情報保護評価サブワーキンググループ
第３回議事録

内閣官房社会保障改革担当室
内閣官房情報通信技術（ＩＴ）担当室

1

情報保護評価サブワーキンググループ（第３回）

日

時：平成 23 年９月 30 日（金）14:00～16:00

場

所：合同庁舎４号館 12 階共用 1208 特別会議室

【出席者】
宇賀

克也

東京大学大学院法学政治学研究科教授

大谷和子

株式会社日本総合研究所法務部長

新保史生

慶應義塾大学総合政策学部准教授

玉井哲雄

東京大学大学院総合文化研究科教授

宮内

宏

弁護士

中村

秀一

内閣官房社会保障改革担当室長

向井治紀

内閣官房内閣審議官

奈良俊哉

内閣官房副長官補付参事官

篠原俊博

内閣官房社会保障改革担当室参事官

阿部知明

内閣官房社会保障改革担当室参事官

古橋浩史

内閣官房社会保障改革担当室参事官

井上知義

内閣官房情報通信技術担当室参事官

中村

裕一郎

内閣官房社会保障改革担当室企画官

水町雅子

内閣官房社会保障改革担当室参事官補佐

山本

長史

神奈川県情報公開課長

千葉英一

神奈川県情報公開課個人情報保護グループグループリーダー2【議事次第】
１．開

会

２．議

事

（１）地方自治体における情報保護評価類似の取扱いについて（２）神奈川県からのヒアリング（３）情報保護評価に関する論点について

３．閉会【配布資料】
資料１：地方自治体における情報保護評価類似の取扱いについて

資料２：神奈川県説明資料

資料３：情報保護評価に関する論点

参考資料１：情報保護評価の実施タイミングについての考え方
参考資料２：情報保護評価の必要性の判断（しきい値評価）基準（案）参考資料３：情報保護評価の実施の仕組み（案）参考資料４：情報保護評価（重点項目評価）報告書の記載様式項目（案）参考資料５：情報保護評価（全項目評価）報告書の記載様式項目（案）3【議事内容】（中村企画官）
それでは、定刻となりましたので、ただいまから「情報保護評価サブワーキンググルー
プ」の第３回会合を開催いたします。
お手元の資料の確認の方は省略をさせていただきますが、議事次第の紙に書いてあるとおりのものをお配りしているはずですので、もし 資料がない場合がありましたら、事務局の方へお知らせください。
また、席上のみですけれども、今日、神奈川県さんの方 から御説明を伺うことになっていますが、その資料の差し替えを急きょいただきましたので、それが１枚付いております。
なお、これは席上だけの配付になっておりますけれども、追ってホームページに掲載する
際は、こちらの資料に差し替えた形で掲載しますので、傍聴などの皆様方におかれましては、そのときに入手をしていただければと思います。
では、宇賀座長、本日の議事進行をよろしくお願いいたします。

（宇賀座長）
それでは、議論に入りたいと思います。
本日は、地方自治体におけるオンライン結合等の際の審議会への諮問及びその説明資料
が、情報保護評価の検討に参考になることから、まず、事務局から「地方自治体における情報保護評価類似の取扱いについて」を説明していただきます。
次に、本日は、神奈川県から、山本長史情報公開課長、千葉英一同課個人情報保護グル
ープグループリーダーにお越しいただいております。限られた 時間の中ではございますが、神奈川県の個人情報に関する取組みについてお聞かせいただきたいと思います。
そして最後に、情報保護評価に関する論点について、事務局から簡単に説明をしていた
だいた後に、構成員の皆様から御意見をいただきたいと思います。今回の議論によって、サブワーキンググループとしての意見をより明確にできればと考えております。
では、中村企画官、「地方自治体における情報保護評価類似の取扱いについて」、御説明をお願いします。

（中村企画官）
それでは、資料１をご 覧ください。情報保護評価の仕組みを考える上での参考材料ということで御提供を申し上げたいと思っております。
幾つかの地方自治体におきましては、コンピュータをほかのコンピュータと通信回線を用いて結合する、いわゆるオンライン結合等の際に、審議会の諮問を経なければならないといったこととしております。この場合には、この審議会におきましては、コンピュータ
処理の詳細やその必要性について担当課からの説明を受けて、個人情報保護の観点を中心とした審議が行われるということで理解をいたしております。

4

こうした過程での評価検証作業が実質上、このサブワーキンググループで議論を いただ
いております情報保護評価に類似する面があると考え たため、個人情報保護の取組みにおいて、先進的という評価が一般的にございます、神奈川県、川崎市、三鷹市といった 東京から近いところでありますが、こういった自治体の状況を、事務局におきまして調査をし、これをとりまとめて、議論の御参考にしていただくこととしたものです。
なお、蛇足でございますけれども、こういった自治体の事例からは 、いろんな議論が可能であろうとは思いますけれども、今回この場で特に着目しますのは、このサブワーキン
ググループの検討内容の範囲内ということで、あくまで評価検証作業をどのような形で行うのかという中身の問題について参考にしようということでありますので、お含みおきいただければ幸いです。
それでは、資料で順次、各自治体の状況を簡単に御説明いたします。
神奈川県ですが、実際に担当の方においでいただいておりますので、詳細はそちらに譲りたいと思いますが、ざっと申し上げますと、形の上では知事さんが諮問をするということでありますが、実務上は担当課さんの方から、情報公開、個人情報保護審議会というものがございまして、こちらへの諮問を行うとか、あるいは審議会への 報告が求められていて、これに対して審議会が意見を述べるという取扱いがされるものもございまして、条 例
上そういった事例を①～⑪というように掲げております。
その後に実際に条例の抜粋なども付けておりますが、特に①のいわゆるセンシティブ情報と言われるものや③の本人以外からの個人情報収集に関すること、それから、④の目的
外利用や提供、⑤のオンライン結合といったものに関しては、原則として、これを行うことはいけないということとしながら、これを解除する例外、場合によっては幾つかある例
外事項の一つであることもございますけれども、そういったものとして審議会の意見を聴いた上で、行うことを可能とする枠組みが設けられているということでございます。繰り返しですが、神奈川県の方から直接御説明をいただけると思っております。
７ページから、川崎市の例を挙げております。基本的なところは余り変わらないですけ
れども、こちらも実務上のことで言えば、担当課の方から情報公開運営審議会という 、名前は「情報公開」ですけれども、こちらの審議会への諮問等が必要な場合ということで、
この①～⑥を挙げております。
①、③、④、⑤といったものについては、先ほどと同じ ように、基本的にはできないとしつつ、これを解除する事由の一つとして 、意見を聴いて、できるといったような仕組みになっております。この諮問を行います際には、担当課の方で個人情報の取扱いを記載した資料を用意しておりまして、その事業の内容や必要性、システムの概要、個人情報の項
目、セキュリティ対策、保存期間、職員の取扱い上の責務といったものを記載するということになっております。
若干大きなところで申しますと、次のページですけれども、審議会におきましては 、学識者のほか、市民公募委員や地域の関係者など非常にさまざまな分 野の委員から構成され5

ておりまして、いろんな意見が出るような工夫をされているということで伺っております。
今、詳細に御説明はいたしませんけれども、別添１にこの審議会の概要のほか、実際に諮問を行った事例などを添付しておりますので、参照いただければと思います。
11 ページ、三鷹市の事例でございます。こちらでは担当課から、個人情報保護委員会 という個人情報のみ扱う委員会に、諮問等が必要な場合ということで、こちらも 10 項目ほど条例の方から引っ張っております。
①、④、⑤、⑥、⑧といったものについては、繰り返しですけれど も、原則できないとしつつ、委員会の意見を聞いて、できることもあるということにしておりますほか、特徴的なことといたしましては、⑩個人情報処理の外部委託についても諮問が必要であるということとされております。これは恐らくほかの自治体も同様であろうとは思いますけれど
も、こういったときに審議をする内容というのは、11 ページの②でございます。具体的に担当者の方がおっしゃっておりましたが、事業の是非ではなくて、あくまでも個人情報の取扱いが適切に行われるかどうかの観点から審議をするものということでございます。
その他、委員会の構成員について、広く市民委員からの公募などもかけることは、川崎市と同じような工夫をされているということでございます。別添２という形で、三鷹市さんからは委員会の概要のほか、広報誌でかなり個人上保護や情報公開の取組みについて広報をしているということでございますので、そういった例をいただいておりまして、掲載
しております。以上です。

（宇賀座長）
ありがとうございました。ただいま御説明のあった「自治体における情報保護評価類似の取扱いについて」に関しまして、御質問や御意見のある方は御発言ください。よろしいでしょうか。
それでは、次に、山本情報公開課長から、神奈川県情報公 開・個人情報審議会について御説明をお願いします。

（山本情報公開課長）
神奈川県庁の情報公開課長の山本でございます。よろしくお願いいたします。
それでは、お手元の資料２に従いまして、御説明をさせていただければと思います。冒頭、座長の方からは、オンライン結合についてということでございましたけれども、企画官の方からもありましたように、 第三者機関の関わり方の参考ということかとも思いますので、当県の個人情報保護条例に係る審議会あるいは審査会が制度上、 どういうふうな関
わり方になっていて、運用もどうなっているのかということを説明させていただければと思っております。
資料２を１枚おめくりいただきまして、ページは振っていないの ですけれども、ポンチ
絵が見開きで右左になるようなページがあろうかと思います。私どもの県の個人情報保護6

条例における審議会・審査会の機能・役割についてということで、関わりをざっと整理させていただております。これで全体のつくりを御説明させていただいて、個別運用しているとか扱いをしているというのは、別途、後ろの方の紙で説明をさせていただければと 思っております。
「１

個人情報の取扱いの例外」。先ほど中村企画官の方からも条文の御説明でありましたとおり、個々の条文に明記している事項以外の範囲の取扱いを行おうとするときには、事前に県の情報公開・個人情報保護審議会の意見を聞いて取扱いをする。こういうつくりになってございます。 正確には４つの項目がございまして、思想信条等取扱い制限の情報については、「あらかじめ」という単語がきつめに書いてあって、ほかのものは意見を聞いた上でということで尐し緩めの表現になっておりますが、いずれにしても、事前にこの審議会の意見を聞いた上で取扱いが可能になる。そういうことをしていないと、条文に明記したもの以外は扱えない。こういうつくりになっているということであります。
「２

個人情報取扱事務の登録」。県におきましては、それぞれの所属が個人情報を取り扱う際には、その事務を登録する仕組みになっておりまして、これは条 例上、義務づけられていて、きちんと施行されておりますが、その際には遅滞なく審議会に報告をし、意見をいただく。こういうチェック機能を果たすことになってございます。問題ありというよ
うな指摘をいただきますと、改善を行うというつく りになってございます。
「３

個人情報保護制度の改善に関する施策」。制度設計そのものをいじろうというとき、これはマストではないですけれども、審議会の意見を聞くことができるというような規定になってございます。
右のページに行きまして、「４審査会の調査権限」。これは審議会ではなくて、個別の案件に対する審査機関、不服審査に対する審査機関でございますけれども、実際の運用を転がしている際に何か問題がある、疑義があるというときには当然審査ということになる
わけですが、その際にはインカメラ審議の権限を条文上は規定して ございます。インカメラという単語ではないんですけれども、実質上、インカメラ審議をするということの規定はございまして、そういう機能も果たしているというようなつくりになってございます。
これまで４つは、主に県の実施機関がその情報を扱う際の審議会・審査会との関わりですけれども、県の仕事といたしましては、事業者の方々が個人情報を取り扱う際に、その登録制度や指針を示したりしているわけですが、そういう仕事をする際にも審議会の意見を聞いて、どういうことが適切かということの判断基準の材料にしているというつくりになってございます。全体がこういう流れになってございます。
具体的にどういうふうにしているかを順にお話しさせていただければと思います。１の取扱いの例外をどうするかということで、審議会の下に、類型諮問・答申、個別諮問・答申という単語があると思います。余り見慣れない単語だと思いますけれども、所属横断型
で、県庁全体で取り扱うものを「類型」と称しておりまして、所属単位でやるものを「個別」という単語にしてございます。具体的には、資料の 10 ページ以降に実際に諮問をし7

て、答申をいただいたものが実例として載っております。
10 ページは第６条の関係で取扱制限情報に関するもので、 10 ページの上の方にある番
号１～７と書いてあります。これが横断型でどこの所属でもあり得るだろうということで、
例えばいろんな相談を受ける業務を行う際には、当然に思想信条といった情報を扱うことがあるでしょうということで、それは当然その目的の範囲内では扱ってもいいものだろうという整理をしたということでございます。
10～12 ページが個別と整理 しているものでございまして、機関ごとにこういう事務が実際にあるのだけれども、その事務を扱う際にこういう情報を扱ってもよいだろうかと いうことを審議会に諮って、事前にそれを扱う際には、 こういう取扱いの注意が必要ではないかといったチェックを受けた上で取り扱う。こういうようなことを実際にやっているということであります。例えば 11 ページの 13 番、看護の関係の事務があって、患者さんのいろんな情報を扱うことについて問題ないですねという確認をしているというようなことであります。
資料の１～２ページに審議会の規則を付けさせていただいております。２ページをごらんいただきますと、附則がございまして「この規則は、22 年４月１日から施行する」となってございますが、その下に「次に掲げる規則は、廃止する」とあって、個人情報保護審
議会規則平成２年とあります。
実は神奈川県では、その上に昭和 58 年とありますように、情報公開制度は昭和 58 年から動いてございまして、個人情報保護の条 例が平成２年から動いているというつくりになってございます。個人情報の審議会につきましては、平成２年の段階で単独で個人情報保護審議会として動いていたものですけれども、制度的に両方とも尐し落ち着いてきたということで、情報公開の審議会と個人情報保護の審議会を合体する形で、平成 22 年度からは一本という格好になっているということでございます。
３ページにメンバーの方々の一覧が載ってございます。学識の先生方に加えまして、実際に情報を扱われる側の人とか、一般の方も含めた幅広い層の御参加をいただいている。
こういうつくりになってございます。
52 ページ、取扱事務の登録の関係でございます。こういう形で、個人情報の事務の登録簿を用意してございまして、どういう目的でどういう個人情報を扱うのかをチェックして登録する格好になってございまして、すべて県のホームページで公開という格好にしてございます。こういう内容につきまして、すべて審議会の方に提供させていただいて、何か問題がないのかということをほぼリアルタイムでチェックするというような仕組みでございます。
話が前後して恐縮ですが、先ほど個別の審査答申に関して、具体的な例を一つ御説明させていただきたいと思います。36 ページ以降に 10 ページほどつづってございます。細かくは後でごらんをいただければと思いますが、これはつい最近、臓器移植提供に関連して児童虐待の事実があるかどうかを児童相談所等に照会をかける。それぞれが回答すること

8

に際して、個人情報をどの範囲で扱うとルールするのが適当なのかに ついて、審議いただ
いたということの実例を載せさせていただいております。
37～38 ページが、児童相談所側が医療機関からの照会に対して、どういう情報をどういう格好で出すことが許されるのかということを諮問させていただいたものでございます。
38 ページの方の上から３分の１くらいのところに「対象となる個人の類型」とございまして、臓器提供の対象となる可能性のある児童、その当該児童の きょうだいが対象になっていて、その下に「目的外に利用・提供する個人情報の内容」ということで、その経過の有無と期間を回答しようということを諮問いたしまして、それでいいのではないかという答えになってございます。
ところが今度は医療機関の側からもう尐し違った諮問で出てまいります。46 ページをご覧いただきたいのですが、児童相談所から医療施設の長に対して、こういった虐待相談がありました、あるいはなかった、また、その期間はいつでしたということをお答えする。
こういう取扱いでいいのではないかということでお答えを いただいたということであります。
それに対しまして、48 ページ、今度は医療機関側です。こども医療センターというもの
が私どもの県下にあるのですが、そちらの 方から児童相談所あるいは警察等に対して虐待があったかどうかを確認したいの だということで諮問が上がってまいりました。そちらの方では 48 ページの中ほどにあります「本人以外から収集する個人情報の項目名」ということで、虐待とかネグレクトに関する情報とか、かなり幅広い感じで書いてございまして、「ただし、臓器提供に係る虐待の有無の判断に必要なものに限る」という格好になってございます。
実はこういうずれがございまして、そのことについて審議会の委員の方々から、ずれがあるのではないかという御指摘をいただいて、調整をするという ことになりまして、結論は 50～51 ページにございます。
50 ページの下の方で、児童相談所側では最初の情報提供は臓器提供に関する情報提供なので、これは審議会の意見を聞くということで整理するけれども、それ以降のやり取りは本来の児童虐待防止法に基づく手続なので、法令に 基づくものということで整理していいのではないかというお話だったの ですけれども、ある委員からそんなにクリアーに整理できるのですかというお話がございまして、それが 51 ページの意見でございます。
先ほ ど差 し替 えで お願 いし ます と言 って 置か せ てい ただ いた 紙を ご ら んい ただ きたい
のですけれども、一番下の２行が追加になってございます。審議会の委員の方からの御指摘で、紙の下の方に、単純にきれいに区別できるのかと。二面性があるのではないですかという御指摘をいただいて、結論は今後、全体的に再整理をするということになったわけです。こういう形で実例に沿って審議会とのやり取りをさせていただいて、運営も審議会の意見を踏まえて、より適切なものに変えている。こういうことをやっているということでございます。

9

54 ページ、最後に審査会の調査権限の根拠のところを御説明したいと思います。条 例第24 条のコピーをさせていただいておりまして、そこの規定の解釈ということで、中ほどで第１項関係ということで、本条は開示決定等に係る個人情報が記録された行政文書を実施
機関に提示させ、実際に当該行政文書を見て審議をする審査会の権限、いわゆるインカメ
ラ審議の権限等を定めたものだと。こういう運用解釈でやっておりまして、制度が動いている後においても、こういう第三者的なものを使って、より適切な 扱いにしようという運用をしているということでございます。
尐し雑ぱくな説明でございましたけれども、以上で説明を終わらせていただきま す。

（宇賀座長）
ありがとうございました。ただいまの御説明につきまして、御質問のある方は御発言ください。

（宮内委員）
御説明をありがとうございます。１点教えていただきたいことがございまして、質問させてください。
資料の８ページの資料２－５という様式がございます。こちらの資料によりますと、特に裏面辺りに行くと、こういった個人情報を守っていくための実際の仕組みについても 、結構書かれているように思います。この審議会は主に制度的な面、何をどうしたらいいかという面を議論しているように見えますけれども、今の御 説明はそうでしたが、ある意味
技術的といいますか、実現の方法についても結構審議されていると考えてよろしいのでしょうか。

（山本情報公開課長）
そのとおりでございまして、具体的な個別の案件につきまして、どういうチェックがな
されているのかを御審議いただくということでございます。ただ、具体的には相当膨大な件数になりますので、すべてのことをいちいち全部チェックしているのかということではないのですが、資料としてはすべてお出しをして、すべてごらんいただいた上で、御審議をいただいているということでございます。
先ほどの説明で１点漏れてしまったのですけれども、当方ではオンライン結合という場
合は、ホームページにオープンしているというだけでも 、オンライン結合という概念に入れておりますので、尐し幅広い感じで定義をして、運用してございます。

（宮内委員）
もう尐し教えていただきたいの ですけれども、先ほど御説明のあった実例の場合には、言わばオフラインで人間系で情報のやり取りをしていらしたと思いますが、言わばセンシ

10ティプ情報をオンラインでやり取りするような実例もございますでしょうか。

（山本情報公開課長）
センシティブ情報については、今、頭に思い浮かぶ限りではないと思います。

（宮内委員）
おおむね先ほどの資料２－５のようなチェックをするとしても、それは自分たちが持っているときにとどういう防御をするか。あとはそれの出入りということで、オンラインでのやり取りまでは、今のところはここではやっていないと考えてよろしいですか。審議した例がないと。
センシティブでない情報は、オンラインのやり取りはあるということですね。

（山本情報公開課長）
そうです。

（宮内委員）
非常にかたく防御をしなければいけないような情報のオンラインのやり取りは 、まだ今のところは生じていないということですか。

（山本情報公開課長）
はい。

（宇賀座長）
ほかにいかがでしょうか。よろしいでしょうか。どうもありがとうございました。
それでは、情報保護評価に関する論点についての議論に移りたいと思います。 これまでのサブワーキンググループの検討を踏まえた情報保護評価に関する論点を事務局から説明していただきます。
それでは、中村企画官、「情報保護評価に関する論点」の御説明をお願いします。

（中村企画官）では、資料３をご覧ください。今、座長の方からもお話がありました けれども、これまでのサブワーキンググループでの御議論を基に、記載内容の変更、充実を図りましたほか、若干新しい論点を提示させていただいているところもございます 。以下、前回資料で提出しておりました論点ペーパーとの変更点を中心に、御説明をしたいと思います。
３ページ「３

情報保護評価の評価対象・保護対象について」という論点がありまして、

この点について、前回、個人情報保護にとどまらないプライバシー保護とするという最初

11

の○のような考え方をお示ししたわけでございますけれども、そのプライバシーという概念の定義づけも難しいのではないか等々の御指摘をいただきましたので、改めて整理をしたものです。
基本的な考え方といたしましては、２番目の○以下です 。行政機関におきましては個人情報保護法令を遵守するというだけではなく、プライバシー侵害を行ってはならないという法的な義務がある。これは言ってみれば逆読みみたいな感じですけれども、侵害を行うと不法行為ということになって損害賠償、国で言えば国家賠償といった問題が生じるという意味において、義務を負っているということであります。
一方、行政というものは、いわゆる比例原則等の観点から、なる べくプライバシー侵害性の低い措置を取るべきということが考えられるところでありまして、こうした観点からしますと、情報やシステムの特性等さまざまな中で、法令を遵守するということのみでは、プライバシーに関する問題のすべてが解決されるわけではないだろうと思われるということで、プライバシー保護についても評価を行うという考え方を取ってはどうかということで、これはおおむね前回のとおりの考え方です。
こうしたことを言わば 、理念として掲げつつ、実際の情報保護評価の仕組みの中におきましては、報告書にどういうことを書くか。つまり 質問票の形で提案をさせていただいておりますので、御質問の仕方ということとなるわけですけれども、ここに個人情報保護法
令に基づいた質問に加えまして、プライバシー保護の観点から、これくらいのことは対応を考えないといけないと思われる ようなことの質問を設定して、答えさせるといったような仕組みにしてはどうかということであります。
４ページの方に行っていますけれども、これを言い換えますと、このことは紙には書いてございませんが、言ってみれば質問を適切に設定することによって、行政機関の方でそれに対する回答を検討するわけですが、その作業において個人情報への影響の分析評価が適切に行われると。そして、これに基づいて、その対象となるシステムについてプライバ
シーの観点から、どういう措置を取ったらいいのかという検討を、言ってみれば自然に行うことができるという仕掛けにしてはどうかと考えております。これによって 、プライバ
シーの保護という理念的なものを評価対象とはしながら、現実に運用可能 で、何をやるのかというのが行政機関からも国民からもわかるという仕組みとすることができるのではな
いかと考えた次第です。
「（ご参考）」でプライバシーの保護を考えたときに、単なる法令順守と具体的に違いが生じる例というのを尐し考えてみておりまして、最初のベスト追求型を取るというのは前回のとおりですが、その次の○からの例として、既存の法令で例えば個人情報ファイルという一定のまとまったものの中で利用目的が特定され、公表されるというようなことは実際に義務としてあるわけであります。
しかし、例えばその個人情報ファイルの中に入っているような特定の項目とか特定の種類の情報がなぜ必要であるのか。具体的にどのような目的に利用されるのかといったよう12

なところまでは、法律上は本人に通知したり公表したりするような義務はないということですが、国民のプライバシー上の懸念に応えようとすれば、実際に具体的にどういう情報を持っていて取り扱われているのかが大事な点であるので、この点に着目した質問を設けて、情報保護評価報告書に記載されるといったようなことが考えられるのではないかということを４～５ページにかけて記載いたしおります。
５～６ページ「第３情報保護評価の対象に関する論点」です。大綱におきまして対象とするものは、番号に 係る個人情報を取り扱うシステムと記述をされております。番号に係る個人情報の生成、収集、保持または利用等を行うシステムが対象であるというのです
けれども、システムという言葉がどのようなものを指すのかは必ずしも明らかではないのではないかということで、６ページに簡単な絵を載 せております。
狭く考えますと、この番号に関わる個人情報を取り扱うシステムと書いてあるこの部分だけがシステムともとらえられますけれども、全体を見たときには何らかの制度政策があって、執行段階での実現の手法として、今、申し上げたいわゆるシステムのほかに手作業
でいろいろやっているといったようなものも想定される。こういうもの全体について もシステムだと言えばシステムでございますので、この範囲の中でどれほどのものを対象と考えるべきなのかはここで挙げさせていただいた論点であります。
５ページに戻っていただいて、２つ目の○です。このうち手作業処理については、通常
いわゆるシステム処理といったものに比べると、プライバシーに与える影響は大きくないのではないかと思われますので、対象外としても差し支えないのではないかと事務局では考えております。
他方、今度は制度、施策という大きなところであります 。実はこれに関しては、そもそもどういう制度にしていくのかというところから評価をすべきという考え方もあると承知をしておりますので、一応ここも挙げさせていただいております 。
尐なくとも現時点でここで検討しております情報保護評価は、具体的な業務の流れの中
で個人情報が適切に取り扱われているかどうかを確認するために行うということで考えていますので、そうであるならば、制度施策自体の段階で評価を実施しても、そもそも制度の詳細自体もまだ定まり切っていない状況で行うことになるかと思いますので、漠然とした評価としかならないおそれがあるということの上に、特に法令予算といったものが絡ん
でまいりますと、その仕組みというのは国会において議論されることが十分想定されるということで、そこは個別のシステムとは次元が違う部分があるのではないかと考えられます。
ただ、その一方で、そもそも制度施策の段階から評価を行っておくというのは、広く悪影響を事前に検討、軽減することが可能になるとも考えられますので、この点は先生方から御意見があれば、賜りたいと考えております。
「第４情報保護評価のガイドラインに関する論点」は、余り大きな変更は ありません。

８ページ「第５

情報保護評価の実施の仕組みに関する論点」では、新しい話として「１13

実施の時期について」をどう考えるかということを挙げております。大綱におきましては、番号に係る個人情報を取り扱うシステムを開発または改修する前に実施すると記載されておりますが、どれぐらい前かということに関しては触れられていないわけであります。
そこで参考資料１をごらんいただきたいのですが、予算を想定いたしまして、各府省で概算要求をとりまとめてから要求を行って、政府案が閣議決定されて、国会審議で成立。
その後、これは情報システムを想定していますけれども、要件定義という作業を行って、入札、契約、実際の設計開発という流れを書いていますが、大体これを３つの段階に分けることができるのではないかと考えました。
１つは、予算の検討調整、国会審議といった段階から要件定義の作業を行って、ここまでの段階。それから、要件定義が行われて、ある程度どういうシステムなのかというのが具体的に固まってきた段階。３番は契約をした後という大きな３つの段階を考えてみたのですけれども、これについて、どういったメリット、デメリットのようなことがあるか を下の表に記載しております。
ざっくり申し上げれば、早めに評価をやれば、その評価の結果を事 業内容に反映させやすいということが言えるかと思いますけれども、逆にそのシステムの具体性という面から言うと、余り早くやっても、そもそも詳細が固まっていないので、抽象的な評価しかできない可能性があるというデメリットがありましょうし、逆に遅くやる場合には、今、申し上げたメリット、デメリットが逆になるということだろうと考えております。
その上で、これでどうするのかということですけれども、事務局といたしましては、こういったメリットやデメリットのようなものの表れ方は、かなりシステムごとに千差万別で異なってくるものだとも思いますので、基本的には各実施機関で最も適切な時期を総合的に判断していただくというのがよろしいのではないととりあえず考えておりますが、御議論をいただければと思います。
「２

情報保護評価の実施の仕組みについて」。この部分については、前回 、情報保護評価を行う必要度に応じてメリハリを付けた仕組みということを提案させていただきまし
たけれども、これをもう尐し詳細に考えてみたものを御提案しますので、御議論をお願いしたいと思います。
具体的には、必要性の判断の仕方ですけれども、 しきい値評価と前回も申し上げましたが、これをやるということですが、参考資料２ということで実際にこんなやり方をしてはどうだろうかというものをお付けしております。簡単に御説明しますと、そもそも最初に概要という欄でチェックマークが付いておりますけれども、マイナンバーを取り扱うとか
情報連携基盤を利用するかどうかといったことをまず確認した上で、幾つかの質問項目がありまして、こういったものを答えていくことによって、フローチャート的に対象外、中程度の必要性、高度の必要性というものが判定されるといった仕組みを想定しています。
１つ目の質問は、対象者が行政機関などの 職員のみかどうかということでありまして、
こういった情報については、言わば被用者と使用者の関係の内部的な情報であって、その14

存在や利用方法も一般的には当事者たる職員にはよく知られているということであるので、必ずしも義務づけてまでさせる必要もないのではないかと考えたものです。
ただ、論点ということで２つほど掲げておりますのが、職員本人の被扶養者ですとか、遺族に関する情報というものも含まれていると思われますので、こういったものをどのように考えるべきかということですが、こういった情報についても、その存在や取扱いについて、ある程度は職員についてわかるということに関しては、本人の情報 とそれほど次元が違うものではないと思われますし、そういうことから現に行政機関個人情報保護法においても、こういった被扶養者などの情報が含まれている場合でも事前通知などの対象外となっているということでありますので、同じように考えてもよろしいのではないかと思っております。
もう一つの論点として、ここで特に行政機関を想定しているわけですが、国家公務員共済組合とか地方公務員共済組合といった職域で福利厚生の関係の法人組織ができている場
合をどう考えるべきかということですけれども、この加入者というのは共済組合自体の職員ということではないわけでありますが、実態的な関係から見ますと、その職域単位で設立をされて、そこの人たちが入っているということですとか、あるいは特に公務員でありますので、実際に共済組合でどういう情報を持って取り扱われているのかは、本来の職員としての情報と同じように、知る ことが期待でき、職員の情報と同じように考えても差し支えないといった考え方もできるかと思っておりますが、この点は御意見があれば伺いた
いと思います。
２番目の質問は、情報連携基盤の接続のル ールというものが恐らくできるだろうということで、それを前提とした質問で、そういったものにのっとっていない特別な方式を取るのであれば、この後の質問がどうであろうと、全項目評価をやるべきではないかという考え方です。
その他、質問３で、大事故が過去にあったかというようなことを書いております。
質問４、質問５は人数の問題でありまして、質問４はその個人情報を取り扱う人たちがどれぐらいいるのか。質問５はそこで取り扱われる情報に関わる人の数はどれくらいかということを聞きまして、御想像のとおりかと思いますけれども、数が多い ほど必要度は高いという考え方を取っております。
最後に、これに基づいて、行政上の処分行為を行うのかといった質問を設けておりまして、これは言ってみれば御提案でございますので、全体として御意見をいただければ幸いであります。
ちなみに５ページ以降、御参考ということで今の質問票を実際のシステムに当てはめてみたものであります。その当てはめの対象ですけれども、第１回の資料で１枚めくっていただきますと、そこからずっと付いている のですが、情報保護評価の対象となり得る機関とそのシステムを掲げさせていただいています。
２ページ以降に、実際に事務局の 者がヒアリングを行って、そのシステムの詳細をとり

15

まとめることができたものが 56 並んでおりまして、こういった具体的なデータがあるものについて、一定の仮定を置いてやってみましたところ、５ページのところに数字がありますように、対象外が７で、情報保護評価 の必要性が中程度というのが３で、必要性が高
いものが 46 ということになりまして、きちんとした評価をやるというものがかなり多い
結果になっています。
これは事情もございまして、あくまで事務局の方で取り急ぎ個別にヒアリングを行うことができた機関でございますので、当然、全国レベルの組織であるなどの理由で、もともと関係者の数が大きいようなシステムになっておりますので、恐らくこういう結果が出たのだろうと思います。
現に、これもすべてを網羅できておりませんけれども、そのほかにもある程度の団体について、別紙２の「情報保護評価の対象となり得る機関の加入者数等 」ということで、詳細までは調べるに至らないのですけれども、この加入者などの数を、これもざっと調べられる範囲で調べてみましたところ、先ほどの考え方でやってみた場合に、この対象人数というところで、重要度が高いというのではなくて、中程度というところに該当すると思われる例がかなり出てきております 。したがって、実際には、すべての評価をきちんとやるというものが割合的に山のように出てくる基準ではないだろうと考えているところであります。
それでは、論点の資料３に戻っていただきまして、こういった形で必要性の判断をした
後、その必要性に応じてどうやっていくかということについてですが、参考資料３の方も適宜ごらんいただきながら、お聞きいただければと思います。
10 ページで、対象外となったというものについては、対象外ということですので、情報保護評価はそれ以上は基本的にしないという考え方にしております。実際にこの質問票も、
簡単に事実を答えるだけで弾き出されるものになっていますので、国民の意見を聞くとか
第三者機関の審査をするとか、そういったことも特段必要はないのではないかと思います。
ただ、そういうしきい値評価をやって対象外としたという、そのことについては公開をしたらどうかということもございますので、この点については御意見をいただければ幸いであります。
次に、必要性が高くない、中程度であると評価されたものについては、前回は しきい値
評価をやると簡単に評価もできるというような形でつくるという御提案にしておりました
けれども、ここはやや軌道修正をいたしまして、「重点項目評価」ということで、言わば簡易な評価というものをやることにしてはどうだろうかということであります。
この簡易な重点項目評価については、各機関はいわゆるパブリック・コメントなどの手法で広く国民の意見を求めることを自らの判断でやるというようにしてはどうか。また、第三者機関の方では、重点評価に対して、すべてではないけれども、何らかの手法でサンプリングを行って、幾つかのものは評価をするといったことにして 、最後に重点項目評価とその前提となるしきい値評価をやったということの公開は、すべてやるという案を考え

16

ましたので、特にこの参考資料３で△と書いてあるところについては、御議論をいただけ
れば幸いであります。
最後に、必要性が高いとされたものにつきましては、当然自らがきちんとした情報保護
評価をやって、第三者機関の審査もすべてやって公開もするということでありますけれど
も、この国民の意見を 聴くことに関して、一つの考え方としては、第三者機関が専門的な見地からチェックをするので、例えば必要性が高いものと同じように裁量でやれ ばいいという考え方もあるかと思いますが、プライバシー保護のことを考える必要性が高いシステ
ムなのであれば、全件国民の意見を聞いた方がいいとも考えられると思いますので、この点についても御議論をいただければ幸いであります。
その他、細かい部分で前回から変更している部分もございますが、基本的な発想を変えてはおりませんので、質問等がありましたらお答えしたいと存じます。以上です。

（宇賀座長）
ありがとうございました。
それでは、議論に移りたいと思います。 今回は主に資料３の「第３象に関する論点」、「第５情報保護評価の対

情報保護評価の実施の仕組みに関する論点」のうちの実施の時

期、必要性の判断（しきい値評価）基準、情報保護評価（重点項目評価）報告書の記載事
項、情報保護評価（全項目評価）報告書の記載事項、国民の意見聴取の在り方について議論をしていただければと考えております。
特に、情報保護評価（全項目評価）報告書の記載事項は、情報保護評価の主となる部分
であることから、活発な御意見をいただければと思います。
そこで、まず資料３の８ページにございます「第５情報保護評価の実施の仕組みに関する論点」について、御意見を伺いたいと思います。いかがでしょうか。

（新保委員）
第３の部分で、５ページからの手作業処理とか制度、施策に関する部分については後ほどということでしょうか。

（宇賀座長）
これは後で議論いたします。

（玉井座長代理）実施時期について整理していただいて、考える基準になると思いますけれども、常識的に考えると一番適切なのは、真ん中の要件定義の段階。つまり、それより前ですと余りに漠然としているし、その後の基本設計、詳細設計に入ってしまってからでは、手戻りのことも書いてありましたけれども、詳細過ぎて手間も大変だと いう気がいたします。

17しかし、システムによって、あるいは機関によって、その判断が変わる違いが出るということも考えられますけれども、一方で、各機関で実施時期を考えてほしいと言われると、実施機関側では困るのではないか。ある程度、こういうものならばこういうだという基準を示した方が、いいのではないかと思っております。ただ、標準的には、私の考えるところでは、要件定義ができた段階でと感じております。以上です。

（宇賀座長）
ありがとうございました。今の論点についてはいかがでしょうか。ほかに御意見はございますか。

（宮内委員）
基本的に今の意見には賛成です。要件的段階というのがよろしいかと思います。若干内
容について考えてみますと、ここでやる評価は大きく分けると２つの側面があると思います。
１つは、事業や業務そのものといいますか、どういう事業なのか。どういう情報を保有して、どう使うか、どう提供するかという側面が一方でございます。
もう一方で、これをどのように実現するか。つまり、どのように守るかということです。
組織面や手続面もありますが、システム面あるいは技術面といった側面もございます。そうしますと、第１の何を保有するか、どう使うかという面は、明らかにこれは業務分析、
要件定義というところで一応終わっているはずの作業でございます。その一方で 、どう守るか、どのように実現するかというのは、言ってみるとソフトウェア設計のあらゆる局面
で、いろいろな粒度でこれを行って、だんだん細かくしていくということなので、これをどこでやるかを考えるというのは、どこまでの決まった情報をレポートに書くか。こういったことを相関して考えなければならないと考えます。
私の意見としましては、技術面、例えば認証はどうなっているかとか、そういうのが出てくると思いますけれども、そういうのは他の規格や標準あるいは規定を、ここに従っていくという記述をしていくというレベルで考えれば、多分その要件 定義段階でも非機能要件というんですか。その一環としてできるのではないかと考えています。こういう中には、
例えば政府のいわゆる統一管理基準、統一技術基準というものがございますけれども、こ
ういうものを引用する形で記述できるような方法を取れば、この段階でかなり可能になるのではないかと思います。以上です。

（宇賀座長）
ありがとうございました。今の実 施の時期の論点について、ほかに御意見はございます
でしょうか。

18

（大谷委員）先ほど宮内先生がおっしゃったような、守るための評価をするといったときには、ある程度、要件定義が明確になっていた方が対応がしやすいというのも実際のところです 。
その上で場合に予算執行の前後ということで考えますと、要件定義が決まった後で、新たな追加でのシステムを導入したり、あるいは機能を一部変更させたり するには、通常は予算的な措置を改めて講じなければいけないことも考えられますが、それを予算執行段階ということであるにもかかわらず、その予 算に対してもう一度働きかけるという形で、つまり実現可能な形の持っていくことが実際にどの程度可能なのかについて、 疑問を持っております。国の予算の立て方とかが頭に入っていないこともありまして、それが大丈夫なのであれば、時期的には要件定義の段階というのが常識だとは思っております。

（宇賀座長）
では今の点につきまして、事務局の方からお答えいただけますでしょうか。

（向井審議官）
通常、予算の段階では、積算そのものは一応ありますが、予算決定の段階においても、積算はかなりアバウトでございます。尐なくとも予算決定の 段階で何らかの評価をするのは、やや無理があるのかなと。
その中である程度大きな、特に詳細な評価をするような案件は、通常、単年度ではなかなかできずに、最初の１年目は例えば基本設計とか、次の年に実施設計みたいなイメージになろうかと思いますので、そういう意味では 情報保護評価をし、システム設計を修正したからといって、情報保護評価を実施した年に、追加的に大がかりなお金がかかることは余り想定できないかと思います。
積算そのものが尐しの金額であれば、基本設計などはある意味何とでもなるようなところもありますので、そういう意味では要件定義の段階で評価をしたとしても、予算執行上
それほど支障が生じるようなことはないのかなという気がいたします。特に１年で終わる
ような小さなものだと 、逆に情報保護・評価そのものの必要性が余り薄れてくるような案件が多くなのではないかという気がいたします。
そういうことを考えると、現実問題として、要件定義の段階ということで構わないと思いますが、特に比較的小さな１年で終わるような改修とかそういうもので、かつ具体的な改修がわかっているようなものは、逆に言うと予算決定前にやることも考えられるのではないか。そうしないと今度は逆に、今おっしゃったような問題が起こる可能性があるものも尐しはあるかもしれませんので、そういうものについては、むしろ各省の判断であらか
じめやることも考えられるのかなという気がいたします。そういう意味では、おっしゃる
ような何らかの基準づくりが必要なのかもしれません。

19

（宇賀座長）ありがとうございました。大谷委員、いかがですか。

（大谷委員）
ありがとうございます。御説明いただいたとおりなのであれば、事務局原案にあるような実施機関で実施時期について、そのシステムの規模とか、そういったものに応 じて判断するということを原則としつつ、ただ、やはりガイドとなる時期をガイドライン等で示すことが必要になると思います。要件定義の時期が望ましいと いうことを原則としつつ、そうでない場合には、何らかの理由がある場合に限るとか、そういうように重みづけをするということが望ましいかと思います。

（宇賀座長）
どうぞ。

（新保委員）
今回 の番 号制 度そ のも のが 手続 的に は非 常に 早 急に 取り 組ま なけ れば なら ない 点であるということと、第三者機関の設置を前に、そもそも情報保護評価を実施するという手順になっておりますので、今回の手 続はイレギュラーな手続かと思います。この点につきまして、現実的な解としては要件定義をもってということで、今後も おそらく同様の情報保護評価は、配布資料に記載の通りの同様のタイミングで行うことになると思います。
ただし、諸外国の例を若干参考にいたしますと、過去に例えば米国の場合には Terrorism
Information Awareness（TIA）というシステムについては、プライバシーへの侵襲度が極めて高いということで、予算案の提出後、議会の上下両院合同委員会 において、その予算案 を 認 め な い 決 定 は な さ れ て 計 画 が 中 心 に な っ た も の も ご ざ い ま す 。 ま た 、 CAPPS Ⅱ（Computer Assisted Passenger Prescreening System ）という国土安全保障省（DHS）
内の運輸保安局（TSA）による「搭乗者事前自動識別システム」の ように、飛行機の搭乗前に自動的に登場する対象人物の危険度を識別するというシステムも同様 です。
よって、過去に諸外国においても、今回は番号制度そのものを取りやめるということは当然想定されないわけですけれども、そのように極めてプライバシーへの影響度が高 く、プライバシー侵襲度が高いシステムが、予算案が提出された後に要件定義をもって、結果的に情報保護評価を行った結果、その際に 前述のような判断が出た場合には、結果的に当該計画を取りやめるということも想定されます ので、タイミングについては今回は現実的な解として、このようなタイミングで問題はないと思います 。なお、将来的にはそのようなことも想定されるということを一応ご参考までに申し上げておきたいと思います。

（宇賀座長）

20ありがとうございました。ほかによろしいでしょうか。どうぞ。

（玉井座長代理）
関連して尐し気になっていることがあるのですが、仮に例えば要件定義の段階でこの評価をしたとして、その後、例えばここには基本設計と書いてありますけれども、その後の段階になって変更が出てきたとか、あるいは変更がないまでも、最初の事前評価で決めたことが、きちんとその後のもうちょっと具体化している段階で守られているかというかというチェックですね。そういう追跡というものが全体の流れの中では明示されていないと思うのです。それは事前評価というものの基本的な性質なのかもしれません。あるいはどこにどう入れればいいか。
例えば第三者機関がそういう点について、報告書の内容がきちんと守られているかどうかをチェックするということまで責任の範囲に入るかというと、また手間のかかる問題になるかもしれませんけれども、尐なくとも評価報告書の中で、その後これをどういうふうにチェックしていくかという項目を、質問項目のようなものでも入れておくのはどうかと感じております。

（宇賀座長）
ありがとうございました。
そうしますと、この実施の時期につきましては、今の皆様方の御意見を踏まえますと、
標準的にはこの要件定義の段階であるけれども、個別に場合によっては①の段階からやるものが必要な場合もある。そこはそれぞれの事案に応じてということになりますけれども、基本的には要件定義の段階という整理でよろしいかと思います。
今、玉井先生から御指摘をいただきましたのは、フォローアップの問題ですね。これは確かに明確には出ていないですが、そこはいかがでしょうか。

（水町補佐）
玉井先生の御指摘のとおり、フォローアップの点は大変重要だと思いますが、現在の質問票ではそういった記載がございませんので、次回までに検討して追加しておきたいと思っております。

（宇賀座長）
ありがとうございました。それでは、第５の「２情報保護評価の実施の仕組みについて」に入りたいと思います。こちらのところにつきまして、御意見はございますでしょうか。

（中村企画官）21

失礼します。先ほどの説明で漏らしたところがございましたので、補足させていただきます。
重点項目と正式の情報保護評価と両方をそれぞれ行うということにいたしておりましたが、それぞれそのための質問評価報告書の案を参考資料４と５という形でお付けをしておりまして、基本的に参考資料５は前回お示ししたものをもう尐しきれいに整理してみたものということでありまして、これを基に特に基本 的な項目について評価をしていただくのが重点項目評価だという形で、全項目評価から落とした項目 が多くなっておりますが、それがわかるように、いわゆる見え消しの形でお示ししたのが参考資料４ということになっております。
参考資料５ですけれども、先ほどプライバシーの問題のところで申し上げたように、これで答えていくとプライバシー保護の観点からの評価を行ったことになるというようなことにしたらどうかと考えておりますので、そういう観点からこの質問票を見て、御意見をいただけると幸いであります。

（宇賀座長）
わかりました。いかがでしょうか。

（新保委員）
この「（２）必要性の判断」と「（３）必要性に応じた仕組み」を分けてお話をした方がよろしいでしょうか。それとも一遍にお話してしまってよろしいでしょうか。

（宇賀座長）
一緒で結構です。

（新保委員）
では、９ページの「（２）必要性の判断」、しきい値評価について、まず１点ございます。
「しきい値評価」を行うことは当然必要になってくると思いますので、各国におきましても、まずはしきい値評価を行って、本当に情報保護評価を実施すべきかどうかを判断することは不可欠であると考えられています。しかし、このしきい値をどのように設定するかによって、具体的に対象になる又は対象にならないシステムが出てくるわけでありますけ
れども、問題は対象外となった場合と必要性が高くないと判断されて、重点項目評価を行うという場合に、果たしてその評価、その判断が適切であったかどうかをどのように確認するのかという点にあるかと思います。
例えば既にこの点について評価を行っているものとしては、住民基本台帳ネットワークに係る地方公共団体の評価が行われているわけで す。自治体が実施しているこの評価項目については、既にその対策が実施されている場合はもとより、現時点において実施されて

22

いなくても今後実施することになっていれば、実施している場合と同様に判断する仕組みになっています。
この点について、すべての項目を例えば第三者機関が確認することは不可能であります。
また、主観的にその評価を行ったことについては、それを主観的に評価することも不適切であると考えられます 。そうなりますと、先ほど自治体の取組みといたしまして、オンラ
イン結合に係る場合に、審査会・審議会がその際に関与をするという仕組みの御紹介があったわけでありますけれども、例えばこのような仕組みと連動して、条令における個人情報保護審議会・審査会等の判断において、結果的にこの しきい値評価において、対象外または必要性が高くないと判断されたものについて、審議会が関与することも案として一つあるのではないかと思っております。
これがまず１点目でありますけれども、ここで一度区切った方がよろしいですね。

（宇賀座長）
今、しきい値評価との関連で御意見をいただきました。こうした形で分類すること自身は妥当であるけれども、分類そのものが適切に行われているかどうかについて、何らかのチェックの仕組みが必要だろうという御意見です。
それについて、ほかの委員の方はいかがでしょうか。

（玉井座長代理）
ただ、今日の参考資料２で出ている案ですと、かなり機械的。例えば取り扱う人の数とか対象になる人の数、それ以前にこのナンバーシステムを扱うかどうかが基本的な ふるいになっていますけれども、多分意図としては主観的なものが入らないで、非常に単純と言えば単純な基準で、しきい値を決めようということなのではないかと思いますが、どうでしょうか。

（水町補佐）
事務局といたしましては、玉井先生の御指摘のとおり、参考資料２の しきい値評価基準
は、簡単に評価できるような、質問に答えるところで迷わないような質問としております。

（宇賀座長）
ほかにいかがでしょうか。10 ページに書いてありますしきい値評価報告書を公開すべきかということですけれども、これは公開するべきということですね。

（新保委員）
はい。しきい値評価については、これは定量的 かつ形式的な確認が可能かと思いますので、公開しても差し支えはないかと思います。

23

（玉井座長代理）
今のしきい値評価に関連して、細かい話ですけれども、11 ページに、必要性が高くない
ものに関しては、サンプリングチェックを行うという案が載っております。私の理解は、
サンプリングは評価報告書が出されて、それのうちの幾つかをサンプルして、第三者機関が評価をすると思いましたけれども、ここ でしきい値で出たことと、後で齟齬がないかというチェックについて 書いてあるということは、このサンプリングをするのは報告書が出てからではなくて、しきい値評価の段階でやるというふうにも読める のですが、その辺は事務局の意図を伺いたいと思います。

（水町補佐）
わかりにくい記述となっておりまして、申し訳ございません。サンプリングチェックにつきましては、重点項目評価を実施した後に、重点項目評価報告書を各機関の方で作成いたします。第三者機関の方でその中から幾つかの報告書を選んで、サンプリングチェックするというふうに考えております。
11 ページ目の「また」以下の段落につきましては、サンプリングチェックから外れた 重
点項目評価報告書、つまり第三者機関がチェックしない重点項目評価報告書につきまして
も、報告書が出たオンタイムでは第三者機関は審査をしないものの、そういったものについても何らかの問題か後で発生した際に、重点項目評価報告書を見ていくことで、問題の解決の糸口となるのではないかという記載としております。

（玉井座長代理）
そうしますと、ここに書いてある 何らかの問題というのは、例えばどんなようなことが想定されているのですか。

（水町補佐）
例えば、漏洩事故等が起こったり、具体的な問題が発生した際に第三者機関が一般的な立入調査権限等に基づいて、調査を行っていくかと思いますけれども、その際に立入調査をして、すべてを網羅的に調査するという前に、まずこの重点項目評価 報告書を確認することで、機関のプライバシーに対する考え方や 、そのシステムがどうなっていてどういう
プライバシー保護の取扱いがなされているかを確認するために、この重点項目 評価報告書
が有効な手段になるのではないかという意図でございます。

（玉井座長代理）
意味がわかりました。

（宇賀座長）

24

ほかにいかがでしょうか。

（宮内委員）
この質問４と５につきましては、実は４が先にあって、その結果で５をやるかどうか 決
まっているとなっておりますが、実際にはこの２つの質問の内容は、マトリクス的に考えるべきではないかと私は思います。
特に今の人数が適当かどうかという論点は勿論あろうかと思いますけれども、例えば現在の枠組みでいくとしますと、対象人数が 1,000 人未満のときには、取扱職員が 1 万人以
上かどうかで、対象外と全項目と分かれてしまうのは必ずしも適当ではないかもしれないと思うようなところがまずございまして、ここはマトリクスでもう尐し分析していく必要があるかなと思っています。
ただ、現在はまだ全項目といっても、その全項目が何か、重点項目は何かというのは固まっていない状態ですので、そちらが固まった段階でもう一回マトリクスで見て、どういう内容が適当かをもう一回見直す必要があるのかなと考えております。

（宇賀座長）
ありがとうございました。ほかにいかがでしょうか。どうぞ。

（新保委員）
ただ今の宮内委員の御指摘に全く同感でありまして、後ほどお話ししようと思っていた
点ですけれども、この しきい値評価の参考資料２の項目については、これでそもそもよいかということについては、本日の検討会で結論は恐らく出ないと思われますので、とりわけ各項目について、精査が必要と思う点だけ意見を述べさせていただきます。
今、御指摘のあった数値でありますけれども、質問４の職員外部委託先第三者提供の人
数が１万人以上であれば、情報保護評価全項目を実施するという 一方で、対象人数が例えば 1,000 人未満であれば対象外とするということについて、現行では個人情報保護法では5,000 という数字があって、行政機関個人情報保護法では 1,000 という数字がありますので、この点の整合性が取れていないことからも、どこ にしきい値を設定するかということが問題になるわけであります。
1 つ例を申し上げますと、今回の情報保護評価はプライバシーという観点からの評価を行うという観点からしますと、例えば 1,000 人未満の自治体で全住民が対象となる情報シ
ステムがある場合には、この基準では対象外になりますが、これは当然プライバシーへの影響があると考えられる場合もあるわけであります。ですから、必ずしも対象人数が 1,000
人未満であれば、対象外という一律にしきい値評価で区切ってよいかということについては、今後検討が必要と思われます。

25

（宇賀座長）ありがとうございました。ほかにいかがでしょうか。
私の方で１点、国民の意見のところについて意見を述べさせていただきます。参考資料
３です。対象外はこういうことで結構だと思いますし、必要性が高くないものもこういうことで結構だと思いますけれども、必要性が高いものについ て、第三者機関の審査が全件行われるわけですが、これのみでいいのかどうかという辺りは議論の必要があるのかなと考えております。
勿論、第三者機関に専門家が入っているわけですけれども、専門家と言っても人数も限られているわけで、そこですべての問題について、専門的な知見が網羅されているとは必ずしも言い切れない面もあって、本当の専門的知見が 第三者機関の外にあるということも考えられます。そういう専門的知見が国民の意見という形で、パブリック・コメント手続をしたときに出てくるということがあると思います。
ほかの分野を見ていますと、確かに審議会等の第三者機関で審議をして、そこでかなり濃密な議論が行われて、パブリック・コメントをしても、それよりも深い意見が出てこな
いことが尐なくないというのも事実ですけれども、幾つかの事例では、むしろ審議会等では出なかったような深い意見がパブリック・コメントで出てきて います。実際に、専門的な意見についてもそういうことがありますので、第三者機関ですべての専門的な観点が網羅されると考えるのではなくて、やはりそこから抜け落ちてしまうような視点、あるいは論点があり得て、そこを補充するものとしての国民の意見を聞くことは意味があるのではないかと思いますので、必要性が高いものについては、基本的にはそれを行う方向も考えられるのではないかとも思っております。この辺りは御意見をいただければと思いますが、いかがでしょうか。

（新保委員）
この点については、既に何度か議論になっている面として、安全保障であるとか情報セ
キュリティの観点から、必ずしもすべて明らかにして、パブリック・コメントに付すことが適さないものも当然あるという意見もございましたので、こちらについては適宜、前回申し上げた点からは第三者機関が専門的な判断ができ るので、必ずしもパブリック・コメ
ントは必要ではないと私は考えておりますけれども、この点については 、その点も踏まえて適宜行うということでよいのではないかと思っております。

（宇賀座長）
そうですね。非常に高度のセキュリティに関わるようなものであって、そこ については公表してパブリック・コメントを求めることはできない場合があるというのは、おっしゃ
るとおりです。パブリック・コメントということになりますと、そういった部分は除いた形でということにならざるを得ませんね。それは私もそのとおり と考えていますので、そ26

ういう部分は除いた形にならざるを得ないのですが、第三者機関では抜け落ちてしまったような視点がパブリック・コメントで補充されることもあり得るので、特に必要性が高い
ものについては、パブリック・コメントの意義があるのではないかということです。基本的な考え方は余り相違はないと思いますが、ほかにいかがでしょうか。

（宮内委員）
安全保障が関わるシステム等で、全部の情報を出すべきではないかとい うのは、そのとおりだと思います。ただ、システム情報セキュリティ に関する項目でしたら、どこまで見せるかによって、見せていい情報はたくさんあるわけです。どういったことをどうやって守っていくかという大枠の部分は、国民の関心のあるところではあると思います。
必ずしも情報セキュリティだから出さないという意味ではなくて、出せる部分はあると思いますので、全部出すわけではなくて、考えていくこと自体は賛成ですけれども、セキ
ュリティに関わる部分は出さないというのは、必ずしもそういう意味ではなくて、そこは取捨選択していく必要があるかと思います。

（宇賀座長）
おっしゃるとおりだと思います。すべてが出せないということではなくて、 国民の御意見を伺うことが可能な 部分は勿論あると思います。

（宮内委員）
どこまで今回の PIA の中でレポートに書くかという問題も実はここにはござい まして、
どうもここで書かれるような情報で、その情報セキュリティ として人に知られたら困るよ
うな情報が、果たしてこの中で出てくるのかどうかに結構疑問を感じています。これからの議論ということだと思いますけれども、多くの情報はパブリックに出しても大丈夫な程度の情報しか PIA に上がってこないのではないかという感触も尐し感じております。これはコメントです。

（宇賀座長）
ありがとうございました。ほかにこの関係についてはよろしいでしょうか。
では、ほか論点につきましても、時間の許す範囲が議論を深めたいと思いますので、お願いいたします。

（新保委員）
続きまして「（３）必要性に応じた仕組み」について、本日の資料では参考資料４並びに参考資料５の重点項目評価と全項目評価の報告書も踏まえた点であります。こちらについては４点ございます。

27

１点目は、こちらの項目の評価の様式の記載項目の内容についてです。現在、既に原案が出ておりますけれども、従来、諸外国においても行われている様式については、３つの観点から記載項目がございます。
１つ目は、フレームワーク。２つ目は、アセスメント。３つ目は、アーキテクチャーと呼ばれる部分であります。この部分につきまして、これを我が国に当てはめて考えてみま
すと、フレームワークにつきましては、だれがいつどこで何のために どのような情報を取り扱うのか。こちらは行政機関個人情報保護法において、個人情報ファイルに 係る総務大臣への通知事項として書かれている部分がございますので、それと併せまして、フレームワークとして法令に定められた適正な手続に基づく取扱いの確保を確認する事項ということで明確に記載をすることが可能な部分であるかと思います。
２点目のアセスメント、いわゆる評価と呼ばれる部分であります。これはどのように取り扱うのかということであります。この点につきまして、我が国におきましては、既に行政機関個人情報保護法に基づいて、総務省から発せられている安全管理指針でありますとか、政府統一基準並びにその他の各認証規格などがございますので、それに基づいて 、どのような取組みを行っているのか。とりわけ行政機関については 、総務省の安全管理指針を遵守するこが求められているわけでありますけれども、どの程度行われている のかについて、確認をするという項目になるかと思います。
その上で３つ目のアーキテクチャーという部分について 、確認、監査、見直し、改善を行って、例えば情報保護を行う上で、更に技術的な対応が必要な面であるとか、プライバ
シー保護技術を活用するといったような部分について検討を行うのであれば、 この部分で検討をすることになります。
実際に記載様式の項目について、すべてを網羅的に確認するということが当初から可能であるかというと、その点はなかなか難しいと思います。まずはこのフレームワークの枠
組みの部分とアセスメントの部分について、どのように組み込んでいくのかということの検討が必要であると考えております。
２点目は、行政機関個人情報保護法との整合性の部分であります。既に行政機関個人情報保護法に基づいて、行政機関については個人情報ファイル簿の作成について、総務大臣への通知が義務づけられております。この点について、手続的に 行政機関個人情報保護法のこの手続を独立行政法人、民間部門でも番号に係る個人情報を取り扱う機会にも当てはめて問題はないかという部分があるわけであります。
具体的にどのような点は問題がないかという点であります 。例えば個人情報という定義につきまして、行政機関については容易照合性の要件が置かれておりません。ですから、
民間部門では他の情報と容易に照合することによってという「容易に」という文言が個人情報の定義に置かれておりますけれども、行政機関個人情報保護法では、この容易照合性の要件が置かれていない。よって 、容易照合性がない情報であっても、個人情報という定義を民間部門の番号に 係る個人情報を取り扱う事業者にも当てはめて問題はないかといっ28

たような問題があります。
個人データについて定義を置いているのが民間部門を対象にした個人情報保護法ですけ
れども、行政機関については保有個人情報という定義となっておりますので、個人データ、保有個人情報という部分から安全管理措置義務が発生するという部分の区分けも異なる ことになります。この点につきましては、個人情報とすることで問題はないと思います。ただし、安全管理措置義務が発生するかどうかについては、従前の法令に基づく義務の範囲ということになりますけれども、あくまでこれは評価という項目についての個人情報という用語で統一することについて、問題はないかと思います。ただし、容易照合性の要件かどうか。その点については定義を置くかどうかは考慮する必要がある といえます。
３つ目に用語についてであります。今、申し上げました個人情報の定義についても、民間部門と公的部門では異なるという点を始めとして、今回、情報保護評価の報告書では、用語について新たに用いられている用語がございます。例えばマッチングとかマイニング
とか、ご存知の方は理解できると思いますけれども、マッチング、マイニングは果たしてどのような情報の取扱いを意味するのかといったようなことについて、実際に回答する際に、その用語の意義を確認しておく必要はないかと いうのが、この用語について の問題です。
更に安全管理措置について、個人情報とすることで 評価としては問題はないかと思いま
すけれども、実際に安全管理の義務が発生する項目 について、安全管理の部分の評価項目がございますので、従来、安全管理の対象になっていなかった情報についても、安全管理を行った上での前提としての確認事項となっておりますから、その点は問題はないのかという部分であります。
その他、細かい点としては、例えば用語も収集と取得という用語であるとか、 この用語の違いについて、行政機関法では収集方法という用語を 使うと同時に、取得という用語も混在しております。一方、個人情報保護法では収集という用語を用いずに、取得という用
語のみを用いている。よって、実際にこの記載項目を検討するに当たっては、こういった用語の面についても細かく確認をしておく必要がある。
とりわけプライバシーという用語でありますけれども、プライバシーという用語については、このプライバシー保護を目的とするという情報保護評価の目的という観点から、プライバシーという用語をこの検討事項に当たって、随所に用いているわけであります。ところが、この評価項目を確認する に当たって、例えばプライバシーに与える影響を考慮す
ることについては、必ずしもどの部分がプライバシーなのか、何がプライバシーなのかという定性的な部分について、明確な判断ができないことが想定されます。
したがいまして、確認項目においては、プライバシーという用語を用いることは、極めて限定的であるべきであろうと思います。よって、基本的な理念はプライバシー保護であるということが明確になっておりますので、様式の記載項目、個別の記載項目においては、
プライバシーという用語は極力用いる必要はないと考えております。

29

最後に４番目の意見であります。更にこの内容について、既に原案を出していただいておりますが、行政機関個人情報保護法は諸外国における PIA の記載項目並びに金融サービスに係る分野の ISO22307。こちらを参考にして、この項目を最終的に確定をしていくということが望ましいと考えております。その際には、今、申し上げた点も踏まえて、再度精査が必要と考えております。以上です。

（宇賀座長）
ありがとうございました。今の段階で、事務局の方から何かお答えになることはございますか。次回までの宿題ということでも結構です。今いろいろと御 意見をいただきましたので、それを踏まえて、次回の資料に反映させていただければと思います。
ほかにいかがでしょうか。よろしければ時間の関係で、資料３の５ページ「第３情報保護評価の対象に関する論点」について御意見を伺いたいと思いますが、いかがでしょうか。よろしいですか。
この部分は特に今の段階で御意見がないということでしたら、次に資料３の７ページの「第４

情報保護評価のガイドラインに関する論点」について、御意見を伺いたいと思います。

（新保委員）
今の対象に関する論点は、前の部分の対象という意味ですね。 こちらについては２点ございます。
対象につきまして、５ページの「第３情報保護評価の対象に関する論点」であります。

まず手作業に係る処理については、除外をするという部分であります。諸外国におきまして、例えば EU などは自動処理を念頭にそもそも法制度を組み上げておりますので、手作業については除外しているという例がございます。
しかし、我が国におきましては、例えば行政機関個人情報保護法の定義におきましても、
個人情報ファイルについては、電子計算機を用いて検索することができるという要件と併せて、一定の事務の目的を達成するために、氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的な構成したものというものも含まれております。
したがいまして、先ほどの意見と同様に、行政機関個人情報保護法との整合性を確保するということは、今後、行政機関における情報保護評価を実施する上で大前提となると考えられます。そうしますと、この一定の事務の目的を達成するために容易に検索が可能な
個人情報であって、電子計算機処理されていないものについても含める必要が出てくると当然考えられますので、この点については 手作業処理で一律に除外ということではなく、個人情報ファイルの定義同様に考えていいのではないかというのが１点目であります。
続いて、制度についてであります。この制度・施策について情報保護評価の実施対象か30

ら除くという案でありますけれども、この点につきましては、番号制度そのものについて評価を行うということについて、現段階で既に番号制度が大綱もでき上がっている段階で、評価を実施するということは、非常に難しいということが考えられます。
しかし、情報保護評価の PIA という制度は、制度の評価を行うことが、まず第一義であります。つまり単なるシステムに係る評価。システム監査を実施するのが PIA ではございませんので、当然制度も対象になると考えております。
しかし、６ページの一番上「『番号』に係る個人情報を取り扱う制度・施策」という観点から、今回は番号法に基づいて設置される第三者機関がその権限の範囲で実施する。制度全体の評価を実施することは、現段階では既に不可能であると考えられます。よって 、番号に係る個人情報を取り扱う制度施策に係る評価というものは、既にこの部分については不可能であることから、実施することはできないと考えられ ます。
しかし、今回の情報保護法の評価は、この制度の構造が既にでき上がった上での検討が行われているわけでありますので、将来的に個人情報保護一般についての個人情報の取扱
いに関する情報保護評価を実施するということが今後想定をされますので 、これは現段階ではありますけれども、今後、個人情報保護一般についての情報保護評価を実施するに当
たっては、当然、制度施設の立案の段階における評価も排除すべきではないというのが私考えです。以上です。

（宇賀座長）
ありがとうございました。ほかの方、いかがでしょうか。

（宮内委員）
手作業のシステムについてですが、恐らく手作業のシステムにつきましては、情報連携基盤を活用した情報連携は必ず現実的に難しいと思います 。実際には、その部局に閉じた管理に限定されるということになろうかと思いますので、多分ここで今、検討している情報保護評価全体は、やるとしても必要のないものになるのではないかという面もあろうかと思います。ですから、同じ枠組みでは多分とらえられなくて、何らかの限定した部分に限ったものになるのかと。そこまで本当にやる必要があるのかは、もう尐し議論が要るかと思いますけれども、コンピュー タシステムを使っているものは、かなり違った枠組みになるのではないかと考えます。

（宇賀座長）
ほかにいかがでしょうか。

（水町補佐）
新保委員から御意見をいただいた点です。 ６ページ目の「『番号』に係る個人情報を取31

り扱う制度・施策」についてですが、例えば番号制度自体というものを、番号を使う個人情報を取り扱う制度・施策の例として挙げてはいるのですが、そのほかに事務局として想定していたものとしては、今、番号制度では税・社会保障分野について番号を導入していくというのが大綱で決定されておりますが、今後、幅広い行政 分野について、番号制度を拡大していくことについても、検討していくこととされております。
そういったときに新しい行政分野において、番号に 係る個人情報を取り扱うといったことが決定される。そのような,番号に係る個人情報を新たに取り扱うといった施策についても情報保護評価を行っていくべきか。そういった点について、御意見をいただければと思っております。
もう一点、宮内委員から御意見をいただきました手作業処理については、情報連携基盤を利用することは想定しづらいというのはおっしゃるとおりだと思います。ただ、情報保護評価の対象は番号に係る個人情報を取り扱うシステムでして、番号に係る個人情報というものが平たく申しますと、まず番号自体、マイナンバー自体を使うもの。または情報連携基盤を利用するものでございますので、情報連携基盤を利用しないものの、マイナンバーを取り扱う手作業処理は存在するかと思います。情報連携基盤を利用しなくても、情報連携基盤を通じない第三者提供等も論理的には可能かと思いますので、そういった点についても御留意いただければと思います。

（宇賀座長）
ありがとうございました。ほかにいかがでしょうか。

（新保委員）
今の点については、今後、更に利用を拡大する場合にはどうするのかという問題であると考えられます。例えば１つ極端な例を申し上げると、今後、他のシステムとこのシステ
ムを連動して、特定の個人を識別する。社会保障 ・税番号の分野だけでなく、例えば安全保障の分野、防犯、治安の維持の目的でも使用することが、今後、将来的に想定された場
合に、路上を歩行している歩行者をすべて撮影して、生体情報を取得して、その生体情報から識別した顔情報、特定の情報を他のデータベースと照合して、安全保障目的または防犯目的で用いるといったシステムが検討されるのであれば、それはシステムの構築以前に、そのような目的で個人情報を用いることが、その制度そのものが適切かどうかということが当然議論の対象になると考えられます。ですので、その制度ができ上がって、システムを構築するに当たっての検討が PIA ではないという点は確認をしてお きたいと思 います 。
（宇賀座長）
ありがとうございました。ほかにいかがでしょうか。

32

（大谷委員）
手作業処理の部分ですけれども、私も初めに保有個人データなど個人情報保護法上の概念に該当するような手作業処理に係る情報も存在し得るので、そ れらの扱いがどうなるのかについては、疑問に思ったのです。
しかしながら、情報保護評価の観点から、事前に十分な対策をとらなければいないことを実施機関が認識して、それを管理の方法などについて国民に公開することによって、その理解を得るという情報保護評価の目的に照らして 、情報保護評価の対象とすることが必
要な手作業処理が出てくるのかどうかが実際にイメージしづらいところがありま す。理論
的可能性としてはあるかもしれないとしても、実際の現実問題として、どのぐらいあるのかということについて 、事前にそれなりの見通しを立てることが必要ですし、特に国民に影響度の高そうな情報の取扱いを 手作業による処理ではそもそもしないということを逆に徹底すべきではないかと思っているところもありまして、ただ、この番号制度を運用していく過程で不可避的に手作業処理で、しかも情報保護評価という制度を利用することによって、その保護を強化することに資するというものがあるのかどうか。やはり十分にシミュレーションをしてから、結論を出すべき事項ではないかと思っております。
そういう点で、周辺の法令等の整合性については、法律に書き込んでいくことは十分にこれからもできると思いますので、まずは本当に必要なものについて、十分な評価ができるような仕組みを目指すことが必要かと思います。第三者機関や実施機関に対して、何らかの負荷は与えるわけですので、その負荷が合理的なものになっていかなければいけないと思っていますので、それを考える上で、無駄な負荷はかけないという観点でも 、実例を尐し想定してから検討させていただければと思います。以上です。

（宇賀座長）
そうしましたら、この点について、事務局の方で次回までに、マニュアル処理であるけ
れども、情報保護評価が必要かどうかが論点となり得るよう な具体的な例を幾つか考えてお示しいただければと思います。
それでは、時間の関係で資料３の７ページ「第４情報保護評価ガイドラインに関する論点」の部分について、もし御意見がありましたらお伺いしたいと思います。

（玉井座長代理）
このガイドラインに関連して、戻ると言えば戻るの ですけれども、参考資料５にあるよ
うな報告書の記載様式、先ほど新保委員の方から関連法規との整合性とか用語の点の御指摘がありましたけれども、前提としてはよく整理されていて、基本的なものは押さえられているのかなという感じがいたします。
１つだけよくわからないのが、「３

プライバシーへ与える影響及びその対策の概要」の項目だけ非常に説明も簡素だし、書く方はどういうことを書けばいいのかがわかりにくい33

のではないか。あるいは表現も「当該システムにおける」というのが非常にあいまいで、
わかりにくい印象を持つのですけれども、どうでしょうか。

（水町補佐）
参考資料５の３につきましては、具体的には５以下がメインになるかと思いますけれど
も、５以下でそれぞれの情報のフェーズごとに、リスクとその対策というのを質問例として設けております。そのまとめを３で行うというの がこちらの想定です。
その目的といたしましては、まず１つで制度施策の概要を書く。２で個人情報の流れについて書く。３で具体的にどういうプライバシーリスクがあって、その対策を施しているかを書く。４で取り扱う個人情報について書かれている。時間のない方でもこの１～４を読めば、大体がわかるというような形にしてはどうかという想定で３を設けております。

（宇賀座長）
ほかにいかがでしょうか。

（新保委員）
２点ございます。既存の関連制度との関係についてであります。この既存の関連制度はさまざまな個人情報保護制度全般においても、先ほどの定義が異なるとか、整合性を確保する上で確認しておくべき事項について、どのように整理を行うのかが若干気になっている点であります。
その点で１つの例としては、先ほど出てまいりましたマニュアル処理、手作業の部分についても、例えば制度との関係で、私がこの手作業の処理についても除外すべきではないと考えている理由は、実は制度的な面における問題が理由で１つございます。具体的には、
例えば行政機関個人情報保護法の罰則規定を御確認いただければわかる点ですが、行政機関個人情報保護法の罰則規定は同法の２条４項１号に係る個人情報ファイルと書かれています。
これはどういうことかと言いますと、先ほど条文を申し上げましたけれども、１号は電子計算機を用いて検索できるというのが罰則の条件です。つまり２号のマニュアル処理は罰則の対象外となっております。ですから、この点について 、従来から罰則の適用はあくまで電子計算機処理に係る個人情報ファイルであって、マニュアル処理は対象外となっている。その点については公務員法の秘密保持義務に基づいて対応するというのが行政機関
個人情報保護法における罰則の構成です。
ですから、こういった点について も、単に手作業処理または電子計算機処理でよいかど
うかということも含めて、これは既存の関連制度との関係で、例えば罰則については手作業にかかる部分は罰則の適用はないといったような部分も含めて、確認が必要である部分もあると思いますので、この点は再度確認をしたいと思います。

34

２点目であります。プライバシーマーク、ISMS、IT セキュリティ評価制度などの認証取得済みの機関並びにということについての記述であります。情報保護評価の実施に向けたインセンティブを設けるという形で、この認証制度を取得している。場合には考慮するといった書きぶりになっておりますが、そもそも情報保護評価の実施は義務でありますので、実施すべきものについて実施に向けたインセンティブというものはないと考えられます。ですから、ここについては書きぶりの意図はわかりますので、実施に向けたインセン
ティブではなく、個人情報プライバシー保護へ向けたインセンティブという観点から、プライバシーマーク、ISMS といったようなものを取得ということについて考慮 すべきということと考えられます。
ただ、行政機関はプライバシーマークを取得できませんので、この点について、例えばプライバシーマークを取得済みである行政機関ということはあり得ないということから、
例えば政府統一基準であるとか、先ほどの総務省の行政機関向けの安全管理措置の指針といったようなものについて、これを適切に実施している場合については、何らかのインセ
ンティブが与えられるということの方がよいのではないかと思っております。

（宇賀座長）
ありがとうございました。ほかはいかがでしょうか。
よろしければ、最後に資料３の２ページの「第２ジの「第６情報保護評価の目的」及び 13 ペー

地方公共団体における情報保護評価に関する論点」の部分に つきまして、御意見がありましたら御発言をいただきたいと思います。いかがでしょうか。特によろしいでしょうか。
それでは、予定の時間になりましたので、本日の議事を終了したいと思います。
本日御議論をいただきました内容につきましては、事務局の方で必要な修正を加えた上で、行政機関・関係機関向けの情報保護評価ガイドライン（案）へとつなげていきたいと考えております。それでは、事務局から連絡事項をお願いします。

（中村企画官）
次回のサブワーキンググループにつきましてですが、詳細は追って事務局より連絡をさせていただきますので、そのときに御対応いただきますよう、よろしくお願いいたします。
以上でございます。

（宇賀座長）
本日は、長時間にわたる御議論と活発な御意見をいただきまして、どうもありがとうご
ざいました。以上をもちまして「 情報保護評価サブワーキンググループ」の第３回会合を閉会といたします。
以上

35