情報法制研究会 第2回シンポジウム
2015年6月28日

審議中
法案
改正個人情報保護法に残された課題と今後の展望

国立研究開発法人 産業技術総合研究所

高木 浩光
1

•

目次 - 前回からの進捗を踏まえて直せなかった問題点2つ•••

第三者提供に係る記録作成等義務が、本人同意による場合にも、一つの個人データを提供するだけでもかかってしまい、深刻な過剰規制となる問題

匿名加工情報の規定に矛盾があり、事業者の正当な情報処理の慣行に無用な義務がかかる（又は、解釈に無理があり、改正の意義が失われてしまう）問題「個人情報」定義の将来展望

2

•
•
•

第三者提供に係る記録義務の件

本研究会の前回シンポジウムでは（3月28日）

本人同意での提供にも義務がかかるのはミスでは？としていた崎村氏の担当室への問い合わせで以下が発覚（4月1日）•••「本人同意のときも記録義務とするのが当然」と真顔で回答「1個の情報でも記録義務とするのが当然」と真顔で回答
すべての個人データの流通を記録させるつもりらしい➡ これはあかん•••

経済団体に協力を求めたが（4月中旬）「問題ないと考えている」とのつれない返事

高木&鈴木が担当室を追求（5月11日まで）•

さまざまな言い訳が用意されていた3問題を解消する条文修正案•

25条1項「個人データを第三者に提供するとき」ではなく、「個人情報データベース等を第三者に提供するとき」とする••「23条2項の規定により第三者に提供するとき」に限定する•
12月の骨子案に戻すということオプトアウト方式で提供される場合に限ることにより、本人同意がある場合

•

が除かれる

「個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を第三者に提供するとき」とする••

83条に新設される個人情報データベース提供罪の規定に倣って1個ずつバラバラに提供するという脱法行為を防止する••

83条でも同様の脱法が考えられるところ、行政機関個人情報保護法にも同様の規定（53条）があり、これまで運用されてきている

行政機関個人情報保護法では、53条（個人情報ファイルの提供）と54条（保有個人情報の提供）を区別しているのだから、同様に解釈すればよい
4•26条1項「第三者から個人情報データベース等の提供（前条第1項に定める提供に限る。）を受けるに際しては、」とする••••26条1項 ただし書きを削除•

受ける側も「個人情報データベース等」に限定受ける側も当然に（散在情報ではなく）処理情報として取扱うことになる

括弧書きで25条と対向する行為に限られることを明確化•

上記括弧書きにより不要となるため

26条1項2号「当該個人データの取得の経緯」を「当該個人情報データベース等に含まれる各個人データの取得の経緯」とする••取得の経緯は個人情報データベース等単位で一律でなく個々の個人データ毎に異なるものとなり得るため

26条3項「当該個人データの提供を受けた年月日」を「当該個人情報データベース等の提供を受けた年月日」とする

5

•
•
•

担当室の言い分個人情報データベース等としないのか？

「1個ずつの提供により脱法されるので」（国会答弁あり）

行政機関個人情報保護法に倣えばいいのでは？

•••「行政機関法を参考にしたものではない」（国会答弁なし）➡ 役人の仕事ぶりとしてありえないデータベース提供罪（83条）はどうするの？

•「1個ずつの提供による脱法は本罪に該当するものとして法務省の見解を得ている」（国会答弁なし）

なら25条も「個人情報データベース等」でいいのでは？

•「いずれにせよ（法務省見解により1個でも該当するのだから）そのように修正しても違いは小さい」（国会答弁あり）➡ 法務省見解を曲解している疑い（前提となる行為態様を見ていない）
6

国会での審議•八百屋が隣の魚屋に客の連絡先を伝えるケース
••
答弁の変遷
•
•
•
•
•

電話帳から抜粋して本人同意で提供する前提

こんなケースに記録義務を課すのは非常識だと指摘する趣旨
当初、委員会規則で記録内容・方法を軽易にすると繰り返し答弁
軽易にではなく義務がない委員会規則にしてくれと議員は追求大臣がおもわず不規則答弁「先ほどの点、恐らく、個人情報の第三者提供には当たらないのではないか」→ 後に訂正

最後には「八百屋のケースは（都度了解を得るケースなら）、本人からの委託であるとも言え、第三者提供に当たらない」などと答弁•

事前同意なら「法の趣旨から見て必要ないとする規則も考えらるが、やや法文を逸脱するというなら、こういうことをしているというふうなことだけを書くというふうな最も簡易な方法もあり得る」と答弁•

どうやって線引きするの？ 結局「個人情報データベース等」に戻るのでは？
7•Facebookの閲覧が25条・26条の義務になる件•

タイムラインやプロフィールの公開は、本人同意に基づく第三者提供との位置付け•

アイルランド・データ保護コミッショナーオフィスによる、Facebook-Irelandについての監査レポート（2011年）でもその位置付け•衆議院での質疑•

質問「SNSやフェイスブックなど、第三者提供をした場合、本人同意があるにもかかわらず記録を残さなければならないのか、果たしてそれが必要なのか」•

答弁「本人がフェイスブック等にアップする場合に、基本的に大体そのまま載るようになってございますので、そういう、載るものを本人が全てコントロールできるようなものについては、そもそも提供に当たるのかという問題もあろうかと思います。実際に、そのような場合に、例えば本人、あるいはフェイスブック等の、そういうSNSを運用している会社に全てそれを義務づけるのはやや無理があると考えられますので、それらにつきましては基本的に必要のない方向で検討してまいりたい」➡ 国際的常識すら無視し「提供に当たらない」ことにして辻褄合わせに終始
8

•

問題の根本

散在情報の取扱いまで法規制しようとしている•••

表現の自由や知る権利を制限しかねない
現行法の趣旨を逸脱している•

現行法は表現の自由に配慮して旧法案にあった散在情報に関する努力義務規定「基本原則」を削除した経緯がある担当室の言い分•「現行法だって個人データ（1個ずつ）が義務対象だ」➡ それは散在情報ではない（一旦個人情報データベース等に入ったものは義務の対象となる）ので確かに義務がかかっているが、本人同意があれば義務がないのだが？

➡ 受領者側の義務（26条）が散在情報対象なのが最大の問題••受領したものを個人情報データベース等に入れない場合でも義務対象見ただけでも聞いただけでも対象（「提供を受ける」とは？）
9

どのレベルに記録義務を課すか① 散在情報 to 散在情報提供（個人情報）民間部門に規制なし*③ 処理情報 to 処理情報重い義務

提供（個人データ）

以ての外② 処理情報 to 散在情報

別案

法案 修正案提供（個人データ）

軽い義務

散在情報として取得するだけ
10

個人情報データベース等を構成する個人情報として取得④ 処理情報 to 処理情報提供（個人データベース等）

個人情報データベース等として取得

•••

匿名加工情報規定の矛盾の件

本研究会の前回シンポジウム（3月28日）では••3月10日と3月28日の答弁の矛盾を指摘•「照合しなければ匿名加工情報で、照合するなら個人情報だと？」「匿名加工情報になって困るなら照合するようにすればよいと？」

高木&鈴木が担当室を追求（5月11日まで）•

元データと提供元基準で容易照合できないデータのみが匿名加工情報となり得るとの新たな見解が出た•

仮名化データ（k=1の）は匿名加工情報になり得ないことになる参議院の審議で明確化が進んだ（5月28日）••••「照合しなければ匿名加工情報で、照合するなら個人情報」との解釈は取り下げられた••

上記の新見解に沿った答弁

それでもなお問題は残っている
11

担当室見解の曖昧性（3月時点）

匿名加工情報は個人情報に当たらないとする見解
その理由がやや変転している

3月10日時点（衆議院予算委員会第一分科会 答弁）•「匿名加工情報は特定の個人を識別できず、復元できないように加工する。さらに、当該事業者も含めて他の情報と照合して再特定化することを禁止している。したがって、匿名加工情報はそもそも作成に用いた個人情報と照合することが禁止されているので、容易照合性は認められないと解釈している。したがって、匿名加工情報は個人情報に当たらないと考えている」➡ 「してはならない」との規定によって「できるもの」該当性が否定されるというのは、法技術論的にありえないと指摘•

そんな解釈の前例がどの法令にあるのか
12•

3月25日時点（衆議院内閣委員会 答弁）•（委託先に氏名等をマスキングして提供する処理について）「その場合でもたぶん通常は、別のIDと容易に照合することにより個人情報になり得るものとしてその一部は匿名化されているということではないかと思うので、それ全体としては個人情報となることがたぶん多いんではないか。そうではなく切り離されて匿名加工情報として管理されるものが匿名加工情報であるので、……」•元データと照合することを予定しているときは、照合性があることになり個人情報となり、照合禁止規定を守るなら照合性がなく個人情報に該当しないもの（＝匿名加工情報）となる？という話のようだが➡ 匿名加工情報か個人情報かが、行為者の意思で決まるということになるが、そんな規定は法技術論的にありえないと指摘•

そんな規定の前例がどの法令にあるのか
13•

その後の審議参議院内閣委員会（5月28日）での確認質問

••
•
•
•
•

質問「匿名加工情報定義の「識別することができない、かつ復元することができない」とはどういう状態か」

答弁「まず、識別することができないというのは、それらの情報を合わせても特定の個人を識別する、これができない、要するに個人情報には当たらないということ」

質問「そうすると、匿名加工情報になれば容易照合性は関係なくなるんじゃないんですか」

答弁「個人情報でございませんので容易照合性云々の議論には当たらないと、そういうことでございます。」

質問「容易照合性がなくなるから匿名加工情報、これ第三者利用も含めて自由にできるということにしているわけですね。容易照合性の問題がなくなった状態が匿名加工情報だということでよろしいですね。」
答弁「むしろ、個人情報でございませんので容易照合性云々の議論には当たらないと、そういうことでございます。」
14

••
•

質問「じゃ、通常一般に復元することができるような加工情報は法律上言う匿名加工情報にはならない、当たらないという理解でよろしいですね」
答弁「御指摘のとおりで」

質問「つまり、通常一般的に、今現在、誰でも使えるような技術を使ってはそれは戻せないということでいっていただければそれは容易照合性に当たらないわけですから、そこの確認と、逆に言えば、今一般的に復元することができるように加工された情報というのは法律上の匿名加工情報には当たらないということでよろしいですかというのが私の質問です。」••••

答弁「法律的には当たらないというふうに考えていただいて結構」

質問「つまり、それは個人情報のままだということでよろしいですね。」
答弁「そういうことであります。
……

質問「これ、かねてから衆議院でも質疑出ていた…事業者が安全上の観点などなどから全く別の目的で加工化した、仮名化した、それは法律で言う匿名加工情報には当たらないというのが政府見解であるということでよろしいんですね。

15•

つまりどういうことか

ここで確認されていること••復元できるように加工された情報は、容易照合性があり個人情報である。また、定義より匿名加工情報ではない。とされた何が解消されたか•••「照合しなければ匿名加工情報で、照合するなら個人情報」というおかしな解釈が取り下げられた

安全管理措置として従前行われている委託先への加工データに匿名加工情報の義務がかかることはないことになった•

委託先に渡す加工データは通常k=1の仮名化データであり、k=1の仮名化データは匿名加工情報になり得ないとされたことによるここまででは依然として残る問題•従前行われてきた、k-匿名化して自社内で目的内で扱う処理で、匿名加工情報の義務がかかってしまう16

•

答弁「委員御指摘の、形式的に匿名化を施したというふうなもの、加工を施したという場合にまで匿名加工情報としての取扱いを求めるものではございません。」•

質問「そうすると、一体どういう場合に、どういう時点に法律上、匿名加工情報に当たるものになるのかというのは、誰がどう判断するのかということが非常に曖昧にむしろなるのではないか。……要は作成した事業者の側が公表する公表しない、意図を持って作成する作成しない、それをもってこの法律上の三十六条の定義に当たるか当たらないかが判断されるという整理でよろしいんですか。」•答弁「先生御指摘のとおり、どこでまさに匿名加工情報になるのかというのが明確化されるというのは、まさに公表されたときだというふうに考えております。」➡ まあたしかに、この整理で、「k-匿名化して自社内で目的内で扱う処理」にまで義務がかからないようにできるわけだが……
17•

質問「そうすると、事業者が個人情報を加工して、匿名加工情報を作ったと。ルール、基準にのっとって作りましたと。しかし、例えばそれが不十分な匿名化だったというふうになるとしましょう。事業者はそのつもりで加工してそう公表したんだけれども、でも要件は実は満たしていないから匿名加工情報にはならない、つまりそれはいまだに個人情報という扱いになるんですか。」•••

答弁「御指摘のとおりでございます。」

質問「それはどこの段階で気付くんでしょうね。…」
答弁「御指摘の場合…個人情報の不適切な第三者提供ということに当たる…その場合には個人情報保護委員会からの指導、命令…その端緒といたしましては、そういう公表されているものを個人情報保護委員会がチェックする…苦情等を端緒とする場合もある…」➡ 追求すべきはそっちではなく、匿名加工情報に当たらないというつもりで公表しなかった場合にどうなるのか？ なのだが……
18

•

さらに残る解釈上の疑問点

公表したら匿名加工情報で公表しなければ該当せず？

•ならば、個人データから加工したk-匿名化データ（個人情報に該当しない）は、「公表しない」ことによって、目的外利用だろうが第三者提供だろうが、義務から逃れて扱えるのでは？

•••それを許さないなら、今度は、自社内で目的内利用するためのk-匿名化データ作成に、匿名加工情報の義務が無用なのにかかってしまう

そもそも、個人情報でないのだから現行法でも規制されていな
いのだけどもそうするとこの改正はいったい何の意味があるの？

•••

単純に規制強化であり規制緩和した部分はゼロ？

あるいはグレーゾーン解消であって規制強化もゼロ？

法解釈に自信があるなら公表せずにk-匿名化して自由利用、法解釈に自信がないならk-匿名化を公表して匿名加工情報取扱事業者となる？
19

こういうことなのか？
法36条〜39条に従って取扱う義務（第三者提供、自社内目的外利用をするための）

個人情報

これの区別を公表の有無で？

匿名加工情報法の義務がない取扱い（自社内目的内利用）

匿名加工情報でない
匿名加工されたデータ法の義務がない取扱い（利用に当たらない）

匿名加工ですらないデータ（統計データ相当）
20

再掲：予想していたものと出てきたもの
予想していたもの
個人情報提供者
において提出された法案

匿名加工情報個人情報

匿名加工情報グレーゾーン解消

23条から除外

個人情報

現行法でも提供可

匿名加工情報個人情報

匿名加工情報

受領者
において

21

•

結果どうなるか仮名化（k=1）でも匿名加工情報にできる場合もあるとする大元の構想は消えたことになる

パーソナルデータ検討会第2回

鈴木正朝委員提出
資料より

22

•
•

こうできたはずだったのにk=1の仮名化データも匿名加工情報として扱える•••

条文修正が必要（次ページ以降参照）

個人データでありかつ匿名加工情報である

k=1なので元データとの照合により特定の個人を識別できるデータ

委員会規則により一定の場合に限りこれを認める•••

匿名加工情報として扱うのを認める基準は委員会規則で絞れる
例えば医療データは認めるが乗降履歴は認めないといった基準•

2年前のSuicaの事例は委託でできるし、k-匿名化でもできる

医療データの活用は、複数の医療機関からのデータの結合が必要なので委託ではできないし、また、k-匿名化前提では使えない

23

客体の構造
匿名加工情報

匿名加工情報であって…ために必要なものとして委員会規則で定める基準に従い個人情報を加工することにより作成されたもの

2条9項定義23条1項の規定にかかわらず第三者提供することのできる
匿名加工情報（第三者提供が許される匿名加工情報）（委員会基準の匿名加工情報）
36条1項より
匿名加工情報委員会基準の匿名加工情報委員会基準でない
匿名加工情報24

法案が想定する前提① 委員会基準でない匿名加工情報 は違法な存在

36条1項 個人情報取扱事業者は、匿名加工情報（…）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

② 匿名加工情報 = 委員会基準の匿名加工情報
法令遵守の前提下において③ 委員会基準の匿名加工情報

個人データ =
参議院での答弁より 暗黙の前提④ 匿名加工情報 = 委員会基準の匿名加工情報= 第三者提供が許される匿名加工情報
個人データでないものは第三者提供できる

この想定により、「匿名加工情報は第三者提供できる」といった明文規定は置かれていない
25

•

本来の想定

本来やりたかったはずのことは① 委員会基準の匿名加工情報 ならば第三者提供が許される匿名加工情報 ということにする
条文の例

修正36条1項 個人情報取扱事業者は、第23条第1項の規定にかかわらず、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い個人情報を加工することにより匿名加工情報（…）を作成して、当該匿名加工情報を第三者に提供することができる。

② そのような作成・提供に際して義務を課す
36条2項 安全管理、3項 作成したときは公表、4項 提供するときは公表し提供先に明示、5項 作成して自ら扱うときの照合禁止、6項 安全管理・苦情対応
37条 再提供したときは公表、38条 受領したら照合禁止、39条 安全管理
26

•

修正案

36条1項「23条1項の規定にかかわらず、......ものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工することにより匿名加工情報を作成して、当該匿名加工情報を第三者に提供することができる。」とする•

36条2項〜3項「個人情報取扱事業者は、第1項の規定により匿名加工情報を作成したときは、」とする••

あらゆる匿名加工情報ではなく、あくまでも36条1項に基づく第三者提供ために作成される匿名加工情報に限定する（以下同じ）

36条4項「個人情報取扱事業者は、第1項の規定により匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、」とする•

36条5項~6項 削除
27•

37条1項「匿名加工情報取扱事業者は、第23条第1項の規定にかかわらず、前条第1項の規定又は本項の規定により第三者から提供を受けた匿名加工情報を他の第三者に提供することができる。」とする•

個人情報取扱事業者から受ける場合（一次提供）と、匿名加工情報取扱事業者••から受ける場合（二次提供）の両方を想定（以下同じ）

37条2項「匿名加工情報取扱事業者は、前項の規定により匿名加工情報を第三者に提供するときは」とする

38条「匿名加工情報取扱事業者は、第36条第1項の規定又は前条第1項の規定により第三者から提供を受けた匿名加工情報を取り扱うに当たっては、」とする•

39条「匿名加工情報取扱事業者は、第36条第1項の規定又は第37条第1項の規定により第三者から提供を受けた匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取り扱いに関する苦情の処理その他の......」とする

28

•

自社内目的外利用を規定したい？

どうしても入れろと譲らないなら➡ 前回シンポジウムで述べた通り必要のない規定だが••2項として以下を挿入する

2 個人情報取扱事業者は、第16条第1項の規定にかかわらず、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い個人情報を加工することにより匿名加工情報を作成••して、当該匿名加工情報を第15条の規定により特定された当該個人情報の利用目的の達成に必要な範囲を超えて取り扱うことができる。

現案5項を削除とせずに以下とする

6 個人情報取扱事業者は、第2項の規定により匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
29••

個人情報定義の件

本研究会の前回シンポジウム（3月28日）では•与党修正で「特定の」が入らなければ（元の政府案であれば）端末IDを含め様々なアカウント情報も含まれただろうとした•政令で限定されるが、法で定める枠としては入るだろうと

しかし国会審議で端末IDは入らないと明言

••
•
••

その理由が「端末IDは機器に付番されたものであって人に付番されていないので」というもの
衆議院では「携帯電話番号が入る入らない」の議論に終始

朝日新聞報道「端末ID「個人情報じゃない」政府、改正法で方針」（5月9日朝刊）
参議院で「端末IDが入らないのはまずい」と追求が相次いだ
国際的整合性のため

30

•
•

参議院での審議質問「仮に個人情報の定義や範囲が日本とEUで違いがある場合、EUから十分性の認識を受けることに支障はないのでしょうか。」

答弁「個人データの取扱いに関する助言を行う機関として二十九条作業部会、これは各国にそういう立法を助言する機関でございます。その同機関の個人データの範囲においての意見書によれば、携帯電話番号と端末IDはいずれもEUデータ保護指令が定める個人データに該当するとされております。

一方で、現在さらにEUではこの保護指令を法律化する、強制的に法律化するような動きもございまして、その中にも入ってございますが、これは結構難航しておりまして、ここ二、三年議論がなされていると。

アメリカも、御指摘のとおり、そういう草案は出ておりますけれども、まだ議会での議論にも入っていないという状態になってございます。

これらの状況をよく見ていく必要が今後あるんだろうなということは十分認識をしておりますが、他方、EUの十分性の取得に関しましては、これまで公表されている資料等から推測されるＥＵが日本が不十分としている点につきましては、……
今般の法改正において必要な対応を取っているところでございます。」
31

•

私の意見

•
•

次の改正でどうするか情報の種類で決めるのは無理がある

事業者が一人ひとりの情報として「個人情報データベース等」を構成するか否か（特定できるかは問わない）とすべき•
例えば今後のIoTで集まるデータなど••

元々現行法は散在情報を保護の対象としない趣旨であったはずであり1個いっこバラバラのデータは個人データにあらず。同じデバイス等にひも付けて連続して蓄積したデータが個人データとなり得るもので、かつ、取••扱事業者が、ある人に関する情報として扱う意図（事業として）がある場合に該当するとすべき

客体の該当性に意図を入れるのは困難…というが•今回の匿名加工情報の解釈答弁でも意図を要件にしてるしw事業の外形的事実から十分推定できるのでは？（個人情報データベース等の形に限っており、事業の用に供していないものは元より対象外なので）
32

••
•

今回の政令はどうなる？

国会答弁では例示列挙と、定性的な限定を示すつもりだとされた

定性的な限定として出てきそうなのは•••

唯一無二性、悉皆性の他、単射性や永続性、変更不能性などが挙げられるのかもしれない

私の意見

••

そういう問題ではないのでやめてほしい

そういう規定を入れるとそれで固定されてしまうのでもし定性的な限定規定が入るなら•かつてあった「準個人情報」的なもの（義務の強弱が区別されるのを想定して）との境目の基準として将来残す道はあるか
33

パーソナルデータ検討会第8回
鈴木正朝委員提出資料より34