2021-04-27 第204回国会 参議院 内閣委員会、総務委員会連合審査会 第1号
匿名加工情報を作成するときには、特定の個人を識別することができないように、また個人情報を復元することができないように加工しなければならないこととされており、その具体的な基準は個人情報保護委員会規則で定められております。
匿名加工情報を作成するときには、特定の個人を識別することができないように、また個人情報を復元することができないように加工しなければならないこととされており、その具体的な基準は個人情報保護委員会規則で定められております。
二 匿名加工情報及び仮名加工情報の規定の趣旨が個人の権利利益の保護を図りながら個人情報の利活用を行うものであることに鑑み、個人情報取扱事業者が匿名加工情報及び仮名加工情報を作成する際に必要となる基準を個人情報保護委員会規則で定めるに当たっては、個人の権利利益の保護と個人情報の利活用との均衡について十分に配慮すること。
二 匿名加工情報及び仮名加工情報の規定の趣旨が個人の権利利益の保護を図りながら個人情報の利活用を行うものであることに鑑み、個人情報取扱事業者が匿名加工情報及び仮名加工情報を作成する際に必要となる基準を個人情報保護委員会規則で定めるに当たっては、個人の権利利益の保護と個人情報の利活用との均衡について十分に配慮すること。
ただいま御紹介のございました仮名加工情報につきましては、新しく導入された概念でございますので、今後、周知、広報も非常に大事だというふうに思っておりますが、その具体的な必要な基準につきましては、個人情報保護委員会規則で定めることになっております。 その基準といたしましては、例えば、氏名等の個人情報に含まれる特定の個人を識別することができる記述等を削除すること等を予定をしております。
もう少し具体的な例もお伺いしたいんですが、この第二十二条の二に定められている個人情報保護委員会規則で定めるものが生じたときは、報告の義務化の対象となるということがございました。先ほどそこの部分についても具体的な例示をされながら御答弁いただいたと思うので、その部分をちょっとお願いいたします。
二十二条の二第一項の本文におきまして、個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならないというふうに定められております。
具体的には、もう今御指摘いただいていますが、行政機関などが保有する個人情報については、特定の個人が識別することができないよう匿名加工を行う非識別加工情報制度が設けられておりまして、その加工は、個人情報保護委員会規則が定める個人識別符号の削除や特異な記述の削除などの基準に従うこととなっています。
具体的には、行政機関などが保有する個人情報について、特定の個人が識別することができないよう匿名加工を行う非識別加工情報制度が設けられておりまして、その加工とは、個人情報保護委員会規則が定める個人識別符号の削除や特異な記述の削除などの基準に従うこととなっているわけでありまして、非識別加工情報の提供を受けた事業者が他の情報と組み合わせ個人を特定する識別行為が禁止をされているわけでありまして、個人情報保護
その加工は個人情報保護委員会規則が定める基準に従うとともに、提供を受けた民間事業者は識別行為が禁止されるなど、個人情報の保護のための十分な規律が設けられており、御懸念は当たらないものと認識しています。（拍手） ─────────────
個人情報保護法に規定された匿名加工情報、これを作成する際の基準につきましては個人情報保護委員会規則で定められてございます。具体的には、個人識別符号を含む個人情報から匿名加工情報を作成するためには、この規則におきまして、個人識別符号の全部を削除することとされております。
これらを踏まえまして、市区町村は、マイナンバー法及び特定個人情報保護委員会規則に基づき特定個人情報保護評価書を作成し、第三者による点検等を経た上で個人情報保護委員会に提出した後、速やかに公表する等の対応を取ることとされております。
この点に関しまして、個人情報保護委員会規則では、サンプリングという加工手法を具体的には規定しておりませんで、個人情報保護委員会事務局のレポートにおいて例示をしているところでございます。 こうしたことから、国の加工基準の内容と実質的に異なるものではないわけではございますが、地方公共団体の判断により、加工手法を規則で明確に規定することも想定されるところでございます。
これにおきましては、その作成を外部に委託することも可能でございますけれども、委託を受けました民間事業者につきましても、行政機関同様、個人情報保護委員会規則で定める基準に従いまして、行政機関非識別加工情報等の漏えい防止のために必要な安全確保措置を講ずることが義務づけられております。
ただ、他方で、この一連の民間事業者から提案を受けて契約締結、作成するというプロセスにおきまして、例えば提案募集の段階、あるいは契約締結の段階、それから非識別加工情報の作成の段階、これはそれぞれ個人情報保護委員会規則等の定めるところによって行うということになっておりまして、行政機関がそういう意味では恣意的にこれを運営するというような可能性は排除されるということになっているものでございます。
○国務大臣（高市早苗君） この非識別加工情報ですが、個人情報保護委員会規則で定める基準に従って個人情報を適切に加工するということによって特定の個人を識別できないものとなりまして、安全な形で民間事業者に提供されるものです。
○石上俊雄君 そこで、改正案の第四十四条の十で、「行政機関の長は、」「個人情報保護委員会規則で定める基準に従い、当該保有個人情報を加工しなければならない。」とあるわけでございますが、今まで総務省の研究会の議事要旨を、研究会が開かれていて、その要旨をちょっと見させていただいたわけでございますが、匿名化手法自体の議論はほぼなかったんじゃないかなというふうに読み取れるわけでございます。
新個人情報保護法の全面施行日を定める政令は未制定でございますが、仮に区切りのよい来年四月一日施行といたしました場合、今国会で行政機関等個人情報保護法改正案が成立いたしましても、更にその後、その委任を受けた政令及び個人情報保護委員会規則を意見公募手続も経た上で策定する作業が必要であり、それに加えまして、制度の周知期間が一定程度必要となります。
これについては、先ほど島田理事からもお話ありましたけれども、匿名加工情報の加工方法については、個人情報保護委員会規則において、氏名を削除する、住所の市町村以下を削除する、あるいは生年月日を年代に置き換える等の、こういうふうな大ざっぱな、これで本当に大丈夫なのかなというふうな基準しか示されておらないと、こういう状況であります。
四 個人情報保護委員会は、本法を含む個人情報保護法制及び個人情報保護委員会規則の適切な運用に努めるとともに、事業者や関係団体に対し、利活用に資する情報を提供する等、必要な支援を行うこと。
こうした上で、このような個人情報保護委員会規則に加えまして、事業の特性でありますとか取り扱うデータの内容に応じた詳細なルールにつきましては、民間の場合には、認定個人情報保護団体が定める個人情報保護指針等の事業者の自主的なルールに委ねることも想定をしてございます。
行政機関非識別加工情報の作成につきましては、本法案第四十四条の十におきまして、今委員御指摘の個人情報保護法第三十六条第一項と同様に、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならないこととしている、同様のものであるということでございます。
四十四条の九、契約の締結というところに、「第四十四条の七第二項の規定による通知を受けた者は、」これは審査を通った人ですね、「個人情報保護委員会規則で定めるところにより、行政機関の長との間で、行政機関非識別加工情報の利用に関する契約を締結することができる。」というふうにあります。
二 匿名加工情報の規定の趣旨が個人情報の利活用を促進するものであることに鑑み、個人情報取扱事業者が匿名加工情報を作成する際に必要となる基準を個人情報保護委員会規則で定めるに当たっては、その趣旨について十分に配慮すること。
○甘利国務大臣 地方公共団体は、番号法の委任を受けた特定個人情報保護委員会規則に従って適切に評価を行っているところであります。 したがいまして、評価書について委員会の承認を得ていないことは、番号法違反に当たらないものと考えております。
○向井政府参考人 ここには、例示といたしまして、「専ら当該行政機関の長等の職員又は職員であった者の人事、給与又は福利厚生に関する事項を記録するものその他の特定個人情報保護委員会規則で定めるものを除く。」と書いてございますので、法の、この特定個人情報保護委員会規則で定めたものについては除かれるということでございます。
「特定個人情報ファイル（専ら）」とありまして、「その他の特定個人情報保護委員会規則で定めるものを除く。」と書いてございます。この括弧書きの特定個人情報保護委員会規則におきまして、そういう今事務局長が述べましたような手続をした地方自治体の評価につきましては、ここから、そのファイルそのものから除かれている、そういう法律上の仕組みになってございます。
また、例えば生徒数が極端に少なく、学校単位での平均点等の公表によって個人が事実上特定される可能性があるような場合には、個人情報保護委員会規則で定めた基準に従い、特定の個人を識別できないように当該個人情報を加工しなければならないということになります。ただし、法律上は、例えば匿名加工情報を基に学校ごとの平均点等の公表も可能となることになります。
また、改正法案では匿名加工情報の作成方法や安全管理措置の基準等が個人情報保護委員会規則で定められることになっているところ、消費者庁としては、匿名加工情報に係る制度設計が消費者の理解を得られるものとなり、消費者の安心、信頼を損なわないよう運用されることが重要であると認識しております。
記録作成が必要となる場合における具体的な記録の作成方法、記載事項につきましては個人情報保護委員会規則で定めることとしておりますが、衆議院の審議の際にもこれが中小企業者に過度な負担を与えるものではないかという御質問が多数ございまして、この附帯決議になったものと認識してございます。
本法案では、個人情報保護委員会規則で定める基準に従い、個人を識別することができないよう加工し、復元することができないようにしたものを匿名加工情報と言っております。
次に、九項ですか、いわゆる匿名加工情報、これにつきましても、本法案で個人情報の利活用を促進する観点から特定の個人を識別することができないようにする、個人情報を加工したいわゆる匿名加工情報の規律が設けられておりますが、先ほどの衆議院の附帯決議では、この匿名加工情報につきまして、個人情報保護委員会規則で基準を定めるに当たっては、効果的な利活用に配慮するとありますが、これ、具体的に今後どういうふうにしていくか