個人情報保護法は世界に通用するか？

慶應義塾大学 総合政策学部 准教授
新保 史生（シンポ フミオ）

©2012 SHIMPO Fumio

1.「日本の個人情報保護法が世界に通用するか」という問題を考えるにあたって

① 個人情報保護法の適用範囲② 世界からみた日本の個人情報保護制度③ プライバシーの権利について
 「諸権利の中でも最も包括的で、かつ、文明人が最も価値があるとする権利」
オルムステッド事件においてブランダイス判事が述べたプライバシーの権利の位置づけ）堀部政男『現代のプライバシー』岩波書店（1980）45頁

 文明社会ではない国では保障されない権利が、プライバシーの権利©2012 SHIMPO Fumio

①

個人情報保護法の適用範囲

民間部門

公的部門

地方公共団体には個人情報保護関連五法の義務規定は適用されない

地方公共団体の条例

独立行政法人等

個人情報保護法

行政機関

個人情報保護法

個人情報保護法

情報公開・個人情報保護審査会設置法
行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律（整備法）

１７４２団体(2012年10月1日現在）

基本理念
国及び地方公共団体の責務等
個人情報の保護に関する施策等

基本法部分

個人情報の保護に関する基本方針©2012 SHIMPO Fumio②

世界からみた日本の個人情報保護制度

OECD
プライバシー・ガイドライン

GPEN（Global PrivacyEnforcement Network)

越境協力勧告 /セキュリティ勧告等
OECD加盟国間で国境を越えて個人情報保護への取り組みを行うネットワークへの参加が課題

日本

プライバシーコミッショナー会議（世界の個人情報保護機関の集まり）•現在、オブザーバ参加（部外者扱い）•国際的に認められる「独立の個人情報保護機関」の設置が条件

ＥＵ
個人データ保護指令

プライバシー・フレームワーク
越境プライバシー・ルール(CBPR)

個人情報の漏えいなどが国境を越えて発生した場合などに、越境執行協力の体制の構築が課題

APEC©2012 SHIMPO Fumio

個人データ保護指令による第三国への個人データの移転制限

EUから日本へ個人データの移転を支障なく行うために、EUが定める「十分なレベルの保護基準」をクリアすることが課題
EU個人データ保護規則改正案では、独立個人情報保護機関の設置は必須要件となっている

2.

過剰反応はなぜ起きる 法令遵守のレベルの高さの証拠か？
 それとも、無理解の表れか？

 常識的に考えればまったく不合理な個人情報保護の取り組みが罷り通る状況（過剰な保護・脱法的利用）
 杓子定規の融通が効かない法令遵守 本来の目的とは異なる次元での個人情報保護への取り組み
 諸外国における過剰反応は？

個人情報保護法の誤った解釈に基づく過剰反応
個人情報保護法の義務規定の不十分な理解に基づく萎縮効果©2012 SHIMPO Fumio

3. プライバシーコミッショナー会議の正式メンバーにさえ認められない不甲斐なさ

 認定基準は非常に簡単な条件
 にもかかわらず、オブザーバー参加を続けなければならない

現状 プライバシーコミッショナー会議における決議・審議事項への関与は不可 昨年採択された、災害時における個人情報の取扱いに関する決議でさえも蚊帳の外 議論に参加することもできず
 討議や情報提供がなされる連絡網にすら参加できず
参考：データ保護機関としての認定基準
法的基礎(Legal basis)
 自主性及び独立性(Autonomy and independence) 国際基準との整合性(Consistency with international instruments)
 適正な機能（Appropriate functions）
 Accreditation Features of Data Protection Authorities Adopted on September 25,
2001 during the 23 Rd International Conference of Data Protection Commissioners
held in Paris, 24-26 September, 2001.
©2012 SHIMPO Fumio

3. プライバシーコミッショナー会議の正式メンバーにさえ認められない不甲斐なさ

 2012年度に新たに正式メンバーとして認められた国（地域）：10月25日の非公開セッションにおける認定 コロンビア、コスタリカ、ドイツ（ザクセン州）（ドイツは連邦及び１３州のコミッショナーが認定済）、ノルウェー、ペルー、セルビア、韓国、チュニジア
 コミッショナー会議における議論の動向
 今回のコミッショナー会議における主なトピックはプロファイリング
 昨年はビッグ・データ
 日本における議論は一年または数年遅れで活発になる？
©2012 SHIMPO Fumio

4.

法令遵守意識及び社会における規範意識の高さと法執行の問題

 誠実で正直という日本人のイメージと法文化
 「正直」と「馬鹿正直」の違い

 個人情報保護法に違反してもお咎めなし？という風潮がはびこっている状況
 国外からは法執行体制が整備されていないと思われている（誤解か真実か？） 国外から見ると、日本人の法令遵守意識の高さについては認識があるものの、法律の執行状況が不透明であると考えられている
 法律が悪いのか 法律を執行する者が悪いのか 法律を解釈する者が悪いのか©2012 SHIMPO Fumio

5.

個人情報保護法の存在意義について何のために個人情報保護法があるのか。。。一般の理解は？
 法律が制定されてから約１０年が経過して 10年を経過しても揺籃期？

検討の経緯 第１９次国民生活審議会個人情報保護部会(2003-2005）
 第２０次国民生活審議会個人情報保護部会(2005-2007)
 第２１次国民生活審議会個人情報保護部会(2007-2009) 消費者委員会個人情報保護専門調査会（2010-2011.7.26）
 消費者委員会個人情報保護？？？？？(2012??)

国民生活審議会個人情報保護部会
 － 個人情報保護に関する取りまとめ(意見)(2007.6.29)



個人情報保護専門調査会報告書
 ～個人情報保護法及びその運用に関する主な検討課題～(2011.7)©2012 SHIMPO Fumio

個人情報保護法の義務規定とＯＥＣＤ８原則への対応関係


個人情報保護法は、個人情報取扱事業者の義務を第４章において規定
義務規定の内容は、個人情報の適正な取扱いにあたって必要な義務
 十分性の基準への適合判断にあたっては、ＯＥＣＤ８原則を基調としつつ、ＥＵ指令の定める原則に基づいて判断 ＯＥＣＤ８原則と個人情報保護法の対応関係が、十分性の基準への適合判断にあたって最低条件となるためその対応関係を明確にしておく必要がある


①収集制限の原則


②データ内容の原則


（データ内容の正確性、完全性、最新性を確保すること）については、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならないとする「データ内容の正確性の確保」（１９条）が対応しているが、当該規定が努力義務であることから義務規定ではない③目的明確化の原則

（適法かつ公正な手段によって本人への通知又は同意に基づく収集を行うこと）については、偽りその他不正の手段により個人情報を取得してはならないと定める「適正な取得」（１７条）が対応している（利用目的を明確にすること）については、利用目的の特定、利用目的による制限（１５条、１６条）によって特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならないことが定められており、目的外利用にあたっては本人同意が必要となっている。さらに、第三者提供の制限（２３条）においても、委託先への提供は利用目的の範囲内に限定されており、共同利用にあたっても利用目的の特定が義務づけられている④利用制限の原則
（利用目的以外の目的での利用は行わないこと）についても、前述③の目的明確化の原則に対応する規定において条件を満たしている©2012 SHIMPO Fumio

個人情報保護法の義務規定とＯＥＣＤ８原則への対応関係

⑤安全保護の原則


⑥公開の原則（個人データの収集事実、所在、利用目的や管理者等に関する情報を公開すること）については、取得に際しての利用目的の通知等（１８条）において、個人情報を取得した場合の利用目的の通知・公表が義務づけられており、直接本人から取得する場合には明示義務が課されている。さらに、第三者提供の制限（２３条）においても、オプト・アウトの要件や共同利用についての継続的公表（本人が容易に知り得る状態に置くこと）を定め、保有個人データを保有する場合には、保有個人データに関する事項の公表等(２４条)を行わなければならない⑦個人参加の原則
（個人情報の安全管理を行うこと）については、安全管理措置、従業者・委託先の監督（２０条～２２条）が対応している（本人が関与できる機会を提供すること）については、公表等、開示、訂正等、利用停止等（２４条～２７条）が対応している。ただし、いずれについても適用除外が定められており、利用停止等（利用の停止又は第三者への提供停止）に応ずることが義務づけられるのは、目的外利用、不正取得、又は第三者への無断提供といった手続違反があることが条件となっており、それ以外に適法に取得され利用目的の範囲内で利用されている保有個人データに対しては、本人関与は認められていない⑧責任の原則（個人情報の管理にあたっての責任の所在を明確にすること）については、個人情報保護法の義務規定においては、第２３条４項３号（共同利用）にあたっての管理者の氏名又は名称の通知又は継続的公表を義務づけているにすぎないが、「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定）において、個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項の中の「②責任体制の確保」に「個人情報保護管理者の設置」が盛り込まれている。また、個人情報の取扱いにあたって本人からの苦情については、苦情の処理（３１条）が個人情報取扱事業者に義務づけられている©2012 SHIMPO Fumio

個別の検討事項


個人情報の定義及びセンシティブ・データの取扱い
わが国の個人情報保護制度においては、センシティブ・データの取扱制限が課されていない。その一方で、「個人情報」「個人データ」「保有個人データ」という区分けによって個人情報取扱事業者の義務の内容も段階的に適用される構造になっている
 ＥＵでは、個人データ（個人情報保護法にいう個人データではない）について、特に、センシティブ・データの処理に関する定義を置いた上で、これを原則的に処理することを禁止している

個人情報取扱事業者の義務規定の適用を受けない事業者の存在
個人情報取扱事業者の義務については、報道活動、著述活動、学術研究、宗教活動、政治活動を行う者について、その目的がそれらの用に供することを条件とした上で義務規定が免除されている。この点について、ＥＵ各国では、報道目的での利用にあたってのすべての義務規定が適用除外となっているわけではない（首相官邸「主要各国における個人情報保護制度の概要とメディア関係規定」
http://www.kantei.go.jp/jp/it/privacy/houseika/hourituan/pdfs/media.pdfを参照）
 個人情報保護法も第２条２項４号において「その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないもの」を義務規定の適用を受けない者として定めた上で、その基準を、「その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６月以内のいずれの日においても５，０００を超えない者」としている。諸外国
では、個人情報の取扱いの「数量」によって義務規定の適用が免除されることはまれ

各義務規定における個別の適用除外事由の解釈による義務規定の免除


個人情報取扱事業者の義務の適用除外規定として、「法令に基づく場合」における除外規定が利用目的による制限(１６条３項１号)及び第三者提供の制限(２３条１項１号)に定められているが、ＥＵ指令
では、法的紛争解決に必要な場合については法令に基づく場合として義務規定の適用が除外される
ものの、法令一般に基づく適用除外としての規定はない©2012 SHIMPO Fumio

個別の検討事項


オプト・アウト
個人情報保護法の基本的立場は、個人情報の保護と有用性に配慮した上での個人情報の取扱いを求めていることから、本人の承諾なしに取得し既に保有している大量の個人データについては、第三者に提供するにあたって本人同意を原則としつつも、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしていること（オプト・アウト）によって、本人の同意なしに第三者に個人データを提供することが可能
 事業者に対してオプト・アウトの手続による対応も選択肢として用意し、第三者提供にあたって本人同意を不要とする手続を定めている点については、ＥＵのスタンスとは正反対
 第三者提供については、原則「本人同意」を要件としている点についてはＥＵ指令と同レベルであると考えられるが、本人同意を必要としない場合として、オプト・アウトの機会を提供している場合、委託先への提供、合併等による提供、及び共同利用については本人同意が不要。ＥＵでは、第三者提供については本人同意を原則としているだけでなく、電子通信指令においては、ダイレクトマーケティングの用に供するにあたっては、さらに、「オプト・イン」による本人同意要件を課している

監督機関の権限

我が国の個人情報保護制度では、個人情報の取扱いについて統一的な監督権限を行使することができる組織は特に設置されていない。したがって、個人情報保護制度の運用と実効性の担保について、制度的に枠組みが明確かつ一元化されているＥＵとは異なり、我が国では事業所管大臣（主務大臣）の関与によって担保しつつ、苦情処理の仕組みとして「認定個人情報保護団体」を設置することによって対応

本人関与規定の法的性格（具体的請求権行使の根拠規定となり得るか否か）

個人情報保護法が定める本人関与規定が、個人情報の開示等の法律上の請求権を行使することを保障するものと考えられるのかについては議論の存するところである©2012 SHIMPO Fumio

個別の検討事項


国外への個人情報の移転
わが国の個人情報保護関連５法には、国外移転を禁止する規定が存在しない。つまり、我が国を経由して個人情報が第三国に移転される場合には一切の規制が存在しない。
 国内法が及ばない国における個人情報の処理の問題
 例えば、紙媒体に記入された個人情報を取得した場合、必然的にデータベースへの登録作業が必要となるが、その際に行われる個人情報の入力作業（データエントリー）は件数が多くなればなるほど、それを取得した事業者内部ではなく外部の事業者に入力を委託することが多い。ところが、入力作業のコスト削減のために、国内で作業を行うのではなく、海外、特に日本人の氏名に用いられている「漢字」を認識できる近隣諸国において入力作業を行う事業者が増えている
 国外に拠点を置く作業場が、当該作業を委託された事業者の海外支所等であれば一定の監督を行うことが可能であると考えられるが、国外の事業者にさらに外部委託をするような場合、委託先の監督を行うことが物理的に不可能な場合がある。そのような場合に、委託先である国外事業者に入力作業の「生データ（個人情報データベース等を構成する個人データには該当しない「個人情報」）」を提供することは、そもそも「個人データ」の第三者提供の制限（利用目的の範囲内での委託先への提供）にも該当せず、本来、委託先の事業者が個人情報を取得する際に負うべき義務（利用目的の特定、利用目的による制限（１５条、１６条）、適正な取得、取得に際しての利用目的の通知等（１７条、１８条）、苦情の処理（３６条））を、個人情報保護法が適用されない国外の事業者に適用することはできないという問題もある©2012 SHIMPO Fumio

個人情報保護法の法執行における課題

主務大臣制による法執行（監督）の問題
 民間部門は、個人情報保護法に基づいて、各省庁（主務大臣）の監督対象（行政機関等は監督の対象外）
 個人情報保護法を所管する消費者庁は、あくまで制度の基本方針の策定の推進役
 グーグルの新方針への対応は、総務省が主導して経済産業省との連名という形での通知によらざるを得なかった 海外からみると、国の統一的な窓口も不明な状況

三条機関による統一的な法執行（監督）の可能性
 マイナンバー法に基づく「個人番号情報保護委員会」が三条機関として設置される予定
 諸外国では、コミッショナー制度により、行政機関からは独立した組織が、官民双方を監督しており、マイナンバー法に基づく「個人番号情報保護委員会」は、これには該当しない
 個人情報保護法の改正で、個人番号に限らない「個人情報保護委員会」を設置しては？
©2012 SHIMPO Fumio

個人情報保護法に基づく主務大臣の所掌範囲（行政機関等は対象外）

経済産業省

金融

信用情報

国土交通省
国土交通

不動産流通業

船員の雇用管理

医療・介護
債権回収

医療情報システム安全管理

法務省
法務

警察共済組合医療 情報処理

安全管理
実務指針

事業一般
雇用管理一般

健康情報

厚生労働省
労働者派遣
職業紹介

警察

外務
＊斜体は通達／下線は通知

文部科学省
ヒトゲノ
ム・遺伝
子解析
研究

遺伝子治療臨
床研究
ヒト幹細胞
臨床研究
疫学研究
臨床研究

教育
電気通信
放送
郵便事業
信書便事業
総務省

福祉
企業年金

健保組合

労働組合

国民健康保険組合

防衛省

財務省

農林水産省

防衛

財務

農林水産

国家公安委員会
外務省

個人遺伝情報金融庁©2012 SHIMPO Fumio

地方公務員
共済組合