改正個人情報保護法の政令等の動向について弁護士・ひかり総合法律事務所
板倉陽一郎

2016/6/12

情報法制研究会第4回シンポジウム

1

今日の内容••1 スケジュール
2 個人情報保護委員会資料の分析
–
–
–
–
–
–
–
–
–

•

2.1 改正個人情報保護法の全面施行に向けた関係政令・委員会規則の整備について（第4回資料2-1）
2.2 「個人情報の保護に関する法律についてのガイドライン」（仮称）の基本的な考え方等について（第4回
資料2-2）
2.3 「改正個人情報保護法第25条・第26条の確認・記録義務の方向性について」（第4回資料2-3）
2.4 個人識別符号に関する政令の方向性について（第5回資料2-1）
2.5 権限の委任に関する政令の方向性について （第5回資料2-2）
2.6 外国にある第三者に対する個人データの提供に関する規則の方向性について （第6回資料2）
2.7 「個人情報の保護に関する法律についてのガイドライン」（仮称）における安全管理措置及び小規模の事業者への配慮に関する基本的な考え方について（第9回資料1-1）及び個人情報保護法ガイドラインにおける安全管理措置及び小規模の事業者への配慮に関する基本的な考え方（概要）（第9回資料1-2）
2.8 要配慮個人情報に関する政令の方向性について（第10回資料1）
2.9 匿名加工情報に関する委員会規則等の方向性について （第10回資料2）

3 関連会合の動向––––

2016/6/12

3.1 経済産業省 平成 27 年度我が国経済社会の情報化・サービス化に係る基盤整備 経済産業分野を対象とする個人情報保護に係る制度整備等調査研究
3.2 総務省 改正個人情報保護法等を踏まえたプライバシー保護検討タスクフォース
3.3 厚生労働省 ゲノム情報を用いた医療等の実用化推進タスクフォース
3.4 その他

情報法制研究会第4回シンポジウム

2

春
頃
？
パブコメ？

2016/6/12

情報法制研究会第4回シンポジウム

3

総務省「個人情報・利用者情報等の取扱いに関するWG（第4回）」（平成27年4月16日）内閣官房提出資料を加筆

2. 個人情報保護委員会資料の分析• 個人情報保護委員会及び資料の特徴– 不定期・非公開で開催される– 開催された後もしばらく資料が公開されない• 公開されてもアナウンスがない– 公開されてもクレジットがない• 多分事務局だが記載されない– 議事録は公開されず議事概要• 議事概要が公開されてもアナウンスがない

2016/6/12

情報法制研究会第4回シンポジウム42.1 改正個人情報保護法の全面施行に向けた関係
政令・委員会規則の整備について（第4回資料2-1）• 改正個人情報保護法（以下「改正法」という。）の全面施行に向けて、以下の関係政令及び委員会規則を整備する必要がある。これ
らの整備に当たっては、改正法の国会審議における議論を踏まえた上で、民間事業者や有識者等から広く意見を聴取しつつ、今後の審議を進める。

2016/6/12

情報法制研究会第4回シンポジウム

52016/6/12

情報法制研究会第4回シンポジウム

62016/6/12

情報法制研究会第4回シンポジウム

72.2 「個人情報の保護に関する法律についてのガイドライン」（仮称）の基本的な考え方等について（第4回資料2-2）
•
•
•

•

１．基本的な考え方及び構成等（１）基本的な考え方○現行の個人情報保護法の下では、各主務大臣が個人情報保護法に基づく勧告及び命令等の監督権限を有しており、同法第８条等に基づき、事業分野ごとの個人情報保護等に関するガイドライン（以下「各省ガイドライン」という。）を策定している。
○改正個人情報保護法（以下「改正法」という。）の全面施行時には監督権限が当委員会に一元化されることを踏まえ、これに向けて当委員会が、改正法第４条（国の責務）、第８条（地方公共団体「等」への支援）及び第51条（委員会の任務）に基づき、全ての事業分野に適用される汎用的なガイドライン（以下「委員会ガイドライン」という。）を策定し、告示として公表する。
– （※なお、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」は番号法第４条（国の責務）及び改正法第51条（委員会の任務）に基づき策定されている。）•○これに伴い、現行の各省ガイドラインは、原則として委員会ガイドラインに一元化することとするが、その際は、事業分野の特性（当該事業において取り扱われる個人情報の性質及び利用方法等の特性を含む。）及び現行の各省ガイドラインの内容等を踏まえるとともに、事業者に混乱が生じないよう留意し、個々に取扱いを検討する。

2016/6/12

情報法制研究会第4回シンポジウム

8• ○委員会ガイドラインの策定に当たっては、各省ガイドラ
イン等により従来から共通的に示されてきた解釈は基本的に踏襲しつつ、改正法に係る国会審議や直近の社会情
勢等も踏まえ、適切な解釈及び事例等を示すこととし、併せて、改正法附則第11条において、「この法律の施行により旧個人情報保護法第２条第３項第５号に掲げる者が新たに個人情報取扱事業者となることに鑑み、特に小規模の事業者の事業活動が円滑に行われるよう配慮するものとする。」とされている点にも留意する。
• ○なお、委員会ガイドラインの策定に当たり、事業者における混乱の防止等の観点から、必要に応じて、当委員会が別途定めている「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の用語及び表現等との整合性にも留意する。
2016/6/12

情報法制研究会第4回シンポジウム9• （２）構成等• ○委員会ガイドラインの構成は、改正法の条文の流れに従って、法律・政令・規則を適宜示しつつ、事業者が守らなければならない事項を記述することとし、必要に応じて、法律上の義務（努力義務を含む。）ではないが、実施することがより望ましいと考えられる事項についても記述する。
• ○なお、事業者及び消費者による改正法の理解に資する観点から、改正法の解釈等に関して当委員会に対して寄せられた質問のうち汎用性のある事例、具体的なケースに即した事例等について、QA等を別途作成することとする。
2016/6/12

情報法制研究会第4回シンポジウム

102.3 「改正個人情報保護法第25条・第26条の確認・記録義務の方向性について」（第4回資料2-3）• 平成26年に発生した民間企業における大規模漏えい事案を契機として、名簿屋対策を目的とするトレーサビリティの規定（注１）が新設された。また、オプトアウト規定（注２）を利用する事業者の個人情報保護委員会への届出義務及び委員会による公表の規定も導入され、これらの制度が相まって、違法な名簿屋による個人データの流通を抑止しようとするものである。
• 他方、正常な事業活動を行っている事業者に対する過度な負担を懸念する声が多く上がっていることから、現実的な規則の在り方について検討する必要がある（衆議院内閣委員会における附帯決議（平成27年5月20日）、参議院内閣委員会における附帯決議（平成27年8月27日）。別添
参照。）。
• 事業者に対する過度な負担となるおそれのある具体的な課題として、次の【事例】①～⑦が示されてきている。これらに対しては、国会の議論等を踏まえ、＜対応案＞①～⑦を軸に検討を進める（別紙「＜参考＞対応
案①～⑦を前提とした確認・記録義務の基本的な考え方」も参照。）。な
お、その他の規則制定事項（記録・確認方法、記録事項、保存期間）についても、引き続き、検討を進める。
2016/6/12

情報法制研究会第4回シンポジウム

11そもそも規則で定められるのか？
•

改正法25条1項– 個人情報取扱事業者は、個人データを第三者（第２条第５項各号に掲げる者を除く。以下この条及び次条において同じ。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第23条第１項各号又は第５項各号のいずれか（前条の規定による個人デー
タの提供にあっては、第23条第１項各号のいずれか）に該当する場合は、この限りでない。

•

改正法26条1項– 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第23条第１項各号又は第５項各号のいずれかに該当する場合は、
この限りでない。
•••

一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
二 当該第三者による当該個人データの取得の経緯

改正法26条3項– 個人情報取扱事業者は、第１項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

2016/6/12

情報法制研究会第4回シンポジウム

122016/6/12

情報法制研究会第4回シンポジウム

132016/6/12

情報法制研究会第4回シンポジウム

142016/6/12

情報法制研究会第4回シンポジウム

15

2016/6/12

情報法制研究会第4回シンポジウム

162.4 個人識別符号に関する政令の方向性について（第5回資料2-1）•••

１．趣旨・背景等「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律」によって改正された「個人情報の保護に関する法律」（平成十五年法第五十七号）（以下「法」という。）の定義規定において、新たに「個人識別符号」を設け（法第二条第二項）、これが含まれる情報が「個人情報」であるとした（法第二条第一項第二号）。
このような定義を設けた背景には、現行法第二条第一項が保護対象を「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」とすることについて、情報通信技術の進展もあいまって、法の規制対象とされる個人情報取扱事業者（現行法第二条第三項）又は本人（同条第六項）から、具体的にどのような情報が個人情報であるかが解釈に委ねられるところが大きいとして、その該当性判断をためらうという問題が指摘されていたことにある。「個人識別符号」の定義を設ける趣旨は、これに係る政令を定めることとし、これによって個人情報に該当するか否かを客観的に判断できるようにするとともに、保護対象の明確化を図ることにある。

2016/6/12

情報法制研究会第4回シンポジウム17• ２．方向性• （１）政令における規定について• 法第二条第二項の政令を定めるに当たっては、個人識別符号を設ける
趣旨に鑑み、個別具体的な対象を規定するとともに、規定することによって対象がかえって不明確となり得るものについては個人情報保護委員会規則又はガイドライン（告示）によって対応し、明確化を図ることとする。
• （２）ガイドライン・ＱＡの記載事項について• ガイドライン・ＱＡにおいては、特に内容が解釈によるところが大きい第一号個人識別符号に関係するものを明確化することとする。例えば、ＤＮＡの解析結果といったとき、どのような情報が該当するのかを明らかとする。
ただし、専門的な内容となるため、その記載の詳細さについては専門家の意見も踏まえたものとする。第二号個人識別符号については、政令及び個人情報保護委員会規則によって該当性が明らかとなるものであるから、基本的に特記事項はないものと考えられる。
• 規則に再委任するのか？？
2016/6/12

情報法制研究会第4回シンポジウム

182016/6/12

情報法制研究会第4回シンポジウム

192.5 権限の委任に関する政令の方向性について （第5回資料2-2）
•
•

•

•
•
•
•
•

１．趣旨・背景等
改正個人情報保護法では、個人情報保護委員会（以下「委員会」という。）が個人情報取扱事業者等を監督するに当たり、各省庁が所管する事業分野に関する専門的知見や、所管する事業分野の事業者を監督するために有している体制を有効に活用することは、個人情報の適正な取扱いを確保するためにも有益と考えられたため、報告徴収及び立入検査の権限を委員会から事業所管大臣（各省庁）に委任することができることとし、その詳細は政令で定めることとされた。また、監督の実務に配慮し、委任された権限に属する事務を地方公共団体の長等の事務とすることができることとし、その詳細についても政令で定めることとされた。
改正個人情報保護法第44条及び第77条が権限の委任に関する規定となっており、次の事項が政令に委ねられている。
（１）権限の委任が可能となる「事情」（第44条第１項）（２）権限の委任の方法（同項）（３）事業所管大臣から委員会への権限行使の結果報告の方法（第44条第２項）（４）事業所管大臣の地方支分部局や内部部局への権限の委任の詳細（第44条
第３項）（５）委員会、事業所管大臣等から地方公共団体の長等への事務の委譲の詳細（第77条）

2016/6/12

情報法制研究会第4回シンポジウム20• ２．方向性– 次の方向性を軸に、政令の規定や基本方針の内容について、検討を進めるものとする。

• （１）権限の委任が可能となる「事情」について– 改正個人情報保護法第44条第１項は、「緊急かつ重点的に個人情報等の適正な取扱いの確保を図る必要があることその他の政令で定める事情がある
ため、個人情報取扱事業者等に対し、第四十二条の規定による勧告又は命令を効果的に行う上で必要があると認めるとき」にのみ報告徴収及び立入検査の権限を事業所管大臣に委任することが可能としている。権限委任の規定が設けられた趣旨に鑑み、権限の委任が可能となる「事情」として、事業所管大臣に報告徴収及び立入検査を委ねることが効果的と考えられる次の２つの場合を定めることとする。
• ①緊急かつ重点的に個人情報等の適正な取扱いを確保する必要があること。（法律で例示されているものを再度規定するもの。）• ②効果的かつ効率的に個人情報等の適正な取扱いを確保するために事業所管大臣が有する専門的知見を特に活用する必要があること。

– 実際の委任先は、具体的な事案発生時の状況や事業所管大臣の監督体制等を踏まえ、上記「事情」への該当性を総合的に判断した上で決定することとする。
2016/6/12

情報法制研究会第4回シンポジウム

21•（２）権限の委任の方法について– 委員会は、あらかじめ委任しようとする事業所管大臣と協議の上、委任する事務の範囲及び期間を定めて、事業所管大臣に委任することとする。なお、委任した場合でも、委員会が自ら権限を行使することは可能とする。また、事業が共管の場合等には、複数の事業所管大臣に委任することも可能とする。

•（３）事業所管大臣から委員会への権限行使の結果報告の方法について– 改正個人情報保護法第44条第２項に基づき、事業所管大臣は、委任された権限を行使した
ときは、その結果について委員会に報告する必要があるところ、その方法については、報告
徴収又は立入検査の結果判明した事実やその他参考となるべき事項を書面（電磁的方式を含む。）で報告することとする。
– 報告の期限は委員会が個別に設定するが、個人情報取扱事業者等に個人情報保護法違反が認められる場合には、直ちに報告することとする。

•（４）事業所管大臣の地方支分部局や内部部局への権限の委任の詳細について– 各省庁の実情に合わせて地方支分部局等に委任できるよう、現行の施行令第12条の規定を参考に、所要の規定を整備する。

•（５）委員会、事業所管大臣等から地方公共団体の長等への事務の委譲の詳細について– 各省庁の実情に合わせて事務の一部を地方公共団体の長等が行うことができるよう、現行の施行令第11条の規定を参考に、所要の規定を整備する。

2016/6/12

情報法制研究会第4回シンポジウム222.6 外国にある第三者に対する個人データの提供に関する規則の方向性について （第6回資料2）•••

１．趣旨・背景等
我が国から、外国にある第三者へ提供される個人データの適正な取扱いを確保し、本人の権利利益を保護するため、改正個人情報保護法（以下「改正法」という。）第24 条に外国にある第三者に個人データを提供する場合の規定が設けられた。
同条では、外国にある第三者へ個人データを提供する場合には、次の２つのいずれかに該当する場合を除き、原則として外国にある第三者への提供を認める
旨の本人の同意をあらかじめ取得しなければならないこととされた。
– ①当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として個人情報保護委員会規則で定められた国にある場合– ②当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として個人情報保護委員会規則で定める基準に適合する体制を整備している場合•①の「我が国と同等の水準にあると認められる個人情報保護制度を有している
国」及び②の「個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制」の基準について、個人情報保護委員会規則で定めることとされている。

2016/6/12

情報法制研究会第4回シンポジウム

23

•
•

２．方向性
（１）我が国と同等の水準にあると認められる個人情報保護制度を有している国–••（２）個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体
制の基準
–

–

•
•
•

様々な国において制度の見直しが行われていることもあり、また、詳細かつ多角的な調査・検討が必要であることから、今後、継続的に検討する。

国会における改正法の審議では、改正法第24 条は、事業者に対して新たな規制を課すものではなく、事業者において現在適切に行われている個人情報の取扱いを追認するものとされている。また、海外における個人情報の保護を図りつつ、国境を越えた個人情報の移転を不当に阻害しないよう（衆議院内閣委員会における附帯決議（平成27 年5月20 日）、参議院内閣委員
会における附帯決議（平成27 年8 月27 日））、現実的な規則の在り方について検討する必要がある。なお、必要な体制が整備されているかについては、個人情報保護委員会に対して事前の届出等を要するものではない。
以上を踏まえ、外国にある第三者が整備すべき体制として、以下を規則、ガイドライン等において定めることとする。

① 提供元及び提供先（外国にある第三者）間の契約において、提供先が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を講ずることが担保されていること② 提供元及び提供先（外国にある第三者）が同一の企業グループであり、当該グループのプライバシーポリ
シー等において、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を講ずることが担保されていること③ 外国にある第三者が、個人情報の取扱いに関する国際的な枠組みの基準に適合している旨の認証を受けていること（例えば、アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システム）–

2016/6/12

なお、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置については、現在の適切な取扱いを追認するという国会における議論、OECD ガイドライン及びAPEC プライバシーフレームワーク等の国際的な枠組みとの整合性を勘案しつつ検討する。

情報法制研究会第4回シンポジウム

24

2.7 「個人情報の保護に関する法律についてのガイドライン」（仮称）における安全管
理措置及び小規模の事業者への配慮に関する基本的な考え方について（第9回資料1-1）及び個人情報保護法ガイドラインにおける安全管理措置及び小規模の事業者への配慮に関する基本的な考え方（概要）（第9回資料1-2）•○当該特例的な対応の対象となる事業者は「中小規模事業者」と称することとし、その範囲については、次の理由から、番号法ガイドラインにおける「中小規模事業者」に準じて以下の範囲とする方向で、特例的な対応の内容等と併せて引き続き検討する。

•••【中小規模事業者】
事業者のうち従業員の数が100 人以下の事業者であって、次に掲げる事業者を除く事業者をいう。
・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６月以内のいずれかの日において5,000 を超える事業者
・委託に基づいて個人データの取扱いを行う事業者••

理由 ：前述のとおり、番号法が求める安全管理措置と、個人情報保護法が求める安全管理措置とでは、その基本的な要素、並びに、特例的な対応を定めることが一般に必要と考えられる事業者の規模及び取り扱う情報量等は、おおむね共通すると考えられること•○なお、改正法附則第11 条の趣旨を踏まえ、中小規模事業者における個人情報保護法の適切な理解及び遵守に資するため、中小規模事業者向けの留意点等について、安全管理措置以外の内容を含め、別途、Q&A その他の解説資料等において分かりやすく示すことを検討する。

2016/6/12

情報法制研究会第4回シンポジウム

25

2016/6/12

情報法制研究会第4回シンポジウム

26

2016/6/12

情報法制研究会第4回シンポジウム

27

2016/6/12

情報法制研究会第4回シンポジウム

28

2016/6/12

情報法制研究会第4回シンポジウム

292016/6/12

情報法制研究会第4回シンポジウム

30

2016/6/12

情報法制研究会第4回シンポジウム31

2.8 要配慮個人情報に関する政令の方向性について（第10回資料1）• １．政令の趣旨– 改正個人情報保護法（以下「改正法」という。）においては、慎重な取扱いを要する個人情報を要配慮個人情報として新たに類型化し、本人同意を得ない取得を原則として禁止するとともに、本人が明確に認識できないうちに個人情報が第三者へ提供されることがないようにするため、オプトアウト手続による第三者提供を認めないこととしている。
– 改正法において、要配慮個人情報とは、「本人の人種、信条、
社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じな
いようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」とされており、政令で定めるべき事項について検討する必要がある。

2016/6/12

情報法制研究会第4回シンポジウム

32

•
•
•
•
•
•

２．政令の規定事項について（１）要配慮個人情報の定義検討に当たっては、他の法令の規定、我が国における社会通念等を参考に、差別や偏見を生じるおそれの有無等を勘案し、その範囲を定めていくこととするが、医療現場等における従前からの運用と齟齬が生じ、混乱が生じることのないよう留意し検討するものとする。
要配慮個人情報として政令で定める事項についての考え方は次のとおりである。
① 「病歴」に準ずるもの（ⅰ）診療情報、調剤情報–•（ⅱ）健康診断の結果、保健指導の内容–•

健康診断の結果等は、ある個人の健康状態が明らかとなる情報で、病気を推知又は特定させる可能性があることを勘案するもの。

（ⅲ）障害（身体障害、知的障害、精神障害（発達障害を含む。）その他の心身の機能の障害を含
む。）
–

•

診療情報や調剤情報は、ある個人の健康状態が明らかとなる情報で、病気を推知又は特定させる可能性があることを勘案するもの。

障害を理由とする差別の解消の推進に関する法律第８条及び障害者の雇用の促進等に関する法律第 35
条等の他の法令においても、障害を理由とした差別や権利利益の侵害を禁止していることを勘案するもの。

（ⅳ）ゲノム情報–

2016/6/12

遺伝子検査により判明する情報のうち差別、偏見につながり得るもの（例えば、将来発症し得る可能性のある病気、治療薬の選択に関する情報等）は、個人の現在の健康状態のみならず、将来発症する可能性
や非発症保因者として子孫へ遺伝子変異を伝える可能性があることを勘案するもの。

情報法制研究会第4回シンポジウム33• ② 「犯罪の経歴」に準ずるもの• （ⅰ）被疑者又は被告人として刑事手続を受けた事実– 被疑者又は被告人として、刑事訴訟法に基づき、逮捕、捜索、差押え、勾留、公訴の提起等の刑事手続を受けた事実は、有罪判決を受けていなくとも刑事手続を受けたのであれば、犯罪への関与があったものと強く推測され、社会から不利益な扱いを受けることが考えられることから、本人としては秘匿したいと考えることが一般的と考えられることを勘案するもの。

• （ⅱ）非行少年として少年保護事件の手続を受けた事実– 非行少年として、少年法に基づき、調査、観護の措置、審判、保護処分等の一切の少年保護事件に関する手続等を受けた事実は、成人の場合における犯罪の経歴や刑事手続を受けた事実と同様に、差別や偏見を生じさせ本人の更生を妨げ得るものと考えられることを勘案するもの。なお、同様の観点から、少年法第 61 条において、家庭裁判所の審判に付された少年について本人であることが推知できるような記事等を出版物に掲載してはならない旨を規定している。
2016/6/12

情報法制研究会第4回シンポジウム

34

•
•

•
•

（２）要配慮個人情報の取得時の本人同意の例外
改正法第 17 条第２項では、本人の利益のために必要がある場合や他の利益のためにやむを得ない場合等、あらかじめの本人の同意なく要配慮個人情報を取得できることとしている。政令においてもこれらに準ずる一定の場合を定めることとしている。
本人同意の例外として政令に定める事項の考え方については次のとおりである。
① 本人の外形上、要配慮個人情報に含まれる事項が明らかな場合であって、撮影等を通じてその要配慮個人情報を取得するとき– ある特定の個人が身体に障害を抱えている事実が映像等に写りこんだ場合等の事業者の負担を勘案するもの。外形から明らかであるため、本人にとっても社会生活を送るに当たって自己の要配慮個人情報に含まれる事項が公に認識されることは想定していると考えられる。もっとも、取得した要配慮個人情報を本人の知らないうちに第三者に提供されることがな
いよう、第三者に提供するに当たっては、本人の同意を要することとしている。

•② 委託、事業承継、共同利用（法第 23 条第５項各号）に伴う提供を受ける場合– 提供する者は、法第 23 条第５項により本人の同意なく要配慮個人情報を提供することができる一方で、受領する側は取得することについて本人の同意を得なければならないこととな
り、取扱いが非対称となることを勘案するもの。

2016/6/12

情報法制研究会第4回シンポジウム35

2.9 匿名加工情報に関する委員会規則等の方向性について （第10回資料2）• １．委員会規則の趣旨– 匿名加工情報は、個人情報を加工して、特定の個人を識別することができず、かつ、作成の元となった個人情報を復元することができないようにすることで、個人情報の取扱いにおいて
目的外利用（第 16 条）や第三者提供（第 23 条第１項）を行うに際して求められる本人の同意を不要とするなど、その取扱いについて個人情報の取扱いに関する義務よりも緩やかな一定の規律が設けられるものである。この一定の規律のうち、①加工に関する基準②加工方法に関する情報等の漏えい防止措置基準③作成に当たっての公表④第三者提供に当たっての公表・明示については、委員会規則で定めることとなっている（第36 条・第 37 条）。
– 委員会規則の検討に当たっては法案審議の際に政府側から示された考え方を踏まえることとする。

2016/6/12

情報法制研究会第4回シンポジウム

36

•
•
•
•

２．委員会規則及びガイドライン等の記載の方向性（１）規則における規定について① 加工に関する基準について（第 36 条第１項）（ア）本項の趣旨– 本項の規則は、匿名加工情報が特定の個人を識別すること及びその作成の元となった個人情報を復元することができないものであることから、そのような状態とするために必要な加工手法その他の必要な事項を定めるものである。

• （イ）規則で定める基準の方向性– 基準では、匿名加工情報を作成する事業者全てに共通する一般的な加工手法その他最低限の規律を定めることとし、これに従って事業者が具体的にどのような加工を行うかについては、取り扱う個人情報、取扱い実態等に応じて定めることが望ましいことから、認定個
人情報保護団体が作成する個人情報保護指針等の自主的なルールに委ねることとする。

2016/6/12

情報法制研究会第4回シンポジウム37• ② 加工方法に関する情報等の漏えい防止措置基準（第 36 条第２項）• （ア）本項の趣旨– 加工によって削除された情報や加工の方法が判明することは、作成の元となった個人情報の復元につながり得ることから、加工に関する情報が第三者に取得されることの無いよう漏えい防止のための措置を講ずる必要があるところ、その基準を定めるものである。

• （イ）規則で定める基準の方向性– 匿名加工情報は、作成の元となる個人情報又は匿名加工情報の内容が個
人情報取扱事業者ごとに異なることから、漏えい防止のために講ずるべき具
体的な安全管理措置も異なり得るものである。したがって、規則で定める基準については、具体的な措置内容を規定することなく、漏えいを防止するための措置の類型を定めることとする。
– ※事業者が行うべき措置については、匿名加工情報の作成に携わる者（以下「作成従事者」という。）を限定するなどの社内規定の策定、作成従事者等の監督体制の整備、個人情報から削除した事項及び加工方法に関する情報へのアクセス制御、不正アクセス対策等を行うことが考えられるが、規定ぶりについて今後具体的に検討する。
2016/6/12

情報法制研究会第4回シンポジウム38• ③ 匿名加工情報の作成に当たっての公表について（第 36 条第３項）• （ア）本項の趣旨– 個人情報取扱事業者に対して、作成した匿名加工情報に含まれる個人に関する情報の項目に係る公表義務を課すことにより、本人が自己の個人情報を元に匿名加工情報が作成されていることについて確認するための情報を提供するものである。

• （イ）規則で定める事項の方向性– 「作成した匿名加工情報に含まれる個人に関する情報の項目の公表方法」及び「作成した匿名加工情報に含まれる個人に関する情報の項目の公表時期」を定めることとする。
2016/6/12

情報法制研究会第4回シンポジウム39• ④ 匿名加工情報の第三者提供に当たっての公表・明示について（第 36 条第４項、第 37条）
• （ア）本項の趣旨– 個人情報取扱事業者等に対して、第三者に提供する匿名加工情報に含まれる個人に関する情報の項目に係る公表義務を課すことにより、本人が自己の個人情報を元に作成された匿名加工情報が第三者に提供されることについて確認するための情報を提供するものである。また、個人情報取扱事業者等に対して、匿名加工情報の提供先である第三者への当該情報が匿名加工情報である旨の明示義務を課すことにより、当該第三者に匿名加工情報取扱事業者としての義務を履行しなければならないことを認知させるものである。

• （イ）規則で定める事項の方向性– 「第三者に提供する匿名加工情報に含まれる個人に関する情報の項目の公表方法」及び「第三者提供に係る情報が匿名加工情報である旨の明示方法」を定めることとする。

2016/6/12

情報法制研究会第4回シンポジウム40•（２）ガイドライン等の記載事項について–

ガイドラインにおいては、次の事項のほか、規則で定める事項の解説や、講ずべき措置の例示等を記載することとし、また、実際に匿名加工情報を活用したいと考えている事業者が円滑に制度を利用できるよう事務局レポート（※）及びＱＡ等の作成を検討する。
– なお、改正される行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第58号。以下「行個法」という。）及び独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号。以下「独個法」という。）の非識別加工情報（行個法第２条第８項、
独個法第２条第８項）を取得したとき、取得者が匿名加工情報取扱事業者に該当する場合には、第４章第２節に従わなければならない旨を明記することとする。

•① 加工に関する基準について（第 36 条第１項）–•

規則に定める各手法等の説明② 加工方法に関する情報等の漏えい防止措置基準について（第 36 条第２項）– 規則に定める措置の類型の説明•③ 識別行為の禁止（第 36 条第５項、第 38 条）– 義務内容の説明•※ 事務局レポートの作成について– 規則・ガイドラインは事業者が遵守すべき事項を規定するものであるが、匿名加工の手法、データ処理等について、認定個人情報保護団体の自主ルールを作成する際の参考となる事
項、考え方について事務局レポートの作成を検討したい。

2016/6/12

情報法制研究会第4回シンポジウム41

3 関連会合の動向• 3.1 経済産業省 平成 27 年度我が国経済社会の情報化・サービス化に係る基盤整備 経済産業分野を対象とする個人情報保護に係る制度整備等調査研究– 報告書が公表されている（第一次整理）• 3.2 総務省 改正個人情報保護法等を踏まえたプラ
イバシー保護検討タスクフォース– 「踏まえ」られないので、とりあえず改正法の規律部分は後回し。構成員から個人情報保護委員会に取り組みを加速するようにとの苦言あり• 3.3 厚生労働省 ゲノム情報を用いた医療等の実用化推進タスクフォース• 3.4 その他
2016/6/12

情報法制研究会第4回シンポジウム

42