第 16 回日本インターネットガバナンス会議(IGCJ)レポート
2016 年 12 月 16 日

1. 会合の概要

日時：2016 年 11 月 29 日(火) 19:00～20:30



会場：

ヒューリックホール＆ヒューリックカンファレンス(浅草橋)3F Room3



URL：

http://igcj.jp/meetings/2016/1129/

1.1. 参加状況


会場参加者数：30 名



遠隔参加者数：

同時視聴者数：3 名ユニーク視聴者数：4 名

1.2. アジェンダ（発表者敬称略）
1.

「情報の自由な流通とデータプライバシー」～日本企業・運用者への影響に関するディスカッション～
ヤフー株式会社望月 健太

1.1 データローカライゼーション
・データローカライゼーションの実情や問題点
・TPP の電子商取引章を取り上げ、 国際的な規制の例について紹介
1.2 データプライバシー・EU 一般データ保護規則(GDPR)における個人データの越境移転と日本企業の対応
1.3 ディスカッション
・データローカライゼーション
・欧州の個人情報保護制度
2.

その他・Japan IGF 登録完了について
日本レジストリサービス

高松 百合・グローバル動向の紹介
一般社団法人日本ネットワークインフォメーションセンター

1/7

奥谷 泉

2.口頭での報告内容・質疑応答・議論内容
2.1. 「情報の自由な流通とデータプライバシー」
ヤフー株式会社の望月氏より、資料 1.2.「情報の自由な流通とデータプライバシー～日本企業・運用者への影響に関するディスカッション～」に基づき説明が行われた後、質疑応答および議論となった。

Q. この話のメインは欧州の中でデータを取得し、それを外に移転するということだと思う。だとすると、欧州のデータを日本で所得した場合は、それは個人情報保護の例に当てはまるのか？
A. 日本でデータを取得しても適用される可能性は十分にある。
（スライド p.24 参照）域外適用のところでも説明したが、例えば欧州に向けて物品を買えるようにしている場合、欧州の人が個人情報を打ち込んでログインして物品を買うことになると思うが、そのデータは日本にきて、物品とサービスの注文を可能とする形で、それに関連したデータ処理が日本で行われていることになるので、十分適用される可能性はある。
Q. ユーザが自由に見に来ている場合は、データを保存するなといっても難しい。IP アドレスを見たら大体は分かるが本人に EU に住んでいるか確認しているわけでもないので、それをどうやって止めるのか。
もう一つは、もしそれでだめだとなった時にどういう罰則が与えられるのか。欧州でビジネスしているのならともかく、そうでないのなら入国時に税関で止められるのか、ネットの場合はどうするのか、そう考えるとそもそも現実的ではないのではないか。
A. 実際にどのように GDPR が運用されていくのかはまだわからない。たしかに域外適用を始めても世界にたくさん企業があるし、ヨーロッパの方が勝手にアクセスしてくる事は十分にありえるので、それをどのように見つけるかという方法やどれくらい執行されるのかという事は分からない。GDPR は既に発効しているので欧州の中でも議論は積み重なっているかと思うし、今後欧州データ保護会議から解釈が出てくると思うので、それは必ず押さえておく必要がある。
Q．移転の主体は事業者でなくてデータであって、それが人であるか事業者であるかは関係なく、集められた情報がヨーロッパの域外に出ること全部を指していると見受けられたが、それとも拠点のあるなしに関わらず経済活動している主体が集めた結果を移すことを想定しているのか、これらは分離されているのか、それとも一緒なのか。
A. 基本的には主体は EU 市民の個人データで、適用対象は人とか物とかではなくプロセッシング＝個人データの処理を中心に規定の組み立てが考えられている。そういった形で欧州外に出る分は、たとえ一般企業であれ他の団体であれ、適用の対象となると考えられる。
Q. 日本の企業が GDPR で気にするところのイメージをつけづらいが、御社はどういうことを気にして2/7いるのか。日本の企業にとって GDPR が施行されたことによる具体的な影響やケアすべきところはあるのか。
A. 弊社の状況は言いにくいが、企業と意見交換をしていると、例えば、海外で今後クラウドを展開させていく企業や、すでに欧州に展開している企業から、いま現在ある事業プラス今後どういう事業をしていくかということで慎重に情報収集をされているようだ。ひとつオープンになっている情報としては IIJが最近 BCR を申請したという内容のプレスリリースを出されていて、そこではなぜ取りにいったかということが詳細に書かれているので参考になるかと思う。
A. 弊社は基本的に国内向けで、現在 EU 向けのサービスは展開していないので、EU の GDPR を受けて直接影響を受ける立場ではないが、EU の影響を受けて日本が個人データの取り組みをどうのように進めていくか興味があるのでそういった観点からいろいろ勉強している。
Q. P.24(b)の部分でこれはどの程度のものを想定しているのか。位置情報レベルなら含まれる感覚だが、それ以上の細かいところまで想定しているようなら、先ほどの質問と同じ話で我々が EU の人と分からず意図せず情報を取っている可能性もあるかもしれないと気になった。
A. P.24(b)の部分は位置情報が一番言われている。それ以外どのような情報が当てはまるかは今のところまだ出てきてないので、今後どういうところがこの規定でカバーされるのか見ていく必要がある。もし何か新しい情報があれば共有したい。
Q. 制裁を受ける可能性はデータの域外移転の話なのか、そもそもデータの取り扱いの話なのか分からないが、何に対して制裁が起こりうるのか。
A. 違反類型というものがある（P.26 参照）。例えば第三国への個人データの移転に関しては、(5 項)2,000万ユーロ又は前会計年度の年間売上高の 4%が上限として適用される。類型によって課徴金の上限が違ってくる規定になっている。
Q. 域外移転が 2,000 万ユーロまたは前会計年度の年間売上高の 4%のいずれか高い金額で、それ以外の一般的なのが 1,000 万又は前会計年度の年間売上高の 2%のいずれか高い金額とあるが、一般的とは、例えば情報が漏洩したなどの義務違反でよいか。
A. その通りである。
Q. EU において従前の規程でもよいが、制裁金が大体どれくらいか、執行回数が何回くらいかという実例があれば教えて欲しい。
A. 具体的な額はわからないが、この規定自体は GDPR で初めて明記されたもので、それまでは各国法

3/7

の中で情報漏えいに対する違反金はどのように課すかは国によってかなりの差はあった。
Q. 例えば日本で動画サービスをやっているとして、ヨーロッパの中で日本語を勉強したい、日本のアニメが見たいなどが意図せず流行ってしまい、EU からのデータアクセスが多くなったらどういう扱いになるのか。
A. 今後どうなるか見てみないとわからない部分。
（P.24 参照）域外適用で、支払い関係無く物品、サービスを提供している場合、どういう形が提供しているとみなされるかという解釈にかかってくるので、EU というより各国の監視当局がどのように判断するか次第でまだわからない。この部分の専門家がいれば逆にお聞きしたい。
Q. 我々は、日本という経済の中で暮らしており、多くの企業は日本の国内法（ひいては国際法）に基づいて事業等々をしている。サービスの入り口でその中で EU のサービスは提供するつもりはありませんというエクスキューズを書いておけば、果たしてそれで罰則の適用のリスクを回避できると考えてよいものなのか。
A. それも解釈がどうなるかという部分なのでわからない。もしこの規定がデータ保護指令の基であれば、第 29 条作業部会が解釈の指針を出しているはずだが、GDPR からこの規定が出たのでどう解釈されるかは分からない。法律事務所が主催するセミナー等にも参加しているがこれ以上の解釈は見当たらない。
Q. IGCJ でも以前扱った FCC が出したネット中立性の議論でも、どうやってエンフォースするのかという事に対する解答を FCC も出しておらず、この領域でも同じことが問われている。それに対して今後どのように整備のプロセスが進んでいって、事業者がそれに対してアクションする必要があるのか、分かっている範囲で教えてほしい。
A. 難しい部分は執行の部分。日本企業は遵法の意識が高いので、こういった法律が出てきたときに全力で守りにいく企業も多いかと思う。ただどこまで執行されるかを予期して対策を講じるかの判断は難しい。先ほどの説明で省いた部分ではあるが、域外適用で拠点が EU 域内に無い場合、EU 域内に代表者を立てなければいけない。ただ自身が GDPR に適用なのかわかっていない状態で代表者を立てるかという問題もあるし、立てなかった場合に監視当局がわざわざ見つけて罰するかは怪しい。ただ、よく耳にするのは、EU の最近の施策に共有している部分ではあるけど、結局のところ外国企業を狙い撃ちしている傾向がある。自分たちが適用しないだろうと思っていても全然知らないところからの指摘、またはデータ主体によるタレ込みもあり得る。そこで目立ってしまうと、監視当局からも目をつけられ非常に厄介な状況となる可能性がある。準備はしなければいけないが、100％やる必要はあるのかと言われれば、必ずしもそうとは言えない。実務的な視点ということだと、監視当局とどれだけ仲良くしているかという観点も重要。そういう意味では、ただ法律に関する情報収集だけではなく、ネットワーキングなどもしておく必要がある。

4/7

Q. データ保護指令から GDPR に移ったときに規制が強化されたのか、それとも緩められたのか。ネッ
ト中立性の話でも、ヨーロッパでは 2012 年にレギュレーションができて各国で法律を作らなくても域内はすべて適用とされたが、いろんな議論の末にほとんどケースバイケースになってしまい、国によっては従来に比べ規制が緩められた国もでてきた。その後、BEREC という規制官庁がガイドラインを出しているが、やはり内容はケースバイケースが多い。今回は強い方向に行くのか、それとも弱い方向に行くのかということと、ガイドラインなどが出されることなしに直接的に判断が行われるようなこともあり得るのか。
A. 一言で言うと厳しくなる方向に動いており、やはりデータ主体の権利が手厚くなっている。
（P.21 参照）表の 5.にデータポータビリティや忘れられる権利なども規定され、全ては説明できないが様々な形で義務が加えられたあるいは明確化されている。ただ、厳しくなると同時に正当化事由についてある程度明確化されたため、厳しくなりつつも逃げ場は与えられている。あと、エンフォースメントは、各国の監視当局に任せられているので、EU ではなく各国が判断していくことになる。
Q. 近々EU からイギリスが離脱するが、すでに EU でのオペレーションを組んでいてそのデータをイギリスで管理したり、EU 本社がイギリスという会社もたくさんあると思う。実際に現場では既に動き始めているのか。ある意味、緊急度が一番高い国だと思うので、判断の参考にしたい。
A. 今日触れられなかったがブレグジットは非常に重要なポイント。いわば、EU から抜けるということは日本と同じ状況になるということ。もし何からの協定等なしに最悪なパターンで抜けてしまった場合は、拘束的企業準則を民間レベルで結ばなければならない。またイギリスに本拠地を置いて EU でオペレーションしている企業も多く（1,380 社くらい）、かなり注視している状況。ブレグジットに関してはイギリス高等裁判所の方で、リスボン条約第 50 条に基づいて離脱のためには通知をしなければならず、2 年間で交渉がまとまらなかったら自動的に追い出される。この通知について、イギリスの高等裁判所の判決では通知のためには議会の承認が必要となった。
当初メイ首相は 2017 年 3 月末までに通知して 2019年 3 月までに議論し交渉をまとめると言っていたが、12 月に出る予定の最高裁判決で勝てないと、2017年 3 月の通知も遅れてしまう可能性があり、その後のスケジュールも後ろ倒しとなる。その場合は EUを離脱しておらず GDPR が適用されるということなので、GDPR に基づいて対策をしていくことは無駄にはならない。今後イギリスが EU とどう交渉していくのか、個人情報の取り扱いに関しても十分性認定を受ける形になるのか、あるいはプライバシーシールドのような協定を結ぶのか、それともそういったものもなく正当化自由を求めるだけになるのか、今後 EU とイギリスの交渉を注視しつつ、かつ今後GDPR が自身に適用されるのであればそれに沿うような形で動いていって、取りこぼさないようにしていく必要があるかと思う。
Q. 今回 IGCJ は Internet Week 2016 と同時開催しており、いつもより技術者の参加が多いと思う。エ
ンジニアは何か意識しておくべきか、どういうところに注意しておくべきかアドバイスがあれば是非いただきたい。

5/7

A. 例えばデータローカライゼーションも、エンジニアから見れば何か別の解決策や回避策があるのではないか、など技術面からアプローチが可能かもしれないと思っている。自分にはテクニカルな知識はないので、エンジニアの皆様から意見を出してもらって、技術と法律家がコラボレーションし検討していくことが今後データローカライゼーションやプライバシーの問題を考えていく上で重要ではないかと思うので、是非今後もお力をいただければと思っている。

2.3. その他
2.3.1. Japan IGF の登録完了について株式会社日本レジストリサービスの堀田氏、高松氏から、次の情報共有があった。
【堀田氏】
国別および地域別 IGF (National and Regional IGFs , NRI)の活動について、グローバル IGF への日本からの登録の話を前回したが、JAIPA 副会長の立石さんが IGF-Japan 側、IGCJ を考える会メンバー
が IGCJ 側の窓口となり一緒に検討を行って申請し、Japan IGF としてこのたびめでたく NRI 認定された。また、グローバル IGF については、来週メキシコで行われる IGF グアダラハラ会合にて、高松が日本の活動について報告・発表を行うことになっている。
【高松氏】
グローバル IGF は全世界から人々が集まってインターネットガバナンスを話し合う場となっている。
全世界から集まるので各国各地域での情報をもっと吸い上げようということで、各国各地域でインターネットガバナンスについて議論している場があればそれをリストアップし促進しようという動きがあり、今回日本からは Japan IGF という形で申請をしている。認定されるためにはマルチステークホルダーが参加していること、非商業的な目的を掲げていることなどの条件があり、それらをクリアして認定された。
Japan IGF は IGF-Japan と IGCJ から成りそれぞれ特色がある。IGF-Japan は 6 年ほど前から年に1 度開催されてパネルディスカッションや報告などが行われている。IGCJ はテーマが持ち込み自由で情報共有や意見交換のほかに、気になるテーマがあればアドホックにチームを作成し自由に活動できる場となっている。なので、それぞれ色が違うものの、お互い相乗効果が生まれるのではないかということでJapan IGF という形で今回提案を出し、11 月中旬に National IGF として認定された。
C. 来週メキシコのグアダラハラで、NRI のセッションがある。その場で我々の活動をアピールできればと考えているし、フィードバックもまた行いたい。興味があればリモート参加もできるので、ぜひ参加して欲しい。
2.3.2. グローバル動向の紹介
日本ネットワークインフォメーションセンターの奥谷氏から、資料 3.「インターネットガバナンス関連の動向」に基づき説明が行われた。特に質疑はなかった。
6/7

2.4. 次回日程などについて次回の IGCJ は 2017 年 1 月 19 日もしくは 1 月 26 日の開催が有力。
「IGCJ を考える会」のメンバーはいつでも募集している。

7/7