学術研究分野における個人情報保護の規律の考え方（令和３年個人情報保護法改正関係）

令和３年６月

趣旨【背景】
 令和３年５月19日に公布されたデジタル社会形成整備法により、個人情報保護法の改正が行われる（令和３年改正個人情報保護法）。
 学術研究機関等については、現行個人情報保護法で設けられていた一律の適用除外が廃止される一方で、新たに利用目的による制限に関する例外規定等が設けられる。
 また、従来は異なる属性（民間事業者、独立行政法人等、地方独立行政法人等）の主体が行う個人情報の取扱いは、それぞれ個人情報保護法、独立行政法人等個人情報保護法、個人情報保護条例といった別個の規律の適用を受けていたところ、今般の法改正により、学術研究分野及び医療分野においては、原則として、現行の個人情報保護法が定める民間事業者に対する規律に一本化される。
 改正後の個人情報保護法は令和４年春の施行が予定されており（地方関係部分は令和５年春の施行を予定。）、関係機関等には新たな制度の施行に向けた対応が求められる。
【本資料の目的】
 改正法における「学術研究機関等」に係る規律は、学術研究機関等のみならず、これらと共同研究を行う民間事業者や行政機関等における個人情報の取扱いにも関係する。
 本資料は、今後のガイドライン等の策定に先立ち、学術研究機関等に関係する規律の考え方をあらかじめ示し、関係者に改正法に対する理解を深めていただくことを通じ、対応準備を促すもの。
 今回示す内容は、最終的には個人情報保護法ガイドライン（通則編）の内容の一部として提示する予定であるが、今後の検討を進めていくなかで、本資料の記載の内容については、最終的なガイドラインの記載事項との差異が生じる可能性がある。

1

Ⅰ．官民を通じた学術研究分野における個人情報保護の規律の概要

官民を通じた学術研究分野における個人情報保護の規律の概要
 現行の個人情報保護法は、学術研究機関等が学術研究目的で個人情報を取り扱う場合を一律に適用除外としている。
 今般の法改正により、民間部門の学術研究機関にも、① 安全管理措置（改正後の個情法第２３条）や② 本人からの開示等請求への対応（同第３３条等）等に関する義務については、他の民間事業者と同様の規律を課すこととなる。
 また、学術研究を行う独立行政法人等や地方公共団体の機関、地方独立行政法人についても、民間学術研究機関等と同様の規律が適用されることになるが、開示等や行政機関等匿名加工情報の提供等については、引き続き公的部門の規律が適用される。
 その上で、学術研究目的で個人情報を取り扱う場合には、① 利用目的による制限（改正後の個情法第１８条）、② 要配慮個人情報の取得制限（同第２０条第２項）、③ 個人データの第三者提供の制限（第２７条）など、研究データの利用や流通を直接制約し得る義務については、個人の権利利益を不当に侵害するおそれがある場合を除き、例外規定を置いている。
１．利用目的変更の制限の例外 ※４．学術研究機関等の責務

 学術研究機関等が個人情報を学術研究目的で取り扱う必要がある場合• 個人情報取扱事業者である学術研究機関等が学術研究目的で個人情報を取り扱う場合の責務を規定。

 学術研究機関等に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合

２．要配慮個人情報取得の制限の例外 ※ 当該個人情報の取扱いについて、個人情報保護法を遵守。
 個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表（努力義務）。

 学術研究機関等が要配慮個人情報を学術研究目的で取り扱う必要がある場合

５．規律移行法人

 個人情報取扱事業者が要配慮個人情報を学術研究目的で取得する必要があり、かつ、当該個人情報取扱事業者と共同して学術研究を行う学術研究機関等から当該要配慮個人情報を取得する場合• 国公立の病院、大学等、法別表第２に掲げる法人（規律移行法人）については、原則として民間の病院、大学等と同等の規律を適用。

３．第三者提供の制限の例外 ※ 個人データを提供する個人情報取扱事業者が学術研究機関等である場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合 など• ただし、開示、訂正及び利用停止に係る取扱いや行政機関等匿名加工情報の提供等については、公的部門の規律が適用される。

※個人の権利利益を不当に侵害するおそれがある場合を除く。

3

Ⅱ．学術研究分野における個人情報保護の規律の内容•

本資料において条文番号は、令和4年春施行予定のデジタル社会形成整備法第50条による改正後のもの。
※ デジタル社会形成整備法第50条による改正（令和４年春施行予定）
民間事業者、国の行政機関、独立行政法人等について個人情報保護法が適用。
※ デジタル社会形成整備法第51条による改正（令和５年春施行予定）（民間事業者、国の行政機関、独立行政法人等に加え、）地方公共団体についても個人情報保護法が適用。

Ⅱ．学術研究分野における個人情報保護の規律の内容

改正法における「学術研究機関等」及び「学術研究目的」

法第16条第８項
8

この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。

••

•
•

「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
※国公立の大学等、法別表第２に掲げる法人（規律移行法人）のうち、学術研究機関等にも該当するものについては、原則として民間の大学等、民間の学術研究機関等と同等の規律が適用される。

学術研究目的「学術研究目的」に関する主な条文① 利用目的変更の制限の例外に関するもの（法第18条第3項第5号及び第6号）② 要配慮個人情報の取得の制限の例外に関するもの（法第20条第2項第5号及び第6号）③ 個人データの第三者提供の制限の例外に関するもの（法第27条第1項第6号及び第7号）④ 学術研究機関等の責務に関するもの（法第59条）••「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。

5

Ⅱ．学術研究分野における個人情報保護の規律の内容

改正法の例外規定の適用に関する共通要件

 学術研究機関等による学術研究目的の個人情報等の取扱いは、安全管理措置や開示請求等の義務を課すが、一般の個人情報取扱事業者が遵守する以下の規制については、例外規定が適用される。
① 利用目的変更の制限に関するもの（法第18条第3項第5号及び第6号）② 要配慮個人情報の取得の制限に関するもの（法第20条第2項第5号及び第6号）③ 個人データの第三者提供の制限に関するもの（法第27条第1項第6号及び第7号）
 これらの規制が例外的に除外されるためには、「学術研究目的で取り扱う必要がある」場合であって、「個人の権利利益を不当に侵害するおそれがある場合」に当たらないことが必要。

【学術研究目的で取り扱う必要がある】• 「学術研究目的で取り扱う必要がある」場合については、一般の民間事業者による個人情報の利用と比べ、個人の権利利益が侵害されるおそれが相当程度低下することとなる一方で、真理の発見・探求を目的とする学術研究における意義が認められるものであることから、学術研究による目的外利用又は学術研究機関等に対する提供を認めることによる利益が、これらを認めることによる本人への不利益を上回るものと考えられる。
• そのため、学術研究による目的外利用又は学術研究機関等に対する提供は、学術研究目的で当該個人情報を取り扱う必要性がある場合に限られ、その上で、当該学術研究目的の達成のため必要最小限の範囲で取り扱うことが必要である。
• また、学術研究目的で取り扱う必要があって、学術研究による目的外利用又は学術研究機関等に対して提供する場
合であっても、本人又は第三者の権利利益の保護の観点から、個人を識別することができないよう個人情報を加工するなど、可能な措置を講ずることが望ましい。
【個人の権利利益を不当に侵害するおそれがある場合】• 個人の権利利益を不当に侵害するおそれがある場合には、目的外利用又は提供をすることはできない。この場合、当該個人情報を不当に侵害しないような形で加工するなど適切に処理する必要がある。

6

Ⅱ．学術研究分野における個人情報保護の規律の内容

利用目的変更の制限の例外

法第18条第３項第５号(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が個人情報を学術研究目的で取り扱う必要がある場合（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、法第18条第1項又は第2項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

法第18条第３項第６号(6)

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

個人情報取扱事業者が、学術研究機関等に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）は、法第18条第1項又は第2項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
7

Ⅱ．学術研究分野における個人情報保護の規律の内容

要配慮個人情報取得の制限の例外

法第20条第２項第５号(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が要配慮個人情報を学術研究目的で取り扱う必要がある場合（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

法第20条第２項第６号(6)

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。

•個人情報取扱事業者が要配慮個人情報を学術研究目的で取得する必要があり、かつ、当該個人情報取扱事業者と共同して学術研究を行う学術研究機関等から当該要配慮個人情報を取得する場合（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

8

Ⅱ．学術研究分野における個人情報保護の規律の内容

第三者提供の制限の例外

法第27条第１項第５号(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）には、第三者への個人データの提供に当たって、本人の同意は不要である。
事例1）・・・顔面の皮膚病に関する医学論文において、症例に言及する場合であって、目線を隠す等の対応をすることにより当該論文による研究成果の公表の目的が達せられなくなるとき
事例2）・・・実名で活動する特定の作家の作風を論ずる文学の講義において、当該作家の実名を含む出版履歴に言及する場合であって、作家の実名を伏せることにより当該講義による教授の目的が達せられなくなるとき

法第27条第１項第６号(6)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

•

学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）には、第三者への個人データの提供に当たって、本人の同意は不要である。
9

Ⅱ．学術研究分野における個人情報保護の規律の内容

第三者提供の制限の例外

法第27条第１項第７号(7)

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）には、当該学術研究機関等に対する個人データの第三者提供に当たって、提供する個人情報取扱事業者は、本人の同意を取得する必要がない。

10

Ⅱ．学術研究分野における個人情報保護の規律の内容

学術研究機関等の責務

法第59条
個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

••

•

•

学術研究機関等が学術研究目的で個人情報を取り扱う場合には、当該個人情報の取扱いについて、この法律を遵守するとともに、学術研究機関等について法律の特例が設けられているものも含め、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
この点、個人情報の利用、取得及び提供に係る規律のうち、個人情報の目的外利用（法第18条）、要配慮個人情報の取得（法第20条第２項）及び第三者提供の制限（法第27条）に関しては、学術研究機関等が学術研究の用に供する場合、学術研究機関等が学術研究の結果の発表又は教授の用に供する場合、及び非学術研究機関等が学術研究機関等と共同して学術研究の用に供する場合について、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限って、事前の本人同意を要しない等の特例が設けられている。
一方で、個人情報の利用、取得及び提供に係る規律であっても、利用目的の特定（法第17条）、不適正な利用の禁止（法第19条）、適正な取得（法第20条第１項）、利用目的の通知（法第21条）及びデータ内容の正確性の確保（法第22条）については、他の個人情報取扱事業者と同様の規律が学術研究機関等にも適用されることになる。
また、個人データの安全管理措置に係る規律（法第23条から第26条まで）、保有個人データの開示、訂正等及び利用停止等の請求に係る規律（法第33条から第40条まで）、仮名加工情報取扱事業者等の義務（法第４章第３節）、匿名加工情報取扱事業者等の義務（法第４章第４節）及び民間団体による個人情報の保護の推進に係る規定（法第４章第５節）についても、他の個人情報取扱事業者と同様の規律が学術研究機関等にも適用されることになる。
11

Ⅱ．学術研究分野における個人情報保護の規律の内容

学術研究機関等の責務（学術研究機関等による自主規範の策定・公表について）••

大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範に則っているときは、法第146条第１項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
ただし、自主規範に則った個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。

【参考】法第146条第１項
委員会は、前三条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。

12

Ⅱ．学術研究分野における個人情報保護の規律の内容

規律移行法人法第123条第２項
２ 別表第二に掲げる法人による個人情報又は匿名加工情報の取扱いについては、独立行政法人等による個人情報又は匿名加工情報の取扱いとみなして、第一節、第七十五条、前二節、前条第二項、第百二十五条及び次章から第八章まで（第百七十一条、第百七十五条及び第百七十六条を除く。）の規定を適用する。

••

国の機関である国立大学法人、医療事業を行う独立行政法人等（※）における個人情報の取扱い及び独立行政法
人労働者健康安全機構の行う病院の運営に係る個人情報の取扱いについては、学術研究機関、医療機関等としての特性を踏まえ、基本的に民間学術研究機関、医療機関等と同様、民間部門における個人情報の取扱に係る規律が適用される。
※ 国立大学法人、医療事業を行う独立行政法人等とは、改正後法別表第２に掲げる次の法人等をいう。
 沖縄科学技術大学院大学学園
 国立研究開発法人
 国立大学法人
 大学共同利用機関法人
 独立行政法人国立病院機構
 独立行政法人地域医療機能推進機構
 放送大学学園

他方、政府の一部を構成するとみられる独立行政法人等としての特性を踏まえ、開示請求等に係る制度、行政機関等
匿名加工情報の提供等については、現行の取扱いを維持し、公的部門における規律（法第60条、第75条、第５章第４節、第５節、第124条第２項、第127条及び第６章から第８章まで（第176条、第180条及び第181条を除く。） ）が適用される。
※地方独立行政法人に関する規律（令和５年春施行予定）•

地方公共団体の機関における病院、診療所及び大学の運営や、学術研究及び医療事業を行う地方独立行政法人についても、国立大学法人、医療事業を行う独立行政法人等と同様、原則として民間部門における個人情報の取扱いに係る規律が適用される一方で、開示請求等に係る制度及び行政機関等匿名加工情報の提供については、公的部門における規律が適用される。

13

Ⅲ．今後の予定

改正法の円滑な施行に向けた取組の方針
 改正法の円滑な施行に向けて、関係者の意見を聞きながら、ガイドライン・施行準備マニュアル等の整備を進める。
○ ガイドライン•

新たに追加された各種例外や学術研究機関等の責務に関する規定について、現行の個人情報保護法ガイドライン（通則編）に関係規定に関する説明を追記する形で対応。
（改正）目的外利用、要配慮個人情報の取得、第三者提供、適用除外 等（追加）「学術研究機関等」、「学術研究目的」、学術研究機関等の責務 等※ 事例についても、今後、盛り込む予定。

○ 関係機関等への支援•

国立大学法人を含む学術研究機関や規律移行法人からは、プライバシーポリシーや内部規程等の整備、安全管理体制、教員・研究者向け周知方法、漏えい等報告への対応などについて、個人情報保護委員会に相談が寄せられている。

•

このため、個人情報保護委員会としては上記ガイドラインの公表に加えて、関係機関や法人に対して改正法の施行に向けた準備作業について、情報提供等の必要な支援を行っていく。

15