就活サイト「内定辞退予測」で揺れる“個人スコア社会”到来の法的問題を考える

個人情報保護法の観点から提言（次期改正への提案）（一財）情報法制研究所
高木浩光、鈴木正朝
1

一般財団法人 情報法制研究所

個人情報保護法の限界？

•

読売新聞9月6日解説「個人情報保護法に限界」•露呈した限界••

ポリシーに記載がなかった8000人弱についてのみ勧告、他は指導に止まった上に、旧スキームは違法と指摘できず？

••••利用目的の特定はどこまで書けば適法なのかはっきりしない
法目的に沿って利用目的の特定方法を導出する必要がある

容易照合性の解釈が未だ定まらず、委員会も決められず
法目的に沿えば今回の事案は当然に該当するもの

求人企業側の問題としてさらに露呈しそうな限界•••

スコアの利用目的を特定していたか？（こちらは取得だが）マイナビ利用者ではどうか？

2

委託なので取得に当たらないとして、特定していない疑い
一般財団法人 情報法制研究所

•
•
•
•
•

問題点と解決提案「データによる人の選別」
への意識が希薄

評価情報生成は取得に当たらない（通説？）
個人情報とは何かへの誤解
容易照合性への誤解

読まれないスタイルのプラ
イバシーポリシーの横行•
•
•
•
•
•

法目的の明確化（1条）「利用」定義を復活させて利用目的のカテゴリ例示とし「個人の選別」を入れる
個人データ化する時点を取得とする（内部生成でも）「容易に照合することができ」を昭和63年法の初期案に戻す
個人データ定義に「（構成することを予定しているものを含む）」と明確化
利用目的を事業者単位からサービス単位へ変更

3•

一般財団法人 情報法制研究所

データによる人の選別という利用IT室さえまだわかってないようだ••「利用」のカテゴリ区分がないまま「何を気にするか」を質問•用意された回答選択肢が「プライバシーが保護されること」「流出の心配がないこと」「悪用の心配がないこと」「誰に提供されるか明確であること」「管理体制がわかりやすいこと」などしかない

質問すべきは「統計量に集計されるだけ」なのかそれとも「データで選別されるか」だ•
4•

これを選択肢に入れてない

政府がこんな認識では利活用
なんて程遠い

一般財団法人 情報法制研究所

•

利用のカテゴリ
統計量への集計の入力とする

••
•連絡する
•
•データによる選別をする••

現行ではガイドラインQ&Aで利用に当たらないと整理
GDPRでは明示的に適用除外にしているし、行政機関法も除外
ダイレクトメールを送信する、勧誘電話するなど•••

ターゲティング広告、優先サービス提供、人事評価
いわゆる「プロファイリング」も手段として含まれる

第三者に提供する

サービスを実現するのに用いる（上記以外の）（他には？）

5

一般財団法人 情報法制研究所

利用の定義

•

平成15年法の初期案に「処理」の定義が一時的に存在•

これを復活させる趣旨で、改めて「個人情報の利用」の•個人情報保護基本法制に関する大綱案（中間整理素案1）
2000年5月22日（情報公開開示資料より）

定義とし、前記のカテゴリを例示列挙する

6•

その例示に沿って利用目的を特定・通知・公表しなければならない旨をガイドラインで明確化する

一般財団法人 情報法制研究所

既に前例のある概念7•

8

一般財団法人 情報法制研究所

旧労働省の指針
労働者の個人情報保護に関する行動指針（2000年2月）•

個人情報保護法の成立（2003年）によりすぐ廃止

一般財団法人 情報法制研究所

今回事案で思い知らされた本来の法目的•

法目的を忘れては、ルールの解釈などできない•

このような事態を未然に防止するためにルールを解釈すべし

本人が意図しない人物像

データによる人の選別

9

一般財団法人 情報法制研究所

国連事務総長報告書（1974年）

10

一般財団法人 情報法制研究所

•

3年毎見直し中間整理との関係
個人情報保護委員会の中間整理••••中間整理の問題点•

利用停止請求権の強化が予定されている
ターゲティングを拒否するがただのダイレクトメールは認めるという利用停止が可能になる（と日経新聞のリーク報道）
事実上のプロファイリング対応と言えるか

利用目的にプロファイリングのことが書かれていないと、利用•訂正を求めることもできない（ヒアリングで指摘した）

今回提案と合わせると•「データによる選別」が利用目的として特定され通知・公表されていれば、これを指定して利用停止請求できるようになる•

ついでに「統計量への集計の入力」を明文で利用から除外する

11

•
•

一般財団法人 情報法制研究所

評価情報の生成は取得でない？
自らの情報生成は取得に当たらない？（通説？）••

前回改正で「要配慮個人情報」、本人同意なき取得を禁止

要配慮でない情報から要配慮相当の情報を推知することが、要配慮の取得に当たらないとされている件

そもそも要配慮の規定の設計は失敗だった（私見）•問題とすべきは「個人データ」（レコード）の「列」に「要配慮」相当のものを作る（同意なく）こと•

ガイドラインにおかしな例外規定がある•

JILISパブコメ意見「意見16【通則編3-2-2 p.35 (6)】目視により外形上明らかな要配慮個人情報を取得し差別的に取り扱う行為が制限されないこと
は、法の要配慮個人情報の趣旨に適うものなのか」➡そうじゃない

•
•改正私案
•

入力するところではなく、出力（使う）準備をするところで縛るべき「…要配慮個人情報を個人データとして取得してはならない」

12

一般財団法人 情報法制研究所•

評価情報の生成は属性の追加である「個人データ」（レコード）に「列」を作るとき、利用目的を特定しなければならない……というべき••取得に当たらない結果、利用目的の特定に無頓着に•今回の事例でいえば、特に求人企業側の当事者意識のなさ。今回の事例

は、取得するものなのでこれ以前の問題であるが、マイナビの利用者はどうか、「列」の利用目的を特定し、通知・公表をしているか？

提案

•

••

個人データの列に入れる時点を取得とするよう解釈を変える
前記の要配慮個人情報の取得に係る規定を直せば可能

コメント

•

プライバシーとは何か？ 秘密の保護だけではない。データによる選別を「データプライバシー」の問題と捉えれば必然の帰結

13•

一般財団法人 情報法制研究所

個人データ定義の明確化①「容易に照合することができ」••

昭和63年法の立案段階の初期案ではこうだった••「当該機関が保有する他のファイル又は台帳等と照合することにより識別できる」

法令協議で他省からの意見に従い以下を含むことになった••「他の機関が保有する情報については、オンラインで容易に利用できるもの」「個人情報と他の情報がオンラインで結ばれている場合」

これらが「容易に照合」という用語で言い表されている•

情報法制研究4号（2018）

現行法でもリクナビ事案はこの容易照合に該当するはず••誤解が後を絶たないならば明確化する法改正を•

14

詳しくは、拙稿「個人情報保護から個人データ保護へ〜民間部門と公的部門の規定統合に向けた検討（3）」

リクナビ事案への対応をしたことにできる「容易に」の語を開いてその中身を条文化する
一般財団法人 情報法制研究所

•個人データ定義の明確化②

現行法は

•
•

••

個人情報データベース等に格納する前段階のものは「個人データ」でない「個人情報」とされている（入力帳票であっても）いろいろ経緯があったようだが詳細はまだ不明

英国法やGDPRは予定しているものも含む••

GDPR「This Regulation applies to the processing of personal data wholly orpartly by automated means and to the processing other than by automatedmeans of personal data which form part of a ﬁling system or are intended toform part of a ﬁling system.」
英国 DPA 1998: 「…… is recorded with the intention that it should be processedby means of such equipment」

改正私案

•

この法律において「個人データ」とは、個人情報データベース等を構成する（構成することとなるものを含む）個人情報をいう。

15

•
•

一般財団法人 情報法制研究所

利用目的をサービス単位へ
現行法の整理•••「個人情報ファイル」（公的部門）は事務の単位「個人情報データベース等」（民間部門）は事業者単位•

事業者において全てのサービスをどんぶり勘定で1つの利用目的セットで記述しても、特定・通知・公表したことになる。
平成15年法制定時に、民間に行政機関のようなファイル単位の管理を強制するのは酷だからという配慮でどんぶり勘定にサービス単位に変更するべき•••••「個人情報ファイル」に統一すればよい
PマークのJISでは既にサービス単位にさせている実績あり事業者も事業者単位で作成・公表すると後で変更できず困る
困るから曖昧な記述にしようとしてしまう16

リクナビ事案ではサービス単位の利用目的になっていたので別問題だが一般財団法人 情報法制研究所

•
•
•
•
•
17

問題点と解決提案（再掲）「データによる人の選別」
への意識が希薄

評価情報作成は取得に当たらない（通説？）
個人情報とは何かへの誤解
容易照合性への誤解

読まれないスタイルのプラ
イバシーポリシーの横行

•
••
•
•
•

法目的の明確化（1条）「利用」定義を復活させて利用目的のカテゴリ例示とし「個人の選別」を入れる
個人データ化する時点を取得とする（内部作成でも）「容易に照合することができ」を昭和63年法の初期案に戻す
個人データ定義に「（構成することを予定しているものを含む）」と明確化
利用目的を事業者単位からサービス単位へ変更
一般財団法人 情報法制研究所