解 説

個人情報保護法の改正と私立大学への多大な影響
一橋大学名誉教授
元 個人情報保護委員会委員長

１．はじめに―私立大学における問題状況の一斑
2003年５月23日に個人情報保護法が成立し堀部政男

人情報保護法以降、どのように変化してきているか、制度的側面に焦点を当てることにします。

私立大学はどのように対応するかについて様々な

２．私立大学への影響大の個人情報保護法改正議論をしました。その一端は、本誌2005 Vol.14

17年前の2005年４月１日に全面施行された個て、2005年４月１日に全面施行された時期に、教員による情報活人情報保護法は、その後、2015年、2020年、用と個人情報保護法」として掲載されています。

2021年に大幅に改正されました。2015年改正の私立大学では、それぞれ個人情報保護法の趣旨前に、2013年に番号法（マイナンバー法）が制に則り個人情報保護規程等を策定し、対応してき定されたことが日本の今日の個人情報保護制度にているところですが、2021年４月７日の第171

大きな影響を与えました。

No.1（通巻110号）に「特集回個人情報保護委員会に委員会事務局から提出さマイナンバーの保護策に関するワーキンググルれ、文部科学省高等教育局私学部私学行政課からープ（座長・堀部政男）で2011年６月に第三者全国の私立大学に対して発出された「個人情報の機関の設置をはじめとするマイナンバーの保護措持ち出し等に係る安全管理措置について（周知）」置を提唱し、2013年５月24日に「行政手続におを見ますと、衝撃的な数字が出ています。この文

ける特定の個人を識別するための番号の利用等に書のタイトルにありますように、個人情報の持ち関する法律」（平成25年法律第27号）（これが出し等に係る安全管理措置について、その冒頭に「マイナンバー法」と呼ばれています）が成立し次のように書かれています。

ました。それを梃子（てこ）として2015年の改「当委員会に報告された個人データの漏えい等

正個人情報保護法が制定され、その制度について、事案のうち、私立大学における漏えい等事案の約欧州委員会（European Commission）との間で、30％が個人情報の持ち出しを原因としており、十分性相互認定（mutual adequacy recognition）がこれは、全業種における個人情報の持ち出しを原2019年１月23日に実現しました（責任者として因とした漏えい等事案の平均（約４％）を大きくこの実現に努めてきました。いろいろ書いていま超えています。」

すが、ここでは、省略します）。欧州委員会との私立大学の関係者は、これをどのように受け止協議のプロセスで提起された論点等が、2020年めるのでしょうか。大学の教員経験者としては、と2021年の個人情報保護法の改正内容に反映さ由々しき事態であると考えます。個人情報保護のれているところがあります。

重要性を訴えてきた立場からしますと、個人情報そのうち、2020年と2021年に改正された個人保護法の改正への対応を機に、すべての私立大学

情報保護法は、地方公共団体に関する規定を除いにおいて全学をあげて個人情報保護法の趣旨を徹て、今年2022年の４月１日に施行されます。あ底し、個人情報の保護に万全を期することを呼びまり気付いていないようですが、2021年改正法掛けたいと思います。

は特に学術研究機関としての私立大学に与える影

ここでは、個人情報保護の分野が、2003年個響が非常に大きいことを認識していただきたいとJUCE Journal 2021年度 No. 4 41

解 説思います。

本部の「パーソナルデータに関する検討会」（パ

2005年４月１日の個人情報保護法全面施行をーソナルデータ検討会）（2013年９月〜同年12前にして、当時奉職していた中央大学で、個人情月座長・堀部政男、2014年１月〜座長・宇賀克

報保護委員会の委員長として、事務局とともに、也氏（現在、最高裁判所判事））で議論が行われ個人情報を取り扱う場を洗い出し、個人情報保護ました。それを基礎に改正法案が作成され、法との関係で、どのように整理するかなどを検討

2015年３月10日に閣議決定されて、衆議院に提したことを思い出しています。当時、個人情報保出されました。

護法の私立学校への適用について、かなりの回数

衆議院では、改正法案は、５月21日、可決さ講演等を依頼され、中央大学における検討の経験れました。参議院では、６月上旬に成立するであを踏まえて解説しました。

ろうと予測されていましたが、６月１日に、日本直ぐ上のところで、2021年改正法は特に学術年金機構の個人情報流出事件（125万件）の発覚研究機関としての私立大学に与える影響が非常ににより、審議は中断しました。８月27日になっ

大きいと書きましたが、その前年の2020年に改て、参議院内閣委員会で、質疑が再開され、修正正されました個人情報保護法も、個人情報取扱事提案とともに改正法案が可決され、８月28日に業者としての私立大学に影響を及ぼします。

参議院本会議を通過しましたが、参議院で修正さ少し遡りますと、2015年改正個人情報保護法が、2020年、2021年改正をもたらしたと言えますので、まずは、2015年改正個人情報保護法を取り上げることにします。
個人情報保護法の規定とその解説については、れましたので、衆議院本会議で手続がとられ、９月３日に可決成立しました。
改正法は、９月９日公布されました。施行期日は、規定によって異なります。ここでは、主要な改正点を取り上げるにとどめます。

個人情報保護委員会が作成したガイドラインを参照することをお勧めします。本稿で主として依拠（２）2015年改正法の概要と大学への適用するのは、「個人情報の保護に関する法律につい１）個人情報保護委員会の設置（2016年１月１日）てのガイドライン（通則編）」（2022年４月１日

改正個人情報保護法は、2016年１月１日に個施行）です（以下、いくつかのガイドラインにつ人情報保護委員会を設置すると規定しました。こいては、個人情報保護委員会のホームページ[1]をれは、マイナンバー法で2014年１月１日に設置ご覧ください）。

された特定個人情報保護委員会（筆者は国会の両３．2015年個人情報保護法改正とその概要（１）2015年改正個人情報保護法の成立

院の同意を得て内閣総理大臣によってその委員長に任命されました）を改組して、個人情報保護委員会とするものです。個人情報保護委員会は、民間部門の個人情報の取扱いを対象とすることにな2020年、2021年と立て続けて大きな改正が行るばかりでなく、特定個人情報保護委員会が対象われましたので、それに目を奪われがちですが、としてきた特定個人情報（マイナンバーをその内2015年の改正も、個人情報保護制度の変革とい容に含む個人情報）の適正な取扱いの監視・監督う点では、認識しておく必要があります。

も所掌します。特定個人情報保護委員会の委員長

2010年代になって、マイナンバー法が2013年及び委員は、法律上、新たな委員会の委員長・委５月24日に成立し（５月31日公布）、また、国際員に就任することになっていました。所掌範囲が的な動きも活発になってきました。さらに、個人大きくなることへの準備に取りかかりました。

情報保護法の成立（2003年５月23日）からかなりの年月が経過しました。

この個人情報保護委員会は、国家行政組織法第３条第２項の「行政組織のため置かれる国の行政そこで、個人情報保護法の改正、さらにはマイ機関は、省、委員会及び庁とし、その設置及び廃ナンバー法の改正も議論されるようになりまし止は、別に法律の定めるところによる」という規た。

定の「委員会」（いわゆる三条委員会）で、設置

個人情報保護法の改正については、2013年９は内閣府設置法第49条第３項に基づいています。

月から2014年12月まで13回開かれたIT総合戦略

同委員会は、公正取引委員会及び国家公安委員会

42 JUCE Journal 2021年度 No. 4

解 説と並ぶ委員会です。

匿名加工情報編）」を参照してください。

欧州では、監視機関の設置が必須と考えられており、その機関は職権を行使する際は完全に独立して活動しなければならないとされています。日４）第三者提供確認記録作成等の義務化等①

個人データの第三者提供に係る確認記録作

本でこれに匹敵する機関は、いわゆる三条委員会成等を義務化しました（第三者から個人デーですが、行政改革が進められている状況の中で新タの提供を受ける際、提供者の氏名、個人デしい組織を設けることは例外中の例外であったとータの取得経緯を確認した上、その内容の記言えます。これは、国民の懸念に対応し、また、録を作成し、一定期間保存することを義務付

行政機関が住民基本台帳ネットワークシステムにけ、第三者に個人データを提供した際も、提より個人情報を収集，管理又は利用することを合供年月日や提供先の氏名等の記録を作成・保憲とした最高裁第一小法廷判決（2008年３月６存することを義務付け）（法第30条等）。

日）（最判平成20・３・６日（民集第62巻３号②

個人情報データベース等を不正な利益を図665頁））を踏まえた結果でもあります。

る目的で第三者に提供し、又は、盗用する行

改正個人情報保護法の全面施行（2017年５月為を「個人情報データベース提供罪」として30日）後は、各主務大臣が有していた個人情報処罰の対象としました（法第174条）。

保護法上の勧告及び命令等の権限が個人情報保護上掲の①については、別途「ガイドライン（第委員会に一元化されました。私立大学は、それま三者提供時の確認・記録義務編）」が作成されてでの主務大臣であった文部科学大臣に代わって、いますので、参照してください。

個人情報保護委員会の監視監督を受けることになりました。このこともあまり認識されていないようです。
２）個人情報の定義の明確化
個人情報の範囲が次のように広がりました。
①

５）外国にある第三者への個人データの提供の制

限、個人情報保護法の国外適用、個人情報保護委員会による外国執行当局への情報提供に係る規定を新設

国際交流を進めることが使命となっていますの

利活用に資するグレーゾーン解消のため、で、これも大学にとって重要な規定です（法第個人情報の定義に身体的特徴等が対象となる28条）。「ガイドライン（外国にある第三者へのことを明確にしました（法第２条第２項）。

提供編）」が出ていますので、参照してください。

②

要配慮個人情報（本人の人種、信条、病歴等本人に対する不当な差別又は偏見が生じる可能性のある個人情報）の取得については、

６）その他
①

取り扱う個人情報の数が5,000以下である

原則として本人同意を得ることを義務化しま事業者を規制の対象外とする制度の廃止。取した（法第２条第３項）。

扱い件数の多寡を問わずすべての個人情報取2015年改正で、「要配慮個人情報」という概念が取り入れられました。欧州等では、センシティ扱事業者に適用。
②

オプトアウト(※)規定を利用する個人情報取ブ情報（sensitive information）として明示的に保扱事業者は所要事項を委員会に届け出ること護されているものです。

を義務化し、委員会はその内容を公表すること に な り ま し た （ 法 第 27条 第 ２ 項 〜 第 ４３）個人情報の有用性を確保（利活用）するための整備

匿名加工情報（特定の個人を識別することができないように個人情報を加工した情報）の利活用の規定を新設しました（法第２条第６項）。
大学で各種の調査、傾向の把握等のため、匿名項）。
（※）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する場合、本人の同意を得ることなく第三者に個人データを提供することができる。
【個人情報保護法の条番号は、2021年改正後で、2022年４月１日施行時のものです。】

加工情報を利用します。これについては、2020年改正も含めた「ガイドライン（仮名加工情報・JUCE Journal 2021年度 No. 4 43

解 説（３）2015年改正法附則の「検討」に関するますが、電磁的記録の提供を含め、本人が指第12条の第３項及び第６項2015年改正個人情報保護法の「検討」に関す示できるようにします（法第33条第２項）。
個人データの授受に関する第三者提供記録③

る附則第12条がその後の改正への道を切り拓きについて、本人が開示請求できるようにしまました。その第３項は３年ごとの見直し、第６項す（法第33条第５項）。

は複数の法律の一体化です。それぞれについては④６ヶ月以内に消去する短期保存データについて、保有個人データに含めることとし、開後述します。

４．2020年改正個人情報保護法

示、利用停止等の対象とします。
オプトアウト規定(※)により第三者に提供で⑤（１）個人情報保護委員会のいわゆる３年ごと見きる個人データの範囲を限定し、「不正取得直し制度改正大綱と改正法の成立・施行された個人データ」、「オプトアウト規定によ個人情報保護法を所管する個人情報保護委員会り提供された個人データ」についても対象外とします。

は、2019年１月28日に示した「いわゆる３年ごと見直しに係る検討の着眼点」に即して３年ごと見直し（上掲の附則第12条第３項）を進め、関係団体・有識者からのヒアリング等を行い、（※）本人の求めがあれば事後的に停止することを前提に、提供する個人データの項目等を公表等した上で、本人の同意なく第三者に個人データを提供できる制度。

2019年４月25日に実態把握・論点整理等を行った「個人情報保護法

いわゆる３年ごと見直しに係る検討の中間整理」を公表しました。その後の議論を踏まえ、2019年12月13日に「個人情報保２）事業者の守るべき責務の拡大①

るおそれがある場合(※)に、委員会への報告及護法いわゆる３年ごと見直し制度改正大綱」を示

び本人への通知を義務化します（法第26条しました。

第１項・第２項）。

2020年には、大綱を法律化する段階に入り、３月10日には国会に「個人情報の保護に関する漏えい等が発生し、個人の権利利益を害す（※）一定数以上の個人データの漏えい、一定の類型に該当する場合に限定。

法律等の一部を改正する法律案」が提出されました。衆議院では、５月28日、参議院では、６月②

違法又は不当な行為を助長する等の不適正５日に可決されました。改正法は、６月12日にな方法により個人情報を利用してはならない公布され、２年を超えない範囲内において政令で旨を明確化します（第19条）。

定める日から施行されることになっていて、施行期日は、2022年４月１日とされました。

３）事業者による自主的な取組を促す仕組みの構築

2020年改正法は、2015年に改正されたことに2003年法で認定個人情報保護団体を設け、事加えて、重要な改正を行いました。個人情報保護業者による自主的な取組みの一定部分を促進して委員会の「個人情報の保護に関する法律等の一部きました 。2022年２月15日現在、41団体が認を改正する法律（概要）」も参照しながら、検討定されています 。2020年改正では、これまで対することにします。（次ページ図１）

象事業者のすべての分野（部門）を対象としてきました制度に加えて、企業の特定分野（部門）を（２）2020年改正法の概要
１）個人の権利の強化①

利用停止・消去等の個人の請求権について、不正取得等の一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合にも要件を緩和します（法第35条）。

対象とする団体を認定できるようにします（法第47条第２項）。これについては、「ガイドライン（認定個人情報保護団体編）」を参照してください。
４）データ利活用の促進
氏名等を削除した「仮名加工情報」を新設し保有個人データの開示方法は、現在は、原（法第２条第５項、第41条・第42条等）、内部分則として、書面の交付による方法とされてい析に限定する等を条件に、開示・利用停止請求へ②

44 JUCE Journal 2021年度 No. 4

解 説の対応等の義務を緩和します。これについては、・外国にある第三者への個人データの提供時「仮名加工情報・匿名加工情報編」（前出）を参照に、移転先事業者における個人情報の取扱いしてください。

に関する本人への情報提供の充実等を求めます（法第28条第２項・第３項）。「ガイドラ５）法定刑の引き上げイン（外国にある第三者への提供編）」を参委員会による命令違反・委員会に対する虚偽報照してください。個人情報保護委員会は、告等の法定刑を引き上げます。

「外国における個人情報の保護に関する制度・命令違反：６月以下の懲役又は30万円以下等の調査」をホームページに掲載していまの罰金⇒１年以下の懲役又は100万円以下の罰金（法第173条）。
・虚偽報告等：30万円以下の罰金⇒50万円以下の罰金（法第177条）
・データベース等不正提供罪、委員会による命す。

５. 2021年改正個人情報保護法と学術研究機関等の適用除外の削除廃止（１）個人情報保護法の2021年改正

令違反の罰金について、法人と個人の資力格

2019年12月に内閣官房に設けられた「個人情差等を勘案して、法人に対しては行為者より報保護制度の見直しに関するタスクフォース」は、も罰金刑の最高額を引き上げ（法人重科）、2020年12月に「個人情報保護制度の見直しに関個人と同額の罰金（50万円又は30万円以下する最終報告 」（「最終報告」）を公表しました。の罰金）⇒１億円以下の罰金（法第179条）

最終報告が「はじめに」の冒頭で明記しています
ように、2015年改正個人情報保護法の附則第12６）法の域外適用、越境移転の際の情報提供の充実

条第６項（上記３の（３））を踏まえています。

・日本国内にある者に係る個人情報等を取り扱最終報告に基づいて、2021年個人情報保護法

う外国事業者を、罰則によって担保された報改正（官民一元化）案が、「デジタル社会の形成告徴収・命令の対象とします（法第166条）。

を図るための関係法律の整備に関する法律」の一଻যੲਾ৳૧਑২ৄઉ峁峘৸৬൸2⋇ ଻যੲਾ৳૧১岝ষ৆ਃঢ়଻যੲਾ৳૧১岝ஆয়ষ৆১যಉ଻যੲਾ৳૧১峘ম峘১൅峼ম峘১൅峕ଁ়峃峵峒峒峬峕岝৉্ਁુ੮৬峘଻যੲਾ৳૧਑২峕峎岮峐峬ଁ়৏峘১൅峕岴岮峐৸ব৓峔ુৢ嵓嵤嵓峼ૠ৒峁岝৸৬峘ਚଵ峼଻যੲਾ৳૧੻৩ভ峕঳੪৲岞⋈ ୢ௜ী৙嵣৾୒ী৙峘ૠ਑峼ଁ঳峃峵峉峫岝বਁয়峘୰੹岝প৾ಉ峕峙ਉಋ峒峁峐ড়৑峘୰੹岝প৾ಉ峒৊ಉ峘ૠ൅峼ి৷岞⋉ ৾୒ଢ଼஢ী৙峼அ峫峉*'35峘ેীਙੳ৒峢峘ৌૢ峼৯੐峁岝৾୒ଢ଼஢峕બ峵ి৷௾ਗૠ৒峕峎岮峐岝঳൅峘ి৷௾ਗ峑峙峔岹岝ଝਜ岾峒峘୻ਗૠ৒峒峁峐ಖᴟ৲岞⋊ ଻যੲਾ峘৒ଝಉ峼ব嵣ড়৑嵣৉্峑ଁ঳峃峵峒峒峬峕岝ষ৆ਃঢ়ಉ峑峘ᅮ੡ਸੵੲਾ峘਄ඞ岮峕ঢ়峃峵ૠ൅峼৥ન৲岞岧ਠষ岨ਚଵ଻যੲਾ৳૧১ব峘ষ৆ਃঢ়ஆয়ষ৆১যಉড়৑হ঵঻৾୒ଢ଼஢଻যੲਾ峘৒ଝಉ଻যੲਾ৳૧੻৩ভ૚৉্ਁુ੮৬଻যੲਾ৳૧૖୻ஆয়ষ৆১যಉ଻যੲਾ৳૧১ৌ଴੕ਜ੄ষ৆ਃঢ়଻য ੲ ਾ ৳ ૧ ১১ഥ岧ৄઉ峁৏岨଻যੲਾ৳૧੻৩ভ৉্ਁુ੮৬ಉ⋇ৗ଻যੲਾ৳૧১嵣বয়୰੹嵣ਁয়୰੹嵣বয়প৾嵣ਁয়প৾嵣বয়ଢ଼஢৫৅১যব峘ষ৆ਃঢ়৉্ਁુ੮৬‫ پ‬ಉ⋈ి৷௾ਗড়৑হ঵঻ಉৌ଴峼ఁপ峁岝ૠ൅峼ಖᴟ৲ස়૭ચਙઍಔස়૭ચਙ੮৬峕峲峴౮峔峵ઍಔස়૭ચਙ‫଻ق‬ੲ১峘৒ଝ峕ଁ঳‫ك‬శ௙શਸੵੲਾᅮ੡ਸੵੲਾ‫ق‬঳৖੮৬峼௾岹‫ك‬ૠ৒峔峁ᅮ੡ਸੵੲਾ‫଻ق‬ੲ১峘੡ู峕ଁ঳峁岝ૠ൅峼৥ન৲‫ك‬

図１ 個人情報保護制度見直しの全体像૖୻ਈ ଒ ஆঽ ৳૧ೈ⋉⋊ಅઍ

出典：内閣官房・個人情報保護制度の見直しに関するタスクフォース「個人情報保護制度の見直しに関する最終報
告（概要）」（令和２年12月）２頁。[2]（この図の【現行】は、2022年４月１日以降は、【見直し前】となる。
）

JUCE Journal 2021年度 No. 4 45

解 説

環として、2021年２月９日、国会に提出されまていたところにありました。

した。４月６日に衆議院で、また、５月12日に参議院で可決されました。５月19日に公布され、（４）2021年個人情報保護法改正における学術行政機関及び独立行政法人等に関する規律の規定

研究の適用除外の削除

や学術研究機関等に対する適用除外規定の見直し

2021年改正で、適用除外の第57条第１項では、等（デジタル社会形成整備法第50条による改正）「大学その他の学術研究を目的とする機関若しくについては公布の日から起算して１年を超えないは団体又はそれらに属する者 学術研究の用に供範囲内において政令で定める日（2022年４月１する目的」という条項は削除されました。

日）、地方公共団体に関する規律の規定（デジタ

欧州連合（European Union, EU）から日本の学

ル社会形成整備法第51条による改正）について

術研究機関等に移転された個人データについては公布の日から起算して２年を超えない範囲内にも、GDPR（General Data Protection Regulation,おいて政令で定める日（未定）に施行されます。

一般データ保護規則）に基づく十分性認定を適用できるようにする（そのような要望が多数寄せら（２）2021年改正法の概要れていたとのことです）ためには、一元化の機会

2021年改正法の概要は、個人情報保護委員会に、それまでの学術研究に係る一律の適用除外規の文書に簡潔にまとめられています。それにより定を廃止し、個別の義務規定ごとに学術研究の例ますと、次のようになっています。

外規定を精緻化することにしたことによります。

①

個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の３本の法律を１本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の②

ここで「学術研究機関等」とはどのようなもの全体の所管を個人情報保護委員会に一元化。

かなどについて、その定義を見ることにします。

医療分野・学術分野の規制を統一するた

法第16条第８項は、次のように定義していま間の病院、大学等と同等の規律を適用。
学術研究分野を含めたGDPR（EU一般デす。
この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくはータ保護規則）の十分性認定への対応を目指団体又はそれらに属する者をいう。

一律の適用除外ではなく、義務ごとの例外規次のように説明しています。

し、学術研究に係る適用除外規定について、定として精緻化。
④（１）「学術研究機関等」の定義法律において全国的な共通ルールを規定し、め、国公立の病院、大学等には原則として民③

６．「学術研究機関等」及び「学術研究（目的）」の定義

個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化。

これについて、「ガイドライン（通則編）」は、「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属す太字で示したところが、特に私立大学に関係しる者」とは、国立・私立大学の教員、公益法人てくるところですので、関係者は、十分に認識し等の研究所の研究員、学会の会員等をいう。

なければなりません。そこで、ここでは、③について検討することにします。
（３）従来の個人情報保護法における学術研究の適用除外

なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的とし2003年個人情報保護法の一つの大きな特色は、ている場合は「学術研究を目的とする機関又は個人情報取扱事業者のうち、報道機関や学術研究団体」には該当しないが、製品開発と学術研究機関等には、第４章の「個人情報取扱事業者の義の目的が併存している場合には、主たる目的に務等」は、適用しないという適用除外が規定されより判断する。

46 JUCE Journal 2021年度 No. 4

解 説

私立大学及びその教員が学術研究機関等に該当「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応することは、明らかです。

用法の体系化、先端的な学問領域の開拓などを（２）学術研究目的の意義いう。

法第18条第３項第５号は、「学術研究目的」になお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解ついて、次のように規定しています。
当該個人情報取扱事業者が学術研究機関等でされない。

ある場合であって、当該個人情報を学術研究の「学術」については、これまでにもその定義が用に供する目的（以下この章において「学術研試みられています（文部科学省ホームページ）の究目的」という。）で取り扱う必要があるときで、参照してください。

（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
ここで太字にした「個人の権利利益を不当に侵７．例外規定が適用される場合と適用されない場合（１）例外規定が適用される場合害するおそれがある場合を除く。」は、他の規定上で見た「学術研究機関等」による「学術研究でも出てきますので、念頭に置いてください。

目的」の個人情報の取扱いは、一般の個人情報取「ガイドライン（通則編）」は、「学術」につい扱事業者が遵守する規制について、例外規定が適用されます。例外は、次の条文に規定されていまて次のように説いています。
「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学す。
①３項第５号及び第６号）

問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての利用目的変更の制限の例外（法第18条第②

要配慮個人情報の取得の制限の例外（法৾୒ଢ଼஢峕બ峵ి৷௾ਗૠ৒峘ৄઉ峁‫ق‬ಖᴟ৲‫ك‬5

嵣 ‫ۊں‬岵峳঩ম峘৾୒ଢ଼஢ਃঢ়ಉ峕୎ૡ岿島峉଻য崯嵤崧峕峎岮峐峬‫ۇۅڹڼ‬峕੦峏岹ેীਙੳ৒峼ి৷૭ચ峒峃峵岽峒峼ଳ৙峕岝঳੪৲峼ਃ峕岝ਠষ১峘৾୒ଢ଼஢峕બ峵঳൅峘ి৷௾ਗૠ৒峼ৄઉ峃岽峒峒峁岝଻શ峘ଝਜૠ৒岾峒峕৾୒ଢ଼஢峕બ峵୻ਗૠ৒峼ಖᴟ৲峃峵岞嵣 প৾峘ঽ੘峼઩峫峒峃峵৾୒ଢ଼஢ਃঢ়ಉ峘ঽ൅ਙ峼๑੎峃峵௴ਡ岵峳岝଻ੲ১ਸ਼૖ਸ਼‫ڭ‬ඨ峘ະ຺峼౷峨岲岝৾୒ଢ଼஢ਃঢ়ಉ峕଻যੲਾ峼ਹ৷峁峉ଢ଼஢峘ిਫ峔ৰ઱峕ঢ়峃峵ঽ਌ૠ෇峘ੁ৒嵣ਁ਀峼੷峫峉঱峑岝ঽ਌ૠ෇峕ಋ峍峉଻যੲਾ峘਄ඞ岮峕峎岮峐峙岝଻যੲਾ৳૧੻৩ভ峙岝ਉಋ峒峁峐岝峇峘૰୚ਥ଒峼ষઞ峁峔岮岽峒峒峃峵岞峨峉岝଻যੲਾ৳૧੻৩ভ峙岝ঽ਌ૠ෇峘ੁ৒峼੍ର峃峵௴ਡ岵峳岝૑ਏ峕ૢ峂岝੐ଉ峼ੁ৒嵣ਁ਀峃峵岞岧ৄઉ峁৏岨岧ਠষ১岨଻যੲਾ਄ඞহ঵঻峘ଝਜ৾୒ଢ଼஢峙৸峐ి৷௾ਗ‫ق‬ٙ৾୒ଢ଼஢ਃঢ়ಉ岶৾୒ଢ଼஢৯৓峑଻যੲਾ峼਄峴ඞ岰ৃ়峙৸峐ి৷௾ਗ‫ك‬ਹ৷৯৓峕峲峵਑଒৾୒ଢ଼஢峙୻ਗਏଦൟ଻যੲਾ峘਄੭਑଒৾୒ଢ଼஢峙୻ਗਸ਼ਕ঻઀୹峘਑଒吭৾୒ଢ଼஢ਃঢ়ಉ峕峲峵ଢ଼஢ਛટ峘৅਀嵣ઇ౸峕ਂ૭ಳ⋈઀୹੔岶৾୒ଢ଼஢ਃঢ়ಉ⋉઀୹੪岶৾୒ଢ଼஢ਃঢ়ಉ岵峎઀୹੔峒ુ৊ଢ଼஢਍৸ଵ৶ೈ઼ಉ৾୒ଢ଼஢峬ి৷৳થ଻য崯嵤崧峘৫ંಉ৾୒ଢ଼஢峬ి৷‫ق‬ٙ৾୒ଢ଼஢ਃঢ়ಉ岶৾୒ଢ଼஢৯৓峑଻যੲਾ峼਄峴ඞ岰૑ਏ岶岬峵ৃ়峙୻ਗ‫ك‬৾୒ଢ଼஢峙୻ਗ ‫ڭپ‬‫ڮپ‬଻যੲਾ৳૧੻৩ভ岶૰୚‫گپ‬‫୒৾ ڭپ‬ଢ଼஢ਃঢ়ಉ‫؟‬প৾‫ق‬எয়প৾岝বਁয়প৾‫ك‬岝৾ভ岝বয়ଢ଼஢৫৅১য ಉ‫ৣق‬଍峙০৚୯ਸ岿島峵峬峘‫ك‬‫ ڮپ‬বਁয়প৾఺峝বয়ଢ଼஢৫৅১য峘ৃ়峙岝৳થ଻যੲਾ峘৫ંಉ峕峎岮峐峙ষ৆ਃঢ়峒৊峂ૠ൅峼ి৷‫ گپ‬ਹ৷৯৓峘્৒嵣ਁ਀‫ق‬૖嵣૖‫ిਂك‬ਫਹ৷嵣਄੭峘రૃ‫ق‬૖峘‫ڮ‬嵣૖ඨ‫ك‬๫岲岮ਾઔ‫ق‬૖峘‫كڮ‬峬ి৷

図２ 学術研究に係る適用除外規定の見直し（精緻化）
出典：内閣官房・個人情報保護制度の見直しに関するタスクフォース「個人情報保護制度の見直しに関する最終報告（概要）」（令和２年12月）５頁。[2]（この図の【現行】は、2022年４月１日以降は、【見直し前】となる。
）

JUCE Journal 2021年度 No. 4 47

解 説

第20条第２項第５号及び第６号）③

個人データの第三者提供の制限の例外入れて、次のように説明しています。
学術研究機関等（…）が学術研究目的（…）（法第27条第１項第６号及び第７号）で個人情報を取り扱う場合には、当該個人情報これらの規制が例外的に除外されるためには、の取扱いについて、この法律を遵守するととも「学術研究目的で取り扱う必要がある」場合であに、学術研究機関等について法律の特例が設けって、「個人の権利利益を不当に侵害するおそれられているものも含め、安全管理措置、苦情処がある場合」に当たらないことが必要です。

理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の（２）例外規定が適用されない場合例外規定が適用されない場合がありますので、注意が必要です。それは、次のとおりです。

内容を公表するよう努めなければならない。
この説明からは、学術研究機関等としての大学が果たさなければならない責務が種々あるという①

安全管理措置（第23条から第26条まで）ことが分かるでしょう。大学における研究は、社②

保有個人データの開示、訂正等及び利用停会から負託された使命であるという認識に立つな止等の請求（第33条から第39条まで）③

苦情の処理（第40条）④

仮名加工情報取扱事業者等の義務（法第４章第３節）⑤

匿名加工情報取扱事業者等の義務（法第４章第４節）⑥

民間団体による個人情報の保護の推進（法第４章第５節）

８. 学術研究機関等の責務（法第59条関係）（１）法第59条

学術研究機関等は、第57条の適用除外から除外されました。改正法を見ていて、学術研究機関等は、適用除外の特権がなくなった上に法第59条で改めて責務が課されることになりました。規制強化のようにも思われます。「学術研究機関等の責務」に関する第59条は、次のように規定しています。
個人情報取扱事業者である学術研究機関等らば、当然のことと言えるでしょう。
（３）学術研究機関等による自主規範の策定・公表と個人情報保護委員会の監督「ガイドライン（通則編）」は、自主規範の策定・公表については、次のように解説しています。
大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範にのっとっているときは、法第146条第１項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権利利益を不当に侵害は、学術研究目的で行う個人情報の取扱いにつするおそれがある場合には、原則として、個人いて、この法律の規定を遵守するとともに、そ情報保護委員会は、その監督権限を行使する。の適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
（２）学術研究機関等の責務の説明

法第146条第１項は、「委員会は、前３条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げ上掲の第59条の「学術研究機関等の責務」規てはならない」と規定しています。これは、定に基づいて私立大学が果たさなければならない2003年法の制定に当たって、マスコミが強く主責務は何かを見ることにします。「ガイドライン

張したことから、当時、第50条の適用除外とと（通則編）」は、第59条の「その適正を確保するもに、第35条第１項が設けられたことに由来しために必要な措置を自ら講じ」の部分に具体例をます。

48 JUCE Journal 2021年度 No. 4

解 説（４）自主規範の策定・公表る必要があると考えます。

１）学校法人中央大学のホームページ[3]（2022年２月12日現在）

それでは、どのような自主規範を策定するかが問題となります。前述のように、2003年個人情３）研究活動における不正行為への対応体制
また、「研究活動における不正行為への対応体制 」というページもあります。

報保護法が2005年４月１日に全面施行されるこ

ここには、「責任体制」（１．統括責任者：学長、とを念頭に置いて、中央大学では、様々な検討を

２．研究倫理教育責任者：学部長等本大学研究機行いました。当時の資料が手元にありませんので、関の長、３．研究倫理委員会）、「運営管理体制」、具体的な内容を示すことは不可能ですが、今回、「研究活動上の不正行為に関する通報・相談の受本稿を執筆するに当たって、中央大学のホームペ付窓口」という項目があります。「自主規範」にージを改めて見てみました。その後も議論が行わは、このような事項も明文化する必要があると考れ、多くの文書が作成されていることを認識しまえます。

した。具体例をあげますと、次のようになりま
４）公的研究費の管理・監査体制す。
ホームページでは、「個人情報の取扱いについさらに、「公的研究費の管理・監査体制 」といて」の下に、個人情報保護方針（プライバシーポうページもあります。これは、文部科学大臣決定リシー）、中央大学個人情報保護規程等が掲載さ「研究機関における公的研究費の管理・監査のガれています。

イドライン（実施基準）（平成26年２月18日改正）」

これらのうちのいくつかと「研究」というペーの趣旨を踏まえて、「中央大学における公的研究ジに出てくる学術研究にとって重要な事項に触れ費の適正な使用及び公的研究費に係る通報に関することにします。

る規程」を制定し、公的研究費の運営・管理の責〇中央大学個人情報保護方針（プライバシーポリ任体制を定めたものです。

シー）（2005年４月１日１日改正）

制定、2016年１月

2015年改正で、要配慮個人情報の概念が導入されましたので、「思想、信条及び宗教に関する個人情報並びに社会的差別の原因となる個人情報は、本学が、法令及びガイドラインを踏まえ、別に定める場合を除き、収集しません」が、2016年１月１日改正で追加されたと思われます。

〇中央大学個人情報保護規程（当初の規程は、大学関係の研究不正が、残念ながらときどき報じられます。個人情報を取り扱う研究にも取り入れる必要があると考えます。

９. おわりに―研修会の必要性
ここまで論じてきましたが、課題は、尽きません。
ここで示したことを文書で読み理解するよりもある程度の人数が集まり研修会を開く必要がある

1995年４月１日施行）と思います。学術研究に携わる者は、企業等が大個人情報保護法改正に伴う個人情報保護規程のきな関心を示し、そのコンプライアンス意識をど改正が進行中であると伺っています。

う高めるかに腐心している今日、改正法の趣旨を十分に理解し、法違反という事態が生じないよう

２）人を対象とする研究の倫理審査（体制）研究関係でホームページを見ていきますと、「人を対象とする研究の倫理審査（体制）」に関するページがあります。ここには、次のような規程等が掲載されています。
・中央大学における人を対象とする研究倫理に関する規程
・中央大学における人を対象とする研究倫理審に努力していただきたいと思います。

関連URL[1] 個人情報保護委員会ホームページ https://www.ppc.go.jp/[2] 内閣官房・個人情報保護制度の見直しに関するタスクフォース「個人情報保護制度の見直しに関する最終報告（概要）」（令和２年12月）
https://www.cas.go.jp/jp/seisaku/kojinjyoho_hogo/pdf/r0212s
aisyuhoukoku_gaiyou.pdf[3] 中央大学ホームページ https://www.chuo-u.ac.jp/

査委員会に関する規程「自主規範」には、このような事項も明文化す

JUCE Journal 2021年度 No. 4 49