高木浩光＠自宅の日記

■ 行政機関等パーソナルデータ制度改正に対するパブコメ提出意見（パーソナルデータ保護法制の行方 その18）

行政管理局情報公開・個人情報保護推進室から、「行政機関及び独立行政法人等が保有するパーソナルデータの利活用に係る制度改正に関する意見募集」が出ていた。

○意見募集の対象

行政機関及び独立行政法人等につきましては、
1 国民の信頼や安心を確保するために必要な規律を整備すること、
2 官民間での円滑なパーソナルデータの利活用に資すること
を基本的な考え方として検討を進めています。

つきましては、以下の事項について、御意見を募集いたします。

1 行政機関及び独立行政法人等の保有するパーソナルデータについても、その利活用を図るため、民間部門と同様に、特定の個人が分からないように加工された情報（匿名加工情報）の仕組みを設けること。

2 「匿名加工情報」の仕組みを設けるに当たっては、国民の信頼や安心を確保するために必要な規律を整備すること。

3 官民間で「匿名加工情報」の利活用が図られるように、行政機関及び独立行政法人等における「匿名加工情報」の取扱いについて、民間部門と同様に、新設される「個人情報保護委員会」が監督すること。

4 その他、本件制度改正について

今日が締切だったので、取り急ぎ以下の意見を書いて提出した（個人扱いで）。

意見1 行政機関及び独立行政法人等の保有するパーソナルデータについては、民間部門と同等の「匿名加工情報」の制度を設けずとも同等の利活用は可能であり、「匿名加工情報」の制度を設ける必要性がない。

理由

今般の個人情報保護法の改正によって創設された「匿名加工情報」の制度では、「匿名加工情報」となり得るのは、同法の「個人情報」に該当しないデータのみであるとされている（第189回国会会議録参議院内閣委員会第10号向井治紀政府参考人答弁より）ことから、この「匿名加工情報」に該当するデータは、改正前であっても非個人情報であって、何ら規制されておらず、元々利活用できるデータだということになる。

それにもかかわらず今般の法改正が行われたその意義は、従前、民間部門においては、加工したデータが非個人情報に当たるのか否かを事業者が自ら判断することが容易でない「グレーゾーン」があるとされ、そのことが利活用を妨げてきたとして、そのグレーゾーンの解消を図る目的で、この「匿名加工情報」の制度が設けられたものと理解できる。

それに対して、行政機関においては、加工したデータが非個人情報に当たるのか否かは、自ら判断するべきものであって、解消すべきグレーゾーンは存在していないと言うべきである。このことから、利活用は法改正を待つまでもなく現行法下において可能であり、民間部門と同等の「匿名加工情報」の制度を設ける必要性がない。

意見2 行政機関個人情報保護法及び独立行政法人等個人情報保護法（以下「行個法」と言う）に、民間部門と同等の「匿名加工情報」の規定を導入する場合には、対象とする元データを行個法における「個人情報ファイル」を構成する個人情報に限るものとするべき。

理由

民間部門では、第三者提供の禁止等の規制は、「個人情報データベース等」を構成する個人情報（「個人データ」）に限られているところ、今般の個人情報保護法改正によって創設された「匿名加工情報」に係る規律対象も、同様に「匿名加工情報データベース等を構成するものに限る」（36条1項括弧書き）とされている。

それに対し、行個法においては、目的外提供の禁止等の規制は「保有個人情報」を対象とし、「個人情報ファイル」を構成しない個人情報（いわゆる「散在情報」）も含めて対象としており、民間部門とは大幅に異なる規律体系となっている。

もし、行個法において散在情報まで対象として「匿名加工情報」の制度を設けるとすれば、民間部門における法改正の議論では想定されなかった匿名加工のあり方を検討する必要が生じるものと予想される。

民間部門では、匿名加工情報の作成方法に関する技術的検討（パーソナルデータ検討会の技術検討WGでの検討）は、暗に、散在情報を含まないデータベース情報（行個法においては「個人情報ファイル」がこれに当たる）を前提として議論が行われてきたのであり、散在情報の匿名加工のあり方に関する考え方は確立していない。

例えば、匿名加工の方法として「k-匿名化」を想定するとき、散在情報として存在する1個の独立した保有個人情報に対して「k-匿名化」を施そうとしても、1個しか存在しないデータに対する「k-匿名」の概念はそもそも観念し得ない。

行政機関等パーソナルデータ研究会においても、散在情報の匿名加工のあり方は議論されていないのであるから、この段階で、散在情報を含む個人情報を元にした「匿名加工情報」の制度を創設するのは早計である。よって、行個法に民間部門と同等の「匿名加工情報」の規定を導入する場合には、対象とする元データを「個人情報ファイル」を構成する個人情報に限るものとするべきである。

これら意見の狙いについては、次回「その19」以降で書いていく予定。

追伸

時間がなかったので書かなかったが、以下の3つ目の意見も出してもよかったかもしれない。

意見3 新設される「個人情報保護委員会」の監督対象は、「匿名加工情報」の取扱いに限定するのではなく、行政機関及び独立行政法人等による個人情報の取扱いのすべてとするべき

理由

意見1の通り、民間部門と同等の「匿名加工情報」の制度は、そもそも設ける必要性がないのであり、設けないことにすれば、「個人情報保護委員会」の監督対象を「匿名加工情報」の取扱いに限定するとする屁理屈が通用しなくなるため、そうするほかない。