近年、情報技術の発展により、いわゆるビッグデータの利活用が注目されています。政府・産業界は、ビッグデータの利活用が、経済の発展の起爆剤になるとして、それを推進しようとしています。しかし、2013年には相次いで大企業のビッグデータの利活用に対する消費者の強い反発も表面化し、ビッグデータの問題点も露呈しました。
たとえば、2013年10月には、ＮＴＴドコモが携帯電話などのＧＰＳの空間位置情報を利用者の同意なしに第三者提供すると発表し、ＮＴＴドコモの携帯電話の利用者から大きな反発を受けました。
また、2013年6月には、ＪＲ東日本がSuicaにより得られた個人データを日立に利用者の同意なしに第三者提供することが新聞で報道され、大きな社会問題となり、両者は大きな社会的非難を受けました（ＪＲ東日本に対しては、2013年7月26日から8月1日までのわずか約１週間で、利用者から9000件を超える自分の個人情報を第三者提供しないでほしいというオプトアウトの申出がなされたとのことです）。
このような社会情勢を受けて、内閣府の高度情報通信ネットワーク社会推進戦略本部（IT総合戦略本部）は、平成25年12月20日に「パーソナルデータの利活用に関する制度見直し方針」を発出し、それを受けて、IT総合戦略本部に、宇賀克也教授を座長とする「パーソナルデータに関する検討会」が発足し、その検討会での検討を踏まえて、2014年6月24日に「パーソナルデータの利活用に関する制度改正大綱」が発表されました。
この大綱をもとに、政府は2015年の通常国会に個人情報保護法の改正法案を提出する予定です。本稿では、この大綱についてみてみます。
・「パーソナルデータの利活用に関する制度改正大綱」（PDF）
２．「個人情報」・「パーソナルデータ」の定義
（１）個人情報
現行の個人情報保護法における個人情報とは、「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む）をいう」と定義されています（個人情報保護法2条1項）。つまり、かっこより前の部分で「個人識別性」を定め、かっこ内の部分で「容易識別性」を定めています。
やや余談ですが、とくに後者の容易識別性は、情報技術の進歩によりその程度が変化するため、なかなか悩ましい概念です。たとえば、金融機関が社内のある基幹システムのデータベースにおいて、「顧客番号と残高・平残・契約状況・受払取引等」の情報を持っていたとして、社内の別のデータベースを操作してそれらのデータを突き合わせることにより個人を識別することができるような場合は、前者のデータベースにおいて氏名などの部分が匿名化されていたとしても、全体としてそれらは個人情報に該当するとされています（金融庁「『金融分野における個人情報保護に関するガイドライン』（案）への意見一覧」の金融庁回答54番）。
（２）パーソナルデータ
これに対して新しい概念である、「パーソナルデータ」とは、個人情報保護法における個人情報より広く、「個人に関する情報」と定義されます。たとえば、個人のＰＣやスマートフォン等の識別情報（端末ＩＤ等）などや、継続的に収集される購買・貸出履歴、視聴履歴、位置情報等がパーソナルデータに含まれるとされます（2013年6月総務省「パーソナルデータの利用・流通に関する研究会報告書」）。
・「パーソナルデータの利用・流通に関する研究会報告書」（PDF）
（３）準個人情報
なお、「パーソナルデータに関する検討会」の過程では、個人の身体的特徴（指紋、顔認証情報、歩き方など）を、「準個人情報」という新しい類型を創設して保護しようという議論もありました。しかし、そのようなカテゴリーを創設することは逆に混乱を招くとして見送られ、このような個人の身体的特徴は、個人情報に含まれると整理されました。
（４）センシティブ情報
また、現行の個人情報保護法は、センシティブ情報（機微情報）の取扱について定めていません。センシティブ情報（機微情報）とは、「政治的見解、信教（宗教、思想及び信条をいう。）、労働組合への加盟、人種及び民族、門地及び本籍地、保健医療及び性生活、並びに犯罪歴に関する情報」のことです（たとえば金融庁「金融分野における個人情報保護に関するガイドライン」６条）。
このセンシティブ情報は社会的差別を招きかねない非常にデリケートな個人情報であり、本人にとっても第三者に一番オープンにしたくない個人情報です。
現在の法令下においては、個人情報保護法がダイレクトに規定はしていないものの、各業界を監督する監督官庁の個人情報に関するガイドライン（＝通達）が、センシティブ情報の取得や取扱を原則として禁止しています。（たとえば金融庁のガイドラインにおいては、保険業などが保険の引き受けの審査の際に必要な限度に限ってセンシティブ情報の取得を認めるという趣旨の規定のしかたをしています。）
今回の、「パーソナルデータに関する検討会」においては、センシティブ情報（機微情報）について、法律上定義を設け、原則として取得や取扱の禁止を定める方向の議論がなされました。
３．「低減したデータ」
（１）本人の同意がなくても第三者提供や目的外利用ができる「低減したデータ」
大綱においては、氏名、住所、生年月日などを匿名化する措置により「個人が特定される可能性を低減したデータ」については、現行の個人情報保護法が本人の同意が必要としている第三者提供や目的外利用について、本人の同意がなくても可能という方針を示しています。これが今回の改革の目玉です。
また、大綱においては、「特定の個人が識別される可能性が低減されたデータ」について、情報を円滑に利活用するために必要な措置を講じることとされました。しかし、その具体的な要件や基準などは、「データの有用性や多様性に配慮し、一律には定めず、事業等の特性に応じた適切な処理を行うこと」とするにとどまり、大綱では示されませんでした。
これは、パーソナルデータやビッグデータを取り巻く社会情勢や情報技術の進展が早いことから、具体的な基準などについては、今後、政令や第三者機関による規則・ガイドラインや民間の自主規制団体によるルール等よって定められることになる予定です。
（２）低減データの作成イメージ
ただし、「パーソナルデータに関する検討会」の第７回の検討会の資料１－２の９頁においては、低減データの作成イメージが示されています。
これによると、たとえば、「顧客ＩＤ」「氏名」「住所」「生年月日」「購買履歴」がついているデータを低減データとするためには、「顧客ＩＤ」を「仮名ＩＤ」など別の記号に変換し、「氏名」は削除し、「住所」は都道府県にし、「生年月日」は誕生年に加工するとしています。
（３）低減データの適切さを担保するための措置
また、大綱は低減データについて「適切な処理を行うこと」としましたが、「パーソナルデータに関する検討会」第７回の資料１－２の10頁においては、個人データ（低減データ）の提供者が加工方法と一定の事項を第三者機関（後述）に提出し、第三者機関がそれを公開し、個人データの受領者には安全管理措置を講じる義務を課すという制度が提案されています。
（４）利用目的変更時の手続の見直し
さらに、大綱11頁（３）②には「利用目的変更時の手続の見直し」が盛り込まれました。現行の個人情報保護法においては、個人情報の利用目的の変更時には、本人から同意を得なければなりません（個人情報保護法15条、16条）。しかし、現行の制度においても、利用目的の変更ではなく、個人情報の新規取得の際は、契約書などの書面によるものを例外として、原則的には、事業主の会社のウェブサイトにプライバシーポリシー（個人情報保護方針）を掲載するなどして利用目的を「公表」したり、「通知」したりしていれば、本人の同意は不要とされていました（個人情報保護法18条1項）。
このように、新規で個人情報を取得する際の要件よりも、取得目的の変更をする際の要件のほうが厳重なのは違和感があるとして、大綱では、「オプトアウト方式」（＝嫌だと思う人がその旨を申し出る方式）が提案されています。
大綱は、「例えば、利用目的を変更する際、本人が十分に認知できる手続を工夫しつつ、新たな利用目的による利活用を望まない場合に本人が申し出ることができる仕組みを設けて本人に知らせることで、利用目的の変更を拒まない者のパーソナルデータに限って変更後の利用目的を適用すること等が考えられるが、具体的な措置については、情報の性質等に留意しつつ、引き続き検討することとする。」と記述しています。
とくにこの「低減データ」や「利用目的の変更」のあたりは、事業者側の立場の方と、普通の市民・消費者側とで、受け止め方が180度くらい異なるのではないかと思います。
そもそも、新規に個人情報を取得する際に、インターネットの会社のホームページにプライバシーポリシーさえ掲載してあれば、会社の営業などの社員が本人の同意を得ずに個人情報を取得しても個人情報保護法上問題はないという現在の法制度自体が、一般の市民からみれば「だまし討ち」のように見えるのではないかと思います。この部分が市民の側から見るとすでにザル法の状態です。
さらに、既に取得した個人情報に関して利用目的の変更をするにあたって、従来は本人の同意が必要であったのが、今度の法改正でオプトアウト方式に変わるとして、事業者側は小躍りするでしょうが、市民・消費者側はその度重なる「だまし討ち」に怒ると同時に呆れかえるのではないでしょうか。
ＪＲ東日本やＮＴＴドコモの個人情報の第三者提供の問題は形式的には個人情報保護法をクリアした合法なものでした。しかし、多くの市民・国民が怒り、不信感を抱いたのは、このような事業者側と、法制度をつくる政府・与党・財界の、「国民・市民のプライバシーを決定するのは我々だ」という一種のごうまんな振る舞いに対してなのではないでしょうか。
言うまでもなく、憲法13条から導き出されるプライバシー権は幅広な概念であって、個人情報保護法が保護の範囲としている対象はそのほんの一部分にすぎません。ＪＲ東日本やＮＴＴドコモが、「当社は個人情報保護法を守っているので法的になんら問題はありません」とドヤ顔で主張したとしても、プライバシー権の侵害として民事上の不法行為責任などの問題は依然として残ります。
政府・与党・財界・経済界がごうまんに立法を進めるのであれば、国民・市民のJR東日本やNTTドコモなどの件で現れたビッグデータへの不安感・不信感は継続するでしょう。国民・市民としては、自らを防衛するために、自らの個人情報を企業などに提供することに、より慎重な姿勢になることも予想されます。
（５）共同利用
現行の個人情報保護法は個人情報を第三者に提供することを原則として禁止します（第三者提供の禁止・個人情報保護法23条1項）。しかし、いくつか例外が設けられており、「共同利用」はその例外のひとつです（同23条4項3号）。
この共同利用について、大綱はつぎのように記述しています。「共同利用については、個人情報取扱事業者において現行法の解釈に混乱が見られるとの指摘があるところであり、個人データを共同して利用する者の全体が一つの取扱事業者と同じであると本人が捉えることができる場合のみ共同利用が認められるものであるという現行法の趣旨を踏まえた運用の徹底を図ることとする。」
現行の個人情報保護法における「共同利用」は、明確な定義を置いていないため、実務において悪い意味で弾力的な運用がされてしまっています。たとえば、レンタルビデオのツタヤを運営するカルチュア・コンビニエンス・クラブ（CCC）はＴポイントというポイント制度の利用よって、非常に広範囲な個人情報の「共同利用」の集まりを作り出してしまっています。
CCCの運営するTサイトというサイトの「提供先への個人情報提供の停止」というページをみると、このCCCの個人情報の共同利用の企業集団の一覧をみることができます。
・Tサイト｜提供先への個人情報提供の停止
ツタヤ関係の企業が多いのは当然として、ざっと見ただけでも、ＥＮＥＯＳ、ドラッグイレブン、カメラのキタムラ、東急ホテルズ、ニッポンレンタカー、キリンビバレッジ、洋服の青山、全日信販、アート引越センター、ヤフー株式会社、ソフトバンクモバイル、ファミリーマート等などとならんでいます。
つまり、石油会社、薬局、ホテル、レンタカー、酒・飲料、洋服、信販会社、引っ越し業、情報通信業、コンビニ等など、業種・業界も幅広く多岐にわたっています。これをTポイント制度を利用している「共同利用」なのだから、本人の同意なしに個人情報を提供しあっても大丈夫だというのはあまりにも無理があります。
やはり、本来許容される「共同利用」とは、ひとつの「企業グループ」であるとか、そういったものであろうと思います。CCCのTポイントのように、Tポイントさえ使っていればどんな違った業種業界であっても、共同利用なのだから本人の同意なしに個人情報を転用したい放題というのは、一般人のプライバシーの意識からはあまりにもかけ離れていると思います。
（６）保存期間
大綱12頁の（３）⑥の保存期間については、当初、「保存期間等の公表」であったものが、「公表の在り方」に変わりました。これは、保存期間として、「定めない」「未定」という公表のしかたも選択肢のひとつとして認めたということで、事業者の側の選択肢を増やしたものといます。
たしかに、平成15年に個人情報保護法が施行されて、個人情報保護や情報セキュリティが重要だと言われるようになりました。ところが、監督官庁の金融庁などの作成したガイドラインを読むと、個人情報が記載された書類は、保存期間を定めて廃棄しなければならないと規定していました。これは金融機関の事務屋にとってはちょっとしたカルチャーショックです。とくにお客さまに書いていただいた申込書などの書類は金融機関にとって最大限に大事なものなので、永久保管とするのが、銀行、保険などの金融業界のそれまでの常識でした。
ところが、監督官庁のガイドラインなどによると、そのような書類や電子データを保管してしまうと、漏洩や無くしてしまうリスクが発生するので、保管期間を定めて、期間を過ぎたら廃棄しろと規定します。
たしかに先般のベネッセの大規模な個人情報漏洩事件のように、電子データとなった個人情報は、そのコピーの容易さゆえに、漏洩のおそろしさは万人が認めるところではあります。しかし、お客さまから書いていただいた申込書や告知書などの現物を倉庫に保管していたら、それが誰かに盗まれてコピーされまくって被害が爆発的に増えるという事態はあまり考えにくいように思えます。
今回の大綱で、「未定」や「永久保管」という選択肢が可能になったことは、金融業界の事務部門には朗報であると思います。
４．第三者機関の設置
（１）第三者機関
大綱においては、個人情報の範囲の明確化や事前相談、自主規制ルールを作成する団体の認定、同団体が作成したルールの認定などを行うために、「第三者機関」を創設することを予定しています。
この第三者機関は専門的知見を集中化し、分野横断的に法執行を行うものとされます。具体的には、現行の各主務大臣が有する個人情報取扱事業者に対する、助言・報告徴求・勧告・命令などの権限や、行政指導・立入検査・公表などを行う権限を与えられるとともに、認定個人情報保護団体に対する認定・認定取消・報告徴求・命令などの幅広い権限を有する強力な機関となる予定です。
これはすごいですね。「行政改革」「規制緩和」や「官から民へ」が国策として叫ばれる世の中で、人事院や公正取引委員会に匹敵する、あるいはそれ以上の強大な権力を持つ独立した行政庁を新たに作るというのですから。
それに、経産省、総務省、厚労省、金融庁などの各監督官庁はそれぞれの分野で個人情報保護に関する行政を実施してきています。新しい第三者機関ができたとして、その機関にすんなりと権限をあけわたすものなのでしょうか。
（２）開示請求権
また、現在の個人情報保護法においては、開示請求権（開示、訂正等および利用停止）の規定が用意されていますが、これは行政規制であるとされてきました。この点、大綱は「裁判上の行使が可能であることを明らかにする」として、民事上の権利であることが明確化される方針です。
５．今後の動き
この大綱により、匿名化する措置により「個人が特定される可能性を低減したデータ」は、第三者提供や目的外利用ができることとされました。
今後、国会に提出される個人情報保護法の改正法案や、うえであげた自主規制団体のルールなどにより、どのような匿名化を行えばビジネスに使用できるかなどがある程度は明らかになると思われます。また、場合によっては、創設される第三者機関への事前相談などの道も開かれるものと思われます。
とはいえ、第三者機関や自主規制団体などがどのようなものができるかは未だ明確ではないため、各企業は個社として社内での検討を重ね、場合によっては企業法務に強い弁護士・学者などの専門家に相談するなどの取り組みが必要であるように思われます。
・IT総合戦略本部「パーソナルデータの利活用に関する制度改正大綱」（PDF）
・IT総合戦略本部「パーソナルデータの利活用に関する制度見直し方針」（PDF）
・総務省「パーソナルデータの利用・流通に関する研究会報告書」（PDF）
■参考
・大井哲也・白澤光音「パーソナルデータ大綱のビジネスへの影響」『ビジネス法務』2014年10月号92頁
・森亮二・伊藤亜紀「パーソナルデータ大綱の読み方」『Business Law Journal』2014年9月号20頁
法律・法学 ブログランキングへ
にほんブログ村