「個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理」とは？
個人情報保護法は2003年に制定されました。技術の進展や海外情勢の変化などの時代の趨勢に合わせて改正が行われ、特に2015年の改正は「大改正」と呼ばれています。
2015年の大改正で、３年ごとに見直しが行われることになり、この見直しを元に2020年にはさらなる改正が行われました。
今回の2024年６月27日に個人情報保護委員会が公表した「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」は、2023年秋から行われた見直しの議論を踏まえた現時点の委員会の考え方まとめたものです。パブリック・コメントも行われ、2024年9月にその結果も公表されています。
7月からは、中間整理を踏まえて改正に向けてより一層の意見集約作業が必要な論点に絞って深い議論が進められており、年内にとりまとめが行われる予定です。
2020年の改正以降も個人情報保護法に関わる重大事件が複数起こりました。
大手学習塾の講師が通っている児童の盗撮したり児童の個人情報をSNSに投稿した事件。
官報で公表されている破産者の情報をマッピングし、Web上で公開して問題となった破産者マップの類似サイトが公開された「新破産者マップ事件」など。
これらの問題も俎上に挙げ、より実態に即した改正が行われるよう議論が進められています。
また、今回の中間整理でも、長らく議論には挙がっていながらも導入されて「課徴金」について議論がなされています。
いよいよ課徴金が導入されるのではないかと話題を集めています。
「中間整理」における注目の内容
今回の「中間整理」で公表された内容で、特に注目するべき点についてピックアップして解説します。
1.
個人の権利利益のより実質的な保護の在り方
（1） 要保護性の高い個人情報の取扱いについて（生体データ）
ここでは「顔識別機能付きカメラシステム」に関する事例等を踏まえて生体データの取扱いについて議論がなされています。
昨今の技術とAIの進化により、顔を識別するカメラが広く活用されるようになりました。しかし、カメラによって得られる顔特徴データ等は、長期にわたって特定の個人を追跡できるなど通常の個人情報と比較して個人の権利利益に与える影響が大きく、特別の制限や規制が必要ではないかとの議論がされています
諸外国では生体データは、日本でいう要配慮個人情報に相当する「センシティブデータ」とされています。
とはいえ、生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することができるなど有用な面もあります。
これらを踏まえ、特に要保護性が高いと考えられる生体データについて、実効性ある規律を設けることを検討する必要があるとされています。
「不適正な利用の禁止」「適正な取得」の規律の明確化
不適正な利用の禁止や適正な取得の規定に関して、適用される範囲等の具体化・類型化を図る必要があるとされています。
例えば、2019年、官報に掲載されている破産手続開始決定を受けた者の情報を包括的・網羅的に収集し、Googleマップ上にマッピングすることで、破産手続開始決定を受けた者の住所をWeb上に公開した破産者マップ事件がありましたが、その後も類似サイトが出現しました。
こういった事例を踏まえて、具体化・類型化を検討しようとしています。
（2） 第三者提供規制の在り方（オプトアウト等）
個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされています（法第 27 条第１項本文）。
他方で、一定の要件を満たしていれば本人の同意を取らなくても第三者に提供できるといういわゆるオプトアウト制度もあります。
しかし、運用が甘かったり、規定が未整備な部分もあり、犯罪グループが名簿を手に入れるような事態の温床になっている可能性が指摘されています。
これらの状況を改善するために、オプトアウトの運用や第三者提供に関する規制についての議論がなされています。
（3） こどもの個人情報等に関する規律の在り方
こどもには自分で適切な判断をして同意できるのかという問題があります。一方でこどもの教育・学習データの有用性も注目されています。そこで、同意の取り方等の規律の在り方をこどもの権利利益の保護という観点から検討を深めるべきではないかとの議論が進められています。
例えば現在は、「本人の同意」を求められている場面で、本人がこどもの場合には、親権者等から同意を得る必要があると、ガイドラインで記載されている程度で、こどもの個人情報ということに着目した規律はありません。そこで今後は、本人同意について、法定代理人の同意を取得すべきことを法令の規定上明確化するといったことが議論されています。
大手学習塾の講師が生徒を盗撮していた事件では、大手学習塾は大量の児童の個人データを扱っているにもかかわらず、管理がずさんだったことが明らかになりました。こどもの個人情報はより強く保護されるべきだとの問題意識が共有されています。
（4） 個人の権利救済手段の在り方
適格消費者団体のような団体による差止請求制度や被害回復制度が検討されています。
個人情報の漏えい等があっても、ひとりでは対抗するにも限界があります。労力も掛かるし、賠償金も少額で、結果、何もしないという事態に陥りやすい実態があります。
そこで、個人情報の違法な取り扱いを抑止し、被害回復の実効性を高める観点から、適格団体による請求という枠組みが議論されています。
２.
実効性のある監視・監督の在り方
（1） 課徴金、勧告・命令等の行政上の監視・監督手段の在り方
課徴金制度
課徴金制度については以前から議論はなされていましたが、導入されてはいませんでした。今回の改正でいよいよ導入されるのではないかと注目を集めています。
諸外国では課徴金制度はすでに導入されており、日本だけ制度がない状況。データの流通は国境を超えますから、グローバルなデータ流通を促進する観点からも必要性の検討がされています。
また、現在、さまざまなものがデジタル化されていますが、情報漏えい等への不安の声も強くあります。
安心してデジタル化を進めていくために、個人情報保護法のエンフォースメントを高めることは重要で、その施策のひとつとして課徴金制度が挙げられています。
「中間整理」を受けて企業はどのような対応が必要か
今回の議論が具体的に次回の改正に盛り込まれた場合、企業の社内体制のより一層の整備などが求められることになるでしょう。
今回の「中間整理」の内容を社内で検討したうえで、今後の改正に備えて自社内で準備を進めていくと良いでしょう。
特に注目なのが課徴金制度です。
今回の議論を元に、次回の改正で課徴金制度が導入される可能性があります。
現在でも、安全管理措置はとっていても、規程を整備しただけ、責任者を形式上置いているだけ、といった企業もあるのではないでしょうか。
これらの形骸化した安全管理措置では今後大きな問題となるかもしれません。より実態に即した体制構築が求められるでしょう。
個人情報保護法について、自社内でどのような対応を講じる必要があるのかわからない企業のご担当者も多いかもしれません。
問題が発生する前に、まずは個人情報保護法に詳しい弁護士に一度相談されることをおすすめします。
