【個人情報保護委】匿名加工情報提供に警鐘 ～ 利用目的内か検証促す　個人情報保護委員会

個人情報保護委員会は20日付の通知で、日本製薬団体連合会などの関係団体宛てにレセプトデータなどの保有個人情報の利活用に関する注意喚起を行った。地方公共団体から行政機関等匿名加工情報の提供を受けた個人情報取扱事業者が、データ利用契約を締結した製薬企業や保険会社などに当該情報を提供していたにも関わらず、利用状況や成果を地方公共団体へフィードバックする規定が契約上設けられていない事案が判明したため。

個情委は、注意喚起の内容が十分に踏まえられていない事案が確認された場合、「地方公共団体や地方公共団体の保有個人情報の提供を受ける民間事業者に対し、権限行使を含めた対応を検討する」としている。

今回の事案では、個人情報取扱事業者が地方公共団体から委託を受け、同団体が保有する個人情報を匿名加工情報化して納品。その後、同事業者は覚書の締結により地方公共団体から提供を受けた匿名加工情報を、契約に基づき製薬企業や保険会社へ提供していた。

個人情報保護法では、製薬企業などが匿名加工情報を市場分析やマーケティング戦略の策定に利用する場合、利用成果を検証した上で利用目的の範囲内に該当するかを個別具体的に判断する必要がある。利用成果が地方公共団体へフィードバックされ、同団体がその内容を検証できる体制のもとで実施されることが求められている。

しかし、今回の事案では、地方公共団体と個人情報取扱事業者との覚書、個人情報取扱事業者と製薬企業などとのデータ利用契約のいずれにも、利用成果のフィードバックに関する規定が盛り込まれていなかった。

個情委は通知で、「利用成果のフィードバックを受けることなく匿名加工情報を提供するのみでは、当該利用が利用目的の範囲内に含まれると説明することは困難」との見解を示した。

その上で、地方公共団体に対し、個人情報保護法に基づく利用目的による制限や、自ら定めた利用目的について説明責任を果たした上で匿名加工情報を提供するよう促した。データ提供を受ける民間事業者に対しても、法令を遵守した適切な利用を求めた。