令和３年度 個人情報保護委員会活動方針

令 和 ３ 年 ５ 月 14 日
個人情報保護委員会

平成 27 年９月に公布された個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27年法律第 65 号。以下「平成 27 年改正法」という。）により、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27号。以下「マイナンバー法」という。）が改正され、平成 28 年１月１日に、個人情報保護委員会（以下「委員会」という。）が設置された。
委員会は、個人情報保護法第 60 条に規定された使命を果たすべく、個人情報保護法及びマイナンバー法に基づき、個人情報（特定個人情報を含む。）の適正な取扱いが確保されるよう、法の正しい理解の促進を図るとともに、法令及びガイドライン等の遵守状況を適切に監視・監督するなどの活動を行っている。
令和３年度においても、個人情報（特定個人情報を含む。）が適正に取り扱われ、国民の安心・安全が確保されるよう、この目標達成に向けて委員会が取り組むべき活動について整理するとともに、当該活動の方向性を広く国民に示すため、本方針を定めるものである。

1

目次
Ⅰ．令和２年度における委員会の取組 .............................................. 3
１．個人情報保護法関係 .......................................................... 3（１）いわゆる３年ごと見直し .................................................... 3（２）個人情報保護制度の一元化 .................................................. 4（３）個人情報保護法に基づく監督等 .............................................. 6（４）個人情報保護法に基づく個人情報等の利活用等 ................................ 8（５）国民からの相談・苦情等への対応 ........................................... 10（６）国民の正しい理解のための広報活動 ......................................... 10
２．マイナンバー法関係 ......................................................... 11（１）マイナンバー法に基づく監視・監督等 ....................................... 11（２）特定個人情報の適正な取扱いの確保に向けた取組 ............................. 13（３）国民からの相談・苦情等への対応 ........................................... 14
３．国際協力 ................................................................... 14（１）信頼性のある個人データ流通のための国際的な枠組み構築に向けた取組の推進 ... 14（２）情報通信技術の進展等を踏まえた個人データ保護の在り方に関する国際的な議論への参画 ........................................................................... 15（３）地域別対話 ............................................................... 16（４）国内事業者による国際的な活動に資する情報の発信 ........................... 18
４．新型コロナウイルス感染症に係る対応 ......................................... 19（１）個人情報保護法関係 ....................................................... 19（２）マイナンバー法関係 ....................................................... 20（３）国際協力関係 ............................................................. 20
Ⅱ．令和３年度における委員会の取組 ............................................. 21
１．基本的な考え方 ............................................................. 21（１）個人情報保護法関係 ....................................................... 21（２）マイナンバー法関係 ....................................................... 21（３）国際協力 ................................................................. 22
２．具体的な取組 ............................................................... 22（１）個人情報保護法関係 ....................................................... 22（２）マイナンバー法関係 ....................................................... 25（３）国際協力 ................................................................. 27（４）共通事項 ................................................................. 292

Ⅰ．令和２年度における委員会の取組
１．個人情報保護法関係（１）いわゆる３年ごと見直し①

個人情報の保護に関する法律等の一部を改正する法律の成立
平成 27 年改正法附則第 12 条において、平成 27 年改正法の施行後３年ごとに、個人情報保護法の施行状況について検討を加え、また、３年を目途として基本方針の策定及び推進その他の委員会の所掌事務の改善について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとされている。
このため平成 30 年度より委員会において検討を重ね、これを踏まえた個人
情報の保護に関する法律等の一部を改正する法律案（以下「令和２年改正法案」という。）が令和２年３月 10 日に閣議決定され、第 201 回国会（常会）に提出された。
衆議院では、同年５月 20 日に衆議院内閣委員会において衛藤国務大臣から
令和２年改正法案の提案理由の説明が行われ、同年５月 22 日に政府に対する質疑が行われた後、同年５月 27 日に賛成多数で原案のとおり可決（附帯決議あり）、翌 28 日の衆議院本会議に上程され、賛成多数で可決された。
参議院では、同年６月２日に参議院内閣委員会において衛藤国務大臣から令和２年改正法案の趣旨説明が行われ、同年６月４日に政府に対する質疑が行われた後、賛成多数で原案のとおり可決（附帯決議あり）、翌５日の参議院本会議に上程され、賛成過半数で可決、成立し、同年６月 12 日に個人情報の保護に関する法律等の一部を改正する法律（令和２年法律第 44 号。以下「令和２年改正法」という。）として公布された。

②

令和２年改正法に関連する政令・規則・ガイドライン等の整備
令和２年改正法の公布を受け、政令・規則・ガイドライン等の検討を行った。
具体的には、令和２年６月 15 日に開催された第 144 回個人情報保護委員会において、「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」を決定し、同年７月 22 日に開催された第 149 回個人情報保護委員会において、令和２年改正法の施行に向け、3

政令・規則・ガイドライン等として整備すべき主な項目、整備に際しての留意点等の基本的な考え方として「改正個人情報保護法

政令・規則・ガイドライン等の整備に当たっての基本的な考え方について」を決定した。
その後、令和２年改正法に関連する政令・規則・ガイドライン等の整備に向けた論点について、同年 10 月から令和３年２月にかけて開催された個人情報保護委員会において計７回、８つの論点について議論を行った。このうち、政令・規則で措置すべき事項については、令和２年 12 月 25 日に開催された第 162回個人情報保護委員会において、「個人情報の保護に関する法律施行令及び個人情報保護委員会事務局組織令の一部を改正する政令（案）」（以下「政令案」という。）及び「個人情報の保護に関する法律施行規則の一部を改正する規則（案）」として取りまとめ、これらに対する意見募集を実施した。意見募集では、
計 63 の団体・事業者又は個人から延べ 556 件の御意見が寄せられ、意見募集
結果について、令和３年３月３日に開催された第 167 回委員会において議論を行った。その後、同年３月 19 日に政令案が閣議決定され、同年３月 24 日に個
人情報の保護に関する法律施行令及び個人情報保護委員会事務局組織令の一
部を改正する政令（令和３年政令第 56 号）及び個人情報の保護に関する法律
施行規則の一部を改正する規則（令和３年個人情報保護委員会規則第１号）が公布された。
なお、政令・規則の改正を伴わない論点については、令和３年度において追加の論点を含め検討を継続し、ガイドライン及びＱ＆Ａに反映する予定である。

（２）個人情報保護制度の一元化①

背景
平成 27 年改正法附則第 12 条第６項において、関係省庁は緊密な連携の下、
民間及び行政機関等における個人情報の保護に関する規定を集約し、一体的に規定することを含め、個人情報の保護に関する法制の在り方について検討するものとされている。
令和２年改正法案の策定に至る委員会の検討の過程においては、特に、意見募集やヒアリングの中で官民を通じた個人情報の取扱いに関する論点が多く指摘された。このため、令和元年 12 月に決定した「個人情報保護法
4

いわゆ

る３年ごと見直し

制度改正大綱」においては「民間、行政機関、独立行政法

人等に係る個人情報の保護に関する規定を集約・一体化し、これらの制度を委員会が一元的に所管する方向で、政府としての具体的な検討において、スケジ
ュール感をもって主体的かつ積極的に取り組む」こととした。

②

官民を通じた個人情報保護制度の見直しに係る検討
政府全体における具体的な検討としては、令和元年 12 月から内閣官房主催
による個人情報保護制度の見直しに関するタスクフォース（以下「タスクフォース」という。）が開催されたほか、令和２年３月からは個人情報保護制度の見直しに関する検討会（以下「有識者検討会」という。）も開催され、これらには委員会事務局も参画してきた。
タスクフォースにおいては、まず、国の行政機関等と民間事業者に係る規定の集約・一体化が先行して検討された。委員会としては、令和２年５月 15 日に開催された第 143 回個人情報保護委員会において、「官民通じた個人情報保護制度の見直しに係る委員会としての考え方について」を決定し、個人情報保護制度の見直しに当たっての基本的な考え方や着眼点を示した。これも踏まえて有識者検討会で議論が重ねられた結果、民間部門、行政機関、独立行政法人等に係る個人情報の保護に関する規定を集約し一体的に規定するとともに、監視監督・事務処理体制を委員会に一元化するとの中間整理案が取りまとめられた。
同年８月 26 日に開催された第 151 回個人情報保護委員会において当該中間整理案は了承され、同年８月 28 日に開催された第２回タスクフォースにおいて「個人情報保護制度の見直しに向けた中間整理」として決定された。
一方、地方公共団体の個人情報保護制度の在り方については、委員会事務局
において、令和元年 12 月２日から地方公共団体、地方三団体及び委員会事務局を構成員とする地方公共団体の個人情報保護制度に関する懇談会（以下「懇談会」という。）を開催した。懇談会では、構成員の地方公共団体における個人情報保護条例の運用等の実態について聴取するとともに、個人情報保護条例に係る実態調査を実施し、これらを踏まえて意見交換を行った。また、令和２年６月 24 日に開催された第 146 回個人情報保護委員会において、懇談会での構成員からの発表や個人情報保護条例の実態調査の結果等を踏まえ、「地方公共5

団体の個人情報保護制度に関する懇談会における実務的論点の整理に向けて」
を決定し、地方公共団体の個人情報保護制度に関する見直しの視点を示した。
懇談会は、同年７月３日に開催された第４回をもって終了し、有識者検討会において委員会事務局から報告を行った。
有識者検討会では、中間整理案の取りまとめ後、地方公共団体の個人情報保護制度の在り方について集中して検討が重ねられた。令和２年 12 月 17 日に示された素案に基づき、最終報告案が取りまとめられ、同年 12 月 18 日に開催された第 161 回個人情報保護委員会において了承された後、同年 12 月 23 日に開催された第３回タスクフォースにおいて「個人情報保護制度の見直しに関する最終報告」として決定され、パブリックコメントが実施された。

デジタル社会の形成を図るための関係法律の整備に関する法律案の第 204 回③

国会（常会）への提出「個人情報保護制度の見直しに関する最終報告」の内容を踏まえた個人情報保護法の一部改正を含むデジタル社会の形成を図るための関係法律の整備に関する法律案（以下「令和３年改正法案」という。）について、令和３年２月１日に開催された第 165 回個人情報保護委員会で了承された後、同年２月９日に閣議決定され、第 204 回国会（常会）に提出された。

（３）個人情報保護法に基づく監督等
個人情報の適正な取扱いを確保するため、以下のような効率的かつ効果的な監督に努めている。
ア

個人情報取扱事業者において漏えい等事案が発生した場合、個人データの漏
えい等の事案が発生した場合等の対応について（平成 29 年個人情報保護委員会告示第１号）に基づき報告を受けており、委員会においては、その事実関係を確認し、再発防止策の策定等について指導・助言を行っている。
多数の個人データが２つのウェブサイトに違法に掲載されており、それらの個人データの主体の権利が侵害されていた事案について、両ウェブサイトの掲載者に対し、ウェブサイトを直ちに停止した上で利用目的の通知・公表を行うとともに、当該個人データを第三者に提供することの同意を得るまでは、両ウ6ェブサイトを再開してはならない旨の勧告を令和２年３月に行ったが、勧告事項について対応期限の日までに措置が講じられなかったため、同年７月に、勧告に係る措置をとるよう命令を２件行った。
また、外国の委託先事業者に、利用者の個人情報へのアクセス権を付与していたメッセージングアプリ事業者に対して、個人情報保護法第 22 条（委託先の監督）や第 24 条（外国にある第三者への提供の制限）の遵守状況等について確認するために、個人情報保護法第 40 条第１項に基づく報告徴収及び立入検査を行った。
イ

監督業務で取り扱った個別事案について、個人情報取扱事業者に対して広く注意喚起すべきセキュリティ上の問題点を抽出し、委員会ウェブサイトに注意喚起を掲載した。具体的には、新型コロナウイルス感染症の拡大防止のために
テレワークが急拡大する中で、テレワーク時にコンピューターウイルスに感染した事案や脆弱性のあるＶＰＮ機器を利用した事案を紹介し、対策例を提示した。また、近時利用促進されているクラウドサービスについても、個人情報の公開範囲の設定を誤った事案やアクセスに必要な認証情報の管理が不十分であった事案を紹介し、陥りやすいポイント及び対策例を提示した。

ウ

いわゆる名簿屋については、オプトアウト届出済みの民間事業者に対し、個
人データの第三者提供等に係る記録確認義務の履行状況の実態調査を行ってきたところ、令和２年度はアンケート調査を行い、第三者提供等に係る確認記録に不備が認められた事業者に対しては指導を行った。

エ外国に所在する事業者等への対応については、外国に所在する事業者から、不正アクセス等を原因とする漏えい報告を受け、発生原因の究明や再発防止策の策定等について指導・助言を行った。

オ

国境を超えた個人データの流通が加速する中、委員会としては、外国において発生した漏えい事案等への対応のみならず、外国執行当局との協力体制の構築を積極的に促進した。例えば、個別の事案への対応としては、海外のドメインを使用する事業者に対応するため外国執行当局に協力を求めるなどした。また、個人データの越境移転規制に係る令和２年改正法の施行に向けて、産業界における越境データ移転を伴う事業活動の実態を広く把握するとともに、制度改正への準備状況を把握し、今後の情報提供等の活動に反映するため、事業者
7における個人データの越境移転に関する実態調査を行った。
カ

そのほか、個人情報保護の執行協力の枠組みであるグローバルプライバシー
執行ネットワーク（ＧＰＥＮ）により行われた月例会議及び調査活動に参加し、新型コロナウイルス感染症の拡大防止のための委員会の活動について報告を行ったほか、加盟各国の新型コロナウイルス感染症の拡大防止を図るための執行活動の変化や執行状況等について情報収集を行った。

（４）個人情報保護法に基づく個人情報等の利活用等①

ガイドライン及びＱ＆Ａの改正
個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年
11 月個人情報保護委員会）について、個人情報保護法相談ダイヤルやＰＰＣビ
ジネスサポートデスクに寄せられた問合せの内容や、事業者から寄せられた質問等も踏まえ、個人情報保護法の解釈の明確化等を図ることが望ましい箇所について記載の追記等を行うために、パブリックコメントを実施した上で令和２年９月１日に改正を行った。具体的には、利用目的による制限の例外、直接書面等による取得、利用目的の通知等をしなくてよい場合、オプトアウトに関する原則に関して、記載の追加等を行った。また、「個人情報の保護に関する法
律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆Ａ（平成 29 年２月 16 日個人情報保護委員会）の改正も同日に併せて行った。

②

ＰＰＣビジネスサポートデスクの開設
ＡＩ・ビッグデータ時代を迎え、個人情報等の活用が一層多岐にわたる中、委員会による相談体制の一層の充実を求める意見に適切に対応する観点から、
令和２年４月１日にＰＰＣビジネスサポートデスクを開設し、事業者が新たに予定しているビジネスにおける個人データの取扱い（第三者提供、委託、共同利用等）や業界団体が新たに作成する自主的ガイドラインについての相談に応じた。また、ＰＰＣビジネスサポートデスクの周知を図るため、リーフレットの作成・配布等を行った。

8

③

匿名加工情報に関する情報発信
令和２年度上半期には、令和元年度に実施したパーソナルデータの適正な利活用の在り方に関する実態調査に関する報告書及び事例集を委員会ウェブサ
イト上で公表する等、適正かつ効果的な活用を促進する観点から情報発信を行った。また、令和２年度下半期には、匿名加工情報の活用実態の把握のため事業者へのヒアリングを行うとともに、これまでの委託調査で得られた匿名加工
情報の活用事例を体系的にまとめた冊子を作成した。

④

オプトアウト手続の実態
個人情報保護法第 23 条第２項の規定に基づくオプトアウト手続による個人
データの第三者提供をしようとする者については、オプトアウト手続を行うこと等を委員会へ届け出ることが義務付けられており、令和３年３月 31 日現在、368 件の届出を受け付け、委員会ウェブサイトで公表している。
令和２年度においては、オプトアウト手続を行っていることを委員会へ届け出ていない名簿業者の実態を調査し、必要な届出を行わせた。

⑤

認定個人情報保護団体に関する取組
認定個人情報保護団体（以下「認定団体」という。）について、令和２年度は２団体を新たに認定したほか、１団体から廃止の届出があり、令和３年３月 31
日現在の認定団体数は 41 である。認定団体が作成した個人情報保護指針については、委員会ウェブサイトで公表している。
令和２年度においては、委員会及び各認定団体間の情報共有等の場である認定団体連絡会を１回、認定団体の対象事業者向け実務研修会を６回開催した。
さらに、認定団体シンポジウムを開催し、認定団体制度を通じた民間の自主的取組の推進の重要性について対外発信した。そのほか、各認定団体が主催する
令和２年改正法説明会へ計 15 回の講師派遣を行った。
また、令和３年１月 26 日に開催された第 164 回委員会において、ガイドラ
イン（認定団体編）の新設を含む認定団体の望ましい取組の方向性等について審議を行った。

9

⑥

民間の自主的取組の推進
民間の自主的取組を促進する施策の検討の基礎とするため、外国のＰＩＡ（Privacy Impact Assessment、個人情報保護評価）事例等の調査・分析及び個別案件についての民間事業者によるＰＩＡの試行を実施するとともに、個人
データの取扱いに関する責任者及び責任部署の設置状況や課題等の実態について調査を実施した。

（５）国民からの相談・苦情等への対応
個人情報保護制度に関する一般的な質問への回答や、苦情の申出について必要なあっせんを行うため、個人情報保護法相談ダイヤルを設置している。
事業者の個人情報等の取扱いに関して寄せられる相談・苦情等に対しては、法令やガイドライン等に基づき説明を行うとともに、必要に応じて事業者に事実確認を行い、事業者に対し指導・助言等を行っている。
また、苦情あっせんの申出を受けた場合には、当事者それぞれから可能な限り納得感を得て解決につなげられるよう対応している。令和２年度においては、例
えば、事業者のウェブサイトに未だ在職しているかのように掲載され続けている
元従業員から、当該事業者に個人情報の削除を依頼し、事業者からも了承を得たが、一向に対応されないという苦情の申立てがされた事案について、当該事業者に対して元従業員からの苦情を伝えるとともに、個人情報保護法の規定等の説明を行い、削除に応じるようあっせんを行った。

（６）国民の正しい理解のための広報活動
新型コロナウイルス感染症の拡大防止に留意しつつ、オンラインでの説明会等
を含め、個人情報保護法の適用を受ける幅広い事業者への現行の法制度の周知のほか、認定団体や事業者団体、消費者団体等の様々な関係者に対して、積極的に
令和２年改正法についての説明を行うとともに、政令・規則等の検討に資するよ
うに、積極的に意見や要望等を伺った。
また、小学生を対象として「個人情報の適切な取扱い方」を啓発する出前授業を実施し、ハンドブック等の配布を行ったほか、スマートフォンやインターネッ
ト、ＳＮＳ等における個人情報の適切な取扱い方を学ぶことができる動画を制作
10

し、政府インターネットテレビで公開した。
さらに、委員会が加盟しているアジア太平洋プライバシー機関（ＡＰＰＡ）において、各加盟機関が取り組むこととされている Privacy Awareness Week を令和２年 11 月 30 日から 12 月６日までに設定し、個人情報保護の重要性について、
広く国民に対して広報活動を行った。
また、中小規模事業者向けに、その事業において個人情報を取り扱う際に発生しやすい３つのヒヤリハット事例についてドラマ仕立てで解説した動画や、個人情報取扱事業者の社員向け研修などに活用できる個人情報保護法の概要、漏えい等が発生したときに行うべき対応、個人データを安全に管理する方法について解説した動画を作成し、政府インターネットテレビで公開した。

２．マイナンバー法関係（１）マイナンバー法に基づく監視・監督等①

監視・監督
特定個人情報の漏えい事案等について、行政機関等、地方公共団体等及び事業者から報告を受けており、当該報告を踏まえ、再発防止策等の確認を行うとともに、同種の事態が起きないよう指導・助言を行っている。
行政機関等に対しては、マイナンバー法第 29 条の３の規定及び特定個人情報の取扱いの状況に係る行政機関等に対する定期的な検査に関する規則（平成28 年個人情報保護委員会規則第２号。以下「定期的な検査に関する規則」という。）に基づく定期的な検査のほか、随時に検査を行い、地方公共団体等に対しては、規模、過去の検査状況等を勘案の上、選択的に検査を実施するとともに、検査項目を絞った検査（以下「レビュー検査」という。）を活用するなどしている。なお、令和２年度においては、これらの検査について、新型コロナウ
イルス感染症の拡大防止の観点から、電子媒体による資料徴求、電話又はメー
ルでのコミュニケーションなどの手法を活用した検査（以下「オフサイト・モ
ニタリング検査」という。）を行った。そして、これらの検査を実施した機関等に対して、指摘した事項について改善を求めた。
また、地方公共団体の特定個人情報が保存されたハードディスクが流出した事案について、当該地方公共団体に対して、電子媒体等を廃棄するに当たって11

は、漏えいの防止や適切な管理のために必要な措置を講じること、電子媒体等のデータ削除業務を他者に委託するに当たっては、委託先に対する必要かつ適切な監督を行うことなどの指導を行った。
さらに、情報提供ネットワークシステムにおいて、行政機関及び地方公共団
体等の職員による不正な利用がないか確認するため、監視・監督システムを用いて情報連携される情報提供等記録について分析を行い、情報連携の照会内容について、ヒアリング調査を行った。なお、調査を行った範囲内では、不正な利用は見受けられなかった。
また、監視・監督システムの分析能力向上のため、ＡＩを活用した機能の開発を開始した。
そのほか、マイナンバー法第 29 条の３の規定及び特定個人情報の取扱いの状況に係る地方公共団体等による定期的な報告に関する規則（平成 28 年個人情報保護委員会規則第４号）に基づき、特定個人情報ファイルを保有する地方公共団体等から、当該特定個人情報ファイルに記録された特定個人情報の取扱いの状況について報告を受けている。令和２年度の報告では、これまでの事項に加え、新たにハードディスク等の更新に係るデータの削除又は廃棄の実施状
況等について報告を求め、おおむね必要な措置が講じられていることを確認した。

②

特定個人情報保護評価委員会においては、特定個人情報保護評価（以下「保護評価」という。）について、マイナンバー法第 28 条、特定個人情報保護評価に関する規則（平成 26
年特定個人情報保護委員会規則第１号。以下「評価規則」という。）及び特定個
人情報保護評価指針（平成 26 年特定個人情報保護委員会告示第４号。以下「評価指針」という。）に基づき、委員会に提出された行政機関の長等（地方公共団
体の機関及び地方独立行政法人を除く。）の全項目評価書について、評価指針に定める実施手続等に適合した保護評価を実施しているか、記載されたリスクを軽減させるための措置等が国民の信頼の確保等の保護評価の目的に照らし妥当か、という観点から審査及び承認を行っている。
令和２年度においては、マイナンバー法第 27 条第２項の規定に基づき、評12価指針の再検討を行い、保護評価の再実施が必要となる特定個人情報ファイルに対する「重要な変更」の対象範囲を明確化する等の変更を行った。変更後の評価指針等は令和３年２月５日に公布・公表され、同年４月１日に施行された。

③

独自利用事務の情報連携
地方公共団体は、マイナンバー法第 19 条第８号において、マイナンバー法
第９条第２項の規定に基づき条例で定める事務（以下「独自利用事務」という。）のうち別表第２の第２欄に掲げる事務に準ずるものとして委員会規則で定めるものについて、情報提供ネットワークシステムを用いた情報連携（情報照会者として他の個人番号利用事務実施者から個人番号利用事務を処理するために必要な特定個人情報の提供を求め、又は情報提供者として他の個人番号利用
事務実施者に対し特定個人情報を提供することをいう。以下同じ。）を行うことができるものとされている。
委員会では、情報連携ができる独自利用事務として、1,234 の地方公共団体から提出された 8,864 件（令和３年３月末時点）の届出を受け付けるとともに、情報連携の対象となる独自利用事務の事例について、地方公共団体の要望も踏まえて整理し、制度開始以来 36 事例を公表した。

（２）特定個人情報の適正な取扱いの確保に向けた取組
令和２年度のマイナンバー法第 29 条の４の改正に伴い、「特定個人情報の漏え
いその他の特定個人情報の安全の確保に係る重大な事態の報告に関する規則の一部を改正する規則案」を取りまとめ、これに対する意見募集を実施し、その結果を公表した。その後、令和３年３月 24 日に、特定個人情報の漏えいその他の
特定個人情報の安全の確保に係る重大な事態の報告に関する規則の一部を改正する規則（令和３年個人情報保護委員会規則第２号。以下「改正漏えい等報告規則」という。）が公布された。
また、他省庁と連携して動画配信により実施された社会保障・税番号制度担当者説明会や、地方公共団体情報システム機構主催の動画配信セミナーにおいて、
特定個人情報の適正な取扱いの確保や安全管理措置の再確認を促すことなどを目的とした説明を行った。
13

さらに、地方公共団体から参加希望を募り、32 団体に対して、マイナンバー漏えい事案が発生したとの想定で初動対応の訓練を実施し、当該団体の対応における問題について改善を促した。
また、令和元年度の立入検査において把握した有用な事例を、マイナンバーを適切に取り扱うためのポイント～検査結果を踏まえて～（平成 29 年６月（令和２年６月改訂）個人情報保護委員会）に追加し、国の行政機関及び地方公共団体に周知を行った。

（３）国民からの相談・苦情等への対応
委員会では、特定個人情報の取扱いについて、特定個人情報の適正な取扱いに関するガイドライン（事業者編）（平成 26 年特定個人情報保護委員会告示第５号。
別冊「金融業務における特定個人情報の適正な取扱いに関するガイドライン」を含む。）及び特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）（平成 26 年特定個人情報保護委員会告示第６号）（以下これら
ガイドラインを併せて「マイナンバーガイドライン」という。）に関する一般的な質問への回答や、苦情の申出について必要な助言・あっせんを行うため、マイナ
ンバー苦情あっせん相談窓口を設置している。
令和２年度においても、事業者等の保有する特定個人情報の取扱いに関して寄せられる相談・苦情等に対しては、マイナンバーガイドライン等に基づき説明を行うとともに、必要に応じて事業者等に事実確認を行い、当事者に助言やあっせん等を行った。

３．国際協力個人データの国境を越えた流通が増大する中、個人情報の保護を図りつつ国際的なデータ流通が円滑に行われるための環境を整備することが重要となっており、委員会としては、関係機関との戦略的な対話の実施や、国際的な協力の枠組みへの参加等に積極的に取り組んでいる。具体的には以下のとおりである。

（１）信頼性のある個人データ流通のための国際的な枠組み構築に向けた取組の推進
委員会事務局と欧州関係機関（欧州委員会司法総局）及び米国関係機関（商務14省等）との間で、それぞれ二者間による対話を実施し、日本側から提案した、①
個人情報の越境移転に関する既存の２国間枠組みを活用した更なる個人情報の流通の促進、②グローバルに相互運用可能な新たな企業認証制度の模索及び③グ
ローバルスタンダードとしてのＯＥＣＤプライバシーガイドラインの見直しプ
ロセスにおける個人情報保護を巡る新たなリスクに係る議論、それぞれについて、
令和２年７月の欧州司法裁判所によるプライバシー・シールドへの十分性認定無効判決等の個人情報保護に関する主要な動向を踏まえた個別論点や今後の進め方等について具体的な検討を行った。加えて、委員会では、日米欧間での議論に資するべく、日米欧三極間の個人データ流通の実態についての企業調査を実施した。
また、ＯＥＣＤプライバシーガイドラインの見直しプロセスにおいて、委員会が行った提案 1に基づき、個人情報保護を巡る新たなリスクとしてのデータロー
カライゼーション及び無制限なガバメントアクセスという２つの論点についての検討・議論が進められた。委員会はＯＥＣＤのデジタル経済データガバナンス・
プライバシー作業部会（ＷＰＤＧＰ）の累次会合、民間部門が保有する個人デー
タの無制限なガバメントアクセスに関する専門家コンサルテーション等、また、
ＷＰＤＧＰの親委員会であるデジタル経済政策委員会（ＣＤＥＰ）の会合に参画し、議論を主導した。ガバメントアクセスに関する論点については、主な議論の場をＷＰＤＧＰからＣＤＥＰに移し、令和３年早期にも完了予定のＯＥＣＤプラ
イバシーガイドラインの見直しプロセス後も議論を継続させていくことで一致し、委員会事務局次長を代表として派遣しているＣＤＥＰ内に設置されたドラフ
ティング・グループにおいて、信頼性のあるガバメントアクセスに関する高次の原則の具体化に向けた作業が進められた。

（２）情報通信技術の進展等を踏まえた個人データ保護の在り方に関する国際的な議論への参画
第 42 回世界プライバシー会議（ＧＰＡ）年次総会 2や第 53 回及び第 54 回アジ
令和元年 11 月に行われたＷＰＤＧＰ会合において、委員会より、両論点について上記見直し
プロセスにおいて議論すべき旨の提案を行った。
2 正式メンバーとして承認されたデータ保護機関で構成される、国際的な個人データ保護の促
115

ア太平洋プライバシー機関（ＡＰＰＡ）フォーラム 3等の個人データ保護に関する国際会議への専門委員や職員の出席などを通じ、我が国の取組等について積極的に発信するとともに、ＡＩ・ＩｏＴ等技術の進展を含め、国際的なデータ流通
等の個人情報保護に影響を与える諸課題に関する議論に積極的に参画した。
また、委員会は、令和２年 10 月 22 日、電子情報技術に関するオンライン国際
展示・会議イベント「ＣＥＡＴＥＣ2020」（ＣＥＡＴＥＣ実施協議会主催）のウェ
ブサイト上で、「日米欧三極のイニシアティブによる信頼性が確保された個人データの自由な越境流通の促進に向けて」と題したオンラインセミナーを開催した。
（３）地域別対話①

ＥＵとの協力対話等
平成 31 年１月 23 日に発効した日ＥＵ間の相互の円滑な個人データ移転を図る枠組みについては、発効から２年以内に、互いの移転枠組み（日本においては、個人情報保護法第 24 条に基づく指定、ＥＵにおいては、一般データ保護規則（General Data Protection Regulation：ＧＤＰＲ）第 45 条に基づ
く十分性認定）について見直し（レビュー）が行われることとなっており、委員会は欧州委員会司法総局との間で、互いの個人情報の保護に関する状況を確認するための質問票のやり取りをする等の当該見直し（レビュー）に関する作業を進めた。
また、令和２年 10 月２日、事務局職員がオンライン形式で開催された第10 回日ＥＵ・ＩＣＴ戦略ワークショップ 4に参加し、データについて官民で議論するセッションにおいて、信頼性のある個人データ流通のための国際的な枠組み構築に向けた取組について説明を行った。

進・強化について議論や情報交換を行う会議。正式メンバー及び承認されたオブザーバーが参加する非公開会議が開催され、各種決議等が採択されているほか、その他の公的機関、事業者、研究者等も参加する公開会議も開かれている。令和元年 11 月 15 日より、これまでのデータ保護プ
ライバシー・コミッショナー国際会議（ＩＣＤＰＰＣ）から世界プライバシー会議（ＧＰＡ）へと会議名が変更された。
3 アジア太平洋地域のデータ保護機関が、協力関係の構築及び情報交換を行う会議。年に２回開催。
4 総務省、欧州委員会（通信ネットワーク・コンテンツ・技術総局）、民間事業者等が、デジタ
ル経済における重要課題について自由な意見交換を行う場。
16

②

米国との対話
米 国 と の 間 で は 、 ア ジ ア 太 平 洋 経 済 協 力 （ Asia-Pacific Economic
Cooperation：ＡＰＥＣ）の越境プライバシールール（Cross Border Privacy
Rules：ＣＢＰＲ）システムを促進することなどを通じて協力関係を構築してきたところであるが、信頼性のある個人データの越境移転のための国際的な枠組み構築に向けた取組として、日米欧三極間における対話を開始していることを踏まえ、日本からの提案について協議を行っている。
令和２年７月 27 日には、事務局長が米国商務省の次官補代理と意見交換を行い、欧州司法裁判所による米ＥＵプライバシー・シールドへの十分性認定を無効とする判決を踏まえた米欧間の個人データ移転のための枠組みの見直しに関する議論 5の迅速な実施を働き掛けた。
また、令和２年９月 17 日、事務局審議官がオンライン形式で開催された第11 回インターネットエコノミーに関する日米政策協力対話 6に参加し、個人データを含む国際的なデータ流通を後押しするルールの促進に向けて、国際的なパートナーとの連携を継続していくこととし、またデータの自由な流通の拡大に資するグローバルな越境データ流通システムの創出に向けて協力することの重要性を改めて強調した。

③

英国との対話委員会は、個人情報保護法第 24 条に基づき、ＥＵ離脱前の英国を含め、Ｅ
Ｕ各国に対して指定を行っており、英国のＥＵ離脱後も、英国に対する指定を継続させていることから、上記日ＥＵ間の相互の円滑な個人データ移転を図る
枠組みの見直し（レビュー）と並行して、英国に対する当該指定の見直しを行うこととなっている。そのため、英国デジタル・文化・メディア・スポーツ省（ＤＣＭＳ）等に対して、ＥＵ離脱後における同国のデータ保護の取組やデー

5

令和２年７月、欧州司法裁判所（CJEU）は、EU から米国への個人データ移転のための枠組みであるプライバシー・シールドに対する欧州委員会の十分性認定を無効と判決した。同年８月、同判決を受けて、欧州委員会委員と米国商務省長官の共同声明により、「強化された」米Ｅ
Ｕプライバシー・シールドの枠組みの可能性を評価するための議論を開始することが公表された。
6 総務省と米国国務省との間で、インターネットの経済的側面に焦点を当てた政策全般について、定期的に実施されている政策対話。
17

タ保護法制、その執行状況等について確認を行い、見直しに関する作業を進めた。
また、同国のデータ保護機関である情報コミッショナーオフィス（ＩＣＯ）との連携強化のため、ＩＣＯからの提案に基づき、情報共有や意見交換を行う
枠組みの構築に向けた議論を行った。

④

ＡＰＥＣ

ＣＢＰＲシステムの推進

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第７号）においては、外国にある第三者への個人データの提供に係る個人情報保護法第 24 条の要件を満たす場合として、提供元の個人情報取扱事業者がＡＰＥＣ

ＣＢＰＲシステムの認証を取得しており、提供先の外国にある第三者が当該個人情報取扱事業者に代わって個人情報を取り扱う者である場合や、提供先の外国にある第三者が、Ａ
ＰＥＣ

ＣＢＰＲシステムの認証を取得している場合を挙げている。そのため、同システムの認証を受けることで個人データの円滑な越境移転が可能となり、国際的な事業展開を図る日本企業にとって有益であることから、ＡＰＥＣ貿
易・投資委員会デジタル経済運営グループ（ＤＥＳＧ）データプライバシーサ
ブグループ（ＤＰＳ）に事務局職員が副議長として参加し、同システムの推進に関する協議の進展に積極的に寄与したほか、国際会議等において同システムの意義・重要性について広く国内外に情報発信を行うなど、その普及・推進に取り組んだ。

（４）国内事業者による国際的な活動に資する情報の発信
外国に所在する事業者との取引を行う国内事業者の参考とするため、引き続き委員会ウェブサイト上にＥＵのＧＤＰＲ及び米国・カリフォルニア州消費者
プライバシー法（California Consumer Privacy Act：ＣＣＰＡ）などの諸外国・地域における個人情報の保護に関する情報（外国機関が作成した資料についての日本語仮訳を含む）を提供した。

18

４．新型コロナウイルス感染症に係る対応（１）個人情報保護法関係事業者において新型コロナウイルス感染症の拡大防止を目的として個人情報が取り扱われる機会が増え、個人情報保護法相談ダイヤルへの相談も多く寄せられたことを踏まえ、「新型コロナウイルス感染症の拡大防止を目的とした個人
データの取扱いについて」を令和２年４月２日に委員会ウェブサイトに掲載
し、同年５月 15 日、令和３年３月 19 日に更新した。また、令和２年に更新した内容の一部については、同年９月１日に改正したガイドライン及びＱ＆Ａに盛り込んだ。
また、我が国におけるコンタクトトレーシングアプリの導入（※）を前に、令和２年４月 28 日に開催された第 142 回個人情報保護委員会において、個人情報に係る個人の権利利益の確保の要請と感染症対策という公共政策上の利用の要
請とのバランスに留意しつつ、これらのアプリを活用するための考え方を取りまとめた「新型コロナウイルス感染症対策としてコンタクトトレーシングアプ
リを活用するための個人情報保護委員会の考え方について」を決定し、同年５月１日に報道発表を行った。その後、内閣官房新型コロナウイルス感染症対策
テックチームの下に設置された接触確認アプリに関する有識者検討会合にオブザーバーとして参加し、必要な助言を行った。
さらに、令和２年４月 28 日に厚生労働省との連名で、「新型コロナウイルス
感染症に係る医療機関間での個人情報の共有の際の個人情報保護法の取扱いについて」を委員会ウェブサイトに掲載したほか、委員会が実際に確認したテレワークに伴う個人情報漏えい事案の個別事例を基に考えられる対策について、「テレワークに伴う個人情報漏えい事案に関する注意事項」にまとめ、同年９月 23 日に委員会ウェブサイトに掲載した。
（※）令和２年６月 19 日に、厚生労働省から新型コロナウイルス接触確認アプリ（COVID-1
9 Contact-Confirming Application：ＣＯＣＯＡ）がリリースされた。

19

（２）マイナンバー法関係
令和２年４月 15 日に「新型コロナウイルス感染症対策として、事業者等においてテレワーク等を活用する場合のマイナンバーの取扱いについて」を委員会
ウェブサイトに掲載した。

（３）国際協力関係
新型コロナウイルス感染症対策における個人データの取扱い等に対する委員会の対応について国外に発信するとともに、ＯＥＣＤやＧＰＡといった国際会
議の議論に積極的に参加し、各国の関係機関との意見交換や各国の対応についての情報収集を行った。

20

Ⅱ．令和３年度における委員会の取組
１．基本的な考え方（１）個人情報保護法関係
令和２年改正法の円滑な施行に向けて、ガイドライン等の整備を進めるとともに、周知広報に積極的に取り組む。
また、第 204 回国会（常会）において、委員会が、公的部門を含め、個人情報の取扱いを一元的に監視監督することを内容とする令和３年改正法案が可決、成立した。デジタル社会の形成を図るための関係法律の整備に関する法律（以下「令和３年改正法」という。）の円滑な施行に向け、所掌事務の拡大に対応するため、委員会の体制強化と更なる専門性の向上を図るとともに、関係する政令・規則・
ガイドライン等の整備を進め、社会全体のデジタル化に対応した個人情報保護と官民や地域の枠を超えたデータ流通との両立の要請に対応する。
さらに、事業者における個人情報の取扱いに係る監督権限を一元的に所掌する委員会として、個人情報の適正な取扱いを確保するため、国内外の事業者に対して適切かつ効率的・効果的な監督を行う。

（２）マイナンバー法関係
引き続き、特定個人情報の適正な取扱い及び安全管理措置等の実施状況を把握するとともに、これまでの監視・監督活動を通じて蓄積してきたノウハウをいかし、必要に応じて指導・助言等を行うとともに、積極的な周知活動に取り組む。
なお、立入検査に当たっては、新型コロナウイルス感染症の拡大防止に配慮しつ
つ、効率的かつ効果的な手法で対応するほか、監視・監督活動への都道府県の協力を引き続き求めていく。
特定個人情報保護評価については、引き続きマイナンバー法の趣旨と規定及び変更後の評価指針等に則った運用を行う。
独自利用事務の情報連携については、令和４年度中の独自利用事務システムの運用開始に向けて準備を進めるほか、活用促進に資する取組を引き続き積極的に行う。

21

（３）国際協力
信頼性のある個人データ流通のための国際的な枠組み構築に向け、米国・ＥＵ
を中心とした関係各国との戦略的な対話や連携を一層推進するとともに、ＯＥＣ
Ｄ等の国際会議において、委員会としての発信を積極的に進める。
また、これまで委員会が構築してきた関係機関等との協力関係を基礎に、国際的な制度調和や執行協力を視野に入れつつ、諸外国のデータ保護機関とのネットワークを強化していく。

２．具体的な取組（１）個人情報保護法関係①

令和２年改正法の円滑な施行に向けた取組
Ⅰ（１）に記載のとおり、令和２年６月 12 日に令和２年改正法が公布された。令和２年改正法の円滑な施行に向けて、政令・規則の改正を伴わない論点については、追加の論点を含め検討を継続しガイドライン等の整備を進めるとともに、周知広報に積極的に取り組む。
ガイドライン等の策定に当たっては、個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、様々な主体の意見を十分に聴取しながら進める。
また、令和２年改正法の趣旨や内容等について、事業者や消費者にとって分かりやすい資料を作成・公表し、オンラインでの対応を含め、認定団体や事業者団体、消費者団体等の様々な主体に対する説明会等を実施するなど、制度の周知広報に積極的に取り組む。

②

令和３年改正法の円滑な施行に向けた取組
Ⅰ（２）に記載のとおり、令和３年２月９日に令和３年改正法案が第 204 回
国会（常会）に提出され、同年５月 12 日に可決、成立した。令和３年改正法
は、個人情報保護法、行政機関の保有する個人情報の保護に関する法律（平成15 年法律第 58 号。以下「行政機関個人情報保護法」という。）、独立行政法人
等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号。以下「独立行政法人等個人情報保護法」という。）の３本の法律を１本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律におい22

て全国的な共通ルールを規定し、全体の所管を委員会に一元化することや、学術研究に係る適用除外規定について、一律の適用除外ではなく、義務ごとの例
外規定として精緻化すること等を内容とするものである。
令和３年改正法の円滑な施行に向け、新たに委員会が所管することになる国の行政機関、独立行政法人等、地方公共団体及び地方独立行政法人や、例外規定の精緻化が行われる学術研究機関等に対し、十分な周知を行うとともに、これらの主体が適切に対応できるよう準備期間を設ける観点から、関係する政令・規則・ガイドライン等、改正等が必要なルール等について迅速な整備に取り組む。その際、これまで行政機関個人情報保護法、独立行政法人等個人情報保護法又は各地方公共団体の条例により別々に規律されてきたことにも配慮しつつ、各主体の意見を十分に聴取しながら、個人情報保護とデータ流通の両立を図るという一元化の趣旨を実現していく。
また、特に地方公共団体については、改正法の施行までに条例の改廃等の準備行為が必要となると考えられることから、委員会としても当該準備行為の実施状況を把握した上で、必要な助言等を行う。

③

監督活動
個人情報等の適正な取扱いを確保するため、個人情報保護法相談ダイヤルに寄せられる情報、個人データの漏えい等の事案に関する報告等、多様な情報源から得られる情報を総合的に活用し、事業者に対して指導・助言を行うほか、必要に応じて報告徴収、立入検査を行う。具体的には以下のような取組を実施する。
漏えい等報告の分析により、発生原因に質的・構造的な問題がある可能性のある事業者を類型化して報告徴収又は立入検査等を実施し、業種業態に共通の留意点について注意喚起等を行う等、効率的な監督活動を行う。
令和２年度に続き、事業者における漏えいの影響の拡大又は二次被害の発生を防止するため、迅速な初動対応と適切な助言等に取り組むほか、セキュリテ
ィに関する専門業者とアドバイザリ契約を締結するなどにより、サイバーセキ
ュリティ事案への指導、助言についても更なる充実を図る。
いわゆる名簿屋について、届出済みの事業者に対しては、確認・記録義務の23

履行状況を確認し、必要に応じ指導等を行い、各種情報を分析し未届の疑いのある事業者に対しては、引き続き調査を実施し、個人データの第三者提供の実態があれば、届出を行うよう指導していく。
なお、令和３年 10 月より、令和２年改正法に基づくオプトアウト届出の受付を開始するため、所要の準備を進める。

④

執行協力に関する取組
個人データの国境を越えた流通が増大しており、国内にある者に対してサービスを提供する外国所在の事業者からの漏えい等事案の報告も相当数あることから、当該事業者における個人情報の適正な取扱いを確保する必要がある。
このため、委員会も正式メンバーとして参加している国際的な執行協力の枠組
みであるＧＰＥＮの活動に積極的に貢献するとともに、外国執行当局との連携により、外国の事業者に対しても確実な執行を目指す。

⑤

個人情報等の適正かつ効果的な活用の促進
令和２年４月に設置したＰＰＣビジネスサポートデスクにおいて、事業者等から寄せられる個人情報等の適正な利活用に関する相談への支援を積極的に実施する。また、相談支援対応等を通じて得られた知見をガイドラインやＱ＆Ａの形で一般化して、委員会ウェブサイト等を通じて広く周知することで、事業者等における個人情報等の適正な利活用に関する理解の促進を図る。さらに、
ＰＰＣビジネスサポートデスクの周知広報を積極的に行い、利用者数の増加を図る。
事業者等における個人情報、匿名加工情報及び非識別加工情報の利活用の状
況や活用ニーズの把握を引き続き行い、令和２年度に作成した匿名加工情報の事例集を活用した情報発信等、効果的な利活用促進策を実施する。
また、令和２年改正法において新たに導入された仮名加工情報制度について、
令和２年改正法に係る説明会等での説明や、仮名加工情報の活用事例を含む委
員会事務局レポートの改定・公表により、令和２年改正法施行後の同制度の速やかな普及を図る。

24

⑥

認定団体に関する取組
民間の自主的取組の主要な担い手としての認定団体に求められる役割や具体的業務等について記載したガイドライン（認定団体編）を新たに策定し、その周知に取り組む。
認定団体による自主的取組を支援するため、認定団体連絡会の開催や各認定団体との意見交換等を通じて、自主ルールの策定等認定団体の役割・機能の強化につながるような情報提供や指導、助言等を行っていく。
また、認定団体の対象事業者における個人情報保護の意識の向上や認定団体制度についての理解を更に深めるために、対象事業者向け実務研修会等を積極的に開催する。
さらに、令和２年改正法においては、現行制度に加え、特定の事業活動に限定した活動を行う団体を認定できるよう制度を拡充したため、セミナーの開催等により新制度の周知広報を行うほか、特定の事業活動に限定した活動を行う団体としての認定を希望する団体からの相談対応等に取り組む。

⑦

民間の自主的取組の推進
令和２年度に実施した調査結果を踏まえ、民間の個人情報の適正な取扱いに関する自主的取組を促すため、ＰＩＡの取組及び個人データの取扱いに関する責任者の設置について、現状把握と望ましい方向性を検討するための調査・分析等を行うとともに、ＰＩＡに関する委員会の考え方を示すなどして、民間の理解や意識の向上を図る。

（２）マイナンバー法関係①
ア

監視・監督活動監督
特定個人情報の適正な取扱いを確保するため、特定個人情報保護評価書、苦情あっせん相談窓口等に寄せられる情報、漏えい等に関する報告等の情報を総合的に活用し、各機関に対して、マイナンバー法に基づく指導・助言、
報告徴収・立入検査等を行う。具体的には以下のとおりである。
特定個人情報の漏えい事案等について、行政機関等、地方公共団体等及び25

事業者から報告を受け、当該報告を踏まえ、再発防止策等の確認を行うとともに、同種の事態が起きないよう指導・助言等を行う。なお、改正漏えい等報告規則が令和４年４月に施行されることを踏まえ、マイナンバーガイドラ
インを改正し、各機関に対して、改正漏えい等報告規則の具体的な内容を示していく。
また、行政機関等に対しては、マイナンバー法第 29 条の３の規定及び定期的な検査に関する規則に基づき、行政機関等が保有する特定個人情報ファ
イル（個人番号関係事務に係るものなどを除く。）に記録された特定個人情報の取扱状況について、定期的な検査を実施する。地方公共団体等に対しては、規模、過去の検査状況、定期報告の内容等を勘案の上、選択的に検査を実施するとともに、レビュー検査を積極的に活用し、必要に応じてオフサイト・
モニタリング検査を実施するなどして、多数の検査対象団体に対し、効率的に検査を実施するとともに、今後、検査団体数を更に増やし、小規模団体も含めて、レビュー検査により一層注力することで、効率的かつ効果的な検査を実施する。なお、市町村への立入検査に当たっては、従来どおり都道府県の同行を求め、改善指導の協力を求めていく。

イ

監視
情報提供ネットワークシステムを使用した特定個人情報の情報連携について、監視・監督システムにより、不適切な情報連携が行われていないか監視を行う。
また、ＡＩを活用した監視・監督システムの機能強化により、分析機能の自動化・高度化を図る。

②

地方公共団体に対する支援
特定個人情報の適正な取扱いを確保するため、立入検査や定期的な報告その他の監督活動等の状況も勘案しつつ、地方公共団体からの要望等に応じて
特定個人情報安全管理措置セミナーを開催する。なお、開催後は、都道府県に対し、参加市町村の改善状況に係るフォローアップを要請する。また、立入検査の結果等を踏まえた特定個人情報の取扱いに関する留意点について随時説26

明会を実施するとともに、関係機関と連携し、社会保障・税番号制度担当者説明会や地方公共団体情報システム機構セミナーにおいて、安全管理措置に係る説明を実施する。

③

特定個人情報保護評価
令和３年度においても、引き続き、マイナンバー法第 28 条、評価規則及び評価指針に基づき、委員会に提出された行政機関の長等（地方公共団体の機関
及び地方独立行政法人を除く。）の全項目評価書について、評価指針に定める実施手続等に適合した保護評価を実施しているか、記載されたリスクを軽減させるための措置等が国民の信頼の確保等の保護評価の目的に照らし妥当か、という観点から審査及び承認を行う。また、保護評価書の提出・公表手続の一層の効率化等を図るため、マイナンバー保護評価システムの改修を行う。

④

独自利用事務の情報連携
地方公共団体における情報連携の更なる活用を進めるために、添付書類の削減による利便性の向上や地方公共団体における業務の効率化・合理化というマ
イナンバー制度のメリットを広く周知していくことが重要である。
また、地方公共団体が効率的に独自利用事務の情報連携に係る届出を行えるようにするために、令和３年度においては、独自利用事務システムの設計・開発を実施し、令和４年度中の当該システムの運用開始を目指す。
そのほか、地方公共団体の要望を踏まえ、情報連携の対象とする独自利用事
務の事例の追加を検討するなど、独自利用事務の情報連携の活用促進のために様々な方策を講じる。

（３）国際協力①

信頼性のある個人データ流通のための国際的な枠組み構築に向けた取組の推進
これまで連携を深めてきた米国・ＥＵを中心とした関係各国のデータ保護機
関等との戦略的な対話や連携を一層推進するとともに、ＯＥＣＤ等の国際会議において、委員会としての発信を積極的に進める。具体的には、
27ア

日ＥＵ間の相互認証及び現在米ＥＵ間で議論がなされているプライバシ
ー・シールドに代わる新たな枠組み（前掲脚注５を参照）を基礎に、日米欧で適切な保護の下での個人データ流通を促す枠組み構築を先駆的に進める。

イ

個人データに関する流通枠組みの裾野拡大に向けて、ＧＤＰＲ第 46 条に基づく認証メカニズム、ＡＰＥＣ

ＣＢＰＲシステムといった企業単位の認証枠組みを参照しつつ、グローバルに相互運用可能な新たな企業認証制度の模索について、リーダーシップを発揮しつつ国際的な連携を進める。
ウ

個人情報に係る今日的な課題（データローカライゼーションや無制限なガ
バメントアクセス）に対応するため、世界の個人情報保護政策の依拠する基盤となっている、ＯＥＣＤプライバシーガイドラインに係る国際的な議論を主導する。この取組を強力に推進するため、令和２年度に引き続き、委員会
からＯＥＣＤに対して拠出金を支出するとともに、人的支援等を行う。

②

情報通信技術の進展等を踏まえた個人データ保護の在り方に関する国際的な議論への参画
ＡＩ・ＩｏＴ等の技術の進展が個人情報保護に与える影響を踏まえ、委員会として多面的に活動し、個人情報保護を取り巻く国際的な議論に貢献していく
ため、引き続き、ＧＰＡやＡＰＰＡフォーラムといった個人情報保護に関する国際会議等への積極的な参画を行う。

③

既存の個人データ移転枠組みの円滑な運用・更なる発展に向けた取組等
ア

ＥＵとの協力対話等
平成 31 年１月に発効した日ＥＵ間の相互の円滑な個人データ移転を図る
枠組みが維持されるよう、欧州委員会と協力し、見直し（レビュー）作業を速やかに完了させる。また、今次見直し（レビュー）作業の完了後は、次回見直し（レビュー）に向け、同枠組みの前提となる執行機関間の協力関係の維持発展のため、ＥＵデータ保護機関との定期的な対話を継続的に行う。

イ

米国との対話
これまでの協力関係の実績を踏まえ、引き続き、国内の説明会や国際会議
28

等の場におけるＡＰＥＣ

ＣＢＰＲシステムの周知活動及びＡＰＥＣ加盟

エコノミーとの協議を積極的に進め、同システムの更なる展開・拡大を推進していくとともに、米国と一層の連携及び協力を図るべく、対話を続けていく。

ウ

英国との対話
日ＥＵ間の相互の円滑な個人データ移転を図る枠組みの見直し（レビュー）と並行して行われている、英国に対する個人情報保護法第 24 条に基づく指定の見直しについても、同国の関係機関と協力して、当該見直し作業を速やかに完了させる。
また、英国のデータ保護機関であるＩＣＯとの間でも、連携強化に向けて引き続き議論を行っていく。

エ

国内事業者による国際的な活動に資する情報の発信等
国際会議等への積極的な参加や外国の個人情報保護制度の調査等を通じて、個人データ・プライバシー保護に関する法制度等の国際的な情報の収集に努め、委員会ウェブサイトへの掲載等により積極的に国内外に発信する。

（４）共通事項①

新型コロナウイルス感染症に係る対応
新型コロナウイルス感染症の拡大防止を目的とした個人データの取扱いなどについて、取扱いを行う主体や国民からの疑問に的確に答えるべく、新型コ
ロナウイルス感染症の拡大防止策における課題を注視の上、委員会ウェブサイ
トにおいて適時適切に積極的に発信する。
また、国際的にも、新型コロナウイルス感染症の拡大防止を目的とした個人
データの取扱いに関して様々な見解や優良事例が示されていることから、委員会の対応について国外に発信するとともに、ＯＥＣＤやＧＰＡ等の国際会議における議論にも積極的に参加し、各国の対応について情報収集を行う。

29

②

広報・啓発活動
令和２年度に引き続き、新型コロナウイルス感染症の拡大防止に留意しつつ、
オンラインでの説明会等を含め、個人情報保護法の適用を受ける幅広い事業者への現行の法制度の周知等のほか、令和２年改正法について、事業者をはじめ、国民に幅広く適切に周知するよう取り組む。また、ソーシャルメディアも活用
して、令和２年改正法や委員会の各種施策の情報を発信していく。
加えて、全国各地の商工会連合会、商工会議所連合会主催の経営指導員向けに、委員会にて作成した研修動画を送付、あるいは必要に応じて委員会から講師を派遣するなどして、個人情報の取扱いに関するヒヤリハット事例や安全管理措置上の注意点などを紹介するとともに、中小規模事業者へ個人データの安全管理措置等を広く周知し、適切な取扱いを促す。令和３年度はオンライン形式による研修会も活用し、幅広い事業者にトレンドに沿った事案の紹介や注意喚起を行う。
また、委員会ウェブサイトにおいて、令和２年改正法の内容を分かりやすく掲載するとともに、個人情報に係るセキュリティインシデント情報等の注意情報をタイムリーに発信する。
さらに、委員会が加盟しているＡＰＰＡにおいて、各加盟機関が取り組むこととされている Privacy Awareness Week（「個人情報を考える週間」）を令和３
年度も設定し、個人情報保護の重要性について、広く国民に対して広報活動を行う。

③

国民からの相談・苦情等への対応
個人情報（特定個人情報を含む。）の取扱いについて、個人情報保護法相談

ダイヤル及びマイナンバー苦情あっせん相談窓口に寄せられる法令やガイド
ラインに関する一般的な質問にお答えする。また、苦情の申出について、相談者が可能な限り納得感を得られるよう、関係機関とも連携しつつ事案の内容に応じた助言を行い、自主的な解決を促すほか、必要に応じて委員会から事業者に連絡し、あっせん等を行う。
また、ＡＩ等を活用したチャットボットサービスを運用し、広聴・相談窓口の電話受付時間外であっても簡易な質疑応答を可能とすることにより、国民30の利便性の向上を図る。また、これらを通じて把握した情報をいかして、相談・苦情対応はじめ委員会の各種活動の更なる充実を図る。

④ 有益な情報発信
監督活動・相談対応等を通じて把握した個人情報等（特定個人情報を含む。）の取扱いに関する問題点・疑問点等について、多様な観点から分析を行い、漏えい報告案件の実例を踏まえた安全管理措置の手法や個人で取り組める対応策の紹介など、個人情報を取り巻く環境変化に応じた情報発信を委員会ウェブ
サイトにおいて行う。また、説明会・セミナー等においてこれらの取組を紹介することを通じて、個人情報等（特定個人情報を含む。）の適正な取扱いの周知を図る。

⑤ サイバー攻撃等のインシデント対応
個人情報取扱事業者における個人データを取り扱う情報システム等又は行政機関等及び地方公共団体等における特定個人情報を取り扱う情報システム
等へのサイバー攻撃による漏えい等の事案を把握した場合には、事案の特性及び規模を考慮しつつ、事案の詳細を把握するとともに、個人情報保護法サイバーセキュリティ連携会議（平成 29 年５月設置）又は特定個人情報セキュリテ
ィ関係省庁等連絡協議会（平成 27 年７月設置）を通じて、関係機関と緊密な連携を図りつつ対応する。

⑥

人材の育成・確保委員会の体制強化と更なる専門性の向上を図るため、個人情報保護に関する法令等の専門知識のほか、セキュリティ・ＩＴや国際分野の知見を有する人材の育成・確保が求められる。
このような状況を踏まえ、職員がこれらの知見を得られるよう、様々な機会を設けている。具体的には、例えば、大学院で実施される専門講座等への職員の参加、他機関との人材交流を行う。また、専門機関が実施するサイバーセキ
ュリティ研修、セキュリティ・ＩＴリテラシー等に関する研修への職員の参加
や、語学研修、検査職員に対する研修を行うほか、各種資格試験取得のための31

支援などに積極的に取り組み、情報セキュリティや、国際的な連携を含めた法執行等について幅広い専門的・技術的知見を有する人材の継続的な確保及び育成を図る。

32