総務省実証事業における姫路市行政情報分析基盤

個人情報リスク評価PIA++（Privacy Impact/Risk Assessment)
初版 平成３０年３月
改訂 平成３０年５月

１ 本評価の範囲・対象
姫路市行政情報分析基盤

 本評価は、「姫路市行政情報分析基盤」（以下「分析基盤」といいます。）をその範囲・対象としています。

 分析基盤とは、市役所の持つ業務データを活用して、エビデンスに基づくより良い政策立案（EBPM）を行うために、姫路市が開発・運用するデータ分析基盤システムを指します。総務省が平成２９年度に実施した「地域におけるビッグデータ利活用の推進に関する実証」事業としても採用されています。
 総務省実証事業では子育てデータの分析を行っていますが、このほかにも市の事業として、住基
データ、特定健診データ、業務ログの分析を行っており、将来的にはこれらの分野にとどまらず、
市役所の持つ業務データを部局横断的に利活用できる政策支援機能としての運用を目指しています。平成２８年より構築を開始しています。そのうち、総務省実証事業の期間は、平成２９年１０月から平成３０年３月３１日までです。
 本評価は、弁護士水町雅子が、姫路市及び株式会社エーティーエルシステムズ（姫路市受託事
業者、以下「ATL」といいます。）から資料提供やヒアリングを受けながら実施したものです。姫路市
及びATLは本評価書に記載された内容に偽りがないことを事前に確認しています。
2

２ 姫路市分析基盤は、どのようなものか
自治体の持つ業務データをもとに分野横断的な分析を行い、より良い行政・政策を目指す仕組み
業務データには個人情報が多く含まれます。
プライバシー権侵害や不正行為を防止するため、本評価記載の通りの厳格な措置を講じます。
主なポイント①誰の個人情報か一見してわからないように加工（抽象化）

業務データ

姫路市
分析基盤
セキュリティ対策②業務に必要な範囲に限り
統計処理・分析① 子育て、住民基本台帳等の業務データ（個人情報）から、氏名等を削除して、
誰の個人情報か一見してわからない状態に加工（抽象化）します② 市役所職員が自身の業務に必要な範囲に限り、①の情報を元に、市の現状などを統計処理します。市職員が閲覧できるのは統計情報のみで、①情報は閲覧することはできません。
③ 分析結果を元に政策立案、課題解決、住民サービス向上等を検討して、より良い行政を目指します④ 分析・統計作成作業は、地方公務員法上、守秘義務を負う市職員が行います。
守秘義務違反等には刑罰や懲戒処分を科せます。
⑤ 姫路市分析基盤は、インターネットと切り離された環境にあり、姫路市が厳重に管理している端末から操作します。セキュリティ対策を厳重に講じています。

3

２ 姫路市分析基盤は、どのようなものか
分析画面のイメージ 分析基盤は、姫路市職員のみ操作できます。分析基盤を通じて作成した統計結果は会議資料や市ホームページ
等で利用することがあります。
 住民基本台帳データを分析し図示等することで、人口推移、出生数推移、転出入状況、経年変化等をとらえ、将来予測も可能となります。
 正確な情報を精緻に分析することで、市の今後の政策検討の基礎データとし、より良い行政政策を検討・実行していきます。

右の数値等はダミーです。
4

２ 姫路市分析基盤は、どのようなものか
分析画面のイメージ 分析基盤は、姫路市職員のみ操作できます。分析基盤を通じて作成した統計結果は会議資料や市ホームページ等で利用することがあります。
 子ども子育てデータを分析し表形式
で集計等することで、施設、認定区
分、地域、定員等の観点から、現状を把握します。
 正確な情報を精緻に分析することで、市の今後の政策検討の基礎データとし、より良い行政政策を検討・実行
していきます。
右の数値等はダミーです。
5

２ 姫路市分析基盤は、どのようなものか
分析画面のイメージ 分析基盤は、姫路市職員のみ操作できます。分析基盤を通じて作成した統計
結果は会議資料や市ホームページ等で利用することがあります。
 特定健診データを分析し地図情報と重ねる等することで、地域ごとの受診率などをわかりやすく図示できます。
 現状を分析することで、特定健診の受診率向上、ひいては住民の健康状況の向上をめざします。
右の数値等はダミーです。

6

２ 姫路市分析基盤は、どのようなものか
分析画面のイメージ 分析基盤は、姫路市職員のみ操作できます。分析基盤を通じて作成した統計結果は会議資料や市ホームページ等で利用することがあります。
 市役所、支所などの利用データを分析することで、窓口の利用状況等がわかり、市役所サービスにおける住民の利便性向上や効率化などをめざします。
 右の数値等はダミーのため、偏りがありますが現実の数値等ではありません。

7

３ 期待される効果■ 人口減少・少子高齢化が進展する中で、限られた「ヒト・モノ・カネ」を「情報」により、これまで以上に効果的かつ計画的に活用することより、効率的な行政運
営と住民のQOL向上を目指します。
■ 前例や職員の経験・勘などに依存しない、第三者による検証が可能で透明性の高いエビデンスベースの政策立案を推進します。
■ 行政データの有効活用を通して、より良い行政・住民サービスの向上を図ります。

8

３ 期待される効果
正確な課題認識、将来予測
 現状を正確に把握し、過去の状況と比較することで、自治体の持つ課題を正確に認識できます。
• 例えば、待機児童問題では、どこにどのような待機児童がいてどの地域にどのような保育施設ができればよいのか、今の保育園児が小学生になった際に小学校や学童保育の過不足などの問題はないのか等、自治体の現状と課題を正確に把握することが必要です。

• 住基データの分析でいえば、最近の転出入の状況を数値で正確に分析することで、どのような世帯が転出しているのか、人口増のためにはどのような施策が必要かなどを分析することも可能です。
• そのほかにも、市の業務データを分析することで、例えばバス路線が住民ニーズに合致しているか、支所等出先窓口の設置場所が適切か、道路整備の不十分な場所がないか、高齢単身世帯・子育て世帯が多い地域はど
こか等、様々な現状・課題を把握することができます。
• これらはあくまで例に過ぎず、様々な施策において、現状を数値として正確に分析することで、自治体の解決すべき課題を的確に認識することができます。

9

３ 期待される効果
業務改善・効率化

分析作業等時間の大幅カット• 自治体では、現状分析や計画立案等の業務を行っていますが、職員が個別にデータを集めて表計算ソフト等で分析するのでは、作業に相当の時間を要します。分析基盤を用いると、これまで行ってきた作業時間を大幅にカットすることができました。
• 例えば、小学校区別年齢別児童数の分析作業に、これまでは５６時間を要していましたが、分析基盤では１０分以内で実施できます。



これまでは行えていなかった分析も可能に• 例えば、これまでは地域ブロック別０～５歳児の定住率・異動状況や出生児数の校区別地域ブロック別の分析は行えていません
でしたが、分析基盤では１０分以内で分析できます。異動状況も可視化されたため、何歳児がどの地域に引っ越す傾向があるかなどを把握することが可能となりました。

 業務効率化・質の向上•

資料作成時間を圧倒的に短縮することができ、かつ、より多くの情報をアウトプット出来るようになりました。

•

問合せを受けてから回答までのスピードを早くすることができました。

•

地図情報と重ねて図示できるため、視覚的な説明が可能となり、関係者へのわかりやすい説明が可能になりました。

•

業務の定型化も促進でき、担当者の能力に依存しないため人事異動に伴う引継ぎも容易となるのではないかと期待されます。

10

４ 姫路市分析基盤の全体像
個人情報
抽象化情報
（一見して特定の個人が明らかでない情報）

業務データ
住基
子育て

非個人情報（統計情報）

②抽象化

分析

姫路市
分析基盤

その他
姫路市が管理①業務システムで、個人に着目し、個人情報を使った業務の実施③分析基盤で個人に着目しない
統計処理① 市では、行政サービス・業務を実施するために、住基情報、子育て情報その他の業務データ（個人情報を含む）を収集・利用・保管等しています。市
職員は原則として自分の担当業務に必要な個人情報のみを取り扱っています。
② 業務データから氏名等を削除して、一見して誰の情報かわからないデータに加工します（抽象化）。抽象化した情報を分析基盤に取り込みます。
分析基盤上のデータを、職員等は直接閲覧・ダウンロード・印刷等することはできません。
③ 市職員は分析基盤を利用して、統計処理を行います。統計情報は非個人情報であり、個人に着目しない統計処理のみを行います。

11

５ 姫路市分析基盤で個人情報をどう取り扱うか
業務データ
申請書等
住民等

抽象化

住基
市

子育て

その他

姫路市
分析基盤

 誰の個人情報： 姫路市の住民・過去住民であった方（約７８万５千人）、姫路市職員（約３８００人）•••

分析基盤では個人に着目した分析を行わず、あくまで統計処理・統計的把握が目的のため、市の持つ業務デー
タから氏名を削除、住所の番地以下を削除、生年月日は月齢・学年を計算したうえで日を削除、番号・ID等は業
務システムで用いているものとは異なるものとし、元の業務データと突き合わせできないよう不可逆変換した情報を保持しています。
今後、住基・子育て・特定健診・業務ログという現状のデータ範囲以外に分析基盤を展開していく場合も、既に市で行政サービス・業務を実施するために保有している個人情報から、氏名等を削除して、一見して特定の個人がわからないよう抽象化した上で、分析に利用していきます。
氏名等を削除して抽象化しているため、一見して誰の情報かはわからないようになっていますが、氏名が記録されていなくても、どの保育所に入所しているか、抽象化された住所等から、誰の情報かがわかる場合もあります。
そこで、市では抽象化していても個人情報として、個人情報保護条例を遵守して、厳格に取り扱います。

12

５ 姫路市分析基盤で個人情報をどう取り扱うか
業務データ
申請書等
住民等

抽象化

住基
市

子育て

その他

姫路市
分析基盤

 どんな個人情報：••••

子育て： 児童名簿（児童生年月、在園施設、保護者情報、保育料、 認定区分（保育の必要性・必要量判定）等）、住民基本台帳情報（住所等）を取り扱います。これらに、非個人情報である保育所情報（所在地、定員等） 、認可外施設情報（種類、定員等）を組み合わせて分析しています。
住基： 住民基本台帳情報（現住所、前住所、学区等）を取り扱います。
特定健診： 年齢、性別、住所、身長、体重、喫煙・飲酒の有無、検査結果等の情報を取り扱います。
業務ログ： 端末番号、帳票番号、処理内容等の情報を取り扱います。

 利用主体：
•
•
•

市職員のみ
子育て： こども政策課（数名）
特定健診： 国民健康保険課特定健診担当（数名）、保健所健康課（数名）
業務データ： 住民窓口センター（数名） 住基： 上記利用課すべて、企画政策推進室（数名）、地方創生推進室（数名）

13

５ 姫路市分析基盤で個人情報をどう取り扱うか
業務データ
申請書等
住民等

抽象化

住基
市

子育て

その他

姫路市
分析基盤

 利用目的：•

統計処理を実施し、現状分析・将来予測を行い、より良い行政サービス・業務をめざします。

 個人情報の取得経路：••

姫路市の持つ業務データからシステムを介して、分析基盤に必要な前ページの情報を入手
定期的に最新の情報を入手します（統計・分析活用のニーズに応じて、情報ごとに更新頻度を決定）

 個人情報の抽象化：•

住基情報、子育て情報その他の業務データは分析基盤上にいったん到達するも、その場で抽象化され、保存されません。
保存される情報は、次の通り業務データを抽象化した情報です。

番号関連（世帯番号も同様）→不可逆変換

氏名関連
→全て削除

生年月日
→年齢算出後、日を削除し、生年月・学年月情報として保持
住所関連→番地以下を削除

続柄
→一部削除

14

５ 姫路市分析基盤で個人情報をどう取り扱うか
業務データ
申請書等
住民等

抽象化

住基
市

子育て

その他

姫路市
分析基盤

LGWAN回線を利用。
LGWANとは、行政専用の閉じたネットワークであり、インターネットとは物理的に切り離されています。

 個人情報の取得経路••

姫路市の持つ業務データからシステムを介して、分析基盤に必要な前ページの情報を入手
定期的に最新の情報を入手します（統計・分析活用のニーズに応じて、情報ごとに更新頻度を決定）→ 「１２ その他のリスク対策（個人情報の取得に関して） 不正確な個人情報を取得しないか」ご参照

 個人情報の保管••••分析基盤で扱う情報は、①業務データ（生の個人情報）②抽象化情報（個人情報）③統計情報の３種です。
①業務データは、前記の通り、分析基盤では保存されず、基幹系業務システム等で保存します。
②抽象化情報は、 破棄せずに保存します。不要な情報は破棄すべきですが、分析基盤の目的からして、経年変化を把握することが必要であるためです。詳細は、「１５その他のリスク対策（個人情報の管理に関して）」の「不要な個人情報がいつまでも保管されないか、古い個人情報を誤って利用しないか」を参照してください。
③統計情報は、必要に応じ破棄します。

15

６ 情報を分析することで、住民等に不利益処分等がなされることはないか
分析基盤では、様々な情報を突合して分析しますが、これによって住民の方等に不利益処分等がなされることはありません。

住民の方等に不利益な処分等は行わない
 分析基盤による分析の結果を用いて、直接、個々の住民の方等を対象とした事務処理等を市が行うことはありません。例えば、万一、子育て政策の状況分析を行った結果、特定地域の保育所が過多であると判断されても、それを元に、将来的な適正配置を検討することはあっても、保育所の退所をお願いするようなことはありません。
 また、万一、保育料の滞納があった場合に、分析基盤を通して督促等をさせていただくことはありません。分析基
盤はあくまで現状分析及び将来予測のための統計分析を行うシステムであり、保育料の収納管理等は、通常業
務の中で通常手続を経て行います。
 住民の方等を対象とした事務処理は、分析基盤とは別の業務システムを利用し、また法律・条例に従って実施します。

プライバシー権が侵害されないように
 → 次ページ参照

16

７ 個人情報を不正にのぞき見・外部提供等されないか分析基盤では、住民の方等の個人情報を保持しますが、個人情報が不正にのぞき見られたり、外部提供されたりしないように次の措置を講じています。
業務上必要な分析を行うために必要なデータのみ
 分析基盤上のデータは、氏名等を削除して抽象化することで、データからは誰の情報かが一見してわからないようになっています。
 分析基盤を利用できるのは市職員のみです。かつ、市職員であっても誰でも利用できるわけではなく、業務上必要な範囲内で、市の手続に沿ってアクセス権限を認められた範囲にのみアクセスできます。
 分析基盤上のデータを市職員が直接閲覧することはできず、ダウンロード等もできません。分析ツールで統計処理（集計処理）された状態でしか閲覧できません。
 市職員は、分析基盤利用課（担当課）・データ保有課・システム管理課とで事前に妥当性をチェックし作成されたレポート様式に沿った統計処理、レポート作成を行います。したがって、個人的興味から、不正な分析を行うことは、システムの機能上、できません。また市職員が実施した分析内容はロ
グとして保存し、所属長等が、「いつ」「誰が」「どのような条件で」分析したかを、ログを確認することでチェックでき、これによっても不正を防止します。
 複数の部署が持つデータを突合して分析することもありますが、業務上必要な統計処理のみ行い、そのために必要な情報以外は突合・利用できない
ようにシステム上制御しています。
 データは暗号化されているので、万一、分析基盤のデータを持ち去られてもそれだけでは閲覧することはできません。

外部提供は行いません 分析基盤は市職員が利用するのみで、分析基盤で保持する情報を外部提供することは原則としてありません。市以外に分析基盤で保持する情報を提供することは原則としてありません。例外としては、警察の捜査に提供する等の場合のみです。
 分析基盤を用いて作成された統計情報は、公表等する場合もありますが、統計情報ですので、特定の個人がわからない状態に加工されています。

守秘義務等違反には罰則も 市職員は法律上守秘義務等を負い、違反した場合は２年以下の懲役又は１００万円以下の罰金等に科せられます（姫路市個人情報保護条例５８～６
２条、地方公務員法６０条２号）。市によって懲戒処分がなされる可能性もあります。

17

８ 個人情報が漏えいしないか
分析基盤では、住民の方等の個人情報を保持しますが、 個人情報の漏えいを防止するために次の措置を講じています。
技術面
 総務省実証事業において分析基盤はLGWAN–ASPというインターネットから遮断された環境にあります。総務省実証事業以外の分析基盤
は姫路市独自環境（オンプレミス環境）にあり、インターネットから遮断されLGWAN系からも分離された基幹系（個人番号利用事務系）ネット
ワーク環境です。よって、イ ンターネット経由等での不正アクセスやコンピュータウィルス感染、SPAM メール等の脅威か ら守られています。
 通信経路における盗聴対策として、データはHTTPSにより暗号化された状態で通信経路上を伝送されます。
 利用者認証は事前に許可された市職員のみアクセスできるよう、認証カードとパスワードによる2要素認証を行います。

システム設計・運用面
 業務データを分析基盤に取り込む際は閉域ネットワーク内で許可された職員が行います。作業記録はログとして取得します。通信は暗号化されます。分析基盤に入力された業務データは即時に抽象化データに変換され、元データは破棄され漏えいの危険性を最小限にします。
抽象化データはDBに保持されますが、通常利用する分析基盤APからデータの変更等を行う機能を実装していないため、通常の運用作業
でデータの改ざんや漏えいは発生ません。DBサーバに対する直接のアタックについては技術面での対策にて対応します。

法制度面
 既述の通り、市職員は法律上守秘義務等を負い、違反した場合は２年以下の懲役又は１００万円以下の罰金等に科せられます（姫路市個
人情報保護条例５８～６２条、地方公務員法６０条２号）。市によって懲戒処分がなされる可能性もあります。

18

９ 統計情報のための適切な加工がなされるか
分析基盤では統計情報を作成しますが、加工が不十分であると、そこから特定の個人が識別されることがありえます。
市では、それを防止するために次の措置を講じています。

適切な加工処理 分析基盤では氏名等を削除した抽象化情報のみを保持します。不十分な加工状態のデータを取り込むことがないよう、また氏名等を完全に削除し、番号・ID等を完全に不可逆変換できるように、システム側で、加工処理を自動実行しながら、分析基盤に取り込みます。
 既述の通り、市職員は抽象化された個人情報自体は閲覧できず、ダウンロード等もできません。分析ツールで統計処理（集計処理）された状態でしか閲覧できません。
 統計情報であっても、少数データから特定の個人が識別されないよう、統計処理の結果、該当人数が少数となった場合は、画面表示上、「〇名」とは表示させずに、「*」で表示します。

不適切な行為を監視 統計情報であっても、万一、違法な意思をもった市職員がいて、特定の個人を追跡する等の目的で、他の業務データと照合したり調査する等の不正行為を行った場合には、可能性は低いものの、特定の個人が識別できることも考えられます。こういった違法行
為やその他の違法行為を防ぐためにも、市では、分析基盤で職員がどのようなことを行っているかログを取得し、不適切な行為が行われないよう監視します。

19

１０ なぜ分析基盤を設けるのか
既存の業務システムでデータ分析をするのではなく、今回、分析基盤を設けたのは、次の理由からです。
これまでとの差異
 これまでも市では業務上必要な分析・統計処理を行ってきました。しかしこれまでは、個別業務ごとに、個々にデータを他課から受領し、内部手続を行い、表計算ソフトや個別システムなどで分析・統計処理を行ってきました。そのため、分析・統計処理に至るま
でのプロセスに多くの時間を要し、スピーディーで効率的な分析・統計処理が行えないという課題がありました。また、個別業務ごとの分析・統計処理だと、システム面での保護措置レベルにバラツキが生じるなど、情報セキュリティ上の懸念がありました。
 そこで今回、分析基盤を設けることで、データに十分な抽象化加工を行った上で、必要なデータを安全・迅速に受領でき、かつ不適切な行為が行えないようシステム面での保護措置を施した環境を整備しました。
 また、個人情報保護条例への適合性やプライバシー権保護上の措置などを、総務省が設置した有識者会議、そして市が依頼した個人情報を専門とする弁護士等と協議し、個人情報保護条例適合性等の検討を行っています。これにより、個別業務ごとに個々に内部手続や条例適合性検討を行うのではなく、市として統一的かつより高度な個人情報保護・プライバシー権保護を企図しまし
た。

費用対効果
 分析基盤には一定の費用が必要となりますが、個別業務ごとに、個々にデータを他課から受領し、内部手続を行い、表計算ソフト
や個別システムなどで分析・統計処理を行うよりも、スピーディーで効率的な分析・統計処理を行うことができます。削減できる作
業時間数やリスク、ＥＢＰＭの推進による行政経営の最適化を踏まえると、費用対効果上も適切であると考えています。

20

１１ なぜ本人から同意を得ないのか
分析基盤では、個人情報保護条例に基づき、ご本人からの同意を得ることなく、統計処理を行います。その理由は次の通りです。

現状分析・将来予測のために網羅的データが必要
 市が正確に現状分析・将来予測を行うためには、市の状況を取り巻くデータを網羅的に分析する必要があります。データに偏りがあると、偏った分析しか行えず、現状を的確に分析することが困難となる恐れがあります。
 ご本人から同意を得た場合のみ統計処理を行うとすると、一部の方のデータのみ統計処理することとなる可能性があり、データに偏りが生じることも考えられます。
 市が正確に現状分析・将来予測を行うことは、住民ニーズや現実の課題に即した的確な行政運営を行ったり住民サービスを向上させるために必要なもので、公益性が認められると考えられます。正確な現状分析・将来予測を行うために、個人情報保護条例上認められている、本人同意以外の方法を採用しています。
 ご本人から同意を得ずに統計処理を行いますが、プライバシー権等を侵害することがないよう、この評価書に記載した厳格な措置を講じます。

個人情報保護条例を遵守
 個人情報保護条例上認められている方法を採用しています。
 なお分析基盤は、総務省の実証事業として採用されていることもあり、総務省が設置した有識者会議、そして市が依頼した個人情報を専門とする弁護士が個人情報保護条例適合性等の検討を行っています。

21

１２ その他のリスク対策（個人情報の取得に関して）分析基盤では上記のほか、個人情報の取得に際して次の措置を講じています。
個人情報を過剰取得しないか 統計・分析に不必要な個人情報を取得することがないよう、各統計・分析に必要なデータのみを分析基盤に取り込むように設計します。担当者だけで分析基盤に取り込むデータを決めることはできません。システム所管課とデータ保有課と分析基盤利用課（担当課）とで相互チェックします。

不正確な個人情報を取得しないか
 地方公共団体が行政サービスや業務を実施する上で利用している業務データを用います。業務データから氏名等を削除する等して一定の加工を加えますが、その際、誤った加工を加えないよう設計の上テストを行っています。
 業務データの性質ごとに、最新の情報も追加して分析基盤に取り込むことで、正確な統計・分析を行います。例えば住民基本台帳データ・
業務ログデータは、日々異動が生じているため、現在は週1回のサイクルで分析基盤に取り込んでいます。特定健診データは年１回、子育てデータは年２回です。

取得の際に個人情報が漏えい・紛失等しないか 既述の通り、業務データを分析基盤に取り込む際は、インターネットと完全に切り離された環境を用います。電子媒体等を用いると紛失リスク等もありえるため、業務システムから閉域ネットワーク経由で取り込みます。

取得の際に不正が起きないか 業務データを分析基盤に取り込む際は、システム上で実行するため、不正な意図をもって不正データを分析基盤に取り込むことはシステム仕様上できません。また業務データ自体の取得については、姫路市個人情報保護条例８条１項に基づき、事務の目的達成に必要な範囲内でのみ個人情報を収集しています。

22

１３ その他のリスク対策（個人情報の利用・提供に関して）分析基盤では上記のほか、個人情報の利用・提供に際して次の措置を講じています。
個人情報を無関係の者に利用されないか
 分析基盤にアクセスできるのは市職員のみです。かつ、市職員であっても誰でも閲覧できるわけではなく、業務上必要な範囲内で、市の手続に沿ってアクセス権限を認められた範囲にのみアクセスできます。
 アクセス権限の設定は、庁内手続に沿って行います。

本件関係者が個人情報を私的利用・私的複製・悪用等しないか →「７個人情報を不正にのぞき見・外部提供等されないか」参照。
個人情報が不正提供されないか →「７個人情報を不正にのぞき見・外部提供等されないか」参照。
目的外利用・過剰紐づけされないか
 業務上必要な統計のためにしか利用できず、そのために必要な情報しか紐づけできないよう、様々な措置を講じています。事前に作成するレポート様式に従ってしか利用できません。
→「７個人情報を不正にのぞき見・外部提供等されないか」参照。

23

１４ その他のリスク対策（個人情報の安全管理措置に関して）分析基盤では上記のほか、個人情報の安全管理措置に関して次の措置を講じています。
安全管理体制／規程
 全庁的な安全管理体制を整備の上、全庁的にセキュリティポリシー、データ保護管理規程等を整備し職員に周知しています。事故発生手順も作成し職員に周知しています。
 安全管理体制としては、副市長を「最高情報セキュリティ責任者（CISO）」とし、総務局長を「統括情報セキュリティ責任者」、各所属及び出先機関の長を「情報セキュリティ責任者」に定めています。また、情報セキュリティ事故に関する統一的な窓口として「情報セキュリティ事務局」を設置し、統括情報セキュリティ責任者を委員長とした「姫路市情報セ
キュリティ委員会」を定期的に開催することで、本市の情報セキュリティに関する重要事項を審議しています。
物理的対策 総務省実証事業分については、LGWANというセキュアなネットワークを介したLGWAN-ASPを利用しています。LGWANASPは、地方公共団体情報システム機構が定める基本規程等を遵守し、登録審査に合格したものであり、物理的対策等についても、「総合行政ネットワークASP登録及び接続資格審査要領」等の要求を満たしたものになります。参考→https://www.j-lis.go.jp/data/open/cnt/3/164/1/G-1-1-10_AspShinsaYoryo_20150701.pdf
 総務省実証事業分以外については、姫路市独自環境（オンプレミス環境）です。入退室管理、人による監視等を行っ
ています。
技術的対策

 →「８個人情報が漏えいしないか」参照

24

１５ その他のリスク対策（個人情報の管理に関して）分析基盤では上記のほか、個人情報の管理に際して次の措置を講じています。
委託先の不正が起こらないか 分析基盤の管理等を外部事業者に委託します。委託先では必要最小限の者（５～６名程度）にしかデータにアクセスさせないよ
うにします。委託先へのデータ授受は、閉域ネットワークを通して行います。
 外部事業者とは守秘義務、条例遵守等を定めた契約を締結します。委託先には体制図及び個人単位の誓約書を提出させ、本番データは庁外に持ち出せないようにしています。
 再委託は、契約で事前承認が要求されます。またインフラ部分（LGWAN-ASPホスティングサービス）以外の再委託は行いません。
LGWAN-ASPホスティングサービスは、地方公共団体情報システム機構が定める基本規程等を遵守し、登録審査に合格したものです。

個人情報が誤って消去等されないか 定期的にバックアップを取得しています。

不要な個人情報がいつまでも保管されないか、古い個人情報を誤って利用しないか 正確な分析・将来予測を行うためには、蓄積されたデータを元に過去からの推移、経年変化の分析が必要です。
 この点、地方公共団体が行政サービス・業務実施に利用している業務データ自体を蓄積していき、分析に活用しようとすると、氏名等も含まれる個人情報であり、また分析に不要な情報まで保存され続けてしまう恐れがあります。また、業務データは公文書管理等の趣旨から、保存年限が市の規則上決まっており、その点からも蓄積が困難です。
 それに対し、分析基盤では、分析に必要な情報のみを保存し、かつ氏名等も削除した情報であり、保存年限も市の文書規則とは異なることから、蓄積データの推移・経年変化・将来予測を行うことに適していると考えられます。

25

１６ その他のリスク対策（全般に関して）分析基盤では上記のほか、次の措置を講じています。
点検・監査等 システム監査を年１回実施します。
従業者教育
 市では、従業者への教育・啓発を行います。委託先であるATLはISMSを取得しており、規定に基づいた情報セ
キュリティ社員教育を定期的に実施しています。
開示・訂正・利用停止請求
 市にて個人情報保護条例に従って、開示・訂正・利用停止請求への対応を行います。請求者本人であることを確認できる書類（運転免許証など）を持参のうえ、市政情報センターにお越しください。
http://www.city.himeji.lg.jp/s30/2212077/_9328/_9344.html
問合せ対応
 市では、住民の方等からのお問合せに真摯に対応いたします。
 個人情報については姫路市市政情報センターに、システムについては姫路市総務局情報政策室にお問合せください。

26

１７ 個人情報保護条例への適合性
 姫路市個人情報保護条例では、利用規制として９条がありますが、分析基盤はこれに適合しています。条例解釈としては①統計、②目的外利用の２構成が考えられます。本実証ではより丁寧な手続として、まずは②目的外利用を採用しましたが、今後分析基盤が本格展開する際は、①統計で構成することも検討しています。
 ①統計について•最終的な利用形態が特定の個人を識別しない形の場合、統計的にデータを把握しようとする場合は、目的内利用／目的外利用の区別の対象外と考えることも可能であると考えられます。

• 個人情報保護法制の要を成す、（ア）行政機関や地方公共団体にとっても基本法たる個人情報保護法、（イ）地方公共団体の個人情報保護条例が一般に参考にしている行政機関個人情報保護法、（ウ）統計法の解釈を踏まえ、個人情報保護条例においても上記解釈が可能であると考えられます。
• まず個人情報保護法を見てみると、統計目的での個人情報の「内部利用（作成）」は、その他の個人情報の利用とは異なり、個人情報保護法１６条の規制対象「外」
であり、目的外利用とはなりません。なお、統計情報よりも個人情報に近い、匿名加工情報の「内部利用（作成）」であっても、個人情報保護法１６条の規制対象「外」
であり、目的外利用とはなりません。
• 次に行政機関個人情報保護法では、統計の公益性の高さ等から、個人情報保護法では一括しては認められていない、統計目的での個人情報の「外部提供」を認めています。個人情報保護法と行政機関個人情報保護法では、利用規制や提供規制等の規定が異なるため、一概にはいえないものの、統計の公益性の高さ等を踏まえると、行政機関個人情報保護法において明文の規定がない統計目的での内部での保有個人情報の「内部利用」についても、個人情報保護法と同様に、目的外利用の対象外という解釈も取りえなくないものと考えられます。
• 統計法では、一定の統計にかかる個人情報が、行政機関個人情報保護法の適用除外であることが明文化されています（統計法５２条１項）。これは、最終的な利用
形態、管理規制、統計の元となる個人情報の目的外利用規制、守秘義務・罰則等があることによる。分析基盤でも最終的な利用形態は個人識別性のない形であり、また統計情報の元情報である個人情報自体には、個人情報保護条例上、管理規制、目的外利用規制、守秘義務・罰則等が課せられ、統計法と同様に考えられます。

 ②目的外利用について•

また、条例上認められる目的外利用という解釈も考えられます。

•

分析基盤では、児童名簿等の業務データを利用しますが、この個人情報の利用目的と分析基盤における目的は異なるものと考えられます。しかし姫路市個人情報保護条例では目的外利用を一定の範囲で認めており、分析基盤における目的外利用は、姫路市個人情報保護条例９条１項４号「実施機関がその所掌する事務の遂行に必要な限度で目的外利用をする場合であって、当該個人情報を利用することについて相当な理由のあるとき」に該当すると考えられます。

27

１８ まとめ 本評価において、以下の項目について検討し、プライバシー等への影響を確認しました。

・ スキーム（１・２・４参照）
・ 個人情報利活用の効果（３参照）
・ 個人情報の取扱い（４・５参照）
・ 不利益処分等の対策（６参照）
・ 不正利用・不正提供リスク対策（７・１３参照）
・ 個人情報の漏えいリスク対策（８・１４参照）

・ 統計情報におけるリスク対策（９参照）
・ 現状との差異・費用対効果（１０参照）
・ 同意（１１参照）

・ 個人情報の取得リスク対策（１２参照）
・ 個人情報の利用リスク対策（１３参照）
・ 個人情報の提供リスク対策（１３参照）
・ 個人情報の安全管理リスク対策（１４参照）
・ 個人情報の管理リスク対策（１５参照）
・ 個人情報のその他のリスク対策（１６参照）
・ 個人情報保護条例への適合性（１７参照）

 評価実施手続• 本評価は世界各国のPrivacy Impact Assessment （PIA)等を参考にして、弁護士水町雅子が評価項目を決定しています。
• 姫路市及び姫路市受託事業者ATLから資料提供やヒアリングを受けながら弁護士水町雅子が実施した上で、総務省が設置した有識者会議及びAPPLIC（一般財団法人全国地域情報化推進協会）のご意見を伺っております。
• なお、本評価における「個人情報」の定義は、姫路市個人情報保護条例に従っています。

28

１９ 第三者コメント（総務省有識者会議）
本件は、総務省が平成２９年度に実施した「地域におけるビッグデータ利活用の推進に関する実証」事業としても採用されていることから、同事業として総務省が設置した有識者会議のご意見を頂戴しました。


頂戴した主なご意見・コメントは次の通りです。

• 自治体の具体的な政策を知らしめ、住民の目で評価するという個人情報リスク評価PIA++の仕組みは大変有意義であり、他の地方公共団体にとっても参考になるのではないか。
• どのようなリスクやプライバシーインパクトがあるのかを炙り出し、当該リスク・インパクトと比較する総合判断を行う仕組みである。法律を積極的に解釈してデータを利用する際に個人情報リスク評価PIA++を実施すると有意義だろう。目的外
利用の際の相当の理由などの判断も、個人情報リスク評価PIA++を通してできるのではないか。
• 住民のみならず、議会、個人情報保護審議会、自治体内部の他部署・上席などに説明するための資料としても有意義である。個人情報リスク評価PIA++を実施することがデータ利活用としてより良い取組であり、ぜひ他の地方公共団体にも展開してほしい。特に踏み込んだデータ利活用をする際に個人情報リスク評価PIA++を実施すると良いだろう。
• 行政透明化、行政ミスの防止、住民福祉の向上になるなど、個人情報リスク評価PIA++の効果は大きい。

• 行政に広範な裁量がある部分を積極的に住民に公開していくことで、行政裁量が狭まり、より良い行政・透明で開かれた行政の実現につながると考える。

29

１９ 第三者コメント（総務省有識者会議）
本件は、総務省が平成２９年度に実施した「地域におけるビッグデータ利活用の推進に関する実証」事業としても採用されていることから、同事業として総務省が設置した有識者会議のご意見を頂戴しました。


頂戴した主なご意見・コメントは次の通りです。

• 個人情報リスク評価PIA++は第三者がお墨付きを与えるものではなく、リスクがゼロになるものでもない。リスクの度合いと効果の重要性、リスクに対して適切な対策が講じられているか等を測っているものである点を十分に強調した方が良い。個人情報リスク評価PIA++は、「リスクが少しでも残っていたらやめましょう」ではなく「リスクがあっても効果が高い、対策が適切に講じられている」などの点を評価するものであり、リスクがゼロではないとことを説明していくべきである。
• 「全庁的な安全管理体制」とあるが、もっと具体的に記述すべきである（→水町注：ご意見を踏まえ、評価書を修正しました）• セキュリティ面の記述に際しては、公開することが逆にセキュリティリスクにならないかを確認する必要がある（→水町注：ご意見を踏まえ、確認しました）30

２０ 第三者コメント（APPLIC）
本評価では、より良いプライバシー保護・データ活用の両立のため、地域情報化に精通されているAPPLIC（一般財団法人全国地域情報化推進協会）のご意見を頂戴しました。


APPLIC（一般財団法人全国地域情報化推進協会）の意見は次の通りです。
• EBPMは国・地方公共団体において重要な課題である。また、少子高齢社会及び待機児童等の問題から、子育て政策も国・地方公共団体において喫緊の課題となっている。このように本実証では多くの地域が共通的に抱える課
題・分野において、課題解決のための一つの手法が示されたと評価している。
•

特に、取り扱うデータが個人情報であることから、個人情報の保護は絶対的に必要である。地方公共団体が保有するデータを部局・分野横断的に活用する事例であるが、個人情報保護とデータ利活用を両立していると考える。
他の地方公共団体への横展開も期待される。

• 今回の分析基盤では利用者（職員）は直接住民のデータにアクセスすることはできず、アプリケーションとして出力されるのは統計情報だけである。その点でプライバシーインパクトは非常に低い。しかしながら、統計情報を作成するためにシステムとしては住民の個人情報を解析しており、個人情報を取り扱っているということからPIA（プライバシー影響評価、個人情報リスク評価+）を実施している。このように積極的にPIAを実施し、住民に対する影響を十分把握しながらシステム開発を進める姿勢は高く評価できる。特に今回のように法定事務ではない分野での個人情報利用に際しては住民理解を十分に得る観点からもPIAの実施が強く推奨されるべきと考える。

31

２０ 第三者コメント（APPLIC）• 利用される個人情報については基幹システム由来のデータであるが、取得段階で抽象化と称する処理を施しており、不要なプライバシーインパクトを与えない、統計化のために必要な情報とする、いわゆるData Minimizationの配慮がなされている点も評価できる。データの多角的利用による住民サービス向上やEBPMに基づく合理的な行政サービスが求められる中、データの利活用シーンは多彩となる。そこではサービス実施に必要最低限なデータのみ利用するというData Minimizationのポリシーを遵守することが極めて重要となる。

• セキュリティ対策については職員がアクセスできる情報が統計情報であるにも関わらず、利用者認証、端末認証、作業ログの取得など十分な安全対策が取られていると評価できる。
• しかし、制度的に明確な保有期間のある業務データに比べ、分析用に蓄積されるデータについては保管期間についての明確な基準はなく、合理的な判断理由もない。分析の観点からは永続的に保管されることが望ましく、一方で長期的な保管はプライバシーインパクトの増大につながる。分析基盤の継続的な利用に際しては、今後の課題として、長期的なデータ保持に関する評価が望まれる。
• 今回の分析基盤はインターネット系から遮断された環境を前提としている。職員利用を想定したシステムとして妥当なアーキテクチャであり、それによって安全性を高め、プライバシーインパクトを低減させている。しかし、今後の発展性としては、例えばオープンガバメント、集合知の観点で民間との協働の場をネットワーク上に構築するなどを考えると、統計結果をインターネット系からも参照できるようにするといった取り組みも考えられる。今後の発展テーマであるが、インターネット系から完全分離ではない環境の場合の評価の方向性検討もいずれ必要となるのではないか。

32

２１ 水町雅子のコメント
最後に、弁護士水町雅子の意見を次のとおり、述べます。
 弁護士水町雅子の意見は次の通りです。
•

個人情報の保護、プライバシー権の保護は当然ながら大変重要であり、公権力として住民等の情報を取り扱っている以上、極めて高い意識・努力が市には要請される。もっとも、個人情報はただ厳重にサーバや書庫にしまっておけばよいというものではなく、地方公共団体として求められる質の高い行政サービス・業務実施・住民
サービス向上のために、必要な利活用を、保護と同時に行っていく必要がある。官民データ活用推進基本法も平成２８年に成立しており、保護と利活用の両立は、今後とも各地方公共団体において共通する重要課題となると考える。

•

本件は、地方情報化として先進的な取り組みを行っている姫路市の事例であり 住民等に求められる行政サー
ビス、説明責任の向上という目的を達成するために、大変良い取り組みであると考える。同時に、これまで姫路市で培ってきた個人情報保護、システム上の保護の措置・経験を十分に取り入れ、保護と利活用の両立を実現していると考える。

•

時代に即した行政サービスを行い、国民意識・技術トレンド等を十分踏まえた個人情報保護を行うために、今後も継続的に本件のチェック・監査・より良い改善を図っていってほしいと考える。

33

２２ 参考 本評価書は、総務省「地方公共団体におけるデータ利活用ガイドブックVer. 1.0」別添資料２（１５０ページ～１６５ページ）と同一のものです。参照容易性を考え、PIA評価書のみ、本PDFに切り出したものです。
総務省「地方公共団体におけるデータ利活用ガイドブックVer. 1.0」
http://www.soumu.go.jp/main_content/000551807.pdf


本評価書と特定個人情報保護評価書との対照関係は、以下をご覧ください。
http://www.miyauchi-law.com/f/180628PIAtaishou.pdf



本評価書は自治体における個人情報取扱いに対するPIAですが、PIAは民間企業においても実施が推奨されるものです。民間企業における個人情報取扱いに対するPIAについては、
以下の実例があります。
http://www.miyauchi-law.com/f/180327PIA.pdfのうちの９～３２ページ

34

PIAに関するお問い合わせ、ご相談がありましたら、お気軽にどうぞ

http://www.miyauchi-law.com
宮内・水町IT法律事務所
弁護士 水町 雅子
電話 → 03-5761-4600
メール→ osg@miyauchi-law.com

35