・個人情報保護法が、どのような文脈によってソーシャルワークで問われるのかを知る。
・個人情報保護法は、何を守るために、何を制限しているのか、そのためにどのような制度を設けているのか。その考え方を知る。
問題116 次の記述のうち、個人情報の保護に関する法律の内容として、正しいものを1つ選びなさい。
1 個人情報取扱事業者には、国・地方公共団体が含まれる。
2 個人情報の取扱いが5,000人以下の事業者は、法律の適用対象外である。
③ 個人情報には、個人の身体的な特徴に関する情報が含まれる。
4 認定個人情報保護団体とは、市町村の認定を受けた民間団体である。
5 要配慮個人情報とは、本人が配慮を申し立てた個人情報のことである。社会福祉士国家試験 第33回（2021年）より解説
ソーシャルワークの理念を踏まえて、今日的なソーシャルワークの課題に向きあうには、ネットワークが不可欠である。ネットワークをうまく作っていくには情報を共有する必要があり、記録はそのためのツールとして役立つ。とはいえ、個人情報については、本人の同意なく何でも共有するわけにはいきませんよ。
といったあたりが、近年の社会福祉士国家試験で個人情報保護法に関する出題が頻出になっている背景と言えるでしょうね。また、ここ数年で個人情報保護法は大きく動いています。そんなあたりも狙われている背景と言えるでしょう。
とはいえ、法学関係の資格ではないのだから、個人情報保護法も隅の隅まで覚える必要はありません。じゃあ、どこまで覚えればいいのでしょうか。
このブログの結論は、この問題のタイトルが「ソーシャルワークから見た個人情報保護法」である以上、ソーシャルワークの観点で必要なところまでで十分、ということになります。
１つ１つ選択肢ごと確認してみましょう。
選択肢１ ×
個人情報取扱事業者の定義はよく出ていますね。
→個人情報取扱事業者って？
一 国の機関
二 地方公共団体
三 独立行政法人等
四 地方独立行政法人
法律でいうところの「事業」とは、小難しく言うならば「一定の目的を持って反復継続して遂行される同種の行為」です。小難しいですね。（苦笑）
要は、目的が営利か非営利か、 公益か非公益かは関係ないということと、法人格のない団体や個人であっても個人情報取扱事業者にあたる、ということです。
とはいえ、国の機関や地方公共団体と、民間事業者で、個人情報の取り扱いのルールが同じでいいということにはいきません。ですので、とりあえず、この法では、国の機関や地方公共団体は「個人情報取扱事業者」という枠組みでの規制は行わない、ということになっています。
ただ、このあたりの考え方、つまり行政だから例がいいとして個人情報は自由にやり取りできるという発想に対してはブレーキがかかってきていて、改正のつど、行政も一律ルールでやろうという方向性にはなってきていることは、知っておいた方がよいでしょうね。
選択肢2 ×
これは、個人情報保護法の改正を狙っている者ですね。改正によって適用範囲が拡大されたことぐらいは知っておきたいところです。というのも、社会福祉関係団体は小さい団体が多いからです。改正前までであれば取り扱っている個人情報の数が5,000人分以下の事業者は個人情報保護法の対象外となっていました。しかし、平成29年5月30日以降は、個人情報を扱うすべての事業者が法の対象になりました。
選択肢3 ○
一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
そこで、選択肢にある「個人の身体的な特徴に関する情報」が、この定義でいう「特定の個人を識別することができるもの」に含まれるかどうかです。
どう思います？思いつくものありませんか？
「指紋」なんかは「特定の個人を識別することができるもの」として昔から使われてきましたね。これも身体的な特徴と言えるでしょう。指は身体ですし、その模様ですから。
また、昨今だとDNAなんかも「特定の個人を識別することができるもの」として利用されていますが、まぁ、あれも見方によっては身体の特徴でしょうねぇ。んー、びみょーかなぁ。
ただ、そこまで考えなくても、例えば防犯カメラに写っている「顔」とかは、似てる似てないだけではなく、顔の骨格などから、個人が特定される、そんな時代になっています。
それらを考えても、「身体の特徴」もまた「特定の個人を識別することができるもの」に入れないわけにはいかない、今はそういう時代だと言えるでしょうね。
選択肢4 ×
「認定個人情報保護団体」ってわかりましたか？
一 業務の対象となる個人情報取扱事業者等（以下この節において「対象事業者」という。）の個人情報等の取扱いに関する第五十三条の規定による苦情の処理
二 個人情報等の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供
三 前二号に掲げるもののほか、対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務
認定個人情報保護団体が民間であり、民間団体によってこのような苦情処理等が行われるあり方を、「認定個人情報保護団体制度」と言いますが、その考え方について、この団体の認定権限のある「個人情報保護委員会」のサイトには、以下のように載っています。
「汎用的」、つまりどの事業者にも当てはまるようなルールを定めているのがこの個人情報保護法なのですが、具体的に考えれば考えるほど、業界や事業分野ごとに個人情報の取り扱いの適切さ・望ましさというのは異なるわけです。そうであれば、国家が仕切ってトップダウンで命令する形にするのではなく、民間が自主的にその適切さや望ましさを自分たちで作っていく、そのような在り方を支援していこう、と言っているのです。
ただ、じゃあ、そのようなことをリードする団体（＝認定個人情報保護団体）を政府（＝国の行政）が直接に指名しては、政府がルールを決めることと変わらなくなってしまいます。そこで内閣府の外局である「個人情報保護委員会」が認定個人情報保護団体を認定します。
「内閣府の外局」のニュアンスわかりますか？完全に政府から独立とは言えない（＝完全に独立にしてしまっては、その団体の権威がなくなってしまう）けど、「独立性の高い機関」である、そういうニュアンスです。実際、委員会のこのサイトにも、自分たちの定義をそう書いてますね？
選択肢5 ×
要配慮個人情報って何ですか？
選択肢３で、「個人情報」の定義として、①生存する個人に関する情報、②特定の個人を識別することができるもの、という確認はしました。
じゃあ、その「要配慮」って何ですか？ちょっとだけ想像してみてください。そのうえで、条文を見てみましょう。
第二条 ３ この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
「不当な差別」って見たことありませんか？単なる「差別」ではなく、「『不当な』差別」です。これ、障害者差別解消法でやったんですよ。え？しらないって？！ 第33回の問題57ですよ。ちゃんと一問目から解いていますか？
「差別」は概念上は定義がそもそもできません。でも、「不当な差別的取り扱い」は誰にとっても明らかな差別で、誰であろうが禁止にしなければならない、そういうものをいうのです。覚えてますか？
個人情報保護法においても、不当な差別が生じかねない個人情報は、他の個人情報とははっきり分けた上で、特別に保護（＝「取扱いに特に配慮」）しなければなりません。そこで、要配慮個人情報は、例外を除いて、原則として本人の同意を得ないで取得してはならない、という規制をかけているわけです。
正解 ３
【お勧め関連本】
個人情報については、最近、新書で入門書としてわかりやすく、読みやすいものが出ました。こちらをお勧めします。
