接触通知アプリの法的課題
2020/6/23
曽我部真裕@masahirosogabe

1

自己紹介
曽我部真裕（そがべまさひろ）
1974年生まれ、横浜市出身。京都大学大学院法学研究科教授（憲法・情報法）。聖光学院高等学校、京都大学法学部、同大学院法学研究科修士課程、博士課程（中退）、司法修習生（第54期）、京都大学大学院法学研究科講師、准教授を経て2013年から現職。放送倫理・番組向上機構（BPO）放送人権委員会委員、朝日新聞論壇委員、情報法制研究所（JILIS）理事、情報法制学会（ALIS）代表など。著編著に『情報法概説（第2版）』（共著、弘文堂）、『憲法Ⅰ 総論・統治』『憲法Ⅱ 人権』（共著、日本評論社）など。
Twitter: @masahirosogabe
Blog: https://masahirosogabe.hatenablog.com/
2

本報告の概要• 接触通知アプリに関する法的論点を、その供用開始までのプロセス及びそれを規律する法的枠組みに着目しつつ検討。
• フランスとの比較を、ある程度詳しく行う。
• フランスを理想とするものでは必ずしもない（報告者の能力的な問題）。
• 他方で、上記の観点からは、参考になる点もありそう。

• もう少し調べたうえで、7月末発行の「法律時報」8月号の「法律時評」で改めて報告する予定。

3

4（出典）厚労省「新型コロナウイルス接触確認アプリについて（概要）」5

6

接触確認アプリに関する有識者検討会合
5月8日の内閣官房テックチーム会合を踏
まえ、接触確認アプリに関する有識者検討会合を9日に設置。
上記前提を踏まえ、本会合では以下の３点について整理を行い、アプリ開発の仕様書に反映することを目的として討議を行うこととする。

1. Apple/Google の API に関する技術・プライバシー双方の観点からの評価
2. Apple/Google の API 活用を前提とした接触確認アプリの仕様書案に関する技術的な検証
3. 個人情報保護法、行政機関個人情報保護法等を踏まえたプライバシー保護、透明性の確保等からのアプリ仕様書の評価

上記を整理した上で、厚生労働省に対して接触確認アプリの仕様書を内閣官房テックチームとして提供する。
7

「接触確認アプリ及び関連システム仕様書に対するプライバシー及びセキュリティ上の評価及びシステム運用上の留意事項（2020年5月26日）
 「個人情報」該当性• 「処理番号」は、行政機関個人情報保護法（以下、「行個法」）2条2項、4項にいう「要配慮個人情報」に該当。
• 「診断キー」（日次キー、時刻情報を基に作成される識別子）は、原則として個人情報に該当しない。

8

個人情報保護法制以外で規「接触確認アプリ及び関連システム仕様書に対するプライバシー及びセキュ律される広大な領域の存在
リティ上の評価及びシステム運用上の留意事項（2020年5月26日）「国民の信頼」の重要性

 プライバシーへの配慮
個人情報保護法制とは別のプ• 本アプリ運営者等には、行個法及び個情法に基づく義務が課される場合があるが、本アプリ運営者等は、こうした法令上の義務のみを遵守すればよいわけではない。 ライバシー権による制約• 本アプリはユーザーが陽性者や接触者であるかどうかという機微な情報を取り扱うものであり 、これらの情報が第三者に知られれば、特定のユーザーやその家族の差別につながる等、個人の人格的利益を損なうおそれがある。
• 本アプリが国民に広く信頼され利用され、本アプリに期待される公衆衛生上の目的を達成するために、本アプリ運営者等は、 法令上の義務の有無にかかわらず、ユーザーのプライバシー情報（「個人情報」に該当するものに限らない。） の取扱いに十分に配慮する必要がある。
• 本アプリ運営者は、 アプリの利用開始や陽性者登録等の重要な局面において、ユーザーの同意に基づく運用を原則とすると共に、情報のライフサイクル（取得、保存、利用、移転、削除）の各過程においてもユーザーのプライバシーが確保されるようなシステムを設計しなければならない。

自己情報コントロールの観点

プライバシー・バイ・デザイン
9

「接触確認アプリ及び関連システム仕様書に対するプライバシー及びセキュリティ上の評価及びシステム運用上の留意事項（2020年5月26日）
 プライバシーへの配慮• ユーザーの同意の取得• 取得するプライバシー情報が最小限であること• プライバシー情報の適切な管理 セキュリティ
 運用上の留意点• 透明性• プライバシー情報の移転• 利用する必要がなくなったプライバシー情報の消去• 検証• インクルーシブネス（包摂性）• 使用目的の限定• 本アプリ運営者は、上記の原則を遵守していることを自ら継続的に検証し、中立かつ専門の有識者による検討会に報告するとともに、 その評価を受けるべきである。
1011（出典）厚労省「新型コロナウイルス接触確認アプリについて（概要）」欧州では当初、独仏伊など８カ国でアプリ技術を作り、データを政府で管理する「集中型」の仕組みを作ろうとした。しかし、政府がデータを一括管理する仕組みは、保健当局が感染経路や集団感染を把握しやすい利点がある半面、政府の「監視」につながるとの批判を呼んだ。その後、この枠組みは崩れ、ドイツやイタリア、スペインなど多くの国がアップル・グーグル方式に雪崩を打った。
一方、フランスは「分散型」ではなく、政府がデータを管理する「集中型」を貫いた。「情報は匿名化され、個人は特定されない」とし、「大事な情報こそ企業ではなく政府が預かるべきだ」とも訴える。
英国も、政府が情報を管理する方式でアプリを独自開発し、試験運用中だ。ただ、技術的な問題から、政府は１８日、アップル・グーグルと技術協力することも示唆した。
（朝日新聞2020年6月23日）
12https://www.economie.gouv.fr/stopcovid#

13

4月26日 CNILの最初の意見* 任意的な諮問に対する答申（1978年法8条Ⅰ項2号ｅ））

5月25日 CNILの2回目の意見* センシティブ情報の利用に関する必要的な意見。

5月27日 上下両院での討議と決議（憲法50条の1）

14

・インストールの際に付与される「仮名」（ID)とアプ
リとは紐づく。
・アプリは端末にインストールされる。
・端末は通常、特定個人に対応。
→個人データに該当。

CNILの意見

いかなる不利益も許容されないことが強調されているデクレの案に対する意見
ただし、技術的詳細については不明な点あり。

 4月24日の意見

 5月25日の意見• 個人データ、特に健康データの処理の存在•

アプリの必要性と比例性• 任意性に依拠していること•

処理の目的と責任• アプリの法的根拠•

利用者の任意に委ねられること• 接触追跡措置による私生活の侵害の許容性•

収集され処理されるデータ• アプリの仕様• 処理責任• データ保護影響評価の必要性• データの正確性• データのセキュリティ• 個人データに対する個人の権利の尊重•

データの送信先及びアクセス可能な者•

EU外へのデータの転送

•

保存期間

•

個人に対する情報提供と個人の権利•

セキュリティ
中央サーバー方式の是非についての本格的な検討はない。
15

議会の関与政府は、一方もしくは他方の院において、政府の発意もしくは（…）会派の要請に基づき、特定の事項に関して討論を伴う宣言を行うことができる。さらに、政府が決定した場
合には、その宣言をを表決の対象にさせることができる。ただし、政府の責任をかけることはできない。
*法的効力はない決議• 両議院では、担当大臣やCNIL委員⾧のヒアリングを実施。
• 議会の附属機関である科学技術評価事務局もセキュリティを所管する機關（ANSSI）のヒアリング。
• 5月27日に両院本会議で、「covid-19対策におけるデジタルイノベーションに関する政府声明」を討議、賛成338、反対215で議決（憲法50条の1）。
http://www.assembleenationale.fr/15/cri/20192020/20200220.asp#P2100781

16

2020年5月29日デクレ2020-650号（ほぼ完訳）①
この翻訳は急遽作成した仮訳であり、このままの引用はしないようお願いします。
第１条
I．「StopCovid」という名称の個人情報の処理を創設し、責任者は厚生担当大臣とする。
この個人情報の処理は、モバイルアプリケーションと中央サーバーからなり、GDPR６条１項e号の公共の利益の任務、及び９条２項ｉ号の公共の利益の理由の枠内で行われる。
II．この処理の目的は以下の通りとする。
１）アプリの利用者に対して、陽性だと診断された他の本アプリ利用者の周囲にいたためにcovid-19ウィルスに感染したおそれがあることを通知すること。以下、このおそれにさらされた者を、「感染リスク接触者」という。
２）本アプリ利用者、とりわけ、感染リスク接触者として識別された利用者に対して、本ウィルスの症状、予防高移動及び、その蔓延対策のために取るべき行為を啓発すること。
３）感染リスク接触者に対し、診療及び必要な場合に検査を行うため、医療者のもとに赴くよう勧めること。

４）必要な場合、全国的な匿名統計情報の利用により、感染リスク接触者を識別するアプリのパラメーター定義を調整すること。
III. 本アプリは、利用者が自由かつ無料でインストールするものとする。利用者は、２条II項５号に定める接触履歴を生成するアプリの機能のアクティベートするかしないかの選択権を有する。covid-19ウィルス要請を診断された場合又は同ウィルスの検査において陽性の結果となった場合、本アプリの利用者は、その結果の本アプリへの通知及び２条II項６号に定める接触履歴のサーバーへの転送を行うか否かの自由を有する。
IV. StopCovidの枠内で用いられるソースコードは公開とし、連帯及び厚生大臣及び経済財政大臣のウェブサイト、並びにウェブサイトwww.stopcovid.gouv.frからアクセスできるものとする。

17

2020年5月29日デクレ2020-650号（ほぼ完訳）②
この翻訳は急遽作成した仮訳であり、このままの引用はしないようお願いします。
第２条I. 第１条に定める処理の実施のため、以下に掲げる情報が処理される。
１）本アプリのメッセージの認証のために用いられる、本アプリと中央サーバーとの間で共有され、本アプリのダウンロードの際に同サーバーによって生成される認証鍵。
２）中央サーバーによってランダムに生成され、同サーバーのみが知る、同サーバーに保管される、利用者によってダウンロードされた個々のアプリに紐づく識別子。
３）中央サーバーによって生成される国コード。
４）本アプリが中央サーバーに接続した際に、同サーバーによって毎日転送される、ランダムかつ一時的な仮名。

５）covid-19ウィルス陽性の利用者が他者を感染させる十分なおそれが存在する程度の一定時間及びその携帯電話からの距離（*）にいる他の利用者の携帯電話にインストールされた本アプリによって、「ブルートゥース」技術を使って発信されるランダムかつ一時的な仮名によって構成される、利用者の接触履歴。
ランダムかつ一時的な仮名は、本アプリによって、利用者の携帯電話上に収集・記録される。
２つの携帯電話が、covid-19ウィルスの感染リスクの観点から十分な接触があったと考えるにたる距離及び接触時間の基準は、国家厚生局の意見を徴した後に定める厚生担当大臣のアレテにより定める。
（*）5月30日アレテにより、1メートル、15分と定められた。

18

2020年5月29日デクレ2020-650号（ほぼ完訳）③
この翻訳は急遽作成した仮訳であり、このままの引用はしないようお願いします。
６）発症の日に先立つ48時間及びその日から接触履歴の中央サーバーへの転送の日までの期間、又は陽性の検査結果を得た者の発症日の情報がない場合には接触履歴の転送に先立つ15日間に、本アプリに記録されたランダムかつ一時的な仮名に対応するcovid-19
ウィルスによる感染リスク接触者の接触履歴。
これらの情報は、陽性だと診断され又は陽性の検査結果を得た利用者であって転送を希望するものにより、中央サーバーに転送される。その場合、これらの情報は中央サーバーに保管され、感染リスク接触者だと識別された者のアプリに、毎日の中央サーバーへの接続時に通知される。

７）中央サーバーに保管される、陽性だと診断され又は陽性の検査結果を得た者に利用者が接触していた期間。この情報は、本アプリによって、利用者の携帯電話上に収集・記録され、感染リスク接触者との接触履歴が利用者によって共有される際に中央サーバーに保管される。
８）陽性だと診断され又は陽性の検査結果を得た者であってその感染リスク接触者の接触履歴をサーバーに送信することを決定したものによって本アプリに提供された以下の情報。
ａ）利用者が提供可能な場合には、発症日ｂ）本アプリの利用者が中央サーバーによってその接触履歴の共有が許可されるために必要な、陽性診断の後に、患者を診療した医師によって付与される使い捨てのランダム・コード又は陽性の検査結果の際にQRコードの形式で発行される使い捨てのランダム・コード

感染リスク接触者だと識別された者は、その場合、本アプリを通じて、直近15日間に陽性だと診断され又は陽性の検査結果を得た他の少なくとも1名の利用者の近くにいたという情報のみを受領することになる。
19

2020年5月29日デクレ2020-650号（ほぼ完訳）④
この翻訳は急遽作成した仮訳であり、このままの引用はしないようお願いします。
９）本アプリの識別子の「感染リスク接触者」とのステータス。これは、本アプリの利用者が、後に陽性と診断又はその検査結果を得ることになる他の利用者の近くにいた場合に考慮される。
10）中央サーバーへの最近の問い合わせ日。
II. 本件処理においては、携帯電話、その所持者又は利用者の識別を可能にする情報を収集・記録してはならない。
III. 処理責任者がGDPR28条に定める条件において利用する委託者は、その任務の遂行に厳格に必要な処理情報についてのみアクセスし又は受領することができる。
第3条
本件処理は、2020年3月23日法第4条によって宣言された衛生緊急事態の停止から6ヶ月を超えることができない。

共有された認証鍵及びランダムで定常的な識別子は、利用者が本アプリをアンインストールするまで、又は遅くとも前項で定める期間、保存される。
本アプリにより、携帯電話に記録された接触履歴情報は、その記録から15日間保存される。
感染リスク接触者との接触履歴情報が中央サーバー上で共有された場合、陽性の検査結果を得又は陽性だと診断された者の携帯電話の本アプリによってそれが記録された日から15日間、中央サーバー上で保存される。
第2条第I項第8号に定める情報は、保存されない。この情報は、本アプリの利用者が中央サーバーによってその接触履歴の共有を許可されるために一度だけ処理される。
本件処理の管理者によってなされる行為は記録され、衛生緊急事態の終了から最大6ヶ月間保存される。この記録には、管理者の識別情報、本件処理における介入の日次及び性質などトレーサビリティに関する情報が含まれる。

20

2020年5月29日デクレ2020-650号（ほぼ完訳）⑤
この翻訳は急遽作成した仮訳であり、このままの引用はしないようお願いします。
第4条
GDPR第11条及び第23条第1パラグラフ第ｉ号により、第15条、第16条及び第18条のアクセス、訂正の権利及び限定への権利を、本件処理の責任者に対して行使することはできない。
本人は、GDPR第13条及び第14条により、本アプリのインストールの際に、本件処理の主たる特徴及びその権利について情報提供を受ける。本人は、中央サーバー上にその接触履歴を共有する際に、過去15日間において、感染リスク接触者と識別された者が、陽性の検査結果を得又は陽性だと診断された少なくとも1名の者の近くにいたことを知らされること、及び、これらの人々がその間に非常に僅かな接触しか持っていなかった場合には、間接的に識別される可能性が限定的ではあるが存在することを知らされる。
これらの情報は、ウェブサイト
www.stopcovid.gouv.fr上でも公表される。

第5条
処理責任者は、本アプリの利用期間後30日以内、遅くとも2021年1月30日までに、StopCovidの機能についての報告書を公表するものとする。
第6条（略、他の法令の改正）
第7条
連帯・厚生大臣、経済財政大臣及びデジタル担当副大臣は、それぞれに関する事項について、本デクレの執行を担当する。本デクレは官報により公布される。

総理大臣 エドゥアール・フィリップ
連帯・厚生大臣 オリヴィエ・ヴァラン
経済財政大臣 ブルノ・ルメール
経済財政大臣付き、デジタル担当副大臣 セドリック・
オ21本デクレの前提となる法令 GDPR９条• センシティブなデータ（本件では健康データ）の処理を原則として禁止（１項）。
• 例外（２項ｉ号）

データ主体の権利及び自由、特に、職務上の秘密を保護するための適切かつ個別の措置に関して定めるEU法又は加盟国の国内法に基づき、健康に対する国境を越える重大な脅威から保護すること、又は、医療及び医薬品若しくは医療機器の高い水準の品質及び安全性を確保することのような、公衆衛生の分野において、公共の利益を理由とする取扱いが必要となる場合

 情報処理・ファイル及び自由に関する1978年1月6日法31条Ⅱ項• 上記例外を認める場合には、CNILの意見を徴した上でコンセイユ・デタの議を経たデクレによる。CNILの意見はデクレとともに公表される。

22

外部研究者からの指摘（6月13日）• 6月13日、外部研究者が、本アプリは15分・1メートルという条件を充たさない接触についても中央サーバーに送っているという指摘。
• 政府はそれを否定せず、「15分ごとに識別子が変更されるため、5分の接触はその前の12分の接触の続きかもしれず、それを合わせ考慮する必要がある」。
• CNILは5月26日の決定段階でこのことを知っていた（別情報あり）。
23

外部研究者からの指摘（6月13日）
 4つの問題• 政治的な問題:知ってか知らずか、大臣は虚偽のメッセージを発していた。
それにより国民は適切なあらゆる情報を踏まえて判断することができない。
• 法的な問題:デクレがアプリの技術的な実態に対応していない。
• 行政の問題:その技術的な機能が確定していない段階でアプリの有効性についての判断を規制機関に求めたことになる。
• 技術的な問題:実際には、公表されていたよりも多く接触情報を中央サーバーが保有することになっている。
Marie Turcan, StopCovid a été lancé alors que même la Cnil ne savait pas comment l’app
fonctionnait, Numérama, le 18 juin 2020.
24

デジタル主権 フランスは、アップル・グーグルのAPIを使用しない例外的な対応。
• プライバシー保護の観点から集中型の方が優れている（?）• デジタル主権or民主政の観点
 後者につき、プレス向け資料より政府は、フランス人の健康保護は、もっぱら国家に属する任務であり、国際的な民間アクターに属するものではないと考える。したがって、コンタクト・トレーシングのアルゴリズムの決定や、健康当局がその活動の有効性を改善するためにあらゆる統計情報を入手する能力は、他の主体の手に委ねることはできない。これは、衛生・技術的な主権の問題である。
25

まとめ• 法的枠組み• 制定法の明文を遵守していればよい（逆に言えば、制定法に考慮すべき要素が余さず含まれている）という状態が望ましいのではないか。
• フランスでは概ねそうなっているが、プライバシー概念に依拠する部分も残る。
• また、制定法においても比例原則等、個別判断が必要な不確定概念は残る。
→ プロセスの問題• プロセスの問題• 民主的正統性:議会の関与は可能であるものの、組織化されていない。
• 専門的正統性:CNILやコンセイユ・デタの関与は法定されている。常設的な機関が必要的に関与する枠組みが望ましいのではないか。他方で、事前の統制は完璧ではない（細部は未定であることもある。なお、事後的な統制は予定されている）。

• デジタル主権の問題をどこまで考慮するか。
26