2014 年 4 月 23 日
アジアインターネット日本連盟「「個人情報」等の定義と「個人情報取扱事業者」等の義務について（事務局案）」に対する意見

1．はじめに現在の制度見直しに係る検討の方向性は、（仮称）準個人情報という概念を追加し、保護範囲を拡大するとともに従来はグレーだと考えて利用を躊躇していた事業者にデータ利活用の道を開くものだとされている。しかしながら，現在検討されている（仮称）準個人情報なるものは、これまで取り扱う事業者によっては個人情報保護法上は自由に利用できたものである。また、いわゆるグレーゾーンに属する情報がプライバシーとして保護されるか否かは、今回の検討による法改正が実現したとしても、これまで同様、民法の不法行為概念によって規律されている領域であり、個人情報保護法の範囲を拡大することによって直接的にグレー状態が解消されるわけではない。
一方、個人情報保護法の保護範囲が広がることによって、事業者の負担は確実に増大するのであり、現政権が強力に推進している成長戦略にとってプラスになるとは言えないことも考慮されなければならないと考える。
そこでアジアインターネット日本連盟は、 データ利活用を目指す事業者の団体として、「「個人情報」等の定義と「個人情報取扱事業者」等の義務について（事務局案）」に対して、以下の通り意見を述べる。
パーソナルデータの利活用に関する制度の見直しは、「日本再興戦略」や「世界最先端 IT 国家創造宣言」に位置付けられた、まさに成長戦略であり、我が国の経済成長を実現するためにも、以下の意見が適切に制度設計に反映されることを切に願う。
2．個人情報の定義について【要望事項】
・「他の情報と容易に照合することができ」という容易性や照合性の要件は削除すべき。仮に削除が難しいのであれば、容易照合性があると解釈されるケースを相当程度限定的かつ客観的に判断できるものとすることを大綱において明記すべき。
【要望に当たっての考え方】
容易照合の要件は、個人情報に該当するのか否かを不明確にしている最大の要因と考えられる。今回の制度見直しの趣旨であるルールの明確化という観点からすると、「他の情報と容易に照合することができ」という文言は、照合性という概念も含めて削除すべきことを提案したい。
仮に「他の情報と容易に照合することができ」という文言を残す場合、（仮称）準個人情報や（仮称）個人特定性低減データという新たな類型を設けたとしても、 容易照合性があるとされるケースが広く解釈されることで、 （仮称）準個人情報や（仮称）個人特定性低減データという新類型を設ける意味が失われる恐れがある。
そのため、仮に「他の情報と容易に照合することができ」という文言を残す場合には、容易照合性があると解釈されるケースを相当程度限定し、かつ、客観的に判断できるようにする必要があると考える。
例えば、事業者が、（仮称）準個人情報や（仮称）個人特定性低減データを利活用するため、個人情報と（仮称）準個人情報や（仮称）個人特定性低減データとを、別のデータベースに分けて分散管理する場合には、当該（仮称）準個人情報や（仮称）個人特定性低減データは個人情報には当たらないというような限定的かつ客観的な文言が検討に値する。そうすれば、事業者にはそのような分散管理を行うインセンティブが働く。分散管理することによって、仮に一方のデータベースが攻撃を受けた場合にも、情報の漏洩は限定的に抑えることができ、消費者の権利利益の保護につながることが期待される。

3．（仮称）準個人情報について【要望事項】
・（仮称）準個人情報は、消費者が任意または容易に、変更、削除、利用停止等をすることができない一意に識別できる識別子に結び付けられた情報に限定すべき。
「これに類するもの」という曖昧な定義をすべきではない。
・「移動履歴、購買履歴等の特徴的な行動の履歴」については、（仮称）準個人情報から除外すべき。
・特定の個人を識別せずとも同意が得られる場合または特定せずともオプトアウトを提供できる場合には、第三者提供を可能とすべき。
・名称については、例えば、「固有情報」といった名称にすべき。
・なお、（仮称）準個人情報の定義を設けること自体については意見を留保する。
【要望に当たっての考え方】（仮称）準個人情報は、取扱いによっては本人に権利利益侵害がもたらされる可能性があるものとされている。当該趣旨に鑑みると、一意に識別できる情報に限定することが適切である。例えば、会員 ID 等であっても、消費者の意思で削除、変更等が行えたり、同一人物が複数取得できるようなものである場合には、どの識別子にどのような情報が付着することになるかを消費者が調整することができる。このような場合には 、事業者に義務を課す必要はないと思われる。したがって また、事務局案の例示や「これに類するもの」との文言は、（仮称）準個人情報の外縁を曖昧にさせており、結果としてかなり広いグレーゾーンを生じさせることとなり、データ利活用の萎縮状態を解消することにならない。これらの点を踏まえ、（仮称）準個人情報として規制の対象とするものは、事業者から一意に振られる識別子であって、消費者が任意かつ容易に、変更、削除、利用停止等をすることができない識別子に結び付けられた情報に限定すべきことを提案したい。
「移動履歴、購買履歴等の特徴的な行動の履歴」については、識別子と結びついて、はじめて本人の権利利益が侵害される可能性を生じる。そこで、「移動履歴、購買履歴等の特徴的な行動の履歴」だけのものについては、（仮称）準個人情報とする必要はないと考える。
仮に、「移動履歴、購買履歴等の特徴的な行動の履歴」を個別に保護対象とすると、
2

事業者は収集した大量の情報の中から特徴的な行動を抽出し、その情報だけを分けて、（仮称）準個人情報として扱わなければならなくなる。そもそも、大量の情報の中から特徴的な一意の情報を抽出されることを消費者が望んでいるとも考え難い。
よって、「移動履歴、購買履歴等の特徴的な行動の履歴」のみをもって（仮称）準個人情報とするのは妥当でないと考える。
（仮称）準個人情報の第三者提供については、本人を特定して個人情報として同意を得るか、個人が特定される可能性を低減する措置を施さなければならず、（仮称）準個人情報そのものを第三者提供することはできないとされている。しかし、個人情報よりも権利利益の侵害の度合いが低いとされる（仮称）準個人情報が、個人情報よりも厳しい規制を受けることは合理的ではない。技術的には、個人を特定せずとも一意であることを識別できれば、同意を得たり、オプトアウトを提供することは可能であるため、特定の個人を識別せずとも同意が得られる場合または特定せずともオプトアウトを提供できる場合については、第三者提供を可能とすべきである。
また、（仮称）準個人情報の名称については、特定の個人を識別することができる個人情報に準える（仮にそれとみなす）というニュアンスを有し、（仮称）準個人情報の定義やその取扱いに関する義務的事項を適切に表現していない 。国際的にも誤解を招かないように、より正確な名称として、例えば、「固有情報」といった名称に変更することを提案する。
なお、今回の制度見直し方針の趣旨でもあるグレーゾーンの解消という観点からすると、必ずしも（仮称）準個人情報という定義を新たに設けることのみがその方法とは限らず、個人情報への該当性の判断基準を提供元を基準とするよう明確化することで足るとも考えられる。 このように判断基準を明確にすることで、（仮称）準個人情報という新たな定義を設けなくとも、解決できる方法はあると考えるため、（仮称）準個人情報という定義を設けること自体については、意見を留保しておきたい。

4．（仮称）個人特定性低減データ【要望事項】
・加工方法は、特定性の低減という観点のみで検討するのではなく、データの有用性が失われない加工方法という観点からも検討すべき。
・政令では、技術進展や事業者の創意工夫によって生み出される新たな加工方法が利用できるよう、加工方法自体を政令で定めるのではなく、事業者が新たな加工方法を利用する際の要件のみを定めるべき。
・加工方法等に関する情報をあらかじめ第三者機関に提出させる義務を課すべきではない。
【要望に当たっての考え方】（仮称）個人特定性低減データとするための加工方法は、単に個人の特定性を低減するという観点のみで検討を行うと、特定可能性を低減するため、利活用するに値しない水準まで加工することを求める結果となってしまう恐れがある。 そのため、特定性の低減という観点のみで検討するのではなく、データの有用性が失われない加工方法という観点からも検討すべきである。
また、情報通信技術の進展の速さや利活用の実態を踏まえ、変化を迅速にとらえ3た制度とするため、加工方法を政令で定めるとしているが、データ利活用ビジネスのスピードは非常に速く、政令改正のスピード感でもなお、情報通信技術の進展や利活用の実態の変化に対応できない可能性がありうる。従って、政令では加工方法自体を規定するのではなく、事業者が新たな加工方法を利用する際の要件のみを定め、技術進展のスピードに対応できる柔軟な制度とすべきである。
加工方法等に関する情報を提出する義務（「個人データ」由来、「（仮称）準個人データ」由来、「（仮称）個人特定性低減データ」の加工を問わず）については、 過度な事業者負担を強いることとなる恐れがある。加えて、事業者の権利利益を侵害しない範囲でそれを公開するとされているが、加工方法等は事業者のビジネス上の秘密やノウハウをそのものに該当する可能性が高く、かつ、第三者機関が高度に技術的な判断を適切にすることは困難と思われ、現実的とは思われない。また、 第三者機関に提出後、実務の上では相当期間事業開始を留保するよう指導される事態も懸念される。以上のような観点から、加工方法等に関する情報を提出する義務は課すべきではない。
しかしながら、強制的な義務ではなく、事業者が任意で、事前に第三者機関に確認を求めるといったような仕組みを設けることについては、グレーゾーンの解消を望む事業者にとっては有効であり、また、事業者の選択肢を増やすという点で望ましいものと考える。

5．機微情報について【要望事項】
・機微情報は、情報の主体（本人）との確実な対応関係とともに取り扱われる当該本人にかかる事実に限定すべき。
・「社会的身分に関する情報」は、出生によって決定され、自己の意思で変えられない社会的な地位に限定すべき。
【要望に当たっての考え方】
形式的に機微情報に該当し得る用語が情報サービスにて利用された場合において、当該用語が利用されたということだけをもって機微情報として厳格な規制が課せられるのであるとすれば、それは情報の自由な流通や消費者の利便性の観点から懸念が生じ得る。単に、用語が形式的に機微情報に該当し得るというだけでは、本人の権利利益が侵害されることにはならないと考えられる。したがって、機微情報は本人との確実な対応関係とともに取り扱われる場面に限定して規制すべきである。
「社会的身分に関する情報」とは、職業や役職といった必ずしも機微とは言えないようなものも含みうる極めて広範な解釈がなされる余地があり、その意味を適切に限定する必要がある。

6．個人情報データベース等について【要望事項】
・「個人情報データベース等」の定義のような、これまで検討会において全く議論されていない事項を変更するのは透明性に欠けるものであり、変更すべきでない。
4

【要望に当たっての考え方】「【参考】保護されるパーソナルデータと事業者の義務に関する俯瞰図」において、
あたかも「個人情報データベース等」の定義を変更するかの記載がなされているが、個人情報データベース等の定義については、これまでの検討会でも全く議論されておらず、制度見直し方針にも含まれていない。

7．制度見直し全体について【要望事項】
・今次の法の見直しの目的である「個人情報及びプライバシーの保護を前提としつつ、パーソナルデータの利活用により民間の力を最大限に引き出し、新ビジネスや新サービスの創出、既存産業の活性化を促進するとともに、公益利用にも資する環境を整備する」という趣旨を法の目的に記載すべき。
・制度見直し実施後、経済政策としての観点から有効性の検証を行い、有効性が乏しい場合には、責任を持って利活用に資する制度設計に改めるという旨を大綱において明記すべき。
【要望に当たっての考え方】
世界最先端 IT 国家創造宣言や制度見直し方針に規定されているように、「個人情報及びプライバシーの保護を前提としつつ、パーソナルデータの利活用により民間の力を最大限に引き出し、新ビジネスや新サービスの創出、既存産業の活性化を促進するとともに、公益利用にも資する環境を整備する」という趣旨を法改正の目的に位置付けることが肝要である。
また、今回のパーソナルデータの利活用に関する制度見直しは、成長戦略にも位置づけられたものであり、ビッグデータの利活用を推進することを目的とするものである。今回の制度見直しが経済政策であることに照らして、例えば、法施行後１年毎に、経済政策としての観点から有効性の検証を行い、有効性が乏しい場合には、責任を持って利活用に資する制度設計に改めるという旨を大綱において明記すべきである。

8．最後に
パーソナルデータの利活用を推進するためには、現にデータ利活用を行っている事業者の意見に丁寧に耳を傾け、適切に反映することが何よりも重要である。この意見書を始め、データ利活用企業の声を十分に聴きながら、検討を行っていくことを期待したい。
なお、上記の意見については、本年 4 月 16 日に開催されたパーソナルデータの利活用に関する検討会における配布資料に対する意見であり、今後の議論の変化等に応じて変わりうるものである。

5