「個人信用情報保護・利用の在り方に関する論点・意見の中間的な整理」に関する意見書

１. 法制化について

（１）民間部門の個人情報一般を規制対象とした個人情報保護法とともに、個人信用情報の保護と適正な利用を図る個人信用情報保護の立法は、早急に進めるべきである。

（２）当連合会としては、民間部門の個人情報一般を規制対象とした個人情報保護法の早期制定を求めており、１９９８年３月に策定した国の行政機関を規制対象とした個人情報保護法大綱（以下、「日弁連大綱」という）を踏まえつつ、民間部門の個人情報一般を規制対象とした個人情報保護法大綱を検討中である。

（３）現在、政府レベルにおける民間部門の個人情報一般の保護に係る法整備については、「高度情報通信社会推進本部」が設置した個人情報保護検討部会において、総合的に検討が進められている。

しかし、個人信用情報の分野は、不正利用や漏洩事件の多発と被害の深刻性に照らして、速やかに法的措置を講ずる必要性が高いこと、規制内容の面でも、多重債務防止の観点から与信における信用情報の適正な利用を図るという特有の課題があることなど、個人信用情報保護法を早期制定する必要性が高いと言える。

もちろん、個人信用情報保護法の制定に当たっては、個人情報保護法の検討作業と整合性を保つ必要があるが、個人信用情報保護法が先行して制定される場合には、後日個人情報保護法を制定した際に、改めて整合性を見直すものとすべきである。

（４）なお、当該個人信用情報保護法制化に当たっても、「プライバシー保護と個人データの国際流通についてのガイドラインに関するＯＥＣＤ理事会勧告」の個人情報保護８原則を最小限のルールと位置づけ、同８原則を規定中に明文で盛り込み、個人信用情報に係る規制が、個人情報に関するプライバシー保護等の基本的人権の擁護にあるとの趣旨が明確にされるべきである。

とりわけ、個人情報保護の問題については、いわゆる第三者機関の意義が極めて大きいことに鑑み、後記６. (５)のとおり、日弁連大綱第８章にあるような独立した第三者機関としての個人情報保護委員会の設置などが検討されるべきである。

(５) 「法制化を検討する際の留意点」について

Ａ． （イ）および（ホ）について

「罰則については、極力拡大せず、刑罰により保護されるべき個人信用情報をかなり絞り込む」との意見は適切であるが、行政的な規制については、個人信用情報の保護を十全ならしめるために必要な規制は前向きに導入すべきである。

Ｂ． （ロ）ないし（ニ）について

これらの意見は、法的規制の在り方について、基本的に与信業者や信用情報機関等の立場から新規サービスの展開や個人信用情報の利用等を抑制することのないよう、実務の現状も踏まえつつ制度化されるべきとの考え方を示したものである。

しかしながら、法制化に当たっては、消費者の立場に立って、個人信用情報の保護を第一義とすべきであり、その上で、個人信用情報の利用促進との適正なバランスを図っていくことこそが肝要である。この基本的視点に立脚しつつ、罰則、行政的規制及び民事的規制等の適切な各制度を構築していくべきである。

２. 法的な保護・規制の対象となる個人信用情報の範囲について

(１) 対象範囲について

個人信用情報の収集段階においては、ポジティブ情報の収集は、原則として認めないとすることが相当である。

一方で、既に収集されている情報の保護との関係では、与信情報以外の情報（購入商品に関する情報、資金使途に関する情報、預金に関する情報及び顧客資産の情報等与信以外の業務に係る情報並びに電子商取引に係る決済に関する情報等）についても、原則として広く保護の対象とすべきである。

(２) マニュアル情報の扱いについて

プライバシー保護等を徹底する観点からは、日弁連大綱第２（２）のように、電算機処理情報に限定せず、マニュアル情報も保護対象とすべきである。

３. 罰則の在り方とその適用範囲について

(１) 罰則の在り方について

罰則規定により個人信用情報保護の原則を実効あらしめようとすれば、当然、情報の収集、保管、利用、提供、開示等あらゆる段階において、処罰規定を設けることが考えうる。しかし、罰則以外の方法によって防止するのが適切な場合には罰則規定の創設は慎重でなければならず、罰則以外の方法によったのでは目的が達成できない場合に始めて罰則規定を設けるべきである。また、加えてその当罰性つまり処罰に値する行為だという社会的認識が国民になければならない。

罰則規定を設ける場合は、それはいかなる行為が処罰の対象になるかを明確に示すものでなければならず、その構成要件が曖昧であってはならない。

このような趣旨から、日弁連大綱第１１章においては、罰則の適用については、典型的で悪質な行為と考えられる実施機関等の職員等が不正に他人に情報を提供する行為及びそれを受領する行為等に限っている。両罰規定についても、情報に関する業務上横領あるいは背任罪に相当する実施機関等の職員の不正行為については、これを設けていない。

(２) 適用範囲について

個人信用情報保護の適用範囲においても、前述のような法制が望ましいと考えられる。個人信用情報については、消費者信用業者から信用情報を収集し、加盟業者への提供を行うことを業とする信用情報機関と、与信に当たって信用情報を収集・利用する与信業者（貸金業者・クレジット業者・金融機関等）とが存在する。それらの機関の職員は、日常的に個人信用情報に接することができる立場にあることから、在職中はもちろんのこと、退職後においても規制対象者とすべきである。

また、保証会社、債権回収代行業者、電話料金、通信販売会社など、滞納情報を提供する立場にある者も、規制対象とすべきである。

そこで、以上の業者・機関の職員が、信用情報を目的外に利用しまたは他の者へ不正に提供する行為は、罰則をもって規制すべきである。

また、これらの職員以外の者が、詐欺・脅迫・窃取その他の不正手段により個人信用情報を入手することも、罰則により規制すべきである。

さらに、不正流出情報の故買行為についても罰則が必要である。

(３) 自主ルールとの関係について

罰則の範囲を広げないとしても、その他の領域が全て自主的規制に委ねられるのでなく、一定の法的規制に服すると考えるべきである。自主的規制になじむ領域があることは否定できないが、自主的規制に委ねる事項については、これに実効性を付与すべく、各都道府県の個人情報保護条例に見られるような独立した第三者審査機関を設け、企業の自主規制を一括して審査し、必要に応じて行政処分等を行うことを検討すべきである。

４. ポジティブ情報の交流について

与信業者が消費者から収集した個人信用情報を、個人信用情報機関または他の与信業者に提供・交流することは、本来は目的外利用に当たる行為であり、原則として許されないものと考えるべきである。ただし、過剰与信を避けるためには、与信を受けようとする者の取引経歴全体を与信業者において把握できる制度が整備されていることが望ましく、この点からは、ポジティブ情報を情報機関相互で交流させることが望ましいという考え方もありうる。しかし、個人信用情報の収集、管理、提供の機構も法的ルールも未整備の現状では、ポジティブ情報だからといって、直ちに交流を許すべきではない。個人信用情報の管理法制が確立し、事実上も十全な管理が定着した後において、ポジティブ情報の交流を検討すべきである。

５. 消費者に対する与信業者への正確な情報提供の義務づけについて

（１）本来、与信業者は、与信を行うに際して消費者に対する質問や独自調査により自らの責任において与信判断をすべき立場にあり、本来、対等な取引場面においても不利益情報を積極的に告知する法的義務を課すことは、認められていない。

ましてや、必要に迫られて借り入れを申し込む立場にある消費者に対して、不利益情報の告知を法が義務づけることは、実態を無視した議論である。

（２）個人信用情報機関を制度化した場合であっても、与信業者と消費者との取引場面は本質的に違いはなく、消費者に不利益情報の積極的告知義務を課すことは、到底認められない。

適正な与信判断のためには正確な情報が収集されていることが必要であるとしても、そのために消費者に対し正確な情報提供義務を課すのが望ましいという議論は、あまりにも安易な発想であり、本末転倒である。なお、消費者が特に悪質な方法で虚偽の情報を申告して与信を受けた場合には、刑法の詐欺罪や破産法の免責不許可事由によって対処することが可能であり、新たに正確な情報の告知義務を設ける必要はない。

（３）情報の正確性を確保する方法として、信用情報機関相互で与信情報や事故情報を交流することが検討されているが、慎重にすべきである。

信用情報機関相互で情報を交流させることは、情報の目的外利用になり、原則として許されない。しかし、信用情報の特殊性から、多重債務者の発生を未然に防止するという目的のために、例外的に、与信に関する基本情報のみを交流させることが許されると考えるべきである。この場合には、情報の提供を受けたものが、当該情報を与信判断以外に使わないという厳しい規制方法を確保しておくべきである。

６. 今後の検討課題について

(１) 「法的措置の対象とするのが適当な個人信用情報の範囲と自主ルールの対象とするのが適当な範囲の整理」について

1. 法的措置の対象とするのが適当な「個人信用情報」自体の範囲については、概ね上記２. のとおりであるが、「個人信用情報」の保護の担保のためには、当該「情報」を取扱う事業者に対する行為規制が不可欠である
2. 行政的な行為規制については、個人信用情報保護を十全ならしめるため、個人情報を集積して取扱う事業者は、原則として、すべて規制対象とすべきである。即ち、信用情報機関、与信業者、与信業者に準ずる保証会社、債権回収代行組合、割賦販売業者（自社割賦のみを行う業者も含む）、これらの機関及び業者から情報提供を受ける業者並びに信用情報機関に情報提供を行う者も規制対象となる。
3. 一方、罰則による行為規制については、上記 ３. （２）のとおり、その対象となる行為等を絞り込む必要がある。
4. 自主ルールの対象とするのが適当な個人信用情報の範囲については、罰則の適用範囲の絞り込みとの関係に留意しつつ、行政的及び罰則による行為規制と連携するものとして個人信用情報保護の実効化を図る観点から検討されるべきである。

(２) 「誤情報を訂正する権利等情報主体の権利」について

Ａ．情報主体に、法的権利として自己情報開示請求権、訂正・削除請求権及び中止請求権を付与することを明確に規定し、情報主体がこれらの請求権を適正に行使しうる制度とすべきである。

なお、「情報主体の権利」に係る関連論点については、以下のとおりである。

Ｂ． 本人以外への情報開示について

情報の開示対象は、原則本人のみとすべきであるが、未成年者の法定代理人、連帯債務者及び保証人への開示、本人が失踪している場合等具体的必要に応じて開示する方向で、さらに検討する必要がある。

Ｃ． 捜査照会への対応について

捜査照会は任意捜査であって、個人情報の開示も努力義務にとどまっており、原則として開示すべき法的義務はないが、例外として、捜査事案の重大性及び開示の必要性と個人のプライバシーの保護等との比較衡量により、個別具体的に開示する場合は存在すると考えられる。

(３) 「情報漏洩等の早期発見のための施策」について

1. 情報主体として、不必要な情報を提供しないことが望まれるが、経済的弱者の消費者が不必要と思う情報でも経済的強者の与信業者から提供を求められれば、提供せざるをえない場合もあるので、特に、信用情報機関及び与信業者の行政機関に対する届出書類等を一般閲覧に供し、どの機関・業者がどのような情報を保有し、どのように使っているのかを確認できるようにするなどして、情報漏洩の疑いを消費者自身が検証することのできる制度を法制化すべきである。
   具体的には、情報主体による開示請求権の対象として、「加盟業者の利用履歴（アクセス歴）」を開示させることが重要である。これによって、情報主体は申し込みをした覚えのない与信業者からのアクセスの存在を察知し、これを個人信用情報機関に申告して不正利用の調査を求める契機となる。
2. 人信用情報機関による情報漏洩のモニタリングの推進が必要である。
   ただし、調査手法の開拓や工夫など自主的な検討が、さらに望まれる段階であることから、当面は自主規制対策として整備することとなろう。

(４) 「民事訴訟手続きによる救済の在り方」について

1. 情報漏洩時における挙証責任転換に係る規定は、不法行為責任を立証する上で極めて困難と思われる部分の存在等に鑑み、不可欠である。
2. 日弁連大綱第７２及び第７３のように、収集制限の原則、保管制限の原則、目的外利用、外部提供禁止及び結合制限の原則に対する違反並びに違法な開示請求拒否につき、情報主体に係る権利侵害に関するみなし規定を設けるべきである。

(５) 「行政機関による監督」について

個人信用情報機関及び与信業者等に対する規制を実効あらしめるため、行政機関による監督を機動的に行うことのできる公的なシステムを創設し、これに必要な権限を付与すべきである。

民間部門の個人情報一般の保護に係る法整備も視野に入れた上で、日弁連大綱第８章のように、独立した第三者機関たる個人情報保護委員会を設置し、当面は、同委員会の委員及び事務局に独立した調査権限を付与し、その調査権限行使という形で、オンブスマン的な機能の発揮も求める制度とすることとするが、将来的には、同委員会に、英国のデータ保護登録官のような機能が付与される制度の構築を積極的に検討すべきである。

特に、個人情報保護の問題については、いわゆる第三者機関の意義が極めて大きいことを銘記する必要がある。

(６) 「信用情報機関への加盟与信業者による個人信用情報の登録・照会の在り方」について

多重債務の防止のためには、与信業者が与信に際し個人信用情報機関の情報を調査することを義務づけることが不可欠である。これによって、既に支払い遅滞を生じている消費者に対する追加与信は防止されるはずであり、多重債務に陥る者への早期対処が可能となる。

現状では、既に弁護士が介入して任意整理や自己破産手続きを行っている者に対してまで、複数の貸金業者から融資を勧誘するダイレクトメールが送付されている状況であり、ネガティブ情報の交流すらも適切に行われているとは言い難い。

そして、与信業者に信用情報調査義務を課すための条件整備として、与信業者はいずれかの個人信用情報機関に加入すること、並びに与信業者自身が入手した事故情報を確実に登録することが、義務づけられなければならない。その結果、いずれの信用情報機関にも登録していない与信業者は営業が許されないことになる。この場合の問題として、一方では、既存の個人信用情報機関が業者の加盟要件を見直す必要がある。他方では、信用情報の交流内容があまりにも不完全な信用情報機関では実効性が確保出来ないことから、信用情報機関の認可・登録等の開業規制を設けることが必要となろう。

(７) 「信用情報機関の定義や在り方」について

情報の交流を目的として設置される個人信用情報機関は、収集・保管・提供の全般にわたって規制が必要であり、かつ登録・調査義務の前提条件を整備することが必要であることから、認可・登録等の開業規制が必要である。また、収集に関する規制の場面では、個々の与信業者と個人信用情報機関とで区別が必要であるが、不正利用禁止等の場面では、与信業者と個人信用情報機関との双方が規制対象とされる必要がある。