日時：令和５年９月 27 日（水）14：30～

場

所：個人情報保護委員会

委員会室

出席者：丹野委員長、小川委員、中村委員、大島委員、浅井委員、藤原委員、梶田委員、髙村委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員が御欠席です。
以後の委員会会議の進行につきましては、丹野委員長にお願いいたします。
○丹野委員長それでは、ただいまから、第255回個人情報保護委員会を開会いたします。

本日の議題は二つございます。
議題１「改正個人情報保護法の施行状況について」、事務局から説明をお願いいたします。
○事務局「改正個人情報保護法の施行状況について」、事務局から資料１に基づき、御説明させていただきます。
個人情報保護法が令和２年、令和３年に改正され、令和２年改正法は令和４年４月に、令和３年改正法は本年４月にそれぞれ全面施行されました。改正法の全面施行から今月末で半年が経過しますので、今般、その施行状況について説明させていただくものです。
１ページは、令和２年改正法の概要でございます。令和２年改正法では、まず、個人の権利の在り方として、オプトアウト規定により第三者に提供できる個人データの範囲の限定等を、事業者の守るべき責務の在り方として、漏えい等報告及び本人通知の義務化や不適正な方法により個人情報を利用してはならない旨の明確化を、事業者による自主的な取組を促す仕組みの在り方として、特定分野型認定団体制度の創設を、データ利活用の在り方として、仮名加工情報の創設等を、ペナルティの在り方として、法定刑の引上げ等を、法の域外適用・越境移転の在り方として、個人データを外国にある第三者に提供する際の情報提供の充実等を行いました。
２ページでございます。令和２年改正法の全面施行に向けて、当委員会では、令和２年から令和３年にかけて関係する政令・規則・ガイドライン等の改正を行ったほか、幅広く周知・広報を実施しました。
３ページでございます。令和２年改正法により措置した内容のうち、個別に幾つか施行状況を御説明させていただきます。
まず、オプトアウト規定に関して、犯罪対策閣僚会議において、本年３月に「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」が策定されたこと等を踏まえ、オプトアウト届出事業者の調査を実施し、その調査結果を踏まえ、本年４月にオプトアウト届出事業者等に対する注意喚起を行いました。
1

次に、漏えい等報告に関して、令和４年４月からの義務化に伴い、令和４年度の報告件数は、前年度比で増加しております。また、いわゆるWebスキミングによる情報流出等を漏えい等報告の対象とするため、規則等の改正案を策定し、現在、意見公募手続を実施しているところです。
次に、不適正利用の禁止に関して、多数の破産者等の個人情報をインターネット上に公開されている地図データと紐付ける形で掲載していた事業者に対し、不適正利用の禁止等に違反するとして令和４年７月に勧告、同年11月に命令、本年１月に関係捜査機関への告発を行いました。
４ページでございます。認定個人情報保護団体に関して、特定分野型認定団体として、
令和４年４月から現在までに４団体を認定しております。
次に、仮名加工情報に関して、事業者の活用を促すべく、令和４年３月及び５月に「個人情報保護委員会事務局レポート：仮名加工情報・匿名加工情報」を更新し、参考となる情報を追加しました。
次に、越境移転規制に関して、令和４年１月及び４月に、諸外国の法制度に関する参考情報を提供しました。また、同年12月のOECDデジタル経済政策委員会閣僚会合において、「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」が採択されたことを受け、ガイドラインの改正案を策定し、現在、意見公募手続を実施しているところです。
５ページは、令和３年改正法の概要でございます。令和３年改正法では、個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の３本の法律を個人情報保護法に統合するとともに、地方公共団体の個人情報保護制度についても、統合後の個人情報保護法において全国的な共通ルールを策定し、全体の所管を当委員会に一元化しました。
６ページでございます。令和３年改正法の全面施行に向けて、当委員会では、令和３年から令和４年にかけて関係する政令・規則・ガイドライン等の改正等を行いました。また、地方公共団体等においては、法施行条例の整備等の対応を行っていただきました。
７ページでございます。先ほど申し上げた地方公共団体における法施行条例の整備状況ですが、本年４月１日の令和３年改正法の全面施行のタイミングで、都道府県及び市区町村の全団体において、措置済みという状況になっております。
８ページでございます。令和３年改正法の全面施行に向けて、事務局において毎月平均500件以上の地方公共団体等からの相談・照会に対応してまいりました。
９ページでございます。ここまでは令和２年改正法、令和３年改正法の施行状況について御説明してまいりましたが、ここからは直近の状況について御説明いたします。
まず、民間部門においては、昨今の情報通信技術等の高度化に伴い、大量の個人情報を取り扱うビジネス等が生まれておりますが、同時に個人の権利利益が侵害されるリスクも広がっております。また、破産者等情報のインターネット掲載事案や悪質な「名簿屋」事案等、個人情報が不適正に利用される事案も発生しております。
2こうした状況を踏まえ、当委員会として、技術的な動向等を十分に踏まえた個人情報保護法の運用を続けていく必要があると考えております。直近では、本年３月に「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表しました。
また、PPCビジネスサポートデスクでは、幅広い業種の事業者からの相談に応じており、相談件数は年々増加しております。
さらに、先ほど申し上げた「顔識別機能付きカメラシステムの利用について」の公表や委員会に寄せられた御意見等を踏まえ、Q&Aを随時更新しております。
10ページは、公益性の高い分野における直近の状況でございます。公益性の高い分野として、特に健康・医療、教育、防災、こどもといった準公共分野を中心に、各分野における個々の事情や特性等に配慮した政策検討が進んでおり、機微性の高い情報を含む個人情報等の利活用に係るニーズが高まっております。
こうした中、個人情報等の適正な取扱いに関し、当委員会としても関係省庁等が主催する検討会への参加やガイドライン等の策定に当たっての助言等を通じて、政策の企画・立案段階から連携して取組を進めているところでございます。
11ページでございます。ここからは、改正法の施行に関連する国際的な動向について御説明いたします。まず、日EU相互認証の共同レビューに関し、本年４月にレビューが完了するとともに、今後の協力強化、特に、十分性認定の学術研究分野・公的部門への拡大に向けて共同プレスリリースを発出しました。
12ページでございます。本年６月、当委員会は、東京において第３回G7データ保護・プライバシー機関ラウンドテーブル会合を開催いたしました。会合では、DFFT、先端技術及び執行協力の３本柱に基づき議論が行われ、成果文書として「コミュニケ」、「行動計画」、そして「生成AIに関する声明」が採択されました。
資料は以上でございますが、引き続き、改正法の円滑かつ適切な施行及び運用に向けて、事務局としても取り組んでまいりたいと思います。
事務局からの御説明は以上でございます。
○丹野委員長ありがとうございました。

ただいまの御説明につきまして、御質問、御意見をお願いいたします。
小川委員、お願いします。
○小川委員

御説明ありがとうございました。

改正個人情報保護法施行後の最近の状況を鑑みまして、３点ほど意見を申し上げたいと思います。
まず、サービスや技術開発に取り組みやすい環境整備についてです。生成AI技術やクラウドサービスの普及を始め、デジタル技術が飛躍的に進展しており、このような技術やサービスが国境を越えて利活用されることが当たり前になっております。また、高度なデジタル技術を用いることで、個人や事業者の利益のみならず、公益のためにも個人情報が活用されることが可能になっております。そのため、我が国の産業の活性化や国際競争力強3化の観点からも、特に公益性の高い技術やサービスの開発に取り組みやすくなるような制度が望ましいと考えます。
他方で、このような技術が不適正に利用されることで、個人の権利利益が侵害されるリスクも高まっております。顔識別や認証技術等の高度なデジタル技術が普及する中、その使い方は様々であり、中には社会通念上不適正な利用がされているケースも存在しているとみられることから、何をもって不適正な利用とするかを、掘り下げて考えるべきであります。
最後に、こどもの権利利益の保護についてです。昨今、スマートフォンの利用拡大やSNSの普及等によってこどもを取り巻く環境は大きく変化しております。こうした中、こども政策を所管する省庁の取組とは別に、当委員会においても、諸外国の制度や議論の動向を参考にしながら、こどもの権利利益の保護の在り方について、検討していくべきだと思います。
なお、改正法施行後の状況に関しては、デジタル技術の開発者や、サービスの提供者・利用者等の各方面からの意見を聞くことが大切であると思います。
以上です。
○丹野委員長ありがとうございます。

大島委員、お願いいたします。
○大島委員

ありがとうございます。

事務局の今の御説明の中で触れられたところではありますけれども、グローバルCBPRが最近では立ち上がり、当委員会はこれを推進する立場であろうかと思います。加えて、GDPRとグローバルCBPRを結ぶ構造が成立するように働きかけていく態度が大事であると考えます。逆に言うと、そうしたことを進める中で、世界の中で日本の個人情報保護委員会の存在感を発揮し得るのではないかと考えます。これについても引き続き努力していきたいと思います。
以上です。
○丹野委員長ありがとうございます。

浅井委員、お願いします。
○浅井委員

一つ私見をお話しします。

令和２年改正法によって施行されました、漏えい等報告の義務化は、結果として漏えい等件数の増加に結びついておりますが、個人情報等を取り扱う事業者の緊張感を生み出した進歩であると考えています。しかし、多くの漏えい等事案の原因については、サイバー攻撃のような被害を別とすれば、事業体におけるガバナンス体制の欠点が浮き彫りになっています。個人情報保護法の順守という、コンプライアンスへの取組やガバナンス強化といった必要性は、官民の組織の責任として更に強化されなくてはなりません。今後、当委員会としても、個人情報やプライバシーに関する規律に対する認識を醸成するような取組が更に求められるのではないかと思います。
4

その点において、GDPRが義務化している、DPO（Data Protection Officer）が一つのモデルとして参考になりますし、また、利活用という点においても、事業体の組織内にCIO（Chief Information Officer）もしくはCPO（Chief Privacy Officer）といった、同等の専門職の設置を推奨するような制度も効果的ではないかと考えます。
以上です。
○丹野委員長ありがとうございます。

中村委員、お願いします。
○中村委員資料を読み、説明を聞いて、当委員会がこの３年間という短い時間に制度改正を行い日本の個人情報保護制度を拡充し、的確に法を執行し、また、G7ラウンドテーブルで議長国を務め国際的なプレゼンスを高めるなど、中身の濃い活動を行ってきたことを再確認しました。今年から新たな権限も加わり、ここで少し立ち止まり、着実に執行実績を重ねて、その上で次の法改正や今後の委員会活動についてじっくり考えていきたいとこ
ろではありますが、そうは言っていられない状況にあると思います。
サイバー攻撃は絶え間なく巧妙化し、生成AIのような人間に恩恵とリスクを同時にもたらす技術が急速に進展しています。諸外国においてもデータ保護の制度の進化がみられ、アジアにおいても近年GDPRを意識したデータ保護法の成立やアップデートが相次いでいます。世界全体でデータ保護規制の水準が上がっています。このような状況の中で、当委員会も、ここで立ち止まることなく、G7や日本と経済的な結びつきの強いアジア諸国のデー
タ保護制度と調和する方向で、委員会活動や個人情報保護法に更なる磨きをかけていくことが重要であると考えます。
言うまでもなく、データ保護制度はその国固有の経済、社会、法制度などの上に成り立つもので、他国の制度をそのままコピーすれば良いというものではありません。しかしながら、他国との一定程度の制度調和はグローバルに展開する企業のコンプライアンスコストを下げ、DFFTにも資することができます。また、人々の権利や利益をしっかり守る高い水準のデータ保護制度を備え持つ国であるということは、その国で人々が安心して住んだり、訪問したり、ビジネスができる、ということで人やビジネスをその国に惹きつけるという外部経済的なメリットを社会や経済にもたらし得ます。さらに、当委員会がG7やアジアのDPA（Data Protection Authority）との会合や連携を行う際に、国際標準的に高いレベルのデータ保護制度を擁することで、当委員会の発言の重みや存在感の更なる向上に資することもできます。
以上の観点から、G7諸国やアジア主要国のデータ保護制度で一定程度既に採用されている、あるいは今年のG7ラウンドテーブルで活発な議論が行われた、という観点から、個人情報保護法の目的である「個人の権利利益の保護」に資する委員会活動の更なる充実を考えた場合の検討事項の候補として、以下の４点を挙げたいと思います。
１点目は、Cookieの取扱い・保護の在り方についての明確化。２点目は、「信頼できるAI」の構築により明示的に資するための運用の在り方。３点目は、漏えい報告の期限の更5なる明確化・短縮化。４点目は、こどものオンライン上での権利利益の保護についての明確化。
なお、改正法の施行とは異なる観点ですが、EUの制裁金などがあることを踏まえれば、罰則について、将来的に課徴金なども検討し得るのではないかと考えます。
以上です。
○丹野委員長ありがとうございます。

藤原委員、お願いいたします。
○藤原委員

これまでの御意見で議論が見直し関連のお話に移ったようですので、私も少し私見を述べさせていただきたいと思います。
令和５年４月から個人情報保護法制が一元化されて、国・地方・官民に当委員会の所管が及ぶことになったわけですけれども、国・地方を通じて行政機関等におけるデータガバナンスが重要な課題であると思っております。また、民間部門では、生成AIやカメラ技術等の新たな技術に伴うリスクに目配りをすることが必要であると思います。その際、こどもを対象とする保護規定を特だしで置くかどうかも検討していい論点であると考えております。
次に、権利救済の観点からですけれども、必要最低限の取得・収集といった、諸外国でもみられる個人情報保護法制の原則を確認するということが大事であり、さらに、権利救済の実効性、つまり、実効的な権利救済が重要でありますから、例えば、執行においては、個人データの不正利用等の直罰化も検討してしかるべきかと思います。さらに、比較法的な視点からみても、課徴金制度の導入の議論はしてしかるべきであると思っています。また、破産者マップのような特異な事例においてではありますけれども、緊急命令の活用も検討していい事項として挙げておきたいと思います。加えて、団体訴訟的制度であります
が、これは消費者分野では実務的な問題が存在すると言われているわけですけれども、個人の権益保護のための手段を増やすという観点からは検討してよいのではないかと考えます。
最後に同意の問題についてですが、同意については、その実体や在り方について長く議論がされてきたところではありますが、前提は同意があれば何でもよいということではないわけであります。やはり、実体的な権益保護のためには、同意の概念は当事者の従属関係等も考慮して、当委員会として精緻に検討すべきであると考えます。
以上です。
○丹野委員長ありがとうございます。

梶田委員、お願いいたします。
○梶田委員

ありがとうございます。

昨今の個人情報保護法に関わる状況に関しては、各委員方が言われたとおりだと思います。
私として特に気になるところですが、新破産者マップの事案等の不適正な利用・取得に6

対して、厳格な対応をしつつも、企業の個人データの利活用や経済活用を委縮させることがないような方向性を持つことや、ガイドライン作成を含めて、制度の主旨や目的の正確な理解を促すような発信を行うべきと考えています。
以上です。
○丹野委員長ありがとうございます。

高村委員、お願いいたします。
○高村委員

他の委員の意見と重複する部分もありますが、５点ほど意見を申し上げさせていただきます。
第１は、不適正な利用の禁止についてです。違法又は不当な行為を助長し、又は誘発するおそれがある方法による個人情報の利用を禁止したことによって、この観点から、破産者マップ等に対する対応が可能となりました。抽象的な表現で禁止行為が規定されているため、今後禁止行為に該当するか否かを慎重に判断しなくてはならない事案が発生する可能性はありますが、必要な対応が遅れた場合、それだけ個人の権利利益が侵害されますから、禁止規定をより実効的に実現する対策について検討する必要があると考えます。
第２は、漏えい等の報告についてです。漏えい等報告が義務化されたことによって、漏えい等の実態がより明らかになりつつありますが、日常的に漏えい等の事案が発生している状況をみると、漏えい等の防止のための効果的な対策を更に検討する必要があると考えます。
第３は、令和３年改正法による個人情報保護法制の一元化についてです。法律は一本化されましたが、官と民のそれぞれの分野の性質の違いから個人情報の提供等の規律には異なる点があります。このため、両者の間で個人情報の提供が相互に必要な場合に、個人情報の保護を前提として、効果的な個人情報の共有が可能な規律になっているかを検討する必要があると考えます。例えば、家庭内の虐待の事案においては、被虐待者又はその疑いがある者を迅速に保護するため、自治体と民間の事業者の間で情報連携する必要がある場
合が少なくありませんが、このような場合に、被虐待者等の保護に必要な範囲で効果的な個人情報の共有が可能な規律になっているか、検討する必要があると考えます。ただし、この点については、個人情報保護法だけで対応すべきか、各種の虐待防止法で対応すべきかについて検討する必要があると考えます。
第４は、犯罪者グループが詐欺又は強盗等の犯罪のために個人情報を悪用する事案についてです。個人情報保護法単独の対応には限界がありますが、個人情報が流通・悪用されていることは事実でありますから、個人情報の保護を通じた同種事案の抑止の可能性を検討する必要があると考えます。
最後に、生成AIについてです。こちらも、個人情報保護法単独の対応には限界がありますが、現行の個人情報保護法で対応が困難な問題がないかについて、検討する必要があると考えます。
以上です。
7○丹野委員長

ありがとうございます。

各委員から御意見をいただきましたが、ほかに追加の御意見はございますでしょうか。
よろしいでしょうか。
それでは、本日の委員会では、議題１として令和２年・３年改正法の施行状況について事務局から説明いただき、また、各委員から様々な論点について言及いただいたところでありますが、それに加えて私からも、令和３年改正法の観点から発言させていただきたいと思います。
行政機関個人情報保護法においては、第三者による執行権限が規定されておりませんでしたが、令和３年改正法の施行により、行政機関等に対しても第三者機関としての個人情報保護委員会の執行権限が及ぶこととなりました。そして地方公共団体を含めた行政機関等においては、対象とされる方々の個々のニーズを踏まえたきめ細やかな行政サービスの提供が期待されており、その中で個人情報等の重要性が高まってきております。
例えば、今日の資料の10ページの例で申し上げますと、教育について言えば、それぞれのこどもに応じた適切な教育の在り方を議論する際に、習熟度や得意教科・苦手教科、または、家庭環境等の事情など様々な個人情報の利用を検討することは容易に想像されます。
その他、健康・医療、防災、こどもをはじめ、その他の準公共分野においても同様であります。
当委員会としては、こうした状況を一般論としては理解する一方で、当然ながら安易な利用を認めることはできません。各行政機関等において、それが政策目的の達成のために真に必要な情報か否かの精査、加えて、実際に発生している漏えい事案を踏まえた実質的な安全管理の実施等の適切な取扱いがなされることが不可欠であります。それらを確保する観点から、各行政機関等との連携の在り方等を検討していく必要があるものと考えます。
事務局には、本日委員から指摘のあった内容を精査しながら、引き続き改正法の運用をお願いしたいと思います。また、今回の報告に加え、漏えい等事案の直近の動向や、令和２年・３年改正法に基づく執行の現況について報告を頂きたいと思います。その際には本日同様、委員の皆様からは、当委員会として議論すべき論点について御検討いただきたいと考えております。
それでは、本件についての議論はこれで一旦終了します。事務局においては、引き続き検討を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については、準備が整い次第、委員会ホームページで公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。次の議題は、監視・監督関係者以外の方は御退席願います。
（監視・監督関係者以外退室）
8

○丹野委員長

それでは、議題２「監視・監督について」、事務局から説明をお願いいたします。
（内容について非公表）○丹野委員長

本日の議題は以上でございます。

それでは、本日の会議はこれで閉会といたします。

9