WEBアンケート調査

における⼈情報保護の課題と対応

2021年3⽉4⽇
牧野総合法律事務所弁護⼠法⼈弁護⼠牧野⼆郎
1

新たな可能性と新たな課題• 社会調査の実施においては、受託した調査会社がリアルに対象者に接触し情報収集を⾏う形態（「従来型調査」とします）に加えて、新たにWEBを活⽤した調査⽅法が提案、利⽤されてきている（新たな可能性の拡⼤）。
• WEB上のサービスも多々あることから、利⽤する際には、提供されるサービスの類型、特徴を把握し、リスクや責任の分岐、研究者の分担と研究者に課せられる責任内容、範囲などを考慮し、実施する必要がある（責任の拡⼤）。
• WEBサービスの場合、国境がなく、どの国からも、どの⺠族からもアクセス可能であり、アクセスされる可能性がある（⽇本語の理解のあるフランス⼈などからの回答があるなど）ことから、常に国際化を意識し、普遍的権利保護の視点（GDPRの視点）が必要となる（国際化）。
• ここでは、社会データ構造化センターの分類を基礎に置きつつ、法的視点から次の類型に区分し、その課題を明らかにしたい。
2

新たな調査⽅法の類型
従来型の調査会社に調査委託を⾏う形態（法律上、委託契約の締結が前提となり、委託受託関係を確⽴し、⾯接、回答確保、個⼈情報の取得は調査会社が実施し、その後個⼈識別情報など個⼈情報関連の情報を消去して、委託の趣旨に沿った回答のみを研究者に提供する⽅式）

調査対象者

住⺠票などを基礎に不特定多数から抽選・抽出
調査パネルを利⽤する場合

新たな形態（研究者が主体となり、WEB上の各種サービスを利⽤して、アンケート調査を実施する⽅式、法的には委託関係に⼊らないで提供サービス、プラットホームを使うのみ）

第⼀類型

WEB調査サービスを利⽤。調査パネル（あらかじめ⺟集団が⽤意され、その集団から応募者を募る⽅式）を借⽤・利⽤する形態
統合型プラットフォーム

調査対象者

SurveyMonkey, Questant,

CREATIVE SURVEY 等

サービサーのに登録のある特定多数（調査対象者情報は回答要求者には提供されず、各種の分析ツールの提供があるサービス）第⼆類型

WEB調査ツールの提供を受けるなどして、サービサーの規約等に拘束され、調査票などを作成するが、調査対象は研究者⾃らが募集を⾏う形態。
法的には、サービスの制限あるも、研究者が主体となり、研究者の責任で調査を実施すると考えられるもの。
この類型には、調査対象者の募集⽅法が、

１）第三者の提供するクラウドソーシング・サービスを利⽤する場合
但し、第⼀類型に類似したある⽬的で集められた特定多数集団を⺟集団とする場合の他、サービス提供をする第三者
⾃⾝が次の２）のように⾃らSNSを利⽤して不特定多数から応募してもらう形態の場合など、多様と考えられる
２）⾃⾝でSNSを利⽤して⾏う場合

不特定多数から応募してもらう形態

Twitter,Instagram,Facebookなど

３）⾃⾝で⼤学の講義など特定の集団において実施する場合
特定多数を⺟集団とする⼤学のクラス、学年など

3WEB調査の法的構造分析 独⾃ポリシー
従来の委託型研究者
発注
受注

個⼈情報保護対応↓サービス利⽤申込
監督
責任

個⼈情報削除後情報
匿名加⼯情報調査会社

質問登録

サービサーとしてのWEBサービサー
顧客囲い込みSNSの利⽤・不特定多数の場合
・既存集団の利⽤の場合（講義など）

質問

Webアンケート調査ツール

個⼈情報

質問回答

調査対象者

回答（含個⼈情報）

調査対象者
研究者が調査会社に委託し、調査会社が実働し、研究者は監督者としての責任を負う構成

WEB利⽤者⼀般
研究者が提供サービスを利⽤して、研究者⾃⾝が主体となり、実動し、全責任を研究者が負う構成

4

新しい第⼀類型と第⼆類型の特徴•第⼀類型

統合型プラットホーム（pf：標準環境）利⽤

プラットホームでの顧客の囲い込み済み・・・pfが個⼈情報対応（予めpfに対する同意をしている）顧客を間接的に利⽤させてもらう・・・・質問者が個⼈情報対応（利⽤⽬的など告知、回答を促す）
回答情報は顧客（対象者）から①PFへ個⼈情報とともに送信され、②個⼈情報を切断した回答部分のみ質問者（研究者）に提供ーーー宛先が違う、共同関係でも委託関係でもない、研究者の取得情報は個⼈情報の⼀部分ではあるが統計情報同等である場合といえる。

•第⼆類型

SNS等の利⽤

研究者が質問票（アンケート）を作成し、調査対象者に提供し、回答を確保する。⼀定のツールは利⽤しつつも、全⼯程を質問者（研究者⾃⾝）が⾏うもの。
回答情報は、完全に質問者にのみ提供されるケース（単純SNS、⼤学での講義など）と、①質問者（研究者）に提供されると同時に、②同じ情報をサービサーが⾃動的に取得するケースがある。
ーーー共同関係も、委託関係もないが、回答者が両⽅に提供されることを認識（同意？）して提供する⽅式
統合pfと異なり、サービサーが調査対象者の同意を取っているかは定かではなく、研究者が質問する際に注意する必要がある。
研究者（質問者）は、個⼈情報保護法：GDPRにのっとり、利⽤⽬的の明⽰、明確な同意取得など実施する必要がある。

5

実施項⽬
１調査⽬的確定
調査⽬的確定調査会社へ発注契約

第⼀類型

従来型の調査・パ
ネル利⽤調査統合プラットホーム

研究者

会社担当

３情報集計・洗浄情報点検
個⼈情報消去
集計会社担当４情報保管・管理
保管
点検管理
問合対応

会社担当

５事後対応・報酬
回答者への報酬送付
送付事実記録
問合対応

会社担当

６

研究・分析・まとめ・報告

研究者

７

廃棄・確認

SNS等の利⽤

⼤学講義利⽤

匿名アンケート（クラウドサービス含む）

囲い込みで提供
研究者（学⽣）
範囲外（監督責任）

２情報収集作業
対象者明確化
対象者把握
アプローチ
⽬的等説明
聴取内容記録
聴取実施記録第⼆類型

従来型

１対象者明確化
２対象者把握３アプローチ
４⽬的等説明５回答内容記録６聴取実施記録
囲い込みで提供範囲外
１情報点検
２個⼈情報消去
３集計
１保管
２点検管理
３問合対応
１回答者への報酬送付
２送付事実記録
３問合対応

研究者（学⽣）研究者（学⽣）

１対象者明確化
２対象者把握３アプローチ
４⽬的等説明５聴取内容記録６聴取実施記録

１対象者明確化
２対象者把握３アプローチ
４⽬的等説明５聴取内容記録６聴取実施記録

１情報点検
２個⼈情報消去
３集計

１情報点検
２個⼈情報消去
３集計

１保管
２点検管理
サービ
３問合対応
ス内容

サービサーの制限ある
１保管
場合も
２点検管理
３問合対応

１回答者への報酬送付
２送付事実記録
３問合対応

１回答者への報酬送付
２送付事実記録
３問合対応

研究発表

研究発表

研究発表

会社実施/研究 研究者
者確認

研究者

研究者
6

⾒えてくる課題
第１

従来型調査、調査会社パネル利⽤の場合

新⽅式第⼀類型（統合pf利⽤の場合）①原則として調査実施・個⼈情報を取り扱わない②保管管理の⽅法に考慮が必要
第２

WEB調査の場合（新⽅式第⼆類型の場合）（１）クラウドサービスの利⽤クラウドサービスのさーびいす形態により注意が必要
WEB事業者による顧客把握、囲い込みの結果、研究者には個⼈情報が提供されないことが想定される（２）SNSを利⽤した場合

全ての作業を研究者⾃ら実施

ただし、webアンケート調査ツールを使⽤した場合、変容がある①情報集取、個⼈情報の取り扱い②保管管理③廃棄・記録（３）⼤学の講義の利⽤など全ての作業を研究者⾃ら実施

新しい調査⽅法にあっては、個⼈情報の保護がより強く要請される研究者⾃信が、⾃ら、個⼈情報取扱者としての⾃覚と責任を持てるか？

個⼈情報保護の基本視点が重要

7

個⼈情報の取り扱いの基本枠組み
１

個⼈情報保護法の改正
改正のポイント
３法（⾏政＋独法＋個情法）の統⼀という課題
今改正作業中との話
社会調査（学術研究機関）との関係

２

GDPRへの準拠の必要性
社会調査に対する基本姿勢
普遍的に必要な問題

３

WEB調査実施上の現実課題

Cookie問題8令和3年2⽉6⽇閣議決定にかかる法改正とは• 「デジタル社会の形成を図るための関係法律の整備に関する法律」
個⼈情報関連、およびマイナンバーの取り扱い、印鑑廃⽌に関する調整を実施• 個⼈情報保護法のほか、総数129本の関連法令の部分改正を提案• 個⼈情報保護法関連① 3法の統合② 研究団体対応の統⼀化
EUのGDPRとも調整③ 地⽅⾃治体の条例との関係も整理
9

改正法案の⽬的

3つ

10令和3年2⽉6⽇閣議決定の法律案による改正内容 概要• 新18条（現⾏16条⽬的による制限）の除外対象に学術研究機関（⼤学、研究機関等、官⺠問わず）→明確同意確保不要の上、利⽤⽬的変更も制限なし（5）、研究機関への提供（6）も可。
• 新20条（現⾏17条要配慮情報の取得）要配慮個⼈情報の取得にかかる同意の例外規定に追加され、同意なく要配慮個⼈情報の取得可能（5）、研究機関の共同研究の場合の提供も可（6）• 新27条（現⾏23条第三者提供同意制限）の同意不要の例外規定に追加（公表、教授につき（5）、共同研究につき（6）、提供先が学術研究団体である場合（7）に可能に（不当に害する場合を除く）・・・新145条で監督する旨明記• 新29条（現⾏25条

提供記録）の例外規定に⼊り、記録不要に• 新30条（現⾏26条受領記録）の例外規定に⼊り、記録不要に• 新31条（現⾏26条の１• 新58条

関連情報提供制限）の例外となり、提供可能に

国⽴⼤学など別表２記載団体には、新32〜39、40の適⽤排除

11

他⽅で
• 新41条仮名加⼯情報作成等 法令に基づく場合を除き、第三者提供を禁⽌（6）。許されるのは委託、合併、共同利⽤の場合。「法令」の指定する許容範囲は現時点では不明。
• 新57条 適⽤除外
学術研究団体等は削除。総体として適⽤除外出されるのではなく、個別の利⽤制限・許容拡⼤を実施。さらには⾃治的、⾃律的規範要求• 新59条

（学術研究機関等の責務）

個⼈情報取扱事業者である学術研究機関等は、学術研究⽬的で⾏う個⼈情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を⾃ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

• 新145条

研究機関等に対する個情委の勧告命令• 新146条

学問の⾃由の尊重• 同しない適⽤除外団体（報道機関など）への情報提供については個情委は権限を⾏使

27条違反に対する監督権限あり

12

今回の研究機関に対する改正のまとめ• GDPRの⽔準に沿った改正① 研究機関も個⼈情報取扱事業者として原則は守るべし② 研究機関として国⽴、公⽴、私⽴、企業⽴を区別しない③ 研究機関の研究⽬的における同意不要へ傾斜（GDPR越えか？
要配慮個⼈情報の取得に対する同意排除も・・・疑問あり）④ 利⽤⽬的の変更も制限なく認める（GDPRと同じ）⑤ 第三者提供制限緩和（GDPRには第三者提供の概念はない）⑥ 研究機関相互の共同利⽤を広く認める• 研究機関への監督も実施する⽴場を明確化
適⽤除外団体としない⽅針・・・GDPRと同様
13

前回

令和2年チュートリアルの資料から

14

その２15

話を元へ戻して、⾜元の課題• 令和4年には、現⾏法の全⾯改正→ 2020年改正「仮名加⼯情報」などの追加→ 2021年改正「3法統合」「研究団体対応」の両改正が実施される⾒込み。
それに伴い①各種ガイドラインの発表②政令等による例外規定などの制定が実施され、内容が確定の予定。
従って、今年、令和3年3⽉から令和4年？⽉までは、現⾏法のままなので、現⾏のまま丁寧に・・・・基本はGDPRで16

2020年改正個⼈情報保護法は• 改正の視点 規制強化と情報利⽤促進• 重要改正項⽬概観
１ §２(7) 保有個⼈データの拡⼤（６か⽉制限の撤廃）
２ §22の２ 漏洩等本⼈通知義務
３ §23(2) オプトアウト規制 再度のオプトアウトは禁⽌４ §26の2 個⼈関連情報規制 関連情報取得の制限
５ §28(5) 開⽰対象拡⼤ 取得経緯などの開⽰必要に
６ §30
請求権拡⼤
必要ない場合の消去請求容認等
７ §35の２，３ 仮名加⼯情報の新設
８ §83以下 重罰化
17個⼈情報保護法の改正（2020年改正法）•「個⼈情報の保護に関する法律等の⼀部を改正する法律案」
が、令和２年６⽉５⽇に可決・成⽴し、同⽉12⽇に公布。

！

GでR
DP

個⼈情報保護委員会よりhttps://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/

令和3年改正デジタル社会整備法
個⼈情報保護法改正の施⾏も、ほぼ同時？

18

すでに適⽤された改正法法定刑の改正内容
2020年12⽉に⼀部施⾏済み19

覚えておきたい改正 その１仮名加⼯情報の機能・効果• 匿名情報よりもリッチな情報で、利⽤価値が⾼い（はず）• 個⼈情報ではないので、取り扱いが容易に①漏洩報告義務などはない②開⽰請求対応などの必要もない• 取り扱い制限①照合禁⽌明）②第三者提供の禁⽌（本⼈同意が取れない。事前に取っていた場合の移転の可否は不③安全管理措置（削除した識別情報、加⼯⽅法など）などの基本的な義務は維持

20仮名加⼯情報の範囲に注意• 仮名加⼯情報
従来 個⼈情報と匿名加⼯情報（完全に識別できない加⼯）
改正 個⼈情報＋仮名加⼯情報＋匿名加⼯情報
個⼈情報
容易に照合できる場合？

匿名加⼯情報仮名加⼯情報

弱い加⼯

加⼯の程度

強い加⼯

①仮名化＝個⼈情報に含まれる記述等の⼀部を削除したり、個⼈情報に含まれる個⼈識別符号の全部を削除することにより、他の情報と照合しない限り特定の個⼈を識別することができな
いように個⼈情報を加⼯して得られる個⼈に関する情報のこと §2（９）②他⽅で「仮名加⼯情報（個⼈情報であるものに限る）」§35の2（3）として、個⼈情報でもある仮名加⼯情報なるものを設定
21

覚えておきたい改正

その２

個⼈関連情報（クッキーなど？）について• 個⼈関連情報の新設と規制
⼤学⽣の就職のための活動について収集した関連情報（閲覧記録、閲覧時間、傾向分析などの情報）を、個⼈識別情報と関連づけて利⽤することを規制（リクナビ事件に学ぶ・・・不意打ちは認めない、ということ）• 個⼈関連情報とは・・・未定・・政令で定めるもの
個⼈情報、仮名、匿名のいずれでもないもの• 個⼈関連情報取扱事業者（プラットフォーマー等？）が、閲覧記録などを第三者（就職先企業など）に提供する場合で、第三者が個⼈データとして取得する場合の義務の新設• 上記データを取得するものは本⼈の同意を得ること
第三者（取得者）は個⼈情報取扱事業者のはず。それらの義務に加えて、同意を取ることが求められた。
22

まとめ
•

研究者が取得する情報は何か

第⼀類型（統合型プラットホーム）
事業者による囲込み前提＝研究者に個⼈情報を提供しない
プラットホームが第⼀次取得→個⼈情報との関連を削除、切断
しかし、詳細情報はそのまま→研究者には匿名情報ないし統計情報として提供

•

第⼆類型

SNSなどの場合直接取得する場合=個⼈情報の取得

クラウドソーシングの場合〇囲い込みサービス提供型

第⼀類型に類似〇直接情報提供型

SNS類似

⼤学での講義利⽤

匿名型アンケート⽅法

匿名加⼯情報実名型アンケート⽅法

個⼈情報

個⼈情報

実名型で後に識別情報消去の場合
課題：

仮名加⼯報となる利⽤するサービス内容を確認する①個⼈情報を取得するのか、否か②情報はサービサーに⾏くのか、否か・・・ゆくならばその点の同意確保⽅法の検討③保管⽅法の検討
23

WEB調査とGDPR• WEB調査の広がり（地域的制限なし）• SNSの国際性を前提に置くべき• GDPRを基本とすべき同意を前提・・・⼗分な情報提供、利⽤⽬的の明確化
同意の任意性確保、撤回の⾃由保障
適正な管理体制の確保等
24