個人情報保護制度①（法制の一元化と行政機関等の義務）

第9章 情報公開・個人情報保護 #126／動画の内容を見返し用にまとめたものです（動画には含みません）。

役所が持つ「あなたの情報」は誰に見せてよいか

図：今日の問い

• 情報公開＝請求者は誰でもよい・原則開示
• 個人情報保護＝本人以外には見せない・本人には見せる
• 問い＝役所が持つ「あなたの情報」は誰に見せてよく誰に見せてはいけないか
• 道筋＝①出発点と一元化→②定義の階段→③取る→④使う・渡す→⑤守る→⑥ファイルと罰則

前回の最後に、予告をしました。情報公開は、みんなに見せる制度でした。個人情報保護は、本人以外には見せず、本人には見せる制度です。今日は、その前半です。情報公開法の5条1号は、個人に関する情報を、不開示の網に入れていました。ただし、あれは、請求された文書を、他人に見せるかどうかの場面です。今日は、役所が、そもそも個人の情報を、どう集め、どう使い、誰に渡し、どう守らなければならないのか。行政の側の義務を見ます。今日の問いは、こうです。役所が持っている、あなたの情報は、誰に見せてよく、誰に見せてはいけないのか。

図：設例の登場人物

• A＝乙市の長〔行政機関等〕
• B＝本人〔乙市の住民〕
• C＝情報の提供先〔民間の学習塾・他の行政機関〕
• Bが児童手当の申請書〔氏名・住所・口座・世帯の収入〕を書面で提出→A

設例を置きます。乙市の長をA、乙市に住む本人をB、情報の提供先をCとします。Cは、民間の学習塾のこともあれば、他の行政機関のこともあります。Bは、児童手当の申請書を、乙市に書面で出しました。氏名、住所、口座、世帯の収入が書かれています。この1枚の申請書が、取られ、使われ、渡され、守られる。その道のりを、最後まで追います。答えを先に言います。役所は、集めた目的の範囲でしか、情報を使えません。目的の外へ出るのは、法律が決めた例外だけです。そして、集めた情報は、漏らさないよう守り続けます。順に見ましょう。

向きの違いと、自己情報コントロール権

図：2つの制度の向き

• 情報公開＝請求者は誰でもよい・原則開示・個人に関する情報は不開示の側
• 個人情報保護＝本人以外には原則見せない・本人には見せる〔本人の請求は次回〕・役所が取扱いの義務を負う
• 同じ行政文書でも誰が・どの向きで見るかが逆

まず出発点です。情報公開は、請求者が誰でもかまいません。原則は開示で、個人に関する情報は、不開示の側に入ります。個人情報保護は、反対です。本人以外には、原則、見せません。本人には、見せます。同じ行政文書でも、誰が、どの向きで見るのかが逆なのです。入口は、憲法13条です。13条から導かれるプライバシー権は、かつては、そっとしておいてもらう権利、という消極的なものと考えられていました。現代では、それにとどまらず、自分の情報の扱いを自分でチェックできる、積極的な権利として理解されます。これを、自己情報コントロール権と呼びます。

給付を受けるには、正しい住所や口座を知らせないと始まりません。だから、知らせないことで守るのではなく、知らせたあとの扱いに目を光らせる仕組みが要ります。見たいのは2点です。役所の手元の記録が、事実と合っているか。そして、預けた目的の外へ流れたり、外へ出たりしていないか。2点目の歯止めが、今日の中心です。

3本立てから1本へ——2021年の一元化

図：法制の歩み

• 1988年＝国の行政機関の電算機処理に係る個人情報の法律
• 2003年＝個人情報保護法〔基本＋民間〕・行政機関個人情報保護法・独立行政法人等個人情報保護法の3本立て＋地方公共団体は各条例
• 2021年の改正＝1本の個人情報保護法に一元化〔旧2法は廃止・地方公共団体も法律の規律に・条例は独自の規律の余地〕＋個人情報保護委員会が官民を一元的に監督
• さらに改正が公布され未施行

次に、その歯止めを置く法律の歩みです。1988年に、国の行政機関が電子計算機で処理する個人情報について、法律ができました。2003年には、個人情報保護法ができます。これは、基本の枠組みと、民間事業者の規律でした。ほかに、国の行政機関向けの法律と、独立行政法人向けの法律があり、合わせて3本立てです。地方公共団体は、それぞれが条例で定めていました。そこで、2021年の改正で、公的部門も1本の個人情報保護法に統合されました。これが、一元化です。2つの法律は廃止され、内容は個人情報保護法に移りました。地方公共団体の機関にも、この法律が直接適用されます。条例で独自の規律を置く余地は、残されています。

一元化で、何が1つになったのですか。2つあります。1つ目は、ルールです。民間と公的部門で別々だった法律が、1本になりました。2つ目は、監督です。個人情報保護委員会が、民間事業者だけでなく、行政機関等も、一元的に監督し、監視します。背景は3つです。デジタル社会が進み、官民のデータを連携して活用する場面が増えたこと。国際的な規律との整合が求められたこと。そして、条例の中身が地方ごとにばらばらで、連携の妨げになっていたことです。委員会は、国の行政組織の回で見た、内閣府の外局の1つです。委員長と委員は、独立して職権を行う、と法律が定めています。民間事業者への監督は、行政指導の回で見ましたが、2021年の改正で、行政機関等への監視の権限も加わりました。法律の目的を読みます。

条文個人情報の保護に関する法律1条

個人情報の保護に関する法律 第一条 　この法律は、デジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにし、個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応じて遵守すべき義務等を定めるとともに、個人情報保護委員会を設置することにより、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。

読み方です。目的には、2つが並びます。個人の権利利益を保護すること。そのために、個人情報の有用性にも配慮すること。保護だけでも、活用だけでもありません。そして、事業者と行政機関等に、特性に応じた義務を定める、とあります。役所は、法令に基づいて住民から情報を集める立場にあり、住民の側は断りにくい。だから、民間とは別に、行政機関等に特有の義務が置かれている、と説明されます。

定義の階段① 個人情報

図：定義の階段

• 個人情報〔2条1項〕→行政機関等〔2条11項〕→保有個人情報〔60条1項〕→個人情報ファイル〔60条2項〕
• 義務の条文は、どの段の言葉を対象にするかで読み分ける

義務の条文を読む前に、言葉を整理します。条文は、個人情報、保有個人情報と、対象の言葉が条ごとに違います。そこで、言葉の階段を先に作ります。1段目は、個人情報。2段目は、それを扱う行政機関等。3段目は、行政機関等が持つ個人情報のうち、行政文書等に記録されたもの、保有個人情報。4段目は、それを体系的に検索できる集まり、個人情報ファイルです。1段目、2条1項です。

条文個人情報の保護に関する法律2条1項

個人情報の保護に関する法律 第二条（第1項） １　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。 　一　当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。） 　二　個人識別符号が含まれるもの

読み方です。生存する個人に関する情報で、2つのどちらかに当たるものです。1つ目は、氏名や生年月日などの記述で、特定の個人を識別できるもの。他の情報と容易に照合でき、それで識別できるものも含みます。2つ目は、個人識別符号が含まれるものです。境界で確かめます。Bの氏名と住所が書かれた申請書は、個人情報です。一方、乙市の児童手当の受給世帯は2000世帯、という統計は、特定の誰かを識別できないので、個人情報ではありません。ただし、氏名を消しても、住所と生年月日が残っていて、住民の台帳と容易に照合できるなら、識別できることになり、個人情報に当たりえます。決め手は、名前の有無ではなく、特定の個人にたどり着けるかどうかです。

「生存する」とあるので、亡くなった人の情報だけでは、この定義の個人情報ではありません。ただし、たとえば、子が亡くなった記録は、親自身の情報とも見られることがあります。次は、個人識別符号です。

条文個人情報の保護に関する法律2条2項

個人情報の保護に関する法律 第二条（第2項） ２　この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。 　一　特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの 　二　個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

読み方です。1つ目は、顔や指紋など、身体の特徴を変換したデータです。2つ目は、サービスや商品、カードに割り当てられ、人ごとに異なる番号で、旅券の番号などがあります。どちらも、政令で定められたものです。それだけで本人と分かる符号、とつかめば足ります。

定義の階段② 行政機関等

図：行政機関等

• 2条11項＝①行政機関〔会計検査院を含む〕②地方公共団体の機関〔議会を除く〕③独立行政法人等④地方独立行政法人
• ③④は別表第二の法人や大学・病院・研究機関などの特定業務を除く＝民間と同じ規律
• 乙市の長A＝②

2段目、行政機関等です。国の行政機関、地方公共団体の機関、独立行政法人等、地方独立行政法人の4つを、同じ網で捕まえるための言葉です。2条11項です。

条文個人情報の保護に関する法律2条11項

個人情報の保護に関する法律 第二条（第11項） １１　この法律において「行政機関等」とは、次に掲げる機関をいう。 　一　行政機関 　二　地方公共団体の機関（議会を除く。次章、第三章及び第六十九条第二項第三号を除き、以下同じ。） 　三　独立行政法人等（別表第二に掲げる法人を除く。第十六条第二項第三号、第六十三条、第七十八条第一項第七号イ及びロ、第八十九条第四項から第六項まで、第百十九条第五項から第七項まで並びに第百二十五条第二項において同じ。） 　四　地方独立行政法人（地方独立行政法人法第二十一条第一号に掲げる業務を主たる目的とするもの又は同条第二号若しくは第三号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。第十六条第二項第四号、第六十三条、第七十八条第一項第七号イ及びロ、第八十九条第七項から第九項まで、第百十九条第八項から第十項まで並びに第百二十五条第二項において同じ。）

読み方です。会計検査院も含む国の行政機関、議会を除く地方公共団体の機関、独立行政法人等、地方独立行政法人です。設例の、乙市の長のAは、2号の、地方公共団体の機関に当たります。議会は、行政を担う機関ではなく、自分の運営を自律的に定める立場にあるため、と説明されます。市長や教育委員会などの執行機関は入ります。もう1つ、かっこ書きの除外があります。独立行政法人等や地方独立行政法人のうち、大学や病院、研究機関などの一部は、民間の同じ種類の機関と同じ規律を受けるのが適切だとして、行政機関等から外れています。

定義の階段③ 保有個人情報——情報公開法の定義との違い

図：保有個人情報

• 60条1項＝行政機関等の職員が職務上作成し又は取得した個人情報
• 職員が組織的に利用するものとして行政機関等が保有している
• 行政文書・法人文書・地方公共団体等行政文書〔行政文書等〕に記録されているものに限る

ここで、情報公開の回の復習を1問。情報公開法5条1号の、個人に関する情報は、プライバシーに当たるかを問うのでしょうか？　それとも、特定の個人を識別できるかを問うのでしょうか？識別できるかを問う型でした。個人識別型です。その型を頭に置いて、個人情報保護法の定義と並べます。まず3段目、60条1項です。

条文個人情報の保護に関する法律60条1項本文

個人情報の保護に関する法律 第六十条（第1項・本文） １　この章及び第八章において「保有個人情報」とは、行政機関等の職員（独立行政法人等及び地方独立行政法人にあっては、その役員を含む。以下この章及び第八章において同じ。）が職務上作成し、又は取得した個人情報であって、当該行政機関等の職員が組織的に利用するものとして、当該行政機関等が保有しているものをいう。

本文は、職員が職務上作成し、取得して、組織的に利用するものとして保有している個人情報、です。続いて、ただし書です。

条文個人情報の保護に関する法律60条1項ただし書

個人情報の保護に関する法律 第六十条（第1項・ただし書） 　ただし、行政文書（行政機関の保有する情報の公開に関する法律（平成十一年法律第四十二号。以下この章において「行政機関情報公開法」という。）第二条第二項に規定する行政文書をいう。）、法人文書（独立行政法人等の保有する情報の公開に関する法律（平成十三年法律第百四十号。以下この章において「独立行政法人等情報公開法」という。）第二条第二項に規定する法人文書（同項第四号に掲げるものを含む。）をいう。）又は地方公共団体等行政文書（地方公共団体の機関又は地方独立行政法人の職員が職務上作成し、又は取得した文書、図画及び電磁的記録であって、当該地方公共団体の機関又は地方独立行政法人の職員が組織的に用いるものとして、当該地方公共団体の機関又は地方独立行政法人が保有しているもの（行政機関情報公開法第二条第二項各号に掲げるものに相当するものとして政令で定めるものを除く。）をいう。）（以下この章において「行政文書等」という。）に記録されているものに限る。

行政文書、法人文書、地方公共団体等行政文書に、記録されているものに限る、という絞りです。この形は、見覚えがあるはずです。情報公開法の、行政文書の定義です。

条文行政機関の保有する情報の公開に関する法律2条2項

行政機関の保有する情報の公開に関する法律 第二条（第2項・本文） ２　この法律において「行政文書」とは、行政機関の職員が職務上作成し、又は取得した文書、図画及び電磁的記録（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られた記録をいう。以下同じ。）であって、当該行政機関の職員が組織的に用いるものとして、当該行政機関が保有しているものをいう。ただし、次に掲げるものを除く。

職務上作成し、取得したこと。組織的に用いること。保有していること。同じ作りです。国の行政機関なら行政文書、独立行政法人なら法人文書、地方なら同じ形の文書。つまり、役所が組織として持っている文書に載っている個人情報が、保有個人情報です。申請書に書かれたBの情報は、これに当たります。一方、職員が自分の手帳に書き留めただけで、組織では使わないメモは、行政文書に当たらないので、保有個人情報にも入りません。次に、情報公開法の5条1号と、並べます。個人情報保護法の定義は、先ほど読みました。

条文行政機関の保有する情報の公開に関する法律5条1号本文

行政機関の保有する情報の公開に関する法律 第五条（第一号・本文） 一　個人に関する情報（事業を営む個人の当該事業に関する情報を除く。）であって、当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項をいう。次条第二項において同じ。）により特定の個人を識別することができるもの（他の情報と照合することにより、特定の個人を識別することができることとなるものを含む。）又は特定の個人を識別することはできないが、公にすることにより、なお個人の権利利益を害するおそれがあるもの。ただし、次に掲げる情報を除く。

図：3つの語の比較

• 情報公開法5条1号の「個人に関する情報」＝不開示にする網・「生存」の限定は条文に無い・「他の情報と照合することにより」
• 個人情報保護法2条1項の「個人情報」＝保護の対象の範囲・「生存する個人」に限る・「他の情報と容易に照合」
• 60条1項の「保有個人情報」＝行政が管理すべき対象・行政文書等に記録され組織的に保有されるもの

3つを並べました。5条1号の個人に関する情報は、不開示にする網です。個人情報は、保護の対象の範囲です。保有個人情報は、行政が管理すべき対象です。目的が違うので、定義の細部も違います。条文で比べます。個人情報は、生存する個人に限り、他の情報と容易に照合できるもの、と書かれています。5条1号には、生存の限定も、容易に、という言葉も書かれていません。「他の情報と照合することにより」と書かれているだけです。なぜ、5条1号のほうが広いのですか。5条1号は、誰にでも見せるかを決める網だからです。一度見せた文書は、誰の手に渡るか分かりません。近所の人なら知っている事情と組み合わせて、誰のことか分かってしまうこともあります。だから、容易に、と絞らずに網をかけ、亡くなった人の情報も外しません。しかも5条1号には、情報公開の回で見た後段があり、誰のことか分からなくても、公にすると個人の権利利益を害するおそれがあれば、不開示にします。一方、個人情報は、役所が義務を負って扱う範囲を決める言葉です。生きている本人が、自分で確かめ、正すことを前提にした仕組みなので、生存する個人に限り、照合も、容易にできるものに絞っています。

どの場面の言葉か、で分けます。文書を見せるか決める場面なら、5条1号。保護の対象を考える場面なら、個人情報。行政が管理する義務の対象なら、保有個人情報です。そして、義務の条文では、対象の言葉が分かれます。取る段階の61条から64条は、まだ文書に載る前の情報も含めて、個人情報が対象です。65条以降は、多くが保有個人情報で、67条の従事者の義務だけは、個人情報です。職員が窓口の会話で聞いただけで、文書には載っていない情報も、漏らしてはいけないからです。4段目、個人情報ファイルです。

条文個人情報の保護に関する法律60条2項

個人情報の保護に関する法律 第六十条（第2項） ２　この章及び第八章において「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、次に掲げるものをいう。 　一　一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの 　二　前号に掲げるもののほか、一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの

読み方です。保有個人情報を含む情報の集まりで、検索しやすく体系的に作られたものです。1号が電子計算機で検索できるもの、2号が、氏名などで容易に検索できる、紙のカード式のものです。これは、あとの74条と75条で使います。

取る——61条・62条・64条

図：取る

• 61条＝法令の定める所掌事務・業務の遂行に必要な場合に限り・利用目的をできる限り特定
• 達成に必要な範囲を超えて保有しない
• 変更は相当の関連性の範囲内
• 62条＝本人から直接書面〔電磁的記録を含む〕で取得するとき利用目的をあらかじめ明示・例外4つ
• 64条＝偽りその他不正の手段による取得の禁止
• 設例＝Bの申請書→「児童手当の支給の審査のため」と明示

ここから、義務です。順番は、取る、使う、渡す、守る。設例の申請書で、1つ目の、取る、から始めます。

条文個人情報の保護に関する法律61条

個人情報の保護に関する法律 第六十一条 １　行政機関等は、個人情報を保有するに当たっては、法令（条例を含む。第六十六条第二項第三号及び第四号、第六十九条第二項第二号及び第三号並びに第四節において同じ。）の定める所掌事務又は業務を遂行するため必要な場合に限り、かつ、その利用目的をできる限り特定しなければならない。 ２　行政機関等は、前項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。 ３　行政機関等は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

読み方です。役所が個人情報を持てるのは、法令の定める事務を行うために必要な場合に限られます。しかも、利用目的を、できる限り特定します。目的の達成に必要な範囲を超えて、持ってもいけません。利用目的を変えるときも、変える前と相当の関連性がある範囲までです。Aが、Bの申請書を取るのは、児童手当の事務のためで、目的は、児童手当の支給の審査です。次は、取るときに、本人へどう伝えるかです。

条文個人情報の保護に関する法律62条

個人情報の保護に関する法律 第六十二条 　行政機関等は、本人から直接書面（電磁的記録を含む。）に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。 　一　人の生命、身体又は財産の保護のために緊急に必要があるとき。 　二　利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。 　三　利用目的を本人に明示することにより、国の機関、独立行政法人等、地方公共団体又は地方独立行政法人が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。 　四　取得の状況からみて利用目的が明らかであると認められるとき。

読み方です。本人から、直接、書面に記録された本人の個人情報を取得するときは、あらかじめ、利用目的を明示します。書面には、電磁的記録、つまり、入力フォームなども含まれます。例外は4つです。緊急に必要なとき。明示すると本人や第三者の権利利益を害するおそれがあるとき。明示すると役所の事務の適正な遂行に支障が出るおそれがあるとき。そして、取得の状況から目的が明らかなときです。設例では、Bは申請書を書面で出したので、Aは、児童手当の支給の審査のためです、と明示します。条文は、本人から直接書面に記録された個人情報、と限っています。口頭の聞き取りは、書面ではないので、この62条の明示義務の対象ではありません。ただし、61条の制限は受けます。必要な場合に限り、目的を特定する、という制限です。

条文個人情報の保護に関する法律64条

個人情報の保護に関する法律 第六十四条 　行政機関の長等は、偽りその他不正の手段により個人情報を取得してはならない。

64条の主語は、行政機関の長等、です。61条と62条の、行政機関等、と違い、国の分だけ、機関ではなく、その長に義務を負わせる書き方になります。この言葉は63条で定義されるので、あとで読みます。指す相手は、国の行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人で、行政機関等と同じ4つです。64条は、適正な取得です。たとえば、別の用途だと偽って、世帯の収入を聞き出すことは、できません。取るときの3つの決まりをまとめると、必要な場合に限って、目的を特定して、不正な手段を使わない、です。

使う——不適正な利用の禁止と、目的外利用の原則禁止

図：使う・渡すの全体

• 63条＝違法・不当な行為を助長・誘発するおそれがある方法で個人情報を利用しない
• 69条1項＝法令に基づく場合を除き利用目的以外の目的で保有個人情報を自ら利用・提供しない〔原則禁止〕
• 喩え＝預かった合鍵は預かった目的の範囲でだけ使う
• 設例＝Aの別部局がBの住所を公営住宅の入居案内に使いたい

2つ目、使う、です。ここで1度止めます。Aは、児童手当の申請書で集めたBの住所を、公営住宅の入居案内に使いたい。使ってよいでしょうか。同じ市の中なら自由に使える、とは限りません。それを決めるのが、これから見る条文です。先に、使い方そのものの制限から。

条文個人情報の保護に関する法律63条

個人情報の保護に関する法律 第六十三条 　行政機関の長（第二条第八項第五号から第七号までの政令で定める機関にあっては、その機関ごとに政令で定める者をいう。以下この章及び第百七十四条において同じ。）、地方公共団体の機関、独立行政法人等及び地方独立行政法人（以下この章及び次章において「行政機関の長等」という。）は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

63条は、不適正な利用の禁止です。目的が合っていても、違法や不当な行為を助長したり、誘発したりするおそれのある使い方は、してはいけません。たとえば、特定の住民への嫌がらせに使われると分かっているのに、その人の住所の情報を使って働きかける、といった使い方です。次が、山場の69条です。例えるなら、管理会社に預けた合鍵です。合鍵は、点検という、預けた目的の範囲でだけ使えます。別の用に使うことも、他人に貸すことも、本人の許しなどの例外がなければ、してはいけません。役所が預かった個人情報も、同じ考え方です。原則から読みます。

条文個人情報の保護に関する法律69条1項

個人情報の保護に関する法律 第六十九条（第1項） １　行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。

原則は、目的外の利用も、外への提供も、禁止です。自分で利用する、は役所の内部での目的外利用。提供する、は外へ渡すことです。ただし、冒頭に、法令に基づく場合を除き、とあります。別の法律が、その利用や提供を定めている場合です。このときは、2項を見るまでもなく、目的の外へ出せます。

図：69条の構造

それでも、原則だけでは、役所の仕事が回りません。そこで、2項が例外を認めます。構造を図で出しました。原則禁止、例外が4つ、そして、ただし書で戻ります。

条文個人情報の保護に関する法律69条2項柱書

個人情報の保護に関する法律 第六十九条（第2項・柱書） ２　前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。

次の各号のどれかに当たると認めるときは、目的外の利用や提供ができます。ただし書では、本人や第三者の権利利益を不当に侵害するおそれがあれば、各号に当たっていても、できません。例外の例外です。4つの号を、前半から読みます。

条文個人情報の保護に関する法律69条2項1号・2号

個人情報の保護に関する法律 第六十九条（第2項・第一号・第二号） 　一　本人の同意があるとき、又は本人に提供するとき。 　二　行政機関等が法令の定める所掌事務又は業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当の理由があるとき。

1号は、本人の同意があるとき、または、本人に提供するときです。2号は、役所の内部で利用する場合です。条件が2つあります。法令の定める所掌事務の遂行に必要な限度であること。そして、利用することに相当の理由があること。便利だから、では足りません。相当の理由とは、客観的に見て、使うことがもっともだと言える理由です。たとえば、児童手当を受けている世帯に、同じ子育て世帯向けの別の給付を漏れなく届けるため、子育て支援の部局が住所を使う場合は、元の目的に近く、本人の利益にもなるので、認められる方向です。後半の2つです。

条文個人情報の保護に関する法律69条2項3号

個人情報の保護に関する法律 第六十九条（第2項・第三号） 　三　他の行政機関、独立行政法人等、地方公共団体の機関又は地方独立行政法人に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当の理由があるとき。

条文個人情報の保護に関する法律69条2項4号

個人情報の保護に関する法律 第六十九条（第2項・第四号） 　四　前三号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由があるとき。

3号は、他の行政機関等に提供する場合で、受ける側が必要な限度で使い、相当の理由があることが条件です。4号は、専ら統計や学術研究、明らかに本人の利益、その他の特別の理由がある場合です。

条文個人情報の保護に関する法律69条3項・4項

個人情報の保護に関する法律 第六十九条（第3項・第4項） ３　前項の規定は、保有個人情報の利用又は提供を制限する他の法令の規定の適用を妨げるものではない。 ４　行政機関の長等は、個人の権利利益を保護するため特に必要があると認めるときは、保有個人情報の利用目的以外の目的のための行政機関等の内部における利用を特定の部局若しくは機関又は職員に限るものとする。

3項は、例外に当たっても、他の法律が利用や提供を制限していれば、その制限は残る、という確認です。4項は、必要があるとき、内部の目的外利用を、特定の部局や職員に限る、という定めです。設例に戻ります。Aの別部局が、Bの住所を、公営住宅の入居案内に使いたい。これは、内部での目的外利用なので、2項2号を見ます。入居案内という、公営住宅の事務の遂行に必要な限度か。そして、児童手当のために集めた住所を、そこに使うことに相当の理由があるか。便利だから、では足りません。2つの条件を満たすかは、事案ごとに判断されます。しかも、ただし書で、本人の権利利益を不当に侵害するおそれがあれば、使えません。さきほどの問いへの答えは、こうです。集めた目的の外へは、原則として出せません。出せるのは、法律が決めた例外に当たるときだけです。

渡す——提供の可否と、提供先への措置要求

図：渡す

• 設例＝C〔民間の学習塾〕から児童の名簿の照会→1号の同意が無く・2号は内部利用・3号は他の行政機関等向け・4号の特別の理由も見当たらず→提供不可
• 国の機関から法令の事務のための照会→3号の検討〔受ける側が必要な限度かつ相当の理由〕→ただし書で本人の権利利益を不当に侵害しないか
• 70条＝提供するとき必要があれば提供先に利用の制限・管理措置を求める

3つ目、渡す、です。民間の学習塾のCが、乙市に、児童の名簿が欲しい、と照会してきました。Bの情報を渡してよいでしょうか。条文で、順に消していきます。1号は、本人の同意か、本人への提供ですが、Bの同意がありません。2号は、内部での利用の話で、外の民間事業者には当たりません。3号は、他の行政機関等への提供で、民間のCは含まれません。4号は、統計や学術研究、明らかに本人の利益、特別の理由ですが、学習塾の勧誘には、どれも見当たりません。どの号にも当たらないので、同意がない限り、渡せません。国の機関が、法令の定める事務のために照会してきた場合は、3号の検討に入ります。国の機関は、他の行政機関に当たります。その機関が、法令の定める事務の遂行に必要な限度で利用し、かつ、相当の理由があるなら、提供できます。ただし、本人の権利利益を不当に侵害するおそれがある場合は、ただし書で、できません。たとえば、Bが、配偶者からの暴力を逃れて乙市に移ってきた人で、提供先から相手に住所が伝わるおそれがあるなら、3号の条件を満たしていても、ただし書の、本人の権利利益を不当に侵害するおそれがあるとき、に当たりえます。

条文個人情報の保護に関する法律70条

個人情報の保護に関する法律 第七十条 　行政機関の長等は、利用目的のために又は前条第二項第三号若しくは第四号の規定に基づき、保有個人情報を提供する場合において、必要があると認めるときは、保有個人情報の提供を受ける者に対し、提供に係る個人情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。

読み方です。提供するときに、必要があると認めれば、受け取る側に、利用の目的や方法の制限を付けたり、漏えいを防ぐ措置を求めたりします。渡して終わりではなく、渡した先でも、守らせます。

守る——正確性・安全管理・従事者の義務・漏えい報告

図：守る

• 65条＝正確性の確保〔努めなければならない＝努力義務〕
• 66条＝安全管理措置〔講じなければならない〕・2項＝委託を受けた者・指定管理者等にも準用
• 67条＝従事者の義務〔みだりに他人に知らせ又は不当な目的に利用してはならない〕
• 68条＝漏えい等のうち個人の権利利益を害するおそれが大きいものは委員会に報告・本人に通知
• 設例＝委託先が名簿入りUSBを紛失
• 他の義務の文言＝しなければならない・してはならない

4つ目、守る、です。4つの条文を順に見ます。まず65条です。

条文個人情報の保護に関する法律65条

個人情報の保護に関する法律 第六十五条 　行政機関の長等は、利用目的の達成に必要な範囲内で、保有個人情報が過去又は現在の事実と合致するよう努めなければならない。

読み方です。保有個人情報が、過去または現在の事実と合致するよう、努めなければなりません。注意は、努めなければならない、という書き方です。努力義務です。なぜ、正確性だけが努力義務なのか。条文は、過去または現在の事実と合致するよう、と書き、常に最新に保つことまでは求めていません。しかも、利用目的の達成に必要な範囲内で、とあります。Bが去年出した申請書は、その時点の事実の記録なので、あとで引っ越したからといって書き換える必要はありません。ほかの条文の、しなければならない、してはならない、とは強さが違います。短答では、ここが問われます。

条文個人情報の保護に関する法律66条1項

個人情報の保護に関する法律 第六十六条（第1項） １　行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。

66条1項は、安全管理措置です。漏えい、滅失、毀損の防止などのために、必要かつ適切な措置を講じなければなりません。こちらは義務です。

条文個人情報の保護に関する法律66条2項1号・2号

個人情報の保護に関する法律 第六十六条（第2項・第一号・第二号） ２　前項の規定は、次の各号に掲げる者が当該各号に定める業務を行う場合における個人情報の取扱いについて準用する。 　一　行政機関等から個人情報の取扱いの委託を受けた者　当該委託を受けた業務 　二　指定管理者（地方自治法（昭和二十二年法律第六十七号）第二百四十四条の二第三項に規定する指定管理者をいう。）　公の施設（同法第二百四十四条第一項に規定する公の施設をいう。）の管理の業務

そして、2項が、この義務を、個人情報の取扱いの委託を受けた者や、指定管理者、つまり、公の施設の管理を任された団体などにも、準用します。役所が外に任せても、守る責任は消えません。

条文個人情報の保護に関する法律67条

個人情報の保護に関する法律 第六十七条 　個人情報の取扱いに従事する行政機関等の職員若しくは職員であった者、前条第二項各号に定める業務に従事している者若しくは従事していた者又は行政機関等において個人情報の取扱いに従事している派遣労働者（労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律（昭和六十年法律第八十八号）第二条第二号に規定する派遣労働者をいう。以下この章及び第百七十六条において同じ。）若しくは従事していた派遣労働者は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

67条は、従事者の義務です。対象は、職員や元職員のほか、委託先で働く人や、派遣労働者です。辞めたあとも義務は続きます。業務で知った個人情報を、みだりに他人に知らせたり、不当な目的に使ったりしてはいけません。

条文個人情報の保護に関する法律68条1項

個人情報の保護に関する法律 第六十八条（第1項） １　行政機関の長等は、保有個人情報の漏えい、滅失、毀損その他の保有個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

読み方です。漏えいなどのうち、個人の権利利益を害するおそれが大きいものとして、委員会の規則で定められた事態が生じたときは、委員会に報告しなければなりません。

条文個人情報の保護に関する法律68条2項

個人情報の保護に関する法律 第六十八条（第2項・第一号） ２　前項に規定する場合には、行政機関の長等は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、次の各号のいずれかに該当するときは、この限りでない。 　一　本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。

2項で、本人にも通知します。ただし、通知が困難で代わりの措置をとる場合などは除かれます。設例の、守る、です。乙市がデータ入力を委託した業者が、名簿の入ったUSBを紛失しました。まず、66条2項で、委託先にも安全管理の義務が及びます。これは、業者という組織に、管理の措置を求める義務です。一方、67条は、そこで働く一人一人に、知った情報を漏らさない義務を課します。紛失は管理の問題なので、66条2項で見ます。そして、この紛失が、個人の権利利益を害するおそれが大きい事態として規則で定めるものに当たるなら、Aは、68条1項で委員会に報告し、2項で本人に通知します。規則の基準は、たとえば、病歴のように特に配慮が要る情報が含まれるとき、財産の被害が出るおそれがあるとき、不正な目的によるおそれがあるとき、そして、本人の数が100人を超えるときです。乙市の受給世帯は2000世帯なので、名簿がその規模なら、人数だけで報告の対象です。ただし、高度な暗号化など、個人の権利利益を守る措置を講じたデータは、この基準から除かれます。

個人情報ファイル——事前通知とファイル簿

図：74条と75条の対比

• 74条＝誰に向けた義務：国の行政機関〔会計検査院を除く〕
• 何をする：個人情報ファイルを保有しようとするときあらかじめ個人情報保護委員会に事項を通知〔変更時も〕
• 75条＝誰に向けた義務：行政機関の長等〔地方公共団体の機関等を含む〕
• 何をする：個人情報ファイル簿を作成し公表
• 検索しやすい集まりは影響が大きいので保有の時点で透明性を確保

個人情報ファイルに戻ります。検索しやすい集まりは、管理を誤ると、影響が大きくなります。そこで、保有の時点で、透明性を確保する仕組みがあります。それが、74条と75条です。誰に向けた義務かが違うので、図で対比しました。

条文個人情報の保護に関する法律74条1項柱書

個人情報の保護に関する法律 第七十四条（第1項・柱書） １　行政機関（会計検査院を除く。以下この条において同じ。）が個人情報ファイルを保有しようとするときは、当該行政機関の長は、あらかじめ、個人情報保護委員会に対し、次に掲げる事項を通知しなければならない。通知した事項を変更しようとするときも、同様とする。

74条は、国の行政機関が対象です。ファイルを保有しようとするときに、あらかじめ、委員会に、名称や利用目的、記録される項目と範囲などを通知します。変更するときも同じです。事前通知は、委員会が、国の行政機関の保有を前もって把握するための仕組みです。会計検査院は、会計検査院法1条で、内閣に対し独立の地位を有するとされる機関です。内閣府に置かれた委員会へ前もって届け出させるのは、その独立にそぐわないので外されている、と説明されます。委員会が資料の提出を求める156条でも、会計検査院長は除かれています。ファイル簿を作って公表する75条の義務は、会計検査院にもかかります。また、事前通知は、国の行政機関だけを対象にしていた、もとの法律から引き継いだ仕組みです。地方公共団体の機関や独立行政法人等には、事前通知はなく、75条のファイル簿の公表で、透明性を確保します。

条文個人情報の保護に関する法律75条1項

個人情報の保護に関する法律 第七十五条（第1項） １　行政機関の長等は、政令で定めるところにより、当該行政機関の長等の属する行政機関等が保有している個人情報ファイルについて、それぞれ前条第一項第一号から第七号まで、第九号及び第十号に掲げる事項その他政令で定める事項を記載した帳簿（以下この章において「個人情報ファイル簿」という。）を作成し、公表しなければならない。

75条は、ファイル簿です。行政機関の長等、つまり、地方公共団体の機関なども含めて、保有している個人情報ファイルについて、帳簿を作り、公表します。2項と3項に、例外が置かれています。まとめます。74条は、国の行政機関が、委員会へ事前に通知する。75条は、地方も含めて、帳簿を作って公表する。誰に向けた義務かが、違います。

罰則——176条と、公務員法との比較

図：罰則の対比

• 176条＝正当な理由なく個人の秘密に属する事項が記録された電子計算機処理の個人情報ファイルを提供→2年以下の拘禁刑又は100万円以下の罰金
• 180条＝業務に関して知り得た保有個人情報を自己・第三者の不正な利益を図る目的で提供・盗用→1年以下又は50万円以下
• 181条＝職権を濫用して専ら職務の用以外の用に供する目的で個人の秘密に属する事項が記録された文書等を収集→1年以下又は50万円以下
• 国家公務員法・地方公務員法の守秘義務違反＝1年以下の拘禁刑又は50万円以下の罰金

最後の義務のしめくくりが、罰則です。3つの条文を、順に読みます。

条文個人情報の保護に関する法律176条

個人情報の保護に関する法律 第百七十六条 　行政機関等の職員若しくは職員であった者、第六十六条第二項各号に定める業務若しくは第七十三条第五項若しくは第百二十一条第三項の委託を受けた業務に従事している者若しくは従事していた者又は行政機関等において個人情報、仮名加工情報若しくは匿名加工情報の取扱いに従事している派遣労働者若しくは従事していた派遣労働者が、正当な理由がないのに、個人の秘密に属する事項が記録された第六十条第二項第一号に係る個人情報ファイル（その全部又は一部を複製し、又は加工したものを含む。）を提供したときは、二年以下の拘禁刑又は百万円以下の罰金に処する。

176条は、ファイルの提供の罪です。職員や元職員などが、正当な理由なく、個人の秘密に属する事項が記録された個人情報ファイルを提供したときです。対象は、60条2項1号のファイル、つまり電子計算機で検索できるものです。刑は、2年以下の拘禁刑または100万円以下の罰金です。

条文個人情報の保護に関する法律180条

個人情報の保護に関する法律 第百八十条 　第百七十六条に規定する者が、その業務に関して知り得た保有個人情報を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、一年以下の拘禁刑又は五十万円以下の罰金に処する。

条文個人情報の保護に関する法律181条

個人情報の保護に関する法律 第百八十一条 　行政機関等の職員がその職権を濫用して、専らその職務の用以外の用に供する目的で個人の秘密に属する事項が記録された文書、図画又は電磁的記録を収集したときは、一年以下の拘禁刑又は五十万円以下の罰金に処する。

180条は、業務で知った保有個人情報を、自己や第三者の不正な利益を図る目的で、提供したり、盗用したりした場合。181条は、職権を濫用して、専ら職務以外の目的で、個人の秘密に属する事項の記録を収集した場合です。どちらも、1年以下の拘禁刑または50万円以下の罰金です。公務員には、もともと守秘義務の罰則がありますよね。それより重いのですか。比べます。国家公務員法も地方公務員法も、守秘義務違反は、1年以下の拘禁刑または50万円以下の罰金です。個人情報保護法の176条は、2年以下、100万円以下で、それより重い。ところが、180条と181条は、1年以下、50万円以下で、公務員法と同じ程度です。今日の3条のうち、重いのは176条だけです。個人情報ファイルを丸ごと渡す行為の危険の大きさを、反映した刑だと整理できます。設例で当てはめます。職員が、職務と関係なく、私的な目的で、Bの情報が載った書類を集めたなら、181条です。業務で知ったBの情報を、自分の利益のために持ち出して提供したなら、180条です。Bの情報を含むファイルごと、正当な理由なく外に出したなら、176条です。

設例の通し——Bの申請書の道のり

図：設例の通し

• B→A：児童手当の申請書を書面で提出
• ①取る＝61条〔必要な場合に限り・目的を特定〕・62条〔目的の明示〕・64条〔不正な手段の禁止〕
• ②使う＝63条・69条〔別部局の入居案内は2項2号を検討〕
• ③渡す＝69条2項〔C学習塾は同意なく不可・国の機関は3号を検討〕・70条〔提供先への措置要求〕
• ④守る＝65条〜68条〔委託先のUSB紛失は66条2項・68条〕／ファイル＝74条・75条／罰則＝176条・180条・181条

設例を通します。Bの申請書の、道のりです。まず、取る。Aは、児童手当の事務に必要な範囲で、目的を特定して取り、書面なので、利用目的を明示します。不正な手段は使いません。次に、使う。別部局が、住所を入居案内に使いたいなら、原則禁止で、2項2号の条件を見ます。ただし書にも注意です。次に、渡す。民間のCには、同意がなければ渡せません。国の機関には、3号の条件を満たせば渡せます。渡すときは、70条で、利用の制限などを求められます。そして、守る。委託先がUSBを紛失したなら、66条と68条です。職員が不正に集めたり、持ち出したりしたなら、181条、180条、176条です。

今日の地図（保存版）

図：今日の地図

• 出発点＝向きが逆の2制度・自己情報コントロール権
• 一元化＝2021年に1本の個人情報保護法・委員会が官民を監督
• 定義の階段＝個人情報→行政機関等→保有個人情報→個人情報ファイル
• 義務＝取る〔61・62・64〕→使う〔63・69〕→渡す〔69・70〕→守る〔65〜68〕
• ファイル〔74・75〕
• 罰則〔今日の3条では176のみ公務員法より重い〕
• 次回＝本人の側の権利

最初の問いに戻ります。役所が持っているあなたの情報は、誰に見せてよく、誰に見せてはいけないのか。答えは、集めた目的の範囲でしか使えず、外へ出せるのは、法律が決めた例外だけ、です。持ち帰るのは、5点です。1つ目。個人情報保護は、情報公開と向きが逆で、本人以外には原則見せず、本人には見せます。根拠の入口は、自己情報コントロール権です。2つ目。2021年の改正で、公的部門も1本の個人情報保護法になり、委員会が官民を一元的に監督します。3つ目。言葉は階段で、個人情報、行政機関等、保有個人情報の順です。5条1号の個人に関する情報とは、目的が違うので、定義も違います。4つ目。義務は、取る、使う、渡す、守るの順で、山場は69条です。目的外の利用と提供は原則禁止で、法令に基づく場合のほかに、例外が4つあり、ただし書で戻ります。65条だけは努力義務です。5つ目。今日見た3つの罰則のうち、公務員法より重いのは176条だけです。今日は、役所が負う義務の側を見ました。