資料１

地方公共団体の個人情報保護制度に関する法制化について（素案）

令和2年10月
総務省 自治行政局

地方公共団体の個人情報保護制度に関する法制化について（素案）1

趣旨○ 社会全体のデジタル化に対応した「個人情報保護」と「データ流通」の両立が要請される中、・団体ごとの個人情報保護条例の規定・運用の相違がデータ流通の支障となりうる・求められる保護水準を満たさない団体がある 等の指摘。（いわゆる「2000個問題」）○ 独立した機関による監督等を求めるEUにおけるGDPR（一般データ保護規則）十分性認定など国際的な制度調和の要請。
○ こうした課題に対応するため、地方公共団体の個人情報保護制度について、全国的な共通ルールを法律で規定するとともに、国がガイドライン等を示すことにより、地方公共団体の的確な運用を確保。

素案① 適用対象⑥ 非識別加工情報の提供制度の導入
・地方公共団体の機関及び地方独立行政法人を対象とし、国と同じ ・非識別加工情報の提供制度（定期的な提案募集）について、国と同じ規律を適用
規律を適用※ただし、経過措置として、当分の間、都道府県及び指定都市について適用することと・病院、診療所及び大学については、民間部門と同じ規律を適用※⑤、⑥に係る部分は除く② 定義の一元化
・個人情報の定義について、国・民間部門と同じ規律を適用
例：容易照合可能性、個人識別符号、要配慮個人情報 等③ 個人情報の取扱い
・個人情報の取扱いについて、国と同じ規律を適用

例：保有の制限、安全確保措置、利用及び提供の制限 等④ 個人情報ファイル簿の作成・公表
・個人情報ファイル簿の作成・公表について、国と同じ規律を適用※個人情報ファイル簿の作成等を行う個人情報ファイルの範囲は国と同様（1,000人以上等）とする※引き続き、個人情報取扱事務登録簿を作成することも可能⑤ 開示、訂正及び利用停止の請求
・自己情報の開示、訂正、利用停止の請求権、要件、手続きは、法律で、又は国の規定に準じて条例で規定し、他の地方公共団体は任意で提案募集を実施することを可能とする⑦ 個人情報保護委員会と地方公共団体の関係
・個人情報保護委員会は、地方公共団体における個人情報の取扱い等に関し、国の行政機関に対するものに準じた監督を行う
・地方公共団体は、個人情報の取扱い等に関し、個人情報保護委員会に対し、助言その他の必要な支援を求めることが可能
例：個人情報の提供を行う場合、非識別加工情報の作成を行う場合 等⑧ 施行期日等・施行期日は、地方公共団体において必要な準備に十分配慮して設定
・国は、制度の適正かつ円滑な実施を確保するため、地方公共団体の準備等について必要な助言(ガイドライン等)を行う※地方公共団体が条例で定める独自の保護措置について
・特に必要な場合に限り、条例で、独自の保護措置を規定
・条例を定めたときは、その旨及びその内容を個人情報保護委員会に届出

2

①適用対象
①適用対象
＜国の現行制度・検討の方向性＞
・行個法では、国会・裁判所等を除く行政機関が行個法の適用対象とされている（行個法2条1項）
・国の制度検討では、国立病院及び国立大学等について、民間部門の規律を適用することとされている。（開示等及び非識別加工情報に係る部分を除く）＜地方公共団体の現状＞
・対象となる機関に差が見られる（例：議会を対象としていない：40団体、指定管理者を対象としていない：1,377団体）

論点（１）地方公共団体ごとに対象となる機関に差が見られる。
（２）医療分野・学術分野については、官民で実質的に同等の立場で個人情報を取り扱っている場合でも、異なる規律が適用され、規制の不均衡が生じているとの指摘がある。

方向性（１）地方公共団体の機関及び地方独立行政法人に対し、国と同じ規律を適用することとしてはどうか。
※議会及び指定管理者に適用する規律については、引き続き検討する。

（２）病院、診療所及び大学について、国立病院及び国立大学等と同様に、民間部門と同じ規律を適用することとしてはどうか。（開示等及び非識別加工情報に係る部分は除く）

3②定義の一元化②定義の一元化（「個人情報」の定義について）＜国の現行制度・検討の方向性＞
・照合可能性について、個情法は「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」と、行個法は「他の情報と照合することができ、それにより特定の個人を識別することができることとなるもの」と規定されている。
・国の制度検討では、照合可能性について、個情法と同一の定義とすることとされている。
・死者に関する情報は行個法の保護の対象外であるが、「利用目的を超えた取扱いや、漏洩等の不適切な取扱いを避けることは当然であり、適切な管理が必要」とされている。（「解説 行政機関等個人情報保護法」総務省行政管理局）＜地方公共団体の現状＞
・行個法と同様(照合可能性)に規定している団体：1,588団体 個情法と同様(容易照合可能性)に規定している団体 ：200団体
・個人識別符号が含まれるものを「個人情報」として規定していない団体：791団体
・死者に関する情報を「個人情報」として規定している団体：1,029団体

論点

方向性

（１）国、地方、民間それぞれの規律における「個人情報」の定義が異なることで、データ流通に支障が生じているとの指摘がある。

（１）「個人情報」の定義について、国・民間部門と同じ規律を適用してはどうか。

（２）個人識別符号が含まれるものを「個人情報」として規定していない地
方公共団体では、個人情報の保護水準が国等と比べて低くなっていることが考えられる。

（２）死者に関する情報については、「個人情報」に含まれないとした上で、死者に関する情報についての保護措置を、別途条例で規定することは許容できるのではないか。

（３）「個人情報」の定義を国・民間部門と同じ規律とした場合、死者に関する情報を「個人情報」として取り扱っている地方公共団体において、引き続き保護することが可能となるようにすべきではないかとの指摘がある。

4②定義の一元化（つづき）②定義の一元化（「要配慮個人情報」の定義について）＜国の現行制度＞
・個情法及び行個法のいずれにも、その取扱いに特に配慮を要する個人情報として「要配慮個人情報」の規定が置かれている。

（現行制度において法律では規定していない独自の保護措置を求めている例）
・「金融分野における個人情報保護に関するガイドライン」（平成29年：個人情報保護委員会、金融庁）において、個情法では「要配慮個人情報」とされていない「労働組合への加盟、門地、本籍地」等について、「要配慮個人情報」と同様に取り扱うこととされている。
・「個人情報の保護に関する法律に係るＥＵ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール 」（平成31年：個人情報保護委員会）において、個情法では「要配慮個人情報」とされていない「性生活、性的指向又は労働組合」について、「要配慮個人情報」と同様に取り扱うこととされている。
＜地方公共団体の現状＞
・独自の情報を「要配慮個人情報」として規定するなど、行個法が規定する「要配慮個人情報」とは異なる範囲を条例で規定する例がある。

論点

方向性

（１）行個法が「要配慮個人情報」として規定する情報を条例で規定していない地方公共団体では、個人情報の保護水準が国等と比べて低くなっていることが考えられる。

（１）「要配慮個人情報」の定義について、国・民間部門と同じ規律を適用してはどうか。

（２）「要配慮個人情報」の定義を国・民間部門と同じ規律とした場合、独自の個人情報を「要配慮個人情報」として取り扱っている地方公共団体において、当該個人情報を引き続き保護することが可能となるようにすべきではないかとの指摘がある。

（２）その上で、条例で、特定の個人情報を「要配慮個人情報」として、規定することは許容できるのではないか。

5③個人情報の取扱い③個人情報の取扱い＜国の現行制度＞
・法令の定める所掌事務の遂行に必要な場合に個人情報の取得が可能とされている。
・その取扱いに特に配慮を要する個人情報として「要配慮個人情報」の規定が置かれ、個人情報ファイル簿に保有状況を記載等を行うこととなっている。
・個人情報の目的外利用・提供について、原則禁止とし、法律に規定する一定の場合に可能としている。
＜地方公共団体の現状＞
・要配慮個人情報の取得を原則禁止し、一定の要件を満たした場合に可能とすることを条例で規定する例がある。（行個法には同様の規定はない）
・オンライン結合を原則禁止し、一定の要件を満たした場合に可能とすることを条例で規定する例がある。（行個法には同様の規定はない）
・個人情報の目的外利用・提供の要件について、例示的に規定している具体的な事由の具体性の程度に違いが見られる。

論点

方向性

（１）要配慮個人情報の取得制限規定については、存置することが可能となるようにすべきではないかとの指摘がある。

（１）個人情報の保有制限について、国と同じ規律（行個法３条１項・２項）を導入することで、条例で定める要配慮個人情報の保有制限の目的は達成されるのではないか。

（２）オンライン結合制限規定については、存置することが可能となるようにすべきではないかとの指摘がある。
（３）個人情報の目的外利用・提供制限について、行個法より具体的に要件を規定する例がみられるが、行個法と同等の規律を地方公共団体に適用した場合、地方公共団体における適切な事務の遂行が確保されなくなるおそれがあるとの指摘がある。

（２）安全確保措置や目的外利用・提供の制限について、国と同じ規律（行個法6条、8条）を導入し、国が定めるガイドライン等に基づき運用を行うことで、条例で定めるオンライン結合制限の目的は達成されるのではないか。
（３）目的外利用・提供制限について、国と同じ規律（行個法8条）を導入し、国が定めるガイドライン等に基づき運用を行うことで、適切な事務の遂行が確保されるのではないか。

6④個人情報ファイル簿の作成・公表④個人情報ファイル簿の作成・公表＜国の現行制度＞
・国の行政機関等は、①利用目的による個人情報の管理を徹底し、開示請求等の本人関与に資する、②民間事業者が非識別加工情報の円滑な提案に資するため、一定の要件（本人の数が1,000人以上等）を満たす個人情報ファイルについて、「個人情報ファイル簿」の作成・公表が義務付けられている。（行個法11条）＜地方公共団体の現状＞【作成】 ・個人情報ファイル簿：534団体 ・個人情報取扱事務登録簿等：1,466団体【公表】 ・個人情報ファイル簿：518団体 ・個人情報取扱事務登録簿等：1,415団体

・規定無し：84団体
・規定無し：134団体

論点

方向性

（１）利用目的による個人情報の管理を徹底し、開示請求等の本人関与に資する観点から、一定の個人情報ファイルについて、何らかの帳簿の作成・公表が必要と考えられるが、一部の団体で規定が無い。

（１）個人情報ファイル簿の作成・公表について、国と同じ規律を適用してはどうか。

（２）事業者の利便性の観点からも、非識別加工情報の提案募集を行う前提として、個人情報ファイル簿が作成・公表されることが望ましいと考えられる。
（３）一方、個人情報ファイル簿を作成・公表することとした場合、次のよ
うな課題が考えられる。
・多くの地方公共団体で個人情報取扱事務登録簿等が作成されており、個人情報ファイル簿に切り替える場合、事務負担が生じる。
・個人情報ファイル簿は本人の数が1,000人以上の個人情報ファイルについて作成することとされており、散在情報も含め記録している個人情報取扱事務登録簿等と比べ、公表の粒度が低下するおそれがある。

※個人情報ファイル簿の作成等を行う個人情報ファイルの範囲についても国と同様（1,000人以上等）とする。

（２）その上で、地方公共団体が引き続き、条例に基づき、個人情報取扱事務登録簿等の作成・公表を行うことは許容できるのではないか。

7⑤開示、訂正及び利用停止の請求⑤開示、訂正及び利用停止の請求＜国の現行制度・検討の方向性＞
・自己を本人とする保有個人情報について、開示、訂正、利用停止の請求権を規定。（行個法12条・27条・36条）
・開示・訂正・利用停止の請求に係る手続、開示・不開示の要件、審査請求等について規定。（行個法4章）
・国の中間整理では、個人情報保護法制上の開示決定等についての不服審査と、情報公開法上の開示決定等についての不服審査とを整合的に処理する必要性から、一元化後も、情報公開・個人情報保護審査会の機能を基本的に維持することとされ、特に必要と認める場合に開示決定等の当否について個人情報保護委員会が行政機関等に対して勧告を行うこととされている。
＜地方公共団体の現状＞
・開示、訂正の請求：全地方公共団体で規定有り ・利用停止請求：51団体で規定無し
・一般的に各団体が条例で定める情報公開制度と一体的に運用。
（例：不開示情報の範囲について情報公開制度と整合が図られている、開示決定等に対する審査請求について情報公開制度と同一の審議会等に諮問している）

論点

方向性

（１）自己情報の開示、訂正、利用停止の請求権については、個人情報の保有主体に関わらず、認められるべきと考えられるが、一部の団体で利用停止請求権の規定が無い。

（１）自己情報の開示、訂正、利用停止の制度については、①全ての地方公共団体にこれを請求できることとすること、②地方公共団体の情報公開制度との整合を図ることの両方を満たす必要がある。

（２）個人情報保護法制における開示決定等と、情報公開法制における開示決定等については整合的に処理される必要があると考えられる。

（２）請求権、要件、手続きを法律で規定する方法と、国の規定に準じて条例で規定する方法が考えられ、①、②の要請を踏まえ、引き続き検討する。

（３）開示決定等の当否についての個人情報保護委員会の関与について、（３）開示決定等に対する不服審査については、地方公共団体が設置す国と同様に、整理を要すると考えられる。
る審議会等に諮問することとしてはどうか。開示決定等の当否に関する個人情報保護委員会の関与については、国の制度設計を踏まえて引き続き検討する。

⑥非識別加工情報の提供制度の導入

8⑥非識別加工情報の提供制度の導入＜国の現行制度・検討の方向性＞
・非識別加工情報の活用について、行政機関等が民間事業者から提案募集・審査を行い、非識別加工情報の提供が行われる。（本人の数が1,000人未満の個人情報ファイル等は提案の対象外）
・国の制度検討では、一元化に伴い、匿名加工情報（民間部門)と名称及び定義を統一することとされているが、提案制度は存置される。
・制度導入後、国の行政機関等における事例は１件。（令和２年9月末時点）＜地方公共団体の現状＞
・非識別加工情報についての規定が無い団体：1,777団体

論点方向性（１）個人情報の新たな産業の創出や活力ある経済社会等への活用が期待されるが、多くの地方公共団体に非識別加工情報の提供制度の規定が無い。

（１）共通ルールとして、国と同様に非識別加工情報（名称・定義は匿名加工情報に統一）の提供制度について国と同じ規律を適用し、提案募集を実施することとしてはどうか。

（２）一方、非識別加工情報の提供制度を導入することとした場合、次のような課題が考えられ、特に小規模団体を中心に適正な運用の確保について懸念があるとの指摘がある。
・匿名加工に関する十分な知見を持った人材がいないこと
・国の行政機関等において参考となる事例がほとんど無いこと
・次世代医療基盤法の認定匿名加工医療情報作成事業のように、国が認定した作成組織が存在しないこと（２）その上で、経過措置として、当分の間、都道府県及び指定都市について適用することとし、他の地方公共団体は任意で提案募集を実施することができることとしてはどうか。
（３）地方公共団体は、個人情報保護委員会に対し、非識別加工情報に係る事務の実施にあたり必要な支援を求めることができることとしてはどうか。

⑦個人情報保護委員会と地方公共団体の関係、⑧施行期日等

9⑦個人情報保護委員会と地方公共団体の関係＜国の現行制度・検討の方向性＞
・個人情報（非識別加工情報を除く）について総務大臣、非識別加工情報の取扱いについて個人情報保護委員会が監督等を行っている。
・国の制度検討では、一元化に伴い、個人情報の取扱い全般について、個人情報保護委員会が監督等を行うこととされている。
＜地方公共団体の現状＞
・個人情報保護委員会による監督等は行われていない。
（個人情報保護委員会が地方公共団体に対して監督等を行っている例）
・行政手続における特定の個人を識別するための番号の利用等に関する法律では、特定個人情報等の取扱いについて、地方公共団体に対しても、個人情報保護委員会が監督等を行っている。

論点方向性（１）GDPR等の個人情報保護に関する国際制度においては、独立の機関による監督等が求められている。

（１）個人情報保護委員会は、地方公共団体における個人情報の取扱いについて、国の行政機関に対するものに準じた監督等を行うこととしてはどうか。

（２）個人情報の適切な取扱い等について、地方公共団体が専門的知見を要する場合や、全国で統一的な対応をすべき場合がある。

（２）地方公共団体は、個人情報の取扱い等について、個人情報保護委員会に対し、助言その他の必要な支援を求めることができることとしてはどうか。

⑧施行期日等論点（１）地方公共団体の個人情報保護制度の法制化により、地方公共団体において、現行の条例の改正、事務要領等の整理、職員に対する研修、住民に対する周知等の準備作業が必要であり、施行までの十分な準備期間を設ける必要があると考えられる。
（２）国は、制度の適正かつ円滑な実施を確保するため、地方公共団体に必要な支援を行うべきと考えられる。

方向性（１）法律の施行期日は、地方公共団体において必要な準備に十分配慮して設定することとしてはどうか。
（２）制度の適正かつ円滑な実施を確保するため、地方公共団体の準備等について、必要な助言（ガイドラインの作成、条例例の提示等）を行うこととしてはどうか。

※地方公共団体が条例で定める独自の保護措置について

10＜前回の検討会において示した方向性＞
・「個人情報保護」と「データ流通」の両立に必要な全国的な共通ルールを法律で設定し、法律の的確な運用を確保するため、国がガイドラインを策定する。
・その上で、法律の範囲内で、必要最小限の独自の保護措置を許容する。
（現行制度において法律では規定していない独自の保護措置を求めている例）（再掲）
・「金融分野における個人情報保護に関するガイドライン」（平成29年：個人情報保護委員会、金融庁）において、個情法では要配慮個人情報とされていない「労働組合への加盟、門地、本籍地」等について、要配慮個人情報と同様に取り扱うこととされている。
・「個人情報の保護に関する法律に係るＥＵ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール 」（平成31年：個人情報保護委員会）において、個情法では要配慮個人情報とされていない「性生活、性的指向又は労働組合」について、要配慮個人情報と同様に取り扱うこととされている。
・死者の情報は行個法の保護の対象外であるが、「利用目的を超えた取扱いや、漏洩等の不適切な取扱いを避けることは当然であり、適切な管理が必要」とされている。
（「解説 行政機関等個人情報保護法」総務省行政管理局）

論点

方向性

（１）地方公共団体が独自に規定している保護措置について、法律で共通ルールが設定された場合も、引き続き存置することを可能とすべきではないかとの指摘がある。

（１）地方公共団体は、特に必要な場合に限り、条例で、独自の保護措置を規定し、国は、「特に必要な場合」の該当性についての考え方をガイドライン等で提示することが考えられるのではないか。

（２）許容される「必要最小限の独自の保護措置」について、「必要最小限」の範囲を明確にすべきではないかとの指摘がある。
（３）独自の保護措置が「必要最小限」となることを、担保する仕組みが必要ではないかとの指摘がある。

なお、地方公共団体が、条例で、保護の水準を下げるような規定を設けることは、法律の趣旨に反するものとして、認められないものと考えられるのではないか。
（２）個人情報の取扱いについて独自の保護措置を条例で定めたときは、その旨及びその内容を個人情報保護委員会に届出を行うこととしてはどうか。この場合、個人情報保護委員会は、届出内容を踏まえ、助言等の適切な監督を行うことが考えられるのではないか。

11※審議会等の在り方について＜地方公共団体の現状＞
・各地方公共団体の条例で設置されている個人情報保護制度における審議会等は、概ね以下の役割を担っている。
① 条例の適用についての判断に際しての諮問への答申（例：要配慮個人情報の取得、オンライン結合による提供、目的外利用・提供 等）② 個人情報保護制度の運用についての調査審議、その在り方についての意見③ 開示等の決定に関する審査請求に際しての諮問への答申（現行制度において外部有識者の活用を求めている例）
・「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」（平成29年：個人情報保護委員会、金融庁）において、安全管理措置の評価等について、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による確認（外部の知見を有する者を活用し確認させることを含む。）を行うことが望ましいとされている。
・民間企業においても、プライバシー保護の観点で助言を行う外部有識者からなる会議を設置する例が見られる。

論点方向性（１）条例の適用についての判断に際しての審議会等からの意見聴取手続きについては、災害時など全国で統一的に対応すべき場合や、定型的な事例で実施機関限りで判断が可能な場合などにおいては不要ではないかとの指摘がある。

（１）条例の適用についての判断に際しての審議会等からの意見聴取手続きについては、①全国で統一的に対応すべき場合については国が地方公共団体の判断に資するガイドライン等を示し、これに基づき運用を行う、②定型的な事例については、あらかじめ審議会等への意見聴取等を通じて運用ルールを決めておく、等の対応により、その必要性は大きく減少することになるのではないか。

（２）学識経験者等が参加する審議会等は、地方公共団体の個人情報保護制度の運用やその在り方について調査審議し、意見を示すことで、制度の適正な運用や発展に重要な役割を担ってきたとの指摘がある。
（３）開示等の決定に関する審査請求に際しての諮問については、引き続き、地方公共団体が設置する審議会等により対応することが望ましいと考えられる。

（２）審議会等の役割は、これまでの案件ごとに諮問を受けるものから、今後は、定型的な事例についての事前の運用ルールの検討や、地方公共団体における個人情報保護制度の運用やその在り方について意見を示すものに重点が移行することになるのではないか。
（３）開示等の決定に関する審査請求に際しての諮問は、引き続き、地方公共団体が設置する審議会等が対応することとしてはどうか。

地方公共団体の個人情報保護制度の検討の方向性

１０月８日第８回
検討会資料（抜粋）12＜地方公共団体の個人情報保護制度に求められるもの＞＜検討の方向性＞

１ 社会全体のデジタル化に対応した「個人情報保護」と「データ流通」の両立○「個人情報保護」と「データ流通」の両立に必要な全国的な共通ルールを法律で設定○

法律の的確な運用を確保するため、国がガイドラインを策定○

その上で、法律の範囲内で、必要最小限の独自の保護措置を許容※ いわゆる「２０００個問題」①団体ごとの規定・運用の相違が、データ流通の支障となりうること②条例がないなど、求められる保護水準を満たさない団体があること等への問題提起がなされている

２ 個人情報保護に関する国際的な制度調和例）・EUにおけるGDPR（一般データ保護規則）十分性認定・OECDプライバシー・ガイドラインとの整合○ 地方公共団体の現状
国の規律の対象

Ａ市(国と同じ規律)例）条例を制定していない
一部事務組合等がある例）・「要配慮個人情報」として保護する独自の情報を追加・保護のため、必要な場合に限り審議会等からの意見聴取手続きを規定例）個人識別符号(H28導入)に関する規定がない

Ｂ組合（規律なし）

Ｃ市（規律の対象が国より少ない）

共通ルールの設定※○ 共通ルール化後
共通ルール

Ａ市

Ｂ組合

例）要配慮個人情報に独自情報を追加（出身地、LGBTに関する事項等）
例）要配慮個人情報の取得・オンライン結合等について国と異なる規定ぶり

共通ルールの設定により国と異なる規定ぶりは解消

Ｄ市（規律の対象が国より多い）例）個人情報の外部提供・オンライン結合に当たり審議会等からの意見聴取を規定

Ｅ市（手続を付加）必要最小限の独自の保護措置
意見聴取手続の必要性を精査

Ｃ市

D市

Ｄ
市

E市
Ｅ市

※医療・学術分野については、国の組織同様、民間規律を適用する。