日本の個人情報保護法制の現状－消費者庁平成23年度報告書から
消費者庁消費者制度課個人情報保護推進室
政策企画専門官・弁護士
板倉陽一郎※本稿及び本稿に基づく講演等のうち意見に渡る部分は筆者の個人的見解であり、筆者の属する組織の見解ではない。

アジェンダ
１ 消費者庁平成23年度報告書
２ 国内調査報告書と越境データ問題
３ 国際調査報告書と越境データ問題
４ その他

１ 消費者庁平成２３年度報告書

消費者庁平成23年度報告書の概要【国内調査】『個人情報の保護に関する事業者の取組実態調査報告書』
http://www.caa.go.jp/seikatsu/kojin/H23report02.pdf→（株）野村総合研究所（受託）により、アンケート調査（4,337件）及びヒアリング調査を実施。
有識者委員3名によるプライバシーポリシーについての分析【国際調査】『個人情報保護制度における国際的水準に関する検討委員会・報告書』
http://www.caa.go.jp/seikatsu/kojin/H23report01.pdf→有識者8名の調査委員会（オブザーバ含む）を組織し以下の調査を実施。
文献調査（「十分性」審査の概要、EU法的側面、国際経済法的側面）
ヒアリング調査（欧州委員会、イスラエル、ウルグアイ、ニュージーランド、インド）

有識者委員会の構成（敬称略）【国内調査】
有識者委員会大澤彩

法政大学法学部准教授

新保史生 慶應義塾大学総合政策学部准教授
林秀弥

名古屋大学法学研究科准教授【国際調査】
個人情報保護制度における国際的水準に関する検討委員会◎堀部政男

一橋大学名誉教授

庄司克宏

慶應義塾大学教授

國見真理子 田園調布学園大学専任講師
加藤隆之

亜細亜大学教授

宮下紘

駿河台大学准教授

高谷知佐子 森・濱田松本法律事務所 弁護士
河井理穂子 埼玉工業大学専任講師／国立情報学研究所特任助教
小山洋平 森・濱田松本法律事務所 弁護士（オブザーバ）◎は委員長

２ 国内調査報告書と越境データ問題

越境データ移転に関するアンケート結果『個人情報の保護に関する事業者の取組実態調査報告書』 111頁

約8割

越境データ移転に関するアンケート結果『個人情報の保護に関する事業者の取組実態調査報告書』 113頁

110事業者（全体の2.5％）

越境データ移転に関するアンケート結果『個人情報の保護に関する事業者の取組実態調査報告書』 115頁

9事業者
65事業者

３ 国際調査報告書と越境データ移転

国際的水準（一部、イメージ）
原理的
EU各国のデータ保護指令の遵守義務（28条1項の監督機関完全独立性を含む）

報告書の調査対象
EUデータ保護指令上の十分性認定

欧州評議会第108条約加盟

データ保護・プライバシーコミッショナー会議（クローズドセッション正会員）

多様性重視

1980年OECDプライバシーガイドライン

緩やか

拘束的

十分性認定‐保護の対象●「識別されたまたは識別され得る自然人」に関するすべての情報（「個人データ」、指令2条(a)）と同等であること
・保護対象の個人情報または個人データの定義につき検討される。
「人格、身分、親密な関係、健康状態、経済的地位、職業・資格、人の意見・信念」とこれを補完する裁判所の先例。なおマニュアル処理情報については意見つき（IL）「個人を識別できる情報」に加え、公式な死亡の記録（NZ）●適用対象
・データ登録者（IL）。検察庁、内務省、防衛省、司法省などにも立入検査権限あり
・データベース管理者（UY）
・あらゆるNZの機関。個人を含む（NZ）●適用除外
・個人的家庭内利用、公共安全、防衛、安全保障、刑事犯罪（UY）
・政治上、憲法上、司法上の根拠、報道機関の報道活動（NZ）

十分性認定(i)内容の原則
原則

内容

主な認定例

①利用制限の原則

指令13条を参考に、目的の範囲内においてのみ利用及び移転が認められる。

目的制限の原則（UY、NZ、IL）
データベース登録の際に目的を登録（IL）②データの質及び比例の原則

データは正確でなければならず、必要な場合には最新のものに更新されなければならない。データ最小化を含む。

正確性、完全性（UY、NZ）
利用目的のため必要な期間を超えて保持不可（UY、NZ）
訂正請求権（NZ、IL）、憲法判例（IL）③透明性の原則

データ処理の目的及び管理者に関する情報の提供。

利用目的、管理者、データ提供の結果、情報主体の権利等（UY）
利用目的、提供先、提供目的等。処理者に対して検査要請（IL）
データ主体以外からの取得原則禁止（NZ）④安全の原則技術的及び組織的安全管理措置。
情報管理者の指示に基づかずデータ処理してはならない。

セキュリティ及び機密性確保、データ侵害通知（UY）
違反の場合5年以下の禁固、一部機関に情報セキュリティ監督者設置義務（IL）
合理的なあらゆる措置（NZ）⑤アクセス・訂正・異議申立の権利

データ主体のコピー取得、訂正、異議申立の権利

検査権、修正権、裁判所申立可（IL）
アクセス権（6ヶ月に1回無償、5日以内に提供）、訂正権、Habeas Data Action（UY）
情報プライバシー請求（アクセス、訂正）、裁判所申立可（NZ）⑥移転の原則十分性を満たした国にのみ移転を行うべき

イスラエル法のデータ保護の水準（IL）
十分なレベル（但し例外に留意事項）（UY）
越境移転に関する苦情を関係機関に付託、例外的な場合移転禁止通知を発する権限（NZ）

十分性認定(i)内容の原則（補足的原則）
原則

内容

主な認定例

(i)センシティブ・データ

指令8条所定のセンシティブデータ（人種又は民族、政治的見解、宗教的又は思想的信条、労働組合加盟、健康又は性生活に関するデータ）のデータ処理に際して個人からの明示的な同意を要求するなど、付加的な安全措置がとられなければならない。

センシティブ情報の定義あり。（類似するものとされた）。事前同意は明確な規定はない
が、透明性の原則が参照される（IL）
人種、人種のルーツ、政治観、倫理、労働組合、健康又は性生活（遺伝情報含む）。収集に同意要（UY）
センシティブデータの規定はないが、1993年
人権法、1994年健康情報プライバシー規範、
2003年電子通信情報プライバシー規範、2004年クレジット報告プライバシー規範等の特別法（NZ）(ii)ダイレクト・マーケティング

ダイレクト・マーケティング目的でデータ移転がなされる場合、いつでもその目的での自己データの利用を拒否することが出来るべき。

削除する権利を保障。所有者の氏名及び住所を明らかにする（IL）
オプトアウト可能。情報収集は公共にアクセス可能であるか、個人からの同意を得て得られたものであるときのみ利用可能（UY）
電子通信情報プライバシー規範、2007年迷惑メール防止法、NZダイレクトマーケティン
グ協会の行動規範及びDNM、DNCサービス（留保あり）（NZ）(iii)個人の決定移転目的が指令15条の自働決定である場合、 特段の明文規定はないが、異議申立が出来当事者は、この決定の背後にある理由を知るとの説明があった（留保あり）（IL）る権利を有しなければならない。
自己に重大な影響を及ぼす事柄について判断をされない権利及び影響を受けた場合の処理方法を追求する権利（UY）
情報照合への規制及びプログラムへの監視機能等（NZ）

十分性認定(ii)手続・執行の構造
原則

内容

主な認定例

①法令遵守の十分な水準の確保

データ管理者が自らの義務につき、データ主体が自らの権利や行使方法につき、高程度で認識していること。効果的かつ抑止的制裁の存在が重要な役割を果たす。

独立性を有するILITA及びその長。任期6年。反トラスト委員会に類似。データベース登録料は直接還元。ICDPPC開催。
刑事捜査・行政罰権限（IL）
報告義務なく、法定事由以外で解任されないURCDP（AGESICに属する）。警告、行政罰、データベース停止（UY）
あらゆる機関がプライバシー担当者設置義務。PCは総督により指名。議会に報告。罰則つき調査権限、コミッショナーの訴訟代理他（NZ）②データの本人に対する支援と援助の提供

個人は、迅速かつ効果的に、また、法外な費用が掛からずに、自己の権利を行使できなければならない。そのために、苦情を独立して調査することができることを認める、何らかの制度的な仕組みがなければならない。

ILITAによる、データ主体の情報及び文書を本人に届ける旨の要求、立ち入り、捜索及び押収。（IL）
URCDPによる、法的な総合的支援、アドバイス、個人情報データベースの内容の回答、意見の公表。（UY）
苦情処理における当事者召喚、仲裁手続、人権審査裁判
所への提訴（無料）（NZ）③適切な救済の実施支払われるべき損害賠償を認め、妥当な場合には制裁を課すことができる独立した司法機関又は仲裁機関の制度を含まなければならない。

民事賠償（約100万円上限）、Class Action、約516万円までの罰金及び5年以下の禁固刑。（IL）
警告、約500万円までの罰金及びデータベースの停止、
Habeas Data Action（UY）
ほとんどの苦情はコミッショナーによって解決され、人権審
理裁判所の事件は20件/年程度。人権審理裁判所は確認判決、差止命令、20万ドルまでの損害賠償、開示命令、その他の救済命令の権限を有する（NZ）。

インド（報告書180‐191頁要約）

IT法43条A→「センシティブ個人情報」のコンピュータ処理につき、「合理的安全措置」を定める
2011年個人情報保護規則＋2011年8月通達→8条からなる
所管はインド通信情報技術省→2011年個人情報保護規則後も変化なし。第三者機関設立の機運もなし。
IS/ISO/IEC 27001等を「政府が正式に承認した団体」により認証または監査された場合「合理的安全措置」に直結→「政府が正式に承認した団体」は未存在

Indian way
India is in bilateral trade agreement talks with the E.U., but local press
reports say that India may refuse to sign any trade agreement unless its
request for data‐secure status is approved. "This request is being
examined as per the process defined in E.U. legislation but is separate
from the FTA negotiations," said E.U. Trade Spokesman John Clancy.
"There is no adequacy agreement for India. But privacy issues more generally
are indeed part of India's trade negotiations with the E.U.," said Mina
Andreeva, the European Commission's Justice spokeswoman. TheDepartment of Justice in the Commission is responsible for overseeing
data protection in the E.U.

“India Pushes EU for Data‐secure Status” September 13, 2012
http://www.cio.com/article/716109/India_Pushes_EU_for_Data_secure_Status

国際経済法（WTO法）（報告書28‐54頁要約）「十分性審査は非関税障壁ではないか」の検討→①最恵国待遇、②国内規制、③市場アクセス→一般的例外：「必要性」テスト「十分性」認定を得ていない国の立ち回り方→WTO協定に反するとして紛争処理→セーフハーバー枠組みは最恵国待遇違反か？
→①セーフハーバー枠組みの「十分性」認定撤回要求②米国以外にもセーフハーバー枠組みを無差別に認める要求

４ その他

2012年APEC閣僚共同声明
Implementing Cross‐Border Privacy Rules
19. We welcome the APEC work to fulfill the 2011 APEC Leaders’commitment to implement the Cross Border Privacy Rules(CBPR) System in order to reduce barriers to information
flows, enhance consumer privacy, and promoteinteroperability across regional data privacy regimes. We lookforward to implementation of the CBPR, including throughdiscussion on the issues of comparability and potential
interoperability between the European Union Binding
Corporate Rules and APEC CBPR System.
2012年APEC閣僚会議（概要と評価）
http://www.mofa.go.jp/mofaj/gaiko/apec/2012/amm_gaiyo.html