情報法制学会第4回研究大会JILIS報告
2020年12月5日 後日配布版

個人情報保護法制

令和3年改正のその先に向けて
一般財団法人 情報法制研究所
理事 高木浩光1

一般財団法人 情報法制研究所

1年前の本大会では
情報法制学会第3回研究大会 JILIS報告2
2019年12月15日（後日配布版）••

個人情報保護法改正についての提言••••リクナビ事案の教訓

一般財団法人 情報法制研究所
個人情報保護法の本来の趣旨が再確認（再発見）された理事 高木浩光
本来の趣旨＝「データによる個人の選別」問題の防止「旧スキーム」とか「新スキーム」とか1•• •統計量への集計は目的外利用に当たらないことを明確に•「個人を識別することができる」とは•• 法目的を具体的に明確化することが必要
••
•• •
•

課題

••

ルールの違い目的内提供についての制限の有無、委託・共同利用スキームの有無••対象情報の違い••
情報公開・個人情報保護審査会との関係•••

例外の構成の違い「照合することができ」と「容易に照合することができ」
散在情報と処理情報

注意点「個人情報ファイル」に対する規律の意義の再確認

単に個人情報ファイル簿の公開だけではない
自動処理による問題への対応の観点から（民間部門同様に）規律すべき41

一般財団法人 情報法制研究所

旧スキーム = cookieのみで突合
5月ヒアリングでの意見
新スキーム = 氏名等のハッシュ値で突合

現状Q&Aにあるのみなのを上位規定に（➡ 対応なし？）
個人の選別が可能なものは本来すべてが対象だったはず
氏名到達性はその一例にすぎない（要件ではない）

実は「特定の」には意味がないことが判明
個人データに基づき本人に何らかの影響を及ぼすことが問題拙稿「個人情報保護から個人データ保護へ 民間部門と公的部門の規定
1条の「権利利益」に例示列挙を（➡ 対応なし？）••

統合に向けた検討（3）」（情報法制研究4号）参照

JILISレポート Vol.2 No.12

情報法制学会第3回研究大会 講演録
個人情報保護法改正についての提言

利用停止請求権の強化は事実上のproﬁling対応か
一般財団法人 情報法制研究所➡ 当初予定とは違ってきたか？（後述）

一般財団法人情報法制研究所 理事

利用目的にプロファイリングの有無の記載を義務化せよ

高木 浩光➡ 「保有個人データ公表事項の充実」で対応か？

第105回 個人情報保護委員会（令和元年5月17日）資料6 高木浩光氏御提出資料 参照
https://www.ppc.go.jp/ﬁles/pdf/0517̲shiryou6.pdf
52

公的部門の集約・一体化、委員会が一元的に所管•

むしろ1970年代からこれが懸念されていた一般財団法人 情報法制研究所

4

•

次の課題

国立研究開発法人産業技術総合研究所 主任研究員

ご挨拶・概要情 報 法 制 研 究 所 の 高 木 で ご ざ い ま す。 こ の 枠 はJILIS の活動からの報告ということで、「個人情報保一般財団法人 情報法制研究所

JILISでの研究

リクナビ事案の教訓

法の本来の趣旨

統計利用不問の明確化
法目的の明確化

5月ヒアリングでの意見
9月セミナーでの提言

賛同

か と 言 え ば 私 の 意 見 と い う こ と に な り ま す が、 これについて述べます。

提案「世界」での指摘

提案

個人の選別

自ら生成データも利用停止請求の要件緩和

提案

オプトアウト規制強化

提案

適正利用義務の明確化

プロファイリングhttps://jilis.org/report/

護 法 改 正 に つ い て の 提 言 」 と 題 し ま し て、 ど ち ら

改正大綱の評価

賛同

提案

提案

提供元基準とは保有個人データ
公表事項の充実
提供先で個人データ

一般財団法人 情報法制研究所

個 人 情 報 保 護 法 の 改 正 に つ い て は、 今 年 4 月 に

まず「中間整理」 が個人情報保護委員会から公表
さ れ ま し て、 パ ブ コ メ も あ り ま し た。5 月 に は 有

識 者 ヒ ア リ ン グ （12 名 +1 名 ） が あ り、 私 も 呼 ば
れ ま し て、 意 見 を 述 べ た と こ ろ で す。 そ う こ う して い る う ち に、8 月 に な り ま し て、 リ ク ナ ビ 事 案

リクナビ事案の解決

仮名化データの創設
公的部門との一体化

次の課題

図 1 本日のトピックと い う 関 係 に あ る と い う こ と。 こ れ ら か ら、 リ ク

ナビ事案の解決が今度の改正でどう担保されるの

公民一元化の状況•令和3年改正法案へ••注目のポイント

条例2000個問題も解消へ•••統一する理由付け

医療分野・学術分野、例外の行方

公的部門と民間部門とで提供のルールが異なる理由

3

一般財団法人 情報法制研究所

統一する理由付け
個人情報保護制度見直しの狙い

1

１．個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の3本の法律を統合し、民間事業者、国の行政機関、独立行政法人等の3者における個人情報の取扱いを、独立規制機関である個人情報保護委員会が一元的に所管する体制を構築する。
＜一元的所管の具体的な意味＞
・ 統合後の法律の執行（監視・監督）は、個人情報保護委員会が行う。
・ 統合後の法律の有権解釈権は、個人情報保護委員会に一元的に帰属する。
・ 統合後の法律に係る企画・立案（附則検討条項に基づく制度の見直し等）は、個人情報保護委員会が行う。
２．その際、来年の通常国会に改正法案を提出する前提で、現行法制の縦割りに起因する不均衡や不整合を可能な限り是正する。
＜不均衡・不整合の例＞
・ 民間部門と公的部門で「個人情報」の定義が異なる。
・ 国立病院、民間病院、自治体病院で、データ流通に関する法律上のルールが異なる。
・ 国立大学と私立大学で学術研究に係る例外規定のあり方が異なる。
○平成27年個人情報保護法改正法附則附則第十二条６ 政府は、新個人情報保護法の施行の状況、第一項の措置の実施の状況その他の状況を踏まえ、新個人情報保護法第二条第一項に規定する個人情報及び行政機関等保有個人情報の保護に関する規定を集約し、一体的に規定することを含め、個人情報の保護に関する法制の在り方について検討するものとする。

4

一般財団法人 情報法制研究所

３者における個人情報の取扱いを一元的に監視監督する体制を構築しようとするものであるが、その際、現行法制の縦割りに起因する規制の不均衡や不整合を可能な限り是正することが求められている。

倫理指針による規律の限界

２．現行法制の縦割りに起因する規制の不均衡は、保護３法においては、医療分野・学術分野における個人情報の取扱いに関する規律に最も顕著に表れている。すなわち、医療分野・学術分野では、実質的に同等の立場で個人情
１－２
医療分野・学術分野における規制の統一
報を取得・保有している法人であっても、当該法人が公的部門に属するか（独立行政法人、国立大学法人等）、民間部門に属するか（私立大学、民間（１）現行法制の課題
病院、民間研究機関等）によって、適用される法律上の規律が大きく異なっており、これが、公的部門と民間部門との垣根を越えた連携医療や共同研
１．
今般の個人情報保護法制の見直しは、保護３法を統合し、独立規制機関で究の実施を躊躇させる一因となっているとの指摘もある。
ある個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等の３者における個人情報の取扱いを一元的に監視監督する体制を構築しよう
３．
このような医療分野・学術分野における規制の不均衡を、現行法制の制約とするものであるが、その際、現行法制の縦割りに起因する規制の不均衡下で可能な限り是正するため、政府では、「人を対象とする医学系研究に関や不整合を可能な限り是正することが求められている。
する倫理指針」（平成２６年文部科学省・厚生労働省告示第３号）等の指針
やガイドラインを定め、研究主体が公的部門に属するか民間部門に属する
２．
現行法制の縦割りに起因する規制の不均衡は、保護３法においては、医療
かにかかわらず共通して適用される個人情報の取扱いに関するルールを定
分野・学術分野における個人情報の取扱いに関する規律に最も顕著に表れめている。
ている。すなわち、医療分野・学術分野では、実質的に同等の立場で個人情報を取得・保有している法人であっても、当該法人が公的部門に属するか
４．しかしながら、このような指針等による規律の平準化という手法には、（独立行政法人、国立大学法人等）、民間部門に属するか（私立大学、民間① 保護３法で規制の強弱や広狭に差がある場合には、最も強い規制や最病院、
民間研究機関等）によって、適用される法律上の規律が大きく異なっも広い規制に全体を揃えざるを得ず、結果として規律の厳格化を招くており、これが、公的部門と民間部門との垣根を越えた連携医療や共同研② その反面、保護３法の規制を越えて上乗せ的に課される規律について究の実施を躊躇させる一因となっているとの指摘もある。
は、裁判規範としての効力や保護３法上のエンフォースメントの手段を欠く
３．このような医療分野・学術分野における規制の不均衡を、現行法制の制約といった内在的な問題や限界があり、今般の保護３法の統合（以下「一元下で可能な限り是正するため、政府では、「人を対象とする医学系研究に関5化」という）の機に、より抜本的な形で医療分野・学術分野における規制のする倫理指針」（平成２６年文部科学省・厚生労働省告示第３号）等の指針
一般財団法人 情報法制研究所
不均衡を是正することが求められている。
やガイドラインを定め、研究主体が公的部門に属するか民間部門に属する
かにかかわらず共通して適用される個人情報の取扱いに関するルールを定めている。

学術研究の例外
7

４．しかしながら、このような指針等による規律の平準化という手法には、① 保護３法で規制の強弱や広狭に差がある場合には、最も強い規制や最5
学術研究に係る適用除外規定の見直し（精緻化）も広い規制に全体を揃えざるを得ず、結果として規律の厳格化を招く
・ ＥＵから日本の学術研究機関等に移転された個人データについてもＧＤＰＲに基づく十分性認定を適用可能とす② その反面、保護３法の規制を越えて上乗せ的に課される規律についてることを視野に、一元化を機に、現行法の学術研究に係る一律の適用除外規定を見直すこととし、個別の義務規定
ごとに学術研究に係る例外規定を精緻化する。
は、裁判規範としての効力や保護３法上のエンフォースメントの手段を・ 大学の自治を始めとする学術研究機関等の自律性を尊重する観点から、学術研究機関等に個人情報を利用した
欠く
研究の適正な実施に関する自主規範の策定・公表を努力義務として求めるとともに、自主規範に則った個人情報の取扱いについては、個人情報保護委員会は、原則として、その監督権限を行使しないこととする。また、個人情報保といった内在的な問題や限界があり、今般の保護３法の統合（以下「一元護委員会は、自主規範の策定を支援する観点から、必要に応じ、指針を策定・公表する。
化」という）の機に、より抜本的な形で医療分野・学術分野における規制の【見直し後】【現行法】
不均衡を是正することが求められている。

個人情報取扱事業者の義務

学術研究は
全て
適用除外
（＝学術研究機関等が学術研究目的で個人情報を取り扱う場合は全て適用除外）利用目的による制限

学術研究は例外

要配慮個人情報の取得制限

学術研究は例外

第三者提供の制限➀学術研究機関等による研究
成果の発表・教授の際に必要②提供先が学術研究機関等③提供元が学術研究機関等
かつ提供先と共同研究

安全管理措置等

学術研究も適用

保有個人データの開示等

学術研究も適用7（＝学術研究機関等が学術研究目的で個人情報を取り扱う必要がある場合は例外）

学術研究は例外 ※１※２

個人情報保護委員会が監督※３※１ 学術研究機関等：大学（私立大学、国立大学）、学会、国立研究開発法人 等（下線は今回追加されるもの）※２ 国立大学及び国立研究開発法人の場合は、保有個人情報の開示等については行政機関と同じ規律を適用※３ 利用目的の特定・公表（15条・18条）不適正利用・取得の禁止（16条の２・17条1項）漏えい報告（22条の２）も適用
6

一般財団法人 情報法制研究所

•

法改正後に生ずるはずの課題

指針をどう決めるか•••••どのような基準、考え方で？
••
特に提供のルール

法の例外の中でフリーハンドで決められることになるが……
これまでの決め方とは異なることになる……

誰が決められるのか？

国民の理解は得られるのか？
国際的整合性は？

7

一般財団法人 情報法制研究所•

8

須藤修先生 基調講演でのご指摘（先週の情報ネットワーク法学会大会）「世界と乖離している。人権との関係を整理が必要。」

一般財団法人 情報法制研究所

須藤修先生 基調講演でのご指摘
マイナンバー制度推進とデジタル庁
マイナンバーによる情報連携について 、住民 利便性向上や行政事務効率化など、社会保障・税関係業務で 徐々にそ 効果が出てきている。
クラウド化 進展とともに、データ戦略 重要性がますます大きくなる。今後「正確かつ精緻なデータ 整備」が経済社会発展 要となり、特に個人データに関して マイナンバー 活用が鍵。
高齢化で死亡者が増える多死社会を迎え、戸籍へ マイナンバー導入
相続など 手続きにおける利便性向上が期待される。また、不動産登記と連動できれ 、所有者不明土地 増加に歯止めをかけることも可能だろう。

須藤先生曰く

「世界と乖離している。

人権との関係を整理が必要。」⬇

政府によるデジタル関連法改正動向に関する鈴木正朝 新潟大学教授 意見
宮田委員による「公益 ため データ共同利用権（仮称）」 提案 問題点を指摘。

9 参考資料 須藤・榎並「日本経済新聞：経済教室」(２０１９年５月２日)
9 参考資料 「昨今まれにみる最悪 意見ーデジタル庁 議論に専門家が異論 鈴木教授に論点を聞く」『ITmedia News』2020年11月27日付け

須藤修「AI戦略とDX(DigitalTransformation)の在り方」情報ネットワーク法学会大会2020

9

一般財団法人 情報法制研究所「昨今まれに見る最悪の意見」

10

一般財団法人 情報法制研究所

•

問題の資料
デジタル改革関連法案ワーキンググループ（第２回）

デジタル庁の創設に向けた論点（宮田教授提出資料）
https://www.kantei.go.jp/jp/singi/it2/dgov/houan̲wg/dai2/gijisidai.html

11•

一般財団法人 情報法制研究所

問題の資料
デジタル改革関連法案ワーキンググループ（第２回）

デジタル庁の創設に向けた論点（宮田教授提出資料）
https://www.kantei.go.jp/jp/singi/it2/dgov/houan̲wg/dai2/gijisidai.html

12

一般財団法人 情報法制研究所

宮田氏は何を言っているか

13•

一般財団法人 情報法制研究所

宮田氏は何を言っているか（GAFA、中国の話に続いて）「一方で、EUですね、データポータビリティ、

right to access、これは基本的な人権になり得るものだが、実は大きな弱点がある。やはり、人々の同意がないとデータが使えないという。そういう世界になると、社会が進まなかった。この中で我々は今、EUとも話をしてもう一歩先に進もうと。データとこれまで社会を回してきた石油・石炭の違いは、共有することによって価値を産めること。石油は排他的に所有しなくてはいけない
が、データは、一人の患者さんのデータがあって、ここに一万人のデータがある場合に、一人をそこに足すことによって、より良い医療を知ることができる。

一万、十万、百万となることによって、全体で知ることができることが増えてくる。アクセス権であったりデータポータビリティの上に、日本とEUで共有権というものを新しい人権として確立しようと。これによってこれまでの独占型のデータとは違う、社会の中でデータを共有していくことができるのではないかと、彼らと一緒に考えています。」
https://youtu.be/nw̲z-HgZKIw?t=1172（東京青年会議所 7月例会 新しい日常 宮田裕章教授）
14

一般財団法人 情報法制研究所

データ利用の意義はわかるのだが

15

一般財団法人 情報法制研究所•

流通制限と流通促進

非個人データの「共有財」の話はわかる

•

•
••

データの財としての側面が流通の障害となるので利用を促すためには何らかの積極的仕掛けが必要
その対象として焦点を当てる要件としての「共有財」

個人データについても

個人データ保護の観点がクリアされても上の話が残る•••

利用を促すためには何らかの……というのはわかる

ただし先に個人データ保護がクリアされていることが前提•

そのクリア要件と「共有財」となるべき要件とを混同してはいけない•

共有財だからクリアされるのではないということ「共同利用権（基本的人権）」はないわ（という話）

16

一般財団法人 情報法制研究所

NCDの事例17

一般財団法人 情報法制研究所

NCDの事例

http://www.ncd.or.jp/article/pdf/ncd_brochure.pdf
18

一般財団法人 情報法制研究所

•4.5.2016

公益無罪？

Official Journal of the European UnionEN

L 119/35

公益として認めて欲しいとの要望はなかなか通らない•(22) ‘supervisory authority concerned’ means a supervisory authority which is concerned by the processing of personal
data because:

平成27年改正で当初検討されたがボツになっている(a) the controller or processor is established on the territory of the Member State of that supervisory authority;(b) data subjects residing in the Member State of that supervisory authority are substantially affected or likely to be
substantially affected by the processing; or(c) a complaint has been lodged with that supervisory authority;•(23) ‘cross-border processing’ means either:

令和2年改正に際して大綱には記載されたが……

(a) processing of personal data which takes place in the context of the activities of establishments in more than
one Member State of a controller or processor in the Union where the controller or processor is established in
more than one Member State; or(b) processing of personal data which takes place in the context of the activities of a single establishment of acontroller or processor in the Union but which substantially affects or is likely to substantially affect data
subjects in more than one Member State.
(24) ‘relevant and reasoned objection’ means an objection to a draft decision as to whether there is an infringement of
this Regulation, or whether envisaged action in relation to the controller or processor complies with thisRegulation, which clearly demonstrates the significance of the risks posed by the draft decision as regards thefundamental rights and freedoms of data subjects and, where applicable, the free flow of personal data within theUnion;
19

一般財団法人 情報法制研究所(25) ‘information society service’ means a service as defined in point (b) of Article 1(1) of Directive (EU) 2015/1535 of
the European Parliament and of the Council (1);

EUは同意がないと使えない？

(26) ‘international organisation’ means an organisation and its subordinate bodies governed by public international law,or any other body which is set up by, or on the basis of, an agreement between two or more countries.

•

それは誤解

•

CHAPTER IIGDPRは統計量に集計する二次利用は目的外利用とみなさない
Principles
Article 5
Principles relating to processing of personal data

1.

Personal data shall be:(a) processed lawfully, fairly and in a transparent manner in relation to the data subject (‘lawfulness, fairness andtransparency’);(b) collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible
with those purposes; further processing for archiving purposes in the public interest, scientific or historical research
purposes or statistical purposes shall, in accordance with Article 89(1), not be considered to be incompatible with
the initial purposes (‘purpose limitation’);(c) adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (‘data
minimisation’);(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that personal data thatare inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay
20
一般財団法人 情報法制研究所(‘accuracy’);(1) Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for theただし集計手段が問題となる組織A複数組織からデータを結合（併合・突合）したい

OK
自組織で統計量へ集計
組織A

組織X

NG
委託先が勝手に結合（法の委託に当たらず）NG提供して提供先が集計（Suica事案）
性」で足りる（個情法第 15 条第２項）。
ウ

個人情報の管理①個人情報取扱事業者の場合、正確性の確厳格保護要因OK保や安全管理措置の対象はデータベース
委託先に集計させてに記録された「個人データ」に限られるが

21•（個情法第 19 条、第 20 条）、行政機関等性」で足りる（個情法第 15 条第２項）。
の場合、散在情報を含む「保有個人情報」
ウ 個人情報の管理が対象（行個法第５条、第６条等）。
①個人情報取扱事業者の場合、正確性の確②行政機関等は個人情報ファイル簿の作
保や安全管理措置の対象はデータベース
成・公表が必要（行個法第 11 条等）。
に記録された「個人データ」に限られるがエ 個人情報の提供（個情法第 19 条、第 20 条）、行政機関等①行政機関等は相当な理由があれば法令の場合、散在情報を含む「保有個人情報」の定める所掌事務・業務の遂行に必要な限が対象（行個法第５条、第６条等）。
度で他の行政機関等に保有個人情報を提②行政機関等は個人情報ファイル簿の作供可能（行個法第８条第２項第３号等）。
成・公表が必要（行個法第 11 条等）。
②行政機関等は利用目的の範囲内であれ
エ 個人情報の提供
ば外部に保有個人情報を提供可能だが（行①行政機関等は相当な理由があれば法令
個法第８条第１項等）、個人情報取扱事業の定める所掌事務・業務の遂行に必要な限者にはこれに対応する規定はない。
度で他の行政機関等に保有個人情報を提？

存置

なんとかできないか

厳格保護要因厳格保護要因一般財団法人 情報法制研究所
存置
存置

公的部門と民間部門のルールの違い
内部関係要因存置

提供のルールが異なる理由（公民一元化の中間整理より）供可能（行個法第８条第２項第３号等）。
②行政機関等は利用目的の範囲内であれ
ば外部に保有個人情報を提供可能だが（行個法第８条第１項等）、個人情報取扱事業者にはこれに対応する規定はない。

③個情法では個人データの委託や共同利

厳格保護要因存置

個情法では、ひとたび第三者提供が適法に存置行われれば、提供元は提供先での情報の利
内部関係要因用・管理について責任を負わない。これに存置

対し、行個法・独個法では、情報の提供が行われた後も、行政機関等は提供先での情報の利用・管理について一定の責任を負う
個情法では、ひとたび第三者提供が適法にことが前提とされている（行個法第９条等
行われれば、提供元は提供先での情報の利参照）67。このため、個情法では委託や共同用・管理について責任を負わない。これに利用として処理されるケースが、行個法・対し、行個法・独個法では、情報の提供が独個法では「目的内提供」として処理され行われた後も、行政機関等は提供先での情る 68。
報の利用・管理について一定の責任を負う
上に同じ。
ことが前提とされている（行個法第９条等存置存置参照）67。このため、個情法では委託や共同利用として処理されるケースが、行個法・現行法上、目的内提供の場合に提供元の行政機関等が提供先での情報の利用の在り方
について一定の責任を負うことは（規定の趣旨に照らし解釈上当然だとしても）法文上
独個法では「目的内提供」として処理されは明記されていないので、一元化の機会にこれを明確化することが望ましいとの有識者
る 68。
検討会委員の意見があった。
③個情法では個人データの委託や共同利 上に同じ。
存置
68
したがって、現行制度に関する「公的部門の方が民間部門よりも個人情報の提供については柔軟な規律となっている」といった理解は必ずしも正確ではない。むしろ、公的部門においては、個人情報は行政機関等とその周辺部に留まることが想定されており、
67
現行法上、目的内提供の場合に提供元の行政機関等が提供先での情報の利用の在り方
民間部門のように個人情報が一定のルールの下で転々流通していくことは基本的に想定について一定の責任を負うことは（規定の趣旨に照らし解釈上当然だとしても）法文上されていないと考えられる。
は明記されていないので、一元化の機会にこれを明確化することが望ましいとの有識者
一般財団法人 情報法制研究所検討会委員の意見があった。
32
68
したがって、現行制度に関する「公的部門の方が民間部門よりも個人情報の提供については柔軟な規律となっている」といった理解は必ずしも正確ではない。むしろ、公的
67

22

•

流通統制の有無

民間部門は自由（それ故に同意かオプトアウトの規制）
組織A

組織B

組織C

転

•

提供目的A

組織D

々

流

提供目的B

利

用

目

組織X

通

提供目的C

的

が

？

提供目的D

切

断

公的部門の暗黙の制限（それ故に同意不要）
組織A

組織B

組織X

周辺部に留まる
提供目的A

提供目的A

23

一般財団法人 情報法制研究所•

我々からの提案

例外の下での規律のあり方が問われる•••

医学系研究倫理指針の大幅改定が予定されるが、これまでの個人情報保護法のルールをなぞる決め方ではなく、例外の下で、独自の適切なルールを構築する必要がある（特に提供規制）•
原理原則に基づいたルール設計が必要

どのようなルールとするのかの拠り所が存在しないのが現状

我々からの提案「統制された非選別利用」

24

一般財団法人 情報法制研究所

•「統制された非選別利用」の提案「統制された」提供

•
•
•
••

統制者：EU法やOECDガイドラインのcontroller概念

現行法の委託（23条5項1号）は「統制された提供 」の一つ
委託以外の「統制された提供」の形態があり得る
公的部門での提供は、提供者による統制が前提になっている••

公民一元化の中間整理で、提供に係る公的部門と民間部門との違いがそのように記載された

民間部門の課題は、第三者提供が行われる毎に利用目的が切断されて受領者が全く自由にできてしまう統制の無さにある「非選別利用」

25

•

•
•
•

「データによる個人の選別」(single out) を伴わない利用
統計量への集計（その目的での提供を含む）はその一つ
仮名加工情報はそれを前提としている

一般財団法人 情報法制研究所

統制された提供の一例

研究用個人データ・レジストリ（データベース）

26

•
•

以前からあちこちで提案している件

委託・共同利用に並ぶ（23条5項4号新設など）

一般財団法人 情報法制研究所

•

具体化の方法医学系研究倫理指針への落とし込み••••

以下を区別して再構成する試料の扱いとデータの扱い → データが問題となるのはなぜか

以下を区別して再構成する••

ヘルシンキ宣言からくる制限 → 介入研究にインフォームドコンセント
医師の守秘義務からくる制限 → 症例研究における同意

個人データ保護法制の観点からの制限 → 統制された非選別利用のため••医療個人データ特別法での採用••の提供は問題とならない「統制された」をどのように規定するか（限定列挙？）「仮名加工医療情報」の新設、その提供を許す要件とする「統制された」をどのように規定するか（限定列挙？）

27

一般財団法人 情報法制研究所•

同意なき「非選別利用」の妥当性

L 119/30

EN

Official Journal of the European Union

4.5.2016(159) Where personal data are processed for scientific research purposes, this Regulation should also apply to thatprocessing. For the purposes of this Regulation, the processing of personal data for scientific research purposes
should be interpreted in a broad manner including for example technological development and demonstration,
fundamental research, applied research and privately funded research. In addition, it should take into account theUnion's objective under Article 179(1) TFEU of achieving a European Research Area. Scientific research purposes
should also include studies conducted in the public interest in the area of（公開情報も対象）
public health. To meet the specificities
of processing personal data for scientific research purposes, specific conditions should apply in particular as
そのための手当としての各種義務（正確性の確保、訂正請求、利用停止
regards the publication or otherwise disclosure of personal data in the context of scientific research purposes. If
the result of scientific research in particular in the health context gives reason for further measures in the interestof the data subject, the general rules of this Regulation should apply in view of those measures.
請求、目的外利用禁止）のはず

個人データ保護法制の法目的は何なのか••

データによる個人の選別からの個人の保護••統計量への集計が問題とならない原理•
秘密の保持（公開情報には本来無用）(160) Where personal data are processed for historical research purposes, this Regulation should also apply to thatprocessing. This should also include historical research and research for genealogical purposes, bearing in mind
that this Regulation should not apply to deceased persons.

「誰だかわからないから」ではなく、個人の選別に利用されることのないものだから
provisions of Regulation (EU) No 536/2014 of the European Parliament and of the Council ( ) should apply.

•

28(161) For the purpose of consenting to the participation in scientific research activities in clinical trials, the relevant
1

GDPRにおいても(162) Where personal data are processed for statistical purposes, this Regulation should apply to that processing. Union
or Member State law should, within the limits of this Regulation, determine statistical content, control of access,specifications for the processing of personal data for statistical purposes and appropriate measures to safeguard
the rights and freedoms of the data subject and for ensuring statistical confidentiality. Statistical purposes mean
any operation of collection and the processing of personal data necessary for statistical surveys or for the
production of statistical results. Those statistical results may further be used for different purposes, including ascientific research purpose. The statistical purpose implies that the result of processing for statistical purposes is
not personal data, but aggregate data, and that this result or the personal data are not used in support ofmeasures or decisions regarding any particular natural person.
一般財団法人 情報法制研究所(163) The confidential information which the Union and national statistical authorities collect for the production of
official European and official national statistics should be protected. European statistics should be developed,
produced and disseminated in accordance with the statistical principles as set out in Article 338(2) TFEU, while•

個人の自由のためのデータ保護

データが「本人に戻る」ことの問題

•
••
••

不当な選別を受ける恐れ、だけでなく選別の元になるデータを気にして行動の自由が阻害されること
2019年に立法事実化した「リクナビ内定辞退予測」事案は典型例

逆から言えば

何らかの統計的知見を個人の評価に当てはめる（同意で）としても、統計量の元となった個々人の行動データの影響はそれぞれ微々たるも••••宍戸「データからの自由」と同義？
•のとなる（多人数から集計の場合）ので、元の行動の自由は保たれる

生存する個人のみが法の対象なのもこの理由から死者においてもはや自由は問題とならない

情報を保護するのではなく、データ処理からの個人の保護（ちょっと違う？）「データからの自由、データへの自由、データによる自由」

29

一般財団法人 情報法制研究所

•
•
•
•
•

個別化医療との関係

分析フェーズと適用フェーズ

知見を得るフェーズと、得られた知見を当てはめるフェーズ

知見を得るフェーズ
非選別利用

得られた知見を当てはめるフェーズ•

30

選別利用だが、本人同意により行われる一般財団法人 情報法制研究所

行動が及ぼす自己の評価への影響あり

ほとんどないないかもしれない（不確か）

（清書中）
31

一般財団法人 情報法制研究所

条例の横出しで死者を含める？

•

全国知事会提出資料（2020年11月）②•

個人情報定義の統一で死者が入らなくなるのが困るというが定義の一元化（「個人情報」の定義）【方向性】(1)「個人情報」の定義は、国・民間部門と同じ規律を適用(2)「死者に関する情報」は、「個人情報」に含まないとした上で保護措置を別途条例で規定すること
を許容

【意見】

【支障ありの主な理由】¾ 個人情報の定義○「容易照合可能性」に合わせることにより個人情報の保護レベルが低下したと捉えられないよう、現行の「照合可能性」と保護レベルに変更がないことをガイドライン等
で明確化されたい

11（23％）¾ 死者に関する情報
36
（77％）

支障あり

支障なし

○遺族等の権利等にも配慮し、新法において死者に関する情報も含めるべきであり、全国で統一した扱いが必要○開示請求の場面や利用・提供の場面で実務上の課題が見られるため、全国的に共通する課題として取扱いの統一を図るべき○多くの地方公共団体が個人情報としており、新法でも別途条例で定めることを許容す
るのであれば、法で個人情報の対象とすることを前提に検討することが適切○死者の情報を個人情報に含めない場合、条例においてどのように保護措置を設けることができるか不明

定義の一元化により従来の保護レベルが低下しないよう配慮すること、死者に関する情報は既に多くの団体が個人情報としており、法律で対象とすることも含め全国的な共通ルールを求める意見あり
532

２．地方公共団体の個人情報保護制度の法制化に対する意見・要請① 素案で示された方向性について、法案提出までに具体的な内容を示すこと
特に個人情報の定義については、従来の保護レベルに配慮するとともに、要配慮個人情報や死者に関する情報など取扱いについても検討すること② その上で、各地方公共団体が個人情報保護制度を適切に運用できるよう、法施行までにガイドラインにおいて整理すること③ 「地方公共団体が条例で定める独自の保護措置」については法律で明確に規定するとともに、これまで地方が法律の規定以上に先行的に取り組んできた事項を認めるよう十分に配慮すること
併せて、個人情報保護委員会による関与の在り方については、地方自治の観点から過大とならないよう慎重に検討すること
15

一般財団法人 情報法制研究所

•

死者の人権？

「死者の人権の保護に関する質問主意書」2002年••

http://www.shugiin.go.jp/internet/itdb̲shitsumon.nsf/html/shitsumon/b154155.htm

法案が死者を対象としていない理由の答弁••「個人情報の取扱いに対するチェックは、個人情報の本人であって初めてこれを正確に行い得るものであるため、個人情報の本人が個人情報の開示、訂正及び利用停止を請求する仕組みとしたものであるが、これらの権利を行使することは、生存していなければ不可能である。」「できないから」だけでなく、以下が理由と言うべき••死者をデータで選別することは問題を引き起こさない

選別を気にして自由が阻害される懸念は死者には当てはまらない条例の横出しで死者を含める理由は？

••

本人情報開示の対象とするのが理由ならそこだけ加えればよい•33

情報公開から要請される別の法目的によるもの

公民一元化の中間整理でも公的部門にその法目的が加えられている
一般財団法人 情報法制研究所•

世界経済フォーラムの「APPA」「Authorized Public Purpose Access」

34

一般財団法人 情報法制研究所

スキームの比較

35

同意万能勢

どんな複雑な利用形態でも同意があるからOK同意の形骸化

公益無罪勢

どんな利用も公益ならOK

皆さんお怒り自己情報
コントロール勢

本人の許可でOK

回らない

21世紀の原油勢

対価と交換でOK

一部しか回らない

情報銀行勢

本人のためにならOK

一部用途に限られる

APPA

個別に審査してOK出す

一部しか回せない

統制された
非選別利用

非選別利用でかつ適切に統制された提供ならばOK

人権は？
人権は？

人権は？

一般財団法人 情報法制研究所