個人情報保護委員会（第２６４回）議事概要
１ 日時：令和５年 12 月 15 日（金）１４：３０～

２ 場

所：個人情報保護委員会

委員会室

３ 出席者：丹野委員長、小川委員、中村委員、大島委員、浅井委員、藤原委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、
森川総務課長、吉屋参事官、香月参事官、小嶋参事官、
片岡参事官、石田参事官
４ 議事の概要（１）議題１：いわゆる３年ごと見直し（ヒアリング）
個人情報保護委員会議事運営規程（以下「議事運営規程」という。）第９条の規定に基づき、一般社団法人新経済連盟（以下「新経連」という。）関事務局長及び片岡政策部長が会議に出席した。
新経連から資料に基づき説明があった。
中村委員から「資料１－１、９ページ目における『不適正利用禁止規定の対象の明確化と悪質事案への適切な執行』の部分に関連して、何点か質問させていただきたいと思う。
我が国において、個人情報の不適正利用事案や、個人情報データベース等の不正提供等事案が発生しているところ、諸外国における直近の執行状況も踏まえると、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げや直罰化、課徴金制度の導入を検討すべきと考える。
この点に関連して、貴団体は不適正利用の規定に抵触する内容を明らかにすべきとして、オプトアウト事業者の事例を挙げているが、オプトアウト
制度そのものに御意見があれば聞かせていただきたい。
加えて、プロファイリングなどの行為が、結果的に不適正利用に当たる場
合もあると考える。こうした可能性を含めた個人の権利利益の侵害をどのように排除することができると考えるか。
また、不適正利用の例として、ほかに想定される事例があれば教えていた
だきたい。
さらに、
『注意喚起にとどまらず、適切な執行が必要』という御説明があったが、具体的にはどのようなイメージを持っているか聞かせていただきたい」旨の発言があった。
これに対し、新経連から「現行法において、指導及び助言、勧告、あるいは命令がどの程度活用されているかわからない部分はあるが、我々から見ると、それらの結果が十分に活用されていないのではないかという見方もあると思う。オプトアウト制度そのものよりは、そういった現行法における制度上の執行と運用について検討する議論が必要かと思う。
プロファイリングについては、結局、不適正利用であると判断すべきケースもあれば、不適正利用とまではいえないと判断されるケースもあると思う。そのような意味で、不適正であるかどうかの基準は、非常に曖昧である
ため、その線引きについては、ガイドライン等で示していただくのが良いのではないかと思う」旨の回答があった。
また、新経連から「ほかに想定される不適正利用の例については、今回挙げている課題認識のもとにあるものは、オプトアウト事業者もいろいろあるということである。想定し得る個人データの使い方をしている事業者もたくさんいるところ、ごく一部ではあるが、個人データを本来の目的と異なる方法で利用し、公開を前提とされていない個人データをデータベース化
した上で一般に公開し、さらに、本人が、目的外利用であることを理由としてその公開された個人データを削除するよう請求した際に金銭を要求する
オプトアウト事業者が事例として存在すると聞いている。そのような事案が存在していると、制度が本来想定している、ビジネスの促進の観点からオプトアウト制度を活用している事業者からすると、やりにくいという意見もあるため、線引きをして、少なくとも誰の目から見ても不適正であると分かるものについては明確化しておき、段階を追って、法執行してはよいのではないかと思う」旨の回答があった。
また、新経連から「続いて四つ目の御質問、『注意喚起にとどまらず、適切な執行が必要』に関しては、例えば、罰則の強化や課徴金制度の導入もあるが、その前の段階で検討することがあるのではないかと思っており、それらの導入については慎重な考え方をしている。例えば、注意喚起にとどまらず是正を求めることにより、より効果的に問題を解決する仕組みが考えられないか等、そういったものを検討した方が良いではないかと考えている。
いずれにしても、冒頭申し上げたとおり、指導及び助言等、現行法における執行と運用の活用状況や効果を十分に分析した上で、更なる対策を講じる
ことについて考えてはどうかと考えている」旨の回答があった。
小川委員から「資料１－１、10 ページ目において、個人情報規律に関して『事業者への分かりやすい周知を継続していただきたい』という記載がある。この規律の周知に関してだが、欧米の保護当局では、指導が中心である
日本と異なり、制裁金等を含めた処分を行っており、それが規律の理解や遵守のインセンティブになっているとの指摘もある。このようなこと以外に、事業者の適切な対応を促すインセンティブや周知活動として、どのようなものが有効であると考えるか。

また、日本の最近の漏えい等事案の例を踏まえると、委託先事業者や派遣職員を含めた安全管理体制の整備やシステム設計や運用を含めたヒューマ
ンエラーの防止策、さらに、不正アクセス対策等の安全管理措置を講じることが重要と考えるが、規律について単に分かりやすく説明するだけで十分なのか。事業者として自主的に取り組んでいる内容について、御存じの範囲で差し支えないので、教えていただきたい」旨の発言があった。
これに対し、新経連から「まず、個人情報の種類は細かく分類されており、それぞれ適用される規律が異なる部分がある。さらには、電気通信事業法での規律もあるため、事業者側の理解が十分でないという状況にあると思っている。そのため、まずは規律について分かりやすい形で啓発をすることが必須であると思っている。そもそも、現行のルールが十分に理解されていな
い状況で制裁だけを科し、事業者に守らせるという方法は、やや無理があると思うので、まずは事業者に規律を理解させるための取組が重要だと考える。
また、例えば、不正アクセス対策等についても、当然、事業者側において導入すべきだと思うが、それについても事業者が十分な知見を有していないというケースもあるので、事業者側が不正アクセス対策等に関する情報を得る機会をいろいろな形で提供することや、その部分について、補助金の形なのか、税制優遇の形なのか分からないが、何らかの形でインセンティブ的なものを考えるという手もあるのではないかと思う」旨の回答があった。
また、新経連から「事業者として自主的に取り組んでいることについては、
特に意識が高い事業者は、それぞれが技術を駆使して対策を行っているというのが実情である。しかし、事業者の間でも、意識、規模、セキュリティ
対策レベルには差があり、グラデーションが存在している。そのため、インセンティブについて考えるに当たっても、どの層の事業者にはどのようなインセンティブが効果的なのかといったことを検討すべきなのではないかと思う。
また、恐らく、委員会には過去の漏えい等報告の蓄積が多く存在していると思うが、そこから得られたデータから、事業者がどういったことにつまずいているのかという分析をした上で、今後の政策やインセンティブの導入に活用することが期待されているのではないかと思う」旨の回答があった。
梶田委員から「資料１－１、９ページ目において御説明いただいた、リス
クベースアプローチについて、詳しくお伺いしたいと思う。
『第三者に閲覧された可能性が限りなく低い』場合や、『本人が自らの権利利益の保護に必要な措置を感じる必要性が低い』場合について御提案いただいたが、具体的にはどのような事例を想定しているのかについて教えていただきたい」旨

の発言があった。
これに対し、新経連から「よくある事例としては、システムにバグがあり、そのバグが原因となって一定条件下で個人情報が閲覧可能となっている状態になっていることを事業者側が認識した場合、現状では、漏えい等のおそれがあるということになり、漏えい等報告の対象になると思うが、この一定条件というのが、極めて特殊な条件が重ならないと発生しない場合であっても、現状では、漏えい等報告の対象となるものであると認識している。ログの調査を行うことができれば、個人情報が閲覧されたかどうかを確認できるが、場合によってはログの調査を行うことが難しいケースもあるので、そうなると 100％閲覧されなかったと言い切れない。このような場合にも、実際に漏えいした場合と同様の扱いで報告や公表が必要なのかどうかについては、検討してもよいのではないかという御提案である」旨の回答があった。
浅井委員から「まず、資料１－１、10 ページ目に関し『プライバシー強化技術の利活用を促す仕組み』という言及があったが、現状、具体的にはどのような取組が事業者内で実施されているのか。また、どのような技術を想定しているか。
続いて、プライバシー強化技術の評価について、客観的な基準を定めることが難しいという意見も聞いたことがあるが、例えば、データが秘匿化されて処理される場合に、その際の個人の権利利益の保護の水準について、どういった基準でどのような評価が可能であるか、教えていただきたい」旨の発言があった。
これに対し、新経連から「プライバシー強化技術については、世の中の企業が、例えば秘密計算のような技術等、いろいろな技術を提案・提供している状態になっているかと思う。しかし、個人情報の保護の機能・性能については、もう少し研究を深める必要があると思っている。研究をした上で、機能・性能を踏まえて個人情報を一定程度保護できると判断できた場合には、先ほどのリスクベースの考え方にも関係してくるが、若干扱いやすく、例えば匿名加工情報と同レベルとしてはよいのではないか等の議論もあって良いのではないかという御提案である」旨の回答があった。
また、新経連から「プライバシー強化技術は、まだ定まった基準がないことを事業者側も認識しているところであり、個人情報保護法との関係で、こういったところがクリアされると、こういった扱いができるのではないかといったような議論が深まることで、そこに向かって技術が進展していくということが考えられると思う。そのため、関係者を集めて、実態を踏まえて議論をすることが一番重要だと思っている。また、よく聞くニーズとして

は、暗号化された状態の個人データを委託先で分析する際、暗号化された状態で他社の個人データと突合したい場合、結果として出てくるものは完全に匿名加工されるため、戻ってきたデータを活用するわけではなく分析目的にもかかわらず、突合の段階で第三者提供に該当するということが厳しいという意見がある。プライバシー強化技術にもレベル・種類が様々あると思うので、何かしら一定の水準を確保した上で利用する必要はあり、事業者としてもむやみに利用することを望んでいるわけではなく、議論を深めて、法律との関係を明らかにしていくのが、重要ではないかと考えている」旨の回答があった。
藤原委員から「まず一つ目、資料１－１、10 ページ目に記載されている
秘密計算について、御説明では匿名加工とおっしゃっていたが、それは秘密
計算技術による処理を施された個人情報を匿名加工情報として評価すべきであるという意味なのか。また、仮名加工情報は実務において使いにくい面があるのか、それぞれについて、忌憚のない意見を伺いたい」旨の発言があった。
これに対し、新経連から「秘密計算技術によって処理された個人情報は、恐らく、匿名加工情報と仮名加工情報の間に存在するものではないかと私は考えているが、その方法や技術によって限りなく匿名加工情報に近づけることができるものがあるのではないかと思っている。結局、秘密計算技術
によって出力されたデータが統計情報になるようなものである等、不可逆性を有している場合には匿名加工情報に近いと評価でき、暗号化しているが分析の段階で突合するような場合には、仮名加工情報に近いと評価できる。仮名加工情報に類似したものを分析・突合した際に出力されたものが匿名加工情報に近いものであった際、プライバシー評価技術を使用した場合、どのような評価ができるのかというところについて、議論していただきた
いと思っている。
仮名加工情報については、分析のため突合等をする場合は、第三者提供をすることになってしまい、結局本人同意が必要なため、そのことを理由に使用を躊躇する事業者は多いと認識している」旨の回答があった。
藤原委員から「仮名加工情報が使いにくい状況というのは、同一事業者内における利用ではなく、純然たる第三者提供の場合という認識で良いか」という質問があった。
これに対し、新経連から「御認識のとおり、分析に関連してよく聞くのは、異なる事業者間でのやりとりに際して、使いにくい面があるという声である」旨の回答があった。
藤原委員から「次に二つ目、梶田委員からの質問に対する回答との関連で、

極めて特殊な条件下においてのみ個人情報等が閲覧可能な状態となった場
合に、実際に漏えいした場合と同様の扱いで報告等が必要なのかを検討してはどうかという御提案についてだが、前提として、貴連盟が把握されている限りでは、そのような状態にある事業者は漏えい等報告を行っているという認識でよろしいか」という質問があった。
これに対し、新経連から「我々が話を聞く事業者は、個人情報保護法の中身を理解した上で、法に則り対応をしているため、漏えい等報告への負担が大きくなっているという声を聞いている。その上で、報告件数は多く、また、
特殊な条件下においてのみ閲覧等が可能なものではあるが報告をしなくてはならないとなると、アクセスログの解析や、最大で何名分の個人情報が閲覧等された可能性があるのか等、過去の事象の確認にリソースを割くことになるが、実際は再発防止等のために何ができるか等、未来に向けてリソースを割きたいため、事案の内容ごとにレベル分けをすることで、漏えい等報告に係る負担を軽減できないのかという意見である。漏えい等報告を行っているからこそ、負担が大きいという意見が出てきているとの認識である」
旨の回答があった。
丹野委員長から「GDPR の『契約の履行』や『正当な利益』について指摘があるが、GDPR においてはこれらが単独で存在するのではなく、同意の要
否やその例外条件を含めた規律全体としてバランスが取られているものと認識している。この観点から、『正当な利益』があるわけであるが、本人関与としての同意を取得することが困難な場合とは、具体的にどのような場合を想定しているのかお教えいただきたい」旨の発言があった。
これに対し、新経連から「例としては、不正行為の防止のために事業者間で連携して個人情報を活用したい場合に、日本の現行法と照らした場合に取扱いが難しいことが多いと聞いている。ただ、GDPR で実際どのように『契約の履行』や『正当な利益』が使用されているのか把握しきれていないため、日本の現行法と GDPR を比較の上、使えそうな部分があれば、ぜひ日本でも活用してもよいのではないかと思う。今、これ以上の具体例の詳細は持ち合
わせていないが、よく聞く話としては、不正行為防止のための事業者間のデータ連携がある」旨の回答があった。
丹野委員長から「ただ今いただいた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」旨の発言があった。
新経連関事務局長及び片岡政策部長が退席し、続いて、議事運営規程第９条の規定に基づき、一般社団法人日本 IT 団体連盟（以下「IT 連盟」という。）
別所理事及び須田事務局長が会議に出席した。

IT 連盟から資料に基づき説明があった。
大島委員から「国際的ルールとのハーモナイゼーションという言葉が印象的であったが、我々個人情報保護委員会としても、DFFT の実現に向けて相互運用性を促進するための作業を継続していることは分かっていただきたいと思う。また、GDPR のグローバルルールに占める存在感という言葉も非常に印象的であったと思っている。
米国・欧州の間でも個人情報等の概念の定義等が異なる中で、GDPR に合わせていくべきであると考えられる理由について教えていただきたい。また、個人情報の定義については、具体的に、GDPR と個人情報保護法のどういった差分が、どのような問題を生んでいるのか、教えていただきたい」旨の発言があった。
これに対し、IT 連盟から「GDPR と申し上げたのは、グローバルルールの中 で も GDPR の 存 在 感 が 高 く な っ て い る 認 識 が あ る た め 。 米 国 で はcomprehensive な federal law が存在していないが、州法レベルでは、カル
フォルニアを代表して、いろいろな形で規律が GDPR のようになってきていると認識している。それは、欧州のような影響力がある地域でのビジネスを考えた場合、それぞれの地域のルールに目を向けざるを得ない。そのことを考えた場合、やはり、影響力が大きいところにハーモナイズしていくのは、
一つの選択肢であると思っている。米国は特に federal law については GDPRとは異なるスタンスであるが、そのようなスタンスを取ることができる理由は米国のマーケットが大きいからであると認識している。GDP 世界一の大きいマーケットを有しているため、自分達のルールを譲らずに頑張っている部分があると思っている。日本はなかなか難しいポジションにあり、GDPの水準も４位に落ちており、国際的なマーケットの強さの観点からルール
メイキングの争いで勝てるかどうかを考えたときに、難しい立ち位置にいると考えている。それを踏まえ、一番伸びる可能性がある地域に合わせるのが一番よいと思っている。
個人情報の定義の違いの部分については、日本は、例えば Cookie や IP ア
ドレス等は、それ単体では個人情報として取り扱われていない国になる。インターネットを通じて様々なビジネスが行われていく中で、自分達が作るシステムの中で個人情報は特殊に取り扱われるようにする必要があり、同意を得るための画面の設計等いろいろな部分に関係してくるが、そういったものでズレが生じてしまう。そのズレが生じないシステム開発をするた
めに、少なくとも、個人情報の定義については合わせていく必要があると考えている」旨の回答があった。
小川委員から「こどものデータの取り扱いがグローバルに広がるということだけではなく、日本国内でも大事なことだと考えている。このことに関して、３点ほど質問させていただきたい。
１点目は、こどものデータに対する保護の規定を設けるべきとのことであるが、GDPR との差分、特に同意の在り方やこどものデータ利用に関して、
IT 連盟としてはどのような取組を行っているのか。
２点目は、どういった規定が存在することが望ましいと考えているか、その詳細を教えていただきたい。
３点目は、現状そのような規定が無いことで、どういった問題が生じているか、具体的な事例を教えていただきたい」旨の発言があった。
これに対し、IT 連盟から「１点目の、IT 連盟の取組というところについてだが、団体としてこの点について取り立ててガイドラインを作成する等のことは、今のところ行っていない。加盟各社の対応に委ねているのが実態である。逆に言うと、加盟各社の取扱方法についての一律の規律が存在していないため、バラバラである。保護者の同意を確認するために何歳で区切るのがよいのか等についてもバラつきがあると認識しており、場合によっては加盟各社の中には全くそこを理解していない事業者も残念ながら幾つか存在していると理解している。
２点目の、規律については、一つは年齢を何歳にするかということはあるが、一定年齢未満のこどものデータを取得する際には保護者の同意あるいは許可を得なくてはならないとする規定を設けることや、オンラインサー
ビスの利用に年齢制限をかける場合には、年齢確認をするというようなこともあると思っている。年齢確認の方法は、オンラインで行うことは非常に難易度が高いところだが、幸い、マイナンバーカードによる認証について、
デジタル庁が来年春頃に API の方法を公開するという話が出てきているた
め、そういったものを使用すると、以前に増して、より正確に年齢確認ができると認識しているため、そういったものを使って年齢確認することが可能になってくると考えている。もう一つ、こどものデータを取り扱う場合についてだが、これはこどものデータの取扱いに限らないが、PIA の実施を義務付けることを考えていただいてよいのではないかと思っている。
３点目の、現状そのような規定が無いことでどういった問題が生じているかについては、少し抽象的になるが、一つはこども本人が知らないまま、データ収集・分析が行われているため、様々な広告の客体にはなっていると思う。その広告がこどもにとって適切かどうかの判断がなされているか、今のところは分からないという状況である。個別のサービスでは、こどもが利用者であることが判別しにくかったことで、こどもが過剰にサービスを利用し、登録されていた保護者のクレジットカード宛てに多額の請求がなさ

れ、取消権の行使もできないということも発生している問題がある。これは、個々の問題ではあるが、様々な情報が行き交っており、AI の時代に正しくない情報がまん延してしまうときに、そういった情報からこどもを守っていく手段を沢山用意する必要があると思っているため、SNS のように、非常に雑多な情報がある空間にどのようにアクセスさせるべきかについては、
まさにこれから考えていかなくてはならない課題であると認識している」
旨の回答があった。
中村委員から「資料１－２、９ページ目に、課徴金等も含めた厳罰化だけでなく、事業者の適切な対応を促すための事業者側のインセンティブを検討すべきとの記載があるが、個人データを取り扱う事業者にとって、具体的にどういった枠組みがあればインセンティブとして働くのか、考えを聞かせていただきたい。
また、最近の漏えい等事案の例に鑑みると、委託先事業者や派遣社員を含めた安全管理体制の整備や、システム設計や運用を含めたヒューマンエラーの防止策、不正アクセス対策等の安全管理措置を講じることが重要と考える。対象事業者における漏えい等を防止するために、IT 連盟あるいは加盟団体において、自主的に行っている取組などがあれば教えていただきたい。また、そのような『取組を行うインセンティブ』、又は、『行わないことに伴うディスインセンティブ』となるものがあれば併せて教えていただきたい」旨の発言があった。
これに対し、IT 連盟から「１点目の、インセンティブに関する質問についてだが、具体的な案を持ち合わせていないというのが、正直なところ。一つの例として、IT 連盟では情報銀行というフレームを作り、また、情報銀
行認定という制度を作りデータの利活用を進めようとしているが、安全な仕組みであることを説明しても、そういった制度をなかなか使っていただ
けない。制度を作っても使用するインセンティブが働かないことに対する対策については、IT 連盟としても取り組んでいるが、大きな課題の一つだと思う。具体例としては、何か申し上げる案は今の時点では持ち合わせていない」旨の回答があった。
２点目の、安全管理措置に関する質問についてだが、ここでは各社が適切に取り組んでいるということしか申し上げられないが、インセンティブという点に関しては、事業者は個人情報の漏えい等事案が発生した際における社会的なレピュテーションの低下をとても気にする。その社会的なレピュテーションの低下が生じないようにするということは、かなり大きなイ
ンセンティブになっていると思う。実際、漏えい等を発生させて個人情報保護委員会に報告等をする必要が生じた事業者の話を聞くと、彼らが気にしている点はレピュテーションリスクを顕在化させてしまったことに対する反省でもあり、逆に言うと、実態としては報告の仕組みがあるということが歯止めになっていると理解している」旨の発言があった。
髙村委員から「１点目だが、資料１－２、10 ページ目の２段目に『システムが明確に分離・管理されている場合など、一定水準で個人のプライバシ
ー侵害のおそれがないものについては、対象外とすること』との意見があったと記載されているが、具体的には、どのような場合を想定されている要望
なのか、教えていただきたい。
２点目だが、同じく３段目に、第三者提供の場合に、いわゆる提供先基準を採るべきではないか、という意見があったと記載されているが、そうすると、提供元において提供先に個人識別性があるかどうかを判断することになり、これはかなり難しいのではないかと感じるが、どのように考えられているか、教えていただきたい」旨の発言があった。
これに対し、IT 連盟から「まず１点目だが、意見を提出した事業者の全体を把握しているわけではないが、システムの分離とは、恐らく、基本的にデータベースが完全に分離されており、かつアクセス制限が相互に課されており、両方にアクセスするようなことができないようになっているケースを想定しているものであると思っている。
次に２点目だが、第三者提供の基準については、これは相当悩みが深いと思っており、なぜこのような意見が出てきてしまうのか、個人情報保護法自体の在り方について、容易照合性の考え方を用いて、個人情報には該当しな
い、個人情報保護法の規律から逃れられると思ってしまう人達が存在する
こと自体が課題だと認識しており、その例として挙げさせていただいた」旨の回答があった。
藤原委員から「１点目だが、プレゼンの中で、個人情報の定義をはじめ
GDPR に寄せるべきであるとのことであるが、個人的な御見解で差し支えな
いが、個人情報の定義を変更する場合、個人情報保護法全体にも影響が生じる。執行力や課徴金に関する部分も GDPR に寄せるべきだと思っているか、
考えを聞かせていただきたい。
２点目だが、プレゼンの内容はいずれも個人情報保護法に関係しているが、例えば、こどもの問題の例における具体的な被害の話になると、青少年
インターネット利用整備法の領分にもかなり入ってくると思う。そういった部分に個人情報保護法で一定程度、重なって引き受けるべきか、個人的な御見解で差し支えないので、考えを聞かせていただきたい」旨の発言があった。
これに対し、IT 連盟から「１点目の質問についてだが、執行力や課徴金

に関する部分についても、基本的には GDPR に寄せていくべきだと考えている。その寄せ方やスピード感については、いろいろと検討いただければと思っている。
２点目の質問についてだが、いろいろ法律が存在しており、必ずしも個人情報保護法だけで全ての範囲をカバーできていないことは理解している。
こどもの話に触れたため、青少年インターネット利用整備法を例に挙げられたものと思われるが、先日改正された電気通信事業法は、逆に言うとあの内容を電気通信事業法において改正すべきなのかどうか、個人的には疑問に思っており、むしろ、個人情報保護法がカバーすべき範囲だったのではな
いかと思っている。逆に、そこが欠落していることにより他の法律が出てきてしまうことが起きており、個人情報保護法を核として全体の個人情報に関する法体系となるのが望ましいと思う」旨の回答があった。
丹野委員長から「まず、ハーモナイゼーションという主張の中でも、『GDPRとの差分』を埋めるために、GDPR の Legitimate Interests を強く要望しておられるように感じた。ただし、GDPR においてはこれらが単独で存在するのではなく、規律全体としてバランスが取られているものであり、Legitimate Interests だけを単独で主張するのは適切ではないものと考える。
その観点で、正当な理由があるにもかかわらず『同意』の取得が困難である場合として、具体的に想定しておられる事例があれば教えていただきたい。加えて、公衆衛生例外等の個人情報保護法の現行の例外規定では、事業を行う上で、どういった状況に対応できないと考えているのかについて教えていただきたい。
もう１点、プロファイリングなどの行為が、結果的に不適正利用に当たる場合もあると考えるが、具体的に想定されるケースはあるかについて教えていただきたい」旨の発言があった。
これに対し、IT 連盟から「１点目だが、legitimate purpose については、代表例として話させていただいたつもりであり、全体的に整合を取るべきだと思うため、ここだけ突出してということはあり得ないと思っている。ほ
かの要素を含めてバランスを取っていく必要があると思っている。いずれにしても、どのような基準でどの部分を加えていくのか、部分的に加えると全体的な整合が取れなくなるため、そこのところをどういった手順で進めていただくのかを考えていただければと思い、申し上げた次第である。
２点目の公衆衛生例外についてだが、確かに公衆衛生例外は存在しているが、実際使いづらいということもあり、今年の５月に、医療分野の研究開発に資するための匿名加工医療情報に関する法律の一部を改正する法律が成立し、仮名加工情報でも使えることになった。これは、公衆衛生例外のところが十分に機能していなかったのではないかと、個人的には思っている。
この改正法が必要だったのかを考えると、本当はそうではなかったのではないかと思っている。個人情報保護法本体では、公衆衛生例外と学術研究の例外があり、医療機関に関するところについては、人を対象とする生命科
学・医学系研究に関する倫理指針というものがあり、その見直しの中で個人情報保護法との整合性を取るために、例外処理のところで整合性が取れた
ガイドラインが完成した。しかし、産業界側から学術研究以外の部分の取扱
いをどのようにするのかという声があり、個人情報保護委員会でも、公衆衛生例外について、いろいろ解説等を出していたが、なかなか実態として、製薬会社や医療機器メーカー等の事業者側から見ると難しいところもあり、意見が多かったため、仮名加工情報の利用を認めるような法律ができたと理解している。そのため、公衆衛生例外のところの使い勝手がもう少し適切であれば、必要ない法律ではないかと、産業界側の方では感じていたと思っている。
３点目のプロファイリングによる不適正利用については、当然、発生し得ると思っている。何をもって不適正とするかの判断もあるので、私が把握している事例のうち、このケースが不適正であるとはっきりとは申し上げられないが、これがプロファイリングに該当するとすれば、数年前に発生した内定辞退者の情報を基に作成した辞退率予測のようなものは、該当し得ると考えている」旨の回答があった。
丹野委員長から「ただ今いただいた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」旨の発言があった。
IT 連盟から「今日申し上げた意見は、産業界側の意見としてはかなり特異なものであると認識しているが、このような意見が産業界側にちゃんとあるということを、ぜひ御理解いただければと思う」旨の発言があった。
（２）議題２：「個人情報の保護に関する法律施行規則の一部を改正する規則案」等に関する意見募集の結果について事務局から、資料に基づき説明を行った。
藤原委員から「意見募集開始時にも申し上げたが、不正の目的をもって行われたおそれがある行為により個人情報が流出するような事態は、二次被害が発生するおそれが大きいことから、委員会として事態を捕捉し、事業者等に適切な対応を促していくことが重要である。
改正後の規則等に基づき、事業者等において漏えい等報告及び本人通知

義務が果たされるよう、令和６年４月１日の施行に向けて、事務局では周知・広報等を徹底して行っていただきたい」旨の発言があった。
原案のとおり決定することとなった。
以上