オプトアウト時の届出ルールは、あるいは名簿屋対策を念頭に置いているのかもしれない。行為規制法として事業者全般に広く網を掛けることは、事業者への影響も大きいし、情報が膨大になり、本人にとっても公表資料の確認が難しくなる。それゆえ、あまり妥当とは思えない。米国FTCがかつてデータ・ブローカーを調査したように、まずは第三者機関が名簿屋の実態を調査し、実態に応じた名簿屋対策の特別法を定めるのが妥当であろう。大綱では、「国境を越えた情報流通を行うことを可能とする枠組みの創設にあたって認証業務を行う民間団体」の存在を想定している。そのような仕組みについて、IT戦略本部のもとで大綱の策定にあたった「パーソナルデータに関する検討会」で十分な議論がなされたようには思えない。そのような仕組みは、単に官僚の天下り先機関を作ることにならないか、代替策としてどのような仕組みがあるか、といった点につき、十分な議論がなされるべきである。その中でプライバシー・コミッショナーは、事業者がプライバシー保護に投資する十分なインセンティブを法律が定めていないと指摘し、対応の選択肢の一つとして、たとえば課徴金を科す権限をプライバシー・コミッショナーに持たせるべきであると提唱している。この提唱や、先にみたEU規則で多額の行政罰を科せる権限をプライバシー保護機関に付与していることを参考に、日本でも第三者機関に課徴金を科す権限を与えるのが妥当であろう。第三者機関は、民間企業のみならず、公的機関におけるパーソナルデータの取扱いの監督もすべきである。事業官庁として自らもパーソナルデータを利用している総務省ではなく、独立した第三者機関に十分な権限を与え、公的機関を監督させるのが適切である。大綱では、主務大臣との関係について、「第三者機関を中心とする実効性ある執行・監督等が可能となるよう各府省大臣との関係を整理する。整理に当たっては、独立した第三者機関を設置する趣旨に鑑み、第三者機関と各府省大臣との役割の明確化を図るとともに、重畳的な執行を回避し効率的な運用を行うために、緊密な連携のもと業務を行うこととする。