プライバシー保護規制とデータの利活用

Ⅲ-2のデータ利活用

一般財団法人日本情報経済社会推進協会

認定個人情報保護団体事務局

グループリーダ

奥原 早苗

売購入形態別では「通信販売」の割合が増加する中、１．はじめに

特にインターネット通販に関する相談件数は20182020年から本格化したコロナの世界的なパンデ年から2020年の２年間で1.3倍となっている3。まミックにより私たちの生活様式はこれまでとは大きた、66.7％にのぼる消費者がインターネット上でのく異なった。たとえば、マスク、手洗いが手放せな商品・サービス購入で心配なこととして、「個人情くなるなど、日常に支障をきたすような消費生活や、報が漏えい・悪用されている」を挙げており4、オ

物品の購入等の消費行動にも大きな変化をもたらし

ンライン取引に伴い提供が求められる個人情報の取ている。要因の一つは、外出機会の減少により、店扱いに不安を抱える消費者は少なくない。

舗購入からオンライン経由で購入する等の消費行動

個人情報保護法の令和２年改正（以降、「改正法」が年代を問わずに増加、拡大したことであり 、オという。）では、データ利活用に関する施策の在りン ラ イ ン に よ る 消 費 行 動 は、 デ ジ タ ル プ ラ ット

方としてイノベーションを促進する観点から新しいフォームを経由した取引が利用者の市場アクセスを概念が導入された5。改正法の全面施行と同時期に大幅に向上させたこと等に後押しされ、生活インフ施行される成年年齢引下げ6も相まって、契約行為ラの一部になりつつある。他方、デジタルプラットのみならず契約時に提供することとなる個人情報にフォームに関しては取引の透明性および公正性の低対する若年層の認識不足も大いに危惧されるところさ等の懸念が指摘されている。2021年２月１日にである。本項では、進展するデジタル社会で期待さ「取引透明化法 」が施行された経緯からも、デジタれるビッグデータの活用において、国内外の法制度ルプラットフォームとそれを利用する事業者間におも概観しながら、情報の提供主体である消費者（個ける取引の不透明さは社会課題の一つと見ることが人）の視点で留意すべき点を整理する。

1

2

できる。なぜなら、デジタルプラットフォームを利用する事業者間における取引の不透明さは消費者取引のリスクに直結する可能性があるだけでなく、そのリスクがどのような影響を及ぼすかを予測することが困難であり、消費者個人が容易に解決できないトラブルに直面することになるからである。

２．令和２年改正個人情報保護法
～個人の権利の拡大～
改正法は、消費者の権利または正当な利益の拡大が伴う重要なものであることは言うまでもないが、消費者相談件数の商品・サービス別では、デジタ改正の背景として、次の事項が挙げられる7。特に、ルコンテンツが年代を問わず上位を占めており、販①、④、⑤は、自らが権利を行使する主体として、

１… 費者庁「令和３年版消費者白書」【特集】第１部第２章第１節新型コロナウイルス感染症の感染拡大と消費（２）消「家計支出とインターネットを利用した支出の推移」
２ 「特定デジタルプラットフォームの透明性及び公正性の向上に関する法律」経済産業省ホームページ
https://www.meti.go.jp/policy/mono_info_service/digitalplatform/index.html（最終アクセス：12月１日）
令和２年５月27日に成立し、同年６月３日に公布された。…
３ 前掲１…第１部第１章第３節・第４節 最近注目される消費者問題（４）４ 前掲１…第１部第２章第２節「新しい生活様式」と消費者の意識・行動
５ 個人情報保護委員会ホームページ…https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/（最終アクセス：12月１日）
６ …平成30年６月13日、民法の成年年齢を20歳から18歳に引き下げること等を内容とする民法の一部を改正する法律が成立した。「民法の一部を改正する法律（成年年齢関係）」について 法務省ホームページ（最終アクセス：12月１日）
７ 「個人情報保護法いわゆる３年ごと見直し制度改正大綱」令和元年12月13日（個人情報保護委員会）を元に筆者が要約。

IT-Report 2021 Winter25消費者自身が「何が新たにできるようになったのことは、消費者からの信頼を獲得し、企業価値の向か」、概要だけでも理解することが求められる。

上につながるとしている。

①個人自らの情報の取扱いに対する関心や期待がプライバシーに関する問題は、個人情報保護法を高まっており、「個人の権利利益を保護」する遵守していても、ビジネスモデルの複雑さや目に見ために必要十分な措置を整備する必要がある。

えない情報やデータの取扱いによる不利益、そし②「保護と利用のバランス」をとるために、個人て、取扱われ方やリスクがどれぐらいなのかがわか

情報等を巡る技術革新の成果が、経済成長等とらないことへの不安が募り、炎上してしまうケース

個人の権利利益の保護との両面で行き渡るようも少なくない。ひとたび炎上すると、批判や意見がな制度を目指すことが重要である。

集中し、メディアが過剰に不安を煽る現象も見受け③デジタル化された個人情報を用いた多様なサーられる。その場合、適正に情報を取捨選択し、冷静ビスがグローバルに展開されており、国際的なに自らのリスクを判断できる消費者はどれぐらいい制度調和や連携に配意した制度とする必要がるだろうか。仮に、企業が消費者やステークホルある。

ダーに対して、積極的に説明責任を果たしたとして④海外事業者によるサービスの利用や、国境を越も、誰もが一義的に情報を整理して理解できるわけえて個人情報を扱うビジネスが増大し、個人がではない。プライバシーガバナンス9に着目し、企直面するリスクの変化に対応する必要がある。

業が能動的に消費者への説明責任を果たすことで社⑤AI・ビッグデータ時代を迎え、個人情報の活用会の信頼獲得（向上）を図ろうと考えるのであれば、が一層拡大し、本人が自身の個人情報の取扱いそもそも「消費者とは何か？」という重要な問いにを網羅的に把握することが困難になる中、事業目を向ける必要があると考える。

者が本人の予測可能な範囲内で適正な利用がなされるよう権利利益における説明責任を果たし、環境を整備していくことが重要である。

４．消費者の定義と脆弱性
消費者主権が成り立つ市場は、事業者と消費者に３．プライバシーへの対応と消費者情報の非対称性がなく、消費者が合理的な判断の下で消費行動を行えるという条件が必要となる。しか2020年７月に、総務省と経済産業省が「DX時代し、DXが進展する社会では、情報の入手が容易ににおける企業のプライバシーガバナンスガイドブッなる反面、膨大な情報から自らに必要な情報を適切クver1.0」の策定を公表した 。社会全体のデジタに収集し、判断する能力が不可欠となるため、消費ルトランスフォーメーション（DX）が進む中、イ者の定義は個人差によりさまざまなケースが考えらノベーションの創出による社会課題の解決とともれる。

8に、プライバシー保護への要請が高まっていること

わが国における消費者法では、消費者を明確に定が策定の背景である。ビジネスモデルの変革や技術義しているものとされていないものが混在してお革新が著しく、イノベーションの中心的役割を担うり、個人情報保護法でも明確に定義されていない。

DX企業は、イノベーションから生じるさまざまな脆弱性の定義のうち、特に年齢については、未成年リスクの低減を自ら図っていかなければならない。

者も考慮した年齢別のルールが規定されていないた企業にとってプライバシーに関わる問題に取り組むめ、わが国においても注視していく必要がある。

８

経済産業省ホームページを元に筆者が要約。
https://www.meti.go.jp/press/2021/07/20210719001/20210715009.html（最終アクセス：12月１日）
９ 「企業のプライバシーガバナンス」とは、プライバシー問題の適切なリスク管理と信頼の確保による企業価値の向上に向け…て、経営者が積極的にプライバシー問題への取組にコミットし、組織全体でプライバシー問題に取り組むための体制を構築し、それを機能させることをいう。前掲７より

26

IT-Report 2021 Winterプライバシー保護規制とデータの利活用「消費者（個人）」とは一体どのような主体を想定しとするのではなく、消費者あるいは個人の誰もが脆ているのか、「消費者の定義と脆弱性」は、今後議弱性を持ち合わせる可能性があるといった、大きな論が進むであろう“適正な同意の在り方”のみならず枠組みで捉えた柔軟な対応が求められる。

欠かすことのできない要件である。この要件をめぐ

EU法における脆弱な消費者のイメージは、学術る国外の事例として、欧州連合（EU）と米国の法文献に見られるものよりも狭いとされている。消費制度を紹介する。

者が製品またはサービスを購入する以前の、商品開発の企画段階で、特に子どもの情報について考慮す4.1

べきである等、事業者の消費者に対する不公正な取欧州連合（EU）

GDPR10では、すでに脆弱性要件のうち、年齢に引 方 法 に 関 す る 指 令（2005/29/EC: OJ 2005

ついては16歳未満の子どもの個人データの取扱いにL149/22）（以下、表記する場合は「不公正取引方おいて親権者の同意を義務づけているが、ここでは法指令」という。）で定義されている。それは、「精EUの欧州議会から出されている「脆弱な消費者 」

神的または肉体的な弱さ、年齢または軽信性のためより、プライバシーや個人情報の取得主体となる“消に特に脆弱である消費者」のために、特別な保護が費者”について概観したい。

必要というものである。この定義は、消費者を脆弱「脆弱な消費者」はEU指令でも規定されており、にする可能性のあるさまざまな変数を考慮に入れる

最良の取引を見つけて競争市場から利益を得ることが、脆弱な消費者を保護する規定は、他の消費者法ができる、いわゆる合理的な選択をすることが可能や、特定のセクターに関する法律、たとえばエネルと考えられている平均的な消費者と比較した場合、ギー、金融、食品等の分野で考慮されている。

11

脆弱な消費者は、さまざまな理由でそうすることができないと考えられている。

電子商取引や人工知能の開発等においても、消費者の脆弱性に対する懸念が指摘されており、データ脆弱な消費者を特定するには、主に２つのアプの利活用を推進する場面では重要な視点となる。

ローチがあり、一つは、社会経済的地位の低さ、教EUの消費者機構（BEUC）は、オンラインでのいく育レベルの低さ、特定の言語を話す、マイノリティつかの慣行として、「平均的な」消費者と「脆弱な」であるなど、脆弱になる（理論上の）リスクを高め消費者の概念の再考を求めている。消費者を操作しる消費者固有の特徴である。もう一つは、個々の特てデータを収集する場合、すべての消費者が脆弱な性間の相互作用により、すべての消費者が脆弱にな消費者となる可能性が高まることから、すべての消る可能性があるとする見方である。これらの見方に費者を平等に保護する必要がでてくると指摘していよれば、消費者は個々の状態に応じて脆弱な消費者る。一方、欧州議会は、脆弱な消費者を定義する上になったり、そうでなかったりするという状況が生で、より広い概念を提唱し、消費者をより強力に保まれる。EUの消費者調査（2018）によると、EU市護してきた。

民の43％が消費者として脆弱であると報告していしかし、どちらの概念も、消費者法の他の分野でることからも、消費者の脆弱性は年齢やデジタルデ明示的および暗黙的に使用されており、また、定義バイドといった事柄に固定されるものではないことされている平均的な消費者の基準が高すぎて（操作がわかる。つまり、わが国でも今後議論が活発化すされてデータを取得された消費者が、必ずしも合理ることが期待されている同意の在り方を検討する上的ではなく、平均的な消費者基準を下回り、多くのでも、現行法の中でビッグデータの利活用を推進し消費者が脆弱性を伴う）、実際の消費行動に対応していく上でも、脆弱性は一部の消費者や個人を対象ていない。その結果、「脆弱な消費者への適切な保10 GDPR（General…Data…Protection…Regulation:…一般データ保護規則）。
… … EU域内の個人データ保護を規定する法として、2018年5月25日に施行された。
11 欧… 州議会…EPRS｜欧州議会研究サービス「脆弱な消費者」PE…690。619…–…May…2021を元に筆者が要約。
… … https://www.europarl.europa.eu/RegData/etudes/BRIE/2021/690619/EPRS_BRI(2021)690619_EN.pdf

IT-Report 2021 Winter27

護を目的として、消費者の概念を再考すべきではなも有名となった米国連邦取引委員会による米国連邦いか」という議論は、今後私たちにとっても有益な法である。COPPAは、13歳未満の子どもから個人ユースケースとなるだろう。

情報を収集するウェブサイトまたはオンラインサー
ビスを運営している事業者を対象として、いくつか4.2のルールを設定している。たとえば、COPPAに準米国
12１）カリフォルニア州消費者プライバシー法（CCPA）

拠したプライバシーポリシーの公表や13歳未満の海外の法制度として、米国カリフォルニア州消費子どもから個人情報を収集する際は、保護者に通知者プライバシー法（以下、「CCPA」という。）に消し、検証可能な保護者の同意を得ることを義務づけ費者の年齢を規定したルールがあるので触れておきている。

たい。
CCPA第1798.120条（ｃ）項では、若者の年齢

１）で触れたCCPAの強化版と言われるカリフォについて次のように規定している。消費者が16歳

ル ニ ア プ ラ イ バ シ ー 権 利 法（California Privacy

未満であるという認識を事業者が実際に有していたRights Act: CPRA）も動き始めており、人種または場合、その事業者は、消費者が13歳以上16歳未満

民族に関する情報、生体認証情報、性的志向に関すの場合には当該消費者自身が、又は消費者が13歳る情報、位置情報等、「機微（センシティブ）情報」

未満の場合には当該消費者の親又は保護者が、積極というカテゴリーが個人情報に加わった。

的に消費者の個人情報の販売を認めていない限り、Ⅱ章「各国のプライバシー保護施策」の「Ⅱ-３．

消費者の個人情報を販売してはならない。事業者のOECDが進めるデジタル経済政策とデータトラスト要件は、①年間総収益2,500万ドル超、②５万件以への取組み」で、OECDの取組みとして2021年に上の消費者、世帯又はデバイスの個人情報を商業目採択された「OECDオンライン上の子供の保護勧的で取得・売買・共有等し、③年間収益の50％以告」を紹介している。教育やインターネット、コ上を個人情報の販売で得ていることのいずれか一つミュニケーションツールを介して、子どもが気づか以上を満たす事業者（第1798。140条（ｃ））としないうちに日常生活でデータの利活用が欠かせないており、小規模事業者は除外されている。また、事ものとなっているが、子どもをどのように保護して業者には、事業者が提供を求められる通知および情いくのかを考慮する際、消費者教育だけで適正な利報が、平均的な消費者により容易に理解され、障害活用とリスクについて理解が深まるかと言えば、カのある消費者にアクセス可能であり、消費者とのやバーできる範囲は限定的である。

りとりに主として使用される言語で利用できるように提供されることを確保するために必要なルール、手続き、および例外を、成立後１年以内に、またその後は必要に応じて設けなければならないと規定している。

６．おわりに冒頭でも触れたコロナのパンデミックは、新規変異株である「オミクロン株」が世界各地で確認される等、新たな脅威となっている。わが国でもすべて

２）児童オンラインプライバシー保護法（COPPA13）他の国を対象として当面の間新規入国者を原則停止すCOPPAは、米国の大手情報通信事業者が告発さることが発表され、予断を許さない状況である。今れ、当該法では過去最大の和解金を支払ったことで後も引き続き、人との接触を抑えるという意味でも12 個人情報保護委員会ホームページ…https://www.ppc.go.jp/enforcement/infoprovision/laws/CCPA/… … 「California…
…
Consumer… Privacy… Act… of… 2018（仮日本語訳：カリフォルニア州消費者プライバシー法（2018年））」（最終アクセス：12月１日）
13 COPPA（Children’s…Online…Privacy…Protection…ACT）FTCホームページを元に筆者が編集。
… … https://www.ftc.gov/（最終アクセス：12月１日）

28

IT-Report 2021 Winterプライバシー保護規制とデータの利活用

オンラインを利用した消費行動の増加が見込まれ、い合わせ）も含め、お客様の消費者としての行動の取得される膨大なデータの利活用により得られるメさまざまな段階で発生する可能性がある。脆弱性がリットは計り知れない。他方、企業は、新たな取引発生する可能性をできるだけユースケースとして共類型や決済手段の多様化に伴い、目に見えない取引有し、課題になり得るものは早めに潰しこみを行うの不透明さによる消費者取引のリスクが及ぼす影響ことが必要である。今後、わが国でも「消費者」のがどのようなものか、説明責任がより一層求められ誰もが持つ脆弱性を考慮した法整備の必要性が高まることとなるだろう。消費者にとっても、自身の情るものと思われる。ビッグデータの利活用は、個人報がいつどのように利活用されるのか、またはしな情報の適正な取扱いによる安心・安全が担保され、いのかを理解し、自らどの情報をどこまで提供するその結果得られる信頼（トラスト）によって拡大しのかを選択していかなければならない。ていくものと考える。一義的なルールづくりではな

脆弱性は、製品の設計段階から始まり、利活用を終えて廃棄のフェーズを通し、顧客対応（苦情や問くキメ細やかな配慮と共に、真に「“誰一人取り残さない”デジタル化」の実現を期待したい。

IT-Report 2021 Winter29