プライバシー影響評価

プライバシー影響評価（プライバシーえいきょうひょうか、英語: Privacy Impact Assessment、略称：PIA（ピーアイエー））とは、個人情報の収集を伴う情報システムの企画、構築、改修にあたり、情報提供者のプライバシーへの影響を「事前」に評価し、情報システムの構築・運用を適正に行うことを促す一連のプロセスをいう。
設計段階からプライバシー保護策を織り込むことにより、「公共の利益」と「個人の権利」を両立させることを目的に実施される。また、PIAを実施することにより、情報システム稼働後のプライバシーリスクを最小限に抑えることができ、改修とそれに伴う追加費用の発生の予防にもなる。
PIAは、国際標準化委員会ISO　TC68(金融サービスの専門委員会)において2008年4月に、ISO22307(Financial services Privacy impact assessment)として標準ドキュメントが発行された。

リスクコミュニケーション

情報システムを構築する際、事前に個人情報・プライバシーに係わるリスクを、関係者（ステークホルダー）で検討し対処する必要がある。リスクコミュニケーションにより、現存するリスクの正確な情報を関係者間で共有し、相互に意思疎通を図り、合意形成を行うことができる。
PIAを実施し、その報告書を公表することは、情報システムの稼働によって発生する影響をステークホルダー（行政や事業主、情報提供者、世論・メディアなど）間で共有し、相互の利害関係を調整するリスクコミュニケーション手段といえる。

プライバシー保護に関する経緯

プライバシー権の議論には、大別して2種類ある。すなわち、伝統プライバシー権と現代的プライバシー権の2種類である。伝統的プライバシー権（または古典的プライバシー権）は、主として不法行為によって個人の平和や平穏が乱されることに対する個人の不可侵権である「ひとりにしておかれる権利」として主張されており、19世紀後半から議論が始まった。マスメディア・プライバシーとも称され、「個人の生活を公開されない権利」として認識されることが多い。
一方、1960年代頃になると、情報技術の発展によりコンピュータで大量の個人データが扱われるようになり、新たなプライバシー問題への関心、すなわち、現代的プライバシー権（またはまたは積極的プライバシー権）の議論が始まった。現代的プライバシー権とは、「自己に関する情報の流れをコントロールする権利（自己情報コントロール権）」としてプライバシー権を捉えるものであり、情報技術が発展し、個人に関するデータが大量に処理される今日において通説的な理解となっている。

プライバシー影響評価に関する経緯

プライバシー保護の必要性が高まる中、そのリスクの事前評価に対する重要性が認識されるようになり、1990年代半ばから英国法に由来するコモン・ロー（Common Law）の影響を受けたカナダ、ニュージーランド、オーストラリアなどで議論されるようになった。
Roger Clarkeらによる『A History of Privacy Impact Assessments』（2004年） によれば、PIA手法は、「環境影響評価」(Environmental Impact Assessment: EIA)と呼ばれる環境保全に関する事前評価手法や、米国連邦議会技術評価局(OTA: Office of Technology Assessment)で実施されてきた「技術評価」などをもとに考えられたものであるとしている。当初は、プライバシーコミッショナーやコンサルタント、学者などの間で議論されていたが、その後、行政機関においても議論が急速に拡大し、PIA実施のためのガイドライン等が整備された。
カナダのオンタリオ州では、1998年、新規の情報システムプロジェクトの認可において、PIAの実施報告が必要となったほか、1999年には、アルバータ州の健康情報公開法で、公共機関の健康医療分野においてPIAの実施を課した。また、連邦政府では、プロジェクトの予算認可の条件としてPIAの実施が義務付けられ、ハード・ローを補完する形で実施されている。
オーストラリアでは、行政機関および民間企業ともに、PIAの実施は義務づけられてはいないが、1987年の国民IDカード導入を契機に、1988年に連邦プライバシー法が成立し、プライバシーに対する意識が向上されている。PIAの実施例としては、1990年に政府が導入したData Matching Programに対するPIA実施を端緒として、民間部門を含む数多くの実施例がある。
その他、ニュージーランドでは、1996年から97年にかけて運転免許制度における国民の懸念に対し、PIAを奨励する政策を採った事例があるほか、香港においても、2000年に香港行政特別区のIDカードシステム導入計画において、PIAが実施されている。
米国では、2001年の同時多発テロを契機として、2004年から出入国に当たり渡航者の指紋および顔写真のデータの登録を義務付ける「US-VISIT(Visitor and Immigrant Status Indicator Technology) プログラム 」が開始された。本プログラムに対しては、2002年に成立した電子政府法および国家安全保障法を根拠としてPIAが実施された。また、米国ではPIAに関する国内規格を成立させ（ANSI/X9 X9.99-2004 - Privacy Impact Assessment Standard ）、ISOへ国際標準化の提案を行った。
ANSI/X9 X9.99-2004 - Privacy Impact Assessment Standardは、ISO TC68で標準化作業を行い、2008年4月に「ISO 22307:2008 Targets Safeguarding Privacy of Financial Data in Computer Systems」として国際規格として発行された。

プライバシー影響評価の実施

プライバシー影響評価の実施には、手順と体制の2点が必要となる。具体的には、実施手順においては、PIAのプロセスを具体的に示す法令またはガイドラインが必要となり、また、実施体制においては、PIA結果に対して中立的で専門的な評価を行う第三者機関の整備が必要となる。

PIA実施体制

実施体制については、ISO22307では独立した公共的な見地の必要性を挙げている。
PIAの実施体制は各国によってさまざまであるが、独立した公共的な見地として、中立的な評価を行う第三者機関が複数の国で設置されている。
カナダ、オーストラリア、ニュージーランドでは、プライバシーコミッショナー（Privacy Commissioner）がその役割を担っており、PIA実施についてのアドバイスや報告書の受領等を行っている。
一方、米国の政府機関では、組織内にCPO（Chief Privacy Officer）職を設置する動きが広がっており、国土安全保障省においては、国土安全保障法によってCPOの設置を義務づけている。

カナダのPIAと実施事例

カナダでは、PIA実施に関する法令は存在しないが、行政機関においては、予算承認プロセスの中にPIAの実施が組み込まれており、事実上、その実施が義務化されている。ガイドラインについては、 Treasury Board（予算審議会）が発行するほか、州単位で発行するものも存在する。PIAの実施は、評価対象となるシステムを構築・改修する組織および機関によって行われ、それに対し、連邦政府や州のプライバシーコミッショナーが第三者機関として助言を行う。PIA終了後、プライバシーコミッショナーは実施機関からの報告書の回付を受け、国民のプライバシー権を監督・擁護する立場から、その要約を公開している。なお、PIA報告書の承認自体は、PIA実施組織の責任者により行われる。
行政機関での事例としては、入国安全管理局や王立騎馬警察のシステム更新時の実施があり、また、民間部門では、Canada Health Infoway社などの実施報告がWebサイトで公開されている。

オーストラリアのPIAと実施例

オーストラリアでは、PIAはガイドラインにより、行政機関および民間企業の双方に対して実施することが推奨されている。第三者機関については、連邦プライバシー法によってプライバシーコミッショナー制度が導入されており、連邦政府および各州政府の双方にプライバシーコミッショナーが存在する。ガイドラインは、プライバシーコミッショナーが策定し発行を行っており、また、行政機関のPIA報告は公開が義務付けられている。
行政機関での実施例としては、連邦政府の司法省の文書検証サービスや、海運および航空輸送従事者チェックサービス、また、財務管理省政府情報管理局のPKIフレームワークなどがある。
民間企業では、メルボルンの電子チケットシステムなどの実施例がある。

日本におけるプライバシー影響評価の実施状況

現在、日本では、PIAの試行はあるものの正式な実施例はない。PIAの調査を最初に実施したのは総務省研究会であり、カナダの中心に調査分析したチンダルレポートが発行されている。試行例としては、公立大学法人首都大学東京産業技術大学院大学が実施した1.2006年度法務省入国管理システム、2.2009年度民間企業による認証サービスシステム、およびおよび3.産業技術大学院大学で研究開発されたドライブライブビデオシステムである。
同大学院では、2007年度開催の産学戦略的研究フォーラムにおいて、海外におけるPIAの実施調査および日本におけるPIA実施の際の課題に関する調査研究を行い 、これら成果は、書籍として発行している。また、同大学院の瀬戸洋一教授のページでは、PIAハンドブック、PIAガイドラインとともにPIA実施報告書を公開している（ http://aiit.ac.jp/master_program/isa/professor/y_seto.html ZIPファイルの「プライバシー影響評価（zipデータ：14.9MB）」に含まれる）。

PIAおよびその他の関連制度

冒頭で述べたとおり、PIAとは、個人情報の収集を伴う情報システムの導入等における、プライバシーに関する影響の事前評価プロセスであることから、個人情報保護に関連して構築された制度は、PIAと関連するものということができる。主には、プライバシーマーク制度（以下「Pマーク制度」）やISMS（情報セキュリティマネジメントシステム）適合性評価制度（以下「ISMS制度」）があるほか、個人情報の保護に関する包括的な法令である個人情報保護法制がある。
Pマーク制度は、事業者が個人情報の取扱いを適切に行う体制等を整備していることを認定するものである一方、ISMS制度は、情報セキュリティに関し、組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、計画に従い、システム運用時にISMSが確立されていることを評価する制度である。また、個人情報保護法制は、民間部門および公的部門を対象とした法律があり、いずれも個人の権利利益の保護を目的として、「利用目的の特定」や「適正な取得」といった個人情報を取り扱う上でのルールを定めている。
いずれの制度も、システム開発後における事業者または組織の運用体制に対する評価制度、あるいは法制度であり、この点が、システム開発前においてシステムそのものに対して評価を行うPIAとは大きく異なる特徴といえる。
システムライフサイクルを考慮すれば、開発段階でPIAを実施し、その後の運用段階でPマーク制度やISMS制度を活用することにより、各制度の特長を補完することができる。このため、より効果的なプライバシー保護策を実施することができる。
個人情報保護法制とPIAとの関係については、次の点を指摘することができる。すなわち、民間部門を対象とした個人情報保護法では、5,000人を超える個人情報を事業に利用する事業者（個人情報取扱事業者）に対してのみ個人情報を取り扱う上での義務を定めており、また、保護対象も個人の識別が可能な情報（個人情報）のみに限定している。しかしながら、実社会において、個人の識別が可能でない情報であっても他人に知られたくないプライバシー情報は数多く存在するものであり、また、かかるプライバシー情報を含めた情報の漏えいがひとたび発生した場合、「個人情報取扱事業者」かどうかに関係なく、被害者は損害賠償請求訴訟を起こすことが考えられる。つまり、個人情報保護法を遵守していればリスクが回避されるものでもなく、この点で、より広範に、かつ、より深くプライバシーに関する影響評価が可能なPIAを実施することは、リスク回避において有効である。