修士論文発表

デジタル時代のプライバシーに係るルール整備の提案

2021年8月21日

後藤研究室
Ｍ２ 上條英夫

問題意識と研究の題材
修論テーマ「デジタル時代のプライバシーに係るルール整備の提案」
 基本的な問題意識
デジタル技術を活用した新たな利用分野では、民間主導で自主ルールが策定・運用されることが望ましいとされているが、民間主導の自主ルールで利用者のプライバシーは確保できるのか、確保できないとしたらどういった取り組みが有効なのか
デジタル時代のプライバシーの懸念
企業でのデー
タの取扱い

研究の題材

国や行政のデジタル化

認識なく自己に関する情報が収集・利用される懸念

デジタル技術進展の影響
国際的なデータ流通など第三者からのデータ取得
AIプロファイリング
1

論文構成
修論テーマ
「デジタル時代のプライバシーに係るルール整備の提案」
第1 章 はじめに
1.1 研究の背景と目的
1.2 研究の対象
1.2.1 プライバシーをどう捉えるか
1.2.2 プライバシー保護と個人情報保護の関係
1.2.3 本研究で対象とするプライバシーの課題
1.3 本研究の構成第2 章 デジタル時代におけるプライバシーの課題
2.1 第三者からのデータ取得
2.1.1 第三者からのデータ取得の懸念事項
2.1.2 GAFA プライバシーポリシーにおける対応
2.2 AI プロファイリング
2.2.1 AI プロファイリングに関する懸念事項
2.2.2 AI に関する各種ガイドライン
2.2.3 GAFA プライバシーポリシー等における対応
2.3 小括
第3 章 解決策に関する考察
3.1 技術的な取り組み
3.1.1 Do Not Track
3.1.2 ナッジ
3.1.3 直感的告知

3.2 日米欧法規制とGAFA の対応
3.2.1 データ取得に関する法規制
3.2.2 AI プロファイリングに関する法規制
3.2.3 各国法規制の違いにGAFA はどう対応しているか
3.3 小括
第4 章 さらなるルール化に向けた考察
4.1 ルールの類型化とその特徴
4.2 GDPR における規制のあり方
4.2.1 「情報の非対称性」「法による明確なルール化の困難性」
から見たGDPR
4.2.2 GDPR における対応
4.3 小括
第5 章 「ガバナンスとマルチステークホルダーによる実施基準に基づく規制」の提案
5.1 ガバナンスとマルチステークホルダーによる実施基準に基づく規制
5.2 当規制手法の評価
5.2.1 本研究における課題との適合評価
5.2.2 当規制手法における課題
第6 章 まとめ
第7 章 おわりに参考文献
外部発表
付録

2

研究の概要課題■プライバシーポリ
シーを見て、利用者が自分のデータの扱い（第三者からの取得、AIプロファイリング）を理解しコントロールすることは難しい

日本向けGAFAプラ
イバシーポリシー調
査

解決策の考察■技術的取組による解決
・従来、技術的取組は普及していない
・GDPRにより技術的取組が進展しつつある
・ルール整備により技術的取組の進展が期待できる■規制による解決
・規制内容の違いにより企業の対応が異なる
・ルール整備により課題への対応を企業に促すことが可能

・DNT等技術的取組調査
・GDPRと英国向けGAFA
プライバシーポリシー調査

ルール整備の方向性提案■ルール整備として「ガバナンスとマルチステークホルダーによる実施基準に基づく規制」を提案

ルールの類型化とその特徴を考察
・ハードローとしてのGDPR
・マルチステークホルダーによる基準設定の有効性
3

GAFAプライバシーポリシー調査

4

GAFAプライバシーポリシー分析
結果による課題
認識なく自己に関する情報が収集・利用される懸念 第三者からのデータ取得
 Cookie等の技術を用いた第三者からのデータ取得について利用者は簡単には理解できない
 プライバシーポリシーに第三者サイトからデータが取得されることが記載されても、第三者サイトを訪れた利用者はそれを認識できない AIプロファイリング
 プロファイリング実施の目的（ 「パーソナライズしたサービス・広告の提供のため」等）の記載があるのみで、プロファイリング自体を拒否したり、プロファイリング結果に異議を唱えたりする方法の記載はない
5

GAFAプライバシーポリシー分析
結果による課題
認識なく自己に関する情報が収集・利用される懸念 第三者からのデータ取得
 Cookie等の技術を用いた第三者からのデータ取得について利用者は簡単には理解できない

プライバシーポリシーに第三者サイトからデータが取得されること
 プライバシーポリシーを見て、利用者が自分のデータが記載されても、第三者サイトを訪れた利用者はそれを認識できなの扱い（第三者からの取得、AIプロファイリング）をい理解し、コントロールすることは難しい

 AIプロファイリング
 プロファイリング実施の目的（ 「パーソナライズしたサービス・広告の提供のため」等）の記載があるのみで、プロファイリング自体を拒否したり、プロファイリング結果に異議を唱えたりする方法の記載はない
6

第三者からの取得を技術的にコントロールする取り組み●Do Not Track(*)(*1)利用者が自身のウェブの閲覧行動を追跡（トラッキング）されることを望まない
場合に、トラッキングの拒否をウェブサービス提供者等に伝えるブラウザ上の仕組み

 2012年米国FTCが提案、2014年米国政府が推奨し、米国の連邦レベルでいくつかの法案が提出されたが、現時点で成立には至っていない
 実態としても利用は広がっていない●直感的告知(**)(**)第三者により情報が取得されているとき、たとえば画面上にアバターが現れるな
ど、これを直感的に警告する方法

 人々がよりよい行動を選ぶよう促すナッジの考え方に基づく「直感的告知」の仕組みが2012年に提案されたが、必ずしも普及していない●サードパーティCookie等のデフォルト制限
 Appleは2020年Safari制限済み、2021年に新iOSでトラッキング用広告識別子（IDFA）を制限、 Google Chromeは2023年後半制限予定
 これらはGDPRのサードパーティクッキー規制等の動向を踏まえたもの7

第三者からの取得を技術的にコントロールする取り組み●Do Not Track(*)(*1)利用者が自身のウェブの閲覧行動を追跡（トラッキング）されることを望まない
場合に、トラッキングの拒否をウェブサービス提供者等に伝えるブラウザ上の仕組み

 米国行政府が推奨（2014年）し、米国の連邦レベルでいくつかの法案が提
従来、技術的取り組みは十分広がっていない
出されたが、現時点で成立には至っていない
 実態としても利用は広がっていない●直感的告知(**)

GDPRにより技術的取り組みが進展(**)第三者により情報が取得されているとき、たとえば画面上にアバターが現れるな
ど、これを直感的に警告する方法

 人々がよりよい行動を選ぶよう促すナッジの考え方に基づく「直感的告知」の仕組みが2012年に提案されたが、必ずしも普及していない
日本でもルール整備により技術的取り組みの進展が期待できる●サードパーティCookie等のデフォルト制限
 Google Chromeは2023年後半制限予定、Appleは2021年に新iOSでトラッキング用広告識別子（IDFA）を制限
 これらはGDPRのサードパーティクッキー規制等の動向を踏まえたもの
8規制内容の違いによる企業行動の差
 規制内容の違いにより企業の対応が異なる
 ルール整備により課題への対応を企業に促すことが可能
日本
法律

個人情報保護法

規制対象の個人 特定の個人を識別できない情報の範囲情報（Cookie、IPアドレス、RFID等）は対象外

欧州
欧州一般データ保護規則（GDPR）
識別されるあらゆる情報（Cookie、IPアドレス、RFID等も含む）が対象

個人データ処理の適法化根拠

原則、利用目的の通知・公表 適法化根拠（本人同意、契約、法的義務、生命を行えばよい保護、公共利益、適法な利益のいずれか）が必
要

本人同意

包括的・黙示的同意も可

本人同意の撤回 規定なし（訂正、利用停止請
求は限定的）
プロファイリング規制規定なし同意要件を厳格に規定（自由な同意、特定された同意、事前説明を受けた同意、不明瞭ではない表示に基づく同意、肯定的行為による同意をすべて満たすこと）
いつでも同意の撤回が可能
異議申立権、自動処理のみに基づき重要な決定を下されない権利を保障

9

規制内容の違いへのGAFA対応
 Amazonの例
EU諸国・英国のトップページにアクセスすると、まずCookie設定が求められる（日米では求められない）

UK

①

10

規制内容の違いへのGAFA対応
 Amazonの例
EU諸国・英国のトップページにアクセスすると、まずCookie設定が求められる（日米では求められない）

UK

欧州ではCookieが規制の対象であるため、Cookie に関する設定が求められる規制内容によって企業は技術的な対応を変える①

11

規制内容の違いへのGAFA対応
 Amazonの例
https://www.amazon.co.jp/gp/help/customer/display.html?nodeId=201909010

https://www.amazon.co.uk/gp/help/customer/display.html?nodeId=GX7NJQ4ZB8MHFRNJ

②

日本

UK

12

規制内容の違いへのGAFA対応
 Amazonの例
https://www.amazon.co.jp/gp/help/customer/display.html?nodeId=201909010

https://www.amazon.co.uk/gp/help/customer/display.html?nodeId=GX7NJQ4ZB8MHFRNJ

英国版には
 同意はいつでも撤回できること
 個人データ処理に対する異議、制限申し立てができることが明記されている

③

日本

UK

13

規制内容の違いへのGAFA対応
 Amazonの例
https://www.amazon.co.jp/gp/help/customer/display.html?nodeId=201909010

https://www.amazon.co.uk/gp/help/customer/display.html?nodeId=GX7NJQ4ZB8MHFRNJ

英国版プライバシーポリシーは日本版とは以下が異なる

 包括的同意による同意とはされていない
 いつでも同意の撤回が可能
 個人データ処理に関する異議・制限の申立て可能③
規制内容によって企業は日本
プライバシーポリシー対応を変えるUK

14

 ルール整備により技術的取組の進展が期待できる
 ルール整備により課題への対応を企業に促すことが可能

日本において一層のルール整備によりプライバシーの課題解決を図るルール整備をどういう方向性で行うか？
15

ルール整備の類型化とその特徴「ソフトローの基礎理論」を元に加工

ルール形成／執行

国家が執行しない

国家以外が形成する

カテゴリー１
カテゴリー３
社会規範、企業倫理、CSR等 会計基準、商慣習法等

国家が形成する

カテゴリー２
労働法上の努力義務規定等●カテゴリー１

国家が執行する

カテゴリー４
ハードロー

自発的な純然たる私的規範、自主規制

自主規制グループへの参加企業が多様な場合や数が多い場合、複雑なサービスや高度な内部情報を必要とする場合、実効性確保が難●カテゴリー２

努力義務

実効性を求めるものでなく、検討対象外●カテゴリー３

法が私人による規範形成を前提

社会的に最適な水準をマルチステークホルダーで定め、違反時には国家による法の執行が予定されているという規制方法●カテゴリー４

ハードロー（通達、ガイドライン等ソフトローが補完するケースを含む）

規制が硬直化・画一化する、企業と利用者・法執行者間の情報の非対称性が大きい場合、実効性の確保が課題

16

ルール整備の類型化とその特徴「ソフトローの基礎理論」を元に加工

ルール形成／執行国家が執行しない国家が執行する国家以外が形成する

カテゴリー１
カテゴリー３ カテゴリー４：ハードロー
社会規範、企業倫理、CSR等 会計基準、商慣習法等⇒ 工夫が必要！！
国家が形成する
カテゴリー２
カテゴリー４
工夫① 画一的判断が難しく、技術進展への迅速・柔軟な対応
労働法上の努力義務規定等 ハードローが必要なデジタル関連プライバシー分野への対応●カテゴリー１ 自発的な純然たる私的規範、自主規制
工夫②
情報の非対称性が大きいデジタル関連プライバシー分
自主規制グループへの参加企業が多様な場合や数が多い場合、複雑なサービ野で実効性を伴った強制力を持たせること
スや高度な内部情報を必要とする場合、実効性確保が難⇒ GDPRの工夫を確認●カテゴリー２

努力義務実効性を求めるものでなく、検討対象外

 カテゴリー3：社会的に最適な水準をマルチステークホ●カテゴリー３
法が私人による規範形成を前提

ルダーで設定社会的な最適水準をマルチステークホルダーで定め、違反時には国家による法の執行が予定されているという規制方法⇒ 画一的判断が難しく、技術進展への迅速・柔軟な対応が必
要なデジタル関連プライバシー分野に有効ではないか？
●カテゴリー４
ハードロー（通達、ガイドライン等ソフトローが補完するケースを含む）⇒ 会計基準のアナロジーとしてのプライバシー基準（試案）

規制が硬直化・画一化する、企業と利用者・法執行者間の情報の非対称性が大きい場合、実効性の確保が課題

17

カテゴリー４：ハードローとしてのGDPRの工夫 工夫① 「規制の硬直化・画一化」（法による明確なルール化の困難性）への対応⇒ リスクベースのガバナンス体制の構築・運用を要求（データ保護バイデザイン・バイデフォルト、データ保護影響評価、データ保護責任者の設置、監督機関との事前協議等）

 工夫② 「情報の非対称性」への対応⇒ 高額な制裁金をはじめとする制度上の仕組みをハードロー
で規定 （完全独立な監督機関設置、利用者への救済措置、第三者認証等）

 さらなる工夫③ 違反行為を未然に防ぎ、規制に実効性を持たせるインセンティブ⇒ ガバナンス体制を構築・運用していた場合には、制裁金の減免を明文化
18

カテゴリー４：ハードローとしてのGDPRの工夫 工夫① 「規制の硬直化・画一化」（法による明確なルール化の困難性）への対応⇒ リスクベースのガバナンス体制の構築・運用を要求（データ保護バイデザイン・バイデフォルト、データ保護影響評価、データ保護責任
GDPRは、厳格なペナルティとその減免でガバナンス体
者の設置、監督機関との事前協議等）制構築を促すことで、「規制の硬直化、画一化」「情報の非対称性」を克服しようとしていると言える 工夫② 「情報の非対称性」への対応
高額な制裁金をはじめとする制度上の仕組みをハードローで
ただし、リスクベースのガバナンス体制構築であり、ル規定 （完全独立な監督機関設置、利用者への救済措置、第三者認証等）
ールの不確定性が残る
 工夫③ 違反行為を未然に防ぎ、規制に実効性を持たせるインセンティブ⇒ ガバナンス体制を構築・運用していた場合には、制裁金の減免を明文化
19

カテゴリー３：マルチステークホルダーによる基準設定が有効ではないか
法律

アナロジーとしてのプライバシー基準概要（試案）

会計基準

個人情報保護法： 「プライバシーに関するデータ処理は、一般に公正妥当と認められるプライバシーに関する実施基準に従う」ことを新たに規定

 会社法： 「会社の会計は一般に公正妥当と認められる企業会計の慣行に従う」
 金融商品取引法： （財務関係書類は）「一般に公正妥当であると認められるところに従って･･･作成」

基準を法律に プライバシーの画一的判断の難しさ、技 会計実務の多様性、経済変化への迅速・柔軟な対応
術進展への迅速・柔軟な対応の必要性 の必要性 など
しない理由「一般に公正妥当な基準」

プライバシーに関する実施基準を新たに設定

企業会計原則会計基準 など

基準の設定
主体

基準の設定主体を新たに形成、必要に応じて業界団体等

企業会計基準委員会 （民間の「財務会計基準機構」内の委員会）

設定主体の主な役割

 一般に公正妥当と認められるプライバシー基準開発
 国際的なプライバシー基準整備への貢献

 一般に公正妥当と認められる会計基準開発
 国際的な会計基準整備への貢献

設定主体の構成

マルチステークホルダーで構成 企業の代表者
 消費者の代表者
 学識経験者

企業会計基準委員会：マルチステークホルダーで構成 企業の代表者（財務諸表作成の立場）
 投資家・債権者の代表者（財務諸表利用の立場）
 公認会計士の代表者（監査の立場）
 学識経験者

20

ルール整備の方向性の提案「ガバナンスとマルチステークホルダーによる実施基準の組合せ」で規制●考え方 重いペナルティとガバナンス体制の整備・運用によるペナルティの減免という「ガバナンスによる規制」でルールの実効性を確保（カテゴリー４）

 「マルチステークホルダーで策定する実施基準」により、ルールの不確定性排除、適切な水準を確保（カテゴリー３）
たとえば、
 法にルールの基本的な枠組みを規定（プライバシー保護の基本原則、利用者の権利、求めるガバナンス体制、違反時の罰則とガバナンス体制整備・運用による減免、詳細は「実施基準」によること等） 実施基準は、ガバナンス体制の整備・運用に係る具体的な内容・水準を定めるために、マルチステークホルダーが関与した組織で策定し、短いサイクルで改定を実施

21

提案の課題への適合 ルール整備の方向性提案
 ガバナンスとマルチステークホルダーによる実施基準に基づ
く規制 上記ルール整備により
 課題解決のための技術的取組の促進 課題への対応を企業に促す

 本研究で取り上げた以下の課題の解決
 プライバシーポリシーを見て、利用者が自分のデータの扱い（第三者からの取得、AIプロファイリング）を理解し、コントロールすることは難しい

22

さらなる検討が必要な項目
 当規制手法適合の範囲
当研究は第三者からのデータ取得、AI プロファイリングに焦点⇒ その他の分野に関して当規制手法が有効かどうかは別途検討
要 マルチステークホルダーによる合意形成
実施基準の策定において、利害が対立しマルチステークホルダーの合意形成が容易に進まないようなケースへの対応⇒ 国が一定の役割を担うことが考えられる
 既存の法体系との整合性
ペナルティ強化の一環としての課徴金制度は、「我が国法体系特有の制約がある」とされる⇒ 今後の検討項目
23

外部発表●情報処理学会 第83回全国大会(2021/03/18) オンライン開催【実施済み】「デジタル時代におけるプロファイリングの課題と規制の方向性」発表●FIT2021 第20回情報科学技術フォーラム(2021/08/27) オンライン開催「デジタル時代におけるプライバシーに係るルール整備の提案」

24

ありがとうございました

25