【講演レジュメはこちら】
改正個人情報保護法と自治体の個人情報保護条例について、この問題の背景事情と、自治体の現在の動きを私が直接関わっている神奈川県の審議会を中心にお話をしていきたいと思います。
この問題は全国全ての自治体に係わる問題であり、また、ある意味、国との関係で自治体の主体的な取り組みの姿勢が問われる問題でもあります。
改正個人情報保護法とは
資料『個人情報保護制度見直しの全体像』（議案書41頁上【講演レジュメ6/11】）に、今回の改正の趣旨がざっくりと紹介されています。
以前の仕組みは、民間については個人情報保護法が適用され、国の行政機関については行政機関個人情報保護法、独立行政法人については独立行政法人等個人情報保護法、各地方公共団体については夫々独自の個人情報保護条例によって、個人情報保護の政策をしてきました。
このように分野ごとに色々な法制度があると非常に厄介だということで、これを一つに括ってしまおうというのが今回の改正の大きな発想です。
これが「新個人情報保護法」というもので、これ全体を個人情報保護委員会が監督をするとされています。
ただその中で民間事業者と行政機関については違ったルールを残すとしています。
しかし行政機関の中に地方公共団体も含めてしまうことにしたので、行政機関の中では、国の行政機関のルールをそのまま地方公共団体に適用する形で一括りにしてしまうということになったわけです。
国の個人情報保護法がそのまま自治体にも
更にそのことを象徴的に表しているのが、資料『地方公共団体の個人情報保護制度の在り方（改正の方向性）』（議案書41頁【講演レジュメ6/11】下）の図です。
改正前の状況は、箱に例えれば大きさも色味も違いがあった、これを同じ形の箱に全部揃えてしまうという、「共通ルール」と言ってますけれども、そういう改正をしようとしています。
箱の図では、この共通ルールでも若干例外として上に飛び出したり横に飛び出したりしている部分もあるのですが、この間の経過を見ると、実はこういう飛び出すことが許された部分はごく僅かです。共通のルールを自治体全てに要求するということで進められようとしているところです。
個人情報保護の取り組みは自治体が国に先行
レジュメ（議案書36頁【講演レジュメ1/11】）に個人情報保護制度制定の経過をざっくり纏めておきました。
もともと国の方が、個人情報保護に対する取り組みが非常に遅れていました。
自治体（市・町）では1970年代から、個人情報保護条例が作られ始めています。その後神奈川県が1990年に都道府県で初めて個人情報保護条例を制定します。
その少し前1988年の末に、国が行政機関の個人情報保護法いわゆる旧行政機関個人情報保護法といわれるものを作ります。国がこの法律を作るのと、神奈川県が条例を作るのとほぼ並行して作業が進められていました。
私はこの経過を外から見ていて、実は国が作った法律が、神奈川県が作ろうとしていた法律とは全然違ったものでしたので、神奈川県がこれに引っ張られてしまうと非常に拙いものができてしまうと危惧していました。
しかし、神奈川県は国の方には引っ張られずに、むしろそれ以前に制定されていた市・町の条例を整理した形で、モデル的な条例を作りました。神奈川県条例の流れで各地の自治体がそれぞれ独自の工夫も加えながらいろいろな条例を作ってきたという経過があります。
個人情報保護法と条例には様々な違いがある
今回これらを統一化するという動きになっているわけですけども、大分無理があるということが感じられるようになっております。
なぜ無理なのかということを考える上で、1980年代最後から90年代の時点で、そもそも法律の考え方と条例の考え方が、基本的なところでだいぶ違っていたのではないかということを、今回振り返ってみて考えています。
それを一覧表にしたものがレジュメの「＊旧行個法と当時の個人情報保護条例の主な相違点」（議案書36頁【講演レジュメ1/11】）、まとめが「旧行個法と比較しての条例の特徴」（同37頁【講演レジュメ2/11】）です。
まず考え方、発想の違いとして、規制の範囲があります。法律はもともと非常に限定的で、国の行政機関、しかも当初は電算化された情報だけを対象にしてスタートしました。
これに対し、自治体は、その区域内では個人情報保護の考え方をあらゆる場面で及ぼそうという発想があり、一つは議会も対象にしている、民間事業者に対しても、条例で民間事業者を規制するのはなかなか難しいところがあるのですけれども、何とか指導権限等を規定するといった形で、行政機関本体だけではなく、その地域の中での個人情報保護をやろうという発想で条例が作られてきたということがあります。
また、個人情報についてのルールについては、例えば、要配慮個人情報（特に保護すべき必要性が高い情報）については原則取り扱い禁止とし例外的に解除していく、あるいは原則として直接本人から収集をする、オンライン結合といってコンピュータを接続するような形で情報のやりとりをすることは原則禁止して例外的な場合だけ認める、あるいは目的外の利用提供も原則禁止する。原則禁止規定をおき、例外として認められる条件を条例で定める。判断に迷うような問題については、第三者機関としての審議会を置いて審議会の意見を聞くと、そういう仕組みになっています。
審議会は、自治体によってばらつきはありますが、諮問は結構多くて、私もいくつかの審議会に関ってきましたけれども、審議会で議論していくと、行政側の考えていたプランに雑なところがあって計画自体の見直しを求めるとか、一定範囲に限定した形で認めるといったことは結構あったわけです。
審議会は、研究者等のほか、一定比率で住民を代表するような人を入れる。一部の自治体では抽選で住民を入れるというようなこともやっていますし、開かれた組織として存在しているわけです。
また条例の中で開示請求、訂正削除請求あるいは利用停止請求といった権利について、神奈川県が条例を作った時点では大体これらの権利は認めてきたのですけど、同じ時期、国の法律では権利として認めているのは開示請求のみで、しかも教育とか医療分野という一番開示請求として使われるような分野について適用除外にしてしまうといった問題がある形、限定的な形での制度になっていました。
そういう意味で出発点において、国の姿勢と自治体の姿勢というのは大分違いがあったのかなというふうに思います。
その後、国の方も民間事業者を対象にする個人情報保護法を作ったり、あるいは行政機関個人情報保護法自体も若干改正していって近づいてきたところはあるんですけれども、やはり条例に比べると国の行政機関についての規制というのは非常に甘いという感じはあるわけですね。
そういう中で、ビッグデータの活用といった形で個人情報を利活用しようという流れが出てきて、条例がバラバラな規制をしているのは非常に困る、条例は2000個近くあることからこれを2000個問題とか言って、これは変えるべきだ、統一化するべきだという議論が出てきます。
菅内閣がデジタル社会推進で改正を強行
ただそうは言ってもやはり自治体の方が先進的な取り組みをしてきたこと自体は否定できないので、その辺を調整しながら進めていこうという流れでいたわけですけれども、それが2020年に菅内閣が誕生して、デジタル庁というのをぶち上げ、デジタル社会推進という中で、その障害になるようなものはもう一気に取っ払おうという流れができてしまいます。
その中で2021年5月に一気に、個人情報保護法の大幅な改正を含むデジタル改革関連法というものが成立をしてしまうということになります。
このうち改正個人情報保護法の一部については今年4月1日から施行になっています。それは国の行政機関に関する部分と、民間の個人情報の部分を合体させるという点です。
地方自治体の条例を統一化していくという部分が施行されるのが、来年の4月からということになっています。それに合わせて自治体はそれぞれ自前の条例を変えていかないといけないということになるわけです。
来年の4月といっても本当にすぐで、年内には議会に条例改正を通さないといけないはずなのですが、なかなか各地の自治体の動きが進んでおらず、最近ようやく、年度が変わってから、取り組まないといけないという感じになってきました。
神奈川県の検討状況
おそらく神奈川県内では県が一番早く取り組んでおり、昨年の夏ぐらいから条例改正の議論をしていますけれども、結構時間をかけて議論をしていて、議論することは多くあります。他の自治体はまともに取り組んだら、今からで間に合うのかなという感じもしています。
県の審議会は、これまで２ヶ月に1回だったのを最近はずっと毎月で、3時間ぐらいかけて議論しています。今年5月に答申を取りまとめようというところまで来ています。
この間、国に対し、県本体が質問を出したり、審議会としても質問状を出したりということもしているのですけれども、国の対応は非常にガードが固いというところがあります。
この改正法について、ガイドライン案が今年1月末に示されパブリックコメントを経て確定版が4月20日に公表されたところです。いろんな人がいろいろ批判的な意見や質問を出したのですけれども、全然相手にしていないですね。
国は従来の姿勢をひたすら強調し、特に個人情報保護委員会がこの分野の法令解釈についての一元的な権限を持つのであるとして、自治体も当然それに従ってくれないと困るということをより強く打ち出したガイドラインになっています。
神奈川県での議論の状況ですけれども、ポイントを絞ってご紹介をします。
法律の改正法の中では、条例で規定できる、あるいは規定しなければいけないという部分も若干はあります。ただ条例で規定することは許さないというふうな解釈を示しているところが多い。許さないって、国が自治体に対してそんなこと言えるのかっていう基本的な問題があって、行政法の学者の人たちはだいたいその辺になるとおかしいじゃないかということは言うんですけども、中々どうしようもないという状況があります。
また、どちらかよくわからない、どこまでできるか微妙なところという問題もあります。
“法にない規制は条例で規制してはならない”
「個人情報の取り扱い」について、レジュメで×がついているところですが（議案書38頁）、要配慮個人情報の取り扱いを規制すること、本人外収集の制限、オンライン結合の制限。これらについては、だいたいどこの条例でも原則禁止をして、例外的な場合のみ認める、判断に迷う場合は審議会の意見を聞くとそういう規定になっています。
改正法では、これらにつき何の規定も置かれていません。規定を置いていないなら、条例で定めたっていいんじゃないかと思うのですが、しかし国の見解はそうではなく、規定してないということは、そういう規定を置いてはいけない、法律では情報の保護と流通をバランスをとっており、規制していないということは流通を優先してるんだから、流通を
制限するような規定を置いてはいけない、ということを繰り返し言っています。
そして、それでも不都合はないという理由として、法律の61条で、法令の定める所掌事務または業務を遂行する場合に限って個人情報は取り扱えるという規定がある、要するに法令に基づいて行政機関は個人情報を扱うのだから扱わざるを得ないし、また必要以上の取り扱いをすることはないのだという考え方を示しています。
しかしこの抽象的な規定でそういう判断ができるのかという問題があるわけで、非常に疑問がある。これについては神奈川県の審議会からも直接個人情報保護委員会に質問状を出したけども、これはもうその通りの解釈であると、他の解釈は許さないという回答が来ています。
また審議会が関与することも認めないということも回答しています。
さらに議案書39頁【講演レジュメ4/11】、これも×がついてますが、目的外利用提供の制限、これについては法に定めがあり、法に定める要件に当たるかどうかにより判断をする。法の要件の中では審議会への諮問は規定がないから、審議会にその是非について諮問してはいけないということにされています。
では何ができるのかについては、単なる内部の手続きにすぎない事項など個人情報保護やデータ流通に直接影響を与えない事項（内部管理に関わる部分）は条例で定めることができるということなのですが、何が許されるのかについて全然具体的な説明がなく、非常に困っているという状況です。
神奈川県はオンライン結合について、数年前に原則禁止規定をなくしています。その際の審議会で、コンピューター上情報をやりとりすることについては一定のハードルを設けるべきだということで、公益上の必要性があることや、安全管理がきちんとできること等の要件を求めています。ただ、従来は審議会に諮るとしていたのを、県自身がチェックする形の規定になっています。
国の個人情報保護委員会への質問の中で、神奈川県のオンライン結合禁止はこうなっています、他の機関の意見を聞くとしてないのだから、内部的な管理に関わる規定と考えられるのではないかと聞いたのですが、いやそんなことは認めないというわけです。そういう要件を設けること自体がそもそも駄目なのだという回答が来て、本当にそこまで言うのかという印象がありましたけども、それぐらい非常に国の方はガードが硬いということがあります。
開示請求等については結果的には現状とあまり変わらない方向でいけそうです。
“審議会の役割は限定的にせよ”
審議会関係（議案書40頁【講演レジュメ5/11】）についてですが、先ほど来、申し上げたように自治体の場合、個人情報に関する審議会が非常に大きなウエイトを持っていまして、条例改正といった重要な事項とともに、個々の条例の情報の取り扱いについても諮問を受けて是非について答申をするということをやってきたわけです。
しかし今回の改正法で、「個人情報の適正な取り扱いを確保するため専門的な知見に基づく意見を聞くことが特に必要であると認めるときは」、審議会に諮問することができるとされ、専門的な知見に基づく意見を聞くということと、しかもそれが特に必要な場合に限るとされています。
何でもかんでも審議会に聞いてはいけないということで、別に自治体が自分で設けた審議会に何を諮問しようがそんなことは自由なはずなんですけれども、そういう枠を設けようとしています。
専門的な知見というのが何を想定しているかというと、『個人情報の保護に関する法律についてのガイドラインの改正案（概要）』（議案書46頁【講演レジュメ11/11】）に（案とあるが、このままの内容で確定）、「審議会の諮問」というタイトルで、どういう場合に審議会が想定されているのかについて「専門的知識を有する者の意見を踏まえた審議が必要であると判断される場合」である、求められる専門的意見としてサイバーセキュリティに関する知見が例示されています。
そうすると、セキュリティ上の技術的な問題についてだけ審議会で議論するのだと。それも特に必要な場合だけであるというふうに、これだけ読むと読めてしまうわけで、そんな狭い言い方はおかしいじゃないかという意見も弁護士有志でガイドライン案に対して出したんですけども、これはもうあくまでこれでいくよということになっています。
だから実際のところ、どこまでこの審議会で今後議論できるか非常に問題になっています。
審議会を活用するためには
神奈川県では、いろいろ議論して、改正法１２９条は「第3章第3節の施策を講ずる場合その他の場合」「個人情報の適切な取り扱いを確保するため専門的な知見に基づく意見を聞くことが特に必要であるとき」に諮問が可能であると規定している、これを広く解釈して運用できるし運用すべきではないかという議論になっています。
例えば、要配慮個人情報の取り扱いをするかどうか、本人外収集をするかの是非については諮問することはできないが、取り扱う場合にどのような注意が必要かや、関連してどういう問題が考えられるかといったことであれば、諮問できるのではないかということが県の審議会の中では了解事項になりつつあります。
私自身としてはそういう議論ができるのであれば、実際上、いろいろ問題があるという指摘をすることによって、実際の取り扱いを止めようかということを自主的に県の機関の側で判断することになるということはありうると思います。
これまでも明確に諮問事項にNOとは言わなくても、その諮問の内容を変えさせるということは結構あったわけで、むしろ審議会というのはそういう機能を持ってきたというところがあります。
ですから、是非を諮問するということではないけれども、やはり問題があった場合に審議会に諮問しますよという方向性をきちんと確認をすることで、何とか今までと同質の運用を確保できないかということを考えているわけです。
本当にそれだけでいいのかという問題もあるのですが、国との関係では、それぐらいのところで何とか、あとは運用で頑張るしかないかなという感じを持ってきています。
議会には別個に個人情報保護条例制定が必要
適用範囲等の問題（議案書38頁）もあります。議会については、国は自律的な判断に任せる、勝手にやってくださいという対応をとっています。
これは国の法律は、もともと国会を対象として想定してないので、行政機関以外のことは知らないよという発想なんですね。
その法律と同じ考え方が条例に持ち込まれるため議会は放置状態になります。しかし議会は自分で条例を作る能力はないので、果たしてどうなるのか気がかりです。議長会で相談して、個人情報保護委員会に教えを請いに行くことになっているようで、自律性を言いながら、全然そうでなくなっているおそれがあり、非常に問題ではないかと思っています。
「補助的文書」についての独自規定は廃止へ
もう1点。唯一いい結果がありまして、それが行政文書の範囲という部分です。県条例の大きな問題として、情報公開条例と個人情報保護条例共通ですが、いわゆる補助的文書を行政文書の範囲から除外するという規定があり、会議録作成のための録音データ等が対象外にされています。
神奈川県および一部県内自治体にこのような特殊な規定があるのですが、今回、個人情報保護条例を法律に合わせると、法律にはそんな除外規定はありませんので、それはなくさないといけないという議論になり、個人情報保護条例でなくすのであれば情報公開条例でもなくさないとまずいんじゃないという話になり、結局この補助的文書除外という、神奈川県の特殊な除外規定は、今回の条例改正でなくすということになりました。 （了）
※質疑応答を含めた逐語反訳を全国市民オンブズマン連絡会議事務局の内田さんのご協力で、ホームページに掲載しました。こちらもご覧ください。 |