個人情報保護法の検討状況
現行の個人情報保護法は、2020年に公布、2022年4月から施行されています（厳密にはその後も一部改正が諸々ありますが、本コラムの趣旨から外れるため省略します）。この法律では以下のように、いわゆる「3年ごと見直し」が定められています。
附 則 （平成二七年九月九日法律第六五号） 抄
第十二条三項
（前略）この法律の施行後三年を目途として、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとする。
(個人情報の保護に関する法律)
これに基づき、2023年11月15日、個人情報保護委員会が「個人情報保護法 いわゆる３年ごと見直し規定に基づく検討」という資料を公表しました。この資料によると、改正に向けた検討の方向性は以下の3点となります。
・個人の権利利益のより実質的な保護の在り方
・実効性のある監視・監督の在り方
・データ利活用に向けた取組に対する支援等の在り方
また、2024年春頃には改正に向けた「中間整理」を公表予定としていました。
しかし2024年5月現在、「中間整理」は依然公表されていません。ただし個人情報保護委員会ではもちろん検討を開始しており、個人情報保護委員会WEBサイトの「委員会開催状況」のページで、検討資料や委員会議事録なども随時公表されています。そこで今回はこれらの資料を基に、検討の状況についてまとめてみます。まだ具体的な方向性が確定しているわけではないので、「今後このような観点で改正されそうなんだな」という参考までにご覧ください。
個人情報保護法改正の論点検討状況
公表された議事によると、個人情報保護委員会の検討は、2023年11月末から開始されています。最初の3か月程度は、改正における論点を検討するための情報収集として、各種団体へのヒアリングが行われています（3か月程度で終了ではなく、その後も継続的にヒアリングは実施されています）。
ヒアリングの対象の団体は例えばJIPDEC、JEITA、JIAA、経団連、新経済連盟、日本商工会議所、消費者支援機構関西などで、規制強化or緩和の方向性に対する意向の偏りが出ないよう、様々な立ち位置の団体を意識的に対象としていることが伺えます。
個人情報保護法改正の個別論点検討
各種団体へのヒアリング結果も踏まえ、2024年3月からは個別論点の検討に入っています。
2024年5月段階で検討されているのは以下の内容です。
生体データの取扱いに係る規律の在り方
現行法では、「個人識別符号」の定義の一部に生体データが含まれていますが、生体データだからといって何か特別な規律があるわけではありません。ここに何らかの規律が必要か否かについて、特に顔認証機能付きカメラを巡る実態や、他国での生体データに関する法制度の状況などを基に議論がなされています。
議事録によると、他国に合わせて要配慮個人情報に含めるべきという意見、犯罪防止等のためには柔軟な取扱いを認めるべきといった意見などが出ています。
代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方
いわゆるプラットフォーマーなど、他のサービスでの代替が難しいサービスを提供している事業者について、現状の法規制や問題となった事例をもとに、個人情報保護法でも何らかの規律が必要か、検討が行われています。
議事録によると、利用目的の同意の形骸化が懸念されており、GDPRにおける同意撤回なども念頭に置いて、実効性のある同意取得の在り方を検討すべきという意見が出ています。
不適正取得・不適正利用に係る規律の在り方
破産者マップや名簿業者に関する事例などを念頭に、不適正取得・利用に関する新たな規律の必要性について、他国の法制度も参考として検討されています。
議事録によると、不適正取得・利用が発生しないよう実効的な監視・監督を行うべきとの意見や、事業者による（恐らく「不適正」であるかの基準の）予測可能性を高める必要があるとの意見が出ています。
個人関連情報の適正な取扱いに係る規律の在り方
個人関連情報については、前回の法改正で、第三者提供を行うことを前提に、提供先で個人データ化される（提供先が保有している個人データと紐づける）場合の規制が追加されました。ただし、個人関連情報そのものについての規律は特にありません。
これについても、問題となった事例、関連する他の法規制や他国の法制度などを念頭に、新たな規律の必要性が検討されています。
議事録によると、例えば特定の個人への連絡、接触が可能な個人関連情報などについては要保護性が高いのではないかといった観点で検討をすべきという意見が出ています。
刑事罰の在り方・課徴金制度の導入
この点については前回の改正時にも検討されており、結果として刑事罰の量刑が全体的に引き上げられていましたが、その後の問題事例等を踏まえ、さらなる罰則強化の必要性について検討されています。
議事録によると、前述した不適正取得・利用や、その他特殊詐欺やフィッシング等についての罰則を強化すべきとの意見、また課徴金を導入する場合は算定基準として不当に得た利得などの測定可能なもののみではなく、人権侵害等の測定不可能な被害も考慮した基準を設けるべきとの意見が出ています。
AIと個人情報保護
現時点では有識者へのヒアリング段階ですが、AIでの個人情報利用に関する規律の必要性について検討されています。
論点としては例えば、GDPRでも規律が存在するプロファイリング・自動決定の観点、行うべきでないAI利用行為の特定などが挙げられていますが、今後ヒアリング結果を基に議論を深めていくものと思われます。
医療情報の利活用促進と個人情報保護
こちらも現時点では有識者へのヒアリング段階ですが、特に利活用を推進する方向性でのヒアリングとなっています。
医療情報については、次世代医療基盤法の改正で「仮名加工医療情報」の概念が創設されるなど、個人情報保護法以外でも利活用を推進する流れが活発であり、それらの流れと矛盾が生じないような制度設計が検討されるものと思われます。
こどもの個人情報等に係る規律の在り方
現行の個人情報保護法ではこどもの個人情報の保護についての規定は明文化されていませんが、ガイドラインやQ&Aにて、「（個別判断を前提としつつ）一般的には12歳から15歳までの年齢以下の子どもについて、法定代理人等から同意を得る必要がある」とされています。
この点について、他国の法制度や社会的反響の大きい事例などを念頭に、年齢基準の明確化やあるべき規律について検討されています。
議事録によると、個人情報保護法への明文化を前提に、年齢に応じた適切な規律を設けるべきとの意見、こどもの情報を扱うにあたっては利用目的の具体化的な特定をより厳格に求めるべきとの意見、その他こどもの個人情報を取り扱うにあたっての事業者の責務規定を設けるべきとの意見などが出ています。また、年齢の基準については、現行のQ&Aの記載や他国の法制度等を踏まえ、一旦「16歳未満」とすることを議論の出発点とする方針のようです。
団体訴訟制度
現行の個人情報保護法では、例えば不適正な取得・利用が行われている場合に、個人情報の利用停止請求を本人が行うことはできますが、団体訴訟に関する規定はありません。
一方で、消費者契約法では適格消費者団体というものが定義されており、この団体が不法行為の差止請求を行うことができます。また適格消費者団体の中でも特に認定された特定適格消費者団体の場合は、「消費者裁判手続特例法」に基づき、訴訟による集団的な被害回復を求めることができます。このような団体訴訟の概念を個人情報保護法にも導入すべきではないかという検討が行われています。
オプトアウト届出事業者に係る規律の在り方
個人情報保護法では、第三者提供時の同意取得義務の例外としてオプトアウト制度が設けられていますが、過去に発生した大規模情報漏洩事案に悪質な名簿業者が関連していたことを受けて、過去2回の法改正により規制が強化されてきました。
しかしその後も問題のある名簿事業者が存在することや、特殊詐欺等に悪質な名簿業者が関わっていると考えられることから、さらなる規制強化が検討されています。
個人情報保護法の今後の動向
以上、2024年5月段階での見直しの状況を確認してきました。医療情報などの利活用促進に傾いた議論も一部ありますが、やはりというか、全体的には事業者にとって規制強化に繋がる論調のものが多いようです。
現段階では具体的な改正方針は決定していませんが、どんなことが検討されているのかレベルでも把握しておけば、いざ具体的な改正方針が公表されたときの対応検討もスムーズになります。可能な限り、最新情報をチェックしていきましょう。
当社では、個人情報保護法に限らず、個人情報利活用動向や海外法施行状況など、お客様のニーズに合わせた様々なご要望に対し、「個人情報保護コンサルティング」のサービスにてご支援しております。情報収集の方法が分からない場合や、情報収集に割く工数が確保できない場合など、ご支援が必要な場合は是非弊社にご相談下さい。
