重要データの海外における取扱いとそのリスク―LINE事件を題材に―

2021/12/3
日弁連法務研究財団・第一東京弁護士会総合法律研究所IT法研究部会 共催シンポジウム

弁護士

上原拓也

Copyright © Oh-Ebashi LPC & Partners

目次

I.

LINE事件の概要

II. 個人情報保護法上の問題点
III. プライバシーに関する問題点
IV. 経済安全保障上の問題点

Copyright © Oh-Ebashi LPC & Partners

2

I.

LINE事件の概要

論点①：国内ユーザーの個人情報への中国からのアクセス

出典：朝日新聞デジタル（https://www.asahi.com/articles/ASP3J7K5DP3JUHBI03T.html）
Copyright © Oh-Ebashi LPC & Partners

4論点②：画像・動画データの韓国での保管

出典：朝日新聞デジタル（https://www.asahi.com/articles/ASP3K64ZCP3KUHBI01W.html）
Copyright © Oh-Ebashi LPC & Partners

5時系列の整理（3月）3月17日

問題の発覚（朝日新聞スクープ→LINEプレスリリース）

3月19日

Zホールディングス、「グローバルなデータガバナンスに関する特別委員会」および「技術検証部会」を設置
個人情報保護委員会、LINEへ報告徴求

3月23日

LINE、個人情報保護委員会へ報告書を提出

3月29日

LINE、金融庁へ報告書を提出

3月31日

LINE、プライバシーポリシー改定
個人情報保護委員会、LINEへの立入検査開始

Copyright © Oh-Ebashi LPC & Partners

6プライバシーポリシーの改定
LINEプライバシーポリシー「5. パーソナルデータの提供」
2021年3月31日改定前
当社は、パーソナルデータの提供にあたり、お客様のお住まいの国または地域と同等の個人データ保護法制を持たない第三国にパーソナルデータを移転する場合があります（2019年1月23日現在、欧州委員会は、日本がパーソナルデータについて十分な保護水準を確保していると決定しています。）。

2021年3月31日改定後
当社は、当社サービスの運営にあたり日本のお客様のパーソナルデータを主に以下のようなケースで第三国に移転することがあります。
■システムの開発や運用（略）
主要な移転先：韓国、ベトナム

Copyright © Oh-Ebashi LPC & Partners

7

プライバシーポリシーの改定
LINEプライバシーポリシー「6.b. パーソナルデータの保管場所」
2021年3月31日改定前
当社は、信頼性が高く、責任ある方法で当社サービスを提供するため、主要なパーソナルデータの保管を、当社の所在する日本の安全なサーバーで行っています。

2021年3月31日改定後
当社は、日本のお客様のパーソナルデータを日本および韓国のデータセンターで保管しています。
なお、日本および韓国はAPECによる越境個人情報保護に係る枠組み（CBPRシステム）に参加しております。

Copyright © Oh-Ebashi LPC & Partners

8時系列の整理（4月～）4月19日

LINE、総務省へ報告書を提出

4月23日

個人情報保護委員会、LINEへ行政指導

4月26日

総務省、LINEへ行政指導

4月30日

内閣官房・個人情報保護委員会・金融庁・総務省「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」

5月21日

LINE、個人情報保護委員会へ指導事項に係る改善報告書を提出

5月31日

LINE、総務省へ指導事項に係る改善報告書を提出
LINE、金融庁へ報告書を再提出

6月11日「グローバルなデータガバナンスに関する特別委員会」第一次報告

8月4日「グローバルなデータガバナンスに関する特別委員会」第二次報告

10月18日「グローバルなデータガバナンスに関する特別委員会」最終報告

Copyright © Oh-Ebashi LPC & Partners

9特別委員会による認定事実①

出典：Zホールディングス株式会社「グローバルなデータガバナンスに関する特別委員会第一次報告」（2021年6月11日）12頁
Copyright © Oh-Ebashi LPC & Partners

10特別委員会による認定事実②

出典：Zホールディングス株式会社「グローバルなデータガバナンスに関する特別委員会第一次報告」（2021年6月11日）14頁
Copyright © Oh-Ebashi LPC & Partners

11II. 個人情報保護法上の問題点

個人情報保護法上の問題点①：越境移転ルール▶ 個人情報保護法24条（外国にある第三者への提供の制限）
個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（…）にある第三者（…）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
※ 23条5項の適用なし ⇒ 委託先への提供であっても同意が必要※ 外国にあるサーバに個人データを保存した場合であっても、当該サーバを自社が設置・管理している場合や、他社が設置・管理していても当該他社が当該サーバに保存された個人データを取り扱わないこととなっている場
合には、「外国にある第三者への提供」に該当しない（個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（2021年9月10日更新）12-3）

Copyright © Oh-Ebashi LPC & Partners

13越境移転ルール：「本人の同意」とは？

▶ 個人情報保護法ガイドライン（外国にある第三者への提供編）2-1「本人の同意」とは、本人の個人データが、個人情報取扱事業者によって第三者に提供されることを承諾する旨の本人の意思表示をいう。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

（略）
個々の事例ごとに判断されるべきではあるが、法第24条において求められる本人の同意を取得する場合、本人の権利利益保護の観点から、外国にある第三者に個人データを提供することを明確にしなければならない。

Copyright © Oh-Ebashi LPC & Partners

14

越境移転ルール：「本人の同意」とは？

出典：個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』及び『個人データの漏えい等の事案が発生した場合等の対応について』に関するQ&A」（2021年9月30日更新）⇒ 提供先の国名を個別に示すことが必須とされているわけではない？

Copyright © Oh-Ebashi LPC & Partners

15

越境移転ルール：本人の同意が不要な場合▶ 個人情報保護法24条（外国にある第三者への提供の制限）
個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（…）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個
人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。…
⇒ 内規、プライバシーポリシー等により、同一の企業グループ内で個人情報保護法の趣旨に沿った措置の実施が統一的に確保されているような場合が含まれる

Copyright © Oh-Ebashi LPC & Partners

16個人情報保護委員会の見解

出典：個人情報保護委員会「個人情報の保護に関する法律に基づく行政上の対応について」（2021年4月23日）
Copyright © Oh-Ebashi LPC & Partners

17（参考）個人情報保護法令和2年改正の影響▶ 令和2年（＋令和3年）改正後個人情報保護法28条2項・3項
2 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場
合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
3 個人情報取扱事業者は、個人データを外国にある第三者（第1項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
⇒ 2022年4月からは、提供先の外国の名称や当該外国における個人情報保護に関する制度などについての情報提供が求められることに（改正後個人情報保護法施行規則17条2項、18条3項）
Copyright © Oh-Ebashi LPC & Partners

18個人情報保護法上の問題点②：安全管理措置▶ 個人情報保護法20条（安全管理措置）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

⇒ 外国における個人データの取扱いが漏えい等のリスクを増大させるものだとすれば、安全管理措置義務の違反があり得る？

Copyright © Oh-Ebashi LPC & Partners

19（参考）個人情報保護法令和2年改正の影響▶ 改正個人情報保護法ガイドライン（通則編）10-7
個人情報取扱事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。

⇒ 2022年4月からは、外国にあるサーバに個人データを保存するだけの場合を含め、外国において個人データを取り扱う場合には、当該外国の名称などを本人に情報提供したうえで、当該外国における個人情報保護に関する制度などに応じた安全管理措置を実施することが求められることに（令和2年（＋令和3年）改正後個人情報保護法32条1項4号、改正後同法施行令10条1号）

Copyright © Oh-Ebashi LPC & Partners

20個人情報保護法上の問題点②‘：委託先の監督

出典：個人情報保護委員会「個人情報の保護に関する法律に基づく行政上の対応について」（2021年4月23日）
Copyright © Oh-Ebashi LPC & Partners

21個人情報保護法上の問題点③：利用目的による制限

出典：Zホールディングス株式会社「グローバルなデータガバナンスに関する特別委員会第一次報告」（2021年6月11日）13頁⇒ 中国からのアクセスを認めていたことが「利用目的の達成に必要な範囲を超え」（個人情報保護法16条1項）た取扱いだった可能性？
Copyright © Oh-Ebashi LPC & Partners

22III. プライバシーに関する問題点

プライバシーとは何か▶ 「私的領域への介入を拒絶し、自己に関する情報を自ら管理する権利」（杉原則彦「判解」最高裁判所判例解説民事篇平成15年度（下）488頁）


違法に侵害されれば損害賠償請求等の対象となり得る



違法な侵害の有無は、プライバシー情報該当性と侵害態様の違法性を相関的に考慮して判断（同・489頁）



プライバシー情報の内容、開示の態様を総合考慮して、定型的に推定的同意、受忍限度、公益の優越が認められない場合、通常は違法性を肯定できる（同・490頁）

Copyright © Oh-Ebashi LPC & Partners

24

LINE事件でプライバシー侵害は認められるか▶ 個人に関する情報（トーク履歴、画像・動画データなど）について本人の同意なく特定の外国からのアクセスを許し、または特定の外国に保存することの違法性？


いずれかの外国からアクセスされることへの同意はある？



通報されたメッセージや公開コンテンツについては推定的同意あり or受忍限度の範囲内？



外国に保存するだけならば推定的同意あり or 受忍限度の範囲内？



プライバシー侵害が認められるとして、損害はどのくらいか？

（参考）大阪高判R1.11.20（ベネッセ個人情報漏えい事件）
氏名、住所、電話番号、子供の氏名・性別等が名簿業者に漏えい⇒ 精神的損害（慰謝料額）は1人当たり1000円と認定
Copyright © Oh-Ebashi LPC & Partners

25

IV. 経済安全保障上の問題点

LINEによる事後対応
3月23日

国内ユーザーの個人情報への中国からのアクセスの遮断を公表

LINEトークで送受信されるデータの国内移転スケジュールを公表
6月2日

アルバム・Keep内のデータの国内移転スケジュールを公表

8月4日

国内ユーザーの個人情報を取り扱う業務について中国からの撤退を公表⇒ 個人の権利・利益の保護という観点に加え、国家安全保障的観点からの考慮が存在？

Copyright © Oh-Ebashi LPC & Partners

27

特別委員会からの指摘

出典：Zホールディングス株式会社「グローバルなデータガバナンスに関する特別委員会最終報告書について」（2021年10月18日）5頁
Copyright © Oh-Ebashi LPC & Partners

28

特別委員会からの指摘

出典：Zホールディングス株式会社「グローバルなデータガバナンスに関する特別委員会最終報告書について」（2021年10月18日）8頁
Copyright © Oh-Ebashi LPC & Partners

29

特別委員会からの指摘

出典：グローバルなデータガバナンスに関する特別委員会「最終報告書」（2021年10月）26頁
Copyright © Oh-Ebashi LPC & Partners

30

政府の反応出典：内閣官房・個人情報保護委員会・金融庁・総務省「政府機関・地方公共団体等における業務でのLINE利用状況
調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」（2021年4月30日）⇒ 機密性を要する情報／住民等の個人情報を取り扱う行政サービスの場合、LINEとは別の委託先に、機密性を要する情報等がLINE側に残らない構成でシステムを構築させるなどの留意事項を確認

Copyright © Oh-Ebashi LPC & Partners

31

経済安全保障とは？

▶ 「わが国の独立と生存及び反映を経済面から確保すること」？
（自由民主党政務調査会新国際秩序創造戦略本部「『経済安全保障戦略』の策定に向けて」（2020年12月16日）3頁）▶ 本来的には国内外の自由なデータ流通を通じて実現するのが政府の方針？
（参考）「信頼性のある自由なデータ流通（Data Free Flow with Trust：DFFT）」⇒ 「信頼性」を確保しながら「自由なデータ流通」を図ることの難しさ（データローカライゼーションへの迎合／対抗）
ルール化の必要性？
（参考）金融庁「投資家と企業の対話ガイドライン」（2021年6月11日改訂）1-3
ESGやSDGsに対する社会的要請・関心の高まりやデジタルトランスフォーメーションの進展、サイバーセキュリティ対応の必要性、サプライチェーン全体での公正・適正な取引や国際的な経済安全保障を巡る環境変化への対応の必要性等の事業を取り巻く環境の変化が、経営戦略・経営計画等において適切に反映されているか。
Copyright © Oh-Ebashi LPC & Partners

32

企業はどう対応すべきか▶ 同じ状況下でもすべての企業がLINEと同等の対応を求められるわけではない？
LINEは政府機関等によって利用されていたという事情あり▶ 各企業に共通して重要なのは、
「なぜその国でデータを取り扱わなければならないのか」の明確な説明



それを可能にするための情報収集・意思決定過程の合理化・明確化

大前提として、自社で取り扱うデータの把握・分類（リスクアセスメント）

出典：グローバルなデータガバナンスに関する特別委員会「最終報告書」（2021年10月） 92-93頁
Copyright © Oh-Ebashi LPC & Partners

33