📊 事実
個人情報保護法改正案の内容と国際比較
- 個人情報保護法は3年ごとに見直すことが定められており、個人情報保護委員会は2023年（令和5年）から改正に向けた検討を継続しているソース3。
- 改正案は、AI開発や統計情報作成を目的とする場合に限り、本人の同意なしに個人データを第三者に提供できる特例を盛り込んでいるソース2 ソース9。
- この特例により、要配慮個人情報（病歴、思想信条、宗教、社会的身分、犯罪歴など）も本人の同意なしに提供可能となるソース2 ソース3。現行法では、事業者が個人データを第三者に提供する際に本人の同意取得が義務づけられているソース9。
- 改正案には違反企業に対する課徴金制度が導入されるが、その対象は大幅に限定されているソース2。
- 団体訴訟制度が改正案から完全に削除されたため、個人情報を不正に使用された人が訴訟を起こすのが困難になるソース2。
- EUの一般データ保護規則（GDPR）では、重大な違反に対し最大で全世界の売り上げの4%または2千万ユーロの制裁金が科される一方、日本の改正案の制裁はそれに比べて弱いソース2。
情報漏えい・不適正利用の実態と対策
- 令和4年度の漏えい等報告件数は7,685件で、前年の5,846件から増加したソース10。行政機関等における漏えい等報告件数は114件であったソース10。
- 漏えい等した個人データに係る本人の数が1,000人以下の事案が全体の96.0%、1人の事案が全体の84.0%を占めているソース1。
- 個人情報取扱事業者等における漏えい等の原因は、誤交付が2,485件（58.9%）、誤送付が801件（19%）であり、約7割は人為的ミスによるもので、約3割が不正アクセスによるものであるソース6 ソース10。
- 中小企業において、個人情報保護法上の『漏えい等報告の義務』を知らなかった事業者の割合は約80%に達するソース8。
- 平成30年（2018年）6月28日、個人情報保護委員会事務局はウェブサイト運営事業者に対し、不正アクセスによる情報漏えいのリスクを認識し、適切なセキュリティ対策を講じるよう注意喚起を行った（令和元年7月12日最終改訂）ソース4。
- ウェブサイト運営事業者は、委託元として委託先の監督義務があり、委託先にセキュリティ監査の実施及び報告を求め、契約書に記載されたセキュリティ対策の定期的な確認が求められるソース4。中小企業において、委託契約にセキュリティ対策が含まれていなかった事例が報告されているソース4。
- 令和2年改正法により不適正利用の禁止が新設された後も、個人情報取扱事業者が不適正に個人情報を利用した事案が報告されているソース10。
- 令和5年4月にオプトアウト届出事業者に対する注意喚起が行われた際、約3割の事業者が提供先の不適正利用を確認していないと回答したソース10。
- サイバー対処能力強化法に基づくインシデント報告の基準との整合性を確保する必要があるソース1。
専門家等の見解
- 京都大学の黒田知宏教授は、AI開発や統計情報作成目的での本人同意不要とする改正案の特例を「最悪の選択」と批判しているソース9。
- JEITA（電子情報技術産業協会）は、漏えい等の報告は個人データが漏えい等した可能性が高いと分かってから3日から5日以内に行うべきと提案したソース8。また、医療や金融分野でのPIA（プライバシー影響評価）の努力義務規定化を望んでいるソース8。JIPDECは、PIAの法制化をEUのGDPRを参考に検討しているソース6。
💡 分析・洞察
- 改正案における同意なしデータ提供の特例拡大、特に要配慮個人情報までを対象とする規制緩和は、国民のプライバシー権に対する信頼性を著しく損なう。これは、個人の思想信条や病歴といった機微な情報が悪用されるリスクを飛躍的に高め、結果として国民の安全と治安維持基盤に間接的な脅威を与えうる。
- 法改正案はAI開発促進を意図する一方で、不十分な制裁規定と団体訴訟制度の削除は、企業におけるデータ利用の無責任体制を助長する。この制度設計は国際的なデータ保護基準（GDPRなど）との乖離を深刻化させ、日本の企業が国際市場でデータを取り扱う際の信頼性の喪失と競争力低下を招く。
⚠️ 課題・リスク
- 改正案による本人同意不要のデータ提供特例は、要配慮個人情報が不適切に利用・漏えいした場合、個人の尊厳を深く侵害し、詐欺や恐喝など新たな形態の犯罪を誘発する具体的なリスクを抱える。団体訴訟制度の撤廃は、被害者が法的な救済を求める障壁を著しく高め、国民が泣き寝入りを強いられる状況を生み出し、法制度への国民不信を増幅させる。
- 中小企業における個人情報保護法、特に漏えい等報告義務の認知度不足（約80%が知らない）と、委託先に対するセキュリティ監督義務の履行不足（委託契約にセキュリティ対策が含まれていない事例）は、情報漏えい事故が多発する既存の脆弱性を一層深刻化させる。これに加えて、国際基準と比較して厳格性に欠ける課徴金制度は、データ漏えいを未然に防ぐための企業への抑止力として機能せず、結果的に国民が情報漏えいの実害と回復コストという形で負担を強いられるリスクが高まる。
主な情報源: 個人情報保護委員会 / 朝日新聞
コメント