Silviase/jgov_v1.4_full_ann huggingface dataset:
事業者の自主的なルール等に委ねていくという方針が政府側の答弁として出てきております。

続きまして、個人情報保護指針の届出・公表でございます。

認定個人情報保護団体が個人情報保護指針という自主規制ルールのようなものを作成した際に、委員会に届け出ていただくとともに、それを受け取った委員会では、それを公表することになっておりまして、こちらはその届出の方法ですとか、届出事項、公表の方法等々を委員会規則で定めていくというものがございます。

最後になりますが、オプトアウトの通知等に関する経過措置というところで、オプトアウト手続を行って個人情報の第三者提供を行う際、委員会への届出が必要になりますが、改正法の全面施行前のタイミングでも、その届出をあらかじめ行えるようにするという旨の経過措置が法律で定められておりまして、その経過措置を利用する場合の届出等々の詳細を委員会規則で定める必要がございます。

長くなりましたが、以上でございます。

○堀部委員長 ありがとうございました。

☐事務局 続きまして、資料2－2をお手元に御準備いただければと思います。

私からは、個人情報の保護に関する法律についてのガイドラインの基本的な考え方についてということで、今日この場で具体的にガイドラインに書く事項をお諮りするということではなくて、それに先立って、基本的にこういった考え方でやっていってはどうかという御説明をさせていただきたいと思います。

本日、御説明させていただく項目は大きく分けて3つございます。

委員会としてのガイドライン及び各省で定めているガイドラインを、今後、どう整理していくかという考え方の部分が1点目、委員会として策定する個人情報保護に関するガイドラインの大まかな構成、目次に当たるような事項が2点目、最後に、3点目として、今後、委員会ガイドラインを検討していくに当たって、色々と論点はございますけれども、やや大き目の論点が2つございますので、そちらの御紹介をさせていただきたいと思います。

それでは、資料2-2の1ページ目からご覧ください。

御案内のように、現行の個人情報保護法は主務大臣制をとっておりまして、現在は、各主務大臣が個人情報保護法に基づく勧告ですとか命令の権限を持っておりますので、個人情報保護法に基づいて各省の主務大臣が事業分野ごとのガイドラインを策定しているという状況でございます。約40ございます。

これが、昨年成立いたしました改正個人情報保護法が全面的に施行されますと、その勧告ですとか命令の監督権限が個人情報保護委員会に一元化されてまいりますので、まずは当委員会として全ての事業分野に適用される汎用的なガイドラインを作ってまいりたいと考えております。

そのときに、現状、各省で定めている40のガイドラインはどうするかということでござ
いますけれども、こちらも基本的には監督権限の一元化ということがございますので、原則としては、委員会の策定するガイドラインに一元化ということで考えております。

ただし、各省が定めている40のガイドラインを細かく見ていきますと、色々な内容がございます。

現行、個人情報保護法に基づき各省で策定されているガイドラインの中には個人情報保護法が求めるよりも更に厳しい措置を求めていたり、個人情報保護法以外の内容、例えば、業法ですとか設置法に基づく内容といったものも含んだ内容のものもございます。そういったものを全て乱暴にシンプルに委員会ガイドラインに一元化するということは、なかなか難しい状況がございますので、今後、各省と丁寧に調整を図っていきながらガイドラインの調整を進めてまいりたいと思います。

その際に、これまで事業者においては各省のガイドラインを1本見ていれば足りたという状況がございますので、それが全面施行後になって、急に事業者として、複数のガイドラインを見なければならないという状況になりますと、当然、事業者にも混乱が生じますので、そういった混乱が生じないように留意してまいりたいと考えております。

資料 2－2 の 1 ページ目の一番下をご覧ください。今後、委員会ガイドラインの策定に当たっては、各省で共通にこれまで示されてきた標準的な個人情報保護法の解釈は踏襲したいと考えております。全面施行になって法改正されていない点について急に解釈を変えると、これはまた事業者に混乱が生じますので、標準的な解釈は基本的に踏襲しつつ、改正法に係る国会の審議ですとか直近の社会情勢等々も踏まえて、適切な解釈及び事例を示してまいりたいと考えております。

資料 2－2 をおめくりいただきまして、2 ページをご覧ください。

今回、委員会として個人情報保護法のガイドラインというものを作ってまいるわけでございますけれども、この際には、既に委員会として公表している番号法のガイドライン、マイナンバーのガイドラインで使われている用語ですとか表現という部分との整合性という部分も必要に応じて図ってまいりたいと考えております。

以上が、委員会ガイドライン及び各省ガイドラインの整理の基本的な考え方でございます。

続いて、委員会ガイドラインの基本的な構成というところで、（２）のところです。

こちらについては、改正法の条文の流れに従って、法律・政令・規則の条文を示しつつ、事業者が守らなければならない事項ということで、条文の解釈、事例も示しながら、これはこの条文で認められている範囲に当たりますよ、逆に、こういった事例は条文では認められていない範囲に当たりますよといったことをテーマごとに定めてまいりたいと考えております。

現在、想定している委員会ガイドラインの目次のイメージをご説明します。

最初に目的、適用対象があり、その次に定義が書かれ、以降、利用目的についてはこういうルールを守ってください、取得に当たっては、こういったルールを守ってくださいと、
条文の流れに従って、解釈、事例を示してまいりたいと考えております。

なお、オプトアウト、確認・記録義務等という項目、もう一つ、匿名加工情報という項目、これらについては、今回の改正法で新しく規制が加わった部分でもございまして、かなり専門的な内容も含みますので、こちらについては、委員会としてのガイドラインとは別に、丁寧な説明を施した解説資料みたいなものを作ることも検討しておりますけれども、こちらは具体的な中身が詰まってきた段階でまたお諮りしてまいりたいと考えております。改めて資料2－2をご覧ください。

最後に、委員会ガイドラインの具体的な内容については、今後、検討してまいりますけれども、大きな論点として2つございますので、そちらを今日は御紹介させていただきたいと思います。

1 点目が安全管理措置の問題、2 点目が小規模事業者への配慮という問題でございます。

1 点目の安全管理措置でございますけれども、こちらは、法律の条文では個人情報保護法第20条で、安全管理措置を講じてくださいということがシンプルに書いてあるだけでございますので、具体的にガイドラインの中でこういったことを守ってくださいと、例えば、こういった例が考えられますよといったものを示していく必要があるのかなということで考えております。

基本的には、こちらの資料2－2にも書いておりますけれども、組織的・人的・物理的・技術的という4つの枠組みごとに、具体的に遵守すべき事項と、それに該当する事例、手法例といったものを示してまいりたいなということで考えております。

ただ、こちらは資料にも書かせていただいておりますけれども、今回、委員会ガイドラインが適用されるのは全ての事業分野の事業者、全ての事業規模の事業者さんを対象とするものですから、この安全管理措置として求めていく内容についても、非常に細か過ぎてもいけないし、非常に大ざっぱ過ぎてもいけないしという事情もございますので、今後、具体的な中身を検討の上、この委員会にまたお諮りしてまいりたいと考えております。

最後に、個別の論点の2点目、小規模事業者への配慮という点でございますけれども、御案内のように、こちらも昨年成立した改正個人情報保護法によって、従来、個人情報保護法の規定の適用対象外であった個人情報を5,000人分しか持っていない事業者さんも、新たに今回は個人情報保護法の義務規定の対象となるということもございまして、改正法附則の中でも、委員会としてガイドラインを策定するに当たって、そういった小規模事業者に配慮するよう謳われているところでございます。

ですので、今後、小規模事業者への配慮に当たって、主に2つを検討していく必要があるのかなと考えております。

1つは、配慮すべき小規模事業者の定義でございます。従来、5,000人分以下の個人情報しか持っていなかった事業者さんが新たに対象になることを受けて、5,000といった水準も念頭に置く必要があるだろう。

また、既に委員会として公表している番号法のガイドラインでは、100人という従業員数
に着目して中小規模の事業者という線を引いているという事情もございますので、そういった事情を勘案しながら、個人情報保護法で配慮すべき中小事業者の定義を、今後、お諮りしてまいりたいと思います。

最後に、具体的に、小規模事業者が講じるべき安全管理措置の手法例といったものはどういった記載が分かりやすいのかといった部分につきましても、今後、事務方で検討の上、委員会に諮ってまいりたいと思います。

ガイドラインについての説明は、以上でございます。

☐堀部委員長 ありがとうございました。

☐事務局 引き続きよろしくお願いいたします。

資料 2－3 と 「く参考＞対応案①～⑦を前提とした確認・記録義務の基本的な考え方」の1枚物、この2つの資料をお手元に御用意いただければと思います。

冒頭に説明させていただきましたとおり、改正個人情報保護法第25条・第26条のところで、規則委任事項がなされておりますけれども、その中で、規則の今後の検討の方向性につきまして、この委員会で諮らせていただきたいと思います。

今回、諮らせていただく趣旨につきまして、この資料2－3の最初の柱書きのところにその心を書かせてもらっておりますので、読ませていただきたいと思います。

平成26年に発生しました民間企業における大規模漏えい事案を契機としまして、名簿屋対策を目的とするトレーサビリティの規定が新設されました。また、オプトアウト規定を利用する事業者の個人情報保護委員会への届出義務及び委員会による公表の規定も導入され、これらの制度が相まって、違法な名簿屋による個人データの流通を抑止しようという効果を期待しているものであります。

他方、正常な事業活動を行っている事業者に対する過度な負担を懸念する声が多く上がっていることから、現実的な規則の在り方について検討する必要があると考えられております。この点につきましては、衆議院及び参議院のそれぞれの内閣委員会の附带決議においても示されているところでございます。

これらを踏まえまして、事業者に対する過度な負担となるおそれのある具体的な課題として、次の事例①～⑦が示されてきておりますので、これらに対して、主に国会の議論等を踏まえながら、対応案①～⑦を軸に、今後、検討を進めてはどうかと思っております。

そのほかの規則制定事項、記録・確認方法や記録事項、または保存期間につきましても、引き続き、検討を進めていきたいと考えております。

後半で事例①から⑦までピックアップしまして、今後、我々委員会としてこういった方向で検討を進めさせていただけないでしょうかということを、今回は諮らせていただきたいと思います。

「く参考＞対応案①～⑦を前提とした確認・記録義務の基本的な考え方」このフローチャートみたいな1枚物がありますが、これを横に置きながら説明を聞いていただければと思います。
まず、事例①から⑦までのうち、1つ目の事例でございます。

これは国会で問題として挙げられた事例でございます。SNS等のweb上で個人Aのプロフィール、投稿内容等を閲覧した事業者Bは、確認・記録作成を行わなければならないか、という問題提起がされたものです。

この点につきましては、国会の議論の中で一定の方向性は既に示されております。例えば、本人がブログに出したものが他のところにも自動的に出されるようなことを意識している場合には、それはむしろ本人による提供と捉えるときもあるのではないかと考えますという答弁がされております。

これを踏まえまして、“本人による提供”とみなして“SNS等運営事業者による第三者提供”には該当せず、今回の確認・記録義務は対象外と整理できないだろうかと考えております。

続きまして、事例②、本人に代わって第三者提供する関係です。

例えば、事業者Aのオペレーターが、顧客Bから販売商品の修理依頼の連絡を受けたため、提携先の修理業者Cにつなぐこととなり、お客さんのBの同意を得た上でBに代わって、Bの氏名、連絡先等をCに伝える場合、Aは記録作成を行わなければならないのか。

この点につきましては、形式的には事業者による第三者提供に見えるといえば見えますけれども、実質的に、あくまでも本人の手足として当該本人の個人データを第三者提供しているにすぎませんので、この点につきましては、本人に代わって第三者提供しているものとみなし、事業者による第三者提供には該当せず、確認・記録義務は適用されないものと整理できないだろうかということを諮らせていただきたいと思っております。

続きまして、事例③、本人同意に基づき第三者提供した場合の記録事項の関係です。

例えば、団体Aがあらかじめ同意を得た上で、地域の税理士等の氏名・連絡先等を記載した名簿を作成し、それを団体加盟企業に配付する場合、団体Aは、その都度、配付した年月日等の記録作成を行わなければならないのか。

ちょっと事例は違いますけれども、国会でも同じような問題意識の下で答弁がされておりました。

本人の同意を得て第三者提供する事例を念頭に、こういうものを本当にトレースする必要が法の趣旨からみてあるのかという解釈論が考えられ、また、例えばこういうことをしているということだけ、事実のみを書くという最も簡易な方法もあり得るのではないかという答弁がされております。

この答弁及びその趣旨を踏まえまして、こういう事例に対する対応案としましては、本人の同意に基づき個人データを提供する場合の記録事項を緩和する。例えば、年月日等の記録作成を不要とするという方向性で諮らせていただければと思っております。

続きまして、事例④、本人“側”に対する提供の関係です。

例えば、金融機関Aの営業員が、家族Cと共に来店した顧客Bに対して、保有金融商品の損益状況等を説明する場合、顧客Bの個人データを家族Cに第三者提供したものとして、
同席する家族Cの氏名等の記録作成を行わなければならないのか。

これも、形式的に見れば、金融機関Aの営業員が顧客Bの個人データを家族Cに第三者提供しているように見えますけれども、本人の家族等、本人と一体と評価できる関係にある者に提供する場合は、本人側に対する提供とみなし、第三者に対する提供には該当せず、記録義務は適用されないものと整理できないだろうかという点を諮らせていただければと思っております。

事例⑤は、国会等でも挙げられていた例ですが、電力会社Aが、利用者Bからの申込みにより振替口座として指定されている銀行Cに対し、口座振替のために必要な情報（氏名、口座番号、金額等）を通知する場合に、別途、電力会社Aは記録作成を行わなければならないのかという問題意識があります。

この点につきましては、本人が当事者である契約等、ここで仮に「本人関与契約等」と呼ばせていただきますけれども、この本人関与契約等に基づき、個人データの授受を伴うことが明らかな場合は、当該契約等を証する書類、典型的には契約書なり約款と申込書なりの記録をもって記録義務に代え得るものと整理できないだろうかと考えております。

これを上述の例に当てはめますと、本人である利用者Bが、銀行Cとの間で口座振替による支払委託契約を締結し、また、利用者Bと電力会社Aとの間でも口座振替の方法によって支払を行うことに関する合意がなされ、当該契約等に基づき銀行C・電力会社Aの間で個人データが授受されているので、当該契約等を証する書類、預金口座振替依頼書の記録をもって記録義務に代えられないだろうかというところを考えております。

事例⑥として、第26条における『個人データ』の該当性の判断（受領者基準）の関係です。

第26条というのは、受領者が記録作成を行いなさいという条文でございます。

事業者Aの営業担当が、取引先を紹介する目的で、データベースとして管理しているファイルから名刺1枚を取り出してそのコピーを事業者Bの営業担当に渡す場合、事業者Bは「個人データ」を受け取ったものとして、確認・記録作成を行わなければならないのか。

この事例⑥の問題意識としまして、法第26条の適用対象は、あくまで「個人データ」となっております。「個人データ」とは、個人情報データベース等を構成する個人情報です。言い換えれば、個人情報データベース等を構成しない個人情報、いわゆる散在情報は、この法第26条の対象外ということになります。

ここでいうところの受領者、事業者Bにとって「個人データ」は誰を基準に判断するのかという点につきましては、考え方としては2通りあるかと考えております。

まず、1つ目が提供者基準。提供者にとって「個人データ」であれば、受領者の事情いかんにかかわらず、受領者に確認義務・記録作成義務が適用される。この上の事例に当てはめますと、B事業者には確認・記録作成義務は適用されるという結論になり得ます。

これに対しまして、受領者基準に則って考えますと、仮に提供者にとって「個人データ」であっても、受領者にとって「個人データ」に該当しなければ、受領者に確認義務・記録
作成義務は不適用ということになります。上の事例に当てはめますと、B事業者には適用されないことになります。

この点につきましては、あくまで第26条は受領者に係る義務ですので、その義務が適用されるか、適用されないかはあくまで受領者を基準に判断しなければ、法律の適用としておかしいことになりますので、ここでは受領者基準を前提とした上で検討させていただくことを諮らせていただければと思っております。

上の例でいいますと、事業者Bには、この事例でいうと「個人データ」の提供を受けていないとみなされるということになります。

最後になりますが、事例⑦として、反復継続して個人データを授受する関係です。

これも国会で例として挙げられた事例でございます。

同一の個人情報取扱事業者間で反復継続して同一項目の個人データを授受するような場合、個々の個人データの授受ごとに確認・記録作成を行わなければならないのか。言い換えれば、包括的に記録作成することは許されるものかという問題意識でございます。

この点につきましては、一定の期間内に特定の事業者との間でどのような個人データを移転させたかを包括的に記載されるものとし、個々のやりとりに関する詳細な記録までは求めないものとするという点が既に国会答弁の中で言及されております。

我々事務局としても、この趣旨を踏まえまして、包括的に記録作成することを可能と整理できないものだろうかという点を諮らせていただければと思います。

以上が、今回ピックアップしました7つの事例となっております。

冒頭に申し上げましたとおり、これで結論を出すというよりも、今後、更に実態の調査や事業者等のヒアリングを通して議論を進めていく中で、これを議論のたたき台としていくことを御確認いただければと考えております。

私からの説明は、以上となります。

○堀部委員長 ありがとうございました。

ただいま説明していただきました件につきまして、御質問、御意見をお願いいたします。どうぞ。

○嶋田委員 意見なのですが、現行の各省のガイドラインというのはとても重要ではあるのですけれども、民間の企業にとっては、事業分野を幾つか持っていると幾つも見たりしなければならないし、また、表記がちょっと違うだけというのも縷々聞くことがございました。今回、整理ができましたら、個人情報保護法改正の意味合いが社会的にも大きくなるなと思っておりますので、確認、調整等は本当に大変だと思うのですけれども、出来上がりをとても期待しております。

○堀部委員長 2003年に個人情報保護法が主務大臣制をとりましたので、各省庁において複数のガイドラインを作って、先ほど事務局から説明があったように、約40本できました。

これらをできるだけ共通化しようということで、その共通化の試みもしましたが、結局、それぞれの省庁、主務大臣が担当しているものですから、それらをどこでも同じようにと
いうわけにいかないまま来ております。

そういう点では、今、嶋田委員が御指摘のように、今回の各主務大臣の権限が来年のどこかの時期に当委員会に一元化されますので、この際にできるだけ一本化できればと思いますが、おそらくそれぞれの事業分野で異なるところも出てくると思いますので、そのあたりをどう調整していくかというのが今後の課題になってくると思います。

丹野委員、どうぞ。

○丹野委員 先ほどのガイドラインの話は、消費者側から見ても、色々なガイドラインがあるというのは非常に煩瑣で分かりにくいし、どの省庁に属するのか分からないという事項はたくさんありましたので、一本化することはとても歓迎すべきことだと思っています。

ただ、例えば、医療と金融と通信の3つの分野では、先ほどの御説明にありましたように、いわゆる上乗せ、横出しの部分があって、そこで厳しく規制をしていったからこそ、ある意味の秩序が保たれたという部分もあるのだろうなと思っている部分はたくさんありますので、そこはなし崩しになくなるのではなく、きちんと従来どおり守ってきたことを守っていただくという方向でやっていただいたほうがよろしいのではないのかなと思っております。

○堀部委員長 その場合、かなり専門というか、今、挙げられた3つの分野の他にもあると思います。

どうぞ。阿部委員。

○阿部委員 その点について、マイナンバーのガイドラインのときに、総則みたいなものを作って、それから、金融面とか安全管理措置を別冊にして、全体的な流れで一つの体系で分かるようにという方式をとりましたね。ですから、一つはそういう方式で、それは委員会で作るのだけれども、特定分野については、別冊みたいな形でやるというのが一つあると思うのです。

もう一つは、それぞれの分野ごとに違うものを、各大臣に委員会として委任できることになっているはずですから、この部分について大臣に委任して大臣にやってもらうという方式が一つ。

もう一つ、先ほど委員長がおっしゃったように、特殊な分野については、委員会の権限から離れたところで、事業所管の法律に基づく省庁の指導の中で、自発的に事業者側でやるという形をとる方式もあると思うのですけれども、これは具体的な中身が出てこないと分からない。

ですから、その辺の整理の仕方をまず委員会では考えておいて、具体的な案件を見て、それを振り分ける形で整理していくという方式が考えられます。

○堀部委員長 確かにマイナンバーのときも金融分野については別途扱うとしました。熊澤委員。

○熊澤委員　非常によくまとめていただいていて、方向性としてはこれで非常によろしいのかなと思っています。ただ、幾つか留意点というところで残っている部分がまさに留意
点でして、例えば、先ほどの消費者の立場からというのもありますが、事業者がやはりガイドラインをもう一度作り直すということになると、相当色々なプレッシャーがかかるといいますか、そういう中で何階建てみたいなもののガイドラインが、逆に言うと、非常に分かりづらいものになる可能性が強くあるということで、ここは懸念されているところだと思います。先ほど阿部委員がおっしゃっていたように、幾つかのパターンみたいなものをきちんと作って整理して細部に入ることが必要になるのだろうなということと、あと、個別論点の1番目に安全管理措置というところがあって、要は、ここで一元化するガイドラインの基本的な部分の「具体的に遵守すべき基本的事項及びこれを実現するための手法例を示す」と書いてあります。

その後に、なお書きで「内容が陳腐化しないよう留意する」ということを書いてありまして、ここはある意味でトレードオフな部分かなと。なるべく具体的に示したいけれども、陳腐化しないようにするというのは、非常に至難なことかなと思いますので、ここの部分もどれぐらい割り切って作れるのか、作れないのかというところも考えながら、うまくさばければいいなと思っています。

○堀部委員長 加藤委員、どうぞ。

○加藤委員　先ほどの阿部委員のお話の中で、上乗せや横出しのところを、例えば、別冊方式にするとか、あるいは、例えば、事業者の中でこうやって色々とあったと思うのですけれども、この40のガイドラインというと相当幅広い。例えば、年金とか医療とかでも実際に違うので、果たしてその40のものを1つのパターンとして括れるかどうかというところが非常に難しいかなという気がしておりまして、あまりそのパターンで、原則なり、上乗せ、横出しをきれいに決めていくということだけでどこまでやれるのだろうかというのがあるので、そこら辺は相当な御努力が必要なのかと思うのですけれども、あまり1つの形にまとめなくてもいいのかなという気がしているというところです。

☐ 堀部委員長 手塚委員。

☐ 手塚委員 我々の委員会では、番号法のガイドラインを作ってきているわけですね。あのときの知恵はすごく大事だと思っていて、最初の1章から4章まででしたか、最初に骨格があって、その後、個別に入っているので、建て付け方も改正個人情報保護法のものも、まずはそういう全体的な考え方をやって、今、言った上の部分は幾つかのパターン、個別のところが出てくるのかなという、その辺のところを是非番号法のガイドラインともうまく連携できるような、全体を通して我々委員会として個人情報保護法と番号法とを一気通貫でやっているのだと見せられるような努力はしてほしいなという気はしております。

○其田事務局長 今、委員の皆様から、色々なオプションというか、御提案を頂きましたので、ちょっとそれを整理してみてということなのですが、「所管業法に関する」という、個人情報の取扱いに関することではあるのですけれども、その所管業法によって立つところによって非常に厳しい内容が書いてあったりとか、あるいは、非常に特殊な取扱いが書いてあるガイドラインがございます。
そういう意味では、マイナンバーの時には関係事務というところで一つ、みんなが同じ仕事をしていたという切り口があったのですが、今回の個人情報の場合には、それぞれの業務、ビジネスに応じたものとして、特殊な場面が出てくる業種や分野もありますので、その辺を統一的に全部同じようにできるか。あるいは、幾つかのバリエーションをつくらなければいけないか。これも業法に関することであったりもするので、各省ともちょっと調整をしたり、よく話をしながら、今、頂いたお知恵を参考にしながら、少し整理をしてみたいと思います。

○嶋田委員 ここで通して見るということがすごく大事だと思うのです。

各省庁それぞれの事情で作っているものは既にあるわけだから、それを俯瞰して見たときに共通化できるものを抽出して1つにしつつ、上乗せか分かりませんが、その業法の解釈を作っていくという、俯瞰することはすごく大事で、それが色々な業界が見たときに、この組織ができた一番のメリットとして感じられるのではないかなと私は思います。

○堀部委員長 そういうことも、ここにはまだ出てきていませんが、認定個人情報保護団体がそれぞれの分野でできると思います。

今は約40ありまして、それぞれのところで個人情報保護指針を策定しています。

私も幾つか関係したところもありますが、今まではそれぞれの主務大臣の下で認定個人情報保護団体があったということですが、今度はこの委員会が認定することになりますので、その場合に、今後、それぞれの認定個人情報保護団体の個人情報指針の作り方のところをどうするのかということも議論していきますし、おそらくかなり具体的に認定個人情報保護団体の中で指針を策定するというのは、今までの経験からしてもできると思います。

ですから、分かりやすくきちんと最終的には法律を遵守していただくことになるようなものにしていくということが必要だろうと思います。

どうぞ。

○阿部委員 認定個人情報保護団体の場合には、それぞれの団体が自発的に作ったものについて、これはいいですよという形になっていたわけです。

各省庁が所管している、特に情報通信関係とか医療関係について、全面的にこっちで責任を持って細かくやっていくというのは不可能だと思いますので、そういう意味では、認定個人情報保護団体の取組をこちらで認めていくみたいな形で、各省庁が責任を持ってある程度の基準を作ったもののうち、それに書いてあるもののうち、ここから先は委員会もきちんと見ますよという意味で、委員会のガイドラインに入れて、それで残りの部分は各省庁の、要するに、業界指導という形で、それぞれの所管法の枠の中でやるというのが一つの整理の仕方かなと思います。そうすると、認定個人情報保護団体の扱いと同じになる。堀部委員長ありがとうございました。

宮井委員、どうぞ。

○宮井委員 私も、今、議論に出ていましたように、このガイドラインについては、この一元化されていて、上乗せ、横出しがあったとしても、委員会ができた意味合いというの
はこういうところにあると思いますので、嶋田委員がおっしゃったように、俯瞰できるように合理的にしていくというのは重要なことかなと思います。

その上で、産業界の立場からすると、今まで主管は1つだったところが、また増えていくわけです。増えても、そこがややこしくならないように、結局、前よりも非常に複雑で分かりにくくなったということだけにはならないようにしないといけないなと思います。

○堀部委員長　分かりました。それは分かりやすくといいますか、それも必要ですので、そういう点も配慮しつつ、検討していきたいと思います。

○宮井委員 それと、また違う質問なのですけれども、小規模事業者への配慮のところで、今回の改正の大きな一つのポイントであると思うのですが、ここにつきましては、5,000人分というものと、あとマイナンバーで100人という、要は、数字がきちんと法律で決められていると思うのですが、それにのっとってその内容の強弱をつけていくと、ますますその数値の物差しの重たさが重たくなってくるように思いますので、もちろん法律を守るという前提で中身は考えるのですけれども、あまりにもこの数字が重たくなるような強弱のつけ方というのはどうかなと私は思います。

○其田事務局長 今、おっしゃっていただいたのは本当にそうで、こんなに基準が違うのだったら、何とか人数を減らすようにカウントしようということになりかねない。

○宮井委員 極端なことを言うと、99の事業者で4,999のという話ですね。

○其田事務局長 現行の番号法のガイドラインでは、組織とか、体制とか、取扱規程を作れというところは厳しいので、中小規模事業者の特例を設けておるのですが、従業員をちゃんと教育してくださいとか、盗まれないようにしてくださいとか、最低限ウイルス対策をしてくださいということは、本則でもこの程度のことで書いておりますので、そんなに厳しいことが書かれるということではない仕上がりには、マイナンバーはなっております。そういったことも視野に入れながら、個情法の安全管理措置の中小のところをどう書き分けていくのかというのは、ちょっと検討していきたいと思います。

○堀部委員長　今日の説明の方向性については、こういうことでよろしいのではないか。具体的にどうするかということについては、色々な御意見を頂きましたので、それを踏まえて進めていきたいと思います。

そういうことでよろしいでしょうか。

○丹野委員　一言意見なのですけれども、資料2－3の方向性は非常によいと思っていて、悪質な名簿屋対策としてトレーサビリティが一つ考えられているのだけれども、トレーサビリティを厳格にやると、例えば、この①から⑦までのような、どう考えてもトレーサビリティの対象に本来ならないような、法の趣旨からいえば違うでしょうというものも、もしかしたら入るのではないかという懸念がありますが、それを、ある程度、方向性を示すことで、制度の趣旨を踏まえて明定するという方向が打ち出せたというのは非常にいいことで、これは消費者側にとっても事業者側にとっても、ここの整理をして、考え方を出していただいたことが、すごく役に立つと思いました。
堀部委員長 名簿業者については、先日も消費者庁で調査検討をしたりしておりますし、なかなかその実態がつかめません。一昨年7月のベネッセの約3,000万ぐらいの個人情報の流出のときも名簿業者が介在していましたので、それをどうするのかというのは、色々と意見を求められたりもしましたが、委員長の立場ですので、ここでこうするべきだという言い方はしないで、過去の事例などの説明はしました。

今後どうするのかということは、また当委員会としても議論していかなければならないところでもありますし、色々と議論してきた経過がありますけれども、この問題には引き続き関心を持っていく必要があります。ということで、今日はこのあたりにしておきたいと思います。

いずれにしても、この改正法でトレーサビリティが入ってきたことが非常に大きな意味を持っています。それをここで具体的には提供の記録はどうしていくのかということになりますが、逆に、善良な事業者からすると、これが負担になるという問題も出てきておりますので、そこをどうするのか。

先ほどの事務局の説明にもあったように、なお書きで触れるにとどめていますので、今後、そのあたりを検討していきたいと思います。

よろしいでしょうか。

ありがとうございました。

それでは、そういうことで、引き続き検討をしていきます。よろしくお願いいたします。次に、議題3「政策評価の実施計画（案）について」を事務局から説明をお願いします。

☐事務局 お手元、資料3の資料をご覧いただければと思います。

タイトルにございますとおり、当委員会が一府省として行う政策評価の実施計画、単年度の計画を御決定いただくものです。平成27年度にも同様の計画を決定いただいておりまして、平成28年1月の改組に伴って、平成28年1月26日の委員会で平成27年度の実施計画も同様のものを、改正ですけれども、決定いただいております。

中身です。平成28年度に取り組む仕事の大きな括りが表の中に4つございます。

マイナンバーの監視・監督、マイナンバーの保護評価、個人情報の保護・利活用、それから、全体にかかりますが、広報・啓発・国際協力という、この括りは27年度の計画と全く同じものでして、若干の順番変更と表記の変更はございますが、4本立ての中身に変更はございません。

平成28年度にこれらの施策に取り組んでいきまして、平成29年度になってから、その平成28年度の仕事を評価する。そのとき、この4分野の評価をすることを決めるという計画の内容でございます。

説明は、以上でございます。

○堀部委員長 ありがとうございました。

ただいまの説明につきまして、御質問、御意見があればお伺いいたします。

特に御意見がないようですので、原案のとおり決定したいと思いますが、よろしいでし
ようか。

では、原案のとおり決定いたします。ありがとうございます。

次に、議題４「その他」です。１件目は、全国健康保険協会の評価の実施時期協議につきまして、事務局から説明をお願いいたします。

☐ 事務局 特定個人情報保護評価指針第6の1（1）イにおきまして、委員会による承認が必要な特定個人情報保護評価の実施時期につきましては、システムの要件定義の終了までに実施することが困難な場合は、委員会とあらかじめ協議の上、実施時期を決定できるとされております。

これに基づきまして、全国健康保険協会から協議依頼が提出されておりますので、御説明させていただきます。

全国健康保険協会が実施する特定個人情報保護評価につきまして、システムの開発スケジュールにつきましては、システムの要件定義終了の時期が平成28年3月までであり、また、プログラミングの開始時期は平成28年7月頃を予定しております。

要件定義の段階で評価を実施できなかった理由としまして、全国健康保険協会は、番号制度の導入に伴い、健康保険の資格の適用、保険給付及び保険料の徴収に関する事務に個人番号を利用することとしております。

こちらにつきましては、当該事務で使用する中間サーバーのリスク対策の詳細が本年3月の要件定義までに確定しなかったため、特定個人情報保護評価を実施することができなかったものです。

このため、3月22日付け協発160322-01号にて、全国健康保険協会から、特定個人情報保護評価の実施時期について協議依頼が提出されております。

以上のとおり、全国健康保険協会が実施する特定個人情報保護評価の実施時期につきまして、要件定義終了までに一連の評価の手続が終了しないことから、プログラミングの開始前に実施するということで差し支えないかお諮りさせていただきたいと思います。

○堀部委員長 ありがとうございました。

御質問、御意見がございましたらお願いします。

特に御異議がありませんので、全国健康保険協会の特定個人情報評価の実施時期につきましては、プログラミング開始前の適切な時期に特定個人情報評価を実施することで差し支えないということとしたいと思いますが、よろしいですか。

それでは、全国健康保険協会に対しまして、その旨、お伝えいただきたいと思います。

○事務局 全国健康保険協会に対して伝えます。

〇堀部委員長 よろしくお願いいたします。

ありがとうございました。

次に「その他」の2件目です。行政文書取扱規程の一部改正につきまして、事務局から説明をお願いいたします。

☐事務局 よろしくお願いします。
「個人情報保護委員会行政文書取扱規程」の一部改正について、お諮りしたいと考えております。

まず、文書の決裁のルールを定めた文書としまして、現に「個人情報保護委員会行政文書取扱規程」という平成28年訓令第3号があります。この中で、専決について定めております。

専決といいますのは、各省庁でいいますと、大臣が部下に任せて部局長の決裁で大臣名の文書が作れるものであります。これまでの委員会の運営、この委員会の行政事務の執行状況などを勘案しまして、現行の専決事項を見直しまして、委員会規則の制定等のうち軽微なものに係る手続を簡素化するなど、事務執行の円滑化を図ることが適当と考えますので、御審議をお願いしたいと考えております。

今回、専決できる事項を見直すのは3点あります。いずれも各省の例を参考にして検討しました。

1つ目は、今、申しました委員会規則の制定又は改廃に関する事項であって、軽微なものに限るというものの追加です。具体的には、行政手続法で、他の法令の制定又は改廃に伴い当然に必要とされる規定の整理など、パブリックコメントの手続は不要とされている軽微な変更といった改正については、委員会規則を事務局で改正したいと考えております。

2つ目は、訓令、告示その他諸規程の制定又は改廃に関する事項で軽微なものに限るというのが現行ですけれども、改正しまして、重要なものを除くとしたいと思います。

イメージでいいますと、軽微なものに限っていたものを、軽微なものと軽微とは言えないが重要とも言えないという中間のもの、そういったものを専決とさせていただきたいというものです。

この２点は事務局長の専決としたいと思っております。

3つ目は、委員長及び常勤委員の海外出張の届出に関することです。内閣官房長官宛ての委員長の文書になりますけれども、単なる事務手続上のものですので、総務課長の専決としたいと思います。

なお、形式改正としまして、前回御議論いただいた行政不服審査法の改正などが関係する専決事項について、文言の整理等も併せて行いたいと考えております。

私からは、以上です。よろしくお願いします。

○堀部委員長 ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いします。

阿部委員。

○阿部委員 組織が大きくなって、できるだけ事務を簡素化していく必要がありますので、事務局の案で進めていただければいいと思います。

○加藤委員　非常勤委員の海外出張の届出というのは、特に今はやらなくていいということになっているのですか。

☐事務局 はい。委員長と常勤委員については外国に行くときには内閣官房長官に届け出
るという手続があるのですけれども、非常勤委員についてはありません。

○阿部委員　個人的な渡航の場合は、この委員会の承認という形が必要ですね。

☐ 事務局 説明が足りませんでした。委員会の承認は、全ての委員について、私的な海外渡航をするときには必要となります。公務でも私的旅行でも、常勤委員だけは、国会開会中だけだったと思いますが、内閣官房長官に届け出る書類が必要になります。

○加藤委員 なるほど。分かりました。

○堀部委員長　では、御異議がありませんので、原案のとおり決定したいと思いますが、よろしいでしょうか。

それでは、原案のとおり決定いたします。

次に、3件目、議事概要について、事務局から説明をお願いいたします。

☐事務局 資料4をご覧ください。

事務局におきまして、2月15日に開催されました第2回委員会の議事概要の案を作成いたしました。

内容を御確認いただき、御了承いただければ、これで確定したいと考えております。よろしくお願いします。

○堀部委員長 ありがとうございました。

事前に各委員にも見ていただいており、御異議がありませんので、原案のとおり決定いたしまして、ホームページに掲載することといたします。

ありがとうございました。

最後に議題１「特定個人情報の取扱いの状況に係る行政機関等に対する定期的な検査に関する規則の方向性及び規則（案）について」、事務局から説明をお願いいたします。

○事務局 それでは、まず資料１－１をお手元にお願いいたします。

番号法第28条の3第1項の規定によりまして、行政機関等は委員会規則に基づき、定期的に検査を受けなければならないとされております。今回、委員会規則を検討するに当たりまして、その方向性を資料1－1で説明させていただきます。

1 番でございますが、定期的な検査の方向性としまして、効率的・効果的な監視・監督を行う観点から、次のような考え方により定期的な検査を行うこととしたいと考えております。

まず(1)ですが、事務の重要性に鑑み、行政機関、独立行政法人等が行う個人番号利用事務を優先して行うこととし、地方公共団体情報システム機構については、番号法に基づき行う事務は、利用事務に準ずるとして優先して行うこととしたいと考えております。

(2) です。検査周期はおおむね2年といたしますが、各機関の規模・特性及び検査結果等に応じて柔軟に対応するほか、(1)以外の事務は、これは個人番号関係事務のことですが、特定個人情報の取扱いに係る実態を踏まえて検討したいと考えております。なお、定期的な検査のほか、特定個人情報の漏えいその他の状況によりまして、随時に検査を行うことを妨げない、このような方向性を考えております。
2 番として、委員会規則に定める内容でございます。番号法第 28 条の 3 第 1 項の規定によりまして、行政機関等は、委員会規則の定めるところにより、特定個人情報の取扱いの状況について、委員会による定期的な検査を受ける義務を負っております。

委員会規則においては、定期的な検査の対象となる特定個人情報ファイル及び定期的な検査の周期を定めたいと考えております。

まず(1)で、定期的な検査の対象となる特定個人情報ファイルですが、次の①から④までに該当しない特定個人情報ファイルを優先して行うこととしまして、①から④までについては、委員会が必要と認めた場合に検査を行うこととしたいと考えております。

ちなみに①②につきましては、保護評価規則によりまして、保護評価の対象から除かれているものでございます。

まず①でございます。「役員若しくは職員又はそれらの者の被扶養者等に係る特定個人情報ファイルのうち、人事、給与又は福利厚生に関する事項等を記録する特定個人情報ファイル」ということで、これは保護評価規則第4条第1号の規定内容のことを示しております。

次に②「事務ごとに保有する本人の数の総数が千人未満である特定個人情報ファイル」です。こちらは保護評価規則第4条第3号に規定されております。

そして「③個人番号関係事務のみを処理するために保有する特定個人情報ファイル」としまして、個人番号利用事務と共用する場合は対象となっております。

なお、定期的な検査の対象となる機関等の数についてですが、行政機関、独立行政法人等及び地方公共団体情報システム機構は、全部で268ございます。この内、ご説明いたしました $ ^{①} $ と $ ^{②} $ を充足する個人番号利用事務8機関13事務が定期的な検査先と考えております。参考ですが、個人番号関係事務は、現在20事務ございますが、今後も増加することが見込まれます。

④ですが、「特定個人情報の取扱いの状況を勘案して委員会が定める特定個人情報ファイル」ということで、例えば、検査結果に全く問題のない優良先ですとか、頻繁に検査に行く必要がないと考えられる先を、委員会の裁量で優先的な検査対象から除外できるようにする条項を設けたいと考えております。

続いて(2)でございます。定期的な検査の周期についてでございますが、おおむね2年ごとに行うものとしたいと考えております。

そして、(3)その他随時検査の実施についてとしまして、(1)の定期的な検査のほか、特定個人情報の漏えいその他の状況により、随時に検査を行うことを妨げないこととして、情報漏えいがあれば随時に検査を行う、これは元々番号法第38条に規定があるところでございますが、確認的に記載したいと考えております。

以上が方向性についてでございます。

続きまして、資料1－2でございます。こちらがパブリックコメントに付したいと考えている案でございます。ここまでにご説明した内容を記載しております。3番の施行期日
については、公布の日から施行としたいと考えております。

具体的な内容は、1枚おめくりいただきまして、規則案をご覧ください。先ほどの説明内容を記載したものでございますが、おおむね2年ごとの検査から除外する特定個人情報ファイルとしまして、先ほど職員の関係と千人未満の説明をさせていただきましたが、正式な規定ぶりとしまして、規則案第2条第1号は、いわゆる保護評価規則第4条第1号に規定される特定個人情報ファイルになります。また、規則案第2条第2号は、保護評価規則第4条第3号に規定される特定個人情報ファイルになります。それ以外につきましては、ただいま説明した内容を書き起こしさせていただきました。

以上が規則案でございます。この規則案が決まり次第、パブリックコメントを30日間実施したいと考えております。以上が御審議いただきたい内容でございます。

○松本企画官 それでは、続きまして、ただいまの説明を踏まえまして、平成28年度の検査計画のイメージを説明させていただきたいと思います。

情報漏えい等が発生しました場合の立入検査は計画的にできるものではございませんので、今ご説明いたしました、定期的な検査に係る計画となります。

まず策定方針でございますけれども、年度計画のうち検査実施数と検査時期につきましては、第1四半期中に決定したいと考えております。検査実施数につきましては、事務局のマンパワー等を踏まえまして、年間で実施可能な件数を見積もりますとともに、およその検査時期について計画立てておくことにより、円滑な定期検査が実施可能になると考えてございます。

検査対象先は半期ごとに決定とさせていただきたいと思いますが、これについては後ほどご説明させていただきます。委員会規則の方で説明させていただきましたが、検査に当たっては、個人番号利用事務を優先することを考えております。また、漏えい事案等が生じた場合には、検査計画にかかわらず、臨時検査を行うことを妨げないこととしたいと考えております。

次に、28年度検査計画のイメージです。行政機関等が実施する個人番号利用事務については、原則として一順することを目標として計画を策定することとし、地方公共団体等に対しては規模などを勘案の上、選択的に実施したいと考えております。

私からは以上でございます。

○堀部委員長 ありがとうございました。

ただいまの説明につきまして、御意見・御質問がありましたらお願いします。

嶋田委員。

○嶋田委員　確認ですけれども、資料１－１の「２」の(1)の４番のところで、「優良先」ともう一つ、頻繁に検査に行く必要がないところとおっしゃいましたが、後者はどういったところなのでしょうか。

☐ 事務局 検査結果に問題がないので、検査をおおむね2年の括りの中で行うというほど頻繁ではなくて、もう少し間隔をあけることができるようにするということです。
○嶋田委員 なるほど、「優良先」とは別にあるのかと思いましたが、「優良先」のことを書き下したものなんですね。

○其田事務局長 ここは色々なケースがあり得るので、例えば今後個人番号利用事務が増えたり取扱件数がとても少ない場合等もあるかもしれませんので、一律で2年にならなくても良いように条項を1つ設けておきたいという趣旨です。

○嶋田委員 それを決めるのはどこになるのですか。

○其田事務局長 委員会で、これは2年のサイクルでなくても良いですねということを御審議いただく予定です。

○熊澤委員 時期が限られてしまうケースもあり得ると思うので、しっかり事前に計画を立てて、やられるとは思いますが、是非よろしくお願いします。

○松本企画官　7月以降、事務局の陣容も充実させていただくと聞いておりますので、体制整備ができれば、その中でしっかり対応していきたいと考えております。

○加藤委員　地方公共団体はどうされるんでしょうか。今後の計画として、ある程度はやっていかなければならないと思いますが。数にしても相当大変ですよね。

○松本企画官 1,800以上ありまして、色々と特性や規模もございますので、それらを勘案しながら、それから色々な情報も我々に入ってくるということもございますので、総合的に勘案という形で、検査先についてはご相談させていただきたいと考えております。

○其田事務局長　地方公共団体は定期報告が義務付けられておりますので、そういった報告も1つのツールになるということ、どこを選んでいくかで、例えば規模の大小で選ぶ、その典型的な結果を発信するとか、あるいは幾つか検査に行きますと、委員会の検査でこうしたことを指摘されたとか、情報としてもある程度浸透していくことも期待をしつつ、全部を網羅することは不可能ですので、いかに行く検査を効果的に活かしていくかという手法を色々考えていきたいと思います。

○堀部委員長 よろしいでしょうか。

それでは、御異議はございませんでしたので、原案のとおり意見公募手続を実施したいと思いますが、よろしいでしょうか。

(「異議なし」と声あり。)

○堀部委員長 ありがとうございます。それではそのように進めてください。

本日の議題は以上です。

本日の資料につきましては、速やかに委員会のホームページで公表することとしたいと思いますが、よろしいでしょうか。

$$ \left(\begin{array}{l}「はい」と声あり。\end{array}\right) $$

本日の会議は、これにて閉会といたします。

今後の予定につきまして、山本参事官からお願いいたします。

○山本参事官 次回の日程につきましては、4月12日火曜日、14時からこちらの会議室で行わせていただきます。
本日の資料につきましては、決定どおりに取り扱いまして、速やかにホームページに掲載させていただきます。

本日は誠にありがとうございました。
平 成 2 9 年度 歲 出 概 算 要 求 額 明 細 表
9101東日本大震災復興特別会計(內閣·復 第1係(金融庁))
要求
番号	事 项	前 年 度 額	2 9 年 度 概 算 要 求 額	对 前 年 度 比 較 增 △ 減	備 考
1	01 東日本大震災復興
31 復 興 庁
010 復 興 庁
158 金融機能安定·冊滑化復
興政策費	130,327	40,357	△ 89,970	2 4 年度	2 5 年度	2 6 年度	2 7 年度
予 算 額	( 756,681)( 756,681	461,944)( 461,944	305,863)( 305,863	244,497)
244,497
决 算 額	186,108	153,683	64,740	33,142
不 用 額	570,573	308,261	241,123	211,355
05-95 金融機能安定確保必要
な経費
001 金融機能強化法に基づく
資本增強の審査等に必要
な経費
95016-129-06-0110 諸 謝 金	10,000	0	△ 10,000	2 4 年度	2 5 年度	2 6 年度	2 7 年度
予 算 額	( 80,000)( 80,000	41,143)( 41,143	20,000)
20,000
决 算 額	7,560	0	0	0
不 用 額	72,596	80,000	41,143	20,000
·前年度限りの経費(資本增強に関するFA契約)	0(	10,000)
2	10-95 金融サービス向上推進に
必要な経費
001 個人債務者の私的整理に
係る支援に必要な経費
95062-405-16-3001 個人債務者私的
整理支援事業費
補助金	120,327	40,357	△ 79,970	(説 明)
個人債務者の私的整理に係る支援に必要な経費
2 4 年度	2 5 年度	2 6 年度	2 7 年度
予 算 額	( 633,083)( 633,083	345,752)( 345,752	240,006)( 240,006	203,311)
203,311
决 算 額	144,946	121,927	42,540	14,916
不 用 額	488,137	223,825	197,466	188,395
·個人債務者私的整理支援事業費補助金	30,586(	102,208)
005 被災者支援施策に係る周
知広報に必要な経費
95016-122-08-2010 職 員 旅 費	18,119	9,771	△ 8,348	(説 明)
被災者支援施策に係る周知広報に必要な経費
913	610	△ 303	2 4 年度	2 5 年度	2 6 年度	2 7 年度
予 算 額	( 2,008)( 2,008	888)( 888	913)( 913	913
决 算 額	363	629	505	315
不 用 額	1,645	259	408	598
·被災者支援施策に係る周知広報経費	610(	913)
3 復興特

要求番号	事項	前年度算額	29年度概算要求額	对前年度比較增△減	備考
95016-123-09-1010 庁費	17,206	9,161	△8,045	24年度(41,174)(41,174)35,30435,30431,1274,177	25年度(35,304)(35,304)23,80123,80121,6952,106	26年度(23,801)(23,801)20,27320,27317,9112,3629,161(17,206)16,644(2)前年度限の経費(消耗品費)	27年度(20,273)20,27317,9112,3629,161(17,206)16,644(2)前年度限の経費(消耗品費)	27年度(20,273)20,27317,9112,3629,161(17,206)16,644(2)前年度限の経費(消耗品費)
## 特定個人情報保護委員會（第48回）議事概要

1 日時：平成27年6月19日（金）16：30～17：30

2 場所：特定個人情報保護委員会委員会室（三会堂ビル8階）

3 出席者：堀部委員長、阿部委員、嶋田委員、手塚委員、加藤委員

其田事務局長、松元総務課長

## 4 議事の概要

（１）議題１：出張の報告（香港）について

事務局から、平成27年6月に開催されたアジア太平洋プライバシー執行機関（APPA）フォーラムへの参加について、報告があった。

（２）議題２：その他について

事務局から、不正アクセス対策に関する通知等について説明があった。

事務局から、EU 及びフランスにおける最近の動向について報告があった。

以上