【個人遺伝情報の保護と利活用のバランス】パブリックコメント2022年1月26日〆切

あなたの遺伝情報の取り扱いのルールが変わる。

2003年に成立した「個人情報の保護に関する法律」（個人情報保護法）は、遺伝情報の取り扱いに対しても定めている。
その後、ゲノム情報を扱う技術が発達し、個人遺伝情報の適正な取扱いの確保のために、「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン（PDF）」が定められた。

さて、個人情報保護法の成立から約20年が経ち、「個人情報の保護に関する法律等の一部を改正する法律」が2022年4月に施行されることになった。
これに伴い、「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン（PDF）」の一部を改正し、2022年4月から適用することとなった。

このガイドラインの改正の内容について、政府がパブリックコメントを募集している。

興味ある方はパブリックコメント募集ページから応募（2022年1月26日23時59分〆切）してみよう。

主な改正ポイント

個人遺伝情報取扱事業者が、個人遺伝情報（個人の遺伝的特徴やそれに基づく体質を示す情報を含むもの）または試料（人の体から取得されたもの）を取り扱うときについて、

1. 利用目的の特定
何のために、どの遺伝子を取り扱うのかを事前に具体的に明確に説明しなければいけない。
ただし個人情報でない「仮名加工情報」および「匿名加工情報」については、利用目的の特定を行う必要はない。

2. 利用目的の変更
試料の利用目的を変更する場合、変更前の利用目的と関係する範囲内で利用目的を変更することができるが、変更された利用目的について、本人に通知し、または公表しなければならない。
ただし、個人情報でない「仮名加工情報」については、あらかじめ本人の同意を得ないで、変更前の利用目的と関係する範囲を超えて利用目的を変更してもよい。

※パブリックコメント募集ページの「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン」新旧対照表（案） （PDF）で「個人情報である「仮名加工情報」については」と記載されているのは誤植であると思われる。

3. 利用目的による制限
利用目的の達成に必要な範囲を超えた個人遺伝情報または試料の取り扱いは、あらかじめ本人の同意を得たか否かにかかわらず、原則として行わない。
ただし、法令に基づく場合や、適切かつ明確な目的や個人遺伝情報または試料の取扱方法などについてインフォームド・コンセントを得た場合には、利用目的の達成に必要な範囲を超えた取り扱いが認められる。
また、以下の場合には条件つきで利用目的の達成に必要な範囲を超えた取り扱いが認められる。

・人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
・公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
・国の機関もしくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
・学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき。

（条件）
以下の情報をあらかじめ本人に通知し、または本人が容易に知り得る状態に置くとともに、本人の求めに応じて利用目的の達成に必要な範囲を超えた取り扱いを停止すること。

・個人遺伝情報取扱事業者の氏名または名称及び住所並びに法人などの代表者の氏名
・個人遺伝情報または試料の利用目的および利用方法
・利用する個人遺伝情報または試料の項目
・利用する個人遺伝情報または試料の取得の方法
・本人の求めを受け付ける方法

注意点
この「3. 利用目的による制限」は、以下の点について、このガイドラインの適用を受ける多くの事業者にとって理解が難しいと思われる。

■「利用目的の達成に必要な範囲を超えた個人遺伝情報の取り扱いは本人の同意を得たか否かにかかわらず、原則として行わない」としながら、「インフォームド・コンセントを得た場合には、利用目的の達成に必要な範囲を超えた取り扱いが認められる」としていること。

■「本人の同意を得ることが困難である場合には条件つきで利用目的の達成に必要な範囲を超えた取り扱いが認められる」としながら、その条件は「個人遺伝情報又は試料の利用目的及び利用方法をあらかじめ本人に通知し」「本人の求めに応じて利用目的の達成に必要な範囲を超えた取り扱いを停止すること」としていること。

4. 第三者への提供
個人遺伝情報は原則として第三者へ提供してはいけない。
ただし、法令に基づく場合や、インフォームド・コンセントを得た場合には第三者への提供が認められる。
また、以下の場合にはオプトアウトを行う条件で第三者への提供が認められる。

・人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
・公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
・国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
・当該第三者が学術研究機関などである場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき。

経緯

自身の個人情報に対する意識が高まっている。
イノベーションの妨げにならないように個人情報の「保護」と「利活用」のバランスをとることと、外国にある第三者への提供に伴う新たなリスクへの対応から、個人情報保護法の一部が改正され、2022年4月に施行される（「個人情報の保護に関する法律」）。

これに伴い、「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン（PDF）」の一部を改正し、2022年4月から適用されることとなった。

個人情報保護法改正の主なポイント

■個人の権利
・自分の権利または正当な利益が害されるおそれがある場合にも利用停止や消去などを請求できる。
・自分の個人データの開示を求めるとき、文章かデータかを指定できる。
・第三者に提供された自分の個人デーの記録の開示を請求できる。
・6か月以内に消去する短期保存データについても個人データとみなし、開示や利用停止などの請求ができる。
・不正取得した個人データやオプトアウトで収取した個人データは第三者に提供できない。

■事業者の守るべき責務
・一定以上の漏えいなどが発生し、個人の権利利益を害するおそれがある場合には、国への報告及び本人への通知を義務化する。
・違法または不当な行為を助長するなどの不適正な方法により個人情報を利用してはならないことの明確化。

■データ利活用に関する施策
・氏名などを削除し、他の情報と照合しない限り特定の個人を識別することができないように加工した情報「仮名加工情報」について、内部での分析に限定するなどを条件に、開示や利用停止請求への対応などの義務の緩和。

■ペナルティ
・命令違反や虚偽報告などの法定刑の引き上げ。

■法の域外適用や越境移転
・日本で個人情報などを取り扱う外国事業者を、罰則つきの報告徴収や命令の対象とする。
・外国にある第三者への個人データを提供するときの個人情報の取扱いについて、本人への情報提供の充実を求める。

以上、「個人情報の保護に関する法律等の一部を改正する法律（概要）（PDF）」（個人情報保護委員会）

キーワード

【仮名加工情報】
データ内の特定の個人を識別できる情報（氏名など）を削除または他の記述に置き換えることで、他の情報と照合しない限り特定の個人を識別することができないように加工した情報のことで、企業内部におけるビッグデータなどの利活用を促進するために創設されたものである。