2017年10月18日
1　会合の概要
日時： 2017年9月28日(木) 18:00〜20:00会場：　JPNIC会議室URL： http://igcj.jp/meetings/2017/0928/
1.1参加状況
会場参加者数：32名
1.2アジェンダ
1.  EU一般データ保護規則(GDPR)と改正個人情報保護法を考える1.1 EU一般データ保護規則と改正個人情報保護法について1.1.1. GDPRの概要- GDPRとは何か1.1.2.日本における政府の取り組み-個人情報保護委員会の役割-改正個人情報保護法について- EUからの個人データ保護に関する十分性認定の状況総務省国際戦略局国際経済課矢野主1.2 ICANNにおけるGDPRへの取り組み一般社団法人日本ネットワークインフォメーションセンター/ICANN理事前村昌紀1.3 JPドメイン名における登録情報等の取り扱い株式会社日本レジストリサービス遠藤淳1.4参加者による議論2.  IGCJ MLの公開/非公開検討にあたっての整理IGCJを考える会3. AOB 3.1  Asia Pacific Internet Governance Academy (APIGA) 2017に関する報告- APIGA全体概要株式会社日本レジストリサービス高松百合-参加者による振り返り慶應義塾大学Yilai Guo京都大学金本聡子3.2  Asia Pacific Regional Internet Governance Forum (APrIGF)でのYouthに関わる活動の紹介野口明香里ヤフー株式会社
2 ロ頭での報告内容・質疑応答・議論内容
EU一般データ保護規則(GDPR)と改正個人情報保護法を考える2.1総務省の矢野氏より、資料「EU一般データ保護規則(GDPR)と改正個人情報保護法を考える」に基づき説明が行われた。その後、資料「GDPR@ICANN」に基づきJPNIC/ICANN理事の前村氏より、資料「JPドメイン名における登録情報の取り扱い」に基づきJPRSの遠藤氏よりそれぞれ説明が行われ、参加者による質疑応答および議論となった。
■十分性認定について
質問(以下: Q) GDPRはEUのデータを域外に出してはいけないということだが、EU以外の企業活動を一種制限する側面もあると思う。それについてEUと日本で合意して円滑な移転を目指していると思うが、日本としてはどのように考えているのか。回答(以下: A) 十分性認定がどういった形になるか、相互に認定するという話が出ているが具体的にどこまでの範囲でどういった内容なのか、主に個人情報保護委員会が調整していて現時点では詳細が分からない。
■ICANNの役割
Q. GDPR対応におけるICANNの役割について、ICANNと契約しているレジストリ・レジストラはICANNとの契約だけでGDPR対応が済むものではないのは説明のとおりだと思う。一方で、ドメイン名業界の組織であるICANNがGDPR対応をすると、同じ業界の他企業も、対応が楽になるという1つの事例を示せるのもICANNと思った。何か具体的に考えていることはあるのか。 A. ICANNが仕組みを整えて各事業者がそれに則ったら簡単になるところまでは考えられていない。事業者自身が様々なサービスを提供しているので、各自に責任を持った対応を期待している一方で、ICANNとの契約でそれと齟齬があってはいけないとも考えている。 ICANNのBylawsにおいても遵法的なレジストリ、レジストラ事業運営の必要性が書かれており、ICANNとしてはその実現を目指さなければならない。 Q.情報収集して、影響等の評価をしている段階ということか。 A.その通りで、同時にマルチステークホルダーでボトムアップな方針策定も重要だと考え■GDPRの罰金規定執行と、各事業者における今後の対応についてQ. GDPRは欧州域外の事業者も義務を負うという話だが、第三国の事業者が守らなかった際、どういう形でEUは罰金規定を執行するのか。命令されても無視する企業が出てきそうだが。 A.情報提供などついては個人情報保護法にも外国当局との連携という規定もあるが、実際の執行となると現時点では分かっていない。 Q.例えば国内企業がGDPRの対応をできなかった場合、EUから罰金命令されてもその支払い方法は決まっていない。さまざまな事業者がさまざまな場所で対応しなければならないが、全員が対応できるということは不可能だと思う。例えば二割の事業者が無理だった場合のコンティンジェンシープランのような対策は持っているのか。 A.どのよう場合にGDPRの違反が見つかるのかは分からない。少しでも違反したら違反者全員が見つかるという事態にはないと思うが、実際に違反が見つかったときに誰がくるのかも分からない。罰金もいくら課せられるか分かっていない。 Q.その点が非常に疑問である。域外適用はどのように違反者を見つけるのか、どのように罰金規定を執行するかが定められていないと、これに従えば得をするというインセンティプが働かない。資金的に厳しい企業は従うインセンティプはないと思って聞いていたが、そのあたりはどう考えているのか。 A.外国の例で言えば、カルテルの禁止といったEU競争法(独占禁止法)の話に近い。アプローチとしては個人情報の保護というより競争政策の方針をとっている。また個人情報の側面としては、実際にGoogleが違反をして罰金を取られた。GDPRの罰金が高額なのは、対応する費用よりも罰金が安かったら実効性がないだろうという予想が発端である。 GDPRはEUデータ保護指令の改正なので、そちらは既にEU域内である程度機能している。実際に罰金を取られている企業や自治体もあるようだ。基本的にGDPRはそれをEU域外の組織にも適用することになる。気をつけてほしい点は、EEA(欧州経済領域)域内の個人データが対象ではなく、EEA域内に『存在する人』の個人データが対象ということ。例えば、自社の社員がEEAに旅行に行き会社にデータを送った場合は対象になる場合がある。通信事業者にとっては、さまざまなデータが対象になる可能性がある。それを適切に対処しているか、またできていない場合どうしたら違反が見つかるのかという議論がある。特に事故を起こしてしまった場合、違反が見つかる可能性が高い。情報漏えい事故を起こした際、72時間以内に報告義務が明確に決められている。また、匿名化(仮名化)が適切でない場合も漏えいする事が考えられる。日本の個人情報保護法で規定されている個人情報のデータ範囲と、GDPRで考えているデータの範囲は違う。日本は電話番号、IPアドレスを個人情報として認識していないが、例えばドイツでは、ISPが持っているIPアドレスは個人データとなりうるという判決も出ている。日本のようにデータの属性で個人情報かどうかは判断せず、欧州では、利用状況に応じて同じ情報(例えばIPアドレス)でも個人情報になったりならなかったりもする。日本-EU間でのデータ移転は非対称な状態でもある。日本のデータが欧州に行くのは問題にならないが、EUのデータが日本に流れて来るのが今の大きな問題となる。今後どうなっていくのか。 2018年5月までに相互認定で何らかの落とし込みができるのは難しいと考える。いきなり日本企業を違反対象として狙うことはないと思うが、何かしらの対応をしなければならない。また、リスクを保有するという考え方もある。EUから来ていても、データによっては大きな問題がないと捉えてリスクを保有することもでき、仮に機微な情報があれば適切に対処するという対応策もある。広く一様に全てのデータを対応することはほぼ不可能であり、機微な情報があれば決められたデータを適切に確実に対処していくのがよいかと考える。
■最後に一言
前村氏: ICANNとしてもこれさえ対応すれば問題ないという答えがない中で、データ保護当局にコンタクトしながら進めていくことが多い。皆さんからもいろんな議論や情報をいただいて勉強になった。遠藤氏: ICANNはドメイン名業界全体のコーディネーションとして議論ということもあるが、ICANN自身もデータを扱う事業者としてどうするのか気になるところ。
2.2      IGCJ MLの公開/非公開検討にあたっての整理
資料「IGCJ MLの公開/非公開検討にあたっての整理」に基づき説明が行われた後、参加者との議論があった。コメント(以下:C)そもそもMLのアーカイブを公開する必要があるものなのかどうか入りロが分からない。例えばサークルのMLであれば私的な目的で集まっているので公開すべきではない。そうではないからこのような話題がでているが、前からIGCJが何のために集まっているのか、そこがないと今後この話をしても答えが出ないのではないか。継続的に私も考えていきたいと思う。 C.補足すると、考える会ができる前にMLができたという経緯があり、MLができた時点ではゆるやかに合意されたものが固まる前だった。
2.3 AOB
2.3.1  Asia Pacific Internet Governance Academy (APIGA) 2017に関する報告株式会社日本レジストリサービス 高松氏より、APIGA 2017の概要を会期中の動画を交えながら説明が行われた。慶應義塾大学のYilai氏より資料「Report on APIGA 2017」、京都大学の金本氏より資料「APIGA2017 in Seoul」に基づきAPIGA 2017の振り返りについてそれぞれ報告された後、参加者による質疑応答があった。 Q.今後はどのようにインターネットガバナンスに関わっていきたいか。 A.インターネットガバナンスといっても、私の周りのコンピュータサイエンスを専攻している学生はインターネットガバナンスを知らないので、まずは知ってもらうということが大切だと考える。 A.技術的なバックグランドを持っているわけではないが、持続可能な組織を維持するためにも新しいシステムに適用しなければならないと思う。新gTLDやIPv6のような新しい技術のプロモーションを学んでいきたい。 2.3.2 Asia Pacific Regional Internet Governance Forum (APrIGF)でのYouthに関わる活動の紹介ヤフ一株式会社の野口氏より、資料「APrIGF 2017 Bangkok登壇報告」に基づき説明が行われ、参加者による質疑応答があった。 Q.インターネットやプライバシーを題材にした子供向け絵本の製作といった台湾の国立政治大学の取り組みは、大学として取り組んでいるのか、それとも大学教授自身が企業や団体とコラボして本を出版しているのか。 A.絵本は非営利団体が出版しているので、国立政治大学が必ずしもそういう活動をしているわけではないと思われる。 2.3.3 ルートゾーンKSKロールオーバーの実施延期について2017年9月27日(PDT)にICANNがDNSのルートゾーンKSKロールオーバーに関するスケジュールを変更すると発表したことが共有された。
3 次回IGCJ 22開催予定などについて
・次回は、2017年11月30日(木) 16:15-18:45と19:00-20:30の2部構成。場所は浅草橋駅のヒューリックホール&ヒューリックカンファレンス。Internet Week 2017との同時開催を予定している。 ・IGCJを考える会メンバーは常に募集している。