平成 31 年度

個人情報保護委員会活動方針

平 成 31 年 ４ 月 18 日
個人情報保護委員会

平成 27 年９月に公布された「個人情報の保護に関する法律及び行政手続における
特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律」（平成 27 年法律第 65 号。以下「平成 27 年改正法」という。
）により、「個人情報の保護に関する法律」（平成 15 年法律第 57 号。以下「個人情報保護法」という。）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成 25 年
法律第 27 号。以下「マイナンバー法」という。
）が改正され、平成 28 年１月１日に、個人情報保護委員会（以下「委員会」という。）が設置された。
委員会は、個人情報保護法第 60 条に規定された使命を果たすべく、個人情報保護法及びマイナンバー法に基づき、個人情報（特定個人情報を含む。）の適正な取扱いが確保されるよう、法の正しい理解の促進を図るとともに、法令及びガイドライン等の遵守状況を適切に監視・監督するなどの活動を行っている。
また、平成 26 年１月の特定個人情報保護委員会の発足から満５年が経過し、本年１月から委員会の第二期目の体制が発足するとともに、個人情報を取り巻く環境に大きな変化が生じてきたこと等を踏まえ、組織理念についても平成 31 年２月に一部変更を行った。具体的には、国際的な個人情報保護に関する議論において、我が国が主導的な役割を果たしていくこと等を盛り込むこととした。
これらを踏まえ、平成 31 年度においても、個人情報（特定個人情報を含む。
）が適正に取り扱われ、国民の安心・安全が確保されるよう、この目標達成に向けて委員会
が取り組むべき活動について整理するとともに、当該活動の方向性を広く国民に示すため、本方針を定めるものである。

-1-

Ⅰ．平成 30 年度における委員会の取組＜国際関係＞（１）協力関係の構築
個人データの国境を越えた流通が増大する中、個人情報の保護を図りつつ国際的なデータ流通が円滑に行われるための環境を整備することが重要となっており、関係機関との対話や国際会議への出席等を通じて関係機関との協力関係の構築、国際的な枠組みへの参加等に積極的に取り組んできている。
特に、関係機関との協力関係構築については、主にＥＵ、米国及び英国の３方向で対話を行ってきている。

（２）具体的な取組①

ＥＵ関係
ＥＵとの間では、平成 28 年より、日ＥＵ間の相互の円滑な個人データ移転を図る枠組みの構築に向けて欧州委員会司法総局と累次の対話を重ね、平成 30 年
７月 17 日に同対話の最終合意を確認した。その後双方において必要な国内手続を完了し、平成 31 年１月 23 日に個人情報保護法第 24 条に基づき、我が国と同等の水準にある個人情報保護制度を有している外国としてＥＵを指定し、同日、欧州委員会においてもＥＵ一般データ保護規則（General Data Protection
Regulation：ＧＤＰＲ）第 45 条に基づく我が国の個人情報保護制度の十分性認定を決定したことにより、日ＥＵ間の相互の円滑な個人データ移転を図る枠組みが発効した。同日、委員会熊澤委員と欧州委員会ヨウロバー委員との間で今後も緊密な連携・協力を図っていくことを確認した。
また、ＥＵのデータ保護機関との間で書面や電話会議等により継続的な対話を実施し、今後も情報交換を行っていくことや協力関係を推進することで一致した。

②

米国関係
米国との間では、多国間の取決めであるアジア太平洋経済協力（Asia-Pacific

Economic Cooperation：ＡＰＥＣ）越境プライバシールール（Cross Border-2-

Privacy Rules：ＣＢＰＲ）システム1に関する周知活動及びＡＰＥＣ加盟エコノ
ミーに対する参加促進を行っていくことで一致しており、一層協力を進めるべく対話を続けてきている。
この状況を踏まえ、個人情報保護法に関する全国説明会の場（平成 30 年度に78 回開催、約 6,560 人参加）や、様々な国際会議・ワークショップの場（平成 30
年度に 13 回開催、約 1,180 人参加）で、ＣＢＰＲシステムに関する周知を行ってきたほか、参加を検討しているＡＰＥＣ加盟エコノミーとの意見交換等を行ってきている。

③

英国関係
英国との間では、英国のＥＵ離脱後における日英間の円滑な個人データ移転の確保や執行協力の強化に向け、データ保護機関である情報コミッショナーオフィス（ＩＣＯ）及び個人情報保護法制を所管するデジタル文化・メディア・スポー
ツ省（ＤＣＭＳ）と、書面や電話会議等により継続的に対話を実施した。
この結果、平成 31 年２月 20 日に、英国議会において、離脱後もＥＵにおける十分性認定（日本を含む）を維持する法案が可決され、委員会においては、平成
31 年３月 14 日に、英国の離脱後においても、ＥＵに対して行った個人情報保護法第 24 条に基づく指定を英国に対して継続することを決定した。

④

その他
委員長及び委員が第 40 回データ保護プライバシー・コミッショナー国際会議2に出席し、委員長が委員会の国際的な取組等について講演を行ったほか、本会議のサイドイベントとして、「Data Protection in the era of connected world（世界がつながった時代におけるデータ保護）」と題したワークショップを開催した。

1

ＡＰＥＣ参加国・地域において、事業者のＡＰＥＣプライバシーフレームワークへの適合性を認証する仕組みであり、事業者の個人情報保護の水準を判断するための国際的な基準として有効である。
2

各国のデータ保護機関、政府機関、事業者及び研究者等が参加し、国際的な個人データ保護の促進・強化等についての議論や情報交換を行う会議であり、委員会は、平成 29 年から正式メンバーとして参加してきている。
-3-

また、委員及び事務局長が第 50 回アジア太平洋プライバシー機関フォーラムに出席した。本フォーラムでは、委員会が次回の第 51 回フォーラムを主催することが決定されたほか、日ＥＵ間の相互認証に向けた取組の状況及びＣＢＰＲシス
テムの促進等について説明を行った。

⑤

個人データに関する国際的なデータ流通の枠組み構築に関する取組
平成 30 年 12 月 19 日にＩＴ総合戦略本部等が決定した「デジタル時代の新たなＩＴ政策の方向性について」において言及されている、個人情報を含む「国際的なデータ流通の枠組みの構築」に関し、個人情報に関する相互に信頼性が確保されたデータフリーフローを促進する国際的な枠組みの構築に向けて、これまで連携を深めてきたＥＵ・米国を中心とした関係各国の機関等と、個人データの越境移転の枠組みの相互運用可能性等について対話を行っている。

＜個人情報保護法関係＞（１）個人情報保護法に基づく取組①

基本方針の改正
個人情報保護法第７条の規定に基づき、個人情報の保護に関する施策の総合的かつ一体的な推進を図るため、政府が定めることとされている「個人情報の保護に関する基本方針」（平成 16 年４月２日閣議決定）について、近年の個人データの流通の国際化や情報セキュリティ対策の重要性等を踏まえ、①国際的な整合性への対応、②個人データに対する不正アクセス等への対応、③グローバルな視点での監督について追加する等の変更を行い、平成 30 年６月 12 日に閣議決定された。

②

ガイドライン等の改正委員会が定めた「「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆Ａ」について、問合せが多い事項について追加等を行う改正を平成 30 年７月 20日に行った。
また、個人情報保護法相談ダイヤルに寄せられた問合せ内容や事業者から寄せ-4-られた質問等も踏まえ、解釈の明確化等を図ることが望ましい箇所について記載の追記等を行うために、平成 30 年 12 月 25 日に「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第６号）の改正を行った。具体的には、第三者提供制限の第三者に該当しない場合、保有個人
データの開示及び開示等の請求等に応じる手続、安全管理措置等に関して、記載の追加等を行った。また、同日に関係するＱ＆Ａの改正も併せて行った。

③

認定個人情報保護団体に関する取組
認定個人情報保護団体（以下「認定団体」という。）について、平成 30 年度は２団体の認定を新たに行い、平成 31 年３月 31 日現在、個人情報保護法第 47 条の規定に基づき認定された団体は 43 団体である。
また、平成 27 年改正法による改正後の個人情報保護法の施行により、認定団
体が個人情報保護指針を作成又は変更した場合の届出が義務付けられたことに伴い、各認定団体から改正後の個人情報保護法に対応した個人情報保護指針の変更の届出を受け付け、委員会ウェブサイト上で公表した。
さらに、委員会に監督権限が一元化された趣旨を踏まえ、認定団体の認定業務に関する活動状況及び法令遵守状況を把握するため、認定団体に対し認定業務に関する報告徴収を実施し、改善すべき項目について認定団体の自主的な改善を促した。また、委員会及び各認定団体間の情報共有の場として開催している認定団
体連絡会において、各認定団体の取組状況について情報共有を図った。
その他、認定団体制度及び認定団体の活動の普及促進のため、シンポジウムを開催するとともに、認定団体対象事業者向け実務研修会（東京３回、大阪１回、福岡１回、計５回）を開催した。

（２）個人情報を取り巻く新たな課題への対応（いわゆる３年ごと見直しに係る検討）
平成 27 年改正法附則第 12 条第３項において、法施行後３年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新産業の創出及び発展の状況等を勘案し、法の施行状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとされているとともに、同条第２項において、法施行後３年を目途とし、基本方針の策定及び推進-5-その他の委員会の所掌事務について、これを実効的に行うために必要な人的体制の整備、財源の確保、その他の措置の状況を勘案し、その改善について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとされている。
また、平成 26 年１月１日の特定個人情報保護委員会の発足後、平成 30 年 12 月
31 日をもって満５年が経過し、委員会の第一期目が終了することに際し、平成 30
年 12 月 17 日に開催された第 83 回委員会において主な論点を取りまとめ、次期委員会への申し送り事項とした。
これらを踏まえ、平成 31 年１月 28 日に開催された第 86 回委員会において、いわゆる３年ごと見直しに係る検討の着眼点を取りまとめ、第 86 回委員会において、改正法附則第 12 条に基づく検討を開始し、幅広いステークホルダーからのヒアリ
ング及び個別項目の審議を行いつつ、検討を進めているところである。

（３）個人情報保護法に基づく一元的な監督等①

監督
個人情報の適正な取扱いを確保するため、個人情報の保護と適正かつ効果的な活用のバランスを図りながら、以下のような効率的かつ効果的な監督に努めている。
個人情報取扱事業者において、漏えい等事案が発生した場合、「個人データの漏えい等の事案が発生した場合等の対応について」（平成 29 年個人情報保護委員会告示第１号）に基づき報告を受けており、委員会においては、その事実関係を確認し、再発防止策の策定等について指導・助言を行っている。
また、平成 30 年度に漏えい等事案の報告受付管理システムを導入し、委員会への漏えい報告手続の利便性を高めた。
さらに、インターネット等のネットワークを経由した不正アクセスによる漏え
いが相当数認められたことから、委員会ウェブサイトに「ＷＡＲＮＩＮＧ～ウェ
ブサイトを運営している事業者の皆様への注意喚起～」などを掲載し、注意喚起等を行った。
立入検査については、漏えい等の事案に関する報告等をはじめとした各種の情報を分析し、安全管理措置に相当の懸念のある事業者を対象に検査を実施し、安-6-

全管理措置の状況及び再発防止策の有効性等の検証を行い、必要な指導を行うとともに、指摘した事項について改善を求めた。
個人情報保護法相談ダイヤルに、いわゆる名簿売買や個人情報取扱事業者における開示請求等に対する不適切な取扱いに関する情報が寄せられており、委員会
においては、事実確認を行った上で、第三者提供する際の本人同意や開示請求手
続等について説明し、適正な取扱いを行うよう指導した。
いわゆる名簿屋については、当該事業を行う者の事業所を訪問し、個人データの取得状況等を確認し、必要に応じ指導等を行うとともに、届出義務を履行していない事業者に対しては、届出を行うよう指導した。
個人情報保護法の域外適用については、外国に所在する事業者から、不正アクセス等を原因として 20 件の漏えい報告を受け、発生原因の究明や再発防止策の策定等について、15 件の指導・助言を行った。

②

パーソナルデータの適正かつ効果的な活用の促進
官民データ活用推進基本法第 21 条第４項の規定に基づき、官民データ活用戦

略会議が官民データ活用推進基本計画の案を作成する際に委員会の意見を聴くこととされているため、同会議から提示された案に対し、平成 30 年６月６日、
個人情報又は匿名加工情報（以下「個人情報等」という。
）の取扱いについて、個
人情報保護法の規定に従い、個人情報等の適正な取扱いが確保されるようにする
こと、及び委員会による個人情報等の保護及び適正かつ効果的な活用に係る施策と十分に連携すること等、個人情報等を含む官民データを取り扱う施策を実施す
るに当たっての留意点を通知した。
また、パーソナルデータを含むビッグデータの適正な利活用環境の整備に向けて、匿名加工情報の取扱いに関する情報を委員会ウェブサイト上で公表するなど、個人情報及び匿名加工情報の適正かつ効果的な活用を促進する観点からの情報発信を行った。
さらに、行政機関等非識別加工情報の加工やその取扱いについての公的な相談窓口として、委員会に行政機関等非識別加工情報に関する総合案内所を開設し、行政機関、独立行政法人、民間事業者等からの問合せに広く対応している。また、非識別加工情報制度の円滑な運用に資するよう、非識別加工情報制度の概要を分-7-

かりやすく説明した資料とともに、平成 30 年度において新たに各機関の提案募
集対象ファイル一覧及び実施日程一覧を委員会ウェブサイトで公表して提案募集の状況を紹介し、事業者向けの情報発信を拡充した。
また、生産性向上特別措置法第 22 条第６項の規定に基づき、主務大臣が革新的
データ産業活用計画の認定をしようとする場合において、特に必要があるものとして政令で定める場合に該当すると認めるときは、あらかじめ委員会に協議することとされていることを踏まえ、保有個人データを用いる計画について協議を受け、回答した。また、生産性向上特別措置法第 11 条第１項の規定に基づき、新技術等実証に関する計画について認定を行った。

（４）国民からの相談・苦情等への対応
個人情報保護法の解釈や制度に関する一般的な質問への回答、個人情報等の取扱いに関する監督、並びに苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関する事務を行うための窓口として、個人情報保護法相談ダイヤ
ルを運営している。
事業者の個人情報等の取扱いに関する相談・苦情等に対して、法令やガイドライン等に基づき説明を行うとともに、必要に応じて事業者に事実関係の確認を行った
上で、当事者に対する説明、事業者に対する指導・助言等を行った。
また、苦情等が寄せられた際には、必要に応じてあっせんに関する説明を行い、申出を受けた場合には、当事者それぞれから可能な限り納得を得て解決に繋げられるよう対応している。例えば、保有個人データの開示請求を行ったものの事業者が対応を行わないという事案について、当該事業者に対して個人情報保護法の規定等を説明し、適切に開示請求に対応するようあっせんを行うなど、31 件の実績があった。

（５）国民の正しい理解のための広報活動
平成 27 年改正法による改正後の個人情報保護法により新たに法の適用を受けることとなった事業者への法制度の周知のほか、子どもを含め、広く国民に対して個
人情報保護のリテラシーの向上を図るため、事業者団体、消費者団体、地方公共団
体等が主催する研修会等への講師派遣、パンフレットの作成・配布、小学生を対象-8-

とした標語の表彰、出前授業の実施、動画の提供、幅広い層を対象に「暮らしの中の個人情報のこれからを考える」をテーマとしたシンポジウムの開催等を行った。
また、自治体との共催により、地域の消費者や自治会・企業関係者等の代表者とのタウンミーティングを全国７か所で実施し、個人情報の保護やその取扱いに関して感じている悩み・疑問点等について意見交換を行った。
さらに、平成 30 年にＥＵにおいて施行されたＧＤＰＲについて、欧州データ保護機関のトップ等を招聘したセミナーの開催や、業界団体からの要請に応じた職員の説明会への派遣、委員会ウェブサイト上の情報提供の充実など、日本企業に対する支援を行った。加えて、平成 31 年１月に発効した日ＥＵ間の相互の円滑な個人データ移転を図る枠組みについても、職員を欧州に派遣し、現地日系企業を対象とした説明会を開催した。さらに、英国のＥＵ離脱に関連して、英国を含むＥＵ域内にいる個人のデータを取り扱う企業に対し、委員会ウェブサイト上で注意喚起を行った。
この他、委員会も加盟するアジア太平洋プライバシー執行機関において、所定の月（平成 30 年は５月）に取り組むこととされている Privacy Awareness Week を平成 30 年５月 21 日から 31 日に設定し、国際シンポジウムやセミナーへのスピーカーの派遣等を行い、個人情報の保護の重要性に対する認識の向上に努めた。

＜マイナンバー法関係＞（１）マイナンバー法に基づく監視・監督等①

監視・監督
特定個人情報の漏えい事案等について、行政機関等、地方公共団体等及び事業者から報告を受けており、当該報告を踏まえ、再発防止策等の確認を行うとともに、同種の事態が起きないよう指導・助言を行っている。
また、行政機関等に対して、マイナンバー法第 29 条の３の規定及び「特定個人情報の取扱いの状況に係る行政機関等に対する定期的な検査に関する規則」（平成 28 年個人情報保護委員会規則第２号。以下「定期的な検査に関する規則」という。）に基づく定期的な検査のほか、随時に検査を行い、地方公共団体等に対しては、規模、過去の検査状況等を勘案の上、選択的に検査を実施するとともに、検査項目を絞った検査（以下「レビュー検査」という。）を活用するなどしてい-9-

る。そして、これら立入検査を実施した機関等に対して、指摘した事項について改善を求めた。
さらに、情報提供ネットワークシステムにおいて、行政機関及び地方公共団体等の職員による不正な利用がないか確認するため、監視・監督システムを用いて情報連携される情報提供等記録を取得、分析している。
そのほか、マイナンバー法第 29 条の３の規定及び「特定個人情報の取扱いの状況に係る地方公共団体等による定期的な報告に関する規則」（平成 28 年個人情報保護委員会規則第４号。以下「定期的な報告に関する規則」という。）に基づ
き、特定個人情報ファイルを保有する地方公共団体等から、当該特定個人情報フ
ァイルに記録された特定個人情報の取扱いの状況について報告を受けている。そして、当該報告結果等を踏まえ、安全管理措置の状況を確認・改善するためのセ
ミナー（以下「特定個人情報安全管理措置セミナー」という。）等の取組を実施した。

②

特定個人情報保護評価委員会においては、特定個人情報保護評価（以下「保護評価」という。）について、マイナンバー法第 28 条、「特定個人情報保護評価に関する規則」（平成 26 年
特定個人情報保護委員会規則第１号。以下「評価規則」という。）及び「特定個人情報保護評価指針」（平成 26 年特定個人情報保護委員会告示第４号。以下「評価指針」という。
）に基づき、委員会に提出された行政機関の長等（地方公共団体の機関及び地方独立行政法人を除く。）の全項目評価書について、評価指針に定める実施手続等に適合した保護評価を実施しているか、記載されたリスクを軽減させるための措置等が国民の信頼の確保等の保護評価の目的に照らし妥当か、という観点から審査及び承認を行っている。
また、マイナンバー法第 27 条第２項の規定に基づき、評価指針の再検討を行い、保護評価を行う事務の対象となる人数の少ない行政機関の長等であってもリ
スク及びその対策の認識を深めてもらう観点から、最低限のリスク対策に関する措置状況等を基礎項目評価書の記載事項に追加する等の変更を行った。変更後の評価指針等は平成 30 年５月 21 日に公布・公表され、平成 31 年１月１日に全面施行された（なお、平成 31 年６月末までの間は経過措置を設けている）。

- 10 -

③

独自利用事務の情報連携
地方公共団体は、マイナンバー法第 19 条第８号において、同法第９条第２項の規定に基づき条例で定める事務（以下「独自利用事務」という。）のうち別表第２の第２欄に掲げる事務に準ずるものとして個人情報保護委員会規則で定めるものについて、情報提供ネットワークシステムを用いた情報連携（情報照会者として他の個人番号利用事務実施者から個人番号利用事務を処理するために必要な特定個人情報の提供を求め、又は情報提供者として他の個人番号利用事務実施者に対し特定個人情報を提供することをいう。以下同じ。）を行うことができるものとされている。
委員会では、情報連携ができる独自利用事務として、1,193 の地方公共団体から提出された 8,368 件（平成 31 年３月末時点）の届出を承認するとともに、情報連携の対象となる独自利用事務の事例について、地方公共団体の要望も踏まえて整理し、制度開始以来 35 事例を公表した。

（２）国民からの相談・苦情等への対応
委員会では、特定個人情報の取扱いについて、マイナンバーのガイドラインに関する一般的な質問や、苦情の申出について必要な助言・あっせんを行うため、マイナンバー苦情あっせん相談窓口を運営している。
事業者等の保有する特定個人情報の取扱いに関して寄せられる相談・苦情等に対しては、ガイドライン等に基づき説明を行うとともに、必要に応じて事業者等に事実確認を行い、当事者に助言やあっせん等を行っている。

（３）特定個人情報の適正な取扱いの確保に向けた取組
立入検査の結果及び問合せの内容や、規制改革推進会議の議論等を踏まえ、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（平成 26 年特定個人情報保護委員会告示第５号。別冊「金融業務における特定個人情報の適正な取扱いに関するガイドライン」を含む。）及び「特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）」（平成 26 年特定個人情報保護委員会告示第６号）（以下これらガイドラインを併せて「マイナンバーガイドライン」とい- 11 -う。）の記載内容がより分かりやすくなるよう、委託の取扱い、安全管理措置等の項目について、平成 30 年９月 28 日に改正した。
特定個人情報の取扱いについて、安全管理措置が適切に実施されているかどうかの再確認等を促すため、各種説明会に講師を派遣するとともに、都道府県単位で特定個人情報安全管理措置セミナーを 205 団体に対して実施した。
また、各機関がマイナンバーを取り扱う上で参考となるよう、委員会ウェブサイ
トに掲載している資料について、マイナンバーガイドラインの改正に合わせて見直すとともに、検査等を通じて把握した事例をまとめた「マイナンバーを適切に取り扱うためのポイント～検査結果を踏まえて～」の事例の追加等を行った。さらに、自己点検を活用した監査の手法を紹介した「地方公共団体等における特定個人情報等に関する監査実施マニュアル～はじめての監査のために～」やログの分析・確認の手法を紹介した「特定個人情報等の利用状況のログの分析・確認について」等を作成し、活用を促した。
そのほか、地方公共団体において、漏えい等のインシデントが発生した際に、適切な対応がとれるようインシデント対応訓練を実施するなど、特定個人情報の適正な取扱いの確保に向けた支援を行っている。

Ⅱ．平成 31 年度における委員会の取組
１．基本的な考え方＜国際関係＞
これまで委員会が構築してきた海外機関等との協力関係を基礎に、国際的な制度
調和や執行協力を視野に入れつつ、諸外国のデータ保護機関とのネットワークを強化していく。
また、引き続き、個人情報に関する相互に信頼性が確保された国際的なデータ流
通の枠組みの構築に向け、ＥＵ・米国を中心とした関係各国との精力的な対話を進める。具体的には、個人データの越境移転の枠組みの相互運用等の実現に向けて、
目標・課題やロードマップ等についてＥＵ・米国を中心とした関係各国と早期に共有したうえで、取組を進めていくこととする。

- 12 -

＜個人情報保護法関係＞
平成 27 年改正法附則第 12 条に基づく検討（いわゆる３年ごと見直し）について、幅広いステークホルダーの意見を聴きながら、行うものとする。
また、事業者における個人情報の取扱いに係る監督権限を一元的に所掌する委員会として、個人情報の適正な取扱いを確保するため、パーソナルデータの適正かつ効果的な活用に配慮しつつ、内外の事業者に対して適切な監督を行い、効率的かつ効果的な監督に努める。

＜マイナンバー法関係＞
引き続き、特定個人情報の適正な取扱い及び安全管理措置等の実施状況を把握するとともに、これまでの監視・監督活動を通じて蓄積してきたノウハウをいかし、
必要に応じて指導・助言等を行うとともに、積極的な周知活動に取り組むこととする。

２．具体的な取組＜国際関係＞（１）既存の個人データ移転枠組みの円滑な運用・さらなる発展に向けた取組①

ＥＵ関係
平成 31 年１月に発効した日ＥＵ間の相互の円滑な個人データ移転を図る枠

組みについて今後も円滑に運用されるよう、引き続き関係機関と対話を行い、連携を深めることとする。
また、同枠組み発効から２年後に予定されるレビューに向け、ＥＵ加盟国の制度や執行体制について更なる情報収集、調査を実施するとともに、同枠組み
やＧＤＰＲについて、委員会ウェブサイト上での情報提供の充実等、日本企業に対する周知活動に引き続き精力的に取り組むこととする。

②

米国関係
これまでの協力関係の実績を踏まえ、引き続き、国内の説明会や国際会議等の場におけるＣＢＰＲシステムの周知活動及びＡＰＥＣ加盟エコノミーとの意
見交換を積極的に進め、ＣＢＰＲシステムの更なる展開・拡大を推進していく- 13 -

ことについて、米国と一層の連携及び協力を図るべく、対話を続けていくこと
とする。

③

英国関係
引き続き、日英間の相互の円滑な個人データ移転を維持するため、関係機関（ＩＣＯ及びＤＣＭＳ）との間で協力、連携を図っていくとともに、英国の個
人情報保護制度について調査を行うこととする。
また、英ＥＵ間の個人データ移転についても円滑な個人データ移転に支障を来すことのないよう、英国及びＥＵの関係機関に対して要請するとともに、英ＥＵ間の個人データ移転の取扱いについて必要に応じて情報収集を行い、日本企業に対する周知活動にも精力的に取り組んでいくこととする。

④

その他
上記のほか、国際会議等への積極的な参加や海外の個人情報保護制度の調査等を通じて、個人データ・プライバシー保護に関する国際的な情報の収集に努め、国内外に発信することとする。

（２）個人データに関する国際的なデータ流通の枠組み構築に関する取組
これまで委員会が構築してきた海外機関等との協力関係を基礎に、個人デー
タに関する国際的なデータ流通の枠組みの実現に向けた検討を進めていく。具
体的には、①日ＥＵ間の相互認証及び米国・ＥＵ間のプライバシー・シールドを基礎に、日米欧で適切な保護の下での個人データ流通を促す枠組み構築を先駆的に進めるとともに、②このような個人データに関する流通枠組みの裾野拡
大に向けて、ＣＢＰＲシステム等にみられる企業単位の認証枠組みの活用について、リーダーシップを発揮しつつ国際的な連携を進める。③加えて、執行状
況レビューのための専門家会合が開始されているＯＥＣＤプライバシー・ガイ
ドラインについて、個人データの適切な越境移転を支える基盤として、今日的課題を踏まえた国際的議論を展開していく。ＥＵ・米国を中心とした関係各国との対話を進め、目標・課題やロードマップ等について関係各国と早期に共有したうえで、取組を進めていく。

- 14 -

さらに、アジア太平洋プライバシー機関フォーラム及び金融・世界経済に関する首脳会合（Ｇ20）のサイドイベントの開催を通じて、個人データの国際的な流通を含む個人情報に関する国際的な議論の発信や個人情報保護に関する啓発をリードすることを目指すこととする。

＜個人情報保護法関係＞（１）個人情報を取り巻く新たな課題への対応（いわゆる３年ごと見直しに係る検討）
１．
（２）に記載のとおり、平成 27 年改正法附則第 12 条において、法施行後３年ごとに、法の施行状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとされていること及び法施行後３年を目途として、委員会の所掌事務について、これを実効的に行うために必要な人的体制の整備等を勘案し、その改善について検討を加え、必要があると認めるときはその結果に基づいて所要の措置を講ずるものとされている。
これを踏まえ、タウンミーティングや個人情報保護法相談ダイヤルに寄せられる消費者等の声を踏まえつつ、経済界や学識経験者等の幅広いステークホル
ダーの意見を聴きながら、必要な措置について検討を行う。

（２）監督活動
個人情報等の適正な取扱いを確保するため、個人情報保護法相談窓口に寄せられる情報、個人データの漏えい等の事案に関する報告等、多様な情報源から得られる情報を総合的に活用し、事業者に対して指導・助言を行うほか、必要に応じて報告徴収、立入検査を行うこととする。具体的には以下のような取組みを実施する。
漏えい等事案の報告受付管理システムの導入により、漏えい等事案の早期かつ的確な把握が可能となったことから、事業者における漏えいの影響の拡大又は二次被害の発生を防止するための助言等、初動対応の充実に取り組む。
また、漏えい等事案に関する報告をはじめ、様々な情報源から得られた情報を精査し、個人情報等の取扱いについて国民に広く発信すべき情報については、委員会ウェブサイトを通じてタイムリーな情報発信を行う。

- 15 -

いわゆる名簿屋について、届出済の事業者に対しては、確認・記録義務の履行に関し臨場してその履行状況を確認し、必要に応じ指導等を行い、未届の事業者に関しては、引き続き調査を実施し、届出を行うよう指導していく。

（３）執行協力に関する取組
個人データの国境を越えた流通が増大しており、海外に所在する事業者からの漏えい等事案に関する報告も相当数あることから、国内にある者に対してサービスを提供する海外に所在する事業者における個人情報の適正な取扱いを確保する必要がある。このため、委員会も正式メンバーとして参加している国際的な執行協力の枠組みであるグローバルプライバシー執行ネットワーク（Global Privacy Enforcement Network：ＧＰＥＮ）の活動に積極的に貢献するとともに、海外執行当局との連携により、海外の事業者に対しても確実な執行を目指す。

（４）パーソナルデータの適正かつ効果的な活用の促進
パーソナルデータを含むビッグデータの適正な利活用環境の整備に向けて、
匿名加工情報の取扱いに関する情報を委員会ウェブサイトで公表するなど、個人情報及び匿名加工情報の適正かつ効果的な活用を促進する観点からの情報発信を行っていく。

（５）認定個人情報保護団体に関する取組
認定団体が主体的に行う取組について、連絡会の開催等を通じて認定団体の活動状況を適切に把握し、自主ルールの策定、指導、勧告等の認定団体に求められる役割・機能の強化につながるよう、情報提供、助言等の必要な支援及び指導を行っていくこととする。
また、認定団体制度及び認定団体の活動の普及促進のため、対象事業者向け
実務研修会を開催するとともに、必ずしも既存業界によらない特定分野や機能に着目した新規認定団体の設立に向けた相談対応や周知広報などに取り組むこととする。

- 16 -

＜マイナンバー法関係＞（１）監視・監督活動①

監督
特定個人情報の適正な取扱いを確保するため、特定個人情報保護評価書、苦情あっせん相談窓口等に寄せられる情報、漏えい等に関する報告等の情報を総合的に活用し、各機関に対して、マイナンバー法に基づく指導・助言、報告徴収・立入検査等を行うこととする。具体的には以下のとおりである。
特定個人情報の漏えい事案等について、行政機関等、地方公共団体等及び事業者から報告を受け、当該報告を踏まえ、再発防止策等の確認を行うとともに、同種の事態が起きないよう指導・助言等を行うこととする。
また、行政機関等に対しては、マイナンバー法第 29 条の３の規定及び定期的な検査に関する規則に基づき、行政機関等が保有する特定個人情報ファイル（個人番号関係事務に係るものなどを除く。）に記録された特定個人情報の取扱状況について、定期的な検査を実施することとする。地方公共団体等に対しては、規模、過去の検査状況等を勘案の上、検査先を選定することとする。加
えて、地方公共団体等の検査に当たっては、検査対象数が多いことから、レビュー検査を活用するなど、効果的かつ効率的に検査を実施する。特に、平成 31
年度までに各都道府県において、レビュー検査又は特定個人情報安全管理措置
セミナーのいずれかを実施するなど、面的な展開を一巡させる。
さらに、マイナンバー法第 29 条の３の規定及び定期的な報告に関する規則に基づき、地方公共団体等に対し、特定個人情報の取扱いの状況について、報告を求めることとする。

②

監視
情報提供ネットワークシステムを使用した特定個人情報の情報連携について、監視・監督システムにより、不正な情報連携が行われていないか監視を行うこととする。
また、同システムにおいて不正の兆候を検知する精度を高める手法について
引き続き検討し、特定個人情報の漏えいや不適切な利用を効率的に発見できる
よう、監視体制の強化に取り組むこととする。

- 17 -

（２）地方公共団体に対する支援
特定個人情報の適正な取扱いを確保するため、立入検査や定期的な報告その他の監督活動等の状況も勘案しつつ、特定個人情報安全管理措置セミナーを開催することとする。また、立入検査の結果等を踏まえた特定個人情報の取扱いに関する留意点について随時説明会を実施するとともに、関係機関と連携し、社会保障・税番号制度担当者説明会や地方公共団体情報システム機構セミナー
において、安全管理措置に係る説明を実施することとする。

（３）特定個人情報保護評価
平成 31 年度においても、引き続き、マイナンバー法第 28 条、評価規則及び評価指針に基づき、委員会に提出された行政機関の長等（地方公共団体の機関
及び地方独立行政法人を除く。）の全項目評価書について、評価指針に定める実施手続等に適合した保護評価を実施しているか、記載されたリスクを軽減させるための措置等が国民の信頼の確保等の保護評価の目的に照らし妥当か、という観点から審査及び承認を行うこととする。
また、最低限のリスク対策に関する措置状況等が追加された基礎項目評価書の新様式への変更について、説明会の場を利用する等、丁寧な説明・周知に努めることとする。

（４）独自利用事務の情報連携
地方公共団体における情報連携の更なる活用を進めるために、添付書類の削減による利便性の向上や地方公共団体における業務の効率化・合理化というマ
イナンバー制度のメリットを広く周知していくことが重要である。
また、地方公共団体の要望を踏まえ、現在委員会において決定している情報連携の対象となる独自利用事務の事例に加えて、平成 32 年６月以降に新たに情報連携の対象とする独自利用事務の事例の追加を検討するなど、独自利用事
務の情報連携の活用促進のために様々な方策を講じる。

＜共通事項＞- 18 -

（１）広報・啓発活動
平成 30 年度に引き続き、事業者団体等に講師を派遣して法制度や安全管理措置の具体例について周知を図るほか、タウンミーティングを全国各地で開催し、事業者、消費者等から現場の意見を吸い上げる活動の推進や、子ども向けに出前事業の実施・広報コンテンツ等の充実に取り組む。
また、委員会ウェブサイトにおいて、こうしたコンテンツ等を活用して効果的に法制度等の周知を図るとともに、個人情報に係るセキュリティインシデン
ト情報等の注意情報をタイムリーに発信する。
さらに、委員会も加盟するアジア太平洋プライバシー執行機関において取り組むこととされている Privacy Awareness Week を平成 31 年５月 27 日から６月３日に設定し、個人情報保護の重要性について、広く国民に対して広報活動を行う。

（２）国民からの相談・苦情等への対応
個人情報保護法相談ダイヤルに寄せられる個人情報等の取扱い及びマイナン
バー苦情あっせん相談窓口に寄せられるマイナンバーの取扱いについて、法令やガイドラインに関する一般的な質問にお答えする。また、苦情の申出について、相談者が可能な限り納得感を得られるよう、関係機関とも連携しつつ事案の内容に応じた助言を行い、自主的な解決を促すほか、必要に応じて委員会から事業者に連絡し、あっせん等を行うこととする。
また、専門性を有する相談員のスキルの更なる向上を図り、また窓口応対品
質を向上させるため、問合せの多い質問等を分析しＡＩ等を活用した相談業務の迅速かつ的確な対応を行う。また、これらを通じて把握した情報をもとに、委員会の各種活動へいかしていく。

（３）有益な情報発信
監督活動・相談対応等を通じて把握した個人情報等（特定個人情報を含む。）の取扱いに関する問題点・疑問点等について、多様な観点から分析を行い、漏えい報告案件の実例を踏まえた安全管理措置の手法や個人で取り組める対応策の紹介など、個人情報を取り巻く環境変化に応じた情報発信を委員会ウェブサ- 19 -

イトにおいて行う。また、説明会・セミナー等においてこれらの取組を紹介することを通じて、個人情報等（特定個人情報を含む。
）の適正な取扱いの周知を図ることとする。

（４）サイバー攻撃等のインシデント対応
個人情報取扱事業者における個人データを取り扱う情報システム等又は行政機関等及び地方公共団体等における特定個人情報を取り扱う情報システム等へのサイバー攻撃による漏えい等の事案を把握した場合には、事案の特性及び規模を考慮しつつ、事案の詳細を把握するとともに、個人情報保護法サイバーセ
キュリティ連携会議（平成 29 年５月設置）又は特定個人情報セキュリティ関係
省庁等連絡協議会（平成 27 年７月設置）を通じて、関係機関と緊密な連携を図りつつ対応することとする。

（５）人材育成委員会職員として、個人情報保護に関する法令等の専門知識のほか、セキュ
リティ・ＩＴや国際分野の知見を有する人材の育成・確保が求められる。
このような状況を踏まえ、職員がこれらの知見を得られるよう、様々な機会を設けている。具体的には、大学院で実施される専門講座や海外機関への職員の派遣、他機関との人材交流を行う。また、専門機関が実施するサイバーセキ
ュリティ研修、セキュリティ・ＩＴリテラシー等に関する研修、語学研修、検査職員に対する研修を行うほか、各種資格試験取得のための支援などに積極的に取り組み、情報セキュリティや、国際的な連携を含めた法執行等について幅広い専門的・技術的知見を有する人材の継続的な確保及び育成を図ることとする。

- 20 -