個人情報保護委員会（第２６８回）議事概要
１ 日時：令和６年１月 23 日（火）１４：００～

２ 場

所：個人情報保護委員会

委員会室・オンライン

３ 出席者：藤原委員長、小川委員、中村委員、大島委員、浅井委員、髙村委員、小笠原委員
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官
４ 議事の概要（１）議題１：「いわゆる３年ごと見直し（ヒアリング）」
個人情報保護委員会議事運営規程（以下「議事運営規程」という。）第９条の規定に基づき、消費者支援機構関西（以下「KC’s」という。）五條理事及び小林事務局長が会議に出席した。
KC’s から資料１－１に基づき説明があった。
髙村委員から「資料１－１、２ページ目で、『個人情報保護に関係する情報提供がされることがある』とのことだが、適格消費者団体に寄せられる情報のなかで個人情報保護に関する情報提供の割合はどの程度か、また、個人情報保護に関する情報提供は増加しているのか、個人情報保護に関する情報提供の内容はどのような内容なのかを教えていただきたい。
令和２年に個人情報保護法が改正され、漏えい等事案が発生した場合は、事業者から本人へ通知する義務が規定されている。その通知に基づいて、例えば適格消費者団体の方に相談があるとか、あるいは情報提供がされるといったケースがあるのかどうか伺いたい」旨の発言があった。
これに対し、KC’s から「今回のヒアリングに際し、適格消費者団体全体の傾向についてまで調べる時間がなかったため、あくまで当団体の情報だが、当団体に寄せられる情報提供の中で、個人情報保護に関する事例が多いかというと、割合としてはごく一部だと思う。傾向として増えた、減ったと判定するほどの数があるわけではなく、ポツポツといった感じで情報が寄せられているというのが実情であると思う。団体が持っている権限との関係で、適格消費者団体は、契約情報や表示広告等を中心に差止めする権限があるということで、情報提供を求めているため、個人情報の問題について、日頃から意識して情報収集をしたり、情報提供を呼び掛けていた
りするわけではない。そういう意味では、当団体に関してはかなり数が少ないと思う。ただ、団体によって、個人情報の問題による感度や参加しているメンバー等によって異なるため、これが適格団体全体の傾向かどうかは分かりかねる。
内容については、資料に挙げているようなものが多く、最後の事案のように情報漏えいについて事業者からお詫びが来たがどうしたらよいのか分からないとか、自分が知らないところで情報が漏えいしているようで気持ちが悪いといった情報提供が、傾向としては多いと思う。ただ、情報提供を受けた場合に、我々には情報漏えいによる被害回復の権限がないため、私たちでは対応できないと言って終わってしまうことが多いため、情報提供を受けても具体的に検討して事業者に働きかけるところまでいっていないという実情である」旨の回答があった。
また、髙村委員から「差止請求をするために情報収集が必要になると思うが、貴団体独自の情報収集について、資料に記載されているもの以外に工夫している点があればご説明いただきたい」旨の発言があった。
これに対し、KC’s から「一般の消費者から情報が寄せられるケース以外に、会員である専門家が、ご本人の承諾を得て情報提供している事例がある。
専門家が情報提供してくるケースというのは、我々が持っている権限を理解して情報提供してくるので、そういう意味では検討に結びつくようなものが多い傾向にあるのは確かだと思う。もう一つは、先ほど申し上げたように、行政が出している処分情報や、措置命令の情報等で、定期的にチェックをしている。それは先ほど申し上げたように、景品表示法で措置命令があった場合、それが返金に結びつくようなケースがあるからということである。
現状で私がやっているわけではないが、個人情報保護関係の権限が適格団体に認められるということになると、個人情報保護委員会で出しておられるリリース等をチェックしていって、権限上行使できるものがないかを探して、検討していくというような流れになるのではないかと予想している」
旨の回答があった。
小笠原委員から「１点目は、差止請求に関し、差止請求を検討する段階で、個人情報保護法との整合性が問題になるということで、現在は消費者契約法第 10 条で取り入れたりするということであったが、個人情報保護法との整合性が問題となる事案の件数がどの程度あるのか、また検討事案全体の中でどのくらいの割合があるのか教えていただきたい。
２点目は、被害回復請求に関し、個人情報漏えいによる慰謝料算定は、定型的に算定されており、集団的な解決に馴染む紛争類型であるという点がメリットだと思われる。反対に、個人情報保護法が対象になった場合に、いくつか問題点を挙げていただいたが、とりわけ被害回復請求の権限行使に際して難しい点、ネックになる点があればどういうものか教えていただきたい」旨の発言があった。
これに対し、KC’s から「１点目の差止請求に関して、あくまで私が所属している団体ということと、私は３、４年前くらいまで差止めを検討する部門の責任者で、今現在、被害回復を検討する部門の責任者という立場であり、私の職責の範ちゅうで必ずしもすべての事案について把握しているというわけではないが、個人情報保護について差止めにあたって検討している事案は、数としては当団体についてはそれほど多くない。具体的に検討に入っている事例は、あるかないかというレベルだろうと思う。その原因は先ほど申し上げたように、そもそも情報提供する事案が、個人情報に対する問題意識を持って情報提供くださる事案が多くないということ。また、我々が持っている権限との関係で、個人情報の問題にフォーカスして、事業者に対する申入れを組み立てるというような発想が、そもそもそんなに強くはないというところが現状であり、今までの活動はそうだったであろうと考えられる。権限がなくとも消費者団体として申入れをするケースがあると資料に記載したが、権限がないと、事業者は、なかなか真剣に取り合ってくれないことが多いため、我々は自分が持っている権限に当てはめて成果が上がるような活動ができるのかということを検討するので、今までそういう活動に結びつくところがなかったのではないかと考えている。ただ、紹介したよ
うに、北海道の適格団体が個人情報の観点から申入れをしたりしているという活動があるので、団体によってはそういうことをやっているということだと思う。
２点目の被害回復請求に関して、被害回復上の最大の問題は、請求できる金額の問題である。請求できる金額そのものの問題というよりは、請求できる金額が少ないと、分配に係るコストを吸収することができないという問題である。ガイドラインでは、特定適格消費者団体が、個々の被害者の方から頂ける報酬額は、慰謝料金額の 50％までとされている。例えば、慰謝料金額が 5,000 円だったとすると、一人当たり 2,500 円ですべてを賄わないと必然的に赤字になる。そうなると、過去の裁判例で認められているような金額レベルで、我々が自分たちの活動資金だけでできるということになると限界がある。個人情報保護の分野ではないが、現在当団体で１人当たり3,000 円から 4,000 円くらいの単価の被害を取り扱う被害回復の訴訟をやっているが、ある程度被害者の数がこの程度に収まるということが分かっているから赤字をなんとか吸収できるという前提で訴訟を起こしている。
仮に、これが少額被害で、なおかつ大量被害、数万人や数十万人の被害が発生するということになると、必然的にその赤字額が増えていくということになるので、権利行使をしようとした際に、どうやってこれを吸収するかという問題を解決しなければならないという点が、考えられる最大の障害になるのではないかと予想している」旨の回答があった。
中村委員から「小笠原委員の質問に対する回答でも触れられ、また資料の２ページにも記載されていたが『個人情報保護法等、差止権限を有していない法令への違反を指摘することがある』とのことだが、任意の改善の求めに当たり、権限を有する法律に基づくものと、権限を有さない法律に基づくもので、事業者の対応にどれほどの差が出ているか教えていただきたい」旨の発言があった。
これに対し、KC’s から「二つ例を挙げると、適格消費者団体として権限があるものとないものという観点で言うと、権限がないものについては『ご意見ありがとうございます。今後の参考にさせていただきます』といった返答がくることが結構あり、法的権限がないと答えていただけないという傾向があると思う。また、分かりやすい例で言うと、適格消費者団体というのは、認定を受けるまでに２年程度、活動をしなければならないとされている。その適格認定がない段階で、この契約条項については、消費者契約法違反なのではないかと事業者に申し入れて改善を求めるという活動をしているが、多くの適格消費者団体が言っているのは、適格認定を受ける前に申入れをしても、なかなか返事もしてくれない事が多いが、適格認定を受けて差止請求をすると、途端に態度が変わり返事をしてくれるようになったというようなことである。私自身も団体の立ち上げ時点から同じような経験をしているので、法的権限がないと、事業者が言うことを聞いてくれないということは実感として持っているところである」旨の回答があった。
藤原委員長から「個人情報保護法違反や個人情報漏えい等事案への消費者団体訴訟制度の拡張について、概ね前向きな御意見と受け止めたが、仮に制度が拡張されたとして、これらの制度の実務を担う主体として、手を挙げる消費者団体がどれくらいあると考えるか、個人的な考えでも構わないのでお聞かせいただきたい」旨の発言があった。
これに対し、KC’s から「まず、情報漏えい分野を想定しているが、被害回復に関して言えば、先ほど申し上げたような実現可能性の問題はあるものの、多くの特定適格消費者団体は、これができるかどうかを真剣に検討すると思う。個人情報漏えいに関する被害回復というのは、実際の被害は生じているが、権利行使がしっかりとされていないことによって、行使されない権利になっているという意識は各団体を持っていることから、その辺りの所については検討されるだろうと思う。
差止分野に関しては、恐らくは団体の構成メンバー等によって大きな違いがあって、そういうものについて感度が高い団体が活動をするのではないかと思うし、最初の段階として、すべての団体が権利行使するような形にはならないのではないかと考えている。ただ、適格消費者団体というのは、相互に情報交換をしたり、つながりがあったり、半年に１回程度、定期的に連絡協議会を開いており、ノウハウ交換等も行っていることから、先進的な活動をする団体が現れれば、それを真似る形で同業他者に対して同じようなことをやってみたりであるとか、そういうことで徐々に活動が広がっていくのではないかと予測をしている。
現状、適格消費者団体の中で、特に個人情報に特化しているような団体があるわけではないが、将来的に、例えば現在、適格消費者団体ではないが、情報保護の分野で活動しているような消費者団体はあるから、そういった団体が適格消費者団体になっていくことによって、専門性がある団体が出てくる可能性も考えられるし、適格消費者団体でない団体を我々がサポートすることによって、適格消費者団体に認定を受けるためのサポートする仕組みが既にできている。そういった仕組みを使った結果、現在 25 団体まで適格消費者団体が増えており、選択肢というか、様々な可能性があるのではないかと考えている」旨の回答があった。
KC’s 五條理事及び小林事務局長が退席し、続いて、議事運営規程第９条の規定に基づき、日本商工会議所（以下「日商」という。）塩野総務部長及び和田情報化推進部主席調査役が会議に出席した。
日商から資料１－２に基づき説明があった。
浅井委員から「中小企業において、必ずしも個人情報保護法の存在やその規定内容が十分に認知されているとは言えず、当委員会の実施したアンケート調査においては、中小企業において個人情報保護法上の規定である『漏えい等報告の義務』を知らなかった事業者の割合は約 80％となっていた。
中小企業といっても様々あり、その規模によって、認知度や理解に差があると考えるが、どのように感じておられるか教えていただきたい。
また、事業者の適切な対応を促すインセンティブや周知活動としてどのようなものが有効と考えるか。例えば、単に分かりやすく説明するだけで十分か、お考えを教えていただきたい」旨の発言があった。
これに対し、日商から「委員会の調査では、知らなかった事業者の割合が約 80％とのこと。同内容の調査をしたことはないが、例えば、東京商工会議所の調査でサイバーセキュリティ対策についての対応の質問のなかでは、『十分な対策をしている』16.9％、『ある程度対策をしている』69.1％で、14％が『あまり対策していない』『対策していない』という回答になった。
委員会の調査がどういった事業者を対象にされたか分からないが、商工会議所の会員になっていただいている方々は、全体に比べれば意識が高めではないかと思う。私どもとしては全体への周知はしているところであるので、少なくともゼロベースの方々より意識していただいていると認識している。漏えい報告の義務等を全て知っているかというとそうではないと思うが、私どもの周知努力のなかである程度高めているつもりである。中小企業を会員とする団体として、可能な限り会員の方々に認知いただく努力はしているが、国や委員会での努力の範囲、どういったことをされているのかを教えていただきたい。網の漏れているところはどこにあるのかをご意見を頂けたら有り難いと思っている」旨の回答と発言があった。
これに対し、浅井委員から「周知活動は、目的とターゲットを踏まえてこそ成果が図られると思うので、ご意見を取り入れていきたいと考える」旨の発言があった。

大島委員から「個人情報の不適正利用事案や、個人情報データベース等の不正提供等事案が発生している。諸外国における直近の執行状況も踏まえると、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げや直罰化、課徴金制度の導入などの厳罰化を検討することも必要かと思う
ところ、厳罰化についてどのように考えておられるか。また、厳罰化が中小企業にとって、規律の理解や遵守のインセンティブとなり得るか」という旨の質問があった。
これに対し、日商から「厳罰化になれば、身の引き締まる思いで、より注意をする、という方々は一定数いると思う。ただ、罰則の強化となると、３年ごとの改正でルールが少しずつ変わっていくこともあり、中小企業においては、リスクが高まるのではないかという認識を持っている。人手不足も深刻化している中で、中小企業が対応できなくなるのではないか、厳罰化となれば、報告の作業が複雑、煩雑になるであろう。インセンティブという点では、罰則ではない方向を強く求めたいと思う。
中小企業は、人材不足などもあり、個人情報だけに限らず、守るべきデータについて、クラウドなど外部のＩＴサービスに依拠した生産性の向上を求めざるを得ない。ＩＴ人材の育成は叫ばれているものの、なかなか投資はできないということを考えると、大多数の中小企業は個人情報を漏えいしたくてするわけではなく、不測の事態で出てしまうということであるだろう。もちろん中小企業に一定の知識、リテラシーは必要であるが、むしろサービスを提供するクラウドサービス事業者、ＩＴサービス事業者側がもう少し丁寧に、中小企業側がデータを預けやすくすることが必要である。ＩＴ
サービス事業者側への罰則強化はあるかと思うが、中小企業に対する罰則の強化については、むしろＤＸを阻害する要因になるのではないかと危惧している」旨の回答があった。
小川委員から「一つ目は、周知広報、事例の提示のご意見があったが、安全管理措置について、中小事業者の経営者が、より個人情報保護に真摯に取組める環境を実現するために、当委員会としてどのような取組をすべきと考えるか。
二つ目は、最近の漏えい等事案をみると、委託や派遣社員を含めた安全管理体制、システム設計や運用を含めたヒューマンエラー、サプライチェーンを含めた不正アクセスが重要な課題であると認識しているが、中小企業において、事業者として自主的に取り組んでいる具体的な内容や課題があれば教えていただきたい」旨の発言があった。
これに対し、日商から「分かりやすくするために動画や漫画の御提供といった工夫をしていただいていると承知している。商工会議所の調査等で、独自のセキュリティ対策としては、先ほど 86％ほどが対応していると申し上げたが、筆頭に挙がってくるのは、セキュリティ対策ソフトのインストール、ソフトウェアのアップデート、社内研修の実施、セキュリティポリシーの作成、セキュリティ診断の実施などである。例えば、商工会議所でセキュリティ診断のためのツールを提供したり、会員企業向けの損害保険があるため、保険会社と連動しながらセミナーを運営したりもしている。委員会でできることとしては、動画、漫画などの分かりやすいものを引き続き提供いただ
けるとありがたい。もう一つは、商工会議所でリーチしきれない、商工会議所に加入していない企業への違ったルートでの周知など、お考えいただけるとありがたい。
具体的には、月１回全国の商工会議所の役員が集まり開催している情報化委員会において、昨年 10 月 18 日に、警察庁のサイバー警察局長がセミナーを開き、周知をしており、各商工会議所の職員や幹部の方々への意識を高める手段には使えると思う。
さきほど、セキュリティ診断のお話をしたが、可能であれば、診断等を委員会の皆様にも見ていただいて、具体例として何が足りないのかを身近に理解していただくこともご検討いただきたい。また、商工会議所が企業にリーチする際に、最初に接点となるのは経営者であることから、セキュリティ、ＩＴに対する意識を高めることには取り組んでいるが、仮に経営者の目に引っかからないと、従業員まで周知がなされないということになる。従業員まで広く、一般の方、従業員の意識の高い方にどう周知するかをお考えいた
だき、SNS での発信などを強化いただきたい」旨の回答があった。
藤原委員長から「浅井委員からの質問のなかで、企業の規模感の話があったが、515 の各地域にある商工会議所の傘下に 125 万という事業者がぶら下がっているということで、その事業者の方々の対策を考える際に、事業者の規模感とは限定されるか」という旨の質問があった。
これに対して、日商から「およそ日本企業の縮図になっていて、少し大企業や中小企業の比率が高いが、小規模の企業もカバーしており、企業規模としては網羅していると認識している。例えば、従業員 20 人以上の企業の対策しか考えられないということではなく、本当に小さな企業も会員である
ため、いろいろな層に対する働きかけをするに当たって、事例を収集する際には、全体をカバーしていると理解いただければと思う」と回答があった。
以上