課題Ⅰ 第10編 行政機関等における個人情報等の取扱い
2021年の個人情報保護法改正は、日本の個人情報保護制度を根本から変えた画期的な改正です。この改正の最大の目玉は「三法統合」であり、官民を通じた統一的な個人情報保護のルールが実現しました。本編では、行政機関等における個人情報の取扱いについて、試験に出題される重要論点を網羅的に解説します。
The 2021 amendment to the Act on the Protection of Personal Information was an epoch-making reform that fundamentally changed Japan's personal information protection system. The greatest highlight of this amendment was the "Three-Law Integration," which realized unified personal information protection rules across both public and private sectors. This part comprehensively explains the important issues tested on the exam regarding the handling of personal information by administrative agencies.
三法統合（2021年改正の目玉）
三法統合以前、日本には個人情報保護に関する三つの法律が並存していました。第一に、民間部門を対象とする個人情報保護法。第二に、国の行政機関を対象とする行政機関個人情報保護法。第三に、独立行政法人等を対象とする独立行政法人等個人情報保護法。さらに、全国に1,700以上ある地方公共団体がそれぞれ独自の個人情報保護条例を制定しており、いわゆる「2,000個問題」と呼ばれる混乱状態でした。
Before the Three-Law Integration, three laws concerning personal information protection coexisted in Japan. First, the Personal Information Protection Act targeting the private sector. Second, the Administrative Organs Personal Information Protection Act targeting national administrative agencies. Third, the Independent Administrative Agencies Personal Information Protection Act targeting independent administrative agencies. Furthermore, more than 1,700 local public bodies across the country had each enacted their own personal information protection ordinances, creating a state of confusion known as the "2,000 ordinances problem."
2021年改正により、これら三法は一つの個人情報保護法に統合されました。地方公共団体も同法の適用対象に含まれるようになりました。完全施行は2023年4月です。統合の目的は主に三つあります。第一に、官民のデータ連携の推進。第二に、個人情報保護の不均衡の解消。第三に、デジタル社会への対応です。
Through the 2021 amendment, these three laws were integrated into a single Personal Information Protection Act. Local public bodies were also included as subjects of the same law. Full enforcement was in April 2023. The purposes of integration were threefold: first, promotion of data coordination between public and private sectors; second, resolution of imbalances in personal information protection; third, response to the digital society.
行政機関等の定義
統合後の個人情報保護法において、「行政機関等」とは以下の四つを指します。（1）国の行政機関（各府省庁など）。（2）独立行政法人等（国立病院機構、日本年金機構など）。（3）地方公共団体の機関（都道府県、市区町村）。（4）地方独立行政法人（公立大学法人など）。重要な注意点として、国会と裁判所は含まれません。これらは別途、それぞれの機関が独自の規則で対応します。
Under the integrated Personal Information Protection Act, "administrative agencies etc." refers to the following four categories: (1) National administrative agencies (ministries and agencies). (2) Independent administrative agencies (such as the National Hospital Organization and the Japan Pension Service). (3) Agencies of local public bodies (prefectures and municipalities). (4) Local independent administrative agencies (such as public university corporations). An important point to note: the Diet and courts are NOT included. These are handled separately by their own rules.
民間との主な違い
民間部門と行政機関等の最も根本的な違いは、個人情報の取得・利用の根拠にあります。民間事業者は、原則として本人の同意を得て個人情報を取扱います。しかし、行政機関等は法令の定める所掌事務の遂行に必要な場合に個人情報を保有できます。つまり、同意ではなく法令の根拠が基本となります。これは行政が公益のために活動するという性質に由来しています。
The most fundamental difference between the private sector and administrative agencies lies in the basis for acquiring and using personal information. Private sector business operators handle personal information based in principle on individual consent. However, administrative agencies may hold personal information when necessary for performing affairs under their jurisdiction as stipulated by laws and regulations. In other words, the basis is legal authority rather than consent. This derives from the nature of government acting in the public interest.
利用目的の変更についても、民間と行政では基準が異なります。民間事業者は、変更前の利用目的と「関連性を有すると合理的に認められる範囲」でしか変更できません。一方、行政機関等は、「相当の理由がある場合」に利用目的を変更できます。この「相当の理由」は民間の基準より広い概念であり、行政の柔軟性を確保するための規定です。
The standards for changing the purpose of use also differ between private and administrative sectors. Private sector operators can only change the purpose within a "scope reasonably recognized as relevant" to the original purpose. On the other hand, administrative agencies can change the purpose of use "when there is a reasonable justification." This "reasonable justification" is a broader concept than the private sector standard, and is a provision to ensure administrative flexibility.
目的外の利用・提供は原則禁止ですが、法69条2項に例外が定められています。具体的には、本人の同意がある場合、法令に基づく場合、本人や第三者の生命・身体・財産の保護に必要な場合、そして他の行政機関等に提供する場合で「相当の理由」があるときが挙げられます。特に、行政機関間の情報共有が「相当の理由」で認められる点は、民間にはない特徴です。また、民間にあるオプトアウト制度は行政機関等には適用されません。
Use and provision outside the stated purpose are prohibited in principle, but exceptions are stipulated in Article 69, Paragraph 2. Specifically: when there is individual consent; when based on laws and regulations; when necessary for protecting life, body, or property of the individual or a third party; and when providing to other administrative agencies with "reasonable justification." In particular, the fact that information sharing between administrative agencies is permitted under "reasonable justification" is a feature not found in the private sector. Furthermore, the opt-out mechanism available in the private sector does not apply to administrative agencies.
個人情報ファイル簿（法75条）
個人情報ファイル簿は、法75条に基づく行政機関等特有の制度です。行政機関の長（大臣等）は、保有する個人情報ファイルについて個人情報ファイル簿を作成し、公表しなければなりません。
The personal information file register is a system unique to administrative agencies based on Article 75. The head of an administrative agency (minister, etc.) must create and publish a personal information file register for held personal information files.
個人情報ファイル簿には、以下の事項が記載されます。ファイルの名称、利用目的、記録項目、記録範囲（対象者）、収集方法、提供先などです。民間事業者にも保有個人データの公表義務がありますが、行政の個人情報ファイル簿はより詳細かつ義務的です。国民の知る権利と行政の透明性確保が目的です。
The personal information file register includes the following items: file name, purpose of use, recorded items, scope of records (subjects), collection method, provision destination, etc. While private sector operators also have a publication obligation for held personal data, the administrative personal information file register is more detailed and mandatory. Its purpose is to ensure citizens' right to know and administrative transparency.
個人の権利と救済
本人は、行政機関等に対して保有個人情報の開示を請求できます（法76条）。ただし、民間にはない行政特有の不開示事由があります。国の安全に関する情報、外交関係に支障を及ぼす情報、犯罪捜査等に支障を及ぼす情報、行政の適正な運営に支障を及ぼす情報などが不開示の対象です。
Individuals can request disclosure of held personal information from administrative agencies (Article 76). However, there are government-specific non-disclosure reasons not found in the private sector: information related to national security, information that would hinder diplomatic relations, information that would hinder criminal investigations, and information that would hinder proper administrative operations.
開示請求に加えて、本人には訂正請求（法90条）と利用停止請求（法98条）の権利があります。訂正請求は、事実に誤りがある場合に行います。利用停止請求は、違法に取得された場合や目的外利用がなされた場合に行います。これらの請求を行うには手数料が必要です。
In addition to disclosure requests, individuals have the right to make correction requests (Article 90) and use suspension requests (Article 98). Correction requests are made when there are factual errors. Use suspension requests are made when information was illegally obtained or used outside its purpose. A fee is required to make these requests.
開示決定等に不服がある場合、本人は行政不服審査法に基づく審査請求ができます。この場合、行政機関の長は情報公開・個人情報保護審査会に諮問しなければなりません。審査会は第三者機関として公正な判断を行い、国民の権利救済を図ります。これは民間における裁判手続きとは異なる、行政固有の救済手段です。
When dissatisfied with a disclosure decision, the individual can make a review request based on the Administrative Appeal Act. In this case, the head of the administrative agency must consult the Information Disclosure and Personal Information Protection Review Board. The review board, as a third-party body, makes fair judgments and ensures remedy of citizens' rights. This is an administrative-specific remedy mechanism different from lawsuit procedures in the private sector.
行政機関等匿名加工情報（法109条〜）
法109条以降に規定される行政機関等匿名加工情報は、行政が保有する個人情報を特定の個人を識別できないように加工し、民間事業者に提供する制度です。目的は、行政が蓄積した膨大なデータを民間の研究・分析・新サービス開発に活用することです。
Anonymized processed information from administrative agencies, stipulated in Article 109 onwards, is a system where personal information held by the government is processed so that specific individuals cannot be identified and provided to private sector operators. The purpose is to utilize the vast data accumulated by the government for private sector research, analysis, and new service development.
この制度の特徴は提案募集の仕組みです。行政機関が提供可能なデータの概要を公表し、民間事業者が利用方法を提案します。審査に合格した事業者と利用契約を締結し、手数料の納付を経て提供されます。民間の匿名加工情報とは異なり、行政の場合は提案募集手続きが必須であり、勝手にデータを提供することはできません。
A distinguishing feature of this system is the proposal solicitation mechanism. The administrative agency publishes an outline of available data, and private sector operators propose how they want to use it. After passing examination, a usage contract is concluded and the data is provided upon payment of a fee. Unlike private sector anonymized processed information, the government case requires a mandatory proposal solicitation process and cannot arbitrarily provide data.
個人情報保護委員会の一元的監督
2021年改正以前は、行政機関に対する監督は総務大臣が担っていました。改正後は、個人情報保護委員会（PPC）が官民を通じて一元的に監視・監督を行います。PPCは行政機関等に対しても、資料の提出の要求、実地調査、指導、助言、そして勧告を行うことができます。ただし、民間に対する命令権限とは異なり、行政機関に対しては勧告までであり、命令は出せません。
Before the 2021 amendment, the Minister for Internal Affairs and Communications bore the supervision of administrative agencies. After the amendment, the Personal Information Protection Commission (PPC) carries out centralized monitoring and supervision across public and private sectors. The PPC can demand submission of materials, conduct on-site investigations, provide guidance and advice, and issue recommendations to administrative agencies. However, unlike the order authority toward the private sector, the PPC can only issue recommendations to administrative agencies and cannot issue orders.
地方公共団体の取扱い
三法統合以前、地方公共団体は各自の個人情報保護条例で運用していました。先進的な条例を持つ自治体もあれば、不十分な自治体もあり、保護水準に大きな格差がありました。改正後は、全国統一の法律の下に置かれることになりました。
Before the Three-Law Integration, local public bodies operated under their own personal information protection ordinances. Some municipalities had advanced ordinances while others were insufficient, creating major disparities in protection levels. After the amendment, they were placed under a nationally unified law.
ただし、統一法の下でも、地方公共団体が条例で独自に定めることが認められる事項もあります。例えば、開示請求の手数料を条例で定めること、個人情報保護審査会の設置、特別な配慮を要する個人情報の取扱いに関する条例独自の規定などです。個人情報保護委員会は地方公共団体に対して技術的な助言や指導を提供します。
However, even under the unified law, there are matters that local public bodies are permitted to stipulate independently by ordinance. For example, setting disclosure request fees by ordinance, establishing personal information protection review boards, and ordinance-specific provisions regarding the handling of personal information requiring special consideration. The Personal Information Protection Commission provides technical advice and guidance to local public bodies.