金融審議会第二部会（第21回）議事要旨

○部会オブザーバーの紹介が行われた。

○事務局より「個人情報保護基本法制に関する大綱」と個人信用情報に関するこれまでの議論の比較を中心に説明が行われた。

○その後、自由討論が行われ、最後に部会長より、「個人情報保護基本法制に関する大綱」の内容にかんがみ、個人信用情報に関してどのような追加的な措置を講ずるべきかということについて検討を深めるためには、その前提となる基本法制の法案の内容が固まったところで議論することが適当であり、今後の検討の進め方については状況をみながら考えたい旨提案があり、了承された。

◆「個人情報保護基本法制に関する大綱（以下大綱）」をみる限り、基本法制の細部が明確となっていない状況であり、現段階で追加的な法制上の措置に関する必要性について議論することは時期尚早で難しいのではないか。

◆大綱が法案化作業の中でどのように固まっていくのかが明確にならなければ個別法制についての議論は難しいが、例えば、大綱の中の「業務の適正な実施に支障を及ぼすおそれ」等にみられる適用除外事項の在り方や、オプトアウトの規定等はこのままでは不十分であり、別途改善が必要と思われる。

◆金融は、社会一般的に利用せざるを得ない血流のようなものであるので、特別な措置を講ずる必要性は高い。具体的には、事業者を規定して、従業員に守秘義務を課すという方法も考えられる。また、金融に関わるサービスの中で、決済・資金調達・資産運用等業務内容ごとに区分し、社内を含めグループ会社間でファイヤーウォールを設けることはある程度必要ではないか。

◆国民の大多数が利用することを踏まえ、規制のエンフォースメントに関する特段の措置が必要。例えば、ユーザーから監督当局への措置請求権及び業者からの不服申立権を認めることも一案。

◆コンプライアンスの観点から、社会一般に明らかにする目的で監督官庁が基本法制の実施状況等の一部（適切に保護が図られている業者等）を公表することも有用であると思われる。

◆大綱では、小規模の個人情報データベース等のみを取扱う事業者は基本法制の適用除外としているが、金融分野では、業者の大小によって規制の適用の有無を区別することは適切ではない。

◆法令だけではなく、自主ルール等も含めた重層的な制度整備が必要。

◆金融分野における個人情報の保護は、個人の経済的な信用に関わる問題であり、消費者保護にかんがみて適切な保護が必要。個人信用情報保護の法制化は、業態ごとの縦割りではなく、金融商品の販売等に関する法律に続く日本版金融サービス法の第２弾として取引内容に着目して統一的に規制するルールが必要であり、その方が金融業の活性化にも資するであろう。

◆金融機関の立場から発言すると、基本法制には罰則規定も盛り込まれる見通しであり、保護措置の実効性を担保できていると認識している。これに加え、主務官庁・業界が自主ルールの整備に取り組むこともあり、個人信用情報を特に区別して追加的な法規制を課す必要はないと思われる。大綱でもセンシティブ性によって情報を区別していない。

◆基本法が策定される見通しがつかない現状では特別法の議論は難しい。これまで「個人信用情報保護・利用の在り方に関する懇談会」及び「個人信用情報保護・利用の在り方に関する作業部会」においては、基本法が策定される見通しがつかない中で議論がなされていた。そこでの議論は欧州で制定されているルールを基本線として考えていたが、大綱に基づく個人情報一般に係る基本法制が、欧州と同レベルといえるかは疑わしい。これらを考慮すれば、個別法制の整備は必要と思われる。

◆基本法制と特別法としての個別法及び自主ルールとの関係が必ずしも明確ではない。基本法制においては、民事的な請求権は柔軟に使えるようであるが、様々な場面が想定されるにもかかわらず、運用基準が具体性に欠けるものとなれば、運用が難しくなると思われる。他方、条文の解釈を全て裁判所に委ねるという考え方は、判例が出揃うまで運用上の安定性を欠くものとなるだろう。したがって、「業務の適正な実施に支障を及ぼすおそれ」等の要件の明確化を図る特別法が必要かどうかについて検討が必要である。また、個別法の整備は、情報主体に具体的な権利を与えることを意味するが、基本法制の内容との関係を法律的に十分詰める必要がある。

◆罰則の要件として、信用情報を特別なものとして定義づけ、そこから議論を深めていくことも考えられる。その際には、罰則により保護する法益を明確化する必要がある。また、基本法制では、その運用に当たって自主ルールへの期待が大きいようだが、業者に自主ルールを策定し遵守させるためにどのようなインセンティブを与えるかという点も重要である。その際には、金融商品の販売等に関する法律のように法律で義務付けるというやり方もあるかもしれない。

◆業者が、どのような自主ルールを設けているのか、どのような監査を行っているのかを開示すべきである。ディスクロージャーとチェック体制を整備することにより個人情報保護の実効性が担保される。

◆大綱に盛り込まれた苦情の処理を行う団体の認定については、供給者（業者）側の論理だけが優先されていると見られるおそれがあり、弁護士等も申請者に含めるなどの利用者側の観点からの工夫が必要である。

◆信用情報の範囲を決めることは非常に難しい。基本法が施行されると、業者のみならず行政にも変化が見られると予想されるため、当面は、自主ルールで十分対応できると考えたい。社会的に不道徳な行為がなされた場合、特に処罰された業者はマスコミ等世間から厳しく追及されることは必至であり、自主ルールの実効性は担保されている。自主ルールの実効性を担保するためのインセンティブとしては、その遵守状況に応じて業者を格付けするという方法も考えられるのではないか。

◆自主ルールだけでは不十分な場合があると思われる。厳しい自主ルールを遵守している業者にとっては、個別法が策定されても問題はないはずである。むしろ、主務官庁が曖昧な業者が心配である。消費者からの信頼性を向上させるためには、優良企業には特定のマークを付すなどの認証制度を導入することも考えられる。また、業界団体は、案外、傘下の業者の呼び出し、仲介・斡旋を行う力がないという印象をもっており、苦情処理団体の認定については裁判外紛争処理制度（ＡＤＲ）と併せて検討することが有用と思われる。

◆なぜ特別法として個別法を策定するのかを明確にする必要がある。大綱では、行政処分に従わない場合に罰則が適用されることとなっているが、個別法では、行政処分を待たずに刑罰を課すというオプションも考え得る。

◆自主ルールと当該業界を所管する行政当局との関係をどのように考えるかも論点の一つ。例えば、主務官庁が標準的なひな型を定め、それに沿って事業者別に内部管理を行うというやり方では、自主ルールの内容は最低限のレベルに止まるのではないか。やはり、自主ルールの内容は業者の自主性に任せて、その遵守状況等を潜在的な顧客も含めて対外的に明らかにするという方法が優れていると思う。

◆悪意・故意に情報を漏洩するような場合は、厳しい自主ルールを設けたとしてもこれを100%防止することは難しい。刑罰を法制化する場合は、構成要件の明確化を図る必要はあるが、刑罰を用いた抑止も検討しうる。

◆大綱に記載されている内容で、個人情報保護のために業者が実務上必要な事項は満たされている。ただし、金融ビックバン以降、業態の垣根がなくなりつつある中、ワンストップショッピングを指向する流れとそれに係る規制との調整を図る必要がある。

◆情報の適正な管理の問題にも関わるが、一般的に認知されている金融機関等の情報流用・漏洩ではなく、当該金融機関等に蓄積されている情報を悪意を持って窃取しようとする者への対応を意識する必要がある。しかしながら、大綱はこの点をあまり意識していないようだ。

「個人信用情報に関する検討を行う上で必要となる論点」（PDF：134KB）

「個人情報保護基本法制に関する大網」と個人信用情報に関するこれまでの議論との対比」（PDF：250KB）