がなくとも、不適正利用の禁止や安全管理措置などの義務の対象にすべきことは明白。
4

1. その他の概念整理◼ ちなみにその他の概念整理については、事業者団体からの要望が出ているが、仮名加工情報と匿名加工情報については、利活用のために創設された概念であり、あった方がいいのではないか。
◼ 保有個人データについては、「個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって…」と定義されているが（16条4項）、「開示できても訂正等はできない」ようなことは起こりうる。そのため、「保有個人データ」という概念をなくして、義務規定をたとえば「当該個人情報取扱事業者が当該個人データの開示を行う権限を有する場合には…」のようなものに改めることが考えられる。

◼ 同じ問題は、22条（データ内容の正確性の確保等）についても存在するがこちらは個人データに対する義務になっており（正確な内容に変更する権限が5前提になっておらず）現状では一貫性に欠ける状況にある。

2. 課徴金の導入◼ ②グローバルスタンダード、③プライバシーの重視の観点から強く要請される。

◼ 特に悪質な事案について、現状の罰金のみでは、法執行が個人情報保護委員会で完結せず、「刑事司法任せ」となってしまう問題がある。刑事司法側では事案の重大性・悪質性が十分に理解できないことがありうる。
◼ 前記のように、課徴金は重大事案、悪質事案を想定したものであるから、事業者における利活用の「萎縮」は生じない。事業者は最低でも、自身の利活用が重大事案、悪質事案に該当しないように注意すべきであり、そのような最低限の慎重さをもってふるまうべきことは、「萎縮」ではなく「常識的な節度ある行動の期待」であって、事業者に当然に求められる社会的責任の一部である。
6

3. 団体訴訟制度の導入◼ ②グローバルスタンダード、③プライバシーの重視の観点から強く要請される。個人情報の取扱いに関して生じた権利利益の侵害に対する損害賠償請求は典型的な少額大量被害事案であり、提訴等の費用負担の方が得られる賠償額より大きくなる可能性が高い（漏えい事案だけではないことに注意⇒リクナビ等）。
◼ 消費者裁判手続特例法のR４改正によって、同法の団体訴訟に慰謝料を含むこととなったが、どういうわけか、(a)事実関係を共通にする財産的請求と併せて請求されるものまたは(b)事業者の故意によって生じたもののいずれか、という制限がついており、権利利益の侵害（プライバシー侵害）による損害の回復として十分な制度ではない。

◼ 個人情報保護委員会による勧告・命令が先行するケースが多いと予想されるところ、当該案件について個人情報保護委員会が有している情報に、特 7定適格消費者団体のアクセスが確保されることが有用。

3. 団体訴訟制度の導入◼ 損害賠償請求と「萎縮」について当然のことながら、団体訴訟は結果責任を問うものではない。たとえば漏えいが生じたことの一事をもって責任を問われるわけではなく、安全管理措置に関して過失がある場合に責任を問われることになる。事業者は、過失なく適切に安全管理措置を実施することを求められており、そのように行動しなければならないことは「萎縮」とはいえない。
◼ 差止請求と「萎縮」について差止を受けるのは違法行為であるから、事業者に違法行為を行う自由が認められていない以上、「萎縮」が問題となる余地はない。

8

4.生体情報、子どものデータに関する規制◼ ①デジタル対応、②グローバルスタンダード、③プライバシーの重視の観点から積極的に改正を検討すべき事項である。

9

5. 取得規制の適正化◼ ①デジタル対応、③プライバシーの重視の観点から強く要請される。
◼ 生成は「取得」にあたらないとされており、現状ではプロファイリングに取得規制がかからない。

◼ 信条などの要配慮個人情報をプロファイリングによって生成することは可能だが、要配慮個人情報の取得に関する20条2項の適用がないことになる。
◼ さらに、プロファイリングの結果として生成される情報については、「取得」に際しての利用目的の通知・公表（21条1項、2項）も不要となっている。
◼ わが国は、プロファイリングに規制がかからない「プロファイリング天国」◼ そもそも前記の取得規制は、事業者が個人情報を入手することによって一定の権利利益の侵害のおそれが生じ得ることから設けられたものであり、 10「生成は取得にあたらない」とする合理的根拠がない。

6.利用停止・消去請求権の拡大◼ ③プライバシーの重視（自己情報コントロール）の観点から強く要請される。
◼ 現行法では、保有個人データの利用停止、消去の請求には、18条、19条または20条の違反が条件となっており、第三者提供停止の請求は、27条1項又は28条の違反が条件となっている。
◼ これらを条件としない利用停止・消去請求権の拡大については、消費者からの要望が強く、かつJISQ15001において広く実現されている運用であることから、これらの条件なく、利用停止、消去、第三者提供の各停止請求を原則として義務化してはどうか。
◼ なお、JISQ15001は、業務支障などの例外を設けており、これに合わせても事業者の業務運営に困難をもたらすおそれは低い。
11

7. 補完的ルールの解消◼ ②グローバルスタンダード、③プライバシーの重視の観点から強く要請される。

◼ 補完的ルールは十分性認定によりEUから移転された個人データに関する特則であるが、法の下の平等（憲法14条）に違反するおそれのあるルールである。
◼ 補完的ルールは、個人情報保護法がGDPR十分性認定のレベルに達していないことを自認するものであり、②グローバルスタンダードへの接近の観点から、早々に補完的ルールを不要にするために必要な法改正を行うことが求められる。

12

8.委託先（ｻｰﾋﾞｽ提供者）の利用目的とｻｰﾋﾞｽ改善のための利用
Q7-39
委託に伴って提供された個人データを、委託業務を処理するための一環として、委託先が自社の分析技術の改善のために利用することはできますか。

A7-39
個別の事例ごとに判断することになりますが、委託先は、委託元の利用目的の達成に必要な範囲内である限りにおいて、委託元から提供された個人データを、自社の分析技術の改善のために利用することができます。
◼ 個別判断はやむを得ないが、もう少し具体的な判断基準を示すことは可能ではないか。
◼ まず、「委託元の利用目的の達成に必要な範囲内である限り」の条件を付け13るのであれば、分析技術を改善しなければ委託の目的が達成できないので、委託元の利用目的に入っており、当然に許容されるのではないか。

8.委託先（ｻｰﾋﾞｽ提供者）の利用目的とｻｰﾋﾞｽ改善のための利用◼ 実際に問題になるのは、委託先のサービス提供に伴う個人データの取扱いの委託（委託元⇒委託先）場合に、委託された個人データがサービス内容の改善に用いられる場合。
◼ この場合、委託元Aから委託を受けた個人データを利用してサービス内容を改善すると、改善されたサービスを委託元B、委託元Cのような他の委託元にも提供することができるため疑問が生じる。
◼ ただ、この場合、委託元Aもサービス内容の改善によって利益を受けるため、通常はサービス内容の改善を希望しているはずであり、委託元Aの利用目的にサービスの改善は黙示的に含まれているといえるのではないか。
◼ サービスのいかんによって権利利益の侵害のおそれが生じるような場合には、委託元がそのようなことを希望するはずはなく、サービス内容の改善が
14
黙示的に委託元の利用目的に含まれているとはいえない。

8.委託先（ｻｰﾋﾞｽ提供者）の利用目的とｻｰﾋﾞｽ改善のための利用◼ QA7-39を以下のようにすることは可能ではないか。
Q7-39改サービスの提供を受けるために委託元が提供した個人データを、委託先（サービス提供者）が当該サービスの改善のために利用することはできますか。
A7-39改個別の事例ごとに判断することになりますが、委託先が提供している当該サービスの改善によって、委託元にも利益がある場合であって本人の権利利益の侵害のおそれが生じない場合には、当該サービスの改善のために利用することができます。

◼ なお、委託に伴って提供された個人データを、委託先が独自に取得した個人データと本人ごとに突合することや、異なる委託元から提供された個人データを本人ごとに突合することができないのは当然であることから「個別判断」
15の留保を残している。

8.委託先（ｻｰﾋﾞｽ提供者）の利用目的とｻｰﾋﾞｽ改善のための利用◼ 個別判断ではあるが、AIを利用するサービスの提供に伴って、個人データの委託提供を受ける場合、その個人データをAIのモデルの学習用データとすることが各委託元と合意されていれば、異なる委託元から提供された個人データを順次学習させてモデルの機能向上を行い、サービスの改善を図ることは、原則として許容されるのではないか。
◼ 参考：第279回個人情報保護委員会 高橋克巳氏提出資料9頁↓
*1モデルと個人情報（一般的なニューラルネットワークに個人情報を含むデータを学習させた場合）• モデルはノードの集まりで、ノードは手続きとパラメータから構成される（例、f(x)= wx+bのx、w、b）• 手続きとパラメータは個人情報に相当せず、これらから元のデータの復元も通常できないと考えられる• 恣意的にパラメータから元のデータ等が復元できるようにされたモデルが作られた場合はこ16の限りではない9. 連絡先情報の提供制限の緩和◼ 業務用の連絡先であって名刺に記載されたり所属企業ウェブサイトで公表されたりしているものについては、その流通は本人の想定の範囲内であり、流通による権利利益の侵害のおそれが低いため、同意のない第三者提供を認めることができるのではないか。
◼ 具体的には、27条1項8号に以下のような例外規定を追加することは可能ではないか。
当該個人データが、本人の事業用または本人の使用者の業務用の連絡先に関する情報であって、本人又は本人の使用者が名刺・ウェブサイト等により提供・公表しているものであるとき。
17

ご清聴ありがとうございました。

18