（別紙）「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン」の改正案に対する意見募集結果の概要
1

提出意見「個人情報を伴わない試料」について具体的に解説してほしい。

提出意見に対する考え方「個人情報を伴わない試料」とは、ラベル等（容器への直接印字、ＩＣチップ等を付す場合を含みます。）に付された氏名等の情報により、特定の個人を識別することができる状態（保有する対応表等の他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる状態を含む。）で管理されていない試料を指します。
なお、委託元において特定の個人を識別することができる状態で管理されている場合であっても、委託先において上記のとおり特定の個人を識別することができる状態で管理されていない試料であれば、「個人情報を伴わない試料」に該当します。また、当該試料から抽出した情報から特定の個人を識別することができる場合であっても、ラベル等に付された情報からは個人を識別できない場合には「個人情報を伴わない試料」に該当します。

2「個人情報である「仮名加工情報」については」と記載されているのは誤植であると思われる。「個人情報でない 誤植ではありません。
「仮名加工情報」については」が正しいと思われる。
個人情報である仮名加工情報については、個人情報保護法上、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められます。なお、個人情報保護法上、個人情報でない仮名加工情報については、利用目的の特定を行う必要はございません。詳細については、個人情報保護法ガイドラインをご参照ください。

3

イノベーションの妨げにならないように個人情報の「保護」と「利活用」のバランスがうまくとれている改訂である ご意見ありがとうございます。と感じました。

4「利用目的による制限」の部分は、以下の点について、このガイドラインの適用を受ける多くの事業者にとって １点目については、個人遺伝情報を取り扱う際には、個人情報保護法上の同意ではなく、本ガイドライン理解が難しいと思われる。に定めるインフォームド・コンセントを取得しなければならないという趣旨で規定しております。
■「利用目的の達成に必要な範囲を超えた個人遺伝情報の取り扱いは本人の同意を得たか否かにかかわら ２点目については、本人への通知だけではなく、本人が容易に知りうる状態に置くことも可能です。
ず、原則として行わない」としながら、「インフォームド・コンセントを得た場合には、利用目的の達成に必要な範囲を超えた取り扱いが認められる」としていること。
■「本人の同意を得ることが困難である場合には条件つきで利用目的の達成に必要な範囲を超えた取り扱いが認められる」としながら、その条件は「個人遺伝情報又は試料の利用目的及び利用方法をあらかじめ本人に通知し」「本人の求めに応じて利用目的の達成に必要な範囲を超えた取り扱いを停止すること」としていること。

5（３）個人遺伝情報の取得関係（法第20条・第21条関連）のうちの２か所
・「個人遺伝情報取扱事業者が、委託に基づき、他の個人遺伝情報取扱事業者から個人遺伝情報の提供を受ける場合」
・【インフォームド・コンセントに盛り込む内容】の「外国にある委託先に提供する場合は、当該委託先の名称を省略することはできない。」[意見]・「個人遺伝情報取扱事業者が、個人遺伝情報の取扱いの委託を受ける場合」に修正するべきと考える。
・【インフォームド・コンセントに盛り込む内容】も「外国にある者に委託する場合は、当該委託先の氏名又は名称を省略することはできない。」とするべきと考える。
[理由]
まず、「個人データの取扱の委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定されるとされている。（個人情報保護法 通則編ガイドライン 4-2-8 委託先の監督（法第22条の趣旨に沿った措置））
そのため、「委託」には、個人情報を「提供」して何らかの行為を委託先に行わせる行為のみならず、委託先をして個人情報を「取得」せしめる行為も含む（取得の委託）。
そして、外国にある者に試料又は診療情報の取得を行わせしめることがある場合も必ずしも否定できないところ、かかる場合においては、委託先への「提供」という行為は行われていない。行われうるのは、委託先による取得行為及び（場合によっては）試料又は診療情報の分析結果を委託先が委託元に提供する行為である。
かかる形態で、個人遺伝情報取扱事業者が委託を受ける場合も否定できないため、「個人遺伝情報取扱事業者が、個人遺伝情報の取扱いの委託を受ける場合」とすべきと考える。
そして、このように取得の委託を受ける場合における「インフォームド・コンセント」において、委託元は、委託先の氏名又は名称を本人をして知らしめるべきものと考える。そのため、【インフォームド・コンセントに盛り込む内容】も「外国にある者に委託する場合は、当該委託先の氏名又は名称を省略することはできない。」とすべきと考える。

ご指摘を踏まえ、下記のとおり修正することといたします。
・「個人遺伝情報取扱事業者が、他の個人遺伝情報取扱事業者から個人遺伝情報の取扱いの委託を受けて、これを取り扱う場合」
・「個人遺伝情報の取扱いを他の事業者に委託する場合、又は、他の事業者と個人遺伝情報を共同利用する場合は、委託先又は共同利用先の名称及び個人遺伝情報の氏名等削除措置、安全管理措置の具体的方法（委託先に法及び本ガイドラインを遵守させるために委託元が講じている措置が明確に記載されている場合は、委託先の名称を省略することができる。ただし、委託先が外国にある事業者である場合は、当該委託先の名称を省略することはできない。）」

6

２．個人遺伝情報取扱事業者等の義務等「提供の相手方」について、法人の名称又は個人の氏名を個別に明示することができない場合には、想（6）第三者への提供定される提供先の範囲や属性を示すことで本ガイドライン上も問題ございません。
「提供の相手方や提供される個人遺伝情報又は試料の取扱い方法等についてインフォームド・コンセントを得た場合」[意見]
インフォームド・コンセントを得るために伝えるべき「提供の相手方」については、個別具体的な法人の名称又は個人の氏名を伝える必要はなく、「想定される提供先の範囲や属性」（例：「個人遺伝情報取扱い技術を有する事業者」）を伝えるので本ガイドラインを満たすとの理解でよいか。
[理由]・ まず、個人情報保護法の解釈上、第２７条（現行法第２３条）において同意を取得する場合、提供先である第三者を個別に明示することまでは求められていない。
（「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆ＡのQ5-9）
そこで、本経産省ガイドラインが個人情報保護法を援用していることからすれば、法体系での解釈の統一性を図る観点からも、第三者を個別に明示とすることは不要と考えるべきである。
・ また、実務上も、第三者が増える都度、いちいち、インフォームドコンセントを取り直すのは、煩雑であるし、個人遺伝情報の活用による経済の活性化及びその結果としての個人への便益の還元にも支障が生じかねない。
・ 以上のように解したとしても、「想定される提供先の範囲や属性」をインフォームドコンセント取得時に本人に伝えれば、第三者の範囲の予見可能性は十分であり、本人にとって予想外の提供先に情報が提供される懸念も小さい。

7

個人遺伝情報を用いた事業そのものに、反対ですが、本案件の中で目的制限や第三者への提供について例外措置が設けられています。
例外措置は、なし崩しに使われたりするリスクがあるので、例外を設けることには反対です。

本ガイドラインは法に基づかない命令等（行政指導指針）であり、個人情報保護法の規定が上位規制となります。そのため、例外措置については個人情報保護法を踏襲しております。

8

利用目的の達成に必要な範囲を超えた個人遺伝情報または試料の取り扱いは、あらかじめ本人の同意を得た ご意見ありがとうございます。
か否かにかかわらず、原則として行ってはいけないということが明記されているのであれば、問題はあまり起こらないと思うので、この変更案を評価します。

9「本人を認証」とあるのは「本人を識別」と記すべきである。
個人情報保護法ガイドラインをご参照ください。
（該当箇所：II.1.1-1.(1)）
本ガイドラインは法に基づかない命令等（行政指導指針）であり、個人情報保護法の規定が上位規制と理由なります。
「ゲノムデータ」を定義する括弧書中で、「……等の遺伝型情報により本人を認証することができるようにしたものをいう。」とあるが、「本人を認証」ではなく「本人を識別」と記述するべきである。
「認証」（authentication）と「識別」（identification）は異なる概念であり、本件のこの記載は、authenticationの意味ではない。

10 「遺伝情報」の定義は「個人に関する情報」に該当するものに限定する必要があるのではないか。
ご意見を踏まえ、下記のとおり修正いたします。
（該当箇所：II.1.1-1.(4)）
「試料を用いて実施される事業の過程を通じて得られ、又は既に当該試料に付随している個人に関する理由情報で、個人の遺伝的特徴やそれに基づく体質を示す情報であって、個人情報に該当しないものをい「遺伝情報」の定義が、「……情報で、ヒトの遺伝的特徴やそれに基づく体質を示す情報であって、個人情報に う。」
該当しないものをいう。」となっているが、このままの記載では、統計量に集計した値も該当することになるとこ
ろ、それは意図されてのことか。統計量に集計した値を含めないつもりであるなら、「個人に関する情報」に限定する必要がある。
原案の「ヒトの遺伝的特徴やそれに基づく体質を示す情報」との記述では、人類一般の遺伝的特徴や体質のことを述べているように解されてしまい、統計量に集計した値も該当する。「個人情報に該当しないもの」に限定しても統計量に集計した値は排除されない。「……得られ、又は……付随している個人に関する情報であって、」などと記載するべきものではないのか。
11 「個人遺伝情報」の定義が「遺伝情報」よりも広い部分があるが、これでは事業者にとって不都合があるのでは ご意見を踏まえ、下記のとおり修正いたします。
ないか。
「（１）に定める「個人情報」のうち、試料を用いて実施される事業の過程を通じて得られ、又は既に当該（該当箇所：II.1.1-1.(5)）
試料に付随している情報で、個人の遺伝的特徴やそれに基づく体質を示す情報を含むものをいう。」
理由「遺伝情報」の定義が、「試料を用いて実施される個人遺伝情報を用いた事業の過程を通じて得られ、又は既に当該試料等に付随している情報で、……個人情報に該当しないもの」とあるのに対し、「個人遺伝情報」の定義には、「試料を用いて実施される……を用いた事業の過程を通じて得られ、又は……」との要件がなく、単に「個人情報のうち、個人の遺伝的特徴やそれに基づく体質を示す情報を含むものをいう。」と規定されていることから、このままでは、事業に関係のない個人の遺伝的特徴（これには人種や性別さえ該当する）やそれに基づく体質を示す情報の全てが該当してしまうが、これは事業者にとって不都合があるのではないか。
「個人遺伝情報」の定義にも「試料を用いて実施される……を用いた事業の過程を通じて得られ、又は……」に相当する要件を加えるべきではないか。
12 「漏えいのリスクを低減するために」は「漏えいした際の被害を低減するために」と記述するべきである。
（該当箇所：II.1.1-1.(8)）
理由「氏名等削除措置」の定義において、「個人遺伝情報の漏えいのリスクを低減するために」とあるが、氏名等を削除しても、漏えい事故が発生するリスク自体を低減させることはできない。これは「個人遺伝情報が漏えいした際の被害を軽減するために」などと記述するべきものではないか。

氏名等削除措置については安全管理義務の一環として行われるものであり、Ⅱ2(4)②安全管理措置（法第23条関連）において「氏名等削除措置管理者は、個人遺伝情報の氏名等削除措置のほか、インフォームド・コンセントの文書又は電磁的記録、氏名等削除措置作業に当たって作成した対応表等の管理及び廃棄を適切に行い、個人遺伝情報が漏えいしないように厳重に管理することとする。」と規定することとしております。そのため、安全管理措置の一環として行われる氏名等削除措置についても、適切に情報を管理することを含むものであり、個人遺伝情報の漏えいのリスクが低減するものと考えております。

13 「氏名等削除措置」の規定は、法技術的な誤りがあり、このままではDNA塩基配列も削除しなければならない規 ご意見を踏まえ、下記のとおり修正いたします。
定になってしまっているので、修文が必要である。
「個人遺伝情報の漏えいのリスクを低減するために、他の情報と照合しない限り特定の個人を識別する（該当箇所：II.1.1-1.(8)）
ことができないよう、次の各号に掲げる個人遺伝情報の区分に応じて当該各号に定める措置を講ずるこ
理由とをいう。ただし、政令第１条第１号イに定める「細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構「氏名等削除措置」の定義がこのように規定されているのは、仮名加工情報とは異なり、DNA塩基配列を削除し 成する塩基の配列」については、これを削除することを要しない。
なくても済まされる措置とする趣旨と理解したが、残念ながらこの規定ぶりではそのようにはなっていない。その ①法第２条第１項第１号に該当する個人遺伝情報 当該個人遺伝情報に含まれる氏名その他の記述等理由は以下の通りである。の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない
まず、「法2条第1項第1号」に該当する個人情報には、DNA塩基配列が含まれる場合がある。なぜなら、同号の 方法により他の記述等に置き換えることを含む。）。
条文中に「（個人識別符号を除く。）」との記述があるが、これは同号に該当する情報から除いているのではな ②法第２条第１項第２号に該当する個人遺伝情報 当該個人遺伝情報に含まれる個人識別符号の全く、同号に該当することとなる要件を決定する要素であるところの「……その他の記述等」から除いているだけ 部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等（括弧の係り具合に注意）であるからである。に置き換えることを含む。）。」
したがって、例えば、氏名とDNA塩基配列から構成される個人情報の場合、個人識別符号を含む個人情報であることから、本件(8)が規定する措置②が適用され、DNA塩基配列以外の個人識別符号を削除することになるが、加えて同措置①も適用されて、氏名とDNA塩基配列も削除しなければならないことになる。なぜなら、措置①と措置②は排他的に適用されるものではなく、法2条1項各号の条件に該当すればそれぞれが適用されるものであり、DNA塩基配列は「……その他の記述等により特定の個人を識別することができる」こととなる「その他の記述等」に含まれるからである。
本件の規定は、法の仮名加工情報の定義ぶりを真似たものであろうが、仮名加工情報の場合には、氏名と個人識別符号からなる個人情報の場合に、1号措置と2号措置の両方が適用されて、両方の措置においてそれぞれ個人識別符号が削除されることになっても結果的に不都合がなかったのに対し、本件の規定ぶりの場合には、②の措置ではDNA塩基配列を削除しなくてよいことになっているものの、①の措置でDNA塩基配列を削除しなければならないことになってしまうわけである。
よって、意図したように規定するには、措置①の条文を「氏名その他の記述等の全部又は一部（政令第1条第1号イに定める「細胞から……構成する塩基の配列」を除く。）を削除すること」などに修文する必要がある。
14 目的外利用や第三者提供の制限の例外2号、3号、4号にオプトアウト方式を適用することはできない。
ご意見を踏まえ、下記のとおり修正いたします。
（該当箇所：II.2.(1)③、II.2.(6)①）
「この場合にあっては、以下のⅰ～ⅵに掲げる事項を、可能な限り、あらかじめ、本人に通知し、又は本理由人が容易に知り得る状態に置くとともに、本人の求めに応じて利用目的の達成に必要な範囲を超えた「利用目的の制限」（II.2.(1)）の③において、「法第18条第3項第2号、第3号、第4号」に該当する場合に、オプトア 取扱いを停止することとする。」
ウト方式をとっていれば、「利用目的の達成に必要な範囲を超えた取扱いが認められる」とあるが、これら2号、3号、4号は、通常、最初から予定されているものではなく、突発的に対応が求められる場合の例外規定であるから、オプトアウト方式をとることは不可能である。
例えば、4号の「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合」の例として、個人情報保護委員会のガイドライン通則編には「事業者が警察の任意の求めに応じて個人情報を提出する場合」が挙げられているが、このような場合を想定して「あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置く」などということができるはずもないし、「本人の求めに応じて……取扱いを停止する」などということができるはずもない。
また、2号、3号は「本人の同意を得ることが困難であるとき」を条件としているが、「あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置く」ことができる状況であるならば、「本人の同意を得ることが困難」とは言えない。
「第三者への提供」（II.2.(6)）の①において、「法第27条第1項第2号、第3号、第4号」とあるのも同様である。
その他、意見募集と関係のない意見が１件ありました。