個人情報等の適正な取扱いに関係する政策の基本原則
令和４年５月 25 日
個人情報保護委員会

はじめにl「個人情報の保護に関する法律」1（以下「個人情報保護法」という。）第 7 条の規定に基づく「個人情報の保護に関する基本方針」 2 （以下「基本方針」という。）の法定事項である「２ 国が講ずべき個人情報の保護のための措置に関する事項」において、「(1) 各主体における個人情報の保護等個人情報等の適正な取扱いの推進」として、特に次が規定されている。
Ø 「①各行政機関における個人情報の保護等個人情報等の適正な取扱いの推進」［略］複雑化する社会的課題の解決のため、各行政機関においては、裾野が広く、多様なデータの利用を伴う政策の必要性が高まっている。このため、各行政機関が個人情報等を自ら保有し、又は、他の各主体の取扱い方法等に一定の影響を与える政策を企画立案・実施する場合には、［個人情報保護］法を基盤的なルールとしつつ、個別の政策目的や、そこで取り扱われる個人情報等の内容や性質を踏まえ、［同］法の目的であるプライバシーを含めた個人の権利利益の保護の観点から、それぞれの実態に即した個人情報等の適正な取扱いの仕組みづくり等に取り組むことが重要である。
以上の取組を適切に推進するため、個人情報保護委員会においては、専門的かつ分野横断的な知見等を踏まえつつ、各行政機関と連携・協力するものとする。
［略］
Ø 「③ 官民や地域の枠を越えて各主体が取り扱う個人情報の保護等個人情報等の適正な取扱いの推進」
官民及び地域の枠を越えたデータ利活用として、健康・医療・介護、教育、防災及びこども等の準公共分野、スマートシティ等の相互連携分野や公的基礎情報データベース（ベース・レジストリ）の整備等については、［個人情報保護］法の規律が異なる各主体間における個人情報等のデータ連携等が行われることとなる。
各主体間における個人情報等のやりとりがより複層的になることにより、個人情報等の取扱いについて責任を有する主体が従来以上に不明確になるリスクがあり、これに対応した制度設計や運用を行う必要がある。そのため、個人情報等を取り扱う各主体のみならず、データ連携等を推進する者においても、データガバナンス体制の構築等に取り組むことが重要である。個人情報保護委員会においては、［同］法の規律が全ての政策や事業活動等に共通する必要最小限のものであるという観点から、必要な情報提供や助言等を行うものとする。［略］
12

平成 15 年法律第 57 号。
平成 16 年４月閣議決定、令和４年４月一部変更。

1l

また、基本方針では、その法定事項である「１ 個人情報の保護に関する施策の推進に関する基本的な方向」において、「(2) 法の基本理念と制度の考え方」として、また、「８ その他個人情報の保護に関する施策の推進に関する重要事項」において、「(1) 個人情報保護委員会の体制強化」として、それぞれ次が規定されている。
Ø 「１ 個人情報の保護に関する施策の推進に関する基本的な方向」「(2) 法の基本理念と制度の考え方」［個人情報保護］法第３条は、個人情報がプライバシーを含む個人の人格と密接な関連を有するものであり、個人が「個人として尊重される」ことを定めた憲法
第 13 条の下、慎重に取り扱われるべきこと 3を示すとともに、個人情報を取り扱う者は、その目的や態様を問わず、このような個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならないとの基本理念を示している。
行政機関、地方公共団体の機関、独立行政法人等、地方独立行政法人及び個人情報取扱事業者等の個人情報等を取り扱う各主体（［略］）においては、この基本理念を十分に踏まえるとともに、官民や地域の枠又は国境を越えた政策や事業活動等において、以下に掲げる考え方を基に、［同］法の目的を実現するため、個人情報の保護及び適正かつ効果的な活用の促進に取り組む必要がある。
① 個人情報の保護と有用性への配慮［略］② 法の正しい理解を促進するための取組［略］③ 各主体の自律的な取組と連携・協力［略］④ データガバナンス体制の構築［略］⑤ 個人におけるデータリテラシーの向上［略］
Ø 「８ その他個人情報の保護に関する施策の推進に関する重要事項」「(1) 個人情報保護委員会の体制強化」
個人情報等を取り扱う各主体が、官民や地域の枠又は国境を越えて連携し、データ利活用がどの各主体においてもますます必要になり、取り扱う個人情報等が量的にも質的にも増大・多様化している。その結果、個人の権利利益に対するリスクが多様化していることも背景として、個人情報等の取扱いに関する各種政策が、国及び地方双方の行政主体により、同時かつ複合・重畳的に実施されるようになっている。
個人情報保護委員会においては、個人情報保護制度の司令塔として、基本的な方針を示すとともに、個別の政策や事業活動等の企画立案や実施等において、総合調整や監視・監督等の役割を果たすことが求められており、安全・安心なデジタル社会の構築に貢献するためにも、その実効性を確保するための体制強化を進めるものとする。

例えば、住民基本台帳ネットワークシステムにより行政機関が住民の本人確認情報を収集，管理又は利用する行為と憲法 13 条について判示した最高裁判所の判例（最 1 小判平成 20 年 3 月 6 日民集第 62 巻 3 号 665 頁）において、「憲法 13 条は，国民の私生活上の自由が公権力の行使に対しても保護されるべきことを規定しているものであり，個人の私生活上の自由の一つとして，何人も，個人に関する情報をみだりに第三者に開示又は公表されない自由を有するものと解される（最高裁昭和 40 年（あ）第 1187 号同 44 年 12 月 24 日大法廷判決・刑集 23 巻 12 号 1625 頁参照）」等が判示されている。
32

l

そこで、本原則は、基本方針も踏まえ、プライバシーを含む個人の権利利益を保護するための個人情報等（個人情報保護法に規定する個人情報、仮名加工情報、匿名加工情報及び個人関連情報。以下同じ。）の適正な取扱いに関する基本法たる個人情報保護法において、同法第４条 4、第８条 5、第９条 6、第 128 条 7、第 129 条第１号 8及び第 169 条の規定 9に基づき、各府省等の国の行政機関が、公的部門（同法に規定する行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人。以下同じ。）及び民間部門（同法に規定する個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者、個人関連情報取扱事業者及び学術研究機関等。以下「個人情報取扱事業者等」という。）の各主体による個人情報等の取扱いに関係する政策（法令等による制度、実証事業や補助金等の予算関係施策、税制措置、システム整備等。以下同じ。）を企画立案・実施するに当たり、当該政策目的の実現と、個人情報等の適正な取扱いによる個人の権利利益の保護との整合性を確保しつつ取り組むための基本的な視座を示すものである。

l

なお、本原則は、「プライバシー保護と個人データの国際流通についてのガイドラインに関する OECD 理事会勧告」10等 11を踏まえたものであり、今後、個人情報保護法の施行状況等を踏まえ、適宜更新される場合がある。

（国の責務）
第四条 国は、この法律の趣旨にのっとり、国の機関、独立行政法人等及び事業者等による個人情報の適正な取扱いを確保するために必要な施策を総合的に策定し、及びこれを実施する責務を有する。
5（国の機関等が保有する個人情報の保護）
第八条 国は、その機関が保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずるものとする。
２ 国は、独立行政法人等について、その保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずるものとする。
6（地方公共団体等への支援）
第九条 国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする。
7（任務）第百二十八条 委員会は、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること（［略］）を任務とする。
8（所掌事務）
第百二十九条 委員会は、前条の任務を達成するため、次に掲げる事務をつかさどる。
一 基本方針の策定及び推進に関すること。
9（連絡及び協力）
第百六十九条 内閣総理大臣及びこの法律の施行に関係する行政機関の長（会計検査院長を除く。
）は、相互に緊密に連絡し、及び協力しなければならない。
101980 年 9 月制定、2013 年 7 月改正。
11
例えば、
「個人情報保護法 いわゆる３年ごと見直し 制度改正大綱」（令和元年 12 月個人情報保護委員会）を踏まえた「PIA の取組の促進について -PIA の意義と実施手順に沿った留意点-」（令和 3 年 6 月個人情報保護委員会）等の個
人情報保護法に関する取組、「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成 25 年法律第 27 号）に基づく特定個人情報保護評価等。
43

l

各府省等の国の行政機関においては、次の７つから構成される本原則との整合性を図りつつ、個人情報等の取扱いに関係する政策の企画立案・実施に取り組むことが期待される。
1. 個人情報等の取扱いの必要性・相当性
2. 個人情報等の取扱いに関する適法性
3. 個人情報等の利用目的との関連性・利用の適正性
4. 個人情報等の取扱いに関する外延の明確性
5. 個人情報等の取扱いの安全性
6. 個人情報等に係る本人関与の実効性
7. 個人情報等の取扱いに関する透明性と信頼性

4

１. 個人情報等の取扱いの必要性・相当性l

個人情報等の取扱いに関係する政策の企画立案・実施に当たっては、政策目的を明確にした上で、政策目的の実現のために個人情報等の取扱いが必要か否かを検討した上で取り組むことが重要である。

l

その上で、個人情報等の取扱いが必要となる場合は、政策目的に照らし、個人情報等の取扱いが必要最小限の範囲内で相当であるか否かを検討した上で取り組むことが重要である。特に、要配慮個人情報等の機微性の高い情報の取扱いが必要となる場合は、より慎重に取り組むことが重要である。

【具体的な観点（例）】① 政策目的の明確化と「個人の権利利益」の保護との関係性
ü 政策目的の特定（□□の利益の保護、△△の確保、〇〇の推進、▽▽の発展、◇◇の実現等の個人的、社会的又は国家的な利益）
ü 個人情報保護法の保護法益である「個人の権利利益」との関係の整理② 政策目的を実現するための個人情報等の取扱いの必要性
ü 個人情報等の取扱い以外による実現可能性の有無
ü 取り扱われる個人情報等の利用目的との関連性（公的部門における法令上の根拠に基づく所掌事務又は事務の遂行のための必要性等）③ 政策目的の実現に必要な個人情報等の取扱いの相当性
ü 政策の受益者と取り扱われる個人情報等に係る本人との関係（異同、取り扱われる個人情報等に係る本人の合理的な期待の有無等）
ü 個人情報等の取扱いに関する外延（個人情報等、取扱主体、場所等）
ü 個人情報等の取扱いが本人の権利利益に与えるリスク（不適正利用の有無等）
ü 取り扱われる個人情報等の安全管理措置
ü 取り扱われる個人情報等に係る本人関与
ü 取り扱われる個人情報等に関するデータガバナンス体制

5

２. 個人情報等の取扱いに関する適法性l

上記１の政策目的を実現するため、個人情報等の取扱いに関し、各主体を広く対象とし、共通する必要最小限のルールを定める一般法たる個人情報保護法による規律で対応可能であるか否か、十分であるか否かを検討した上で取り組むことが重要である。

l

その上で、個人情報等の取扱いに関し、政策分野に特有の事情（取り扱う個人情報等の性質及び利用方法等。以下同じ。）に照らして、個人情報保護法上の規律に抵触し当該規律による対応で不可能である場合又は当該規律による対応で可能であるものの不十分である場合には、新規立法含め他の法令等による根拠（適法性）に基づき取り組むことが重要である。

l

なお、既存の法令等を根拠とする場合については、当該法令等の制定当時における経緯等の背景、目的及び規定等を踏まえ、個人情報等の取扱いが当該法令等の想定している範囲内であるか否かを検討した上で取り組むことが重要である。

l

いずれにしても、基本法たる個人情報保護法に照らし、政策の企画立案・実施に当たり、取り扱われる個人情報等に係る本人のプライバシーを含む権利利益の保護が確保されることが重要である。

【具体的な観点（例）】① 個人情報等の取扱いに関する既存の法令等による適法性
ü 公的部門における所掌事務又は事務の遂行に関する法令上の根拠規定の有無及び内容（設置法令、権限を定める法令、作用法令等）
ü その他の法令等（法律、政令、省令、方針、計画、指針、ガイドライン、ガイダンス、補助金交付要綱及び契約等）における根拠規定の有無及び内容
ü 法令等における根拠規定に関する執行・監督体制の有無及び内容② 政策目的の実現のための新規立法の必要性
ü 基本法たる個人情報保護法との法目的・法体系の関係
ü 一般法たる個人情報保護法における個別規律の適用関係（適用特例、学術研究例外や適用除外等）

6

３. 個人情報等の利用目的との関連性・利用の適正性l

個人情報等の利用目的は、個人情報等の取扱いに関する規律の要となるものであり、できる限り特定することが必要である。

l

個人情報等の取扱いに関係する政策の企画立案・実施に当たっては、政策目的の実現のために取扱いが必要となる個人情報等について、利用目的が政策目的と関連するものであるか否かを検討した上で取り組むことが重要である。

l

また、取り扱われる個人情報等について、違法又は不当な行為の助長又は誘発のおそれがある方法により利用されないよう、政策を企画立案・実施することが必要である。

【具体的な観点（例）】① 個人情報等の利用目的の個別具体性
ü 本人にとっての一般的かつ合理的に想定できる程度
ü 第三者提供の有無及び内容② 政策目的と個人情報等の利用目的との関連性
ü 既存の利用目的との関連性（利用目的の変更の必要性及び可能性等）
ü 新たな利用目的の特定の必要性
ü 利用目的外の利用又は提供の可否（利用等の一時性、臨時性又は恒常性等）③ 不適正利用の可能性
ü 違法又は不当な行為の助長又は誘発のおそれがある利用方法の有無及び内容

7

４. 個人情報等の取扱いに関する外延の明確性
l

一般法たる個人情報保護法による規律の適用範囲を確定し、個人情報等の取扱いが本人の権利利益に与えるリスクに応じた必要かつ適切な安全管理措置を講ずるためには、取り扱われる個人情報等、個人情報等を取り扱う主体や場所等に関する外延を特定し、同法に規定する用語及びその定義に則り、これを明確化することが重要である。

l

また、以上に当たっては、政策分野に特有の事情に照らして、新規立法含め他の法令等による規律の適用が必要であるか否かを検討しつつ取り組むことが重要である。

【具体的な観点（例）】① 取り扱われる個人情報等の特定
ü 個人情報等の性質（機微性、公知性、データベース化・散在、加工、時間軸、推知可能性、公権力性等）
ü 個人情報等の量（本人数、項目数、保有期間等）
ü データ連携・共有が行われる個人情報等の範囲② 個人情報等を取り扱う主体の特定
ü 公的部門（行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人）
ü 民間部門（個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者、個人関連情報取扱事業者及び学術研究機関等）
ü 国立研究開発法人及び国立大学法人等（個人情報保護法別表第２等関係）
ü 報道機関、著述を業として行う者、宗教団体、政治団体（個人情報保護法の適用除外関係）
ü 第三者に該当しない主体（委託、合併等の事業承継、共同利用等）
ü 提供先の第三者（国内又は外国）
ü 国民生活及び経済活動の基盤に関する分野（サイバーセキュリティ基本法 12等）
ü データ連携・共有が行われる主体の範囲③ 個人情報等が取り扱われる場所の特定
ü 日本国内ü 我が国と同等水準の個人情報保護制度を有している外国ü その他の国又は地域④ 個人情報保護法の適用範囲
ü 適用特例（学術研究分野、医療分野）
ü 適用除外（報道分野、著述分野、宗教分野、政治分野）
ü 域外適用（国内にある者に対する物品又は役務の提供との関連性）
12

平成 26 年法律第 104 号。

8

５. 個人情報等の取扱いの安全性l

上記４を踏まえ、個人情報等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、各主体の事業、事務又は業務の規模及び性質、個人情報等の取扱状況（取り扱う個人情報等の性質及び量を含む。）、個人情報等を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な安全管理措置を検討した上で取り組むことが重要である。

l

また、以上に当たっては、政策分野に特有の事情に照らして、漏えい等の報告等に関する事業所管大臣等に対する個人情報保護委員会から権限の委任や、新規立法含め他の法令等に基づく措置が必要であるか否かを検討しつつ取り組むことが重要である。

【具体的な観点（例）】① 個人情報等の取扱プロセスを通じた必要性及び適切性ü 取得（本人からの直接取得、第三者等からの間接取得、公権力行使の有無、取得方法の適正性等）
ü 加工（匿名加工、仮名加工、削除情報等、プロファイリング等）
ü 委託（委託先の監督等）、合併等の事業承継、共同利用ü 管理（内容の正確性・最新性、保存期間、利用目的の達成に伴う廃棄等）
ü 第三者提供（民間部門における本人同意の事前取得やオプトアウト提供、公的部門
における利用目的の範囲内の提供や提供先に対する措置要求等）② リスクに応じた安全管理措置
ü 組織的な安全管理措置
ü 人的な安全管理措置（従業者の監督等）
ü 物理的な安全管理措置
ü 技術的な安全管理措置
ü 外的環境の把握ü サイバーセキュリティ対策（クラウドサービスの利用に伴うリスク等）
ü 経済安全保障の観点からの対応（越境移転に伴うリスク等）③ 権限の委任の必要性
ü 個人情報取扱事業者における個人データの漏えい等の報告
ü 個人情報取扱事業者等その他の関係者に対する報告徴求又は立入検査等

9６. 個人情報等に係る本人関与の実効性l

上記取組の実効性を高めつつ、個人情報等のデータに関するリテラシーを向上するため、個人情報等に係る本人が自らの意思に基づいてコントロールするという意識を涵養するという観点から、個人に寄り添った取組が重要である。

l

また、以上に当たっては、政策分野に特有の事情に照らして、新規立法含め他の法令等による対応が必要であるか否かを検討しつつ取り組むことが重要である。

【具体的な観点（例）】① 本人への通知又は公表等ü 利用目的の明示、通知又は公表
ü 個人情報ファイル簿の作成及び公表
ü 保有個人データに関する事項（安全管理措置の内容等）の公表等
ü 保有個人データの開示方法（電磁的記録の提供等）に関する本人の指示ü 漏えい等が発生した場合の本人通知
ü 越境移転時における外国の名称や個人情報保護制度等に関する本人への情報提供② 本人の請求権等による救済
ü 開示等請求（開示、訂正等（訂正、追加又は削除）、利用停止等（利用の停止、消去又は第三者提供の停止）
ü 任意代理人等による請求
ü 個人情報取扱事業者における第三者提供記録の開示請求
ü 苦情の処理10

７. 個人情報等の取扱いに関する透明性と信頼性l

個人情報等の取扱いに当たっては、事後における対処療法的な対応ではなく、プライバシーを含む個人の権利利益の保護を事業等の設計段階で組み込み、事後の改修等費用の増嵩や信用毀損等の事態を事前に予防する観点から、全体を通じて計画的にプライバシー保護の取組を実施する「プライバシー・バイ・デザイン（Privacy byDesign）」の考え方が重要である。

l

個人情報等の取扱いの透明性と信頼性を確保する観点から、個人情報等に係る本人の権利利益に対するリスク、本人や社会等にとって期待される利益等を明確にし、本人を含むマルチステークホルダーに対する説明責任を果たすため、プライバシー・バイ・デザインの考え方を踏まえたデータガバナンスの体制を構築することが重要である。

l

また、以上に当たっては、政策分野に特有の事情に照らして、認定個人情報保護団体制度の活用や、新規立法含め他の法令等による体制が必要であるか否かを検討した上で取り組むことが重要である。

【具体的な観点（例）】① リスク評価の実施
ü 特定個人情報保護評価（「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成 25 年法律第 27 号）第 27 条及び第 28 条）
ü PIA（Privacy Impact Assessment：JIS X 9251 プライバシー影響評価のためのガイドライン等）② ステークホルダーとのコミュニケーション
ü 政策目的や期待される個人の権利利益に与えるリスク
ü 個人情報等を取り扱う各主体に発生するリスク
ü リスクに応じた安全管理措置の必要性及び適切性③ 個人情報等の取扱いに関する責任者の設置
ü CPO（Chief Privacy Officer：最高プライバシー責任者）
ü DPO（Data Protection Officer：データ保護責任者）④ 体制の整備ü 姿勢や方針の明文化（プライバシーポリシー・ステートメント等）
ü 内部統制、外部監査（プライバシーマーク（JIS Q 15001 個人情報保護マネジメントシステム）、ISMS（JIS Q 27001 情報セキュリティマネジメントシステム）等）
ü 外部有識者との連携（プライバシーアドバイザリーボード、審議会・検討会等）
ü 官民連携・共同（認定個人情報保護団体等）

ü 個人情報保護委員会との緊密な連携協力
以上11