LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

制裁の重さだけを見ていると、制度の実像を取り違えます。どの手段が、どの順番で、どういう条件のときに使われるのか。豪州は、そこを文書で公表しました。

My Health Records（情報コミッショナー執行権限）ガイドライン2026が2026年2月27日に制定され、登録の翌日に効力を持ちました*1。前身の同ガイドライン2016は同時に廃止されています*1。根拠はMy Health Records Act 2012の第111条です*1。

読みどころは3つあります。調査の入口が2つあること、執行の手段が6つあること、そして是正通知に民事罰を止める効き目があることです。順に見ていきます。

ガイドライン自体が法令として登録されている

まず全体像です*1。

第111条は、情報コミッショナーに対して、同法に基づく権限、または他の法の関連する権限の行使に関するガイドラインを策定し、それを考慮することを求めています*1。関連する法として名指しされているのがプライバシー法1988です*1。

第2.3項は、効力発生の日から、情報コミッショナーがMy Health Records ActとプライバシーAct の双方に基づく執行権限・調査権限を行使するときに、この文書を考慮すると述べています*1。2つの法律にまたがる運用の指針を、1本の登録済み法令にまとめた形です*1。

位置づけについて、第4.10項と第4.11項が予防線を張っています*1。情報コミッショナーには、個別の事情に応じて最も適切と考える権限を選ぶ裁量があること、そしてこの文書は参加者が負うプライバシー上の義務のすべてを言い直したものではないことです*1。あくまで判断の枠組みを示すものと読めます*1。

もう一点、文書の性質にも触れておきます*1。ガイドラインという名称ですが、これは連邦法令登録簿に登録された法令です*1。第111条が策定を義務づけ、コミッショナー自身がこれを考慮することも同条が求めています*1。運用の方針を、外から参照できる形に固定した作りです*1。

制度の実体側の要件は別の法令にあります。参加する組織に課される方針や証跡の要件は、My Health Records規則2026の側に置かれています。この記事はその執行側の話です*1。

調査は、どちらの法律で始めるかで分かれる

第5節と第6節は、苦情と調査の扱いを定めます*1。

原則は明快です*1。My Health Record制度に関して情報コミッショナーが受け取った苦情は、My Health Records Actに基づいて受理し対応する理由がない限り、プライバシー法第36条の苦情として扱われ、同法の第V部および第VIB部の規定で処理されます*1。職権による調査も同様で、第6.3項は、後者の法で行う理由がない限り、プライバシー法第V部で行うとしました*1。

初動では、いきなり調査に入らない選択もあります*1。第5.4項は、申立人に対して、まずMy Health Record制度の参加者へ苦情を出すよう求め、参加者に対して合理的な措置で解決するよう求めることがあると述べます*1。早期の解決や調停ができない場合、または本人が参加者へ苦情を出すことが合理的でない場合に、調査と執行へ進みます*1。

調査で使える権限も列挙されました*1。苦情または職権での調査の開始、調停の試み、調査を開くかどうかを判断するための予備的な照会、情報または文書の提出の要求、宣誓または確約のうえでの質問への出頭の要求、文書を検分するための立入、そして一定の場合の聴聞・証人尋問・強制的な会議です*1。

立入・捜索・押収には歯止めがあります*1。第5.10項は、これらの権限がプライバシー法第VIB部にあり、立入への同意または令状という形での事前の司法の許可なしには行使できないと明記します*1。恣意的にならないよう、状況に照らして合理的かつ比例的であるための条件が課されるとも書かれました*1。

My Health Records Actの第73条で調査する場合も、手続きは孤立していません*1。第6.5項は、実行可能な限り、プライバシー法第V部の調査手続きに対応する手順に従うとしています*1。入口は2つでも、進め方はそろえる設計です*1。

執行の手段は6つ、併用もできる

第3部が個別の手段を扱います*1。

第7.2項が、ひとつの違反に対して複数の執行権限を組み合わせて使うことができると明記しました*1。段階的に上がるだけでなく、並行して使う建て付けです*1。

選び方の材料も第7.1項に並びます*1。両法の目的、どちらの法で調査を終えたか、そして規制活動の方針にある要素として、個人や社会、とくに弱い立場の人々への重大な害のおそれがあるか、問題が制度的な害や違反に関わるか、行動が業界や市場の実務を変え、教育的または抑止的な効果を持つ見込みがあるか、公共の関心や懸念が大きいか、とくに新しい規定について、政策や法の解釈を明確にする助けになるかです*1。

並べて読むと、個別の被害の回復だけでなく市場全体への波及が判断材料に入っている点が特徴です*1。新しい規定の解釈を固めるために事案を選ぶ、という趣旨まで明文化されています*1。裏を返せば、同じ違反でも、業界に前例が乏しい論点に当たっていれば、重い手段が選ばれる可能性が上がるということです*1。

是正通知に従えば、民事罰は求められない

実務でいちばん効いてくるのが第11.5項です*1。

同項は、重大なプライバシーの侵害、プライバシーの侵害、および是正通知に関する民事罰規定の違反について、同じ行為に関してすでに是正通知が出されている場合には、一定の条件のもとで民事罰の命令を求めることができない、としています*1。

条件は2つです*1。その通知が撤回されておらず、事業者が通知に従った場合、または事業者が裁判所へ通知の審査を申し立て、その申立てが完全には処理されていない場合です*1。前者は「直したのだから重ねて罰しない」、後者は「争っている最中に別の手続きを重ねない」という整理と読めます*1。

そのうえで第12.1項は、是正通知を違反通知の前に出せる裁量の通知と位置づけ、遵守のための実務的で測定できる手順を事業者へ与えることを意図していると説明します*1。罰よりも先に、直し方を示す段が置かれているわけです*1。

民事罰には時間の枠もあります*1。第11.1項は、情報コミッショナーが違反の疑いがある行為から4年以内に申立てを行わなければならないとしました*1。

もうひとつ、法の重なりについての説明が第11.3項と第11.4項にあります*1。My Health Records Actの違反のうち、記録に含まれる健康情報に関するものや第4部・第5部の規定に関するものは、プライバシー法の目的ではプライバシーの侵害に当たります*1。したがって同じ行為が両法の民事罰規定に触れることがあり、その場合、情報コミッショナーはプライバシー法の側で民事罰を求めるという選択もできます*1。

調査の情報は運営者へ渡り、登録に響く

執行の話とは別に、押さえておきたい経路があります*1。

第7.3項は、My Health Records Actの第73A条により、情報コミッショナーが第73条の調査に関する情報や文書をSystem Operator（システム運営者）へ開示できると述べます*1。条件は、その開示が、運営者にとってシステムの運用またはセキュリティを監視し、または改善につなげられると認めるときです*1。

そして第7.4項が含意を明示しました*1。第73A条に基づく開示は、運営者が一定の状況で事業者の登録を取り消し、停止し、または変更する権限を行使することを助けることもある、というものです*1。

つまり、コミッショナー側の調査が、罰や命令という形をとらなくても、運営者側の行政的な措置として跳ね返る経路があります*1。参加者から見ると、罰金の見込みだけでリスクを測ると足りません*1。接続が止まる可能性を含めて考える必要があります*1。

公表の扱いも定められています*1。第7.6項は、執行権限の行使について公に情報を伝えることがあるとし、刑事の捜査のために法執行機関へ付託された場合などを例外としました*1。第7.7項は、受理した執行可能な約束は原則として公表するとしています*1。

付託の先も複数あります*1。第14.2項は、代替の法や苦情処理機関があるときに調査しない決定（プライバシー法第41条）や、他の苦情処理機関への付託（同第50条）に触れ、第14.3項は刑事の違反について連邦検察局長官への付託があると述べます*1。例として、プライバシー法第66条第1A項に基づく、情報の提供・質問への回答・文書や記録の提出の要求に法人が繰り返し従わないことが挙げられました*1。

日本のIT部門は、どこを参考にできるか

このガイドラインは豪州の制度で、日本の事業者に直接の義務を課すものではありません*1。ただし、規制対応の設計として持ち帰れる点があります*1。

第一に、是正の余地がある段を先に置く制度では、初動の速さが結果を変えるという点です*1。是正通知に従えば同じ行為で民事罰を求められない、という関係が明文化されている以上、通知を受けてから期限内に直せるかどうかが分岐になります*1。障害対応と同じで、検知から是正までの時間を短くする体制が効きます*1。

第二に、「測定できる手順」を要求される前提で記録を作ることです*1。是正通知は実務的で測定できる手順を示すものとされています*1。受け取る側も、実施したことを数値と証跡で示せないと、従ったという主張が通りにくくなります*1。作業ログ、設定変更の履歴、権限棚卸しの結果を、日付つきで取り出せる状態にしておくのが備えになります*1。

第三に、調査対応そのものを運用に組み込むことです*1。情報または文書の提出の要求、立入による文書の検分、質問への出頭といった権限が並んでいます*1。どの情報が、どこに、どの形式で保管されているかの地図がないと、期限内の提出が難しくなります*1。データの所在一覧と、抽出のための手順を用意しておく価値があります*1。

あわせて、公表される前提で対応することも要点です*1。第7.7項は、受理した執行可能な約束を原則として公表するとしています*1。約束の文面がそのまま外部に出るため、実現できる内容だけを書くこと、期日を守れる粒度に落とすことが、交渉の段階から求められます*1。

第四に、停止のリスクを事業計画に入れることです*1。第73A条の経路は、罰金ではなく登録の取消・停止・変更という形の帰結を示します*1。基幹の外部システムへの接続が止まる前提での代替手段を、あらかじめ検討しておくことになります*1。同じ豪州では、デジタルID認定制度でも認定の停止が制度に組み込まれていました*1。

まとめ：豪州の執行権限ガイドラインで押さえる3つの視点

豪州では、My Health Records Act 2012の第111条に基づき、My Health Records（情報コミッショナー執行権限）ガイドライン2026が2026年2月27日に制定され、登録の翌日に効力を持ちました。前身の同ガイドライン2016は同時に廃止されています。押さえたい視点は三つあります。第一に、調査の入口。My Health Record制度に関する苦情は、My Health Records Actに基づいて扱う理由がない限り、プライバシー法1988の第36条の苦情として扱われ、同法の第V部および第VIB部で処理されます。職権による調査も、後者の法で行う理由がない限りプライバシー法第V部で行われます。My Health Records Act第73条で調査する場合も、実行可能な限り第V部の手続きに対応する手順に従います。立入・捜索・押収は第VIB部の権限で、立入への同意または令状という形の事前の司法の許可なしには行使できません。第二に、執行の手段。執行可能な約束、決定、差止命令、民事罰、是正通知、違反通知の6つがあり、組み合わせて使うこともできます。民事罰の申立ては違反の疑いがある行為から4年以内に行う必要があります。選択にあたっては、両法の目的に加えて、重大な害のおそれ、制度的な害や違反かどうか、業界や市場の実務を変えたり教育的・抑止的な効果を持つ見込み、公共の関心の大きさ、政策や法の明確化に資するかどうかが考慮されます。第三に、是正通知の効き目。同じ行為についてすでに是正通知が出され、それが撤回されずに事業者が従った場合、または事業者が裁判所へ通知の審査を申し立ててその申立てが完全には処理されていない場合には、重大なプライバシーの侵害、プライバシーの侵害、是正通知に関する民事罰規定について民事罰の命令を求めることができません。あわせて、第73A条により、調査に関する情報や文書がSystem Operatorへ開示されることがあり、その開示は運営者が登録を取り消し、停止し、または変更する権限の行使を助けることがあります。

よくある質問

出典

1. *1　参考：オーストラリア連邦法令登録簿「My Health Records (Information Commissioner Enforcement Powers) Guidelines 2026」（F2026L00186・2026年2月27日制定）（https://www.legislation.gov.au/F2026L00186/asmade/text）。本記事の一次情報。第2.1項の効力発生（登録の翌日）、第2.2項の旧ガイドライン2016の廃止、第2.3項の両法への適用、第3.2項の定義（裁判所、情報コミッショナー、SES、System Operatorほか）、第4.8項のコミッショナーの中核機能（第73条の調査と調停、第75条のデータ侵害通知の受領、第80条の約束、第81条の差止命令、第79条の民事罰、第111条のガイドライン、第73A条の情報共有）、第4.10項と第4.11項の位置づけ、第5.3項から第5.5項の苦情の扱い、第5.6項から第5.10項の調査権限と第VIB部の同意・令状の要件、第6.1項の一貫した規制の姿勢、第6.3項と第6.5項の入口の選択と手続きの対応、第7.1項の考慮要素、第7.2項の併用、第7.3項と第7.4項の第73A条の開示と登録への影響、第7.5項から第7.7項の訴訟原則と公表、第8条から第13条の6手段（約束、決定、差止命令、民事罰の4年、是正通知、違反通知）、第11.3項から第11.5項の両法の重なりと是正通知の効果、ならびに第14条の付託を確認した。確認日は2026年9月10日。（2026年9月確認）

Tweet