Q）大学等の学術研究機関等と民間企業とクリニックとで共同研究しますが、個人情報保護法や倫理指針は適用されるのですか？
A)適用されます。そして、非学術研究機関等である民間企業とクリニックについては、個人情報保護法や倫理指針上、やや不明瞭な規律となっています。個人情報の提供の流れをよく検討したり、目的内利用とするなどの対応が必要なことも考えられます。
- （１）個人情報保護法2021年改正で学術研究も個人情報保護法に服するように
- （２）個人情報保護法上どのようなルールか（取得・提供）
- （３）個人情報保護法上どのようなルールか（利用）
- （４）倫理指針上どのようなルールか（提供）
- （５）倫理指針上どのようなルールか（取得・利用）
※24.4.10更新
（１）個人情報保護法2021年改正で学術研究も個人情報保護法に服するように
個人情報保護法2021年改正によって、学術研究のための個人情報利用のルールが変わりました。
前までは、「学術研究を目的とする機関若しくは団体又はそれらに属する者」による「学術研究の用に供する目的」であれば、個人情報保護法が適用されませんでした（改正前個人情報保護法76条1項3号）。
しかし、学術研究の適用除外があるために、EUー日の学術研究の阻害要因となっているという指摘がありました。GDPRにおいて日本は十分性認定を受けているため、EU-日の個人情報移転はかなり容易であります。しかしながら、学術研究は適用除外があるため、十分性認定の効果が及ばず、EUー日の学術研究が阻害されているという指摘がありました。
そこで、個人情報保護法2021年改正時に、学術研究については個人情報保護法の適用除外をやめることにされました。とはいえ、通常の個人情報保護法のルールよりも簡素化されたルールにはなっています。
令和２年１２月「個人情報保護制度の見直しに関する最終報告」１－３（２）１
https://www.cas.go.jp/jp/seisaku/kojinjyoho_hogo/pdf/r0212saisyuhoukoku.pdf
現行法が、学術研究機関等が学術研究目的で個人情報を取り扱う場合を一律に各種義務の適用除外としている結果、我が国の学術研究機関等にＥＵ圏から移転される個人データについてはＧＤＰＲ十分性認定の効力が及ばないこととなっている。このような事態は、我が国の研究機関がＥＵ圏の研究機関と個人データを用いた共同研究を行う際の支障ともなり得ることから、改善を求める声が現場の研究者からも多数寄せられている。そこで、今般の一元化を機に、学術研究に係る適用除外規定の内容を見直し、我が国の学術研究機関等に移転された個人データについてもＧＤＰＲ十分性認定の効力が及ぶようにするための素地を作ることが適当である。
（２）個人情報保護法上どのようなルールか（取得・提供）
個人データや要配慮個人情報を外部に提供する場合についてのルールを解説します。
通常、民間事業者においては要配慮個人情報（医療情報など）を取得したり個人データを提供できる場合は限定的です。しかし、学術研究機関等への提供、学術研究機関等による取得、共同研究（非学術研究機関等）への提供、共同研究（非学術研究機関等）による取得は、かなり容易です。学術研究目的であれば、個人の権利利益を不当に侵害するおそれさえなければ、OKです。
- 学術研究機関等→非学術研究機関等は法27Ⅰ⑥・20Ⅱ⑥でOK
- 学術研究機関等→学術研究機関等は法27Ⅰ⑥又は⑦・20Ⅱ⑤でOK
- 非学術研究機関等→学術研究機関等は法27⑦・20Ⅱ⑤でOK
- ※すべて学術研究目的で、研究対象者の権利利益を不当に侵害するおそれがなければ
問題は、非学術研究機関等→非学術研究機関等です。
共同研究に参加している非学術研究機関等同士で個人情報を提供する場合もあると思います。Qでいえば、クリニック→民間企業への提供ですね。これが、学術研究関連の例外規定を純粋に適用すると提供不可となるのです。非学術研究機関等→非学術研究機関等の提供であれば、学術研究関連の例外規定ではなく、他の規定（公衆衛生向上や共同利用など）の要件を満たさないと、提供ができません。
それか、非学術研究機関等→学術研究機関等→非学術研究機関等というデータの流れにするか。その場合、非学術研究機関等→学術研究機関等が法27Ⅰ⑦・法20Ⅱ⑤で、学術研究機関等→非学術研究機関等が法27Ⅰ⑥・20Ⅱ⑥。
データの流れさえ変えれば、適用条項が変わるって、なんか立法論としておかしい気もしますが。
●要配慮個人情報を取得できる場合（学術研究関連のみ抜粋）
第二十条
２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
●個人データを提供できる場合（学術研究関連のみ抜粋）
（第三者提供の制限）第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。５ 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合二 合併その他の事由による事業の承継に伴って個人データが提供される場合三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
（３）個人情報保護法上どのようなルールか（利用）
個人情報を利用する場合についてのルールを解説します。
通常、民間事業者においては個人情報の目的外利用はかなり制限されています（個人情報保護法18条）が、学術研究機関等による学術研究のためであれば容易です。学術研究機関等による学術研究目的であれば、個人の権利利益を不当に侵害するおそれさえなければ、OKです。
これに対して、共同研究者（非学術研究機関等）の場合は、学術研究機関への提供（提供行為も取扱いに含まれるため、法18条適用）は容易ですが、自身による目的外利用は認められていないように条文上読めます。
個人情報保護法2021年改正前までは、共同研究者も一緒に個人情報保護法を適用除外されていたので目的外利用もできたのですが、個人情報保護法2021年改正後は、法18条3項を見ると、共同研究者（非学術研究機関等）は目的内利用しかできないようにも読めます。
なぜなら、改正前のように「学術研究機関等」の中に非学術研究機関等の共同研究者も読めるようには見えず（∵個人情報保護法20条などで書き分けられている）。
個人情報保護法18条3項6号をもって、共同研究者（非学術研究機関等）も目的外利用できるって読む余地はありますが（「学術研究機関等に個人データを提供する場合であって」というのは、あくまで共同研究のためのデータ提供がある場合という前振りに過ぎず、目的外取扱いとして提供行為のみ認められているわけではなく、利用行為も認められていると読む）、ガイドライン通則編で18条3項6号の解説として
「個人の権利利益を不当に侵害するおそれがある場合」には、学術研究機関等に個人情報を提供することはできない。
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a3-1-5
と書いてありますし、法18条3項では、共同研究者（非学術研究機関等）は目的内利用しかできないようにも読めます。
まあ、元々利用目的に「研究」が入っていたり、個人情報の取得前に個人情報の利用目的に「研究」と追加できたりすれば、目的内利用にはなるかと思いますが、共同研究者（非学術研究機関等）は目的外利用ができるか不明瞭なのは良くないように思います。
●個人情報を目的外利用できる場合（学術研究関連のみ抜粋）
（利用目的による制限）
第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（４）倫理指針上どのようなルールか（提供）
前述の通り、以前は、学術研究の場合には個人情報保護法が適用されない代わりに倫理指針が適用されており、自主的自律的規範として機能していたわけです。それが、もはや個人情報保護法が適用されるのに、さらに倫理指針も適用しているから、二重規範になってしまっていて、通常の民間事業者向けの個人情報に対するルールより複雑怪奇になっていて、良くないと思います。
では順に、共同研究における要配慮個人情報の提供について、見ていきたいと思います。倫理指針は場合分けが複雑なため、どのような情報をどこから取得するかによってやるべきことが変わってきますが、本ブログでは、クリニックと大学と民間企業が共同研究をしていて、クリニックが試料なしの既存情報のみを提供し、大学と民間企業にて取得／利用する場合を想定して、記載していきます。
既存試料の提供には、以下の方法が可能です（倫理指針第８の１（３）ア）。もっとも実際には、第８の１（４）の手続（オプトアウト、長の許可、倫理審査委員会等）と第８の３（１）（記録）も必要です。
- インフォームド・コンセント
又は - 非個人情報
提供側にとっても取得側にとっても個人情報ではないとき（「既存試料のみを提供し、かつ、当該既存試料を特定の個人を識別することができない状態で提供する場合であって、当該既存試料の提供先となる研究機関において当該既存試料を用いることにより個人情報が取得されることがないとき 」とあり、「当該既存試料が、既に特定の個人を識別することができない状態」とは、試料が研究を開始する以前から既に、他の情報等と照合することによっても特定の個人を識別することができない状態にあることをいう。（ガイダンスP83））
又は - 不特定の研究への同意＋研究特定後のオプトアウト
（ (ア)*1に該当せず、かつ、当該既存の試料及び要配慮個人情報の取得時に５㉑に掲げる事項*2について同意を受け、その後、当該同意を受けた範囲内における研究の内容（提供先等を含む。）が特定された場合にあっては、当該特定された研究の内容についての情報を研究対象者等に通知し、又は研究対象者等が容易に知り得る状態に置き、研究が実施されることについて、原則として、研究対象者等が同意を撤回できる機会を保障しているとき ）
又は - 適切な同意
（ (ア)*3又は(イ)*4に該当せず、かつ、当該既存の試料及び要配慮個人情報を提供することについて、研究対象者等に６①から⑥まで及び⑨から⑪までの事項を通知した上で適切な同意を受けているとき）
又は - オプトアウト＋α
（次に掲げる①から③までの全ての要件を満たしているとき
① 次に掲げるいずれかの要件を満たしていること（既存試料を提供する必要がある場合にあっては、当該既存試料を用いなければ研究の実施が困難である場合に限る。）
(ⅰ) 学術研究機関等に該当する研究機関が当該既存の試料及び要配慮個人情報を学術研究目的で共同研究機関に提供する必要がある場合であって、研究対象者の権利利益を不当に侵害するおそれがないこと
(ⅱ) 学術研究機関等に該当する研究機関に当該既存の試料及び要配慮個人情報を提供しようとする場合であって、当該研究機関が学術研究目的で取り扱う必要があり、研究対象者の権利利益を不当に侵害するおそれがないこと
(ⅲ) 当該既存の試料及び要配慮個人情報を提供することに特段の理由がある場合であって、研究対象者等から適切な同意を受けることが困難であること
② 当該既存の試料及び要配慮個人情報を他の研究機関へ提供することについて、６①から⑥まで及び⑨から⑪までの事項を研究対象者等に通知し、又は研究対象者等が容易に知り得る状態に置いていること
③ 当該既存の試料及び要配慮個人情報が提供されることについて、原則として、研究対象者等が拒否できる機会を保障すること ）
上記方法のうち、特にオプトアウト＋αについて考えます。
- 学術研究機関等→共同研究機関（非学術研究機関等）はOK、学術研究機関等→学術研究機関等もOK
（学術研究目的で、研究対象者の権利利益を不当に侵害するおそれがなければ） - 非学術研究機関等→学術研究機関等もOK
（学術研究目的で、研究対象者の権利利益を不当に侵害するおそれがなければ） - 問題は、非学術研究機関等→共同研究機関（非学術研究機関等）です。
この場合、（ウ）①ⅰもⅱも使えないのでⅲでいくしかない。でもそのためには「特別の理由」と「同意困難」の２要件が必要です。「特別の理由」とは個人情報保護法18条2項2～4号をいい（ガイダンスP86）、基本的には「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」で行く場合が多いように思います。医学研究であれば、「公衆衛生の向上に特に必要」と言える場合は多いものの、本人同意困難という要件が必要に。
それか、個人情報保護法と同じように、非学術研究機関等→非学術研究機関等とはせずに、非学術研究機関等→学術研究機関等→非学術研究機関等とするか。それであれば、非学術研究機関等→学術研究機関等は第８の１（３）ア（ウ）①（ⅱ）で、学術研究機関等→非学術研究機関等は第８の１（３）ア（ウ）①（ⅰ）で行けるので。
（５）倫理指針上どのようなルールか（取得・利用）
取得する側も倫理指針上の手続として以下が必要です。
- 提供側の倫理指針対応・病院名等・取得の経緯の確認（第８の１（５））
- オプトアウト要（第８の１（５））
- 記録（第８の３（２））
データの流れを非学術研究機関等→非学術研究機関等とすると、検討しなければならない点が増えてしまいますね。法や倫理指針の作りとして、あまり親切ではないように思います。非学術研究機関等→非学術研究機関等ではなく、間に学術研究機関等が入ればいいわけなんだから、そういう記載を追記すべきですね。そのために法改正するのは難しいのはわかりますが、せめて個人情報保護法ガイドラインや倫理指針そのものであれば改訂しやすいでしょうし、ガイドラインや指針への追記が必要では。
