資料１

改正個人情報保護法の施行状況について

令和５年９月27日
個人情報保護委員会事務局

令和２年改正法の概要
１．個人の権利の在り方

３．事業者による自主的な取組を促す仕組みの在り方① 利用停止・消去等の個人の請求権について、一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合や重大な漏えい等が発生した場合等にも拡充する。

① 認定個人情報保護団体制度につき、従来の対象 ※ に加え、企業の特定分野(部門)を対象とする団体も認定可能にする。

② 保有個人データの開示方法（改正前は、原則、書面交付）について、電磁的記録の提供を含め、本人が指示できるようにする。
③ 個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする。
④ ６か月以内に消去する短期保存データについて、保有個人データに含めることとし、開示、利用停止等の対象とする。
⑤ オプトアウト規定※により第三者に提供できる個人データの範囲を限定し、①不正取得された個人データ、②オプトアウト規定により提供された個人データについても対象外とする。
（※）本人の求めがあれば事後的に停止することを前提に、提供する個人データの項目等を公表等した上で、本人の同意なく第三者に個人データを提供できる制度。

２．事業者の守るべき責務の在り方① 漏えい等が発生し、個人の権利利益を害するおそれが大きい
場合※に、委員会への報告及び本人への通知を義務化する。
（※）一定の類型（要配慮個人情報、不正目的、財産的被害）、一定数以上の個人データの漏えい等② 違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはならない旨を明確化する。
※「７．その他」として、①利用目的の特定（プロファイリング関係）、②個人データの取扱いの委託（混ぜるな危険関係）、③保有個人データに関する公表等事項（安全管理措置関係）につき、政令・ガイドライン改正等。

（※）事業者単位の事業者団体を対象とし、対象事業者内の全分野（部門）における個人情報の取扱いが対象。

４．データ利活用の在り方① 氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和する。
② 提供元では個人データに該当しないものの、提供先において個人データとなることが想定される「個人関連情報」の第三者提供について、本人同意が得られていること等の確認を義務付ける。

５．ペナルティの在り方① 委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げる。
② 命令違反等の罰金につき、法人と個人の資力格差等を勘案し、法人に対し行為者よりも罰金刑の最高額を引上げ(法人重科)。

６．法の域外適用・越境移転の在り方① 日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された報告徴収・命令の対象とする。
② 外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等を求める。

1令和２年改正法の施行状況
令和２年改正法の全面施行に向けて、関係する政令・規則・ガイドライン等の改正等を行ったほか、事業者等に対する説明会や各種広報資料の作成・公表等、幅広く周知・広報を実施。
令和２年
６月

９月

10月

検討・審議

11月

12月

1月２月

３月

４月

７月

８月

秋

冬

４月１日

公表：
８月２日

意見募集

全面施行日

検討・審議

公表：
月 日

9日

広報等

６
月

24

検討・審議

22

Ｑ＆Ａ

５月

令和４年

公布：３月

7月

ガイドライン

８月

意見募集

規則

基本的な考え方：

政令

７月

令和３年

検討・審議

10

継続的に更新周知・広報2令和２年改正法の施行状況
オプトアウト規定
令和５年３月の犯罪対策閣僚会議において「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」が策定されたこと等を踏まえ、オプトアウト届出事業者の調査を実施。
当該調査結果を踏まえ、令和５年４月に、オプトアウト届出事業者等に対する注意喚起を実施。
漏えい等報告漏えい等報告の義務化に伴い、令和４年度における漏えい等報告の件数は前年度比で増加。
漏えい等報告の義務化

漏えい等報告件数

H29年度

H30年度

R元年度

R2年度

R3年度

R4年度

3,338件4,380件4,520件

4,141件5,846件

7,685件（注）H29年度はH29.5.30～H30.3.31の期間の件数。

いわゆるWebスキミングによる情報流出等を、漏えい等報告及び本人通知の対象となる事態とするため、規則等の改正案を策定し、令和５年９月から意見公募手続を実施中。
不適正利用の禁止
多数の破産者等の個人情報を、インターネット上に公開されている地図データと紐付ける形で掲載していた個人情報取扱事業者に対し、法第19条（不適正な利用の禁止）等に違反するとして、令和４年７月に勧告、同年11月に命令を行った。
正当な理由なく命令に係る措置が執られなかったとして、令和５年１月に関係捜査機関への告発を実施。
3令和２年改正法の施行状況
認定個人情報保護団体
特定分野（部門）を対象とする認定団体として、令和４年度から現在までに４団体を認定（うち１団体は業務範囲の変更認定）。

仮名加工情報令和４年３月及び５月に、「個人情報保護委員会事務局レポート：仮名加工情報・匿名加工情報」を更新し、仮名加工情報の取扱いの参考となる情報を追加。

越境移転規制
令和４年１月及び４月に、一定の国又は地域における個人情報の保護に関する制度と我が国の法との間の本質的な差異の把握に資する情報を公表するなど、参考情報を提供（計40の国又は地域について公表）。
令和４年12月のOECDデジタル経済政策委員会（CDEP）閣僚会合において、「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」が採択されたことを受け、ガイドライン（外国第三者提供編）の改正案を策定し、令和５年９月から意見公募手続を実施中。

4令和３年改正法の概要① 個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の３本の法律を１本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化。
② 医療分野・学術分野の規制を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用。
③ 学術研究分野を含めたGDPRの十分性認定への対応を目指し、学術研究に係る適用除外規定について、一律の適用除外ではなく、統合後の法律を適用し、義務ごとの例外規定として精緻化。
④ 個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化。
【改正前】
個人情報保護法

各地方公共団体

独立行政法人等
個人情報保護法

対象

個人情報保護委員会

行政機関
個人情報保護法

法令

総務省

個人情報保護条例

所管

【改正後】

国の行政機関独立行政法人等

民間事業者

地方公共団体等

個人情報保護委員会①（統合後の）新個人情報保護法

国の行政機関
地方公共団体※ 等・国立病院・公立病院・国立大学・公立大学
・国立研究開発法人

民間事業者

等

学術研究

個人情報の定義等②

適用除外

対象を拡大し、規律を精緻化

照合可能性

容易照合可能性団体により異なる

容易照合可能性（個情法の定義に統一）

非識別加工情報

匿名加工情報規定なし

匿名加工情報（個情法の名称に統一し、規律を明確化）（一部団体を除く）③④※ 条例による必要最小限の独自の保護措置を許容

5令和３年改正法の施行状況
令和３年改正法の全面施行に向けて、関係する政令・規則・ガイドライン等の改正等を実施。
令和３年
夏

令和４年
秋

冬

春

1.7
2.4

公表②

地方公共団体の機関・地方独立行政法人

春

４.20

４.20
４.28

（地方）

公表①

（国等）

行政機関・独立行政法人等

冬

全面施行（地方公共団体の機関等）

公表

全体像の提示

公的部門
ガイドライン等(行政機関等向け)

学術研究機関等を含む
個人情報取扱事業者

公布②

地方公共団体の機関・地方独立行政法人

10.29

民間部門
ガイドライン（事業者向け）

秋

4.1

一部施行（行政機関・独立行政法人等）

公布①

行政機関・独立行政法人等（行政機関等向け）

夏

4.1

10.29

政令・規則

令和５年

関係条例の議会上程・関係規則の改正等

6令和３年改正法の施行状況
令和５年４月１日時点における個人情報保護法施行条例等の整備状況等について○ 都道府県及び市区町村都道府県（47団体）及び市区町村（1,741団体）については、令和５年４月１日の法の全面施行（地方公共団体への適用）のタイミングで、その全団体において、措置済み。
都道府県（全47団体）
50

市区町村（全1,741団体）

47（単位：団体数）

40

2,000

（単位：団体数）

1,741
1,500

30
1,000
20
500

1000
措置済み

未措置00
措置済み

未措置7令和３年改正法の施行状況
地方公共団体等からの相談・照会への回答件数及び法施行条例案等の事前確認依頼への対応件数の推移（令和４年４月１日～令和５年３月31日時点）○ 相談・照会への回答件数の推移○ 法施行条例案等の事前確認依頼への対応件数の推移（単位：件数）（単位：件数）

300

800

256

681
600

577

518

650
574

571

497

423

400

200

558482

186

496

112

100

1278920066
107004月 5月
令和４年6月

7月8月

9月

10月 11月 12月

1月 2月
令和５年

3月

784月 5月
令和４年

6月

1187月

328月

329月

10月 11月 12月

1月 2月
令和５年

3月

＜相談・照会への回答件数について＞○ 令和４年５月以降は、毎月、平均500件以上の相談・照会への回答を行ってきており、その数は堅調に推移している。
※ 回答件数の累計（集計）は6,134件であることから、地方ブロック担当窓口の職員１人当たりの回答件数は557.6件となる。
※ 相談・照会への回答までに要した日数の平均は9.1日間（土曜日、日曜日及び祝日等の休日を含む。）となる。
＜法施行条例案等の事前確認依頼への対応件数について＞○ 法施行条例案の議会上程が本格化する直前、令和４年の秋から事前確認依頼への対応件数が増加し、令和４年10月から令和５年１月にかけては、月平均100件を超える状況が続いている（令和５年３月に至るまで、事前確認依頼への対応が継続的に生じている状況）。
8民間部門を中心とした直近の状況
情報通信技術等の高度化に伴い、大量の個人情報を取り扱うビジネス・サービス等が生まれるが、同時に、プライバシーを含む個人の権利利益が侵害されるリスクが広がっている。また、破産者等情報のインターネット掲載事案や、犯罪者グループ等に名簿を提供する悪質な「名簿屋」事案等、個人情報が不適正に利用される事案も発生していることから、技術的な動向等を十分に踏まえた運用を続ける必要がある。
顔識別機能付きカメラシステム
犯罪予防や安全確保のための顔識別機能付きカメラシステムの適正な利用の在り方について検討するため、令和４年１月から令和５年３月にかけて有識者検討会を開催し、報告書が取りまとめられた。
同報告書で取りまとめられた内容を委員会で審議し、令和５年３月に「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表。
PPCビジネスサポートデスク
事業者が新たに予定している個人情報等を用いたビジネスについて、幅広い業種の事業者からの相談に応じている。
相談件数

R2年度

R3年度

R4年度

42件

55件64件

Q&Aの更新
上記「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」の公表や、委員会に寄せられた御意見等を踏まえ、Q&Aを随時更新。
9公益性の高い分野における直近の状況
個々の事情や特性等に配慮した政策検討が進む中、健康・医療、教育、防災、こども等の準公共分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが強い。こうした中、個人情報等の適正な取扱いに関し、関係府省庁等が主催する検討会への参加や、ガイドライン等の策定に当たっての助言等を通じて、政策の企画・立案段階から連携して取組を進めている。
【関係府省庁等が主催する検討会への参加（例）】• 健康・医療データ利活用基盤協議会、次世代医療基盤法検討ワーキンググループ（健康・医療戦略推進本部）• 医療分野における仮名加工情報の保護と利活用に関する検討会（厚生労働省）• 規制改革推進会議医療・介護・感染症対策ワーキング・グループ（内閣府）• デジタル臨時行政調査会作業部会（デジタル庁）【ガイドライン等の策定に当たっての助言（例）】• 教育データの利活用に係る留意事項（令和５年３月・文部科学省）• 防災分野における個人情報の取扱いに関する指針（令和５年３月・内閣府）• 実証事業ガイドライン（こどもに関する各種データの連携にかかる留意点等）（令和５年３月改訂・こどもに関する各種データの連携に係るガイドライン策定検討委員会）• 地理空間情報の活用における個人情報の取扱いに関するガイドライン（令和４年６月改正・内閣官房地理空間情報活用推進室）• 地理空間情報の活用における個人情報の取扱いに関するガイドライン（測量成果等編）（令和４年11月改正・国土地理院）
10

施行に関連する国際動向(1) 日EU相互認証の共同レビューの完了••

令和3年（2021年）に開始したEUとの相互認証のレビューが、本年４月３日に完了。
レビュー完了に合わせ、レンデルス欧州委員が来日し、４月４日に丹野委員長と会談。
レビュー完了及び今後の協力強化（特に、十分性認定の学術研究分野・公的部門への拡大）についての共同プレスリリースを発出。

〈共同プレスリリースのポイント〉• 日EU間の相互認証の最初のレビューが成功裏に完了したことを歓迎。
• 令和元年（2019年）、日本及びEUは、互いのデータ保護制度を「同等」と認め、両者間での個人データの自由な流通を可能とした。相互認証は、データが安全かつ自由に流通する世界最大の地域を創出。日EU経済連携協定がもたらす利益も補完し、増幅。
• 個人情報保護委員会及び欧州委員会は、それぞれ報告書を採択し、レビューを完了。今回のレビューにより、日EU間のデータ保護の枠組みの収れんが過去数年で更に進み、本枠組みが十分に機能し、データの信頼性のある流通を可能とすることで市民や事業者に大きな利益をもたらしていることが証明された。
• 相互認証に係る協力は、世界レベルでのデジタル経済に対する人間中心のアプローチを促進することを含め、この分野における日EU間のパートナーシップを継続的に強化するユニークな機会を提供するものであると認識。
• 日本の個人情報保護の枠組みが、学術研究分野や公的部門など新たな領域の保護対象を拡大した最近の改正を踏まえ、双方は、日本に対するEUの十分性認定の範囲を拡大する可能性を検討することに合意した。規制と研究に関する協力が促進され、双方に利益をもたらす可能性がある。
（注１）日本以外でEUから十分性認定を得ている国・地域
アンドラ、アルゼンチン、カナダ、フェロー諸島、ガーンジー、ジャージー、マン島、イスラエル、ニュージーランド、韓国、スイス、英国、ウルグアイ（注２）日EU間と同様、日英間の相互認証も継続
11

施行に関連する国際動向(2) G7データ保護・プライバシー機関ラウンドテーブル会合• G7の枠組みでは、年1回、各国のデータ保護・プライバシー機関（Data Protection and Privacy Authority:DPA）の委員長級が協議をするG7 DPAラウンドテーブル会合が開催されている。
• 本年６月、第3回G7 DPAラウンドテーブル会合が、当委員会（議長は丹野委員長）により開催された。
DFFT、先端技術及び執行協力の３本柱に基づき議論が行われ、成果文書として、「コミュニケ」のほか、初めて作成した「行動計画」、そしてコミュニケ等とは別に特別に「生成AIに関する声明」が採択された。
コミュニケ（主な内容）

行動計画（主な内容）

DFFT

先端技術

執行協力

・IAP（*）について、DPAが所掌内のトピックで重要な役割を果たす必要。
・高水準の個人情報保護による信頼性が、自由なデータ流通の前提。
・事業者がニーズに合わせ、複数の選択肢から越境移転ツールを選択できる国際環境を整備。
・グローバル規模の移転ツールの開発に向けて提言等を行う。
・相互運用性の促進のため、収れんした移転メカニズム開発を慫慂。

・先端技術は大きな恩恵とともに、個人の権利利益を損なう可能性がある。
・顔認識技術による個人情報の適切な利用の原則に関するGPA決議を歓迎。
・PETs（プライバシー強化技術）の利用と個人情報保護との関連性に関する事業者の理解を支援するため、DPAのガイダンスが必要。
・PETsは、データ保護の遵守のための「万能薬」ではなく、ケースバイケースのリスク評価が必要な段階。

・DPAの最も重要な機能は、規制権限を最大限行使し、制裁措置による違反の防止と抑止。
・規制権限の実効的な行使のため、DPA間の国際協力の必要性を再確認。
・効果的な執行促進のための対話促進を通じ、各国法制の相互理解とベストプラクティス共有を促進。
・GPA、GPEN等の国際枠組みを評価。
・G7コンタクトリストや情報提供依頼フォー
ムの採択を歓迎。

・国際枠組みでのDFFTの議論を支持。
・Global CBPRとEU認証、モデル契約条項間の比較を通じ知識共有促進。
・OECD等の取組を支援。

・国際執行協力の課題を特定し克服。
・匿名化、非識別化等の各国法制ごとに異なる専門用語の参照資料を作成。
・二国間協力覚書締結に向け作業を検討。
・「合成データ」のユースケース・スタディ。 ・GPA、GPEN等の国際枠組みへの参加を・生成AIの個人データ保護の課題で連携。
慫慂。

*IAP:G7デジタル技術大臣会合で設立が承認された、DFFT具体化に向けたパートナーシップのための制度的アレンジメント。

生成AIに関する
声明（主な内容）

・AIに特化した法律や政策は開発中だが、現行の個人情報保護法は生成AIの製品・利用に適用可能。
・個人情報処理の法的権限等、プライバシー・データ保護のリスクが生じうる主要分野を特定。
・テクノロジー企業とDPAの間での緊密なコミュニケーションが、生成AIの製品・サービスの責任ある設計、開発等に寄与。
12
・開発者等は「プライバイー・バイ・デザイン」の考えに基づき、プライバシー影響評価を実施し、その結果を文書化すべき。
・データ最小化、透明性等の国際的なデータ保護・プライバシーの主要原則を遵守することが必要。

12