個人情報保護委員会事務局審議官

お答えいたします。 　個人情報保護委員会が受け付けています特定個人情報の漏えい等報告によりますと、令和五年度の報告の件数は三百三十四件となっております。 　その原因としては、例えば、地方公共団体におけるＵＳＢの紛失事案、事業者においてマイナンバーを含む従業員情報が保存されたデータベースへのサイバー攻撃によります不正アクセスを受けた事案等がございます。 　個人情報保護委員会としましては、漏えい等事案の報告を受けて、事実関係及び再発防止策の確認等を行い、必要に応じて指導等を行ってございます。

お答え申し上げます。 　個人番号利用事務等実施者は、マイナンバーの漏えい等の防止等のため、安全管理措置を講ずることが求められております。その上で、不正の目的を持って行われたおそれがある特定個人情報の漏えい等や、百人を超える特定個人情報の漏えい等が発生し、又は発生したおそれがある場合など、一定の事案については、番号法第二十九条の四及び委員会規則に基づき、個人情報保護委員会に対し報告を行うこと及び本人に対し通知を行うことが義務づけられております。 　個人情報保護委員会では、漏えい等の報告を受け、被害の拡大防止、原因の究明、再発防止等の取組が的確に行われるよう番号法第三十三条に基づき指導助言を行うなどしているほか、過去の漏えい等事案を踏まえた広報啓発資料をウェブサイトで公開するなどの啓発活動も行っていますところ、引き続き特定個人情報が適正に取り扱われるよう適切に対応してまいります。 　また

お答えさせていただきます。 　個人情報保護法では、事業者は、原則として、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないとされています。他方で、法令に基づく場合には本人の同意なく個人データを第三者提供することが認められており、弁護士法に基づく弁護士会からの照会に対応して事業者が本人の同意なく個人データである契約者情報を提供することは、個人情報保護法上、許容されております。

○政府参考人（大槻大輔君）　お答えいたします。 　個人情報保護法との関係において申し上げますと、個人情報保護法上、個人情報取扱事業者等には、個人データを取り扱う場合に、当該個人データの安全管理のため必要かつ適切な措置を講ずる義務等が課されておりまして、これらの規律に照らして問題がある場合等には、個人情報保護委員会が行います指導等の権限行使の対象となることとございます。 　個人情報保護法におきましては、個人情報取扱事業者等が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報等を外国において取り扱う場合についても適用するとされておりまして、こうした条文を踏まえて判断することとなると考えております。

○山澄政府参考人　お答え申し上げます。 　海外当局の執行事例でございますので私どもが網羅的に完全に把握しているという立場にはございませんけれども、アイルランドのデータ保護委員会の発表というものをトレースしてみますと、昨年一月にアイルランドの委員会が発表したところによりますと、メタ・アイルランド社に対しまして、ＧＤＰＲの透明性及び合法的処理の要件に違反していると判断されまして、同社に対して制裁金で、具体的には、フェイスブックのサービスには二・一億ユーロ、インスタグラムには一・八億ユーロを課したと。更に申しますと、昨年五月にアイルランドデータ保護委員会が発表したところによりますと、メタ・アイルランドがアメリカへ個人データを移転した、それにつきまして、ＧＤＰＲ違反といたしまして、同社に対しまして十二億ユーロの制裁金を課したというふうに発表されてございます。

○山澄政府参考人　委員御指摘ありましたように、令和二年の大改正を個人情報保護法についてしました後に、次の改正ということで、現在、そのためのもろもろの検討をしておるところでございますけれども、本年二月に、私ども個人情報保護委員会が発表しております検討項目の中に、実効性のある監視、監督の在り方というものの一環といたしまして、課徴金ですとか、勧告、命令等の行政上の監視、監督手段の在り方について検討するということに私どもとしては考えてございます。 　いずれにしましても、検討に当たりましては、内外の情勢ですとか、もろもろ、多角的な意見がございますものですから、そういうものを含めて、今現在検討しておるところでございます。

○山澄政府参考人　当然でございますが、検討の結果、法律改正が必要となれば、国会において御審議いただくということになると思いますが、まだ、いずれにしても検討中でございます。

○山澄政府参考人　お答え申し上げます。 　今おっしゃったケースにとどまりませんけれども、一般的に個人情報保護法では、個人情報を個人情報取扱事業者が取得をいたしますときには、利用目的をできる限り特定して、それを通知、公表等をして取得しなければならないというふうになっておりますので、小さい字かどうかはともかく、そういうものが通知、公表等されているはずでございます。

○山澄政府参考人　先ほどの繰り返しになりますけれども、個人情報の利用目的については、取得時に通知、公表等をしなければならないとなっております。 　それに加えまして、例えば、その特定した利用目的の達成に必要な範囲を超えて取り扱う場合には本人の同意が要りますですとか、第三者提供をするときには本人の同意が要るという形で、本人の権利利益との調整が図られているところでございます。

○山澄政府参考人　先ほど申しましたように、あらかじめ示されております利用目的の達成に必要な範囲を超えて使う場合ですとか第三者提供の場合には本人の同意が要るということが原則でございます。 　他方で、そういうものに当たらずに、利用目的に書いてある目的のために使う場合には、本人の同意等というものは個人情報保護法上は求めておりません。