社会データ構造化センター主催シンポジウム
チュートリアルセッション
講演報告

社会データの収集と共有に関するコン
プライアンスとリスクマネジメント
ー適正な収集利⽤とサイバーセキュリティー対応ー
２０２３年３⽉９⽇
牧野総合法律事務所弁護⼠法⼈
弁護⼠牧野⼆郎
弁護⼠ 森 悟史 弁護⼠

牧野剛本⽇のセッションの内容
第１ 個⼈情報の収集と共有の課題と解法
最近の指導勧告事例にみる実態と対応も視野に⼊れて担当 牧野⼆郎
第２ 著作権等の処理、対応の留意点
社会調査をめぐるWebクローリング、CCの議論を踏まえて担当 牧野 剛第３ 情報セキュリティ・サイバーセキュリティ対応
ランサムウエア、emotetなどの攻撃への対応と安全管理措置
担当 森 悟史

第１１

個⼈情報の収集と共有の課題
個⼈情報保護法改正の確認

令和２、３年改正の全⾯施⾏（最終本年５⽉１⽇）
令和2年改正（漏洩報告義務化など）

令和4年4⽉1⽇施⾏
学術研究機関に係る改正（令和３年５０条改正）令和4年4⽉1⽇施⾏
51条改正地⽅⾃治体の条例との関係の整理も終了（令和5年5⽉1⽇施⾏）
主な改正内容・個⼈情報保護法の全⾯適⽤（例外から外れる）
宣⾔、⾃主規範制定、苦情対応、対応策の公表など・利⽤⽬的による制限（他⽬的利⽤）の緩和 １８条
・要配慮個⼈情報の同意なき取得の緩和
２０条
・第三者提供同意なき提供の緩和
２７条
第三者提供記録の必要性なし
２９条
個⼈関連情報の第三者提供の許可
３１条
・委員会監督に係る学問の⾃由の保護１４５，１４６条

2 情報の収集と共有の課題
留意点

⼤前提：個⼈情報保護＝利⽤⽬的の明⽰、かつ明⽰の同意の確保
わかりやすい⽤語でプライバシー保護 調査対象の⼼理的状況に配慮（１）⾯談等による直接収取の場合の留意点①複数で⾯談すること、②最初から録⾳すること、③詳しい書⾯の提⽰、④利⽤⽬的、同意の明⽰、書⾯でも取る、録⾳と書⾯の⼀致、④聴取後の再確認（２）WEB開⽰情報のクロール利⽤の留意点①開⽰情報の取得は⾃由（同意不要）だが、利⽤⽬的については⾃⾝で明⽰、オプトアウトが妥当、③クロール収集情報の安全管理（３）受託サービス等の利⽤の留意点①受託サービス事業者の選定、②委託契約、作業内容同意、③守秘義務、④作業後の情報抹消、⑤納⼊検査（４）調査会社の利⽤の場合の留意点①委託先選定基準による選定、②業務委託契約（再委託禁⽌、守秘義務、安全管理措置、監督受⼊）③委託先監督（定期的⽴⼊確認、報告書確認）、④納⼊物検査（５）収集情報処理の場合の注意点①守秘義務明⽰、②担当者明⽰＋守秘宣誓＋パスワード確認、③作業場所の特定（⾃宅業務等の禁⽌）、④作業端末の特定（BYOD禁⽌）、⑤データ抹消確認、⑥違反に対する罰則の明確化

（注意）仮名加⼯情報の取り扱い
提供禁⽌：仮名加⼯情報については第三者提供が禁⽌されている（§41ⅵ「個⼈データ」である場合の禁⽌、§42ⅰ個⼈情報の場合以外を禁⽌）
禁⽌の理由①仮名加⼯情報（個⼈データ・⼤量である前提）を第三者に提供した場合、あえて安全な形に変えて提供したのであったはずなのに、悪意の第三者がこれを照合して個⼈を特定した場合にはむしろ危険性が⾼まる。
②仮名加⼯情報の漏洩には、リスクが少ないとして例外規定§41ⅸ、§42ⅲがあり、漏洩に対して問題としないが、仮に、第三者提供について本⼈の同意を求め（第三者提供同意の原則）るとなると、仮名加⼯情報よりもかえってリスクの⾼いものとなる。

このことから、同意を得ることも妥当ではなく、事前の同意があったとしても、仮名加⼯情報の第三差者提供は認めないこととしたとするのが個⼈情報保護委員会の⾒解（https://www.ppc.go.jp/all_faq_index/faq1-q14-17/）
例外：しかし、例外として、§41ⅰ⑥で委託、共同利⽤の場合は⼀定の条件下で可能とされる。詳細は報告書参照のこと。

整理：

個⼈情報取扱事業者（仮名加⼯情報取扱事業者）―

第三者不可

個⼈情報取扱事業者（同）ー委託事業者への提供
個⼈情報取扱事業者（同）ー業務委託にて調査会社から取得

可可

個⼈情報取扱事業者（同）ー共同利⽤（公表）可３

解析、研究、情報共有の留意点

利活⽤の⾃由度の拡⼤
むしろ、情報管理のリスクの拡⼤に留意。研究者の意図と異なる利⽤⽅法の問題（契約による規制）（１）共同研究における移転、共有について研究者個⼈同⼠の研究情報共有、交換、取り扱い上の注意○研究者個⼈間での情報提供の⽬的が①共同研究（§27ⅰ⑥）、②提供先が研究機関等で学術研究⽬的である場合（§27ⅰ⑦）の要件の場合に、権利侵害がなければ可能〇監督責任まではないが、研究⽬的、事業者としての安全管理措置があることのか確認等必要（２）解析のための移転、委託について〇外部事業者への情報処理委託も可能だが、監督責任（選定、契約、監督）あり〇委託終了時の情報の回収、消去等の確認（３）解析と照合における留意点、個⼈識別可能となる場合の処理など〇匿名、仮名加⼯情報などは照合禁⽌であることに注意〇識別可能であることを発⾒した場合には、直ちに適切な処理と原因究明、再発防⽌４研究発表、講演、教育への研究成果の利⽤等における留意点
留意点
個⼈情報、プライバシー、著作権など（１）研究発表（論⽂投稿等）における注意点
提供が学術研究成果の発表⼜は教授のためやむを得ないときには、個⼈データの提供を⾏っても良い（ただし⼈権侵害に配慮）§27ⅰ⑤「やむを得ない」の判断は微妙、⼀定の疎明資料は必要。プライバシーに配慮（倫理上の問題）（２）講演等における留意点§27ⅰ⑤に該当しないケースの場合、⼀般講演、意識啓発のための講演などの場合には、個⼈データ（個⼈情報）の提供は許されないとみるべき。但し、完全に匿名化して利⽤することは可能。

（３）⼤学等における教育実施における資料、研究成果の利⽤」§27ⅰ⑤で、やむを得ない場合には利⽤可能。但し、⼈権侵害とならないように、学⽣からの流出を防⽌するために安全管理措置をとることは必要。個⼈情報取扱事業者としての義務は免除されていない点に注意。
必要と思われる対応は、①学⽣に対して、事前に個⼈データの取り扱いに関する教育を⾏うこと、ＳＮＳなどへの投稿や私的利⽤を厳禁とする等指導、②提供データについて可能であれば回収、③デジタルデータの場合にはＰＣ保管についての注意を⾏うこと、PCのPW設定、ファイル・データの暗号化など（４） ⺠間企業との連携における可能性と留意点
⺠間であっても学術研究を主な⽬的とする機関であって、かつ利⽤⽬的の⼀部が学術研究⽬的で得ある場
合（§27ⅰ⑦）であれば提供可能。提供に際しては、提供に係る契約の締結、安全管理措置の実施要求、研究⽬的で利⽤されたことの確認、が望ましい。

５

事例研究

令和4年11⽉2⽇

個⼈情報保護委員会指導案件

事例：⼿術動画提供事案 医師からスタージャパン合同会社への動画提供問題
適正な提供か・・・医師の倫理上の問題
個⼈情報保護の視点から、患者の同意の確保、識別情報削除などの管理について

問題：患者の識別ができない前提での⼿術動画の取扱い〇純粋な学術研究の⽬的なのか？
学術研究機関への提供であれば許容範囲広い。⺠間企業への提供⾏為の評価〇⼿術動画の帰属・管理者はだれか？
⼤学のルール？法⼈としての⾏為か、個⼈の⾏為か〇患者の同意が必要か⺠間企業は匿名情報として取得したが、現実には⼀部動画に⽒名等があり同意の取得がない
受け取り側が削除したら問題は解消するか？
⼿数料？⽀払い⽩内障研究⽤資料作成

個⼈データ事業会社
個⼈情報

⽩内障レンズの販売促進？
この企業の実態の把握が必要６

事例研究２ 令和4年12⽉21⽇個⼈情報保護員会指導案件• 厚⽣労働省の委託先監督義務違反に対する指導事案：研究者の申し出でで作成されていた指定難病患者データベースから、データを抽出し、識別情報を削除して、他の研究者に提供する作業において、厚労省の委託を受けた医薬健栄研が削除を間違えて、厚労省に納品し、厚労省は確認後、他の研究者に提供し、個⼈情報が漏えいした事案
問題：厚労省の委託先監督 委託先医薬健栄研に対する実地検査がH30、R2で、その間は書⾯による報告を求めていない・・・⼗分ではない。定期的監督の実施
厚労省が確認できたのに、⼈為的ミスでデータを提供したのは、教育研修内容が不⼗分であった・・・・ガイドラインに沿った教育研修を⾏うべし
医薬栄研への指導は記載がない。
厚⽣省に対する監督義務、教育、再発防⽌対策実施を指導７

事例研究３ 令和4年11⽉2⽇個⼈情報保護委員会指導事案• 事案：医療分野の研究開発に資するための匿名加⼯情報に関する法律（次世代基盤法）に定める第三者提供「通知」を⾏っていない難病患者の情報を第三者（当事者）に提供した。
• 情報の流れ：9医療機関⇒LDIに管理等委託⇒NTTデータに管理再委託⇒データが管理中
NTTデータがプログラムミス⇒未通知情報をLDI,NTTデータに提供（意図せず提供）という事案でり、同⼀当事者に対するものであるが漏洩事案として指導した事案
情報管理委託
医療機関

情報管理再委託
NTTデータ

LDI

医療情報取扱事業者

意図せず提供ポイント

LDI

NTTデータ

認定匿名加⼯医療情報作成事業者

認定医療情報等取扱受託事業者

委託、再委託の監督責任

外形上は同⼀事業者と⾒えるが、実質は医療機関からの漏洩 なれ合いの防⽌からより⾼い⽔準の案管理措置が必要

NTTデータはプログラム開発プロセスの改善

事例研究から学ぶべきポイント• いずれの事案（指導事案）も、情報提供を⾏ったものの委託先監督責任を問題として、監督の適正⾏使が⾏われていないことを指摘• 監督とは、選定基準、契約、そして監督権の実施・⾏使○

定期的な⽴ち⼊り調査（そのこと⾃体で⼤きな効果あり）○

⽴ち⼊りできないときに報告書のをもとめること○

契約更新時などに適切に管理することなどを確実に実施する必要があること。
<社会データ収集にあっては＞調査会社に丸投げして、何も⾔わない、しない、という姿勢は是正すべきであること。
調査会社の納品物を適正に検査し、ミスがないことを確認すること
ミスがあればしかるべく監督し、是正させる必要がある
安全管理措置ともなるが、実施の必要性あり