個人情報保護委員会は10月28日、国の行政機関や地方自治体による個人情報の扱いを見直すため、「行政機関等の個人情報保護制度の在り方に関する研究会」を事務局に置くと発表した。役所の中で個人情報を部署ごとに持つ「縦割り型の運用」を、データの利活用やAIの活用を進める観点から点検する。座長は宍戸常寿・東京大学大学院教授で、11月に初会合を開き、2027年秋ごろに中間取りまとめを出す予定だ。研究会の開催は同日の第374回委員会で議題として扱われた。
研究会が見直す「縦割り型の運用」
委員会の発表資料は、研究会を開く理由を2つ挙げている。
1つ目は行政のデータ利活用だ。資料は、公的機関で担い手が不足し、行政の課題が高度化・多様化しているとして、「分野横断的なデータ利活用やＡＩの活用を通じた業務の効率化や国民の利便性向上、質の高い行政サービスの実現に向けた取組が不可欠」と書く。そのうえで、行政機関等の個人情報の取扱いは「各部署が個別に利用・保有する、いわゆる縦割り型の運用が一般的」だと指摘し、「ＤＸ・ＡＸの進展や社会の変化に対応した」制度の在り方を検討する必要があるとした。
2つ目は自治体の現場の課題だ。国と自治体で別々だった個人情報保護のルールは、法改正で一つの法律にまとめられた。資料は、この「個人情報保護制度の一元化後」に、自治体などの現場でデータ利活用や個人情報の適正な取扱いについて制度運用上の課題を把握・整理し、必要な見直しを検討するとしている。
研究会で議論するテーマは3つに分けて示された。
- 行政機関等における実態の把握及び課題の整理
- 保有個人情報等の内部利用・行政機関等間の提供等の在り方
- その他（行政機関等の個人情報保護制度全般）
まず国や自治体の現場で個人情報がどう扱われているかを調べ、そのうえで役所の中での使い回しや、役所同士で情報を渡すルールを議論する順になる。
いまのルールは「目的外は原則禁止」
研究会が扱う「内部利用」と「行政機関等間の提供」は、個人情報保護法の第5章が国の行政機関や自治体に課している規律の中心にあたる。
第61条は、行政機関等が個人情報を持つことができるのを、法令（条例を含む）が定める仕事に必要な場合に限り、利用目的をできる限り特定するよう求めている。目的の達成に必要な範囲を超えて持つことはできず、利用目的を変える場合も、変更前の目的と「相当の関連性」があると合理的に認められる範囲に限られる。
第69条は、法令に基づく場合を除き、利用目的以外の目的のために個人情報を自ら使ったり、ほかへ渡したりすることを禁じている。例外は4つで、本人の同意がある場合や本人に渡す場合のほか、仕事に必要な限度で役所の内部で使い「相当の理由」がある場合、ほかの行政機関や自治体などに渡し、受け取る側が仕事に必要な限度で使い「相当の理由」がある場合、統計の作成や学術研究のために渡す場合などがある。ただし、本人や第三者の権利利益を不当に侵害するおそれがあるときは、例外にあたっても使えない。同条第4項は、目的外の内部利用を特定の部局や職員に限るよう求める規定も置いている。
ある部署が手当の支給のために集めた情報を、別の部署が別の施策に使うには、この「相当の理由」があるかどうかを個別に判断する必要がある。研究会が見直しを検討する「縦割り」は、こうした法律上の枠組みのもとで生まれている運用だ。
3つに分かれていた規律を一本化した2021年の改正
国の行政機関や自治体の個人情報の扱いは、2021年までは主体ごとに別々のルールで定められていた。
委員会が2021年6月にまとめた資料によると、2021年5月19日に公布された「デジタル社会の形成を図るための関係法律の整備に関する法律」（デジタル社会形成整備法）による改正で、国の行政機関、独立行政法人等、地方公共団体、地方独立行政法人についてそれぞれ分かれていた規律を個人情報保護法にまとめて定め、個人情報保護委員会が一元的に解釈・運用することになった。
施行は2段階だった。国の行政機関と独立行政法人等は2022年4月1日から、地方公共団体と地方独立行政法人は2023年4月1日から、改正後の個人情報保護法が適用されている。
自治体にとっては大きな変更だった。それまでは各自治体が条例で独自に個人情報保護のルールを定めていたが、改正後は「個人情報」や「要配慮個人情報」といった用語の定義も法律の定義にそろえることになり、条例で独自の定義を置くことは認められないと委員会は示した。自治体が法律に基づいて個人情報保護の条例を定めたときは、委員会に届け出なければならず、委員会はその内容を公表する（第167条）。
研究会のテーマにある「一元化後」の課題は、自治体への適用が始まった2023年4月から3年半が過ぎた現場の運用を指す。
構成員は12人、市と町の職員も
構成員は、法学者を中心に、AIの研究者、弁護士、自治体の職員らを含む12人。オブザーバーとしてデジタル庁、総務省行政管理局、総務省自治行政局が加わる。
| 氏名 | 所属・役職 |
|---|---|
| 宍戸常寿（座長） | 東京大学大学院法学政治学研究科教授 |
| 荒井ひろみ | 理化学研究所革新知能統合研究センター 人工知能安全性・信頼性ユニットリーダー |
| 家中賢作 | つくば市政策イノベーション部デジタル政策課課長補佐 |
| 稲谷龍彦 | 京都大学大学院法学研究科教授 |
| 大屋雄裕 | 慶應義塾大学法学部法律学科教授 |
| 音無知展 | 京都大学大学院法学研究科准教授 |
| 北山昇 | 森・濱田松本法律事務所外国法共同事業 パートナー弁護士 |
| 玉堀雄一 | 芽室町総務課ＤＸ推進係係長 |
| 友岡史仁 | 日本大学法学部教授 |
| 成原慧 | 九州大学大学院法学研究院・法学部准教授 |
| 畑中洋亮 | 一般財団法人GovTech東京 業務執行理事兼最高戦略責任者 |
| 原田大樹 | 京都大学法学系（大学院公共政策連携研究部）教授 |
出典: 個人情報保護委員会「行政機関等の個人情報保護制度の在り方に関する研究会の開催について」別紙
自治体の現場からは、茨城県つくば市と北海道芽室町の職員が入った。一般財団法人GovTech東京の幹部も加わった。国の側からは行政のデジタル化を担うデジタル庁と、国と自治体の行政を所管する総務省の2つの局がオブザーバーとして議論に加わる。
2027年秋に中間取りまとめ
日程は、2026年11月に第1回会合を開き、2027年秋ごろに中間取りまとめを出す予定とされた。研究会は委員会事務局が開くもので、発表資料は目的を、有識者の議論を踏まえて「必要な対応について整理・検討を行う」ことだとしている。法改正が必要かどうかや、ガイドラインの見直しで対応するかどうかは、発表資料には書かれていない。
個人情報保護法は2026年にも改正され、違反行為で得た財産的利益に相当する額の納付を事業者に命じる課徴金制度が設けられた（個人情報の悪質な取り扱いに課徴金 違反で得た利益を国が取り上げ 本人1000人超が基準、繰り返しは1.5倍・自主申告で半額）。研究会の開催を決めた10月28日の委員会では、事業者が講じる安全管理措置について、ガイドラインの「手法の例示」を更新する案も議題になった（個人情報保護委、安全管理の「手法の例示」に多要素認証など追加へ 意見募集を開始）。
今回の研究会は、民間ではなく国の行政機関や自治体の側の規律を対象にする。役所が持つ住民の情報を、部署や機関の垣根を越えてどこまで使えるようにするのか、その際に本人の権利利益をどう守るのかが論点になる。