高木浩光＠自宅の日記

■ 世界から孤立は瀬戸際で回避（パーソナルデータ保護法制の行方 その14）

前回、1月5日の日記で、最後に「どうすればよいか」を書こうとしたものの、完成しないうちに急ぎ途中までで公開したところ、あれよあれよと展開し、けっきょく書くタイミングを逸してしまった。

当時は、各方面向けにいくつかのバージョンのスライド資料を作成し、パーソナルデータ関連制度担当室の担当者も出席する1月21日の研究会向けに「パーソナルデータ論点メモ（2015年1月21日）」*1を作成していた。しかし既に、正論を述べたところでどうともならない状況となっており、原案を正当化しようとするばかりで、OECDガイドラインには違反しないだの、OECDガイドラインに違反しても違法ではないだのと、「これはもうだめかもしれない」という状況だった。スライド資料を一部の産業界の方々に託すとともに、22日には一般公開して、どこかに届けばいい！と祈った。

毎日のように悪い夢にうなされながらあらゆる手を尽くしましたが、私の力では解決できませんでした。 心ある産業界の各個人の方々に今すぐアクション頂くほかありません。 この声が真の産業界の皆様に届きますように……。 https://t.co/CKAAeyM3qv

— TAKAGI, Hiromitsu (@TakagiHiromitsu) 2015, 1月 22

23日には、「ニッポンの個人情報」のあとがきの原稿締切が最終期限まで来ており、「それからどうなった」を一気に書き、次のように締めくくった。「本書が発刊される2月中旬は、ちょうど法案が閣議決定されるころだろう。あとがきを書いている今の時点ではどういう展開になるか予想できないが、利用目的変更のオプトアウト方式だけは法案から削除されていることを夢見て、今日は床に就きたいと思う。」

その後、30日の読売新聞朝刊に、若江雅子編集委員の解説が掲載された。（この解説は2月6日にはテレビでも放送された。）*2

• 個人情報保護法改正案が波紋…海外の顧客データ活用 遠のく？ 解説スペシャル, 読売新聞, 2015年1月30日
• 波紋呼ぶ個人情報保護法改正案, 日テレNEWS24, 2015年2月6日

29日には、自由民主党政務調査会の内閣部会・消費者問題調査会合同会議で、多数の消費者団体から相次いでこの「利用目的変更をオプトアウトで許す」案に反対する意見書が出たと聞く。続く2月4日には内閣部会・IT戦略特命委員会合同会議が開かれ、経済団体からの意見が出たようである。そして、2月12日に同党から「個人情報保護法改正に関する提言」が示され、「個人情報の取得後のオプトアウトによる利用目的の変更は認めないこと。」とされた。その後の報道によれば、利用目的変更オプトアウトに係る条項は完全に削除されたようであり、世界の笑いものとなる事態*3は瀬戸際で回避されたのであった。

完全にボツとなったので、もはや「どうすればよいか」は書くまでもなくなったわけだが、いったいどういうことであったのか、以下に書き留めておきたい。

どうすればよかったのか（第1、第2の策）

まず第1に、前回の「誤解1」の曖昧さを解決するために、経産省Q&Aの「Q45」が言っている、「統計データへの加工の過程を利用目的とする必要はない」とする見解を、正式にガイドライン（告示）とすればよい。

ここが取り沙汰されることは過去にあまりなかったようだが、1月30日の読売新聞の記事に、「例えば、現在、最も需要が高いと思われるのはマーケティングへの活用だが、経済産業省は「匿名化して*4統計データとして活用するのはOK」との見解を示しているし」とあるように、Q45が有効であることは経産省が認めている。（なお、前回の「誤解1」で書いたように、どんな場合でも利用目的として特定する必要がないわけではないことに注意が必要である。）

このような考え方については、昨年、朝日新聞11月19日朝刊の「耕論 ビッグデータの正体 個人データ 保護明確に」でも、「法律は企業が自社の個人データを統計に使うことを規制していません」「統計化に使うのは大いに結構」と述べていた。

朝日新聞2014年11月19日朝刊「耕論 ビッグデータの正体 個人データ 保護明確に」
朝日新聞社データベース事業部の許諾のもと転載（承諾書番号：A14-1999） ※朝日新聞社に無断で転載することを禁止する

そして第2に、前回の「誤解2」の誤解を払拭するために、「誤解2」は明らかに個人データに当たらないケースであるとして、ガイドラインに例示すればよい。

この2つで、大半の「ビッグデータ利活用」はできるようになる。というか、現行法で合法なのでやればいいいだけの話なのだが、技術と法に疎い法務が慎重すぎて障害になっている気の毒な事業者にとっては、できないことだったのだろうから、心配なくできるようになることだろう。

そもそも、このような利用目的変更を自由化する改正案が出てきた発端は、2012年11月の「経済活性化ワーキンググループ」で、経団連提出資料として出された、富士通株式会社の「ビッグデータのビジネス活用に関する規制改革要望について」の以下の要望が大元だと思われる。*5

図1: 富士通株式会社コンバージェンスサービス本部戦略企画統括部長小林午郎, 「ビッグデータのビジネス活用に関する規制改革要望について」, 規制・制度改革委員会 経済活性化ワーキンググループ第4回 経団連提出資料, 2012年11月26日

「現状」の図で、2点が障害とされていたわけだが、片方の「収集時に明示していない限り第三者に提供することはできない」とある部分は、今回の改正で、「匿名加工情報」の取り扱いとして法制化される。もう一方の「収集時に明示していない目的で利用することはできない」が、今回の大穴を開ける愚かな案へとつながったのだろう。「要望」の図には、「匿名化を行うことで…除外していただきたい」とあるが、統計化に利用するのなら、わざわざ匿名化を経る必要もなく、直接統計化すればよいだけである。

図2: 経済界のエアー要望を真に受けて大穴を開けようとした様子

統計化以外にどういう用途があるかは、前掲の朝日新聞のインタビュー記事でも述べていたように、各個人データの本人へのターゲティング利用ということになるが、その場合は、前回の「誤解3」で書いたように、新しい利用目的を掲げて新たなデータ取得を開始して、数か月程度待てばいいだけなのだから、これについては法改正もガイドラインも必要ない。

変更が禁止されている「利用目的」の概念（第3の策）

しかし、ここで「新しい利用目的を掲げて」としたが、「それこそが利用目的の変更に当たるのでは？」という疑問を持つ法務担当者もいるのだろう。これが、前回の「誤解4」である。

おさらいすると、「利用目的」の概念には「経常的に公表される利用目的」と「個別のデータの利用目的」の2つがあって、15条2項が「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない」として変更を禁止している「利用目的」は、どちらの意味なのかという問題である。

OECDガイドラインが禁止しているのは後者の「利用目的」の変更であり、個々のデータについて、そのデータの取得時点で特定していた「利用目的」を、そのデータの利用に際して維持することが求めらている。OECDガイドラインは、前者の「利用目的」の変更を禁止してはいない。

日本法の15条2項が前者の「利用目的」の変更を禁止していると解釈すると、事業者に1つの「利用目的」としている場合には、新しいサービスを開始しようにも、既存の顧客の全員の同意がないとできないことになり、確かに困ったことになる。

いくらなんでもそんな解釈をしている事業者はいないのではないか？という疑問があるかもしれないが、例えば、ソフトバンクモバイル株式会社の経常的公表文書「電気通信事業等における個人情報の取り扱いについて」に興味深い記述がある。改訂履歴を見ると、2013年4月1日の改訂で、「利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行わないものとします。」という条項が書き加えられている。なぜ2013年4月に今さらこんな説明を追加するのか、不自然だ。

図3: ソフトバンクモバイル社のプライバシーポリシーの改訂履歴

そもそも個人情報保護法の規定を逐一プライバシーポリシーで繰り返す必要性がないわけだが、わざわざこれをこの時期に書き足すということは、社内で何らかの議論があってこのルールが意識されたのだろう。可能性として、同社において、15条2項の規定を「経常的に公表される利用目的」の変更禁止だと解釈したのではないか。実際、プライバシーポリシーの改訂ぶりを見ると、「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲」の小ぶりな改訂ばかりとなっている。もしや、このような改訂しかできないことに社内で不満が渦巻いていたのではないか。

であれば、どうすればいいかは、15条2項の「利用目的」が後者の意味である（OECDガイドラインと同じ趣旨である）ことをガイドラインで明確化すればよい。これが第3の策である。

ちなみに、前回の日記を書いた時点では、落とし所をどうするかについて、大綱で利用目的変更オプトアウトの制度を入れることにしたからには、何らかの形で入れたことにしなくてはいけないのだろうと思っていたので、15条2項の「利用目的」を前者の意味と捉えた上で、オプトアウトでの変更を認める改正にしてはどうか、という提案をスライド資料に書いていた。

図4: 当初考えていた「修正提案」

図の1段目の太い矢印は「経常的に公表される利用目的」であり、2段目と3段目の細い矢印は「個別のデータの利用目的」である。

骨子案は、15条2項で禁止されている変更は「個別のデータの利用目的」の方であると解釈した上で、それをオプトアウト方式で変更可能にしようというものであり、5本並ぶ赤い矢印のうち最初の2本がその変更をした状況を表しており、黄色の部分で示したように「OECDガイドラインに違反」となってしまうものであった。

そこで、大綱の意味を、15条2項で禁止されている変更は「経常的に公表される利用目的」の方であり、この禁止をオプトアウト方式で解除する（1段目の矢印の色変更）ものだということにして*6、加えて、「個別のデータの利用目的」の変更に制限を設けて*7、OECDガイドラインに準拠させる（3段目の矢印は途中で色変更がない）という案を考えたのだった。

これで大綱に従ったことにできるわけだが、実は、これでは規制強化になってしまうとも言える。「経常的に公表される利用目的」の意味で変更禁止だと思っている事業者からすれば、オプトアウト方式であってもその変更できるようになって嬉しいのだろうが、「個別のデータの利用目的」の意味で変更禁止だと思っている事業者からすれば、「経常的に公表される利用目的」の変更は元より自由であり、オプトアウト手段の提供が義務になるなら、重大な規制強化ということになる。

このような落とし所を考えていたところ、自民党修正によってバッサリ削除となったので、こんな面倒な辻褄合わせは不要となった。OECDガイドライン違反を回避できたし、重大な規制強化も避けられたことになる。単に、15条2項の「利用目的」が「個別のデータの利用目的」の意味であることをガイドラインで明確化するだけでよい。

ただし、これには保護派の立場からすると異論があるかもしれない。プライバシーポリシーを大幅に変更してよいのかという問題である。つまり、OECDガイドラインに準拠して実際の「個別のデータの利用目的」を取得時の利用目的で維持するにしても、「経常的に公表される利用目的」を予告なく、本人同意もなく、変更してしまってよいのか。例えば、ポータルサイトの利用をこれから開始しようとする人が、アカウント作成時にプライバシーポリシーを読んで、納得して登録し、ログインしたとして、その後、そのポータルサイトを使い続けているうちに、いつの間にか「経常的に公表される利用目的」が変更されて、それ以降に自動取得される個人データについて、新しい利用目的で利用されていくときに、本人は、毎日プライバシーポリシーを確認するわけではないのだから、気づかないことになってしまう。

たしかにこの問題はあるのだが、現行法が、利用目的は公表で足りるとしている以上、そういうものだと言わざるを得ない。そもそも、本人の与り知らぬところで個人データを収集（間接取得）されても合法（例えば名簿屋がこれに当たる）なのが現行法である。それぞれに独自の利用目的を掲げる事業者が次々と登場して、個人データを間接取得してそれぞれの利用目的で利用することは、現行法では合法である。

パーソナルデータ検討会でも、これに関連する論点が出てはいた。第10回で、情報経済課の提案が示された後、森委員から、取得の規制と目的外利用の規制が不均衡だから、目的外利用の規制を下げてもいいとの発言があり、議事要旨では以下のようになっている。*8

（森委員）
やはり3回前にお時間をいただき、取得の規制と目的外利用の規制ということでお話をさせていただいた。不均衡になっているのではないかということである。取得の際には、利用目的を特定する、明示する、通知、公表とある。取得について本人が何か言えるか。嫌だと言えるかというと言えないので、その取得する企業の利用目的で利用されてしまう。それに対して、目的外利用のときは、既に持っている事業者については目的を変えようとすると嫌だと言える。これはいかにも不均衡であり、取得のほうは、例えばプライバシーマークなど一部では、取得についてもできるときには、可能なときには同意をとりなさいとなっているが、その取得の際の規制を強化すべきであるという声が余り聞こえてこないことからすると、目的外利用のほうの規制を下げてもいい。

今回の先ほどの経産省のご説明はそういう趣旨なのかなと思うが、それも一定の合理性があるだろうと思う。特に、オプトアウトにするということは一考の余地があるかと思う。

第10回パーソナルデータに関する検討会 議事要旨

これを傍聴していたときは、「はあ？ 何が不均衡なんだかわからない。利用目的の方を緩めるよりも、取得の方を強めるのが先では？」という程度の感想しか持たなかったが、12月になって、前記の通り「利用目的」には2つの概念があることを整理してからは、この「不均衡」の意味が腹に落ちるようになった。

つまり、森委員のこのときの発言が、「経常的に公表される利用目的」の方を指して「利用目的」としているならば、名簿屋のような事業者が次々と新しく現れてそれぞれに自由な利用目的を掲げて取得を開始できるのに、真っ当な事業者が一度決めた利用目的を変更できないというのは、まさに「不均衡」そのものであると言え、腹に落ちる*9。一度決めた利用目的を変更できないなら新しい会社を作って利用目的を決めるという話になりかねない。

しかし、前記の通り、15条2項の「利用目的」はOECDガイドラインと同じく「個別のデータの利用目的」の方だ、という決着なので、そのような意味での不均衡はない。取得時に表示していた利用目的は、新しく現れる名簿屋であっても、そのデータについては維持しなければならない。

この意味からも、利用目的変更をオプトアウトで認めるという案に妥当性はなかった。

その一方で、15条2項の「利用目的」を「個別のデータの利用目的」と捉えたことによって、前記の「保護派の立場からすると異論」のあるものになっているわけだが、これは、利用目的を本人に知らせる手段について、現行法がザルすぎるという別の問題と捉えるべきである。

現行法は、「本人に通知し、又は公表しなければならない」としており、「通知」と「公表」を同列にしている。「公表」はWebサイトに一度掲載するだけでも足りるとされているので、怠惰にやろうとする事業者や、利用者に気づかれないようにしたいと企む事業者からすれば、誰も「通知」など選択せず「公表」で済ますだろう。ここに現行法の修正すべき欠陥がある。

今回の改正で、「利用目的」の変更禁止は「経常的に公表される利用目的」のことではありませんよということを明確にし、ガイドライン化するのであれば、その代わりとして、利用目的を本人に知らせる手段についても見直すという道が考えられたが、それはこの段階では到底無理だった。次の改正以降でこの点も検討していくべきだろう。

legitimate interests からの要請（第4の策）

これらをまとめて、以下の図5を作成した。青の矢印は「元々適法」なもの、緑の矢印は「部分的に適法」であり、それで困らないもの、赤の矢印は「本質的に不可」であり、委託で目的を達成するなり匿名加工情報の取り扱い制度で達成するべきものである。

図5: 多方面からの要請の整理

残る橙色の矢印「要改正」は、前回の日記の時点では想定していなかったもので、1月15日頃に書き足した。

気になっていたのは、昨年11月28日の日経コンピュータ主催の「プライバシーSummit Japan」で、ヤフーの別所直哉社長室長のご講演を拝聴したところ、中身スッカスカで何一つ意味のある話がなかった*10ところ、最後の5分ほどで要するに何が必要かの話がようやく出てきて、その中にEUデータ保護指令の「legitimate interests」のことがチラっとだけ出ていた点であった。もっとも、それも、「legitimate interests をやっていきます！」みたいな説明しかなく、何をおっしゃりたいのかはわからなかった。また、翌月12月18日の「JIPDEC感謝の集い」に出席したときにも、ヤフーの宮田洋輔さん*11がいらしたので、「利用目的変更のオプトアウトって正気じゃないでしょ？どういうつもりなの？」と話しかけたところ、「EUで言う legitimate interests でしょ？」とだけ言われていた*12のが気になっていた。

EUデータ保護指令の所謂「legitimate interests」とは、第7条の最後に規定された、例外規定とも言える(f)のことである。（以下の日本語訳は、堀部政男研究室仮訳より。）

SECTION II

CRITERIA FOR MAKING DATA PROCESSING LEGITIMATE

Article 7

Member States shall provide that personal data may be processed only if:
構成国は、次の条件を満たす場合にのみ、個人データが取り扱われるように定めなければならない。

(a) the data subject has unambiguously given his consent; or
データ主体が明確に同意を与えた場合、又は、

（略）

(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by the third party or parties to whom the data are disclosed, except where such interests are overridden by the interests for fundamental rights and freedoms of the data subject which require protection under Article 1 (1).
管理者又はデータの開示を受ける第三者若しくは当事者の正当な利益のために取扱いが必要な場合。ただし、これらの利益より、第1条第1項の規定に基づいて保護が必要とされるデータ主体の基本的な権利及び自由に関する利益が優先する場合には、この限りではない。

Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data

この規定は、事業者の正当な利益という曖昧な要件と、「保護が必要とされるデータ主体の基本的な権利及び自由に関する利益が優先する場合」というこれまた抽象的な要件で構成されているので、どういう場合がそうなのかがはっきりしていない。そのため、2014年4月に、EUデータ保護指令第29条作業部会が、「WP 217 - Opinion 06/2014 on the "Notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC」との意見書を出していた。

その後、考えてみるに、ヤフーのプライバシーポリシーを見ると、たしかに、どうでもいい利用目的（そんなこと書かなくても当たり前でしょう？という利用目的）がいっぱい書かれており、こういうのを逐一書く義務があって、書き忘れたら最後、本人同意を取り直さないと書き加えられないというのでは、さすがに難儀だな、というのは理解できる。

そういうケースは利用目的変更の検討に入れる必要があると考え、図5に「�ァ廚瑠�色の矢印を書き加えた。�イ寮睫瀬好薀ぅ匹楼焚爾里發里任△襦�

図6: EU指令における legitimate interests に依拠できる/できない例

WP 217にはたくさんの例示があるが、一つの象徴的なケースをここに挙げておいた。宣伝文を送りつけるという利用目的が、関連商品を単純に案内する程度なら(f)に該当するという。これに倣って、日本法においても、この程度の利用目的であれば、目的外利用してもよいとするか、利用目的の変更を認めるとすることが考えられる。

しかし、ここの例示にあるように、医薬品販売サイトがWeb閲覧履歴から顧客プロファイルを作成してそれに基づいて健康食品などをすすめるメールを送る場合は、legitimate interests に依拠できない、つまり、本人同意などの原則が適用されるとされているわけで、当然ながら、どんな場合でも目的外利用OK、利用目的変更OK、なわけではない。

したがって、現行法に�イ隆囘世�らの手当が必要なのは理解できるものの、このために、原案のような無条件の全面的な大穴を開けるのは、全くのお門違いである。

事務局は、12月下旬の時点で、一部の検討会委員に、「第三者提供は除くことにするが、それでどうか」という打診をしていたと耳にした。つまり、「第三者提供しない」から「第三者提供する」への典型的な騙し討ち変更は認めず、それ以外の利用目的変更についてオプトアウト方式で認める制度にするというのである。だが、前掲のWP 217の検討例を見ても、EUでは、プロファイリングに基づいて行われる処理をプライバシー保護の必要性とみなしているのであるから、第三者提供だけが問題なのではない。1月30日の読売新聞の解説記事でも、「検査のために自分の遺伝子情報を提供したつもりが、いつの間にか広告に使われ、遺伝子から予測される病気にあわせた健康食品の勧誘がくるようになったら……」というケースが問題点として指摘されていた。

図7: 第三者提供だけ除外すればいいというものではないことの説明

本当に必要だったもの

以上をまとめると、けっきょく本当に必要だったものは、丸ごとの大穴ではなく、必要十分な小穴達だったわけである。

図8: 本当に必要だったものはいくつかの小穴だった

�イ硫魴茲里燭瓩法△匹里茲Δ碧＿�正をすればいいのかは、私からはノーアイデアだったが、報道によれば、自民党修正により、15条2項の「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない」の、「相当の関連性」から「相当の」が削られることになったとされている。

• 個人情報保護法:改正案「原案」本人同意なし転用を撤回, 毎日新聞, 2015年2月18日

  一方、現行法では、個人情報を契約当初の目的以外に利用することができる場合について、本人が同意した利用目的と「相当の関連性」がある場合と規定している。原案では、この文言のうち「相当の」を削除することを盛り込んだ。契約当初の利用目的と大きく離れていない範囲内で、本人の同意なしでの目的外利用を容易にすることが狙い。経済界の意向に配慮した。

なるほどー。なるほどだが、これで足りるのかは今後の検討課題となりそうである。

こうして、ここには書けない沢山の方々がそれぞれご尽力いただいたことで、この問題はどうにかギリギリで大事に至らずに済んだ。しかし、利用目的変更オプトアウトという大穴を無理やり捩じ込み続けた情報経済課と別所直哉ヤフー社長室長らは、一切こうした議論を我々とすることはなかった。

こうした議論は本来、日頃からやっておくべきことだろう。産業界は本当に必要なことは何なのかを提示し、我々はどうすれば問題なくできるかを提示する。そして困難があれば、どこに改正の必要があるか一緒に追求していく。そういう姿勢が今の経済界には見られない。