日時：令和６年２月７日（水）14：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、梶田委員、髙村委員、小笠原委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官○森川総務課長

それでは、定刻になりましたので会議を始めます。

本日は全委員が御出席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから第271回個人情報保護委員会を開会いたします。

本日の議題は二つです。
議題１「いわゆる３年ごと見直し（ヒアリング）」について、前回に引き続き本日は日
本インタラクティブ広告協会（JIAA）へのヒアリングを実施したいと思います。
個人情報保護委員会議事運営規程第９条の規定に基づき、会議に出席いただきたいと思いますがよろしいでしょうか。
（異議なし）
ありがとうございます。それでは、出席を認めます。
（日本インタラクティブ広告協会入室）○藤原委員長

本日は、JIAAの柳田様、宮一様に御出席いただいております。それでは 、早速ですが御説明をお願いいたします。
○JIAA

本日はこのような機会を頂きまして、ありがとうございます。

それでは、御提出させていただきました資料を基に、インターネット広告における個人に関する情報の取扱いについて、当協会の取組状況を御説明させていただきます。
表紙をおめくりいただきまして、まず、目次でございますが、業界の自主的な取組を中心にインターネット広告を取り巻く技術やサービスの動向、それから、現状の課題と取組状況についてお話をさせていただきます。法律について意見を申し上げる内容ではございませんが、御検討の御参考になればと存じます。
次の２ページは、当協会の概要でございます。
会員は、国内でインターネット広告のビジネスを行う広告主以外の大小様々な規模の広告事業者が現在320社加盟しておりまして、市場の健全な発展、社会的信頼の向上のためにガイドラインの策定や普及啓発などの活動を行っております。
加盟会員は、当協会の目的、行動憲章、広告倫理綱領に賛同して入会するものとしておりまして、その内容については、次の３ページが基本方針として定めているものとなります。
行動憲章、また、広告倫理綱領のとおり、法令遵守のみならず 、社会通念上、公正かつ1倫理的にも適切なビジネス活動を行うこととしています。この行動憲章には、内規として運用規程がございまして、行動憲章に反するような事態が生じた場合の対処についても規定しております。
次の４ページ、ここからはインターネット広告での個人に関する情報の取扱いについての自主的な取組を御説明させていただきます。
まず、事業者向けのガイドラインの策定についてです。
一つは、プライバシーポリシーガイドラインです。
こちらは個人情報保護法を踏まえて策定しているもので、一昨年 、令和２年改正法に準じて改定をしております。
もう一つは行動ターゲティング広告ガイドラインで、こちらはユーザーの行動履歴情報を利用する行動ターゲティング広告に特化した自主ルールとして策定しているものです。
会員の各事業者は、これらの指針に沿って、それぞれに自社の事業の特性に即したポリシーを定めて広告サービスを運用しております。
次の５ページは、普及啓発の取組についてです。
直近の活動として、ビジネスの実態に即したガイダンスを作成しております。
一つは、令和２年改正法を踏まえて作成したユーザー情報の安全な取扱いに関するガイダンスです。
もう一つは、電気通信事業法の外部送信規律についてのガイダンスです。こちら は近く一般にも公表する予定です。
いずれも自主ルールではなく、法律に従って具体的な措置を講じるためのポイントやアドバイスをまとめたものです。
次の６ページは、自主ガイドラインで規定している原則的な考え方です。
例えば、行動ターゲティング広告は、広告主にとって自社の広告目的の達成のためにマーケティング目標に寄与する付加価値の高いサービスとして利用されています。ユーザーにとっても興味・関心のある広告が表示されるというメリットがあり、当協会のユーザー意識調査でも、自分に合った広告を望むユーザーの声は多く聞かれます。ですが、プライバシーに関する感じ方は、ユーザーによって、あるいは同じユーザーであってもインターネット体験のそれぞれのシーンで様々あると思われます。広告はユーザーに安心して受け入れられなければ成り立ちませんので、ユーザー情報の取扱いについて、ユーザーへの「透明性・アカウンタビリティの確保」、それから、「選択・コントロールの機会の確保」、これを原則的な考え方として、各事業者がそれぞれの立場で原則を実現することが必要だと考えております。
次の７ページですが、直近では実際のビジネスに照らして法令等の解釈を示し、業界関係者が認識を共有するための取組も行っております。インターネット上のサービスが非常に多様化しておりますので、各事業者のサービスの特性によって広告サービスでのユーザー情報の取扱いの手法も様々あります。そのため、ガイドラインのような形で規律を示す
2

よりも、ビジネス上の共通認識を持つことが必要と考え、実践的なガイダンスを作成しております。
例えば、先ほど御紹介したユーザー情報の安全な取扱いに関する ガイダンスでは、令和２年改正法の規律を、事業者が個々に自社のサービスや仕組みに当てはめて判断できるように、法律の専門家の御見解も伺いながら手引書としてまとめております。
次に、８ページからは、法律以上のベストプラクティスとして示している自主ルールの例を抜粋して御紹介いたします。
まず、以前からプライバシーポリシーガイドラインに定めている自主ルールですが、個人関連情報をインターネット広告に利用する目的で第三者に提供する場合には、提供先の第三者が個人データとして取得することが想定されない場合でも、同意を得ていない場合には、通知または公表及びオプトアウトの提供を行うことを規定しております。
次の９ページは、行動ターゲティング広告ガイドラインに定めている自主ルールを、一昨年のプライバシーポリシーガイドラインの改定の際に、解説に盛り込んで補強しております。
例えば、媒体社や広告主などのファーストパーティーが、広告配信サービスなどのサードパーティーにタグを通じて直接情報を取得させている場合に、サードパーティーでの情報の取扱いをユーザーに知らせるためには、ユーザーとの接点となるファーストパーティーにおいて連携するサードパーティーの情報を記載する必要があります。また、その記載すべき情報をサードパーティーがファーストパーティーに提供することも併せて規定しております。これは、電気通信事業法の外部送信規律と同じ趣旨の規定ですが、電気通信事業法では、御承知のとおり、取得元のファーストパーティーは法の対象となる電気通信事業者に限られております。
次の10ページは、そのサードパーティーが自ら情報の取扱いに関して公表すべき事項となります。
この公表すべき告知事項をユーザーに知らせるために、先ほど６ページで御説明した原則的な考え方を踏まえて、各事業領域ごとに規定をしておりまして、次の 11ページに表にまとめております。
行動ターゲティング広告ガイドラインの第４条と第５条の遵守事項をまとめたものです
が、媒体運営者、ファーストパーティーについては、広告提供事業者、サードパーティーの告知事項を記載したページへのリンクを設置することを規定しております。また 、サードパーティーの情報取得者の義務を定めておりまして、さらに連携している別のサードパーティーに提供する場合には、自社の告知事項に加えて、その第三者の告知事項のページのリンクを設置することとしております。
次の12ページは、昨今の技術・サービスの動向についてです。
御承知のとおり、グローバルでOSやブラウザによりトラッキング制限が強化されておりまして、現在、インターネット広告ビジネスは大きな変革期にあります。例えば事前同意
3

に基づく共通IDソリューション、コンテンツ/コンテキストターゲティング、プライバシーサンドボックスといった、より安全なプライバシー上の懸念のない形での代替技術やサービスの模索が行われています。
また、広告主企業のファーストパーティーデータの活用の ニーズは、広告の領域に収まらない範囲に広がっています。そのようなニーズにも応え得る、最も厳しいGDPRに合わせたソリューションの導入も進んでいます。さらに大規模プラットフォームが実装しているユーザーのコントロールを可能にするプライバシー設定などのツールも進化しています。
次の13ページは、課題と取組状況ですが、まず、技術やサービスの動向を踏まえて業界自主ルールの見直し・改善を行い、環境変化に柔軟かつ速やかに対応することが必要となっています。また、新しい技術やソリューションを導入する事業者が、業界の原則的な考え方に照らして適正性を判断できるようにすることが必要です。
一方で、国内外の事業者間の連携やサービスの拡大、多様化が進む中では、 一律に詳細なルールを適用することはなじみません。ユーザー情報の適切な取得や透明性とコントロールの提供といったルールは、広告サービスの原則的な考え方として一般化しましたが、利用に際しての配慮は各事業者が自主的に設けて運用しておりまして、関係者が 多様化する中で標準的なルールを示す必要があると考えております。
このような状況から、現在、改めて業界自主ルールの見直し・再整備に向けて検討を開始しております。次のページでは、御参考までに現行の当協会のガイドラインやガイダンスなどと、国内の法令等や米国の自主規制との関係を示した図となっております。
次の15ページは、現在、当協会で検討中のガイドラインなどの再構成のイメージです。
まだ素案の段階ですが、現行のガイドラインの中に規定として組み込んでいる原則的な考え方を基本原則として、それに紐付く形で技術動向や諸外国の規制動向も見極めながら、個々のトピックについて自主的なルールを改めて整備していくことを検討しております。
13ページの「課題と取組状況」で御説明した利用についての配慮事項は、ガイドラインから切り出して標準的なルールを議論するトピックとして例示しております。
次のページからは、その各トピックについて、現行ガイドラインでの記述を参考として記載しております。
次の16ページは、センシティブ情報。次の17ページが、こどものデータ。次の18ページが、識別子。最後の19ページは、行動ターゲティング広告での利用に際しての配慮です。
これらの現行ガイドラインの留意事項なども再考しまして、業界関係者が共通の認識を持ってインターネットユーザーの情報を適正に取り扱うことができるよう、自主的な取組を継続して行ってまいります。
御説明は以上です。
○藤原委員長ありがとうございました。

ただいまのJIAAからの説明について、御質問等をお願いいたします。
それでは、清水委員、どうぞ。
4○清水委員ありがとうございます。

インターネット広告における個人情報の取扱いの適正化のために各種ガイドラインを策定していただいて、会員社に周知させる努力をされているということを理解いたしました。
私から二つ質問させていただきたいのですが、一つは、様々なガイドライン等を策定されておりますけれども、それを遵守させるというか、会員社の適切な対応を求めるためには、どのようなインセンティブとか周知活動というのが有効とお考えか。あるいは、先ほど御報告にあった違反のケースの場合のペナルティも含まれるかもしれませんが、どういった策が実効性の確保として有効と考えておられるかというのが１点目です。
それから、２点目は、貴団体のほうで自主的に規制していただいており、そこで第一義的に完結するのがいいと思うのですけれども、さらに、その上で法に触れるようなケースの場合には、当委員会が所管官庁として個人の権利救済のために罰則の水準の引上げ や直罰化、あるいは課徴金制度の導入というのを検討すべきではないかと考えられるのですが、これについてはいかがお考えかということをお聞かせいただきたい と思います。
以上、２点お願いします。
○JIAA

ありがとうございます。

遵守させるためのインセンティブについて、業界にとっての取引上、健全な事業者とそうでない事業者を区別するという意味合いで団体に会員として加盟している、すなわちガイドラインを遵守している事業者であることが、広告取引上のインセンティブと言えるものになっています。
一般的な意味でのインセンティブ、例えば業界に加盟して、ガイドラインを守ることが何らか法的な裏付けがあって、インセンティブになっているかというと、そうではございません。自主的に行っていくことによって、お互いに事業・ビジネスの中で健全性を担保していることが一つのインセンティブと考えているところでございます。
違反のペナルティについて、ガイドラインの遵守ということを会員に対しては義務にしているもので、何らかガイドラインに反することがあった場合には 、冒頭に御紹介した行動憲章の中にガイドラインの遵守ということをうたっておりまして 、これに大きく逸脱するようなことがあれば、処分等も含めて運用規程の中で規定しておりまして、それがある種のペナルティになるということでございます。
それから、法に触れるような場合の罰則の導入、これについては 、特段意見はありませんので、自主的に行っている法以上のベストプラクティスをどう遵守させるかということが、業界の課題と考えております。
以上です。
○藤原委員長ほかにいかがでしょうか。

髙村委員、お願いいたします。
○髙村委員

御説明、ありがとうございました。

プロファイリングと個人関連情報の不適正利用の可能性、それから、それに対する対策
5

について伺いたいと思います。
ターゲティング広告というのは、一般的に、プロファイリングの使用例とされています
けれども、プロファイリングというのは、不当な差別的な取扱いを 生じさせるなどの不適正利用に当たる可能性があると思います。プロファイリングが不適正利用に当たる場合として想定されている事例があれば教えていただければと思います。
それから、そういう想定される事例について、こういう対策があり得るというお考えがあれば、その点について教えていただければと思います。
それから、同じように個人関連情報についても、当初の利用の目的とは異な る目的で利用するなどして不適正利用に当たる場合があり得、個人の権利利益を侵害する、そういう場合があると思います。そういう場合として想定される事例があれば教えていただきたいと思います。それから、そういう想定される事例に対しての有効な対策があれば教えていただければと思います。お願いいたします。
○JIAA

個人関連情報の利用について、権利利益の侵害やユーザーに対する不利益を排除していくことが、この自主的なガイドラインの取組と考えております。
具体的な不適正利用のケースは、広告において思い当たる事例はないのですけれども、
例 え ば 、 資 料 の 最 後 に 記 載 し て お り ま す け れ ど も 、 ア メ リ カ の Digital Advertising
Allianceという自主規制機関では、サードパーティー型の行動ターゲティング広告において取得する情報を集積することについて、個人の雇用や信用、医療、保険等に関して不利な条件や不適格を決定する目的でデータを取得・利用することを制限しています。このようなことも検討いたしまして、具体的なケースについて、考え方を示していきたいと思っております。お答えになっておりますでしょうか。
○髙村委員

関連しますけれども、資料の13ページを示していただけますか。

下から３行目のところですけれども、「違法性がなくても倫理的に懸念がある利用方法を禁止する等」という文言がありますけれども、ここの利用方法として、具体的にどういう場合を想定されていますか。
○JIAA

例えば、思想信条のようなデータは、同意を得ているとしても、それを政治的なメッセージを発信する広告に使うとなりますと、いろいろな議論が社会的な影響を含めてあり得るため、そのような場合の検討を考えております。
また、ある種差別や区別をするようなデータの使い方、例えば、コンプレックスを刺激するような広告の配信や、広告の配信だけでなく分析、その他の用途に使うことは、同意を得ていたとしても配慮しなければいけない事項があるのではないかという課題意識です。
○髙村委員

最後ですけれども、同じ13ページの下から５行目のところに「標準的なルールを示すことが必要」という文言がありますけれども、標準的なルールとしてはどういうようなものをイメージされていますか。
○JIAA

まだ議論が必要なことです。各社がそれぞれ実際に定めている配慮事項がありまして、データの取得だけではなく、分析やセグメント化、それを広告配信に使うといった6

シーンにおいて、どのような取扱いが権利利益の侵害だけではなくて、ユーザーの不利益になったり不快を与えたりするかについて広く議論をして考えていきたいと思っているところです。
○髙村委員○藤原委員長ありがとうございました。
ほかにはいかがでしょうか。

小川委員。
○小川委員

委員の小川です。御説明、どうもありがとうございます。

17ページにこどものデータについて記載がありました。資料にも書かれていますけれども、米国のCOPPAとか、あるいはヨーロッパのGDPRでは、年齢に応じてこどもの個人情報の取扱いが制限されています。例えば、あるSNSでは13歳未満のアカウント作成は禁止しているなど、いろいろな制限があると思います。ここにガイドラインで「15歳未満の子供から親権者の同意なく個人情報をみだりに取得しないように留意する必要がある」とうたわれておりますけれども、広告に関してのビジネスモデルが、ファーストパーティー、サードパーティー、複数のサードパーティーがあったり複雑だと思うのですけれども、この取得だけではなくて、例えば管理・利用とか、あるいは第三者提供ということも、この文言と同じ扱いになるのでしょうか。これが一つ目の質問です。
あと三つあるのですけれども、一つずつ質問したいと思います。よろしくお願いします。
○JIAA

こどものデータに関しては 非常に重要な点です。COPPAでは13歳未満のこどものデータに関して検証可能な形で親権者の同意を得て取得することが義務になっており、米国由来の外資系の企業はそれを遵守しています。平成16年のガイドライン策定当時に国内でどうするのかという議論を行い、民法をベースに15歳未満としたわけですけれども、管理や利用も含めて、検討が必要だと考えております。
○小川委員

どうもありがとうございます。

二つ目の質問なのですけれども、ちょっと見方を変えて、SNSとかウェブ等でこどもの利用者に対する広告の表示に関しては、特別なガイドラインを検討されているのでしょうか。
これが二つ目の質問です。
○JIAA

広告の表示については「広告掲載基準ガイドライン」があるのですけれども、現在、こどもに特化したガイドラインは設けておりません。こどものデータの取扱いについての今回の見直しとセットで検討が必要と考えているところです。
○小川委員

どうもありがとうございました。

三つ目なのですけれども、ここで「15歳未満」と書かれているのですけれども、実際にサービスを提供されている会員等の企業から見ると、その年齢設定というのは適切なのかどうかという何かフィードバックはありますでしょうか。
○JIAA

実際にはCOPPAに合わせて13歳未満というラインに準じている国内の事業者も多いかと思われます。ですので、15歳未満という年齢が適切なのか、各社からフィードバックをもらい、今一度見直したいと考えております。
7

○小川委員どうもありがとうございます。

四つ目の質問で、取得に限らず利用や管理、第三者提供、あるいは表示も含めて、各国の状況はいろいろ各国によって違う年齢だと思うのですけれども、そういった意味で、こどもに対して特別な配慮が必要な年齢というのは、個人的な見解でも結構なのですけれども、何歳ぐらいが適切だとお考えでしょうか。
○JIAA

年齢による配慮は、広告の内容にもよるところがあり、データの取扱いを理解できるように伝えることができるかといったようなことも 併せて検討が必要となります。単純な利用であれば慎重に考える必要はないかもしれませんけれども、18歳未満という年齢でも配慮が必要なこともあり得ると考えており、議論が必要です。
○小川委員

どうもありがとうございます。

○藤原委員長ほかにはいかがでしょうか。

加藤委員。
○加藤委員

御説明、ありがとうございました。

これまでの御質問とも少し被るところがあるかと思いますが、私から二つ質問させてください。
最初の質問ですが、インターネットの利用者は様々いるわけですけれども、その中にはインターネット広告の仕組みについて十分理解をしないまま広告の配信等を受けている方というのもいるのではないかと考えます。個人情報や個人関連情報が取得 ・利用されていることについて、利用者の中で幅広く理解されていると考えていらっしゃるのか 。それらを適正に行っているということを理解いただくために、どのような点を重視しておられるか。また、利用者からの苦情等々、そういったものについて、もしあるとするならば、どのような内容の苦情があり、どのように対応されているのか教えてください。これが１点目です。
もう一つは、貴団体の自主的な取組として、各種ガイドラインの公表等、積極的に取り組んでいただいていると認識しているわけなのですが、それを踏まえた上で 、ガイドラインを遵守しない会社に対してどのような是正手段をお持ちなのでしょうか。また、民間部
門での自主的な取組を促進させるために、個人情報保護委員会としてどのような制度的 支援を実施することが望ましいと考えていらっしゃる か。
また、認定個人情報保護団体制度についてどのように感じておられるか、この点についてもお答えいただければと思います。よろしくお願いいたします。
○JIAA

自主的な取組の中で一番課題と感じているのが、周知啓発です。ユーザーに対する周知啓発は非常に難しく、例えばプライバシーポリシーを各社が掲げていても、それをどのくらいの方が読んでいるのか、広告の仕組みを分かりやすく解説したものを事業者が用意していても、アクセスは少ないと聞いております。これは業界として検討課題と認識しています。
それから、苦情対応につきましては、これはガイドラインの中で、各社が窓口を設けて8速やかに対応を行うと規定しております。広告業界として苦情受付をしているJAROという団体がありますけれども、JAROは、広告の表示のみについて行っているものでして、プライバシーやデータの利用に関して、苦情や問合せは受け付けるけれども対応をしているということではないということがございます。
民 間 の 取 組 と 制 度 の 関 係 で は 、 例 え ば ア メ リ カ で は 、 FTC法 の 下 に CBBB（ Council ofBetter Business Bureaus）という民間の自主規制機関がございまして、その中で、先ほど御紹介したDigital Advertising Allianceのオンライン行動広告の自主基準についても、実際に基準の監督、執行、苦情受付とを行っております。そのような民間で策定したガイドライン等を、さらに大きな自主規制機関が執行、勧告、苦情受付をしていくような枠組みが日本にはございませんので、一業界団体の中で行っていくことができるのか、業界全体で何らか考えるのか、従来どおり各社に対応を任せていくのか ということについて検討が必要だと考えております。行動ターゲティング広告ガイドラインには、何かあれば、会員に報告を求めるということを規定しておりまして 、問題があった場合には是正勧告を行うということも盛り込んでおります。
それから、認定団体制度につきましては、分野別の枠組みを活用できるのではないかと期待していたところもありましたが、非常に技術の動向も、進化が早くガイドラインの見直しも、今回も大がかりな見直しが必要な状況にもありまして、一律の規定で自主基準を含めた中で運用を考えると難しく、制度の活用には至っていないという状況にございます。
以上です。
○加藤委員
○藤原委員長ありがとうございました。
ほかにはいかがでしょうか。

梶田委員、お願いします。
○梶田委員

御説明、ありがとうございました。

個人関連情報について２点伺いたいと思っております。
１点目は、資料の９ページに記載していただいているとおり、個人関連情報の適切な取扱いに関しても事業者が行うべき項目を定めていただいていますが、それに関して、個人の権利利益の保護と個人情報の有用性とのバランスに鑑みて、民間部門の自主的な取組で十分な対応が可能と考えていらっしゃるのかどうかを伺いたいと思っています。
２点目に関しまして、貴団体としては、媒体運営者や広告提供事業者に焦点を当てた取組を実施しているものと考えていますが、そのような個人関連情報の適正な取扱いについて、業界特有の課題があると考えているのか、それとも、業界横断的な課題として自主的ルールの多分野での普及や新たな制度整備が必要になると考えていらっしゃるのかを伺いたいと思います。
以上です。
○JIAAありがとうございます。

広告主が自社で持っている顧客データやサイトに訪れたユーザーのデータを連携して広9告配信に活用することがありますが、広告主が入っていない団体になりますので、広告主には会員から働きかけるとことはできますが、規律が直接には及んでおりません。
もう一つ、アウトサイダーの存在があります。インターネット広告のビジネスを行う事業者は、会員の320社以外にも多数ありまして、その中には、ガイドラインを準用するというか参考にしてビジネスを行っている事業者もありますけれども、インターネットの世界ではそうではない悪質な事業者がいないとも限りません。こういったところにどのように規律を効かせていくかということに関しましては課題があると認識しております。ただ 、健全なビジネス、健全なインターネット広告ビジネスの領域では多くの部分を会員がカバーしていると考えております。
それから、個人関連情報については、アウトサイダーであったり、インターネット広告だけではないマーケティング利用であったり、業界のガイドラインの外に何らか規律があってそれがかかるのかというところが課題です。一方で、ビジネスでは、データの利活用には期待するところもありますし、それがイノベーションにもつながりますので、権利利益の侵害が懸念されないのであれば、むやみに法的な規制が必要だということにはならないと考えます。
以上です。
○梶田委員

ありがとうございました。

○藤原委員長ほかにはいかがですか。

よろしいですか。
そうしたら、私からは、もし分かれば数字だけ教えてください。
先ほど不適正利用のところで、処分について、任意ではあるけれども、行動憲章から著しく逸脱する場合には何らかの処分をする場合もあるというようなお話だったのですけれども、その具体例があるのかというところです。処分に至ったような事案があればケースを教えていただきたい。
２点目に、貴協会では、各事業者のガイドラインを通じた更に自主的な取組に処理がいろいろ委ねられているみたいですけれども、先ほど、苦情処理案件の中でも、指導や是正勧告というお話が出てきましたところ、それの具体的な数字があれば教えていただきたい。
３点目は、アウトサイダーというお話ですけれども、そもそも320という数字は全体でどれぐらいのパーセンテージで、全体のどれぐらいをカバーしているのか。逆に、アウトサイダーというのはどのぐらい多いのか。もし数字が分かれば、教えていただければと思います。
○JIAA

ありがとうございます。

行動憲章の違反は、データの取扱いでは１件もございません。薬機法に触れるような広告の制作を行っていた件や、海賊版サイトに広告を配信していたソリューションといった件で処分したのが４件ございます。指導、是正勧告というところも今のところございません。
10

それから、アウトサイダーの数字ですが、想像もできないもので、インターネットでは個人で広告を出すことも、広告を掲載するサイトを運営するということもできます。企業も様々ありますので、数と言いますと難しいところと思っております。ただ、健全なマーケットのカバー率で言いますと、多くの部分を団体の加盟 会員の320社がカバーしているものと考えております。
○藤原委員長ありがとうございました。

頂いた御意見も含め、個人情報保護をめぐる様々な状況について、各方面の御意見を伺いながら課題を整理、審議してまいりたいと思います。JIAAの柳田様、宮一様、本日はありがとうございました。どうぞ御退室ください。
（日本インタラクティブ広告協会退室）○藤原委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようですのでそのように 取り扱うことといたします。
それでは、次の議題に移ります。
次の議題は、監督関係者以外の方は御退席願います。
（監督関係者以外退室）○藤原委員長

議題２「青森県上北郡野辺地町における再発防止策の実施状況について」、事務局から説明をお願いいたします。
（内容について一部非公表）○事務局

青森県上北郡野辺地町における再発防止策の実施状況について説明いたします。

本件は、野辺地町の健康づくり課の職員がUSBメモリを紛失した結果、USBメモリに記録されていた個人情報の漏えいのおそれが発生した事案です。
当委員会は、野辺地町長に対し、令和５年11月29日、個人情報保護法第157条の規定に基づく指導を行い、再発防止策の実施状況について、個人情報保護法第156条の規定に基づき資料提出等の求めを行いました。その後、野辺地町長からの報告を受け、追加でヒアリングを実施の上、再発防止策の実施状況の確認を行いましたので報告させていただきます。
指導の概要ですが、野辺地町においては次に挙げる３点の問題点が認められたことから、個人情報保護法第66条第１項、個人情報の保護に関する法律についてのガイドライン（行政機関等編）及び個人情報の保護に関する法律についての事務対応 ガイド（行政機関等向け）に基づき、必要かつ適切な措置を講ずることと、野辺地町が策定した再発防止策を実施するように指導いたしました。
問題点の１点目は、「媒体の管理等」について、USBメモリを定められた場所に保管していたものの、当該保管場所の施錠が行われていなかったと いうこと、USBメモリにはパスワード等によるアクセス制御が行われていなかった点です。
11

２点目は、「取扱状況の記録」について、保管場所からの持ち出し、返却に関する管理台帳を作成しておらず、USBメモリの取扱い状況について確認できる適切な手段が整備されていなかった点です。
３点目は「安全管理上の問題への対応」について、野辺地町から当委員会に漏えい等報告書が提出されたのは、当該事案発覚後28日目で、当委員会への速やかな漏えい等報告が行われていなかったことから、個人情報保護法第68条第１項の規定に則った適正な取扱いがなされておらず、保有個人情報の漏えい等の安全管理上の問題への対応が不十分であった点です。
続いて、再発防止策の実施状況についてです。
まず、「媒体の管理等」につきましては、野辺地町では令和５年10月６日、全所属長に対し「USBメモリの適正な取扱い」に関する通知を行い、この通知に基づき、USBメモリの保管を施錠可能な場所に全て変更しております。
また、USBメモリは、一時的な記憶媒体として使用し、使用後は必ず保存データを消去することを徹底するよう周知しております。
加えて、令和５年10月23日から11月13日にかけて、業務で使用する全てのUSBメモリの暗号化を実施しております。これらについて野辺地町では、令和５年12月４日に抜き打ち点検を実施し、全ての部署においてUSBメモリの保管場所、施錠状況及び保存データの消去状況、暗号化の有効性が適切であることを確認しております。
「取扱状況の記録」につきましては、同じく10月６日の通知に基づき、USBメモリの使用簿を作成し、使用時及び返却時には必ず管理者の確認を得るとともに、使用後に記録するという運用をしております。こちらについても令和５年12月４日に抜き打ち点検を実施し、全部署において使用簿における管理が適切に行われていることを確認しております。
また、「安全管理上の問題への対応」につきましては、まず、保有個人情報等の漏えい等に関する事務対応マニュアルを、令和５年12月19日に作成し、漏えい等発生時の報告連絡体制を整理しております。このマニュアルについて、令和６年１月９日に全所属長への説明会を実施し、全職員が閲覧可能であるグループ ウェアに掲示をしております。
また、今後の予定としまして、コンプライアンス研修を令和６年３月までに実施予定です。そのほかに、情報セキュリティ研修を令和６年度に順次実施予定でございます。
また、情報セキュリティポリシーの全部改正を行っており、現在 、見直し作業を進めております。こちらは、令和６年３月までに完成、公表予定となっております。
当委員会の対応方針ですが、野辺地町長から報告を受けた再発防止策の実施状況に関して、現時点において当委員会の指導事項を踏まえた一定の取組が 認められました。当委員会としましては、野辺地町が保有個人情報の適切な取扱いに向けて、この再発防止策を確実に実施していくことを引き続き注視してまいりたいと考えております。
また、本件につきましては、公表資料の範囲で公表したいと考えております。
事務局からは以上です。
12

○藤原委員長

ありがとうございました。

ただいまの説明について、御質問、御意見をお願いいたします。
よろしいですか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように決定いたします。事務局においては所要の手続を進めてください。
それから、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。
本議題は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に 係る議事録、議事概要の部分を準備が整い次第、委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこと としてよろしいでしょうか。
ありがとうございます。御異議がないようですので 、そのように取り扱うこととします。
本日の議題は以上です。
それでは、本日の会議は閉会としたします。

13