平成 30 年度上半期における個人情報保護委員会の活動実績について
平成 30 年 10 月 15 日
個人情報保護委員会
個人情報保護委員会（以下「委員会」という。）は、本日、平成 30 年度上半期（平成 30 年４月１日～９月 30 日）における主な活動実績について取りまとめましたので、お知らせします。
Ⅰ 個人情報保護法に関する事務
１．個人情報保護法に基づく取組について○ 個人情報保護法第７条の規定に基づき、個人情報の保護に関する施策の総合的かつ一体的な推進を図るため、政府が定めることとされている「個人情報の保護に関する基本方針」（平成 16 年４月２日閣議決定）について、近年の個人データの流通の国際化や情報セキュリティ対策の重要性等を踏まえ、①国際的な整合性への対応、②個人データに対する不正アクセス等への対応、③グローバルな視点での監督について追加する等の変更を行い、本年６月 12 日に閣議決定された。
○ 認定個人情報保護団体については、（公社）日本通信販売協会（本年７月５日付け）及び（一社）日本情報システム・ユーザー協会（本年９月 12 日付け）の２団体の認定を新たに行い、本年９月 30 日現在で認定を受けた団体は 44 団体となっている。また、認定個人情報保護団体が作成する個人情報保護指針について委員会ウェブサイトで公表している。
○ 改正後の個人情報保護法の全面施行（平成 29 年５月 30 日）に伴い、個人情報保護法第23 条第２項の規定に基づくオプトアウト手続による個人データの第三者提供（※）をしようとする者については、オプトアウト手続を行っていること等を委員会へ届け出ることが義務付けられたことを受けて、本年９月 30 日現在、150 件の届出を受け付け、委員会ウェブサイトで公表した。
※ 第三者に提供される個人データについて、本人の求めに応じて提供を停止することとしている場合であって、あらかじめ、「個人データを第三者に提供する旨」、「提供する個人データの項目」等を本人に通知し、又は本人が容易に知り得る状態に置いた上で、本人の同意を得ることなく第三者に提供することをいう。

また、このような状況を踏まえ、個人情報の第三者提供事業等の実態調査を行い、いわゆる名簿等販売事業者等の業務状況や確認・記録義務の履行状況等の調査結果を、本年９月 26 日に委員会ウェブサイトで公表した。
○ 個人情報保護法の周知・広報等を進めるために、全国の事業者団体・地方公共団体等主催の講演への講師派遣（本年９月 30 日現在で計 90 回、約 9,200 名参加）を行った。
２．個人情報保護法に基づく監督等について

1

（１）個人情報保護法に関する相談受付等について事業者及び国民からの相談・苦情を受け付ける「個人情報保護法相談ダイヤル」を運用し、個人情報保護法の解釈等に関する国民からの問合せに回答し、苦情や通報に対しては必要に応じあっせんや指導を行った。
例えば、個人情報取扱事業者ではないと誤認して開示請求に応じなかった苦情について、あっせんを行った結果、開示請求に応じることで決着したものや、本人同意を得ずに従業員等が顧客の個人データをウェブサイトに掲載したとの通報について、事実関係を確認し、個人情報の適正な取扱いに関し、従業員等に周知・徹底するように指導を行った事案があった（参考１）。
（２）漏えい等事案に関する報告の受付状況等について委員会へ直接報告された漏えい等事案は 596 件であった。主な発生原因としては、書類及び電子メールの誤送付、書類及び電子媒体の紛失であり、その他の発生原因としては、インターネットを経由した不正アクセス等であった。
漏えい等事案の報告を受けて、事実関係及び再発防止策の確認等を行い、必要に応じて指導等を行った（参考２）。
（３）個人情報保護法に基づく指導等について○ 平成 30 年度上半期において、立入検査を２件、報告徴収を 211 件、指導・助言を139 件行った。
主な指導等の内容は、個人情報を大量に漏えいした事案について、個人情報保護法に基づく立入検査等を実施して安全管理措置等の状況を確認するとともに、再発防止策の実施や個人情報の適正な取扱いを行うように指導・助言を行ったほか、不正アクセスを発生原因とする漏えい事案について、再発防止策の実施等に関し、ウェブサイトのプログラム修正を行った場合には、リリース前に、当該ウェブサイトのセキュリティチェックを行う必要があることなどについて指導を行ったことである（参考２）。
○ 個人情報の第三者提供事業（名簿等個人データの販売事業等）等の実態調査の結果を踏まえ、届出義務を履行していない未届事業者に対して事業内容等に関する調査を開始するとともに、名簿等個人データの適正な取扱いや利用に関する注意喚起を委員会ウェブサイトに掲載した。
○ また、民間事業者における個人情報の取扱いに関し、協力を得られた事業者において個別に調査を実施し、当該事業者と効果的・効率的な安全管理措置について意見交換を行うとともに、業種の特性等に応じた効果的な監督手法について検討を行った。
（４）パーソナルデータの適正かつ効果的な活用について○ 官民データ活用推進基本法第 21 条第４項の規定に基づき、官民データ活用戦略会
議が官民データ活用推進基本計画の案を作成する際に委員会の意見を聴くこととされているため、同会議から提示された案に対し、本年６月６日、個人情報等を含む官2

民データを取り扱う施策を実施するに当たっての留意点等を通知した。
○ 改正後の個人情報保護法の全面施行によって匿名加工情報の類型が新設され、個人情報の取扱いよりも緩やかな規律の下、自由な流通・利活用を促進するための環境が整備された。これを受けて、本年９月 30 日現在で、350 社以上の事業者（小売、金融、医療・福祉等）が匿名加工情報の作成等を公表している。
○ 非識別加工情報の加工やその取扱いについての公的な相談窓口として、改正行政機関個人情報保護法等に基づき開設した行政機関等非識別加工情報に関する総合案内所において、国の行政機関及び民間事業者等からの問合せに対応している（参考３）。また、民間事業者からの提案の利便に資するため、平成 30 年度の非識別加工情報に係る提案募集状況を取りまとめ、各機関における提案募集の対象ファイル及び実施日程を本年９月５日に公表した。
○ 生産性向上特別措置法第 22 条第６項の規定に基づき、主務大臣が革新的データ産業活用計画の認定をしようとする場合において、特に必要があるものとして政令で定める場合に該当すると認めるときは、あらかじめ委員会に協議することとされていることを踏まえ、保有個人データを用いる計画について協議を受け、回答した。
（５）国外に所在する事業者への対応
委員会は、国外に所在する事業者において国内居住者の個人情報の漏えい等が生じた場合に、海外の個人情報保護当局とも連携を図るなど積極的な対応を行ってきた。
○ 例えば、多くの国で大量の個人情報が漏えい等した事案について、委員会ウェブサイトで日本における影響を周知するとともに、当該事業者に対して事案の詳細な内容を確認し、必要に応じてヒアリング等を行っている。加えて、本事案については、海外の個人情報保護当局と電話会議等で情報交換を実施し、今後、連携して対応することを確認した。
○ また、ソーシャルプラグインが設置された一部のウェブサイトでは、閲覧しただけでユーザーがアクセスしているサイト等の情報がソーシャルネットワーキングサービス事業者に送信されることがあることについて、委員会ウェブサイトで注意喚起を行い、当該事業者に対し、個人情報を取得することがあることをより明確にユーザーに周知することなどを求めている。
○ このほか、国外に所在する事業者の漏えい等により、当該事業者のサービスを利用していた国内事業者の顧客の個人情報が漏えいした事案について、当該外国の事業者に対し国内事業者のリストの提出を求め、国内事業者に漏えい等報告の提出を促した事案や、海外の個人情報保護当局に対し、委員会の対応状況について情報提供を行うとともに漏えい等事案の発生原因や再発防止策について情報の共有を求めるな
ど、海外の個人情報保護当局との執行協力を行った事案があった。

3

（参考）
１．個人情報保護法相談ダイヤルの受付件数（注１）
分類

苦情（注２）

問合せ内容上位５項目（１件の問合せで複数の項目に該当する場合を含む。）
安全管理開示等第三者提供 利用目的
定義
措置

合計

745

299

166

53125

71

質問

7,407

2,750

1,277

1,138814400

その他

304

13526

55

計

8,456

3,062

1,448

1,217944476（注１）本年度から、相談分類の集計方法を変更している（従来「質問」に分類していた「不満等を訴えているが助言で対応を了したもの」については、本年度以降「苦情」として集計）。
（注２）事業者等における不適正な取扱い等に関する情報提供を含む。

２．個人情報の取扱いに関する監督に係る処理状況（注１）
対応事項

件数

個人データの漏えい等事案の報告の受付

596 件

立入検査

２件報告徴収

211 件

指導・助言

139 件

苦情のあっせん

３件（注１） 委員会に対して直接報告されたものを集計。

３．行政機関等非識別加工情報に関する総合案内所の受付件数
問合せ内容上位５項目
分類（１件の問合せで複数の項目に該当する場合を含む。）

合計

定義

質問・相談

50

20

提案募集

提案の審査等

作成加工基準

17634

手数料

1

Ⅱ マイナンバー法に関する事務１．マイナンバー法に基づく取組について（１）マイナンバーガイドラインの改正について
マイナンバーガイドラインについては、事業者等から寄せられた意見や立入検査で把握した事項等を踏まえ、記載をより分かりやすくするなどの観点から見直しを行い、改正後のガイドラインが本年９月 28 日に公布された。
（２）特定個人情報保護評価指針の変更について
特定個人情報保護評価指針については、マイナンバー法第 27 条第２項の規定に基づき、少なくとも３年ごとに指針について再検討を加え、必要があると認めるときは、これを変更するものとするとされている。この規定に基づき、特定個人情報保護評価指針の再検討を行い、特定個人情報保護評価を行う事務の対象となる人数の少ない地方公共団体等であってもリスク及びその対策の認識を深めてもらう観点から、最低限のリスク対策に関する措置状況等を基礎項目評価書の記載事項に追加する等の変更を行い、変更後の指針等が本年５月 21 日に公布・公表された。
２．マイナンバー法に基づく監視・監督について（１）マイナンバー苦情あっせん相談窓口における相談受付等について
特定個人情報の取扱いに関する苦情の申出についての必要なあっせんを行うための窓口として、マイナンバーに係る苦情あっせん相談窓口を設置して相談を受け付けており、必要に応じて当事者や事業者等に対する指導・助言等を行っている。
相談の傾向としては、事業者におけるマイナンバーの管理状況に関する従業員等からの不満や、事業者の事務処理手順の変更等を契機としたマイナンバーの取扱規程等の見直し、マイナンバー関係事務の委託及び追跡可能な移送手段等、マイナンバーの管理体制に関する相談が比較的多かった。これに対して、事業者にマイナンバーについての必要な安全管理措置を説明し、マイナンバーの保管方法や規程等の見直しの考え方等について助言等を行った（参考１）。
（２）特定個人情報の漏えい事案等に関する報告の受付状況等について特定個人情報の漏えい事案等の報告の受付 157 件のうち、重大な事態に該当するものは、①行政機関においてウェブサイトに１人分のマイナンバーを誤って掲載し、閲覧された事案、②事業者において約 170 人分のマイナンバーが記載された書類を紛失した事案である。
受け付けた漏えい事案等の報告のうち主なものは、事業者において誤ってマイナンバーを収集した事案である。
特定個人情報の漏えい事案等の報告の受付に際しては、必要に応じて、再発防止策の実施に関する指導・助言等を行っている（参考２）。

5

（３）マイナンバー法に基づく指導・助言等について
平成 30 年度上半期において、指導・助言等を 23 件行った。
主な指導・助言の内容としては、特定個人情報の漏えい事案等の受付に際し、再発防止策の徹底を求めたものや、具体的な内容の記載を求めたものなどがあった。また、インターネット上でマイナンバーの入力を求めるウェブサイトについて、法令違反のおそれがある旨の指摘を行い、ウェブサイトの見直しが行われたものがあった（参考２）。
（４）マイナンバー法第 35 条等の規定に基づく立入検査の実施状況について
平成 30 年度上半期において、法令及び特定個人情報の適正な取扱いに関するガイドラインの遵守状況等を実地に確認するため、平成 30 年度検査計画に基づき、行政機関等３件、地方公共団体 21 件の立入検査を実施し、特定個人情報の適正な取扱いに関して改善を求めるなどしている（参考２）。
また、日本年金機構及び厚生労働省に対して、扶養親族等申告書に係る委託業務が無断で再委託された問題等について、本年３月に、改善を要する事項として、①個人情報等を取り扱う全委託業者に対して監査を実施すること、②委託先に対する適切な検査及び十分な監督体制を整備することなどを求めた。それを踏まえ、本年６月に、特別監査の実施、外部委託業務のあり方の見直し等を行ったことなどの報告を受けるとともに、外部委託業務のあり方の見直しへの対応について、確実に履行等するよう指導を行った。そして、当該報告における特別監査の実施状況等について確認を行うとともに、本年９月に、外部委託等に関して実施すべき事項を通知した。
（５）マイナンバー法第 29 条の３第２項等の規定に基づく報告について
マイナンバー法第 29 条の３第２項等の規定に基づき、平成 29 年度の安全管理措置の実施状況等について、地方公共団体等 2,209 機関から報告を受け、おおむね必要な措置が講じられていることを確認した。
（参考）
１．マイナンバー苦情あっせん相談窓口における受付件数
分類

苦 情 (注１）

合計

問合せ内容上位５項目（１件の問合せで複数の項目に該当する場合を含む。）
苦情等
管理体制
提供の求め等
漏えい等
その他
窓口対応

902511

質問・相談

380

149

99462066

その他 (注２）

100

1018

計399

149

10251

2275

（注１）事業者等における不適正な取扱い等に関する情報提供を含む。
（注２）マイナンバー法やマイナンバー制度に関する意見で他機関を紹介しているものを含む。

6

２．特定個人情報の取扱いに関する監視・監督に係る処理状況
対応事項

件数等

特定個人情報の漏えい
事案等の報告の受付

63 機関、157 件（うち「重大な事態」（注１）に該当：２件）（内訳）
行政機関等 ：４機関、14 件（うち「重大な事態」に該当：１件）
地方公共団体：45 機関、49 件
事業者：14 機関、94 件（うち「重大な事態」に該当：１件）

立入検査の実施

24 件（注２）（内訳）行政機関等３件、地方公共団体 21 件

指導・助言等23 件(注１) 「重大な事態」とは、「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態の報告に関する規則」第２条各号に掲げる事態である。
(注２) 立入検査の実施件数は、立入検査開始日を基準として計上している。また、昨年度以降、継続して立入検査を実施しているものは、件数に含んでいない。

Ⅲ 国際協力○ 個人情報の国境を越えた流通が増大する中、個人情報の保護を図りつつ国際的なデータ流通が円滑に行われるための環境を整備することが重要となっており、委員会としては、国際的な協力の枠組みへの参加、関係機関との協力関係の構築等に積極的に取り組んでいる。
（１）米国との間では、多国間の取決めである APEC 越境プライバシールール（CBPR）システム（企業に対し APEC 基準を認証する仕組み）の促進を行っていくことで、協力関係を構築している。
（２） EU との間では、本年７月 17 日、日 EU 間の相互の円滑な個人データ移転を図る枠組みの構築について、委員会と欧州委員会との間で最終合意に至り、早期に当該枠組みを運用可能とするために手続を進めることで一致した。
（３） 英国との間では、英国の EU 離脱後も相互の円滑な個人データ移転が確保されるよう、関係機関との対話を実施している。
○ 上半期における主な具体的な取組は、次のとおりである。
（１）米国
平成 30 年６月、事務局長が米国商務省次官補代理と意見交換を行い、引き続き協同して、APEC・CBPR システムの促進及び拡大を積極的に行うことにより、個人情報を適切に保護しつつ、個人データの自由な流通を図ることで一致した。
平成 30 年７月、第９回インターネットエコノミーに関する日米政策協力対話（日米 IED）（※）に参加し、米国商務省とともに、CBPR システム促進に向けた議論を行った。
※ 日本の総務省国際戦略局長とアメリカの国務省大使との間で、インターネットの経済的側面に焦点を当てた政策全般について、定期的に実施されている政策対話。

本年７月の国際プライバシー専門家協会（IAPP）フォーラムなどの国際会議等の場において、委員会における APEC・CBPR システムの推進に係る取組に関するプレゼンテーションを行うなど、CBPR システムの拡大等に関する議論を行った。

7

（２）ＥＵ平成 30 年５月 31 日、委員会委員と欧州委員会委員の間で会談を行い、早期に、個人情報保護法第 24 条の規定に基づく委員会による EU の指定及び一般データ保護規則（GDPR）第 45 条の規定に基づく欧州委員会による日本の十分性認定に係る手続を完了させるための作業を加速することで合意した。
平成 30 年７月 17 日、委員会委員と欧州委員会委員の間で会談を行い、日 EU 間の個人データ移転を図る枠組みの構築について最終合意するとともに、今後、早期に当該枠組みを運用可能とするために、双方において必要な国内手続を完了させることで合意した。
（３）英国
デジタル文化・メディア・スポーツ省（DCMS）（データ保護政策の所管省庁）及び情報コミッショナーオフィス（ICO）（英国データ保護機関）と、書面や電話会議等により継続的に対話を実施し、英国の EU 離脱後も相互の円滑な個人データ移転を確保するための枠組みについて協議している。なお、英 EU 間においても、データ移転に関し齟齬を生じさせないための取組が行われるよう、英国及び EU 当局に要請した。
（４）主な国際会議への出席
国際会議名

開催日

開催国

第 43 回 OECD デジタル経済政策委員会デジタル経済セキ 平成 30 年５月 15 日、16 日
ュリティ・プライバシー作業部会（SPDE）会合
第２回世界プライバシー執行機関ネットワーク（GPEN） 平成 30 年６月 13 日、14 日
執行実務者ワークショップ
第 36 回欧州評議会条約第 108 号諮問委員会総会
平成 30 年６月 19 日～21 日

フランス

第 49 回アジア太平洋プライバシー機関（APPA）フォーラ 平成 30 年６月 25 日、26 日
ムCentre for Information Policy Leadership （CIPL）主 平成 30 年６月 27 日
催ワークショップ
世界経済フォーラム主催ワークショップ
平成 30 年６月 28 日

米国

第 31 回 Privacy Laws & Business（PL&B）年次会合

英国

平成 30 年７月２日、３日

イスラエル
フランス

米国
米国

国際プライバシー専門家協会（IAPP）アジアプライバシ 平成 30 年７月 23 日、24 日
ーフォーラム 2018
シンガポール個人データ保護委員会（PDPC）主催セミナ 平成 30 年７月 25 日
ーCIPL 主催ワークショップ
平成 30 年７月 26 日

シンガポール

第９回日米 IED

米国

平成 30 年７月 23 日、24 日

シンガポール
シンガポール

第 38 回 APEC 貿易・投資委員会電子商取引運営グループ 平成 30 年８月８日～10 日（ECSG）会合

パプアニューギ

GSMA Mobile 360 Series Digital Societies 2018

タイ

8平成 30 年９月６日、７日

ニアⅣ 広報・啓発
１． 個人情報保護法関係
個人情報保護法に対する国民の理解を深め、また不正アクセス等への対応について周知するため、次のような取組等を通じて、広報・啓発を行った。
○ 消費者や自治会・企業関係者に個人情報の保護や取扱いに関して理解を深めてもらい、今後の施策にいかしていくこと等を目的として、消費者団体の関係者や消費生活相談員、自治会・中小企業関係者を招き、地方公共団体と連携して座談会を実施した。
○ ウェブサイト運営事業者がセキュリティ対策を行うに当たり、実際に発生した不正アクセスによる情報漏えい等事案を踏まえて注意すべき事項をまとめた「WARNING～ウェブサイトを運営している事業者の皆様への注意喚起～」を委員会ウェブサイトに掲載した。
○ 直接個人から個人情報を不正に取得しようとするサイバー攻撃等への対応策等を周知するため、「個人を狙ったサイバー攻撃に関する留意事項」を委員会ウェブサイトに掲載した。
○ 第三者が作成したアプリ等を活用してサービスを提供する事業者及び当該サービスを利用する人に対して、意図しない個人情報の取得、提供をすることのないように「第三者が作成したプラットフォームやアプリを活用する場合の留意事項」を委員会ウェブサイトに掲載した。
○ 個人情報保護法の周知・広報等を進めるために、全国の事業者団体・地方公共団体等主催の講演への講師派遣（本年９月 30 日現在で計 90 回、約 9,200 名参加）を行った。
（再掲）
２．マイナンバー法関係○ 各種説明会等に講師を派遣した（本年９月 30 日現在で計 70 回、約 7,040 名参加）。
○ マイナンバーガイドラインの改正等に伴い、マイナンバーガイドライン資料集等の各種資料の改正を行った。

9