個人情報保護法等改正案及び同法に係る下位法令とデジタルコンテンツ等との関係に関する質問主意書

現在、国会で審議されている個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律案（閣法第三四号。以下「本法律案」という。）及び同法に係る下位法令とデジタルコンテンツ等との関係について次のとおり質問する。

一　個人識別符号とFacebook　IDについて

Twitterなどの匿名性に比べて、「Facebook　ID」の場合、実名のため「個人情報」であると思われているが、オンラインゲームで使用する「Facebook数字ID」に、「アプリケーションID」、「APIキー」、「シークレットキー」の四情報を集めないと実名取得は不可能である。この点を理解した上で、個人識別符号に関する政令あるいは個人情報保護委員会規則等（以下「政令等」という。）を定めるのか。

二　「利用目的による制限」について

例えば、「ブラウザゲームの資産譲渡」については、現行の個人情報の保護に関する法律（以下「個人情報保護法」という。）第十六条第二項に規定する「合併その他の事由」に基づく「他の個人情報取扱事業者から事業を承継すること」に含まれると解釈しているが、この解釈は妥当か。

三　「本人からの開示請求」について

本法律案による改正後の個人情報保護法第二十八条第二項においては、個人情報取扱事業者が本人から当該本人が識別される保有個人データの開示を請求された場合は、「本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない」と規定されている。しかし、モバイルコンテンツでは、個人名は取得せずに携帯端末IDのみしか分からないケースが多い。その中で、左記のようなデータについて本人から開示請求された場合を踏まえ、政令等においてどのように規定するのか、それぞれ示されたい。

１　iOSの「IDFA（Identification　For　Advertisers）」について

ユーザーがiOSの設定画面からAdvertising　Identifierを取得できないように設定することや、リセットすることがボタン一つで可能であり、個人情報に敏感な者はリセットしている可能性が高い。リセットした者が開示請求した場合、開示が困難であると考えられるが、政令等においてどのように規定するのか。

２　androidの「ANDROID　ID」について

複数のアプリ間で同じ値が取得可能であるが、異なる端末で異なる値が返ることが保証されているわけではない。そのため、本人から開示請求されても別の者のデータと混ぜて本人に開示せざるを得ない可能性が高い。その場合は、開示の正確性に疑問が生じるが、どう対応するのか。あるいは、別の者の情報が混ざり得ることから、本法律案による改正後の個人情報保護法第二十八条第二項第一号に定める「第三者の（中略）権利利益を害するおそれがある場合」に該当するとして、一律の不開示を認めるのか。

３　androidの「Advertising　ID」について

リセットすることがボタン一つで可能であり、個人情報に敏感な者はリセットしている可能性が高い。リセットした者が開示請求した場合、開示が困難であると考えられるが、政令等においてどのように規定するのか。

四　「開示請求手続」について

オンラインにおける開示請求については、「本人」に成りすまして請求するといった悪用が懸念され、情報が漏れることがないようにする具体的な手段が必要ではないか。

本法律案による改正後の個人情報保護法第三十二条第一項により、個人情報取扱事業者は、開示請求に関し、「政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる」こととなっている。開示請求する本人側が「本人であること」を証明するためにメールに何か添付させることを想定しているのか。また、その場合、事業者側はその「本人確認」をどのように行うのか。本人確認の具体的な手段は、政令で定めるのか、あるいは個人情報保護委員会規則等の下位法令で定めるのか。

政令等においては、本人の開示請求に係る「求め又は請求を受け付ける方法」に関し、本人又は個人情報取扱事業者が採るべき必要な措置の内容を詳細に定める予定か、あるいは抽象的に「適切な対策を講じる」程度の規定とする予定なのか。

右質問する。

一について

お尋ねの「政令等」については、対象となる符号の割当ての方法や利用の実態を踏まえ、検討してまいりたい。

二について

お尋ねの「ブラウザゲームの資産譲渡」の意味するところが必ずしも明らかでないが、一般論としては、事業を承継することなく単に資産の譲渡を受けることは、個人情報の保護に関する法律（平成十五年法律第五十七号）第十六条第二項に規定する合併その他の事由により他の個人情報取扱事業者から事業を承継することには当たらないものと考える。

三について

御指摘の符号が個人識別符号に該当するか否かについては、その割当ての方法や利用の実態を踏まえて検討する必要があるが、利用者ごとに異なるものとなるように割り当てられることにより、特定の利用者を識別することができるものであれば、御指摘のような「開示が困難である」とか「別の者の情報が混ざり得る」という問題はないと考える。

四について

お尋ねの「本人確認の具体的な手段」については、個人情報の保護に関する法律施行令（平成十五年政令第五百七号）第七条第三号において、個人情報取扱事業者が開示等の求めを受け付ける方法として定めることができる事項とされているところ、この規定に関して実質的な改正を行うことは、現時点では考えていない。