官民連携データプラットフォーム
ポリシー策定委員会
資料3 事務局説明資料

1

前回の振り返り2

ポリシー策定委員会(第一回)の討議の対象

官民連携DPFポリシー策定委員会(第一回) 資料再掲

策定対象
（1）

• (2)～(6)までのポリシーの全体の構成図

官民連携データプラットフォーム• ポリシー全体に係る前提事項、考え方等

ポリシー構成（2）

官民連携データプラットフォーム

データガバナンス（3）
官民連携データプラットフォーム

プライバシーポリシー（4）

官民連携データプラットフォーム

コンプライアンス指針（5）

官民連携データプラットフォーム

規約（6）
官民連携データプラットフォーム

情報セキュリティポリシー

（7）
官民連携データプラットフォーム

運営組織 定款• 官民連携データプラットフォーム運営組織(以下「DPF運営組織」という。)が適切にデータをマネジメントするための内部ルールと体制関連・位置づけ
都民等
対価等（支払う場合）

サービス等

データ利用者(データを用いたサービス開発・提供者)
民間企業・団体等

行政機関等(都含む)
対価等(支払う場合)(3)・(5)• 官民連携DPFにおいて取り扱われる個人情報の範囲や、個人情報の利用目的等を規定
データ• DPF運営組織が取り扱うデータ及び事業計画に即したコンプライアンス指針 (法令遵守のみならず、社会から求められる倫理に沿った中立性・透明性の高い行動規範も含む)• 官民連携DPFへのデータ提供者/DPFからのデータ利用者それぞれと締結する契約事項(2)(4)(6) (7)

DPF
運営組織
官民連携DPF

データの取り扱い、(7)

モニタリング

対価等(支払う場合)伴う運営指針等(3) ・(5)

運営指示
指導監督

報告

都報告

第三者委員会データ• DPF運営組織が扱う諸情報に関するセキュリ
ティ関連の遵守すべき事項

データ提供者
民間企業・団体等• DPF運営組織の事業における組織や運営についての根本的な規程※官民連携データプラットフォーム運営に向けた準備会で策定のため、ポリシー策定委員会では審議の対象外

行政機関等（都含む）

データ

都民等委嘱

都民

3

前回の振り返り

第一回委員会で委員からいただいた意見・質問をポリシー策定委員会事務局にて以下のように整理。準備会への提言及び確認事項を抜粋

分類

事
業
内容・組
織
全
般

主なご意見・質問の例

あり方• 都民や都の事業者に対してコミュニティ的な存在で事業を推進していくか

定款• 定款はいつ頃に策定されるか(委員会内で定款内容を反映したポリシーの策定ができるか否か)

事業計画• 事業の具体的な事例を基に、想定する事業内容(パーソナルデータの取り扱いも含む)を定めるべき• 都民のニーズから遡って事業内容や集めるデータを考えるべき

取扱
データ• バリアフリー情報・災害関連・道路関連の事業に早い段階から着手すべき• 具体的に取り扱うデータを基に、どのようなユースケースが想定されるかその他• ＤＰＦ事業利用者に対してどのようにデータ情報を公開するか。例えば、カタログのような状態にしてサイトに掲載するイメージであるか• ＤＰＦはどのようなデータを長期的に所有するか。(基本的にはデータを所有しないが、全く所有しないことはあり得ないと想定)• 紛争解決の仕組みを構築すべきではないか

対応方針

準
備会
への提言
及び確認予定4

前回の振り返り

第一回委員会で委員からいただいた意見・質問をポリシー策定委員会事務局にて以下のように整理。準備会への提言及
び確認事項を抜粋

分類データ
提供者

データ
利用者

会費

主なご意見・質問の例• データ提供者に会費を求めることを見直すべき(会費を払ってまでデータを提供したい個人・団体が存在するか)。ただし、コミュニティ的な位置づけで事業運営するのであれば話は別である

提供資格• データ提供促進を優先すると、厳しい資格を求めることは適していない。まずはどのような個人・団体からデータを提供いただけるか確認すべき

利用資格• データ利用の審査基準を設けるべきであると考えている。特に問題が発生する利活用をする業者等が想定される。その他、海外事業者の利用を認めるか否か求める
こと

対応方針

• ＤＰＦはデータ利用者に対して強い制約を課すべきか否か。例えば、情報銀行の場合はデータ利用者に対してデータの利用を限定的にしたりしているが、果たしてＤＰＦも同様にそれを求めるべきであるか• データ利用者に対して、提供されたデータからどのようなメリットがあったか報告を受けることを求めることはいかがか

準
備会
への提言及び確認予定5

前回の振り返り
第一回委員会で委員からいただいた意見・質問とそれに対する対応方針を、ポリシー策定委員会事務局にて以下のように整理

分類

事
業
内容・組
織全般

主なご意見・質問の例

対応方針

情報銀行との事業差異• ＤＰＦ事業と、情報銀行事業の差分は何か• P.12を基に説明

プライバシーポリシーの対象• プライバシーポリシーは誰に対して示すものであるか。通常は対個人に対して示すものであると想定している• 個人に対するものではなく、総じて憲章を掲げることはいかがか• 広く対象にプライバシーステートメントを掲げる• P.13を基に説明

パーソナルデータの取り扱い• 個人情報保護法や、東京都個人情報の保護に関する条例に規定する個人情報を含め、包括された意味を持つ「パーソナルデータ」として情報を取り扱うことはいかがか• パーソナルデータとして情報を取り扱う

データの保存期間の対応方針• データ提供者から提供されたデータの鮮度についてどう保つか

第三者からの認定取得是非• 運営組織の情報セキュリティ体制を対外的に示すうえでは、プライバシーマークやISＭS適合性評価*の取得の是非を考えるべき• データ提供者にデータの取得期日を要求する• プライバシーマークを取得する• P.14を基に説明＊ISMS (情報セキュリティマネジメントシステム)適合性評価は、国際的に整合性のとれた情報セキュリティマネジメントシステムに対する第三者適合性評価

6

前回の振り返り
第一回委員会で委員からいただいた意見・質問とそれに対する対応方針を、ポリシー策定委員会事務局にて以下のように整理

分類

データ
提供者

主なご意見・質問の例

対応方針

データ提供元への関与・利用同意の取得• データ提供元に対してＤＰＦが何らかの形で接点を持ち、プライバシーポリシー(プライバシーステートメント)を示し、利用・提供の同意を得る必要があるのではないか• 個人情報を含むデータについては、ダッシュボード*等を必須とすることはいかがか。一方で個人情報を含まないデータ(匿名加工情報を含む)は、ダッシュボードの必要性はないと想定される• P.15を基に説明

規約の1本化• 基本的にはＤＰＦの規約は一つにし、事業者ごとに変える必要はないのではないか• 原則規約は一つとするが必要に応じて個別契約で条件変更することは妨げない• 個人情報以外でも、個人情報が含まれる場合を想定した際、データ提供者に対して何を課すべきであるか• 提供者に対して、個人情報は入っていないと宣言していただいたうえで受領

個人情報を含まないデータ提供を受ける際の課すべき条件*個人が自分の情報を管理する画面機能のこと7

前回の振り返り
第一回委員会で委員からいただいた意見・質問とそれに対する対応方針を、ポリシー策定委員会事務局にて以下のように整理

分類
利用審査基準データ
利用者

主なご意見・質問の例• データ利用の審査基準を設けるべきであると考えている。特に問題が発生する利活用をする業者等が想定される• ＤＰＦは都庁のような地方自治体ではないため、審査基準を公開する必要はないのではないか

対応方針• P.16を基に説明• 提供先企業が、DPFからもらう個人関連情報をパーソナルデータと紐づけることについて本人の同意を得ており、その事実が確認できるものを用意いただ
くことを規約に記載する予定

データの条件付
き提供• 個人を特定しないデータを提供している場合でも、データ利用者が個人を特定できるよう突き合せる可能性がある。データ提供の際に、個人を紐づけるような行為をしないことを条件として入れるべきではな
いか

個人情報含まないデータ提供を受ける際の課すべき条件• 個人情報以外のデータでも、個人情報が含まれる場合を想定した際、• P.16を基に説明
データ提供者に対して何を課すべきであるか

データ利用者からのデータの利活用報告の是非• データ利用者に対して、提供されたデータからどのようなメリットがあったか報告を受けることを求めることはいかがか• P.16を基に説明

8条項案の提示(指摘反映箇所・作成時の留意点)

9条項案提示
第一回委員会でのコメントを受け、「プライバシーポリシー」を広範囲の関係者を対象とする「プライバシーステートメント」に変更。
規約は、データ利用者がデータ提供者にもなり得ることから、両者向け規約を統合し一本化（1）
官民連携データプラットフォーム

ポリシー構成（2）
官民連携データプラットフォーム

データガバナンス（3）

官民連携データプラットフォーム

プライバシーステートメント（4）
官民連携データプラットフォーム

コンプライアンス指針(2)～(6)までのポリシーの全体の構成図
ポリシー全体に係る前提事項、考え方等
官民連携データプラットフォーム運営組織(以下「DPF運営組織」という。)が適切にデータをマネジメントするための内部ルールと体制
資料4-3
官民連携DPFにおいて取り扱われるパーソナルデータの範囲や、パーソナルデータの利用目的等を規定
資料4-1

DPF運営組織が取り扱うデータ及び事業計画に即したコンプライアンス指針 (法令遵守のみならず、社会から求められる倫理に沿った中立性・透明性の高い行動規範も含む)
資料4-4

（5）
官民連携データプラットフォーム

規約

官民連携DPFへのデータ提供者/DPFからのデータ利用者それぞれと締結する契約事項
資料4-2

（6）
官民連携データプラットフォーム

情報セキュリティポリシー
（7）

DPF運営組織が扱う諸情報に関するセキュリティ関連の遵守すべき事項資料4-5

官民連携データプラットフォーム

DPF運営組織の事業における組織や運営についての根本的な規程

運営組織 定款※官民連携データプラットフォーム運営に向けた準備会で策定のため、ポリシー策定委員会では審議の対象外

10

プライバシーステートメント・規約 留意点
今後の事業拡大を考慮し、汎用性の高い粒度感で各条項案を策定
目的(3)
プライバシーステートメント• ＤＰＦにおいて取り扱われるしパーソナルデータの範囲や、パーソナルデータの利用目的等を規定指し示すため策定時の留意点• 「東京都個人情報の保護に関する条例 第28条」から、DPFは都の政策連携団体になる見込みであるため、都の条例に対して努力義務が課されることを意識• 令和2年個人情報保護法改正⁃公表事項の追加（住所、代表者氏名、第三者提供時の記録の開示手続等）⁃公表事項の充実の方向性（第155回個人情報保護委員会資料より）(5)
規約• 東京都個人情報の保護に関する条例• 令和2年個人情報保護法改正

 個人情報の取扱体制や講じている措置の内容（政令事項）
 保有個人データ*1の処理の方法（利用目的の特定に取り入れる）⁃オプトアウト制限強化（オプトアウトで得た情報をオプトアウトで提供不可）• ＤＰＦへのデータ提供者/ＤＰＦからのデータ利用者
それぞれと締結する契約事項を指し示すため

参考資料• 政府・民間等のガイドラインや、デジタルプラットフォーマー等の類例を参考に策定• 【参考規約類例】⁃国内外の大手プラットフォーマ―⁃情報銀行認定事業者⁃DMP(Data Management Platform)*2事業者⁃次世代医療基盤法に基づく認定事業者• 特定デジタルプラット
フォームの透明性及び公正性の向上に関する法律• 情報銀行モデル契約約款*1個人情報取扱事業者が開示、内容の訂正、追加又は削除、利用の停止、 消去及び第三者への提供の停止を行うことのできる権限を有している個人データのこと*2インターネット上に蓄積された様々な情報データを管理するためのプラットフォーム

11

データガバナンス・コンプライアンス指針・情報セキュリティポリシー 留意点
今後の事業拡大を考慮し、汎用性の高い粒度感で各条項案を策定
目的策定時の留意点

参考資料

(2)
データガバナンス• ＤＰＦ運営組織が適切にデータをマネジメントするための内部ルールと体制を指し示すため• ＤＰＦ固有の観点として、データプラットフォーム事業を運営する事業者に対して求められる観点を条項案に反映(例、データの信頼性・最新性等 )• プライバシーガバナンスガ
イドブック• サイバーセキュリティ経営ガイドライン(4)
コンプライアンス指針• ＤＰＦが取り扱うデータ及び事業計画に即したコンプラ
イアンス指針を指し示すため• ＤＰＦ固有の観点として、事業プリンシプルも考慮した内容を条項に反映(「民間の活力を最大限活用する」「データを都民へ返す」*)•(6)
情報セキュリティポリシー

• ＤＰＦ運営組織が扱う諸情報に関するセキュリティ関連の遵守すべき事項を指し示すため「東京都サイバーセキュリティ基本方針５ 地方独立行政法
人等への指導*」を考慮し、基本的には東京都サイバーセキュリティ基本方針を基に、条項案を策定*東京都が設立した地方独立行政法人及び東京都政策連携団体においては、本基本方針等を参考に、各団体等においてサイバーセキュリティ対策に係る基本方針等を策定するな
ど、必要なサイバーセキュリティ対策を実施するよう、所管局は適正に指導を行うこととする*第２回官民連携データプラットフォーム運営に向けた準備会 事務局資料P6 【哲学（プリンシプル）】 ❷・❿を参照• 東京都コンプライアンス基本方針• 東京都サイバーセキュリ
ティ基本方針• 中小企業のための情報
セキュリティ対策ガイドライン

12

情報銀行とDPF事業の違い
情報銀行

DPF

 個人によるコント
ローラビリティ*確保※DPFの適切な体制等の整備後、個人からの同意を前提に、取り扱うことも検討

情報銀行

DPF

個人情報取り扱い•有•

当初はないが将来的に取り扱う可能性有

個人との接点•有•

当初はないが将来的に接点を持つことも想定

データの取得方法

•

直接取得

•

当初はデータ提供者からの提供が中心。将来的には個人から直接取得することも想定

取り扱い目的•

個人からの委任を受けて本人のために管理・第三者提供を行うことで本人への便益をもたらすため•

データ流通の促進によるSociety 5.0の実現のため

提供先•本人の同意の範囲内•

一定の要件を満たすデータ利用者*制御可能性13プライバシーステートメント(仮称)の対象
事業開始当初は個人情報の取扱いは想定していないが、パーソナルデータが含まれることや将来的には個人情報も取り扱うことを想定していることから、まずは広く対象とした「プライバシーステートメント」を策定
都民等
対価等（支払う場合）

サービス等

プライバシーステートメントの対象範囲

データ利用者(データを用いたサービス開発・提供者)

民間企業・団体等

行政機関等(都含む)データ

対価等(支払う場合)

開始当初

DPF運営組織 ＤＰＦに登録する際に提供されるパーソナルデータを取り扱う
際

官民連携DPF
対価等(支払う場合)データ

データサービス

将来データ提供者

データ提供者
民間企業・団体等

行政機関等（都含む）

データ

データ提供元

都民(個人)

 ＤＰＦが都民(個人)から直接提供されるパーソナルデータを取り扱う際

14

プライバシーマーク取得の是非
データ提供者・データ利用者に対して安全・安心な組織であることを明示できることから、プライバシーマーク取得を進める方針
ポリシー策定委員会事務局の見解

プライバシーマーク 概要

概要

申請資格

 企業や団体など（事業者）の個人情報保護の体制や運用の状況が適切であることを、消費者に対して“プライバシーマーク”というロゴマークを用いてわかりやすく示す制度
 2年ごとに更新申請が必要
 「個人情報保護マネジメントシステム—要求事項（JIS Q15001）」に基づいた個人情報保護マネジメントシステム（PMS）を定めていること
 個人情報保護マネジメントシステム（PMS）に基づき実施可能な体制が整備されて個人情報の適切な取扱いが行なわれていること
 申請事業者の社会保険・労働保険に加入した正社員、または登記上の役員（監査役を除く）の従業者が2名以上いること（JIS Q 15001が規定する個人情報保護マネジメントシステム（PMS）を構築するためには、個人情報保護管理者、個人情報保護監査責任者の任を負うものが1名ずつ必要であるため）
 その他

出典:プライバシーマーク制度HPより抜粋 https://privacymark.jp/index.html

メリット 将来的に個人情報の取り扱いが想定されるため、主にデータ提供者に対して個人情報保護体制・運用状況が適切であることを示すことができる 2年ごとの更新のため、定期的な見直しが必要である
ことから利用者へ継続して安心感を与えることができると想定

 プライバシーマークを取得していることから、組織内でのデータ取り扱いに関する意識醸成等も期待できる 申請資格に必要となる事項を加味しながら、今後定款の作成等に反映できるものがあると想定15

データ提供元への関与・利用同意の取得
データ提供者から提供された提供元の個人情報は、個人情報のままでのDPFから先への転用が不可。提供元に対する転用の同意をDPF・データ提供者が再取得することも現実的に難しいため、加工・統計化データとして提供せざるを得ない

問題点
1

2

転用の同意取得が別途必要⁃

データ提供者を介して得た個人情報は提供元から転用する利用許諾を得ていないことが想定される転用の同意取得が困難⁃⁃

データ提供者から提供元に対して、DPFから転用の同意を再取得してもらうことは現実的ではない
データ提供元との接点を持たないDPFがデータ提供者の代わりに同意取得を得ることも現実的ではない。いきなりDPFから連絡することは、かえって提供元に対して不信感を募らせる懸念

データ提供

データ利用

転用する同意取得は現実的に不可能

提供元

個人

個人情報

個人情報データ提供者

加工統計化
データDPF個人
データ利 サービス
提供用者

加工/統計化

団体

団体

提供元

 データ提供者から第三者提供が認められた個
人情報を取得した際は、加工・統計化したうえでデータ利用者に提供が可能
 DPFが個人情報を提供する場合は、提供元から直でデータを取得する必要がある

個人団体

個人情報

DPF

個人情報

個人
データ利 サービス
提供用者

団体

16

データ提供者・DPF・データ利用者のタイミング別実施・確認事項等
データ提供者

タイミング

審査時

取引時

データ利用者

提供資格

資格確認

利用資格

• 反社会的勢力等を除くが、その他については準備会で検討中• 両者の資格を確認し、DPFへのID登録対応を実施• 反社会的勢力を除くが、その他については準備会で検討中

提供データ受付対応• データ提供の受付

利用目的等報告• 反社会的勢力、公序良俗に反するデータ、不正取得されたデータ等 以外

その他• いつ時点のデータであるか明示• 個人情報を含まないデータの場合は、含まないことを宣言

開示請求
取引後DPF• データ利用状況等についてDPFへ開示請求可⁃提供受付時の確認事項等を確認しデータ提供受付⁃データ一覧へ掲載• データ提供を受ける際に利用目的等必要事項をDPFに報告

その他• データ利用の受付• 利用方法*に抵触しないことを宣言*違法行為、公序良俗に反する利用、再提供の禁止 等

開示請求対応アンケート回答• データ提供者からの開示請求対応• 定期的にデータ利用者に利用状況アンケートを実施⁃利用受付時の確認事項等を確認⁃データの提供

データ利活用状況の確認• データ利用者ヘのデータ利活用状況を定期的に確認(アンケート実施)

17

条項案意見交換

18

各条項に対して特に留意しているポイント
下記5つの条項案について、特に留意しているポイントは以下のとおり。条項案をもとに委員の皆様からご意見いただきたい
資料4-1
プライバシーステートメント

 DPFに直接関係する以外の人も含め、DPFに情報が入る個人全体に対するものとして制定
 個人情報を広く包含するパーソナルデータを対象情報とし、データ利用者・データ提供者・データ提供元に対して安全・安心に利用できるようDPFが配慮する事項を掲げる【契約】 「データは都民のもの」との考えに基づき、個人情報を流通する段階においては、データの提供やデータ利用者状況について確認したい時のために開示請求を受け付ける等、提供者本人の意思を尊重する旨を述べている【技術】

資料4-2
規約

 提供者・利用者に対してデータの利活用を促す
ために、過度にユーザーを限定せず、適切なデータが提供・利用されるよう留意している 汎用的な規約によりデータ提供を受ける機会を制限したり損ねないために、ケースによっては個別の契約を締結することも想定する【契約】資料4-3
データガバナンス

 データの保護に加え、データ利活用が積極的にされるために運営組織が取り組む姿勢を掲げる【契約】 DPF運営組織からの情報発信・意見聴取のため、DPFに係る関係者との対話を図る

資料4-4
コンプライアンス指針 各種の関係法令を遵守する【法令】
 運営組織の透明性を保つため第三者委員会を設置し監査体制を確立する 【契約】 データプラットフォームに係るコンプライアンス研
修を運営組織内で実施する【法令】

資料4-5
情報セキュリティポリシー 東京都サイバーセキュリティ基本方針に準じる【法令】
 データプラットフォーム事業者として、データを受け取り利用する側(データ利用者)に対しても、セキュリティ対策上遵守させるべき事項を条件として提示する【契約】※ポリシー策定においては、都民や企業等がデータ提供・データ利用を安全・安心してできるよう法令、契約、技術の3つの観点を留意する

19

ポリシー提示方法

20

ポリシー提示方法
都民が理解しやすいポリシーの提示方法についてご意見をいただきたい

認識している参考事例

NTT docomo
ドコモのパーソナルデータ活用

ダッシュボード

Googleプライバシーポリシー

Z ホールディングス• 全文以外に、ポンチ絵を用いてデータの活用事例・保護・管理等を説明• データ各に利用同意選択が簡易にできる仕組み構築• 短い動画をページに埋め込み文章の説明を補足

プライバシー・セキュリティ• イラスト・図を用いて視覚的に説明

アメリカ・フランス・
イギリスの情報教育制度•-いただきたい意見• 都民が理解しやすいポリシーの提示方法についてご意見をいただきたい⁃ 参考事例
⁃ 条項以外で別出しして示すべきもの⁃ どれくらいのレベルまで作
りこむべきか

出典:上(NTTドコモ ドコモのパーソナルデータ活用、パーソナルデータダッシュボード) 中(Google プライバシーポリシー ) 下(Zホールディング プライバシー・セキュリティ)21

今後の進め方22

パブリックコメント 実施 (現時点予定)
 12月後半から募集を開始 1月後半〆切

 掲載内容⁃ データガバナンス、プライバシーステートメント、規約、コンプライアンス指針、情報セキュリティポリシー条項案⁃ DPFの事業概要⁃ 各条項案の作成時に大事にした点、特徴 等

 データ提供者にあたる関係者からの意見聴取がターゲットとして重要と思料
 東京都戦略政策情報推進本部HPやSNSの他に、ターゲットに近しい、スマート東京各種プロジェクトに関わる事業者などへ個別周知や、 基礎自治体関係者への周知方法などを検討

23

今後のスケジュール(現時点予定)
12月

21

1月

28

4

11

3月

2月

18

25

上旬

中旬～3月下旬

第三回
委員会

パブリックコメント
受付開始

第四回
準備会

パブリックコメント
回答公開

パブリックコメント受付

パブリックコメント
整理パブコメ
回答案
作成

条項案反映

あり方
検討会
への報告