229

EU 一般データ保護規則の経緯と自己情報コントロール権の示唆
早川

傑人（前田研究会 4 年）

Ⅰ

GDPR 発行までの歴史的経緯
1

OECD ガイドラインと EU 指令

2

GDPR 発行

3

GDPR 導入のフランスでの事例

Ⅱ

規制対象としての GAFA と各社の対応
1

問題の起因

2

反トラスト法とプライバシー権

3
Ⅲ

日本での GAFA 対応
日本における歴史的経緯

Ⅳ

忘れられる権利1

アルゼンチン

2

EU

3

日本

4 「表現の自由」との衝突
Ⅴ

日本での情報コントロール権
1

将来に向けての課題

2

提

言

Ⅰ

GDPR 発行までの経緯

1

OECD ガイドラインと EU 指令

EU での個人情報保護活発化の第一歩は、OECD（経済協力開発機構）理事会が採択した1980年の「プライバシー保護と個人データの国際流通についてのガイド

230

法律学研究62号（2019）

ラインに関する OECD 理事会勧告」（OECD Guidelines on the Protection of Privacy
and Transborder Flows of Personal Data、以下、OECD ガイドライン） である。19701）

年代に電子計算機普及が進み国際間のデータ通信が活発化するなか、欧州に限らず各国での個人情報保護法制の必要性に対する意識は高まっていた。アメリカをはじめ旧東西ドイツなどで次々に法規律が整備されていった。しかし、各国が各々の国情につき法整備を進めるなか、法規律内容の不整合がグローバルな経済活動の弊害になり得ることが課題として議論されるようになった。このような背景の結果として誕生したのが OECD ガイドラインである。このガイドラインでは 8 つの個人情報保護の原則が示されている（OECD 8 原則）。経済活動において情報の自由な流通の必要性を強調したうえでこれを加盟各国の国内法に反映させることを勧告するものである。OECD 8 原則の概要は以下の通りである。①個人
データ収集に制限を設ける収集制限の原則、②利用目的との適合性とその維持責任を問うデータ内容の原則、③個人情報収集に際しての目的明確化の原則、④明確化された目的以外の用途での利用を制限する利用制限の原則、⑤合理的なセ
キュリティ処置を必要とする安全保護の原則、⑥個人情報に関する目的・運営方
法の公開の原則、⑦情報管理者に対する情報の持ち主である個人参加の原則、そして⑧以上の原則の実施に対する情報管理者の責任の原則、以上の 8 つである2）。
これらの原則は、ある程度解釈に幅を持たせるものであり、厳格に国内法化を求めるものではない。現在ではプライバシー保護の国際的な原則として扱われており、2013年には改正されている3）。
1995年には GDPR の前身とも言える EU 個人データ保護指令（Data Protection
Directive、以下、EU 指令） が欧州市場における個人情報取扱規制の統一を目的に4）制定され、個人情報保護を基本的人権として明文化している。EU 指令の特徴として、第三国に対する規制が挙げられる。同指令25条は、加盟国から第三国への個人情報の流入・移転について、その第三国が個人情報保護に関して十分な措置をとっていることを要件とした。したがって EU 指令は EU 諸国だけではなく、全世界各国の個人情報保護への意識を高める大きなきっかけとなった。
EU 指令を受けて欧州諸国は次々と個人情報保護法を指令と適合させるために改正していった。しかし、指令であった以上実際の法規制は各国の解釈を通して実施された。よってそれぞれの規制の間には法律的な不適合性がどうしても発生することになる。EU においての個人情報保護法規制の統一化という目的を EU
指令は果たせなかったのである。そこで必要とされたのがより強く統合性を提示

231

する抽象化された法体制であり、その役割を担うのが後の GDPR である。

2

GDPR 発行

一 般 デ ー タ 保 護 規 則（General Data Protection Regulation、 以 下、GDPR） と は、
EU にて2018年 5 月25日に施行された日本で言うところの個人情報保護法であるが、日本のそれに比べ厳しいものとなっている。原則として欧州連合内全ての市
民のプライバシーおよび個人情報の保護を目的とするものであるが、欧州市民の情報の流通を厳格に規定しているため、その影響範囲は欧州連合外にも及ぶ。
GDPR が規定されるまでは各国がそれぞれ独自の個人情報保護法を規定していたが、本法により、より統一された情報規制を設けることをも趣旨としている。連合各国は各自異なった対応を GDPR に対しとっており、本論文ではフランスの対応を一例として取り上げる。
規制の対象は大きく分けて、情報の持ち主である個人、そのデータを管理し扱いを決定する管理者、そしてその管理者を代行して利用・処理を行う処理者の 3つである。主に個人情報データの扱い、すなわち処理と移動を規定している。
欧州の法律なため一見日本とは関連性が低いように感じられるが、物理的距
離・国境を無視するインターネット上での情報の取り扱いを規律する法律であり、一概に無関係とは結論付けられない。また、情報保護先進国とは言えない日本において GDPR がどのような未来を示唆するのかを考察するのは重要な課題である。本論文では、GDPR が日本とそのビジネスにもたらす影響、そしてとるべき対応も確認する。また、個人情報保護を目的とする GDPR が、インターネット
ビジネス上で大きな課題となっている反トラスト法およびその他競争法とどう連動するのかを、具体例を挙げながら確認する。

3

GDPR 導入のフランスでの事例

GDPR 執行前においては、EU 加盟国にはそれぞれ固有の個人情報保護法が設立されていた。今回の EU の新法の適用は、それらの保護法を統一し、基本的人権である個人情報の保護をより強化するのが目的だ。とはいえ、フランスなどの法的歴史が長い国では特に、既存法の役割を一概に GDPR に吸収させるわけではない。
フランスにおいては、France Data Protection Act5）（以下、DPA）という形で個
人情報は保護されてきた6）。GDPR はフランスにおいてはこの DPA の改正とい232

法律学研究62号（2019）

う形で解釈されている。フランス政府はこの DPA を維持しつつ、GDPR に合わ
せ大幅に改正を行った。DPA は独立した行政局である、Commission Nationale
de l’ Informatique et des Libertés7）（以下、CNIL）により管理されており、GDPRに向けての DPA の改正は結果的に CNIL の権限範囲を拡張している。以下がDPA が固有に持つ権限範囲の例である。
（ 1 ） 地域的範囲
GDPR の理念を基盤とした本フランス法は、情報主体者であるフランス市民とその個人情報を保護するものであり、その管理がジャーナリズム・文学・芸術活動の一環ではない限り、情報の管理者がフランス国内に拠点を置いていなくとも規制の対象となる。すなわち、フランス市民の個人情報の管理者が違反を犯した
場合、DPA、GDPR、そしてその管理者の所在している国の個人情報保護法によって裁かれることとなる。
（ 2 ） 社会保障番号の取り扱い
フランスにおける社会保障番号（NIR）は取り扱いについては法令で許容対象が明確に示されているが、今回の DPA 改正以前に認可された管理者については、その認可が修正されていないことを条件として、2020年までの継続を認められている。
（ 3 ） 犯罪者の個人情報の取り扱い
DPA は個人および民間機関が、法的手続きにおいて、判決および犯罪行為に伴う個人情報を扱うことを認めている。
（ 4 ） 子供の承諾
GDPR は、第 8 条において16歳以上の個人情報を「管理」の対象としているが、フランスにおいてはその年齢を15歳に下げている。15歳以下の当事者は、保護者に承諾を得ていなければ DPA の対象とはならない。注意すべき点は、15歳以上であったとしても、GDPR においては16歳と規定されているため、GDPR の対象にはなり得る点である。

233（ 5 ） 承諾と契約の有効性
DPA は情報管理者に対し、契約上での義務を明確に課している8）。情報管理者
は、ユーザーとなる情報主体者が管理者と契約を交わす際に、その情報の安全と管理体制へのアクセスという意味において、障害によって妨げられてはならない。
この障害については同法にて明確に規定されている。
（a）フランス法においては、情報管理者が電子書式などで対象者の個人情報を収集する際には、必ずその対象者に告知することを義務付けている。
GDPR にはこのような規定は存在していない。
（b）個人情報主体者の権利は、もしそれが行政行為を妨害し結果的に公益に損害をもたらし得る場合には、制限の対象となる。
以上のように、CNIL によって改正された新しい DPA は、GDPR の基本理念および規定と、改正以前のフランス法の理念との融合の結果と言える。この改正についてはフランス国内では意見が分かれており、ドイツなどの GDPR に伴う新しい法律の導入が早かった国々と比較すると、時間を要した。

Ⅱ

規制対象としての GAFA と各社の対応

以上のような経緯で EU の個人情報保護は強化発展してきた。GDPR が発行された経緯として、前述したように EU 内でのより強固な連携が主たる動機ではあったものの、それと同時に大量の個人情報を取り扱うインターネット事業を展開する巨大企業が出現したことも大きな動機のひとつとなっている。いわゆるGAFA と 呼 ば れ る、Google と そ の 親 会 社 で あ る Alphabet Inc.、Apple Inc.、
Facebook、そして Amazon は、提供するサービスの性質上今までになかった規模で個人の情報をビッグデータとして保有・運営している。これらの企業が提供するサービスは人々の生活の隅々にまで浸透し、個人が主体的に多種多様な情報の検索を可能にするだけではなく、その履歴や背景をもとにしたアルゴリズムが個人に合った消費提案を提供するようにまでなっている。さらに Apple において
は指紋や顔認証などの先進的な技術を次々とそのプロダクトに導入し、新たな形の個人情報とも言えるバイオメトリクス・生体情報をハードウェアを通して保有
している。

234

法律学研究62号（2019）

これらの巨大企業は、それぞれの市場のスタンダードを意図せずとも生み出し変更している。特に Google は World Wide Web（以下、Web）における技術仕様
や 情 報の 取扱に対し て、 自 社 が 提 供 し て い る イ ン タ ー ネ ッ ト・ ブ ラ ウ ザ ー「Google Chrome」を通じて絶大な影響力を保持している。GAFA に対抗することができるのは GAFA のみであり、強者はさらに強くなり、弱者はさらに弱くなっている。GAFA が現在持っている経済力は、独占禁止法や反トラスト法、そしてプライバシー権の観点からより現実的な取締りの対象として研究するべき対象である。欧米での法整備が進んでいる中、GAFA のサービスを享受しそれらか
ら根拠のない倫理感を期待するのではなく、日本も技術先進国としての自覚を持つべきである。以下では GAFA 各社のこれまでの主な法問題とその対応について追究する。

1

問題の起因

GDPR 発行以前にもっとも EU の注目を浴びたのは Facebook とケンブリッジ・
アナリティカ事件である。この事件では、ソーシャル・ネットワーキング・サー
ビス「Facebook」のユーザーおよそ8700万人の個人情報が、彼らの許可なしにイギリスの選挙コンサルティング会社「ケンブリッジ・アナリティカ」に利用されていたことが発覚した。ケンブリッジ大学のデータ・サイエンティストである
Aleksandr Kogan が研究調査の一環として開発した「This Is Your Digital Life」というアプリケーションを利用した。これはフェイスブックと連携してユーザーのデータを解析しヴィジュアル化するというもので、取得されたデータはあくまで研究対象としてのみ利用されるとされていた。しかしケンブリッジ・アナリティ
カは同アプリケーションの買収を通して、ユーザーの許可を得ることなく、政治的目的を持ってこのデータを利用した。同社はアメリカ・イギリスにおける数多
くの選挙活動に関わっており、イギリス脱 EU（Brexit） の国民投票の結果はFacebook なしでは達成されなかったとまで言われているほどである。Facebook
としては、「研究目的にのみデータを使う」という Kogan の申請が偽りであったとし、さらには第三者に情報を譲渡することが規定違反だと主張しているが、他方で Facebook のデータ提供インターフェイス（API）が無差別に個人情報を取得できるように設計されていたこともまた事実であった9）。
このような事件をうけ、EU は個人情報取り扱いについての規制強化をさらに強く意識するようになった。ユーザーから個人情報を取得・利用する場合には

235「何に利用し、そのためにどのような情報を収集するのか」を明確にデータ取得
以前に提示すること、妥当な手続きをとったうえでの「忘れられる権利」、そして一度収集された情報は持ち主であるユーザーが簡単にアクセスできるようにす
る必要性などが主張されるようになった。GDPR 執行以前からこのような指摘はGAFA に対して頻繁にされるようになり、執行された当日から Facebook に対して GDPR 違反の申し立てがオーストリアの非営利プライバシー保護団体「noyb.
eu」によってされている10）。この苦情申し立ては Facebook のほかにその子会社
Instagram と WhatsApp、そして Google も対象となっている。申し立ての根拠として、各社が運営するサービスにおいて個人情報の処理などに関する個人情報保護方針の GDPR 執行にともなった変更に同意しなければサービス利用を続行できないような同意を強いていたことが問題とされている。
「noyb.eu」の代表である Max Shrems は、「ユーザーは最終的に自分のアカウントを削除するか、新たな個人情報保護方針に同意するという選択肢のみしか与えられていない。これは自由な選択とは言い難く、北朝鮮の選挙プロセスを彷彿とさせる。」と激しく批判している11）。
なお、米国内でも本事件については法的措置が求められている。2018年12月19日、コロンビア特別区はケンブリッジ・アナリティカ事件でのユーザー個人情報の不正利用の問題で Facebook を提訴した12）。原告はその消費者保護手続法（Consumer Protection Procedures Act）違反として、ワシントン D.C. の住民の半数近く、34万人の個人情報が不正に利用されたと主張している。裁判では対象となるコロンビア特別区の住民への損害賠償に加え、消費者保護手続法の違反 1 件につき5000ドルの支払いが科せられる。この問題において「違反」がどのように捉え ら れ る か は 不 明 瞭 だ が、 関 係 し た 被 害 者 数 が 違 反 数 と 判 決 さ れ た 場 合Facebook は17億ドルもの制裁金支払いを命じられることになる13）。もしこのような判決に至った場合、米国内での GAFA に対する訴訟としては最大規模になる。
いずれにせよ、今後も動向が国際的に注目される。

2

反トラスト法とプライバシー権

Google は検索エンジンをはじめインターネット広告、クラウドコンピューティ
ングプラットフォーム、そのほかのソフトウェア、ハードウェア事業を全世界に展開しているテクノロジー企業である。GDPR が執行されてから約半年の間に無数の申し立てが出されており、Google はその主要対象と言っていいだろう。近

236

法律学研究62号（2019）

年問題は複雑化しており、GAFA を論点の中心にプライバシー権・個人情報保護と反トラスト・独占禁止法の問題が密接に絡み合う傾向が注目されている。
Google は業界でも異例な規模のペナルティを二度欧州委員会から受けている。
まず第一に競争法違反として24億ユーロの制裁金が科されたのは検索エンジン
アルゴリズムの濫用であった。Google が提供していたオンラインショッピング
比較「Google Shopping」が、Google 検索において、自社サービスである「Google
Shopping」が優先的に検索結果に表示されていたことが問題となった。
第二に大きく問題となったのは Google が開発し20億以上の携帯端末の OS となっているソフトウェア Android の提供仕様であった。Google は携帯端末製造者に対し、Google 検索を既定の検索エンジンとして端末にインストールすることを強要し、大規模な製造者に対してはそうすることについて莫大な金額の契約を交わしていた。欧州委員会としてはこの検索エンジンおよび携帯端末上のソフ
トウェア市場の独占を違法と判断し、競争相手がより参入しやすいエコシステムに改善していくことを Google に求めた。本件について欧州委員会は43億ユーロもの制裁金を Google の親会社である Alphabet Inc. に科しており、これは現在欧州の反トラスト規制史上もっとも高額な制裁金となっている。
これらの法的論争は一見プライバシー権とは関係性を深く持たない反トラスト法・競争法においての問題であるかのようにみえるが、実際はそうではない。欧
州委員会競争総局はこれらの問題をプライバシー権に対するリスクとしても注目
している。

3

日本での GAFA 対応

GDPR などの欧州の取り組みの影響を受けて、日本においても GAFA のような「メガプラットフォーマー」に対しての規制は動きを見せ始めている。総務省、経済産業省、そして公正取引委員会は2018年11月に「デジタル・プラットフォー
マーを巡る取引環境整備に関する中間論点整理（案）」を公開した。この検討委
員会は同年 6 月に閣議決定した「未来投資戦略2018」にて定められた「プラットフォーマー型ビジネスの台頭に対応したルール整備」の方針を踏まえて設置された。この中間論点整理によると、検討会ではデジタル・プラットフォーマーすな
わち GAFA について、日本では「単なる「場の提供者」であるから積極的な責任を負わないと解する向きが強かった」とし、法的特異性を再確認している14）。
しかし、ほとんどの議論は独占禁止法や競争の公正性の観点からされており、プ237

ライバシー権に関しては、データ・ポータビリティや API などのデータの開放については言及されているものの、ほとんど議論されていない。EU の基本的権利としての情報コントロール権のような個人の情報管理の権利について検討するべきという案だけは提示されているあたり、今後の動向に期待する。

Ⅲ

日本における歴史的経緯

個人情報保護の法制化が日本において活発になった大きなきっかけは前述した
1980年の OECD ガイドラインであった。当時から欧州のような個人情報という権利は積極的に意識はされていなかったが、日本は OECD 設立 3 年後の1964年に加盟しており対応する必要性に迫られていた。このガイドラインの国内での効力については、東京高判は「掲げられた諸原則を国内法の中で考慮することを求めているだけであって、法的な拘束力を有するものではない。ただ、その諸原則
は、各国の共通するルールとなることを志向しているという意味では参考となるものであり、民法における不法行為の成否を考える上での参考事情になると考えられるが、それ以上に、不法行為成立の十分要件となったり、違法性を強める事情となったりするものと解することはできない」としている15）。OECD ガイドラ
インで提示されている 8 つの原則も、日本においては判例により変容されているものの、基本的にはガイドラインとして判断の基礎となっている16）。
公的部門については、OECD ガイドラインをもとに、「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」が制定された。この当時は民間部門においては法整備はさほど進まなかった。EU 諸国ではひとつの法律で公的部門と民間部門を規律しているのに対し、日本においては米国と同様に、民間部門に関しては自主的な取り組みを促すという方針をおいた17）。米国では「プライバシー法」により公的部門、連邦の行政機関を規制する一方、民間部門についてはそれぞれの個別法で規制しており、個別法が存在しない業界においては情報を取り扱う事業者の自主規制となっている。1995年に EU で EU 指令が制定され、その第三国への規制に関しても、結果として法体制が変化することはなかった。
2003年についに成立した個人情報保護法は、経済のグローバル化とその担い手である民間事業者への個人情報取り扱い規制の要請が高まった結果である。さらに、成立の背景としては、国内市場における個人情報取り扱いにおける諸問題が顕在化したというよりも、個人情報保護に対する一連の国際的な意識の高まりが

238

法律学研究62号（2019）

強いものであったと考えられる。
個人情報保護法は、次第に社会のデジタル化・ネットワーク化が進みビッグ
データの利活用活発化に対する規制の要求が高まり、グローバルな規模での情報流通の拡大などの市場拡大化に伴い、2015年に法改正された。この改正では規制対象が拡大され、情報の持ち主である個人に対する利用目的などの提示が義務化
され、第三者に情報提供する場合には本人からの同意が必要になるようになった。
さらには、第三者への情報流通が規制されるにあたって、本人の同意を必要としない特例「オプトアウト」制度も導入された。

Ⅳ

忘れられる権利「忘れられる権利」とは、インターネット上での個人にまつわる情報の削除を請求できる権利である。かつては一度公開された情報は物理媒体の脆弱性や取得の制限などの特性上、時間とともに人々の記憶から消えていった。しかし、インターネット上ではこのような情報は時間とともに消えることはなく遠い過去のものでも簡単にアクセスできてしまう。Google のような社会インフラと言えるまで我々の日常生活に不可欠になった検索エンジンにおいては、過去の情報の「忘れられる権利」とその情報の公益性を前提とした「知る権利」とのバランスが問題となる。人間が社会性を保つことについて、人間の「忘れる」という特性がそれを形作っている。
「忘れる」ことがいまだに仕組み化されていないインターネッ
ト社会で、その社会性をどのようにして保護していくかが問題だ。「忘れられる権利」は EU とアルゼンチンで法的に実用化されている。

1

アルゼンチン

アルゼンチンでは憲法43条で情報所有者の権利を保障していることもあり、「忘れられる権利」についての法整備がもっとも整っていると言える。憲法43条
は公的権力が保持している個人の情報の修正・削除・変更を請求する権限を情報所有者に付与することを保障している18）。この規定は1990年代に起きた habeas
data 運動をきっかけに設けられた。habeas data は情報を保持している者のことであり、情報の所有者が情報の保持者に対して訴えることのできる前述した権利のことを指している。この考え方はアルゼンチン以外にもブラジルやペルーなどの南米諸国に受け入れられ、後に個人の尊厳に対する攻撃である肖像の無断使用

239の規制という形で知的財産法でも表現されるようになる19）。このような経緯をもとに、アルゼンチンでは有名人がインターネット上に存在する自身の情報の削除を請求する裁判が提起されている。もっとも著名なのは Da Cunha Virginia vs.
Yahoo and Google 事件20）であろう。
原告の Virginia Da Cunha は国内で有名な女性タレントである。彼女は自身のホームページや SNS などに、水着姿などの露出が多い写真を掲載した。その結果 Google と Yahoo での彼女の名前の検索結果としてそれらの写真が性的な意図をもったサイトとして表示されるようになり、彼女はプライバシー侵害と名誉毀損にもとづいて損害賠償請求した。一審判決では検索結果の削除の可能性を考慮した後、前述した自らの肖像を扱う権利をもとに、この検索結果は原告のイメー
ジを侵害するものであることを認めた。実際には重大な金銭的損害が発生していないことを考慮し道徳的損害の賠償の支払いと、該当する検索結果での性関連サ
イトの表示を削除することを命じた。二審判決では一変して、Yahoo およびGoogle にはいかなる損害賠償責任も認められないとした。画像がそもそも原告が自ら率先してインターネット上に公開されたことを指摘し、原告への損害は発生していたとしても検索結果とそれの間には十分な因果関係は認められないと判断している。他方で Brilla de Serrat 判事は、全ての個人は「忘れられる権利」という保護法益を有している、という内容の補足意見をつけ、情報記憶が顕著な
現代においての「忘れられる権利」の必要性を説いた。この補足意見はアメリカや EU の注目の的となった。同時期にプライバシーの新しい型として「忘れられる権利」を実用化しようとする動きがあった中、実際に法論争の中でこの言葉が用いられたのは本裁判が初めてだったらである21）。

2

EU

EU での「忘れられる権利」はもともとフランスで展開された忘却権に由来している22）。フランスにおいてもこの言葉の意義について確固たる合意がされているわけではないが、EU の基本的人権としてのプライバシー権がそうであるように、忘却権のフォーカスは情報の存在およびその消去ではなく、それが帰属する所有者の社会的・生活的な尊厳の保護にある。現状においては忘却権は、①「情報処理の目的を終えたデータを一定期間が経過した後は自動消去させる時効をあらかじめ設定する」②「データの最新化により、データの乱用から人権を守る」
二つの権利から成り立っている23）。

240

法律学研究62号（2019）

EU 指令では「忘れられる権利」は人権として保障はされていなかった。がしかし、GDPR は17条をもって「忘れられる権利」についての法律を新設した。この条項が規定する「忘れられる権利」は南米の habeas data に類似し、「情報を消去する権利により、望まない情報の処理をされた、情報の保持者（主体）である個人の人権の回復と権利の強化を図ることを可能にする」ものである24）。

3

日本

日本において「忘れられる権利」が論点の中心となった例として有名なのは最決平成29年 1 月31日民集71-1-63であろう。本件の原告は過去に児童買春・ポルノ禁止法違反で50万円の罰金を科されたが、支払い後 3 年経っても実名や住所などで検索するとその犯罪についてのメディア記事が表示されていた。これを「人格権の侵害」とし検索結果の削除を請求した事件である。原審のさいたま地方裁
判所は原告が「忘れられる権利」を有していると判断し、Google への検索結果の削除請求を認めた。しかし、Google の抗告で東京高等裁判所はこの決定を取り消し却下した。東京高裁は「罰金を納付してから 5 年以内の現段階では、いまだ公共性は失われていない」と判断し、「忘れられる権利」についてはさらに、「名誉権やプライバシー権に基づく差し止め請求と同じものであり、忘れられる権利として独立して判断する必要がない」としている。結果としてこの決定は原告のプライバシー権に基づく検索結果削除請求を却下しただけではなく、「忘れられる権利」そのものを否定したと言えるだろう。最終的に最高裁も原告の犯罪歴は3 年が経過した時点では公共性を有していると判断した。最高裁からの「忘れられる権利」についての言及はなかった。
本裁判の意義は、原告の検索結果削除請求が却下されたことにあるのではない。
東京高裁の「忘れられる権利」の否定にある。EU では前述した通り GDPR にて「忘れられる権利」が明文化されており、Google もそれにしたがって削除請求を可能にする機能を EU においてのみ用意している25）。Google が公開したこの機能の利用レポートによると、2019年 1 月15日の時点で検索結果からの除外のリク
エスト数は762833件、URL 単位でのリクエスト数は2934207件あった。その中のおよそ44％が実際に検索結果から除外されている26）。このレポートから示唆されるように、EU 内だけでもこれだけのリクエストがされており少なくとも半数近くは Google の判断基準ではあるものの妥当なリクエストとして除外されている。
社会的公益性を考慮したうえでもそれだけ「忘れられる」べき情報が存在してい241

たということであり、これは EU のみならずどのような法規制の下でも認められるべきである。

4 「表現の自由」との衝突「忘れられる権利」というのはあくまで Google などの検索エンジン上での情報への導線の削除であり、情報そのものの削除ではない。無数のウェブサイトとそのコンテンツが存在している今日、全ての情報の管理者に削除を請求することは不可能に近いからだ。そこで、検索エンジン運営者に直接削除請求し検索結果から完全に除外することで、情報コンテンツそのものがインターネット上には残っていたとしても、それへのアクセスの大多数は防ぐことができる。そうする
ことによって本人の意思に反して個人情報や画像などが公開されてしまった場合はもちろん、過去の犯罪歴などによって引き起こされる社会的不利益から情報所
有者本人そしてその親族などを守ることができる。「忘れられる権利」を容認する一番の問題点は、「知る権利」と「表現の自由」との衝突だ。無論、インターネッ
ト上で個人が情報を公開することや、個人がインターネット上で情報を学ぶことができる権利を制限するべきではない。しかしそれと同様に、個人はその情報についてできる限りのコントロールを許されるべきである。
では、「表現の自由」と「忘れられる権利」はどのように均衡を保つべきであろうか。EU は GDPR で「忘れられる権利」を明文化し保障しているように、「表現の自由」に対しては挑戦的なアプローチをとっていると言っていいだろう。保
障のフォーカスは社会の公益というよりは、あくまで一個人の権利であるというニュアンスが強い。それと同時に、Google のような私企業が削除請求リクエス
トの要否を判断することについては、検閲というかたちで「表現の自由」が脅かされているという認識も強い27）。Da Cunha 事件の決定が示しているように削除請求対象が性的な性質をもった極めて秘匿性の高い情報でも、社会性のある「重大な損害」とは判断されなかった。しかし、精神的苦痛を伴ったことは認められ部分的に損害賠償請求が認められている。
他方で日本ではその認識すらないのではないだろうか。最決平成29年 1 月31日
での「人格権の侵害」は認められなかった。児童買春・ポルノ禁止法の違反者をある一定期間周囲から認知可能にし、社会的評価を著しく低下させることが公益につながることは間違いない。しかし、相当の罰を科されてもなお半永久的に社会性を取り戻せず、原状回復が不可能な社会というのは道理ではない。
「忘れる」

242

法律学研究62号（2019）

ことができないインターネットは、このような前科者に半永久的に反社会性を付与してしまう危険性を持っている。このような状況からの救済措置が必要とされている。

Ⅴ

日本での情報コントロール権

日本でも「プライバシー」という言葉は社会的に浸透し始めているが、法的に明確化されておらず未だ曖昧であり、プライバシー権および個人情報保護の観点から様々な問題が存在している。これらの問題については、今までがそうであったように都度法整備していけばよいという考えも認められるが、本質的には根本的に日本における「プライバシー」を定義する必要がある。時間的そして物理的制限を持たないインターネットが発達する今、個人情報は簡単に人の手に渡ってしまう。したがって「表現の自由」「知る自由」も規制対象とその幅も規制内容が変化して当然のように思える。さらには、個人情報の流通の大部分はもう所有者の認知できないところで行われている。Cookie や位置情報、ユーザー最適化などの便利なサービス機能は、消費者の理解が追いつかないままに大量の個人情報を蓄積している。すなわち「プライバシー」というのは、情報の公開・提供・
削除のような情報所有者を中心としたミクロな関係性だけではなく、大量に蓄積されたいわゆるビッグデータの収拾・分析を踏まえ保護すべき法益とするべきである。前述した Facebook や Google のケースが示唆しているように、これから注目すべきは情報がどう動くかだけではなく、大量の情報がその管理者にどのよ
うに取り扱われるか、ということである。
日本においての個人情報保護に関する規制を EU のそれと比較すると、個人情報保護に対する法的位置付けに明らかな差があることがわかる。EU では個人情報保護が統一規制された EU 指令の時代からプライバシー権を市民の基本人権のひとつとして取り扱っている。対して日本においては、条約等を介した国際的な風潮に半ば強制され国内体制を構築してきたといっても過言ではない。
EU ではプライバシー権が欧州基本権憲章28）ならびに欧州人権条約29）を通じて市民の基本人権のひとつとして保障されている。双方においてプライバシーは“family life”に就く位置付けを得ており、規制の対象を事業者や個人に特定する
ものではない。プライバシー権が個人の基本的人権として保障されている一方で、
日 本 で い う と こ ろ の 個 人 情 報 保 護 は、 前 述 し た ETS108条 の“Automatic

243

Processing of Personal Data”という命名が示唆しているようにあくまでプライ
バシー権に付随する個人情報の自動処理に関する規制という位置付けである。
これに対し日本においてプライバシー権は基本的人権としては扱っていない。
通説として憲法上の権利として国家に対して訴えることはできる30）。しかし、これはあくまで「個人情報保護」というプライバシーの部分的な側面を保護するものであり、個人情報の流通や第三者の処理的介入・管理なども含めた「プライバ
シー権」そのものを保護するものではない。それらは個別の基本権とは認められていないからである。最高裁でプライバシーは「個人の私生活上の自由」というかたちで憲法上の権利として認められてはいるものの、そのプライバシーの対象がどのような性質のものであれ公益性を考慮する場合には「プライバシー権」という保護の対象にはならないのが通説である31）。
他方で「一人で放っておいてもらう権利」という極めて消極的な考え方から、前述した EU や南米で一般的な「自己情報のコントロール権利」という積極的な立場に発展してきているのも確かである。今までの「一人で放っておいてもらう
権利」というのは、あくまで市民の私生活上の自由を指しているのであり、行政・公的機関の情報の取り扱い方や納税や社会保障制度の利用などの生活における公的部分においては権利保障の対象外になることが懸念されていた。そのような側面的な法益保護ではなく、一個人の基本的人権に着目し個人の属する情報が可能な限りその所有者のコントロール下にある状態を理想とする体制の方がより現代の情報化社会においては妥当である。

1

将来に向けての課題

日本における「プライバシー」の定義としてもっとも一般的とされるのはおそらく宴のあと事件の、「私生活をみだりに公開されないという法的保障ないし権利」である32）。これは情報の「公開」もしくは「暴露」の有無が問題なのであり、一般市民の社会通念的に秘匿にしておきたいような情報の非公開、といったようなニュアンスに限られている33）。しかし、このような情報が一度世に公開されてしまった場合どうするのか、という課題が生まれる。そこで必要になってくるのが単なる「プライバシー」と切り離された概念の「自己情報コントロール権」だ。
情報はその主体のコントロール下にあり、いかなる技術発展がみられようとそれは常に法的に保障されるべきである。
実際に市民が取り巻く技術とその情報の取り扱い方を十分に理解し、的確に情244

法律学研究62号（2019）

報開示・削除請求を行うことを期待するのは現実的ではない。市民にその責任を押し付ける形で制度を強化すれば、不利益を被っても本人の責任であって仕方がない、というような自己責任論になってしまうことも懸念される34）。
もちろん、技術とプライバシーとのバランスの問題は日本のみが解決しなければならない問題ではない。しかし技術先進国を名乗るとなれば、現状に危機感は持つべきであろう。日弁連は2002年の第45回人権擁護大会の「憲法13条が定めている個人の尊厳の確保、幸福追求権の保障は、自己の情報が予期しない形で、あるいは無限定に収集・管理・利用・提供されることを防止し、自己の情報がどこにどのような内容で管理され、誰に利用・提供されているかを知り、これら管理された情報について誤りがあれば、これの訂正を、また不当に収集された情報については、その抹消を求めることができる自己情報コントロール権（情報プライ
バシー権）を保障している」としている 。これは、個人情報保護法が整備され
35）

る以前に住民基本台帳ネットワークシステムが利用され始めたことを背景に、行政機関を中心にした情報管理への危機感とその透明性に関しての警世的な意識の現れだ。
プライバシー権が憲法上の基本的人権のひとつとして認められないとしても、
上記の13条の解釈を時代に先んじて拡張していくことが重要だ。20年近く前になされたこの「自己情報コントロール権確立」の呼びかけは、現在でも達成できたとは到底いえない。マイナンバー制度なども導入され技術発展は著しい中で、具体的にどのような対応が必要とされるだろうか。

2

提

言

第一に、市民が自己の情報がどのように収集・処理・管理されているのかを具体的に理解できるような環境を用意する必要がある。GDPR も新たに規制したよ
うに、具体的にどのような情報をどのような目的のもとに提供することになるかを、事前にユーザーに告知するような仕様を強いるべきだ。ライフログやプロ
ファイリングが当然のように行われている今、個人がサービスを消費するにあたってどのような情報を誰に提供し、その情報がどのように使われ管理されるのかを把握しないことには、自己情報コントロール権は確立できない。自己についての情報を誰がどこまで知っているかわからなければ、他人の自己に対する評価の基準もわかり得ない。コミュニーケーションをとることに萎縮し、このような人間関係が蔓延すると最終的には民主主義崩壊が危惧される。このような未来を

245

回避するには、情報が止めどなく流れる社会の中で個人が足場をつくることが必要だ。
第二に、Google や公的機関の個人情報処理システムは必要のない情報は極力取得できぬように規制されるべきである。マイナンバー制度が導入され Googleなどが日常的にあらゆる側面で利用される総合的サービスを展開するなか、一個人の行動や思想、人間関係などを具体的にデータ化するのは難なくできてしまう。
そのような統括的なデータが作成されることを阻止するにあたり、不必要な情報が収集されないための具体的な法的措置が必要とされている。
第三に、インターネットサービスやソフトウェアアプリケーションの開発において、プライバシー対策を設計時点で事前的に行うという文化が強力に適用されなければならない。プライバシー・バイ・デザイン（Privacy by Design、以下PbD）は1990年代当時にカナダのオンタリオ州のプライバシー・コミッショナーであった Ann Cavoukian 博士が提唱した概念である。PbD はプライバシー侵害が発生する以前にそれを阻止することを目的とし、プライバシー保護をシステムの使用時に検討するのではなくそのシステムの企画・設計の時点で施策を組み込
むというものである。PbD には 7 つの基本理念が設けられている。①事後的ではなく事前的、救済的ではなく予防的、②初期設定としてのプライバシー、③デザインに組み込まれるプライバシー、④全機能的：ゼロサムではなくポジティブ
サム、⑤最初から最後までのライフサイクルすべてにわたってのセキュリティ、⑥可視性と透明性：公開の維持、⑦利用者のプライバシーの尊重：利用者中心主義を維持する、の 7 つである36）。この理念は各国のデータ保護機関等が参加するInternational Conference of Data Protection and Privacy Commissioners（以下、ICDPPC）においてもプライバシー保護の重要なマイルストーンとして認知されている37）。さらに GDPR でも根強くその理念は反映されている。データ管理者
およびシステム開発者に最小限の情報を取得すること、そして情報保護を図るにあたって合理的な初期設定を設けることを強要することによって、GDPR は以前の EU 指令もより厳格にプライバシー侵害の事前阻止を狙っている。このように日本の法規制においても、より具体的で明確なシステム仕様の強要を反映していくべきである。
前述したように「忘れられる権利」の侵害などは、制裁・罰金をデータ管理者
からとることは無論可能だが、それでは環境汚染と同じく根本的な解決には至らない。既存のプライバシー・マークのような制度はシステムやサービスの信頼性

246

法律学研究62号（2019）

は示せても、新たなものの創造に指針を示すものではない。さらには、PbD を提唱した Cavoukian 博士が所属していた Information & Privacy Commissioner ofOntario のような、行政機関ではなくあくまで独立した専門機関が必要だ。プライバシーや個人情報保護そのものにフォーカスした活動というよりは、技術的理解を十分もった人材が権限を与えられ、公民両方に PbD のような指針を示す。
個人の情報コントロール権を守っていくには、それにリソースを費やすことのできる組織が必須になるであろう。
1 ） 小沢美治夫「個人データの国際流通とプライバシー保護ガイドライン OECD
勧告」ジュリスト742号、264頁（1981）。
2 ） 宇賀克也『個人情報保護法の逐条解説（第 6 版）』 4 頁（有斐閣、2018）。
3 ） 堀部政男ほか『OECD プライバシーガイドライン

30年の進化と未来』1 頁（一般財団法人日本情報経済社会推進協会、2014）。
4 ） Directive 95/46/EC of the European Parliament and of the Council, 24 October
1995, https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L004
6:en:HTML, (2018.11.14).
5 ） Thompson Reuters Practical Law, “Data protection in France: overview”, https://uk.practicallaw.thomsonreuters.com/6-502-1481?transitionType=Default&context
Data=(sc.Default)&firstPage=true&comp=pluk&bhcp=1, (2018.8.2).
6 ） Security & Privacy Bytes, “France’s Law to Accompany the GDPR and EU
Directive Published”, https://www.securityprivacybytes.com/2018/01/frances-lawto-accompany-the-gdpr-and-eu-directive-published/, (2018.8.2).
7 ） CNIL, https://www.cnil.fr/, (2018.8.2).
8 ） DLA Piper, “France: New Data Protection Law Has Been Adopted”, https://blogs.
dlapiper.com/privacymatters/france-new-data-protection-law-has-been-adopted/,(2018.8.2).
9 ） 西田亮介「ケンブリッジ・アナリティカ事件とその論点」情報処理59巻 7 号
596-598頁（2018）。
10） noyb.eu “Complaint Under Article 77(1) GDPR”, https://noyb.eu/wp-content/
uploads/2018/05/complaint-facebook.pdf, (2018.12.6).
11） noyb.eu “GDPR: noyb.eu filed four complaints over ‘forced consent’ against
Google, Instagram, WhatsApp and Facebook”, https://noyb.eu/wp-content/
uploads/2018/05/pa_forcedconsent_en.pdf, (2018.12.6).
12） District of Columbia vs. Facebook, Inc., The Superior Court of the District ofColumbia, 2018,http://oag.dc.gov/sites/default/files/2018-12/FacebookComplaint.pdf, (2018.12.20).
13） Office of the Attorney General for the District of Columbia, “AG Racine Sues

247

Facebook for Failing to Protect Millions of Users’ Data”, https://oag.dc.gov/
release/ag-racine-sues-facebook-failing-protect-millions, (2018.12.20).
14） デジタル・プラットフォーマーを巡る取引環境整備に関する検討会「デジタル・プラットフォーマーを巡る取引環境整備に関する中間論点整理（案）」http://
www.soumu.go.jp/main_content/000583184.pdf, (2019.1.16)。
15） 東京高判平成14年 1 月16日判事1772号、17頁。
16） 岡村久道『個人情報保護法（第 3 版）』20頁（商事法務、2017）。
17） 三上明輝ほか『Q&A 個人情報保護法』10頁（有斐閣、2004）。
18） ア ル ゼ ン チ ン 憲 法（ 英 語 版 ）、http://pdba.georgetown.edu/Constitutions/
Argentina/argen94_e.html, (2019.1.10)。
19） 伊藤英一「情報社会と忘却権：忘れることを忘れたネット上の記憶」法学研究
84巻、187頁（慶應義塾大学法学研究会、2011）。
20） Da Cunha v. Yahoo de Argentina SRL and Another, https://www.opensociety
foundations.org/sites/default/files/domestic-da-cunha-amicus-curiaeeng-20140310.pdf, (2019.1.10).
21） 上机美穂「忘れられる権利とプライバシー」札幌法学25巻 2 号、59-79頁（2014）。
22） Id21.
23） Id21、184頁。
24） Id21、71頁。
25） EU Privacy Removal, Google, https://suppor t.google.com/legal/contact/lr_
eudpa?hl=en&product=websearch, (2019.1.10).
26） Search Removal under European privacy law, Google Transparency Repor t,
https://transparencyreport.google.com/eu-privacy/overview, (2019.1.15).
27） 庄司克宏ほか『インターネットの自由と不自由：ルールの視点から読み解く』
80頁（法律文化社、2017）。
28） Charter of Fundamental Rights of the European Union 2012/C 326/02, EUR-Lex,
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:12012P/TXT,(2019.11.15).
29） European Convention on Human Rights, Council of Europe, https://www.echr.
coe.int/Documents/Convention_ENG.pdf, (2019.11.15).
30） 高橋和之『立憲主義と日本国憲法（第 4 版）』73頁（有斐閣、2017年）。
31） 日本弁護士連合会『デジタル社会のプライバシー』343頁（航思社、2012年）。
32） 東京地裁昭和39年 9 月28日下民集15巻 9 号、2317頁。
33） 羽賀由利子「フランスにおけるプライバシーと忘却：『忘れられる権利』の由来をたどって」、金沢法学60巻 2 号、123-157頁（2018）。
34） 大阪弁護士会「シンポジウム

カードでどうなる？

プライバシーと社会保障」

報告書31頁（2009年）。
35） 日本弁護士連合会「自己情報コントロール権を情報主権として確立するための宣 言」、https://www.nichibenren.or.jp/activity/document/civil_liberties/year/

248

法律学研究62号（2019）2002/2002_4.html, (2019.1.14).
36） 増成直美「カナダのブリティッシュ・コロンビア州における電子診療データの二次利用」山口県立大学学術情報11号、74-75頁（2018）。
37） Information & Privacy Commissioner of Ontario,「Privacy by Design」, https://www.ipc.on.ca/wp-content/uploads/2013/09/pbd-primer.pdf, (2019.1.16).