LASSIC Media らしくメディア
政府データの共有、なぜ5原則に利益相反が入るのか
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 相反の管理が入口になる：管理されていなければ不適格です*1。
- 目的で確かめ方が変わる：表明で足りる場合があります*1。
- 登録では13項目を出す：有効期限まで含まれます*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
データを渡してよい相手かどうかを、何で判定するか。豪州の制度は、能力や実績ではなく、利益相反が管理されているかを条文の入口に置きました。
データ利用可能性・透明性法2022に基づくデータ利用可能性・透明性コード2022は、政府部門のデータを共有する際の判定を具体化する規則です*1。2025年改正コード（第1号）により内容が加わり、編集版は2025年6月20日時点のものになっています*1*2。
設計と契約の立場から確かめたい点は4つあります。誰が当事者なのか、何を判定するのか、目的で何が変わるのか、契約と登録に何を書くのか。条文から順に見ていきます。
目次
登場するのは4種類の役割
まず、制度の骨格から確認します*1。
コード第4条の注記は、法で定義された用語を並べます*1。中心になるのはデータ管理者（data custodian）、認定利用者（accredited user）、ADSP（認定データサービス提供者）の3つです*1。データを持つ側、使う側、そして間に入って加工や仲介を担う側という役割分担です*1。
2025年の改正で、4つ目が定義に加わりました*1。データアクセス者（data accessor）です*1。条文は当該プロジェクトのデータ共有契約のもとでデータへのアクセスを許された、当該事業体の指定された個人、または当該事業体と承認された契約の当事者である法人であって、その契約がデータ共有契約により授権され、もしくは同契約のもとで承認され、かつプロジェクトの一部としてデータへのアクセスを許されているものと定めます*1。
個人だけでなく、契約先の法人がデータアクセス者に含まれる点が実務では重要です*1。委託先が入る構成では、その委託先自体が判定の対象になります*1。
判定の枠は5つの原則です*1。コード第5条はデータの共有、収集または利用が法により授権されるためには、共有し、収集し、または利用する事業体は、当該プロジェクトがデータ共有の原則に沿うものであることに（他の事項とあわせて）納得していなければならないとし、第2部がその際に考慮すべき事項と遵守すべき要件を並べると説明します*1。
公益に資するかは、目的の種類で判定が分かれる
プロジェクト原則から見ていきます*1。
第6条第2項は、単純な場合を切り出しました*1。プロジェクトのデータ共有の目的が政府サービスの提供のみである場合、そのプロジェクトは公益に資すると合理的に見込むことができるという書き方です*1。判断を要しません*1。
目的に政府の政策および事業への情報提供または研究開発が含まれる場合は、話が変わります*1。第6条第3項は、プライバシー法1988にいう医療研究として同法第95条の指針に従って共有する場合と、利用者が同法にいう組織で、共有するデータが健康情報で、許容される健康上の状況が存在する場合に、公益に資するとみなします*1。
それ以外は比較衡量です*1。第6条第4項は当該事業体が、プロジェクトが公益に資するという論拠が、資さないという論拠を上回ると結論する場合に限り公益に資すると合理的に見込めるとします*1。第5項が、考慮しなければならない6つを挙げました*1。
| 観点 | 条文の内容 |
|---|---|
| 制度の目的 | 政府部門データの利用可能性を高めることにおける公益（法第3条(a)） |
| 個人・集団の便益 | 商業上の便益を含む、個人または集団に合理的に見込まれる便益 |
| 豪州の人々 | 豪州の市民、永住者その他豪州にいる人々に合理的に見込まれる便益 |
| 政策の根拠 | 政策や事業が、当該プロジェクトから得られる証拠に基づくことの望ましさ |
| 不利益 | プライバシーに関するものを含む、個人または集団への悪影響 |
| 成果の公開 | 研究開発が目的に含まれる場合、成果が公開されるか、いつ公開されるか |
任意で考慮できるものも書かれています*1。豪州政府の政策に定める国益に関わる論点、社会的、経済的、環境的、文化的その他の便益、同じ観点での費用、または実施しないことによって生じる費用です*1。
ピープル原則の中心は、利益相反の管理
ここが、この制度のもっとも特徴的な部分です*1。
第8条第1項はある事業体は、当該事業体またはそのデータアクセス者のいずれかが、データの収集または利用に関して現実の、潜在的なまたは外形上の利益相反を有し、かつ、その相反が適切に管理されていない場合には、データを提供してよい適切な者ではないと定めます*1。第2項は、これが不適格となる場合を限定するものではないと補いました*1。
能力や資格ではなく、相反が管理されているかで入口が決まる書き方です*1。では「管理されている」とどう確かめるのか*1。ここが目的によって分かれます*1。
政府サービスの提供のみが目的なら、第9条が簡便な道を用意します*1。データ管理者またはADSPは、認定利用者がそうした相反を特定し管理する仕組みを備えていることとその仕組みが有効に機能していることをデータ共有契約で表明すれば、相反が適切に管理されていると想定してよいとされます*1。ADSPについても同じ扱いです*1。
目的に政策立案や研究開発が含まれる場合は、第10条が二段構えを求めます*1。想定してよいのは、合理的な照会を行ったうえで、適切に管理されていない相反を現に認識していないことと、データ共有契約のもとで、認定利用者が相反を特定し、契約およびデータ管理者の指示に従って適切に管理することを求められていることの両方が満たされる場合です*1。
認定事業体の側にも義務があります*1。第10条第4項は現実の、潜在的なまたは外形上の利益相反を特定することと、特定した場合に相反と、その管理のために講じた措置を、データ管理者およびデータ共有契約の当事者である他の認定事業体へ通知すること、そして契約およびデータ管理者の指示に従って適切に管理することを求めます*1。注記は、データアクセス者の相反について、当該アクセス者に管理させることで対応してよいとしています*1。
委託の連鎖がある構成では、この通知の経路を先に決めておく必要があります。データ契約の設計で扱う責任分界の議論と、そのまま重なります。
場、データ、成果の3原則は「比例」で書かれる
残る3つは、いずれも程度の判断です*1。
セッティング原則（第13条）は、セキュリティの水準です*1。合理的なセキュリティ基準であるためには、セキュリティ基準は、当該事業体の評価により、データの機微性と、当該データの共有・収集・利用がもたらすリスクの双方に比例したものでなければならないとされます*1。固定の基準名を挙げない書き方です*1。ただし第3項は合理的なセキュリティ基準の適用は、場合により、連邦の機関でない認定事業体が連邦のセキュリティ基準またはその一部に従わなければならないことを意味しうると補いました*1。
データ原則（第14条）は、渡す前の加工です*1。第2項はデータが共有される前に、共有・収集・利用のリスクを比例的に管理することに資する方法で取り扱われるべきかどうかを検討しなければならないとし、注記が例として変数、カテゴリーまたは個票の削除、変更または結合により、データの詳細さを減らす処理を挙げます*1。第3項は、ADSPを通じて共有する場合に、ADSPへ渡す前の処理の適否をデータ管理者が検討するよう求めました*1。第4項は適切に情報を与えられた合理的な人が、共有・収集・利用されるデータが、当該プロジェクトのデータ共有の目的を達成するために合理的に必要であると同意するかどうかを検討させます*1。
アウトプット原則（第15条）は、成果の扱いです*1。第2項は成果の性質と意図された用途を検討させ、例として事前記入されたフォーム、さらなる分析のための集計されたデータセット（表または個票）、政府の事業を監視するための数理モデル、学術誌や政府報告書などの刊行物を挙げます*1。第3項は、認定利用者が成果へのアクセス提供や公表を許される契約になっている場合に、その許容の適否と、管理の手続を契約に含めるべきかを検討させます*1。
3つとも、達成すべき数値ではなく「何を検討したか」を問う書き方です*1。裏を返すと、検討の記録が残っていないと説明できません。データカタログとガバナンスの仕組みに、この検討の記録を載せられるかどうかが実装上の分かれ目になります。
契約と登録には、書く項目が決まっている
第4部と第9部が、書面の側を定めます*1。
2025年の改正で加わったのが第25条です*1。データ共有契約の元データに州または準州のデータが含まれ、かつデータ管理者がそれを州・準州の機関から別の契約または合意（提供合意）のもとで取得していた場合に適用されます*1。求められるのは、元データに含まれる州・準州データ、その提供者、提供合意に、データ管理者が当該データを共有することに関する条件があるかどうか、条件がある場合、当該契約のもとでの共有がその条件とどう整合するかを契約に明記することです*1。
もらってきたデータを別の契約で流すときに、元の条件との整合を書かせる規定です*1。多段の連携では見落としやすい論点が、条文として置かれました*1。
第90条は、契約や変更をコミッショナーへ提出する際の情報を13項目で並べます*1。当事者とその資格、締結日、契約が対象とするプロジェクトの説明、プロジェクトのデータ共有の目的、共有されるデータの説明、個人情報を共有するかどうか、法第16B条第7項が適用される場合はその記述と説明、同条第8項が適用される場合はその記述、法第23条がなければ他法に違反することになる場合はその法律の名称、プロジェクトが公益にどう資するかの記述、最終成果の説明、法第20E条により成果が制度外へ出うる場合はその事由、有効期限がある場合はその期限です*1。
第91条は、年次報告のための通知について7月31日に終わる期間を適用期間としました*1。
個人情報を同意なしに共有する場合の判定は、第3部が扱います*1。第17条は同意の要件として共有について適切に情報を与えられていること（共有される個人情報の性質、複数回共有されるか、どの認定事業体と共有されるか）、任意であること、当該プロジェクトのための共有に具体的に関連すること、共有の時点で有効であることを挙げ、撤回は明示的に行われた場合にのみ効力を持ち、撤回後の共有についてのみ効力を持つとしています*1。
日本のデータ連携基盤に置き換えると
最後に、設計の言葉に置き換えます*1。
第一に、加工や仲介を担う事業者が制度上の役割として置かれている点です*1。ADSPは、データ管理者と認定利用者の間で、加工や結合を引き受ける当事者です*1。日本のデータ連携でこの役割を担うのは、多くの場合システムを作った側です。制度の当事者として扱われるなら、責任の範囲も契約で決まります。
第二に、データアクセス者の定義です*1。契約先の法人が含まれるため、再委託の相手まで含めて「誰が触るか」を契約に書き出す作業が発生します*1。台帳を組織ではなく契約単位で持たせておくと、この作業が軽くなります。
第三に、セキュリティが比例で書かれている点です*1。基準名で縛らない代わりに、機微性とリスクの評価を自分で示すことになります*1。評価の枠組みと、そこで参照した基準を残しておかないと、後から説明できません。データ基盤の構築を委託で進める場合、この評価をどちらが行うかも決めておく論点です。
第四に、成果の出口です*1。アウトプット原則は、成果の性質と用途、そして第三者への提供や公表の可否を検討させます*1。分析の結果をどこまで外へ出せるかを、案件の開始時に決めておく設計になります。
豪州では、同じ時期に重要インフラのリスク管理やデジタルIDの救済枠組みでも、判断の根拠を記録させる方向の改正が続いています*1。個々の要件より、この共通の性格のほうが移植しやすい部分かもしれません。
まとめ：豪州のデータ共有コードで押さえる3つの視点
豪州のデータ利用可能性・透明性コード2022は、同名の法律2022第126条に基づき、政府部門データの共有の判定を具体化する規則です。2025年改正コード（第1号）により内容が加わり、編集版は2025年6月20日時点のものになっています。押さえたい視点は三つあります。第一に、役割と枠組み。データ管理者、認定利用者、ADSP（認定データサービス提供者）に加えて、2025年の改正でデータアクセス者が定義されました。指定された個人だけでなく、承認された契約の当事者である法人も含まれます。判定は、プロジェクト、ピープル、セッティング、データ、アウトプットの5原則で行います。第二に、利益相反。第8条は、事業体またはそのデータアクセス者に現実の、潜在的なまたは外形上の利益相反があり、それが適切に管理されていない場合、その者はデータを提供してよい適切な者ではないと定めます。政府サービスの提供のみが目的なら、仕組みがあり有効に機能していると契約で表明すれば管理されていると想定できます。政策立案や研究開発が含まれる場合は、合理的な照会を行い実際に認識していないことと、契約で特定と管理を義務づけていることの両方が要ります。認定事業体自身にも、特定、データ管理者や他の当事者への通知、契約と指示に従った管理が求められます。第三に、書面。第13条はセキュリティ基準をデータの機微性とリスクに比例したものと定め、第14条は共有前の処理と必要性の検討を、第15条は成果の性質や用途と、第三者への提供や公表の可否の検討を求めます。2025年に加わった第25条は、州・準州データを別の合意から得て共有する場合に、提供者、条件の有無、整合の説明を契約に書かせます。第90条は登録の際にコミッショナーへ出す13項目を定め、第91条は年次報告のための通知の期間を7月31日に終わるものとしました。
よくある質問
利益相反があると共有できないのですか。
そうではありません。第8条第1項が不適格とするのは、現実の、潜在的なまたは外形上の利益相反があり、かつそれが適切に管理されていない場合です。管理されていれば入口は塞がれません。管理されていることの確かめ方は目的で分かれ、政府サービスの提供のみが目的なら、相手が仕組みを備え有効に機能していると契約で表明すれば想定してよいとされます。政策立案や研究開発が含まれる場合は、合理的な照会を行って実際に認識していないことと、契約で特定と管理を義務づけていることの両方が必要です。
委託先もデータアクセス者に当たりますか。
当たりうる書き方です。2025年の改正で加わった定義は、データ共有契約のもとでアクセスを許された当該事業体の指定された個人に加えて、当該事業体と承認された契約の当事者である法人も含めます。ただし条件があり、その契約がデータ共有契約により授権され、または同契約のもとで承認されていること、そしてその法人がプロジェクトの一部としてデータへのアクセスを許されていることが要ります。第8条は、事業体だけでなくそのデータアクセス者の利益相反も判定の対象にしています。
セキュリティ基準は何を満たせばよいのですか。
特定の規格名は挙げられていません。第13条第2項は、合理的なセキュリティ基準であるためには、当該事業体の評価により、データの機微性と、共有・収集・利用がもたらすリスクの双方に比例したものでなければならないとします。第3項は、合理的なセキュリティ基準の適用が、場合により、連邦の機関でない認定事業体に連邦のセキュリティ基準またはその一部への準拠を求めることを意味しうるとしています。評価の内容と、そこで参照した基準を示せるようにしておく設計になります。
登録では何を出すのですか。
第90条第2項が13項目を並べています。当事者とその資格、締結日、プロジェクトの説明、データ共有の目的、共有されるデータの説明、個人情報を共有するかどうか、法第16B条第7項が適用される場合の記述と説明、同条第8項が適用される場合の記述、法第23条がなければ他法に違反することになる場合の法律名、公益にどう資するかの記述、最終成果の説明、法第20E条により成果が制度外へ出うる場合の事由、有効期限がある場合はその期限です。あわせて、契約や変更に添付がある場合はその添付と、登録に関連すると事業体が考える情報や文書も出します。
出典
- *1 参考：オーストラリア連邦法令登録簿「Data Availability and Transparency Code 2022」（F2022L01719・2025年6月20日時点の編集版）（https://www.legislation.gov.au/F2022L01719/latest/text）。本文の一次情報として。第3条の根拠（データ利用可能性・透明性法2022第126条）、第4条の定義（データアクセス者、州または準州のデータ、永住者）、第5条の第2部の趣旨、第6条のプロジェクト原則（政府サービスの提供のみの場合、医療研究等の場合、比較衡量と考慮しなければならない6項目および任意の考慮事項）、第8条から第10条のピープル原則（利益相反の管理、目的別の想定、認定事業体の特定・通知・管理）、第13条のセッティング原則（比例と連邦基準）、第14条のデータ原則（共有前の処理、ADSP経由の場合、必要性）、第15条のアウトプット原則（成果の性質と用途、提供や公表の可否）、第17条の同意の要件と撤回、第25条の州・準州データを含む契約の要件、第90条の登録時の13項目、第91条の7月31日を確認した。確認日は2026年9月9日。（2026年9月確認）
- *2 参考：オーストラリア連邦法令登録簿「Data Availability and Transparency Amendment (No. 1) Code 2025」（F2025L00701・2025年6月16日制定）（https://www.legislation.gov.au/F2025L00701/asmade/text）。改正の一次情報として。2025年の改正コードにより、データアクセス者の定義、州または準州のデータに関する第25条、および第10部第1節の適用規定が加えられたことを、編集版の注記とあわせて確認した。確認日は2026年9月9日。（2026年9月確認）
