Title

パーソナルデータ利活⽤のためのリスクマネジメント（1） : プライバシー影響評価（PIA）の制度化

Author(s)岸本, 充⽣Citation

ELSI NOTE. 2024, 39, p. 1-26

Version Type VoR
URL

https://doi.org/10.18910/94924

rights
Note

Osaka University Knowledge Archive : OUKA
https://ir.library.osaka-u.ac.jp/
Osaka University

ELSI NOTE No.39

2024 年 4 ⽉ 1 ⽇

パーソナルデータ利活⽤のためのリスクマネジメント（1）プライバシー影響評価（PIA）の制度化

Authors
岸本 充⽣

⼤阪⼤学 社会技術共創研究センター センター⻑（2024年4⽉現在）
データビリティフロンティア機構

1

教授

⽬次
はじめに ........................................................................................................................................3
1．⽶国の動向 ..............................................................................................................................4
2．英国の動向 ..............................................................................................................................8
3．オーストラリアの動向 ......................................................................................................... 10
4．カナダの動向 ........................................................................................................................ 13
5．ニュージーランドの動向 ...................................................................................................... 16
6．EU の動向............................................................................................................................. 19
7. 国際標準化委員会（ISO） .................................................................................................... 21
おわりに ..................................................................................................................................... 25

2

はじめに
パーソナルデータの利活⽤やパーソナルデータを⽤いて開発された AI の実装には様々なリスクを伴う。これらは次々と新しいものが出てくる以上、安全か危険かという⼆分法、あるいは、適法か違法かという⼆分法では扱うことが困難である。また、個⼈情報保護法においても、「違法」
だけでなく「不当」という表現が⽤いられている（第 19 条など）ように、適法と違法の間のグ
レーな利⽤について何らかの判断が必要になってきている。すなわち「リスク」概念が必要不可
⽋になってきている。情報技術のリスクマネジメント⼿法としては、いくつかの国や地域ではすでにプライバシー影響評価（PIA）として制度化されており、主に公的機関によるプロジェクトを対象として活⽤されている。EU で 2018 年から施⾏されている⼀般データ保護規則（GDPR）
では、⾼いリスクを発⽣させる個⼈データの処理について、「データ保護影響評価（DPIA）」が義務付けられたが、対象は公的機関だけでなく⺠間部⾨にも広げられた。⽇本国内でも、2021 年
6 ⽉に開催された第 177 回個⼈情報保護委員会において、個⼈情報保護委員会は、⺠間組織向けに PIA の取り組みを促進することを表明している1。
公的機関による個⼈データの利活⽤を対象に PIA の制度化が始まった諸外国に対して、⽇本では
⺠間や学術レベルでの取り組みが先⾏しつつある2。
PIA のやり⽅は対象に応じて多様でありうる
ので必ずしも標準化・共通化する必要はないものの、先⾏する取り組みを知っておくことは国内における今後の実践に役に⽴つだろう。
本稿では国内における今後の PIA の実践・普及のために、すでに PIA が制度化されている諸外国の PIA の⼿法を簡単にまとめたものである。PIA へのアプローチとしては、チェックリスト型とリスクアセスメント型、両者のミックス型などが⾒られる。第 1 節では⽶国、第 2 節では英国、
第 3 節ではオーストラリア、第 4 節ではカナダ、第 5 節ではニュージーランド、第 6 節では EUの動向をまとめた。第 7 節では国際標準化機関（ISO）による規格を紹介した。

1

第 177 回 個⼈情報保護委員会 配布資料

2

⽇本でも主に公的機関向けに、個⼈番号（マイナンバー）をその内容に含む個⼈情報ファイルを取り扱う事務のみを対象として「特定資料２

PIA の取組の促進について

https://www.ppc.go.jp/aboutus/minutes/2021/210630/

個⼈情報保護評価」と呼ばれる事前評価が実施されており、これらは「PIA」を呼ばれることがある。
https://www.ppc.go.jp/mynumber/pia2(kaisogo)3

1．⽶国の動向●2002 年に成⽴した「電⼦政府法（ʻʻE-Government Act of 2002ʼʼ）」3の第 208 条「プライバシー規定（Privacy Provisions）」において、省庁が「市⺠中⼼の電⼦政府」を実践するために、
PIA の実施が義務付けられた。PIA の⽬的は、システムの所有者および開発者が、システムのラ
イフサイクル全体を通じてプライバシー保護を組み込んでいることを証明すること、とされている。
●省庁は、(i) 個⼈識別可能な形で情報を収集、保持、または普及する情報技術を開発または調達する場合、あるいは、(ii) (I)情報技術を使⽤して収集、保持、または普及されるもので、かつ(II) 特定の個⼈と物理的またはオンラインで接触することを許可する個⼈識別可能な形の情報を含む（連邦政府の職員以外の 10 ⼈以上の⼈に同⼀の質問が投げかけられるか、同⼀の報告義務が課される場合）ような情報の新たな収集を開始する場合に、その前に PIA を実施しなければならないとされた。PIA は最⾼情報責任者（CIO）または同等の職員によってレビューされ、実⾏可能な場合は/範囲でウェブサイトや官報などで公開されるべきとした。
●電⼦政府法は、⼤統領府の⾏政管理予算庁（OMB）⻑官に対して、PIA の内容を明記した指針を作成することを指⽰した。それを受けて、2003 年 4 ⽉に、OMB ⻑官から各連邦機関の⻑宛ての覚書（M-03-22）として「2002 年電⼦政府法のプライバシー規定を実施するための OMB ガ
イダンス」が公布された4。添付資料 A「電⼦政府法第 208 条実施ガイダンス」の第 II 部 PIA では、定義や対象、内容などが記述されている。
●PIA の定義は「情報がどのように取り扱われているかについての分析であり、(i) その取り扱
いがプライバシーに関して適⽤される法律上、規制上、政策上の要件に適合していることを確認し、 (ii) 電⼦情報システムにおいて識別可能な形で情報を収集、保持、配布することのリスクと影響を判断し、(iii) 潜在的なプライバシーリスクを軽減するために、情報の取り扱いに関する保護および代替プロセスを検討、評価するもの」とした。
●PIA の詳細さの程度は「収集される情報の性質、IT システムの規模および複雑性に⾒合ったものでなければならない」として⽐例性の原則が強調され、また PIA は開発の早い段階で実施されるべきであるとしている。また情報のライフサイクル、すなわち収集、使⽤、保持、処理、開⽰、3

E-Government Act of 2002. https://www.congress.gov/107/plaws/publ347/PLAW-107publ347.pdf

4M-03-22, OMB Guidance for Implementing the Privacy Provisions of the E-Government Act of 2002. https://www.whitehouse.gov/wp-

content/uploads/legacy_drupal_files/omb/memoranda/2003/m03_22.pdf

4

破棄を考慮し、各段階における情報の取り扱いが個⼈のプライバシーにどのような影響を与える
かを評価する必要があり、様々な専⾨家による協⼒が必要であるとしている。
●PIA の内容として以下の事項を分析・記述しなければならないとされた。
Ø

どのような情報が収集されるのか（例えば、性質や情報源）

Ø

情報を収集する理由（適格性を判断するためなど）Ø

情報の使⽤⽬的（例：既存のデータを検証するため）

Ø

情報を共有する相⼿（例：特定のプログラム⽬的のための他機関）

Ø個⼈が情報提供を拒否する（情報提供が任意である場合）ために、あるいは情報の（必須の、または許可された利⽤以外の）利⽤に同意するためにどんな機会を持っているか、および、個⼈が同意を与える⽅法

Ø

情報がどのように保護されるか（例えば、運⽤⾯での対策、および、技術的な対策）

Ø

プライバシー法に基づき、記録システムが作成されるかどうか●PIA についての最低限の要件を定めた法律と OMB ガイダンスを受けて、連邦省庁はそれぞれ
独⾃のガイドラインを作成している。以下では代表的な例として国⼟安全保障省（Departmentof Homeland Security: DHS）を取り上げる。2002 年に成⽴した「国⼟安全保障法（Homeland
Security Act of 2002）」5の第 222 条「プライバシー・オフィサー」において、DHS ⻑官は新たに任命するプライバシー・オフィサーが責任を持つ 5 項⽬のうちの 4 番⽬として、「収集される
個⼈情報のタイプや影響を受ける⼈数などを含む、個⼈情報のプライバシーに関する同省の規則案のプライバシー影響評価を実施すること。」が挙げられた。また、2 番⽬には「プライバシー
法の記録システムに含まれる個⼈情報が、1974 年プライバシー法に規定された「公正情報取り扱い（fair information practices）」を完全に遵守した形で取り扱われることを保証すること。」とされた6。

5

Homeland Security Act of 2002. https://www.dhs.gov/homeland-security-act-2002

6「公正情報取り扱い原則（FIPPs）」⾃体は Privacy Act of 1974 に明記されたものでなく、1973 年に US Department of Health, Education,and Welfare（HEW）からの諮問委員会が HEW に提案した勧告（"Code of Fair Information Practices" 5 原則）をもとに、Privacy Act of 1974
によって設置された Privacy Protection Study Commission が 1977 年に公表した報告書（第 13 章）
https://www.ojp.gov/pdffiles1/Digitization/49602NCJRS.pdf において 3 点追加され、8 原則（公開、個⼈のアクセス、個⼈の参加、収集制
限、利⽤制限、公開制限、情報管理、アカウンタビリティ）に整理されたものである。その後、⽶国内だけでなく、欧州諸国や OECD

5

●DHS のプライバシー遵守プロセスは、①プライバシー閾値分析（PTA）、②プライバシー影響
評価（PIA）、③記録システム通知（SORN）、④定期的なレビューという 4 つの重要な部分からなる継続的なサイクルとされている7。①は PIA が必要か否かを判断するためのものである。
●2004 年にプライバシー室（Privacy Office）は「PIA を簡単に（Privacy Impact Assessments
Made Simple）」を公表、続いて 2006 年には「PIA 指針（Privacy Impact Assessment Guidance）
2006」を作成し、2007 年にはこれを改訂し「PIA 指針 2007」とした。その後、2010 年に「PIA
指針 2010」に更新された8。「PIA 指針 2010」に⽰された PIA の内容は、「要約」と「概観」に続いて、下記の内容、そして最後に「承認とサイン」とされた9。
Section 1.0 権限とその他の要件（Authorities and Other Requirements）
Section 2.0 情報の特徴（Characterization of the information）
Section 3.0 情報の利⽤（Uses of the Information）
Section 4.0 通知（Notice）
Section 5.0 プロジェクトによるデータの保持（Data Retention by the project）
Section 6.0 情報の共有（Information Sharing）
Section 7.0 救済（Redress）
Section 8.0 監査とアカウンタビリティ（Auditing and Accountability）●2008 年 12 ⽉末には覚書「PIA に関する DHS ポリシー（DHS Policy Regarding Privacy Impact
Assessments）」10が公布され、PIA を実施する理由として、1）情報が与えられたうえでの意思決定、2）ライフサイクルでの管理、3）透明性、4）アカウンタビリティ、が挙げられた。また、において同様の原則が議論された。有名な OECD の「プライバシー保護と個⼈データの国際流通についてのガイドラインに関する理事会勧告」は 1980 年に採択された。https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0188 FIPPs への⾔及はないものの、類似した 8 項⽬の基本原則が定められた（収集制限、データ品質、⽬的特定、利⽤制限、セキュリティ保護、公開、個⼈参加、アカウンタ
ビリティ）。
7

U.S. Department of Homeland Security, Privacy Compliance Process https://www.dhs.gov/compliance

8

U.S. Department of Homeland Security, Privacy Impact Assessment Guidance https://www.dhs.gov/publication/privacy-impact-assessment-guidance

9

PIA のテンプレートも⽤意された。http://www.dhs.gov/xlibrary/assets/privacy/privacy_pia_template.pdf

10

U.S. Department of Homeland Security, DHS Policy Regarding Privacy Impact Assessment https://www.dhs.gov/publication/privacy-policy-

guidance-memorandum

6

PIA は対象別に 7 つのカテゴリーに分けられた。すなわち、標準的な情報技術、ルールメイキン
グ、⼈材（DHS の被雇⽤者や契約労働者）、国家安全保障システム、プログラム、プライバシー
的に機微な技術、パイロットテスト、である。
●2008 年 12 ⽉末に同じく公布された覚書「公正情報取り扱い原則（FIPPs）：DHS におけるプライバシーポリシーの枠組み」は、「公正情報取り扱い原則（FIPPs）を、DHS におけるプライ
バシーポリシーとその実施のための基本原則としての記念するもの」とされ、プライバシー室は
国⼟安全保障法 222 条(2)に基づき、PIA の実施などにおいても FIPPs を使⽤することが明記された11。DHS の FIPPs は以下の 8 項⽬からなる。DHS の PIA は、これら 8 項⽬についてそれぞれ、プライバシーリスクとそれらの軽減策を記載する体裁がとられている。
Ø

透明性 : DHS は、個⼈識別可能な情報（PII）の収集、使⽤、配布、保持に関して透明性を確保し、本⼈に通知する必要がある。

Ø

個⼈の参加: DHS は、PII の使⽤過程に本⼈を関与させ、実施可能な限り、PII の収集、使⽤、普及、および保持について本⼈の同意を求めるべきである。また、DHS は、DHS による PIIの使⽤に関して、適切なアクセス、訂正、および救済を⾏うための仕組みを提供すべきである。

Ø

⽬的の特定: DHS は、PII の収集を許可する権限を具体的に明⽰し、PII の使⽤⽬的（複数でも可）を具体的に明⽰する必要がある。

Ø

データの最⼩化: DHS は、特定された⽬的を達成するために直接関連し必要な PII のみを収集し、特定された⽬的を達成するために必要な期間だけ PII を保持すべきである。

Ø

利⽤の制限: DHS は、通知において特定された⽬的のみに PII を使⽤すべきである。 PII を省外で共有する場合は、PII が収集された⽬的に適合した⽬的であるべきである。

Ø

データの質および完全性：DHS は、実⾏可能な範囲において、PII が正確で、関連して、時宜を得て、完全であることを確保すべきである。

Ø

セキュリティ：DHS は、損失、不正なアクセス/使⽤、破壊、改ざん、意図しない/不適切な開⽰などのリスクに対して、適切なセキュリティ保護措置により PII（あらゆるメディア

11

The Fair Information Practice Principles: Framework for Privacy

Policy at the Department of Homeland Security https://www.dhs.gov/xlibrary/assets/privacy/privacy_policyguide_2008-01.pdf

7において）を保護しなければならない。
Ø

アカウンタビリティと監査 : DHS は、これらの原則および適⽤されるすべてのプライバシ
ー保護要件に準拠していることを⽰すために、これらの原則を遵守し、PII を使⽤するすべての職員および請負業者に研修を⾏い、PII の実際の使⽤を監査することで、アカウンタブ
ルになるべきである。

●2024 年 1 ⽉ 30 ⽇、⾏政管理予算局（OMB）は、バイデン⼤統領が 2023 年 10 ⽉末に公布した⼤統領令 14110「AI の安全でセキュアで信頼に値する開発と利⽤」に従って、⽣成 AI を含む
AI の急速な発展に対しても PIA をうまく活⽤するため、既存の PIA ガイダンスをどのように更新する必要があるかについての意⾒募集を開始した12。具体的には、プライバシーリスクに対処し、それらを軽減するための PIA の役割、透明性を促進するための PIA の役割、そして、AI を含む、技術とデータの能⼒の増進に伴うプライバシーリスクに関する質問項⽬が列挙された。

2．英国の動向●情報コミッショナー局（ICO）が委託した調査報告書13に基づき、2007 年 12 ⽉に ICO が「PIA
ハンドブック（PIA Handbook）」を公表した。英国は欧州地域で初めて PIA の指針を制定した国となった。2008 年 6 ⽉に内閣府から発表された報告書「政府におけるデータ取扱い⼿続き」
は、中央政府部⾨における PIA の使⽤を義務付け、PIA を政府の情報技術プロジェクトの審査に組み込むことを求めた14。ハンドブックは 2009 年 6 ⽉に Version 2.0 として改訂された15。
●2010 年 1 ⽉、内閣府は報告書「政府における情報を保護する」を発表し、「データ取扱い審査（Data Handling Review：DHR）」によって、政府機関が⼤量の個⼈データを処理する新しい
プロジェクトやプログラムについて PIA を実施することを求めた16。
PIA は初期段階で検討され、

12

U.S. Management and Budget Office, Request for Information: Privacy Impact Assessments: A Notice by the Management and Budget Office on

01/30/2024 https://www.federalregister.gov/documents/2024/01/30/2024-01756/request-for-information-privacy-impact-assessments
13

C. Bennett. R. Bayley. A. Charlesworth. R. Clarke. “Privacy Impact Assessments: International study of their application and effects.”

https://www.rogerclarke.com/DV/ICO_2007_Study.pdf
14

U.K. Cabinet Office, Data Handling Procedures in Government: Final Report. June 2008. https://www.gov.uk/government/publications/data-

handling-procedures-in-government
15

U.K. ICO. Privacy Impact Assessment Handbook Version 2.0. https://www.huntonprivacyblog.com/wp-

content/uploads/sites/28/2013/09/PIAhandbookV2.pdf
16

U.K. Cabinet Office, Protecting Information in Government. January 2010. https://data.parliament.uk/DepositedPapers/Files/DEP2010-0098/DEP2010-0098.pdf

8あらゆる悪影響を軽減または完全に回避できるようにするものとされた。
●2014 年には情報コミッショナー局（ICO）によって「PIA を実施する：⾏動規範（Conducting
privacy impact assessments: code of practice）」に更新された17。PIA は「組織がプロジェク
トのプライバシーリスクを特定し、低減するのに役⽴つプロセス」と定義された。この時点では
PIA の実施はデータ保護法の法的要件ではなかった。PIA は、1）PIA の必要性を確認、2）情報
フローの記述、3）プライバシー関連リスクの特定、4）プライバシーへのソリューションの特定と評価、5）PIA の結果の署名と記録、6）PIA の結果のプロジェクト計画への統合、という 6 つのステップにまとめられた。
●EU ⼀般データ保護規則(GDPR)の成⽴と英国内でのデータ保護法（Data Protection Act）施⾏に伴い、2018 年、名称を EU に合わせて PIA から「データ保護影響評価（DPIA）」とし、個⼈データの処理が「⾼いリスクをもたらす可能性が⾼い」に当たる場合に実施が求められることになった。
具体的には以下のようなケースが挙げられた18。
これらは第 6 節の EU と同様である。
Ø

重⼤な影響を及ぼす体系的かつ広範なプロファイリングを使⽤する場合

Ø

特別カテゴリーまたは犯罪データを⼤規模に処理する場合Ø

誰でもアクセスが可能な場所を組織的に⼤規模に監視する場合●英国 ICO は独⾃に DPIA のサンプルテンプレートを⽤意しており、以下の 7 つのステップが⽰されている。Step 5 では特定されたリスクごとに、害の起きる可能性と害の重⼤さを 3 段階ずつで評価したうえでリスクの⼤きさを低・中・⾼に分類する。Step 6 では主に、中・⾼に分類されたリスクについて、削減または削除するためのオプションを特定し、対策後の残余リスクを低・中・⾼で評価し、それらが承認されるか否かを記す。
Step 1: DPIA が必要かどうか判断する（閾値分析）
Step 2: 処理を記述する（データの流れ・性質・⽂脈・⽬的を説明）
Step 3: コンサルテーションのやり⽅を考える（関連するステークホルダーを探索）

17

U.K. ICO, Conducting privacy impact assessments code of practice. Version 1.0, 2014.

18

When do we need a DPIA? https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/guide-to-https://www.pdpjournals.com/docs/88317.pdf

accountability-and-governance/accountability-and-governance/data-protection-impact-assessments/

9

Step 4: 必要性と⽐例性を評価する
Step 5: リスクを特定し、評価する（害の起きる可能性と害の重⼤さ）（図１）
Step 6: リスクを軽減する⼿段を特定する
Step 7: 署名して正式に承認し、成果を記録する

深刻な害Serious harm

影響の重大さ
Severityof
im p act

ある程度の
影響

低リスク

高リスク

高リスク

低リスク

中リスク

高リスク

低リスク

低リスク

低リスク

ありそうもな
い

合理的な可
能性

可能性は高
い

Reasonable
Possibility

M ore likely
than notSom e im pact

最小の影響
M inim al im pact

Rem ote

害の発生可能性
Lik elih ood of h a rm

図１ ICO による DPIA のためのリスクマトリクス●Brexit 移⾏期間が終了した 2020 年 12 ⽉ 31 ⽇以降も英国版 GDPR が施⾏されたままであり、DPIA の実施は引き続き求められている。ただし脱 GDPR の⽅向性が⽰されており、新たに採択される予定の英国独⾃のデータ保護法では DPIA とは異なる⼿法が提案される可能性が⾼い。

3．オーストラリアの動向●1988 年に制定されたプライバシー法（Privacy Act）に基づき、2001 年に全国プライバシー原則（National Privacy Principles）と 情報プライバシー原則（Information Privacy Principles）
が制定された。プライバシー法の 2012 年改訂を受けて、2014 年 3 ⽉に 13 項⽬からなるオース
トラリア・プライバシー原則（Australian Privacy Principles：APPs）が制定された。プライバ
シー法は、オーストラリア政府機関、年間売上⾼が 300 万ドル以上の⺠間組織などを対象として10

いる。APPs のためのガイドラインが公表されている19。
●プライバシー法の Sec. 33D において、オーストラリア情報コミッショナー局（OAIC）コミッ
ショナーは連邦省庁に対して、(a) 省庁が、個⼈についての情報の取り扱いを含む活動または機能に従事することを提案する場合、かつ、(b)コミッショナーが、その活動⼜は機能が個⼈のプラ
イバシーに重⼤な影響を及ぼす可能性があると⾒なす場合に、PIA を⾏うように指⽰できるとされた。また、PIA は、(a) その活動または機能が個⼈のプライバシーに及ぼすかもしれない影響を特定する、及び、(b) その影響を管理、最⼩化⼜は排除するための推奨事項を定めるための書⾯であるとされた。
●「プライバシー（オーストラリア政府機関-ガバナンス）APP コード 2017」20は、プライバシー法21のもとで、OAIC により 2017 年 10 ⽉に制定され、2018 年 7 ⽉に施⾏された。対象は連邦省庁である。APP コードの第三部が PIA に関する部分であり、12 が PIA の実施、13 が PIA の公表、14 が共同 PIA、15 が PIA の登録となっている。
●PIA は「⾼いプライバシーリスクを伴うすべてのプロジェクト」に対して実施しなければならないとされた。具体的には、「プロジェクトが、個⼈のプライバシーに重⼤な影響を与える可能性が⾼い新規の個⼈情報の取り扱い、または個⼈情報の取り扱い⽅法の変更を伴うと省庁が合理的に判断した場合」とされた。また、「重要なことは、すべての PIA が⻑く、複雑である必要はないということである。むしろ、PIA で取られるアプローチは、リスクのレベルに⽐例している
べきである。PIA は、プロジェクトの規模、複雑さ、リスクレベルに応じて適応可能な柔軟で拡張性のあるツールであることが意図されている。」22と注記さている。
●「プライバシー影響評価の実施に関するガイド（PIA ガイド）」は OAIC によって、2006 年に公表され、2010 年に改訂されたのち、現⾏のものは 2021 年に公表された23。そこでは PIAを実施するための 10 段階プロセスが提案された（下記）。PIA は第⼀義的にはプロジェクトが19

Office of the Australian Information Commissioner, Australian Privacy Principles guidelines. https://www.oaic.gov.au/privacy/australian-privacy-

principles-guidelines
20

Office of the Australian Information Commissioner, Privacy (Australian Government Agencies – Governance) APP Code 2017https://www.oaic.gov.au/privacy/privacy-registers/privacy-codes-register/australian-government-agencies-privacy-code21Sec. 26G において APP コードの策定が指⽰された。APP コードの内容は Sec. 26C に規定されている。APP コードは APPs を適⽤あるいは遵守するための⽅法が記述されたものである。
22

Office of the Australian Information Commissioner, When do agencies need to conduct a privacy impact assessment?

https://www.oaic.gov.au/privacy/guidance-and-advice/when-do-agencies-need-to-conduct-a-privacy-impact-assessment
23

Office of the Australian Information Commissioner, Guide to undertaking privacy impact assessments. https://www.oaic.gov.au/privacy/guidance-

and-advice/guide-to-undertaking-privacy-impact-assessments

11

プライバシーに関する法律に違反するリスクを評価し、そのリスクを軽減するための管理策を特定するものであるが、PIA は単なるコンプライアンスチェックを⼤きく超えるものであるとされた。つまり「プライバシーの観点からプロジェクトの「全容を語る」ものであり、コンプ
ライアンスを超えて、プロジェクトで計画されている個⼈情報の利⽤が地域社会に受け⼊れられるかどうかなど、より広いプライバシーへの影響とリスクも考慮しなければならない。」とされた。PIA を実施するタイミングは、プロジェクトの設計に影響を与えることを可能とするためにプロジェクトの⼗分早い段階である必要がある。
●PIA を実施するための 10 段階プロセス1.

閾値評価（Threshold Assessment）：PIA の実施が必要かどうかを判断するため。

2.

PIA の計画：範囲、実施主体、コンサルテーション等

3.

プロジェクトの（簡潔な）説明

4.

ステークホルダーの特定と協議

5.

情報フローの把握：本⼈確認が必要であるかどうか、どのような/どのように個⼈情報が収集されるか、利⽤と開⽰、情報の品質を確保するためのプロセス、実施されている（または実施される予定の）安全対策、個⼈が⾃分の個⼈情報にアクセスし、修正することがで
きる能⼒

6.

プライバシー影響分析およびコンプライアンスチェック：プロジェクトが 13 の各 APP を遵守しているかどうかを検討：
APP1 個⼈情報のオープンで透明性のある管理、 APP2 匿名性と仮名性
APP3 募集された個⼈情報の収集、 APP4 未承諾の個⼈情報への対応
APP5 個⼈情報収集の通知、 APP6 個⼈情報の使⽤または開⽰
APP7 ダイレクトマーケティング、 APP8 個⼈情報の国境を越えた開⽰
APP９ 政府関連識別⼦の採⽤、使⽤、開⽰、 APP10

個⼈情報の質APP11 個⼈情報のセキュリティ、 APP12 個⼈情報へのアクセス
APP13 個⼈情報への訂正
7.

プライバシー管理 - リスクへの対応

12

8.

提⾔

9.

報告：提案された PIA 報告書のフォーマットは次のとおりである。
エグゼクティブサマリー、PIA ⽅法論、プロジェクトの説明、分析、結論、附録

10. 対応とレビュー：勧告への対応、独⽴したレビュー／監査●OAIC は、PIA レポートの公開を強く推奨しているが、全⽂を公開することが困難な場合があることも認識しており、そういう場合は、要約版あるいは編集版の公開を推奨している。また、PIA は報告書の作成で終わるのではなく、継続的なプロセスであることも強調されている。
●本 NOTE では割愛したが、オーストラリアでは州レベルでの PIA の取り組みも盛んである。

4．カナダの動向●カナダ政府は 2002 年 5 ⽉ 2 ⽇に「プライバシー影響評価ポリシー（Privacy Impact Assessment
Policy）」を施⾏した24。PIA は、プログラムやサービスの設計または再設計の全体を通してプラ
イバシーが考慮されていることを確認するための枠組みとされた。本ポリシーには、PIA 実施を⽀援するための「プライバシー影響評価ガイドライン：プライバシーリスクを管理するための枠組み（Privacy Impact Assessment Guidelines: A Framework to Manage Privacy Risks）」が付
いている25。ガイドラインには、プロジェクト開始（予備的 PIA を含む）、データ分析、プライ
バシー分析、PIA 報告書という 4 段階の PIA プロセスが⽰されている。ガイドラインの附録 A には PIA の⽬次が提⽰されている。６のサマリー表ではリスクの⼤きさは低・中・⾼の 3 段階で表記されることになっている。
１．エグゼクティブサマリー
２．はじめに

2.1 報告書の⽬的

2.2 PIA の範囲

2.3 参考資料

2.4 参加者

2.5 法規制と政策

2.6 本報告書で使⽤する略語

３．プロジェクト提案書

24

現在は効⼒はないが、ここにアーカイブされている。https://www.tbs-sct.canada.ca/pol/doc-eng.aspx?id=12450

25

現在は効⼒はないが、ここにアーカイブされている。https://www.tbs-sct.canada.ca/pol/doc-eng.aspx?id=12451

13

４．データフロー分析 4.1 業務フロー図と説明 4.2 データフロー表
５．プライバシー分析
６．プライバシーリスク管理計画 6.1 プライバシーリスクの軽減 6.2 サマリー表
７．コミュニケーション戦略
財務委員会（Treasury Board）からプロジェクトの予備的承認（Preliminary Project Approval）
を得ようとする連邦政府機関は、PIA の結果を提出書類の本⽂またはプロジェクト概要に記載しなければならない。実効的承認（Effective Project Approval）を得ようとする機関は、PIA に従ってプライバシーリスクを回避または軽減するために取られた、または取られる予定の措置を要約した状況報告書を、提出書類の本⽂またはプロジェクト概要に記載しなければならない。
●2010 年 4 ⽉に「プライバシー影響評価に関する指令（Directive on Privacy Impact Assessment）」
が施⾏され、これが先の「プライバシー影響評価ポリシー」に取って代わった26。2024 年現在もこれが効⼒を持っている。省庁の適切な上級職員⼜は幹部は、PIA を完了させるために以下のプ
ロセスを遵守する責任を負うとされた。
A) PIA の開始、B) 複数の機関が関与している場合、C）PIA（コア PIA 要素）の完了、D）PIAの内部承認、E)通知および登録、F）コア PIA の公開報告、G）PIA の共有。
附録 B によれば、個⼈情報に関わるプログラムや活動に対して財務委員会（Treasury Board）の承認を得ようとする政府機関は、以下の責任を負う。
Ø

プロジェクト計画の可能な限り早い段階で PIA を開始するためにあらゆる合理的な努⼒を
すること。

Ø

提出書類の本⽂において、PIA が完了したかどうかを明らかにし、イニシアチブの緊急性
または優先性のために PIA が完了しなかった場合は、PIA の完了のためのスケジュールを明らかにすること。

Ø

財務委員会にプロジェクトの承認を求める際、プライバシー問題やリスクに対処するために取られた、または取られる予定の対策をプロジェクト概要に明記すること。

26

Government of Canada, Directive on Privacy Impact Assessment. 2010. https://www.tbs-sct.canada.ca/pol/doc-eng.aspx?id=18308

14Ø

新規または⼤幅に変更されたプログラムまたは活動で、実施前または財務委員会事務局（TBS）が定めた期間内・条件下で TBS の承認を受けたものについては、PIA を完了させること。

附録 C にはコア PIA に必要な内容が提⽰されている。第Ⅱ部「リスク領域の特定と分類」では、政府機関全体で⼀貫したリスク分類と測定を⾏うために、下記のような標準化されたリスク領域と、それぞれに共通のリスクスケール（最低の１から最⾼の 3 あるいは４まで）が提⽰されている。レベル 3 または 4 と認定されたリスク領域の数が多ければ対処する必要があるとされる。
a.

プログラムまたは活動のタイプb.

含まれる個⼈情報のタイプや⽂脈

c.

プログラムまたは活動のパートナーと⺠間部⾨の参加

d.

プログラムまたは活動の期間

e.

プログラムが影響を及ぼす対象の⼈数

f.

技術とプライバシー（※ここだけ Yes/No 回答）g.

個⼈情報の移転の程度●プライバシーコミッショナー事務局（OPC）も PIA のガイドを公表している27。OPC は連邦
政府機関が実施する PIA を⽀援している。また、図２のような、PIA を実施する必要があるか否かを判断するためのフローチャートを提供している。

27

Office of the Privacy Commissioner of Canada, Expectations: OPC’s Guide to the Privacy Impact Assessment Process. Revised March 2020.

https://www.priv.gc.ca/en/privacy-topics/privacy-impact-assessments/gd_exp_202003/

15

スタート
プログラムや活動は個
人情報を含みますか？
NO

YES
個人情報は、個人に直接影響を与える意思決定プロセスの一部として利用されますか？

NO

YES

プログラムや活動がプライバシーに影響を与え、潜在的なプライバシーリ
スクが評価され、軽減されるべきですか？

NO
PIAは要求されなさそうです。

PIAを更新しましょう。

YES

当該プログラムや活動について、すでにPIAがありますか？
NO

YES

YES
変化がありますしたか？
NO
PIAを更新する必要はなさそうです。

PIAを実施しましょう。

図２ PIA を実施する必要があるか否かの判断フローチャート（PIA ガイドの Figure 1）

また 9 段階の PIA プロセスも提⽰されており、１．PIA の必要性を確認、２．計画する、３．
相談する（OPC を含む）、４．必要性と⽐例性を評価する、５．固有のリスクを特定し評価する、６．軽減する対策を作る、７．承認を得る、８．TBS と OPC に報告する、９，継続的に監視する、となっている。
●本 NOTE では割愛したが、カナダでも州レベルでの PIA の取り組みも盛んである。

5．ニュージーランドの動向●1993 年のプライバシー法（Privacy Act 1993）では PIA への具体的な⾔及はなかったが、Part
2 「情報プライバシー原則（Information privacy principles：IPP）」で提⽰された情報の収集から破棄までのライフサイクルにおける個⼈情報の管理⽅法について定めた 12 のプライバシー原則を実践するために、PIA の実践が要請されるようになった。2002 年にはプライバシーコミッ
ショナー事務局（Office of the Privacy Commissioner：OPC)から「PIA ハンドブック」が公表

16

された28。2020 年のプライバシー法（Privacy Act 2020）は、1993 年のプライバシー法（Privacy
Act 1993）に代わり、2020 年 12 ⽉ 1 ⽇に施⾏された。2020 年のプライバシー法では情報プラ
イバシー原則（IPP）の項⽬数が 12 から 13 に増えた29。
●プライバシーコミッショナー事務局（OPC）は、PIA を⾏うかどうかの判断を容易にするための 2 つの部分からなる指針（2015 年作成のツールキット）を公表した30。「ブリーフ・プライバ
シー分析（Brief Privacy Analysis）」のテンプレートが⽤意されており、チェックリストに Yes/Noで回答し、1 つでも Yes があると初期リスクアセスメントとしてそれぞれを低・中・⾼の 3 段階で評価し、中・⾼とされた項⽬にはリスク低減策を記述する欄が設けられている。最終的に完全な PIA が必要かどうかについて判断される。
第 2 部には PIA のテンプレートが⽤意されており、13 の原則ごとに遵守状況をチェックすることでリスクを抽出する仕組みになっていた。2024 年
2 ⽉にはツールキットがさらに更新された31。
PIA の基本的なステップは以下の 6 段階からなる。
1. 収集（Gather）：PIA を実施するために必要なすべての情報を収集する。
2. チェック（Check）：プライバシー原則に照らして確認する
3. リスク（Risk）：実際のプライバシーリスクとその軽減⽅法を⾒出す。
4. 作成（Produce）：PIA を作成する（報告書のテンプレートを使うことを推奨） 。
5. ⾏動を起こす（Take action）：対策が実施される。
6. 審査（Review）：プロジェクトの進展に伴い、必要に応じて PIA を⾒直し、調整する。

28

New Zealand Privacy Commissioner Office, Privacy Impact Assessment Handbook, 2002. https://privacy.org.nz/publications/guidance-

resources/privacy-impact-assessment-handbook/29

情報プライバシー原則（IPP）の表題は次のとおりである。原則１：個⼈情報の収集⽬的、原則２：個⼈情報の提供元、原則３：主体

からの情報収集、原則４：個⼈情報の収集⽅法、原則５：個⼈情報の保持とセキュリティ、原則６：個⼈情報へのアクセス、原則７：個⼈情報の訂正、原則８：利⽤または開⽰前に確認する個⼈情報の正確性等、原則９：個⼈情報を必要以上に保管しないこと、原則
10：個⼈情報の利⽤制限、原則 11：個⼈情報の開⽰制限、原則 12：ニュージーランドの外への個⼈情報の開⽰、原則 13：固有の識別⼦。
30

New Zealand Privacy Commissioner Office, Privacy Impact Assessment Toolkit, 2015. https://www.privacy.org.nz/assets/New-order/Resources-/Publications/Guidance-resources/Privacy-Impact-Part-1.pdf
31

New Zealand Privacy Commissioner Office, Privacy Impact Assessment Toolkit, 2024. https://privacy.org.nz/publications/guidance-

resources/privacy-impact-assessment-toolkit/

17

●リスクアセスメントのやり⽅は「情報プライバシー原則（IPP）」の各項⽬に当てはめながら複数のリスク項⽬を抽出し、それぞれにリスク軽減策を提案するものであるが、実際の PIA 報告書では様々な⼿法がとられている。抽出されたリスク項⽬ごとに対策前と対策後のリスクレベル
をそれぞれ、⾮常に低い（⻩緑）、低い（⻩⾊）、中くらい（オレンジ）、⾼い（⾚）、の 4 段
階で評価されることが多い。いくつかの PIA 報告書では、抽出されたリスク項⽬ごとに、対策前と対策後の発⽣可能性（likelihood）と影響の⼤きさ（consequence）を 4 段階ずつ32あるいは 5
段階ずつ33で⾒積もって、番号を付けてリスクマップに配置するものである（図３）。全体リスクは 2 つのスコアを掛け合わせて、4 段階（⾮常に低い、低い、中くらい、⾼い）で評価される。
わずかなM inor
ほぼ確か
Alm ost certain
ありそう
LikelyありうるPossible
ありそうにないU nlikely

まあまあのM oderate

重大なM ajor

ほとんどないInsignificant

深刻なSevere

わずかなM inor

まあまあの
M oderate

重大なM ajor

深刻なSevere

確からしい
Certainありそう
LikelyありうるPossible
ありそうにないU nlikely
めったにないRare

図３ ニュージーランドの PIA で⽤いられるリスクマップの例※縦軸は「発⽣可能性（Likelihood）」、横軸は「影響の⼤きさ（Consequence）」を⽰す。
●リスクアセスメントにおける「リスク」の対象は幅広いものになるため、例えば第⼀次産業省（MPI）は「影響の⼤きさ（consequence）」と「発⽣可能性（likelihood）」のそれぞれにリス
ククライテリアを定めている34。
また、
Health New Zealand では、「影響の⼤きさ（consequence）」
については、リスク分類、つまり「守りたいもの」として、「レピュテーション」「公衆衛⽣部⾨への信頼と信⽤」「戦略的」「運⽤上」「健康と安全」「財務的（省庁内、省庁外、設備投資）」「法的遵守」「契約履⾏」「環境」「技術」を挙げ、それぞれ 5 段階で⽬安を⽰している。財務
影響については具体的な⾦額の⽬安が提⽰されている。
●AI については、ニュージーランド政府は 2020 年、政府機関によるアルゴリズム利⽤のための

32

例えば、第⼀次産業省（MPI）による、漁船へのオンボードカメラの設置に関する PIA 報告書（2019 年）では 4 段階ずつのリスクマップが使われている。https://www.mpi.govt.nz/dmsdocument/39269-On-board-cameras-project-privacy-impact-assessment-19-December-2019
33

例えば、第⼀次産業省（MPI）による、ボディカメラの導⼊に関する PIA 報告書（2022 年）では 5 段階ずつのリスク「ヒートマッ

プ」が使われている。https://www.mpi.govt.nz/dmsdocument/50512-Privacy-impact-assessment-PIA-Body-worn-cameras-programme34

先に引⽤した、漁船へのオンボードカメラの設置に関する PIA 報告書（2019 年）の Appendix F を参照。

18

指針として「ニュージーランド・アルゴリズム憲章」を発表した35。透明性、パートナーシップ、⼈々、プライバシー・倫理・⼈権、⼈による監督についてのコミットメントに同意した省庁はこれに署名をすることになっており、意図しない悪影響が発⽣する可能性とその相対的な影響度と照らし合わせてスコア化し、総合的なリスクレベルを導き出す「アルゴリズム評価報告書」を作成することになっている。そのためのツールとして「アルゴリズム影響評価（Algorithm Impact
Assessment: AIA）」ツールキットが発表された36。2023 年 12 ⽉には「アルゴリズム閾値評価」「アルゴリズム影響評価質問紙」「アルゴリズム影響評価報告書テンプレート」「アルゴリズム
影響評価ユーザーガイド」が公表された。テンプレートによると、潜在的な害（harm）のアセス
メントは PIA と同様、影響の⼤きさ（Impact）と発⽣可能性（likelihood）をそれぞれ 5 段階ずつで評価し、総合的なリスクレベルも 5 段階（⾮常に低い、低い、中くらい、⾼い、危機的な）に区別された37。発⽣可能性は 12 か⽉間の発⽣可能性として「＞80％、60-80％、40-60％、2040％、＜20％」の 5 段階で分けられた。また、省庁⾃⾝にとってのリスクに焦点が当てられていることが特徴である。

6．EU の動向●EU では 2018 年 5 ⽉に施⾏された「⼀般データ保護規則（GDPR）」の第 35 条「データ保護
影響評価（DPIA）」の第 1 項に、「処理の性質、範囲、過程及び⽬的を考慮に⼊れた上で、特に新たな技術を⽤いるような種類の処理が、⾃然⼈の権利及び⾃由に対する⾼いリスクを発⽣させるおそれがある場合、コントローラーは、その処理の開始前に、予定している処理業務の個⼈データの保護に対する影響についての評価を⾏わなければならない」と記載された。公的機関だけ
でなく、⺠間組織も対象となる。第 3 項には DPIA が求められるケースとして次の 3 つの例が挙げられた。
Øプロファイリングを含め、⾃動的な処理に基づくものであり、かつ、それに基づく判断が⾃然⼈に関して法的効果を発⽣させ、⼜は、⾃然⼈に対して同様の重⼤な影響を及ぼす、⾃然
⼈に関する⼈格的側⾯（personal aspects）の体系的かつ広範囲な評価（evaluation）

35

Algorithm charter for Aotearoa New Zealand https://www.data.govt.nz/toolkit/data-ethics/government-algorithm-transparency-and-accountability/algorithm-charter/
36

Data.govt.nz. Algorithm Impact Assessment toolkit https://www.data.govt.nz/toolkit/data-ethics/government-algorithm-transparency-and-accountability/algorithm-impact-assessment-toolkit/
37

New Zealand Government, Algorithm impact assessment report, December 2023.の Appendix 2 を参照。

19

Ø

第 9 条第 1 項に規定する特別な種類のデータまたは第 10 条に規定する有罪判決及び犯罪⾏為と関連する個⼈データの⼤規模な処理

Ø

公衆がアクセス可能な場所に対する体系的な監視●2017 年、GDPR 第 35 条を実践するために、欧州データ保護当局（WP29）は「DPIA と処理が「⾼リスクになる可能性が⾼い」かどうかの判断に関するガイドライン」を公表した38。そこ
では「⾼リスクになる可能性が⾼い」かどうかを判断するための 9 つの基準が⽰された。これらのうち 2 つ（場合によっては 1 つでも）該当する場合には DPIA の実施が必要であるとした。
Ø

プロファイリングを含む評価（evaluation）やスコアリング

Ø法的あるいは同様の重⼤な効果を持つ⾃動化された意思決定Ø

体系的な監視Ø

機微なデータあるいは⾼度に個⼈的な性質を有するデータØ

⼤規模なデータ処理Ø

データセットの照合や統合Ø

脆弱なデータ主体に関するデータØ

新しい技術あるいは組織的なソリューションの⾰新的な利⽤や適⽤

Ø

処理そのものが「データ主体の権利の⾏使やサービスや契約の利⽤を妨げる」ケース●DPIA は、データ処理前にデータ保護責任者（DPO）が実施することとされ、⼀般的な反復プ
ロセスとして、1)予想される処理の記述、2)必要性及び⽐例性の評価、3)既に織り込み済みの対策、4)権利と⾃由に対するリスクの評価、5)予期されるリスク対策、6)⽂書化、7)モニタリングとレビュー、の段階が⽰されさらに最初に戻るプロセスが⽰された。リスクアセスメントの⽅法は具体的には⽰されていない。また、DPIA の公開⾃体は GDPR の法的義務ではなく、コントローラーが決定することとされているが、サマリーや結論部分などは公開されることが推奨されて

38

Article 29 Working Party, Guidelines on Data Protection Impact Assessment (DPIA) (wp248rev.01)

https://ec.europa.eu/newsroom/article29/items/611236

個⼈情報保護委員会による仮訳がある。

https://www.ppc.go.jp/files/pdf/dpia_guideline.pdf

20

いる。
●2024 年 3 ⽉に欧州議会で採択された AI Act では、⾼リスク AI システムを使⽤する前に、当該システムを実装する事業者に、「基本的権利影響評価（fundamental rights impact assessment）」
を実施することが義務付けられた39。第 29a 条によると、下記の項⽬からなる評価を実施しなけ
ればならない。まだ詳細は分からないが今後ガイドラインなどにより具体的な⼿順などが⽰されるものと考えられる。
a) ⾼リスク AI システムがその意図された⽬的に沿って使⽤される場合の、実装者のプロセスの説明b) 各⾼リスク AI システムが使⽤される予定の期間及び頻度の説明
c) 特定の⽂脈における使⽤により影響を受ける可能性のある⾃然⼈及び集団のカテゴリーd) (c)に従って特定された⼈⼜は集団のカテゴリーに影響を及ぼす可能性のある具体的な危害のリスクe) 使⽤説明書に従った、⼈による監督措置の実施に関する記述
f) これらのリスクが顕在化した場合にとるべき措置（内部統制および苦情処理メカニズムに関する取り決めを含む）●EU 全体のものを紹介したが、フランスなどの加盟国レベルでも PIA や DPIA の取り組みがあるが本稿では割愛した。

7. 国際標準化委員会（ISO）●国際標準化委員会（ISO）では PIA は、最初は TC68(⾦融サービスの専⾨委員会)において 2008
年 4 ⽉に、ISO 22307（⾦融サービスーPIA）として発⾏された40。内容は⾦融サービスに特化したものではなく、⼀般的な PIA プロセスが記述されていた。
●2017 年 6 ⽉に、国際電気標準会議（IEC）と共同で、PIA に関する国際標準規格 ISO/IEC 29134

39European Parliament, Artificial Intelligence Act: MEPs adopt landmark law. Press Release. 13 March 2024.

https://www.europarl.europa.eu/news/en/press-room/20240308IPR19015/artificial-intelligence-act-meps-adopt-landmark-law
40

ISO 22307:2008 Financial services - Privacy impact assessment， https://www.iso.org/standard/40897.html

21

が発⾏された41。最新のものは 2023 年版である42。PIA に関するプロセスと PIA 報告書の構成と内容に関するガイドラインを⽰したもので、あらゆる種類と規模の組織に適⽤可能なものである。
PIA は単なる「ツール」でなく、取り組みのできるだけ早い段階から始め、プライバシーバイデ
ザイン（privacy by design）43を確保するための「プロセス」であると冒頭に述べられている。
以下に内容を紹介する44。
●第 5 章では、PIA を実施することのメリットは何か、アクター（データ提供者、管理主体、規制当局、顧客）ごとの PIA の⽬的は何か、アカウンタビリティ（PIA を実施し、その結果の質を保証する）の所在、PIA のスコープや規模はその影響の⼤きさに⽐例することなどが説明されている。
●第 6 章では実際に PIA を実施するためのプロセスに関するガイダンスとなっている。
項⽬ごとに、⽬標、インプット、期待されるアウトプット、アクション、実施ガイダンスからなる。6.2 節
では、閾値分析（threshold analysis）と呼ばれる、そもそも PIA を実施する必要があるのかど
うかを決めるプロセスが解説されている。
個⼈情報を扱う新規の技術やサービスなどを扱う場合、特に配慮を要する個⼈情報を処理する場合、法規制・データ処理の⽬的・データフローなどが変更された場合、事業を拡⼤・買収する場合で、プライバシーへの影響が認識される際に PIA を実施・更新することが求められるとされた。
●6.3 節は準備段階を扱う。
Ø

PIA チームを設置したうえで、リスクアセスメント及びマネジメントの⽅法や基準を定める
こと、具体的にはリスクの影響の⼤きさ（impact）と発⽣可能性（likelihood）を判定するための基準やスケールを、データ提供者と組織の両⽅の視点から定める。

Ø

PIA の計画を⽴て、必要な費⽤や⼈的資源を割り当てる。

Ø

評価対象のスコープを正確に記述する。具体的にはデータの種類やデータフロー、それらの⼿続き、ステークホルダーの特定などが含まれる。

41

ISO/IEC 29134:2017 Information technology - Security techniques -- Guidelines for privacy impact assessment.

https://www.iso.org/standard/62289.html
42

ISO/IEC 29134:2023 Information technology - Security techniques -- Guidelines for privacy impact assessment.

https://www.iso.org/standard/86012.html
43

後付けでプライバシー対策を実施するのではなく、設計当初からプライバシー配慮が組み込むというコンセプトを表す概念である。

44

第 7 章は PIA 報告書のコンテンツであるため省略した。

22

Ø

リスクや懸念事項を⾒出すためにもステークホルダーと意⾒交換することが推奨される。

●6.4 節は PIA の実施段階についてである。
Ø

データフロー図を完成させる。

Ø

ユースケースにおけるユーザの⾮意図的なものも含む潜在的な⾏動を予測する。

Ø

法的に要求されたり、類似のプロジェクトで実施されたりしているプライバシー保護の要件を特定する。
評価対象となるリスクを特定したうえで45、
リスク分析を実施する。
発⽣可能性（likelihood）

Øと影響の⼤きさ（impact）のレベルを⾒積もる46。分析は定性的でも、半定量的でも、定量的でも、それらの組み合わせでもよいが、実践的には定性的な分析が⽤いられることが多い。
リスク分析の結果は、対策の優先順位付けに役に⽴つようにリスクマップに⽰される47。
Ø

リスク項⽬ごとに最も適切なリスク対策オプションを提⽰する。対策には、リスク削減、リ
スク保持、リスク回避、リスク移転という 4 つのオプションがある。

Ø

PIA 報告書を完成させ、サマリーを加え、企業秘密部分を除いて公表するとともに、リスク対策を実施する。事後的にレビューあるいは監査を⾃らまたは第三者によって実施する。プ
ロセスに⼤きな変更が加えられた場合は PIA を更新する。

●Annex A には、あくまでも参考上のものとしたうえで、影響のレベル（level of impact）と発⽣可能性（likelihood）の⾒積もの⽬安が例⽰されている48。さらに、4 段階×４段階のリスクマップが⽰されている。

45

リスク特定のツールやテクニークを⽤いると書かれているものの具体的な⾔及はない。リスク項⽬の事例は Annex B に列挙されている。
46

具体的な⽅法は、あくまでも参考として、Annex A に記述されている。

47

Figure D.2 に 4×４のリスクマップの例が⽰されている。

48

ISO/IEC 29134 の Annex A より著者作成

23

表１ 影響のレベルと発⽣可能性の⾒積もの⽬安

影響の⼤きさのレベル分け

１ 無視できる（negligible）

２ 限定的な（limited）

発⽣可能性のレベル分け

データ提供者は、影響を受けないか、 選択されたリスク源にとって、⽀援資
多少の不便を被るだろうが、それは産の特性を悪⽤した脅威の実⾏は不可

難なく克服できるだろう（情報の再能と思われる（例えば、バッジリーダ

⼊⼒にかかる時間、煩わしさ、苛⽴

ーとアクセスコードで保護された部屋

ちなど）。

に保管された紙⽂書の盗難）。

データ提供者は、⼤きな不便に遭遇選択されたリスク源にとって、⽀援資する可能性があるが、
多少の困難
（余

産の特性を悪⽤した脅威の実⾏は困難

分なコスト、ビジネスサービスへのと思われる（例：バッジリーダーで保アクセス拒否、恐怖、無理解、スト

護された部屋に保管された紙⽂書の盗レス、軽い体調不良など）にもかか難）

わらず乗り越えることができだろう。

３ 重⼤な（significant）

データ提供者は、重⼤な帰結に遭遇選択されたリスク源にとって、⽀援資する可能性があるが、それは深刻な産の特性を悪⽤した脅威の実⾏は可能

困難（資⾦の不正流⽤、銀⾏によるであると思われる（例えば、受付で⼀ブラックリスト⼊り、財産の損失、 旦チェックインしなければアクセスで雇⽤の喪失、召喚状、健康状態の悪きないオフィスに保管された紙⽂書の化など）を伴うものの、克服できる

盗難など）。

はずである。

４ 最⼤の（maximum）

データ提供者は、乗り越えられない選択されたリスク源にとって、⽀援資

重⼤な、あるいは取り返しのつかな

産の特性を悪⽤した脅威の実⾏は極めい帰結に遭遇しうる（返済不能な負て容易であると思われる（ロビーに保債や就労不能などの経済的困窮、⻑管された紙⽂書の盗難など）。

期にわたる精神的・⾁体的疾患、死亡など）。

出展）ISO/IEC 29134:2023 Annex A

24注）本表では”PII principals”（個⼈を特定できる情報に関係する⼈）を、欧州 GDPR に合わせて「データ提供者」と訳している。

おわりにISO も含めて７つの国・地域・機関の PIA の取り組みを概観した。浮かび上がってきた共通するポイントを最後にまとめておきたい。
●PIA は単なるツールではなく、プロセスであることが強調されている。結果だけでなく、プロセスを通して、プロジェクトやシステムの全体像の把握、ステークホルダーの把握や参加、ステークホルダーへの説明と信頼の獲得といったメリットが得られることの重要性が指摘されている。
●⼯学分野などの従来のリスクアセスメントは、エンドポイント（何を守りたいか）が⾃明で、客観性・定量性を追求するものであったのに対して、情報技術分野のリスクアセスメントは、リ
スク項⽬の洗い出しが重要であり、リスクの⾒積もりは主観的・定性的にならざるを得ない。その⽬的も、正確な評価を追求することよりも、⾃組織内及び社会に対して、当該データ利活⽤が「安全である」と考えていることを具体的に⽰すことにある。
●社会（特に個⼈のプライバシー）への影響の⼤きなものほど、詳細な PIA を実施すべきとしている。これは⽐例性（proportionality）の原則と呼ばれることもある。これは常識的な態度であるものの、ガイドなしに⾃ら判断することは困難であると指摘されることもある。
●リスクの評価⽅法には、原則と照らし合わすチェックリスト⽅式（⽶国やオーストラリア）から影響の⼤きさと発⽣可能性の⼆軸でのリスクマップ（英国、ニュージーランド、ISO/IEC）まで多様であることである。⼆軸の場合も、３×３の英国と４×４の ISO/IEC、5×5 のニュージーランドがある。
最後に、本 NOTE は「プライバシー」影響評価を扱ったが、AI も含むパーソナルデータ利活⽤のリスクはプライバシーに限らない。むしろプライバシーに限定することで⼤事なリスクを⾒逃してしまうリスクが⾼くなりかねない。実際、AI の社会実装に伴うリスクは最近”AI Safety”として議論されているが、その場合のリスクは、誤情報・偽情報や著作権の侵害、⺠主主義への脅威など多様である。枠組みとしては PIA を使いつつ、対象とするリスク、⾔い換えると「何を守りたいか」を拡⼤していく必要があるだろう。その場合に PIA という呼称が実態を合わなくなる可能性もある。その際は、別の呼称を与えてもよいだろうし、単に「リスクアセスメント」としてもよいかもしれない。

25

ELSI NOTE No. 39

令和 6 年 4 ⽉ 1 ⽇

パーソナルデータ利活⽤のためのリスクマネジメント（1）プライバシー影響評価（PIA）の制度化
岸本 充⽣

⼤阪⼤学 社会技術共創研究センター センター⻑（2024 年 4 ⽉現在）
データビリティフロンティア機構 教授

Risk Management for Personal Data Utilization (1)Institutionalization of Privacy Impact Assessment (PIA)
Atsuo KISHIMOTO

Osaka University26〒565-0871 ⼤阪府吹⽥市⼭⽥丘 2-8
⼤阪⼤学吹⽥キャンパステクノアライアンス C 棟 6 階
TEL 06-6105-6084
https://elsi.osaka-u.ac.jp27