国立研究開発法人National Institute of Information and Communications Technology委託研究におけるパーソナルデータの取扱いについて国立研究開発法人情報通信研究機構
•本文書の目的
–国立研究開発法人情報通信研究機構（以下、「NICT」という。）委託研究においてパーソナルデータを取り扱う研究開発を推進するにあたり、プライバシーをはじめとする個人の権利侵害や、それら侵害への懸念から生じるNICT及び受託者への社会的評価のき損といったリスクを最小限とすることを目的とし、委託研究におけるパーソナルデータの取扱いについて説明する。 ・パーソナルデータとは–「パーソナルデータ」は、法令上の用語ではなく統一的な定義も存在しないが、国における議論の中では、「個人の行動、状態等に関するデータ、従来の個人情報の定義では必ずしもとらえきれないものを含む」、「個人に関連するデータの総称」等とされている。 –本文書では、個人情報の保護に関する法律(以下、「個人情報保護法」という。)第2条で規定される「個人情報」に加え、「プライバシー侵害の可能性がある情報」を含めてパーソナルデータの対象とする。 –「プライバシー」は、法令上明文で定義されていないが、判例において民法上保護される個人の権利利益として位置づけられており、プライバシーを侵害すると民法上の責任を問われ、損害賠償等の義務が発生する恐れがある。 •パーソナルデータ取扱研究開発業務審議委員会–委託研究におけるパーソナルデータの適切な取扱いのため、NICTのパーソナルデータ取扱研究開発業務審議委員会(以下、「委員会」という。)において審議し、助言等を行う。
NICT

•行政機関、独立行政法人等、民間事業者用に各々併存した法律が個人情報保護法1本に統合。 ・各受託者は、個人情報保護法と共に、個人情報保護に関する関係法令、諸規則を遵守する。個人情報の保護に関する法律(個人情報保護法)個人情報の保護に関する基本方針個人情報の保護に関する法律施行令個人情報の保護に関する法律施行規則個人情報の保護に関する法律についてのガイドライン•通則編・外国にある第三者への提供編・第三者提供時の確認・記録義務編・仮名加工情報・匿名加工情報編
個人情報の保護に関する法律に係るEU及び英国域内からの十分性認定により移転を受けた個人データの取扱いに関する補完的ルール特定分野ガイドライン（金融/医療/情報通信） N / / / 2
委託研究の段階に応じて以下のプロセス①～⑤を行う。プロセス①とプロセス③でそれぞれ委員会の審議を行う。各プロセスの詳細は9ページ〜14ページに記述する。
※ :プロセス①は研究公募に対する提案時に行うが、委託研究契約後に新たにパーソナルデータを取り扱う必要が生じた場合はその時点で行うものとする。処策を提示する。 ⇒様式3(リスク分析・対策)の提出
N/C7

委託研究において下記に例示するパーソナルデータを取り扱う計画があれば、研究計画段階（公募時〉にチェックリスト（様式1）を提出し、委託契約締結後、パーソナルデータを取り扱う前にチェックリスト(様式2)、リスク分析・対策(様式3)を提出する。合わせて2回の委員会審議を受ける必要がある。
(顔、指紋、虹彩、体形、風貌、歩容等の特徴量)
4.個人の特定につながる位置情報

NICT

•取り扱うパーソナルデータを必要最小限とする
•本人の同意を得る
参考文献:カメラ画像利活用ガイドブックver3.0 (https://www.meti.go.jp/press/2021/03/20220330001/20220330001.html)
※1 :詳細は15ページに示す。 ※2 :詳細は16ページに示す。 ※3:本人に直接知らせることをいい、例としては、面談において利用目的等を記載した文書を渡して口頭で説明すること、当該文書を電子メール、ファックス等により送信すること等が考えられる。 ※4:国民一般その他不特定多数の人々が知ることができるように発表することをいい、例としては、受託者のウェブへの掲載（画面中のトップページから1回程度の操作で到達できる場所への掲載）、実験場所での掲示、パンフレットの配布等が考えられる。 •本人からの要望を受け付ける
– 個人情報やプライバシーに該当しないデータであっても、他のデータと突合すると個人の特定や機微な内容の推定ができる場合がある。そうした分析や、その他人権や倫理などの面で問題があると考えられるよ
•外国との間でデータを移転する場合は関係各国の法令を遵守する
–パーソナルデータを外国にある第三者へ提供する場合、本人の同意を取得し、法令の規定に従い本人へ
•我が国と同等水準の個人情報の保護に関する制度を有している、EU諸国及び英国についてはこの限りではない。

N/CT
•パーソナルデータの管理
–パーソナルデータの処理において本人を特定する必要がない場合は、パーソナルデータを
C
N / /
7
•パーソナルデータの破棄
–あらかじめ定めた保持期間終了後直ちに、漏えいを防ぐ安全確実な方法でパーソナルデータを破棄する。 –なお、研究活動における不正行為への対応等に関し、委託契約約款における研究資料の保存期間は当該研究に係る論文等を発表してから原則として10年間としている。 •パーソナルデータを取り扱う委託研究に対する苦情･批判に関する対処–委託研究におけるパーソナルデータの取扱いについて、プライバシー保護の観点に基づく外部からの批判が発生した場合は速やかに委託研究推進室に報告する。 –エスカレーションすべき事案の判断基準(目安)を以下に示す。事案によるが、原則として、どれかひとつでも該当すれば事案が発生したと判断する。
・委員会審議結果の通知
※ :プロセス①は研究公募に対する提案時に行うが、委託研究契約後に新たにパーソナルデータを取り扱う必要が生じた場合はその時点で行うものとする。この場合は上記の提案者を受託者に読み替える。
NICT

•委託研究契約におけるパーソナルデータの取扱いに関する規定–受託者がパーソナルデータを取り扱う研究開発を実施する場合、委託元である機構には研究開発の管理責任があるため、受託者との契約を通じて、受託者がパーソナルデータの適切な取扱いを行うことを確保します。 –具体的には、受託者は機構との委託研究契約において、委託契約約款第50条（パーソナルデータの取扱い）を遵守してください。
④パーソナルデータの漏えい等の事案の発生時における対応に関する事項
•パーソナルデータ取扱チェックリスト(様式2)の提出–受託者は、委託研究契約締結後、パーソナルデータの取得を開始する前に、プロセス①での委員会の助言を踏まえて、パーソナルデータの具体的な取扱計画(案)を策定し、「パーソナルデータ取扱チェックリスト」の左上で「様式2（プロセス3 :研究実施前として審議する段階）」を選択し（上に「様式2」と表示されます）、必要事項を記載して、委託研究推進室に提出してください。 –「様式2」は、プロセス①で記載した情報が表示されますが、プロセス①から変更になった部分等については当該変更を反映させて提出してください。またリスク評価１のコメントを『委員会からの「パーソナルデータ取扱研究開発に対するリスク評価結果」への回答』欄に転記し、回答を書いてください。 •パーソナルデータのリスク分析・対策（様式3）の提出–プロセス①でリスクが高いと評価された案件については、様式2に加えて、リスク分析と対処策案を記載する様式3「パーソナルデータのリスク分析・対策」※を作成し、提出してください。 (※様式に指定はありませんが、参考の様式はあります。) •委員会審議結果の通知–委員会は、提出された様式2及び3に基づきプライバシーリスクの評価・助言を行います。 –委託研究推進室は、その結果を受託者に提示します。 –受託者は、委員会の助言内容を踏まえて、プロセス④以降を進めてください。 •委託研究におけるパーソナルデータの適切な取扱い–受託者は委託研究において、委員会審議による助言結果とパーソナルデータ取扱いルール(5ページ〜8ページ)に従い、パーソナルデータを取り扱うものとします。 –なお、プロセス③以降に、新たなパーソナルデータの追加や変更、取扱機関や提供先の変更等、パーソナルデータの取扱計画を変更する場合は、事前に「パーソナルデータ取扱チェックリスト(様式2)」を再度、委託研究推進室に提出してください。提出内容に応じて委員会で再度審議を実施します。 •本人からの同意の取得について–本人からの同意を取得する際に明示して説明すべき事項を16ページ、同意書の例を17ページにそれぞれ示します。 •パーソナルデータを用いる委託研究の実施や成果等をプレス発表する場合–パーソナルデータを用いる実験実施や研究成果等をプレス発表する場合、パーソナルデータの提供者本人や市民に不安や不信を抱かせないよう十分な説明を行う必要があります。
•プレス発表原稿の事前確認–パーソナルデータを利用する研究開発に関するプレス発表原稿については、下のような観点で説明が行われているか確認します。 ①研究開発成果や実証実験の実施(公開するアプリケーション等を含む)の概要
②取得するパーソナルデータと取得の方法–研究開発の過程で取得するパーソナルデータの項目とその取得方法について、可能な限り細分化し、具体的に記載しているか。
–パーソナルデータの利用目的や利用方法は、取得するパーソナルデータの項目と対応して記載しているか。

•プレス発表原稿の事前確認（つづき）
④パーソナルデータの提供の有無及び提供先
–パーソナルデータの第三者への提供の有無と、提供先を明確に記載しているか。
– 研究分担者とデータの共有、提供を行う場合には、相手先研究機関名と相手先研究機関での利用方法を説明しているか。 ⑤利用者によるパーソナルデータの提供の停止･訂正の可否及びその方法–利用者が受託者によるパーソナルデータの取得の中止又は利用の停止が可能であるかを記載しているか。 –上記が可能である場合には、取得の中止方法又は利用の停止方法を記載しているか。 ⑥データの管理方法(保存期間、破棄) －パーソナルデータおよび加工したデータの保持期間と破棄方法について記載しているか。
⑦プライバシー保護のための措置
–パーソナルデータのプライバシー保護のために技術面(匿名化技術、安全管理体制等)及び運用面(委託研究約款)の両面から措置を講じていることを記載しているか。
8)問合せ先

•パーソナルデータの利用目的の特定

–今回の研究だけでなく、将来にわたっても当該データの利用が見込まれるときは、将来どのような研究開発に利用する予定かを考慮して適切に記載してください。 –将来の研究のために用いられる可能性があるが、本人から同意を受ける時点では具体的に特定できない場合には、想定される内容を同意書等に記載することが望ましいです。 －利用目的の記載例

N /C /

6. 7.
10.問い合わせ先を記載してください。
N / C

同意書（文例）私は、本研究開発（●●：実施開間●年●月●日～●年●月●日）のもとで実施される「●●の実証実験」への参加を承諾します。参加の承諾にあたり、以下の内容について理解し同意します。 1．私は本実験のパーソナルデータの取扱いの内容（別紙に記載）に関して同意します。 2．本実験により得られる研究成果は、実験実施責任者（後述）に帰属することに同意します。 ３．参加者の権利（別紙記載）について理解しました。 4．実験参加にあたり費用負担・謝払が生じないことを理解しました。私は、上記の内容について理解し同意した上で、本実験に参加します。署名:実験参加者：用W II実験実施責任者：電話: Email:
実験の事業:
皆様には、●●の技術を利用した●●の体験をしていただきます。貸し出す矯末を利用し、辰示会場のどこに皆様が訪れたかの位置情報（半径●程度の精度）を分折して、●●をします。更に、皆様からご提供頂く高性情報（年齢・性別・趣味）を合わせて分析して、●●の情報を貸出しの端末に表示します。
ペーソナルデータの取扱い:
本类験で取得するデータは以下のとおりです。 ●別紙に記載の皆様の連絡先(氏名、電話番号) ●皆様がどの展示に訪れたかの位置情報（半径●メートルの精度） ●皆様からご提供頂く農性情報(年齢・性別・趣味)漢維先については、皆様に矯末を貸し出すため、身元確認する目的のみで使用します。実験に参加している間、紙で保管し、参加終了後に皆様に返却します。位宣信報と馬性情報のデータついては以下のように取り扱います。

关験参加者の増利:
1．実験の内容について、疑問な点があればいつでも実験を実施する実験実施責任
2.実験参加中のいつの時点でも、参加を取りやめることができ、実験実施責任者に通知し理由を告げることなく直ちに参加を取りやめることができる。 3.実験の実施中、あるいは実施後であっても、申し出により本実験で取得されたバーソナルデータの利用修止ができる。 4.実験への参加を取り消すことで、何らのペナルティも生じない。
参加者の管理情報
利用者番号: (パーソナルデータの利用修止申請の際に必要になります)参加者の連絡先(端末を貸し出すため,身元確認する目的のみに使用します)