資料２

個人情報保護法 いわゆる３年ごと見直し規定に基づく検討（データ利活用に向けた取組に対する支援等の在り方）

令和６年５月15日
個人情報保護委員会事務局※ 本資料における外国法令等の日本語訳は仮訳である。

本人同意を要しない公益に資するデータ利活用の在り方①
１．個人情報の有用性への配慮に係る個人情報保護法の考え方（目的）
第一条 この法律は、デジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにし、個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応じて遵守すべき義務等を定めるとともに、
個人情報保護委員会を設置することにより、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。
（基本理念）
第三条 個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。

個人情報保護法は、デジタル社会の進展に伴い個人情報等の利用が拡大している中で、個人情報保護法第３条の基本理念に則し、プライバシーの保護を含めた個人の権利利益を保護することを目的としている。他方、デジタル技術の活用による個人情報等の多様な利用が、個人のニーズの的確な反映や迅速なサービス等の提供を実現
し、政策や事業活動等の面でも、国民生活の面でも欠かせないものとなっていることに配慮している。
個人情報の保護と有用性に関するこの個人情報保護法の考え方は、各主体における実際の個人情報等の取扱いにおいても、十分に踏まえる必要があり、個人情報の保護に関する施策を推進するに当たっては、個人情報の保護と適正かつ効果的な活用のバランスを考慮した取組が求められる。

（出典）個人情報の保護に関する基本方針（平成16年４月２日閣議決定、令和４年４月１日一部変更）

1

本人同意を要しない公益に資するデータ利活用の在り方②
２．本人同意を要しない個人情報の取扱いに係る現行法の規律（概要）①（利用目的による制限）
第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した
場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令（条例を含む。以下この章において同じ。）に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

個人情報保護法第18条第３項各号に掲げる場合については、同条第1項及び第2項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意を得ることが求められる場合であっても、当該同意は不要。
同条第３項は、他の権利利益の保護を優先すべき場合にまで一律に規定の適用を行うことは適当でないこと等に鑑みて、一定の適用除外規定を設けるもの。
2

本人同意を要しない公益に資するデータ利活用の在り方③
２．本人同意を要しない個人情報の取扱いに係る現行法の規律（概要）②（適正な取得）第二十条 （略）２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個
人情報保護委員会規則で定める者により公開されている場合
八 その他前各号に掲げる場合に準ずるものとして政令で定める場合

要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、個人情報保護法第20条第２項各号に掲げる場合については、本人の同意を得る必要はない。
同項各号は、本人の利益のために必要がある場合や他の利益のためにやむを得ない場合には、要配慮個人情報の取扱いを認めるのが相当であること等に鑑みて、例外的な取扱いについて定めるもの。
3

本人同意を要しない公益に資するデータ利活用の在り方④
２．本人同意を要しない個人情報の取扱いに係る現行法の規律（概要）③（第三者提供の制限）
第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）。
（略）

個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならない。ただし、法第27条
第１項各号に掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要。
同項各号は、他の権利利益の保護を優先すべき場合にまで一律に規定の適用を行うことは適当でないこと等に鑑みて、一定の適用除外規定を設けるもの。
4

本人同意を要しない公益に資するデータ利活用の在り方⑤
３．個人情報等をめぐる状況①個人情報の保護に関する基本方針（平成16年４月２日閣議決定、令和４年４月１日一部変更）（抜粋）

近年、ＡＩ、ＩоＴ、クラウドサービスや５Ｇ等のデジタル技術の飛躍的な進展により、多種多様かつ膨大なデータの収集・分析等が容易か
つ高度化している。このようなデータや技術が官民や地域の枠又は国境を越えて利活用されることにより、官民双方のサービスの向上や、地域の活性化、新産業・新サービスの創出、国際競争力の強化や我が国発のイノベーション創出が図られることが一層期待されている。
また、新型コロナウイルス感染症対応に伴う新しい生活様式の進展と相まって、地域、国境や老若男女問わず、様々な個人や業種・業態の事業者等がデジタル社会に参画し、生命、身体、財産といった、人や組織の具体的な権利利益に直接関わるデータが、量的にも質的にも、これまで以上に生成・流通・蓄積・共有等されている。
特に、個人に関する情報（個人情報、仮名加工情報、匿名加工情報及び個人関連情報。以下「個人情報等」という。）については、高度なデジタル技術を用いた方法により、個人の利益のみならず公益のために活用することが可能となってきており、その利用価値は高いとされ、従前にもまして、幅広く取り扱われるようになってきている。その中で、個人情報及びプライバシーという概念が世の中に広く認識されるとともに、政策や事業活動等においても、データ倫理や人間中心のＡＩという考え方や、プライバシーガバナンスの構築、プライバシー強化技術（ＰＥＴ）の開発や実装が広まっている。
これに対し、顔識別・認証技術、ＡＩ等の高度なデジタル技術を活用して行われる個人の行動、政治的立場、経済状況、趣味・嗜好等に関する高精度な推定（いわゆるプロファイリング）、さらには、大量の個人情報等を取り扱う民間事業者等の出現等が認められるところであり、ひとたび個人情報等の不適正な利用等に及んだ場合には個人の権利利益に対する大きな侵害につながるリスクが高まっている。そして、自分の個人情報等が悪用されるのではないか、これまで以上に十分な注意を払って取り扱ってほしいなどの個人の不安感が引き続き高まっている。
加えて、経済・社会活動のグローバル化等に伴い、個人情報等を含むデータの国境を越えた流通が増えており、デジタル化のもたらすプライバ
シーやセキュリティ上の懸念や地政学的緊張等が世界的に顕在化してきている。その中にあって、データがもたらす価値を最大限引き出すには、
プライバシーやセキュリティ等への適切な対処により信頼を維持・構築し、国境を越えた自由なデータ流通を促進することが一層求められている。

5

本人同意を要しない公益に資するデータ利活用の在り方⑥
４．データ利活用の推進に係る主な施策①デジタル社会の実現に向けた重点計画（令和５年６月９日閣議決定）（抜粋）
デジタル化の急速な進展・高度化が進む中、データは知恵・価値・競争力の源泉・創造の基盤であり、データスペースや生成AIの急速な普及等の新たな動きがデータの生み出す付加価値を更に飛躍的に高めている。
また、海外に目を向ければ、EUや中国、インド、シンガポール等の各国では、経済発展や国民生活向上のため様々なイニシアティブで戦略的かつ強力にデータ整備・利活用が推進され、その価値を享受している。一方で、安全保障環境が厳しさを増し、デジタル保護主義の動きも顕在化する中、経済安全保
障上のデータの意義やデータ保護の重要性も増している。
このような環境の中、我が国においてもデータ活用の一層の推進が急務であり、もはや一刻の猶予もないが、国民・産業界にその価値がまだ十分認識されているとは言い難い。
このため、多様で質が高く十分な量のデータを簡単かつ安全に信頼して活用できる環境を実現し、我が国が社会課題を解決し、世界と協調しつつ、国際競争力を維持・向上させるため、データ整備から知識化、AI活用まで一貫したデータ戦略が必要であり、プライバシー侵害やデータの不適正利用等の不安・不信感を払拭しつつ、データの活用によるメリットについて理解を得た上で、政府全体として透明性と信頼性のあるデータ活用を推進する。

②規制改革実施計画（令和５年６月16日閣議決定）（抜粋）
厚生労働省は、医療・ケアや医学研究、創薬・医療機器開発などに医療等データ（電子カルテ、介護記録等に含まれるデータ、死亡情報その他の個人の出生から死亡までのデータであって診療や介護等に一般的に有用と考えられるデータをいう。以下同じ。）を円滑に利活用することを通じて、国民の健康増進、より質の高い医療・ケア、医療の技術革新（医学研究、医薬品開発等）、医療資源の最適配分、社会保障制度の持続性確保（医療費の適正化等）、次の感染症危機への対応力の強化などにつなげていくため、今般の新型コロナウイルス感染症（以下「新型コロナ」という。）への対応も踏まえ、医療等データに関する特別法の制定を含め、所要の制度・運用の整備及び情報連携基盤の構築等を検討する。個人情報保護委員会は、上記検討について個人の権利利益の保護の観点から助言等を行うとともに、上記検討により明らかになった医療等データの有用性及びその利活用に関する必要性に配慮しつつ、個人情報の保護に関する他の分野における規律との整合性等を踏まえ、個人情報保護法の制度・運用の見直しの必要性を含めて、所要の検討を行う。厚生労働省及び個人情報保護委員会は、これらの検討を行うに当たっては、個人の権利利益の保護のため必要かつ適切な措置を講ずる必要があることに留意するとともに、次のⅰ～ⅶに留意するものとする。…

6

本人同意を要しない公益に資するデータ利活用の在り方⑦
５．令和２年個人情報保護法改正時の附帯決議①個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議（令和２年５月20日衆議院内閣委員会）（抜粋）

高度情報通信社会の進展に伴い集積される個人情報の利活用に際し、個人の権利利益の保護を図りながら個人情報の利活用を行うことが、より良い社会環境の発展のために一層重要な課題になっていることを踏まえ、政府は、本法の施行に当たり、次の諸点について適切な措置を講ずべきである。
六 情報通信技術の急速な進展に伴い個人情報の利活用が高度化していることにより、データの利活用による個人の権利利益に対する影響が多様化していることから、個人の権利利益の保護を図りながら個人情報の利活用を行うよう、個人情報保護委員会は、民間の実態を常に広く把握し、制度面を含めた検討を随時行い、その結果に基づいて必要な措置を講ずること。

②個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議（令和２年６月４日参議院内閣委員会）（抜粋）

高度情報通信社会の進展に伴い集積される個人情報の利活用に際し、個人の権利利益の保護を図りながら個人情報の利活用を行うことが、より良い社会環境の発展のために一層重要な課題になっていることを踏まえ、政府は、本法の施行に当たり、次の諸点について適切な措置を講ずるべきである。
十 情報通信技術の急速な進展に伴い個人情報の利活用が高度化していることにより、データの利活用による個人の権利利益に対する影響が多様化していることから、個人の権利利益の保護を図りながら個人情報の利活用を行うよう、個人情報保護委員会は、民間の実態を常に広く把握し、制度面を含めた検討を随時行い、その結果に基づいて必要な措置を講ずること。
十一 個人の権利利益の保護とデータの利活用とのバランスを考慮に入れつつ、情報通信技術の進展等を踏まえ、三年後を目途とする見直しまでに不断の情報収集と制度の改善策の検討を行うこと。また、見直しに当たっては、ＥＵにおけるＧＤＰＲ（一般データ保護規則）など諸外国の事例を参考にすること。
7

本人同意を要しない公益に資するデータ利活用の在り方⑧
６．公益性の高い分野における直近の状況①
個々の事情や特性等に配慮した政策検討が進む中、健康・医療、教育、こども、防災等の準公共分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが強い。こうした中、個人情報保護委員会は、個人情報等の適正な取扱いに関し、
関係府省庁等が主催する検討会への参加や、ガイドライン等の策定に当たっての助言等を通じて、政策の企画・立案段階から連携して取組を進めている。
【関係府省庁等が主催する検討会への参加（例）】• 健康・医療データ利活用基盤協議会（内閣府、厚生労働省）• 次世代医療基盤法検討ワーキンググループ（内閣府）• 医療分野における仮名加工情報の保護と利活用に関する検討会（厚生労働省）• 規制改革推進会議医療・介護・感染症対策ワーキング・グループ（内閣府）• 医療等情報の二次利用に関するワーキンググループ（厚生労働省）• ゲノム医療推進法に基づく基本計画の検討に係るワーキンググループ（厚生労働省）• AI戦略チーム（内閣府）• 郵便局データ活用アドバイザリーボード（総務省）【ガイドライン等の策定に当たっての助言（例）】• 教育データの利活用に係る留意事項（令和６年３月更新・文部科学省）• 実証事業ガイドライン（こどもに関する各種データの連携にかかる留意点等）（令和５年３月改訂・こどもに関する各種データの連携に係るガイドライン策
定検討委員会）• 防災分野における個人情報の取扱いに関する指針（令和５年３月・内閣府）• 地理空間情報の活用における個人情報の取扱いに関するガイドライン（令和４年６月一部改訂・内閣官房地理空間情報活用推進室）• 地理空間情報の活用における個人情報の取扱いに関するガイドライン（測量成果等編）（令和６年３月一部改正・国土地理院）

8

本人同意を要しない公益に資するデータ利活用の在り方⑨
６．公益性の高い分野における直近の状況②
個人情報保護委員会は、令和３年６月及び令和４年５月に、同委員会に寄せられた意見等を踏まえ、個人情報の保護と適正かつ効果的な活用の促進の観点から検討を行い、「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」について、公衆衛生例外規定（個人情報保護法第18条第３項第３号・第27条第１項第３号）に係るQ&Aを追加・更新した。

【追加・更新されたQ&Aの概要】• 製薬企業が過去に臨床試験等で取得した個人情報を、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした自社内の研究のために用いる場合であって、連絡先を保有していないため本人からの同意取得が困難であるときには、
個人情報保護法第18条第３項第３号の規定によりこれを行うことが許容される（Q&A2-14）。
• 医療機関等が保有する患者の臨床症例に係る個人情報を、観察研究のために用いる場合であって、本人の転居等により有効な連絡先を保有しておらず本人からの同意取得が困難であるときや、同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがあるときには、個人情報保護法第18条第３項第３号の規定によりこれを行うことが許容される（Q&A2-15）• 医療機関等が以前治療を行った患者の臨床症例に係る個人データを、観察研究のために他の医療機関等へ提供する場合であって、本人の転居等により有効な連絡先を保有しておらず本人からの同意取得が困難であるときや、同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがあるときには、個人情報保護法第27条第１項第３号の規定によりこれを行うことが許容される（Q&A7-24）。
• 医療機関等が保有する患者の臨床症例に係る個人データを、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために製薬企業に提供する場合であって、本人の転居等により有効な連絡先を保有しておらず本人からの同意取得が困難であるときや、同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがあるときには、個人情報保護法第27条第１項第３号の規定によりこれを行うことが許容される（Q&A725）。
9本人同意を要しない公益に資するデータ利活用の在り方⑩
７．データ利活用に関する主な提言①規制改革推進会議「医療等データの利活用法制等の整備について」（令和５年６月１日）（抜粋）

法制度については、現行の個人情報保護法では、医療等データの多くが要配慮個人情報に該当するところ、要配慮個人情報の取得や個人データの第三者提供には原則として同意が必要とされる。また、要配慮個人情報についてはオプトアウトによる第三者提供（個人情報保護法第 27 条第２項～第４項）も認められない。例外的に、「人の生命、身体（中略）の保護のために必要があ
る場合であって、本人の同意を得ることが困難であるとき」（個人情報保護法第 20 条第２項第２号、第 27 条第１項第２号）…や、「公衆衛生の向上（中略）のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」（個人情報保護法第 20 条第２項第３号、第 27 条第１項第３号）…等には同意を得ることが不要とされる。なお、これらの規定等については、
後述のとおり、様々な柔軟化・明確化の取組が行われてきたが、それでも、研究者、産業界からはこれらの例外の部分的拡張では、その外縁が必ずしも明確ではなく、円滑な利活用が難しい場合も多いとの指摘もある。

②日本経済団体連合会「データ利活用・連携による新たな価値創造に向けて」（令和５年５月16日）（抜粋）

現行の個人情報保護法においては、個人情報の第三者提供にあたって、原則として本人同意を得ることが必要とされている。各分野に係る例外に関しても規定されているが、個別事例について例外への該当性を事前に判断することが困難であり、予見可能性に乏しい。引き続き、例外規定の具体化・周知徹底が不可欠である。
③日本IT団体連盟「政策要望第１弾（1 月 6 日公表）更新版」（令和５年５月）（抜粋）

デジタルプラットフォーマー（DPF）各社は不正利用への取組みを進めているが、一社がアカウント停止等の措置を講じても他の DPFに逃げこまれ、同一の者による被害が継続。業界横断的な取組みが求められるが、個人情報保護法による制約や各社の利用規約の違い等により、民間企業間において不正利用者の情報を共有することが極めて困難である。従って、国が中心となり、不正利用者の個人情報共有が可能である旨をその要件とともに明確化する必要がある。これは AML/CFT 対策強化にも貢献する。
10

本人同意を要しない公益に資するデータ利活用の在り方⑪
８．有識者ヒアリング（AI・医療関係）（第279回個人情報保護委員会）①
資料１－１ AIと個人情報保護：欧州の状況を中心に（一橋大学 生貝教授）（抜粋）• 学習データとスクレイピング（CNIL、2022年10月等）• 法執行機関への顔識別システム提供のための顔画像収集・処理を、6条(f)の正当な利益根拠の対象とならないと判断→AI法での補完規律へ• 透明性ある情報提供（12条）、アクセス権（15条）、消去権（17条）→ChatGPT（EU各国）に関しても類似の論点（特に法的根拠）

資料１－２ AI利用と個人情報の関係の考察（NTT社会情報研究所 高橋チーフセキュリティサイエンティスト）（抜粋）
観点
学習データの観点

評価

インターネット上のオープンなデータを用いる場合• 個人情報は含まれる• 個人情報の完全な排除は技術的に困難とされる

クローズドなデータ（独自データ）を用いる場合• 従来の規律に則った取り扱いが可能• AIの浸透に対応した、個人情報保護の新しい規律の確立が必要である• 課題（事業者義務の困難さ、市民の本質的な不安）に対応し、AIの仕組みにふさわしい形で新たな規律が確立されることが待たれる• 新たな規律の対象は、まずは情報を広く・機械的に扱う「近年の技術革新によるAI」をターゲットに考えることに一定の合理性がある

11

本人同意を要しない公益に資するデータ利活用の在り方⑫
８．有識者ヒアリング（AI・医療関係）（第279回個人情報保護委員会）②
資料１－３ 医療情報の利活用の促進と個人情報保護（東京大学 森田名誉教授）（抜粋）
個人情報の保護に限らず、医療データの積極的な利活用を図るための基準・手続等を定めるために、利活用を目的とした特別法（特例法）の制定を検討すべき
個人情報保護法との関係
個情法の適用を受けない異なる体系の法を制定するのではなく、個情法に定める法令上の根拠として「生命、身体、財産保護」「公衆衛生」「学術研究」を上記の出口規制の趣旨を反映した同意を不要とする場合として具体化・明確化する
個情法の改正が必要な場合には、次期および次々期見直し期に検討
次世代医療基盤法との調整
二次利用の制度として制定され、改正された次世代医療基盤法については、同様に３年後の見直しを機に、特別法に統合すべき
資料１－４ 医療・医学系研究における個人情報の保護と利活用（早稲田大学 横野准教授）（抜粋）
個情法との適合性を重視した現在の倫理指針では，学術研究機関に該当する機関に適用されるルールとそれ以外の機関（一般病院・企業等）に適用されるルールに差異があり，研究開発推進の阻害要因となっていると指摘されている
なお，現行法では，学術研究機関に該当しない機関では自機関内での利用目的の変更より他の学術研究機関への提供の方が要件が緩やかな状態となっており，個人情報の取り扱いの安全性の観点からは均衡を欠いているように思われる
現状では，公衆衛生例外の活用を通じて産学のルールの差異の解消が図られている。倫理指針の運用においては従来，公衆衛生例外を根拠とすることに慎重な姿勢が一般的であった背景もあり，Q&Aで示された公衆衛生例外の解釈に依拠して研究目的でのデータ利用を安定的に行いうるかについては懸念がある
上記のような経緯を通じて，個情法の定める一般ルールは医学系研究─ひいては医学研究倫理上の要請─にかならずしも適合しないことが改めて確認されたと考える。とくに個情法の学術研究目的および学術研究機関の解釈や学術研究機関とそれ以外の機関の区別は医学系研究の実情には合致
しにくい

12

本人同意を要しない公益に資するデータ利活用の在り方⑬
９．本人同意を要しない個人情報の取扱いに関する外国制度等EU（GDPR）

規律の概要• 収集時に特定された目的と適合しない態様の追加的処理は禁止されているが、公共の利益における保管の目的、科学的研究若しくは歴史的研究の目的又は統計の目的のために行われる追加的処理は、当初の目的と適合しないものとはみなされない（第５条第１項(b)）。
• 個人データの処理（送信による開示等を含む。）は、①データ主体の同意がある場合、②データ主体が契約当事者となっている契約の履行等のために必要となる場合、③管理者が服する法的義務を遵守するために処理が必要となる場合、④データ主体又は他の自然人の生命に関する利益を保護するために処理が必要となる場合、⑤公共の利益において、又は、管理者に与えられた公的な権限の行使において行われる職務の遂行のために処理が必要となる場合、⑥管理者によって、又は、第三者によって求められる正当な利益の目的のために処理が必要となる場合においてのみ、その範囲内で、適法となる（第６条第１項）。
• 特別なカテゴリの個人データの処理は原則として禁止され、例外的に、①データ主体が明確な同意を与えた場合、②EU法若しくは加盟国の国内法等により認められている範囲内で、雇用及び社会保障並びに社会的保護の法律の分野における管理者又はデータ主体の義務を履行する目的等のために処理が必要となる場合、③データ主体が物理的又は法的に同意を与えることができない場合で、データ主体又はその他の自然人の生命に関する利益を保護するために処理が必要となるとき、④政治団体等による適切な保護措置を具備する正当な活動の過程において、当該処理が、その組織の構成員等のみに関するものであることを条件とし、かつ、データ主体の同意なくその個人データが当該組織の外部に開示されないことを条件として、処理が行われる場合、⑤
データ主体によって明白に公開のものとされた個人データに関する処理の場合、⑥訴えの提起若しくは攻撃防御のため、又は、裁判所がその司法上の権能を行使する際に処理が必要となる場合、等に適法となる（第９条）。

米国カリフォルニア州（CCPA）

韓国（個人情報保護法）• 事業者は、①個人情報が収集・処理された目的、又は、②個人情報• 個人情報管理者は、次のいずれかに該当すが収集された状況に適合する開示された別の目的、を達成するためにる場合には、個人情報を第三者に提供するこ
合理的に必要かつ相当ではない処理を行う場合、あらかじめ消費者のとが出来る（第17条第１項）。①データ主同意を得なければならない（CCR§7002(e)）。
体から同意を得た場合、②法律に特別な規• 消費者は、いつでも、事業者に対して個人情報の「販売」 又は「共定があり、又は法令上の義務を遵守するため有 」 を し な い よ う 命 じ る 権 利 を 有 す る （ Cal. Civ. Codeにやむを得ない場合、③公的機関が法令等§1798.120(a)）（※）。
に定める所掌事務を遂行するためにやむを得• 消費者は、いつでも、事業者に対してセンシティブ個人情報の利用をない場合、④データ主体又は第三者の生命・一定の範囲（例：①商品又はサービスを要求する平均的な消費者
身体・財産の利益を差し迫った危険から保護が合理的に期待するサービスを履行し、又は商品を提供すること、②するために明らかに必要と認められる場合、⑤保存又は送信された個人情報の可用性、真正性、完全性又は機密公共の安全と安寧、公衆衛生等のために緊性を損なうセキュリティ・インシデントを防止、検出及び調査すること、③
急に必要な場合。
悪意ある、欺瞞的な、詐欺的な、又は違法な事業者に向けられた行• 民間事業者である個人情報管理者は、次の為に抵抗し、当該行為に責任を負う者を告訴すること、④自然人の身いずれかに該当する場合には、データ主体又体の安全を確保すること、⑤短期的かつ一時的な利用（個人情報が、は第三者の利益を不当に侵害する恐れがあ
他の第三者に開示されず、消費者に関するプロフィールを作成するためる場合を除き、個人情報を収集目的の範囲に利用されない場合等に限る。）、⑥事業者に代わってサービスを提を超えて利用することができる（第18条１
供するため）に制限するよう命じる権利を有する（Cal. Civ. Code項・２項）。①データ主体から別途同意を得§1798.121・CCR§7027(m)）。
た場合、②他の法律に特別な規定がある場• CCPAは、①連邦法等の遵守、②連邦当局等による照会等への対応、
合、③データ主体又は第三者の生命・身体・③事業者等が連邦法等に違反する可能性があると合理的かつ誠実に財産の利益を差し迫った危険から保護するた
信じる行為等に関する、法執行機関への協力、④自然人が死亡等す
めに明らかに必要と認められる場合。
るリスク等がある場合における、政府機関による消費者の個人情報へ• 個人情報管理者は、次のいずれかに該当すの緊急アクセスに係る一定の要求への協力、⑤法的請求の行使等、る場合を除き、機微情報を処理してはならな⑥非識別化又は集約された消費者情報の収集等、等に係る事業者
い（第23条）。①データ主体の同意を得たの能力を制限しない（Cal. Civ. Code §1798.145(a)(1)）。
場合、②他の法令が機微情報の処理を要求又は許可している場合。

※ 「販売」とは、金銭的又はその他の価値ある対価を得て、事業者が消費者の個人情報を第三者に口頭、書面、電子的その他の手段で販売、貸与、公開、開示、伝播、利用可能化、譲渡その他の方法で伝達することをいい（Cal.
Civ. Code §1798.140(ad)）、「共有」とは、金銭その他の価値ある対価の有無にかかわらず、クロス・コンテキスト行動広告（＝消費者が意図的にやりとりした事業者、個別ブランドのウェブサイト、アプリケーション又はサービス以外の事業者、個別ブランドのウェブサイト、アプリケーション又はサービスにまたがる消費者の活動から得られた消費者の個人情報に基づいて、消費者に広告をターゲティングすること（Cal. Civ. Code §1798.140(k)））のために事業者が消費者の個人情報を第三者に口頭、書面、電子的その他の手段で共有、貸与、公開、開示、伝播、利用可能化、譲渡その他の方法で伝達することをいう（Cal. Civ. Code §1798.140(ah)）。
（出典）令和５年度「個人情報保護に関する海外動向調査」（受託者：渥美坂井法律事務所・外国法共同事業）の調査結果等を元に作成。

13

PIAの制度化・普及に向けた支援①
１．PIAに係る現行法の規律①
PIA（Privacy Impact Assessment）とは、個人情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個人の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理手法を指す。
個人情報の保護に関する法律（平成十五年法律第五十七号）（安全管理措置）第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
個人情報の保護に関する法律についてのガイドライン（通則編）
10 （別添）講ずべき安全管理措置の内容
10-３ 組織的安全管理措置講じなければならない措置

手法の例示(3) 個人データの取扱状況を確認する手
段の整備

例えば次のような項目をあらかじめ明確化しておくことにより、個人データの取扱状況を把握可能とすることが考えられる。
・ 個人情報データベース等の種類、名称
・ 個人データの項目
・ 責任者・取扱部署
・ 利用目的・ アクセス権を有する者 等

中小規模事業者における手法の例示•

あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する。

個人情報の保護に関する法律（平成十五年法律第五十七号）（安全管理措置）第六十六条 行政機関等の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）
4-8（別添）行政機関等の保有する個人情報の適切な管理のための措置に関する指針
4-8-5 保有個人情報の取扱い【保有個人情報の取扱状況の記録】(9) 保護管理者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、当該保有個人情報の利用及び保管等の取扱いの状況について記録する。

個人情報の保護に関する法律についてのガイドライン（通則編）においては、組織的安全管理措置として義務付けられる「個人データの取扱状況を確認する手段の整備」の例示として、「個人データの取扱状況を把握可能とすること」が挙げられており、その手法として、個人情報保護委員会は、令和４年10月、取扱状況等を可視化する際の一助とする目的で「データマッピング・ツールキット」（※）を公表している。
なお、個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）においては、行政機関等の保有する個人情報の適切な管理のための措置に関する指針の中で、「保有個人情報の取扱状況の記録」が挙げられている。
※ 個人情報保護委員会「データマッピング・ツールキット（個人情報保護法関係）」（https://www.ppc.go.jp/files/pdf/data-mapping_tool-kit.pdf）

14

PIAの制度化・普及に向けた支援②
１．PIAに係る現行法の規律②「データマッピング・ツールキット（個人情報保護法関係）」
作成の契機• 各事業者において、IT社会の進展に伴うデジタル化によって保有するデータが増加する中で、その保有するデータを適切に管理する必要性が高まっている。
• 特に、令和２年改正により越境移転規制が強化されたが、グローバル化に伴って個人データの扱いが国内だけでなく、国外への越境移転が増加している中で、より一層適切に管理することが求められており、その管理手法の一つとしてデータマッピングが有効な手段となる。
データマッピングを「事業者が取り扱うデータを事業者全体で整理して、取扱状況等を可視化する作業」と定義。
ツールキットは３章構成となっており、その概要は以下のとおり。
項目

概要

第１章

データマッピングの意義等

データマッピングの意義や手順（準備、データマッピング表作成、確認、更新）
を説明。

第２章

データマッピング表の項目等

38の項目例について説明。
• データマッピングの確認の視点等を説明。

第３章

データマッピング表の確認・対応• 越境移転規制に関するチェックリストを別紙として示している。

15

PIAの制度化・普及に向けた支援③
１．PIAに係る現行法の規律③
個人情報の保護に関する基本方針（平成16年４月２日閣議決定、令和４年４月１日一部変更）
１ 個人情報の保護に関する施策の推進に関する基本的な方向（２）法の基本理念と制度の考え方④ データガバナンス体制の構築
各主体（※１）においては、政策、事務及び事業並びにシステム構築等の目的、個人が得ることが期待される便益やプライバ
シーに対するリスクを明確にし、それらをわかりやすく、丁寧に説明することが重要になる。そのためには、解決しようとする課題と、その課題を解決するために取り扱う個人情報等のデータとの関係を明確化する観点から、データの内容や性質、量や範囲の必要十分
性、データの流れ、データの取扱いに関わる者の範囲、データの利用目的、安全管理レベル等の事前評価のため、ＰＩＡ（個人情報保護評価又はプライバシー影響評価）の手法を用いることや、ＣＰＯ（最高プライバシー責任者）やＤＰＯ（データ保護責任者）等の個人データの取扱いに関する責任者を設置すること等が有効であり、これらによるデータガバナンスの体制を構築することが重要である。
６ 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項（１）個人情報取扱事業者等が取り扱う個人情報等に関する事項
法は、認定個人情報保護団体制度を含め、各個人情報取扱事業者等の自主的な対応を尊重する制度設計となっているため、各個人情報取扱事業者等においては、法を補完する観点から自主ルールを策定し、運用していく役割が期待される。個人情報保護委員会においても、各個人情報取扱事業者等におけるＰＩＡの取組、個人データの取扱いに関する責任者の設置等の自主的な取組を促進するため、必要な支援を行うものとする。
現行制度において、PIAの実施は、 「個人情報の保護に関する基本方針」において言及があるものの、法律上の義務とされていない。
個人情報保護委員会は、令和３年６月30日、PIAの意義や手順等をまとめた資料（PIAレポート）（※２）を公表している。
※１ 基本方針によれば、各主体とは、行政機関、地方公共団体の機関、独立行政法人等、地方独立行政法人及び個人情報取扱事業者等の個人情報等を取り扱う各主体を指している。
※２ 個人情報保護委員会「PIAの取組の促進について-PIAの意義と実施手順に沿った留意点-」（https://www.ppc.go.jp/files/pdf/pia_promotion.pdf）

16

PIAの制度化・普及に向けた支援④
１．PIAに係る現行法の規律④「PIAの取組の促進について-PIAの意義と実施手順に沿った留意点-（概要）」

PIA （Privacy Impact Assessment、個人情報保護評価）は、個人情報等の収集を伴う事業の開始や変更の際に、個人の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理手法（←事業の企画・設計段階から個人情報等の保護の観点を考慮するプロセスを事業のライフサイクルに組み込む）。
PIAの対象範囲は、事業の規模や性質等によっても異なるが、最終的に消費者本人の個人情報等の保護を含む権利利益の保護にどれだけ資するかが重要。したがって、個人情報等の取扱いにより影響を受ける消費者等の個人との関係を整理し、場面ごとにリスクを適切に評価することが不可欠。また、委託先等の事業に関わる利害関係者を含めて実施することが望ましい。
消費者の不安や懸念を払拭するために、個人情報保護法の遵守にとどまらない範囲も含めて対応することが重要。
PIAの実施範囲や取り組む視点は、事業分野毎に共通している部分もあると考えられ、認定個人情報保護団体をはじめとした業界団体等が、その事業分野におけるPIAを実施するための基準や対象範囲、評価項目等を整理して、必要に応じてその構成員に共有していくことは有効。また、事業者が実施したPIAの妥当性を第三者の立場から評価することは、PIAの信頼性を高める上で有効。

PIAを実施する主な効果（これらは相互に関連）① 消費者をはじめとする利害関係者からの信頼性の獲得② 事業のトータルコストの削減③ 従業者の教育を含む事業者のガバナンスの向上

17

PIAの制度化・普及に向けた支援⑤
２． PIAに関する外国制度等①【EU】
EUのGDPRでは、取扱いの性質、範囲、過程及び目的を考慮に入れたうえで、特に新たな技術を用いるような種類の取扱いが、自然人の権利及び自由に対する高いリスクを発生させるおそれがある場合にデータ保護影響評価（DPIA）の実施が義務付けられている（GDPR第35条第１項）。
とりわけ、以下の場合にDPIAの実施が求められる（GDPR第35条第３項）（※）。
• プロファイリングを含め、自動的な取扱いに基づくものであり、かつ、それに基づく判断が自然人に関して法的効果を発生させ、又は、自然人に対して同様の重大な影響を及ぼす、自然人に関する人格的側面の体系的かつ広範囲な評価の場合• 第９条第１項に規定する特別な種類のデータ又は第10条に規定する有罪判決及び犯罪行為と関連する個
人データの大規模な取扱いの場合• 公衆がアクセス可能な場所の、システムによる監視が大規模に行われる場合
自然人の権利及び自由に対して高いリスクをもたらすおそれがあるということをDPIAが示している場合、管理者は、その取扱いを開始する前に、監督機関と協議しなければならない（GDPR第36条第１項）。
※その他、「データ保護影響評価（DPIA）及び取扱いが2016/679規則の適用上、「高いリスクをもたらすことが予想される」か否かの判断に関するガイドライン」Ⅲ.B.a)においては、 DPIAを実施するか否かにあたっての検討要素として９つの基準が示されている。

18

PIAの制度化・普及に向けた支援⑥
２． PIAに関する外国制度等②
国名

規律の内容

アメリカ合衆国

大規模データ保有者である対象事業者は、対象データの収集、処理及び移転の実行によって得られる利益と当該行為の実行が個人のプライバシーに与える可能性のある悪影響とを比較考量するPIAを実施しなければならない（ADPPA（案）第301条(d)等）。

スイス連邦

データ処理がデータ主体の人格または基本的権利に高いリスクを生じさせる可能性がある場合、管理者は、事前にデータ保護影
響評価を実施する義務を負う（FADP第22条第１項）。

英国

自然人の権利及び自由に対して高いリスクを生じさせる可能性の高い個人データの処理を行う場合は、データ保護影響評価を実施する義務がある（UKGDPR第35条）。

一定の要件を満たした事業者にPIA実施を義務付け

法律上の義務はなくガイドライン等の公表

カナダ
ニュージーランド

PIAの改善のための５つの方法を記したガイドを公表。
プライバシー保護評価のためのツールキットを開発・提供。
（個人情報保護委員会事務局調べ）

19

PIAの制度化・普及に向けた支援⑦
３． 国内の主な他法令の規律①

法的根拠

行政手続における特定の個人を識別するための番号の利用等に関する法律第27条・第28条等

環境影響評価法第12条等

学校教育法第109条

労働安全衛生法第28条の２等

対象者

行政機関の長等のうち特定個人情報ファイルを保有しようとする者又は保有する者

対象事業を実施しようとする事業者

大学

事業者

内容

特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための措置を講ずること、さらにこのような措置が個人のプライバシー等の権利利益の保護措置として十分であると認められることを自ら宣言するもの。

事業の実施が環境に及ぼす影響（環境影響）について環境の構成要素に係る項目ごとに調査、予測及び評価を行うとともに、これらを行う過程においてその事業に係る環境の保全のための措置を検討し、その措置が講じられた場合における環境影響を総合的に評価するもの。

大学の教育及び研究、組織及び運営並びに施設及び設備（教育研究等）の状況について自ら点検及び評価を行い、その結果を公表するもの。

建設物、設備、原材料、ガス、蒸気、粉じん等による、又は作業活動その他業務に起因する危険性又は有害性等を調査し、その結果に基づいて、
労働安全衛生法又はこれに基づく命令の規定による措置を講ずるほか、労働者の危険又は健康障害を防止するため必要な措置を講ずるもの。

（個人情報保護委員会事務局調べ）

20

PIAの制度化・普及に向けた支援⑧
３． 国内の主な他法令の規律②

個人情報保護委員会「特定個人情報保護評価について（詳細版）」（https://www.ppc.go.jp/files/pdf/hogohyouka_gaiyou_shosai.pdf）

21

個人データの取扱いに関する責任者の制度化・普及に向けた支援①
１．個人データの取扱いに関する責任者に係る現行法の規律①
個人情報の保護に関する法律（平成十五年法律第五十七号）（安全管理措置）第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
個人情報の保護に関する法律についてのガイドライン（通則編）
10 （別添）講ずべき安全管理措置の内容
10-３ 組織的安全管理措置講じなければならない措置(1) 組織体制の整備

手法の例示（組織体制として整備する項目の例）• 個人データの取扱いに関する責任者の設置及び責任の明確化• 個人データを取り扱う従業者及びその役割の明確化• 上記の従業者が取り扱う個人データの範囲の明確化• 法や個人情報取扱事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体
制• 個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報
告連絡体制• 個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明
確化

中小規模事業者における手法の例示•

個人データを取り扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する。

個人情報の保護に関する法律（平成十五年法律第五十七号）（安全管理措置）第六十六条 行政機関等の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）
4-8（別添）行政機関等の保有する個人情報の適切な管理のための措置に関する指針
4-8-２ 管理体制
【総括保護管理者】(1) 各行政機関等に、総括保護管理者を一人置くこととし、組織を通じて保有個人情報の管理の任に当たる者として適当と判断される者（官房長、総務担当役員等）をもって充てる。
総括保護管理者は、行政機関等の長等を補佐し、各行政機関等における保有個人情報の管理に関する事務を総括する任に当たる。
【保護管理者】(2) 保有個人情報を取り扱う各課室等に、保護管理者を一人置くこととし、当該課室等の長又はこれに代わる者をもって充てる。
保護管理者は、各課室等における保有個人情報の適切な管理を確保する任に当たる。

個人情報の保護に関する法律についてのガイドライン（通則編）においては、組織的安全管理措置として義務付けられる「組織体制の整備」の例示として、「個人データの取扱いに関する責任者の設置及び責任の明確化」が挙げられているところ、個人情報保護委員会は、令和５年11月、個人データの取扱いに関する責任者・責任部署の設置事例を複数紹介し、その実態を公表している。（※）
なお、個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）においては、行政機関等の保有する個人情報の適切な管理のための措置に関する指針の中で、「総括保護管理者」「保護管理者」が挙げられている。
※個人情報保護委員会事務局「個人データの取扱いに関する責任者・責任部署の設置に関する事例集」（https://www.ppc.go.jp/files/pdf/dpo_setchi_zirei.pdf）

22

個人データの取扱いに関する責任者の制度化・普及に向けた支援②
１．個人データの取扱いに関する責任者に係る現行法の規律②「個人データの取扱いに関する責任者・責任部署の設置に関する事例集」
個人情報保護委員会は、令和５年11月にHP上で「個人データの取扱いに関する責任者・責任部署の設置に関する事例集」を公表。
個人情報保護法第23条に定める個人データの安全管理措置である「組織体制の整備」の手法の一つとして「個人データの取扱いに関する責任者の設置及び責任の明確化」が挙げられる。
事業者（大企業）向けアンケート調査によると、個人データの取扱いに関する責任者を設置している事業者は、全体の88.6％を占めているところである。（※）
事業者においては、本事例集で紹介された事例を参考にしつつ、個人データの取扱いに関する責任者を設置し、その責任を明確化するとともに、当該責任者が実効的な活動をすることができる体制を整備することが望まれる（例えば、責任者を支える部署（責任部署）の設置など）。
【責任者・責任部署の責任（役割）の例】
事業部門からの相談への対応や助言
データ保護・プライバシー保護の観点からの事業の評価（PIA等）
データ保護・プライバシー・利活用に関わる施策・基準・規定等の策定・導入
データの取扱状況の棚卸し及びリスク評価
外部の専門家（弁護士等）や経営層との相談・意見交換
社内教育【責任者・責任部署設置の効果の例】
データ保護・プライバシー保護の取組の推進
社内の相談窓口の明確化
社内全体のデータ保護・プライバシー保護に関する意
識の向上
全社的な個人情報の取扱いのルール等の見直し
事業部門とは異なった視点による助言や経営層への報告※「個人データの取扱いに関する責任者等についての実態調査 報告書」（令和３年３月、株式会社アズコムデータセキュリティ）https://www.ppc.go.jp/files/pdf/dpo_report202103.pdf

23

個人データの取扱いに関する責任者の制度化・普及に向けた支援③
２．個人データの取扱いに関する責任者に関する外国制度等【EU】
EUのGDPRでは、以下の場合において、DPO（Data Protection Officer）の選任が義務付けられる（GDPR第37条第１項）。
• 取扱いが公的機関又は公的組織によって行われる場合• 管理者又は処理者の中心的業務が、その取扱いの性質、範囲及び／又は目的のゆえに、データ主体の定期
的かつ系統的な監視を大規模に要する取扱業務によって構成される場合• 管理者又は処理者の中心的業務が、第９条による特別な種類のデータ及び第10条で定める有罪判決及び犯罪行為と関連する個人データの大規模な取扱いによって構成される場合
DPOは、専門家としての資質、及び、特に、データ保護の法令及び実務に関する専門知識並びに第39条で定める職務を充足するための能力に基づいて指定される（GDPR第37条第５項）。
DPOは、他の職務を遂行し、義務を履行することができる。
管理者又は処理者は、そのような職務及び義務が利益相反とならないことを確保しなければならない（GDPR第38条第６項）。

24

個人データの取扱いに関する責任者の制度化・普及に向けた支援④
３． 国内の主な他法令の規律

法的根拠

犯罪による収益の移転防止に関する法律第11条

暴力団員による不当な行為の防止等に関する法律第32条の２等

雇用の分野における男女の均等な機会及び待遇の確保等に関する法
律第13条の２

短時間労働者及び有期雇用労働者の雇用管理の改善等に関する法
律第17条等

対象者

特定事業者

事業者

事業者

事業主

不当要求による被害を防止するために必要な責任者を選任する努力義
務がある。

職場における男女の均等な機会及び待遇の確保が図られるようにするために講ずべき措置の適切かつ有効な実施を図るための業務を担当する者
として、男女雇用機会均等推進者を選任する努力義務がある。

パートタイム労働者・有期雇用労働者を常時10人以上雇用する事業所ごとに、パートタイム・有期雇用労働指針に定める事項その他の雇用管理の改善に関する事項等を管理する短時間・有期雇用管理者を選任する努力義務がある。

内容

取引時確認、取引記録等の保存、疑わしい取引の届出等の措置の的
確な実施のために必要な監査その他の業務を統括管理する者を選任する努力義務がある。

（個人情報保護委員会事務局調べ）

25

データガバナンス（民間の自主的取組）
データガバナンス（民間の自主的取組）
個人情報保護委員会においては、PIAや個人データの取扱いに関する責任者の設置等のデータガバナンスを推進すべく、以下のようなページ（https://www.ppc.go.jp/personalinfo/independent_effort/）を開設し事業者を支援している。

26

検討に当たっての論点
PIAの制度化・普及に向けた支援
PIAについては、現状、個人情報保護法上の規定はなく、民間における自主的な取組として実施を推奨し、支援している。
今後も自主的な取組という枠組みを維持しつつ、その取組を一層促進させるべきか。あるいは、何らかの法規範性を認めるべきか。
仮に法規範性を認める場合、一律に適切な評価項目・評価手続等を規定することができるか。
PIAの位置付けをどう設定すべきか。仮に個人情報保護法上の規律の遵守を確保するための手段として考える場
合は、すでに各規律が直接的に事業者の義務とされていることとの関係でどう整理すべきか。
個人データの取扱いに関する責任者の制度化・普及に向けた支援
個人データの取扱いに関する責任者の設置については、現状、ガイドライン（通則編）において、個人情報保護法第23条に定める個人データの安全管理措置である「組織体制の整備」の手法の一つとして位置付けられている。
事業者によって事業規模や取り扱う個人データの量・質などが様々である中、組織体制の整備の手法についてどの程度の柔軟性を残すことが適当であるか。
責任者の設置への対応可能性をどう評価するか。また、責任者の資格要件についてどう考えるか。
27