2021（令和3）年5月、「デジタル社会の形成を図るための関係法律の整備に関する法律」が成立し、個人情報保護制度が大きく改革された(1)。本稿では、個人情報保護制度の沿革を概観したうえで、今回の改革の要因と内容を明らかにし、今後の課題を述べることとしたい。

1. 個人情報保護制度の沿革(2)

　コンピュータの発達によって、情報を大量?迅速に処理することが可能となった。さらに、インターネットの普及によって、国内外を問わず、大量の情報を瞬時に移転できるようになった。その結果、個人のプライバシーが脅かされていることから、国際的に個人情報保護制度の整備が進んでいる(3)。

　日本では、地方公共団体の条例による対応が先行し、国レベルでは法制化がなかなか進まなかった。1988（昭和63）年、「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」が制定されたが、その名称のとおり、コンピュータ処理される個人情報のみが保護の対象だった。民間部門については法的規制がほとんどなく、ガイドライン（行政指導）によって対応が行われていた。

　1999（平成11）年、住民基本台帳ネットワークが導入されたが、これをきっかけとして、日本の個人情報保護制度が不十分であるとの認識が高まった。そこで、2003（平成15）年、「個人情報の保護に関する法律」（個人情報保護法）、「行政機関の保有する個人情報の保護に関する法律」（行政機関個人情報保護法）、「独立行政法人等の保有する個人情報の保護に関する法律」（独立行政法人等個人情報保護法）等が制定され、民間部門と公的部門をカバーする制度がようやく整った。もっとも、上記のような経緯もあり、地方公共団体については法律が適用されず、各団体の条例による対応に委ねられていた。

　2015（平成27）年、個人情報保護法の改正によって、独立の監督機関として「個人情報保護委員会」が設置された。ただし、同委員会は基本的に民間部門に対して監督権限をもつにとどまり、公的部門については監督機関が存在しなかった。

2. 改革の要因

　今回の改革のきっかけとなったのは、主に次の二つの要因である。第一は、個人情報の利活用との関係である。個人情報保護については、適用される法令が多岐にわたり、その内容にも相違があるため、官民のデータ流通を妨げているとの批判が強かった。特に、地方公共団体については、団体ごとに異なった条例が適用され、制度が複雑であると指摘されていた(4)（いわゆる「2000個問題」）。

　第二は、ＥＵ（欧州連合）との関係である。ＥＵには「第三国条項」があり、加盟国以外の第三国（日本もこれにあたる）が「十分な水準」の個人情報保護制度をもたないときは、原則として、当該第三国に対して個人情報を提供してはならないとされている(5)。日本は、長年にわたって、「十分な水準」を満たしているとの認定（十分性認定）を受けるべく、ＥＵと交渉を重ねてきた。上記のとおり、独立の監督機関が設置されたこともあり、2019（平成31）年、民間部門についてようやく認定を受けることができた。これに対し、公的部門については、十分性認定の対象外となっており、個人情報のやりとりができない状況である(6)