« 2014年2月 | トップページ | 2014年4月 »

2014年3月

2014年3月24日 (月)

個人情報保護法23条の識別性判断基準と省庁指針

 個人情報保護法23条にいう「個人データ」の識別性判断基準について、提供先ではなく提供元を基準とする考え方が政府見解だと主張している人が居るようだ。本当であろうか。
 
省庁が策定したガイドライン(指針)の大部分は、この点に関する解釈について明確には触れていない。
 
数少ない例外として、厚生労働省の『医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン』(平成22年9月最終改正)がある。
 
「特定の患者・利用者の症例や事例を学会で発表したり、学会誌で報告したりする場合等は、氏名、生年月日、住所等を消去することで匿名化されると考えられる」として発表等を適法としている(7頁)。本文で引用した部分に続き、「症例や事例により十分な匿名化が困難な場合は、本人の同意を得なければならない。」としている。
 
「当該発表等が研究の一環として行われる場合」には同法50条1項に示す取扱いによるものとしている。したがって、上記で引用した取扱いは同法50条1項が適用されない場合についてのものである。
 
なお、「診療録等の診療記録や介護関係記録については、媒体の如何にかかわらず個人データに該当する。」(7頁)
 
同省『福祉関係事業者における個人情報の適正な取扱いのためのガイドライン』(平成16年11月)5頁もほぼ同趣旨を説く。
 
さらに、同省・文部科学省『疫学研究に関する倫理指針』(平成20年12月1日一部改正)は、30頁で、「連結不能匿名化又は連結可能匿名化であって対応表を提供しない場合」には、本人の同意がなくとも「所属機関外の者に提供することができる」とする。
 
これは、厳密には保護法の指針ではないが、当然のことながら保護法を踏まえているものと言えよう。提供先にとって非識別化されていれば、提供元にとって連結可能匿名化のままでも、提供先との関係において非識別化されていれば、同項の適用対象外となり、本人同意を要しないという解釈を示すものである。この場合における連結可能匿名化とは、提供元にとって対照表と照合しようとすれば照合可能であるような状態を指しているからである。
 
厚生労働省や文部科学省が政府見解に逆らっているとは思えない。これは、上記主張が事実ではないことを示している。(追記:存在もしていない政府統一見解に、気付かなかったことがあるのではというのも、非論理的にすぎる)
 
情報は正確でありたいものだ。
 
念のため、これらのガイドラインの原典へのリンクを明らかにしておく。
 
厚生労働省の『医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン』(平成22年9月最終改正)
 
同省『福祉関係事業者における個人情報の適正な取扱いのためのガイドライン』(平成16年11月)
 
同省・文部科学省『疫学研究に関する倫理指針』(平成20年12月1日一部改正)

| | トラックバック (0)

2014年3月18日 (火)

個人情報保護条例と個人識別性概念

個人情報保護条例における個人情報概念について、個人識別性に関する規定内容が千差万別に過ぎるという批判をする人がいる。本当にそれは事実であろうか。
 
各条例は、識別性を要件として定めている点で共通するが、照合による識別性を、(a)明記するものと、(b)明記しないものがある。さらに類型(a)は、行政機関個人情報法2条2項等と同様に、単なる照合で足りるとするもの((a)-1)と、個人情報保護法2条1項と同様に、照合容易性を明記するもの((a)-2)とに分かれている。
 
個人情報保護法において、照合容易性の要件は民間部門の事業者への過重負担とならないよう、義務の対象情報を限定するために設けられたものであること、行政機関個人情報法と区別する合理的理由がないことを考えると、条例における(a)-2の合理性には疑問がある。
 
(b)は「識別されたまたは識別されうる個人に関するすべての情報」と規定するOECDガイドラインに倣ったものであろう。同ガイドラインの解釈においては、「識別されうる」とは照合による識別性を含むものと考えられている。したがって、形式的な文言上の違いはともかくとしても、その実質的意味は(a)-1と同様である。なお、(b)のことを「照合除外型」と呼ぶ人も、一部にいるようだが、それは間違った理解である。(b)も照合による識別を除外していないからである。
 
このように、個人情報保護条例における個人識別性の規定内容は、実質的には2つに大別しうる。したがって、規定内容が千差万別に過ぎるという批判は間違っている。ただ形式上において違いがあるため、見かけの上で千差万別であるように感じられるに過ぎない。
 
ちなみに、定義規定の明確性、行政機関個人情報法との調和等を考慮すると、個人情報保護関係5法成立後の現在においては、(a)-1に統一されることが最も望ましい規定形式といえよう。

| | トラックバック (0)

« 2014年2月 | トップページ | 2014年4月 »