オープンサイエンスのためのデータ管理基盤ハンドブック〜学術研究者のための“個⼈情報”の取扱い⽅について〜の概要
2022年7⽉27⽇
東京⼤学⼤学院法学政治学研究科教授・国⽴情報学研究所客員教授

宍⼾常寿1.0 ハンドブックの発⾏

ビッグデータ時代の研究の個⼈情報保護ルールの全体像を説明「オープンサイエンスのためのデータ管理基盤ハンドブック」を発⾏
n 情報・システム研究機構 国⽴情報学研究所（NII、所⻑︓喜連川 優）は、⽇本学術会議の協⼒を得て、「オープンサイエンスのためのデータ管理基盤ハンドブッ
ク 〜学術研究者のための“個⼈情報”の取扱い⽅について〜」を作成し公開しました。このハンドブックは、研究者がデータを取り扱う際の注意点をまとめ、わかりやすく解説したものです。
n NIIに「オープンサイエンスのためのデータ管理基盤ハンドブックにかかる検討会」（座⻑︓喜連川 優、座⻑代理︓宍⼾ 常寿）を設置し有識者で議論するとともに、⽇本学術会議会員ならびに連携会員へのアンケートで集まった疑問点等をQ&A形式で反映するなど、学術研究の実際に沿った内容になっています。

2

オープンサイエンスのためのデータ管理基盤ハンドブック︓⽬次
⽬次︓
1.

ハンドブックの趣旨と想定読者

2.

ハンドブックの読み⽅

3.

定義︓対象となる情報とは

4.

定義︓対象となる取扱者とは

5.

定義︓その他

6.

研究利⽤⽬的での例外の考え⽅

7.

研究分野毎の留意点

8.

研究における個⼈情報の利⽤形式の検討

9.

研究の各側⾯における個⼈情報取扱いの注意点︓研究計画の策定

10. 研究の各側⾯における個⼈情報取扱いの注意点︓研究における個⼈情報の取得
11. 研究の各側⾯における個⼈情報取扱いの注意点︓研究における個⼈データの管理
12. 研究の各側⾯における個⼈情報取扱いの注意点︓個⼈情報の共有
13. 研究の各側⾯における個⼈情報取扱いの注意点︓保有個⼈データ・保有個⼈情報の取扱い
14. 講ずべき安全管理措置
3

1.1 ハンドブックの趣旨
n 近時の学術研究においては、分野を問わず、多種多様なデータを取り扱うことが増えている。データの利活⽤は、今後の学術研究を進展させるために極めて重要な役割を果たす⼀⽅、取扱いを誤ったときには個⼈の権利利益が害されることとなり、研究の中⽌や研究成果の撤回に追い込まれるといったリスクも増える等、その取扱いは容易ではない。
n 研究者の皆様からは、とりわけ個⼈情報を含むデータに関するルールが具体的にどのようなものであるか分からず、その取扱いを躊躇するといった声が聞かれる。
n さらに、2022年4⽉から施⾏された個⼈情報保護法においては、公的部⾨・⺠間部⾨を問わず学術研究分野の規律が⺠間部⾨に統⼀されるとともに、安全管理措置等の規定の適⽤を受けることになる。そして、学術研究機関等においては、利⽤⽬的や第三者提供の制限等に例外が規定される⼀⽅で、同法の遵守とともに、学術研究⽬的で⾏う個⼈情報の適正な取扱いを確保するために、⾃主規範策定等によるデータガバナンス体制の構築が求められている。
4

1.1 ハンドブックの趣旨
n 国⽴情報学研究所（NII）では、科学技術・イノベーション基本計画（令和3年3⽉26⽇閣議決定）に基づき、研究データの管理・利活⽤のための我が国の中核的なプラットフォームである研究データ基盤システムNIIResearch Data Cloudの⼀部として研究デー
タ管理基盤GakuNin RDMの整備を進めているが、上述の法制度に起因する混乱を避けるべく、⽂部科学省と連携の下、「オープンサイエンスのためのデータ管理基盤ハンドブッ
クにかかる検討会」を設置し、⽇本学術会議と連携し、データを取り扱う際の注意点を丁寧に纏めた研究者のためのハンドブックを作成した。
5

1.1 ハンドブックの趣旨
n ハンドブックの読者は、主として⼤学等の研究機関に属する研究者を想定した。
これに加えて企業等⺠間の研究機関に属する研究者、⼤学事務、研究機関内の研究倫理審査委員会に携わる⽅等にも有⽤な内容となるよう作成した。
n 各章ではまずはポイントを、次いで具体的なQ&Aを⽰した。このQ&A作成に当たっては、⽇本学術会議・連携会員に対するアンケート結果を反映した。このアンケートでは、実務の場において困っていること、悩んでいることをできるだけ具体的に記述いただいた。ご協⼒をいただいた⽅々に感謝申し上げる。
n ハンドブック作成に当たっては、検討会のメンバー以外にも、⽂部科学省などの様々な関係者から、有益なご助⾔をいただいた。改めて感謝申し上げる。
n なお、データの取扱いにおいて配慮すべき事項は、個⼈情報保護法にとどまらず、著作権や特許等の知的財産権も含め幅広い領域にまたがっている。今回（第1版）
は、まずは欧州で⼤規模な法改正が⾏われ、⽶国でも様々に動きがあり、⽇本でも直近の法改正の影響を⼤きく受ける個⼈情報保護法に焦点を当てた。今後も研究者にとっても有⽤なものとなるよう、内容を充実していく所存である。
6

検討委員会 構成員（座⻑）（座⻑代理）

喜連川 優

国⽴情報学研究所所⻑

⽣⾙ 直⼈
⽯井 夏⽣利岡村 久道
奥邨 弘司

⼀橋⼤学⼤学院法学研究科准教授
中央⼤学国際情報学部教授
英知法律事務所 弁護⼠、国⽴情報学研究所客員教授
慶應義塾⼤学⼤学院法務研究科教授

佐藤 健
宍⼾ 常寿
髙橋 克⺒
⻄⾙ 吉晃

国⽴情報学研究所情報学プリンシプル研究系教授
東京⼤学⼤学院法学政治学研究科教授、国⽴情報学研究所客員教授
NTT 社会情報研究所 チーフ・セキュリティ・サイエンティスト
国⽴情報学研究所特任研究員
千葉⼤学⼤学院社会科学研究院准教授

森 亮⼆
⼭地 ⼀禎
吉川 正俊

英知法律事務所 弁護⼠、国⽴情報学研究所客員教授
国⽴情報学研究所教授オープンサイエンス基盤研究センター⻑
京都⼤学⼤学院情報学研究科教授（2022年7⽉27⽇現在）

7ハンドブックの今後
n NIIのホームページで公開。
https://www.nii.ac.jp/service/handbook/n CC BY-NDの条件により、広く利⽤されることを期待。
n これで終わりではなく、研究者コミュニティから幅広く質問や指摘をいただき、可能な範囲・スピードで対応するとともに、アジャイルでハンドブック本体を改訂していくことを予定。
n 個⼈情報だけではなく、オープンサイエンスのためのデータの取扱いに関する法令や規範等についても、研究者コミュニティのニーズを把握しながら、引き続きハンドブック作成の検討を進めていきたい。

8アンケート概要
n 概要
オープンサイエンスを推進するデータ基盤とその利活⽤を進めるに当たり、学術研究者から個⼈情報（⽣データ、仮名化・匿名化されたデータ等）を含むデータの取扱いについて、昨今の法改正や所属組織内の規程が複雑で分かりにくい、また扱いを躊躇するとの声が聞かれる。
こうしたデータを円滑に利活⽤できるようにするための検討の基礎資料として、研究の場においてどのような問題点、また課題意識があるかについて、⽇本学術会議オープンサイエンスを推進するデータ基盤とその利活⽤に関する検討委員会のご賛同を得て、検討会と共同の形を採り、学術会議事務局を通じて会員・連携会員にアンケートを実施し、回答をいただいた。
n 実施期間︓2021年12⽉24⽇〜2022年1⽉17⽇
n 回答数︓ 102（〆切後来着分含む）
n 詳細は「オープンサイエンスと研究データ基盤整備の現状︓アンケート結果速報」学術フォーラム「COVID-19時代のデータ社会とオープンサイエンス」（2022年3⽉）を参照
https://www.scj.go.jp/ja/event/pdf3/318-s-0325-t7.pdf

9回答者の属性（１）n 所属研究機関

⺠間企業, 2
官公庁, 1

海外, 2

不明, 1

N=102

公益財団法⼈, 1
国⽴研究開発法⼈, 9⼤学共同利⽤機関法⼈, 3私⽴⼤学法⼈, 25

国⽴⼤学法⼈, 53

公⽴⼤学法⼈, 5

10回答者の属性（２）n 学問領域

N=102

N=102
薬学, 1不明, 9経済学, 8不明, 9

法学, 4

教育学, 5理学, 10第⼀部会, 31
⽂学, 14第三部会, 43第⼆部会, 19

⼯学, 32

医学, 15農学, 4

11

アンケートまとめ（考察）n 個⼈情報の取扱いについて、法令の不明確さ、リスク懸念、⼿続きの煩雑さ、クラウド利⽤の不安など、それぞれ⼀定数の研究者が不安や懸念を感じており、研究成果の公開⽅法を⾒直したり、リスク懸念のあるデータを取り除いたりしていることが判明した。
n 上記のような不安や懸念を取り除き、研究者が安⼼して個⼈情報を含むデータを取り扱う指針を作ってオープンサイエンスの推進に資することが本プロジェクトの⽬的であり、その意義を改めて確認することができた。
n アンケートからは、学術研究⼀般における個⼈データ取扱いの共通の課題とともに、各研究分野や研究の特性ごとの課題や問題意識の違いが窺われた。
n アンケートのなかで、多数ではないものの⼀定数が次の意⾒を⽰しており、研究やその成果公開での懸案となっていることがうかがえる。
p 各所属機関の倫理審査委員会等での基準のばらつき、運⽤の不透明さ（法令解釈の難しさ）を解消すること（共同研究の際にも問題になる）⇒いわゆる倫理委員会3000個問題
p 個別分野ごとの特性（反映の必要があるのか︖）
p クラウドを安⼼して利⽤できる環境にないこと（委託をめぐる理解が困難）
122.1 ハンドブック各章の関係性
n 本ハンドブックでは、研究分野において配慮すべき事項を検討する前に、前提として必要となる基礎知識について、まずは定義について第3章（対象となる情報）、第4章（対象となる取扱者）、第5章（その他）としてまとめている。
n これらを踏まえたうえで、研究実務で特に重要になるのは第6章（研究利⽤⽬的での例外の考え⽅）と第7章（研究分野毎の留意点）となる。
n 学術研究機関等における学術研究⽬的の利⽤であれば個⼈情報保護法の⼀部の規律の適⽤が除外される（個⼈の権利利益を不当に侵害するおそれがある場合を除く。）⼀⽅で、安全管理措置等適⽤される規律もある点に留意が必要である。また、国⽴⼤学や国⽴研究開発法⼈等においては、個⼈情報の取扱いについて基本的には⺠間部⾨に係る法第4章の規律が適⽤されるものの、個⼈情報ファイル、開⽰等及び匿名加⼯情報に関する規律については、公的部⾨に係る法第5章の規律が適⽤される点にも留意する必要がある。

13

2.1 ハンドブック各章の関係性（続）n 次に、実際に個⼈情報を利⽤する場合を想定し、第8章（利⽤形式の検討）で匿名加⼯・仮名加⼯・統計化等の⽣データを加⼯することによる対応を検討いただくこととなる。
n 個⼈情報を取り扱う研究を⾏う際には、研究の各側⾯における注意点を、第9章（研究計画の策定）、第10章（個⼈情報の取得）、第11章（個⼈データの管理）、第12章（個⼈情報の共有）、第13章（保有個⼈データ・保有個⼈情報の取扱い）、第14章（安全管理措置）と詳述している。
n 各章ではまずポイントを、次いで具体的なQ&Aを⽰したうえで、各項⽬の詳細を説明している。
n なお、本ハンドブックの構成は個⼈情報保護法上求められる⼀般的な個⼈情報等の適正な取扱いの検討枠組みに基づいている。学術研究分野における利⽤の検討を進めるに当たっては、学術研究分野における例外の該当性について、あわせて確認する必要がある。

14

2.2 学術研究分野における個⼈情報保護チェックリスト
n 学術研究分野における個⼈情報の利⽤にあたっては、個⼈情報保護法上、主に3つの例外が認められている。それぞれ、利⽤⽬的変更による制限の例外、要配慮個⼈情報取得の制限の例外、第三者提供の制限の例外、がこれにあたる。これによって、通常は個⼈情報取扱事業者に課される規律が緩和されている。

15

2.2 学術研究分野における個⼈情報保護チェックリスト（続）164 定義︓対象となる取扱者
4.1 ポイント︓
個⼈情報取扱事業者の定義と義務について
概説17

4 定義︓対象となる取扱者
4.2 Q&A
想定されるQ&Aを数個掲載。ここでは・学会のような団体も規制対象となるのか
・⼤学で⽰されているルールを守る以外の義務

詳しく知りたい⽅向けに、それぞれ以下の節で詳説。
4.3 個⼈情報取扱事業者
4.4 個⼈関連情報取扱事業者
4.5 匿名加⼯情報取扱事業者
4.6 仮名加⼯情報取扱事業者
18

アンケートを反映したQ&Aの例（１）章寄せられたＱＡ

5 定義その他公開した研究成果に基づいて将来どのような影響があるか分かりません。同意を得ていれば、将来問題が起こったとしても訴えられることはなくなるのでしょうか。

公開した研究成果に個⼈データが含まれる場合には、個⼈情報保護法の規定に従って同意を取得したり、適切な安全管理措置を講じることなどが求められますが、個⼈情報保護法の規律を遵守している場合であっても、プライバシー権等の侵害を理由に⺠事上の不法⾏為責任を追及されるなどの問題が発⽣する可能性はあるため、個⼈情報保護法の規律を遵守することをもって当該研究成果に関して発⽣する全ての問題について免責されるわけではありません

7 研究分
野毎の留意点メタバースのアバターのデータを取り扱う
際にとりわけどのような点に留意する必要がありますか。

アバターによって取扱いは異なります。当該アバターのデータ⾃体により、⼜は他の情報と容易に照合することができ、それによって特定個⼈を識別することができる場合には個⼈情報に当たり、特定の個⼈を識別することができない場合であっても⽣存する個⼈に関する情報に当たる場合には個⼈関連情報に当たるため、個⼈情報保護法の関係規定が適⽤されることとなります。加えて、アバターは作成者の著作物に当たるため、保存期間を決めるなどして取り扱う必要があります。また、他者の肖像権・他社の商標権を侵害することがないよう、事前にその旨を定めた規約を作成し、同意を取るべきです。

7 研究分
野毎の留意点

倫理審査において、⾃然科学系と⼈⽂社会系で別の基準を設けることはできますか。
できるという場合、どのような差異を設けるべきか、基準はありますか。例えば、⼈の⽣命を扱う医学系について、重い基準とすること、また、⼦孫への影響を与えうるゲノムについて、他の分野と別の基準を設けることは可能ですか。

別の基準を設けることは可能です。法律に反しない範囲で、より⾼度な安全管理措置等を求めることは可能です。例えば、「⼈を対象とする医学系研究に関する倫理指針」（⽂部科学省、厚⽣労働省）、「ヒトゲノム・遺伝⼦解析研究に関する倫理指針」（⽂部科学省、厚⽣労働省、経済産業省）、遺伝⼦治療等臨床研究に関する指針（厚⽣労働省）のような分野別のガイドラインを参照いただくことが想定されます。

19

アンケートを反映したQ&Aの例（２）章寄せられたＱＡ

7 研究
分野毎の留意点

倫理審査において、宗教、政治的信条、財産状況、家族構成、職業、学歴等の⼈⽂科学系の機微情報を扱う場合、何らかの重い基準を設けることは可能ですか。

可能です。法律に反しない範囲で、より⾼度な安全管理措置等を求めることは可能です。
例えば、「⼈を対象とする医学系研究に関する倫理指針」（⽂部科学省、厚⽣労働省）、「ヒトゲノム・遺伝⼦解析研究に関する倫理指針」（⽂部科学省、厚⽣労働省、経済産業省）、遺伝⼦治療等臨床研究に関する指針（厚⽣労働省）のような分野別のガイドラインを参照いただくことが相当されます。なお、思想や信仰は、個⼈情報保護法上「要配慮個⼈情報」に該当し、その取得や提供の際に、⼀般の個⼈情報よりも厳格な規律が課せられています。

7 研究
分野毎の留意点

崇⾼な研究⽬的、教育⽬的のための個⼈情報の利⽤は、「フェアユース」として認められるべきではないですか。

⽶国著作権法に定める「フェアユース」とは若⼲異なりますが、「学術研究機関等」が⾏う「学術研究⽬的」による個⼈情報の取扱いについては、個⼈情報の取得、利⽤、提供等の各場⾯で例外規定が設けられています。詳しくは第6章をご覧ください。

20アンケートを反映したQ&Aの例（３）
章寄せられたＱＡ

7 研究分
野毎の留意点

分野ごとに個⼈情報保護の姿勢が異なり、異分野間で共同研究をする際、保護意識の強い研究者とまったく意識しない研究者が混在し、研究⾃体が難しくなる傾向があります。何か良い⽅法はありますか。

今⽇の研究活動において、個⼈情報保護法の遵守をはじめとした適切な保護措置の実施は分野を問わず不可⽋となっています。各研究機関や資⾦配分機関が実施する研究倫理教育プログラムの全研究メンバーの受講を確実なものとするほか、研究プロジェクトで取り扱う情報の性質に応じた対応指針を明確化し、研究メンバーへの周知徹底を⾏うことが望ましいと⾔えます。

7 研究分
野毎の留意点

基礎科学分野(例えば天体観測情報など)で、 ⽇本の個⼈情報保護法においては、「学術研究機関等」が⾏う「学術研究⽬的」による利権が絡みづらい内容の共同研究で、毎度、 個⼈情報の取扱いについては、個⼈情報の取得、利⽤、提供の各場⾯で例外規定が設け他の分野と同様の厳しい制限があるのは国 られています。詳しくは第6章をご覧ください。個⼈情報保護法第28条では、外国にあ際共同研究推進の⾜かせになります。営利 る第三者への提供は本⼈の同意に基づくことが規定されており、個⼈の利益権利を保護
企業ではないアカデミックの研究者へ個⼈ する上で⽇本と同等の⽔準にある外国については例外として取り扱うとされています。
情報を簡便に提供する⽅法はありませんか。 個⼈情報保護の考え⽅は国によって⼤きな違いがあります。国際共同研究の相⼿先の国によっては、より強い個⼈情報の保護が求められたり、相⼿先の国から個⼈情報を持ち出したりすることが禁⽌されることもあります。事前に相⼿先の国のルールを確認し、研究計画を⽴てることをおすすめします。
さらに、相⼿先の国のルールで、国家機関が⺠間の情報にアクセスすることを認めている場合があります。国際共同研究の場合は、経済安全保障の観点からも慎重な取扱いを⾏うように留意して下さい。

21アンケートを反映したQ&Aの例（４）章寄せられたＱＡ

11 研究における個⼈デー
タの管理

外国の事業者が運営するクラウドを利⽤していますが、サーバは国内にある場合、外国にある第三者への提供に該当しますか。

当該クラウドを運営する外国にある事業者が、当該サーバに保存された個⼈データを取り扱わないこととなっている場合には、外国にある第三者への提供に該当しません。当該クラウドを運営する外国にある事業者が、当該個⼈データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個⼈データを取り扱わない旨が定められており、適切にアクセス制御を⾏っている場合等が考えられます。なお、国⽴情報学研究所の学認クラウド導⼊⽀援サービスでは、クラウドサービ
スのチェックリストに基づいて、クラウド事業者によるデータの使⽤権に関する調査結果を⼤学等の利⽤機関に提供しています。

12 個⼈
情報の共有

個⼈情報等の取扱いについて、海外で情報 本ハンドブックでは⽇本の個⼈情報保護法制に焦点を絞った解説を⾏っていますが、今収集する場合、海外の機関と共同研究をす ⽇では新興国を含む世界中の国や地域ごとに異なる個⼈情報保護法制が制定されており、る場合などに配慮すべき事項はありますか。 その中には⽇本の法制度とは⼤きく異なる規律を持つものも少なくありません。外国の個⼈情報等を⽇本の研究機関が取り扱う場合には、例えばその相⼿国の法制度における個⼈情報等の国外持ち出しに関わる越境移転規制（⽇本の個⼈情報保護法第28条については本章参照）や、⽇本から⾏う外国の個⼈情報等の取得や利⽤にその国の法律が適⽤される域外適⽤等への対応などが必要になります。外国の個⼈情報保護法制を独⼒で正確に理解して対応することは⼀般的に容易ではなく、必要に応じ、相⼿国の法律に精通した専⾨家への相談を⾏うことが望ましいと⾔えます。個⼈情報保護法においては、外国にある個⼈情報取扱事業者等が、⽇本の居住者等国内にある者に対する物品⼜は役務の提供に関連して、国内にある者を本⼈とする個⼈情報、当該個⼈情報として取得されることとなる個⼈関連情報⼜は当該個⼈情報を⽤いて作成された仮名加⼯情報若しくは匿名加⼯情報を、外国において取り扱う場合には、法が適⽤されるとされています（法第166条）。なお、域外適⽤の対象となる場合は、外国にある個⼈情報取扱事業者等がこれらの情報を本⼈から直接取得して取り扱う場合に限られず、本⼈以外の第三者から提供を受けて取り扱う場合も含まれます。
22

アンケートを反映したQ&Aの例（５）章寄せられたＱ

Ａ

14 講ず
べき安全
管理措置

個⼈情報の取り扱いについて得た同意書は、 当該同意書が第三者提供に係る確認記録義務の規定に基づく記録（法第29条第1項及びいつまで保管すればいいのか。⻑期保存は 規則第20条第1項第2号イ⼜は法第30条第3項及び規則第24条第1項第2号イ）に当たる場
合には、各規定において求められる期間保存する必要があります。当該記録に当たらな難しい。
い場合においても、最低限、個⼈情報の取扱いを継続している間は保管することが望ましいと考えられます。取扱いを開始する段階で、取扱いや保管の期間を決め、それに対応するかたちで検討を⾏うという⽅法もあります。

14 講ず
べき安全
管理措置

個⼈データが⼊ったPCを外部に持ち運んでもいいのか。

個⼈データを取り扱う場合には、必要な安全管理措置等を適切に講じることが求められます。

14 講ずべき安全管理措置

倫理審査委員会への申請書類に、個⼈データの保管場所の明記を求められるが、どのように記載すればいいのか分かりません（サーバが分散されている等）。また、そもそもクラウド上に保管することは許されますか。

当該倫理審査委員会の基準に従ってください。法令上、クラウド利⽤が⼀律禁⽌されているわけではありません。

14 講ずべき安全管理措置

倫理審査規定に、個⼈情報は所属機関内に 当該倫理審査委員会の基準に従ってください。法令上、個⼈情報を所属機関内に保管す保管することとあるが、この規定は必要か。 る義務は課せられていませんが、安全管理措置の観点から適切に取り扱っていただく必要があります。

n アンケートやヒアリングをもとに、専⾨家の協⼒を得て、約８０の具体的な場⾯を想定したわかりやすいＱ＆Ａを作成。
23

お問い合わせ先n 国⽴情報学研究所 総務部企画課企画チーム︓handbook[at]nii.ac.jp
24