5月下旬にもちょっとだけ紹介した総務省のパーソナルデータ研究会の報告書が、パブコメを経て確定版として昨日リリースされました。



一言で言えば、語られている内容には目新しさはあまりないながらも、これまでの国内でのパーソナルデータに関する議論が過不足なくまとめ上げられた上で総務省のお墨付きがついた形となり、（国際的な目線に耐えうるのかはやや懸念を抱くものの、）昨年リリースされたスマートフォンプライバシーイニシアティブとあわせて、この文書が日本のネットビジネスにおける個人情報・パーソナルデータの考え方のスタンダードとなるだろうと思います。

その一番の見どころである３章の３に示された「パーソナルデータの利活用のルールの内容の在り方」が、文書が長くて読みにくかったのと後で参照するのに一覧性がないのがイマイチだったので、一枚の表にまとめてみました。本来は、この文書で示されている「実質的個人識別性」という考え方を理解した上で、あくまでその例示として見て頂く必要があるのですが、厳密さは文書で確認していただくとして、こちらのブログでは分かりやすさ優先で整理させていただきます。

.	類型	具体例	取り扱い レベル	取得経緯 OK	取得経緯 NG
.	一般 パーソナルデータ	・氏名 ・本人が明確な意図で一般公開した情報 ・名刺記載情報	ｰ	黙示同意で可	明示個別同意が必要
.	慎重 パーソナルデータ	・移動体端末に蓄積される以下のようなパーソナルデータ -電話帳情報 -位置情報 -通信履歴 -アプリ利用履歴、写真、動画 -契約者・端末固有ID ・継続収集した購買・貸出履歴、視聴履歴、位置情報等	プライバシー低	明示包括同意で可
.						プライバシー高	明示個別同意が必要
.	センシティブデータ	・思想、信条、宗教 ・人種、民族、門地、身体・精神障害、犯罪歴、病歴、その他社会的差別の原因となる恐れのある情報 ・勤労者団体行動情報 ・政治的権利行使情報 ・健康性生活情報	ｰ

この整理でまず総務省の思い切りが感じられるのは、事業者が比較的自由に取得できる「一般パーソナルデータ」の範囲を、かなり広めに捉えようとしているところですね。氏名は当然としても、ブログやtwitterなどに本人が公開した情報や名刺から手に入る情報などは、取得の経緯（コンテキスト）が認めれれば明示的個別同意なくとも収集できる情報として整理されました。個人情報保護法の生んだ弊害を、このような解釈で解消しようとしていることがわかります。この解釈ですと、Linkedinに掲載された情報を人材紹介会社が収集して転職支援サービスに用いるのは、何ら問題ないということになりますね。もちろん、嫌がられたら停止＝オプトアウトは必要だとも言及してありますが。

一方で「慎重な取扱いが求められるパーソナルデータ」の区分は、未だ玉虫色です。情報の中身によってプライバシー性を帯びたり帯びなかったりすることから、包括同意でいいのか個別同意をとらなければならないのかの取り扱いルールが変わる点は、明言を避けています。また、この表にでてこないビジネス上重要な情報として“金融・財産情報“があるのですが、こちらにいたっては「慎重な取扱いが求められるパーソナルデータ」なのか「センシティブデータ」のどちらに区分されるのかすらも明言を避けています。個人的には「慎重なー」の方に分類してよかったんじゃないかな、と思いますけれども。


日本の総務省として、アメリカ型の採用、すなわち、ビジネスのイノベーションをなるべく阻害しない方向でパーソナルデータの利活用を進めていく決意が示された文書となっており、経済界の賛同は得られるものだと思います。しかし、私個人的には、これはあくまでも日本の今に照らした考え方であって、それがそのまま国際的に通じるものかどうかは懐疑的です。今後プライバシーの風向きは急速にEU型に傾いていくのでは、と思うところが実はあり、まだまだ余談は許さないものと思っています。この辺はまた研究が進んだら書いてみたいと思います。


余談：

５月下旬に募集されたパブリックコメントの内容もあわせてリリースされているのですが、どう考えても高木浩光先生らしき方（笑）が、本文書中のクッキー情報の表現についてのツッコミを入れられていて面白かったです。しかし実際、私が長年抱いていた「クッキーの正しい説明の仕方」についての疑問が解消するものでもあったので、こちらに転載させていただきます。

「クッキー」（cookie）説明が、「ウェブサイトの提供者が、ウェブブラウザを通じて訪問者の PC 等に一時的にデータを書き込んで保存させる仕組みで、利用者に関する情報や最後にサイトを訪れた日時、そのサイトの訪問回数などを記録しておくことができることから、認証など利用者の識別に使われる。」（p.44）と書かれているが、このうち、「保存させる仕組みで、」までの文は正しいが、それ以降の文は不適切である。
確かに、cookie に「訪問回数など」を書き込んで保存させることは可能ではあるが、現実の使われ方はそれとは異なる。現実の使われ方は、ウェブサイトの提供者が乱数を用いて識別番号（番号以外の文字列を含む）を生成し、この番号を訪問者の PC 等に cookie として書き込んで保存させることによって、利用者や端末の識別を行うというのが典型である。利用者や端末の識別が行われる結果として、ウェブサイト側で「訪問回数」を数えることが可能となるのであり、同様に、「利用者に関する情報」を把握することがウェブサイト側で可能になるのである。cookie に「訪問回数」や「利用者に関する情報」を書き込んで保存させることが通常行われているわけではない。
このような誤った cookie の用語説明は、本件報告書案のみならず、今日の日本において広く出回っており、事業者等のプライバシーポリシーの中にも散見される典型的なフレーズとなっている。この誤った説明が、プライバシーポリシーの不適切な書き方を助長していると考えられるため、この誤りは看過できないものである。
具体的には、事業者等のプライバシーポリシーにおいて、cookie の扱いについて記述されることが多いが、その中で、「cookie にお客様の個人情報を記録することはありません」といった類いの記述が散見される。そういった事業者が、実際には、cookie に識別番号を書き込んで利用者や端末を識別することによって、「お客様」のパーソナルデータをサーバ側で記録し把握していることが多い。
そもそも、プライバシーポリシーにおいて cookie に関する説明が求められるのは、cookieを用いてウェブサイト訪問者の識別をどのように行っているか（又は行っていないか）を表明する必要があるからであり、そのような場面において「cookie に個人情報を記録することはありません」と説明するのは、cookie の仕組みを誤解しているのが原因とはいえ、欺瞞的な行為である。
本件報告書案は、まさに、cookie による利用者や端末の識別を介して蓄積されるパーソナルデータの取扱いを話題の一つとしているのであるから、むしろこのような誤解を解消すべく、適切な用語解説が求められるところである。
また、解説文に「認証など利用者の識別に使われる」との記述があるが、「認証など」との説明は不適切である。「認証」は「識別」の例示には当たらない。利用者の「認証」（パスワードを用いた利用者認証等の）の結果を「利用者の識別」に継続させて利用することはあるが、利用者認証を経ないで、初めから乱数による識別番号を与えて利用者や端末を識別する使い方も一般的である。すなわち、「認証」は「識別」と共に用いられることはあるものの、「識別」において「認証」を必ずしも必要としないのであり、両者は独立したものである。そして、cookie は「識別」に用いられるものであるが、「認証」のために用いられるわけではない。
したがって、「認証など利用者の識別に使われる」という説明文は不適切である。
以上の理由から、以下の改善案を提案する。
「ウェブサイトの提供者が、ウェブブラウザを通じて訪問者の PC 等に一時的にデータを書き込んで保存させる仕組みで、典型的には、識別番号を書き込むことで利用者や端末を識別するのに用いられることが多い。クッキーで利用者や端末を識別することによって、ウェブサイトの提供者は、利用者に関する情報をサーバ側で記録して把握できるようになる。」
【独立行政法人産業総合技術研究所セキュアシステム研究部門セキュアサービス研究グループ】

　
2013.9.12　追記
表中、慎重パーソナルデータの具体例に「移動体端末に蓄積される以下のようなパーソナルデータ」を追記しました。