Copyright © Kazuhiko.Takano

マイナンバー法におけるプライバシー保護
関西大学
社会安全学部・大学院社会安全研究科教授 博士（法学）高野 一彦

Copyright © Kazuhiko.Takano

Phase 1 「情報」に関する国内の諸課題
頻発する情報流出事件
1999年 宇治市住民基本台帳データ流出事件（委託先アルバイトの持出し）：

2004年 ヤフーBB顧客情報流出事件 460万件（内部者の窃取）
2006年 防衛庁／自衛隊「秘」扱い情報流出事件（ウイニー）
2007年 大日本印刷個人情報流出事件 863万件（委託先社員の窃取）
2007年 デンソー技術データ流出事件 13万点の図面（内部者の窃取）

2007年 警視庁捜査情報流出事件 １万件（ウイニー）
2009年 アリコ顧客情報漏えい事件 13万件（委託先からの流出？）
2009年 三菱UFJ証券顧客情報流出事件 148万件（部長代理の窃取）
2010年 尖閣諸島沖ビデオ映像流出、警視庁国際テロ捜査資料流出
2011年 ソニーPSNから7000万人を超える個人情報が流出：Copyright © Kazuhiko.Takano

民間部門： 情報流出の発生頻度
技術情報の流出

出典：経済産業省「製造業関係企業に対するアンケート調査」2006年<http://www.gov-online.go.jp/useful/article/200805/4.html>

個人情報の流出

出典：内閣府｢個人情報の保護に関する事業者の取組実態調査（概要）｣（H19.4）

企業における情報流出は、他のリスクに比べて、発生頻度が極めて高く、発生時の損失も大きい。
『情報セキュリティー』は経営上の重要マター

Copyright © Kazuhiko.Takano

民間部門： ICTの発展に伴い顕在化する新たな課題① 行動ターゲティング広告（Behavioral Targeting AD, BTA）：
アクセスログなどを分析して最適な広告を表示する
新たなマーケティング手法だが、個人特定情報でないため、個人情報保護法の適用外② 収集したデータの紐付け
G社 は本年3月1日にプライバシーポリシーの統合を実施。
・60以上のサービス（メール、カレンダー、Mapなど）で収集する個人データを統合
・アンドロイド携帯のログ情報（位置情報、通話の相手方、通話時間など）も対象

各国のデータ保護機関がプライバシー侵害の懸念を表明

民間部門の情報管理を一定程度監視し、新たな課題に対して統一的な解釈を示す機関が必要 ⇒ 保護と利用のバランス

Copyright © Kazuhiko.Takano

公的部門： 行政機関の情報インシデント
行政機関等の情報インシデント「平成22 年度、各行政機関又は独立行政法人等において個人情報の漏えい、滅失、き損（中略）が発生したと認められる事案の件数は、行政機関では498 件（昨年度321 件）、独立行政法人等では2,006 件（昨年度2,216 件）」
出典：総務省「平成22 年度における行政機関及び独立行政法人等の個人情報保護法の施行の状況について（概要）」2011年11月18日、6頁。

・国際テロ情報、尖閣映像流出などの情報流出事件
・旧社会保険庁、消えた5000万件の年金記録問題
参考：行政機関個人情報保護法 第5条（正確性の確保）

・100歳を超える高齢者の行方不明
参考：個人情報保護法・条例の解釈に課題

公的部門も同様に、その情報管理を一定程度監視し、またファジーな問題に対して統一的な解釈を示す機関が必要

Copyright © Kazuhiko.Takano

Phase 2 プライバシーに関する国際的な課題
EUデータ保護指令 （1995 年10 月24 日採択，1998 年10 月24 日発効）
個人データ処理に係る個人の保護及び当該データの自由な移動に関する欧州議会及び理事会の指令
指令25条1項：第三国が「十分なレベルの保護」（adequate level ofている場合に限りデータ移転を行うことができる。

protection）を確保し「指令（directive）」＝全加盟国が国内法として立法義務（EC条約189条）※EU加盟国27か国および欧州経済領域（European Economic Area, EEA)構成国であるノルウェイ、リヒテンシュタイン、アイスランドに対して同指令に従った国内法の整備を求めている

プライバシー保護の十分性評価
・第三国の代表による公式な要請が欧州委員会に提出された場合、EUデータ保護指令第29条作業部会（Article 29 Working Party）が評価を行い，欧州委員会が最終判断を行う。
・十分性評価の基準は公開されていない。

Copyright © Kazuhiko.Takano

わが国の状況「十分性」の認定手続きを申請していない。
したがって、EUによって認定されていない第三国として、原則としてＥＵ加盟27国及びＥＥＡ加盟3国から日本への個人データの移転ができない。

申請したらどうか？

１．EUによるわが国の十分性の評価「日本は、個人の私生活にかかわる個人データ及び基本権に関して十分な保護を提供している国であるとは、EUによってまだ考えられていない」
ブリュッセルのデータ保護会議（2009年4月23日）における、欧州委員会・司法安全総局のハナ・ペチャコバ女史の発言として紹介

２．欧州委員会の調査

堀部政男「プライバシー・個人情報保護の国際的整合」 堀部政男編著『プライバシー・個人情報保護の新課題』商事法務、2010年、52頁。

「特に科学技術の発展に照らしたプライバシーの新たな課題に対する異なるアプローチに関する比較研究」調査（2010年1月20日公表）では、Graham Greenleaf氏（New SouthWales大教授）の論文で十分性に関して肯定的な評価をしていない。
（消費者庁「個人情報保護制度における国際的水準に関する検討委員会・報告書」2012年3月）

Copyright © Kazuhiko.Takano

日本企業の対応
EUデータ保護指令26条1項、2項及び4項に例外的措置
・例外①情報主体の明確な同意②情報主体と管理者との契約③管理者と第三国との契約③EU 委員会による標準契約による移転など実質的な経済障壁

・EU域内で完結（移転しない）

わが国の企業が求められる過剰な管理①重層的な法制度

個人情報保護法
個人情報保護法に基づく各省庁のガイドライン
47都道府県・1750市町村等の個人情報保護条例
JIS Q 15001（プライバシーマーク）②個人情報＋利用目的の管理のためのデータベース構築

わが国の企業は、膨大なコストと労力をかけて情報管理体制を構築しているにもかかわらず、国際的な評価が低い

Copyright © Kazuhiko.Takano「十分なレベルの保護」の基準の類推①EUデータ保護指令との比較②十分性を評価されなかった、オーストラリアの2000年プライバシー修正法へのEU委員会コメントから類推EUデータ保護指令
適用の対象

情報の種類

日本の個人情報保護法

個人、法人、公的機関等

5000件を超える個人情報を保有する事業者

特別な種類のデータの取扱いを制限

情報の質による法律上の義務の違いはない※人種又は民族、政治的見解、宗教又は思想的信条、労働組合への加入、健康又は性生活に関するデータの取扱い禁止等※個人情報＝特定の個人を識別することができる情報等

開示請求等

出訴可能な権利（right）

事業者の義務

第三国への移転「十分なレベルの保護」でない第三国への情報の移転を制限

なし

監視機関
制裁

独立した監視機関が官民双方を監視※独立性要件

主務大臣が民間を監視
行政の監視機関はない

規定違反への法的制裁

事業者への行政行為

Copyright © Kazuhiko.Takano

Phase 3：マイナンバー法におけるプライバシー保護2011年1月31日
社会保障・税に関わる番号制度についての基本方針
個人情報保護WG
１．国民が自己情報へのアクセス記録を確認できる制度を法的に担保する規定
２．個人情報保護法制の円滑な執行と適切な運用を担保するための第三者機関
2011年4月
2011年6月「社会保障･税番号要綱」「社会保障・税番号大綱」
衆議院内閣委員会で審議⇒？

（2013年1月～ 個人番号情報保護委員会の設置予定であった）

Copyright © Kazuhiko.Takano

１．監視機関個人番号情報保護委員会
内閣総理大臣のもとに三条委員会（国家行政組織法3条）として設置
所掌事務
・特定個人情報の取扱いの監視又は監督・特定個人情報保護評価に関することなど
権限等
・指導、助言、勧告、命令、報告及び立入検査の実施権限、規則の制定権

独立性

官民双方の監視・監督・独立性を有した監視機関 ⇒ 実効性の担保
・個々の事案の統一的な判断、国際間の協調⇒ 過剰・過少反応の減少 ⇒ 保護と利活用のバランス

Copyright © Kazuhiko.Takano

２．PIA（Privacy Impact Assessment）の実施
特定個人情報保護評価
情報システム開発前の段階で、プライバシー等に関する影響を自己評価し、個人番号情報保護委員会の承認を受けることを、行政機関等に義務付けている。
Privacy by Designの思想
カナダ、アメリカ、オーストラリアなどで実施されている、プライバシー影響評価（Privacy Impact Assessment：PIA）と同じシステム設計の段階で、プライバシー保護の思想を加味することで、制度全体のプライバシー保護の十分性を確保Copyright © Kazuhiko.Takano

３．罰 則
特定個人情報の不正取得・開示・提供等行為への刑事罰の創設
わが国における情報の不正取得への刑事罰
１．情報の不正取得に対し、有体性説を有力説とする刑法の財産犯規定の適用は困難であった。
ex.大日本印刷事件東京地判昭40.6.26、京王百貨店事件昭62.9.30

２．不正競争防止法における営業秘密侵害罪は、「秘密管理性」の要件が厳しく、実効性に乏しかった。
ex.営業秘密に関する裁判例で、81件は秘密管理性の判断をしたと考えられ、肯定したものは23 件（経済産業省「営業秘密管理指針」2010年、8頁）

欧米諸国との比較
営業秘密：アメリカ96年 経済スパイ法（Economic Espionage Act）
経済スパイ罪、トレード・シークレット窃盗罪の創設
ex.U.S. v. Okamoto, Serizawa(2001年)、U.S. v. Zhu, Kimbara（2002年）

個人データ：UK98年データ保護法（Data Protection Act 1998）
第55条 個人データの違法な取得等への刑事罰

個人情報の不正取得への刑事罰の必要性

Copyright © Kazuhiko.Takano

４．マイナンバー法におけるプライバシー保護・独立性が高い監視機関の設置
・プライバシー影響評価の実施と運用
・情報の不正取得への刑事罰
・「マイ・ポータル」により自己の特定個人情報へのアクセス及びアクセス記録の確認ができる制度など

マイナンバー法におけるプライバシー保護の制度は「国際的にも通用する強度」※※堀部政男「日本のプライバシー保護は要見直し 「マイナンバー」実施は絶好の機会」
日経コミュニケーション2011.10、52頁

今後の課題
１．個人番号情報保護委員会の制度設計
２．委員会規則の制定による運用の明確化
３．特定個人情報以外の情報のプライバシー保護をどうするか？
企業が保有する特定個人情報以外の情報の保護をどうするか？

Copyright © Kazuhiko.Takano

Dr. Ann Cavoukian
Information and Privacy Commissioner of Ontario
2011年8月11日（木） IPC Office を訪問 :Commissioner, Assistant Commissioner (Privacy, Access各1名) 他

１．Commissionerの職責
プライバシー保護と情報公開の両分野について、独立した法執行機関として、官民双方を監視
・法の遵守監視と執行・国民への情報提供、教育啓発、事業者の相談
・プライバシー影響評価と検査 （官民双方）など

２．Commissionerの権限
・強制調査権、自己付託権、訴訟遂行権、勧告、命令

３．Commissioner Officeの人事・140人のスタッフ、行政機関との人事交流あり（情報公開担当の副委員長は行政出身）

日本への示唆：監視機関の委員長人選と独立性を保つ制度設計
ex.イギリス インフォメーション・コミッショナー制度⇒ ウイルムズロー（ロンドンから2時間余）、人員327人※（IOCが独自採用）⇒独立性確保の努力※出典：石井夏生利「英国におけるインフォメーション・コミッショナーの組織と権限」2010年8月21日、17頁。