消費者の個人情報の保護に関する調査（経済企画庁委託）

「消費者の個人情報の保護に関する調査」について(概要)

平成１１年７月

１．本委託調査の趣旨　　　　　　　　　　　　　　　　　　　　　　　　　　　　　

　今日、消費者取引における顧客情報や信用情報の個人情報の経済的有用性が増大するなか、情報通信技術の発展・高度化を背景に電子化された個人情報の漏洩、流用、売買等の問題が発生し、個人情報保護に関する消費者の不安感も高まっている。これに対応して、個人情報保護は消費者政策上の重要課題となりつつある。また、海外においても、個人情報保護に関するＥＵ指令（1995年制定）の制定を契機として、国際間における個人情報保護の在り方が議論されるとともに、電子商取引におけるプライバシー保護等の問題が各国の立法・行政上の政策課題となっている。本調査は、以上のような近年における個人情報を巡る環境の急速な変化を踏まえて、①我が国の個人情報保護を巡る課題と取組み、②海外主要国における個人情報保護への取組み、③環境整備のあり方等を調査・研究し、消費者取引における個人情報保護のあり方について基礎的検討を行う観点から実施された。調査は、財団法人日本総合研究所に委託され、研究会（座長：浦川道太郎早稲田大学教授）を設置して行われた。　

［調査のポイント］

１．我が国の個人情報保護を巡る取組みと課題

　1)近年、電子化された多数の個人情報の流出事件が続発している。

　2)国民生活センターや消費生活センターに寄せられるプライバシーに関する消費者相談件数も増加している（1990年度208件→1998年度2388件)。ダイレクトメールや電話勧誘に関連する相談が多い。インターネットに関連する相談も急増している。

　3)我が国では、近年、様々な個人情報保護に関する取組み（行政機関によるガイドライン、事業者団体による自主規制、マーク制度等）が行われている。

２．海外主要国における個人情報保護に対する取組み

　情報通信の高度化、ＥＵ指令の制定（1995年10月）に伴ない、各国とも近年、法規制を始めとする様々な個人情報保護施策を積極的に推進している。

３．個人情報保護のための環境整備の視点

　1)個人情報保護の一般的枠組みについて：法規範による規制と事業者団体等による自主規制、ミニマム規制と加重的規制、実体法的な規制とそれに加えての手続法的な規制（苦情処理等）等があるが、各国ともそれらを組み合わせて対応している。

　2)適正な個人情報の取扱いを確保するための措置について：センシティヴな情報の収集制限、届出制度、事業者によるプライバシー・ポリシーの策定と明示、モデルコード、マーク制度、その他事業者による自律的な取組み（個人情報保護規定の策定等）

　3)個人情報の不適正な扱いに対する措置について：①監督者による是正措置と消費者（情報主体）による是正措置、②不適正処理に対する制裁（刑事罰、民事責任、行政的な処分、事業者団体による制裁処分）

　4)個人情報保護のための監督機関について：行政による規制・監督の機動性・迅速性の確保のために、主要国では委員会やオンブズマンによる監督が実施されている。一方、事業者団体による監督は、団体の自律的な作用に基づき社会的な摩擦の少ない方法。

　5)その他の検討課題：データ・セキュリティー、子どもの個人情報保護、消費者教育等　

　
２　本調査の概要

第１章　消費者取引における個人情報保護をめぐる環境の変化と課題

　近年、多数の電子化された個人情報の流出事件が続発している。また、国民生活センターや各地の消費生活センターに寄せられるプライバシーに関する消費者相談件数も増加している（1990年度208件→1998年度2388件)。相談内容としては、①電話勧誘に関する相談、②販売信用に関する相談、③ダイレクトメールに関する相談、④インターネットに関する相談、⑤名簿に関する相談、⑥アンケート調査に関する相談などである。　　　　　　　　事業者においては、個人情報の利用・管理を適正に行うために、社内体制や社内教育の一層の徹底を図ることが必要である。消費者においては、安易な情報提供を行わないなど、トラブルの現状を認識し、自己の情報に関する権利について適切な判断をするよう努めることが重要である。

第２章　我が国における個人情報保護に関する取組み　　　　　　　　　　　　　　　

　近年、民間部門が保有する個人情報保護に対する取組みが進んでいる。通商産業省、郵政省のガイドライン策定、ＪＩＳ規格の制定、各分野の産業界の自主規制、プライバシーマーク制度など分野ごとの取組みがある。

第３章　海外主要国における個人情報保護に関する取組みの動向　　　　　　　　　　　

１　アメリカ　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　

　民間部門の保有する個人情報の保護については、金融、電気通信、クレジットなど分野毎の個別法が存在する。事業者がオンライン上で自ら掲げたプライバシー・ポリシーに違反した場合は、連邦取引委員会（ＦＴＣ）が不公正又は詐欺的取引として摘発する。特に、子どものプライバシーについては、1998年10月に成立した子どもオンライン・プライバシー保護法により、事業者はプライバシー・ポリシーのウェブ・サイト上への掲載を義務付けられている。また、ＢＢＢオンライン・マークなど第三者によるマーク制度が存在している。　

２　カナダ

　連邦には、連邦政府及び政府関係機関の保有する個人情報保護のためにプライバシー法（1982年）がある。本法の執行を担当する機関としてプライバシー・コミッショナーが置かれている。民間部門の個人情報を保護する法律はないが、国家規格として、個人情報保護のためのモデルコード（1996年）がある。なお、1998年10月、連邦議会に、個人情報保護及び電子文書法の法案が提出された。本法案には、民間部門の個人情報保護が含まれている。

３　ＥＵ

　1995年10月に「個人データの処理に係る個人の保護及びその自由な流通に関する欧州議会及びＥＵ理事会指令」（ＥＵ指令）が採択された。ＥＵ指令の内容は、適用範囲、情報の処理・利用の基本原則、センシティヴな情報の処理、情報主体の権利、処理の安全性、届出義務、監督機関、第三国へのデータ移転、国際的調和等からなっている。

４　イギリス

　1998年７月、ＥＵ指令を受けて、1984年のデータ保護法を全面改正した。本法は、公的・民間部門の双方を対象としており、また、自動的処理データのみならず、手作業により収集する個人データも対象としている。事業者等データ管理者は監督機関であるデータ保護コミッショナーへ情報処理の目的等一定の事項の届出をしなければならない。また、コミッショナーは、データ管理者を代表する同業者団体等によるデータ保護原則を遵守する指針となる運用コード(Code of Practice)の作成を促すことを義務とし、その内容の適否を団体等に通知することとなっている。

５　フランス

　個人情報保護は、「情報処理・データと自由に関する法律」（1978年）によって規制され「情報処理と自由全国委員会」（ＣＮＩＬ）が、独立的行政機関として、本法の規定の遵守を監督している。本法は、情報システムの設置を登録・許可制（届出義務）としており、公的・民間部門の双方を対象としている。民間機関のシステムの制度的仕組みは、業種毎に定型化された簡略規範に該当することを宣言することでシステムを利用可能となる簡略規範制度と、詳細な事項を届ける正式届け出方式からなる。届け出実績は1996年末までの18年間に簡略規範35万4千件、正式届け出12万5千件。

６　ドイツ

　個人情報保護は、1990年に改正された連邦データ保護法（1977年）によって規制され、公的部門と民間部門の二元性をとっている。公的部門では第三者機関としての連邦データ保護監察官を中心に監督が行われている。民間部門に関して連邦データ保護監察官は、連邦行政についてのみ管轄権を有するものの、各州の監督官庁（一部の州ではデータ保護監察官）と協力してデータ保護の実現にあたっているが、直接的には、各州の監督官庁あるいはデータ保護監察官によって監督が行われている。これらの監督機関は、消費者等からの苦情申立てに基づく審査等を通じて企業を監督している。また、企業内部に企業の自己統制としてデータ保護管理者が置かれている。現在、ＥＵ指令を受けた法改正作業が進められており、保護範囲の拡大、ビデオによる監視・記録の規制、センシティヴなデータの特別な規制、マルチメディアへの対応等が検討対象となっている。　

７　ＯＥＣＤ

　1998年10月のオタワ会議で採択された電子商取引のプライバシー保護に関する閣僚宣言において、各国は、それぞれの国においてとられているプライバシー保護のための異なったアプローチ（立法的又は規制的アプローチ、自主規制的アプローチ、技術的アプローチ、契約的アプローチ）を架橋する作業を行うとともに、ＯＥＣＤ理事会勧告（1980年）の効果的な実施を確保するための必要な措置をとることとされた。

第４章　個人情報保護のための環境整備のあり方

１．個人情報保護のあり方（総論）

　個人情報保護の一般的枠組みとしては、以下のものが考えられる。

１）法規範による規制か、事業者団体等による自主規制か

　(1)民間事業者に対し保護的処置を自律的に取ることを促す方式

　基準を設ける主体が事業者団体とする場合、事業者が、ガイドラインを自主的な規範として受けとめ、率先して遵守するようになることを期待する。一方、個人情報を取り扱う事業者が、定まった事業者団体に所属しているとは限らないため、個別の事業者が一定のプライバシー保護基準を自ら定めることを予定する方式もある。

　(2)個別の企業等が参照すべきガイドライン・規格を公的機関が定める方式

　規格を認証することにより、その規格に従って営業を行う企業は、プライバシー保護について、一般顧客の信頼を受けることができる。

　(3)マーク方式

　消費者にとっては、マークを備えている事業者であれば、その個人情報の管理に一定の保証があることから、安心して業務を依頼することができる。他面、事業者にとっては、アウトロー的な事業者に対する差別化の要素になる一面を持っている。

　(4)法規範による規制

　法的義務として法律で定められる内容としては、個人情報収集の制限、センシティブ情報の取扱いの禁止・制限、本人による閲覧請求権の保障、目的外利用の制限などの内容を定めることが考えられる。主要国をみれば、全ての分野に等しく規定を置く方式（フランス、ＥＵ指令等）と個別的な分野毎に規定を置く方式がある。

　(5)組み合わせ方式

　法規範による規律とガイドライン的な規律は、実務においては峻別されるものではなく、両者の組み合わせも考えられる。

２）ガイドラインの運用及び法規範の適用における実効性の確保について

　(1)ガイドラインの運用

　ガイドラインの運用、遵守のあり方は、第一次的には事業者自身に委ねられるが、当該事業者以外の第三者が客観的に調査・審査する仕組みや公的機関が関与する方式もある。

　(2)法規範の適用

　法的義務として課した場合、その実効性を確保する仕組みとしては、違反者に対する刑事罰（直罰規定）、民事責任（不法行為・債務不履行責任）、違反者に対する行政的規制、任意的規定の遵守を事業者の自主的判断に委ねる方式などが考えられる。

　プライバシー侵害が問題となる民間事業者は、名簿業者の例に見られるように、業法の監督を受けない隙間産業に多い。よって違反者に対する行政的規制のみでは限界があると考えられる。

３）法規範による規制の考え方について

　ＥＵ指令の基本的枠組みは、民間のプライバシー情報について、ミニマム規制と加重的規制に区分し、加重的規制部分については、公的機関における規制に近い事前規制を一部導入している。以下は、その考え方に沿ってまとめる。

　(1)ミニマム規制について

　民間事業者がプライバシー情報を取扱う際の規律の原則は、以下のような情報を事前に監督機関に届け出るというミニマム規制である。届出の内容は、管理者名、情報処理の目的、対象者・情報の種類、提供される相手方、第三国への移転の可能性、情報の安全防護のために取られている措置からなる。

　しかし、ＥＵ指令は各国の規制の柔軟性を認めており、①データの性質から、個人の権利・自由への侵害の恐れが少ないものは、定められた範囲内の処理であれば、ミニマム規制（届出義務）を免除され、また、②当該事業者の内部において、データ保護監督を担当する職員が任命され、データ保護のチェックを行っている場合にも届出が免除されている。　

　(2)加重的規制について

　ＥＵ指令においては、一定の分野においては個人の人権に重大な影響を及ぼすことから、特別の規制を必要とするとされており、これらの規制は、システム設計の段階で、事前にチェックを行うという事前規制の方式である。

　なお、米国においても、子どもオンライン・プライバシー保護法など、特定の分野についての規制法、規制法案が加重的規制を行うことが予定されているが、違反事例に対するＦＴＣによる取締・摘発の仕組みの強化など、事業者への義務の強化と違反に対するサンクションの強化という方式を採用し、事前チェックを行うものではない。

４）実体法的規制と手続法的規制について

　公的機関によるプライバシー情報の処理に関する規制は実体法的な内容が基本である。民間分野では、顧客管理、職員管理等定型的分野については、定型的な実体法的規律を置くことでプライバシー侵害への危惧をなくすことが可能であるが、事業者の活動は流動的に変化し、それらの全てに対応し得る実体法的な規律を置くことは困難であることから、問題が生じた場合に迅速に対応することを可能とする手続的な仕組み（苦情処理的な仕組み）を設けた方がよい場合が多い。

５）民間事業のプライバシー保護法制と国際間調整について

　プライバシー保護のレベルを国際比較する場合、明確な基準があるわけではないが、以下のような要素が考慮されるべきである。　

①法的規制の対象・範囲

②実体法的な規律は実効性が確保されているか

③独立的な監督機関・制度が存在するか

④プライバシー侵害がなされた場合の紛争処理手続が置かれているか
　

２．個人情報保護のあり方（各論）

　以下では、総論や諸外国の動向などを踏まえ、我が国の個人情報保護の環境整備を行う際に考慮しておくべき論点を整理した。

１）個人情報の定義と種類

　(1)個人情報の定義

　我が国の行政機関が保有する個人情報に関する個人情報保護法及びＯＥＣＤ理事会勧告における個人情報の定義にほぼ共通する要素は、個人を識別する情報と個人関連情報からなっている。

　(2)個人情報の種類

　　①個人を識別するための情報

　　例えば、氏名、生年月日、住所、電話番号、その他の整理番号

　　②個人の属性に関する情報

　　(i)センシティヴな情報とセンシティヴ性の低い情報

　個人の心身の基本に関する情報（思想・信条、精神・身体に関する情報、重大な社会的差別の原因となる情報など）と、それ以外のセンシティヴ性の低い情報を一応区別することは可能である。しかし、何がセンシティヴな情報であるかは、歴史的、政治的、社会的状況に左右される要素が強い。

　　(ii)個人信用情報

　クレジット社会の進展とともに、消費者が経済生活を営むために、クレジットやローンに関わる個人信用情報の持つ意味が大きくなり、個人情報の中でも個人信用情報を特別に取り扱う動きがある。

２）個人情報保護の範囲

　民間部門における個人情報保護は以下のどの範囲までとするかが問題となる。

　(1)電算機処理情報のみか、マニュアル処理情報を含むか

　(2)検索可能な情報のみか、検索不能な情報を含むか

　(3)法人等団体に関する情報を含むか

３）個人情報保護の内容（第４章の総論を参照）

　(1)個人情報の適正処理を確保するための措置

　　センシティヴな情報の収集制限、届出制度、事業者によるプライバシー・ポリシーの策定と明示、個人情報保護モデルコード、マーク制度、その他の事業者による自律的な取組み（メール・プレファレンス・サービス、個人情報保護規定の策定）という手法がある。

　(2)個人情報の不適正処理に対する措置
　

①行政機関や企業内に選任されたデータ保護管理者などの監督者による是正措置と消費者（情報主体）による是正措置とを適切に組み合わせることが望ましい。

②不適正処理に対する制裁手段としては、刑事罰、民事責任、行政的な処分、事業者団体による制裁処分が考えられ、これらを組み合わせることが可能である。

４）個人情報保護のための監督機関

　行政による規制・監督の機動性・迅速性の確保のために、諸外国では既存の行政官庁による監督の方法に代えて、あるいは並行して、委員会やオンブズマンによる監督が実施されている。また、事業者団体による監督は、団体の自律的な作用に基づき社会的な摩擦の少ない方法である。

５）その他

　最近のトピック的な問題としては、インターネットの急速な普及を背景に、オンライン上の個人情報保護をめぐるトラブルが出現していることがあげられる。消費者取引の観点からは、特に、データ・セキュリティー、電子商取引、子どもの個人情報保護の問題に対する検討が必要となろう。また、トラブル防止の観点等から消費者教育が不可欠である。

「消費者の個人情報の保護に関する研究会」委員名簿

座長   浦　川  道太郎　　早稲田大学法学部教授

       井　本  省　吾　　日本経済新聞社編集局流通経済部編集委員

　　　 佐　草　幸　一　　電子商取引実証推進協議会（ＥＣＯＭ）主席研究員

       多賀谷　一　照　　千葉大学法経学部教授
　　　　　　　　　　　　　　　　 
       鶴　岡　憲　一　　読売新聞西部本社論説委員兼編集委員

       原　  　早　苗　　消費科学連合会事務局次長

       廣　川　信　彦　　(社)日本クレジット産業協会（ＪＣＩＡ）理事

       藤　原　静　雄　　国学院大学法学部教授　
　　　　　　　　　　　
       舟　橋　とみ子　　東京都生活文化局消費生活部指導担当課長
　　　
       松　本　恒　雄　　一橋大学大学院法学研究科教授　　
　　　　　　
       宮　田　加久子　　明治学院大学社会学部教授
　　　　　　　　　　
       横　山　哲　夫　　弁護士　　　　　　　　　　　　　　　　　　　



　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　＜窓口＞
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　経済企画庁国民生活局消費者行政第一課 
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　電話　03－3581－0261（代表）
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　直通　03－3581－0731
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　担当　　今井

消費者の窓へ戻る