高木浩光＠自宅の日記

■ ゲノム情報医療等実用化推進タスクフォースを傍聴してきた（パーソナルデータ保護法制の行方 その19）

先週、「ゲノム情報を用いた医療等の実用化推進タスクフォース」の第1回会合を傍聴してきた。予想を上回る興味深い議論となっていたので、そこで出た論点の概要と、私の見解を書き留めておく。

目次

• 傍聴録
• 議論の背景（連結不可能匿名化の個人識別性）
• 学術研究機関の適用除外
• 独立行政法人の適用除外
• 矛盾の解消に向けて

傍聴録

この会合では、改正個人情報保護法で新たに規定された「個人識別符号」（2条2項）の定義が、「次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。」となっていて、その政令を定めることが喫緊の課題となっていることから、その各号のうちの1号「特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの」に、遺伝子関係の情報を入れるべきか否かを検討することが目的となっている。

会合ではまず、資料1、資料2、資料3の説明が事務局（厚労省）よりあり、今後の進め方について委員から若干の質問を受けた後、資料4「個人情報保護法の改正概要」の説明が、IT総合戦略室の向井審議官からあった。

向井審議官の説明は流石のもので、一般的な役人さんがする資料説明（資料を朗読するだけなので皆聞かずに他ごとをしてしまう）とは異なり、ページ順ではなく重要な部分からメリハリのある説明がなされた。そこで特に強調されていたのは以下の点だった。

• 個人情報とは何かが意外と世の中で誤解されている。改正前も改正後も同じだが、氏名を特定するのではなく、個人の存在その個人であることを特定するものであるので、名前がなくても特定されると個人情報になる。AからBに情報が移転するとき、「他の情報と容易に照合することができ」がAにおいてなのかBにおいてなのかそれとも世の中一般においてなのか3つが考えられるが、これは消費者庁時代から確定した解釈として、出し手側の基準であるということになっている。出し手側が照合できれば個人情報であるということになっている。したがって、一旦個人情報になったものを少々分解しても、分解したものが元の出し手において照合して特定できるのであれば、これは個人情報になるということだ。名前を抜けば個人情報じゃなくなるんじゃないかと考えられる方がおられるが、決してそうではない。そのためJRのSuicaのような事例が出てくるのである。

• 匿名加工情報について（略）

• 個人識別符号を今回新たに設けた。これは、個人識別符号であれば個人情報になるというものだが、個人識別符号でなければ個人情報でないというものでは決してない。記号符号が個人識別符号に入らなくても、それ以外に住所氏名などが書いてあれば当然個人情報となる。個人識別符号はそれ単体で個人情報になるかならないかであって、実は、単体で個人情報になるかならないかということが問題となることはあまりない。たいていの場合は記号符号は、住所名とかと一緒に保管されているものであるので、それによって個人情報となるからだ。それなのに個人識別符号を定めるのは、米国やEUで、単体で個人情報となるものをいくつか指定しようとしているので、このような法律改正となったものだ。

• 遺伝情報というのは唯一無二、終生不変のものであるので、指紋等と同じく「特定の個人を識別することができるもの」であり、個人識別符号に該当すると通常は考えられると思う。ただし、それらが一部とか全部とかどのような遺伝情報で特定の個人を識別することができるものとなるかは、科学技術の発展とともに変わっていくものではないかと考えている。双子の場合は区別できないとかいう話もあるが、常識的に考えると、顔認証、指紋認証の情報もはいるなら遺伝情報も入るならば遺伝情報も入ると考えられる。

• 要配慮個人情報について（略）

• 適用除外規定について、学術研究の用に供する目的がある。これは改正前も改正後も同じであり、「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」については、「学術研究の用に供する目的であるならば、個人情報保護法の規制はそもそもかからないというふうになっている。

続いて、事務局から資料5と資料6の説明があり、これが終わるとそこから自由討議となった。

最初に質問したのは、別所直哉（特定非営利活動法人個人遺伝情報取扱協議会理事長）委員であった。別所委員は、次のような質問をされた。

別所：ここでの検討の範囲を明らかにする必要がある。向井審議官から説明があったが、今回の改正は個人情報定義の範囲を拡充するものではなく明確化しただけのものでるということは、向井審議会の国会答弁でも丁寧にあった。定義としての個人識別符号、現行法の枠の中で明確になっていなかったものについて、本来ならば含まれたものを、条文として符号という建てつけにしたので明確にするというものである。遺伝情報はどの程度明確になっているか、個人情報としての識別性があるかについて意見出しをする場だと理解しているが、それでよいか。

はいはい。そう来ますよねー。要するに、従来の定義で個人情報として扱われてこなかったものが、個人識別符号に入るわけがないよねー、という牽制である。「個人情報定義の範囲を拡充するものではない」というのは、まさに、今回の改正で、当初の政府案にはなかった「特定の」との文言が政治判断によって挿入された（「個人情報定義は新経連の意向で米国定義から乖離しガラパゴスへ」参照）ことによりそうなっているのである。

これに対して座長が「それでよろしいかと思いますが、何か事務局ございますか？」と事務局に向けると、事務局は何も語らず沈黙が数秒続いたので、座長が「よろしいですか」と次に行こうとすると、向井審議官が割って入り、「そういうふうに理解しております。」と和かに答えた。

続いて、再び別所委員が次の質問をされた。

別所：諸外国との比較があったが、みなさんにご注意いただきたいのは、各国で定義が違っているということだ。EUで定義に基づいて含まれるからといって、日本における現行の個人情報保護法に含まれるかどうかは別である点に注意してほしい。あくまでも日本の個人情報保護法の定義に照らして定義に含まれるかどうかが議論されるべきである。その理解でよいか。

座長：そのように理解しているが。

はいはいこれも牽制牽制と。

続いて、武藤香織（東京大学医科学研究所ヒトゲノム解析センター公共政策研究分野教授）委員より、次のような質問があった。

武藤：法改正の前に、パーソナルデータ検討会で、遺伝情報、ゲノムデータを入れるかという議論があったが、最終的に大綱の中に入らなかったと理解している。パブコメに入れなかったことについての批判的なコメントがあったのは承知している。それがこのような法律になったところで、遺伝情報が当然入るのではないかという前提で検討することになっているのには若干の驚きがある。パーソナルデータ検討会の議論では基本的に遺伝情報は想定されずに議論されたと理解してるが、違うのであれば経緯を教えて欲しい。

向井：検討会でゲノムについて明示的に議論したことはたしかにないが、身体的特徴という符号を入れている。身体的特徴は指紋や顔認証も入るので、議論の前提として遺伝子も当然入るが、遺伝子はそう簡単ではないなと皆思っていた。遺伝子が全部あれば当然個人を特定してしまうが、一部の場合はという話もあるし、個人をつながっていく、子孫につながっていく、個人で済まないという議論もあり、漠然と個人を識別するかといえば当然にするとしつつ、今後の議論ですねということになっていて、まあなんていいますか、最近では、検討会ではないが、ゲノム自体は特別法が将来必要でしょうと中ではしていた。

これに対し、別所委員と武藤委員はいちおう頷く様子で、再質問はなかった。

続いて、高田史男（北里大学大学院医療系研究科臨床遺伝医学教授）委員から、次の質問と意見表明があった。

高田：そもそも個人情報保護法が施行された時点で、学術研究機関による学術研究の目的が適用除外であるはずなのだが、この研究分野については3省指針があり、これは、そもそも適用除外であるにもかかわらず、指針が法律に合わせて改定されているのですね。個人情報保護法に合わせて縛りを付けている。法律の適用除外である範囲に対して法律に基づいたガイドラインが課せられているという矛盾がある。今回の改正際して、厚労省に適用除外のことについて強調してもらったにもかかわらず、この改正に対応してまたこの3省指針の改定が行われるであろうが、適用除外なのに適用除外でないという形がさらに続くことにしてしまいかねない。この段階で会議を進めるにあたりそこを考えるなりしていただかないと、ますます研究の首を絞めることになって、世界から遅れていく日本という、もっとわるい状況になていく。この段階で整理しないといけない。

文科省：現状の3省指針については、学術研究というのをどうとらえるかという問題と、IT総合戦略室の説明にあったように、主体によって法律のしばりがあるので設置主体によって取扱が違う。研究をしていく場合はいろんな研究主体が入ってデータの共有とかもある。そういうときに研究を円滑にできるようにするという趣旨で3省指針を作っている。

高田：それでは答えになっていない。（繰り返し同じ主張につき略）。要配慮情報も全部入ってしまうのか。

これは大変重要な指摘だ。「3省指針」とは「ヒトゲノム・遺伝子解析研究に関する倫理指針」のことである。今後の検討はここが肝となるぞと思った。この問いかけに座長は「本日は結論を出す目的ではないので、重要な視点であるので、次回以降で必ず検討したい。」とした。

続いて、高木利久（東京大学大学院理学系研究科生物化学専攻教授）委員から次の発言があった。

高木：どのようなゲノム情報であれば特定の個人を識別できるかの論点が挙げられているが、バイオインフォマティクス、ゲノム解析を専門にしている者からすると違和感を覚える。現在のゲノム解析では、ゲノムを一意に決めることはなかなか難しい。現在の技術レベルあるいは近い将来でも難しい。データベースもないので本人到達性もない。3要件を満たせていないのが現状なので、論点が違うのではないか。

これについては、私には反対意見がある。

一意に決まるかは、法律上は完全さを求めるものではなく、同姓同名の可能性のある氏名であっても識別性があるとされているし、双子云々の話は既に向井審議官からも説明が出ていた通りである。

また、全人類のゲノムデータベースが構築されているわけではないから本人到達性がない（といった主張は他でも耳にする）との指摘だが、一部の人についてのデータベースが構築されていれば、そのデータベースにおいてそのデータは個人情報（個人データ）とされるのが改正前からのこの法律の趣旨である。

今改正で新たに規定される個人識別符号について言えば、顔認証用の特徴量情報が個人識別符号に該当することとなるのは確実な情勢だが、顔認証データベースだって全人類のデータベースが構築されている事実がないのに個人識別符号にしようとしているわけだ。データベースに未登録の人について「本人到達性がない」からとの理由で個人識別符号に該当しないとするべきというのは間違いであり、ごく一部の人であってもその人たちを識別するために構築した顔認証データベースが存在すれば、そこで用いられる顔認証用特徴量情報は「本人到達性がある」のであって、そのような性質を持つ顔認証用特徴量情報は（そのデータベースに格納されていない段階から）個人識別符号であるということになると言うべきである。

続いて、辻省次（東京大学ゲノム医化学研究機構機構長）委員と、末松誠（国立研究開発法人日本医療研究開発機構理事長）委員から、それぞれ次のような発言があった。

辻：ゲノム医療、医療研究の現場にいて感じることを述べる。今回の改正法あるいは個人情報保護の法体系を見ても、ゲノム医療研究の現場を想定して設計されているとはとても思えない。配慮がされていない。強調したいのは、ゲノム研究はこれまでわからなかったような原因がわかるあるいは新しい治療ができるという、患者の医療に対する大きな貢献が期待できる。それを実現するためには、ゲノム研究は一研究室でできるものではなく、グローバルに世界の研究者が協力しあってデータを共有して協調しし合うことによって研究が進む。そこを理解いただきたい。これは研究者のエゴではない。貢献をするためにはグローバルの協力体制が絶対に必要であり、そのためには第三者提供やデータ共有が必須である。NIH（アメリカ国立衛生研究所）では一昨年、ポリシーを推進している。それに比べると、今の議論は、非常に現状とかなり乖離した議論になってしまっている。個人情報か否かという狭い議論をすると日本はグローバルに協調できないことになり、世界から取り残されることになり、国益を損なう。

末松：辻先生とほぼ同じだが、遺伝情報が個人識別符号に位置付けられると現場でどういうことが起こるのかを述べたい。遺伝情報を保護することが重要だというのは重々認識しているが、それを前提として、次世代医療のゲノム医療の実現のために遺伝情報の活用が是非とも必要である。バランスのとれた規制を実現していただきたい。具体的に困る例を2つ挙げる。1つは、ゲノムコホート研究を今まで大きなお金を使ってやってきており、日本の実績に対する世界の期待は大きい。50万人以上の方々から生体試料を収集して遺伝情報を得たり、遺伝情報以外のサンプル情報をいろいろ頂いている。もし今回、個人識別符号ということになると、こういった方々から、さらにインフォームドコンセントをとらなくてはならなくなり、これは現実的に非常に難しい。2つめは、データの共有について、希少疾患とか難病だけでなく、未診断疾患というものがある。こういう方達のゲノムを解析をしたら全部わかるのではなく、疾患遺伝子の候補が絞れてくる。国内の医療機関同士の情報共有、外国と直接情報をやりとりをして、同一の遺伝子上に異常があって、かつ複数の表現形が一致する例が2例以上ないと、確定診断にならないので、絶対に治療に結びつかない。こういうことができなくなるであろうと危惧している。内閣官房IT総合戦略室を始め関係府省におかれては、ゲノム医療で救われる人々がたくさんおされることを考えて是非、適切な規制にしていただきたい。

これらの指摘は、IT総合戦略室に対して不信感を露わにしたものように見えた。これに対して、小森貴（公益社団法人日本医師会常任理事）委員から次のようなフォローが入った。

小森：先生方と思いを共有するものではあるが、車が走るためには一定のルールが必要である。先生言われたようなバランスのある規制が重要である。米国にはGINA（遺伝子情報差別禁止法）があるが、日本にはそれがない。そのことを是非議論していただきたい。もう一つは、個人識別の話がでているが、血縁者と家族を同定する試料でもある。その点も議論してほしい。

続いて、斉藤加代子（東京女子医科大学付属遺伝子医療センター所長・教授）委員、堤正好（一般社団法人日本衛生検査所協会遺伝子検査受託倫理審査委員会副委員長）委員から次のような発言があった。

斎藤：患者さんの診断をして先進的な研究を治療にフィードバックしていくことをしているが、その面からやはり、ゲノム研究が進歩して行って、日本が立ち遅れながら、それをこれからどんどんリーダーシップをとっていくというときに、個人情報保護法改正で、ゲノム情報を個人情報として扱っていくと、研究で出てきたものを患者が知りたいと言い出したら開示しなくてはならない。現場では研究の進歩より患者への対応だけに忙殺されるという状況がでてきている。中には患者に知らせてはまずいものもあり、それを整理しないと混乱が生じる。新しい研究にはどうしても疾患のデータベースを構築していく必要がある。それが個人情報保護法でかなり縛られてしまうことが心配だ。

堤：武藤委員の質問ともからむが、研究でのゲノム情報の利用と、法律を改正するところの議論が、あまりにも接点がなさすぎたのではないか。今からでは遅すぎるのではないかと感じる。個人識別符号にあたるのかの議論は必要。向井審議官も触れられた、新しいゲノム法をどうするかを念頭に入れて議論すべきだ。。新しいゲノム法はゲノム医療を進めるためにどういう規制が必要なのか、先ほど出たような差別をどう防止するかとか、大きな枠組みの中で議論をするのがよい。

ここで向井審議官から手が上がり一言が出た。

向井：ちょっといろんなご意見の中にかなり誤解されてると思われるものがかなりありますので。ゲノムが個人識別符号に入るか入らないかにかかわらず、患者の氏名が入って、それにゲノムの情報が付いていれば、そもそも個人情報なので。今議論されているのいは、改正する前から個人情報だったのであって、まさに単体だけで個人情報かどうかを議論しているのであって、元々患者さんの氏名とゲノムが入っていればそれ自体は個人情報なので、そういう場面の話ではないということが一点。それから、今回の改正部分はすべて民間部門についてであり、かつ、研究機関はそもそも適用除外があるので、研究機関以外のゲノムの話にしかなり得ない。そこから先の問題というのは実は、国の機関の個人情報保護法をどう改正するかという検討になる。

続いて次のような発言となった。

座長：学術研究と実用化のところをクリアにしないといけない。学術研究も含めて萎縮してきてしまている。今後の議論でそこを詰めていきたい。

武藤：今クリアにしていただいた点だが、私立の研究機関は適用除外だがゲノム指針の縛りがあるという状態であって、独立行政法人個人情報保護法もこれから見直されていくのだと思うが、もともとそちらは学術研究の適用除外は明記されていないですよね？ なので今心配していることは、国立研究開発法人とか国立大学法人にどういう影響が出るか、先走って心配されているのだということをお伝えしておきたい。それから、治験で収集されるゲノムのデータは、治験依頼者である民間企業の製薬企業が、研究のために独自に集められているゲノムのデータは、ゲノム指針の対象から外されている。薬機法（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）（旧薬事法）の対象であり、わざわざ通知まで出してゲノム指針の対象じゃないとされていたので、それはちょっと何がどこへいっちゃったのかわからなくなる状況なので、ご検討いただきたい。

小森：基礎的研究は明確に適用除外だが、これから臨床研究が重要であり、臨床研究についてここでしっかり議論する必要がある。

これで閉会となった。

議論の背景（連結不可能匿名化の個人識別性）

さて、このような議論になっている背景だが、これは、「3省指針」と呼ばれている「ヒトゲノム・遺伝子解析研究に関する倫理指針」（ゲノム指針）が、よりによって、「第1 基本的考え方」の「3 保護すべき個人情報」の(2)において、「個人情報を連結不可能匿名化した情報は、個人情報に該当しない。」とズバリ言い切ってしまっていたところに問題の根源がある。

「連結不可能匿名化」とは、「第6 用語の定義」の(5)に規定されているように、「匿名化」のことを、「その個人情報から個人を識別する情報の全部又は一部を取り除き、代わりに当該提供者とかかわりのない符号又は番号を付すことをいう。」とした上で、「必要な場合に提供者を識別できるよう、当該提供者と新たに付された符号又は番号の対応表」を残さない方法によるものとされている。

つまり、いわゆる「仮名化」をして対応表を捨てただけのものが常に個人情報に当たらないと、ゲノム指針は明確に規定していたのである。

これに対して、向井審議官は、資料説明において最初に「個人情報とは何かが意外と世の中で誤解されている。」「名前を抜けば個人情報じゃなくなるんじゃないかと考えられる方がおられるが、決してそうではない。」と強調していた。ゲノム指針の規定を明示こそしなかったものの、その意を汲み取れば、ゲノム指針の規定ぶりは、個人情報保護法とは異なる個人情報定義を用いている*1と指摘したものであろう。

これに近い話は、2014年9月7日の日記「医学系研究倫理指針（案）パブコメ提出意見（パーソナルデータ保護法制の行方 その10）」で書いていた。

それを振り返ると、以下のとおりである。

まず、厚労省系のガイドラインはいずれも提供元基準ではなく提供先基準で書かれているとする主張[岡村2014]があった。そのうちの2つ、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」と「福祉関係事業者における個人情報の適正な取扱いのためのガイドライン」については、ちゃんと提供元基準での記述も書かれていることを2014年4月23日の日記で指摘した。

残る、文科省・厚労省の「疫学研究に関する倫理指針」では、前記2つとは異なり、提供元基準に沿っていると見られる記述はなく、「個人を特定する情報が個人情報である」とのよくある誤解に基づいて書かれているようにも見えるものであったが、2014年の全面改正で、厚労省の「臨床研究に関する倫理指針」と統合されて、新たに「人を対象とする医学系研究に関する倫理指針」に置き換えられたときに、個人情報保護法でいう「第三者提供の制限」に相当する規定が存在しないものとなった（後述）。この結果、連結可能匿名化や連結不可能匿名化をしたデータは、第三者提供が制限されていないことになり、仮に、これらが個人情報に該当するとみなされているとしても、矛盾しない規定となったのであった。この指針は、個人情報の定義は法の定義をそのまま引き写しているので、法と同じ解釈を想定しているとも読めるものであった。そして、この指針には、「連結不可能匿名化した情報は、個人情報に該当しない。」などといった記述はなかった。このため、これら3つの指針については、向井審議官が今回の会合で説明したことと矛盾のないものだった。

ところが、それらに比べて、ゲノム指針はというと、「個人情報を連結不可能匿名化した情報は、個人情報に該当しない。」とズバリ言い切ってしまっているため、政府解釈と異なってしまっている。ゲノム指針だけ独自の「個人情報」定義（解釈）で書かれているとみなすことも考えられるが、ゲノム指針は前文で、「民間企業、行政機関、独立行政法人等の区分に応じて適用される個人情報の保護に関する法律、行政機関の保有する個人情報の保護に関する法律（略）、独立行政法人等の保有する個人情報の保護に関する法律（略）及び（略）地方公共団体において制定される条例を遵守する必要があることに留意しなければならない。」と書かれているだけに、その解釈をとるのは若干無理がありそうではある。

こういう状況であるので、今回、複数の委員から、ゲノムが個人識別符号に入ると研究が立ち行かなくなるとする懸念が示されたのは、氏名等さえ削除すれば個人情報でなくなるという、ゲノム指針の独自定義（解釈）を念頭に話されていたからだろう。そのため、向井審議官が繰り返し、個人情報保護法の個人情報定義を正しくご理解されていないとする指摘をされていたわけである。

そうすると、これまでのゲノム指針に従ったゲノム研究で、連結不可能匿名化（仮名化）しただけのデータを第三者提供していた行為が、個人情報保護法違反だったのか？ということが問題となる。

学術研究機関の適用除外

ここで重要となってくるのが、前半で高田委員から出た適用除外に関する指摘である。

適用除外であれば、違法でないことになるが、しかしそれでいいのか？という疑問を持つ人が少なくないかもしれない。2014年9月7日の日記「医学系研究倫理指針（案）パブコメ提出意見」でも書いていたように、昨年改正の「人を対象とする医学系研究に関する倫理指針」では、第三者提供の制限に相当する規定が存在しないものとなっていた（前記の件）わけだが、「それでいいの？規定し忘れたんじゃないの？」と思う人もいるだろう。

この疑問を解く答えが、まさに高田委員から出た指摘の通りであり、「そもそも適用除外であるにもかかわらず、指針が法律に合わせて改定されている。」「法律の適用除外である範囲に対して法律に基づいたガイドラインが課せられているという矛盾がある。」ということなのだ。去年改正される前の「疫学研究に関する倫理指針」は、個人情報保護法ができる前からあった同指針に、個人情報保護法の規定をそのまま全部追加するような規定ぶりになっていた。それでは何のために適用除外したのだかわからない*2というのが高田委員の指摘であろう。改正後の医学系研究倫理指針が第三者提供制限の規定を入れなかったのは、その考え方に沿ったものではないか。

個人情報保護法の規制はすべてが絶対的なルールなわけではない。特に23条の第三者提供の制限は、民間事業者について、提供先に何のルールもない状況でそれを許せば、人々の個人データがどこに行ってしまうかわからなくなるため、まずは一律に規制することになっているものにすぎない。

実は、行政機関個人情報保護法（行政機関法）では、民間部門の個人情報保護法23条の第三者提供に相当する規定が存在しない。行政機関法8条は「利用及び提供の制限」として、「利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。」と規定しているが、これは、目的外利用の提供を禁止しているのであって、目的内の提供を禁止するものではない*3。対して、民間部門の第三者提供は、目的内であっても制限されている。民間は、様々な事業者がいて、悪質な事業者もいるだろうし、研究機関のような自主的な取り組みも期待できるとは限らないのだから、目的内利用であっても一律に第三者提供を制限しているということだろう。

提供先に一定のルールがあることを条件にこの制限を外す規制のあり方も考えられる。パーソナルデータ検討会で構想されていた「FTC3要件」はまさにそのようなものであった*4。

実際、ゲノム指針は、連結不可能匿名化されたものは個人情報に当たらないとしながらも、「3 保護すべき個人情報」の(3)で「個人情報に該当しない場合であっても、遺伝情報、診療情報等個人の特徴や体質を示す情報は、本指針に基づき適切に取り扱われなければならない。」としており、「6 研究を行う機関の長の責務」の(5)でも、「個人情報に該当しない匿名化された情報を取り扱う場合は、当該情報を適切に管理することの重要性の研究者等への周知徹底、当該情報の管理（事故等の対応を含む。）、責任の明確化、研究者等以外の者による当該情報の取扱いの防止等、適切な措置を講じなければならない。」とされている。ここで言う「個人情報」に当たらなくても保護する必要があることを踏まえた規定ぶりになっている。*5

一般の民間事業者とは異なる学術研究の場においては、一定の社会的信頼の置かれる者のみで構成されるサークル内で、倫理指針で定められたルールの下で取り扱うのを条件に、かつ、そのような利用に高度な公益性が認められるものであれば、個人情報保護法の義務とは異なる独自のルールで取り扱ってもかまわないとすることができる。それを可能とするための適用除外だったはずだ。

独立行政法人の適用除外

ところで、会合の最後で武藤委員から出た、独立行政法人等個人情報保護法（独法法）には適用除外がなく、国立研究開発法人や国立大学はどうなるのかとの質問について、会合では事務局からの回答がなかった。この点について以下で検討する。

まず、独法法は行政機関法とほぼ同じ（条番号が1番ずれていてややこしいので以下は行政機関法の条番号を用いる。）で、8条（利用及び提供の制限）で制限されている提供は目的外の提供だけなので、研究目的であれば、目的内の提供として元々規制されていないとみなすことができるかもしれない。

ただ、「研究目的」という大雑把な利用目的でよいのかが問題となり得る。より詳細に研究の内容まで特定しなければ、3条1項の「個人情報を保有するに当たっては、法令の定める所掌事務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならない。」に違反してしまうのかどうか。ある研究Aのために取得した試料を別の研究Bに利用するのが、やはり目的外利用ということになるのかどうか。

しかし、行政機関法（及び独法法）では、目的外の利用も許す規定がある。8条（利用及び提供の制限）の2項は、「前項の規定にかかわらず、（略）次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。」とし、その4号に、「専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由のあるとき。」が示されている。

このように行政機関法（及び独法法）はかなり利用・提供規制が緩いのだが、これは、3条で利用目的が「法令の定める所掌事務を遂行するため必要な場合に限り」（独法法では「法令の定める業務を遂行するため必要な場合に限り」）とされているからこそである。逆に、民間部門は、利用・提供規制が厳しい反面、利用目的をどう設定するかは、自ら決定できるものであり、目的の内容について全く自由で、なんらの規制もない。

また、行政機関法（及び独法法）は、前記の8条2項4号で目的外利用を認めているものの、続く9条（保有個人情報の提供を受ける者に対する措置要求）で、「前条第2項第3号又は第4号の規定に基づき、保有個人情報を提供する場合において、必要があると認めるときは、保有個人情報の提供を受ける者に対し、提供に係る個人情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。」となっていて、受領者に一定のルールの下での利用を義務付ける（義務というか「措置要求」となっているが）ことが想定されている。

というわけで、ゲノム指針の利用・提供に係る制限が個人情報保護法より緩いものとなっていても、行政機関及び独立行政法人についても、この8条と9条（独法法では9条と10条）があることによって、矛盾しないものとなっていると言える。民間部門では全部適用除外だったのと違い、受領者に一定のルールに従う措置を要求することになっているが、指針は、それに当たることを既に規定しているので、行政機関法及び独法法にちゃんと従っていると言うことができるだろう。*6

矛盾の解消に向けて

これらの関係を図示すると以下のようになる。

図1: 利用目的制限の緩厳と提供制限の緩厳

行政機関と独立行政法人については、指針のルール（緑）は保護法の枠（青）の中にすっぽり入る。民間の研究機関（私立大学等）は、保護法の枠（黄）から上にはみ出ていることになるが、適用除外となる機関である限り違反でない。（「金融信用情報」はご参考用。分野ごとに硬く規律されるところもある。）

このように、遺伝情報あるいはゲノムデータが個人情報に該当するのだとしても、ゲノム指針に従う研究は、ほぼほぼ違反していないということになる。

残る問題は、民間部門の研究機関の適用除外がいかほどの範囲を指しているのかであろう。

条文では、「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」については、個人情報を取り扱う目的の全部又は一部が「学術研究の用に供する目的 」であるときは適用しないとされている（改正前50条）。

「大学その他の学術研究を目的とする機関」が何を指すのかについて、文献[宇賀2013]は、「民間企業が研究所という名称を冠した組織を設立していても、もっぱら自社の製品開発を行っている場合には、「学術研究を目的とする機関」とはいえない。」（183頁）としている。この点、会合の最後で武藤委員から、製薬企業が収集しているゲノムデータについて、薬機法の対象であるからゲノム指針の対象から外されている件について発言されていた。その発言の趣旨が私にはわからなかったが、製薬企業の製品開発のための研究は、学術研究機関に当たらず、そのままでは適用除外とならない。

しかし、条文には「若しくは団体又はそれらに属する者」とあって、「団体」には学会が入る*7とされている。そして、起草者らによる逐条解説書[園部2005]によると、「「それらに属する者」とは、大学の教員、研究所の研究員、学会の会員等をいう。したがって、民間企業で活動する者であっても、学会の会員として研究成果を発表するなどの目的で個人情報を取り扱う場合には、本号の対象となる。本項各号中、本号のみ「それらに属する者」が規定されているのは、学術研究機関等における学術研究活動は、必ずしも当該機関・団体自身として行われるものではなく、それらに所属する個々人（大学に籍を置く研究者等）として行われる活動も含まれることによる。」となっている。

そうすると、製薬会社であっても所属する研究員が学会発表する目的であれば適用除外になるのか？ということになるが、その学会発表のために用いられる個人情報が、会社によって取得されたものであれば、会社にも個人情報取扱事業者としての管理義務があるはずなので、そちらの義務は適用除外にならないのでは？とも考えられる。となると、この「又はそれらに属する者」との規定はあまり使える場面がなく、ほとんど死文ではないか？という疑問がわくわけで、そもそもこのような場合をどう扱うつもりの規定だったのかが謎として残る。

以上から、これからどう解決していけばよいかが見えてくるだろう。

まず、ゲノム指針は、対象の研究が適用除外となることを前提とした、独自のルールだったということにする。個人情報定義のところも、独自の解釈だったが、政府解釈とは異なるものだったので、今後は法に合わせた解釈に変更していくことにする。

その上で、これまでの、連結不可能匿名化・連結可能匿名化したデータの取り扱いルールを、「個人情報であるが利用することができる」とか、「個人情報であるが提供することができる」とする規定を設けて、保護法違反とならないことを明確にする。

こうすることで、たとえ、今論点となっている、遺伝情報が個人識別符号に入ることになって個人情報に当たることとなっても、これまで通りの研究に支障がないようにすることができるのではないか。

ただ、それでもなお、微妙なところは残りそうである。

一つには、個人情報であると認めての自主ルールであるのだから、提供先をしっかりと限定する必要があるし、受領者にも適切なルールを課す必要がある。今のゲノム指針でそれが十分にできているのか確認する必要があるように思える。もう一つは、地方公共団体の個人情報保護条例が適用される場合。これを行政機関法と同様に、目的内提供として、あるいは、学術研究目的の例外として読めるような条例になっているのか、それぞれの自治体ごとに問われることになる。他にも、もし、ゲノム指針の対象であるのに学術研究に当たらない領域があるのであれば、そこは誤魔化し切れない。

そういった不都合が残る場合には、ゲノム法なり、医療系の特別法なりの立法措置によって解決することになるのではないか。まずは、近い将来の立法措置を見据えて、現状の整理をすればよいと思う。

参考文献

• [岡村2014] 岡村久道, パーソナルデータの利活用に関する制度見直しと検討課題（中）, NBL No.1020, pp.68-74
• [宇賀2013] 宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣
• [園部2005] 園部逸夫編, 個人情報保護法の解説《改訂版》, ぎょうせい

（12月2日訂正：「構成員」と書いていたものを「委員」に修正。配布資料に「構成員」と書かれていたのでそのようにしていたが、現場では「委員」とされているので修正。）