情報ネットワーク法学会第14回研究大会
2014年12月7日

個人情報保護法における「処理情報」概念を再考する
高木浩光（産業技術総合研究所）
鈴木正朝（新潟大学）•

パーソナルデータ検討会

鈴木正朝委員の対案（第8回検討会 資料4-1）••

識別非特定情報の全部を「個人データ」とする考え方
特定されやすさは義務の強弱の区分に

•

識別非特定情報技術検討ワーキンググループ報告書（2013年12月）••

個人識別性を「特定」と「識別」に分けて議論
用語が以下のように整理された個人が（識別されかつ）特定される状態の情報

識別特定情報（それが誰か一人の情報であることがわかり、さらに、その一人が誰であるかわかる情報）

識別非特定情報

非識別非特定情報

一人ひとりは識別されるが、個人が特定されない状態の情報（それが誰か一人の情報であることがわかるが、その一人が誰であるかまではわからない情報）
一人ひとりが識別されない（かつ個人が特定されない）状態の情報（それが誰の情報かわからず、さらに、それが誰か一人の情報であることが分からない情報）

鈴木対案の概略•「個人データ」を識別非特定情報まで拡張する•「散在情報」を保護対象から明確に外す•

その妥当性は？（本発表）
個人情報

個人データ（改）電算処理情報識別特定情報
散在情報

識別非特定情報マニュアル処理情報

•大阪弁護士会の意見書

大阪弁護士会, 「パーソナルデータの利活用に関する制度改正大綱」に対する意見書, 平成26年7月23日•「見直し方針及び検討会でも議論された「個人情報」の再定義は、表現の自由等に対する深刻な脅威となりうるものである。
個人情報保護法は、包括的な民間規制法であり、規制対象となる個人情報等の範囲を拡大すれば、自由な個人情報の流通が阻•害されることは自明であるからである。」

これは散在情報の話をしていると思われる••

参考

大阪弁護士会は、旧法案に対して「表現の自由、知る権利等を制限する個人情報保護法案に反対する」との意見書（平成14年6月4日）を表明していたが、新法案に対しては出していなかった。（後述）「準個人情報」案のマズいところ•散在情報まで対象となるのを排除していない•

散在情報と処理情報の区別は検討会・WGで議論されなかった
個人情報

準個人情報
個人データ（改）電算処理情報識別特定情報
散在情報

識別非特定情報マニュアル処理情報

•「散在情報」とは行政機関等個人情報保護法制研究会•「行政機関等の保有する個人情報の保護に関する法制の充実強化について ­電子政府の個人情報保護­」平成13年10月••••• •

「情報公開法上の「行政文書」に記録されている個人情報まで対象情報の範囲を拡大する。しかし、ファイル化されないで行政文書に散在的に記録されている個人情報については、」5頁「個人情報ファイルに記録されていない保有個人情報（以下「散在情報」という。）の利用目的は、」7頁「散在情報については、基本法制では対象としていないものであり、」15頁「散在情報の利用目的についての問題は、」16頁

宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣•「個人情報ファイルに記録されていない保有個人情報（以下「散在情報」という）の利用目的は，」225頁「処理情報」とは

昭和63年法 2条の定義•四

個人情報ファイル

一定の事務の目的を達成するために体系的に構成された個人情報の集合物であつて、電子計算機処理を行うため磁気テープ、磁気ディスクその他（略）に記録されたものをいう。

••行政機関個人情報保護法 2条の定義
•
•
五

処理情報

個人情報ファイルに記録されている個人情報をいう。

この法律において「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、次に掲げるものをいう。
一

一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの•電算処理ファイル

二前号に掲げるもののほか、一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの マニュアル処理ファイル

概念整理(1)

電算処理情報
処理情報
マニュア
ル処理情報

散在情報を含む個人情報

昭和63年法

行政機関法

民間部門

「個人情報ファイル」「個人情報ファイル」（2条4項1号）「個人情報データベース等」（2条2項1号）

電算処理ファイル

「処理情報」「記録情報」「個人データ」

個人情報ファイルに記録され 個人情報ファイルに記録されている個人情報

る個人情報（10条1項5号）

個人情報データベース等を­「個人情報ファイル」（2条4項2号）「個人情報データベー構成する個人情報ス等」（2条2項2号）

マニュアル処理ファイル「記録情報」「個人データ」­

個人情報ファイルに記録され個人情報データベース等を「個人情報」「個人情報」「個人情報」

る個人情報（10条1項5号）構成する個人情報

概念整理(2)
処理情報
散在情報

•

電磁的記録

紙文書

電算処理ファイル

マニュアル処理ファイル

電算？散在情報

ワープロ文書中に氏名が書かれているもの？（名称なし）

紙文書中の氏名など

園部編「個人情報保護法の解説《改訂版》」, ぎょうせい••「文字列検索でたまたま検索できるというだけでは、「個人情報データベース等」に該当するものではない。」51頁

昭和63年法•「専ら文章を作成し、又は文書図画の内容を記録するための処理その他の政令で定める処理を除く。」と明文で除外•

総務庁の逐条解説は、英国の例として「専ら文書のテキスト作成の目的のためのみに行う操作に適用するものと解釈してはならない。」を紹介

散在情報と処理情報
散在情報
紙の記録か電磁的記録かによらない
ワープロ文書中に氏名が書かれているものも「散在情報」

処理情報

A BC DE

FGH I L M N

O P

マニュアル処理情報：カルテ
電算処理情報：データベース

現行法までの流れ

処理情報の保護行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律

昭和63年

全部改正

平成15年

基本法制

個人情報の保護に関する法律
第4章民間部門 ？
個別法

散在情報の保護行政機関の保有する個人情報の保護に関する法律

平成15年

平成11年

行政機関
情報公開法

対象情報の変遷

昭和63年法

民間部門

行政機関法

個人情報

個人情報

個人情報

保有個人情報
散在情報

散在情報

処理情報

記録情報

処理情報

散在情報

個人データ

処理情報

処理情報

保有個人データ
電算処理情報

6か月を超えて保有マニュアル処理情報

太枠

保護の対象

•昭和63年法•••

赤枠

開示・訂正等の対象

各法の趣旨

処理情報のみを対象とする処理情報でない個人情報は保護対象でなかった照合による識別（照合性要件）は「容易に」に限定•行政機関法の趣旨•••

処理情報について従前通りとしつつ散在情報についても対象とする（情報公開法に合わせ）より厳しい規律とするため照合性要件から「容易に」を削除•民間部門の趣旨•••

昭和63年法を参考にしつつ民間の営業の自由に配慮して過剰な規制とならないよう配慮•

目的別のデータ管理を求めず「個人情報データベース等」は事業者単位「容易に」は残したまま？

義務と対象情報 各法の比較
昭和63年法

行政機関法

現行民間部門

利用目的の特定個人情報ファイル
4条

個人情報
3条

保有の制限

個人情報ファイル
4条

個人情報
3条

個人情報
15条

処理情報
9条

保有個人情報
8条

個人情報
16条

適正な取得

̶̶

個人情報
17条

利用目的の通知/公表

̶̶

直接書面取得における利用目的の明示

個人情報
18条

̶個人情報
4条

個人情報
18条

正確性の確保

処理情報
5条2項

保有個人情報5条

安全管理/確保措置

個人情報
5条1項、11条
個人情報12条

保有個人情報
6条

個人データ
19条
個人データ
20〜22条

個人情報
7条

̶保有個人情報
8条

個人データ
23条

受領者に対する措置要求

処理情報
9条
処理情報
10条

保有個人情報9条

̶保有事項の公表

個人情報ファイル
6〜8条

個人情報ファイル
10〜11条保有個人データ
24条

開示・訂正等

処理情報
13〜17条保有個人情報12〜44条保有個人データ
25〜30条

苦情の処理

処理情報
20条

個人情報
48条

個人情報
31条

利用目的による制限/目的外利用の制限

従事者の義務提供の制限•̶

処理情報に限られず散在情報も含む
個人情報
処理情報に限られる
個人情報

太枠部分、なぜ個人情報が対象？

なぜ「個人情報」対象？(1)

昭和63年法の総務庁逐条解説（5条1項）•「本項において、「処理情報」ではなく「個人情報」と規定したのは、入力のための準備段階の個人情報は、未だ「処理情報」とはいえないためである。」•

条文 5条1項（個人情報の安全確保等）

行政機関が個人情報の電子計算機処理又はせん孔業務その他の情報の入力のための準備作業若しくは磁気テープ等の保管（以下「個人情報の電子計算機処理等」という。）を行うに当たつては、（…）は、個人情報の漏えい、滅失、き損の防止その他の個人情報の適切な管理のために必•要な措置（…）を講ずるよう努めなければならない。

開示の対象としないが安全確保の対象としたいためか•「処理情報」定義に「情報の入力のための準備作業」段階を入れる方法もあり得たのに

•
•

条文上は

•

民間部門の対象情報

15条〜18条：個人情報（散在情報を含むことになる）
19条〜30条：個人データ（処理情報に限る）となっているが本当にそれが立法時の趣旨なのか？

••行政機関法よりも範囲が広いことになるが？

行政機関法は「保有個人情報」（行政文書）に限られるが、民間部門は全て••利用目的を特定し、目的外に使用してはならない？
••

行政機関は所掌事務しか行なわないそもそもの前提があるデータベース化するつもりのない個人情報（散在情報）まで？

メモに氏名を書いただけで個人情報の取得になってしまうが？

••

第二章

第三条

行政機関法では、職員のメモの段階では保有個人情報に当たらない

旧法案にあった基本原則（削除）基本原則

個人情報が個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、個人情報を取り扱う者は、次条から第八条までに規定する基本原則にのっとり、個人情報の適正な取扱いに努めなければならない。
（利用目的による制限）
第四条

個人情報は、その利用の目的が明確にされるとともに、当該目的の達成に必要な範囲内で取り扱われなければならない。
（適正な取得）第五条

個人情報は、適法かつ適正な方法で取得されなければならない。

第六条

個人情報は、その利用の目的の達成に必要な範囲内で正確かつ最新の内容に保たれな（正確性の確保）ければならない。
（安全性の確保）第七条

個人情報の取扱いに当たっては、漏えい、滅失又はき損の防止その他の安全管理のために必要かつ適切な措置が講じられるよう配慮されなければならない。
（透明性の確保）第八条
ない。

個人情報の取扱いに当たっては、本人が適切に関与し得るよう配慮されなければなら•

国会で基本原則が削除される経緯

衆 - 内閣委員会 - 11号 平成14年12月04日○達増委員（略）そういう各国の取り組みの成果、OECD勧告でありますとか欧米諸国の法律と比較した場合に、今私たちの目の前に出ている個人情報保護法案というのは一種異様なものであります。

どこが異様かといいますと、問題になっているのは、情報通信技術の発達の中でいかにして個人のプライバシー、人格を守るか、テクノロジーからいかにして個人の人格を守るか、プライバシーを守るかということであります。当然、問題になるのはデータとしての個人情報であります。コンピューターで高速処理され得るような、データファイルでありますとかデータベースでありますとか、そういう個人データをどうやって守るか、乱用を防ぐか、プライバシーや人格を傷つけることを防ぐかということがテーマでありまして、諸外国の法律のタイトルあるいはその目的、原則等々の中でも、あくまで対象はデータとしての個人情報、守るべきはテクノロジーから個人の人格やプライバシーを守るというふうな趣旨がはっきりあらわれるような法律になっておりますが、この個人情報保護法は、第二章、基本原則というところで、広く個人情報を取り扱う者全体を対象に基本原則を定めている。これはデータに限らずあらゆる個人情報が対象であります。
コンピューター処理されるもの以外のものも含めあらゆる個人情報が対象、そしてすべての個人、団体、法人、機関が対象、個人もまた対象になっている。

なぜこのように諸外国に例を見ないような広範な基本原則を持つこういう法案を提案されたのでしょうか。

•なぜ「個人情報」対象？(2)

法案段階で作成された部内用逐条解説では••内閣官房個人情報保護担当室, 個人情報の保護に関する法律案 逐条解説（二関辰郎弁護士が情報公開請求で取得）「なお、この法律においては、基本理念や、個人情報取扱事業者の義務のうち、利用目的の特定や適正な取得等の規定（具体的には第15条から第18条まで）においては、データベース化されるか否かを問わず「個人情報」を広く対象としているのに対し、（略）等の規定（具体的には第19条から第27条）においては、他の情報と結合されることにより本人に与える影響が大きい状態にあると考えられるものとして、個人情報のうちデータベース化された「個人データ」に限って適用することとしている」14頁•「対象となる個人情報を「個人テータ」に限るのは、個人情報のうち、他の情報と結合されることにより本人に与える影響が大きい状態にあるものについて、その内容の正確性を確保することで本条の目的が達成されると考えられるとともに、データベース化されていない個々の個人情報にまで義務を課すことは本条の趣旨にかんかがみ、個人情報取扱事業者に過剰な負担を課すことになるおそれがあるためである。」58頁

なぜ「個人情報」対象？(3)•出版された起草者らによる逐条解説書では••••

園部編「個人情報保護法の解説《改訂版》」, ぎょうせい

法案段階の部内用逐条解説にあった前掲の記述が削除されている
これ↓以外の理由が書かれていない••「なお、取り扱う対象を「個人情報」とし「個人データ」としていないのは、いずれ個人情報データベースに記録され「個人データ」となるものであっても、取得段階では「個人情報」の状態であることによる。本条から第18条までの規定は、個人情報の取得段階を含む個人情報の取扱い全般を規律するものであることから、「個人データ」（…）ではなく「個人情報」（…）を規律の対象としている。」117頁

法案段階の部内用逐条解説にはなかった記述がある「本法第4章は、基本的に個人情報取扱事業者が事業の用に供する個人情報データベース等を対象としていることから、取得段階の規律は「個人情報」を対象としているが、その後の段階における個人情報の取扱いを規律する場合は「個人データ」が対象となる。」135頁•政府参考人の答弁

衆 - 内閣委員会 - 11号 平成14年12月04日•「○藤井政府参考人 （略）ただ、ちょっと誤解されるとあれなんですが、あくまで基本原則の部分については、そういった効果というのは努力義務でございますし、五章の方は、先ほど来御指摘のような、IT処理される個人データということでございます。」••

旧法案5章は現行法の4章のこと

考え方の変更があったのでは？

••••

旧法案では、15条〜18条と19条以降を意識的に分けていた新法案への修正で、散在情報は外す必要ありと判断した？
新法案の部内用逐条解説は旧法案のものを微修正しただけで逐条解説出版時に意識的に削除したのでは

•問題となる例

16条 利用目的による制限 は散在情報も対象••••

本人同意なき目的外利用を禁止

23条の第三者提供は「個人データ」対象なのに対して18条の利用目的の通知・公表の義務は•4項4号「取得の状況からみて利用目的が明らかであると認められる場合」の適用除外によりほとんど問題とならないが、16条にはこの例外がない

例•

会社社長が、他社の社員についてたまたま知って記録した情報を、氏名を添えて会社のブログに書くといった行為••

16条違反又は15条（利用目的の特定）違反と解されかねない
表現の自由に対する脅威

現行法の対象情報

個人情報

主に行政機関法の対象

個人データ
電算処理情報散在情報マニュアル処理情報

昭和63年法の対象

平成15年の個人情報保護法
・行政機関法で追加

鈴木対案の概略•「個人データ」を識別非特定情報まで拡張する•「散在情報」を保護対象から明確に外す
個人情報
個人データ（改）電算処理情報識別特定情報マニュアル処理情報

散在情報•

識別非特定情報

技術WGの「識別/非識別」との関係

散在情報(※)に対してこの区分は無理がある•

なぜなら散在情報(※)の場合は•••「特定情報」なら「識別情報」でもあることは自明だが「非特定情報」だと「識別情報」か否か不明（定義不可）•

なぜなら散在情報は他の散在情報との関係が不明であるので処理情報(※)に対してこの区分は明確•

識別非特定情報

識別特定情報 ＝ 処理情報(※)ということではないか※ここでは、「散在情報」「処理情報」は、「個人情報」に該当しなくても「個人に関する情報」であれば該当するものとして拡張した用語•

どう改正するか（提案）

散在情報を対象から外す（本来の趣旨を実現）•••

15条〜18条も「個人データ」対象とする

取得段階でも該当するよう「個人データ」の定義を改める

•

•

•

現行の条文：「個人情報データベース等を構成する個人情報」

出力帳票が「個人データ」に該当するとされているのと同様に、入力帳票も該当するよう、条文を修正する「個人データ」の定義を拡張する•「個人に関する情報」（個人情報でなくても）を要素とするファイル（データベース等）として定義（昭和63年法を参考に）•

現行の、事業者で一つの「個人情報データベース等」を単位とするのではなく、ファイル単位での利用目的管理とする•事業者の負担を軽減するためにファイル単位としなかったのが裏目に出ており、むしろ、ファイル単位で利用目的を管理した方がよい面もある（利用目的の変更）

取得の委託代理店を通じた個人情報の取得（保険・携帯電話の契約等）•

委託先の監督義務（現行法21条）•••「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。」

取得の委託で委託先で「個人データ」に該当しない••

個人情報データベース等に入る前（入力帳票は散在情報）なので取得段階で散在情報のまま取り扱われる場合、監督義務がないことになってしまう

21条を「個人情報」対象に改正？

•

本末転倒な改正であり、入力段階でも「個人データ」に該当するとする方向への改正を目指すべき•

ビッグデータ時代の規律のあり方

散在情報を保護対象としなくてよいのか••

Webの検索エンジンが持つ情報は処理情報ではなく散在情報••

いわゆる「忘れられる権利」との関係が問題となる••

EUは、検索エンジンをpersonal dataの自動処理として規律の対象とする方向性
日本では、個人情報保護法とは別の形で規律してもよいのでは

例：Twitterのデータ（いわゆる「つぶやきビッグデータ」）••

Twitter社にとっては個人データということになるが、Twitterからツイートを無作為に拾ってきて処理するのは散在情報の取扱い•

一人ひとりのツイートを時系列的に処理すると処理情報の取扱いとなる処理情報として扱う場合を規律する••••情報が秘匿情報か公開情報かによらず

これは現行法も同じ（氏名がしばしば公開情報であるにもかかわらず）

散在情報の秘匿情報の保護は一般的な守秘義務で担保

個人情報保護法の趣旨はそこまでカバーするものではないという位置付け