高木浩光＠自宅の日記

■ 個人情報ファイル概念が欠如している自治体条例（パーソナルデータ保護法制の行方 その27）

昨日、情報処理学会のEIP研究会で以下の発表をしてきた。

• 個人情報保護条例における「個人情報ファイル」概念の意義とその無整備状況の調査, 情報処理学会研究報告, Vol.2017-EIP-75, No.2, pp.1-6
• 同 口頭発表スライド, 2017年2月17日

内容は、データ利活用のためには「個人情報ファイル」概念が不可欠なのに、自治体の個人情報保護条例を調べたところ、「個人情報ファイル」概念を定義している自治体は3割にも満たなかったというもの。

実はこの話は、12月の規制改革会議投資等WGの第6回で、JUMPからの意見として森田先生に代わって話したことの続報である。

• 第6回投資等WG意見「参考1」（2ページ目以降），2016年12月15日
• 第6回投資等ワーキング・グループ議事録

そのときは、取り急ぎ都道府県の条例についてだけ手作業で調べ、以下のように、「個人情報ファイル」概念を定義しているのは7団体しかないとしていた。

行個法とほぼ同じ「個人情報ファイル」を規定している都道府県は、福島県、栃木県、埼玉県、山梨県、山口県の5団体のみ。電算処理ファイルのみ規定している（マニュアル処理ファイルを入れていない）都道府県が、青森県（「個人情報電算ファイル」）と三重県（「電子個人情報ファイル」）の2団体。罰則の部分のみで定義文が一応存在してはいる都道府県が、秋田県、静岡県、京都府、大阪府、奈良県、香川県、愛媛県、佐賀県、熊本県、鹿児島県の10団体で、残り30団体には「個人情報ファイル」の定義が存在しないという状況。

第6回投資等WG意見「参考1」, 脚注1

この後、市区町村を含めた全国の自治体について調べようと思い立ち、情報セキュリティ大学院大の湯浅墾道先生のところで収集されている1726団体の個人情報保護条例のPDFファイルをお借りし、プログラムで自動集計を試みていた。いつもなら日記に書いてしまうところだが、日記だと論文から引用し辛いとの声をしばしば聞くので、すぐに出せる場ということでEIP研究会に発表申込みをしたのだった。

規制改革会議で述べた意見は、以下のものであった。

個人情報保護条例の不統一がデータ利活用を阻害する要因と統一に向けた解決方法

○ 個人データの円滑な利活用のため、個人情報保護法制上の手当てが必要となるケースには、次の2つがある。

A) 保険医療情報の利活用等、その目的からして、個人データのまま取り扱う（仮名化データで取り扱う）必要があり、必ずしも本人の同意を得ることができない場合であっても利活用すべき社会的意義があるケースについて、個人情報保護法制の趣旨に沿って適法と言える取扱いルールを構築する必要性。

B) 保険医療情報に限らず、公的機関（地方公共団体を含む）が保有している様々なデータを、非個人データ化して、本人同意を要することなくオープンデータとして利活用するケースについて、どのようなデータ加工を行えば非個人データ化がなされたと言えるかという、個人情報保護法制上の解釈を確定させる必要性。

○ B)の観点から、行政機関個人情報保護法（行個法）が定義する「個人情報ファイル」（民間部門では「個人情報データベース等」がこれに相当）について、これを本人同意を要しないデータに加工するとき、少なくとも当該機関において「非個人情報ファイル化」されたと言えるための要件を明確にする必要があるが、現在のところ以下の2つの問題がある。

① （略）

② 地方公共団体においては、そもそも「個人情報ファイル」の定義を個人情報保護条例に設けていない団体がかなり多い。「個人情報ファイル」の定義がなければ、「非個人情報ファイル化」の概念も画定せず、上記B)の利活用は不可能²となっている。モデル条例を用意して、全ての地方公共団体が同じ定義条文を導入したとしても、その解釈権が各地方公共団体にある限り、安定した解釈は得られないと予想される。前記①の通り、国の行個法でさえその解釈を巡って混乱が生じている状況である。

○ 民間部門と公的部門とで「個人情報」の定義を揃えて欲しいとの経済界からの声があるが、これには困難がある。公的部門には情報公開制度があり、個人情報に相当するものが不開示情報として規定されているところ、民間部門には情報公開の制度はない。民間部門での「個人情報」定義に合わせて公的部門の定義を変更すると、情報公開制度にも影響を及ぼすことが問題だとする批判がある。（図1）

○ そこで、解決方法として、「個人情報」に係る規律と「個人情報ファイル」に係る規律を分けて整理してはどうか。すなわち、「個人情報」という一つひとつの情報を単位とした「非個人情報化」の概念と、「個人情報ファイル」という集合物の単位での「非個人情報ファイル化」の概念は別であるということ。利活用のための加工方法は、前記脚注2の通り、後者の「非個人情報ファイル化」が基準の拠り所となるのであり、情報公開法制における部分開示の方法（氏名等を墨塗りする）とは異なる加工の考え方が必要となっている。

第6回投資等WG意見「参考1」

「前記脚注2の通り」のところは、今回のEIP研究会では以下のスライドで説明した。

行政機関個人情報保護法の改正で導入される匿名加工情報（非識別加工情報を含む意味で）の加工基準は、個人情報保護委員会規則で定められることになっていて、民間部門で「個人情報データベース等」とされていた部分は、「個人情報ファイル」に置き換えられるはずだと予想していたところ、ちょうどEIP研究会の3日前に案が公表されパブコメにかけられ、予想は当たりであった。

そもそも、匿名加工情報は散在情報に対しては観念し得ない概念である。個人データを匿名化（仮名化ではなく）して利活用することは、欧米でもここ数年盛んに議論されてきたところであるが、いずれも、一つのデータセット（複数の個人データの並び）を対象として、標本一意とか、k-匿名とか、差分プライバシーといった概念が議論されてきたわけである。散在情報であるところの独立した1個の「個人情報」についてそれらを観念することはできないし、初めから誰もそういう話をしていない。

前回の日記で軽く触れたように、民間部門についてIT室が立案した最初の案文（2014年9月22日時点）では、定義を、「この法律において「匿名加工データ」とは、……」と、「匿名加工データ」の語を用いていたわけであり、これは、データセット単位で観念し得る概念であることを当然の前提としていたからこそであろう。

それにもかかわらず、内閣法制局の指摘により、「匿名加工データ」が「匿名加工情報」に変更させられてしまったのは、「個人データ」が、「個人情報」→（その集合物であって検索できるように体系的に構成）→「個人情報データベース等」→（それを構成する要素）→「個人データ」という順番で定義されているが故に、それとパラレルにしないとおかしいという指摘が入るのは理解できるところで、「匿名加工情報」→「匿名加工情報データベース等」→「匿名加工データ」と定義せよという指摘になったのだろう。しかし、それはさすがに煩雑すぎて無駄（実際、「匿名加工情報」と「匿名加工データ」を区別して規定する場面が改正法には存在しない。）なので、「匿名加工情報」だけ定義して、「（匿名加工情報データベース等を構成するものに限る。以下同じ。）」として簡略化した結果、「匿名加工データ」の語は出てこなくなってしまった。

これは単なる名称の問題ではない。民間部門における「匿名加工情報」の規定ぶりは、義務対象となる作成される情報こそ「匿名加工情報データベース等を構成するものに限る。」としているが、データソースを「個人情報データベース等」に限るとはどこにも書いていないのである。後から思えば、2条9項は次のように規定するべきだったとも言える。

---

---

開示資料を見る限り、こうした案は出ていなかったようだ。

私としては、改正案が出たとき、匿名加工情報が散在情報までデータソースとする制度と曲解されるのではないかとの一抹の不安を覚えつつも、大した問題ではなかろうと放置した（そもそも、民間部門は散在情報は規律の対象外であるというのが私の立場なので）が、行政機関個人情報保護法の改正では、散在情報が法の対象であるから、このことが現実に懸念されるものとなった。行政管理局の「行政機関等が保有するパーソナルデータに関する研究会」での検討で、当初、誰も散在情報（個人情報ファイルを構成しない保有個人情報）と処理情報（個人情報ファイルを構成する保有個人情報*1）の違いに触れないので、心配になって、何人かの関係者に「データソースは個人情報ファイルに限るのですよね？」としつこく釘を刺していた*2し、パブコメのときにも、「対象とする元データを行個法における「個人情報ファイル」を構成する個人情報に限るものとするべき」とする意見を出していた（2015年10月20日の日記の「意見2」）。

その点、出来上がった改正行政機関法は、「行政機関非識別加工情報」を以下のように定義し、データソースを個人情報ファイルとすることが明確にされていた。

---

---

これが、民間部門での定義ぶりの失敗を踏まえて改善された結果なのか、他の要因でたまたまこうなったのかはわからないが、いずれにせよ、データソースが個人情報ファイルに限定されることが明確にされて、たいへん良かった*3。

民間部門ではこの点が法に規定されなかったわけだが、前掲の図1の通り、匿名加工情報の作成の方法に関する基準であるところの個人情報保護法施行規則19条が、その第5号で、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、」と規定した結果、加工元の「個人情報」が「個人情報データベース等」に含まれるものであることを当然の前提として明記されたのである。

ここで、民間部門の「個人情報データベース等」と公的部門の「個人情報ファイル」が概念的に異なるものであるところが論点となる。このことについては、施行規則（案）のパブコメにおいて、JILISから以下の意見を出していた。

意見27 【規則19条5号】差異を勘案すべき他の個人情報は一つのデータセットを対象とすれば足りるのかそれとも事業者が保有する全個人データを対象としなければならないのか

規則19条5号は、「個人情報に含まれる記述等」と「他の個人情報に含まれる記述等」との差異その他の性質を勘案せよとしているところ、差異を勘案すべき「他の個人情報」を、「当該個人情報を含む個人情報データベース等を構成する」ものと規定している。ここで、「個人情報データベース等」が何を指すのかが問題となる。

個人情報保護法における「個人情報データベース等」は、行政機関個人情報保護法（行個法）における「個人情報ファイル」とは異なる概念である。行個法の「個人情報ファイル」が、「一定の事務の目的を達成するために……ことができるように体系的に構成したもの」と定義され、行個法10条でファイルごとに名称と利用目的の管理が求められているように、用途ごとに一つのファイルとして観念されるものであるのに対し、個人情報保護法の「個人情報データベース等」は、定義に「一定の事務の目的を達成するために……」との要件がなく、用途ごとの管理が求められないものであり、「データベースの単位については、……通例は事業者が単位となり、……1つのシステムとしてとらえられることとなる。」（園部逸夫編 個人情報保護法制研究会著『個人情報保護法の解説』（ぎょうせい、改訂版、2005年）51頁）とされている。 この理解からすれば、本号が「当該個人情報を含む個人情報データベース等を構成する他の個人情報」との対比を求めているのは、当該個人情報取扱事業者が保有する全個人データとの対比を求めていることになるのではないか。しかしそれは現実的ではない。

匿名加工情報の制度趣旨からすれば、本来、行個法の「個人情報ファイル」のように、一定の事業の目的のためにファイル化されたデータセットを基に、それぞれの要素データを加工することが想定されていたはずであり、当該データセット以外の事業者内個人データとの対比は求められていないはずではないか。本号の規定も、「個人情報ファイル」といった用語を用いて規定すべきだったと考えるが、個人情報保護法にない概念であることから、簡単にはそうすることはできなかったものと推察する。

そうであれば、ガイドラインやQ&Aにおいて、本号の趣旨が、事業者内の全個人データとの対比を求めるものではなく、一定のデータセットを対象として対比を求めるものであることを、明らかにされたい。

「個人情報の保護に関する法律施行令の一部を改正する政令（案）」及び「個人情報の保護に関する法律施行規則（案）」に対する意見, 情報法制研究所個人情報保護研究タスクフォース, 2016年8月31日

この、民間部門の「個人情報データベース等」が、公的部門の「個人情報ファイル」とは異なり、事業者で1個というどんぶり勘定にされたのは、2003年の法制定時に、民間に対して「個人情報ファイル」単位での利用目的の特定をさせることは「負担が大きい」との配慮からとされているが、このようなぼんやりした規定にした結果、かえって色々な混乱が生じており（例として、2015年1月5日の日記の「誤解4「公表文書としての利用目的を本人同意なく変更してはならない」という誤解」を参照）、私は、次の改正で何らかの方法で「個人情報ファイル」への統一を目指すべきと考えているが、それはともかく、この提出意見に対する個人情報保護委員会の「御意見等に対する考え方」は以下のものであった。

本規則案第19条第5号に定める加工基準等の内容はガイドライン等において解説してまいります。なお、御指摘のとおり、同号は事業者内の全個人データとの対比を求めるものではなく、一定のデータセットを対象として対比を求めることを想定しています。

この件はガイドラインには書かれなかったが、一昨日、個人情報保護委員会のQ&Aが公表され、そこに「Q11-9」として、以下のように明記された。

• 「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A, 2017年2月16日

  Q11-9 施行規則第19条第5号において、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し」とありますが、ここでの「当該個人情報を含む個人情報データベース等」については、事業者が保有する個人情報データベース等全体を勘案する必要がありますか。

  A11-9 ここでの「当該個人情報を含む個人情報データベース等」とは、当該個人情報取扱事業者が匿名加工情報を作成する際に加工対象とする個人情報データベース等を想定しています。すなわち、匿名加工情報を作成する個人情報取扱事業者が保有する加工とは無関係の個人情報を含む全ての個人情報データベース等の性質を勘案することを求めるものではありません。

この回答も、答えているようでよく見ると答えていないとも言える。本当は、公的部門における「個人情報ファイル」相当の概念を用いて説明すべきだと思うが、民間部門にはその概念がないため、こういうぼんやりとした答え方*4になってしまう。

このように、匿名加工情報（というよりも、前記のように「匿名加工ファイル」とか「匿名加工データ」と言うべきなのだが）の概念には、そのデータソースを特定するものとして、また、加工方法の基準の基礎として、「個人情報ファイル」の概念が不可欠なのである。

それなのに、自治体の個人情報保護条例を調べると、29%の自治体にしかこの概念が存在しない。有能な職員が揃っているはずの都道府県の条例では、15%とさらに半減する。

昨年の行政機関個人情報保護法の改正で、国会審議では、自治体にも非識別加工情報の制度を導入させるのかという質問が出ており、政府参考人は「趣旨を丁寧に情報提供するなどして、適切な対応をしたい」と繰り返し答弁していた*5。

これを踏まえて、昨年9月から秘密裏に開催されていたのが、自治行政局の「地方公共団体が保有するパーソナルデータに関する検討会」*6である。第2回会合で、東京都の情報公開課が「行政機関個人情報保護法等の改正対応への実務的課題〜東京都の検討状況〜」と題して話をしているのだが、この東京都こそが、「個人情報ファイル」を定義していない代表格である。

その資料2を見ると、こんなことが書かれている。

• 行政機関個人情報保護法等の改正対応への実務的課題〜東京都の検討状況〜, 東京都生活文化局広報広聴部情報公開課, 2016年11月28日
  

「非識別加工情報」について「個人情報ファイル概念を採用していない場合の対応」として、個人情報ファイル概念がないことが問題となり得ることを認識しつつも、「取扱事務の届出・登録制度」としか捉えられておらず、「個人情報ファイル簿又は個人情報取扱事務の届出・登録等を実施」で解決すると思っている様子がうかがえる。

たしかに、「行政機関非識別加工情報」は、「個人情報ファイル簿」（行政機関法11条1項）に登録されているものを対象に、利活用したい民間事業者に提案を募集するのであるから、まず「個人情報ファイル簿」の存在が必要となるのであるが、東京都は「個人情報取扱事務の届出・登録」で代用できると考えているフシがある。

同じ回の資料4には、自治行政局が作成した資料として、以下の記述がある。

「個人情報ファイル簿」の未作成はわずか7.6%であり、「多くの地方公共団体において個人情報の記録項目等を記載した個人情報ファイル簿等（個人情報取扱事務登録簿を含む。以下同じ。）が公表（略）されており、」としている。

ここで、「個人情報取扱事務登録簿」というのは、「個人情報ファイル」概念を持たない自治体が、「個人情報ファイル簿」に類するものとして規定したもの（もしくは、昭和63年法ができる前から「個人情報取扱事務登録簿」を規定していた？*7）で、例えば、大阪府個人情報保護条例の場合、以下のように規定されている。

第6条 実施機関は、個人情報を取り扱う事務（以下「個人情報取扱事務」という。）について、次に掲げる事項を記載した個人情報取扱事務登録簿（以下「登録簿」という。）を作成し、一般の縦覧に供しなければならない。
一　個人情報取扱事務の名称
二　個人情報取扱事務を所掌する組織の名称
三　個人情報取扱事務の目的
四　個人情報の対象者の範囲
五　個人情報の記録項目
六　個人情報の収集先
七　前各号に掲げるもののほか、実施機関の規則（規程を含み、実施機関が警察本部長である場合にあっては、公安委員会規則をいう。以下同じ。）で定める事項

大阪府個人情報保護条例

この規定ぶりだと、事務の名称や目的などは明確にされているものの、散在情報なのかそれともファイルの形になっているのかが明らかでない。

「個人情報ファイル」とは、昭和63年法から規定されていた重要な概念であり、「保有個人情報を含む情報の集合物であって」「一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの」を言う。

この概念の重要性が平成15年改正で忘れられてしまったのか、現行の行政機関法の逐条解説書には、この概念について詳しいことが書かれていない。それに対し、昭和63年法の逐条解説書「逐条解説 個人情報保護法」（総務庁行政管理局行政情報システム参事官室監修, 第一法規, 1988年）」には、詳しいことが書かれていてたいへん興味深いものとなっている。

詳しいことは「行方 その3 散在情報と処理情報」で書く予定（まだ書いていない）だが、一つのキーワードは「処理情報の本人」という概念である。このことについて、昨日のEIP研究会での発表では以下のスライドを用いた。

前掲の逐条解説書には次の説明もある。

「他の個人の氏名、生年月日その他の記述又は他の個人別に付された番号、記号その他の符号」によってのみ検索できる場合には、処理情報の本人とすることは、適当でない。すなわち、個人Aに着目してAの個人情報を記録したファイルに、これと併せて個人Bの情報が記録されているファイル（例 著名人交友録）の場合で説明すれば、Bの氏名では検索できない場合に、BについてもAの氏名を使用して検索できるとすると、Aの個人情報の開示請求をBに認めることになるので、他人であるAの権利利益を侵害するおそれがあるからである。

総務庁行政管理局行政情報システム参事官室監修, 逐条解説 個人情報保護法, 第一法規, 1988年, 79頁

つまり、行政機関が保有する個人情報にはAやBのものがあるところ、これらは対称ではなく、「個人情報ファイル」としてリストに並べられている各行の個人（Aに相当）と、各行の中身に書かれている個人（Bに相当）とは別に扱うのだということである。

そして、匿名加工情報を作成するとき、標本一意とか、k-匿名とか、差分プライバシーといった概念が適用されるのは、Aの個人についてであり、Bには適用されない。これまで、幾つもの資料で、匿名加工の例が挙げられてきているが、属性情報中に他人の個人情報が書かれているものは誰もが取り上げていない。

このことは、2016年3月27日の日記の最後に「残る瑣末な論点」として書いていた以下の件である。

このような匿名加工情報の定義の論点について、書き足りていないことが2つある。

• 行政機関が保有する個人情報ファイルには、その各要素に、属性情報として他の個人についての個人情報が記載されているもの（これを「処理情報中のローカル散在情報」と私は呼んでいる。）が存在し、民間部門の匿名加工基準での匿名加工では、それが匿名化されない可能性がある。これが行政機関法では、散在情報としての保有個人情報に該当することになり、行政機関匿名加工情報ファイルに残存する可能性がある。しかし、前記の通り、提供前のチェック工程で保有個人情報の除去をすることで対処できる。
• （略）

これらについては、いずれ時間のあるときに書こうと思う。

前記図3の右のスライドでは、「好きなテレビタレントのアンケート結果」を例にしているが、この場合、テレビタレントの氏名は公表してよいものだとすれば、加工されることなく、匿名加工情報の有益な情報の一部としてそのまま提供されることになるだろう。それに対し、次の例の「世帯主と同居人のデータ」の場合、同居人の氏名は伏せなくてはならないだろう。これが、世帯主の氏名を削ることとは概念的に異なるものなのである。世帯主の氏名を削るのは、委員会規則の匿名加工基準の1号に基づく加工であるのに対して、同居人の氏名を削るのは、それではなく、情報公開法の部分開示（6条2項）に基づく「墨塗り・被覆等を行なって残りの部分を開示」によるものと言うべきである。*8

このようなケースの存在を考えれば、「個人情報ファイル」概念が不可欠であることがわかる。「個人情報ファイル」の概念は、昭和63年法の「処理情報の本人」の概念を導き出せるので、個人Aと個人Bを区別して扱うことができ、無事に上記のような匿名加工と墨塗りが行える。それに対し、「個人情報ファイル」概念がない条例では、たとえ「個人情報取扱事務登録簿」が整備されていても、個人Aと個人Bを区別することができず、標本一意とか、k-匿名とか、差分プライバシーといった概念を、個人Aに適用するのか、個人Bに適用するのか、それとも両方に適用するのか、定まらなくなってしまう。

こうしたことに自治行政局は気づいているのか。図2の資料では、「個人情報ファイル簿」について調査して、92.4%が整備済みとしているが、「個人情報ファイル」の整備状況について調査していない*9。少なくとも、東京都の情報公開課は、まるでわかっていない様子に見える。

こういう状況の中で、匿名加工情報の導入を、各自治体で条例を改正して対応するというのは、あまりにも無謀である。

こうした考察を背景に、規制改革会議で表明した意見では、次のように結論づけたのである。

以上から、行個法、個人情報保護条例、さらには民間部門についてデータ利活用のための統一を図るには、「個人情報ファイル」（民間部門では「個人情報データベース等」）に係る規律のみを国家法で統一（残りの散在情報に係る規律はこれまで通り、行個法や条例に残すこととする。）し、「個人情報ファイル」定義の解釈権（匿名加工の基準を含む）を個人情報保護委員会に一本化することが適切であり、また、矛盾なく実現可能であると考える。

第6回投資等WG意見「参考1」

なお、昨日のEIP研究会での発表では、「自治体において「個人情報ファイル」概念は必要なのか？」というご質問を頂いた。その質問の趣旨は、匿名加工情報制度の整備以前の話として、「個人情報ファイル」概念は必要とされていないから規定されていなかったのではないか？との意だと理解したので、次のように答えた。

個人情報ファイル概念の必要性の一つは、EUで言われるところのプロファイリングに係る権利への対応として必要なものである。この場合の「プロファイリング」とは、散在情報に対する個別の分析や推知のことを指すのではなく、一列に並べられた個人データに対して電子計算機が自動処理によって個人に対する判断を下すことに係るものであるから、処理情報の形になっていることが前提である。そして、昭和63年法の立法当時は、プロファイリングという語こそ用いていなかったものの、1970年代からEU諸国を中心に世界で始まったpersonal data保護の法制化は、そういうことを保護の理由の一つとしていたはずであり、日本法でもそれを趣旨に組み入れていたはずではないか。それが、平成15年全部改正で、情報公開法に併せて対象を散在情報に広げた結果、「個人情報ファイル」概念が「個人情報ファイル簿」のための機能のみに縮退してしまい、1980年代の趣旨が忘却されてしまったのではないか。そして今日、改めて、民間部門を含め、プロファイリングに係る権利への対応が要請されているのだから、今こそ昭和63年法の基本に立ち返るべきであり、自治体もこれに合わせるべきであろう。

この論点については、またいずれ詳しく書こうと思う。