個人情報保護委員会（第２８１回）議事概要
１

日時：令和６年４月 24 日（水）１３：００～

２

場

所：個人情報保護委員会

３

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、委員会室

梶田委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官
４

議事の概要

（１）議題１：いわゆる３年ごと見直し（ヒアリング）について
個人情報保護委員会議事運営規程第９条の規定に基づき、一般社団法人
日本経済団体連合会（以下「経団連」という。）デジタルエコノミー推進委
員会データ法制 WG 若目田主査、産業技術本部小川本部長、同中嶋副本部長、同吉田氏、一般社団法人新経済連盟（以下「新経連」という。）政策部片岡政策部長、小木曽渉外アドバイザー、一般社団法人日本 IT 団体連盟（以下「IT 連盟」という。）別所常務理事、須田事務局長、青木氏、一般社団法人
Fintech 協会中井氏、一般社団法人シェアリングエコノミー協会及びプライバシーテック協会宇根氏、一般社団法人シェアリングエコノミー協会安井氏、プライバシーテック協会竹之内氏が会議に出席した。
経団連から、資料に基づき説明があった。
浅井委員から「要望①『個人データ等の定義の明確化』のテーマについて、御指摘は理解したが、お聞きしたい点がある。個人情報保護法は、安全管理措置や第三者提供など規律の対象がデータベースを構成する個人情報、つまり『個人データ』に限定されており、事業者への負担を考慮して整備された経緯があると理解している。
『複数の定義が乱立』との御指摘に従い、統合や整理をする方向性は、かえって規律の範囲を広げることにもつながるのではないか。
また、外国のデータ保護規制との協調は国際的事業展開に不可欠といえる。定義の整理が影響を及ぼすと思われる EU や英国との十分性認定へのインパクトは考慮する必要があるのではないか。
GDPR と異なる規律を志向することは、異なる適応を求められるなど、事業活動の負担を増加させるのではないか。定義の整理での国際的な影響について、考えを伺いたい」旨の質問があった。
これに対し、経団連から「御指摘の個人情報データベースの問題、また、過去の改正での匿名加工情報、仮名加工情報の追加は、事業者の負担及び利活用に配慮したものと承知している。そういう意味では、それらを一つにするというよりは、企業の使い勝手や理解促進の点からもう一度実情を踏まえた見直しを検討いただき、それぞれの定義の範囲については、今般の見直しでわかりやすく整理していただければと思う。国際的な協調も、そうした前提のもと、我が国の特性も踏まえながら検討していただきたい」という旨の回答があった。
新経連から「新経連としては、一つにしてほしいというよりは、いろいろな観点からラベリングが増えており、他の法律でも定義があることから、分かりやすく１枚の図のようなもので関係性を整理いただき、個人や事業者がわかりやすいように整理、明確化していただいてはどうかという趣旨である」旨の回答があった。
IT 連盟から「前回のヒアリングでも申し上げたが、長期的な視野に立ってデータの定義を見直していただきたい。その際、当然国際的なフレームワークとの関係は重要だが、規範の在り方と執行含めた制度全体の運用とのバランスをどう考えるのかも重要である。国際的には規範の文字面上の在り方だけでなく、各国の執行等の実体面も参照しながら、データのハーモナイゼーションを前提に検討いただきたい」旨の回答があった。
小川委員から「資料の冒頭にあるように、『データドリブン社会を構築する上で、個人の権利利益の保護と利活用の両立』あるいはバランスは極めて重要である。特に、現代のデジタル社会においては、生成 AI などの新しい技術やサービスに関して、利活用とその発展に伴う個人情報の保護とのバランスは重要だと思っている。そのバランスのとり方は、ケースバイケースになるかと思うが、これも資料の冒頭にあるように、様々な意見に耳を傾けることが重要だと認識している。
このバランスのとり方について、事業者の自主性と公的な規律のバランスも大事な論点になると思うので、この点について質問する。
ご存じのように、ネット社会におけるこどもの個人データの取扱いなどが、大きな社会問題になっている。このような問題の解決に際しては、事業者の自主的な取組に委ね、これを促進する方が有効な場合もあるが、その一方で、自主的な取組に委ねるべきではないこともあるのではないか。
例えば、こどもの個人データの取扱いについては、こどもの脆弱性や要保護性を踏まえて、一定の事項については法令に基づき規律を行うべきという考え方もある。昨今の状況に鑑みて、社会全体にとって、事業者の自主的な取組に委ねるのではなく、法令に基づき規律を行うことが必要と考えられる場面があるのか、それはどのような場面なのか、さらに、法令で定めることによる弊害があるかという点について、例えば、こどもの個人データの取扱いに絞っていただいても結構なので、もしご意見があれば、お考えを伺いたい」旨の質問があった。
これに対し、経団連から「今回の要望には書いていないが、前回のヒアリングの際にも申し上げたように、何らかの道しるべになるような指針が必要ではないかと考えている。規制という考え方もあるが、どういった範囲であれば活用が認められるかを明確化していただくことで、保護と利活用の両立を図ることにつながるのではないか」という旨の回答があった。
新経連から「新経連としては、こどもの個人情報という関連で会員と深く議論したことはなく、具体的な答えを持っているわけではないが、日本において具体的にどういう場面で問題になっていて、逆にどういう利活用が進むべきかをフェーズごとに考えた上で適切に対応いただきたい」旨の回答があった。
IT 連盟から「こどもの個人データの取扱いは、『こどもの個人データ』という括りでの議論というよりは、どのフィールドでこどもの個人データについて考えるか、しっかりと区分けをして考えていくべきではないか。こどもの教育データはむしろ利活用を促進するための規律が必要ではないかと思うし、広告やエンターテインメントの分野では逆にこどもを保護するための規律が求められているのではないか。事業者の自主的な取組を支えていくことを念頭にしつつ、特に問題のある分野で事業者の自主的な取組に任せるのが難しい分野もあるだろうから、領域ごとに必要な規律を考えていただきたい」旨の回答があった。
藤原委員長から「今のこどもの個人データや、あるいは生体データについて、フィールドに応じて考えるべきではあるが、規律そのものの必要性、あるいは特に弊害を及ぼす分野で、何らかの規律が必要であるという趣旨でよろしいか」という旨の質問があった。
これに対し、新経連から「分析をした上で必要性を考えるべきである。今のところ、中身を議論するより前に箱となる規律が必要であるという意見は持っていない」旨の回答があった。
さらに、新経連から「経済団体としての法規制の一般論を申し上げると、法的な規制をかけるのであれば慎重な立法事実の検討が必要である。また、課題があることと法規制を設けることの必要性とは必ずしも一致しない。
個人情報保護法で解決する話ではないかもしれない。よって、全ての論点を整理した上で、何を対応策として進めるかという必要性の議論を行うべき」という旨の回答があった。
経団連から「経団連としても、まずフィールドごとの検討が必要であることに賛同。その上で、一般論として法規制には立法事実が必要である。対応の仕方は、規制であるべきか、指針であるべきか、自主的な規律であるべきか、実情に即して慎重に検討する必要がある。いずれにしても、個人情報保護委員会と経済界の間の双方向の丁寧なコミュニケーションをお願いしたい」という旨の回答があった。
IT 連盟から「IT 連盟としては、二つの団体がおっしゃっていたように法律を作る上では立法事実が必要だが、他方、検討の結果、規律が必要だとなった場合に、規律の可能性を捨ててほしいという趣旨ではない。規律の在り方として、利活用を促進する規律もあり得るため、それも含め検討いただきたい」旨の回答があった。
藤原委員長から「要望③に関連して、『おそれ』要件がある結果、報告対象が広がり、『過度な負担』が発生している事例とは、具体的にどのような事例か。例としてサイバー攻撃を挙げていただいたが、サイバー攻撃、サイバー攻撃以外の事態として、それぞれどのような事例を想定されているのかを教えてほしい。あわせて、リスクベースで報告対象を絞っていくと、どうしても文言上定義しきれず、抽象的な規範を定立せざるを得ないが、事業者において報告対象への該当の有無を判断する方向になるのではないか。
例えば、EU は『個人データの安全性に対する侵害』を要件としているが、具体的な報告は、『個人の権利及び自由に対するリスク』を事業者が評価し、その要否を判断することとされている。このような定性的な判断を求められることはかえって事業者にとって負担となるのではないか。定性的な判断の方がやりやすいということか」という旨の質問があった。
これに対し、新経連から「今、既におそれがある事案というのが、抽象的で広いという印象。おそれが０％であることを証明しないと、漏えい等報告の対象となるような感じになっている。例えば、グループ会社間で、あるツールの閲覧権限が間違って設定されて、限られた特定の社員に対し個人情報が 1,000 件以上閲覧できる状態になっていた場合、『おそれ』の対象となると思われる。EU ではこういった事案は Unlikely to と事業者が判断して報告しないケースもあるが、日本は０％の証明が必要になってしまう。おそれのある事案という文言を、リスクベースでより強いおそれを対象とした上で、事業者で判断できるようにすることが考えられる。もちろんそれでも曖昧な部分は出てくるが、今よりは是正される」旨の回答があった。
経団連から「個人情報保護委員会には、既に相当数の事案に関する情報が蓄積されていると認識している。報告期限だけの問題ではなく、蓄積されたデータベースを分析することによって適切な在り方を具体的に示していただきたい。例えば、報告までは必要の無いケースも分析から見えてくるのではないか。エビデンスに基づいた見直しをお願いしたい」という旨の回答があった。
藤原委員長から「GDPR は個人データ侵害を知ってから 72 時間以内の規制機関への通知を求めている。EU 圏内でサービス提供を行っている事業者はこの規律ベースで運用していることからすると、おおむね３～５日以内という報告期限が非現実的とまで言えるのか。特に、ここでポイントとなるのは、GDPR とは異なり、日本法の下でおおむね３～５日以内に速報を報告する必要があるのは、報告をしようとする時点において把握しているものに限って報告すれば足りるという点である。その場合、確報の期限は GDPR よりもはるかに長い 30 日、不正アクセス等の３号事態については 60 日とされているわけであるが、それでもあまり現実的でないとお考えか。どういう点が具体的に事業者にとって『過度な負担』になるとお考えか」という旨の質問があった。
これに対し、新経連から「推測するに、第一報の時点でしっかりした情報を出さなければならないという意識があるのではないか。実務上、どういったデータが集まっているのか事業者は分からないので、求められている情報と実態にズレがある可能性があり、今までの報告の実態も含めて検討する余地があるのではないか。
また、事業者からよく聞くのは、事案の分析のうち、漏えいの分析の際に何人かというかなり具体的な数字を求められるため、本来は再発防止策の検討にリソースを割きたいが、起きた事案の分析に時間を取られているといった事例がある」という旨の回答があった。
清水委員から「藤原委員長の質問にも関連して、漏えい等報告で『過度な負担』になっている部分を、もう少し具体的に整理して報告していただけないか」という旨の発言があった。
これに対し、新経連から「そういった意味では、委員会の方に集まっているデータの傾向も教えていただけるとありがたい。我々が聞くのは、あくまで個社の話であるので、今まで集まったデータからどういう感触を持っているのかというのも含め、検証していただきたい」という旨の回答があった。
梶田委員から「要望②に関連して、定期的な見直し規定があるのは、事業者にとっても、その時点の規律を時代に合ったものにアップデートしていく良い機会なのではないか。不定期な見直しが続く方が、事業者にとって改正の前提としての対話も含め対応に苦慮することになるのではないか。
また、これまでの個人情報保護法改正でも、匿名加工情報・仮名加工情報制度の創設や、個人情報保護制度の官民一元化によるデータ流通の促進等、個人情報の有用性に配慮する観点からの改正も行ってきている。規制強化がクローズアップされているという趣旨の御説明もあったが、データ利活用を促進するのであれば、当然個人の権利利益の保護とのバランスを取ることが必要となるが、この点についてどうお考えか」という旨の質問があった。
これに対し、経団連から「前半は、不断にコミュニケーションを行い、３年に限らず改正の必要がある場合には対応すべきということである。３年ごとの改正ありきという考えではなく、状況に応じて取り組めたらということである。
後半は、新たな制度が実際に現場でどのように活用されているか、経済効果はどうであったか等について不断にコミュニケーションを取るべきということである。その中で、制度の使い勝手に問題があるのであれば是正をす

る、経済界側の不勉強で活用できていない場合は教えていただくというように進めていければと思う」旨の回答があった。
髙村委員から「要望④の『要望』の一つ目の矢羽根について、本人同意とは別に契約履行や正当な利益を適法性要件としている GDPR では、本人同意については厳格な要件が求められている。本人同意によらない方法での第三者提供や利活用の在り方を検討するのであれば、本人同意等について、より厳格な要件を定める必要があるのではないか」旨の質問があった。
これに対し、新経連から「我々が申し上げているのは、あくまで今同意が必要とされている部分に本当に同意が必要なのかということで、厳格な同意が必要かという点は慎重に検討する必要がある。日本の個情法は同意に頼っている面があるので、更に厳格にとなると大変なことになるのではないか。今の個人データの保護の在り方を今一度整理したときにどうなるかということである」という旨の回答があった。
髙村委員から「同意が不要の場面として具体的に考えられる場面はあるか」という旨の質問があった。
これに対し、新経連から「一つは、クレジットカードのセキュリティのために EMV3-D セキュアを導入する動きがあり、これは加盟店から買い物に関する情報をカード会社に送り、イシュアーであるカード会社が不正性の高い買い物であると判断した場合は、ブロックしたりワンタイムパスワード入力を求めたりするというもの。海外はクレジットカードの使用にあたり当然提供が必要なものとして同意が不要とされているが、日本では第三者提供として同意がいちいち必要になってしまっている。また、ペイメントサービス事業者間における不正利用防止の情報連携にも同様の問題がある」旨の回答があった。
髙村委員から「今の具体例においては、個情法第 27 条１項２号等の例外要件で対処しにくいという問題があるのか」という旨の質問があった。
これに対し、新経連から「不正利用防止の観点では、実際に被害が起こる前に止めたりするので、委員会に正面から聞きに行くと同意が必要であると言われてしまう」旨の回答があった。
髙村委員から「要望は、正当な利益に基づく場合は同意不要とすべきという要望だと理解しているが、正当な利益という要望は抽象的で、事業者の判断が難しくなると考えられる。その辺りについて、どうお考えか」という旨の質問があった。
これに対し、新経連から「海外の事例も参考に、日本の状況にも照らして考えられるのではないか。ある程度抽象的でも、考え方や方針を明確化していけば事業者側で判断できるのではないか。また、データ活用をしたいというアイデアに対し、アドバイスをするという仕組みが今はないと理解しているので、そういう仕組みがあると良いのではないか」という旨の回答があった。
髙村委員から「要望④の『要望』の二つ目の矢羽根について、医療データ等の個別分野におけるデータは特別法を設けるべきという趣旨か」という旨の質問があった。
これに対し、経団連から「特別法も含めて検討していただきたいと考えている。現在は学術研究例外や公衆衛生例外等の例外規定を用いる必要があり、事業者がその条件下でデータを活用することが実質的に不可能な状況である。分野の特別性も踏まえ、特別法も含めて検討していただきたい」という旨の回答があった。
清水委員から「要望⑤の課徴金について伺う。一つ目の矢羽根に関して、事業者は個情法を遵守しているとのことだが、当委員会はこれまで限定的な執行手段で、事業者の自主的な取組を尊重してきたと認識している。しかし、このような仕組みでは規律を守っていない事業者を抑止できない状況を生んでいるのも事実である。いわゆるやり得のような状況を放置していると、真面目に個情法を遵守している事業者が損をすることにもなりかねないため、ルール違反に厳しい規律を課した方が、規律を遵守する事業者の競争力の強化や、一般利用者の安心できる利活用につながるのではないか。
また、先般のヒアリングでは、それぞれの団体において、条件付きではあるがおおむね前向きに捉えていただいていると理解していたが、いかがか。今回の資料では課徴金導入に反対ということだが、どういう視点で課徴金に反対なのか、それぞれの団体に伺いたい」という旨の質問があった。
これに対し、IT 連盟から「12 月のヒアリングの資料は、IT 連盟として出している意見は総論という形でまとめており、そこでは課徴金には触れていない。付録として後ろのページに付けているのは、個情法の様々な課題で事業者が混乱しており、十分な理解がないまま、こういう意見が出ているという例示である。IT 連盟としても、規律を守らない事業者に対する徹底として立法事実があるとはまだ理解できていないので、もし事実があるのであれば具体例をいただきたい」という旨の回答があった。
経団連から「繰り返しになるが、新たな規制導入の際には、立法事実を慎重に見極めて検討すべきであり、当団体の議論の中で、課徴金が今必要という意見は出ていない」という旨の回答があった。
新経連から「以前申し上げたのは、既存の制度の中で不適切な事業者に対してできることをやってほしいという意図で、課徴金については８団体ともに反対。どうしても萎縮効果が発生しやすいことと、立法時は海外事業者をターゲットにしていても、国内事業者が苦労してしまうことも多いので、現状の仕組みでどこが問題なのかを検討した上で、かなり慎重に考えるべきである」旨の回答があった。
小笠原委員から「同じく要望⑤で、団体訴訟制度に関して、団体訴訟制度は差止請求と被害回復請求が存在し、各々が企業の個人データの活用の萎縮につながるということで反対と理解した。差止請求、被害回復請求それぞれについて、どういった点が個人データの活用を萎縮させるという意見が出ているのか」という旨の質問があった。
これに対し、新経連から「被害回復請求は消費者庁での議論の時にもお話ししたが、事業者による事案の公表が団体訴訟につながってしまって、今でも財産的被害や故意のものは対象になっているが、それ以外について範囲を広げるとなると、素直な事業者が公表したことに基づいて少額で大量の被害回復請求が発生してしまう可能性があり、そこで萎縮効果が発生する。
差止請求も、現在は不当勧誘等の表に出ているものが対象で、それが個人情報の不適切利用の疑いなどの場合どうなるかというのが予想しにくいし、何よりも必要性はどこにあるかということを分析した上で、必要性がどうしてもあるということであれば議論が発展していくと思う。今はデータを活用した新しいサービスを開始しても、メディアにネガティブに取り上げられるだけで、サービス全体が広がらなくなってしまうこともあるため、そういった面でも萎縮効果が想定される」という旨の回答があった。
小笠原委員から「差止請求の導入が、どうして企業の個人データの活用を萎縮させることにつながるのか伺いたい」という旨の質問があった。
これに対し、新経連から「今想定されている差止請求は個人情報の利用等についてではないのか」との質問があった。
小笠原委員から「不正な利用がされている場合に、差し止めることになる」という旨の回答があった。
これに対し、新経連から「不正かどうかという観点において適格消費者団体が調査をするということではないのか。それでは、新たな利活用をしようとすると、そのような観点で、不正を疑われたり、情報を請求されたり、差止請求につながったりするというようなおそれを抱くことになり、利活用についての情報発信や推進が難しくなったり、萎縮したりすると思われる。
しかしやはり、今どのような問題が起きていて、差止請求によって何を実現しようとしているのかによっても、萎縮効果は変わってくると思う」という旨の回答があった。
小笠原委員から「消費者団体が勝手に事業者の活動に関与して不正利用とみなすことが、萎縮につながるという意見でよろしいか」という旨の質問があった。
これに対し、新経連から「その可能性もあると考える。疑いという視点からでは、様々なものが想定されてしまうのではないか」という旨の回答があった。
新経連から「要望③で『過度な負担』に関する御質問をいただいたが、委員会に求めたいこととして、行政対応コストは常に最小化する必要がある

と考えており、今、漏えい等報告などで収集しているデータをどのように活用してどのように成果が出ているのかというのは、経済界として教えていただきたい。今後何らかの形でお示しいただきたいという追加の要望を申し上げる」という旨の発言があった。
藤原委員長から「最後に、『第三者提供や利活用の在り方』に関連して、現在はそういった事業者が事前相談する場はない、あるいは機能していないとお考えか」という旨の質問があった。
これに対し、新経連から「事前相談する場はもちろんあるが、事前相談をすると同意を取ってくれと言われるというのが実態と認識していて、本来はそこで実現したかったことが何で、今の制度上、何がハードルになっているのか、実現に向けて何をすべきかということを相談する場があるべきだと思うが、そういう場はないと思っている。保護以外の観点として、相談内容から利活用の方向性を考える仕組みがあっても良いのではないか」という旨の回答があった。
藤原委員長から「本日は八つの経済団体の意見が集約されたことを受けて、改めてヒアリングを行った。意見に示された課徴金や団体訴訟制度を含め、海外の規律との整合性、権利利益の保護、事業者の負担、悪質な事業者への対応等の様々な論点について議論があった。それらを十分に精査し、制度の検討を進めるべきということと理解がされたと思う。ヒアリングについては、本日、経済団体から頂いた意見も含め、個人情報保護をめぐる様々な状況について、各方面の御意見を伺いながら課題を整理、審議してまいりたい」旨の発言があった。
（２）議題２：いわゆる３年ごと見直し

個人の権利利益のより実質的な保護の在り方③についてについて事務局から、資料に基づき報告を行った。
清水委員から「資料２の６ページで、緊急対策プランに基づく政策の推進の必要性が高まっているという事務局からの説明があったが、こうした状況に鑑みて、一つはオプトアウト届出事業者の注意義務の強化が考えられる。オプトアウト届出事業者は個人情報の第三者提供を目的とする事業者のため、個人情報の取扱いに、より高度の注意義務を課す必要があるのではないか。具体的には、届出事項の追加として、事業者の連絡先、本人の認識を確保する方法の追加が考えられる。もう一つは、確認記録義務を追加し、データ取得時には、不正の手段で取得したデータでないことを確認した方法を、データ提供時には、不適正利用に該当しないことを確認した方法を、事業者に説明させることが必要ではないか。
二つ目に、委員会としてのモニタリング機能の強化で、特殊詐欺の原因はオプトアウト制度に起因するものとは限らないと理解しているが、少なくとも本制度に係る管理は委員会で適切に行っていることを説明する責任があるのではないか。問題が発生した事業者の改善状況や、新規の届出事業者の法令遵守も注視していくべきではないか。
三つ目に、届出事業者の最新の状況の把握について、今の制度では、届出内容に変更があれば再度報告の必要があるが、遵守されていない可能性があるのではないか。場合によっては事業内容の変更、廃業も考えられるため、可能であれば、一定の間隔で現況を確認するための書面を送付し、変更の届出の督促、場合によっては届出の無効化といった手段で、現に機能しているオプトアウト事業者を把握すべきではないか」という旨の発言があった。
小川委員から「当委員会でも、『STOP！名簿流出』というキャンペーンを実施しているが、特殊詐欺やフィッシングなどの犯罪に名簿が悪用されることが社会問題になっている。犯罪者グループは様々な名簿を基に情報収集を行い、ターゲットを絞り込んで犯行に及んでいると想定される。一方、適正なビジネスにおいても、様々な名簿を基に情報収集を行い、顧客のターゲットを絞り込んでマーケティングを行うことはあると承知している。
ただ、特に、ネットビジネスにおいては、情報を収集・利用される本人からは、相手がいずれなのかを判断できないことが多いと思う。そのため、名簿の悪用ばかりが話題になり、ネットによる情報収集や e コマースなどに対する不信や不安が社会全体に広がると、企業による適正なネットビジネスの活性化が阻害されることにもなりかねない。
そのため、相手の顔が見えないネットビジネスでは、名簿業者による名簿の取扱いに対する規律を課すだけではなく、名簿を利用する事業者に対しても、自らが適正に名簿を取得・利用している事業者か否かを消費者が判断するための手段を提供させることが、個人情報の取扱いに係る透明性の確保や、本人関与の原則の観点からも有益ではないか。
例えば、そのビジネス主体の身元を明らかにするのは当然として、適正な名簿を使っているのか、適正な目的の利用なのかなど、名簿の取得方法や利用目的の適法性を示すとともに、問合せや苦情などの連絡先を電話も含めて明示するなど、様々な手段を検討することも重要ではないか」という旨の発言があった。
藤原委員長から「オプトアウト制度について、いわゆる闇名簿問題への対応、不正に持ち出された名簿の取扱いに係る問題等の防止及び本人の権利行使の機会のより実質的な確保の観点から、提供先の身元や利用目的、取得の適法性の確認、本人に対する通知等について、どのような制度の在り方があり得るか、罰則も含め、実効性ある規律となるように、更に検討を深めるべきではないか。その際には、本日委員からあった意見も踏まえることが重要である。今私から申し上げた内容も踏まえて事務局においてご検討いただきたい」旨の発言があった。

以上