2024 年 7 月 29 日
「個人情報保護法 いわゆる 3 年ごと見直しに係る検討の中間整理」に対する意見提出

No

該当箇所

意見および理由

１．個人の権利利益のより実質的な保護の在り方
１(1)個人情報等の適正ア

要保護性の高い個【意見】

な取扱いに関する規人情報の取扱いについ律の在り方て（生体データ）認められるべき利用目的以外の個人情報の取得・利用への規律の適用を検討するにあイ「不適正な利用のたっては、中間整理の 3.(1)「本人同意を要しないデータ利活用等の在り方」の検討禁止」「適正な取得」の内容を踏まえ、生体データのみが、利用が難しい位置づけにならないように検討して規律の明確化いただきたい。

・事後的な利用停止を認める生体データの類型を明確化していただきたい。また、当然【理由】
・生体データの本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とすることについては、事業者に過度な負担とならないよう、配慮を求めたい。
２

イ「不適正な利用の禁止」「適正な取得」の規律の明確化【意見】・不適正な利用の禁止、適正な取得の規定について適用される範囲等の具体化・類型化を図る、という考え方に賛成する。
【理由】
・規律を明確化し、事業者による予測可能性を高める必要があるため。

３(3)こどもの個人情報

ウ等に関する規律の在の強化

り方

安全管理措置義務【意見】・こどもの個人情報の取扱いに係る規律を適用すべき範囲については、慎重に検討していただきたい。
【理由】
・こどもの個人データをそれ以外の個人データと切り分けて異なるレベルの安全管理措置を講じなければならないこととなると、全ての産業において顧客情報管理のあり
1

2024 年 7 月 29 日
No

該当箇所

意見および理由方全体を大きく見直さなければならなくなるなど、実務への影響は甚大である。全ての業界に一律に規制を課すのではなく、こどもの権利侵害リスクの状況に応じて、どこまでの対応が必要となるのかを検討する、といった対応が適切である。

４

ウ

安全管理措置義務の強化【意見】・身体障害・高齢等により判断力が不十分である人の個人情報の取扱い等に関しても、規律を定めることを検討していただきたい。
【理由】
・成人の場合、契約締結当初は判断能力に問題がなかった場合においても、その後、同意の取得や通知が必要となった場面において、判断能力を欠いているといったケースが生じ、こうしたケースについては同意の取得や通知の仕方が問題となる。

５(4)個人の権利救済手

【意見】

段の在り方

・個人情報の漏えい、不適切利用等を団体訴訟制度における被害回復や差止請求の対象とすることには、反対する。
【理由】
・デジタル化の進展に伴って増加する情報漏えいについては、社会全体でどのようにリスクを分担するか、また被害をどのように評価するか等について、必ずしも定まっていない状況であり、あわせて個人情報漏えい事案における慰謝料が一律に本制度の対象となると、個別消費者に仮に慰謝料が認められるとしてもその額は現状において一般的に極めて低額であるにもかかわらず、事前予防や事後の措置にかけるべき事業者の有限の資源が賠償のために圧迫されることになりかねないため。

２

実効性のある監視・監督の在り方

６(1)課徴金、勧告・命令

ア

課徴金制度

【意見】

等の行政上の監視・監・課徴金の導入には、反対する。

督手段の在り方【理由】
・令和 2 年個人情報保護法改正時に罰金の引き上げが行われてから間もなく、また、22024 年 7 月 29 日
No

該当箇所

意見および理由
想定されている対象行為類型（不当な利得を得ている場合、適切な措置を講じることを怠る等の悪質な違反行為など）に対し、罰金、科料、過料に加え、課徴金を課すことが違法行為抑止の実効性向上に必要不可欠であるとの立法事実は明らかになっていない。

７(3)漏えい等報告・本ア

漏えい等報告人通知の在り方【意見】・漏えい等報告の過度な負担を考慮し、速報については一定の範囲でこれを免除する考え方や、確報について一定期間ごとの取りまとめ報告を許容する考え方に賛成する。
なお、漏えい等報告の速報や確報に関する緩和の対象について、1 名ではなく一定の少人数を許容していただきたい。
【理由】
・漏えい等報告について、損保実務において、報告が必要な事案の大半は 1～10 名程
度の要配慮個人情報の漏えい等であり、事業者は相当なリソースを割かざるを得ず、過度な負担が発生している。

８

ア

漏えい等報告【意見】・次のような事案について漏えい等事案の報告対象外としていただきたい。
①具体的な傷病名等が含まれない要配慮個人情報の漏えい②特定の個人を識別することが漏えい等事案を生じさせた事業者以外ではできない情報のみの漏えい③漏えい先が明らかで、その漏えい先において既知の情報の漏えい④「個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態」⑤漏えい先が医師、弁護士、探偵など法律上の守秘義務を課せられている職業の個人、法人に当たる場合で、ただちに守秘の合意を得られた事案【理由】
・個人の権利利益を害するおそれが大きいものが報告対象と規定されているが、上記の3

2024 年 7 月 29 日
No

該当箇所

意見および理由ものは権利利益侵害の蓋然性と報告における事業者負担との比較衡量の観点から対象外としていただきたい。
①「病院等を受診したという事実」「薬局等で調剤を受けたという事実」も要配慮個人情報に該当するため、漏えい等報告対象となるが、当該事実のみでは個人の権利利益を害するおそれが大きいとまでは言えない。
②個人の特定は漏えい等の事故者となる個人情報取扱事業者以外では実行できず、個人の特定を行うための個人情報データベースへのアクセスが事業者で厳格に管理されている場合は個人の権利利益を害するおそれが大きいとまでは言えない。
③不特定かつ多数の者により随時に購入可能なデータベースは個人情報データベースに該当しないとされているところであるが、同様に漏えい先において既知の情報を漏えい等した場合も個人の権利利益を害するおそれが少ない。
④千人超の漏えい等の中には、漏えい等した個人情報、漏えい等の形態等により、権利利益を害するおそれのレベルについて、大小様々なものがあると考えられる。千人超の漏えい等は「個人の権利利益を害するおそれが大きいもの」として一律漏えい等報告の対象となっているが、個人情報保護法施行規則第 7 条第 1 号～第 3 号が「個人の権利利益を害するおそれが大きいもの」となっていることとの対比において、質的な面が考慮されておらず、バランスを欠くものとなっている。
⑤法律上の守秘義務が課せられた先への漏えいは、事故発生時に直ちに守秘の合意が得られた場合には、第三者への被害拡大は防止されることが期待され、実質上の不利益は発生しない。

９ア

漏えい等報告【意見】・事業者の側において個別事情に応じて個人の権利利益を害するおそれが大きいかどうかを判断して報告する枠組みとしていただきたい。
【理由】
4

2024 年 7 月 29 日
No

該当箇所

意見および理由
・GDPR をはじめとする諸外国の法令においては、「漏えい等のうち個人の権利利益を害するおそれの大きいもの」が報告対象となっており、事業者の側において個別事情に応じて個人の権利利益を害するおそれが大きいかどうかを判断して報告する枠組みとなっているが、日本においても諸外国の法令のような規定とすることを検討していただきたい。
・事業者においては、漏えい等予防のための体制の充実および、よりリスクが高い漏えい事案等の対応に注力できるような制度とすべきである。

10ア

漏えい等報告【意見】・「体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除」との考え方に賛成する。なお、制度化にあたっては、どのような体制・手順であれば速報の免除や取りまとめ報告の容認が受けられるのかが事業者にとって予測可能なものとなるよう、確認の要件・基準はできる限り客観的かつ透明性あるものとしていただきたい。
【理由】
・どのような事業者において一定の範囲での速報免除が許容されるかの基準が明確でなければ、認定個人情報保護団体等、国以外の第三者における適切な運用が困難と思われる。

11

ア

漏えい等報告【意見】・漏えい等の「おそれ」について、個人の権利利益を害する可能性等を勘案して、より合理的と考えられる場合に報告や本人通知を求めることが適当との考え方に賛成する。
【理由】・漏えい等報告について、事業者は相当なリソースを割かざるを得ず、とりわけ「漏えい等が発生したおそれ」に該当するか否か判断する際、自ずと報告対象が広がり、過度な負担が発生している。
52024 年 7 月 29 日
No
12

該当箇所
ア

意見および理由
漏えい等報告【意見】・以下の類型について、通知義務の対象外とすることを要望する。
①個人データに係る本人の数が千人を超える漏えいが発生した場合②特定の個人を識別することが漏えい等事案を生じさせた事業者以外ではできない
場合③本人の権利利益を害するおそれが大きいといえない場合【理由】①個人情報保護法第 26 条第 1 項に該当する場合は一律的に本人への通知が義務付けられているが、千人を超える漏えいの場合に関しては、千人を基準とすることに合理的な根拠がないと考える。また、複数の企業から業務を受託する会社において情報漏えいが発生した場合、千人を基準として、委託元の企業から通知がされる被漏えい者と、通知がされない被漏えい者が混在することとなり、漏えい発生有無に関し誤解を生じかねない。
②本人への通知は通知を行うことで本人の権利利益を保護する観点で実施するものと理解しているが、上記個人の特定が漏えい元事業者以外ではできない事態においては漏えいした情報から本人の権利利益が侵害を受ける蓋然性に比して、通知した本人にいたずらに不安を惹起させる面が大きいと考える。丁寧な説明により不安を払拭することは可能であるが、そのための事業者の負担も大きく、本人への通知が困難である場合に認められる代替措置をとることなどでも可としていただきたい。
③個人データを構成する個人情報には要配慮個人情報から、氏名、住所、電話番号といったものがある一方で、漏えい等による二次被害の可能性が極めて小さいもの、個人を特定することが難しいもの（例えば、証券番号、受付番号といったデータ取得者による悪用の可能性がほぼないが、千人超の漏えいのもの）まで様々である。二次被害の可能性が極めて小さいものに関する漏えい等について、被漏えい者に通知を行った場合、まずもって通知を受け取った本人が漏えい等によってどのような影響が被漏えい者本人
6

2024 年 7 月 29 日
No

該当箇所

意見および理由に及ぶのかが理解しがたく、いたずらに混乱を招くばかりであるため、通知の対象範囲は被漏えい者にとって影響のある範囲に限定すべきと考える。

13ア

漏えい等報告【意見】・個人情報保護法第 26 条第 2 項の対応においては、通知もしくは公表のいずれの方法でも可能としていただきたい。
【理由】
・本人通知を行うためには、被漏えい者の最新の住所・連絡先等が必要となるが、保有個人データが必ずしも最新の情報ではない可能性がある。漏えい件数が多くなるほど、１件ごとの情報の精査は困難となり、誤った住所への書面送付、誤った連絡先への架電等、二次被害発生のリスクが高まることが懸念される。
・このような場合に、通知もしくは公表、どちらの方法が望ましいかを個人情報取扱事業者において主体的に判断できるようなルールとしていただきたい。

1415(3)漏えい等報告・本【意見】人通知の在り方「二次被害のおそれ」について、金銭的被害以外の具体例を明示していただきたい。

総論

【意見】
・
「個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである」という点に賛同するとともに、検討にあたっては、以下の観点を考慮していただきたい。
【理由・観点】
・通知義務の対象は、個人の権利利益の侵害が大きく、本人の権利利益の保全のために個別に通知を必要とする類型と理解しているが、現行の個人情報保護法施行規則第 7条の類型について、この観点で再度検討を求める。また、本人通知の目的に鑑み公表による代替措置で可とされる類型について、新たに定義していただきたい。
・事業者においては、漏えい等予防のための体制の充実および、よりリスクが高い漏えい事案等の対応に注力できるような制度とすべきである。
7

2024 年 7 月 29 日
No

該当箇所

意見および理由
・サイバー攻撃による個人データの漏えい等の可能性がある場合には、コストをかけた丁寧な調査により可能性の範囲が拡大し、また被害拡大の防止のためにとった初期化等の措置のためフォレンジック調査が一部不可能となり、このため漏えい等のおそれの可能性に該当する範囲が幅広くなることがある。このような場合、おそれの範囲が広いために、本人通知の件数が多いことに加え、本人通知が不可能であるために代替措置である公表を行わねばならない場合がある。しかしこうした場合、本人は通知を受けても権利利益保護のためになしうることは不審なメール等による連絡に注意する程度であり、漏えい等のおそれについて通知を受けたかどうかにかかわらず、インターネットユーザーとして常日頃留意するべきことであり、通知を受ける実益があまりないことが多い。
・また本人通知の代替手段としてのウェブサイト上での公表は、本人通知が不可能であるような本人がこれに目を通すことはあまり期待できない。一方、事業者にとって公表はそれ自体、事態の深刻度の程度にかかわらず、「個人データ漏えい等を引き起こした」と見られ、事業者のブランドイメージの毀損につながるおそれがある。本人通知や公表は、事業者へのペナルティではなく、本人の権利利益が目的であり、実質的に本人の権利利益保護に必要な範囲で義務付けるべきものである。
・本人としても、軽微な漏えい等事案についても通知が届くとなると、顧客等がさまざまな取引先から受け取る通知の数が増え、通知内容にあまり注意を払わなくなり、重大な漏えい等事案にかかる通知に本人が注意を払わなくなるおそれがある。

３16

データ利活用に向けた取組に対する支援等の在り方（2）民間における自アPIA（Privacy

主的な取組の促進

Impact Assessment）【意見】
・PIA について、民間における自主的な取組という現状の枠組みを維持しつつ、義務化については各主体における対応可能性や負担面などを踏まえ慎重に検討する必要がある、との考え方に賛成する。
【理由】
8

2024 年 7 月 29 日
No

該当箇所

意見および理由
・自主的な取組では不十分で法律上の義務化が必要不可欠であるとの立法事実は明らかになっていない。

17イ

個人データの取扱いに関する責任者【意見】・個人データの取扱いに関する責任者について、各企業の現状も踏まえ現実的な方向性を検討する考えとの考え方や、各主体における対応可能性や負担面などを踏まえ慎重に検討する必要がある、との考え方に賛成する。
【理由】
・個人情報保護法ガイドライン（通則編）における例示により、既に大企業においては個人データの取扱いに関する責任者の設置がかなり進んでいる中、自主的な取組では不十分で法律上の義務化が必要不可欠であるとの立法事実は明らかになっていない。

9