個人情報保護委員会（第２７５回）議事概要
１ 日時：令和６年３月６日（水）１４：００～

２ 場

所：個人情報保護委員会

委員会室

３ 出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、梶田委員、髙村委員、小笠原委員
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官
４ 議事の概要（１）議題１：いわゆる３年ごと見直し

個人の権利利益のより実質的な保護の在り方①について事務局から、資料に基づき説明を行った。
小川委員から「３年ごと見直しに関して、現時点では、業界団体などからのヒアリングを踏まえ、検討項目を整理したところ、今後、より具体的な内容についての議論を深めていくと認識しているが、今後の議論に際して、まずは私の基本的な考え方を四つほどお伝えしたい。
一つ目に、日本の社会・経済・産業は、情報化・デジタル化の進展を踏まえて、今後とも高度化しながら発展していくものと考えている。その際、個人情報の取扱いが極めて重要な役割を果たすが、この発展を阻害するような取扱い、例えば、特殊詐欺やフィッシングなどについては、個人情報の扱いを厳しく規律すべきであり、かつ、違反した者を厳しく罰すべきである。
二つ目に、一つ目とは逆に、犯罪を予防する際に個人情報を取り扱う場合については、社会の発展を促進する取組であり、発展を阻害するものとは逆の対応として、個人情報の柔軟な取扱いを認めるべきではないか、と考えている。
三つ目に、新しい技術について、現状の生成 AI に見られるように、技術革新の行方を確実に予想することは困難かと思う。そのため、これらについては、安易に規制して、技術の進展を阻害することは避けるべきではないか。
四つ目に、個人の権利利益の保護の観点から、そもそも、事業者や行政機関等が個人の権利利益を侵害するような形で個人情報を取り扱わないことが重要だと考える。もちろん、公的な規律が必要な場合もあるが、一方で、自主的な取組を促進する方が有効な場合もあると思う。そのため、海外の法令を参考にして、同様の規制を単純に取り入れるのではなく、事業者等が現実に則して適正に個人情報を取り扱うための有効な方策を幅広い選択肢から十分に検討すべき。
今回の検討項目については、コメントが２点。
まず、不適正利用・不適正取得については、先ほど申し上げた『阻害する取扱い』の代表的なものであり、今回御説明いただいた判例などを参考にして明確化することは重要である。加えて、そのような取扱いが無いよう、監視・監督をしっかりと行い、その実効性を確保する必要がある。
次に、生体データや個人関連情報などについては、個人の権利利益の保護の観点で重要な要素と理解しているが、その一方で、これまでのヒアリングでも、新たな定義を追加することには慎重な意見も多かったものと認識している。犯罪予防などの取組が適切に行われるとともに、事業者の自主的な取組を促進するような現実的な方策をよく検討していただきたい」旨の発言があった。
浅井委員から「代替困難な事業者への規律の在り方に関して、プラットフ
ォーマーなどの事業者に対する海外の執行事例に見られるように、特に代替困難な事業者については、同意の有効性に問題が内在しているように思う。同意の典型的な方法として、オンラインでチェックボックスをクリックさせるといった同意の取り方が典型的であるが、選択オプションの外形は取られていても、慣行的に形骸化している場合や、本人には分かりにくく実際は選択が限定的な場合も見受けられると思う。GDPR では、同意の撤回も規定されている。効力について、期間性も含めた規律の在り方について検討が必要ではないか。なお、これらの同意に内在する問題は、代替困難な事業者にとどまらないと考えられ、より広い観点から検討いただきたい」旨の意見があった。
清水委員から「３年ごと見直しは、その趣旨として、国際的な動向や情報通信技術の発展を踏まえたものであり、それを考えると、通信技術の飛躍的な発展に対応するためにはできるだけ大きなフレームワークを示す、原則主義に基づくこと、つまり細則主義に偏らないことだと考える。
もう一つは、国際標準への収れんを目指すべきである。日本独自のローカ
ルルールはあって良いと思うが、その場合は世界と違うための理由があってしかるべきで、合理的な理由がなければ国際標準に合わせるべき。具体的には、個人的な考えとして、定義は統一されていた方が良いと考える。
また、国際標準への収れんという意味では、リスクベースに基づくアプローチを採用すること、つまり、事業者が、自らのデータ処理に伴うリスクを判断して、それに見合った対応策をとっていくというアプローチの採用が必要ではないか。
これらは関係団体ヒアリングでも出た意見で、そういう立場で見ると、今回の各論のうち生体データに関する論点については、第三の類型を設けず、要配慮個人情報に含める、あるいは、それと同等の扱いをするのが適切ではないか。これにより、グローバルな考え方、あるいは、金融分野における個人情報保護に関するガイドラインとの整合性を取ることにつながる。生体データは、GDPR ではセンシティブデータとしての扱いとなっている。同じ

センシティブデータの中でも遺伝子情報については、個人情報の保護に関する法律についてのガイドライン（通則編）で、要配慮個人情報に含まれるものもあるとされているが、生体データに関しては十分性評価においては現行法上カバーされているとされ、補完的ルールには入っていない。そういった意味ではこの点は少し曖昧で、この機会に要配慮個人情報に含める、あるいはそれと同様の扱いにすることが適当と考える」という旨の発言があった。
藤原委員長から「検討の大前提として２点あり、一つ目は、個人情報保護法制は法制度であり、法も文化である以上は我が国固有の制度として構築される必要があるのは当然であるものの、他方、個人情報保護法制は国際的に普遍的な価値を持つ部分も多いので、国際的な観点も捉える必要がある。
二つ目は、個人情報及びプライバシーの保護を個人情報保護法制は目指すべきものであるが、他方、社会経済のための利活用という側面もあり、この二つの側面のバランスを慎重に取る必要がある。
それを踏まえ、個人的な考えをお示しする。
まず、生体データの取扱いについて、当委員会では、顔識別機能付きカメラシステムの利用に関し、昨年３月に文書を公表し、個人情報保護法上留意すべき事項、特に法律で求められた内容に加え実施することが望ましい事項についても取りまとめたところであるが、生体データ一般について、取得や利用目的などに係る規律について、諸外国における法制度なども参考にしつつ、今日の社会における実効性ある規律となるように、さらに検討を深めるべきである。
その際には、関係団体からのヒアリングにおいて、個人情報等の情報区分が多く、関係性も複雑化しているとの意見があったことや、本日、小川委員及び清水委員からも意見があったように、定義を新たに設けることについて、定義が EU 等では統一されていることを踏まえた議論も必要ではないか。
二つ目に、代替困難な個人情報取扱事業者による個人情報の取扱いについては、本人との関係・取得の状況に照らして認められるべき利用目的以外の利用目的で、個人情報を取得・利用することを制限することの必要性などについて、諸外国における執行事例なども参考にしつつ、継続して検討すべきである。本日、浅井委員から意見があったように、同意について、GDPR には踏み込んだ規律があるし、実務では実際には形骸化している場合があるのではないか、といった意見も踏まえることが重要ではないか。
三つ目に、不適正利用、不適正取得については、事業者による予測可能性を高める観点からの検討を行っていくことが適当である。その際、本日、事務局から国内の裁判例等の紹介もあったが、民法上の不法行為に該当するような事例をどこまで幅広く個人情報保護法上の規制対象とするのかという点を踏まえて検討すべきではないか。

個人関連情報については、個人の権利利益の侵害を防止する観点から、個人関連情報の取扱いの適正性に係る規律はどうあるべきか、また、例えば、特定の個人への連絡・接触が可能な個人関連情報等は、その取扱いにより特定の個人の権利利益が侵害されるおそれが高く、要保護性が高いといえるのではないか、といった点などについて検討を深めていくべきである。今後有識者からのヒアリングを行い、これらの論点を深掘りしていくわけだが、ただいま申し上げたことも踏まえて検討いただきたい」旨の発言があった。
（２）議題２：医療分野の研究開発に資するための匿名加工医療情報に関する法律に基づく主務省令の変更の協議について事務局から、資料に基づき説明を行った。
小川委員から「認定仮名加工医療情報利用事業者について、国が、入口に当たる認定審査を厳格に行う一方で、認定後に仮名加工医療情報の適切な取扱いが確保されていることを確認しないこととなれば、制度が適切に運用されないおそれがある。
このため、仮名加工医療情報について適切な取扱いが行われるよう、認定仮名加工医療情報作成事業者が提供先の認定仮名加工医療情報利用事業者に対して必要かつ適切な監督を行っていることを主務大臣が定期的に確認することが重要である。
資料２－２の協議回答案の意見にあるように、主務大臣においては、当該確認を適切に実施していただきたい」旨の発言があった。
原案のとおり、決定することとなった。
（３）議題３：「行政手続における特定の個人を識別するための番号の利用等に関する法律第 19 条第 17 号に基づき同条第 15 号に準ずるものとして定める特定個人情報の提供に関する規則の一部を改正する規則（案）」に関する意見募集の結果について事務局から、資料に基づき説明を行った。
原案のとおり、決定することとなった。
（４）議題４：令和４年度施行状況調査（令和５年度実施）の結果について事務局から、資料に基づき説明を行った。
原案のとおり、決定することとなった。
（５）議題５：令和６年度

個人情報保護委員会における監視・監督方針について事務局から、資料に基づき説明を行った。
清水委員から「マイナンバー法に係る監視・監督の方針のところに記載されているが、特定個人情報保護評価書に記載された内容等を基に検査を行っていくことになる。私たちは事前に保護評価書を審査しており、それが評価書どおりにできているかという観点も重要であるが、評価書どおりにできているが問題が発生した、あるいは、評価書に記載されていないポイント・論点で問題が発生したということも考えられる。事前にやっている保護評価を実効的に行うためにも、検査の結果をフィードバックいただき、事前の審査にも役立てていただきたい」旨の発言があった。
髙村委員から「広報・啓発について意見を申し上げる。これまでの取組に加えて、来年度は、行政機関等の担当者を対象とした研修や、教育委員会等も含めた研修が実施されるということで、安全管理措置の底上げによる漏えい等の未然の防止にもつながり有益であると思う。今後、自治体等ともより連携して、様々なチャンネルを活用した広報・啓発を行ってほしい。例えば、介護保険の分野では、都道府県または市町村が年１回以上、介護保険施設等を集めるなどして講習等の方法による集団指導を実施することになっているようなので、都道府県または市町村と連携してそのような機会をとらえて情報提供等を行うことも考えられる。このような点についても、今後検討いただきたい」旨の発言があった。
原案のとおり、決定することとなった。
（６）議題６：令和６年度

実地調査及び立入検査計画について事務局から、資料に基づき説明を行った。
原案のとおり、決定することとなった。
（７）議題７：一般送配電事業者及び関係小売電気事業者による新電力顧客の個人情報の不適切な取扱い事案における再発防止策の実施状況及び全社的総点検の結果について事務局から、資料に基づき説明を行った。
原案のとおり、決定することとなった。
なお、本議題については、事案の社会的な影響を勘案し、配布の公表資料と当該資料に係る議事録、議事概要の部分を公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については非公表とすることとなった。
（８）議題８：資源エネルギー庁が保有する「再生可能エネルギー業務管理システム」内の保有個人情報の漏えい等事案における再発防止策の実施状況について事務局から、資料に基づき説明を行った。
藤原委員長から「一般送配電事業者、関係小売電気事業者及び資源エネルギー庁においては、昨年６月の当委員会からの指導を踏まえ、個別指導事項に対する改善措置に一定の取組が認められたこと、また、全社的総点検を行ったことは、顧客の個人情報保護の観点から評価して良いのではないかと思う。他方、一部の電気事業者においては全社的総点検において不適切な事業が見られた。これらについては、電気事業者自らが発見し改善措置が概ね講じられているところであるが、電気事業者が保有する個人情報は膨大なものであることから、個人情報の適切な管理について不断の取組が求められ、今後もその推移を注視していくことが必要と考える」旨の発言があった。
原案のとおり、決定することとなった。
なお、本議題については、事案の社会的な影響を勘案し、配布の公表資料と当該資料に係る議事録、議事概要の部分を公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については非公表とすることとなった。
（９）議題９：監視・監督について※内容について非公表
以上