個人情報保護委員会事務局審議官

外部提供、第三者提供などを行う際に介在する外部事業者がいた場合の責任の所在についての御質問でございました。 　まず、提供元の医療機関が外部事業者を介在させてデータを提供する場合でございますけれども、当該医療機関が、提供する個人データの安全管理がしっかり図られるように、データの性質や量に応じまして、当該外部事業者に対しまして必要かつ適切な監督を行う必要がございます。 　仮にでございますけれども、データを介在する当該外部事業者における不作為、安全管理措置をしっかりしないとかそういうことも含めまして、不作為によって提供しようとした医療データが漏えいしてしまったという場合につきましては、提供元の医療機関につきましては個人情報保護委員会に対する報告なども行うという必要が出てくる場合がございます。 　また、これが、提供元の医療機関が当該外部事業者に対して監督を適切に行わなかった結果、当該事業者が

お答えをさせていただきます。 　今回の法案でございますけれども、統計作成等の目的のために利用されることが担保されておりまして、一定の要件を満たした場合において制度的に第三者提供を可能とするものでございます。一方で、提供元が実際に個人データを提供するかどうかにつきましては、ほかの規律との関係や当該データの取得経緯なども踏まえまして適切に御判断いただけることが想定されているものでございます。御指摘の医療現場における医療データにつきましても、機微な情報という特性を踏まえまして適切に御判断いただく必要があると考えております。 　その観点からも、本法案をお認めいただきましたら、本特例の各要件の考え方についてガイドラインなどにおいて明確化を図っていくわけでございますけれども、その際に、先ほど厚生労働省からも御答弁をいただきましたように、厚生労働省などの関係府省と密接に連携して、医療分野独自の事情な

お答えをさせていただきます。 　お尋ねの答弁でございますけれども、これは、本法案をお認めいただいた後に、本法案の規定のうち委員会規則に委任されている事項や、ガイドラインなどを検討するに当たりまして、情報の機微性などに応じまして、通常の個人情報の取扱いの場合よりも厳格な内容を定めることが検討できる旨を述べたものと承知しております。 　一般に、法の委任の範囲内で規則やガイドラインなどの内容を定めるに当たって、情報の機微性などに応じた厳格な内容を定めることも可能であると考えております。具体的にいかなる内容を定めることが可能となるかにつきましては、本法案をお認めいただいた場合に、法の委任の範囲内において、現行の法体系や改正法案の趣旨を踏まえながら、適切に検討してまいりたいと考えております。

お答えをさせていただきます。 　本法案における統計作成等の特例でございますけれども、ＡＩが急速に発展、普及する中で、幅広い分野におきまして、複数の事業者が持つデータを共有し、横断的に解析するニーズが高まっているという事実などを踏まえまして、医療分野を含む幅広い分野のステークホルダーから御意見を聴取いたしました上で、あらゆる分野に適用される一般法である個人情報保護法におきまして、個人の権利利益を保護しながら適正なデータ利活用を行うための制度的な条件について検討したものでございます。

お答えをさせていただきます。委員から御質問がありましたＧＤＰＲとの整合性についてお答えをさせていただきます。 　ＥＵの一般データ保護規則、ＧＤＰＲでございますけれども、そちらにおきましては、医療情報などの機微情報でございますけれども、特別な種類の個人データとしておりまして、原則としてその取扱いが禁止された上で、本人の同意がある場合やそのほか一定の例外的な場合につきましては第三者への提供を含む取扱いが許容されているわけでございまして、その例外的な場合の一つとして統計の目的のために取扱いが必要となる場合というのが規定されているわけでございます。 　この例外に依拠する場合でございますけれども、一定の保護措置を講じること等が求められておりますけれども、本規則上、一律に匿名化とか仮名化とかという、そういう措置が求められているものではないものというふうに承知しておりまして、この点でもこの本法案の統

はい、御指摘のとおりでございます。

お答えをさせていただきます。 　統計作成等特例に基づく医療データの提供方法についての御質問でございますけれども、一般の第三者提供の場合と同様に、法律上一律の制限はございません。例えば、データを外部記憶媒体に保存してこれを物理的に提供する方法、メール等を用いてデータを送信する方法、ウェブサイト上でデータをダウンロードさせる方法、データベースへのアクセス権限を付与する方法など、様々な方法があり得ます。 　個人情報取扱事業者は、個人データの漏えい等の防止その他の安全管理のために必要かつ適切な措置を講じることが義務付けられておりまして、提供するデータの性質や量などに応じまして個別事案ごとに適切な方法を選択し、安全性を確保した上で提供することが求められております。

お答えをさせていただきます。 　外部事業者を介在させデータを提供する場合の責任の所在についての御質問でございました。 　まずは、データの提供元の事業者が、提供する個人データの安全管理が図られますように、データの性質や量に応じまして、当該外部事業者に対しまして必要かつ適切な監督を行う必要がございます。また、提供先の事業者におきましても、提供を受けた後ですね、当該個人データについて必要かつ適切な安全管理措置を講じる必要がございます。例えば、外部事業者のサーバー上でデータを受け取り、そこで保存する、提供先の事業者が保存する場合でございますけれども、そういう場合には、提供先の事業者におきましても、データの性質や量に応じまして、当該外部事業者に対しまして必要かつ適切な監督を行う必要がございます。

はい、御指摘のとおりでございます。

お答えをさせていただきます。 　現在、国会において御審議いただいている個人情報保護法の改正案は、デジタル技術の進展や国際的動向を踏まえ、個人情報を含むデータの新たな利活用ニーズに対応するための規律の見直しを行うとともに、顕在化するリスクに対応するため、実体的ルールを整備することに加え、個人情報保護委員会の監督機能強化を図るものです。 　一方、現在の個人情報保護法においても、公益性を理由とする例外規定に該当する場合には、インテリジェンス機関は本人同意なく民間事業者から要配慮個人情報を取得することが可能でございまして、今般の個人情報保護法の改正法が当該取得に影響を与えるものではございません。