資料１「個人情報保護法 いわゆる３年ごと見直しに係る中間整理」に関する意見募集結果（概要）１．実施期間
平成 31 年４月 25 日（木）から令和元年５月 27 日（月）まで

２．意見提出者数及び提出意見数
137 の団体・事業者又は個人から延べ 525 件の御意見が寄せられた。意見提出者数及び提出意見の内訳は次のとおり。
（内訳は、中間整理の構成に沿った分類としております。）(1)意見提出者：

合計 137 者○各種団体・事業者：54 者
・経済団体・事業者等
・法律事務所等○個人（匿名含む。）：83 者(2)提出意見数

48 者
6者

：

合計 525 件

特に意見の件数が多かったもの○利用停止等○オプトアウト・名簿屋○漏えい報告

65 件
43 件
35 件

○ターゲティング広告36 件

３．意見の内容（別紙のとおり）
・提出のあった御意見のまま掲載しておりますが、匿名希望の有無にかかわらず、個人名は一律に省略しています。
・いただいた御意見のうち、意見募集の対象となる事項のみお示ししています。また、御意見に添えられた参考資料の一部を省略している場合があります。
・法人の権利、競争上の地位その他正当な利益を侵害するおそれのある記述がある場合、当該箇所を省略しています。

第１章、第２章関係

別紙

総論

No.

提出意見

1

見直しに係る検討に対する基本的な考え方
我が国社会の効率性、利便性を高め継続可能な形で社会問題を解決するには、個人データの活用が必要であり、また不確実性の高い現代社会では、事前にすべての事象を想定して仕様を策定することは不可能である。将来の不確実性に対応するために、原則をベースとした柔軟な規定とすべきである。現状の法令は、詳細な手続き規定が中心となっており法全体を網羅的に捉えるのが難しい制度となっていないだろうか。一般人の常識（コモンセンス）で判断できる制度となるように努力すべきである。
具体的には、適法性、透明性、公正性等の原則に基づいて、説明責任を履行する基本的なフレームワークがデザインされた法制度を検討すべきである。
（第1章総論）
国際的な制度調和や連携のもと、「個人の権利利益の保護」と「産業の振興」のバランスを取りながら見直すことは重要であり、基本的には賛成である。ただし、特定の国や地域の法制度に合わせるための「個人の権利利益の保護」ではなく、我が国の法制度としての法的根拠を明確にすること、「個人の権利利益」と「産業振興」のバランステストを具体的に検討し公表すること等、検討の透明性を確保するとともに、いずれかに偏った形式的な見直しとならないこと、及び我が国の法制度として「個人の権利利益の保護」と「産業振興」がいずれも適切に実現される見直しとなることを要望する。
【一般社団法人モバイル・コンテンツ・フォーラム】

2

第１章 総論【意見】○損害保険分野では、保険引受や保険金支払などの業務遂行を通じて保険契約者、被保険者、保険金受取人その他の関係当事者の多くの個人情報に接しており、個人情報保護法や同法ガイドラインにのっとって対応するとともに、保険業法や金融分野における個人情報保護に関するガイドラインに沿って安全管理措置を講ずるな
ど、個人情報の取扱いの適切性の確保に努めており、健全かつ適切で公平な制度の基礎となっている。
○昨今の個人情報を巡る技術的側面、社会的側面における急激な変化を背景にした個人情報保護法の見直し検討は時宜を得たものであり、中間整理で示された「共通の視点」には基本的に賛同できる。特に、「個人情報や個人に関連する情報を巡る技術革新の成果が、経済成長等と個人の権利利益の保護との両面で行き渡るような制度であることが必要」との視点により、バランスにご配意いただくことは様々なステークホルダーにとって大切であり、とりわけ健全で公平な制度運営が求められる保険業においては重要と考える。
○今回の制度見直しにあたっては、「共通の視点」に込められた趣旨を含めて、制度見直しの意義・内容が社会にしっかり理解されるよう適切な周知・情宣が行われるべきである。加えて、規律のあり方によっては事業者側においてシステム改修や運営ルール整備、グループ会社を含む組織内への周知等の対応が必要となる可能性もあることから、個人の権利利益の保護等が適正に図られるよう施行まで可能な限り十分な準備期間を設けることも重要である。なお、必要な準備期間は設けられる規律の内容や事業者の状況によって様々であるが、例えば新たな情報管理システムの導入が必要となる場合、事業者やベンダーにおける安定的な開発体制の確保等にも留意が必要であり、施行日の設定次第では各事業者が取り組んでいるシステム開発計画を大幅に変更せざるを得なくなることも考えられるため、事業者やベンダー等の意見を踏まえ、慎重にご検討いただきたい。
【一般社団法人 日本損害保険協会】

3

・意見１
該当箇所：第1章 総論（3頁）
意見：技術的側面、社会的側面の変化の激しい折、「3年ごと見直し」を行うことは重要と考える一方で、頻繁な改正や複雑化、規制の新設は、潤沢な法務リソースを持つメガベンダ―をますます有利とし、新興企業や中小企業が不利となる状況を生み出す懸念があります。データ利活用社会の実現に向けては法制度の改変ありきではなく、民間主導の取組と消費者の知識向上や意識醸成を主眼に置いた議論を求めます。
理由：我が国のデータ利活用が十分に進展していない中、法制度対応の負担が増すことは、その状況をさらに悪化させることが懸念されます。
【日本ユニシス株式会社】

1/173

4

１．3ページ：第１章 総論
インターネット広告事業においては、広告情報を受け取るユーザーからの信頼が必要不可欠であるため、個人情報及び「インフォマティブデータ」（39ページ：第３章 第４節４（３））（以下「個人情報等」という）を活用したターゲティング広告等の広告サービスを営むにあたり、人権その他の個人の権利利益の保護に十分配慮することは当然である。「保護と利用のバランス」をとり「経済成長等と個人の権利利益の保護との両面で行き渡るような制度」（3ページ）とする趣旨に賛成である。
【一般社団法人日本インタラクティブ広告協会】

5

２．3ページ：第１章 総論
インターネット広告は、国内外の事業者がインターネット上のウェブサイトやアプリケーション等のメディアを利用しているユーザーに対して広告を表示するものであり、世界共通のインフラであるインターネットをビジネスの基盤としている。日常的に国境を越えてデータ（個人情報等に限らない）が行き交うものであることから、「国際的な制度調和や連携に配意しながら制度を見直す」（3ページ）という各国と協調していくことの必要性は理解できるところである。また、インターネッ
ト広告事業においては、海外事業者と国内事業者はビジネスパートナーとして連携していると同時に、一方で競争関係にもあるものである。産業の国際競争力を削ぐことのないよう、公平・公正な制度となるよう検討を行っていただきたい。
【一般社団法人日本インタラクティブ広告協会】

6

1． 3ページ：第１章 総論
インターネット広告事業においては、広告情報を受け取るユーザーからの信頼が必要不可欠であるため、個人情報及び「インフォマティブデータ（39ページ：第３章第４節４（３））（以下「個人情報等」という）を活用したターゲティング広告等の広告サービスを営むにあたり、人権その他の個人の権利利益の保護に十分配慮することは当然である。「保護と利用のバランスをとり「経済成長等と個人の権利利益の保護との両面で行き渡るような制度（3ページ）とする趣旨に賛成である。
【公益社団法人 日本アドバタイザーズ協会】

7

第1 総論
当協会は，「 個人情報保護法第 1 条」に規定され ，「 中間整理
第1 章 総論」に記載される「個人の権利利益を保護」を重要視する。そして，「個人の権利利益を保護するために必要十分な措置を整備すること」（中間整理第 1 章 総論）が， 法改正という形でなされることを真に必要とされるのであれば，法改正の検討自体に反対をするものではない。また，言うまでもないが，当協会としては，個人情報保護法に違反する行為を行ってまで，個人に関連する情報（本書面においては，「個人情報」「要配慮個人情報」「個人データ」「保有個人データ」「匿名加工情報」等について，合わせて「個人に関連する情報」と記載することとした）を産業において利活用したいとは考えていない。
一方，当協会は，「個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであること」（個人情報保護法第１条） については強く首肯するものであり，その観点から個人に関連する情報を巡る技術革新の成果を捉えることにも留意すべきであると考える。特に，「技術革新の成果が個人情報保護法上，適法だといえるのか」「適法だといえない場合にはどの点が問題なのか」「どのようにしたらその問題点をクリアできるのか」といった点が明確にならない限り，個人に関連する情報を巡る技術革新の成果を正しく評価することはできず，ひいては「新たな産業の創出並びに活力ある経済
社会及び豊かな国民生活の実現に資する」ものには決してならないといえよう。
したがって，当協会は，個人に関連する情報を規律する法規制である個人情報保護法においては，個人に関連する情報の取扱いに関する「適法の外縁」について明確化するべきであると考えるものであり，今般の見直しにおいても，その点について深く検討がなされるべきであると考える。
この点，中間整理においては，認定個人情報保護団体制度の産業界における活用を中心に「事業者自身による自らの事業等の実態に即した個人情報保護のための取組が率先して行われる必要」がある旨が強調され，当協会においてもこの点そのものに反対するものではない。ただし，いくつかの法解釈の困難な論点に関して「事業者の取組」に白紙委任するべきでないことは言うまでもない。あくまでも，個人に関連する情報の取扱いに関する「適法の外縁」について， 法律， 規則， ガイド
ライン等において可能な限り明確化された上で，それでも残さざるをえない部分（論点によってその深度は異なるものと考える）についてのみ事業者の自主的な取組に委ねるべきものであると考える。
もっとも，上記法律，規則，ガイドライン等による明確化の過程において，事業者等の意見を無視すべきではない。このことは言うまでもないが，念のため付言する。
【一般社団法人 日本広告業協会】

2/173

8

個人情報保護法のいわゆる３年ごと見直しに係る検討の中間整理に際し、業界団体や学識経験者等、さまざまな関係者の意見を聴取し、中間整理に広く反映してくださったこと、また、慎重かつバランスのとれた中間整理を取りまとめていただいたことを多とする。弊社は、中間整理の第1 章・総論(p.3)に記載されている4 つの共通の視点を支持しており、こうした4 つの視点を踏まえながら、個人情報保護法の 3 年ごと見直しの検討が慎重に進められること、また、今般の意見募集の後も、業界団体や個社、学識経験者や消費者団体等、いわゆるマルチステークホルダーがさらに意見を述べられる機会が折に触れて与えられるよう期待する。その上で、個人情報保護委員会が取りまとめてくださった中間整理について、以下の意見を述べることと する。
なお、弊社は、一般社団法人・日本経済団体連合会（以下「経団連」という。）の企業会員として、経団連の意見取りまとめにも参画した。経団連における審議プロ
セスの透明性・適正性は非常に高く、その結果取りまとめられる意見には、企業会員の意見が広く反映されている。 弊社は、そうした審議プロセスに参画したー企
業会員として、本弊社意見に書かれていない経団連意見の項目についても、広く支持する。
【株式会社メルカリ】

3/173

第３章第１節関係

開示請求

No.

提出意見

9

第3章の5「検討の方向性」の(3)データポータビリティについて
個人情報保護法においてデータポータビリティ権を加えるべきです。 GAFA に限らず、大手 IT 企業は利用者の取り込みに躍起となっています。利用者と事業者との関係において、サービスがよければ A 社との契約を解除し、 B 社に自分の情報を移すというのは当然のことです。市民の自己情報コントロール権確立のためには、
消去権のようになくてはならない権利です。
情報銀行や民間業者の動きに惑わされることなく 、 個人情報保護法のなかに開示請求権 、利用停止権、停止・消去権に続いてデータポータビリティ権を明記することは極めて重要です。
【個人】

10

1.開示請求については、応じることを義務化するよう要望します。
（理由）
個人情報保護法第28条において、「本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。」とされています。しかし、開示しなくてもよい場合を決定する例外規定の拡大解釈による運用によって、開示請求権を定めた法律の目的が果たされていない状況があります。消費
生活センターには、開示請求をしても応じてもらえない、開示されたが一部しか開示されなかった、開示請求手続きに必要な書類等が多すぎて負担が大きいなどの苦情が寄せられています。
個人情報は、個人のものであり、個人は、事業者が自分についてどのような情報を持っているのかを知る権利があります。開示されなければ、間違った情報であっても訂正ができず、利用停止、削除要請もできません。開示請求は、個人が自分の情報を管理するための重要な権利です。反面、事業者が開示することでどのようなデメリットが生ずるのか明らかではありません。
第3条基本理念「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」を
実効性のあるものにするため、個人の求めで開示されるようにすべきと考えます。また、合理的な手続き方法、妥当な手数料について、通常の手続き方法や手数料について具体的な例を示し、それを超える場合は理由を説明する義務を課すなどの手当てが必要と考えます。
【全国消費生活相談員協会 関東支部】

11◆『第３章／第１節／５．検討の方向性／』についての意見
GAFAの個人データの取り扱いに対する問題意識が、批判的な側面から高まっている。また、GDPRの施行とEUとのEPA締結による、個人情報・個人データの保護に対する関心も高まってきている。このような社会状況を反映して、個人情報保護委員会の動向への注目度が高くなっているが、一方で、私たち自身の情報リテラシーの成熟がその現状に追いついていないというアンバランスが見られる。そしてそのことは、この中間整理にも表れている。
（３）開示請求
相談ダイヤルに事業者に対する不満が多く寄せられているとのことである。また、制度が正しく理解されていなかったり、運用されていなかったりするケースも見られたという。開示請求における課題は、個人情報を提供する当事者よりも、その情報を取り扱う事業者の側の関与の割合のほうが大きいのは明白である。したがって、「委員会として、企業に対して制度の周知に努める必要がある」というレベルの対応ではなく、もっと積極的な指導を行うことが必要だと思料する。なお、デー
タポータビリティに触れる中で情報銀行の取組や産業政策、競争政策に言及しているが、この課題への対処には個人情報・個人データに対するリテラシーの十分な成熟が前提となる。今後求められる個人情報保護法に対する理解は、一般的には車を運転する時に必要な道路交通法への理解に匹敵すると言っても過言ではないと思料する。法に対する理解の浸透も併せて、検討していただきたい。
【個人】

4/173

12

１．開示請求については、応じることを義務化するよう要望します。
（理由）
個人情報保護法第28条において、「本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。」とされています。
しかし、開示しなくてもよい場合を決定する例外規定の拡大解釈による運用によって、開示請求権を定めた法律の目的が果たされていない状況があります。消費生活センターには、開示請求をしても応じてもらえない、開示されたが一部しか開示されなかった、開示請求手続きに必要な書類等が多すぎて負担が大きいなどの苦情が寄せられています。
個人情報は、個人のものであり、個人は、事業者が自分についてどのような情報を持っているのかを知る権利があります。開示されなければ、間違った情報であっても訂正ができず、情報をもっているのかどうかがわからなければ利用停止、削除要請もできません。開示請求は、個人が自分の情報を管理するための重要な権利です。反面、事業者が開示することでどのようなデメリットが生ずるのか明らかではありません。
第３条基本理念「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」を
実効性のあるものにするため、裁判の場ではなく、個人の求めで開示されるようにすべきと考えます。
また、合理的な手続き方法、妥当な手数料について、個人はその判断が困難です。通常の手続き方法や手数料について具体的なモデルケースを示し、それを超える
場合は理由を説明する義務を課すなどの手当てが必要と考えます。
【公益社団法人全国消費生活相談員協会】

現行の個人情報保護法が全面施行されてから、約2年であり、企業としては、個人情報保護法の主旨を真摯に受け止め、個人情報保護の実効性を高めることが重要と考え取り組んでいると考えられる。
一方、社会全体でのデジタル革新、自由な越境移転を意識した国際的制度調和、データ活用の拡大、デジタル技術の進展を踏まえた、法改正の継続的な検討において、特に個人の権利利益の侵害リスクを許容できなくなった場合、その抑止のための立法措置の検討は必要であると認識している。
以上のような観点から、「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」に対し、個人情報の有用性と社会的意識との均衡のとれたバランスを意識し、以降9項目について、意見を述べる。
13

第1節

個人情報に関する個人の権利の在り方【意見1（P17）】（3）開示請求
・個人データの自由な流通・利活用を確保し、データポータビリティ権との調和を図る観点からも、EUと同様に事業者にとって負担が少ない「電磁的形式による開示（電子データのダウンロード等）」でも開示が可能であることを政令やガイドラインにおいて明確化を希望する。
なお、事業者間のデータ移転の義務付けやデータフォーマット変換の義務付け等、事業者の過剰な負担となるような措置については慎重に議論いただきたい。
（理由）
・個人データは通常、システム上で管理しているため、書面開示よりも電磁的開示の方が事業者のコスト負担が少ない場合があるため。
【JEITA個人データ保護専門委員会】

5/173

14

3.
（該当箇所）
17ページ（3）開示請求（意見）
個人情報保護法における開示の際の電磁的形式による提供の明確化について、電磁的な形式を可とするのであれば、その形式例を示して頂き、それに該当するまたは類する形式での提供を事業者が選択できるようにして頂きたい。
（理由）
保有個人データの種類は各事業者で異なっており、電磁的な出力も千差万別である。電磁的な形式を開示の請求を行った者が指定できると定めた場合、事業者は開示の請求を行った者毎に対応する必要があるため、対応負荷やコストの観点から考慮頂きたい。
【匿名】

15

[意見１（p17）]
開示の際の電磁的形式による提供の明確化については、中間整理に記載のとおり、利用者の利便性について考慮するとともに、開示請求に応じる事業者の意見も聴取のうえで検討を進めるべきである。
(理由)
・行政のあり方をデジタル前提で見直す「デジタル・ガバメント」の実現に向けた取り組みが進められているなか、民間手続における情報通信技術の活用促進も望まれる。
・ただし、開示の際の電磁的形式による提供についての実効的な仕組みを作るためには、利用者のニーズに加え、開示請求に応じる事業者の管理実態等を十分に踏まえる必要がある。
【日本経済団体連合会情報通信委員会企画部会】

16[意見２（p17～18）]
データポータビリティに関しては、消費者ニーズや事業者のメリット・実務負担、産業政策、既に制度を導入した欧州における評価等の幅広い観点から、慎重かつ丁寧に議論すべきである。
(理由)
・データポータビリティは事業者・消費者の双方に広範な影響を及ぼす可能性があり、わが国にとって最適な仕組みを様々な観点から議論する必要がある。
【日本経済団体連合会情報通信委員会企画部会】

6/173

（該当箇所１７ページ）
１．電磁的形式による提供の実施有無について事業者側に裁量を持たせるようにしていただきたい。
（理由）
事業者側に裁量を持たせず、無制限に電磁的形式による提供を認めた場合、個人情報を複数のデータベースで分散して管理している事業者等に多大な負担が係り、本来の業務に支障をおよぼす懸念があるため。

17（該当箇所１７ページ）
２．具体的な電磁的ファイルの提供方法については、事業者の裁量にて選択できることとしていただきたい。
（理由）
電磁的ファイルの提供について、様々な方法に対応することは、事業者の負荷が大きいため。
（該当箇所１７ページ）
３．クレジット業界においては、その取り扱う情報の性質等を考慮した場合、データポータビリティにそぐわない場合もあるので、義務化の範囲外としていただきたい。
（理由）
事業によってはデータポータビリティにそぐわないものもあると思われるため。
【日本クレジット協会】

見直しに係る検討に対する基本的な考え方
我が国社会の効率性、利便性を高め継続可能な形で社会問題を解決するには、個人データの活用が必要であり、また不確実性の高い現代社会では、事前にすべての事象を想定して仕様を策定することは不可能である。将来の不確実性に対応するために、原則をベースとした柔軟な規定とすべきである。現状の法令は、詳細な手続き規定が中心となっており法全体を網羅的に捉えるのが難しい制度となっていないだろうか。一般人の常識（コモンセンス）で判断できる制度となるように努力すべきである。
具体的には、適法性、透明性、公正性等の原則に基づいて、説明責任を履行する基本的なフレームワークがデザインされた法制度を検討すべきである。
18

19（第3章第1節５．（３） 開示請求）
開示請求の権利とデータポータビリティの権利は異なるものであり、同列もしくは開示請求権の延長線上で検討することには反対する。開示請求における電磁的な形式での提供において、一定の形式を求めることとなれば事業者から個人へのデータポータビリティの実現を要求することと同義であるため、慎重な検討が必要である。
データポータビリティについては、情報銀行やデータ取引市場等で安全かつ公正なデータ流通を産業界で進めている中、個人の権利利益にのみ焦点を絞った検討ではなく、その保護の法的根拠及び必要性、産業振興並びに事業者の経済的負担の観点も踏まえ、事業者や消費者も含めたSociety 5.0やData Free Flow with Trustの文脈の中で広く議論を行うことを求める。
【一般社団法人モバイル・コンテンツ・フォーラム】

・意見３
該当箇所：（３）開示請求 〇の5つ目（10頁）
意見：データポータビリティの法的な義務化は時期尚早であり、なお幅広い観点で慎重な議論を行うべきと考えます。
理由：データポータビリティについては、データ主体の権利として確認されるべきものである一方、技術的手段や仕様、現実的な消費者ニーズについての十分な議論や検討はなされておらず、現状、法的な義務化をすることは、事業者に過分かつ実益の乏しい負担を強いることになると考えられるためです。
【日本ユニシス株式会社】

7/173

20

（意見２）
【該当箇所】
P18：第３章第１節 ５．検討の方向性（３）開示請求【意見】
データポータビリティに関連して、ある管理者から別の管理者への直接個人データを移行させる規定について、「議論の推移を見守る必要がある」という記述があるが、個人の権利利益保護することによって、データのサイロ化を防ぎ、個人の意思によってデータを流通させることで経済の発展につながる取組を積極的に推進することをお願いしたい。
【理由】
政府が進めているSociety 5.0は、第5期科学技術基本計画において、「必要なもの・サービスを、必要な人に、必要な時に、必要なだけ提供し、社会のさまざまなニーズにきめ細かに対応でき、あらゆる人が質の高いサービスを受けられ、年齢、性別、地域、言語といったさまざまな違いを乗り越え、活き活きと快適に暮らすことのできる社会」と定義されている。Society 5.0による人間中心の社会を実現するためには、「必要なもの・サービスを、必要な人に、必要な時に、必要なだけ提供」するために、個人を中心とした情報の淀みない流通が不可欠であり、それには「ある管理者から別の管理者への直接的な個人データの移行」も含まれる。また、「データの移転・開放等の在り方に関するオプション（案）」（2019年4月24日：デジタル・プラットフォーマーを巡る取引環境整備に関する検討会 データの移転・開放等の在り方に関するワーキング・グループ）では、データの移転・解放について「利用者が何らかの方法により、自己に関するデータを再利用できるようにすることが肝要である。」と記述されており、そのための方法の一類型として「利用者の指示に基づく直接移転」が示されている。
国内外の動向も鑑みると、次の改正時にはSociety 5.0の実現のための健全なデータ流通を促進するために求められる法整備もなされているべきと考え、上記意見をお願いする。
【MyData Japan有志】

21

（意見３）
【該当箇所】
P17：第３章第１節 ５．検討の方向性（３）開示請求【意見】「（前略）個人情報保護法における開示の際の電磁的形式による提供の明確化についても、今後、利用者の利便性も考慮しつつ、検討していく必要がある。」について賛同し、個人の権利利益保護することによって、データのサイロ化を防ぎ、個人の意思によってデータを流通させることで経済の発展につながる取組を積極的に推進することをお願いしたい。
【理由】
政府が進めているSociety 5.0は、第5期科学技術基本計画において、「必要なもの・サービスを、必要な人に、必要な時に、必要なだけ提供し、社会のさまざまなニーズにきめ細かに対応でき、あらゆる人が質の高いサービスを受けられ、年齢、性別、地域、言語といったさまざまな違いを乗り越え、活き活きと快適に暮らすことのできる社会」と定義されている。Society 5.0による人間中心の社会を実現するためには、「必要なもの・サービスを、必要な人に、必要な時に、必要なだけ提供」するために、個人を中心とした情報の淀みない流通が不可欠であり、その実現には電磁的な形式による流通が前提となるため。
【MyData Japan有志】

22

個別意見 中間整理第3章第1節関係開示請求関係・デジタル手続法の趣旨に沿って、電磁的形式による提供をしてもよいことをデフォルト化すべき【一般社団法人新経済連盟】

8/173

23

個別意見 中間整理第3章第1節関係開示請求関係・いわゆるデータポータビリティについては、現時点ではまだ緻密に議論すべきことが多く慎重かつ丁寧な議論が必要。（どの分野のどのデータでやるののか、誰にどのような規律が課されるのか、データの移転方法はどうなるのか、企業がデータを持つことのインセンティブをどう保つのか 等）【一般社団法人新経済連盟】

24

１．開示請求については、未来投資戦略等の政府成長戦略においてデジタルファーストが重要な指針として掲げられている趣旨に沿って、電磁的形式による提供をデフォルトとするべきではないか。
【Fintech協会】

25

電磁的形式による提供の明確化について、電磁的形式による提供とは、開示データを、書面ではなく、電子メール等で提供するということか。
書面で提供する場合は、本人限定受取郵便で送付することにより本人確認をしたうえで確実に本人に提供することができるが、電子メール等で提供する場合、そのメールアドレスが本人のものであることを確認することは困難であり、なりすまし等、本人以外に漏えいするリスクが高まると思うため、義務化ではなく、企業側が選択できるようにすべき。
また、今回の検討は、提供についてであり、請求の受け付けについては、電磁的形式でなくてよいということを確認したい。
【匿名】

26

第１節 個人情報に関する個人の権利の在り方（6頁～）
５．検討の方向性（３）開示請求
個人情報保護法における開示の際の電磁的形式による提供の明確化についても、今後、利用者の利便性も考慮しつつ、検討していく必要がある。（17頁）
意見：開示する際、利用者の利便性のため、改めて何らかの加工が必要となることは無いようにすべき。
理由：開示のため、追加作業が発生した場合、個情法第28条2項 二号（当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合）に該当し、形骸化する可能性が高いため。
【国立研究開発法人・科学技術振興機構 NBDC】

１

27

個人情報の偏在と事業者の「情報開示」
この間、事業者ないし事業者グループにおいて、個人情報の収集・蓄積（・統合）がさまざまな形で進められている。他方、個人の側では、個人情報の集積・蓄積（・統合）がどのような状況となっているのかを認識できていない場合が多く、また、全体像を知ることは必ずしも容易でない実態が存すると思われる。
このような個人情報に関する情報の偏在ないし格差は、さまざまな社会的経済的リスクの原因となり得るところであり、適切にコントロールないし改善される必要がある。すなわち、個人情報の収集・蓄積（・統合）状況及び利活用の状況について、事業者ないし事業者グループから適切な情報開示が行われ、広く社会的な認識の共有が図られる必要があると考えられる。
現行法制化においても、プライバシーポリシー等により透明化のための努力が行われているが、より分かりやすく、比較可能な形で個人情報の集積・蓄積（・統合）及び利活用の状況を知ることができるよう、例えば、個人情報の収集・蓄積（・統合）及び利活用の状況に関する開示基準を設ける、統一的な指標を設けるなど、一般的への開示に関する工夫が必要と思われる。
また、個人情報の収集・蓄積（・統合）及び利活用、その管理と監視について、個々の個人ないし利用者の適切な参加が確保されるべきである。かかる観点から、開示請求はより行いやすく工夫される必要があるし、利用停止等もより行いやすく工夫される必要がある。さらに進んで、GDPRに定める消去権等も行いやすい形で導入が検討されるべきである。
【個人】

9/173

28

＞表2
ここに、「開示」又は「開示・訂正・利用停止等」についての枠を追加していただきたい。（あるいは、「提供時」を「開示・提供時」として28条の記述を枠中で行うようにする等。）
いまだに超大手事業者レベルでも、取得、利用、第三者への提供についてはプライバシーポリシー等に書かれていても、あろう事か（個人情報保護法27条1項の定めなどもあるのに）、（本人への）「開示」の手続きについての記述がポリシー記述中に全く存在していない、などという事が数多く存在する状況なのであるが、その様な事業者や、あるいは市民が「開示」等についてはっきり意識するためにも、この様な文書において、「開示」等についての枠を設けて扱っていただきたい。
開示の手続きは、本人が関わる、非常に重要なものであるはずである。
事業者及び市民に、「開示」について、この様な整理された図においても、きっちり意識させるようにしていただきたい。
【個人】

29

意見2
（該当箇所）
11ページ 第3章 第1節 2 開示請求に関する状況（意見）
電磁的形式による提供については、通常利用される形式（パスワード設定方法を含む）での提供を対応可能としていただきたい。
（理由）
特殊な電磁的形式での提供は提供側にとって負担が大きいため。
【在日米国商工会議所】

30

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（３）開示請求（３つ目の○）・「委員会として、企業に対して制度の周知に努める必要がある。」とあるが、開示に対する考え方について変更があるものでないことを確認したい。また、企業
のみならず制度を利用する個人に対しても、個人情報保護法にもとづく開示の趣旨を周知いただきたい。趣旨を理解していない開示の要求が多々見られる。
【一般社団法人 全国銀行協会】

31

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（３）開示請求（４つ目の○）・電磁的形式による提供は認めるべきであるが、そのための体制作りも必要となることから、必須の要件とはせず、電磁的形式も認めるといった既存形式との併存を認めることが望ましい。
【一般社団法人 全国銀行協会】

32

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（３）開示請求（４つ目の○）・「個人情報保護法における開示の際の電磁的形式による提供の明確化についても、今後、利用者の利便性も考慮しつつ、検討していく必要がある。」とあるが、現在個人データの開示は紙ベースで対応しており、それ以外の形式を想定していないため、技術的に対応できない可能性がある。各事業者が技術的に対応可能な（追加的なシステム開発負荷をかけないで済む）電磁的形式に限定する方向で検討していくべきである。
・また、技術的に対応可能であったとしても、音声・映像等は動画共有サービス等にアップロードされ、拡散される懸念もあるため、慎重に判断されるべきと考える。ただし、電磁的形式による提供は、事前に事業者側の同意を必要とする等、一定の制限を設けることも考えられる。
【一般社団法人 全国銀行協会】

10/173

33（３） 開示請求【意見】
開示請求に関して、特定の保有個人データのみ開示諸求させてもらえない、どのような保有個人データが保有されているか教えてもらえないと言った問題、あるいは、開示諸求手数料が高額で支払えない（例えばウェブページでの案内によると、Tポイントは、すべての保有個人データの開示を求めると約１万円かかる）など、権利行使の前提に障害がある状態がある。
まず、保有個人データに関する公表制度について十分に知られていないとともに、ウェブページでは公表していない、公表方法が明らかではない、個人情報の本人が理解できる状態においていない事業者があることが、個人の権利行使の妨げになっていることには留意すべきである。こうした事業者に対して、どのような公表方法が望ましいのか、あるいは何が義務であるのかについての周知と実際の対応を促すべきであるとともに、義務に反しているために個人の権利行使が妨げられている
場合については、積極的に苦情を受け付け、仲介ないし解決に向けて対応することが期待される。
また、音声、動作などのほか個人識別符号も個人情報の定義に含めているものの、氏名等の情報を含まない個人情報に該当するものについては、本人開示請求をする際の特定方法という課題がある。例えば、万引き防止・対策のために導入されている監視カメラ及び撮影された動画をもとに個人識別符号化された個人データ、あるいは特定の個人の動作をもとにした個人データの揚合、特定個人を識別しているが、個人名等では必ずしも特定されていない場合がある。こうした場合、本人開示請求の際に特定する方法が不明であるため開示請求できない、請求しても特定していないとして拒否される、個人データをもとに誤った判断がなされていることが疑われながら訂正及び利用停止請求ができないと言った問題があると考えられる。どのように本人情報として特定するのかについては、検討の余地がある。
二つ目に開示請求にかかる費用であるが、保有個人データは経済的に負担可能な場合のみ開示が受けられるかのような仕組み自体を是正すべきである。これなしに、仮に情報銀行、あるいはデータポータビリティ制度を入れたとき、情報銀行にデータを移す場合には本人にも無料で開示する、データポータピリティでデータを移行すれば、かかった手数料分はポイント還元などといった、本人のメリットを強調して経済的取引材料に使われるだけである。
また、保有個人データの訂正請求、利用訂正請求権の行使の際も、実際に保有個人データを確認する必要があった場合、やはり開示請求にかかる手数料の経済的負担能力のある者のみ、自らの権利を主張し、行使できるという構造になり、現にそうした制度運用が行われていることへの対応は極めて不十分である。したがって、
開示請求権について具体的に企業に対して何の制度周知を行うのかを明らかにし、その上でさらに広く意見等を聰取すべきである。忘れるべきではないのは、開示請
求への対応に一定のコストが発生することは否定しないが、反面、保有個人データをもとに経済的利益を生み出しているのも事業者であるということである。
【特定非営利活動法人 情報公開クリアリングハウス】

34

3. 個人情報に関する個人の権利の在り方（中間整理 第 3 章 第1 節）( 1 ) 開示請求
開示請求について，「個人情報保護法における開示の際の電磁的形式による提供の明確化」(17 頁）については賛同する。
【一般社団法人 日本広告業協会】

11/17335

提言「第１節 個人情報に関する個人の権利の在り方」について
個人は、自己のデータにコントロールを有し、必要に応じて、個人データについて開示、訂正、利用停止を請求できるべきです。他方、当該請求の範囲は現実的なものであり、かつ、その対応方法については、事業活動に不当な負担を課すことがないよう柔軟性を有するべきと考えます。
データポータビリティ
中間整理の「開示請求」の箇所では、データポータビリティ、即ち、顧客があるプラットフォームから別のプラットフォームにデータを移転する能力について、自主的な取組に委ねるべきか、又は、法的に義務化すべきかを論じています。この点、中間整理は、民間の自主的な取組を歓迎する一方、EUのGDPRにおいて消費者の権利とされていることにも触れています。
BSAは、消費者が、組織に提供した自己の個人データにアクセスし、その写しを入手できるようにするための取組を支持します。また、データポータビリティに関するあらゆる議論は、消費者のニーズと期待、事業者のメリット、データポータビリティを義務化して「権利」とすることによるコストと負担を適切に考慮しなければならないとする、貴委員会の中間整理における見解に同意します。
クラウドサービスプロバイダーを含むソフトウェアサービスプロバイダーは、規制の介入がなくとも、創造的かつ革新的な方法で、データ移行およびポータビリティを可能にする傾向があります。それは各企業が、競合他社から顧客を獲得することに事業上の関心があり、そのためにデータ移行を可能にするツールを用意するためです。従って、貴委員会は、データポータビリティに対処するための規範的な規制アプローチを採用することは避けるべきと考えます。そのようなアプローチは、非生産的で、コンプライアンス・コストを増大し、革新的な方法でデータ及び技術を利用しようとする企業のインセンティブを低減させるなど、実務的に運用上の課題となる可能性が高いからです。
BSAは、貴委員会が、特定の仕組を規定し又はデータポータビリティのための国内標準を策定するのではなく、自主的に透明性をもって策定された業界主導の国際的に認められた標準の策定及び採用を奨励すべきと考えます。また、事業者は、消費者に当該情報を提供するための適切な手段及び形式を柔軟に決定することができるべきです。
仮に、貴委員会が、義務的なデータポータビリティ要件を規定すると決定した場合、組織が、正当な事業上の利益並びに他の消費者のプライバシー及びセキュリティを確実に保護できるようにするため、当該規定には適切な限度を設けるべきです。また、このような規定は、情報の保管又は提供に係る手段及び形式を含め、自主的なポータビリティへの取組について柔軟性を維持すべきです。
【The Software Alliance (BSA)】

36【意見の対象】
第 3 章「第1 節 個人情報に関する個人の権利の在り方」「 1( 2 )個人情報保護法相談ダイヤルに寄せられる意見 く第三者提供に関する相談＞＜開示に関する相談＞」【内容】
法令上、開示請求権者を明確化し、開示請求権者からの請求に応じた事業者は免責される旨を明示していただきたい。また、開示請求権の有無に関する適切な確認方
法と判断基準を明らかにしていただきたい。
【理由】
家族への提供に本人が同意を与えないケースもあり(DV事案など）、家族だからといって安易に個人情報の開示を解禁すべきでない実態がある。また、開示請求者と本人との家庭の事情(DV事案など）について、事業者が個別に認識し、判断することは不可能であり、実務上、当該開示請求の申出者が家族であることを確信できな
い場合もあるため、適切な確認方法と判断基準を明確化していただきたい。
なお、家族への提供については、最高裁判決（平成29(受）1908「保有個人情報開示請求事件」平成 31 年 3 月 18 日）が出されているため、事業者は家族等への提供に応じなければならない」という方向で法改正をするのであれば、最高裁判決との整合性も具体的に明らかにしていただきたい。
【経営法友会】

12/173

37【意見の対象】
第３章「第１節 個人情報に関する個人の権利の在り方」「5 ( 3 ) 開示請求」（データポータビリティ )【内容】
データポータビリティの導入検討にあたっては、消費者のニーズと事業者の実務負担について、より具体的な比較衡量を行っていただき、導入するとしても、具体的に必要となる 場面を整理したうえで、限定した範囲で導入する方向で検討していただきたい。
【理由］
データポータビリティに対応するためには、事業者側で設備投資等が必要となる場合もあり、多大な費用・実務負担が発生するため、安易な導入はなされるべきではなく、時間をかけて慎重な議論をしていただきたい。また、当該設備投資が可能な大企業のみが、データポータビリティに対応ができ、中小企業などの資金力が不足する企業がデータポータビリティに対応できないとなると、データを活用した新たなビジネスの促進が大企業中心になるばかりか、情報産業の寡占化が進むことにもなりかねず、産業政策上も慎重に検討されたい。
【経営法友会】

38【意見の対象】
第３章「第１節 個人情報に関する個人の権利の在り方」「 5 ( 3 ) 開示請求」【内容】
開示請求の範囲は、開示請求の目的に照らして必要な範囲に限定される旨を明記していただきたい。また、明らかに不当な目的でなされた開示請求については事業者側が開示を拒絶することができるようにする方向で検討されたい。
【理由】
利用停止の場合と同様に、事業者によっては、個人情報を部門ごとに別々に管理している場合もあり、全部門の個人データを名寄せして開示することは事業者にとって過度な負担となるケースもある。開示請求の趣旨に照らしても、請求の範囲は真に必要な範囲に限定すべきである。また、不当な目的で開示請求がなされている実態があることを踏まえる と、事業者側が開示を拒絶することができるようにする方策も併せて検討していただきたい。
【経営法友会】

39

2 個人情報保護法制における本人以外の同意等の位置づけの明確化(1) 該当箇所
個人情報保護法における本人の位置づけ (6頁）検討の方向性 (16頁）等(2) 意見本人の関与に関する重点的な検討に加えて、認知症高齢者、児童や障碍者等の同意能力を必ずしも有さない社会的弱者を保護するため、本人以外の代理人等による同意や開示請求等の位置づけも明確化すべきである。
(3) 理由個人の権利の保護のためには、同意能力を有する個人だけでなく、同意能力を十分に有さない、認知症高齢者、児童や障碍者等の社会的弱者保護のための規定も必要である。
現行個人情報保護法32条においても、「開示等の請求等は、政令で定めるところにより、代理人によってすることができる」とされているが、取得・第三者提供等は本人の同意に限定している。情報銀行やAIによる本人の代理による円滑なデータ流通に向けても、代理人等の規定を個人情報保護法制内に規定すべきである。なお、３の意見に示すような公益性の高い利用や、ゲノム情報や感染症の情報等、単独の個人のみでコントロールできるとするのが必ずしも適切ではない類型が存在することへの配慮も必要である。
【世界経済フォーラム第四次産業革命日本センター】

13/173

40

7 データポータビリティの義務化(1) 該当箇所
開示請求 (17 頁）(2) 意見
データポータビリティの一定範囲での義務化を求める。
(3) 理由中間整理では、データポータビリティに関しては議論の推移を見守るとされているが、行政手続きの電子化を進める、いわゆる「デジタル手続法」（情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るための行政手続等における情報通信の技術の利用に関する法律等の一部を改正する法律）が 2019年5月24日に成立し、開示の際の電磁的形式による提供の明確化が求められており、行政機関においてもデータポータビリティを積極的に検討すべきと考える。
また、健診情報を含め本人（やその代理人）が求めた個人情報について、本人がデータ保管機関から、自由に機械判読可能なフォーマットにて入手できるようにすることを求める意見が規制改革推進会議第８回医療・介護ワーキング・グループでも示された。医療情報に関して、米国では、標準化されたAPI 公開を進める動きがあり、我が国においても、情報銀行のような自主的な取り組みを応援するのみでなく、本人へのメリットやデータの有効活用の視点から、実務負担への配慮をした上での義務化等、より積極的な検討が望まれる。
【世界経済フォーラム第四次産業革命日本センター】

14/173

第３章第１節関係

利用停止等

No.

提出意見

41

●利用目的の特定→プロファイリングを行うことについて「プライバシーノーティス」の中で事前に告知している事業者が皆無である。告知させるよう強化すべき。
●本人の権利対応→「当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているとき」又は「第十七条の規定に違反して取得されたものであるとき」に限らず、本人から保有個人データの利用の停止，消去の請求を受けた場合は、これに応じなければならないとすべき。
【株式会社シーピーデザインコンサルティング】

42（１）利用停止等について、個人の権利の範囲を広げることに対する慎重意見
通信販売事業において、一概に利用停止等について、個人の権利の範囲を広げることは事業者の日常業務に大きな影響を与えるため慎重にご検討いただきたい。
通信販売事業においては、店舗販売との違いを活かし、お届け商品情報を社内に蓄積・管理することによって、製品事故や表示ミス等によるリコール情報を迅速にお客様にお届けすることを心掛けている。
個人情報をリコールに活用することはお客様の権利保護することやアフターサービスのために重要である。
その上で、リコールに備えて保管すべき対象とその必要性が低いと考える対象をいちいちに選別して管理することは業務に大きな負荷がかかる。
（例えば、Ａさんが Ｂという商品とＣという商品を購入し、Ｂは将来 リコールが起こる可能性を否定できない家電製品、Ｃは将来 リコールが起こる可能性の低い商品という場合、Ａさんのお届け情報を保管するか保管しないかを選別する手間をいちいちにはかけられない。）
以上の観点から、お客様からの権利主張により確定的に保有個人データを消去しなければならないとされることには異議がある。
【公益社団法人 日本通信販売協会】

43

中間整理１８頁では、利用停止等に関して、個人の権利の範囲を広げる方法について検討する必要があると位置づけています。これ自体はその通りですが、その後の記述では、平成２７年改正におけるデータ最小化が努力義務にとどまることはそのまま是認したうえ、消去の権利については消極的な姿勢が示されています。これは、既に施行されているGDPRのレベルよりも低い保護を想定した整理の仕方と言わざるを得ず、最低限、ＧＤＰＲのレベルを目指すよう、改めることを望みます。
ちなみに、現在示されているオリンピック組織委員会の個人情報保護方針では、次の通り、EU居住者を特別扱いしています。
「6.EUに居住している本人の権利
本人がEUに居住している場合には、自らの個人情報の複製を求めることができる権利、訂正を求めることができる権利、削除を求めることができる権利、個人情報の利用を制限する（いかなる利用も中止させる）ことができる権利を有しており、また、本人が契約のため又は同意により提供した個人情報を構造化された機械で読み込むことができるフォーマットで取得することができる権利（データポータビリティの権利）があります。また、契約の履行その他の法的要求のために当法人が本人の個人情報を利用する必要がない場合その他適用法で認められた場合には、個人情報の利用に対して不服を申し立てることもできます。」
今般の中間整理は、ＧＤＰＲよりも低いレベルの保護を検討しており、将来、それが実現しても、相変わらず上記のような特別扱いを続けざるを得ないことになります。上記EU居住者の権利がそのまま日本居住者の権利となるような改正をすべきです。特に、削除を求める権利がないことは、AI時代における消費者の権利確保の観点からは、大きな欠点であると考えます。
【個人】

15/173

44

個人情報の利用停止権を実質化するために、個人から利用者に対する直接的な停止請求を認めるだけではなく、利用されたくない意思を持つ人々の各意思表明をまとめて登録する機関の創設が必要と考えます。自分の情報を利用されたくない人は、この機関にその旨を登録し、個人情報利用希望者は利用に先立って当該機関に対して、情報利用の可否を照会しなければならないという建付けにつれば、個人による自己情報のコントロールが可能になって、よりプライバシーの保護に資すると考えます。昨今、全世界的に制度化されてきているドントコール制度もこの流れで実現できるのではないでしょうか。
【個人】

45

■第3章第一節5「検討の方向性」の(4 ) 「利用停止等」について明確に消去権を盛り込むべきです。事業者が利用者の情報を活用している以上、利用者がその消去を求めた場合、削除を認めることをはっきりさせるべきです。
GAFA による個人情報の独占的集中・漏洩・勝手な利用がつきだしたプライバシーの著しい侵害は、厳しく批判されなくてはなりません。これだけ数々の問題を引き起こしながら、いまだに大きな改善がみられない理由は、利用者の消去権が明確に認められていないからです。
IT 企業などは個人情報を利用することで利益を得ている以上、利用者がその事業者に個人情報の削除を求めたら削除に応ずるべきです。そうしなければ、本人の情報がその企業に取得されたままになり、どう扱われているかわかりません。その結果、 IT 企業などは個人情報を安易に扱うことになります。個人情報保護委員会
は、まず市民の感覚に立つことが重要です。
個人情報保護法 30 条の停止・削除権は個人データを不正に取得した場合や目的外利用した場合に限られています。これでは、利用者本人が、その事業者に対して、個人情報の活用をまかせることができないと判断した場合、その利用者の要求にこたえることはできません。利用者の個人情報の消去権の明確化こそ、いま個人情報保護のために最も求められていることです。
2015年の個人情報保護法改正で、本人の停止・消去権が明確にされたことは、プライバシー保護にとって大きな前進です。しかし、 GAFA などがつきだした問題
は、個人情報保護のためには、消去権の更なる明確化が必要であるということです。
【個人】

46

１ （該当箇所）
１８ページ、（４）利用停止等、上から３つ目の「○」の４行目以降（御意見）再取得した当該個人情報を利用することの可否等との例示があるが、「消費者の利便や実務上の論点」の内容が不明である。
なお、公にされている情報（不動産登記など）は再取得が容易であり、消去→再取得が繰り返されることが想定されるので、そもそも再取得についてどのように考えるかも検討しておく必要があるのではないか。
（理由）
利用停止等の在り方は極めて重要な問題であるので、検討を深めるために、あらかじめ論点の詳細を明らかにしておくことは必須ではないかと思料。
【個人】

47

2.利用停止等（利用の停止又は削除）については、応じることを義務化するよう要望します。
（理由）
第30条において、本人は、個人情報取扱事業者に対し、利用停止等（利用の停止又は消去）を請求することができる、とされています。しかし、利用停止等を請求できるのは、個人情報を目的外使用したときや、不正な手段によって取得した場合に限られています。自分の情報の利用を停止したい、消去したいという要望は当然のことと考えますが、事業者が法律違反した場合に限られている現状では、個人の人格を損なうことになりかねません。
そもそも事業者が利用目的を特定する際に、具体的かつ明確に特定していないケースがあり、個人は利用目的を明確に把握しないまま同意している例も多くあります。事業者が目的外利用している、適正な取得をしていない、個人が不利な立場に立たされている場合には、その申し出によって停止や削除に応じることが必要です。
インターネット取引の急激に拡大している状況において、要請があれば原則利用停止等に応じることを義務化しなければ、取引の安全が確保されません。
また、第19条において、「データ内容の正確性の確保等」として、「個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。」との努力義務規定は、義務規定とするべきです。
【全国消費生活相談員協会 関東支部】

16/173

48【意見】今回の中間整理では、「利用目的」や「利用停止・削除」について、状況の分析や、検討の方向性が示されていません。
これらについて取り上げられるべき状況とは、広範な利用目的をサービス事業者が特定している一方で、個人がそのような利用目的をみてサービス事業者を選択することが困難であるということです。
このようなアンバランスを回復するためには、事業者から受けるサービスにとって本来不要な筈の利用目的を無効とし、そのような利用目的のためだけに収集した個人情報（項目）を利用停止し消去させられる根拠となる法律（上の規定）が不可欠であります。
また、個人が自由意志で広範な利用目的を許し、これにより広範な項目の本人情報の提供を行い、その見返りを受けることで、データ流通を加速させようというのであれば、当人が事業者からサービスを受けることとは無関係の、（例えば）情報信託機能によるべきです。
【意見の理由】中間整理の第１節では、貴委員会へ寄せられた個人からの相談のうち、利用目的に関する相談について、（P.8）「事業者に対する不満等のうち、個
人情報の目的外利用に関するものが大半を占めているほか、利用目的の通知又は公表に関する不満等も寄せられている。要望等としては、事業者が個人情報を取得又は利用する際に本人の関与を求める意見等が寄せられている。」とし、また訂正・利用停止・削除等に関する相談について、（P.9）「事業者に対する不満等のうち、事業者が削除・利用停止に応じないことに関する不満等が最も多く寄せられている。このほか、削除・利用停止手続の遅延等の事業者の対応に関する不満、削除・利用停止手続において事業者から提出を求められた書類の種類や内容等が必要な範囲を超えているなどの削除・利用停止手続に関する不満等もあった。要望等としては、削除・利用停止の義務化を求める意見や、削除・利用停止手続に伴い事業者が取得する個人情報の範囲等について規制を求める意見等が寄せられている。」と、いずれも非常に多いことを挙げ乍らも、それが生じている状況が分析されておりません。そして同節の「検討の方向性」においては、利用目的や利用停止について全く触れておらず、今後どういった検討をされるのか読み取れません。
今般、個人が本人個人情報を提供することが必須のサービスにおいては、法15条第2項にて「利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。」とされていることもあり、個人にサービスを提供する事業者側は（法15条1項に基づいて特定する）利用目的を過度に広範に定める傾向がございます。利用目的を広範に特定すれば、広範な情報の取得も正当であることになります。
しかし個人にとっては、（１）同等のサービスを提供する事業者がいずれも、無償でサービス提供するために個人の使用履歴等を第三者提供にて運営や開発の費用に充てる必要がある場合
や、（２）当該サービスにおいて特定の事業者が既にドミナントとなっており勤務先や学校等の都合で他に選択の余地がない場合では、サービスを利用したい個人が事業者側の特定する利用目的の「広範さ」を確認して選ぶのを避けることが困難な状況となります。この（１）（２）の状況は、IT分野の所謂プラットフォーム効果によりますます生じやすくなっております。かかる状況のもと、現制度では「個人の権利」が大きく損なわれており、バランスを欠いていると言わざるを得ません。
そうすると、貴委員会の執行によるにせよ、裁判所の命令によるにせよ、事業者から受けるサービスには本来不要な筈の利用目的を無効とし、そのような利用目的のためだけに収集した個人情報（項目）を利用停止し消去させる根拠となる法律条文が、適正な権利のバランスを取り戻すために不可欠のはずです。
実際、他国をみれば、欧州のGDPRには自由意志に基づく本人の同意に絡めてそのような「個人の権利」を確保する規定があります（７条４項、１７条１項ｂ）し、
現在立法作業中のインド個人データ保護法にも同様な規定がありますから、国際協調のうえでもこうした規定は必須となるものと存じます。
個人が自由意志で広範な利用目的を許し、これにより広範な項目の本人情報の提供を行い、その見返りを受けることで、データの流通と利活用を加速させようとい
うのであれば、当人が事業者からサービスを受けることとは無関係の、（例えば）情報信託機能によるべきであり、その際は個人に対する情報信託の強制も禁じるべ
きです。
【匿名】

17/173

49◆『第３章／第１節／５．検討の方向性／』についての意見
GAFAの個人データの取り扱いに対する問題意識が、批判的な側面から高まっている。また、GDPRの施行とEUとのEPA締結による、個人情報・個人データの保護に対する関心も高まってきている。このような社会状況を反映して、個人情報保護委員会の動向への注目度が高くなっているが、一方で、私たち自身の情報リテラシーの成熟がその現状に追いついていないというアンバランスが見られる。そしてそのことは、この中間整理にも表れている。
（４）利用停止等
一般社会の個人にとっては、自分の個人情報を本人の要求に即して消去できるようにすることは重要である。この権利に対しては、個人の立場を優先した対応の具体化が求められると思料する。
【個人】

50

項目
18ページ 利用停止等について意見
利用停止ではなく、利用者の請求に基づく情報消去を義務化し、違反した企業には罰則（または課徴金）を課すべきである。
理由
現状では一度事業者に対して個人情報を提供すると、事業者との契約関係が終了したあとも個人情報を消去させる手段が存在しない。
近年、事業者の情報管理の不備による個人情報流出が頻発しているが、その際流出した情報には事業者との契約関係が終了しているものも含まれている。（具体的事例 株式会社オージス総研の宅ファイル便の情報流出事件 https://www.filesend.to/faq.html）
利用停止のみでは個人情報が事業者内に存在することには変わりなく、すでに契約関係が終了しているにもかかわらず事業者の不備によって個人情報流出の被害に合う可能性がある。
法令で保存が義務付けられていないのに契約関係が終了してる利用者の個人情報を長期間に渡り保持する合理的な理由はないと考えられるので利用者からの要求により消去を義務付けるべきである。
また、現行法の努力義務では実効性の確保に問題があるため、義務化した上で何らかの罰則を適用すべきである。
【個人】

51

２．利用停止等（利用の停止又は削除）については、応じることを義務化するよう要望します。
（理由）
第30条において、本人は、個人情報取扱事業者に対し、利用停止等（利用の停止又は消去）を請求することができる、とされています。しかし、利用停止等を請求できるのは、個人情報を目的外使用したときや、不正な手段によって取得した場合に限られています。自分の情報の利用を停止したい、消去したいという要望は当然のことと考えますが、事業者が法律違反した場合に限られている現状では、個人の人格を損なうことになりかねません。
そもそも事業者が利用目的を特定する際に、具体的かつ明確に特定していないケースがあり、個人は利用目的を明確に把握しないまま同意していると思われます。
従って、事業者が目的外利用している、適正な取得をしていないなどについて、個人が確認し交渉することは到底困難です。
インターネット取引の急激に拡大している状況において、要請があれば原則利用停止等に応じることを義務化しなければ、取引の安全が確保されません。
また、第19条において、「データ内容の正確性の確保等」として、「個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。」とされ、努力義務規定となっています。現状では、個人からの開示請求や問い合わせに対し、積極的に対応しているとは判断できず、最新の状態に保つために努力しているとは言えません。この規定を、義務規定とするべきです。
【公益社団法人全国消費生活相談員協会】

18/173

現行の個人情報保護法が全面施行されてから、約2年であり、企業としては、個人情報保護法の主旨を真摯に受け止め、個人情報保護の実効性を高めることが重要と考え取り組んでいると考えられる。
一方、社会全体でのデジタル革新、自由な越境移転を意識した国際的制度調和、データ活用の拡大、デジタル技術の進展を踏まえた、法改正の継続的な検討において、特に個人の権利利益の侵害リスクを許容できなくなった場合、その抑止のための立法措置の検討は必要であると認識している。
以上のような観点から、「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」に対し、個人情報の有用性と社会的意識との均衡のとれたバランスを意識し、以降9項目について、意見を述べる。
52

53

第1節 個人情報に関する個人の権利の在り方【意見2（P18）】（4）利用停止等
・利用停止等に関して個人の権利の範囲を広げる見直しの方向性については、社会認識としては妥当と考える。
しかしながら、利用停止等の拡大範囲については、EUのGDPRも参考にしつつ、保護と利活用のバランスを十分に考慮した範囲にして頂きたい。また、権利の濫用等によって事業者に過度な負担が生じないよう、慎重な検討をお願いしたい。
（理由）
・日本及び企業が真にグローバルパートナーとなるため、またSociety5.0実現のための課題として挙げられている「プライバシー」を大切にするのであれば、法令を通じて個人の権利を認めることが、総合的な企業利益に繋がると考えるため。
【JEITA個人データ保護専門委員会】[意見３（p18～19）]
本人による利用停止等の請求を、事業者が個人情報を適法に取得・利用している場合にまで認めることについては、慎重に検討すべきである。
(理由)
・個人情報保護法ガイドライン（通則編）(※１) を踏まえ、多くの事業者は、本人から求めに応じてダイレクトメールの発送停止を行うなどの対応を講じている。
また、プライバシーマークを取得した事業者は、本人からの請求による保有個人データの利用停止等の取り組みを進めている(※２)。こうした民間の自主的な取り組みが進んでいることから、その推移を見守るべきである。
・本人による利用停止等の請求を、事業者が個人情報を適法に取得・利用している場合にまで法令で一律に認めると、個人データの利用に関する事業者の予見可能性を低下させ、個人データの活用を妨げることが懸念される。
(※１)
「個人情報の保護に関する法律についてのガイドライン（通則編）」3－5－4
保有個人データの利用停止等（法第30条関係）(※２)
プライバシーマークの審査基準の根拠である「JIS Ｑ 15001個人情報保護マネジメントシステム－要求事項」においては、本人の保有個人データの利用停止等の請求を受けた場合には、原則として応じる義務があるとされている。
【日本経済団体連合会情報通信委員会企画部会】

54（該当箇所１９ページ）
４.利用停止等（利用の停止または消去）について、事業の実態を把握した上で、業務の適正な実施に著しい影響を及ぼすことがないよう、適用除外の範囲を慎重に検討するとともに、その範囲を明確化していただきたい。
（理由）
すべてにおいて利用停止等（利用の停止または消去）を認めた場合、クレジット業界においては適正な与信に支障を及ぼしサービスを提供できなくなることや事業者にも著しい影響がかかり、適正な業務遂行が困難となることが想定されるため。
【一般社団法人 日本クレジット協会】

19/173

見直しに係る検討に対する基本的な考え方
我が国社会の効率性、利便性を高め継続可能な形で社会問題を解決するには、個人データの活用が必要であり、また不確実性の高い現代社会では、事前にすべての事象を想定して仕様を策定することは不可能である。将来の不確実性に対応するために、原則をベースとした柔軟な規定とすべきである。現状の法令は、詳細な手続き規定が中心となっており法全体を網羅的に捉えるのが難しい制度となっていないだろうか。一般人の常識（コモンセンス）で判断できる制度となるように努力すべきである。
具体的には、適法性、透明性、公正性等の原則に基づいて、説明責任を履行する基本的なフレームワークがデザインされた法制度を検討すべきである。

55

56（第3章第1節５．（４） 利用停止等）
利用停止等の権利の拡大は、法的根拠の明確化やバランステストの実施を前提として行うことが必要である。「気持ち悪い」とか「個人にとって直接的な利益がない」といった理由による利用停止等は、公共の利益やいわゆるGDPRにおける事業者や第三者の正当な利益を損ねる恐れがあり、誤った個人の権利意識を助長することにもなりかねないため、十分な議論を行うことを要望する。
「同意の撤回」と利用停止等とは異なるものであり、利用停止等の法的な根拠は明確化されるべきである。例えば災害や犯罪対策としての「公共の利益」、施設内の回遊性を高めるための「事業者の正当な利益」といったカメラ画像等の場合、利用停止等について合理的な理由を見出すことは難しい。
また、利用停止と消去あるいは削除は、技術的にも情報の取扱い対応についても異なるものであり、明確に分けて検討することを強く要望する。消去や削除は、利用停止に比して対応費用が肥大化しやすく、また情報のトレーサビリティを完全に失うことであるため、消去や削除に合理性があるか、記録義務の期間との整合性、消去や削除後の事業者の責任免除、事後に紛争となった場合等に当該情報がないことにより事業者が被る不利益、当該情報がないことにより事業者による利用者へのサポート対応に不備が生じ、結果的に利用者が被る不利益等も考慮したうえで、十分な検討を要する。
【一般社団法人モバイル・コンテンツ・フォーラム】

その２ 第３章個別検討事項 第１節 個人情報に関する個人の権利の在り方(4)利用停止等【意見】○本人による利用停止等の請求を事業者が適法に個人情報を取得・利用している場合にまで認める場合の事業者への影響にも配慮し、適切な業務運営が損なわれることのないよう、規律のあり方を慎重にご検討いただきたい。とりわけ保険事業においては公平で安定的な制度の維持が事業の前提であることから、これらに影響が生じないようご留意いただきたい。
【理由】○損害保険会社における保険金支払実務においては、保険契約者、被保険者、保険金受取人その他の関係当事者が多く存在する。これらの当事者が保険会社との間で個人情報を授受するケースが多くなるのは必然である。さらに、人損事故では受傷者の年齢、受傷の程度等に応じた対応が必要となる業務の特性上、顧客の個人情報をお預かりしてから保険金の支払が完了するまでに相当な長期の期間を要することもある。
○損害保険会社は、法令等に基づき利用目的の達成に必要な範囲内において、顧客からお預かりした個人情報を保存期間を定めたうえで保有し、業務を運営している。前述のとおり対応完了までに長期の期間を要することもある実態から、保険金支払における関係当事者から利用停止・削除の請求が過度に認められ、一当事者からの要請でデータを削除せざるを得ない場合、損害の調査等に必要な情報を網羅的に把握することが困難になり、円滑な保険金支払に支障を来し顧客利便を損なう懸念がある。
○大規模な自然災害を例にあげると、損害保険会社は災害の発生から相当期間経過後に顧客から保険事故発生の申出を受けることが現実にあるが、過度に利用停止・削除が認められ、顧客の要請によってデータを削除した後に保険金請求を受けることとなった場合、当該契約の有無の確認が必要になるなど、保険金支払の可否判断等に時間を要し、円滑な保険金支払に支障を来すことになる。

20/173

○損害保険会社は、社会的信頼の維持や保険業法の目的の前提である業務の健全かつ適切な運営の確保を図るため、多重保険金請求者対策やモラルリスク対策等の取組みを実施しているが、顧客の要請によってデータを削除した場合、悪質な不正請求者の認知が困難となる等の支障が生じることにより公平性が保たれず、顧客への適切な補償の提供が困難となる事態も想定される。
○個人の権利の範囲を広げる視点が重要であることに違和感を直ちに抱くものではないが、法令等に基づいて適法に個人情報を取得・利用して業務を行っている事業者にも配慮した利用停止等の規律のあり方を慎重にご検討いただきたい。
○仮に今後の審議において利用停止等に関する例外規定を検討する場合は、その該当性について事業者と顧客との間に争いの生じることのないよう今後の社会情勢や事業環境の変化にも対応しうる予見可能性の高い規定を設けることを検討すべきである。
○なお、現状の開示請求権にも例外規定が存在するが、事案ごとにその該当性を適切に判断するのは困難を伴い、適切な法令対応の観点で事業者によっては全件弁護
士見解を得たうえで対応しているなどの実態もある。かかる事業者の状況も踏まえ、規制見直しの必要性を含めて慎重にご検討いただきたい。
【一般社団法人 日本損害保険協会】

57３）行政機関も含めた自己情報コントロールのための規定を整備すべきです。
利用停止請求の要件を「不正な取得、利用、保有」から広げること、漏えいの際の本人への連絡の義務化などの方向が検討されていますが、事業者への配慮で規制
強化は曖昧になっています。自己情報コントロール権の保障を個人情報保護法の目的として明確にするとともに、本人の望まない利用の停止請求権や漏えいの本人への通知義務を明記すべきです。
【共通番号・カードの廃止をめざす市民連絡会】

58

・意見４
該当箇所：（４）利用停止等の、５つ目の○（19頁）
意見：事業者が個人情報を適法に取得・利用している場合においても、本人に利用停止等の権利行使を認めるべきか、もし認めるとしてどのような制度設計とするかについては、法1条記載の「個人情報の有用性への配慮」と「個人の権利利益の保護」のバランスをとりつつ、慎重に検討願います。
理由：データポータビリティの考え方が世界的に広がりつつあることや、国内の事業者がJISにもとづき自主的に個人情報保護法の水準を超えた対応を行っている例もあるという実態を踏まえれば、利用停止等に関して、個人の権利の範囲を広げることについては、一定の合理性があると考えられるものの、利用停止等を個人の権利として無制限に認めると、事業者の事業活動が不可能または煩雑になる影響も懸念されるため、利用停止を認めることにより生じる社会経済上の損失と本人の権利利益の保護の重要性とを比較考量のうえ、原則と例外を定めるなり、きめ細かい制度設計をする等の検討が必要と考えます。
【日本ユニシス株式会社】

59

利用停止等関係・仮に利用停止できる条件・範囲を拡大した場合、「利用停止」の概念はどうなるのか、サービスごとの異なる対応などプライバシーポリシーとは別の個別対応を求められるのかなど実務面での対応について検討すべき事項が多く極めて慎重に検討すべき【一般社団法人 新経済連盟】

60

利用停止等関係
・中間整理18頁にあるとおり、事業者によって管理体制が様々であり、範囲を現行より拡大して一律の対応の規律に服させるのは、極めて慎重に検討すべき【一般社団法人 新経済連盟】

21/17361

２．利用停止権について、導入には慎重な検討を要すると考える。例えば、利用停止の対象範囲ひとつとっても、仮に提供サービスの一部のみでの利用停止を求める
利用者があった場合、大幅なサービス改修が必要になることがあり得る。そのため、広く利用停止請求への対応を義務とすると、サービス提供事業者のコンプライア
ンスコストが多大なものになってしまう恐れがある。
さらに、データの中には、業法等で個別に法定保存期間が定められているものもあり、利用者からの消去請求をそのまま認めることが適当とはいえないケースが有るのではないか。
また、サービス提供事業者が、自社のプラットフォームにおいて、悪意のあるユーザーのアカウント作成を防止するために個人情報を保管することを、利用停止の請求によって妨げられるようなことがあれば、効果的な不正対策が不可能となり、他のユーザーの保護が難しくなる恐れがある。
サービス提供にあたっては、個人情報の利用が必要なことも踏まえる必要があり、他方でサービスを継続して提供される個人においての懸念は、目的外利用、不正な第三者提供や、それに起因する漏えい等の可能性にあると思われる。このような問題への対処としては、目的外利用等を含めた執行の強化、委託・共同利用等のスキームについての個人への啓発等により対処すべき事項と思われる。
また、諸外国の動向を鑑みても、コントローラビリティを高めるための総合的な対処が重要であって、単純に利用停止権を認める方向には必ずしもなっていない。
データのポータビリティ等の個人のデータに関する関与の方策が確保されない中であれば、どうしても利用でなく停止を求めるという発想になりがちなのではないかと思われる。本法律改正後しばらく経過した5年後くらいを想定して、利用停止権を単純に設定し、その他の関与権限を個人に与えない場合に、そのとき個人が望むサービスが提供される社会になっていることが重要であり、単にサービス提供をやめる・内容を制限する事業者が増えるというだけの結果が、個人にとって望ましい
状況では必ずしもないと思われるため、慎重な検討が必要と考える。
【一般社団法人Fintech協会】

62

利用停止は、公益性の高いもの、例えば郵便や荷物の配達に関する情報にもおよぶのか。及ぶとすると、自分が送った郵便物が受取人に届かないという事態になってしまう。利用停止権を悪用して受け取りたくない郵便物を受け取らないということができてしまうなど、郵便や荷物の配達に混乱が生じると考えられるため、公益性の高いものについては、利用停止権の例外とすることを検討すべきと考えます。
【匿名】

22/173

63

No.3【ページ、項目番号】
第３章 個別検討事項
第１節 個人情報に関する個人の権利の在り方
３．利用停止等に関する状況（１）利用停止等を巡る状況 P.12
５．検討の方向性（４）利用停止等 P.18
【該当箇所】〇なお、日本において比較的多くの事業者が活用している民間の取組であるプライバシーマークにおいて審査基準の根拠とされている「JIS Q 15001個人情報保護マ
ネジメントシステム－要求事項」においては、本人の保有個人データの利用停止、消去又は第三者提供の停止の請求を受けた場合は、原則として応じる義務があることとされており、自主的に個人情報保護法の水準を超えた対応が行われている。
【意見】「JIS Q 15001」は、産業標準化法に基づき作成された国家規格であり、それを適用することは任意であり、事業者の自主性に任されている。
この規格が制定されたのは個人情報保護法の制定よりも前であり、EUのGDPRの前身である「一般データ保護指令」を意識して作られたところから、その後の個人情報保護法制定に伴い、個人情報保護法令も取り込んだものとなってはいるが、ここで言及されている利用停止への対応の他、書面による取得の場合には本人の同意が必要である、漏えいした場合は報告を行わなければならない、といった法の水準を超えた対応が、引き続き規定されており、プライバシーマーク取得者数を見れば分かるように多くの事業者がこれらを自主的に遵守している。
かかる状況からも、利用停止等に関して、個人の権利の範囲を広げる方法について検討することは十分に可能であると考えられる。
同様に、同じく「JIS Q 15001」における法の水準を超えた対応である「書面による取得の場合に本人同意を求める」対応についても、GDPRでは要配慮個人情報に限らず取得について本人同意を求めていること等を考慮すれば、その義務化について検討しては如何か。
【一般財団法人日本情報経済社会推進協会】

64◆該当箇所１
第３章・第１節 個人情報に関する個人の権利の在り方
P18 （４）利用停止等 １、４、５ポツについて【意見】
利用停止等を検討されるに当たっては企業における情報利用の実態並びに諸外国の法制度及び運用実態を十分に踏まえて検討されることが望ましいと考える。
【理由】「JISQ15001個人情報保護マネジメントシステム―要求事項」には利用停止等を行う必要がない除外事由が規定されており、EUにおけるGeneral Data Protection
Regulationにおいても利用者からの一方的な利用停止権を許容しているわけではなく、企業における事業活動に配慮した規定を設けていることに鑑みると、利用停止等の法制化を検討するに当たっては、その要件について企業における情報利用の実態や利用停止等を法制化している諸外国の法制度及びその運用実態を十分に踏まえる必要があると考えるため。
【LINE株式会社】

23/173

65

意見５（該当箇所）
３．利用停止等に関する状況（１２ページ）（意見）
利用停止等のうち、削除の義務を現行法より厳格化する場合には、削除の具体的な要件についてガイドラインに定める際に、改めて実務に沿った内容として見直すことを提案します。また、削除が厳格化されたことを消費者に周知する際には、利用停止が本人の希望である場合に削除を依頼することは、利用停止に遅延が生じた
り、安全上必要な連絡を受けることができなくなったりすることなども併せて周知してもらいたい。
（理由）
利用停止については、中間報告にあるとおり徹底することが必要であり、事業者は責任を持って行なうべきであると考えています。
一方で、削除については、個人情報の管理にＩＴシステムを使用している場合に、以下のような観点での具体的な要件を実務に沿って定められることが重要であると考えています。
１．バックアップデータの削除における要件についてＩＴシステムにおいては、システム全体のデータのバックアップを取っている場合などもあり、その中に含まれる個人情報を個別に削除することは、実務上困難です。また、クラウドサービスを利用している場合には、クラウドサービスを利用する事業者がその削除を指示することは不可能な場合もあります。これらが削除の代替措置として認められるようなガイドラインの作成など、実務に沿った要件を定めてもらうようにお願いします。
２．利用停止を徹底するために必要なデータの削除について
利用停止を徹底するために、データが必要な場合もあります。
たとえば、電子メールの利用停止において、メール送信を迅速に停止するためには、事業者内のメールアドレスの利用停止や削除の手続きをするとともに、最終的なメール送信システムに、送信禁止アドレスのリストを登録する場合があります。事業者が個人情報を取得する機会は、一度だけとは限らないため、保有している個人
情報を削除しても、その後新たに取得するとまた利用が再開されます。もしも、本人の希望が利用停止であるならば、削除よりも、送信禁止アドレスのリストに登録される方が、利用停止が徹底されることになります。
一部の消費者には、削除の依頼が利用停止の依頼よりも強固な手続きであるとの誤解があるように思われます。それぞれの依頼に違いがあることを消費者に周知することは事業者の責任でもありますが、これらの義務を厳格化する場合には、削除の場合には利用停止が継続しないことや、場合によってはリコールの連絡が行われなくなることなど、その違いについての周知も併せて推進していただくことを提案します。
【日本個人情報管理協会】

66

該当箇所：P17：第3章第1節5（3），P18：第3章第1節5（4）
意見：「事業者」と「企業」の使い分けの説明を注釈等で記載いただきたい
理由：第3章第1節5（3）（p17）に「事業者」と「企業」が用いられているが，後者は営利を目的とした事業者であるなど意図的に使い分けられているのか？
【個人】

67

該当箇所：P18：第3章第1節5（4）消去の努力義務の「今後，企業の実務上の問題を整理」
意見：消去義務はポータビリティと一体で検討していただきたい．
理由：消去されることは，利用・開示請求できなくなる．当該事業者においては必要がなくとも，本人にとっては必要（他に記録されていない）場合がある．利用停止の場合および削除の推奨とポータビリティの保証は一体として検討が必要ではないか．
【個人】

68

第3章第1節5.（4） 利用停止等に関する意見（18頁）
消去請求については、中間整理においても正しく指摘されているように、データを消去することについての弊害があり得ると考えられることに加えて、平時において個人情報取扱事業者が利用することのないバックアップデータについてまで完全に消去しなければならないとすれば、更なる弊害があると考えられるので、対象範囲を明確にするとか、適切な例外要件を設けるなどの点もあわせて検討される必要があると考える。
【長島・大野・常松法律事務所】

24/17369

３．18～19ページ：第３章 第１節５（４）利用停止等
インターネット広告事業を行うメディア事業者の中には、デジタルコンテンツやコミュニケーションツール、Ｅコマース等のサービスを行い、それらを利用するユー
ザーが自ら登録を行った個人データを保有している事業者がある。広告を含め複数のサービスを行っている事業者においては、「安全管理上の理由から、個人情報
データベース等を部門ごとに別々に管理している場合もあり、このような場合に全部門の個人データを容易に名寄せし、利用停止ができるような体制になっているかという論点」（18ページ）のとおり、サービスごとにデータを管理している場合や広告配信に用いるデータを分離して管理している場合も多い。このような事業者が本人からの開示等の請求等に対応するにあたり、求めに応じて利用停止等を行うとした場合には、保存している膨大な量のログなどから当該本人のデータを特定して名寄せする作業を安全・確実に行うために、当該本人に対してだけでなく全ユーザーへのサービス自体を一時停止して作業しなければならないなど、業務に著しい支障が生じるケースもあり得る。また、「本人の請求に基づき個人情報を完全に消去」して「過去に請求をした者であるという事実を含め、当該本人に関する情報を一切保有しないことになる」場合、過去に消去請求した者の個人情報を再び取得した場合に「消費者の利便や実務上の論点もある」（同）ことは示唆されるとおりである。利用停止等、特に消去に関して個人の権利の範囲を広げることを検討するにあたっては、そのような業務やシステム等の実態も考慮して事業者の実務上の論点を十分に検討すべきであると考える。
【一般社団法人日本インタラクティブ広告協会】
２

70

プロファイリングについて事業者ないし事業者グループが、個人についてプロファイリングを行うことは、その方法にもよるが、個人のプライバシーないし人格権の侵害となることがありうる。
これらの新しい技術についても、社会的な認識と議論を深める必要があるが、そのためにはまず、プロファイリングの実情について、可能な限り社会的に認識の共有を図っていく必要がある。かかる観点から、事業者や事業者グループにおけるプロファイリングの活用の実情が、分かりやすい形、比較可能な形で、各事業者や事業者グループにより行われる必要がある。
プロファイリングについては、GDPRにおいて、異議を申し立てる権利、自動的な意思決定に服さない権利があるが、こうした権利について、その過不足について慎重な検討を行いつつ、我が国への導入を検討すべきである。
なお、プロファイリングについては、商業的な目的による場合と異なり、雇用の場における利用や、政治的目的に関連する利用については、そもそも許容されるべきものかも含め、より慎重な検討が必要と考えられる。
【個人】

71

＞表2
ここに、「開示」又は「開示・訂正・利用停止等」についての枠を追加していただきたい。（あるいは、「提供時」を「開示・提供時」として28条の記述を枠中で行うようにする等。）
いまだに超大手事業者レベルでも、取得、利用、第三者への提供についてはプライバシーポリシー等に書かれていても、あろう事か（個人情報保護法27条1項の定めなどもあるのに）、（本人への）「開示」の手続きについての記述がポリシー記述中に全く存在していない、などという事が数多く存在する状況なのであるが、その様な事業者や、あるいは市民が「開示」等についてはっきり意識するためにも、この様な文書において、「開示」等についての枠を設けて扱っていただきたい。
【個人】

72

2. 18～19ページ：第３章 第１節５（４）利用停止等
利用停止等について，現行法では個人情報の目的外利用や不正の手段による個人情報の取得があった場合に，本人が事業者に対して保有個人データの利用停止・消去（「利用停止等」）を請求することが認められている。現行法における個人の権利行使の制約を廃して，事業者が個人情報を適法に取得・利用している場合においてまで利用停止等を認めるとすれば，対応実施による事業者の負担増加のみならず，適法かつ産業発展に資する個人情報の利活用への影響が大いに懸念されるため，引き続き慎重な検討を求めたい。
【公益社団法人 日本アドバタイザーズ協会】

25/173

73

１．第3章第1節5.(4)【18頁】
事業者にとっては、仮に本人との取引関係等が終了した後も、当該本人に係る個人データを保持し続けなければならない場面があります。具体的には、個別の法令により保存義務が定められている楊合に加えて、将来の訴訟・苦情に備える必要がある場合や、反社会的勢力排除に必要な場合などです。現行の個人情報保護法（同法第16条第3項第2号、第23条第1項第2号など）やGDPR(GDPR第17条第3など）においても、一定の範囲で本人関与の例外を規定しています。よって、利用停止等に係る請求権の範囲を拡大する場合には、請求対象の除外規定なり、または、請求権行使の例外規定を設けていただきたいです。
【日本証券業協会】

74

２．第3章第1節5.(4)【18頁】
事業者内に複数の個人情報データペース等がある場合、氏名変更や住所変更など、本人側の事情により属性情報が変わる場合には、名寄せは事業者にとって著しい負担となる恐れが生じる場合があります。
【日本証券業協会】

75

意見3 （該当箇所）
12ページ 第3章 第1節 3 利用停止等に関する状況（意見）
法の規定に違反して取り扱われているときまたは法の規定に違反して取得されたものであるときに限られている現在の利用者からの利用の停止・消去の請求事由については、緩和しないでいただきたい。
（理由）
事業者が合法的に情報を入手した場合にも利用者が利用停止・消去を請求することを可能とすると、事業者にとって過大な負担となり、プライバシー保護とデータ利活用との適切なバランスが損なわれるため。
【在日米国商工会議所】

76

意見4 （該当箇所）
12ページ 第3章 第1節 3 利用停止等に関する状況（意見）
仮に利用停止・消去の事由の限定を緩和するとしても、利用停止・消去に実務上対応可能な期間を確保していただきたい。
（理由）
事業者によっては、複数の関連企業および複数の部門で個人情報が管理されている場合があり、短期間での利用停止・消去は実務上困難であるため。加えて、バックエンドサーバからデータを完全に消去することには技術的な限界があり、また、短期間での対応には実務的な限界があるため。
【在日米国商工会議所】

77

意見5 （該当箇所）
12ページ 第3章 第1節 3 利用停止等に関する状況（意見）
利用停止は一部のサービスについてではなく全てのサービスについての利用停止であることを明確にしていただきたい。
（理由）
事業者にとっては、一部のサービスの利用停止（特定の利用目的に係る一部停止、事業者による特定の利用に係る一部停止を含む）を行うことは技術的に困難であるため。
【在日米国商工会議所】

26/173

78

意見6 （該当箇所）
12ページ 第3章 第1節 3 利用停止等に関する状況（意見）
仮に現在の利用者からの利用停止・消去の請求事由を緩和するとしても、オプトアウトは利用停止・消去の方法として十分であることを明確にしていただきたい。また、仮に利用停止・消去の事由の限定を緩和する場合には、緩和された消去の事由に関してまで完全な消去を求めることは事業者にとって過大な負担となるため、「利用停止」に限定していただきたい。
（理由）
現在、オプトアウトの仕組みは、データが違法に取得された場合または目的以外の用途で使用された場合において、「利用停止・消去」の方法として十分であると考えられており、利用者が利用停止・消去を請求できる事由を拡大させるのであれば、この考え方が同様に適用されることを明確にすることは有益であると考えるため。また、仮に利用停止・消去の事由の限定を緩和する場合には、完全な消去については、中間報告記載のとおり、完全な消去が義務付けられると、執行機関が、完
全な消去の記録を確認できなくなってしまうため。
【在日米国商工会議所】

79

１ 第3章第1節５．（１）（19頁）
・利用停止等の権利の適用範囲を拡大し、適正に取得・利用している個人データに対しても利用停止等の請求を認めた場合には、データの保管・利用を前提とした業務の適正な運用に支障が生じることが懸念されるため、慎重に検討いただきたい。
・中間整理にて参照されているプライバシーマークにおいては、(a)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合、(b)当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、(c)法令に違反することとなる場合には、利用停止等を行う必要がないとされているが、仮に、今般の個人情報保護法の見直しにおいて利用停止等の権利の対象範囲が拡大される場合は、除外対象、要件該当性の考え方など、適切な業務運営が確保されるよう、企業側の実態を踏まえていただきたい。
・例えば、生命保険業務においては、以下のような点が懸念される。
ー保険は、相互扶助の精神に基づき、多くの人々が集まって金銭を出し合い、生存や生活などを脅かすような事態が生じた場合には、集まった金銭の一部を支払うことで、その被害を軽減する特性を有しているため、不正な動機による保険加入を防止する態勢を構築する必要がある。その業務のためのデータ保管•利用に対して利用停止等の請求が行われた場合、適正な引き受け審査や保険数理計算が行えず、保険契約者間の公平性を損なうこととなり、健全な保険制度の維持に著しい支障を生じる。
一生命保険は1回の契約取引のみで完結せず、契約者等と長期にわたって関係が継続するが、途中で利用停止等請求された場合は、以降の契約維持のためのフォロー
や保険金の請求案内ができないことに加えて、例えば医療技術の進歩に伴って新たに開発された医療特約を案内できなかった結果契約者の加入機会を失わせる等新たな商品・サーピスの案内を適切に行えなくなる。
一団体保険や団体年金等、企業を契約者とし、従業員を加入者とする契約や企業年金制度の管理・運営において、個々の加入者が利用停止権を請求した場合、団体契
約、企業年金の維持・管理が困難となる。また、団体保険や団体年金等は、企業の福利厚生制度の1つとして利用されているため、保険会社だけでなく、企業側にとっても当該制度の運営に支障を来たす。
ー保険契約には、契約者、被保険者、受取人等多数の関係者が存在するため｀特定の関係者の利用停止等の要望が必ずしも他の関係者の利益にならない場合がある。
ー保険金・給付金支払後や解約後、保険契約に係る権利関係に紛争が生じることもあるなかで、保険会社を含む契約関係者の不利益に繋がる。
【一般社団法人 生命保険協会】

80

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・｢利用停止等｣の｢等｣については、具体的な明示が必要である。｢消去｣と｢利用停止｣は別概念であることから、しっかりと分けて議論するべきである。
【一般社団法人 全国銀行協会】

27/173

81

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・利用停止等は、個人情報の「利用」に関する変更であり、個人情報の「取得」に関しては影響がないという理解でよいか。副次的に取得が制限されることとなると実務に影響がある。
【一般社団法人 全国銀行協会】

82

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・犯罪収益移転防止法やマネーロンダリング対策等、他の法令や制度対応との棲み分けおよび相互の影響有無について慎重に議論する必要がある。個人情報保護法の改正により、直接的・間接的に顧客確認（Know Your Customer：KYC）等に支障がないようにする必要がある。
【一般社団法人 全国銀行協会】

83

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・企業における実効性のある対応に向けて、利用停止等の範囲については、可能な限り明確化するとともに、「事業者からの勧誘をやめてほしい」等、消費者からの要望を踏まえたメリハリをつけた内容とすべきである。
【一般社団法人 全国銀行協会】

84

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・利用停止等に関しては、具体的に削除を要するデータや項目を特定のうえ、影響を確認する必要がある。特に、音声等の非構造データについては、特定個人の情報を指定して除去するというのは非現実的である。
【一般社団法人 全国銀行協会】

85

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・ＤＭやアウトバウンドコール、アフィリエイト広告に留まらず、各種分析、データマーケティングに至るまで利用停止の対象となる場合、顧客に気付きを提供する機会や金融リテラシーを提供する機会なども喪失する。「貯蓄から資産形成」や「人生100年時代の金融サービス」に期待される金融機関としての機能発揮に大きな制約を及ぼすことから「利用」の定義の明確化や範囲の限定が必要と考える。
【一般社団法人 全国銀行協会】

86

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・前回の改正時に「個人情報ではあるが、記録化・保管を求められなかったもの（振込依頼時に受入する受取人名など）」は、利用停止請求の対象外という理解でよいか。記録も保管もしていないため、仮に利用停止請求があったとしても、利用停止できない（利用停止した証明ができない）。
【一般社団法人 全国銀行協会】

87

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・個人情報保護法上、従業員の個人情報も対象に含まれるが、本中間整理において、従業員の個人情報の取扱いについては特段の記載がない。特に、利用停止については、企業実務の実態も踏まえて、適用対象とするかを含めて慎重に検討いただきたい。
【一般社団法人 全国銀行協会】

28/17388

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等
・個人信用情報機関である全国銀行個人信用情報センターにおいては、本人同意を取得したうえで、消費者の個人信用情報(官報掲載情報等を含む。)を金融機関等から収集し、また、与信判断のために金融機関等へ提供している（金融分野における個人情報の保護に関するガイドライン第11条第２項）。かかる事業は、過剰貸付・多重債務の防止といった消費者保護に寄与すること、審査事務の迅速化による円滑な消費者信用の提供を目的としているが、これらの目的に沿った機能を十分に発揮するためには、消費者の既往債務の有無、残額・与信供与額、返済履行状況について、正確かつ客観的な情報を保有していることが必要不可欠となる。仮に消費者による無条件の利用停止等を許容した場合、金融機関等は当該消費者の正確な債務状況等を把握することが困難となり、また、消費者全体にも、借入れ等の金融サービス利用に影響を与える懸念がある。今後の検討に当たっては、消費者信用等の円滑かつ健全な発展が阻害されることがないよう配意いただきたい。
【一般社団法人 全国銀行協会】

89

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（１つ目の○）・「利用停止等に関して、個人の権利の範囲を広げる方法について検討する必要がある。」とあるが、消費者側の要望として、本人が望まない勧誘への対応が最も求められると考えられるため、ダイレクトメールや電話案内等、事業者から消費者に対して直接的・能動的に働きかける範囲に絞って検討することが望ましい。
【一般社団法人 全国銀行協会】

90

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（１つ目の○）・「利用停止等に関して、個人の権利の範囲を広げる方法について検討する必要がある。」とあるが、すでに第三者提供した情報の取扱いや第三者提供の連鎖でどこまで停止を遡るべきかについて検討内容に含めるべきである。
【一般社団法人 全国銀行協会】

91

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（１つ目、３つ目、４つ目の○）・「利用停止等に関して、個人の権利の範囲を広げる方法について検討する必要がある。」との主旨に賛同する。一方で、事業者側の「実務上の論点」も並行して検討される必要があると考える。
・現状、「利用停止等」という表現が用いられている対応の中には、実務上、「利用停止」と「消去」で事業者側の負担が大きく変わるものがあることから（例：利用停止は出口管理で済む一方、消去はデータが分散管理されている場合などにすべての照合・消去が必要となり負担大）、利用停止が担保されれば消去までは必要としないなど、事業者側の実務への配慮も踏まえたルール作りが望ましい。
【一般社団法人 全国銀行協会】

92

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（４つ目の○）・個人情報は各種システム上に分散保管されており、名寄せも含め、すべてを利用停止することは実務上困難であり、「利用」の定義の明確化や範囲の限定が必要と考える。
【一般社団法人 全国銀行協会】

29/17393

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（５つ目の○）・「利用停止等については、（略）企業側の実態も踏まえつつ、具体的に検討していく必要がある。」とあるが、改正案の検討に当たっては、以下を踏まえていた
だきたい。
－利用停止の範囲を明記（銀行の本来業務が含まれないことを明示していただきたい）－利用停止の申出を受けてから、利用停止するまでの猶予期間の許容（システムの仕様上、即時の停止が困難となるデータが存在する可能性がある）－すでに利用に着手した個人データは利用停止の対象外とすることを明記することが望ましい（利用・加工中のデータから当該データのみを除去することは非現実的である）【一般社団法人 全国銀行協会】

94

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（５つ目の○）・利用停止等（利用の停止又は消去）とあるが、金融機関にとってどのような対応が求められ、どのような制約が生じるか。例えば、以下の点等について、具体的に議論を進めていただきたい。
－利用停止の申出があった顧客に対するＤＭ等のアプローチの可否について、何が許容され何が許容されないか、具体的に定義していただきたい（「当行からのお知らせ」は可（許容されないと業務上支障あり）、広告･宣伝は不可等）。
－消去について、銀行として顧客管理のために必要な情報は当然に保持可能か。許容されない場合は取引を解消せざるを得ないのか。トラックレコードはどう対応すべきか。
【一般社団法人 全国銀行協会】

95

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（５つ目の○）・「利用停止等については、消費者側からの根強い要望に対して、個人の権利を保護していく観点からどのようにすれば一定の対応が可能か、企業側の実態も踏まえつつ、具体的に検討していく必要がある。」とあるが、銀行業務の円滑な運営のため、反社会的勢力、クレーマーや不正情報等の蓄積が必要である。本件の消去等を顧客からの申出どおりに行うと、銀行側が繰り返しトラブルに巻き込まれる懸念がある。
・また、融資審査に当たっては過去の信用事故情報（記録）は欠かせない情報であり、事務手続の判断等に当たっても、顧客に関する記録（ハンディキャップの情報
等）は欠かせない。したがって、こうした過去記録（個人情報）の利用停止等については慎重に判断されるべきと考える。ただし、利用停止等に当たっては、事前に銀行の同意を必要とする等、一定の制限を設けることも考えられる。
【一般社団法人 全国銀行協会】

96

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（５つ目の○）・「企業側の実態も踏まえつつ」に関し、銀行が顧客から利用停止や消去を求められた場合、すでに関係会社と共有した情報は「顧客から情報受領業者（関係会社）に直接要求がない限り、利用停止やデータ削除を要請する必要がない。」旨を明確にすることが望ましい。
・金融商品仲介や銀行窓販等、常時情報を共有する取引に紐付く場合、顧客との取引の維持が必要となるため、「顧客が利用停止権を主張できない状況を許容する特例を設けること」が望ましい。
・平成27年改正個人情報保護法施行以前に収集した個人情報・個人データは、同規制の適用開始後もそのまま使えることを明確にすることが望ましい（利用停止権等の記載がない同意書の有効性を確認したい）。
【一般社団法人 全国銀行協会】

97

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（４）利用停止等（５つ目の○）・プロファイリング等のビッグデータやアドテクノロジーの高度化により、実質的に個人が特定されたに等しい利活用によりダイレクトマーケティング等が行われ、それが消費者の不満に繋がっていることやGDPR等の国際的な個人の権利拡大の動きを考慮すると、より具体的に、「消去権、利用停止権、プロファイリングに係る規定等を、消費者保護・国際的な潮流を勘案して具体的に検討していく必要がある。」とすることが望ましい。
【一般社団法人 全国銀行協会】

30/173

98

該当箇所：12頁「利用停止等に関する状況」に関し、保護法第19 条において、事業者には、利用する必要がなくなった個人データを遅滞なく消去する努力義務が規定されているが、個人データの消去については、危機管理上の理由から、データのバックアップを複数の拠点や部門など数か所に分けて、また過去数世代（バージョン）残している事業者もあると考えられる。このような場合、本人からの削除依頼について、各拠点・部門の全世代のバックアップデータから．当該削除対象の個人データを容易に削除できる態勢とすることは．一般的には著しく困難ではないのか。
【一般社団法人国際銀行協会】

99

該当箇所：P18第１節 5 検討の方向性 (4)利用停止等○利用停止等に関しては、相談ダイヤルに寄せられる意見や、タウンミーティングにおける議論でも、消費者からは、自分の個人情報を事業者が削除•利用停止しないことへの強い不満 が見られる。一方、プライパシーマークの審査基準の根拠である「JIS Q 15001個人情報保護マネジメントシステムー要求事項」のように、事業者の中には顧客の利用停止等の要求に対応する例も存在することも踏まえ、利用停止等に関して、個人の権利の範囲を広げる方法について検討する必要がある。
意見：
現在すでに多くの事業者が行っているダイレクトメールや販促メール配信の停止も個人情報保護法で規定する個人の権利となるのか。どの程度個別目的ごとに利用停止を行うことになるのか懸念している。
理由：
個別用途ごとに利用停止請求ができるようになる場合に、事業者側では利用目的ごとの利用停止管理が必要になり、顧客データベースの改定などが必要になるのではないかと思われるため。法的手続きとなることで、本人の請求手続きや、事業者側の管理が煩雑になり両者の負担が大きくなることは避けたい。
【株式会社ベネッセホールディングス】

100（４）利用停止等【意見】
論点を整理して取りまとめを行うべきである。利用停止等に関しては、①違法な保有個人データの取扱いに関する利用停止請求権、②本人同意なしでの第三者提供の条件としてのオプトアウト、③利用の必要がなくなった個人データの消去の努力義務、④本人からの申し出を受けての事業者による自発的なオプトアウト、などがあるが、少なくとも、個人データの取扱いの達法性とは何かという整理をまず行う必要がある。
例えば、顧客がサービス利用を取りやめた場合には③・④に該当すると思われるが、利用目的を終えた個人データを保有し続けていること自体を違法とするのか、利用目的を終えたにもかかわらず保有を継続し利用することを違法とするのか、あるいは利用目的を終えたにもかかわらず匿名加工して販売など経済活動することを違法とするのかなどである。また、匿名加工をした場合、匿名加工して利用されるものついては個人の権利が及ばないが、一方で事業者内で匿名加工化対象とすることはどのような扱いになるのかなど、どのような場面を想定して係る努力義務を規定したのかが理解しにくいところがある。
なお、中間整理では個人データベース等を部門ごとに別々に管理している場合について言及しているが、内部での管理状況については個人情報の本人が知るところではなく、事業者が本人に関する個人データを探索して利用停止する義務を負うほかに対応方法はないはずである。事業者の義務として構成し、利用停止等を行った個
人データを本人に通知するなど本人がどのような対応がとられたのか知りうる状態にするなどの仕組みを入れ、漏れがあった場合は事業者、本人双方が客観的に確認できるようにし、さらなる利用停止等が可能となるようすべきである。このような情報共有の仕組みがない場合、何がなされたのかという段階で紛争を増やすだけである。
【特定非営利活動法人 情報公開クリアリングハウス】

31/173101

3. 個人情報に関する個人の権利の在り方（中間整理 第 3 章 第1 節）( 2 ) 利用停止等
利用停止等について，現行法では個人情報の目的外利用や不正の手段による個人情報の取得があった場合に，本人が事業者に対して保有個人データの利用停止・消去（「利用停止等」）を請求することが認められている。
現行法における個人の権利行使の制約を廃して，事業者が個人情報を適法に取得· 利用している場合においてまで利用停止等を認めるとすれば，対応実施による事業者の負担増加のみならず，適法かつ産業発展に資する個人情報の利活用への影響が大いに懸念されるため，引き続き慎重な検討を求めたい。
【一般社団法人 日本広告業協会】

102

利用停止等（利用の停止又は消去）
中間整理によれば、現行法上、個人情報を目的外利用したか不正の手段により取得した場合に限り、個人情報取扱事業者は利用停止等に応じる義務を課されているところ、このことが、個人データの利用停止又は消去の要望に対して多くの企業が自主的に対応しているにもかかわらず、一部の消費者に不満をもたらしていると指摘されています。実際、多くの事業者は、自主的な基準に従って、現行法第19条及び第30条が求める範囲を超えてそのような請求に対応しています。
BSAは、個人が自らの個人情報にコントロールを有することを支持します。個人情報の利用停止又は消去を請求する権利を含む、国際的に認められたベストプラク
ティス及び標準に整合した消費者の権利を実現することにより、この成果を達成することができます。これらの権利は、強固なデータ保護フレームワークのための強力な基礎となりますが、一方で、当該権利については、他の消費者の権利保護及び正当な事業上のニーズを考慮した事業者にとっての柔軟性確保等のため、適切な例
外を設けることが不可欠です。
この点に関し、正当な法的若しくは事業目的上必要な場合又は対応が非現実的若しくは通常の事業活動を著しく妨げる場合に、事業者が一定の個人情報を保持する必要があるという中間整理の評価にBSAは同意します。一定の個人情報を保持する必要がある場合として、例えば、個人情報の取扱に関するその後の本人からの問い合
わせ、請求及び法的請求に対応する目的での保持があります。個人情報を保持しなければ、企業は当該請求に対応することに支障をきたします。個人情報の記録を保持する理由で他の重要なものとしては、他の消費者の法的権利の保護、研究目的、詐欺、なりすまし又は犯罪活動の検出又は防止、データ保存要件等の法的義務の遵守及びセキュリティの確保が挙げられます。
今後、個人情報取扱事業者が個人情報の利用停止又は消去に応じるべき範囲を拡張することとなった場合、個人情報取扱事業者が確実に正当な事業活動を遂行する能力を維持できるよう適切な柔軟性を与えるとともに、十分かつ合理的な例外規定を貴委員会が整備することをBSAは求めます。
【The Software Alliance (BSA)】

32/173

【意見要旨】(1) 利用停止等
平成27年改正法第30条に規定されている場合を超えて、事業者が個人情報を適法に取得・利用している場合にまで、本人による利用停止等の請求を認めることは、慎重に検討すべきであると考える。
第1節 個人情報に関する個人の権利の在り方
5. 検討の方向性(4) 利用停止等 (pp.18-19)
平成27年改正法第30条に規定されている場合を超えて、事業者が個人情報を適法に取得・利用している場合にまで、本人による利用停止等の請求を認めることは、慎重に検討すべきであると考える。
中間整理の中で、利用停止等については、「消費者側からの根強い要望に対して、個人の権利を保護していく観点からどのようにすれば一定の対応が可能か、企業側の実態も踏まえつつ、具体的に検討していく必要がある」と、一歩踏み込んだ書きぶりとなっているように見受けられる。
一方で、本人による利用停止等の請求を、事業者が個人情報を適法に取得・利用している場合にまで広げれば、以下のように、事業者に過度な負担を課すことになり得る上、最悪の場合、事業自体が困難となってしまったり、企業としてユーザーの権利利益の保護ができなくなってしまうおそれがある。
103• 悪意のあるユーザーを自社マーケットプレイスから効果的に排除する（再びアカウントを作成できないようにする）ためには、同ユーザーの個人情報を一定程度保管しておかなければならないが、そうした事情があるにもかかわらず、本人による利用停止等の請求に応じなければならないという形になれば、効果的な不正対策が行えず、その他ユーザーの権利利益の保護ができなくなる可能性がある。実際問題として、排除するユーザーから「自分の個人情報を消去して欲しい」といった要求が来ることは多く、そうしたケースにまで本人による利用停止等の請求に応じなければならないとすると、安心・安全なマーケットプレイスを維持できなくなるおそれがある。
• 事業者が本人による利用停止等の請求に広く応じていかなければならないとすると、ビッグデータ分析する手法である機械学習や深層学習に影響を及ぼしうる。この点、利用停止等の請求があった場合とそれまで（特に機械学習の用に）使われて得た成果との関係について、利用停止等の請求に応じなければならないとした場合に前者が後者に波及する仕組みは、ビッグデータの活用を著しく阻害するおそれがある。
• 社内でビッグデータ解析サービスを利用し開発を行っている場合、特定の個人の特定の情報を利用停止等しなければならないとなっても、完全に対応できない可能性がある。
• 事業者が本人による利用停止等の請求に広く応じることが義務となれば、それに応じたシステムを新たに構築する必要があり、多大なコンプライアンスコストが発生してしまうおそれがある。
以上の点に加え、本人による利用停止等の請求を広く認めることは、事業者の予見可能性を損なうとともに、平成27年改正法第1条に規定されている、個人情報の適正かつ効果的な活用および有用性と、個人の権利利益の保護とのバランスを著しく損なう結果となり得る。さらには、本人による利用停止等の請求に応じたことが、関連するサービス自体の利用停止に実務上紐付く場合が想定される。よって、サービスの利用者が思いもよらない不利益を被らないで済むような制度設計の検討なくして、利用停止等の検討はあり得ない。こうしたことから、本人による利用停止等の請求を広く認めることが、かえって個人の利便性や権利利益の保護を損なう可能性があり、懸念される。
【株式会社メルカリ】

33/173

104【意見の対象】
第３章「第1 節 個人情報に関する個人の権利の在り方」「 5 ( 4 ) 利用停止等」【内容】
利用停止の請求は無限定に認められるべきではなく、本人側の不利益の内容及び程度、並びに事業者側の 情報利用の必要性及び利用停止に伴う損失の内容及び程度を比較衡量して判断されるべきである。また、利用停止等を導入するとしても、利用停止ができる個人情報の範囲を限定し、少なくとも、事業者がサービス提供を行うために必要な利用は認めるべきである。
【理由】
近時検討が進められている情報銀行に関する議論を見ても明らかであるとおり、適切な方法で取得された個人情報の利活用は本来認められるべきである。そのため、現行法以上に利用停止等が認められる範囲を広げることは適切でなく、個人情報保護委員会において、現行法に則った適切な運用がされるように対処することで対応すべきである。事業者は、適法に取得した情報を利用できることを前提に、業務システムやプロセスを構築しており、これらの情報利用が事後的に不可能となると、先行投資が無に帰するおそれがあり、 業務の継続自体が不可能となる場合もある。少なくとも、投下資本を回収可能な期間は、情報の継続利用が認められて然るべきであり、利用停止等により個人が得る利益と、当該利用停止のために企業にかかる負担との慎重な比較衡量が必要である。
また、事業者は、複数の組織において、ある特定の個人の個人情報をサービス毎に保管していることが多く、利用目的ごとには管理していない。そのような中で、本人からの請求で利用停止できるとなると事業者の負担は大きくなる。また、仮に利用目的ごとに利用停止できる（例えば、サービス利用のアンケートには利用してもよいが、新商品の勧奨目的は停止したいと言った場合。）とすると、利用停止対象となる利用目的で個人情報を利用している組織の特定等利用停止対応に多大な負担が生じる。また、この場合、事業者は利用目的ごとにデータベースを整える必要が生じ、事業者にとって過度の負担になる。加えて、利用停止できるとする個人情報の範囲が不明確であるため、広範囲での利用停止が可能（例えば、個人情報を一切の利用停止を求めるなどという場合）とすると、サービス提供に必要な範囲（アフターフォローや不具合対応、料金請求等）での利用もできなくなる恐れがある。さらに、事業者内で点在している情報の「名寄せ」は容易なものではなく、クレンジ
ングを行うのも時間とコストを伴い、名寄せの結果が完全なものであるとは断言できない状況にある。導入に際しては、事業者側に多大な負担が生じることをご理解いただき、慎重に検討されたい。
【経営法友会】

105

6 要配慮個人情報に関する民間の自主的取組の推進(1) 該当箇所
認定個人情報保護団体制度の充実 (30頁）民間の自主的取組の推進 (31頁）プロファイリングにかかる規定 (13頁）等(2) 意見いわゆるプロファイリング一般に関するGDPR同様の法整備に関しては、引き続き検討を行うべきであるが、特に医療情報に関しては、プロファイリング等による実質的な取得がなされることがあるという観点も含めて、消費者保護の強化がなされるような自主的取組みを促すこと。そのため、認定個人情報保護団体の指針による共同規制のあり方も検討すべきである 。
(3) 理由病歴を含む医療情報は、その多くが要配慮個人情報として、同意に基づいた取扱いが求められる。しかし、適切な同意が必ずしも得られておらず、あるいは要配慮
個人情報ではない情報に対してプロファイリング等により病歴と同等の情報を取得することもある。
プロファイリングヘの対応としては利用停止請求権により実現できる部分もあるが、本人が知りえない個人情報の取扱いに関しては対応し得ないため、何らかの手当が必要となる。
ヘルスケア関連の民間でのデータベースが整備されていく中、また、「情報銀行」における医療情報の取扱いに関する議論が不十分である現状において、ハード
ローでの規制（名簿屋規制も含む）に加えて、認定個人情報保護団体等による、同意による消費者・患者保護以外の積極的な保護の自主的取組みを促すことが望ましい。その際、個人情報保護委員会に認定された指針に基づく取扱いに関しては適法とするような、いわゆる共同規制の仕組みも検討すべきである 。
【世界経済フォーラム第四次産業革命日本センター】

34/173

第３章第１節関係No.

オプトアウト規定
提出意見

消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されていることに不安を感じている。流通している名簿は、特殊詐欺やアポ電犯罪などにも使われている。
中間整理を拝読し、消費者の声に耳を傾け、名簿屋問題を解決しようとされていることに感謝したい。中間整理で示唆され、また、新聞報道にあるように、利用停止・消去請求権の原因を現在の16条、17条違反に限定しないことは大きな進歩である。(もちろん、28条2項のような例外は必要である)
個人情報保護法が保護と活用のバランスのため、すべての利用に事前同意を義務付けるのではなく、一定の場合、本人の権利行使に依っていることも理解できる。しかし、2015年改正での23条2項の改正や25条、26条の新設にもかからず消費者からの不満が多いことは、実体法の改正だけでは問題が解決せず、本人の権利行使を容易にするための制度や運用が必要であることを示している。
一般の消費者が名簿屋に対しオプトアウトや利用停止・消去請求権の行使をするためには、事実上、以下の問題がある；(1)多くの名簿販売事業者に個々の消費者がコンタクトすることの負担(2)本人確認書類提出の不安より重要な個人情報の提出を求められる可能性がある(3)未届の名簿販売事業者の把握と消去請求の困難
個人にとって把握が難しいばかりか、遵法精神の疑われる事業者へのコンタクトには勇気が必要である。
(4)業者間の流通により、消去してもまた入手され、勧誘がやまない106

そこで、以下の提案をし、そのために必要な法改正をお願いしたい。
１．本人関与原則に基づく請求権行使の代理人となる信用できる団体（以下「団体」という）を通じ、消費者の権利行使を容易にする制度
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その「団体」に登録しさえすればよい。「団体」
は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、登録している消費者を代理して権利行使する。「団体」は、これらの活動や、消費者からの勧誘
電話に関する苦情を元に、未届の事業者の情報を収集する。
「団体」が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの「団体」に提出しリスト記載の個人情報の削除後返却される形にする。「団体」が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消し、消去しても再度勧誘電
話が来る事態を回避することが可能である。
認定個人情報保護団体にこの役割を求めるとすると、消費者は複数の団体に登録が必要になること、法執行を担う立場と相反することもあり得ることから、独立した団体を設立することが望ましい。
この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査、等、厳しい執行をお願いしたい。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とする。
間接取得者が上流での同意を主張する場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても、本人の同意がなければ、不提供・消去義務を負う。
そのために手元にオプトアウトリストが残ることについては、１．で解決する。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けてはどうか。(もちろん、遵法精神高い事業者に無駄な労力をかけさせない
ガイドラインは必要)【個人】

35/173

107

第３章第1節4 オプトアウト手続きについて
名簿屋対策としてその把握のために改正法にて届出義務を設けた趣旨と理解しているがそもそも名簿作成自体の部分でオプトアウト方式で作成されている場合その届出がなされていないのではないか。相談ダイヤルにて質問しても、届出の対象者はあくまで名簿屋とされ会員名簿を発行する非営利団体は届出の必要性の有無には、
具体的な回答がなかった。
会員名簿の作成の注意事項については別途留意事項が委員会から公表されているがそのなかでは、オプトアウト方式の作成まではふれてなく具体的な同意のとり方まで教示してもらいたい。相談にははがきの発送により住所確認を行う際に返信がないものは前回発行された名簿と同内容ということでそのまま掲載は可能か否かの解釈も難しいのではとの回答を得た。今一度、会員名簿作成の際のガイドラインの公示を希望します。
【個人】

108

１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その団体に登録・授権しさえすればよい。行使代理機
関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使する。
行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。
この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とするべきである。
間接取得者が上流での同意を主張する場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うものとすべきである。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべきである。
【個人】

109

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【理由】
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、Do-not-call登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないのであるが、リスト洗浄制
度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【個人】

36/173

110

第１ 個人情報の第三者提供とオプトアウト、利用停止等について【提案】
１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その団体に登録・授権しさえすればよい。行使代理機
関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使する。
行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。
この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とするべきである。
間接取得者が上流での同意を主張する場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うものとすべきである。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべきである。
【個人】

111

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【個人】

P16～19112

第3章 個別検討事項 第1節 個人情報に関する個人の権利の在り方
5．検討の方向性
中間整理でも指摘されているように、消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されていることに不安を感じています。流通している名簿は、特殊詐欺やアポ電犯罪などにも使われています。
こうした実態、消費者の声に耳を傾け、名簿屋問題を解決し、利用停止等について個人の権利の範囲を広げる検討を行うとしていることを支持し、制度改善の早期実
現を強く求めます。
具体的には、消費者の権利行使代理機関（団体）による請求の制度を創設し、名簿販売事業者へのオプトアウト請求や利用停止・消去請求を希望する消費者はその団体に登録・授権すれば、団体が委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使できるようにすることを求めます。
電話勧誘については、既に欧米を始め19カ国以上で実施されているドントコール制度を創設し、電話勧誘を受けたくない消費者の登録機関として権利行使代理機関（団体）を活用して、消費者がドントコール登録簿に登録すればリスト洗浄方式によって電話勧誘に使われる名簿から除外されるようにすることを求めます。
【個人】

37/173

113

第１ 個人情報の第三者提供とオプトアウト、利用停止等について【提案】
１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その団体に登録・授権しさえすればよい。行使代理機
関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使する。行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とするべきである。間接取得者が上流での同意を主張す
る場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うものとすべきである。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべきである。
【理由】
消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されていることに不安を感じている。流通している名簿は、特殊詐欺やアポ電犯罪などにも使われている。中間整理で示唆され、また、新聞報道にあるように、利用停止・消去請求権の原因を現在の16条、17条違反に限定しないことは大きな進歩である。(もちろん、28条2項のような例外は必要である) 個人情報保護法が保護と活用のバランスのため、一定の場合、本人の権利行使に依っていることも理解できる。しかし、2015年改正での23条2項の改正や25条、26条の新設にもかかわらず消費者からの不満が多いことは、実体法の改正だけでは問題が解決せず、本人の権利行使を容易にするための制度や運用が必要であることを示している。
一般の消費者が名簿屋に対しオプトアウトや利用停止・消去請求権の行使をするためには、事実上、以下の問題がある；
１多くの名簿販売事業者に個々の消費者がコンタクトすることの負担
２本人確認書類提出の不安 より重要な個人情報の提出を求められる可能性がある
３未届の名簿販売事業者の把握と消去請求の困難 個人にとって把握が難しいばかりか、遵法精神の疑われる事業者へのコンタクトには勇気が必要である。 ４業者間の流通により、消去してもまた入手され、勧誘がやまない
これらの障害を取り除き、オプトアウトを実効性のある制度にするために、行使代理機関（団体）を創設し、当該機関による請求の制度とすべきである。
【心斎橋総合法律事務所】

114

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【理由】
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、Do-not-call登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないのであるが、リスト洗浄制
度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【心斎橋総合法律事務所】

38/173

115

３．法とガイドラインの内容に齟齬がある：法は一般規定、ガイドラインは各論（運用上の詳細事項）規定である。法とガイドラインに論理的不整合が見られる部分が複数ある。
重要事項を例示すると、（１）〔略〕（２）法では、要配慮個人情報にはオプトアウトを認めていないが、医療・介護分野のガイダンスでは、黙示の同意という表現で実質的にオプトアウトを認めている。法に、特定分野ではオプトアウトを認める場合があると明記するべきである。
【公益社団法人全日本病院協会】

116

１ 同窓会名簿など，流通を前提としない名簿が名簿屋で売買されていることを取り締まれない状況は異常である。また，これらの名簿が，詐欺や悪質商法に利用されているのは，明らかに問題である。
２ 上記の状況を改善するため，名簿屋は，個人情報を取得，譲渡する場合は，取引相手を公的資料をの原本をもって確認しなければならないという規定をおくべきである。
３ また，個人情報がどこに流通しているのか分かるように，流通する個人情報がどこに譲渡されたのか把握する第三者機関をせっちすべきである。
４ その誠実上，流通を前提としない個人情報（同窓会名簿等）については，その第三者提供が違法であるものと整理すべきである。
【近畿中央法律事務所】

117

２ （該当箇所）
１４～１６ページ、オプトアウト規定と名簿屋対策の状況
１９ページ、（５）オプトアウト規定と名簿屋対策（御意見）
名簿屋対策に焦点を当てているが、それ以外にオプトアウト規定が関係する問題はないのか。
（理由）
次のような指摘がある。
オプトアウトの「対象は原則『名簿事業者』に限られ、その線引きも曖昧だ。不動産大手は２年前、オプトアウト利用を検討したが、個人情報保護委員会から「貴社は対象外の業種」と突き返された。」（「」内は日本経済新聞掲載の記事、日付不明）
【個人】

118

第１ 個人情報の第三者提供とオプトアウト、利用停止等について【提案】
１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
2/.特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
理由】
消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されていることに不安を感じている。流通している名簿は、特殊詐欺やアポ電犯罪などにも使われている。
業者間の流通により、消去してもまた入手され、勧誘がやまない
これらの障害を取り除き、オプトアウトを実効性のある制度にするために、行使代理機関（団体）を創設し、当該機関による請求の制度とすべきである。
【個人】

39/173

119

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【理由】
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されてい
る。
【個人】

120

消費者は、自ら個人情報を提供した心当たりがない勧誘電話提供に迷惑を勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されてることに不安を感じています。流通している名簿は、特殊詐欺やアポ電犯罪にも使われています。中間整理は、消費者の声に耳を傾け、名簿屋問題を解決しようとされていることに敬意を表したいです。中間整理で示唆され、また新聞報道にあるように、利用停止、消去請求権の原因を、現在の16条、17条違反に限定しないことは大きな進歩です。
（もちろん、28条2項のような例外も必要）
個人情報保護法が保護と活用のバランスの為、一定の場合、本人の権利行使に依っていることも理解出来ますが、2015年改正で23条2項の改正、25条、26条を新設したにもかかわらず、消費者からの不満が多いことは、実体法の改正だけでは問題が解決せず、本人の権利行使を容易にするためな制度や運用が必要であることを示しています。
一般の消費者が名簿屋に対しオプトアウトや利用停止、消去請求権の行使をするためには、事実上以下の問題があります。
1、多くの名簿販売業者に個々の消費者がコンタクトすることの負担
2、本人確認書類を提出することへの不安（より重要な情報を求められる可能性）
3、未届けの名簿販売業者の把握と消去請求の困難（個人にとって把握が難しいばかりか、尊法精神の疑われる事業者へのコンタクトには勇気が必要である。）
4、業者間の流通により、消去してもまた入手され、勧誘が止まない
これらの障害を取り除き、オプトアウトを実効性のある制度にするため、行使代理機関、または団体を創設し、当該機関による請求の制度とすべきと思います。
【個人】

121

3.名簿屋対策を徹底するよう要望します。
（理由）
消費生活センターには、名簿屋に関する相談が古くから寄せられており、届出義務が課されたオプトアウト規定が導入されて以降も、なぜ自分の個人情報が知られているのか、本人が同意していないところで個人情報の売買など名簿屋が介在していることの懸念をぬぐうことができていません。
平成30年度版消費者白書において、中高年層から、法務省等をかたる架空請求のはがきに関する相談が急増したと報告され、その件数は、5.6万件にのぼり、各地の消費生活センターでは現実に深刻な被害相談を受けています。古い名簿が使われているだけではなく、同じ人に何通も届くなど名簿の使いまわしの利用も推測されています。
消費者被害の原因ともなる個人情報の売買には届け出を必須とし、罰則の適用範囲の拡大、届出廃止など、厳重な対応をすべきと考えます。
【（公社）全国消費生活相談員協会 関東支部】

122

私たちの知らないところで個人情報が売買されていることに不安を感じます。中間整理は、この問題に真摯に取り組んでいただいています。しかし、私たちがこの法
律上の権利行使をするための制度や当局の運用取り締まり体制が不十分に思います。個人情報保護委員会の規模の拡大や充実が望まれます。また、実効性のある制度にするために、行使代理機関（団体）を創設するのも一つの方法ではないでしょうか。
【個人】

40/173

123◆『第３章／第１節／５．検討の方向性／』についての意見
GAFAの個人データの取り扱いに対する問題意識が、批判的な側面から高まっている。また、GDPRの施行とEUとのEPA締結による、個人情報・個人データの保護に対する関心も高まってきている。このような社会状況を反映して、個人情報保護委員会の動向への注目度が高くなっているが、一方で、私たち自身の情報リテラシーの成熟がその現状に追いついていないというアンバランスが見られる。そしてそのことは、この中間整理にも表れている。
（５）オプトアウト規定と名簿屋対策
オプトアウトという概念は、日本人には馴染みの薄いものと言える。個人情報保護法でも、平成27年改正法で創設されたばかりである。したがって、個人による事業者に対する対策の徹底を求める意見が多いのは当然である。オプトアウトに対する事業者の徹底に対しては、より積極的な対応を求めるものである。
【個人】

124

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（５）オプトアウト規定と名簿屋対策について
自治体消費生活相談員として消費者トラブルのご相談を日々うかがっている者です。消費者団体、消費生活相談員からのタウンミーティングでの意見にも表れているように「名簿屋」問題は今現在も深刻です。当方が担当する消費生活窓口にも個人情報漏えいに関する住民からの不安の声、苦情相談が多数寄せられています。特
殊詐欺やアポ電犯罪などに関係する、つまり法を遵守しない悪質な「名簿屋」の存在は、例えば今年3月に放映されたNHKスペシャルドラマ「詐欺の子」でも取り上げられ、大きな反響がありました。そのような「名簿屋」の存在は、個人情報保護法を遵守する事業者から名簿を持ち出す悪意ある（社員などの）関係者を生んでしまいます。特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入を要望します。
また、個人情報保護委員会は、悪質な「名簿屋」等に対する情報収集手段としてPIO-NET（全国消費生活情報ネットワークシステム）をもっと活用していただきた
いと要望します。
利用停止権や漏えい報告の導入など消費者にとって望ましい方向とは思いますが、ただ個人情報保護法の規制強化をするだけでは、法令を遵守する事業者の負担が重くなるばかりで、悪質な事業者や犯罪から消費者を守ることにはあまり繋がらないのではないかと懸念します。本年2月には「名簿屋」問題が関係すると思われる
アポ電殺人事件まで発生しています。喫緊の課題として取り組んでいただけるよう切望いたします。
【個人】

125

不招請勧誘の温床になっているのが「名簿屋」、悪質商法業者などから流出する顧客データ等です。電話帳データや破産情報などをデータ化して、ネット上で公開するケースもあり、個人情報保護法の規定がおざなりになっている現状があります。
高齢者の消費者被害を防ぐには、不招請勧誘の規制が必要であり、一般の方でも不招請勧誘を受けたくないと思う人も多いです。
不招請勧誘被害を防ぐためには、不招請勧誘を受けたくない人の登録制度が必要になってきます。電話番号や住所氏名等の登録や管理をするための機関は民間企業ではなく、個人情報保護法にリンクした法に基づく機関が行うべきと考えます。
個人情報保護法がより実効性のある法令になるよう、データ不正流出の厳罰化、不招請勧誘禁止の登録制度等の検討をお願いしたいです。
【匿名】

41/173126

４．オプトアウト規定と名簿屋対策の状況（２）名簿屋に関する実態調査（平成29年度）
主な取得先として「同窓会名簿」が挙げられている。
■意見概要
利用目的に反した名簿の買い取りは、名簿掲載者の利益に反するので、不正な手段によって取得された例として記載するとともに、名簿屋を指導すべきでないか。
■意見内容
・同窓会名簿、町内会名簿、マンション居住者名簿などの名簿には、名簿掲載者間の連絡のためなどと利用目的が明記され、関係者外秘、販売禁止などが記載されているが、名簿掲載者本人から名簿を名簿業者が買い取る事例が散見される。（名簿業者のオプトアウト表記に掲載者本人から購入などと記載）
利用目的に反し、買取りに応じた本人を除くすべての名簿掲載者の利益を損なうことが明確でありながら、名簿を名簿業者が買い取る行為は不正な取得にあたるのではないか。
大量の個人情報であるという理由だけで、本人の同意を得ることなく、オプトアウトすれば、あたかも「免責」されるような実態は許されるべきでない。
また、このような個人データを名簿業者から購入することは、「不正な取得を知りながらの購入」にあたるのではないか。
不正な手段によって取得された例として記載すべきでないか。
【個人】

127

第１ 個人情報の第三者提供とオプトアウト、利用停止等について【提案】
１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その団体に登録・授権しさえすればよい。行使代理機
関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使する。
行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。
この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とするべきである。
間接取得者が上流での同意を主張する場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うものとすべきである。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべきである。
【個人】

42/173

128

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【理由】
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、Do-not-call登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないのであるが、リスト洗浄制
度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【個人】

129

３．名簿屋対策を徹底するよう要望します。
（理由）
消費生活センターには、名簿屋に関する相談が古くから寄せられており、届出義務が課されたオプトアウト規定が導入されて以降も、なぜ自分の個人情報が知られているのか、名簿が売り買いされているのではないかなど、本人が同意していないところで個人情報の売買など名簿屋が介在していることの懸念をぬぐうことができていません。
平成30年度版消費者白書において、中高年層から、法務省等をかたる架空請求のはがきに関する相談が急増したと報告され、その件数は、5.6万件にのぼります。古い名簿が利用されたのではないかと推測されています。
消費者被害の原因ともなる個人情報の売買を行っているにも関わらず、届出のない名簿屋に対しては届出書を提出するよう指導したり、届出のある名簿屋の確認・記録義務の履行に問題のある場合に適正に履行する体制を整備するよう指導・助言を行うことでは足りません。罰則の適用範囲の拡大、届出廃止など、厳重な対応をすべきと考えます。
【公益社団法人全国消費生活相談員協会】

43/173

130

第１ 個人情報の第三者提供とオプトアウト、利用停止等について提案
１ 第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者はその団体に登録・授権しさえすればよい。行使代理機関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し代理して権利行使する。行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。この権利行使に応じず又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２ 間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とするべきである。間接取得者が上流での同意を主張す
る場合、その立証義務を課しそれを開示させる場合に初めて本人確認を必要とする。
３ 一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うものとすべきである。
４ 本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５ 特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６ ５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべきである。
理由
消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り本人の知らないところで個人情報が売買されていることに不安を感じている。流通している
名簿は、特殊詐欺やアポ電犯罪などにも使われている。中間整理は、消費者の声に耳を傾け、名簿屋問題を解決しようとされていることに敬意を表したい。中間整理で示唆され、また、新聞報道にあるように、利用停止・消去請求権の原因を現在の16条、17条違反に限定しないことは大きな進歩である。(もちろん28条2項のような例外は必要である)個人情報保護法が保護と活用のバランスのため、一定の場合、本人の権利行使に依っていることも理解できる。しかし2015年改正での23条2項の改正や25条、26条の新設にもかかわらず消費者からの不満が多いことは、実体法の改正だけでは問題が解決せず、本人の権利行使を容易にするための制度や運用が必要であることを示している。
一般の消費者が名簿屋に対しオプトアウトや利用停止・消去請求権の行使をするためには、事実上、以下の問題がある。
１ 多くの名簿販売事業者に個々の消費者がコンタクトすることの負担
２ 本人確認書類提出の不安:より重要な個人情報の提出を求められる可能性がある
３ 未届の名簿販売事業者の把握と消去請求の困難
個人にとって把握が難しいばかりか遵法精神の疑われる事業者へのコンタクトには勇気が必要である。
４ 業者間の流通により、消去してもまた入手され、勧誘がやまない
これらの障害を取り除き、オプトアウトを実効性のある制度にするために、行使代理機関（団体）を創設し、当該機関による請求の制度とすべきである。
【個人】

44/173

131

第２ ドントコール制度について
提案
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
理由
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるドゥノットコール制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はドゥノットコール登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、ドゥノットコール登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないのであるが、リスト洗浄制
度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【個人】

132

１.個人の情報の扱いについて、当該個人の意向が実効的に行使できる仕組みを整備すべきである。オプトアウトの権利行使を容易にできるための行使代理期間による行使を可能にする制度を創設すべきである。消費者は、自分の情報の扱いについて都度申し出ることは不可能に近い。名簿を取得している事業者にオプトアウト請
求や利用停止・消去請求を希望する消費者が個々に行使しなければならないしくみではなく、行使機関に登録すればその手続きをすることができる仕組みを整えるべ
きである。
【個人】

45/173

133

第１ 個人情報の第三者提供とオプトアウト、利用停止等について【提案】
１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その団体に登録・授権しさえすればよい。行使代理機
関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使する。行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とするべきである。間接取得者が上流での同意を主張す
る場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うものとすべきである。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべきである。
【理由】
消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されていることに不安を感じている。流通している名簿は、特殊詐欺やアポ電犯罪などにも使われている。中間整理は、消費者の声に耳を傾け、名簿屋問題を解決しようとされていることに敬意を表したい。中間整理で示唆され、また、新聞報道にあるように、利用停止・消去請求権の原因を現在の16条、17条違反に限定しないことは大きな進歩である。(もちろん、28条2項のような例外は必要である)個人情報保護法が保護と活用のバランスのため、一定の場合、本人の権利行使に依っていることも理解できる。しかし、2015年改正での23条2項の改正や25条、26条の新設にもかかわらず消費者からの不満が多いことは、実体法の改正だけでは問題が解決せず、本人の権利行使を容易にするための制度や運用が必要であることを示している。一般の消費者が名簿屋に対しオプトアウトや利用停止・消去請求権の行使をするためには、相手方の把握が難しいばかりか、遵法精神の疑われる事業者へのコンタクトには勇気が必要である。
このような障害を取り除き、オプトアウトを実効性のある制度にするために、行使代理機関（団体）を創設し、当該機関による請求の制度とすべきである。【個人】

134

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【理由】
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、Do-not-call登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないのであるが、リスト洗浄制
度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【個人】

46/173

135

不動産営業の電話が名簿屋から情報を買ったと言ってかかってくるが、名簿屋を聞いても会ったこともない知らない会社（名簿屋）でオプトアウトがしっかり機能していない。（特定商取引法違反でもあるが。）
また名簿屋の中には連絡先は書いてあるが、連絡がつかない、対応も誠実な対応がない、「女性・看護師・連絡先・住所」と犯罪に悪用されかねない情報を売っていると掲載している名簿屋もあり、非常に恐ろしい。
不動産会社もオプトアウトしている会社から名簿を買ったというばかりで名簿屋の信頼性のチェックはしていないケースが多々あり、オプトアウトは申請あげれば落とされることはないようなザルになってしまっているのではないか
違反していると疑われる場合は抜き打ちでチェックし、停止命令や高額な罰金をかけるような強制力がないと管理機能が働くように思えない。
【株式会社宮崎】

136

提出意見：
1.個人情報の流通・利用を望まない者が、代理機関に委託して、包括的にオプトアウトできる制度を制度を導入すべきである。
具体的な制度のイメージは、以下のとおりである。
自身の個人情報の流通を望まない者の受託により権利行使を行う機関を創設し、オプトアウトしたい者はこの期間に委託すれば足りるものとし、名簿業者が新たに取得した個人情報のリストについては、代理行使機関を介して、権利行使を受けるものとし、その方法として、権利行使の有無を確認する義務を課して、代理行使機関
が権利行使者が含まれるか否かをチェックする。
（理由）
多くの者が、自ら提供した心当たりのない勧誘電話に迷惑と感じ、また、自らの知らないところで個人情報が売買されていることに不安を感じている。特に、流通している名簿は、特殊詐欺やアポ電犯罪などにも使われていることに脅威を感じている。
名簿屋に対するプトアウトや、利用停止・消去請求権を認めたとしても、実際問題として多数の業者を相手に個別に権利行使をすることは負担が大きく、また、権利行使に際して、本人確認の書類提出することにもまた不安を感ずる。さらに、未届の名簿販売事業者については、それを把握すること自体難しく、仮に把握できたとしても、遵法精神の疑われる事業者に対しては安心して権利行使のためのコンタクトとることもできない。加えて、権利を一旦行使して個人情報を消去できたとしても、再度入手されれば権利行使の意味も無くなってしまう。
【個人】

137

提出意見：
２．電話勧誘拒否登録制度を導入すべきである。
具体的な制度のイメージは、電話勧誘を望まない者は、登録機関にその旨を登録するものとし、電話勧誘（広告を含む）を粉う事業者は、電話をかけるための対象者の電話番号のリストを、登録機関に提供し、拒否登録者の電話番号を削除してもらう。拒否登録者に対する電気勧誘を行うことを禁止する。
（理由）
同意しない電話による勧誘は迷惑以外の何物でもない。不意打ち的な勧誘は、消費者の自主的かつ合理的な意思決定を損い、不本意な契約を招くことが少なくない。
高齢化がが進展するなか、判断力が低下した消費者においてはその危険がより大きい。多くの国々において、電話勧誘拒否登録（Do-Not-Call）制度が普及している。我が国においても、同様の制度の必要性は高い。登録されたデータが悪用されなようにするためには、登録された名簿を事業者に開示する方式ではなく、事業者の保有する番号リストから、登録者の番号を除外するという方式を採用すべきである。
【個人】

47/173

138

第１ 意見の趣旨
１ 個人情報の第三者提供とオプトアウト、利用停止等について第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
２ Do-not-call制度について
リスト洗浄方式によるDo-not-call制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
第２ 意見の理由
１ 個人情報の第三者提供とオプトアウト、利用停止等について消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されていることに不安を感じている。流通している名簿は、特殊詐欺やアポ電犯罪などにも使われている。
中間整理で示唆され、また、新聞報道にあるように、利用停止・消去請求権の原因を現在の16条、17条違反に限定しないことは大きな進歩である(もちろん、28条2項のような例外は必要である)。
そして、個人情報保護法が保護と活用のバランスのため、一定の場合、本人の権利行使に依っていることも理解できる。
しかし、平成27年改正での23条2項の改正や25条、26条の新設にもかかわらず、消費者からの不満が多いことは、実体法の改正だけでは問題が解決せず、本人の権利行使を容易にするための制度や運用が必要であることを示している。
一般の消費者が名簿屋に対しオプトアウトや利用停止・消去請求権の行使をするためには、事実上、以下の問題がある。
(1) 多くの名簿販売事業者に個々の消費者がコンタクトすることの負担(2) 本人確認書類提出の不安(3) 未届の名簿販売事業者の把握と消去請求の困難(4) 業者間の流通により、消去してもまた入手され、勧誘がやまない
これらの障害を取り除き、オプトアウトを実効性のある制度にするために、行使代理機関（団体）を創設し、当該機関による請求の制度とすべきである。
【個人】

139

第１ 意見の趣旨
２ Do-not-call制度について
日本では、電子メールとファクスについてのみ規制がなされている。
しかし、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、Do-not-call登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないのであるが、リスト洗浄制
度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【個人】

48/173

第１ 個人情報の第三者提供とオプトアウト、利用停止等について【提案】
１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その団体に登録・授権しさえすればよい。行使代理機
関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使する。行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とすべきである。間接取得者が上流での同意を主張する
場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うとすべきである。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべき。
140

【理由】
消費者は、自ら個人情報を提供した心当たりのない勧誘電話に迷惑を被り、本人の知らないところで個人情報が売買されていることに不安を感じている。流通している名簿は特殊詐欺やアポ電犯罪などにも使われている。中間整理は、消費者の声に耳を傾け、名簿屋問題を解決しようとされていることに敬意を表したい。中間整理で示唆され、新聞報道にあるように、利用停止・消去請求権の原因を現在の16条、17条違反に限定しないことは大きな進歩である。(もちろん、28条2項のような例外は必要である) 個人情報保護法が保護と活用のバランスのため、一定の場合、本人の権利行使に依っていることも理解できる。しかし、2015年改正での23条2項の改正や25条、26条の新設にもかかわらず消費者からの不満が多いことは、実体法の改正だけでは問題が解決せず、本人の権利行使を容易にするための制度や運用が必要であることを示している。
一般の消費者が名簿屋に対しオプトアウトや利用停止・消去請求権の行使をするためには、事実上、以下の問題がある(1)多くの名簿販売事業者に個々の消費者がコンタクトすることの負担(2)本人確認書類提出の不安 より重要な個人情報の提出を求められる可能性がある(3)未届の名簿販売事業者の把握と消去請求の困難
個人にとって把握が難しい上、遵法精神の疑われる事業者へのコンタクトには勇気が必要である。
(4)業者間の流通により、消去してもまた入手され、勧誘がやまない
これらの障害を取り除き、オプトアウトを実効性のある制度にするために、行使代理機関（団体）を創設し、当該機関による請求の制度とすべきである。
【個人】

49/173

141

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【理由】
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、Do-not-call登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないが、リスト洗浄制度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【個人】

142

意見６
（該当箇所）
４．オプトアウト規定と名簿屋対策の状況（１４ページ）（意見）
個人情報を第三者に提供する同意を取得した際の確認記録に関係する義務は、取得の際の利用目的に応じた適当な義務として緩和する見直しを提案します。
（理由）
前回の改正で、オプトアウト規定が厳格化されるなど、いわゆる名簿屋を想定して規定した内容については、名簿屋以外の事業者にとっては、過度に厳しいものになっています。名簿屋を特定することは難しいと思われますが、たとえば、個人情報の利用目的の内容により、名簿屋のような利用をしない事業者については、名簿屋と比較して緩和した記録義務となるように見直すことを提案します。
【日本個人情報管理協会】

143

該当箇所：P14：第3章第1節4（2）（p14）名簿屋から提供を受けた事業者について意見：記載が不十分ではないか．
理由：名簿屋から個人情報の提供を受けた事業者の記載があり，名簿屋についてはオプトアウトの届け出，取得および提供時の確認記録について調査されているが，提供を受けた側についも記載が必要ではないのか．提供を受けるものは取得の経緯の確認・記録義務があり，オプトアウトによる提供の場合は「個人情報保護委員会
により公表されている旨」の確認が義務付けられているため，この点も違反事例である説明が必要でないか．
【個人】
国民本人には、自分に関する情報が第三者にどのように集められ利用しているのかが全く見えないだけに、根強い不安があります。また、財産的被害であれば金銭補償で被害回復をすることが可能ですが、個人情報については、回復が不可能なようにも思います。企業の国際競争力の維持や便利な社会の構築のために利活用が大事であることは理解できますが、その大前提として、情報を利用される国民がどう感じるかを出発点として制度が設計され運営されることを希望します。報告書全体に、国民よりも事業者や産業界への配慮が感じられるように思ったのは私だけでしょうか。

144
わが国では、不招請勧誘が一部の業を除いて禁止されていません。そのため、今でも「高校の同窓会名簿で知った」等の飛びこみ電話や訪問営業を行う事業者が絶えず、消費者被害の原因（端緒）にもなっています。不招請勧誘の禁止がわが国社会の原則とならない以上、名簿屋については厳しい態度でのぞむことが、国民の安全な暮らしのためには必要なように思います。報告書の書き振りは、やや手ぬるいと感じました。
【個人】

50/173

145

第１ 個人情報の第三者提供とオプトアウト、利用停止等について【提案】
１．第三者提供の要件であるオプトアウトの権利行使を容易にするために行使代理機関（団体）による請求の制度を創設すべきである。
名簿販売事業者へのオプトアウト請求や利用停止・消去請求（以下「権利行使」という）を希望する消費者は、その団体に登録・授権しさえすればよい。行使代理機
関（団体）は、委員会掲載の名簿販売事業者やその上流・下流の事業者に対し、代理して権利行使する。
行使代理機関（団体）が権利行使する際、新たな個人情報を事業者に与えないように、名簿販売事業者は入手した名簿をこの団体に提出しリスト記載の個人情報の削除後返却される形にする。行使代理機関（団体）が権利行使希望者のリストを保有しているため、名簿販売事業者の手元にオプトアウトリストが残る心配も解消することができることとする。
この権利行使に応じず、又は、応じたとして実は消去していない事業者には、委員会の立入検査等執行のための諸制度を整備する。
２．間接取得者に対しては、個人情報保有の有無の確認請求と利用停止請求については、本人確認書類を不要とするべきである。間接取得者が上流での同意を主張す
る場合、その立証義務を課し、それを開示させる場合に初めて本人確認を必要とする。
３．一旦、オプトアウトや消去請求を受けた個人情報は、再度入手しても不提供・消去義務を負うものとすべきである。
４．本人または代理人の請求に応じ、入手元、提供先情報の開示義務を設ける。
５．特殊詐欺やアポ電犯罪などの犯罪に利用される蓋然性が高いことを認識していた名簿屋、ブローカーへの直罰の導入。
６．５を若干、容易にするため、第三者提供時には、提供先の利用目的の確認も義務付けるべきである。
【個人】

146

第２ ドントコール制度について【提案】
リスト洗浄方式によるドントコール制度を創設し、その登録機関としては、個人情報のオプトアウト請求の行使代理機関（新たに創設する）を活用すべきである。
【理由】
日本では電子メールとファクスについてのみ規制されているが、世界では電話による勧誘規制であるDo-Not-Call制度を導入している国は、欧米を始めとして既に19カ国以上ある。
この制度では、電話勧誘を受けたくない消費者はDo-not-call登録簿に登録するだけで、事業者はこの登録簿に登録されている消費者への電話勧誘を禁止されている。近年導入した国では、事業者に架電先電話番号リストをアップロードさせ、Do-not-call登録簿にある番号を消去するかマークして返す「リスト洗浄方式」が増えている。
このリスト洗浄を利用すれば、勧誘について消費者の情報提供を待つ必要がなく、架電前にその利用事業者が誰のリストを持っているか検知することができ、これをベースに個人情報の流通を遡ることができる。
現状では、未届名簿販売事業者の捕捉のためには、そこから購入された情報による勧誘を受けた消費者による情報提供を待たねばならないのであるが、リスト洗浄制
度により、未届名簿販売事業者の捕捉率の向上を図ることが可能となる。
【個人】

147

(5) オプトアウト規定と 名簿屋対策【意見】
すでに述べた通り、個人情報の収集段階での本人関与の原則の欠如がまず問題であること、確認・記録義務が遡及的に対応されているわけではないので、過去の仕組みから生じている問題、現在・将来的に生じる問題を整理して、対応策について示す必要がある。個人情報取扱事業者以外の個人などから名簿を収集するか、公表情報からの収集が一般的であると思われるが、オプトアウトは本人からの求めに応じて行うものであるため、例えば自治会名簿が流出していることを把握しつつも、自治会として対応したくてもできず、本人が申し出なければならないことになる。個人情報保護法の適用を受けない個人からの収集が、適正取得の原則に反している扱
いになっていないと理解されていると思われ、このような場合、個人にその対応を帰結させる問題とするのか、本来は適正管理をしたい自治会など各種団体にもその申し出を認めるのかなど、情報入手先の開示のみならず、検討すべき課題がある。
【特定非営利活動法人 情報公開クリアリングハウス】

51/173148

3. 個人情報に関する個人の権利の在り方（中間整理 第3章 第1節）
( 3 ) オプトアウトと名簿屋対策
オプトアウトと名簿屋対策について，「現行制度の執行による名簿屋対策の徹底を進め，個人情報保護法に適用しない形で名簿等が取り扱われている場合には必要な措置をとる必要がある」(19 頁）ことについては， 特段の異論はない。
もっとも，適法に実施されるオプトアウトによる第三者提供の制度について，デー 夕主体となる「個人」に対しても認知を進めるよう必要な措置を講じてもらいたい。適法にオプトアウトを実施しているにもかかわらず，「個人」に悪印象を抱かれる事態になるとすれば，そのような事態は，「新たな産業の創出並びに活力ある
経済社会及び豊かな国民生活の実現に資するもの」に反するものであることは言うまでもない。
【一般社団法人 日本広告業協会】

52/173

第３章第１節関係

顔認証

No.

提出意見

149

私は顔認証登録被害者です。
この度の法改正で忘れられる権利を制定していただきたいです。
１０年以上前に（略）警備員と店員の妬みで登録されています。副店長から（略）だと言われました。前科や犯罪歴はありません。
顔認証登録を削除していただきたいです。
親の介護もさせてもらえず親は虐待され、夫も昨年九月にマンション住人から泥棒扱いされ、追い詰められてものを言わなくなり死にました。
自宅死亡のため家宅捜索がされ解剖されました。遺体を引き取りに粕谷署に行きましたが８人から１０人位いた警察官は私を見て笑っていました。死亡検案書のお金を払ったのにコピーももらえません。焼場も一番最後に回され遺体の入ったビニール袋には金物が入っており骨が散乱していました。
古賀市役所は健康保険書や選挙用紙も送ってきませんでした。
３年前から殆ど外出しないでネット購入で生活しています。
夫は（略）退職だったので私は遺族年金をもらっています。
歯医者に行けば抜かなくて良い歯を抜かれインプラントは素手でされ感染しても治療されなかったので大学病院で治療したが学生がして顎骨まで撤去されました。日
本国中、個人情報は拡散され顔、電話番号、名前、住所を知られているので不当な対応をされ苦しんでいます。家裁も顔認証システムを導入しているので犯罪者扱いされ調停委員から大笑いをされ親の虐待を止めることもできませんでした。
このままひきこもりを続けたくありません。
人権侵害、屈辱は凄まじいです。郵便局に行けば怒鳴られます。配達もされないことがあります。
どうか助けてください。お願いします。
【個人】

民間が使用する顔認識万引き防止装置の仕様並びに運用の規準についての意見

150

民間が万引き防止に使用する顔認識装置は、民間の管理責任者が責任者の権限で登録しており、そこには何の公的な資格権限もないのが現状である。換言すれば、万引き容疑者としての登録条件、登録事由は全て個人裁量の自由意志でなされている。
これでは、感情や悪意を持って登録する可能性を排除する事はできず、一店舗だけでの運用なら被登録者は同店を避ければ済むが、多店舗で同じデーターを共有する環境になると、被登録者は行った事もない店舗で、登録の謂れも知らされないまま、万引き容疑者疑者として扱われる事に繋がり、場合によっては店舗自衛の警備行動によって精神的迫害を受けるの事態が容易に導かれる。
現在、登録は一週間等の有効期限を持って削除されると謳って認識装置は販売設置されているが、被登録者がそれを確認する手段はない。当該店舗に開示請求しても自衛警備の特例により回答しなくても良い状況にある。またクラウドサーバー等を利用して多店舗がデーター共有した場合、その閲覧更新が行われる都度、履歴が自動生成される特性上、専門家による管理削除作業を行わない限り、削除は困難で実用的でない。
民間に販売される顔認識装置は、一週間以上経ったデーターを強制的に削除、或いは閲覧不可能とする仕様を義務付ける法律が必要です。
同様に、登録に必要な条件が揃わなければ登録できないしくみ、或いは個人情報が保護されるための必要最小限の適用範囲、その運用規準、法律が必要です。
追記
現在店舗では、店舗社員、警備員から掃除夫に至るまで自衛の為の予防警備の名の下に被登録者に対する私刑が行え得る環境です。これは明らかに憲法違反。また、警察、弁護士、法務局も被登録者の訴えや相談は被害妄想と位置づけして真摯に対応していません。何卒、個人情報保護法の主旨に沿うよう。民間の顔認識万引き防止装置にご指導、並びに基準の設定、条例の正文化等を御願い致します。参考に米国をはじめとする海外諸国でも同様の問題は起きている様です。ちなみに私は上記の扱いを店舗から受けたことは無く。被登録者ではないようです。
【個人】

53/173

151

いわゆる顔認証システムの誤登録及び、本来の趣旨から外れた悪意による登録被害者です。お願いしたいことは
1.システムに顔等をを登録する時に、その担当者の名前等の入力を不可欠にするシステム作り。
2.登録期間の厳守。連続で登録される時には何らかの規定が必要なのでは無いでしょうか。
3.情報の登録、使用時に本人の許可、承諾書、等を不可欠にする。
4.開示請求の時の回答に法的強制力と、権力の下の確認システム。第三者が確認し得るシステム作り。（現在では個人情報を所持しているにも関わらず、開示請求しても該当無し、と答えるような事がまかり通っています）
5.これらに違反した時の罰則規定が絶対に必要だと考えています。厳罰と言えるもの出ないと現状を変えるものには成り得ないと思います。
以上ですがもしかしたら前半は筋違いな内容かもしれませんが、3.4.5.に関しては当てはまると思います。
個人情報の不正使用の上、防犯団体の提唱する「攻める防犯、犯罪者に嫌がらせを！」の掛け声の下に行われる個人情報を利用した毎日の過酷な嫌がらせ、イジメにより、PTSDの様な症状をも発症しております。多くの方が同じ様な状況に立たされています。
どうか、正しい力でわたしたちに真っ当な人権を取り戻せる様にお願いします。
【個人】

152

監視カメラによる顔認証システムの誤認登録被害者です。（虚偽登録又は故意登録）
私は一度も犯罪歴や万引き歴はありませんが、5年位前から、私が行くほとんどの商業施設、医療施設、駅等で、警備員や従業員の執拗な監視やつきまといに、現在も悩まされています。（略）、（略）に3年前に開示請求をしたところ、顔認証データーを使用していないと回答が来ました。（略）の本社と（略）の本社にも抗議の電話をしましたが同じ回答でした。今現在の個人情報保護法では開示請求を行っても、企業側の一方的な回答で終止してしまいます。
今回の法改正個人情報保護法で1、開示請求時の回答に法的強制力のある第三者の立ち入り確認し得るシステム作りの不可欠
2、法改正後、違反企業に対してEU（GDPR）と同等の罰則と高い制裁金の不可欠
3,顔認証データーベース登録時、本人の許可及び承諾書、登録日、登録企業、登録 者氏名、登録理由、登録期間、記入の不可欠
4,登録者の区分と画面に写った時の色分け
A 犯罪者テロリスト B ギャンブル依存症対策者 C 万引き者 D 不審者 E その 他何らかの理由で意図的に登録された人、例として色分け 赤・黒・白等で
A B Cは、国家が監視出来るグループ。
D Eは私企業が勝手に監視しているグループ
犯罪者グループと私企業が監視するグループとを同一に顔認証登録し監視する事が大問題
5、顔認証を削除するとき、第三者立ち入りの不可欠
6、乗用車のナンバープレートを読み取るシステム時の本人の同意と承諾者の不可欠
サンフランシスコ市議会では、2019年5月14日顔認証技術を禁止する条例案を可決した。
プライバシーの侵害への懸念や誤認識されるケースが多いため使用禁止になった。
日本は過去私企業が、本人の同意もなく勝手に登録し、第三者にデーターを提供し拡散させた為、冤罪被害者が増え続けている。現在私は買い物、病院、駅、兄弟の葬儀にも出席出来ないほど精神的にも追い詰められています。
法的強制力のある立入確認と違反企業に対し、高額制裁金が法案化しない限り、何回改正を行っても永遠に解決出来ない。
【個人】

54/173

防犯目的の顔認識システム保有データの情報開示について

153

154

私は、万引き犯として誤登録されていると思っているものです。
ここ数年、店舗病院等で嫌がらせの様な事を受けてきました。
見知らぬ子供に「泥棒」と面と向かって言われた事もあり、噂として広まってしまっていると思われる状況です。
しかし、店舗に確認しても「そのような事はない」との回答があるだけです。
開示請求の対応に関して、ガイドラインにも追加されましたが、法律に基づいた対応、例外事由とは具体的にどのような事でしょうか。
訴訟にも発展しかねない「万引き犯として登録されています」と企業が回答するでしょうか。
この事案に関しては、やはり第三者機関や弁護士等が間に入って、強制的に調査できるようしていただきたいです。
又、車のナンバーやクレジットカードカード番号などももし店舗で間違った万引き犯等の顧客情報と結びつけられていたら、訂正する機会が必要になると思います。
【匿名】（略）中心に推進している防犯パトロールにより無辜の市民が入れ替わり立ち替わりで組織的に嫌がらせを受ける集団ストーカー犯罪が問題になっています。
被害者の会に所属しているわけではありませんが、相当数の被害者が当該犯罪に苦しんでいます。
体当たり、通過時の咳払い、入れ替わり立ち替わりで足を蹴るなど陰湿です。家での生活の様子、スマホの検索情報などもすれ違いざまに仄めかし被害者の精神を崩壊させます。罪も犯していない人間に対し、組織において都合の悪い者を一方的に仏敵とし、「犯罪者」扱いし、大勢で嫌がらせをします。
まず、位置情報も含めた防犯パトロールに用いられる個人情報や店舗で顔認証システムに登録するに当たってのルールを明文化（法律に定める）、誰がどのような事
情で誰を防犯のターゲットにしたのかを明らかにする仕組みが急務です。登録される側は何も知らされず、私怨などの理由で簡単に顔認証登録ができると聞きます。
また、不審者情報も真実が知らされないまま無実の人間が登録される可能性があります。
さらに、不審者にされた人は、殺人の量刑より長い期間にわたって嫌がらせされているのも人権問題です。勝手に犯罪者に仕立て、組織的に嫌がらせする人間こそ犯罪者で有り、取り締まられなければいけないと感じます。
顔認証登録の仕組みを明らかにすることと、登録した側の情報開示、された側の異議申し立ての仕組みと明文化をお願いします。
【匿名】

55/173

155

顔認証機能を利用した防犯カメラは身近に設置が広がっています。利用している企業や自治体が公にしていないので、実態は少なくとも一般にはわかりません。報道によると、中国では国を挙げて利用が進み、米国では倫理的な観点から規制の方向に動きだしています。日本の現状は、より中国に近いと思います。オリンピックを控え、今後ますます顔認証技術の利用が広がっていくことを考えると、ここできちんとルールを決めておかないと、どんどん監視社会に近づき疑心暗鬼な思いを抱える人が増えていってしまいます。
顔認証機能を利用した防犯カメラについて、昨年末の「ガイドライン・Q&A」更新に基づいた運用を求めます。特に注意してほしい点を以下にまとめます。
・防犯カメラの画像から顔認証データを取得し、不審者と判断した場合は不審者データベースに保存することを、施設利用者が明確に認識できるように明示する。また、その管理運用はどこが行っているのかを明示し、問い合わせ先を示す。
・不審者・不良顧客などと登録する判断基準を明確にする。基準は客観的であることが必要で、長年の経験や勘などは顔認証のデータベースの判断材料にするべきではない。
・データベースの登録内容は定期的に精査するべきで、最長の保有期間を定める。また、6ヶ月未満で登録し直し、個人データに該当しないようにするなどの抜け道を作らせない。
・データの共同利用は、倫理的な観点からも、広範囲にするべきではない。データベースの誤りの可能性が０ではないことを考えると、全国どこへ行っても監視・警戒を受けるようなデータの共有については慎重にするべき。共同利用の範囲を明確に示す。
・データの開示請求、内容の訂正、利用の停止の請求には速やかに応じる。安易に開示義務の例外事由に該当することを理由として応じないなどの抜け道を作らせない。
そして、これらが適正に行われているかを監督してください。もし、データの誤りの訂正を求める場合、個人対企業では、個人は圧倒的に不利です。個人情報保護委
員会が個人の「保護」よりも、企業の「利活用」に重きを置いているのであれば、個人を護る別の機関が必要です。さらに、不正があった場合の罰則も必要です。
あらゆるところに防犯カメラが設置されている今、それに顔認証機能が加われば、あっという間に監視社会が出来上がってしまいます。不当に登録されてしまうと就職もままならなくなります。顔認証機能の防犯カメラの利用については、今後の社会のあり方まで視野に入れて法整備をお願いします。
【匿名】

56/173

156

私は顔認証登録システムに誤登録後または悪意による登録をされた冤罪被害者です。
もちろん万引きを始め犯罪行為はしていませんし前科も前歴もありません。
今回は個人情報保護法含めて人権侵害が日常茶飯事に起きている顔認証登録システム冤罪被害についての要望を聞いて頂きたくメールさせて頂きました。
いつ、どこで、誰が、どのような理由でシステムに登録したのか解るようにして頂きたいのと登録された人が開示請求をしたら包み隠さず正直に提示して頂きたいです。それによって誤解が解けたり冤罪被害が防げると思います。
情報登録の際に登録される人の許可なく無断で登録しないで欲しいです。
万引き等で逮捕または確保された人に許可を取り登録して下さい。
こちらの預かり知らぬ間に無断で顔情報を撮り登録するので冤罪被害が起きています。
顔認証登録をされても一定期間が過ぎれば登録が削除されると表向きでは言われてますが全く守られていません。
何も悪い事をしていないのに何年も登録されたまま理不尽な扱いを受け続けている被害者が全国にたくさん居ます。
これらが守られなかった場合の罰則やペナルティを作って下さい。
顔認証登録システム冤罪被害者は全国にたくさん、たくさん居ます。
１人１人が毎日、あらぬ疑いをかけられ犯罪者扱いされ店員、清掃員、取引先業者、取引先メーカー、制服や私服警備員から虐めや嫌がらせのような人権侵害に遭っています。
被害のストレスから体を壊してしまった人、精神を病んでしまった人、自殺未遂を起こした人、逐われた人、子供が巻き添え登録された人もいます。
毎日が地獄なんです。
法整備がされないまま執行された顔認証登録システムのせいで人権が脅かされています。
本当の万引き犯や犯罪者だけが上手く捕まるシステムなら素晴らしいと思いますが実際にはたくさんの顔認証登録システム冤罪被害を産み出しています。
どうか個人情報を平等に守って下さい。
よろしくお願いします。
【匿名】

157

現在、防犯の名の元に個人情報保護法が遵守されていません。
昨年の改正で顔画像も個人情報であると明記されました。
既に様々な所で導入されている顔認証システムですが運用に関して様々な問題点があります。
1 登録基準が曖昧
2 このシステムには本人の承諾を得て登録とありますが、実際は本人の承諾なしに登録
3 当該警備会社に個人情報の情報開示請求を行っても、該当なしと通り一辺の回答。
安易に登録された人達が全国にかなりの数にのぼります。
システムを導入しているあらゆる場所で過剰防衛され当たり前の社会生活を送る事が出来ません。
個人情報の情報開示請求に防犯に関しては除外という項目は不要ではないでしょうか。
私達が求めるのは、
1 登録理由の明示
2 登録場所の明示
3 登録した人物の氏名の明示
4 一定の期間が過ぎて後の登録内容の削除の徹底
5 本人の承諾を得てから登録の徹底
犯罪抑止は大切ですが、防犯が基本的人権より上位にあること自体かなりおかしな状況ではないでしょうか。
是非検討願います。
【個人】

57/173

158『防犯での顔認証システムの個人情報』
２０１５年２月頃から、あらゆる店舗での過剰な監視や追い回しを受けています。もちろん、前科も窃盗もありませんし、窃盗しようと思ったこともありません。商品破損もありません。
信じられない程の酷い扱いで精神的に参っていましたが、そのうち誤解が解けるだろうと思い3年半耐え続けました。でも状況は変わらず、むしろ様々な店舗に情報が広がってると感じました。
第三者の方にも「これはひどい」と目の前で確認してもらい、状況を変えるためにあらゆる機関や警備会社に相談しました。個人情報の開示請求もしましたが【該当なし】でした。「警備会社に責任はない」・「事件がない限り開示はむずかしい」・「保有しているデータは店舗のものだからどうすることもできない、店舗に直接聞いてください」と言われ、店舗に直接お尋ねしました。
大手のデパートでも「顔認証システムの防犯カメラは導入していない」・「導入しているけれどレジにしか使用していない」・「万引きが起こらないから監視はしていない」と、どこもそのような返答ですた。。
防犯のための顔認証システムを反対はしておりません。ただ登録するルールがクライアントに任せられる現状で、誤登録者が増え続けています。技術ばかりが進化して法律が追いついていません。どこへ行っても開示請求、削除および第三者への提供停止には応じていただけません。
大勢の誤登録が今も苦しんでいます。防犯対策の攻める防犯(心理的抑止)は何もしていない者からしたら辛く耐え難いものです。登録された者には人権はありません。一生犯罪者のレッテルがつき、社会的な信用も失い、家族にも迷惑がおよびます。誰にもおこり得ることです。
本人の同意のない情報は無断で共有するべきではありません。
プライバシー保護のために、健全な市場競争をしていただくために、早急に改正を望みます。
助けてください。読みにくい文章で大変申し訳ございません。
【匿名】

159

2年前まで派遣で勤務していた（略）から人権侵害を受け、パワハラ・モラハラ・監視・虐め・嫌がらせを受けていましたが、そのスーパーに個人情報を漏洩されたと危惧しています。仕事を辞めてからも同様の扱いをされています。
町内会から市で個人情報を教えてもらえないので、半ば強制的に個人情報を記入し提出させられた。その後、近隣住民からも（略）と同様の嫌がらせ監視をされ、近隣個人自動車店の整備士からも散歩に行って戻るまで見張られました。
全く接点のない見ず知らずの人物に迄その様にされ、確実に風評被害を感じます。
私の場合、（略）の店内で勤務してましたので、防犯カメラの映像があります。
個人情報の見直しとしまして、
１プライバシーや肖像権侵害になりうる顔認識画像と個人情報の紐づけを禁止するシステム作り
２防犯カメラの登録期間は6か月で削除になると触れ込んでいますが何年経っても削除されません。
誤登録や逆恨みによる登録等も有りますので、期間が来たら必ず削除するシステム作り
３カメラに登録する場合には本人に知らせ承諾を不可欠にする。
４個人情報を所持しているにも関わらず、映像の開示請求を求められた場合に、該当なしと返答されるなど、不誠実である事から、開示請求時には法的強制力と権力の下の確認システムと第三者も確認し得るシステム作りをして欲しい。
５これらに違反した時の罰則規定が絶対に必要だと考えます。罰則と言えるものでないと、現状を変えるものにはなり得ないと思います。
個人情報の不正使用の上、防犯団体の提唱する攻める防犯により、個人情報を拡散され何処に行っても過酷な嫌がらせ監視や虐めに遭い精神的苦痛を強いられております。
多くの方々が同様の状況に立たされ、尊厳や生存権も脅かされています。
正しい判断で人権侵害を防ぐ為の個人情報保護法の改正をお願い致します。
【匿名】

58/173

160

顔認証システムにおける個人情報の扱いについて
1.顔認証システムの導入により起こっている問題
現在、万引き防止の為の顔認証システムが、いろんな店舗等で使用されつつある様ですが、これにより、深刻な人権侵害が起きています。
2.私自身に起きている事
万引きなどした事もありませんが、顔認証システムへの登録をされている被害者です。６～7年前から、近くの店舗で小さな違和感を感じておりましたが、「気のせい」と思っておりました。ところが、違和感を覚える所が増え、広範囲の共有を確信して、このシステムの存在を知り、ただ、ただ驚きました。お話を伺った所は、
いずれも、そういうシステムはないとの事でしたが、広範囲の共有を感じた数年前から殆ど実店舗での買い物はできなくなりました。今の時代、消費者の側も、疑われない為の努力が必要だったのだと反省しております。さらに、私は内閣府、日赤、自治体等に、ご縁のある被災地への寄付等しておりますが、その時でさえ、警戒を受けるに至っては、私はいったい、どういう人にされてしまっているのだろうと暗澹たる気持ちになりました。そういう連絡があれば、警戒されるのは、当然の事です。いくつかの機関へもご相談しましたが、解決に至らず、時が解決するのではないかとも思いましたが、それも叶わず、日常生活も困難になっております。
3.システム運用に関してお願いしたい事
同意なき登録により、深刻な人権侵害が生じています。人は、先入観で人を判断しますから、このシステムへの登録があると、行った先々で偽りの情報が追加され拡
散されているのではないでしょうか。そうでなければ、日常生活も困難になってしまっている状況にならないと思うのです。何卒、以下３点のご検討をお願い申し上げます。
（1）登録の情報開示、検証、訂正、削除、救済をする第三者機関の設立（2）登録のあり方、登録期間、共有範囲の再考（3）現在、冤罪で苦しんでいる方達の早急な救済
4.最後に店舗にとって、怪しいか怪しくないかが一番重要な事かもしれません。でも一人の人間にとって、万引きをしたかしなかったかという事は、その人の人生を左右する
大きな出来事になります。顔認証システムや防犯カメラ等が大事な事は充分認識しております。日本の誇る技術だとも思っております。どうかその技術を正しく使って頂く為の法整備と冤罪で苦しんでいる方々の救済措置を切にお願い申し上げます。精神科受診歴はございませんが、日々の生活を脅かされ、眠れない日々も続きました。
しかしながら、日本は法治国家のはず。いつまでもこんな事が続くはずはないと信じて毎日を生きております。何卒よろしくお願い申し上げます。
【個人】

この数年で顔認証システムの存在が社会で明確に認識されるようになった。
一昔前までは保護すべき情報はクレジットやポイントカード、各種会員、子供の塾や家庭教師など家族構成がわかるデーターでしたが、ここにスマホの存在又GAFAを代表とするビッグデーターの構築によりデジタルマーケティングが加速され、日頃の行動や趣向性など個人の属性区別が可能になるデーターがデーターセンターの中に保存されており運用面での規制強化が重要です。
サンフランシスコでは条例で顔認証を規制、マイクロソフトもビッグデーターの運用に疑義を呈し見直しの機運となっています。
方や日本ではTポイントが犯罪と関係なしに警察にデーター提供をして社会問題になり又、2017年に見直されたルールが遵守されているか確認も出来ない状況で様々な顔認証データーが野放しになっていると危惧しています。

59/173

161

私の知人が数年前から大学病院、（略）スーパーやコンビニ、鉄道の駅や（略）デパートなどで保安要員や店員から付きまといなどの嫌がらせを受け現在も不安感か
ら通院がままならない状況が解消しておりません。
私も本人に付き合いデパート及び大学病院に情報開示文書を提出して顔認証システムによる問題なのか話し合いをしましたが、いずれも警備システムに顔認証は導入していない又、警備システムの確認要求に対してはセキュリティ上、内容は開示出来ないと断られた経験があります。
確かに施設のセキュリティシステムがどう運用されているのか確認要請をしても内容を開示出来ないとする対応は施設としては当然だと理解しますがそれでは経産省が策定した運用ルールが遵守されているのか不明のままです。
今回の見直しについて違反企業に対しては厳しい罰則（課徴金など）を適用することや開示請求に対し運用ルールが遵守されているかシステムに精通している第三者機関の立ち入りによる監査を実施する法律を早急に立案すべきです。
又、導入する大手企業や政府自治体、空港、鉄道会社等はコンプライアンスの意識は高いものと想定され大概はコンプライアンス委員会などを設置していると思いま
すが、万引き防止を必要としているコンビニなどの小売店などでは経営者や店長がどこまで理解しているか疑問です。
防犯システムを販売している企業のHPを見るとAIを駆使したシステムで入店者の行動を監視してAIが「問題なし、少し怪しい、怪しい」の3段階で区分して判断基準にあわせたアラームを点灯し併せて警告音を鳴らすと紹介しております。
この行為はそこで働いているアルバイト店員でも対応出来るため万引き犯でないお客を犯罪者扱いにして付きまとうような人権侵害につながる行為を企業責任も負えないアルバイトに強いることになります又、以前の顔認証登録は一体だれがどのような基準で登録しているのかさえ不明であり過去のデーターを消去せず保管又、第三者と共有をしていないかとか明確ではありません。
従い徹底すべき点は・顔認証システム導入は経産省認可制とし導入企業、店舗は入り口に利用者がわかるように経産省発行のステッカーを貼る。
・大手企業と中小の小売で運用ルールを分けて明確にする必要がある。防犯orその他
・毎年定期的に第三者機関で認証システム導入企業に対し無作為に抜き打ち監査を実施して運用ルール遵守状況を確認する。
・一般市民から個人情報委員会に開示請求がある企業、店舗に対してはシステムに精通しているメンバー（弁護士や地元議員等）で立ち入り監査を実施し違反が見つかれば課徴金等の罰則を策定。
・個人が個人情報保護委員会を通して企業、店舗等に「忘れられる権利」を実行できるようにする。
・企業の個人情報取り扱いの項目に一旦は同意したとしても（現状NETではあらゆる項目において同意しなければ先に進めないようになっているが契約時は同意してもその後にどのように使われているのか又、外部流出の問題もある）いつでも拒否出来るように改正する。
・店舗や施設において付きまといやアラーム作動などがあった場合は、その場での情報開示要求に対し何故作動したのか店舗、施設責任者又はシステム管理責任者の説明を義務付け又、その際のデーター削除要求をした場合は必ず実施すること。
店舗、施設側が拒否した場合は個人情報保護委員会に訴えて同委員会主導で監査を実施すること。
・運用ルール違反に対してはEU並みの罰則強化による高額課徴金の徴収。
最後にビッグデーターを保有する企業が一般市民の顔認証登録データーと各種カード類の使用データーやネットでのデーターなどを整合して個人の行動を監視するよ
うなことはあってはならず、抑制のためにもシステムを提供している企業、ソフトを提供している企業及びシステムの販売会社に対する連座制で罰則の強化を法制化すべきであると考える。
【個人】

60/173

162

今回の個人情報保護法の改正に際し、現在日本で起っている下記の問題を解決する事が出来る法改正が行われる事を望んでいます。
（９、１１、１２、１７、１８、２０、２１、２３、２９、３５、３７、４３、４６、４７、４８、５１～５６ページ等）
前回の法改正で生体認証（顔認証含む）が個人情報として扱われるようになりましたが、小売店の店舗や他種企業・行政機関を含む建物で防犯目的で使われている
顔認証システムに直結するデータベースに、今まで一度も犯罪や問題を起こした事が無い、たくさんの一般市民が犯罪者・不審者登録されているようです。しかし企業側は防犯の目的での使用という事で、顔認証システムの使用通告及び個人情報保持・共有に関する説明、及び個人情報開示請求に関して消極的な態度を取り続けているようです。
しかし防犯に使われる顔認証システムへ理由も分からず知らない間に誤（認）登録・冤罪登録されてしまった被害者達は最初に登録されたであろう時期が５、６年以上前の方も多く、日常生活への弊害はとても大きなものになっています。その上、誤登録時の年齢も小学生から高齢者までと幅広く、この小学生の被害者は現在高校生になっていて、長い間店舗等で過剰警備・防犯の被害に遇っています。この子どもの被害者に関して言えば、法律の不備により大人が無実の子どもを大勢で苛める続ける事を国として許可している状態になっています。そして最初に誤登録された国も日本だけではなく、米国での誤登録の被害者も居て、実際にその誤情報が米国から日本にまで伝わっているようです。この場合、日本の企業は顔認証等の個人情報を受け取る立場であるが、それを規制する法律とペナルティーも考える必要があると思います。
例：米国からカナダ、日本へ誤登録の個人情報が飛行機会社、又はその他の伝達方法によって伝えられた可能性が高い例。この件では本人は米国企業等と直接話しもしていて顔認証を含むデータを使っている可能性を企業側から示唆された。この被害者はどの国の企業にも顔認証に関係する個人情報を保持・共有する許可は与えていない上、国を超えた情報伝達を許可した覚えも無い状態です。
昨年（2018年）に何人かの顔認証システムへの誤（認）登録・冤罪登録被害者たちが防犯で顔認証を使っている警備会社や企業に個人情報開示の請求を出しました。しかし明らかに被害者達を不審者登録して異常な監視を続けているにも関わらず、すべての企業からの返答は該当の個人情報無し等、最初から誠実に返答する気が無いような返答をしていました。
もし本当に顔認証を含む個人情報を防犯目的での使用したいのであれば不審者登録されている情報が不正確である事によっての一般社会への弊害は大きく、不審者
登録の内容を確認し誤情報は削除する事により、東京オリンピックを含めたイベント等での防犯や警備等にも確実に役立つはずです。その為には店舗の店員等の間違えや思い込み等で不審者登録された被害者達が個人情報開示請求が出来、個人情報を確認し異議を申し立て、誤情報を削除することが可能なシステムであるべきだと考えています。
被害の状況から明らかに企業間での情報共有があるにも関わらず、その実態を確認・削除する方法も無く、被害はどんどん広がり続けています。これは防犯の為など法的例外、企業による違反に対するペナルティーの金額の低さ等にも関係している可能性もあると考えています。情報開示請求に対して該当情報無しとし、事実上拒否した場合のペナルティーなどもきちんとしたものが必要だと考えています。
個人情報の共有に関しては官民間の共有についての被害者達からの疑問もあり、法的にきちんと対応すべき課題だと考えます。
上記のような被害者の中には、顔認証防犯システムへ繋がるデータベースに誤登録された個人情報の内容が何らかの理由で漏れ、仕事場や地域で噂として広がり仕事を失ったり、何年もの長い間の被害を経験し続ける中で病気になり、生活保護や障がい年金を受ける身になっている人達もいます。働く事が出来る。働きたい人達
が個人情報の誤情報により仕事を失っている状態です。そして被害者等が被害や問題点を訴え続けてきたにも関わらず、企業等が顔認証防犯システムを間違った方法で使い続ける事によって、この被害により経済的に困窮した被害者達を一般国民が収めた税金を使って支援するという理解しがたい状況に陥っています。
現在、欧米や世界中で生体認証（顔認証を含む）を含む個人情報保護の問題が大きく議論されていますが、日本でも、これ以上顔認証システムへの誤（認）登録・冤罪登録によっての被害者出し続けない為、そして現在被害者の立場にいる人達を救う為にも、個人情報保護法が最新のテクノロジーや社会の変化に伴う形で改正をされる事を望んでおります。
【個人】

61/173

163

ここ数年で（略）では顔認証カメラを防犯カメラに利用しています。使ってますと言わないだけで他の店や病院、空港、公立の小学校や中学校から大学や地下鉄でも利用されています。市が設置しているのか市営の施設でも利用されています。顔認証カメラの情報は数値化されている、数値化された情報は個人情報では無いとされていますが、個人情報として扱うべきです。数値だけでは個人を特定出来ないとの言い分ですが、病院では保険証もカルテもあります。お店ではポイントカードがあります。簡単に個人を特定できるのです。顔認証カメラを販売する会社の中には「万引をして捕まり本人の同意を得た場合に登録します」などとホームページで謳い文句がありますが実際販売後の使い方なんてカメラ販売会社が監視する訳ではありません。（略）など顔認証カメラを販売後は「どう使うかは使う側の判断なので自分達に責任は無い」と万引冤罪被害者に言いました。冤罪被害者含む客や患者は知らないうちに顔情報を取られ、あちこちで「怪しい」だけでどんどん登録され気が付いた時には万引常習者扱いになり、店や病院で激しく監視や嫌がらせをされ地域や会社で疎外され日常の買い物も通院もまともにできなくなります。誰が登録したかもわからず一体何を盗んだ事にされているかもわからず、捕まらないものだから「やっていない証拠」も出せません。法律事務所に相談しようにも「やってない事は証明できないから」と断られ、自治体の法律相談でも法務局の人権相談でも取り扱って貰えません。ならば個人情報として扱い「顔情報を登録する同意」を得る様に又、「顔情報を何に利用するか」はっきりさせ、「何を盗んだから登録します」とはっきり顧客に伝えて登録する様に変更して下さい。いい加減な登録、嫌がらせや万引の腹いせに怪しいと思い込みだけでの登録は罰則を設ける様にしなければ、冤罪被害は後を絶ちません。気が付いた時には全国指名手配犯扱い。NPO法人全国
万引犯罪防止機構が「攻める防犯」を実施。万引した人や万引予備軍を顔認証カメラに登録し「万引犯の嫌がる事をしましょう」「守る防犯から攻める防犯」を実施。実際に捕まった人ならいざ知らず「万引予備軍」など呼び名を付けて、怪しく見えただけの人も顔認証カメラに登録させています。一切何も万引していない人が次々行く店行く店で店員や警備員の思い込みで登録され気が付いた時には凶悪犯の様に店での嫌がらせが始まります。弁護士に相談できた人は弁護士から「昔からある暴力団などの不良顧客を追い払う方法」だと教えてもらったそうです。私は暴力団でも万引犯でもありません。捕まらないからやってない証拠も出せません。顔情報の提供を同意した覚えもありません。簡単に登録できいい加減に登録でき簡単に全国に情報をばら撒ける顔認証システム。是非顔情報を個人情報として認めて下さい。顔認証システムを導入している会社に勤めている人は盛大に嫌がらせされ退職に追い込まれ次の仕事も見つかりません。モビンク犯罪での嫌がらせでハラスメン
トの立証も難しい。新しい何かを開発・発展させる時に公害の被害者が出ます。
顔認証カメラのデータ共有も同じです。捕まえて確認もせずに「盗んだ様に見えた、防犯カメラを見る限り盗んだ様に映っている」だけで魔女狩りの様に犯罪者扱い。魔女狩りは「そう言われてみれば」と皆が怪しい怪しいと言ってるうちにただの女性が悪をもたらす本物の魔女扱いで処刑されています。顔認証カメラも誰かが登録、すると違う店でも怪しまれ追加登録、次も次もで気が付いた時には万引常習者扱い。一回も捕まらないのです。万防機構は万引常習者に嫌がらせをと数年前に万防時報に記載していますが、その「万引犯」の認定もいい加減なのです。認定して何の法律の縛りもない中簡単に顔認証カメラに登録できる…これがまず大問題何だと思います。「個人情報ではないから！」と情報ダダ漏れなのです。今や一般人のスマホにも「不審者」と通知され子供にまで睨まれる日々。（略）市では市長が導入に積極的な発言をしている為、市の施設では病院ですら細かな嫌がらせ、治っていないのに治療打ち切りが横行しています。人権侵害でもあります。是非早急に対策をして下さい。お願いします。
【匿名】

62/173

164

警備会社の顔認証使用した、防犯カメラのデーターに万引き常習犯と登録されていると思います。ですが、私は万引き犯ではありません。犯罪歴なし。警察に捕まったこともありませんし、小売店で裏に呼ばれたこともないのにです。それで、削除要請しようと、まず、（略）に情報開示しました。（略）からは私の写真付き身分証明書と、免許証と住民票を要求されましたが、（略）からの回答は顔認証に該当なしでした。しかし、その後も（略）と契約しているスーパーなどに行くと、警備員が出て来て、ついまとい、監視は店の中だけでなく、駐車場までも着いてきます。従業員もそんな人には見えないのにねーと、商品を見ていると私の真横にきてつ
ぶやいたり、商品整理を始めます。開示請求後は車を運転していると、（略）の車に待ち伏せされ、もうすこしで事故になりそうでした。（略）は私に情報開示していません。結局私の、免許証と顔写真、住民票と個人情報を取得しただけです。他の被害者の方も何人も同じように開示請求だしまたが、該当なしと回答は同じでした。電話でその後問い合わせした被害者は、誰が請求しても回答は、該当ありません。となります。と言われました。法律と罰則を作ってください。個人情報が保護されていません。勝手に、万引き常習犯にされ、全国どこに行っても監視、付きまといがあります。ホテル、学校、市役所、病院、図書館、電車、バス、タクシー、飲食店、コンサート、プール、ホテル、公園、テーマパーク、映画館など、警備会社と契約している所はどこでもです。警備会社は（略）だけではないです。
（略）、地元の警備会社などもです。そして、それが、近所のパートの人、アルバイト店員、にも流れています。もちろん、地域の防犯ボランティアにも私の情報が流れています。個人情報まったく保護されていません。開示請求された企業はきっちり、開示するようになる法律。それを自分で訂正、修正、削除できるようにする
法律を作ってください。自分の情報がどのような使われ方をしているか分かるように出来る法律を作ってください。このままでは、未成年の子供も登録されていますが、され放題です。学校でも何かなくなると、先生の思い違いでも電話がかかってきました。学校でも使用されています。大学もです。これから就職、結婚とあるのに、人生がめちゃくちゃにされてしまいます。そして、そういう事が毎日起こっているはずです。
委員会の人はこういう事が行われている事を知らなかったですか？本当に知らなかったですか？スーパーなど小売店は警備員や私服警備員、店員が監視したりしカートをぶつけて来たり、いつも買う商品を置かなくしたり、店内に入ると急に警察からのお知らせです、最近万引き等～と放送を流します。毎回掃除の係の人が来て私の周りをモップかけます。靴をモップでぬらされたことがあります。ホウキでゴミをこちらにむけて掃かれました。駐車場に戻ると、店員が車の前で立っています。他にも色々と嫌がらせをしておいて、その理由を知ろうと、色々な所に電話しましたが、どこも顔認証など利用していないと言います。しかし、こちらは毎回、どこに行っても同じことをされています。、顔認証でなくても、車のナンバーで分かるのかもしれません。助けてください。企業側に有利な法律ではなく、一般の被害にこれからあうかもしれない人の為にも、もう会っている私達の為にも、きっちりとした情報開示、削除要請出来る法律を作ってください。
【匿名】

165

顔という個人情報の悪用システム顔認証に、身に覚えのない罪で登録されていて、何年も解決せずに苦しんでいますので、あきらかに監視嫌がらせをしているのに、していません、顔認証は使っていないと嘘を言わせない法律にしてほしいです。
誰が登録したかわかるように、登録された方にもわかるように、単にあやしいだけで登録はしてはならない、間違いは即削除しなければならない、違反者には罰則を、言い逃れ、すりぬけることができない法律にしてください。
子供も大人と同じ扱いなのは、特におかしいです。
【匿名】

63/173

166

顔認証防犯カメラについての陳情
顔認証防犯カメラは従来の防犯カメラではありません。
現在、防犯顔認証カメラには法規制がなく、全国万引犯罪防止機構、警備会社の采配に委ねられています。
凶悪犯や確信的犯罪者に限って使われるならまだしも、その使い方の実態は店員や警備員の一方的かつ安易な思い込みで、しかも本人には何の確認もされず、こそこ
そと登録し、何年も犯罪者予備軍として登録され、個人の信用を踏みにじられています。
そんなインチキデータベースを病院、駅、ガソリンスタンド、市役所等の公的機関さえも共有して嫌がらせや威嚇行為で追い払うことを防犯としています。
行く先々で不審情報を拡散され不当な扱いを受け、社会から排除され、人生を破滅する危険なシステムです。システム自体の問題もありますがそれを扱う人間の問題が多大にあります。海外の大手IT会社もその危険性を指摘しているし、利用禁止を決定した市もあります。
昨年末に個人情報保護委員会からQ&Aにて防犯目的のカメラ画像や顔認証データの取り扱い方、データ内容の正確性の確保、保有期間等について文書が出されましたがそれらはどのように守られていくのでしょうか？
前回の改正時にもこの人権侵害について陳情しましたが、どんなに立派な個人情報保護法が出来ても防犯カメラは除くとし失意の日々を過ごして来ました。
全国万引犯罪防止機構10周年のお言葉には至極立派に人権に配慮してとありますが、顔認証システム普及の為に手段を選ばないやり方、システム会社、警備会社の利
益優先、防犯と称しての社会のうっぷん晴らし、SNSの炎上と変わりない有様です。
倫理観のないやりたい放題の防犯顔認証カメラに法規制が必要です。
また、節操なく登録された被害者の声を聞いて頂ける公正な相談窓口が必要です。
【個人】

167

防犯カメラの顔認証システムについて意見します。
私は顔認証システムに間違って万引き犯だか不審者として登録されたと思っています。あちこちの商業施設で万引き犯か不審者のような扱いを受けています。
自分の個人情報が自分の知らないうちにあちこちの商業施設で万引き犯だか不審者のようなかたちで共有されているとしたら、、、これは個人情報保護法違反になりませんか？
私個人でこのことを調べることはできませんでした。
ですが、個人情報保護法の法律でもって、情報開示請求できることを知り、スーパーなど８社に情報開示請求しましたが全て無しという返事でした。
顔認証システム誤登録被害に気付いたのは五～六年前からですが、この返事が事実なら私は今も普通に買い物や外食を楽しんでいたと思います。
そこで提案です。
今後私のような誤登録による被害者を出さないため、また今現在誤登録による被害に苦しんでいる私のような人のために第三者委員会のようなところを作ってほしいです。
自分の個人情報が間違って登録されているのかいないのか、どのようなかたちで登録されているのか、
きっちり調べた上で訂正や削除をしてほしいです。
今私は買い物に行くことができずネットや宅配の買い物でしのいでいる状態です。
私が若かったら仕事に行くこともできなくなり引きこもりになっていたと思います。
私と同じように誤って登録された人は少数かもしれませんが、何の悪いこともせず真面目に生きてきたのに防犯カメラのある施設で犯罪者予備軍のように扱われ、見られることに自分の人権はないのではないかとさえ思います。
【個人】

168

顔認証システムに誤登録されてしまった可能性がある場合の相談窓口の設置と顔認証システムに関する全ての相談ができる窓口やコールセンターの設置
顔認証システムを使用しているあらゆる機関、店舗は相談窓口やコールセンターを設置するよう義務付けを制定
顔認証システムの明確な使用方法ガイドラインの制定
顔認証システムを使用している、あらゆる機関、店舗などに情報開示請求できる取り決めの制定【匿名】

64/173

169

顔認証システムは今や色々なお店や施設などに導入されていますが、怪しいと思われる人物を店長や店員さんなどが自己判断で登録するらしく、万引きなどしていな
くても登録される可能性もあり、万引き犯や要注意人物として色々なお店でその情報が共有されてしまうようなのです。
私自身も、誤ってなのか故意的になのかは分かりませんが、何かしらの項目で登録されている可能性は高いと思われます。
ある日を境に店内や駐車場にて警備員に執拗に跡をつけられるようになり、ネットでそのことについて検索していたら、顔認証システムという言葉に辿り着きました。
顔認証システムの被害について調べてみると、被害に遭われている方が沢山いて驚きました。
色々な嫌がらせを受けている人達がいました。
日常生活を送るのも困難になるほど追い詰められている方もいます。
私は顔認証システムの被害について知ってから日は浅く、私の文章を読んでも、気にしすぎとしか思われないかもしれませんが、ネットで、『顔認証システム被害者』などと検索すれば沢山の情報がでてきます。
中には疑心暗鬼になりすぎ、過剰なものもあるかと思われますが、沢山の書きこみを見る限り、信憑性はあると思います。
私は、私だけならまだしも(良くはないですが)家族も恐らく巻き込んでしまっているようなのでそれがツライです。
これはとても大きな問題だと思います。
どうかこの情報をメディアに発信して、色々な人に知ってもらいたいのです。一人では到底太刀打ち出来ません。力を貸して下さい。宜しくお願い致します。
【匿名】

170

万引き対策として利用されている顔認証システムの不正確性と危険性、およびその登録情報拡散による重大な人権侵害について申し上げます。
私は、まったく万引きなど違法行為をした事が無いにもかかわらず、ホームセンターや１００円ショップ、洋服店等で店員、警備員、また店内放送等で過剰に警戒され、日常生活に多大な負担を強いられています。
思い当たる点は２点、１つはホームセンターで下段商品を見るためしゃがみ込んだところ、万引きＧメンから執拗に警戒されるようになりました。ただ一度しゃがみ込んだだけです。それ以後、様々なチェーン系の小売店で必ず警戒されるようになりました。
もう１つは人間関係です。地域の中で折り合いの悪い者がおりました。その者が働いていた小売店で「あいつは万引きをする」と他従業員に事実無根の噂を流されました。他の者から聞いたところ「顔認証に登録してやった」と自慢げに話していたそうです。
以上の２点から申し上げたいのは、・買い物中、一度でも店から疑われるだけで犯罪者認定され、顔認証利用店すべてから犯罪者扱いされるという事
・冤罪登録にも関わらず、永久的にその登録情報を消すことができない、という事。
・人間関係でこじれている者、性格に問題を抱えている者が利用する事で不当な人格攻撃、人権侵害の武器として利用されるという事。
・その登録情報が様々な店員を通じて不特定多数に噂として拡散され、被登録者本人の知らない間に地域一帯で犯罪者認定されていくという事。
・登録者は、疑わしい、好ましくない、という個人的な感情で手軽に登録し、被登録者の人生を破壊している自覚すらないという事
顔認証に登録する事に、なんの資格も必要とせず、責任も負わないという事は、顔認証という銃による無法状態が出来上がっているという事です。
早急に、顔認証登録する側に対し、責任と罰則を定め、登録の際のルールを徹底させ、登録情報の定期的な消去を望むものであります。
【匿名】

65/173

171

顔認証システムによる冤罪被害で苦しんでいます。万引きなんて行っていません。
顔認証システム登録の情報開示請求に応じること、誤まった登録の削除
私刑的な嫌がらせの禁止、
個人情報を関係のない人たちにまで提供することを禁止及び必要以上に情報を聞き出し関係のない人たちにまで聞こえるように話したり提供することを禁止
私刑的な嫌がらせには私だけでなく同行者の幼児、妊婦(お腹がまだ大きくなかった頃)にも及びました。
軽い気持ちで行われている嫌がらせが命に関わる場合もあります。幸い無事に生まれましたが、切にやめて欲しいです。
相談窓口の設置。一方的に登録され、反論する場もないまま名も人権もズタズタになりました。
ネットで情報を得られないかたもおります。どうかお願いします。
【匿名】

172

防犯カメラ 顔認証システムについて
客の顔情報「万引き対策」１１５店が無断共有 読売新聞平成２６年４月5日の記事について、ソフト開発会社が記事の内容が誤報であるとして、裁判をしました。
平成２７年９月１７日東京地裁 判決２６(ワ)１０７５８号 損害賠償請求事件より
判決文 (６) 顧客の顔情報が無断で共有されているとの本件摘示事実を前提とすれば、店側が恣意的に誤って登録したとしても、当該顧客にはこれに反論し異議を唱える機会もないから、当該登録を取り消すこともできず、行ったことのない店舗で不利益な扱いを受けるおそれがあることももっともなことである。個人情報を第三者に無断で提供することを禁じた個人情報保護法に抵触するおそれがある
ほか、提供された顔特徴データが犯歴や購入履歴などと結びついて個人が特定されれば、プライバシー侵害につながりかねないとの指摘も十分にあり得るところであり(一部抜粋) と出ています。
どこで登録されたのか、何故登録されたのか、分からないまま今現在も、小学生から認知症の高齢者まで不利益な扱いを受けています。顔情報を無断で登録したものは、消去するよう、また登録する場合は、本人の同意を得るよう、法改正をお願いします。
【匿名】

罪のない人を犠牲にして成り立つ防犯はもはや防犯ではなくただの大人のいじめです。（防犯ハラスメント）
顔認証システムを含む防犯カメラデータに誤登録又は故意に登録されスーパーコンビニその他店舗、駅、郵便局、病院、銀行、新幹線etc.のみならず地域住民からも過剰な監視・つきまとい・待ちぶせ・家周辺のうろつきにより人権侵害を受けています。
プライバシーは守られるべきものであり、防犯と称して、地域の防犯団体ないし近隣住民に個人情報が渡ることは（しかも誤情報）狭い地域社会において長年築きあげてきた信頼関係を壊し、相互不信を招き、地域の中で孤立を生みます（村八分）。
私はこの人権侵害に気づいて３年が経過しようとしています。この間、法務局（Tel）弁護士（Tel)各店舗の責任者、県警本部生活安全課へと相談し、その結果を持
ち戻り、町内自治会長、班長、隣人、知人、友人へと報告。
県警本部から監視対象者ではないと回答されたことを友人、近所の１部の方に報告した所、班長さんから「これで捕まらずに済むね」と衝撃のひと言に絶句！！
このことからも、”万引き犯”だとの誤情報が拡散されていることがわかります。
他の方からも同様の反応でした。（詳細は割愛）
なぜかこの後も監視は続いていて外出しにくい状況です。
近所には子供達の同級生が多く住み、この30年かけて良好な関係を築けてきたと思っていただけに深く傷つき、人間不信になっています。
誰が情報を流したのか。なぜ位置情報がわかるのか（携帯不所持でも）。監視することにどんな意義があるのか。なぜ監視をやめないのか。どんな事情があるのか。
なにか見返りがあるのか。あるとしたらどこから支払いがあるのか。疑問だらけです。
県警からは、一般の人や近所の人に監視を依頼することはないと断言されました。
第３者提供、共同利用がなされていると思われます。

66/173

173「守る防犯」から犯罪者には嫌がらせをして防ぐ「攻めの防犯」で店舗での嫌がらせ、つきまといに買い物が苦痛となり、ストレスフリーなネットショッピングへとシフトして、なんとか気持ちを保持しています。
地域活性のためにも地元での買い物をしたいという考えは変わらないのですが、嫌やな思いはしたくありません。
誤った情報で信用を著しく失墜、名誉をき損した責任は重大です。
何人かのご登録者が（略）等に開示請求した所、個人情報を保持しているにもかかわらず「該当なし」の回答が示されたようです。
防犯を理由に開示しなかったのでしょう。
このことは誤登録者が情報開示請求をしても防犯を理由 同様のことがおこり、請求はムダだということになります。ひいては削除もされず至る所で犯罪者のような差別、嫌がらせを受け行き場のない難民状態がいつまでも続き、人権侵害に苦しみ続けることになり、過酷です。
防犯を理由に開示をさけ、削除、証正をしないのは誤登録者がシステムの販路拡大に必要だったからでしょうか。
もしこのようなことがまかり通るのなら日本企業のイメージダウンです。
優秀な日本企業を守るためにも、誤登録者のデータ削除、証正が正しく行われる誤登録者に寄り添う法改正を望みます。
どうか救済して下さい！！法の力をかして救済して下さい！！生きる力を下さい！！
―要望―・顔認証データの登録理由、登録者の明記
安易な登録をさけ、責任の所在を明らかにし、誤登録したさいには、ペナルティを課すシステム作り。
・登録期間の厳守
１定期間何事もなければすみやかに削除
・長期にわたる登録の理由の明記、開示
誤登録にもかかわらず長期登録がなぜおこるのか。不当な情報が追加、あるいは捏造されいつの間にかテロ犯のような監視対象者となっているか等の疑念解消のため。
・情報の登録、使用時に本人の許可、承諾の厳守
・防犯目的で本人の承諾を得ず取得した顔データの不当登録についても申し立てをしたら、無条件で利用停止できるシステム作り。
・忘れられる権利が、誤登録者の救済になるのであればこの権利を盛り込んでほしい。
・顔認証システム、防犯カメラを否定するものではありません。個人情報を幅広く活用するためには、プライバシーに配慮し、正しい情報かどうか、本人が希望すれば開示、チェックができ透明性をもたせること。削除依頼、誤登録証正依頼、利用停止、冤罪訴訟、問い合せや相談ができる公的専門相談窓口の設置を早急に望みます。
・情報漏洩には厳罰に処す法の取り組みが必須。
弱者である誤登録者に寄り添い、盾となる法改正を強く望みます！！憲法の定める基本的人権が尊重される法改正であってほしいと思います。どうか助けて下さい。
よろしくお願い致します。以上【個人】

67/173

第３章第１節関係

その他

No.

提出意見

174

●「個人識別符号の定義」の廃止→ガイドラインでのポジティブリスト化によって「個人情報」の範囲が絞られてしまっている。既にITが身近なものとなり、事業者としては「特定の個人を識別することができるもの＋特定の個人を識別することができることとなるもの」の中に「個人識別符号が含まれるもの」が含まれると理解できるようになっているのではな
いか。
【株式会社シーピーデザインコンサルティング】

175●「要配慮個人情報の定義」の見直し→「労働組合の組合員たる地位」や「性的指向」に関する情報はEU市民に限って「要配慮個人情報」とすることは差別にあたる。
また、「要配慮個人情報に該当するものを目視した後にこっそり記録した場合」に本人同意を要しないとするぐらいなら、「要配慮個人情報のうち個人データとして取扱うものだけ」を規制した方がまともなのではないか。
【株式会社シーピーデザインコンサルティング】

176●「保有個人データの定義」の見直し→「６ヶ月以内に消去するもの」を除外することが事業者にとって、どれほどの利便があるのか広範囲での実態調査がされておらず、議論ができていない。
【株式会社シーピーデザインコンサルティング】

177●委託先監督→委託元が委託先に対して契約によって縛りをかけても、結局は裏切られている事案が多い。以下については委託先の義務として法制化して欲しい。
-管理者による指示に基づく範囲を超えた処理をしてはならない。
-再委託においては、書面により管理者の事前同意が必要である。
-委託契約終了後には、個人データの消去、返却（複製物も消去）すること。
【株式会社シーピーデザインコンサルティング】

178●第三者提供→Ａ社が本人同意に基づきＢ社に提供した個人データについて、Ｂ社はその利用目的を公表しておけば、その範囲で利用できるわけだが、Ａ社が本人同意を得る際には、Ｂ社が公表した「利用目的」を本人に伝える義務がない。
このため、提供先での個人情報の利用についてザル状態となってしまっている。制限すべき。
【株式会社シーピーデザインコンサルティング】

179

●共同利用
→当初、この法律ができた時に「共同利用＝１つのＤＢを共同で利用」として描かれた。しかし、今はＤＢはリレーションが張られ自社の既存データとのマッチング
を個々の共同利用先で行っている実態がある。再設計すべき。
【株式会社シーピーデザインコンサルティング】

180●子どものプライバシー保護→「子どものプライバシー保護」のための規制は別途検討すべき。
【株式会社シーピーデザインコンサルティング】

68/173

181（該当箇所）全体（意見）判断能力が不十分な人の同意の在り方について検討すべきである。
（理由）
DV、児童虐待、高齢者の孤独死など発見しづらい事象に支援機関が対応する際には当事者に関する種々の個人情報が取り扱われるが、現行法では十分に対応できない。
現行法は個人情報の取扱いについて本人同意を原則としている。しかし、本人が同意できない場合、例えば、未成年者や認知症、障害等により判断能力が不十分な者の同意をどのように取扱うのかについて位置づけは定かでない。運用として代理人による同意、あるいは例外規定の適用が考えられるが課題が多い。
（代理人による同意）現行法に同意の代理に関する規定はないが、2017年法改正に伴い制定された『ガイドライン（通則編）』において「未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある」とされた。
しかし、判断能力が不十分な人に成年後見人等の法定代理人が選定されているケースは少ない、法定代理人の同意権の根拠について法的議論が十分でない、判断能力が不十分な人と代理人に利益が相反する恐れがあるという問題がある。
まず、成年後見制度の利用者数は2018年末時点では約22万人しかおらず、認知症高齢者の大多数が制度を利用していない現状である。
仮に法定代理人が居たとしても、成年後見人の代理権の範囲は財産に関する法律行為であり、個人情報の利用に関わる同意が人格権に基づく行為ならば、身上監護権や任意代理が優位することになる。
未成年者の意思決定代理について親権者に広い裁量が認められているが、親権を持つ養育者が子どもの人権を侵害する児童虐待などでは代理人として相応しくない。
同様に、認知症高齢者については家族による同意が慣行となっているが、認知症高齢者の意思を家族が正しく代理できるとは限らない。
（同意不要の扱い）現行法には第三者提供の本人同意が不要になる例外規定がある。しかし、「本人の同意を得ることが困難であるとき」に該当するか否かは「個別具体的な事例に則して総合的な利益衡量により判断されることになる」と解説されものの、東日本大震災ですら本人同意がないことなどを理由にほとんどの地方公共団体が避難者リストを外部提供しなかった実態は、地方公共団体が極めて慎重であるという傾向を浮き彫りにした。
児童からの臓器移植に際して虐待確認のための照会が医療機関からあった場合の対応について、個人情報保護条例が規定する「目的外提供ができる場合のいずれにも該当しない」として熊本県が同県個人情報保護制度審議会に対して諮問した記録がある。地方公共団体は、現行法及び条例が定める「法令（臓器移植法）に基づく場合」でも、個人情報保護を優先して手順を尽くしている。
地方公共団体には関係機関により構成される要保護児童対策地域協議会（要対協）が置かれ、要保護児童等の情報の交換を行うことができる。しかし、要対協の枠組
みを超えると地方公共団体は個人情報の扱いに慎重になる。一例として、埼玉県・さいたま市・埼玉県警察本部が2017年に締結した「児童虐待の未然防止と早期対応に向けた情報共有等に関する協定」に基づいて、さいたま市から埼玉県への「個人情報の外部提供に係る本人通知の省略について」同市情報公開・個人情報保護審議会で審議された記録がある。現行法が規定する「児童の健全な育成の推進」のためでも地方公共団体が慎重な手順を踏む様子がわかる。
要対協と類似の仕組みの地域協議会が複数存在する。高齢者、障害者等の消費者被害を防ぐために地方公共団体及び地域の関係者が連携した消費者安全確保地域協議会や、生活困窮者に対する自立の支援を図るために必要な情報の交換を行う支援会議等である。個々に法律を定めて地域協議会を設置すると、異なる地域協議会間で個人情報を流通させると本人同意のない目的外提供と判断される恐れがあり、その結果、複合的に問題を抱える個人や家族を支えることに支障が生じる懸念がある。
個々の事象は人々の暮らしの場で生じており、地域での見守り活動が予防や低減につながる。見守り活動は地方公共団体のみならず、地域のボランティア団体や企業といった民間組織、さらには地域住民もその担い手となる。こうした民間組織による見守り活動等が行政と連携している例は児童から高齢者に至るまで各地に存在する。一方で公的機関から民間組織への個人情報提供のハードルは高く、公民連携の大きな課題となっている。
以上の通り、判断能力が不十分な人の同意の在り方には多くの課題があり、三年ごと見直しにおいて検討する必要がある。
【個人】

69/173

182

１．基本的事項：法体系の整合性と、予測可能性（一般人が容易に理解できる）を確保していただきたい。
２．立法の趣旨と法律名：個人情報保護法（以下 法）の立法の趣旨は、自己情報の制御権付与である。「個人情報保護法」より、「自己情報制御権付与法」の方が趣旨が明確である。
３．法とガイドラインの内容に齟齬がある：法は一般規定、ガイドラインは各論（運用上の詳細事項）規定である。法とガイドラインに論理的不整合が見られる部分が複数ある。
重要事項を例示すると、（１）個人情報の定義：個人情報の定義は、法では変更がないが、行政解釈で提供先基準から提供元基準に変更された。ハッシュ関数等を用いて非可逆変換しない限
り、ほとんどの情報は個人情報に分類される。このままでは、業務に支障が出る。法の定義に統一するべきである。
（２）法では、要配慮個人情報にはオプトアウトを認めていないが、医療・介護分野のガイダンスでは、黙示の同意という表現で実質的にオプトアウトを認めている。法に、特定分野ではオプトアウトを認める場合があると明記するべきである。
（３）ガイドライン（通則編）と分野毎のガイドラインあるいはガイダンスの関係が不明瞭：全分野の法の運用規定がガイドライン通則編である。別途、特別の分野のガイドラインあるいはガイダンスが規定されている。
しかし、通則編と分野毎のガイドラインあるいはガイダンスとを詳細に比較しない限り、両者の相違が判断できない。
対策として、以下のいずれかに統一していただきたい。
（３）－１ 特殊の分野においては、ガイドラインあるいはガイダンスだけで判断できるようにする。
（３）－２ ガイドライン通則編で記述できない特殊部分のみ、分野毎に記述する。
【公益社団法人全日本病院協会】

183

第3章第一節の5「検討の方向性」の(1)全体について
第16条「利用目的の制限」3項の例外規定についての意見です。
個人情報保護法第16条は ,「個人情報取扱事業者は、あらかじめ本人の同意を得ないで 、 ・・・・特定された利用目的の達成に必要な範囲を超えて 、 個人情報を取り扱ってはならない 」 とし 、 その例外として3項1とし 、「 法令に基づく場合 」 をあげています 。 しかし 、現在、この「法令に基づく場合」の見直しが必要になっています。刑事訴訟法は 、「捜査については、公務所又は公私の団体に照会して必要な事の報告を受けることができる」(197条2項)と規定しています。
これにより、捜査機関は裁判所のだす令状もなく、市民の個人情報をもつ会社、自治体、団体などから、対象者の情報をえることができます。この捜査照会を利用す
れば、第三者への提供が禁止されている「要配慮個人情報」も入手できます。これは、基本的人権の根幹にかかわる重大な問です。
この間、 T カード問題などで捜査機関による「捜査照会」を利用した個人情報の取得が問題となりました。刑事訴訟法は有体物の捜査を前提としています。かつて
は取得できる個人情報の量も限度がありました。しかし、今日のデータ社会においては「捜査照会」で無制限に個人情報を取得できます。個人情報保護に逆行する事
態がおきていることをみすえなくてななりません。
この第16条3項で規定する例外規定の「法令に基づく場合」の「法令」について「捜査照会」に限らず、見直しが必要な時期にきています。
【個人】

70/173184

３ 全体について【提案】 ブロックチェーンと個人情報保護法の関係性について議論いただきたい。
【理由】 ブロックチェーンはすでに社会の一部として定着しつつある。たとえば、仮想通貨、データ改ざん防止措置など社会的に有用とされる分野での活用が進んできている。しかし、個人情報保護法の観点からの適法性については検討が進んでいないので、検討し、検討結果を法令／ガイドラインの形で公表していただきたい。以下が、最低限検討すべきと思われる論点：（１）個人情報の削除義務（法１９条）
ブロックチェーンは半永久的に個人情報を含むデータが記録され続ける以上、ブロックチェーンを使うと自動的に、第１９条違反になってしまう。
（２）個人情報の第三者提供（法２３条）
ブロックチェーンは分散型のデータ管理を行うため、素直に考えると「共同利用」である。しかし、共同利用の場合、「特定の者との間で」行われることが想定されており、かつ、「利用する者の範囲」をあらかじめ決めておくことが要求される（法２３条第５条第３号）。これは、そもそも非中央集権的な仕組みであるブロックチェーンにはそぐわない。そのため、保守的に考えた場合、親会社及びそのグループ会社内で利用されるブロックチェーンのみ適法ということになってしまい、ブロックチェーン技術を社会の有用な目的のために活用する機会を奪うことになってしまう。
また、ブロックチェーンを「委託」（法第２３条第５項１号）ととらえることも、ブロックチェーン利用者が横の関係にあることからすれば、そぐわない。第三者提供（法第２３条第１項柱書）として考えると、本人同意が必要となるが、これもこのようなブロックチェーン利用者間の関係性からすればそぐわない上に、すでに取得済みの情報をあらたにブロックチェーン上に記録するために新しく同意を取り直すというのは、非効率かつ現実的ではない。
【匿名】

185

３ 「第１節 個人情報に関する個人の権利の在り方」【意見】 家族等への個人情報の提供に応じるべきかは、最高裁判決を踏まえて慎重に検討すべきと考える。
【理由】 家族への提供については、平成31年3月18日の最高裁判決にて、事例判断ではあるが、否定されている。
http://www.courts.go.jp/app/hanrei_jp/detail2?id=88528
そのため、事業者に対して家族等への提供を義務付ける改正を行う場合は、（１）この最高裁判決の判断の前提となった個人情報保護法の考え方自体を法改正で覆すのかどうかを十分に検討した上で、検討結果を明示すべきであるし、（２）最高裁判決を受けて、ではいったいいかなる場合に例外的に事業者は提供に応じなければならないのか、という点についても法令及びガイドラインで明示して
ほしい。
【匿名】

71/173

186

１ 全体について【意見】 労働者を含む「弱者」の個人情報の取り扱いについての上乗せルールの制定についてご検討いただきたい【理由】
GDPR上、労働者、難民、高齢者、子供といった弱者の個人情報保護法上の規制が上乗せされている（例：PIAに関するガイドラインにおいても、弱者の個人情報の取り扱いについてはPIAが必要という結論になりやすい。）。日本法では、本人同意があれば、その個人情報の取り扱いについてそれ以上の要求はされない。すなわ
ち、同意が任意で行われたかどうかという同意の「質」に関する議論が日本法上はない。しかし、弱者からの同意については任意性を問題とすべきであり、たとえば、企業との関係で弱い関係にある労働者からの個人情報の取得や第三者提供の場面の規律や労働者の個人情報の取り扱い方の変更の際の規律については、GDPRと同等と判断されたこのタイミングでぜひ日本法でも同様の議論を真正面から委員会の会合でご検討いただきたい。具体的には以下の点について検討をお願いしたい。
・弱者からの個人情報の取得の場合、同意なくして行えないとの改正（法第１７条第１項の上乗せ）
・個人情報取得時の同意や第三者提供時の同意といった弱者からの同意の取得の際は、同意の任意性を要求すべき。
（たとえば、労働契約書に一筆、個人情報の取得及び第三者提供につき、同意します旨を書いておくというのでダメ。あくまで、労働契約書とは別に個人情報の取得
及び第三者提供についての同意を得るという形式を最低でも要求すべき）・いったん公表した労働者の個人情報に関するプライバシーポリシーの変更の際には、就業規則の変更と同様の規律を適用すべき（この点は、厚労省とご協議いただきたい）
・弱者の個人情報の取り扱いについてのPIAの実施義務の導入（企業としてどのような取り扱いをしており、どうして適法と考えるかを文書化する義務を企業に課し、必要に応じて個人情報保護委員会に対して適法性について助言を求める仕組みの導入）【意見の背景】
現在、働き方改革が日本全体で進められており、労働者の勤怠管理や健康管理等を行うためのHRテックが発達してきている。しかし、実際のところ、労働者は企業がどのような個人情報を取得しているのか、また、それらをどのような目的で利用しているのかについて十分に知らされていないケースもままあるのではないかと危惧する。また、実際のところ、企業側は勤怠管理等の目的で何をしてよく何をしてはいけないのかが不明確になってきている。たとえば、在宅勤務の管理のために労働者のPCの動作状況を企業側が把握できるツールがあるが、PC上に何が表示されているのかを勤務時間中ずっと監視し続けることを企業がしてもかまわないのか、また、PCのカメラレンズから勤務時間中の労働者を企業が監視することがかまわないのか、といった論点は必ずしも統一的な見解があるわけではない。
そこで、こうしたHRテックが発達しているこの時点で、労働者をはじめとする弱者の個人情報の取り扱いについて、議論いただきたい次第である。
【匿名】

187

◆ターゲティング広告等について（略）・情報収集モジュールについて
プライバシーポリシーでの開示義務の是非、開示する場合の項目、情報収集モジュールでの情報提供先との関係性について、ガイドラインに明示をご検討いただきたい。（現状は総務省のガイドラインに記載されているが、当該ガイドラインがすべての事業者を対象としていても、総務省と関係がない事業者は見ないので）
【個人】

188

・意見２
該当箇所：（４）タウンミーティングでの意見 〇の3つ目の・の3つ目（10頁）
意見：事業者側の説明責任については、説明方法、オプトイン時のガイドラインを示し、その遵守や義務化といった一定のルールが必要になると考えます。一方、サービスを利用する個人においては、利用規約の確認、提供されるサービスの見極め、事業者へ提供する個人情報の取り扱い、影響度などを、リスクを含めて理解したうえで、同意をすることが重要です。例えば、サービス利用が増える契機である携帯電話契約時やインターネット接続サービス利用時などの啓蒙活動を義務付けることで、利用者側のリテラシー向上を図ることを目指すことができます。
理由：データ活用サービスの形態は絶えず変化しており、新たなサービス利用時に、自身でそのリスクや影響を見極めができるようになることが、近年のネット社会
において重要であると考えます。
【日本ユニシス株式会社】

72/173

189（意見１）【該当箇所】
P16：第３章第１節 ５．検討の方向性（１）全体【意見】「（前略）しかし、この本人の関与に関する部分は、相談ダイヤルに寄せられる事業者の取扱いに対する不満等の中でも、制度に関連しての意見が多い部分であり、重点的に検討を行う必要があると考えられる。」について賛同し、重点的な検討と改善が行われることを期待する。
【理由】
個人情報の利活用を推進するためには、本人（データ主体）が自身の個人情報を有効に利活用したいと思える「安心できる環境」を整備する必要がある。しかしながら、個人から寄せられる主要な相談内容であった第三者提供、利用目的、開示、削除・利用停止に関する内容は、事業者に対する不信や疑念、そして本人の権利の範囲に対する不満がうかがえる。そのような不信や疑念、不満は、根本的には現状の制度に起因していると考えられる。例えば、オプトアウトによる第三者提供について不満が大きいのは、「本人が容易に知り得る状態に置く」では現実的に本人が気が付く可能性は低く、事実上オプトアウトする権利が与えられていないのと等しい状態を制度自体が認めているからだと考えられる。そしてデータの提供先では最初に許諾した利用目的による制限が無くなり、本人の関与がない中で事業者に無制限に利用・拡散されうること、全く知らない事業者からの毎日のように不動産投資の勧誘電話があっても自身の個人情報の削除・利用停止をさせることができないこと
等、現状の制度に起因した不安・不満も聞く。これらの不安・不満を低減し、本人の納得感と安心感をより高めるためには、本人の関与を意識した制度への見直しが必要と考えるため。
【MyData Japan有志】

190

No.2【ページ、項目番号】
第３章 個別検討事項 第１節 個人情報に関する個人の権利の在り方
１．概況（２）個人情報保護法相談ダイヤルに寄せられる意見 P.8 （４）タウンミーティングでの意見 P.10
【該当箇所】＜利用目的に関する相談＞
質問の大半は、利用目的に係る法制度に関する質問である。また、事業者に対する不満等のうち、個人情報の目的外利用に関するものが大半を占めているほか、利用目的の通知又は公表に関する不満等も寄せられている。要望等としては、事業者が個人情報を取得又は利用する際に本人の関与を求める意見等が寄せられている。
〇平成30年度に開催したタウンミーティングでの意見の全体的な傾向は次のとおりであった。
（略）
・消費生活相談の関係者からは、名簿や架空請求に関する相談が多くあること、消費者が事業者のサービスを利用する際には利用規約を十分に確認することが重要であることや事業者との間で削除・第三者提供に係るトラブルの相談についての意見があった。
【意見】
事業者が個人データを取得する際に、本人にその目的や利用方法等について分かりやすく説明し、後で無用のトラブルを起こさないように本人の理解を得ておくことが極めて重要である。
このような観点から、現在、国際標準化機関であるISO/IECにおいて、日本からの提案により、経済産業省が作成したガイドラインをベースとして「分かりやすい通知と同意」に関する国際規格作りが行われている。
事業者が個人データを取得する場合、出来るだけ分かりやすい通知や公表を行うことを努力義務とし、具体的なやり方についてはこの国際規格を活用していくことを検討しては如何か。
【一般財団法人日本情報経済社会推進協会】

73/173

191

第１節 個人情報に関する個人の権利の在り方（6頁～）
意見：
要配慮個人情報以外の個人情報の取得時にも、『本人に通知又は公表』だけではなく、個人情報利用に関する本人の意思を反映させる制度（明確な同意取得を必ずしも要さないとしても、本人が確実に確認できるような制度）が必要なのではないか。利用停止についても、目的外利用した時と不正の手段により取得した場合に限られているが、本人の同意を取得せずに（利用目的の公表により）取得した場合も対象とすべきではないか。
理由：
個人情報の外部移転や利用目的の達成に必要な範囲を超えての取扱いについては同意が必要なものの、そもそもの利用目的の提示に関しては本人への通知又は公表で良い、というのは自由度に差があるように感じる。本人から個人情報を取得する場合はまだしも、本人以外からその人の個人情報を取得する場合、公表により利用目的を提示したとしても、本人が気付かなければ勝手に利用しているのと同じことである。
【国立研究開発法人・科学技術振興機構 NBDC】

192

該当箇所：P56：第３章第７節 その他の論点
意見：オンデマンド統計処理による提供を統計情報の提供として明確にしていただきたい．
理由：ガイドライン（通則編）2-13には「「提供」とは、個人データ、保有個人データ又は匿名加工情報（以下この項において「個 人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。個人データ 等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。」とされているが，Q&A１－14ではネットワークを介して集計結果のみを閲
覧および取得できる形態は統計情報の提供は個人情報の第三者提供に当たらないとされていることからオンデマンド統計処理による提供を統計情報の提供は個人情報（データ）の提供に当たらないことを確認したい．
【個人】

193

（前略）
最後に、本報告書は相談ダイヤルに寄せられた声とタウンミーティングで聞き取った声がベースになっているとのことでした。相談ダイヤルについては件数も多いのですが、タウンミーティングについては参加者数が少なく、消費者の声を広く聞き取ったと言えるのか疑問が残りました。
【個人】

194

個人情報保護法は自分の個人情報を守る権利を奪っている。
この法律は個人情報保護法でなく、個人情報利用法である。
個人情報保護法であると主張するならば、「第２３条４－３特定共同利用」の削除が必須である。
せめて特定の者はすべて明記すべき。たとえ特定の者が数万社あろうとも。グループ会社等だけで済ませるのはおかしい。これを放置しておいて「名簿屋」対策に何の意味があるというのか。共同利用は名簿屋よりも悪質である。プライバシーポリシーに同意しなければ、契約締結も、物やサービスの購入もできないのだから。
これだけ個人を食い物にしておいて、さらに、匿名加工（医療）情報、官民データ利活用、マイナンバー制度を作って個人情報を収集・利用し、それでも足りず「情報銀行」や「データ取引市場」を創設して、個人情報売買による手数料稼ぎビジネスを作って企業をもうけさせる強欲さにあきれる。
個人が個人情報を提供した理由（サービスを受ける、物を買う、契約締結などのため）以外で個人情報を利用する場合および他のものに提供する場合は、官民ともに、本人の同意を必須とすべきである。
【個人】

74/173

195

196

＞6頁目
＞表1
OECD8原則中の責任の原則について、国内の個人情報取扱事業者の義務ではあまりにゆるい形でしか定めがなされていないと考える。
「努めなければならない」というあって無いが如くの努力義務の記述よりも、「管理者」という責任主体とその者が「責任を有する」事の明確な記述が必要であると考える。
（JIS等ではなく）法律レベルで、個人情報取扱事業者内においてその管理者（（CEOやCISOなどと兼任可能な）最高個人情報保護責任者、的なもの。）を義務的に定めるようにし（この届出はおそらく不要と思われるが。また、取り扱う個人の数が300人以上の場合という様な限定をしてもよいと考えるが。）、その者が責任を有する旨について、努力義務的記述ではなく、記すのが適切であると考える。
【個人】

１．意見・要望
今回の個人情報保護法見直し検討を機に、「労働組合」を「要配慮個人情報」として含めてください（関連法令・規則においても同様）。 〔第３章１節 個人情
報に関する個人の権利の在り方〕
２．理由
・労働組合員への差別的扱いや不当な処遇が、これまで様々な職場で現実にみられています。
・したがって、「労働組合」(に関すること)は「本人に対する不当な差別，偏見その他の不利益が生じないようにその取扱いに特に配慮を要するもの」（個人情報保護法）に十分に該当するといえます。
・こうしたことを防ぐためには、個人の労働組合に関する情報（組合員であることやその経歴）を個人情報として保護することが必要です。
・下記に示すように、労働組合加入の情報取得を禁止している厚労省ガイドラインも複数あります。
・EUが2016年に策定した「一般データ保護規則（GDPR）」では、要配慮個人情報として「労働組合」(に関すること)が含まれています。これら項目を「要配慮個人情報」に加え、GDPRと同レベルにすることは、企業等にとっても十分対応可能な（あるいは場合によっては既に対応済みの）内容と考えられます。
・またCSRの観点からも、トラブルのリスクを軽減し、顧客や従業員等との円滑で安定的な関係構築につながり、労使双方にプラスをもたらすと考えられます。
３．経緯
2016年
省庁別に個人情報保護ガイドラインが制定されていた2016年当時、金融庁，法務省，厚生労働省，経済産業省，国土交通省の当時のガイドラインで，「労働組合への加入」に関する事項が「要配慮個人情報」として扱われていました。
第19回個人情報保護委員会 （2016.9.30）資料１－１「各分野の個人情報保護ガイドラインにおけるセンシティブデータの定義及び取扱い」p.12-15.）""第10回個人情報保護委員会（平成28年６月30日）議事録 p2.によると、「労働組合の組合員であることについては、「差別や偏見があるという感覚は余りない」という御意見」が紹介され、要配慮個人情報には含まないことになりました。
しかし，問題は《一般の人から見て、労働組合の組合員であることについて「差別や偏見がある」かどうか》よりむしろ、《求職者や従業員が労働組合の組合員であるか（あったか）否かによって、経営者・管理者が人事や処遇に関して差別的扱いをすることは、法令違反であるにも関わらず、過去にも現在でも現実にしばしばみられる》ことです。"
下記に示すように、厚労省の複数の指針では労働組合に関する情報（加入・活動経験等）を配慮すべき個人情報として保護する規程が設けられています。審議した
当時の個人情報保護委員会委員の中に労働問題の専門家は含まれていないようであり、労働者の置かれた状況が法規に反映されていないように思われます。
2018年
東京オリンピック・パラリンピック競技大会組織委員会は「人権尊重をベースとする持続可能性の考え」に基づき、さまざまな差別やハラスメントの禁止に向けて，
プライバシー保護などを事例に盛り込んだ「東京2020オリンピック・パラリンピック競技大会 持続可能性に配慮した調達コード（第３版）［解説］」を公表。「労働」については、「国際的労働基準の遵守・尊重」「雇用及び職業における差別の禁止」などを掲げ、「組合加入や組合活動の有無」についても差別禁止を解説で明記（p.21-29）

75/173

しかし今回の中間整理では、要配慮個人情報の範囲の見直しについては残念ながら議論されていません。
今回の見直しで個人情報保護法規とGDPRとの調和性を高め、国際的にトップレベルの個人情報保護規定にレベルアップすることで、世界から見た日本企業等におけるデータ管理への信頼性を高めることにもなるでしょう。
４．厚生労働分野における個人情報の適切な取扱いのためのガイドライン等で、「個人情報保護」として、労働組合への加入状況に関する情報の取得を禁止しているもの
1) 労働者の個人情報保護に関する行動指針 （平成12年2月）
2) 職業紹介事業者、労働者の募集を行う者、募集受託者、労働者供給事業者等が均等待遇、労働条件等の明示、求職者等の個人情報の取扱い、職業紹介事業者の責
務、募集内容の的確な表示等に関して適切に対処するための指針(平成 11 年労働省告示第 141 号) (最終改正 平成 29年厚生労働省告示第 210 号）
3) 派遣元事業主が講ずべき措置に関する指針（平成11年労働省告示第137号）（最終改正平成29年厚生労働省告示第210号）
4) 送出事業主が講ずべき措置に関する指針 (平成 17 年厚生労働省告示第 456 号) (最終改正 平成 29 年厚生労働省告示第 210 号)
【個人】

197

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性（２）個人情報保護法相談ダイヤルの充実（４つ目の○）・相談ダイヤルは、消費者と事業者との接点として、引き続き重要であり、個人情報保護と利活用を進めるうえで、更なる普及が必要と考える。このため、（本項の４つ目の○のとおり）「今後、相談ダイヤルについては、ＡＩを使ったチャットボットを導入するなど、更なるサービスの充実に向け取り組む必要がある。」との記載は、「今後、相談ダイヤルについては、浸透度の更なる拡大のための周知に努めるとともに、ＡＩを使ったチャットボットを導入するなど、更なるサービスの充
実に向け取り組む必要がある。」などとすることが望ましい。
【一般社団法人 全国銀行協会】

198

１ 56頁 第７節 その他の論点について
個人情報保護法上、破産手続の開始決定等を受けたという破産者等の個人情報は、オプトアウト規定（個人情報保護法第23条2項）による個人情報保護委員会への届出を行い、一定の要件を満たせば、本人の同意なく第三者へ提供することが可能となっている（平成31年4月26日衆議院法務委員会での松平浩一議員の質疑において、個人情報保護委員会の福浦事務局次長よりその旨回答がされ ている）。
しかし、過去に破産手続の開始決定等を受けたという破産者等の個人情報が、破産者等の経済的信用に関する重大な情報であることを考えると、その取扱いには慎重な配慮がなされる必要がある。そ うすると、同情報は、本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するべき情報としてオプトアウト規定の適用から除外されている「要配慮個人情報」（同法第2条3項）に含まれなければならない。
先般、「破産者マップ」と称するWEB サイトが公開されていることが大きな問題となったことは貴委員会にとっても記憶に新しいところであると思われるが、あのようなサイトが、一定の目的を持って、届出さえすれば、インターネット上で第三者へ情報提供を行うことが適法となってしまうことは、制度上の不備と言える。
本中間整理においては検討事項として取り上げられていないものであるが、何が「要配慮個人情報」に該当するかについては政令により定められているものであり、法改正による必要もないことから、早急に検討し、すみやかに改正されるべきである。
【全国青年司法書士協議会】

76/173

199［意見 9]（該当箇所）
P56: 第3 章第7 節 その他の論点（意見）
本人同意を得ることが実質不可能な個人データの扱いの制度化の検討を進めるべきである。
（理由）
以下の健康医療データは、疾患理解、治療方法の確立など、医療の質の向上において重要な情報源となり得るが、現状の法令では、第三者提供等は不可能と考えられ、創薬研究に活用できない。
▶ いわゆる人を対象とする医学系倫理指針にある匿名化され本人氏名住所等との対応表が存在しない要配慮個人情報を含む健康医療データ▶ 要配慮個人情報（健康医療情報）が付随する“匿名化された試料（血液、組織等）”から新たに個人識別符号（ゲノムデータ）を取得する場合。匿名化されている
ため本人にコンタクトし同意を取得することが不可能▶一定量のゲノムデータは、個人識別符号に該当し、匿名加工情報として第三者提供を受けることができない
なお、現行法制下では、試料の解析結果を新薬申請資料に用いることを前提とする場合は、医薬品医療機器法第80 条の2 第 10 項により守秘義務が課せられており、個人情報保護法の対象外として整理することも考えられる。しかしながら、創薬の場面では、探索的な研究であり、必ずしも直接新薬申請資料の用いることを前提としておらず、個人情報保護法に従う必要があるため、本人同意を得ることが実質不可能な個人データの取り扱いについて、制度化を含めた検討を行っていただきたい。
【日本製薬工業協会 産業政策委員会】

1 . 意見・要望（１） 今回の個人情報保法見直しを機に、GDPR では「要配慮個人情報」として扱われながら、現行法では扱われていない、「性生活」「性的指向」を「要配慮個人情報」として含めてください（関連法令・規則においても同様）。〔第３章１節
個人情報に関する個人の権利の在り方〕（２） ( 1 ) の検討においては、「性生活」「性的指向」に関して、性的指向・性自認に関する困難を抱える人々のための団体（いわゆる、LGBT当事者団体、支援団体）からの意見聴取をご検討ください。
（３）今後、WHO の新しい国際疾病分類 ICD-11 の 正式承認 (2019年予定）に伴い、「性自認J」(gender identity) 及び「性別変更履歴」がGDPR の「要配慮個人情報」に追加されることになった場合には、個人情報保護法および関連法令・規則においても同様に遅滞なく「要配慮個人情報」 に追加して下さい。〔第３章１節
個人情報に関する個人の権利の在り方〕
2. 理由
性的指向・性自認に関する差別・ハラスメントは、日本においても深刻です。その一因として、個人の性的指向・性自認・戸籍性、性別変更等に関する情報（プライバシー）がずさんに扱われることが挙げられます。アウティング（本人の許可なく他人に暴露されること）により、休学や休職、退学や失業、さらにはうつなど精神疾患や自殺にまで追い込まれる深刻な事態も稀ではないことが、さまざまなケーススタディや調査などから明らかになっています。今年3 月に、LGBT法連合会は、354種類にのぼる「性的指向および性自認を理由とするわたしたちが社会で直面する困難のリスト」（第3 版）を公表しています。
また、2019 年衆議院厚生労働委員会の附帯決議では、与野党の全会一致で、職場のハラスメントに関して、政府がアウティングを念頭にプライバシー保護を講ずるようハラスメント対策指針に明記するよう求めています。
他方、公正な処遇や個々のニーズに合った支援・助言のために、性的指向・性自認・性別変更履歴に関する顧客や従業員の情報を適切に取り扱う必要性も高まっています。

77/173200

したがって、性的指向や性自認、及び戸籍性は「本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するもの」（個人情報保護法）に十分に該当するといえます。
GDPRでは、要配慮個人情報として「性自認」と「性別変更履歴」は含まれていませんが、代わりに「性生活」が含まれ、医療関連など他の「要配慮個人情報」事項とあいまって、ある程度カバーされると位置づけていると思われます。
これら項目を「要配慮個人情報」に加え、GDPRと同レベルにすることは、企業等にとっても十分対応可能な（あるいは場合によっては既に対応済みの）内容と考えられます。また CSR の 観点からも、トラブルのリスクを軽減し、顧客や従業員等との円滑で安定的な関係構築につながり、互いにプラスをもたらすものと考えられ
ます。
3. 経緯
省庁別に個人情報保護ガイドラインが制定されていた 2016 年当時、金融庁、総務省、法務省、経済産業省のガイドラインでは、「性的指向」や「性自認」を明示はしていませんが、「性生活（に関する事項）」が「要配慮個人情報」に含まれていました。
しかし、それに代わる統一的な「改正個人情報保護法」制定の際には、それが落ちています。また、政令においても、「性的指向」や「性自認」「性生活」「性別変更履歴」は、「その他社会的差別の原因となるおそれのある事項」であり、現実にも多大の差別を生んでいるにもかかわらず挙げられていません。
第10 回個人情報保護委員会 (2016年 6 月30日）において「性的指向・性自認について議論が一定の方向に収れんしていると言えるまでの合意はなく、非常にデリケートな問題を有するためにもっと議論をしていく必要があるというご意見」が紹介されています。しかし、その後2019年5 月に至るまで、この点に関して委員会で議論や意見聴取をした形跡はみられません。

しかし、「性的指向」や「性自認」に関する差別の根絶は 2000 年代初頭から政府としての既定方針であり、そのために各省庁で具体的措置が徐々に（特に 2010年代に）積み重ねられつつあります。
2015年に某大学において大学院生が同性愛者であることをアウティングされて転落死した事件など、「性的指向・性自認」に関する諸問題や事件が近年多く起き着目を浴びる中で、「性的指向」や「性自認」 、「性別変更履歴」が高度のプライバシーに属するという社会的認識と国民的コンセンサスが醸成されてきており、上述の衆議院厚生労働委員会での附帯決議にもつながっていると言えます。
2018 年には、国際的なデータ流通に対応して、EU か らの データ移転に関し、GDPR (EU 一般データ保護規則）に沿って、「性生活」「性的指向」「労働組合」
について「要配慮個人情報」と同様に扱うことが義務づけられました。また、国籍を問わず、日本の企業等もEU居住者（顧客、従業員、等）の個人情報についてはGDPR に準拠した扱いが求められます。グローバル化が進展する中で、（特に先進諸国の間での）国際的な個人情報保護ルールの調和を高めることは、人権保護と経済の安定的成長にともに欠かせない要素です。
しかしながら、今回の「個人情報保護法 いわゆる 3 年ごと見直しに係る検討の中間整理」（以下、中間整理）では残念ながら議論されていません。
今回の見直しで個人情報保護法規と GDPR との 調和性を高め、国際的にトッブレベルの個人情報保護規定にレベルアップすることで、世界から見た日本企業等におけるデータ管理への信頼性を高めることにもなるでしょう。逆に、この機会を逃せば次回の見直しは 3 年後であり、日本が遅れをとればアジア諸国の中での相対的評価にもマイナスに働きかねません。
別表 性的指向・性自認に関する個人情報保護と政府の施策の動向〔内容は省略します。〕【性的指向および性自認等により困難を抱えている当事者等に対する法整備のための全国連合会（略称： LGBT法連合会）】

78/173

201【意見の対象】
第 3 章「第 1 節 個人情報に関する個人の権利の在り方」「 1 (2) 個人情報保護法相談ダイヤルに寄せられる意見＜第三者提供に関する相談＞＜開示に関する相談＞」【内容】「 法令に基づく場合」（法23 条 1 項 1 号）の第三者提供のうち、「法令の規定で提供そのものが義務づけられているわけではないが、第三者が情報の提供を受けることについて法令上の具体的な根拠がある場合」（園部逸男（編）・藤原静雄（著）「個人情報保護法の解説（改訂版）（148頁））についても適法である旨を一般に向けて積極的に周知されたい。また、上記の提供が適法化されるのは、弁護士会照会制度を含め、法令に基づく調査権限が適正妥当に発動されることが前提であるため、調査機関に対しても、その旨を改めて注意喚起いただきたい。
【理由】「 法令に某づく場合」（法23 条 1 項 1 号）の第三者提供のうち、「法令の規定で提供そのものが義務づけられているわけではないが、第三者が情報の提供を受けることについて法令上の具体的な根拠がある場合」（園部逸男（編）・藤原静雄（著）「個人情報保護法の解説（改訂版）（148頁））に、事業者が第三者に情報提供した場合において、本人からクレームを受けることがあり、これを懸念して提供を躊躇する実態がある。一般の理解が不十分であるために、適法なデータの利活用に対しても批判的な意見・報道がなされる傾向があると考えられるため、委員会としても、もっと問題がないことを積極的に発信していただきたい。また、調査権限発動の責任は調査機関にあるというべきであり、調査権限の発動が不適切であったとしても、回答した事業者は免責されるべきである。調査権限が適正妥当に発動されるよう、調査機関に対しても、その旨を改めて注意喚起いただきたい 。
【経営法友会】

202【意見の対象】
第 3 章「第1 節 個人情報に関する個人の権利の在り方」「 5 ( 2 ) 個人情報保護法相談ダイヤルの充実」【内容】
個人情報保護法相談ダイヤルの運用につき、より利便性の高い運用を実施されたい。
【理由】
事業者の立場からデータの利活用等に関する質問等を相談ダイヤルに相談することがあるが、丁寧に相談内容を聞いていただいたものの、最終的な結論として「明確な結論は申し上 げられないので事業者の判断で実施するように」との回答となるケースが散見されるとの意見があった。事業者としては、判断に悩むからこそ相談しているのであり、事業者の判断に委ねる旨の回答となるのであれば相談している意味がないし、リスク判断から実施をためらうことになる。そのような際に、より実務に即した回答を頂けるような運用を実施いただければ、柑談ダイヤルの更なるサービス充実が図られ、その結果、データの利活用等を通じたイノベーションの促進にも資すると思料する。
【経営法友会】

79/173

203

2 個人情報保護法制における本人以外の同意等の位置づけの明確化(1) 該当箇所
個人情報保護法における本人の位置づけ (6頁）検討の方向性 (16頁）等(2) 意見本人の関与に関する重点的な検討に加えて、認知症高齢者、児童や障碍者等の同意能力を必ずしも有さない社会的弱者を保護するため、本人以外の代理人等による同意や開示請求等の位置づけも明確化すべきである。
(3) 理由個人の権利の保護のためには、同意能力を有する個人だけでなく、同意能力を十分に有さない、認知症高齢者、児童や障碍者等の社会的弱者保護のための規定も必要である。
現行個人情報保護法32条においても、「開示等の請求等は、政令で定めるところにより、代理人によってすることができる」とされているが、取得・第三者提供等は本人の同意に限定している。情報銀行やAIによる本人の代理による円滑なデータ流通に向けても、代理人等の規定を個人情報保護法制内に規定すべきである。なお、３の意見に示すような公益性の高い利用や、ゲノム情報や感染症の情報等、単独の個人のみでコントロールできるとするのが必ずしも適切ではない類型が存在することへの配慮も必要である。
【世界経済フォーラム第四次産業革命日本センター】

204（該当箇所）
17ページ（御意見）（３）開示請求の事業者に対して（理由）
個人情報開示でソース元を公表する義務にしないと、ダミー会社経由での取得で合法化されてしまいます。
同窓会名簿や、住民基本台帳、流出名簿など、ソース元の開示の法律化へ。
【個人】

205

１．個人情報保護法（略称）が施行されて10数年が経過し法律の理念が国民の間に浸透しているように思います。
２．個人情報保護委員会の３年ごとの見直しに係る検討の中間整理資料（以下本資料と略称する。）によれば、個人情報保護相談ダイヤルの昨年４月１日から同年末
迄における実績値の分類「苦情」の受付件数は1,708件で相談主体別の「個人」が1,672件で約98％を占め大半が個人からの苦情である。本資料７頁表３。
また、同期間における個人からの相談内容によれば、事業者の個人情報の取扱に対する不満等（分類）中第三者提供が67％、安全管理措置が64％、削除、利用停止
43％と高い数値となっていることは注意を要すると思われます。本資料８頁表４。
個人情報に関して不平、不満（苦情）を申し出ることは私生活内部の平穏を乱すことであるからあってはならないことである。本人の個人情報保護法の理解不足又は誤解によるケースもあるかと推測されるが、当局の啓発と指導、助言等について点検して改善すべきところがあれば、直ちに改善し最善の運用をして不平、不満等苦情の減少を図ることを期待する。
【個人】

80/173

第３章第２節関係
No.

漏えい報告
提出意見

206

●安全監視措置→漏えい等の事案で、リスクをもたらす可能性が高い場合には７２時間以内に個人情報保護委員会または認定個人情報保護団体に通知する義務を持たせるべき。
【株式会社シーピーデザインコンサルティング】

207（３）報告義務に対する改善意見
個人情報が漏洩した場合の報告に関して、漏洩経路、漏洩した個人情報の項目、または、漏洩件数により、報告義務の軽減措置が検討されているようだが、具体例を提示してほしい。当協会は、認定個人情報団体であるが、具体例が示さない場合、規模の大小を問わず漏洩事故が発生した事業者からの問い合わせに対して、速やかな対応ができないと想定される。
【公益社団法人 日本通信販売協会】

208

第２節 漏えい報告の在り方
３．検討の方向性（１）基本的考え方
P24 一番上の〇＜意見＞
漏えい報告について、法令上明記し、一定の場合に義務付けすることに賛同します。
＜理由＞
事故情報を迅速かつ正確に把握するには当該事業者からの申告と事情聴取が必要です。事態の早期収束や適切な法執行に繋がることも考えれば、発覚後速やかに所管庁へ報告することを義務化することは必要と思われます。
一方、およそ全ての事故について報告を求めることは非現実的であるため、報告を要する事故の規模や性質等を明示し、事業者の混乱を回避しつつ、ためらわず申告できる環境を整えることが重要と思われます。
また、事故報告は、一義的には事故の早期把握と被害拡大防止を目的とし、当該事業者に対する懲罰目的ではないことを示すことも重要と思われます。
【梅津行政書士事務所】

209◆漏えい報告について
漏えい報告を要しない事案をガイドラインに公表してほしい。
特に、事業者側のサーバやアプリケーションの脆弱性によるものではなく、パスワードリスト攻撃による当該ユーザの登録情報の漏えいについて対象外であることを明記してもらいたい。
貴委員会に電話相談すると、事業者に非がない情報漏えいは報告の対象外であるとご指導いただけますが、現状、その旨が公表されていないので、パスワードリスト
攻撃による情報漏えいについて、事業者に問いただすような新聞報道が見受けられる等の弊害が生じています。
【個人】

81/173210

第2節 漏えい報告の在り方【意見3（P23）】（1）基本的考え方
・漏えい報告については、我が国においては、多くの事業者において適切に対応されていると認識しており、現時点で義務化を法制度として設ける必要性は薄いものと考えられることから、慎重にご検討をいただきたい。
漏えい報告を義務化するのであれば、軽微な案件（例えば個人情報データベース等から帳票に印字された個人データ数件の紛失）については報告不要とする等、報告
軽減措置の拡大を検討いただきたい。
（理由）
・多くの事業者において適切に対応されており、軽微な案件について報告要とすることは、個人の権利利益を侵害するリスクに比べて過剰な対応であるため。
また、EUのGDPRでは「個人データ侵害により個人の権利や自由に対するリスクが生じ得ない場合」は報告不要としているため。
【JEITA個人データ保護専門委員会】

211【該当ページ】
P.24 (２)勘案すべき事項 ６つ目の〇部分【意見】
現在の漏えい報告の報告先に関して、大きく3つの報告経路が存在(直委員会へ報告/認定個人情報保護団体/権限委任のある分野の事業者)しているが、事業者の事業により、また漏えいした関係事業により、この3つのどこに該当するのか判断のうえ報告といった煩雑さがある。漏えい報告は重要なことと認識しており、まずは悩む確認することなく、漏えい時はここに報告といった窓口の一本化をお願いしたい。
【理由】
細分化していることで、各々の自主ルールやガイドラインなどの基準に基づき、事業者自らが判断して必要なタイミングや方法により報告しているが、まずは報告す
ることを優先とした上で、その後に必要な手続きに関して指南いただきながら進めていく体制の方が煩雑さから解放されると思料。
【SBペイメントサービス株式会社】

212

4.
（該当箇所）
24ページ（勘案すべき事項）（意見）
漏えい報告について法令で明示的な期限を設けるのであれば、発覚から○時間ではなく、監督官庁等が休みとなる土日祝日は除いた営業日ベースでのカウントとするようにして頂きたい。もしくは漏えい事案の重大性の軽重に応じて分けて頂きたい。
（理由）
例えば、ゴールデンウィークや年末年始等の監督官庁等が休みの中、報告を行ったとしても即時の報告に有効性がないため。
【匿名】

213

[意見４（p23～24）]
漏えい報告を法令上義務付けることは不要である。
(理由)
・中間整理に記載のとおり、わが国では、法的な義務ではないにもかかわらず、多くの企業が適切に対応している。
・漏えい報告を義務付けることにより、企業の個人データ活用を委縮させる懸念がある。
【(一社)日本経済団体連合会情報通信委員会企画部会】

82/173

214[意見５（p23～24）]
法令で漏えい報告に関する期限を設けることは慎重に検討すべきである。
(理由)
・個人データ漏えいの際、事業者は漏えいの実態把握を行い、様々な関係者と十分に調整をしたうえで正確な情報を出す必要がある。また、漏えい事案ごとに、対応に要する時間はさまざまである。
【(一社)日本経済団体連合会情報通信委員会企画部会】

215（該当箇所２４ページ）
５．漏えい報告を義務化する場合は、報告基準をより明確化するとともに、報告対象外とする範囲を拡大する等、現行運用と比して、過剰とならないよう配慮いただ
きたい。
（理由）
義務化された場合、事業者の報告漏れが「法令違反」に該当するため。
【一般社団法人 日本クレジット協会】

216（該当箇所２４ページ）
６．本人への通知を義務化する場合は、報告義務のある案件のうち、例えば本人への影響が著しい場合などに限定されるよう配慮いただきたい。
（理由）
発生事象の状況、漏えいした情報、対象者等に応じて個別検討の必要が生じる場合もあり、執行機関への報告と同様の基準では実施が困難な可能性も考えられるため。
【一般社団法人 日本クレジット協会】

217（該当箇所２４ページ）
７．期限設定にあたっては明示的な期限を設けることを前提とするのではなく、漏えいの規模、影響度を考慮して期限に関する規律を設定することの当否について慎重に検討いただきたい。
（理由）
郵便物誤配等、軽微な漏洩で影響が限定的なものについては、件数も多くすべて速やかに報告すると事業者の負荷が大きいため。
また、曜日や休日の組み合わせにより時間単位の報告は困難な事象が発生する可能性があるため。
【一般社団法人 日本クレジット協会】

218（第3章第２節３ 漏えい報告の在り方）
現在、事業者にとって複数の提出ルート、複数のルール（書式）が存在することは、手間やコストの負担となっており、改善を要求する。行政サービスにおけるOne Stop、Once Timeを本件についても適用し、窓口の一本化や関係機関の情報連携、書式、報告基準の統一などについて、制度設計が行われることを求める。そのうえで、報告義務について過度な負担とならないよう漏えいの件数、重大性、原因、漏えいした情報の内容等を考慮し要件整理が行われることが望ましい。
【一般社団法人モバイル・コンテンツ・フォーラム】

219

２．個人情報の漏洩報告は、法令上義務化すべきである。
【個人】

83/173

220

221

222

223

・意見５
該当箇所：（１）基本的考え方（23頁）
意見：情報通信委員会企画部会からの中間整理への意見にあります義務化の必要はないというご意見に概ね賛成です。
理由：多くの事業者が、漏えい報告について適切に対応しているという実態に鑑れば、法的義務化の必要はないものと思われます。しかしながら、少数といえども、不適切な対応をしている事業者が存在するのであれば、法制度上、かかる事業者に対し、適切な対応の実施を強制できないことにより、諸外国から日本に対し、自国における個人情報保護への対応を軽視しているかのような印象を持たれかねないため、確実な報告がなされるような方策を別途検討すべきと考えます。
【日本ユニシス株式会社】
個別意見 中間整理第3章第2節関係・漏えい報告を義務化するか否かにかかわらず、企業側の現状の対応における現場での迷いや負担などをきめ細かく分析したうえで、義務化の可否を含め慎重に検討するべき。
【一般社団法人新経済連盟】
３．漏洩報告について、義務化や期限の設定は弊害が大きいと考える。漏洩が起こった際は、事業者は利用者の利益保護を最優先に取り組むべきだが、報告が期限付きの義務となった場合に、そちらにリソースを割かざるを得ない状況になることは、かえって利用者の利益を損なう結果になりかねない。特に、中小規模事業者においてはその恐れが大きいため、少なくとも報告の詳細度や期限設定の厳しさ等については特に慎重な検討が必要と思われる。
【一般社団法人Fintech協会】

No.4【ページ、項目番号】
第３章 個別検討事項
第２節 漏えい報告の在り方
３．検討の方向性（１）基本的考え方 P.24
（２）勘案すべき事項 P.24
【該当箇所】〇したがって、国内における法執行の安定性や、国際的な議論の潮流等を勘案すると、漏えい報告について、法令上明記し、一定の場合について義務付けをすることも検討する必要がある。
〇なお、現在、漏えい報告の報告先については、一定の場合、委員会以外に、個人情報保護法第44条に基づき権限を委任している大臣及び認定個人情報保護団体に対して提出することを認めている。当該方式は現在有効に機能していると考えられることから、今後の検討においても、この方法を生かしていくことが考えられる。
【意見】
漏えい報告を巡る状況を勘案すれば、その影響が大きい事故の一定の場合について義務付けをすることを検討することについて賛同する。
当協会が推進しているプライバシーマークの審査基準の根拠である「JIS Q 15001個人情報保護マネジメントシステム－要求事項」においても、漏えい報告が義務付
けられており、多くの事業者がこれを遵守している。
しかしながら、現行法では報告は努力義務であり、また、その報告先は一定の場合、委任を受けた大臣及び認定個人情報保護団体が認められている。
これを「一定の場合」に法令で義務化するとすれば、事業者や認定個人情報保護団体における無用の混乱を避けるためにも、報告を義務とする「一定の場合」の基準を明確にするとともに、報告先は個人情報保護委員会に一元化することが望ましいと考える。
また、それが具体化される際には、対象事業者の状況を適切に把握し対応する観点から、当該事業者が属する認定個人情報保護団体にもその報告が共有されることが必要と考える。
【一般財団法人日本情報経済社会推進協会】

84/173

224◆該当箇所２
第３章・第２節 漏えい報告の在り方
P24 （２）勘案すべき事項 １、４ポツについて【意見】
本人への通知については、企業における実行可能性等も踏まえて検討されることが望ましいと考える。
【理由】
本人への通知については、個人データの漏えいによって本人に重大な権利侵害が生じうる場合において本人保護のために行う必要性があることは承知しているところではあるが、企業によっては本人の連絡先を把握していない場合や本人の連絡先を把握していたとしても通知が到達しない場合も想定されるところであり、本人への通知を制度化している諸外国の運用実態や我が国の企業における実行可能性等を踏まえる必要があると考えられるため。
【LINE株式会社】

225

第２節 漏えい報告の在り方 ２．諸外国の現状
暗号化されている場合や個人の権利・自由にリスクを発生させる恐れが無い事案等について報告不要とされている。（22頁）
意見：
日本でも、漏えいした個人データの可読性によって、報告内容を変えても良いのではないか。漏えいした際、必ず把握できる仕組みにしつつも、報告内容を簡素化するのが良いのではないか。
理由：
暗号化等により可読性が非常に低い個人データが漏えいした場合と、暗号化等を施していないデータが漏えいした場合とでは、本人や社会への影響は全く異なるため、同じ内容の報告を課す必要は無いのではないか。
【国立研究開発法人・科学技術振興機構 NBDC】

226

第２ 漏えい報告は法令上明記し、一定の場合に義務付けをすべきである
漏えい報告につき、「法令上明記し、一定の場合について義務付けをすることも検討する必要がある。」（24頁）との方針に賛成する。導入の際には、事業者のインセンティブ向上の観点から、適時において適切な報告を行った事業者に対しては行政上のサンクションを軽減させることも検討に値する。
なお、報告義務の要件（24頁）としては様々な基準があり得るところ、一般に漏えい件数が多い場合にはそれだけ多数の被害が生じ得ることから、例えば一定の件数を超えた場合に類型的に報告義務を課す方法が考えられる。
また、被害拡大防止の観点からは、早期の漏えい報告と公表が重要であることから、GDPRのいわゆる72時間以内の報告義務などを参考に、漏えい判明後の速やかな報告義務について明記することも検討すべきである。
【個人情報保護法改正を検討する弁護士の会】

227

第3章第2節3. 漏えい報告の在り方に関する意見（23～24頁）
報告の義務化について積極的に反対するものではないが、報告時点における不完全な情報を基礎として作成された報告書の内容（例：再発防止策）に基づいて、実質的に個人情報取扱事業者に対して報告義務以外の義務が課されることとならないように留意して制度設計が検討されるべきであると考える。
【長島・大野・常松法律事務所】

85/173

228

第3章第2節3. 漏えい報告の在り方に関する意見（23～24頁）
本人への通知については、本人の連絡先に関する情報を知らない場合や、本人へ通知することによって二次被害が発生するおそれがある場合（例：他人には当該ウェブサイトを利用していることを知られたくないと考えているのに、自宅宛てに通知が届いて家族に当該ウェブサイトを利用していることを知られてしまう場合や、特に本人がとるべき措置がないにもかかわらず、本人を必要以上に不安に陥れてしまう場合）などもあるため、義務化については、その要否及び仮に必要であるとした場合の要件については、慎重な検討が必要であると考える。むしろ、通知しないことで被害が拡大するおそれがある場合には、個人情報取扱事業者としては、民事上の責任を回避するために、本人へ通知をすることになると思われることからすると、本人への通知を個人情報保護法上義務づける必要性は高くないものと考えられる。
【長島・大野・常松法律事務所】

229

意見7 （該当箇所）
20ページ 第3章第2節漏えい報告の在り方（意見）①漏えい報告を義務化させる必要はない。
②報告ガイドラインにおいて、事業者が漏えい報告をする際の適切な被害基準を示していただきたい。
③漏えい等について、一律の期限を設けることは適切ではない。
（理由）①中間報告記載のとおり、日本では、法的義務がない場合であっても、多くの事業者が適切に漏えいを報告しているため。
②かかる被害基準がないと、事業者は、ユーザーとPPCの双方において、実質的な被害がないと判断されるようなインシデントについても報告を余儀なくされ、結果として事業者とPPC双方にとって通知疲れと過重な負担となるため。
③個人情報の漏えいの場合、事業者は、関係各所すべてと調整後に、正確な漏えいの状況を把握し、提供する必要がある。各漏えいごとに、状況把握に要する時間が異なるため、一律の期限を設けることは適切ではないため。
【在日米国商工会議所】

86/173

230

意見8 （該当箇所）
20ページ 第3章第2節漏えい報告の在り方（意見）報告義務に関わるため、漏えいの件数、重大性、原因、漏えいした情報の内容等の要素を加重した上で義務を課すようにしていただきたい。また、重大性などの主観的な要素については、明確な解釈が可能となるような補完的なガイダンスが必要である。また、事業者が管理する情報について漏えいがあった場合のみ、当該事業者に報告義務が発生するようにしていただきたい。
加えて、データ主体に対する深刻な被害に関する予見可能なリスクが生じていない場合には、報告義務は課されないようにしていただきたい。例えば、漏えいしたデータが仮名化、匿名化、または暗号化されている場合である。
タイミングについては、データの利用者が、十分な事実確認、調査および軽減措置をとれるような合理的な期間を与えられるものにしていただきたい。柔軟性を確保
し、リスク評価を行うために、報告の提出期限について固定した時間数を定めることは避けていただきたい。
（理由）
例えば、漏えい件数は多いが全て公知情報であれば、報告義務の対象とする必要はないと思われるため。主観的な要素については、事業者の判断が難しいため。また、事業者と監督機関の双方の負担を回避することに加え、実際の被害に関して不必要な行政上の負担が生じることを回避するためには、漏えいの件数や深刻度についての基準が設けられる必要があると思われるため。
Centre for Information Policy Leadershipの調査(CIPL報告書、
https://www.informationpolicycentre.com/uploads/5/7/1/0/57104281/cipl_comments_to_wp29_guidelines_on_breach_notification.pdf)でも言及されているとおり、72時間という制限は、多くの漏えい事案において実行可能性の乏しいものである。ログの検証や、関係者への聴取、追加の事実確認が必要となり得る。さらに、漏えい報告に関する米国の各州法では、事業者は、影響を受けた個人や当局に対する報告よりも前に、システムの完全性を合理的な程度に復旧させる時間を与えられることが典型的である。被害軽減のための重要な措置をとる上では、常に、その評価プロセスに時間を要することに留意していただきたい。
【在日米国商工会議所】

231

意見9 （該当箇所）
20ページ 第3章第2節漏えい報告の在り方（意見）
本人への通知の具体的な方法・手段については、事業者に過剰な負担が生じないという観点で検討されるべきである。
（理由）
仮に、通知の読了を要求されるようなことになれば、事業者にとっては技術的に対応困難であるため。
【在日米国商工会議所】

232

２ 第3章第2節３．(1)(24頁)
・漏えい報告における報告期限について、速やかな報告としている現状の実態等において致命的な課題等がないのであれば、法令で明示的な報告期限を設ける必要性
まではないものと考えるが、報告期限が法定される場合は、被害拡大防止等顧客の保護に資する対応に過度な影響を及ぼさないよう、例えば、第一報は報告対象を重要な項目に絞ったものとし、詳細な報告については当局等との緊密な連携を前提として時間的な猶予を持たせることで確実な実施を目指す等、報告の時期や内容について配慮をお願いしたい。
【一般社団法人 生命保険協会】

233

第２節 漏えい報告の在り方 ３．検討の方向性（２）勘案すべき事項（４つ目の○）・「本人への通知等の在り方についても検討が必要である。（略）本人への通知等の具体的な方法・手段について検討する必要がある。」との主旨に賛同する。
・特に、大量の個人情報を取り扱う事業者にとって、メディアやウェブサイトによる告知のみでよいのか、個人別に電話・郵送・メールによる連絡が必要なのか等によって必要となる体制が大きく異なると考えられ、連絡先変更などで本人と連絡がとれない場合や、本人が高齢者や子供の場合に家族への通知が許容されるのかな
ど、実務上判断に迷うケースが想定される。ガイドライン等を提示いただきたい。
【一般社団法人 全国銀行協会】

87/173234

該当箇所：24頁「勘案すべき事項」として、漏えい報告の義務化が挙げられている。
仮に漏えい報告を義務化するとした場合、軽微な事案について（例えば、法人顧客の担当者名が個人情報として含まれる電子メールの誤送信１件のように、個人情報の主体への影響が大きいことが想定されないケース）などについても報告を求められることになると、個人情報の主体への影響に比べて事業者の負担が大きいため、報告義務を課すのは、漏えいした個人情報の件数や個人情報の性質に鑑みて「重大な事案」に限定すべき。
さらに、かかる「重大な事案」の判断において考慮すべき事項およびその基準については、ガイドライン等で明示して頂きたい。
【一般社団法人 国際銀行協会】

235

4 . 漏えい報告の在り方（中間報告 第3 章 第 2 節）
漏えい報告に関する法制化そのものについて異論はない。
もっとも，具体的な規定が効果的に機能するのか，という点について深く検討をいただきたい。たとえば， GDPRに規定される「72 時間以内の当局に対する通知」のように漏えい報告について時間的限定した場合に，緊急の事態の対応実務にそぐわない可能性は否定できまい。
【一般社団法人 日本広告業協会】

236「第２節 漏えい報告の在り方」について
中間整理において、個人情報保護法を改正し、一定の場合に個人データの漏えい報告を義務化することが検討されています。現在、日本では、データ漏えいをいつどのように報告するかについては、貴委員会が事業者に詳細なガイダンスを提供しているものの、データ漏えい報告は必須ではなく、これについて、日本における現行の事業慣行や国際的な議論の展開を考慮しながら、ガイダンスの義務化を検討するとしています。
BSAの経験では、個人情報保護フレームワークは、原則に基づき、結果重視であり、過度に規範的ではない場合に最も効果的です。この観点から、暗号化又は編集されていない個人データが不正取得され、これがなりすまし又は金融詐欺のような個人に損害を与える重大なリスクを引き起こす場合にのみ、規制当局又は本人に対する個人情報漏えい報告を事業者に義務付けることを推奨します。即ち、盗まれた個人データが暗号化されている場合や、個人の権利又は自由にリスクがない場合には、報告を義務付けるべきではありません。
更に、個人が意味ある漏えい報告を確実に受け取ることが重要であるため、漏えい報告をする前に、事業者が、セキュリティリスクの範囲を見極めて、漏えい再発防止のための徹底的なリスク評価を実施するための十分な時間を与えることが重要です。従って、個人情報保護法は、漏えい報告のための明示的な期限を設定するのではなく、事業者が漏えい発見後可及的速やかに報告することを要件とすべきです。
【The Software Alliance (BSA)】【意見要旨】( 2 ) 漏えい報告の在り方
個人データの漏えい等（漏えい、滅失または毀損）の事案が発生した場合の報告を法令上義務化する必要はないと考える。とりわけ、法令で漏えい報告を義務化し、さらに期限を設けることは、かえって事業者と監督官庁双方 の負担を増大させ、利用者保護につながらないおそれがあり、制度の趣旨目的を真に達成するものにはならないと思料する。

88/173

237

第 2 節 漏えい報告の在り方
3. 検討の方向性(1) 基本的考え方、(2) 勘案すべき事項(pp.23- 24)
個人データの漏えい等（漏えい、滅失または毀損）の事案が発生した場合の報告を法令上義務化する必要はないと考える。とりわけ、法令で漏えい報告を義務化し、さらに期限を設けることは、かえって事業者と監督官庁双方の負担を増大させ、制度の趣旨目的を真に達成するものにはならないと思料する。
中間整理は、「国内における法執行の安定性や、国際的な議論の潮流等を勘案すると、漏えい報告について、法令上明記し、一定の場合について義務付けをすることも検討する必要がある」と述べつつ、勘案すべき事項として、漏えい報告義務化の内容、本人への通知等の在り方、そして明示的な期限を設けるべきか等を挙げている。
この点、平成 27 年改正法の下 、個人データの漏えい等の事案が発生した場合の報告は努力義務であるところ、任意に報告を行っている事業者が多いと認識している。また、個人データの漏えい等の事案において最も優先されるべき事項は、個人の権利利益の保護であり、漏えい報告を義務化したからといって、事業者がその最優先事項を適切かつ迅速に行うことを促すものには必ずしもならないと考えられる。それどころか、事業者に報告義務を課すことになれば、ただでさえ緊急対応が求められる状況において、有限な事業者のリソースを十分に個人の権利利益の保護にあてられないおそれもある。
さらに、個人データの漏えい等事案が発生した場合、事業者は、所定のフローにしたがって社内の様々な関係者と緊密に連携しながら、まずは正確な実態把握を進める必要がある。その上で、漏えい等事案に該当するとなった場合、個人情報保護委員会等への報告、影響を受ける可能性のある本人への連絡、そして外部公表やマスコミ対応等を考えていかなければならない。そうしたプロセスを慎重かつ適切に踏んでいかなければならないところに、明示的な期限付きの報告義務が課されれば、事業者が対応を誤ってしまう可能性があるのみならず、不十分な報告を行うことによって監督官庁とのやりとりが増えてしまい、結果、中間整理に記載のとおり、事業者にとっても監督官庁にとってもコストが過剰となる一方で、制度の趣旨目的を真に達成するものにはならないと思料する。
加えて、漏えい報告を義務化するとしても、中間整理に記載のとおり、中小規模事業者の負担を考慮する必要がある。そもそもそうした中小規模事業者に対し漏えい報告が義務であることをどのように周知していくのか、課題が大きいと思われる。
なお、漏えい報告の義務化は、平成 29 年個人情報保護委員会告示第 1 号に規定されている漏えい等事案（①個人データの漏えい・滅失・毀損、②加工方法等情報の漏えい、③①又は②のおそれ）を一定程度狭めること、また、「個人情報取扱事業者の意図とは関係なく個人データが他者による利用が可能な状態に置かれた場
合」（通則ガイドラインパブコメ・356 番等）であるとみられる漏えいの定義のさらなる明確化なくしてあり得ないであろう。

また、EU の一般データ保護規則（以下「GDPR」という。）では、管理者は原則として個人データの侵害を認識してから 72 時間以内に監督機関に通知しなければならない 一方で、処理者については、個人データの侵害を認識してから不当に遅延することなく管理者に通知しなければならないと規定している（第 33 条）。この点、平成27年改正法の下では、委託の場合ではあるが、委託先で漏えい等事案が発生した場合、原則として、委託元が個人情報保護委員会等へ報告するよう努めるとなっている（「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に 関する Q&A 、
Q/A12-9) 。漏えい報告を義務化するとなった場合には、こうした委託元・委託先それぞれの義務の内容についても慎重な検討が必要となるであろう。
【株式会社メルカリ】

89/173

238【意見の対象】
第 3 章「第2 節 漏えい報告の在り方」【内容】
一律の漏えい報告の義務化については反対である。仮に、義務化するとしても、報告対象については影響度合いを考慮した限定的かつ明確な基準を設け、報告期限については設定しない又は設定する場合であっても実務上対応可能な期限とされたい。
【理由】
漏えい事案が発生した場合に、報告義務のない現行の制度においても適切に報告している事業者が多数存在する状況に照らすと、現在の告示に基づく報告と必要に応じた行政指導を実施する仕組みと効果はさほど変わらないものと思われ、直ちに漏えい報告を法令上の義務とする意義が見いだせない。「多くの国々で、暗号化されている場合や個人の権利・自由にリスクを発生させるおそれがない事案等について報告不要」とされてはいるが、当該報告義務の例外の該当性の基準は明確に定められていないことも多く、結果として、明確に判断ができない多くの場合において事業者が報告をせざるを得ず、例外規定が実質的に機能していないように見られる例もあるため、漏えいの報告を義務付ける場合であっても、明確かつ具体的な基準（数、情報の内容等）を規定すべきである。また、期限についても、事業者が速やかに対応措置を講じること自体が重要であり、当局への報告に明示的な期限を定めることに関する合理性は薄いため、設定するべきではなく、設定するとしても、不正アクセス等により事業者が即時に判断できない場合もあるため、専業者が漏えいの事実を了知した時点を基準日として、かつ、報告に必要な内容の調査にかかる必要十分な期間を定めるべきである。また、漏えい報告を義務化するにあたっては、当該報告内容が報道やSNS等を通じて拡散され、事業活動に過度に悪影善を与えることのないよう十分にご配慮いただきたい。
【経営法友会】

239【意見の対象】
第 3章「第2 節 漏えい報告の任り方」「 3 ( 2 )勘案すべき事項」【内容】
本人への通知の在り方、具体的な方法・手段は、これを一律に義務付けることに馴染まず、むしろ現状のとおり個々の企業に任せた方が、企業と本人との関係性においても、2次被害の防止の観点においても、結果として問題解決に資すると思料する。
【理由】
中間報告は、漏えい事案発生時の「本人への通知は、個人の権利利益の保護の観点からも重要と考えられるか、執行機関への報告と同様な形で連絡を求めるのか、一定の要件を設けるのか、検討が必要である」こと、「さらに、本人への通知等の具体的な方法・手段について検討する必要がある」と結論づけている。しかしながら、本人への通知については、本人が顧客なのか従業員などの内部者なのか、本人が特定された少数の者なのか多数の者なのか、また、漏えいした情報の性質によっても、必然的に対応は異なっているのが現状の実務対応であり、また、場合によっては、技術上の問題で、漏えいした情報の「本人」を特定できない場合もある（漏
えいしたことは把握できたとしても、漏えいした個別の個人が特定できない場合など）ことから、一律に義務付けることには馴染まず、むしろ個々の企業に任せた方が適切な対応が可能である。
【経営法友会】

240【意見の対象】
第 3 章「第 2 節 漏えい報告の在り方」【内容】
漏えい報告を義務付ける場合、世界各国における報告要件との統一や、一国に報告すれば、その報告内容が関連各国で連携されるようなワンストップサービスの仕組み等も検討されたい。
【理由】
国内外の情報がまとめて漏えいした場合に、異なる報告要件を有する複数の関連国に対して報告要否を検討することは事業者にとって多大な労カ・困難を伴うため、報告義務を定める場合であっても、事業者の負担をできる限り軽減する方向で検討していただきたい。
【経営法友会】

90/173

第３章第３節関係

認定個人情報保護団体制度

No.

提出意見

241

●個人情報保護委員会、認定個人情報保護団体による「個人データの供託制度」の新設を望みます。
事業者が破産した場合に、個人データが格納されているサーバ等の有体物が債権者に渡ることを制限できていません。データが第三者の手に渡る前に情報の消去を破産管財人に請求したとしても、本人の権利を行使できる裏付けとなるものが無い状態です。
今後、ビッグデータの争奪で破産事業者を狙われる前に、少なくとも「認定個人情報保護団体の傘下となる事業者に対して、当該認定個人情報保護団体は事業者との間で、破産時には保有個人データを当該認定個人情報保護団体に供託することを契約させる制度」を進めてもらいたいと思います。
【株式会社シーピーデザインコンサルティング】

242（２）認定個人情報保護団体の認定対象に対する改善意見
ＪＡＤＭＡは認定個人情報保護団体として会員企業を認定しているが、会員企業の中には百貨店や製薬メーカーもある。
この場合、事業者から求められているのは、百貨店の通販事業部であったり製薬メーカーの通販事業部といった一部のみである。
これに対して、特定の分野に特化し、分野単位で認定が行える新たな仕組みを設けてほしい。
【公益社団法人 日本通信販売協会】

243

第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方
３．検討の方向性（１）認定個人情報保護団体制度の充実
P30 一番下の〇＜意見＞
民間事業者による自発的取組を促すという制度趣旨に鑑み、対象事業者のない認定団体や対象事業者に対し何らの作用も及ぼさない認定団体については認定の取消しができるよう、認定の要件を見直してはどうでしょうか。
＜理由＞
認定団体が果たすべき役割は、業界や対象事業者の規模等に応じて多少の違いはあるものとは思いますが、そもそも何らの作用も及ぼさない場合には認定団体として認定する意味もないように思われます。
【梅津行政書士事務所】

244＜該当箇所＞
第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方
３．検討の方向性（１）認定個人情報保護団体制度の充実
P31 上から二番目の〇＜意見＞
１ 認定個人情報保護団体が「期待される役割」について、認定団体に対し、認められている活動範囲（権限の許容範囲）等を明確に具体的に伝える必要があります。認定団体に対する法研修を実施してはどうでしょうか。
２ 「委員会による支援」として、認定団体に対し、認定団体に期待する役割等を明確に示し、例えば個別ヒアリングを実施する等、認定団体が個々に抱える悩みや疑問を解消する場を設けてはどうでしょうか。
【梅津行政書士事務所】

91/173

245＜該当箇所＞
第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方
３．検討の方向性（１）認定個人情報保護団体制度の充実
P31 上から三番目の〇＜意見＞
事業者が「対象事業者となるメリット」をより積極的に感じられるような方策を検討されてはどうでしょうか。（開催された研修会はあまりにも小規模で、かえって事業者に「参加できなかった」との不満を与えることになりかねません。）＜理由＞
事業者が対象事業者になる動機としては「デメリットはなさそうだから」との消極的理由があります。個人情報保護委員会から対象事業者になるメリットを具体的に示すことができれば、対象事業者数の増加も見込めると思われます。
【梅津行政書士事務所】

246（第3章第３節３．（１） 認定個人情報保護団体制度の充実）
認定団体の対象事業者になるメリットとは、法制度のエンフォースメント強化に伴う認定団体による緩和というインセンティブがあることが基本。そのためには、保護委員会から認定団体への権限の委譲も必要である。各要素について個別に検討するのではなく、共同規制としての枠組みから検討すべき。
また、個人情報保護委員会と認定団体とで分かれている報告や届け出事項について、事業者の利便性を高めるため、認定団体にて包括的に対応できるようにするべき。
認定団体、業界団体のルールに加えて、個別にさらに分散化、多層化することは、各団体の負担が増加し、利活用を妨げることになりかねず、また、事業者にとっても何に対応すべきか混乱することになる。まず共通化を最大限はかったうえで、各団体が強調して分野別や上乗せの指針やルールを策定し、これを自らの指針で指定するなどとするのが望ましい。 その際には、可能な限り国際的に通用する認証システムや行動規範を検討することが最も望ましいと考える。
【一般社団法人モバイル・コンテンツ・フォーラム】

247

・意見６
該当箇所：１．認定個人情報保護団体制度、２．事業者の自主的取組の状況（25頁）
意見：業界・事業分野毎に「認定個人情報保護団体」による自主的な取組がなされている点は、一定の評価ができるが、「新たな産業の創出」と「個人が直面するリ
スクへの考慮」の両面から、真に有効な活動が実効力を伴って実施されているのか、これを監査（内部または外部）する仕組みも必要であると考えます。
理由：自主ルールを制定しても、それが守られないことには意味がありません。
【日本ユニシス株式会社】

248

個別意見 中間整理第3章第3節関係・認定団体に加入しているかどうかにかかわりなく、実務面での悩みを企業側が相談できる体制の強化も図ってほしい【一般社団法人新経済連盟】

249

４．認定個人情報保護団体制度については、現在の業界・事業分野別の団体だけではなく、機能別などの新たな切り口・あり方について、可能性を検討するべきではないか。ターゲティング広告、センサー取得情報、認証情報、秘密計算等についての考え方等、業界・事業分野と言うよりは、機能的な視点で横断的に捉えるべき論
点が、技術的進歩に伴い今後も現れるであろう。
【一般社団法人Fintech協会】

92/173

250

No.6【ページ、項目番号】
第３章 個別検討事項
第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方
３．検討の方向性（１）認定個人情報保護団体制度の充実 P.31
【該当箇所】〇一方、制度の在り方については、認定個人情報保護団体制度が、現状、企業単位での加入が前提となっている点が、活動の幅を制約しているとの見方がある。大企業等、幅広い事業分野を有する企業については、企業側から見た場合、企業全体の業務に対応した認定個人情報保護団体を見つけることが難しい場合が想定される。
また、逆に認定個人情報保護団体側から見ると、当該団体の特性に適さない部門も含め、対象事業者となる企業全体に関する業務に対応せざるを得ない可能性がある。実際、委員会が行った経済関係団体へのヒアリングにおいても、この点を指摘する意見もあった。このような状況を踏まえ、認定個人情報保護団体制度の長所も活かしつつ、例えば、特定の分野に特化し、指針等ルール単位や分野単位で認定等を行う新たな仕組みを設けることが考えられる。
【意見】
本文章からは新たな仕組みの具体的なイメージが判然としない。
認定個人情報保護団体制度においては、策定された指針を対象事業者が自主的に遵守することとなっている。
これに対し、新たな仕組みで指針や分野を認定しその遵守に対し直接的に法的執行力を及ぼすこととすれば言わば認定個人情報保護団体制度とは異なる法制度を立ち上げるのに等しいものになってしまうのではないか。
しかしながら、指摘されている認定個人情報保護団体の対象と対象事業者の業務との不一致については、1)指針の適用範囲を限定・明確化する、2)共通の目的を有する事業者で団体を設立する、3)複数の団体の連携や横断的な団体の設立により対応するなどの方法が考えられ、現行の認定個人情報保護団体制度の枠内で対応することが可能であり、いたずらに制度を複雑化しない方が良いと考える。
【一般財団法人日本情報経済社会推進協会】

251

第３ 認定個人情報保護団体には、さらに実効的な役割を持たせるべきである
認定個人情報保護団体制度については、「長所も活かしつつ、例えば、特定の分野に特化し、指針等ルール単位や分野単位で認定等を行う新たな仕組みを設けることが考えられる。」（31頁）との方針に賛成する。
事業者においては、法令を遵守することは当然として、どのようにすれば消費者からの信頼を得られるかという観点が重要である。例えば、近時議論が活発化している情報銀行の制度設計においても、民間団体等による任意の認定制度に関心が集まっているところである。
振り返ると、平成27年改正に先立っては、マルチステークホルダープロセスの考え方を活かした民間主導による自主規制ルールの枠組みも検討されていたところであり（例えば「パーソナルデータに関する検討会」に提出された平成26年5月20日付け事務局案）、このような枠組みを用いた制度設計も改めて検討されるべきである。
【個人情報保護法改正を検討する弁護士の会】

93/173

252

253

【２】
４．30～31ページ：第３章 第３節３（１）認定個人情報保護団体制度の充実
個人情報保護のための事業者における自主的な取組を促す仕組みとして、認定個人情報保護団体制度を活用することについては、現行の制度においては、事業者団体として対象とする事業の範囲を超えて対応しなければならないことになり得るため、慎重に考えざるを得ない。ターゲティング広告を含むインターネット広告事業においては、個人情報を取扱わない広告事業者も多い。また、個人情報を取扱うメディア事業者においても、個人情報等の利用目的がコンテンツサービスであって、自らは広告利用を目的とした個人情報等の個人に関するデータの取得を行っていない事業者も多い。そのような実態を考慮すれば、制度の活用の効果はごく限定的であり、期待される役割を十分に発揮することはできないと言わざるを得ないと考える。さらに、例えば、当協会が認定団体となる場合、主要会員である放送事業者や新聞社、出版社、通信事業者、プラットフォーム事業者等がインターネットでのメディア事業において広告利用を目的として個人情報等を取扱う場合は対象事業者になり得るところ、認定団体の役割としてそれらの企業の事業全体にかかる個人情報保護方針をマルチステークホルダーの意見を聴取して策定し、それを遵守させ、苦情処理を行うなどの義務が生じると解釈される。会員組織として事業目的の範囲を大きく超えたそのような義務を遂行するための手段や経費を持たない事業者団体においては、求められる役割を果たすことは到底できないと考える。なお、認定個人情報保護団体制度の在り方について、「新たな仕組みを設けること」（31ページ）が検討され、事業者団体に過度な役割を求めるのでなく実態に即した運用が可能な制度となれば、民間の自主ルールを補強するものになり得るとも考えられる。
【一般社団法人日本インタラクティブ広告協会】＞30頁目＞(1)認定個人情報保護団体制度の充実
これについてであるが、認定個人情報保護団体から、都度…では厳しいかもしれないので、月あるいは四半期毎等に、国機関が、認定個人情報保護団体から、当該認定個人情報保護団体が対応する対象としている事業者についてのリストの提出を受け（なお、その様なリストは通常認定個人情報保護団体において作られているはずであるが、それを正規化されたCSV等の形式で受ける事とすると事務が捗るのではないかと考える。）、全ての認定個人情報保護団体が監督を行う個人情報取扱事業者についての総合的なリストを作成していただきたいと考える。（項目としては、事業者名、事業者プロフィール、分野、対応・指導を行う認定個人情報保護団体、等が考えられるが、その様なリストが作成されると望ましいと考える。）
市民としては、その様なリストが無いために、ある個人情報取扱事業者が、どこかの認定個人情報保護団体の監督対象になっているかどうかを探すために非常に苦労をするのであるが（※1）、国・個人情報保護委員会は、その様なリストを作成するようにして、市民・国民が、（問題を生じさせている様な）ある個人情報取扱事業者について、その指導・監督を行う、法定の、認定個人情報保護団体について、すぐに探し出せるようにしていただきたい。
現状では、市民側にとって、認定個人情報保護団体制度の恩恵が受け辛い状況というのが存在するのである。
問題点を是正して、市民による認定個人情報保護団体制度の利用活性化により、市民社会がスムーズに進むようにしていただきたい。
※1 なお、認定個人情報保護団体の監督対象になっている個人情報取扱事業者が、その事を利用者等に公示する定めが無いのも問題である（事業者が認定個人情報保護団体の監督対象になっている場合、その公示は明らかにさせるべきであろう。個人情報保護法施行令又は施行規則あるいは通知でその様な規則の定めを行うべきである。）。これがために、ある個人情報取扱事業者について、その事業者を監督する認定個人情報保護団体についてたどり着く事なく、当該事業者が、自らの個人情報保護の監督をしているとしてフェイク的に提示する、（例えばTRUSTe・JPAC（コンサルタントではあるかもしれないが認定個人情報保護団体ではない）の様な）無駄に時間を取らせるだけの個人情報保護法上の法的関係がさして発生しない様な事業者と、無価値なやり取りを続けさせられたりする状況が、悪質な個人情報取扱事
業者によって発生していたりするのであるが、国・個人情報保護委員会は、問題ある個人情報取扱事業者に対する甘い態度が、市民・国民の生活を大いに害している事を自覚し、認定個人情報保護団体の監督対象となっている事業者に、認定個人情報保護団体の義務としての表示の定めを行うようにされたい。
【個人】

94/173

254

2. 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方（中間整理 第3 章 第 3 節）
中間整理においては，民間の自主的取組を促進するため，認定個人情報保護団体（以下，「認定団体」）制度の充実が強調されており，認定団体制度自体の意義が今後高まるという文脈が強調されていくであろうことは，当協会においても否定しない。
一方で，「適法の外縁」のグレーゾーンについて，民間の自主的取組の尊重という建前を通じて認定団体に白紙委任をするような事態を招かないかについては懸念を表明したい。
また，認定団体制度を推進するのであれば，「認定団体と対象事業者となることのメリット」(31 頁）を実質的に検討することには一定の意味はあるものと考える。もっとも， 認定団体の設立運営については事業者等において依然として多大な負担が想定される。したがって，事業者において，ここで検討されるメリットが，そのような設立・運営に関する負担を負ってまでも認定団体を設立する動機づけとなりうるのか，その点が明確にならない限りは，事業者として，認定団体の設立については推進し難い面があることも否定できない。
インターネット広告を含む広告業界においては，現在，認定団体を設立せずとも自主レール等で実効的かつ十分な対処を行っている。白紙委任への懸念を含む認定団体設立に関する負担の大きさ，認定団体設立のメリットの不明確さ等を理由として，このような自主的取組を超えて認定団体を設立する動機が現時点では見出せていないのが現状である。
なお，中間整理は，全体としてGDPRとの整合について意識している様子が随所にうかがえるが，（国内法を過度に外国法に整合させるべきではないという点を前提におきつつ）もし整合について意識をするのであれば，GDPR 適用下の欧州におけるアカウンタビリティエージェントに関する議論についても，検討の材料とすべきであろう。
【一般社団法人 日本広告業協会】

255【意見の対象】
第 3 章「第3 節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方」「3 . (1 ) 認定個人情報保護団体制度の充実」【内容】
企業単位ではなく個人情報の処理ごとに認証する方法を検討いただきたい。また、認定個人情報保護団体に対して一定の情報開示義務を課すなど運営の透明化を図る
方法も検討されたい。
【理由】
認定個人情報保護団体による自主的な取組については賛同するものの、事業者は多角化により 1 つの業界にとどまらない事業を展開しているため、企業単位の認定制度では活用が難しい。また、認定個人情報保護団体の中には活動状況が不明瞭であったりする団体も散見されるため、透明性を高める方法についても併せて検討していただきたい。
【経営法友会】

256

6 要配慮個人情報に関する民間の自主的取組の推進(1) 該当箇所
認定個人情報保護団体制度の充実 (30頁）民間の自主的取組の推進 (31頁）プロファイリングにかかる規定 (13頁）等(2) 意見いわゆるプロファイリング一般に関するGDPR同様の法整備に関しては、引き続き検討を行うべきであるが、特に医療情報に関しては、プロファイリング等による実質的な取得がなされることがあるという観点も含めて、消費者保護の強化がなされるような自主的取組みを促すこと。そのため、認定個人情報保護団体の指針による共同規制のあり方も検討すべきである 。
(3) 理由病歴を含む医療情報は、その多くが要配慮個人情報として、同意に基づいた取扱いが求められる。しかし、適切な同意が必ずしも得られておらず、あるいは要配慮
個人情報ではない情報に対してプロファイリング等により病歴と同等の情報を取得することもある。
プロファイリングヘの対応としては利用停止請求権により実現できる部分もあるが、本人が知りえない個人情報の取扱いに関しては対応し得ないため、何らかの手当が必要となる。
ヘルスケア関連の民間でのデータベースが整備されていく中、また、「情報銀行」における医療情報の取扱いに関する議論が不十分である現状において、ハード
ローでの規制（名簿屋規制も含む）に加えて、認定個人情報保護団体等による、同意による消費者・患者保護以外の積極的な保護の自主的取組みを促すことが望ましい。その際、個人情報保護委員会に認定された指針に基づく取扱いに関しては適法とするような、いわゆる共同規制の仕組みも検討すべきである 。
【世界経済フォーラム第四次産業革命日本センター】

95/173

第３章第３節関係

自主的取組等

No.

提出意見

257

第3節 個人情報保護のための事業者における自主的な取り組みを促す仕組みの在り方【意見4（P32）】（2）民間の自主的取組の推進
・プライバシー影響評価については、中間整理に記載のとおり、民間の自主的な取り組みを推進することに賛同する。
（理由）
・事業者が、消費者の信頼を獲得するために情報漏えい等のリスクを自ら評価し、事前に対策を講じることを対外的に明らかにすることは重要な取り組みである。加えて、OECDガイドラインがプライバシー評価やアカウンタビリティーを促進する役割を果たしうるとしていること、GDPRがDPIAを取り入れていることとも整合するため。
【JEITA個人データ保護専門委員会】

258

5.
（該当箇所）
32ページ（２）民間の自主的取組の推進（意見）
PIAの検討について、事前評価を事業者に求めるのであれば、マイナンバーにおける作成特定個人情報保護評価のように、評価項目や評価の運営方法について、詳細に指定頂きたい。
（理由）
各事業者で評価項目・評価方法を定めるとなる、十分な評価が行えない可能性が有り、また評価項目の作成に多大な労力を要することになるため。
【匿名】

259

[意見６（p32）]
プライバシー影響評価については、中間整理に記載のとおり、政府としては民間の自主的な取り組みを推進することに注力すべきである。
(理由)
・事業者が、消費者の信頼を獲得するために情報漏えい等のリスクを自ら評価し、事前に対策を講じることを対外的に明らかにすることは、事業者の個人に対するア
カウンタビリティを明確化する重要な取り組みである。
・しかし、法令で一律に義務付ければ、実効性のある取り組みとならないおそれがあることから、まずは民間の自主的な取り組みを促す方向で対応すべきである。
【(一社)日本経済団体連合会情報通信委員会企画部会】

260（該当箇所３２ページ）
８．目的が達成されているのであれば、評価書の作成手法は、事業者の任意としていただきたい。
（理由）
自社独自の方法でＰＩＡを実施している事業者もいるため。
【一般社団法人 日本クレジット協会】

96/173

261（第3章第３節３．（２） 民間の自主的取組の推進）
責任者の設置、PIAは、義務ではなく一定のルールに従って行った場合には、漏えい時等の緩和措置として働くようなものとするべきと考える。ただし、現行の法制度では「緩和」すべき対象がなく、PIAを行うインセンティブがないため、エンフォースメントの強化を含めて仕組みから検討する必要がある。例えば、PIAの実施を認定団体に届け出ることを共同規制の一環として組み込むなどが考えられる。
PIAの検討においては、形式だけの不十分なPIAが横行することがないように、一定の基準が必要と考えられるが、その際には国際的な制度との調和に配慮し、国際規格などが推奨されることが望ましい。
【一般社団法人モバイル・コンテンツ・フォーラム】

262

・意見６
該当箇所：１．認定個人情報保護団体制度、２．事業者の自主的取組の状況（25頁）
意見：業界・事業分野毎に「認定個人情報保護団体」による自主的な取組がなされている点は、一定の評価ができるが、「新たな産業の創出」と「個人が直面するリ
スクへの考慮」の両面から、真に有効な活動が実効力を伴って実施されているのか、これを監査（内部または外部）する仕組みも必要であると考えます。
理由：自主ルールを制定しても、それが守られないことには意味がありません。
【日本ユニシス株式会社】

263「第4節 データ利活用に関する施策の在り方，１匿名加工情報 （３）EUのGDPRにおける匿名化及び仮名化との比較」において，仮名化(pseudonymization)と匿名加
工情報との違いが言及されています．安全管理措置の一つとして定められている仮名化と第三者提供の一手段として定義されている我が国の匿名加工情報とは，定義や利用目的が異なっているので，該当するものを新たに加える必要性があることは認識しました．しかし，現状でも，匿名加工情報の作成における「当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む（法2条，9項）」という処理が（手法としての）仮名化にも解釈できることや，分野ごとに小さな定義の違いがある匿名加工医療情報や行政機関非識別加工情報などあまりに多くの類型があり，事業者や生活者に混乱を生むことが懸念されます．
そこで，次をご提案いたします．
(2) 仮名化（匿名加工情報を含む）の際には，規則性を有しない方法で「仮ID」に置き換える処理が行われます．
（中略）「第4節 データ利活用に関する施策の在り方，3. パーソナルデータの利活用に関する民間事業者等による取り組み」の中では，(1) 情報銀行，(2) データ取引市
場，(3) AI, IoTなどが取り上げられています．「5. 技術の進展に伴うデータ利活用への対応」として，見逃せないものに，準同型性などの性質を有する高度な暗号技術（秘密分散を含む）を応用した秘匿計算（秘密計算，あるいは，マルチパーティプロトコルなどとも参照される）があります．従来は大きな計算オーバヘッドが生じたこれらの技術は，近年の研究の進歩に伴い，低コストで十分実用的なレベルに近づいているものも現れています．また，個人情報を含むデータベースを個人識別ができないように分割したうえで異なる組織で保持して計算し，最終的な統計処理結果をこれらの分割された結果を総合して得るという秘密分散を用いた方式も有力な手法の一つとして実験と評価が進んでいます．これらの手法は，匿名加工とも異なり，計算によって生じる誤差は極めて小さく，より正確で厳密な分析を実現しています．
そこで，これらの様な新しい技術がパーソナルデータを第三者が安全に利活用する一手段として有効に用いることができる法的な枠組みについても，改正の中でご検討頂けないでしょうか．．
【情報処理学会コンピュータセキュリティ研究会（プライバシーワークショップ実行委員会）】

97/173

264

No.7【ページ、項目番号】
第３章 個別検討事項
第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方
３．検討の方向性（２）民間の自主的取組の推進 P.32
【該当箇所】〇特に、インターネットなど、新たな利用分野では個人情報保護に関する問題が発生しやすいが、このような分野ではビジネスモデルの変革や技術革新等も著しいことから、法の規定を補完する形で、民間主導で自主ルールが策定、運用されることは望ましく、これらの取組が促進される仕組みを検討する必要がある。
【意見】
趣旨に賛同する。
技術やビジネスを巡る環境変化が激しい中で、民間主導で自主ルールを策定し運用されることが望ましく、それを過度に規制、制約することなく、むしろ促進することが必要だと考える。
その際、かかる自主規制ルールを策定、運用する事業者が不利益を被ったり、当該ルールのアウトサイダーの存在が無用の混乱を招いたりしないように、その自主規制ルールがすぐれて先駆的で適切なものであれば、それを個人情報保護委員会のガイドラインに掲載するような対応も必要である。
そうした対応が事業者による自主規制ルールの策定を促進するものと考える。
【一般財団法人日本情報経済社会推進協会】

265

No.9
【ページ、項目番号】
第３章 個別検討事項
第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方
３．検討の方向性（２）民間の自主的取組の推進 P.32
【該当箇所】〇特に、PIAについては、評価書の作成に係る事業者の負担を考慮に入れつつ、特に、大量の個人データを扱う事業者にとっては、このプロセスを通じた事業評価を行うことで、個人データの管理や従業員への教育効果等も含め、事業者自身にとって、効率的かつ効果的に必要十分な取組を進めるための有用な手段であることを踏
まえ検討する必要がある。
【意見】
趣旨に賛同する。
PIAについては、プライバシー・バイ・デザインの重要性認識の高まりの中でその必要性が指摘されており、EUのGDPRでも一定の場合にその実施が義務化されている。また国際標準化機関であるISO/IECでもPIAに関するガイドラインが既に国際規格化されており、そのJIS化についても作業が開始されている。
個人情報保護法においてもPIAの実施を努力義務化し、一定の場合には義務化することを検討しては如何か。
【一般財団法人日本情報経済社会推進協会】

266

３．第3章第3節３．(2)(32頁)・論点に示されているPIAの実施について、保険業界等大量の個人データを取り扱う事業者においては、そのリスクの大きさの認識に基づき、個人情報保護法および関連ガイドラインの他、分野ごとのガイドラインにも基づいて管理態勢を整備し、運用状況のチェックを実施している。また、事業者によってはブライバシーマーク
認定やIS027001に基づくISMS認証を取得する等の対応を実施している。このように、個人情報等の管理体制については現状でも様々な仕組みを通じて必要十分な対応を行っており、この上さらにPIAを義務付ける必要性は乏しいと考える。また、PI Aの一律の義務付けは事業者の創意工夫による自主的な取組みを阻害しかねない。
以上から、効果に比した事業者の負坦増の観点も踏まえ、慎重に検討いただきたい。
【一般社団法人 生命保険協会】

98/173267

第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方 ３．検討の方向性（２）民間の自主的取組の推進（４つ目の○）・「特に、PIAについては、（略）事業者自身にとって、効率的かつ効果的に必要十分な取組を進めるための有用な手段であることを踏まえ検討する必要がある。」との主旨に賛同する。
・プライバシー影響評価（Privacy Impact Assessment：PIA）については、自社の自主的な取組みを推進していくうえで、他社の事例やガイドライン等が公開される
ことを希望する。
【一般社団法人 全国銀行協会】

268

第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方 ３．検討の方向性（２）民間の自主的取組の推進（４つ目の○）・「特に、PIAについては、評価書の作成に係る事業者の負担を考慮に入れつつ、特に、大量の個人データを扱う事業者にとっては、このプロセスを通じた事前評価を行う（略）」とあるが、事前評価の同一フォーマット化、XMLなどコンピューター処理し易いデータ化することで、情報の提供先などを機械的に分析、処理可能となるため、そのような取組みも推進していただきたい。
【一般社団法人 全国銀行協会】

269

[意見6]
（該当箇所）● P36: 第 3 章第3 節 (3)AI·IoTの利活用の状況（意見）
新しい情報技術（例えは秘密計算技術等）による個人情報の安全な利活用方法の検討を進めるべきである。
（理由）
秘密計算技術（データを暗号化したまま計算できる技術）は、暗号化したまま計算するため、「データの中身を見ない」解析が可能である。当該技術を用いれば、事業者を跨いで分散している個人データ・本人識別情報を提供することなく突合し、安全に分析できる。一定の基準に適合する秘密計算技術を用い、プライバシー保護
データマイニング (PPDM : Privacy Preserving Data Mining) の技術を利用した場合は、法23条の第三者提供に該当しないようにするなど、個人データを安全に利活用方法するための技術の向上に合わせた制度設計を期待する。
なお、実現に当たっては秘密計算の要件、基準設定などの措置の検討が必要と考えられる。
【日本製薬工業協会 産業政策委員会】

99/173270

2. 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方（中間整理 第3 章 第 3 節）
中間整理においては，民間の自主的取組を促進するため，認定個人情報保護団体（以下，「認定団体」）制度の充実が強調されており，認定団体制度自体の意義が今後高まるという文脈が強調されていくであろうことは，当協会においても否定しない。
一方で，「適法の外縁」のグレーゾーンについて，民間の自主的取組の尊重という建前を通じて認定団体に白紙委任をするような事態を招かないかについては懸念を表明したい。
また，認定団体制度を推進するのであれば，「認定団体と対象事業者となることのメリット」(31 頁）を実質的に検討することには一定の意味はあるものと考える。
もっとも， 認定団体の設立運営については事業者等において依然として多大な負担が想定される。したがって，事業者において，ここで検討されるメリットが，そのような設立・運営に関する負担を負ってまでも認定団体を設立する動機づけとなりうるのか，その点が明確にならない限りは，事業者として，認定団体の設立については推進し難い面があることも否定できない。
インターネット広告を含む広告業界においては，現在，認定団体を設立せずとも自主レール等で実効的かつ十分な対処を行っている。白紙委任への懸念を含む認定団体設立に関する負担の大きさ，認定団体設立のメリットの不明確さ等を理由として，このような自主的取組を超えて認定団体を設立する動機が現時点では見出せていないのが現状である。
なお，中間整理は，全体としてGDPRとの整合について意識している様子が随所にうかがえるが，（国内法を過度に外国法に整合させるべきではないという点を前提におきつつ）もし整合について意識をするのであれば，GDPR 適用下の欧州におけるアカウンタビリティエージェントに関する議論についても，検討の材料とすべきであろう。
【一般社団法人 日本広告業協会】

271「第３節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方」について効果的な個人情報保護法は、個人データ収集の度に同意するか否かを決定しなければならないという負担から消費者を解放するような方向で企業の責任を促進すべきです。そして、中間整理に記載されるように、企業の責任を示す一つの方法として、GDPRによって義務付けられているデータ保護影響評価(DPIA)と同様の評価があります。DPIAは、データ処理対象である個人の権利及び自由に対するデータ処理の潜在的な影響とデータ処理の利点を事業者が比較考量することを支援します。個人
データを処理する利点が残存リスクを上回るように、特定されたリスクが文書化された保護手段によって軽減されている場合、個人は十分に保護されます。そして、厳密な文書化された分析を通じて示されるとおり、このバランスが達成されている場合、積極的な同意は求められるべきではありません。このようなバランスの取れたアプローチをデータ処理に対して適用することができなければ、データ処理の有効性、公正性、安全性及びセキュリティに加えてプライバシーを確保する方法で、人工知能等データ駆動型技術を進歩させるために必要なデータの量及び種類を取得することは非常に困難になります。従って、事業者がリスク評価を採用することが重要である旨の貴委員会の中間整理における指摘をBSAは支持します。
【The Software Alliance (BSA)】

272【意見の対象】
第 3 章「第 3 節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方」【内容】
P I A のような新たな認証制度を別個設けることは不要ではないか。導入するとしても、実施対象となる個人情報の取り扱いは一定の性質のものに限定する等、リス
クの度合いに応じた具体的かつ明確な基準を設け、事業活動を過度に妨げない内容としていただきたい。
【理由】
プライバシーマーク制度等を利用することにより、個人情報保護に自主的に取り組んでいる事業者もあ る中で、P I A を導入する必要があるのか疑問である。導入
した場合、実施事業者に相当程度の負荷がかかることが想定されるため、導入する場合であっても、必要最小限度に留めるべきである。
【経営法友会】

100/173

273【意見の対象】
第 3 章「第3 節 個人情報保護のための事業者における自主的な取組を促す仕組みの在り方」「3 . ( 2 ) 民間の自主的取組の推進」 ．
【内容】
民間主導の自主ルール策定推進の方向性は望ましいが、適切な運用となるような制度設計を検討していただきたい。
【理由】
ルール策定を民間事業者に委ねた場合、事業者間の利害対立も想定されるところであり、場合によっては不当な競争制限となる可能性もあるため、そのような方向性とならないようにする施策についても併せて検討していただきたい。
【経営法友会】

274

6 要配慮個人情報に関する民間の自主的取組の推進(1) 該当箇所
認定個人情報保護団体制度の充実 (30頁）民間の自主的取組の推進 (31頁）プロファイリングにかかる規定 (13頁）等(2) 意見いわゆるプロファイリング一般に関するGDPR同様の法整備に関しては、引き続き検討を行うべきであるが、特に医療情報に関しては、プロファイリング等による実質的な取得がなされることがあるという観点も含めて、消費者保護の強化がなされるような自主的取組みを促すこと。そのため、認定個人情報保護団体の指針による共同規制のあり方も検討すべきである 。
(3) 理由病歴を含む医療情報は、その多くが要配慮個人情報として、同意に基づいた取扱いが求められる。しかし、適切な同意が必ずしも得られておらず、あるいは要配慮
個人情報ではない情報に対してプロファイリング等により病歴と同等の情報を取得することもある。
プロファイリングヘの対応としては利用停止請求権により実現できる部分もあるが、本人が知りえない個人情報の取扱いに関しては対応し得ないため、何らかの手当が必要となる。
ヘルスケア関連の民間でのデータベースが整備されていく中、また、「情報銀行」における医療情報の取扱いに関する議論が不十分である現状において、ハード
ローでの規制（名簿屋規制も含む）に加えて、認定個人情報保護団体等による、同意による消費者・患者保護以外の積極的な保護の自主的取組みを促すことが望ましい。その際、個人情報保護委員会に認定された指針に基づく取扱いに関しては適法とするような、いわゆる共同規制の仕組みも検討すべきである 。
【世界経済フォーラム第四次産業革命日本センター】

101/173

第３章第４節関係

匿名加工情報制度

No.

提出意見

275

P33：第４節 データ利活用に関する施策の在り方 １．匿名加工情報制度（意見）
匿名加工情報の域外移転についても、一定の規制が必要ではないか（理由）
匿名加工情報は、非個人データではあるものの、法第36条～第39条の義務または努力義務が課されている。しかしながら、この匿名加工情報が域外に移転された場
合、域外の移転先にて法第37条～第39条で定められた規制が働かなくなり、例えば域外で再識別がされるといったことが起こりえると考えられるため。
【個人】
１

276

第４節「データ利活用に関する施策の在り方」について→ 現時点の技術では個人を特定できなくとも、１年後や２年後の技術では個人を特定できる可能性が生じる。そうすると、ある情報を匿名加工情報と現時点で扱ったとしても流通していく過程で時間が経ち技術開発が進み、匿名加工情報ではなくなってしまう時点が生じることが十分に予想される。その場合において、その時点までに生成された匿名加工情報は、その時点以後も匿名加工情報として扱える旨を明記してほしい。そうしなければ、匿名加工情報制度を利用した情報の利活用の法的安定性が欠けてしまう。
【匿名】

277

6.
（該当箇所）
40ページ（1）匿名加工情報制度（意見）委員会として、引き続き、具体的な利活用モデルやベストプラクティス等を発信していくことが重要である。とあるが、匿名加工情報を作成したときの、当該匿名加
工情報に含まれる個人に関する情報の項目の公表形式、匿名加工情報の加工方法、どの程度まで加工すれば匿名化されたと見なされるかの、判断基準や事例について引き続き、発信をお願いしたい。
（理由）
具体的な匿名加工情報の利活用や加工方法、加工の程度について、各事業者が手探りで判断しているところが大きいため、判断基準となるような例示の提供をお願い
したい。
【匿名】

278

[意見７（p40）]
・匿名加工情報の活用を推進するため、実務の実態を踏まえつつ、匿名加工情報を使った具体的なデータ利活用モデルやベストプラクティス等を積極的に発信すべきである。
・匿名加工情報の意義について、個人や事業者に対して積極的に周知すべきである。
(理由)
・事業者が匿名加工情報の有効な利活用モデルを把握できていないこと、多くの個人や事業者が匿名加工情報の意義を十分に理解していないことが、匿名加工情報が十分に活用されない原因と考えられる。
【(一社)日本経済団体連合会情報通信委員会企画部会】

102/173

279[意見９（p40）]
実務の実態や個人データを活用したイノベーションのあり方を踏まえ、必要に応じ、ガイドラインの充実や見直しを行うべきである（※）。
(理由)
・現行のガイドラインの記述では事業者が判断に迷うことも多い。
・事業者の実務を踏まえてガイドラインを柔軟に見直せば、イノベーションを阻害するおそれはない。
（※）
企業からは、「匿名加工情報（個人情報保護法第2条第9項）」「利用目的の変更（個人情報保護法第15条第2項、個人情報保護法第18条第3項）」「第三者提供の制限の原則（個人情報保護法第23条第1項）」「保有個人データの開示（個人情報保護法第28条）」についてのガイドラインの明確化を求める声がある。個人情報保護委
員会での経団連のヒアリング（2019年3月27日）資料p9を参照のこと。
https://www.ppc.go.jp/files/pdf/shiryou1.pdf【(一社)日本経済団体連合会情報通信委員会企画部会】

280

No.10
【ページ、項目番号】
第３章 個別検討事項
第４節 データ利活用に関する施策の在り方
５．検討の方向性（１）匿名加工情報制度 P.40
【該当箇所】〇匿名加工情報については、既に一定程度の活用が進みつつあるところであるが、企業アンケート結果にあった、利用方法が分からない、自社データへのニーズがあるのか分からない、分析するための人材がいない、レピュテーションリスク等といった意見は、いずれも、具体的な匿名加工情報の利活用モデルについて、必ずしも企業が把握できていないことも大きな背景の一つと考えられ、委員会として、引き続き、具体的な利活用モデルやベストプラクティス等を発信していくことが重要である。
【意見】
個人情報保護委員会が匿名加工情報の利活用の重要性を認識し、その健全な推進を図るべく事務局レポートの作成等を実施してきたことは高く評価できるものであり、引き続き具体的な利活用モデルやベストプラクティス等の発信に努めていただきたいと思う。
なお、当協会も、認定個人情報保護団体として対象事業者からの匿名加工情報利活用にかかる具体的モデルの適性性に関する相談に対して、専門家による検討会を行うとともに、適宜、個人情報保護委員会のご見解も伺いつつ、助言などを行ってきており、引き続き、こうした活動を積極的に進める考えである。
【一般財団法人日本情報経済社会推進協会】

281

第４節 データ利活用に関する施策の在り方 １.匿名加工情報制度（２）活用の状況（２つ目の○）・「事例集の公表を行い、小売、調剤薬局、健保組合の事例等、具体的な事例について情報発信を行っているところである。」とあるが、こうした事例は、技術革
新や時間の経過に伴い、今後も多くの成功事例が積み重なっていくものと考えられ、パーソナルデータの更なる利活用促進のうえでも、今後も、継続的に具体事例に係る情報発信を希望する。
【一般社団法人 全国銀行協会】

282

第４節 データ利活用に関する施策の在り方 ５．検討の方向性
・匿名加工情報等、新たな概念の整理に加え、一般的な個人情報の利活用について、現行の規制により発生している課題の確認と今後のあり方についても、検討・整理を進めていただきたい。
【一般社団法人 全国銀行協会】

103/173

283

［意見7]
（該当箇所）● P33: 第３章第４節 1. 匿名加工情報制度● P40: 第３章第４節５． 検討の方向性 (1) 匿名加工情報制度（意見）
匿名加工情報（自ら個人情報を加工して作成したものを除く）を第三者へ提供する場合、法第37条の公表義務は不要ではないか。
（理由）
法第 37 条により、匿名加工情報（自ら個人情報を加工して作成したものを除く）を第三者へ提供する場合、公表が義務付けられている。しかし、以下の課題が考えられることから、匿名加工情報の公表の義務の必要性・実効性について検討が必要である。
▶匿名加工情報は特定の個人を識別できないよう加工されており、「提供元が提供先を公表すること」が義務付けられていない。そのため本人のトレーサビリティが確保されておらず、当該情報に含まれる本人が、公表情報を認知することは現実的ではない。
▶匿名加工情報を第三者へ提供した際の公表の義務が、”本人との関係で透明性を確保し、本人が苦情を申し出る等の本人の関与の機会を提供する”を目的としているのであれば、本人が認知できない情報を公表する必要性を見いだせない。
【日本製薬工業協会 産業政策委員会】

284( 2 ) 匿名加工情報制度
匿名加工情報について，広告における利用方法の検討を進めてはいるものの，利用すべき場面や利用による効用が極度に限定的であるため，積極的な利活用には至っていない。
事業者が「利用方法がわからない，（ 中略）レピュテーションリスク等が心配」(33頁）という印象を持つ中，産業全体での利活用を促進させるため「具体的な利活用モデルやベストプラクティス等を発信」(40 頁）する以外にも， 利活用及びその前提である容易かつ適法な加工方法等を明示したガイドラインの整備を行うべきである。
【一般社団法人 日本広告業協会】

285【意見の対象】
第 3 章「 第 4 節 データ利活用に関する施策の在り方」「 5 (1)匿名加工情報制度」【内容】
匿名加工情報の生成・活用を促進するため、基準・要件の明確化や具体的生成事例等の公開など、事業者が実施しやすい環境を整備されたい。仮名化の検討を行うのであれば、匿名加工制度の要件緩和の方向性についても検討していただきたい。また、加工方法については、例えば認定個人情報保護団体による認証などを導入するなど、事業者が安心して使える手法についても検討していただきたい。
【理由】
匿名加工情報については、その生成方法が明確化されていないため、より具体的な手法（技術面を含む）についてガイドライン等において明確化していただき、具体的にどのようなものであれば「匿名加工情報」としての基準を満たすのか明確に示していただたい（匿名加工の程度にもレベルがあると思うが、具体例として、加工レベルの高いものだけを明示するのではなく、加工レベルが比較的低いが法律上可能であるものについても明示していただきたい）。匿名加工情報の要件を満たすた
めには、少なくとも元データの所有者以外が個人を特定できず、一般人及び一般の事業者が元データを照合しない限り個人を特定できない程度まで加工すれば足り、
元データと照合しても個人が特定できないレベルまでの加工は必要ないと理解しているが、その基準や考え方を具体的に指し示すものがない（例えば、現行の匿名加工情報制度において も、 匿名加工情報とするための一定の加工基準は定められているものの、実務においては基準を踏まえどこまでの加工を施せば個人情報ではな
く匿名加工情報と言えるのかが判然としない等）ことから、事業者が匿名加工情報の生成やその活用に消極的とならざるを得ない面がある。また、匿名加工情報の加
エレベルの高さから活用範囲が極めて限定的になっており、む しろ、匿名加工情報制度を利用しない方法でのデータ利活用が進んでいる実態もある。データの様々なユースケースを具体的に把握していただき、実態に沿った制度となるよう改めて検討を行っていただきたい。
【経営法友会】

104/173

286【意見の対象】
第 3 章「第4 節 データ利活用に関する施策の在り方」「 5 ( 1 ) 匿名加工情報制度」【内容】
事業者だけではなく、広く国民に対しても匿名加工情報及び個人情報の利活用に関する制度紹介・事案紹介等の情報を積極的に発信していただきたい。
【理由】
近時、適法な匿名加工情報の利用行為であっても国民の批判にさらされる事案が散見される。企業にとっては、法令違反と同程度にレビュテーションリスクは脅威である。これらの事案の多くは国民の匿名加工情報制度及び法に対する理解が不足していることから、法に対してではなく、利用行為が批判対象となっているものと考えられる。委員会においては、個別の事案に対して見解を示せないことは理解するところだが、適法な活用事例についてはもっと積極的に発信していっていただきたい。
【経営法友会】

287

４ 匿名加工情報の公益的利用(1) 該当箇所
匿名加工情報制度 (40頁）(2) 意見
匿名加工情報、非識別加工情報や匿名加工医療情報等、本人同意の取得をせずとも利活用可能な情報に関し、災害時の利用や学術研究目的等、公益性の高い利用が推進されるような法整備を進めるべきである。
(3) 理由匿名加工情報・非識別加工情報 ・匿名加工医療情報といったカテゴリーを作成したことは日本独自の取り組みとして評価できるところである。一方で、各自治体において個別に非識別加工情報が定義される、独立行政法人では匿名加工情報が提供できないといった点への対応が必要となっている (１の意見とも関連）。また、ゲノム情報やX線等の画像データのように匿名加工情報にすることによって有用性を大幅に失う情報があることに留意し、公益的目的でのデータ利活用の推進 (３の意見）や仮名化データの活用(５の意見）と合わせて、匿名加工情報等のさらなる活用に関しても検討すべきである。例えば、仮名化データの新設をせず、匿名
加工情報の規定を変更するということによって、公益性の高い利用が促進されるのであれば、そのような方法も歓迎すべきものと考える。また、2019年5月15日可決の「医療保険制度の適正かつ効率的な運営を図るための健康保険法等の一部を改正する法律」では、匿名診療等関連情報の提供を受けて行うことについて相当の公益性を有すると認められる場合の利用を拡大することとされているが、対象となるデータベースを、NDB、介護データベースという公的データベースから更に、民間が管理する外科系学会の NCD 等にも拡大し、それらの適法な利活用推進を図ることが望まれる。
【世界経済フォーラム第四次産業革命日本センター】

105/173

第３章第４節関係
No.

仮名化
提出意見

288

３ （該当箇所）
３４ページ、ＧＤＰＲ上の「匿名化」と「仮名化」
４０ページ、（２）「仮名化」の検討（御意見）「仮名化」された情報について、我が国の個人情報保護法上の「匿名加工情報」との違いを可能な限り明らかにしておく必要がある。
例えば、仮ＩＤを付与しての時系列分析は、我が国の「匿名加工情報」でも可能なのか、それとも「仮名化」しないとできないのか。
（理由）
検討を進める際に混乱が生じるのではないかと思料。
【個人】

289

第4節 データ利活用に関する施策の在り方【意見5（P40）】（2）「仮名化」の検討
・仮名化データの定義・取扱いについては、EUのGDPRで定義されているPseudonymous Data等と国際的な調和を図ることを期待する。その際、現行法においては匿名
加工情報制度が存在することから、仮に「仮名化」が制度化されることとなれば、制度が複雑化・多層化することとなるため、ニーズ等を踏まえ、仮名化データを使われるためには本人・事業者にとって分かりやすい規律とすることが望ましいと考える。
また、仮名化による個人情報保護上の事業者の義務の軽減について、十分検討いただきたい。
（理由）・仮名化により個人情報保護法上の事業者の義務が軽減されるのであれば、事業者におけるより一層のデータの利活用が期待されるため。
【JEITA個人データ保護専門委員会】

290

7.
（該当箇所）
40ページ（2）「仮名化」の検討（意見）
仮名化を導入する際には、個人情報との安全管理措置のレベルを明確にして頂き、漏洩時の対応についても過度なものとならないよう、個人情報との線引きをお願い
したい。
（理由）
事業活動において仮名化を有効活用するためには、個人情報における安全管理措置とは一線を画し、漏洩時のリスクに見合った管理負荷が必要なため。
【匿名】

291

[意見８（p40）]「仮名化」情報については、中間整理に記載のとおり、具体的なニーズの有無等を踏まえたうえで、広く活用される仕組み等について十分に検討すべきである。
(理由)
・事業者にとっては、「仮名化」情報が創設されることでデータ活用に向けた選択肢が増える一方、個人に関する「情報」の区分がさらに増えることで管理コストの増大を招く可能性もある。
【(一社)日本経済団体連合会情報通信委員会企画部会】

106/173

292（第3章第４節５．（２） 「仮名化」の検討）
仮名化は現行法においても安全管理措置として有効であるにも関わらず、インセンティブがないために普及していない。仮名化の有効活用を進めるためには、安全管理義務における緩和措置と合わせて、制度化することが望まれる。
さらに仮名化は、情報の有効活用に資するという面でも大きな利点があると考えられることから、グローバル企業の仮名化による情報活用に遅れをとることが無いよ
うに、早急に検討を進めるべきである。我が国がData Free Flow with Trustを先導していくためには、インセンティブとして仮名化による第三者提供を認めることが必要である。
【一般社団法人モバイル・コンテンツ・フォーラム】

293

・意見１０
該当箇所：（２）「仮名化」の検討、（３）技術の進展に伴うデータ利活用への対応（40頁）
意見：個人情報開示と匿名化の間に「仮名化」があると提供者と利用者ともにリスクが軽減されデータ利活用推進の効果が高いと思われます。データ利活用における個人情報の取り扱いについて実態を踏まえて対応していくことが重要とされていますが、やはりそれではイノベーション促進に影響があると考えられるため、この観点においても「仮名化」の検討を進める必要があると考えます。
【日本ユニシス株式会社】

294

意見1
対象
開示請求（17頁）利用停止等(18頁)仮名化されたデータ（40頁）
意見
仮名化したのちに提供され、もはや本人に直接影響を及ぼすことのない形態で取り扱われる個人データ（介入を伴わない研究に利用される等）に関しては、開示・訂正・利用停止義務の対象外とする方向性に賛成である。ただし、医療に関わる個人データについては、GDPRのarticle 11のように、本人を識別するための情報が別途提出されれば開示に応じることとする等、指針や学会規定等において自主的な規定を行うことが前提である。
理由
医学系研究分野では、対応表が提供されなくても、いわゆる「連結可能匿名化」データは引き続き個人データに該当する場合が多い性質のデータであり、現行法では開示・訂正・利用停止の請求（以下「開示等請求」と言う。）対象となるデータとなっている場合が多い。仮名化データに対する開示等請求は、漏えいリスクを把握するなどの趣旨でどのようなデータが保有されているかを確認したいとする本人の要望への対応として一定の意義は存在するものの、一方で、もはや本人に直接影響を及ぼすことのない形態で取り扱われるデータである場合には開示等請求に応じる意義に乏しく、医療機関や研究機関において本人確認やデータの特定等の作業の負担がこれに応じる意義に見合わないとの問題が従来より指摘されている。
学術研究機関による学術研究に関しては、個人情報保護法の適用除外ではあるものの、倫理指針では個人情報保護法の規定に上乗せをした義務を課すのが通例となっており、倫理的観点から研究参加者の無条件での同意の撤回とそれによる利用停止が可能になっている一方で、倫理指針は、仮名化データを（対応表をもたない機関では）その後も使い続けられるようするために、「研究対象者等からの撤回の内容に従った措置を講じることが困難となる場合があるときは、その旨及びその理由」をインフォームドコンセントに書くこととし、インフォームドコンセントにおいて「すでに誰のものかわからないようにした試料・情報については、破棄できな
いことがあります」といった文言を入れることとしている。もし、次の個人情報保護法改正によって利用停止義務が無条件で認められるように改正された場合、それが仮名化データにも及ぶのだとすれば、こうした取り扱いができなくなってしまう問題が生ずる。その点で、仮名化データには開示等請求が適用されない改正も同時になされるのであれば、その問題は解消する。
なお、介入を伴わない研究においては、個人データは最終的に統計量として扱うのみであり、特定の個人をターゲットとした取扱いを行わないのであるから、仮名化データに対する開示等請求に応じる意義は乏しいが、他方、医療との境界領域になるような臨床研究は、本人を識別して本人に対する医療への影響がありうる等、
開示、訂正、利用停止によるコントロール機会を保障することが必要となるのであり、この場合は、本人との対応関係を明確に残した個人データを用いることになるから、そのような場合には仮名化データに該当しない個人データに該当するものとし、従前通りに開示等請求の対象となるよう、仮名化データの定義を工夫する必要がある。
【日本ユーザビリティ医療情報化推進協議会 ゲノム委員会】

107/173295「第4節 データ利活用に関する施策の在り方，１匿名加工情報 （３）EUのGDPRにおける匿名化及び仮名化との比較」において，仮名化(pseudonymization)と匿名加
工情報との違いが言及されています．安全管理措置の一つとして定められている仮名化と第三者提供の一手段として定義されている我が国の匿名加工情報とは，定義や利用目的が異なっているので，該当するものを新たに加える必要性があることは認識しました．しかし，現状でも，匿名加工情報の作成における「当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む（法2条，9項）」という処理が（手法としての）仮名化にも解釈できることや，分野ごとに小さな定義の違いがある匿名加工医療情報や行政機関非識別加工情報などあまりに多くの類型があり，事業者や生活者に混乱を生むことが懸念されます．
そこで，次をご提案いたします．
(1) 匿名加工情報と仮名化は，個人情報（最も厳密な管理義務がかかる）と統計情報（公開や第三者提供の成約を受けない）の中間に位置し，それらの間に，制約の度合いの観点で，
個人情報 ≒ 仮名化 ≪ 匿名加工情報 ＜ 統計情報という順序関係が成立すると考えられます．この認識は正しいでしょうか？
これらの関係を整理して，正確に定義することをご提案します．仮名化が安全管理措置を意図したものであり，匿名加工情報が(公表されている，あるいは一般に第三者提供が可能な)統計情報に準じてデータ主体の同意なく第三者提供できるものであると広く周知させるために，是非とも必要です【情報処理学会コンピュータセキュリティ研究会（プライバシーワークショップ実行委員会）】

296(2) 仮名化（匿名加工情報を含む）の際には，規則性を有しない方法で「仮ID」に置き換える処理が行われます．
匿名加工情報におけるこの仮IDに関しては，「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」の3.2.1節において，「定期的に変更するなどの措置を講じること」が規定されておりますし，「個人情報保護委員会事務局レポート」のp.21において，「同じ事業者に複数回にわたって匿名加工情報を提供する場合は、同一の人物の情報が蓄積され続けることにより、元の個人情報に係る本人を識別できるリスクが高くなることも想定される。したがって、同一事業者への提供であっても、定期的に仮IDを変更すること」が推奨されております．
仮IDを定期的に変更することにより，有用性を下げずに再識別のリスクを減らすことが可能であることは，例年貴委員会に後援を頂き開催しております情報処理学会当研究会が主催する匿名加工コンテスト（PWS Cup）でも確認されております．2017年度のコンテストで優勝したチームは，1年間の500名の購買履歴データに対して，平均2.5回仮IDを更新して，再識別を免れておりました．
一方，この中間整理において検討されている（安全管理措置としての）仮名化では，企業内で長期間管理することが想定されますので，同様の配慮が必要になると思われます．GDPRでは，これらに該当する措置を確認できませんでした．検討されている仮名化では，この定期的な変更に関する要件をどの様に定める予定でしょうか？
「第4節 データ利活用に関する施策の在り方，3. パーソナルデータの利活用に関する民間事業者等による取り組み」の中では，(1) 情報銀行，(2) データ取引市
場，(3) AI, IoTなどが取り上げられています．「5. 技術の進展に伴うデータ利活用への対応」として，見逃せないものに，準同型性などの性質を有する高度な暗号技術（秘密分散を含む）を応用した秘匿計算（秘密計算，あるいは，マルチパーティプロトコルなどとも参照される）があります．従来は大きな計算オーバヘッドが生じたこれらの技術は，近年の研究の進歩に伴い，低コストで十分実用的なレベルに近づいているものも現れています．また，個人情報を含むデータベースを個人識別ができないように分割したうえで異なる組織で保持して計算し，最終的な統計処理結果をこれらの分割された結果を総合して得るという秘密分散を用いた方式も有力な手法の一つとして実験と評価が進んでいます．これらの手法は，匿名加工とも異なり，計算によって生じる誤差は極めて小さく，より正確で厳密な分析を実現しています．
そこで，これらの様な新しい技術がパーソナルデータを第三者が安全に利活用する一手段として有効に用いることができる法的な枠組みについても，改正の中でご検討頂けないでしょうか．．
【情報処理学会コンピュータセキュリティ研究会（プライバシーワークショップ実行委員会）】

108/173

297

５．「仮名化」の検討について、慎重な検討が必要と考える。仮名化によるメリット・デメリットを把握する必要があり、匿名加工情報が十分に活用されているとはいえない現状を踏まえ、利用されるカテゴリーを新設することには丁寧な検討が必要である。仮名化の定義等によっては、匿名加工情報に加えていたずらにカテゴ
リーを増やすのみの結果となり、かえって事業者による個人データの適切な利活用を阻害する結果となる可能性もあるため、慎重に検討することが重要と考える。
【一般社団法人Fintech協会】

298

第４節 データ利活用に関する施策の在り方 ５．検討の方向性
我が国においても、「仮名化」のような個人情報と匿名加工情報の中間的規律の必要性について・・・具体的に検討していく必要がある。（40頁）
意見：
GDPRのarticle 11のように、本人を識別するための情報が別途提出されれば開示に応じることとする等、指針や学会規定等において自主的な規定を行うことを前提とした上で、日本の個情法にも『仮名化データ』の規律を導入していただきたい。また、無条件の利用停止義務も適用外としていただきたい。
理由：
仮名化データに対する開示等請求は、漏えいリスクを把握するなどの趣旨でどのようなデータが保有されているかを確認したいとする本人の要望への対応として一定の意義は存在するものの、一方で、もはや本人に直接影響を及ぼすことのない形態で取り扱われるデータである場合には開示等請求に応じる意義に乏しく、医療機関
や研究機関において本人確認やデータの特定等の作業の負担がこれに応じる意義に見合わないとの問題が従来より指摘されている。
研究分野では、匿名加工情報はデータの価値を低下させた状態での流通となるため、利用価値は低い。そのため、仮名化（pseudonymisation）したデータを、個人を識別できる（本人に到達することができる）情報と仮名化IDの対応表を切り離した状態で共有することが多いが、当該対応表を保有していない場合（対応表は存在していたとしても、機関内には対応表を持たない場合）、開示・削除等の義務が付されても本人を特定することは難しく、対応できないため、仮名化（pseudonymisation）することにより、開示・訂正・停止義務から外れるのは、非常にデータの利活用をしやすくなる。
医療との境界領域になるような臨床研究は、本人を識別して本人に対する医療への影響がありうる等、開示、訂正、利用停止によるコントロール機会を保障することが必要となるのであり、この場合は、本人との対応関係を明確に残した個人データを用いることになるから、そのような場合には仮名化データに該当しない個人デー
タに該当するものとし、従前通りに開示等請求の対象となるよう、仮名化データの定義を工夫する必要がある。
【国立研究開発法人・科学技術振興機構 NBDC】

109/173299(該当箇所)
40ページ 「第４節 データ利活用に関する施策の在り方－５．検討の方向性－（２）「仮名化」の検討」(意見)
当機構が運営する産科医療補償制度で作成している原因分析報告書要約版（以下、「要約版」）については、現在、分娩機関や児の保護者の意向確認に努めたうえで公表しているが、一定数の不同意の意思表示もあることから、全件を公表できない状況にある。「要約版」は、産科医療の質の向上を図ることを目的に公表しており、極めて公益性の高い情報であることから、全件を公表できるような仕組みを考えていただきたい。
例えば、以下のような対応をご検討いただきたい。
・個人情報保護法の改正にあわせて「仮名化」が検討されているが、「要約版」について、「仮名化」された情報として意向確認を行わずに広く公表できるようにすること。
・個人情報保護法の改正にあわせて、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成29年4月14日 個人情報保護委員会、厚生労働省）に、「要約版」の公表を例外規定（法第23条1-3）の具体例として記載すること。
(理由)
当機構が運営する産科医療補償制度は、分娩に関連して発症した重度脳性麻痺児とその家族の経済的負担を速やかに補償するとともに、脳性麻痺発症の原因分析を行い、同種事例の再発防止に資する情報を提供することなどにより、紛争防止・早期解決および産科医療の質の向上を図ることを目的としている。
上記を目的とした事業の一環として、個別事例ごとに原因分析報告書を作成し、分娩機関や児の保護者に送付するとともに、その内容を要約した「要約版」を本制度
ホームページにおいて公表しており、医療関係者等によって教育・研修、研究等に広く活用され、我が国の産科医療の質の向上に寄与している。
「要約版」は、児の氏名や生年月日等の個人を特定できる情報を記載していないが、当機構が対応表を有するため、匿名加工情報の要件を満たさず、個人情報に該当するとされている。このため、例外規定（法第23条1-3）に該当することを原則とし、「要約版」に記載のある分娩機関や児の保護者の意向確認に努めたうえで公表しているが、「要約版」を全件公表することができない状況にあるため、産科医療の質の向上を図るうえで十分ではないとの問題点が指摘されている。
【公益財団法人 日本医療機能評価機構】

300

５．40ページ：第３章 第４節５（１）匿名加工情報制度・（２）「仮名化」の検討
匿名加工情報については、インターネット広告における用途はごく一部の統計的手法に限られ、利用のニーズはごくわずかである。新たに「『仮名化』の検討」（40ページ）がなされることについては、事業者の利活用への期待も予想されるところである。利活用と保護を両立させることが可能な制度となるよう、個人情報等を適正に取扱う事業者のビジネスや技術の実態も考慮して、具体的なニーズを踏まえた検討を行っていただきたい。
【一般社団法人日本インタラクティブ広告協会】

301

3. 40ページ：第３章 第４節５（１）匿名加工情報制度・（２）「仮名化」の検討
匿名加工情報については、広告における用途はごく一部の統計的手法に限られ、利用のニーズはごくわずかである。新たに「『仮名化』の検討」（40ページ）がなされることについては、企業の利活用への期待も予想されるところである。利活用と保護を両立させることが可能な制度となるよう、個人情報等を適正に取扱う企業のビジネスや技術の実態も考慮して、具体的なニーズを踏まえた検討を行っていただきたい。
【公益社団法人 日本アドバタイザーズ協会】

110/173

302

意見10 （該当箇所）
40ページ 第３章 第４節5.検討の方向性 （２）「仮名化」の検討（意見）
個人の特定が可能な情報の収集と利用よりも、例えば仮名化情報や非特定情報のような、特定しにくい情報の利活用を促進していただきたい。仮名化情報を導入する
場合は、具体的に利活用可能な制度設計としていただきたい。また、匿名加工情報に求められているように、作成段階での公表は不要と考える。例えば、ある事業社の一部署内で非特定のデータを扱っているにもかかわらず、それを同じ事業社内の他の部署からのデータ（匿名化を復元させる解読キーやアルゴリズムなど）と組み合わせることで、再特定化できるということはよく見られることである。個人の特定に使用される重大な可能性が生じないように非特定化技術とリスク軽減対策が適用されている場合は、データは仮名化されていると考えられるべきである。
（理由）
現行の匿名加工情報制度は、復元可能でないことが条件となっており、技術の進展を考えると現実的な条件ではなく、事実上同制度が利用できないため。
【在日米国商工会議所】

303

４．第3章第4節５．(2)(40頁)
・仮名化の検討に当たっては、開示請求や利用停止等の個人の権利行使の対象外とすることや、利用目的の制限や外国にある第三者へのデータ提供時の制限を緩和すること等、情報の利活用を促進する趣旨に沿ってご検討いただきたい。
【一般社団法人 生命保険協会】

304

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（２）「仮名化」の検討（２つ目の○）・「『個人情報』と『匿名加工情報』の中間的なものとして『仮名化』を具体的に検討」することについては、仮名化の要件が明示されることによって業務利用が促進される可能性があり、積極的に賛同する。
【一般社団法人 全国銀行協会】

305

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（２）「仮名化」の検討（２つ目の○）・「『仮名化』のような個人情報と匿名加工情報の中間的な規律の必要性については、（略）具体的に検討していく必要がある。」とあるが、検討の方向性としてはGDPRの「仮名化」と同義と捉えてよいか。匿名加工情報との違いも含め、明確に示していただきたい。
【一般社団法人 全国銀行協会】

306

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（２）「仮名化」の検討（２つ目の○）・現行の個人情報保護法（含むマイナンバー法）においても、「個人情報・個人データ・保有個人データ・要配慮個人情報（機微情報）・匿名加工情報・マイナン
バー」等、複数の種類の情報が存在し、その種類ごとに、求められる管理が異なる状況下、安易に情報の種類を増やすことは、消費者・企業に混乱を招く可能性が高
く、実効性の観点から懸念がある。
・仮名化の必要性について、具体的なニーズの有無等を含めて、慎重に検証するほか、匿名加工情報制度における企業の意見等も参考にしつつ、消費者・企業において、理解・納得が得られる制度とすべきである。
【一般社団法人 全国銀行協会】

111/173

307

該当箇所：P40 第4節 5 検討の方向性 (2)「仮名化」の検討
我が国においても、「仮名化」のような個人情報と匿名加工情報の中間的規律の必要性については、従前から経済界からの要望もあるところであるが、具体的なニーズの有無、開示請求や利用停止等本人関与の在り方を含めた規律の在り方等について、EUの規律のレベルの実態、国際的な動向も踏まえ、具体的に検討していく必要がある。
意見：
・仮名化情報の定義を明確にしていただきたい。
・仮名化情報というカテゴリを設けることにより、匿名加工情報や個人情報では実現しない、どのような事業者の利活用を活性化しようとしているのかを提示していただきたい。
理由：
・匿名加工情報でも、個人情報でもない中間的なデータとしては以下2つが考えられるが、「仮名化情報」というのがどのようなデータなのか読み取れないため。
① 氏名や住所などの個人が特定できる情報は削除し｀かわりに任意のIDやナンパー等のキーを割り当てたデータ。そのキーから他の情報を紐づけ、個人を特定することもできるが、そのデータだけでは容易には個人が識別できないようにしたもの。
② 氏名、住所などの個人がそのまま特定できる情報は削除、また、任意のID当のキー割り振ることもない。性別や年齢等の属性データや、商品購入履歴情報やアン
ケート回答内容等で構成されたデータ。
・①のデータは、セキュリティの観点から業務の委託において利用することが多いが、②のデータは匿名加工情報といえるまでの加工を施してはいないため、現行の保謹法においてどのように扱ってよいのか判断に迷う。グループ会社間や事業提携先間で共有し、商品やサービ スの研究開発の目的で活用できるとよいが、法的な根拠があるとよいと考えている。ただ、その際、第三者提供の同意や、本人の権利への対応を要するという規制が設けられることで、情報の利活用の負荷が高くなってしまうことは懸念している。
【株式会社ベネッセホールディングス】

112/173

308

[意見3]
（該当箇所）
P40: 第３章第４節５. 検討の方向性 (2) 「仮名化」の検討（意見）
仮名化により安全管理措置を施す場合（他の義務は個人情報と同じ）は、要配慮個人情報を含む場合であっても、オプトアウトによる第三者提供を可能にする規制緩和を要望する。
（理由）
健康医療データは、医学の発展及び公衆衛生の向上などの学術研究に限らず、社会保障費の効率化や疾患の予防や治療のための医薬品開発及び技術開発に必須となりつつある重要な情報である。しかしながら、健康医療データはその殆どが要配慮個人データとして定義されている。従って現状の法令では、企業が健康医療データを「本人より取得」もしくは「第三者提供により入手」するには、原則的に、① 第三者提供に関する本人同意を取得する、もしくは、②匿名加工惰報として取得する、の２つの選択肢となる。この場合、以下の課題が存在している。
▶Case 1.製薬企業が過去に臨床試験等で収集し保管している健康医療データを他の民間企業（製薬企業等）に提供・共有する場合◆ 「①第三者提供に関する本人同意を取得する」場合の課題：過去の貴重な個別被験者データ（IPD) は、多くの場合第三者提供や企業間での共有に関する本人同意が取得されていないことから、医学の向上に資するデータ活用の壊合でも再同意を取得しない限り第三者提供や目的外利用による活用ができない。しかし、医療機関からは仮名化して取得しておりまた相当な年数を経ているため再同意の取得は現実的にほぼ不可能である。
◆ 「②匿名加工情報として取得する」場合の課題：個々の治験データに含まれる人数は多くなく、特徴量を落とす行為である匿名加工を施しつつ、データ提供・共有先で実施される研究・解析に必要なデータ有用性（情報量）を保つことは実質的に困難である。特に希少疾患領域などのIPD では不可能に近い。
▶Case 2. 製薬企業が健康医療データを扱う民間事業者から健康医療データを匿名加工情報として取得する場合◆ 「②匿名加工情報として取得する」場合の課題：疾患病態の理解・進行メカニズム解析、創薬標的・バイオマーカー探索等の創薬研究や、個々人の特徴に合わせて最適な治療を 求める精密医療(Precision medicine) 、特徴量が重要となる「Alを活用するためのデータ」等には、以下の理由から、匿名加工情報は利用できない。
・ 匿名加工情報は、個人の再特定リスクを低減するためにデータの特徴量を落とす加工がされ、情報量が低下・変質している・ 匿名加工前のデータからどのように加工されているのか知ることができない。よって加工されたデータの信頼性担保できず、加工工程により発生しうるバイア
スが研究結果に与える影響を評価・証明できない。

▶Case 3. 製薬企業が、民間事業者の医療機関等が保有する健康医療データを使用する場合◆ 「①第三者提供に関する本人同意を取得する」場合の課題：医療機関等が保有しているデータは多くの湯合、「①第三者提供に関する本人同意を取得」を満たしていない。
◆ 「 ②匿名加工情報として取得する」場合の課題：Case2 と同じデータの変質・信頼性担保等の課題が生じる。加えて、民間医療機関以外が保有するデータの使用には、意見6に記載した課題があり、実質利用困難な状況である。
Case 1 の課題を解決する一つの方法として「仮名化により安全管理措置を施す場合（他の義務は個人情報と同じ）は、要配慮個人情報を含む場合であっても、オプ
トアウトによる第三者提供を可能にする」規制緩和が考えられる。仮名化により、安全管理措置で個人の権利利益を保護しつつ、民間企業も科学的に信頼性の高い健康医療データを取り扱うことが可能となる。
しかしながら、上記施策を講じても、Case 2 及びCase 3 については意見4、意見5 に記載した課題が残る。
【日本製薬工業協会 産業政策委員会】

113/173

309

［意見4]
（該当箇所）
P40: 第 3 章第4 節５. 検討の方向性(2)「仮名化」の検討（意見）
複数の事業者の健康医療のデータを本人毎に突合して、プライバシーに配慮しつつ集計可能な仕組みを考慮いただきたい。
（理由）
健康医療データは、同一人物のデータが複数機関に散在している。意見3 に記載の Case 2 及びCase3 では、利用の目的ごとに適切、必要な複数の事業者が保有する
健康医療データを匿名加工の方法にある丸めるなど質を落とすことなく本人毎に突合した集計が必要となるが、現行の法令は、それが可能な仕組みになっていない。
解決の一つの方法として、本人特定情報の単純な仮名化とは別に連結可能な共通のハッシュ関数による仮名化符号を用いることや、意見6 に記載した方法等が考えられる。
【日本製薬工業協会 産業政策委員会】

310

[意見８]
（該当箇所）
P40: 第３章第４節５．検討の方向性 (1)「仮名化」の検討（意見）
第三者提供を受けた仮名化データに対する開示請求への対応が困難である。現実的な規制を検討いただきたい。
（理由）
製薬企業は、第三者提供を受けた仮名化データを多く扱っている。第三者提供を受けた仮名化デー タとは、具体的には、治験データをはじめとして匿名加工情報ではないが、そのデータを見ても特定の個人が識別できないデータである。仮名化データは個人惜報として取り扱うため、開示請求に応じる義務がある。しかしながら、第三者提供を受けた仮名化データは本人特定が困難なため、現実的に開示請求への対応が困難である。
【日本製薬工業協会 産業政策委員会】

311

第 4 節 データ利活用に関する施策の在り方
5 検討の方向性（２）「仮名化」の検討【意見】
仮名化の検討をするにあたり、個人情報の定義については検討対象としていないこと、EUにおいては個人データの定義が日本における個人情報とは概念が異なることを踏まえ、EUと同趣旨の仕組みとするならば、個人惜報の定義そのものの見直しを前提とすべきである。これは、（５）ターゲティング広告をめぐる対応の在り方でも同様である。
【特定非営利活動法人 情報公開クリアリングハウス】

312( 3 ) 「仮名化」の検討「仮名化」の検討について，「仮名化」のような個人情報と匿名加工情報の中間的規律の必要性については，従前から経済界からの要望もあるところ」 (40 頁）とあるが，「仮名化」された個人に関連する情報についての規律（特に効果）の在り方によっては，「個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものである」から，ぜひ，前向きに検討をいただきたい。
具体的には， GDPRと並行した規律とするのであれば， GDPR 1 5 条乃至 20 条のデータ主体の権利が制限される内容といった効果が考えられる。しかし，それを超えて，個人情報保護法において規律する個人データの第三者提供よりも緩やかな規制が設けられることを期待する。具体的な検討にあたっては，産業界の意見も聴取して欲しい。
【一般社団法人 日本広告業協会】

114/173313

314【意見要旨】( 3 ) 「仮名化」の検討
中間整理に記載のとおり、具体的なニーズの有無等を踏まえた上で、規律の必要性や在り方について十分検討すべきであると考える。その際、GDPR における規定ぶりを含め、「仮名化」を含む諸外国の法令の規定ぶりや実際の規定の運用を調査・分析した上で、事業者による個人データの利活用を推進するものとなるか、いたずらにカテゴリーを増やしてしまうのみの結果にならないか、一定程度の活用が進みつつある匿名加工情報の利便性と具体性を上げていくことでカバーできないのか等を踏まえた上で、規律の必要性や在り方について慎重に検討していただくことを期待する。
第 4 節 データ利活用に関する施策の在り方
1. 匿名加工情報制度(3) EU のGDPR における匿名化及び仮名化との比較(pp.33- 34)
中間整理の34 ページは、GDPRの仮名化 (Pseudonymisation)について、「また、個人データよりも負荷の軽い規律となっており、第11 条(2) には、データ主体が、自己の権利の行使の目的のために、自身の識別ができるようにする付加的な情報を提供する場合を除き、第15条から第 20 条までの規定（※）は適用されないとなされている」としている。
この点、GDPR 第 11 条は2 項構えとなっている点に注意が必要である。
まず、第 11 条第 1 項は、「管理者が個人データを取扱うための目的が管理者によるデータ主体の識別を要しない場合、又はその識別を要しなくなった場合、その管理者は、本規則を遵守するという目的のみのために、データ主体を識別するための付加的な情報を維持管理し、取得し、又は取扱うことを義務付けられない」と規定している。その上で、同第２項は、「本条第 1 項に定める場合において、管理者がデータ主体を識別する立場にないことを証明できるときは、その管理者は、それが可能であるならば、データ主体に対ししかるべく通知する。そのような場合、データ主体が、それらの条項に基づく自己の権利の行使の目的のために自身の識別ができるようにする付加的な情報を提供する場合を除き、第 15 条から第20 条は適用されない」と規定している。
すなわち、GDPR 第 11 条の下、個人データを仮名化した場合は、 第 15 条から第 20 条までの規定が（データ主体が自身の識別ができるようにする付加的な情報を提供する場合を除いて）すぐさま適用されなくなる訳ではなく、 第11条第 1 項に定める場合において、管理者がデ ータ主体を識別する立場にないことを証明できる場合に限って、第 15 条から第 20 条までの規定が適用されなくなると解するのが相当である。
【株式会社メルカリ】

5. 検討の方向性(2)「 仮名化」の検討(p.40)
中間整理に記載のとおり、具体的なニーズの有無等を踏まえた上で、規律の必要性や在り方について十分検討すべきであると考える。その際、上記GDPR における規定ぶりを含め、「仮名化」を含む諸外国の法令の規定ぶりや実際の規定の運用を調査・分析した上で、事業者による個人データの利活用を推進するものとなるか、いたずらにカテリゴーを増やしてしまうのみの結果にならないか、一定程度の活用が進みつつある匿名加工情報の利便性と具体性を上げていくことでカバーできないのか等を踏まえた上で、規律の必要性や在り方について慎重に検討 していただくことを期待する。
なお、中間整理においては、「EU においては、個人情報としての取扱いを前提としつつ、若干緩やかな取扱いを認める『仮名化』が規定され、国際的にもその活用が進みつつある」や、「『仮名化』のような個人情報と匿名加工情報の中間的な規律」といった記述があるが、この「仮名化」の検討がGDPRの「仮名化」を前提として進められるのか否か、仮名化の定義や匿名加工情報との棲み分け、さらには仮名化することによって緩和される義務の内容等、判然としない部分が多い。そうした
定義・内容如何によってはメリット・デメリットが大きく変わり得るものであることから、今後の規律の必要性や在り方の検討において、事業者が改めて意見を述べる機会が設けられるよう求める。
また、日本に対するEU の十分性認定の第 30 項によれば、日本の個人情報保護法における匿名加工情報には、GDPR においては「匿名化」しているというよりは「仮名化」しているとみられるものが含まれるとされている。今般「仮名化」を検討するとした場合に、EU の十分性認定との関係も考慮に入れる必要があると思料する。
【株式会社メルカリ】

115/173

315【意見の対象】
第３章「第４節 データ利活用に関する施策の在り方」「 5 ( 2 )「仮名化」の在り方」【内容】「仮名化」制度の導入については慎重に検討されたい。また導入する場合は、その定義、生成方法や利用方法について、法令等で明確に規定していただきたい。
【理由】「 匿名加工情報」の場合、加工のレベルが高く目的を達成できないケースもあるため 、加工度の緩やかな「仮名化」データに需要があると思われるが、匿名加工情報よもり個人情報に近い性質のものであることから、匿名加工情報以上に難易度の高い加工ルールや厳しい各種義務が設けられる可能性が高いものと想定され、匿名
加工情報と同様に利用が進まない可能性があるとともに、「仮名化」という新たな規律を設けることにより制度の複雑化にも繋がりかねない。また、現在の匿名加工情報制度のように定不明瞭な規定では事業者としては活用を控えざるを得ないため、仮名情報制度を導入検討する場合には、データ利活用促進のための制度であることを踏まえた内容にするとともに、要件等については明瞭に法令やガイドラインで規定すべきである。また、導入時にはその適切性や導入が国民の利益になる点についても周知されたい。
【経営法友会】

5 仮名化されたデータの取扱い(1) 該当箇所
開示請求 (17頁）利用停止等(18頁）仮名化されたデータ (40頁）等(2) 意見仮名化したのちに提供され、もはや本人に直接影響を及ぼすことのない形態で取り扱われる個人データ（介入を伴わない研究に利用される等）に関して定義を行
い、開示・訂正・利用停止義務の対象外とする方向性に賛成である。
ただし、医療に関わる個人データについては、 GDPR の11 条(2)のように、本人を識別するための情報が別途提出されれば開示に応じることとする等、指針や学会規定等において自主的な規定を行うことが前提である。

116/173316(3) 理由GDPRにおいても仮名化 (Pseudonymisation) の制度は存在しており(4条5号）、同様の制度を導入することに関して歓迎する。医学系研究倫理指針において、前回
個人情報保護法改正以前までは、「連結可能匿名化」「連結不可能匿名化」がなされたデータについて様々な運用がなされており、前回改正時にそれらの名称が廃止されるとともに法律上の「匿名加工情報」（もしくは非識別加工情報）の規定が入った。その際に「仮名化データ」として従来の「連結可能匿名化」を規定すべきところ、「匿名化」という語を残したことによって現場での混乱が生じている 。仮名化を導入することによって、こうした混乱が軽減するものと期待する。
また、医学系研究分野では、対応表が提供されていない、個人情報に該当する「連結可能匿名化」データが多く存在し、現行法では開示・訂正・利用停止の請求（以下「開示等請求J ) 対象となるデータとなっている場合が多い。学術研究機関による学術研究に関しては、個人情報保護法の適用除外ではあるものの、倫理指針では個人情報保護法の規定に上乗せをした義務を課すのが通例となっている。もし、次の個人情報保護法改正によって利用停止義務が無条件で認められるように改正された場合、それが仮名化データにも及ぶのだとすれば、インフォームドコンセント時の説明・記載による取り扱いができなくなってしまう問題が生ずる。その点で、仮名化データには開示等請求が適用されない改正も同時になされるのであれば、その問題は解消する。
仮名化データに対する開示等請求は、漏えいリスクを把握するなどの趣旨でどのようなデータが保有されているかを確認したいとする本人の要望への対応として一定の意義は存在するものの、一方で、もはや本人に直接影響を及ぼすことのない形態で取り扱われるデータである場合には開示等請求に応じる意義に乏しく、医療機
関や研究機関において本人確認やデータの特定等の作業の負担がこれに応じる意義に見合わないとの問題が従来より指摘されている。特定の個人をターゲットとしな
い研究においては、個人データは最終的に統計量として扱うのみであり、仮名化データに対する開示等請求に応じる意義は乏しいが、他方、医療との境界領域になるような臨床研究は、本人を識別して本人に対する医療への影響がありうる等、開示、訂正、利用停止によるコントロール機会を保障することが必要となる。この場合は、本人との対応関係を明確に残した個人データを用いることになるから、そのような場合には仮名化データに該当しない個人データに該当するものとし、従前通りに開示等請求の対象となるよう、仮名化データの定義を工夫する必要がある。
また、仮名化データの開示等請求に関して以外に、データベース連結を行う際の仮IDの扱いに関しても、GDPR の十分性認定との関係も含めて課題が存在すると認識しており、３の意見の相当の公益性を要件とした取扱い（本人を識別しない研究目的等での名寄せの許容等）の検討を願いたい。
【世界経済フォーラム第四次産業革命日本センター】

117/173

第３章第４節関係

ターゲティング広告

No.

提出意見

317

「４ ターゲティング広告について」【意見】 ターゲティング広告について規制するのであれば、SNSや電子メール、電話といったどの広告媒体を使った広告であっても一律の規制がされるようにしてほしい。
【理由】 すでに「特定電子メール法」（総務省・消費者庁所管）や「特定商取引法」第１２条の３（消費者庁所管）というように、一部の広告媒体においては、
ターゲティング広告が規制されている。新たに個人情報保護法でターゲティング広告を規制することにもしなるのであれば、広告媒体ごとに異なる規律は法制度上問題なので、統一的な法規制がされるよう、他省庁と調整いただきたい。
実際、EUでは、E-Privacy Directive及びその国内法（たとえば、英国であればPECR）とGDPRとの間で整合性が取れておらず、実務上の混乱が生じており、日本で同様の混乱が生じないようにご配慮いただきたい。
こうした混乱が生じることのデメリットとしては、法令順守を行う事業者が（不明確な法制度を原因として）広告活動に対して委縮してしまい、その結果、消費者
にとって有用な商品・サービス情報が提供されなくなってしまうことが考えられる。
【参考】 たとえば、EUにおける混乱の例として著名なのが英郵便事業の件である（以下のURL参照）。この件の場合、結局、本人同意なくともダイレクトマーケ
ティングができることを英国のICOが認定したが、ICOと英郵便事業間で行われた交渉を日本においてPPC・各事業者間で行って各自がターゲティング広告の適法性を確認していくのは双方にとって負担が大きい。そのため、ターゲティング広告への規制を導入するのであれば、一律かつ明確なルールの法令化／ガイドライン化をしていただきたい。
https://tech.nikkeibp.co.jp/it/atcl/idg/17/090300168/090300001/?ST=cm-industries&P=3
【匿名】

318

１．38頁（２）消費者のプライバシーに関する懸念について〇意見内容
１．3項目に、位置情報を含めた広い意味での行動履歴が利用されることに対する懸念が記されていますが、私も同じ懸念を抱いています。
匿名加工されるとはいえ、１サンプルに対する情報の数を決めて、規制することを望みます。
〇意見の根拠理由
１．最近はメーカーや小売など流通でも、既に会員登録している人に対し、ポイント率が上がりお得だ等と言い、モバイル端末にアプリを入れさせて年齢性別や購入履歴に加え、位置情報まで取得しようとしています。アプリの権限を確認すれば、どの情報まで取るかはわかりますが、普通の消費者はそこまで気づきません。私個人でも、同様の誘いを3業者から受けました。
匿名加工していても、より詳細な情報であればあるほど個人の特定が可能となり、万一、その情報が流出した場合を考えると1サンプルに集める情報の数の上限を規制してほしいと思料します。
【個人】

118/173319◆ターゲティング広告等について
・ターゲティング広告などのウェブ技術については進化が著しいので、自主ルール等による運用が望ましいとすることには反対である。
実効性の観点で、1.一般社団法人日本インタラクティブ広告協会の自主ルールがあったとしても、情報主体と接する広告主の多くは非会員である、2.力関係から、発注者である広告主に、会員である受託者側から自主ルールの順守の依頼はしにくい、3.会員社であっても強制力はない、という理由が考えられる。
（一般社団法人日本インタラクティブ広告協会の自主ルールで規定済みでも、先般の日経新聞の報道がされているのは上記を物語っているものと思います）
・情報収集モジュールについて
プライバシーポリシーでの開示義務の是非、開示する場合の項目、情報収集モジュールでの情報提供先との関係性について、ガイドラインに明示をご検討いただきたい。（現状は総務省のガイドラインに記載されているが、当該ガイドラインがすべての事業者を対象としていても、総務省と関係がない事業者は見ないので）・Cookieについて
Cookie単体で個人情報にするか、あるいは個別の規律の必要性を検討されていますが、まずは、現行法での「クッキー等であっても、特定の個人を識別できるような場合には、個人情報保護法上の個人情報として取扱われる必要がある」を啓蒙してみては如何か。
現行法での上記を啓蒙することで、Cookie単体での対応についてのハードルを下げられると思われる。
【個人】

320

第4節 データ利活用に関する施策の在り方【意見6（P41）】（5）ターゲティング広告を巡る対応の在り方
・自主ルールを執行可能な形とすることについては、慎重にご検討をいただきたい。
（理由）
・自主ルールについては、あくまで事業者の発意に基づく、法に基づく規律を超えた自主的な取組として位置付けられるものであり、法により要求される規律そのものではなく、執行機関によるペナルティ・サンクションを背景とした指導・執行等を前提としたものとはすべきものでないため。
【JEITA個人データ保護専門委員会】

321

1.
（該当箇所）
41～42ページ（5）ターゲティング広告を巡る対応の在り方（意見）
一定の要件を満たしたクッキーは個人情報保護法上の個人情報として取扱われる必要がある、とあるが、その場合は個人情報とされる要件を明確に定義して公表頂きたい。
（理由）
個人情報として取扱うべきクッキーの範囲を明確に認識するため。
【匿名】

322

[意見10（p41）]
ターゲティング広告の規範は民間の自主性に委ねるべきである。
(理由)
・「(ターゲティング広告の)自主ルールについては、…今後、可能な限り民間の自主性を活かしつつ、認定個人情報保護団体制度等を活用するなど自主ルールを執行可能な形としていくことも含め検討する必要がある」とあるが、自主ルールの策定・運用に政府が関与すべきではない。
【(一社)日本経済団体連合会情報通信委員会企画部会】

119/173

323[意見11（p41～42）]
現行法の規定に加えて識別子に関する新たな規律を設けることについては、中間整理に記載のとおり、慎重に検討すべきである。
(理由)
・クッキー等の識別子単体で特定の個人を識別することはできない。
・識別子を他の情報と容易に照合でき、それによって特定の個人を識別できるようになれば、その段階で事業者は個人情報保護法に基づく適切な取り扱いを実施している。
【(一社)日本経済団体連合会情報通信委員会企画部会】

324（該当箇所４１ページ）
９．クッキーを現行法に加えて個別に規律する場合には、事業者が既に推進しているインターネットビジネスに極力影響が出ないように慎重に検討いただきたい。
（理由）
利用特性も多様であり、ビジネスの推進阻害要因となる恐れがあるため。
【一般社団法人 日本クレジット協会】

325（該当箇所４２ページ）
１０．事業者に理解不足と思われる事例が散見されるのであれば、具体例を公表する等の措置をお願いしたい。
（理由）
委員会が考える不適切な事例を各事業者が共有することで、クッキーを運用する事業者が適切な運営を行うようにするため。
【一般社団法人 日本クレジット協会】

326（第3章第４節５．（５） ターゲティング広告を巡る対応の在り方）
自主規制が有効に機能する領域においては、これを尊重することが産業振興にも寄与することになり望ましいと考える。一方で、自主規制はその事業領域全ての事
業者に対応できないことも多く、規範を守っている事業者を守るためにも共同規制的な枠組みを検討する必要があると考える。
【一般社団法人モバイル・コンテンツ・フォーラム】

327

３．ターゲティング広告の規制は、業界の自主的な対応に任せるのではなく、消費者の個人情報の保護を徹底する立場から、法令上の規制を強化すべきである。
【個人】

328

・意見１１
該当箇所：（５）ターゲティング広告を巡る対応の在り方（41頁）
意見：複数の事業者の保有個人データが集積・統合されることによる新たなプライバシー問題の発生が十分に危惧されることを踏まえた対応が求められると考えます。
【日本ユニシス株式会社】

120/173

329

（意見４）
【該当箇所】
P39：第３章第４節データ利活用に関する施策のあり方 4.ターゲティング広告【意見】
ターゲティング広告などに用いられる端末識別子に関しても、個人の権利利益保護するため、一定の法規制が必要なのではないか。
【理由】「他の情報と容易に照合することができ、それにより特定の個人を識別することができる場合は、個人情報となる」と記載はあるが、http://www.soumu.go.jp/main_content/000599872.pdf
こちらの論文にもあるとおり、提供元では非個人データであっても提供先で特定の個人が識別されることになる情報についても議論されるべきであると考える。
【MyData Japan有志】

330

個別意見 中間整理第3章第4節関係・クッキーなどそれ単体では、特定個人を識別しないものについて引き続き規制する必要はない【一般社団法人新経済連盟】

331

６．ターゲティング広告で用いられるクッキーについて、中間整理では踏み込んだ記載がなされているが、特定個人識別されない符号単体のみで規制すべきではないと考える。
【一般社団法人Fintech協会】

332

ターゲティング広告については、消費者としては、メリットよりもプライバシーに対する懸念の方が大きく、また、意思が弱いと自覚している自分にとっては自己決
定権への脅威でもあるように感じています。周囲には同様のことを漏らす人も多く、業界の自主ルールで足りるのだろうかと不安を感じます。
【個人】

333

第3章第4節5. (5) ターゲティング広告を巡る対応の在り方に関する意見（41～42頁）
自主ルールを尊重するという方向性について異を唱えるものではないが、自主ルールの内容が固定化されてしまい法令に類似する機能を果たすようになると、当該自主ルールの作成に関与していない外国企業の参入や新興企業によるイノベーションを阻害するおそれがあるので、自主ルールはあくまでも自主ルールであるという位置づけを明確に確保すべきであると考える。
【長島・大野・常松法律事務所】

334

６．41～42ページ：第３章 第４節５（５）ターゲティング広告を巡る対応の在り方
インターネット広告の業界を代表する当協会に加盟する事業者においては、ターゲティング広告を含むインターネット広告事業において個人情報を適法に取り扱うことは勿論、個人情報に該当しない「インフォマティブデータ」であっても、当協会が定める自主ルールに則り取扱いを行っている。ターゲティング広告等のインターネット広告の技術や手法については「実態は非常に複雑かつ多様」（41ページ）である。ただし、ターゲティング広告は、一般に、取得し一定期間保存しているデー
タからある属性値や傾向を持つユーザー群を抽出し、そのユーザー群に対してブラウザや端末を識別して当該ユーザー群に適切と思われる広告を配信しているものであり、本人が誰であるか個人を識別することを目的としているものではなく、その必要性も全くないものである。しかしながら、ユーザーの視点から見れば、本人を識別して個別に広告が表示されているかのように感じられるものであり、広告の頻度や表示場所、内容なども相まって懸念や不信感を生じさせるおそれもある。そのため「自主ルールによる規律」（39ページ：第３章 第４節４（３））を徹底するとともに、一層の普及啓発と実効性の向上に努めたいと考える。
【一般社団法人日本インタラクティブ広告協会】

121/173335

７．41～42ページ：第３章 第４節５（５）ターゲティング広告を巡る対応の在り方
インターネット広告の配信や計測においては、ブラウザクッキーやモバイル端末の広告識別子を利用している。「クッキー等自体は、『識別子』としてセッション管理を含め広範に用いられる技術であり、利用特性も多様」（42ページ）であり、ターゲティング広告であるか否かにかかわらず、広告の配信や表示回数のコントロー
ル、広告取引のエビデンスに必要不可欠な仕組みであって、インターネット広告ビジネスの根幹にかかわる技術である。また、行動ターゲティング広告のユーザーからのオプトアウトにもクッキー等の仕組みを使用している。クッキー等について「例えば、一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど、その位置付けを明確化することも考えられる」（41～42ページ）との考え方に関しては、クッキーが個人情報と結びついて一連のデータとして含まれているのであれば、そのデータ群は個人データとして取扱うため、「現行法の規定に加えて、クッキー等をあえて個別に規律する必要性含め、慎重に検討する必要がある」（42ページ）との方向性は首肯できるものであり、個別に規律する必要性はないと考える。
【一般社団法人日本インタラクティブ広告協会】

336

８．42ページ：第３章 第４節５（５）ターゲティング広告を巡る対応の在り方
前記のとおり、「クッキー等であっても、会員情報等と紐づけられ特定の個人を識別できるような場合」（42ページ）は個人情報として取り扱われる必要がある。
「事業者の中には理解不足と思われる事例も散見される」（42ページ）とのことであるが、個々の事例については実態を慎重に判断いただきたい。メディア事業者や広告主企業におけるデータの取扱いは、必ずしもターゲティング広告等のインターネット広告での利用を目的としたものとは限らない。統計的に処理をして傾向を分析しマーケティングに活用したり、自らのサイトやサービスのセキュリティ・安全性向上、コンテンツの最適化のために利用する等、広告以外にもさまざまな利用があり得る。また、自らの広告事業のためでなく、提携する他の広告配信事業者のタグを設置してサイトのアクセス履歴を直接取得させている場合もある。このような目的から外部にデータを送信することがあるが、その場合であっても、自社での利用のために分析や管理、広告配信などの業務を委託している場合や、自社の保有する会員情報等とは紐づかないデータを他の事業者が独自に取得している場合（なお、その場合は自主ルールにおいてその旨をユーザーに知らせること等が義務となる）には、個人データの第三者への提供となるわけではない。
【一般社団法人日本インタラクティブ広告協会】
３337

ターゲティング広告について
ターゲティング広告についても、その実情について、社会的な情報共有が図られるべきである。この点についても、分かりやすい形、比較可能な形での開示が、事業者や事業者グループにより行われるべきである。
ターゲティング広告についても、許容されない領域があり得るものと考えられ、また、利用が許容される場合も、商品やサービスの内容によって適切なあり方はさ
まざまと考えられるところ、活用のあり方について社会的な議論を深める必要がある。そのためにも、実態に関する認識を共有できる環境を整えるべきである。
【個人】

338

4. 41～42ページ：第３章 第４節５（５）ターゲティング広告を巡る対応の在り方
インターネット広告の配信や計測においては、ブラウザクッキーやモバイル端末の広告識別子を利用している。「クッキー等自体は、『識別子』としてセッション管理を含め広範に用いられる技術であり、利用特性も多様」（42ページ）であり、ターゲティング広告であるか否かにかかわらず、広告の配信や表示回数のコントロー
ル、広告取引のエビデンスに必要不可欠な仕組みであって、インターネット広告ビジネスの根幹にかかわる技術である。また、行動ターゲティング広告のユーザーからのオプトアウトにもクッキー等の仕組みを使用している。クッキー等について「例えば、一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど、その位置付けを明確化することも考えられる」（41～42ページ）との考え方に関しては、クッキーが個人情報と結びついて一連のデータとして含まれているのであれば、そのデータ群は個人データとして取扱うため、「現行法の規定に加えて、クッキー等をあえて個別に規律する必要性含め、慎重に検討する必要がある」（42ページ）との方向性は首肯できるものであり、個別に規律する必要性はないと考える。
なお，インターネット広告という観点においては，既に一般社団法人日本インタラクティブ広告協会（以下，「JIAA」という。）が「プライバシーポリシーガイドライン」「行動ターゲティング広告ガイドライン」等を策定しており，同ガイドラインの趣旨に当協会も賛同するものであり，インターネット広告に携わる事業者においては，一定程度の自主ルール等による適切な運用がなされているものと考える。この観点からも，「一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど，その位置付けを明確化すること」を内容とする法改正の必要性はないものと考える。
【公益社団法人 日本アドバタイザーズ協会】

122/173

339

5. 42ページ：第３章 第４節５（５）ターゲティング広告を巡る対応の在り方
前記のとおり、「クッキー等であっても、会員情報等と紐づけられ特定の個人を識別できるような場合」（42ページ）は個人情報として取り扱われる必要がある。
「事業者の中には理解不足と思われる事例も散見される」（42ページ）とのことであるが、個々の事例については実態を慎重に判断いただきたい。メディア事業者や広告主企業におけるデータの取扱いは、必ずしもターゲティング広告等のインターネット広告での利用を目的としたものとは限らない。統計的に処理をして傾向を分析しマーケティングに活用したり、自らのサイトやサービスのセキュリティ・安全性向上、コンテンツの最適化のために利用する等、広告以外にもさまざまな利用があり得る。自社での利用のために分析や管理、広告配信などの業務を委託している場合もある。その場合には、個人データの第三者への提供となるわけではない。
【公益社団法人 日本アドバタイザーズ協会】

340

第４節 データ利活用に関する施策の在り方 ４．ターゲティング広告（１）概要（２つ目の○）・ターゲティング広告の具体例が記載されているが、仮に、金融機関がこの手の広告手法に類似する手法でマーケティングを行った場合、規制の対象となるのか（「属性ターゲティング広告とはユーザーが自ら登録を行った年齢・性別・居住地情報等の属性情報を利用して広告を配信」とあるが、広告の配信ではなく、個別の商品勧誘などであればすでに行っており、「行為規制」となると、予期せぬ業態で影響が出る懸念がある）。
【一般社団法人 全国銀行協会】

341

第４節 データ利活用に関する施策の在り方 ４．ターゲティング広告（２）消費者のプライバシーに関する懸念（３つ目の○）・「特に、最近は、スマートフォンの普及等により、ウェブ上の検索履歴や閲覧履歴のみならず、位置情報を含めた広い意味での行動履歴が利用され得る状況にある。このような幅広い情報を膨大に収集し、解析、利用することについて、プライバシー上懸念があるとの意見もある。」との主旨に賛同する。
・一方で、国の産業競争力強化や企業の競争力強化の視点から、制約を設け過ぎず、革新的な情報利活用策を推進していく観点も必要と考える。「プライバシーポリ
シーガイドライン」および「行動ターゲティング広告ガイドライン」に則りつつ、利活用を推進いただくことを希望する。
【一般社団法人 全国銀行協会】

342

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（５）ターゲティング広告を巡る対応の在り方（３つ目の○）・「自主ルール等による適切な運用が重要」とあるが、この検討主体は誰なのか（ターゲティング広告を「配信する者」（プラットフォーマー企業）なのか、広告を出稿する者なのか）。
【一般社団法人 全国銀行協会】

343

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（５）ターゲティング広告を巡る対応の在り方（３つ目の○）・「自主ルール等による適切な運用が重要である」とあるが、具体的な自主ルールの内容について、今後想定しているものを含め、示していただきたい。また、どのようなケースにおいて、ターゲティング広告を制限する必要が出てくるのか。
【一般社団法人 全国銀行協会】

344

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（５）ターゲティング広告を巡る対応の在り方（４つ目の○）・クッキー等については、個人情報保護法上の個人情報として取り扱う必要性があるとなった場合の個人情報保護法上の位置づけの明確化を今後検討するということか確認したい。
【一般社団法人 全国銀行協会】

123/173345

346

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（５）ターゲティング広告を巡る対応の在り方（５つ目の○）・「クッキー等であっても、会員情報等と紐付けられ特定の個人を識別できるような場合は、個人情報保護法上の個人情報として取り扱われる必要がある。」とあるが、仮名化個人情報とは何かという観点から、クッキー自体と仮名化個人情報との整理を検討すべきである。例えば、会員情報等と紐付けられ特定の個人を識別できるクッキーは、仮名化個人情報と整理されるのか。
【一般社団法人 全国銀行協会】

該当箇所：P41 第4 節
5
検討の方向性(5)ターゲティング広告をめぐる対応の在り方○ターゲティング広告のベースとなるウェブ技術は進化が著しく、本来、イノベーションを阻害することを避ける観点からも、まずは、自主ルール等による適切な運用が重要である。自主ルール等については、強制力や自主ルール等に参加していない者の存在など、一定の限界があるのも事実であるが、今後、可能な限り民間の自主性を活かしつつ、認定個人情報保護団体制度等を活用するなど自主ルールを執行可能な形としていくことを含め検討する必要がある。
〇一方、クッキー等であっても、会員情報等と紐付けられ特定の個人を識別できるような場合は、個人情報保護法上の個人惰報として取り扱われる必要がある。しかし、事業者の中には理解不足と思われる事例も散見されるため、今後、委員会としても、実態を注視しつつ、適切に執行を行っていく必要がある。
意見：•DMPに代表される、ウェブ上の行動履歴と顧客データベース上の属性情報と紐づけたユーザー情報を使うターゲティング広告のしくみ、また、これらユーザー情報の「個人情報保護」の観点からのリスクについて提示をいただきたい。
•クッキーやその他端末ユーザーを識別する「識別子」と、「識別子」に紐づく属性情報・ウェ ブ上の行動履歴は、「仮名化情報」なのか「個人情報」に位置づくのかを提示していただきたい。特に、事業者がそれらの情報をDMP側に送信しDM P事業者側で広く利用される場に、「個人情報の第三者提供」に該当するのかを明確に示していただきたい。
•一般のユーザーでも理解ができるターゲティング広告についての説明や同意取得のための告知ガイドラインや事例がほしい。
理由：•現在、JIAAのガイドラインを参照し、cookieを中心とした個人を識別できない行動履歴データの取扱いについては告知を行っている。が、昨今、DMPに代表される、
ウェブ上の行動履歴と顧客データベース上の属性情報を紐づけたターゲティング広告を行う仕組みが拡大しており、現状の告知はこれらまでカバーできていない認織であるため。
・現状、ターゲティング広告を行う多くの事業者は、ターゲティング広告で使用するユーザー情報を「個人情報」として扱っていない認識であり、どのような情報として位置付けるべきか、また情報の保護の観点からのリスクや必要となる対応の判断のよりどころがないため。
・サードパーティクッキーやDMPを提供する事業者は海外事業者が多く、しくみも複雑で理解しづらい。またターゲティング広告のオプトアウトのためのURLを表示しているが、リンク先が外国語のものも多く、一般ユーザーの多くはその内容を理解をしてオプトアウトを行うことが困難と思われるため。
【株式会社ベネッセホールディングス】

124/173347

該当箇所：P41 第4 節
5
検討の方向性(5)ターゲティング広告をめぐる対応の在り方○クッキー等について、例えば、一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど、その位置付けを明確化することも考えられるが、クッキー等自体は、「識別子」としてセッション管理を含め広範に用いられる技術であり、利用特性も多様であることから、現行法の規定に加えて、クッキー等をあえて個別に規律する必要性含め、慎重に検討する必要がある。
意見：・クッキーの利用目的は複数あり、セッション管理などのユーザーにとっての利便上必要となる目的もあれば、ターゲティング広告に利用する目的のクッキーもある。クッキーの種別（利用目的）に応じて、想定されるリスクを明確にしたうえで、それらに対する対応指針を提示していただきたい。
理由：
・ユーザーにとっての利便性を担保するためのクッキーの利用は法的な規制がない形で利用できる一方で、ターゲティング広告を目的とする利用はユーザーの意思を反映するべきであり、利用目的に応じて必要な対応が異なると考える。また、ユーザーにも、利用目的ごとに適切に判断していただけるように、その目的をわかりやすく提示する必要があると考える。
【株式会社ベネッセホールディングス】

348

第 2
個別の論点について
1. データ利活用に関する施策の在り方（中間整理 第 3 章 第4 節）( 1 ) クッキー等についてクッキーや広告ID 等の端末識別子（以下， 合わせて「クッキー等」という。）について，「一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど，その位置付けを明確化することも考えられる」(41 頁）とあるが， クッキー等を法律において規律するということに反対する。
クッキー等は，「一般には， それ単体では個人識別性を有しない」(38頁）という評価について全く異論はなく， 個人識別性を有しない以上 (GDPR における規律があるにせよ），また特に行動ターゲティング広告において利活用されているクッキーについては，現行法令で規定されている個人識別符号とは性質が大きく異なり，利用者の意思で容易に削除や変更等が可能であることからも，個人情報保護法上の個人識別符号とするなどの法改正は慎重に検討すべきである。
この点については， 法解釈のグレーゾーンは存在しておらず，「 イノベーションを阻害することを避ける観点からも，まずは，自主ルール等による適切な運用が重要である」(41 頁）というという意見に賛同する。なお，インターネット広告という観点においては， 既に一般社団法人 日本インタラクティブ広告協会（以下，「 JIAA 」 という。） が「プライバシーポリシーガイドライン」「行動ターゲティング広告ガイドライン」等を策定しており，同ガイドラインの趣旨に当協会も賛同するものであり，インターネット広告に携わる事業者においては ， 一定程度の自主ルール等による適切な運用がなされているものと考える。この観点からも，「一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど，その位置付けを明確化すること」を内容する法改正の必要性はないものと考える。
なお，「クッキー等であっても会員情報等と紐付けられ特定の個人を識別できるような場合は，個人情報保護法上の個人情報として取り扱われる必要がある」(42頁）ということについても異論ない。「事業者の中には理解不足と思われる事例も散見される」(42 頁）とのことであるが，「理解不足」の事例につき， 立法事実
足りえるものであるのかについての検証等のため，具体的かつ詳細に開示をいただきたいと考える。
【一般社団法人 日本広告業協会】

349【意見要旨】（５） ターゲティング広告を巡る対応の在り方
中間整理に記載のとおり、クッキー等自体は、「識別子」としてセッション管理を含め広範に用いられる技術であり、利用特性も多様であること、また現状、会員情報等と紐付けられ特定の個人を識別できるような場合には個人情報として取り扱われることから、クッキー等に関する新たな規律を設けることは慎重に検討すべきであると考える。
【株式会社メルカリ】

125/173350(5)ターゲティング広告を巡る対応の在り方(pp.41～42)
中間整理に記載のとおり、クッキー等自体は、「識別子」としてセッション管理を含め広範に用いられる技術であり、利用特性も多様であること、また現状、会員情報等と紐付けられ特定の個人を識別できるような場合には個人情報として取り扱われることから、クッキー等に関する新たな規律を設けることは慎重に検討すべきであると考える。
この点、クッキー等に関する記述がターゲティング広告にフォーカスされ過ぎているように感じられる。クッキー等は、そのもの自体の個人情報該当性や保護という論点に加えて、セキュリティの観点から、そうした識別子を用いて個人を守るという側面もある。言い換えれば、個人情報を保護するという視点に加えて、個人情報を用いて個人を保護するという視点が必要であり、そうしたコンテクストでもクッキー等の在り方について検討される必要があるのでないかと思われる。
技術の進展が著しいことから、クッキー等の他にもさまざまな技術的手段が活用される可能性があることを想定し、ことさらにクッキー等にのみ規制を検討するのではなく、さまざまな手段に対して包括的な検討を行う観点が必要であろう。例えば、クッキー等に関する規制を厳しくすればするほど、Finger Printing 等、よりプライバシーを侵害しうる技術の利用が進む可能性もあるほか、特定の手段に対して規制を厳しくすることが特定の事業者に裨益する可能性も否めない。規制を厳しくすればユーザーの利便性を損なう面もあり、より多角的な観点が必要であろう。
【株式会社メルカリ】

351【意見の対象】
第３章「第４節 データ利活用に涸する施策の在り方」「5 ( 5 ) ターゲティング広告を巡る対応の在り方」【内容】
クッキーの利用範囲は多岐に渡るため、クッキーの規制可否に関する職論は、ターゲティング広告の文脈に限定せずに、他への影響も加味して慎重に検討すべきである。また、クッキーについては法律で規制するのではなく、産業界に対し自主ルール作りを促す等の政策を推進いただきたい。
【理由】
クッキーの利用は、単純なwebサイトの訪問数の分析等のための利用に留まる場合も多く、ターゲティング広告のみを想定して、規制の議論をすべきではない。また、技術が日進月歩であり、明確な線引きが難しいため、事業者の自主性を生かす方向で検討していただきたい。
【経営法友会】

352【意見の対象】
第 3 章「第4 節 データ利活用に関する施策の在り方」「5 ( 5 ) ターゲティング広告を巡る対応の在り方」【内容】
ターゲティング広告について個人情報保護法で規制するのであれば、総務省が所管する「特定電子メール法」や消費者庁が所管する「特定商取引に関する法律」（特に第12条の３ （承諾をしていない者に対する電子メール広告の提供の禁止等））の規定との整合性やそれらの法令を遵守した形でどのように企業が広告活動をすべ
きかについて、所管している総務省及び消費者庁と連名で個人情報保護委員会は詳細なガイドラインを作成いただきたい。
【理由】
パッチワーク式な法令は、法律を遵守しようとする大多数の企業の負担になっている現状がある。そうした企業が広告発信などを含めたデータ活用について委縮的となることで、かえって、消費者に対して必要な商品・サービス情報の広告が提供されなくなってしまう。EUでも、GDPR と E-Privacy Regulation ( いわゆるクッ
キー 法。現在はE-Privacy Directive) の整合性や両法を順守した事業活動の在り方につき混乱が見られている。同じような混乱を我が国で招くことがないよう、仮にターゲティング広告全般について個人情報保護法で規制をしていくのであれば、総務省及び消費者庁と連携した上で明確かつ適切で詳細なガイドラインを制定することが必要であると考える。
【経営法友会】

126/173

第３章第４節関係

その他利活用

No.

提出意見

353

中間整理40ページの記載「産業界からは、ガイドライン等での法の解釈の明確化を求める意見もあるが、一方で、技術の進展が早い中、法解釈を固定化することで、イノベーションを阻害するおそれがあるのでないかという声もある」に関して。
個人情報保護法の解釈を明確化しないことで、提供先・委託先との間で個人情報に関する意見の相違が発生し、業務に支障が出そうになるケースがあります。特に様々なIT企業との取引において、今後ますますそうしたケースが増えることを心配しています。
典型的なケースが、個人情報保護法第22条・23条につながる第2条第1項の容易照合性の「提供元基準」「提供元判断」についてです。
勤務先において、個人情報を他の法人に提供（委託も含む）する際は、「『個人情報の保護に関する法律についてのガイドライン（通則編）（案）』に関する意見募集結果」19番（http://search.e-gov.go.jp/servlet/PcmFileDownload?seqNo=0000151056）に沿って、「提供元基準」「提供元判断」の考え方で個人情報の提供に該当するかどうかを判断しています。
しかし、この「提供元基準」「提供元判断」の考え方は、個人情報保護法やガイドライン等で、大きく分かりやすいかたちで明記されていないと思います。
そのため、取引先のIT企業に対するパーソナルデータの提供（第三者提供は少なく、ほとんどが委託ですが）を検討する際、自社側で個人データに該当する情報であっても、当該IT企業側で「特定の個人を識別できないので個人データの提供（委託）を受けることには該当しない」と主張されるケースがあり、苦労しています。
（※例えば、本人のID・氏名・住所・電話番号・嗜好・年齢・クッキーの個人情報のうち、本人のID・嗜好・クッキーだけのリストを委託し、IDごとの分析結果を受領するような場合です。）
意見の相違が発生すると、個人情報保護法22条の「委託先の監督」義務を遵守していくのは容易ではありません。
この「提供元基準」「提供元判断」の考え方を、ぜひ、個人情報保護法か、あるいはガイドラインの改定版で、大きく、分かりやすく明記いただきたいです。
【個人】

354

第3章第4節「データ利活用に関する施策の在り方」5「検討の方向性」について
位置情報を明確に個人情報としてとらえるべきです。なぜ 、「中間整理案」のなかで、位置情報についてきちんと取り扱われていないのか疑問をもたざるをえません。2017年最高裁判所大法廷は、令状をとらず、捜査機関が捜査対象の車に GPS (衛星利用測位システム) 端末を取り付ける捜査手法について 、「 対象車両及びその使用者の所在と移動状況を逐一把握することを可能にし、個人の行動を継続的、網羅的に把握することを必然的に伴うことから、個人のプライバシーを侵害し得る」として、憲法が保障するプライパシー権に反し違法だとする判決をだしました。これは、捜査当局が自らの判断で自由におこなってきた捜査手法を厳しく批判するものでした。 今日、 GPS の精度は極めて高くなっています。位置情報から特定の人物の住所、会社、生活パターンなどを知ることができます。位置情報は最も今
日的な個人情報といっても過言ではありません。
GDPRでは位置情報を個人情報と位置づけています。アメリカも同様です。最高裁判
決がGPS捜査について令状の取得にとどまらず、人権保護の立場から様々な措置の検討を立法府に求めていることの意味の重大さをみすえるべきです
【個人】

355

◆第三者提供について「提供元では必ずしも個人情報でない場合であっても、提供先で照合可能な情報が保有され、個人情報になる可能性」いわゆる、提供元：×、提供先：〇のケースですが、このようなケースを第三者提供にすることには反対です。
受領者である提供先が第三者提供に係る確認・記録義務をしようと思っても、提供元では、個人データではないので、本人の同意をとっていませんので、本人同意の確認はできませんし、トレーサビリティを確保できません。
【個人】

127/173356

2.
（該当箇所）
40ページ（3）技術の進展に伴うデータ利活用への対応（意見）
本文にて「個人情報保護法に直接関係する論点とそうでないものと多様な論点がある」、と記載されているが、実際に法令上問題となる利用方法を例示して頂きたい。
（理由）
個人情報保護法に直接関係するデータ利活用の例を参照することで問題と認識されている事例を確認するため。
【匿名】

357

（第3章第４節５．（３） 技術の進展に伴うデータ利活用への対応）
前項の仮名化と重複する点があるが、個人の権利利益を保護するための技術も数多くあり、個別の検証よりも「権利利益」が保護できるとはどういうことであるかという要件を明らかにすることがまず求められる。その要件に適合するものが積極的に採用されるようにすることが、法の趣旨に添うことであり、この視点で規制としての法制度やガイドラインではなく、技術革新を後押しするような規制緩和としての法制度やガイドラインとすることが望ましい。
また、技術のみに頼るのではなく、契約による取扱い制限（公開範囲、アクセス権限、利用目的等）やトラスト・フレームワークのような信頼を構築する仕組み、
国際的な認証システム、検証可能な行動規範（Code of Conduct、Code of Practice）も、データ利活用のための方策として積極的に活用できるように総合考量して対応できる法制度を検討するべきである。
【一般社団法人モバイル・コンテンツ・フォーラム】

358

・意見７
該当箇所：データ利活用に関する施策の在り方（34頁）
意見：特定の個人を識別できない形でのデータ利用が前提となっていますが、「特定の個人を識別」とは、どこまで正確に識別できる状態なのかが、あいまいなた
め、判断がわかれます。特に画像データの使用においては、判断が難しいと認識しています。データ利活用の促進において、「特定の個人を識別できる範囲」の基準を明確にする必要があると考えます。
理由：画像データの場合、完全に本人と識別できる以外のケースにおいて、どこかまで識別できると「特定の個人を識別できる」にあたるのか判断が難しく、見解が分かれるためです。（例：完全に本人とわからないまでも似た人が「数人」に絞れる場合は、「特定の個人を識別できる」と考えるのか、「数百人」に絞れるレベル
でも「特定の個人を識別できる」と考えるのか見解がわかれます。）【日本ユニシス株式会社】

359

・意見８
該当箇所：（１）次世代医療基盤法（34頁）
意見：次世代医療基盤法の施行から1年が経つ令和元年5月時点でまだ認定事業者が現れない状況と認識しています。政府として認定事業者の認定に向けた支援策を講じることが必要であると考えます。
理由：これらの情報を活用した新たなヘルスケア分野のサービス開発を推進していくための法施行であり、データ利活用による活力ある経済社会及び豊かな国民生活の実現を図っていくためには重要であると考えます。
【日本ユニシス株式会社】

360

・意見９
該当箇所：３．パーソナルデータの利活用に関する民間事業者等による取組（35頁）
意見：民間企業が主導する新たなデータ利活用型ビジネスについては、民間主導でのルール作りと国家による法整備とが車の両輪となって個人情報保護に関わる適正化を図るべきであると考えます。
【日本ユニシス株式会社】

128/173

361

No.11
【ページ、項目番号】
該当箇所なし【該当箇所】
該当箇所なし【意見】
今般、個人データの利活用への期待が高まり、今後は様々なビジネスが考案され実施されていくものと考えられる。
そうした中で、個人データの集計、分析や保管をビジネスとする事業者の役割も大きくなると考えられる。
こうした事業者は「受託者」と位置付けられ、当該事業者における個人データの管理については、現行法では委託先の監督に関する規定により、委託者を通じて対応する仕組みになっている。
一方、国際的には、ISO/IEC 29100のプライバシーフレームワークでは取扱事業者を「管理者」と「処理者」に区別してとらえており、EUのGDPRではこの「処理者」
に関する義務規定を設けて執行力を及ぼせるようにしている。
もとより、「受託者」もまた自社の従業員情報等を持っているので個人情報保護法における個人情報取扱事業者ととらえることが出来るが、この事業者が受託に基づき実施する個人情報取扱についても安全管理等の義務を課す等の受託者に対する措置を講ずるなどを今後の検討課題として考えてはどうか。
【一般財団法人日本情報経済社会推進協会】

362「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」のp.40記載の「第4節 ５．（３）技術の進展に伴うデータ利活用への対応」に関して、新技術を用いた個人情報の法的な取扱いについて、「個人情報の有用性に配慮しつつ、個人の権利利益を保護するという同法の趣旨を踏まえ、検討することが重要」という方針に賛成します。
例えば、複数の事業者間で個人データを秘匿したまま統計処理を行える技術は、近年研究開発・実証が進み実用化が期待されつつあるため、社会受容性等を踏まえた上で積極的に検討を行うべきと考えます。
【日本電気株式会社】

363

該当箇所：P35：第３章第4節３パーソナルデータの利活用に関する民間事業者等による取組
意見：第三者提供の多様化を踏まえた整理が必要ではないか
理由：中間整理には情報銀行，データ取引市場が記載され，第三者提供の多様化が推奨されているように受け取られる．また，既に民間事業者には第三者提供について本人に何等かの対価を提供している場合もある．このような状況において，現行法の取得時の目的および法第23条第2項に求められている事項では本人の権利保護として不足ではないか．具体的は，提供先を特定せず，学術研究や医療技術の開発の目的で提供するとし，本人への対価なく，情報1人当たり数万円といった高額で販売されている場合がある．他方，情報銀行の仕組みは提供先及び個々の利用目的をより具体的に特定しながら自己決定権と対価を保証する仕組みであり両者には大きな開きがある．
例えば，第三者提供が本人へのサービス提供（利便性を含む）を目的としたものでない場合は提供先での利用目的又は提供先の特定，提供元事業者が受ける利益について説明すること，提供されるものと同じ情報を本人に無償で開示することを求める．
【個人】

364

意見11 （該当箇所）
40-41ページ 第３章 第４節5.検討の方向性 （3）「技術の進展に伴うデータ利活用への対応（意見）
国内独自のガイドラインは必要ないと考える。
（理由）
AIやIoT技術の進展のスピードを考えると日本独自の固定的なガイドラインを作成することは、将来のイノベーションの足かせになるおそれがあるため。
【在日米国商工会議所】

129/173365

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（３）技術の進展に伴うデータ利活用への対応
・具体的な検討事項を示していただきたい。
【一般社団法人 全国銀行協会】

366

第４節 データ利活用に関する施策の在り方 ５．検討の方向性（３）技術の進展に伴うデータ利活用への対応（３つ目の○）・「法解釈を固定化」とあるが、ガイドラインはあくまで方向性に過ぎず裁判所の解釈を固定化するものではなく、更に、方向性が明確になることで事業者の判断が容易になり、イノベーションが促進される面が大きいことも踏まえれば、あえて解釈固定化の側面に本文書で言及する必要はなく、「が、一方で、技術の進展が早い中、法解釈を固定化することで、イノベーションを阻害するおそれがあるのでないかという声もある。」という記載部分は削除することが望ましい。
【一般社団法人 全国銀行協会】

367

[意見1]
（該当箇所） 全体（意見）
個人情報保護法の改正に向けた議論おいては、医学の発展及び公衆衛生の向上や国民ニーズ、事業者の実務負担、更には欧州の取り組み等の幅広い観点から、「個人プライバシーの保護とデータ主導型社会での利用のバランスの取れた規制」、「規制の明確化と全国の主体による取り扱いの差異の解消」、「EUをはじめとした先進諸国との制度調和」に視点を置くとともに、製薬産業を含む産業界の意見を取り入れながら検討を進めていただきたい。
【日本製薬工業協会 産業政策委員会】

368

［意見2]
（該当箇所）
P37: 第3 章第4 節 4. ターゲティング広告の前（意見）「 利用目的に応じた検討（統計処理、科学的利用など）」の項目を追加していただきたい。
具体的には、当該項目で「第三者提供先の利用目的が本人の特定・到達を含まない湯合（例えば、統計処理、科学的利用等）には、要配慮個人情報を含む場合であっても、オプトアウトによる第三者提供を可能にする」などの規制緩和を要望する。
（理由）
個人情報の利用には、本人の特定を伴う用途（本人にダイレクトメールを送付する等）と、本人の特定・到達を伴わない用途（統計処理、AI・ 機械学習の開発に用いる等）がある。
新薬開発を志向した健康医療データ利用目的は、後者にあたる。すなわち、健康医療データは、統計情報の作成など科学的な分析に用いられ、本人を特定が目的ではない。以下の理由から、個人情報の取り扱いとして、規制を緩和することが可能ではないか？
‣本人の特定・到達を伴わない用途で複数の個人情報取扱事業者から第三者提供を受けてデータを取得する場合は、安全管理措置として仮名化（容易に本人到達可能な氏名住所等情報を削除）して提供を受けるのが一般的と考えられる。この場合でも、提供元において当該データは個人情報であり、当該データを第三者提供する場
合本人同意が原則必要とされている。しかし、受領者にとって当該データは個人情報に当たらないと判断することが可能とされている。
‣統計情報は個人情報に当たらないため、統計処理は個人情報の利用目的に含まれないとされている。
【日本製薬工業協会 産業政策委員会】

130/173

369

第 4 節 データ利活用に関する施策の在り方
5 検討の方向性（３） 技術の進展に伴うデータ利活用への対 応【意見】
事業者の便益を中心に個人情報保護法制の検討を行うことは一貫した政府の立場であるが、少なくとも技術の進展に伴う人権問題という視点を持ち、トレードオフの利かない中核的な権利は何かという明確な原則を確立しなければ、個人の利益を強調することで権利を放棄させるトレードオフを助長するだけであることに留意すべきである。
【特定非営利活動法人 情報公開クリアリングハウス】

370( 4 ) 技術の進展に伴うデータ利活用への対応
総論において述べたように，当協会は，個人情報保護法においては，個人に関連する情報の取扱いに関する適法な外縁について明確化するべきであると考えており，
ぜひ，技術の進展に伴うデータ利活用における法解釈のグレーゾーンを排除することを検討いただきたい。
たとえば，カメラ画像のマーケティングでの利活用における承諾を取る方法等について，一部，指針やガイドラン，参考事例集と位置づけられるものが公表されているものの，実務的には十分とは言い難く，適法となる実態が明確とはいえないことである。
この点，「ガイドライン等での法の解釈の明確化を求める意見もあるが，一方で，技術の進展が早い中，法解釈を固定化することで，イノベーションを阻害するおそれがあるのではないかという声もある」(40頁）との記載があるが，「法解釈の固定化によ るイノベーションの阻害」という懸念に関しては，「アップデートの方法
まで組み込まれた法解釈の仕組み（具体的にはガイドラインの改定等）」を制度的に設けるという対応によって容易に避けうるものであり，時点ごとの「法解釈の固定化」自体がイノベ ーションを阻害するものではないことは自明である。
【一般社団法人 日本広告業協会】

371【意見要旨】( 4 ) 技術の進展に伴うデータ利活用への対応
技術の進展が非常に早く、また新たな技術を用いたサービスも矢継ぎ早に提供されていることを鑑み、実務の実態を踏まえながら、ガイドライン等の充実・見直しを柔軟に行っていくべきであると考える。
５．検討の方向性(３) 技術の進展に伴デうータ利活用への対応(p.40)
技術の進展が非常に早く、また新たな技術を用いたサーピスも矢継ぎ早に提供されていることを鑑み、実務の実態を踏まえながら、ガイドライン等の充実・見直しを柔軟に行っていくべきであると考える。
中間整理は、「産業界からは、ガイドライン等での法の解釈の明確化を求める意見もあるが、 一方で、技術の進展が早い中、法解釈を固定化することで、イノベー
ションを阻害するおそれがあるのではないかという声もある。ガイドライン等については、この両面を踏まえつつ、委員会として、産業界からの意見を含め、広く継続的に意見を聴いていく必要がある」と述べている。
確かに、法解釈を固定化することでイノベーションを阻害するおそれがあるかもしれないが、グレーゾーンが広ければ広いほど事業者の判断が難しくなり、各事業者・業界団体ごとに異なる解釈を許すおそれがあるといった側面もある。結果として、ガイドライン等では明確になっていない部分について「暗黙の了解」のようなものが事業者の間で生まれ、それを知っている事業者とそうでない事業者で個人情報の利活用に差が出てしまうことも事実である。したがって、ガイドライン等のさらなる明確化と、具体例に落とし込んだ法令等の解説がさらに必要であると考える。場合によっては、中立的な機関が取りまとめ役を担うことも一案であろう。
【株式会社メルカリ】

131/173

372【意見の対象】
第 3 章「第4 節 データ利活用に関する施策の在り方」「5 ( 3 ) 技術の進展に伴うデータ利活用への対応」【内容】
データ利活用に限定されたグレーゾーン解消制度や、サンドボックス制度などを導入して、データ利活用の促進に向けた支援制度を策定していただきたい。
【理由】
技術の進展に伴う環境変化が早いためガイドラインの明確化ではイノベーションを阻害するという側面はあるものの、適法性が不明確な状況においては、事業者側はデータの利活用を控えざるを得ない状況である。近時の報道等でも、データ活用に関するネガティブな報道が多くなされており、国民の中でも企業のデータ活用に対して一部否定的な風潮がある。こ れでは技術の進歩が妨げられ、政府の進めるSOCIETY５.O とも整合性が取れない事態が生じる。グレーゾーン解消制度やサンド
ボックス制度な導入することにより、国としても、積極的的に利活用を促進する姿勢を示していただきたい。
【経営法友会】

373

3 ヘルスケアデータの取扱い等、公益目的でのデータ利用のルール整備(1) 該当箇所
技術の進展に伴うデータ利活用への対応 (40頁）次世代医療基盤法 (34頁）等(2) 意見
現行個人情報保護法における例外規定の位置づけから、公益目的に関しては、GDPR と同様に、適法な取扱いと位置づけるべきである 。また、その際、利用停止権などとの関係も含めて検討するべきである。
仮に現行の例外規定から変更しないのであれば、特にヘルスケアデータに関し、情報の種類によるのではなく利用目的中心での利活用推進を行うため、個人情報保護法の例外としての位置づけを明確にした上で、特別法を定めるべきである。
(3) 理由医学や医療でのデータ利活用を含む公益的なデータ利活用に関しては、現行個人情報保護法16条、17条、23条、76条等の例外規定および、「医療分野の研究開発に資するための匿名加工医療情報に関する法律」（次世代医療基盤法）を含めた個別法による対応がなされている。
いわゆる「個人情報保護法制2000個問題」は医療など一部の分野の問題であって、個別法で解決すべき（第99回個人情報保護委員会議事録９ページなど）との意見もあり、個別法の充実によりヘルスケアデータの適切な取扱いがなされる可能性もある。しかし、次世代医療基盤法に定義される「医療情報」（次世代医療基盤法２条１項）よりも広範な、例えば、日常生活から得られるセンシングデータ等も含めて取扱うことが今後は重要となるため、個人情報保護法一般において規定することの意義も大きい。
医療等情報に関し、感染症対策、災害対応、高齢者見守り、治療効果検証等、公共の福祉のため（ないしは、医学の発展や公衆衛生の向上のため）に特に必要な場
合に、本人同意がなくとも適法な提供・取得を可能とすることに意義がある場合は複数想定され、現行法において本人の同意取得が困難であることを要件としていることが障害となっていることもある。また、２の意見で述べたように 、本人の同意以外の方法での権利保護もあり得る。
GDPRにおいても一定の要件での公益的な利用が可能 (６条等）となっていることをふまえ、現状の例外規定から、本人同意以外の適法化根拠として規定することも検討すべきと考える。ガバメントアクセスに応じるかに関して、法令のみを根拠として適法とすべきではないという見解もあるが、公益的な利用に際して比較衡量が適切になされるような仕組みを検討すべきである。
【世界経済フォーラム第四次産業革命日本センター】

132/173

第３章第５節関係

ペナルティ

No.

提出意見

374

●罰金
→ペナルティの引き上げについて産業界が反対していると言っても、日本の事業者がＧＤＰＲに違反した場合に、当該事業者がＥＵに拠点を置かず日本国内のみにあった場合、ＥＵの監督機関が当該事業者から制裁金を取り立てるためには、個人情報保護委員会が仲介することになるのではないか。そうであった場合、逆にＥＵにしか拠点の無い事業者が日本の個人情報保護法に違反し個人情報保護委員会の指導・勧告も無視した場合にＥＵ当局に協力してもらって、最大30万円を取り立ててもらうだけで本当に良いのか。 産業界が反対しているのは、無理解からのものではないのか。
【株式会社シーピーデザインコンサルティング】

375

項目
第５節 ペナルティの在り方 47ページ 罰則の強化について
意見「課徴金などの罰則強化で創意工夫や技術革新の果実を国民が十分に享受できなくなる可能性がある」との指摘は当たらないので、罰則などの強化を行う方向で検討すべきである理由
以下の理由により、「課徴金などの罰則強化で創意工夫や技術革新の果実を国民が十分に享受できなくなる可能性がある」との指摘は根拠を有さないと考えられる。
・そもそもとして個人情報保護法は、個人情報を扱う事業者が等しく遵守すべきものであり、創意工夫や技術革新があるから遵守しなくても良いという性質のものではない。
・現状の罰則を強化することによる抑止力は適切に個人情報を管理することができない事業者に対して作用するものであり、そのような事業者は市場から排除されるべきである。
・新サービスにおける法解釈の問題などによる萎縮は、罰則の強化とは関係なく発生する問題であり、ガイドラインの明確化や法解釈についての相談窓口の拡充などにより改善すべきである。
また、個人情報を適切に扱わない事例が報道される例も多くなっており、罰則を強化する必要性は増していると考えられるため罰則の強化や課徴金の導入する方向で検討すべきである
【個人】

376

２ 「第５節 ペナルティの在り方」【提案】 ５０００件要件の撤回を前回の改正で行ったが、改めてこうした件数による規制の適用の有無及び（適用される場合の）件数に応じた義務の重さのグラ
デーション付けを検討すべき。
【理由】 ２０１８年に成立したCalifornia Consumer Privacy Actでは、５００００人要件や売上要件といった要件で適用の有無を分けている。また、２０１８ね
年冬に提出された連邦プライバシー法案の一つでも、同様の提案が米国連邦上院議員からされているところである。こうした世界的動向を鑑みると、実は、日本の旧法下の５０００件要件は先進的な取り組みであった可能性がある。
そこで、あらためて、５０００件要件を導入すること、あるいは、売上要件を導入することを再検討いただきたい。
とりわけ、FANGやGAFAと呼ばれる先進的テクノロジー企業が日本では生まれなかった原因の一つとして、米国に包括的な個人情報保護規制がなかったことも理由の一つと考えられる。そこで、データの利活用による産業活性化の促進という観点からも、再導入を検討していただきたい。
また、もし売上要件を導入する場合は、連結ベースか単体ベースかという点についても検討していただきたい。
【匿名】

133/173377

２．45頁 ３．我が国の法令に基づき賦課される金銭の性質〇意見内容
２．事業者に法令違反があった場合、ミス（事故）であっても大きな罰則を与えるよう罰則規定を改正してください。
〇意見の根拠理由
２．情報が大きな利益につながっている現状を鑑み、事業者のやり得にならないよう、また事業者への抑止力となるよう、厳罰化を望みます。
【個人】

378

第5節 ペナルティの在り方【意見7（P46）】4.検討の方向性
・故意に個人情報を目的外利用したり、流出させたりするような悪質な事業者に対しては法執行を強化するべきと考える。
他方、ウェブサイトの脆弱性をついた不正アクセス等の被害を受けた事業者に対しては、リスクに応じた改善指導等は妥当であるが、不正アクセスを行った者に対する法執行こそを強化すべきであり、被害を受けた事業者に対する過度な法執行は行うべきでないと考える。
上記のように、現行の法的枠組みの中で意図的な非遵守に対する法執行を強化すべきであり、課徴金制度導入や罰則の引上げは個人情報を適切に活用する事業活動の委縮を招き、ひいては国民生活の向上を阻害するおそれがあるため、慎重に検討するべきである。
また、個人情報保護委員会による事業者に対する報告徴収・立入検査、指導・助言、勧告・命令等の措置のうち重要なものについては、事業者における意識向上のためにも、その概要を公表するよう希望する。
（理由）
・一部の不適切な事業者による意図的な非遵守を是正することによって、個人の権利利益を保護するとともに、個人が事業者に対して抱く不安の軽減に繋がるため。
また、課徴金制度導入や罰則の引上げは個人情報を適切に活用する事業活動の委縮を招き、ひいては国民生活の向上を阻害するおそれがあるため。
【JEITA個人データ保護専門委員会】

379[意見12（p46～47）]
課徴金の導入や罰則の引上げについては極めて慎重に検討すべきである。
(理由)
・中間整理に記載のとおり、個人情報の不適切な取り扱いがあった場合、個人情報保護委員会の指導等により違法状態は是正されているのが実態であり、勧告・命令や罰則の適用事例は存在しないことから、課徴金の導入や罰則の引上げ等のペナルティ強化を行う必要性は希薄である。
・ペナルティの強化により、企業の個人データ活用を委縮させる懸念がある。
【(一社)日本経済団体連合会情報通信委員会企画部会】

380（該当箇所４６ページ）
１１．ペナルティの引上げについては、実務における実態等を踏まえて慎重に検討していただきたい 。
（理由）(1)不適正な個人情報の取扱案件については、個人情報保護委員会からの指導等により違法状態が是正されている実態があるため。
(2)ペナルティを引上げることで個人情報の管理コストが増加し、個人情報を活用した新たな事業への投資が消極的となるため。
【一般社団法人 日本クレジット協会】

381（第3章第５節４ ペナルティの在り方）
ペナルティの強化は、悪意ある情報の取扱いの阻止に対する効果が高いため、基本的な方向性として賛成である。ただし、その対象はあくまでも悪意のある事業者及び故意・重過失により大規模な漏えい等が発生した事業者に限定されるべきであり、更に課徴金制度についてはエンフォースメントでは実効性が得られない場合に限られるべきことに留意し、過失等による形式的な違反への適用とならないようにすることが重要である。
【一般社団法人モバイル・コンテンツ・フォーラム】

134/173

382

・意見１２
該当箇所：４．検討の方向性（課徴金）（46頁）
意見：課徴金の導入や罰則の引き上げ等、ペナルティの強化については、慎重に議論されたい。
理由：レピュテーションリスクに対する委縮も含め、我が国の企業は、個人データの利活用に対し、非常に慎重な状況であります。この状況において、ペナルティを強化することは、さらなるデータ活用機運の冷え込みを助長する一方、そのインシデント抑止効果は疑問です。法制化の目的と想定効果を明確にし、その実現性を見据えた慎重な議論を求めたく。
【日本ユニシス株式会社】

383

個別意見 中間整理第3章第5節関係・課徴金導入については、国内企業による法律の遵守状況の実態をみると、立法するまでの事実がないため、慎重な議論が必要
・なお、海外企業への域外適用・執行の確保は重要【一般社団法人新経済連盟】

384

７．課徴金制度について、導入は不要と考える。我が国の現状を見たときに、果たして課徴金制度を導入することが必要な問題が発生しているとまでいえるか。また、諸外国の例について中間整理では言及されているが、課徴金制度を導入したことによるメリット・デメリット両面まで分析されているとはいえず、より慎重な検討を要すると考える。
【一般社団法人Fintech協会】

385

ペナルティについては、金額が少額で、悪質な事業者に対する抑制力にはなり得ないと感じました。課徴金の導入や罰則の引き上げ等の強化が必要ではないでしょう
か。
【個人】

386

このたびの「中間整理」の取りまとめに敬意を表するとともに、個人情報保護法制をより実効的に設計及び執行する観点からは、以下の各点について更に検討されるべきである。
第４ 課徴金、ペナルティの引き上げについては導入の方向で検討すべきである
課徴金の導入、ペナルティの引き上げ（47頁）については、導入すべきである。
その際、ペナルティが絵に描いた餅にならないよう、執行面での強化も併せて実施されるべきである。例えば、平成31年3月に発生した「破産者マップ」事件は、運営者の連絡先等が不明であったこと等から、民事上の削除請求による対応よりも、貴庁の緊急命令発出による抜本的解決がなされるべき事案であった。同事案における貴庁の速やかな行政指導の発令には敬意を表しつつも、今後もインターネットを通じた個人情報の違法利用においては同様の事態が考えられる。そのため、個人情報の本人の保護の見地からは、より一層の執行体制の強化を求める次第である。
【個人情報保護法改正を検討する弁護士の会】

387

９．46～47ページ：第３章 第５節 ペナルティの在り方
課徴金制度の導入などのペナルティの強化については、「現状においては、不適切な個人情報の取扱いがあった場合、捕捉された案件に関しては、委員会による指導等により違法状態が是正されているのが実態であり、勧告・命令や罰則の適用事例は存在しない」（46ページ）のであるから、現行の罰則等で不十分であるとする立法事実はない。また、特にメディア事業者や広告事業者、広告主企業においては「消費者からの信頼を失うことのコストが大きい」（46ページ）ことを十分に認識して安全管理の対策を講じ、適正な利活用を行っている。しかしながら、ペナルティ強化となれば、さらなる対策への投資や万が一のリスクを考慮して、利活用そのものを萎縮させる懸念がある。罰則の引上げは極めて慎重に検討すべきであり、課徴金制度の導入には反対である。
【一般社団法人日本インタラクティブ広告協会 】

135/173

388

6. 46～47ページ：第３章 第５節 ペナルティの在り方
課徴金制度の導入などのペナルティの強化については、「現状においては、不適切な個人情報の取扱いがあった場合、捕捉された案件に関しては、委員会による指導等により違法状態が是正されているのが実態であり、勧告・命令や罰則の適用事例は存在しない」（46ページ）のであるから、現行の罰則等で不十分であるとする立法事実はない。また、特にメディア事業者や広告事業者、広告主企業においては「消費者からの信頼を失うことのコストが大きい」（46ページ）ことを十分に認識して安全管理の対策を講じ、適正な利活用を行っている。しかしながら、ペナルティ強化となれば、さらなる対策への投資や万が一のリスクを考慮して、利活用そのものを萎縮させる懸念がある。罰則の引上げは極めて慎重に検討すべきであり、課徴金制度の導入には反対である。
【公益社団法人 日本アドバタイザーズ協会】

389

３．第3章第5節【46頁】
課徴金制度の導入については、主に次の2点により反対です。
・日本の法体系においては課徴金制度は経済的利得相当額を基準とする金銭的負担という形で設計をされているものと認識しています。この点、個人情報保護法の個
人情報取扱事業者は、定義上、非営利団体も含めた広い対象が含まれるものであり、性質上、経済的利得というものは観念しにくいものと考えられます。
・課徴金制度のように不利益処分に係る制度を創設する際には、その根拠となる立法事実が厳に求められるものと考えます。この点、行政指導により法目的は達成されている勧告・命令に関する実績が無い現時点においては、比例原則上の観点から、課徴金制度を導入するに足る立法事実に欠けるものであると考えます。
【日本証券業協会】

390

意見12 （該当箇所）
43-46ページ 第３章 第5節 ペナルティの在り方（意見）
課徴金と罰則の引上げは導入しないでいただきたい。
（理由）
中間報告書記載のとおり、不適切な個人情報の取扱いがあった場合には、個人情報保護委員会の指導などにより是正されており、委員会の勧告や命令、罰則が適用された事例は発生していない。従って、課徴金の導入や罰則の引上げといったペナルティ強化は必要ないと考えるため。また、ペナルティの強化は、事業会社による個
人データの利用を減少させ、事業会社によるイノベーションを阻害することも懸念されるため。
【在日米国商工会議所】

391

5 . ペナルティの在り方（中間報告 第 3 章 第 5 節）
「現行のペナルティの体系では実効性が不十分な事業者を念頭に，ペナルティの強化が必要との議論がある」(46 頁）ようである。しかし， 現実には， 不適法な個
人情報の取扱いがあった場合においても，勧告・命令や罰則の適用ではなく，「委員会の指導等より違法状態が是正されているのが実態」(46 頁）であり， このような実態に特段の問題は見られない。
これは， 日本の事業者においては，自社のレピュテーションリスク等を回避する傾向が強いからであると思われる。ここで仮に，ペナルティの強化によって積極的に外部への公表を伴う勧告・命令や罰則を適用することで事業者の個人情報保護法の遵守を促そうとした場合，公表によってレピュテーションリスクが顕在化してしまう以上， かえって日本企業特有のコンプライアンスヘのインセンティブが効きづらい事態となり，むしろ企業による個人に関連する情報の取扱に弊害を及ぼすとも考える。よって拙速な課徴金の導入や罰則の強化の必然性を見出すことは必ずしもできず，引き続き慎重な検討を要するものと理解している。
【一般社団法人 日本広告業協会】

136/173392「第５節 ペナルティの在り方」について
個人情報保護法違反に対する罰則や救済措置は、当該違反から生じる損害に対し、効果的かつ比例的であるべきです。よって、現行の個人情報保護法における罰則を変更すべきか否かの議論は、日本の状況を鑑みて、効果的・比例的であるかを検討しなければならないという中間整理の考え方にBSAは同意します。中間整理に記載されているように、日本においては、貴委員会から個人情報保護法に違反している可能性がある旨の通知又は警告を受けた多くの企業が自ら違法状態を是正していることに鑑みれば、新たに課徴金を導入したり、罰則を引き上げる必要はないと考えます。
【The Software Alliance (BSA)】

393【意見の対象】
第 3 章「第5 節 ぺナルティの在り方」【内容】
課徴金の導入や罰則の引上げなどのペナルティ強化は、事業者の過度の萎縮を招く恐れがあり、イノベーションの進展に影響を及ぼしかねないことから、見送るぺき
である。
【理由】
個人情報保護法が施行されて以来、命令違反による刑事罰が科された事例が全く存在しておらず、委員会による指導等により違法状態が是正されているという実態があること、大多数の事業者はレピュテーションリスクも考慮し、法の遵守に努めていること等に鑑みれば、罰則の強化、課徴金制度を導入する必要性のある立法事実はないと思料される。また、中間整理案第 2 節にあるとおり、漏えい案件の過半が事業者等の不注意によるとする実態から見て、ペナルティの強化は不注意による漏えい者にも適用されることとなるところ、これら不注意による漏えいについて行政指導により改善指導を講ずれば再発防止が期待できることからすると、過度の規制となるおそれがある。事業者による自主的取組を促進する見地からは、委員会は事業者の法令違反行為を公表するにとどめ、市場や消費者の裁定に委ねる、というのもエンフォースメントのひとつの在り方と思料する。仮に導入するとしても、例えば、漏えいした場合においても、事実を公表したり、本人に対して謝罪を行うな
ど適切な対応を行った場合は減免するなど、当該事業者のみならず、各企業において同様の事案を再発しないような制度設計（当該漏えい等が生じた原因等を分析し、公表することで各企業の自主的取組を促す仕組み）にすべきであ る。
【経営法友会】

394

３．次に本資料43頁（２）監督の状況によれば、委員会では個人データの漏えい事案や不適切取扱い事案を把握し、立入検査、報告徴収、指導、助言を実施しているが、本法の平成27年改正以来昨年末までに委員会が勧告、命令の事例及び個人情報取扱事業者に対して本法に基づく罰則が適用された事例はないということである。
これは個人情報取扱事業者の理解と協力の存在とともに、当局の業務執行が適切である結果と考えます。なお、個人情報取扱事業者の故意又は重大な過失によって個
人情報の漏えい等の不適正な行為があったときは、是正と被害者の救済、更にはコンプライアンスの向上のため行政処分、罰則の適用も止むを得ないので躊躇わずに職権の発動が必要と考えます。
【個人】

137/173

第３章第６節関係

域外適用

No.

提出意見

395

２ 第６節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方」について【意見】 個人情報保護法の域外適用がなされる外国会社に対して、代理人（GDPR上の用語ではrepresentative）を日本国内に設置するよう改正すべき。また、外国会社に対してのみならず、その代理人に対しても個人情報保護委員会が執行できるように法改正すべき。
【理由】
・ GDPRと同等の水準の保護がされていると認定された以上、GDPRと同様の規律を日本の個人情報保護法にも設けるべき。
・ 会社法第８１７条第１項では、「外国会社は、日本において取引を継続しようとするときは、日本における代表者を定めなければならない。この場合において、その日本における代表者のうち一人以上は、日本に住所を有する者でなければならない」と定めている。個人情報保護法の域外適用を定める第７５条の適用のある事
業者はここでいう「外国会社」に該当するのが通常であるはずであり、「代表者」も会社法上要求される以上、それを個人情報保護法上の代理人とすれば、現行法の規律の若干の改正で上記の意見の目的が達成できる。
・ 外国会社に対する執行を現実的に可能とするためにも、代理人への執行を可能とすべきである。また、代理人に対する執行も、本人（＝外国会社自体）に対する執行が空振りに終わった場合に限らず、本人に対する執行手続を取らずともいきなり個人情報保護委員会が代理人に対して執行できるようにすべき。
・ ただ、外国会社でも、親会社が日本法人である場合には、代理にの設置義務は不要とすべき。なぜならば、親会社に対して個人情報保護委員会が指導することは実務上可能であるから（言語も日本語でいいし、日本国内に親会社がいる以上、物理的にも指導。助言等は可能）
【匿名】

396

・意見１３
該当箇所：３．検討の方向性（52頁）
意見：ＧＡＦＡに代表される海外のプラットフォーマーが保有する個人データは膨大なものがありますが、海外事業者による漏えい事案発生時には、現状では我が国の法規制が効力を持ちません。諸外国や各種国際団体との協調により、この課題を解決していくことが、我が国発の新規プラットフォームビジネスにとっても有効であり、積極的な対応に期待します。
【日本ユニシス株式会社】

397

個別意見 中間整理第3章第6節関係・外国企業に対して、個人情報保護委員会は、命令の権限がなく、罰則の適用もできない。
注
新経済連盟は、越境経済下における国内企業と国外企業の規制面でのイコールフッティングを求める観点から、全事業法令等において域外適用と執行を確保するための一括整備法令の制定を提案している。
・海外企業への法適用と法執行を確実に担保する枠組みを構築することが必要。国内取得個人情報の国内サーバ保存義務付け（データローカライゼーション）も含
めて検討することが必要。
【一般社団法人新経済連盟】

138/173

398◆該当箇所３
第３章・第６節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方
P53 （２）域外適用の在り方 ２～５ポツについて【意見】
法執行の観点における国内事業者と海外事業者との間の統一性を図るために所用の法改正が行われることが望ましいと考える。
【理由】
日本国内に向けてサービスを提供している海外事業者が多く存在する現状に鑑みれば、利用者保護の観点から国外にある事業者に対する執行を十分に担保する必要性が高いものと考えられるため。
【LINE株式会社】

399（該当箇所）「域外適用の在り方」（53頁）に対する意見（ご意見）
個人情報保護法の3年ごと見直しに際し、外国事業者に同法が域外適用される場合には、日本における代理人の設置義務や日本国内にデータを保存する義務を設け、外国事業者に対する法執行を容易にする措置を講じるべきである。
また、外国事業者に対し個人情報保護法を遵守させるためにも、課徴金制度も併せて導入し、日本の個人情報保護法に違反した場合の制裁の程度を大きくすることによって、外国の事業者において同法を遵守せざるを得ないような仕組みを併せて設けることも引き続き検討すべきと考える。
（理由）「域外適用の在り方」（53頁）においても言及されているとおり、個人情報保護法においては、日本の行政機関が、外国の事業者に対して、報告徴収・立入検査や命令を行うことについて規定されていないが、外国事業者とのイコールフッティングの確保の観点から問題と考える。海外の法令を見ると、EU域内に代理人を設置する義務（EU一般データ保護規則27条）や中国国内にデータを保存する義務（中国サイバーセキュリティ法37条前段）を定めることにより、外国事業者に対する法執行を容易にする措置を講じている立法例が見られる。これに対し、日本の個人情報保護法は、同法の規律が外国事業者に対して及ぶ場合があることを定めているものの（同法75条）、その法執行を間接的に行うものとして外国執行当局への情報提供を定めるのみである（同法78条）。
【株式会社FRONTEO】

400

第５ 海外事業者に対して代理人等の設置義務を設けるなど、エンフォースメントを強化すべきである
さらに、海外事業者に対するエンフォースメントも強化すべきである。貴庁が平成30年10月に海外の巨大プラットフォーム事業者に対して行った行政指導は、社会に与えたインパクトも大きく敬意を表するところであるが、当該事案が有する影響の甚大さに鑑みると、さらに踏み込んだ法執行も検討されるべきである。
「中間整理」においては、「ＥＵのＧＤＰＲでは、域外適用の円滑な遂行の観点から、代理人等の設置義務を置いている」（52頁）との言及も見られるところ、制度設計としてはこのような代理人等の設置義務についても積極的に検討すべきである。
【個人情報保護法改正を検討する弁護士の会】

139/173

401

意見13 （該当箇所）
48-52ページ 第３章 第6節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方（意見）
域外適用の対象となる条項と強制措置手段の拡大を検討するのではなく、より実用的で相互運用が可能な取組みを模索することを検討していただきたい。事業会社は広く共有されたデータ保護の原理に基づく一貫した管理規定を望んでいる。各国は統一されたプライバシー規制の枠組みを採用し、重複や矛盾は可能な限り避けるべきである。当局は、対立と予想できない要求を避けるべきである。これは、非効率性とサービスのバルカンゼーションをまねき、消費者期待を混乱させる。特に、データローカリゼーションは、セキュリティ、サービスの信頼性、事業の効率性を損なうこととなる。プライバシー規制は、国境にとらわれることなくデータの流通自体に注目して形成されるべきであり、国境を越えたデータ流通の仕組み、業界基準、組織間の相互協力の仕組みを支援するものとなるべきである。
（理由）
現行の個人情報保護法には、十分な域外適用の条項（第75条）がすでに盛り込まれている。世界中の国々が域外適用を始めれば、各国は自国にとって有利となるように他の事業者への法執行を始め、世界秩序が妨げられるため。加えて、外国事業者への執行は、現在の法律（第78条）で保証されており、各国の執行当局との協力が可能である。中間報告書記載のとおり、外国事業者に対する指導などを行っても改善されない状況というのは発生していない。
【在日米国商工会議所】

402「第６節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方」について法の域外適用法の地域的な適用範囲に関して、データ保護フレームワークは、(1) 明確に居住者を対象とし、(2) 処理対象である個人データが、収集時に国内に所在するデータ主体から意図的に収集されたものであって、かつ(3) 現実かつ実効的な活動を行うことを可能にする安定した仕組みに基づいて国内に設立された組織が収集している場
合の行為のみを規制すべきであるとBSAは考えます(BSAベストプラクティス参照）。外国の主権との関係、日本における個人情報保護の実効性、他国が独自の法律を日本企業に対して課して執行を行い、日本企業の事業活動に制限がかけられるリスク、企業が二か国以上の異なる法律の遵守を命じられて国際的に大きな混乱を生じるリスクを鑑みれば、個人情報保護法の現在の範囲を超えて域外適用の拡張を行わないことを提言します。
中間整理に記載された「国内取得個人情報の国内サーバー保存義務付け」という意見については、中間整理にも問題意識が示されているとおり、BSAは、このような提案は、世界貿易機関（WTO）におけるデジタル貿易に関する日本政府の立場に反し、環太平洋パートナーシップに関する包括的及び先進的な協定（CP-TPP)における日本のコミットメントと不整合になり得ると考えます。更に、上述のとおり、個人情報保護の実効性は、データが保管され処理される物理的な場所とはほとんど関係がありません。むしろ、データのセキュリティ及び個人情報保護は、データ処理者に移転するデータに対するデータ管理者のアカウンタビリティを含む、データ管理者が適用する技術、システム及び手順の品質に依存します。
BSAは、データローカライゼーション要件の導入には強く反対し、このような政策は、個人データの保護強化という政策目標の達成に対して効果的ではなく、WTO及びCP-TPPにおける日本のコミットメント、更には安倍首相によって示されたDFFT（データ・フリー・フロー・ウィズ・トラスト）のビジョンと矛盾し、世界的なデジタ
ル貿易の推進における貴委員会のリーダーシップを損なうことになると考えます。
BSAは、貴委員会が、引き続き個人情報保護制度の国際的調和及び相互運用性並びに関連する国際的執行機関間との協力を促進していただけるよう希望します。
【The Software Alliance (BSA)】

140/173

403

3. 検討の方向性(2) 域外適用の在り方( p p.53～54)
中間整理に記載のとおり、個人情報保護法の域外適用については、平成 27 年改正法によって、法の適用関係が明確化されている。また、同法の執行については、同じく中間整理に記載のとおり、外国主権との関係を踏まえながら、「外国の事業者に本法の義務規定に違反する行為があると認められ、指導·助言又は勧告を行っても改善されない等、より強力な措置をとる必要がある場合には、委員会が、個人情報保護法に相当する外国の法令を執行する外国の当局に対して、その外国の法律に基づく執行の協力を求めて（第 78 条）、実効性を確保」することとなっている。
この点、中間整理には、「域外適用との関係で、国内取得個人情報の国内サーバ保存義務付けを求める意見等もある」との記載があるが、この主張、すなわち「域外」適用を行うために国内取得個人情報の国内サーバ保存義務付けを求めることは、論理が矛盾しているのではないかと思われる。
地理的適用範囲と代表者の設置との関係ではあるが、GDPR を例に挙げれば、第3 条第 1項で「本規則は、その取扱いがEU域内で行われるものであるか否かを問わず、EU域内の管理者又は処理者の拠点の活動の過程における個人データの取扱いに適用される」と規定しつつ、同第 2 項では、「取扱活動が以下と関連する場合、
本規則は、EU 域内に拠点のない管理者又は処理者によるEU 域内のデータ主体の個人データの取扱いに適用される」とし、2つのケースを規定しているところである。その上で、別の規定である第27 条において、第3 条第 2項該当時の代表者の設置義務を定めている。
この点、第27条第4項、前文第80項、並びにGDPRの地理的適用範囲に関するガイドラインによれば、代表者の設置は法適用を確保するためのものではなく、あくまでもEU域内に拠点を有しないがGDPRの域外適用を受ける管理者又は処理者によるGDPRの遵守を確保するために、処理に関連する全ての事項に関して監督機関やデータ主体とコミュニケーションを行うためのものである（これに加え、「代表者は管理者または処理者のGDPR 違反に際し執行手続に服するべき(should)」とされており、GDPR違反時の執行確保のためとも捉えうるところはあるが、解釈の余地がある）。
GDPR 第3条第2項を一般的に域外適用と呼ぶところ、「拠点とは、安定的な仕組みを通じて行われる実効的かつ現実の活動の実施を意味する」とする前文第 22 項を踏まえ、国内取得個人情報の国内サーバ保存義務付けは、むしろ「域内」適用を確保するための手段であると考えるのが相当ではないかと思料する。
ついては、域外適用のために国内取得個人情報の国内サーバ保存義務付けを求める意見に対しては、これが平成27年改正法によって明確化された法の適用関係をさらに明確化するものなのか、あるいは、現状の法の適用関係にいかなる問題があり、いかなる改善を求めるのか、適用（立法管轄権）と執行（執行管轄権）を明確に区別した上で説明する責任があると考える。
【参考：国際通商ルールからみた国内外企業間のイコールフッティングの整備】（2019年3月27日付弊社merpoliブログ記事）（内容は省略します。）
なお、国内外企業間の法「執行」の平等を確保するために、外国事業者に対し、日本国内に代理人を設置することを法令で求めるという主張については、前述のようにGDPRから示唆を得たものであるとみられるが、５月14日に公表された自民党「『令和』時代・経済成長戦略」にも同様の記載があるところである。これについては、内外無差別の観点から外国企業にも日本企業にも代理人を定める義務を課すことを想定していると理解しているが、外国企業が代理人設置義務を守るようにする
仕組みがなければ、絵に描いた餅になってしまう。
この点、日本の公正取引委員会が日本に拠点を有しない外国企業に課徴金納付命令を課した初めての事例としてブラウン管事件があるが、対象となった韓国企業は、命令が発出される直前に日本国内の代理人を解任したため、公示送達の手続を踏まなければならなかったようである（星正彦「法律が国境を飛び越えるー今、経済法の分野で起きていること ブラウン管カルテル最高裁判決を契機としてー」（経済のプリズム、No.165）(2018年２月）、p.54）。
結局、代理人設置義務が法執行の実効性を担保するためには、外国企業が進出する先のマーケット（この場合日本）が、撤退するには惜しいと思えるほどの魅力がなければならず、また、同マーケットにおける代理人を設置または維持し、監督官庁の命令等に真摯に従うほどの魅力がなければならない。代理人が外国企業の責任を負いうるほどの存在である必要もある。これらの条件が整わない限り、外国企業所在地国との執行協力が現実的な路線となるであろう。もっとも、外国との執行協力
に際しては、相互主義の観点があること、また時間と労力がかかることにも留意が必要である。
【株式会社メルカリ】

141/173

404【意見の対象】
第 3 章「第 6 節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方」【内容】
域外適用される外国企業に対して、代理人(represe ntative. 会社法817 条 1 項参照）の日本国内への設置を個人情報保護法上.も要求するよう改正するとともに、法人のみならず、その代理人に対しても、個人情報保護委員会が執行できるようにすべきである。
【理由】
GDPRと揃えて、日本においても、個人情報保護委員会による外国企業への執行を容易にする必要がある。外国会社への規制を実効化するためには、その代理人に対しての執行が可能な法制度とすべきであり、Guidelines3/2018 on the territorial scope of the GPPR (Article3) でも同様の考え方が採られている。なお、会社法
817条１項では、外国会社は代表者を日本に置くことになっているため、代理人制度もこの延長戦上で考えればよいと考える。また、代表者を設置せずに「日本において取引を継続して」いる外国会社に対しての指導監督を、法務省・検察庁と個人情報保護委員会で連携して進めていただきたい。なお、代理人を導入する場合には、外国企業であっても、日本にある親会社に対して日本の当局が連絡・指導できる場合には、日本での代理人設置は不要と考える旨明確化されたい。
【経営法友会】

142/173

第３章第６節関係

その他越境移転等

No.

提出意見

405

中間整理52ページの「ガバメントアクセス」について。
外国法人に個人情報取り扱いを委託する場合も個人情報保護法24条が適用されますが、「個人情報保護法第4章第1節に相当する内容を外国委託先と契約締結すればよい」ということになっていると思います。
ここで、国内法人の委託先が、外国法人に再委託しようとする場合、委託先と再委託先の間で個人情報保護法第4章第1節に相当する内容を契約締結すれば良いことになりますが、当該契約の内容と再委託先の国内法で相反する部分がある場合（再委託先の国内法が優先される場合）を懸念しています。
例えば、中国の国内法で、全ての国民や企業が国家の情報活動に協力する義務が規定されていますが、この規定が当該契約の内容より優先されるならば、個人情報保護法24条は効果がなくなるように思います。
個人情報保護法第4章第1節に相当する内容を契約締結していれば、どの外国であっても（再）委託できる、という規定はとても心配です。
外国によっては、契約内容より優先される国内法もあることから、・個人情報保護法第4章第1節に相当する内容を契約締結していれば（再）委託できるという外国を制限する、
あるいは、
・（再）委託において、個人情報保護法第4章第1節に相当する内容を契約締結していれば良いという規定を無くす、など、法令のハードルを少し上げるべきではないでしょうか？
【個人】

406

●外国にある第三者への提供の制限→外国にある第三者への個人情報の取扱いの委託に関して、もうそろそろ個人情報保護委員会として「標準契約」を提示してもらいたい。
【株式会社シーピーデザインコンサルティング】

407

P54（越境移転の在り方）
意見
域外移転については、国防や外交的視点も入れ、信頼できる相手とのデータフリーフローを進めて頂きたい。
理由
域外移転は、本人の意思（同意）の上で実施されるべきであるが、サービス提供の過程で第三国に個人データが移転されていることの説明がない、もしくは分かりに
くい説明になっていたり、規約の後出し的な変更で、本人が気が付きにくい「形だけの同意」を取得をしているケースを実体験として経験している。本人が認識のな
いまま同意してしまい、個人情報が海外に移転され、悪用される可能性も否定できない。また、一人一人の個人の情報であっても、その多くが悪意のある地域に流出
すれば、日本国としての外交および国防的な点でも不利に立たされることが起こり得、結果的に国が保障すべき国民の保護ができなくなる恐れもある。経済や学問の発展のために個人情報を移転する必要があるのは言うまでもないが、それはあくまで相手地域との「信頼のある対等な関係」の上でなされるべきであり、そうでない地域への適切性を欠く移転については厳格に取り締まるべきと考える。一方で、日本と対等な関係で、信頼をおいて協力して未来を歩んでいける地域とは、一定のルールのもと、データ流通が促進できるような仕組みを設け、経済や学問の進展を促進するのが良いと考える。
【個人】

143/173

408<個人データの委託元と委託先の責任分担等について＞
諸外国法制度や国際的認証制度、国際標準との整合性や実務上の課題をふまえ、「委託」にかかわる個人データ取扱上の責任関係を、委託元の一方向的な監督義務に加えて、受託側の責任範囲と順守すべき義務（報告と指示の遵守）を明示する方向が望まれる。
・個人情報保護法およびガイドライン（※１）においては、委託元から委託先への個人データの提供は、両者を一体のものとして取り扱うことにより正当化されているが、旧経済産業省ガイドライン（現在は廃止）では言及されていた「優越的地位にある者が委託元の場合、委託元は、委託先との責任分担を無視し て、本人からの損害賠償請求に係る責務を一方的に委託先に課す、委託先からの報告や 監査において過度な負担を強いるなど、委託先に不当な負担を課すことがあってはなら ない。」といった中小規模事業者への配慮が薄くなっている感がある。
・両者間の責任分担については、現状では委託側の監督義務と企業間の委託契約で任意に整理しているが、諸外国の法制度等では、個人データの管理者と処理者が本質的に異なる義務を負うと規定されているところも多い。（※２）。
・一気に処理者概念まで法制度に導入する必要はないが、委託元、委託先、再委託先それぞれの責任範囲を示すことにより、コンプライアンス上の混乱を回避しデー
タ主体の利益も守られる。
・諸外国から見ても現行法の「委託」の規定における責任分担がわかりづらく、協調的でない指摘も過去にあり（※３）、GDPR十分性の維持やCBPR認証（PRPを含む）の推進に向け、国際標準議論（*４）など自由なデータ流通における今後の日本の主導的役割を考える上で、国際間を含めた委託関係の再整理が必要ではないか。
（※１） 個人情報保護法ガイドライン（通則編） 3-4-3：次の（1）から（3）までの場合（（1）委託、（2）事業の継承、（3）共同利用）については、個人デー
タの提供先は個人情報取扱事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
（※２） GDPR「第４章 管理者及び処理者」や、APEC CBPRシステムにおける処理者向け認証PRPの国内の扱い,Linklaters法律事務所の各国法制度比較(
https://www.linklaters.com/)等。
（※３） 日本の十分性検討の過程においてEDPB(European Data Protection Board)が日本の個人情報保護法においてGDPR上の処理者の概念との整合性が曖昧である点を指摘”Opinion 28/2018 regarding the European Commission Draft Implementing Decision on the adequate protection of personal data in Japan”（※４） ISO/IEC 27018:2014、ISO/IEC 29100:2011 その他【（一社）情報サービス産業協会パブリックポリシー部会】

409

１ 第６節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方」について【意見】 GDPR第３条第１項に相当する規定を個人情報保護法にも設けていただきたい。
【理由】 個人情報保護法はGDPRと同等と認定されたわけであるから、GDPRの要求する保護水準に合わせていくよう法改正をすべきである。そして、GDPR第３条第２項（a）に相当する規定は現行法上にもあるものの、GDPR第３条第１項や第３条第２項（b）に相当する規定は存在しない。しかし、GDPR第３条第１項は、GDPR第３条
第２条ではカバーできない範囲もカバーしている（GDPRの「地理的範囲に関するガイドライン」案参照。現在パブリックコメントを経て当該ガイドラインの最終版を
EDPBが作成中）。そして、日本国内にある者に関する情報を保護する必要性は、GDPR第３条第１項の場合や第３条第２項（b）の場合にも認められると考えられるため、それらと同様の規定を日本の個人情報保護法に制定することを前向きに検討していただきたい。
※ GDPR第３条第１項：域内の拠点の活動に関連した処理活動への適用※ GDPR第３条第２項（b）：個人の監視活動への適用【匿名】

144/173410

第6節 法の適用の在り方及び国際的制度調和への取組と越境移転の在り方【意見8（P54）】（3）越境移転の在り方
・諸外国による過度なデータローカライゼーション規制に対し、日本政府として、国際機関と連携しながら、その緩和・撤廃に積極的に働きかけて頂きたい。
（理由）
・日本企業が、国内から海外への事業展開を加速する時代にあって、かつ、グローバルに進むデータエコノミーの時代にあって、自由なデータの越境流通は、事業面でも不可欠の条件と考えるため。
【JEITA個人データ保護専門委員会】

411[意見13（p52～53）]
・中間整理に記載のとおり、国際的な制度調和への取り組みを進めるため、個人情報保護委員会の国際交渉体制の強化に期待する。
・そのなかで、日本の事業者がEUから移転した個人データを米国の事業者に再移転する場合、再移転先の事業者が米国・EU間のプライバシーシールドに基づく認証を受けていれば、「補完的ルール」を不適用とするよう、EUへ働きかけるべきである。
(理由)
・EUから米国に直接個人データ流通させる場合には、「プライバシーシールド」の枠組みがある一方で、EUから日本を経由して米国にデータを流通させる場合、日本の事業者に、個人情報保護法に加えてEUからの要請に基づく「補完的ルール」に適合するための契約の締結等の負担を課すことは、日本企業のデータの越境流通への支障となる可能性がある。
【(一社)日本経済団体連合会情報通信委員会企画部会】

412[意見14（p53～54）]
海外事業者による規律に従った適切な個人情報の取り扱いを確保するために、外国執行当局との協力を着実に実施すべきである。
(理由)
・国内外事業者に対し、公平・公正な個人情報保護法の適用・執行を実現する必要がある。
【(一社)日本経済団体連合会情報通信委員会企画部会】

413[意見15（p54）]
・政府は、データの自由な越境流通に向けて国際的に調和のとれた制度構築を主導すべきである。
・その一方で、国家機密や安全保障、営業秘密など越境移転が望ましくないデータについては、WTOのGATSの規律を前提として、必要な例外が認められるべきである。
・中間整理に記載のとおり、外国政府による過度なデータローカライゼーション規制に対しては、政府が緩和・撤廃を粘り強く働きかけるべきである。
(理由)
・Society 5.0を実現するためには国境を越えて情報が自由に流通する環境の確保が大前提であるが、データローカライゼーションはデータの自由な越境流通を妨げる脅威となる。
【(一社)日本経済団体連合会情報通信委員会企画部会】

414[意見16（p54）]
個人データの円滑な海外移転に向けて、外国にある第三者への個人データの提供が認められる適法性要件の追加を検討すべきである。
(理由)
・外国にある第三者へ個人データを提供する場合（個人情報保護法第24条）、(1)第三者が法第24条に基づき指定される国に所在する場合、(2)第三者が「個人情報保
護委員会規則で定める基準に適合する体制」を整備している場合、(3)個人情報保護法第23条１項で認められる場合、のいずれかに該当すれば、事前の本人同意は不要となる。
・しかしながら、(1)については、現状「EU」のみであり、(2)については、基準に適合する体制を整備しているかどうかの確認が困難なケースが存在し、(3)については、法令に基づく場合等に限定され、結果的に事前の本人同意が必要となり、越境移転が困難なケースがある。
【(一社)日本経済団体連合会情報通信委員会企画部会】

145/173

415（第3章第６節３ 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方）
データ流通がグローバルに広がる中、ペナルティに限らず規律の適用が、海外の事業者に及ばないのであれば、公平な制度とは言えない。ペナルティ強化の如何にかかわらず個人情報保護法が真にイコールフッティングとなるよう、あらゆる方策を取る必要がある。
そのためには、個人情報保護委員会だけではなく、産学官が協力して幅広い対外活動を強力に推し進める必要があり、国際間で対等に会話ができる協議体のような組織の組成なども検討すべきと考える。
【一般社団法人モバイル・コンテンツ・フォーラム】

416

GDPR移転規制に関する大学・研究機関の十分性認定獲得の必要性について。
日本の国立大学や研究機関は、日本の民間企業と異なり、独立行政法人等個人情報保護法のもとにあり、GDPRの移転規制に対する十分性認定の適用範囲外となっている。
これにより、欧州と国際共同研究を実施するにあたり欧州研究者の個人情報取得や、欧州ブランチとの個人情報（大学生、大学院生、研究者、人事公募情報等）のやりとり（個人情報の越境移転）に関して、SCC契約を結ぶ必要が出てくる。SCC契約には、越境移転する情報の目的と種類等ごとに数十～数百万円の費用がかかり（欧州弁護士費用）、これが日本国民の血税によって賄われる。
すくなくとも、欧州との国際共同研究や個人情報のやりとりが活発に行われる（一部の）研究大学・研究機関群については、個人情報保護法と同様に移転規制に対して十分性認定の範囲となることが望まれる。
【個人】

417

（該当箇所）「越境移転の在り方」（54頁）に対する意見（ご意見）
米CLOUD法をはじめとする外国法令を根拠に個人データの提供を強制的に求められた事業者が個人データを第三者提供した場合、本人から同意を得ない限り、原則として外国にある第三者に対する提供に係る規制を定める個人情報保護法24条に違反することになり、事業者はいわば外国法令と日本の個人情報保護法との間で「板挟み」の状態に陥ることになる。かかる事業者負担を緩和するとともに、外国政府等からのガバメントアクセスに際し個人情報が事業者の責任において適切に取り扱われるよう個人情報保護法の3年ごと見直しに際して次のような措置をとることを求める。
1.外国政府等からのガバメントアクセスに関する解釈の明確化
個人情報保護法上、「法令に基づく場合」（個人情報保護法23条1項1号）の「法令」には、外国法令は含まれないと解されるが、外国政府等からのガバメントアクセ
スにかかる、事業者の負担を緩和するため、1）個人情報保護法23条1項1号の「法令」に『日本国が十分であると認める特定の外国の特定の法令』を含む旨を法文上明記するか、少なくともガイドラインやQ&Aにおいて明確にすること、もしくは2）ガバメントアクセスによる個人データの第三者提供は、個人情報保護法23条1項2号の「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」に該当する場合がある旨をガイドラインやQ&Aにおいて明確にすると共に、該当する場合について具体的に解説すること。
【FRONTEO】

146/173（該当箇所）「越境移転の在り方」（54頁）に対する意見
（ご意見）

418

419

2.外国政府等からのガバメントアクセスに関する罰則強化
国内事業者が外国事業者を委託先として用いて個人データの取扱いを行っている場合において、当該外国事業者が安易に外国政府等からのガバメントアクセスを許すことを抑止する仕組みを検討すべく、1）委託先の監督義務（同法22条）や外国にある第三者の提供に係る義務（同法24条）が適切に履行されなかったことに対する委託元事業者への罰則を強化すること又は2）少なくとも個人情報保護委員会による適切な監督措置（同法40条以下）の履行の徹底及び当該履行にあたってのガイド
ラインの策定等を行うこと。
（理由）
越境移転の在り方（54頁）において、「外国にある第三者への提供の制限との関係で、どうとらえるべきか検討することが考えられる」との指摘があるが、実際、国内事業者が、外国事業者を委託先として用いて個人データの取扱いを行っている場合に、当該委託先が、外国の政府・裁判所や企業等の求めに応じて、（しばしば安易に）取扱いを委託された個人データを第三者提供してしまっているケースが少なくない。例えば、国外の弁護士が事業者の個人情報を含むデータを証拠保全の目的において、本人の同意等の個人情報保護法上の適切なクリアランスを経ることなく国外の裁判所に対し提出するケースなどがある。この背景には、日本の個人情報保護法に基づく制裁が軽微であり、かつ（とくに国外の）委託者に対する監督措置が徹底されないことが一因としてあると考えられる。
【FRONTEO】「中間整理」第6節の国際的制度調和その他の観点からは、情報の記録・保存・継承活動、特にデジタルアーカイブ活動への配慮も重要であり、適切な法整備が必要と考える。
近時、デジタルアーカイブを通じたデジタル知識基盤の構築が急務となっている。我が国の政府においても、知的財産戦略本部に設置されたデジタルアーカイブジャ
パン推進委員会及び実務者検討委員会を通じた検討が進められており、分野横断統合ポータル「ジャパンサーチ」も2019年2月に試験版が公開された。デジタルアー
カイブ化の動きは公的機関にとどまらず、民間事業者においても、所蔵資料のデジタル化及び利活用の取り組みが進んでいる。
そして、デジタルアーカイブ化される資料の中には、特定の個人を識別できる写真や映像のように、法律上の「個人情報」に該当する情報も数多く存在する。
しかしながら、これらの資料については、取得時に利用目的としてデジタルアーカイブでの保存や公開等が明記されていたか（法15条）等、事業者の義務が遵守されていたかを事後的に確認することが困難な場合も多い。また、法76条は、「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」が「学術研究の用に供する目的」で個人情報等を取り扱う際の適用除外を定めているが、典型的な学術研究機関ではない民間のアーカイブがこのような適用除外の要件を満たすかは必ずしも明らかでない。
その結果、民間のデジタルアーカイブにおいては、現行法の規制を満たすかの判断が困難であることから、デジタル保存及び利活用に萎縮が生じ、質量ともに充実したデジタルアーカイブを構築する際の支障になっている。
他方で海外の法制を見ると、公的目的のアーカイブ活動に配慮した規定が見受けられる。例えばGDPRでは、データ管理者の公私を問わず、「公共の利益におけるアー
カイブ目的の取扱い」については目的外利用とはみなされず（5条1項(b)）、長期の記録保存も可能となり（同項(e)）、特別な種類の個人データの取扱いも一定の範囲で認められている（9条2項(j)）。さらに、当該取扱いに関しては削除権の適用が制限される他（17条3項(d)）、他の権利に関しても適切なセーフガード等を要件に国内法での特例を認める（89条3項）など、法制度全体においてアーカイブ活動への配慮が見られるところである。
そこで、今回の個人情報保護法の3年ごと見直しに際しても、「中間整理」第6節の国際的制度調和の観点をも踏まえ、我が国におけるデジタルアーカイブ活動が不当に制限されることのないよう、適切な法整備を求める。
具体的には、GDPRと同趣旨の条項などを新設することが考えられるが、仮にそうした整備が難しい場合には、少なくとも附則等において、公共の利益のためのアーカ
イブ活動が不当に制限されないよう配慮する義務を明記するなど、今日におけるデジタルアーカイブ活動の重要性を踏まえた適切な法整備を求める。
【デジタルアーカイブ学会 法制度部会】

147/173420

第６ いわゆる「補完的ルール」については法令上の根拠をより明確にすべきである
なお「中間整理」に明示的な記載はないものの、貴庁が平成30年9月付で公表したいわゆる「補完的ルール」に関しては、結果的にEUの十分性認定を獲得した点につき敬意を表するところである。
ただ他方で、その執行力の有無については、法律の留保の観点を踏まえて法律家から疑問も呈されていたところであり、法令上の根拠をより明確にすべきと考える。
また、今後において同種の制度設計を行う際には、行政法の然るべき法体系に沿った設計がなされるべきである。以上【個人情報保護法改正を検討する弁護士の会】

421

第3章第6節4.(3) 越境移転の在り方に関する意見（54頁）
外国にある第三者への個人データの提供については、同意取得時の情報提供について、第三者の所在国を特定する方法以外の方法として、どのような方法が許されるのかが必ずしも明確ではなく、実務的にも各社によって取り扱いが区々だと思われる。そもそも、諸外国における個人情報保護の制度・在り方が広く知られているわ
けではないことを前提とすると、一つ一つの国を列挙することにどれだけの意義があるのか疑問も残る。むしろ、実質的な個人情報保護の観点からは、たとえば外為法における国のリストのように、一定の国・地域を指定した上で、当該国・地域にある第三者に個人データを提供する場合には、注意喚起のための情報と共に提供することを求めるなどのアプローチについても検討する余地があるのではないかと考える。
【長島・大野・常松法律事務所】

422

第3章第6節4.(4) 本人への情報提供の在り方に関する意見（54～55頁）
情報過多となると、かえって本人はその情報の内容を確認しなくなることも予想されるので、情報提供の項目を増やすという方向だけでなく、実質的に意味のある情報提供の在り方が検討される必要があると考える。
【長島・大野・常松法律事務所】

423

第６節 法の域外適用の在り方および国際的制度調和への取組と越境移転の在り方 ３．検討の方向性（３）越境移転の在り方
・具体的な検討事項を示していただきたい。
【一般社団法人 全国銀行協会】

424

第６節 法の域外適用の在り方および国際的制度調和への取組と越境移転の在り方 ３．検討の方向性（３）越境移転の在り方（３つ目の○）・「リスクを精査し、事業者等の実態をよく踏まえた上で、どのような措置が考えられるか見極める必要」とあるが、クラウド利用やビジネスのグローバル展開の観点から個人データの「グローバルなデータフリーフローは、」まさに「デジタルエコノミー時代のイノベーションの前提」であることから、「本邦と同等以上の個
人情報保護制度を持つ国への移転は認めるなどの措置により移転可能性の拡大を探る必要」など、積極的な記載にすべきである。
【一般社団法人 全国銀行協会】

425

第６節 法の域外適用の在り方および国際的制度調和への取組と越境移転の在り方 ３．検討の方向性（４）本人への情報提供の在り方（２つ目の○）・「事業者」は、外国事業者であることを確認したい。
【一般社団法人 全国銀行協会】

148/173

426

6 . 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方（中間整理 第 3 章 第 6 節）
( 1 ) 越境移転の在り方
越境移転の在り方については，「データローカライゼーションは，経済に深刻なマイナスの影響を及ぼすとの試算結果」(52 頁）があることを踏まえ， 平成 27 年
改正法で新たに規定された，外国にある第三者への提供の制限の規定は，慎重に検討がなされる必要があると考える。
なお，インターネット広告事業においては，「日本にいるときの履歴（クッキー等）を使って， 帰国した外国人に対して広告を出稿する (GDPR の規制対象にならない）」「海外のDSP事業者に広告識別子情報を渡す」などの行為が想定しうる。現行法においては，クッキー等が個人情報保護法における個人に関連する情報に該当しない以上，上記の行為については越境移転の規制もかからないものと考えるが，逆に，これらの事業者の行為に越境移転の規制がかかることになるとすると，インターネット広告事業に大きなマイナスの影響を及ぼすことになりかねない。この点も踏まえ，上記のクッキー等に関する立法化や，越境移転に関する規制について
は，検討がなされるべきであると考える。
【一般社団法人 日本広告業協会】

427

6 . 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方（中間整理 第 3 章 第 6 節）
( 2 ) 本人への情報提供の在り方
中間整理においては，「個人情報は，情報を提供する本人が予測可能な範囲で使われる，というのが基本」(54頁）であるが，「SNS, 物・サービスのe コマースが定着し，外国事業者が個人情報を直接取得し多様に利活用する事例が増大する中，個人にとって取扱いが分かりにくくなるリスクが存在」(54頁）し，「このようなリスクについて， 個人が予見できるよう，事業者からの本人に対する情報提供の在り方について工夫」(55 頁）について記載がなされている。
上記したように，当協会においては，「個人の権利利益を保護」を重要視するのであるから，本人が自らの個人に関連する情報の取扱い内容を理解できないというリ
スク を排除する方向での検討については，否定をするものではない。
しかし，これも上記したように，個人に関連する情報の取扱いに関する「適法の外縁」について，法律，規則，ガイドライン等において可能な限り明確化された上で，それでも残さざるをえない部分についてのみ事業者の自主的な取組に委ねるべきものであり，ここでも，本人への情報提供の内容や方法等については ，明確なルール策定が不可欠であると考える。
【一般社団法人 日本広告業協会】

149/173

428

総論
BSA会員企業は、世界各国で、クラウドコンピューティング、データ分析、機械学習及び人工知能等最先端の技術及びサービスを提供し世界を牽引しています。現代のデータ社会において企業がグローバルに事業を行うためには、各国の個人情報保護に関する法律及び制度がグローバルに相互運用可能であり、円滑な越境データ
移転が促進されることが非常に重要です。
BSA会員企業は、強固な対策によって個人情報を保護することが、顧客の信頼を構築し維持するために必須であることを認識しています。これは、消費者や社会が、最新のソフトウェア関連技術が支える経済的及び社会的発展から恩恵を受けるために必要なことです。この理由から、BSAは、企業が正当な事業上の利益を追及することを可能としながら、消費者が自己の個人情報をコントロールして、消費者の期待に合致した個人情報利用を確実に行うことができる、ユーザー中心のデータ保護フレームワークを支持します。
BSAは、世界中のデータ保護フレームワークの開発において上述した点を含む成果を促進するため、グローバル・プライバシー・ベストプラクティス を作成しました。グローバル・プライバシー・ベストプラクティスは、個人データの収集及び利用の透明性を高め、収集及び利用に対するガバナンスを提供することによって情報に基づく選択を可能にし、かつ、これを尊重し、消費者に自己の個人データについてのコントロールを与え、強固なセキュリティを提供し、正当な事業目的でのデー
タ利用を促進する施策の実現を支援するものです。
日本においては、2015年改正個人情報保護法により、個人情報の利活用を促進しながら、効果的に個人情報を保護する制度が実現されています。これは、欧州連合(EU)による十分性認定によって示されるように、国際的な相互運用を可能にし、国際的なデータ移転を促進する仕組みを提供するものです。
貴委員会は、個人情報保護のための独立した中央当局として設置されて以来、国際的な努力を通じて、グローバルに相互運用可能な個人情報保護制度の確立と円滑な越境データ移転の確保を積極的に推進してきました。中間整理に記載されているように、これらの取組みには、データ保護規制当局や政策立案者による国際会議への参加、EUとの十分性の相互認証の実現、APEC CBPRの積極的な推進が含まれます。BSAは、これら重要な分野において、貴委員会が引き続きリーダーシップを発揮されていかれることを真摯に希望しています。
貴委員会が、個人情報保護法の3年ごとの見直しを行って現行の個人情報保護制度の改善を検討する際、個人情報を効果的に保護し、個人データの正当な事業上の利用を可能とし、国際的な相互運用性を確保・促進し、越境データ移転を促進するという、現行法の特徴を維持することが重要です。
以下、貴委員会による検討のため、より具体的な意見を述べ提言をします。
越境移転の在り方
円滑な越境データ移転の確保は、デジタルエコノミー時代のイノベーションの前提です。全ての業界において、企業は、円滑な越境データ移転に大きく依拠しています。
日本の現行制度は、グローバルに事業活動を行っている企業にとって良好に機能しています。日本で事業活動をしている多くの企業、特にBSA会員企業は、どこで保管され又は処理されているかにかかわらず、個人情報を含むデータが効果的に保護されることを確保するために、既に多くのリソースを投入しています。従って、
BSAは、貴委員会が国際的データ移転について更なる制限を課すことを避けるよう強く求めます。個人情報が誰に又はどこに移転されるかに関わらず、事業者が個人情報保護について説明責任を果たす方が、特定の管轄地域へのデータ移転を制限するよりもはるかに効果的です。以上より、BSAは、貴委員会及び日本政府が、APEC
CBPR、WTO 電子商取引交渉における意欲的なルール並びに日本の二国間及び地域貿易協定等グローバルな越境データ移転を円滑にする仕組みを推進し、国際的なリーダーシップを引き続き発揮することを期待しています。
結び
BSAは、中間整理に関する意見を提出する機会に感謝します。本意見が、中間整理の完成に向けて有用でありましたら幸いです。また、BSAは、中間整理を最終化する中で、貴委員会と意見交換及び協力を継続することを希望します。ご質問やご意見をお聞かせいただければ幸いです。
【The Software Alliance (BSA)】

150/173

第 6 節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方
2. 諸外国の現状(p.52)
中間整理は、個人情報の越境移転との関係で、「一部の国において国家管理的規制が見られるようになっている」とし、その代表例としてガバメントアクセスに関する規定を挙げている。この点、中間整理の脚注26 は、「ガバメントアクセスについて、明確な定義はないが、民間事業者が保有する情報を捜査当局等の行政機関が取得することを指すことが多い」としている。
これについては2018年３月に制定された米国CLOUD法、並びに2018年４月に公表され現在審議中の EU 電子証拠規則案および代理人設置指令案といった、電子証拠への越境アクセスの論点との関係についても、十分な調査・分析および検討がなされることを期待する。

429【参考：米国CLOUD 法とGDPRとの関係について】ある米国企業が連邦通信保存法 (SCA) に基づく令状の送付を受けたものの、提出対象となるデータがEU域内に保存されていた場合、当該データをその令状に基づいてのみ移転させることは、GDPR違反とならないかという論点がある。
この点、GDPR 第 48 条および前文第115 項を踏まえ、司法共助条約(MLATs) のような条約が、EUの管理者・処理者が保有するデータを要求する際の好ましい選択肢であると考えられる。
他方、同第48条は、「本章による移転のための別の法的根拠を妨げることなく」とも規定しており、これとの関係で越境移転にかかる逸脱条項である第49条第 1 項
は、「(d) 公共の利益の重大な事由のために移転が必要な場合」や「(e) 法的主張の証明、行使または抗弁に移転が必要な場合」は、EU 域外に個人データを移転することが可能と規定している。
これがEU域外の米国政府による捜査との関係で援用可能かという論点があるが、欧州データ保護会議 (EDPB) の第 49 条に関するガイドラインは、第49 条第 1 項(d) は根拠としては必ずしも十分ではないものの、第 49 条第 1 項(e) との関係では「第三国における刑事捜査・行政調査のコンテクストにおける活動も含まれる」としており、第48条と第49条を合わせ読む限り、SCA の下発給された令状にしたがってデータをEU 域内から米国に移転させることは、必ずしも自動的にGDPR 違
反にはならないと考えられるとの事である。
【※参考資料】• Hogan Lovells, Demystifying the U.S. CLOUD Act : Assessing the law's compatibilit y with international norms and the GDPR. January 2019.
【株式会社メルカリ】【意見要旨】( 6 ) 越境移転の在り方
個人データを含むデータの自由な越境流通に向けて、国際的に調和のとれた制度構築を主導していただくとともに、国内外において、データローカライゼーション要求の緩和・撤廃を今後も推し進めていただくことを強く期待する。そして、①情報の自由な流通と②データローカライゼーション要求の緩和・撤廃の二本柱を原則としつつ、それらを 担保するセキュリティや、①および②の例外をどのように考えていくか、日本の官民セクターにとって越境移転が望ましくない、あるいは守るべ
きデータの範囲を確定しつつ、議論を推し進めていただくことを期待する。

151/173430(3) 越墳移転の在り方(p.54)
まず、国内およびグローバルなビジネス、そしてイノベーションの推進、さらには国家そのものの経済成長のためには、国境を越えた情報の自由な流通を確保することが大前提である。
実際、日本政府は、これまでG7や G20 、APEC等の場において「情報の自由な流通」を標榜してきており、また、今年の世界経済フォーラム（ダボス会議）においては、安倍総理が「私たちがつくり上げるべき体制は、DFFT ( データ・フリー・フロー・ウィズ・トラスト） のためのもの」と述べたことは周知のとおりである。
加えて、国際通商の分野ではあるが、日本も参加している環太平洋経済連携( TPP) 協定の第14 章（電子商取引章）は、「各締約国は、対象者の事業の実施のために行われる場合には、情報（個人情報を含む。）の電子的手段による国境を越える移転を許可する」と規定し、例外的に締約国が情報の越境移転を規制できる要件を規定しているところである（第14・11 条）。
最近の例を挙げれば、5 月 14 日に公表された自民党「『令和』時代・経済成長戦略」も、「( 1 ) ディストピアでなくユートピアの構築へ」としつつ、「経済社会のデジタル化が、革新的なサービスやイノベーションがグローバルに次々生み出される『ユートピア』につながるか、特定の国や企業がデータを囲い込み、国家が全面に出て監視社会を強く意識する『ディストピア』となるのか、世界的に大きな岐路に立っている。安倍総理が本年１月の世界経済フォーラム（ダボス会議）で提唱された通り、我が国として DFFT (Data Free Flow with T rus t )をリードしていくことが重要である」と述べているところである。
日本政府におかれては、個人データを含むデータの自由な越境流通に向けて、国際的に調和のとれた制度構築を主導していただきたい。
【株式会社メルカリ】

次に、中間整理に記載のとおり、外国政府による過度なデータローカライゼーション要求は、技術革新や経済成長にマイナスの影響をもたらすのみならず、個人の便益をも阻害し得るものである上、これまでの日本の日立場と相容れないものである。とりわけ、2017年12 月から開始されたWTO 電子商取引有志国会合を含む国際交
渉の場において、日米欧が連携し、いかにして中国や新興国によるデータの囲い込みを封じていくかを考えていかなければならない時に、日本が方針を転換し、足並みを乱すようなデータローカライゼーションの主張を行うことは、日本外交に深刻な影響を及ぼす結果となりかねず、ひいては日本の産業界に深刻な影響を及ぼしかねない。5 月 14 日に公表された自民党「『令和』時代・経済成長戦略」も、「引き続き、データの自由な流通を含む、WTOにおける電子商取引に関するルール交渉について、中国等を含む可能な限り多くの加盟国とともにハイレベルなルール形成に向け、国際的な合意形成を進めるべき」や「その他FTA · EPA の交渉においても、データ流通に関するルールを盛り込んでいくよう取り組んでいく」としているところである。
日本政府におかれては、国内外において、データローカライゼーション要求の緩和・撤廃を今後も推し進めていただくことを強く期待する。
そして、①情報の自由な流通と②データローカライゼーション要求の緩和・撤廃の二本柱を原則としつつ、それらを担保するセキュリティや、①および②の例外をどのように考えていくか、日本の官民セクターにとって越境移転が望ましくない、あるいは守るべきデータの範囲を確定しつつ、議論を推し進めていただくことを期待する。
この点、上記①および②の例外を考える上では 、日本も参加しているGATS や TPP 協定、EU「非個人データの自由な移動に関する規則」の構造が参考となる。以下
簡単に紹介するが、上記①および②の例外を検討する上で、これらのような構造が適切なのかや、 別のアプローチを考えるべきなのかについて、より深い検討が行われることも期待する。

152/173

(1) GATS
前述のように、GATS は「ポジティブ・リスト方式」を採用しており、自由化の義務は一般的にかかるのではなく、加盟国が「約束表」で示した範囲でのみ義務がかかる。逆に言えば、「約束表」で示していないものについては、WTO 加盟国との関係で自由化を約束していないと言える。
その上で、GATSには一般的例外（第14条）が規定されており、加盟国が「同様条件の下にある国の間において、恣意的もしくは不当な差別の手段となるような態様
で、またはサービスの貿易に対する偽装した制限となるような態様で適用しない」限りにおいて、以下の措置を採用・実施できるとしている。
1. 公衆の道徳の保護または公の秩序の維持のために必要な措置
2. 人、動物または植物の生命または健康の保護のために必要な措置
3. この協定の規定に反しない法令の遵守を確保するために必要な措置（この措置には、① 欺まん的もしくは詐欺的な行為の防止またはサービスの契約の不履行がもたらす結果の処理、②個人の情報を処理しおよび公表することに関連する私生活の保護または個人の記録および勘定の秘密の保護、③安全を含む）
4. 取扱いの差異が他の加盟国のサービスまたはサービス提供者に関する直接税の公平なまたは効果的な賦課または徴収を確保することを目的とする場合には、第17条の規定に合致しない措置
5. 取扱の差異が加盟国の拘束される二重課税の回避に関する協定または他の国際協定もしくは国際取極における二重課税の回避についての規定の結果による場合には、第２条の規定に合致しない措置
また、GATS には安全保障のための例外も規定されており（第14 条の二）、自国の安全保障や国際安全保障の観点から、規定された要件に合致する限りにおいて、GATSの諸義務に非整合的な措置をとることができるとしている。
なお、GATS の一般的例外については、2016 年 10 月現在、WTO 紛争解決手続の中で過去二度しか援用されておらず、いずれも措置を正当化するにはいたらなかったようである。また、安全保障のための例外にいたっては、過去一度も援用されたことがないようである。

431(2)TPP協定
前述のように、TPP協定には第14章（電子商取引章）があり、情報の電子的手段による国境を越える移転（第14・11条）、並びにコンピュータ関連設備の設置（第14・13条）が規定されている。いずれの規定も原則と例外からなり、前者であれば、締約国は情報（個人情報を含む。）の電子的手段による国境を越える移転を許可しなければならないとしつつ、いわゆる「必要性テスト」を満たす限りにおいて例外的に適合しない措置をとりうるとし、後者についても、締約国は自国の領域において事業を遂行するための条件として、対象者に対し、当該領域においてコンピュータ関連設備を利用し、または設置することを要求してはならないとしつつ、こちらもいわゆる「必要性テスト」を満たす限りにおいて例外的に適合しない措置をとりうるとしている。
ここでいう「必要性テスト」とは、以下のような規定である（例．コンピュータ関連設備の設置に関する第14•13条第3項）。
この条のいかなる規定も、締約国が公共政策の正当な目的を達成するために2の規定に適合しない措置を採用し、または維持することを妨げるものではない。ただし、当該措置が、次の要件を満たすことを条件とする。
a. 恣意的もしくは不当な差別の手段となるような態様で、または貿易に対する偽装した制限となるような態様で適用されないこと
b. 目的の達成のために必要である以上にコンピュータ関連設備の利用又は設置に制限を課するものではないこと
この点、まず「公共政策の正当な目的」といった文言はGATSにはなく、またWTO紛争解決手続の中で同文言に関する判例が積み重ねられている訳ではないため、どのような「公共政策の目的」が「正当」と判断されるのか、解釈の余地がある。
次に、(a)項については、上記GATS第14条の以下の規定（「柱書」と呼ばれる）に類似している。
ただし、それらの措置を、同様の条件の下にある国の間において恣意的若しくは不当な差別の手段となるような態様で又はサービスの貿易に対する偽装した制限となるような態様で適用しないことを条件とする。
この点、WTO紛争解決手続の過去の判例（米国一国境を越えた賭博サービスの及ぼす影響に係る措置(DS285))において、パネル（第一審）は、類似の文言が規定されている「関税及び貿易に関する一般協定(GATT)」第20条柱書に関し蓄積された判例に基づく解釈原則が、GATS第14条の柱書の解釈に用いることができると判断し、その上で、特定の措置の適用が「恣意的若しくは不当な差別」となるかについては、措置の一貫性の欠如(the absence of consistency)が指針となると判断した（上級委員会（第二審）もこの「一貫性基準」を支持）。よって、上記(a)項の解釈にこの判例が参照される可能性がある。
第三に、(b)項については、WTO・貿易の技術的障害に関する協定(TBT協定）第2条第2項の以下の文言に類似しているところである。

153/173このため、強制規格は、正当な目的が達成できないことによって生ずる危険性を考慮した上で、正当な目的の達成のために必要である以上に貿易制限的であってはならない。
WTO紛争解決手続の過去の判例によれば、「正当な目的を達成するか」と「必要以上に貿易制限的か」の2要件を個別に検討する2ステップ・テストが採用されている。その上で、「必要以上に貿易制限的か」の要件については、原則としてさらに以下の3ステップ・テストにしたがって審査されることになっている。
1. より制限的でない代替措置があるか？
2. 当該代替措置は同程度に正当な目的を達成するか？
3. 代替措置が合理的に利用可能か？
よって、上記(b)項の解釈についても、同様のアプローチがとられる可能性がある。
なお、第14章（電子商取引章）には、以下の4つの注意点があり、上記のような情報の電子的手段による国境を越える移転に関する規定（第14・11 条）やコンピュータ関連設備の設置に関する規定（第14・13条）を考える際にも留意する必要がある。
・「金融機関または国境を越えて金融サービスを提供する締約国のサービス提供者」は第14章（電子商取引章）の「対象者」に含まれないため、こうした事業者に対する越境移転規制やコンピュータ関連設備の設置要求は、「公共政策目的例外」を満たすまでもなく許容（第14・1条）• 政府調達や政府によるデータ処理についても第14章の諸規定が適用されないため、こうした政府関連のものについての越境移転規制やコンピュータ関連設備の設置要求は認められる（第14・2条）• 第29章（例外及び一般規定）に基づき、GATS第14条（一般的例外）の(a)から(c)までがTPP協定に組み込まれるため、こうしたGATS上の例外の援用も可能（第29・1条）• 同第29 章に基づき、いわゆる「安全保障例外」の援用も可能（第29•2条）(3)ＥＵ「非個人データの自由な移動に関する規則」
2018年11月、EUは、「非個人データの自由な移動に関する規則」を採択した。これは、GDPRで定義されている個人データ以外のデータに関し、EU加盟国が事業者に対しデータローカライゼーション要求を行うことを原則禁止するものである。
他方、例外があり、均衡性原則にしたがって「公衆の安全(public security)」を根拠として正当化される場合には、例外的にデータローカライゼーション要求を行っても良いとされている（第4条1項）。この点、「公衆の安全」の定義はとりわけEU機能条約第52条に依拠するとし、また均衡性原則についてもEU基本条約第5条に依拠するとしている（前文第18項）。
【※参考資料】
Peter Van den Bossche & Wemer Zdouc, The Law and Policy of the World Trade Organization: Text, Cases and Materials (4th ed.) (Cambridge University
Press, 2017).
Marty Hansen, The TPP's Electronic Commerce Chapter (COVINGTON (posted in TRADE AGREEMENTS),November 13, 2015).
【株式会社メルカリ】

432【意見の対象】
第３章「第６節 法の域外適用の在り方及び国際的制度調和への取組と越境移転の在り方」【内容】
個人情報保護委員会において各国の機関と連携していただき 、統一基準の作成や各国の規制を順守するためのガイドライン等の作成を検討していただきたい。
【理由】
近年の日本企業による事業活動のグローバル化の加速を鑑みると、一企業が世界各国の規制を個別に調査し、遵守する体制を構築することは非常に労力及び専門家費用などの負荷が高く、かつ、極めて困難な状況にあるため、個人情報保護委員会において情報提供などを含めた対応を検討していただきたい。
【経営法友会】

154/173

433

1 個人情報保護委員会の所管の拡大によるデータ流通の信頼性確保(1) 該当箇所
官民を通じた個人情報の取扱いに関する論点 (56頁）越境移転のあり方 (54頁）(2) 意見行政機関や地方公共団体についても個人情報保護委員会の所管を求める。
(3) 理由現状では、民間事業者以外は個人情報保護委員会の対象外であるが、GDPR対応として公的機関へのコントロール強化も求められており、あるいはOECD等においても第三者機関は官民双方への執行権限を有するのが通常とされていること、中間整理においても過度なガバメントアクセスヘのコントロールの必要性が示されていること(54頁）等から、個人情報保護委員会の所掌を行政機関・自治体にも広げることを検討すべきである。このことにより、越境での個人データ移転が信頼を伴ってなされるものと考える。
また、官民・自治体をまたいだデータ流通に際して、いわゆる「個人情報保護法制2000個問題」への対応、責任分界点の明確化やデータ流通への信頼の観点からも、個人情報保護委員会による権限一元化が望まれる。
「個人情報保護法制 2000 個問題」に関しては、は官民データ利活用基本法の第 19 条がその解決を求める趣旨であるとされており、また、分野によっては特別法での解決も可能ではあるが、たとえば医療分野でも未だ個別法で完全に解決するには至っておらず、現に地域医療連携に際して障壁となっている状況である。また、医療以外にも、匿名化が困難な画像等の個人データを用いるような様々な研究開発分野において、企業を含む多施設共同研究の際、法や条例の規定の整合性が問題となっている(4の意見とも関連）。
また、小規模自治体においては条例の解釈・運用・改正といったことの負担が課題とな っている。自治体における個人情報の取扱いの審査において、現状の個人情報保護審査会等での審査負担を軽減すべきであり、民間分野も含めた公平な判断に向けた、 AI による判断も活用することを目指した整備を行うべきである。
【世界経済フォーラム第四次産業革命日本センター】

155/173

第３章第７節関係

官民通じた個人情報の取扱い

No.

提出意見

434

【意見9（P56）】第7節 その他の論点
・個人情報保護委員会が行政機関や自治体における個人情報取扱いについても所管し、監督権限を持つことにより、自治体ごとに異なる個人情報保護条例の問題等に対処して頂けるよう、他省庁とも連携しつつ、法改正の検討を希望する。
（理由）
・現状、自治体ごとに個人情報保護条例の内容が異なるなど、自治体向システム事業を行っている事業者等を中心に法令遵守コストが高くなっているため。
【JEITA個人データ保護専門委員会】

435[意見17（p56）]
国の行政機関、独立行政法人、地方公共団体、民間事業者の個人情報についての取り扱いを統一化するとともに、個人情報保護委員会が民間部門だけでなく、公的部
門における個人情報の取り扱いも所管すべきである。
(理由)
・国の行政機関や国立大学法人等が個人情報保護法に定める義務・罰則等の適用対象ではなく、わが国における個人情報の規律が統一されていない。
・地方公共団体が独自に制定する個人情報保護条例において、個人情報の定義や制度内容に差異が存在するほか、行政機関個人情報保護法等にはない規制を設ける場
合があり、官－官・官－民の円滑な情報流通を妨げている。
【(一社)日本経済団体連合会情報通信委員会企画部会】

436（第3章第７節 その他の論点）
国際間でのイコールフッティング、データの流通促進を図るためには、個人情報保護法が国際的な基準や水準を確保していること、個人情報保護委員会が行政や自治体を所管していることは前提である。また、このことを前提とするならば、条例2000個という事態はあり得ない。
行政のデジタル・トランスフォーメーションの推進に民間の活力を利用するため、日本企業が海外のビッグテックと競争し、グローバル展開をするために、この課
題は早急に解決することが求められる。
【一般社団法人モバイル・コンテンツ・フォーラム】

156/173(我が国全体として官民一体で統一的な法制度とすべき)
効率的な被災者支援を実現するには、個人情報を活用した官民連携が必須である。しかしながら、現状の法制度は官民及び地域で異なった制度が運用されているという異常な事態であると認識している。早急に我が国全体で統一的な原則に基づき、官民一体で被災者支援が行えるように改正を進めるべきである。
上記意見の理由として、現状の課題と目指すべきビジョンについて以下に説明する。
現状の法制度は、想定された状況に関する仕様としての手続き規定と例外規定で成りたっているため、想定外の状況が頻発する災害現場においては、該当するかどうか判断が難しく支援活動が阻害されることが多々発生している。具体的には、法令による例外として災害対策基本法で一部要件である目的外利用が認められているが、そのような適用範囲と要件を精緻に規定しても運用は困難である。目指すべきは、一部の例外規定ではなく想定しない状況に柔軟に対応できる包括的な原則をもった法制度であり、具体的な手続きは状況にあわせて対応できる共同規制型のスキームである。
437
官民で法制度が分断されている課題としては、行政がもつ住民情報、例えば民生委員（民間人であるが行政としての役割を担う）等が把握している要支援者等の住民情報が民間の災害ボランティア等に提供されないため、特別な支援が必要な被災者に支援が届けられないという状況が起きている。目指すべきは、正当な目的で公正な活動に関しては、原則に基づいて個人情報を活用できるような制度とすべきである。
一方で、行政の被災者支援活動においても、被災者支援に必要な罹災証明の発行等の活動が迅速に行えないという課題がある。官民で統一的な法制度とすることで、災害初期から被災地で活動している民間ボランティアの情報を活用して、行政が効率的な被災者支援を行なうことも可能となる。
最後に、目指すべきビジョンとして、個人情報の利用におけるデメリットとベネフィット等の価値観が対立するような状況において、比例性の原則等でバランスをとって総合的に判断できるようなスキームをもった法制度の創出と社会の常識を醸成していくべきである。
【一般社団法人情報支援レスキュー隊】

438

個別意見 中間整理第3章第7節関係・いわゆる個人情報保護法制２０００個問題も課題。行政機関、独立行政法人、地方公共団体等も対象に、民間も含め一本の法律で規制することを検討すべき。
【一般社団法人新経済連盟】

439

該当箇所
56ページ 第７節 その他の論点
意見
官民を通じた個人情報の取り扱いについて、個人情報保護委員会に、行政機関、独立行政法人、地方公共団体等の法律等を一括して所管していただきたい。
理由
Society5.0やデジタルヘルスなどの研究開発事業では、大学と民間事業者、さらに地方公共団体が協力して個人データの利活用を図る必要がある。しかし、いわゆ
る2000個問題と言われるような多様な法律等を、関係者がすべて把握した上で個人データの流通を行うことは難しく、適切な取り扱いができているかどうかに常時不安が生じている状況である。個人情報保護委員会が一括してこれらの法律等を所管することで、分野の境界を超える個人データ利活用の促進が期待される。
【大阪大学データビリティフロンティア機構 BD社会技術部門】

157/173440

第７節 その他の論点について「行政機関、独立行政法人、地方公共団体、民間事業者等の法律等の統合を求める意見・・・があった。この論点に関する政府としての検討に際しては、委員会としても適切に対応していく必要がある。」とありますが、地方自治を損なう統合には反対です。
そもそも個人情報保護は、国に先行して1970年代から地方公共団体が進めてきました。それは1970年前後に国が計画した「省庁統一個人コード」が国民総背番号制
として強い反対を受ける中で、市町村のコンピュータ利用を進めるにあたり、コンピュータは住民福祉のためにのみ利用し、国等とは接続しないことを住民と約束するものとして制定されてきた経過があります。
地方公共団体毎の条例や運用の違いは、利用を一つ一つ審議会などの検討を通して住民と確認してきた積み重ねによるものであり、まさに地方公共団体の団体自治・住民自治の実践です。
それを「個人情報保護法制2000個問題」などと個人情報流通の阻害要因であるかのようにみなすのは、個人情報の利活用を地方自治よりも重視するものであり、憲法の「地方自治の本旨」に反するものです。
地方公共団体の独自性を尊重し、地方自治を損なわない検討を求めます。
【個人】

441

第７節 その他の論点（56頁）
意見１：
法律の一本化について検討していただきたい（2000個問題の解消）。
理由：
そもそも個人情報の取扱いについて地域の特殊性はどういう点で、法律の解釈レベルで吸収できない点はどこなのか不明。デジタルデータの流通が活発化し、利活用を促進しようとしている昨今、法や条例の規定の整合性について正確に解釈し、対応する必要がある状況が利活用の障壁となることは、地域医療の情報流通などを見れば明白である。少なくとも国内は統一ルールとし、データ流通・利活用の阻害要因を取り除くべきである。
また、ただでさえマンパワーが低下している日本において、3年毎に地方公共団体が保有するパーソナルデータに関する検討を開催して条例見直しの方向性を検討し、それに沿って各都道府県・各市町村がそれぞれ改正作業を行うことは、人的資源の浪費ではないか。
【国立研究開発法人・科学技術振興機構 NBDC】

442

第１ 個人情報保護委員会は公的部門に対しても監督範囲を広げるべきである
まず、今回の見直しにおいて最も重要な点として、貴庁は公的部門に対しても監督範囲を広げるべきである。「中間整理」では、「委員会が行政機関や地方公共団体
における個人情報の取扱いについても所管することを求める意見等があった。」（56頁）との簡易な記載にとどまるが、公的部門についてもEUの十分性認定を受けるため、また官民データ利活用の促進の観点からも、監督範囲の拡大は必須と考える。
【個人情報保護法改正を検討する弁護士の会】

158/173

443

［意見５]
（該当箇所）
P56: 第 3 章第7 節 その他の論点（意見）● 個人情報の取り扱いに関する、行政機関、独立行政法人、地方公共団体、民間事業者等の法律等の統合、および個人情報保護委員会による一括的な所管を期待する。それが困難な場合は、 規制の異なる主体間でのデータの授受について整理頂きたい。
（理由）
健康医療データは、同一人物のデータが、独立行政法人、地方公共団体、民間車業者等に散在している。医学研究では、多数の組織・団体が保有する同一人物のデー
タを集約する場合、以下の課題が発生する。
▶データを保管している組織・団体を規制する法律の違いから、多くの手間が掛かかるもしくは集約ができない。特に地方公共団体では、保護に関する条例の内容の違いが大きい。
▶規制される法律が異なる組織間でデータを移転する場合などでは、どのように法律を読み解けばよいか分からない場合もある。
また、個人情報保護法等の対象外である学術研究では、民間事業者への提供（学術研究からベンチャー事業化含む）についてオプトアウトの対象範囲の差異などが整理されていない現状がある。適正なデータ流通を促進のためにも、法律はできるだけ一本化されるべきと考える。特に、地方公共団体として一本化されることを期待する。
【日本製薬工業協会 産業政策委員会】

第 7 節 その他の論点【意見】自治体も含む官民の法律等の統合は反対である。個人情報保護法≦行政機関個人情報保護法＜自治体と規律の度合いが異なる。また、自治体ごとに個人情報保護条例
が異なっており、その中でも規律の度合いが異なる。少なくとも、規律の緩い方に合わせた法制度を構築することは、害しかない。自治体は特に、住民と直接向き合い、住民サービスを提供していること、社会的には弱い立場におかれる人々の情報を多く保有していること、個人の権利と直結する業務を多く行っていることから、
個人情報保護法や行政機関個人情報保護法並みの緩さで規律することには反対である。一方、個人情報保護法や行政機関個人情報保護法を、自治体の中でも規律の最も明確でかつ人権をベースにした個人情報保護条例と同レべルに引き上げる趣旨であれば、賛成である。
444
その他
個人情報保護委員会は、主に民間事業者を対象としているが、行政機関及び独立行政法人の個人情報の取り扱いについても、苦情の受付、監査等を行うようにすべきである。行政機関個人情報保護法では、個人情報ファイルの存在自体を秘密とできる仕組みがあるほか、刑の執行等に関する情報など一定の範囲は本人開示請求権の適用除外としている個人情報が存在する。さらに、本人開示諸求に対して広く不開示とし得る規定を有する。個人惜報の取扱いに関して、本人の関与がなく第三者的監視もないことは、大きな問題である。個人情報保護委員会に置いては、こうした本人の関与と監視が及ばない分野を監視し、適正な個人情報の取扱いの確保について責任を持つべきである。
【特定非営利活動法人 情報公開クリアリングハウス】

159/173

445【意見の対象】
第 3 章「第7 節 その他の論点」【内容】
行政機関、独立行政法人、地方公共団体等の個人情報保護法令の統合及び個人情報保護委員会における一元的な所管をお願いしたい。
【理由】
内容がそれぞれ異なる様々な個人情報保護法令が運用されている現状において、適用を受ける法令が異なる複数の当事者がデータ利活用を検討する場合、適用を受けるそれぞれの法令について解釈上有意な差があるかを確認し、また、必要に応じてそれぞれの法令を所掌する所管に問い合わせて見解の擦り合わせを突施する必要があり、事業活動の大きな負担となっている。このような負担を軽減するための対策として、行政機関、独立行政法人、地方公共団体等の個人情報保護法令の統合及び個人情報保護委員会における一元的な所管を希望する。
【経営法友会】

446

1 個人情報保護委員会の所管の拡大によるデータ流通の信頼性確保(I) 該当箇所
官民を通じた個人情報の取扱いに関する論点 (56頁）越境移転のあり方 (54頁）(2) 意見行政機関や地方公共団体についても個人情報保護委員会の所管を求める。
(3) 理由現状では、民間事業者以外は個人情報保護委員会の対象外であるが、GDPR対応として公的機関へのコントロール強化も求められており、あるいはOECD等においても第三者機関は官民双方への執行権限を有するのが通常とされていること、中間整理においても過度なガバメントアクセスヘのコントロールの必要性が示されていること(54頁）等から、個人情報保護委員会の所掌を行政機関・自治体にも広げることを検討すべきである。このことにより、越境での個人データ移転が信頼を伴ってなされるものと考える。
また、官民・自治体をまたいだデータ流通に際して、いわゆる「個人情報保護法制2000個問題」への対応、責任分界点の明確化やデータ流通への信頼の観点からも、個人情報保護委員会による権限一元化が望まれる。
「個人情報保護法制 2000 個問題」に関しては、は官民データ利活用基本法の第 19 条がその解決を求める趣旨であるとされており、また、分野によっては特別法での解決も可能ではあるが、たとえば医療分野でも未だ個別法で完全に解決するには至っておらず、現に地域医療連携に際して障壁となっている状況である。また、医療以外にも、匿名化が困難な画像等の個人データを用いるような様々な研究開発分野において、企業を含む多施設共同研究の際、法や条例の規定の整合性が問題となっている(4の意見とも関連）。
また、小規模自治体においては条例の解釈・運用・改正といったことの負担が課題となっている。自治体における個人情報の取扱いの審査において、現状の個人情報保護審査会等での審査負担を軽減すべきであり、民間分野も含めた公平な判断に向けた、 AI による判断も活用することを目指した整備を行うべきである。
【世界経済フォーラム第四次産業革命日本センター】

160/173

その他
No.

提出意見

447

個人情報ガイドラインは、委員会が法６条に基づき法的拘束力のある規律を策定できるとしています。
しかし、同条は、政府に個人情報保護を推進する責務があることを明示する政治的な規定にすぎず、これを根拠に包括的な規律制定の権限が委員会に委任されていると解するのは、無理があると思います。
また、このような規定は、他の多くの法律においても比較的気軽に設けられており、これらによって行政に包括的な立法権限が委任されていると解すれば、我が国の法治主義が崩壊するおそれがあると思います。
したがって、ガイドラインのうち法的拘束力を必要とする部分については、法律に具体的な根拠規定を設けるべきだと思います。
【個人】

448

マイナンバー制度が個人情報法保護上最大の脅威なので、直ちにマイナンバー制度を取りやめてください。
【個人】

ＧＤＰＲの十分性認定が公的分野に及んでいないこととの関係について

449

十分性認定については、民間部門の個人情報保護法についてのみ審査しており、現状の学術研究目的の大学の移転や国立の研究機関への移転については十分性認定の対象外となっている。早期に総務省の所管からマイナンバー法と同様に再整理し直し、権限を個人情報保護委員会に集約し、学術研究分野の共同研究におけるデータ移転の障害を撤廃し、公的部門も含め十分性認定を獲得すべきであることを論点として明示すべきである。
この点、一部省庁に日本の大学に欧州のＤＰＡからの違反に基づく権限行使はないから大丈夫だと極めて無責任かつ楽観的な意見があるが、これは明らかに間違っている。現状内閣府でバイオ戦略を議論している中においては、一部国際共同研究の中で情報連携の際に、日本の大学や国立の研究機関は十分性認定の担保がないことを指摘され、体制整備を求められ、情報の提供を拒まれている事例がでてきており、現実に研究に障害がでている。すなわち権利行使される以前の問題として現実に欧州との共同研究に問題が生じていることを理解して頂きたい。
科学技術イノベーション戦略との関係において、我が国の研究データ基盤の国際連携をこの問題のために可能性を潰してしまうことは莫大な国家的損失であり、ぜひとも論点として取り上げていただきたい。特に人を対象とする臨床研究分野においては、日本人のみならず、海外データと連携した研究も不可欠であることは言うまでもない。
この問題は、さらに健康医療データの臨床研究などについても影響があり、大学のみならず、国立、公立臨床研究拠点病院や国立がんセンターと海外共同研究などの問題にも影響している。バイオ戦略において、国際市場を見据えたうえでバイオ医薬品やAIを活用した様々な研究を推し進める上においても海外と連携したデータ基
盤の中で研究が行われなければ我が国の市場に対する国際的な新薬等の開発の優先順位も落ち、全く相手にされなくなってしまいかねない。
これら論点については、与党の国会議員にもすでに上程しており、積極的なご検討をお願い申し上げたいと存じます。もし、直ちに総務省の権限を移すのが難しいにして学術研究分野、医療データの国際的連携についての手当てとして、公的部門の十分性認定取得に向けた議論も必ず踏み込んでご検討をお願い申し上げたい。
弁護士/情報処理技術者/内閣府バイオ戦略有識者委員【漆間総合法律事務所】

吉澤尚

161/173

450<個人データの委託元と委託先の責任分担等について＞
諸外国法制度や国際的認証制度、国際標準との整合性や実務上の課題をふまえ、「委託」にかかわる個人データ取扱上の責任関係を、委託元の一方向的な監督義務に加えて、受託側の責任範囲と順守すべき義務（報告と指示の遵守）を明示する方向が望まれる。
・個人情報保護法およびガイドライン（※１）においては、委託元から委託先への個人データの提供は、両者を一体のものとして取り扱うことにより正当化されているが、旧経済産業省ガイドライン（現在は廃止）では言及されていた「優越的地位にある者が委託元の場合、委託元は、委託先との責任分担を無視し て、本人からの損害賠償請求に係る責務を一方的に委託先に課す、委託先からの報告や 監査において過度な負担を強いるなど、委託先に不当な負担を課すことがあってはなら ない。」といった中小規模事業者への配慮が薄くなっている感がある。
・両者間の責任分担については、現状では委託側の監督義務と企業間の委託契約で任意に整理しているが、諸外国の法制度等では、個人データの管理者と処理者が本質的に異なる義務を負うと規定されているところも多い。（※２）。
・一気に処理者概念まで法制度に導入する必要はないが、委託元、委託先、再委託先それぞれの責任範囲を示すことにより、コンプライアンス上の混乱を回避しデー
タ主体の利益も守られる。
・諸外国から見ても現行法の「委託」の規定における責任分担がわかりづらく、協調的でない指摘も過去にあり（※３）、GDPR十分性の維持やCBPR認証（PRPを含む）の推進に向け、国際標準議論（*４）など自由なデータ流通における今後の日本の主導的役割を考える上で、国際間を含めた委託関係の再整理が必要ではないか。
（※１） 個人情報保護法ガイドライン（通則編） 3-4-3：次の（1）から（3）までの場合（（1）委託、（2）事業の継承、（3）共同利用）については、個人デー
タの提供先は個人情報取扱事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
（※２） GDPR「第４章 管理者及び処理者」や、APEC CBPRシステムにおける処理者向け認証PRPの国内の扱い,Linklaters法律事務所の各国法制度比較(
https://www.linklaters.com/)等。
（※３） 日本の十分性検討の過程においてEDPB(European Data Protection Board)が日本の個人情報保護法においてGDPR上の処理者の概念との整合性が曖昧である点を指摘”Opinion 28/2018 regarding the European Commission Draft Implementing Decision on the adequate protection of personal data in Japan”（※４） ISO/IEC 27018:2014、ISO/IEC 29100:2011 その他【（一社）情報サービス産業協会パブリックポリシー部】

451

私は二年前に仕事のトラブルからパワハラに遭い、酷い人権侵害を受けました。仕事を辞めてからも同様の人権侵害と村八分監視に遭い、嫌がらせをされる為に外出出来ずに家に籠る日々を送らされています。
私が申し上げたいことは
私が仕事をしていた場所はスーパーでしたが、辞めてから何処に行っても、睨みつけや嫌がらせ監視をされ病院にも通院出来なくなりました。
１システムに顔等をを登録する時に、登録担当者の名前を入力を不可欠にするシステム作り・・・誤登録も有る為
２登録機関の厳守：6か月で削除と触れ込みをしているのに連続で登録する場合には何らかの規定が必要ではないでしょうか。
３情報の登録、使用時に本人の許可、承諾書の有無を不可欠にする。
４開示請求時の回答に、法的強制力と権力の下の確認システムと第三者が確認し得るシステム作り（現在では個人情報を所持しているにも関わらす、開示請求しても該当なしと答える事がまかり通っています。
５これらに違反した時の罰則規定が絶対に必要だと考えています。罰則と言えるものでないと、現状を変えるものになり得ないと思います。
個人情報の不正使用の上、防犯団体の提唱する【攻める防犯】個人情報を利用した毎日の過酷な嫌がらせ、虐め、監視によりPTSDのような症状も発症しております。
多くの方が同じ様な状況に立たされています。
正しい判断で、人権侵害を防ぐ為の個人情報保護の改正をお願い致します。
【匿名】

162/173452

１．基本的事項：法体系の整合性と、予測可能性（一般人が容易に理解できる）を確保していただきたい。
２．立法の趣旨と法律名：個人情報保護法（以下 法）の立法の趣旨は、自己情報の制御権付与である。「個人情報保護法」より、「自己情報制御権付与法」の方が趣旨が明確である。
３．法とガイドラインの内容に齟齬がある：法は一般規定、ガイドラインは各論（運用上の詳細事項）規定である。法とガイドラインに論理的不整合が見られる部分が複数ある。
重要事項を例示すると、（１）個人情報の定義：個人情報の定義は、法では変更がないが、行政解釈で提供先基準から提供元基準に変更された。ハッシュ関数等を用いて非可逆変換しない限
り、ほとんどの情報は個人情報に分類される。このままでは、業務に支障が出る。法の定義に統一するべきである。
（２）法では、要配慮個人情報にはオプトアウトを認めていないが、医療・介護分野のガイダンスでは、黙示の同意という表現で実質的にオプトアウトを認めている。法に、特定分野ではオプトアウトを認める場合があると明記するべきである。
（３）ガイドライン（通則編）と分野毎のガイドラインあるいはガイダンスの関係が不明瞭：全分野の法の運用規定がガイドライン通則編である。別途、特別の分野のガイドラインあるいはガイダンスが規定されている。
しかし、通則編と分野毎のガイドラインあるいはガイダンスとを詳細に比較しない限り、両者の相違が判断できない。
対策として、以下のいずれかに統一していただきたい。
（３）－１ 特殊の分野においては、ガイドラインあるいはガイダンスだけで判断できるようにする。
（３）－２ ガイドライン通則編で記述できない特殊部分のみ、分野毎に記述する。
【公益社団法人全日本病院協会】

453

暗黒監視国家への進行をくい止めることのできる実行力のある法律をお願いします。
【匿名】

454

私たちの知らないところで個人情報が売買されていることに不安を感じます。中間整理は、この問題に真摯に取り組んでいただいています。しかし、私たちがこの法
律上の権利行使をするための制度や当局の運用取り締まり体制が不十分に思います。個人情報保護委員会の規模の拡大や充実が望まれます。また、実効性のある制度にするために、行使代理機関（団体）を創設するのも一つの方法ではないでしょうか。
【個人】

455

公益通報保護法と個人情報保護法の整合性について貴委員会にてご協議いただけますと幸甚です。
個人情報保護規制と内部通報制度とは（１）通報者自身の個人情報及び（２）（冤罪かもしれない）被通報者の個人情報の取り扱いを巡り、緊張関係があるといころです（とりわけ、後者）。この問題は、ナチスドイツによるユダヤ人迫害の歴史を経験しているEUにおいては明確に認識されているところです。
しかし、貴委員会のウェブサイト上の法令、ガイドライン、Q&Aを拝見した限りではこの重要な論点について考えが示されているようにも思えませんでした。
貴委員会によれば、今回の中間論点ののち、学識経験者へのヒアリングを実施するとのことなので、（短期的な議論に終始しがちな実務家の観点からのみではなく）中長期的・理論的整合性も考慮した研究者の方からこうした根本的な問題についてヒアリングしていただき、個人情報保護法の見直しの際に考慮していただきたいと考えている次第でございます。
なお、先日拝見したところ、「「公益通報者保護専門調査会報告書」に関する意見募集の結果について」（2019年5月8日付。以下）の末尾でも、一般データ保護規則と公益通報者保護法との関係性を議論いただきたい旨のご意見があったようでございます。
https://search.e-gov.go.jp/servlet/Public?CLASSNAME=PCMMSTDETAIL&id=235030034&Mode=2【匿名】

163/173

456[意見18]
改正法の公布から施行までに十分な期間を設けるべきである。
（理由）
法改正の内容によっては、事業者にはシステム対応を含む相当の準備が必要となる。
【(一社)日本経済団体連合会情報通信委員会企画部会】

457

GDPR移転規制に関する大学・研究機関の十分性認定獲得の必要性について。
日本の国立大学や研究機関は、日本の民間企業と異なり、独立行政法人等個人情報保護法のもとにあり、GDPRの移転規制に対する十分性認定の適用範囲外となっている。
これにより、欧州と国際共同研究を実施するにあたり欧州研究者の個人情報取得や、欧州ブランチとの個人情報（大学生、大学院生、研究者、人事公募情報等）のやりとり（個人情報の越境移転）に関して、SCC契約を結ぶ必要が出てくる。SCC契約には、越境移転する情報の目的と種類等ごとに数十～数百万円の費用がかかり（欧州弁護士費用）、これが日本国民の血税によって賄われる。
すくなくとも、欧州との国際共同研究や個人情報のやりとりが活発に行われる（一部の）研究大学・研究機関群については、個人情報保護法と同様に移転規制に対して十分性認定の範囲となることが望まれる。
【個人】

458

１）個人情報の保護を目的として明確にすべきです
個人情報保護法は、そもそも1999年の住民基本台帳法改正により創設され2002年８月に稼働した住基ネットが世論の強い反対を受け、個人情報保護の不備を指摘して市区町村の不参加表明や延期要請も相次ぐ中で、個人情報保護のための措置を講じる目的で2003年5月に成立した法律です。その立法趣旨を踏まえれば、個人情報保護を第一義に運用されなければなりません。
しかし2015年の法改正では、第1条目的の「個人情報の有用性に配慮しつつ個人の権利利益を保護することを目的とする」との規定に、新たに「個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性」に配慮すると追加して、個人情報の利活用を重視する姿勢が強まりました。
今回の「中間整理」でも総論で「デジタル化された個人情報を用いる多様な利活用が、グローバルに、展開されており、国際的な制度調和や連携に配意しながら制度を見直すことが必要」などさらに利活用が重視され「個人情報利活用推進法」となりつつあります。
利用の規制と推進というブレーキとアクセルを同じ機関が行うことの危険性は、原発事故の教訓です。個人情報保護法はあくまで個人情報保護を目的とすることを明確にすべきです。
２）不正な個人情報の流通に対する規制が不明確です「中間整理」でも、目的外利用や第三者提供や漏えいについて個人情報保護委員会に多くの不満等が寄せられ、「名簿屋」対策を求める意見が多いことが指摘されています。増加する「特殊詐欺」等では個人情報を詳細に調べて利用し、インターネットの闇サイト等で個人情報が闇取引されていることが報じられています。
このような中でマイナンバー制度がはじまり、行政機関等で個人情報に新たにマイナンバーが付番され、民間事業者でも従業員や取引先等の税・社会保険手続きのためにマイナンバーを保有することになりました。そのため今後は漏えいの際にマイナンバーとともに漏えいする可能性が高く、マイナンバーの付いた個人情報は迅
速・正確なデータマッチングが容易であるため、違法な利用をさらに助長する危険性があります。
しかし「中間整理」では届出業者でも概ね適切な取扱いがされているのが２／３にとどまり、未届けの疑いがある業者も少なくないことが報告されています。さらに世界規模で個人情報の闇取引がされている状況への言及もありません。にもかかわらず今後の方向では、「消費者側と事業者側で意見の分かれる点も多く、多面的な検討」が必要と、規制を曖昧にしています。
違法な個人情報流通への実効ある監視と規制を強化すべきであり、それがされないのであればマイナンバーの記録保管は中止すべきです。
【共通番号・カードの廃止をめざす市民連絡会】

164/173

459３）行政機関も含めた自己情報コントロールのための規定を整備すべきです。
利用停止請求の要件を「不正な取得、利用、保有」から広げること、漏えいの際の本人への連絡の義務化などの方向が検討されていますが、事業者への配慮で規制
強化は曖昧になっています。自己情報コントロール権の保障を個人情報保護法の目的として明確にするとともに、本人の望まない利用の停止請求権や漏えいの本人への通知義務を明記すべきです。
また個人情報保護法は行政機関を対象とせず、利用目的の制限、本人の同意を得ない要配慮情報の取得、利用目的の通知、第三者提供の制限などいずれも法令に基づく場合は除外されています。番号法では本人の同意なく個人番号を付けて個人情報が管理され情報提供されることが、プライバシー権の侵害として争われています。行政機関等も含めた自己情報コントロール権の保障を規定すべきです。
４）個人情報保護のための実効ある個人情報保護委員会を
私たち市民連絡会は、たびたび特定個人情報の取扱いについて個人情報保護委員会に問合せていますが、その都度、個別の事由には応えられないとして説明を拒まれています。
個人情報保護委員会は、そもそもマイナンバー制度に伴うプライバシー等の侵害の危険性の増大に対する安心安全のための措置として設置されたものであるにもかかわらず、「いわゆる３年ごとの見直しに係る検討の着眼点」ではマイナンバー制度への言及もありません。
今回の見直しは、実効ある個人情報保護のための委員会の改善も目的とされています。市民の信頼を得られる開かれた実効ある保護のための措置を明らかにすべきです。
【共通番号・カードの廃止をめざす市民連絡会】

460「第７節 その他の論点」の「○ 官民を通じた個人情報の取扱いに関する論点も複数指摘されたところであり、具体的には、行政機関、独立行政法人、地方公共団
体、民間事業者等の法律等の統合を求める意見や、委員会が行政機関や地方公共団体における個人情報の取扱いについても所管することを求める意見等があった。この論点に関する政府としての検討に際しては、委員会としても適切に対応していく必要がある。」について【意見】
同じ研究を行う機関であっても、当法人を含め独立行政法人等個人情報保護法が適用される国立研究開発法人や国立大学法人と、個人情報保護法が適用される私立大学等との間において適用される規律に相違があり、国立研究開発法人等のみに過剰な規律が課せられていることは均衡を逸しており不合理である。国立研究開発法人
や国立大学法人についても、個人情報保護法が適用される私立大学等と合わせた取扱いにするよう法制度の見直しを行っていただきたい。
【理由】（２） 個人情報保護委員会において、個人情報保護法第24条に基づくEU指定を行い、また、欧州委員会においても、GDPR第45条に基づく我が国の十分性認定を決定したことで、日EU間において相互の円滑な個人データ移転を図る枠組み構築されたが、この枠組みは個人情報保護法の適用を受ける民間事業者が対象であり、独立行
政法人等個人情報保護法の適用となる独立行政法人等は対象外である。(1)と同様に、私立大学等と国立研究開発法人等との間に個人データ移転の観点で差異が必要な理由が見いだせない。例えば欧州に拠点を持ち現地で働く従業員の個人データを我が国に移転する際に、私立大学等は不要だが国立研究開発法人等は標準契約条項
締結等の越境移転規制のための対応が必要となるなど、国立研究開発法人等にとっては不均衡と判断せざるを得ない枠組みとなっている。私立大学等と同様のデータ移転が可能となるように措置すべきである。
【国立研究開発法人情報通信研究機構】

165/173

総論
・データの利活用は日本の産業競争力強化のもっとも重要なファクターのひとつ
・個人情報の保護と利活用のバランスが重要
・制度設計に当たっては、民間企業の実態を十分に踏まえることが必要

461

前回改正時での当連盟の主な主張（２０１５5年２月）と今回のスタンス
・個人情報の定義拡大によるデータ活用後退
特定個人識別されない符号単体のみで規制すべき理由がない
・外国企業によるルール遵守
日本国政府による直接執行ができない。インターネットはグローバルネットワークであり国内企業のみの過剰規制は無意味。外国企業により日本人のデータの更なる流出のおそれ・上記２点は、今後も変わらない重要な視点であり今回も重要【一般社団法人新経済連盟】

462

個人情報は、誰のものであるかのか、明記されていない。本人のものであると、明記すべきでは。
【匿名】

補完的ルールの内容を、明確に法律レベルで規律すべきである。

463

既に有識者ヒアリングでも多数（板倉氏、鈴木氏、石井氏、宍戸氏）指摘があるとおり、「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」（以下、補完的ルール）を法律レベルでの規律として取り込むべきである。欧州市民のデータのみについての上乗せ保護が平等原則に反すること、EDPBによる指摘については板倉氏資料（5頁）にあるとおりであるので、以下では、行政法の大原則である「法律による行政の原理」（特に法律の留保、法律による法規創造力）との関係で問題があるという点に絞って意見を述べる。
補完的ルール1頁は、「法第６条は、個人情報に関する一層の保護を図り国際的に整合のとれた個人情報に 係る制度を構築する観点から、法令で定める内容を補完し上回る、より厳格な規律を設けら れるよう必要な法制上の措置その他の措置を講ずる権限を規定している。」としているが、法6条の規定する「必要な措置」は、「法令で定める内容を補完し上回る」ような規律を委員会に授権した委任規定とは理解できないのではないか。本条項は組織規範として、所掌事務を明示したものであって、確かにガイドラインなどを策定することを個人情報保護委員会に認めたものではあるが、しかし法律及び委任を受けた命令をも上回るような法規（権利義務の制限をその内容とする一般的規律）を制定する権限まで付与したものとは解されない。もし、本条項をそのように読むのであれば、法6条は国際的に整合の取れた
個人情報を保護する制度構築目的であれば特に制限もなく一般的規律を定立する権限を授権したことになり、白紙委任だという批判を免れないこととなるだろう。
実際、このような解釈が極めて奇異であることは、学会においても議論されているところである。2018年10月14日の日本公法学会における報告：佐伯祐二「省庁における『先例』」においても取り上げられ、議論された。本報告では上記の箇所に下線を付して引用したうえで、これを「法令事項たるべき内容を「指針」文書で達成しようとする例もある、との指摘がみられる」との記述で紹介した。
また、これは個人情報保護委員会が一定の独立性を有し、規則制定権限を有する機関であることからも、問題視されなければならない。準立法権限を有する機関において、組織規範に過ぎない条項をこのように解する慣行が定着してしまえば、法律による行政の原理の中核的な内容である、法律による法規創造力および日本国憲法にいう41条（立法権は国会に属すること）を潜脱した、違憲な状況が定着してしまうことになる。それは、人権擁護の観点からも、また国際協調の観点からも異質であるし、本法が3年見直し条項をもって適切に立法府による対応を求めていることとも整合しない。
E Uとの十分性認定交渉には多大な苦労がかけられたことは承知しており、また、補完的ルールもそのために必要な対応であったことは理解できる。しかし、3年見直しのこの機会に上記の違憲状態の状況を是正しないことは許されず、また国際協調の観点からも今後問題になるはずである。補完的ルールの内容を、明確に法律レベルで規律すべきである。
【個人】

166/173464

現在、一般人の防犯パトロール関係者に特定個人の情報を流し、リレー方式により、監視、尾行するという方法が行われており、さらに、未然に犯罪を防ぐための「攻める防犯」と称した嫌がらせが行われていると、全国から多くの声が上がっております。どうか、早急に申し立てできる専門の窓口を設置して頂けますよう、お願い申し上げます。
【匿名】

465

No.1
【ページ、項目番号】
全体【該当箇所】
全体【意見】
ＩＴイノベーションの急速な進行により経済社会の大きな変革が進行するとともに、それを支える重要な基盤の一つである個人情報保護に対する社会的要請が益々高まりを見せつつある現状に鑑みれば、今回個人情報保護法の見直しを行うことは誠に時宜を得たものであると考えます。
また、今回公表された見直し検討の中間整理の内容も、これまでの法の施行状況を評価し、消費者等からの相談やタウンミーティング、各界からのヒアリング等国内の幅広い声を収集するとともに、関連する制度や情報技術等の動向、個人情報保護に係るGDPRなど国際的な動向も踏まえて、検討されるべき諸課題・論点を広範かつ漏れることなくカバーし、かつ必要な分析が丁寧に行われており、そこで示された検討の方向性について、当協会は基本的に賛同いたします。
当協会はこれまで個人情報保護委員会のご指導・ご支援の下、プライバシーマーク制度の運営や認定個人情報保護団体としての活動等を通じて個人情報保護法の浸透、定着に一定の役割、貢献を果たすことができたと自負しておりますが、今回の見直しを通じ今後さらにその活動の強化を図り、個人情報保護委員会の御指導の下、個人情報保護に対する社会的要請に的確に応えていきたいと考えています。
【一般財団法人日本情報経済社会推進協会】

第７節 その他の論点（56頁）
意見２：
GDPRの十分性認定を、個人情報保護法が適用されない主体（公的部門や条例が適用される主体）も対象となるように調整していただけないか。
理由：
GDPRの各国法で定める部分について、全て確認し、対応することは容易ではない。気付かぬ内に違反してしまう可能性もある。もしそれが難しいようであれば、少なくともGDPRの各国法の日本語訳を個情委のサイトから提供していただきたい。併せて、各国で定めなければならない（各国でルールが異なる）項目について一覧表にし、気付かぬ内に違反してしまう可能性を低減できるようサポートしていただきたい。

466

意見３：
十分性認定により移転を受けた個人データの取扱いに関する補完的ルールは、個人情報保護法自体に取り込むべきではないか。
理由：
同じ個人データなのに、日本国内で入手した個人データと十分性認定により移転された個人データの取り扱いが異なるのはおかしい。個人データに関するルールが、GDPRと調和がとれていないということであり、同じレベルにしていく必要があると考えられるため。
中間整理に存在しない項目
意見：
セキュリティ保全のために必要な作業や情報提供については、『第三者提供』や『目的外利用』には該当しない旨をガイダンスに明記して欲しい。
理由：
セキュリティ保全は必要不可欠な作業であり、外部の民間企業等に委託することが多い。日本の企業に委託する場合は内部利用に整理されるが、海外のクラウド等を利用する場合、セキュリティ保全を含むサーバ管理（データ自体のウイルスチェック等、データ自体を扱うことも含む）の委託が外国の第三者提供に該当してしまう。データの安全管理措置として必然的な作業であるため。
【国立研究開発法人・科学技術振興機構 NBDC】

167/173

467

意見１（該当箇所）
中間整理において出されていない論点を提案します。
（意見）
個人情報の利用目的の特定に際して、利用目的が適切な内容であることを明示的に求めることを提案します。
そのための一案として、個人情報保護法第十五条（利用目的の特定）について、以下のように見直すことを示します。
見直し案：「」部分を追記
第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）を「個人の権利利益を侵害しないものとして、」できる限り特定しなければならない。
現行法：第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
（理由）
現行法においては、利用目的を特定することを求めていますが、その内容については法条文において規定していません。そのため、利用目的の内容が不適切であっても、それを特定さえしていれば、法を遵守したことになり得ます。
たとえば、事業者が電話による広告活動をする場合には、それを利用目的とすることができます。しかし、しつこい勧誘電話は迷惑行為であり、個人の権利利益を侵害していると言えます。そのような利用は規制されるべきだと考えます。
現行法においては、電話をするために必要な電話番号が個人情報に該当するか否かで、保護の対象とするかが決まります。電話番号が個人情報に該当するためには、
特定の個人を識別できるかなどが要件になります。しかし、その該当性について、個人情報の有用性に配慮するために、個人情報の該当性の範囲を狭めることを、迷惑行為をしない事業者が求める傾向にあります。本来は、個人情報の該当性を広くした上でも、利用目的の適正性が規制されるならば、適正な利用を目的とする事業者が個人情報の該当性を狭めることを殊更に求めることは軽減されるものと考えます。
また、他の例として、たとえば、現行法では、個人情報を第三者に提供することを利用目的に含めることが容易にできてしまいますが、その提供が個人の権利利益を侵害し得ると考えられるのであれば、当該利用目的そのものについて規制されるべきだと考えます。
したがって、利用目的については、特定する以前にまず、それが個人の権利利益を侵害しないものであることを規定し、仮に、利用目的そのものが不適切である場合には、それについて個人情報保護委員会が指導・助言をできるようにすることを提案します。
【日本個人情報管理協会】

168/173

468

意見２（該当箇所）
中間整理において出されていない論点を提案します。
（意見）
利用目的の通知等に際して、事業者の意図していることが本人に明瞭に通知等されることを明示的に求めることを提案します。
そのための一案として、個人情報保護法第十八条（取得に際しての利用目的の通知等）について、以下のように見直すことを示します。
見直し案：「」部分を追記
第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。「利用目的を通知又は公表するに当たっては、その内容及び方法が欺瞞的であってはならない。」
現行法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
（理由）法第十五条において、利用目的の特定が求められていますが、事業者は特定した利用目的を本人に誤解をあたえない表現や方法で通知又は公表する必要があると考えます。
個人の権利利益を保護するためには、事業者が特定した利用目的の内容を本人があらかじめ誤解なく知る必要があります。
したがって、利用目的については、事業者が特定した利用目的と、本人が認識した利用目的に祖語が生じにくいようにする必要があり、仮に、利用目的の通知等の内容及びその方法が本人が正しく認識する上で不適切である場合には、それについて個人情報保護委員会が指導・助言をできるようにすることを提案します。
【日本個人情報管理協会】

469

意見３
（該当箇所）
中間整理において出されていない論点を提案します。
（意見）
個人情報の取得に際して、事業者が通知等した利用目的について、本人から同意を取得すること（いわゆる、オプトイン）を求めることを提案します。
（理由）
法第十八条において、個人情報の取得に際しての利用目的の通知等が求められていますが、事業者は通知等だけではなく、利用目的への同意を取得することを求める必要があると考えます。
オプトインについては、個人情報保護法が施行された2004年当時から、日本工業規格「個人情報保護マネジメントシステム」（JIS Q 15001）の要求事項になっており、近年ではGDPRでも求められていることから、多くの事業者が既に遵守しているため、事業者の事業規模によらず著しく困難な規定ではないものと考えます。
日本における個人情報保護を国際的な水準に合わせるためにも、オプトインを求めることを提案します。
【日本個人情報管理協会】

169/173

470

【意見４】
（該当箇所）
中間整理において出されていない論点を提案します。
（意見）
個人情報保護委員会が、個人情報保護法及び番号法に限らず、個人情報の保護に係る法令等全般についての取り組みをできるように、必要であれば関連法令等の改正をすることを提案します。
（理由）
個人情報の保護に係る法令は、個人情報保護法だけではなく様々な分野の法令があります。しかし、個人情報保護委員会は、個人情報保護法及び番号法以外の法令について直接的な取り組みをすることができません。しかし、民間における事業等は、個人情報保護法に基づいて推進されるわけではなく、情報の取扱いにおけるコン
プライアンスの一環として個人情報の保護に努めることになります。そのため、個人情報保護委員会には、個人情報の保護に関係する事業活動を全体的に指導・助言等していただけることを期待します。
たとえば、迷惑メール防止法（特定電子メールの送信の適正化等に関する法律）は、いわゆる広告を目的とした電子メールの送信の適正化を規定しており、これは個
人情報保護法においては、電子メールアドレスの利用や利用停止の制約と密接に関連するとともに、オプトインや送信者とその連絡先を明記するなど、個人情報保護法にはないことも規定されています。迷惑メール防止法が施行された直後は、これらが遵守されていた時期もありましたが、個人情報保護法の啓発が進む半面、迷惑メール防止法の認知がむしろ下がっているようにすら感じられます。
同様の法令としては、特商法（特定商取引に関する法律）もあり、両法律の周知が推進された時期には、オプトインしていない電子メールの件名に「広告メール」の表記がされるなど事業者による遵守も進んだが、昨今は、個人情報保護法による利用目的の通知又は公表で足りるとの誤解から、広告メールについてオプトインが法的義務であるとの認識が低くなっていると思われる。特商法については、電子メールに限らないものであり、広告全般についてオプトインが求められているが、郵送や電話連絡についても同様な状況になっています。
これらのことは、個人情報保護委員会による個人情報の説明がされるほどに、事業者に誤解を与えてしまう危険性があります。法規制の基本的な知識として、個人情報保護委員会は、個人情報保護法だけに責任を持っており、事業者はその活動においては、個人情報保護法以外のすべての法令を遵守することは当然のことではあります。しかし、委員会から「個人情報の利用目的をあらかじめ通知又は公表しなければならない」とだけ示されたときに、他の法令において「事前の同意を得なければならない」という規制があることを見落としがちです。
この誤解を軽減するためには、個人情報保護委員会がオプトイン規制を求めている法令があることの説明も加えるのがよいと思いますが、設置法上、他の法令に言及する活動がしにくいのであれば、そのために必要な関連法令等の改正をすることを提案します。
【日本個人情報管理協会】

471

第６ いわゆる「補完的ルール」については法令上の根拠をより明確にすべきである
なお「中間整理」に明示的な記載はないものの、貴庁が平成30年9月付で公表したいわゆる「補完的ルール」に関しては、結果的にEUの十分性認定を獲得した点につき敬意を表するところである。
ただ他方で、その執行力の有無については、法律の留保の観点を踏まえて法律家から疑問も呈されていたところであり、法令上の根拠をより明確にすべきと考える。
また、今後において同種の制度設計を行う際には、行政法の然るべき法体系に沿った設計がなされるべきである。
【個人情報保護法改正を検討する弁護士の会】

472

自己情報コントロール権を明文化してください。
【匿名】

170/173

473

個人情報保護法は自分の個人情報を守る権利を奪っている。
この法律は個人情報保護法でなく、個人情報利用法である。
個人情報保護法であると主張するならば、「第２３条４－３特定共同利用」の削除が必須である。
せめて特定の者はすべて明記すべき。たとえ特定の者が数万社あろうとも。グループ会社等だけで済ませるのはおかしい。これを放置しておいて「名簿屋」対策に何の意味があるというのか。共同利用は名簿屋よりも悪質である。プライバシーポリシーに同意しなければ、契約締結も、物やサービスの購入もできないのだから。
これだけ個人を食い物にしておいて、さらに、匿名加工（医療）情報、官民データ利活用、マイナンバー制度を作って個人情報を収集・利用し、それでも足りず「情報銀行」や「データ取引市場」を創設して、個人情報売買による手数料稼ぎビジネスを作って企業をもうけさせる強欲さにあきれる。
個人が個人情報を提供した理由（サービスを受ける、物を買う、契約締結などのため）以外で個人情報を利用する場合および他のものに提供する場合は、官民ともに、本人の同意を必須とすべきである。
【個人】

474

意見1 （該当箇所）
全般（意見）
今次パブリックコメントの後も、制度改正に至るまでは引き続き関係業界からの意見陳述の機会を与えていただきたい。
（理由）
同法の見直しは広く関係業界に大きな影響があるため。
【在日米国商工会議所】

475

５．全般
・今回の諭点における検討事項が改正された場合には事業者等への影響が大きく、システム対応等の準備期間が必要になると考えられる。ついては、法律の公布から施行までに十分な準備期間を設定いただきたい。
【一般社団法人 生命保険協会】

476

（全般 ）
・本中間整理やパブリックコメントの結果等を踏まえ、仮に改正を行う場合には、改正案は、なるべく早期に提示いただきたい。
・また、改正案は、パブリックコメントに付されることが望ましい。
【一般社団法人 全国銀行協会】

477

第１節 個人情報に関する個人の権利の在り方 ５．検討の方向性
・企業等が保有する「個人情報の帰属の明確化」についても検討のテーマに盛り込むべきである。かかる基本的な認識が不統一な状況では、消費者と企業との認識差異によるレピュテーショナルリスクが解消しないほか、企業間においても、認識の相違から自主ルール等が乱立することとなり、管理水準のバラつきを助長し、また、利活用に関しても、大きなイノベーションが生じ難い状態を惹起する懸念がある。
・個別のテーマについて、民間主導の自主ルールを優先することに異論はないものの、個人情報の管理・利活用の起点となる考え方については、統一化が必要である。
【一般社団法人 全国銀行協会】

478

該当箇所：その他
個人情報保護法における「要配慮個人情報」と、「金融分野における個人情報保護に関するガイドライン」等における「機微情報」を分けて定義する必然性があるのか。前者が後者を包含するか、あるいは、後者を見直す等の対応を検討すべきではないか。昨今では、運転免許証にも本籍は記載されておらず、労働組合への加盟その他の機微情報は、金融分野に限られるものでもないのではないか。
【一般社団法人 国際銀行協会】

171/173479

該当箇所：その他
各ガイドラインにおける安全管理措置の区分を見直すべきではないか。
「個人情報の保護に関する法律についてのガイドライン（通則編）」や「信用分野における個人情報保護に関するガイドライン」等では、組織的、人的、物理的及び技術的安全管理措置の 4 区分が規定されているが、「金融分野における個人情報保護に関するガイドライン」では、物理的安全管理措置が独立して規定されておらず、それらは技術的安全管理措置に含まれると説明されている。上記の項番3 番のコメント（＝「要配慮個人情報」と「機微情報」の整合化）を含め、個人情報保護委員会が各省庁のガイドラインを整理し、できる限り統一化を図るべきではないか。
【一般社団法人 国際銀行協会】

480

２56 頁 第 7 節 その他の論点について
個人情報保護法は、主に、個人情報を含む情報の集合物（データベース）を事業の用に供している「個人情報取扱事業者」に対して一定の義務等を定めた法律であり、ガイドライン上反復継続性が認められれば非営利であったとしても事業者性は認められるとされているものの、事業者性の認定にお いて課題があるという現状がある。
平成3 1 年 4 月1 7 日衆議院法務委員会において、松平浩一議員による破産者マップ事件に関する質疑に対し、山下貴司法務大臣は、「破産法に基づき公表された個人の情報に関して、その情報を取得した者がこれをどのように扱うべきかについては、個人情報保護法の規律による」との答弁がされた。しかしながら、事業者性の認定に関して疑義が生じるようなケースにおいて個人情報保護法の規律に よる対応ができないとすれば、非事業者とされた者によって個人情報を第三者へ公開され、損害を被 った者は、どのようにして被害の拡大を防ぐのかが問題となる。また、一般的な事業者であっても、 データベースを用いずに反復継続的に個人データを第三者へ提供している者が、個人情報取扱事業者には含まれず個人情報保護法の適用を受けないとされていることは著しくバランスを欠いている。
この点、現状では、非事業者に対する責任追及は、一般法である民法や刑法等の規定によって対応 することになろうが、それで個人情報の保護が図れるとは到底考えられない。インターネット等の発達により、個人情報の保護の必要性は高まり、また、事業者以外の者が容易に他人の個人情報を取得し、利用することが可能となった今、個人情報保護法の適用対象を再検討し、これまででは考えられ なかったプライバシーの侵害等に対応できるような時代にあった法改正を早急に行う必要がある。具体的には、データベースを用いらずとも、コンピューターや各種媒体を通じて個人データを継続的に第三者に提供する者等について、「みなし事業者」として個人情報保護法の規律を適用できるような方策を検討すべきである。
【全国青年司法書士協議会】

481

[意見1]
（該当箇所） 全体（意見）
個人情報保護法の改正に向けた議論においては、医学の発展及び公衆衛生の向上や国民ニーズ、事業者の実務負担、更には欧州の取り組み等の幅広い観点から、「個人プライバシーの保護とデータ主導型社会での利用のバランスの取れた規制」、「規制の明確化と全国の主体による取り扱いの差異の解消」、「EUをはじめとした先進諸国との制度調和」に視点を置くとともに、製薬産業を含む産業界の意見を取り入れながら検討を進めていただきたい。
【日本製薬工業協会 産業政策委員会】

172/173

482

第 3 章 第 1 節 個人情報に関する個人の権利の在り方
3
検討の方向性（１） 全体【意見】
日本における個人情報保護法制がOECD 原則に対応しているという前提認識に立つと、本来議論すべき個人の権利と個人惜報の利用についての本質的な議論から逸脱することになる。OECD原則は、「取集制限の原則」として「適法・公正な手段により、かつ情報主体に通知又は同意を得て収集されるべき」としているが、個人情報取扱事業者の義務は「偽りその他不正の手段により取得してはならない」にとどまり（中間整理６ページ）、日本の個人情報保護法制は収集段階での本人の関与を原則としていない。
このことが、名簿屋問題、利用目的の通知・公表、開示請求しようにもどのような個人データが保有されているか認識できないなどの問題と関連しているのは言うまでもない。日本の個人情報保護法制はOECD 原則に対応している部分もあるが、収集段階での本人の関与という個人情報保護の仕組みにおいてもっとも根幹にかかわる部分での原則の未確立が、日本の個人情報保護法制における議論を中途半端なものにしている。さらに、個人の権利利益よりも利用を重視し、利用を制限しない範囲での個人情報保護制度という傾向を助長し、一方でわかりやすいターゲットとして名簿屋を挙げて対策を何かしており、問題はそこに集約されているかのような消費者問題対策を講じているように見受けられる。
名簿屋問題を軽視すべきということではなく、名簿屋問題は、個人情報の収集段階で本人関与がないがために生じている側面があり、加えて入手元を本人に明らかにしないという問題、さらにはそもそも自分の情報がどこによって保有されているかがわからないという問題になっている。個人情報の収集段階での本人関与を原則とすることは、利用目的、第三者提供などについての基本的な合意のもとでの個人情報の適切な利用が図られるのであり、この原則を確立せずに行う対策は、作業を増やすが実効性にいつまでも疑問が残るものにならざるを得ない。また、原則の未確立は、調整すべき他の利益や例外が何かという合理的かつ建設的議論を妨げているものであることも認識されるべ きである。
こうした問題の背景は、個人情報保護を消費者問題の延長としており、人権あるいは個人の基本的権利に関わる問題としてとらえられていない今の基本的な運用枠組
みにあることも指摘しておきたい。消費者問題の延長とすることで、事業者の利益の調整という枠組みに問題をとじ込めていることにも留意すべきである【特定非営利活動法人 情報公開クリアリングハウス】

483

第 3 その他
いわゆる「3 年ごとの見直し」について， 本件の検討過程における議論内容等が公開されていないことは，遵法を迫られる事業者等に対して議論の経過等について透明性が担保されず，中長期的なデータ戦略の検討や変更等に支障が生じることで，「個人情報の滴正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会
及び豊かな国民生活の実現」を自ずと妨げる帰結となる可能性は排除できないため，原則として内容を適時に公開ですべきである。
なお個人情報保護員会での議論公開について何かしらの支障が生じる可能性があれば， 専門委員会等での議論及びその公聞を行うのが望ましいと考える。
以上【一般社団法人 日本広告業協会】

484【意見の対象】
第 3 章「第7 節 その他の論点」【内容】
ブロックチェーンと個人情報保護法の関係性についても議論の俎上に載せていただきたい。
【理由】
ブロックチェーンと個人情報保護法のデータ最小化原則との関係を検討し、ブロックチェーンの適法性を明確化すべきと考える。この点については、 EUで議論が進んでいるので、それを参考にした上で、どういうブロックチェーンであれば問題ないのかをしっかり明確化していただきたい。
【経営法友会】

173/173