ゲノム情報に係る個人情報保護法制の最新動向と実務対応：越境移転と国際法務の視点
導入
近年、ゲノム解析技術の進展は目覚ましく、医療分野における個別化医療の推進や、疾患研究、創薬といった生命科学研究の発展に不可欠な基盤となっています。その一方で、ゲノム情報は個人の根源的な情報であり、その取り扱いには高度な倫理的配慮と法的規制が求められます。特に、国際的な共同研究や多国籍企業によるデータ利活用が進む現代において、ゲノム情報の「越境移転」に関する法的枠組みの理解と適切な実務対応は、生命科学倫理と法務に携わる専門家にとって喫緊の課題となっています。
本稿では、ゲノム情報の法的特性を踏まえ、日本の個人情報保護法制における位置付けを概観し、特にその越境移転に関する規制の最新動向と実務上の留意点について、国際法務の視点から解説いたします。
ゲノム情報の法的位置付けと日本の個人情報保護法
ゲノム情報は、DNA配列などの遺伝子情報を指し、個人を特定しうる情報であり、かつその性質上、差別や偏見につながる可能性も孕んでいます。このような特性から、日本の個人情報保護法（以下、「個人情報保護法」といいます。）においては、ゲノム情報が「要配慮個人情報」に該当するものと解釈されています。
要配慮個人情報としての保護
要配慮個人情報とは、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害に関する情報などを指し、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして個人情報保護法に規定されています（個人情報保護法第2条第3項）。ゲノム情報が要配慮個人情報に該当することにより、事業者がゲノム情報を取得する際には、原則として本人の同意が必要となり、利用目的の制限や安全管理措置の義務が強化されるなど、その取り扱いには厳格な規制が課せられます。
ゲノム情報の利活用と匿名加工情報・仮名加工情報
医療研究や創薬においてゲノム情報の網羅的な解析・利活用は不可欠ですが、個人の特定を可能とする形で情報を利用することは法的リスクを伴います。そのため、個人情報保護法では、匿名加工情報（個人情報を加工し、特定の個人を識別できないようにしたもの）や、令和2年改正で導入された仮名加工情報（他の情報と照合しない限り特定の個人を識別できないようにしたもの）といった制度を活用することで、プライバシー保護とデータ利活用の両立を図っています。これらの情報に加工することで、一定の条件の下で本人の同意なく利用することが可能となり、研究開発の促進が期待されますが、加工の基準や利用方法には厳格なルールが定められています。
ゲノム情報の越境移転に関する規制
生命科学研究やバイオビジネスは国境を越えた連携が不可欠であり、ゲノム情報の越境移転は頻繁に行われます。しかし、各国で個人情報保護に関する法制度は異なり、特にゲノム情報のような機微な情報の越境移転には特別な注意が必要です。
日本の個人情報保護法における越境移転の要件
日本の個人情報保護法では、個人データを外国にある第三者に提供する場合、原則として本人の同意が必要です（個人情報保護法第28条）。ただし、例外として以下のケースが挙げられます。
- 十分な個人情報保護水準を持つ国への移転: 個人情報保護委員会規則で定める基準に適合する個人情報保護に関する制度を有する国への移転の場合（例: EU域内国）。
- 適切な個人情報保護体制を構築した者への移転: 適切な体制を整備している事業者に対して提供する場合。この場合、提供元は提供先における個人データの取扱状況を定期的に確認し、本人の求めに応じてその情報を提供する必要があります。
特に2.のケースでは、越境移転の実施に先立ち、提供先との間で契約を締結するなどの適切な措置を講じることが求められます。
主要国のゲノム情報保護と越境移転規制
国際的な共同研究やビジネスを展開する上で、相手国の法制度を理解することは不可欠です。
- EU（GDPR）: 欧州連合の一般データ保護規則（General Data Protection Regulation; GDPR）は、ゲノム情報を「遺伝子データ」として「特別な種類の個人データ」（要配慮個人情報に相当）に位置付け、厳格な保護を課しています。EU域外へのデータ移転には、十分性認定（日本の個人情報保護委員会による十分性認定も含まれます）、標準契約条項（SCC）、拘束的企業準則（BCR）などの厳格な要件を満たす必要があります。
- 米国（HIPAAなど）: 米国では、連邦法である医療保険の携行性と責任に関する法律（Health Insurance Portability and Accountability Act; HIPAA）や州ごとのプライバシー法（例: カリフォルニア州消費者プライバシー法; CCPA）などが存在し、ゲノム情報の保護に影響を与えます。HIPAAは、医療情報を「保護対象医療情報（PHI）」として扱い、その利用・開示に厳格なルールを定めていますが、研究目的での利用には特定の条件が設けられています。越境移転に関する一元的な連邦規制は明確ではないものの、各州法や契約による制限が重要となります。
これらの法制度の違いは、国際的なデータ連携における法的リスク評価と対応策の策定において極めて重要です。
実務上の留意点と課題
ゲノム情報の越境移転を含む利活用においては、以下の点に特に留意し、実務的な対応を進める必要があります。
1. 同意取得の精緻化
ゲノム情報の取得・利用、特に二次利用や越境移転を想定する場合、本人の同意取得は極めて重要です。 * 利用目的の特定と明示: ゲノム情報を何のために利用するのか、将来的な二次利用の可能性を含め、具体的に明示することが求められます。 * インフォームド・コンセント: ゲノム情報の特殊性（将来の疾患リスクの示唆など）を考慮し、科学的・倫理的な側面を含め、十分な情報提供を行った上での同意取得が不可欠です。 * 再同意の必要性: 当初の同意範囲を超える利用や大幅な変更がある場合には、再同意の取得を検討する必要があります。
2. データガバナンス体制の構築
ゲノム情報を取り扱う組織内では、個人情報保護法および関連ガイドラインに準拠したデータガバナンス体制を構築し、維持することが必須です。 * 安全管理措置: 技術的・物理的・組織的な安全管理措置（アクセス制御、暗号化、定期的な監査など）を講じ、情報漏洩や不正利用のリスクを最小化します。 * 責任者の配置: データ保護責任者（DPO）や情報セキュリティ責任者などを配置し、組織内のコンプライアンスを徹底します。 * 従業員教育: ゲノム情報の特殊性に関する従業員教育を定期的に実施し、倫理意識と法的知識の向上を図ります。
3. 契約実務におけるデータ保護条項
国際的な共同研究契約や委託契約においては、データ保護に関する詳細な条項を盛り込む必要があります。 * 適用法と準拠法: どの国の個人情報保護法が適用されるのか、契約の準拠法を明確にします。 * 安全管理義務: 受領側が講ずべき安全管理措置の内容を具体的に規定します。 * 越境移転の条件: データの再移転（サブライセンス、再委託）に関する制限や条件を明記します。 * 監査権: 提供元が受領側のデータ管理状況を監査する権利を確保します。
今後の展望
ゲノム技術のさらなる発展は、生命科学倫理と法務に新たな課題を提起し続けるでしょう。特に、ゲノム編集技術の臨床応用、合成生物学の進展、AIとゲノム情報の融合といった動向は、現行の法制度では想定されていない問題を生じさせる可能性があります。
各国法制度の国際的な調和の動きも見られるものの、プライバシー保護の文化や法的アプローチの違いは依然として存在します。このような状況において、弁護士、研究者、企業法務担当者といった専門家は、単に法令を遵守するだけでなく、生命科学倫理の原則を踏まえ、技術の進歩に先行する形で法的なリスクを評価し、適切な実務対応を構築していく役割が求められます。国際的な知見を積極的に取り入れ、多角的な視点から課題解決に貢献していくことが重要であると考えられます。