令和3年改正個⼈情報保護法〜⾃治体における個⼈情報の取扱への影響〜

２０２２年7⽉28⽇
愛知県弁護⼠会 情報問題対策委員会委員⻑ 弁護⼠ 加藤 光宏

⾃⼰紹介
略歴
昭和63年 3⽉ 京都⼤学⼯学部航空⼯学科卒業
昭和63年 4⽉ 川崎重⼯業株式会社航空宇宙事業本部
平成 9年 1⽉ 弁理⼠登録
平成16年 4⽉ 名古屋⼤学法科⼤学院⼊学
平成21年12⽉ 弁護⼠登録、弁理⼠再登録、特許法律事務所 源 開設
平成23年12⽉ 特許法律事務所 樹樹 開設

役職等
⽇本弁理⼠会東海⽀部 副⽀部⻑（2016年）
愛知県弁護⼠会 情報問題対策委員会 委員⻑(2019年〜）
APAA コピーライト委員会 委員⻑(2021年〜）

E-mail : katomi@juju-law.jp

個⼈情報法保護法の考え⽅
 個⼈の権利利益の保護 バランスをとる 個⼈情報の有⽤性
 遵守すべき義務を定めることにより、個⼈情報を保護している
第1条（⽬的）（個⼈情報保護法2021年改正法）
この法律は、 デジタル社会の進展に伴い個⼈情報の利⽤が著しく拡⼤していることに鑑み、個⼈情報の適正な取扱いに関し、基本理念及び政府による基本⽅針の作成その他の個⼈情報の保護に関する施策の基本となる事項を定め、国及び地⽅公共団体の責務等を明らかにし、個⼈情報を取り扱う事業者及び⾏政機関等についてこれらの特性に応じて遵守すべき義務等を定めるとともに、個⼈情報保護委員会を設置することにより、⾏政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個⼈情報の適正かつ効果的な活⽤が新たな産業の創出並びに活⼒ある経済社会及び豊かな国⺠⽣活の実現に資するものであること その他の個⼈情報の有⽤性に配慮しつつ、個⼈の権利利益を保護することを⽬的とする。
3

個⼈情報保護法の改正経緯・現状
1988年(昭和63年)

⾏政機関電算機個⼈情報保護法成⽴(1990年全⾯施⾏)

2003年(平成１５年)

個⼈情報保護法成⽴(2005年全⾯施⾏)
BIG DATA

2015年(平成27年)

個⼈情報保護法改正(2017年全⾯施⾏)

2016年(平成28年)

⾏政機関個⼈情報保護法改正(2017年全⾯施⾏)

2020年(令和2年)

個⼈情報保護法改正(2022年4⽉全⾯施⾏)
H27年改正で規定された3年ごとの⾒直しによる改正

2021年(令和3年)

個⼈情報保護法改正(2022年4⽉⼀部施⾏)••

個⼈情報保護制度の官⺠⼀元化
デジタル社会の形成を図るための関係法律の整備に関する法律による改正部分は2022年4⽉施⾏
42015年（平成27年）個⼈情報保護法改正のポイント
１．個⼈情報保護委員会の新設
２．個⼈情報の定義において個⼈識別符号が含まれることを明確化
３．要配慮個⼈情報の取扱を規定
４．個⼈データの第三者提供に係る確認記録作成等を義務化
５．個⼈情報の数が5000以下の事業者も規制の対象とした
６．オプトアウトを⾏う個⼈情報取扱事業者の届け出義務
７．外国にある第三者への個⼈データの提供の制限
８．匿名加⼯情報を規定
5

2016年（平成28年）⾏政機関個⼈情報保護法改正のポイント

6平成２８年９⽉総務省⾏政管理局資料より

2020年（令和2年）個⼈情報保護法改正のポイント(1)7
個⼈情報保護委員会HPより

2020年（令和2年）個⼈情報保護法改正のポイント(2)1. 本⼈が利⽤停⽌、消去等を請求する場合の要件を緩和した。
第三者提供の記録も開⽰対象とした。
2. オプトアウトの規制を強化した。
３．違法⼜は不当な⾏為を助⻑等する⽅法による個⼈情報の利⽤を禁⽌した。
４．仮名加⼯情報を規定した。
５．個⼈関連情報について規定した。
６．越境移転（外国にある第三者への個⼈データの提供）の規制を強化した。

8

2021年（令和3年）個⼈情報保護法改正のポイント
1.

個⼈情報保護法、⾏政機関個⼈情報保護法、独⽴⾏政法⼈等個⼈情報保護法を１つの法律に統合

2.

地⽅公共団体等における個⼈情報の取扱について全国的な共通ルールを設定

3.

個⼈情報保護委員会が、国全体における個⼈情報の取扱を⼀元的に監視監督する体制を構築

1.

個⼈情報保護委員会の⼀元管理により、国の⾏政機関、独⽴⾏政法⼈等、地⽅公共団体等に対する監視監督の中⽴性、客観性を向上する

2.

個⼈情報保護の体制を国際的な趨勢（GDPRの⼗分性認定など）に合致させ、国境を越えたデータ流通の円滑化を図る

3.

個⼈情報保護法制の不均衡や不整合を是正し、官⺠や地域の枠を超えたデー
タ利活⽤を活発化する
9個⼈情報保護法制度⾒直しの全体像

https://www.ppc.go.jp/files/pdf/seibihou_gaiyou.pdfより

10

個⼈情報保護委員会の役割
2021年（令和3年）改正前は所管省庁が分野ごとにバラバラだった

個⼈情報保護委員会に⼀本化

https://www.ppc.go.jp/personali
nfo/contact/よりhttps://www.ppc.go.jp/aboutus/commission/より
11

地⽅公共団体の個⼈情報保護制度の在り⽅（改正の⽅向性）

https://www.ppc.go.jp/files/pdf/seibihou_gaiyou.pdfより

12

地⽅公共団体の個⼈情報保護制度の在り⽅（改正の概要）

https://www.ppc.go.jp/files/pdf/seibihou_gaiyou.pdfより

13

条⽂上の関係
改正前

改正後（個⼈情報保護法2条8項）（個⼈情報保護法12条1項）

 地⽅公共団体は、その保有する個⼈情報

 地⽅公共団体は、の性質、当該個⼈情報を保有する⽬的等を勘案し、その保有する個⼈情報の適性

その機関が保有する個⼈情報の適正な取扱いが確保されるよう必要な措置を講な取扱いが確保されるよう必要な措置を講ずることに努めなければならない。

ずるものとする。

（⾏政機関個⼈情報保護法2条①）

 「⾏政機関」として、法律の規定に基づき内閣に置かれる機関等を規定（地⽅公共団体は⾏政機関には含まれず、法の適⽤対象外）
 地⽅公共団体は、個⼈情報保護条例を制定していた。

（個⼈情報保護法2条8項）

 「⾏政機関」の定義は、従前と変わらず。
（個⼈情報保護法2条11項）

 「⾏政機関等」として、⾏政機関、地⽅公共団体の機関（議会を除く）、独⽴⾏政法⼈等、地⽅独⽴⾏政法⼈を定義。
 法第5章 ⾏政機関等の義務等が地⽅公共団体に適⽤される
 議会について必要な措置を条例で制定することは許容されている。
14

法と条例との関係条例に委任されている事項

 開⽰等請求における⼿数料（89条②）、⾏政機関等匿名加⼯情報の利⽤契約における⼿数料（119条③④） 算定⽅法の⼯夫、徴収しないことなどを条例で定めることも許容されている。

条例で定めることが許容されている事項

 条例要配慮個⼈情報の内容（60条）
法の規律を超えた取得・提供等に関する固有のルールの付加はできない。
 個⼈情報ファイル簿以外の帳簿の作成・公表（75条⑤） 開⽰等請求における不開⽰情報の範囲（78条②）
 開⽰請求等の⼿続（107条②、108条）
法の規定に反しない範囲に限られる
 審議会等への諮問（129条）• 専⾨的な知⾒に基づく意⾒を聴くことが特に必要であると認めるときに限られる（129条）• 個⼈情報の取得等について、類型的に諮問を要件とすることは不可• 改正前の運⽤については、改正後の法に則ったものであるか否かについて再整理を要する。

その他

 死者に関する情報を条例で「個⼈情報」に含めることはできない。
 ただし、死者に関する情報が同時に遺族等の⽣存する個⼈に関する情報でもある場合には、法の保護の対象となる。（かかる場合に限り、開⽰請求の対象となる）
15

散在する定義条項（第１章 総則）

個⼈情報（１項）
要配慮個⼈情報（３項）
仮名加⼯情報（５項）
個⼈関連情報（７項）
独⽴⾏政法⼈等（９項）
⾏政機関等（１１項）（第４章 個⼈情報取扱事業者党の義務等）

個⼈情報データベース等（１項） 個⼈情報取扱事業者（２項）
個⼈データ（３項）
保有個⼈データ（４項）
仮名加⼯情報取扱事業者（５項）
匿名加⼯情報取扱事業者（６項）
個⼈関連情報取扱事業者（７項） 学術研究機関等（８項）（第５章 ⾏政機関等の義務等）

保有個⼈情報（１項）
個⼈情報ファイル（２項）
⾏政機関等匿名加⼯情報（３項）
⾏政機関等匿名加⼯情報ファイル（４項）
条例要配慮個⼈情報（５項）

２条

１６条

６０条

個⼈識別符号（２項）
本⼈（４項）
匿名加⼯情報（６項）
⾏政機関（８項）
地域独⽴⾏政法⼈（１０項）

16

個⼈情報とは第２条 この法律において「個⼈情報」とは、⽣存する個⼈に関する情報であって、 次の各号のいずれかに該当するものをいう。

死者に関する情報が同時に遺族等の⽣存する個⼈に関する情報でもある場合には、法の適⽤の対象となる。

⼀ 当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（⽂書、図画若しくは電磁的記⽒名が含まれることは要件ではないく。 ）をいう。以下同じ。）により特定の個⼈を識•録（電磁的⽅式（電⼦的⽅式、磁気的⽅式その他⼈の知覚によっては認識することができない⽅式をいう。次項第２号において同じ。）で作られる記録をいう。第18条第２項において同じ。）に記載され、若しくは記録され、⼜ は⾳声、動作その他の⽅法を⽤いて表された⼀切の事項（個⼈識別符号を除別することができるもの（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）
⼆ 個⼈識別符号が含まれるもの

識別＝⼈物と情報との同⼀性が認められること•

⽒名と簡単に結びつくIDを⽤いている
ような場合など
国の⾏政機関は全体で⼀体の組織として考える

政令で個別に指定されている

1）⾝体の⼀部の特徴等（DNA、顔認証データなど）
2）対象者ごとに割り振られる符号（旅券番号、マイナンバーなど）

17

要配慮個⼈情報とは第２条3項
この法律において「要配慮個⼈情報」とは、本⼈の⼈種、信条、社会的⾝分、病歴、犯罪の経歴、犯罪により害を被った事実その他本⼈に対する不当な差別、偏⾒その他の不利益が⽣じないようにその取扱いに配慮を要するものとして政令で定める記述等が含まれる個⼈情報をいう。
⺠間事業者の場合①
要配慮個⼈情報の取得時に本⼈の同意が必要②
要配慮個⼈情報の第三者提供にオプトアウト規定の適⽤は不可
⾏政機関の場合
個⼈情報ファイルに要配慮個⼈情報が含まれる旨を個⼈情報保護委員会に通知しなければならない

第60条5項（未施⾏）「条例要配慮個⼈情報」とは、地⽅公共団体の機関⼜は地⽅独⽴⾏政法⼈が保有する個⼈情報（要配慮個⼈情報を除く。）のうち、地域の特性その他の事情に応じて、本⼈に対する不当な差別、偏⾒その他の不利益が⽣じないようにその取扱いに特に配慮を要するものとして地⽅公共団体が条例で定める記述等が含まれる個⼈情報をいう。
（例）⼀定の地域の出⾝である事実、⽣活保護の受給、LGBTに関する事項など
18

個⼈情報に対する規制〜⺠間事業者
個⼈情報

利⽤⽬的の特定・変更(17条)、 利⽤⽬的による制限(18条)、不適正な利⽤の禁⽌ (19条)、 適正な取得 (20条)、取得に際しての利⽤⽬的の通知等 (21条)

個⼈データ

正確性の確保等 (22条)、 安全管理措置(23条)、従業者の監督(24条)、 委託先の監督(25条)、漏洩等の報告 (26条)、 第三者提供の制限(27,28条）、第三者提供に係る記録の作成等(29,30条)、苦情の処理(40条)

保有個⼈データ

所定の事項の公表(32条)、 開⽰(33条)、訂正等(34条)、 利⽤停⽌等(35条)、理由の説明 (36条)、 ⼿続(37条)、⼿数料(38条)、 事前の請求(39条)

19個⼈情報に対する規制〜⾏政機関等
個⼈情報保有制限等(61条)、 利⽤⽬的の明⽰ (62条)、不適正な利⽤の禁⽌ (63条)、 適正な取得 (64条)、従事者の義務 (67条)、 仮名加⼯情報 (73条)、

保有個⼈情報正確性の確保等 (65条)、 安全管理措置(66条)、漏洩等の報告 (68条)、 利⽤・提供制限 (69,71条）、措置要求(72条)、 開⽰(76〜89条)、訂正(90〜97条)、 利⽤停⽌(98〜103条)、
不正な利益を図る⽬的での提供・盗⽤(180条)、

個⼈情報ファイル

個⼈情報保護委員会への通知 (74条)、
個⼈情報ファイル簿の作成、公表(75条)、不正提供に対する罰則 (176条)

20

個⼈番号の特殊性
 利⽤範囲は税、社会保障、災害対策の3分野に制限されている（9条、別表1）
 個⼈番号を収集することができる場⾯も制限されている（19条）
 特定個⼈情報（個⼈番号を含む情報）の保管も制限されている（20条）→ 利⽤しない個⼈番号は廃棄しなくてはならない
 個⼈情報保護法の適⽤除外による規制強化(30条）
個⼈情報保護法

番号法

法令に基づく⽬的外利⽤は容認（69条1項）

番号法の利⽤⽬的以外の利⽤を原則禁⽌

以下の場合、⽬的外利⽤および第三者提供を容認（69条2項）

第三者提供は禁⽌

1）本⼈の同意があるとき、または本⼈に提供するとき（同項1号）

1-1）⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意があり、⼜は本⼈の同意を得ることが困難であるとき
1-2) 本⼈への提供を除外

2）利⽤に相当の理由があるとき等

2）適⽤除外（同項2〜4号）

21

保有の制限等
 保有（作成、取得、維持・管理を含む概念）のための要件(61条1項)① 法令の定めに従い適法に⾏う事務⼜は業務を遂⾏するため必要な場合② 利⽤⽬的をできる限り特定具体的な利⽤⾏為が利⽤⽬的の範囲内であるか否か、合理的かつ明確に判断できる程度
 利⽤⽬的の明⽰(62条) 適性な取得(64条)• 取得に際して本⼈の同意は不要（要配慮個⼈情報の場合も同様）
 利⽤⽬的の達成に必要な範囲を超える保有は禁⽌ (61条2項)
 利⽤⽬的の変更は、相当の関連性を有すると合理的に認められる範囲内に限られる（61条3項）• 当初の利⽤⽬的に照らして変更後の利⽤⽬的を想定することが困難でない• 合理的に認められる＝社会通念上妥当であると客観的に認識されること

22

不適正な利⽤の禁⽌
19条、63条（不適正な利⽤の禁⽌）
個⼈情報取扱事業者（19条）／⾏政機関の⻑（63条）は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない。
① 違法な⾏為を営むことが疑われる業者からの突然の接触によって、本⼈の平穏な⽣活を送る権利が侵害されるおそれが想定あるにもかかわらず、当該違反業者に本⼈の個⼈情報を提供すること。
② 裁判所による公告等により散在的に公開されている個⼈情報について、当該個⼈情報に係る本⼈に対する差別が、不特定多数の者によって誘発されるおそれがあることが⼗分に予⾒できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開すること。
(例）破産者マップ(2019年3⽉閉鎖）
⾃⼰破産・特別清算・再⽣データベース(2020年7⽉閉鎖）

23

利⽤及び提供の制限
原則︓ 利⽤⽬的以外の⽬的での利⽤、提供は禁⽌（69条1項）
例外1︓ 法令に基づく場合（69条1項）
例外2︓ 以下に該当する場合（本⼈または第三者の権利利益を不当に侵害するおそれがあると認められるときを除く）（69条2項）① 本⼈の同意があるとき、⼜は本⼈に提供するとき。
② ⾏政機関等が法令の定める所掌事務⼜は業務の遂⾏に必要な限度で保有個⼈情報を内部で利⽤する場合であって、当該保有個⼈情報を利⽤することについて相当の理由があるとき。
③ 他の⾏政機関、独⽴⾏政法⼈等、地⽅公共団体⼜は地⽅独⽴⾏政法⼈に保有個⼈情報を提供する場合において、保有個⼈情報の提供を受ける者が、法令の定める事務⼜は業務の遂⾏に必要な限度で提供に係る個⼈情報を利⽤し、かつ、当該個⼈情報を利⽤することについて相当の理由があるとき。
④ 前三号に掲げる場合のほか、専ら統計の作成⼜は学術研究の⽬的のために保有個⼈情報を提供するとき、本⼈以外の者に提供することが明らかに本⼈の利益になるとき、その他保有個⼈情報を提供することについて特別の理由があるとき。

24

外国にある第三者への提供（71条）

25
https://www.mhlw.go.jp/content/10904750/000863622.pdfより

個⼈関連情報（31条、72条）
⾏政機関の場合は、利⽤⽬的等の制限、および漏洩防⽌等の措置要求（例）⽒名と結びついていな
いインータネットの閲覧履歴、位置情報、Cookie等

26
https://www.ppc.go.jp/files/pdf/201120_kozinkanren.pdfより

プライバシーの諸問題〜リクナビ問題
 Cookieで個⼈を突合し、内定辞退率を算出して、本⼈の同意なく利⽤企業に提供していた(2019年2⽉以前）

27
出典︓株式会社リクルート「『リクナビDMPフォロー』とは」より

仮名加⼯情報の概要

https://www.ppc.go.jp/files/pdf/201127_kameikakou.pdfより

28

仮名加⼯情報を作成するための加⼯基準

https://www.ppc.go.jp/files/pdf/201127_kameikakou.pdfより
29

⾏政機関における仮名加⼯情報の利⽤
改正前(⾏政機関個⼈情報保護法）
 従来も仮名加⼯情報に相当する情報を作成して利⽤することが可能であった。
（8条2項）・・・⾏政機関の⻑は、次の各号のいずれかに該当すると認めるときは、利⽤⽬的以外の⽬的のために保有個⼈情報を⾃ら利⽤し、⼜は提供することができる。・・・
︓
⼆ ⾏政機関が法令の定める所掌事務の遂⾏に必要な限度で保有個⼈情報を内部で利⽤する場合であって、当該保有個⼈情報を利⽤することについて相当な理由のあるとき。
︓

令和3年改正 個⼈情報の定義が統⼀化された（「照合可能」→「容易に照合可能」）ことにより、提供先では仮名加⼯情報は個⼈情報に該当しなくなるおそれが⽣じた。
 そこで、73条で仮名加⼯情報の取扱に係る義務を規定した。

原則提供禁⽌（1項）
安全管理措置（2項）
原則他の情報との照合禁⽌（3項） 原則連絡先情報の利⽤禁⽌（4項）
30

⾏政機関等匿名加⼯情報制度

https://www.ppc.go.jp/files/pdf/Gyouseikikantoutokumeikakou_gaiyou.pdfより
31

各⾃治体の対応状況（2022年7⽉8⽇で把握している限り）
藤沢市

••
•••
•

パブリックコメント実施
開⽰請求の諾否期間を15⽇から30⽇に変更
死者の情報の取扱は法に合わせる
個⼈情報取扱事務登録簿を廃⽌し、個⼈情報ファイル簿に開⽰請求の費⽤は無料、写し作成・送付の実費は請求
⾏政機関匿名加⼯情報の導⼊

京都市

••
•
•

保護審議会の答申案を公開し、パブリックコメント実施
議会を条例の適⽤対象として規定する
⾏政機関匿名加⼯情報の提供状況を審議会に報告
⽬的外利⽤・提供について特に必要な場合には、審議会の意⾒聴取をする、提供先の可視化を図る
要配慮個⼈情報を電⼦計算機処理等する場合には、審議会の関与を求める
個⼈情報取扱事務登録簿から個⼈情報ファイル簿に移⾏開⽰請求の⼿数料は徴収せず、実費のみ請求
安全管理措置の責任者の設置、漏洩時の本⼈への通知制度などを設ける

•
•••

愛知県
名古屋市

•

個⼈情報保護審議会で検討中
32