社会調査の遂行における法的注意点
平成 30 年 3 月 14 日
はじめに
「社会調査の遂行における法的注意点」（以下、「注意点」と言います。）は、社会調査の実施において、広く情報を収集し、その情報を解析、統計化処理、公開等の利用を行う際に特に注意すべき点を挙げたものです。研究及び社会的実用性の発揮は、極めて重要なものですが、同時に貴重な情報を取り扱うことから、情報の取扱いについては各種の法的規制、法的課題もあり、十分な対応を考慮した調査実施がなされることが期待されるところです。
特に、個人に関する情報の収集にあっては、我が国の個人情報保護法制をはじめ、世界各国の保護水準を考慮する必要があり、同時に情報収集主体に対しては各種の法規制が行われているところであり、それらへの対応も必須となります。
独立行政機関、大学共同利用機関法人に対しては「独立行政法人等の保有する個人情報の保護に関する法律」（以下、「独立行政法人等個人情報保護法」と言います。）が、私立大学、私的研究組織、研究者個人には「個人情報の保護に関する法律」（以下、「個人情報保護法」と言います。）がそれぞれ適用されることになりますが、情報主体の保護の視点から
は個人情報保護法の他、各地方自治体の条例、特別法、海外にあっては海外の法制度により権利保護対策も実施されていることから、それらの保護制度への対応も必要となるところです。
社会調査により取り扱う情報は貴重な財産としての側面もあり、情報財としての財産的保護、知的財産権としての保護を受けるものであり、その側面でも注意が必要となります。
こうした法的諸問題を考慮して、適正な社会調査の実施を行っていただきたいことから、
本注意点を作成いたしました。皆様のご意見をいただき、改定を行い、より良いものとしながら、ご活用いただけると幸いです。

作成履歴

平成 30 年 3 月 14 日

第一版

平成 30 年 3 月 23 日

改訂

1

第１
１

基本的視点
基本権の保護我が国の個人情報保護制度のほか、世界各国の個人情報、プライバシー保護制度、デー
タ保護制度は、1980 年に合意された OECD（経済協力開発機構）「プライバシー保護と個
人データの国際流通についてのガイドライン」（Guidelines on the Protection of Privacy
and Transborder Flows of Personal Data）により定められた基本原則（8 つの原則） 1を基礎に置いて制定されています。
OECD は、従前のヨーロッパ中心の OEEC に、米国、カナダ、日本など 35 カ国が加盟した国際会議体です（中国、ロシアなどは加盟していません）。
世界の多くの国家がその基礎とする OECD8 原則とは次の内容となっています。
①

目的明確化の原則(Purpose Specification Principle)

・個人データの収集・利用の目的を特定し、明確に示して収集しなければならない。
②

利用制限の原則(Use Limitation Principle)

・本人に示した利用目的の範囲で利用しなければならず、同意がある場合などを除いて目的外に利用してはならない。
③

収集制限の原則(Collection Limitation Principle)

・個人データの収集は適法・公正な手段、かつ本人への通知・本人の同意を得て行われなければならない。
④

データ内容の原則(Data Quality Principle)

・収集された個人データは、正確・完全・最新でなければならない。
⑤

安全保護の原則(Security Safeguards Principle)

・安全保護対策により紛失・破壊・使用・修正・開示等から保護しなければならない。
⑥

公開の原則

(Openness Principle)

・個人データ収集の実施方針、権利保護手続き、データの存在、利用目的、管理者等の情報を公開、明示すべきである。
⑦

個人参加の原則(Individual Participation Principle)

・本人に関するデータの所在及び内容を明示し、異議申立等の権利保全手続きを確保しなければならない。
⑧

責任の原則

(Accountability Principle)

・個人データを収集、利用等する管理者は、諸原則実施の責任を負う。
こうした原則に従い個人データを取り扱うことが求められています。

1OECD（経済協力開発機構）は、1948 年に設立され、パリに本部が置かれています。我が国は 1964 年(昭和 39 年)に加盟しました。OECD は、1)経済成長、2)貿易自由化、3)途上国支援（OECD の三大目的）に貢献することを目的に、主に経済協力、経済活動に関する国際的な協調、支援等を行っており、1980 年頃からデータ利用が活性化していたため、データの安全性を確保し、特にプライバシーにかかるデータの保護に向けた世界の協調を進める作業をしていました。OECD8 原則は各国個人情報保護制度の基本に置かれています。

2

２

我が国の法制度
我が国では、プライバシー 2、個人データ、個人情報といったものの保護制度は 2005 年（平成 17 年）の個人情報保護法の制定（全面施行）によってスタートしました。それまでは判例によりプライバシー権（「私生活をみだりに公開されないという法的保障ないし権利」東京地裁昭和 39 年 9 月 28 日「宴のあと」事件判決）が認められ、その後、判例が積み重ねられるようになりました 3。
他方で、地方自治体を中心に、条例による個人情報の保護の動きがあり、1990 年（平成2 年）3 月に神奈川県をはじめとし、その後 2005 年（平成 17 年）までにはすべての地方
自治体で個人情報保護条例が制定され、国のレベルでは 1988 年（昭和 63 年）に、「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」が、2003 年（平成15 年）に「行政機関の保有する個人情報の保護に関する法律」、2005 年（平成 17 年）に「個人情報保護法」が順次制定されました。
このほか住民基本台帳法においても、登録された住民情報の保護が求められており、統計調査、世論調査、学術研究その他の調査研究について、総務大臣が定める基準に照らして公益性が高いと認められるもの等に限り、住民基本台帳の一部の写しを閲覧させることができる（同法 11 条の 2）とされるなど、厳しい規制が設けられています。
３

統計法
我が国では公的統計に関して統計法が制定されています。
統計法は「公的統計の体系的かつ効率的な整備及びその有用性の確保を図り、もって国民経済の健全な発展及び国民生活の向上に寄与することを目的とする」と規定（第 1 条）され、その基幹統計として国勢統計（国勢調査）、国民経済計算などが指定されています。
統計法の基本理念として、「適切かつ合理的な方法により、かつ、中立性及び信頼性が確保される」必要があるとされ、また「広く国民が容易に入手し、効果的に利用できるものとして提供されなければならない」と規定（第 3 条）され、さらに個人等の秘密は保護されなければならないとされています。
この背景には、「国連の公的統計の基本原則」（1994 年国連統計委員会採択、2014 年総2個人情報保護法は事業者規制法としての性格があり、企業の保有する生きている個人に関する個人情報、

データベース化された大量の個人情報の特定の部分としての個人データを管理、制御する法律です。プライバシーは法的には明確に定義されていませんが、個人情報の取扱いに留まらず、さらに幅広い内容を含むと考えられ(個人情報保護委員会｢よくある質問（個人向け）｣)、経済的、精神的損害を受けた場合などに、その侵害行為に対し民事上の不法行為責任が問われる関係にあります。
3個人情報の漏えいに関するものとして、宇治市個人情報漏えい事件（最高裁決定平成 14 年 7 月 11 日）、
ベネッセコーポレーション事件（最高裁判決平成 29 年 10 月 23 日）、個人情報の不当な開示として、早稲田大学江沢民事件（最高裁判決平成 15 年 9 月 12 日）、田中真紀子出版差止め事件（東京高裁決定平成
16 年 3 月 31 日）等があります。

3会決議）があり、我が国も共同提案国となっています。
この基本原則には、公的統計に対する信頼性を確保するため、統計機関は、「科学の原理と専門家としての倫理を含む厳密に専門的な見地から、統計データの収集、処理、蓄積及び公表の方法及び手続を決定する必要がある。」（原則 2）とし、さらに、「データの正しい解釈を促進するため、統計機関は、統計の情報源、方法及び手続に関する情報を科学的基準に従って提示しなければならない。」（原則 3）と定め、同時に収集した「個別データ」は「厳重に秘匿されなければならず、統計目的以外に用いてはならない」（原則 6）と定められています。
こうして統計法の世界では、利用目的の明確化、その目的に沿った利用、データ収集の方法、手続、処理、蓄積及び公表などについて決定し、かつ提示する必要があるとされています。
こうした世界基準に従った社会調査、情報収集、情報利用が進められる必要があります。
４

新しい環境における留意点
インターネット、ビッグデータの活用に関連して多くの課題、論点が指摘されています4。個人情報、プライバシーに関連する問題としては、行動履歴、購買履歴、通信ログ、ア

クセス記録など多様な情報が機械的に記録され、利用される環境が進み、これらの取扱いが問題となっています。本人の同意が取られているのか、利用目的は明示されているかな
どの問題が生じることになります。また、自動的に情報を収集し、解析するロボット（クローラ）、ソフトウェアロボット、さらにはそれらを解析・利用する AI なども問題となります。
EU の法的規制となる GDPR（General Data Protection Regulation） 5では、我が国の個人情報保護法上の｢個人情報｣の概念よりもかなり広い範囲の情報を「個人データ」として保護する対象としています。そのため、より徹底したプライバシー保護に資するものとなっているようです。さらにこの法制では、データ主体のプロファイリングを含む、個人
データの自動処理を拒絶する権利を保障する（第 22 条）など、自動処理に対する権利保障とその侵害に対する厳しい対応 6が規定されています。
EU 域内の情報を収集する場合には GDPR に十分配慮し、EU 域内の大学、研究組織、調査会社等と十分な打合せを行い、万全の対応を取る必要があります。

4「提言社会調査をめぐる環境変化と問題解決に向けて」日本学術会議社会学委員会 平成 29 年（2017年）9 月 19 日 P7 (4)インターネット調査の普及とその問題点、P10 (7)ビッグデータ収集に伴う調査
倫理の問題
5EU（欧州議会）において 2016 年に採択され、2018 年 5 月 25 日から施行される一般データ保護規則のことで、EU 域内（加盟各国、関係国（EEA））居住の情報主体の権利保護の規則であり、違反した外国
企業、組織等に対する制裁規定を持つもの。
6GDPR 83 条 5 項(b)参照

4

５

収集情報の切り分け、対応の多様性
社会調査において収集する情報は多様であるとしても、人に関係する情報（個人情報、及びその周縁、不動産（家屋など）情報、道路情報、プライバシー関連情報など）と、人に関わらない情報（天候、気温、気象、自然、動物、交通機関の動静など）が調査対象となると考えられますが、前者は個人情報保護法、民法の不法行為を考慮することになります。後者では営業秘密の侵害など不正競争防止法関係が問題となる可能性もあります。
大まかに区分すれば、①

生きている人に関わる情報（行動、購買、通信、健康などの情報）＝個人情報②

容易に特定の個人を識別できない情報
単体では個人情報にならないが、プライバシーの問題となる場合がある。

③

家屋、道路などの情報
単体では個人情報にならないが、一意になる場合には個人を識別できる場合もあり、その場合には個人情報となる可能性がある。

④

Web へ自ら公開した情報（法 17 条 2 項 5 号）

要配慮個人情報であったとしても、同意なくして取得、収集してよい情報となる。
⑤

Web に他人が書き込んだ情報
個人情報であり、かつ、本人の同意なき情報収集となる場合がある。

⑥

Web 上の営業・業務関連情報
基本的に個人情報とはならない上、公開されていれば秘密管理性がなく営業秘密にもならないと考えられる。
ただし、非公開部分への侵入による取得の場合は、営業秘密の不正取得となり、違法となる危険性が高い。

⑦

Web 公開情報であるが、「複製禁止」「転載禁止」などの表記がある場合⑧

Web 公開情報で利用約款が明示され、閲覧以外の行為を禁止している場合

こうした情報群を対象とすると考えられますが、個人情報に関して（上記①、③、⑤）
は制度としての規制があるため、十分な対処が必要となりますが、個人情報とまではいえない場合（②、⑥）には、個別にプライバシー侵害がないか、違法収集をしていないか、などの検討が必要です。前記④の場合には、個人情報としての保護の必要がないとされていますので特段の配慮は不要ですが、ただ、④と⑤との区分、識別が簡単ではないため、収集方針や検索方法などで配慮が必要となります。
他方で、情報管理の意思表示がなされている場合（⑦、⑧）には、手動で収集する場合にはそうした表示、約款等を確認するのが妥当ですが、自動収集などの場合にはそうした
意思を確認することはほぼ不可能でしょう。むしろ、情報開示者は、自動収集に対しては
5これを拒絶する符号（クローラによるインデックスを拒否する noindex、nofllow などの表示を行うなどの方法）を取る必要があり、そうした表示をしない場合には自動的に収集されることになりますが、自動収集を行う側としてはやむをえない場合として処理する他ないでしょう。
こうした一通りの区分をして、調査対象についてどのような視点で、何に注意すべきかを検討したうえで、調査業務を実施していただくことになります。
ここでは、多くの調査が関係を有することになる個人情報保護法を中心に検討を進めることといたします。
第２

情報取得主体の位置付け・適用法令

まず、研究組織、団体、大学等が社会調査を実施し、情報を収集することになると思われますので、そうした情報取得主体を規制する法制度を基本として、調査実務における規制内容、留意点などを検討する必要があります。情報取得主体の立場に応じて、適用される法制度、法律が異なりますので、注意する必要があります。
他方で、情報取得主体を問わず、情報主体を保護するものとして各地方自治体の個人情報保護条例がありますので、合わせて検討する必要があります。
１

私立大学・民間の研究機関
まず、情報を収集・利用する際に、一番問題となる情報は個人情報です。個人情報についての法令には、民間事業者に対して広く適用される「個人情報保護法」があります。民間の研究機関や私立大学などにおいて、「個人情報データベース等を事業の用に供している者」は、「個人情報取扱事業者」となります 7。
「事業」とは、「一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。」 8とされていることから、研究目的であっても、反復継続して遂行されるのであれば、個人情報保護法の「事業の用に供している」に当たります。なお、「法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。」 9とされていることから、たとえ個人であっても、個人情報データベース等を事業の用に供していれば個人情報取扱事業者となります。
その上で、個人情報取扱事業者となる場合、個人情報保護法第 4 章が適用され、各種義務を負うことになります。
もっとも、
7個人情報保護法 2 条 5 項

8個人情報保護委員会編「個人情報の保護に関する法律についてのガイドライン（通則編）
」2-5
9同上

6

「個人情報取扱事業者等のうち次の各号に掲げる者については、その個人情報等を取り扱う目的の全部又は一部がそれぞれ該当各号に規定する目的であるときは、第 4 章の規定は、適用しない。
」 10と規定し、その第 3 号において、「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」が「学術研究の用に供する目的」
で個人情報を取り扱うときが挙げられています。すなわち学術研究機関等が学術研究目的
で個人情報を取り扱う場合は、個人情報保護法第 4 章の個人情報取扱事業者が負うべき義
務を負わないことになります。
ただし、「個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。」 11
ので、可能な限り、個人情報保護法第 4 章の規定に従った対応をすべきです。
２

国立大学法人・国立の研究機関
他方、国立大学法人については、独立行政法人等個人情報保護法の「独立行政法人等」に該当します 12。また、多くの国立の研究機関は大学共同利用機関法人となっており、「独立行政法人等」に該当します 13。したがって、国立大学法人や国立の研究機関については、
独立行政法人等個人情報保護法の適用があり、同法の規定に従った対応をする必要があります。
もっとも、個人情報保護法の規定や個人情報保護委員会編「個人情報の保護に関する法
律についてのガイドライン（通則編）」などは、一般的な個人情報の取扱いが定められており、適宜参考にすべきです。
第３ 情報の収集段階における問題点
１ 国内での個人情報の収集
社会調査を行う場合、対象者から情報を取得することになりますが、多くの場合、対象者の個人情報を収集することになります。
個人情報を収集する場合、①利用目的の特定 14、②利用目的の明示等 15、③適正取得 16が必要です。

10個人情報保護法 76 条 1 項
11個人情報保護法 76 条 3 項

12独立行政法人等個人情報保護法 2 条 1 項、別表13同上

14独立行政法人等個人情報保護法 3 条 1 項、個人情報保護法 15 条 1 項
15独立行政法人等個人情報保護法 4 条、個人情報保護法 18 条
16独立行政法人等個人情報保護法 5 条、個人情報保護法 17 条

7

(1)

利用目的の「特定」について

利用目的の「特定」とは、収集した個人情報がどのように利用されるか、について、収集を行う事業者があらかじめ明確に定めておくべきであって、その内容は具体的でなければならない、という意味です。
この点、ガイドライン等では、利用目的の特定につき「最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。
」 17とされるとともに、「定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。」 18とされており、対象者（本人）にとって、自分の情報が誰に、どのように利用されるのかが想定できるような程度まで具体的であることが要求されます。
利用目的の望ましい書き方としては、例えば、以下のようなものが挙げられます。
「収集した情報については、以下の目的で利用いたします。
・社会情勢を把握する等研究利用のため
・●●学の●●分野における●●という研究利用のため
・●●の法則に従い加工したうえで統計データを作成するため・個人が識別できないように法令に基づき加工した上で、●●という目的に限定の上、●●という研究機関に対し提供・開示するため
・●●の調査・研究の目的に限定した上で、●●の調査・研究を行う研究者又は研究機関に対し提供・開示するため
・●●の調査を行い、●●市の●●政策における検討材料として利用すべく、●●市に対し提供・開示するため」(2) 利用目的の「明示」について
独立行政法人等個人情報保護法では、「独立行政法人等は、本人から直接書面（電磁的記録を含む。
）に記録された当該本
人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、17個人情報保護委員会編「個人情報の保護に関する法律についてのガイドライン（通則編）」3-1-118同上

8

その利用目的を明示しなければならない。」 19と規定しており、対象者から直接書面にて対象者の個人情報を取得するときは、あらか
じめ利用目的を明示することが求められています。また、個人情報保護法でも、本人から直接書面（電磁的記録を含む。）に記録された当該本人の情報を取得する場合は、あらかじめ、本人に対し利用目的を明示 20しなければならないと規定されています 21。したがって、書面でのアンケートを実施する際には、アンケート用紙等に利用目的を明示しておくべきです。
書面以外の、例えば面接での調査において口頭で回答してもらうような場合、個人情報保護法では、「あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
」 22と規定しており、本人以外から個人情報を取得する場合、書面以外で個人情報を取得する場合には、通知 23又は公表 24が必要となっているのに対し、独立行政法人等個人情報保護法には、このような規定がありません。ただし、独立行政法人等についても個人情報保護法を参考に、利用目的の通知・公表を行うなどの方法を採用するなど、適切な対応が必要であると考えられます。その際には、利用目的を口頭で通知することも法令上は認められますが、後日、通知の有無をめぐり争いが生ずる可能性があることから、書面で行う方法が選択されるべきです。
さらに、利用目的は明示・通知等をすればよいとされていますが、争いを回避する意
味であれば、書面にして対象者から同意の意味の署名（簡単なサイン）を得ておくべきです。
また、収集した個人情報を第三者に提供することが想定されるような場合には、第三者提供することを利用目的に入れ、明示又は通知等をしておくとともに、可能であれば、事前に書面等で同意を得ておくべきです。
(3)

適正取得について個人情報を取得する際には、「偽りその他不正の手段により個人情報を取得してはならない。」 25
19独立行政法人等個人情報保護法 4 条

20「本人に対し、その利用目的を明示」とは、「本人に対し、その利用目的を明確に示すこと」を言います（個人情報保護委員会編「個人情報の保護に関する法律についてのガイドライン（通則編）」3-2-4）
21個人情報保護法 18 条 2 項
22個人情報保護法 18 条 1 項
23「本人に通知」とは、「本人に対し、本人に直接知らしめること」を言います（個人情報保護委員会編「個人情報の保護に関する法律についてのガイドライン（通則編）」2-10）
24「公表」とは、「広く一般に自己の意思を知らせること」を言います（個人情報保護委員会編「個人情報の保護に関する法律についてのガイドライン（通則編）」2-11）
25個人情報保護法 17 条 1 項、独立行政法人等個人情報保護法 5 条

9とされています。
「偽りその他不正の手段」とは、法律に反する違法行為（詐欺行為など）に限らず、不正な手段を広く含みます。例えば、判断能力の乏しい未成年者から家庭の収入事情など家族の個人情報を、家族の同意なく取得する場合は、不正の手段により個人情報を取得したとされるので注意が必要です。
また、センシティブ情報（機微情報）の収集については注意が必要です。通常、情報の収集には、利用目的を明示又は通知等すればよいとされており、本人の同意は必須条
件ではありませんが、要配慮個人情報（≒センシティブ情報）の収集については、あらかじめ本人の同意を得ることが必要です 26。独立行政法人等個人情報保護法では、要配慮個人情報の取得方法について規定がありませんが、個人情報保護法に従い、対象者から同意を得ておくべきです。したがって、アンケートにおいても、回答したくない場合は回答しなくてよいことを明記し、又は口頭で伝え、その上で、対象者の同意を得て、収集すべきです。
２

情報収集・取扱いを委託する際の注意点
社会調査において情報収集・取扱いを民間事業者に委託することが考えられます。このような場合、委託先の業務遂行について十分な注意が必要です。
個人情報保護法では、「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。」 27と規定しています。
独立行政法人等個人情報保護法には、個人情報保護法のような委託先監督の規定はない
ものの、独立行政法人等の安全管理措置義務を規定した上で、個人情報の取扱いの委託を受けた者が受託した業務を行う場合について準用するとしていることから 28、委託元において、委託先監督を行うべきです。
委託先監督の内容としては、具体的に、①

適切な委託先の選定②

委託契約の締結③

委託先における個人情報取扱状況の把握が必要です。
①については、委託先において、委託元で行う安全管理措置と同等以上の措置がとられていることを、委託元が確認する必要があります。そのため、あらかじめ、委託元において委託先選定基準を設け、これに適合するかどうかにより委託先を選定すべきです。
②については、委託内容を記載するとともに、委託先の監督方法（例えば、報告書の提26個人情報保護法 17 条 2 項
27個人情報保護法 22 条

28独立行政法人等個人情報保護法 7 条

10

出、立入検査等）についても明記した委託契約書を作成し、締結する必要があります。また、再委託を許すのかどうか、再委託を許す際の許可の方法等についても合わせて判断します。
さらに、委託先監督とは異なるものの、委託契約やその仕様書において、委託先が調査を行う際に対象者に説明する内容や、調査の際に示す説明資料の記載方法についても明記
しておくべきです。前述の通り、委託元が対象者から情報を取得するに際し利用目的の特定及び明示・通知等が必要となり、また、収集した情報を第三者に提供するには、利用目的に入れておくか、対象者の同意が必要です。これらの手続が委託先においても確実に踏まれていなければならないことから、これらの手続を確実に委託先が実行するよう、契約書等で担保する必要があります。
③については、②の契約書等に記載した委託先監督方法を実際に実践することとなります。
なお、民間事業者に調査を委託する場合において、委託先から個人情報及びその集計結果を取得する場合と、民間事業者（委託先）が個人情報を取得したのち、統計化などの処理を実施して、調査結果のみを成果物として納品し、委託元としては個人情報を取得せず、調査内容だけを保有し、利用する場合の２パターンが考えられますが、いずれの場合であっても、委託先の監督義務については差がありません。すなわち、後者の場合には、委託
元は個人情報を直接取得しないものの、委託先が委託元の委託を受けて、委託元のために、委託元の業務として個人情報を取得するのですから、委託先の事故は、委託元の委託先監
督責任の問題となります。したがって、委託元が個人情報を直接取得しない場合でも、委託先監督を確実に行う必要があります。
３

海外での情報収集
海外において情報、特に個人情報を収集する場合、当該国における個人情報保護に関する法令を遵守する必要があり、情報収集を調査会社に委託する場合には、かかる法令を遵守させなければなりません。
特に、EU では、これまでのデータ保護指令に代わり、2016 年 4 月、「一般データ保護規則」（GDPR）が採択され、2018 年 5 月 25 日に適用が開始されることとなっています。
一般データ保護規則では、EU での個人データ（識別された又は識別され得る自然人に関するあらゆる情報 29）の取扱いについて規制しています。
「取扱い」とは「自動的な手段であるか否かにかかわらず、個人データ又は個人データの集合に対して行われるあらゆる作業又は一連の作業」 30

29GDPR4 条(1)30GDPR4 条(2)11を言い、収集・保存・変更・開示なども含まれます。
そして、「単独又は他と共同して、個人データの取扱いの目的及び手段を決定する自然人、公的機関、行政機関又はその他の団体」
を「管理者」とし 31、管理者は個人データの処理の適法性と一般データ保護規則違反に対する責任を負うことになります。具体的には、説明責任、遵守事実を実証する対策、デー
タセキュリティに関する義務、データ主体（本人）の権利の尊重（アクセス権、訂正権、削除権、制限権、データポータビリティの権利、異議権など）などの法的要件を満たす必要があります。
また、「管理者のために個人データの取扱いを行う自然人、法人、公的機関、行政機関又はその他の団体」
は「取扱者」とされており 32、調査会社などは「取扱者」となります。一般データ保護規則には、管理者と取扱者との契約に盛り込むべき事項として、管理者からの書面による指示のみに基づき個人データを処理すること、処理を行う従業員に守秘義務を課すこと、処理の安全性に関する技術的及び組織的措置をとること、他の処理者を用いる場合は、事前に管理者の許可を得るとともに、処理者と同じ義務を負わせること、データ主体の権利行使の要求に対応する管理者の義務の履行を支援すること、業務終了後、個人データを削除又は返還することなどが挙げられています 33。
なお、一般データ保護規則では、EU に拠点を持たない企業・組織などは、一定の要件のもと、EU 域内の代理人を選任しなければならない可能性があることにも注意が必要です 34。
また、一般データ保護規則は、個人データを処理し、EU から第三国（例えば、日本）に移転するために満たすべき要件を規定しています。一般データ保護規則では、原則として、EU 域外への個人データ移転を禁止しており、その移転先の国に「十分性」（当該移転先の国が法整備等に基づき十分に個人データ保護を講じていること）が認められた場合 35、又は適切な保護措置をとった場合 36などにおいて、例外的に移転が認められることになっています。現在、日本は十分性が認定されておらず、適切な保護措置をとる必要があります。具体的には、標準契約条項（欧州委員会が採択した標準契約条項に基づくデータ移転。
「SCC」 37と言います。）、拘束的企業準則（整合性メカニズムに基づき監督機関から承認

31GDPR4 条(7)32GDPR4 条(8)33GDPR28 条 3 項
34GDPR27 条
35GDPR45 条
36GDPR46 条

37Standard Contractual Clauses

12

された拘束的企業準則に基づくデータ移転。
「BCR」38と言います。）、行為規範（拘束的かつ強制的なコミットメントが付与され、監督機関により承認された行為規範に基づくデータ移転）、認証メカニズム（拘束的かつ強制的なコミットメントが付与され、EU 域内の認証機関によって運用されるデータ保護認証メカニズムに基づくデータ移転）があります。
また、適切な保護措置がない場合でも、データ主体からの同意取得、データ主体との契約履行に必要な場合、公共の利益、データ主体の重大な利益保護などがあれば、EEA 域外へのデータ移転が許されます 39。
したがって、これらのルールを遵守し、手順を踏んだ上で情報を取り扱う必要があります。実際には、対象者の同意を取るか、SCC を締結することになると思われます。
４

Web ページからの情報収集(1) 個人情報問題
Web ページから情報収集をする場合でも、収集する情報が個人情報であれば、個人情報保護法、独立行政法人等個人情報保護法の適用があります。しかしながら、誰でも閲覧できる Web ページに掲載されている情報の場合には、Web ページの管理者があえて閲覧可能な場所に掲載していることからして、この情報は公開情報であり、個人情報を提供すること（閲覧者側からすれば個人情報の取得・収集）に同意していたものと言えます。
もっとも、収集する情報が個人情報である以上、個人情報保護法や独立行政法人等個
人情報保護法に従い、その利用目的を特定しなければなりません 40。また、Web ページ
からの情報収集の場合、対象者から直接情報を取得するものではないこともあり、対象者への個別の利用目的の明示・通知は考えられないものの、利用目的を公表しておくべきです。
(2) 著作権問題
さらに、社会調査の場合と同様に、適正取得も必要です。Web ページからの情報収集に関し、この適正取得について問題となるのが著作権侵害です。すなわち、各 Web ページにも著作権はあり、多くの Web ページでは、「同意なく複製することを禁じます」な
どの文言が記載されています。したがって、著作権法上、私的な利用は許されているものの、業務として利用する場合は、Web ページの著作権侵害が問題となるのです。
まず、著作権法では、「著作物は、電子計算機による情報解析（多数の著作物その他の大量の情報から、当該情報を構成する言語、音、影像その他の要素に係る情報を抽出し、比較、分類
その他の統計的な解析を行うことをいう。以下この条において同じ。）を行うことを
38Binding Corporate Rules
39GDPR49 条

40独立行政法人等個人情報保護法 3 条 1 項、個人情報保護法 15 条 1 項

13

目的とする場合には、必要と認められる限度において、記録媒体への記録又は翻案（これにより創作した二次的著作物の記録を含む。）を行うことができる。ただし、情報解析を行う者の用に供するために作成されたデータベースの著作物については、
この限りでない。」 41と規定しています。
電子計算機による情報解析を行うことを目的とする場合、その過程において情報をコンピュータに蓄積したとしても、それは情報を収集し、統計的に処理することが目的であり、著作物の表現を享受することが目的ではないことから、著作権者の利益を侵害しないと言えます。そこで、著作権法では、必要と認められる限度において、記録媒体への記録（複製）又は翻案（著作物の構成要素を抜き出し統計処理に適するかたちに変える行為。これにより創作した二次的著作物の記録を含みます。）を行うことができるとされています。なお、ここで許されるのは、記録媒体への記録と翻案だけです。
また、「情報解析」とは、「多数の著作物その他の大量の情報から、当該情報を構成する言語、音、影像その他の要素に係る情報を抽出し、比較、分類その他の統計的な解析を行うこと」とされており、画像解析、音声解析、言語解析、ウェブ解析等の技術を用い、本人認証、自動翻訳、社会動向調査、情報検索等に用いられることが想定されています。
もっとも、ただし書きにおいて、「情報解析を行う者の用に供するために作成されたデータベースの著作物については、この限りでない。」と規定されており、「情報解析を行う者の用に供するために作成されたデータベースの著
作物」については、記録媒体への記録・翻案はできないことになっています。ここで「情報解析を行う者の用に供するために作成されたデータベースの著作物」とは、例えば、新聞社の有料データベース等を言うとされています。
以上より、情報解析を行うために、Web ページをサーバ等にダウンロードし、これを統計処理に適するかたちに変えることは著作権法により許されますが、そのまま Web
ページを利用（流用）することは著作権侵害となります。具体的には、Web ページの表
示から調査に必要な数値のみを収集する場合において、一旦、記録媒体（サーバ等）にWeb ページを記録した上で、各種解析技術を用いて統計的な解析を行うことは著作権侵害とならず許されることになります。
(3) サイトにおける複製等禁止表示について
また、Web ページには利用約款が設けられており、「同意なく複製することを禁じます。」や「無断転載禁止」などの文言が記載されていることがあります。これらは、Web
ページの文書、画像等に著作権があり、Web ページ作成者等の許可なく複製、公衆送信

41著作権法 47 条の 714

等を許さない趣旨と考えられます。当該 Web ページにアクセスした者は、Web ページ
作成者等の許可なく複製、公衆送信等を行うことができません。もっとも、これらの利用約款はあくまで著作権が Web ページ作成者などにあり、Web ページの著作権を侵害しないようにしているだけであり、データそのものの権利性を認めるものではないと考えられます（ただし、編集著作物として保護される場合があるので注意が必要です。詳細は後述します。）。したがって、データのみを収集するのであれば、著作権侵害にはなりません。
なお、データそのものに経済的価値があることから、データそのものを保護すべきとする考え方（いわゆる「額に汗」理論）もありますが、そのような経済的価値があるデータであれば、通常、誰もがアクセスできる Web ページに掲載されているはずがなく、Web ページにアップされているということは、アクセスした者にそのデータの利用を許可していると言え、このデータを利用したとしても、Web ページの管理者は権利を主張しないものと考えられます。
(4) 編集著作物
著作権法は、「編集物（データベースに該当するものを除く。以下同じ。）でその素材の選択又は配列によって創作性を有するものは、著作物として保護する。」 42と規定し、編集著作物も著作物として保護されることを明らかにしています。編集著作物とは、例えば英語単語帳や職業別電話帳のように、その素材（英単語や電話番号）の選択又は配列に編集した者の創作性が認められるものです。
本条括弧書きでは「データベースに該当するものを除く」となっていますが、著作権法では、「データベースでその情報の選択又は体系的な構成によって創作性を有するものは、著作物として保護する。
」 43と規定されており、データベースも著作物として保護され、データベースの著作権者の承諾なくデータベースを利用した場合には著作権侵害となります。
なお、データベースとは、「論文、数値、図形その他の情報の集合物であって、それらの情報を電子計算機を用いて検索することができるように体系的に構成したもの」 44を言います。
以上より、Web ページに編集著作物やデータベースがそのまま掲載されている場合において、これを編集著作権者等の承諾なく無断で利用（複製）したときは、編集著作権
42著作権法 12 条 1 項

43著作権法 12 条の 2 第 1 項

44著作権法第 2 条 1 項 10 号の 3

15やデータベースの著作権の侵害となる可能性があります。
しかし、他方で、編集著作物やデータベースを構成する要素（例えば、データベース
等を構成する個別の数字・データ）はそれ自体著作物ではないので、これらを個別に利用することは編集著作権の侵害にもデータベースの著作権の侵害にもなりません。ただし、編集著作物を構成する要素そのものにも著作物性が認められるような場合（例えば、文学全集を構成する各文学作品など）には、これを無断で利用することはできないので注意が必要です。
第４１

情報の保管・処理段階の問題点
保管

個人情報保護法や独立行政法人等個人情報保護法は安全管理措置義務を定めており 45、
個人情報を保有している限り、安全管理措置義務を負い続けることとなります。したがって、不要となった個人情報は速やかに廃棄する必要があります。
そこで、情報の取得から廃棄までのルールを策定し、不要となった場合には速やかに廃棄する手続を明確にしておくべきです。個人情報保護法では、「個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正
確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人デー
タを遅滞なく消去するよう努めなければならない。」 46と明記し、データ消去にかかる努力義務を定めています。さらに GDPR では、法律上の消去義務と規定 47し、これを怠ると制裁 48を行うことになっています。
２

処理・加工
(1)

非識別加工情報調査のため収集された情報については、自ら利用するだけでなく、第三者に提供することも考えられます。その際、収集した情報をそのまま第三者に開示（提供）する場合
は、処理・加工についての問題は生じませんが、この場合は、個人情報の第三者提供となることから、収集する段階で、第三者提供することについて利用目的に入れておくとともに、対象者の同意を得ておくべきです。他方、収集した情報を加工し、加工した情報（非識別加工情報）を第三者に開示する場合は、本人を特定できないように加工・処理することが必要となります。
独立行政法人等個人情報保護法では、当該個人情報に含まれる記述等の一部を削除する（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）などの措置を講じて、特定の個人を識別することができない
45個人情報保護法第 20 条、独立行政法人等個人情報保護法第 7 条
46個人情報保護法 19 条
47GDPR17 条 1 項

48GDPR83 条 5 項(b)2000 万ユーロの制裁金の規定があります。

16

（当該情報に含まれる記述等により、又は当該情報と他の情報を照合することにより、特定の個人を識別することができないこと。）ように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものを「非識別加工情報」としていますが 49、これは個人情報保護法上の「匿名加工情報」 50とほぼ同じです。
したがって、「非識別加工情報」とするには、当該個人情報に含まれる記述等の一部を削除するか、当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換える措置をとり、特定の個人を識別することができないようにしておく必要があります。
(2) 音声データの特殊性
音声データについては、話している音声そのものから話し手を特定できることもあり、また、話している内容と結びついて話し手が特定の個人であると識別できることもあります。特に、話し言葉を収録、収集するために、特定の個人を対象として収集・録音したような場合には、収集者にとって特定の個人を識別できることから、その会話の録音、音声自体が個人情報となります。
ただ、話している内容が特別な識別機能を持たず、また音声に特定の個人を識別するほどの情報がない場合であって、音声の収集者が特定の個人を指定するなどの方法をとっていない場合であれば、個人情報とは言えない場合も存在します。
以上のように、音声データについては、個人情報となるかどうか判断が困難な場合が多いことから、基本的には個人情報として厳格に扱うのが妥当です。
第５１

情報の開示段階の問題点
開示の方法にかかる問題

収集した個人情報を自ら利用するのではなく第三者に利用させる場合があります。第三者に利用させる方法としては、第三者提供と共同利用があるところ、独立行政法人等個人情報保護法には共同利用の規定がありませんが、共同利用を否定しているわけではないと考えられます。その際には、共同利用について規定している個人情報保護法を参照することになります。また、第三者提供についても個人情報保護法の手続が参考になることから、
適宜、参照するべきです。
(1)

第三者提供の場合

第三者提供の場合、第三者提供するという利用目的を特定し、収集の際に明示又は通知等がなされ 51、対象者の同意を得ることが必要です 52。第三者提供の場合、一度提供
49独立行政法人等個人情報保護法 2 条 8 項
50個人情報保護法 2 条 9 項

51独立行政法人等個人情報保護法 3 条 1 項、個人情報保護法 15 条 1 項

17

された情報は第三者のものとなり、提供者では管理できなくなるというデメリットがあります。他方、共同利用の場合とは異なり、一旦、対象者から第三者提供することの同意を得ておけば、不特定の者に対し第三者提供することができます。
そのため、情報を提供する提供先（第三者）が不確定の場合でも、あらかじめ対象者
から第三者提供することについて同意を得ておけば、第三者提供することが可能です。
もっとも、対象者は、収集された自分の情報が誰に提供・開示されるのかを知らない
場合、情報提供を躊躇するでしょうし、有用な情報を可能な限り多数収集し、有効な研究に役立てるためにも、対象者の不安を除去しておくのが有効です。そこで、可能な限り、情報の提供・開示先の範囲を明確化し（例えば、「●●の研究を行っている研究者・研究機関」など。）、または情報の提供・開示先を具体的に特定すべきです。
ただし、提供・開示する情報の種類（個人情報か、非識別加工情報か、統計情報か）によって、なすべき措置が異なってきます。詳細については、後述します。
(2)

共同利用の場合

他方、共同利用の場合、利用する者が特定されていることから、第三者提供と比べて情報のコントロールがし易い状況にあるとは言えるでしょう。ただし、共同利用する際には、共同利用をする旨、共同利用するデータの項目、共同利用者の範囲、利用する者の利用目的等を対象者に通知するか、対象者が容易に知り得る状態におく必要があります 53。また、共同利用者の範囲について、「本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある」 54とされており、予め利用する者が限定されているような場合でしか利用できず、新たに共同利用者として加入・追加することが許されないとされています。
ただし、共同利用する情報の種類（個人情報か、非識別加工情報か、統計情報か）によって、なすべき措置が異なってきます。詳細については、後述します。
ア

対象者がすべての利用者宛に情報を提供するが、その内の一部が情報を保管する場
合
例えば、2 つの研究機関が共同で調査・研究を行うときで、それぞれの研究機関が対象者から情報を収集するものの、一方の機関で情報を保管し、他方の機関は情報を保管せず、利用するだけの場合が挙げられます。
このケースは、対象者がそれぞれの機関宛てに情報を提供することから、共同利用ではなく、それぞれの機関への個別の情報提供に過ぎません。また、その内の一部が情報を保管するということは、情報取扱いの委託となります。そのため、情報の保管を委託した者は委託元として安全管理措置義務を負うとともに委託先監督義務も負うことにな
52個人情報保護法 23 条 1 項

53個人情報保護法 23 条 5 項 3 号

54個人情報保護委員会編「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-3

18

ります。
イ

収集の際に共同利用であると表示して対象者から情報を収集する場合
例えば、2 つの研究機関が共同で研究を行うため、収集した情報を共同利用する旨をあらかじめ対象者に通知した上で情報を収集し、2 つの機関が共同して利用する場合が挙げられます。
このケースは通常の共同利用のケースであり、共同利用をする旨、共同利用するデー
タの項目、共同利用者の範囲、利用する者の利用目的等を対象者に通知するか、対象者が容易に知り得る状態におく必要があります 55。また、一部の共同利用者が情報を保管し、他の共同利用者が保管しない場合、実際に情報を保管している者は、現実に物理的安全管理措置、技術的安全管理措置等を講ずる必要があると同時に、すべての共同利用
者は、法律上の安全管理措置義務を負います。そのため、万が一、情報を保管していた者から情報漏えい事故が発生した場合、実際に情報を保管していた者のみならず、他の共同利用者も情報漏えいの責任を負わされることがあります。
ウ

情報収集後、利用目的が同一であるとして他の者との共同利用を行う場合

例えば、ある研究機関で単独で情報を収集した後、収集した際の利用目的と同じ目的
で他の研究機関と共同研究を行うため、他の研究機関と情報の共同利用を行う場合が挙げられます。
前述の通り、共同利用は、あらかじめ利用する者が限定されているような場合でしか利用できず、後から新たに共同利用者として加入することが許されないとされています。
そのため、このケースにおいて共同利用を使うことは難しく、第三者提供により行うことになります。
２

開示する対象情報の特性(1) 統計情報の開示
統計情報とは、「複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。」 56とされており、個人情報でもなく、また、個人情報への復元も通常は考えられないことから、第三者への開示について特段の問題がありません。
したがって、統計情報については、一般に公開することは可能であり、また、第三者に開示する場合も、緩やかな基準で可能です。
ただし、統計の対象者が極少数であり、一意に特定されてしまうような情報は、個人

55個人情報保護法 23 条 5 項 3 号

56個人情報保護委員会編「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）
」2-1

19

情報となる可能性があるため、このような場合には、マスキングを行うなどの対処が必
要です。
(2)

加工した情報の開示対象者の同意を得ている場合、情報を加工し、特定の個人を識別できないようにした
匿名加工情報（独立行政法人等個人情報保護法では非識別加工情報。）を第三者に開示することについて特段の問題はありません。なお、匿名加工情報（非識別加工情報）は、
個人情報に含まれる記述等を削除する等の措置を講ずることにより、特定の個人を識別することができないように加工し、個人情報を復元できないようにしたものであることから、特定の個人を識別できないものの、ある特定の人の情報であることには違いがありません。そのため、匿名加工情報（非識別加工情報）については、他の情報と掛け合わせて分析することにより特定の個人を識別し、個人情報を復元させることが理屈上は可能です。
個人情報保護法では、匿名加工情報について、本人を識別するために、当該匿名加工
情報を他の情報と照合してはならないとし 57、また、本人を識別するために、当該個人情報から削除された記述等に関する情報を取得し、または、他の情報と照合してはならないとし 58、照合行為を禁止しています。他方、独立行政法人等個人情報保護法では、照合禁止を明確には規定しておらず、違法とは言えないものの、情報の本人（対象者）
から見た場合、個人情報保護法が適用される民間事業者から情報が提供される第三者であろうが、独立行政法人等個人情報保護法が適用される独立行政法人等から情報が提供される第三者であろうが違いはなく、どちらにおいても安易に情報の照合を行い、個人を識別されたくないと考えるのは当然です。したがって、非識別加工情報の第三者への開示の場合は、第三者において、情報の照合を行うなどして特定の個人を識別するような作業を行わないように契約し、合意し、指導し、監督するようにしなければなりません。
そこで、第三者に対し、契約書等で特定の個人を識別しないよう求め、情報の開示を行う際には、情報の取扱いについての合意をしておくべきです。
また、匿名加工情報（非識別加工情報）は、前述の統計情報とは異なり、他の情報と照合することにより特定の個人を識別したり、特定の個人を推認させる可能性があることから、情報を開示する相手方（第三者）については、身元の確認が取れる研究者等一定の者に限定するべきです。
(3) 個人情報の開示
ア

第三者提供の同意

57個人情報保護法 36 条 5 項
58個人情報保護法 38 条

20

個人情報保護法では、本人の同意を得れば、収集した個人情報（法文上は「個人データ」）を第三者に提供できます 59。なお、第三者提供するには、第三者提供することも利用目的に入れておく必要があります。
他方、独立行政法人等個人情報保護法は、「独立行政法人等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。」 60と規定し、明示された利用目的以外の目的のための利用及び提供を禁止しているのみです。したがって、独立行政法人等個人情報保護法の適用対象については、利用目的の範囲内であれば、法律上、対象者の同意がなくとも個人情報を第三者に提供することは可能です。
もっとも、独立行政法人等個人情報保護法上、利用目的以外の目的のために第三者提供する場合でも本人の同意があるときは、第三者提供できるとされています 61。さらに、「専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき」は、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができると規定しています 62（ただし、特定個人情報については、目的外利用は認められていません 63。）。
以上より、上記の場合は、独立行政法人等個人情報保護法上、対象者の同意がなくとも個人情報を第三者に提供することは可能です。
ただし、対象者の同意なく第三者提供することは、対象者の不信感を招くおそれがあり、その結果、今後の調査の際に新たな情報提供が受けられなくなるなどのリスクが考えられます。そこで、前述の通り、情報取得の際に、対象者の同意を得ておくべきです。
なお、独立行政法人等個人情報保護法上においても、第三者提供をするには、第三者提供することも利用目的に入れておく必要があります。
イ

開示先の選定また、個人情報は、ある特定の個人を識別することができる情報であり、対象者にとって、むやみに第三者に開示されるのを躊躇うものです。したがって、情報の開示・提供先については、一定の要件を満たす者（例えば、身元の確認が取れる研究者等）に限定するべきです。
３

情報開示先による分類(1) 個別の研究者
まず、情報開示先の研究者の利用目的を明確にし、利用目的外での利用を厳しく制限

59個人情報保護法 23 条 1 項

60独立行政法人等個人情報保護法第 9 条 1 項

61独立行政法人等個人情報保護法第 9 条 2 項 1 号

62独立行政法人等個人情報保護法第 9 条 2 項 4 号
63マイナンバー法 30 条 1 項

21

しなければなりません。
また、特定の研究者宛への情報開示であったとしても、その研究者が所属している研究室には、助手、他の研究者、大学院生など複数の者が出入りすることが想定されます。
そのため、当該研究者以外の者も当該情報を目にしてしまう可能性があるため、情報開示先の研究者以外の者による情報の漏えい等の危険性があります。
したがって、情報開示の際に、情報開示先である研究者との間で、誰に当該情報を開示できるのか、情報を開示できる人物（範囲）を明確にし、また、開示された情報の取扱い方法等を定め、さらに、万が一、合意により開示できる範囲を超えた情報の取扱いが判明した場合には、即座に情報開示の中止及び情報の回収・廃棄ができるよう合意しておくべきです。
(2) 大学
まず、開示された情報の利用目的を明確にし、利用目的外での利用を厳しく制限しなければなりません。
また、大学への情報開示は、当該情報を取り扱う人物（範囲）が不明確となりやすい
ため、個別の研究者に対する情報開示以上に、誰に当該情報を開示できるのか、情報を開示できる人物（範囲）を明確にしておく必要があります。また、その範囲の変更が必要となった場合には、早急に連絡するよう合意しておくべきです。
さらに、情報開示合意の当事者は、あくまで情報の提供・開示先である大学であり、個別の研究者ではありません。したがって、個別の研究者が開示情報をルーズに取り扱う危険性も否定できません。そこで、開示できる人物（範囲）を明確にすると同時に、当該開示できる人物から誓約書のようなものをとっておくべきです。
その上で、開示された情報の取扱い方法等を定め、万が一、合意により開示できる範囲を超えた情報の取扱いが判明した場合には、即座に情報開示の中止及び情報の回収・廃棄ができるよう合意しておくべきです。
(3) 市区町村
市区町村に情報を開示する場合は、さまざまな利用目的が考えられますが、いずれにせよ、市区町村の業務遂行に関連したものと考えられます。
市区町村の利用目的が判明しているような場合には、情報収集の際に、その利用目的を対象者に明示・通知等しておくことが必要です。
もっとも、独立行政法人等が地方自治体に保有個人情報を提供する場合において、地方自治体が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当な理由があるときは、利用目的
以外の目的のために、保有個人情報を市区町村に提供することができるとされています22

64。したがって、市区町村の業務の遂行に必要な限度で、かつ利用することについて相当な理由があるときは、情報取得時の利用目的を超えて個人情報を利用することが可能です。
次に、市区町村には、多くの職員がおり、多くの者が当該情報を目にしてしまう可能性があるため、情報開示の際に、情報の提供・開示先である市区町村との間で、誰に当該情報を開示できるのか、情報を開示できる人物（範囲）を明確にし、また、開示された情報の取扱い方法等を定め、さらに、万が一、合意により開示できる範囲を超えた情報の取扱いが判明した場合には、即座に情報開示の中止及び情報の回収・廃棄ができるよう合意しておくべきです。
(4) 民間事業者
民間事業者は私益で活動する団体であり、学術研究目的以外での利用が想定されます。
民間事業者の場合、営利を目的とした団体であることから、開示する情報に注意が必要です。
独立行政法人等個人情報保護法では、民間事業者（法律上は「独立行政法人等非識別
加工情報取扱事業者」という。）に対し、同法 2 条 9 項の要件を付加した非識別加工情報である「独立行政法人等非識別加工情報」を利用させる場合について、利用の提案を募集し 65、提案の審査等を行った上 66、民間事業者への利用を認めています。非識別加工情報と独立行政法人等非識別加工情報は、後者が前者より要件が厳しくなっているものの、ともに、本人を容易に識別できないように加工したものという点で共通しています。独立行政法人等非識別加工情報が厳格な手続を経た場合のみ民間事業者に利用させることができるとされ、一般的な民間事業者利用については認めていないことからして、
非識別加工情報についても、一般的な民間事業者利用を想定していないものと考えられます。
したがって、個人情報の場合はもちろんのこと、非識別加工情報についても、一民間事業者の私益に利用させるのは控えるべきです。
また、民間の研究機関や私立大学等が情報を収集し、これを民間事業者に第三者提供・開示する場合は、個人情報保護法の適用があり、民間の研究機関や私立大学等は、対象者の同意を得れば、収集した個人情報を民間事業者に第三者提供することは可能です 67。
もっとも、民間の研究機関や私立大学等は調査研究のために情報を収集しているはずであり、調査研究目的を超えて利用することが予定される民間事業者に対する第三者提供については、第三者提供が利用目的とされていたとしても、対象者にとって不意打ちと64独立行政法人等個人情報保護法 9 条 2 項 3 号
65独立行政法人等個人情報保護法 44 条の 4
66独立行政法人等個人情報保護法 44 条の 7
67個人情報保護法 23 条 1 項

23

なる可能性があることから、慎重に対処すべきです。
また、民間事業者に情報を開示するには、民間事業者における情報の利用目的を限定することが必要です。公益・学術研究目的で収集した情報を一民間事業者に利用させることになるので、慎重に対応する必要があります。そこで、大学、市区町村の利用目的に比肩する程度の利用目的かどうかを検討する必要があります。
次に、民間事業者にも、多くの従業者がおり、多くの者が当該情報を目にしてしまう
可能性があるため、情報開示の際に、情報の提供・開示先である民間事業者との間で、誰に当該情報を開示できるのか、情報を開示できる人物（範囲）を明確にし、また、開示された情報の取扱い方法等を定め、さらに、万が一、合意された、開示できる範囲を超えた情報の取扱いが判明した場合には、即座に情報開示の中止及び情報の回収・廃棄ができるよう合意しておくべきです。
第６１

データ取扱いに対する法的規制
収集する情報による規制

情報を収集するに際し、収集する情報の内容により、以下の法的規制があるので注意が必要です。
①

個人情報保護法及び独立行政法人等個人情報保護法
個人情報の収集・管理・提供等に関する規制。

②

行政手続における特定の個人を識別するための番号の利用等に関する法律（いわゆる、「マイナンバー法」）
個人番号（マイナンバー）及び特定個人情報 の収集・管理・提供等に関する規制。
③

児童買春、児童ポルノに係る行為等の規制及び処罰並びに児童の保護等に関する法

律（児童ポルノ禁止法）
児童ポルノ の所持、運搬、輸入、輸出等を禁止したもの。
④

特定秘密の保護に関する法律
特定秘密の取扱いの業務に従事する者がその業務により知得した特定秘密を漏えいすることを禁止するとともに、特定秘密を保有する者の管理を害する行為により特定秘密を取得することを禁止したもの。

⑤

著作権法
私的利用等一部の例外を除いて、著作物を複製するなどして著作権、著作者人格権を侵害する行為を禁止したもの。

２

収集する方法による規制
情報を収集するに際し、情報の取得方法により、以下の法的規制があるので注意が必要です。
⑥

不正指令電磁的記録取得等罪
24

正当な理由なく、人の電子計算機における実行の用に供する目的で、電磁的記録その他の記録を取得・保管する行為を禁止したもの。
⑦

不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）
不正アクセス行為の用に供する目的で、アクセス制御機能に係る他人の識別符号の取得を禁止したもの。

⑧

不正競争防止法
詐欺的行為又は管理侵害行為等により営業秘密を取得する行為を禁止したもの。

３

収集する対象者による規制
未成年者を対象者とした性的な事項に関する質問をし、その情報を取得することは、社会状況を把握する上で重要な意味を有するとも考えられるところではあります。前述の「児童買春、児童ポルノに係る行為等の規制及び処罰並びに児童の保護等に関する法律」（以下、「児童ポルノ禁止法」と言います。）では、児童買春等とともに児童ポルノの所持等を禁止しているところ、児童から性的な内容に関する情報を取得する場合については児童ポルノ禁止法には明示されていません。
しかしながら、「児童買春、児童ポルノに係る行為等を規制し、及びこれらの行為等を処罰するとともに、これらの行為等により心身に有害な影響を受けた児童の保護のための措置等を定めることにより、児童の権利を擁護することを目的とする。」 68と規定した法の趣旨からすれば、未成年者の心身に有害な影響を与える可能性のある行動
は避けなければならず、十分な配慮をもって実施したとしても心なき誤解を受け、非難される危険があることも考慮すべきです。
したがって、こうした児童に対するアンケート、ヒアリングが行われる際には、その必要性を慎重に検討し、代替手段の可否を含めて検討し、かつ、有識者、教育関係者、対象者の親権者などの意見を尊重しながら内容を吟味し、また実施に際しては、例えば、親権者等の立会いを求め、親権者等に調査の目的を伝え、親権者等から同意を得るなどの手続を踏むなど慎重な対応を行うべきです。
４

独占禁止法による規制
現在、価値あるデータが第三者から不当に収集されたり、データが不当に囲い込まれた

りすることにより、競争が妨げられることが懸念されています。
この点につき、公正取引委員会競争政策研究センターの「データと競争政策に関する検討会報告書」によると、「データの収集、集積や利活用は、事業者間の創意工夫により競争を活発にし、イノベーションを生み出す効果を有するものであることを踏まえれば、データの収集、集

68児童ポルノ禁止法 1 条

25

積及び利活用の過程における競争をより促すべく、競争上の障壁を取り除くことが望
ましいと考えられる。」 69、「データの集積・利活用は、前述のとおり、それ自体としては、競争促進的な行為であり、競争政策上は望ましい行為であって、独占禁止法上も問題となることはない。
しかしながら、競争者を排除しようとする行為といった不当な行為や合併をはじめとする企業結合によって、データが特定の事業者に集積される一方で、それ以外の事業者にとっては入手が困難となる結果として、当該データが効率化等の上で重要な地位を占める商品の市場における競争が制限されることとなったり、あるいは、競争の観点から不当な手段を用いてデータが利活用される結果、例えば、商品の市場などデー
タに関連する市場において競争が制限されることとなったりする場合には、独占禁止法による規制によって、競争を維持し、回復させる必要が生じることになる。」 70とし、その上で、「データの収集、利活用に伴う競争上の懸念の多くは、従来の独占禁止法の枠組みにより対処できることが確認された。
」 71とされています。
以上から、データの収集、利活用においても、これまでの独占禁止法の考え方が適用されます。すなわち、データの収集、集積や利活用は、それ自体、競争を促進するものであり、違法とはなりませんが、独占禁止法上、禁止・制限されている行為、すなわち、競争者を排除しようとする行為といった不当な行為や合併をはじめとする企業結合によりデー
タが特定の事業者に集中するような場合には、独占禁止法上の問題が生じることとなります。
したがって、情報開示に関し、合理的理由のない差別的取扱いを行わないことなどに注意する必要があります。
以上

69公正取引委員会競争政策研究センター「データと競争政策に関する検討会報告書」（平成 29 年 6 月 6日） 20 頁

70公正取引委員会競争政策研究センター「データと競争政策に関する検討会報告書」（平成 29 年 6 月 6日）21～22 頁
71公正取引委員会競争政策研究センター「データと競争政策に関する検討会報告書」（平成 29 年 6 月 6日）56 頁26

（別紙１）委託先選定基準のポイント（チェックすべき事項）
・法令遵守義務を果たしている。
特にヨーロッパとの関係では GDPR（一般データ保護規則）を遵守していること。
・基本方針（プライバシーポリシーやセキュリティポリシー）を作成、公表している。
・安全管理措置を講じている。
組織的安全管理措置
情報取扱責任者を定めるなど組織体制を整備している。
従業者の役割と責任が明確化されている。
アクセス権限を持たない者が情報に接することがない体制となっている。
情報取扱規程を策定し、これに従った運用をしている。
情報取扱状況を確認するための手段を整備し、運用している。
情報授受を台帳等に記録し、授受や取扱履歴が確認できるようになっている。
情報漏えい事故に対応する体制を整備している。
情報取扱状況を常時把握し、安全管理措置を適宜見直している。
人的安全管理措置
定期的に情報取扱いに関する従業者教育を行っている。
個々の従業者から個人情報保護にかかる宣誓書などを取得している。
物理的安全管理措置
情報を取り扱う区画を適切に管理している。
情報が保存されている電子機器・媒体等の盗難防止措置をとっている。
情報が保存されている電子機器・媒体等の持出しを規制している。
情報の削除、電子機器等の廃棄方法をルール化し、これに従った運用をしている。
技術的安全管理措置
アクセス制御措置をとっている。
アクセス者の識別と認証の確認を行っている。
不正アクセス等の防止措置をとっている。
情報システム使用に伴う情報漏えい事故防止対策をとっている。
・情報漏えい事故の前歴がない。または以前事故があったとしても、事故の反省を踏まえた安全管理措置を講じている。
・ＰマークやＩＳＭＳ認証などを取得している（ただし、必須の要件ではない）。
・情報漏えい事故の際の対応マニュアルを作成している。

27

（別紙２）情報取扱い（収集など）を第三者に委託する際のポイント（委託契約書に盛り込むべき事項）
・個人情報保護法等の法令を遵守させる。
・委託業務内容を明確にし、他の業務に当該情報を使用させない。
・委託元と委託先との間で業務進行について協議する。
・委託先の守秘義務を明記する。
例：「乙は、本契約において甲から提供された個人情報を含む情報又は、本契約において収集された個人情報を含む情報を秘密に保持し、本契約期間中のみならず、本契約終了後も第三者に漏らしてはならない。」など

・情報処理業務を行う場所を限定し、それ以外の場所での業務を禁止する。
・情報処理業務を行うにあたっての手順等を委託先から委託元に対して報告させる。
・納品の時期と検収方法を明確にする。
・業務終了後は個人情報等を必ず消去するようにする。
例：「1.

乙は、第●条の検収を終了したときは、乙は本業務に伴って取得したすべての個人情報等を消去しなければならない。

2.

甲は、乙が本業務に伴って取得したすべての個人情報等が消去されたことを確認しなけ
ればならない。」など

・再委託を禁止するか、委託元の書面による同意が必要であるとしておく。
・委託先において安全管理措置が講じられるようにする。
例：「1.

乙は、本件受託業務により取り扱う個人情報等の漏えい、滅失、紛失、盗用、破壊・改ざん及び毀損等（以下、総称して「漏えい等」という。）の防止のために、個人情報保護法が定める安全管理措置をとらなければならない。乙は、組織的、人的、物理的及び技
術的な安全管理のために必要かつ適切な措置を講じるとともに、十分な点検、監査を実施し、安全管理措置が実現するようにしなければならない。

2.

乙は、安全管理措置の概要について、甲の求めに応じて甲に開示する義務を負い、安全管理措置の概要に変更及び修正等がある場合は、速やかに甲に開示しなければならない。

3.

乙は、本業務において、安全管理措置上の漏えい等に至らない何らかの問題が生じた場
合にも、その詳細及び対応策を甲に報告しなければならない。」など

・情報漏えい時の対応（委託元への報告及び委託先の調査など）を明記する。
・情報漏えい時の責任を明確にしておく。
・監査の仕方を明記する。
例：「1.

乙は、乙において実施する内部監査、システム監査、セキュリティ監査、監査役監査等の自己監査の結果を、甲に開示しなければならない。

2.

乙は、甲の内部監査担当による監査、監査役監査、監査法人による監査の実施において協力を求められた場合には、これに応じなければならない。」など

・立入検査を明記する（可能であれば）。
28

（別紙３）研究者等情報の開示先との間の合（確認書）に盛り込むべき事項
１

一般（望ましい対応）
・利用目的の特定及び目的外利用の禁止
・情報の第三者提供、共同利用、委託の禁止
・情報を利用できる者の特定及びそれ以外の者の利用の禁止
・提供元の許可のない情報の複製・複写の禁止
・情報管理の徹底
・情報の管理責任者の指定（大学等団体が開示先である場合）
・情報の廃棄及び返還方法のルール化
・情報を加工する場合のルール化
・情報漏えいした場合の提供元への報告義務・違反した場合の措置（違反した場合の情報の返還方法や、今後情報開示は行わないな
ど）

２

開示する情報が個人情報である場合（上記１に加えて）・安全管理措置を講ずること（特に、物理的安全管理措置及び技術的安全管理措置）
・従業者監督の徹底（大学等団体が開示先である場合）

３

開示する情報が非識別加工情報の場合（上記１、２に加えて）・他の情報との照合の禁止
・安全管理措置を講ずること（特に、物理的安全管理措置及び技術的安全管理措置）
・従業者監督の徹底（大学等団体が開示先である場合）

29

（別紙４）調査対象者の承諾書に明記すべき事項
１

一般・調査内容の明示（可能な限り詳細な内容を明示すること）
・法令等の遵守例：「調査、情報の収集、利用、取扱いにあたっては、法令、研究倫理及びガイドラインを遵守いたします。」など・回答したくない場合
例：「回答したくない質問については、ご回答いただかなくてもかまいません。その場合は、ご回答いただける質問についてのみご回答をお願いします。」など

・利用目的の明示（具体的かつ広めに明示すること）
・収集した個人情報の非公開例：「収集した個人情報は、利用目的に従い統計的に処理し、集計結果として公開しますが、お名前・ご住所など個人を識別できる個人情報は公開いたしません。」など・収集した情報の取扱方法例：「収集した情報については当研究所の取扱規程に従い、安全管理措置を講じ、適切に取り扱います。」など・対象者の求めに応じた情報の削除
・委託先監督例：「この調査の実施は、●●という民間事業者（委託先）に委託しています。当研究所は委託先を適切に監督いたします。」など

２

個人情報の第三者提供を想定している場合
・個人情報について、第三者提供の同意（提供先を特定していることが望ましい）例：「この調査で収集した個人情報は、●条で規定した利用目的に従い、第三者に提供いたします。」などと記載し、同意の署名をもらう。

３

個人情報の共同利用を想定している場合
・個人情報について、共同利用の告知
例：「この調査で収集した個人情報は、●条で規定した利用目的に従い、共同利用いたします。共同利用の詳細については、以下の通りです。

４(1)

共同して利用される情報の項目

・・・

(2)

共同して利用する者の範囲

・・・

(3)

利用する者の利用目的

・・・

(4)

情報の管理について責任を有する者の氏名又は名称・・・」など非識別加工情報の第三者提供を想定している場合
・非識別加工情報について、第三者提供又は共同利用の告知
例：「収集した個人情報は、●条で規定した利用目的に従い、個人が識別できないように加工・処理した上で、第三者に提供し、又は共同利用することがございます。なお、お名前・ご住所
等個人を識別できる情報は提供及び共同利用いたしません。」など

30

社会調査 法的リスク関連Ｑ＆Ａ
質問 回答者の回答には、著作権などの権利が発生することはないですか。
答え 回答者の回答は、主に客観的事実（年齢、興味、行動履歴、行動傾向、経験、印象など）を、客観的に表示したものであるはずですので、通常は、「思想又は感情を創作的に表現したものであつて、文芸、学術、美術又は音楽の範囲に属するもの」(著作権法２条１項１号)には該当しないと考えられます。したがって、回答それ自体は一般的には著作物とは言えず、著作権は通常は発生しないと考えられます。
しかし、稀に、古い伝承や、民謡などを実演してもらう場合には、「歌い、口演し、朗詠し、又はその他の方法により演ずること（これらに類する行為で、著作物を演じないが芸能的な性質を有するものを含む。）」（著作権法２条１項３号）に該当し、その記録は著作物になる場合が考えられます。
質問 質問者の質問内容が工夫され、ユニークであって、アイデアに富む場合には、その質問自体が著作権で保護されるのでしょうか。
答え 社会調査は、公的統計に関して統計法の基本理念（3 条）として、「適切かつ合理的な方法
により、かつ、中立性及び信頼性が確保されるように作成されなければならない。」（同条 2 項とされ、また、国際的合意では統計機関は「科学の原理と専門家としての倫理を含む厳密に専門的な見地から、統計データの収集、処理、蓄積及び公表の方法及び手続を決定する必要がある。」（国連の「公的統計の基本原則」原則２）とされていることからすれば、ユニークさ、情緒といったものは可能な限り排除して、客観的、合理的内容であることが求められているというべきでしょう。その調査方法や質問内容には、「思想又は感情を創作的に表現」することは求められておらず、むしろ正確性や信頼性の観点からすれば、ユニークさなどは避けられるべきものといえるでしょう。よって、基本的に著作物性は認められないと考えます。
質問 調査結果を複数の大学、複数の研究所で利用する場合の法律関係はどうなるのでしょうか。
答え 調査結果が個人情報を含むものであれば、調査を実施した機関が保有する個人情報を共同利用する場合、または第三者提供する場合が考えられます。いずれの場合にも、調査対象者（回答者）の方に、あらかじめ共同利用、第三者提供について告知して、同意を得ておく必要があります。
複数の研究所が共同で調査を実施し、聞き取りをするような場合には、調査主体、聞き取りを行う主体が複数になり、調査対象者の方が、複数の機関、主体に対して情報提供しているということになり、情報の名宛人は各機関となります。この場合には、それぞれの機関が自ら取得した情報であることから、共同利用、第三者提供の関係にはなりません。
質問 調査を実施するのは民間の調査会社ですが、どのような法律関係になりますか。

31

答え 調査業務の委託となります。調査主体が実施すべき調査実務を、民間の事業者に委託することによって、民間事業者のマンパワーを利用することになります。こうした業務委託の場合には、調査機関の有する義務（個人情報保護の義務）を民間事業者にも負担させる必要があり、そのためには委託先選定、委託先との契約、委託先の業務監督といった対応が必須となります。調査機関が民間事業者を監督する関係になります。
質問 調査データ、統計データなどの法的な権利関係はどうなりますか。
答え 客観的な数値、データは、著作物とは考えられず、現時点では、数値やデータそのものについて法的権利は定められていません。フランスではデータベース製作者の権利（sui generis ス
イ・ジェネリス権 フランス著作権法 341-１、141-１ 1 項）といった規定があり、いわゆる額に汗した者の権利、投資リスクを負う者の権利を保護するものがありますが、我が国にはそうした規定はありません。
したがって、現時点では、データは公開した時点で広く共有されることになる、と考えるべきであり、権利性、権利侵害という考えはあたらないということになります。データ独自の権利保護としてではなく、非公開、限定公開などとして、合意に基づく利用関係の設定により、その設定契約の違反の問題とするか、不正な利用を不法行為として問題とする他は保護の方法はな
いと考えられます。
質問 データベース著作権というものがあると聞きましたが、それによってデータは保護されないのですか。
答え データは著作権では保護できないのですが、データベースとなり、データの配列に創作性があると認められる場合には著作物と認められます。ただし、その場合もデータそのものが保護対象ではなく、あくまでも、「データベースでその情報の選択又は体系的な構成によつて創作性を有するもの」（著作権法 12 条の 2 第 1 項） を著作物として保護するというものです。しかも、同条 2 項で「同項のデータベースの部分を構成する著作物の著作者の権利に影響を及ぼさない。」と明記され、データベース著作権とデータの著作権は明確に区分することとされ、例
えばデータ部分が新聞記事、文章など著作物である場合、データベースとは別物とされています。
自動車データベースが流用された事件（東京地裁平成 13 年 5 月 25 日中間判決、平成 14
年 3 月 28 日終局判決）では、情報の選択や体系的構成に創作性はないとされる一方で、そのデータを無断で複製し、利用した行為は不法行為にあたるとして損害賠償が認められています。
質問

子供の情報を取得しようとする場合、親権者だけの同意だけで十分でしょうか、それとも情報主体である子供の同意も必要なのでしょうか。

答え

個人情報保護法や独立行政機関個人情報保護法において、子供（未成年者）の情報

32

を取得する際の特別の規定はありません。したがって、子供（未成年者）であっても、情報の主体（本人）であることには違いがなく、子供自身の同意が必要となります。ただし、親権者からの同意も合わせ取得するなど慎重な対応が必要な場合もあるでしょう。例えば、未成年者を対象者とした性的な事項に関する調査を行うよ
うな場合は、未成年者の心身への影響を考慮し、親権者の同意も必要でしょう。また、子供（未成年者）といっても、意思能力（自己の行為の結果を判断できる能力、
だいたい１０歳程度）を有していない者から、成年者とほぼ同程度の能力を有している者までいます。したがって、対象者の年齢も考慮して、親権者の同意が必要か
慎重に判断する必要があります。
質問

例えばＡ国に所在している人の情報をＡ国内で取得し、その情報を日本国内において利用しようとする場合、Ａ国、日本どちらの法律が適用されるのでしょうか。

答え

Ａ国に所在している人の情報をＡ国内で取得する際には、Ａ国の法律が適用されますが、その情報を日本国内で利用する場合は、日本の法律が適用されます。ただし、ＥＵについては、ＥＵ域内に所在している人の情報をＥＵ域内で取得し、これを日本国内に移転させた上で、日本国内で利用する際には、日本の法律（個人情報保護法等）とともに、ＥＵの個人情報規制であるＧＤＰＲも適用されることになります。
各国の法律で、国外への情報移転や国外での情報利用についても規制されていることがありますので注意が必要です。

質問

ＧＤＰＲはどのような個人データの取得に適用されるのでしょうか。具体的には、ＥＵ域内に在住の個人が、日本に旅行に来て、日本において自身の個人情報を提供した場合、その個人情報を取得する事業者にはＧＤＰＲが適用になるのでしょうか。

答え

ＧＤＰＲ3 条は、ＧＤＰＲが適用される地理的範囲について規定しています。同条 1
項は、ＥＵ域内の管理者又は取得者の規定、同条 2 項は、ＥＵ域内に拠点がない管理者又は取扱者についての規定となっています。ＥＵ域内に拠点がない日本企業の場合、2 項が問題となります。2 項は、「This Regulation applies to the processing of personal data of data subjects whoare in the Union by a controller or processor not established in the Union,
where the processing activities are related to:
以下、略」と規定されています。
本質問については、「data subjects who are in the Union」の解釈が問題となります。通常は、「ユニオン（ＥＵ）域内に所在するデータ主体」と訳されると思います。
森大樹編集代表「別冊ＮＢＬ№162 日米欧

個人情報保護・データプロテクションの国際法務」（商事法務）においても、「ＥＵ域内に所在するデータ主体」（６１頁等）

33

と訳しています。この訳に従うと、ＥＵ域内の住人である個人が、日本というＥＵ
域外において日本の事業者（ＥＵ域内に拠点がない事業者）に対し自己の個人情報を提供した場合には、「ユニオン（ＥＵ）域内に所在」していないのですから、ＧＤ
ＰＲは適用されないということになります。
他方、一般財団法人日本情報経済社会推進協会「個人データの取扱いに係る自然人の保護及び当該データの自由な移転に関する欧州議会及び欧州理事会規則（一般
データ保護規則）（仮日本語訳）」（2016 年 8 月）によると、「data subjects who arein the Union」を「ユニオン（ＥＵ）域内に在住するデータ主体」と訳しています。
この訳に従うと、たとえ、ＥＵ域外の日本に来たとしても、住所がＥＵ域内にある
場合は、「ユニオン（ＥＵ）域内に在住」する人には変わりがないことから、ＧＤＰ
Ｒが適用されることになります。
この点、日本の個人情報保護委員会や日本貿易振興機構（ＪＥＴＲＯ）では、公表している文献以外に情報の提供はしておらず、同部分の解釈、適用については回答できないとしており、現状、どちらの訳・解釈が正しいのか不明です。
解釈が確定するまでの間は、「ユニオン（ＥＵ）域内に在住するデータ主体」と厳しく解するのが安全で妥当でしょう。
（本件 Q＆A は、平成 30 年 3 月 16 日のシンポジウムにおいていただいた質問であり、その際に講師より居住者のデータであるとの理解が示され、EU 居住者が我が国国内を旅行した際に提供された個人データの取扱（ホテル予約、旅行手配など）も、GDPR の適用がある、との解説がなされました。ただ、回答にあるように、法文の解釈によっては、我が国を旅行中などの「who are in the Union」とならない場合については、我が国の個人情報保護法のみの適用と考えられ、GDPR の適用がないと解される点を指摘しておりませんでしたので、本回答で追記させていただきました。
ただ、解釈が確定していない現在においては、広く保護する対応を行うのが安全であることから、確定するまでは、居住者であれば日本に居ても保護する、として広く保護するようにされることをお進めします。）

質問対象者から情報を取得するに際し同意書面を頂くことを考えていますが、対象者自身が同意し、署名した書面を、対象者に対し交付する必要はあるのでしょうか。

答え

個人情報保護法や独立行政法人個人情報保護法上、同意したことが分かる書面を対象者（情報の本人）に交付する義務はありません。もっとも、本人に、同意したことを認識させるため、書面を交付することは効果的です。

質問

インターネット上に書き込まれた情報を取得し調査しようと考えていますが、利用目的をいつまでに、どのように示せばよいのでしょうか。例えば、ホームページ上

34

に利用目的を掲載していた場合、その利用目的が情報取得時には掲載されていなかったとか、後から利用目的が追加されたなどと言われる危険性があるのですが。
答え

個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければなりません（個人情報保護法 18 条 1 項）。したがって、あらかじめ、利用目的をホームページ上で公表していなくとも、取得後速やかに公表すれば足りることになります。「速やか」について、具体的にいつまでという基準はありませんが、可能な限り早くということであり、合理的理由無く遅滞することは許されません。
また、ホームページ上に利用目的を記載していた場合、その利用目的が情報取得時には掲載されていなかったとか、後から利用目的が追加されたなどと言われる危険性がありますので、利用目的を制定・改訂した際には、タイムスタンプをとっておく等の対応をするのがよいでしょう。

質問

調査目的で収集した個人情報を利用し調査・分析を行い、その結果を海外の学術誌に掲載していますが、その際、調査結果の正しさを証明するため、海外の研究機関から収集した個人情報を格納したマイクロデータの提供を求められることがあります。その場合、収集の際の利用目的はどのように書くべきなのでしょうか。第三者に提供すると書くと広すぎるように思え、対象者から情報提供をためらわれるおそれがあります。

答え

学術誌に掲載された調査・分析結果の正しさを証明するためであっても、海外の研究機関に個人情報を格納したマイクロデータを提供することは、第三者提供に当たります。したがって、利用目的に、第三者提供する旨記載する必要があります。その際、ただ単に、「収集した情報は第三者に提供することがあります」などと記載す
ると、対象者に不安を与えることにもなりかねないことから、例えば、「収集した情報は調査・分析の上、海外の学術誌に掲載することがあります。その際、調査・分析の正しさを証明するため、海外の研究機関に、収集した個人情報を提供することがあります。
」などと具体的に記載すべきでしょう。

質問

これに関連し、収集情報を長期間、あるいは無期限で保管することになるが、許されるのか、どのような対応が求められるのか。

答え

日本の個人情報保護法では目的を達した後には速やかに削除すべきであるとして努力義務が規定（第 19 条）され、GDPR では必要がなくなった場合には削除する法的義務があると規定（第 17 条１、（ａ））しました。この結果、利用する必要がなくなった場合には、速やかに削除すべきではありますが、信憑性の証明などの目的で長期間保有することは、必要性がある場合に該当し、削除義務は生じません。ただし、35そうした証明のために保存することを明確にするルールを作り、ルールどおりの運用に心がけるようにしてください。

質問

収集した情報を加工し、匿名加工情報にして利用しようと考えていますが、個人情報に復元できないようにしたと言えるためには、どのようにすればよいのでしょうか。復元できないようにしたという立証責任は対象者ではなく事業者側にあるため、どの程度まで加工すれば大丈夫だと言えるのでしょうか。

答え

個人情報保護法 36 条 1 項において匿名加工情報の適正な加工について規定し、個人情報保護規則 19 条において具体的な加工の基準が規定されています。また、個人需要法保護委員会より「個人情報の保護に関する法律についてのガイドライン（匿名
加工情報編）」（平成 28 年 11 月、平成 29 年 3 月一部改正）が出されています。もっとも、現在、確定した判例もなく、実際にどの程度まで加工すれば大丈夫であるかどうかは必ずしも明らかではありません。少なくとも、氏名、住所など一意に特定できてしまう情報を削除するとともに、一意に特定できる可能性がある特異な情報も削除するなど、ベストエフォット（最善の努力）をする必要はあるでしょう。なお、氏名をＩＤに変換すればよいのではと思われるかもしれませんが、これは「匿名化」ではなく「仮名化」に過ぎず、「匿名加工情報」とはなりません。

36