日時：令和６年１月 23 日（火）14：00～

場

所：個人情報保護委員会

委員会室・オンライン

出席者：藤原委員長、小川委員、中村委員、大島委員、浅井委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長
吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官○森川総務課長 それでは、定刻になりましたので会議を始めます。
本日は、加藤委員、梶田委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから第268回個人情報保護委員会委員会を開会いたします。
本日の議題は一つです。
議題１「いわゆる３年ごと見直し（ヒアリング）」に つきまして、前回に引き続き、本
日は、消費者支援機構関西（KC’s）及び日本商工会議所（日商）へのヒアリングを実施した
いと思います。
個人情報保護委員会議事運営規程第９条の規定に基づき会議に出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）
ありがとうございます。それでは、出席をお認めいたします。
（消費者支援機構関西入室）○藤原委員長

本日は、KC’sの五條様及び小林様に御出席いただいております。それでは、早速ですが御説明をお願いいたします。
○KC’s

それでは、早速、今映っているレジュメを基に御説明させていただきます。

今日は、個人情報保護に関連してということでありますが、適格消費者団体や特定適格消費者団体がどのような活動をしていて、仮に個人情報保護の分野にこの団体訴訟制度の適用がされたらどうなるのかといったことについて説明と意見を述べさせていただきたいと思います。
では、最初に特定適格団体の業務について説明いたします。
消費者団体訴訟制度そのものに関しては、差止請求と消費者裁判手続特例法上の被害回復制度という二本立てになっています。まず、差止請求について御説明すると、契約 条項の使用であるとか、表示・広告、あるいは勧誘行為についての差止めが権限として認められています。請求の根拠になる法令違反と行為態様については、法律で列挙されているものについてのみ認められていて、現行法上、消費者契約法、特定商取引法、景品表示法、
食品表示法違反について認められています。
この中には、いわゆる民事ルール、民民のルールに違反する行為だけではなくて、行政1

法規に違反するものについても差止請求の根拠になっていて、典型例では 、景品表示法上の優良誤認と有利誤認です。これらについては行政の規制権限と団体の差止請求権が並存しているといった形になります。
次に、実務上よく差止請求の対象になっているものですが、契約条項と表示に関するものが多いです。ただし、表示については、情報が外部からでも確認できる、あるいは客観的に正しいか間違っているものかどうかが判断しやすいものが差止めの対象になっていることが多いです。
ちなみに、勧誘に関しては、同種の勧誘が相当数行われているということを立証する必要があるので、そういう意味で数が少ないのですが 、ただ表示が勧誘になり得るようなものについては、立証のハードルが高くないので差止めの対象になっています。
次に、権限行使については、裁判上の請求と裁判外のものと両方ありますが、数的には裁判外のものが多いです。裁判になるのは活動のごく一部というイメージだとお考えください。
権限を有している団体は、全国で１月現在25団体です。
情報については、各団体が消費者から情報提供を受けて、これを端緒として活動を行っていることが多いです。
あと、事業者に対して情報を出してくださいということを要請して、それで活動することもありますが、団体が事業者の持っている情報にアクセスする権限は非常に限定的です。
下に書いていますが、行政庁が持っているような、相当な根拠を示す資料を出してくださいというような権限はなく、あくまで出してくださいとお願いする権限にとどまっています。ここでは消費者契約法12条の３のことを書いていますが、改正された景品表示法の35条でも同じような規定があります。ただし、これについてはまだ施行されていないので 、実際には使われていません。
あと、行政が持っている情報については、いわゆる各地の消費者センターに寄せられた苦情や相談事例のデータベースであるPIO-NET情報というものがありまして 、これの照会が法的権限として可能で、現に活用されています。ですから、団体に寄せられた１件の情報で、それが横に広がりがあるのかとか、多数の消費者がそういうことを言っているのかといったことを確認するために活用されていたり、あるいはPIO-NET情報を基にして作成された、いわゆる急増指標、こういう相談が増えているといった情報についても開示を求めることができますので、様々に活用されているというのが実情 です。
次に、特例法上の被害回復制度ですが、一定の要件、多数性、共通性、支配性と呼ばれていますが、こういった要件を満たす集団的な消費者紛争について、団体に一括して提訴する権限を与えて、共通義務の確認をする訴訟と、その後、個々の消費者について、権利内容を確定していく簡易確定手続という二段階で紛争解決をするという制度です。
団体が共通義務確認訴訟の対象とできる権利は法定されていて、不法行為に基づく損害賠償請求は根拠になるのですが、特別法上の請求は対象外です。ちなみに、情報漏えい の2

慰謝料請求については、従前対象外だったのですが、財産的請求と併せて請求する場合、
あるいは事業者の故意に基づく場合については請求が認められるようにな りました。
特定適格消費者団体については、全国で現在４団体、過去の訴訟件数は７件で、非常に少ないということが言われていて、おととし特例法の改正に至ったというところです。
団体は、事業者の有する権限についてアクセスする特別の権限を特に有していないということは差止めと同様です。
それから、行政庁の有する情報については、先ほどの説明のほか、特定商取引法と預託法違反について、行政処分に関する文書の提供を受けることができるということになっています。
それから、次に「（特定）適格消費者団体の個人情報保護」についてですが、適格団体には、個人情報に関する情報提供とか相談がされることがあります。当団体に寄せられたもので、過去のものを見繕ってそこに挙げています。サブスク契約をしたところ、他社の契約も締結されていたのだけれども、第三者に個人情報が提供されていたのではないかとか、あるいはオンラインショッピングのメールマガジンで情報漏えいした 、お詫びメールが来たのだけれどもどうしたらいいかとか、典型的なものとしてはこういった事例があります。
ただ、現状で個人情報保護法違反というのは、差止請求の直接の根拠規定になっていません。ですので、相談が寄せられても我々に権限がないので、こちらの団体で対処するのは難しいですねということで終わってしまう事例というのが、恐らくは多いのだと思います。ただ、場合によっては、個人情報保護法に違反するような取扱いが、消費者契約法 10条とか、あるいは後で説明する消費者契約法４条２項違反等の他の法律の解釈において、そういった違法な取扱いが参酌されるということはあり得ると考えられています。個人情報に関する分野ではないのですが、当団体でもそういった事例は過去にありました。
適格消費者団体は、先ほど言ったように、法律上、差止めの権限を行使しているわけですが、それ以外に、権限はないけれども、普通の消費者団体と同じように 任意に改善してくださいという申出をする場合があります。そういった場合は、別に差止権限とは関係ないので、個人情報保護法の関係のない法令の違反を指摘することはあり得ます。
過去の適格団体が事業者に対して個人情報の取扱いの改善を求めた例として、これは当団体に関するものではないのですが、提携先の利用にポイント付与を行う事業者が、美容医療の利用歴等のセンシティブ情報を共同利用するに当たって十分に説明していないということで、これは消費者契約法４条２項の不利益事実の不告知、有利なことを言っているが不利益なことを告げていないという類型ですが、これに該当するのではないかということで改善を求めた事例があると認識しています。
ちなみに、ここで消費者契約法３条のことが書いてあって、これは情報提供義務違反の規定なのですが、ただこれについては、いわゆる努力義務とされていて、それ自体が差止めの直接の権限になっているわけではありません。
3

それから、被害回復制度については、先ほど御説明したように、法改正がされたのですが、今までは個人情報漏えいによる慰謝料事案というのは権限行使できないということが前提だったので、具体的検討はこれからではないかと考えております。
それから、仮に個人情報保護法違反とか個人情報漏えい事案について、消費者団体訴訟
制度が拡張された場合、どうなるかということについてです。
まず、差止請求に関しては、先ほど御説明したように、他の法令を媒介にして改善を求めるような事例もあるのですが、これは端的に個人情報保護法違反だということで差止請求が認められたほうが、こちらとしては使い勝手がいいだろうと考えています。
それから、次に被害回復事案でありますが、これについては、そもそも最新の特例法の改正でも、慰謝料請求に関する請求というのが限定されているのですが、特別の制限を 課したり、保護法上の請求権を民法上のものに限定したりすること自体の合理性がないと考えています。提出資料の脚注に、当時特定適格消費者団体であった３団体合同の意見書というものがあって、それを引用しています。
それから、脚注の10ですが、実際問題として、慰謝料範囲が限定されることによって、慰謝料請求を希望する人は個別訴訟を起こさないといけなくなったという事案 があります。
大学の医学部の男女差別に関する一連の訴訟というのがあって、これは共通義務確認訴訟が起こされたのですが、慰謝料請求ができないので、慰謝料を希望する人は、個別に訴訟を起こしました。
個人情報漏えい事案というのは、発生数に比べて被害者が被害回復をしているという先例は非常に少ないと思うのですが、これはやはり被害者が比較的少額にとどまる請求について裁判に訴えることをちゅうちょしているものだと考えています。
また、個人情報漏えいによる慰謝料算定というのは、簡易確定手続として漏えい対象になった情報の質等によって定型的に算定されているので、個々の権利について、簡易な手続で確定するというような、この共通義務確認訴訟からの二段階手続になじむ制度ではな
いかと考えています。そういう意味では、基本的には個人情報漏えい事案についても、対象の制限を撤廃して制度の対象とすべきだと考えています。
「制度拡張によって発生する業務について」ですが、差止請求については、基本的には対象権限が拡張するということで、問題点を情報収集し 、それを検討し、事業者と交渉して改善を求めていくというような、基本的な枠組みとしては変わりないという感じです。
ただ、専門性に関しては、今までは契約情報とか表示の部分等について、権限を前提として、それに見合うような専門家が集められてきたと いうような経緯があるので、必ずしも
個人情報保護について詳しい人が団体にいるケースといないケースがあるということです。
よって、研修実施とか専門家確保のための施策があったほうがいいのではないかと考えられます。
それから、次に「端緒情報等の共有」についてでありますが、これについては、PIO-NET
情報の急増指標の説明を先ほどしましたが、要は問題になっている事業者について提供を4

受けて、適格団体が差止請求するというような形ができると 、類似というか、現在持っている権限との関係で考えると便宜ではないかと考えています。
それから、立証上の問題です。
どうしても個人情報の問題は、事業者が持っている情報にアクセスできないと十分な立証をできないという問題点がありますので、回答義務を課すような制度が必要なのではないかと考えます。
それから、従前の制度もそうですが、報告・監督窓口について、所管が複数の官庁に分かれた場合でも、報告先を一本化していただくと団体の負担が小さくて済むということです。
それから、最後に「資金を含む団体への援助」です。
適格消費者団体というのは、非常に限られた資金の下、ボランティアベースで運営されています。当団体で言うと、大体年間の収入規模が1,800万円前後ぐらいですが、全国の25ある適格消費者団体の中で、恐らく収入規模が1,000万を超える団体は３つぐらいしかな
いです。ですので、なかなか限られた資金の中でやっているので、資金的な助成をしていただくと、非常に運営面では助かるというのが実情であります。
それから「被害回復制度」についてですが、基本的には、対象請求権を拡張していただ
ければ、権限行使は形式的には可能なのですが、個々の被害額が少額にとどまって、他方で被害者が大量発生するということになると、要は一人一人の被害回復をした場合に、やればやるほど団体に赤字が増えていくという問題があります 。どうしてもそういう問題があると、先ほど申し上げたように、限られた資金の中でやっているということで、規模的になかなか権限行使できないという問題があります。
それに対する処方箋については、要は少額で大量の被害を受けた場合にどうするかということですので、幾つか今までも議論されていたような内容を書いています。
１番目は、費用を事業者に転嫁するという方法。
２番目は、権限行使する特定適格団体等に資金を援助するという方法。
改正法で、消費者団体訴訟等支援法人というものができておりますので、ここを支援す
ることによって、第二段階の簡易確定手続に要するコストを下げるというような方法も考えられます。
それから、これは誠実な事業者であるということが前提でありますが、事業者による分配スキームということを充実させれば、もともと事業者は、取引先である消費者とつながりがあるので、そのほうが被害対策が効率的にできるだろうと考えています。
それから、それ以外にまだ導入されていませんが、オプトアウト型の手続を導入することも検討すべきではないかと考えています。
同様に、情報漏えいによる被害回復の事案でも立証上の問題がありますので、その手当が必要なのですが、今既にある制度として、例えば景表法違反の優良・有利誤認があった
ような場合で、それが消費者契約法上の不実告知による取消しにも該当するような場合に5

は、行政処分とか措置命令があった後に、対象になった事業者に 、我々の方で被害回復してくださいというような申出をするような事例があります。個人情報保護の分野でも 、恐らくは個人情報保護委員会に情報提供されて、いろいろなことがされた後で被害回復する
ことが実際問題として起こってくると思いますので、そのときに委員会が持っている情報を我々が利用できるというような関係があると、被害回復はスムーズに進むのではないかと。現行法で言うと、消費者裁判手続特例法の96条に規定がありますので、これと同じよ
うな規定を設けていただけると便利ではないかというのが、この点に関する意見ということになります。
ちょっと長くなりましたが、一旦これで終わらせていただきます。
○藤原委員長ありがとうございました。

ただいまのKC’sからの御説明について、御質問等があればお願いいたします。
髙村委員、お願いします。
○髙村委員

消費者支援の観点から貴重な御意見、ありがとうございました。

幾つか質問させていただきます。
まず、資料の２ページ目なのですけれども、「個人情報保護に関する情報提供がされることがある」という記載が、差止請求のところにあります。この点について質問させていただきます。
適格消費者団体に寄せられる情報の中で、個人情報保護に関する情報提供の割合はどの程度なのか。これは貴団体についてお答えいただいてもいいですし、一般的な適格消費者
団体の傾向についてもお答えいただいてもいいと思いますが、その割合が大体どの程度なのかという点です。
それから、個人情報保護に関する情報提供は増加しているのかどうかという点です。
それから、個人情報保護に関する情報提供の内容がどのような ものなのかというところについて教えていただければと思います。
ちなみに、令和２年に個人情報保護法が改正されて、漏えい等事案が発生した場合は、事業者から本人に通知をする義務が規定されています。その通知に基づいて、例えば適格
消費者団体等に相談が上がるとか、あるいは情報提供がされる、そういうケースがあるのかどうか教えていただければと思います。お願いいたします。
○KC’s

御質問、ありがとうございます。

まず、今回ヒアリングをお受けするに当たって、適格団体全体の傾向についてまで調べ
る時間がありませんでしたので、あくまで当団体ということですが、当団体に寄せられる情報提供の中で、個人情報保護に関する事例が多いかというと、割合としてはごく一部だと思います。傾向としても、増えていたりとか減っていたりという判定をするほどの数があるわけではなくて、あくまでぽつぽつといった感じで情報が寄せられているというのが実情だと思います。
これは、やはり団体が持っている権限等の関係で、適格消費者団体というのは契約条項
6とか表示・広告等を中心に差止めする権限があるということで、情報提供を求めているので、個人情報の問題について、日頃から意識して情報収集したり、情報提供を呼びかけているというわけではありません。そういう意味では、当団体に関してはかなり数が少ないのかなと思います。
ただ団体によって、個人情報の問題による感度とか参加しているメンバー等によって異なるので、これが適格団体全体の傾向かどうかはちょっと分からないところです。
○髙村委員
○KC’s

内容的にはどうですか。

内容については、ここに挙げているようなものが多くて、最後の事例 のように、情報漏えいについて言われて、お詫びだけが来たのだけれども、どうしたらいいのか分からないとか、あとは今回ヒアリングを受けて過去の例を見返してみたのですが、自分が知らないところで情報が行っているようで気持ちが悪いというような情報提供が、傾向としては多いと思います。
ただ情報提供を受けた場合に、我々にそもそも情報漏えいによる被害回復の権限がなく、「すみませんが私たちではできない」と言って終わってしまうということが多いので、 情報提供を受けても、それを具体的に検討して事業者に働きかけるというところまで いっていないというのが実情です。
○髙村委員

もう１点質問させていただきます。差止請求をするために情報収集が必要になると思うのですけれども、貴団体独自にこういう点で情報収集について工夫している点があるというようなところがあれば御説明いただきたいです。レジュメにも書いてあるのですけれども、このレジュメに書いてあるもの以外 で何か工夫されている点があれば教えていただければと思います。
○KC’s

これに関しては、一般の消費者から情報が寄せられるケース以外に、会員である専門家等が、御本人の承諾を得て情報提供している事例があります。専門家が情報提供してくるケースというのは、我々が持っている権限を理解して情報提供してくるので、そういう意味では検討に結びつくようなものが多い傾向にあるのは確かだと思います。
もう一つは、先ほど申し上げたように行政が出している処分情報であるとか、措置命令の情報等については、定期的にチェックをしています。それは先ほど申し上げたように、
景品表示法で措置命令があったら、それが返金に結びつくようなケースがあるからということです。
したがって、現状で私がやっているわけではありませんが、個人情報保護関係の権限が適格団体に認められるということになると、個人情報保護委員会で出しておられる リリー
ス等をチェックして、権限上、行使できるものがないのかということを探して検討していくというような流れになるのではないかと予測しています。
○髙村委員○藤原委員長ありがとうございました。
ありがとうございました。

それでは、ほかに。
7小笠原委員、どうぞ。
○小笠原委員小笠原です。

２点ほど質問させていただきたいと思います。
まず１点目が、差止めの請求に関してなのですけれども、差止請求を検討するという段
階で、個人情報保護法との整合性の問題になるということで 、現在は消費者契約法10条の中で取り入れたりするというお話だったのですけれども、この個人情報保護法との整合性が問題となる事案というのが、どの程度の件数があるのか。検討事案全体の中でどれぐらいの割合なのかというのを教えていただきたいという点です。
２点目は、こちらは被害の回復の請求に関してなのですけれども 、情報漏えいに関する慰謝料は定型化されているということが多いので、集団的な解決になじむ紛争類型だというところが、良い点だと思われます。反対に、個人情報保護法が対象になった場合に、幾つか問題点というのを挙げていただいたのですけれども、とりわけこの点が被害回復請求の権利行使に関して難しい点、ネックになるだろうというのがあれば、そちらがどういうものかを教えていただきたいという２点になります。よろしくお願いします。
○KC’s

まず１点目、差止めに関する点ですが、あくまで私が所属している団体ということと、私の職責というか、それを申し上げると、私は３、４年前ぐらいまで差止めを検討する部門の責任者で、現在は被害回復を検討する部門の責任者という立場です。ですので、
必ずしも全ての事案について把握しているというわけではないですが、個人情報保護について、差止めに当たって検討している事案というのは、数としては当団体についてはそれほど多くないというか、具体的に検討に入っている事例というのは、あるかないかというようなレベルだろうと思います。
それは原因は、先ほど申し上げたように、そもそも情報提供する事案という のが、個人情報の問題意識を持って情報提供くださるという事案がそんなに多くない こと。それから、我々が持っている権限等の関係で、個人情報の問題にフォーカスして事業者に対する申入れを組み立てるというような発想がそもそもそんなに強くはないというところが現状 で、今までの活動はそうだっただろうと考えられます。
権限がないけれども消費者団体として申入れをするケースがありますよということを レ
ジュメで書きましたが、ただやはり権限がないと、事業者というのは、「何か権限がない
人たちが言っているわ」ということで、なかなか真剣に取り合ってくれないことが多いのです。そうなると、どうしても私たちが自分で持っている権限に当てはめて成果が 挙がる
ような活動ができるのかということを検討しますので、そういう意味でも、なかなか今までそういう活動に結びつくところはなかったのではないかと考えています。
ただ、紹介したように、北海道の特定適格団体が個人情報の観点から申入れしたりしている活動がありますので、団体によってはそういうことをやっているということだと思います。
それから２点目、被害回復の問題ですが、被害回復上の請求できる金額の問題です。請8

求できる金額そのものの問題というよりは、請求できる金額が少ないと、分配に係るコストを吸収することができないという問題です。今現在のガイドラインでは、特定適格消費者団体が、個々の被害者の方から頂ける報酬額というのは、請求できる金額の50％までとされています。例えば、慰謝料金額が5,000円だったとすると、一人当たり2,500円ですべてを賄わないと必然的に赤字になります。そうすると、過去の裁判例で認められているよ
うな金額レベルで、私達が自分たちの活動資金だけでできるということになると限界があります。個人情報保護の分野ではありませんが、現在当団体で１人当たり3,000円から4,000円くらいの単価の被害を取り扱う被害回復の訴訟をやっており、ある程度被害者の数がこの程度に収まるということが分かっているから赤字をなんとか吸収できるという前提で訴訟を起こしています。
仮に、これが少額被害で、なおかつ大量被害、数万人や数十万人の被害が発生するということになると、必然的にその赤字の金額が増えていくということになるので、権利行使をしようとすると、どうやってこれを吸収するかという問題を解決しないといけないという点が、考えられる最大の障害になるのではないかと予想している ところです。
○藤原委員長ありがとうございました。

小笠原委員、よろしいですか。
○小笠原委員はい。大丈夫です。ありがとうございます。

○藤原委員長それでは、ほかに。

中村委員、どうぞ。
○中村委員

中村です。御説明ありがとうございました。

差止権限のない法令への違反の指摘に関連して、１点質問いたします。
御説明や小笠原委員の質問に対する御回答でも触れられていましたし、ま た、資料２ページにも記載されていますが、個人情報保護法と差止権限を有していない法令 への違反を指摘することがあるとのことですが、任意の改善の求めに当たり、権限を有する法律に基づくものと権限を有さない法律に基づくもので事業者の対応にどれほどの差が出ているか教えていただきたいと思います。よろしくお願いします。
○KC’s

ありがとうございます。

二つ例を挙げさせていただくと、今言ったように、適格消費者団体として権限があるものとないものという観点で言うと、やはり権利がないものについては、「御意見ありがとうございます。今後の参考にさせていただきます」といった返答が来ることが結構あって、なかなか法的権限がないと答えていただけないという傾向がやはりあると思います。
それから、分かりやすい例で言うと、適格消費者団体というのは、適格消費者団体の認定を受けるまでに２年程度活動しないといけないということになっています。その適格認定がない段階で、この契約条項については、消費者契約法違反なのではないですかというようなことを事業者に申し入れて、任意に改善を求めるという活動をしているのですが、多くの適格団体が言っているのは、その適格認定を受ける前に申入れをしても、なかなか
9返事もしてくれないことが多いけれども、いざ適格認定を受けて差止請求をすると、途端に態度が変わって、ちゃんと返事をしてくれるようになったというようなこと です。
私自身も、この団体に立上げ時点から関わっていますが、やはり同じような経験をしていますので、法的権限がないと、事業者の皆さんは言うことを聞いてくれないのだというのは実感としては持っているところです。
○中村委員○藤原委員長ありがとうございました。
それでは、ほかにはいかがでしょうか。

よろしいですか。
それでは、最後に私からも一つお伺いいたします。
個人情報保護法違反や個人情報漏えい等事案への 消費者団体訴訟制度の拡張ということで、おおむね前向きな御意見と受け止めましたけれども、仮に制度が拡張されたとして、これらの制度の実務を担う主体として手を挙げていただける消費者団体がどれぐらいあるとお考えでしょうか。個人的なお考えで結構ですので、お聞かせいただきたいのですが、いかがでしょうか。
○KC’s

まず、被害回復、情報漏えい分野を想定していますが、被害回復に関して言えば、先ほど言ったような、実現可能性の問題はあるものの、多くの特定適格消費者団体は、これができるかどうかを真剣に検討すると思います。やはり、個人情報漏えいに関する被害回復というのは、実際の被害は生じているのだけれども、個々の権利行使がちゃんとされていないことによって行使されない権利になっていると いう意識は各団体持っていますから、その辺りのところについては検討がされるだろうと思います。
それから、差止めの分野に関しては、恐らくは団体の構成メンバー等によって大き な違いがあって、そういうものについて感度が高い団体が活動をするのではないかと思います
し、最初の段階として、それが、そんなに全ての団体が権利行使するような形にはならな
いのではないかと考えています。
ただ、適格消費者団体というのは、相互に情報交換をしたり、つながりがあったりとか、あるいは半年に一度程度、定期的に連絡協議会を開いていて、いろいろノウハウ交換等も行っていますから、先進的な活動をする団体が現れ出せば、それを真似るような形で同業他社に対して同じようなことをやってみたり、そういうことで徐々に活動が広がっていくのではないかと予測をしています。
あと、現状で、適格消費者団体の中に、特に個人情報に特化しているような団体がある
わけではないのですが、将来的に、例えば現在、適格消費者団体ではないけれども、情報保護の分野で活動しているような消費者団体はありますから、そういった団体が適格消費者団体になっていくことによって専門性がある団体が出てくるというような可能性も考えられますし、適格消費者団体でない団体を、私たちがサポートすることによって、適格団体の認定を受ける手助けをする仕組みがもう既にできています。そういった仕組みを使った結果、現在25団体まで適格消費者団体が増えているということなので、選択肢というか、10

可能性としてはいろいろな可能性があるのではないかと考えています。
○藤原委員長どうもありがとうございました。

本日頂いた御意見を含め、個人情報保護をめぐる様々な状況について、各方面の意見を聞きながら、議題を整理、審議してまいりたいと考えております。KC’sの五條様、小林様、
本日は本当にありがとうございました。御退出ください。
○KC’s

ありがとうございました。失礼します。
（消費者支援機構関西退室）○藤原委員長それでは、続いて、日商に御出席いただきます。
（日本商工会議所入室）○藤原委員長

本日は、日商の塩野様、和田様に御出席いただいております。

それでは、早速ですが御説明をお願いしたいと思います。
○日商商工会議所の組織等について少しお話をさせていただきます。

各地域にある商工会議所を会員とした会員制の民間組織です。各地商工会議所は全国に515ございますが、都市、主に何々市という、町村よりは市に設立されており、市内の事業者を会員とした会員制の民間組織です。日商と各地商工会議所の関係は、本社・支社のような関係ではなくて、それぞれが独立した組織で515の商工会議所が日商の会員になっているという構造になっています。日商と各地商工会議所は、ともに商工会議所法という法律に基づいた、民間の地域総合経済団体です。
事業内容を、３点書かせていただいております。
一つ目は、企業が抱える様々な経営課題の解決で、すなわち経営支援です。各地商工会
議所には経営指導員、経営相談員といった肩書の者がおりまして、管内の企業の経営相談に日々当たっています。
また、二つ目は、まちづくりや、観光振興です。一つ目では、個社の企業に対する経営支援を行うわけですけれども、二つ目で地域全体の経済活動を活発にして面的に盛り上げる活動を行っています。
それらを実現するために、三つ目に書いております政策提言を行っています。全国に約515の商工会議所がありまして、それぞれが1,000、5,000、１万といった会員を抱えており、その会員企業の合計は、全国では125万事業者になります。
２ページに「商工会議所の３大ミッション」と書いておりますが、左にある三つです。
分かりやすいほうから申しますと、先ほどの繰り返しになりますが、二つ目のポツのところでございまして、「中小企業等の活力強化」です。中小企業の経営力、成長力の強化の支援、創業やスタートアップ、事業承継を行い、産業人材を育成するといったことで中小企業の活力の強化を図っています。
今回、個人情報保護ということでございまして、特にデジタルに 係るかと思いますが、デジタル化による生産性向上等についての支援も行っています。
三つ目が「地域経済の活性化」ということで、都市再生、中心市街地の活性化、観光振11興、農林水産業の成長産業化であったり、最後にあるように、国土強靱化や、防災・減災などについても取り組んでいます。目に見える活動としてこの二つでして、これらを実現するために「政策提言」があります。商工会議所法という法律の目的、事業には事業者の環境や地域の環境を改善していく政策提言というのが一丁目一番地に書かれています。
ここまでが組織的な説明となります。
続いて、３ページです。日商や各地商工会議所での、個人情報保護法改正関連の取組を御紹介します。
まずは、「個人情報保護法の改正内容で注意すべき点を解説した動画を公開」して提供
しています。これは、日商から見ますと、各地の商工会議所の職員が、経営指導に当たりますので、その方々にきちんとした知識を身につけていただくというのが 一つ。それから、各地の商工会議所の会員企業の方々にも見ていただけるようにということで、この改正内
容等についての解説動画を作成、提供しています。専門家の方に御相談をして提供しています。
二つ目ですが、「個人情報保護関連モデル規定の提供」です。各地商工会議所において諸規程を整備する参考に、個人情報保護法改正の段階でモデル規定を提供しています。また、2022年４月施行の改正に合わせ、このモデル規定の一部を変更して提供しています。
こちらも弁護士等の専門家に相談をして作成・提供しています。
少し広義になりますが、「コンプライアンス体制強化に向けた会議・研修」を実施しています。個人情報、情報漏えいに限りませんが、コンプライアンス関係について包括的に、各地商工会議所の役員、コンプライアンス責任者を対象にして、コンプライアンスの体制
強化会議を全国515の商工会議所を対象にして行い、意識の醸成に取り組んでいます。この際に、講師からも、個人情報を含む情報セキュリティ対策について説明しています。
二つ目ですが、各地商工会議所の担当者向けにコンプライアンス研修を実施し、情報漏えいの観点も含めて説明をしています。
三つ目ですが、情報セキュリティ対策の重要性について、定例会議、これは毎月１回全
国から人が集まる会議を開催しており、この定例会議や各種セミナー、会報、ホームペー
ジ等を通じて繰り返し周知をしています。ここまでが取組の御紹介となります。
最後、４ページで、「個人情報保護法に関する課題と意見・要望」ということで、簡単に三つずつ書かせていただきました。
「課題」の一つ目、改正個人情報保護法では、説明動画、モデル規定の提供などを行っていますが、やはり各地から見ますと、何がどう変わって何をすればいいのかがなかなか分かりにくいとのことです。もちろん、私どもが努力して伝えていますが、やはり改正の情報、内容というのが、一般的に見て十分に行き渡っていないというのが大きな課題ではないかということです。
また、法律がいろいろと複雑化していきますが、特に、ここのところで人手不足が深刻化している状況ですので、中小企業においては、人材・資金などのリソースが足りずに、
12

管理体制整備、教育・研修実施などの対応が困難になっていくことが想定され ます。商工会議所自身でも苦慮するところがあるということを書かせていただ きました。
また、最後には、情報漏えい時の個人情報保護委員会への報告について、報告対象が判断に迷うとの声も聞かれると書かせていただきました。
「意見・要望」については、周知・広報の期間、実施内容を検証の上で、十分に情報が行き渡る周知方法を検討いただきたい。様々工夫されて 、動画や漫画などを提供されていると思いますが、なかなかやはり行き渡らないところなので、さらにいろいろと工夫をいただきたい。
二つ目ですが、研修動画等を公開いただいていますが、何がどのように変わって何をすればいいか、改正のポイントを、より早い段階から簡潔に分かりやすい説明資料を提供いただきたい。
また、漏えい時の報告について、実際に起こった事例、起こり得ると想定できる事例、
やはり、事例は、皆さん身近に捉えることができますので、この事例を多数かつ具体的にお示しいただきたい。非常に簡単ですが、説明はここまでといたします。ありがとうございます。
○藤原委員長ありがとうございました。

それでは、ただいまの日商からの御説明について、御質問等をお願いいたします。
浅井委員。
○浅井委員

浅井でございます。よろしくお願いします。

御説明ありがとうございました。既に先ほどの御説明で、周知 ・広報について御意見を伺ったばかりなのですけれども、この点の認知向上について質問をさせていただきます。
中小企業において必ずしも個人情報保護法の存在 、その規定内容が十分に認知されているとは言えないという考えもございます。それは、当委員会の実施したアンケート調査に
おいては、中小企業によって個人情報保護法上の規定である、特に漏えいなどの報告の義務を知らなかった事業者の割合は約80％となっておりました。中小企業といっても様々ございます。その規模によって認知度、理解に差があると考えますが、どのように感じていらっしゃるか教えていただければと思います。
加えまして、事業者の適切な対応を促すインセンティブ、周知活動としてどのようなものが有効とお考えになるでしょうか。例えば、単に分かりやすく説明するだけで十分なのかどうか、お考えを教えていただければ幸いでございます。よろしくお願いします。
○日商委員会の調査では、漏えい報告の義務を80％が知らないということでした。商工会議所で同内容の調査をしたことはなく分からないところもありますが、例えば、東京商工会議所の調査、サイバーセキュリティ対策への対応について聞いた中では、「十分な対策をしている」は16.9％と低い印象です。「ある程度対策している」が69.1％で、残りの14％は、あまり対策していない、対策していないとの回答になりました。
委員会の調査がどういった事業者を対象にされたか把握していませんが、商工会議所の13

会員は、全体に比べれば意識が高いほうだと思います。
先ほどお話ししたとおり、いろいろと周知活動を行っていますので、どれほど伝わるか分かりませんが、少なくともゼロベースの方々より意識をしていただいていると認識しています。漏えい報告の義務等を、現在ある程度対策しているという方々が全て知っている
わけではないと思いますが、私どもの努力の中ではある程度は高めているつもりでいます。
中小企業を会員とする団体として、可能な限り会員の方々に認知をしてい ただく努力はしておりますが、国や委員会でどのようなことをされているのか教えていただきたい。網
から漏れてしまうところがどこなのかは、御意見いただけるとありがたいと思います。
○浅井委員

ありがとうございます。

もちろん、周知活動、目的等、ターゲットを踏まえた上での活動は成果を図れると思いますので、御意見を取り入れて進めていきたいと思います。どうも ありがとうございます。
○藤原委員長ありがとうございました。

それでは、ほかにいかがでしょうか。
大島委員どうぞ。
○大島委員

大島と申します。どうぞよろしくお願いいたします。

ただいま御説明いただきましたが、実際のところ、個人情報の不適正利用事案、あるいは個人情報データベース等の不正提供等事案が発生しております。諸外国における直近の執行状況も踏まえますと、実効的な個人の権利救済を行っていくためには、罰則の水準の引上げ、あるいは直罰化、課徴金制度の導入などの厳罰化を検討することも必要かと思 うところです。これを厳罰化と言わせていただきますと、厳罰化についてどのような考えをお持ちでいらっしゃるか。また、こうした厳罰化が、中小企業にとって規律の理解や遵守のインセンティブとなり得るものかどうか、その辺の感覚を お教えいただければと思います。お願いいたします。
○日商

ありがとうございます。

厳罰化になれば、身の引き締まる思いで、より注意をするという方々は一定数出ると思います。ただ、罰則の強化になりますと、少なくとも今回３年ごとの改正と、ルールが少しずつ変わっていくのに対し、中小企業の立場からすると、人手不足も進行している中で、なかなか皆さん対応できなくなるのではないかと懸念します。
また、厳罰化になりますと、報告の作業が恐らく複雑、煩雑になるだろうということもあり、インセンティブとしては、罰則ではない方向を強く求めたいと思います 。
○日商

やはり中小企業は、先ほどもお話があったとおり、どうしても人材不足もあり、個人情報だけに限らず、守るべきデータもクラウドなど外部のITサービスに依拠した生産性の向上を求めざるを得ない。人材不足、ITの人材育成というのは叫ばれているものの、そこに投資がなかなかできないというところを考えると、大多数の 中小企業が個人情報を漏えいしたくてするわけではなく、何か不測の事態で出てしまう 。そこに一定の知識やリテラシーが必要であるとはいえ、やらなくてはいけないのは、むしろ、サービスを提供す14

るクラウド事業者、ITサービス事業者側が、もう少し丁寧に、サービスはこうなのだと説明し、中小企業側がデータを預けやすくすることだと思います。漏えいの際に、ITサービス事業者への罰則強化はあるかもしれませんが、一時的な保有者である中小企業への罰則は、むしろDXを阻害する要因になるのではないかと危惧します。
○大島委員○藤原委員長ありがとうございます。
ほかにはいかがでしょうか。

小川委員。
○小川委員

小川と申します。御説明ありがとうございました。

中小企業の安全管理について、２点ほど質問させていただければと思います。
一つ目の質問なのですけれども、御説明の中では 、周知・広報とか事例の提示といった御意見・御要望がございましたけれども、安全管理措置について、中小企業の経営者が 、より個人情報保護の安全管理に真摯に取り組める環境を実現するために、私どもの委員会
としてどのような取組をすべきかということで、何かお考えがあればお聞かせください。
二つ目の質問ですけれども、最近の漏えい事案に鑑みると、委託とか派遣社員を含めた安全管理体制、それからシステム設計、運用を含めたヒューマンエラー、それからサプラ
イチェーンを含めた不正アクセスというのが重要な課題だと認識しております。中小企業として、こういった不正アクセスなどといった課題に自主的に取り組んでいることがあれ
ば、具体的な内容や課題がもしあれば、御存じの範囲で結構なのですけれどもお教えいただけませんでしょうか。よろしくお願いします。
○日商

ありがとうございます。

委員会でできることでよいかと思いますが、分かりやすくするための動画や漫画の御提供と、様々な工夫をしていただいていると承知しています。商工会議所の調査で、「セキュリティ対策で何をやっていますか」との設問に、先ほど86％ほどが対応していると申しましたが、筆頭に挙がってくるのは、ウイルス対策ソフトのインストールや、ソフトウェ
アのアップデートなどです。それから社内研修の実施、セキュリティポリシーの策定、セキュリティ診断の実施などです。
例えば、商工会議所でもセキュリティ診断のツールを提供 したり、会員企業向けの損害保険があるため、保険会社と連携してセミナーを開催しています。
委員会でできることに戻りますと、動画・漫画など分かりやすいものを引き続き提供いただきたいと思います。もう一つは、先ほど言ったとおり、商工会議所でセミナーは様々やっていますが、なかなか全ての事業者にリーチしきれないため、商工会議所会員ではない層の方々へのリーチ等もお考えをいただけるとありがたいです。
○日商

具体的には、月に１回、全国の商工会議所の役員を対象に会議を開催しており、その中の情報化委員会で、昨年10月18日に、警察庁サイバー警察局の局長に講演していた
だき、周知を図りました。
個人情報保護委員会あるいは職員の方に同様に御対応いただければ、中小企業への直接
15

のリーチは難しいですが、少なくとも各地の商工会議所の職員や幹部の意識を高める手段には使えるのかと思います。
○日商

先ほど、セキュリティ診断を行っていると申しましたが、幾つかの中小企業の診断等を、皆様に具体例として見ていただいて、何が足りないか身近に理解していただくのがいいかと思っています。
また、商工会議所が企業にリーチするときに、最初に接点となるのは経営者の皆さんで、経営者の方々のセキュリティやITに対する意識を高める努力をしていますが、仮に経営者のフィルターで引っかからないと、従業員にまで情報が下りないということもあるだろうと思います。そんな中で、従業員の少し意識の高い方に、こういった情報をどう 届けるか、SNSを活用いただくなど、委員会としてもより強化していただくということもあるかと考えます。
○藤原委員長どうもありがとうございました。

ほかにはよろしいですか。
最後に、先ほど浅井委員の御質問の中で、規模感というお話が出たのですけれども、支部515を日商が束ねておられるということなのですけれども、 日商の125万という事業者について、恐らく515にいろいろくっついているところでしょうけれども、この事業者の方々の個人情報保護意識や対策を考えるときに、規模感というのは、日商傘下におられる企業
であれば中小企業ということで括ってよろしいものなのでしょうか。それとも、浅井委員の御質問のように、やはり規模によって差異があると考えたほうがよろしいのでしょうか。
○日商

およそ、日本にある企業の縮図にはなっていて、大企業や中堅企業の比率は少し高いですが、規模としては網羅していると理解いただければ と思います。
○藤原委員長ありがとうございました。

それでは、頂いた御意見を含め、個人情報保護をめぐる様々な状況について、各方面の意見を聞きながら課題を整理、審議してまいりたいと思います。
日商の塩野様、和田様、本日はありがとうございました。御退出ください。
○日商

どうもありがとうございました。
（日本商工会議所退室）○藤原委員長それでは、本議題の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。それでは、御異議がないようでございますので、そのように取り扱うことといたします。
本日の議題は以上です。
それでは、本日の会議はこれにて閉会としたします。

16