日本の個人情報保護法制における他の法制との接続に関する検討～欧州GDPRとEHDSの関係性に着目した分析～
2022年12月11日
加藤尚徳（かとうなおのり）

株式会社KDDI総合研究所フューチャーデザイン1部門
海外市場・政策リサーチグループ・コアリサーチャー
一般社団法人次世代基盤政策研究所研究主監・理事
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

はじめに◼ 本報告の基礎となる調査は一般社団法人次世代基盤政策研究所におけるものが含まれます。これらの調査については以下のリンク先から資料をご覧いたただけます。
⚫ 一般社団法人次世代基盤政策研究所 欧州調査特別WG
https://www.nfi-japan.org/eurs

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

2

Agenda◼ 報告の背景◼ EHDSの概要◼ GDPRとEHDS◼ 我が国の個人情報保護法制と他の法制の関係◼ 他の法制との接続に関する検討◼ まとめ

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

3

報告の背景Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

4医療分野での新しい制度創設の可能性と課題◼ 欧州のおけるEHDS法案⚫ 2022年5月3日、欧州委員会がEuropean Health Data Space （EHDS）に関する法案を公表⚫ General Data Protection Regulation（GDPR）の特別法として機能する規則を設ける• EU域内でのヘルスケアデータ活用の障壁をルールの統一によって解消する。

◼ 我が国おけるヘルスデータ活用議論の活発化⚫ 内閣府規制改革推進会議 第2回医療・介護・感染症対策WG（2022年11月7日）⚫ 内閣府規制改革推進会議事務局「医療データの利活用と個人の権利・利益の保護の在り方について」
https://www8.cao.go.jp/kiseikaikaku/kisei/meeting/wg/2210_03medical/221107/medical02_020204.pdf⚫ 同意なく医療データの活用が可能性、必要な本人保護の在り方に関する検討• ヘルスデータの活用を前提とした、既存の個人情報保護法制に閉じない議論が開始された。

⚫ 一方で、個人情報保護法のいずれの条文に依拠すべきかについて議論も• 個人情報保護法では利用目的制限や適正な取得の適法化要件として「法令に基づく場合」の定めがある一方、「公衆衛生の向上」や生命身体財産の保護との関係性が明確ではない。

◼ 「法令に基づく場合」であっても他の要件の検討を要するのか？
⚫ 個人情報保護法は他の法令に優先するような強い法律だったのか？
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

5

EHDSの概要

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

6

EHDSをめぐるこれまでの動き（NFIウェブサイトでは一部仮訳も公開）
デジタル戦略でのデータスペース（DS）の基本的な考え方

欧州デジタル戦略でのデータスペース構想
2020年2月➢ データは、経済成長、競争力、イノベーション、雇用創出、社会進歩全般に不可欠な資源であり、欧州共通のDS経由で、経済や社会において利用する。
➢ DSで、①ヘルスケアの改善、②より安全でクリーンな交通システム、③新しい製品とサービス、④公共サービスのコスト削減、⑤持続可能性とエネルギー効率の向上、を実現する。

ヘルスデータの一次利用と二次利用 及び3つの機能

GDPR下のヘルスケアデータ活用に関する影響評価
2021年2月➢ 一次利用：患者に医療またはケアサービスを提供する（機能1）。
➢ 二次利用：ケア提供の文脈で最初に収集されたデータが後に別の目的（機能2：社会保障、機能3：創薬・医療機器開発・保健等）で再利用される。
➢ 3つの機能を実現するために、GDPR条の「適法な処理の根拠（第6条）」となりうる法制度を提言した。→同意不要での利用の実現

NFIでは影響評価を分析し、その結果を踏まえて「医療情報の利活用に関する法制度についての提言※」を2022年3月24日に公表
GDPR下の不均一を解消しヘルスデータのDS実現

European Health Data Space（EHDS）法案の提案
2022年5月➢ 加盟国によるGDPRの不均一な実施と解釈を一致させ、法的な確実性を高め、電子ヘルスデータの二次利用に対する障壁を取り払う。
➢ 欧州域内でルールを調和させることで、デジタルヘルス製品とサービスの真の単一市場に貢献し、ヘルスケアシステムの効率を高める。

不確実性の排除・GDPRとの整合性確保の要求

EDPB/EDPSの共同意見
2022年7月➢ ウェルネス・アプリケーション等のデジタルアプリケーションの除外を勧告。
➢ GDPRの例外規定の遵守、定義の一致を要求。
➢ 一部の規定について公衆衛生・社会保障との関係性の明確化を要求。
➢ 欧州域内での保管の原則化を要求。
➢ 一方で、EHDSの基本的な構成については尊重する。

※
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

https://www.nfi-japan.org/recommendation

資料作成：加藤尚徳

7Assessment of the EU Member States’ rules on health data in the light of GDPR

◼ 2021年2月1日に欧州委員会が公開
https://ec.europa.eu/health/sites/health/files/ehealth/docs/ms_rules_health-data_en.pdf◼ この文書の目的⚫ EU加盟国間で起こりうる相違点を調査し、医療、研究、イノベーション、政策決定を目的としたEUにおける保健データの国境を越えた交換に影響を及ぼす可能性のある要素を特定すること。
⚫ 欧州委員会は、加盟国間の保健データを管理する国内規則の既存の細分化されたアプローチは、保健医療の提供、保健医療システムの運営、および公衆衛生の目的を推進するために実施される研究における国境を越えた協力を妨げると結論づけた。
⚫ 一次的な目的(患者ケア)、公衆衛生における二次的な目的、および科学的または歴史的な目的での健康データの利用について論じている。
⚫ これらの利用のそれぞれについて、GDPRの下でデータを処理するための法的根拠を分析し、現地の法律が法的根拠として同意の利用に代わるものを規定しているかどうかを調査している。
⚫ 同定された課題に対応して、欧州健康データスペースを支持し、健康データの可能な限り最善の利用を確保するためのEUレベルでの行動を示唆する。
⚫ さらに、EU加盟国間の協力が、欧州データ保護委員会として統合された各国のデータ保護当局、ならびに多数の国レベルおよびEUレベルの組織の作業を活用するために重要であることを示している。

◼ NFIでは、欧州調査の準備段階として勉強会でこの文書の分析を進めた。
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

8一次利用と二次利用◼ 一次利用⚫ 機能1は、患者に医療またはケアサービスを提供する目的で、医療および社会ケア提供の文脈において患者から直接収集されるヘルスデータに関するものである。
⚫ これは一般的に一次利用（primary use）と呼ばれている。
⚫ このようなデータは、通常の居住する加盟国だけではなく、そのようなデータは、患者が通常の加盟国の居住国以外の加盟国で治療を受けている場合には、EU域内で共有する必要がある• 訪問者の計画的及び計画的なケア、一時滞在者の計画的なケア,他の加盟国における計画的なケア、及び希少疾患を有する患者のケアのため– 国境を越えた医療における患者の権利の適用に関する指令2011/24/EU（Directive 2011/24/EU on the application ofpatients’ rights in cross-border healthcare）– 社会保障制度の調整に関する規則 (EC) No 883/2004（Regulation (EC) No 883/2004 on the coordination of social securitysystems.）◼ 二次利用⚫ 機能2および3は、ケアを提供するという文脈で最初に収集されたが、後に別の目的で再利用される可能性があるヘルスデータの再利用に関するものである。
⚫ これは一般的に二次利用（secondly use）と呼ばれている。
⚫ 国家的な医療制度の保険者(保険会社の公的機関) 、公的研究機関(大学や公衆衛生研究所など)のような公的機関ではなく、医薬品当局や通知機関といった規制当局や産業界によるものである。産業界には、大手および小規模の製薬および医療技術企業、保険および金融サービス業界の企業、ソーシャルメディアおよび家電業界の企業、および新興のAI業界が含まれる。
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

9

EHDSの背景◼ 2022年5月3日、欧州委員会はEuropean Health Data Space （EHDS）の設立について、その具体的な内容を公表した。
⚫ https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2711◼ EHDSの注目点⚫ 欧州における最初のデータスペースであること⚫ GDPRだけでなく、データガバナンス法やデータ法、それからNIS指令まで併記◼ 提案の背景⚫ データガバナンス法、データ法については、欧州委員会の現委員長が進めるデジタル戦略において重要な施策と位置づけられている。
• また、GDPRは前委員長が進めたデジタルシングルマーケット（DSM）戦略における重要な要素と位置づけられていた。

⚫ EHDSは欧州委員会におけるこれらの活動の一つの集大成とも呼べる。

• EUはこれまで、ヒト・モノ・カネ、そしてサービスに関する単一市場を目指してきた。
DSM戦略が目指してきたことは、デジタルの単一市場、つまりデータに関する単一市場。

⚫ データスペース構想は今後も他分野に展開予定（例：モビリティ）

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

10

EHDSと関係する戦略・制度
欧州におけるデータに関する市場の統一
2014-2019
Digital Single Market （DSM） Strategy
デジタル単一市場戦略

2019A Europe fit for the digital age
デジタル戦略EHDS法案（2022）

NIS指令（Network andInformation SystemsDirective・2016）

GDPR（一般データ保護規則・2016）

データガバナンス
法案（2021）
データ法案（2022）✓ 「重要インフラ運営者」、「デジタルサービス提供者」を対象とした規律を設ける。

✓ データ保護に関する一般的なルールを定める。
✓ 日本の個人情報保護法と相互認定を行う。

✓ 利用又は環境に関係するデータ（IoTデータ等）の利活用を促進する。

✓ データ連携サービスのトラストを確保する。
✓ 公共部門が持つデータの再利用も規律する。

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

✓ 欧州における共通データ空間の最初の提案。
✓ 電子ヘルスデータへのアクセスと共有に対するヘルス特有の課題に対処する。
✓ 加盟国によるGDPRの不均一な実施と解釈を一致させ、法的な確実性を高め、電子ヘルスデータの二次利用に対する障壁を取り払う。
✓ COVID-19のパンデミックによって再認識された、保健医療分野の緊急事態への電子ヘルスデータ利活用についても規定する。
✓ 欧州域内でルールを調和させることで、デジタルヘルス製品とサービスの真の単一市場に貢献し、ヘルスケアシステムの効率を高める。

資料作成：加藤尚徳

11

EHDSの構成◼ 法案は全8章で構成されている。
◼ 各章の構成は以下のとおり
章

条数

概要

1

§1~2

規制の対象・範囲・定義等

2

§3~11

自然の権利を補完するための追加的権利及びその仕組み

3§12~32

EHRシステムの相互運用性とセキュリティ、自己認証スキーム

4§33~58電子ヘルスデータの2次利用の促進

5§59~63

加盟国における能力開発の措置

6§64~66

European Health Data Space Board（EHDS Board）の創設

7§67~68

欧州委員会の権限8§69~71

協力と罰則

9

§72

最終規定の効果と適用✓✓✓✓

個人のヘルスデータへのアクセス権の強化、個人のデータポータビリティの強化と制限
データアクセスと交換：患者サマリー、電子処方箋、電子調剤、医療画像等、検査結果、退院レポート
医療専門家が電子形式でHERシステムに体系的に登録することを加盟国が保証
電子ヘルスデータの技術仕様を定め、欧州電子医療記録交換フォーマットを定める✓ 二次利用する電子データの最小限のカテゴリー、二次利用するための処理の目的を具体的に提示✓ 二次利用のための国境を越えたインフラ（HealthData@EU）の整備✓ メタデータの整備、データの品質と有用性に関するラベル（ユーティリティラベル）の付与

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

資料作成：加藤尚徳

12

GDPRとEHDS

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

13

GDPR６条：取扱いの適法性
適法な処理の根拠

関連する権利(a)同意第17条（削除権）、第20条（データポータビリティ）(b)契約第20条（データポータビリティ）(c)法令上(d)生命の保護(e)公共の利益第21条（異議を述べる権利）(f)正当な利益第21条（異議を述べる権利）

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

GDPRに基づいた処理と同意の関係
GDPRの6条に基づいた適法な処理と同意の位置づけ

適法な処理

No

処理不可

Yes
同意契約

No

法令上生命の保護

公共の利益

正当な利益

必須な処理
Yes

同意取得

処理開始
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

本人の関与に制限
15

GDPR第9条：特別な種類の個人データの処理◼ 第6条に基づく正当な根拠に該当することに加えて、ヘルスデータの確認を含むため、正当な根拠が第9条 (2) の下で選択されなければならない。

⚫ 第9条（2）（a）：データ主体が、1つ又は複数の特定の目的のために個人データを処理することについて、明示的な同意を与えていること。
⚫ 第9条（2）（b）：データ主体の基本的権利及び利益のための適切な保護措置を規定するEU法若しくは加盟国の国内法又は加盟国の国内法に基づく労働協約によって認められている限りにおいて・・・。
⚫ 第9条（2）（c）：データ主体が物理的又は法的に同意を与えることができない場合に、データ主体又は他の自然人の生命に関する利益を保護するために必要である。
⚫ 第9条（2）（g）：EU法又は加盟国の国内法に基づき、実質的な公共の利益を理由として必要とされる場合。
⚫ 第9条（2）（i）：公衆衛生の分野における公共の利益のために必要である場合。
⚫ 第9条（2）（j）：EU法又は加盟国の国内法に基づく第89条（1）の規定に適合しない公共の利益における保管の目的、科学的歴史的研究目的又は統計的目的のために必要な処理であって、目的に比例したものとし、データ保護の権利の本質を尊重し、かつ、データに係る基本的権利を保護するための適切かつ具体的な措置を定めるもの。

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

16

EDPB/EDPSの共同意見◼ EDPB-EDPS Joint Opinion 03/2022 on the Proposal for a Regulation on theEuropean Health Data Space⚫ 2022年7月12日採択⚫ https://edpb.europa.eu/our-work-tools/our-documents/edpbedps-joint-opinion/edpbedps-joint-opinion-032022-proposal_en◼ EDPB/EDPSとは⚫ EDPB=European Data Protection Board、EDPS=European Data Protection Supervisor⚫ EDPBは、一般データ保護規則（GDPR）の適用を担当するEUの機関である。
⚫ 各DPA（Data Protection Authority）のトップと欧州データ保護監督官（EDPS）またはその代理人によって構成されている。

◼ EDPB/EDPSの共同意見書の意義⚫ 欧州におけるデータ保護のCopyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

17

共同意見書における主要な論点◼ ウェルネス・アプリケーション等のデジタルアプリケーションの除外⚫ ウェルネス・アプリケーションとその他のデジタル・アプリケーションを提案の第33条 (1) (f) から除外することを勧告している。
⚫ ウェルネス・アプリケーション等には同意を処理の根拠とすることを推奨している。

◼ GDPRの例外規定の遵守⚫ 提案の第38条 (2) に関して、GDPRの例外規定の範囲を拡大しないことを強く勧告している。

◼ GDPRとの定義の一致⚫ 提案に規定された権利の説明がGDPRの説明と一致していないことを注記している。

◼ 公衆衛生・社会保障との関係性の明確化⚫ 提案第34条 (1) (f) 及び (g) の 「公衆衛生又は社会保障に寄与する製品又はサービスの開発及び革新活動」 又は 「公衆衛生又は社会保障に寄与する医療機器、AIシステム及びデジタルヘルス・アプリケーションを含むアルゴリズムの訓練、試験及び評価」目的をさらに明確化を求めている。

◼ データアクセス許可の性質⚫ 提案の第46条（ヘルスデータアクセス機関による許可）の基準がGDPRの第9条 (2) GDPRとどのように関連するかについて明確さを欠いていることが強調されている。

◼ 電子ヘルスデータの域内保管の原則化⚫ 個人の電子ヘルスデータをEU/EEAに保存することを要求する規定を、GDPRの第5章に従ったさらなる移転を妨げることなく、本提案に追加することを求める。

◼ ノンパーソナルなデータについても慎重な取扱いを求める

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

18

共同意見での論点の例（1）※下線部の除外を勧告◼ 第33条 二次利用に関する最小分類1.

データ保有者は、この章の規定に従い、次の種類の電子データを二次利用に供する。

a.
b.
c.
d.
e.
f.

g.
h.
i.
j.
k.
l.
m.
n.

o.

EHR;
社会的、環境的行動決定因子を含む健康に影響するデータ;
ヒトの健康に影響を及ぼす関連病原体ゲノムデータ;
保険金請求および償還データを含む健康関連の行政データ;
ヒトの遺伝子、ゲノム、プロテオミクスデータ;
医療機器、ウェルネスアプリケーション、またはその他のデジタルヘルスアプリケーションを含む、個人が生成した電子ヘルスデータ;←「ウェルネスアプリケーション、またはその他のデジタルヘルスアプリケーション」の除外を勧告
自然人の治療に関与する医療専門家に関する識別データ;集団全体のヘルスデータ登録 (公衆衛生登録);
特定疾患の医療記録からの電子ヘルスデータ;
臨床試験の電子ヘルスデータ;
医療機器及び医薬品・医療機器登録簿からの電子ヘルスデータ;
健康に関する研究コホート、アンケート、調査;
バイオバンクや専用データベースからの電子ヘルスデータ;
保険のステータス、職業上のステータス、教育、ライフスタイル、健康、および健康に関連する行動デー
タに関連する電子データ;←「ウェルネスアプリケーション、またはその他のデジタルヘルスアプリケー
ション」の除外を勧告
データ許可証に基づく処理の後にデータ保有者によって受信された訂正、注釈、エンリッチメントなどの様々な改良を含む電子ヘルスデータ。

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

19

共同意見での論点の例（2）※下線部の明確化を要求◼ 第34条 電子ヘルスデータを二次利用のために処理できる目的

1. ヘルスデータアクセス機関は、申請者が行う取扱いの目的が次の事項に適合する場合にのみ、第33条に規定する電子ヘルスデータへのアクセスを提供する。
a.
b.
c.
d.
e.
f.
g.

h.

公衆衛生及び職業衛生の分野における公衆の関心を理由とする活動。例えば、健康に対する重大な国境を越える脅威からの保護、公衆衛生の監視、又は保健医療並びに医薬品若しくは医療機器の質及び安全性の高い水準の確保;
保健又は医療分野において、公的部門の機関又は連合の機関、機関及び機関 (規制当局を含む。)が権限に定められた任務を遂行することを支援すること;
保健・医療分野に関する国別、多国籍、EUレベルの公式統計を作成する;
保健・医療分野における教育・教育活動;
保健医療分野に関する科学的研究;
公衆衛生若しくは社会保障に貢献し、又は医療、医薬品若しくは医療機器の高い品質及び安全性を確保するための製品又はサービスの開発及び革新の活動;
アルゴリズムの訓練、試験及び評価 (医療機器、AIシステム及びデジタル医療アプリケーションを含む) 、公衆衛生又は社会保障への貢献、又は医療、医薬品若しくは医療機器の質及び安全性の高い水準の確保;
他の自然人の健康データに基づいて、自然人の健康状態を評価、維持又は回復することから成る個別化医療を提供すること。
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

20

注目すべき意見◼ EHDS法案第33条 (1) (f) と(n)の除外⚫ 第33条 (1) (f) と (n) に従ってデータ保有者が直接利用可能にする場合に、誰がその妥当性と品質を評価するのか、不明であることが強調されている。
⚫ GDPRにおける事前の同意の対象とすべきとしている。
⚫ 一方でこのような勧告はその他の項（aからe、gからm、o）に対してはされていない。

◼ EHDS法案第34条 (1) (f) と (g) に関する懸念⚫ 提案第34条 (1) (f) 及び (g) の 「公衆衛生又は社会保障に寄与する製品又はサービスの開発及び革新活動」 又は 「公衆衛生又は社会保障に寄与する医療機器、AIシステム及びデジタルヘルス・アプリケーションを含むアルゴリズムの訓練、試験及び評価」目的をさらに明確化を求める。
⚫ 「公衆衛生」「社会保障」との十分な関連性のある範囲への限定を強く勧告している。
⚫ GDPR第9条 (2) に予見される例外に該当するが、データアクセス許可を発行するためにヘルスデータクセス機関がデータ申請を評価し決定すべき基準 (提案第45条)にこの趣旨が反映できていない点を指摘している。
⚫ 一方で、このような勧告は他の項（aからeおよびh）に対してはされていない。

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

21

我が国の個人情報保護法制と他の法制の関係

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

22

医療情報を活用する上で課題となる個人情報保護法上の規定◼ 原則：第20条⚫ 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

◼ 原則に対する例外：第20条（2項各号）
2.

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

①②③④⑤⑥⑦⑧

法令に基づく場合
人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
その他前各号に掲げる場合に準ずるものとして政令で定める場合
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

23

個人情報保護法における原則と例外◼ 個人情報保護法においては各取扱いの様態について原則を設けている⚫ 第18条（利用目的の制限）• 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

⚫ 第20条（適正な取得）• 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

◼ 他の法令での取扱いは例外（とも読めるように）として設けられている⚫ 第18条第3項：前二項の規定は、次に掲げる場合については、適用しない。
• 第1号：法令に基づく場合⚫ 第20条第2項：個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
• 第1号：法令に基づく場合◼ 取扱い（＝処理）を包含するような適法化の仕組みがない◼ 個人情報保護法は他の法令を優先するような強い法律だったのか？

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

24

他の法制との接続に関する検討

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

25

適正な処理の開始に関する日欧比較（1）
個人情報保護法（第20条：適正な取得）

GDPR（第9条：特別な種類の個人データの処理）

同意（第2項）

同意(2)(a)EU法若しくは加盟国の国内法又は加盟国の国内法に基づく労働協約(2)(b)
EU法又は加盟国の国内法に基づき、実質的な公共の利益を理由(2)(g)

法令に基づく場合（第2項第1号）

EU法又は加盟国の国内法に基づく第89条（1）の規定に適合しない公共の利益における保管の目的、科学的歴史的研究目的又は統計的目的のため(2)(j)
人の生命、身体又は財産の保護のために必要がある場
合であって、本人の同意を得ることが困難（第2項第2号）

自然人の生命に関する利益を保護(2)(b)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難（第2項第3号）

公衆衛生の分野における公共の利益のために必要

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

26

適法な処理の開始に関する日欧比較（2）◼ 「処理」概念がないことによる弊害⚫ 個人情報保護法ではGDPRの処理をいくつかの機能に分割してしまっている。
⚫ このため、適法性の判断について複数段階での検討が求められている。

◼ 「他の法令に基づく」⚫ 「他の法令に基づく」のみが例外の根拠としてあげられている。
⚫ どのような「他の法令」がいかなる理由において適法となるかの判断が求められる。
⚫ このため、適法性判断の要件が多重化し、判断に困難が伴う。

◼ 「本人の同意を得ることが困難」⚫ 生命身体財産の保護や公衆衛生が適法化根拠となる場合に「本人の同意を得ることが困難」が付加されている。
⚫ これによって我が国の個人情報保護法制が「同意原則」を採用しているかのようなミスリードを誘発する。

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

27

形式的要件と実質的要件の区分◼ 形式的要件と実質的要件⚫ 形式的要件：定められた外形的手順に従った判断⚫ 実質的要件：定められた◼ 個人データを利用する主な要件判断の流れ① 個人情報保護法制の形式的要件→個人情報保護法制の実質的要件• 典型的ケースについては実質的要件判断の省略をできる② 個人情報保護法制の形式的要件→他の法制の形式的要件• 他の法制が当該個人データを利用することを予定している場合③ 個人情報保護法制の形式的要件→他の法制の実質的要件• 他の法制が当該個人データを利用することを予定していない場合• 他の法制の実質的要件を満たさない場合には①の判断に基づく個人情報保護法制

形式的要件
①

実質的要件

他の法制
②
③

形式的要件
実質的要件

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

28

まとめCopyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

29

本報告を通じた我が国の個人情報保護法制が有する課題と今後◼ 個人情報保護法制における形式的要件の整備⚫ 適法な処理の根拠の創設（明確化）• 処理の根拠及び法制に応じた義務規定の整理と本人関与の在り方• 個人情報保護法制に基づいた利用と他の法制に基づいた利用の区分⚫ 他の法制との接続点の創設（明確化）• 他の法制は必ずしも個人情報保護法制を予定しているとは限らない◼ 個人情報保護法制における実質的要件の整備⚫ 個人情報保護法制に基づいた個人情報の利用（同意や契約）に求められる要件• 必要に応じた本人関与の検討⚫ 他の法制に基づいた保護との区分• ex)インフォームドコンセントと同意：同意の本来的意義と範囲◼ 今後の研究⚫ EHDS法案および欧州での社会実装の更なる分析⚫ 日本版EHDS実現に必要な制度上の課題整理⚫ 以上を踏まえた具体的提案
Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

30

加藤尚徳
nn-katou@kddi.com

Copyright(C) 2022 KDDI Research, Inc. All Rights Reserved.

31