個人情報保護委員会
2019年5月17日

個人情報保護法3年ごと見直しに向けた意見
国立研究開発法人 産業技術総合研究所

高木 浩光

1

•••
••••
••
•
•
•

目次

背景として自己紹介
利活用と保護を両立させるために改正の方向性へのコメント（日経新聞報道から）仮名化データへのコメント
開示請求権の誤用
プロファイリングへの対応
匿名加工情報ターゲティング広告
個人識別符号の拡充？
名簿屋対応「個人データ」と「個人情報」
法目的から外れた教育啓発
2•

背景として自己紹介

近年の関連する活動••••（一社）日本ユーザビリティ医療情報化推進協議会（JUMP）
医学系研究倫理指針改正に際して助言等（仮名化データの位置付け）（一財）情報法制研究所（JILIS）•••

オンライン広告TF（匿名加工情報のターゲティング利用の方法）
秘密計算技術応用TF（組織を跨った個人データの統計利用の方法）
情報公開の開示文書から個人情報保護法の制定・立案経緯の分析

関連する論文•「個人情報保護から個人データ保護へ―民間部門と公的部門の規定統合に向けた検討(1)(2)(3) 〜」情報法制研究1号〜•••「容易に照合」当初の意義とその後の経緯を解明（昭和63年法から）「個人に関する情報」「識別」概念の意義を解明（連載(4)で予定）
平成15年法の制定経緯の解明（連載(5)で予定）
3

•

利活用と保護を両立させるために統計量への集計は問題としないことを明確にする••••そのためには法目的を具体的に明確化することが必要••

既にQ&Aにはあるが(Q2-5)、理由を整理して明確にするべき「統計データへの加工を行うこと自体を利用目的とする必要はありません」

ガイドラインへの記載、逐条解説書への記載「個人の権利利益の保護」に何が含まれているか漏えい防止や流通の制限だけではない•
個人データに基づき本人に何らかの影響を及ぼすことが問題••••
これを明確にしないから無用な権利感覚が生まれる••「プライバシー」「自己情報コントロール」では言い表わせられない何かターゲティングなど、個人データのプロファイリングに基づく個人の選別
裏返せば、「統計量への集計」はそれに当たらないから問題とならない
昭和63年法・行政機関法の立案過程でも法制局でそう言われていた「自分のデータが金儲けに使われるのは損」など、法目的が曲解される
4

••

改正の方向性へのコメント

4月2日の日経新聞（修正記事含め）から推測する私の理解
利用停止請求権の強化••

利用停止を無条件に請求可能なものとする？

••日経「個人の意志でデータがどう利用されるか指示できるようにする。自分の情報の利用をダイレクトメールの送付に限ることなどができ、データ利用でいったん同意した内容を撤回することも可能だ。」

事実上のプロファイリングへの対応……ということか•

プロファイリングによる選別（ターゲティング）の拒否が可能に仮名化データを新設••

統計利用のために温存できるようにする？

•日経「データを仮名にして本人を直接特定できないようにすれば規制を緩め、利用停止権やデータ開示請求の対象外とする。」「第三者提供については制限するが、利用ルールは緩和する。」

なるほど……（次ページ）
5

•

仮名化データへのコメント

現行法でも統計量への集計は目的外に利用可能だが•••本来目的の利用を終えたら消去の努力義務（19条）がある
仮名化データにすれば消去せずに温存できる……ということか

現行法でも利用停止請求権は（通常）及ばないが•••良い案だと思うが、法目的を明らかにする必要がある••••
利用停止請求権を強化するので仮名化データにすれば利用停止の対象外になる……ということか

開示・訂正請求権からも除外される点が新たな規制緩和か

統計量への集計が元より問題とされていないこと

開示等請求権の本来の法目的を明らかにする必要がある
仮名化データにすれば請求に応じなくてよい理由は何か••「本人に影響を及ぼす利用」は再識別に当たり定義で除外されるから訂正や利用停止を求める意義がない（ただし……）
6

•

医学系研究倫理指針改定の際に出た指摘

••••
••
••

現場「個人情報に該当したら開示請求への対応が大変」
仮名化しているから個人情報でない（ことにしたい）という意見

研究用データは仮名化され元に戻さない用途の場合が多い
最終的に統計量に集計されるのみで本人へのアプローチがない場合

この場合、開示・訂正・利用停止に応じる実益がないとの指摘
改正の方向性は、これを解決するものと言え、評価できる

ただし

••

漏えいリスクの観点から内容を確認したいとの要望にどう応えるか
GDPR Article 11の「except where the data subject … provides
additional information enabling his or her identiﬁcation.」をどうするか

これが実現するならば•仮名化データの提供を受けた研究機関においても個人データ（仮名化データ）として取り扱うべきではないか••

本人同意その他の適法理由で提供を受けた場合に現行法では個人情報に該当しないと整理され、法の義務がかからなくなってしまっているが、これを改めるべき7

開示請求権の誤用•

耳にした誤用の例•••
中間整理に記載の例も•••本人の備忘録代りに使われているとの話
データポータビリティならまだしも遺族が本人死亡で不明になった情報を得るために「家族等への提供に応じないことに関する不満」(p.8)
何の目的での開示請求なのか？

•••誤用に基づく希望を実現することは制度趣旨を混乱させる

遺族対応のケースは、情報公開・個人情報開示とは別で対応すべきでは？

この際、開示請求権の法目的を明らかにするべき••仮名化データに対する請求権の否定を正当化できないので昭和63年法の立案時には法制局での深い議論があった
8

•

プロファイリングへの対応

利用停止請求権の強化で事実上の実現というが•••利用目的にプロファイリングの有無の記載がなされるのか本人が知り得なければ、その利用停止を請求できない•
この記載を義務化する必要がある••

現行法の利用目的関係義務は、必ずしもそこの区別を求めていない
法改正で何らかの条項を入れ込むか、ガイドライン改正で済ますか用語の問題••「プロファイリング」の語は誤解が多いので避けるのがよい••

推知することが問題なのではなく、推知の結果を用いて個人を選別することを行うか否かの問題（推知すら不要、実年齢別でも該当）
日経新聞の修正前の記事は、この誤解に基づいていたとも読める•「AI（人工知能）を使って生活パターンや趣味などを推定するようなマーケティングには利用しないでほしい…など、細かい注文が可能になる。」

統計量に集計してのマーケティング利用は関係ないのに、誤解させる9

•

匿名加工情報事務局レポートを見直してはどうか••

仮ID（元データとの対応表を有する）の提供を許す内容
GDPRでは個人データ提供に当たるため、補完的ルールで特例扱い•「EU域内から十分性認定に基づき提供を受けた個人情報については、個人情報取扱事業者が、加工方法等情報（…）を削除することにより、匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、法第2条第9項に•••定める匿名加工情報とみなすこととする。」
仮IDの元データとの対応表（変換関数（鍵付きハッシュ関数の場合はその鍵）を含む）がこの削除すべき「加工方法等情報」に当たる

仮IDの提供は実は不要だった（高橋・森・高木で合意）
元々は作成過程で仮IDが必要との話が、そのまま提供する話になっていた•
この際、EUに合わせてしまってはどうか•••同じ仮IDで複数回提供するリスクは事務局レポートにも注意書きがある
対応表を残した仮IDの提供は元データとの容易照合性があり非個人情報化されているとは言えないという、法解釈上の問題もあった解釈の変更（明確化）で対応できる（これまで曖昧なままにされてきた）10•

ターゲティング広告

端末を識別して蓄積される「個人に関する情報」••

日本法では個人情報に該当しないとされてきたが個人を選別することを利用目的とするものは個人データに該当するとしてしまってよいのではないか•••

個人の選別を利用目的としていない場合も、それぞれの個人の「個人に関する情報」（レコード）として継続的に蓄積するものは該当

前記の法目的の明確化を経るとその妥当性が鮮明になる••

29条作業部会WP 136「Opinion 4/2007 on the concept ofpersonal data」も同趣旨の基準を示している

昭和63年法でも「物で識別される個人」が想定されていた自動車登録ファイルと不動産登記簿を「個人情報ファイル」とし、自動車登録番号により識別されるレコードを「処理情報」としていた•

法制局での詳細な議論と、法令協議での質問・回答が記録に残っている

11

•

中間整理では••「対応の在り方」の記載••「提供元では必ずしも個人情報出ない場合であっても、提供先で照合可能な情報が保有され、個人情報になる可能性や、多様な機器・サービスから詳細な情報が集積的に統合され、特定の個人を識別でき個人情報と同値になる可能性等も考えられる。」

そういう問題ではない•••「氏名到達性」説から脱却しないとまた前回改正時と同じ轍を踏む•••
どんなデータであれ、提供先でも、物により個人を識別する目的で法制局長官は以下のように指摘していた様子がある（2014年12月1日）「登録した者において識別可能な状態で管理しているもの」「データベースで管理されている口座番号はあたる」「個人に関する情報」のデータベースとするなら個人データと言うべき

個人データ該当性は事業者の目的により決まると言うしかない•

事業者の目的は外形的に十分に客観的に判断できるハードルの高い提案とは承知だが、他の方向に行くべきでない12

•

個人識別符号の拡充？

中間整理では••クッキー等について•「例えば、一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど、その位置付けを明確化することも考えられるが……」

前記のように、事業者の目的で個人データ該当性を定めれば、個人識別符号を拡充する必要はない•••

それをせず、個人識別符号を拡充して対処するのは、法制局長官も指摘していた「つまみ食い」になって、中途半端なものとなってしまう

新経連の反対意見への反論•

ID自体が個人情報なのではなく、「個人に関する情報」にIDが含まれている場合にその全体が個人データとなる（それ以前に事業者の目的で決まるが）この種のデータの第三者提供をどう規律するか••取得の委託で整理できる場合（第三者提供はない）もあるが……
EUの動向をしばし見極める必要があるのではないか
13

•

名簿屋対応

オプトアウト方式による第三者提供を見直してはどうか•

データ内容（名簿のタイトルを含む）によってはオプトアウト方式での第三者提供は認められないとしてもいいのでは•

平成15年法成立時からそれが想定されていたが、放置されてきた•「扱われる個人情報の性質や利用目的等から、本人に重大な権利利益の侵害をもたらすおそれのある分野、業種等については、第三者提供に際して事前の本人同意を求める本条第1項に立ち戻るなどの特別の施策や運用が図られることが望ましい。」（園部編逐条解説書より）••「破産者マップ」を止められる体制に••

この際、個人情報保護委員会の裁定で判断することとしてはどうか正常なオプトアウト方式で、届け出されたら止められるのか？
「破産者マップ」がなぜ問題が大きいか（DVDの有償販売は行われているのに）を整理しておく必要あり

14•「個人データ」と「個人情報」

中間整理に以下の記載があるが•「我が国の個人情報保護法では、個人情報、個人データ、保有個人データのそれぞれについて定義が置かれている。それぞ後者が前者に包含される関係にあり、段階的に規律が上乗せされている構造となっている。個人情報については、取得・利用に関する規律が、個人データについてはそれに••加えて保管に関する規律及び提供に関する規律が…」

この見解はこれまで公式に示されたことはない！
個人情報と個人データの関係について（保有個人データはその通りだが）••••園部編逐条解説書はそんなことを書いていない（あえて避けられている）
宇賀、岡村、鈴木その他の識者らは書いていたが2002年に旧法案が廃案になった時点で破棄された考え方の可能性
2003年の法成立直後、立案担当者ら（藤井、江崎）は「個人情報データベース等」のみを対象とする法律であると繰り返し強調していた•

詳しくは、高木浩光「IoTに対応した個人データ保護制度のあり方」法とコンピュータ、No.34、p.47以下）の4.4.3節参照•

真相は情報法制研究の連載(5)脱稿までに調査して解明する予定
15

委員会のパンフレット（消費者庁から引き継がれたもの）

岡村・鈴木「これだけは知っておきたい個人情報保護」（日経文庫、2005）

園部編逐条解説書に掲載の図

16

この図は「個人情報データベース等」が第4章各条の義務の対象だと書かれている

この図は義務規定との関係を図示していない

3月20日の委員会資料

•

藤井昭夫「個人情報保護法の成立と概要（四・完）」自治研究80巻1号（2004） p.69•

「メデイア規制反対キャンペーンの中には条文とかけ離れた批判、主張も少なくなかったが、……基本法50条は、……報道目的の個人情報の取扱いについて、……全面的な適用除外としている。なお、例えば取材ノート等••

その内容をデータベース化していない場合はそもそも対象外である。」

散在情報は義務の対象外だと説明されている••

廃案になった旧法案は、散在情報に対する基本原則での努力義務が批判され問題となり、その基本原則が削除された（15条〜18条の「個人情報」は修正されず）

今回の委員会資料の説明からすると、ノートに氏名とともに記載があれば15条から18条の義務がかかることを意味しており藤井の説明と矛盾•（何れにせよ報道目的は適用除外であるにしても）条文上そうは読めないのは理解できるが••立法趣旨を変えてはいけない（他の論点への影響も大きい）
条文を直す必要があると考えるが、ハードルが高いのは理解

17•

法目的から外れた教育啓発
中間整理に以下の記載があるが•「子供の頃から個人情報に関する教育啓発の重要性」「SNSにおけるリスクの顕在化」(p.10)•• 個人情報保護法の法目的から外れていないか？
••
何を啓発する話なのか？

住所氏名保護法のごとく誤解されていないか

子供が自分の個人情報をSNSに書いてリスクに晒されることは、個人情報取扱事業者の個人データ取扱いと関係ない•子供が他人の個人情報（事実とか、評価とか）をSNSに書くことについては、警察庁か総務省消費者行政課の所掌ではないか••
教育啓発するとすれば••••自由であり、政府がとやかく言うことではない（個人データでもない）委員会の「キッズページ」は既に法目的を逸脱していないか
個人情報取扱事業者に対して警戒の目を持つこと信頼できる事業者を使う、自動処理による個人選別に踊らされない名簿を勝手に売らないこと
18