更新日:2024年12月10日更新
隅藏 康一 (政策研究大学院大学・教授)
小泉 周 (自然科学研究機構・特任教授)
個人情報の保護に関する法律(平成15年法律第57号、以下、「個人情報保護法」という。)の令和2年法律第44号附則10条に基づくいわゆる3年ごと見直しに際し、表題の件につきまして、以下、科研費プロジェクト「 国内外の個人情報保護法制が日本の学術研究・イノベーション創出にもたらす影響」(代表:隅蔵康一)の一環として、また、自然科学研究機構が幹事機関をつとめる研究大学コンソーシアム(研究連携タスクフォース)として、学術研究機関等の意見をとりまとめましたので、以下、ご高覧いただけましたら幸いです。
※科研費プロジェクト「 国内外の個人情報保護法制が日本の学術研究・イノベーション創出にもたらす影響」(代表:隅蔵康一)
https://kaken.nii.ac.jp/ja/grant/KAKENHI-PROJECT-23K22293/
大学をはじめとした学術研究機関等における研究開発やそれに関連する活動を基盤として、日本において新たなイノベーションを生み出すためには、研究成果のみならず研究データ等の利活用が重要な役割を果たす。そうした際に、研究活動に伴って収集した個人情報を厳格に保護・管理しながら、その利活用を進めることが必要となる。特にバイオバンクやデータベースにおける生体データの利活用は、アカデミアのみならず様々なステイクホルダー間での連携・利活用促進が重要となっている。
また、欧州のGDPR等と同じ価値観のもと、国際的な研究データの共有と利活用促進が極めて重要な課題である。今後、生体データ(ゲノム情報やオミックス情報等)へのアクセスの基準を国際的な価値観のもとに実行することが必要となる。
上記に関し、個人情報保護委員会におかれては、以下に記載する点についても検討いただき、個人情報の保護と利活用、そして国際連携のバランスを更に図りながら取組を進められることを希望する。
欧州各国との共同研究などの国際研究活動や、それに関連した人材交流等の活動が活発になるにつけ、GDPRとの間での十分性認定は極めて重要である。アカデミアの学術研究機関等をはじめとするいわゆる規律移行法人等についても、GDPRの十分性認定に含まれるよう、これまでの個人情報保護委員会の活動に敬意を表するとともに、今後速やかな実施がなされるよう期待する。
「生体データ」について、「個人情報保護法いわゆる3年ごと見直しに係る検討の中間整理」(個人情報保護委員会、令和6年6月27日。以下、「中間整理」という。)では、特段の定義が示されておらず、個人識別符号に包含される概念なのか、いわゆる本人到達性を要件としているのか等、議論の対象を明確にされたい。その上で、様々なステイクホルダーとの対話により、以下のような場面での生体データの適切な利活用を促進することを期待する。
① ゲノム情報の個人識別符号該当性について
ゲノム情報は、単体では、個人情報保護委員会のガイドラインで示されている「互いに独立な40箇所以上のSNPから構成されるシークエンスデータ」(通則編2-2「イ」)であっても、一律に個人情報に該当するという評価には疑問がある。癌細胞においてみられる遺伝情報の変異のような体細胞変異はもちろんのこと、「互いに独立な40箇所以上のSNPから構成されるシークエンスデータ」についても、単体で個人識別符号であるとされていることについては再度の検討が必要である(そもそも、ガイドライン通則編の基準については、開かれた検討を受けたものとは認識していない)。生体データについて議論するのであれば、そもそものゲノム情報の個人識別符号該当性について議論されるべきであり、その際には、ゲノム情報の現在の利用法等を精査した上で、柔軟な取り扱いと利活用の促進が必要である。
欧州等諸外国においては、ゲノム情報が個人データであるから同意が必須であるという単純な定式化はしていないように思われる。国際的な認識とのすり合わせも並行して行われたい。
② バイオバンク等における生体データの第三者の利活用の促進にむけて
バイオバンク等で生体データを扱い、広く利活用を促進するとき、「誰が」「いつ」「どこで」使うか、誰が利用するか等、利用目的及び第三者提供先の同定はできず、本人の同意に掛からしめる運用はほぼフィクションになっている。バイオバンクについては、本人の関与を前提としない利用が法定されるべきである。その際には、Data Access Committee (DAC)で個別案件の妥当性を丁寧かつ詳細に検討する仕組みが前提となろう。
③ 病院を学術研究機関等として位置付けることについて
「生体データ」の多くは「学術研究機関等」に該当しない病院等の医療機関と関係があるが、大学や国立研究開発法人でない病院は、「学術研究機関等」に該当しないというのが従来の解釈である。しかしながら、医学の一般的な傾向として、現状の学術研究機関等に該当しない病院であっても、広い意味での研究活動に該当する活動を行っていることが通常であり、「生体データ」についての利活用を想定するのであれば、病院を学術研究機関として位置付ける(中間整理第2・3(1))ことは必須であり、これを達成する手法等を含めた議論が必要である。
④ 個人情報の統計目的利用について
「生体データ」を含む個人情報・個人データの統計目的利用、また、第三者提供を前提とする同様の統計目的利用(「個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点」(令和6年10月16日第304回個人情報保護委員会決定、以下、「視点」という。)参考4の2・3については、DACの審査により可能とする仕組みを検討するべきである。
⑤ 学術研究例外・公衆衛生例外の適用範囲の拡大について
学術研究例外・公衆衛生例外を幅広く適応することも必要である。ヘルスケア分野へのスタートアップ企業の参入などをより一層促進し、日本発のイノベーションを促すためには、「生体データ」に関する議論の中で、国際基準も参照した上で、これらの例外事由の適用範囲の拡大を認める制度設計も必要である。この際、医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律(平成29年法律第28号、以下、「次世代医療基盤法」という。)における実務との整合性を図ることも求められる。
⑥ 「本人の関与を通じて適正な利用を確保するという仕組み」を排除する範囲について
「視点」参考4の2では「本人の関与を通じて適正な利用を確保するという仕組みは求められるか」との問題提起がなされている。生体データであっても、本人の関与を必要としない取扱い及びその場面について、検討されるべきである。本人関与のために本人の連絡先などを別途取得するというプラクティスは、漏えい等の本人通知対応で実際に見られるようであるが、本末転倒である。
⑦ 次世代医療基盤法のような法制度の拡大について
次世代医療基盤法により、生体データ等個人情報の利活用について、柔軟な対応による運用がなされている。今後、さらに、evidence-basedな研究開発やEBPMによる行政の意思決定を拡大していく場合、医療関連領域だけでなく、例えば社会学などの他分野にも同様の必要性が発生する。データの統合と仮名化・匿名化の在り方について、次世代医療基盤法のような法制度を他の分野にも拡大していくことが必要である。
⑧ 生成AIにおける個人情報の活用について
生成AIなどの研究開発への個人情報の活用について、一律制限をかけるのではなく、結果から個人を特定できないような仕組みを構築しつつ、安全に個人情報を取り扱うことができる仕組みを整える必要がある。特に、個々の個人データを個人データとして用いるのではなくAIの学習用データ(モデル)として用いる場合に、著作権法30条の4による学習が認められる範囲を参照し、円滑に利用できるようにするための法整備が必要である。
⑨ こどもの個人情報等について
こどもの個人情報等の取り扱いについて、個人情報を提供するこどもの人権を守ることはもちろんであるが、教育・研究など、必要な取り組みについては、特別法の制定又は既存法令における法令上の取扱いを認めることで、利活用の促進を促すような取り決めがあるべきである。一般的一律に個人情報取り扱い事業者に義務を加重することは望ましくない。