プライバシーマークの制度を運営している（財）日本情報処理開発協会（略称：JIPDEC）・プライバシーマーク推進センターは、11月9日付で「個人情報の取扱いの再確認について（注意喚起）」と題した文書を発表し、その中で各地方自治体の条例を遵守するように注意喚起しました。

プライバシーマークの審査においては、従来からも地方自治体の条例を「規範とする文書」に洗い出し、それに従うことが行われてきていますが、多くの条例は事業者向け義務規定として個人情報保護法やJIS Q 15001より厳しい内容を規定している場合が殆どないため、内容を精査することなく形骸化していた実態があると思います。

しかし、JIPDECでは、今回「条例にきちんと従うように」「委託先にも条例に従わせるように」という注意喚起を行いました。

実際に注意すべき条例の例として、下記の2つの例を挙げています。

１）東京都個人情報保護条例は、取り扱う個人情報の量にかかわりなく事業者に責務を課しており、個人データが5000人以下の事業者を免除している個人情報保護法より厳しくなっている。

２）大阪府個人情報保護条例は、特定の機微な個人情報（センシティブ情報）に関して特に慎重に取り扱うこととしており、その中に「人種、氏族に関する情報や旧同和対策事業対象地域に居住し、または居住していたこと、その他その地域の出身であることに関する個人情報、詳細な本籍地に関する情報、犯罪歴に関する情報」などを具体的に含んでおり、JIS Q 15001よりも厳密に規定している。

などがあるようです。

http://privacymark.jp/reference/pdf/kojinjoho_manage101109.pdf

（私のコメント）
今回の文書は「プライバシーマークの審査で事業者が所在する地方自治体の個人情報保護条例を軽視してもらっては困る」という意思表示だと思います。細かい点とは思いますが、制度の管理者としてのJIPDECの意思表示を尊重すべきだと思いますし、尊重したいと思います。