個人情報保護法

かつて自治体ごとに個人情報保護条例で定めていたルールが、なぜ全国共通の法律に置き換わったのか——この大きな転換を理解する起点が令和3年改正後の個人情報保護法である。改正前は、民間は個人情報保護法、国の行政機関は行政機関個人情報保護法、自治体は団体ごとの条例と、規律が三層に分かれ、団体ごとに保有・利用・提供のルールが異なる「2000個問題」が、データ流通やデジタル化の障害となっていた。令和3年改正でこれらが個人情報保護法に統合され、令和5年4月から自治体にも同法が直接適用されるようになった。これにより、開示請求・訂正請求・利用停止請求の手続や、目的外利用・第三者提供の可否が全国共通の基準で運用される。自治体は法の枠内で個人情報保護法施行条例により必要な事項を定めるが、独自の上乗せ規制は原則として認められなくなった点が実務上の大きな変化である。

「2000個問題」の解消と全国共通化

令和3年改正前は、個人情報の規律が民間向けの個人情報保護法、国の行政機関向けの行政機関個人情報保護法、地方公共団体ごとの個人情報保護条例に分かれていた。団体ごとに条例の定義や手続が異なり、その総数から「2000個問題」と呼ばれた。団体間でルールが食い違うため、医療・防災・統計などでのデータ連携や、官民を越えた個人データの利活用に支障が生じていた。令和3年改正はこれらを個人情報保護法へ一本化し、令和5年4月1日から地方公共団体にも同法が直接適用された。所管は個人情報保護委員会に集約され、自治体の運用も同委員会のガイドラインに従うことになった。

自治体に残る条例事項と上乗せの制約

一本化後も自治体に裁量の余地が全くなくなったわけではなく、法は個人情報保護法施行条例で定めるべき事項（開示請求等の手数料、審議会への諮問、保有個人情報の取扱いの細目など）を留保している。一方で、法の水準を超える独自の規制（上乗せ・横出し）は、全国共通化の趣旨から原則として認められず、従来の条例で設けていた独自の保護措置の多くは見直しを迫られた。実務では、旧条例を廃止して施行条例へ再編する作業や、開示・訂正・利用停止の手続を法の規律に合わせる対応が各団体で行われた。個人情報ファイルを新たに保有するときの特定個人情報保護評価など、関連手続も法の体系に位置づけて運用する。