世界各国の個人情報保護制度の調査及び解決方法の提案
リスク工学グループ演習2班
太田 諭，崔 子歆 ，QIN QIWEN ，田口 渉
アドバイザー教員︓西出 隆志

研究背景

1

2
コンピュータを用いた通信技術の発達とともに情報の重要性が高まり攻撃技法が発達している

諸外国で個人情報保護に関する法律の制定が増えている

3
世界各地に拠点を持ち情報を扱うIT企業は拠点を置く国の法律により制約を受ける

2

目的
 諸外国の法律を調査、比較を行いどのような特性があるのか調査、分類を行う
 プライバシー保護に関する法律が制定されている
 地域で活動するIT企業は各地域でどの様な対策を行うべきか考察を行う

3

調査対象(地域)

中間発表

本発表

•中国

•

下記の国に加え•オーストラリア

•

アメリカ

•

ロシア

•

EU

•

ブラジル

4

インターネット上で個人情報侵害の分類

1. 個人による侵害•秘密の暴露等

2. 悪意ある攻撃者による侵害•

不正アクセスによる情報流出等

3. 特権者による侵害•

Webサイト運営者による情報収集等•ソフトウェア, ハードウェア製造者によるバックドアの設置等

5

調査方法
 主な情報源はインターネット○ ニュースサイトや海外の法律をまとめた記事○ セキュリティについて議論するサイト等
 情報源から有用な意見や対策をまとめ、分類が近い他の地域に適用できるよう変更

6調査対象選定基準
 地理的に離れた先進国
 地理的に近い国は近隣の国の政策の影響を受ける可能性がある

調査対象国を分類した際に地理的に離れているにも関わらず同じ分類になった場合，何が要因となっているのか調査を行いたかった7

調査対象(法律, 条例)
 各地域に付き一つ 比較的新しく制定
 個人情報保護に関する
 企業が関係する
 後述するプライバシーの分類2,3に関する○ 今回の調査は個人の情報を扱うIT企業への提言が目的のため

8

各地域の法律,条例-アメリカ,カリフォルニア州
国

アメリカ, CCPA

制定,施行日2020/7施行予定

責任主体

カリフォルニア州居住者の個人情報を取得する者

概要

取得・利用する情報に関するプライバシーポリシーを公開
オプトアウト権行使のためのページの作成を義務化

提訴権利者

州の住民権利個人情報に関する被害を受けた場合、厳格な証明なしに救済を求めることができる

罰則

一件あたり最高7,500ドルの罰金

特記事項

適用対象者の所在地を限定しないため州外にも適用される可能性がある

罰則適用事例
アメリカには日本の個人情報保護法の様な広い範囲の情報保護法はない
医療分野等個別の分野に特化した連邦法や州法は存在する

9

各地域の法律,条例-ロシア
国

ロシア, No242-FZ

制定,施行日2015/9/1施行

責任主体

ロシア国内向けのウェブサイトを通じてロシア国民の個人情報を収集するウェブサイト

概要

ロシア国民の個人情報を扱う会社は原則ロシア国内に置かれたデータベースを使用する

提訴権利者

ロシア政府

権利違反者への訴訟を起こすことができる

罰則

ブラックリストへの登録, 罰金
ブラックリストに登録されたwebサイトはロシア国内からのアクセスを遮断される

特記事項

十分に個人情報を保護できていると判断した国には持ち出し可能
それ以外の国へは権利者が同意している場合可能

罰則適用事例

2016/10 アメリカLinkedInに対しデータ保護庁がロシア国内からの接続を遮断
10各地域の法律,条例-オーストラリア
国

オーストラリア, Assistance and Access Bill 2018

制定,施行日2018/12 可決

責任主体

オーストラリア国内のIT企業

概要

政府に製品へのバックドア設置を要求されたら従わなければならない

提訴権利者

オーストラリア政府

権利

バックドア設置を強要

罰則

最高1,000万AUD(約7億7600万円)の罰金

特記事項

IT企業の製品はグローバル展開されるので世界全体でセキュリティリスクが高まる恐れがある

罰則適用事例なし
11

各地域の法律,条例-中国
国

中国, 中華人民共和国サイバーセキュリティ法

制定,施行日2017/6/1 施行

責任主体

中国国内のネットワーク事業者

概要

インターネットで業務を行う個人, 組織の素性を明確化
回線の提供、ドメイン登録等を行う場合、事業者は個人確認をしなければならない
真実の身分情報を公開しない場合サービスを提供できない

提訴権利者

中国政府

権利

本人確認の義務化, 虚偽申告を受領した際企業にも責任があると明示
中国国内の情報インフラを攻撃する組織、個人に対する処罰の明確化

罰則

罰金, 業務改善要求

特記事項

個人情報の使用に関する責任が明確化されていない

罰則適用事例

2017/9 阿里雲計算有限公司が真実の身分証明書未提示のユーザにネット接続サービスを提供
即時改善と登録情報の真実性確認を要請。

12

各地域の法律,条例-EU
国

EU, GDPR

制定,施行日2018/5/25施行

責任主体

EEA内在住のユーザーを対象にしている企業

概要

加盟国が国ごとに整備していた個人情報保護法を加盟国全てで統一
個人の情報のコントロール権を個人に戻すことを目的とするEUが認めていない国への情報移転を認めない

提訴権利者

加盟国の国民権利

アクセス権, 訂正権, 削除権等

罰則

初回かつ意図的でない場合書面での警告
2000万ユーロもしくは前会計期間の売上の4%, どちらか高い方

特記事項

なし

罰則適用事例なし
13

各地域の法律,条例-ブラジル
国

ブラジル, Lei Geral de Proteção de Dados

制定,施行日2018年8月 成立

責任主体

ブラジル国内でデータ処理を行う組織

概要「機微データ」というカテゴリを作りそれらを本人の明示的な同意なしの商用利用を禁止
収集した情報の国外持ち出しは政府が認めた場合のみ可能

提訴権利者

ブラジル国民権利収集した情報に関して本人がアクセスできるようにする

罰則

データベースの破棄
罰金5000万レアル(約14億5000万円), もしくは年間売上高の2%の低い方

特記事項

機微データ : 人種, 思想, 宗教観, 健康状態
EUのGDPRを参考にしている

罰則適用事例なし
14

各国の法律の比較• アメリカ, EU•

活動拠点は国内外問わず、対象がIT企業に限らないことから•国民の個人情報を不当に得ようとする組織への牽制目的であると考えられる•

国民情報保護タイプ• オーストラリア, 中国•

活動拠点は国内限定、IT組織に限ることから•国に対して不利益になる行いを規制しようとしていると考えられる•

個人情報に対しての規制が目的ではない•

不利益規制タイプ• ロシアとブラジルは中間

15各国の法律の比較
国

アメリカ

ロシア

オーストラリ
ア

中国

EU

ブラジル

主体

国民

政府

政府

政府

国民

国民

国民の情報保護国民の情報保護目的

国民の情報保護 国民の情報保護 治安維持 治安維持

IT企業限定か限定しない

限定する

限定する

限定する

限定しない

限定する

対象の活動拠点

国内外問わず

国外

国内

国内

国内外問わず国内

罰金以外の罰則なし

ありなし

ありなし
(罰金もない場合がある)あり

16

考察-分類に対する企業が取るべき対策

A. 国民の個人情報を保護するタイプ•

情報流通の規制よりも「個人の情報は持ち主が操作できるようにすること」を目的としている•

しっかり手続きをすれば情報の持ち出しは可能•

各国の規約を理解し手続きを行い、必要に応じて取り扱いに関する警告等を表示すればこれまで通りの業務を行うことは可能•

サイトの規約、取り扱い指針、警告の整備を行えば比較的安価に業務継続は可能

17

考察-分類に対する企業が取るべき対策

B. 国に対する不利益を牽制するタイプ•

個人情報保護よりも「国外への情報流出を止めること」を目的としている•

データベース等を国内に設置する必要があるため資金や人員が必要になる•

個人情報保護タイプよりも目的にばらつきがあり共通の対策を立てるのは難しい•

場合によっては対象国へのサービスを止めるのも選択肢に入る(オーストラリアに拠点を置くのはやめておくのがいいと思う)•国への申請や設備の増設等が必要になり、業務継続にはコストがかかる
場合によってはサービス停止も視野に入れた方が損しない可能性も18

今後の課題 本調査ではグローバルIT企業が海外に拠点を置く際取るべき対応についてまとめた
 しかし、妥当性の確認が取れておらず実際に提案した対応をとるだけで問題が解決するという根拠がない
 今回の提言が妥当であるか確認を行う必要がある

19

参考文献
IIJ.news vol. 150, https://www.iij.ad.jp/news/iijnews/2019/pdf/vol150.pdf, IIJ
Financial and Social System of Information Security
https://blog.goo.ne.jp/hosiei/e/fc1bfaf0921b6d3d06c0f45e73a273c2
Client Alert ロシアにおける個人情報保護の強化
http://www.bakermckenzie.co.jp/material/dl/practice/intellectualproperty/ClientAlert̲201410̲IP̲IT̲EC̲Personal̲Data̲in̲Russia̲J.pdf
Brazilʼs New General Data Privacy Law Follows GDPR Provisions, Melanie Ramey,
CROSS-BORDER TRANSFERS, DATA PRIVACY, INTERNATIONAL
EU各国における個人情報保護制度に関する調査研究報告書, 株式会社ITリサーチ・アート
個人情報保護をめぐる国内外の動向(法の域外適用の在り方及び国際的制度調和への取り組みと越境移転の在り方関係)
https://www.ppc.go.jp/files/pdf/190304̲shiryou1.pdf, 個人情報保護委員会
データ越境移転に関するルールの動向 ‒対応を迫られるGDPR
https://japan.zdnet.com/article/35107016/, ZDNet Japan20

ご静聴ありがとうございました
リスク工学グループ演習2班
太田 諭，崔 子歆 ，QIN QIWEN ，田口 渉