金融審議会金融分科会特別部会（第17回）議事要旨

(1)「金融分野における個人情報保護に関するガイドライン」を踏まえた自主ルールのヒアリング

(2)(財)金融情報システムセンター「金融機関等コンピューターシステムの安全対策基準」改訂状況ヒアリング

(3)個人情報保護に関する検査・監督の現状及び今後のあり方について

(4)法制上の措置の必要性について

○全銀協の自主ルール案に提示された、利用目的の例示等の雛形については、実際に、どの個人データがどこで利用されるのか、利用に対して拒絶する場合はどうするのか、及び個人データの保存期間の定めについて等の記載が不明確である。また、雛形が策定されることで、金融機関が一律、画一的に同じ文言で対応するのでないかと懸念している。

（→雛形はあくまで雛形であり、個別の銀行が各自の戦略に沿って、個別の顧客にどう働きかけていくかは、各社の自主性に基づくもの。協会指針における利用目的の記載は、網羅的であるとともに、データの正確性の確保・保存期間等については、今後策定予定の安全管理措置の指針に盛り込む予定である。）

○ダイレクトメールの発送に係る利用目的については、個人情報取扱時に本人に拒否するか否かを個々に確認する措置を講じるべきではないか。特に与信に関する情報では検討が必要ではないか。

○昨今、金融機関を取り巻く環境は大きく変化しており、業法等における行政措置を通じた個人情報保護の実効性の確保だけでなく、刑罰を伴う立法の必要性も依然として存在すると思う。今後の課題として金融サービス法等の枠組における個人情報保護のあり方を検討するとともに、悪意を持って個人情報を窃取した者に対する刑罰等につき、省庁横断的に引き続き検討して欲しい。

○個人情報保護に関しては、法令、金融庁ガイドラインおよび自主ルール等により十分実効性は担保されていると考える。加えて、個人情報が漏えいした場合には、事業者に対し厳しい社会的制裁も課せられ、これ以上、刑罰により事業者に制裁を加える必要があるかどうか疑問。

○個人情報保護法及びガイドライン等により、どこまで個人情報保護の実効性があるのかという論点について、保護される側からの視点により、十分か不十分かの議論をすべき。

○個人情報保護のための実効性ある措置を講じるために、これまでの検査・監督措置に加えて、特別の措置により業務停止処分等の権限を明確にすべきではないか。特に、信用情報及びセンシティブ情報管理については、企業側の努力だけに委ねるのでなく、悪意の詐取については刑罰を伴う立法が必要ではないか。

○金融分野は他の分野と異なり、ガイドラインも非常に細かく、さらに、業法に基づく検査や監督に基づく行政処分等の措置による拘束力もある。よって、今の段階での個別立法は反対であり、まずは現行法の枠組で施行すべき。

○金融分野のガイドラインは、安全管理措置も非常に詳細かつ厳格である。実務対応に要する期間もあるため、法制上の措置についても年内には結論を出すべき。

○従来から、金融機関は顧客との間で漠然と情報管理義務があるという状態であったと考えられ、個人情報保護法等が制定されたことにより、新たな義務が発生したということではなく、今まで漠然としていたことについて内容が具体化されたという認識の方がよいと考える。従って、事業者における実効性確保の方法としては、個人の責任追及の色彩の強い新たな刑罰の立法より、業務改善命令等の方が事業者には効果的ではないか。

○法利益はバランスが重要であり、金融分野の個人情報に関し個別法により規制をすべきという議論はややバランスを欠いているのではないか。個人情報を不当に取得したが犯罪に至っていないという、いわば詐取した者に対する処罰については、現段階ではコンセンサスが形成されていないと考える。

○国家による刑罰については謙抑的でなくてはならない。個別立法により刑罰を設け、場合によっては一個人の人生に甚大な影響を与える方法よりは、事業者に対し、業務停止命令等により処分を行う方が、個人情報の漏えい等に対する措置としては実効的かつ効率的ではないか。

○金融分野の個別法よりも、今後、ガイドラインが固定化されぬよう、短い期間で見直し等を行うこと等、いかに実効性・透明性を確保した運営がなされるかということが重要ではないか。一方、個人情報の詐取については、今後とも議論が必要ではないか。