資料１－２
令和６年度 個人情報保護委員会活動方針（案）
令和６年３月日
個人情報保護委員会
個人情報保護委員会（以下「委員会」という。）は、個人情報の保護に関する法律（平成 15年法律第 57 号。以下「個人情報保護法」という。）第 131 条に規定された任務を果たすため、
個人情報保護法及び行政手続における特定の個人を識別するための番号の利用等に関する法
律（平成 25 年法律第 27 号。以下「マイナンバー法」という。）に基づき、個人情報（特定個
人情報を含む。）の適正な取扱いが確保されるよう、法の正しい理解の促進を図るとともに、法令及びガイドライン等の遵守状況を適切に監視・監督するなどの活動を行っている。
令和６年度において、委員会が、個人情報保護制度の司令塔として、個人情報保護制度に係る政策の総合調整や監視・監督の役割を適切に果たすことにより、個人の権利利益を保護し、ひいては国民の安心・安全が確保されるよう、委員会が取り組むべき活動について整理するとともに、国民から信頼される委員会を目指して、当該活動の方向性を広く国民に示すため、本方針を定めるものである。

1

目次
Ⅰ．基本的な考え方---------------------------------------------------------------3
１．個人情報保護法関係 -------------------------------------------------------- 3
２．マイナンバー法関係 -------------------------------------------------------- 3
３．国際協力 ------------------------------------------------------------------ 3
Ⅱ．具体的な取組-----------------------------------------------------------------4
１．個人情報保護法関係 -------------------------------------------------------- 4（１）いわゆる３年ごと見直し規定に基づく検討 ................................ 4（２）令和３年改正法の円滑かつ適切な施行及び運用に関する取組 ................ 4（３）監視・監督活動 ........................................................ 5（４）個人情報等の利活用 .................................................... 6
２．マイナンバー法関係 -------------------------------------------------------- 7（１）行政手続における特定の個人を識別するための番号の利用等に関する法律等の一部を改正する法律の一部施行を踏まえた取組.................................. 7（２）監視・監督活動 ........................................................ 7（３）その他の監督活動について .............................................. 7（４）保護評価 .............................................................. 8（５）独自利用事務の情報連携 ................................................ 9
３．国際協力 ------------------------------------------------------------------ 9（１）個人情報を安全・円滑に越境移転できる国際環境の構築 .................... 9（２）執行協力を含む関係各国及び地域との国際的な協力関係の強化及び構築 ...... 9（３）国際動向の把握と情報発信 .............................................. 9（４）国際業務体制の基盤強化及び国際業務に従事する職員の人材育成 ........... 10
４．共通事項 ----------------------------------------------------------------- 10（１）個別の政策分野における関係府省との連携 ............................... 10（２）国民からの相談・苦情等への対応 ....................................... 10（３）広報・啓発活動 ....................................................... 10（４）人材の育成・確保 ..................................................... 11（別添１）個人情報保護委員会の国際戦略 ------------------------------------------13（別添２）令和６年度 個人情報保護委員会における監視・監督方針 ------------------172

Ⅰ．基本的な考え方
１．個人情報保護法関係
デジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第 37 号）
による個人情報保護法の改正等（以下「令和３年改正法」という。）の全面施行により、委員会は、民間部門及び公的部門について一元的に個人情報の保護に関する制度を所管するものとなったところ、当該制度に基づき、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等も踏まえ、必要に応じて個人情報等に関する国の政策の企画立案を行う。
さらに、事業者及び行政機関等（行政機関、独立行政法人等、地方公共団体の機関及び地
方独立行政法人をいう。以下同じ。）における個人情報等の取扱いに係る監視・監督権限を一元的に所掌する委員会として、個人情報等の適正な取扱いを確保するため、国内外の事業者に対して適切かつ効果的・効率的な監督を行うとともに、行政機関等に対し積極的な調査を行い効果的・効率的な監視を行う。また、事業者及び行政機関等に対し、安全管理措置等に関する周知広報に積極的に取り組む（別添２「令和６年度 個人情報保護委員会における監視・監督方針」参照）。
２．マイナンバー法関係
行政機関等及び事業者における特定個人情報の取扱いに係る監視・監督権限を一元的に所掌する委員会として、特定個人情報の適正な取扱いを確保するため、適切かつ効果的・効率的な監視・監督を行う。
また、必要に応じてガイドライン等の改正を行うとともに、周知広報に積極的に取り組む（別添２「令和６年度 個人情報保護委員会における監視・監督方針」参照）。
特定個人情報保護評価（以下「保護評価」という。）については、引き続きマイナンバー
法の趣旨と規定に則った運用を行う。
また、令和５年度には、同法第 27 条第２項の規定に基づく特定個人情報保護評価指針（平成 26 年特定個人情報保護委員会告示第４号。以下「評価指針」という。）の再検討を行い、特定個人情報保護評価に関する規則（平成 26 年特定個人情報保護委員会規則第１号。以下「評価規則」という。）及び評価指針を改正した。
独自利用事務の情報連携については、地方公共団体のニーズを踏まえ、令和５年度に行政手続における特定の個人を識別するための番号の利用等に関する法律第 19 条第９号に基づく特定個人情報の提供に関する規則（平成 28 年個人情報保護委員会規則第５号）
を改正し、法定事務と独自利用事務の対象者が一致しない場合であっても、独自利用事務の対象者が法定事務の趣旨又は目的を達成するに当たって密接な関連性があるものとして客観的に認められる場合には情報連携を可能とするなど活用促進に資する取組を行ってきた。今後とも地方公共団体においてより一層活用されるよう、こうした取組を積極的に行う。
３．国際協力デジタル社会の進展に伴い、個人情報を含むデータの円滑な越境流通の重要性が更に増す中、我が国は政府一丸となって、ＤＦＦＴ（Data Free Flow with Trust：信頼性のある3

自由なデータ流通）を推進している。特に、個人情報保護及びプライバシーの分野におけるＤＦＦＴの推進及び具体化については、日本では、委員会が中心となって取り組んでいる。
そうした中、委員会は、令和５年度に「第３回Ｇ７データ保護・プライバシー機関ラウン
ドテーブル会合」において議長国を務め、Ｇ７各国のデータ保護・プライバシー機関の委員
長級とＤＦＦＴ、先端技術及び執行協力の議論を行った。その成果文書として、コミュニケ
及び行動計画が採択されている。
特に先端技術については、生成ＡＩの急速な開発及び普及を受け、個人情報保護及びプラ
イバシーへのリスクに対する懸念が急速に高まったことを背景に、信頼性の確保が先端技術の拡大及び利用の基本になるとの認識の下、委員会が上記ラウンドテーブルにおいて議論を取りまとめ、追加の成果文書である「生成ＡＩに関する声明」が採択された。同声明は国際的に影響を与え、例えば、令和５年 10 月の世界プライバシー会議（ＧＰＡ: Global
Privacy Assembly）において、同声明が歓迎され、その内容をＧ７の枠を越えて広く世界に向けて発信する「生成ＡＩシステムに関する決議」の採択へと繋がった。
令和６年度も引き続き、排他的なアプローチには与せず、関係各国及び地域の多様な個人情報保護制度や国際枠組みを尊重しながら、相互運用性のある国際環境の実現を目指す（別添１「個人情報保護委員会の国際戦略」参照）。
Ⅱ．具体的な取組
１．個人情報保護法関係（１）いわゆる３年ごと見直し規定に基づく検討
個人情報の保護に関する法律等の一部を改正する法律（令和２年法律第 44 号。以下「令和２年改正法」という。）附則第 10 条において、政府は、この法律の施行後３年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとされている（いわゆる３年ごと見直し）。
当該規定に基づき、令和５年 11 月 15 日に開催された第 261 回個人情報保護委員会及び令和６年２月 21 日に開催された第 273 回個人情報保護委員会において、いわゆる３年ごと見直しに係る「検討の方向性」及び「検討項目」を提示したところであり、これらを踏まえ、関係団体や有識者等の幅広いステークホルダーの意見を聴きながら、必要な措置について検討を行う。
（２）令和３年改正法の円滑かつ適切な施行及び運用に関する取組
令和３年改正法は、個人情報保護法、行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）、独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）の３本の法律を１本の法律として個人情報保護法に統合するとともに、地方公共団体の機関及び地方独立行政法人（以下「地方公共団体等」という。）の個人情報保護制度についても統合後の同法において全国的な共通ルールを規定し、全体の所管を委員会に一元化することや、学術研究に係る適用除外規定について、一律の適用
4除外ではなく、同法の規律を適用した上で、義務ごとの例外規定として精緻化すること等を内容とするものである。
令和５年４月に全面施行された令和３年改正法の円滑かつ適切な施行及び運用のため、
公的部門に係る規律や官民を通じた医療・学術研究分野の個人情報等の取扱いに係る規律について、これらの主体において個人情報の適正な取扱いが確保されるよう、引き続き、各主体に対する助言や照会への回答、地方公共団体の機関の実務に即した研修の実施等
を通じ、幅広い支援を行っていく。
（３）監視・監督活動① 監視・監督活動
個人データ及び保有個人情報の漏えい等事案の報告に対しては、各事案について効果
的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう
機動的に必要な指導・助言、勧告等の法執行を行う。そのほか、個人情報保護法に関する総合的な案内所（個人情報保護法相談ダイヤル）に寄せられる情報その他の情報を総合的に活用し、こうした日常的な監視等により発覚した個人データ及び保有個人情報の不適切な取扱事案について、事業者及び行政機関等に対して指導・助言及び勧告を行うほか、必要に応じて報告徴収及び立入検査又は資料の提出の求め及び実地調査を行う。勧告に従った個人情報等の取扱いの是正がなされていない事業者に対しては、必要に応じ命令を行うなど、適時適切な法執行を行う。
また、これらの監視・監督活動により、特定の分野や特定の類型などにおける漏えい等事案が確認された場合等には、必要に応じて当該対象（関連する事業者、業界、団体等）に向けた注意喚起等を行う。
行政機関等は、民間部門と異なり、法令等により個人情報等を取得する権限を有し、また、保有する個人情報が多大となり得ることから、透明性と信頼性の確保が特に重要であることを踏まえ、上記に加え、以下の調査を行う。
行政機関等に対しては、委員会において議決した調査計画に基づき、調査対象機関を選定して計画的な実地調査を行う。調査の実施に当たっては、マイナンバー法の規定に基づ
く立入検査と一体的に行う等、効果的かつ効率的に実施していく。
また、全ての行政機関等に対し施行状況調査を実施し、安全管理措置の実施状況を含め個人情報等の取扱い状況に関する基礎的な情報を把握し、その概要を公表する。
これらの調査により、委員会は、個人情報保護法及び委員会が公表している各種ガイド
ライン等に照らし、不適切又は違法な個人情報等の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言、勧告等を行う。
それぞれの取組の詳細については、別添２「令和６年度 個人情報保護委員会における監視・監督方針」参照。
② 執行協力に関する取組
個人情報等を含むデータの国境を越えた流通が増大しており、国内にある者に対してサービスを提供する外国所在の事業者からの漏えい等事案の報告も相当数あることから、
当該事業者における個人情報等の適正な取扱いを確保する必要がある。このため、委員会
5

も正式メンバーとして参加している国際的な執行協力の枠組みであるグローバルプライ
バシー執行ネットワーク（ＧＰＥＮ）の活動に積極的に貢献するとともに、外国執行当局との個別の連携を事務レベルで強固にすることで、執行協力における経験・知見をさらに蓄積し、執行協力の体制強化を図ることにより、外国の事業者に対する確実な執行を目指す。
③ 効果的な監視・監督のための体制整備
個人情報の漏えい等をもたらすサイバー攻撃等の不正アクセスの手法は多岐にわたっており、適切かつ迅速な対応を可能とするため、令和５年度に続きサイバーセキュリティを専門とする事業者との間でアドバイザリ契約を締結し、サイバーセキュリティに係る事案の分析等の支援を依頼するとともに、サイバーセキュリティに関する職員の知見のかん養を図る。
サイバーセキュリティ関係省庁・機関との間で個人情報保護法サイバーセキュリティ
連携会議を開催する。また、これらの関係省庁・機関との間で認識を共有した連携の仕組
み（令和４年度に覚書等を締結・共有）に基づき、平時においては、教育研修、広報周知、必要な情報共有等の連携を行うとともに、不正アクセスによる漏えい等事案の報告等があった場合においては、必要に応じて、共同で事実確認や対処を行うなど、緊密に連携して対応していく。
（４）個人情報等の利活用① 個人情報等の適正かつ効果的な活用の促進
ＰＰＣビジネスサポートデスクにおいて、事業者等から寄せられる法解釈の相談に適切に対応するとともに、個人情報等の適正な利活用方法について、積極的に情報発信し、個人の権利利益の保護の要請と事業者における個人情報等の利活用の要請の両立を図る。
また、相談対応等を通じて得られた知見をガイドライン、Ｑ＆Ａ及び事例紹介の形で一般化し、委員会ウェブサイト等を通じて広く周知することで、事業者等における個人情報等の適正な利活用に関する理解の促進を図る。
② 認定団体に関する取組
認定個人情報保護団体（以下「認定団体」という。）による自主的取組を支援するため、認定団体連絡会の開催や各認定団体との意見交換等を通じて、自主ルールの策定等認定団体の役割・機能の強化につながるような情報提供や指導、助言等を継続的に行う。
また、令和２年改正法等の内容の周知徹底や認定団体制度についての理解の更なる深化のために、対象事業者向け実務研修会等を積極的に開催する。
さらに、令和２年改正法で創設された特定分野型認定団体制度の活用推奨や、まだ認定団体が存在しない分野・業界への働きかけ等、認定団体制度の一層の認知度向上のために、認定を希望する団体からの相談対応等に取り組む。
③ 民間分野における自主的取組の推進
民間分野における個人情報の適正な取扱いに関する自主的取組を促すため、令和５年
6度に公表した「個人データの取扱いに関する責任者・責任部署の設置に関する事例集」等の周知を行う等により、事業者の理解や意識の向上を図る。
２．マイナンバー法関係（１）行政手続における特定の個人を識別するための番号の利用等に関する法律等の一部を改正する法律の一部施行を踏まえた取組
令和５年６月９日に公布された行政手続における特定の個人を識別するための番号の利用等に関する法律等の一部を改正する法律（令和５年法律第 48 号）の一部施行に伴い、法律でマイナンバーの利用が認められている事務に準ずる事務についても、マイナンバーの利用が可能となる。
上記の改正内容を踏まえ、特定個人情報の適正な取扱いに関するガイドラインの改正を行うとともに、特定個人情報等の適正な取扱いが確保されるよう、引き続き積極的な監視・監督活動や保護評価制度の運用を実施していく。
（２）監視・監督活動
マイナンバー苦情あっせん相談窓口等に寄せられる通報、メディア報道等による各種の情報、保護評価書等を基に、平時においてマイナンバー法の遵守状況を確認するとともに、それらの日常的な監視等により発覚した特定個人情報の不適切な取扱事案や漏えい等事案の報告等があった場合においては、各事案について効果的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう機動的に必要な指導・助言、
報告徴収・立入検査等の法執行を行うほか、必要に応じて注意喚起等を行う。
加えて、上記の事案が発生しないよう、行政機関、独立行政法人等に対しては、マイナ
ンバー法の規定に基づき、保有する特定個人情報ファイル（個人番号関係事務に係るもの等を除く。）に記録された特定個人情報の取扱い状況や安全管理措置の実施状況について、委員会において議決した検査計画に基づき、検査対象機関を選定して定期的な検査を行う。
地方公共団体等に対しては、委員会において議決した検査計画に基づき、過去の漏えい等事案の有無やその規模、過去の立入検査の結果、定期的な報告の結果等のリスク評価に有用な情報を分析し、優先度付けした上で、その中から、個人情報保護法の規定に基づく実地調査との一体性や実地訪問の効率性、地域バランス等も加味して立入検査を行う。
また、特定個人情報ファイルを保有する地方公共団体等から、マイナンバー法の規定に基づく定期的な報告を受け、特定個人情報の取扱い状況及び安全管理措置の実施状況を把握する。
これらの検査・調査により、マイナンバー法及びガイドライン等に照らし、不適切又は違法な特定個人情報の取扱いを確認した場合、機動的に必要な指導・助言等を行う。
それぞれの取組の詳細については、別添２「令和６年度 個人情報保護委員会における監視・監督方針」参照。
（３）その他の監督活動について
サイバーセキュリティ関係省庁・機関との間で、特定個人情報セキュリティ関係省庁等
7

連絡協議会を開催する。また、これらの関係機関との間で認識を共有した連携の仕組み（令和４年度に覚書等を締結・共有）に基づき、平時においては、教育研修、広報周知、必要な情報共有等の連携を行うとともに、不正アクセスによる漏えい等事案の報告等があった場合においては、必要に応じて、共同で事実確認や対処を行うなど、緊密に連携して対応していく。
また、情報提供ネットワークシステムを使用した特定個人情報の情報連携について、監視・監督システムにより、不適切な情報連携が行われていないか監視を行う。また、不適切な情報連携の早期発見と抑止を図るため、分析手法の継続的な検証、修正及び改善を図る。
（４）保護評価① 全項目評価書の審査及び承認
令和６年度においても、引き続き、マイナンバー法第 28 条、評価規則及び評価指針に基づき、委員会に提出された行政機関の長等（地方公共団体等を除く。）の全項目評価書について、評価指針に定める実施手続等に適合した保護評価を実施しているか、記載されたリスクを軽減させるための措置等が国民の信頼の確保等の保護評価の目的に照らし妥
当か、という観点から審査及び承認を行う。
② 評価指針の見直し
令和５年度には、マイナンバー法第 27 条第２項の規定に基づき、評価指針の再検討を行い、マイナンバー制度全体のリスク対策の底上げを促すとともに、人為的ミスに関する対策を強化する観点から、基礎項目評価書の様式に項目を新規追加する等の改正を行った。改正後の評価指針等は、令和６年３月 22 日に公表され、令和６年 10 月１日に全面施行される（なお、令和８年３月末までの間は経過措置を設けている。）。改正後の評価指針等が円滑に施行されるよう、評価実施機関に対する説明会を開催するとともに、引き続き、助言等を通じて、評価実施機関に十分な検討・対応を促すための支援を行っていく。
③ 地方公共団体の基幹業務システムの統一・標準化に向けた対応
地方公共団体の基幹業務システムの統一・標準化を踏まえ、リスク対策の見直しが必要となること等について、特定個人情報保護評価指針の解説（平成 26 年４月 20 日個人情報保護委員会、令和６年４月１日最終改正）において解説を追加した。②の新様式への移行と合わせ、関係機関と連携しつつ、円滑に保護評価が実施されるよう取り組んでいく。
④ 地方公共団体等における保護評価制度の適切な運用の確保
評価規則第９条第２項の規定（緊急時の事後評価）の適用対象となり得るものと整理された事務についても、保護評価が着実に実施されるよう評価実施機関へ働きかけ、必要に応じて指導・助言等を行う。
また、国民の懸念が大きい「特定個人情報に関する重大事故」の発生があった地方公共団体等における保護評価書の重点的な精査等により、リスクが高いと考えられる事務やプロセスに係るリスク対策について、周知や助言を行うことを通じて、評価実施機関にお8

けるリスク対策の向上を図っていく。
委員会による地方公共団体等への立入検査の事前に、保護評価書に記載された内容を基に検査観点を整理することにより、効果的に特定個人情報の管理状況を調査し、また、必要に応じて保護評価書の見直しを促すことで、評価実施機関におけるリスク評価・検証の精度向上を図る。
（５）独自利用事務の情報連携
地方公共団体における情報連携の更なる活用を進めるために、添付書類の削減による利便性の向上や地方公共団体における業務の効率化・合理化というマイナンバー制度のメリットを広く周知していく。
また、地方公共団体が効率的に独自利用事務の情報連携に係る届出を行えるようにするために、独自利用事務システムの円滑な運用を図るとともに、引き続き事務の効率化を図っていく。
そのほか、地方公共団体の要望を踏まえ、情報連携の対象となる独自利用事務の事例の追加を検討する、届出が多い事例一覧や届出手順を示すこと等、独自利用事務の情報連携の活用促進のために様々な方策を講ずる。
３．国際協力（１）個人情報を安全・円滑に越境移転できる国際環境の構築
委員会は、ＤＦＦＴの推進及び具体化のため、事業者が個人情報を安全かつ円滑に越境移転することを支援し、また、そのニーズ等に応じて複数の選択肢から最適な越境移転ス
キームを選ぶことができる国際環境の構築を推進していく。同時に、グローバル規模の越境データ移転ツールの開発を目指し、グローバルスタンダードの形成に取り組む。
具体的には、①相互認証（我が国と実質的に同等の水準にあると認められる個人情報保護制度を有する関係各国及び地域との相互の円滑な個人データ移転枠組み）の枠組みの更なる発展、②国際的な企業認証制度の普及促進、③グローバルなモデル契約条項の導入
及び④個人情報保護を取り巻くリスクへの対応の４点を優先的に推進していく。
（２）執行協力を含む関係各国及び地域との国際的な協力関係の強化及び構築
関係各国及び地域との枠組みにおいて、個人情報保護に関する法制度及び執行状況に関する情報交換並びに協力関係の強化に関する議論等を行うことで、グローバルな政策立案の議論に参画するとともに、国境を越えた執行協力体制を強化する。また、事業者による越境事業活動の展開や同データ移転の増加に対応するため、二国間及び地域間協力
関係の強化及び構築を進めていく。
（３）国際動向の把握と情報発信
関係各国及び地域の個人情報保護機関及び個人情報保護関連の専門家とのネットワー
クの構築及び発展を目指すとともに、技術革新及び社会的課題等への対応について、関連情報又は問題意識について共有を図りつつ、世界の潮流を踏まえた上で、我が国の政策立案に活かしていく。
9

また、委員会が収集した情報については広く発信し、国境を越えて活動する事業者が活用できるようにする。特に、企業のニーズを把握した上で、海外の個人情報保護法制に関する情報を発信する。
（４）国際業務体制の基盤強化及び国際業務に従事する職員の人材育成
上記の国際戦略の実現に向けて、委員会では国際業務体制の基盤強化を進めるとともに、国際業務に従事する職員の人材育成として、その能力向上を図っていく。
４．共通事項（１）個別の政策分野における関係府省との連携
各府省が実施する個人情報等及び特定個人情報の取扱いに係る施策について、個人の権利利益の保護のため、関係府省への助言等、必要な対応を行う。
（２）国民からの相談・苦情等への対応
個人情報保護法に関する総合的な案内所（個人情報保護法相談ダイヤル）及びマイナン
バー苦情あっせん相談窓口に寄せられる個人情報、特定個人情報等の取扱いに関する相談に適切に対応する。
また、個人情報保護法に関する質問に常時対応可能なチャットボットサービスについても、引き続き、利便性の向上を図る。
個人情報、特定個人情報等の取扱いに関する苦情の申出についての必要なあっせんに積極的に取り組み、苦情の適切かつ迅速な解決を促す。さらに、苦情相談機関等との連携・協力を図り、必要な情報の収集・整理等を行う。
これらを通じて把握した情報について、相談・苦情対応をはじめ委員会の各種活動への活用を促進するほか、デジタル技術を活用した業務のＤＸ化を推進し、国民等向けサービ
スの更なる充実化を図る等「総合的な案内所」としての体制の一層の整備に向けた取組を行う。
（３）広報・啓発活動① 国民等向けの広報・啓発
国民、事業者をはじめとする幅広い主体に対して、説明会等への講師派遣や、委員会ウェブサイト、委員会公式ＳＮＳ及び多様なメディアを活用した積極的な情報発信を行う。
また、委員会が参加しているアジア太平洋プライバシー機関（ＡＰＰＡ）において取り組むこととされている Privacy Awareness Week を「個人情報を考える週間」として令和６年５月 27 日から６月２日に設定し、個人情報の重要性等について広く国民を対象として集中的な広報活動を行う。
さらに、国民一人ひとりに対して、効果的なコンテンツやメディアを活用しつつ、個人
が自らの個人情報等の保護や利活用についての認識や理解を高める取組を推進する。
このほか、小学生を主な対象として、個人情報保護の大切さを伝える出前授業を実施し
ていく。

10

② 事業者、行政機関等向けの広報・啓発・研修
中小規模事業者に対し、漏えい等事案の報告及び本人への通知の義務化や、実態調査で把握した中小規模事業者の個人データの安全管理措置の問題点等を広く周知し、適切な取扱いを促す。
行政機関、独立行政法人等に対しては、各団体からの要望に基づき個人情報の適正な取扱いのための研修を実施するとともに、各団体の担当者向けのオンラインによる説明会
を委員会において開催する。また、地方公共団体等に対しては、引き続きオンラインによる説明会を開催するほか、自治大学校、地方公共団体情報システム機構等の研修機関等と連携し、様々な媒体を活用して、教育委員会等も含め、幅広い対象の多くの職員へ研修を実施していく。
また、インシデントに対する組織的対応能力を向上させ、安全管理措置の実質的な確保を図るため、地方公共団体から参加希望を募り、漏えい等事案の初動対応の訓練を実施する。
（４）人材の育成・確保
委員会の所掌事務を適切に遂行すべく、人材育成は重要な課題である。多様な人材の活用と育成のため、個人情報の保護及び利活用並びにマイナンバーの取扱いに係る監視・監
督並びに個人データの国際的流通枠組構築への取組等の業務運営に必要な資質・職務遂行能力の向上を主な目的として、研修を実施するほか、職員を外部の専門機関等が実施する研修（情報セキュリティや語学等）にも積極的に参加させるなど、委員会内外の様々な機会を通じて人材育成に努める。
新規採用職員に対しては、チューター制度により豊富な知識と業務経験を有する職員が年間を通じて個別的な支援活動を行う。また、個人情報保護に関する資格の取得を義務付けることにより、今後の委員会業務の前提となる知識の着実な定着を図る。
近年の個人情報漏えいの事件・事故は、情報システムの不備や脆弱性、サイバー攻撃によるものが増えており、これに対応する事務局職員には、特にＩＴ・セキュリティの知見が不可欠であることから、幅広い年齢層の職員に、その素養を向上させる取組を重点的に実施する。
まず、サイバーセキュリティ分野における対応能力を習得及び向上させるとともに「政府機関におけるデジタル改革に必要なＩＴ・セキュリティ知識を有する人材の確保・育成
総合強化方針（令和３年７月６日サイバーセキュリティ対策推進会議・各府省情報化統括
責任者連絡会議決定）」に示された政府デジタル人材を確保・育成することを目的として、専門機関が実施するサイバーセキュリティ研修やＩＴリテラシー・セキュリティに関する研修等へ積極的に参加させ、専門的知識の習得や政府デジタル人材のスキル認定を行う。
また、ＩＴ・セキュリティ分野へのリスキリング（知識・技術の再習得）を支援するため、経済産業省が実施する「情報処理技術者試験」の受験を推奨し、受験者には教材の提供や有資格者からの受験指導等の支援を行う。
令和元年度から開始した、情報システム関連業務における課題解決等のスキルの習得を目的としたＩＴ研修について、技術系の事務局職員以外にも対象者を拡大するととも
11

に、内容についてもプログラミング演習の回数を増やすなど、より実践的なスキル向上となるよう見直しを行いながら実施する。
人材確保については、法律分野だけでなく、特に情報通信技術に知見のある学生及び職務経験者を確保するため、採用説明会や採用案内パンフレット等において、技術系の事務
局職員のインタビューやキャリアパスの掲載を行い、新規採用及び中途採用を問わず幅広い層から人材を確保する。また、将来的に組織の中核を担う人材を確保するため、令和７年度からの総合職採用に向けた取組を進める。

12

別添１
個人情報保護委員会の国際戦略
令和６年３月日
個人情報保護委員会
１．背景
デジタル社会の進展に伴い、個人情報を含むデータの安全かつ円滑な越境流通の重要性が更に増す中、我が国は政府全体として、信頼性のある自由なデータ流通（ＤＦＦＴ：Data
Free Flow with Trust）を推進している。特に、個人情報保護及びプライバシーの分野におけるＤＦＦＴの推進及び具体化については、日本では、個人情報保護委員会（以下「委員会」という。）が中心となって取り組んでいる。
そうした中、委員会は、令和５年度に「第３回Ｇ７データ保護・プライバシー機関ラウン
ドテーブル会合」において議長国を務め、Ｇ７各国のデータ保護・プライバシー機関の委員
長級とＤＦＦＴ、先端技術及び執行協力の議論を行った。その成果文書として、コミュニケ
及び行動計画が採択されている。
また、特に先端技術については、生成ＡＩの急速な開発及び普及を受け、個人情報保護及びプライバシーへのリスクに対する懸念が急速に高まったことを背景に、信頼性の確保が先端技術の拡大及び利用の基本になるとの認識の下、委員会が上記Ｇ７ラウンドテーブル
において議論を取りまとめ、追加の成果文書である「生成ＡＩに関する声明」が採択された。
同声明は国際的に影響を与え、例えば、令和５年 10 月の世界プライバシー会議（ＧＰＡ:
Global Privacy Assembly）において、同声明が歓迎され、その内容をＧ７の枠を越えて広く世界に向けて発信する「生成ＡＩシステムに関する決議」の採択へと繋がった。
委員会は、令和６年度も引き続き、排他的なアプローチには与せず、関係各国及び地域の多様な個人情報保護制度や国際枠組みを尊重しながら、相互運用性のある国際環境の実現を目指す。また、その取組に際しては、「民間企業における個人データの越境移転、海外法規制対応に関する実態調査」（令和５年 12 月６日）を通じて把握した事業者のニーズを適切に勘案する。
以上を踏まえ、令和６年度以降の委員会の国際戦略について、次のとおり定める。
２．個人情報を安全・円滑に越境移転することができる国際環境の構築
委員会は、ＤＦＦＴの推進及び具体化のため、事業者が個人情報を安全かつ円滑に越境移転することを支援し、また、そのニーズ等に応じて複数の選択肢から最適な越境移転スキー
ムを選ぶことができる国際環境の構築を推進していく。同時に、グローバル規模の越境デー
タ移転ツールの開発を目指し、グローバルスタンダードの形成に取り組む。
（１）相互認証の枠組みの更なる発展
我が国と実質的に同等の水準にあると認められる個人情報保護制度を有する関係各国
及び地域との相互の円滑な個人データ移転枠組みである相互認証の更なる発展について、引き続き委員会の最優先課題として取り組んでいく。
● 日ＥＵ間及び日英間の相互認証の枠組みについて、令和３年の個人情報保護法改正13を踏まえた学術研究分野及び公的部門への対象範囲拡大協議の早期妥結を目指す。
● その上で、相互認証の対象国及び地域の拡大に向けて、基本的な価値観を共有する他の関係各国及び地域との間で、新たな相互認証に向けた協議を開始する。
（２）国際的な企業認証制度の普及促進
グローバル越境プライバシールール（ＣＢＰＲ：Cross Border Privacy Rules）フォー
ラムを中心に、国際的な企業認証制度に係る議論を主導するとともに、同フォーラムへの参加促進に積極的に取り組む。
● グローバルＣＢＰＲフォーラムによる企業認証制度（グローバルＣＢＰＲシステム）について、稼働後の認証基準の充実等に関する議論を主導する。
● 米国等と共同開催するワークショップといったアウトリーチ活動を通じて、関係各
国及び地域並びに企業のより一層の参加拡大に向けた取組を進める。
● 国内におけるグローバルＣＢＰＲシステムの普及を目的として、新たな認証機関の参加、認証取得による利点の明確化等、企業による認証取得を促進する環境を整備する。
（３）グローバルなモデル契約条項の導入
グローバルなモデル契約条項の導入を目指し、価値観を共有する関係各国及び地域との既存のモデル契約条項についての共同調査や、Ｇ７、ＧＰＡ等多国間及び地域間の枠組みにおける発信等を通じて、段階を踏みながらグローバル規模での相互運用性の実現に向けて取り組んでいく。
（４）個人情報保護を取り巻くリスクへの対応
無制限なガバメントアクセスやデータローカライゼーションについて、ＯＥＣＤプラ
イバシーガイドラインへの反映に向けた議論を継続する。また、ＯＥＣＤ加盟国等により採択された「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」
について、非加盟国等への普及に向けて取り組む。
３．執行協力を含む関係各国及び地域との国際的な協力関係の強化及び構築
関係各国及び地域との枠組みにおいて、個人情報保護に関する法制度及び執行状況に関する情報交換並びに協力関係の強化に関する議論等を行うことで、グローバルな政策立案の議論に参画するとともに、国境を越えた執行協力体制を強化する。また、事業者による越境事業活動の展開や同データ移転の増加に対応するため、二国間及び地域間協力
関係の強化及び構築を進めていく。
（１）多国間及び地域間の枠組みにおける協力関係の強化● Ｇ７ラウンドテーブルで得られた成果をＧ７の統一的な意見（Unified Voice）としてとりまとめ、その影響力を活かして、ＧＰＡ、ＡＰＰＡ（Asia Pacific Privacy
Authorities：アジア太平洋プライバシー機関）フォーラムといった他の国際会議において展開し、新たな決議等として共通の視点を拡げていく。
14

● 令和６年後期のＡＰＰＡフォーラムを委員会が主催することで、アジア太平洋地域
における我が国のプレゼンスを更に向上させ、協力関係を強化する。
● 上記の国際フォーラムのほか、民間団体主催の会合等にも積極的に参画し、引き続き多方面において委員会の取組を発信するとともに、それらに参加する関係各国及び地域のデータ保護機関、政府機関、事業者及び研究者等との間で、国際的な個人デー
タ保護の促進や強化等についての議論や情報交換を実施する。
（２）二国間及び地域間協力関係の強化及び構築● 個別の執行事案について、関係機関等との連携を推進し、協力が必要な時に得られるよう協力関係をより強化する。
● 令和５年 10 月に英国との間で締結した個人情報保護に関する協力覚書（ＭＯＣ：
Memorandum of Cooperation）を参考に、ＭＯＣ締約国及び地域の拡大に向けて、価値観を共有する関係各国及び地域との間で、新たなＭＯＣ締結を進める。
● アジア太平洋地域等を優先対象とし、個人情報保護法制の整備に係る支援等の技術協力を含む個別具体的な二国間及び地域間協力の可能性を追求する。
４．国際動向の把握と情報発信
関係各国及び地域の個人情報保護機関及び個人情報保護関連の専門家とのネットワークの構築及び発展を目指すとともに、技術革新及び社会的課題等への対応について、関連情報
又は問題意識について共有を図りつつ、世界の潮流を踏まえた上で、我が国の政策立案に活かしていく。
また、委員会が収集した情報については広く発信し、国境を越えて活動する事業者が活用できるようにする。特に、企業のニーズを把握した上で、海外の個人情報保護法制に関する情報を発信する。
５．国際業務体制の基盤強化及び国際業務に従事する職員の人材育成
上記の国際戦略の実現に向けて、委員会では国際業務体制の基盤強化を進めるとともに、国際業務に従事する職員の人材育成として、以下の能力に着目し、その向上を図っていく。
（１）国際業務体制の基盤強化● 引き続き先端技術や国際執行協力等の業務を適切に実施するための人員の確保を図る。
● 関係各国及び地域のデータ保護機関や国際機関等と対面での定期的なコミュニケー
ションや情報収集等のため、既に派遣している国際機関に加え、在外公館やデータ保護機関等海外への職員派遣を検討する。
（２）国際業務に従事する職員の人材育成● 委員会の施策を世界に向けて正しく発信できるプレゼンテーション力の強化● 国際会議等において議論をリードできるファシリテーション力の強化
15

● 生成ＡＩ・プライバシー強化技術（ＰＥＴｓ：Privacy Enhancing Technologies）
等先端技術をはじめとする個人情報保護に関する最新の動向についての情報収集力の強化 等
（以上）

16

別添２

令和６年度

個人情報保護委員会における監視・監督方針
令和６年３月６日
個人情報保護委員会

個人情報保護委員会は、行政機関等（行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人をいう。以下同じ。）及び事業者における個人情報及び特定個人情報の取扱いに係る監視・監督権限を一元的に所掌する委員会として、個人情報等の適正な取扱いを確保し、法令、ガイドライン等の遵守状況を適切に監視・監督するため、令和６年度の監視・監督方針を示すものとする。
１．個人情報保護法に係る監視・監督の方針（１）漏えい等報告や日常的監視に基づく対応
個人データ及び保有個人情報の漏えい等事案の報告に対しては、各事案について効果的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう機動的に必要な指導・助言、勧告等の法執行を行う。
加えて、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）に関する総合的な案内所（個人情報保護法相談ダイヤル）に寄せられる情報その他の情報を総合的に活用し、こうした日常的な監視等により発覚した個人データ及び保有個人情報の不適切な取扱事案について、事業者及び行政機関等に対して指導・助言及び勧告を行うほか、必要に応じて報告
徴収及び立入検査又は資料の提出の求め及び実地調査を行う。勧告に従った個
人情報等の取扱いの是正がなされていない事業者に対しては、必要に応じ命令を行うなど、適時適切な法執行を行う。
また、これらの監視・監督活動により、特定の分野や特定の類型などにおける漏えい等事案が確認された場合等には、必要に応じて当該対象（関連する事
業者、業界、団体等）に向けた注意喚起等を行う。
（２）実地調査
行政機関等は、民間部門と異なり、法令等により個人情報等を取得する権限を有し、また、保有する個人情報が多大となり得ることから、透明性と信頼性の確保が特に重要であることを踏まえ、委員会において議決した調査計画に基づき、調査対象機関を選定して計画的な実地調査を行う。調査の実施に当たっては、行政手続における特定の個人を識別するための番号の利用等に関する法
律（平成 25 年法律第 27 号。以下「マイナンバー法」という。）の規定に基づく
立入検査と一体的に行う等、効果的かつ効率的に実施していく。令和６年度においては、約 50～60 機関を対象として実地調査を行う予定である。
行政機関及び独立行政法人等に対しては、個人情報の保有状況やその機微性
17

等を踏まえて調査対象機関を選定し、実地調査を行う。
地方公共団体の機関及び地方独立行政法人（以下「地方公共団体等」という。）
に対しては、過去の漏えい等事案の有無やその規模、過去の実地調査の結果等のリスク評価に有用な情報を分析し、優先度付けした上で、その中から、マイナンバー法の規定に基づく立入検査との一体性や実地訪問の効率性、地域バラ
ンス等も加味して実地調査を行う。
これらの調査により、委員会は、個人情報保護法及び委員会が公表している
各種ガイドライン等に照らし、不適切又は違法な個人情報等の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言、勧告等を行う。
実地調査において不備事項が確認された行政機関等に対しては、必要に応じて、当該行政機関等のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、調査では明確になり難いガバナ
ンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、実地調査の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び個人情報保護法第168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブサイト等で公表することとする。
（３）施行状況調査
全ての行政機関等に対し、施行状況調査を実施し、個人情報ファイルの保有状況や個人情報ファイルに含まれる保有個人情報の利用目的以外の目的のための利用又は提供の状況、安全管理措置の実施状況等の個人情報等の取扱い状況
に関する基礎的な情報を把握し、その概要を公表する。
なお、地方公共団体等については、個人情報保護法が令和５年度から適用されたことから、行政機関及び独立行政法人等と同様に、令和５年度中における保有個人情報の取扱いに関する報告を令和６年度に受領し、その調査・分析結
果をとりまとめた上で公表することとする。
２．マイナンバー法に係る監視・監督の方針（１）漏えい等報告や日常的監視に基づく対応
マイナンバー苦情あっせん相談窓口等に寄せられる通報、メディア報道等による各種の情報、特定個人情報保護評価書等を基に、平時においてマイナンバー法の遵守状況を確認するとともに、それらの日常的な監視等により発覚した
特定個人情報の不適切な取扱事案や漏えい等事案の報告等があった場合においては、各事案について効果的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう機動的に必要な指導・助言、報告徴収・立入検査等の法執行を行うほか、必要に応じて注意喚起等を行う。
18

（２）立入検査
マイナンバーの漏えい等事案が発生しないよう、行政機関及び独立行政法人等に対しては、マイナンバー法の規定に基づき、保有する特定個人情報ファイル（個人番号関係事務に係るもの等を除く。）に記録された特定個人情報の取扱い状況や安全管理措置の実施状況について、委員会において議決した検査計画に基づき、検査対象機関を選定して定期的な検査を行う。
地方公共団体等に対しては、委員会において議決した検査計画に基づき、過去の漏えい等事案の有無やその規模、過去の立入検査の結果、定期的な報告の結果等のリスク評価に有用な情報を分析し、優先度付けした上で、その中から、個人情報保護法に基づく実地調査との一体性や実地訪問の効率性、地域バラン
ス等も加味して立入検査を行う。
これらの検査の実施に当たっては、個人情報保護法の規定に基づく実地調査と一体的に行うとともに、特定個人情報保護評価書に記載された内容を基に検査観点を事前に整理する等、効果的かつ効率的に実施していく。令和６年度においては、約 50～60 機関を対象として立入検査を行う予定である。
これらの検査・調査により、マイナンバー法及びガイドライン等に照らし、不適切又は違法な特定個人情報の取扱いを確認した場合、機動的に必要な指導・助言等を行う。
立入検査において不備事項が確認された行政機関等に対しては、必要に応じて、当該行政機関等のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、検査では明確になり難いガバナ
ンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、立入検査の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び個人情報保護法第168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブサイト等で公表することとする。
（３）定期的な報告
特定個人情報ファイルを保有する地方公共団体等から、マイナンバー法の規定に基づく定期的な報告を受け、特定個人情報の取扱い状況及び安全管理措置の実施状況を把握する。
なお、必要な安全管理措置が実施できていない機関に対しては、委員会公表
資料の提供や、個別の事情に応じた具体的手法の説明等の支援を行う。また、
事後評価の対象となり得る事務について特定個人情報保護評価を実施できていない機関に対しては、確実に実施するよう促していく。

19

３．個人情報保護法、マイナンバー法に共通する方針（１）サイバーセキュリティ関係省庁・機関との連携
サイバーセキュリティ関係省庁・機関との間で個人情報保護法サイバーセキュ
リティ連携会議及び特定個人情報セキュリティ関係省庁等連絡協議会を開催する。
また、これらの関係省庁・機関との間で認識を共有した連携の仕組み（令和４年度に覚書等を締結・共有）に基づき、平時においては、教育研修、広報周知、必要な情報共有等の連携を行うとともに、不正アクセスによる漏えい等事案の報告等があった場合においては、必要に応じて、共同で事実確認や対処を行うなど、緊密に連携して対応していく。
（２）広報・啓発及び人材育成
中小規模事業者に対し、漏えい等事案の報告及び本人への通知の義務化や、実態調査で把握した中小規模事業者の個人データの安全管理措置の問題点等を広く周知し、適切な取扱いを促す。
行政機関及び独立行政法人等に対しては、各団体からの要望に基づき個人情報の適正な取扱いのための研修を実施するとともに、各団体の担当者向けのオンラインによる説明会を委員会において開催する。また、地方公共団体等に対しては、引き続きオンラインによる説明会を開催するほか、自治大学校、地方公共団体情報システム機構等の研修機関等と連携し、様々な媒体を活用して、教育委員会等も含め、幅広い対象の多くの職員へ研修を実施していく。
また、インシデントに対する組織的対応能力を向上させ、安全管理措置の実質的な確保を図るため、地方公共団体から参加希望を募り、漏えい等事案の初動対応の訓練を実施する。
以20

上