行政書士 過去問
令和5年度
問10 (一般知識等 問57)

この問題のポイントは、情報通信用語とGDPR、個人情報保護法の改正内容、個人情報保護法第２条3項の理解です。

まずモザイク・アプローチとはある情報を他の情報と組み合わせることによって、不開示規定により守られるべき不開示情報が認識されるかを判断することをいいます。

次にGDPRとは日本でいう個人情報保護法のようなもので、EUを含むEEA域内で取得した氏名やメールアドレス、クレジットカード番号等の個人データをEEA域外に移転することを原則禁止しており、現地進出の日系企業に勤務する現地採用従業員や、日本から派遣されている駐在員も含まれるため、注意が必要とされています。

そして、GDPRでは死者の情報の取扱いについて、加盟国の裁量に委ねています。

個人情報保護法第2条3項ではこの法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいうとされています。

最後に個人上保護法は2021年に改正され、行政機関個人情報保護法が廃止されて個人情報保護法に一元化された結果、個人情報保護法に規定される規律は、公的部門は第5章、民間部門は第4章で規定されており、別々にルールが設けられています。

以上の点をおさえて、解説をみてみましょう。

本問は、個人情報について基礎的知識を問う問題です。
ちょっと細かい知識ではありますが、概要程度は知っておいた方がい良いということでしょう。

アは妥当です。

モザイクアプローチとは、様々な断片的情報を集積、分析することでそこにない秘匿情報を特定することです。
代表的な例としては、SNSなどのネット上にある情報を集積、解析することで、匿名の発信者の身元を特定することなどがあります。

「個人情報の保護に関する法律」(以下、個人情報保護法)第2条第1項第1号カッコ書きに「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」とありますが、この情報もまた個人情報とされています。
ここで言う「他の情報と照合することにより特定の個人を識別する」ことがモザイクアプローチということになります。

なお、設問の「が認識されるかを判断」という部分に表現上、若干の疑義があります。「を認識すること」「を判断すること」なら問題ないのですが。
しかし、取得した情報を統合して、不開示であるべき、つまり秘匿すべき情報を得るという手法自体はモザイクアプローチそのものです。他の肢に明らかに妥当でないものがあることから、妥当と判断すべきということになります。

イも妥当です。

EUのGDPR(General Data Protection Regulation:一般データ保護規則)前文第27項には「本規則は、死者の個人データには適用しない。加盟国は、死者の個人データの取扱いについて規定を制定できる。」とあります。

なお、日本の個人情報保護法も、第2条第1項柱書に「この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。」とあり、「個人情報」は、「生存する個人に関する情報」です。
とは言え、死者の情報であっても、「生存する個人」の特定につながるのであれば、それは「生存する個人に関する情報」です。

ウは妥当ではありません。

そもそも日本における要配慮個人情報と機微情報は意味が違います。

「要配慮個人情報」とは、個人情報保護法第2条第3項に定義されており、「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」を言います。
「その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等」は、個人情報保護法施行令第2条に定めがあります。

一方、「機微情報」とは、金融庁が定める「金融分野における個人情報ガイドライン」等に規定があります。大雑把に言えば、要配慮個人情報に「労働組合への加盟、門地、本籍地、保健医療及び性生活」を加えたものです。

つまり、機微情報の方が範囲が広いことになります。

また、外国の「機微情報」は、日本の「要配慮個人情報」及び「機微情報」とは同じではありません。
例えばGDPRでは、第9条で定める「特別な種類の個人データ(special categories of personal data)」が機微情報に当たりますが、そこに列挙されるデータは、「人種的若しくは民族的な出自、政治的な意見、宗教上若しくは思想上の信条、又は、労働組合への加入を明らかにする個人データ」並びに「遺伝子データ、自然人を一意に識別することを目的とする生体データ、健康に関するデータ、又は、自然人の性生活若しくは性的指向に関するデータ」となっています。

日本の「要配慮個人情報」又は「機微情報」は、現象としての事実であるのに対して、GDPRでは、遺伝情報、生体データなどの生物学的特性も対象にしているというわけです。

なお、GDPRについて詳細は、個人情報保護委員会のウェブサイトをご覧ください。

EU（外国制度） ｜個人情報保護委員会

エは妥当ではありません。

個人情報保護法の令和3年改正では、「行政機関の保有する個人情報の保護に関する法律」(略称、行政機関個人情報保護法)及び「独立行政法人等の保有する個人情報の保護に関する法律」(略称、独立行政法人等個人情報保護法)を個人情報保護法に統合、一本化し、個人情報保護委員会が一元的に全体を所管する体制になりました。
しかしながら、法令と所管する組織が一本化したものの、行政機関等と個人情報取扱事業者等が同一の規律に服するわけではありません。
 

個人情報保護法は、第16条第2項において個人情報取扱事業者等と行政機関等を区別し、第4章で個人情報取扱事業者等の義務を、第5章において行政機関等の義務を別々に定めています。

なお、この改正は、デジタル社会形成整備法(正式名称、デジタル社会の形成を図るための関係法律の整備に関する法律)に基づくものです。