第 24 回日本インターネットガバナンス会議(IGCJ)レポート
2018 年 5 月 25 日

1

会合の概要

日時： 2018 年 5 月 25 日(金) 18:00～20:00
会場： JPNIC 会議室
URL： http://igcj.jp/meetings/2018/0525/
参加状況
会場参加者数：29 名

遠隔参加者数：2 名

アジェンダ
1. 一般データ保護規則(GDPR)施行に向けた日本の状況
1.1.

個人データの円滑な越境移転に向けた取り組み～一般データ保護規則(GDPR)適用に向けた現状および取り組み～
個人情報保護委員会事務局 小川久仁子

1.2.

ステークホルダーにおける取り組み
野村総合研究所／京都大学 横澤 誠
ヤフー株式会社 望月 健太

1.3.

WHOIS の GDPR 対応について
ICANN 理事/JPNIC 前村 昌紀

1.4.

質疑応答＋議論

2. その他コミュニティからの提案についての発表または議論

2

口頭での報告内容・質疑応答・議論内容
一般データ保護規則(GDPR)施行に向けた日本の状況

2.1.1 個人データの円滑な越境移転に向けた取り組み～一般データ保護規則(GDPR)適用に向けた現状および取り組み～
個人情報保護委員会事務局の小川久仁子氏より、資料「個人データの円滑な越境移転に向けた取組み～一般データ保護規則(GDPR)適用に向けた現状及び取組み～」に基づき、個人情報保護法改正の動きや、日本以外の国・地域との円滑な個人データ移転実現に向けた日 EU間の個人データ移転に関する枠組み構築に向けた取り組みについての説明があった。

1/5

2.1.2 ステークホルダーにおける取り組み
野村総合研究所／京都大学の横澤誠氏からは資料「一般データ保護規則（GDPR）施行に向けた日本の状況」に基づき、またヤフー株式会社の望月健太氏からは資料「EU の一般デー
タ保護規則（GDPR）―国内企業の視点―」に基づき、日本国内における GDPR 対応の考え方、取り組み、課題などが紹介された。
2.1.3 WHOIS の GDPR 対応について
JPNIC の前村氏より資料「WHOIS の GDPR 対応について」に基づき、gTLD の WHOIS
を GDPR に対応するために ICANN において 2018 年 5 月 17 日に採択された「gTLD 登録データのための暫定仕様」の概要などについて説明が行われた。
2.1.4 質疑応答
2.1.1 から 2.1.3 の内容に基づき、次の質疑応答及び議論があった。なお、2.1.1 に関する質疑応答は、講演者の意向により本レポートには非記載としている。
質問（Q.）：
RIPE NCC に限らず、欧州内外でさまざまな企業が GDPR の対応をしている。欧州居住者のデータを持っていようがいまいが、GDPR に対応しているように見えるが、IP アドレス系のレジストリがそういう対応をしていないよう見受けられるのには、何か理由があるのか。
回答（A.）：IP アドレスのレジストリが GDPR の対応をしていないわけではない。GDPR に関してはRIPE NCC や APNIC なども GDPR に準拠しているかチェックしている。国内法に準拠している段階で、GDPR にも相当対応できているというのが多くの見解だが、もしかしたら未対応かもしれないレガシーな情報や例外的な情報などに対して何が必要なのか確認をする、というスタンスをとっている状況だと思う。
Q. ：登録者が EU 市民ならば自ら名乗り出てもらう、今後 EU 市民に何かしらの登録をしてもらう場合はデータを分ける、何も言ってこなければデータを削除する、といった対応をする企業が米国企業も含めてあると聞く。この業界での一般的な対応は、どういうものがあるのか。
A. ：聞き及ぶ範囲では、EU 市民のデータを削除すると言う事業者もあるようで、事業者によっ2/5て対応に濃淡がある。WHOIS の場合、リソース保持者情報が削除されると困るので、悩みの種ではある。RIPE NCC が GDPR 対応を 5 月 25 日時点で終わっていないと言い放ったのは典型的な例で、「期限までに対応を終わらせる」ということではなく、「鋭意がんばれば大丈夫なはずだ」という意識が非常に印象的だったように思う。
意見（C.）：
今回の個人情報保護委員会の欧州規制向けガイドラインでは、「日本企業でも、欧州のデータを持っていない企業は対応しなくてよい。
」あるいは「欧州のデータを持っていても、EU市民のデータのみ対応すればよい。
」とあり、これに当面従うのが原則。しかし、現実にはEU 市民のデータだけより分けて別のシステムやデータベースで管理する方が、コストが大きくなるケースが多く、結局厳しい EU の基準に合わせるかどうか、トータルコストを冷静に比較する方法が採用されていくのではないか。
C.：
欧州の人を対象にビジネスをしているつもりはない、つまり、日本ローカルで仕事しているつもりなのに、勝手に EU データが紛れてきてしまうケースについて、GDPR は非難していない。日本向け EC サイトを運営していて、EU 市民であることを敢えて名乗ることなく利用するユーザーがいるとしたら、そのデータについては言及されないということだ。
gTLD と IP アドレスの抜本的な相違点としては、登録する側に恣意がない限り、例えばRIPE NCC が持っているアドレス以外に欧州人の名前が露骨に出てくることはないはずだ。
JPNIC の場合では、「日本の法人以外にアドレスを渡さない」という原則になっているので、情報が公開されるにしても、登録者はそれに同意しているはずだし、各地域の法律が優先されると考えられる。
C.：
現時点で欧州に住んでいる人から問い合わせがあったら、GDPR に対応しないといけない。
また、GDPR に対応せざるを得ない会社の復処理者（処理再委託先）になったときに、管理者側から対応を求められる。そういう立場に立っている会社は、相当数あるように思う。結
果的には欧州のデータを持つようなグローバルな企業と取引がある時点で、復処理者として自動的に対応せざるを得ないという理解だ。
C.：
それは、つまり今 gTLD が対処しなければならない問題と同様と言えるだろう。例えば.cat
は、欧州内なので GDPR のルールに巻き込まれることになるが、もしカタルーニャではな
く欧州以外の地域の gTLD であったとしても、今回の GDPR に巻き込まれていると思う。
結局、欧州とやりとりがありそうならば、GDPR に対応せざるをえない。

3/5

Q.：
今回 ICANN が採択した GDPR の暫定仕様について、4 月に 29 条委員会から Purpose を整理していなくてもいいのかとレターが出ていたが、Purpose の合意はできたのか。
A.：
明確なお墨付きのレターはもらっていない。
Q.：
GDPR が軌道に乗ったとしたら、外国に対してもっと規制したいと思う国が真似するのではないのかと思うが、こういった動きは世界的な傾向なのか。
C.：
1 年ぐらい前は、GDPR も原理によって広がることを懸念していた時期があるが、アメリカ主導による CBPR（Cross Border Privacy Rules）とバランスを取る形で加盟エコノミーの数を増やしてきている。CBPR は、法律によって決めるのではなく、自主規制によってプライバシー保護レベルを上げていくというアメリカらしい考え方である。日本は CBPR にも対応しているし、GDPR の十分性も獲得しつつあるので、2 つの大きな流れに関してバランスが取れており、海外でも大変注目されている。今後は、この大きな 2 つの流れの間に差異が広がる可能性は否定できない。
その他コミュニティからの提案についての発表または議論
2.2.1 IGCJ の ML のアーカイブのあり方について
IGCJ の ML のアーカイブのあり方について検討しているグループ（ML アーカイブの公開・非公開の議論を行う小グループ）の本田聖氏より、資料「ML アーカイブの公開・非公開の議論を行う小グループ報告」に基づき、ML アーカイブの公開・非公開するにあったってのメリット・デメリットと考えられる点といった検討内容の報告があった。
2.2.2 質疑応答
2.2.1 の内容に基づき、質疑応答及び議論が行われた。会場では、主に次の 2 点のコメントが出た。


アーカイブを公開するにしても、完全公開か非公開かの二択でしか議論がなされていないように見える。選択的な公開（メールアドレスの公開／非公開、本文も公開するものとしないものがある、など）について、もう少しパターンを検討する必要があるのではないか。

IGCJ と IGF-Japan は、National/Regional IGF（NRI）として Japan-IGF という形

4/5

で今後活動を充実していかなければならない。少なくとも、NRI としての ML を持ち、各国と同等のものを提供する必要性があるだろうから、NRI としての整合性も取った形で、議論を進めて欲しい。
その他
6 月 7 日（木）に総務省において、米国商務省電気通信情報局（NTIA）のデビッド・ジョン・レドル長官による、IoT セキュリティ政策の動向や米国における ICT 事情についての講演会が一般公開で開催される旨、参加者より情報共有が行われた。

以上をもって、第 24 回 IGCJ 会合は閉会した。

5/5