（該当箇所）

通則編　96～98ページ

3-7-3-2「同意を取得する主体」について

（意見）

改正法26条の2における「同意取得の主体」について、「個人関連情報」の提供先による同意取得の原則を維持しつつ、提供元による代行が可能であることが明記され、その要件等が具体的に示されたことを評価する。

（理由）

個人関連情報に係る本人との接点は、当該個人関連情報を本人から取得した提供元の事業者のみが有していることも多い。このような場合には、提供先ではなく提供元の個人関連情報取扱事業者が改正法第26条の2第1項の同意を取得する方が、提供元・提供先の事業者の便宜に適うのみならず、個人関連情報に係る本人にとってより分かりやすい説明が可能となる場合もあると考えられる。

提供元による同意取得の代行についてのガイドライン案は、個人情報利活用の実務に配慮しつつ個人の権利利益保護のための一定の規律を設けるものであり、両者のバランスが図られたものとして評価できる。

（該当箇所）

通則編　139～143ページ

3-8-1(1)「保有個人データに関する本人への周知」④について

（意見）

個人情報取扱事業者が、本人の知り得る状態に置くべき「保有個人データの安全管理のために講じた措置」の内容を定めるにあたっては、本人の権利保護と事業者のセキュリティ確保のほか、個人情報取扱事業者の営業秘密保持等の利益も考慮することが認められるよう、本ガイドラインに明記していただきたい。

（理由）

当該保有個人データの安全管理に支障を及ぼすおそれがある事項については、本人の知り得る状態に置く必要はないとされ、保有個人データのセキュリティ確保については一定の配慮がなされている。しかし、具体的な安全管理措置の実施内容を本人の知り得る状態に置くことにより害され得るのは保有個人データのセキュリティだけではなく、例えば、営業秘密に関する事業者の重要な情報が詳らかとなり、事業者に不利益が及ぶことも想定される。

それを回避するため、本人の知り得る状態に置くべき「保有個人データの安全管理のために講じた措置」の内容を定めるにあたっては、個人情報取扱事業者における営業秘密保持等の利益を考慮することができることを明確にしていただきたい。

（該当箇所）

匿名加工情報編　11～12ページ

2-2-1「仮名加工情報の取扱いに係る義務の考え方」

（意見）

ある事業者の甲部門が作成した仮名加工情報を同じ事業者内の乙部門に渡した場合において、乙部門では加工前の個人情報データベース等を保有しておらず、かつ、両部門の各担当者が甲乙双方のデータベースを取り扱うこともできず、通常の業務における一般的な方法で甲乙双方のデータベース上の情報を照合することができる状態にないときには、乙部門においては当該情報を「個人情報でない仮名加工情報」として取り扱うことができることの明記を要望する。

（理由）

個人情報保護委員会の「『個人情報の保護に関する法律についてのガイドライン』及び 『個人データの漏えい等の事案が発生した場合等の対応について』に関するＱ＆Ａ」におけるＱＡ1－15では、同一事業者内の別部門が取り扱う個人情報との容易照合性の有無の判断において、「事業者の各取扱部門が独自に取得した個人情報」であることを前提とした記載がなされているが、これは同一事業者内の別部門が取り扱う個人情報間についての記述である。また、「各取扱部門が独自に取得した」ことが、個人情報間に容易照合性がないと判断されるための必要条件であるか否かは明らかではない。

仮にこれが否定されたとしても、仮名加工情報は、一定の安全性を確保しつつ、イノベーションを促進するという観点から創設された制度であり、このような制度趣旨からは、個人情報と当該個人情報から作成された仮名加工情報との間に容易照合性が生じない場合を、その個人情報と仮名加工情報が事業者の「各取扱部門が独自に取得した」場合に限定すべきではないと考える。そこで、上記「（意見）」欄のとおりガイドラインに明記していただきたいと考える。

（該当箇所）

匿名加工情報編　21～22ページ

2-2-2-1-3「不正に利用されることにより財産的被害が生じるおそれのある記述等の削除」

（意見）

本ガイドラインにおける「不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すべき該当例」について、事業者が適切な判断を行う上での基準となり得る具体例を記載することを要望する。

（理由）

仮名加工情報を作成するための個人情報の加工の基準としては三つの基準が示されている。この中でもとりわけ「不正に利用されることにより財産的被害が生じるおそれがある記述等の削除」については、その外延が明確でないため、解釈の仕方によっては、個人情報取扱事業者の円滑な事業の推進を阻害しかねない。

本ガイドライン（案）では「クレジットカード番号」「送金や決済機能のあるウェブサービスのログインＩＤ・パスワード」が例として挙げられてはいるが、わずか２例しかなく、例示が限定的で実務を行う上での基準とはなり得ない。どのようなものが「不正に利用されることにより財産的被害が生じるおそれがある記述」に該当するのか、事業者が適切な判断を行う上での基準となり得る程度の数・内容の具体的例が挙げられるべきである。

（該当場所）

認定個人情報保護団体編（全般）

（意見）

認定個人情報保護団体制度に特化したガイドラインを新たに定めることについて賛同する。

（理由）

個人情報の利活用の推進と個人の権利利益の保護のバランスをより高水準で確保するために認定個人情報保護団体を通じた自主的な取組みの実施が不可欠であることは、これまで当連盟及び会員放送局が行ってきた取組みを通して既に実感しているところである。

認定個人情報保護団体制度に特化したガイドラインを定め、認定個人情報保護団体に求められる役割や望ましい取組の方向性、具体的な業務等を示すことは、認定個人情報保護団体制度に対する個人情報取扱事業者や本人の理解の推進と、同制度の利用の一層の拡充に資するものであり、個人情報保護施策としてあるべき方向性であると考える。