企業法務マンサバイバル

企業法務を中心とした法律に関する本・トピックのご紹介を通して、サバイバルな時代を生きるすべてのビジネスパーソンに貢献するブログ。

パーソナルデータ

2015年03月11日08:00

やっと出ました個人情報保護法改正案 ― とりあえずはこの3点

カテゴリ
法務
＿情報法務
　
ようやく、みなさんお待ちかねだった個人情報保護法の改正案が、具体的な条文案のかたちになりました。下記リンク先の新旧対照表P11以降をご覧になると、見やすいと思います。

▼個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律案　新旧対照表

s-PDtaisyouhyou



企業法務に関わる改正ポイントの主だったところを３つだけ、ピックアップしてみます。


１　個人情報の定義の変更

定義規定が変更され、「個人識別符合がふくまれるもの」が個人情報の定義に加わりました（2条1項2号）。では「個人識別符号」とは何か、というと

２　この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。

一　特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
二　個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

という定義（2条2項）。

以前当ブログでも言及したとおり、「個人情報の定義は広がらない」としていた事前報道とは異なり、携帯電話番号のようなかなり身近に取り扱われている番号・記号・符合も、政令で指定しさえすれば個人情報となります。

２　匿名加工情報の新設

そして、政府的にはパーソナルデータの利活用を目指すための目玉としている「匿名加工情報」が、以下の定義で新設されました（2条2項）。

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

一　第一項第一号に該当する個人情報　当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二　第一項第二号に該当する個人情報　当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

ただし、匿名加工情報であれば自由に取り扱ってよいというものではなく、
・匿名加工情報を作成したとき：そこに含まれる情報の項目
・匿名加工情報を第三者提供するとき：そこに含まれる情報の項目および提供の手段
を、個人情報保護委員会規則に従って公表する義務が設けられ（36・37条）、あわせて他の情報と照合するなどの再識別化も行ってはならないことが法定されました（36・38条）。

３　第三者提供の制限の強化

特にオプトアウト方式で個人データの第三者提供を行う場合について、個人情報保護委員会への届出が新たな義務として法定されました（23条2項）。事業者等から届出があった事実は、個人情報保護委員会が公表することとなります（23条4項）。

２　個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

一・二　（略）
三　第三者への提供の方法
四　（略）
五　本人の求めを受け付ける方法

また、個人データを第三者提供した年月日、相手先等の記録保存義務が追加されたことに加え、第三者提供を受けた（個人データを受領した）側にも、
・誰から取得したのか、およびその個人データの取得の経緯を確認する義務
・そのデータの提供を受けた年月日を記録し保存する義務
が新設されました（26条）。


さらに細かいところを見ていくと、利用目的の特定義務について、現行法の15条2項では「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて（利用目的の変更を）行ってはならない」とするところ、「相当の」がさりげなく削除されていたり（15条）、正確性確保義務が拡充される形で利用終了後の個人データに関する遅滞なき消去努力義務が追記されていたり（19条）、外国へ個人データを提供する場合には別途その旨の同意を取得する義務がさらっと新設されていたり（24条）、興味深い点もたくさん見つかるのですが。

まずは、上記３点を抑えて、事業者としてやるべきことをリストアップしはじめるのが良いと思います。
　
タグ ：
#パーソナルデータ
#個人情報保護法
このエントリーをはてなブックマークに追加
2015年03月01日09:30

【速報】米国ホワイトハウスが「消費者プライバシー権法」案をリリース

カテゴリ
法務
＿情報法務
　
日本のパーソナルデータ法制の行く末を、また大きく変えそうなものが出てきました。米国ホワイトハウスによる「消費者プライバシー権法（CONSUMER PRIVACY BILL OF RIGHTS ACT）」案です。


▼CONSUMER PRIVACY BILL OF RIGHTS ACT（ADMINISTRATION DISCUSSION DRAFT）

CPBR


内容をざっくり読んで要約すると以下のような感じ。法案に記載の順に、特に気になる部分を中心に抽出してみました。
速報につきスピードを優先しましたので、間違いあればご指摘いただけるとありがたいです。

・定義の明確化（SEC. 4. Definitions）
「パーソナルデータ」「非識別化データ」「パーソナルデータ取扱事業者」「取得」「コントロール手段」「削除」「コンテクスト」等の言葉の定義を明確化

・透明性の担保（SEC. 101. Transparency）
パーソナルデータの取扱い方針および実践内容について、わかりやすい説明とタイミングで明示・通知をする義務を設定

・消費者の情報コントロール権（SEC. 102. Individual Control）
消費者にパーソナルデータへのアクセス手段を提供し、消費者の請求から45日以内の同意撤回権・削除権を与え、利用目的を変更する際には明示的同意の再取得（オプトイン）を義務とする等、消費者に合理的な範囲での情報コントロール権を持たせる

・コンテクストの尊重（SEC. 103. Respect for Context）
コンテクストに沿わないパーソナルデータの分析利用については、第三者機関としてのFTCによる監査・承認が得られた場合に限り可能とする

・明確な取得と責任のある利用（SEC. 104. Focused Collection and Responsible Use）
利用し終わったパーソナルデータについては、合理的な期間内に削除、廃棄、非識別化

・セキュリティの確保（SEC. 105. Security）
内外のリスク分析を行った上で情報セキュリティを確保し、プライバシーアセスメントを定期的に実施する

・アクセス権と正確性（SEC. 106. Access and Accuracy）
SEC. 102記載の権利の具体的手段の提供

・説明責任（SEC. 107. Accountability）
従業員教育等、体制の構築、パーソナルデータ取扱関係者との契約の締結義務等

・執行力の担保（SEC. 201. Enforcement by the Federal Trade Commission）
州検事総長・FTCによる訴追権、課徴金を設定

・自主規制によるセーフハーバールール（SEC. 301. Safe Harbor Through Enforceable Codes of Conduct）
自主規制としての“Codes of Conduct”を作成しFTC承認等を得ることで、本法の一部適用除外を受けることも可能とする


米国メディアも蜂の巣をつついたような状態ですが、法案を評価する声と懸念の声に分かれているようです。主だったところのリンクを貼っておきます。

▼Here’s a draft of the consumer privacy “Bill of Rights” act Obama wants to pass（Gigaom)

▼White House Drops ‘Consumer Privacy Bill Of Rights Act’ Draft（Tech Crunch）

▼White House Proposes Broad Consumer Data Privacy Bill（The New York Times）

▼The White House’s draft of a consumer privacy bill is out — and even the FTC is worried（The Washington Post）

▼Proposed privacy bill protects industry more than it does people（Engadget）


マイクロソフトは早くも、同法案を評価する旨の声明をCPO名義で出していました。

▼White House proposal elevates privacy, transparency discussion（Microsoft）


私の感想としては、パーソナルデータの定義が明確化されるところや、連邦法が出来ることによってマイナーな州法の乱立が避けられるだろう点は評価したいところです。ただ正直なところ、個人の情報コントロール権がこのような形ではっきり書かれるとは、まったくの予想外でした。
一方で、上記リンクの米国内報道でも指摘があるとおり、自主規制（Codes of Conduct）によるセーフハーバールールが企業にとっての「対抗策」（メディアによっては“抜け穴”と評されている）として残されてもいるようですので、そこについては検証を深めなければと思います。


それにしても、日本のパーソナルデータ法制の立法事務局は、こういう米国の動きをきちんと察知できていたのでしょうか。直近の報道などを見ていると、どうもそのようには思えず、そしてまたこの法案を見て右往左往し議論が振り出しに戻るのかと思うと、頭が痛くなってきます。
　
タグ ：
#プライバシー
#パーソナルデータ
このエントリーをはてなブックマークに追加
2015年02月23日07:30

個人情報の定義の明確化はどのように行うべきか

カテゴリ
法務
＿情報法務
　
2014年末に出された骨子（案）をベースに、各消費者団体・業界団体・行政間での水面下の調整が行われていた個人情報・パーソナルデータ論議の嵐も、政府与党から「個人情報保護法改正に関する提言」が出されたこともあって、この２月半ばになってようやくおさまってきた感じがします。


▼個人情報保護法とマイナンバー法改正案の概要を公表、マイナンバー等分科会（ITpro）
IT総合戦略本部のマイナンバー等分科会は2015年2月16日、開会中の通常国会に提出する個人情報保護法と行政手続き番号法（マイナンバー制度）の改正案の概要を公表した。個人情報保護法改正では「個人情報の定義の拡充」や「利用目的の制限の緩和」という文言が消え、マイナンバー制度では預貯金口座への付番や医療分野での利用範囲の拡大などを盛り込む。

個人情報保護法改正案の概要では、2014年12月のパーソナルデータ検討会で示された骨子案の「個人情報の定義の拡充」が、「個人情報の定義の明確化（身体的特徴や個人に発行される符号などが該当）」となった。

ソースはこちらですね。

▼個⼈情報の保護に関する法律 及び ⾏政⼿続における特定の個⼈を識別するための番号の利⽤等に関する法律の⼀部を改正する法律案（概要）

s-mynumbertoubunkakai


数年後にEUの十分性認定を取ろうとするには、４の個人情報保護委員会の権限が弱すぎるのでは・・・という将来への懸念もありますが、目先の立法論として残る大きな論点としては１の「個人情報の定義の明確化」がどのようになされるのか、という点に絞られてきたように思います。

この点につき、個人情報の定義は広げないとする報道が散見されるものの、報道後とあるご高名な先生を囲んだ勉強会で伺ったところでは、
  • 具体的な定義は保護法本体に書かれるのではなく、政令に委任される
  • その政令の定義の粒度としては、身体的特徴＝「指紋データ」や個人に発行される符号＝「パスポート番号」のほか、「携帯電話番号」が列挙される程度には具体的なものになる
というのが事務局サイドの風向きらしいとのこと。ところがこの点、冒頭でもご紹介した政府与党「個人情報保護法改正に関する提言」では、

４． 個人情報の定義（範囲）の拡大は行わないこと。現状においては、個人情報か否かを明確に線引きすることが困難であり、新たなグレーゾーンと萎縮効果を拡大しかねないものである。他方、個人情報とは言えないものの、メールアドレスや携帯電話番号のように、それ単体が本人の意思に反して提供･流通することにより、個人のプライバシーへの影響が小さくないものがあることから、委員会が規定するこのような情報の第三者提供ついては、取扱事業者が自主ルールを定めるなどの対応とすること。

と、メールアドレスや携帯電話番号は「（それ単体では）個人情報とは言えない」「自主ルールで対応」とする立場ですから、まだまだ見解の相違と調整の必要がありそう。


このような中で、改正保護法＋政令で個人情報として列挙するもの／しないもののボーダーラインをどういう基準で仕切るべきか？内閣府の方もいまごろ頭を悩ませている部分だと思います。たとえば、事務局案と政府与党提言とで取り扱いが食い違う「携帯電話番号」ひとつにしても、これを個人情報として政令に明記することは、市民感情としては理解できなくもありませんが、一抹の不安と違和感を感じています。この違和感はどこからきているのかを探るべく、今の私の頭の中の基準を表してみたものが、以下のマトリックスです。

▼変更困難性 × 容易照合性マトリックス

henkoukonnan_youisyougou


以前「識別・特定 × 容易照合性マトリックス」というのを書いてツッコミを多数頂いたにもかかわらず、また懲りずに同じようなものを作ってしまいました。容易照合性のヨコ軸はそのままに、当該情報と特定個人との紐付きの強さ／切り離しやすさをボーダーラインの一つの基準にしてみてはどうかというアイデアです。列挙している情報項目は、骨子（案）等で例示されていたものから拾ってみました。

生体情報は逆立ちしても変更しようがないので、トッププライオリティになるのは異論がないところでしょう。これに対して、行政から付与される番号なんかは、手続きとコストさえ踏めば変更できるようにすればいいのにという気がします。また、争点の携帯電話番号などは、２年に一度の機種変更のタイミングを少し前倒してついでにMNPもお断りすれば変更できる情報、という見方もできるかもしれません。このように、特定個人との紐付きが解除可能なものについて、どこまで個人情報として法で保護すべきか、という問いになります。
　

そういえば勉強会では、「いちばん大事な部分を法律に定めずに政令に委任してしまうのは、憲法上問題ないのか？」という議論もありました。私は、ある程度のフレキシビリティを法令に持たせるためにその一部を政令に委任するのはしょうがないにしても、保護法の条文上に、政令委任にあたっての考え方・趣旨・委任の範囲を限定する文言は入れていただく必要はあるんじゃないかな、と思います。
　
タグ ：
#パーソナルデータ
このエントリーをはてなブックマークに追加
2015年01月26日07:30

【本】『プライバシー大論争 あなたのデータ、「お金」に換えてもいいですか？』 ― プライバシー大論争年表を作ってみました

カテゴリ
法務
＿情報法務

日経BPの浅川さまよりご恵贈いただきました。 ありがとうございます。


プライバシー大論争 あなたのデータ、「お金」に換えてもいいですか?
プライバシー大論争 あなたのデータ、「お金」に換えてもいいですか? [単行本]
大豆生田 崇志 (著), 浅川 直輝 (著), 日経コンピュータ (編集)
日経BP社
2015-01-24



煽り系のタイトルに嫌悪感を持たれる方もいらっしゃるかもしれませんが、本文はこの分野を追いかけ続けている浅川記者と大豆生田記者の手によるものだけあって、内容はいたって冷静な本。

筆者がこの本を企画した動機は、こうしたデータプライバシーの議論について、日本固有の歴史や事例を発掘し、議論の土台として紹介したかったことである。
本書の執筆に当たっては、プライバシーの専門家に加え、100人を超える企業関係者に取材した。「今は消費者がプライバシーに敏感なので、このテーマでは語りたくない」と取材を断る企業が多かった中、取材を引き受け、率直に語っていただいた企業および担当者の方々に、厚く御礼を申し上げる。今後、日本の企業、政府、消費者がデータプライバシーについて議論する際、本書が互いの共通認識を形作る一助になれば幸いだ。

このような趣旨のもと、ベネッセ名簿漏洩／Suica騒動／CCC（Tカード）＆ヤフージャパンによるデータビジネスの３つを中心に、プライバシーが取り沙汰された事件、法改正、活用事例等を丹念に振り返り、世界と日本のプライバシー観の変化を追い、また特に昨年からのパーソナルデータ検討会の議論の過程については細かく描写し、来たる個人情報保護法の大改正を展望しています。プライバシー関連のニュースは意識的に追いかけている私でも、本書で紹介されているもののうち忘れかけていた事件・出来事がいくつかあり、記憶の整理に大変役立ちました。１点、「（現行）個人情報保護法が自己情報コントロール権の考え方を部分的に取り入れたもの」という記述がいくつか見られた（P35など）のは、現行法の法解釈としてはミスリーディングなように思われましたが。

s-IMG_4495

もう１点、出来事が年月を追って順に紹介されているわけではないのが、資料という意味では惜しいなあ…と。

なので、余計なお世話ついでに、本書で紹介されている全事件・法改正のメモを取り、年表形式に編集してみました。こうしてみてあらためて、本書執筆者の取材の丹念さに感服する次第です。

『プライバシー大論争』年表
年 月 内容 本書ページ
17世紀 イギリスで住居が部屋で分かれるようになる P27
18世紀 産業革命により職場が家庭から工場・事務所へ P27
1890 アメリカで「放っておいてもらう権利（right to be let alone）」が認められるようになる P28
1961 「宴のあと」事件、プライバシーという言葉が巨人、大鵬、卵焼きとならぶ流行語となる P29
1963 核家族が流行語となる P29
1963 ダイヤル式黒電話「600形電話機」登場 P31
1964 東京地裁がプライバシー権を正面から認める P29
1967 住民基本台帳法施行 P31
1970 政府自治体による統一個人コード導入議論により、自己情報コントロール権の概念が加わる P30
1970 名簿業者が電話帳をコンピュータ入力しはじめる P32
1980 ダイレクトマーケティング理論の本格導入 P32
1980 OECD「プライバシー保護と個人データの国際流通についてガイドライン」採択 P35
1981 警察庁「Nシステム」導入開始 P94
1987 日経社説「情報を伝えるDMが多くて何が悪い」 P33
1989 世論調査「現住所・電話番号は他人に知られたくない」10.9％ P34
1990 クーリングオフ制度の強化 P33
1995 EUデータ保護指令採択 P104
1996 民間信用情報機関の個人情報が社員によって引き出され債権回収業者へ P33
1998 早稲田大学江沢民講演会出席者名簿事件 P60
1999 京都宇治市住民票データ流出事件 P34、P60
2000 5 EUと米国によるセーフハーバー合意 P108
2002 5 TBC無料体験応募者名簿流出事件 P61
2003 5 個人情報保護法成立 P10
2003 世論調査「現住所・電話番号は他人に知られたくない」42.9％ P34
2004 2 Yahoo!BB加入者記録流出事件 P59
2004 10 APECプライバシーフレームワークに基づく越境執行協力 P143
2005 3 住民基本台帳閲覧による名古屋市強制わいせつ事件 P36
2005 4 個人情報保護法全面施行 P10
2006 11 住民基本台帳法改正法施行 P35
2007 4 経産省「情報大航海プロジェクト」開始 P42
2007 4 ホンダによるGPS情報提供開始 P75
2009 12 警視庁「テロ対策に向けた民間カメラの活用に関する調査研究報告書」公開 P95
2010 2 アン・カブキアンの「プライバシー・バイ・デザイン」がFTCプライバシーレポートに採用 P159
2010 3 経産省「情報大航海プロジェクト」終了 P43
2010 5 総務省「配慮原則」公開 P44
2011 1 世界経済フォーラム報告書「パーソナルデータは新しい原油」 P105
2011 9 カレログ騒動 P69
2011 10 ミログ事件 P41
2012 1 EUデータ保護規則改正案提案 P108
2012 2 アメリカ消費者プライバシー権利章典発表 P108
2012 2 カリフォルニア州司法長官がグーグル・アップル等主要6社とプライバシーポリシー表示について合意 P174
2012 3 アメリカFTC「急変する時代の消費者プライバシー保護」でFTC3条件を提示 P130
2012 7 総務省「スマートフォンプライバシーイニシアティブ」公開 P47
2012 10 アメリカFTC顔認証データのビジネスの応用について勧告 P91
2013 3 NHK「震災ビッグデータ」放映 P71
2013 5 トヨタ自動車「ビッグデータ交通情報サービス」開始 P76
2013 6 アメリカNSAによる職員による私的通信傍受が暴露 P96
2013 7 OECDガイドライン改訂 P109
2013 7 Suica乗降履歴販売騒動 P13、P64、P121
2013 9 政府IT戦略本部（内閣官房）「パーソナルデータに関する検討会」開催 P48、P111
2013 10 NTTドコモ「モバイル空間統計」サービス開始 P74
2013 12 パーソナルデータ検討会の下部組織技術検討WGによる「技術検討WG報告書」が公表される P125
2014 1 行政手続番号法（マイナンバー制度）での「特定個人情報保護委員会」発足 P113
2014 3 EUデータ保護規則が欧州議会で可決 P108
2014 4 IT総合戦略本部事務局がパーソナルデータ検討会において準個人情報の類型を提案 P138
2014 5 経産省がパーソナルデータ検討会において利用目的規制の緩和を要求 P134
2014 5 総務省「位置情報プライバシーレポート」 P72
2014 6 CCCとヤフーが購買履歴・閲覧履歴を共有する提携 P82
2014 6 内閣官房「パーソナルデータの利活用に関する制度改正大綱」公表 P111
2014 6 購買履歴や健康情報から児童で医薬品をレコメンドする行為が改正薬事法で禁止される P100
2014 6 ヤフーやDeNAによる遺伝子検査サービス参入 P97
2014 6 ソニー電子お薬手帳サービス開始 P101
2014 7 ベネッセ個人情報漏洩事件 P10、P54
2014 10 東京地裁がグーグルに検索結果の一部を削除するよう命じる仮処分 P183
2014 11 CCCがT会員規約を変更 P78、P148
2014 11 情報通信研究機構大阪駅ビル実証実験騒動 P86
2014 11 欧州議会が米グーグルに対して検索事業の分社化を求める決議案を承認 P173
2014 11 欧州委員会作業部会「忘れられる権利」ガイドライン公表 P182
2014 12 CCCとマイクロアドが属性情報突合で提携 P83
2014 12 全国万引犯罪防止機構「防犯画像の取り扱いに関する見解及び提言」公表 P93
2014 12 内閣官房「パーソナルデータの利活用に関する制度改正大綱骨子案」公表 P111
2015 個人情報保護法改正（予定） P10ほか多数


保護法の改正については、昨年12月に出された骨子案によって、おぼろげではありますが改正後の姿が見えてきています。一方で、その骨子案に対して、複数の委員からEUの十分性認定やOECDガイドラインへの抵触に懸念が呈されている現状があります。特に、新保先生ら学者筋の方々から批判が集中しているのが、「利用目的変更に関する規制緩和」、いわゆるオプトアウトによる取得後の利用目的の変更を認めることとする規制緩和案です。

パーソナルデータ検討会後半では匿名化のあり方に議論が集中していた中、青天の霹靂のように出てきたこの論点、いつ上がっていたのだろうと改めて振り返ってみると、決して土壇場で突然ねじ込まれたわけではなく、2014年5月時点で経産省がこれを提案していたことが分かります。検討会のメンバーにはあれだけの論客が揃っていたにもかかわらず、経産省の意見がこうして事務局案にスッと入ってしまうあたりに、コンプガチャ騒動後に消費者庁が動いた際にも感じた日本の「行政立法の闇」が垣間見えるような気もします。実際に、この5月のタイミングで経産省に働きかけた事業者が具体的に存在したのかどうかは不明ですが、こういった役人へのロビイング活動が与える影響はやはり大きいのだろうなと感じざるをえません。

本書では、検討会以外に個人情報保護法制の今後に影響を与えるであろう存在として、OpenIDファウンデーション、モバイル・コンテンツ・フォーラム（MCF）、インターネット広告推進協議会（JIAA）といった業界団体とその活動も紹介されています。この辺りキーパーソンを掴まえてきっちりと取材されている点も、本書の素晴らしいところです。我々ビジネスサイドが事実上の立法権を握る行政に影響力を有していくためには、検討会に参加されているような一部の有識者任せではなく、こういった業界団体を巻き込んでの議論をしていくことがますます大切になってくると、私も強く感じています。


法改正までの残り時間も少なくなってきました。事業者としては、骨子案の線で改正・施行されてもビジネスが停滞しないよう、法改正が見込まれるポイントについては先取りで自主規制の強化やビジネスの変更を進めるなど、やれることを粛々とやっていくのみです。
　
タグ ：
#パーソナルデータ
#個人情報保護法
このエントリーをはてなブックマークに追加
2014年11月10日07:00

コントロール権の狭間にて ― 著作権、プライバシー権、そしてプラットフォーマーの流通権

カテゴリ
法務
＿PFルール

ここ数年、法務として現場から相談を受けていて回答に悩むポイントに、ひとつの共通点があるように思っています。

　コントロール権を肯定・保護し、創造者への利益還元を追求させるべきか？（方向性１）
　コントロール権を否定・放棄し、利用者への拡散と自由利用をドライブさせるべきか？（方向性２）

このバランスの取り方・見極めが、非常に難しい時代になってきているということです。
古くは、エンタメコンテンツと著作権の問題然り。
最近では、パーソナルデータとプライバシー権の問題然り。


前者の著作権の問題については、音楽や映像やゲームといったコンテンツを創る側のビジネスに携わっている方は、もう数年前から身に沁みて理解されていることでしょう。企業法務の立場からは当たり前だった方向性１を一辺倒に主張する時代はダサいものとされ、クリエイティブ・コモンズに代表される、シェアされて・知られて・使われてナンボの、方向性２を追求する時代へと一気に変化しました。まず先に拡散と自由利用がなければ自己への利益還元もないだろう、というわけです。一方で、iTunesミュージックの売上が失速するのと同時に、Taylor SwiftがSpotifyでの音楽配信を拒絶し方向性１を主張しだしたことにも象徴されるとおり、方向性２に突き進むことが必ずしも正解ではなさそうだ、ということもあらわになっています。

▼テイラー・スウィフト、Spotifyから全アルバムを削除「音楽は無料であるべきではない」
n-TAYLOR-SWIFT-large570
10月27日にリリースされたテイラー・スウィフトの最新アルバム「1989」は、TargetとiTunesのみ入手可能で、音楽ストリーミング配信サービスのSpotify では配信されなかった。これは、レコードレーベルがアルバムセールスを伸ばすためによく行う販売戦略の一環であり、「Windowing」と呼ばれている。さらに、彼女と彼女のレコードレーベルは、「1989」だけでなく、過去の全アルバムをこのSpotifyから削除することを決めた。

後者のプライバシー権の問題については、いままさに、パーソナルデータというコンテンツを創る側の人の利益と、その解放を望む人との間で、せめぎ合いが起こっているところです。日本においては政府が国策として方向性２の追求を表明し、企業がそれを歓迎し、方向性１が当たり前だった個人がそれに戸惑いをみせている、というフェーズに見えます。

▼匿名化条件、本人同意なしで利用可　ビッグデータ活用へ政府検討会
mca1406200500011-p1
　政府のＩＴ総合戦略本部の検討会は１９日、インターネット上などに蓄積されている個人関連データの取り扱いルールをまとめた大綱案を示した。商品の購買履歴など一部のデータは本人の同意がなくても匿名化を条件に企業の利用を認めることを明記した。個人情報を保護する観点から、不正利用を監視する第三者機関の設置も盛り込んだ。
　政府は月内にも大綱を正式に決め、個人情報保護法の改正案を来年の通常国会に提出する予定。「ビッグデータ」と呼ばれる膨大なデータを有効活用することで、ビジネスチャンスを広げる狙いがある。ただ、プライバシーをきちんと保護できるかどうかなど、慎重な対応を求める声も上がりそうだ。


さて、そんなせめぎ合いの中で、気付けばいつの間にか、創る側の自己の利益の追求と拡散・自由利用を望むとの間で発生する「コントロール権の融通（流通）」を取り仕切るプラットフォーマーと呼ばれるプレーヤー達が、強者へと成長しています。この存在の大きさは、“流通権”の保有者と呼んでも差し支えないほど。この点、先日出版された中山『著作権法 第２版』P38にも以下のような言及がありました。


著作権法 第2版
著作権法 第2版 [単行本]
中山 信弘
有斐閣
2014-10-27


今後の著作権制度の将来を占うにあたり、巨大なプラットフォーマの存在を抜きにしては語ることができない。現にGoogle、Apple、Amazon、Facebookといった巨大プラットフォーマの寡占が進みつつあり、個々の著作権者にいかに強い権利を与えたとしても、その作品を公表するにあたっては、プラットフォーマが定めた条件に従わざるを得ず、例えば音楽は１曲99セントで売らざるを得なくなるおそれがある。そうなると著作物はコモディティ化し、個性を失い、あたかも100円ショップで売られている商品のようなものとなるおそれもある。それがどのような結果をもたらすのかは歴史の判断を待たなければならないが、現在はそのような過渡的な状態にあるという認識は必要であろう。


私自身、スマホエンタメコンテンツを創る企業に所属している企業法務パーソンであると同時に、SNS等を通じてパーソナルデータというコンテンツを創りまた他人のそれを利用している一個人でもあり、その二つの流通過程でプラットフォーマーとお付き合いをしています。そんな中で、冒頭述べた「コントロール権」について考えるに、正しいバランスがどこにあるかの読みづらさを生んでいるのは、コントロールの主導権争いが、創造者と利用者の二者だけでなく、それを流通させる人も含めた、三つ巴状態で発生しているからなのだと。

人と企業の活動がネットワーク技術に依存する社会になればなるほど、プラットフォーマー＝流通権者たらんとする企業との法的な関係は、企業法務においての大きな論点になっていくものと、改めて強く感じています。
　
タグ ：
#著作権
#著作権法
#パーソナルデータ
このエントリーをはてなブックマークに追加
2014年09月18日07:00

アドテクとパーソナルデータとプロファイリングと

カテゴリ
法務
＿情報法務
　
アドテクとパーソナルデータについての勉強会に出席。

いわゆる“クッキー（cookie）”が、ネット広告エコシステムの中で広告主／広告メディア／エンドユーザーの間をどのように流通し取り扱われているかについて、過去アドテク企業で働いたご経験をお持ちの法務パーソンから、お話を伺いました。その勉強会のお話の中で、特に私が興味を抱いたのがこの図（発表者の方に掲載許可を頂きました。ありがとうございます）。

s-benkyoukai20140913-1s-benkyoukai20140913-2

ネット広告エコシステムの中には、ネット上の様々なサーバーに蓄積されたビッグデータやサイトのログデータなどを一元管理・分析し広告配信の最適化を実現するDMP（Data Management Platform）という存在がいます。そして、このDMPに対し、表示する広告の最適化を目的に、エンドユーザーが使うブラウザのクッキーをKeyにして属性情報に関する問い合わせを行うのが、DSP（Demand-Side Platform）とSSP（Supply-Side Platform）です。そしてそのDSP/SSPは、DMPからの属性情報照会結果（DMPデータ）を使って、RTB（Real Time Bidding）＝広告枠の入札／応札を行います。さて、ここで問題となりそうなのが、DSP/SSPがこのDMPデータを意志を持って溜め込んだ場合、個人情報保護法違反またはプライバシー権侵害とならないと考えてよいか？という論点です。

勉強会出席者（主にアドテクではない法務な方々）からは、

・DMPが提供している個々のDMPデータ自体は個人データではないから、第三者提供にもならない
・それをDSPやSSPが溜め込んでも、容易照合性はないだろう
・仮にDMPデータの集積から特定識別できたとしても、個人側に具体的な損害がないのでは
・そもそも、広告事業者側にDMPデータを溜め込むインセンティブはあるのか
・結局は、自己情報コントロール権みたいな話でしょう

と、総じて「それほど問題はないのでは」という反応でした。アドテクに使われているパーソナルデータが内包しうるプライバシー性は理解しつつも、保護法で定義される個人データとは一致しないというところに、これを保護・規制しようとする流れには直ちには首肯できない、といった様子（出席者全員がそうだったわけではありません）。

その一方で、少なくともEUの一般データ保護規則提案では、このような論点が「プロファイリング」問題として取り上げられ、すでに規制される流れになっていると私は認識しています。以下、石井夏生利先生の『個人情報保護法の現在と未来』より引用。

　第20条「プロファイリングに基づく措置」は、現在のネットワーク社会におけるプライバシー・個人情報保護の問題を捉える上で重要性を増している。この権利に違反した場合も、異議申立権違反と同様、最も思い行政的制裁が課せられる（第79条6項（d）号）
　第20条は、次のように定めている。

「１　すべての自然人は、当該自然人との関連で法的効果を生じさせ、又は当該自然人に重大な影響を与える措置であって、当該自然人に関連する一定の個人的側面を評価し、又は、とりわけその自然人の業績、経済状況、位置、健康、個人的嗜好、信頼性若しくは行動を分析又は予測することを意図した自動処理のみに基づく措置に服さない権利を有するものとする。」

　第20条は、自然人に対し、コンピュータ処理を手段としたプロファイリングに基づく措置に服さない権利を有する旨を定めている（1項）。ただし、（a）契約の締結又は履行の過程において実施される場合であって、それがデータ主体の求めによるか、適切な安全保護措置が提示されたものである場合、（b）EU法又は加盟国の法が明示的に権限を付与し、データ主体の適法な利益を保護するための適切な措置を定める場合、（c）データ主体が同意した場合であって、同意の条件を満たし、かつ適切な安全保護措置を講じた場合は適用除外される（2項）。しかし、その場合でも、管理者は、特別な種類の個人データのみに基づく評価を行ってはならない。また、2項の場合にデータ主体へ提供すべき情報には、プロファイリングに関する措置を講じるための取扱いの存在や、当該取扱いがデータ主体に与え得る影響等が含まれる（4項）

また、米国でも、雇用や信用情報をプロファイリングし販売していたSpokeoに対してFCRA（公正信用報告法）違反で罰金を課した実例があります。


発表者の方曰く、

「DMPデータは鮮度も重要なので相当な頻度で更新されているので溜めたところで使えないだろうし、DSP/SSPも、法律に触れないにしてもDMPデータは蓄積すべきではないという考えはもっていて、ほとんどの事業者がプロファイリングを目的としたデータ蓄積はしていないはず。」

とのこと。そうだろうなと思いつつも、例えばヤフージャパンさんのような、大きな集客メディアと人気ある広告枠を持っている企業が、尖った属性情報を持つデータアグリゲーターと提携し、容易照合性が疑われるようなことがあると、日本でもこの論点がもう少し注目を集めることになるのかも。と、ここまで書いて、ヤフージャパンさんが最近データアグリゲーター大手と提携されていたことを思い出したり・・・。


このプロファイリングというキーワード、日本のパーソナルデータ検討会では継続検討課題として大綱にはかろうじて入っているものの、議事次第を追跡すると、鈴木委員以外の委員からは規制をかけることにネガティブな意見が相次いでいた部分でもあり、優先度が低いテーマになっているように見受けられます。が、名簿屋規制というパンドラの箱まで開かれた今、バズワードに育つのも時間の問題のように思われます。

広告という商業活動に無縁な事業者など皆無なだけに、なかなかにヘヴィーなテーマです。
　
タグ ：
#アドテク
#パーソナルデータ
#プロファイリング
このエントリーをはてなブックマークに追加
2014年09月15日21:00

【学会誌】法とコンピュータ No.32 ― 提供元基準 vs 提供先基準論争は続くよどこまでも

カテゴリ
法務
＿情報法務
　
法とコンピュータ学会の2014年7月版学会誌を入手。当然ながらパーソナルデータネタ盛りだくさんとなっていて、関心のある方も多いのではと思います。しかし、学会ウェブサイトは更新・運営の手が止まっている様子で、弁護士会館ブックセンターさんあたりに行かないと入手困難かもしれません。


s-IMG_4068


中でも、岡村久道先生の基調講演録（論稿＋スライド）がアツかったです。個人情報保護法における容易照合性の判断基準について、提供元基準か提供先基準かという論争について、「政府解釈は提供元基準」ということですでに終止符が打たれたかのように早とちりしていた私でしたが、この講演では岡村先生が
・『石に泳ぐ魚』事件（最判ではなく東京高判平成13年2月15日のほう）
・長良川少年報道事件（最判平成15年3月14日）
・東京地判平成24年8月6日事件
・さいたま地判平成23年1月25日事件
等、プライバシー情報の公表や提供に関するいくつかの判例理論を分析した上で、やはり提供先基準と考えるのが適切であると力説されています。また、マサチューセッツ州知事の医療データが識別された事件に代表されるような、ネットやSNS上から入手しうる情報を用いて照合（link attacks）し再識別化されるケースにおける保護法の適用についても言及。


s-IMG_4079


法務パーソンとしてどちらに与するかは別として、日ごろは安全サイドに立って提供先での特定可能性も検討するのですが、考えてみれば「政府解釈は提供元基準」だからといって、司法においてもそれが踏襲されるという保証は無いわけです。個人情報保護法の容易照合性の判断基準について明言する最高裁判例が無い中では、岡村先生がここで取られているような裁判例を紐解くアプローチの方が正攻法では、という気もしました。


そしてもう一つ、「ビッグデータビジネスと程よいWebプライバシー」という、なんとも興味を引くタイトルの論稿が。こちらは通信事業者にお勤めの実務者の方による研究報告で、ネット広告エコシステムを転々流通する情報に、電気通信事業法（通信の秘密）と個人情報保護法を重畳して適用する必要があるのか？という論点。


s-IMG_4078


このアドテク×プライバシーという論点については、写真中の図にも表されているように登場人物（関係する事業者）が多く、理解するのをなかば放棄していた分野なのですが、遅まきながらきちんと勉強しておこうと、先日勉強会にも参加した次第。次回はその模様について書きたいと思います。
　
タグ ：
#提供元基準
#提供先基準
#パーソナルデータ
このエントリーをはてなブックマークに追加
2014年08月05日08:30

【本】パーソナルデータの教科書 ― 「わかった気」で終わらせないための端折る技術

カテゴリ
法務
＿情報法務

法的に緻密な分析を端折って捨てて、リサーチャー的にパーソナルデータにまつわるトピックスと参考情報を集めて整理することに振り切ったことで、読み手にとっての分かりやすさを追求した本。


パーソナルデータの教科書
パーソナルデータの教科書 [Kindle版]
小林慎太郎
日経BP社
2014-07-31



全体の構成は、
第１章で、Suica事件をはじめとする炎上案件とそこから見えた反省・課題を踏まえ、
第２章で、パーソナルデータの議論でもっともややこしい「特定」と「識別」の違いを解説し、またその理解を難解にさせている原因を「３つのグレーゾーン（個人特定の可能性／容易照合性／属性推定の可能性）」として整理し、
第３章で日本のプライバシー保護法制を
第４章で米国のプライバシー保護法制を
第５章でEUのプライバシー保護法制をそれぞれ概観しながら、
第６〜９章で、日本の法改正の展望と今から企業が行うべきことを提言する
という流れ。

あとがきで筆者自身が認めているように、法律家やパーソナルデータ検討会の関係者らが書いた本ではないぶん、

個人を「特定」できる情報とは、個人の名前や顔が分かる情報のことで、例えば、住所録などの氏名と組み合わされた情報が該当する
識別・非特定情報を、識別もできない状態、つまり誰か一人の情報では分からないようにデータの加工処理（非識別化）すると、非識別・非特定情報となり、これが事実上の「匿名情報」に相当する

といったような、リテラシーのない方が読んでそのまま鵜呑みにしてしまうと危険かもしれない記述もあるにはあります（特に２〜３章にいくつか）。が、抽象的な概念・議論を豊富な事例紹介と図表によって噛み砕くことに腐心されている分、読んでいてわからなくなる箇所がありません。中途半端な法律セミナーに参加して「わかった気」になるより全然いいんじゃないでしょうか。理解のとっかかりさえできれば、後は自分で理解を深めることもできますしね。

s-IMG_1299
s-IMG_1300


また、６〜９章の提言部分は、パーソナルデータ大綱が示す道すじに忠実に、では企業として具体的に何を準備しておけばよいのかを大綱以上に踏み込んで述べている点、すばらしいと思いました。中でも、著者のコンサルタントとしての経験を踏まえての、プライバシー影響評価（PIA）の具体的な進め方のアドバイスは、法律家が書く論稿にはない価値が感じられたパートです。

s-IMG_1298

本書全体を通底する提言の内容としても、今後のパーソナルデータ取扱の基本方針として、安易に「同意を取らないで済む道」を追求するのではなく、
・同意を取得した方が結果的にビジネスで使える情報になる（個別同意と包括同意を併用しながら）
・その同意取得プロセスがあったとしても、オプトアウト手続きの提供は必須
といった主張が繰り返されていた点も、個人的に共感を覚えました。

端折ることで正確さをある程度捨てている点、そういったところをないがしろにしたくない向きからは批判もあるかもしれませんが、パーソナルデータ検討会の最大の功績である技術検討ワーキンググループ報告書を読む前の準備運動として、そしてそれを読んで理解した後の行動を踏み出す具体的指針として、オススメな本です。
　
タグ ：
#パーソナルデータ
このエントリーをはてなブックマークに追加
2014年08月04日08:30

【本】個人情報保護法の現在と未来 ― プライバシーの国際水準に合わせるためには、第三者機関設置だけじゃまだ足りないようです

カテゴリ
法務
＿情報法務
　
曖昧模糊としたパーソナルデータ大綱が出た後、必死で法改正の風向きを読もうとしている企業法務のみなさんがその拠り所としているEU・米国のプライバシー法に関する最新動向をまとめ、そこから読み取れる日本の個人情報保護法改正の潮流を説いてくれる一冊。

なんとその語り部は、日本のプライバシー法の第一人者たる堀部先生の直系のお弟子さんである、石井夏生利先生です。確かにみんながこういう本を求めてはいたけれど、このタイミングでこの方がお出しになるとは誰も思ってなかったはず、な本がでちゃいました。


個人情報保護法の現在と未来 [単行本]
石井 夏生利
勁草書房
2014-07-31



この分野を追いかけているやまもといちろうさんや日経の大豆生田さんの解説もわかりやすいのですが、そろそろきちんとした学術的な解説も読めたらとは思っていました。とはいえ、鈴木正朝先生や森亮二先生は当事者（委員）としてかかわられてお忙しそうだし・・・と思っていたところに、いつもは奥の方で控えめにいらっしゃる印象の石井先生が、こうも軽やかに最前線に登場されるとは驚き。

中身の方もかなり最新ネタに突っ込んだ、フットワークの利いたものになっています。肝心のパーソナルデータ大綱がとりあげられているのはもちろんのこと、米国に関しては５月に米国ホワイトハウスが発表した「BIG DATA: SEIZING OPPORTUNITIES, PRESERVING VALUES」を、EUに関しては「EU一般データ保護規則提案」については６月６日会合までを、さらに最近のプライバシー時事ネタについても「忘れられる権利」に関して５月に話題になった欧州裁判所によるGoogleに対するリンク削除命令事件といったあたりまでもが取り上げられていました。石井先生は前著でも海外法制の動向をずっとフォローされてきた方なのでこのあたりはお茶の子さいさいであろうとはいえ、この本の奥付発行日が７月30日ですから、入稿ギリギリまで相当粘って書き上げられたものと推察します。

s-IMG_4008


そんな石井先生が、「日本が国際水準を目指すにあたって最低限導入が必要」と最終章で提言される制度が、以下の５つ。

１　独立監視機関の設置
２　越境執行協力
３　基本原則の設置（明文化）
４　プライバシーバイデザイン（PbD）とプライバシー影響評価（PIA）の体制組入
５　データ・セキュリティ侵害通知制度の法令義務化

１・２は大綱に明記されましたし、３・４は大綱案の議論の中でも聞き覚えのあるところで特に意外性はありません。ですが、５番のデータ・セキュリティ侵害通知義務化については完全に不意打ち。カリフォルニア州法が率先して取り入れたことで、なんでもOECD改正プライバシーガイドラインやEU規則提案でも採用されつつあるのだとか。これ、本当に入ったら結構なインパクトがある気がします。ユーザーはおろかJIPDECや主務官庁等にも報告されず、闇に葬られているメール誤送信事件とかデータ紛失事件が山のようにあるはずですからね。
　
大綱が出て一区切りついたような気になってましたが、具体的な法改正まで、まだ一波乱も二波乱もありそうな気がしてきました。
　
タグ ：
#パーソナルデータ
このエントリーをはてなブックマークに追加
2014年06月15日09:00

パーソナルデータの沙汰も第三者機関次第

カテゴリ
法務
＿情報法務
　
「パーソナルデータの利活用に関する制度改正大綱（事務局案）」がリリースされました。


s-IMG_3468


この大綱が決まるまでビッグデータビジネスの展開を様子見としていた企業にとっては、首を長くして待っていた文書であったはず。果たしてその期待に応えるものとなりそうでしょうか。

個人情報保護法改正の看板は下ろされた？


第１回パーソナルデータに関する検討会議事要旨にも記録されているとおり、もともとこのパーソナルデータの議論には、個人情報保護法の改正も視野に入っていたはずです。民間企業も、この大綱で改正の方向性がどう示されるかに注目していたと思います。

しかし、今回の大綱案では
法律では大枠を定め、具体的な内容は政省令、規則及びガイドライン並びに民間の自主規制ルールにより対応することとする
と記されるにとどまっています。また、この大綱のベースとなっている第10回会合の資料4ｰ2「これまでの議論を踏まえた論点整理表」の中にも
・現行法の個人情報については、解釈の明確化を図る。
（理由：現行個人情報の定義につき、カッコ書きを削除するべきという意見については、事業者内部において個人を特定してデータを利活用できるものが保護対象から外れることとなり、個人の権利利益保護の観点より受け入れられない。）
・一般的な同意取得方法を定めることは多様な情報利活用実態より困難であり、法律の改正によらず、第三者機関のガイドライン等の策定や自主規制の導入により改善を図ることとする。
といった記述が見られます。

これらから、グレーゾーン問題の原因ともなっていた個人情報保護法の大改正に踏み切るのは、どうやら諦めていることが伺われます。期待を裏切られたと思う企業法務パーソンも少なくないかもしれません。

第三者機関への依存度の高さが気になる


大綱案P7以降で、制度改正の基本的な枠組みとして、
　１　本人同意がなくてもデータの利活用を可能とする枠組みの導入等
　２　基本的な制度の枠組みを補完する民間の自主的な取組の活用
　３　第三者機関の体制整備等による実効性ある制度執行の確保
の３つが掲げられたわけですが、よくよくその中身を読んでみると、少々おかしなことに気付きます。

３に第三者機関が登場するのは分かるのですが、１についての説明においても
データの加工方法等について自主規制ルールを策定し、第三者機関による認定を受ける
とあり、また２についての説明においても
「個人情報」等の定義への該当性判断は、第三者機関がガイドライン等を用いて解釈の明確化を図る
オプトアウト規定を用いて第三者提供を行う場合には、現行法の要件に加え、第三者機関に対し、法に定める本人通知事項等を届け出ることとするほか、第三者機関は届け出られた事項を公表するなど、必要な措置を講じる
とあり、つまるところ、解決すべき問題の行き先はすべて第三者機関頼みとされているのです。

国際的にはプライバシーコミッショナーの設置が急がれている中、第三者機関の設置の必要性に異論を唱える委員はほとんどおらず、すんなりと決まって事務局もほっとしているというのが正直なところではないかと思いますが、それをいいことにほとんどの問題解決を先送り第三者機関に押し付けているように見えるのは、私だけでしょうか。

あるべき基準は待っていても誰も教えてくれない


合法違法の基準定立と処分権限を第三者機関に一元化し、取り締まり事例を積み重ねることでだんだんと基準を明らかにするというやり方は、まるで第三者機関がコモンローの国の裁判所を務めるかのよう。さらにはマルチステークホルダープロセスを取り入れるとも言っているわけで、肝心のパーソナルデータの取扱い基準自体が確立するまでに長い時間がかかりそうですし、それを見出す道程は、専門家が入るとは言っても、第三者機関には少々荷が重いような気もします。そして、主務官庁ではない、しかしなんらかの行政処分権限を持つ機関が新たに生まれ、民間企業等の情報の取り扱いに関与するということについて、憲法的な意味でもう少し議論や抵抗があっても良かったのではと。

いちおう制定法主義かつ三権分立の国なのですから、行政を縛る意味でもはじめは緩やかな基準からでも個人情報保護法またはその施行令で基準を明文化し、それで問題となる事例が生まれればだんだんと厳しくしていく（ただし正当な法令改正の手順を踏んで）というやり方が望ましいのではないか。法令化が無理でガイドラインで対応するにしても、第三者機関が誕生してから考えはじめるのでなくて、緩やかなガイドラインをこの検討会で定めた上で、第三者機関に託してスタートしてはどうだろうか。そんなことを思いましたが、今の流れでは難しいでしょう。

自分たちのビジネスにおけるあるべきパーソナルデータの取扱い基準は、待っていても誰かが作ってくれるものではない。誰の目にも耐えられるものを、第三者機関ができるまでに自分たち自身で考えておけ。そういうメッセージと私は受け止めています。
　
タグ ：
#パーソナルデータ
このエントリーをはてなブックマークに追加
2014年04月30日08:00

パーソナルデータ検討会事務局案に対する感想

カテゴリ
法務
＿情報法務
　
内閣府のパーソナルデータに関する検討会第７回において、事務局案が提出されました。このテーマを継続的に追いかけている人でも、一見分かりにくい内容だったように思います。以下感想の域を出るものではありませんが、メモとして。


▼「個人情報」等の定義と「個人情報取扱事業者」等の義務について（事務局案）<詳細編>

s-pdkento25


「準個人情報／準個人データ」の存在がクセモノだった


わかりにくさやとまどいの原因となったのは、従来の個人情報／個人データ／保有個人データとは別に、「準個人情報／準個人データ」と「個人特定性低減データ」という２つの階層が増えた点が大きいと思います。しかも、その名前のキャッチーさで注目を浴びてしまった「準個人情報／準個人データ」が、かなりクセモノでした。

「準個人情報／準個人データ」は、“一人ひとりは識別されるが、個人が特定されない状態の情報”として、技術検討WGが「識別非特定情報」と名づけていたものがベースとなっています。具体的には、携帯IDや複数の事業者で継続して共用される広告IDなどの“識別子”、さらには事務局案には明確には記載がありませんでしたが、データセットから一人ひとりが識別される（個人の特定まではされない）“準識別子”を含むデータの保護をターゲットにしたものと思われます。

これらが「現行個人情報保護法にいう個人情報／個人データではない」ことを明確に位置付けた点に、今回の事務局案の意義があります。そう位置づけることによって、利用目的の変更などについては同意を取らないでも良いこととするほか、本人からの開示請求への対応を不要（そもそも本人が観念できないため？）とするなど、個人情報保護法上の義務を軽減する案としているのです。

一方、この情報の状態では第三者提供は一切不可（オプトアウトも認めない）と、他事業者への融通に関してはかなり厳格な規制を掛ける意向のようです。なんのためにこの定義を作ったんだっけ？とハシゴを外された思いを抱く方もいらっしゃるかもしれません。この点、「行動ターゲティング広告や広告IDが使えなくなるけど大丈夫？」との指摘もすでに出ているところです。

s-pdkento05


利活用の本丸「個人特定性低減データ」はまだ玉虫色


そうなると結局、パーソナルデータの利活用は認めない方向なのですか？いや、そんなことないですよと、事務局が考えた定義が、もう一つの「個人特定性低減データ」というもの。これこそが利活用および事業者間の相互流通を前提とした情報であり、今回の提案の本丸のはずなのですが、これが玉虫色でわかりにくい。

s-pdkento07


まず、準個人情報／準個人データからさらに情報を間引いて、個人が特定されないようにしたデータが「個人特定性低減データ」なのだろう…と、私はしばらく勘違いしたまま資料を読んでいたのですが、これが大間違いでした。そうではなく、下図に示されているとおり、「個人データ」または「準個人データ」の“双方”から「個人が特定される可能性を低減させる措置」を施した情報のことを言っているのですね。だとすると、いよいよ準個人情報／準個人データの存在意義がよくわからなくなってきます。

s-pdkento09


しかも肝心の、「個人が特定される可能性を低減させる措置」として何をどこまでやれば「個人特定性低減データ」となるのかというルールについては、結局のところ政令に委ねられる案になっていて、法文上は不明のままとなりそう。検討会としては、下部組織の技術検討WGに対して「最低限のルールを決めてほしい」と依頼したようですが、なかなか難しい注文のような気がします。唯一現状決まっているのが、FTCルールに倣った再識別化の禁止という１点というのは、議論の土台としてはさびしいものがあります。

鳴り物入りで作られる第三者機関と事業者の関係も、だんだんと心配になってきました。個人特定性低減データを第三者に提供＝流通するにあたっては、（提供する側の、だと思われますが）事業者が第三者機関に「報告」することになっています。しかし、報告は（文字通り）事後でいいのか？、第三者機関が報告をどのくらいのスピードで捌いてくれるのか？、報告の結果第三者機関がNGと判断したらどういう法的効果が発生するのか？などなど、色々と心配は尽きません。このあたりはまだ具体的な議論がこれからだと思いますが、全部第三者機関に丸投げ・問題先送りだけは避けないと、法としての予測可能性がなくなってしまうので、その点は十分配慮していただきたいところです。

「機微情報」の行く末も気になる


また、あまり専門家の間では議論になっていないようですが、個人情報／個人データの中に「機微情報」というカテゴリもつくられようとしています。オプトアウトによる利用を禁止するなどの厳しい措置をとる方向のようで、ここに指定された情報を扱う事業者は注意が必要です。

現状はOECDプライバシーガイドラインにおける「センシティブ情報」をパクっているだけのように見えますが、ここに何が追加されるか・されないのかは要注目。人材ビジネス関連事業者などは、履歴書や職務経歴とともにこういうデータをそこそこ持っているはずなので、該当するのは間違いなさそうですが、大丈夫でしょうか。

s-pdkento13


階層はできるだけ少なくしたほうがいいのでは


以上事務局案を総合すると、日本において、「個人に関する情報」は、
１）個人情報／個人データ／保有個人データ（機微情報を含む）
２）個人情報／個人データ／保有個人データ（機微情報を含まない）
３）準個人情報／準個人データ
４）個人識別性低減データ
５）非個人情報（生存しない個人に関する情報・散在情報）
と、５つの階層に分かれてその取扱いルールが変わることになる模様。

今後の議論で、３や４についても機微情報を含んだ場合は取扱いルールを変えるなどという展開になったりすれば、階層がさらに増えるおそれもあり、これはいかにも複雑すぎる気がします。消費者にとってわかりやすい・安心できる個人情報保護制度にするはずが、事業者にすらわかりにくい・取扱いルールすら理解できない制度になってしまうような気がするのですが、私の頭が悪いだけでしょうか。

せめて、「準個人情報／準個人データ」というレイヤーは作らずに、保護を第一義とする「個人情報／個人データ」と利活用可能情報としての「個人特定性低減データ」の二階層に再度整理すれば足りるのではないのだろうか、または逆のアプローチで、非個人情報を法律上もっと明確に・幅広く定義することで、保護法への過剰反応を取り除くことはできないだろうかなどと、対案を考えているところです。
　
タグ ：
#パーソナルデータ
#準個人情報
#個人特定性低減データ
このエントリーをはてなブックマークに追加
2014年04月17日08:00

Oh 準個人情報　君の名を呼べば僕は切ないよ

カテゴリ
法務
＿情報法務
　
パーソナルデータの議論に、久しぶりに大きな動きがありました。

先日、安倍総理が新経連のサミットで「IT利用を推進する規制改革として、ビッグデータに含まれるパーソナルデータの利用が進むよう、個人情報保護法の改正を行う」と明言したとの報道もあり、そんな風向きは感じていましたが、早速その意向が十二分に汲まれた案が提示されたとのこと。ここまでの議論はなんだったんだと切なくなるほどのそのドラスティックさに、委員が混乱している様子が記事からも伺えます。


▼「準個人情報」など類型示す事務局案に異論相次ぐ、パーソナルデータ検討会

事務局案によると、保護されるパーソナルデータの範囲について、現行法の「個人情報」の定義を維持しながら、「特定個人を識別しないが、その取り扱いによって本人に権利利益侵害がもたらされる可能性が高いもの」を仮称「準個人情報」とする類型を示した。

「準個人情報」の例示としては、パスポート番号や免許証番号のほか、IPアドレス、携帯端末ID、顔認識データなど個人情報端末に与えられる番号で継続されて共用されるものや、遺伝子情報、指紋など生体・身体的情報、移動や購買履歴などを挙げている。個人情報に該当するか判断が困難なグレーゾーンの拡大に対応するため、これらの利用では現行法にある本人同意や通知などを求める義務を課すのは妥当ではないとしている。

しかし会合では「準個人情報」について、個人情報と明確に峻別できるのか疑問という指摘や、個人情報の定義に含めて同等の扱いを求める意見が相次いだ。


こちらのtogetterがその様子を知るのに大変参考になります。まとめられたtweetから拾い集めた事務局案を整理すると、概要以下のとおりです。

  • 現行個人情報保護法における「個人情報」「個人情報データベース等」「個人データ」「個人情報取扱事業者」の概念は変更しない
  • 新たに「準個人情報」「準個人情報データベース」「準個人データ」「準個人情報取扱事業者」を作り、さらに新概念として「個人特定性低減データ」「個人特定性低減データ取扱事業者」を追加
  • 準個人情報の定義：�〔筏�証番号、携帯端末ID等の個人または個人の情報通信端末等に付番され、継続して共用されるもの、��顔認識データ、遺伝子情報、指紋など個人の生体的・身体的特性に関する情報で普遍性を有するもの、�０榮依�歴、購買履歴等の特徴的な行動の履歴
  • 受領者内において個人特定性低減データとその他の情報との突合、分析・評価すること、準個人情報とすることを禁止するものではない。
  • 容易照合性は第三者機関が判断基準をガイドライン等で示していく

他の主要国の法制には見られない発想を取り入れたという点は、外国法を安易にコピーしなかった事務局の努力としては、評価したいと思います。とはいえ、個人情報ではないけれど取扱い注意な情報としての「“準”個人情報」という概念は、日本語って便利だな〜と感心しつつ、はてこれをどうやって英語に訳すのかは早速気になっております。英語に訳そうとすると、日本語では曖昧にされていた意味がクリアになることってありますしね。そして、一言でその性質をうまく言い表せない・訳せないような難解な概念になってしまうと、委員のみなさんが懸念しているように、諸外国に理解をいただけず世界から日本だけがおいてけぼりになるばかりか、それをなんとか理解してもらうための多大な説明コストが、結局企業に転嫁されてしまうことにもなりかねません。

さて、まだ資料が公開されていないので確からしいことは申し上げられないのですが、これらを読んで伝わってくる事務局案の意図として、現行法を変えないことで社会への影響を最小限に抑えることを優先しつつ、最も“わかりやすい”事例であったSuica乗降履歴の販売事例をモデルケースとして、このようなケースをも合法と解釈するためにどのような建て付けにすればよいかを前提にした整理なのではと見受けました。それを頭ごなしにダメだというわけではなく、もしそうなのであれば、それをオープンに言ってもらったほうがよかったかもと。やっぱり具体的なイメージがないと論点が拡散してしまいそうなので、そういう議論の進め方もありかと思います。

事務局としては、技術検討WGを含めて委員内外から広く意見をもとめていくという姿勢のようですが、「準個人情報」の定義から否定しはじめるとほぼ事務局案の全否定となってしまう点、これだけ土俵が整えられてしまうと反対意見を唱える側は戦いにくいはずなので、法務パーソン的に言えば、反対意見を唱える側はBattle of Forms、つまり事務局案相当の骨子案を提出し直すべき場面でしょう。

さて、この事務局案の流れのままで勝負あった、となるのでしょうか。
　


2014.4.18追記

第７回資料が早速公開されましたので、ご案内します。
読んでの所感はまた後日。

▼第７回 パーソナルデータに関する検討会　議事次第
http://www.kantei.go.jp/jp/singi/it2/pd/dai7/gijisidai.html

タグ ：
#パーソナルデータ
このエントリーをはてなブックマークに追加
2014年03月22日10:00

パーソナルデータの「識別・特定 × 容易照合性マトリックス」を書いてみた（追記あり）

カテゴリ
法務
＿情報法務
　
BUSINESS LAW JOURNAL5月号の「パーソナルデータ 企業法務の視点」は、色々な違和感を感じた特集でした。


BUSINESS LAW JOURNAL (ビジネスロー・ジャーナル) 2014年 05月号 [雑誌]
BUSINESS LAW JOURNAL (ビジネスロー・ジャーナル) 2014年 05月号 [雑誌] [雑誌]
レクシスネクシス
2014-03-20



パーソナルデータ検討会の技術検討WGがせっかく識別特定／識別非特定／非識別非特定という分類を定義・整理してくれたのに、企業サイドとして登場する人たちがその分類をベースとした議論をせず、未だに個人情報保護法や経産省ガイドラインにおける個人情報（個人データ）の定義を拠り所に反論しているように見えたのが、違和感を感じた主な原因だと思います。

この点に関連して、上沼紫野先生がこのような指摘をされていました（P35）。

氏名到達性がなくても個人は識別可能であり、氏名到達性がなくても個人情報該当性は認められるべきであり、近頃はそれが前提となっている。
どうも事業者の実務担当の方は、提供先基準説を当然の前提にし、提供元基準の可能性を考慮されていないのでは、と思われることが多い。確かに、提供先で特定個人が識別できなければ問題となる可能性が少ないという一般的な感覚は理解できる。ただ気になるのは、個人識別性については氏名到達性を前提としていると思われる点である。第三者提供に関しては、プライバシーに関する一般的感覚に基づいて判断するのであれば、個人識別性もプライバシーに関する一般的感覚で判断し、氏名到達性を要件としないのが一貫するのではないだろうか。データの活用という事業上のニーズは分かるものの、若干つまみ食い的になっているような点が気になるところである。

私も同様の感想を持っていますが、惜しむらくは、上沼先生もやはりこの記事で技術検討WGの定義をそのまま使っていらっしゃらない点。「氏名到達性」を用いたのもミスリードを生みそうな。

と、議論の土俵が微妙にズレたままお互い批判しあっている記事をみてその感想を述べても何も前に進まないので（笑）、この議論を一歩でも前にすすめるために、パーソナルデータの取扱いのあり方をより具体的に検討・議論するための私案として「識別・特定 × 容易照合性マトリックス」を書いてみました。


▼識別・特定 × 容易照合性マトリックス（GoogleDriveスプレッドシート）

STYSmatrix


まず議論のベースを技術検討WGが定義する識別特定／識別非特定／非識別非特定情報に置きたいと思います。その上で、この表の特徴・新味としては、いわゆる「容易照合性」の高〜低評価について「技術的に困難かどうか」を基準とするのではなく、「社会生活を営む上で通常その情報が露出を前提としたものかどうか」を基準としてみた点にあります。容姿をひた隠し、氏名や住所をどこにも出さずに社会で生きようとしても、そもそも住民登録や学校・会社に入ることすらできないわけでほぼ無理なわけですが、視聴履歴や端末IDは自分から公表したりあえて誰かに情報収集されなければ、表には出ないですよね。分類が難しいのが、この表の真ん中の列に挙げた体臭・詳細な職歴・乗降履歴・病歴といった「知っている人は知っている（身近な人・他人が知りうる）」系の、一定の露出をふせげない情報になります。提供先基準（受領者基準）で不安を感じる人の懸念に照らすと、識別・特定という軸と自己情報の露出度合いを掛けあわせて“漠然とした不安”を重みづけすれは議論しやすいのではないかと、このような軸を定義してみたわけです。

BLJの特集では、この容易照合性について何人かの方が「一般人にとって技術的に困難かどうか」を基準とする主張をされています（P36、P42など)。しかし、もし技術的困難性だけを容易照合性の判断基準としてしまうと、たとえばDNA鑑定は一般人が行うのは困難であるはずであることからDNA情報には容易照合性がないことになり、これを拡大解釈していくと、DNAが個人情報に該当しないパーソナルデータとも評価されかねないので、それはやっぱりヘンじゃないかなあと思った次第です。

なお、氏名など特定／非特定が必ずしも断定できない（同姓同名の可能性もあれば、世界に一人という名前もありうる）ものは、ここではいったん非特定に寄せています。DNAも何兆分の一で一致する可能性があるようですが、そこは現実的なラインで識別特定情報としています。ちなみに体臭は、一卵性双生児であっても犬にかかれば完全に嗅ぎ分けが可能だそうですよ（どうでもいいか）。

赤色セル部分が現行法上も単独で個人情報（個人データ）に該当するであろうことはほぼ議論がないと思いますが、黄色セル部分の情報にどんなものがあるのかを具体的に想定・例示しながら、その情報を取り扱う際の義務をどう規定すべきかを議論できないものかと考えています。私もこの私案を履歴を残しながら随時ブラッシュアップしていくつもりですが、もし、この私案に意見をいただけるのであれば、GoogleDriveのほうにコメント記入権限がついていますので、そちらにご記入いただくか、本ブログのコメント欄にでも残していただければ、修正・改善していきたいと思います。


17:30追記

高木先生から以下tweetでご指摘をいただきました。なるほどと理解ができた点・私の理解が追いつかない点がそれぞれあるのと、この区分が意味を成さないとして何か代わりに議論がしやすくなる土俵を考え付くことができていないので、恐縮ながら取り急ぎtweetのご紹介のみとなります。








2014.3.23 12:00 追記

高木先生より引き続き補足をいただいております。










個人情報を“散在情報”と意味のある整理を施した“処理情報”に分け、そのうち処理情報のみが個人情報保護法上の「個人データ」であるという点を重視し、これと識別非特定情報の概念を掛け合わせるというのは、3月15日のMIAU設立6周年記念イベント「MIAU祭2014」 で高木先生が披露されていた考え方で、私も当該イベントをニコ生で見て興味を持っていた点。以下当日のパワポスクリーンショットを貼っておきます（観客の頭が被ってしまって画面下の文字が確認できなかったのですが、おそらく「個人データ（個人情報データベース等を構成する個人情報）」かと思われます）。

37


これと最後のtweetでチラ見せ（笑）いただいている表を併せ読むと、最も広い概念である“個人に関する情報（＝散在情報＋処理情報）”のうち、“処理情報”に含まれる“識別情報（＝識別特定情報＋識別非特定情報）”を「個人データ（改）」として保護対象とすることをお考えのご様子。つまり、これまで曖昧だった「個人に関する情報」「パーソナルデータ」の定義から、“散在情報”を明確に取り除き、仮に散在情報に識別特定・識別非特定情報が存在しても、処理情報として取得・管理していなければ関係ないことを（現行法でも19条〜30条についてはそのように限定解釈する余地もあったがこれまで以上に）明確にすることで、保護法により生じた混乱やいわゆる過剰反応問題を解決できるのでは、というアイデアのようです。
　
タグ ：
#パーソナルデータ
#識別・特定×容易照合性マトリックス
このエントリーをはてなブックマークに追加
2014年02月26日08:00

意外なまでに真面目イベントだった「プライバシーフリーク・カフェ」視聴感想メモ

カテゴリ
法務
＿情報法務
　
「プライバシーフリーク・カフェ」というイベントのニコ生タイムシフト動画を拝聴しました。プライバシーまわりに興味のある法務担当者は、ニコ生の視聴期限が切れるまでに一度と言わず二度ぐらいご覧になる価値があるのではないかと思います。


▼第１回プライバシーフリーク・カフェ（山本一郎・高木浩光・鈴木正朝）

s-pfc3men


山本氏のファシリテーションにより、以下設定された６つのQに従って進行。

Q1　「プライバシーフリーク」とは？
Q2　個人情報とは？　
Q3　第三者提供とは何か？
Q4　広告ビジネスにおけるプライバシー問題について
Q5　Suica問題
Q6　パナソニックヘルスケア事件


まず冒頭、Q2のパートで20分を掛けて高木先生が丁寧に個人情報保護法の誤読問題を解説するところから始まります。“ウェブの履歴情報及び特性情報”は、氏名・生年月日・連絡先と分離することで「（法の規定する）個人情報以外の情報」となる、と定めるヤフージャパンのプライバシーポリシーの問題点を具体事例に挙げて解説。これを踏まえて山本氏が、「ICT業界全体が、個人情報保護法の定義を誤読（というよりも、ウェブ利用履歴を同法上の個人情報とされては困ると考えて限定的に解釈）している」と指摘していました。この保護法の誤読もしくは限定解釈問題は、知ったかぶりでよく分かってない人が法務の世界にも沢山います。私も「利用規約の作り方」本を執筆している際にどう解説すれば正確に記述できるか腐心したのですが、この点に関してここまで丁寧に解説している講演というのは、今まで無かったかもしれません。

s-pfcQ2


ついで、Q3パートは鈴木先生の独壇場。Tポイントカード等の共通ポイントカードデータで使われている「共同利用」という手法の何が問題かを詳しく解説されていました。保護法の共同利用が、下図でいう“A社のデータをB社に脱法的に引き渡す”ための方便として使われていること、そして、共同利用者全員に共同DBへのフルアクセス権を与えるのが本来の共同利用のはずであるが、それをやってしまうとDBの持ち主が競争力を失うのでやっていないし、むしろ規約でDB開放は行わないことを表明しているのは矛盾であると指摘。この「共同利用の潜脱的利用」論は、鈴木先生が論文や講演等様々なところで語られているところですが、他で聞くよりもわかりやすかったと思います。

s-pfcQ3


Q5のSuica問題についてはすでに語り尽くされた感もあり、お三方とも比較的おとなしめでしたが、昨年から内閣府でも始まったパーソナルデータの議論の中で、データセットのみで事後的かつ可逆的に個人を識別できてしまう「準識別子」という考え方がどう導かれたかについて、語られていました。

s-pfcQ5


広告ビジネスにおけるプライバシー問題については、以下のようなキーワードがこの講演中もでてきて、山本氏もいろいろ言いたげではあったものの、次回当事者を呼んで詳しく、とのこと。というかこれ次回もあるんですね（笑）。
・DSPモデル（アドネットワークの媒体社による串刺し）の問題点
・クッキーによる名寄せ→オプトアウトの形骸化
・スマホは専用アプリを使って動かすとURL＝収集当事者がよくわからない問題
・SmartnewsやGunosy等のアプリを介したターゲティング広告
　

まとめの一言は、
「“この情報は個人情報ではない”と無理な解釈で逃げる方向で自由度を高めようとするのではなくて、個人情報だと認めた上できちんと同意・オプトアウトの手続きを守り、真正面から役に立てるビジネス設計をして欲しい」

タイトルを見ただけの印象ではもう少しおちゃらけた特定企業糾弾イベントになるのかと思っていましたが、蓋を開ければ、個人情報・プライバシーという難しい問題を具体的な事例を挙げて分かりやすくかみ砕き、かつ問題点を抽象化して摘示していこうという点、意外なまでに真面目なイベントになっていました。次回テーマとなるであろう広告ビジネスのプライバシー情報の取扱いは、本当に広告ビジネスサイドの担当者も参加するのであれば（交渉中らしいです）、貴重な講演になりそうです。
　

タグ ：
#個人情報
#プライバシー
#パーソナルデータ
このエントリーをはてなブックマークに追加
2014年02月10日07:00

スマートフォン・プライバシー保護法制の動向を理解するための必読リンク集 2014

カテゴリ
法務
＿情報法務
　
先日公開した「パーソナルデータ・プライバシー保護法制の動向を理解するための必読リンク集 2014」に続きまして、今回は「スマートフォン・プライバシー保護法制の動向を理解するための必読リンク集 2014」を作ってみました。

スマホプライバシーは、パーソナルデータ・プライバシー保護法制の下位概念に位置しますので、もし先日のリンク集をお読みでない方はそちらから先に辿っていただくのがよいと思います。ではでは。


s-1340911_21662636


(a)スマートフォン プライバシー イニシアティブ

http://www.soumu.go.jp/main_content/000171225.pdf

パーソナルデータを取得しやすい端末であるスマートフォンアプリ時代をにらみ、アプリ単位で明示すべき「アプリケーションプライバシーポリシー」の水準を可能な限り明らかにした、総務省発の提言文書です。日本は個人情報保護には遅れている国と言われるものの、国が主導してスマホに特化したプライバシーについての文書を発表したという意味では、アメリカに次ぐ先進性はあったのではないかと。個人情報保護法の評判の悪さがかえって関係者に課題意識・危機感を醸成し、そのおかげでこの成果物が意外にも早く誕生したと言うべきでしょうか。ただし、ヤフージャパンの法務担当役員の方の発言が話題となったように、その考え方が事業者の側にも浸透・納得されているかというと、そこはまだなのかなという気がします。

(b)スマートフォン プライバシー イニシアティブ��

http://www.soumu.go.jp/main_content/000236366.pdf

上記「�機廚�でてから１年足らずで、同じく総務省から発信された文書。これが出た当時の弊ブログの記事でも読みどころをまとめているとおり。特に、アプリケーションプライバシーポリシーが満たすべき必須条件／推奨条件について踏み込んで書いてあるので、チェックしておきましょう。

(c)法律を知らずにビッグデータは扱えない ― 個人情報、プライバシー、通信の秘密それぞれに配慮せよ

http://itpro.nikkeibp.co.jp/article/COLUMN/20130214/456270/?ST=bigdata

スマホプライバシーイニシアティブが生まれることになった経緯について、これまでの個人情報保護法制との対比をしながら、日本の情報法の第一人者である岡村先生がインタビュー形式でわかりやすく語る記事。初心者向けにおすすめ。

(d)モバイルコンテンツ関連事業者のための個人情報保護ガイドライン 第2版

http://www.mcf.or.jp/privacymark/pdf/guideline_for_mobilecontent.pdf

一般社団法人モバイルコンテンツフォーラム（MCF）さんが、スマホプライバシーイニシアティブの求める水準をモバイルコンテンツの実務に当てはめるとこうなる、という考え方を示したもの。同法人はプライバシーマーク指定審査機関でもあるため、Pマーク視点も網羅されているのが特徴です。

(e)ABC 2012 Spring - 高木浩光氏が「スマホアプリの利用者情報送信における同意確認のあり方」について講演

http://news.mynavi.jp/articles/2012/03/28/abc2012_06/

やや古めの講演まとめ記事ですが、スマートフォンからのデータ収集に際して、
・適切な同意の取り方
・端末固有ID利用のリスク
に絞って解説されています。

(f)スマートフォン プライバシー イニシアティブと国際的動向

http://www.jssec.org/dl/1121/06_smartphone%20privacy%20initiative.pdf

総務省の「パーソナルデータの利用・流通に関する研究会」の資料として事務局が調査しまとめた国際動向についての資料をさらにまとめたもののよう。図表が豊富で、自分で社内説明資料を作成する際なんかに役立つんじゃないかと思います。総務省さんが作成したものなので、引用している資料以外は流用してもたぶん怒られないであろう点便利（笑）。

(g)スマホアプリにおけるアプリケーション・プライバシーポリシー掲載の国際比較調査

https://staff.aist.go.jp/takagi.hiromitsu/paper/scis2014-3D1-1-ichinose-dist.pdf

そのタイトルのとおり、アプリケーションプライバシーポリシーが適切な方法・形式・内容になっているいるかについて、Google等プラットフォームに実際に陳列されているアプリをサンプリング調査したレポート。

日本はプライバシーポリシーが適切な場所に掲載されている割合の順位が 49か国中 45 位、より精密に評価した場合で 25 か国中 23位と、最下位クラスに属するレベルであった。また、掲載内容が適切な様式で書かれているかを 7か国で比較したところ、他国に比べて適切に書かれていないことも明らかとなった。

日本のプライバシー保護はまだまだダメ、という批判はよく聞きますが、「何がどうダメなのか」をこの資料のレベルまで定量的に分析・指摘しているものは少なく、その意味で参考になります。
そして、こういった比較のアプローチを見ていると、法律ではなく、GoogleやAppleのようなプラットフォームのレギュレーションによって事実上の国際水準が作られていく、そんな未来が透けて見える気がします。
　

※取りこぼしなどがあれば、2014年中は適宜こちらのエントリに追加していきたいと思います。皆様からもコメント欄等でご指摘・おすすめをいただけますと助かります。
　
タグ ：
#アプリケーションプライバシーポリシー
#パーソナルデータ
#プライバシー
このエントリーをはてなブックマークに追加
2014年02月03日07:00

パーソナルデータ・プライバシー保護法制の動向を理解するための必読リンク集 2014

カテゴリ
法務
＿情報法務

昨年9月に発足し、パーソナルデータ・プライバシー保護法制の今後を占う組織として注目を浴びた「パーソナルデータに関する検討会」は、12月にその役割をいったん終え、これを踏まえて政府の制度見直し方針が発表されました。2015年の法改正に向けての動向は、企業法務に携わる方はもちろんのこと、ITビジネスを企画・運営する一般のビジネスパーソンにとっても、重要なテーマとなっています。


s-J00009080
nettv.gov-online.go.jp - 山本大臣閣議後記者会見（平成25年12月24日）より


毎日のように新聞・雑誌等でも取り上げられ、論文や専門書も多数刊行されているところですが、今回は、インターネット上で読むことができる文書・資料・記事の中で、抑えておきたい必読リンク集を作ってみました。

なお、タイトルの冒頭についているカッコ書きのナンバーはご紹介の便宜上振っているもので、それ以上の意味はありません。


(1) パーソナルデータの利活用に関する制度見直し方針

http://www.kantei.go.jp/jp/singi/it2/kettei/pdf/dec131220-1.pdf

高度情報通信ネットワーク社会推進戦略本部長である安倍晋三総理により決議された、日本の国家としての公式な方針がこれです。間違いなく、現時点での最重要文書。まずはこれを抑えましょう。

(2) 第５回パーソナルデータに関する検討会 議事要旨

http://www.kantei.go.jp/jp/singi/it2/pd/dai5/gijiyousi.pdf

上記(1)の制度見直し方針がどのような議論のもとで作られたのか、その過程やニュアンスを掴むには、戦略本部の下部組織である検討会の議事を読み込むのがおすすめです。プライバシー法にあまり詳しくない方にとっては専門的な単語も飛び交っていてとっつきにくいかもしれませんが、逆に現時点でここで語られている内容・論点・キーワードについてキャッチアップしておかないと、今後の議論にもついていけないでしょう。これまでこのテーマをフォローしていなかった方は、この議論を読みこなし理解できるようになることを一つの目標・メルクマールとするとよいかと思います。

(3) 技術検討ワーキンググループ 報告書

http://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf

パーソナルデータに関する検討会の下部組織WGがまとめた成果物。(2)でもそのエッセンスが説明されていますが、非常に充実した価値あるレポートですので、一読をお勧めします。
・「万能な“匿名化”手法は存在しない」ことを証明したこと
・「特定」と「識別」の概念を分かりやすく整理したこと
この２つは、同検討会の最大の成果であると同時に、2013年の日本のプライバシー法制議論の最大のトピックと言っても過言ではないと私は思います。

(4) 合理的な匿名化措置は可能なのか　「パーソナルデータに関する検討会」で議論されたこと

http://itpro.nikkeibp.co.jp/article/Watcher/20131213/524722/

パーソナルデータに関する検討会および技術検討WGの報告書のポイントを、日経の大豆生田記者が簡潔にまとめてくださっている良記事です。まだこの議論についていけない・・・という初心者の方にもわかりやすい記事です。

(5) 個人識別性の再考と法改正に向けた提案

http://www.horibemasao.org/horibe9_Takagi.pdf

(2)のパーソナルデータに関する検討会による検討結果を受けての、産業技術総合研究所主席研究員 高木浩光氏による提言。「特定」と「識別」の定義分けにもとづいて、実際、それをどう条文に反映すべきかを、主に「個人識別性」と「容易照合性」の観点から提言しています。この２つは、2014〜2015年にかけてパーソナルデータ・プライバシー保護法制を具体化していく上での重要なキーワードになるはずです。

(6) 国際的な変革期にあるプライバシー・個人情報保護法制の現況

http://www.horibemasao.org/horibe9_Sinpo.pdf

世界の中という視点で日本が抱えているプライバシー保護法制の課題を、新保先生が整理してくださっている資料。よく話題に挙げられるEU・米国との比較だけでなく、APEC プライバシーフレームワークやプライバシーコミッショナー会議における視点も含め、国外移転に関する問題点の整理をしてくださっているところが大変参考になります。

(7) 個人情報の保護レベルを世界水準に合わせよう

http://itpro.nikkeibp.co.jp/article/COLUMN/20130827/500450/?ST=security&P=1

2013年夏に起きたJR東日本のSuica事件を振り返りながら、米国から無理矢理輸入したいびつなプライバシー権概念に立法的に決着をつけ、医療などの産業に遅れを生じさせないようにしなければならない、と熱く語る鈴木正朝先生。(6)の新保先生の資料とあわせてよめば、越境問題をクリアにするということの重要性が理解できると思います。

(8) 平成25年版情報通信白書 ビッグデータ活用とパーソナルデータ

http://www.soumu.go.jp/johotsusintokei/whitepaper/ja/h25/pdf/n3100000.pdf

総務省が、(6)(7)のような視点も含めて豊富な図表で現況を整理したもの。特に資料P272以降の日本・米国・英国・フランス・韓国及びシンガポールの利用者を対象としたアンケート調査データは、一般ユーザーがどのような不安と期待を抱えているかを読み取る資料として、参考になります。



※取りこぼしなどがあれば、2014年中は適宜こちらのエントリに追加していきたいと思います。皆様からもコメント欄等でご指摘・おすすめをいただけますと助かります。
※なお、スマートフォンプライバシーの問題については、こちらとは分けて後日別途リンク集をアップする予定です。
　
タグ ：
#パーソナルデータ
#プライバシー
このエントリーをはてなブックマークに追加
2013年11月10日21:00

匿名性の確保だけじゃない ― パーソナルデータ事業に取り組む企業が配慮すべき６つの視点

カテゴリ
法務
＿情報法務
　
伊藤雅浩（@redipsjp）先生のtweetがきっかけで、日経コンピュータ2013年10月17日号の特集 “「Suica履歴販売」は何を誤ったのか” を読みました。このテーマを継続して追いかけている浅川直輝記者の手によるものだけあって、同種の雑誌記事やネット記事と比較しても大変示唆に富む記事でした。PDF版が定価900円で販売されていますが、日経BP STOREに登録すれば当該特集を含む特別編集版を無料でダウンロードして読むことができます（2013年11月10日現在）。

特集では、JR東日本・トヨタ自動車・NTTドコモ・ソニー・カルチュアコンビニエンスクラブがそれぞれ取り組むビッグデータビジネスについて、利活用のスキームと情報の流れを図で分かりやすく整理してくれています。以下はそのうちJRとCCCのスキーム図。どの個人識別情報・パーソナルデータが、どの時点で、どこまで渡されているのかがパッと見て分かるようになってますね。

nkcpJReast

nkcpCCC


これらの各スキームを、以下６つの視点からレーダーチャートで評価。ここで採用している視点と評価軸は、これからパーソナルデータ事業に取り組もうという企業にとって、大変有用な整理かと思います。

nkcp

１　データ提供先の統制
　　→グループ会社のみ等提供先を限定しているか／提供先企業を契約で統制しているか
２　提供データの匿名性
　　→統計情報のように加工しているか／仮名ID＋生データのような状態か
３　利用者への還元
　　→ポイントなど直接的な還元をしているか／広告のマッチングなどにとどまるか
４　利用目的の公共性
　　→医療など人命・公共に関わる用途か／民間のマーケティング用途か
５　選択肢の有無
　　→オプトアウト・サービスを使わない選択肢はあるか／選択の余地の無い公共サービスか
６　顧客への説明や情報公開
　　→利用者に明示的に説明しているか／リリースのみにとどまるか

Suica事件に対する社会の拒絶反応に強く影響されてか、最近のパーソナルデータの議論は、どうも上記２の匿名性の確保という視点ばかりに議論が集中しているようです。先日、情報セキュリティ界隈の方々から失笑を買っていた日経ビジネスによる野原佐和子氏インタビュー記事の内容などはその最たる例でしょう。その記事に関連して、@kataxさんのブログでも取り上げられているように、法務パーソンの間でも匿名化・非識別化・連結不能化といったキーワードが飛び交うようになっています（このテーマに関しては崎村夏彦（@_nat）先生のブログが詳しいのでオススメ）。実際、内閣官房の「パーソナルデータに関する検討会」でも、１の情報管理責任を誰が負うのかという点と絡めたかたちで、匿名化のあり方が議論の中心になっている模様です。

しかし、上記３のように、そもそもパーソナルデータの提供と引き換えにどの程度具体的なメリットを与えられているのか？というのは、企業視点では意外と軽視されている要素ではないでしょうか。さらに、５の選択肢の有無も、合法性評価を左右する大きな要素だと考えます。公共インフラや医療機関のように、そもそも「使わない」という選択肢がない独占的サービスの中でパーソナルデータを収集・利用するのは、例え事後的に利用停止を申し出るオプトアウトの仕組みが用意されたとしても、承服できないユーザーは一定数存在するでしょう。匿名化という小手先の手段だけでなく、こういった視点をもってバランス良く検討・対処していないと、また不幸な炎上案件が生まれることになります。

なお個人的には、内閣官房の議論において、（上記１の視点に関連して）個人情報保護法ではまがりなりにも認められてきた「共同利用」スキームにメスが入り禁止されるのか、それとも一定の制約のもと残されるのかという点にも、大いに注目しています。
　

2013.11.11追記

twitterで高木先生からコメントをいただきました。

“ポイント”と例示してしまったことも手伝って、プライバシー侵害を金銭的に相殺してバランスを取ろうとする企業都合の物言いに映ってしまったかもしれません。ここで述べたかったのは、プライバシー権を純粋な人格権ではなく財産権的に捉えるユーザーも一定数存在すると認識しており、（そのような考え方が是か非かは別として）全てのユーザーから納得ずくの同意を取ろうとするならば、そういった「パーソナルデータ提供の同意と引き換えに何か見返りが欲しい」というユーザーに対する配慮の視点も必要なのではないか、ということです。
※上記はあくまで小生意見であり、本記事を執筆された浅川記者の意図とは異なる可能性がありますので、その点ご留意頂ければと思います。
　
タグ ：
#パーソナルデータ
このエントリーをはてなブックマークに追加
2013年10月18日08:30

【雑誌】NBL No.1011 ― ビッグデータ・パーソナルデータの法的論点中間まとめの決定版

カテゴリ
法務
＿情報法務
　
昨日配刊のNBL No.1011は、ビッグデータ・パーソナルデータの法的論点に興味はあるけど正直情報量が多すぎて何を読んだらいいかわかんないです〜という方にはうってつけの特集となっています。


s-IMG_2716


・個人情報保護法違反とプライバシー権侵害の違い
・個人情報保護法における第三者提供と（潜脱的）共同利用の峻別
・「匿名化」に求められる要件
・「再識別可能性」リスクに対する対策としての米国FTCルールの準用

といったキーワードと法的論点について、これまで出た書籍・雑誌・ネットでのまとめ記事的なものの中で一番簡潔に・わかりやすく説明された記事だと思います。役員から説明を求められたときなどにすらすら説明する自信がないということであれば、ぜひこれをカンペに。

玄人筋からすると、匿名化要件については技術的な考察が足りないのでは？とか、今後の展望が結局
�‘震床十萢�の方法および匿名化を維持する態勢の内容について、あらかじめ、本人が容易に知り得る状態に置くこと
��当該匿名化データを第三者に提供する旨および包括的な提供目的を、あらかじめ、本人が容易に知り得る状態に置くこと
�Ｄ鷆，魑�容できない本人のためにオプトアウトの手続を用意すること
と、少し無難な線に落ち着きすぎでは？というツッコミもありそう。特にビッグデータのオプトアウトって、言うは易し行うは難しですしね。

このあたりの方向性は、昨日公開されているパーソナルデータに関する検討会　第２回技術検討ワーキンググループ議事次第なんかをつぶさに読んでいくと、Suicaデータの第三者提供を事例にとっても興味深い考察がなされていて、風向きがすでに読めてしまったりするのですが・・・。こちらは機会をあらためて取り上げることとしましょう。
　
タグ ：
#ビッグデータ
#パーソナルデータ
このエントリーをはてなブックマークに追加
2013年07月21日08:00

【本】移動者マーケティング ― ビッグデータ・パーソナルデータとSuica乗降履歴販売問題を考えるこの夏の副読本

カテゴリ
法務
＿情報法務
　
だいぶ前に、スマホ×ITビジネスという業界に入るにあたって、移動者を顧客とした企画が何かできないものかと、タイトル買いして読んでいた本。


移動者マーケティング移動者マーケティング [単行本]
著者：加藤 肇
出版：日経BPコンサルティング
(2012-09-06)


ちょうど今話題のSuica乗降履歴の話題と重なったこともありますので、ご紹介をさせていただきます。


ビッグデータは「個性の深堀り」ではなく「インサイトの輪切り」に使うもの


この本のキモはズバリここ。

ターゲットを絞り込む上で、最も一般的な方法に、年齢、性別、居住地といったデモグラフィックによる分割がある。しかし近年、そのような属性と実際の消費行動との乖離が大きく、手法としての限界が指摘されている。（略）これらのターゲットセグメンテーションに共通するのは、人をどのような視点で区分けするか、という「縦切り」の発想に基づいている点である。一方、移動者マーケティングは、移動のTPOによるセグメンテーション、つまり場面（シーン）で横切りすることに比重が置かれる。


s-IMG_2476

生活者の価値観が多様化し、各人がそれぞれバラバラなことを考えていても、特定の移動シーンにおけるニーズやインサイトは比較的共通していることが多い。若者も大人も、男性も女性も、その多くは朝の通勤・通学という移動シーンは「だるいなぁ」と思っており、帰宅時は多くが解放感に浸ってくつろぎたいと思っている。そこに取り立てて大きな違いはない。ちなみに、夕方の駅では炭酸飲料と缶ビールがよく売れる。未成年者は炭酸飲料、成人はビールの弾ける泡を楽しみながら「ぷは〜」とひと息ついているのだ。その根柢にあるインサイトには、属性を超えて相通じるものがあるのだろう。

ビッグデータで個人の個性がより精度高くわかり、その個性に応じた広告をピンポイントで出せるようになると喜んでいても、肝心の広告のクリエイティブが最大公約数的な作りになっていたりしないでしょうか？ビッグデータというと、保護法上の個人情報を取得せずとも個人の趣味嗜好がわかるという方向での発想にすぐになってしまいますが、セグメンテーションを細分化したマーケティングには自ずと限界があります。むしろ、効果的・効率的なマーケティングという視点では、人の個性をピンポイントに狙う縦切り＝深堀りよりも、似たような境遇に居る人を場所によるインサイトで横切り＝輪切りするほうが有効だろうなあと、読んでいて納得させられました。同時に、そのような個人性を追求しないビッグデータ活用であれば、プライバシーの問題もそうそう発生しないだろうとも思いますし。

そうなると、あらゆるユーザーの通勤・通学シーンのユーザー動向を一手に抑えている交通機関が最強ということになります。この本の内容もだんだんその方向に話がフォーカスして、あれなんか色がついているなこの本？？と、よく見ると著者のお三方はJR東日本の広告小会社であるジェイアール東日本企画さん所属というオチでした（苦笑）。「移動者マーケティング」という言葉も同社が商標登録しているそうで・・・。

日本の大企業タッグがビッグデータビジネスに乗り出した


そんな中、そのJR東日本が日立と組んでSuica乗降履歴を販売し始めた、という話題が。

▼Suica利用履歴販売、JR東は「個人情報に当たらない」との見解（ビジネスメディア誠）
今回販売したのは、私鉄を含む首都圏約1800駅で、Suicaを利用して鉄道を乗り降りした履歴データ。JR東日本は、累積で約4300万件のSuicaを発行しているが、Suica定期券、My Suica（記名式）、Suicaカード（無記名）、モバイルSuicaすべての乗降履歴が対象だという。
「SuicaのIDにはひも付いていないから、個人が特定できるようにはなっていない。つまり、個人を特定できないので、（販売しているデータは）個人情報に当たらない」（広報部）
JR東日本では個人情報の取扱いに関する基本方針を定めており（参照リンク）、そこには下記のように記されている（略）。JR東日本としては、個人情報を第三者に販売する場合は事前に利用者や株主に許可を取らなくてはならないが、今回販売したデータは個人情報ではないので、あらかじめ許可を取る必要はなかった、という見解のようだ。

『利用規約の作り方』にも書いたとおり、プライバシーポリシーを作る上での考え方には
  1. "個人情報保護法上の個人情報（個人データ）”のみを対象とするもの
  2. 1のみならず、その外延にある"パーソナルデータ”も対象とするもの
と、大きく２つの流派にわかれているのが日本の現状です。では、JR東日本のプライバシーポリシー（個人情報の取扱いに関する基本方針／個人情報の取扱いの具体的な事項）の文言はどうなっているかというと、

jreastpp

suica3rdparty

上記２のスタンスを取っている企業のプライバシーポリシーの多くは、保護法の定義とは違う「利用者情報」を保護する旨を述べたり、第三者提供の同意取得文言において「分析結果や統計的情報などを第三者に提供する可能性」について言及しています。しかし、同社のプライバシーポリシーには、そのような文言は見当たりません。同社広報部の回答主旨に加えてこの点からも、JR東日本および日立は上記１のスタンス、すなわち保護法上の"個人情報”以外はそもそもプライバシーポリシーの対象にしない、だからSuica利用者からの情報取得にあたっても日立への提供にあたっても、同意は必要ないという理屈に立っているようだ、というのがビジネスメディア誠の分析になっています。

Suica乗降履歴は“パーソナルデータ”か否か


このようなJR東日本と日立のスタンスの是非を考えるにあたっての論点は、総務省が「パーソナルデータ研究会報告書」で示していた論点とも重なります。この「報告書」で示されている方向性を踏まえて有識者やネット上の感度の高い方々の間から発信されている意見は、おおよそ以下４つの論点にまとめられるようです。

  1. 保護法にいう“個人情報”ではないとしても、継続的に収集した乗降履歴（≒購買履歴）は、「パーソナルデータ研究会報告書」における“パーソナルデータ”に該当するのではないか？
  2. “慎重な取り扱いを必要とするパーソナルデータ”に該当しないか？該当する場合は、情報のプライバシー度に応じ、明示的な個別同意またはプライバシーポリシーによる包括同意を取る必要があるとされているが、いずれかを取得していたか？
  3. 形式的にはいずれかの同意を取得していたとしても、そもそも公共交通機関で利用がほぼ必須となっているカードにおいて「同意しない」という選択の自由は事実上ないのでは？
  4. 第三者（日立）にどのような形式でデータを渡すのか？データを提供した後、第三者の情報処理の過程で特定される可能性はゼロとは言えないのではないか？

実際、twitterなどでの一般ユーザーの反応を見ていると、「Suica乗降履歴が他社に販売されることについて同意した覚えはない」「利用場面で個人を特定されてしまう／しようとしているのでは」といった不安の声は少なくないようです。

この点、同意取得のJR東日本の見解については上述したとおりですが、利用の態様については、まさに冒頭でご紹介した本で披露されている“横切り＝輪切り”のマーケティング目的でこのデータを活用することが謳われており（下記日立のプレスリリース参照）、必ずしも個人を特定する方向でのマーケティングには用いないことが表明されています。

▼交通系ICカードのビッグデータ利活用による駅エリアマーケティング情報提供サービスを開始（日立製作所）
本サービスでは、主に駅エリアを中心にビジネスを展開する企業に向け、毎月定期的に、駅の利用状況の分析データをさまざまな分類でまとめた「駅利用状況分析リポート」を提供します。本レポートは、駅の利用者の性年代構成をはじめ、利用目的(訪問者／居住者など)や滞在時間、乗降時間帯などを、平日・休日別に見える化するほか、これらの情報と独自の評価指標を用いて特徴を抽出することにより、駅のタイプ(住居／商業／オフィスなど)を割り出すなど、多岐にわたるマーケティング情報を網羅します。
これらの情報により、本サービスを利用する企業は、駅エリアの集客力や集客層、潜在商圏の広さ、通勤圏、駅エリアを最寄り駅とする居住者の規模や構成などを把握し、出店計画や立地評価、広告・宣伝計画などへ活用していくことが想定されます。

個人的には、このような利活用であれば、なぜその分野を研究していたJR東日本企画に子会社での共同利用という構成でこの分析を担当させる（またはそこから業務委託先への個人情報提供という構成で日立に分析を委託する）というソフトな活用の仕方にしなかったのか、なぜあえて第三者提供的に日立に情報を販売するというハードな道を選ばなければならなかったのか、不思議ではあるのですが。


いずれにせよ、この夏の日本の２大企業による“ビッグ（データ）なチャレンジ”の過程で、パーソナルデータの取り扱いにおける論点は、急速に整理されていくことでしょう。CCCのTポイントカード問題に負けず劣らず、情報産業に関わる方であればフォロー必須の話題となりそうです。
　
タグ ：
#プライバシーポリシー
#ビッグデータ
#パーソナルデータ
このエントリーをはてなブックマークに追加
2013年06月13日08:00

「パーソナルデータ研究会報告書」に出てくるパーソナルデータの区分と取り扱いルールを表に整理してみた

カテゴリ
法務
＿情報法務
　
5月下旬にもちょっとだけ紹介した総務省のパーソナルデータ研究会の報告書が、パブコメを経て確定版として昨日リリースされました。



一言で言えば、語られている内容には目新しさはあまりないながらも、これまでの国内でのパーソナルデータに関する議論が過不足なくまとめ上げられた上で総務省のお墨付きがついた形となり、（国際的な目線に耐えうるのかはやや懸念を抱くものの、）昨年リリースされたスマートフォンプライバシーイニシアティブとあわせて、この文書が日本のネットビジネスにおける個人情報・パーソナルデータの考え方のスタンダードとなるだろうと思います。

その一番の見どころである３章の３に示された「パーソナルデータの利活用のルールの内容の在り方」が、文書が長くて読みにくかったのと後で参照するのに一覧性がないのがイマイチだったので、一枚の表にまとめてみました。本来は、この文書で示されている「実質的個人識別性」という考え方を理解した上で、あくまでその例示として見て頂く必要があるのですが、厳密さは文書で確認していただくとして、こちらのブログでは分かりやすさ優先で整理させていただきます。

Sheet1

.

類型具体例取り扱い
レベル		取得経緯
OK		取得経緯
NG

.

一般
パーソナルデータ		・氏名
・本人が明確な意図で一般公開した情報
・名刺記載情報		ｰ黙示同意で可明示個別同意が必要

.

慎重
パーソナルデータ		・移動体端末に蓄積される以下のようなパーソナルデータ
-電話帳情報
-位置情報
-通信履歴
-アプリ利用履歴、写真、動画
-契約者・端末固有ID
・継続収集した購買・貸出履歴、視聴履歴、位置情報等		プライバシー低明示包括同意で可

.

プライバシー高明示個別同意が必要

.

センシティブデータ・思想、信条、宗教
・人種、民族、門地、身体・精神障害、犯罪歴、病歴、その他社会的差別の原因となる恐れのある情報
・勤労者団体行動情報
・政治的権利行使情報
・健康性生活情報		ｰ


この整理でまず総務省の思い切りが感じられるのは、事業者が比較的自由に取得できる「一般パーソナルデータ」の範囲を、かなり広めに捉えようとしているところですね。氏名は当然としても、ブログやtwitterなどに本人が公開した情報や名刺から手に入る情報などは、取得の経緯（コンテキスト）が認めれれば明示的個別同意なくとも収集できる情報として整理されました。個人情報保護法の生んだ弊害を、このような解釈で解消しようとしていることがわかります。この解釈ですと、Linkedinに掲載された情報を人材紹介会社が収集して転職支援サービスに用いるのは、何ら問題ないということになりますね。もちろん、嫌がられたら停止＝オプトアウトは必要だとも言及してありますが。

一方で「慎重な取扱いが求められるパーソナルデータ」の区分は、未だ玉虫色です。情報の中身によってプライバシー性を帯びたり帯びなかったりすることから、包括同意でいいのか個別同意をとらなければならないのかの取り扱いルールが変わる点は、明言を避けています。また、この表にでてこないビジネス上重要な情報として“金融・財産情報“があるのですが、こちらにいたっては「慎重な取扱いが求められるパーソナルデータ」なのか「センシティブデータ」のどちらに区分されるのかすらも明言を避けています。個人的には「慎重なー」の方に分類してよかったんじゃないかな、と思いますけれども。


日本の総務省として、アメリカ型の採用、すなわち、ビジネスのイノベーションをなるべく阻害しない方向でパーソナルデータの利活用を進めていく決意が示された文書となっており、経済界の賛同は得られるものだと思います。しかし、私個人的には、これはあくまでも日本の今に照らした考え方であって、それがそのまま国際的に通じるものかどうかは懐疑的です。今後プライバシーの風向きは急速にEU型に傾いていくのでは、と思うところが実はあり、まだまだ余談は許さないものと思っています。この辺はまた研究が進んだら書いてみたいと思います。


余談：

５月下旬に募集されたパブリックコメントの内容もあわせてリリースされているのですが、どう考えても高木浩光先生らしき方（笑）が、本文書中のクッキー情報の表現についてのツッコミを入れられていて面白かったです。しかし実際、私が長年抱いていた「クッキーの正しい説明の仕方」についての疑問が解消するものでもあったので、こちらに転載させていただきます。

「クッキー」（cookie）説明が、「ウェブサイトの提供者が、ウェブブラウザを通じて訪問者の PC 等に一時的にデータを書き込んで保存させる仕組みで、利用者に関する情報や最後にサイトを訪れた日時、そのサイトの訪問回数などを記録しておくことができることから、認証など利用者の識別に使われる。」（p.44）と書かれているが、このうち、「保存させる仕組みで、」までの文は正しいが、それ以降の文は不適切である。
確かに、cookie に「訪問回数など」を書き込んで保存させることは可能ではあるが、現実の使われ方はそれとは異なる。現実の使われ方は、ウェブサイトの提供者が乱数を用いて識別番号（番号以外の文字列を含む）を生成し、この番号を訪問者の PC 等に cookie として書き込んで保存させることによって、利用者や端末の識別を行うというのが典型である。利用者や端末の識別が行われる結果として、ウェブサイト側で「訪問回数」を数えることが可能となるのであり、同様に、「利用者に関する情報」を把握することがウェブサイト側で可能になるのである。cookie に「訪問回数」や「利用者に関する情報」を書き込んで保存させることが通常行われているわけではない。
このような誤った cookie の用語説明は、本件報告書案のみならず、今日の日本において広く出回っており、事業者等のプライバシーポリシーの中にも散見される典型的なフレーズとなっている。この誤った説明が、プライバシーポリシーの不適切な書き方を助長していると考えられるため、この誤りは看過できないものである。
具体的には、事業者等のプライバシーポリシーにおいて、cookie の扱いについて記述されることが多いが、その中で、「cookie にお客様の個人情報を記録することはありません」といった類いの記述が散見される。そういった事業者が、実際には、cookie に識別番号を書き込んで利用者や端末を識別することによって、「お客様」のパーソナルデータをサーバ側で記録し把握していることが多い。
そもそも、プライバシーポリシーにおいて cookie に関する説明が求められるのは、cookieを用いてウェブサイト訪問者の識別をどのように行っているか（又は行っていないか）を表明する必要があるからであり、そのような場面において「cookie に個人情報を記録することはありません」と説明するのは、cookie の仕組みを誤解しているのが原因とはいえ、欺瞞的な行為である。
本件報告書案は、まさに、cookie による利用者や端末の識別を介して蓄積されるパーソナルデータの取扱いを話題の一つとしているのであるから、むしろこのような誤解を解消すべく、適切な用語解説が求められるところである。
また、解説文に「認証など利用者の識別に使われる」との記述があるが、「認証など」との説明は不適切である。「認証」は「識別」の例示には当たらない。利用者の「認証」（パスワードを用いた利用者認証等の）の結果を「利用者の識別」に継続させて利用することはあるが、利用者認証を経ないで、初めから乱数による識別番号を与えて利用者や端末を識別する使い方も一般的である。すなわち、「認証」は「識別」と共に用いられることはあるものの、「識別」において「認証」を必ずしも必要としないのであり、両者は独立したものである。そして、cookie は「識別」に用いられるものであるが、「認証」のために用いられるわけではない。
したがって、「認証など利用者の識別に使われる」という説明文は不適切である。
以上の理由から、以下の改善案を提案する。
「ウェブサイトの提供者が、ウェブブラウザを通じて訪問者の PC 等に一時的にデータを書き込んで保存させる仕組みで、典型的には、識別番号を書き込むことで利用者や端末を識別するのに用いられることが多い。クッキーで利用者や端末を識別することによって、ウェブサイトの提供者は、利用者に関する情報をサーバ側で記録して把握できるようになる。」
【独立行政法人産業総合技術研究所セキュアシステム研究部門セキュアサービス研究グループ】

　
2013.9.12　追記
表中、慎重パーソナルデータの具体例に「移動体端末に蓄積される以下のようなパーソナルデータ」を追記しました。
　
タグ ：
#パーソナルデータ
#プライバシー
このエントリーをはてなブックマークに追加
2013年05月23日08:30

「パーソナルデータ」を公式用語にしたのは誰か

カテゴリ
法務
＿情報法務
　
最近、ウェブサービスにおける個人情報の取り扱いが論じられる際に、「個人情報」ではなく「パーソナルデータ」という語が使われるようになっています。

これは、世界経済フォーラムが2011年1月に公表した報告書“Personal Data: The Emergence of a New Asset Class（PDF）”において、“Personal data is the new oil of the Internet and the new currency of the digital world.（パーソナルデータは、インターネットにおける新しい石油であり、デジタル世界における新しい通貨である）”と謳われたことがきっかけで日本の有識者に広まり、好まれて使われるようになった語です。そこから発展して、法的な文脈において日本語で単に「個人情報」と表現してしまうと悪法と名高き個人情報保護法第２条において定義された「個人情報」の定義と同一視されてしまって不都合が生じる場面が多いことから、保護法でいう「個人情報」よりも広い意味での、「個人に関する情報」を意味する語として、加速度的に使われる頻度が高まってきました。

説明において「個人情報」では不都合が生じる場面とはどんな場面か？その実例が、『良いウェブサービスを支える「利用規約」の作り方 』で私が書いたP29ｰ30の一節にもあります。ここでは、「広義の個人情報」と「狭義の個人情報」という語を使いわけ、個人情報保護法で保護される情報と保護法では保護されない情報の違いについて図まで使って長々と一生懸命説明しているのですが（苦笑）、ここでいう「広義の個人情報＝パーソナルデータ」という一言で表すことができると、とても便利なわけです。

Personalinfo1

さて、この「パーソナルデータ」、現在ウェブサービスと個人情報の取扱いにおける実務上の公式ガイドラインとなっている『第二次提言』や『スマートフォンプライバシーイニシアティブ』においては全く使われていなかった語です。では日本において、公式にはいつ頃から何をきっかけに使われはじめ、一般に広まったのか？出自が気になったので、Googleとtwitterの期間指定検索で時期を区切りながら調査してみました。すると、2012年10月30日の総務省による「パーソナルデータの利用・流通に関する研究会」の発足が契機となって、ネット上でこの語が使われ始めたことが見てとれました。先日、この報告書のパブコメ募集が話題にもなっていたので、聞き覚えがある方も多いかと思います。

searchpi1searchpi2


一方、こちらも先日報告書が提出されましたが、経産省もIT融合フォーラムパーソナルデータWGというものを立ち上げて以降、この言葉を公式に用いるようになっています。念のためこのWG発足日を確認してみると、2012年11月28日。ほほう、つまり総務省が10月にオフィシャルに使い出して、経産省が11月に遅れてこれをフォローしたと。そうなのかぁ・・・と思って調査終了しようかと思ったところ、そのWG報告書（PDF）P1の脚注にこんな「主張」が・・・。

パーソナルデータとは、2005 年（平成 17 年）より経済産業省において推進した「情報大航海プロジェクト」で用いられた「パーソナル情報」の概念を引用しており、個人情報保護法に規定する「個人情報」に限らず、位置情報や購買履歴など広く個人に関する個人識別性のない情報を含む。なお、2012 年（平成 24 年）より総務省で開催されている「パーソナルデータの利用・流通に関する研究会」においても上記の概念と同様に個人識別性を問わない「個人に関する情報」を「パーソナルデータ」と定義している。

“概念を引用”というのがもはや何を言っているのかよくわからない言い回しですが、とにかく、経産省としては「パーソナルデータも、もともと俺達が先に考えた概念のようなもんです。総務省が後から真似しましたけどね（キリッ」というわけです。ちなみに、その情報大航海プロジェクトにおける「パーソナル情報」の定義がこちら。

通常、生存者に関する情報であって、特定の個人を識別することができるものを個人情報といいますが、それだけではなく、行動や視聴など個人と連結可能な情報を総称してパーソナル情報といいます。これは情報大航海プロジェクトで定義した考え方です。
そして、関連制度で明確な定義のされていない情報についても、情報大航海プロジェクトでは定義を行っています。大きく「識別情報」と「非識別情報」に分けて定義をしています。
｢識別情報｣は、｢個人を識別する目的で使用される情報｣を指します。例えば、名前、住所などが該当し、情報大航海プロジェクトでは、識別情報とそれ以外の境界線を調査しています。
この境界線を明確にすることで、｢個人情報ではない状態｣を定義しようとしているのです。
｢非識別情報｣は、「それだけで個人を識別することはできない情報」を指します。例えば、生年月日、家族人数、年収などがそうです。
これに加え、情報大航海プロジェクトでは、現状の関連制度において何も定義などされていない行動や購買、視聴などに関する情報も「その他情報」と定義しています。


DAIKOUKAI


まるで発明者であるかのような言いっぷりですが（苦笑）、とにかく、2011年に世界経済フォーラムが流行らせるだいぶ前から考えてたんだぜーということらしいです。

こういうところからも、個人情報・プライバシー保護行政についての総務省と経産省の骨肉のイニシアティブ争いが見て取れますが、いろいろなWGがそれぞれの省庁で乱立し、報告書ができ、パブコメで意見を求められ、さらにその文書の中で微妙に違う定義で言葉を使われたりすると、混乱するのは国民であり企業ですので、そろそろどちらが大将なのかを決定していただくべき時が来たのかな、と思っております。
　
タグ ：
#パーソナルデータ
#パーソナル情報
#個人情報
#個人情報保護法
このエントリーをはてなブックマークに追加
2013年05月12日08:00

経産省の「パーソナルデータワーキンググループ報告書」を読んでの懸念

カテゴリ
法務
＿情報法務
　
経済産業省が「ＩＴ融合フォーラムパーソナルデータワーキンググループ報告書」をリリースし、これを受けて日経が下記のように報じていました。

▼個人情報、企業の利用に指針　消費者が開示選択 経産省、ビッグデータ活用を後押し（日本経済新聞）
経済産業省は企業が顧客の個人情報を二次利用するための指針をまとめた。物品の購入履歴や性別など消費者が同意した情報に限り、他の企業への販売などを認める。欧米では膨大な個人情報「ビッグデータ」を活用する動きが加速している。日本でもプライバシーに配慮した指針策定で企業の個人情報利用を促し、顧客データの分析を通じた市場開拓を後押しする。経産省は10日に公表する指針に基づき、年内にも個人情報を二次利用する企業向けの具体的なガイドラインを作成する。

この記事中の「個人情報を二次利用するための指針」という表現は、法的な厳密さを欠いた表現なので、正確なところは、経産省のサイトにアップされている資料をご確認いただいた方がいいと思います。

無理やり短くまとめると、これまで企業が長々とした利用規約（プライバシーポリシー含む）により“形式上の同意”をとってサービスの利用者からパーソナルデータを収集し“ユーザーに意識されないように”利用・第三者提供していたのを、確かな同意を取る方法を決めたり、審査・認証機関の設置をしたりするなどにより、企業が堂々と個人情報の利活用ができる道を作るべく経産省がリードしていこう、という指針。その具体的方法論の代表的なもの・目玉として、OpenID Foundation 理事長の崎村先生が以前から自身のブログ等で提唱されていた「情報共有標準ラベル」のアイデアがフィーチャーされています。これは利用規約とは別に、企業ごとに異なっている利用規約の中の重要な項目を定型化し、ユーザーにとって見やすいものにするというアイデアです。

hyoujyunlabel

実はこの「情報共有標準ラベル」のアイデア、私も以前から気になっていて、こっそり自分の勤め先の利用規約をこの形式で試しに作ってみたこともあります。しかしながら、これを運用するのは、メリットよりもデメリットの方が高い、と感じました。

利用規約の中でも、ここで議論の対象となっているプライバシーポリシーに求められる機能は２つです。

１）主に石橋を叩いて渡るユーザー向けに、個人情報の利用について事前のリスク開示を行う
２）リスクが現実のものとなった時のために、企業・ユーザー間の責任の所在を文言で残す

企業にとって困ったことなのかはたまた都合のいいことなのか、ほとんどのユーザーは、その商品・サービスの利便性とそこから生まれる企業ブランドを信頼し、利用規約を読まずに同意ボタンを押してしまいます。『利用規約の作り方』本にも引用させて頂いた株式会社ネットマイルの2012年調査によれば、利用規約を事前にちゃんと読む＝石橋を叩いて渡るユーザーはわずか15％。今回の経産省指針もまさにここを課題視しているからわけですが、情報共有標準ラベル化によって１）を簡便にする努力をしても、このタイプのユーザーが読んで理解してくれる気がしなかったのです。ラベル化すれば視認率が上がりそう、と言われればそんな気もするのですが、では実際のところ、スーパーで食品を買うときに食品ラベルを読んで買う人って、何％いらっしゃるのでしょうか？ラベル化等の工夫による契約内容の視認率・理解度向上の度合いについて、少しでも実証実験などが行われたのなら参考になったのですが、それがなかったのが１つめの懸念点です。

そして、一度でもシリアスに利用規約を作りそして運用までしたことがある方ならピンとくると思いますが、２）の責任の所在を法的な文言の解釈で争う際には、利用規約上の厳密な表記とそれを簡略化したラベル上の表記との齟齬が、これまでに無かった新たな紛争の種にさえなりかねないという点が２つめの懸念点です。食品においては食品ラベル以上の説明は必要ないのかもしれませんが、ウェブサービス等においては、民法の任意規定を契約内容に沿って書き改めるという契約法的機能の観点から、ラベルとは別の利用規約本文自体が無くなることはないでしょう。すると、上図表にもあるとおり、利用規約本文についてはリンクによってそれを示し読んでいただかざるを得ません。よかれと思って作ったラベルが厳密さを欠いたせいでユーザーを混乱・誤解させ、企業としての法的責任が重くなっては本末転倒です。今回のワーキンググループに参加されていた法律に詳しい他の委員の方から、この「表現の齟齬による法的責任の所在」について問うたり議論がなされた形跡が（少なくとも報告書上は）なかった点は残念でした。ちなみにこの経産省の動きと法律論の整理に関して、twitterで岡村先生もこのようにコメントされていました。


私も同感でして、いったん年内に経産省が出すというガイドラインをまずは待ちたいと思うものの、法的に厳密な検討が進まないうちは、私自身は、利用規約そのものの文章・構成・表現を分かりやすくする工夫を追求する道を追求したいなと考えているところです。


さらに蛇足ながら、日経の同記事によれば、
ビッグデータの活用と個人のプライバシー保護の線引きは、欧米で議論が先行している。米国が商業利用の後押しに軸足を置く一方、欧州連合（ＥＵ）はプライバシー保護を重視している。日本は企業の利用促進に重きを置いて制度設計を進める。
とのことですが、この点についても懸念があります。私自身、世界の個人情報・プライバシー絡みのニュースを追いかけつつ、仕事絡みで欧米グローバル企業のプライバシー政策を耳にする限り、世界の趨勢は、経産省が目指す方向性とは逆の、EU型の流れが優勢になるのではという観測をもっているからです（それを望んでいるわけではないのですが）。

個人情報・プライバシーの問題は、日本国内だけが基準がはっきりしたところで、結局世界が求める基準に沿っていなければデータを合法的に越境させることができず、意味がないどころか逆に混乱をきたしかねません。日本政府としてそのあたりの「世界の風向きの見誤り」もないようにしていただきたいと願います。
　
タグ ：
#経済産業省
#パーソナルデータ
このエントリーをはてなブックマークに追加
記事検索
最新記事
タグクラウド
月別アーカイブ
プロフィール

はっしー (Takuji H...

リンク
サインのリ・デザイン