個人情報保護法の改正について

令和３年５月デジタル社会の形成を図るための関係法律の整備に関する法律案の概要＜予算関連法案＞

趣旨
デジタル社会形成基本法に基づきデジタル社会の形成に関する施策を実施するため、個人情報の保護に関する法律、行政手続における特定の個人を識別するための番号の利用等に関する法律等の関係法律について所要の整備を行う。
概要
個人情報保護制度の見直し（個人情報保護法の改正等）① 個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の3本の法律を1本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化。
② 医療分野・学術分野の規制を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用。
③ 学術研究分野を含めたGDPR（EU一般データ保護規則）の十分性認定への対応を目指し、学術研究に係る適用除外規定について、一律の適用除外ではなく、義務ごとの例外規定として精緻化。
④ 個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化。
施行日：公布から１年以内（地方公共団体関係は公布から２年以内）

マイナンバーを活用した情報連携の拡大等による行政手続の効率化（マイナンバー法等の改正）① 国家資格に関する事務等におけるマイナンバーの利用及び情報連携を可能とする。
② 従業員本人の同意があった場合における転職時等の使用者間での特定個人情報の提供を可能とする。

施行日：公布日（①のうち国家資格関係事務以外(健康増進事業、高等学校等就学支援金、知的障害者など)）、公布から４年以内（①のうち国家資格関係事務関連）、令和３年９月１日（②）

マイナンバーカードの利便性の抜本的向上、発行・運営体制の抜本的強化（郵便局事務取扱法、公的個人認証法、住民基本台帳法、マイナンバー法、J-LIS法等の改正）＜マイナンバーカードの利便性の抜本的向上＞① 住所地市区町村が指定した郵便局において、公的個人認証サービスの電子証明書の発行・更新等を可能とする。
② 公的個人認証サービスにおいて、本人同意に基づき、基本４情報（氏名、生年月日、性別及び住所）の提供を可能とする。
③ マイナンバーカード所持者について、電子証明書のスマートフォン（移動端末設備）への搭載を可能とする。
④ マイナンバーカード所持者の転出届に関する情報を、転入地に事前通知する制度を設ける。 等
施行日：公布日（①）、公布から２年以内（①以外）＜マイナンバーカードの発行・運営体制の抜本的強化＞① 地方公共団体情報システム機構（J-LIS）による個人番号カード関係事務について、国による目標設定、計画認可、財源措置等の規定を整備。
② J-LISの代表者会議の委員に国の選定した者を追加するとともに、理事長及び監事の任免に国の認可を必要とする等、国によるガバナンスを強化。
③ 電子証明書の発行に係る市町村の事務を法定受託事務化。 等
施行日：令和３年９月１日

押印・書面の交付等を求める手続の見直し（48法律の改正）○ 押印を求める各種手続についてその押印を不要とするとともに、書面の交付等を求める手続について電磁的方法により行うことを可能とする。
施行日：令和３年９月１日（施行までに一定の準備期間が必要なものを除く。）

1

個人情報保護制度見直しの全体像① 個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の3本の法律を1本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化。
② 医療分野・学術分野の規制を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用。
③ 学術研究分野を含めたGDPRの十分性認定への対応を目指し、学術研究に係る適用除外規定について、一律の適用除外ではなく、義務ごとの例外規定として精緻化。
④ 個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化。

【現行】
所管

個人情報保護法

個人情報保護条例

国の行政機関独立行政法人等

民間事業者

地方公共団体等

学術研究

個人情報の定義等

各地方公共団体

独立行政法人等
個人情報保護法

対象

個人情報保護委員会

行政機関
個人情報保護法法令

総務省【見直し後】①

個人情報保護委員会

新個人情報保護法

国の行政機関
地方公共団体※ 等

②

適用除外

・国立病院
・公立病院
・国立大学
・公立大学・国立研究開発法人

民間事業者
等

対象を拡大し、規律を精緻化

照合可能性

容易照合可能性団体により異なる

容易照合可能性（個情法の定義に統一）

非識別加工情報

匿名加工情報規定なし

匿名加工情報（個情法の名称に統一し、規律を明確化）（一部団体を除く）③④※ 条例による必要最小限の独自の保護措置を許容

2

地方公共団体の個人情報保護制度の在り方（改正の方向性）＜地方公共団体の個人情報保護制度に求められるもの＞＜改正の方向性＞

１ 社会全体のデジタル化に対応した「個人情報保護」と「データ流通」の両立○「個人情報保護」と「データ流通」の両立に必要な全国的な共通ルールを法律で設定○

法律の的確な運用を確保するため、国がガイドラインを策定○

その上で、法律の範囲内で、必要最小限の独自の保護措置を許容 ⇒条例を個人情報保護委員会に届出※ いわゆる「２０００個問題」①団体ごとの規定・運用の相違が、データ流通の支障となりうること②条例がないなど、求められる保護水準を満たさない団体があること等への問題提起がなされている

２ 個人情報保護に関する国際的な制度調和と我が国の成長戦略への整合例）・「条例要配慮個人情報」として保護する情報を規定
・個人情報の適切な取扱いを確保するため、特に必要な場合に限り審議会等からの意見聴取手続を規定例）・EUにおけるGDPR（一般データ保護規則）十分性認定
・G20大阪首脳宣言におけるDFFT（信頼ある自由なデータ流通）○ 地方公共団体の現状
国の規律の対象

Ａ市(国と同じ規律)例）条例を制定していない

Ｂ組合（規律なし）

例）一部の規定がない

Ｃ市（規律の対象が国より少ない）

共通ルールの設定※○ 共通ルール化後
共通ルール

Ａ市

Ｂ組合

共通ルールの設定により国と異なる規定ぶりは解消

例）・独自情報を追加
・国と異なる規定ぶり

Ｄ市（規律の対象が国より多い）例）審議会等からの意見聴取

Ｅ市（手続を付加）必要最小限の独自の保護措置
意見聴取手続の必要性を精査

Ｃ市

D市

Ｄ市

E市
Ｅ市

※医療・学術分野については、国の組織同様、民間規律を適用する。
※審議会等の役割は、個別事案に関する審議から、定型事例についての事前ルールの設定や、制度の在り方に関する調査審議に主な役割が移行。

3

地方公共団体の個人情報保護制度の在り方（改正の概要）
趣旨○ 社会全体のデジタル化に対応した「個人情報保護」と「データ流通」の両立が要請される中、・団体ごとの個人情報保護条例の規定・運用の相違がデータ流通の支障となりうる・求められる保護水準を満たさない団体がある 等の指摘。（いわゆる「2000個問題」）○ 独立した機関による監督等を求めるEUにおけるGDPR（一般データ保護規則）十分性認定など国際的な制度調和とG20大阪首脳宣言におけるDFFT（信頼ある自由なデータ流通）など我が国の成長戦略への整合の要請。
○ こうした課題に対応するため、地方公共団体の個人情報保護制度について、全国的な共通ルールを法律で規定するとともに、国がガイドライン等を示すことにより、地方公共団体の的確な運用を確保。

概要① 適用対象・地方公共団体の機関及び地方独立行政法人を対象とし、国と同じ規律を適用
・病院、診療所及び大学には、民間部門と同じ規律を適用※④、⑤、⑥に係る部分は除く② 定義の一元化
・個人情報の定義について、国・民間部門と同じ規律を適用
例：容易照合可能性、個人識別符号、要配慮個人情報 等③ 個人情報の取扱い
・個人情報の取扱いについて、国と同じ規律を適用

例：保有の制限、安全管理措置、利用及び提供の制限 等④ 個人情報ファイル簿の作成・公表
・個人情報ファイル簿の作成・公表について、国と同じ規律を適用※個人情報ファイル簿の作成等を行う個人情報ファイルの範囲は国と同様（1,000人以上等）とする※引き続き、個人情報取扱事務登録簿を作成することも可能とする⑤自己情報の開示、訂正及び利用停止の請求・開示等の請求権や要件、手続は主要な部分を法律で規定⑥ 匿名加工情報の提供制度の導入
・匿名加工情報の提供制度（定期的な提案募集）について、国と同じ規律を適用※ただし、経過措置として、当分の間、都道府県及び指定都市について適用することとし、他の地方公共団体は任意で提案募集を実施することを可能とする⑦ 個人情報保護委員会と地方公共団体の関係
・個人情報保護委員会は、地方公共団体における個人情報の取扱い等に関し、国の行政機関に対する監視に準じた措置を行う
・地方公共団体は、個人情報の取扱いに関し、個人情報保護委員会に対し、必要な情報の提供又は助言を求めることが可能
例：個人情報の提供を行う場合、匿名加工情報の作成を行う場合 等⑧ 施行期日等・施行期日は、公布から２年以内の政令で定める日とする
・地方公共団体は、法律の施行に必要な条例を制定 例：手数料、処理期間 等
・国は、個人情報の適正な取扱いを確保するため、地方公共団体の準備等について必要な助言(ガイドライン等)を行う※地方公共団体が条例で定める独自の保護措置について・特に必要な場合に限り、条例で、独自の保護措置を規定・条例を定めたときは、その旨及びその内容を個人情報保護委員会に届出

4

改正法の施行準備スケジュール（案）
令和３年
夏

夏

冬

公表

オプトアウト
届出開始（規律移行法人等・地方等含む）

春
施行状況

ガイドライン案
意見募集

改正法施行（国等）

公的部門ガイドライン・Q＆A

民間部門ガイドライン・Q&A

秋
相談等受付体制

意見募集

今回改正法に係る箇所の改正等

春

令和５年

調査・公表

政令・規則

周知・説明等

学術研究機関等
規律移行法人等

冬公表（規律移行法人等以外）

秋
公布

国の行政機関独立行政法人等

令和４年

ガイドライン案
意見募集

周知・説明等

公的部門ガイドライン・Q＆A／施行準備マニュアル
周知・説明等公表

地方公共団体等

意見募集

ガイドライン案
意見募集※ このほか、個人情報の保護に関する基本方針についての改正も予定。また、令和２年改正法が令和４年４月に施行予定。
※ 上記の表は現時点での大まかな見込みであり、今後の状況によって変わり得る。

オプトアウト
届出開始

条例
届出開始

改正法施行
（地方）

公布

政令・規則

5

参考資料

個人情報保護委員会による一元的な監督体制の確立【現行の個情委の監督範囲】

民間

個人情報関係（マイナンバー関係を含む）

国

マイナンバー関係地方

マイナンバー関係【見直し後の個情委の監督範囲】

匿名加工
情報関係

民間

個人情報関係（マイナンバー関係を含む）

匿名加工
情報関係

非識別
加工
情報関係

国

個人情報関係（マイナンバー関係を含む）

匿名加工
情報関係

地
方

個人情報関係（マイナンバー関係を含む）

匿名加工
情報関係

7

医療分野・学術分野における規制の統一（現在の状況）
・ 現行の独法等個情法は、法の対象となる法人を、情報公開法における整理を踏襲し、①理事長等の人事権が政府にあるか、②法人に対して政府が出資できるか、を基準に決定。
・ その結果、医療分野・学術分野の独法等において、民間のカウンターパートとの間で個人情報を含むデータを利用した共同作業が継続的に行われているにもかかわらず、民間のカウンターパートと適用される規律が大きく異なる、という不均衡が発生。

【行政の広義の内部関係】【行政と民間との外部関係】

総務省が法運用の統一性と法への適合性を内部から確保

個人情報保護委員会が法の遵守状況を外部から規制・監督

・個人情報ファイル保有の事前チェック（独法等を除く）
・法の施行状況の調査・公表
・総合案内所の運営
・管理指針の策定
情報公開・個人情報保護審査会が、開示決定等に係る審査請求について、第三者的立場からチェック

国の行政機関・ガイドラインの策定・報告及び立入検査
・指導及び助言
・勧告及び命令・間接罰

独立行政法人等

民間事業者

国立大学
国立病院
国立研究機関

私立大学
民間病院
民間研究機関規律の不均衡が発生

8医療分野・学術分野における規制の統一（改正の考え方）
・ 独法等のうち、民間のカウンターパートとの間で個人情報を含むデータを利用した共同作業を継続的に行うもの等（本人から見て官民で個人情報の取扱いに差を設ける必要性の乏しいもの）には民間事業者と同様の規律を適用。
・ ただし、本人からの開示等請求に係る規定及び非識別加工情報の提供に係る規定については、これらの規定がそれぞれ情報公開法制を補完する側面や広義のオープンデータ政策としての性格を有することに鑑み、現行法と同様、全ての独法等を行政機関に準じて扱う。

【行政の広義の内部関係】
個人情報保護委員会が法運用の統一性と法への適合性を内部から確保

国の行政機関独法等のうち、民間に類する立場で民間のカウンターパートとの間でデータを利用した共同作業を継続的に行うもの等（例）

・国立研究開発法人
・国立病院機構
・国立大学法人
・大学共同利用機関法人
独法等のうち、公権力の行使に類する形で個人情報を保有するもの等、上記に該当しないもの（例）・行政執行法人※【行政の外部関係】
個人情報保護委員会が法の遵守状
況を外部から規制・監督原則として同じ規律を適用

民間事業者
・私立大学・民間病院・民間研究機関※ これらの独法等が「公権力の行使に類する形で個人情報を保有する業務」も行っている場合は、当該業務における個人情報の取9扱いについては例外的に行政機関と同様の安全管理措置義務を適用する。

学術研究に係る適用除外規定の見直し（精緻化）・ ＥＵから日本の学術研究機関等に移転された個人データについてもＧＤＰＲに基づく十分性認定を適用可能とすることを視野に、一元化を機に、現行法の学術研究に係る一律の適用除外規定を見直すこととし、個別の義務規定ごとに学術研究に係る例外規定を精緻化する。
・ 大学の自治を始めとする学術研究機関等の自律性を尊重する観点から、個情法第43条第１項の趣旨を踏まえ、学術研究機関等に個人情報を利用した研究の適正な実施に関する自主規範の策定・公表を求めた上で、自主規範に則った個人情報の取扱いについては、個人情報保護委員会は、原則として、その監督権限を行使しないこととする。また、個人情報保護委員会は、自主規範の策定を支援する観点から、必要に応じ、指針を策定・公表する。

【見直し後】【現行法】

個人情報取扱事業者の義務

学術研究は全て適用除外（＝学術研究機関等が学術研究目的で個人情報を取り扱う場合は全て適用除外）※１※２

利用目的による制限

学術研究は例外

要配慮個人情報の取得制限

学術研究は例外

第三者提供の制限➀学術研究機関等による研究成果の発表・教授に不可欠②提供先が学術研究機関等③提供元が学術研究機関等
かつ提供先と共同研究

安全管理措置等

学術研究も適用

保有個人データの開示等（＝学術研究機関等が学術研究目的で個人情報を取り扱う必要がある場合は例外）

学術研究は例外※３

学術研究も適用

個人情報保護委員会が監督 ※４※１ 学術研究機関等：大学（私立大学、国公立大学）、学会、国立研究開発法人 等（下線は今回追加されるもの）※２ 個人の権利利益を不当に侵害するおそれがある場合（例：民事上の不法行為となり差止請求が認められるような場合）は、例外とならない※３ 国公立大学及び国立研究開発法人の場合は、保有個人情報の開示等については行政機関と同じ規律を適用
10※４ 利用目的の特定・公表（15条・18条）不適正利用・取得の禁止（16条の２・17条1項）漏えい報告（22条の２）も適用

一元化後の規律の適用関係
民間事業者

規律移行法人等※１※２

国の行政機関等
・地方公共団体等

個人情報取扱事業者に係る規律 （現行個人情報保護法第4章第1節及び第2節を基本的にスライド）
・利用目的の特定等、適正取得○○・正確性確保、安全管理措置○○

・第三者提供制限○○・開示等請求○・匿名加工情報の作成・提供○

国の行政機関等に係る規律 （現行行政機関個人情報保護法・独立行政法人等個人情報保護法第2章～第4章の2を基本的にスライド）
・保有制限、目的明示○

・正確性確保、安全確保措置○

・利用・提供制限○

・個人情報ファイル保有の事前通知○ ※３

・個人情報ファイル簿の作成・公表○○

・開示等請求○○・匿名加工情報の作成・提供

○

○ ※4

※１ 規律移行法人等とは、今般の一元化の機に、民間の個人情報取扱事業者と原則として同様の規律を適用すべき独立行政法人等、地方公共団体の病院・大学等及び地方独立行政法人を指す。
※２ 国の行政機関等・地方公共団体等には、現行独立行政法人等個人情報保護法が適用される独立行政法人、地方公共団体及び地方独立行政法人のうち、規律移行法人等以外のものを含む。
※３ 規律移行法人等以外の独立行政法人等に加え、地方公共団体及び地方独立行政法人については、事前通知の制度の対象外。
※４ 地方公共団体については、経過措置として、当分の間、都道府県及び指定都市に適用し、他の地方公共団体は任意で匿名加工の提案募集を実施可能とする。

11

個人情報の定義等の統一＜現行法の規律＞◆ 個人情報保護法の個人情報：「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」◆ 行政機関個情法及び独法等個情法の個人情報：「他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む」◆ 個人情報の定義の相違に起因して、個人情報保護法では非個人情報とされる「匿名加工情報」に相当する情報が、行政機関個人情報保護法等では個人情報に該当し得るとされており、「非識別加工情報」という別の名称が与えられている。
＜改正の方向性＞
１．公的部門と民間部門とで個人情報の定義が異なることは、国民の目から見て極めて分かりにくく、両部門の間でのデータ流通の妨げともなり得ることから、一元化の機会に、両部門における「個人情報」の定義を統一する。
２．定義変更に伴う影響を最小化する観点から、一元化後の定義は、現行の個人情報保護法の定義（＝容易照合可能性を要件とするもの）を採用する。
３．公的部門における権利利益保護の徹底を図るため、民間部門で導入済みの匿名加工情報・仮名加工情報の識別行為禁止義務等の規律を公的部門にも導入する。
４．個人情報の定義を統一する結果、非識別加工情報も非個人情報となり、匿名加工情報と区別する必要がなくなることから、一元化の機会に、両者の名称を「匿名加工情報」で統一する。
５．匿名加工情報は公的部門においても非個人情報であるとの前提で、公的部門における匿名加工情報の取扱
いに関する規律を明確化する（例：匿名加工情報の作成・取得・利用は、法令の定める所掌事務の範囲内で可能とする）

12

公的部門における個人情報保護ルールの拡充
国や地方におけるデジタル業務改革の進展や官民の枠を超えたデータ利活用の活発化を見据え、公的部門における個人情報保護ルールの拡充を図る。
１．個人情報保護委員会による監視の実効性を確保するためのもの① 個人情報保護委員会による報告要求・実地調査・勧告等の権限の明記② 漏えい報告制度の創設
２．官民や地域の枠を超えたデータ利活用の活発化に対応するためのもの① 「不適正利用の禁止」「不適正取得の禁止」の明文化② 外国へのデータ移転に係る規律の創設
３．「個人情報」の定義の変更に伴うもの① 匿名加工情報・仮名加工情報の識別行為禁止義務等の創設② 提供先で個人情報となる情報の外部提供に係る規律の創設
４．その他規律の明確化や民間部門との均衡を図るためのもの① 安全管理措置義務の対象として派遣労働者・再委託先を明記② 任意代理人による開示等請求の許容13