マイナンバーシンポジウム資料「プライバシーの権利と個人情報保護法」
平成24年11月

新潟大学 大学院実務法学研究科・法学部 教授

鈴木 正朝

わが国の「個人情報保護法」をとりまく内外の状況
国際動向

背景： インターネット / クラウド/ビッグデータ/ライフログ① OECD： 「プライバシーガイドライン」改正要綱② APEC: 「CBPR（APEC越境プライバシールール）制度」③ EU： 「個人データ保護指令」 「ｅ-プライバシー指令」 ,「個人データ保護規則案」④ 米国： 「消費者プライバシー権利章典」 「セーフハーバー」 ，個別法

国内動向

背景： 少子高齢人口減少社会/社会保障と税の一体改革① 一般法： 「個人情報保護法」改正の動向 (消極的）② 特別法： 「マイナンバー法案」、「医療個人情報保護法案」、「政府CIO法案」→ 新しい行政組織： 「番号情報保護委員会」、「政府CIO 」③ 告示： 「個人情報保護ガイドライン」 （弥縫策）④ 国内規格： JIS Q 15001 （法との不整合）⑤ 民間認証制度： プライバシーマーク制度 （問題山積）個人情報保護法制の全体構造「個人情報の保護に関する法律」「基本法」部分
第１章 総則（目的・基本理念）
第２章 国及び地方公共団体の責務等
第３章 個人情報の保護に関する施策等

民間部門の「一般法」部分
第４章 個人情報取扱事業者の義務等
第５章 雑則 （適用除外）
第６章 罰則

個人情報取扱事業者*第５章 雑則 （権限又は事務の委任、政令への委任など）「行政機関の保有する個人情報の保護に関する法律」「独立行政法人等の保有する個人情報の保護に関する法律」

地方公共団体による「条例」＊市区町村の「個人情報保護条例」＊都道府県の「個人情報保護条例」

行政機関

独立行政法人等

地方公共団体等（民間企業等）

民間部門

公的部門

個人情報保護法2000個問題：医療関連分野と適用法（例）

個人情報を取り扱う主体

適用法

監督官庁

厚生労働省

行政機関個人情報保護法

総務省

国立がん研究センター

独立行政法人等個人情報保護法

総務省

岩手県立○○病院

岩手県個人情報保護条例

岩手県

宮城県立△△病院

宮城県個人情報保護条例

宮城県

陸前高田市立□□病院

陸前高田市個人情報保護条例

陸前高田市

大船渡市立△△病院

大船渡市個人情報保護条例

大船渡市

医療福祉法人済生会

個人情報保護法

厚生労働省

鈴木内科医院

個人情報保護法

厚生労働省

個人情報保護条例を維持してよいのか？
• 住基ネット、そして「マイナンバー制度」導入の時代において１８００もの地方公共団体の議会がそれぞれ独自に個人情報保護条例を制定し、独自の「個人情報」の定義や安全管理基準を定め得る状態を放置していることの弊害はないか。
▫ 個人情報の取扱いは「地方自治の本旨」に関わる事項か？
▫ ネット上の個人情報は地方自治体に閉じているか？
▫ 広域災害の対応は可能か？
▫ 医療クラウド、自治体クラウドへの対応は可能か？

• プライバシーの権利（人権）の内容に係る事項
は法律事項（国会の仕事）ではないか。

「個人情報」と「プライバシー権に係る情報」の関係
公開・非公開の別、センシティブ性・プライバ
特定個人を識別できない情報であってもプライシー性の有無、 情報の価値の程度を問わない。 バシーの権利を侵害し得ることに留意すべき。

プライバシーの権利
個人情報・特定個人の識別情報（番号等識別子単体の情報も該当する）

行政規制（行政庁）

個人情報の多くはプライバシー性を有する。
↓

個人情報保護法に限らず民法（契約・不法行為）等関係法令を確認し遵守する必要あり。に属する情報
下級審判例：①私生活上の事実情報、②非公知情報、③一般人なら公開を望まない情報→最高裁判例：個人に関する情報をみだりに第三者に開示又は公表されない自由

民事規制（裁判所）

刑事規制
秘密漏示罪

民事規制
行政規制
個人情報保護法の義務

医療カルテ・債務不履行（医療契約）・不法行為（プライバシー侵害）

東大政策ビジョン研究センター「安心して暮らせる活力ある長寿社会の実現を目指して」

マイナンバー法の位置づけ
憲

法

個人の尊重

プライバシーの権利
自己情報のコントロール

個人情報保護法制
マイポータルセンシティブ情報は採用せず

マイナンバー法案
住民基本台帳法

医療等個人情報保護法案
センシティブ情報

私案：検討の射程の確認、部分最適から全体最適へ、
個人情報保護法制から情報プライバシー保護法制へ
憲

法

個人の尊重(13条)
平等原則(14条)
財政生存権(25条)

プライバシーの権利
情報自己決定権

納税の義務(条)税法

私生活上の自由情報プライバシー保護法制

社会保障法

マイナンバー法案
住基法

社会保障と税の一体改革（目的）

医療等個人情報保護法案
マイナンバー制度（手段）

国民私案：人権の具体化法と行政組織（統治機構の具体化法）
憲法

人権（個人の尊重）＜目的＞

統治機構（権力分立）＜手段＞

プライバシーの権利

立法

司法

行政

情報プライバシー保護基本法（個人情報保護法改正）
個別法

情報保護委員会

政府CIO
(制度)

主務大臣(制度)

マイナンバー法内閣官房・総務省

医療等個人情報保護法

厚生労働省

住民基本台帳法総務省

「個人情報」の定義「個人情報取扱事業者」の場合 （個人情報保護法２条１項）
情報(1)個人（自然人）に関する情報か？

NO

YES

(2)生存者の情報か？
（生存者情報）NO

YES(3)当該情報に含まれる 記述等
により特定の個人を識別することができるか？
（個人識別情報）(4)当該情報と他の情報 とを照合することで、特定の個人NO を識別できる か？
（個人識別可能性判断）
YES

YES
YES

○「個人情報」に該当する。

NO(5)当該情報と他の情報 とは、容易に照合でき るか？
（照合容易性判断）NO×「個人情報」に該当しない。

「行政機関」の場合（行政機関個人情報保護法２条２項）
情報(1)個人（自然人）に関する情報か？

NO

YES

(2)生存者の情報か？
（生存者情報）NO

YES(4)当該情報と他の情報 とを(3)当該情報に含まれる 記述等照合することで、特定の個人により特定の個人を識別するNOを識別できるか？
ことができるか？
（個人識別可能情報）（個人識別情報）
YES○「個人情報」に該当する。

NOYES（容易性の要件は不要）＊当該情報と他の情報 とは、容易に照合でき るか？

×「個人情報」に該当しない。「番号」とは何か
１. 特定個人の識別情報（PII）
特定個人が識別されなければ、本人被害は生じないのか？
(1) PIIだけに要保護性があるのか、一定の条件を充たしたnon-PII（照合性のない識別子）に拡張する必要はないか？
(2)ゲノム（遺伝子情報）は究極の「個人情報」または究極の「プライバシー権に属する情報」か？
・公共的利益・中間的利益 ゲノム情報？
・個人的利益 プライバシーの権利に属する情報

「番号」とは何か
２.「識別」の解釈：誰が識別するのか？
その主語は条文上明らかではない。特定個人の「識別」可能性判断の主体は解釈上の論点となる。

(1)「事業者」基準：個人情報を取り扱う事業者を基準として判断する。
(2)「従業者」基準：個人情報を取り扱う事業者の従業者等自然人を基準として判断する。
(3)「本人」基準：情報主体である本人を基準として判断する。
(4)「一般人」基準：社会一般の人を基準として判断する。

＜個人に関する情報＞③番号（識別子） 共通番号，ケータイID，携帯電話番号,メアド,クレジット番号，顧客・社員番号，車のナンバー等①識別情報（本人確認情報）
・氏名○社会的情報
・自宅住所
（勤務先）

・生年月日
・年齢
○生物学的情報 ・性別
・位置情報など
・肖像
ライフログ
・身体的特徴（髪, 目の色等）

・生体情報（指紋, 掌紋，虹彩, 遺伝子等）②属性情報（その他の情報）○内心の秘密・思想信条（思想良心の自由）
・宗教（信教の自由）
・趣味嗜好，性生活等○医療情報・病歴（カルテ，レセプト） ・介護
・健康状態，体力○個人信用情報
・資産状況（不動産，金融財産，貴金属等保有状況，預貯金等）
・クレジットカード情報・納税・年金○購買履歴 ○通信通話情報○家族・身分関係 ・戸籍情報（族称・僭称），内縁関係○経歴・社会活動等 ・学歴，職歴，資格，所属団体，・政治活動，労働運動・犯罪歴，反社情報等ブラックリスト

本

人（個人の尊厳）イメージ・評価

識別子の強度～悉皆性・唯一無二性
程度・精度
（高）

①悉
皆性医療等ID
マイナンバー

ケータイID

（低）
（低）

顧客番号

②唯一無二性程度・精度（高）

識別子の法的評価～時間軸と空間軸
法規制検討領域時間（長）マイナンバー

①
利用
期
間の長
期
性（短）

顧客ＩＤ
amazon

医療等ID

ケータイID
グーグルＩＤ
トラッキング・クッキー

セッションID（狭）ＩＰアドレス（ADSL/ケーブル）
ＩＰアドレス
（PPPoE）②利用範囲の広範性～「取扱主体」「分野」横断（広）空間

識別子と第三者提供（23条）の適用関係
提供者X（個人情報取扱事業者）
DB

受領者Y

番号a

提供者Ｘ

番号a

→

DB

受領者Ｙ

Ｘの法適用の有無

特定個人識別性あり →個人○
データ→

特定個人識別性あり○あり

特定個人識別性なし
×→番号→

特定個人識別性なし
×なし

特定個人識別性なし
×→番号→

特定個人識別性あり○なし

特定個人識別性あり →個人○
データ→

特定個人識別性なし
×

経産省
有力説

： あり
： なし

識別子と第三者提供（23条）の適用関係
１.第三者提供における「識別」性判断の主体(1) 提供者（行政庁・事業者）基準(2) 受領者基準（受領者が個人情報取扱事業者であるか否かを問わない。）(3) 一般人基準* データ流出の場合との比較
２.「照合」性判断における主体(1) 事業者基準（法人全体から評価する）(2) 従業員基準（データを取り扱っている自然人を基準に(容易)照合性判断を行う）

Y社

X社
通
信
履
歴
顧客
DB
番号０１

A社
購
買
履
歴

B社
購
買
履
歴

C社
購
買
履
歴

番号０１

番号０１

番号０１

本人

私見：法改正に向けた基本的な考え方（１）用語の概念定義－国際規格（２）論理（学）－数式（３）義務規定と実装を踏まえた落とし込み－Privacy by Design（４）法律と規格→第三者評価認証制度（５）哲学（理論的基礎）
・EU＝リスボン条約（人権規定）
・米国＝自然権→独立宣言→固有権（property）
・日本＝哲学なし（行政の取締規定）（６）行政法と司法法（不法行為法の特別法）（７）政府CIO（執行）と第三者機関（監視）