「顔認証技術を活⽤した One ID サービスにおける個⼈データの取扱いに関するガイドブック」に対する意⾒
⼀般財団法⼈情報法制研究所 個⼈情報保護法研究タスクフォース（板倉陽⼀郎、⾼⽊浩光、丸橋透）

2020 年 2 ⽉ 4 ⽇
意⾒ 1 「One ID」なる名称の正体（出⾃、現在の使われている状況）を明らかにするべきである。
理由
本件ガイドブック案は、タイトルに「One ID サービス」とあるが、「One ID」がどのような性質の⾔葉なのか全くわからない。特定の企業の事業名称なのか、成⽥空港固有の事業名称なのか、それとも国際的な取り決めによって⾏われる世界共通の事業の名称なのかといったことが、本件ガイドブック案には⼀切書かれておらず不明である。あたかも当然に存在して然るべきサービスの名称であるかのような誤解を与える。説明を書くことに不都合があるならその旨を明らかにされたい。少なくとも、Google で検索したところ、IATA に「One ID」のコンセプト紹介サイトが⾒つかるので、それとの関係を明らかにされたい。
また、もし世界共通の事業であるなら、各国での実施状況について説明されたい。
意⾒ 2 航空会社と空港会社との間の相互の第三者提供ではなく、航空会社から空港会社への委託として整理するべきである。
理由
本件ガイドブック案は、「事業者が航空会社経由で旅客の個⼈データを取得する場合については、実運⽤を考慮し航空会社から事業者への第三者提供として整理する。
」としているが、これは、航空会社から事業者（空港会社）への個⼈データ処理の委託（個⼈情報保護法23 条 5 項 1 号）として整理すれば⾜りるはずである。
実態として、誰が data controller であるのか。12 ⾴に「搭乗⼿続きに際して⾏われる本
⼈確認や搭乗券確認は、国⼟交通省の指⽰に基づき、航空会社の責任のもとで⾏うものであり、これは、One ID サービスが導⼊されても変更がない。
」とあることから、本来機能のみの実現ならば、航空会社が data controller であって、空港会社は data controller ではない（航空会社の指⽰に従った処理しか⾏うことのできない data processor である）ことは明らかである。
なんでもかんでも第三者提供の扱いにして本⼈同意を必須にすれば個⼈の権利利益保護に資するとする考えがあるなら、それは誤りであり、逆効果であることを指摘しておかねばならない。第三者提供として整理するということは、data controller が⼆者いて、それぞれが独⾃に個⼈データを制御し得るということを意味し、本⼈はそれぞれについてその利⽤⽬的を理解しなければならず、全貌の把握をより困難なものにしてしまう。同意を必須にするといっても、内容を理解しないまま利⽤せざるを得ない状況に置かれることが予想され、本⼈同意が形骸化することになるだけであるし、⼈々が同意疲れによって個⼈データ保護を諦めてしまうことを助⻑することにさえなりかねない。
委託として整理することは、なにも本⼈同意を迂回するための潜脱的⼿法というわけではない。個⼈データ処理の透明性を⾼めるためにも、data controller が⼀者となる委託の形で整理する⽅が、本⼈の理解が容易く、優れているのだということを重視するべきである。
第三者提供に係る本⼈同意は、あくまでもそうした整理ができない事業形態の場合に例外的に採⽤せざるを得ない性質のものと理解するべきである。
本件ガイドライン案 10 ⾴は、「第三者提供として整理する」理由を「実運⽤を考慮し」として、以下のようにその理由を挙げているが、いずれも誤りであり、第三者提供として整理する必要性の根拠になっていない。
第 1 に、「⾃動チェックイン機においてトークンを⽣成する場合には、旅客は搭乗券を所持していないため、事業者は搭乗券情報を航空会社から第三者提供を受ける必要がある。」とあるが、航空会社から空港会社への委託として整理すれば、その提供は「第三者提供ではない提供」（個⼈情報保護法 23 条 5 項 1 号）となるのであり、「第三者提供を受ける必要がある」との記述は誤りである。
第 2 に、「⾃動⼿荷物預け機、保安検査⼊⼝ゲートでトークンを⽣成する場合には（略）
この場合は、事業者が航空会社に対して搭乗券情報を第三者提供し、事業者が旅客から取得した情報が航空会社の予約システム上の情報と⼀致しているかを照合するとともに（略）」とあるが、航空会社から空港会社への「取得の委託」として整理すれば、その提供は「第三者提供ではない提供」となるのであり、「第三者提供し」などとあたかもそうするしかないかのような記述は誤りである。
第 3 に、続いて「とともに、航空会社からはパスポート情報の第三者提供を受けることで、本⼈確認を⾏うこととなる。
」とあるが、これも第 1 と同様である。
第 4 に、「また、トークンを活⽤し、各タッチポイントを通過する場合には、事業者は航空会社に対して、搭乗券情報を提供する必要がある。この場合、事業者から航空会社に対する個⼈データの第三者提供になる。
」とあるが、「各タッチポイント」での処理が、「国⼟交通省の指⽰に基づき航空会社の責任のもとで⾏うもの」と「航空会社ラウンジ⼊⼝」で⾏われるもののみであるならば、いずれも、航空会社から空港会社への委託として整理することができ、その提供は「第三者提供ではない提供」である。
11 ⾴には、「このように、旅客の個⼈データを事業者と航空会社の間で相互に第三者提供が発⽣する」との記載があるが、委託に伴って個⼈データの「提供」が「相互に発⽣する」のはごく⾃然のことであって、それゆえに第三者提供が⾏われていると整理する必然性は元よりない。このような検討がなされるのは、およそ個⼈情報保護法 23 条 5 項 1 号の「第三者」概念さえろくに理解していないことの現れであって、このような⽂書が世に出れば、誤った委託概念が広まることになるので、有害であるとの誹りを免れない。
あるいは、この⽂書に記載されていない裏事情として、空港会社が独⾃に個⼈データを処理する予定があって、空港会社が data controller とならざるを得ないがゆえに第三者提供として整理しているということなのか。本件ガイドブック案 17 ⾴に、「利⽤⽬的を搭乗⼿続きにおける利⽤のみに限定すべきである。
」との記載があることから察するに、検討の当初には、空港会社内の売店やレストランでも使⽤する計画があったのではないか。そのような計画があったならば、たしかに委託で整理し切ることはできず、空港会社への第三者提供もなされる形にする必要があることになるのは理解できる。（なお、その場合であっても、「国⼟交通省の指⽰に基づき航空会社の責任のもとで⾏うもの」と「航空会社ラウンジ⼊⼝」
で⾏われるものについては、依然として航空会社から空港会社への委託による処理として整理するべきであり、空港会社の売店やレストランでの独⾃サービスはそれと並⾏して⾏われるものとして整理するべきであるが。
）
しかし、本件ガイドライン案が、「搭乗⼿続きにおける利⽤のみに限定すべき」として、売店やレストランでの利⽤をしないよう厳しく諫めていることからすれば、そのような⽤途の道は絶たれたのであるから、当初の整理を変更して、航空会社から空港会社への委託として整理し直すべきである。
本件ガイドブック案 17 ⾴には、「他のサービスに転⽤する可能性を⽰すことは（略）サービス開始時において利⽤者および社会の理解を得られない恐れがある。
」との記載がある
ように、まさに、本来なら委託として整理されるのが素直であるこの事業をあえて第三者提供として整理することは、将来に空港会社が売店やレストランでも利⽤を開始できる余地を残すための策略ではないかと世間に受け⽌められることになるだろう。
なお、複数の航空会社からの委託を⼀つの空港会社が受けることは、委託として整理することを妨げるものではない。⼀般に、複数の受託案件を混ぜて取り扱うことが「個⼈データ処理の委託を逸脱する」ものとなり得ることが指摘されるところであるが、それは、個⼈データの各本⼈について、複数の受託案件を結合して扱う場合に「委託を逸脱する」と指摘されるのであって、本件の場合には、複数の航空会社の利⽤者を同⼀⼈について突合して分析することを予定していないであろうし、ましてや、航空会社 A から空港会社を経由して別の航空会社 B に提供されるなどといった処理がなされるわけでもないのだから、それぞれの航空会社からの委託による個⼈データ処理は、並⾏して独⽴に処理されるものであり、よって委託を逸脱するものではない。
それとも、空港会社が独⾃にそのような結合処理による分析等を予定あるいは将来の実施を画策しているのか。予定しているのであれば、そのこと⾃体、現時点で隠さずに明らかにされなければならない。
また、たとえ、24 時間以内に⼀⼈の個⼈が複数の異なる航空会社で複数回に渡り同じ空港を利⽤することがあるにしても、それらは別個の個⼈として扱われるようになっていればよい。
（このことは、かつての旧経産省ガイドライン Q14 で論じられたように、別の案件として処理している個⼈データ間の照合を問題にする必要がないのは、個⼈データの管理体制として案件毎にファイアウォールで衝⽴が設けられているかによらず、個⼈データのソースが異なることによるものであって、本件においても、複数の航空会社からの受託案件の個⼈データをファイアウォールで衝⽴を設けて分離することを⾏なっていなくても、そのことをもって「委託を逸脱」しているということにはならない。）例えば、午前に航空会

社 A で搭乗⼿続きをした個⼈が同じ空港で午後に別の航空会社 B で搭乗⼿続きした場合に、空港会社の顔識別システムでは、午後には、両⽅の顔識別の特徴量情報がヒットし、それぞれの航空会社に問い合わせが発⽣することになるであろうが、両⽅とも本⼈の搭乗⼿続きによってそれぞれの航空会社から委託された処理であるので、問題とならない（委託の逸脱となるわけではない）。
仮に第三者提供として整理するのであれば，複数の⽬的，複数の提供先に個⼈データを提供するための枠組みとして，総務省及び経済産業省による「情報信託機能の認定に係る指針ver2.0」が公表されているが，このような枠組みにおいては，「提供先第三者に対する調査・報告の徴収」や「提供先は適切な情報管理体制を構築していることを要求すること」までもが想定されている（同指針 21 ⾴）。しかしながら，本件のスキームにおいては，そのような配慮がなされているわけでもなく、本当に第三者提供する者としての覚悟があるのか問われることになる。
いわゆるリクナビ事案においては，リクルートキャリアに対する勧告の中で「法における適⽤関係等について適切な検討を⾏っておらず」とされ（個⼈情報保護委員会「個⼈情報の保護に関する法律第 42 条第１項の規定に基づく勧告等について」（令和元年 8 ⽉ 26 ⽇），リクナビを利⽤していた企業に対する指導でも「個⼈データを外部に提供する際の法的検討ない当該法的整理に従った対応等が不適切であった。
」とされている（個⼈情報保護委員会「個⼈情報の保護に関する法律に基づく⾏政上の対応について」（令和元年 12 ⽉ 4 ⽇）。
リクナビ事案では、委託を逸脱する事業を委託と称して扱い、本⼈同意を回避する潜脱⾏為が⾏われたものであったが、本件では逆である。個⼈データの取扱いについて適切なスキームを選択するべく，ここでは根本からスキームを⾒直し，適切な範を⽰すべきである。
意⾒ 3 説明図が未完成である。⼆つのパターンのうちの⽚⽅しか⽰されていない。
理由
本件ガイドブック案 10 ⾴に、「事業者が航空会社から第三者提供を受ける例」として、「⾃動チェックイン機においてトークンを⽣成する場合には……」とあり、また、「事業者が航空会社に対して第三者提供を⾏う例」として、「⾃動⼿荷物預け機、保安検査⼊⼝ゲートでトークンを⽣成する場合には……」とあり、利⽤者の利⽤開始のパターンが⼆つあることが説明されているが、図表 3 が「One ID サービスのデータの流れ」を説明するものであるにも関わらず、「（⾃動チェックイン機から搭乗⼿続きを⾏う場合）」しか記載されておらず、もう⼀つのパターンであるはずの「⾃動⼿荷物預け機、保安検査⼊⼝ゲートでトークンを⽣成する場合」の説明図が存在しない。図の作成が未完成なままパブリックコメント⼿続にかけられたのではないか。
なお、これら⼆つのパターンについては、前記「意⾒ 2」で述べたように、航空会社から空港会社への委託として整理するべきものであり、委託における提供関係の図を⽤意するべきである。