平成27年3月10日
衆議院予算委員会第一分科会第1号
○高井分科員 維新の党の高井崇志でございます。
（略）
○高井分科員 明確な御答弁ありがとうございます。今後もぜひ一つ一つ明確にしていけたらありがたいと思っております。
それでは、少し話がかわりますが、実は今回、個人データを外国にいる第三者に提供することの制限というのが新たに加わっております。この十二月十九日の資料でも、そのページが、これは十七ページなのかな、ちょっと資料として出していないので申しわけないのですが、ここの中で、実は、二つの要件が書かれております。
一つがアというところで、我が国と同等の水準にあると認められる個人情報保護の制度を有している国として個人情報保護委員会が定める国であることという要件と、もう一つは、第三者が個人情報保護委員会規則で定める基準に適合する体制を整備していること、この二つが書いてあるんです。
実は、国境を越えてデータが行き来するというのは、今、グローバル化の時代ですから、当たり前になっています。しかし、新興国が多いんですが、例えば、中国、インド、ブラジル、あるいはアフリカ諸国、こういったところは、自国の製品であるとか、あるいはデータセンターを自国に設置させようということで、ある意味、非常に保護主義的な流れになっている。
そういった流れに対して、我が国はやはり、ＴＰＰを初め自由貿易というのを推進していく、このＩＴでもそういう立場をとるべきだと思うんですが、最初に申し上げたアの前段の、我が国と同等の個人情報保護の制度を有している国をあえて指定するというのは、こういった流れに、つまり自由化の流れに反し、保護主義的な国だと日本がとられかねないのではないかと思うんですが、いかがでしょうか。
○向井政府参考人 先生の御指摘は、今回の法改正の中にあります、外国の第三者への個人データ提供に対する制限のことだというふうに思います。
今御指摘のありました二つの要件、提供先の第三者が我が国の個人情報保護法に基づくものと同様の措置を講ずる体制を整備しているというのと、それからもう一つの、提供先の事業者が所在する外国の個人情報保護制度が我が国と同等の水準にあると認められる場合、これらは選択的でございまして、どちらかであればよいということでございます。
さらにもう一つ、外国にある第三者への提供を認める旨の本人の同意を得ている場合でも構わない。それは、三つのどれかに当てはまればいいというところでございますので、この部分につきましては、重畳的に課しているということではないことを御理解いただきたいと思います。
○高井分科員 それは理解しているんですが、実は、要するに、我が国と同等の個人情報保護制度を有している国というのがわざわざ要るかという指摘でございます。
これはなくても、つまり、委員会規則で定める基準に適合する体制を整備しておれば十分であって、むしろ、どこの国を指定されるのかわかりません、ＥＵで同じような制度があるというのは承知して、ただ、ＥＵも数カ国しか指定されていないと聞いておるんですけれども、ある国を指定したときに、では、その国にあったら、どんな個人情報保護の体制が整っているかどうかも問わず、もう全てオーケーになってしまうというのは、それはそれで逆に問題ではないかというふうに思います。
さらには、先ほど言いましたように、日本という国は、国ごとにそういった指定をして、この国ならいい、この国なら悪いというような選別をする国だ、そういうふうに諸外国から受け取られかねないという疑義があると思っておりますが、そのあたりは御検討されましたでしょうか。
○向井政府参考人 お答えいたします。
今先生御指摘になりましたように、ＥＵでほぼ同様の規定がございます。
もちろん、今回の外国の第三者へのデータ提供の規制につきましては、一つは、やはり、むやみやたらに個人情報が漏れるような国には出したくないというのが一つ。もう一方は、やはりＥＵと同等の個人情報保護レベルでないとＥＵから認定されないという問題がございますので、それを意識していることも事実でございます。
○高井分科員 実は、私も、ＥＵに詳しいというか、ある外資系企業さんから、ＥＵのこともよく知っている、あるいはＥＵに所属している方から、いや、この法律だと、日本は世界で一番厳しくなるんじゃないの、ＥＵより厳しくなるんじゃないのという御指摘もいただいておりまして、ちょっとここはこれ以上お聞きしませんけれども、今までなかったのが突然入ってきた規定でございまして、この法律はいろいろなＩＴ事業者と意見交換しながらつくってきたと思うんですけれども、この部分についてはほとんど議論なく入っているので、今度はぜひもう少し掘り下げていきたいと思っております。
ちょっと一点、確認ですが、それでは、後段の方の、委員会規則で定める基準に適合する体制を整備という項目がございます。これは、では具体的にどんな事例を想定しているのかということで、通告させていただきましたけれども、ＡＰＥＣで、プライバシーフレームワークという、クロスボーダープライバシールールという国際ルールがございます。こういったものに準拠していれば、これでこの体制は整備されているという理解でよろしいでしょうか。
○向井政府参考人 お答えいたします。
基本的には、我が国の個人情報保護法に基づくものと同様の措置ということでございますが、御指摘の、ＡＰＥＣのプライバシーフレームワークを遵守していることが確認された場合などは、当然該当するものと考えております。
○高井分科員 それでは、もう一つ確認したいんですが、これはちょっと通告していないんですけれども、先ほどの十二月十九日の骨子の米印に、現行の各企業の適切な移転手続が合法であることを明確化するためだと書いています。これからすると、現行の各企業が適切な契約を行っているものは、これもオーケーだという理解でよろしいでしょうか。
○向井政府参考人 御指摘のとおりでございます。
○高井分科員 ありがとうございます。
（略）
平成27年3月25日
衆議院内閣委員会第2号
○濱村委員 公明党の濱村進でございます。
本日は、所信についての質問ということでございますが、個人情報保護法改正について質問をさせていただきたいというふうに思います。
まず、改正するに当たって非常に大事なポイントとして、立法事実を確認していきたいというふうに思うわけでございますが、そもそも今の我が国における個人情報保護法制がどのようになっているのか、こういった大きなところをしっかり現状認識として確認した上で、どのように改正しようとしているのか、その点についてお伺いしたいと思います。
そもそも、きょう、余り時間がございませんので、本当に基本的なところについて伺いたいというふうに思っております。
今、現状について、日本は、欧米の諸国から比較すると非常におくれているというふうな認識もあるわけでございます。どういうことかというと、例えば、第三者機関、プライバシーコミッショナーというようなものが存在しなかったり、あるいは、個人データの第三国移転については、それについての規定をしているものがなかったり、必ずしも法整備が万全であるという状況にはないというのが現状であるというふうに思うわけでございます。
一方で、ＥＵあるいはアメリカと比較をしまして、どういった位置づけであるのか、今の現状認識としてどのような状況なのかということをしっかりと確認した上で、どう改正されるのか、この点をまずお伺いしたいんです。
日本は今、ＥＵのレベルと比較すると、例えば、ＥＵは、外国にデータを移転するときには非常に、ＥＵではない国については第三国と言われますけれども、そういった国に対してデータを移転するときには、その国がそれなりの保護法制があるかどうかというのを確認する。この確認についてクリアすれば、ＥＵの十分性が得られるということになるわけでございますけれども、日本は今現状ではそのＥＵの十分性を得られていない、得られるレベルにないというふうに認識しているわけでございます。
今、政府といたしまして、この個人情報保護法制についてどのように認識されているのか、現状をお聞かせください。
○山口国務大臣 今御指摘いただきましたように、現行の個人情報保護法、これが制定されてからもう十年余が経過をいたしました。当初この法案の策定にも実は若干私もかかわっておりまして、当時、フランスのプライバシー保護法等々、いろいろなものを参考にしてやっていったわけであります。その後、大幅な法改正は行われておりませんが、この間、この個人情報を取り巻く諸課題が生じてきたというふうに認識をしております。
とりわけ、情報通信技術の進展に伴いまして、制定当時には想定をされなかった方法でパーソナルデータが社会に流通をする時代が到来した。このようなパーソナルデータの取り扱いについては、消費者側はプライバシー保護の観点から慎重な取り扱いを求めておられる一方、事業者側というのは、どのような措置をとれば適正な取り扱いになるかわからないということで、利活用にちゅうちょする。まさに、個人情報の定義とその適正な取り扱いにつきまして、グレーゾーンが発生をいたしております。
また、企業活動がグローバル化をして、国境を越えて多くのデータが流通をする社会が到来しておりまして、今御指摘をいただきましたように、我が国はＥＵから実は十分性認定を得ておらないというふうなことで、我が国の企業の活動にも支障が発生をいたしております。これにつきましては先生も御案内と思うんですが、例えば独立した第三者機関が存在をしないとか、お話がありました越境データ、この問題についての規制がない等々があるわけでございます。
さらに、実は欧米においても、二〇一二年以降、環境変化に対応した制度の見直しの検討が行われております。これは、ＥＵは、ＥＵデータ保護規制案の制定に向けた動きもありますし、米国におきましては、プライバシー権利章典、これの法制化に向けた動きも実はございます。
こうした状況を踏まえまして、我が国においても、これらの課題に適切に対応して、個人情報及びプライバシーの保護を図りながらパーソナルデータの円滑な利活用を促進させていく、そして、新産業、新サービスの創出を実現していくための環境整備を行う、これを目的として、今回の個人情報保護法の改正を行うというふうなことでございます。
○濱村委員 今大臣からもあったとおりでありますけれども、まず保護をしっかりした上で利活用、情報の利活用でございますけれども、それを新産業あるいは新サービスにおいて活性化していくということであるというふうに理解いたしました。
ＥＵあるいは米国におきましても法改正の動きもあるというわけでございますけれども、日本が実はＥＵのレベルになかなか追いついていないというところ、先ほど大臣からもございました、第三者機関がない、あるいは越境データの規定がない、あと、ほかにも、機微情報についてなかなか、個人情報というものの定義の中に機微情報というものが定義されておらなかったり、あるいは、五千件以下の個人情報を扱う事業者については免除規定があるといったようなものがございました。こうした内容があるので、なかなかＥＵの十分性の認証は得られないというのが現状認識である、今の日本の現状であるということは、まず確認ができたというふうに思います。
実は、一方で、私自身も情報サービス産業におりましたもので、いかにデータを利活用していくのかというのは非常に大事なポイントで、これからどんどん利活用について促進をしていかなければ、世界的な経済競争についていけないというか、おくれをとってしまうというのもあるわけでございます。
ですから、しっかりとまず保護についての環境整備を行った上で、その上でしっかりと利活用をしていくということが大事なわけでございますけれども、今現状ではもう既にそのような悠長なことは言っていられないというところもあって、同時進行で行っていかなければいけないというのもまた事実であろうかというふうに思うわけでございます。
（略）
○高井委員 維新の党の高井崇志でございます。
（略）
それでは、もう時間がございませんので、きょう平副大臣にも来ていただいていますので、海外との関係、個人情報の海外移転についてお聞きしたいと思います。
先日、予算委員会分科会で向井政府参考人から、ＥＵと同等の個人情報保護レベルでないとＥＵから認定されないという問題があり、それを意識しているという御発言がありました。しかし、必ずしも法律で同等レベルじゃなくても、例えばＥＵとアメリカではセーフハーバー協定というのを結んで、それによって海外移転できるようになっています。
諸外国の最も厳しい水準に合わせてしまうと、こういったグローバル化が難しくなると思います。何でもそういった諸外国に合わせるということではなくて、これはやはり各国との交渉だと思いますので、しっかり各国と交渉していただくことが大事だと思いますが、現時点でＥＵとの交渉がどのような状況になっており、また、今後どのような方針で交渉を進める御予定か、お伺いします。
○平副大臣 今御質問のありましたＥＵとの交渉の状況でございますが、ＥＵとの関係においては、これまでの十分性の認定がございますが、その申請は行っておりません。今回の法改正を行うに当たり、ＥＵ内の関係部局と十分性の認定に関する情報交換を今行っている最中でございます。
今後どのような方針で臨むのかということでございますが、ＥＵからの十分性認証取得に係る取り組みを始めるに当たっては、まず、今国会に提出をさせていただいている個人情報保護法の改正法案の成立が不可欠でありますので、その作業に全力で取り組んでまいりたいと思います。
何でもＥＵ基準とは思いませんが、一方で、しっかりと情報も流通をさせなければいけない、両方両立をさせていきたいと思っております。
（略）
平成27年4月23日
衆議院本会議第19号
平成27年5月8日
衆議院内閣委員会第4号
○平井委員 おはようございます。自由民主党の平井たくやでございます。
きょうは、貴重な質問の時間をいただきまして、ありがとうございます。私も長くこの内閣委員会におりましたが、今は委員ではございません。しかし、御指名をいただきまして、ありがとうございます。
（略）
○平井委員 ぜひバランスのとれた運用ができるように御配慮いただきたいと思います。
次に、外国にある第三者への提供、第二十四条関係について平副大臣にお聞きしたいと思います。
情報通信技術の進展を受けて、海外のデータセンターに個人情報を含むさまざまなデータを保管し、グローバルな事業活動に活用するといったことは、今ではもう全く当たり前となっています。このような時代の変化を受けて、海外との個人情報のやりとりに関するルールを整備することは必要だと思うし、実際に今回の改正で、外国にある第三者への個人情報の提供の制限規定が盛り込まれていますが、そもそも、現行法第二十三条は、既に個人データの第三者提供を規制しています。
今般、新たに第二十四条の「外国にある第三者への提供の制限」を設け、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国を個人情報保護委員会が認定し、その認定を受けた国の第三者への個人情報の提供について、外国への提供に係る本人の同意を要さず、オプトアウトによる第三者提供等を可能にすることは、ＥＵのようなデータ保護主義になるため、削除すべきという意見もあると聞いています。
今回、新たに第二十四条を設ける趣旨は何か。また、海外への個人情報の提供を原則として禁止するものではないかとの懸念も出ていると承知しているが、この規定によって、外国にある第三者への個人情報の提供や委託処理は、原則として一体どうなるのか、できるのかできなくなるのか、お答えいただきたいと思います。
○平副大臣 お答え申し上げます。
平井委員御指摘のとおり、個人情報の第三者提供に関する現行法第二十三条は、国内外を問わず適用されております。現行法制定当時は、国内の第三者への提供を想定した規定となっていたところでございます。
一方で、法制定時と比べ、我が国の企業活動のグローバル化や情報通信技術の普及に伴い、個人情報の海外とのやりとりが増加をしていることを踏まえ、今回の法改正において、外国の第三者に対して個人情報を提供する場合のルールを整備することとしたものでございます。
具体的には、外国の第三者に対して国内と同様に個人データを提供することが可能となる場合として、御指摘の、提供先の第三者が所在をする外国の個人情報保護制度が我が国と同等の水準にあると認められる場合のほか、それに加えて、提供先の第三者が我が国の個人情報保護法に基づくものと同様の措置を講ずる体制を整備している場合、さらに、外国の第三者への提供を認める旨の本人の同意を得ている場合の三つのケースを想定しております。
これらの規定はいずれも選択可能となっておりますので、御指摘のような外国の第三者への提供等を禁止する規定を新たに設けるものではなく、現在の企業等において適切に行われている個人情報の取り扱いを追認し、明確にするものでございます。
○平井委員 こういう問題もやはり事業者の懸念ということですから、委員会を通じてそういう懸念を払拭できたらというふうに考えています。
（略）
平成27年5月13日
衆議院内閣委員会第5号
平成27年5月15日
衆議院内閣委員会第6号
○大西（健）委員 民主党の大西健介でございます。
（略）
それでは、次の質問に行きたいと思います。
先ほどの近藤委員の配付資料を見ていると、これもちょっとかぶっているのかなというふうに思いますが、ＥＵから第三国への個人情報の移転については、ＥＵは、同程度の個人情報保護に関する法制度や保護措置が整備されている国に対しては移転が可能というふうにされている。これが十分性認定というふうに言われているそうでありますが、この点、残念なことですけれども、我が国は、個人情報の保護に関する法整備が不十分として、ＥＵからは現状では十分性の認定を受けることができていない。このため、例えば、現地の従業員の氏名等の個人情報でさえ、本社で管理するには、個人情報保護に係る契約を別途締結しなければ本国に転送すらできないというような支障が現状あるというようなことを民間の企業の方々から伺っております。
今回、この法改正が行われれば、ＥＵから十分性認定を受けることができる、環境が整うという理解でよろしいのか否かについて、御答弁をいただきたいと思います。
○山口国務大臣 お話しのとおりで、今回の法改正、これはもう当然、御指摘があったＥＵの十分性取得が可能になるようにということも念頭に置きながら制度設計をしたというふうなことでございまして、特に、これまでに公にされておる資料から推測をしておるわけでありますが、ＥＵとしては、独立をした第三者機関の整備、あるいは機微情報に関する規定の整備、小規模取扱事業者に対しての法の適用、越境データ移転についての制限、開示請求権の明確化、ここら辺を我が国の制度がＥＵから見て不十分というふうにされておるわけでありまして、これらは今回の法改正において全て必要な対応を行っておるわけでございます。
そういったことも踏まえながら、ただ、ＥＵの十分性取得につきましては、明確に取得条件が示されておるのではないんですね。近藤委員も御指摘でありましたが、結構、恣意的とは言いませんが、どうしてこの国とはだめなんですかみたいなところも若干ございます。
法案成立後、引き続いてＥＵの担当部局とも積極的に情報交換をして、せっかく念頭に置きながら進めてきたわけでありますから、しっかり成果を上げていきたいと思います。
○大西（健）委員 これは企業、業界の中にも非常に高い関心がありますので、ぜひそうしていただきたいと思います。
逆に、本法律案の第二十四条、外国にある第三者への個人情報の提供について定められていますけれども、ここには、我が国と同等の水準にあると認められている個人情報保護に関する制度を有している外国というのが定められている。
具体的にはどういう国を想定しているのか。例えば、反対に、我が国と密接な経済関係があるアメリカであったりＥＵというのは、我が国と同等水準と認められる個人情報保護に関する制度を有している外国に当たるのかどうなのか。この部分について御答弁をいただきたいと思います。
○山口国務大臣 今回の法案におけます、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国につきましては、これは個人情報保護委員会規則で定めるというふうなことにしておりまして、具体的には、委員会設立の後に、対象国の個人情報保護法制とか、あるいは監督体制等を勘案して、当該国の個人情報の保護に関する制度が我が国と同等水準にあるかどうか、これを総合的に判断して定めるというふうなことになろうかと思います。
ですから、今、一義的には、アメリカはどうだとは申し上げられませんが、先生の御推測のような方向でいくと思います。
○大西（健）委員 先ほどお話をしたように、ＥＵの十分性認定を今回の法改正によって受けることになるようにしたいというのもそうですし、逆に言えば、当然のことながら、密接な経済関係があるアメリカやＥＵとの間では、こういう情報のやりとりということについてもスムーズにいくような形にしていただきたいというふうに思います。
少し細かいですけれども、ここで言う、外国にある第三者ということについて確認したいと思います。例えば、日本の企業が外国に置いている駐在事務所とか現地法人等、これは第三者ということになるのか、それとも、言い方は悪いですけれども、身内になるのか。この辺はいかがなんでしょうか。
○向井政府参考人 お答えいたします。
第三者でございますので、いわゆる法人格が別の関連会社とか子会社、外国にあるそういうものにつきましては第三者に当たります。一方で、日本の法人格を持ったままという、いわゆる外国支店のようなものにつきましては第三者に当たらないと考えております。
○大西（健）委員 今の御答弁だと、第三者性というのは法人格をもって判断するというお答えだったというふうに思いますが、こういう細かいところを含めて、まだまだ今回の法改正でどうなるんだろうというのを、民間の企業実務を行っておられる方々というのは非常に注目をされているということでありますので、そういう細かいところについても、またわかりやすく、ぜひ情報提供していただきたいというふうに思っています。
（略）
平成27年5月20日
衆議院内閣委員会第7号
○緒方委員 民主党、緒方林太郎でございます。
（略）
今回の法案の結果として、大きな目的の一つとして、諸外国とのデータのやりとりができるようになるということが目的の一つに挙がっていると思います。特にＥＵデータ保護指令とかデータ保護規則とかの関係で、十分性の認定ということがございます。
これまで、日本はまだ十分性の認定を受けていない。まだ不十分だ。だから、諸外国とやりとりをするときにまだ十分なことが行えないということであります。
今回、これだけ大きな法律をこれだけの審議時間やって、内閣府の方々もいろいろな方から意見を聞いて法案に落とし込んで、業者の方から話を聞いて、内閣法制局に行って不愉快な指摘を受けて、いろいろなそういうことはあるんだと思いますけれども、これからさらに、法案ができた後に、また各業者さんとも話をして、この制度がうまく回るようにしていく、これだけの多くの多くの人間の汗と涙の結晶のようなものができ上がってきているわけであります。
この結果として十分性の認定がとれないということになってしまうと、こんなばからしい話はないわけでありまして、これは、今回の法案が通って、そしてこれが施行されている以上は、諸外国、典型的なのがＥＵの十分性認定だと思いますけれども、こういったものがきちんと確保できるように頑張ってきていただきたいというのが思いです。逆に、これがとれないということになると、それは国会で、山口大臣、何やっているんですかという話になると思います。
やはり、今回の法律の結果として、諸外国とのデータのやりとりがうまくいくように、施行された後の諸外国との協議、しっかりやってくるんだというその決意を述べていただければと思います、大臣。
○山口国務大臣 しっかりやるのは当たり前で、決意以外に若干申し上げたいんですが、これは当然、十分性取得を念頭に置いた法改正であるということはお話しのとおりでございます。
その中で、やはり独立した第三者機関というのは結構大きかったんですね。これは今回設置をする。機微情報、これもあります。あるいは、小規模取扱事業者に対しての問題があります。あるいは越境データの移転に関する制限、あるいは開示請求権の明確化、これらが大体不十分とされておる点として、大体公にされておる資料から判断をしておったわけですが、これは十分に必要な対応を行ったというふうなことであります。
しかし、明確に取得条件が、ＥＵとして、いわゆる十分性取得に関して示されておりませんので、当然、もう御案内のとおりで、成立後、政令とか委員会規則等を速やかに定めると同時に、しっかりと、その内容を含めて、ＥＵの担当部局と積極的に情報交換を行っていくことも必要であろう。
いずれにしても、この十分性の認定取得に向けた取り組み、しっかりとやっていきたいと思います。
○緒方委員 この件、本当に、ここまでやっている以上は怠りなく、必ずとってくるということでお願いをいたしたいと思います。
（略）
平成27年5月26日
参議院内閣委員会第9号
○相原久美子君 民主党の相原久美子でございます。今日はよろしくお願いいたします。
質問の大半が個人情報保護に関わるものですから、先にマイナンバー法、ちょっとこの法案名も長いのでマイナンバー法と略させていただきますけれども、マイナンバー法の改正についてお伺いしたいと思います。
（略）
○相原久美子君 個人情報の範囲というのは、国際的なやっぱり基準と一致することが必要なんだろうと思うのですけれども、五月八日の衆議院の内閣委員会で、政府は、今お話しになりましたように、携帯番号については、現時点において、単体で一概に個人情報となる個人識別符号に該当するとは言えないというような答弁がございまして、クレジットカード番号、メールアドレスについても、現時点では一概に個人識別符号に該当するとは言えないという答弁でしたね。さらに、携帯番号の通信端末ＩＤは個人識別符号に該当しないということにしているようですけれども、マスコミ報道などを見ますと、ＥＵも米国も端末識別情報を保護対象とする方向を打ち出しているというような報道ですとか、ＥＵでは端末ＩＤについて個人を識別し得る場合は保護対象であると、このような報道がなされていました。
また、三月十七日には日ＥＵ規制協力に関する共同文書が取りまとめられていましたけれども、この中で個人情報の保護にも触れていられました。仮に個人情報の定義や範囲が日本とＥＵで違いがある場合、ＥＵから十分性の認識を受けることに支障はないのでしょうか。
○政府参考人（向井治紀君） お答えいたします。
ＥＵにおきましては、一九九五年に定めましたＥＵデータ保護指令、この指令というのはＥＵ各国にこれに基づいて法律を作るようなものを要請するというものでございまして、この指令そのものが法規範を持つものではございません。それに基づきますと、個人データの取扱いに関する助言を行う機関として二十九条作業部会、これは各国にそういう立法を助言する機関でございます。その同機関の個人データの範囲においての意見書によれば、携帯電話番号と端末ＩＤはいずれもＥＵデータ保護指令が定める個人データに該当するとされております。
一方で、現在さらにＥＵではこの保護指令を法律化する、強制的に法律化するような動きもございまして、その中にも入ってございますが、これは結構難航しておりまして、ここ二、三年議論がなされていると。
アメリカも、御指摘のとおり、そういう草案は出ておりますけれども、まだ議会での議論にも入っていないという状態になってございます。
これらの状況をよく見ていく必要が今後あるんだろうなということは十分認識をしておりますが、他方、ＥＵの十分性の取得に関しましては、これまで公表されている資料等から推測されるＥＵが日本が不十分としている点につきましては、独立した第三者機関がないということ、それから機微情報に関する規定がないということ、それから小規模取扱事業者について例外扱いをしているということ、それから越境データ移転についての制限がないということ、それから管理請求権の明確化がされていないということ、このおおむね五つが挙げられているというふうに考えておりまして、これらの点につきましては今般の法改正において必要な対応を取っているところでございます。
○相原久美子君 ＥＵからの十分性は今回の改正で一定程度クリアできるということのようですけれども、一方では、ＥＵでの議論も、それからアメリカでの議論も端末ＩＤ等々についての議論は進んでいるようですから、日本も遅れることなく対応をしていっていただければなと思います。
（略）
平成27年5月28日
参議院内閣委員会第10号
○若松謙維君 公明党の若松謙維です。
（略）
○若松謙維君 なるほど、ちょっと分かってきました。
じゃ、これ大変な、また走りながらいろいろな課題が出てきますから、その際またいろいろと問題を指摘したいと思います。
そうすると、次に諸外国への通知ということで、これ七十八条なんですけれども、まず、ＥＵからは特に我が国の個人情報の保護の水準が十分なものではないと、こういうふうに言われているわけでありますが、そのためＥＵから我が国へ個人情報の移転が困難になっていると、いわゆる日本に情報を与えると大変だという、そういう、何というんですか、危機感があると思います。
その上で、衆議院の附帯決議においても、我が国の個人情報の保護水準が国際的に十分なものであることを諸外国に積極的に周知するように努めることとされていますけれども、本法案におきまして、いわゆるＥＵの十分性認定の取得に向けてどのような改善、対応を行っているか、お答え願います。
○国務大臣（山口俊一君） 今回の法改正に当たりましては、今御指摘のＥＵの十分性取得、これが可能になるような制度設計を念頭に行ったわけでありまして、特に独立した第三者機関、これが今までなかったわけでありますが、この整備。それから、機微情報に関する規定の整備。これも、これまでの個人情報保護法にはなかったわけです。さらには、小規模取扱事業者に対しての法の適用。これも、これまでは五千以下のやつは除外というふうなことにしておったわけです。さらには、越境データの移転についての制限とか開示請求権の明確化。
我が国の制度がＥＵから見て不十分とされておりました点につきまして、これまでに公にされておる資料、これから推測をされるものについては今般の改正によって必要な対応を行ったというふうなことでありますが、しかし、ＥＵの十分性取得につきましては、これは明確な取得条件が示されておるものではありませんので、これは、法案成立後、政令とか委員会規則を速やかに定めるとともに、引き続いてその内容も含めてＥＵ側の担当部局と積極的に情報交換を行っていくというふうなことが必要であろうと思います。
ちなみに、これまで十分性認定とされた国、ざっと見ておりますと、十二の国と地域ではありますが、例えばスイス、カナダとかアルゼンチンが入っておるんですね、それからイスラエル、それからウルグアイとかニュージーランド、米国も入っています。
この顔ぶれを見ますと、やはりこれはＥＵ側の担当部局としっかりと情報交換といいますか話合いをしていく必要があるんだろうと思っておりますので、いずれにしても、政府としてもＥＵからの十分性認定取得に向けた取組をしっかりと進めていきたいと思います。
○若松謙維君 今、ＥＵから特に強い要請があったということで、先ほどスイスとかイスラエルという国もあるんですけど、このＥＵ以外に特に日本に具体的にちゃんとこういう、認定性ですか、のための条件整備してくれとか、そういうことを要求された国というのはどんなところがありますか。
○政府参考人（向井治紀君） ＥＵが要求するというよりは、ＥＵが十分性認定をしないがために、日本のＥＵに所在する企業がむしろ、ＥＵに所在する例えば子会社から親会社に情報を持ってくるときに苦労をしているというのが実態でございます。
したがいまして、ＥＵに何か言われたというより、むしろこちらからＥＵに働きかけてそういうふうなことのないように、例えば十分性の認定を取るとかというのを働きかけていく必要があるのではないかと思っております。
○若松謙維君 そうすると、例えば日本の子会社がＥＵにありますと、今のお話にありましたが。反対に、アメリカですか、どっちかというと、先進国ですね、かなりの、もう何万社という企業があると思います。それと、その子会社と日本の親会社の関係。あわせて、アジアもありますね。アジアも、これも何万社、十万を超えると思います。また環境が違うと思います。
その点におけるこの十分性認定というのか、具体的にどういう課題が今あるんですか。
○政府参考人（向井治紀君） ＥＵはそういうＥＵの域外との情報のやり取りについて規制を特に強く設けている国でございますので、どうしてもＥＵだけがそういう障害があると。アメリカの場合はそういう規制はございませんので、特にアメリカとか、通常のアジアはそういうふうな問題はございませんので、そこにそのＥＵの十分性の認定が問題になってくると。
諸外国でも、そのＥＵの十分性の認定を取ろうとした国も幾つかあるようでございます。まあ、国同士の交渉ですので詳細は承知しておりませんけれども、なかなか難航しているような国も多いというふうに聞いております。
○若松謙維君 今の米国、特に利活用ですか、あそこはどちらかというとそういうのが非常に強い文化ですので、今言ったようなお話だと思うんですが、アジアはどうですか。
○政府参考人（向井治紀君） お答えいたします。
アジアで特にそのような個人情報の保護の国外への提供について強い規制をしている国があるとは聞いておりません。
○若松謙維君 ということは、この諸外国への周知、極めてＥＵ対策が大変重要な課題だということを認識いたしました。
（略）
平成27年6月2日
内閣委員会、財政金融委員会連合審査会第1号
○大久保勉君 民主党の大久保勉です。
（略）
○大久保勉君 関連して、例えばネット検索等に関して、例えばグーグル検索とかありますが、この契約を見ましたら、利用規約があります。利用するときには全て利用規約にのっとります。その法律というのは日本法ではなくてカリフォルニア州法、裁判所もカリフォルニアです。こういった状況で、例えばグーグルが把握した個人情報はどうやって守られるかということに関して質問したいと思います。さらには、携帯電話でしたらアンドロイド、そこで位置情報も全部チェックされています。これに関して日本法が及ぶかということです。
このことに関してはさきの代表質問で、ネット検索やＳＮＳ等の海外事業者に対し、日本の個人から取得した個人情報の利用目的の特定とか安全管理措置を義務付けるという山口大臣の答弁がありました。つまり、しっかりと守るように義務付けていますと。これは七十五条に規定されております。ところが、実際にそうかということで質問したいと思います。
外国において当該個人情報又は当該個人情報も用いて作成した匿名加工情報を取り扱う場合についても、法律では適用するということになっていますが、実際に強制力はあるかということです、罰則はあるかということです。実際に罰則をしようとしましても、いわゆる法体系は日本法ではないと。そこに対して質問したいと思います。
○国務大臣（山口俊一君） ただいまの御質問、御指摘は域外適用に関するものであろうと思いますが、これは、外国事業者であっても、日本の居住者に対して販売やサービスを提供して、それに伴って個人情報を取得をした場合には、個人情報を取得した後に課される義務規定全般、これを適用するというふうなことにしておるわけでございます。
この規定はもう御案内のとおりで、近年の企業活動とか物流のグローバル化に伴います日本と海外との電子商取引の増加等々に鑑みまして、日本の居住者の権利利益の保護、これを図る観点から、外国事業者に対しても日本として適切な個人情報の取扱いを求める必要性があるというふうなことで設けたものでございますが、この規定によりまして、日本法の適用を受ける外国事業者が義務に違反をした場合、これは個人情報保護委員会が指導、助言、あるいは勧告を行えるというふうなことにしておりますが、もうこれ委員も御案内のとおりで、立入検査とか命令等の強制的な権限の行使、これは外国の主権侵害の問題も生じるというふうなことからできません。したがって、罰則の適用もないというふうなことでありますが、ただ、指導とか勧告で改善が図られずに更なる強制力を行使をする必要性、これが生じた場合には、今回の改正によって、外国の執行当局に情報提供を行いまして執行の協力を求める旨の措置をしておるというふうなことでございまして、これによって何とか実効性を担保していきたいというふうに考えておるところでございます。
○大久保勉君 整理しますと、立入検査とか命令はできないと、でも指導、助言はできるんじゃないかということなんですが、指導とか助言をするためには、その企業がどういった個人情報を持っているのか、それを調査、把握する必要がありますね。個人情報保護委員会でそういったことができる組織になっているのか、人材がいるのか。
例えば、グーグルという会社が個人情報をどのようにして収集し、自分たちの個人情報をどういう形で使っているのか、これはほかのＳＮＳでもしかりです。こういったことを知るためには相当の人材若しくは予算が必要ですね。こういったことに関してはちゃんと新しくつくる個人情報保護委員会にそういった人材を外部登用するということは考えているんですか。予算措置もするんですか。質問します。
○国務大臣（山口俊一君） ただいま御指摘いただきましたように、指導、助言等できるわけでありますが、勧告まではできるわけでありますが、今回、法案で新設をされますこの個人情報保護委員会、これは個人情報取扱事業者に対する報告徴収、立入検査、指導、助言、勧告及び命令の権限が付与されておるわけでありまして、ですから、国内のネット検索とかＳＮＳ、電子商取引等の事業者におけるウエブ閲覧履歴とか購買履歴等を含む個人情報の取扱い、これにつきましては、これらの権限に基づきまして調査、監督を行うことができるというふうなことでありますが、当然、そういう中で事前の段階での調査ということもあり得るわけですね、御指摘のどういうふうな格好で個人情報を取得をしておるのか等々に関して。ただ、そのためにも、御指摘いただきましたように、やはりこの個人情報保護委員会、これがしっかりとした機能を果たしていかなきゃいけない。
そのためにも、やはり人員、とりわけ予算に裏付けをされた人員を確保する必要があるというふうなことで、そのためにも今回、予算要求もさせていただくわけでありますが、委員とか、あるいはとりわけ恐らく事務局的なものが非常に大事になってくるのであろうと思っておりますが、これに関してはしっかりと予算を取って体制を充実強化させていくというふうなことに尽きるんだろうと思っております。
○大久保勉君 ＩＴの分野では、一番最初に議論しましたが、年金機構の話もありますが、法律とか制度だけでは不十分です。実際にＩＴが分かるような人若しくは教育をしていく、そういったことが必要ですから、実務的なことでしっかりと大臣のリーダーシップを発揮して、中身をつくっていく必要があるということを指摘したいと思います。
次の問題は、日本で日本人若しくは日本の企業相手で仕事をしていると、でも、インターネット空間でしたら相手企業が外国企業であって法律も外国というのがもう普通になっています。そこに対して、何とか日本の個人情報保護が有効な状況にする必要があると思うんです。
ですから、日本人と取引をするんでしたら利用規則も日本法を準拠法とすると、こういうことを各企業と、外国企業と粘り強く交渉していく必要があると思うんです。こういったことを是非、個人情報保護委員会で行うのか、若しくは別の部署で行うか、そういったことをやってほしいと思いますが、山口大臣の御所見を伺いたいと思います。
○国務大臣（山口俊一君） これは大変難しい問題でもございまして、実は私も大臣就任前に、検索ですね、検索エンジンが、もうヤフーが開発をやめたものですから、グーグルが圧倒的独占状態に入ったわけです。それによって得られる個人情報もあるでしょうし、そういった意味で独禁法上の問題はないのか等々もやってみたわけでありますが、注視をするということで公取委も終わっておるわけですけれども、やはりそういった点、しっかりと我々としても注視をしていく必要があるんだろうと思いますが。
ただいま御質問の各種サービスに関する利用規約等の準拠法、これでありますが、これ私人間の契約等の法律行為でありますので、米国法と定めるかどうかというふうな問題と、日本の個人情報保護法の規律が外国事業者にも及ぶかどうかというふうな域外適用の問題、これは準拠法をどうするかということに関しては別の話であろうと思っておりますが、この契約の準拠法につきましても、これは国際的にも当事者自治の観点から当事者間の合意に基づいてどの国の法律を準拠法にするか定めることができるというふうにされておりますので、日本の法律、これを基準法とするよう政府が事業者に働きかけるというのは非常に難しいであろうと思っております。
ただ一方、我が国の個人情報保護法に基づいて日本の居住者の法的権利を保護するというふうな観点につきましては、米国法を準拠法とする合意がなされておるかどうかにかかわらず、外国事業者に対して我が国の個人情報保護法を適用するということは今回の改正によって可能になるというふうに思っております。これによって個人情報保護委員会が外国事業者に対して適切な指導等を行って、必要に応じて外国の執行当局に協力を依頼をするというふうなことで、権利利益の保護を何とか守っていきたいというふうに考えておるところでございます。
○大久保勉君 結局は、立入検査とか命令とかが担保されていないということですよね。
例えばグーグルの規約を読みますと、本規約又は本サービスに起因する、関連するいかなる紛争に関してもアメリカ合衆国カリフォルニア州の法律が適用されると。で、アメリカ合衆国カリフォルニア州サンタクララ郡の裁判所で裁判を行うと。普通の日本の個人がアメリカに行って裁判することはまずできないですよね。ですから、その点もしっかり考えて、日本の個人の情報をどういう形で守っていくかという観点は、極めて大臣が決断すべき重い判断だと思うんです。
ここは、七十五条ということである程度は一歩踏み込んでいますが、更にもう一歩踏み込んで、日本人の個人情報は日本政府がしっかり守っていくと、こういう決意が欲しいと思います。もし何か決意があったら一言お願いします。
○国務大臣（山口俊一君） おっしゃるとおりなんですが、先ほど申し上げましたように、非常に難しい課題でございます。ただ、例えば中国がグーグルの検索エンジン、グーグルの検索を利用するに当たって、いろんな条件を付けて相当もめたと、あるいはＥＵも独特の考え方を持っておられるというふうなことで、民民間の話ではありますけれども、国として、政府として、個人情報をしっかり守るためにどういう方法があるか、今後しっかり検討して対応していきたいと思います。
○大久保勉君 今日は消費者庁に来てもらっております。法律的には十分に七十五条では守られないということです。でしたら、日本人個人個人が防衛しないといけないという観点から質問したいと思います。いわゆるＩＴリテラシーの問題です。
しっかりと自分たちで自分たちの個人情報は守っていくと、そのためには総務省であったり若しくは消費者庁の方でしっかりと一般の人に対して教育をすると、そういった政策が必要だと思いますが、まず消費者庁に質問しますが、具体的にどういったことをやろうとしているのか、若しくは今後どういうことが必要か、そのことに関して質問したいと思います。
○委員長（大島九州男君） 簡潔にお願いいたします。
○政府参考人（服部高明君） はい。
消費者のＩＴ活用能力、非常に重要であると私ども認識しております。このため、消費者教育におきまして情報とメディアを重点領域の一つとしまして、幼児期から高齢期までのライフステージごとの学習目標を示した消費者教育の体系マップ、これの活用を図っているところでございます。この一環としまして、消費者庁ホームページにおきまして消費者教育ポータルサイトを設置しまして、地方公共団体等が作成したリーフレットなどの資料を掲載し、個人情報管理を含め、メディアリテラシーについての啓発に努めているところでございます。
こうした取組を更に進めてまいりたいと思っております。
○大久保勉君 終わります。
（略）
平成27年6月2日
参議院内閣委員会第11号
○委員長（大島九州男君） ありがとうございました。
以上で参考人の方々からの意見の聴取は終了いたしました。
これより参考人に対する質疑を行います。
質疑のある方は順次御発言願います。
○若松謙維君 公明党の若松謙維です。
三人の先生方、本当に御苦労さまでございます。それぞれに質問をさせていただきます。
まず、山本参考人でございますが、今回、ＯＥＣＤガイドライン二〇一三年ですか、これを一つ反映したということで、今回のこの改正がＯＥＣＤガイドラインと整合性というんでしょうか、十分性というんですか、それをどのようにお考えなのかと、もう一つは、そもそも、このＯＥＣＤ二〇一三ですか、これが適正なものか、ちょっとその点についての御感想をお尋ねいたします。
○参考人（山本隆一君） ＯＥＣＤガイドラインの二〇一三というのは、前のＯＥＣＤのガイドラインに六項目か七項目か加わったということで、その中の最も多分大きなところが、プライバシーコミッショナーの存在というところが最も大きくて、これは私の私見ですけれども、例えば欧米でプライバシーを考えるときには、基本的には公的権力に対するプライバシーという概念が非常に強いんですね、彼らの思想の中には。したがって、行政機関が管轄する法律ではなかなかそれがうまく調整できないということで、プライバシーコミッショナーの存在というのは相当強く強調されているように思っています。
今回は第三者委員会ができましたので、そういう意味ではＯＥＣＤのガイドライン二〇一三にも一番大事なところでは合っているんだと思います。それ以外に、政府としてのプライバシーポリシーを作るとか、あるいはその実効性を担保するとかなんとかというところは今の個人情報保護法の改正案では一応含まれ得るというので、正確には、政令でありますとかあるいは個人情報保護委員会が実際には主導して作られる各種指針でありますとか、そこまで行かないとなかなか完全には難しいんだろうと思います。
十分性があるかどうかというのは、これはＥＵを相手にしてだと思いますけれども、何分相手側が判断することですので絶対大丈夫とは言えませんけれども、最も重要視されていたのがプライバシーコミッショナーの存在ですので、そういう意味では十分性を通過する可能性は大いにあるんだろうというふうに考えております。
○若松謙維君 通過する可能性があるということで、また引き続き御指導よろしくお願いいたします。
（略）
それでは、城田参考人にお尋ねいたします。
城田参考人はまさに利活用の恐らく専門家かと思うんですけれども、特に日本、いわゆる個人情報保護法もない、またさっきのグーグル等でかなりメガデータが本当にアメリカに行っているということで、それがもし日本に戻れば数千億円の産業にもなるとか、いろんな話がされますけれども、いずれにしても、今後この法律が施行されることによって、日本のデータが今度は集積というんでしょうか、海外に行ってきたものがまた戻る、また日本に行ったものがしっかり日本で集積される、そういった期待というのをどのようにお考えですか。
○参考人（城田真琴君） もちろん、今回の個人情報保護法の改正によりましてＥＵから見て十分性の認定が仮に受けられるとすれば、ＥＵ圏内の消費者のデータを日本にも持ってきて分析ができるというようなことになりますので、様々なビジネスチャンスというのは当然広がっていくんだろうなというような部分の期待はございます。
ただ、本当に十分性の認定が取れるかどうかという辺りは、まだまだ個人的には予断を許さない状況ではないのかなと考えておりまして、基本的に十分性の認定が取れるかどうかというのは、政府間の交渉というような話ではなくて、あくまでＥＵ側が日本の状況を見て、向こうが評価をして決定をするということで、その際に、やはり個人情報保護というのは人権問題だというような意識がＥＵの場合非常に高くなっておりますので、そういった人権に対しての意識がきちんと今回の法改正で守られているのかどうかというところが一つはポイントになるんだろうなというように思います。
あとは、今回の改正で本当に国内産業が成長していくかどうかという観点でいいますと、そもそも個人情報、パーソナルデータの活用云々というところをおいておいて、本当に活用できるような人材あるいは組織風土、企業風土が日本の企業にあるのかどうかという方がむしろ問題ではないかというように考えています。
我々、ビッグデータというものが非常に騒がれ出してから企業さんの方にアンケート調査なんかを行って感触を聞いているんですけれども、一向に、日本企業でビッグデータを活用しているという企業は一〇％程度で、この三年ぐらい変わっていないんですね。変わっていない理由というのは、ビッグデータを活用することによってどういうメリットがあるのか分からないというようなことがずっと同じ理由で一位になっていて、実は、個人情報保護の問題があるから我々はビッグデータに取り組まないんだというのは僅か数％にすぎないんですね。
ですから、個人情報の問題がネックになってそういったデータの活用が進まないというのは恐らく問題の本質ではないと。そもそも、データ分析をきちんと行える人材がいるのかどうか、データ分析をして、それによってどういうビジネスを行えばいいのかというようなことを考えられる人材がそもそも不足している、そういったところに根幹的な問題があるというように考えています。
○若松謙維君 今、人材というお話がありました。
（略）
○山下芳生君 日本共産党の山下です。
（略）
○山下芳生君 ありがとうございます。
城田参考人に何問か聞きたいと思いますが、この参考資料の三ページでＥＵのデータ保護指令のお話がありました。分かりやすく、ピザ屋さんの情報をどう加工するか、本人同意が必要な場合と必要でない場合、非常に分かりやすかったんですが、このＥＵ指令ではどういう基準でこの二つを区別するのか、基準があるのかどうか。それから、誰がどのように決めるのか、区分けするのか。恐らくいろんな社会の進歩、発展に伴って同じように判断しなければならないことがいろいろ出てくると思うんですが、そういう場合、固定的な基準ではなくて変動していくのかどうか、その辺りについて御説明いただければと思います。
○参考人（城田真琴君） まず、判定の基準ですけれども、私の資料の二ページ目の下の方の四行あるところに簡単に書かせていただいたんですけれども、基準としては、データ管理者、つまり企業側が正当な利益があるのかどうかと。ただ、その正当な利益というのが、消費者のプライバシーリスクとてんびんに掛けて、それが本当に適切だというように判断がされる場合、その場合に限っては同意の取得が不要とされていると。ただ、その正当な利益というものが本当にその利益を得ることに必然性がそもそもあるのかということと、それからデータを利用される消費者側があらかじめどういうように利用されるのかというのが想定外ではなくて想定できる範囲内にあるのかどうかと。それから、仮に同意なく使われた場合に後で簡単にそれを拒否できる、オプトアウトできる、そういうような手段が用意されているということが条件となっておりまして、まあ一言では言えないんですけれども、そういった今お話ししたようなことを総合的に判断して決定がされると。
それはなかなか文章で読んで難しいというところがございますので、それがその三ページのところに二つだけ事例を挙げさせていただきましたけれども、実際の資料の方にはかなり幾つも事例が載っておりまして、こういう場合であれば同意が不要である、こういう場合であれば同意が必要であるというようにケースが書いてありますので、基本的にはそれを見て判断していくということになると思います。
誰が判断をしているかといいますと、大体この三ページ目の上の見出しのところに書きましたけれども、ＥＵのデータ保護指令の第二十九条作業部会というところがそういった草案を作って、最終的には、ＥＵの各国で第三者委員会のようなところがございますので、そこの方で判断をしていくというようなことになっております。
○山下芳生君 続いて城田参考人に伺いますが、次の資料四ページの方に、オランダのカーナビメーカーが警察と連携してこのような情報が提供されていた、大問題になったということですが、これは発覚したのでこういうことがもう二度とされない、しませんというふうになったのかもしれませんが、発覚しなかった場合、あるいはもうしないでこういうことが日常的にやられているんじゃないかと私は非常に危惧するんですが、日本社会でもそういうことが起こり得ると。
要するに、行政機関の個人情報の取得や第三者への提供については、私は、民間企業以上に非常に影響力が大きいし、より明確なルールが必要だと思うんですが、この辺り、いかがお考えでしょうか。
○参考人（城田真琴君） おっしゃるとおり、明るみに出たからこそ社会的な問題になってマスコミにも取り上げられましたし、最終的にこのトムトムというメーカーがプライバシーポリシーを変更しなければいけなくなったということになったわけなんですけれども、やはり明らかにならないと分からないというのは、それはもう当たり前ですけれども、そういう状況です。
ですから、いろいろとこういう形で明るみになる問題というのは、やっぱりひょっとしたら氷山の一角なのかもしれないなと思いますけれども、それ以外になかなか、普通の生活をしているとこういう事件が分かるということは逆にありませんので、その部分というのは現状ではいかんともし難いのかなというように考えております。
○山下芳生君 同じ質問をちょっと、山本参考人、いかがでしょうか。
○参考人（山本隆一君） そのとおりだと思います。
要するに、明るみに出ないと分からない利用というのが結構あるんだと思うんですね。それは医療健康情報の場合で、これから多分つくられるであろうその番号制度の下で、例えば個人番号カードを使って、それをマイナポータルでその動きを確認できるというのはある種の進歩だと思うんですね。そうである以上は、そういった情報を集積するとかなんとかというのは、必ずそこから追跡できるようにするというルールが多分要るんだろうと思います。
これは多分、医療健康情報だとできますけれども、やろうと思えばできると思うんですけれども、これが、例えば車に今いっぱい付いているセンサーの情報をどうするかとか、そういうのはなかなか悩ましい問題で、もう道路にレシーバーを付けておけば、どんどん車の情報って入ってくるわけですよね。これは明るみに出ないと分からない問題かもしれません。
○山下芳生君 城田参考人、もう一問。
資料五ページのオプトアウトの周知徹底なんですが、これは私、本人同意なしに取得したり活用したりするということがオーケー、使いますよということが本人に伝わっていれば、拒否しない限り使えるということだと思うんですが、やはりそういうことがなかなか分からない、取扱説明書とか何かもう本当に小さい字で、そういうことを熟読しない人の方が多いんじゃないかと、そういうことを本当に心配するんですけれども、この周知徹底をしようと思ったら、例えばどういうことが大事だとお考えでしょうか。
○参考人（城田真琴君） やはり今の個人情報保護法でいいますと、通知又は公表で足りるということになっていますので、余り手間を掛けたくないというような事業者の場合は、ホームページ上に小さい字でも公表しておけばそれは公表というふうになるわけであって、ただ、それが本当に一般消費者が分かるかというと、それこそ毎日ホームページを訪問して、そういった情報がないかというのをチェックしなければいけないと。それは非常に負担の掛かる話ですから、通知又は公表というよりは、通知を義務付けて、個人宛て、個人のメールアドレスの方に、そういった個人情報を収集しました、あるいは第三者に提供しますというようなことをメールでもって通知をしてあげるというのが本来であれば非常に親切なやり方だと思います。
○山下芳生君 田島参考人に伺います。
先ほどのイギリスのＩＤカードの挫折のお話ですが、
（略）
平成27年6月4日
参議院内閣委員会第12号