経済産業省商務サービスグループヘルスケア産業課の「「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン」の一部改正案に関する意見募集」に対し、JILIS個人情報保護法研究TFパブコメ検討WGから以下の意見を提出しました。
【PDF版】
2022年1月26日
一般財団法人情報法制研究所 個人情報保護法研究TFパブコメ検討WG
（鈴木正朝、高木浩光）
（該当箇所：II.1.1-1.(1)）
「ゲノムデータ」を定義する括弧書中で、「……等の遺伝型情報により本人を認証することができるようにしたものをいう。」とあるが、「本人を認証」ではなく「本人を識別」と記述するべきである。
「認証」（authentication）と「識別」（identification）は異なる概念であり、本件のこの記載は、authenticationの意味ではない。
（該当箇所：II.1.1-1.(4)）
「遺伝情報」の定義が、「……情報で、ヒトの遺伝的特徴やそれに基づく体質を示す情報であって、個人情報に該当しないものをいう。」となっているが、このままの記載では、統計量に集計した値も該当することになるところ、それは意図されてのことか。統計量に集計した値を含めないつもりであるなら、「個人に関する情報」に限定する必要がある。
原案の「ヒトの遺伝的特徴やそれに基づく体質を示す情報」との記述では、人類一般の遺伝的特徴や体質のことを述べているように解されてしまい、統計量に集計した値も該当する。「個人情報に該当しないもの」に限定しても統計量に集計した値は排除されない。「……得られ、又は……付随している個人に関する情報であって、」などと記載するべきものではないのか。
（該当箇所：II.1.1-1.(5)）
「遺伝情報」の定義が、「試料を用いて実施される個人遺伝情報を用いた事業の過程を通じて得られ、又は既に当該試料等に付随している情報で、……個人情報に該当しないもの」とあるのに対し、「個人遺伝情報」の定義には、「試料を用いて実施される……を用いた事業の過程を通じて得られ、又は……」との要件がなく、単に「個人情報のうち、個人の遺伝的特徴やそれに基づく体質を示す情報を含むものをいう。」と規定されていることから、このままでは、事業に関係のない個人の遺伝的特徴（これには人種や性別さえ該当する）やそれに基づく体質を示す情報の全てが該当してしまうが、これは事業者にとって不都合があるのではないか。
「個人遺伝情報」の定義にも「試料を用いて実施される……を用いた事業の過程を通じて得られ、又は……」に相当する要件を加えるべきではないか。
（該当箇所：II.1.1-1.(8)）
「氏名等削除措置」の定義において、「個人遺伝情報の漏えいのリスクを低減するために」とあるが、氏名等を削除しても、漏えい事故が発生するリスク自体を低減させることはできない。これは「個人遺伝情報が漏えいした際の被害を軽減するために」などと記述するべきものではないか。
（該当箇所：II.1.1-1.(8)）
「氏名等削除措置」の定義がこのように規定されているのは、仮名加工情報とは異なり、DNA塩基配列を削除しなくても済まされる措置とする趣旨と理解したが、残念ながらこの規定ぶりではそのようにはなっていない。その理由は以下の通りである。
まず、「法2条第1項第1号」に該当する個人情報には、DNA塩基配列が含まれる場合がある。なぜなら、同号の条文中に「（個人識別符号を除く。）」との記述があるが、これは同号に該当する情報から除いているのではなく、同号に該当することとなる要件を決定する要素であるところの「……その他の記述等」から除いているだけ（括弧の係り具合に注意）であるからである。
したがって、例えば、氏名とDNA塩基配列から構成される個人情報の場合、個人識別符号を含む個人情報であることから、本件(8)が規定する措置②が適用され、DNA塩基配列以外の個人識別符号を削除することになるが、加えて同措置①も適用されて、氏名とDNA塩基配列も削除しなければならないことになる。なぜなら、措置①と措置②は排他的に適用されるものではなく、法2条1項各号の条件に該当すればそれぞれが適用されるものであり、DNA塩基配列は「……その他の記述等により特定の個人を識別することができる」こととなる「その他の記述等」に含まれるからである。
本件の規定は、法の仮名加工情報の定義ぶりを真似たものであろうが、仮名加工情報の場合には、氏名と個人識別符号からなる個人情報の場合に、1号措置と2号措置の両方が適用されて、両方の措置においてそれぞれ個人識別符号が削除されることになっても結果的に不都合がなかったのに対し、本件の規定ぶりの場合には、②の措置ではDNA塩基配列を削除しなくてよいことになっているものの、①の措置でDNA塩基配列を削除しなければならないことになってしまうわけである。
よって、意図したように規定するには、措置①の条文を「氏名その他の記述等の全部又は一部（政令第1条第1号イに定める「細胞から……構成する塩基の配列」を除く。）を削除すること」などに修文する必要がある。
（該当箇所：II.2.(1)③、II.2.(6)①）
「利用目的の制限」（II.2.(1)）の③において、「法第18条第3項第2号、第3号、第4号」に該当する場合に、オプトアウト方式をとっていれば、「利用目的の達成に必要な範囲を超えた取扱いが認められる」とあるが、これら2号、3号、4号は、通常、最初から予定されているものではなく、突発的に対応が求められる場合の例外規定であるから、オプトアウト方式をとることは不可能である。
例えば、4号の「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合」の例として、個人情報保護委員会のガイドライン通則編には「事業者が警察の任意の求めに応じて個人情報を提出する場合」が挙げられているが、このような場合を想定して「あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置く」などということができるはずもないし、「本人の求めに応じて……取扱いを停止する」などということができるはずもない。
また、2号、3号は「本人の同意を得ることが困難であるとき」を条件としているが、「あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置く」ことができる状況であるならば、「本人の同意を得ることが困難」とは言えない。
「第三者への提供」（II.2.(6)）の①において、「法第27条第1項第2号、第3号、第4号」とあるのも同様である。
以上