個人情報保護条例改正にあたっての自治体への要望事項
2021年の個人情報保護法改正により、自治体は2023年3月までに個人情報保護条例を「国基準」にすることを求められています。個人情報保護条例は国の法制化にはるかに先行して制定され、実務が積み重ねられてきました。そのことは国も「独創的な規定を設けている条例も見られるなど、地方公共団体の創意工夫が促されてきたところであり、我が国の個人情報保護法制は、地方公共団体の先導的な取組によりその基盤が築かれてきた面がある」と認めています。
しかし法改正を受け個人情報保護委員会が4月20日に公表したガイドラインは、活発化する官民や地域の枠を超えたデータ利活用に対応するためにとして、そのような自治体の条例の規定のことごとくを「許容されない」と否定し、条例を廃止し手続き的なことを規定する「法施行条例」を制定するよう迫っています。
ほとんどの自治体は条例により「個人情報保護審議会」を設置して、個人情報の収集・利用・提供等を行政内部だけの判断に委ねることなく有識者や住民参加でチェックし、その結果を住民に公開してきました。個人情報は本人から収集することを原則とし、差別・偏見を生じさせるおそれのある「要配慮個人情報（センシティブ情報）」の収集を制限してきました。これらの取組が自治体への住民の信頼を支えてきましたが、個人情報保護法にはこれらの規定はありません。個人情報の利活用が活発化する時代だからこそ、このような取組はますます重要です。
憲法は地方自治の本旨を規定し、自治体は法律の範囲内で条例を自主的に制定することが認められています。個人情報保護法改正にあたり国会も、地方公共団体が条例を制定する場合には地方自治の本旨に基づき最大限尊重することを附帯決議しています。また地方分権により、国と地方は対等の法令の解釈権があります。法の規定を超えて条例を制約する個人情報保護委員会の姿勢は、地方自治の本旨に反し立法府の意思を軽視するものであり、個人情報保護にとどまらず地方自治をも危うくするものです。
私たちは7月18日に開催した｢個人情報保護条例改悪にいかに抗するか～先行事例から考える｣学習会での検討を受け、自治体が積み重ねてきた個人情報保護の施策を維持し発展させ住民に信頼される行政を運営していくため、ガイドラインや最新の「Ｑ＆Ａ」をふまえ実施可能な要望事項として、以下を提案します。
[1]改正後の条例の名称は「法施行条例」ではなく「個人情報保護条例」とし、現行条例の基本的理念を後退させることのないよう住民情報の保護に向けた自治体の理念・姿勢をあきらかにすること。その際基本的人権の保障や、自己情報のコントロールなど情報主体としての住民の権利を規定すること。
個人情報保護委員会の「個人情報の保護に関する法律についてのＱ＆Ａ（行政機関等編）」
や、昨年6月の自治体への説明会で示した「条文イメージ」では、改正後の条例を「（個人情報1

保護）法施行条例」とし、法が条例に委任する手数料や行政内部の手続き規定などを規定するよう求めています。
「条文イメージ」をもとに国基準化が行われれば、自治体の主体的な取組が薄れ個人情報保護が後退していくことが危惧されます。
ただ4月28日に公表された「Ｑ＆Ａ（行政機関等編）」9-1-1では、法の目的や規範に反することがなく事業者や市民の権利義務に実体的な影響を与えることがない限りにおいて、基本理念や事業者・市民の責務など独自の理念規定を設けることは妨げられないとしています。
積極的に理念を条例に規定するとともに、名称も「法施行条例」に変えることなく個人情報保護に対する自治体の理念・姿勢を住民に明らかにするようにしてください。
その際、住民情報に対する自治体の管理責任と、情報主体としての住民の権利を明確に規定するよう求めます。

[2]「審議会」で有識者・住民により行政をチェックする意義を確認し、「審議会」の役割を条例に規定して今後も十分機能するようにすること。
自治体の「個人情報保護審議会」の名称・組織・運営状況は自治体によりさまざまですが、国と異なり有識者・住民の参加で行政の個人情報利用を監視してきたことが、個人情報の適正な利用と住民からの信頼を担保してきました。
改正個人情報保護法第129条では、地方公共団体の施策等で個人情報の適正な取扱いを確保するため専門的な知見に基づく意見を聴くことが特に必要であると認めるときは、審議会その他の合議制の機関に諮問することができるとしています。何が「専門的な知見」で何を「特に必要」とするかは自治体が判断することであり、個人情報保護委員会の見解はその例示とみるべきです。
また4月28日に公表された「Ｑ＆Ａ（行政機関等編）」では、番号法に基づく特定個人情報保護評価の第三者点検など個人情報保護法以外の法令による諮問（7-1-1）や、匿名加工情報の提供の可否基準について審議会に諮問すること（6-1-2）を認めています。今後も諮問は必要で、「審議会」の役割を条例に規定しなければなりません。
「審議会」の意義を確認し、より実効ある行政監視ができるよう機能を充実させてください。

[3]個人情報の外部提供・目的外利用や住民情報の管理システムの開始・改変など、従来審議会に諮問してきた事柄について、今後も審議会に報告し、審議会委員が必要と判断した際は自発的に調査・審議・意見陳述ができるようにするとともに、報告事項をホームページに掲載するなど市民にわかるようにすること。
個人情報保護委員会のガイドラインでは、「個人情報の取得、利用、提供、オンライン結合等について、 類型的に審議会等への諮問を要件とする条例を定めてはならない」「個別の事案の法に照らした適否の判断について審議会等への諮問を行うことは、法の規律と解釈の一元化という令和3年改正法の趣旨に反する」などと、諮問を制約しています。
法の解釈権は自治体にもあります。審議会への諮問は自治体の内部手続であって、自治体の長が意思決定に際して審議会等の意見を聴くことが否定されないことは、国の立法担当者
2

も認めています（「一問一答令和３年改正個人情報保護法」62頁 商事法務）。改正法により今後は法の解釈について個人情報保護委員会の見解を聴く必要はあっても、このような制約は不当です。
ただ4月28日に公表された「Ｑ＆Ａ（行政機関等編）」7-1-3では、法の規定は審議会等への「諮問」についてであり、「審議会等が自発的に行う調査、審議又は意見陳述を妨げるものではありません。ただし、地方公共団体が調査等を受けることを事実上の要件としたり、審議会の意見を尊重することを義務として定めるような法施行条例の規定を設けることはできない点に留意する必要があります。」と説明しています。
「諮問」を規定しない場合でも、従来諮問してきた事項を（事前に）審議会に「報告」し、審議会委員が必要と判断したら調査・審議し、自治体の長に意見陳述をできるよう、条例に規定すべきです。

[4]個人情報は本人から収集するよう努めることを責務として条例に規定するとともに、現在「審議会」に諮っている例外的な本人外からの取得については、審議会に報告し、審議会により調査・審議・意見陳述ができるようにすること。
ほとんどの条例では個人情報は本人から収集することを規定し、例外として法令の定めのある場合や緊急やむを得ない場合等のほか「審議会」に諮って本人外からの収集を認めています。しかし個人情報保護法では本人収集の原則はなく、個人情報の保有等の規定しかありません。個人情報保護委員会は、法の規定で個人情報保護は図られており法と重複する本人収集原則を規定することは許容されないと説明していますが、重複してはいません。
本人からの収集を原則とすることは、個人情報の正確性を確保するとともに、住民が収集の事実と収集目的を認識して訂正・利用停止請求等の権利行使を容易にします。とくに日常的に住民と接する自治体においては、自分の知らないところで行政が個人情報を収集していると住民が感じることは、行政不信の原因ともなります。
可能なかぎり本人から収集することを責務規定として条例に定めるとともに、本人外収集は「審議会」に「報告」して収集が適正か調査・審議できるようにしてください。

[5]要配慮個人情報はできる限り収集しないよう努めることを責務として条例に規定するとともに、その扱いについて安全管理措置を整備すること。また個人情報保護法令に規定はないが不当な差別・偏見の原因となるおそれがある個人情報について、積極的に「条例要配慮個人情報」として条例に規定し管理に万全を期すこと。
自治体は条例制定の当初より、差別・偏見等が生じないよう特に配慮を要する個人情報（センシティブ情報）の収集制限などを規定してきました。国は2015年の個人情報保護法改正により「要配慮個人情報」を新設し、人種・信条・社会的身分・病歴・前科前歴・犯罪被害情報その他政令で定める個人情報を規定し、取得は原則として本人の同意を得ることを義務化しました。
2021年の法改正に際し有識者会議の報告を受けて、地方自治体がその施策に際して保有する個人情報で特に配慮が必要な情報を「条例要配慮個人情報」とすることが新設されました。
3

しかし行政機関・自治体に対しては要配慮個人情報の取得を制限する規定はなく、個人情報全般の制限のほか漏えい時の本人や個人情報保護委員会への報告、個人情報ファイル簿への記載が規定されています。
「条例要配慮個人情報」は、改正個人情報保護法における数少ない自治体の自主性に配慮した規定ですが、取得が制限できないことから敢えて規定する意義がないとする自治体が見受けられます。しかし要配慮個人情報は漏えい等による権利利益の侵害の程度が大きく、大量の秘匿性の高い個人情報を扱う自治体にとって特に適正かつ慎重な取扱いが求められます。
4月28日に公表された「Ｑ＆Ａ（行政機関等編）」3-2-1では、取得制限を規定することは認められないとしつつ、法第66条の行政機関の長等の安全管理措置義務として「求められる安全管理措置の内容は、保有個人情報の漏えい等が生じた場合本人が被る権利利益の侵害の大きさを考慮し･････必要かつ適切な内容とする必要があり、行政機関内部における安全管理体制の構築に当たって、取り扱う保有個人情報が要配慮個人情報に当たることを勘案することは考えられます」としています。
漏えいや不適正利用のリスクを最小化するためできる限り収集しない責務を規定するとともに、行政内部における要配慮個人情報の慎重かつ適切な取扱いを条例に規定することを求めます。
その上で法令に規定されていない要配慮個人情報について、地域の特性やいままで自治体で規定してきた経緯、過去の漏えい・不適正利用事案の発生等を考慮し、積極的に「条例要配慮個人情報」を規定して注意喚起し管理に万全を期してください。

[6]目的外利用や外部提供が担当部署だけの判断で行われないよう、個人情報保護担当部署への報告を義務づけ、「審議会」に報告して客観性が反映される仕組みにするとともに、個人情報ファイル簿への記載等による住民への可視化を条例に規定すること。
多くの条例では個人情報の目的外利用や外部提供について原則禁止するとともに、法令の定めや本人同意のある場合等のほか審議会の意見聴取により例外を認め、「個人情報取扱事務登録簿」で目的外利用や外部提供していることを公表してきました。それにより行政の恣意的判断で利用・提供されることを防ぎ、住民が自らの情報の利用・提供を知ることができ、利用中止請求等の権利行使が容易になってきました。
個人情報保護法改正により行政機関等が「相当の理由」「特別の理由」があると判断すると目的外利用・提供が認められる法の規律が、自治体に適用されることになります。しかしこの個人情報保護法の規定に対しては法改正にあたり国会で、行政機関が保有する個人情報の目的外での利用又は第三者への提供については、その要件である「相当の理由」「特別の理由」の認定を厳格に行うこととし、行政機関等が行った判断の適否を個人情報保護委員会が監視することが附帯決議されています。
個人情報保護委員会のガイドラインや「Ｑ＆Ａ」では「相当な理由」に該当するかを審議会に諮問することは、法解釈に関する事項であり認められないとしています。しかし1700を超える自治体の個々の利用・提供について個人情報保護委員会に確認することは現実的ではありません。
4

目的外利用や外部提供については、行政の恣意的判断に陥らずに客観性が反映されるよう、個人情報保護を所管する部署への報告を義務づけ、個人情報保護担当部署はいままでの「審議会」での判断を参考に必要に応じて個人情報保護委員会の見解を聴き適否を助言するとともに、「審議会」に報告し有識者や住民の意見を聴く仕組みにしてください。
また目的外利用や外部提供が住民に可視化されるよう、個人情報ファイル簿等に目的外利用の内容や外部提供先を記載するとともに、サイト等で閲覧できるようにしてください。

[7]住民情報のオンライン結合について、デジタル化の進展により新たな漏洩やシステムの障害、プライバシー侵害などが起きる可能性を考慮し、「審議会」や専門家による検証を積極的に求めリスクの最小化に努めるとともに、必要に応じて結合先に対する調査や要請を行うことを条例に規定すること。
改正個人情報保護法に個人情報のオンライン結合についての規定はなく、個人情報保護委員会のガイドラインでは、「11条例との関係」として「個人情報保護やデータ流通について直接影響を与えるような事項であって、法に委任規定が置かれていないもの（例：オンライン結合に特別の制限を設ける規定、個人情報の取得を本人からの直接取得に限定する規定）について、条例で独自の規定を定めることは許容されない 」としています。法に委任規定のないことは条例で定めてはいけないとなれば、あらゆる自治体の独自施策や「上乗せ」施策は行うことができなくなり、認めることはできません。
オンライン回線結合を制限・禁止する規定は、1970年代に国民総背番号制への反対運動の広がりの中で、市区町村で住民情報のコンピュータ利用を推進することに住民の理解を得るため、住民情報の管理に市区町村が責任を持つ趣旨で制定され始めました。法令の定めや審議会への諮問によって例外的に結合は可能になっており、現在はこの規定により自治体外への回線結合にあたっての安全性や個人情報保護の留意事項などの検証が行われています。
クラウド利用などオンライン処理が一般化していますが、システム障害による業務停止や情報喪失・情報流出などクラウドサービスにおけるリスクは社会的に問題となっています。
個人情報保護委員会は、安全管理措置や第三者提供の制限等の規定があればオンライン・オフラインを問わず必要な保護が図られると説明しています。しかし情報連携を目的としたマイナンバー制度では「特定個人情報保護評価」が義務づけられているように、オンラインに着目した規定は必要です。
オンライン結合にあたっては「審議会」や専門家による検証を行うとともに、結合先に対する調査や必要な対策の要請などができるよう、条例に規定してください。

[8]開示請求を行わなくても、訂正請求・利用停止請求を可能にすること。
個人情報保護法では、訂正請求や利用停止請求のためには開示請求を行い、開示を受けていることが必要とされています。多くの条例では、開示請求を行わなくても誤りや不適正な利用・提供がわかれば、訂正請求や利用停止請求を可能にしています。
開示請求を前提とすると、訂正等のための負担が増え、開示決定を受けるまで訂正等の請求ができないなど、現行条例よりも住民に不利益になるおそれがあります。4月28日に公表され5た「Ｑ＆Ａ（行政機関等編）」5-8-2では、本人が開示を受けていない保有個人情報を訂正請求や利用停止請求の対象とする条例を定めることについて、「･････訂正及び利用停止の手続に関する事項に含まれるため、訂正請求や利用停止請求の制度の運用に支障が生じない限りにおいて、そのような法施行条例を規定することは妨げられません」としています。
自己情報のコントロールをしやすくするために、開示を受けていない個人情報も訂正請求及び利用停止請求の対象とする条例にしてください。

[9]代理人による開示・訂正等請求にあたっては、開示等請求制度の悪用を防止するため、必要に応じて本人の意思確認を行うことを条例に規定すること。
改正個人情報保護法では、開示請求・訂正請求・利用停止請求の請求権者として、本人・法定代理人のほか任意代理人も認めています。多くの条例では、番号法による特定個人情報以外では任意代理人による請求は認めていません。代理人による請求では、虐待で保護されている子の加害者である親が子の居場所を探るために法定代理人として子の情報の開示請求をするなど、本人と利益相反する請求が問題になります。
4月28日に公表された「Ｑ＆Ａ（行政機関等編）」5-3-1では、未成年者の法定代理人による開示請求について、一律に本人の同意を証する書類の提出を義務付けることは認められないが、本人の生命、健康、生活又は財産を害するおそれがある情報に該当するか判断するために、必要に応じて本人の意思を確認することは妨げられないとしています。
また「Ｑ＆Ａ（行政機関等編）」5-3-3では、任意代理人による請求の場合は「なりすまし等による開示等請求制度の悪用を防止する観点から、任意代理人の資格を確認することは重要であり、 必要に応じて本人に対して確認書を送付し、その返信をもって本人の意思を確認することは妨げられません」とし、手続きを条例に規定することも妨げられないとしています。
開示等請求制度が悪用され本人に不利益が及ばないよう、必要に応じて本人の意思確認を行うことを条例に規定してください。

[10]個人情報ファイル簿の作成にあたっては、個人情報保護法では対象とならない保有個人情報についても対象とし、現行の目的外利用・外部提供・委託などの取扱状況を記載し公表する仕組みを下回らないものとすること。
国の機関は個人情報保護法により、個人情報ファイルを単位に利用目的や記録項目、収集方法などを記録した「個人情報ファイル簿」を作成しています。自治体では「個人情報ファイル簿」か、事務を単位とした「個人情報取扱事務登録簿」を作成しています。個人情報保護法
改正で自治体にも適用されることにより、「個人情報ファイル簿」の作成が義務づけられますが、別に「個人情報取扱事務登録簿」も作成することは認められています。
個人情報保護法では保有個人情報が1000名未満では作成が不要とされるなど、「個人情報ファイル簿」はすべての事務で作成されることになっておらず、目的外利用などの取扱状況もわかりません。
住民が自己に関する情報の取扱状況を把握できるよう、「個人情報取扱事務登録簿」の作成も継続するか、現行の記載内容を維持する「個人情報ファイル簿」にしてください。
6[11]死者に関する個人情報について、現行条例の保護水準を低下させないようにすること。
個人情報保護法では法の対象を生存する個人としていますが、条例のなかには生存する個人に限定せず死者に関する個人情報も保護の対象としているものがあります。個人情報保護委員会のガイドラインでは「死者に関する情報が同時に遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報として法の保護の対象となる」とするとともに、4月28日に公表された「Ｑ＆Ａ（行政機関等編）」4-2-1では「死者に関する情報の取扱いについて、個人情報保護制度とは別の制度として、条例で定めることは妨げられません」としています。
死者に関する個人情報も保護の対象としている経緯を確認し、現行条例の保護水準を低下させないよう条例制定を検討してください。

[12]地方議会における個人情報の適切な取扱いを定めること。
改正個人情報保護法が自治体に適用される結果、地方議会は法の適用対象から除外されます。個人情報保護委員会のガイドライン4-1-1では、「地方公共団体の議会については、国会や裁判所が法による個人情報の取扱いに係る規律の対象となっていないこととの整合を図るため、基本的に地方公共団体の機関から除外され（法第2条第11項第2号）、法第5章が規定する行政機関等の個人情報の取扱いに係る義務等に関する規律の適用対象とされていないが、個人の権利利益の保護という観点からは、自律的な対応のもと個人情報の適切な取扱いが行われることが望ましい。」としています。なお地方公共団体の責務等を定める規定（法第2章）や個人情報の保護に関する施策等を定める規定（法第3章）、議会に対し目的外利用で提供する場合には、地方議会も法の対象に含まれるとなっています。
地方議会の条例の規定の内容について、ガイドラインはとくに制約をしておらず、自律的に対応するよう求めています。現行条例で議会を適用対象に含めるかは自治体により違いがありますが、個人の権利利益の保護のため自律的に個人情報の適切な取扱いを定めることが望ましいとのガイドラインを受けて、現行の条例の運用をふまえて条例を制定するなど、保護の水準が低下しないよう適切な取扱いを定めてください。

[13]行政機関等匿名加工情報の提供制度導入にあたっては、判断基準を審議会に諮問して作成し、提案内容を公表し、公益性について慎重に検討すること。
2021年の個人情報保護法改正で、自治体も事業者からの提案を受け住民情報を匿名加工し提供する制度が追加されましたが、附則により当面は都道府県と政令指定都市に提案の募集が義務づけされ、その他の市区町村が制度を行うかは任意となっています。
法改正の国会審議では、防衛省が基地騒音訴訟の原告名簿を匿名加工で提供可能な情報に入れていたことなどが問題になりました。個人が識別されるリスクを完全には排除できないなど住民情報の提供には不安があり、慎重に検討していくことが求められます。
4月28日に公表された「Ｑ＆Ａ（行政機関等編）」6-1-2では、提案の審査にあたり新たな産業の創出、活力ある経済社会や豊かな国民生活の実現に資するものであるかの判断基準を「審議会」に諮問することを認めています。
7

制度の導入にあたっては、提案審査の基準を「審議会」に諮問し作成するとともに、提案事業者名や加工情報の利用目的などを公表し、審査にあたっては公益性やプライバシー侵害の可能性などを慎重に検討するようにしてください。

[14]現行条例の個人情報保護の水準を低下させない条例とすること。国に対して個人情報保護法の見直しと個人情報保護委員会の運営の改善を求めること。
条例に委任されている開示請求等の手数料や、開示請求等の期間、不開示情報の範囲などは、現行の条例を下回らないよう規定してください。また有識者・住民による検討を受けて制定している独創的な規定については、その他の条例の規定と合わせて現行の個人情報保護の水準が低下しないようにしてください。
今回の条例「国基準化」は、自治体の条例を反映せずに国の法律を適用しています。
「全国に適用されるべき事項については、個人情報保護法令の見直しを検討すること」との国会附帯決議をふまえ、現行の保護水準が維持されるよう国に改善を求めてください。

※この要望事項の作成にあたっては、7月18日に開催された学習会で提起された森田明弁護士による資料や各地からの報告、先行して検討が進められている神奈川県、横浜市、名古屋市、京都市、世田谷区などの審議会資料を参考にさせていただきました。
２０２２年７月２９日
学習会「個人情報保護条例改悪にいかに抗するか」参加者有志［連絡先］原田 富弘
奥山 たえこ

せたがや市民講座（Ｅ-mail）tom-h★k7.dion.ne.jp

杉並区議会議員・無所属（Ｅ-mail）okuyama★suginami-kugikai.jp（添付ファイル不可）※（Ｅ-mail）は★を@に変えてください8