OECDプライバシー・ガイドライン（2013年改正）の詳解

慶應義塾大学 総合政策学部 教授
新保 史生

個人情報保護制度の国際的関係

GPEN（Global Privacy

プライバシーコミッショナー会議

Enforcement Network)（世界の個人情報保護機関の集まり）OECD
プライバシー・ガイドライン

越境協力勧告 /セキュリティ勧告等
OECD加盟国間で国境を越えて個人情報保護への取り組みを行う
ネットワークへの参加が課題

日本 米国
個

個人情報保護法

別法•日本はオブザーバ参加•データ保護機関としての認定基準•法的基礎(Legal basis)•自主性及び独立性(Autonomy and independence)•国際基準との整合性(Consistency with internationalinstruments)•適正な機能（Appropriate functions）

ＥＵ
個人データ保護指令
個人データ保護指令による第三国への個人データの移転制限
EUが定める「十分なレベルの保護基準」をクリアすることが課題

プライバシー・フレームワーク
越境プライバシー・ルール(CBPR)
個人情報の漏えいなどが国境を越えて発生した場合などに対応可能な越境執行協力の体制の構築が課題

APEC APPA(Asia PacificPrivacy Authorities)©2013 SHIMPO Fumio

個人データ保護規則（案）（2012年1月25日）

・独立個人情報保護機関の設置が必須要件
・データ主体の権利の拡大（忘れてもらう権利、データ・ポータビリティ）
・セキュリティ（情報漏洩時の２４時間以内の通報義務）
・管理責任（データ保護影響評価、データ保護のためのマーク（シール）制度）
・個人データの移転（統一的な手続）

ＯＥＣＤの設立経緯

第二次大戦後に、経済的に混乱状態にあった欧州各国を救済するための計画である「マーシャルプラン」が、米国のマーシャル国務長官によって発表され、これを契機に、1948年4月、欧州16カ国でOEEC（欧州経済協力機構）が発足
1960年12月14日に、20カ国がOECD設立協定に署名
1961年9月、OEEC加盟国に米国及びカナダが加わり新たにOECD（経済協力開発機構）が発足
日本は1964年にOECDに加盟
1980年代は24か国の加盟国により構成
1990年代にメキシコ（94年）、チェッコ（95年）、ハンガリー（96 年）、ポーランド（96年）、韓国（96年）の5か国が加盟
2000年にはスロヴァキアが加盟、2010年にチリ、スロベニア、イスラエル及びエストニアが加盟
ロシアの加盟については現在審議中
現在の加盟国数は、３４か国

ＯＥＣＤ加盟国と加盟年
加盟国名

加盟年（加盟年月日順）

カナダ

1961年4月10日

オランダ

1961年11月13日

アメリカ合衆国

1961年4月12日

ルクセンブルク

1961年12月7日

イギリス

1961年5月2日

イタリア

1962年3月29日

デンマーク

1961年5月30日

日本

1964年4月28日

アイスランド

1961年6月5日

フィンランド1969年1月28日

ノルウェー

1961年7月4日

オーストラリア

1971年6月7日

トルコ

1961年8月2日

ニュージーランド

1973年5月29日

スペイン

1961年8月3日

メキシコ

1994年5月18日

ポルトガル

1961年8月4日

チェコ共和国1995年12月21日

フランス

1961年8月7日

ハンガリー

1996年5月7日

アイルランド

1961年8月17日

ポーランド

1996年11月22日

ベルギー

1961年9月13日

韓国

1996年12月12日

ギリシア

1961年9月27日

スロバキア共和国

2000年12月14日

ドイツ

1961年9月27日

チリ

2010年5月7日

スイス

1961年9月28日

スロベニア

2010年7月21日

スウェーデン

1961年9月28日

イスラエル

2010年9月7日

オーストリア

1961年9月29日

エストニア

2010年12月9日

加盟国の拠出額の比率
順位

加盟国

1合衆国
日本
ドイツ
フランス
イギリス
イタリア
カナダ
スペイン
オーストラリア
韓国
メキシコ
オランダ
スイス
ベルギー
トルコ
チリ
エストニア

2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

2013年度予算

比率
21.58

18

12.88

19

7.91

20

6.03

21

5.31

22

4.81

23

3.69

24

3.51

25

2.83

26

2.49

27

2.42

28

2.15

29

1.79

30

1.52

31

1.49

32

1.43

33

1.43

34

イスラエル
スロベニア
ノルウェー
スウェーデンポーランド
オーストリアデンマークギリシア
フィンランドポルトガル
チェコ共和国アイルランドニュージーランドハンガリー
スロバキア共和国
ルクセンブルク
アイスランド

1.43
1.43
1.42
1.42
1.34
1.3
1.14
1.08
0.99
0.92
0.86
0.840.74
0.7
0.45
0.37
0.3

ＯＥＣＤの機関理事会• OECDの意思決定機関• 閣僚レベルが参加する閣僚理事会（年一回開催）• 常任代表による通常理事会（随時開催）• 主要な問題に関する検討を行う場として新執行委員会（年2回開催）

委員会• OECDの三大目的に対応する形で設置• 1)経済成長、2)貿易自由化、3)途上国支援• 経済政策委員会、貿易委員会、開発援助委員会• 全体で２０を超える委員会が多岐に亘る分野において活動ＯＥＣＤの委員会の所掌範囲とＷＰＩＳＰ

ＣＩＩＥ

産業イノベーション起業委員会
起業、産業、地域発展

ＩＣＣＰ 情報・コンピュータ・通信政策委員会

ＷＰＩＳＰ

インターネット経済

情報セキュリティ・
プライバシーＷＰ

ＣＣＰ

消費者政策委員会
消費者政策

ＣＳＴＰ 科学技術政策委員会

個人情報・プライバ
シー保護及び情報セ
キュリティに関する諸問題の検討を行う
委員会

科学技術政策CSPT バイオテクノロジーWG
バイオテクノロジー©2013 SHIMPO Fumio

ＯＥＣＤプライバシー・ガイドライン見直しにあたっての検討事項
1. OECDプライバシー・ガイドラインの発展とその影響
1.1 コンピュータ処理の進展、プライバシーおよび各国の法制度との関係
 1.2 OECDのアプローチ
 1.3 ガイドラインが各国の法制度にもたらした影響

2. 現在の個人情報の処理傾向
2.1 技術的進歩に伴う問題
 2.2 国際的なデータ流通
 2.3 組織の活動の変化
 2.4 個人の活動の変化

3. 個人情報の取扱環境の変化に伴うプライバシー・リスク
3.1 セキュリティ
 3.2 個人データの目的外利用
 3.3 監視
 3.4 信頼性



4. 既存のプライバシー保護の取組における検討課題
4.1 プライバシー保護の範囲
 4.2 透明性の確保、利用目的及び同意の役割
 4.3 国及び地域におけるアプローチの多様性

5. プライバシー保護のための新たな取組（プライバシー・ガバナンス）
5.1 データセキュリティのための立法5.2 情報管理 / プライバシー・バイ・デザイン
 5.3 説明責任の役割
 5.4 プライバシー法の執行権限を有する機関による越境協力
 5.5 民間団体等との協力©2013 SHIMPO Fumio1980年ガイドラインの見直し• 「インターネット経済の未来のための2008年宣言[C(2008)99]」に基づくもの

見直しに向けた準備• プライバシーガイドラインの30周年記念を契機に2010年から2011年にかけて実施• 「進化するプライバシーの背景：OECDプライバシーガイドラインの30年（Evolving Privacy
Landscape: 30 years after the OECD Privacy Guidelines）」報告書を作成

OECD / WPISPにおける見直しの検討事項• 収集、利用及び保管される個人データの量• 個人データに関して、個人及び集団の傾向、動向、興味、活動に関する分析範囲• 新しい技術及び責任を持って個人データを利用することで実現可能な社会的・経済的利益の価値• プライバシーに対する脅威の程度• プライバシー侵害又は保護に関し、両者のいずれかに関与する可能性がある関係者（アクター）の数及びその多様性• 個人がその取扱いを認識し処理することが想定される個人データを互いにやりとりする頻度とその複雑さ• マルチポイントかつ継続的なデータ流通を可能にする通信ネットワーク及びプラットフォームに支えられた、個人データの国際的な利用可能性

ＯＥＣＤにおけるプライバシー・個人情報保護関連の取組み

プライバシー・個人情報保護関係


プライバシー保護と個人データの流通についてのガイドラインに関する理事会勧告（ＯＥＣＤプライバシーガイドライン）（1980年）→（2013年7月11日に改正ガイドラインが理事会勧告として採択）グローバル・ネットワークにおけるプライバシー保護宣言（1998年）
プライバシー・オンライン：政策及び実務的ガイダンス（2003年）

プライバシー保護法執行における越境協力に関する理事会勧告（2007年）
GPEN(Global Privacy Enforcement Network)2010年3月設置
アメリカ、アイルランド、イギリス、イスラエル、イタリア、オーストラリア、欧州連合、オランダ、ガーンジー、カナダ、韓国、スイス、スペイン、スロベニア、チェコ共和国、ドイツ、ニュージーランド、フランス、ブルガリア、ベルギー、ポーランド（2012年6月時点で２０カ国及びEUが参加）

情報セキュリティ関係
情報システム及びネットワークのセキュリティに係るガイドラインに関する理事会勧告（2002年）
重要な情報インフラの保護に関する理事会勧告（2008年）
電子署名







電子商取引における認証に関する宣言（1998年）
電子署名に関する理事会勧告（2007年）
電子署名に関するＯＥＣＤガイダンス（2007年)

暗号政策
暗号政策に係るガイドラインに関する理事会勧告（1997年）

RFID(Radio Frequency Identification)






RFIDに関するＯＥＣＤの政策ガイダンス（2008年）

迷惑メールスパム（迷惑メール）対策法執行における越境協力に関する理事会勧告（2006年）

青少年保護


オンラインにおける子供の保護に関する理事会勧告（2012年）【日本主導により勧告採択】©2013 SHIMPO Fumio

ＯＥＣＤプライバシーガイドライン改正のポイント
ＯＥＣＤ理事会勧告（プライバシーガイドライン）の構成の変更


ガイドラインの対象範囲は変更なし


５部２２項目 → ６部２３項目に変更
公的部門及び民間部門（すべてのステークホルダーも対象に）ＯＥＣＤ加盟国に対する要求事項の変更
1980年ガイドライン（要求事項のみ）
 ①ガイドラインにおいて示された原則を国内法において考慮すること
 ②プライバシー保護の名目で個人データの国際的流通を不当に阻害しないこと
 ③ガイドラインの履行について協力すること
 ④ガイドライン適用のための特別な手続及び協力に速やかに同意すること

改正ガイドライン
要求事項
 プライバシーの保護と情報の自由な流通に対し、政府内の最高レベルでリーダーシップを示し実行すること
 本勧告の附属書に示され全体を構成するガイドラインを、すべての関係者（ステークホルダー）が関与するプロセスを通して履行すること
 公的部門及び民間分野の双方に勧告を広く浸透させること
勧奨事項
 非加盟国及び国境を越えて本勧告を履行する際に加盟国と協力すること
指示事項
 本勧告の履行状況の理事会への報告©2013 SHIMPO Fumio

ＯＥＣＤプライバシーガイドライン改正のポイント
新たな追加事項
 プライバシーを保護する法律の制定
 プライバシー執行機関の設置
 表現の自由との関係
 プライバシー・マネジメント・プログラム
 セキュリティ侵害通知
 国家的なプライバシー保護方針 教育・普及啓発、プライバシー保護技術の向上
 国際的な相互運用・評価指標の開発



加盟国がガイドラインを国内において適用する際の基本原則である「８つの原則」については変更なし









①収集制限の原則（適法かつ公正な手段によって本人への通知又は同意に基づく収集を行うこと）②データ内容の原則（データ内容の正確性、完全性、最新性を確保すること）③目的明確化の原則（利用目的を明確にすること）④利用制限の原則（利用目的以外の目的での利用は行わないこと）⑤安全保護の原則（個人情報の安全管理を行うこと）⑥公開の原則（個人データの収集事実、所在、利用目的や管理者等に関する情報を公開すること）⑦個人参加の原則（本人が関与できる機会を提供すること）⑧責任の原則（個人情報の管理にあたっての責任の所在を明確にすること）©2013 SHIMPO Fumio

2013年7月11日に理事会において採択されたガイドラインは、本研究会開催時点では公式文書として未だ公表されていない
ため、ガイドライン本文については配付資料として配付することができないことから、内容については口頭で紹介（詳解）をさせていただきます。