WirelessWire News

【追記（2014年8月21日15:00執筆）】

本稿公開からしばらく経つが、8月上旬に情報セキュリティ研究者の高木浩光氏（内閣官房情報セキュリティセンター 内閣官房行政実務研修員（独立行政法人 産業技術総合研究所 企画本部総合企画室付 兼務）から、ツイッター上でコメントが寄せられた。

高木先生がデタラメな個人情報論にお怒りです
http://togetter.com/li/704846

まず拙稿を丹念に読み込んでいただいた高木氏（とツイートをまとめた @euroseller 氏）に謝意を申し上げたい。こうしたご指摘をいただけること、また指摘によって私はもちろん読者の理解も深まることは、大変有難い限りである。

指摘の内容は私自身の著述姿勢も含め多岐に渡るが、本稿の内容に直接関係する部分として、以下の指摘について対応したい。

「できるだけ使うための手段」は個人特定性低減データの方。準個人情報は、現行法で全く保護対象外のところを保護対象として加えようという領域。 「事務局はこの〈準個人情報〉を、識別非特定情報をできるだけ使うための手段として、推進したかった」などとは、出鱈目も甚だしい。

— Hiromitsu Takagi (@HiromitsuTakagi) 2014, 8月 10

「提案段階では、現行法にある本人同意や通知などを求める義務を課さずに、これらの情報を利活用できるようにしたい、との意向が示された。」というのは、例の表で「義務なし」とあるのを見て、勝手に理由付けしているのだろうが、これは、... pic.twitter.com/sFIyQlLXIv

— Hiromitsu Takagi (@HiromitsuTakagi) 2014, 8月 10

...「本人を特定しないため義務なし」とあるように、準個人情報は個人情報でないから「本人」が観念し得ず、通知や同意やオプトアウトの手段が不可能だから「義務なし」と決めたにすぎないのであって、「活用できるようにしたいとの意向」とか関係ない。このことは第三者提供の義務に端的に現れている。

— Hiromitsu Takagi (@HiromitsuTakagi) 2014, 8月 10

この記述について、本稿では以下のように当初記述した。

http://wirelesswire.jp/Inside_Out/201407011700-5.html

事務局はこの〈準個人情報〉を、識別非特定情報をできるだけ使うための手段として、推進したかったようだ。提案段階では、現行法にある本人同意や通知などを求める義務を課さずに、これらの情報を利活用できるようにしたい、との意向が示された。

しかしながら、先般まとまったパーソナルデータ大綱の中では、〈準個人情報〉は一切触れられていない。現行法の個人情報との峻別が困難であることや、SUICAのデータ外販のインシデントの分析を受けて、そもそも〈準個人情報〉に関しても取扱いを慎重にすべきであることといった、指摘や懸念が明に暗に示された結果、この概念自体は大綱には取り込まれなかったのだ。

私が本稿で「事務局はこの〈準個人情報〉を、識別非特定情報をできるだけ使うための手段として、推進したかった」と記述したのは、関係者との対話の中でそうしたニュアンスを感じたことに加え、今春開催されたイベント「BigData Conference 2014 Spring」 の講演で、パーソナルデータ検討会の技術部会長を務められた、佐藤一郎教授（国立情報学研究所アーキテクチャ科学研究系）が、

準個人情報については「個人情報の定義にグレーゾーンがあり、企業が萎縮している」現状を改めるために、2つの方法が検討されたという。「今の個人情報の定義そのものを見直す方法。現状の定義は変えず外付けで新たに増えた情報を付け足す方法。どちらも損得あるが、今回は後者を選んだ」。その理由として、定義を見直すと、これまでの定義に基づいた企業と個人、または企業同士の同意を、すべて取り直す必要が出てくるからだ。また、現在の個人情報保護法には致命的な問題が生じていないため、それをベースにすべきという判断もあったという。

そして新たに追加される定義として提案されたのが「準個人情報」だが、そのメリットとは「個人情報とそうではない情報の中間に位置するグレーなものを明確にする」ことと「目的外利用を緩く扱い、目的変更を個々人に通知しなくても公表で良いことにする」ことにあるという。準個人情報は、さらに3つのカテゴリに分けて定義されているが「事務局案でも完全に定義し切れていない」と、これから議論を詰めていく必要があることをアピールした。

と言及されたことを受けての認識であった（上記の詳細記事は、日経ビッグデータ2014年6月号に全文が掲載されているので、詳細はそちらを確認されたい）。

しかしながら、同講演での議論は今春に事務局から発表された当初の第一印象を受けたものであり、その後の検討会の議論での精査を必ずしも反映したものではなかった。弊社のスタッフが検討会にほぼ皆勤で出席していたこともあり、また委員の一部の方々と意見交換を断続的に行っていた立場から、私も「分かったつもり」になっていた可能性は否定できず、高木氏の指摘も理解できる。またSUICA事案の検討会における位置づけも、それと同様、私の理解が正確でなかった可能性がある。

それを踏まえ、本稿を以下のように訂正した。

事務局はこの〈準個人情報〉を、「個人情報の定義にグレーゾーンがあり、企業が萎縮している」（検討会技術部会長を務めた佐藤一郎・国立情報学研究所アーキテクチャ科学研究系教授）という課題を解決する一助として、識別非特定情報と個人情報の峻別をより明確にすべく、推進したかったようだ。

しかしながら、先般まとまったパーソナルデータ大綱の中では、〈準個人情報〉は一切触れられていない。〈準個人情報〉の議論を通じて、準個人情報として例示されたデータと個人情報の峻別が明確になったこと、またそれを踏まえて準個人情報であっても取扱いを慎重にすべきであることといった、指摘や懸念が明に暗に示された結果、この概念自体は大綱には取り込まれなかったようだ。

誤解のないように改めて申し上げると、本件を巡り、高木浩光氏と佐藤一郎氏のどちらが正しいのか、ということを議論するような意図は、少なくとも私にはないし、読者諸氏もご遠慮いただきたい。また私自身の責任をすり替えるつもりもない。

一方で、パーソナルデータ検討会の結果は、ともすると逐一動向を把握していないと理解できない（あるいは間違える）可能性のある状態にある、という印象を、少なくとも私自身は拭えない。これは、議論が詳細化かつ高度化した結果、概念の定義や操作が必要となったことの副産物といえるのかもしれない。

だとしたら、高木氏からの指摘のように、より建設的な討議を繰り返し、理解を深めていくよりほかに、正しく合意形成を進めていく方法はないだろう。今回パーソナルデータ検討会（特に親会）が、事実上のプラチナチケットではあったものの公開の会議として開催されたのも、事務局をはじめ委員の多くがそうした必要性を感じていたからではないだろうか。

私自身、またどこかで間違える可能性も否定できないが、引き続き検討と議論を重ね、パーソナルデータ法改正をより実りあるものとすべく、仕事をしていきたい。