個人情報保護制度の見直しに向けた中間整理

令和２年８月
個人情報保護制度の見直しに関するタスクフォース

1はじめに ………………………………………………………………3

１．総論的整理事項
１－１ 法の形式及び法の所管……………………………………4
１－２ 医療分野・学術分野における規制の統一………………7
１－３ 学術研究に係る適用除外規定の見直し（精緻化）……14

２．定義等の統一
２－１ 個人情報の定義の統一（照合の容易性の扱い）………20
２－２ 匿名加工情報と非識別加工情報（名称の統一）………24
２－３ 行政機関等における匿名加工情報の取扱い……………26
２－４ 義務規定及びその例外規定の内容の相違………………30

３．監視監督・事務処理体制
３－１ 行政機関等に対する監視監督の在り方…………………35
３－２ 行政機関等の開示決定等への不服申立ての扱い（情報公開・個人情報保護審査会の在り方）……………………………38

４．その他の整理事項
４－１ 地方公共団体の個人情報保護制度との関係（今後の検討の進め方）……………………………………………………41
４－２ 個人情報保護法令和２年改正の公的部門への反映の在り方………………………………………………………………44

2

はじめに
平成２７年改正個人情報保護法 1の附則第１２条第６項において「政府は…
個人情報及び行政機関等保有個人情報の保護に関する規定を集約し、一体的に規定することを含め、個人情報の保護に関する法制の在り方について検討する」と規定されたことを踏まえ、令和元年１２月、民間部門、行政機関、独立行政法人等に係る個人情報の保護に関する規定を集約し、一体的に規定すること及び事務処理体制の在り方について検討するため、内閣官房に「個人情報保護制度の見直しに関するタスクフォース」（議長：内閣官房副長官補（内政担当）。以下「本タスクフォース」という）が設置された。
令和２年３月、本タスクフォースの議長決定に基づき、本タスクフォース
に対して有識者としての立場からの提案を行うため、「個人情報保護制度の見直しに関する検討会」（座長：髙橋 滋 法政大学法学部教授。以下「有識者検討会」という）が開催され、計６回にわたり議論が行われた（うち３回は書面開催）。本中間整理は、先般提出された有識者検討会からの提案内容（中間整理案）を踏まえた、現時点における本タスクフォースとしての考え方を取りまとめたものである。
今後は、本中間整理の内容に基づき、来年の通常国会での改正法案の提出に向けて、政府内で所要の調整を行いつつ、早急に法制化作業を開始することとする。また、法制の見直しの影響を受ける法人を含め、広く意見募集を行
い、国民の意見を検討内容に反映することとする 2。

「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律」（平成 27 年法律第 65 号）
2
地方公共団体の個人情報保護制度の在り方については、今後、地方公共団体の意見を十分聞きながら、有識者検討会において具体的な検討を行うこととし、年内を目途にその結果を本タスクフォースに報告させることとする。
1

3

１

総論的整理事項

１－１

法の形式及び法の所管

１．現在、我が国の個人情報保護に関する法律は、個人情報の保護に関する法
律（平成１５年法律第５７号。以下「個人情報保護法」又は「個情法」という）、行政機関の保有する個人情報の保護に関する法律（平成１５年法律第５８号。以下「行政機関個人情報保護法」又は「行個法」という）、独立行
政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号。以下「独立行政法人等個人情報保護法」又は「独個法」という）3の３法に分かれており、各法の所管も、個人情報保護委員会（個人情報保護法を所管）と総務大臣（行政機関個人情報保護法及び独立行政法人等個人情報保護法を所管）とに分かれている。
２．これは、平成１５年に個人情報保護法制を整備するに当たって、「個人情報の取扱いに伴う個人の権利利益の保護の必要性は、公的部門と民間部門とで異なるものではないが、その取扱いについて、政府と国民との間においては、行政に対する国民の信頼を一層確保することが求められており、また、法律による行政の下に国民一般の利益との調整が重要であるのに対し、私人間においては、企業活動における営業の自由等との調整が問題となるものであることなどから、その取扱いについての具体的な規律内容は異ならざるを得ない」4との理由から、国の行政機関及び独立行政法人等については、個人情報保護法とは別に法制上の措置を講ずることとされたためである 56。
３．しかしながら、近年、情報化の進展や個人情報の有用性の高まりを背景と
以下、行政機関個人情報保護法と独立行政法人等個人情報保護法を併せ、「行政機関
個人情報保護法等」又は「行個法等」という。
4「個人情報保護基本法制に関する大綱」（平成 12 年 10 月 11 日、情報通信技術（ＩＴ）
戦略本部 個人情報保護法制化専門委員会）
5
その際、個人情報保護法については、事業分野別の主務大臣制が採られ、行政機関個人情報保護法及び独立行政法人等個人情報保護法については、行政共通の制度を所掌する
総務大臣の所管とされた。その後、平成 27 年の法改正により、個人情報保護法は独立規制機関である個人情報保護委員会が一元的に所管することとされた。
6
もっとも、現行法制における公的部門と民間部門との間の規律の相違は、このような総論的理由のみによって一律に説明し尽くせるものではない。規律の相違の理由及びその合理性の有無については、個別に検証が必要である。
34

して、官民の枠を超えたデータ利活用が活発化しており、現行法制の縦割りに起因する規制の不均衡や不整合（法の所管が分かれていることに起因する解釈上の不均衡や不整合を含む 7）がデータ利活用の支障となる事例が各所で顕在化しつつある。このため、上述のような公的部門と民間部門における規律の性格の違いに関する経緯・理由に留意しつつも、このような不均衡や不整合を可能な限り是正することが求められている。また、官民の枠を超えたデータ利活用を個人情報保護の観点から適正に規律し、個人の権利利益を実効的に確保するため、公的部門・民間部門の別を問わない
新たな監視監督体制の確立が必要とされている。
４．更に、近年、国境を超えたデータ流通を行う局面が増加したことから、Ｅ
Ｕ一般データ保護規則第４５条に基づくデータ越境移転に関する十分性認定（以下「ＧＤＰＲ十分性認定」という）への対応を始めとする国際的な制度調和を図る必要性が向上しており、そのような観点からも、国際的な趨
勢に合わせ、独立規制機関である個人情報保護委員会が我が国の個人情報保護法制全体を一元的に所管する体制を構築することが求められている 8。
５．そこで、個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の３法（以下「保護３法」という）を統合して１本の法律とし、独立規制機関である個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等の３者における個人情報の取扱いを一元的に監視監督する体制を構築することが適当である。
６．その際、国民から見た分かりやすさの観点から、統合後の法律は、個人情報の適正な取扱いに関する官民共通の基本法としての性格を有する現行の個人情報保護法をベースとして構成し、これに、行政機関等の特性に応じた規律（現行の行政機関個人情報保護法及び独立行政法人等個人情報保護法をベースとしたもの）を追加する形で改正を行うことが適当である。

民間部門においては、平成 27 年の法改正によって新設された個人情報保護委員会の下で、新たな技術やサービスの出現を踏まえた法運用の実績が着実に積み重ねられており、法の詳細な解釈を示すガイドライン等が幅広く公表されていることから、規律の実質的な「密度」という点でも、民間部門と公的部門との間で一定の不均衡が生じているとの指摘もある。
8
我が国の民間部門の個人情報保護法制は、平成 31 年 1 月にＧＤＰＲ十分性認定を受けている。一方、公的部門の個人情報保護法制は、独立規制機関による監視が及んでいないことから、ＧＤＰＲ十分性認定の対象とはなっていない。
75

７．統合後の法律を個人情報保護委員会が一元的に所管することの帰結として、① 統合後の法律の執行（報告、立入検査、指導、勧告、命令等）は、他の機関に委任した場合を除き、個人情報保護委員会が行うこととなり② 統合後の法律の有権解釈権は、個人情報保護委員会に一元的に帰属することとなり③ 統合後の法律に係る企画・立案（附則検討条項に基づく制度の見直し
等）は、個人情報保護委員会が行うこととなる。
その結果、個人情報保護委員会の業務量は相当程度増大すると見込まれ、専門的判断を要する場面も一層増加すると予想されることから、統合後の法律の着実な施行に向けて、個人情報保護委員会の体制強化と更なる専門性の向上を図ることが必要である 9。

一方、個人情報保護に関する制度の企画・立案は、オープンデータの推進やデジタル・
ガバメントの構築等の政府のＩＴ施策と密接に関連するため、このような観点から個人情報保護を含む政府全体のＩＴ施策について企画・立案及び総合調整を行う組織が別途必要と考えられる。
9

6

１－２

医療分野・学術分野における規制の統一（１）現行法制の課題
１．今般の個人情報保護法制の見直しは、保護３法を統合し、独立規制機関である個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等の３者における個人情報の取扱いを一元的に監視監督する体制を構築しようとするものであるが、その際、現行法制の縦割りに起因する規制の不均衡や不整合を可能な限り是正することが求められている。
２．現行法制の縦割りに起因する規制の不均衡は、保護３法においては、医療分野・学術分野における個人情報の取扱いに関する規律に最も顕著に表れている。すなわち、医療分野・学術分野では、実質的に同等の立場で個人情報を取得・保有している法人であっても、当該法人が公的部門に属するか（独立行政法人、国立大学法人等）、民間部門に属するか（私立大学、民間
病院、民間研究機関等）によって、適用される法律上の規律が大きく異なっており、これが、公的部門と民間部門との垣根を越えた連携医療や共同研究の実施を躊躇させる一因となっているとの指摘もある。
３．このような医療分野・学術分野における規制の不均衡を、現行法制の制約下で可能な限り是正するため、政府では、「人を対象とする医学系研究に関する倫理指針」（平成２６年文部科学省・厚生労働省告示第３号）等の指針
やガイドラインを定め、研究主体が公的部門に属するか民間部門に属する
かにかかわらず共通して適用される個人情報の取扱いに関するルールを定めている。
４．しかしながら、このような指針等による規律の平準化という手法には、① 保護３法で規制の強弱や広狭に差がある場合には、最も強い規制や最も広い規制に全体を揃えざるを得ず、結果として規律の厳格化を招く② その反面、保護３法の規制を越えて上乗せ的に課される規律について
は、裁判規範としての効力や保護３法上のエンフォースメントの手段を欠くといった内在的な問題や限界があり、今般の保護３法の統合（以下「一元化」という）の機に、より抜本的な形で医療分野・学術分野における規制の不均衡を是正することが求められている。

7

（２）解決の選択肢
１．医療分野・学術分野における規制の不均衡を是正する最も徹底した方策
は、公的部門と民間部門における規律の内容を一元化の機に全て同一にすることである。しかしながら、このような方策は、① 行政主体（国）の広義の内部関係に当たる公的部門における規律と、行政主体と民間事業者との外部関係に当たる民間部門における規律とでは、求められる規律の内容が自ずから異なると考えられること 10② 規律の強度についても、公的部門における個人情報保護には、行政機関
等が公権力を行使して収集した個人情報を特に厳格に保護すべきとの要請が働くと一般に考えられていること 11を踏まえると、政策的に妥当とは言い難い 。
２．また、別の方向での徹底した解決策として、個人情報を管理する「主体」（基本的には「法人」）の属性に応じて規律の内容を決定するという現行の個人情報保護法制の基本的な構造 12（以下「法人単位規制構造」という）自
例えば、現行の行政機関個人情報保護法は、行政機関は所掌事務の遂行に必要な個人情報しか保有してはならないこと（行個法第 3 条第 1 項）や、個人情報ファイルの保有について総務大臣への事前通知義務を負うこと（行個法第 10 条第 1 項）を定めているが、これは、政府全体としての内部統制的規律を法律で定めたものと理解できる。また、行政主体の内部関係と外部関係では、エンフォースメントの在り方も当然に異なる（極端な例を挙げれば、行政機関に民間事業者と同じく罰金を科すことは無意味である）。一方、個人情報保護法と行政機関個人情報保護法における目的規定の主旨はほぼ同じであり、求められる規律の基本的な内容に違いはないとの有識者検討会委員の意見もあった。
11
ただし、公的部門の業務の全てが公権力の行使に当たる訳ではないし、民間部門でも事業者が従業員等から法律の規定に基づき義務的に個人情報を取得することはあるので、両部門の相違は相対的なものにすぎず、「規律の強度」について、公的部門において常に民間部門よりも厳格な規律が求められる訳ではないとの指摘もある（そうであっても、全般的な傾向としては、なお本文のように言い得ると考えられる）。
12
現行の個人情報保護法制は、個人情報を管理する「主体」の属性に応じて当該主体に課される規律の内容を決定する構造となっている。すなわち、ある主体が、公的部門と民間部門のいずれに属するかや、個人情報取扱事業者に該当するか、個人情報取扱事業者に該当するとして学術研究機関に該当するかといった要因によって、当該主体が遵守すべき個人情報保護に関する基本的な規律が決定される仕組みとなっている。その一方、当該主体が取扱う個人情報の性質や、当該主体が個人情報を利用して行う業務の性格は、一部の例外的な場合を除いて、当該主体に課される規律の内容には影響しない仕組みとなっている。そして、この場合の「主体」は、法人については基本的には法人格を単位として識別される構造となっている。このような現行の個人情報保護法制の基本的な構
造は、「情報」という目に見えない存在の取扱いについて簡明なルールを定め得るという
108

体を転換し、個人情報の性質や個人情報を利用する際の業務の性格に着目した新たな規律の体系を構築することも考えられる。
しかしながら、このような方策は、情報の性質や業務の性格に着目した「新たな規律の体系」の具体的な内容についてゼロベースで検討する必要が生じ 13、整合的かつ実効的なルールの策定に困難が予想されるとともに、関係者のコンセンサス形成や現行法制との連続性の検討に多大な時間と労力を要すると想定されることから、将来的な選択肢としては検討に値する
ものの、今般の一元化の機に採るべき方策としては、現実的とは言い難い。
３．あるいは、公的部門と民間部門との規律の相違や法人単位規制構造を維持した上で、情報の性質や業務の性格に応じた横串的規律を追加的に導入するという方策も考えられる。
しかしながら、このような方策は、規律が縦横で交錯し、適用関係が複雑化することが容易に予想され 14、医療分野・学術分野における個人情報の取扱いについて現に生じている混乱をかえって助長するおそれがあることか
ら、妥当ではないと考えられる。
４．以上を踏まえ、〇 公的部門と民間部門との規律の相違を基本的に維持し、かつ、現行法制の基本的構造との整合性・連続性を保ちつつ、〇 現在顕在化している医療分野・学術分野における規制の不均衡の是正
を可能な限り速やかに、かつ、現場の混乱なく円滑に実現するため
医療分野・学術分野の業務を行う法人については、公的部門に属する場合であっても、原則として民間部門と同様の規律を適用することが適当であり、今後、この案をベースとして、具体的な法制化作業を進めていくことが適当

点や、違反行為に対する行政法的なエンフォースメントを実効的に行い得るという点で、一定の合理性を有していると考えられる。
13
例えば、現行法制は、同一法人内における個人情報の「内部利用」と法人の枠を超えた個人情報の「外部提供」とを規律の上で峻別しているが、法人単位規制構造を転換するとすれば、このような規律の枠組みの合理性は自明ではなくなり、ルールを新たに考案する必要が生じる。
14
例えば、業務の性格に応じた横串的規律を追加的に導入した場合、同一法人に対して複数の規律が適用されるため、それぞれの規律が適用される業務の間での個人情報の流通を防ぐファイアーウォールを設定する必要がある。また、新たな業務を開始したり新
たな種類の個人情報を取得したりするたびに、いずれの規律を適用すべきかを逐一判断する必要が生じる。
9である 15。なお、官民の垣根を越えたデータの流通や共同活用が今後ますま
す広がっていくと予想される中で、将来的には、今回規律を基本的に統一する医療分野・学術分野だけでなく、より広い分野で官民の規律を統一する可能性についても、検討していくことが求められると考えられる 16。
（３）改正の方向性
１．現行の独立行政法人等個人情報保護法の規律対象となっている独立行政法人等が、同法の下で行政機関に準じた個人情報保護の規律を受けている
経緯を振り返ると、それは、同法の制定過程において、情報公開法制における整理を基本的に踏襲し、① 設立法において、理事長等を大臣等が任命することとされているか② 法人に対して政府が出資できることとされているかを判断基準として、独立行政法人等個人情報保護法の対象法人となる「政府の一部を構成するとみられる法人」が選定されたためである。このような判断基準は、民間部門における個人情報保護が黎明期にあり、民間部門
における個人情報保護の水準や体制が脆弱であると考えられていた段階では、一定の合理性を有していたと考えることもできる 17。
２．しかしながら、今日的視点 18から改めて検討すると、このような判断基準
有識者検討会における議論では、公的部門の規律と民間部門の規律をどこまで揃える
べきかについて、様々な立場からの意見があった。具体的には、今般の一元化の機会に、主体の属性に応じて規律の内容が異なる現行法制の構造自体を見直し、情報の性質や入手経緯に応じて規律の内容に差異を設ける新たな規律の体系を導入すべきとの意見があった。その一方、消費者から見た場合、供給者を選択できる民間部門のサービスと選択できない公的部門のサービスでは基本的な性格の違いがあり、安易な規律の一本化には慎重であるべきとの意見や、規律の一本化が結果として官民全体としての個人情報保護水準の低下に繋がることを懸念する意見があった。
16
加えて、将来的には、個人情報保護法制と情報公開法制とのデマケーションの見直しを含めた法体系全体の再整理が必要であるとの有識者検討会委員の意見もあった。
17
現行の独立行政法人等個人情報保護法が立案された平成 12 年当時、独立行政法人及び特殊法人は、「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」（昭和 63 年法律第 95 号。以下「行政機関電算処理個人情報保護法」という）の下で、「この法律の規定に基づく国の施策に留意しつつ、個人情報の適切な取扱いを確保する
ため必要な措置を講ずる」とされていた。これに対し、民間事業者による個人情報の取扱いについては法律上の規律はなかった。
18
今日では、民間部門についても、独立規制機関である個人情報保護委員会の下で、個人の権利利益の保護という法目的に照らして必要十分な水準の個人情報保護が図られて
15

10

は、政府に対する民主的統制の手段である情報公開法制の適用範囲を画する基準としては引き続き合理的であるが、個人の権利利益を保護することを目的とする個人情報保護法制における適用対象の判定においては、官民の枠を超えたデータ利活用の活発化という情勢変化を踏まえたより実質的な判断が求められており、「各法人における個人情報の取扱いの実質に照らし、当該法人に行政機関に準じた規律を適用するのが適当かどうか」という観点から、対象法人を選定すべきであると考えられる 19。
３．そこで、今般の一元化の機に、この点の是正を図ることとし、現行の独立行政法人等個人情報保護法の規律対象となっている独立行政法人等のうち、① 民間部門において同種の業務を行う法人（カウンターパート）との間で個人情報を含むデータを利用した共同作業を継続的に行うもの等、本人から見て官民で個人情報の取扱いに差を設ける必要性の乏しいもの（例：
国立研究開発法人、独立行政法人国立病院機構、国立大学法人、大学共同利用機関法人）については、原則として、民間事業者と同様の規律を適用
し、② 行政機関に準ずる立場で（公権力の行使に類する形で）個人情報を取得・保有するもの（例：行政執行法人、日本年金機構）等、①以外のものについては、行政機関と同様の規律を適用する
ことが適当である。
４．ただし、現行の独立行政法人等個人情報保護法における規律のうち、① 本人からの開示等請求に係る規律は、情報公開法制において本人開示が認められない点を補完する側面を有しており 20、いる。我が国の民間部門の個人情報保護法制が、ＧＤＰＲ十分性認定を受けていることは、その１つの証左ということができる。
19
そもそも、①情報公開や公文書管理のような公的部門に固有の規律をどこまで独立行政法人等にも及ぼすかという問題と、②労働者保護や個人情報保護のような官民共通の課題について、行政機関の特性に応じた特則的規律をどこまで独立行政法人等にも及
ぼすかという問題は、性質の異なる問題であり、前者の基準を後者に適用すべき理由は今日では基本的に存在しないと考えられる。
20
情報公開法制は開示請求者の属性を問わない建前であるため、不開示情報である「個人に関する情報」は、たとえ本人に対してであっても開示することが認められない。他方、現行の行政機関個人情報保護法の前身である行政機関電算処理個人情報保護法の時代には、同法に基づく本人開示等請求の対象は個人情報ファイルに記録された「処理情報」に限られていたため、いわゆる散在情報の本人開示について、「制度の谷間」が生じていた。これを解決するため、現行の行政機関個人情報保護法は、本人開示等請求の対
11②

非識別加工情報の提供に係る規律は、公的部門が有するデータを広く
民間事業者に開放し活用を促す広義のオープンデータ政策としての性格を有している 2122
ため、一元化後においても、これらの規律については、現行法制と同様、全ての独立行政法人等を行政機関に準じて扱うことが適当である 23。
５．現時点では、民間の個人情報取扱事業者と原則として同様の規律を適用すべき独立行政法人等（以下「規律移行法人」という）としては、例えば 、以下の法人が該当すると考えられることから、今後、これを原案として、各独立行政法人等の主務省庁等との調整を進めていくことが適当である 24。
・国立研究開発法人
・国立大学法人
・大学共同利用機関法人
・独立行政法人国立病院機構
・独立行政法人地域医療機能推進機構 25
象を散在情報を含む「保有個人情報」に拡大した経緯がある。民間部門の本人開示等請求権の対象は、散在情報を含まない「保有個人データ」であるため、仮に本人開示等請求に係る規律まで民間部門と同じにすると、再び「制度の谷間」が生じることになる。
21
一般に、個人情報保護法制では、自らが保有する情報を本人以外の者に提供する義務を負うことはない。非識別加工情報の提供制度は、公的部門が保有するデータに国民の共有財産としての性格があることに鑑み、このような一般原則に対する例外として、公的部門の主体に対して非識別加工情報の提供に向けた提案募集等を行う義務を課している。このような非識別加工情報提供制度の趣旨は、全ての独立行政法人等に妥当すると考えられる。
22
非識別加工情報の提供制度は、契約に基づき特定の事業者に提供するものである点や一定の手数料を徴収するものである点で、データの無償公開を前提とするオープンデー
タとは厳密には異なる。
23
加えて、個人情報ファイル簿の作成・公表（独個法第 11 条）についても、①個人情報
ファイル単位で利用目的が公表されるという点で、個人情報保護法制の本来的趣旨に照らし、望ましい規律であること、②本人からの開示等請求に係る規律と一定の関連性を有していることから、引き続き同様又は類似の規律を規律移行法人にも課すことも一つの選択肢として、法制化作業の中でその扱いを検討することが適当である。
24
一般化して言えば、民間部門との規制の不均衡が問題となる独立行政法人等は、①民間部門にカウンターパートが存在し、②当該法人との間で、個人情報を含むデータを利用した共同作業が継続的に行われている又は行うことが想定される独立行政法人等であると考えられるから、今後、規律移行法人の具体的な範囲を主務省庁等と精査していく
際は、これらを基本的なメルクマールとすることが適当である。
25
医療分野の業務を行う独立行政法人等としては、これらの他に、独立行政法人労働者
健康安全機構がある。独立行政法人労働者健康安全機構の扱いについては、その合併法
12

・沖縄科学技術大学院大学学園
・放送大学学園
６．その際、規律移行法人の中で「公権力の行使に類する形で個人情報を保有する業務」も行うと認められるものについては、当該法人の当該業務における個人情報の取扱いに対しては例外的に行政機関と同様の規律を適用することを含め、今後、各独立行政法人等の主務省庁等との調整を進めていくことが適当である 2627。

人としての性格も踏まえつつ、主務省庁等との調整の中で検討していくことが適当である。
26
なお、医療分野・学術分野の業務を行う公的部門の主体としては、国に直属する医療機関や研究機関も少数ながら存在する。これらの機関については、民間事業者と原則として同様の規律を適用することの必要性・許容性を、個々の機関の性格を踏まえて個別に検討することが適当である。
27
規律移行法人については、規律移行に伴って業務への支障が生じないよう、現行の独個法上の運用との連続性にも配慮して、必要な経過措置を検討することが適当である。
13

１－３

学術研究に係る適用除外規定の見直し（精緻化）（１）現行法の規律
１．現行法は、憲法が保障する学問の自由への配慮から、大学その他の学術研究を目的とする機関若しくは団体 28 又はそれらに属する者（以下「学術研究機関等」という）が、学術研究目的で個人情報を取り扱う場合 29を、一律に個人情報保護法第４章に定める各種義務の適用除外としている（個情法第７６条第１項第３号）。
２．その一方、現行法は、学術研究機関等に対し、安全管理措置等の個人情報の適正な取扱いを確保するために必要な措置を自ら講じ、その内容を公表する努力義務を課している（同条第３項）。
３．また、個人情報保護委員会は、個人情報取扱事業者に対して立入検査や勧告・命令等の監督権限を行使する際は、「学問の自由を妨げてはならない」とされており（個情法第４３条第１項）、その趣旨に照らし、個人情報取扱事業者が学術研究機関等に対して個人情報を提供する行為に対しては、監督権限を行使しないこととされている（同条第２項）。
（２）基本的考え方
１．現行法が、学術研究機関等が学術研究目的で個人情報を取り扱う場合を一律に各種義務の適用除外としている結果、我が国の学術研究機関等にＥ
Ｕ圏から移転される個人データについてはＧＤＰＲ十分性認定の効力が及ばないこととなっている。このような事態は、我が国の研究機関がＥＵ圏の研究機関と個人データを用いた共同研究を行う際の支障ともなり得ることから、改善を求める声が現場の研究者からも多数寄せられている。そこ「大学その他の学術研究を目的とする機関若しくは団体」とは、現行法では、私立大学、公益法人である研究機関等の学術研究を主たる目的として活動する機関や「学会」等をいい、民間団体付属の研究機関も学術研究を主たる目的として活動する場合はこれに含まれる。一方、国立大学や公立大学、独立行政法人等である研究機関は、そもそも「個人情報取扱事業者」に該当しないことから、現行法の適用除外規定の対象とはならない。なお、「学術研究」とは、学問分野であれば人文・社会科学であるか自然科学であるかを問わないし、基礎研究であるか応用研究であるかも問わない。
29
学術研究目的で個人情報を取り扱う場合とは、その個人情報を取り扱う目的の全部又は一部が学術研究の用に供する目的である場合をいう（個情法第 76 条第１項柱書）。
28

14

で、今般の一元化を機に、学術研究に係る適用除外規定の内容を見直し、我が国の学術研究機関等に移転された個人データについてもＧＤＰＲ十分性認定の効力が及ぶようにするための素地を作ることが適当である 30。
２．具体的には、〇 現行の個人情報保護法第７６条から、学術研究に係る適用除外規定（同条第１項第３号）を削除し、学術研究機関等が学術研究目的で個人情報を取り扱う場合にも一般的には同法第４章に定める各種義務の適用があり得るとした上で、〇 学問の自由の中核である研究活動の自由及び研究結果の発表の自由を引き続き十全に確保する観点から、同法第４章に定める各種義務のそれ
ぞれについて、そのような観点からの例外規定を置くことの要否と置くとした場合の具体的な内容を、個別に検討していくことが適当である 31。
（３）具体的検討
１．まず、利用目的による制限（個情法第１６条）及び要配慮個人情報の取得制限（個情法第１７条第２項）については、研究活動の自由及び研究結果の発表の自由を直接制約し得る規律であり、例外規定を置かないと類型的に実施困難な研究活動が生じると想定されることから、「学術研究機関等が学術研究目的で個人情報を取り扱う必要がある場合」を例外とする趣旨の規定を置くことが適当である。
２．また、個人データの第三者提供の制限（個情法第２３条）についても、研究活動の自由及び研究成果の発表の自由を直接制約し得る規律であることから、類型的に実施困難な研究活動が生じるのを回避するため、
ア 学術研究機関等による研究成果の発表又は教授の際に個人データの提供が必要である場合 32

近年、個人データを含む大量のデータを活用した研究手法が一般化しつつあり、学術研究における個人情報の取扱いの適正を確保すべき要請が高まっているとの指摘もある。
31
一元化後は、規律移行法人である国立大学法人や国立研究開発法人は「個人情報取扱事業者」に該当するため、学術研究機関等としてこれらの例外規定の適用を受けることになる。
32
論文の公表や大学での講義等の際に個人データの提供が必須である場合は、学問の自由・表現の自由の要請が個人情報保護の要請を類型的に上回ると考えられることから、
30

15

イ

個人データの提供先が学術研究機関等であり、当該学術研究機関等が学術研究目的で当該個人データを取り扱う必要がある場合 33
ウ 学術研究機関等が提供先と共同で学術研究を実施する上で個人データの提供が必要である場合 34の３つの場合を例外とする趣旨の規定を置くことが適当である 35。
３．これに対し、利用目的の特定・公表（個情法第１５条及び第１８条）、データ内容の正確性の確保等（個情法第１９条）、安全管理措置等（個情法第例外規定を置くことが適当である。
33
現行の個情法第 76 条第１項第３号は、行為の主体が学術研究機関等であることを前提としているため、個人データの提供先が学術研究機関等であっても、提供元が学術研究機関等でなければ同号の適用除外とはならない。しかしながら、学術研究機関における学問の自由を確保する観点からは、提供元が学術研究機関等であるかどうかに関わらず、提供先が学術研究機関等である場合には例外とすべき必要性が認められ、現行の個情法第 43 条第２項もそのような趣旨を表していると考えられる。また、一元化後は、安全管理措置等や保有個人データの開示等の規律を学術研究機関等にも適用するのであれ
ば、提供先が学術研究機関等である場合を例外としても、個人の権利利益を不当に害する可能性は低いと考えられる。更に、現行法の解釈として、主としてこのようなケースを想定して、「民間企業や私立病院等であっても、（学術研究機関との）１つの主体とみなすことができる共同研究に属する者と認められる場合には、学術研究の目的に個人情報等を利用する限りにおいて、（法の適用除外が適用される結果として）法第４章の規定は適用されない」との見解が示されているが、前述の法人単位規制構造を踏まえると、
やや文理を離れた解釈であることは否定できず、一元化の機に、ルールの根拠の明確化を図ることが適当である。
34
学術研究機関等が他者に研究用途の個人データを提供する場合については、①専ら提供先が個人データを利用した研究を実施する場合（提供先の研究目的に利用）、②提供元が実施する研究を補助させる目的で個人データを提供する場合（提供元の研究目的に利用）、③提供元と提供先が共同で個人データを利用した研究を実施する場合（提供元と提供先の共同の研究目的に利用）の３つの場合を区別することができる。このうち、①については、学術研究機関における学問の自由を確保するという観点からは、「ア」及び「イ」に該当する場合を例外とすれば十分であると考えられる。また、②については、個人データの取扱いの委託（個情法第 23 条第５項第１号）として処理すれば足りる。したがって、一元化後の法においては、「ア」と「イ」に加えて③を第三者提供の制限の例外として規定することが適当である。なお、①～③の区別は、知的財産権の帰属先や研究資金の拠出元によるものではなく、研究目的の設定主体による区別であるから、この場合の③には、狭義の共同研究だけでなく、受託研究やいわゆる学術指導も含まれる。
35
これらの例外規定に該当する場合であっても、プライバシー上のリスクを低減する観点から、提供される個人データの分量やその個人識別性の程度は目的達成に必要な限度に最小化されることが望ましく、その旨を後述の指針の中で明確化することが適当である。
16

２０条から第２２条まで）、保有個人データの開示等（個情法第２７条から第３４条まで）、苦情の処理（個情法第３５条）、匿名加工情報の取扱い（個情法第３６条から第３９条まで）、仮名加工情報の取扱い（令和２年改正後の個情法第３５条の２及び第３５条の３）及び漏えい等の報告等（令和２
年改正後の個情法第２２条の２）については、〇 これらの規律を学術研究機関等に課したとしても、類型的に実施困難な研究活動が生じる訳ではなく、それが過度な負担とならない限り、研究活動の自由及び研究結果の発表の自由の制約とはならないと考えられること〇 規律の内容（各規律に置かれている一般的な例外規定の内容を含む）
を学術研究活動の特性 36 を踏まえて解釈・運用することにより、学術研究機関等に対する過度の負担は避け得ること
から、学術研究に特化した例外規定を置く必要はないと考えられる。
４．また、不適正取得の禁止（個情法第１７条第１項）及び不適正利用の禁止（令和２年改正後の個情法第１６条の２）については、仮にこれらの規律によって研究活動が何らかの制約を受けることがあるとしても、公共の福祉に基づく必要最小限度の制約として是認されると解されることから、学術研究に特化した例外規定を置く必要はないと考えられる。
５．ただし、大学の自治を始めとする学術研究機関等の自律性に鑑みれば、「３．」及び「４．」の規律の運用についても、学術研究機関等の自律的な判断を原則として尊重する必要がある 37。そこで、このような観点から、〇学術研究機関等に対して、個人情報を利用した研究の適正な実施のための自主規範を単独で又は共同して策定・公表することを努力義務として求めた上で 38、

例えば、学術研究機関では、個々の研究者が研究に利用するデータを分散的に管理していることが多く、大企業のような統一的な管理を求めることが困難な場合がある。
37
判例上、学問の自由を保障するための大学の自治は、大学の施設等についてのある程
度の自主管理権を認めたものとされており（東大ポポロ事件最高裁判決）、これには大学が保有する情報の管理権も含まれ得る。また、個人情報保護法制上は、大学とその他の学術研究機関とを区別していないことから、大学以外の学術研究機関についても、同様にその自律的な判断を尊重する必要がある。
38
当該自主規範において定めるべき内容には、本文（３）中の「３．
」及び「４．」の規律に対応した取組だけでなく、「１．
」及び「２．
」の規律（学術研究に特化した例外規定を置く規律）に対応した取組も含まれる。なお、現行の個情法第 76 条第３項の努力義務
は、一元化後は、学術研究機関等との関係では、本文の努力義務に実質的に承継される
36

17

〇

学術研究機関等による個人情報の取扱いが当該自主規範に則っている
ときは、個人情報保護委員会は、原則として 、その監督権限を行使しないものと整理することとし、そのような整理を実現するための法制上の手段を検討していくことが適当である。
もっとも、学術研究機関等が策定する自主規範の内容が、個人の権利利益の保護の観点からは不十分である可能性も否定できない。そこで、自主規範に則った個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合 39等の一定の場合には、個人情報保護委員会は、例外的に、その監督権限を行使し得るものと整理することが適当である 4041。
６．この場合において、学術研究機関等による自主規範の策定を支援する観点から、必要に応じ、個人情報保護委員会が、個人情報を利用した研究の適正な実施に関する指針を策定・公表することが適当である 424344。
７．その際、現行法の学術研究に係る適用除外規定（個情法第７６条第１項第３号）について、多くの研究者から、「商用目的との境界が不分明な場合など、学術研究目的に該当するかどうか判断が難しい場合がある」との意見が寄せられていることを踏まえ、当該指針の中で、学術研究目的の判断基こととなる。
39「本人の権利利益を不当に侵害するおそれ」の有無を判断するに当たっては、現行の個人情報保護法第 43 条第 1 項の趣旨を踏まえ、学問の自由と本人の権利利益との個別
具体的な利益衡量を行う必要がある。
40
このような整理を実現するための具体的な法制上の手段（自主規範の法律上の位置付
けを含む）については、法制化作業の中で精査していくことが適当である。
41
ＧＤＰＲ上及びＥＵ各国の国内法制上、科学研究目的の適用除外については、データ主体の権利との実質的な利益衡量を前提としており、「データ主体に深刻な損害を引き起こす可能性がある場合」（英国ＤＰＡ）等には適用除外とならないとされている。また、ＥＵ各国の国内法制上、学術研究コミュニティの行動規範や倫理規定に一定の効力を持たせている例が少なからず見られるが、この場合も、科学研究目的の適用除外との関係
では、行動規範や倫理規定に従った行為を無条件で法の適用除外としている訳ではない。
42
現行の「人を対象とする医学系研究に関する倫理指針」等の研究指針のうち個人情報の取扱いに係る部分を、内容を見直した上で、一元化後は、個人情報保護法との関係では、このような意味での指針として位置付けることも考えられる。
43
場合によっては、学術研究機関等が、当該指針をそのまま自主規範として採用する旨を宣言する（それによって自主規範の策定・公表に代える）ことも考えられる。
44
当該指針の法律上の位置付けについては、法制化作業の中で精査していくことが適当である。
18

準について一定の明確化を図ることが適当である 45。

前述のように、学術研究とは、基礎研究であるか応用研究であるかを問わないと解されており、学術研究目的で個人情報を取り扱う場合とは、その個人情報を取り扱う目的の全部又は一部が学術研究の用に供する目的である場合と法文上明記されている。したがって、学術研究機関等による研究用途の個人情報の取扱いは、それが専ら商用目的で行われるような例外的な場合を除き、学術研究目的であると判断されることになり、学術研究目的であるかどうかについて解釈上の疑義が生じるケースは限られている。解釈上の疑義が生じ得るケースは、例えば、大学が企業と共同研究を行い、共同研究の終了後に当該企業が研究成果を製品化するような場合である。このような場合には、共同研
究終了後の企業による製品化だけを切り出して見れば「非学術研究目的」だが、①大学による基礎研究→②大学と企業による共同研究→③企業による製品化という一連のプロジェクトを全体として見れば「一部は学術研究目的」であることから、いずれの見方をするべきかという問題が生じる。
45

19

２

定義等の統一２－１

個人情報の定義の統一（照合の容易性の扱い）（１）検討の方向性
１．個人情報保護法における個人情報（１号個人情報）が「他の情報と 容易に 照合することができ、それにより特定の個人を識別することができることとなるものを含む」と規定されているのに対し、行政機関個人情報保護法等における個人情報（１号個人情報）は「他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む」と規定されている。
２．このように、公的部門と民間部門とで個人情報の定義が異なることは、国民の目から見て極めて分かりにくく、かつ、公的部門と民間部門との間でのデータ流通の妨げともなり得ることから、一元化の機会に、両部門の定義を統一することが適当である。
３．その際、定義を変更することに伴う影響を最小化する観点から、一元化後の個人情報の定義は、現行の個人情報保護法の定義（容易照合可能性を要件とするもの）を採用する方向で検討することが適当であり 46、その前提で、従来の解釈・説明との関係を整理していくことが適当である。
（２）従来の解釈・説明
１．公的部門と民間部門とで個人情報の定義が異なることは、従来、以下の２つの理由に基づくものと説明されてきたところである。
① 公的部門と民間部門との規制の強度の差異に着目した理由② 公的部門の個人情報保護法制が、情報公開法制と密接に関連していることに着目した理由

現行の個人情報保護法の定義に揃える場合と、現行の行政機関個人情報保護法等の定義に揃える場合を比較すると、影響を受ける事業者数という点では前者の方が明らかに少ない。影響を受ける本人の数（延べ人数）という点では、統計が存在しないため比較
困難だが、今日の民間部門における個人データ利活用の進展に鑑みれば、この点でも前者の方が少ない可能性は低くないと考えられる。

46

20

２．このうち①は、公的部門における個人情報保護には、行政機関等が公権力を行使して収集した個人情報を特に厳格に保護すべきとの要請が働くと一般に考えられていることを背景とした理由であり、公的部門では、照合の容易性を個人情報該当性の要件としないことによって、民間部門よりも広い情報を保護対象としているとするものである。
３．より具体的には、個人情報保護法における容易照合性の解釈として「通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な場合は、一般に容易に照合することができない状態である」との解釈が示されている 47 こととの対比から、行政機関個人情報保護法等においては、他の機関への照会を要する場合等であっても個人情報に該当し得るとするものである。
４．これに対し②は、公的部門の個人情報保護法制が、情報公開法制において本人開示が認められない点を補完する側面（情報公開法制において不開示となる「個人に関する情報」が、個人情報保護法制における「個人情報」として本人に開示されると期待されている側面）を有していることを背景とした理由であり、行政機関の保有する情報の公開に関する法律（平成１１年法律第４２号。以下「行政機関情報公開法」という）及び独立行政法人等の保有する情報の公開に関する法律（平成１３年法律第１４０号。以下「独立行政法人等情報公開法」という）における「個人に関する情報」が照合の容易性を要件としていないことから、これとの整合性を図るため、行政機
関個人情報保護法等における「個人情報」についても照合の容易性を要件としていないとするものである 48。

「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成 28 年 11 月
（平成 31 年１月一部改正）、個人情報保護委員会）
48
個人情報保護法制における容易照合可能性は、個人識別性のないデータ（例：商品購入履歴のリスト）を保有している事業者が、通常の業務の範囲内で個人識別性のあるデータ（例：顧客リスト）を入手し、共通のＩＤを割り振ることで当該事業者が一つのデータベースとして運用できるようになる場合を典型例として想定している。これに対し、情報公開法制における照合可能性は、開示される文書（例：体罰事件の記録）と別途入手可能な文書（例：学校要覧）を閲覧者が手元で組み合わせると開示される文書が誰についての記述かが判明する場合を想定している。したがって、②の理由では、容易照合
可能性と照合可能性の関係は、程度の差というよりも、異なる文脈の基準として捉えられているとも考え得る。
47

21

（３）整理の考え方
１．以上の説明のうち、まず、①の理由との関係では、一元化後の法における定義を現行の個人情報保護法の定義に揃える（容易照合可能性で統一する）
ことが、公的部門において保護の対象となる情報の範囲を狭め、公的部門における規制の強度を弱めるものとならないかが問題となる 49。
２．この点については、このような帰結を避けるため、一元化の機会に、例えば 、以下のような形で、政府の解釈を明確化することが適当である。
ア 近年のＩＴ化の進展により、通常の業務従事者の能力で照合できる範囲が格段に拡大しており、組織内に照合可能なデータベースが存在していれば、普段、分離して使っていたとしても、意図をもって照合しようと思えばできる限り、容易に照合できると評価し得る。
イ 行政機関は、民間の個人情報取扱事業者との対比では、全体を内閣の統轄の下にある一つの組織とみることが可能であり、照合可能なデータベースが他の行政機関に存在する場合であっても、一定の手続を踏めば照合できる場合には、近年のＩＴ化の進展を踏まえれば、容易に照合できると評価し得る 50。
ウ したがって、一元化後の法における容易照合可能性は、行政機関との関係では、行政機関個人情報保護法等における照合可能性と違いがなく、行政機関において保護の対象となる情報の範囲に実質的な変更はない

公的部門において実際に問題となるのは、多くの場合、「機関を超えた個人情報の共有の可否」であり、「機関を超えた容易照合可能性の有無」が問題となるのは、一方の機関のデータベースが「単独では個人を識別できないが他方の機関のデータと照合すると個人を識別できるデータ」で構成されているようなケースに限られることに留意が必要である。
50「行政機関と行政機関の間」については、従来の行個法における照合可能性解釈との実質的な連続性を確保する必要があることから、一元化後は、「全体を内閣の統轄の下にある一つの組織」とみることとし、原則としてカテゴリカルに容易照合可能性があるものと整理することが適当である。これに対し、「行政機関と独立行政法人等との間」及び「独立行政法人等と独立行政法人等との間」については、実態として様々なケースがあ
り得、一律の評価は困難であることや、法人格を異にしており、「一つの組織」とみることには理論的にもやや問題があることから、「通常の業務における一般的な方法で、他の情報と容易に照合することができる状態かどうか」という容易照合可能性解釈の一般論に照らし、業務の実態に応じて個別に判断することが適当である。
49

22

5152

。

３．次に、②の理由との関係では、一元化後の法においても、公的部門の個人情報保護法制が情報公開法制において本人開示が認められない点を補完する側面を有するという事情は変わらないことから、一元化後の法における定義を現行の個人情報保護法の定義に揃えることが、情報公開法制との整合性を失わせることとならないかが問題となる。
４．この点については、情報公開法制との整合性が問題になるのは行政機関等に対する開示等請求権に係る規定に限られることから、一元化後の法においても、これらの規定の対象となる情報に限っては、「他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む」ことを条文上明記し、情報公開法制の文脈での照合可能性が認められる情報が引き続き開示等請求権の対象となることを明らかにすることが適当である。

後述するように、個人情報の定義を統一する結果として、匿名加工情報は行政機関においても非個人情報であると整理されることになるが、その前提で、民間の匿名加工情報取扱事業者に準じた義務を行政機関にも課すことが適当である。
52
当然のことながら、「機関を超えた容易照合可能性の有無」と「機関を超えた個人情報の共有の可否」は別の問題であり、前者について「行政機関全体を内閣の統轄の下にある一つの組織」とみることは、後者の判断に影響するものではない（後者については、
行個法第８条等の明文の規定が置かれている）。
51

23

２－２

匿名加工情報と非識別加工情報（名称の統一）（１）検討の方向性
１．個人情報保護法における「匿名加工情報」と行政機関個人情報保護法等における「非識別加工情報」は、情報の内容としては同じ（個人情報に対して同じ基準に従って加工を行ったもの）であるにもかかわらず、別の名称が与えられている。
２．これは、平成２８年に行政機関個人情報保護法等の改正が行われた際の法制化作業の過程で、〇 個人情報保護法における「匿名加工」が個人情報を非個人情報化して外部に提供する仕組みであるのに対し、〇 行政機関個人情報保護法等における「非識別加工」は個人情報を個人情報としての性質を部分的に残したまま外部に提供する仕組みであることから、両者を名称の上でも区別するのが適当であると整理されたためである。
３．しかしながら、国民の目から見ると、同じ内容の情報が民間部門で取り扱われるか公的部門で取り扱われるかによって異なる名称で呼ばれるというのは極めて分かりにくく、一元化の機に、名称を統一する方向で検討することが適当である。
（２）整理の考え方
１．匿名加工と非識別加工は、同じ加工であるにもかかわらず、前者は個人情報を非個人情報化するが、後者は個人情報を（完全には）非個人情報化しない。これは、個人情報保護法と行政機関個人情報保護法等との定義の相違に起因するものである 53。
２．すなわち、個人情報保護法における個人情報が容易照合可能性を要件とするのに対し、行政機関個人情報保護法等における個人情報が照合可能性を要件としていることから、

なお、識別行為禁止義務の有無に起因するとの説明もあり得るが、そのような説明は、政府の法制化作業における最終的な説明としては、採用されていない。
53

24

〇

匿名加工（非識別加工）は、加工後の情報による個人の識別を不可能にするが、加工後の情報と、加工過程で個人情報から削除された記述や加工の方法に関する情報等（以下「削除記述等」という。）を照合した場合には、個人の識別が可能となる（個人識別性が復活する）との理解を前提に、〇 加工後の情報のみを有する者が、削除記述等を外部から入手してこれと加工後の情報とを照合することは「容易に可能」ではないが、「可能」であるため、〇 加工後の情報は、個人情報保護法との関係では非個人情報だが、行政機関個人情報保護法等との関係ではなお個人情報に該当し得ると整理されたものである 54。
３．このような従来の整理を踏まえれば、一元化後の法では、例えば 、〇一元化後の法では、個人情報の定義を容易照合可能性を要件とするものに統一するところ、〇 加工後の情報のみを有する者が、削除記述等を外部から入手してこれと加工後の情報とを照合することは「容易に可能」ではないため、〇 一元化後の法では、加工後の情報は、民間部門でも公的部門でも個人情報には該当しないと整理した上で、名称を「匿名加工情報」に統一することが適当である。

なお、匿名加工情報（非識別加工情報）の作成者・提供者は、自ら破棄しない場合には、削除記述等を当初から有しているが、ここでは、加工後の情報が外部に提供された
場合における個人情報該当性を問題にしている。
54

25

２－３

行政機関等における匿名加工情報の取扱い（１）現行法の規律
１．現行の行政機関等における非識別加工情報の取扱いに関する規律は、平成２８年の行政機関個人情報保護法等改正の際の整理に基づき、非識別加工情報が個人情報に該当し得ることを前提としたものとなっている。
２．具体的には、まず、行政機関等による非識別加工情報の作成・提供は、他の個人情報の利用・提供と同様、原則として、利用目的の範囲内でのみ可能
であることが前提とされており（行個法第８条第１項、第４４条の２第２項等）、行個法第４章の２等が定める提案募集手続は、当該手続に従った非識別加工情報の作成・提供を「法令に基づく場合」として例外的に許容するものと位置付けられている（行個法第４４条の２第１項等） 55。
３．また、行政機関等による匿名加工情報の取得は、他の個人情報の取得と同様、原則として、利用目的の範囲内でのみ可能である（行個法第３条第２項） 56。
４．なお、現行法は、行政機関等が民間事業者等から匿名加工情報を取得した
場合の安全管理措置や識別行為禁止については規定を置いていないが 57、
これは、〇 行政機関等は、自らが取得した匿名加工情報と当該匿名加工情報を作成した民間事業者等が保有する削除記述等を照合可能であるため、〇 匿名加工情報は当該行政機関等においては個人情報に該当し、個人情報の管理についての規律（行個法第６条等）が適用されると考えられているためである。

なお、民間部門では「匿名加工情報の作成」には当たらないと整理されている安全管理措置の一環としての匿名加工（非識別加工）については、公的部門では、相当な理由のある内部利用（行個法第８条第２項第２号等）として許容されるものと解される。
56
実際には、匿名加工情報の取得それ自体を利用目的として掲げている場合は稀である
ため、他の利用目的の中で匿名加工情報の取得を読むことができるかをケースバイケー
スで判断することとなる。
57
現行法は、行政機関等が非識別加工情報を自ら作成した場合については、安全管理措置義務を課している（行個法第 44 条の 15 等）
。
55

26

（２）改正の方向性
１．今般、匿名加工情報を行政機関等においても非個人情報であると整理した場合、規律の前提が変わるため、行政機関等における匿名加工情報の取扱いに関する規律を見直す必要がある。
２．具体的には、行政機関等による匿名加工情報の「作成」
「取得」
「提供」の
それぞれについて、匿名加工情報が非個人情報である前提で、法律上のルールを再構成する必要がある 58。
３．まず、「作成」については、匿名加工情報の作成それ自体が個人の権利利益を侵害する危険性はなく、行政機関等が保有個人情報に対する安全管理措置の一環として匿名加工情報を作成することが必要な場合もあり得ることから 59、柔軟な取扱いを認めるべきであり、法令の定める所掌事務又は業務の遂行に必要な範囲内であれば、作成を認めることが適当である。
４．次に、「取得」についても、行政機関等（特に独立行政法人等）が民間事
業者等から匿名加工情報を取得して業務を遂行することが必要な場合もあり得ることから、柔軟な取扱いを認めるべきであり、法令の定める所掌事
務又は業務の遂行に必要な範囲内であれば、取得を認めることが適当である。
５．その際、匿名加工情報は非個人情報であるという前提で、民間の匿名加工
情報取扱事業者に準じた識別行為禁止義務及び安全管理措置義務を課すことが適当である。なお、民間部門では努力義務とされている安全管理措置
義務についても、公的部門における匿名加工情報の適正管理への信頼を確保する観点から、義務として規定することが適当である。
なお、匿名加工情報は、その性質上、個人情報に復元されない限り、どのように利用したとしても本人に影響の及ばないものであるため、目的外利用の制限等の規律を課す必要はないと考えられる。同様の観点から、現行制度において、提案募集手続を経て契約を締結した者の非識別加工情報の利用目的が契約によって制限されている（と解し得る）点については、一元化の機会に、その要否も含め、改めて検討することが適当である。
59
前述のように、安全管理措置の一環としての匿名加工情報の作成については、相当な理由のある内部利用（行個法第８条第２項第２号等）として許容されると解することも可能であるが、匿名加工情報の取扱いに関するルールを明確化する観点から、明文の規定を置くことが適当である。
58

27

６．他方、「提供」については、現行法が非識別加工情報の提供を公平かつ適正に実施するための手続として提案募集から契約締結に至る一連の手続を定めていることを踏まえれば、一元化後においても当該手続に従った提供を原則とすべきであり、行政機関等が匿名加工情報を外部に提供できるのは、
ア 提案募集手続を経て契約を締結した者に提供する場合
イ 法令の規定に基づく場合 60
ウ 加工元の個人情報の提供が可能な場合 61に限られるとするのが適当である 62。
７．なお、現行法は、行政機関情報公開法第５条第２号ただし書に規定する情報（法人等に関する情報のうち、一般的には不開示情報に該当するが、公益的理由から例外的に開示対象となるもの）も、非識別加工の対象に概念上は含まれ得ることを前提に、当該情報を非識別加工して提供する場合には、手続保障の観点から、当該法人等に対して意見書提出の機会を与えることを義務付けている（行個法第４４条の８が準用する行政機関情報公開法第１３条第２項）。
しかしながら、非識別加工情報（一元化後は匿名加工情報）の提供制度は、行政機関等が保有する大量の個人情報を形式的な基準に基づいて定型的に加工し、民間事業者に提供することを企図するものであり、個々の保有個人情報について開示の公益的な必要性を個別に判断したり、当該必要性の判断のため、逐一、第三者の意見を聴取したりすることは、制度の本来的な趣旨にそぐわない側面がある。

「法令の規定に基づく場合」とは、他の法令における匿名加工情報の提供を可能とす
る明示的な規定（作用法上の根拠規定）に基づいて提供する場合を意味する。
61「加工元の個人情報の提供が可能な場合」とは、個人情報を現行の行政機関個人情報保護法第８条に相当する規定等に基づき提供可能である場合に、プライバシー上のリスクの低減等の観点から、当該個人情報を匿名加工した情報を提供する場合を意味する。
62
なお、一部の規律移行法人から、「現行法の提案募集手続は、非識別加工情報の自由な提供の妨げとなっており、規律移行法人については、民間部門と同様に自由に匿名加工情報を提供できるようにすべき」旨の意見が寄せられている。しかしながら、提案募集手続は、広義のオープンデータ政策の一環として、公的部門の各組織に対して非識別加工情報の積極的な提供を促すものであり、それ自体が提供の妨げとなるとは本来考えられない。一方、現場からそのような意見が出ていることは事実であるため、今後は、提案募集手続の運用について、現場の声を踏まえた所要の改善（例：提案募集の通年化、手数料設定における自由度の向上）を図ることが適当である。
60

28

そこで、行政機関情報公開法第５条第２号ただし書に規定する情報も他の不開示情報と同様に加工元情報から予め削除することとした上で、第三者への意見聴取は全て任意とすることが適当である 63。

その上で、現行の任意的意見照会に係る規定については、①その効果（第三者が反対の意思を表示した場合には当該第三者を本人とする保有個人情報を非識別加工情報の加工元情報から除外する）を重視し、現行の規定を維持する、②いかなる場合に第三者の意見を聞くべきかについての判断基準が存在せず、安定的な運用が不可能となっていることから、規律の明確化の一環として、規定を削除する、③現行規定の趣旨（加工元情報の本人に広い意味での拒否権・離脱権を与える）を活かしつつ、制度の安定的な運用を可能とするため、ビッグデータ時代に即した新たな規律手法を採用する（例：悉皆性の高い個人情報に関しては、匿名加工情報に加工後も識別される可能性が高いことを考慮して、匿名加工情報の加工基準の一環として、レコード抽出の実施を義務付ける）の３案を選択肢として、法制化作業の中でその扱いを検討することが適当である。

63

29

２－４

義務規定及びその例外規定の相違（１）基本的考え方
１．個人情報保護法において個人情報取扱事業者が負う義務（個情法第１５条から第３５条まで）と、行政機関個人情報保護法等において行政機関等が負う義務（行個法第３条から第４４条まで等）とでは、義務の対象となる情報の範囲や義務規定の内容、その例外規定の内容等について、様々な相違がある。
２．このような相違の多くは、① 行政主体（国）の広義の内部関係に当たる公的部門における規律と、行政主体と民間事業者との外部関係に当たる民間部門における規律とでは、求められる規律の内容が自ずから異なると考えられること（以下「内部関係要因」という）② 規律の強度についても、公的部門における個人情報保護には、行政機関
等が公権力を行使して収集した個人情報を特に厳格に保護すべきとの要請が働くと一般に考えられていること（以下「厳格保護要因」という）によるものであり、そのような相違については、今般の一元化においても存置することが適当である 64。
３．また、以上の２つの要因が当てはまらない相違であっても、個別にみて合理的な理由の認められる相違は、存置することが適当である 65。
（２）具体的検討※行政機関等＝行政機関＋独立行政法人等
相違の内容
ア

相違の理由

対応

個人情報の取得①行政機関等は、法令の定める所掌事務・

内部関係要因存置

業務に必要な個人情報しか保有できない（行個法第３条第１項等）。

ただし、前述のように、規律移行法人については、原則として民間の個人情報取扱事業者と同様の規律を適用することが適当である。
65
主として沿革上の理由等による相違についても、適用結果に実質的な差異が生じない
ものについては、制度変更への関係者の対応コストを最小化する観点から、存置することが適当である。
6430

②行政機関は、個人情報ファイルの保有に内部関係要因改正（事ついて総務大臣への事前通知義務を負う

前通知の（行個法第 10 条第１項）
。

対象を個
人情報保
護委員会
に変更）

③個人情報取扱事業者や独立行政法人等

行政機関やその職員については「個人情報は、個人情報の適正な取得に係る義務を負を偽りその他の不正の手段により取得しうが（個情法第 17 条、独個法第５条）、行てはならない」との法規範が既に存在する政機関にはこれに対応する規定はない。

ため 66。

④個人情報取扱事業者は要配慮個人情報

行政機関等は法令の定める所掌事務・業務の取得を原則禁止されるが（個情法第 17 条に必要な個人情報しか保有できないため。

存置存置第２項）、行政機関等にはこれに対応する規定はない。
イ

個人情報の利用①行政機関等は相当な理由があれば法令

内部関係要因存置

厳格保護要因存置

厳格保護要因存置の定める所掌事務・業務の遂行に必要な限度で内部利用が可能（行個法第８条第２項
第２号等）。
②行政機関等は、個人情報ファイルのそれぞれについて利用目的を公表する必要があるが（行個法第 10 条第１項第３号等）、
個人情報取扱事業者は自社の個人情報全体について利用目的を公表することも許容される（個情法第 15 条第１項、第 18 条
第１項）。
③行政機関等が利用目的を変更する場合
は変更前の利用目的と「相当の関連性」を有することを要するが（行個法第３条第３項等）、個人情報取扱事業者の場合は「関連

現行法上は、行政機関に対する規律としては憲法第 73 条第 1 号が、職員に対する規律としては国家公務員法第 98 条が、それぞれ当該法規範を定めていると整理されている。これに対し、複数の有識者検討会委員から、他の法律に同趣旨の法規範が既に存在するとしても、官民の規律の均衡を明確化する観点から、一元化の機会に、行政機関についても個人情報保護法上において改めて規定を置くのが適当ではないかとの意見があ
った。
66

31

性」で足りる（個情法第 15 条第２項）。
ウ

個人情報の管理①個人情報取扱事業者の場合、正確性の確厳格保護要因存置

厳格保護要因存置

内部関係要因存置②行政機関等は利用目的の範囲内であれ

個情法では、ひとたび第三者提供が適法に存置

ば外部に保有個人情報を提供可能だが（行行われれば、提供元は提供先での情報の利個法第８条第１項等）、個人情報取扱事業

用・管理について責任を負わない。これに者にはこれに対応する規定はない。

対し、行個法・独個法では、情報の提供が保や安全管理措置の対象はデータベースに記録された「個人データ」に限られるが（個情法第 19 条、第 20 条）、行政機関等の場合、散在情報を含む「保有個人情報」が対象（行個法第５条、第６条等）。
②行政機関等は個人情報ファイル簿の作
成・公表が必要（行個法第 11 条等）。
エ

個人情報の提供①行政機関等は相当な理由があれば法令の定める所掌事務・業務の遂行に必要な限度で他の行政機関等に保有個人情報を提供可能（行個法第８条第２項第３号等）。

行われた後も、行政機関等は提供先での情報の利用・管理について一定の責任を負う
ことが前提とされている（行個法第９条等参照）67。このため、個情法では委託や共同利用として処理されるケースが、行個法・独個法では「目的内提供」として処理される 68。
③個情法では個人データの委託や共同利

上に同じ。

存置

現行法上、目的内提供の場合に提供元の行政機関等が提供先での情報の利用の在り方
について一定の責任を負うことは（規定の趣旨に照らし解釈上当然だとしても）法文上は明記されていないので、一元化の機会にこれを明確化することが望ましいとの有識者検討会委員の意見があった。
68
したがって、現行制度に関する「公的部門の方が民間部門よりも個人情報の提供については柔軟な規律となっている」といった理解は必ずしも正確ではない。むしろ、公的部門においては、個人情報は行政機関等とその周辺部に留まることが想定されており、民間部門のように個人情報が一定のルールの下で転々流通していくことは基本的に想定されていないと考えられる。
67

32

用が第三者提供の例外とされているが（個情法第 23 条第５項第１号・第３号）、行個
法等にはこれに対応する規定はない。
④個人情報取扱事業者は個人データをオ

行政機関等は法令の定める所掌事務・業務

プトアウトにより第三者に提供可能な場に必要な個人情報しか取得できない一方、合があるが（個情法第 23 条第２項）、行政

所掌事務・業務の遂行のため必要な場合に機関等にはこれに対応する規定はない。

は、提供先での情報の利用・管理について存置

一定の責任を負うことを前提に、「目的内利用」として外部に保有個人情報を提供可能であるため。
⑤行政機関等は専ら統計の作成又は学術

学術研究目的の提供は学術研究に係る適研究の目的のために保有個人情報を提供

用除外（個情法第 76 条第１項第３号）に対可能（行個法第８条第２項第４号等）
。

応。

存置

なお、民間の個人情報取扱事業者が、専ら統計の作成目的で個人データを提供する
場合は、①学術研究目的、②国の機関等への協力（個情法第 23 条第１項第４号）、③
業務委託のいずれかに該当すると考えられる。
⑥行政機関等は明らかに本人の利益にな行個法等の左規定は個情法第 23 条第１項

るときその他特別の理由があるときは保第２号等の例外事由を概括的に記載した有個人情報を提供可能（行個法第８条第２

ものと理解することができ、適用結果に実項第４号等）。

質的な差異は生じない 69。

⑦個人情報取扱事業者には第三者提供に行政機関等は提供先での情報の利用・管理係る記録の作成義務等があるが（個情法第について一定の責任を負うことが前提と25 条等）、行政機関等にはこれに対応するされており（行個法第９条等参照）、民間部

規定はない。

門のように個人情報が一定のルールの下存置

存置

で提供先から更に流通していくことは基本的に想定されていない。
オ

個人情報の開示、訂正及び利用停止①行個法等における本人開示等に係る規行個法等における本人開示が情報公開法

存置

現行法の解釈では、「明らかに本人の利益になるとき」としては、例えば、緊急に輸血が必要な場合に当該個人の血液型を医師に知らせる場合、災害や事故に遭ったときにその旨を家族に知らせる場合等が想定されており、「その他特別の理由があるとき」としては、例えば、行政機関が国際協力のため外国政府や国際機関等に情報を提供する場合等が想定されている。

69

33

定が散在情報を含む「保有個人情報」を対制において本人開示が認めらない点を補象としているのに対し、個情法の規定はデ完する側面を有するため。

ータベースに記録された「保有個人デー
タ」が対象。
②行個法等における本人開示等に係る規行政機関等による開示決定等は行政処分

定は、個情法の規定に比べて、具体的な手としての性格を有するため。

続を詳細に規定。

34

存置

３

監視監督・事務処理体制

３－１

行政機関等に対する監視監督の在り方（１）現行法の規律
１．現行の行政機関個人情報保護法等は、行政機関等における個人情報の取扱いについての監視権限を、原則として、所管大臣である総務大臣に付与しているが、行政機関非識別加工情報（独立行政法人等については独立行
政法人等非識別加工情報。以下同じ）の取扱いについては、個人情報保護委
員会に監視権限を付与している。
２．これは、行政機関非識別加工情報が官から民へと流通する性質のものであることから、個人情報保護委員会がその取扱いを官民横断的に監視監督することが適当であると考えられたためである。
３．その結果、総務大臣は、行政機関等における行政機関非識別加工情報以外の個人情報の取扱いについて、❶ 法の施行状況について報告を求める権限❷ 資料の提出及び説明を求める権限（独立行政法人等を除く）❸ 意見を述べる権限（独立行政法人等を除く）
を有しているのに対し（行個法第４９条から第５１条まで等）、個人情報保護委員会は、行政機関等における行政機関非識別加工情報の取扱いについて、① 法の施行状況について報告を求める権限② 資料の提出及び説明を求め、その職員に実地調査をさせる権限③ 指導及び助言を行う権限④ 勧告を行う権限を有している（行個法第５１条の４から第５１条の７まで等）。
４．個人情報保護委員会の上記権限は、基本的に、個人情報保護委員会が民間事業者に対して有する監督権限（報告及び立入検査、指導及び助言、勧告及び命令）と同様の内容を規定しようとしたものであるが、その対象が対等の立場にある他の行政機関であることから、他の制度との均衡を踏まえ、〇 罰則による担保のある立入検査を罰則による担保のない実地調査とし〇 違反に対して罰則が科される命令については規定しない
35

こととされたものである。
５．なお、会計検査院については、その憲法上の地位に鑑み、法の施行状況を把握するための報告（上記❶及び①）を除き、総務大臣及び個人情報保護委
員会による上記の監視権限は及ばないこととされている（行個法第１０条
第１項柱書かっこ書参照）。
（２）改正の方向性
１．今般の一元化は、独立規制機関である個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等の３者における個人情報及び匿名加工
情報（以下「個人情報等」という）の取扱いを一元的に監視監督する体制を構築しようとするものであるから、一元化後は、行政機関等における個人情報等の取扱い全般についての監視権限を個人情報保護委員会に付与することが適当である。
２．具体的には、現行法において個人情報保護委員会が行政機関非識別加工
情報の取扱いについて有する上記①～④の監視権限を、行政機関等における個人情報等の取扱い全般を対象としたものに拡張することが適当である
70。

３．また、現行法は、独立行政法人等の自律性（主務大臣以外の機関の権限を設けることへの謙抑性）に配慮し、総務大臣の資料提出要求等権限等（上記❷及び❸）の対象から独立行政法人等を除外しているが、このような要請
は、独立規制機関である個人情報保護委員会による監視には妥当しないと考えられることから、一元化後は、独立行政法人等に対しても、個人情報保護委員会の資料提出要求等権限等を及ぼすことが適当である 71。
その際、行政機関等に対するこれらの監視権限の実効性を強化するため、他法の例（内閣府設置法第 12 条第４項、総務省設置法第６条第７項、独立行政法人通則法第 35 条の２等）に倣い、個人情報保護委員会に対し、内閣総理大臣に対する意見具申権限（内閣法第 6 条の規定に基づく行政各部への指揮監督権限の行使を求める権限）を付与することも考えられる。また、個人情報保護委員会は、毎年、国会に対して所掌事務の処理状
況を報告することとされており（個情法第 79 条）、これを監視権限の実効性確保の手段の一つとして捉えることもできる。
71
その上で、独立行政法人等に対する個別法に基づく主務大臣による監督と、個人情報保護法に基づく個人情報保護委員会による監督との関係については、運用上の問題として、一定の整理を図ることが適当である。
7036

４．なお、規律移行法人については、一たびこれらの法人に対する規律を民間の個人情報取扱事業者等と同様の行政の外部関係と捉えることとする以上は、監視監督についても原則として民間の個人情報取扱事業者等と区別せず、個人情報保護委員会が個人情報取扱事業者等に対して有する一般の監督権限（報告及び立入検査、指導及び助言、勧告及び命令）に服せしめることが適当である 7273。

ただし、前述のとおり、規律移行法人のうち、学術研究機関に当たるもの（例：国立大学法人）については、その自律性を尊重し、自主規範に則った個人情報の取扱いが行われている限り、個人情報保護委員会は、原則として、その監督権限を行使しないことと整理するのが適当である。
73
以上の結果、個人情報保護委員会は、行政機関等における個人情報等の取扱い全般を所管する機関となることから、公的部門における個人情報保護関係事務に固有の特性等を見極めた上で、必要な場合には、その体制についても所要の見直しを図ることが適当
である。
72

37

３－２ 行政機関等の開示決定等への不服申立ての扱い（情報公開・個人情
報保護審査会の在り方）（１）現行法の規律
１．現行法は、本人からの開示請求、訂正請求及び利用停止請求に対して行政機関等（の長）が行う決定（以下「開示決定等」という）を行政処分と位置
付け、行政不服審査法（平成２６年法律第６８号）に基づく審査請求の対象としている（独立行政法人について独個法第４２条第１項参照）。
２．審査請求先は当該開示決定等を行った各行政機関等であるが、各行政機
関等は、裁決に先立ち、原則として、総務省に置かれた情報公開・個人情報保護審査会に諮問することとされている（行個法第４３条第１項等）。情報
公開・個人情報保護審査会の答申に拘束力はないが、裁決を行う行政機関
等が答申を尊重することにより、① 裁決の客観性・公正性の向上② 開示決定等の判断基準の政府内における事実上の統一③ 行政機関情報公開法に基づく開示請求に対する判断との整合性の確保といった効果が生じるものと期待されている。
３．ただし、審査請求先が会計検査院長である場合は、会計検査院の憲法上の地位に鑑み、会計検査院に置かれた会計検査院情報公開・個人情報保護審査会（会計検査院法（昭和２２年法律第７３号）第１９条の２）に諮問することとされている。
（２）改正の方向性
１．今般の一元化は、独立規制機関である個人情報保護委員会が、民間事業者、国の行政機関、独立行政法人等の３者における個人情報の取扱いを一元的に監視監督する体制を構築しようとするものである。
２．このような今般改正の趣旨からは、一元化後は、個人情報保護委員会は、
民間事業者との関係だけでなく、国の行政機関や独立行政法人等との関係
でも、個別の個人情報の取扱いについて、独立規制機関としての立場で、そ38

の当否（義務違反の有無）を判断する立場にあると整理する必要がある 74。
３．本人からの開示請求等に対して適正に対応することは、保有個人情報を目的外に利用しないことや漏えい等の生じないよう適切に管理することと並ぶ行政機関等の義務であるから、一元化後は、行政機関等の個別の開示決定等の当否についても、独立規制機関である個人情報保護委員会の判断が及ぶものと整理する必要がある。
４．このような整理を制度上最も直截に実現するとすれば、一元化後は、個人情報保護委員会を開示決定等に係る審査請求の一元的な裁決機関と位置付けることとなる（国家公務員への不利益処分について、人事院が一元的な裁決機関と位置付けられていることと類似）。
５．しかしながら、このような形での制度改正には、① 個人情報保護法上の開示決定等についての不服審査と行政機関情報公開法上の開示決定等についての不服審査とを完全に分離することとなり、相互に関連する両法の間での解釈の整合性が失われるおそれがある② 平成１７年以来、情報公開・個人情報保護審査会において行われてきた不服審査との連続性が断たれることとなり、これまで蓄積されてきた知見が引き継がれないおそれがあるといった問題があり、今般の一元化の機に採るべき方策としては、必ずしも適当ではない。
６．そこで、〇 一元化後も、現行の情報公開・個人情報保護審査会の機能を基本的に維持することとしつつ、〇 行政機関等の個別の開示決定等の当否についても、個人情報保護委員会の判断が及ぶようにするため、個人情報保護委員会は、特に必要と認める場合には、開示決定等の当否について、行政機関等に対して勧告を行い得ることとするのが適当である 75。
この点、従来の公的部門における個人情報保護法制の運用において、情報公開法制等の運用を踏襲し、法の一般的な解釈の提示や全般的な実施傾向の把握を中心とした運用が行われてきたとすれば（すなわち、行政機関等による個別の個人情報の取扱いの当否には基本的に立ち入らない運用が行われてきたとすれば）、一元化後は、独立規制機関としての立場で、更に踏み込んだ運用を行うことが求められている。
75
個人情報保護委員会の業務負担上の制約や情報公開・個人情報保護審査会との役割
74

39

７．この場合において、個人情報保護委員会による上記勧告は、情報公開・個人情報保護審査会における審議内容を踏まえ行われる必要があることから、
例えば、審査会の審議状況を必要な範囲で個人情報保護委員会と共有するなど、そのための仕組みを検討することが適当である 76。

分担を考えると、実際には、個人情報保護委員会が行う勧告の内容は、行政機関等による開示決定等についての一般的な基準の提示が中心となる可能性もあるが、その場合でも、当該基準に沿わない開示決定等が行われるのを防ぐため、個人情報保護委員会は、
特に必要と認める場合には、個別の開示決定等の当否についても勧告を行い得るものと整理する必要がある。
76
この際、情報公開・個人情報保護審査会の「合議の秘密」に対して特に配慮が必要である。例えば、審査会の各部会において誰が何を主張したかといった意思形成過程に関する情報まで個人情報保護委員会と共有することは、審査会における自由な議論の妨げとなるため、適当ではない。
40

４

その他の整理事項

４－１

地方公共団体の個人情報保護制度との関係（今後の検討の進め方）

１．地方公共団体の個人情報保護制度の在り方については、昨年１２月以降、個人情報保護委員会において「地方公共団体の個人情報保護制度に関する懇談会」が開催され、実務的な意見交換が行われてきた。その状況については、有識者検討会の第４回会合において、個人情報保護委員会から報告があったところである。
２．今後は、有識者検討会において、地方公共団体の意見を十分聞きながら、同懇談会における意見交換の内容も参考としつつ、地方公共団体の個人情報保護制度の在り方について具体的な検討を行うこととし、国及び民間の個人情報保護制度に関する検討と歩調をあわせ、年内を目途にその結果を本タスクフォースに報告させることとする。
３．その際、以下の「基本的な考え方」に基づき、以下の「主な論点」を中心として、検討を行うこととする。
＜基本的な考え方＞
地方公共団体における個人情報の取扱いについては、平成１５年の国の法制化に先立ち、大多数の都道府県及び市区町村において条例が制定され、各地方公共団体における実務が積み重ねられている。
一方、国においては、平成１５年の法制化以降、個人情報保護の水準確保
や、個人情報の保護と活用の適正なバランス確保の観点から、随時制度改正が行われている。
例えば、保護の水準確保の観点では、平成２７年の個人情報保護法改正により、小規模事業者にも法適用が拡大された。個人情報の保護と活用のバランスの確保の観点では、匿名加工情報及び非識別加工情報の制度導入により、個人情報の利活用を促進する環境を整備するとともに、個人の権利利益の保護も図られることとなった。国際的な整合の観点からは、平成３１年に民間部門について、ＧＤＰＲ十分性認定を受けている。
こうした中、新型コロナウイルス感染症の流行に直面することとなり、データの蓄積・共有・分析に基づく不断の行政サービスの向上のための行政のデジタル化を含め、我が国社会全体のデジタル化を強力に進めていくことが、政府方針として改めて打ち出されており、データ利活用の円滑化への取41

組も一層加速させなければならない。既に、情報化の進展や個人情報の有用性の高まりを背景として、地域や官民の枠を超えたデータ利活用が活発化しており、地方公共団体における個人情報の取扱いについて、データ利活用を円滑化するためのルールや運用の統一を求める声が主として民間サイドから高まりつつある。特に、医療分野や学術分野等の官民の共同作業が特に重要な分野について、地方公共団体の条例を含む当該分野の個人情報保護に関するルールが不統一であることが円滑な共同作業の妨げとなっているとの関係者の指摘がある。更に、地方公共団体における個人情報の取扱いについて一定のルールや運用の統一を図ることにより、災害対応や公衆衛生等の場面で生じうる全国的な課題に対する適切かつ迅速な対応に寄与できるとの意見がある。
加えて、国際的なデータ流通が増大していく中で、ＧＤＰＲ十分性認定への対応を始めとする国際的な制度調和の必要性が一層高まっている。
こうしたことから、地方公共団体の個人情報保護制度の在り方について、今般、国及び民間の個人情報保護制度に関して行われている検討の内容（例：個人情報保護委員会による官民一元的な所管体制の確立、医療分野・学術分野における規制の統一）を意識しつつ、地方公共団体も含めた我が国
全体で整合的な個人情報保護制度の確立に向けて検討を行う必要がある。
なお、検討に当たっては、地方公共団体において大量の個人情報を保有しており、当該個人の権利利益の保護に向けて、これらの取扱いに関し、各地
方公共団体が独自に条例によるルール化を図ってきた経緯があることに鑑み、各地域における独自の保護・活用の要請に配慮するとともに、これまでの地方公共団体における個人情報保護行政実務の積み重ねや、情報公開制
度など他の事務への影響に十分に配意し、制度の安定性を確保する必要がある。
＜主な論点＞① 個人情報保護の水準、保護と活用のバランス、我が国全体の制度の整合性の確保等のため、どのような検討が必要か。
○ 我が国全体での制度の整合性を確保し、全体的・機動的な見直しを可能とするには、国としてどのような役割を果たすべきか。その際、地方自治法における「国と地方公共団体との適切な役割分担」や「地方公共団体の自主性及び自立性の十分な発揮」の視点について、どのように整理するか。
○ 国際的に整合のとれた制度とするため、どのような規律が必要か。
〇 医療分野や学術分野等の官民の共同作業が特に重要な分野とそれ以42

外の分野など、分野ごとの規制の統一のあり方について、どのように考えるか。
○ 条例を持たない一部事務組合があることや、例えば要配慮個人情報の規律に差異が見られるなど、地方公共団体ごとに条例で規律されている内容が異なることについて、どのように考えるか。
○ 個人情報の有用性に配慮しつつ、個人の権利利益を保護するという個
人情報保護法の目的を踏まえ、個人情報の保護と活用のバランスを、規律の内容と運用の両面において、どのように確保していくべきか。また、現状として、具体的にどのような支障があるか。例えば、多くの地方公共団体でオンライン結合制限規定が存在することや、匿名加工情報の提供に関する規定が未整備であることについて、どのように考えるか。
② ①の要請を満たしつつ、各地域における独自の保護・活用の要請に配慮するとともに、制度の安定性を確保するため、どのような制度が考えられるか。
○ 法の規定を直接適用する手法や、法の枠組みの下で条例を定める手法、国の指針や助言により条例の内容や運用の緩やかな統一を図る手法などが考えられるが、どのような手法が望ましいか。
○ いわゆる条例の「上乗せ、横出し」など、条例で規律する範囲についてどう考えるか。
○ 規律の種類によって統一の要請の程度は異なるか。例えば、個人情報の保護の水準確保や保護と活用のバランス確保のために必要な規律と、手続的な規律では、異なるか。

43

４－２

個人情報保護法令和２年改正の公的部門への反映の在り方

１．平成２７年改正個人情報保護法に設けられた、いわゆる３年ごと見直し
に関する規定（改正法附則第１２条第３項）に基づき、本年通常国会において改めて個人情報保護法の改正が行われた。この改正は、個人情報に対する意識の高まり、技術革新を踏まえた保護と利活用のバランス、越境デー
タの流通増大に伴う新たなリスクへの対応等の観点から、必要な制度見直しを行ったものである。
２．同改正の内容には、専ら民間事業者への適用を想定していると考えられる事項が含まれる一方、公的部門についても同趣旨の措置を講ずることが適当と考えられる事項も存在する。今後、これらの改正内容を個別に精査し、公的部門について反映すべき事項を整理した上で、法の一元化に併せて所要の措置を講ずることが適当である 77。
３．現時点では、少なくとも、以下の各事項については、公的部門においても何らかの措置が必要と考えられ、公的部門の特性を踏まえた措置の在り方を法制化作業の中で精査していくことが適当である。
① 漏えい等発生時の個人情報保護委員会への報告等の義務化（令和２年
改正後の個情法第２２条の２）② 不適正な利用の禁止（同法第１６条の２） 78③ 個人関連情報の創設（同法第２６条の２）④ 外国にある第三者への個人データ提供時の本人への情報提供等の充実等（同法第２４条） 79
４．また、以下の各事項については、公的部門における反映の要否について法制化作業の中で精査していくことが適当である。
規律移行法人については、原則として一般の個人情報取扱事業者と同様の規律を適用することとなるため、個人情報保護法令和２年改正における改正事項も原則としてそのまま適用されることとなる。
78
個人情報の不適正取得の禁止（個情法第 17 条第１項）の場合と同様、行政機関及びその職員については、憲法及び国家公務員法により、禁止の趣旨は既に明らかであるとの整理もあり得るため、その点も含め法制化作業の中で検討していくことが適当である。
79
現行の行政機関個人情報保護法等は個人情報保護法第 24 条に相当する規定をそもそも置いていないが、今般の一元化を機に、公的部門を含めたＧＤＰＲ十分性認定への対応を視野に入れ、公的部門から外国にある第三者へ保有個人情報を提供する場合についても同条に類する規律を置く方向で検討することが適当と考えられる。
7744

① 利用停止・消去等請求権の要件緩和（同法第３０条） 80② 仮名加工情報の創設（同法第２条、第３５条の２及び第３５条の３）81
５．なお、データ開示方法の指示（同法第２８条）については、公的部門においては既に開示請求者が開示方法を選択できる仕組みとなっているため（行個法第２４条第３項等）、法律上の措置は不要と考えられる。その一方、開示請求者は、行政機関等が情報化の進展状況等を勘案してそれぞれ定める選択肢の中から開示方法を選択することとされているため（同条第１項
等）、統一的な政府方針の策定等を通じて、政府全体として開示のデジタル化対応を計画的に推進していくことが必要である。

行政機関及び独立行政法人等においては、①保有個人情報を記録した行政文書等には
予め保存期間が設定されており、かつ、②法令の定める所掌事務・業務に必要な個人情報しか保有できないことから、法違反の場合以外で利用停止・消去等請求権の行使を認める必要のある場合が想定されるかどうかについて、法制化作業の中で精査していくことが適当である。
81
行政機関及び独立行政法人等は、現行法の下でも、保有個人情報の目的内利用（行個法第８条第１項等）又は相当な理由のある内部利用（同条第２項第２号等）に該当すれ
ば、仮名加工情報に相当する情報の作成・利用が可能であることから、公的部門において仮名加工情報に相当する情報の取扱いに係る義務を緩和するニーズがあるかどうかについて、法制化作業の中で精査していくことが適当である。
8045

46