個人情報・プライバシー情報等の保護
東北大学データ駆動科学・AI教育研究センター

金谷吉成

はじめに

増える個人情報漏えい事件（参考）Security NEXT（ニュースガイア）
https://www.security-next.com/category/cat191/cat25
1990年代後半以降
個人情報保護意識の高まり
情報のデジタル化・ネットワーク化
プライバシー意識の高まりとも相関2

個人情報とプライバシー情報
個人情報≠プライバシー情報
個人情報とプライバシー情報は密接な関連性を有するけれども、別のもの

個人情報
プライバシー権の保護対象となる情報

個人情報は私生活上の情報かどうかに関係なく、事実かどうかにも関係ない。
また、すでに人々が知っている情報であっても個人情報にあたり、公開を望むかどうかや公開によって個人が受ける心理的な負担の有無とも関係ない例）氏名・学籍番号が掲載された名簿は個人情報だが、必ずしもプライバシー情報とはいえない

個人情報は、個人を特定しうる情報全般が対象となるため、一般にプライバシー情報の範囲より広い
3

プライバシー権

もともとは「一人にしておかれる権利」（19世紀末）
その後、判例や法律によって次第にプライバシーの権利が認められるようになり、プライバシーの範囲も広がってきた自己情報コントロール権（20世紀半ば）
どんな自己情報が集められているかを知り、不当に使われないよう関与する権利

忘れられる権利（21世紀）
インターネット上の個人情報、プライバシー侵害情報、誹謗中傷を削除してもらう権利
4

プライバシーか個人情報か①

以下の例は、プライバシー侵害にあたるか、個人情報の公開にあたるか？
氏名、住所、電話番号を公開
病気や病歴に関する情報の公開
前科・犯罪歴を公開
手紙を公開収入や家計を公開

どんな本を購入したか、どんな本を読んでいるか、どんな講演会に参加したか、どんな政治活動に参加しているかなどの情報を公開
5

プライバシーか個人情報か②

プライバシー侵害の判断基準① 個人の私生活上の事実に関する情報② まだ社会一般の人が知らない情報③ 一般人なら公開を望まない内容の情報

本人が「知られたくない」と思うような情報はプライバシーにあたるこれに対し個人情報は、「特定の個人を識別できる情報」とされている
氏名、住所、電話番号、電子メールアドレス、顔写真、防犯カメラに記録された映像など
6

プライバシーの保護

憲法13条「すべて国民は、個人として尊重される。生命、自由及び幸福追求に対する国民の権利については、公共の福祉に反しない限り、立法その他の国政の上で、最大の尊重を必要とする。」
憲法上の幸福追求権としてプライバシーの権利が認められている

民法709条「故意又は過失によって他人の権利又は法律上保護される利益を侵害した者は、これによって生じた損害を賠償する責任を負う。」
プライバシー侵害に対しては、損害賠償が認められる
7

個人情報保護法の成立

あいまいなプライバシー概念
知られたくない情報は、社会状況や本人のおかれている環境によっても異なる情報化の進展個人情報が思わぬ使われ方をしてしまう懸念

個人情報保護法
このような懸念に対処するため、個人に関する情報の取扱いを政策的に規制することで、予想される弊害を予防し、解消する

8情報漏えい等に関する係争例

プライバシー侵害として不法行為責任に基づく損害賠償請求が認められる場合もある
企業や行政機関が保有している個人情報が、人に知られたくない情報といえるのか？
住所氏名等の基本情報は、センシティブな情報にあたらないのではないか？

判例では、プライバシー侵害が広く認められる傾向にあるといえる9

個人情報保護法成立（2003年）以前

政府の保有する個人情報
「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」（1988年制定）

民間の保有する個人情報各省庁・業界団体のガイドラインや地方自治体の条例に委ねられてきた（主に自主規制）
プライバシーマーク認定制度（1998年以降）
積極的に個人情報保護に取り組もうとする事業者を対象。そうでない事業者には効力がない
 プライバシーマーク取得済みであれば安全ということにはならない プライバシーマーク認定団体も情報漏えいを起こしている（2023年11月）
10個人情報保護法成立の背景

インターネットの普及（1990年代後半～）
公開と同時に瞬時に大規模に広まる可能性ひとたび被害が起こればその回復は困難

住民基本台帳法の改正（1999年8月）
住基ネットの議論の中で、デジタル化・ネットワーク化によるプライバシー侵害が懸念された

EU個人データ保護指令（1995年）
国際的に個人情報の強い保護が求められた※2018年5月25日には、EU個人データ保護規則（GDPR）として個人情報の取り扱いが厳格化

11個人情報保護法の内容

個人情報保護法（平成15年法律第57号）
2003年5月公布、2005年4月完全施行

個人情報取扱事業者が個人情報を取り扱う際に遵守すべき事項を定めた法律
個人情報取扱事業者は、個人情報の取得、管理、第三者移転、本人からの開示の求めの場合など、あらゆる場面で個人情報を適切に取り扱わなければならない
「個人情報だから取り扱ってはならない」という考えは誤り個人情報を効果的に活用することで、経済がうまく回ったり、私たちの生活や豊かになったり、困っている人を助けたりすることができる

12

補足：法令の調べ方

六法
憲法、行政法、民法、商法、民事訴訟法、刑法、刑事訴訟法（基本7法）
知的財産法、労働法、租税法、倒産法、経済法、国際関係法（公法系）、国際関係法（私法系）、環境法……etc.
日本で現在有効な法令の数は、憲法と法律だけで2,126、政令・府令・省令まで合わせると9,155もある。

e-Gov法令検索（デジタル庁）
https://elaws.e-gov.go.jp/
「個人情報保護法」をキーワードに検索13個人情報保護に関する法体系イメージ
民間部門
ガイドライン

公的部門（通則編・外国第三者提供編・確認記録義務編・仮名加工匿名加工情報編・認定個人情報保護団体編）

ガイドライン（行政機関等編）

個人情報保護法

個人情報保護法（4、8章：個人情報取扱事業者等の義務、罰則等）（対象：民間事業者）（5、8章：行政機関等の義務、罰則等）（対象：行政機関、独立行政法人等）

個人情報保護条例（対象：地方公共団体等）

個人情報保護法（1～3章：基本理念、国及び地方公共団体の責務・個人情報保護施策等）

個人情報の保護に関する基本方針
法令・ガイドライン等（個人情報保護委員会）
https://www.ppc.go.jp/personalinfo/legal/
14個人情報法制2000個問題
複雑な個人情報保護法制
「民間」＋「行政機関」＋「独法」＋「自治体（都道府県47、市区町村1750、広域連合等115）」
条文のばらつきが予想以上に大きい自治体によって解釈が異なる可能性
3年ごとに見直される法律と条例の乖離↓
個人情報保護法2021年改正
民間・行政機関・独法（・自治体）の個人情報保護法制を個人情報保護法に一本化（大改正）2022年4月1日施行
15ガイドライン個人情報保護委員会の定めるガイドラインの他、事業分野ごとに別途のガイドラインもあるガイドライン（通則編・外国第三者提供編・確認記録義務編・仮名加工匿名加工情報編・認定個人情報保護団体編／行政機関等編）
個人データの漏えい等の事案が発生した場合等の対応について
特定分野ガイドライン
金融関連分野ガイドライン
医療関連分野ガイドライン
情報通信関連分野ガイドライン
その他の特定分野ガイドライン等

16個人情報の3区分
 個人情報（2条1項）
 生存する個人に関する情報
 当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの
 個人識別符号（ID等）

個人情報
個人データ
保有個人データ 個人データ（16条3項）
 個人情報が検索可能なように整理されているデータ
 コンピュータで管理されたデータベー
ス情報 50音順に並べられた名簿

 保有個人データ（16条4項）
 個人データのうち、開示や内容の訂正などができる権限を持つデータ
 その存否が明らかになることにより公益その他の利益が害されるものを除く

要配慮個人情報（人種、信条、社会的身分、病歴、犯罪歴等）（2条3項）

プライバシー権の保護対象となる個人情報

17

個人情報取扱事業者（16条2項）

個人情報を取り扱う事業者をいう
以前は、個人情報を取扱う事業者すべてが対象ではなかった
過去6か月間継続して5,000件以下の個人データしかもっていなければ、個人情報保護取扱事業者から除外されていた

しかし、2015年改正個人情報保護法の施行により、5,000件要件が撤廃
個人情報を事業として扱うすべての個人情報取扱事業者に個人情報保護法が適用されることになった
小規模事業者も個人情報保護法の対象に

18

個人情報取扱事業者の義務①

目的明確化の原則
利用目的をできる限り特定しなければならない（17条）
利用目的の達成に必要な範囲を超えて取り扱ってはならな
い（18条）

利用制限の原則
本人の同意を得ずに第三者に提供してはならない（27条）

収集制限の原則
偽りその他不正の手段により取得してはならない（20条）

データの正確性の原則
正確かつ最新の内容に保つとともに、不要になったときは消去するよう努めなければならない（22条）

19

個人情報取扱事業者の義務②

安全保護の原則
安全管理のために必要かつ適切な措置を講じなければならない（23条）
従業者・委託先に対する必要かつ適切な監督を行わなければならない（24，25条）

公開の原則取得したときは利用目的を通知又は公表しなければならない（21条）
利用目的等を本人の知り得る状態に置かなければならない（32条）

個人参加の原則
本人の求めに応じて保有個人データを開示しなければならない（33条）
本人の求めに応じて訂正等を行わなければならない（34条）
本人の求めに応じて利用停止等を行わなければならない（35条）

責任の原則苦情の適切かつ迅速な処理に努めなければならない（40条）
20

OECD（経済協力開発機構）プライバシー8原則（1980年9月23日）
a

収集制限の原則

個人データの収集には制限を設けるべきである。データの収集は適法かつ公正な手段によって、できる限りデータ主体に通知または同意を得て行うべきである。

b

データの正確性の原則

個人データは、その利用目的に沿ったものであるべきである。利用目的に必要な範囲で正確・完全・最新なものに保たなければならない。

c

目的明確化の原則

収集目的は収集時より遅くない時期において明確化されなければならない。
利用は、当初の収集目的と両立する明確に規定されたものに制限すべきである。

d

利用制限の原則

個人データは明確化された目的以外に利用されるべきではない。

e

安全保護の原則

個人データは、紛失・破壊・使用・修正・開示等の危険に対し、合理的な安全保護措置により保護されなければならない。

f

公開の原則

個人データにかかる開発、実施、方針は、一般的に公開しなければならない。また、個人データの存在、種類およびその主要な利用目的とともにデータ管理者を明示する手段を容易に利用できなければならない。

g

個人参加の原則

自己に関するデータの所在を確認できるべきである。自己に関するデータについて異議申立てができ、異議が認められた場合には、そのデータを消去、修正、完全化、または補正させることができなければならない。

h

責任の原則

データ管理者は、上記諸原則を実施するための措置に従う責任を有すべきである。
21

義務に違反した場合

個人情報保護委員会が報告の徴収および立入検査（146条）、指導および助言（147条）、勧告および命令（148条）を行いうる個人情報保護委員会の命令に従わない場合（178条）
や報告に虚偽・懈怠があった場合（182条）については処罰規定がある
命令違反 ⇒ 1年以下の懲役または100万円以下の罰金
報告違反 ⇒ 50万円以下の罰金
法人等の業務に際して従業員が行った場合は、法人に対しても罰金刑が課せられる（184条）

個人情報データベース等を不正な利益を図る目的で提供、又は盗用する行為も処罰される（179条）
22

個人情報漏えいのリスク

罰金に関しては、たかだか50～100万円ということもできる（2020年改正で厳罰化）

しかし、個人情報漏えいが明らかになると、大変な痛手を被ることも多い顧客、株主、取引先からの信用失墜ブランドイメージ低下

謝罪や調査・対応にかかる費用負担
1人500円の金券やサービス券を配ったとしても、漏えい件数が100万件なら5億円にもなる

損害賠償の訴訟を起こされる可能性もある

23

まとめ

個人情報は、適正に使われれば個々の利用者のニーズにあった高度なサービスを提供する基盤となりうる
電子商取引、電子マネー、仮想通貨等
インターネット上の有料情報サービス

個人情報の利用において、個人情報漏えいやプライバシー侵害等の問題を生じないために、予防的な取組みをすべきであるとの見解もあるが、厳格に利用を制限すると、新たな技術やサービスの芽を摘んでしまう可能性もあるどのような運用で導入するかは、リスクと有用性とのバランスで検討されるべき24