個人情報保護委員会（第２８４回）議事概要
１

日時：令和６年５月 15 日（水）１３：００～

２

場

所：個人情報保護委員会

３

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、委員会室

加藤委員、梶田委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官
４

議事の概要

（１）議題１：令和５年度年次報告（案）について事務局から、資料に基づき説明を行った。
加藤委員から「この年次報告を通じて、令和５年度を振り返ると、各分野で適時適切な取組を行うことができたと考える。
個人情報保護法においては、令和５年度は地方公共団体の個人情報保護制度についても委員会が所管することになった最初の年度であり、特に地方公共団体に対し様々な支援等を行った。マイナンバー法においては、マイナンバーカードに係る各種事案が発生し、それぞれの事案において指導等を行った。
これらの取組によって、社会から求められる委員会の役割はますます増大したと実感している。今後とも、個人情報の適正な取扱いを確保するため適切に活動を行っていきたい」旨の発言があった。
大島委員から「国際関係では昨年６月に初めて我が国で開催した G7 デー
タ保護・プライバシー機関ラウンドテーブル会合は我が国のプレゼンスを高めることに大いに寄与した。また、グローバル CBPR 稼働に向けた取組に加え、EU や英国に対する十分性認定の対象範囲の拡大のための協議なども確実に実行された。英国 ICO との MOC の締結等により各国との関係強化も推進され、トータルとして、我が国の DFFT の推進に向けた活動が実行されたと考える。これからも継続していく必要があると思う」旨の発言があった。
藤原委員長から「加藤委員からも御発言があったように、令和５年度は社会から求められる委員会の役割が、更に増大した１年であったと感じている。
現在まさに個人情報保護法の３年ごと見直しの検討を進めており、関係団体及び地方公共団体に御協力を賜り、御意見を伺っているところ。こうした動きも踏まえつつ、個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図るという委員会の任務を果たすことで、引き続き国民の皆様の期待や信頼に応えていくことが委員会として重要と考える」旨の発言があった。

原案のとおり決定し、閣議請議等の手続を進めることとなった。
なお、本議題については、国会報告前のものであることから、資料、議事録及び議事概要について、後日公表することとなった。
（２）議題２：いわゆる３年ごと見直し

データ利活用に向けた取組に対する支援等の在り方について事務局から、資料に基づき報告を行った。
浅井委員から「PIA・DPO について、EU の GDPR では、一定の要件の下で規律化されており、日本においても大企業の多くで自主的取組として、データ保護責任者の選任及び PIA の運用が進んでいると理解した。この背景には、海外市場が事業運営に不可欠であるグローバル企業にとって、GDPR のルールやその他の海外法令に対応する必要性が現実的に大きいことがあると考えられる。したがって、今回の PIA・個人データの取扱いに関する責任者の制度化の検討においては、国際的な協調を考慮することも望ましいと考える」旨の発言があった。
清水委員から「まず、データ利活用については、公益に資する場合に、本人同意の免除等、特別な取扱いが必要な領域はあると思うが、これまでの基本的な枠組みは維持すべきであり、特別な取扱いを認める範囲は限定的である必要がある。例えば、広く国民に利益をもたらし得る業務の開発や運営の場合は認めるという条文を新設する場合も、許容する範囲は限定的であるべきだし、ガイドラインの改正で足りる場合も、追加的に許容する範囲を明示すべき。各論でいうと、AI に関する規制の新設や、学術研究例外・公衆衛生例外の範囲の拡大が考えられる。これらは関係省庁と連携の上、進めるべきであるし、特に AI は海外諸国の規制の動向も進んでいるようなので、こちらも視野に入れて進めていくべき。これらの課題は、業界団体からの要望もあり急務かもしれないが、一方で、国民の懸念も大きいため、関係省庁と連携し、個人情報保護の観点からしっかりと議論に参加していく必要がある。
後半の PIA・個人データの取扱いに関する責任者については、浅井委員の御指摘にあるように、実務に根付いている部分もあると思うが、事業者それぞれで事情は違うと思っており、これらに係る規定は現状どおりガイドライン等で取り扱うこととした上で、ベストプラクティスの紹介等、自発的な導入を推奨していく必要があるのではないか。個情法の規制はこれまで逐条的な規制が大部分だったかと思うが、今後はリスクベースアプローチにシフトしていく必要があると考える。例えば、AI やこどもに関する規制は複雑で、一律に規制することは難しい。このような局面では、事業者側にリスクを判定させ、対応策を講じさせることが有用であるわけで、PIA はリスク評価の一つの手段として有用であるし、個人データの取扱いに関する責任者は評価やリスクへの対応策として有用であると考えている」旨の発言があった。
小川委員から「データの利活用と PIA について 1 点ずつ。まず、教育関連でのデータ利活用だが、こどものデータの取扱いに関する保護と利活用について、エンターテインメント分野では保護する一方で、教育分野では利活用が必要だという意見を業界団体から頂いた。教育分野は、様々な統計データとともに一人一人の学習データに基づいた分析を行い、こどもの学習を進めるのもこれからの社会に重要ではないか。ネット社会では、SNS や動画サイトを中心に、こどもの個人データの保護が社会全体にとって重要である一方で、社会全体にとって有益である教育分野での活用も、関係省庁における取組を踏まえつつ検討する必要がある。
次に、PIA について、資料の 17 ページにあるように、PIA の効果として、『消費者をはじめとする利害関係者からの信頼性の獲得』、『事業のトータルコストの削減』、『従業者の教育を含む事業者のガバナンスの向上』が挙げられている。企業の提供するサービスやシステムについて、事前に PIA を実施して公表することで、顧客の個人情報が保護されるサービス、システムであることを示すのは、顧客の不安解消に重要である。ただ、PIA の実施にはコストがかかるため、実際に、全体でコストが削減されるのかという疑問があるとも思う。PIA の効果は、企業の提供するサービスによってケースバイケースの評価になる。さらに、システムの開発や運用は委託されることが多いので、PIA も委託先に任せてしまう可能性がある。多重下請け構造が多く見られる日本では、PIA が下請け任せにならないようにする必要がある。このような状況で、当委員会が進めているデータマッピング・ツールキットなどの普及や、グッドプラクティス、ベストプラクティスを業界や認定個人情報保護団体で共有することが重要ではないか。加えて、事業者の提供するサービスがネット社会の進展を阻害しないように、消費者の信頼や安心を得るために、PIA の実施にインセンティブを持たせる仕組みも必要だと考える」
旨の発言があった。
藤原委員長から「まず、本人同意を要しない公益に資するデータ利活用の在り方について、昨今のデジタル化の急速な進展・高度化に伴い、生成 AI等の新たな技術の普及等により、大量の個人情報を取り扱うビジネス・サービス等が生まれている。また、健康・医療等の公益性の高い分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが高まっている。
こうした状況を踏まえ、個人情報保護法で、本人同意が求められる規定の在り方について、個人の権利利益の保護とデータ利活用とのバランスを考慮し、特に AI や医療関係のヒアリングでの有識者の御意見や、本人同意を要しない個人情報の取扱いに関する外国法制度なども参考にしながら、継続して検討すべきである。また、その際には、本日の委員からの意見も踏まえることが重要である。
続いて、PIA・個人データの取扱いに関する責任者の制度化・普及に向けた支援についてである。これらの制度は、データガバナンス体制の構築において主要な要素となるものであり、その取組が促進されることが望ましい
が、これらの義務化については、各主体における対応可能性や負担面などを踏まえ、慎重に検討を進めるべきである。まず、PIA については、現状の民間における自主的な取組という枠組みを維持しつつ、その取組を一層促進させるための方策について、PIA の出発点となり得るデータマッピングを活用していくことを含め、検討を進めるべきである。その際は、本日の委員からの意見も踏まえることが重要である。また、個人データの取扱いに関する責任者に関しては、現行のガイドライン等で定める『組織体制の整備』を超えた措置の必要性について検討を進めるべきである。資格要件の要否、設置を求める対象事業者の範囲等により、その効果が変わってくると考えられるところ、各企業の現状も踏まえ、現実的な方向性を検討すべきである。その際は、本日の委員からの意見も踏まえることが重要である。
特に御意見等ないようなので、今私から申し上げた内容も踏まえて事務局において御検討いただきたい」旨の発言があった。
（３）議題３：いわゆる３年ごと見直し 実効性のある監視・監督の在り方②について事務局から、資料に基づき報告を行った。
清水委員から「漏えい等報告の目的は、当委員会が案件を早急に把握し、必要な対応策を講ずることができるようにすることであるとされている。
この点、当委員会は、問題案件が発生した場合に、速やかに注意喚起等を発出して被害の拡大防止や再発防止を図ってきた。したがって、現行制度は有用であるが、一方で、事業者からは漏えい等報告の活用方法が不明であるという指摘もあるため、これまでの漏えい等報告の分析結果を HP 等で公表して事業者等と共有する仕組みを作ることが適切ではないか。一方で、漏えい等報告を緩和する必要があるものの、本制度をこれまで有効に活用していたことに照らせば、骨抜きになるような報告及び本人通知義務の免除は不適切である。本人の数が一人である場合や認定個人情報保護団体に加入している場合での緩和は考えられるが、不正使用等の実害がないこと、漏えいした個人情報の本人が通常の通知を行わないことに異議を唱えないことの２条件がクリアされた場合に限って、四半期や半年ごとの報告も許容される可能性はある。また、速報フォームの簡素化も、検討要素の一つである」
旨の発言があった。
小川委員から「漏えいした個人データのフォローアップについて、フィッシングメールに迷惑している方も多いのではないか。実際に、個人情報を入力して犯罪に巻き込まれてしまう方もいると思う。企業からの個人情報漏えいのプレスリリースでも、現時点では、個人情報の不正利用等は、確認していないという記載が多く見られる。ただ、公表や本人通知の実施後、ある程度の時間が経過すると、二次被害について言及されなくなってしまうことになるのではないか。フィッシングメールが送られてくる一般消費者からすると、その後のフォローアップがないと不安に感じる人もいるだろう。
これは名簿流出の危険性と同じで、自分の個人情報が含まれた名簿が漏えいしてどこで使われているかを不安に感じるのと同様である。そのため、例
えば漏えい件数が極めて少ない場合は、漏えい等報告の義務を緩和する一方で、大量流出した個人データのフォローも事業者が行うといった検討も必要ではないか」という旨の発言があった。
藤原委員長から「漏えい等報告及び本人通知に関し、事業者における漏えい等報告の件数は、令和元年度以降全体として増加傾向にある一方で、関係団体等からはこれらの義務が事業者の過度な負担になっている場面があるとの声も挙がっている。そこで、こうした御意見も踏まえつつ、委員会がこれまでに受けた漏えい等報告の内容を検証したうえで、制度の趣旨を損なわないようにしつつ、漏えい等報告及び本人通知の範囲・内容の合理化を検討すべきである。その際、委員会がこれまでに受けた漏えい等報告では、漏えい等した個人データに係る本人の数が少数であるケースが大半を占めていること等を考慮することが考えられる。
また、事業者からは、いわゆる『おそれ』要件の明確化や、速報の緩和についても御要望いただいている。これらについて、具体的にどのような場面で事業者に過度な負担が生じているのか、実態を明らかにしたうえで、検討すべきである。これらの検討に当たっては、本日の委員からの意見も踏まえることが重要である。
加えて、現行法上、事業者が個人データを違法に第三者に提供した場合における、報告及び本人通知義務は存在しないが、個人データの漏えい発生時に、事業者にこれらの義務が課されることとの均衡から、その必要性を検討してはどうか。
特に御意見等ないようなので、今私から申し上げた内容も踏まえて事務局において御検討いただきたい」旨の発言があった。
以上