行政書士 一般知識 問25｜個人情報保護法の罰則・個人情報保護委員会

誤りはウです。個人情報保護委員会は「内閣府の外局」として設置されていますが、「内閣府大臣の指揮監督のもとで職務を行う」という点が誤りです。個人情報保護委員会は独立した行政委員会であり、その職権行使において内閣府大臣（または内閣総理大臣）の指揮監督を受けません（133条「委員会の委員長及び委員は、独立してその職権を行う。」）。ア（正）：報告徴収・立入検査（146条）、指導・助言（147条）、勧告・命令（148条）は委員会の権限です。イ（正）：命令違反は178条で処罰され、両罰規定（184条）により法人も罰金刑の対象です。エ（正）：漏えい等の報告・本人通知義務（26条）の内容です（対象となる事態は個人情報保護委員会規則で定められています）。オ（正）：委員長・委員は在任中、法定の事由がある場合を除きその意に反して罷免されません（136条）。

ウが誤りです。個人情報保護委員会は、内閣府設置法49条3項の規定に基づいて置かれ（130条1項）、内閣総理大臣の所轄に属する（同条2項）合議制の独立行政委員会です。133条は「委員会の委員長及び委員は、独立してその職権を行う。」と定めており、職権行使において内閣府の大臣（または内閣総理大臣）の指揮監督を受けない点が重要な特徴です（公正取引委員会・国家公安委員会等と同様の独立行政委員会の類型）。これは個人情報保護の執行において政治的中立性・専門性を確保するための設計です。ア（正）：事業者に対する委員会の権限は、①報告・資料提出の要求と立入検査（146条）、②指導・助言（147条）、③勧告（148条1項）、④勧告に従わない場合等の命令（148条2項・3項）と段階的に設計されています。イ（正）：148条2項・3項の命令に違反した者は1年以下の拘禁刑又は100万円以下の罰金に処せられ（178条）、法人には両罰規定により1億円以下の罰金刑が科されます（184条1項1号）。エ（正）：26条は、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める事態が生じたときの委員会への報告（1項）と本人への通知（2項）を義務付けています。規則で定める事態には、要配慮個人情報の漏えい等、1,000人を超える漏えい等、不正アクセス等による漏えい等が含まれます。オ（正）：136条は、委員長及び委員は法定の事由（破産手続開始の決定、拘禁刑以上の刑に処せられたとき等）がある場合を除いて、在任中、その意に反して罷免されることがないと定めています。

【独立行政委員会の理論】

独立行政委員会（independent administrative commission）は、行政の民主的コントロールを受けながらも政治的中立性・専門技術的独立性を確保するために設けられた合議制の行政機関です。日本では公正取引委員会・国家公安委員会・原子力規制委員会・個人情報保護委員会等がこの類型に属します。個人情報保護委員会は、内閣府設置法49条3項の規定に基づいて置かれ（130条1項）、内閣総理大臣の所轄に属しますが（同条2項）、委員長及び委員は独立してその職権を行います（133条、ウの誤りの根拠）。これは憲法65条（「行政権は、内閣に属する。」）との緊張関係がありますが、法律が明文で職権行使の独立性を定めることで独立性が認められています。委員長・委員は両議院の同意を得て内閣総理大臣が任命し（134条3項）、任期は5年で（135条1項）、法定の事由がある場合を除きその意に反して罷免されません（136条）。この身分保障が独立性を担保する法的仕組みです（オの根拠）。

【個人情報保護委員会の権限と執行体系】

個人情報保護委員会の事業者に対する権限は段階的に設計されています。①報告徴収・立入検査（146条）→②指導・助言（147条）→③勧告（148条1項）→④命令（148条2項・3項）という順序で、段階的に強度が増します。命令に違反した場合は1年以下の拘禁刑又は100万円以下の罰金（178条）が科され、法人に対しては両罰規定により1億円以下の罰金刑が科されます（184条1項1号、イの根拠）。官民の規律の一元化により、行政機関等も委員会の監視の対象となっています。ただし行政機関の長等に対しては、資料の提出の要求及び実地調査（156条）、指導及び助言（157条）、勧告（158条）という、事業者向けとは別の仕組みが設けられています。外国の個人情報保護機関との協力・情報共有も国際的な規律の観点から重要です（EUのGDPR（一般データ保護規則）との十分性認定：日本のPPCとEUが相互に十分な保護水準を認定）。

【漏えい報告制度の詳細】

26条が定める漏えい等の報告・本人通知の対象は、「個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの」であり、規則では①要配慮個人情報の漏えい等、②不正アクセス等による漏えい等、③財産的被害が生じるおそれがある漏えい等、④1,000人を超える個人データの漏えい等、が定められています（エの根拠）。委員会への報告の方法・期限（速報と確報の二段階）も規則で定められています。本人への通知は26条2項によりますが、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでないとされています（同項ただし書）。26条違反は148条の勧告・命令の対象であり、命令に違反すると178条の罰則が適用されます。

【委員会の監督と限界】

個人情報保護委員会の監督は国内の個人情報取扱事業者を主な対象としていますが、越境データ移転規制（28条：外国にある第三者への提供の制限）という形で国際的な場面にも及びます。EU・GDPRとの関係では、2019年に日EU相互の十分性認定が行われ（EUから日本への個人データ移転が簡易化）、定期的な見直しが行われています。しかしGAFA等の大規模プラットフォーム事業者への実効的な規制は依然として課題であり、個人情報保護委員会の執行リソース・権限の強化が政策議題となっています。行政書士試験では委員会の独立性（ウの誤り）と漏えい報告義務（エ）が特に出題されやすい論点です。

【根拠条文】

個人情報の保護に関する法律 第26条（漏えい等の報告・本人通知義務）、第130条（設置・内閣総理大臣の所轄）、第133条（職権行使の独立性）、第136条（身分保障）、第146条〜第148条（報告及び立入検査・指導及び助言・勧告及び命令）、第178条（命令違反の罰則）、第184条（両罰規定）

【補足】

個人情報保護委員会は「内閣府外局だが独立行政委員会であり指揮監督を受けない」（ウ誤り）。「指揮監督を受ける」とする選択肢は典型的な引っかけ。漏えい報告の4要件（エ正）も頻出論点。