第１章 国内外における個人情報保護の現状 第１節 我が国における個人情報保護の現状 １ 行政部門 (1) 行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律 行政機関の保有する電子計算機処理に係る個人情報の取扱いの基本的事項を 定めるとともに、行政機関に対する個人の情報開示請求権等が定められてい る。昭和６３年（１９８８年）に制定された。 (2) 地方公共団体の条例 平成１０年（１９９８年）４月現在で１，４０７団体（全体の42.4%：自治 大臣官房情報政策室調べ）が個人情報保護条例を制定している。これらの条例 の対象としては、公的部門の電子計算機処理に係る個人情報を規定している団 体が多いが、民間部門の保有する個人情報についても対象とし、民間事業者に 対する努力義務を規定する団体も増加している。 ２ 民間部門 (1) 業界・分野ごとのガイドライン 我が国においては、民間部門における個人情報の取扱いに関する一般的な法 律は存在せず（ただし、貸金業の規制等に関する法律及び割賦販売法におい て、個人信用情報の目的外使用を禁止する規定がある。）、個人情報の取扱い については、業界・分野ごとに法的拘束力のないガイドラインを作成し、民間 事業者の自主的な取組みを促すことにより対応している。 (2) 電気通信分野における個人情報保護 1) 郵政省では、平成２年（１９９０年）１０月から平成３年（１９９１年） ８月まで、「電気通信事業における個人情報保護に関する研究会」（座長： 堀部政男一橋大学法学部教授(当時)）を開催し、同研究会の報告書を踏まえ て、平成３年（１９９１年）９月、「電気通信事業における個人情報保護に 関するガイドライン」（以下「個人情報保護ガイドライン」という。）を策 定した。 《同ガイドラインのポイント》 ・収集目的を明確にし、サービスの提供上必要な限度において収集すること ・収集目的の範囲内で利用すること ・外部への提供は本人の同意がある場合を除き原則として行わないこと ・適正管理の確保 ・情報主体からの開示・訂正請求等に対して可能な限り応じること ・取扱責任者の明確化 2) また、日本電信電話株式会社（以下「ＮＴＴ」という。）の発信電話番号 通知サービス（ナンバー・ディスプレイ・サービス）を認可するに当たり、 電気通信審議会から、同サービスにより通知された電話番号が不当に利用さ れることを防止するため、ガイドラインを制定することが要望された。これ を受けて、郵政省では、平成８年（１９９６年）８月から同年１０月まで、 「電話番号情報に関する研究会」（座長：堀部政男一橋大学法学部教授(当 時)）を開催し、同研究会の報告書を踏まえて、同年１１月、「発信者情報通 知サービスの利用における発信者個人情報の保護に関するガイドライン」 （以下「発信者ＩＤガイドライン」という。）を策定した。 《同ガイドラインのポイント》 ・記録目的を明確にし、発信者に記録目的を告げること ・記録目的の範囲内で利用すること ・外部への提供は本人の同意がある場合を除き原則として行わないこと ・適正管理の確保 ・情報主体からの開示・訂正請求等に対して可能な限り応じること 3) さらに、民間団体であるサイバービジネス協議会においても、サイバービ ジネスにおいて取り扱われる個人情報の保護の在り方を検討した上、平成９ 年（１９９７年）１２月、「サイバービジネスに係る個人情報の保護に関す るガイドライン」を策定した。 《同ガイドラインのポイント》 ・アクセスログ等それのみでは個人を識別し得ないが、将来他の情報と照合 することにより個人を識別し得る可能性のある情報についても、収集の事 実、利用の可能性等について明確にしておく必要があることを、ガイドラ インの解説部分で特に指摘。 ＜各ガイドラインの相関図＞第２節 諸外国における個人情報保護の現状 （電気通信分野を中心として） １ 経済協力開発機構（ＯＥＣＤ） １９８０年（昭和５５年）９月に「プライバシー保護と個人データの国際流 通についてのガイドラインに関する理事会勧告」を採択し、加盟国に対し、プ ライバシーと個人の自由の保護に係る基本原則（「ＯＥＣＤ８原則」）を国内 法の中で考慮すること、プライバシー保護の名目で設けられ個人データの国際 流通に対する不当な障害を除去することに努めることなどを勧告した。ここで 掲げられた８原則は、我が国の個人情報保護法制定、民間部門におけるガイド ライン作成等において依拠された。 現在、情報・コンピュータ・通信政策委員会（ＩＣＣＰ）において、グロー バル・ネットワークの発展を踏まえたプライバシー保護の在り方の検討が進め られている。また、１９９８年（平成１０年）１０月にオタワで開催された電 子商取引に関する閣僚級会合において「グローバル・ネットワークにおけるプ ライバシー保護に関する閣僚宣言」が採択された。同宣言では、ＯＥＣＤ８原 則が依然として有効であり、その実効性ある保護措置を確保すべく各国が民間 部門と協力しつつ取り組む必要があること等が確認されている。 ２ 欧州連合（ＥＵ） (1) 個人情報保護指令 １９９５年（平成７年)１０月､「個人データ処理に係る個人の保護及び当該 データの自由な移動に関する欧州議会及び理事会の指令(Directive95/46/EC)」 （以下「ＥＵ個人データ保護指令」という。）が採択された。この指令第２５ 条において、構成国に対し、十分なレベルの保護措置を講じていない第三国へ の個人データの移転を禁止する規定を１９９８年（平成１０年）１０月２４日 までに設けることを義務づけている。 我が国のように民間部門の個人情報保護に関して制裁措置を伴う法規範が存 在しない状況では、「十分なレベルの保護措置」が講じられているとみなされ ないおそれがあり、今後、ＥＵ構成国から我が国への個人データの情報流通に 支障を来すことも考えられる。 (2) 電気通信分野における個人情報保護指令 デジタル技術の公衆電気通信ネットワークへの導入により、利用者の個人 データやプライバシー保護に関する特別要件を求める声が強まっていることを 背景に、１９９７年（平成９年）１２月に、「電気通信分野における個人デー タ処理及びプライバシー保護に関する欧州議会及び理事会の指令(Directive97/ 66/EC)」（以下「ＥＵ電気通信個人データ保護指令」という。）が採択され た。これは、ＥＵ個人データ保護指令を具体化し、補完するものとして、電気 通信分野に特異な問題点について詳細に規定したものとなっている。その主な 規定事項は以下のとおりである。 1) セキュリティの確保（第４条） 2) 通信の秘密の保護（第５条） 3) トラフィック・データ及び課金データの取扱い（第６条） 4) 料金請求書への通話明細の記載（第７条） 5) 発信(接続)電話番号の通知及び制限（第８条）、及びその例外（第９条） 6) 電話番号情報の取扱い（第１１条） ＥＵ電気通信個人データ保護指令も、ＥＵ個人データ保護指令と同様、加盟 国に対し、１９９８年（平成１０年）１０月２４日まで（ただし、第５条の通 信の秘密に関する部分は、２０００年（平成１２年）１０月まで）に国内法制 化することを求めている。 ３ アメリカ 連邦行政機関における個人情報一般について、1974年プライバシー法が制定 されているが、電気通信分野における顧客のプライバシー保護を図るため、 1996年電気通信法により、電気通信事業者が保有する顧客情報の取扱いに関す る規定が設けられ、これにより、1934年通信法（合衆国法典第47編）に第222条 が追加された。その具体的な内容は、以下のとおりである。 (1) 電気通信事業者の守秘義務 全ての電気通信事業者は、その他の電気通信事業者、機器製造者及び顧客に 関する秘密を守る義務がある（第222条(a)項）。 (2) サービスの提供上知り得た情報の利用制限 1) 電気通信サービスを提供する目的で他の電気通信事業者から情報を受領し、 又は取得する事業者は、当該目的にのみ当該情報を利用するものとし、自らの マーケティング活動のために当該情報を利用してはならない(第222条(b)項)。 2) 電気通信サービスを提供することによって顧客に関する専属的ネットワーク 情報（CPNI:Customer Proprietary Network Information）を受領又は取得す る電気通信事業者は、法律の要求がある場合又は顧客の承認を得た場合を除 き、当該情報が得られた電気通信サービス又はその関連サービスの提供に必要 な範囲においてのみ、当該情報を利用し、開示し又はその情報へのアクセスを 許可しなければならない（第222条(c)項(1)）。 ここに、「顧客に関する専属的ネットワーク情報」とは、(a)電気通信サー ビスの数量、技術構成、種類、宛先及び利用総額に関する情報で、通信事業者 と顧客との関係を理由としてのみ顧客が通信事業者に利用させるもの、及び (b)顧客が区域内電話サービス又は長距離電話サービスに関して受領した請求 書に記載された情報をいう（第222条(f)項(1)）。 (3) 顧客のアクセス権 電気通信事業者は、顧客から書面による要請があった場合は、当該顧客が指 名したいかなる者にも顧客に関する専属的ネットワーク情報を開示しなければ ならない（第222条(c)項(2)）。 (4) 集計顧客情報 電気通信事業者は、(2)2)に規定する目的以外に集計顧客情報(aggregate customer information)を利用し、開示し又はアクセスさせることができる （第222条(c)項(3)）。 ここに「集計顧客情報」とは、サービス又は顧客の区分又は種類に関する集 計データで、個人顧客の身元及び特徴が除去されているものをいう（第222条 (f)項(2)）。 (5) 例外規定 本条のいかなる規定も、電気通信事業者がその顧客から直接又はその代理人 を通じて間接的に入手した顧客に関するネットワーク情報を、次のいずれかの 目的のために利用し、開示し又はこれにアクセスさせることを禁じるものでは ない（第222条(d)項）。 1) 電気通信サービスの開始、提供、料金の請求及び収納。 2) 当該サービスの詐欺的な、濫用的な若しくは不法な利用又は加入から、当該 通信事業者の権利若しくは財産の保護、又は当該サービスの利用者及び他の事 業者の保護。 3) 通話中の受信テレマーケティング、照会又は経営サービスの顧客への提供。 ただし、それは当該顧客の側から当該通話を開始した場合で、当該サービスを 提供するための当該情報の利用を当該顧客が承認した場合に限る。 (6) 加入者リスト情報 (2)から(5)までの規定にかかわらず、電話交換サービスを提供する電気通信 事業者は、当該サービスの提供者としての権限内で収集された加入者リスト情 報（subscriber list information）につき、番号簿を出版する目的のために 要請があれば、適時にかつ個別分類方式に基づいて、非差別的かつ妥当な料金 その他の条件により、いかなる者にも提供しなければならない。 ここに「加入者リスト情報」とは、1) 加入者の掲載氏名、電話番号、住所 若しくは主たる広告区分（当該サービス時に指定された区分）、又は当該掲載 氏名、番号、住所若しくは区分の組合せを示すもの、又は2) いかなる形式で あれ電話番号簿として、当該通信事業者又は関連会社が発行させ、又は受領し たものをいう。 連邦通信委員会（Federal Communications Commission（以下「ＦＣＣ」と いう。））は、１９９８年（平成１０年）２月、通信事業者からの要請に応じ て、通信法第222条のうち、ＣＰＮＩに関する部分を明確化する命令を承認し た。その中では、例えば、通信事業者は、当該顧客に対して提供している既存 のサービスに関係するサービスの営業のためにＣＰＮＩを使う場合には顧客の 承諾は不要であること（つまり、地域電話のサービスの契約者である顧客に対 し、その顧客の地域電話の使用状況を、それに関係するコーラーＩＤサービス （発信電話番号通知サービス）等の営業に使うのはよいが、長距離電話のサー ビスの営業のために使うことはできないということ。）や、顧客の承諾を得て 既存のサービスを超えてＣＰＮＩを利用する場合は、その法律上の権利を保障 するために、承諾を求める前にＣＰＮＩに関する権利について通知しなければ ならないこと等が定められている。 なお、インターネット上におけるプライバシー保護の観点から、プロバイ ダー等による利用者の個人情報の利用について、いかなる方法で制限を加える べきであるか検討が行われているところであり、連邦取引委員会（ＦＴＣ）や プロバイダーその他の関連企業によって結成されている団体であるOnline Privacy Alliance等において、様々な動きが見られる。 まず、ＦＴＣは、本年７月２１日、下院の「電気通信、商業及び消費者保護 に関する小委員会」のヒアリングの場で、デジタル社会における利用者のプラ イバシー保護の在り方に関する、いわゆる「ＦＴＣレポート」を報告した。そ の内容は、１９９９年（平成１１年）１月までにプロバイダー等が個人情報の 取扱いについて有効な自主規制策を講じることができないのであれば、一定の 義務を課す法律の制定を行うべきであるというものである。 次に、Online Privacy Allianceは、同日（７月２１日）、自主規制案を発 表した。その内容は、参加サイトに対し、利用者のプライバシーが保護されて いることを示す「プライバシーマーク制度」を与えるとするもので、具体的内 容はＦＴＣレポートとほぼ同じであった。 さらに、ゴア米副大統領は、本年７月３１日、プライバシーを保護するため の「電子権利章典(Electronic Bill of Rights)」の樹立に向けた新たな政策 を発表した。その内容は、1)可能な限り民間主導、2)必要あれば法制化、3)個 人情報に関する政府の責任ある管理、4)国民に対する啓発活動の重要性を指摘 するものであった。 ４ イギリス (1) ９８年データ保護法 １９８４年（昭和５９年）に公的部門、民間部門の双方を対象とするオムニ バス形式のデータ保護法（以下「８４年データ保護法」という。）が成立し、 同年から段階的に施行され、１９８７年（昭和６２年）に全面的施行となっ た。その後、１９９５年（平成７年）のＥＵ個人データ保護指令を受けて、国 内法制化のための法案を１９９８年（平成１０年）１月議会に提出し、同年７ 月１６日、新たなデータ保護法（以下「９８年データ保護法」という。）が成 立した。 ９８年データ保護法により８４年データ保護法は廃止されるが、９８年デー タ保護法は基本的に８４年データ保護法の体系を受け継ぐとともに、ＥＵ個人 データ保護指令を踏まえ、一定の手動処理データへの対象範囲の拡大、データ 処理に関するより厳格な条件の付与、個人の権利の拡大、登録制の通知制への 緩和等を行っている。その具体的内容は、以下のとおりである。 1) 保護される個人データの範囲 ８４年データ保護法においては保護される個人データは、コンピュータ処理 されるものに限られていたが、９８年データ保護法においては、一定の手動処 理データ、例えば、個人データが容易に検索できるようなカード・インデック ス、マイクロフィッシュ（マイクロフィルム）等も保護の対象とされている。 2) データ保護原則 ８４年データ保護法に定められていた８つのデータ保護原則をほぼ踏襲し、 この原則の遵守をデータ利用者等に対して義務付けている。 3) データ処理に当たって満たすべき条件 ９８年データ保護法においては、データ処理が行われる前に満たすべき法的 な条件として、以下のようなものを挙げている。 ・ データ主体が処理に同意していること ・ データ主体が当事者となっている契約の履行等に必要な場合 ・ データ利用者が法的義務の履行に必要な場合 ・ データ主体の利益保護のために必要な場合 さらに、健康や人種（ethnic origin）といったセンシティブ・データの処 理に関しては、上記の条件に加え、データ主体の明確な（explicit）同意が必 要とされるなど、より厳格な条件が付与された。 4) データ主体の権利 ８４年データ保護法は、データ主体に対してアクセス権、訂正・抹消請求 権、損害賠償請求権を認めているが、９８年データ保護法においては個人の権 利が拡大され、例えば、被った被害に対するより大きな賠償、自分に関する データが使用される場合の事前通告等が付加された。 5) 監督機関等 ８４年データ保護法においては、データ利用者等の監督機関としてデータ保 護登録官が任命され、登録官の決定に不服がある者の不服申立てを審理する機 関としてデータ保護審判所が設けられた。また、データ利用者等は、データ保 護登録官の保有する登録簿への登録を義務付けられ、３年ごとに更新すること とされた。 ９８年データ保護法においては上記の登録義務が緩和され、登録内容に変更 があった場合に通知することとされた。また、データの登録が通知に緩和され たことに伴い、データ保護登録官をデータ保護コミッショナーに改組し、デー タ利用者等の有するデータ保護システムのアセスメントを行う等の新たな権限 が付与されることとなった。 (2) 電気通信分野におけるプライバシー保護のための規則 貿易産業省（ＤＴＩ）は、ＥＵ電気通信個人データ保護指令をイギリス内で 実施するための規則（Statutory Instrument）の案を１９９８年（平成１０ 年）７月３１日に公表した（Draft Regulation(31/7/98)）。同年９月３０日 まで、パブリック・コメントを募集した上で、最終的に規則を公布する予定で ある。 規則案では、以下の事項について規定している。 第１部 一般原則 第２部 トラフィック・データ及び課金データ 第３部 発信電話番号通知 第４部 加入者の電話番号情報 第５部 ダイレクトメール（ＤＭ）を目的とした電気通信サービスの利用 第６部 その他（セキュリティ、通話明細、自動転送端末、国家安全保障等） 第７部 補償及び実施 ５ ドイツ (1) 連邦データ保護法 公的部門、民間部門の双方を対象とする、個人情報保護の一般法として、１ ９９１年（平成３年）から施行されている現行の連邦データ保護法があり、情 報開示請求権、訂正・封鎖及び消去請求権が法的に認められている。 (2) 電気通信事業者データ保護令 ドイツでは、一般法としてのデータ保護法以外に数多くの分野別の特別法が あり、情報通信分野では、１９９６年（平成８年）に制定された電気通信法第 ８９条がデータ保護について規定している。同条によれば、連邦政府は、ドイ ツ議会の承認を得た上で、電気通信に係る個人データ保護に関し、法的効力を 有する令（Verordnung）を制定することとされており、これを受けて、同年６ 月７日に、電気通信事業者データ保護令（ＴＤＳＶ）が制定、施行された。そ の主な規定事項は、以下のとおりである。 1) 個人データの収集、処理及び利用の制限（第３条） 2) 顧客構成データの収集、処理及び利用の制限（第４条） 3) 接続データ（通信履歴）の収集、処理及び利用の制限（第５条） 4) 料金確認と料金計算のためのデータの収集、処理及び利用（第６条） 5) 電気通信の濫用予防のためのデータの収集、処理及び利用（第７条） 6) 脅迫電話等に関する発信回線情報の通知（第８条） 7) 発信電話番号通知（第９条） 8) 公共電話帳及びその情報の提供（第１０条、第１１条） なお、連邦経済省では、ＥＵ電気通信個人データ保護指令を受けて、電気通 信事業者データ保護令の改正の作業を進めているところである。 (3) テレサービスにおけるデータ保護に関する法律 インターネット等による電子商取引やその他マルチメディアサービスの利用 に関する法的枠組みの整備を推進するため、１９９７年（平成９年）７月に情 報通信サービスの基本条件の規制に関する法律（通称マルチメディア法）が制 定された。同法は、内容的には３つの新法と６つの法改正とからなっており、 個人情報保護を図るための新法として、テレサービスにおけるデータ保護に関 する法律がある。その主な内容は、以下のとおりである。 1) 個人データ処理の原則（第３条） (a)サービス提供者は、法律の承認又は当該個人が同意する場合にのみ、情報 通信サービスを提供するために当該個人のデータを収集、処理及び利用する ことができ、又は収集したデータを他の目的のために利用することができ る。 (b)サービスのための技術的設備は、個人データの収集、処理及び利用を行わ ない又はそれらを最小限にとどめるという目標に沿って設計されなければな らない。 (c)個人データを収集するときは、その収集、処理及び利用の方法、範囲、場 所及び目的を当該利用者に事前に通知しなければならない。 2) 匿名でのサービス利用（第４条） サービス提供者は、技術的に可能で無理なく期待できる範囲で、利用者が情 報通信サービスの利用及びその料金支払いを匿名又は仮名で行えるようにしな ければならない。 3) アクセスデータ等の削除（第４条） サービス提供者は、課金のために必要としない限り、検索、アクセスその他 利用者のプロセスに関するデータは、終了後直ちに削除することを、技術的及 び組織的な方法で保障しなければならない。 4) 契約上のデータ（第５条） (a)サービス提供者は、利用者との契約関係の存在、実質的な構成又は変更に 必要な範囲において、利用者の個人データの収集、処理及び利用を行うこと ができる。 (b)契約上のデータの通知、広告、市場調査及び技術的施設の構築を目的とす る処理及び利用は、当該利用者が明示的に同意を与えた場合にのみ認められ る。 (c)サービス提供者は、監督官庁の請求に応じて、犯罪の起訴、安寧秩序の保 護等に必要な範囲で、契約上のデータを引き渡さなければならない。 5) 利用データと課金データ（第６条） (a)サービス提供者は、利用データについては利用者のサービス利用のため、 課金データについてはサービスの利用に対して課金するために必要な場合の み、これらのデータの収集、処理及び利用をすることができる。 (b)サービス提供者は、課金データが含まれていない限り、利用データを速や かに、遅くとも各回の利用が終了した直後に削除しなければならない。 (c)既に不要となった課金データは削除しなければならない。請求明細を作成 するために保存する課金データは、当該明細の発送後遅くとも８０日目には 削除しなければならない。ただし、支払い請求がこの期間内に紛争の原因と なり、又は支払いがない場合にはこの限りではない。 (d)利用データ又は課金データは、市場調査を目的とする匿名の利用データ又 は課金のために必要な範囲の課金データを他のサービス提供者に移転する場 合を除いては、他への移転は禁止される。 (e)サービスの利用に関する請求書は、利用者が明細の発行を請求しない限 り、当該利用者が利用した時刻、時間、回数等を表示してはならない。 6) 情報閲覧権（第７条） 利用者は、自らの名のもとに蓄積したデータを、サービス提供者の営業所に おいて、いつでも無償で閲覧する権利を有する。かかる情報は、利用者の請求 に応じて電子的な方法でも提供しなければならない。 ６ フランス (1) 一般法 １９７８年（昭和５３年）に公的部門、民間部門の双方を対象とするオムニ バス形式の「情報処理、ファイル及び個人の諸自由に関する法律」が制定され た。 情報システムの事前の登録・許可制度の採用、個人情報の収集・記録・保存 についての個人の権利保障、アクセス権・訂正権等の承認、コンピュータ処理 のみならずマニュアル処理・機械処理についても一定の保護がなされること等 の特徴がある。 同法の適用を監視するための独立行政機関として、「情報処理及び自由に関 する国家委員会(CNIL)」が設置されている。ＣＮＩＬは、その任務の遂行のた め、規則制定権を有するほか、立入検査、刑事告発、苦情申立ての受理等を行 うことができる。 (2) 電気通信分野におけるプライバシー保護 ＥＵ電気通信個人データ保護指令で規定されている事項については、１９９ ６年（平成８年）の電気通信規制法及び関連デクレ（政令）の中に、既に盛り 込み済みである。特に、１９９６年（平成８年）１２月２７日付デクレ第96- 1175号では、通信内容の秘密の保護、電話番号情報の取扱い、発信電話番号通 知サービス提供のための条件その他データの収集・利用・外部提供に関する規 定が詳しく設けられている。 戻る
