個人情報保護法の基本構造

平成２７年１２月 ヘルスケア産業課 経済産業省

資料4

1

個人情報保護法の基本的考え方

○ 全ての個人情報を同列に扱う（いわゆる「センシティブ情報」の規程は存在しない。）

○ 自己情報コントロール権は認めていない

○ プライバシー保護法ではない

○ 全ての法令に劣後する法体系

→ 情報は結合することによって本人へのリスクが高まる。

→ 本人にとっての意図せざる被害を間接的に予防するだけ。

→ 適切な手続きによって取り扱われる限り、本人は個人情報の利用を止めることはできない。

→ 他の法令に根拠があれば、本人の意思に拘わらず第三者提供は可能。

「本人同意」 「本人開示」

： 本人から個人情報が発出される時点での注意喚起。 ： 情報の正確さと手続きの正しさを担保するための措置。

本人関与の意味

○ 個人情報保護法は、ＩＴ時代の個人情報取り扱いの基本ルール。

情 報 ① 一旦流出した情報は、決して回収することができない。

② 高度情報化社会においては、情報の検索、収集、結合は極めて容易。

2

法律の対象となる「個人情報」の定義

○ 個人情報保護法の対象となる個人情報とは「本人が識別できる情報」

生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することが出来るもの（他の情報と容易に照合することが出来、それにより特定の個人を識別することが出来ることとなるものを含む。）

個人情報の定義 （法第２条第１項）

自然人（個人）に関する情報

生存する個人に関する情報

特定の個人を識別できる情報 ※

法人に関する情報

死者に関する情報

特定の個人を識別できない情報

「個人情報」 ＝法律の対象

個人情報保護法の対象外

個人情報保護法の対象外

個人情報保護法の対象外

※ 他の情報と容易に照合することが出来、それにより特定の個人を識別することが出来ることとなるものを含む。

「個人情報」に該当する情報

【匿名化】

人に関する情報

3

個人情報保護法の保護法益と法規制の仕組み

○ 個人情報保護法は、何を保護しようとしているのか?

● 自分の個人情報について、想定外の利用がなされることによって生じる不利益・被害 （含 サプライズ、不安）を予防する。

☆ 新たな利用目的や第三者提供も本人がそれを理解している限り、意図せざる不利益・被害は生じない。

個人情報保護法はＩＴ時代の「道路交通法」!

★ 大量に個人情報を取り扱う者が、その利用目的を明らかにし、その範囲で個人情報を利用し、第三者提供を制限することで、本人にとっての意図せざる不利益・被害を予防する。

★ 他の情報と接続され易い状態で管理される個人情報（＝個人データ）を取り扱う者が守るべき基本ルール。＜「個人情報取り扱い基本法」＝「データベース管理法」＞

→ 「本人の同意」 は全てのルールを乗り越える。

● しかも、ルールに違反してもいきなり逮捕されることはない（間接罰方式）。

● 赤信号で止まり、スピード違反をしなければ、基本的に何を乗せて走っても良い。 （どのような種類の個人情報を扱っても構わない。）

★ 間接罰方式 （「違法状態を是正せよ」との行政からの「命令」に違反した場合に初めて罰則が適用される。）

☆ 赤信号： ☆ スピード違反：

第三者提供の制限 目的外利用

被害の有無や軽重は本人にしか分からない。

個人情報保護法の改正のポイント

個人情報保護法

番号利用法

個人情報の保護と有用性の確保に関する制度改正

特定個人情報（マイナンバー）の利用の推進に係る制度改正

○個人情報の取扱いの監視監督権限を有する第三者機関（個人情報保護委員会）を特定個人情報保護委員会を改組して設置 など

２．適切な規律の下で個人情報等の有用性を確保

・匿名加工情報に関する加工方法や取扱い等の規定の整備 ・個人情報保護指針の作成や届出、公表等の規定の整備

３．個人情報の保護を強化 （名簿屋対策）

・トレーサビリティの確保（第三者提供に係る確認及び記録の作成義務） ・不正な利益を図る目的による個人情報データベース提供罪の新設

１．個人情報の定義の明確化

４．個人情報保護委員会の 新設及びその権限 ・個人情報保護委員会を新設し、現行の主務大臣の権限を一元化

５．個人情報の取扱いの グローバル化

・国境を越えた適用と外国執行当局への情報提供に関する規定の整備 ・外国にある第三者への個人データの提供に関する規定の整備

○金融分野、医療等分野等における利用範囲の拡充 ⇒預貯金口座への付番、特定健診・保健指導に関する事務における利用、予防接種に関する事務における接種履歴の連携等

・個人情報の定義の明確化（身体的特徴等が該当） ・要配慮個人情報（いわゆる機微情報）に関する規定の整備

・本人同意を得ない第三者提供(オプトアウト規定)の届出、公表等厳格化 ・利用目的の変更を可能とする規定の整備 ・取扱う個人情報が5,000人以下の小規模取扱事業者への対応

６．その他改正事項

＜参考＞個人情報保護法改正法案の概要

4

機密性○

匿名加工情報・・・特定の個人を識別することができる記述等を削除。 第三者提供をする項目等を公表することが必要。 但し、提供を受けた事業者は、本人を識別するための以下の行為が禁止。

＜参考＞ 個人情報保護法改正法案のポイント

○個人識別符号の取り使いの明確化

○要配慮個人情報を新たに定義

○匿名加工情報の再接続の禁止

特定の個人の身体的特徴を変換したもの（例：顔認識データ、指紋データ）

等は特定の個人を識別する情報であるため、これを個人情報として明確化。 指紋認識データ

＜例＞

顔認識データ

本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人

に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要する

ものとして政令で定める記述等が含まれる個人情報。

本人同意を得ない取得を原則禁止 本人の同意のない第三者提供の特例（オプトアウト規定）から除外

作成者が削除した記述等や加工方法の取得の禁止 他の情報と照合することが禁止

一定の条件の下、自由な利活用を 可能とするルールの整備

医療情報での 利用機会はあるか？

○個人情報の保護の強化

トレーサビリティの確保・・第三者提供時に提供・受領側共に提供の年月日取得経緯等の記録義務化 提供罪の新設・・・・・・・・・・個人情報データベース等を扱う者が、不正な利益を図る目的で提供し、 又は盗用する行為を処罰。

全ゲノムデータは？

5

本人

事業者C

事業者A 個人情報

同意を得て取得

匿名加工 情報

個人情報

個人情報

事業者B

匿名加工 情報

個別化したサービス の提供が可能

疫学研究等に 活用可能

特定の個人を識別することができる記述等を削除

本人同意を取得した上で第三者提供

代理機関（仮称） 信頼できる者が、医療情報から匿名情報を生成

本人同意必要なし

6

匿名化のために削除された個人識別符号の照合が禁止

個人情報の取扱い（イメージ）