ディスカッション

ペーパー

個人データ保護の厳しい環境変化に対応した社会データの利活用
2020年3⽉3⽇
牧野総合法律事務所弁護⼠法⼈
弁護⼠ 牧野⼆郎
弁護⼠ 森 悟史
弁護⼠ 牧野 剛
1本⽇の議論サマリ•

社会調査を実施するにあたっては各国の個⼈情報保護法制に留意する必要があります。
• 特に、2020年1⽉から施⾏されたCCPA（カリフォルニア消費者プライバシー保護法）に注意が必要です。企業を対象とする厳しい規制ではありますが、学術調査への影響も強く懸念されます。
• EUのGDPRは、アジア諸国を席巻しており、次々とGDPR準拠の新法制が制定されています。こうして、我が国を取り巻く環境は急激に変化しています。
• 社会調査においても世界標準（GDPR及びCCPA）を踏まえた対応が必須となります。今回は⽶国の対応をも視野に⼊れた議論をしたいと思います。
2

個⼈情報保護の法体系、法制度• 個⼈情報保護法

・・・・基本法• ⾏政機関が保有する個⼈情報の保護に関する法律↓• 独⽴⾏政法⼈が保有する個⼈情報の保護に関する法律• 各県の制定した条例

個情法
⾏個法
独個法
条例

3

⼤学、研究機関等の社会調査活動に対する法的規制の全体像• まず、前提としての法的規制の枠組みを確認
最狭義 国⽴⼤学、国⽴研究機関 単体
独⽴⾏政機関個⼈情報保護法
公⽴⼤学
個⼈情報保護条例
狭 義 私⽴⼤学、上記以外研究機関
個⼈情報保護法
国⽴⼤学＋私⽴⼤学等
独個法＋個情法
共同利⽤の場合の規制、監督、責任問題
独個法、個情法＋契約による
広義
国際的協⼒、越境考慮
GDPR適⽤が基本 ＋各国特例
注）独⽴⾏政法⼈の保有する個⼈情報保護に関する法律は「独個法」と、⾏政機関の保有する個⼈情報の保護に関する法律は「⾏個法」、個⼈情報の保護に関する法律は「個情法」、個⼈情報保護委員会は「個情委」とそれぞれ省略する。
4

個⼈情報保護法等の改正に伴う研究倫理指針の改正について
⽂部科学省 厚⽣労働省

経済産業省

平成２９年５⽉＝抜粋＝

5

独個の特⾊と個情との関係• 個情法が全体の基本法、独個法⾏個法が⼀般法として参照されるのが前提• しかし、個情法76条1項3号「⼤学その他の学術研究を⽬的とする機関もしくは団体またはそれらに属する者 学術研究の⽤に供する⽬的」の場合には第４章（個⼈情報取扱事業者の義務等）の規定を適⽤しないとしている。すなわち、個⼈情報取扱事業者としての義務等の規定の適⽤はない。
• 但し、⼤学等は、各⾃適正対応できるように必要な措置を定め、公表すべきだ、と規定する（同条３項）。
• 総務省から「独⽴⾏政法⼈等の保有する個⼈情報の適切な管理のための措置に関する指針について（通知）」既発• 国⽴⼤学、国⽴研究機関等は、独個法の適⽤、および上記指針の適⽤がある。
独個法の独⽴⾏政法⼈⾮識別加⼯情報の取り扱い（4章の2）に関しては、多くの規定で、個⼈情報保護委員会規則に従う（44条の5、6、7、9、10、15）、個情委の監督を受ける（48条の4以下）、など、個情法、個情規則、個情委の権限を認める規定がおかれている。
• 独個法は、独⾃の観点から⾮識別情報（照合、復元が不能な情報）の取り扱いについて、利活⽤の視点から推進している（4章の２）。
6

匿名加⼯情報と⾮識別加⼯情報の違い
個情法の個⼈情報

独個法の個⼈情報• がちがちの個⼈情報• がちがちの個⼈情報• 簡易な匿名化＋容易に照合できる情報のある場合• 困難な照合でも、照合で識別できる場合（本当は照合できて、識別できる場合があるが、それは個⼈情報とは⾒ない。⾃由にして良いことになる）（およそ、照合できるのであれば、すべて個⼈情報とする）

個情法の匿名加⼯情報
a 記述式個⼈情報の場合記述等の⼀部を削除する（識別情報など）b

識別符号がある場合個⼈識別符号の全部を削除すること

独個法の⾮識別加⼯情報２条８項〇 がちがちの個⼈情報（容易に照合できる程度のものを含む）に限り、それを、およそ特定の個⼈が識別できないように加⼯したものa 左に同じ
b 左に同じ7独個法の⾮識別情報の規定
独⽴⾏政法⼈等の保有する個⼈情報の保護に関する法律
第2条8項• この法律において「⾮識別加⼯情報」とは、次の各号に掲げる個⼈情報（他の情報と照合することができ、それにより特定の個⼈を識別することができることとなるもの（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを除く。）を除く。以下この項において同じ。）の区分に応じて当該各号に定める措置を講じて特定の個⼈を識別することができない（個⼈に関する情報について、当該個⼈に関する情報に含まれる記述等により、⼜は当該個⼈に関する情報が他の情報と照合することができる個⼈に関する情報である場合にあっては他の情報（当該個⼈に関する情報の全部⼜は⼀部を含む個⼈情報その他の個⼈情報保護委員会規則で定める情報を除く。）と照合することにより、特定の個⼈を識別することができないことをいう。第４４条の10第１項において同じ。）ように個⼈情報を加⼯して得られる個⼈に関する情報であって、当該個⼈情報を復元することができないようにしたものをいう。

8

個⼈情報の範囲の違い 独個法が広い
個情上の個⼈情報の範囲

独個上の個⼈情報の範囲

単体で識別可単体で識別可

容易に照合

容易に照合

照合困難だが、特定可能

照合不能、識別不能

匿名加⼯
＝匿名加⼯
情報
困難でも特定可能になるので、⾮識別情報とはならない

照合困難だが、特定可能照合不能、識別不能？

照合しても特定の個⼈が識別できない＝⾮識別加⼯情報9独個法、個情法 ⽐較検討表
重要概念

個情法

独個法

ポイント

個⼈情報の概念

⾮容易照合は含まない

⾮容易照合も含む（広い）独個2条2項1号カッコ

適正取得

17条

５条

⾏個法には規定なし

安全管理措置20条

７条安全確保の措置（総括保護管理者、各課に保護管理者、保護担当者及び監査責任者を置くこと）

独⽴⾏政法⼈等の保有する個⼈情報の適切な管理のための措置に関する指針について（通知）

委託

22条

指針 業務委託の際の注意事
項確認

識別情報の消去等

匿名加⼯情報（緩いもの ⾮識別加⼯情報（厳格に⾮識も含む）別であること）

個情令の基準１９条準拠

匿名情報の利活⽤

36条以下 匿名加⼯情
4章の2
独⽴⾏政法⼈⾮識報取扱事業者として⼀定 別加⼯情報の⺠間利⽤を可能の義務ありも、利⽤⾃由 とする

但し、個情委の監督あり
10

GDPRの基本的⽴場• EUの個⼈情報保護体系
GDPR（官⺠、研究機関等すべて包摂）＋各国法（刑事罰等）
⼤学、研究機関も，例外なく適⽤対象である。
「公共の利益における保管の⽬的、科学調査若しくは歴史調査の⽬的⼜は統計の⽬的のための取扱いは、本規則に従い、データ主体の権利及び⾃由のための適切な保護措置に服する。」
§89①

前⽂162

ただし、考慮事項として「科学的研究若しくは歴史的研究の⽬的⼜は統計の⽬的に関しては、知識の増加に対する社会の正当な期待を考慮に⼊れなければならない。
管理者は、監督機関及びデータ主体に対し、その移転に関し情報提供しなければならない。」 前⽂11311

GDPRにおける社会調査の法的位置づけ、取扱い
公共の利益における保管の⽬的、科学的研究の⽬的、歴史的研究の⽬的、統計の⽬的で⾏われる追加取扱いの場合、当初の⽬的と適合しないものとはみなされない。
5条1項（ｂ）〇 情報取得、利⽤に関する同意は⼤前提 6条 これに例外はない。
〇 第三者への提供に関しえては、13条によりプライバシーノーティス（提供先名、類型）が必要である。
〇 利⽤⽬的が終了した場合に、速やかに削除すべきだが、研究や、統計⽬的の場合、厳格な保管制限規定を緩和し、「より⻑い期間」保存できるとしている。
５条1項（e）〇 ⼀般にセンシティブデータ取得は禁⽌されているが、研究や統計⽬的の場合に禁⽌規定の適⽤排除 ９条2項（j)〇 第三者からの取得の場合にもプライバシーノーティス（13条所定⼿続き）が必要（14条）だが、研究、統計⽬的の場合に、その通知が、不都合な場合、過⼤な負担の場合などには、通知、ノーティスは不要とする 14条5項（ｂ)(注意：情報提供§13、同意§６、§７、未成年§８）〇研究、統計等の場合の制限規定の緩和89条

同条1項の保護措置（最⼩限原則、仮名化、他の代替⼿段をとる場合）を実施するという条件のもとで、各権利規定の特定が制定できる。
EU法、加盟国法で制限可能
15条 アクセス権(統計⽬的は太字のみ）
16条 訂正権18条 取扱い制限の権利
19条 通知義務
20条 ポータビリティ権
21条 異議権〇消去の権利 ⽬的達成できなくなるような場合に限定して、制限可能
17条3項（d）
12〇異議権
公共の利益のための利⽤の場合に限り、制限可能
21条6項

我が国における社会調査の体制上のポイント• 利⽤⽬的の明確化• 同意の明確な取得とその証跡確保（監査の後削除可能、ただし個⼈情報のデータ⾃体の削除を前提とする）• 安全管理措置の実施
管理体制の整備
①統括保護管理者、②保護管理者、③保護担当者の設置、④物理的管理（⼊退室管理など）、⑤技術的管理などのほか、それらの措置が適切に実施されているかについての監督・監査の実施（指針に基づいて）• 委託先の監督 ①委託先選定、②委託契約、③委託先監督（指針に基づいて）
13

社会調査の実施の上でのポイント（１）
調査実施における留意点• 正確な調査を実施するうえで、本⼈確認、本⼈同意は必須
住⺠基本台帳情報などを基礎に正確な調査とする
完全な匿名アンケートの場合は、⼀切の個⼈情報を取らないので⼀般情報として利⽤可能（正確性留意）• 調査会社が適正な調査を実施したこと（直接本⼈に聴き取りしている事実、聴き取りに際して⽬的の告知、同意の確認が必須）、管理、情報処理体制としての安全管理措置をとっていること、などを発注者（研究者）が監督、監査する義務がある（指針による）。

• 調査会社から研究者（組織）が成果物として情報を取得する際には、確実に、⾮識別加⼯情報とするか、個⼈情報をそのまま成果物として受領する場合には個⼈情報として厳格な取り扱い、保管管理を実施すること。

• 発注者である研究者は、⾮識別情報であること、すなわち他の情報との照合で特定の個⼈が識別できないことを確認する必要がある。照合できる場合はNGとなる。利⽤前に照合できない形とすること。
14

社会調査の実施の上でのポイント（２）
調査情報の利⽤についての留意点〇共同研究の場合• ⼤学等の研究機関の研究の場合、個情法の第4章の適⽤はない（個情法76条1項3号）。
• 第三者提供禁⽌が原則（9条1項）であるが、例外規定として、研究⽬的、統計処理⽬的の場合には、第三者提供が認められ（独個法9条2項4号）、かつ⽬的外に利⽤し、提供できる（9条2項本⽂）。
• この提供・利⽤情報とは、「通常、特定個⼈識別性のない形で利⽤されることとなるため、個⼈の権利利益を侵害する恐れがほとんどないと考えられる」（宇賀克也 逐条5版 P446）「特定個⼈が識別できない形で⽤いられるのが通常であり、個⼈の権利利益の侵害される恐れが少なく、かつ公共性も⾼い」ため例外とした（総務省 ⾏個法解説 増補41⾴）。
•

よって、特定個⼈が識別できない形態での提供であること、すなわち⾮識別加⼯情報であること、研究⽬的などの⽬的の特定の確認、さらに本⼈の権利侵害等がないことを的確に判断しなければならず、そのためにも提供先、利⽤者からの利⽤⽬的遵守等を内容とする誓約書の取得、契約などの規制が必要となる•

提供先の研究における情報取扱の規制は、個情法の例外に当たるが、提供元との契約などにより、その規範の遵守が求められる。

15

（参考資料）
個⼈情報保護法等の改正に伴う研究倫理指針の改正について
⽂部科学省

厚⽣労働省

経済産業省

平成２９年５⽉＝抜粋＝

16

前同

17

前同

18

⾮識別加⼯情報の作成は規則19条による
個⼈情報保護法施⾏規則（平成二十八年個人情報保護委員会規則第三号）
第⼗九条

法第三⼗六条第⼀項の個⼈情報保護委員会規則で定める基準は、次のとおりとする。

⼀ 個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除すること（当該全部⼜は⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
⼆ 個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
三 個⼈情報と当該個⼈情報に措置を講じて得られる情報とを連結する符号（現に個⼈情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない⽅法により当該個⼈情報と当該個⼈情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
四 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
五 前各号に掲げる措置のほか、個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈情報データベース等を構成する他の個⼈情報に含まれる記述等との差異その他の当該個⼈情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

19

独個法 研究⽬的のための例外規定
ただし解釈により⾮識別加⼯情報の限定されている（本スライド19番）ので注意すること
独⽴⾏政法⼈の保有する個⼈情報の保護に関する法律第九条 （利⽤及び提供の制限）
１ 独⽴⾏政法⼈等は、法令に基づく場合を除き、利⽤⽬的以外の⽬的のために保有個⼈情報を⾃ら利⽤し、⼜は提供してはならない。
２ 前項の規定にかかわらず、独⽴⾏政法⼈等は、次の各号のいずれかに該当すると認めるときは、利⽤⽬的以外の⽬的のために保有個⼈情報を⾃ら利⽤し、⼜は提供することができる。ただし、保有個⼈情報を利⽤⽬的以外の⽬的のために⾃ら利⽤し、⼜は提供することによって、本⼈⼜は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
⼀ 本⼈の同意があるとき、⼜は本⼈に提供するとき。
⼆ 独⽴⾏政法⼈等が法令の定める業務の遂⾏に必要な限度で保有個⼈情報を内部で利⽤する場合であって、当該保有個⼈情報を利⽤することについて相当な理由のあるとき。
三 ⾏政機関（⾏政機関の保有する個⼈情報の保護に関する法律（平成⼗五年法律第五⼗⼋号。以下「⾏政機関個⼈情報保護法」という。）第⼆条第⼀項に規定する⾏政機関をいう。以下同じ。）、他の独⽴⾏政法⼈等、地⽅公共団体⼜は地⽅独⽴⾏政法⼈に保有個⼈情報を提供する場合において、保有個⼈情報の提供を受ける者が、法令の定める事務⼜は業務の遂⾏に必要な限度で提供に係る個⼈情報を利⽤し、かつ、当該個⼈情報を利⽤することについて相当な理由のあるとき。
四 前三号に掲げる場合のほか、専ら統計の作成⼜は学術研究の⽬的のために保有個⼈情報を提供するとき、本⼈以外の者に提供することが明らかに本⼈の利益になるとき、その他保有個⼈情報を提供することについて特別の理由のあるとき。
３ 前項の規定は、保有個⼈情報の利⽤⼜は提供を制限する他の法令の規定の適⽤を妨げるものではない。
４ 独⽴⾏政法⼈等は、個⼈の権利利益を保護するため特に必要があると認めるときは、保有個⼈情報の利⽤⽬的以外の⽬的のための独⽴⾏政法⼈等の内部における利⽤を特定の役員⼜は職員に限るものとする。

20

⼤学研究者の守るべき規範
個⼈情報保護法↓76条による4章の適⽤除外

⼤学などが⾃ら必要な措置をとる努⼒をすること（同法同条3項）↓
独個法7条

⼤学等の必要な措置を義務化↓

総務省 指針（最⼩限の守るべき措置）を公表
各⼤学等はこの指針に基づいて学内の規定等の整備を⾏うこと
指針の項⽬
〇管理体制
〇教育研修
〇職員の責務
〇保有個⼈情報の取り扱い〇情報システムにおける安全確保〇情報システム室等の安全確保〇委託〇問題への対応〇監査・点検

21

指針抜粋

＋注意事項

第２ 管理体制（総括保護管理者）
１ 各独⽴⾏政法⼈等に、総括保護管理者を⼀⼈置くこととし、総務担当役員等をもって充てる。
総括保護管理者は、各独⽴⾏政法⼈等における保有個⼈情報の管理に関する事務を総括する任に当たる。
（保護管理者）
２ 保有個⼈情報を取り扱う各課室等に、保護管理者を⼀⼈置くこととし、当該課室等の⻑⼜はこれに代わる者をもって充てる。
保護管理者は、各課室等における保有個⼈情報の適切な管理を確保する任に当たる。保有個⼈情報を情報システムで取り扱う場合、保護管理者は、当該情報システムの管理者と連携して、その任に当たる（注）。
（注）例えば、第６、第７、第９-２、第10-２、第10-３その他保有個⼈情報を情報システムで取り扱う場合、保護管理者は、情報システムの管理者と連携して、それぞれの措置を講ずる。

第５ 保有個⼈情報の取扱い（アクセス制限）１ 保護管理者は、保有個⼈情報の秘匿性等その内容（注）に応じて、当該保有個⼈情報にアクセスする権限を有する職員の範囲と権限の内容を、当該職員が業務を⾏う上で必要最⼩限の範囲に限る。
（注）個⼈識別の容易性（匿名化の程度等）、要配慮個⼈情報の有無、漏えい等が発⽣した場合に⽣じ得る被害の性質・程度などを考慮する。以下同じ。
２ アクセス権限を有しない職員は、保有個⼈情報にアクセスしてはならない。
３ 職員は、アクセス権限を有する場合であっても、業務上の⽬的以外の⽬的で保有個⼈情報にアクセスしてはならない。

第８ 保有個⼈情報の提供及び業務の委託等

第4項

保有個⼈情報の取扱いに係る業務を外部に委託する場合には、個⼈情報の適切な管理を⾏う能⼒を有しない者を選定することがないよう、必要な措置を講ずる。
また、契約書に、次に掲げる事項を明記するとともに、委託先における責任者及び業務従事者の管理及び実施体制、個⼈情報の管理の状況についての検査に関する事項等の必要な事項について書⾯で確認する。
(１) 個⼈情報に関する秘密保持、⽬的外利⽤の禁⽌等の義務(２) 再委託（再委託先が委託先の⼦会社（会社法（平成17年法律第86号）第２条第１項第２号に規定する⼦会社をいう。）である場合も含む。本号及び６において同じ。）（注）の制限⼜は事前承認等再委託に係る条件に関する事項（注）委託先との契約書に、再委託に際して再委託先に求める事項は、再委託先が⼦会社である場合も、同様に求めるべきことを明記すること。
(３) 個⼈情報の複製等の制限に関する事項(４) 個⼈情報の漏えい等の事案の発⽣時における対応に関する事項(５) 委託終了時における個⼈情報の消去及び媒体の返却に関する事項(６) 違反した場合における契約解除、損害賠償責任その他必要な事項

注意点
本指針は、「独⽴⾏政法⼈⾮識別加⼯情報及び削除情報に該当するものを含まない」第１（注）記載としているが、社会調査⾃体は個⼈情報を収集したうえでこれを加⼯することから、収集、加⼯までの間は、この指針に従い適切に処理することとなる。特に⺠間調査会社への調査委託に関しては第8の規定を遵守することが重要。
完全に識別加⼯処理（規則19条）が終了した後に取り扱う場合については、個⼈情報と混同等することのないように制御したうえで、この指針の拘束がないとして取り扱う
22
ことができる。