学校法務の研究室 : 個人情報保護法

2022年04月22日20:40

漏えい等の報告義務（個人情報保護法改正）

カテゴリ: 個人情報保護法

今日は、個人情報保護法の令和2年改正のうち、漏えい等の報告義務について整理してみます。

改正後の個人情報保護法26条1項で、個人データの漏えい、滅失、毀損等があった場合に、個人情報保護委員会への報告が義務付けられました。
報告義務を負うのは、漏えい等をした教職員ではなく、個人情報取扱事業者です。ここでは、学校法人のことだと思ってください。

これまでは、個人データの漏えい等があっても、個人情報保護委員会の告示で、努力義務として報告が求められていただけでした。
要するに、法的には、報告を強制されることはなかったということですね。

さて、改正法の下で報告義務が課されるのは、個人データの漏えい等のうち、次の(1)～(4)のいずれかに該当するものです。
いずれも、実際に漏えい等が生じた場合だけでなく、そのおそれがある場合も、報告義務の対象です。（個人情報保護法施行規則7条）
　(1)要配慮個人情報が含まれる個人データの漏えい等
　(2)不正に利用されることにより財産的被害が生じるおそれがある個人データの
　　漏えい等
　(3)不正の目的をもって行われたおそれがある個人データの漏えい等
　(4)1000人分を超える漏えい等

報告の期限は、次のとおりです。（個人情報保護法施行規則8条2項）
　・上記(1)、(2)、(4)の場合：漏えい等の発生を把握した時（又はそのおそれが
　　あると把握した時）から30日以内
　・上記(3)の場合：漏えい等の発生を把握した時（又はそのおそれがあると把握
　　した時）から60日以内

さらに、上記の(1)～(4)に該当する場合には、その個人データの本人にも通知をしなければなりません。
ただし、本人への通知が困難な場合には、本人の権利利益を保護するため必要な措置をとれば足りるとされています。（個人情報保護法26条2項）
「本人の権利利益を保護するため必要な措置」とは、事案の概要を公表し、問い合わせ窓口を設けることなどが考えられます。

細かいですが、漏えい等をした個人データが、他の個人情報取扱事業者や行政機関から委託を受けたものであるときは、速やかに委託元へ通知をすれば、個人情報保護委員会への報告は不要です。（個人情報保護法26条1項但書、施行規則9条）
個人情報保護委員会へは、委託元から報告すべき、ということですね。

なお、学校法人で個人データの漏えい等があったときの報告先は、個人情報保護委員会です。
個人情報保護委員会は、その権限を事業所管大臣に委任することができるのですが（個人情報保護法147条1項）、今のところ、学校法人に関する権限を文部科学大臣に委任することにはなっていません。

ご参考に、個人情報保護委員会が事業所管大臣に権限を委任しているのは、リンク先のとおりです。
＜権限の委任＞
https://www.ppc.go.jp/personalinfo/legal/kengenInin/
＜一覧表＞
https://www.ppc.go.jp/files/pdf/kengeninin_R4.pdf

では、学校法人での個人情報の漏えい事案は、どのようなものでしょうか。

なんとなく、ハッカーによる不正アクセス、コンピュータウイルスなどを想像してしまいますが、実際には、ケアレスミスの事案が多いように思います。
学校の顧問弁護士をしていてご相談を受ける漏えい、滅失、毀損等の事案は、だいたい次のようなものです。
　・生徒や卒業生の住所氏名が記載された名簿（紙媒体）をどこかで落とした
　・紙媒体の出勤簿を誤ってシュレッダーにかけてしまった
　・期末試験の採点結果を保存したUSBメモリが見当たらない
　・教職員用のメーリングリストに送信したつもりが、学生・生徒や保護者用の
　　メーリングリストに送信していた
　・SNSや学校のウェブサイトに、学生の顔が写った写真をアップロードした

今後は、ケアレスミスによる漏えい等でも、上記の(1)～(4)に該当すると、個人情報保護委員会への届出と、本人への通知が義務付けられます。

学校法人の評価を落とすことになり、学生募集・生徒募集に影響する可能性もあるので、より慎重な取扱いを心掛けたいところです。

執筆：弁護士　小國隆輔

2022年04月20日13:07

学術研究目的での利用・その２（個人情報保護法改正）

カテゴリ: 個人情報保護法

令和4年4月1日施行の改正個人情報保護法では、学術研究機関が学術研究目的で個人情報を取り扱う場合にも、原則として個人情報保護法上の義務を課すこととしつつ、限られた場面で、例外的な取扱いを許容することとされました。

例外的な取扱いを受けられる場面は、次の3つです。
　　①利用目的変更の制限の例外
　　②要配慮個人情報取得の制限の例外
　　③第三者提供の制限の例外

今回は、②と③について整理してみたいと思います。

まず、②の「要配慮個人情報」とは、「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」と定義されています。（個人情報保護法2条3項）
そして、政令では、心身の機能の障害、健康診断等の結果、医師等による指導・診療・調剤、被疑者・被告人として刑事事件に関する手続きが行われたこと、少年の保護事件に関する手続きが行われたことが列挙されています。（個人情報保護法施行令2条）

・・・何のことかよくわからなくなってきましたね。
ざっくりまとめると、差別や偏見につながるようなセンシティブな情報、と理解しておけば大きな間違いはありません。

さて、個人情報を取得する際には、「偽りその他不正の手段により」取得してはならないというルールがあります。（個人情報保護法20条1項）
さらに、要配慮個人情報の場合は、事前に本人の同意を得ない限り原則として取得してはならない、というルールが加わります。（個人情報保護法20条2項）

改正後の個人情報保護法の下では、学術研究機関等にも20条2項が適用されるのですが、次の2つの場面では、適用除外とされています。（同項5号・6号）
　　(1)学術研究目的で要配慮個人情報を取り扱う必要があるとき
　　(2)共同研究をしている外部の学術研究機関等から、学術研究目的で、要配慮
　　　個人情報を取得する必要があるとき
ただし、学術研究目的であっても、個人の権利利益を不当に害するおそれがあるときは、この例外規定は適用されません。

個人的には、学術研究目的で、本人の同意なしに要配慮個人情報を取得する場面が思いつかなかったのですが、わざわざ例外規定が設けられたのですから、何らかの需要があるのでしょうね。

次に、③第三者提供の制限の例外のお話です。

個人データを第三者（学校法人の教職員以外の人）へ提供するには、法令に基づく場合などの例外に当たらない限り、事前に本人の同意を得ることが必要です。（個人情報保護法27条1項）
第三者への提供は、学校法人の外へ情報が洩れていく場面なので、当然といえば当然のルールですね。

ここでも、次のとおり、学術研究機関等のための例外規定が設けられています。
これらの例外規定に当たれば、本人の同意がなくても、第三者への提供が可能となります。（同項5号～7号）
　　(1)学術研究の成果の公表又は教授のためやむを得ないとき
　　(2)共同して学術研究を行う第三者に、学術研究目的で提供する必要があるとき
　　(3)他の学術研究機関等に提供する場合で、その機関が、学術研究目的で当該
　　　個人データを取り扱う必要があるとき

このうち、(1)は、研究成果を論文で公表する場面が典型例ですが、他の例外規定と異なり、「やむを得ないとき」という厳しい要件が設けられています。
研究成果として公表することは、誰でも閲覧できる状態に置かれることを意味するので、他の例外規定よりも高いハードルを課したということです。

例えば、次のような場合、「やむを得ないとき」に当たると考えられます。
　　・顔面の皮膚病に関する医学論文で、目線を隠すなどすると研究成果の公表と
　　　して意味をなさなくなる場合
　　・実名で活動する作家の作風を論じる文学の講義において、その出版履歴に
　　　言及する際に、実名を伏せると講義の目的が達成できなくなる場合

(2)と(3)の違いは、少々わかりにくいですね。

(2)は、提供先の「第三者」が学術研究機関である必要はないことがポイントです。
その代わり、学校法人（大学）と共同研究をしている者に限られます。
(3)は、提供先が学術研究機関等でなければならない代わりに、共同研究をしている者である必要はありません。

学術研究機関等が学術研究目的で個人情報を利用する場合の例外規定は、以上のとおりです。

このような例外規定の適用を受ける前提として、学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、個人情報保護法を遵守するだけでなく、個人情報取扱いの適正を確保するために必要な措置を自ら講じ、その措置の内容を公表するよう努めなければなりません。（個人情報保護法59条）

多くの大学が、研究倫理に関する規則や、個人情報の取扱いに関する規則を制定し、公表しているのは、個人情報保護法に沿った対応という側面もあります。

また、一般論として、各大学が自ら定めた規範を遵守している限りは、個人情報保護委員会は規制権限の行使を控えることが想定されています。

執筆：弁護士　小國隆輔

※前回の記事と今回の記事は、次の文献を参照して執筆しました。

・冨安泰一郎＝中田響編著『一問一答令和3年改正個人情報保護法』（商事法務、
　2021年）
・個人情報保護委員会ウェブサイト掲載資料「学術研究分野における個人情報保護の
　規律の考え方」　https://www.ppc.go.jp/files/pdf/210623_gakujutsu_kiritsunokangaekata.pdf

2022年04月14日12:14

学術研究目的での利用（個人情報保護法改正）

カテゴリ: 個人情報保護法

今年4月1日に、改正個人情報保護法が施行されました。

令和2年改正と令和3年改正が同時に施行されたこともあり、とてもややこしいことになっています。
個人情報保護法の改正について研修をしてほしい…というご依頼が急に増えたので、やっぱりややこしい改正だったんだなー、と思っているところです。

さて、令和3年改正のうち、「学術研究分野における個人情報保護の規律」について整理してみようと思います。

従前の個人情報保護法では、学術研究機関が学術研究目的で個人情報を取り扱う場合、同法で課される義務が一律に適用除外とされていました。（改正前の個人情報保護法76条1項3号）

ところが、この適用除外の結果として、EUのGDPR（General Data Protection Regulation：一般データ保護規則）における十分性認定が、国内の学術研究機関に及ばないという問題が指摘されていました。
要するに、EUの大学や研究機関との共同研究に、支障が生じかねない状況だったということです。

そこで、今回の改正では、学術研究機関が学術研究目的で個人情報を取り扱う場合にも、原則として個人情報保護法上の義務を課すこととしつつ、限られた場面で、例外的な取扱いを許容することとされました。

例外的な取扱いを受けられる場面は、次の3つです。
　　①利用目的変更の制限の例外
　　②要配慮個人情報取得の制限の例外
　　③第三者提供の制限の例外

まず、①利用目的変更の制限の例外を見てみましょう。

個人情報取扱事業者（ここでは、学校法人を指すと思ってください）は、個人情報を取得する際には、その利用目的を、あらかじめ公表しておくか、個人情報取得後速やかに本人に通知又は公表しなければなりません。（改正後の個人情報保護法21条1項）
利用目的を変更した場合も、本人への通知又は公表が必要です。（同条3項）

そのうえで、個人情報取扱事業者は、本人の同意を得なければ、利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならないとされています。（改正後の個人情報保護法18条1項）
学術研究機関にも18条1項は適用されるのですが、次の2つの場面では、適用除外とされています。（同条3項5号・6号）
　　(1)学術研究目的で取り扱う必要があるとき
　　(2)外部の学術研究機関等に個人データを提供する場合であって、その学術研究
　　　機関等が学術研究目的で個人データを取り扱う必要があるとき

ざっくりまとめると、学術研究機関が、学術研究目的で利用するときは、本人同意なしに個人情報の利用目的を変更しても、個人情報保護法違反にはならないということです。
ただし、学術研究目的であっても、個人の権利利益を不当に害するおそれがあるときは、この例外規定は適用されません。
例えば、医学研究において、本人の同意なく介入研究を行う場合などは、個人の権利利益を不当に害するおそれがあると考えられます。

なお、個人情報保護法に違反しないとしても、各大学が定める研究倫理に関する規則などでは、利用目的を変更するときには原則として本人同意を得るように定めていることがあります。
法律に違反しているか否かの議論と、研究者としての倫理にかなっているか否かの議論は、別のレベルの議論だということです。

長くなってしまったので、②要配慮個人情報取得の制限の例外と、③第三者提供の制限の例外については、別の記事にしたいと思います。

執筆：弁護士　小國隆輔