4-41

プライバシー

海外プライバシー規制法案の動向

2寺田 眞治3●慶應義塾大学 SFC 研究所 上席所員

先進国ではプライバシー保護、新興国ではサイバー空間主権主義と国内産業振興が規制理由。事業者はEUのGDPR施行など世界的規制強化に備える計画が肝要。

4■越境データ流通とプライバシー規制

5施される。近年では、規制から積極的な利用へと国際電気通信連合（ITU）は、世界のインター政策転換し、カメラによる監視など様々な生活行ネット利用者が 2018 年内に世界人口の半分を超動を監視、収集、分析するものへと進んでいる。

えると発表した。もはやインターネットはグロー

中国では、これらの情報を元にスコアによる市民バルで生活に不可欠なインフラである。インターの管理が始まっている。

ネットが他のインフラと異なる点は、繋がってい目的が国内産業振興の場合、サービスの許認可る限り国境を越えたデータ流通が国際標準の仕様制、サーバーやデータベースの国内設置義務といで自由に行えることにあるが、近年、国や地域にう点で施策は似ているが、主たる目的は海外の産よる様々な規制が相次いでいる。インフラの整備業を国内誘致し雇用の拡大や税徴収を可能にすると保護は国家の最優先政策の１つであるため、何こと、また自国の産業が有利になるような規制やらかの干渉は避けられないが、その方向性は多様圧力をかけやすくすることにあり、東南アジアにである。自由なデータ流通を標榜する先進国にお多く見られる。

いては、規制の理由は主に「プライバシーの保護」

自国内にデータを留め置くための施策をデータであるが、新興国では「サイバー空間主権主義」ローカライゼーションというが、表向きは自国民と「国内産業振興」が主たる理由となっている。のプライバシー保護やセキュリティ対策として定「サイバー空間主権主義」とは、国家がインターめられることが一般的である。対外的な説明がしネットを管理するという考え方で、データの監視やすく、批判をかわしやすいからである。

が重要となる。中国、ロシア、軍や一党による独一方、自由なデータ流通を推進する先進国で裁的な国家などに特徴的に見られ、最初は言論統は、無秩序なデータ収集や利用によるプライバ制として現れる。フェイスブックやツイッターなシー侵害に対する懸念や批判の拡大を受けて、どの SNS やユーチューブのような動画共有、グー一定の基準を策定し、これを遵守するための制グルの検索など、国家が統制できないサービスを度の整備が急速に進んでいる。その象徴が 2018

遮断あるいは許認可制とすると同時に、検閲でき

年 5 月 25 日に EU が施行した一般データ保護規則るよう配信サーバーや利用者のデータベースを国（GDPR: General Data Protection Regulation）で内に設置することを義務付けるといった施策が実ある。ただし、EU の GDPR も、プライバシー保

インターネット白書／ ©1996-2019 Impress R&D

222

第4部

サイバーセキュリティ動向

護を謳いつつも、米国の巨大 IT 企業、いわゆるめ、より詳細な規定が必要なものについては、一GAFA（グーグル、アップル、フェイスブック、ア次法である GDPR を補完するものとして、二次法マゾン）の影響力を低下させたいという思惑があたる特別法が制定される。電子通信サービス分野ることに疑いの余地はない。

においては、GDPR を具体化し補完するものとしてePrivacy規則があり、こちらも指令から規則に■ GDPR とこれに続く ePrivacy 規則

欧州委員会が発表した「Stronger privacy rules

スを持たない我が国の事業者は、GDPR は純粋に

for electronic communications」によれば両者のプライバシー保護の側面だけで考えて問題ないだ

違いは以下のとおりである。

ろう。条文やガイドラインを満たせば基本的に問【GDPR】

題はないが、万一の場合の規制当局との交渉や問①送信手段を問わずすべての個人データが対象

い合わせ対応を円滑にするために、GDPR の根底②個人データ保護の権利を定めるに流れる思想や法体系を理解しておくことも重要③市民に新しい権利を与え、企業に新しい義務をであろう。

課す【ePrivacy 規則】①個人データであるか否かを問わず、電子通信お1980 年の経済協力開発機構（OECD）の理事会

よび端末機器上の情報の完全性は対象

勧告「プライバシー保護と個人データの国際流通②通信のプライバシーと秘密の権利を定めるについてのガイドライン」にある。これに基づき③通信を行うアプリやサービスが通信の傍受、録1995 年にデータ保護指令が制定されたが、これ音、聴取または盗聴することができないようには指令の内容について各国ごとにデータ保護に関する
ePrivacy 規則は「クッキー法」と表現されるこ

今回の指令から規則への変更により、EU 全域とがあるが、これは本質を表していない。プライ（正確にはEuropean Economic Area（EEA）：EU

バシーに限定されたものではなく、広く通信に関加盟国＋アイスランド、リヒテンシュタイン、ノ連する秘密を保護することが主たる目的である。

ルウェーの31か国）を欧州デジタル単一市場とし当初は GDPR と同時施行を目指していたが、スて推し進めるための法規制となった。また、EUテークホルダー間での調整がつかず、本稿執筆時における法体系ではプライバシーを基本的人権と点でも今後の予定は見通せていないが、骨子はほ定めた欧州基本権憲章が最上位にあり、こちらはぼ固まっているので、そう遠くないうちに成立す2000 年に公布されている。これにより、GDPRるものと思われる。

が EU 全体に適用される基本権憲章に基づくプラ
イバシーに関するデータ保護の法律となる体系が■ ePrivacy 規則の概要
指令から規則への大きな変更点の 1 つは、対象完成した。
ただし、GDPR はセクターごとの詳細を定めた者がテレコムオペレーターや ISP などの電気通信ものではなく、個人に関するデータの保護全般に事業者だけでなく、同等の電子通信サービスを提ついて基本的な要件を定めたものである。そのた

供するOver The Top（OTT）事業者に拡大したこ

インターネット白書／ ©1996-2019 Impress R&D
第4部

345

EU の理念を具体化したものであり、その源流はする法律を制定するよう定めたものである。

2

変更され、EU 全域（EEA）に適用される。

EU において市場支配的な影響力のあるサービ

GDPR はプライバシーを基本的人権と考える

1

サイバーセキュリティ動向

223

1

234とだ。Skype、WhatsApp、Facebook Messenger、

出または停止するために必要がある場合、利用者

Gmail、iMessage、Viber が例示されており、通がサービスの提供を含む特定の目的のために同話、メッセージングやメールサービスが該当す意した場合（匿名化された情報を処理する場合はる。それ以外のコンテンツや EC も対象外ではな除く）

く、EU 域内に所在する利用者の端末機器に関す【電子通信コンテンツ】

る情報の取り扱いについても対象となっており、①コンテンツの処理なしにサービスが提供できな広範なサービスや事業者が対象となる。保護されい場合に利用者が同意し、そのサービスの提供のる対象も自然人だけではなく法人に広げられてみが目的の場合いる。さらに、EU 域外の事業者であっても、EU②匿名化された情報の処理では達成できない目的内でサービスの提供や利用があれば対象となり、のために、関係するすべての利用者が同意し、監EU 内に代表者を置かなければならないとされて督当局と協議した場合
また、サービスの提供者は電子通信コンテンツいる。
適用範囲は、電子通信データの処理である。電5子通信データは、電子通信コンテンツと電子通信を受信したあと、消去するか匿名化しなければならないとしている。

メタデータに分類されて定義されている。電子通執行機関、制裁金などについては、GDPR から信コンテンツとは、テキスト、音声、ビデオ、画の一貫した制度として同様のものとなっている。

像、音声などの電子通信サービスによって交換されるコンテンツである。電子通信メタデータと■ cookie を含む端末機器の情報は、コンテンツの送信、配布、交換する目的を達

コンテンツ配信、EC、インバウンド、広告など成するために電子通信ネットワークで処理されるでEU域をサービスの対象に含んでいる事業者が、データで、宛先、デバイスの位置情報、日時や通もっとも注意しなければならないのは、端末機器

信時間、宛先の識別やトレースをするためのデーに関する情報についてであろう。端末機器の処理

タなどである。と保存機能の使用、端末機器からの情報の収集に

ePrivacy 規則の原則は、この電子通信データついて、ソフトウェアおよびハードウェアに関す（電子通信コンテンツ＋電子通信メタデータ）をるものも含めて、以下の場合を除いて処理するこ秘密としなければならないというものである。そとを禁止している。のうえで、電子通信データを取り扱うことができ①送信を行う目的のために必要な場合る条件を以下のように定めている。

②利用者が同意した場合【電子通信データ】③利用者の要求サービスの提供に必要な場合

送信の達成、セキュリティの維持または回復、伝④ウェブ視聴者測定のために必要な場合（利用者送における技術的な欠陥やエラーの検出を目的との利用サービス提供者が実行する場合）し、当該目的実施に必要な期間

また、端末機器が他の機器やネットワーク機器【電子通信メタデータ】に接続するために発信する MAC アドレスなどの別途定められた必須のサービス品質要求を満たす情報の収集も、接続の確立を目的とする必要な時必要がある場合、サービスの課金や相互接続料金間と統計情報作成以外は禁止としている。の計算と不正または濫用的な使用または購読を検端末機器に関する情報とは、cookie以外に端末

インターネット白書／ ©1996-2019 Impress R&D

224

第4部

サイバーセキュリティ動向

固有の ID や OS が発行する ID、位置情報、アプリ行はもう少し先になると思われるので慌てる必要

ケーションが取得する端末や他のアプリケーショはない。しかし、端末機器の情報、特に cookie にンの情報、例示ではフィンガープリントファイル

関しては、GDPR の解釈でも取り扱いに厳しい要（改ざん防止のための証明書の値など）も含まれ求があり、いかなる利用方法であっても、少なくており、極めて多種多様である。とも説明責任を果たす必要はあるだろう。

一般的なウェブサービスでも、cookieは必要不EU以外でも様々な動きがある。米国では2019

可欠な状況であるため、いかなる場合でも同意が年の早いうちにプライバシーに関する連邦法の草必要となると対応の負荷が高くなってしまう。し案が提出されるものとみられ、また事実上、標準

かし、ePrivacy 規則の前文 21 においてプライバ仕様を策定しているアメリカ国立標準技術研究

シー侵害が存在しないか極めて限られている場合

所（NIST: National Institute of Standards andは同意不要とあり、また前述のとおり利用者が要Technology）はプライバシーフレームワークの求したサービスの提供に必要な場合、ウェブ視聴情報提供依頼書（RFI: Request For Information）

者測定の場合は所定の通知と安全管理措置で可能を募集している。さらに 2020 年 1 月には、カとされている。このことから、ウェブフォームへリフォルニア州で消費者プライバシー法 (CCPA:の記入や EC のカート、アクセス解析などでは同California Consumer Privacy Act)が施行される。

意までは不要と見られている。一方、広告やレコ欧米以外でも中国はすでにサイバーセキュリティメンドは同意が必要と考えられる。ただし、EU法が施行されており、インドでも GDPR にデータの各機関がより強力な規制を求めているのに対しローカライゼーションを加えたような個人情報保て、産業界からは反発の声が大きく、着地点は定護に関する法案の採択が大詰めを迎えている。いまっていない。

ずれも GDPR の影響が大きく、我が国の個人情報その間に、広告業界を中心に対応も進みつつあ保護法も次の改正ではより GDPR に近いものとなる。cookie に関しての同意取得や利用者権限のることが予想されている。また、GDPR に対する付与について、インターフェイスを統一し、第三ePrivacy 規則に似たものとして、我が国には電気者提供の場合の同意の有無、利用範囲や条件を明通信事業法があるが、こちらの改正についての議示した情報を流通する仕組みが提案されている。

論も始まっており、OTTへの拡大が重要な論点と欧州インタラクティブ広告協会（IAB ヨーロッなっている。

パ）による「GDPR Transparency and Consent

2019 年は、一段と厳しい規制が世界中に拡大Framework」と呼ばれるものであり、パブリッすることから、事業者は将来を見据えたプライバシャーを中心に採用が広がっている。

シー保護の計画を経営レベルで考える必要に迫られることになるであろう。

■今後の方向性
ePrivacy規則については議論が続いており、施インターネット白書／ ©1996-2019 Impress R&D
第4部

サイバーセキュリティ動向

225

123

45

［インターネット白書 ARCHIVES］ご利用上の注意

このファイルは､ 株式会社インプレスR&D が 1996年〜 2019 年までに発行したインターネットの年鑑『インターネット白書』の誌面をPDF 化し､ ｢インターネット白書 ARCHIVES｣として以下のウェブサイトで公開しているものです。

https://IWParchives.jp/
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
●記載されている内容（技術解説、データ、URL、名称など）は発行当時のものです。
●収録されている内容は著作権法上の保護を受けています｡ 著作権はそれぞれの記事の著作者（執筆者、写真・図の作成者､ 編集部など）が保持しています。
●著作者から許諾が得られなかった著作物は掲載されていない場合があります。
●このファイルの内容を改変したり、商用目的として再利用したりすることはできません。あくま
で個人や企業の非商用利用での閲覧、複製、送信に限られます。
●収録されている内容を何らかの媒体に引用としてご利用される際は、出典として媒体名および年号、該当ページ番号、発行元（株式会社インプレスR&D）などの情報をご明記ください。
●オリジナルの発行時点では、株式会社インプレスR&D（初期は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが､ すべての情報が完全に正確であることは保証できません｡このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

お問い合わせ先│株式会社インプレス R&D│

U iwp-info@impress.co.jp│©1996-2019 Impress R&D