［タイトルスライド］
どうも初めまして。弁護士の牧野二郎といいます。よろしくお願いいたします。
本日は大変貴重な機会をいただきましてありがとうございます。個人データ保護の厳しい環境変化に対応した社会データの利活用ということでお話をさせていただきたい、と思います。
これまで先生方といろいろと話をさせていただいて、社会調査を行うにあたって、様々な情報収集しあるいは共同研究をする、さらにはデータを公開、一部制限公開をしながら利用したい、というようなご要望がありました。
そういったことに対して、どういうような対応策が必要なのかという点に焦点を出来るだけ合わせるようにして今日はお話を進めさせていただきたいと思っております。
コロナウイルスの関係で会場に先生方に集まっていただくことができず、質問等々を直接お受けできないのは大変残念でありますけれども、後日、メール等々で質問いただければ
可能な限りお答え申し上げたいと思っているところでございます。どうぞよろしくお願いいたします。
先ほどお話ししましたように個人データ保護の厳しい環境変化が起きているということでありますけども、この個人データ保護というのもご承知の通り GDPR という EU での統一的な環境整備、体制、整備が行われ、それが現実に稼働しているという状況が 1 つありました。
それがもうある意味で定着しながら、状況が大変厳しくなっているという面があります。
それと同時に、今年の 1 月 1 日から CCPA と呼ばれるカリフォルニア州で消費者の個人情報を保護する法律が施行になりました。その意味では、アメリカにおいても、カリフォルニ
ア州を中心としてその影響を受けながら、個人情報を保護するという機運が非常に高まっている部分があります。
この CCPA 自体は、主に、民間企業に対する個人情報の取り扱いを消費者保護の観点から
コントロールするというシステムになっています。なおかつ、今、修正案がいろいろと出されたりして企業や経済団体からの抵抗が非常に強くて最終的に確定してない。というのは
この 7 月に司法長官のほうから明確な規則が出る予定になっているのですけども、それに対しても様々な圧力がかかり修正等々をせまっているという社会情勢にあるためです。
いま米国では大統領選挙が行われておりますけども、新しい大統領が連邦法としてこういったような個人情報の保護の仕組みを作るのかというところも、やはり注目されています。
こういった環境はやはりここに書きましたとおり、個人データの保護という点ではこれまでのようなのんきな世界ではないのだということで、充分注意をしていただきたいです。
そういった環境変化に対応して社会データをどう利活用していくのかというのが本日のポイントになるわけであります。

1

［スライド 2 枚目 サマリー］
サマリーは今わたくしがお話した通り、個人情報保護法がどのように変わっていくのかということになりますけども、個人情報保護法が今年 2020 年に改正される予定でいます。
どのような法改正かというと少し罰則を入れて厳しい内容に変えていくというように、EU の GDPR に多少近づくようなかたちで修正が行われるという予定だと聞いております。
ただ、実際の法文案が出ておりませんので充分検討できませんけれども、今ある個人情報保護法よりもある意味、様々な面で強化、厳しく対応が変わっていくことになりますので、充分ご注意をいただきたいというところであります。それから、CCPA というのは先ほど申し上げましたけれども、企業を対象にする厳しい規制でありますが、学術調査への影響も強く懸念されますので充分注意をしていただきたいと思います。
EU の GDPR は主にアジア諸国を席巻しております。アジア諸国は次々と法改正を実施して新法制が定められていて、我が国を取り巻く環境が非常に急激に変化している、というところがあります。
ですから、先生方がアジア全体の社会調査を行うときにも、この GDPR というものを常に念頭において考えておかないといけません。
イメージでいいますと、我が国の個人情報よりも多少厳しいコントロール、CCPA も同じ
く、GDPR にほぼほぼ比肩するような程度の厳しさというようにイメージとしては思っていただければ正しいと思います。
最後にその社会調査においても世界標準というものを踏まえておこなっていただきたいです。また、米国も視野に入れた議論が今後必要になってくるでしょう。
［スライド 3 枚目 個人情報保護の法体系、法制度］
今日お話しするうえでこの辺の法律を扱いたいと思っています。やはり個人情報保護法、これが基本法、全体の骨格になります。この法律を個人情報というようないい方で整理してありますけども、これが基本法です。次に、大学の先生方とは直接は関係ありませんけれど
も、行政機関が保有する個人情報のほうに関する法律、これはおもに総理府等々が個人のデータを持っているということ、それから、各地方自治体が住民情報を山ほど持っている、この関係では行政機関がその保有している個人情報に関する法律というものが適用になる、
これを「行個法」というようないい方をします。
これはまだ直接大学は入りません。これに非常によく似たかたちで独立行政法人が保有する個人情報のほうに関する法律、ここでは「独個法」というようないい方をしております
けれども、独立行政法人、行政機関から独立した法人であるということで、独立行政法人というものを構想して検討しているということになります。
ただ、概念自体は、行政機関が保有する個人情報に関する法律を一般法と特別法というよ
うな感じで使っておりますので、この独個法でわからない部分は行個法の解説を読むことで理解していくことになります。それから、これはちょっとずれるかもしれませんけれども、2

各県の制定した条例がこれとは別にあります。ですから、主に大学を規制するということになりますと、私立大学は個人情報保護法でありますし、国立大学は独立行政法人法でありま
すし、公立大学、県立大学になってきますとこの条例が適用になるという関係になってくるわけであります。
［スライド 4 枚目 大学研究機関等の社会調査活動に対する法的規制の全体像］
社会調査に関する法的規制の全体像を少し整理してみました。まず全体として、法律の枠組みということになりますが、こういう分け方が適切であるかはわかりませんけれども、最狭義として、国立大学、国立研究機関が単体で行う場合に独立の行政機関保護法、「独個法」
ですが、それが適用されますね。そして公立大学の場合は個人情報保護条例、この保護条例というのは、条例という名前がついていますけれども、地方自治体、地方の立法権が行使されたということになりますので、仕組みとしては法律と同じレベルというように考えていただいたほうがよろしいかと思います。地方自治体でいうところの立法権を行使した結果、個人情報保護条例として作られているわけであります。
狭義という意味で、私立大学というものでありますけれども、これは上記以外の研究機関ということで、これは個人情報保護法が使われます。問題は国立大学と私立大学等が共同で作業をおこなう場合、あるいは、共同研究をおこなう場合ですが、かたちのうえでは独個法と個情法、この 2 つにまたがるようになります。
ただし、共同利用の場合の規制監督責任問題は必ずしも明確には書かれていません。個人情報保護法には共同利用という規定がありまして、そこで正確に書いてあるわけですが、独個法のほうには共同利用という規定がありません。むしろ共同利用という概念はあまり使われていません。これまた後ほどご説明しますけれども独個法そして個人情報保護法、そして契約によるということです。すなわち国立大学と私立大学の間での契約あるいは研究者と組織との契約、そういった契約による拘束も当然考えられるということになります。これらを統括するようなかたちで総務省から指針が出ています。
これも後ほど説明しますけども、指針に基づいてきちんとコントロールしていこうということになります。そして広義で、国際的な協力あるいは越境ということになってくると先ほどからお話ししたような GDPR が基本になりますので、GDPR の法律、プラス、各国の特例というものがあります。いやいや GDPR は法律だろうと、そして各国に直接適用だろうと思われるかもしれません。だから EU においては GDPR が、もうそのまま適用されるだろうということになるわけですけれども、残念なことに各国にそれぞれの法律が立っています。どういうことかというと、GDPR は組織の違法行為に対しては制裁金というようなかたちで処理をしているわけです。ところが、各国ではこれを刑罰というかたちで、身体刑で処理していることが多数あります。
身体刑については、各国の立法権に身体刑、刑罰が与えられているので GDPR はそれに代わることはできないし、GDPR のなかに身体刑をいれることもできないわけですね。した3

がいまして、この各国の独自の刑法体系、法律体系というものは尊重しなければいけないということになるので、GDPR は統一法ですけれども、主に組織に対する行政的な制裁といったものを中心に構築している法律体系になります。ですからこれ（GDPR）とこれ（各国の法）は決して矛盾するものではなくて、ともに使われていくということになります。
ですから、DPO（データプロフェッサーオフィサー）をヨーロッパに持ちたいというようなことで大学の先生方があちらの調査会社を使う、あちらが協力をするといった場合に、調査対象国の専門家の支援を受ける必要があります。そうでなければ、その国の、たとえばフランスであればフランス国法を理解している弁護士であり、なおかつ GDPR、EU のなかの統一法を理解している人間がそろっていない限りは、なかなかあちらでの調査ができないということになるわけです。その意味では DPO を現地で専任するということが非常に重要なポイントになってくるということがあります。
注として書きましたけれども、これ以降は独立行政法人の保有する個人情報に関するのは独個法と呼びます。行政機関が保有する個人情報は行個法で、個人情報保護に関するもの
は個情法、個人情報委員会は個情委というようにそれぞれ省略して書いておりますので、その点ご理解いただければと思います。
［スライド 5 枚目 個人情報保護法等の改正に伴う研究倫理指針の改正について］
これが指針の改正というところで、個人情報保護に関する研究倫理指針が総務省、文科省、厚生労働省、経済産業省等々で議論されていて、そのなかで整理されている資料になります。
ここで、この表を見ていただくとわかりやすいと思いますが、個人情報に関する基本方針が閣議決定しまして、これが日本の全体を統括する基本方針ということになります。そしてその上に作られたものとして、個人情報保護法が今度改正されるわけですけれども、これは法律として基本法が乗っかっています。
とくに 1 章から 3 章が基本理念や国や地方自治体の責務などの施策等々が書かれています。直接的に大学が影響を受けるわけではありませんが、基本的な内容がここに書いておりますので、これは充分に踏まえておかなければいけません。
そのうえに乗っかるかたちで 4 章から 7 章の個人情報保護事業所等の義務あるいは罰則がありますけれども、これは民間事業者等を中心に適用されます。独立行政法人の場合は、スライドに記したように、独立行政法人、大学が入ります。行政機関たとえば総務省や地方自治体などもここに入ります。個人情報の保護条例は県立大学などに適用されます。こうい
うような関係になります。個人情報保護法のとくに 4 章というのは個人情報取扱事業者の権利、義務を定めた規定ですので主に民間企業に適用になって、大学には独個法であるとい
うふうにご理解いただければいいと思います。以前に質問がございまして、「大学には個人情報保護法の適用はないだろう、独個法だけの適用だろう」というようにご理解いただいているとのことでしたが、この部分を見る限りは確かにその通りで、個人情報保護法の特に 4章の規定の適用というのは特にない、外されているわけですね。ただそれ以外の規定という4

ものは、実はここに滑り込んでいるというと変ですけれども、適用されている部分もあります。ですから基本法、基本方針は、この個人情報に乗っかっていますので、このあたりもよく見ながらこちらの解釈をしなければいけないと少しお話ししました、この研究指針というのはどちらかというと個人情報保護法をしっかりと組み込んだかたちになっています。
ですから適用されないだろう、大丈夫なのだろうという発想はやめていただきたい。直接適用はないのですけれども、結局、ここのエッセンスは全部、研究倫理指針といったかたちで作られて各大学の先生方に降りてきているというかたちになっておりますので、実質的には個人情報保護法は指針をとおして独個法の中に入り込んでいるということです。適用のあるなしということはあまり考えずに保護法の活用、使用、適用ということになるとしっかりと理解して概念を固めておかなければならないというようにご理解をいただきたいとこ
ろであります。
はい。これは先ほどお話した通りでございます。個人情報保護法は民間企業で私立大学、学会、私立病院、民間の研究機関などに適用されるものであります。行政機関の個人情報保護というのは国立の研究所なども入るものであります。
個人情報保護法ですと独立行政法人、国立大学などが入ります。ここに地方公共団体ある
いは公立大学、公立研究機関、公立の医療機関等々が個人情報保護条例の関係に入ります。
少しここで注意が書いておりますね、個人情報保護法、個情法の 76 条というのは大学の研究施設あるいは大学が研究目的の場合には個人情報保護法の第 4 章、個人情報取扱事業者の権利義務の各条文は、適用をしませんよということが規定されています。どういうことかというと個人情報の 76 条では大学を外すとなっているのですが、私立大学や研究所、1 つの主体と認められることができる共同研究、学会の学術研究を目的とする機関、あるいは団体、それらの属するものが学術研究目的で個人情報を取り扱う場合は個情法の 4 章の義務規定の除外になります、というのがこの個情法の 76 条になってくるのです。
だからちょっと気になるのが 1 つの主体とみなすことの出来る共同研究で、1 つの主体ですからどちらかというと独個法なり、こちらの指針といったようなものが適用されるというかたちになってくる。このようにご理解いただき、これが法体系の全体の構成ということになるわけであります。
［スライド 6 枚目 独個の特色と個情との関係］
大学の先生方に適用されるのが独個法であるということがご理解いただけたと思いますが、ではその独個法の特色、個情法との関係はどうなるのだろうかということになるわけですけれども、個情法が全体の基本法であるということで、独個法が一般法として参照されるということになるわけであります。先ほど個情法の 76 条 1 項で申し上げました、大学、その他の学術研究目的とする機関をお持ちの団体が、学術研究を目的とする場合には第 4 章の規定は適用しない、となります。
先ほど少し図示しましたが、第 4 章の適用はないですけども、それ以外の適用は考えられ
5

るということになるわけですね。第 4 章とは何か？となると「個人情報取扱事業者の義務」などということで、きちんと同意をしろとか、第三者提供を控えろとか、そういう問題が出てくる。第三者提供については個人情報保護法と独個法で大きく異なります。結論はほぼほぼ同じなのですけれども規定の仕方が大きく異なるので注意しましょう。それから匿名加
工情報と非識別加工情報ということですが、それも少し性格がずれますので、あとでもちろん説明させていただきます。
こういうようなかたちの取り扱いは別です。一つだけ注意していただきたいのは、学術研究の用に供する目的でありますから、たとえば大学の人事関係の情報、給与関係の情報、それから、管理にかかわる情報、これは基本的には、全部別枠で考えることになります。ですから、大学全体に対しては一般法として排除していますけれども国立大学はそもそもが独個法の規定になりますから、排除されるのは民間の大学、私立大学、私立研究等々、その他の機関、団体その他の属するものとなり、学術のように研究する場合に外れるというのは、たとえば民間の研究機関、私立大学、私立病院にあてはまります。こういうような関係になるわけです。ただ大学は各自必要な措置をさだめ公表すべきだと規定されています。個人情報保護法の同条 3 項ですね。原則外すよ、といっておきながら各自対応できるように必要な措置をとるよう求め、それが何かを法では定めていません。
そこで、この必要な措置とはなんなのかということが、指針でビシっと書かれているわけですね。総務省から独立行政法人等の保有する個人情報の適切な管理のための措置に関する指針についてというのが発表されているわけです。そんなタイトなものではなくて比較的小さなものですねこちら持ってまいりましたけども、この数ページのものですけれども、中身はかなり濃い内容になっています。要するに、個人情報の安全管理措置の仕方だとか、それから、研究するときの研究機関が調査会社に委託する場合に、どういう管理をしなければならないのか。それから調査会社がさらに調査員に委託する場合、再委託になりますけども、どういうふうにしなければいけないのかということまで事細かく書いてあるわけですね。その内容は個人情報保護法の委託先管理とほぼほぼ同じようなレベル感を持っているわけであります。その意味ではこの総務省から出ている指針というものによって、個人情報保護法とほぼほぼ同じような管理がおこなわれているということになります。
国立大学、国立研究機関は、独個法の適用および上記指針の適用があります。ですから独個法だけの適用ではなくて、この指針の適用もありますので、両方頭の中にいれて研究を進めていってください。独個法の独立行政法人非識別情法の取り扱いというものに関しては、
大変面白い規定ですね。
多くの規定で個人情報保護法や規則に従う個情委の監督を受けるというように、個人情報、個情規則、個情委の権限を認めるというような規定が置かれています。この独立行政法
人非識別加工とはいったいなんでしょうかということですが、いわゆる匿名加工情報よりももっと完璧に近い形で個人を識別できないようにする方法のことをいいます。
ですから、独立行政法人非識別加工情報というものを民間事業者に手をあげさせて、たと6

えばウェザーニュースですかね、ああいうところに気象庁がデータを渡すのと同じようにすると個人情報が完全に見えなくなっているということになるので、手をあげさせてその人に渡して商売をやらせる、あるいは、「やりたいからこの情報をくれ」という企業に対して提供することが可能になってくるわけですね。ということですから、逆にいうと、民間企業に大学が持っている情報を渡すわけでありますから「その渡し方について問題がないかどうかを個情委員会がしっかり見ていますよ」というようになるわけですね。大学はどんどん情報提供して予算措置をとったほうがいいかもしれませんから、どんどん出したがるかもしれませんけども、個情委はそれに対して「大丈夫ですか、問題ありませんか、きちんと報告してください、私のいうことをきちんと聞いてください」と、それを監督しているというような関係になるわけであります。ですからこの独立行政法人非識別加工情報という情報の塊の扱いについて個情委のことが書いておりますので十分注意しましょう。
それから、個情法は非識別取り扱いに関して利活用の観点から推進している。これが 4 章の 2 ということになります。非識別情報とこちらにも少し書きました、照合識別が不可能な情報の取り扱いということで書いておりますので、こちらも後程ご説明したいと思います。
［スライド 7 枚目 匿名加工情報と識別加工情報の違い］
少し概念が違いますので、ここを少し抑えておかないといけないかな、ということになります。個人情報とひとくちにいっても、個人情報の意味合いが少しずれています。正確に申し上げますと個情法の場合の個人情報というのは、いい加減ないい方で申し訳ないのです
が誰が見ても個人情報というものと、それから簡易な匿名化、容易に照合できる情報のある場合、これが、容易に照合できるという概念を作ったわけですね。その場合、難しいかもしれないが、本当は照合出来て識別できる場合があるわけですけども、それは「容易」ではな
いので、個人情報とは見ないのです。
ここの意味わかっていただけます？ようするに、容易に照合できれば個人情報、容易に照合できないが照合しようと思えば照合できる、この部分は個人情報ではないと考えるわけです。すごく面白いでしょう。照合が容易です、容易じゃないですとはどうやって決まるのかというと、匿名化のための特別な予算は必要ない、特別な作業は必要ない。これを容易と呼ぶというようなガイドラインが出ています。したがいまして、容易に照合できる場合は個
人情報保護法ですから充分注意してください。それ以外は自由にしてよいですよということになる。ところが、独個法の場合の個人情報は若干違います。がちがちの個人情報、これは個人情報保護法と同じ、個人情報としますし、照合が困難でも照合で識別できる場合は個人情報に該当しますとなります。
ですから、照合可能であれば、そこまで全部、要するに、容易照合、困難照合、それからがちがちの個人情報の全部を集めて個人情報ということになりますよ、というそういう立て付けになっているわけですね。ですから、この部分では、個人情報の範囲が広いというふ
うに理解していただいて、その分、大学は個人情報の私企業よりもより注意しなければなら
7

ないという立場であることを、独個法の関係ではご理解していただきたいです。
次に、前々からだいぶ触れているかと思いますけども、個情法の匿名加工情報、要するに加工すれば使えるということですね。加工すれば同意なく、第三者提供もできますよねという考え方ですけれども、規則の 19 条にその規定がありますので、それを使って加工していくのが可能になっていくわけですね。記述式情報の場合には記述の一部を削除すればいいですよと、これが識別情報と呼ばれるものです。
それから、識別符号というのがあります。パスポートナンバーとかですね、それからマイナンバーなどがこの識別符号になります。この場合は、識別情報の全部を削除してください。
とこういうようなことをいっています。削除をすれば、それは匿名加工情報すなわち個人情報ではありません、というようになります。
ですからこれは、どちらかというと自由に使っていいですよ。まあ注意はありますけれどね。たとえば、実名情報を匿名加工情報にするときに、なんらかのプログラムや手法を使う
ならそのプログラムや手法については十分注意してくださいという留保はつきますけども、自由にしていいですよと。それに対して、独個法の場合、大学の場合ですけども、非識別加
工情報という名前に変わるわけですね、
がちがちの個人情報に限りそれをおよそ特定の個人が識別できないようにしたもの、a とb は同じです。記述式のものは一部を削除する。符号の場合は全部を削除する。こういうふうなかたちで変更しますということですね。がちがちの個人情報、容易に照合できる程度のものを含む、に限り、それをおおよそ特定の個人が識別できないように加工してもらう。その意味はなんだかよくわからないと思いません？
容易なのか容易でないのかここではいっていたはず、困難な場合も全部含むといっていたはず、そうであるならば非識別加工というのは、これ（がちがちの個人情報）の非識別化のはず、これ（がちがちの個人情報）を非識別化するのではないのか、そういうことになりますよね。
［スライド 8 枚目 独個法の非識別情報の規定］
ここで法律屋独特のいやらしいところを見せてしまうわけなのですけども、条文はこうなっているのですね。すごく面倒くさいのですけども、次に書かれる個人情報とは「～～とこれと照合できるもの」で、そこで初めて容易に特定できることとなるもの。それによって特定の仕組みができることとなるものを除く！まずここで除くって書いてあるわけですね。
で、除いた後に識別できるものがありますよね。識別できるものというものを除いてしまうのですよ。以下は同様で結局ここを一回除いてそのあと、分母の大きいほうをまた除きます。そうするとマイナスマイナスがプラスになるようなかたちで、ここの部分がここにくっつくはずなのですね。そうすると、以下のようにいっていることになります。個人に関する情報に含まれる記述等または個人に関する情報が他の情報と照合することができる場合にあっては、照合しても特定の個人を識別することができないことをいうとなります。
8

そのように個人情報を加工して作られる、個人に関する情報であって当該個人を含まないようにしたものを非識別加工情報ということになります。結論からいうと、非識別加工情報とは、個人情報を加工して得られる個人に関する情報とは個人情報を復元できないようにしたものであるということで、個々のロジックが出来上がるわけなのですけども、それを図式化しました。
［スライド 9 枚目 個人情報の範囲の違い 独個法が広い］
おそらく、この図式で間違いないと思います。左側が個情報の個人情報の範囲。さっきありましたよね。容易に照合できるものは個人情報とみる。照合困難な場合は自由に使っていいですよって話になっていましたよね。ようするにこれを個人情報といわないというわけですよね。まあ自由の範囲が広いということになる。これに対して、先ほどの除く除かないを 2 重に除いていますので確認すると、個人情報の範囲、独個法の上の個人情報の範囲は広いのです。なぜならば規定では照合困難でも特定可能な場合、個人情報に含みますから。ですからここまで個人情報です。非識別加工情報というのは、ここの加工のことです。
「照合
しても特定の個人が識別できないようにしてください。それに対してこの部分は照合困難
だが特定可能です。これは個人情報ですよ。
」ですから、これは加工のしようがないと判断しているのだと思います。
「ここは加工のしようがあるので、要するに記述式の識別か識別符号がついているので、この部分については識別できるので加工してください、簡単に識別できなくなったときに非識別加工情報になりますよ」と。
このように理解していくと、困難でも特定可能になっているので非識別とはならないのですね。ですから先生方が一番苦しい、一番苦しむ悩むところはここだと思います。照合が困難なことは明らかであっても実は特定ができてしまうという部分については取り扱いがわからない。要するに非識別符号、非識別加工情報にするということが規定ではおかれてない。ですから私はここのところを点点々にしまして（スライド 9 枚目の点線の矢印）、なおかつクエスチョンマークを付けておきました。
ですからそもそもが識別できないようにするために情報が欠けているわけですよね。情報が欠けているのがここですから、もっと欠いてしまえばいいのです。そうすると非識別加工情報になるはずだということになりますが、一応法律の概念構成としては個人情報から容易に照合したものを除いたもの、結論的にはこの青線の部分の加工というのが、非識別加
工情報というように考えられるという構成になっているようです。
［スライド 10 枚目 独個法、個情法、比較検討表］
さて、少し整理しました。独個法と個情法の比較検討ということですが、結構似ています
ので、きちんと確認をしてみたいと思います。個情法の場合は個人情報の概念に非容易照合は含まない、容易であるものしか含みません。ところが独個法は非容易照合ということで広いのですね。
9つぎに、適正取得はどうですかということで個情法は 17 条にありますが、こちら（独個法は）5 条にあります。行政機関には、行個法にはこういう規定はないのですね。ですから、
先生方は民間企業とおなじように個人情報を取得されますよね。だからきちんと適切に取ってくださいね。失礼ないい方で大変申し訳ないですけども、先生方が個人情報を集めるときに脅かしたり、いい加減なことをいったり誘惑的なことをいって取得するというのは絶対にだめですよというようなことになってくるわけですね。
次に、安全管理措置とは 20 条で規定されているわけですけど、これはすごくザクっとした規定なのです。それが 7 条で安全管理の措置ということになっているのですけども、ここに書いてある指針について充分注意していただきたいのですが、この通知もあるのですけ
ども、先生方のどの大学も基本的には統括保護管理者、各課に保護管理者、保護担当者および監査責任者を置きなさいというようにはっきりと書いてあるわけです。先生方は本当にこれを置いておられるかどうか、大学で置いておられるかどうか、少し自信がないような感
じが私にはしますけども、これが指針を作って各大学に独個法を守ってくださいとなっていますので、この部分（統括保護管理者などを置くこと）が必要になってくるはずです。これは研究分野にかかわらず全体の安全管理措置をとらないといけないということになりますので、大学の組織、研究機関としてきちっと持っていなければいけません。そのうえで、ある研究の場合には例外の規定を適用して、許したり緩めたりする部分が出てくることになります。
ただ安全管理措置とはそういう問題ではなくて、要するに「研究、研究機関、あるいは研究行為を行うのだから、学問だから安全管理措置はいらない」とはいっていないわけですね。
安全管理措置きちんと行ってください、ただし安全のレベル、第三者提供や技術的な措置などで緩めていくところはあるかもしれないので、それは各大学で検討してください。そのうえで必要な措置はきちんと行ってくださいということになります。特に人事情報あるいは予算情報など、試験の管理、成績の管理なども全部ここに入るわけですね。
次に委託で、委託は 22 条にあるわけですね。厳しくコントロールしています。個人情報保護法ですね。ところが独個法には規定はないので、委託先の管理をしなくていいのかな、
先生方は委託先を管理できないのかなと一瞬思うわけですね。ところが、ここに書いてある
その通知、独個法の適切な管理のための措置に関する指針の中には、はっきりと業務委託の際の注意事項が確認として置かれています。したがいまして、実はここと全く同じ、ようす
るに適切な事業者を選んで契約を結んでください。
契約のなかにはきちんとした情報を全部入れておいてください。そして、それが本当に守られているかどうかをきちんと管理してください。これは個人情報保護法の委託先管理とまったく同じです。そういうことを要求している指針があるということを覚えておいてください。そうすると、個人情報（保護法）とあまり変わらないよねということになる。次に、識別情報の消去、識別情報、識別できる 4 情報（氏名／住所／性別／生年月日のこと）です
ね、主にこういったものの消去等については、匿名加工情報ということになります。
10

緩いものも含むということでこの範囲は非常に広いです。匿名加工情報という概念が比較的大きくて、事業者の自由にされているという感じです。ところが、非識別加工情報は非常に厳格にされています。ようするに、もうおおよそ特定の個人が識別できないというように考えられています。ここは個情法、個人情報保護条例の基準の 19 条に準拠してくださいと書いてあります。この個人情報の保護の規則をぜひ先生方読んでおいてほしいのですけ
れども、個人情報保護委員会で定められているのは、「個人を識別できるような記述は全部または一部を消去してください」ということです。ここはすごく緩いですね。ようするに、
牧野二郎の情報であれば、牧野二郎を消して、生年月日も消して、とその程度のことで、たとえば、何歳の弁護士だってこんなもの山ほどいるぞという判断になります。ですから、それで全然かまいません、それで個人情報は非識別化できます。それから個人情報に含まれる
特定保護の全部、これはパスポートナンバーなど、牧野二郎はパスポート何番ですよというのは全部消さないといけません。
それから、少し気になるのは 4、5 で特異な記述を削除すること、特異な記述を復元する
ことの出来る規則性を有しない方法により、他の記述に書き換えてよいというものです。要するに特異な記述、身長が 2m5cm となってくると、調査対象者の方ではその人しかいないとすぐわかりますよね。体重が 136 キロとかであれば、それもその人しかいないことになって、すぐにわかってしまいます。こういうような場合は、それを削除してくださいということになります。そうなってくると、同様なかたちで、特異情報ではないけれども北海道のこのナントカカントカというところに一人しか人が住んでいないということでデータを出してしまうと、これは当然特定できてしまうことになります。このような場合、特異な部分を完全に削除してください。そこは先生方の科学的な知識知見に基づいて、特定の個人が識別できるような根拠はすべて削除してくださいというように、この 19 条を読み込むことになるわけです。最後に 5 号というのがありまして、前各号に掲げる措置をとり、それに加えて個人情報に含まれる記述等々、当該個人情報をふくむ、個人情報データベースを構成する他の個人情報に含まれる記述等々の差異、その他の当該個人情報のデータベースの性質を勘案し、その結果を踏まえて適切な措置を講ずることが述べられています。これらは非常に難しい、複雑なことのようですけど、要するに全部見て比較できるもの全部考えてくださいねといっているのです。この情報とこの情報を合わせたら個人が特定できてしまいますよというのは駄目なのです。だからそこを含めて、そういうものが全部切り離されるように考えてください。そのための対策を検討してくださいというのが 19 条の趣旨ですね。独個法の規定で考えた識別情報をどうするかについては、基準の 19 条の特に 5 号を読めば、再現できない、見えないということを、先生方の知見で確実に確保してくださいということになります。ですから、調査票などを地域の情報をあわせるとどうしても一人になってしまうという部分は、極力消していただくということになります。外しても科学的に正しい統計になるように工夫していただいて、その部分を別枠にするなどの対策をとることが必要になるというところが、非識別加工情報をつくる際に、大変重要になってきます。
11

少し誤解をしないようにお話をしますね。最後の最後まで個人情報として取り扱いますということになっても、個人情報としてがちがちに守っていただければ問題ありません。今申し上げているのは非識別加工情報ということで、共同研究、あるいは第三者提供するということになった場合には今申し上げたような識別は絶対にできないようにして渡してくだ
さい、この 2 つしかないですよ、ということになるわけですね。ですから、その点に誤解のないようにご理解いただければと思います。匿名情報の利活用については 36 条以下で匿名
加工情報取扱事業者として一定の義務のあるものの利用は自由ですよ、いろんなことに利用してくださいということになります。独個法の場合は 4 章の 2 という規定で、これはもう独立行政法人非識別加工情報ですからここだけ切り離していえば、先ほど申し上げましたけれども国が持っている、あるいは大学が持っている個人情報を基礎とするものだけれども、特定の個人が絶対に識別できない、きわめて安全な情報であるということになります。
これの民間の利用を許すわけですけれども、立候補させて利用の趣旨を述べさせて大学のほうで判断して使わせてあげましょう、こういう契約しましょうというようにして提供していいわけですね。個人は一切識別できませんから渡して構わないよということになるのですね。ですからそういう意味では、民間が自由に使える、安全に活用させましょうとい
うような規定群がおかれているわけですね。ただし先ほど申し上げたように、個情委の監督をして不正な行為、違法な個人情報の提供がないようにコントロールしましょうということになってくるわけです。
［スライド 11 枚目 GDPR の基本的立場］
ここで GDPR の基本的な考え方を少しだけ確認しますと、EU の個人情報の保護体系というようなことで官民、研究施設すべてを包摂しています。ですから、我が国が組織ごとに法律を別々にくっつけているのに比べると全然違うのですね。統一法なわけですね。これに、先ほど少し申し上げました各国法が刑事罰等々を加えているというかたちになります。
大学の研究機関も例外なく適用対象となってきます。公共導入期におけるほかの目的、あるいは科学的調査もしくは、歴史調査の目的または統計の目的のための取り扱いは本規則
に従い、データ主体の権利および自由のための適切な法措置に服する、本規則に従うと書いてあるのです。ですから我が国の個人情報保護法と性格が少し違うのですね。我が国の個人情報は、大学の研究機関が研究目的である場合はこの規定をゴソッと外してしまったわけですね。第 4 章全部外しました。それに対して、もう確認的に本規則に従いなさい、データ
主体の権利および自由というものに対しての保護措置をきちんと行いなさいとはっきりと書いてあるわけですね。これが前提です。ただし、こういう事項として、科学的研究もしくは歴史研究の目的、または統計の目的に関しては知識の増加に対する社会の正当な期待を考慮に入れなければなりません。管理者は監督機関およびデータ主体に対して、「情報を提供しなければならないというようなかたちで移転を認めるけれども、移転に関する情報提供をきちんとしておいてくださいね」ということですが、管理者というのは大学の管理者と12

いうことではなくて、個人データをコントロールする立場にあるもの、に情報を処理する人、情報を管理して使いたい提供者のみなさんがここに入ります。監督機関とは、いわゆる日本
でいえば個人情報保護法委員会のことですし、データ主体というのは本人のことで、管理者はデータ移転をする場合には、本人に対して移転に関する情報提供をしなければならないということが規定されています。GDPR のコントロールとはこのようなかたちになっています。
［スライド 12 枚目 GDPR における社会調査の法的位置づけ、取扱い］
これは GDPR 上の制御ということで少し整理しましたけれども、公共の利益におけるほかの目的、科学的研究の目的、歴史的研究の目的、統計の目的については、追加取り扱いの場合は当初の目的と適合しないものとはみなさないというように書かれてあります。
これは独立行政法人の問題として 9 条というものがありまして、利用目的以外の目的のために保有個人情報を利用してはいけないという規定があるのですね。
ところが 9 条の 2 項というところで、独立行政法人等は次に該当する場合は利用目的以外の目的のために情報を利用してよいという例外規定があるのですね。例外規定の 9 条の 2 項 4 号でこう書いてあるのですね。
もっぱら統計の作成または学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供す
ることについて特別な利用のあるとき、この場合は目的外の利用もできるし、第三者提供もできますよと書いてあるわけですね。ですから、もっぱら統計の作成、または学術研究の目的のために情報を提供することは利用目的外に使ってもよいし、第三者提供もできます。
条文が保有個人情報と書いてあります。あとで説明しますけれど、こんなことは起きないはずです。起きてはいけません。というのは、先ほど非識別加工情報は提供してよいといいました。ですから、この非識別加工情報でないものも研究目的なら全部提供していいということになってしまう。そうすると、研究目的がたてば非識別加工情報でなくても目的外利用も第三者提供もまったく自由にできるのではないかと、この条文をみると読めてしまうわ
けです。
結論を先に申し上げると、実はそうではありません。総務省の解説も、個人情報保護法をずっと監督されておられる憲法の研究者が、第三者に提供する情報はほとんどの場合に特定の個人が識別できない情報ですと決めつけています。だからこの規定が置かれているといっています。論理的にいうと間違っています。ここは保有個人情報とはっきり書いてあります。保有個人情報を研究目的であれば第三者に提供してよいと書いてあるわけです。研究目的であれば目的外利用をしてよいと書いてあります。
ですがこういう運用は絶対できないはずなのですね。総務省も宇賀先生も、通常はそんなことはしてないし、してはいけないと書いてある。それの法的根拠は？といったら苦しむはずです。どこにも法的根拠は書いてないのですから。ただ、ここは現実の問題として非常に13

危険なゾーンなので、先生方が第三者提供あるいは目的外利用をするときには充分に慎重な対応が必要です。これは指針の立場からすれば当然のことになります。
ですから、ここのところがあまり議論されていない、生煮えのような条文になっているというのが少し注意しておくべきことかなと思います。ですから、ある意味では GDPR では
追加的取り扱いの場合には目的と適応しないものとはみなさない、要するに目的外利用も統計目的ならばいいですよ、という部分ですね。ここは意外と日本法でも適用になる可能性があると。要するに、第三者に提供しませんから、目的外の利用も統計学など、あるいは研究の中でならば可能ですよということになります。目的は最初にいうのですけれども、実はこれは感染症の研究にものすごく役立つのだと、感染症に使いますと一言もいわなかった
けども感染症のために使うとことも可能になるということがこの 9 条 2 項でも読み込める
し、国際的にもそれは認められている、というところをご理解いただければと思います。このような前提があったうえで、各条文がこのように変わりましたということなのですが、変わる部分と変わらない部分があるので注意してくださいということになるのですが、まず情報取得利用に関する同意、これは大前提です。
これに例外規定は一切ございません。ですから、あとで変わるかもしれない、それは科学の発展のため社会のためだから使っていいにせよ、最初にきちんとした目的と誰に提供するかということも含めて、GDPR の 13 条にプライバシーノーティスとして提供先や類型などが必要であると書いてありますが、これを示せといっています。
これを示したうえで同意をとるのが 6 条です。ですから、13 条のプライバシーノーティ
スに対応せずに 6 条の同意をとるというのはあり得ないといっているわけですね。ですか
ら必ず、調査の対象の皆さんに、この調査は誰がやる調査ですか、何の目的でやりますか、
この情報は誰が使いますか、ということを明確に伝えなければなりません。これはもう原則論になるわけですね。この部分には基本的に例外規定はないということになります。
次に、「利用目的が終了した場合にすみやかに削除すべき」ですが、研究や研究、統計目
的の場合、厳格な保護規定を緩和して、より長い期間保管できるようにするとあります。これは先生方も日本の研究でぜひ欲しい規定ですよね。要するに必要な場合には、それ以上持っていたいということで、我が国の個人情報保護法ではすみやかに消去しろと書いてある
わけですね。ところが、実際には、先生方の場合、必要な期間はこれを保存することができますし、そのように解釈して国際的に問題はないということになりますので、この点も覚えておいていただければと思います。一般にセンシティブデータの取得は禁止されているけ
れども、研究や統計目的の場合には禁止規定の適用排除というものがあります。この部分は、
実は、研究目的の場合には非常にありがたい規定だと思います。92 条の J 項。ところが我が国にはこの規定がないのですよ。要するに、適正取得という規定は、独法の場合には独立
個人情報保護法の場合にはあるわけですから、その点は非常に注意しましょう。
だから本人の同意がなければ、要配慮個人情報というものは取得してはいけないということになりますから、それを説明して同意のもとで情報を取っていくということになりま
14

す。P マークの場合は、同意は関係ないのですね。そもそもセンシティブ情報を取ってはい
けないことになっています。そういう違い、ルールがありますので、その点も今後、徐々に検討していくことになるかと思います。
次に第三者からの取得の場合にもプライバシーノーティスが必要です。これが一般論です。これが少し以前のご質問にもあったかと思いますけれども、親から子供の情報、親に質問して、親に子供のことについて親を通して聞く場合は子供の情報を第三者からもらった
かたちになります。この場合も本当ならば 13 条の所定手続きをしなさいというのが 14 条に書いてあるのですね。ですから、どんな場合でも例えば名簿の売買なんかがありますね、
名簿の売買を持っている人がある人に売りに来ましたという場合では、買った人は第三者提供を受けているので、そうすると本人に通知し直さなければなりません。これが基本的な考え方になってくるわけですね。こういったようなことが 14 条の間接取得の場合には必要ですとなっています。だが研究、統計目的の場合にその通知が不都合の場合、過大な負担になる場合、通知は不要とするという特別規定が置かれています。ですから、GDPR ではここをはっきり考えてくれていて、研究の先生方が第三者取得したときに、その場合に不要と判断した、あるいは、過大な費用なり手続きが必要となってくる場合にはやらなくていいです
よということで、ここはフリーにしているということになります。我が国ではこういった規定条文がありません。だから少し不明確ということになってくるわけですね。
次、統計の場合の制限規定の緩和ということで、第 1 項の保護措置、最小限原則、仮名化
その他の代替手段をとる場合を実施するという条件の下で、各規定を制限することできるとあります。どういうことかというと、本人からのアクセス、訂正、取り扱いの制限、異議権、ここに書きました 4 つの権利はですね、制限してかまわないというのです。要するに、研究目的で取得した情報があります、消せといわれると研究が不正確になります、ビジネスはまた別ですけどね、ビジネスではなくて研究ですからできるだけ正確にやりたいという場合があると思います。そのときに、正しくやるという必要性があるのだったら、例えば仮名化しましょうということになります。そうすれば本人がわかりにくくなりますよ、だから符号に変えますよということです。
実名を避けますよということは匿名化するのとちょっと違います。他の手法をとる、ある
いは最小限原則にする、名前の場合も名字はいいけど下の名前は外すなど、必要のないもの
は削るというかたちで最小限にするということで、これらの例外規定は使ってもいいのです。通知義務のポータビリティを制限、規制規定はないのですけれども、実質上あまり問題にはならないでしょう。消去の権利は、目的達成出来なくなるような場合に限定して、制限できます。異議権、これについても公共の利益のうえに限り制限が可能になります。
公共の利益、研究の目的ですね、こういったものができれば制限は可能です、というように制限を加えることで、どちらかというと研究目的は原則通りに保護してくださいといい
つつも GDPR 上は先生方の研究を比較的保護するようなかたちに整備がされているという
わけです。
15

［スライド 13 枚目 我が国における社会調査の体制上のポイント］
ここで、どちらもまとめましてですね。先生方が社会調査を実施するときのポイントというのをいくつか整理しました。整理したものをちょっと先生方に見ていただきたいと思います。まずここは我が国における社会調査の体制上のポイントということでご理解ください。まず体制ですね。利用目的の明確化、これはもう当然のことです。同意の明確な取得とその証跡の確保、監査のあとの削除も可能です。ただし個人情報のデータ主体自体の削除を前提とします。個人情報のデータの削除を確保できるのならば監査後にその明確な取得情報あるいは証跡を削除しても構わないでしょう。安全管理措置の実施いうことで、先ほど少し確認しましたが管理体制をぜひ作っておいてください。統括保護管理者、こういうものがあるから厳しくなるということではありません。こういうものがあって制御しているということを明確にしてくださいということです。統括保護責任者、これは全体の統括ですね。
保護管理責任者、担当者の設置、それから物理的な管理、入退室管理ということですが、先生方のお部屋には個人情報が山ほどあるでしょう。研究員や先生に質問に来た学生が自由に入れるとしたら、そのときにパソコンが起動していたら見えてしまいます。これはもう最悪最低ですよ。そういったことは絶対にないように、物理的安全措置である入退室管理、個人情報の場合はサーバールームには生体認証でなければ入れないとかですね、そういったものすごく厳しい物理的安全措置、そしてカメラをつけて入退室を管理するということをしなければいけないですね。
こうした結構お金のかかる話を民間企業ではやっています。先生方にはそれは難しいでしょうが、少なくとも PC に関するコントロール、ノート PC の持ち出し、紛失、こういったものが絶対にないようなコントロールがこの物理的管理措置ということになります。さらには、技術的管理、まあこれだけではないのですけれども、フリーソフトを入れたらどこかのデータが逃げていくみたいなですね、そういう馬鹿げたことが起きないようにしなけ
ればいけません。それらの措置が適切に実施されているかについての監督監査の実施方針、
指針にそのように書いてありますので、この監督監査をしないといけないですね。そうするとこういう方が監督監査してもいいですし、これとは別の管理者というのを作って監査しても結構です。保護管理官のやっていることが正しいかどうかを監査しても構いません。この方がそれを兼務してもかまいません。いずれにしてもきちんとした監督監査が実施されて、できれば監督監査の報告書などが当該機関の長に対して提出されるというようなかた
ちにしておくとよいだろうと思います。
これは先ほどいいました委託先の監督ということですが、委託先の選定、それから契約、委託先監督、これ個人情報保護法の委託先監督とまったく同じレベルの話です。すなわち信頼できる人しか使ってはいけない、そもそも十分なコントロールを出来ない人を選んでは駄目という話ですよね。民間ではどうやっているかというと、事故を起こした企業は基本的には外します。厳しいですよね。ですから事故を起こして数年たってきちんと体制ができる
16

までは、採用しないということになります。なおかつ例えば厳しいところですと、P マーク
も 2 年ごとに評価替えがあります。そうすると 2 年後に落ちてしまう場合もあるわけですね。P マークを持っていればよいというわけではないのですけれども、最低基準でそれが必要であるといった場合もあります。そういう人たちとの間で委託契約を結びます。きっちりとした委託契約、この中には先ほどの保護管理者がきちんと管理しますという規定があります。それからその次に書くことなのですけれども、委託先監督を受け入れるということですが、厳しいときには立ち入り検査を受けます。
ただし、業務に支障のない範囲でというようなことも書いて、立ち入り検査まで実施できる。それを認めるということです。立ち入り検査と書いてあるので、実際に立ち入り検査をするのですかというと、実際にはしないことが多いです。だけど、相手方は立ち入り検査したときにぼろが出たらおしまいじゃないですか。もう 2 度と仕事をもらえなくなるので、そうすると立ち入り検査しますというだけで、ものすごく絶大な効果を発揮します。その意味ではそういった条項がきちんと書いてあるかどうか、そういうものがきちんと入っているかどうかということが問題になってくるということであります。すでに先生方から委託管理の雛形について我々は見せていただいておりますので、そこに書いてあるものをきちんと書いていただいて先生方に使ってもらいたいです。そして厳しい委託契約を結んでいただくということになります。最後に 3 番目で委託先監督、これは指針に基づいてということになりますけれども、委託先監督、再委託先の監督ということをきちんとしてください。監督とはそんな難しいことではないです。要するに、委託先に「安全ですか」と電話一本入れていただければいいのですね。きちんとやっているものを紙で報告しておいて、あるいはメールで送ってくださいと、それでいいわけです。そういうなかたちをして、そのときにしどろもどろだったら、仕方がないから一回見に行くからきちんと説明してくださいね、ということでもいいです。そういったことをきちんとやっているかどうか、これが監督・監査しているかということになります。このエビデンスもきちん取っておいていただきたいです。こういったことをまず体制上のポイントとして先生方にはおさえていただきたいと思います。
［スライド 14 枚目 社会調査の実施のうえでのポイント（1）］
実施上のポイント・調査実施における留意点ということで、どういうことをしないといけ
ないか、どういう点について注意しないといけないかということですが、正確な調査を実施するにあたって本人確認・本人同意は必須ですね。同意をぜひ取りましょう。住民基本台帳のあとに正確な調査をするわけですから、こういったことをきちんと行ってください。
ただし、完全な匿名アンケートの場合は一切の個人情報をとらないので、一般情報として利用可能ですという場合は、正確性に留意してください。完全なアンケートの場合は筆跡が出てくる場合がありますが、特徴な筆跡の場合はそこから個人が洗い出せるのではなかろうかという疑問もないわけではありません。たとえば、俳優さんばかりにアンケート調査をすると、それが悪筆あるいは達筆になると特定できちゃうかもしれないですよね。そうなっ17

てくると、「これに匿名性はありますか」といわれると匿名ではないとなってくるわけですね。識別可能ということになります。ですから、そういう意味では通常のアンケート、匿名アンケートというものは、チェックでレ点をつけるとか、マルバツつけるとかそういったことで、あまり個人の生体情報が乗らない、筆跡だとかそういったものが残らないといったよ
うに考慮していただければ、自由に使っていただいて結構ですよということになって、これは一般情報と同じようになります。調査会社が適切な調査を実施したこと、直接本人に聞き取りしている事実、聞き取りに際しての目的の告知、同意の確認というものができているか
どうかに基づいて管理、処理体制、安全管理措置を取っていることなどを発注者、研究者が監督監査する義務があります。ですから、この部分についても実際にやるのは、調査会社が適切に調査したことを本人に確認するということを、金もかかるし手間もかかるので大変だと思いますけれども、抜き打ち的にやっていただくことは必要だろうと思いますし、可能な限り実施していただいて安全管理措置を取ってください。この部分、前半の部分は適正取得になるかと思いますけれども、管理、処理体制は安全管理というところでこれを監督し調査する、監査するということが研究者、発注者の義務になるということですから、この点を充分注意していただきたいと思います。費用の関係もありますから、これがレベル感で示されていなくとも、先生方から見て安全だと思うレベルであれば、それで構いません。ですから、この点については、基本的にはこういう義務があるので、許される限り先生方の知見に基づいてコントロールしていただければよい部分ということになります。
次、研究者が調査会社から情報を提供される場合、研究会社、調査会社からみれば研究者に情報を提供する場合では確実に非識別加工情報とするか、個人情報そのままで成果物に準ずる場合は個人情報として厳格な取り扱いを実施することと保管管理を実施すること、
この 2 つをきちんと処理していただきたいと思います。
ようするに先生方が共同研究で、すぐにほかの先生にもお渡ししたい。サーバーにも入れたい、いろいろなコントロールをしたいということであれば、必ず非識別加工情報に処理していただきたいです。先ほどからくどいように申し上げているように、何と比較して照合しても絶対に個人情報がバレないという情報にしてください。もうひとついいますと、匿名加工情報に関しては個人情報保護法上、照合禁止という規定がついているのですね。ようするに、ほかの情報とくっつけては駄目だからというものです。これはいってみれば匿名加工情報というものは少し頑張れば照合できてしまうわけです。
民間のほうの匿名加工情報は、容易以外は全部匿名加工情報になってしまいますから、そうすると、少し頑張れば見えてしまう、だから照合しては駄目というのが民間の規定となっています。ところが先生方にはその照合禁止の規制はありません。なぜならば 2 つしかないからですね。個人情報そのままか、おおよそ照合できない非識別加工情報か、この 2 つの概
念しか先生方には与えられていないわけですね。ですから、先生方の立場としては、絶対に照合出来ないかたちで渡せ、他のも全部消してよい、だからこういうふうにまるめてよい、というところまで調査の委託業者へ指示いただいて、先生方のところに安全な情報が来る
18

ようにしてください。ただし、監査の場合は、本人がちゃんと答えているのか、代わりの人が答えたのではなくて本人がきちんと答えているのかいうのは監査行為としてやっていただくことになります。それが終わったら監査了解と、だったらそれで終わらせればいいです。
そして先生方がデータとして取り扱う部分については非識別加工情報とするか、あるいは識別できる個人情報として扱ったらきちんと厳格にコントロールしなければいけない、という世界になります。ここがすごく難しいのです。ようするに、個人情報保護法の世界でも、加工してもどこまでが個人情報なのかという問題はあるにはあります。だからこの部分は、充分に注意をしていただいて調査会社が研究者の先生方に情報を渡す場合で、確実に非識
別加工になっていれば、それ以降は非識別加工情報ですから、個人情報ではなくなってくるわけです。ですから、研究者としてはそれを自由に渡してよい、こういうような関係性になってくるというようなことになります。
個人情報そのままの場合は、個人情報として取り扱ってくださいということになります。
発注者である研究者は、非識別情報であること、すなわち他の情報との照合で特定の個人が特定できないことを確認する必要があります。確認できる場合は NG として利用前に照合できないかたちにしてください。私のイメージでいうと突っ返していただきたいと思います。研究者から調査会社にこのかたちだと照合できてしまうので駄目だと指示してください。
「もっとまるめてかまわないから、きちんとした処理をして科学処理をして渡してくだ
さい、見えないようにしてください。でなければ我々は成果物として受け取れません」というぐらいのことは先生方からいっていただいたほうが安全です。そうすると、先生方の管理のレベルをぐっと下げていいことになるわけですね。個人情報として認識できれば、個人情報としてのレベルの高いところで完全に保護していかなくてはいけないというような関係性が出てきますので、この点を充分注意しましょうというのが留意点のポイントの 1 つ目です。
［スライド 14 枚目 社会調査の実施のうえでのポイント（2）］次に、ポイントの 2 ということで、情報利用についての問題ということになります。やはり問題になってくるのは共同利用です。先ほど少しお話しした通りですが、共同研究の場合の共同利用の規定とは独個法のなかにはありません。独個法は共同研究しているはずなのに、その部分については正確に規定を置いてくれてはいません。
大学等の研究機関の研究の場合、個情法の 4 章の適用がないということは先ほど確認しました。第三者提供は原則禁止であるけれども、これは先ほど見ました独個法の 91 項で禁止されているのですが、例外規定として読みました。研究目的、統計目的処理目的の場合には第三者提供が認められると書いてある、かつ利用目的外に利用提供できると書いてあると先ほど申し上げましたね。
けれども、この規定だけではちょっとおかしくないか？保有個人情報を自由に第三者提供してよいのか、本当に大丈夫なのかという疑問を持つわけですね。
「この提供、利用とは
19

何かと確認をすると通常は特定個人識別性のないかたちで利用されることとなるため、個人の権利・利益を侵害する恐れがほとんどないと考えられる」（宇賀克也）となってくるわ
けですね。
次に、これは総務省です。
「特定個人が識別できないかたちで用いられるのが通常であり、個人の権利・利益を侵害される恐れが少なく、かつ公共性も高いため例外とした」。こう書
いてあります。本当でしょうか。9 条の 1 項、2 項を見ましょう。保有個人情報と書いてあるのですよ。保有個人情報って個人情報のかたまりのことをいっていますから。それは特定の個人を識別できる情報ではなかったのではないでしょうか。独個法上は特定個人が識別出来ないかたちならば、非識別情報といってもらわなければ困りますね。
その本当にこうなのかというのが、ちょっとよくわからない、という部分です。ですから、先生方から見ると、法律学者とか法律家というのはいいかげんだなと思われると思います
し、僕はその通りだと思うのですね。ですからこの部分の規定は、もう少し整理しないとい
けないし、先生方がご意見いただいて解説していかないといけないのではないかなと思います。いずれにしましても 9 条 1 項が無秩序に無制限に研究目的だから、統計処理の目的だから第三者提供も目的外利用も、あっぱらぱーで自由にやっていいですよというようには読まないでいただきたいです。
やはり指針の考え方とか、個人情報の考え方とか、GDPR の考え方を敷衍すれば、宇賀先
生がお書きになった、あるいは総務省がお書きになった通り、特定個人が識別できないかた
ちで用いなければいけないというようにご理解いただいて、大学の規則としては、識別不能な状態で提供することというように考えていただければよいのではないかと思います。よって、特定個人が識別できない形態での提供であること、すなわち非識別加工情報であること、研究目的などの目的の特定の確認、さらに本人の権利侵害等がないことを的確に判断しなければならず、そのためにも提供先からの利用目的遵守等を内容とする誓約書の取得、契約などの規制が必要ではないかと考えられるかもしれません。すなわち提供する場合です
ね、利用者からの利用目的の遵守というのを守ってくださいということもやっぱりしなけ
ればいけないでしょう。あっぱらぱーなところはやはり駄目だよねということになるので、そうするとやはり制約書とか契約というものが必要になってきますよね。
「完全に非識別加
工情報であったら、もうそれ以上なにもないですから、それはもう自由にしていいですよ」、「あの非識別加工情報であればあっぱらぱーでよいのではないですか」という考え方もあるわけですけれども、やはり個人の権利・利益が侵害される恐れは皆無ではなくて、少ないとも書いてあるので、やはりこの部分の注意は最終的には必要だろうなというように考えられるわけですね。この独個法の中で、9 条の規定も、そのような意味では権利・利益は侵害されないということは前提に考えているところだというように考えられますので、こういった点を考慮いただければいいのかなと思うところであります。
［スライド 15 枚目 参考情報］
20

ここからは参考情報ということで、確認ということになりますが、個人情報の 5 章 76 が適用される場合において指針上求められる手続きですね。76 条で個人情報保護法が排除されるわけですね。例外規定の場合に、指針上求められる手続きとはなんでしょうかということで整理をしてくれました。
提供元にも個人情報適用ですから、私立大学同士というようなイメージです。その場合に、これがひとつの主体としてみなされる研究グループ、つまり共同利用ではないといっています。ここは共同利用ではなくて 1 つの主体としてみなしうる研究グループ、ですから 1 つの管理です。極端な話、1 つの管理ということは、全部管理できるという前提になります。
片っ端から全部管理できます。そうなのかな、と思いますけれども、そういうような考え方だそうです。
そういうような状況でみると、提供元は調査会社に委託して情報持ちました、これは機関
X が管理する個人情報で研究に用いる資料だとか情報だとかを他の機関に提供することに対して、「期間内で規定だとか手順書というのはきちんと整備していますか？結構厳しいですね。それでは研究責任者の R が研究者責任者の R’に情報を提供します。そのときに提供に関する記録を残して保管します」。ここは個人情報を第三者提供する場合と全く同じ手続
きです。
だから本当に厳しいのですよ。記録を作らないといけません。今度、個人情報保護の改正でここのところがもっと強力になりますね。個人情報の移転についての記録が義務になります。だから研究者の間でも提供するときには、「いついつ、何々先生に、何々の情報を提供しました」と書かないといけません。
今度は、個人情報をいただくほうですね。指針に基づいて、研究計画を一緒に作らないといけません。そしてその研究計画のなかでいただきました提供元を確認する必要があります。面白いですよ、提供先が提供元の R 先生がきちんとした手続きをとったことを確認するわけですよ。こんなことできるのかわかりませんが。くれるといったときにありがとうというのではなくて、「あなたは本当に正しく手続きを踏んで私に提供しているのですか？」と確認しろということです。少し厳しい話ですけど、そういうことです。
次に、記録に関する作成と保管。ここはここと同じものですね。ここは同じもの、ここで出来ないといけない。こちらはこちらの立場で、同じことが照合できないと駄目だよとなる
わけですね。こういうようなことで、研究に関する情報の通知または公開がおこなわれます。
こういうふうになる。行個法あるいは独個法の期間っていうのは例外規定ですよね。では例
外規定でこれは全部なくなりますかというと、指針がありますので、ほぼほぼこれと同じということになるでしょう。これが 1 つの参照となります。
［スライド 16 枚目 前同］次に、これは医学関係のものですから、インフォームドコンセントの話になっています。
これをとったのはこちらのほうですね。人を対象とする医学系の研究に関する倫理指針と21

倫理指針のガイダンスというのもございます。
これも非常に参考になるので、ぜひ先生方も（手元に）置いておいていただければと思いますけれども、いろいろ改正をしているわけですが、右側を主に見ていただければと思いま
すけれども、原則として同意して記録をきちんと取ってください。匿名化されていて対応表が作成されていない場合はよいですよということになります。つまり匿名加工情報または非識別加工情報として取得しているならばよいですよということです。
では、そうではなくて個人情報として取得している、匿名化されて直ちに判別できない、
学術研究その他特別の理由がある場合は、通知公開は原則オプトアウトができていれば可能ですよということで、医学系のものでかなり慎重に扱っている場合であれば、医学上の指針でこういうものになっています。
ただ、こういうものもきちんと考えていくと、やはり非識別加工情報であれば、それはそれで構わないとなっているようです。だから原則は同意を得て個人情報として取得するということになります。だいたい同意で取得という流れになっていくと思いますね。
「いいえ」というのはほとんどないと思いますけれども、このような指針、インフォームドコンセントの他機関への提供ということについて考えていると、他機関への提供について原則同意されている場合は問題なくできます。
匿名化されているものはインフォームドコンセントの手続きは不要で、提供してもよいです。特別な場合というのも、オプトアウトをとれば提供してよいということで、他機関へ情報提供する場合の提供の仕方と。それから、こちら側は共同研究者になるのでしょうか、
こういうようなかたちで医学部の場合もコントロールしてください。
［スライド 17 枚目 前同（海外への資料情報の提供）］
海外への資料提供ということで、委託によるということは、調査をした結果を渡す場合も含みます。改正個人情報にて外国にある第三者への提供に関する規定が設けられたことに伴い、指針においても、すべての研究機関に共通のルールとして手続きを求める。委託する場合も同様の話です。
委託するような場合に、これは医学系の指針ですけれども、原則適切な同意はやはり必要です。それから、ある国への提供、一定の基準を満たす体制が確保されたものへの提供、そうするとインフォームドコンセントはいらないというのですが、現在の個人情報保護法では、この規定はこの国では 1 個もありません、規定されていません。ですから存在しません。
次は「いいえ」ですよね。匿名化されている個人を識別出来ないものに限る、このいい方だと非常に強いものですよね、匿名情報、非識別情報である、そうするとこれは提供してか
まわない、インフォームドコンセントの手続き不要で海外の団体に提供しても構いません。
こういうものであれば。匿名化されているプラス学術研究その他の利用の場合は、通知、公開だけでよいでしょうかね。
22

匿名化されていない、学術的その他特段の理由がある、たとえばがんの研究であっても、コロナウイルスの研究で特異事例だけれども研究しなければならず、そのデータは個人に付着しているが、それがすごく大事というケースがあるかもしれません。識別されてしまうのだけど研究のために必要という場合には、原則オプトアウトということで可能になることがあります。
社会的重要性が高いこの 2 つについては、法律の適用除外とか例外規定に該当する場合のみ用いることができます。生命とか身体に影響がある場合、社会の保険上必要がある場合
においては、個人情報が無断で第三者提供許されるという例外規定があります。ようするに逮捕しなければいけないとか、感染を確実に止めないといけない、そういったような緊急の事態については個人情報保護法の第三者提供の目的外利用を認められるという規定が置かれていますから、そういった規定に基づく理由があれば、適切な対応ができますよ、こうい
うようなコントロールをしますよということになっているということであります。
［総括］
以上、わたくしのほうから今回の個人情報保護法について大学の先生方が調査を実施するときのコントロールというところについてお話をしました。
ただ最後に少しだけ CCPA について、レジュメのようなかたちで別途先生方に情報提供させていただきます。
最初にお話ししたように、米国でも少し揺れているところになります。CCPA のカリフォ
ルニア消費者個人情報保護法については、法律としてはもう成立していますから、いつ訴訟が起きてもおかしくないというかたちになりました。
しかし、行政罰については、この 7 月に法務長官が規則を定めるということになっているのですが、今混沌としている状況にあり、このなかで CCPA 自体の改正法がいくつか提案されてきているというような特殊な状況にあります。
ただ流れとしては、アメリカにおける個人情報の保護というのは非常に強くなっていくということ、そして個人情報のコントロールについてまずいことがあれば企業に対してものすごく大きな罰金をかけていくというようになって、漏らした件数・人数の分が加算されて莫大な費用が払わされるというような、GDPR の制裁に類似した巨額の損失を与えていくという仕組みが作られているところになります。
そういったカリフォルニアの動きは、ほかの州も踏襲して次々と立法化が進んでいるという現実があります。先ほど申し上げましたように今後、連邦法ということで成立するかもしれません。こういった、アメリカの動きというのもぜひ見ておいていただきたいと思います。
アメリカの場合はどちらかというと所有権絶対の方式というのがありますから、情報を取得した人は、「これは所有権に基づいて完全に保護されます。だから提供した人はとにかく文句をいわないでください」というのが今までの考え方でした。
23

しかし、現在は、その考え方は大きく変容してきて、個人情報という考え方でその情報を提供した人たちを守るというようなかたちに状況が変わってきているということになります。その点も考慮に入れて今後の研究活動を進めていただきたいと思うところであります。
私のお話は以上とさせていただきまして、先生方にご質問があれば、ご質問をお受けした
いと思います。よろしくお願いいたします。

24