「官民連携データプラットフォーム ポリシー条項（素案）」に対するご意見と都の考え方〇意見募集期間 令和2年12月22日（火）から令和3年1月21日（木）まで〇意見提出数
個人：8名 団体：1団体32件（個人：8名団体：1団体）
いただいたご意見のうち、同様の趣旨は一意見としてまとめて掲載しています。
番号「官民連携データプラットフォーム ポリシー条項（素案）」に対するご意見
該当箇所

内容

都の考え方

今後、より多くの皆様に官民連携データプラットフォーム（以下「DPF」といプライバシーステートメントを定めるにあたり、ステークホルダーに対して安全・安心を打ち出 う。）について御理解いただけるよう、DPFでのデータの取扱いやDPFを通じた社
プライバシーステートメント
1
すことは前提として、DPFがデータ利活用を推進することで何を実現していきたいかをきちん 会課題の解決等について分かりやすいウェブページを作成し、周知していきます。
第1項と明示していくべき。
いただいたご意見については、DPFの周知活動をする際の参考にさせていただきます。
データ主体となる若い方には、パーソナルデータを提供することに対して比較的すんなり承
プライバシーステートメント 諾をいただけると思うが、特に高齢者の場合は心理的ハードルが高いと予想される。よっ
官民連携データプラットフォームの周知活動をする際の参考にさせていただきま2
第1項て、運営組織が民間ではなく都がやっている等行政が関わっているということをしっかりと打ち す。
出して、高齢者に対しても安全・安心を打ち出すことが必要なのではないか。
プライバシーステートメント第2項において、パーソナルデータの定義が曖昧であると考えている。
規約第2条において定義を明確化できるものについては、可能な限り定義規定
プライバシーステートメント 規約第14条においては、提供対象データにパーソナルデータ等が含まれないことの確認との追加を行いました。
第2項記載があるが、そもそも提供するデータにパーソナルデータが含まれるかどうかが事業者としてなお、パーソナルデータは、個人に関わる広範なデータを指す概念であり、これを3は判断できない。そのため、パーソナルデータが含まれないことの確認をデータ提供者に求め具体的かつ網羅的にお示しすることは難しいと考えていますが、今後作成予定の規約るというのは厳しい。
公式サイト上で、DPFにおけるパーソナルデータの例示やよくある質問を記載する第14条
また、データがパーソナルデータとなるかどうか、データの利用方法によるところもある。匿名等、可能な限り明確化していくことを検討しています。
化しても使い方によっては個人情報になるのではないか。パーソナルデータか個人情報か統計情報かは、一概にデータそのものだけを見ていても定まらないのではないか。
パーソナルデータにおいて、プライバシーを配慮しなくとも法律違反になることはないが、これ 本ポリシー素案への賛同意見として承ります。
プライバシーステートメント をきちんと配慮しないとレピュテーションリスク*が付きまとうことになる。よって、第3項に記載
4第3項がある通り、パーソナルデータについてもきちんとプライバシーを配慮するという方針を掲げるこ *レピュテーションリスク:企業に対する否定的な評価や評判が広まることによって、とは良いと考えている。
企業の信用やブランド価値が低下し、損失を被る危険度

番号「官民連携データプラットフォーム ポリシー条項（素案）」に対するご意見
該当箇所

内容

都の考え方

「オプトアウト」の用語の使用方法が、個人情報保護法23 条2 項に基づく提供であるのか、任意のオプトアウトであるか分かりにくい。
「すなわち、個人情報保護法23 条2 項に規定する…」の一文は、個人情報保護法
プライバシーステートメント
分かり易さの観点から、プライバシーステートメント第6項「個人情報保護法第523 条2 項を念頭に置いているように読める一方で、「パーソナルデータ（個人情報を除第6項23条 第2項に規定する」を削除しました。
く。）については、例外的にオプトアウトによる提供」の一文は、個人情報保護法とは無関係の任意のオプトアウトと理解される。任意のオプトアウトであれば、「個人情報保護法23条2 項に規定する」を削除した方が分かりやすいのではないか。
プライバシーステートメント 列挙されている手続は並列関係であるため、柱書き中「追加又は削除」とあるのは、「追第9項加、削除」が適当と考えます。

プライバシーステートメント第9項柱書中をご意見のとおりに修正しました。

(1)開示等請求の申出先については、2020年の個人情報保護法改正によりオンラインプライバシーステートメント による開示請求が認められ、改正内容を明確に反映するため（改正法28条１項）、第7第9項
１文を「開示等請求は当組織が指定する方法で行ってください。請求に関するお問い合わ
せは、以下の窓口までお願いします。」と修正するのが適当と考えます。

プライバシーステートメント第9項第1号をご意見のとおりに修正しました。

6

個人情報保護法施行令と本案の整合性の観点から、(1)の文中、「開示等請求にあプライバシーステートメント第9項第1号に「所定の方法により」を追記し、また、たっては」の次に「所定の方法により」を加えるのが適当と考えます。また、代理人による請 代理人による請求については同項柱書に「本人又はその代理人から」を追記しま
プライバシーステートメント 求についても規定すべきと考えます。なお、 第１文を「開示等請求は当組織が指定する した。
8第9項方法で行ってください。請求に関するお問い合わせは、以下の窓口までお願いします。」と修 なお、 第１文を「開示等請求は当組織が指定する方法で行ってください。請正する場合不要となるが、同文中「開示等請求を行われる」とあるのは、「開示等請求を 求に関するお問い合わせは、以下の窓口までお願いします。」と修正したため、行う」が適当と考えます。
「開示等請求を行う」へ修正はしていません。
形式的な修正意見ですが、９の（２）の「手続への対応及び調査」とあるのは「手続へプライバシーステートメント9の対応及び調査（以下「対応等」といいます。）」と修正した上で、「対応のため」とあるの第9項を「対応等のため」と修正するのが適当と考えます。

プライバシーステートメント第9項第2号をご意見のとおりに修正しました。

「匿名加工情報（個人情報保護法2条9項）[又は仮名加工情報（個人情報保護法2条9項）]を取り扱う場合は、公表を要する事項について（掲載先）において随時掲 プライバシーステートメント第10項における仮名加工情報（2020年 改正個載いたします。」とあるが、人情報保護法）の取扱いについては、今後具体的ニーズ等を踏まえながら必プライバシーステートメント ・「仮名加工情報」の取扱いが想定されているということか。また、想定されている場合、具 要に応じて検討します。
10第10項
体的にどのような活用方法か。
匿名加工情報及び仮名加工情報に係る公表義務については、個人情報保・匿名加工情報又は仮名加工情報は、作成（又は提供）時に公表義務がかかるので 護法に規定された公表を適切に行うことを明確化するため、「公表を要する事項あって（匿名加工情報について、現行法36条3項、同4項、37条参照）、「取り扱う場 について（掲載先）において法令に則り掲載いたします。」に修正しました。
合」に公表を行うとするのは、個人情報保護法の考え方と整合しないのではないか。

番号「官民連携データプラットフォーム ポリシー条項（素案）」に対するご意見
該当箇所

内容

都の考え方

規約
11第3章

大企業の場合、どういう単位で利用申請したら良いか目安を設けてほしい。理由として
は、法人単位という扱いになってしまった場合に、DPFからのデータ利用に適う全社共通ルールを定められるかが課題になることが予想される。

規約
第13条
12
第20条(現21条)
第25条(現26条)

原則、契約期間中は継続的にデータ提供いただくこととしますが、仮に契約期間終了後に更新がされない場合や途中解約がある場合には、データが突然利継続的に供給を受けているデータに対して、突然利用の打ち切りがあった際は、事業損用できなくなることを防ぐために、あらかじめ十分な期間を定めて告知し、データ利失が生じるため、何らかの方法で継続的に供給を受けられる仕組みを整えていただきたい。
用企業が必要な対応を取れるよう、個別契約内で契約終了の一定期間前に他方で、自社がデータ提供者となる場合を考えると、継続的なデータ提供を求められる告知することを定めていくことを想定しています。
場合、データ提供のハードルが高まる。
この点を明確化するため、規約第13条第3項第7号「契約期間及び契約期間中の任意解約を認める場合における事前の告知期限」を追記しました。

13

規約
第14条

規約
14第15条今後、具体的な利用申請方法を検討する際の参考にさせていただきます。

データ提供者に対して表明保証を求めると記載があるが、負荷が大きすぎるとデータ提供 今後、具体的にデータ提供者に対して求める表明保証事項を検討する際のをすることを躊躇してしまうのではないか。
参考にさせていただきます。
データ提供者によるDPFへのデータ提供について、データ主体からデータ提供者がデータ個人情報保護法及びガイドラインに則り、本人が同意に係る判断を行うために取得している際の規約等に、DPFへのデータ提供に関する条項も追加をお願いしていく必 必要と考えられる合理的かつ適切な方法で同意取得いただくよう、データ提供者要があるのではないか。に周知活動をしていきます。

本DPFにおいては、データ提供者からパーソナルデータの提供を受けて、それをデータ利用者に提供することが想定されています（規約第15条及び第3章）。しかしながら、このような場合（本DPFがパーソナルデータを間接取得する場合）に、本DPFがデータ主体から、本DPFによる第三者提供についての有効な同意を得ることは極めて困難です。その一方で、オプトアウトによる第三者提供は例外的な場合に限定されています（プライバシース
プライバシーステートメント
データ提供者に対してのDPFの関わりについては、詳細を検討する上で参考にさテートメント第6項2号このこと自体は適切です。）。
第6項
せていただきます。
また、仮にデータ提供者がデータ主体に対してDPFに提供することの同意を得ようと動い
15
また、パーソナルデータを取り扱う際は、ご意見のようなDPFがデータ主体と直接たとしても、DPFに第三者提供するということをデータ主体に対して承諾してもらうにあたり、規約接点を持つ方法含め、適切な同意取得ができる方法を検討します。
その提供することの動機が明確でない状態で承諾を得ることはそもそも難しいと思われま
第15条
す。事業者(データ提供者)としては、DPFに何等か動いていただくことが必要であると考えています。
したがって、本DPFがパーソナルデータをデータ利用者に提供する場合には、データ主体から本DPFが有効な同意を得ることができるよう、本DPFがデータ主体から直接取得する仕組みを作り、直接承諾を得たパーソナルデータのみを対象とすることが適切です。

番号「官民連携データプラットフォーム ポリシー条項（素案）」に対するご意見
該当箇所

内容

都の考え方

規約
第15条

規約第15条に規定する「個人関連情報」は、令和2年改正個人情報保護法で規定された「個人関連情報」を指しています。この点を明確化するため規約「３ 提供対象データにパーソナルデータ、個人情報、匿名加工情報又は個人関連情 第2条に定義を追記しました。
報が含まれる場合」とあるが、ここでいう「個人関連情報」とは、令和２年改正個人情報2020年改正個人情報保護法において「個人関連情報」の定義は「生存する保護法の個人関連情報を指しているのか。また、その場合、「パーソナルデータ」と「個人関 個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のい連情報」の相違点及び包含関係はどのようになっているのか。
ずれにも該当しないもの」とされていますが、「パーソナルデータ」は、規約第2条第6号のとおり、仮名加工情報、匿名加工情報等を含み得るより広い個人に関する情報を指します。

規約
第21条(現22条)

第21条において、データによっては情報セキュリティ等の体制が整っていることや、第三者による認証等を表明できないと利用できないと記載があるが、守りを固めすぎると、しっかり対応することができる組織力のある大企業しか参加できないコミュニティになってしまい、ハードルが上がってしまう。そうなると、目指す「中小・ベンチャーなど、誰もが使える」という構想が成立しなくなってしまうのではないか。この守りが固くなりすぎると大企業しかデータ利用ができなくなってしまうのではないか。また、リスクを誰が取っていくのかが曖昧に思われる。最後はすべて利用者がリスクを負うということだと困る。小さい事業者が、リスクを負えるところからやっていくべき。
ポリシーをデータ保護の観点から固めすぎると、中小企業が参加できなくなるのではないか。中小ベンチャーにとっては厳しい基準となり、参加ができなくなってしまうことが懸念として挙げられるため、リスクをうまく分散できることを検討する必要があるのではないか。

具体的な基準を検討する際の参考にさせていただきます。

規約
18第21条(現22条)

規約第21条に、「当該データを適切に取り扱う体制・安全管理措置を適切にとる体制が整っていること」との記載があるが、何をもって整っていると言えるのか判断が難しいが、その整理が必要ではないか。

具体的な基準を検討する際の参考にさせていただきます。

許されない流通を事前に防ぐため、第21条でデータによって利用対象者を制限することは適切と考える。

本ポリシー素案への賛同意見として承ります。

16

17

19

規約
第21条(現22条)

番号

20

「官民連携データプラットフォーム ポリシー条項（素案）」に対するご意見該当箇所

規約
第21条(現22条)

規約
21 第21条(現22条)
第24条(現25条)

22

規約
第23条(現24条)

内容都の考え方

データ利用者をパーソナルデータの適切な管理ができる者に限定すべきです。規約第21条4号は、「利用対象データにパーソナルデータ（個人情報を含むものに限る）が含まれる場合であって、当該データ安全管理措置を適切にとる体制が整っていることについて、第三者による認証又はそれに準じるものに基づき表明することができない場合」には、データ利用規約第21条（現第22条）柱書については、ご意見のとおりに修正しました。
者としないこと（提供申請を拒絶すること）を規定しています。しかしながら、「第三者によなお、データプラットフォームにおいて個人情報を含むパーソナルデータの流通を行る認証又はそれに準じるもの」は、あまりにも広範であり、これのみを条件とすると適切な安うことについては、より慎重な検討を要するため、当組織としては、本ステートメン全管理措置をとる体制ができていない者がデータ利用者となるおそれがあります。規約21
トの改正を含む必要な体制整備やそのための十分な検討を行うことなく、データ条第4号は、端的に、「利用対象データにパーソナルデータ（個人情報を含むものに限プラットフォームにおいて個人情報を含むパーソナルデータの流通を行いません。そる）が含まれる場合であって、プライバシーマーク取得事業者またはISMS認証取得事業れを明確化するために規約第21条（現第22条）第4号を削除しました。
者でない場合」にはデータ利用者として認めないこととすべきです。
なお、規約第21条の柱書は、「以下のいずれかに該当する場合は、データの提供申請を拒絶することができます」となっていますが、これらの該当する場合には、提供申請は拒絶すべきであることから、文末は「拒絶するものとします」としていただくことが適当です。
利用対象データの利用資格判断方法については、一般によく企業がベンダーと契約する際の、情報セキュリティに関するチェックシートのようなものを設け活用し、契約後には一部抜き打ち調査などを併用するのが現実的ではないか。ただし、利用者の裾野を広げるために、あまり制約が過剰になってしまうのもよくない。
DPFのホームページで利用したいデータを検索し、データの内容に応じてグレードがあり、それに適う希望者が相応のデータの利用希望を申し込めるなどにすればよいのではないか。
DPFが上記のデータ取り扱いグレードの資格の認証自体を事業化するという方法もあり得る。
なお、そのような各利用者のデータ利用の能力を把握していくと、データ流通にあたりセキュリティ懸念があるのに対して、DPFに参加している企業群であればデータ取り扱いが堅牢であるという信頼を醸成したり、参加者のデータ取り扱い能力を高めるという副次的な効果もあるのではないか。

具体的な基準を検討する際に参考にさせていただきます。

パーソナルデータに個人情報が含まれる場合には、個人情報保護法に基づく再提供の制限が不十分です。
記録義務や本人による開示請求などによるトレーサビリティ(追跡可能性)を確保
規約第23条5項は、「データ利用者は、個別利用契約で定める利用目的の範囲内でしつつ、必要に応じてデータ利用者の利用状況の確認を行うことなどを含めて、プある場合又は当組織の同意がある場合を除き、個別利用契約に基づき提供を受けたライバシーに配慮した取組を検討します。
データを第三者に提供してはなりません」としています。しかしながら、再提供や再々提供がなお、データプラットフォームにおいて個人情報を含むパーソナルデータの流通を認められれば、パーソナルデータの適切な扱いが期待できないばかりか、データ主体のトレー行うことについては、より慎重な検討を要するため、当組織としては、本ステートメサビリティを確保することがほぼ不可能となります。したがって、規約第23条5項は、端的ントの改正を含む必要な体制整備やそのための十分な検討を行うことなく、デーに、再提供を禁止することとすべきです。
タプラットフォームにおいて個人情報を含むパーソナルデータの流通を行いません。

番号「官民連携データプラットフォーム ポリシー条項（素案）」に対するご意見
該当箇所

規約
23第24条(現25条)

24

e

規約
第24条(現25条)

都の考え方

内容
第24条第2項において、「必要に応じて監査を行うことができます」との記載があるが、DPFが自ら、データ利用者を個別に監査することが果たして有効であるかが懸念である。
（費用対効果も含め）既存の認定機関・認証資格等をうまく利用し、効率的にデータ利用者の情報セキュリティレベルを確認することを検討したほうが良いのではないか。

具体的な基準を検討する際に参考にさせていただきます。

規約第24条第2項に「必要に応じて監査を行う」と記載があるが、「監査」を本当に行う 規約第24条(現第25条)に示している監査については、適切な取扱いを担保のか。例えば立ち入り検査などまで行うか。
し、信頼構築することが重要であるため、具体的な方法を検討します。

規約25第24条(現25条)

データ利用者について、DPFからデータを受領した後、データが適切に使われているかどうか、不正利用がないかどうかを、DPFによって継続的にウォッチし確認・チェックすることが必要ではないかと考えます。

26 全体

本件に関し、総務省・個人情報保護委員会・経済産業省等の関係省庁はオブザーバー参加等の形で関与しているのか。
本検討会には省庁等は参加しておりませんが、いただいたご意見を参考に対応
個人情報の保護に関する法律等、国の所管する法律にも関わるポリシー条項を示すの について関係各所への連絡を検討します。
であれば、その適法性等は正式に確認しておくのが望ましいと思われる。

27 全体

国の動きに先駆けて、東京都がデータ利活用を保護とのバランスもとりながら、積極的に東京都官民連携DPF構築に向けた取り組み方針についての賛同意見として進めようとしていることには大いに賛同する。
承ります。

28 全体

東京都の官民連携データプラットフォーム（以下「本DPF」といいます。）の準備については、（１）事業運営の準備を行う「準備会」とは別に、適切な情報の取り扱いを実現するために、外部の専門家を委員とした「ポリシー策定委員会」を設置していること、（２）東京都官民連携DPF構築に向けた取り組み方針についての賛同意見としてその審議を公開していること、（３）各ポリシー条項（素案）のパブコメを実施しているこ 承ります。と等、全般に客観性・透明性に配慮した進め方がなされており、この点は高く評価できます。

ee

今後具体的な監査方法等を検討する際に参考にさせていただきます。

e