個人情報保護委員会（第２５８回）議事概要
１

日時：令和５年 10 月 18 日（水）１４：５０～

２

場

所：個人情報保護委員会

３

出席者：丹野委員長、小川委員、中村委員、大島委員、加藤委員、委員会室

藤原委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、片岡参事官、石田参事官
４

議事の概要

（１）議題１：改正個人情報保護法の施行状況について事務局から、資料に基づき報告を行った。
中村委員から「令和２年改正法でそれまで努力義務であった漏えい等報告が義務化され、報告件数が増加した。漏えい等報告制度の長期的・究極の目標は報告件数を増やすことではなく、漏えい等やそれに伴う報告件数を限りなく０に近づけることだが、制度が始まって間もない現時点においては、漏えい等報告制度の実効性を更に高めながら個人情報取扱事業者の意識改革・行動改革を浸透させていくことが重要である。
漏えい等報告制度が個人情報取扱事業者に、より真剣に受け止められ、漏えい等報告を行う事態に陥らない為に、個人情報保護法の要求を満たすための人的・財政的な投資を事業者が自主的・継続的に行う、そのような動機付けを個人情報取扱事業者に十分に与える制度を構築する必要がある。
動機付けと罰則は密接に関係しているため、まず、罰則の在り方に関して４点ほど意見を述べる。１点目は罰則の水準について。個人情報保護法の罰則の水準は、欧米やアジア主要国に比較しておおむね低い水準にある。法の実効性を高めるためには、罰則の水準の引上げを、課徴金の導入も含めて検討する必要があると思う。また、２点目として、漏えい等報告が義務であることをより実効的に浸透させるため、報告の期限をより明確にする、さらに、報告を怠った場合に罰則の対象とすることも検討する必要があるのではないかと思う。３点目として、罰則を強めるだけでなく、法令順守を前向きに促す仕組みも必要である。例えば、漏えい等報告を迅速かつ正確に行う、あるいは、漏えい等発覚後速やかに個人情報保護体制を整備し、そのための投資等を行った事業者には罰則を軽減する仕組み等も検討してはどうかと思う。以上の３点は、悪意というより、不注意や不十分な安全管理に起因する漏えい等に対する罰則に関しての意見である。４点目として、明らかに悪意のあるデータの不正な取得や提供については、迅速な執行を確保するため、罰則の直罰化を検討してはどうかと思う。以上４点が罰則に関連する意見である。
次に、サイバー攻撃に関する関係省庁等との連携に関しての意見を述べる。サイバー攻撃が巧妙化する中、サイバー攻撃による個人情報の漏えい等をより効果的に防止・抑止するためには関係省庁等との連携を進めることが重要で、委員会は３月に関係省庁等との連携推進に向けて覚書を締結した。覚書の締結は『はじめの一歩』で、今後はこの覚書の実効性を高めるために協力の成功事例を、まずは一つ、作っていくことが重要ではないかと思う。協力の過程で学びがあることに加え、覚書の有益性の具体例の提示により関係者のコミットメントをより強く動機付ける、覚書に対する評価を高めるなど様々なメリットが期待できると思う。
最後に、令和２年改正法で新設された、不適正利用の禁止に関する意見である。資料では指導等の理由として、令和２年改正法で新設された不適正な利用を理由とするものは１事案のみである。現在、AI がその利活用のやり方次第で個人の権利やプライバシーを侵害し得るという懸念が高まっていることに鑑み、将来、AI などの先端技術に関連した不適正利用等を理由とする指導等を行うことも場合によってはあり得るということを前提に、ガイドラインを含む法制度や委員会の体制の充実に努める必要があるのではないかと思う」旨の発言があった。
小川委員から「まず、事業者における安全管理体制確保のための支援について。令和４年度から漏えい等報告が義務化されたこともあり、報告件数は増加している。その中で、不正アクセスを原因とする事案では大規模な漏えい等につながったものも存在している。また、当委員会が指導等を行った直近の重大事案では、その発生理由の多くが、安全管理措置や委託先の監督が適切に実施されていないということであった。こうした中、事業者において適切な安全管理体制が確保されるように、専門的な知見を有する当委員会が積極的に周知・啓発を行っていくことはもちろん、責任者の設置等、事業者における自主的な取組を支援していくことが重要だと思う。
次に、９月 27 日の委員会で議論した、個人の権利利益の保護と利活用について。この、個人の権利利益の保護と利活用は、一体として考えることが大切だと思う。例えば、PIA やプライバシー・バイ・デザインの考え方を組み込むことによって、個人情報等を活用したビジネスに取り組みやすくなるといった側面もあると考えている。こうした考え方を事業者に浸透させていくことが、結果的に様々なビジネス活動等において、個人情報等が適正に取り扱われることになると考える」旨の発言があった。
藤原委員から「漏えい等報告の義務化が事業者にどの程度周知されているのか、あるいは順守されているのか、これは一つの別の問題だと思うが、いずれにせよ漏えい等関連の問題については、関係省庁との密接な協力関係を一層進める必要があるのではないかと思っている。
それから、権利救済との関係では、漏えい等事案も含めてより一般的な権利救済という観点から、認定個人情報保護団体に関連して申し上げる。苦情処理は認定個人情報保護団体の主要な業務の一つであるため、真摯に取り組む必要があり、また、取り組んでいただくような仕組みにする必要があると思っている」旨の発言があった。
梶田委員から「１点目だが、令和４年度から漏えい等報告が義務化されたこともあり、報告等の件数が増加している。件数の増減もあるが、やはり実態を把握して次につなげていくこと、すなわちコンプライアンスの取組やガバナンス強化などにつなげていく観点が重要であると思う。漏えい等原因の調査・分析、再発防止策などを検討し、教育訓練やマニュアル改訂等、PDCA につなげること、また、予防・防止の観点での攻めの施策推進が進められるよう牽引していくことが重要であると考える。
２点目だが、悪質な事案について、勧告・命令・告発まで半年かかったという事案の報告があった。ペナルティの強化に関しては、議論が分かれるところであるが、企業の個人データ利活用を委縮させることがないよう、罰則などを引き上げる場合でもその引上げ幅については極めて慎重にすべきだと考える。一般的には、行政からの助言・指導・勧告等は、企業のレピュテーションリスクにつながるという観点から、ほとんどの企業は法に則した運営を着実に行おうとしている。そのため、極めて悪質な場合という点に着目して、不適正な利用が防止されるという前提が確保される場合には、手続き規定を一定程度柔軟にしていくことや緊急命令などの活用もあると考える」旨の発言があった。
加藤委員から「１点目は、令和４年度における漏えい等報告の件数について 7,685 件ということであった。これは、あくまでも外側に出てきた表側の件数であり、犯罪でいえば認知件数ということになろうかと思うが、実際にどの程度の漏えい等が発生しているかについても、一定程度、当委員会として、研究を行うべきではないかと思っている。また、件数については、ヒューマンエラーが存在するため０件にするのは無理であるが、件数を出すだけでなく、どういうことを当委員会として目標にしていくのか、例えば漏えい等の発生を増加させていかないようにするのか等、何らかの形で目標を立てることが必要ではないかと思う。
２点目は、資料の４ページで、漏えい等した人数は 1,000 人以下が 93.8％であるとの数字が記載されているが、これは、1,000 人以下の内訳をもう少し細かく分けてみていく必要があるのではないか。例えば、漏えい等した人数が１名から 10 名程度の場合、あまり大きな事案とはいえないかもしれな
いが、件数として数えた場合にはどの程度なのか、それから、同一の事業者が繰り返し漏えい等しているケースも想定すると、事業者ベースでは何社あるいは何人といったレベルの情報も必要なのではないかと思う。
３点目は、名刺管理システムについて、名刺それ自体でも個人情報であるが、それをデータベース化した場合には大きな課題となってくるのだと思う。そういった課題について、世の中ではあまり認識されていないのではないかと感じている。漏えい等の発生元の多くは、窓口等の現場の担当者レベルの方々である。そうした方々に個人情報の保護について理解していただ
くのは大変な努力が必要である。単に講習を開催する等の話ではなく、いかにして、個人情報の保護に関する考えを浸透させていくのか、当委員会としての非常に大きな課題であると考える」旨の発言があった。
髙村委員から「中小規模の民間事業者を対象とした、本年３月の『個人情報の保護に関する実態調査報告書』によると、漏えい等報告の義務化を知らなかった割合が約 80％であった。対象は中小規模の民間事業者に限定されており、また、回収率が約 15％と低いため、今回の調査結果をもって全体の傾向を推し量ることには注意が必要であるが、漏えい等の報告件数は、発生件数のごく一部に過ぎない疑いがある。
また、大規模な民間事業者や病歴等の要配慮個人情報を取り扱っている医療機関、そして行政機関等でも漏えい等が発生しており、これらの中には基本的な安全管理措置を明らかに怠ったものも見受けられる。こうした状況をみると、安全管理措置に限らず、個人情報の取得、利用及び提供等の各場面においても、個人情報が適切に取り扱われているかについて疑いが生じる。漏えい等の防止だけが個人情報保護ではないが、漏えい等の発生の背後には、個人情報保護法の規律が実効性をもって順守されていない状況があるかもしれない。当委員会としては、漏えい等報告の義務化の周知を一層図ることは当然のこととして、個人情報保護法の規律全般が実効性をもって順守されているかどうかにも注意を払いながら、漏えい等の防止のための効果的な対策を更に検討する必要があると思う」旨の発言があった。
丹野委員長から「１点目だが、日常生活において様々な場面で個人が個人情報の提供を求められ、しかもそれがサービスを受けるための条件となっているケースが存在する。そもそも、個人情報の取得は、あくまでその利用目的との関係で必要最小限にとどめるべきではないのかと考える。
２点目だが、顔識別機能付きカメラや AI の普及に伴い、個人を追跡することによる権利侵害のおそれや、個人のプロファイリングに伴うリスクも高まっている。令和２年改正法により導入された、不適正利用の禁止に関する規定によって、個別の事案に対応することとされているが、より実効性がある形での個人の権利利益の保護につながるよう、検討が必要ではないかと考える。
また、９月 27 日及び本日の委員からの御意見には、個人情報保護法そのものの制度の在り方についての検討が必要なものも含まれていると思われる。よって、これらの点についても事務局において検討のうえ、改めて委員会に報告をいただきたい。
加えて、今後の検討にあたっては、幅広い関係者から意見を聞くことが重要であるため、委員会での関係団体等へのヒアリングの実施に向けて、事務局において所定の準備を進めていただきたい」旨の発言があった。
（２）議題２：監視・監督について※内容について非公表
以上