個人情報保護委員会 意見募集 いわゆる3年ごと見直しに係る検討の中間整理
こんにちは、丸山満彦です。
個人情報保護委員会（第292回）でいわゆる3年ごと見直しに係る検討の中間整理（案）が議論され、意見募集がされていますね...（ただし、意見をだしても回答はないようです...）
● 個人情報保護委員会
・2024.06.26 「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」の公表及び同整理に対する意見募集
・・報道発表資料 [PDF] プレスリリース
・・別添１[PDF] 中間整理
目次...
第１ はじめに（中間整理の位置づけ等）
第２ 個別検討事項
１ 個人の権利利益のより実質的な保護の在り方
(1)個人情報等の適正な取扱いに関する規律の在り方
(2)第三者提供規制の在り方（オプトアウト等）
(3)こどもの個人情報等に関する規律の在り方
(4)個人の権利救済手段の在り方
２ 実効性のある監視・監督の在り方
(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方
(2)刑事罰の在り方
(3)漏えい等報告・本人通知の在り方
３ データ利活用に向けた取組に対する支援等の在り方
(1)本人同意を要しないデータ利活用等の在り方
(2)民間における自主的な取組の促進
４ その他
参考
・・別添２[PDF] 意見募集要領
このページのライバルページ(^^)
・個人情報保護法 いわゆる３年ごと見直しについてのページ...
・・2024.06.27 [PDF] 個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理
あと、今回のヒアリングには呼ばれていませんが、かつて米国企業のアジアCPOをしていて、2004年10月に経済産業省がだした、[PDF] 個人情報の保護に関する法律についての経済産業分野を対象とするガイドラインを作成する委員会（ちなみに委員長は現在の個人情報保護委員長の藤原静雄先生）で私と一緒に委員だった佐藤慶浩さんのご意見も是非参考に...
米国の感覚が少しはわかるかもです...
当時から佐藤さんは、利用目的管理の重要性を言っていましたね...
● 砂糖の甘い付箋
・2024.06.27 日本の個人情報保護と米国のプライバシー尊重の違い
内容...
個別の検討事項は、
１ 個人の権利利益のより実質的な保護の在り方
(1)個人情報等の適正な取扱いに関する規律の在り方
(2)第三者提供規制の在り方（オプトアウト等）
(3)こどもの個人情報等に関する規律の在り方
(4)個人の権利救済手段の在り方
２ 実効性のある監視・監督の在り方
(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方
(2)刑事罰の在り方
(3)漏えい等報告・本人通知の在り方
３ データ利活用に向けた取組に対する支援等の在り方
(1)本人同意を要しないデータ利活用等の在り方
(2)民間における自主的な取組の促進
なのですが、
それ以外も...ということで、
- プロファイリング（本人に関する行動・関心等の情報を分析する処理）
- 個人情報等に関する概念の整理
- プライバシー強化技術（「PETs」：Privacy Enhancing Technologies）の位置づけの整理
- 金融機関の海外送金時における送金者への情報提供義務の在り方
- ゲノムデータに関する規律の在り方
- 委員会から行政機関等への各種事例等の情報提供の充実
- 委員会が関係の深いステークホルダーと透明性のある形で継続的に議論する場を設け、以下の項目等を検討していく
- 個人情報保護政策の方向性や、
- 本人同意を要しない公益に資するデータ利活用に関係するガイドライン等の見直しの在り方
【考え方】の部分だけ抜粋...
１ 個人の権利利益のより実質的な保護の在り方
(1)個人情報等の適正な取扱いに関する規律の在り方
ア 要保護性の高い個人情報の取扱いについて（生体データ）
生体データは、長期にわたり特定の個人を追跡することに利用できる等の特徴を持ち得るものであり、特に、特定の個人を識別することができる水準が確保されている場合において、通常の個人情報と比較して個人の権利利益に与える影響が大きく、保護の必要性が高いと考えられる。他方、生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することも想定されるものである。これを踏まえ、生体データの取扱いについて、諸外国における法制度なども参考にしつつ、特に要保護性が高いと考えられる生体データについて、実効性ある規律を設けることを検討する必要がある。この点について、関係団体からは、事業者の自主的な取組を促進すべきとの声もあるが、本人関与や安全管理措置等を通じた個人の権利利益の保護とのバランスを踏まえ検討を進める必要がある。
まず、現行法上、個人情報の利用目的については、「できる限り特定」しなければならないとされているが（法第 17 条第１項）、生体データの要保護性を踏まえると、生体データを取り扱う場合においては、例えば、どのようなサービスやプロジェクトに利用するかを含めた形で利用目的を特定することを求めることが考えられる。
また、個人の権利利益の保護という観点からは、生体データの利用について、本人がより直接的に関与できる必要がある。そのため、生体データの取扱いに関する一定の事項を本人に対し通知又は十分に周知することを前提に、本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とすることが考えられる。
このほか、必要となる規律の在り方について、事業者における利活用の実態やニーズ、運用の負担、利用目的の違いによる影響なども考慮して検討する必要がある。
イ 「不適正な利用の禁止」「適正な取得」の規律の明確化
不適正な利用の禁止、適正な取得の規定については、個人の権利利益の保護により資するものとするとともに、事業者による予測可能性を高める観点から、適用される範囲等の具体化・類型化を図る必要がある。具体化・類型化に際しては、これまでに問題とされた事例等を踏まえて検討することが必要である。
また、現行法の個人情報の取扱いに係る規律は、本人が、自らの個人情報の提供等について、自らの自律的な意思により選択をすることが可能である状況にあることを前提としていると考えられる。他方、個人情報取扱事業者と本人との関係によっては、本人にそのような選択を行うことが期待できない場合があり得る。そのため、こうした場合において、本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要がある。
個人関連情報については、事業者が、電話番号、メールアドレス、Cookie ID など、個人に対する連絡が可能な情報を有している場合 [1]には、個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ、その侵害の程度・蓋然性は、事業者による利用の方法によっては、個人情報と同様に深刻なものになり得ると考えられる。そのため、このような場合につい
て、不正取得や不適正利用等への対応の在り方を検討する必要がある。
(2)第三者提供規制の在り方（オプトアウト等）
オプトアウト届出事業者は、提供先の利用目的や身元等について、その内容や真偽を積極的に確認する義務まではないことから、明確に認識しないまま意図せず犯罪グループに名簿を提供してしまうことが生じ得る。そこで、一定の場合には提供先の利用目的や身元等を特に確認する義務を課すことについて検討する必要がある。その際、確認義務の要件についての検討や、住宅地図等を広く市販する場合など規律の在り方についても検討が必要である。
また、不正に名簿等を持ち出した者が、当該名簿等により利益を得る有力な方法として、オプトアウト届出事業者への販売が想定される。そのため、オプトアウト届出事業者には、取得元における取得の経緯や取得元の身元等の確認について、より高度の注意義務を課すことが考えられる。具体的には、一定の場合には取得元の身元や取得の適法性を示す資料等を特に確認する義務を課すことについて検討する必要がある。その際、確認義務の要件や対象の類型化についての検討が必要である。
さらに、本人が、オプトアウト届出事業者によって個人情報が提供されており、かつ、当該提供の停止を求めることができることを確実に認識できるようにするための措置など、本人のオプトアウト権行使の実効性を高めるための措置について、継続して検討する必要がある。
(3)こどもの個人情報等に関する規律の在り方
こどもの個人情報の取扱いに係る規律については、こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮するとともに、学校等における生徒の教育・学習に関するデータの有用性も考慮する必要がある。これを踏まえ、主要各国においてこどもの個人情報等に係る規律が設けられており、執行事例も多数見られることも踏まえ、こどもの権利利益の保護という観点から、規律の在り方の検討を深める必要がある。
他方で、第三者が公開したこどもの個人情報を取得する場合などにおいては、取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合があり得ることから、こうした場合における事業者の負担を考慮する必要がある。
ア 法定代理人の関与
現行法上、原則として本人同意の取得が必要とされている場面（目的外利用（法第18条第２項）、要配慮個人情報の取得（法第20条第２項）、個人データの第三者提供（法第27条第１項、第28条１項）、個人関連情報の第三者提供（法第31条第１項）など）において、こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを検討する必要がある。
また、本人に対する通知等が必要となる場面（利用目的の通知（法第21条第１項）、本人から直接書面に記載された個人情報を取得する場合における利用目的の明示（同条第２項）、漏えい等に関する本人への通知（法第26条第２項）など）においても、こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある。
イ 利用停止等請求権の拡張
現行法上、利用停止等請求権を行使できる場面は、保有個人データについて違法行為があった場合等限定的であるが、こどもの要保護性を踏まえると、こどもを本人とする保有個人データについては、他の保有個人データ以上に柔軟に事後的な利用停止を認めることについて検討する必要がある。ただし、取得について法定代理人の同意を得ている場合等、一定の場合においてはその例外とすることも考えられる。
ウ 安全管理措置義務の強化
重大なこどもの個人情報の漏えい事件が国内で発生しており、委員会においても前述の大手学習塾に対する指導に際して「こどもの個人データについては、こどもの「安全」を守る等の観点から、特に取扱いに注意が必要であり、組織的、人的、物理的及び技術的という多角的な観点からリスクを検討し、必要かつ適切な安全管理措置を講ずる必要がある」旨述べているところである。そこで、こどもの個人データについて安全管理措置義務を強化することがあり得る。
エ 責務規定
上記アからウにかかわらず、各事業者の自主的な取組の促進という観点からは、こどもの個人情報等の取扱いについては、こどもの善の利益を優先し特別な配慮を行うべき等、事業者等が留意すべき責務を定める規定を設けることも検討する必要がある。
オ 年齢基準
こどもの個人情報等の取扱いに係る年齢基準の考え方については、国内外の法制度において様々な年齢基準が設けられていることや、対象年齢によっては事業者等の負担が大きくなることも考慮する必要があるが、対象とするこどもの年齢については、Q&Aの記載やGDPRの規定の例などを踏まえ、16歳未満とすることについて検討を行う。
(4)個人の権利救済手段の在り方
法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度 [2]の枠組みは有効な選択肢となり得る。
このうち、差止請求制度については、法に違反する不当な行為を対象行為とすることを検討すべきである。差止請求の実効的な運用のためには、次の課題が指摘されている一方で、差止請求は個人の権利利益保護の手段を多様化する、委員会の監視・監督機能を補完し得るとの指摘もあることから、継続して検討する必要がある。
・ 専門性の確保（法に精通した人材を各適格消費者団体が確保しているとは限らないため、研修等の実施や、制度導入初期段階での専門家確保のための施策が必要と考えられる。）
・ 端緒情報等の共有・立証等における考慮（委員会が取得している情報のうち重大案件と考えられるものについて、事業者名を特定して適格消費者団体に提供できると、制度が効果的に機能すると考えられる。また、事業者の応答を促す仕組み等についても検討すべき。）
・ 報告、監督窓口の一本化（年次の報告先等が２箇所となれば適格消費者団体の負担となる。）
・ 資金を含む団体への援助（適格消費者団体は限られた資金の下ボランティアベースで運営されている団体が大多数。）
もう一方の被害回復制度については、差止請求制度の課題に加え、個人情報の漏えいに伴う損害賠償請求は極端な少額大量被害事案となる（過去の裁判例等を踏まえると、認容被害額は数千円から数万円程度と考えられる。）こと、立証上の問題があることが課題と考えられることから、更に慎重な検討が必要である。
他方で、団体による差止請求や被害回復の枠組みについては、関係団体からのヒアリングにおいて、その導入について強く反対との意見があったところであり、法に違反する行為や不法行為を対象とする場合であっても、萎縮効果の懸念が示されていることから、事業者の負担と個人の権利利益の保護とのバランスを踏まえつつ、その導入の必要性を含めて多角的な検討を行っていく必要がある。
２ 実効性のある監視・監督の在り方
(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方
ア 課徴金制度
課徴金制度については、関係団体からのヒアリングで強い反対意見が示されていることに加え、我が国の他法令における導入事例や国際的動向、個人の権利利益保護と事業者負担とのバランスを踏まえ、その導入の必要性を含めて検討する必要がある。
課徴金制度を導入する必要があると考えられる場合には、次のような論点を整理する必要がある。
・ 課徴金賦課の対象となる違法行為類型（現行法の指導・勧告・命令のみでは違反行為により得た利得が事業者の元に残ることとなり、事業者による個人の権利利益の侵害を効果的に抑止できないことを前提に、個人データの違法な第三者提供等の違反行為によって不当な利得を得ている場合や、個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払を免れた場合等について検討することが必要である。）
・ 課徴金の算定方法（例えば、個人データを販売することを通じて違法に第三者に提供した場合については、販売による売上という不当な利益が生じている点に着目することが考えられる。他方、悪質な安全管理措置義務違反の場合には、本来なすべき支払を免れた結果として、事業活動から得られる利益が増加している点に着目することが考えられる。）
・ 課徴金の 低額の設定、一定の要件を満たした場合の課徴金の加減算等
イ 勧告・命令の在り方
勧告・命令に関しては、個人情報取扱事業者等による法に違反する個人情報等の取扱いにより個人の権利利益の侵害が差し迫っている場合に直ちに中止命令を出すことの必要性や、法に違反する個人情報等の取扱いを行う個人情報取扱事業者等のみならず、これに関与する第三者に対しても行政上の措置をとることの必要性、法に違反する個人情報等の取扱いの中止のほかに個人の権利利益の保護に向けた措置を求めることの必要性の有無や手続保障など、その法制上の課題等について検討すべきである。
(2)刑事罰の在り方
個人情報が不正に取り扱われた悪質事案の類型が様々であることを踏まえ、法の直罰規定がこれらの事案を過不足なく対象としているかを検証し、その処罰範囲について検討するとともに、法定刑の適切性についても検討する必要がある。
さらに、個人情報の詐取等の不正取得が多数発生している状況を踏まえ、こうした行為を直罰規定の対象に含めるべきかについても検討する必要がある。
（3)漏えい等報告・本人通知の在り方
ア 漏えい等報告
漏えい等報告及び本人通知に関し、漏えい等報告の件数は、令和４年度（2022 年度）から漏えい等報告が義務化されたこと等により、令和元年度（2019年度）以降全体として増加傾向にある一方で、関係団体等からはこれらの義務が事業者の過度な負担になっているという意見が示されている。
そこで、こうした意見も踏まえつつ、委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである。
この点、①上記のように、委員会がこれまでに受けた漏えい等報告を件数ベースでみると、漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件が大半を占めているが、このようなケースは、当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わらないものの、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が比較的小さい。また、②漏えい等又はそのおそれを認識した場合における適切な対処（漏えい等が生じたか否かの確認、本人通知、原因究明など）を行うための体制・手順が整備されていると考えられる事業者については、一定程度自主的な取組に委ねることも考えられる。そこで、例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除し、さらに①のようなケースについては確報について一定期間ごとの取りまとめ報告を許容することも考えられる。
また、関係団体からは、いわゆる「おそれ」要件についての要望も示されている。「おそれ」については、個人の権利利益を害する可能性等を勘案してより合理的と考えられる場合に報告や本人通知を求めることが適当であるとも考えられるが、その具体的な当てはめについては、現実の事例に応じて精査する必要がある。事業者の協力も得ながら、実態を明らかにした上で検討を行い、必要となる要件の明確化を行うことが必要である。
イ 違法な第三者提供
現行法においては、事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は存在しないが、個人データが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する必要がある。
３ データ利活用に向けた取組に対する支援等の在り方
(1)本人同意を要しないデータ利活用等の在り方
昨今のデジタル化の急速な進展・高度化に伴い、生成AI等の新たな技術の普及等により、大量の個人情報を取り扱うビジネス・サービス等が生まれている。また、健康・医療等の公益性の高い分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが高まっている。このほか、契約の履行に伴う個人情報等の提供や、不正防止目的などでの利活用についてもニーズが寄せられている。
こうした状況を踏まえ、法で本人同意が求められる規定の在り方について、個人の権利利益の保護とデータ利活用とのバランスを考慮し、その整備を検討する必要がある。この場合においては、単に利活用の促進の観点から例外事由を認めるのは適当ではなく、本人の権利利益が適切に保護されることを担保することが必要である。
まず、生成AIなどの、社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が高いと考えられる技術やサービスについて、既存の例外規定では対応が困難と考えられるものがある。これらの技術やサービスについては、社会的なニーズの高まりや、公益性の程度を踏まえて、例外規定を設けるための検討が必要である。この際、「いかなる技術・サービスに高い公益性が認められるか」について、極めて多様な価値判断を踏まえた上で高度な意思決定が必要になる。個人の権利利益の保護とデータ利活用の双方の観点から多様な価値判断が想定されるものであり、関係府省庁も含めた検討や意思決定が必要と考えられる。
また、医療機関等における研究活動等に係る利活用のニーズについても、公益性の程度や本人の権利利益保護とのバランスを踏まえて、例外規定に係る規律の在り方について検討する必要がある。例えば、医療や研究開発の現場における公衆衛生例外規定の適用のように、例外規定はあるものの、適用の有無に関する判断にちゅうちょする例があるとの指摘がある。こうした点等については、事業者の実情等も踏まえつつ、関係府省庁の関与を得ながら、ガイドラインの記載等についてステークホルダーと透明性のある形で議論する場の設定に向けて検討する必要がある。
(2)民間における自主的な取組の促進
PIA・個人データの取扱いに関する責任者は、データガバナンス体制の構築において主要な要素となるものであり、その取組が促進されることが望ましい。他方、これらの義務化については、各主体における対応可能性や負担面などを踏まえ、慎重に検討を進める必要がある。
PIAについては、民間における自主的な取組という現状の枠組みを維持しつつ、その取組を一層促進させるための方策について、PIAの出発点となり得るデータマッピングを活用していくことを含め、検討を進める必要がある。
個人データの取扱いに関する責任者に関しては、現行の通則ガイドライン等で定める「組織体制の整備」を超えた措置の必要性について検討を進めるべきである。資格要件の要否、設置を求める対象事業者の範囲等によりその効果が変わってくると考えられるところ、各企業の現状も踏まえ、現実的な方向性を検討する必要がある。
[1] 個人関連情報とは、「Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履 歴」や「メールアドレスに結び付いた、ある個人の年齢・性別・家族構成」等がこれに該当する。ただ し、これらの情報が個人情報に該当する場合には、個人関連情報には該当しない。
[2] なお、仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達 し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならないこととされている（法第 41 条第８項）。
適時の紹介はしていなかった、289回と290回...
- 289回（技術的専門性のある方）
- 佐藤一郎さん
- 高木浩光さん
- 290回（法的専門性のある方）
- 板倉陽一郎さん
- 鈴木正朝さん
です。みなさんのことは昔から存じていますが、その主張やその表現に人柄が現れているように感じます。
板倉先生のコメントはわかりやすく参考になると思います...
・[PDF] 第二次いわゆる３年ごと見直しへのコメント（ひかり総合法律事務所 板倉弁護士）
・[PDF] デジタル社会の個人情報保護法（新潟大学 鈴木教授）
・[PDF] 個人情報保護委員会「いわゆる３年ごと見直し」ヒアリング（国立情報学研究所 佐藤教授）
・[PDF] 個人情報保護法３年ごと見直し令和６年に対する意見（産業技術総合研究所 高木主任研究員）
3年ごとの見直し...
以前、このブログにも書いた私の考えですが...
個人情報保護委員会の事務局長とお話をした時に、私も結果的にグローバルスタンダードになっているGDPRとの整合（ブラッセル効果をなんでうけなあかんねん！なんですけどね...）と、もう一方の米国の規制については考慮すべきという話をしました。具体的には、以前にも書いていますが、、、
法令の見直しという点では、
- 悪徳事業者への罰金等の増額
- 拡大した個人情報の定義についてのGDPR等との整合性の確保のための整理
- 子供の個人情報保護のための規定の追加
- 各個別分野（医療、金融、通信、その他重要インフラ分野）等における課題の調整
というのが必要かと思っていて、
さらにガイドライン及びFAQにおいて
- 改訂部分の説明と事例の提示
- AIの利活用における考え方の整理と具体例の提示
- 公益性とプライバシー保護のグラデーションの整理と事例の提示
- 漏えい等の報告におけるルールのさらなる明確化と事例の追加（例えば、報告が不要な軽微な例）
そして、政策的には
- G7、G20各国等の主要国とのプライバシー保護に関する規制の調整に関するリーダーシップをとるための体制の整備
- 国内省庁との連携体制の強化（例：子ども家庭庁、国家安全保障委員会）のための体制の強化
- 国民への周知等（例：より幅広い層へのアクセス手段の拡大、教育現場への教育ツールの提供）の強化
というのが必要と思っています...
あと、加えて安全保障との関係の整理も別途必要となりそうですね...
医療情報、災害時と同様に一般的な利活用と保護のバランスではないので、別途検討が必要となるかもですね...
« 米国 国防総省がIT推進戦略 (FULCRUM) を発表 (2024.06.25) | Main | 経済産業省 「企業情報開示のあり方に関する懇談会 課題と今後の方向性（中間報告）」を取りまとめ (2024.06.25) »
Comments