情報保護評価サブワーキンググループ
第６回議事録

内閣官房社会保障改革担当室
内閣官房情報通信技術（ＩＴ）担当室

1

情報保護評価サブワーキンググループ（第６回）
日

時：平成 24 年８月 30 日（木）14:00～16:10

場

所：フレンドビル７階会議室

【出席者】

宇賀

克也

東京大学大学院法学政治学研究科教授

大谷和子

株式会社日本総合研究所法務部長

新保史生

慶應義塾大学総合政策学部准教授

玉井哲雄

法政大学理工学部創生科学科教授

宮内

宏

弁護士

峰崎

直樹

内閣官房参与中村秀一

内閣官房社会保障改革担当室長

向井治紀

内閣官房内閣審議官

奈良俊哉

内閣官房副長官補付参事官

渡辺

哲也

内閣官房副長官補付参事官

篠原俊博

内閣官房社会保障改革担当室参事官

阿部知明

内閣官房社会保障改革担当室参事官

古橋浩史

内閣官房社会保障改革担当室参事官

鈴木

一広

内閣官房情報通信技術担当室参事官

中村

裕一郎

内閣官房社会保障改革担当室参事官

水町雅子

内閣官房社会保障改革担当室参事官補佐

山本

長史

神奈川県情報公開課長

後藤

省二

三鷹市地域情報化担当部長

片桐康之

千葉市情報統括部長

2

【議事次第】

１．開

会

２．議

事

（１）地方公共団体からのヒアリング（２）地方公共団体等向け情報保護評価にかかる論点（３）民間事業者向け情報保護評価指針の要否（４）情報保護評価全般にかかる論点
・しきい値評価における「重大事故」の基準等
・意見聴取手続

３．閉会【配布資料】（資料１）情報保護評価検討スケジュール（案）（資料２）特定個人情報保護評価指針素案（中間整理案）
地方公共団体・地方独立行政法人向け（参考資料１）地方公共団体等向け指針と行政機関等向け指針との差異（参考資料２）情報保護評価の実施の仕組み（参考資料３）情報保護評価全体フロー（資料３－１）神奈川県資料（資料３－２）三鷹市資料（資料３－３）千葉市資料（資料４）情報提供ネットワークシステムを使用しない事業者向け情報保護評価指針について（資料５）しきい値評価基準について（資料６）意見聴取手続について3

【議事内容】○宇賀座長○中村参事官

それでは、定刻となりましたので、よろしいでしょうか。
それでは、まだ到着しておられない先生もいらっしゃいますけれども、時間になっておりますので、第６回「情報保護評価サブワーキング・グループ」会合を開催
いたします。
まず初めに、峰崎内閣官房参与から御挨拶をいただきます。
○峰崎内閣官房参与

第６回の「情報保護評価サブワーキング・グループ」の会合に大変お忙しい中、ありがとうございました。
冒頭、残念ながら今の国会の状況についてお話をせざるを得ないと思っております。社
会保障・税一体改革関連法案は何とか三党合意を通じて法案の成立ができたわけでありますけれども、マイナンバー法案が２月 14 日に一応、政府としては国会に提出したわけでありますが、さまざまなプロセスを経ながらも今日に至るまでまだ審議に入っておりません。
昨日、問責決議案が可決をされたということで、これ以降、参議院の場では審議がされないだろうということで、事実上、今国会で成立できる可能性が非常に乏しくなったと思っております。せっかく努力をして法案提出まで至っていたわけでありますけれども、この国会での実現はなかなか厳しいということでございます。
ただ、私たちとしては最後の最後まで諦めないで、また、当然、国会は次の秋の臨時国会等もあると思いますので、その成立に向けて最大限の努力をしていきたいと思っている
ところでございます。さまざまな関連する作業を我々としてもお願いをしているわけでございますけれども、2015 年１月から実施という前提の上でスケジュールを組んでいたわけ
でございますが、本当に現実はなかなか厳しいものだなと思っております。
今日も、情報保護評価のサブワーキング・チーム、過去５回にわたって議論していただ
いて、今日はわざわざ三鷹市あるいは千葉市、神奈川県からヒアリングもお願いしている
わけでございます。そんな状況でございますが、我々番号室あるいは社保室のメンバーは
とにかく力いっぱいこつこつと実現に向けて頑張っていくという決意を持っておりますので、引き続いての御協力をお願い申し上げまして、私の方からの挨拶を終わらせていただ
きたいと思います。
今日、この後少し私もまた別の用件がございますので、早々に退散するかもしれません
が、番号室あるいは社保室の中村室長がおられますので、どうぞよろしくお願いしたいと思います。
それでは、私の方からの挨拶は終わります。
○宇賀座長

それでは、議論に入りたいと思います。

本日は、神奈川県、三鷹市、千葉市にお越しいただいております。地方公共団体及び地方独立行政法人向けの情報保護評価指針素案の策定に向けて御意見を伺いたいと思います。
まず、資料１「情報保護評価検討スケジュール（案）」、資料２「特定個人情報保護評価4指針素案（中間整理案）地方公共団体・地方独立行政法人向け」及び参考資料１「地方公共団体等向け指針と行政機関等向け指針との差異」につきまして、事務局から説明していただいた後に、神奈川県、三鷹市、千葉市から、地方公共団体及び地方独立行政法人における情報保護評価について御意見を伺いたいと思います。
続いて、これらの資料及び地方公共団体及び地方独立行政法人における情報保護評価について委員の皆様方から御意見をいただきたいと思います。
次に、資料４「情報提供ネットワークシステムを使用しない事業者向け情報保護評価指針の要否」につきまして、事務局から簡単に説明をしていただいた後に、情報提供ネット
ワークシステムを使用しない民間事業者向け情報保護評価指針の要否について、委員の皆様方から御意見をいただきます。
最後に、行政機関、地方公共団体等の評価実施者の種別を問わず情報保護評価全般に関わる論点として、しきい値の評価基準、意見聴取手続について資料５及び資料６を事務局から簡単に説明していただいた後に、委員の皆様方から御意見をいただきたいと思います。
それでは、中村参事官から資料１「情報保護評価検討スケジュール（案）」、資料２「特定個人情報保護評価指針素案（中間整理案）地方公共団体・地方独立行政法人向け」及び参考資料１「地方公共団体等向け指針と行政機関等向け指針との差異」について御説明をお願いします。
○中村参事官

それでは、私の方から資料の説明をいたします。

まず、資料１のスケジュール、１つ目として実施済みのことということで書いてございますけれども、３月の前回の会合で御議論をいただいて、形としてはそのときに出た御意見も踏まえて４月に固めたということになっておりますが、行政機関、独立行政法人等、地方公共団体情報システム機構、情報提供ネットワークシステムを使用する事業者向けとなります評価の指針の素案の中間整理をおまとめいただいております。
これを基に、この後、地方公共団体や地方独立行政法人向けの指針について、これとどのような違いがあるだろうかという観点から御議論をいただいて、これら地方公共団体など向けの指針素案の中間整理もまとめていただければと思っております。今、申し上げましたように出発点となるものがございますので、今日から始めても秋のうちぐらいには中間整理にたどり着けると考えております。
また、地方公共団体の皆様方にとりましても、このようなスケジュールでお示しをしな
いと、どういうことをやればいいのかなかなか見えてこないということがございますので、秋の時点でまとめていただいて、最終的には改訂の可能性もある中間的なものなのであるということを示した上で広く参照していただいて、御意見なども広く伺っていくということで考えております。
これと並行いたしまして次の○ですけれども、指針全体に関わることといたしまして、幾つかの関係機関に試しに評価を実施してみていただくとか、いろいろな機関において実際にシステムの状況がどうなっているのかという調査を行いましたり、諸外国の PIA の状
5況に関する調査などを行って、それらの成果を反映していきながら検討の継続をお願いしまして、年度内には国から地方まで全体をまとめて指針の素案、サブワーキング・グルー
プとしての指針案ということで、まとめていただければと考えております。
その上で、法案が政府提案のとおり成立いたしますと、25 年６月までに個人番号情報保護委員会を設立するという規定となっておりますので、この時期までに設立された委員会がこのサブワーキング・グループの成果を基に検討してマイナンバー法に基づく指針という形で策定をして、実際に承認の事務を開始するという流れを考えております。
続きまして、その中で今回、地方公共団体と地方独立行政法人向けの指針について御議論をいただきたいと思っております。資料２といたしまして、事務局の方で国など向けの指針としての整理と異なると考えたところを変えた形でまとめておりますが、その違う点について、参考資料１「地方公共団体等向けの指針と行政機関等向けの指針との差異」ということでまとめておりますので、こちらを基に御説明したいと思います。
逆に、参考資料１に書いてあることを除きますと、対象が地方公共団体であることから
形式的に文言を変えたとか、そういったことがほとんどでございます。少なくとも事務局
として違いを出した部分はほぼ参考資料１に尽きておりますので、これで御説明をしたいと思います。
まず、全体の考え方でございますけれども、なぜ余り変わってないかということなのですが、１ページ目「情報保護評価の趣旨・目的」ということで、事前の評価、確認をしっ
かりやるということが１つ、結果を国民に対してわかりやすく御説明をしていくということが２つ大きなポイントになってくるものと思っております。
そういった中で「地方公共団体と特定個人情報ファイル」というところでありますけれ
ども、地方公共団体、特に市町村の場合ですと、住民一人ひとりに対してマイナンバーを通知するということに法案でなっておりますし、実際にマイナンバーを扱うことができる
事務はかなり地方公共団体において行われるものとなっておりまして、多数の特定個人情報ファイルが地方公共団体においても取り扱われることとなると思われるところです。
したがって、国の行政機関などと同様に国民の立場からすれば、個人情報ファイルの適切な取扱いを確保する必要は変わらないということで、事前の評価、確認、説明責任を同じように果たしていただくべきであろうと考えているところであります。
２ページ、その一方で、地方公共団体におかれましては、全てということでは必ずしもないとも思いますけれども、既に情報保護評価に似た仕組みを審議会などを活用して導入されている事例ですとか、むしろ個人情報保護とかプライバシー保護について独自の条例
等で手厚い措置を講じている、こういった団体さんもいらっしゃるという状況もございます。また、更に地方自治ないし地域主権の総論的な考え方から言えば、地方公共団体の自主性、自立性への配慮も当然考えなければいけないという事情もあると考えております。
こういったことを総合的に考えますと、情報保護評価の多くの点は地方公共団体においても同様の取扱いということで、同じようなことをやっていただく必要があるだろうけれ
6

ども、国等の場合の仕組みとして、個人番号情報保護委員会が承認を行うというものがございましたが、こういった国の機関が事前に承認を行うという点については、国などの場
合の指針とは少し異なった仕組みを設ける余地があるのではないかと考えております。
３ページ、そのような考え方に立ちまして、承認というものの在り方を少し整理、提案をしておりますのがこの部分であります。具体的には、全項目評価を行うことになった場
合も委員会の承認の対象とはせず、地方公共団体が自ら設置しております個人情報保護審
議会などの諮問機関において承認を受けるということを、指針で定めるということにしてはどうかと考えております。
また、諮問機関を自ら設けられていない場合などに、その他の方法として、承認事務をほかの地方公共団体に対して事務を委託するというやり方ですとか、幾つかの地方公共団
体で機関を共同設置して承認を受けるといったような、幾つかオプションも考えられるかとは思いますけれども、いずれにしても、個人番号情報保護委員会の承認ではなくて、地方公共団体のレベルで置かれている機関において承認をすることが考えられるのではないか、ということでございます。
２つ目の、しきい値評価で重点項目評価に分類された場合のことですけれども、このよ
うなものは国などの機関の場合には、委員会は抽出点検を行うことにしておりますが、抽出点検についても同じように、地方公共団体レベルの機関においてやっていただくということにしてはどうかということでございます。
なお、枠囲みの部分でございますけれども、このように事前の承認を委員会がしないということになった場合も、法案上、この委員会は特定個人情報の取扱いに関して広く事後的な監視、監督の権限を持っておりまして、その一環として情報保護評価が地方公共団体
等においても適切に実施されているかどうかに関しては、一定の関与の余地があると考えております。
したがって、その前提となるものとして、委員会の承認を受ける必要はないとしますけ
れども、各段階での評価書については委員会に提出をいただいて、そういった全体のもの
を委員会においては把握した上で、必要に応じていろいろな権限を行使して、運用の統一性などを確保するための活動も行うことができるようにしてはどうかと考えております。
４ページの２で少し細かい論点になるのですけれども、全項目評価の場合につきまして承認を受ける前に評価書を公示して、国民の意見を求めて必要な見直しを行わなければならないとしておりますが、このような手続については、地方公共団体等についても同じよ
うに実施すべきものとしてはどうかと考えております。具体的な方法としては、団体さん
ごとにいろいろな細かいところは違いがあるかとは思いますけれども、パブリックコメン
ト的な手法を基本としつつ、ほかにも広く意見を求めることができる方法があれば、それでも差し支えないとしたらどうかということでございます。
以上が、大きな点なのですけれども、もう一つ、全体の仕組みに関わることとは少し違うのですが、私どもの方で、地方公共団体の皆様方から、情報保護評価をするということ
7

になると、条例改正が要るのかどうかといったお尋ねをよくいただきますので、そのような点についても、指針において盛り込んでおいた方がわかりやすいのではないかと考えておりまして、その点を若干記述しております。
結論的には、５ページの下の方の○ですけれども、結局、法律上は特定個人情報保護評
価と言っておりますものを、マイナンバー法に基づいて実施するということでございます
ので、その法律に書いてある特定個人情報ファイルなどといった定義に沿って実施しなけ
ればならないことになっているわけなので、それは特段、条例改正などを各地方公共団体
でしなくても、法律に基づいて直接行うことになると考えております。
地方公共団体では、条例においていろいろな個人情報関係の概念を持っておられるかと思います。それが必ずしも法律レベルのものとは合致していないということもあるとは思いますけれども、情報保護評価に関します限りはこの法律の概念に基づいてそれぞれ持っていらっしゃる個人情報の集合体がそれに当たるかどうかを判断して、やっていただくということになると考えております。
ただ、６ページの２つ目の○ですけれども、例えば地方公共団体において独自に評価項
目を増やすなど、いわゆる上乗せ、横出し条例の形で改正などをすることは考えられるかと思いますが、当然に改正が必要というものではないと考えているところです。
７ページの最後は、ちなみに「なお」ということなのですが、地方公共団体におけるマイナンバー、特定個人情報の取扱いに関しては幾つか条例で整理をしていただかないとい
けない部分があるかと思っておりますけれども、この部分については情報保護評価という話とは別に、地方公共団体の皆様方への整理、情報提供を検討してまいりたいと考えてお
ります。
以上です。
○宇賀座長

ありがとうございました。

ただいま御説明いただきました地方公共団体及び地方独立行政法人における情報保護評
価制度事務局案を受けまして、神奈川県、三鷹市、千葉市から御意見を伺いたいと思います。
まず、神奈川県の山本情報公開課長より御意見をお願いいたします。
○山本情報公開課長

神奈川県庁の山本でございます。このような機会を与えていただきまして、ありがとうございます。
それでは、当方からの意見ということで資料３－１をごらんいただければと思います。
ポイントだけを簡単に御説明させていただきたいと思います。
まず項目１ということで「情報保護評価の目的を『プライバシー保護』としていることについて」と書かせていただいております。今回の情報評価の目標としましては、指針素案８ページに記載があるようですけれども、法令遵守型ではなくてよりベストなものを求めるということでプライバシー保護、こういうことでおっしゃっていただいていて、その一方で、かつ地方自治体が自主性を持って判断をしていただきたい、こういう自主性を尊8

重しますということを言っていただいております。それは非常にありがたいことなのです
けれども、そうしますと、自治体それぞれがプライバシー保護の基準を考えるということにはなかなかならないのではないか、難しいという面もあるので、備考欄に書かせていただきましたが、よって立つような判断基準を示していただくということが必要なのではないかと考えました。
加えまして、素朴な疑問としてマイナンバーを使うということは、通常、個人情報保護の現状では個人識別性がある、個人が特定できるものを個人情報であると言っておりまして、それのハンドリングについては蓄積があるのですけれども、それを上回るプライバシ
ー保護を目指すと言っておられますので、そこがどの辺であって、それについてはこういう基準が必要だと、こういうことを示していただかないとハンドリングが難しいのかなという意見でございます。
備考欄の※印を付けて書いてあるところですけれども、ちなみに当方の情報公開条例の中では個人の特定はできない、識別はできないが、公開してはいけないと考えられる情報としては、思想とか心身の状況に関する情報であって、通常出してもらいたくないと思われているもの。それから、特許等のアイデアであって本当に権利利益の侵害につながるといったものは出さない。こんなことを例として運用しているのですけれども、このような基準が具体的に示されないとなかなか運用が難しいのかなということが１点でございます。
その１点に関連しまして、現状ではマイナンバーを使う事務とかシステムはこれだということで限定がかかっているのですけれども、将来の展開として民間利用みたいなことも想定されているのかどうか、こういう点についても少し見解を教えていただければと考えております。これが○の４つ目に書いてあることです。
２番目の点で「評価実施方法の区分・適用方法について」と書かせていただいております。今回、しきい値評価、重点項目評価、全項目評価と３段階でやるということですけれども、拝見している限りでは、しきい値評価でスクリーニングされて落としたものについては、ノーチェックとなってございますが、件数が少なくてあるいは過去１年間に事故がなくても、例えばセンシティブ情報を扱うところについては、最低限このぐらいのチェッ
クはしておかないといけないとか、そういうことがあるのではないかということで、しきい値評価だけで何もしないということはしてはいけない、そういうものもあるのではないか。センシティブ情報を取り扱っている場合は、最低限、重点項目評価以上の評価はすべきではないのかというのが１点目の指摘でございます。
センシティブ情報を取り扱っていない場合においても、しきい値評価のみであっても一定の外形審査は実施した方がよいのではないかというのが２点目のポイントであります。
２ページにいきまして、２－２「早い段階からの評価実施について」、これは意見というよりも期待でございます。ちょっと横道にそれるようであれですが、環境アセスメントの世界では、戦略的アセスメントとか計画段階からのアセスメントということで、より早い段階から実施することでトータル社会コストを削減する、こういう思想でいろいろ制度の9改善がなされてまいりました。残念ながら日本においては時間がかかるけれども、結果としてのトータルコストの削減には必ずしもつながっていないのではないかという指摘もなされているようでございます。思想は非常によいと思いますので、是非真にトータル社会
コストが低減する制度設計をお願いしたいという、これは期待でございます。
３番目、これが少し議論になろうかと思いますが、「地方公共団体等における承認者について」ということで、先ほどの際の説明では選択肢から消えておりましたけれども、これの前のバージョンでは地方公共団体の責任者による承認というものもオプションとしてございました。当方の意見としましては、国と異なりまして、首長が公選制であること、現行の個人情報のさまざまな審議とか審査においても、附属機関である審議会、審査会が審査をして、その意見を踏まえて長が決定をするというプロセスを経ているので、承認についても審査会の審査プラス責任者による承認、こんな形式が実態と非常によく合うのではないかと考えますので、それも検討の１つにしていただけないかということであります。
小規模な地方公共団体の配慮につきましては、都道府県でやるとか少し近いところで一緒にやるとか、こういうオプションもあると、これは選択肢に書かれていますので、それでよいのではないかと思います。
４番目、これにつきましては真逆な意見になって恐縮ですけれども、個人情報保護の審査会は個別案件で非公開ですが、審議会については全て公開でハンドリングしてございます。よって国民意見聴取という手続をそれと別に設ける必要性は薄いのではないかと考えてございます。
項目を飛ばしまして、７番目の点「評価書の内容等について」ということで、２点ほど書かせていただいております。１つ目の○は、委託と再委託について。再委託を少し軽めに扱われているように読めます。実は神奈川県において過去に重大な事故がございまして、
教育委員会の情報がある委託業者から更に委託されたところで大量に漏出するという事故がございました。それを踏まえて、当方では委託先、再委託先を区別しないで同じ基準で厳格に審査を課すということをして再発防止をやっております。再委託だから緩めるという理屈は多分ないのではないかと思うので、同様のチェックでどうかという意見でございます。
同じく事故に対しての発想でございますけれども、２つ目の○は事故が発生したからき
ついとか発生していないからということではなくて、事故が起こる可能性は当然あるわけですので、発生の有無に関わりなくチェックをする、こういう姿勢が大事なのではないかという点でございます。
あとは、お読みいただければと思います。説明は以上でございます。
○宇賀座長

ありがとうございました。

それでは、三鷹市の後藤企画部地域情報化担当部長より御意見をお願いいたします。
○後藤地域情報化担当部長

三鷹市の後藤と申します。本日はこのような機会をちょうだ

いいたしまして、ありがとうございます。
10三鷹市は、東京西部の人口が 18 万人ぐらいの自治体でございます。平成の大合併の結果
で人口が 10～20 万ぐらいの都市の占める人口の割合がたしか日本の中では一番割合が高いということがあろうかと思います。そういう中規模の自治体の立場から意見を申し述べさせていただきます。
資料３－２を御参照いただきたいと思います。私ども三鷹市では、昭和 62 年 12 月に三鷹市個人情報保護条例を制定いたしまして、個人情報の保護を図ってまいりました。なお、
いわゆる電算条例は実は昭和 60 年に制定をしてございます。62 年に手処理も含めた総合条例にしたということでございます。
今回はマイナンバー法に関わるということで、特にコンピュータ処理等に関わるという観点からお話をするわけですけれども、その条例の中では、例えば個人情報のコンピュータにおける記録項目の設定や変更において、これは個人情報保護委員会への審議会への報告をする。それから、外部のコンピュータ組織との回線結合によるネット処理に関しましては、保護委員会に諮問をする、意見を聞く。外部に委託をする場合についても同じように委託の条件等について意見を聞くということが規定をされておりまして、こういう枠組
みで個人情報の保護を行ってございます。
なお、これらの諮問あるいは報告を審議会に行う際には、資料にも書いてございますよ
うに、単に記録項目だけを説明するわけではなくて、業務の概要でありますとか処理の流れ、あるいは主な入出力の帳票、そして、項目の内容あるいは回線結合の際の個人情報の保護措置、委託先における保護措置と委託の条件、こういうものを一体的に説明して保護委員会の意見をお聞きするということを実務的にはやっております。
今回想定されております情報保護評価書と実態としてはかなり類似した形で資料を作成しながら保護委員会の意見を聞いているというのが実態でございます。そういう意味では、今回お示しをいただいております保護評価制度については、大きな違和感といいます
か、抵抗感はないところでございます。
一方で、後ほどまた関連するところで述べますけれども、自治体における実際の個人情報のコンピュータ処理に関しましては法令の制定や改正が制度の実施の直近に行われることがままございまして、そういう意味で保護委員会に事前諮問する時間的な余裕がないということも過去散見され、そういうことから事後の報告とすると改めた例もございます。
こんなところから意見を申し上げたいと思います。
今日は３点申し上げますが、まず１点目「個人情報ファイルについて」につきましてでございます。個人情報保護法に先行して個人情報保護条例を制定した団体も大変多ございます。そういう意味で多くの市区町村の個人情報保護条例では、個人情報ファイルという概念ではなくて業務ごとの記録項目の設定をする形で保護措置を定めている団体が多ございます。市区町村の立場から言いますと、個人情報ファイルよりも業務を単位とする記録
項目の方が適正管理を行いやすいのかなと思っている、これがまず１点目でございます。
２項目としまして、この指針の素案の中では 15 ページの脚注に記載がございますけれ
11

ども、保護評価を実施するに当たり条例改正を行う必要はないとされてございます。これはこのとおりかなと理解をしておりますが、これが実施された場合に法による個人情報の保護評価を行う一方で、条例に基づく冒頭申し上げましたような保護措置委員会等への諮問を重ねて行う必要性はないのではないか。この辺りから、条例については一定、手を入れていく必要が出てくるのかなと思います。
その際、個人情報ファイルのみならず条例の中での概念規定等を整理する必要があると考えておりまして、特に市区町村によりかなり個人情報保護条例の内容規定が多様化しているという現状がございますので、この辺りについてはネットワーク化が進むという時代の条例にふさわしい標準形が提示されることを期待したいと考えております。
裏面を御参照ください。２点目「特定個人情報保護評価の実施時期について」でございます。
「（P18）」と書いてございますが、これは私の間違いで資料２の中間整理案の 21 ペー
ジになりますので、御訂正をいただきたいと思います。21 ページの中でこの実施時期について述べられているわけでございますが、先ほども申し上げましたように、基礎自治体で行っているさまざまな事務、特に法令等に基づく事務につきましては、法の施行直前まで
詳細が決まらないものがしばしばございます。例えば個人情報ファイルの項目等について
は、なかなか決まらないということも実態としてございますので、評価書の記載項目ということになりますと、事前に保護評価を実施することはなかなか難しい。
原則として、システムの要件定義段階と記載がされているところでございますが、この辺りも実際にシステム開発を行っている現場の立場から申し上げますと、さまざまな変更
等がありながら実施をしているということがございます。可能性の問題ではございますが、保護評価の結果、必要による要件定義の変更があり得ることをむしろ前提にしながら現場でシステム開発あるいは修正等を行っていくことの方が実態に合っているのではないかと考えているところでございます。
大きな３点目「意見聴取の方法をパブリックコメントとすることについて」。これは広く意見を国民に求めるということについては大変必要かつ重大な考え方であろうかと思っておりますが、三鷹市におきましてはパブリックコメントの手続条例を定めてございまして、この中で対象をパブリックコメントの手続条例で定めている幾つかの基本的な条例、あるいは規則、総合計画等の制定、改正と規定をしております。それから、期間についても３週間以上と定めておりますほか、さまざまな当該政策等の案を理解するための情報や資料を市長が提供あるいは閲覧をしなければいけないと規定をしているところでございます。また、パブリックコメントの実施に当たっては情報提供ということで、市の広報誌で案内をするということも定めてございます。ここには記載をしてございませんが、実際にパブリックコメントを実施する際には市議会に対しても事前にその概要等を示しながら一定の情報提供もしているということがございます。
このようにパブリックコメントの実施に関しましては、相当の準備を必要とすることか
ら、これをパブリックコメントという形で一義に定めることについては、行政側の手続的12

な負担がかなり重いということもございます。この辺りについて慎重にお取り扱いをいただければと考えてございます。
以上でございます。
○宇賀座長

ありがとうございました。

次に、千葉市の片桐総務局情報統括部長より御意見をお願いいたします。千葉市では、行政機関等向け情報保護評価指針素案(中間整理案)を基に、実際に千葉で運用しているシ
ステムにつきまして情報保護評価の試行を行っていただいておりますので、試行結果も踏まえて御意見をお伺いしたいと思います。
○片桐情報統括部長

千葉市の片桐でございます。今回、このような貴重な機会を与えていただきまして、ありがとうございます。
それでは、お手元の資料に従って御説明申し上げます。まず、今回は全項目評価を行っ
た意見ということで申し上げます。
１番目「試行の実施単位」でございますけれども、本来、特定個人情報ファイルの単位
で評価書をつくるべきものでございますが、個人情報ファイルは非常に量が多ございます。
（１）にございますように試行システムで税、住記以下４つございますけれども、ほとん
ど全住民をカバーするようなものでございます。
例えば税でいいますと、市民税が、固定資産税、軽自動車、税収納など７つのサブシス
テムがあります。また、住基に至っても３つ、介護ですと５つのサブシステムがあるので、そのファイルごとにやるというのは、なかなか難しい状況でございました。
今回は申し訳ないのですが、システム単位で評価をさせていただいたという前提でお聴きいただけますでしょうか。
２番ですが、申し上げたい意見の１つ目が制度全体に対してですけれども、忌憚のない意見を申し上げて大変恐縮なのですが、まず、非常に事務量が膨大であったということ。
また、今後、この評価書の作成以外に市民からの意見聴取あるいは承認機関への送付、公表、こういったことを考えますと、かなりの事務負担が想定されるということでございました。
肝になりますのが（２）評価書。まず１つ目が特定個人情報ファイルごとに評価書を作成した場合、システムの概要あるいはセキュリティ対策等、システム単位で回答することが多くなるため、ファイルを記録している情報システム単位の作成でもよいのではないかという意見でございます。
先ほどの参事官の資料２の 20 ページにシステム単位で評価してもいいのではないか、
複数の特定個人情報ファイルをまとめて記載することも可能とすることに賛成という意見でございます。
裏面にいっていただきまして、実際につくってみて全くマニュアルがない状態でございましたので、官房の方にお願いをして、いろいろな質問事項をまとめて約 30 ページ近いマ
ニュアルをつくって、各システムの所管課に評価書を作っていただきました。その際に感13

じたことが２つございます。
まず１つ目が各設問でどの程度のレベルまで書くのか。特に肝になるのがセキュリティの部分だと思うのですが、どのぐらいのことまで書かないと目的が達成できないのかわからない。システムに精通している人間であれば、ある程度こちらの意図していることは書けるのですが、実際に書けないケースというのが多々ございました。ですので、ここは要望ですが、例えば全項目評価書はこういうレベルのものまでを書くことを期待しています、という例示をお示しいただけないかというのがイの意見でございます。
ウ、重複した内容を回答しないようにできないかということですが、実は記録項目を書く欄があったり、あとは収集する個人情報を書く欄があったりということで、中身的には同じもので表現が違うものがほかの項目ごとにあったりということで、この辺は言葉の統一をとっていただくと、市町村での混乱はないのかなと思います。
エ、用語、言い回しを理解するのが非常に難しかったです。先ほどの参考資料１にあったように、情報保有機関がどのような情報をどうやって収集し、どのように利用し、どのように安全を管理するのか、国民に対してわかりやすい説明をすることが重要であると考えますので、私ども書く方にとってもここのところはもう少し表現の工夫をしていただけ
ないかということがございます。
オ、マイナンバーを利用する法律上の根拠について。マイナンバー法の別表に各業務が掲載されておりますけれども、項目が余りにも多ございます。市町村で実際に別表に掲げられている事務が自分たちの団体との関わりが、きちんと整理できない団体もあろうと思いますので、対応について御検討いただきたい。
最後でございます。今、申し上げた別表で記載された事務などですが、同一の法律で執行している事務については、少なくとも特定個人情報の利用目的、必要性は法律に基づいているわけで、これはもう国が示していただいてもいいのだろう。ただ、実態として収集
方法とか時期、頻度は団体によって、規模によって違いはあるかもしれないので、例えば選択方式、プルダウンにして選択しやすくするという極めて実務的な話ですが、御検討いただけないだろうかという意見でございます。
そして、最後に３番「評価書の承認」ということで、２行目にございますように個人情報審議会というものがございまして、それに関しての所掌事務の改正が必要になるということ。最後は実務的なことですが、予算措置、委員構成ということも我々は検討しなければいけないということでございます。
説明は以上でございます。
○宇賀座長

ありがとうございました。

ただいまの神奈川県、三鷹市、千葉市からの御意見につきまして、御質問のある方はお願いします。
○新保委員

事務局からの説明の部分はまだ含まないということでよろしいでしょうか。

○宇賀座長

御質問していただいて、よろしいですね。
14

○新保委員自治体の方から御説明をいただいた点も含めて論点について御質問をさせていただきたいと思います。
では、２つに分けて、承認手続と条例改正の要否のみをまず御質問させていただきたいと思います。
承認手続について本日、自治体の方も来ていただいておりますけれども、実際に御説明を伺っていると、説明資料をごらんいただきますとおわかりのとおり、非常に高度な御質問で実際にどのように運用を行うのかという点について、十分にこの趣旨を御理解いただ
いた上での御質問、御意見という内容になっております。
承認手続につきましては、従来から私も意見として述べさせていただいたところとしては、自治体によってそもそも審議会がどのように設置されているのか、更に審議会につきましても、普通地方公共団体及び特別区については個人情報保護条例の制定率は 100％となっておりますので、よってこれらの自治体については審議会等の諮問機関が既に設置されているとほぼ想定されるわけであります。
その一方で、特別地方公共団体等または広域連合、事務組合等については条例の制定が100％という状況ではないということは、既にこちらの委員会でも確認済みであります。したがいまして、審議会等による承認という手続が現実問題として、そもそも条例が制定されていない団体については、審議会等の諮問機関も設置されていないということになりますので、承認手続を行うことができないと従来から問題として指摘をさせていただいてきたところであります。
この点につきまして、今回、幾つか今後の手続について案をいただいておりますので、基本的に私はこの点について異論はございません。ですから、この点について承認の手続について必ずしも審議会がない場合も想定した上での案が今回、提示されておりますので、このような手続で今後は何らかの承認という形にするかどうかも含めて実際に対応するということになるかと思います。
その際に、今後は現実問題として事務委託という形での委託を行うということで、承認を受けるということで問題はないのか。更に前回お話のありました地方自治法 11 章３節に定める地方公共団体相互間の協力という形での承認を受ける方法として実施することで問題はないのか。更に、例えばこれはちょっと極端な例ですけれども、プライバシーコミッ
ショナーなどカナダについては特別オンブズマンという方が承認手続を行っておりますので、純粋にオンブズマンが承認という手続を行うということは現実的ではないと思いますが、カナダのような制度であれば特別オンブズマンという位置づけの方もいるということになります。ですから、その点も含めて考える必要があるのかなと思っております。この点は意見であります。
○宇賀座長

三鷹市の方が途中退席ということですので、もし自治体向けの御質問がありましたら先にお願いできればと思います。
○新保委員

では、三鷹市の後藤様に。資料の２点目の条例改正の要否について２つ御質
15問をさせていただきます。
では、１点目の条例改正の要否という前の段階といたしまして、本日、資料に標準型というか、1,800 の自治体がこれだけばらばらに条例が制定されており、今回の東日本大震
災におきましても自治体によってそもそも個人情報が利用できる範囲、提供できる範囲、それの手続等について、それぞれ齟齬があって現実に問題が生じていることは周知のとおりであります。
ここで地方自治の本旨から、国が統一的な標準的な法令をつくるということは現実問題
としては非常に難しい。例えばアメリカは、州ごとに民法とか商法が違います。ところが、州ごとに違っていると結局、商取引に支障が出るということで、アメリカなどは例えば統一商事法典（Uniform Commercial Code）、UCC といいますけれども、そういった法典をつくって取引を円滑にするという取組みを行っているわけです。
その一方で、日本の個人情報保護法は情報の扱いについては、その点について全く今まで考えずに地方自治体の独自のそれぞれの特色に応じた条例を制定するということに終始してきたわけであります。この点につきまして、自治体の方から地方自治の本旨との関係で統一的または標準的な条例を制定すべきという御意見については、なかなか言いにくい部分もあるかと思いますけれども、標準的な条例をつくるということについては、法令レベルでは難しいと思いますが、具体的にどのような形で標準型、ひな形が提示または示されると、自治体としては個人情報保護条例の統一的な運用、他の自治体との円滑な情報の取扱いという観点から望ましいと考えられるでしょうか。
○後藤地域情報化担当部長

御質問をいただいて、ありがとうございます。三鷹市の後藤でございます。
条例の標準型と申し上げましたが、背景といたしまして、もともと市区町村が個人情報の保護条例を最初につくったという、三鷹でいいますと昭和 60 年代でございますが、このころはネットワークで接続をして処理をすることが基本的になかった。むしろ積極的にネットワーク接続を禁止しているという条項を定めているという、三鷹市もそうでしたけれ
ども、そういう団体が大変多ございました。自治体の中で情報処理、コンピュータ処理、
個人情報の処理が完結していたということで、それぞれにおいて定めてよかった時代なのかなと思います。
一方で、今日申し上げましたように、現在はネットワーク化がどんどん進んでいる中でネットワーク接続先が仮に他の地方公共団体でありますと、そこの保護のレベルと三鷹市のレベルが違っておりますと、これはやはり困ったことになるということがございまして、そこは水準を合わせていく必要があるということでございます。そういう意味で、ここに述べさせていただきました。
具体的には、税とか福祉の関係の分野で法律に基づく制度でありながら、市の条例に基
づいてさまざま事務をしているものがたくさんございます。例えば市民税の条例でありま
すとか、あるいは福祉の分野ですと児童手当の条例がそういうものに該当するかと思いま16

す。これらの条例につきましては、ある部分は国において条例の準則を定めながら、そういうものを基礎にしてそれぞれの市区町村において条例の制定をする、あるいは改正をするということを実態としてもうやっておりますので、そういうことをイメージしながら今日、申し上げさせていただいたところでございます。
以上でございます。
○新保委員

ありがとうございます。

○宇賀座長

自治体に対する御質問、ほかにいかがでしょうか。

○宮内委員

細かいことで恐縮なのですけれども、三鷹市さんの２ページ目の３の直前のところにプロトタイピングの手法のお話を書かれています。プロトタイピングですとかア
ジャイルとか、いわゆるウォーターフローモデルではない開発もいろいろあるのは存じておりますけれども、果たして全体のセキュリティが重要なシステムですとかそういうものにおいて、こういう手法を使う実例がどのぐらいあるのか少し疑問に感じているのです。
実際にこういうものまで本当に考えなければならないとすると、今回の枠組みも相当考
え直さなければいけない可能性もあるので、この辺りを実感がどういう感じなのか教えていただきたいのです。
○後藤地域情報化担当部長

重ねまして、三鷹市の後藤でございます。

ここで述べたことは、若干、詳細に立ち入り過ぎた嫌いもあるのかなと反省をしつつ、今、先生の御質問をお受けいたしました。
ただ、実際にはプロトタイピングと呼ばれる方法ではなくてもシステムで処理をするための項目と言った方がいいでしょうか、そういうものについてはときどき変更がある。例
えば番号の付け方であるとかコードの付け方であるとか、そういうものの変更がときどきございます。特に項目で整理をする際に、例えばキーになる番号ですとかコードでありま
すとか、こういうものを事細かにどこの団体も規定はしていないと思うのですが、もし仮にこういうところまで保護評価の中できちんと説明をするとなると、これはなかなか大変だな、こういうものはときどき変わることがあるのにということで、書かせていただきました。
実態としても直前まで要件がなかなか定まらないということは、開発現場ではしばしば経験をするところでございます。
以上でございます。
○宇賀座長

ほかに自治体の方への御質問、いかがでしょうか。

○玉井座長代理

遅れてきて申し訳ありませんでした。

千葉の方に伺いたいのですが、実際にやられてみてファイル単位よりもシステム単位で記述する方が実際的であると、私もそうではないかとかねがね思っていました。
ただ一方で、１つのシステムだと幾つかのファイルを扱うことがあるということが今日おっしゃった根拠だと思いますけれども、逆に１つのファイルを複数のシステムが扱うこともあるかと思います。あるいは既にあるファイルのために新しいシステムをつくるとか、
17

勿論、システムと呼ぶものの単位によると思うので、同じファイルを扱えるものは全部１つのシステムという単位にして記述した方がいいということもあるかもしれませんけれど
も、今回試されてシステムの単位といいますか、範囲などその辺はどう考えられたのでしょうか。
○片桐情報統括部長

まず、我々のシステムの定義は現行の１つの法なり制度に基づいて事務を管理しているものという単位です。例えば、福祉というと 80 ぐらいの細かいシステ
ムがあります。、ちょっとした違いであってシステムが違うというケースもあるので同じ法
律、条例を根拠に事務を執行してば、それは１つのくくりというので差し支えないのかなと考えております。
○宇賀座長

それでは、新保委員、どうぞ。

○新保委員

では、次の質問は、本日お越しいただいた方全員への質問ですけれども、マ

イナンバー制度及び特定個人情報保護評価の両方に関わるそもそもの問題という部分なのですが、一言でいいますと、自治体によるメリットはどのようなものがあるかという問題についての御質問です。
マイナンバーについては住民票コードとは異なりまして、社会保障・税分野において取り扱うマイナンバーについて自治体がマイナンバーの付番を行う。住民票コードも同じよ
うな制度ではあったわけですけれども、これについては今回、マイナンバーを法定受託事
務として自治体が付番を行う。ですから、住民票コードのように参入をしないとか付番を行わないということはできないということになるわけですけれども、あくまでも法定受託事務として実施する仕組みになっているわけです。
そうしますと、それと併せて特定個人情報保護評価も実施することが義務づけられるということで、本日のワーキングが開催されているわけでありますが、この点について自治体の方から少し御意見として最近挙がってきているものとしては、双方について多くの事務負担を求められて、自治体には実際にどのようなメリットがあるのかという御質問を受けることがございます。
この点につきまして、特定個人情報保護評価のそもそもの趣旨があらかじめ個人のプラ
イバシーに影響があることについて、それを見極めることによって逆にいいますと、個人のプライバシーに関わる問題についても、マイナンバーを取り扱って事務を行うことができるという前提となる仕組みが特定個人情報保護評価ということになります。つまり、従来はとりやめていたものについても、個人のプライバシーに影響があるので、もしかしたらできないかもしれないといった微妙なものについても事前に確認をすることで、かなり詳細な情報を取り扱うことができるというメリットがあるわけであります。この点について、自治体は住民の生活に非常に密接に関わっておりますので、取扱う情報も住民のプラ
イバシーに関わる事項が多くあるというのが現状かと思います。
以上の背景を踏まえまして、メリットとして現状では仕組みとしてこういうものをやる、
こういうものを義務としてやっていただくという段階のみ、このような形でまだ情報提供
18

をさせていただいている段階ですけれども、端的に申し上げまして、メリットとしてどのようなメリットがあるのかということについても明らかになることによって、特定個人情報保護評価のように非常に細かな作業を積極的に行うインセンティブになるかどうかについてお伺いしたいと思っております。
この点につきまして、質問が回りくどいかもしれませんけれども、メリットとして何かどういうメリットがあるかということをはっきりさせた方がよいかということと、メリットが明らかになることによって非常に複雑かつ膨大な事務負担が求められる手続をより積極的に行うというインセンティブになるかどうかということについては、いかがでしょう
か。
○宇賀座長

それでは、神奈川県の方からお願いいたします。

○山本情報公開課長

それでは、立場を越えて率直な個人的なコメントも含めてお答えす

るようになるかと思いますけれども、まずメリットの部分につきましては今回、消費税の増税に絡んで将来、給付付きの税額控除のためにマイナンバーを使うことを検討するという附帯が付いているように、どういう社会をつくっていくのかということがきちんと明示されるということが必要で、それがきちんと示されればメリットになるという部分は大きいだろうと考えます。
そこの部分が少し薄いといいますか、いろいろな要素があってなかなかこういうふうに
マイナンバーは使えるのだよとか、こういうことをするために使うのだよということがはっきりと提示できない状況にあるのかなと思っております。
一方、こういう個人情報の保護についての作業をするインセンティブにつきましては、
特に私は今、個人情報保護を担当しているセクションの人間ですので、それをやるのは当たり前でしょうと、個人情報が使われる以上、それをチェックする仕事は自治体にとっては当然でしょう。では、そこに費用と人手がかかります。それをだれがどうカバーするのか、これはきちんと調整しないと原因者負担という言葉が適当かどうかわかりませんけれ
ども、自治体がそれぞれ負担しろということはちょっと変なのではないのという議論は当然あろうかと思います。メリットがこうだから自分の負担でやりましょうよということには、なかなかなりにくいのかなと思います。
でも、マイナンバーを導入しようということについて、より積極的なスタンスに立ち得るかどうかということは、どう使うかということをいろいろな場面で御議論いただいて、方向性を出していただくことも重要なのかなと思っております。
○宇賀座長

千葉市の方、お願いします。

○片桐情報統括部長

千葉市でございます。

まず、私どもはマイナンバー制度のメリットとして２つ整理しております。まず、総合的なサービスが展開できることです。事例を挙げますと、よく行政は縦割りだと言われている。それは各事業ごと組織ごとにばらばらな管理をし、市民の情報を一元的に管理していない。
19

例えば私が車を買ったとすると、車を買う時点で住所、氏名、生年月日、電話番号。ディラーは顧客管理がちゃんとできています。半年後にお客様、そろそろ定期点検ですよと連絡が来ます。行政においても、マイナンバーという１つの数字で串刺しにすることによって、市民に対してサービスを総合的に展開できる。顧客管理というと民間ベースですけ
れども、行政にしてみても前向きにもっとサービスが提供できること。
もう一つは、行政の効率化です。実は、私どもマイナンバーが入ることを前提に今、窓口改革をしようと思っております。先ほどのプライバシーを保護するという前提でお客様に座っていただいて、そこで全ての情報を聞かせていただいて、ワンストップでサービスを提供する。１回サインをすることによって、全てのデータがつながるような仕かけが出来、それによって今までの仕事の流れが変わる。今、BPR にまさに取り組んでいるということでございます。
この２点がマイナンバーのメリットであり、今回の評価制度においては、プライバシーの扱いについて事前に国民に対して公表することで、多くの国民のマイナンバーへの理解を得られることがメリットであると考えております。

以上でございます。
○宇賀座長

三鷹市の方からお願いします。

○後藤地域情報化担当部長

三鷹市の後藤でございます。

新保先生の御質問の趣旨といいますのは、マイナンバー制度についてのメリットではな
くて情報保護評価制度についてのメリットということでよろしゅうございましょうか。
○新保委員

非常に微妙なところではあるのですけれども、本委員会は特定個人情報保護評価の委員会ですので、できれば後者の方でお願いできればと思います。
○後藤地域情報化担当部長

わかりました。

マイナンバー制度については、千葉市の片桐さんからも話がございましたが、基本的な考え方は同じでございます。その上でこのような保護評価制度を導入するということについて言いますと、もう私が改めてここで申し上げるまでもなく、今日の指針素案の４ペー
ジに書いてございますけれども、第１の１の○の２つ目でございます。このようなネット
ワーク化された形で個人情報が集積をしていくことについて、さまざまな疑念といいます
か、疑問、そういうものをお持ちになる。
特に新保先生がおっしゃいましたように、基礎自治体は市民の皆様のプライバシー性の高い情報をたくさん持ってございます。また、そういうものを使わせていただきながら、
例えば福祉でありますとかさまざまな仕事をさせていただいているという側面がございます。その中で、住民の皆さんに例えば三鷹市がやっている仕事の処理は、安心できる状態なのだということを理解していただくためには、こういう形できちんと御説明をすることが大変重要なのかなと思っています。その方法論の１つとして、こういう保護評価の形でやっていくということは、優れた方法の１つであろうかと考えているところでございます。
20ただ、実際にはこの辺りの議論をする際に、さまざまな行政制度の非常にベーシックなところから説明をしなければいけないとか、そういうこともございまして、そういう負担も一方でかなりある。これは行政だけではなくて、実際にそのことを御審議いただく審議会の委員の方々にもかなりの御負担をかけているという実態があります。この辺のバランスも考えながら進めていくことも肝要なことなのかなと感じております。
以上でございます。
○宇賀座長

ほかは、いかがでしょうか。

○大谷委員

神奈川県様への質問で後藤様への質問ではないので、後藤様への質問があおりの方がおりましたら、それを優先していただければよろしいのですが、大丈夫ですか。
まだ大丈夫でしょうか。
皆様から貴重な御意見をいただいた中で１つ気になっておりますのが、神奈川県様から
センシティブ情報を取り扱う場合に重点項目評価以上に全項目の評価が必要ではないかという御意見をいただいているのですが、マイナンバーとともに機微な情報を取り扱う、つまり、特定個人情報ファイルとして取り扱うことになることによって新たにリスクが増大することがあり得るのかということをお聞きしたいと思います。
つまり、センシティブな情報はそれ自体でそれを取り扱うシステムについては、安全性ですとかセキュリティ面での一定の評価を行うというのが通例の従来からの条例に基づく事務の取扱いの仕方として慎重に取り扱われてきたと思っておりますので、十分な評価、判断を経てそういうシステムをリリースされてきている。要するに、それにマイナンバーが一緒にくっ付くことによって、何か特別な評価をしなければいけない理由はどこから出てくるものなのかなという、事務の最前線に携わっている方ならではの御意見だと思いますので、その辺りの率直な御意見を伺わせていただきたいと思っております。
○山本情報公開課長

お答えいたします。

具体的にこの事務がということではなくて、少し誤解といいますか、思い込みがあるのかもしれませんけれども、マイナンバーを使ってある情報が取り扱われることは、もともと考えられていたものとは違う取扱いが発生し得るのではないかということを前提に評価という作業があるのかなという思いがございました。
よってある一定件数以下であると、事故も起こっておりませんということだけでセンシ
ティブ情報があるにもかかわらず、ノーチェックでマイナンバー付きでどんどん使ってい
いよと、そうすると、そのまた先で第三者がそれを使いますよと無限定に広がっていき得るというパスができるのではないかというおそれもあって、センシティブ情報の扱いについてはマイナンバーを付けて使うときには、きちんとチェックがかかることが必要なのではないか。一般論として考えての意見ということでございまして、具体的にこういう案件があるので、心配ですとかということを想定しての意見ではございません。
○大谷委員

ありがとうございます。

もし具体例を後で思いついたらというか、マイナンバーを含めて取り扱うことによって
21

リスクが増大する可能性があれば、なかなかそういう事情には思い至っていないというか、
今まで行政機関ですとかそういったところの指針を中心に分析してきておりますので、実際に地方自治体で取り扱われている情報の中に特別リスクが高まるものがありましたら、少し具体例を後で結構ですので、教えていただければと思います。この場で一般論としての御意見だとは承りましたが。
○山本情報公開課長

頭の中でイメージがあったのは、特定の病名ですとかというものがイメージにあって、件数が余り多くはないけれども、こういう症状であるとか精神疾患であるとか、そういった情報が第三者機関とかにわたっていくことについてのおそれでござ
います。
○大谷委員

そこの部分の情報が実際に連携するかどうかといったことによって左右されるものであって、連携しない場合には従来どおりの評価方法でも恐らく差し支えない。連携するユースケースが考えられた場合に、改めての考慮が必要だという御意見と承ってよろしいでしょうか。
○山本情報公開課長

もともとセンシティブ情報を取り扱っている、現状の取扱いの範囲

では先生がおっしゃったように、従前からチェックをかけて取扱い等については配慮がなされているので、マイナンバーを使うということはどこかに出していくとか、相互のやりとりがあるだろうという前提でより一段の配慮が必要だろうということでございます。
○大谷委員

ありがとうございました。

○宇賀座長

自治体の方への御質問は、ほかにいかがでしょうか。

よろしいですか。ありがとうございました。
それでは、事務局への質問がまだ残っていますか。新保委員、いかがですか。
○新保委員

重大事故のところはまだですね。

○宇賀座長

そうですね。

それでは、議論の方に移りたいと思います。資料１「情報保護評価検討スケジュール（案）」、
資料２「特定個人情報保護評価指針素案（中間整理案）地方公共団体・地方独立行政法人向け」及び参考資料１「地方公共団体等向け指針と行政機関等向け指針との差異」につきまして、御意見のある方はお願いいたします。
○宮内委員

承認者の在り方についてコメントをさせていただきたいと思います。

本来、PIA は承認を求める、承認を得ることが目的では勿論なくて、各保有機関が主体的に自分たちがちゃんとしたことをやっていますよと示したり、それを確認したりする、
それが本旨であります。今日伺った地方自治体さんは、非常にそういうところがしっかりされていて心強く思った次第でありますが、そういう点から考えますと、実は承認はそう
いった手続がしっかりやられていることを担保するための手段であると考えます。
その面から言いますと、必ずしも委員会の承認を得るとか、それが必要なものだとは考えない。それが担保されればよいのだろうと思います。そういう活動の実効性が確保できる方法をとれれば、１つの方法には限られないので、今回のいろいろな方法を提案された
22

ことに基本的に私は賛成いたします。
実際に承認者が承認していくという手続において、承認者にある意味での実力が期待される。承認するのにそれだけの評価をするだけの実力が期待されます。そのような承認者をこういうものに限るとか絞ってしまうと、現実的にそういう実力のある人を確保できなくなる可能性も非常に高くなってくると思いますので、今回出てきている共同設置ですとか他の自治体さんに協力を頼むというのは、これも非常に現実的です。このほかにも必ずしも自治体でないような、そういうものを何らかの方法で委員会が認めていくとか、そういう方法でより実力のある人がしっかり判断できる方法をとっていくことが望まれると思います。
以上、コメントでございます。
○宇賀座長

ありがとうございました。

ほかには、いかがでしょうか。
○新保委員

では、この指針の部分につきまして、先ほどの続きの条例改正の要否の２点

目の私の意見でありますけれども、今回、情報保護評価を実施するに当たっては自治体に
は条例の改正は特に求めない。条例の改正は特に必要ないという形で今回は指針案が示されているわけです。先ほどの自治体の方からの御意見も踏まえまして、この点についてこれも今後、特段の措置があれば何か必要があれば条例改正ということにおそらくなってい
くのだとは思いますが、大きく３つ条例を改正しない場合に具体的に自治体がどのように対応するか、個別の規則であるとか条例によらない手続によってそれを定めることで問題はないのか、私の方でもまだその点は確定はございません。
１つ目は、情報保護評価を実施する上での手続については、この指針に基づいて定めら
れておりますので、指針に基づく手続で情報保護評価を実施することになると思います。
併せてその根拠につきましても、マイナンバー法に基づく特定個人情報保護評価の実施ということが明確に根拠として定められておりますので、この点については条例による定めがあるとなしにかかわらず、明確にその根拠並びに実施の手続は明確であると思われます。
しかしながら、具体的に指針をどのような形で自治体の内部でだれが責任を持ってその手続を実施するのかということについては、これは条例で明確にすべき事項の１つではな
いかと考えているというのが１点目であります。
２点目は、重要な問題として先ほども既に問題として指摘がなされておりましたけれど
も、自治体の条例は定義が大きく異なります。現行の定義で特定個人情報、個人情報ファ
イル、特定個人情報ファイルの取扱いという問題について、読み替えることはできないと思いますので、そうしますと、条例に定められていない定義に基づく情報の取扱いについて具体的にその手続を進めるときに定義がない状況で問題はないかということであります。
具体的に条例における定義はそれぞれ別々の定義が各条例で定められているわけでありますけれども、特定個人情報ファイルについての取扱い、指針、実施に当たっての問題について定義の相違による支障が生ずる可能性はないかというのが２点目です。
23

最後に３つ目は、承認の手続と併せて審議会における機能は列挙されておりますけれど
も、各自治体でどのような形で、そもそも諮問機関としてどのような審議会等を設置するのかということについては、これは条例マターとして整備されているわけであります。そうしますと、まず審議会なのか、事務委託をするのか、自治体相互間の協力にするのか、責任者が承認をするのか、いろいろなパターンが考える場合に、その根拠となる明確な承認に当たっての承認をするかどうかということも含めての手続、委員会の承認対象とはならないわけですから、自治体における判断としての承認の手続の根拠がどこで明確に定められるのかということについて気になっている点であります。
つまり、従来の審議会における１つの役割として、この承認が含まれるのか、その根拠がどこにあるのか。よって指針に基づく特定個人情報保護評価の実施手続を明確にするということと併せて、その点が必要ではないかと思っております。
条例の改正が不要であるということで一律に現段階でそのような結論になることについては、このような問題があるのではないかという問題提起をさせていただきます。
○宇賀座長

ありがとうございました。

今の点につきまして、自治体の方から御意見はございますか。
○山本情報公開課長

参考になるかどうかはあれですけれども、住基ネットはもう御案内かと思いますが、住基ネットの場合に審議会の意見を聞くことを個人情報保護条例に基づく審議会に読み替えるという格好で法令上の整理をして、根拠づけをしているという例がありますので、なにがしかの根拠を置くということで手続上、改正がないようにするというのは可能かなと思いました。
３点目についての感想です。
○宇賀座長

ほかは、いかがでしょうか。

事務局の方から何か今の点について御意見はありますか。
○中村参事官

確かに今の条例の問題については、私どもの方も今回、情報保護評価を実施することに伴って直ちに条例改正等の手当てが必要というわけではないだろうということをかなり総論的なことを申し上げたので、今、新保先生から御指摘いただいた細かい点も含めてもう少し研究をしてみたいと思います。
○宇賀座長

ほかは、いかがでしょうか。

特によろしければ、続きまして資料４「情報提供ネットワークシステムを使用しない事
業者向け情報保護評価指針の要否」につきまして、中村参事官から御説明をお願いしたいと思います。
○中村参事官

それでは、資料４でございます。一般的に民間の事業者は情報提供ネット

ワークシステムを使用しない場合には、マイナンバーを取り扱う場合でも情報保護評価は義務づけないとマイナンバー法上なっております。具体的にそのような場合は、税であったり、社会保障の関係であったりという法律上の手続を行うことで番号を取り扱うことになるので、行政機関などが行政事務で使う場合とか民間の事業者であっても情報提供ネッ24

トワークシステムを通じて何らかの法律の根拠に基づく事務のために情報のやりとりをするというのとは少し次元が違うであろうという考え方に基づいているわけでございます。
こういった義務づけ対象となっていない事業者、しかし、さはさりながらマイナンバーという新たな重要なものを取り扱うことになるからには、義務づけられていないけれども、実施しようではないかという事業者がいた場合に、この人たちがよるべき指針を考えた方がよろしいかどうかといったことでございます。
今、申し上げた構造を１ページの下の方に書いてありますけれども、国などの行政機関
については既に中間整理をしていて、現在、地方公共団体向けのところを議論しているところですが、一番下の義務づけられていない事業者についてはそもそもそういうものが要るかどうかという議論でございます。
２ページ目、情報保護評価の趣旨を考えますと、先ほど地方公共団体向けのところでお話したのと同じようなことになりますけれども、事前の確認、透明性の確保、説明責任の確保といったことが意義として考えられるわけですし、また、いろいろな各情報保有機関
においてどういうファイルをどういうふうに取り扱っているのかを明らかにしていくということも１つ大事なことだろうと思っております。
ただし、一方で今日、千葉市さんからも御指摘のあったとおり、このような情報保護評
価を実施すると一定の人員や期間といったコストもかかるということでありますので、そういったメリットとデメリットというのではないのですけれども、それに伴って必要となるものを総合的に考える必要があるだろうと考えております。
他方、義務づけ対象者に対しての指針においても、先生方にとりまとめていただいたところには、要するに、しきい値評価などを行って、めり張りのある仕組みとすることで本当に評価すべきものについて有効な評価をしていくという枠組みを適用しているところでもございますので、そういった考え方もここでも大事なことなのだろうと思っております。
３ページ目、(１)の最後の○にありますように、義務づけられていない対象者であっても情報の量とか、それが例えば法定調書でも自分の会社の従業員だけではないというものもございますので、そういった場合など任意に実施していただいた方が望ましいのではないかと思われる場合もあり得ますけれども、他方でいろいろなコストもかかるということと情報保護評価の趣旨を併せて考えますと、特にプライバシー等に及ぼす影響が大きいファイルを持っている場合に、任意に実施することが推奨されるといったことに、とどまるものだろうと整理されると思っております。
その上で指針をこういった任意で実施する方々についてつくる必要があるかどうかということなのですけれども、基本的にはこのような方が任意に実施しようという場合でも、国あるいは地方などの義務づけられている対象者向けの指針を参照して、これに従って評価を実施することが恐らく可能であり、なじまない項目があれば、任意ということでもありますので、それは除いてやるとか、そういったことで対応が可能なのではないかと思っております。
25

また、少し飛ばしますけれども、現在、作成しております指針についても最初のスケジ
ュールのところで申し上げたように、平成 24 年度中にいろいろな試行や調査などをしながら詰めていくわけですが、初めてのことですので、完全なものが最初からできるかどうかというと、かなり難しいだろうと思っております。来年度の個人番号情報保護委員会の設立後にも実際に制度を動かしながら、絶えず改正の作業をやっていくのだろうと思われます。
そういったように、そもそも義務づけ対象者向けの指針も一応、法律に基づいて委員会が指針をつくるので、確定させなければいけないものではありますが、不断に見直しをしていく性質のもので特に発足当初はそういう度合いも大きいと思われますので、現時点では３ページ目の一番下の○ですけれども、そもそも義務づけられていない対象者向けの指針は情報保護評価制度の運用開始後に委員会の方で作成の要否について改めてお考えいただくことにいたしまして、少なくとも 24 年度中、すなわち、このサブワーキング・グルー
プの先生方にお願いする形で作成するというまでの必要性はないのではないかと考えました。
ちなみに(３)でそのように義務づけられていない対象者が任意に行う場合に、国、地方向けどちらの指針に従うのがよいかについて述べておりますが、この点については、御議論いただいたように、承認者をどうするかというところが大きな違いであって、そうすると、委員会の承認を民間の事業者が受けることはないとすれば、この後、どう検討するかというのはありますけれども、宮内先生から御提案のあったように例えば委員会から認証を受けたどこかの機関がやるとか、そういったレベルとなると思われますので、参照すべ
きものとしては地方公共団体向けのものを見ながらやっていただくことをお勧めするということなのではないかということでございます。
以上です。
○宇賀座長

ありがとうございました。

それでは、情報提供ネットワークシステムを使用しない民間事業者向けの情報保護評価
指針の要否について委員の皆様方から御意見を伺いたいと思います。
○新保委員

この点につきましては、以前の私の見解の確認と本日の要否ということについての追加の事項という点について述べさせていただきたいと思います。
まず、情報保護評価の本来の目的は、行政情報システムにおける個人情報の取扱いに当たってプライバシーへの影響をあらかじめ評価するということで、制度の立て付けとして
行政情報システムが念頭に置かれていますので、したがって、民間の事業者が取り扱う情報システムは念頭に置かれていないというのがそもそもの制度の趣旨であります。その一方で、民間事業者が行政情報の取扱いに関わるシステムに匹敵またはそれ以上の巨大なシステムを保有する民間事業者が存在することは厳然たる事実でありますので、そのような事業者に対してもプライバシー保護への要請が高まっているということは、これも事実で
あります。
26

しかしながら、行政における評価制度を民間に活用することが必要かどうかについては、行政における番号の利用について国民に番号を利用して納税の義務を果たす、その納税の義務を果たす上で番号を利用するので、国の義務として国民のプライバシーへの影響を評価することを義務づけるというのがこのプライバシー影響評価の目的であります。
したがって、結論としては前回からの確認ですけれども、情報提供ネットワークシステ
ムを利用しない事業者に対しては特定個人情報保護評価指針の策定は不要と考えております。
なお、併せて本日の資料を踏まえた理由としては民間の事業者で非義務づけ対象者については確かにマイナンバーを取り扱うという観点からは、プライバシーへの影響がある部
分は当然出てくるということになるわけでありますけれども、しかしながら、民間の事業者はマイナンバーを取り扱う場合であってもその取扱いについては法令の範囲でその取扱いが定められております。
つまり、マイナンバーの取扱いは法令の範囲で定められた範囲でしか取り扱うことが認められておりませんので、よってその範囲を越えて取り扱うことによってプライバシーへの影響、プライバシー侵害などが発生することについてはそもそも法令違反であると考えられます。
なお、民間事業者におけるこのようなプライバシーへの影響も含めて評価をすることが必要であるという要望が高まっていることは先ほども述べましたとおり、巨大なデータベースなどを保有している事業者などが増えてきていることから、これも社会的要請としては従来からその要請があることは重々承知しております。その要請に応えるために民間事業者向け情報保護評価指針、特に非義務づけ対象者向けのものをつくる必要があるかということについては既に指針の素案にも掲載されておりますが、プライバシーマーク、ISMSを含めて民間の自主的な取組みとして従来から行われてきている第三者評価制度が長年の蓄積として、きちんとした制度として動いておりますので、この点については従来からの民間による第三者による適正な個人情報の取扱いを評価するための指針を活用することで何ら問題はないであろうと考えております。
以上です。
○宇賀座長

ありがとうございました。

玉井座長代理、どうぞ。
○玉井座長代理指針というものの性格から原則的には義務づけられない事業者に対しても指針を出すこと自身に意味があり得ると思いますけれども、ただ、どういう意図で出すかということが結構難しいところがあると思うのです。例えば民間の人と話をすると、プライバシーマークは民間にとっては大きなインパクトがあるらしくて、これを持たないとなかなか仕事が取れないケース、そういう状況もある。でも、勿論、義務づけられている
わけではないわけです。
そういう影響を少し視野に入れておかないと、こういうものを出すのに当たって、なる27

べくやってほしい、浸透した方がいいと思って出すか、そうではなくて、もし必要があれば、これを参考にしてくださいというつもりで出すかとで随分違うと思うので、間を置いて検討した方がいいというのは正しい考え方ではないかなと思います。
○宇賀座長

ありがとうございました。

ほかは、いかがでしょうか。
○大谷委員ありがとうございます。

結論だけ申し上げると、事務局案、資料４のとおり要らないということで全く差し支えがないのですが、かねてからこの点については意見が多数出ているように、非義務づけの対象者である一般の事業者については法令を遵守することがまず何よりも先決です。しかし、マイナンバー法は先ほどから地方自治体の方も口をそろえて、なかなか難しいところがあると、この情報保護評価の指針についても含めて難しさがあるという御意見が出ているところでもありますので、一般の民間事業者にとっては法令解釈指針のようなものがむ
しろ重要である。それはここのサブワーキングのミッションではありませんが、かなり早急に取り組んで何をすれば、法令にかなったコンプライアンスという意味では十分なシステムになるのかを早めに明確にし、事業者に浸透させることをどこかのスケジュールに織り込んでいかなければいけないだろうなと思っております。
そうしますと、資料４の話というよりは一番最初に御説明いただいたスケジュールの資料１になるかと思いますが、ここにはまだ具体的にはそういった法令解釈指針、ガイドラ
インのようなものについては触れられていませんけれども、今後の予定の中に是非、何か
明確に織り込んでいただくことが必要かなとサブワーキングのミッションを踏み越えての意見になりますけれども、お願いしたいと思います。
以上です。
○宇賀座長

ありがとうございました。

どうぞ。
○中村参事官大谷先生の御指摘の件につきましては、私どももそのように考えておりますので、今後、法案が成立すれば来年度委員会が発足して業務をやっていくという中で、必要な予算の確保なども含めて対応を検討していきたいと思っております。
○宇賀座長

ありがとうございました。

ほかには、いかがでしょうか。
よろしければ、次に情報保護評価全般に関わる論点として、しきい値評価基準、意見聴取手続につきまして資料５及び資料６を中村参事官から御説明していただきます。事務局
から簡単に説明していただいた後に、委員の皆様方から御意見をいただきたいと思います。
○中村参事官

それでは、資料５、資料６の２点につきましては、国の機関等向けの中間整理をまとめていただいた際に議論いただいて、言わば宿題的に積み残しになっていた事
項のうちの２つということで、この機会に改めて御議論いただければと思っているものでございます。
28

まず、しきい値評価基準についてでありますが、現在、中間整理におきまして、しきい
値の評価質問項目案が大きく５つありまして、情報提供ネットワークシステムの接続規定に則るかから始まって、あとは重大な事故を１年以内に発生させたか、取り扱う職員の数がどれぐらいか、対象人数はどれぐらいか、どれぐらいの個人情報を集録しているかということ。それから、特定個人情報は行政処分の対象として用いられるものなのかどうかといったことでございます。
このうち重大な事故というものについて、どれぐらいのものを重大事故と扱うかを改めて考えてみたものが「②重大な事故について」でございます。この重大事故という質問項目を設けた私どもとしての趣旨でありますけれども、総論の２つ目の○に書いてあります
ように、何らかの重大な事故を発生させた場合は、それが報道などを通じて国民の皆様方にも知られるところとなり、その情報保有機関に対して国民の懸念の大きくなることが考えられますので、特定個人情報ファイルの取扱いについての透明性を増して、国民の信頼を確保するという目的からして、きちんと評価を実施していただく必要が高まるのではな
いかと考えたわけであります。
漏えい等の事故の実情を簡単に調べてみたのが(２)ですが、２ページや３ページに総務省がとりまとめております行政機関などの事故のデータも載せておりますけとれども、大体緑で塗ってあるところが数が相対的に多いものであります。全て申し上げませんけれど
も、案件の種類としては誤送付、誤送信や紛失というものが多くて、規模から申し上げると表２なのですが、大部分が 50 人より少なく、５人以下でも４分の３とか８割、それぐら
いになります。通り相場としては、ごく不注意で少ない人数の方の情報を何らか漏らしてしまったというものが大部分と受け止めております。
また、ちなみに民間も含めた例も４ページに出ておりますけれども、このような例を見ても不注意のたぐいが多いし、こちらは 500 人以下で切られておりますが、非常に大規模な流出の例は少ないことがうかがえるかと思っております。
こういったものを見ながら検討をいたしましたが、４ページの一番下から５ページにかけてですけれども、めり張りのある仕組みをそもそも考えていた中で、あえて全項目評価をやらせる基準ということで重大事故を考えたわけでございますので、こういった実状を踏まえてどういったものがプライバシーインパクトが高いと思うかということなのだろうと思っております。
具体的にこうした視点から考えましたのが５ページの真ん中の枠囲みでありまして、当該機関の職員以外の特定個人情報を含むものを漏えいしていたものであって、なおかつ、その職員以外の情報の本人とされる者の数が 101 人以上と考えました。101 人ということに関しては何か客観的な基準を申し上げるのも難しいところもございますが、通常、一般
国民の目から見て３けたのレベルになるような事件が起きるというのは、単なる不注意とかそういうことを越えて、その機関に何らかの構造的な問題があると思われてもおかしくはないレベルではないかということで設定をさせていただきました。
29

以上が重大な事故でございまして、続いて③で職員の数についても簡単に触れておりま
すが、職員の数を指標とする際に６ページ、答えの形で書いてあるのですけれども、要は非正規職員とか非常勤職員まで含めて考えるかどうかという論点が考えられます。趣旨として多数の者が取り扱うとリスクが高まるということで設けている指標ですので、雇用形態にはかかわらず、実際に取り扱う人の頭数ということで、どちらも職員に含まれるということにしてはどうかということでございます。
続きまして、資料６「意見聴取手続について」ということでありますが、本日、地方公共団体向けの指針において、このような意見聴取手続を厳格にするかどうかということはそもそもの疑問のようなものもいただきましたけれども、国向けの指針では少なくともこのようなものを行うことにしておりますので、この点について少し詳細を御議論いただければということであります。
すなわち、この指針において意見聴取の標準的な期間、方法について提示することが適当だろうということであります。これを考える場合に２つほど参考の例を出しております
が、行政手続法上の意見公募手続におきましては、やむを得ない事情があるときを除いて
30 日以上意見提出のための期間を設けるとされております。行政手続法上の意見公募手続は一応、命令などを定める場合ということで、このような手続をすることになっておりますけれども、これは 30 日以上かけるということであります。
他方で、一般的な事務のたぐいの１つであります一般競争入札の公告を行う場合については、基本は 10 日以上ということが予算決算及び会計令において定められている、こういったものが前例としてはございます。
「イ

情報保護評価における期間の検討」ということで考えたところを御説明しますと、多くの価値ある御意見を伺うためには一定以上の期間は必要であろうということなのです
けれども、情報保護評価につきましては、原則としては、システムの場合は要件定義段階、手作業の場合は設計段階で実施するということにされております。したがって、特にシステム関係の場合などは全体のスケジュールに余り大きな影響を及ぼす期間を設定するのはどうだろうということも考えなければいけないのではないかということで、原則として 14日以上の意見の提出のための期間を設けるということで、いわゆる法律上のパブリックコ
メントよりは短い期間で設定したらどうかという提案であります。その上でやむを得ない
理由がある場合はそれを下回ることもあり得るというのは、予決令の例なども参照してそ
ういうことも考えていいのではないかということであります。
２ページ、方法でありますけれども、行政機関の場合は総務省が運営する行政のポータ
ルサイトとして e-Gov というものがあるので、これを使って行うことを標準としたらよいのではないかということであります。他方、地方公共団体についてはそもそも意見聴取自体をどうするかという問題もありますけれども、行うにしても、ある程度裁量を尊重したやり方を考えて、それぞれの団体が設定しているパブリックコメントの仕組みかそれ以外でも広く意見を求めることができる方法であれば、それをとってもよいということにして30

はどうかということでございます。
大体、概要は以上でございます。
○宇賀座長

ありがとうございました。

それでは、資料５のしきい値評価基準につきまして御意見がありましたら、お伺いした
いと思いますが、いかがでしょうか。
○玉井座長代理

極めて単純な質問ですけれども、101 人以上とした場合に前の方に件数のデータがありますが、何件ぐらいが該当するのですか。
○水町参事官補佐

こちらに付けさせていただいている表は、一般の個人情報に係る表でして、行政機関個人情報保護法における個人情報と独立行政法人等個人情報保護法における個人情報と、個人情報保護法に基づく個人情報、これらの表ですので、このうちどれが特定個人情報になるのかという割合が現時点では判明しておりませんので、何とも確定した回答は申し上げられません。
ただ、一般の個人情報であれば例えば３ページの表をごらんいただければ、行政機関であれば 101 人以上が平成 22 年度ですと 3.8％、1001 人以上が 1.4％ですので、合計 5.2％。
独法であれば、2.5％プラス 1.3％ですので、3.8％と考えられます。
○玉井座長代理

わかりました。

○宇賀座長

ほかは、いかがでしょうか。

○新保委員

しきい値評価基準の重大事故については、以前から基準をどうするかということについて事務局も相当悩まれて 101 人という数字をお考えになったと思いますけれど
も、引き続きどういう基準にするかは継続的に検討が必要な事項だと思います。なかなか
101 という数字についても今、３けたという御説明がありましたけれども、「３けた（みけた）」だと重大事故を「見つけた（みっけた）」みたいに、その根拠は３けたという根拠ですということになってしまうと、説得力の点ではどうしてこの数字なのかということについて、なかなか説明が難しい部分があるかと思います。
この点につきまして、引き続き検討が必要と申し上げた理由は、例えば現在、諸外国におきましてもセキュリティーブリーチ・ノーティフィケーション、情報漏えいに当たっての通知についての義務づけが進んでおります。米国では現在 46 の州まで拡大しておりまして、46 の州及び４地域が既にセキュリティーブリーチ・ノーティフィケーションの法律を制定しております。EU におきましても、EU の個人データ保護規則が現在、案として出ておりますけれども、こちらにつきましても同じく通知を 24 時間以内に行うことと併せて課徴金の額も定められております。
この基準については次第に基準が明確になりつつある部分でありますけれども、ここで私から意見としては、今の動向としてどういう傾向にあるかといいますと、基準は情報の質と量という観点から判断を行う傾向がございます。質ということについては細かくいろ
いろな例がありますけれども、例えば非常に早い段階からノーティフィケーションを導入したカリフォルニアの事例などを見てみますと、カリフォルニアでは暗号化されたデータ
31

は除外されている。日本では実は暗号化されたデータであっても、経済産業分野における個人情報保護ガイドラインを始めといたしまして、各省庁の個人情報保護ガイドラインにおいても、解釈上、暗号化されたデータであっても個人情報であると解釈しています。厳密には個人データまたは個人情報に当たるということで、たとえ暗号化されていても我が国の場合には総務省などの処分事例を見ていただいてもおわかりのとおり、個人データの漏えいに当たるという判断になっております。
一方、諸外国においてはこのように暗号化されたデータについては除外をするという、質の面から例えば除外をしている例とか、その一方でマイナンバー法の大綱におきましても一番最後の行には「情報の機微性に応じた特段の措置」ということで、医療分野について現在、医療情報の取扱いについては法制を番号法と併せて整備するということで、特段の措置について検討を行っているわけであります。
そうしますと、私の提案といたしましては機微性と見読性、こういった観点から必ずしもそのデータが漏えいした場合に機微性が低いのではないか、見読性がないのではないかということも、これは今後、検討の対象に含めて考える事項ということになるかと思います。ただし、今回はあくまで情報保護評価のしきい値評価基準における重大事故という判断基準になっているわけでありますが、この点について対象情報が個人情報と特定個人情報では事情が違うということです。
つまり、今回のカウントをするに当たっても個人情報、厳密には個人情報保護法にいう個人データ、行政機関等個人情報保護法にいう保有個人情報、これらについては氏名と IDなどの非常にシンプルな情報で、たとえ ID が１万件漏えいしてもそれほど大きな影響はないわけですけれども、その一方でセンシティブ性が非常に高い情報もある。個人情報については、非常に幅が広いという面があります。
一方、特定個人情報、つまり、マイナンバー法案にいう特定個人情報については社会保障、税分野における情報となりますので、その多くは機微性が高く幅が非常に狭い情報になるわけであります。ですから、前の個人情報が１件漏えいするのと後者の特定個人情報が１件漏えいするのではプライバシーインパクトは全く異なるということです。
ですから、この点からいたしまして、件数のカウントについても、個人情報と特定個人
情報では事情が違うということについても当然、考慮が必要になってくるかと思います。
この点については、諸外国の動向と情報の質と量についての、あくまでこれは基準といっても１件ずつ厳密にこれは個人情報か、特定個人情報かを区別するというところまでは必要はないと思います。たとえ１件でもシビアな情報の漏えいではないかという場合には、それも含めるということも何らかの基準として加えることはできないかと思っております。
ただし、最終的な課題としては現行の法制度の範囲内では、私が申し上げた基準、情報の質と量については現行の個人情報保護法では全くこの点については基準はございません。
併せてマイナンバー法案も含めて、現行の法制度においてここの判断をする基準はないわ
けであります。ですから、最終的にはこの点も含めてこういったことについては個人情報
32

保護法本体の改正によらなければ適切に判断することはできないと考えております。
○宇賀座長

ありがとうございました。

資料５につきまして、ほかにいかがでしょうか。
○水町参事官補佐

ちょっと補足させていただければと思います。

新保先生がおっしゃられたとおり、特定個人情報については税、社会保障分野の情報であるということと、特定個人情報であるからにはマイナンバーが入っているということ。
これらのことから、特定個人情報は、全て機微性の高い情報であると考えております。また、暗号化された情報であれば、仮に漏えいしてしまった場合でも、たしかに平文が漏れるよりは、という点もございますので、検討させていただければと思います。
101 人というのは、確かになかなか基準として出すのは難しいところもございますが、勿論、そういった機微性の高い特定個人情報が１件であっても漏えいするのは大変な問題であると思います。ですので、現行の行政機関個人情報保護法等でも、またマイナンバー法でもそういった事案があれば、総務大臣なり委員会に知らせて、施行状況調査でこういう事案がどの程度あったというのを一般に公表しているところです。１件でも非常に重大な問題であることを認識しております。
ただ、ここにおいて 101 人としたのは 100 人以下のものが重要ではないという趣旨ではなくて、しきい値評価では、重大事故に該当すると、ほかのしきい値評価の質問項目を満たすか満たさないかを問わず、重大事故に該当してしまえば必ず全項目評価を実施するものですので、これを起こしたという１点だけをもって全項目評価を実施するほどの必要性があるインパクトが強いものという意味で 101 人にしておりますので、その点だけ補足させていただきました。
○宇賀座長

宮内委員、どうぞ。

○宮内委員

今、言及されました暗号化をどうするかという問題はありますけれども、確

かに経済産業分野におけるガイドラインにおいても暗号化されていても個人情報であるとされていますが、ガイドラインの中身につきましては高度な暗号化がされている情報の漏
えいについては扱いをいささか違えているという面もございますので、この辺りも御参考にされたらよろしいのではないかと思います。
以上です。
○宇賀座長

ありがとうございました。

ほかにいかがでしょうか。
大谷委員、どうぞ。
○大谷委員

非常に細かな話なのですけれども、過去１年間の特定個人情報を含むものの漏えい事案ということになりますと、最初の個人情報保護評価のときにはだれも特定個人
情報はまだ扱っていない段階ですので、経過措置的に情報保護評価の重大事故基準は最初の段階では何か読み替えをしていかなければいけないだろうと思いまして、細かいことですが、言い添えさせていただきました。
33

○宇賀座長ありがとうございました。

資料６についての議論は次回に回したいと思いますが、資料５につきまして、ほかにいかがでしょうか。よろしいでしょうか。
それでは、本日の議事はこれで終了したいと思います。本日、御議論いただきました地
方公共団体、地方独立行政法人向けの情報保護評価指針素案(中間整理案)につきましては、
今回御議論いただきました点を事務局で反映して、本年の秋をめどに中間整理としてとりまとめたいと思います。
また、行政機関向けの情報保護評価指針素案(中間整理案)につきましても、情報保護評
価の試行結果等を踏まえまして、評価書記載事項の見直しや記載例の作成などを行っていきたいと思います。
本日、長時間にわたって御議論、活発な御意見をいただきまして、大変ありがとうございました。
次回のサブワーキング・グループにつきましては、事務局から追って御連絡させますので、よろしくお願いします。
以上をもちまして、情報保護評価サブワーキング・グループの第６回会合を閉会といたします。

34