動向と論点パーソナルデータの利用拡大策をめぐる個人情報保護法の全面見直しについて、官邸のIT戦略本部は昨年12月19日、改訂の「骨子」を発表しました(現在開会中の国会で改正案を提出)。骨子ではパーソナルデータのうち、氏名や住所を削除するなどして個人に結びつけることができないよう加工したデータについて、本人の同意がなくても第三者に提供したり、取得時の目的以外に利用することができるとする方針を示しています。改正案は、膨大な個人情報を「ビッグデータ」として企業などが活用する際の基本指針となりますが、昨年6月に有識者の検討を「大綱」にまとめた段階から未だに、主要論点の詰めや根拠が示されていない点も目立ちます。規則で定める」としており、匿名化や識別性についての肝心な議論が先送りされた形となっています。あたり、情報の活用や流通に対する委縮の動きや、管理・プライバシー面での過剰反応も予想されます。事業者としては、今回の検討・改正により、消費者のプライバシー保護と情報の安全性を確保しつつ、パーソナルデータの利活用を現在より進めやすくする環境が整備されることが望まれます。※本日(2015年2月18日)、2月16日に開催されたIT総合戦略本部のマイナンバー等分科会で、個人情報保護法と行政手続き番号法(マイナンバー制度)の改正案の概要を公表したとの報道(朝日新聞など)がありました。報道によれば、2014年12月のパーソナルデータ検討会で示された骨子案の「個人情報の定義の拡充」が、「個人情報の定義の明確化(身体的特徴や個人に発行される符号などが該当)」に、「利用目的の制限の緩和」は、「利用目的の変更を可能とする規定の整備」に変更されたとしています。企業が個人にオプトアウト(利用停止)の手段を用意すれば一定の条件で目的外利用ができる、とした骨子案の文言は削除されたということです。今回のレポートは、昨年12月の骨子案をもとに作成しておりますが、最新の原案や骨子案からの変更点、審議の進捗等につきましては、あらためて「情報セキュリティトピックス」にて取り上げたいと思います。個人向け販売やサービス提供などで発行される番号などを政令で定め、保護対象に組み入れるとしています。して本人同意なく外部提供できる仕組みを導入するとしています。※2014年1月21日、ヤフーは記者説明会を開催し、ビッグデータ活用を推進する立場から、骨子に対する懸念点として同社が考える「成長戦略としてのプライバシー保護のあり方」について、「現在の制度見直し方針案にはデータを活用している事業者の意見が反映されておらず、データ利活用の過剰な規制はビッグデータ関連ビジネスの足かせとなり、日本のIT産業を衰退させる恐れがある」と警戒しています。新たなデータ活用サービスに柔軟に対応できるように利用目的変更手続きを緩和し、取得時に変更の可能性を通知・公表しておけば、同意なく変更が可能となるとしています。骨子では、条件付きで事前同意なく利用目的を変更できる条件として、次の4つを挙げています。現行法の規定は取得時に利用目的を通知・公表、また変更には同意が必要ですが、現在の上記4項目の内容では具体性を欠き、解釈や消費者の捉え方によっては、想定外の利用拡大に対する懸念を生む可能性があります。Suica乗降履歴販売問題では、特定個人を識別することが可能なデータであったと考えられる以上、本人の同意またはオプトアウト手続きをせずに第三者に提供したことは、法令違反ではないかという問題提起がなされました(また、一般消費者からは、「知らないうちに、勝手に・・・」「なんだか気持ち悪い・・・」との声が多く挙がりました)。その他にも、読売新聞は「利用目的の制限緩和」について、今改正の大きな目的の一つだった「欧州連合(EU)の十分性認定問題」の解決が、危うくなってきたと報じています。「個人データの保護措置が十分」と認めた国にしか域内の個人情報の移転を許していませんが、日本は未認定のままです。このため、日本企業は個別の契約を結ぶなどしないと、欧州の子会社から本社に従業員名簿を送ることさえ出来ません。データが国を超えて活用されるケースが増えていますが、EUではデータ保護指令により域内の個人データについては「十分なレベルの保護措置を確保している国」以外、原則として移転を認めていません。データ移転を希望する国はEUに「十分性」を審査して、認定してもらう必要があります。EUでは1995年に分野横断的な個人情報保護に関する規制「個人データ保護指令」が施行され、また、2002年には「e-プライバシー指令」が施行され、2009年に改正されています。電子通信部門に関する個人データ保護指令の特則となっており、EU各国はこれらをベースに独自の法律を制定しています。現在、スイス、カナダ、アルゼンチン、ガンジー島、マン島、ジャージー島、フェロー諸島、アンドラ、イスラエル、ウルグアイ、ニュージーランドの11カ国・地域が認定されています(旧植民地、タックスヘイブン:租税回避地といった特徴があります)。米国は認定されていませんが、セーフハーバー協定で十分性認定を受けて企業レベルでの移転を可能にしています。これは、セーフハーバー原則を遵守すると自己宣言する米国企業に対して、「十分なレベルの保護」を行っていることを認めるという協定です。米国のIT企業では、Google、Amazon、Salesforce.com、Facebook、Microsoft、Appleなどが宣言しています。(具体的には、企業が当該規制遵守を自己宣言し、米国商務省が認証、企業名を「セーフハーバーリスト」に公示。違反企業は連邦取引委員会(FTC)が不公正取引として制裁する仕組みで運用されています。)これにより、米国のクラウドベンダーはEUの個人データの移転が可能となるわけですが、日本企業は米国商務省の認証を得られませんので不可ということになります。米国のこのセーフハーバー・スキームは、米国商務省が中心となりセーフハーバー原則と呼ぶ自主規制を策定しEUとの交渉で認めさせたという経緯があり、米国の戦略的な外交・ロビー活動を背景として政治的な妥協によって生み出されたとしています。一方で、米国の自主規制の枠組みはEUの産業界や市民から批判の的となっており、セーフハーバーの認証制度や自主規制の改善が重要事項として位置付けられています。昨年には、EUと米国の首脳会談において、共同声明の中でセーフハーバーの見直しに言及しています。セーフハーバーは理想的なモデルではなく、米国以外のセーフハーバー締結は極めて非現実的であるのが現実だということです。EUからプライバシー保護が十分であるとは認められていないため、事業者は特別な契約をEU構成国の第三者機関と交わさない限り、EU市民のパーソナルデータを、日本のサーバーに保存することができません。厳しいEUのパーソナルデータ保護制度のうち、データ越境移転に係る規制は、日本にとって、EUとの交易に直接的に関わってくる長年の懸案事項となっています。EUのデータ保護指令による第三国移転に関する条項では、EU域内の管理者からEU域外(第三国)の管理者又は処理者への個人データ移転は以下の場合に限って可能であるとしています。Clauses)に基づいた契約を締結するか、全ての従業員に説明して書面で了承をもらう必要があるなど日本企業は、欧州子会社の従業員や顧客のデータでさえ、個別に契約手続きなどを行わなければデータを移せないということです。)を日本に移転して分析・活用したい場合にも制限があり、十分性認定がない現在の状態でのEUからのデータ移転については、データ保護指令に違反し、罰金などのペナルティを科されるリスクがあるため注意が必要です。ルール違反には最大1億ユーロ、または世界売上高の5%という高額の罰金が科されるということも留意する必要があります。対する不正利益目的の提供罪の導入です。「個人情報データベース提供罪」を設け、名簿業者の従業員などが個人情報を不正な手段で取得し、不正な目的で第三者に提供した場合は処罰対象とするとしています。して取得時に本人同意を求め、それがない場合は、第三者提供を禁止としています。現行の個人情報保護法には、個人のプライバシーに大きく影響するともいえる、いわゆる機微情報を特に保護する規定はありませんが、実務面では、JISQ15001:2006で、上記のような機微情報の取り扱いを原則取得禁止としていたように改正法でも同様の取り扱いが導入されることになっています。公表しなければならないとしています。業務をすることとなります。強力な権限・機能が付与されること以下のように明示されています。対する権限・機能(認定、認定取り消し、報告徴収、命令)を有することとする。