提言

学術研究分野における個人情報保護の規律の見直しに向けた取り組み

個人情報保護法が令和二年と令和三年に二つの大がかりな法改正が行われ、令和三年の法改正は、民間部門、行政機関、独立行政法人等に係る個人情報の保護に関する規定を集約するとともに、学術研究分野における個人情報保護の規律の見直しを行うことを目的としている。

2005年（平成17年）に個人情報保護法が施行されてから、報道、著述、宗教、政治、学術研究を目的としてそれらの組織が個人情報を取り扱う場合、個人情報取扱事業者の義務が適用されない適用除外規定が定められてきた。今回の法改正により、学術研究機関については一律の適用除外が廃止された。医療分野や学術分野に関係する公的機関に対して適用される規律は、官民連携による社会課題の解決の必要性を踏まえ、規律の不均衡の是正による円滑な官民連携の実現のために、民間事業者に対する規律に統一された結果である。

これに伴い、私立大学においては、これまで本人の同意を得ずに個人情報を取り扱っていた手続きについて、個人情報の利用、取得及び提供に係る規律のうち、個人情報の目的外利用の制限（法第18条）、要配慮個人情報の取得（法第20条第2項）及び第三者提供の制限（法第27条）に関しては、学術研究機関が学術研究目的で取り扱う必要がある場合について、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限って、事前の本人同意が必要ない特例が設けられた。つまり、個人の権利利益を侵害するおそれがある場合は本人の同意を得なければならない。

一方で、これまで学術研究目的としての取扱いに該当するため適用されてこなかった個人情報取扱事業者の義務のうち、個人情報の利用、取得及び提供に係る規律であっても、利用目的の特定（法第17条）、不適正な利用の禁止（法第19条）、適正な取得（法第20条第１項）、利用目的の通知（法第21条）及びデータ内容の正確性の確保（法第22条）については、通常の個人情報取扱事業者と同様の規律が「個人情報取扱事業者である学術研究機関」にも適用される。

また、個人データの安全管理措置に係る規律（法第23条から第26条まで）、保有個人データの開示、訂正及び利用停止の請求に係る規律（法第33条から第40条まで）、仮名加工情報取扱事業者の義務（法第4章第3節）、匿名加工情報取扱事業者の義務（法第4章第4節）及び民間団体による個人情報の保護の推進に係る規定（法第4章第5節）についても、通常の個人情報取扱事業者と同様の規律が私立大学にも適用されることになる。

大学において取り扱う個人情報は、教育及び研究に係る学術研究を目的とする情報から、大学の管理運営に関係する文書に記載されている個人情報に至るまで実に多岐に渡る。とりわけ、大学教育においては受講者の情報から卒業生に至るまで学生に関する膨大な量の個人情報を取り扱っている。一方で、日常的に取り扱っている個人情報について、これまでの個人情報取扱事業者の義務の適用除外の恩恵ゆえに、結果的に個人情報保護のために必要な義務を意識し、それらの保護のための具体的な取り組みが十分になされてこなかった面があることは否めない。

研究目的で利用する個人情報についても、「学術研究機関等」に係る規律は、大学のみならず、共同で研究を行う民間事業者や行政機関における個人情報の取扱いにも関係するため、関係者とともに個人情報の適正な取り扱いと保護に関する取り組みについて考えることが求められている。