○青山総務課長

定刻になりましたので、会議を開始いたします。

本日は、加藤委員、宮井委員が御欠席でございます。
委員長代理に係る委員会決定の規定に基づき、熊澤委員長代理に以後の委員会会議の進行をお願いしたいと存じます。よろしくお願いいたします。
○熊澤委員長代理

それでは、ただいまから、第127回個人情報保護委員会を開会いたします。
本日の議題は３つです。
議題１「個人情報保護法いわゆる３年ごと見直し（個人情報保護を巡る国内外の動向）」について、事務局から報告をお願いします。
○事務局

それでは、議題１といたしまして、個人情報保護を巡る国内外の動向、個人情報保護法の３年ごと見直しに関しまして、資料１に基づいて御説明を差し上げます。
今回は、以前の委員会における御議論で宿題として御指摘いただいた論点に加えまして、中間整理に寄せられたコメントですとかその後の検討を踏まえまして、新たに取り上げるべきと考える論点につきましても含めて御説明をさせていただきます。
まずは、域外適用の在り方についてでございます。こちらは第91回の委員会におきまして、国内の他法令の状況を把握するように御指示のあったものになりますところ、その結果を踏まえて改めて御議論いただくことを目的として取り上げさせていただくものになります。
中間整理では、２ページにございますとおり、本論点につきまして、「現行法の域外適用の範囲や、執行手法等につきまして、各国主権との関係整理の視点も含めて、引き続き検討する必要がある。その際に、他の国内法の状況も勘案して検討する必要がある」としたところでございます。
本件につきましては、３ページ目から６ページ目にありますとおり、中間整理の意見募集ですとか、有識者へのヒアリングなど、多様な御意見が寄せられているところでございます。具体的には、国際的な制度調和や、執行の実効性を確保するための外国事業者の代表者設置等の必要性を指摘する御意見が寄せられているところでございます。
７ページ目以降に、国内の他法令の例をまとめているところでございます。
独占禁止法、景品表示法等を代表としてまとめさせていただいておりますけれども、それぞれの法令の保護法益に応じまして、規定の在り方が大きく異なるというのが実態でございます。
また、一部の法令では執行の実効性確保のために、いわゆる代表者等の設置に係る定めを置いている事例が存在するところでございます。
８ページ目から具体的な他法令の詳細が記載されておりますので、御確認いただければと思います。
続きまして、ペナルティの在り方についてでございます。こちらも第98回委員会におきまして、国内の他法令の状況を把握するよう御指示があったものになりますところ、その1結果を踏まえて改めて御議論いただくことを目的として取り上げているものでございます。
まず、17ページ目でございますけれども、こちらにつきまして、中間整理では「我が国の実態、法体系に照らして望ましい在り方を検討していく必要がある」等としたところでございます。
本件につきましては、18ページ目から20ページ目までで中間整理の状況や有識者へのヒアリングの状況をまとめさせていただいておりますけれども、極めて多様な御意見が寄せられているところでございます。特に引き上げにつきましては、賛成、反対両面から多様な御指摘をいただいているところであり、産業界から慎重な御意見ですとか、逆に有識者等からは積極的な御意見をいただいているところでございます。
21ページ目以降には他法令の例をまとめているところでございます。
こちらも独占禁止法、景品表示法等の事例をまとめさせていただいておりますけれども、各法令の保護法益に応じまして、規定の在り方が大きく異なるというのが実態でございます。
ただ、一部の特徴といたしましては、両罰規定を置いているものですとか、罰則の上限が極めて高額な事例、あるいは課徴金制度を置いている事例等が存在するところでございます。
こちらにつきましても、詳細を次ページ以降で記載してございますので、御確認いただければと思います。
続きまして、短期保存データ関係でございます。こちらにつきましては、中間整理で明示的に取り上げてはございませんでしたけれども、データの利用の拡大に伴う個人情報の取扱いの実態等を踏まえて、現行の規定が適切かといったような観点や、意見募集で多様な御意見が寄せられたことを踏まえまして、今回改めて取り上げさせていただくものでございます。
27ページ目にございますとおり、個人情報保護法では、個人データのうち、個人情報取扱事業者が開示等を行う権限を有し、６カ月を超えて利用するものを保有個人データとして定義し、開示請求、あるいは利用停止等の請求の対象としているところでございます。
この趣旨は、立法時に、短期間で消去される個人データにつきましては、個人の権利利益を侵害する危険性が低いと考えられたためでございますけれども、その後、データの流通の急速な拡大といった実態を踏まえまして、単に保存期間が短いということによって、取扱いを異にする合理的な理由は乏しくなっているのではないかと考えられるところでございます。
こちらの30ページ、31ページにまとめさせていただいていますとおり、中間整理の意見募集ですとか有識者のヒアリングでは、おおむね保有個人データとしての規律を受ける範囲の拡大について、肯定的な御意見が多く見られるところでございます。
本件につきましては、別途、経済界に対して実態把握のため調査を行っていますところ、こちらにつきまして回答の御協力をいただいているところでございます。
2このほか、参考になりますけれども、いわゆるプライバシーマークの制度につきましては、自主的な取組ではございますけれども、いわゆる短期保存データにつきましても、通常の保有個人データと同様に、開示等の請求に応じているのが実態でございます。
続きまして、いわゆる「仮名化」の関係でございます。本件につきましては、中間整理でも取り上げさせていいただいているところでございますけれども、具体的な方向性等につきまして、意見募集、ヒアリングを含めまして、さまざまな御意見が寄せられたために、改めて取り上げるものでございます。
36ページ目から37ページにかけてまとめさせていただいておりますけれども、中間整理の意見募集におきましては、導入に関して極めて前向きな御意見が寄せられる一方で、定義の明確化ですとか具体的なニーズ把握等を求める意見も寄せられているものでございます。
こういった内容を含めまして、企業における利活用を促進するために、また、本人を識別しない等の一定の行為規制を前提に、個人の各種請求への対応義務を緩和することの必要性等といった御意見が寄せられているところでございます。
続きまして、利用目的による制限等の例外の在り方でございます。本件につきましては、中間整理では取り上げてございませんでしたけれども、医療、あるいは創薬等といった公益性の高い場合等での個人情報の利用を可能にすることの必要性等を御指摘する声が意見募集や有識者のヒアリング等で多く寄せられましたことから、今回取り上げているものでございます。
まず、40ページを御覧いただければと思います。現行法で利用目的による制限の規定が置かれている趣旨についてまとめたものでございます。こちらにつきましては、一定のルールに基づきまして、特定された利用目的の達成に必要な範囲内で個人情報の取扱いを義務づけて、無限定な個人情報の取扱いを排除することを通じて、本人の権利利益の侵害を防止しようとするものでございます。
ただし、特定された目的外となる目的で個人情報を取り扱うことが必ずしも個人情報の本人の権利利益を直ちに侵害するとは限らないといったところでございますので、これらの規定はあくまでも間接的な予防措置としての性格を有しているものでございます。
したがいまして、他の権利利益の保護を優先すべき場合にまで一律に規定の適用を行うことは適当ではないため、一定の例外規定を設けているものでございます。すなわち、例
外的な取扱いを認めることの利益が本人への不利益を上回ると考えられる場合においては、例外を認めることとしてございます。
こちらにつきましては、42ページ及び43ページに記載させていただいておりますけれど
も、意見募集やヒアリングでは、公益性の高い場合での個人情報の利用を可能にすることの必要性を御指摘する意見が多く寄せられているところでございます。
次に、提供先において個人データとなる情報の取扱いについてでございます。こちらは、中間整理では「データ利活用に関する施策の在り方」という項の中で一部関連する内容に3ついては扱っておりましたけれども、その後の実態の変化等を踏まえまして、改めて取り上げさせていただくものでございます。
まず、52ページを御覧いただければと思います。まずは個人情報保護法上の保護の対象となる個人情報の範囲に関する考え方でございます。組み合わせる場合には、個人情報となるか否かの定義につきまして、容易に照合できることを個人情報保護法上では要件としております。その範囲は、適切な管理を促進する一方で、過度に広範な規制を避ける観点から、実務に照らして違和感のない範囲にとどめるといった考え方になっておりますけれ
ども、近年のＩＴ技術の進展等に伴いまして、通常の業務従事者の能力で照合できる範囲は格段に拡大しているというのが実態でございます。
個人情報保護法は、それぞれの個人情報取扱事業者が個人情報を適切に取り扱うことを求めておりますため、外部に提供する際には、単独では個人情報を成していなかったとしても、当該情報の提供元である事業者において「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる」場合には、それを個人情報として扱うことを提供元に対して要求しているということでございます。
ただし、本件については、53ページにございますけれども、提供元と提供先でデータ共有が行われる等の結果、提供先では個人情報となることが分かりながら、提供元では個人が特定できないとして、本人の同意なくデータが第三者提供されるといったような事態があり得るというところでございます。
こういった事案を踏まえまして、54ページで中間整理の意見募集についてまとめさせていただいておりますけれども、こちらに関連するような多様な御意見が寄せられているところでございます。
私からの説明は以上になります。よろしくお願いいたします。
○熊澤委員長代理

ありがとうございました。

ただいまの報告につきまして、御意見、御質問をお願いいたします。
丹野委員、どうぞ。
○丹野委員

最初にありました法の域外適用の在り方について申し上げます。

もう既に私たちは現実にグローバル社会の中で暮らしておりますので、その意味で法の域外適用は非常に重要な事柄であり、また、外国事業者に対するイコールフッティングの観点から言っても、報告徴収や命令を規定するということだと思いますが、では、その実効性をどう確保するかという観点が非常に重要だと思います。その観点から具体的な仕組みについて、諸外国の事例等も参考にしつつ、法制的な検討を急がなければならないというふうに思っています。
以上です。
○熊澤委員長代理

ありがとうございました。

他にございますでしょうか。
大滝委員、どうぞ。
4

○大滝委員

先ほど、短期保存データの在り方についてお話がありましたけれども、その説明の中にも出てきましたように、これまでと状況が変わってきていて、特に情報化社会の進展ですとか、個人情報の漏えい事案の増加等によって、短期保存データであっても、個人の権利利益を侵害する可能性というのが高まっているということが注目されていると思います。
それから、これも説明の中に既にありましたけれども、現行のプライバシーマーク制度の下でも、こうしたデータについては、原則、開示請求等に対応しているということであると思います。したがって、法においても、この保存期間にかかわらず、保有個人データに係る規律を及ぼす方向できちんと整理をしていくという方向が望ましいと思いますし、また、必要ではないかと思いますので、よろしくお願いいたします。
○熊澤委員長代理

ありがとうございました。

他にございますでしょうか。
藤原委員、どうぞ。
○藤原委員

見直しに関連して、利用目的等による制限の例外について一言申し上げます。

ビッグデータ等を活用するということに関連してでございます。
いわゆるビッグデータの活用が、スモールプライバシーということになってはいけないわけなのですけれども、ビッグデータを活用して社会的な課題を解決するという、その動きは当委員会としても、個人の権利利益の保護に配慮しつつ、後押しする必要があるのではないかと思っております。
現行法でも、第16条、第17条、第23条には一定の例外規定が置かれているわけです。これらは利益衡量規定でありまして、公共の利益と本人の不利益を比較衡量するものである
わけですけれども、恐らくビッグデータの時代には、それにふさわしい丁寧な比較衡量が求められるのであろうと思います。
例えば、法第16条の「法令」ですけれども、これは改正前、旧法の時代から議論があって、最初、「法令」としか書いていなかったので事業者も各省庁もかなり困っていたのですけれども、弁護士会照会であるとか、製品事故のときの購入者リストの提供の問題を経て、国民生活審議会の場で各省庁から法令とか困っている事例の情報提供を受けて、法第16条のリストを作ることでガイドラインにして、それによって、法律が柔軟に解釈されるようになったと思います。それが今日の当委員会のガイドラインにも反映されているものと思います。
それから、更に言えば、公衆衛生というような例外については、ＥＵでもＧＤＰＲの前のＥＵ指令の時代からかなり柔軟に、先ほど事務局から説明のあった創薬とか、医療等の分野を意識して例外的な扱いがされております。
現状を見てみますと、この例外規定は、私の印象ですけれども、今日でもかなり厳格に運用されているような気がいたします。そこで、ここを丁寧にガイドライン等で解説を行うことによって、ビッグデータが社会的課題の解決のために積極的に用いられるという側5

面を後押しすることが大切なのではないかと思います。
以上です。
○熊澤委員長代理

ありがとうございました。

他にございますか。
小川委員、どうぞ。
○小川委員

提供先において、個人データとなる情報の取扱いについて一言申し上げます。

これまでターゲティング広告というのは、基本的には個人情報を含まないユーザーデータを使用して、個人を特定しない形で広告を出していたというのが業界で行われてきたというふうに思います。
ただ、最近は、事務局からの説明にもあり、また、先ほど藤原委員からビッグデータという話もございましたけれども、大量に集めてマッチングを行うといった、ＩＴ技術が進歩したこともあって、提供先において個人データとなるような、あらかじめそういうことを知りながら個人情報ではないということで第三者に提供するという、法の趣旨を潜脱するような、資料53ページの図のようなスキームが起こりつつあると懸念されます。
こういった、本人が関与しないところで個人情報の収集や処理が広まることが懸念されるところであり、こうした場合への対応を事業者側とユーザー側も含めて、様々な視点から整理する必要があると思います。
以上です。
○熊澤委員長代理

ありがとうございます。

他によろしいでしょうか。
今回は、中間整理に盛り込んだ項目に加えて、その後の社会状況の変化等を踏まえて必要となる論点について議論を行ったところです。
本日の御意見を踏まえて、中間整理公表後の個人情報保護法の執行の実態や意見募集に寄せられた多様な声等も考慮しつつ、取りまとめに向けた整理を進めていくこととしたいと思います。
それでは、特に修正等の御意見もないようですので、資料について原案のとおり公表したいと思います。よろしくお願いします。
次に、議題２「国税庁の全項目評価書について」、事務局から説明をお願いします。
○事務局

番号法等により、行政機関の長等が特定個人情報ファイルを保有しようとするときには、原則として特定個人情報保護評価の実施が義務付けられます。また、重要な変更を加えようとするときも同様とされています。
国税庁長官が実施する国税関係（賦課・徴収）事務については、対象人数が30万人以上であり、全項目評価が義務付けられることから、番号法第28条第１項の規定に基づき、広く国民の意見を求めた上で、委員会の承認を受けることが必要となります。
今般、令和元年11月19日付け官公１－26徴管１－45にて、国税庁から当委員会に対し、当該事務についての全項目評価書が提出されましたので、評価書の内容について事務局よ6

り概要を説明いたします。
あわせて今回、国税庁の評価書については、並行して事務局で評価書について審査を進めてまいりました。
概要説明に続き、指針に定める審査の観点等に基づいた評価書の指針への適合性・妥当性について事務局から精査結果を説明させていただき、承認するかどうかの御審議をいただきたく存じます。
○事務局

本日は、評価書の資料を２種類用意しております。

国税庁は、特定個人保護評価に関する規則第13条に基づき、評価書が犯則事件の調査等のために保有する特定個人情報ファイルを取り扱う事務に係るものであり、公表することにより違法行為を助長する可能性が生じるおそれがあることを理由として、一部を非公表にしています。一方、特定個人情報保護評価指針第５の３において、評価実施機関は、公表しない予定の部分を含む評価書の全てを委員会に提出することとされています。
資料２－１が通常の評価書、資料２－２が非公表部分を黒塗りした評価書です。本日は
資料２－１の通常の評価書を用いて説明を行い、委員会ホームページでは、資料２－２の非公表部分を黒塗りした評価書のみを公表したいと考えております。
それでは、資料２－１に基づいて、全項目評価書の概要説明をさせていただきます。
国税庁においては、申告書等の情報の管理及び税務調査等に個人番号を利用しており、各種特定個人情報ファイルを国税総合管理システム、通称ＫＳＫシステムで保有しています。
昨年11月、東京国税局及び大阪国税局において、法定調書の入力業務の受託者が国税庁の許諾なしに他の事業者に受託業務の一部を再委託していた事案が発覚しました。
本事案を受け、国税庁において策定された再発防止策を踏まえ、評価書のリスク対策に変更があり、評価を再実施いたします。
具体的には、213ページの中段を御覧ください。国税庁においては、今後は法定調書の入力業務の委託について、受託者の作業場ではなく、国税当局が用意した場所で源泉徴収票等の入力業務を行わせるインハウス型委託で行うことになります。
214ページの中段を御覧ください。再委託については、これまでは国税庁の承認を得た場合は例外的に認めていましたが、今後は一切禁止することとしました。
214ページの一番下を御覧ください。監査方法については、業務の履行が問題なく実施できるか等について、業務期間前後に行う確認を書面審査から実地監査へ変更する等、監査方法を強化しています。
評価書の概要説明については以上です。
続きまして、評価書の指針への適合性・妥当性について、事務局による精査結果の主な内容を説明させていただきます。その上で評価書を審査いただき、承認するかどうかをお伺いいたします。
資料２－３に基づいて説明させていただきます。
7まず、目次を御覧ください。１つ目の○の「全体的な事項」では、評価実施手続を適切に行っているか、事務の流れやシステムを具体的に記載しているか、といった観点から、２つ目の○以降の「ＫＳＫシステム関係」、「租税に関する調査関係」、「犯則事件の調査関係」の項目では、入手・使用、保管・消去等、特定個人情報ファイルの取扱いの場面やそのリスク対策について、適切に記載しているか、といった観点から審査を行っております。事務局において慎重に確認を行った結果、その記載内容について、いずれも問題となる点は認められませんでした。
次に、「評価実施機関に特有の問題に対するリスク対策」の審査につきまして、26ページを御覧ください。「主な考慮事項(細目)」の74番では、委託先の再委託に係るリスク対策について具体的に記載されているかなどの観点で審査し、先ほど御説明したリスク対策が取られることから、「問題は認められない」としております。
続きまして、27ページ上段の「総評」を御覧ください。これまでの主な考慮事項において、いずれの審査結果も「問題は認められない」又は「該当なし」となりましたので、総評として３点を記載し、いずれも特段の問題は認められないものとしております。
最後に、下段の「個人情報保護委員会による審査記載事項」を御覧ください。審査記載事項の案として、４点記載しております。
（１）として、リスク対策について、評価書に記載されているとおり、確実に実行する必要がある。
（２）として、特定個人情報のインターネットへの流出を防止する対策について、評価書に記載されているとおり、確実に実行する必要がある。
（３）として、組織的及び人的安全管理措置について、実務に即して適切に運用・見直しを行うことが重要である。
（４）として、情報漏えい等に対するリスク対策全般について、不断の見直し・検討を行うことが重要であると記載しております。
審査結果の主な内容の御説明は以上です。
なお、本日の委員会で御承認をいただければ、国税庁に対して委員会による承認及び審査記載事項を評価書に記載する旨を通知いたします。
○熊澤委員長代理

ありがとうございました。

ただいまの説明について、御質問、御意見をお願いします。よろしいでしょうか。
特に御質問、御意見がないようですので、評価書を承認することといたしますが、よろしいでしょうか。
それでは国税庁の全項目評価書を承認することといたします。
また、本議題の資料のうち、資料２－１については非公表とします。
事務局においては、本日の承認を踏まえ、評価実施機関が全項目評価書を適切に公表できるよう、引き続き必要な手続を進めてください。よろしくお願いします。
次の議題は、監督関係者以外の方は退席をお願いいたします。
8

議題３「監視監督について」、事務局から説明をお願いします。
（内容については非公表）○熊澤委員長代理

ありがとうございました。

本議題についての資料は非公表とします。
本日の議題は以上です。
本日の会議の資料については、非公表の資料以外は、準備が整い次第、委員会のホームページで公表してよろしいでしょうか。
それでは、そのように取り扱います。
それでは、本日の会議は閉会といたします。事務局から今後の予定を説明願います。
○青山総務課長

次回の委員会は、11月29日金曜日14時30分から行う予定でございます。

本日の資料は、ただいまの決定どおりに取り扱います。
本日は、誠にありがとうございました。

9