ITをめぐる法律問題について考える

弁護士水町雅子のIT情報法ブログ

規律移行法人の個人情報保護法適用

2022.4.1から独法等であっても、個人情報の取扱いについて、民間相当(一部、官相当)の規制になる組織があります(規律移行法人)。

それが、個人情報保護法のどこで規定されているか、このブログで振り返ります。

※ばーっと書いてまだ見直していないのと、頻回の施行で条文番号もぐだぐだなため、誤り等がある可能性があります。ご利用される際は、必ずご自身で条文原本に当たってくださいますようお願いします。

※条文番号は2023.4.1時点のもの。

1、個人情報保護法第5章「行政機関等の義務等」の義務がかかる者

まず、これまでの行政機関個人情報保護法独立行政法人個人情報保護法相当の規制は、個人情報保護法第5章「行政機関等の義務等」に規定されています。

第5章の義務がかかる者は各条文に依りますが「行政機関等」又は「行政機関の長等」です。

2、「行政機関等」とは

「行政機関等」は、条文にもよりますが、行政機関と、独立行政法人等(別表第二に掲げる法人を除く。)をいうとされています(個人情報保護法2条11項)。

この「別表第二に掲げる法人」というのが規律移行法人で、独立行政法人等なのに他の独立行政法人等とは違い、民間相当の個人情報に対する規制となる法人です。

具体的には、沖縄科学技術大学院大学学園、国立研究開発法人、国立大学法人大学共同利用機関法人独立行政法人国立病院機構独立行政法人地域医療機能推進機構放送大学学園をいいます個人情報保護法別表第二)。

また、別表第二に掲載されていなくても法58条2項により、独立行政法人労働者健康安全機構の病院部門と、地方独法の医療事業及び学術研究を行う者についても、原則として民間と同じ規律が適用されます。

この法律の構成は、ものすごく面倒くさいですね。やはり、規律移行法人だけ民間相当の規制というのが、少し無理があったように感じてしまいます。

3、「行政機関の長等」とは

また、第5章の義務がかかる「行政機関の長等」でも、この規律移行法人の長が除かれています。個人情報保護法63条で、行政機関の長等を、「行政機関の長…及び独立行政法人等」と定義していて、この63条でいう「独立行政法人等」から規律移行法人は除かれているからです(個人情報保護法2条11項2号)。

4、「個人情報取扱事業者」とは

そして、民間事業者は、個人情報保護法上、「個人情報取扱事業者」と呼ばれ、個人情報取扱事業者としての各種義務を講じることとされています*1

規律移行法人は、個人情報保護法上、この「個人情報取扱事業者」に当たることとされており、それによって民間事業者と同じ個人情報取扱事業者としての各種義務を講じることとされています。

なお、規律移行法人が個人情報取扱事業者に該当する理屈は次の通りです。

個人情報取扱事業者とは個人情報データベース等を事業の用に供している者をいうとしながらも(個人情報保護法16条2項)、民間の規制とは異なる規制に服する国の機関
地方公共団体独立行政法人等、地方独立行政法人を除くと定義されています(16条2項但書)。そしてこの除かれている「独立行政法人等」から規律移行法人は除かれているので(2条11項2号、16条2項3号)、結局、規律移行法人は個人情報取扱事業者に該当するということになります。

5、規律移行法人に係る義務

とはいえ、そうは簡単に終わりません。

上記を見る限り、規律移行法人は行政機関等や行政機関の長等には当たらず、個人情報取扱事業者に該当するので、官の規制はかからず、民の規制がかかると思いそうです。しかしそれはあくまで原則で例外があるのです。

民間の規制のうち、開示・訂正・利用停止等・保有個人データに関する事項公表等(32-39条)及び匿名加工情報(第4節)については、規律移行法人については適用されません(58条)。

その代わりに、官の規制として、定義(第5章第一節)、個人情報ファイル簿の作成及び公表(七十五条)、開示、訂正及び利用停止・行政機関等匿名加工情報(第5章第4・5節)、散在情報非適用(124条2項)、開示請求等をしようとする者に対する情報の提供等(百二十七条)、個人情報保護委員会(6章)、雑則(7章)、罰則(8章)※の規定が適用されます(125条2項)。

もっとも、官の規制として適用されるもの(罰則)でも、個人の秘密に属する事項が記録された個人情報ファイルの不正提供罪(百七十六条)、業務に関して知り得た保有個人情報の不正提供・盗用罪(百八十条)、職権を濫用した、個人の秘密に属する事項が記録された文書、図画又は電磁的記録の収集罪(百八十一条)は適用されません。

 

※最初、2条11項3号中「同じ」で参照されていない条は、「行政機関の長等」以外、規律移行法人にも規制が適用になるのかと思いました(「行政機関の長等」の定義中の独立行政法人等は、63条で「同じ」に入っているため、「行政機関の長等」からは一律除外かと。他方で、「行政機関等」の定義中の独立行政法人等において、規律移行法人が除かれるか否かが条によって違う的に書かれているので、だとすると、その条の適用ごとに「行政機関等」が異なるのかとも思いました。)。

だって、2条11項3号中「同じ」で参照されていない条は規律移行法人が除かれないって、文理上は読めるじゃないですか?そうすると法60条とか61条とかは適用になるのかなとか思いましたが。

ただ単に、「行政機関等」の定義の条項ではあるが、ただ単に独立行政法人等の定義を言っているだけなんですかね。

こういう定義の仕方、本当にやめてほしい。用例(過去例)に従うのが法制上のお作法で、内閣法制局のルールだけど、本来法律というのは、誤読を生むような書き方はよくなくて(法律に限らず契約書だって同じだが)、わかりやすく間違い・解釈相違がないように明確に書くべきだと思います。

6、関連条文

第二条

9 この法律において「独立行政法人等」とは、独立行政法人通則法(平成十一年法律第百三号)第二条第一項に規定する独立行政法人及び別表第一に掲げる法人をいう。
11 この法律において「行政機関等」とは、次に掲げる機関をいう。
一 行政機関
二 地方公共団体の機関(議会を除く。次章、第三章及び第六十九条第二項第三号を除き、以下同じ。)
三 独立行政法人等(別表第二に掲げる法人を除く。第十六条第二項第三号、第六十三条、第七十八条第一項第七号イ及びロ、第八十九条第四項から第六項まで、第百十九条第五項から第七項まで並びに第百二十五条第二項において同じ。)
四 地方独立行政法人地方独立行政法人法第二十一条第一号に掲げる業務を主たる目的とするもの又は同条第二号若しくは第三号(チに係る部分に限る。)に掲げる業務を目的とするものを除く。第十六条第二項第四号、第六十三条、第七十八条第一項第七号イ及びロ、第八十九条第七項から第九項まで、第百十九条第八項から第十項まで並びに第百二十五条第二項において同じ。)

第十六条 
2 この章及び第六章から第八章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く
一 国の機関
二 地方公共団体
三 独立行政法人
四 地方独立行政法人

(不適正な利用の禁止)
第六十三条 行政機関の長(第二条第八項第四号及び第五号の政令で定める機関にあっては、その機関ごとに政令で定める者をいう。以下この章及び第百六十九条において同じ。)及び独立行政法人等(以下この章及び次章において「行政機関の長等」という。)は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

(適用の特例)
第五十八条 個人情報取扱事業者又は匿名加工情報取扱事業者のうち次に掲げる者については、第三十二条から第三十九条まで及び第四節の規定は、適用しない。
一 別表第二に掲げる法人
二 地方独立行政法人のうち地方独立行政法人法第二十一条第一号に掲げる業務を主たる目的とするもの又は同条第二号若しくは第三号(チに係る部分に限る。)に掲げる業務を目的とするもの
2 次の各号に掲げる者が行う当該各号に定める業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、個人情報取扱事業者、仮名加工情報取扱事業者又は個人関連情報取扱事業者による個人情報、仮名加工情報又は個人関連情報の取扱いとみなして、この章(第三十二条から第三十九条まで及び第四節を除く。)及び第六章から第八章までの規定を適用する
一 地方公共団体の機関 医療法(昭和二十三年法律第二百五号)第一条の五第一項に規定する病院(次号において「病院」という。)及び同条第二項に規定する診療所並びに学校教育法(昭和二十二年法律第二十六号)第一条に規定する大学の運営
二 独立行政法人労働者健康安全機構 病院の運営

(適用の特例)
第百二十五条 第五十八条第二項各号に掲げる者が行う当該各号に定める業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、この章(第一節、第六十六条第二項(第四号及び第五号(同項第四号に係る部分に限る。)に係る部分に限る。)において準用する同条第一項、第七十五条、前二節、前条第二項及び第百二十七条を除く。)の規定、第百七十六条及び第百八十条の規定(これらの規定のうち第六十六条第二項第四号及び第五号(同項第四号に係る部分に限る。)に定める業務に係る部分を除く。)並びに第百八十一条の規定は、適用しない。
2 第五十八条第一項各号に掲げる者による個人情報又は匿名加工情報の取扱いについては、同項第一号に掲げる者を独立行政法人等と、同項第二号に掲げる者を地方独立行政法人と、それぞれみなして、第一節、第七十五条、前二節、前条第二項、第百二十七条及び次章から第八章まで(第百七十六条、第百八十条及び第百八十一条を除く。)の規定を適用する
3 第五十八条第一項各号及び第二項各号に掲げる者(同項各号に定める業務を行う場合に限る。)についての第九十八条の規定の適用については、同条第一項第一号中「第六十一条第二項の規定に違反して保有されているとき、第六十三条の規定に違反して取り扱われているとき、第六十四条の規定に違反して取得されたものであるとき、又は第六十九条第一項及び第二項の規定に違反して利用されているとき」とあるのは「第十八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取得されたものであるとき」と、同項第二号中「第六十九条第一項及び第二項又は第七十一条第一項」とあるのは「第二十七条第一項又は第二十八条」とする。

*1:仮名加工情報取扱事業者、匿名加工情報取扱事業者等については説明割愛