令和３年改正個人情報保護法について

令和４年１月２６日
個人情報保護委員会事務局

令和２年改正法と令和３年改正法

いわゆる３年ごと見直し規定に基づく改正
令和2年改正法
令和4年4月全面施行

個人の権利利益の保護と活用の強化、 越境データの流通増大に伴う新たなリスクへの対応、 ＡＩ・ビッグデータ時代への対応等
 利用停止・消去等の拡充、漏えい等の報告・本人通知
 不適正利用の禁止
 仮名加工情報の創設、個人関連情報の第三者提供制限
 越境移転に係る情報提供の充実 等

デジタル社会形成整備法に基づく改正

令和3年改正法
令和４年４月一部施行（地方部分は令和５年春頃施行）※

官民を通じた個人情報保護制度の見直し（官民一元化）
 官民通じた個人情報の保護と活用の強化
 医療分野・学術分野における規制の統一 学術研究に係る適用除外規定の見直し 等※令和４年４月１日以降は、令和３年改正法による各規定が適用。本資料中の条文番号は、同法のうち令和4年4月1日施行関係（デジタル
社会形成整備法第50条による国の行政機関、独立行政法人、学術研究機関等関係）を記載。なお、同第51条による地方公共団体等関係は令和５年春頃施行予定。

1

令和３年改正法の背景
１．今般、新たに「デジタル庁」を創設し、国や地方のデジタル業務改革を強力に推進していく方針。これに伴い、公的部門で取り扱うデータの質的・量的な増大が不可避。
⇒ 個人情報等の適正な取扱いに万全を期すため、独立規制機関である個人情報保護委員会が、公的部門を含め、一元的に監視監督する体制の確立が必要。
２．デジタル社会の進展や個人情報の有用性の高まりを背景として、官民や地域の枠を超えたデータ利活用が活発化。
⇒ データ利活用の支障となり得る現行法制の不均衡・不整合を是正する必要。
＜不均衡・不整合の例＞
・民間部門と公的部門で「個人情報」の定義が異なる。
・国立病院、民間病院、公立病院で、データ流通に関する法律上のルールが異なる。
・国立大学と私立大学で学術研究に係る例外規定のあり方が異なる。
・地方公共団体間で個人情報保護条例の規定やその運用が異なる（いわゆる「2000個問題」）

３．国境を超えたデータ流通の増加を踏まえ、GDPR十分性認定への対応を始めとする
国際的な制度調和を図る必要性が一層向上。
2令和３年改正法の概要①① 個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の3本の法律を1本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化。
② 医療分野・学術分野の規制を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用。
③ 学術研究分野を含めたGDPRの十分性認定への対応を目指し、学術研究に係る適用除外規定について、一律の適用除外ではなく、統合後の法律を適用し、義務ごとの例外規定として精緻化。
④ 個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化。

【現行】
所管

総務省

【見直し後】

個人情報保護委員会

各地方公共団体

①

法令

個
人
情行
報政
保機
護関
法

個独
人立
情行
報政
保法
護人
法等

個
人
情
報
保
護
法

保個
護人
条情
例報

対象

国の
行政機関

独立
行政
法人等

民間
事業者

地方公共
団体等

学術研究

個人情報
の定義等

個人情報保護委員会（統合後の）新個人情報保護法

国の行政機関
地方公共団体※ 等

・国立病院
・公立病院
・国立大学
・公立大学
・国立研究開発法人

民間
事業者
等

②

適用除外

対象を拡大し、規律を精緻化

照合可能性

容易照合
可能性

団体により
異なる

容易照合可能性（個情法の定義に統一）

非識別加工情報

匿名加工
情報

規定なし

匿名加工情報（個情法の名称に統一し、規律を明確化）（一部団体を除く）③④※ 条例による必要最小限の独自の保護措置を許容

33

令和３年改正法の概要②＜地方公共団体の個人情報保護制度に求められるもの＞＜改正の方向性＞

１ 社会全体のデジタル化に対応した「個人情報保護」と「データ流通」の両立○「個人情報保護」と「データ流通」の両立に必要な全国的な共通ルールを法律で設定○

法律の的確な運用を確保するため、国がガイドラインを策定○

その上で、法律の範囲内で、必要最小限の独自の保護措置を許容 ⇒条例を個人情報保護委員会に届出※ いわゆる「２０００個問題」①団体ごとの規定・運用の相違が、データ流通の支障となりうること②条例がないなど、求められる保護水準を満たさない団体があること等への問題提起がなされている

２ 個人情報保護に関する国際的な制度調和と我が国の成長戦略への整合例）・「条例要配慮個人情報」として保護する情報を規定
・個人情報の適切な取扱いを確保するため、特に必要な場合に限り審議会等からの意見聴取手続を規定

例）・EUにおけるGDPR（一般データ保護規則）十分性認定
・G20大阪首脳宣言におけるDFFT（信頼ある自由なデータ流通）○ 地方公共団体の現状
国
の
規
律
の
対
象

Ａ市
(国と同じ規律)

Ｂ組合（規律なし）

例）一部の規定がない

Ｃ市（規律の対象が国より少ない）共通ルールの設定※○ 共通ルール化後
共
通
ル
ー
ル

例）条例を制定していない共通ルールの設定により国と異なる規定ぶりは解消

例）・独自情報を追加
・国と異なる規定ぶり

Ｄ市（規律の対象が国より多い）

例）審議会等からの意見聴取

Ｅ市（手続を付加）必要最小限の独自の保護措置
意見聴取手続の必要性を精査

Ａ市

Ｂ組合

Ｃ市

D市

Ｄ
市

E市
Ｅ市

※医療・学術分野については、国の組織同様、民間規律を適用する。
※審議会等の役割は、個別事案に関する審議から、定型事例についての事前ルールの設定や、制度の在り方に関する調査審議に主な役割が移行。

4令和３年改正法に関するスケジュール

以下は現時点での大まかな見込みであり、今後の状況によって変わり得る。

令和３年
夏

令和４年
秋

冬

春

夏

令和５年
秋

冬

春

10.29

公
布

政令・規則

行政機関
独立行政法人等（規律移行法人等以外）

4.1

意見募集（8.4〜9.6）

公的部門ガイドライン・Q＆A

10.29

学術研究機関等
規律移行法人等

1.7

公
表
※

ガイドライン案
意見募集（10.29〜11.29）

周知・説明等

民間部門ガイドライン・Q&A

公表

相談等受付体制（規律移行法人等・地方等含む）

1.１

オプトアウト
届出開始

改
正
法
一
部
施
行

調
査
・
公
表

施
行
状
況

ガイドライン案
意見募集（8.4〜9.6）

今回改正法に係る箇所の改正等周知・説明等

政令・規則
意見募集

地方公共団体等
公的部門ガイドライン・Q＆A
周知・説明等

ガイドライン案
意見募集

公布

オプトアウト
届出開始

公
表

条例
届出開始

改
正
法
全
面
施
行

※ ガイドライン（行政機関等編）を公表。今後、「事務対応ガイド」及び「Ｑ＆Ａ」を公表予定。
注：令和２年改正法は令和４年４月１日に全面施行予定。同法及び令和３年改正法の施行に向け、「個人情報の保護に関する基本方針」も変更予定。、
5

令和３年改正法の骨子①

骨子①：法体系の統合・一本化（従来）• ３法： 国の行政機関、独立行政法人等、民間事業者• 条例： 地方公共団体、地方独立行政法人（改正後）
 個人情報保護法に統合・一本化、個人情報保護委員会が監視監督
 改正後の法律は、地方公共団体の機関・地方独立行政法人にも直接適用※ 議会については適用除外。
※ 既存条例については、改廃の検討が必要。改正後の法律が直接適用されるため、条例に重複する規定を存置し、又は新たに整備する必要は無い。
6令和３年改正法の骨子②

骨子②：公的部門の規律統一• 国の行政機関• 独立行政法人等• 地方公共団体の機関

現行の国の行政機関の規律 +α• 地方独立行政法人

7令和３年改正法の骨子③

骨子③：公的部門の規律見直し
新たな保護に関するルールの導入
 令和２年個人情報保護法改正（民間部門）の反映• 仮名加工情報の取扱いに係る義務• 個人関連情報の提供を受ける者に対する措置要求• 不適正利用・取得の禁止• 外国にある第三者への提供制限
 規律の明確化、民間部門の規律との均衡• 任意代理人による開示等請求• 再委託・派遣労働者に係る規律の明記
8令和３年改正法の骨子④

骨子④：病院・大学・研究機関の規律統一
病院・大学・研究機関全体の規律見直しの一環として、国公立の病院・大学・研究機関の規律も下記のとおり変化。
（従来）• 同種の業務にも関わらず規律の不均衡
 民間カウンターパートとの共同プロジェクト（改正後）
 改正後の個人情報保護法では、民間部門の規律に移行・一本化。
※ただし、開示請求等に係る制度など、一部の公的部門の規律が適用。

9

［参考］病院・大学・研究機関の規律統一（現在の状況）
・ 現行の独法等個情法は、法の対象となる法人を、情報公開法における整理を踏襲し、①理事長等の人事権が政府にあるか、②法人に対して政府が出資できるか、を基準に決定。
・ その結果、医療分野・学術分野の独法等において、民間のカウンターパートとの間で個人情報を含むデータを利用した共同作業が継続的に行われているにもかかわらず、民間のカウンターパートと適用される規律が大きく異なる、という不均衡が発生。

【行政の広義の内部関係】【行政と民間との外部関係】

総務省が法運用の統一性と法への適合性を内部から確保

個人情報保護委員会が法の遵守状況
を外部から規制・監督

・個人情報ファイル保有の事前チェック（独法等を除く）
・法の施行状況の調査・公表
・総合案内所の運営
・管理指針の策定
情報公開・個人情報保護審査会が、開示決定等に係る審査請求について、第三者的立場からチェック

国の行政機関・ガイドラインの策定・報告及び立入検査
・指導及び助言
・勧告及び命令・間接罰

独立行政法人等

民間事業者

国立大学
国立病院
国立研究機関

私立大学
民間病院
民間研究機関規律の不均衡が発生

10［参考］病院・大学・研究機関の規律統一（改正の考え方）
・ 独法等のうち、民間のカウンターパートとの間で個人情報を含むデータを利用した共同作業を継続的に行うもの等（本人から見て官民で個人情報の取扱いに差を設ける必要性の乏しいもの）には民間事業者と同様の規律を適用。
・ ただし、本人からの開示等請求に係る規定及び匿名加工情報の提供に係る規定については、これらの規定がそれぞれ情報公開法制を補完する側面や広義のオープンデータ政策としての性格を有することに鑑み、現行法と同様、全ての独法等を行政機関に準じて扱う。

【行政の広義の内部関係】
個人情報保護委員会が法運用の統一性と法への適合性を内部から確保

国の行政機関独法等のうち、民間に類する立場で民間のカウンターパー
トとの間でデータを利用した共同作業を継続的に行うもの等（例）

・国立研究開発法人
・国立病院機構
・国立大学法人
・大学共同利用機関法人
独法等のうち、公権力の行使に類する形で個人情報を保有するもの等、上記に該当しないもの（例）

・行政執行法人※【行政の外部関係】
個人情報保護委員会が法の遵守状況を外部から規制・監督
原則として同じ規律を適用

民間事業者
・私立大学
・民間病院
・民間研究機関※ これらの独法等が「公権力の行使に類する形で個人情報を保有する業務」も行っている場合は、当該業務における個人情報の取11扱いについては例外的に行政機関と同様の安全管理措置義務を適用する。

［参考］規律移行法人等•

国の機関である国立大学法人、医療事業を行う独立行政法人等（※）における個人情報の取扱い及び独立行政法人労働者健康安全機構の行う病院の運営に係る個人情報の取扱いについては、学術研究機関、医療機関等としての特性を踏まえ、基本的に民間学術研究機関、医療機関等と同様、民間部門における個人情報の取扱に係る規律が適用される。
※ 国立大学法人、医療事業を行う独立行政法人等とは、改正後法別表第２に掲げる次の法人等をいう。
 沖縄科学技術大学院大学学園
 国立研究開発法人
 国立大学法人
 大学共同利用機関法人
 独立行政法人国立病院機構
 独立行政法人地域医療機能推進機構
 放送大学学園•

他方、政府の一部を構成するとみられる独立行政法人等としての特性を踏まえ、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、現行の取扱いを維持し、公的部門における規律（［第60条、第75条、第５章第４節、第５節、第122条第２項、第125条及び第６章から第８章まで（第171条、第175条及び第176条を除く。）］ ）が適用される。

※地方独立行政法人に関する規律（令和５年春施行予定）•

地方公共団体の機関における病院、診療所及び大学の運営や、学術研究及び医療事業を行う地方独立行政法人についても、国立大学法人、医療事業を行う独立行政法人等と同様、原則として民間部門における個人情報の取扱いに係る規律が適用される一方で、開示請求等に係る制度及び行政機関等匿名加工情報の提供については、公的部門における規律が適用される。
12

［参考］病院・大学・研究機関と規律の適用関係
個人情報等の取扱 個人情報ファイル簿 開 示 、 訂 正 、 利 用 匿 名 加 工 情 報 にい等に関する規律に関する規律停止等に関する規律 関する規律
国の行政機関公的部門の規律（第5章第2節）

独立行政法人等

公的部門の規律（第5章第2節）

別表第二に掲げる法人及び（独）労働者
健康安全機構 ※1
地方公共団体の機関
病院、診療所、及び大学の運営の業務
地方独立行政法人

民間部門の規律（第4章）※2、3

公的部門の規律（第5章第3節）

公的部門の規律（第5章第3節）

公的部門の規律（第5章第4節）

公的部門の規律（第5章第5節）※第75条のみ

公的部門の規律（第5章第2節）
民間部門の規律（第4章）※2、3
公的部門の規律（第5章第2節）

試験研究等を主たる目的とするもの、大学
民間部門の規律等の設置・管理及び（第4章）※2、3
病院事業の経営を目的とするもの※1 独立行政法人労働者健康安全機構については、病院の運営の業務に限る。
※2 保有個人データに関する事項の公表等（第32条）並びに開示、訂正等及び利用停止等（第33条〜第39条）に関する規定は適用されない。
※3 民間の事業者である匿名加工情報取扱事業者等の義務（第4節）に関する規定は適用されない。

13令和３年改正法の骨子⑤

骨子⑤：学術研究分野の精緻化
学術研究機関等が学術研究目的で個人情報の取扱いを行う場合について、学問の自由に配慮しつつ、個人の権利利益の侵害の防止を制度的に担保するため、下記のとおり制度の見直しを実施。

（従来）• 一律に法律の適用から除外。
（改正後）
 安全管理措置や開示等請求等については、他の民間事業者と同様の規律を適用。
 研究データの利用や流通を直接制約し得る、利用目的の変更
制限や、要配慮個人情報の取得制限、第三者提供制限等については、個人の権利利益を不当に侵害するおそれがある場合を除き、例外規定を整備。
14

学術研究分野における規律の概要
 現行の個人情報保護法は、学術研究機関等が学術研究目的で個人情報を取り扱う場合を一律に適用除外としている。
 令和３年改正法により、民間部門の学術研究機関にも個人情報保護法の規律（安全管理措置（第23条）、本人からの開示等請求への対応（第33条等）等）が適用されることとなる。
 また、学術研究を行う独立行政法人等や地方公共団体の機関、地方独立行政法人についても、民間学術研究機関等と同様の規律が適用されることになるが、開示等や行政機関等匿名加工情報の提供等については、引き続き公的部門の規律が適用される。
 その上で、学術研究目的で個人情報を取り扱う場合には、① 利用目的による制限（第18条）、② 要配慮個人情報の取得制限（第20条第2項）、③ 個人データの第三者提供の制限（第27条）など、研究データの利用や流通を直接制約し得る義務については、個人の権利利益を不当に侵害するおそれがある場合を除き、例外規定を置いている。
１．利用目的変更の制限の例外 ※４．学術研究機関等の責務

 学術研究機関等が個人情報を学術研究目的で取り扱う必要がある場合• 個人情報取扱事業者である学術研究機関等が学術研究目的で個人情報を取り扱う場合の責務を規定。

 学術研究機関等に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合

２．要配慮個人情報取得の制限の例外 ※ 当該個人情報の取扱いについて、個人情報保護法を遵守。

 個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表（努力義務）。

 学術研究機関等が要配慮個人情報を学術研究目的で取り扱う必要がある場合

５．規律移行法人等

 個人情報取扱事業者が要配慮個人情報を学術研究目的で取得する必要があり、かつ、当該個人情報取扱事業者と共同して学術研究を行う
学術研究機関等から当該要配慮個人情報を取得する場合• 国公立の病院、大学等、法別表第２に掲げる法人（規律移行法人
等）については、原則として民間の病院、大学等と同等の規律を適用。

３．第三者提供の制限の例外 ※ 個人データを提供する個人情報取扱事業者が学術研究機関等である
場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合 など• ただし、開示、訂正及び利用停止に係る取扱いや行政機関等匿名加工情報の提供等については、公的部門の規律が適用される。
※個人の権利利益を不当に侵害するおそれがある場合を除く。
※その他、外国第三者提供の制限（第28条）、第三者提供の確認記録
義務（第29条・30条）等も例外となる。
15

［参考］学術研究に係る適用除外規定の見直し（精緻化）・ ＥＵから日本の学術研究機関等に移転された個人データについてもＧＤＰＲに基づく十分性認定を適用可能とすることを視野に、一元化を機に、現行法の学術研究に係る一律の適用除外規定を見直すこととし、個別の義務規定ごとに学術研究に係る例外規定を精緻化する。
・ 大学の自治を始めとする学術研究機関等の自律性を尊重する観点から、第146条第１項の趣旨を踏まえ、学術研究機関等に個人情報を利用した研究の適正な実施に関する自主規範の策定・公表を求めた上で、自主規範に則った個人情報の取扱いについては、
個人情報保護委員会は、原則として、その監督権限を行使しないこととする。また、個人情報保護委員会は、自主規範の策定を支援する観点から、必要に応じ、指針を策定・公表する。

【見直し後】【現行法】

利用目的による制限※１

学術研究は例外 ※２（＝学術研究機関等が学術研究目的で個人情報を取り扱う必要がある場合は例外）

要配慮個人情報の取得制限

個人情報取扱事業者の義務

学術研究は
全て
適用除外
（＝学術研究機関等が学術研究目的で個人情報を取り扱う場合は全て適用除外）学術研究は例外
学術研究は例外 ※３

第三者提供の制限➀学術研究機関等による研究
成果の発表・教授に不可欠②提供先が学術研究機関等③提供元が学術研究機関等
かつ提供先と共同研究

安全管理措置等

学術研究も適用

保有個人データの開示等

学術研究も適用※４

個人情報保護委員会が監督 ※５※１ 学術研究機関等：大学（私立大学、国公立大学）、学会、国立研究開発法人 等（下線は今回追加されるもの）※２ 個人の権利利益を不当に侵害するおそれがある場合（例：民事上の不法行為となり差止請求が認められるような場合）は、例外とならない※３ その他、外国第三者提供の制限（第28条）、第三者提供の確認記録義務（第29条・30条）等についても例外※４ 国公立大学及び国立研究開発法人の場合は、保有個人情報の開示等については行政機関と同じ規律を適用※５ 利用目的の特定・公表（第17条・21条）、不適正利用・取得の禁止（第19条・20条1項）、漏えい報告（第26条）も適用

16

［参考］「学術研究機関等」及び「学術研究目的」
法第16条第８項
8

この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。

•
•

•
•

「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである
場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
※国公立の大学等、法別表第２に掲げる法人（規律移行法人）のうち、学術研究機関等にも該当するものについては、
原則として民間の大学等、民間の学術研究機関等と同等の規律が適用される。

学術研究目的「学術研究目的」に関する主な条文① 利用目的変更の制限の例外に関するもの（法第18条第3項第5号及び第6号）② 要配慮個人情報の取得の制限の例外に関するもの（法第20条第2項第5号及び第6号）③ 個人データの第三者提供の制限の例外に関するもの（法第27条第1項第6号及び第7号）④ 学術研究機関等の責務に関するもの（法第59条）••「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。

17

［参考］例外規定の適用に関する共通要件
 学術研究機関等による学術研究目的の個人情報等の取扱いは、安全管理措置や開示請求等の義務を課すが、一般の個人情報取扱事業者が遵守する以下の規制については、例外規定が適用される。
① 利用目的変更の制限に関するもの（法第18条第3項第5号及び第6号）② 要配慮個人情報の取得の制限に関するもの（法第20条第2項第5号及び第6号）③ 個人データの第三者提供の制限に関するもの（法第27条第1項第6号及び第7号）
 これらの規制が例外的に除外されるためには、「学術研究目的で取り扱う必要がある」場合であって、「個人の権利利益を不当に侵害するおそれがある場合」に当たらないことが必要。

【学術研究目的で取り扱う必要がある】• 「学術研究目的で取り扱う必要がある」場合については、一般の民間事業者による個人情報の利用と比べ、個人の権利利益が侵害されるおそれが相当程度低下することとなる一方で、真理の発見・探求を目的とする学術研究における意義が認められるものであることから、学術研究による目的外利用又は学術研究機関等に対する提供を認めることによる利益が、これらを認めることによる本人への不利益を上回るものと考えられる。
• そのため、学術研究による目的外利用又は学術研究機関等に対する提供は、学術研究目的で当該個人情報を取り扱う必要性がある場合に限られ、その上で、当該学術研究目的の達成のため必要最小限の範囲で取り扱うことが必要である。
• また、学術研究目的で取り扱う必要があって、学術研究による目的外利用又は学術研究機関等に対して提供する場
合であっても、本人又は第三者の権利利益の保護の観点から、個人を識別することができないよう個人情報を加工するなど、可能な措置を講ずることが望ましい。
【個人の権利利益を不当に侵害するおそれがある場合】• 個人の権利利益を不当に侵害するおそれがある場合には、目的外利用又は提供をすることはできない。この場合、当該個人情報を不当に侵害しないような形で加工するなど適切に処理する必要がある。

18

［参考］利用目的変更の制限の例外
法第18条第３項第５号(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が個人情報を学術研究目的で取り扱う必要がある場合（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、法第18条第1項又は第2項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

法第18条第３項第６号(6)

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

個人情報取扱事業者が、学術研究機関等に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）は、法第18条第1項又は第2項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
19

［参考］要配慮個人情報取得の制限の例外
法第20条第２項第５号(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が要配慮個人情報を学術研究目的で取り扱う必要がある場合（当該要配慮個人情報を取り扱う
目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、
当該学術研究機関等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

法第20条第２項第６号(6)

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。

•

個人情報取扱事業者が要配慮個人情報を学術研究目的で取得する必要があり、かつ、当該個人情報取扱事業者と共同して学術研究を行う学術研究機関等から当該要配慮個人情報を取得する場合（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

20

［参考］第三者提供の制限の例外
法第27条第１項第５号(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）には、第三者への個人データの提供に当たって、本人の同意は不要である。
事例1）・・・顔面の皮膚病に関する医学論文において、症例に言及する場合であって、写真全体にモザイク処理を施す等の対応をすることにより当該論文による研究成果の公表の目的が達せられなくなるとき
事例2）・・・実名で活動する特定の作家の作風を論ずる文学の講義において、当該作家の実名を含む出版履歴に言及する場合であって、作家の実名を伏せることにより当該講義による教授の目的が達せられなくなるとき

法第27条第１項第６号(6)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個
人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

•

学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）には、第三者への個人データの提供に当たって、本人の同意は不要である。

21

［参考］第三者提供の制限の例外
法第27条第１項第７号(7)

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

•

学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）には、当該学術研究機関等に対する個人データの第三者提供に当たって、提供する個人情報取扱事業者は、本人の同意を取得する必要がない。

22

［参考］学術研究機関等の責務
法第59条
個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

•

•

•

•

学術研究機関等が学術研究目的で個人情報を取り扱う場合には、当該個人情報の取扱いについて、この法律を遵守するとともに、学術研究機関等について法律の特例が設けられているものも含め、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
この点、個人情報の利用、取得及び提供に係る規律のうち、個人情報の目的外利用（法第18条）、要配慮個人情報の取得（法第20条第２項）及び第三者提供の制限（法第27条）に関しては、学術研究機関等が学術研究の用に供する場合、学術研究機関等が学術研究の結果の発表又は教授の用に供する場合、及び非学術研究機関等
が学術研究機関等と共同して学術研究の用に供する場合について、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限って、事前の本人同意を要しない等の特例が設けられている。
一方で、個人情報の利用、取得及び提供に係る規律であっても、利用目的の特定（法第17条）、不適正な利用の禁止（法第19条）、適正な取得（法第20条第１項）、利用目的の通知（法第21条）及びデータ内容の正確性の確保（法第22条）については、他の個人情報取扱事業者と同様の規律が学術研究機関等にも適用されることになる。
また、個人データの安全管理措置に係る規律（法第23条から第26条まで）、保有個人データの開示、訂正等及び利用停止等の請求に係る規律（法第33条から第40条まで）、仮名加工情報取扱事業者等の義務（法第４章第３節）、匿名加工情報取扱事業者等の義務（法第４章第４節）及び民間団体による個人情報の保護の推進に係る規定（法第４章第５節）についても、他の個人情報取扱事業者と同様の規律が学術研究機関等にも適用されることになる。
23［参考］学術研究機関等の責務（学術研究機関等による自主規範の策定・公表について）••

大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規
範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範に則っているときは、法第146条第１項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
ただし、自主規範に則った個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。

【参考】法第146条第１項
委員会は、前三条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。

24

［参考］民間部門ガイドライン（学術研究機関等関係)の概要• 令和３年改正法で、学術研究機関等が学術研究目的で個人情報等を取り扱う場合の規律について、一律の法の適用除外ではなく、個別の規定ごとに例外規定を設けることとしたこと、国立の病院、大学等の別表第２に掲げる法人等については、原則として民間の病院、大学等と同様の規律を適用することとしたことを踏まえ、民間部門ガイドラインを改正し、同年10月29日に公表。
• これに加え、同ガイドライン（通則編）については、令和３年改正法における「学術研究機関等」に関する定義規定の追加や条文構造の変化に即して、全体の構成を修正（記載内容については従前のものを踏襲）。
事項
令和３年改正法の内容
ガイドライン案の改正内容• あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる場合について、学術研究に関する記載を追加

利用目的変更の制限の例外

要配慮個人情報取得の制限の例外

第三者提供の制限の例外



学術研究機関等が個人情報を学術研究目的で取り扱う必要がある場合



学術研究機関等に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合学術研究に係る適用除外規定について、
一 律 の 適 用 除 外 で は な く 、 学 術 研 究 • あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる場合に機関等が学術研究目的で個人情報をついて、学術研究に関する記載を追加
取り扱う場合には 、研究データの利用や流通を直接制約し得る義務については、  学術研究機関等が要配慮個人情報を学術研究目的で取り扱う必要がある場合
個 人 の 権 利 利 益 を 不 当 に 侵 害 す る  個人情報取扱事業者が要配慮個人情報を学術研究目的で取得する必要があり、かつ、
おそれがある場合を除き、例外規定を
当該個人情報取扱事業者と共同して学術研究を行う学術研究機関等から当該要配慮
置く
個人情報を取得する場合※左記の他、外国第三者提供の制限、第三者提供の 確認記録義務等も同様。

学術研究機関
等の責務

個人情報取扱事業者である学術研究機関等が学術研究目的で個人情報を取り扱う場合の責務を規定する

規律移行法人等

国立の病院、大学等の別表第２に掲げる法人等（規律移行法人等）については、原則として民間の病院、大学等と同等の規律を適用する• あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる場合
について、学術研究に関する記載を追加

 個人データを提供する個人情報取扱事業者が学術研究機関等である場合であり、かつ、
当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合 など• 学術研究機関等の責務について、解釈を具体的に記載


学術研究機関等に係る法律の特例・適用関係

学術研究機関等による自主規範の策定・公表（努力義務）•

原則として民間の病院、大学等と同等の規律が適用される法人について、その対象となる法人や法の適用関係を記載※ 以上のほか、各ガイドラインにおいて、令和３年法改正に伴う「条ずれ」対応等の所要の改正を実施

25

［参考］「デジタル社会の実現に向けた重点計画」※の案に対する※令和3年12月24日閣議決定
個人情報保護委員会の意見 デジタル社会形成基本法第37条第４項及び官民データ活用推進基本法第８条第４項の規定に基づく内閣総理大臣に対する個人情報保護委員会の意見（令和３年12月15日）の骨子
 デジタル社会の実現に向けた政策の遂行に当たっては、個人情報の有用性に配慮しつつ、個人の権利利益を保護するために、個人情報を含む個人に関する情報（以下「個人情報等」という。）の適正な取扱いが確保されることが肝要。
 各施策の実施に当たって留意すべき事項
1. 令和３年改正法により改正後の個人情報保護法の規律に則り、本人の権利利益を保護するため、行政機関等における個人情報等の適正な取扱いを確保するべきこと。
2. 行政機関等が個人情報等を取り扱う施策やシステム構築を実施する際には、その透明性と信頼性の確保が特に重要であることから、政策目的や国民が得ることが期待される便益を明確にし、それらをわかりやすく、丁寧に国民に説明するべきこと。

3. 個人情報等を取り扱う施策の遂行やシステム構築の実施に当たり、取り扱うデータの内容、データの流れ、データの取扱いに関わる者の範囲、データの利用目的、安全管理レベル等の事前評価のため、
PIA（Privacy Impact Assessment：個人情報保護評価）の手法を用いることや、個人
データの取扱いに関する責任者の設置などのデータガバナンスの体制を構築することは、各施策やシステムの透明性と信頼性の確保のために有効であること。
4. 個人情報等の取扱いについては、委員会による個人情報等の保護及び適正かつ効果的な活用に係る施策と十分に連携すること。

26