日時：令和６年１月 31 日（水）13：40～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、髙村委員、小笠原委員
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、梶田委員が御欠席です。
初めに、この度１月26日付けで委員に就任されました清水委員から一言御挨拶をいただ
きたいと思います。
清水委員、よろしくお願いいたします。
○清水委員

１月26日付けで個人情報保護委員会委員を拝命いたしました、清水涼子と申します。どうぞよろしくお願いいたします。
これまで関西大学会計専門職大学院で公認会計士を目指す学生に会計学及び監査論 を教えておりました。私自身は、その前職の監査法人時代から継続してパブリックセクターの会計監査及び内部統制を中心としましたガバナンスを専門としてまいりました。実際に数多くの公的機関、特に地方公共団体に監査やコンサルティング等を通じて関わってまいりました。監査というと、数字のチェックを思い浮かべがちなのですけれども、パブリックセクターにおけます場合、数字の正確性はもちろんのことながら、 法令遵守、さらに３つのE、3Eと呼んでおりますけれども、すなわち、経済性（Economy）、効率性（Efficiency）、
有効性（Effectiveness）といった観点が重要になります。すなわち、無駄はないのか、効率的に運用されているのかといった点に加え、法の趣旨が適切に達成されているのかどうかといった有効性の観点から実際の運営を検討することが求められるのが特徴と 言えます。
我が国において、個人情報保護法制の所管が委員会に一元化されたところですが、委員として、地方公共団体等でも実際の運用状況をこのような観点から検証することにより、課題を見いだし、場合によっては法制度の見直しにつなげることも含め、さらにより 良い制度運用となるよう努めてまいりたいと思います。どうぞよろしくお願いいたします。
○森川総務課長

ありがとうございました。

それでは、以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第270回個人情報保護委員会を開会いたします。

本日の議題は三つございます。
議題１「関東ITソフトウェア健康保険組合（適用、給付及び徴収関係事務）の全項目評
価書（クラウド型ファイル交換サービスによる個人番号の入手に伴う評価の再実施）について」、事務局から説明をお願いいたします。
○事務局

今般、関東ITソフトウェア健康保険組合から「関東ITソフトウェア健康保険組1

合における適用、給付及び徴収関係事務

全項目評価書」が提出されましたので、概要を御説明いたします。
概要説明に続き、特定個人情報保護評価指針に定める審査の観点等に基づいた評価書の指針への適合性・妥当性について、事務局から精査結果を御説明させていただき、承認するかどうかの御審議をいただきたく存じます。
それでは、資料１－１に基づいて全項目評価書の概要を説明いたします。
特定個人情報ファイルを取り扱う事務については、９ページから 11ページの「（別添１）
事務の内容」を御覧ください。同健康保険組合が特定個人情報ファイルを取り扱う事務として、加入者への保険給付等に適用する資格関係情報等を取り扱う「適用事務」、加 入者への給付決定に係る「給付事務」、保険料等の徴収に係る「徴収事務」の三つが記載されております。このうち、今回変更が生じるのは、「適用事務」となっております。
「適用事務」で変更が生じる内容については、10ページの「＜個人番号を取り扱う事務の流れ＞１．適用事務」の「１－②’」及び「１－④ '”」を御覧ください。事業所は、同
健康保険組合へ個人番号を記載した届出等を提出する業務を従前から実施しておりました
が、提出方法を追加し、新たにファイル交換サービスによる提出を行うことといたしました。
続きまして、提出方法の追加に伴い新たに実施することとしたファイル交換サービスの利用に係る主なリスク対策を御説明いたします。まず、特定個人情報の入手に係るリスク対策についてです。25ページ上段の「リスク２：不適切な方法で入手が行われるリスク」
を御覧ください。【加入事業所から個人番号を入手する場合の措置】として、ファイル交換サービス上に事業所がアップロードした届出書のみを受け付けること等が記載されております。
続いて、27ページ上段の「リスク４：入手の際に特定個人情報が漏えい・紛失するリス
ク」を御覧ください。【加入事業所から個人番号を入手する場合の措置】として、ファイル交換サービスの通信経路は、暗号化を施しており、ファイル交換サービスを利用した送受信データに対し、最新のパターンファイルで自動的にウイルスチェックを実施すること等が記載されております。
続いて、29ページ下段の「リスク２：権限のない者によって不正に使用されるリスク」
を御覧ください。＜ファイル交換サービスサーバーにおける措置＞として、ファイル交換サービスの運用担当者がサーバーへアクセスする際は、事前レビュー及び承認を必要とす
るほか、専用のゲートウェイサーバー上で認証し、接続制限とログの取得を実施すること等が記載されております。
続いて、32ページ上段の「特定個人情報の使用の記録」を御覧ください。＜ファイル交換サービスから届出書をダウンロードするシンクライアント PCにおける措置＞について、
操作ログを確認し、不正操作の痕跡を１ヶ月ごとに確認すること等が記載されております。
続いて、34ページの「リスク４：特定個人情報ファイルが不正に複製されるリスク」を2

御覧ください。＜ファイル交換サービスから届出書をダウンロードするシンクライアント
PCにおける措置＞として、ファイルのバックアップ、電子記録媒体及びフラッシュメモリ
による届出書等データの読出しについては、アクセス権限を付与された最小限の職員だけが当該端末を操作できるようにアクセス制御すること等が記載されております。
最後に、「特定個人情報の保管・消去」に係るリスク対策です。43、44ページの「⑥技術的対策」を御覧ください。＜ファイル交換サービスサーバーの措置の内容＞として、ファイル交換サービスサーバー上の特定個人情報は、AESで暗号化して保存されること、利用するファイル交換サービスは、クラウドサービスの情報セキュリティ管理に 関する国際規格「ISO/IEC 27017」や政府情報システムのためのセキュリティ評価制度である ISMAP等の認証を取得していること等が記載されております。
続いて、46、47ページの「リスク３：特定個人情報が消去されずいつまでも存在するリ
スク」を御覧ください。＜ファイル交換サービスから届出書をダウンロードするシンクラ
イアントPCにおける措置＞として、ファイル交換サービスに係るファイルは、フラッシュ
メモリへダウンロードするため、シンクライアント PC上にデータが保存されず、特定個人情報が消去されずいつまでも存在することはないこと、ファイル交換サービス上に保存されるファイルは速やかに消去すること、消去漏れ防止のため自動削除機能を設定すること、
フラッシュメモリに一時的に記録した特定個人情報は、使用の都度速やかに完全消去する
こと等が記載されております。
続いて、47ページ下段の「特定個人情報の保管・消去におけるその他のリスク 及びそのリスクに対する措置」を御覧ください。【ファイル交換サービスにおける措置】として、ファイル交換サービスサーバー上のファイルは暗号化されて保存されるため、ファイル交換サービスを提供する事業者は、ファイル交換サービスサーバー上の情報を取り扱わず、閲覧することができない仕様になっていること等が記載されております。
評価書の概要説明については以上となります。
続きまして、評価書の指針への適合性・妥当性について、資料１－２に基づき 、事務局
による精査結果を御説明させていただきます。
まず、１ページから３ページまでの「全体的な事項」では、評価実施手続を適切に行っているか、事務の流れやシステムを具体的に記載しているかという観点から審査しております。
次に、４ページから10ページまでの「特定個人情報ファイル」では、入手・使用・保管・消去等、各取扱いの場面やそのリスク対策について適切に記載しているかといった観点から審査をしております。
事務局において確認を行った結果、いずれも問題となる点は認められませんでした。
次の「評価実施機関に特有の問題に対するリスク対策」の審査につきましては、 11ペー
ジを御覧ください。「主な考慮事項（細目）」の75番では、「事業主からの届出書等の入手に当たり、ファイル交換サービスを利用する」際のリスク対策について具体的に記載し3

ているかといった観点で審査し、「ファイル交換サービスの通信経路は、HTTPS通信により暗号化を施しており、送受信の際、最新のパターンファイルで自動的にウイルスチェックを実施すること」、「シンクライアントPCにはファイアウォール、ウイルス対策ソフトを導入してパターンファイルを随時更新しておくこと」、「ファイル交換サービスにおいて、
自動ロック機能を利用して、使わなくなったアカウントを失効すること」、「ファイルのバックアップ、電子記録媒体及びフラッシュメモリによる届出書等データの読出しについては、アクセス権限を付与された最小限の職員だけが当該端末を操作できるよう アクセス
制御すること」、「導入するファイル交換サービスは、クラウドサービスの情報セキュリ
ティ管理に関する国際規格「ISO/IEC 27017」、政府情報システムのためのセキュリティ評
価制度（ISMAP）等の認証を取得し、特定個人情報の暗号化や不正アクセスの検知等の機能を有していること」、「操作ログを確認し、不正操作の痕跡を１ヶ月ごとに確認すること」、「ファイル交換サービスに係るファイルは、フラッシュメモリへダウンロードするため、シンクライアントPC上にデータが保存されず、特定個人情報が消去されずいつまでも存 在することはないこと」、「ファイル交換サービス上に保存されるファイルは、フラッシュ
メモリにダウンロード後、速やかに消去すること」、「消去漏れ防止のため自動削除機能を設定すること」等が記載されており、問題は認められないとしております。
続きまして、12ページ上段の【総評】を御覧ください。総評として３点を記載しております。（１）として、適用、給付及び徴収関係事務においては、特定個人情報ファイルを取り扱うことについて、一連の事務の内容や流れが具体的に記載されており、特段の問題は認められないものと考えられること、（２）として、特定個人情報ファイルの取扱いについてのリスク及びリスク対策が具体的に記載されており、特段の問題は認められないものと考えられること、（３）として、ファイル交換サービスを利用した事業主からの届出書等の入手等に係るリスク対策等、本評価対象事務において懸念されるリスク及びリスク対策についても具体的に記載されており、特段の問題は認められないものと考えられることを記載しております。
最後に、下段の【個人情報保護委員会による審査記載事項】を御覧ください。審査記載事項の案といたしまして、５点記載しております。（１）として、リスク対策について、評価書に記載されているとおり確実に実行する必要があること、（２）として、特定個人情報のインターネットへの流出を防止する対策について、評価書に記載されているとおり
確実に実行する必要があること、（３）として、組織的及び人的安全管理措置について、実務に即して適切に運用・見直しを行い、今後リスクを相当程度変動させ得る事実関係の変更が生じ、当該変更に応じたリスク対策を講ずる際などには、必要な特定個人情報保護
評価を適切に実施する体制を有効に機能させることが重要であること、（４）として、情報漏えい等に対するリスク対策について、新規のリスク対策が確実に実行されるように意識づけを行うとともに、評価書に記載されたリスク対策が既存、新規問わず適切に実行されているかの確認を実施していくことが重要であること、（５）として、上記について、
4

不断の見直し・検討を行うことに加え、事務フローの変更や新たなリスク対策が生ずることとなった場合には、必要に応じて評価の再実施を行うことが重要であることを記載しております。
精査結果の概要は以上となります。
なお、本日の委員会で御承認をいただければ、関東ITソフトウェア健康保険組合に対して、承認された旨及び審査記載事項を評価書に記載すべき旨を通知いたします。
また、本議題の資料、議事録及び議事概要につきましては、準備が整い次第、全て委員会ホームページで公表したいと考えております。
事務局からの説明は以上です。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について、御質問、御意見をお願いいたします。
加藤委員。
○加藤委員

御説明ありがとうございました。

私からは、ファイル交換サービスを利用する上での特定個人情報の取扱いについて述べさせていただきたいと思います。
今般、関東ITソフトウェア健康保険組合は、新たにファイル交換サービスを利用して特定個人情報を入手することとなります。利用するファイル交換サービス自体は、国際規格
及びISMAPの認証取得や、暗号化やファイアウォールの設置、データセンターの物理的対策
等、様々なリスク対策が講じられているという説明でありました。一方で、ファイル交換サービスを用いて実際に事務を行うのは人間であるため、適切な使い方がなされない場合
は、特定個人情報の漏えいにつながるおそれもあります。そのため、手作業が介在する場
面のリスク対策も含め、新たに講じるリスク対策が確実に実行されるように、研修や説明会を通じて関東ITソフトウェア健康保険組合、事業所の職員への意識づけを行うとともに、評価書に記載された対策が従前のリスク対策も含めて適切に実行されているか、自ら確認していくことが重要であると考えます。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、特に修正の御意見がないようですので、原案のとおり、評価書を承認したいと思いますが、よろしいでしょうか。
○藤原委員長ありがとうございます。御異議がないようですので、このように決定いたします。
事務局においては、所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については、公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
5

それでは、次の議題に移ります。
議題２「いわゆる３年ごと見直し（ヒアリング）」でございます。
前回に引き続き、本日は日本経済団体連合会（経団連）へのヒアリングを実施したいと思います。個人情報保護委員会議事運営規程第９条の規定に基づき、会議に出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）
ありがとうございます。
それでは、出席を認めます。
（日本経済団体連合会入室）
本日は、経団連の若目田様、中嶋様に御出席いただいております。
それでは、早速ですが、御説明をお願いいたします。
○経団連

経団連デジタルエコノミー推進委員会データ法制 WGは、日本の伝統的な大企業以外にも、いわゆる海外プラットフォーマーや、通信事業者等、多様な企業の方々が構成員となっており、今回の３年ごと見直しに対して多様な意見が寄せられました。
３ページをご覧ください。まずは現状認識についてです。 Society 5.0 for SDGsという経団連が掲げる目標の実現には、個人の信頼を前提とした個人データ活用は不可欠ではありますが、ステークホルダーを超えたデータの共有や越境のデータの連携に関しては道半ばと理解しております。
また、企業の実態として、情報区分の複雑化、各国・地域のデータ保護法制が時々刻々と変化する実情、技術の進化等を含めて様々なリスクが日々増えていく中、保護と活用のバランスに関して、事業者の負荷が増大していることは事実であると思っております。
本検討を契機に、デジタル社会における個人の権利利益の保護と利活用に関する俯瞰的な規律の在り方について議論されるのは大変良い機会だと考えております。デジタル社会形成基本法の第38条にありますとおり、重点計画においても個人情報の取扱いやプライバ
シーがサイバーセキュリティの項目の中の一要素というレベルで、もう少し大きく取り上げてもよいのではないかと考えております。
４ページをご覧ください。個人情報保護法は、権利利益の保護と利活用に関するグランドデザインを描いた上で、見直しをすべきではないかと考えております。これは先ほど申し上げた重点計画それぞれにおける考え方で、事業者の実務や予見可能性、消費者の価値観も変化してまいります。こうした観点を踏まえ、中長期的なグ ランドデザインを描いてみてはいかがかということでございます。
データ主体、社会からの信頼獲得に関しましては、適切な規律と執行を行っていただくことは当然のことながら、事業者がその規律を遵守し、かつ適正利用に向けた自主的な 取組を行うという相互作用によって信頼の好循環を形成するべきということで、個人情報保護法に対する要望だけでなく、我々自身がどうすべきかという意見も寄せられておりました。
6

昨日もデジタル庁でDFFTの具体化について、IAPで何をするかという議論がなされました。その中でも多くの参加者が、諸外国のプライバシーや個人情報に関する制度をしっかりと理解するために様々な困難があると発言され、大きなテーマとなりました。国際的なハーモナイゼーションに向けた取組強化ということで、１点目としては、グローバル CBPR
等、省庁間連携を強化し、検討を加速いただきたいです。２点目は、各国・地域の法制度の状況に関する情報提供の充実ということで、個人情報保護委員会様からも御要請いただきまして、民間企業における個人データの越境移転、海外法規制対応に関する実態調査に御協力させていただきました。数百ページの報告書をまとめていただきま したが、海外の法規制をどのように解釈したらよいか、日々状況が変化する 中、タイムリーな情報提供を望む意見も出ております。電気通信事業法においても、ガバメントアクセスに関しまして
は、企業が消費者に各国の状況を調べて通知することなどがあります。100の企業が100回調査するのではなく、統合的でタイムリーな情報提供に対する期待の声が大きかったと思います。また、データローカライゼーションの規制、ガバメントアクセスの在り方に対する検討の議論を深化させていただきたいということでございます。
以降、あらかじめ個人情報保護委員会様から具体的にご説明いただきました三つの論点について寄せられた、主な意見を御報告します。
６ページをご覧ください。１点目は、過去にも経団連から要望しているとおり、個人情報保護法が個人の権利利益の保護と個人データの活用を一元的にカバーする規律となることを期待しております。また、各事業者やデータ主体が理解を促進する取組を強化すべきと考えております。
２点目は、個人情報保護委員会様の体制の充実は我々が申し上げていたところですが、先ほど申し上げたグランドデザインを策定するような機能とモニタリング機能をある 程度分けるような形で体制を強化して、PDCAが回るような仕組みを構築してはどうかという意
見がございました。相談窓口は今でも充実していただいていると認識しておりますが、さらなる拡充や個人のリテラシー向上の支援も重要ではないかという意見がございました。
３点目は、第三者提供における本人同意の在り方に関しまして、同意以外の方法についても検討することが適当ではないかという意見が出ております。目的外利用等の新たな第三者提供は、今後出てくる新たな社会課題への対応のためにいわゆるリパーパシング的な考え方も必要ではないかという意見もあり、個人情報が含まれるデータをどのように扱うかといった部分も論点かと思っております。
４点目は、新技術への対応ということで、新技術を使って個人の権利利益の保護を推進
してはどうかということです。秘密計算等のプライバシー強化技術に関しては、テクノロ
ジーの議論だけではなく、運用体制、基準の検討、法制度の在り方に関しても検討してはいかがかという意見でございます。
５点目の不適正利用、不適正取得に関しまして、範囲を明確に 、適正な例示を行っていただきたいです。様々なステークホルダーがデータ法制 WGにいます。かなり具体的に例示
7

をしてほしい、例えば、一問一答形式に対話をしやすくしてほしいという企業もあれば、イノベーションの観点から自由度を持たせてもらいたいという企業もあり、ここは意見が分かれるところだと思っております。
６点目、こどもの権利利益の保護に関しましても重要であると認識しておりまして、包括的な議論を開始すべきではないかと考えております。
８ページをご覧ください。実効性のある監督・監視の在り方に関して、具体的な意見が集まりましたので、それは９ページに記載しております。１点目は「おそれのある事案」の「おそれ」という部分に関して、定義や解釈に悩むことがありますので、これを具体的にしていただきたいという意見でございます。
２点目は、これまで判明した漏えい等の発生状況について、個人情報保護委員会様に大量に蓄積されていると認識しております。これは全てに関連するのですが、そのような大量のデータをEBPMとして分析いただいて、実態に合った報告期限や、対象の抽出の 現状に合った対応をお願いしたいという意見がございました。要するに、それをデータベースとして活用していくべきではないかということです。３点目の報告期限に関しても同じでございます。
４点目は、本人からの権利利益保護の要請がない場合や連絡が取れないケースで、こうしたケースの対応に関して適切に見直していただきたいです。また、第三者に閲覧されていないという評価を確実に担保することは現実的には難しいため、先ほど申し上げた過去のデータや事例から合理的な評価方法等を統一してはいかがかということでございます。
５点目は報告義務について、反則金のような財産的なこともそうですが、CSRの観点からサンクションとして捉えられることに関するインパクトが非常に大きいため、慎重に議論できたらと思っております。
10ページをご覧ください。セキュリティ人材等、IPA等が積極的に取り組んでおられるものに加えて、プライバシー専門人材の育成、特にデータ保護責任者の育成も重要ではない
かということです。また、PIAの普及について、先ほど申し上げたことと重複しますが、過去に蓄積された情報を分析し、再発防止に向けて積極的に活用できる仕組みが必要ではな
いかということです。個人情報保護法の枠組みを越えてプライバシーガバナンスの問題について、経産省等が中心となり検討会を開催しましたが、残念ながら今年から休止しております。このような取組は企業の主体性を育てる意味でも非常に重要であると認識しております。
次に、これは個人情報保護委員会様に対する要請ですが、行政調査や行政指導、公表といった権利行使の判断基準若しくは手続を透明化いただくことによって、企業もそれに対する備え、若しくは納得性も出てくるのではないかということです。３年ごと見直しのよ
うな、国民全体、事業者全体への影響が大きい議論に関しては、公開形式で行う等、透明性を高めてはいかがかという意見がございました。
最後に、データ利活用に向けた支援等の在り方についてです。ガイドラインに関しまし8

ては、技術的な変化が激しい中、今までも努力いただいておりますが、随時アップデートの継続に御尽力いただけたらという意見でございます。
各認証制度について、例えばCBPR等の認証を受けた企業は個人情報保護法における規制が緩和されるといった実益のあるインセンティブの設計を含めて、総合的に推進してはいかがかという意見でございます。
準公共分野について、前回の法改正では製薬企業が実施する研究を「公衆衛生の向上に資するもの」と位置付けていただき、Q&A等を充実させていただいたことで、適用除外に対する判断を企業が行いやすくなったと思っております。しかし、未だに明確に判断できないケースもあるため、議論が進んでいる仮名化での医療データの活用や、そのための新たな法制度整備を皮切りに、目的を限定したものに関しましては、特別法の整備も重要ではないかという意見でございます。
DFFTの促進に関しましては、先ほども申し上げましたが、我が国の個人情報保 護制度と同等であるという国を、各国と積極的にコミュニケーションした上で増やしていただけれ
ば、企業の海外進出のしやすさにもつながるのではないかという意見がございました。
12ページをご覧ください。具体的な意見になりますが、学術研究目的における適用除外のケースに関しましても、学術界はかなり慎重に臨んでいるというのが実態であると思います。オープンサイエンスの流れが進む中、学術利用目的に関して、より具体的なケースを充実していくことが必要な時期ではないかと考えております。
「クラウド例外」について、Q&Aを大変充実させていただいたおかげで、ビジネス的に有効に機能しているという評価がございました。
14ページをご覧ください。最後に、その他の要望でございます。生成AI等の技術に対する要望ということで、AIに対するQ&Aを充実していただくことを歓迎する一方、今後非常に進化が激しい分野であるため、関係事業者を交えた検討体の設置をお願いしたいという意見がございました。
先ほどと重複しますが、秘密計算技術等により個人識別性を排除した情報については、
現在でも漏えい報告の緩和はございます。しかし、様々な新技術が生まれておりますので、場合によってはEU等を巻き込みながら、高度暗号化されていても個人情報の該当性は変わらないという部分に関して、議論を開始してはいかがかという意見がございました。
最後に、AI等の言語モデルに関しましては、残念ながら我が国ではない企業がメジャーを占めておりますが、我が国のイメージセンサーや動画解析技術はグローバルに十分通用するものですので、広く映像に関する何らかの推進と保護のバランスを取るエンティティを検討いただきたいという意見がございました。
以上でございます。
○藤原委員長ありがとうございました。

それでは、ただいまの経団連からの御説明について、御質問等をお願いいたします。
それでは、大島委員、お願いいたします。
9

○大島委員大島と申します。どうぞよろしくお願いいたします。

御説明ありがとうございました。
資料３ページで「俯瞰的な規律のあり方」について記されています。４ページで「中長期的なグランドデザインを描くべき」という表現をお使いになっていらっしゃる。そのとおりかと思うところであります。しかしながら、現実では、個人情報の不適正利用事案、
個人情報データベース等の不正提供等事案が発生しております。諸外国における直近の執行状況等を踏まえますと、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げあるいは直罰化、課徴金制度の導入などを検討すべきなのではと考えるところもあるわけです。こうしたいわゆる厳罰化についてどのように考えておられるか、お考えを教えていただければと思います。ちなみに、2019年に頂いておりました御意見では、課徴金の導入については慎重な検討が必要とされていらっしゃいました。現時点ではいかがなものか等を教えていただきたいと思います。
○経団連

課徴金の導入に関しては基本的に慎重に御検討いただきたいです。先ほどございました実際に漏えい事案が増えているという点は、我 々産業界側も当然のことながら十分に改善すべき点だと考えています。しかし、漏えいに関する状況や背景も多様化しており、過去の事案の蓄積に基づき表面的ではない踏み込んだ分析の上、実効性のある対応策が何かをエビデンスベースで確認していただきたい。そして、罰則を適用しなければ改善できない一部の事案について、他国の制度に倣うのではなく、我が国が蓄積したデータに基づいた分析結果から検討していくべきではないか、ということが私の個人的な意見にな
ります。
以上です。
○藤原委員長○大島委員

どうぞ。
ありがとうございます。

７ページにおきまして、「（５）不適正利用、不適正取得」というところで、この範囲を明確化すべきとの御意見をいただいております。その後の部分について、もう一度説明していただけますか。
○経団連

特に不適正利用に関する意見が多かったと思います。一方で、何が不適正利用にあたるかは千差万別な中、どのようなケースが不適正利用に当たるのか明確化や事例の提示をお願いしたいという意見がございました。
○大島委員○藤原委員長ありがとうございました。
よろしいですか。

それでは、ほかにいかがでしょうか。
小笠原委員、お願いいたします。
○小笠原委員小笠原です。

御説明ありがとうございました。
資料の７ページの（６）のこどもの権利利益保護のための規律に関して、３点質問があ
10

ります。
１点目が、現状に関してなのですけれども、現状は こどもの権利利益保護の規律は無い
わけですけれども、そのことによってどういう問題が生じているのか、具体的な事例がありましたら教えていただきたいということです。
２点目ですが、仮に諸外国と同様の規律を導入した場合に、どのような問題が生じ得ると考えられるのかという点を教えていただきたい。
３点目が、資料７ページの（６）のところに「事業者の負担や活用のバランス等も十分検討の上」という記載があるところですけれども、こどものデータの取扱いや同意の在り方に関して、どのような規定が望ましいと現段階で考えているか、この３点について教えていただきたいです。
○経団連

保護者とこどもの問題において、こどもの人権保護の観点と教育の観点などの整理がついていません。教育データについては例えば、同意をしなければ学校教育そのものを平等に受けられなくなるといった、環境的な複雑さがあると思っています。こどもの人権保護と教育を明確に整理した上で、様々な議論をスタートすべきであると理解していますが、例えば企業が何らかのサービスを提供する際に、残念ながら判断材料が少ないのが現状です。スマートシティの実証等でも、かなり明確な同意の下に限定的な活用にとどまっていると認識しています。
教育の観点では、一人一台デバイスが配布される中、システムを安定稼働させるためのログ取得等、適正に使用することと、それをどのように使用するかということなど、今の基準をより具体化すべきと感じております。
規制強化に伴い発生し得る負担についての意見もあったと思いますが、この部分は必要であればまた別途意見交換させていただければと思います。
最後の御質問について、包括的な同意の在り方等についてでしょうか。
○小笠原委員そうです。こどものデータの取扱い全般や同意を取るとしたらどのようにやるのか等、何かこういう規定にしたほうがいいのではないかという考えがありましたらお聞きしたいという点です。
○経団連

同意等に関してどのような規定が必要かといった、具体 的な要望が出るまでは議論が深化していません。そういった点が課題とは思います。
また、個人的な意見ですが、我が国ではこどもの議論と並行して、高齢化社会の議論があり、認知症に対する政策を開始したと伺っています。高齢化社会に向けた議論は、先手でアジェンダとして挙げてよいのではないかと思っております。
○藤原委員長

よろしいですか。

○小笠原委員

大丈夫です。ありがとうございます。

○藤原委員長それでは、ほかにいかがでしょうか。

髙村委員、お願いします。
○髙村委員

多岐にわたる貴重な御意見をありがとうござい ます。
11

６ページをお願いします。（３）の点について、まず質問させていただきます。「同意以外の方法についても検討することが適当」という御意見があったということでしたけれ
ども、現在の法律でも公衆衛生の向上などの場合については例外規定が設けられています。
これらの例外規定だと賄えない事態として、具体的にどういう事態が起きているのか、その点について把握されていれば教えていただきたいと思います。
関連しますけれども、そういう事態について、どういう規定があれば個人の権利利益の保護も含めてうまく対応できるのか、この点についても御意見があれば教えていただければと思います。
○経団連

具体的なケースがあったとは思うのですが、別途御報告させていただきたいです。適用除外の中での判断基準もそうですが、日常的な事業展開の中でのケースが実際にあったと思いますので、具体的なものも含めて対応の方向性を別途お示ししたいと思いま
す。
○髙村委員

二つ目の質問として、資料の11ページです。（３）の準公共分野に関わる質問なのですけれども、「一般法とは別に利用ニーズに合致した特別法を整備すべき」という御意見があったということですけれども、準公共分野 としてどういう分野についてどういう特別法があればいいのか、どういうニーズがあるのかということについて教えていただければと思います。
関連しますけれども、現行の例外規定では賄えない、不十分と考えられる理由についても、併せて教えていただければと思います。
○経団連

この意見は製薬会社様からのものと承知しております。EUで議論されております「European Health Data Space（EHDS）」のイメージに近いような、大量のデータを集約する際に、その目的が適正である場合には、何らかの審査を経て第三者 提供をするといった活用や、社会課題に貢献するような活用を可能にしてほしいという要望でした。薬を作ることが地球全体の人類に対して貢献するという意味で、公衆衛生の向上という解釈若
しくは大学との共同研究等に関して、学術利用の適用除外で可能な部分はあるという理解ですが、実態として活用が進んでいません。これは活用側の理解が足りていないことも原因かもしれませんが、実態としては現状の要件だけでは不足しているのではないかと、そのような意見でございました。
○髙村委員

医療分野以外に準公共分野として例外を設けるべきだという御意見はありま

したか。
○経団連

今のところ、出てはいないです。これは個人的な意見になるのですが、防災におけるデータの活用に関しても、人命や財産に関わるため適用除外であると思 いますが、
いわゆる2000個問題の解消に伴って具体的に機能しているかどうかチェックした上で、医療に準ずる形で何らかの法整備の必要性もあるかもしれないと思っている領域ではござい
ます。
○髙村委員

３番目の質問ですけれども、資料では触れられていないのですけれども、オ
12プトアウト制度について何らかの御意見があれば教えていただければと思います。
○経団連

今回の議論に参加しているWG企業からは、オプトアウトに関する意見は出てまいりませんでした。
○髙村委員

どうもありがとうございました。

以上です。
○藤原委員長それでは、ほかにはいかがでしょうか。

小川委員、どうぞ。
○小川委員

委員の小川です。よろしくお願いします。

新しい技術が幾つか出てきましたので、二つほど質問させていただきたいと 思います。
一つずつ質疑応答させていただければと思うのですけれども、まず、７ページの（４）の２番目で、秘密計算等のプライバシー強化技術の社会実装についてですが、こういった専門性の高い技術は、一般の利用者がその技術の内容と技術によって個人の権利利益の保護がどの程度達成できるのかということを理解して、安心して使ってもらうことがきっと大事だと思います。そういう意味では、まずはこのような技術を開発ないし利用する企業が、その妥当性も含めて適切かつ丁寧に利用者に説明することが必要と考えておるのですけれ
ども、経団連あるいはその会員の企業様ではどのような取組を考えていらっしゃるのか、もし御存じであれば教えてください。それが最初の質問です。よろしくお願いします。
○経団連

技術そのものの企業の理解ではなく、それで保護されるべき個人の理解がとても重要です。経団連とは別の団体になるのですが、秘密計算の社会実装に向けたイベント
で、産官学の関係者が集まって議論した中でもそういった必要性は提示されておりました。
例えばデザインの手法による伝え方の工夫や、複数の企業の結託等の対応、個人情報が漏
えいしていないかを第三者がチェックする仕組み、技術、運用体制も含めた何らかの認証、認定の仕組み等、さらなる取組が必要ではないかと提言されております。
○小川委員

今、いろいろな実装実験みたいなものをやっていらっしゃると思うのですけ

れども、その中で一般の利用者からどのような声が上がっているかというのは御存じでし
ょうか。
○経団連

実験において個人情報の取扱いに対する一般利用者からの意見の吸い上げが不足している点が課題です。これは調達側にも問題があるかと思っているのですが、テクノロジーを実装した案件の結果や、どう感じたかなどは、今のところ承知しておりません。
ただし、類似の取組として、コンビニ業界では無人レジで成人確認するシステムの検討において個人情報の取扱いに関し、消費者アンケートやグループインタビューを行い、それを踏まえ業界団体の中で共通ルールを作りました。そういった取組を増やしていくべきと思っております。
○小川委員

２番目の質問なのですけれども、最後の14ページにその他の要望があって、生成AI等の新しい技術の活用に関する要望の最初のところで、生成AIなどの新しい技術について「ガイドライン等の記載は必要最小限にとどめるべき」という御要望がここに書い13

てあるのですけれども、一方で、もちろん内容や粒度もあるとは思うのですけれども、ガイドラインで解釈を明確化してほしいという意見もあります。特に生成AIに関しては、データの収集あるいは学習、それから利用者による文章の場合にはプロンプトと言われていますけれども、そういう入力や出力、いろいろな論点があると思います。そういう意味で、
ガイドライン等のここに書いてある「必要最小限」というのは、具体的にどのような内容をイメージされているのかということを教えていただければと思います。
また、現在いろいろな活動をされていると思うのですけれども、何らかの課題がもし生じているのであれば、どのような課題なのか具体的に教えてください。そういった課題というのは、生成AIだけではなくて、APIを使ったり、いろいろなサービスや技術が出ていた
りすると思うのですけれども、そういうほかの分野でも同じような課題なのか、それとも生成AI独自の課題なのかが分かれば教えていただきたいと思います。よろしくお願いします。
○経団連

ガイドライン等への必要最小限の記載については、どの程度の記述にとどめてほしいという具体的な意見は取りまとまっていません。
企業のポリシー、考え方によって、自由度を持った活動を望む企業もあれば、明確に示してもらった上でそれに従うほうがよいという企業もあり、本件に限らずさじ加減が難しいところと理解しています。実態で言うと、我々のWGの中でも相反する意見がありました。
これは生成AIに関しても同様であると認識しておりまして、１パラグラフ目と２パラグラ
フ目で言っていることが若干違うのは、そのような背景がございます。述べているからには、具体的なガイドラインづくりに関して該当事業者も含めて責任を果たしていくべきと思っております。
具体的な課題は、生成AIに限らないものかという御質問について、企業の従前のポリシーに対して生成AIそのものがなじみにくいところがあり、その点の見直しは各社で対応しています。まだ生成AIの利用を認めていない企業では、上位ポリシーの厳格性から対応しかねている場合もあります。個々の事情は様々ございますが、生成AIの特性によるものもあると思っております。
○経団連

小川委員から御質問いただきましたAIに関するところですが、ガイドライン等の記載に関して、経団連は、昨年10月にAI活用戦略をアップデートし、AI活用戦略Ⅱを提言しております。そこでは、企業のイノベーションや国際競争力を阻害させないように、
プライバシーやハルシネーションといった観点から企業として必ずコンプライしなけ ればならない必要最小限の「ガードレール」の要件を提示しております。
ガイドラインというのは、必ずしもAIに限ったものではなくて、広範な意味でのデータの利活用ということであります。経団連としては、Society 5.0 for SDGs実現の観点から、
これまでプライバシー、セキュリティ、データの自由な流通のバランスを取ることの重要性を訴えてきたところ、今後とも、活用を通じてSociety5.0をどのように実現するか、個
人情報保護委員会の委員の皆様の御指導も踏まえつつ取り組んでまいりたいと考えており
14

ます。
○小川委員

今のお話で「ガードレール」とおっしゃったのですけれども、ガイドライン

みたいなもので、ルール化のような検討はされているのでしょうか。
○経団連

まさに官邸のAI戦略会議で議論が進められているので、広島AIプロセスに従った形で、なるべく米欧とも違った形で、我が国ならではの様々な研究開発の在り方も含めて検討が進められていると認識しております。そのため、ガイドラインを経団連から積極的に能動的に示すということではなく、研究のテーマや気付きを政府との対話等を通じてお伝えしながら、日本が例えばLLMでも後れを取っているような面などあれば、国際的に劣後することのないように、そうしたAIの活用戦略を私どもとしては産官学一体で取り組んでまいりたいと考えております。
○小川委員

どうもありがとうございました。

○藤原委員長

よろしいですか。

それでは、ほかに。
浅井委員、お願いいたします。
○浅井委員

浅井です。よろしくお願いします。

御説明でも言及されていた漏えいですが、最近の事例を鑑みますと、委託先事業者や派遣職員を含めた安全管理体制の整備、システムの設計や運用を含めたヒューマンエラーの防止策、また、不正アクセスに対する対策などの安全管理措置を講じることが重要だと考えられますが、事業者の主体的な取組や適切な対応を促す仕組みとして、具体的にはどのようなものが有効と考えられるでしょうか。団体や事業者として自主的に取り組んでいる事例、内容などがあれば、教えていただければ幸いでございます。よろしくお願いします。
○経団連

漏えいに関して、安全管理を強化することに限らない主体的な 取組では、プラ

イバシーガバナンスとして実際に企業自身が社外の有識者から助言を得る体制を整備し、諮りながら進める取組は、安全管理のみならずプライバシー全般の重要性の判断などに取り入れられております。企業自身で第三者チェックの目を入れていくことはあると思っております。
また、企業が統合報告書、IRのガバナンスの中のESGの中に、サイバーセキュリティやプ
ライバシーの保護を掲げ、ステークホルダーはそれを評価していくこともスタートしております。既存の企業ガバナンスのメカニズムの中で株主を含めたステークホルダーにこうしたチェックの目線みたいなものを持っていただきながら、積極的に安全管理措置を進めていくというのが健全な流れではないかと思います。
○経団連

経団連としても2019年10月の「個人データ適正利用経営宣言」において、デー

タ利活用を進める上で当然の大前提として、企業が自ら襟を正してデータを適正に利用することを宣言するように慫慂しております。こうした取組も行われていることを是非お含
みおきいただければと思います。
○浅井委員

ありがとうございます。
15

○藤原委員長

ほかには。

清水委員、どうぞ。
○清水委員

１月26日付けで委員に就任しました清水と申します。どうぞよろしくお願いいたします。
貴重な御意見をありがとうございました。
せっかくの機会なので、質問させていただきたいと思います。２点ございまして、１点
目は、個情委の在り方についての御意見についてです。総論で「グランドデザイン」とお書きいただいておりますし、６ページでも「戦略（グランドデザイン）の策定」と書いていただいておりますが、具体的にはどういうことが現状では不足しているとお考えなのか、
どういう御意見があったのかをお伺いしたい。かつ戦略の部分とモニタリングの機能 をもう少し分離すべきだという御意見だったと思いますが、そこがまだ不十分であるという御意見だったのでしょうかということが１点目でございます。
２点目は、実効性ある監視・監督の在り方ということで、９ページにいろいろ御意見を頂いているところなのですが、要するに、リスクはゼロにできないので、メリハリのある監視・監督の在り方を模索すべきだ、検討していくべきだという御意見だと理解したのですが、この辺り、リスクに着目した監視・監督の在り方ということで、経団連様の 方では先進国での事業所をお持ちの会員の方も多いと思いますので、先進国での良いプラクティ
スは調査等で知見としてお持ちなのかどうかをお伺いしたいと思います。
○経団連

１点目について、現在も両方の機能が有されていることは承知しているわけですが、各種政策や技術が多様化していく中で、より専門性を高め、機能も強化する観点か
ら、企画・戦略の機能と実際に監督・監視をする機能は、役割を分けて相互に回していくのが良いのではないかといった意見もありました。変化の激しい中で、そのような専門性も強化していくべきではないかという意見でございます。
２点目について、漏えい時の報告に関する良いプラクティスですが、具体的にどの国のこのような運用の仕方がよいのではないかという意見が寄せられ ているわけではなく、企
業目線の実態の列挙となっています。ただし、我が国の企業文化や慣習にも様々あろうかと思います。我が国の企業が努力しても、第三者が提供するプラットフォームの何らかの不具合によってインシデントが発生する場合などもあるかもしれません。そういう意味で、大量に蓄積されてきた事案そのものをある程度分析いただいた上で、どこかの国を参考にするということではなく、何をもって適切なラインにしていくかといったところをチェッ
クいただくのがよいのではないかという意見がありました。
○清水委員○藤原委員長ありがとうございます。
ほかにはよろしいでしょうか。

それでは、最後に私からも一つだけ質問させてください。漏えいの報告義務についてですけれども、御説明の中で「おそれのある事案」についても速やかに報告するという規定
は、漏えい等事案発生時の初動対応として、被害拡大防止に向けた取組等を含めた執行当
16

局による情報把握という観点からも必要なものと理解をしております。その上で、本日の御意見は、現実に全てのケースが報告されているという御認識なのでしょうか。
それから、「おそれのある事案」の定義やその際の条件について、どういっ た内容であれば企業の実務や発生している漏えい等の実態に合ったものと考えておられるか、こうす
れば実務あるいは実態に合うのではないかというお考えがあれば 是非お聞かせください。
よろしくお願いします。
○経団連

今回意見を寄せられた企業は、比較的規模の大きな企業、データの扱いを生業としている企業が多かったです。基本的には「おそれ」があれば積極的に報告するという方向で考えていく。ただし、企業の目線から見たときに、気付かずに報告していないというケースもあるのではないかということは、感想として申しておりました。
様々な事例が出てきている実情に鑑み、インシデント対応として望ましかった好事例を示していただきたい。過去の事例を整理・分析いただいた上で、エビデンスベースで技術面によるもの等、事例を分類して示していただきたい。また、トレンドの変化があった場
合にはその旨共有いただくのが望ましいのではないかという意見はございました。
以上でございます。
○藤原委員長ありがとうございました。

頂いた御意見も含め、個人情報保護をめぐる様々な状況について各方面の御意見を聞きながら、課題を整理、審議してまいりたいと思っております。
また、経団連におかれましては、まだ我々も事務局等を通じて質問をさせていただくかもしれませんので、その折にはよろしくお願い申し上げます。
それでは、経団連の若目田様、中嶋様、本日は誠にありがとうございました。御退室いただいて結構でございます。
○経団連

ありがとうございました。
（日本経済団体連合会退室）○藤原委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題の資料、議事録及び議事概要については、公表することとしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移ります。
議題３「委員長代理の決定について」でございます。
事務局から説明をお願いいたします。
（内容について非公表）
本日の議題は以上でございます。
それでは、本日の会議はこれにて閉会といたします。

17