トピックス

2019.12.21
NEWS

個人情報保護法の改正の方向性(3年ごと見直しの制度改正大綱) ~第3回「短期保存データの保有個人データ化・開示請求のデジタル化・利用停止請求権等の要件の緩和」~

令和元年(2019年)12月13日、個人情報保護委員会は、「個人情報保護法 いわゆる3年ごと見直し 制度改正大綱」(以下「制度改正大綱」という。)を公表し、パブリックコメントとして意見募集を開始した(意見締切:2020年1月14日)[1]。制度改正大綱に基づく内容について、令和2年(2020年)通常国会に個人情報の保護に関する法律(以下「個人情報保護法」という。)の改正法案が提出される予定である。本稿では、制度改正大綱のうち、民間事業者に影響を与える内容を中心に分かりやすく解説する。第3回は、「短期保存データの保有個人データ化・開示請求のデジタル化・利用停止請求権等の要件の緩和」について解説する。

(制度改正大綱)
個人情報保護法 いわゆる3年ごと見直し 制度改正大綱
(全体取りまとめ版)
Q&A個人情報保護法改正の方向性(制度改正大綱を読み解く)
(ニュースレター形式)
個人情報保護法の改正の方向性(3年ごと見直しの制度改正大綱) ~第1回「端末識別子等の取扱い」~
 個人情報保護法改正の方向性(第2回:仮名化情報)
個人情報保護法改正の方向性(第3回:開示請求・利用停止請求等)
個人情報保護法の改正の方向性(3年ごと見直しの制度改正大綱) ~第4回「漏えい等報告及び本人通知の義務化」~
個人情報保護法改正の方向性(第5回:適正な利用義務の明確化)
個人情報保護法改正の方向性(第6回:オプトアウト制度の強化)
個人情報保護法改正の方向性(第7回:ペナルティの強化・課徴金制度の導入見送り)
個人情報保護法改正の方向性(第8回:公益目的による個人情報の取扱いに係る例外規定の運用の明確化)
個人情報保護法改正の方向性(第9回:域外適用と越境データ移転に関する改正の方向性)
(その他)
個人情報保護法ニュースNo.1:リクナビ事件と個人情報保護法の改正
個人情報保護法ニュースNo.2:個人情報保護法改正の方向性(第1回:端末識別子等の取扱い)
 (関連ニュースレター)
Q&A『デジタル・プラットフォーム事業者と個人情報等を提供する消費者との取引における優越的地位の濫用に関する独占禁止法上の考え方』


執筆者:渡邉雅之
* 本ニュースレターに関するご相談などがありましたら、下記にご連絡ください。
弁護士法人三宅法律事務所
弁護士渡邉雅之
TEL 03-5288-1021
FAX 03-5288-1025
Email m-watanabe@miyake.gr.jp
 
【改正の方向性】
  • 6月以内に消去することとなる個人データの保有個人データ化
本人の開示等の請求対象となる「保有個人データ」について、保存期間により限定しないこととされ、現在除外されている6か月以内に消去する短期保存データも「保有個人データ」に含められることになる。
  • 保有個人データの開示請求のデジタル化
本人が、電磁的記録の提供を含め、開示方法を指示できるようにされ、請求を受けた個人情報取扱事業者は、原則として、本人が指示した方法により開示するよう義務付けられる。ただし、当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法による開示を認めることとし、その旨を本人に対し通知することが義務付けられる。
  • 利用停止、消去、第三者提供の停止の請求に係る要件の緩和
個人の権利利益の侵害がある場合を念頭に、保有個人データの利用停止・消去の請求、第三者提供の停止の請求に係る要件が緩和され、個人の権利の範囲を広げられる。ただし、事業者の負担軽減等の観点から、利用停止・消去又は第三者提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わる措置を取る場合は、請求に応じないことを例外的に許容する。
 
第1.6月以内に消去することとなる個人データの保有個人データ化(制度改正大綱「第3章 個別検討事項」「第1節 個人データに関する個人の権利の在り方」・「5 開示等の対象となる保有個人データの範囲の拡大」)(10頁~11頁)

出所:個人情報保護委員会「個人情報保護をめぐる国内外の動向」(令和元年11月25日)
 
1 現行個人情報保護法
 現行法上、開示等の対象となる保有個人データについては、1年以内の政令で定める期間以内に消去することとなるものが除外されており(個人情報保護法2条7項)、政令で定める期間については、同法施行令5条の規定により「6月」とされている。
すなわち、現行法上、6月以内に消去することとなる個人データは、「保有個人データ」の定義から除かれており、個人情報取扱事業者は、開示や利用停止等の請求に応ずる義務がない。
立法当時このように定められた背景は、短期間で消去される個人データについては、データベースに蓄積されて取り扱われる時間が限られており、個人の権利利益を侵害する危険性が低く、また、本人の請求を受けて開示等が行われるまでに消去される可能性も高いことから、個人情報取扱事業者に請求に対応するコストを負担させることの不利益が、本人に開示等を請求する権利を認めることの利益を上回るものと考えられたためである。
 
2 情報化社会の進展による状況の変化
 しかしながら、情報化社会の進展により、短期間で消去される個人データであっても、その間に漏えい等が発生し、瞬時に拡散する危険が現実のものとなっている。このように、短期間で消去される個人データについても、個人の権利利益を侵害する危険性が低いとは限らない。
また、既に消去されていれば、請求に応じる必要もないことから、個人情報取扱事業者に請求に対応するコストを負担させることの不利益が、本人に開示等を請求する権利を認めることの利益を上回るとはいえないものと考えられる。
なお、現在でも、プライバシーマークにおいて審査基準の根拠とされている「JIS Q 15001 個人情報保護マネジメントシステム-要求事項」においては、6か月以内に消去する個人情報も含め、開示等の求めに原則応じることとされており、事業者において自主的に個人情報保護法の水準を超えた対応が行われている。
 
JIS Q 15001における関係規定の概要
(付属書A:A.3.4.4.1、付属書B:B.3.4.4.1 )
・保有個人データには該当しない場合でも、本人からの開示等(※)の求めに応じることができる権限を有する個人情報については、保有個人データと同様に取り扱う。
・上記本人からの開示等の求めに応じることができる権限を有する個人情報には、政令で定める期間(6カ月)以内に消去する個人データが含まれる。
※利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三
者への提供の停止の請求など
 
3 改正の方向性
 そこで、本人の開示等の請求対象となる保有個人データについて、保存期間により限定しないこととし、現在除外されている6か月以内に消去する短期保存データを保有個人データに含めることとされる。
 
第2.保有個人データの開示請求のデジタル化(9頁~10頁)
1 現行法 
保有個人データの開示請求(個人情報保護法28条関連)については、平成27年5月30日施行の改正法により、本人による開示の請求が、裁判所に訴えを提起することができる請求権であることが明確化された。
 しかし、相談ダイヤルへの相談の状況等を見ると、一部事業者の対応について消費者からの不満が見られる状況にあり、また、開示請求に応じなくてもよい場合を法定する例外規定の拡大解釈とも受けとれる不適切な対応事例が見られた。こうした実態を踏まえ、委員会では、開示請求権に係る法の考え方を明確化するため、「個人情報の保護に関する法律についてのガイドライン(通則編)」について、平成30年12月25日改正が行われた。また、この改正内容を踏まえ、Q&Aの関係部分も改正を行われた。
 具体的には、開示請求の例外として認められる個人情報保護法28条2項2号の「個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」について、個人情報取扱事業者の業務の実施に関し、単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的な場合に限定され、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しないことを明確化した。また、併せて、個人情報保護法第32条第2項の「個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる」との規定は、本人に対し、開示を請求する保有個人データの範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもないことが明確化された。
 
〇個人情報保護法
(開示)
第二十八条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
3 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。
4 他の法令の規定により、本人に対し第二項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。
 
(開示等の請求等に応じる手続)
第三十二条 個人情報取扱事業者は、第二十七条第二項の規定による求め又は第二十八条第一項、第二十九条第一項若しくは第三十条第一項若しくは第三項の規定による請求(以下この条及び第五十三条第一項において「開示等の請求等」という。)に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
2 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
3 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
4 個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
 
 
〇個人情報の保護に関する法律についてのガイドライン(通則編)(平成30年12月25日改正・下線部)
3-5-2 保有個人データの開示(法第28条関係)
 
法第28条
(略)
 
政令第9条
(略)
 
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示(存在しないときにはその旨を知らせることを含む。)の請求を受けたときは、本人に対し、書面の交付による方法(開示の請求を行った者が同意した方法があるときはその方法(※1))により、遅滞なく、当該保有個人データを開示しなければならない(※2)。
ただし、開示することにより次の⑴から⑶までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知(※3)しなければならない。
⑴ 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
(略)
⑵ 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
保有個人データを本人に開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。なお、「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しない。
 
〇「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A (平成30年12月15日の改正・下線部)
(保有個人データの開示)
Q6-5 「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
A6-5 同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第32条第2項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定してもらいた場合には、本人が特定した範囲で開示をすれば足ります。
ただし、法第32条第2項後段により、個人情報取扱事業者は、本人が容易かつ的確に開示の請求をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければなりません。
なお、法第32条第2項前段は、本人に対し、開示を請求する保有個人データの範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもありません。ただし、個人情報取扱事業者は、本人からの保有個人データの開示の請求を受けて、保有個人データを開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合には、法第28条第2項第2号に該当し、当該保有個人データの全部又は一部を開示しないことができます。
 
2 改正の背景
(1) 開示請求のデジタル化の必要性
  開示の提供形式について、現行個人情報保護法では、「書面の交付による方法」を原則としつつ、「開示の請求を行った者が同意した方法があるときは、当該方法」とされている(同法施行令9条)。
開示請求の対象となる保有個人データについては、情報技術の進展により、膨大な情報を含む場合があるところ、当該保有個人データを印字した書面を交付された本人にとっては、検索も困難であり、その内容を十分に認識することができないおそれがある。
特に、当該保有個人データが音声や動画である場合は、その内容を書面上に再現すること自体が困難である。このように、書面による開示では、当該保有個人データの取扱状況を十分に明らかにすることができず、これを前提に訂正等並びに利用停止等及び第三者提供の停止の請求を行うことが困難なケースがある。また、開示された個人データを本人が利用する場面で、電磁的形式である方が利便性が高い場合も少なくない。
(2) GDPRのデータポータビリティの権利
EUのGDPRにおいても、事業者は、本人の求めに応じて、保有する個人データを提供する義務が課せられているが、特定の条件を満たす場合には、本人が他の用途で利用しやすい電子的形式で、本人又は本人が望む他の事業者に、個人情報を提供する義務が課されており「データポータビリティの権利」と称されている(GDPR第20条)。なお、本人が望む他の事業者に直接個人情報を提供させることができるのは、技術的に実行可能な場合に限定されている。
(3) デジタル手続法の成立
 2019年通常国会で「民間手続における情報通信技術の活用の促進等を謳った情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るための行政手続等における情報通信の技術の利用に関する法律等の一部を改正する法律」(いわゆる「デジタル手続法」)が成立したこと等を踏まえ、個人情報保護法における開示の際の電磁的形式による提供についても、利用者の利便を考慮しつつ、明確化をすべきであると考えられる。
 
3 改正の方向性
保有個人データの開示請求で得た保有個人データの利用等における本人の利便性向上の観点から、本人が、電磁的記録の提供を含め、開示方法を指示できるようにし、請求を受けた個人情報取扱事業者は、原則として、本人が指示した方法により開示するよう義務付けることとされる。
ただし、当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法による開示を認めることとされ、その旨
を本人に対し通知することを義務付けることとされる。
 
 
第3 利用停止、消去、第三者提供の停止の請求に係る要件の緩和
1 利用停止等を巡る状況
個人情報保護法上、利用停止等(利用の停止又は消去)についての個人の権利行使には一定の制約が課されている。
利用停止・消去の請求」に応じる義務を課されているのは、①個人情報を目的外利用したとき(同法16条違反)や、②不正の手段により取得した場合(同法17条違反)に限られている(同法30条1項)。
第三者提供の停止の請求」に応じる義務が課されるのは、「法の規定に違反して第三者提供されている場合」(同法23条1項、24条1項違反)に限られている(同法30条3項)。
この点については、個人情報保護委員会への相談ダイヤルに寄せられる意見や、タウンミーティングにおける議論でも、消費者からは、自分の個人情報を事業者が利用停止又は消去等を行わないことへの強い不満が見られるところである。
2 JIS Q 15001個人情報保護マネジメントシステム-要求事項
日本において比較的多くの事業者が活用している民間の取組であるプライバシーマークにおいて審査基準の根拠とされている「JIS Q 15001個人情報保護マネジメントシステム-要求事項」においては、本人の保有個人データの利用停止、消去又は第三者提供の停止の請求を受けた場合は、原則として応じる義務があることとされており、自主的に個人情報保護法の水準を超えた対応が行われている。
〇個人情報保護法30条
(利用停止等)
第三十条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているとき又は第十七条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去(以下この条において「利用停止等」という。)を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
3 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十三条第一項又は第二十四条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
4 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
 
〇JIS Q 15001個人情報保護マネジメントシステム-要求事項
A.3.4.4.7 保有個人データの利用又は提供の拒否権
組織が,本人から当該本人が識別される保有個人データの利用の停止,消去又は第三者への提供の停止(以下,この項において“利用停止等”という。)の請求を受けた場合は,これに応じなければならない。また,措置を講じた後は,遅滞なくその旨を本人に通知しなければならない。ただし,A.3.4.4.5 のただし書きa)~c) のいずれかに該当する場合は,利用停止等を行う必要はないが,そのときは,本人に遅滞なくその旨を通知するとともに,理由を説明しなければならない。
〇A.3.4.4.5 のただし書きa)~c)
a) 本人又は第三者の生命,身体,財産その他の権利利益を害するおそれがある場合
b) 当該組織の業務の適正な実施に著しい支障を及ぼすおそれがある場合
c) 法令に違反する場合
 
3 GDPRにおける消去権(忘れられる権利)・プロファイリングに係る権利
EUのGDPR(EU一般データ保護規則)については、旧来の「EUデータ保護指令」の下では規定のなかった、消去権(忘れられる権利)、プロファイリングに係る規定が新たに設けられており、概要は次のとおりである。
消去権(忘れられる権利)については、本人は、一定の場合に、事業者に対して、当該本人に関する個人データを不当に遅滞なく消去させる権利が認められている(GDPR17条)。もっとも、表現の自由及び情報伝達の自由の権利の行使に取扱いが必要な場合等、適用の例外も規定されている。
【事業者が消去の義務を負う場合の例】(GDPR17条1項)
  • 個人データの収集や取扱いの目的に関して、当該個人データが必要なくなった場合
  • 本人が個人データの取扱いについての同意を撤回し、かつ、当該取扱いに関して他の法的根拠がない場合
  • 本人が、第21 条第1項に基づいて個人データの取扱いに対して異議を申し立て、かつ、取扱いに関して優先する他の法的根拠がない場合、又は、ダイレクトマーケティングを目的とした取扱いに対して異議を申し立てる場合
  • 個人データが不法に取り扱われた場合
  • 個人データがEU 法又はEU 加盟国の国内法の義務の遵守のために消去されなければならない場合
【適用されない場合の例】(GDPR17条3項)
  • 表現の自由及び情報の自由の権利の行使に取扱いが必要な場合
  • 事業者が従うEU 法又はEU 加盟国の国内法の義務の遵守のために取扱いが必要な場合、又は公共の利益等のために取扱いが必要な場合
  • 公共の利益の目的、科学的若しくは歴史的研究目的又は統計目的の達成のために取扱いが必要な場合
 
また、プロファイリングについては、大きく分けて、異議を申し立てる権利(GDPR21条)と、自動的な意思決定に服さない権利(GDPR22条)が規定されている。
異議を申し立てる権利は、「公共の利益又は公的権限の行使のために行われる業務の遂行」又は「正当な利益の追求」を法的根拠とする、プロファイリングそのものを含む個人データの取扱いに対して、異議を申し立てる権利(GDPR第21条第1項)であり、この権利を行使された事業者は、本人の利益を超越する、個人データの取扱いに係る正当化根拠等を示せない限り、プロファイリングそのものを含む個人データの取扱いを止めなければならないとされている。
なお、「正当な利益の追求」によらず、「本人同意」を法的根拠としたとしても、同意を撤回されれば削除権の対象となる(GDPR第17条第1項(b))。なお、ダイレクトマーケティングを目的とする個人データの取扱いに関しては、事業者の事情(取扱いに係る正当な根拠の有無)にかかわらず、この権利の行使の対象となる(GDPR第21条第2項)。
また、自動的な意思決定に服さない権利(GDPR第22条)については、プロファイリングを含むもっぱら(solely)自動的な個人データの取扱いに基づく意思決定に服さない権利とされ、プロファイリングそのものではなく、意思決定に服さない権利が規定されている。なお、本人との契約の締結又は履行に必要な場合等は対象外であり、また、人が介在すればこの権利の対象とはならないとされている。
 
4 中間整理における意見
 「個人情報保護法いわゆる3年ごと見直しに係る検討の中間整理[2](以下「中間整理」という。)の意見募集では、多岐にわたる意見が寄せられた。利用停止や消去の義務化を求める意見や、利用停止等に関して個人の権利の範囲を広げる方向について検討することは十分に可能でないかとの意見があった。一方で、経済界からは、「現行制度の下での自主的対応で十分である」、「EUのGDPRも参考にしつつ、保護と利活用のバランスを考慮した範囲にするなど慎重に検討すべき」、「請求権行使の例外規定を設ける必要がある」、「利用停止と消去・削除については切り分けて検討すべき」、「諸外国の実態を踏まえるべき」等様々な意見のほか、利用停止等に関して個人の権利の範囲を広げる方向性や、個人が自らの個人情報にコントロールを有することについて、支持する意見もあった。
 
5 改正の方向性
中間整理の意見を踏まえ、事業者の負担も考慮しつつ保有個人データに関する本人の関与を強化する観点から、個人の権利利益の侵害がある場合を念頭に、保有個人データの利用停止・消去の請求、第三者提供の停止の請求に係る要件を緩和し、個人の権利の範囲を広げることとされる予定である。
 
【現行法】
利用停止・消去の請求」(同法30条1項)
  • 個人情報を目的外利用した場合(同法16条違反)
  • 不正の手段により取得した場合(同法17条違反)
第三者提供の停止の請求」(同法30条3項)
  • 「法の規定に違反して第三者提供されている場合」(同法23条1項、24条1項違反)
 
【改正法】
「利用停止・消去の請求」「第三者提供の停止の請求」
➡「個人の権利利益の侵害がある場合」(未定)
以 上

[1]https://search.e-gov.go.jp/servlet/Public?CLASSNAME=PCMMSTDETAIL&id=240000058&Mode=0
[2]https://www.ppc.go.jp/news/press/2019/20190425/