2022年4月から改正個人情報保護法が施行される。その改正の議論に関わり、パーソナルデータに関する検討会のメンバーでもある国立情報学研究所(NII)の佐藤一郎教授による懇談会が12月8日(水)に開催。施行にあたり学術研究機関などが留意すべきポイントについて説明された。
■2020年改正と2021年改正が2022年4月から施行
今回は2020年に国会で可決した改正法と2021年に可決した改正法が2022年4月から施行される。2020年改正では仮名加工情報の導入など現行法の拡張が行われ、2021年改正は個人情報保護制度を官民で一元化するという大幅な変更が行われる。
■法施行を前にして遅れる対応
この法施行により国立大学でも民間規律が適用されるようになり、私立大学も個人情報の学術研究利用に関わる規律の大幅な変更が求められる。しかし、施行を目前にして国立大学などの準備は遅れており、私立大学も個人情報の学術研究利用に関わる自主的な措置の変更が進んでいないというのが現状である。
■個人情報から特定の個人を識別できないよう加工
2020年改正では仮名加工情報への対応が求められる。仮名加工情報とは企業や大学が所有する個人情報について、その情報から特定の個人を識別できないよう加工すること。この加工により当初の利用目的を変えたデータの利用が許可される。ただし、「加工しても第三者への情報の提供は許されない」、「その情報を調べて個人の特定をしない」などの決まりが設けられている。
■個人情報に関する規律を一元化
2021年改正では、行政機関、独立行政法人、地方公共団体で統一されていなかった個人情報に関する規律が一元化される。また、学術分野や医学分野の規制を統一するため、国公立の大学などは民間事業者と同等の規律が適用されることになる。さらに、学術研究のために個人情報を利用する際、従来は一律で適用除外になっていたが、施行後は個別の義務規定ごとに精緻化された例外規定を整備する。
■国立大学は民間事業者に対する規律に移行
2021年法改正により、学術分野および医療分野の独立行政法人（国立大学、大学共同利用機関法人、研究開発法人、国立病院機構、公立大学など）は、2022年4月から原則として現行の個人情報保護法が定める民間事業者に対する規律に移行する。
■学術研究利用における適用除外に関する改正
これまで一律に適用除外となっていた、学術利用する個人情報は、利用目的ごとに細かい規定を策定し、今後は私立大学も既定の変更が必用とされる。具体的には「利用目的による制限」「要配慮個人情報の取得」「第三者提供の制限」に関しては従来よりも規定が厳しくなり、「安全管理措置等」「保有個人データの開始時」については民間事業者と同様の規定が求められることになる。
■個人の権利利益を不当に侵害する恐れがある場合を除くことが条件に
民間事業者が学術研究機関に個人データを提供する際、学術研究機関が学術研究目的で使用する場合は同意なしに渡しても良いことになっている。ただし、現行法では学術利用ならば無条件で許されたが、施行後は細かく分類して制限が加えられる。さらに、プライバシーを守るため「個人の権利利益を不当に侵害する恐れがある場合を除く」という文章が、全ての規定に入っている。
■法律に上乗せする形で自主的な規律を制定
また、法律で規定されたことだけでなく、自主的な規律の制定が重要なポイントとなる。自主的な規律の制定は努力義務として課せられたものだが、法律に対して上乗せする形となる。例えば、民間事業者から学術研究用に同意なしでデータをもらうことが許されているが、必ず同意をもらうようにするなど、どのような自主規範を設けるかは組織としての判断に任される。
■大学などの早い対応を求める
この自主的な規律の制定には時間がかかることが予測される。大学には早い段階での準備が求められるが、その対応に遅れがみられる。4月以降、自主規定を整備していない大学は個人情報保護委員会から行政指導を受ける場合がある。そこで、経産省・総務省がまとめた「DX時代における企業のプライバシーガバナンスガイドブック」を参考にしながら進めていくことを勧めている。
