個人情報保護制度の見直しに関する最終報告

令和２年１２月
個人情報保護制度の見直しに関するタスクフォース

1はじめに………………………………………………………………3

１．総論的事項
１－１ 法の形式及び法の所管……………………………………4
１－２ 医療分野・学術分野における規制の統一………………7
１－３ 学術研究に係る適用除外規定の見直し（精緻化）……14

２．個人情報の定義等の統一等
２－１ 個人情報の定義等の統一………………………………20
２－２ 行政機関等における匿名加工情報の取扱い……………22

３．監視監督・事務処理体制
３－１ 行政機関等に対する監視監督の在り方…………………26
３－２ 行政機関等の開示決定等への不服申立ての扱い（情報公開・個人情報保護審査会の在り方）………………………… 29

４．地方公共団体等の個人情報保護制度の在り方
４－１ 法律による全国的な共通ルールの設定………………32
４－２ 規律の具体的内容………………………………………35

５．個人情報保護法令和２年改正の公的部門への反映の在り方 43（参考）委員名簿……………………………………………………45

2

はじめに
平成２７年改正個人情報保護法1の附則第１２条第６項において「政府は…
個人情報及び行政機関等保有個人情報の保護に関する規定を集約し、一体的に規定することを含め、個人情報の保護に関する法制の在り方について検討する」と規定されたことを踏まえ、令和元年１２月、民間部門、行政機関、独立行政法人等に係る個人情報の保護に関する規定を集約し、一体的に規定すること及び事務処理体制の在り方について検討するため、内閣官房に「個人情報保護制度の見直しに関するタスクフォース」（議長：内閣官房副長官補（内政担当）。以下「本タスクフォース」という）が設置された。
令和２年３月、本タスクフォースの議長決定に基づき、本タスクフォース
に対して有識者としての立場からの提案を行うため、「個人情報保護制度の見直しに関する検討会」（座長：髙橋滋法政大学法学部教授。以下「有識者検討会」という）が開催され、計１１回にわたり議論が行われた（うち３回は書面開催）。このうち、第７回から第１０回にかけては、主として地方公共団体及び地方独立行政法人（以下「地方公共団体等」という）の個人情報保護制度の在り方について検討が行われた（第７回と第１０回は地方三団体からのヒア
リングを実施）。本最終報告は、先般提出された有識者検討会からの提案内容（最終報告案）を踏まえた、本タスクフォースとしての考え方を取りまとめたものである。
今後は、本最終報告の内容に基づき、来年の通常国会での改正法案の提出に向けて、政府内で所要の調整を行いつつ、引き続き法制化作業を実施することとする。また、改めて広く意見募集を行い、国民の意見を検討内容に反映することとする。

「個⼈情報の保護に関する法律及び⾏政⼿続における特定の個⼈を識別するための番
号の利⽤等に関する法律の⼀部を改正する法律」（平成 27 年法律第 65 号）

1

3

１

総論的事項

１－１

法の形式及び法の所管

１．現在、我が国の個人情報保護に関する法律は、個人情報の保護に関する法
律（平成１５年法律第５７号。以下「個人情報保護法」又は「個情法」という）、行政機関の保有する個人情報の保護に関する法律（平成１５年法律第５８号。以下「行政機関個人情報保護法」又は「行個法」という）、独立行
政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号。以下「独立行政法人等個人情報保護法」又は「独個法」という）2の３
法に分かれており、各法の所管も、個人情報保護委員会（個人情報保護法を所管）と総務大臣（行政機関個人情報保護法及び独立行政法人等個人情報保護法を所管）とに分かれている。また、地方公共団体等における個人情報の取扱いについては、一部の例外を除き、各地方公共団体が制定した個人情報保護条例により規律されている。
２．近年、情報化の進展や個人情報の有用性の高まりを背景として、官民や地域の枠を超えたデータ利活用が活発化しており、現行法制の縦割りに起因する規制の不均衡や不整合（法の所管が分かれていることに起因する解釈
上の不均衡や不整合を含む3）がデータ利活用の支障となる事例が各所で顕在化しつつある。このため、公的部門と民間部門における規律の性格の違いに関する経緯・理由4や、我が国の個人情報保護制度の確立に果たしてき以下、⾏政機関個⼈情報保護法と独⽴⾏政法⼈等個⼈情報保護法を併せ、「⾏政機関個⼈情報保護法等」⼜は「⾏個法等」という。
3
⺠間部⾨においては、平成 27 年の法改正によって新設された個⼈情報保護委員会の下で、新たな技術やサービスの出現を踏まえた法運⽤の実績が着実に積み重ねられており、法の詳細な解釈を⽰すガイドライン等が幅広く公表されていることから、規律の実質的な「密度」という点でも、⺠間部⾨と公的部⾨との間で⼀定の不均衡が⽣じているとの指摘もある。
4
平成 15 年に個⼈情報保護法制を整備するに当たって、「個⼈情報の取扱いに伴う個⼈の権利利益の保護の必要性は、公的部⾨と⺠間部⾨とで異なるものではないが、その取扱いについて、政府と国⺠との間においては、⾏政に対する国⺠の信頼を⼀層確保することが求められており、また、法律による⾏政の下に国⺠⼀般の利益との調整が重要であるのに対し、私⼈間においては、企業活動における営業の⾃由等との調整が問題となるものであることなどから、その取扱いについての具体的な規律内容は異ならざるを得ない」 との理由から、国の⾏政機関及び独⽴⾏政法⼈等については、個⼈情報保護法とは別に法制上の措置を講ずることとされた（「個⼈情報保護基本法制に関する⼤綱」（平成 12 年 10 ⽉ 11 ⽇、情報通信技術（ＩＴ）戦略本部 個⼈情報保護法制化専⾨委員会））。
2

4

た地方公共団体の先導的な役割5に留意しつつも、このような不均衡や不整合を可能な限り是正することが求められている。
３．また、今般、社会全体のデジタル化を推進するための司令塔として新たに「デジタル庁」を創設し、国及び地方公共団体の情報システムの標準化・共通化や教育、医療、防災等の各分野における官民データ連携等の各種施策をこれまで以上に強力に実施していくことが予定されている67。こうした改革の方向性について国民の理解を得るためには、増大が予想される官民のデータ流通を個人情報保護の観点から適正に規律し、個人の権利利益を引き続き十全に保護することが不可欠であり、そのための公的部門・民間部
門の別を問わない新たな監視監督体制の確立が必要とされている。
４．更に、近年、国境を超えたデータ流通を行う局面が増加したことから、Ｅ
Ｕ一般データ保護規則第４５条に基づくデータ越境移転に関する十分性認定（以下「ＧＤＰＲ十分性認定」という）への対応を始めとする国際的な制度調和を図る必要性が向上しており、そのような観点からも、国際的な趨
勢に合わせ、独立規制機関である個人情報保護委員会が我が国の個人情報保護法制全体を一元的に所管する体制を構築することが求められている8。

地⽅公共団体等における個⼈情報の取扱いについては、国の法制化に先⽴ち、多くの団体において条例が制定され、実務が積み重ねられてきた。独創的な規定を設けている
条例も⾒られるなど、地⽅公共団体の創意⼯夫が促されてきたところであり、我が国の個⼈情報保護法制は、地⽅公共団体の先導的な取組によりその基盤が築かれてきた⾯がある。
6「デジタル改⾰関連法案ワーキンググループ作業部会とりまとめ」（令和２年 11 ⽉ 20
⽇、デジタル・ガバメント閣僚会議 デジタル改⾰関連法案ワーキンググループ作業部会）
7
個⼈情報保護に関する制度の企画・⽴案は、⼀元化後は公的部⾨及び⺠間部⾨を通じて個⼈情報保護委員会が担うこととなるが、オープンデータの推進やデジタル・ガバメ
ントの構築等の政府のＩＴ施策と密接に関連するため、このような観点から個⼈情報保護を含む政府全体のＩＴ施策について企画・⽴案及び総合調整を⾏う組織は別途必要と考えられ、内閣直属の組織として今般創設が予定されているデジタル庁がこのような役割を果たすものと期待される。なお、個⼈情報保護法制の執⾏という意味では、独⽴規制機関である個⼈情報保護委員会が官⺠の各主体における個⼈情報の取扱いを⼀元的に監視監督するのであり、デジタル庁も個⼈情報を取り扱う場合には当然に個⼈情報保護委員会の監視監督に服することとなる。
8
我が国の⺠間部⾨の個⼈情報保護法制は、平成 31 年 1 ⽉にＧＤＰＲ⼗分性認定を受けている。⼀⽅、公的部⾨の個⼈情報保護法制は、独⽴規制機関による監視が及んでいないことから、ＧＤＰＲ⼗分性認定の対象とはなっていない。
55

５．そこで、個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の３法（以下「保護３法」という）を統合して１本の法律とするとともに、地方公共団体等の個人情報保護制度についても統合後の法律の中で全国的な共通ルールを設定し、独立規制機関である個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等、地方公共団体等の４者における個人情報の取扱いを一元的に監視監督する体制を構築することが適当である。
６．その際、統合後の法律は、個人情報の適正な取扱いに関する官民共通の基本法としての性格を有する現行の個人情報保護法をベースとして構成し、これに、行政機関等の特性に応じた規律（現行の行政機関個人情報保護法
及び独立行政法人等個人情報保護法をベースとしたもの）を追加する形で改正を行うことが適当である。また、地方公共団体等の個人情報保護制度に関する全国的な共通ルールの内容は、地方公共団体等が公的部門の主体であることに鑑み、現行の行政機関個人情報保護法の内容をベースとしたものとすることが適当である。
７．統合後の法律を個人情報保護委員会が一元的に所管することの帰結として、① 統合後の法律の執行（報告、立入検査、指導、勧告、命令等）は、他の機関に委任した場合を除き、個人情報保護委員会が行うこととなり② 統合後の法律の有権解釈権は、個人情報保護委員会に一元的に帰属することとなり③ 統合後の法律に係る企画・立案（附則検討条項に基づく制度の見直し
等）は、個人情報保護委員会が行うこととなる。
その結果、個人情報保護委員会の業務量は相当程度増大すると見込まれ、専門的判断を要する場面も一層増加すると予想されることから、統合後の法律の着実な施行に向けて、個人情報保護委員会の体制強化と更なる専門性の向上を図ることが必要である。

6

１－２

医療分野・学術分野における規制の統一（１）現行法制の課題
１．今般の個人情報保護法制の見直しは、保護３法を統合するとともに、地方公共団体等の個人情報保護制度について統合後の法律の中で全国的な共通ルールを規定し、独立規制機関である個人情報保護委員会が、民間事業者、
国の行政機関、独立行政法人等、地方公共団体等の４者における個人情報の取扱いを一元的に監視監督する体制を構築しようとするものであるが、その際、現行法制の縦割りに起因する規制の不均衡や不整合を可能な限り是正することが求められている。
２．現行法制の縦割りに起因する規制の不均衡は、医療分野・学術分野における個人情報の取扱いに関する規律に最も顕著に表れている。すなわち、医療分野・学術分野では、実質的に同等の立場で個人情報を取得・保有している法人であっても、当該法人が公的部門に属するか（独立行政法人、国立大学法人等）、民間部門に属するか（私立大学、民間病院、民間研究機関等）
によって、適用される法律上の規律が大きく異なっており、これが、公的部
門と民間部門との垣根を越えた連携医療や共同研究の実施を躊躇させる一因となっているとの指摘もある。
３．このような医療分野・学術分野における規制の不均衡を、現行法制の制約下で可能な限り是正するため、政府では、「人を対象とする医学系研究に関する倫理指針」（平成２６年文部科学省・厚生労働省告示第３号）等の指針
やガイドラインを定め、研究主体が公的部門に属するか民間部門に属する
かにかかわらず共通して適用される個人情報の取扱いに関するルールを定めている。
４．しかしながら、このような指針等による規律の平準化という手法には、① 保護３法で規制の強弱や広狭に差がある場合には、最も強い規制や最も広い規制に全体を揃えざるを得ず、結果として規律の厳格化を招く② その反面、保護３法の規制を越えて上乗せ的に課される規律について
は、裁判規範としての効力や保護３法上のエンフォースメントの手段を欠くといった内在的な問題や限界があり、今般の保護３法の統合及び地方公共団体等の個人情報保護制度に関する全国的な共通ルールの設定（以下「一7

元化」という）の機に、より抜本的な形で医療分野・学術分野における規制の不均衡を是正することが求められている。
（２）解決の選択肢
１．医療分野・学術分野における規制の不均衡を是正する最も徹底した方策
は、公的部門と民間部門における規律の内容を一元化の機に全て同一にすることである。しかしながら、このような方策は、① 行政主体の広義の内部関係に当たる公的部門における規律と、行政主
体と民間事業者との外部関係に当たる民間部門における規律とでは、求められる規律の内容が自ずから異なると考えられること9② 規律の強度についても、公的部門における個人情報保護には、行政機関
等が公権力を行使して収集した個人情報を特に厳格に保護すべきとの要請が働くと一般に考えられていること10を踏まえると、政策的に妥当とは言い難い 。
２．また、別の方向での徹底した解決策として、個人情報を管理する「主体」（多くの場合は「法人」）の属性に応じて規律の内容を決定するという現行の個人情報保護法制の基本的な構造11（以下「法人等単位規制構造」という）

例えば、現⾏の⾏政機関個⼈情報保護法は、⾏政機関は所掌事務の遂⾏に必要な個⼈
情報しか保有してはならないこと（⾏個法第 3 条第 1 項）や、個⼈情報ファイルの保有について総務⼤⾂への事前通知義務を負うこと（⾏個法第 10 条第 1 項）を定めているが、これは、政府全体としての内部統制的規律を法律で定めたものと理解できる。また、⾏政主体の内部関係と外部関係では、エンフォースメントの在り⽅も当然に異なる（極端な例を挙げれば、⾏政機関に⺠間事業者と同じく罰⾦を科すことは無意味である）。⼀⽅、個⼈情報保護法と⾏政機関個⼈情報保護法における⽬的規定の主旨はほぼ同じであり、求められる規律の基本的な内容に違いはないとの意⾒もあった。
10
ただし、公的部⾨の業務の全てが公権⼒の⾏使に当たる訳ではないし、⺠間部⾨でも事業者が従業員等から法律の規定に基づき義務的に個⼈情報を取得することはあるので、両部⾨の相違は相対的なものにすぎず、「規律の強度」について、公的部⾨において常に⺠間部⾨よりも厳格な規律が求められる訳ではないとの指摘もある（そうであっても、全般的な傾向としては、なお本⽂のように⾔い得ると考えられる）。
11
現⾏の個⼈情報保護法制は、個⼈情報を管理する「主体」の属性に応じて当該主体に課される規律の内容を決定する構造となっている。すなわち、ある主体が、公的部⾨と⺠間部⾨のいずれに属するかや、個⼈情報取扱事業者に該当するか、個⼈情報取扱事業者に該当するとして学術研究機関に該当するかといった要因によって、当該主体が遵守すべき個⼈情報保護に関する基本的な規律が決定される仕組みとなっている。その⼀⽅、当該主体が取扱う個⼈情報の性質や、当該主体が個⼈情報を利⽤して⾏う業務の性格は、
98

自体を転換し、個人情報の性質や個人情報を利用する際の業務の性格に着目した新たな規律の体系を構築することも考えられる。
しかしながら、このような方策は、情報の性質や業務の性格に着目した「新たな規律の体系」の具体的な内容についてゼロベースで検討する必要が生じ12、整合的かつ実効的なルールの策定に困難が予想されるとともに、関係者のコンセンサス形成や現行法制との連続性の検討に多大な時間と労力を要すると想定されることから、将来的な選択肢としては検討に値する
ものの、今般の一元化の機に採るべき方策としては、現実的とは言い難い。
３．あるいは、公的部門と民間部門との規律の相違や法人等単位規制構造を維持した上で、情報の性質や業務の性格に応じた横串的規律を追加的に導入するという方策も考えられる。
しかしながら、このような方策は、規律が縦横で交錯し、適用関係が複雑化することが容易に予想され13、医療分野・学術分野における個人情報の取扱いについて現に生じている混乱をかえって助長するおそれがあることか
ら、妥当ではないと考えられる。
４．以上を踏まえ、〇 公的部門と民間部門との規律の相違を基本的に維持し、かつ、現行法制の基本的構造との整合性・連続性を保ちつつ、〇 現在顕在化している医療分野・学術分野における規制の不均衡の是正
を可能な限り速やかに、かつ、現場の混乱なく円滑に実現するため
⼀部の例外的な場合を除いて、当該主体に課される規律の内容には影響しない仕組みとなっている。そして、この場合の「主体」は、法⼈については基本的には法⼈格を単位として識別される構造となっている（ただし、いわゆる権利能⼒のない社団も含まれ得る）。このような現⾏の個⼈情報保護法制の基本的な構造は、「情報」という⽬に⾒えな
い存在の取扱いについて簡明なルールを定め得るという点や、違反⾏為に対する⾏政法的なエンフォースメントを実効的に⾏い得るという点で、⼀定の合理性を有していると考えられる。
12
例えば、現⾏法制は、同⼀法⼈内における個⼈情報の「内部利⽤」と法⼈の枠を超えた個⼈情報の「外部提供」とを規律の上で峻別しているが、法⼈等単位規制構造を転換するとすれば、このような規律の枠組みの合理性は⾃明ではなくなり、ルールを新たに考案する必要が⽣じる。
13
例えば、業務の性格に応じた横串的規律を追加的に導⼊した場合、同⼀法⼈に対して複数の規律が適⽤されるため、それぞれの規律が適⽤される業務の間での個⼈情報の流通を防ぐファイアーウォールを設定する必要がある。また、新たな業務を開始したり新
たな種類の個⼈情報を取得したりするたびに、いずれの規律を適⽤すべきかを逐⼀判断する必要が⽣じる。
9

医療分野・学術分野の業務を行う組織については、公的部門に属する場合であっても、原則として民間部門と同様の規律を適用することが適当であり、今後、この案をベースとして、具体的な法制化作業を進めていくことが適当である14。なお、官民の垣根を越えたデータの流通や共同活用が今後ますま
す広がっていくと予想される中で、将来的には、今回規律を基本的に統一する医療分野・学術分野だけでなく、より広い分野で官民の規律を統一する可能性についても、検討していくことが求められると考えられる15。
（３）改正の方向性
１．現行の独立行政法人等個人情報保護法の規律対象となっている独立行政法人等が、同法の下で行政機関に準じた個人情報保護の規律を受けている
経緯を振り返ると、それは、同法の制定過程において、情報公開法制における整理を基本的に踏襲し、① 設立法において、理事長等を大臣等が任命することとされているか② 法人に対して政府が出資できることとされているかを判断基準として、独立行政法人等個人情報保護法の対象法人となる「政府の一部を構成するとみられる法人」が選定されたためである。このような判断基準は、民間部門における個人情報保護が黎明期にあり、民間部門
における個人情報保護の水準や体制が脆弱であると考えられていた段階では、一定の合理性を有していたと考えることもできる16。

有識者検討会における議論では、公的部⾨の規律と⺠間部⾨の規律をどこまで揃える
べきかについて、様々な⽴場からの意⾒があった。具体的には、今般の⼀元化の機会に、主体の属性に応じて規律の内容が異なる現⾏法制の構造⾃体を⾒直し、情報の性質や⼊⼿経緯に応じて規律の内容に差異を設ける新たな規律の体系を導⼊すべきとの意⾒があった。その⼀⽅、消費者から⾒た場合、供給者を選択できる⺠間部⾨のサービスと選択できない公的部⾨のサービスでは基本的な性格の違いがあり、安易な規律の⼀本化には慎重であるべきとの意⾒や、規律の⼀本化が結果として官⺠全体としての個⼈情報保護⽔準の低下に繋がることを懸念する意⾒があった。
15
加えて、将来的には、個⼈情報保護法制と情報公開法制とのデマケーションの⾒直しを含めた法体系全体の再整理が必要であるとの意⾒もあった。
16
現⾏の独⽴⾏政法⼈等個⼈情報保護法が⽴案された平成 12 年当時、独⽴⾏政法⼈及び特殊法⼈は、「⾏政機関の保有する電⼦計算機処理に係る個⼈情報の保護に関する法律」（昭和 63 年法律第 95 号。以下「⾏政機関電算処理個⼈情報保護法」という）の下で、「この法律の規定に基づく国の施策に留意しつつ、個⼈情報の適切な取扱いを確保する
ため必要な措置を講ずる」とされていた。これに対し、⺠間事業者による個⼈情報の取扱いについては法律上の規律はなかった。
14

10

２．しかしながら、今日的視点17から改めて検討すると、このような判断基準
は、政府に対する民主的統制の手段である情報公開法制の適用範囲を画する基準としては引き続き合理的であるが、個人の権利利益を保護することを目的とする個人情報保護法制における適用対象の判定においては、官民の枠を超えたデータ利活用の活発化という情勢変化を踏まえたより実質的な判断が求められており、「各法人における個人情報の取扱いの実質に照らし、当該法人に行政機関に準じた規律を適用するのが適当かどうか」という観点から、対象法人を選定すべきであると考えられる18。
３．そこで、今般の一元化の機に、この点の是正を図ることとし、現行の独立行政法人等個人情報保護法の規律対象となっている独立行政法人等のうち、① 民間部門において同種の業務を行う法人（カウンターパート）との間で個人情報を含むデータを利用した共同作業を継続的に行うもの等、本人から見て官民で個人情報の取扱いに差を設ける必要性の乏しいもの（例：
国立研究開発法人、独立行政法人国立病院機構、国立大学法人、大学共同利用機関法人）については、原則として、民間事業者と同様の規律を適用
し、② 行政機関に準ずる立場で（公権力の行使に類する形で）個人情報を取得・保有するもの（例：行政執行法人、日本年金機構）等、①以外のものについては、行政機関と同様の規律を適用する
ことが適当である。
４．ただし、現行の独立行政法人等個人情報保護法における規律のうち、① 本人からの開示等請求に係る規律は、情報公開法制において本人開示が認められない点を補完する側面を有しており19、

今⽇では、⺠間部⾨についても、独⽴規制機関である個⼈情報保護委員会の下で、個⼈の権利利益の保護という法⽬的に照らして必要⼗分な⽔準の個⼈情報保護が図られている。我が国の⺠間部⾨の個⼈情報保護法制が、ＧＤＰＲ⼗分性認定を受けていることは、その１つの証左ということができる。
18
そもそも、①情報公開や公⽂書管理のような公的部⾨に固有の規律をどこまで独⽴⾏
政法⼈等にも及ぼすかという問題と、②労働者保護や個⼈情報保護のような官⺠共通の課題について、⾏政機関の特性に応じた特則的規律をどこまで独⽴⾏政法⼈等にも及ぼすかという問題は、性質の異なる問題であり、前者の基準を後者に適⽤すべき理由は今
⽇では基本的に存在しないと考えられる。
19
情報公開法制は開⽰請求者の属性を問わない建前であるため、不開⽰情報である「個⼈に関する情報」は、たとえ本⼈に対してであっても開⽰することが認められない。他
⽅、現⾏の⾏政機関個⼈情報保護法の前⾝である⾏政機関電算処理個⼈情報保護法の時
17

11

②

非識別加工情報の提供に係る規律は、公的部門が有するデータを広く
民間事業者に開放し活用を促す広義のオープンデータ政策としての性格を有している2021
ため、一元化後においても、これらの規律については、現行法制と同様、全ての独立行政法人等を行政機関に準じて扱うことが適当である22。
５．具体的には、今般の一元化においては、以下の独立行政法人等について、民間の個人情報取扱事業者と原則として同様の規律を適用することが適当である（以下これらの独立行政法人等を「規律移行法人」という）。
・国立研究開発法人
・国立大学法人
・大学共同利用機関法人
・独立行政法人国立病院機構
・独立行政法人地域医療機能推進機構
・独立行政法人労働者健康安全機構
・沖縄科学技術大学院大学学園
・放送大学学園

代には、同法に基づく本⼈開⽰等請求の対象は個⼈情報ファイルに記録された「処理情報」に限られていたため、いわゆる散在情報の本⼈開⽰について、「制度の⾕間」が⽣じていた。これを解決するため、現⾏の⾏政機関個⼈情報保護法は、本⼈開⽰等請求の対象を散在情報を含む「保有個⼈情報」に拡⼤した経緯がある。⺠間部⾨の本⼈開⽰等請求権の対象は、散在情報を含まない「保有個⼈データ」であるため、仮に本⼈開⽰等請求に係る規律まで⺠間部⾨と同じにすると、再び「制度の⾕間」が⽣じることになる。
20
⼀般に、個⼈情報保護法制では、⾃らが保有する情報を本⼈以外の者に提供する義務を負うことはない。⾮識別加⼯情報の提供制度は、公的部⾨が保有するデータに国⺠の共有財産としての性格があることに鑑み、このような⼀般原則に対する例外として、公的部⾨の主体に対して⾮識別加⼯情報の提供に向けた提案募集等を⾏う義務を課している。このような⾮識別加⼯情報提供制度の趣旨は、全ての独⽴⾏政法⼈等に妥当すると考えられる。
21
⾮識別加⼯情報の提供制度は、契約に基づき特定の事業者に提供するものである点や⼀定の⼿数料を徴収するものである点で、データの無償公開を前提とするオープンデー
タとは厳密には異なる。
22
加えて、個⼈情報ファイル簿の作成・公表（独個法第 11 条）についても、①個⼈情報
ファイル単位で利⽤⽬的が公表されるという点で、個⼈情報保護法制の本来的趣旨に照らし、望ましい規律であること、②本⼈からの開⽰等請求に係る規律と⼀定の関連性を有していることから、引き続き同様の規律を全ての独⽴⾏政法⼈等に課すことが適当である。
12

６．その際、規律移行法人の中で「公権力の行使に類する形で個人情報を保有する業務」も行うと認められるものについては、当該法人の当該業務を実施する部門における個人情報の取扱いに対しては例外的に行政機関と同様の規律を適用することが適当である2324。
７．また、後述のように、地方公共団体等が設置・運営する病院、診療所及び大学についても、以上と基本的に同様の考え方に立って、民間の個人情報取扱事業者と原則として同様の規律を適用することが適当である。

規律移⾏法⼈については、規律移⾏に伴って業務への⽀障が⽣じないよう、現⾏の独個法上の運⽤との連続性にも配慮して、必要な経過措置を検討することが適当である。
24
なお、医療分野・学術分野の業務を⾏う公的部⾨の主体としては、国に直属する医療機関や研究機関も少数ながら存在する。これらの機関について、⺠間事業者と原則として同様の規律を適⽤することの必要性・許容性を個別に検討したが、①国に直属する医療機関については、いずれも、⼀般の医療機関とは機関の⽬的・性格が異なること、②
国に直属する研究機関については、いずれも、⾏政機関における政策の⽴案・実施の⼀環として研究活動を⾏うものであることから、今般の改正において規律移⾏を⾏うべきものは認められなかった。
23

13

１－３

学術研究に係る適用除外規定の見直し（精緻化）（１）現行法の規律
１．現行法は、憲法が保障する学問の自由への配慮から、大学その他の学術研究を目的とする機関若しくは団体25又はそれらに属する者（以下「学術研究機関等」という）が、学術研究目的で個人情報を取り扱う場合26を、一律に個人情報保護法第４章に定める各種義務の適用除外としている（個情法第７６条第１項第３号）。
２．その一方、現行法は、学術研究機関等に対し、安全管理措置等の個人情報の適正な取扱いを確保するために必要な措置を自ら講じ、その内容を公表する努力義務を課している（同条第３項）。
３．また、個人情報保護委員会は、個人情報取扱事業者に対して立入検査や勧告・命令等の監督権限を行使する際は、「学問の自由を妨げてはならない」とされており（個情法第４３条第１項）、その趣旨に照らし、個人情報取扱事業者が学術研究機関等に対して個人情報を提供する行為に対しては、監督権限を行使しないこととされている（同条第２項）。
（２）基本的考え方
１．現行法が、学術研究機関等が学術研究目的で個人情報を取り扱う場合を一律に各種義務の適用除外としている結果、我が国の学術研究機関等にＥ
Ｕ圏から移転される個人データについてはＧＤＰＲ十分性認定の効力が及ばないこととなっている。このような事態は、我が国の研究機関がＥＵ圏の研究機関と個人データを用いた共同研究を行う際の支障ともなり得ることから、改善を求める声が現場の研究者からも多数寄せられている。そこ「⼤学その他の学術研究を⽬的とする機関若しくは団体」とは、現⾏法では、私⽴⼤学、公益法⼈である研究機関等の学術研究を主たる⽬的として活動する機関や「学会」等をいい、⺠間団体付属の研究機関も学術研究を主たる⽬的として活動する場合はこれに含まれる。⼀⽅、国⽴⼤学や公⽴⼤学、独⽴⾏政法⼈等である研究機関は、そもそも「個⼈情報取扱事業者」に該当しないことから、現⾏法の適⽤除外規定の対象とはならない。なお、「学術研究」とは、学問分野であれば⼈⽂・社会科学であるか⾃然科学であるかを問わないし、基礎研究であるか応⽤研究であるかも問わない。
26
学術研究⽬的で個⼈情報を取り扱う場合とは、その個⼈情報を取り扱う⽬的の全部⼜は⼀部が学術研究の⽤に供する⽬的である場合をいう（個情法第 76 条第１項柱書）。
25

14

で、今般の一元化を機に、学術研究に係る適用除外規定の内容を見直し、我が国の学術研究機関等に移転された個人データについてもＧＤＰＲ十分性認定の効力が及ぶようにするための素地を作ることが適当である27。
２．具体的には、〇 現行の個人情報保護法第７６条から、学術研究に係る適用除外規定（同条第１項第３号）を削除し、学術研究機関等が学術研究目的で個人情報を取り扱う場合にも一般的には同法第４章に定める各種義務の適用があり得るとした上で、〇 学問の自由の中核である研究活動の自由及び研究結果の発表の自由を引き続き十全に確保する観点から、同法第４章に定める各種義務のそれ
ぞれについて、そのような観点からの例外規定を置くことの要否と置くとした場合の具体的な内容を、個別に検討していくことが適当である28。
（３）具体的検討
１．まず、利用目的による制限（個情法第１６条）及び要配慮個人情報の取得制限（個情法第１７条第２項）については、研究活動の自由及び研究結果の発表の自由を直接制約し得る規律であり、例外規定を置かないと類型的に実施困難な研究活動が生じると想定されることから、「学術研究機関等が学術研究目的で個人情報を取り扱う必要がある場合」を例外とする趣旨の規定を置くことが適当である。
２．また、個人データの第三者提供の制限（個情法第２３条）についても、研究活動の自由及び研究成果の発表の自由を直接制約し得る規律であることから、類型的に実施困難な研究活動が生じるのを回避するため、
ア 学術研究機関等による研究成果の発表又は教授の際に個人データの提供が必要不可欠である場合29

近年、個⼈データを含む⼤量のデータを活⽤した研究⼿法が⼀般化しつつあり、学術研究における個⼈情報の取扱いの適正を確保すべき要請が⾼まっているとの指摘もある。
28
⼀元化後は、規律移⾏法⼈である国⽴⼤学法⼈や国⽴研究開発法⼈は「個⼈情報取扱事業者」に該当するため、学術研究機関等としてこれらの例外規定の適⽤を受けることになる。
29
論⽂の公表や⼤学での講義等の際に個⼈データの提供が必要不可⽋である場合は、学問の⾃由・表現の⾃由の要請が個⼈情報保護の要請を類型的に上回ると考えられること
27

15

イ

個人データの提供先が学術研究機関等であり、当該学術研究機関等が学術研究目的で当該個人データを取り扱う必要がある場合30
ウ 学術研究機関等が提供先と共同で学術研究を実施する上で個人データの提供が必要である場合31から、例外規定を置くことが適当である。なお、①論⽂の公表や⼤学での講義等の際に個⼈情報の提供が⾏われるとしても、当該個⼈情報が提供元において個⼈情報データベース等を構成していない場合には、当該個⼈情報の提供は「個⼈データの提供」に該当しないため、そもそも個情法第 23 条の適⽤を受けない。また、②今般改正により個情法
第 76 条第１項第３号を削除したとしても、論⽂の公表等の際に⾏われる個⼈データの提供が、同項第２号の「著述を業として⾏う者」による「著述の⽤に供する⽬的」での個⼈情報の取扱いに該当するときは、当該⾏為は引き続き個情法第４章の諸規定の適⽤除外となるため、プライバシー侵害等を理由とする⺠法上の不法⾏為責任の成否は別論
として、個情法第 23 条に違反することにはならない。このため、「ア」の例外規定が適⽤される事案は、①や②に該当しない場合に限られることとなる。
30
現⾏の個情法第 76 条第１項第３号は、⾏為の主体が学術研究機関等であることを前提としているため、個⼈データの提供先が学術研究機関等であっても、提供元が学術研究機関等でなければ同号の適⽤除外とはならない。しかしながら、学術研究機関における学問の⾃由を確保する観点からは、提供元が学術研究機関等であるかどうかに関わらず、提供先が学術研究機関等である場合には例外とすべき必要性が認められ、現⾏の個情法第 43 条第２項もそのような趣旨を表していると考えられる。また、⼀元化後は、安全管理措置等や保有個⼈データの開⽰等の規律を学術研究機関等にも適⽤するのであれ
ば、提供先が学術研究機関等である場合を例外としても、個⼈の権利利益を不当に害する可能性は低いと考えられる。更に、現⾏法の解釈として、主としてこのようなケースを想定して、「⺠間企業や私⽴病院等であっても、（学術研究機関との）１つの主体とみなすことができる共同研究に属する者と認められる場合には、学術研究の⽬的に個⼈情報等を利⽤する限りにおいて、（法の適⽤除外が適⽤される結果として）法第４章の規定は適⽤されない」との⾒解が⽰されているが、前述の法⼈等単位規制構造を踏まえると、
やや⽂理を離れた解釈であることは否定できず、⼀元化の機に、ルールの根拠の明確化を図ることが適当である。
31
学術研究機関等が他者に研究⽤途の個⼈データを提供する場合については、①専ら提供先が個⼈データを利⽤した研究を実施する場合（提供先の研究⽬的に利⽤）、②提供元が実施する研究を補助させる⽬的で個⼈データを提供する場合（提供元の研究⽬的に利⽤）、③提供元と提供先が共同で個⼈データを利⽤した研究を実施する場合（提供元と提供先の共同の研究⽬的に利⽤）の３つの場合を区別することができる。このうち、①については、学術研究機関における学問の⾃由を確保するという観点からは、「ア」及び「イ」に該当する場合を例外とすれば⼗分であると考えられる。また、②については、個⼈データの取扱いの委託（個情法第 23 条第５項第１号）として処理すれば⾜りる。したがって、⼀元化後の法においては、「ア」と「イ」に加えて③を第三者提供の制限の例外として規定することが適当である。なお、①〜③の区別は、知的財産権の帰属先や研究資⾦の拠出元によるものではなく、研究⽬的の設定主体による区別であるから、この場合の③には、狭義の共同研究だけでなく、受託研究やいわゆる学術指導も含まれる。
16

の３つの場合を例外とする趣旨の規定を置くことが適当である32。
３．これに対し、利用目的の特定・公表（個情法第１５条及び第１８条）、データ内容の正確性の確保等（個情法第１９条）、安全管理措置等（個情法第２０条から第２２条まで）、保有個人データの開示等（個情法第２７条から第３４条まで）、苦情の処理（個情法第３５条）、匿名加工情報の取扱い（個情法第３６条から第３９条まで）、仮名加工情報の取扱い（令和２年改正後の個情法第３５条の２及び第３５条の３）及び漏えい等の報告等（令和２
年改正後の個情法第２２条の２）については、〇 これらの規律を学術研究機関等に課したとしても、類型的に実施困難な研究活動が生じる訳ではなく、それが過度な負担とならない限り、研究活動の自由及び研究結果の発表の自由の制約とはならないと考えられること〇 規律の内容（各規律に置かれている一般的な例外規定の内容を含む）
を学術研究活動の特性33を踏まえて解釈・運用することにより、学術研究機関等に対する過度の負担は避け得ること
から、学術研究に特化した例外規定を置く必要はないと考えられる。
４．また、不適正取得の禁止（個情法第１７条第１項）及び不適正利用の禁止（令和２年改正後の個情法第１６条の２）については、仮にこれらの規律によって研究活動が何らかの制約を受けることがあるとしても、公共の福祉に基づく必要最小限度の制約として是認されると解されることから、学術研究に特化した例外規定を置く必要はないと考えられる。
５．ただし、大学の自治を始めとする学術研究機関等の自律性に鑑みれば、「３．
」及び「４．」の規律の運用についても、学術研究機関等の自律的な判断を原則として尊重する必要がある34。そこで、このような観点から、
これらの３類型に該当する場合であっても、本⼈の権利利益が不当に侵害される事態を防ぐためには、提供される個⼈データの分量やその個⼈識別性の程度は⽬的達成に必要な限度に最⼩化されることが必要であり、その旨を後述の指針の中で明確化することが適当である。
33
例えば、学術研究機関では、個々の研究者が研究に利⽤するデータを分散的に管理していることが多く、⼤企業のような統⼀的な管理を求めることが困難な場合がある。
34
判例上、学問の⾃由を保障するための⼤学の⾃治は、⼤学の施設等についてのある程
度の⾃主管理権を認めたものとされており（東⼤ポポロ事件最⾼裁判決）、これには⼤学が保有する情報の管理権も含まれ得る。また、個⼈情報保護法制上は、⼤学とその他の学術研究機関とを区別していないことから、⼤学以外の学術研究機関についても、同様
32

17

〇

学術研究機関等に対して、個人情報を利用した研究の適正な実施のための自主規範を単独で又は共同して策定・公表することを求めた上で35、〇 学術研究機関等による個人情報の取扱いが当該自主規範に則っている
ときは、個情法第４３条第 1 項の趣旨を踏まえ、個人情報保護委員会は、原則として、その監督権限を行使しないことが適当である。
もっとも、学術研究機関等が策定する自主規範の内容が、個人の権利利益の保護の観点からは不十分である可能性も否定できない。そこで、自主規範に則った個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、個人情報保護委員会は、例外的に、その監督権限を行使し得るものとすることが適当である36。
６．この場合において、学術研究機関等による自主規範の策定を支援する観点から、必要に応じ、個人情報保護委員会が、個人情報を利用した研究の適正な実施に関する指針を策定・公表することが適当である3738。
７．その際、現行法の学術研究に係る適用除外規定（個情法第７６条第１項第３号）について、多くの研究者から、「商用目的との境界が不分明な場合など、学術研究目的に該当するかどうか判断が難しい場合がある」との意見が寄せられていることを踏まえ、当該指針の中で、学術研究目的の判断基にその⾃律的な判断を尊重する必要がある。
35
当該⾃主規範において定めるべき内容には、本⽂（３）中の「３．」及び「４．」の規律に対応した取組だけでなく、「１．」及び「２．」の規律（学術研究に特化した例外規定を置く規律）に対応した取組も含まれる。なお、現⾏の個情法第 76 条第３項の努⼒義務
は、⼀元化後は、学術研究機関等との関係では、本⽂の⾃主規範の策定・公表・遵守に実質的に承継されることとなる。
36
ＧＤＰＲ上及びＥＵ各国（ＥＵを離脱した英国を含む）の国内法制上、科学研究⽬的の適⽤除外については、データ主体の権利との実質的な利益衡量を前提としており、「データ主体に深刻な損害を引き起こす可能性がある場合」（英国ＤＰＡ）等には適⽤除外とならないとされている。また、ＥＵ各国（ＥＵを離脱した英国を含む）の国内法制上、学術研究コミュニティの⾏動規範や倫理規定に⼀定の効⼒を持たせている例が少なからず⾒られるが、この場合も、科学研究⽬的の適⽤除外との関係では、⾏動規範や倫理規定に従った⾏為を無条件で法の適⽤除外としている訳ではない。
37
現⾏の「⼈を対象とする医学系研究に関する倫理指針」等の研究指針のうち個⼈情報の取扱いに係る部分を、内容を⾒直した上で、⼀元化後は、個⼈情報保護法との関係では、このような意味での指針として位置付けることも考えられる。
38
場合によっては、学術研究機関等が、当該指針をそのまま⾃主規範として採⽤する旨を宣⾔する（それによって⾃主規範の策定・公表に代える）ことも考えられる。
18

準について一定の明確化を図ることが適当である39。

前述のように、学術研究とは、基礎研究であるか応⽤研究であるかを問わないと解されており、学術研究⽬的で個⼈情報を取り扱う場合とは、その個⼈情報を取り扱う⽬的の全部⼜は⼀部が学術研究の⽤に供する⽬的である場合と法⽂上明記されている。したがって、学術研究機関等による研究⽤途の個⼈情報の取扱いは、それが専ら商⽤⽬的で⾏われるような例外的な場合を除き、学術研究⽬的であると判断されることになり、学術研究⽬的であるかどうかについて解釈上の疑義が⽣じるケースは限られている。解釈上の疑義が⽣じ得るケースは、例えば、⼤学が企業と共同研究を⾏い、共同研究の終了後に当該企業が研究成果を製品化するような場合である。このような場合には、共同研
究終了後の企業による製品化だけを切り出して⾒れば「⾮学術研究⽬的」だが、①⼤学による基礎研究→②⼤学と企業による共同研究→③企業による製品化という⼀連のプロジェクトを全体として⾒れば「⼀部は学術研究⽬的」であることから、いずれの⾒⽅をするべきかという問題が⽣じる。
39

19

２

個人情報の定義等の統一等

２－１

個人情報の定義等の統一（１）現行法の規律
１．個人情報保護法における個人情報（１号個人情報）が「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」と規定されているのに対し、行政機関個人情報保護法
等における個人情報（１号個人情報）は「他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む」と規定されている。
２．このような個人情報の定義の相違に起因して、個人情報保護法における「匿名加工」が個人情報を非個人情報化して外部に提供する仕組みであるのに対し、行政機関個人情報保護法等における「非識別加工」は個人情報を個人情報としての性質を部分的に残したまま外部に提供する仕組みであると整理されている。
３．その結果、個人情報保護法における「匿名加工情報」と行政機関個人情報保護法等における「非識別加工情報」は、情報の内容としては同じ（個人情報に対して同じ基準に従って加工を行ったもの）であるにもかかわらず、別の名称が与えられている。
（２）改正の方向性
１．公的部門と民間部門とで個人情報の定義が異なることは、国民の目から見て極めて分かりにくいだけでなく、公的部門と民間部門との間での円滑なデータ流通の妨げともなり得る40。そこで、一元化の機会に、両部門の定義を統一することが適当である。
２．その際、定義を変更することに伴う影響を最小化する観点から、一元化後
例えば、現⾏法制の下では、⾏政機関や独⽴⾏政法⼈等が⺠間の個⼈情報取扱事業者
から匿名加⼯情報を取得した場合には、これを個⼈情報の⼀種として取り扱う必要があるが、これは、「個⼈情報に復元されない限り、どのように利⽤したとしても本⼈に影響が及ばない」という匿名加⼯情報の性質に鑑みると、過重と考えられる。
40

20

の個人情報の定義は、現行の個人情報保護法の定義（容易照合可能性を要件とするもの）を採用することが適当である41。
３．一元化後の個人情報の定義として現行の個人情報保護法の定義を採用す
る結果、定義上は、公的部門における個人情報の範囲は現行法より縮小することとなる（照合可能性はあるが容易照合可能性のない情報が個人情報から外れることとなる）。しかしながら、① 後述のように、今般の一元化の機会に、匿名加工情報・仮名加工情報の識別行為禁止義務等の規律を公的部門にも導入する方針であること② 「照合可能性はあるが容易照合可能性のない情報」であって、①の規律
ではカバーされないものは、観念的には存在し得ても、具体的には想定されないこと4243から、実質的な影響は生じないと考えられる。
４．また、個人情報の定義を統一する結果として、非識別加工情報も非個人情報となり、匿名加工情報と用語上区別すべき理由はなくなることから、両者の名称を「匿名加工情報」に統一することが適当である。
現⾏の個⼈情報保護法の定義に揃える場合と、現⾏の⾏政機関個⼈情報保護法等の定義に揃える場合を⽐較すると、影響を受ける事業者数という点では前者の⽅が明らかに少ない。影響を受ける本⼈の数（延べ⼈数）という点では、統計が存在しないため⽐較
困難だが、今⽇の⺠間部⾨における個⼈データ利活⽤の進展に鑑みれば、この点でも前者の⽅が少ない可能性は低くないと考えられる。
42
現⾏の⾏個法等における個⼈情報の定義が照合の容易性を要件としていない結果として、⾏政機関等は、本⼈からの開⽰等請求の場⾯においては、情報の開⽰先における照合可能性も考慮して個⼈情報該当性（開⽰等請求の対象情報としての該当性）を判断する必要があるとの理解がある。しかしながら、容易照合可能性のない情報は、⾏政機関等において本⼈を識別することができないのであるから、そもそも開⽰等請求の前提としての本⼈性の確認（⾏個法第 13 条第 1 項第 2 号等）を⾏うことが事実上極めて困難であると考えられる。
なお、開⽰等請求の不開⽰情報の⼀つである開⽰請求者以外の個⼈に関する情報（⾏個法第 14 条第 1 項第 2 号等）については、現⾏法の⽂⾔及び解釈を維持することとす
るので、不開⽰情報としての該当性は、引き続き情報の開⽰先における照合可能性も考慮して判断されることとなる。
43
現⾏の⾏個法等における個⼈情報の定義が照合の容易性を要件としていない結果として、⾏政機関においては、個⼈の識別のために他の⾏政機関への照会を要する情報についても個⼈情報として取り扱う必要があるとの理解がある。しかしながら、⾏政機関は、全体が内閣の統轄の下にある⼀体の組織であるから（国家⾏政組織法（昭和 23 年法律第120 号）第２条参照）、そのような情報は、⼀元化後の定義においても、容易照合可能性があるものとして、引き続き個⼈情報に該当すると考えられる。
41

21

２－２

行政機関等における匿名加工情報の取扱い（１）現行法の規律
１．現行の行政機関等における非識別加工情報の取扱いに関する規律は、平成２８年の行政機関個人情報保護法等改正の際の整理に基づき、非識別加工情報が個人情報に該当し得ることを前提としたものとなっている。
２．具体的には、まず、行政機関等による非識別加工情報の作成・提供は、他の個人情報の利用・提供と同様、原則として、利用目的の範囲内でのみ可能
であることが前提とされており（行個法第８条第１項、第４４条の２第２項等）、行個法第４章の２等が定める提案募集手続は、当該手続に従った非識別加工情報の作成・提供を「法令に基づく場合」として例外的に許容するものと位置付けられている（行個法第４４条の２第１項等）44。
３．また、行政機関等による匿名加工情報の取得は、他の個人情報の取得と同様、原則として、利用目的の範囲内でのみ可能である（行個法第３条第２項）45。
４．なお、現行法は、行政機関等が民間事業者等から匿名加工情報を取得した
場合の安全管理措置や識別行為禁止については規定を置いていないが46、これは、〇 行政機関等は、自らが取得した匿名加工情報と当該匿名加工情報を作成した民間事業者等が保有する削除記述等を照合可能であるため、〇 匿名加工情報は当該行政機関等においては個人情報に該当し、個人情報の管理についての規律（行個法第６条等）が適用されると考えられているためである。

なお、⺠間部⾨では「匿名加⼯情報の作成」には当たらないと整理されている安全管理措置の⼀環としての匿名加⼯（⾮識別加⼯）については、公的部⾨では、相当な理由のある内部利⽤（⾏個法第８条第２項第２号等）として許容されるものと解される。
45
実際には、匿名加⼯情報の取得それ⾃体を利⽤⽬的として掲げている場合は稀である
ため、他の利⽤⽬的の中で匿名加⼯情報の取得を読むことができるかをケースバイケー
スで判断することとなる。
46
現⾏法は、⾏政機関等が⾮識別加⼯情報を⾃ら作成した場合については、安全管理措置義務を課している（⾏個法第 44 条の 15 等）
。
44

22

（２）改正の方向性
１．今般、匿名加工情報を行政機関等においても非個人情報であると整理した場合、規律の前提が変わるため、行政機関等における匿名加工情報の取扱いに関する規律を見直す必要がある。
２．具体的には、行政機関等による匿名加工情報の「作成」
「取得」
「提供」の
それぞれについて、匿名加工情報が非個人情報である前提で、法律上のルールを再構成する必要がある47。
３．まず、「作成」については、匿名加工情報の作成それ自体が個人の権利利益を侵害する危険性はなく、行政機関等が保有個人情報に対する安全管理措置の一環として匿名加工情報を作成することが必要な場合もあり得ることから48、柔軟な取扱いを認めるべきであり、法令の定める所掌事務又は業務の遂行に必要な範囲内であれば、作成を認めることが適当である。
４．次に、「取得」についても、行政機関等（特に独立行政法人等）が民間事
業者等から匿名加工情報を取得して業務を遂行することが必要な場合もあり得ることから、柔軟な取扱いを認めるべきであり、法令の定める所掌事
務又は業務の遂行に必要な範囲内であれば、取得を認めることが適当である。
５．その際、匿名加工情報は非個人情報であるという前提で、民間の匿名加工
情報取扱事業者に準じた識別行為禁止義務及び安全管理措置義務を課すことが適当である49。

なお、匿名加⼯情報は、その性質上、個⼈情報に復元されない限り、どのように利⽤したとしても本⼈に影響の及ばないものであるため、⽬的外利⽤の制限等の規律を課す必要はないと考えられる。同様の観点から、現⾏制度において、提案募集⼿続を経て契約を締結した者の⾮識別加⼯情報の利⽤⽬的が契約によって制限されている（と解し得る）点については、その要否も含め、法制化作業の中で検討していくことが適当である。
48
前述のように、安全管理措置の⼀環としての匿名加⼯情報の作成については、相当な理由のある内部利⽤（⾏個法第８条第２項第２号等）として許容されると解することも可能であるが、匿名加⼯情報の取扱いに関するルールを明確化する観点から、明⽂の規定を置くことが適当である。
49
その際、匿名加⼯情報の安全管理措置を⺠間部⾨と同様の努⼒義務とするかどうかについては、①⺠間部⾨における規律との整合性（匿名加⼯情報は、その性質上、個⼈情報に復元されない限り、どのように利⽤したとしても本⼈に影響の及ばないものである
47

23

６．他方、「提供」については、現行法が非識別加工情報の提供を公平かつ適正に実施するための手続として提案募集から契約締結に至る一連の手続を定めていることを踏まえれば、一元化後においても当該手続に従った提供を原則とすべきであり、行政機関等が匿名加工情報を外部に提供できるのは、基本的に、
ア 提案募集手続を経て契約を締結した者に提供する場合
イ 法令の規定に基づく場合50
ウ 加工元の個人情報の提供が可能な場合51に限られるとするのが適当である52。
７．なお、現行法は、行政機関情報公開法第５条第２号ただし書に規定する情報（法人等に関する情報のうち、一般的には不開示情報に該当するが、公益的理由から例外的に開示対象となるもの）も、非識別加工の対象に概念上は含まれ得ることを前提に、当該情報を非識別加工して提供する場合には、手続保障の観点から、当該法人等に対して意見書提出の機会を与えることを義務付けている（行個法第４４条の８が準用する行政機関情報公開法第１３条第２項）。

ため、安全管理措置については努⼒義務に⽌められている）と、②現⾏法の規律との連続性（現⾏の⾏個法は、⾏政機関等が⾮識別加⼯情報を⾃ら作成した場合については、
当該情報の安全管理措置を義務として課している（⾏個法第 44 条の 15 等））の双⽅を考慮し、法制化作業の中で検討していくことが適当である。
50「法令の規定に基づく場合」とは、他の法令における匿名加⼯情報の提供を可能とす
る明⽰的な規定（作⽤法上の根拠規定）に基づいて提供する場合を想定している。これに加えて、法令の定める所掌事務⼜は業務の遂⾏に必要な場合にも匿名加⼯情報の外部提供を⾏い得ることとするかどうかについては、法制化作業の中で検討していくことが適当である。
51「加⼯元の個⼈情報の提供が可能な場合」とは、個⼈情報を現⾏の⾏政機関個⼈情報保護法第８条に相当する規定等に基づき提供可能である場合に、プライバシー上のリスクの低減等の観点から、当該個⼈情報を匿名加⼯した情報を提供する場合を意味する。
52
なお、⼀部の規律移⾏法⼈から、「現⾏法の提案募集⼿続は、⾮識別加⼯情報の⾃由な提供の妨げとなっており、規律移⾏法⼈については、⺠間部⾨と同様に⾃由に匿名加⼯情報を提供できるようにすべき」旨の意⾒が寄せられている。しかしながら、提案募集⼿続は、広義のオープンデータ政策の⼀環として、公的部⾨の各組織に対して⾮識別加⼯情報の積極的な提供を促すものであり、それ⾃体が提供の妨げとなるとは本来考えられない。⼀⽅、現場からそのような意⾒が出ていることは事実であるため、今後は、提案募集⼿続の運⽤について、現場の声を踏まえた所要の改善（例：提案募集の通年化、⼿数料設定における⾃由度の向上）を図ることが適当である。
24しかしながら、非識別加工情報（一元化後は匿名加工情報）の提供制度は、行政機関等が保有する大量の個人情報を形式的な基準に基づいて定型的に加工し、民間事業者に提供することを企図するものであり、個々の保有個人情報について開示の公益的な必要性を個別に判断したり、当該必要性の判断のため、逐一、第三者の意見を聴取したりすることは、制度の本来的な趣旨にそぐわない側面がある。
そこで、行政機関情報公開法第５条第２号ただし書に規定する情報も他の不開示情報と同様に加工元情報から予め削除することとした上で、第三者への意見聴取は全て任意とすることが適当である53。

その上で、現⾏の任意的意⾒照会に係る規定については、①その効果（第三者が反対の意思を表⽰した場合には当該第三者を本⼈とする保有個⼈情報を⾮識別加⼯情報の加⼯元情報から除外する）を重視し、現⾏の規定を維持する、②いかなる場合に第三者の意⾒を聞くべきかについての判断基準が存在せず、安定的な運⽤が不可能となっていることから、規律の明確化の⼀環として、規定を削除する、③現⾏規定の趣旨（加⼯元情報の本⼈に広い意味での拒否権・離脱権を与える）を活かしつつ、制度の安定的な運⽤を可能とするため、ビッグデータ時代に即した新たな規律⼿法を採⽤する（例：悉皆性の⾼い個⼈情報に関しては、匿名加⼯情報に加⼯後も識別される可能性が⾼いことを考慮して、匿名加⼯情報の加⼯基準の⼀環として、レコード抽出の実施を義務付ける）の３案を選択肢として、法制化作業の中でその扱いを検討することが適当である。
53

25

３

監視監督・事務処理体制

３－１

行政機関等に対する監視監督の在り方（１）現行法の規律
１．現行の行政機関個人情報保護法等は、行政機関等における個人情報の取扱いについての監視権限を、原則として、所管大臣である総務大臣に付与しているが、行政機関非識別加工情報（独立行政法人等については独立行
政法人等非識別加工情報。以下同じ）の取扱いについては、個人情報保護委
員会に監視権限を付与している。
２．これは、行政機関非識別加工情報が官から民へと流通する性質のものであることから、個人情報保護委員会がその取扱いを官民横断的に監視監督することが適当であると考えられたためである。
３．その結果、総務大臣は、行政機関等における行政機関非識別加工情報以外の個人情報の取扱いについて、❶ 法の施行状況について報告を求める権限❷ 資料の提出及び説明を求める権限（独立行政法人等を除く）❸ 意見を述べる権限（独立行政法人等を除く）
を有しているのに対し（行個法第４９条から第５１条まで等）、個人情報保
護委員会は、行政機関等における行政機関非識別加工情報の取扱いについて、① 法の施行状況について報告を求める権限② 資料の提出及び説明を求め、その職員に実地調査をさせる権限③ 指導及び助言を行う権限④ 勧告を行う権限を有している（行個法第５１条の４から第５１条の７まで等）。
４．個人情報保護委員会の上記権限は、基本的に、個人情報保護委員会が民間事業者に対して有する監督権限（報告及び立入検査、指導及び助言、勧告及び命令）と同様の内容を規定しようとしたものであるが、その対象が対等の立場にある他の行政機関であることから、他の制度との均衡を踏まえ、〇 罰則による担保のある立入検査を罰則による担保のない実地調査とし〇 違反に対して罰則が科される命令については規定しない

26

こととされたものである。
５．なお、会計検査院については、その憲法上の地位に鑑み、法の施行状況を把握するための報告（上記❶及び①）を除き、総務大臣及び個人情報保護委
員会による上記の監視権限は及ばないこととされている（行個法第１０条
第１項柱書かっこ書参照）。
（２）改正の方向性
１．今般の一元化は、独立規制機関である個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等、地方公共団体等の４者における個人情報及び匿名加工情報（以下「個人情報等」という）の取扱いを一元的に監視監督する体制を構築しようとするものであるから、一元化後は、行政機関
等における個人情報等の取扱い全般についての監視権限を個人情報保護委
員会に付与することが適当である。
２．具体的には、現行法において個人情報保護委員会が行政機関非識別加工
情報の取扱いについて有する上記①～④の監視権限を、行政機関等における個人情報等の取扱い全般を対象としたものに拡張することが適当である
54。
３．また、現行法は、独立行政法人等の自律性（主務大臣以外の機関の権限を設けることへの謙抑性）に配慮し、総務大臣の資料提出要求等権限等（上記❷及び❸）の対象から独立行政法人等を除外しているが、このような要請
は、独立規制機関である個人情報保護委員会による監視には妥当しないと考えられることから、一元化後は、独立行政法人等に対しても、個人情報保護委員会の資料提出要求等権限等を及ぼすことが適当である55。
その際、⾏政機関等に対するこれらの監視権限の実効性を強化するため、他法の例（内閣府設置法第 12 条第４項、総務省設置法第６条第７項、独⽴⾏政法⼈通則法第 35 条の２等）に倣い、個⼈情報保護委員会に対し、内閣総理⼤⾂に対する意⾒具申権限（内閣法第 6 条の規定に基づく⾏政各部への指揮監督権限の⾏使を求める権限）を付与することが適当である。また、個⼈情報保護委員会は、毎年、国会に対して所掌事務の処理状
況を報告することとされており（個情法第 79 条）、これを監視権限の実効性確保の⼿段の⼀つとして捉えることもできる。
55
その上で、独⽴⾏政法⼈等に対する個別法に基づく主務⼤⾂による監督と、個⼈情報保護法に基づく個⼈情報保護委員会による監督との関係については、運⽤上の問題として、⼀定の整理を図ることが適当である。
54

27

４．なお、規律移行法人については、一たびこれらの法人に対する規律を民間の個人情報取扱事業者等と同様の行政の外部関係と捉えることとする以
上は、監視監督についても原則として民間の個人情報取扱事業者等と区別せず、個人情報保護委員会が個人情報取扱事業者等に対して有する一般の監督権限（報告及び立入検査、指導及び助言、勧告及び命令）に服せしめることが適当である5657。

ただし、前述のとおり、規律移⾏法⼈のうち、学術研究機関に当たるもの（例：国⽴⼤学法⼈）については、個情法第 43 条第 1 項の趣旨を踏まえ、その⾃律性を尊重し、⾃主規範に則った個⼈情報の取扱いが⾏われている限り、個⼈情報保護委員会は、原則として、その監督権限を⾏使しないことが適当である。
57
以上の結果、個⼈情報保護委員会は、⾏政機関等における個⼈情報等の取扱い全般を所管する機関となることから、公的部⾨における個⼈情報保護関係事務に固有の特性等を⾒極めた上で、必要な場合には、その体制についても所要の⾒直しを図ることが適当
である。
56

28

３－２ 行政機関等の開示決定等への不服申立ての扱い（情報公開・個人情
報保護審査会の在り方）（１）現行法の規律
１．現行法は、本人からの開示請求、訂正請求及び利用停止請求に対して行政機関等（の長）が行う決定（以下「開示決定等」という）を行政処分と位置
付け、行政不服審査法（平成２６年法律第６８号）に基づく審査請求の対象としている（独立行政法人等について独個法第４２条第１項参照）。
２．審査請求先は当該開示決定等を行った各行政機関等であるが、各行政機
関等は、裁決に先立ち、原則として、総務省に置かれた情報公開・個人情報保護審査会に諮問することとされている（行個法第４３条第１項等）。情報
公開・個人情報保護審査会の答申に拘束力はないが、裁決を行う行政機関
等が答申を尊重することにより、① 裁決の客観性・公正性の向上② 開示決定等の判断基準の政府内における事実上の統一③ 行政機関情報公開法に基づく開示請求に対する判断との整合性の確保といった効果が生じるものと期待されている。
３．ただし、審査請求先が会計検査院長である場合は、会計検査院の憲法上の地位に鑑み、会計検査院に置かれた会計検査院情報公開・個人情報保護審査会（会計検査院法（昭和２２年法律第７３号）第１９条の２）に諮問することとされている。
（２）改正の方向性
１．今般の一元化は、独立規制機関である個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等、地方公共団体等の４者における個人情報の取扱いを一元的に監視監督する体制を構築しようとするものである。
２．このような今般改正の趣旨からは、一元化後は、個人情報保護委員会は、
民間事業者との関係だけでなく、国の行政機関や独立行政法人等との関係
でも、個別の個人情報の取扱いについて、独立規制機関としての立場で、そ29

の当否（義務違反の有無）を判断する立場にあると整理する必要がある58。
３．本人からの開示請求等に対して適正に対応することは、保有個人情報を目的外に利用しないことや漏えい等の生じないよう適切に管理することと並ぶ行政機関等の義務であるから、一元化後は、行政機関等の個別の開示決定等の当否についても、独立規制機関である個人情報保護委員会の判断が及ぶものと整理する必要がある。
４．このような整理を制度上最も直截に実現するとすれば、一元化後は、個人情報保護委員会を開示決定等に係る審査請求の一元的な裁決機関と位置付けることとなる（国家公務員への不利益処分について、人事院が一元的な裁決機関と位置付けられていることと類似）。
５．しかしながら、このような形での制度改正には、① 個人情報保護法上の開示決定等についての不服審査と行政機関情報公開法上の開示決定等についての不服審査とを完全に分離することとなり、相互に関連する両法の間での解釈の整合性が失われるおそれがある② 平成１７年以来、情報公開・個人情報保護審査会において行われてきた不服審査との連続性が断たれることとなり、これまで蓄積されてきた知見が引き継がれないおそれがあるといった問題があり、今般の一元化の機に採るべき方策としては、必ずしも適当ではない。
６．そこで、〇 一元化後も、現行の情報公開・個人情報保護審査会の機能を基本的に維持することとしつつ、〇 行政機関等の個別の開示決定等の当否についても、個人情報保護委員会の判断が及ぶようにするため、個人情報保護委員会は、特に必要と認める場合には、開示決定等の当否について、行政機関等に対して勧告を行い得ることとするのが適当である59。

この点、従来の公的部⾨における個⼈情報保護法制の運⽤において、情報公開法制等の運⽤を踏襲し、法の⼀般的な解釈の提⽰や全般的な実施傾向の把握を中⼼とした運⽤が⾏われてきたとすれば（すなわち、⾏政機関等による個別の個⼈情報の取扱いの当否には基本的に⽴ち⼊らない運⽤が⾏われてきたとすれば）、⼀元化後は、独⽴規制機関としての⽴場で、更に踏み込んだ運⽤を⾏うことが求められている。
59
個⼈情報保護委員会の業務負担上の制約や情報公開・個⼈情報保護審査会との役割分
5830

７．この場合において、個人情報保護委員会による上記勧告は、情報公開・
個人情報保護審査会における審議結果を踏まえ行われる必要があることから、審査会への諮問の内容とそれに対する答申の内容を個人情報保護委員会に対して共有することが適当である60。

担を考えると、実際には、個⼈情報保護委員会が⾏う勧告の内容は、⾏政機関等による開⽰決定等についての⼀般的な基準の提⽰が中⼼となる可能性もあるが、その場合でも、当該基準に沿わない開⽰決定等が⾏われるのを防ぐため、個⼈情報保護委員会は、特に必要と認める場合には、個別の開⽰決定等の当否についても勧告を⾏い得るものと整理する必要がある。
60
なお、情報公開・個⼈情報保護審査会の「合議の秘密」を確保するため、審査会の各部会において誰が何を主張したかといった意思形成過程に関する情報まで個⼈情報保護委員会と共有することは、適当ではない。
31

４

地方公共団体等の個人情報保護制度の在り方

４－１

法律による全国的な共通ルールの設定（１）地方公共団体の条例による規律とその課題
１．地方公共団体等における個人情報の取扱いについては、国の法制化に先立ち、多くの団体において条例が制定され、実務が積み重ねられてきた
61。独創的な規定を設けている条例も見られるなど、地方公共団体の創意工夫が促されてきたところであり、我が国の個人情報保護法制は、地方公共団体の先導的な取組によりその基盤が築かれてきた面がある。
２．近年、情報化の進展や個人情報の有用性の高まりを背景として、地域や官民の枠を超えたデータ利活用が活発化しており、地方公共団体等が保有する個人情報についても、個人の権利利益を保護しながら活用することが期
待されている。特に、新型コロナウイルス感染症の流行に直面し、データの蓄積・共有・分析に基づく不断の行政サービスの向上のための行政のデジタル化を含めた我が国社会全体のデジタル化を強力に進めていくことが、政府方針として改めて打ち出されており、データ利活用の円滑化への取組も一層加速させなければならない。
３．このように、社会全体のデジタル化に対応した個人情報保護とデータ流通との両立が要請される中、地方公共団体ごとの条例の規定や運用の相違
がデータ流通の支障となり得る、条例がないなど求められる保護水準を満たさない地方公共団体がある62、といった指摘もされ、データ利活用を円滑化するためのルールや運用の統一を求める声が主として民間サイドから高まりつつある。中でも、医療分野や学術分野等の官民の共同作業が特に重要な分野について、地方公共団体の条例を含む当該分野の個人情報保護に
昭和 63 年に制定された⾏政機関電算機処理個⼈情報保護法、平成 15 年に制定された
⾏個法のいずれにおいても、地⽅公共団体等は規律の対象とされず、同年に制定された
個情法において、「地⽅公共団体は、この法律の趣旨にのっとり、その地⽅公共団体の区域の特性に応じて、個⼈情報の適正な取扱いを確保するために必要な施策を策定し、及びこれを実施する責務を有する。」（第５条）とされ、具体的な措置は各地⽅公共団
体の条例に委ねられている。
62
⼀部事務組合等については、個別の個⼈情報保護条例を制定していないなど条例の適⽤関係が明らかでない団体が少なくとも 613 団体存在する（「個⼈情報保護条例に係る実態調査結果」（令和２年５⽉、個⼈情報保護委員会事務局））。
61

32

関するルールが不統一であることが円滑な共同作業の妨げとなっているとの関係者の指摘がある。更に、地方公共団体等における個人情報の取扱いについて一定のルールや運用の統一を図ることにより、公衆衛生や災害対応等の場面で生じうる全国的な課題に対する適切かつ迅速な対応に寄与できるとの意見がある。地方公共団体の側からも、感染症対策等における個
人情報の取扱いについて、全国的に統一した運用の基準を示すことを求める意見がある63。
４．加えて、国際的なデータ流通が増大していく中で、Ｇ２０大阪首脳宣言におけるＤＦＦＴ（信頼ある自由なデータ流通）など我が国の成長戦略との整合を図るとともに、ＧＤＰＲ十分性認定への対応を始めとする国際的な制度への調和についてもその必要性が一層高まっている。
（２）法制化の方向性
１．地方公共団体等の個人情報保護制度の上記のような課題を解決するためには、全ての地方公共団体等に適用される全国的な共通ルールを法律で規定することが効果的であり、適当である。
２．その上で、国が地方公共団体等に対し、個人情報の取扱いについて、一般
的に、あるいは感染症対策等の全国統一的な運用が求められる行政分野ごとにガイドライン等を示すことにより、地方公共団体等の的確な運用を確保することが適当である。
３．それにより、地方公共団体等も含めた我が国全体で、個人情報保護とデー
タ利活用のバランスを図り、個人情報保護制度全体の整合性を確保し、制度の全体的・機動的な見直しを可能とするとともに、我が国の成長戦略との整合や国際的な制度調和を図ることも可能となる。
４．国と地方公共団体との適切な役割分担の視点から見ても、社会全体のデジタル化に対応した個人情報保護とデータ流通の両立を図るため、個人情
報保護について全国的な共通ルールを法律で規定するとともにガイドライン等を示すことは、「全国的に統一して定めることが望ましい…地方自治に
例えば「新型コロナウイルス感染症に関する緊急提⾔」（令和２年８⽉８⽇、全国知事会）においては、新型コロナウイルス感染症対策に係る法的措置等として、「感染者情報の統⼀的な公表基準を定め」ることが提⾔されている。
63

33

関する基本的な準則に関する事務」（地方自治法（昭和２２年法律第６７号）
第１条の２第２項）として国が担うべき役割であると考えられる。
５．他方、地域における行政を自主的かつ総合的に実施する役割を広く担う
地方公共団体においては、住民と直接的に関わる施策を実施することが多く、これに伴い必然的に大量かつ多様な個人情報を保有することになることから、個人の権利利益の保護のため、各地方公共団体が独自に条例によるルール化を図り、必要な保護措置を講じてきた経緯がある。法制化後も、地方公共団体等が地域の課題に対処するため、国による対応を待つことな
く独自の施策を展開することは依然として求められるものであり、これに伴い保有する個人情報について、法律の範囲内で、必要最小限の独自の保護措置を講じることについては、否定されるべきものではないと考えられる。また、これまでの地方公共団体等における個人情報保護行政実務の積
み重ねや、情報公開制度など他の事務への影響に十分に配意し、制度の安定性を確保する必要がある。
６．施行期日は、地方公共団体等における条例等の改廃や運用の見直し等必要な準備に十分配慮して設定し、国は、地方公共団体等の準備についてガイドラインの作成等必要な支援を行うことが適当である。

34

４－２

規律の具体的内容（１）総論
１．地方公共団体等の保有する個人情報の取扱いについては、地方公共団体
等が国の行政機関及び独立行政法人と同様に公的部門に属することから、法律により、公的部門の規律を適用することが適当である6465。具体的には、
個人情報の定義（照合の容易性の扱い）、要配慮個人情報の定義、個人情報の取扱い（保有の制限、安全確保措置、利用及び提供の制限等）、個人情報
ファイル簿の作成及び公表66等について、見直し後の行個法と同等の規定を適用することが適当である。
２．医療分野・学術分野における規制の統一の要請は、地方公共団体等についても同様である。このため、地方独立行政法人が設置・運営する、及び地方公共団体に直属する病院、診療所及び大学についても、基本的に規律移行を行うことが適当である67。
３．ＧＤＰＲ十分性認定への対応を始めとする国際的な制度調和の観点から、独立規制機関である個人情報保護委員会が我が国の個人情報保護法制全体

議会については、現⾏の⾏個法が⾏政機関を対象とし、国会や裁判所をその対象となっていないこととの整合を図るため、新制度の適⽤の対象とはしないこととすることが適当である。なお、ほとんどの団体（1,748 団体）で議会は個⼈情報の保護に関する条例等の対象とされており、引き続き、条例等により、共通ルールに沿った⾃律的な措置を講じることが望まれるものである。
65
指定管理者については、公の施設の管理に関して、条例でその業務の範囲を規定することとされており（地⽅⾃治法第 244 条の２第３項、第４項）、当該公の施設の管理において個⼈情報を保有する権限（利⽤、提供、廃棄等について決定する権限）を有している主体は⼀律ではないことを踏まえ、適⽤する規律の範囲を決めることが適当である。
66
現在、個⼈情報ファイル簿の作成を規定する団体が 534 団体、個⼈情報取扱事務登録簿等の作成を規定する団体が 1,466 団体、作成に関する規定がない団体が 84 団体ある。
また、個⼈情報ファイル簿の公表を規定する団体が 518 団体、個⼈情報取扱事務登録簿等の公表を規定する団体が 1,415 団体、公表に関する規定がない団体が 134 団体ある（「個⼈情報保護条例に係る実態調査結果」（令和２年５⽉、個⼈情報保護委員会事務局））。
法制化後も、個⼈情報の適切な管理を継続するため、引き続き条例で個⼈情報取扱事務
登録簿等を作成・公表できることとするのが適当である。
67
規律移⾏を⾏う病院、診療所及び⼤学において、「公権⼒の⾏使に類する形で個⼈情報を保有する業務」を実施する部⾨がある場合における個⼈情報の取扱いに関しては、国の規律移⾏法⼈と同様に、例外的に公的部⾨と同様の規律を適⽤することが適当である。
6435

を一元的に所管する体制を構築することが求められているが、その趣旨は地方公共団体等の個人情報保護制度についても同様に及ぼすべきであることから、地方公共団体等における個人情報の取扱いについての監視権限を
個人情報保護委員会に付与することが適当である。その具体的内容は、国の行政機関等に対するものと同等のものとするのが適当である。
４．地方公共団体等の的確な運用を確保するため、地方公共団体等は、個人情報の取扱い等に関し、個人情報保護委員会に対し、助言その他の必要な支援を求めることができることとすることが適当である。
（２）個人情報の取扱い
１．個人情報の保有に関し、現在、地方公共団体の条例には、要配慮個人情報の取得制限等、行個法には直接対応した規定のない規律を設ける例が多く見られる68。ただし、これらの取得制限規定では、例外的に取得可能な場合も併せて定められており、取得を全面的に禁止している例は見られない。
この点、行個法上、個人情報の保有は、法令の定める所掌事務の遂行に必要な場合に利用目的の達成に必要な範囲内でのみ認められているものであり（第３条）、行個法上個人情報を保有できる範囲と、上記のような取得制
限規定がある条例上（要配慮個人情報等の）個人情報を保有できる範囲とは、概ね同様であると考えられる。
したがって、個人情報の保有について、地方公共団体等にも行個法と同等の規定を適用することにより、従前と同水準の個人情報の保護を図ることができるものと考えられる。
２．個人情報の目的外利用・提供について、現在、地方公共団体の条例には、行個法の規定（第８条第２項）よりも具体的に目的外利用・提供が可能な場
合を規定する例が多く見られる。

その他、地⽅公共団体の条例には、不要な情報の消去、本⼈からの直接取得に関する規定がある（「個⼈情報保護条例に係る実態調査結果」（令和２年５⽉、個⼈情報保護委
員会事務局））。これらの規定のうち、不要な情報の消去に関する規定については、その趣旨は、現⾏の⾏個法第３条第２項に含まれると考えられる。また、本⼈からの直接取得に関する規定については、本⼈以外からの取得を全⾯的に禁⽌する例は無く、法令・条例に定める所掌事務の遂⾏に必要な場合等を例外とするものであるため、その趣旨は、現⾏の⾏個法第３条及び今般改正により公的部⾨にも追加することとなる個⼈情報の不適正取得の禁⽌に含まれると考えられる。
6836この点、行個法上、目的外提供・利用ができる場合について、行政機関の内部利用及び他の行政機関等の利用のための外部提供については、「法令の定める所掌事務の遂行に必要な限度」との要件に加えて「相当な理由」の存在を要求し（第２号、第３号）、その他の外部提供については、「特別な理由」の存在を要求（第４号）し、いずれの場合についても、本人又は第三者の権
利利益を不当に侵害するおそれがないことを要件としている。上記条例の規定は、本人又は第三者の権利利益の保護を図りつつ利用・提供することができる場合（行個法で規定する「相当な理由」や「特別な理由」に該当する場合）をより具体的に規定しているものということができる。
したがって、個人情報の目的外提供・利用について、地方公共団体等にも行個法と同等の規定を適用し、「相当な理由」や「特別な理由」の具体的な判断に資するために国が定めるガイドライン等に基づき運用を行うことで、個人情報の保護水準を従前から変えることなく、共通ルールの下での目的
外提供・利用の円滑な運用が図られるものと考えられる。
３．現在、地方公共団体の条例には、オンライン結合（通信回線を通じた電子計算機の結合をいう。）による個人情報の提供について、行個法にはない制
限規定を置く例が多く見られる。
しかし、ＩＴの活用は行政サービスの向上や行政運営の効率化に大きく寄与しており、個人情報の流通に限り物理的な結合を禁止することは合理性を欠くものであり、場合によっては、個人情報の円滑な利用を阻害して国民に不利益を被らせるおそれもある。また、行個法においては、オンライン
結合制限規定がなくとも、第６条、第８条等により、個人情報の安全性の確保等が図られている。このため、オンライン結合制限規定を置くことは不要になると考えられ、共通ルールには当該規定は設けないこととすることが適当である。
その場合、地方公共団体等は、情報セキュリティを含めた安全確保措置の在り方や目的外利用・提供の「相当な理由」や「特別な理由」の具体的な判断に資するために国が示すガイドライン等に基づいた運用を行うことによって、個人情報を適切に管理し、みだりに利用・提供しないことを担保していくことが望ましい。
（３）開示、訂正及び利用停止の請求
１．現在、地方公共団体の条例において自己情報の利用停止請求権の規定がない例が存在するが、自己情報の開示、訂正及び利用停止の請求権は、全て37

の地方公共団体等にこれを請求できることとすることが適当である。
２．また、現在、地方公共団体の条例で規定される自己情報の開示請求等の要件や手続は、同様に条例で規定される情報公開制度との整合性を図りつつ定められており、今次の法制化において地方公共団体等の個人情報に関して自己情報の開示請求等を規定するに当たっては、地方公共団体等の情報公開制度との整合を図る必要がある。
３．１．及び２．の要請を満たすよう、自己情報の開示請求等の請求権、要件、手続の主要な部分は法律により、地方公共団体等の情報公開制度における開示に係る規定との整合を図る部分、手数料、処理期間等は、法律で一定の枠付けをした上で条例により規定することを可能とすることを検討することが適当である。
４．なお、自己情報の開示決定等に対する審査請求については、国の行政機関等についての検討において、行政機関情報公開法上の開示決定等についての審査請求との整合性の維持、情報公開・個人情報保護審査会に蓄積された知見の継承の観点から、一元化後も、現行の情報公開・個人情報保護審査会の機能を基本的に維持することとしつつ、個別の開示決定等について個
人情報保護委員会の判断が及ぶようにするために個人情報保護委員会に勧告権限を与えるのが適当であるとしている。
この点、地方公共団体等についても、情報公開条例上の開示決定等についての審査請求との整合性の維持、諮問機関である審査会69に蓄積された知見の継承の観点は共通するものであるから、国の行政機関等に関する上記
整理と同様、法制化後も、現行の諮問機関である審査会等の機能を基本的に維持することとしつつ、個人情報保護委員会に勧告権限を与えることとするのが適当である。個人情報保護委員会の勧告は、地方公共団体等の審査会等における審議結果を踏まえ行われる必要があることから、国の行政機関等と同様に、審査会等への諮問の内容とそれに対する答申の内容を個
人情報保護委員会に対して共有することが適当である。
（４）匿名加工情報の提供制度の導入

審査請求の諮問機関であり、名称は問わない。地⽅公共団体の条例では「審議会」の名称を⽤いている例がある。
6938

１．行個法には平成２８年の法改正により、非識別加工情報の提供制度が設けられた。地方公共団体の条例においても非識別加工情報の提供制度を設けることとした例も見られるが、現状まだごく少数にとどまる70。
２．
「個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮」するとの非識別加工情報の提供制度を設ける趣旨は、地方公共団体等が保有する個人情報についても基本的には及ぶものである。
３．しかし、既に制度を運用している国の行政機関等において事例の蓄積が乏しいことや、地方公共団体等において非識別加工に関する十分な知見を持った人材がいないことなどから、非識別加工情報の提供制度の適正な運用の確保に対して懸念があるとの指摘がある。
４．以上を考慮し、地方公共団体等についても、非識別加工情報（一元化後に「匿名加工情報」に統一）の提供制度について行個法と同等の規定を適用しつつ、経過措置として、当分の間、都道府県及び指定都市について適用することとし、他の地方公共団体等は任意で提案募集を実施することができるとすることが適当である。
５．また、３．で述べたような課題を抱えている地方公共団体等において非識
別加工情報の提供制度が円滑に実施されるためには、専門的見地からの支援を受けることができるようにする必要があると考えられることから、非識別加工情報について加工基準を定め、制度運用について監視を行う個人情報保護委員会に対し、非識別加工情報に係る事務の実施にあたり必要な支援を求めることができることとすることが適当である。
（５）条例で定める独自の保護措置
１．法律による共通ルールを適用した場合、個人情報保護法制が「個人の権利利益の保護」（個情法第１条、行個法第１条及び独個法第１条）を最重要の目的としていることを踏まえると、共通ルールよりも保護の水準を下げるような規定を条例で定めることは、法律の趣旨に反するものとして認めら
国の⾮識別加⼯情報と同様の規定を整備した地⽅公共団体は、11 団体（都道府県２団
体及び市区町村９団体）にとどまっている。（「令和元年度地⽅⾃治情報管理概要」総
務省）
70

39

れないものと考えられる。
２．他方、共通ルールよりも保護の水準を高めるような規定を条例で定める
ことは、必ずしも否定されるものではないと考えられる。ただし、個人情報保護法制が「個人情報の有用性に配慮」（個情法第１条、行個法第１条及び独個法第１条）することを求めるものであり、共通ルールを設ける趣旨が個人情報保護とデータ流通の両立を図る点にあることを踏まえると、地方公共団体が条例で独自の保護措置を規定できるのは特にそのような措置を講ずる必要がある場合に限ることとするのが適当である。
３．例えば、地方公共団体等がそれぞれの施策に際して保有することが想定される情報で、その取扱いに特に配慮が必要と考えられるものとして「ＬＧＢＴに関する事項」「生活保護の受給」「一定の地域の出身である事実」
等が考えられるが、これらは、国の行政機関では保有することが想定されず、行個法・行政機関の保有する個人情報の保護に関する法律施行令（平成１５年政令第５４８号。以下「行個令」という）の「要配慮個人情報」には含まれていないものである。また、将来においても、地方公共団体等において新たな施策が展開され、その実施に伴い保有する個人情報が、行個法・行個令の「要配慮個人情報」には規定されていないものの、その取扱いには、「要配慮個人情報」と同様に特に配慮が必要な個人情報である場合も想定される。こうした個人情報について、不当な差別、偏見等のおそれが生じ得る情報として、地方公共団体が条例により「要配慮個人情報」に追加できることとすることが適当である。
４．また、現在、多くの地方公共団体の条例においては、個別の個人情報の取扱いの判断に際して、地方自治法第１３８条の４第３項に規定する附属機関である審議会等の意見を聴くこととしているが、法制化後は、法律による共通ルールについて国がガイドライン等を示し、地方公共団体等はこれに基づきあらかじめ定型的な事例について運用ルールを決めておくことにより、個別の個人情報の取扱いの判断に際して審議会等に意見を聴く必要性は大きく減少するものと考えられる。
他方、条例で、審議会等の役割として、個人情報保護制度の運用についての調査審議やその在り方についての意見具申の役割を規定している例も多く見られるが、このような役割は今後も求められるものであり、今後、審議会等の役割は、上記のような個別の個人情報の取扱いの判断に際して諮問を受けるものから、定型的な事例についての事前の運用ルールの検討も含40

めた地方公共団体等における個人情報保護制度の運用やその在り方についての調査審議に重点が移行していくことになるものと考えられる。
５．地方公共団体が条例で定める独自の保護措置の規定が法律の範囲内において特に必要なものとして定められたものであることを担保するため、独自の保護措置を条例で規定しようとする地方公共団体は、個人情報保護委
員会に対し、その内容を事前に確認し、情報の提供、助言等の必要な支援を求めることができることとすることが適当である。これを受けて、個人情報保護委員会は、個人情報の有用性に配慮しつつ、個人の権利利益を保護する観点から、必要に応じて、情報の提供、助言等の支援を行うことが適当である。
また、地方公共団体がそのような条例を定めたときは、その旨及びその内容を個人情報保護委員会に届け出ることとするのが適当である71。これを受けて、個人情報保護委員会は、必要に応じ、助言等の適切な監視を行うことが適当である。
この際、条例の一覧性を高め、関係者の利便性の向上を図る観点から、個人情報保護委員会は、届出を受けた内容を公表することが適当である。
なお、地方公共団体の条例に基づく事務処理が違法又は著しく適正を欠く場合、国は、地方自治法等に基づき、助言、勧告を通じて是正を促すほか、是正の要求72を行うこと等ができるものである。
６．なお、死者に関する情報は、現行の個情法及び行個法等の定めと同様、「個人情報」には含まれないものと整理されるが、地方公共団体において、別途、個人情報とは別のものとして、死者に関する情報の保護についての規定を設け、必要な保護を図ることは考えられる。
（６）施行期日等
１．新制度を円滑かつ適切に運用するためには、地方公共団体等において、条例等の改廃や、事務要領等の整備、職員の研修、制度周知等の準備等を

ＧＤＰＲ第 85 条第３項は、各加盟国は、例外⼜は特例を定める国内法を採択した場
合、欧州委員会に対し、その国内法の条項を通知し、かつ、遅滞なく、その後の改正法
⼜はそれらの条項に影響を与える改正を通知する旨規定しており、参考にすることができる。
72
事務の処理について是正の要求を受けた地⽅公共団体は、違反の是正⼜は改善のための必要な措置を講じなければならないとされている（地⽅⾃治法第 245 条の 5 第５項）。
7141

行う必要がある。このため、施行期日は地方公共団体等の準備等に要する期間を十分に確保して設定することが適当である。
２．地方公共団体等が新制度の施行の準備等を円滑かつ確実に実施できるよ
う、国は、地方公共団体等の準備等についてガイドラインの作成や条例例の提示等必要な支援を行うことが適当である。

42

５

個人情報保護法令和２年改正の公的部門への反映の在り方

個人情報保護法令和２年改正73の改正内容のうち、公的部門（国の行政機関、規律移行法人以外の独立行政法人等及び地方公共団体等）に対しても反映することが適当な事項について、今般の一元化に併せて所要の措置を講ずることが適当である。
なお、規律移行法人については、原則として一般の個人情報取扱事業者と同様の規律を適用することとなるため、個人情報保護法令和２年改正における改正事項も原則としてそのまま適用されることとなる。
令和２年改正における改正事項①漏えい等発生時の委員会報告等の義務化（新個情法第２２条の２）②個人情報の不適正な利用の禁止（新個情法第１６条の２）③個人関連情報の創設（新個情法第２６条の２）④外国にある第三者への個人データ
提供時の本人への情報提供の充実

73

公的部門への反映の在り方
個人の権利利益を適切に保護する観点から、公的部門においても、保有個人情報の漏えい等が発生した場合の個人情報保護委員会への報告及び本人に対する通知義務に係る規定を置くことが適当である。
官民データ活用（官民データ活用推進基本法（平成２８年法律第１０３号）第１条）を推進
し、公的部門と民間部門の間における個人情報の利活用を進めていく上では、民間部門と同様、公的部門についても、明文で個人情報の不適正な利用を禁止する旨の規定を置くことが適当である。
併せて、今回の一元化を機に、既に規定のある独立行政法人等に加え、国の行政機関及び地方公共団体等についても、個人情報の不適正取得の禁止に係る規定を置くことが適当である。
公的部門においても、行政機関等が個人情報に該当しない情報を第三者に提供した結果、提供先において本人が識別される個人情報となり、本人の権利利益を侵害することとなる可能性は抽象的には存在する。その一方で、現時点でそのような可能性が顕在化している訳ではない。また、公的部門に特有の制度である目的
内提供との関係を整理する必要がある。このため、個人関連情報の第三者提供について民間部門に準じた一定の規律を置くことについては、当否も含め、法制化作業の中で精査していくことが適当である。
今般の一元化を機に、公的部門を含めたＧＤ
ＰＲ十分性認定への対応を視野に入れ、本人の「個⼈情報の保護に関する法律等の⼀部を改正する法律」（令和２年法律第 44 号）
43

等（個情法第２４条）⑤利用停止・消去等請求権の要件緩
和（新個情法第３０条第５項）⑥仮名加工情報の創設（新個情法第２条第９項及び第１０項、第３５条の２並びに第３５条の３）⑦保有個人データの開示方法の指示（新個情法第２８条第１項）

74

同意に基づき取得した保有個人情報を、公的部
門から外国の第三者に対して提供する場合について、民間部門に準じた一定の規律を置くことが適当である。
公的部門においては、法令の定める所掌事
務・業務に必要な範囲内でしか個人情報を保有することはできず（行個法第３条第２項等）、法違反の場合以外で利用停止・消去等請求権の行使を認める必要のある場合は想定されない。
ただし、上述のとおり、今般の法改正において、公的部門においても個人情報の不適正な取得・利用の禁止に係る規定を置くことに伴い、不適正に取得又は利用された個人情報の利用停止に係る規定を置くことが適当である。
仮名加工情報制度は、企業等におけるイノベーションを促進する観点から、専ら内部分析に用いる個人情報について一部の義務を緩和する趣旨で創設された制度であるところ、公的部
門では、現行法の下でも、保有個人情報の目的
内利用（行個法第８条第１項等）又は相当な理由のある内部利用（行個法第８条第２項第２号
等）に該当すれば、仮名加工情報に相当する情報の作成・利用が可能となる。このため、民間部門と同様の措置は不要と考えられる。
ただし、今般の法改正において、公的部門における個人情報の定義においても容易照合可能性を要件とする結果、行政機関等が「法令に基づく場合」として仮名加工情報を取得した場
合 、これが個人情報に該当しないこととなり得る。このため、行政機関等が取得した仮名加
工情報の取扱いについて、民間部門に準じた一定の規律（安全管理措置及び識別行為禁止義務）を置くことが適当である。
国の行政機関等においては、既に開示請求者が開示方法を選択できる仕組みとなっている
ため（行個法第２４条第３項等）、法律上の措置は不要と考えられる。
その一方、開示請求者は、行政機関等が情報化の進展状況等を勘案してそれぞれ定める選択肢の中から開示方法を選択することとされているため（同条第１項等）、統一的な政府方針の策定等を通じて、政府全体として開示実施のデジタル化対応を計画的に推進していくことが適当である74。

今般創設が予定されているデジタル庁が主導的役割を果たすことが期待される。
44

個人情報保護制度の見直しに関する検討会委員

生貝直人

東洋大学経済学部准教授

石井

夏生利

中央大学国際情報学部教授

大谷和子

株式会社日本総合研究所執行役員法務部長

佐藤一郎

国立情報学研究所教授

宍戸常寿

東京大学大学院法学政治学研究科教授

滋

法政大学法学部教授

長田三紀

情報通信消費者ネットワーク

根本勝則

日本経済団体連合会専務理事

増田悦子

全国消費生活相談員協会理事長（座長）髙橋森 亮二

英知法律事務所弁護士（五十音順：敬称略）

45