2010/12/19

共通番号制と国民ID時代に向けたプライバシー・個人情報保護法制のあり方＜課題と提言＞
第3回プライバシー・個人情報保護シンポジウム
学術総合センター会議室
2010年12月19日（日）一橋大学名誉教授 堀部政男

連続シンポジウム• 共通番号制と国民ID時代に向けたプライバシー・個
人情報保護法制のあり方＜課題と提言＞• 第1回シンポジウム（2010年8月21日（土）、東京大学情報学環福武ホール）• 第2回シンポジウム（2010年10月9日（土）、一橋記念講堂）• 第3回シンポジウム（2010年12月19日（日）、学術総合センター会議室）• 第4回シンポジウム（2011年3月26日（土）、関西大学東京センター（サピアタワー） 大教室）

1

2010/12/19

番号制度と国民ID時代• 番号制度―国家戦略室・社会保障・税に関わる番号制度に関する検討会中間とりまとめ（2010年6月29日）、プライバシー保護を任務とする「第三者機関」を設置する。
• 国民ID―高度情報通信ネットワーク社会推進戦略本部・新たな情報通信技術戦略工程表（2010年6月22日）、「国民ID制度の導入と国民による行政監視の仕組みの整備」
その中の「短期（2010年、2011年）」で「個人情報保護に関して自己情報を確認できる仕組み等を検討するとともに、監視等を行う第三者機関の在り方を明確化する。」「中期（2012年、2013年）」で「国民ID制度や第三者機関の設置等に関する制度設計、関連法令の整備を行う」、「国民ID制度に関するシステム要件の整理を行うとともに、システム設計、構築に着手し、第三者機関の設立準備を開始する。」

共通番号制度の中間整理案
2010年12月3日開催の社会保障改革検討本部（本部長・菅首相）の実務検討会（座長・仙谷官房長官）で中間整理案
••
•
•
•

当初の利用範囲―税務と社会保障
2011年1月 基本方針
2011年6月 社会保障・税番号大綱（仮称）策定
2011年秋以降 法案提出
（2010年10月29日から社会保障・税に関わる番号制度は、内閣官房社会保障改革担当室の所管となった。）

2

2010/12/19

住民基本台帳ネットワークシステム関係訴訟
住民基本台帳ネットワークシステムについて全国で多くの訴訟が提起された。（1）国が被告となっている訴訟と、（2）国が被告となっていない訴訟に分けられる。
（1）のうち、「国に対する損害賠償請求と、都道府県、市町村、地方自治情報センターに対して住民票コードの削除等を求める訴訟」は全国で35件提起され、34件が確定、1件が係属中。その5件について最高裁第1小法廷は、2008年3月6日、住基ネットにより本人確認情報を収集、管理又は利用する行為は憲法13条に保障された権利ないし自由を侵害しないとして上告を棄却した。（2）の「損害賠償と住民票コードの削除等を求める訴訟」の1件について、2006年11月30日に大阪高裁で違憲判決が出て注目された。最高裁第1小法
廷は、2008年3月6日、住基ネットにより行政機関が住民の本人確認情報を収集、管理又は利用する行為は当該住民がこれに同意していないとしても、憲法13条の保障する個人に関する情報をみだりに第三者に開示又は公表されない自由を侵害するものではないとして大阪高裁判決を破棄し自判した。
その後、最高裁判決にそった下級審判決が出ている。

プライバシー・個人情報保護―
信頼性構築の基礎• プライバシー・個人情報の法的保護→規制という発想→事業展開の阻害要因• 発想の転換が必要• 保護しながら活用するという認識―各国がそれぞれ保護措置を講じ、情報流通を自由化し、活用するという認識• このような認識は国内的にも組織内的にも必要• プライバシー・個人情報保護のルール化→保護することによる信頼性の構築• 高度情報通信ネットワーク社会発展のインフラストラクチャー• インフラストラクチャー構築のない施策は砂上の楼閣

3

2010/12/19

第1回シンポジウム以降の関連記事の例示• 堀部政男「個人情報に『過剰反応』―広がる高齢者の所在不明を考える」、毎日新聞2010年8月27日（金）朝刊「論点」• 鈴木正朝コメント「個人情報保護の監視機関『番号制』で設立焦点に」、田原和政「論点争点 メディアと人権・法」、日本
経済新聞2010年8月30日（月）朝刊• 堀部政男の発言に言及、若江雅子「日本は個人情報途上国―ITの急激な進歩」、読売新聞2010年9月3日（金）朝刊「緩急話題」• 堀部政男の発言紹介「個人情報活用へ第三者機関を」、日本経済新聞2010年10月4日（月）朝刊「傍聴席」

堀部政男の発言に言及、若江雅子「日本は個人情報途上国」、読売新聞2010年9月3日（金）朝刊• 「日本も欧州やカナダのように、一括して対応するプライバシーコミッショナーが必要。今のままでは世界から取り残される」。個人情報保護法の生みの親、堀部政男一橋大学名誉教授はこう憂える。プライバ
シー保護が不十分な第三国への個人情報移転を禁じる、欧州連合（EU）の「個人データ保護指令」が発効したのは1998年。日本はいまだに『十分な』国とは認められておらず、「欧州の日本法人は現地採用の社員の人事を本社に伝えるにもひと苦労」（堀部氏）という。

4

2010/12/19

堀部政男の発言紹介「個人情報活用へ第三者機関を」、
日本経済新聞2010年10月4日（月）朝刊「傍聴席」
一橋大学名誉教授堀部 政男氏（74） 「個人情報活用へ第三者機関を」◎・・・高齢者の所在不明や年金の記録不備問題、国民ID制度の導入検討などを背景に、個人情報の適切な管理・保護の重要性が増している。事業者や公的機関に対し「監視に加え、適法な活用範囲などの助言機能を持つ第三者機関の設立が必要だ」と、情報法の第一人者である堀部政男・一橋大学名誉教授は提言する。
◎・・・先行する欧州では、欧州連合（EU）各国の第三者機関代表で構成する作業部会が具体的な利用ルールなどを作成し、大手事業者に順守を求めている。こうした機関の設置が「国際的整合性の観点からも不可欠だ」と指摘する。

情報法分野の発言• 情報公開• 取材テープ提出命令• 公安情報流出• 尖閣ビデオ流出• 法廷少年イラスト禁止• 公安情報出版差止め• ウィキリークス

52010/12/19

個人情報保護の国際的整合性と沖縄個人情報保護特区構想<抜粋>
IGF‐Japan設立に向けて～沖縄～
IT津梁パーク
2010年10月30日（土）一橋大学名誉教授 堀部政男

沖縄個人情報保護特区化法（仮称）等の検討
•••
•
•

•
••

これらの経験から、当面、次のようなことが考えられる。
EUデータ保護指令のレベルを満たす「沖縄個人情報保護特区化法（仮称）」の検討「沖縄県個人情報保護特区化法（仮称）」の制定
体制整備、特に個人情報保護独立監視機関の設置条例による対応（株）レキサスの「個人データ保護認証」取得（ニュース・リリース2010年10月26日⇒秘密分散技術を活用したデータ通信・保管サービスについて、国際的な第三者認証機関テュフラインランドジャパン株式会社により、EUデータ保護指令及びドイツ連邦データ保護法の関連要求事項を満たす適切な保護措置を講じているとして、国内で初めて認証された。）
EUに審査要請
クラウドコンピューティング時代に適合的なデータセンターの振興
個人情報保護特区の沖縄の情報産業の高度化⇒情報産業の発展

62010/12/19

沖縄の特徴①支援制度
•••
•
•
•
•

新通信コスト低減化支援事業
沖縄GIX（アジアへのアクセス）＊
地域雇用開発助成金
人材育成支援策
経済特区制度支援施設
沖縄IT津梁パーク＊沖縄GIX構築事業• 沖縄県から直接アジア等海外への接続可能なGIX（グローバルインターネットエクスチェンジ）を活用し、アジア向けの情報発信拠点とすることが可能（沖縄県の資料による）沖縄の特徴②経済特区・税制の優遇措置• 経済特区（情報通信産業振興地域・情報特区の指定）• 税制の優遇措置
1. 情報通信産業振興地域（県内24市町村）（1）対象業種：情報通信産業等 ※電気通信業、ソフトウェア業、コールセンター業等7業種（2）設備・機械等の投資税額控除等（国税・地方税）
2. 情報通信産業特別地区（那覇市、浦添市、名護市、宜野座村）（1）対象業種：特定情報通信事業 ※IDC, ISP, IX（10名以上雇用の新設法人）（2）設立後10年間、所得の35％控除
3. 金融業務特別地区（名護市）（沖縄県の資料による）

7

2010/12/19

これらの課題の検討方法が課題• ここでは、EUデータ保護指令のレベルを満たす「沖縄個人情報保護特区化法（仮称）」の検討を掲げた。
• いくつかの法律の立法過程にかかわってきた経験からすると、産官学がその必要性を認識し、取り組まなければならない。
• その他の手法についても検討が必要である。
• 2010年7月、ボランティアによる「沖縄セキュア・クラウド推進協議会」 (Okinawa Secure Cloud Promotion Council, OSEC)が結成された。
• 現段階では、これらの課題の検討方法が課題である。
• 大いに議論することを期待したい。

8

2010/12/19

民主党税制改正PT総会
2010年11月9日（火）＜アウトライン＞
堀部政男「番号制度とプライバシー・個人情報保護の課題―第三者機関設置の必要性」• はじめに 自己紹介
• 番号制度・国民ID政策の明確化• ・番号制度検討開始（2010年2月8日）⇒第三者機関設置の堀部のコメント（朝日新聞2010年2月9日朝刊）• 住民基本台帳ネットワークシステム関係訴訟• 連続シンポジウム• 沖縄個人情報保護特区構想と第三者機関• 第三者機関の国際基準• プライバシー・バイ・デザイン（Privacy by Design, PbD）の重要性

92010/12/19

データ保護機関の考え方
IT戦略本部・電子行政に関するタスクフォース
平成22年11月19日
一橋大学名誉教授 堀部 政男

第三者機関の多義性• 第三者機関・第三者委員会という用語の多用
傾向と多義性• 第三者評価機関、第三者認証機関・・・• 内部の関係者以外の者による構成• 地方公共団体における情報公開・個人情報保護分野の第三者機関論議（1970年代末～1980年代初頭）⇒結果的には諮問委員会的性格の審査会・審議会の設置

10

2010/12/19

プライバシー・個人情報保護―信頼性構築の基礎• プライバシー・個人情報の法的保護→規制という発想→事業展開の阻害要因• 発想の転換が必要• 保護しながら活用するという認識―各国がそれぞれ保護措置を講じ、情報流通を自由化し、活用するという認識• このような認識は国内的にも組織内的にも必要• プライバシー・個人情報保護のルール化→保護することによる信頼性の構築• 高度情報通信ネットワーク社会発展のインフラストラクチャー• インフラストラクチャー構築のない施策は砂上の楼閣

個人情報関連第三者機関言及例①• 国民生活審議会「個人情報保護に関する取りまとめ（意見）」（2007年6月29日） 「Ⅷ 第三者機関の意義 」（後述）• 民主党社会保障番号PT「番号制度の導入について（素案）」（2009年7月1日）「（3）付番を行う機関」の中で「なお、納税者の権利を重視する観点から、「国税不服審判所」のあり方や手続きを見直すとともに、個人情報保護を重視する観点から、行政機関の個人情報保護の状況を適正に監督する第三者機関設置も含め検討を行う。」

11

2010/12/19

個人情報関連第三者機関言及例②• 国民ID―高度情報通信ネットワーク社会推進戦略本部・新たな情報通信技術戦略工程表（2010年6月22日）、「国民ID制度の導入と国民による行政監視の仕組みの整備」
その中の「短期（2010年、2011年）」で「個人情報保護に関して自己情報を確認できる仕組み等を検討するとともに、監視等を行う第三者機関の在り方を明確化する。」「中期（2012年、2013年）」で「国民ID制度や第三者機関の設置等に関する制度設計、関連法令の整備を行う」、「国民ID制度に関するシステム要件の整理を行うとともに、システム設計、構築に着手し、第三者機関の設立準備を開始する。」

個人情報関連第三者機関言及例③• 番号制度―国家戦略室・社会保障・税に関わる番号制度に関する検討会中間とりまとめ（2010年6月29日）、プライバシー保護を任務とする「第三者機関」を設置する。
• これらでいう第三者機関は、国際的には「データ保護機関」（Data Protection Authority,DPA）、「独立監督機関」（Independent Super‐visory Authority）等と総称されることがある。

12

2010/12/19

データ保護機関の国際基準①• 国民生活審議会「個人情報保護に関する取りまとめ（意見）」（2007年6月29日） 「Ⅷ 第三者機関の意義 」の（参考）に記述（参考）国際的には，第三者機関として，次の要件を充足することを求める例がある注。自主性・独立性や，適切な範囲の機能及びその実施の法的な権限による担保の観点から，我が国の機関がこの要件を充足することは困難であると考えられる。
① 適切な法的根拠に基づいて設置された公的機関であること。
② 所掌事務の遂行のために適切な水準の自主性・独立性が保証されていること。
自主性については，第三者機関が，法的・実務的に，第三者の許可を得ずに適切な措置を講じる権限を付与されていることが求められる。独立性については，第三者機関が政治的・行政的干渉を受けずに活動し，既得権益の影響に耐えることができるために重要である。
③ 所掌事務を定めている法律が，データ保護やプライバシーに関する国際的な枠組みに準拠していること。

データ保護機関の国際基準②④ 適切な範囲の機能を有しており，その実施が法的な権限により担保されていること。
データ保護の第三者機関は，法令順守，監督，調査，救済，指導及び公教育等の分野について，一連の機能を有する。第三者機関は，助言的な機能を有するだけなく，法的・行政的な結果を伴う監督権限を有さなければならない。
注： 「資格に関する委員会の基準及び規則並びに認定の原則」（2001年９月25日データ保護コミッショナー国際会議採択（2002年９月９日データ保護プライバシーコミッショナー国際会議改定））による。
（以上、国民生活審議会「個人情報保護に関する取りまとめ（意見）」 からの抜粋）

132010/12/19

資格に関する委員会の基準及び規則並びに認定の原則• 堀部政男による注
CRITERIA AND RULES FOR CREDENTIALS COMMITTEE AND THE
ACCREDITATION PRINCIPLES
Adopted on 25 September 2001 during the 23rd International Conferenceof Data Protection Commissioners held in Paris, 24‐26 September 2001
and as amended on 9 September 2002 during the 24th International
Conference of Data Protection and Privacy Commissioners held in Cardiff
9‐11 September 2002

日本のデータ保護機関の設計①• オムニバス（1つのデータ保護機関―公的部門・民間部門を対象）• セクトラル（公的部門・民間部門をそれぞれ対象）• サブセクトラル（公的部門でも、社会保障、税、電子行政その他の分野をそれぞれ対象）

14

2010/12/19

日本のデータ保護機関の設計②―参考• 国家行政組織法3条委員会（独立行政委員会）• １ 国家行政組織法第３条（及び別表第一）に基づき設置されるもの○ 公害等調整委員会○ 公安審査委員会○ 中央労働委員会○ 運輸安全委員会

日本のデータ保護機関の設計③―参考• ２ 上記以外の個別法に基づき設置されるもの○ 人事院
国家公務員法（昭和２２年法律第１２０号）第３条○ 公正取引委員会
私的独占の禁止及び公正取引の確保に関する法律（昭和２２年法律第５４号）第２７条○ 国家公安委員会
警察法（昭和２９年法律第１６２号）第４条

15

2010/12/19

日本のデータ保護機関の設計④―参考• 行政委員会の中には行政を監視する委員会の例が見られない。
• 会計検査院の存在• どのようなデータ保護機関を設けるかによって設計することになる。

IT担当室・第三者機関論点• 情報通信技術（IT）担当室「個人情報保護に関する第三者機関に係るこれまでの論点」（平成22年11月19日）• 第三者機関の考え方• 論点① 権限• 論点② 組織• 論点③ 独立性• 論点④ 責任16

2010/12/19

論点の項目• 論点① 権限―1 業務範囲、2 権限、3 国際協調
• 論点② 組織―1 組織の形態、2事務局の在り方、3 財源の在り方• 論点③ 独立性―1 独立性の確保、2 他の機関との関係• 論点④ 責任―1 評価、2 責務

プライバシー論議のキーワードの1つ：
privacy by design17

2010/12/19

Dr. Ann Cavoukian: Information and Privacy
Commissioner of Ontario, Canada

オンタリオ州情報・プライバシー・コミッショナーのアン・カブキアン博士• Dr. Ann Cavoukian• トロント大学でPh.D.取得、刑事学と法を専攻• 1980年代初頭 オンタリオ州司法省に勤務• 1987年 情報・プライバシー・コミッショナー事務局に勤務、初代のコンプライアンス部長• 1990年 副コミッショナーに任命• 1997年 コミッショナーに任命、その後再任され、任期は2009年まで• 2014年まで再任、3期務める最初のコミッショナー

18

2010/12/19

堀部政男「プライバシー・バイ・デザイン」①
レクシスネクシス・ジャパン Business Law Journal 2011.2

このタイトルに掲げた「プライバシー・バイ・デザイン」（privacy by design, 最近ではPbDと表記される）を知っている人は、日本にはほとんどいないであろう。これを簡潔な日本語として表現するのは容易ではない。今後、適切な日本語表記が考え出されることを期待しつつ、仮に表現してみると、「プライバシー（保護）設定設計」、「プライバシー（保護）設計」、「プライバシー（保護）設定」、「設計プライバシー」などとなるであろう。しかし、ここでは、とりあえず、プライバシーというカタカナ語と同様にカタカナ表記をしてみた。

堀部政男「プライバシー・バイ・デザイン」②
レクシスネクシス・ジャパン Business Law Journal 2011.2

PbDという言葉は、1990年代中葉から後半にかけて、カナダで開かれたプライバシー関係の国際会議の際などに、現在、オンタリオ州情報・プライバシーコミッショナーであるアン・カブキアン博士（Dr. AnnCavoukian）が使っているのを聞いたことがあった。
また、アンが、PETｓ（privacy‐ enhancingtechnologies）［プライバシー強化技術］という概念をよく口にしていたのを記憶している。

19

2010/12/19

堀部政男「プライバシー・バイ・デザイン」③
レクシスネクシス・ジャパン Business Law Journal 2011.2

アンとは、それ以来の知合いで、他の国際会議などでも言葉を交わしてきている。アンは、法学者であって、プライバシー関係の著書・論文を多数ものしている。サイン入りで贈呈されたものもかなりある。
PbDについては、以前から認識し、日本でも誰か論じるであろうと期待していたが、いっこうにその気配が感じられないので、ここで紹介することにする。
PbDは、簡単にいえば、個人情報を取り扱うシステムを構築するにあたって、最初からプライバシー保護策を講じておくということである。

堀部政男「プライバシー・バイ・デザイン」④
レクシスネクシス・ジャパン Business Law Journal 2011.2

最近では、多くの人がそれぞれの立場でPbDについて論じている。1995年のEUデータ保護指令の改正論議の中でも、改正に当たっては、PbDを重要視している。
2010年10月の最終週にイスラエルのエルサレムで開催された第32回データ保護・プライバシー・コミッショナー国際会議の前に同地でPbDに関する国際会議が開かれた。

20

2010/12/19

堀部政男「プライバシー・バイ・デザイン」⑤
レクシスネクシス・ジャパン Business Law Journal 2011.2

また、コミッショナー会議は、PbDに関する決議を採択した。私も会議に誘われたが、この週は、沖縄で、APEC情報通信・情報産業大臣会合が開かれ、それの関連する会議でスピーチをするため、残念ながら参加できなかった。
アン自身が掲げるPbDの7原則を見るのが、この概念を理解する近道であるので、その原則を紹介する。

堀部政男「プライバシー・バイ・デザイン」⑥
レクシスネクシス・ジャパン Business Law Journal 2011.2

それらは、①回顧的でなく先見的；事後救済的でなく予防的、②デフォルトとしてのプライバシー、③デザインはめ込みプライバシー、④全機能性―ゼロサムでなくポジテイブサム、⑤エンドからエンドまでのセキュリティ―ライフサイクル保護、⑥可視性及び透明性、⑦ユーザー・プライバシー尊重である。
この論稿が、ビジネス法務の分野でも、PbDを認識する機会となり、プライバシー保護の万全を期すために日本でも大いに論じられるようになることを期待している。

21

2010/12/19

22