資料２－２

先行自治体における個人情報の取扱い及び改正後の個人情報保護法における本実証事業と関連する主な論点について
令和４年４月７日
デジタル庁
個人情報保護委員会事務局

先行自治体における個人情報の取扱いについて①
第２回副大臣PTで紹介した、いくつかの自治体に関係府省から聞き取りを行ったところ、個別政策分野（教育・保育・福祉・医療等）において法令に基づき個人情報を取得した後、そうしたこどもに関する各分野のデータを連携させる段階や、支援が必要なこどもを発見した後の政策的なアクションの段階では、条例に基づく目的外利用を行う等の措置を講ずるとともに、その際、アクセスコントロール（閲覧職員の制限等）や不要になったデータの処分等の安全管理措置を実施。
実証事業に参加する自治体等においては、こうした事例も踏まえつつ、後述の改正個人情報保護法も見据え、個人情報の適正な取扱いを確保することが必要。
自治体名
箕面市

個人情報の取扱いの実態
・個人情報保護条例の改正を行い、「生活困窮者」については「その心身の保護又は生活の支援の目的のために必要」があれば「目的外利用」と「外部利用」が可能と明記。
・個人情報保護制度運営審議会に諮問し、「子どものセンシティブな情報を取り扱うため、その管理には慎重を期す」ことを付記した上で、妥当との判断。
※生活困窮世帯を特定した上で、その子供に限って、学力・体力や非認知能力に関する情報の目的外利用を行っている。
※一次絞り込みでリスクが高いと判定された子供について、アセスメントを行う際に、学校や市内の会議において、その人の情報は共有。
※教育委員会に、ひとり親支援や児童虐待対応等の子供関連施策の事務を一元化し、教育委員会内の目的外利用と整理。
※「子ども成長見守りシステム」は外部ネットワークとの接続がない環境で運用し、データの閲覧は子ども成長見守りグループの担当者２名のみに限定。
※保存期間は、子供が18歳を超えるまでとしており、保存期間終了後は情報を削除。

広島県（府中町等）

データをシステム連携させる段階で、条例に基づく目的外利用を行っている。その際、実施機関の判断のみでできるケースと、個人情報保護審査会に諮問した上で実施するケースとに分かれている。
※要配慮個人情報（健康診断や児童虐待通告、身体障害者手帳等に関する情報）を含む。
※システムへのアクセス権限は 、 子育て支援課内の子ども家庭総合支援拠点の職員及び学校のスクールソーシャルワーカー（SSW）のみに限定し、データの管理は子ども家庭総合支援拠点職員が行う。また学校のSSWには、子ども家庭総合支援拠点の職員が対象者と判断し，要保護児童対策地域協議会に登録した子供についてのみ情報共有する。
※虐待リスク予測値が高いと確認した子どもについて、要対協に「要支援児童」として登録することで、各機関間で情報共有を可能としている。
※ＡＩのアルゴリズムを変更・修正する際の委託業者へのデータ提供に関しては、 情報漏洩のリスクを低減するため暗号化を行う。
※不要になったデータは、 復元が不可能な方法で処分するなど 、 確実かつ速やかに削除・廃棄。

尼崎市

子どもの育ち支援システムの運用を開始するにあたり、子どもの育ち支援条例を改正し、要支援（虐待・いじめ・不登校・問題行動・発達支援等）の子どもの情報に限定して、目的外利用を可能とする条項を追加。
※要配慮個人情報（乳幼児健診結果、障害データ）を含む。
※データの閲覧は子どもの育ち支援センター所属職員（PW・顔認証の2要素認証が必要）のみに限定。さらに所得情報の閲覧については特定の課長の承認が必要。

柏市等

学校版スクリーニングは、学校現場の学年会議等で使用するツールであり、学校現場内の情報で完結していることから、個人情報保護条例に基づく目的外利用ではないという整理がなされている。
※一部自治体で利用している推論判定プログラムのアルゴリズムを変更・修正する際の委託者へのデータ提供に関しては、 情報漏洩のリスクを低減するため仮名化を行う。

2

先行自治体における個人情報の取扱いについて②
第２回副大臣PTで紹介した、いくつかの自治体に関係府省から聞き取りを行ったところ、個別政策分野（教育・保育・福祉・医療等）において法令に基づき個人情報を取得した後、そうしたこどもに関する各分野のデータを連携させる段階や、支援が必要なこどもを発見した後の政策的なアクションの段階では、条例に基づく目的外利用を行う等の措置を講ずるとともに、その際、アクセスコントロール（閲覧職員の制限等）や不要になったデータの処分等の安全管理措置を実施。
実証事業に参加する自治体等においては、こうした事例も踏まえつつ、後述の改正個人情報保護法も見据え、個人情報の適正な取扱いを確保することが必要。
自治体名

個人情報の取扱いの実態

つくば市

個人情報保護条例において、個人情報の提供を受ける者が「所掌事務の遂行に必要な限度で保有個人情報を内部で利用する場合」であって「相当な理由のあるとき」は目的外利用が可能となっている。
※データの閲覧はこども未来室職員２名のみに限定。
※保存期間は、子供が中学校３年生を卒業するまでとしており、保存期間終了後は情報を削除。

戸田市

・リスト作成については、毎年、個人情報保護運営審議会に、就学援助情報を教育委員会から（外部提供扱い）、生活保護情報を担当部局から（目的外利用扱い）持ってくることに関して諮問を行い、承認を得ている。
・NPO（Learning for all）への情報提供については、適切な秘密保持に関する事項を含む個人情報取扱事業者契約を結ぶことを前提に、個人情報保護運営審議会に諮問し、承認を受けている。
※リストはパスワードをかけて保存されており、データの閲覧は、市内では、こども家庭支援室内のアウトリーチ担当者２名とLfA職員２名に限られている。

三重県

AIで虐待に係るリスクアセスメントシートを分析し、またその分析結果に基づいて支援を行うことは、当該個人情報を保有している目的（相談を受けた子どもの福祉のために必要な措置や助言、支援等を行う）の範囲内であるため、別個の手続は行っていない（三重県個人情報保護条例第8条）。

大阪市

大阪市の条例では、児童生徒ボードの取組は個人情報保護審議会に諮問を行い、承認を得ている。個人情報データの削除は「当該児童生徒が大阪市立小中学校から転出や卒業等により在籍しなくなった際に、速やかにアカウントの削除を行いデータへのアクセスを遮断するとともに、サーバから当該児童生徒の全データを削除する」となっている。
※アクセス権限者の限定（児童生徒ボードで記録している情報の閲覧は、当該学校の教員のみに限られている）や転校・卒業時のデータ消去、セキュリ
ティ管理標準取得クラウドの活用等により、安全安心に配慮した仕組みとしている。

埼玉県

学校の教育活動を進めるに当たって取得した児童生徒の個人情報を、他の目的で使用すること（事業者に提供することを含む）は、条例における目的外利用に該当する。このため、児童生徒の個人情報をＡＩ分析等に活用するため、児童生徒の保護者から、データの取扱いに係る同意を取得。また、保有個人情報のオンライン結合を行うに当たり、条例の規定によっては、個人情報保護審議会の意見聴取を行っている自治体もある。

※児童生徒の個人情報とは、学籍（氏名、学年や学級などの基本情報）、健康面に関する情報（出席情報、健康診断・身体測定の結果等）、テストの結果（埼玉県学力・学習状況調査及びその他各種テスト、検査の結果）、成績評定情報（通知表や指導要録に掲載される児童生徒の評定結果）、学校生活に関する情報（学習状況、部活動の活動状況、学校が実施するアンケートの結果）※保護者からデータの取扱いに係る同意を得られなかった家庭の児童生徒のデータは分析対象外とし、学校保有データ取得の際に除いた。
3

デジタル社会形成整備法第51条による改正後の個人情報保護法【未施行】における本実証事業と関連する主な論点
デジタル社会形成整備法において、地方公共団体の個人情報保護制度についても改正後の個人情報保護法において全国的な共通ルールを定めることとし、民間事業者や行政機関（国）などに適用されるものも含めた法全体の所管を個人情報保護委員会に一元化することとされているところ、改正後の同法（令和５年春施行予定）における本実証事業と関連する主な論点は以下のとおり。今後、デジタル庁及び関係省庁において、各ユースケースにおける個人情報の取得・利用等の必要性・公益性について検討した上で、個人情報保護委員会とも連携して、ガイドライン等を提示する予定。
第62条（利用目的の明示）により対応
利用目的以外の目的のために利用・提供することを個人情報の取得前から予定しているか利用目的以外の目的のための利用が恒常的か、臨時的か○その他、主に以下の条項が関連。
・利用目的の特定（第61条第１項）
・利用目的の達成に必要な範囲での個人情報の保有（第61条第２項）
・不適正な利用の禁止（第63条）
・適正な取得（第64条）
・正確性の確保（第65条）
・安全管理措置（第66条）
・従事者の義務（第67条）
・漏えい等の報告等（第68条）
・保有個人情報・個人関連情報の提供を受ける者に対する措置要求（第70条・第72条）

第61条第３項（利用目的の変更）により対応（※）利用目的の変更は、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない

第69条第２項（目的外利用・外部提供）により対応（※）「恒常的」か「臨時的」かは、提供及び利用の具体的態様（情報を授受する主体、元の利用目的、新たな利用目的、利用・提供の要件及び契機、提供方法、頻度等）に基づき検討する必要○また、「デジタル社会の実現に向けた重点計画」（令和３年12月24日閣議決定）について、デジタル社会形成基本法第37条第４項及び官民データ活用推進基本法第８条第４項の規定に基づき、個人情報保護委員会が内閣総理大臣に対して回答した意見（平成３年12月15日個情第1443号）において言及されている、国民向けの丁寧な説明やデータガバナンス体制の構築の重要性についても認識した上で、検討を行っていくことが必要。

4

（参考）デジタル社会形成整備法第51条による改正後の個人情報保護法【未施行】①（個人情報の保有の制限等）
第六十一条 行政機関等は、個人情報を保有するに当たっては、法令（条例を含む。第六十六条第二項第三号、第六十九条第二項第二号及び第三号並びに第四節において同じ。）の定める所掌事務又は業務を遂行するため必要な場合に限り、かつ、その利用目的をできる限り特定しなければならない。
２ 行政機関等は、前項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。
３ 行政機関等は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的の明示）
第六十二条 行政機関等は、本人から直接書面（電磁的記録を含む。）に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。
一 人の生命、身体又は財産の保護のために緊急に必要があるとき。
二 利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
三 利用目的を本人に明示することにより、国の機関、独立行政法人等、地方公共団体又は地方独立行政法人が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められるとき。
（安全管理措置）第六十六条 行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
２ 前項の規定は、次の各号に掲げる者が当該各号に定める業務を行う場合における個人情報の取扱いについて準用する。
一 行政機関等から個人情報の取扱いの委託を受けた者 当該委託を受けた業務
二 指定管理者（地方自治法（昭和二十二年法律第六十七号）第二百四十四条の二第三項に規定する指定管理者をいう。） 公の施設（同法第二百四十四条第一項に規定する公の施設をいう。）の管理の業務
三 第五十八条第一項各号に掲げる者 法令に基づき行う業務であって政令で定めるもの
四 第五十八条第二項各号に掲げる者 同項各号に定める業務のうち法令に基づき行う業務であって政令で定めるもの
五 前各号に掲げる者から当該各号に定める業務の委託（二以上の段階にわたる委託を含む。）を受けた者 当該委託を受けた業務※ 上記は、国の行政機関及び独立行政法人等については令和4年4月1日から、地方公共団体の機関及び地方独立行政法人については令和5年春から適用される見込み。

5

（参考）デジタル社会形成整備法第51条による改正後の個人情報保護法【未施行】②（利用及び提供の制限）
第六十九条 行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。
２ 前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
一 本人の同意があるとき、又は本人に提供するとき。
二 行政機関等が法令の定める所掌事務又は業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当の理由があるとき。
三 他の行政機関、独立行政法人等、地方公共団体の機関又は地方独立行政法人に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当の理由があるとき。
四 前三号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由があるとき。
３ 前項の規定は、保有個人情報の利用又は提供を制限する他の法令の規定の適用を妨げるものではない。
４ 行政機関の長等は、個人の権利利益を保護するため特に必要があると認めるときは、保有個人情報の利用目的以外の目的のための行政機関等の内部における利用を特定の部局若しくは機関又は職員に限るものとする。
（保有個人情報の提供を受ける者に対する措置要求）第七十条 行政機関の長等は、利用目的のために又は前条第二項第三号若しくは第四号の規定に基づき、保有個人情報を提供する場合において、必要があると認める
ときは、保有個人情報の提供を受ける者に対し、提供に係る個人情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。
（個人関連情報の提供を受ける者に対する措置要求）第七十二条 行政機関の長等は、第三者に個人関連情報を提供する場合（当該第三者が当該個人関連情報を個人情報として取得することが想定される場合に限る。）において、必要があると認めるときは、当該第三者に対し、提供に係る個人関連情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人関連情報の適切な管理のために必要な措置を講ずることを求めるものとする。
※ 上記は、国の行政機関及び独立行政法人等については令和4年4月1日から、地方公共団体の機関及び地方独立行政法人については令和5年春から適用される見込み。

6

（参考）個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）
4-2 取得及び利用の際の遵守事項（令和４年２月個人情報保護委員会事務局）①

4-2-1 利用目的の変更（法第61条第3項）（1） 「相当の関連性を有する」「相当の関連性を有する」とは、当初の利用目的からみて、変更後の利用目的を想定することが困難でない程度の関連性を有することをいう。
（2） 「合理的に認められる」「合理的に認められる」とは、社会通念上妥当であると客観的に認識されるとの趣旨であり、行政機関等の恣意的な判断による変更を認めるものではない。例えば、許認可の審査のために提出された申請書を当該許認可に係る統計作成の目的で利用する場合には、「相当の関連性を有すると合理的に認められる範囲」に該当する。
（3） 利用目的以外の目的のための利用及び提供の制限との関係（3）利用目的以外の目的のための利用及び提供の制限との関係
利用目的以外の目的のための利用及び提供が恒常的に行われる場合は、本項に基づく利用目的の変更に該当し、臨時的に行われる場合は、法第69条第2項の規定に基づく利用目的以外の目的のための利用及び提供に該当する。
なお、利用目的以外の目的のための利用及び提供を恒常的に行うことを個人情報の取得前から予定している場合は、そのような利用及び提供が可能となるように利用目的を設定しておく必要がある。
4-2-2 本人から書面により取得する際の利用目的の明示（法第62条）（1） 利用目的の明示「あらかじめ、本人に対し、その利用目的を明示しなければならない」について、利用目的の明示の方法としては、申請書等の様式にあらかじめ記載しておくなどの方法のほか、窓口における掲示や口頭による方法も考えられるが、本人が利用目的を認識することができるよう、適切な方法により行うことが必要である（※）。
（※）ホームページにおいてあらかじめ必要な情報を掲載しておく場合も考え得るが、この場合には、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。

4-3 安全管理措置等
4-3-1 安全管理措置（法第66 条）
4-3-1-1 行政機関の長等が講ずべき安全管理措置（法第66 条第1 項）（1） 「安全管理のために必要かつ適切な措置」「安全管理のために必要かつ適切な措置」には、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置及び外的環境の把握があり、それぞれ以下のようなものが挙げられる。また、保有個人情報の取扱いの委託に当たって、委託に関する契約条項の中に再委託の際の条項等適切な安全管理のための条項を含めることや、委託先に必要かつ適切な監督を行うことも必要な措置に含まれる。
【組織的安全管理措置】
・ 組織体制の整備
・ 個人情報の取扱いに係る規律に従った運用
・ 個人情報の取扱状況を確認する手段の整備
・ 漏えい等の事案に対応する体制の整備
7・ 個人情報の取扱状況の把握及び安全管理措置の見直し

（参考）個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）【人的安全管理措置】（令和４年２月個人情報保護委員会事務局）②・ 従事者の教育【物理的安全管理措置】
・ 個人情報を取り扱う区域の管理・ 機器及び電子媒体等の盗難等の防止
・ 電子媒体等を持ち運ぶ場合の漏えい等の防止
・ 個人情報の削除及び機器、電子媒体等の廃棄【技術的安全管理措置】
・ アクセス制御
・ アクセス者の識別と認証
・ 外部からの不正アクセス等の防止
・ 情報システムの使用に伴う漏えい等の防止【外的環境の把握】
・ 保有個人情報が取り扱われる外国の特定
・ 外国の個人情報の保護に関する制度等の把握求められる安全管理措置の内容は、保有個人情報の漏えい等が生じた場合に本人が被る権利利益の侵害の大きさを考慮し、事務又は業務の規模及び性質、保有個人情報の取扱状況（取り扱う保有個人情報の性質及び量を含む。）、保有個人情報を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
具体的に講じなければならない安全管理措置については、4-8（（別添）行政機関等の保有する個人情報の適切な管理のための措置に関する指針）に基づき、実施することが求められる。
4-5 利用及び提供の制限（法第69条）
4-5-2 例外的に利用目的以外の目的のための利用及び提供が認められる場合（法第69条第2項）（2） 行政機関等が法令の定める所掌事務又は業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当の理由があるとき（法第69条第2項第2号）。
また、「相当の理由があるとき」とは、行政機関等の恣意的な判断を許容するものではなく、少なくとも、社会通念上、客観的にみて合理的な理由があることが求められる。相当の理由があるかどうかは、保有個人情報の内容や当該保有個人情報の利用目的等を勘案して、行政機関の長等が個別に判断することとなるが、例外的に利用目的以外の目的のための利用及び提供が許容される場合について規定した趣旨から、例外としてふさわしい理由であることが求められる。
【「相当の理由があるとき」に該当すると考えられる事例】
事例）農地情報を集約した「eMAFF地図」を整備するために、法務省から農林水産省に「地番」情報を提供する場合（3） 他の行政機関、独立行政法人等、地方公共団体又は地方独立行政法人に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当の理由があるとき（法第69 条第2 項第3 号）。
「事務又は業務」及び「相当な理由があるとき」についての考え方は、上記（2）と同様である。
8

（参考）デジタル社会形成基本法第37条第４項及び官民データ活用推進基本法第８条第４項の規定に基づく内閣総理大臣に対する意見（抜粋）（令和３年12月15日 個情第1443号）（１）令和３年５月に成立したデジタル社会形成整備法による改正後の個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）により、令和４年４月以降、行政機関等における個人情報等の取扱いについても改正後の個人情報保護法の規律が適用されることになることを踏まえ、各行政機関等においては、重点計画に含まれる各施策の遂行に当たり、改正後の個人情報保護法の規律に則り、本人の権利利益を保護するため、個人情報等の適正な取扱いを確保するべきこと。
（２）行政機関等が個人情報等を取り扱う施策やシステム構築を実施する際には、その透明性と信頼性の確保が特に重要であることから、政策目的や国民が得ることが期待される便益を明確にし、それらをわかりやすく、丁寧に国民に説明するべきこと。
（３）個人情報等を取り扱う施策の遂行やシステム構築の実施に当たり、取り扱うデータの内容、データの流れ、データの取扱いに関わる者の範囲、データの利用目的、安全管理レベル等の事前評価のため、PIA（Privacy ImpactAssessment：個人情報保護評価）の手法を用いることや、個人データの取扱いに関する責任者の設置などのデータガバナンスの体制を構築することは、各施策やシステムの透明性と信頼性の確保のために有効であること。
（４）個人情報等の取扱いについては、当委員会による個人情報等の保護及び適正かつ効果的な活用に係る施策と十分に連携すること。
9

（参考）個人情報の保護に関する基本方針（抜粋）（平成16年4月2日閣議決定、令和4年4月1日一部変更等）①
２ 国が講ずべき個人情報の保護のための措置に関する事項（１）各主体における個人情報の保護等個人情報等の適正な取扱いの推進③ 官民や地域の枠を越えて各主体が取り扱う個人情報の保護等個人情報等の適正な取扱いの推進
官民及び地域の枠を越えたデータ利活用として、健康・医療・介護、教育、防災及びこども等の準公共分野、スマートシティ等の相互連携分野や公的基礎情報データベース（ベース・レジストリ）の整備等については、法の規律が異なる各主体間における個人情報等のデータ連携等が行われることとなる。
各主体間における個人情報等のやりとりがより複層的になることにより、個人情報等の取扱いについて責任を有する主体が従来以上に不明確になるリスクがあり、これに対応した制度設計や運用を行う必要がある。そのため、個人情報等を取り扱う各主体のみならず、データ連携等を推進する者においても、データガバナンス体制の構築等に取り組むことが重要である。
個人情報保護委員会においては、法の規律が全ての政策や事業活動等に共通する必要最小限のものであるという観点から、必要な情報提供や助言等を行うものとする。
また、医療分野・学術研究分野については、規律の適用が法に統一され、国公立の病院や大学等について、行政機関等としての規律が一部適用されるものの、基本的には個人情報取扱事業者等に対する規律が適用される。個人情報保護委員会
においては、関係省庁等との連携等を通じて、民間部門ガイドライン及び公的部門ガイドライン等の普及啓発等を行うものとする。
10

（参考）個人情報の保護に関する基本方針（抜粋）（平成16年4月2日閣議決定、令和4年4月1日一部変更等）②
１ 個人情報の保護に関する施策の推進に関する基本的な方向（２）法の基本理念と制度の考え方
法第３条は、個人情報がプライバシーを含む個人の人格と密接な関連を有するものであり、個人が「個人として尊重される」ことを定めた
憲法第13条の下、慎重に取り扱われるべきことを示すとともに、個人情報を取り扱う者は、その目的や態様を問わず、このような個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならないとの基本理念を示している。
行政機関、地方公共団体の機関、独立行政法人等、地方独立行政法人及び個人情報取扱事業者等の個人情報等を取り扱う各主体（以下「各主体」という。）においては、この基本理念を十分に踏まえるとともに、官民や地域の枠又は国境を越えた政策や事業活動等において、以下に掲げる考え方を基に、法の目的を実現するため、個人情報の保護及び適正かつ効果的な活用の促進に取り組む必要がある。
① 個人情報の保護と有用性への配慮
法は、デジタル社会の進展に伴い個人情報等の利用が拡大している中で、法第３条の基本理念に則し、プライバシーの保護を含めた個人の権利利益を保護することを目的としている。他方、デジタル技術の活用による個人情報等の多様な利用が、個人のニーズの的確な反映や迅速なサービス等の提供を実現し、政策や事業活動等の面でも、国民生活の面でも欠かせないものとなっていることに配慮しているところである。
個人情報の保護と有用性に関するこの法の考え方は、各主体における実際の個人情報等の取扱いにおいても、十分に踏まえる必要があり、個人情報の保護に関する施策を推進するに当たっては、個人情報の保護と適正かつ効果的な活用のバランスを考慮した取組が求められる。
② 法の正しい理解を促進するための取組
上記①の考え方が、実際の個人情報等の取扱いにおいて十分に反映され、社会的な必要性があるにもかかわらず、法の定め以上に個人情報等の取扱いを控えることを防ぐためには、個人情報等を取り扱う各主体及び個人情報等によって識別される個人の双方における法の正しい理解が不可欠である。
国は、各主体及び個人に対する広報・啓発に積極的に取り組むとともに、法の適切な運用等により、個人情報の保護及び適正かつ効果的な活用の促進を図っていくものとする。
また、各地方公共団体においては、各区域の特性に応じて、当該区域内の事業者や住民等へ周知するための積極的な広報活動に取り組むとともに、法及び法の趣旨に則った条例の適切な解釈・運用を行うことが求められる。
11

（参考）個人情報の保護に関する基本方針（抜粋）（平成16年4月2日閣議決定、令和4年4月1日一部変更等）③
１ 個人情報の保護に関する施策の推進に関する基本的な方向（２）法の基本理念と制度の考え方［前ページからの続き】③ 各主体の自律的な取組と連携・協力
デジタル社会においては、官民や地域の枠又は国境を越え、業種・業態を問わず、あらゆる分野において、デジタル技術を活用した多種多様かつ膨大な個人情報等が広く利用されるようになっている。
このため、法は、各主体を広く対象として、個人情報等の取扱いに関して共通する必要最小限のルールを定めるとともに、各主体において、それぞれの政策、事務及び事業の分野や地域の実情に応じて、自律的に個人情報等の適正な取扱いが確保されることを期待している。
各主体の自律的な取組に関しては、国及び地方公共団体の支援が重要であり、法は、国及び地方公共団体が各主体による取組への支援や苦情処理のための措置を講ずべきことを定めるとともに、個人情報保護委員会が、各主体における個人情報等の取扱いについて監視・監督する権限と責任を有する仕組みを採っている。こうした複層的な措置の整合性を図りながら実効性を確保していくためには、個人情報の保護に関する施策を講ずるに当たって国と地方公共団体が相協力するのみならず、各主体による連携・協力を確保していくことが重要である。
④ データガバナンス体制の構築
上記③の自律的な取組に当たり、デジタル社会においては、ビジネスモデルや技術の革新等も著しいため、個人情報等の取扱いに関する政策や個人情報等を取り扱う事務及び事業並びにシステム構築等の際には、透明性と信頼性の確保が特に重要である。
各主体においては、政策、事務及び事業並びにシステム構築等の目的、個人が得ることが期待される便益やプライバシーに対するリスクを明確にし、それらをわかりやすく、丁寧に説明することが重要になる。そのためには、解決しようとする課題と、その課題を解決するために取り扱う個人情報等のデータとの関係を明確化する観点から、データの内容や性質、量や範囲の必要十分性、データの流れ、データの取扱いに関わる者の範囲、データの利用目的、安全管理レベル等の事前評価のため、ＰＩＡ（個人情報保護評価又はプライバシー影響評価）の手法を用いることや、ＣＰＯ（最高プライバシー責任者）やＤＰＯ（データ保護責任者）等の個人データの取扱いに関する責任者を設置すること等が有効であり、これらによるデータガバナンスの体制を構築することが重要である。

12

（参考）個人情報の保護に関する基本方針（抜粋）（平成16年4月2日閣議決定、令和4年4月1日一部変更等）④
１ 個人情報の保護に関する施策の推進に関する基本的な方向（２）法の基本理念と制度の考え方［前ページからの続き】⑤ 個人におけるデータリテラシーの向上
個人においては、法の正しい理解とともに、令和２年改正法及び令和３年改正法で強化された、各主体による個人に対する情報提供・説明義務の履行や、個人から各主体に対する各種請求権の行使等を通じて、個人が自らの意思に基づいてコントロールするという意識を涵養するという観点から、個人情報等のデータに関するリテラシーを向上することが重要である。このことが、結果として、上記④の実効性を高めることにもつながる。
例えば、個人によるコントロールの実効性を高めるための規律のうち各主体に共通するものとしては、任意代理人による開示等請求が可能になること、漏えい等が発生した場合の本人通知が行われること、外国にある第三者に保有個人情報や個人データを提供するために本人から事前同意を取得する際、外国の名称や個人情報保護制度等に関する情報が本人にあらかじめ提供されることなどが挙げられる。
また、主体のうち個人情報取扱事業者等に関するものとしては、開示請求において、請求の対象に第三者提供記録等が追加されること、請求のあったデータの提供方法について、電磁的記録によるなど、その提供方法を本人が指示できるようになることが挙げられる。加えて、利用停止等の請求については、請求できる要件として、重大な漏えい等が発生した場合や本人の権利又は正当な利益が害されるおそれがある場合等が追加されることが挙げられる。さらに、保有個人データに関する公表義務についても、新たに、安全管理措置の内容が公表事項として追加されることが挙げられる。
以上については、各主体においても、個人に寄り添った取組が進められることが重要である。

13