2015年01月05日
■ 利用目的の変更自由化で世界から孤立へ（パーソナルデータ保護法制の行方 その13）
目次
日本の個人情報保護法はOECDプライバシーガイドライン非準拠へ
12月19日のパーソナルデータ検討会第13回会合で、個人情報保護法の改正法案の骨子（案）が示された。
- 個人情報の保護に関する法律の一部を改正する法律案（仮称）の骨子（案）, 内閣官房IT総合戦略室 パーソナルデータ関連制度担当室, 2014年12月19日
この6頁に示されている 2.��(2)「利用目的の制限の緩和」は、オプトアウト方式で利用目的の自由な変更を許すようにするという改正案である。
2. 適切な規律の下で個人情報等の有用性を確保するための規定の整備��
(2) 利用目的の制限の緩和
個人情報取扱事業者は、個人情報を取得する際に本人に利用目的を変更することがある旨を通知し、又は公表した場合において、次の事項を、個人情報保護委員会規則で定めるところにより、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、利用目的の変更をすることができることとする。
(ア) 変更後の利用目的
(イ) 変更に係る個人情報の項目
(ウ) 本人の求めに応じて変更後の利用目的による取扱いを停止すること及び本人の求めを受け付ける方法この場合において、個人情報保護委員会は、その内容を公表しなければならないこととする。
※本人への通知方法や本人が容易に知りうる状態が不適切な場合には、勧告・命令。個人情報の保護に関する法律の一部を改正する法律案（仮称）の骨子（案）, 内閣官房IT総合戦略室 パーソナルデータ関連制度担当室, 2014年12月19日
この案に対して、12月19日の会合を欠席せざるを得なかった新保委員から、この改正をすると「OECDプライバシーガイドラインに適合しなくなる」との意見*1が文書で提出された。
OECDプライバシーガイドラインの「利用制限の原則」は、利用目的以外の目的での利用について、「本人同意」を原則としている。よって、利用目的の特定を義務づけ、目的外利用にあたって本人同意を原則とする現行の個人情報保護法第16条はOECDガイドラインに適合している。
一方、法16条の目的外利用にあたっての本人同意原則の変更を伴わない場合であっても、利用目的に矛盾しない範囲で利用目的の達成に必要な範囲内での利用を前提とするOECDプライバシーガイドラインの目的明確化の原則に照らし、利用目的を変更するにあたって、法15条2項が定める「合理的に認められる範囲」を超えた変更であってもオプトアウトによる「利用目的の変更」を認める手続は、OECDプライバシーガイドラインをはじめとする国際的な個人情報・プライバシー保護に関する規範には見られない手続である。
また、OECDガイドラインでは、利用目的を変更した場合、その適用は変更した時点以降に取得したデータに限られ、変更前に取得したデータには変更前の利用目的が適用されると解している。したがって、変更前に取得したデータについても変更後の利用目的を適用することをオプトアウトで認める手続きは、OECDプライバシーガイドライン の「目的明確化の原則」及び「利用制限の原則」に適合しない。
さらに、法15条2項の規定についても、「相当の関連性を有すると合理的に認められる範囲」での利用目的の変更が可能であることに関し、諸外国の制度と比較すると適切な規定とは言えないとのグリーンリーフ教授による指摘もなされている。
【グリーンリーフ教授による大綱に関するパブコメ意見】
3. Japan already has very weak limitations on both change of use (to 'duly related' uses) and disclosure to third parties (an 'opt out' procedure - see PIPA art.23). The proposal to have an 'opt out' for any change of use without need to directly notify individuals (a notification to the DPA and publication may suffice) is not found in any other country's law, will reduce consumer protection, and may not comply with the OECD Guidelines.
新保史生, パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）に関する意見, 第13回 パーソナルデータに関する検討会 参考資料6
OECDプライバシーガイドラインの8原則は、「目的明確化の原則」と「利用制限の原則」で次のように規定している。*2
9. The purposes for which personal data are collected should be specified not later than at the time of data collection and the subsequent use limited to the fulfillment of those purposes or such others as are not incompatible with those purposes and as are specified on each occasion of change of purpose.
9. 収集される個人データの目的はその収集の時点以前に特定されるべきであり、その後の利用は、それらの目的及びその他それらの目的に矛盾せずかつ目的の変更が生じる毎に特定されたものの達成に限定されるべきである。*3
10. Personal data should not be disclosed, made available or otherwise used for purposes other than those specified in accordance with Paragraph 9 except:
a) with the consent of the data subject; or
b) by the authority of law.10. 個人データは、第9項により特定された目的以外の目的のために開示すること、利用可能な状態に置くこと又はその他の方法で利用すべきではない。ただし、以下の場合はこの限りではない。
a) データ主体の同意がある場合、又は
b) 法令に基づく場合。
この規定は1980年の版からあったもの（条文も同一）であり、日本の個人情報保護法の15条と16条はこの9項と10項を具体化したものとなっている。
OECDガイドラインの「それらの目的に矛盾せずかつ目的の変更が生じる毎に特定されたものの達成に限定されるべき」は、日本法では、15条2項の「利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない」と16条1項の「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」のセットで対応しているのだろう*4。
しかし、日本法の15条と16条は、OECDガイドラインにはある「目的はその収集の時点以前に特定するべき」「その後の利用は」といった取得時点との時間的前後関係を示すニュアンスが落ちており、この点が問題となる。
OECDガイドラインは、個人データを取得する時点に着目し、取得した後でそれの利用目的を変更することがあっても、それは元の利用目的にincompatibleでないものであることを前提としており、日本法は15条2項「利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない」でこれに対応している。それなのに、今回の法改正骨子案は、この「相当の関連性を有すると合理的に認められる範囲」を超える利用目的変更をオプトアウト方式で許そうというものであるから、日本は今からOECDガイドラインに違反しに行こうとしていることになる。
法改正骨子案は、オプトアウト方式による利用目的変更を、「個人情報を取得する際に本人に利用目的を変更することがある旨を通知し、又は公表した場合」に限っているが、「通知」に限定しておらず「公表」でも足りるとしている（このような選択肢であれば、誰もが楽にできる「公表」で済ますのは目に見えている）ことから、本人の知らないところでいつのまにか利用目的を一方的に変更されているという事態が生じ得るし、そもそも、このようなルールになれば、ほとんどの事業者が（用がなくても）こぞって皆「利用目的を変更することがある旨を公表」するようになるであろうから、この限定は実質的に意味をなさないものとなるのが目に見えている。
大綱に盛り込まれた経緯（情報経済課が終盤で突然提案）
利用目的の変更をオプトアウト方式で認めるとする案は、大綱の事務局案が取りまとめられる直前の第10回パーソナルデータ検討会で突然出てきた。提案してきたのは、経済産業省の情報経済課であった。
私も傍聴して現場を見ていたのだが、この回は「【資料4-2】これまでの議論を踏まえた論点整理表」に沿って委員が議論するのがメインだったが、その「論点整理表」の13頁で「<調整中【P】>」と朱書きされた部分について、情報経済課からこの資料の説明があった。この資料は「（参考資料6）」とあるように、事務局案の形をとっておらず、この段階で初めて出てきた情報経済課の一意見にすぎないかのように見えたし、複数の案が表形式で整理されているだけでどれにするという具体的提案がなかった。そのためか、この参考資料に関する議論はわずかしか行われていない（第10回議事要旨）。
ところが、次の第11回で示された「大綱（事務局案）」にこの提案がスルっと入っていたのだった。
III 基本的な制度の枠組みとこれを補完する民間の自主的な取組の活用
1 基本的な制度の枠組みに関する規律
(3) 個人情報の取扱いに関する見直し�� パーソナルデータの持つ多角的な価値を、適時かつ柔軟に活用できる環境を整備するため、本人が意図しない目的でデータが利用されることのないよう配慮しつつ、利用目的の変更時の手続を見直すこととする。
例えば、利用目的を変更する際、新たな利用目的による利活用を望まない場合に本人が申し出ることができる仕組みを設けて本人に知らせることで、利用目的の変更を拒まない者のパーソナルデータに限って変更後の利用目的を適用する等、具体的な措置については、情報の性質等に留意しつつ、引き続き検討することとする。
【資料1】パーソナルデータの利活用に関する制度改正大綱（事務局案）, 第11回パーソナルデータに関する検討会, 2014年6月9日
このような不意打ちに対し、全国地域婦人団体連絡協議会（地婦連）は、一週間後の16日にこれに反対する声明を発表している。
- パーソナルデータの利活用に関する制度改正大綱（事務局案）に対する意見, 全国地域婦人団体連絡協議会, 2014年6月16日
2. 第3 III 2(3)�◆嵳�用目的の変更時の手続きの見直し」について、オプトアウト機会の提供により本人同意のない利用目的変更を可能とするという例示は、極めて不適切なものであり、かつ検討会において論議がされているとはいえず、大綱より削除すべきです。手続きの見直しについても、「本人が意図しない目的でデータが利用されることのないよう」にする具体的な歯止めを明示するべきです。
（略）
1）検討会でほぼ議論がないまま大綱に突然挿入されたものであるため
本項目は第10回検討会（平成26年5月29日）に経済産業省から提出された「利用目的変更時における本人手続の見直し」を元にしていると思われますが、このような案は制度見直し方針以前を含め第10回までに全く議論されていなかったものであり、第10回に突然、経済産業省から提案されたもので、時間が限られておりほとんど議論されていません。明らかに議論が不足しており、第11回で出た反対意見に対する事務局の説明もありません。
2）既に目的外利用の潜脱事例が現れているため
経済産業省所管事業者において、ログインIDを共通化しポイントを統合することをうたって利用者にID連携の登録をさせ、そのときには「現時点ではショッピング履歴などの共有・統合は行われない」「インターネット上の行動履歴などの情報を提供することは現時点で計画していない」などと記者会見等で述べていたにもかかわらず、その1年後に突如プライバシーポリシーを一方的に変更して、オプトアウト方式で履歴情報を第三者提供しようという行動をする者が現れています。大綱で目的外利用をオプトアウトで認めれば、同様の「騙し討ち」事例が増加するのは自明であり、到底、適切に運用されることが担保される立法事実があるとは思われません。むしろ、このような事実から、利用目的の変更を本人の同意なく行なってはならないとすべき立法事実があると言えます。
3）経済産業省の従来の取り組みと矛盾しているため
（略）4) 大綱案における「制度の国際的な調和」の観点と矛盾するため
（略）5）大綱案の「個人が特定される可能性を低減したデータの取扱い」と矛盾するため
（略）
これを受けてギリギリの交渉が行われたのか、大綱案は修正され、12回で提示された「検討会案」では前掲部分が以下のように追記（強調部分）されたものとなっていた。
III 基本的な制度の枠組みとこれを補完する民間の自主的な取組の活用
1 基本的な制度の枠組みに関する規律
(3) 個人情報の取扱いに関する見直し�▲僉璽愁淵襯如璽燭了�つ多角的な価値を、適時かつ柔軟に活用できる環境を整備するため、本人の意に反する目的でデータが利用されることのないよう配慮しつつ、利用目的の変更時の手続を見直すこととする。
例えば、利用目的を変更する際、本人が十分に認知できる手続を工夫しつつ、新たな利用目的による利活用を望まない場合に本人が申し出ることができる仕組みを設けて本人に知らせることで、利用目的の変更を拒まない者のパーソナルデータに限って変更後の利用目的を適用するなど、具体的な措置については、情報の性質等に留意しつつ、引き続き検討することとする。なお、検討に当たっては、本人が十分に認知できない方法で、個人情報を取得する際に特定した利用目的から大きく異なる利用目的に変更することとならないよう、実効的な規律を導入することとする。
【資料1】パーソナルデータの利活用に関する制度改正大綱（検討会案）, 第12回パーソナルデータに関する検討会, 2014年6月19日
そして大綱決定から半年、この間、この部分は結局どのようになるだろうかと一抹の不安はあったものの、さすがに無茶な案は良識ある内閣法制局が認めないから、ひどいことにはならないだろうと楽観視していた。
ところが、12月19日になってようやく1回限りで開かれた第13回検討会で示された法改正骨子案は、先の通りのものであり、なんら工夫のないものが出てきたのである。
この点について、第13回検討会で、地婦連の長田委員は、以下の意見書を提出した上で、大綱案を修正したときの約束「個人情報を取得する際に特定した利用目的から大きく異なる利用目的に変更することとならないよう、実効的な規律を導入する」が達成されていないではないかと事務局を追求した。
- （参考資料７）長田委員意見書（長田委員提出資料）, 第13回パーソナルデータに関する検討会, 2014年12月19日
全地婦連は第12回に提出した意見書で、利用目的変更時の手続きの見直しについて、オプトアウト機会の提供により本人の同意なく変更できるようにする措置の導入には反対しました。これを受けて大綱の事務局案に修正が入り、検討会案では、「本人が十分に認知できない方法で、個人情報を取得する際に特定した利用目的から大きく異なる利用目的に変更することとならないよう、実効的な規律を導入する。」との条件が付けられました。そこで、この条件を達成する法案になったのか確認させてください。
変更した利用目的は、変更前に取得したデータに遡及して適用できるのかを明らかにしてください。つまり、制度改正後に、あらかじめ利用目的の変更がありうる旨通知又は公表した上で取得したデータを、その後利用目的を変更した後で、変更後の目的で利用することは認められるのか否か。端的にお答えください。
事務局は、長田委員のこの端的な質問については、モゴモゴして明瞭な回答をしなかった（と傍聴していて見えた）が、約束が違うではないかとの指摘、つまり、「個人情報を取得する際に特定した利用目的から大きく異なる利用目的に変更することとならないよう」という条件が達成されていないではないかとする指摘に対しては、以下のような趣旨のことを答え、反論した。
「大綱案の修正の際に委員がどのように受け取られたかは知らないが、大綱に書かれている文は、『本人が十分に認知できない方法で、個人情報を取得する際に特定した利用目的から大きく異なる利用目的に変更することとならないよう、』であるから、前段をクリアしていれば、後段がクリアされていなくても、全体としてクリアされたことになる。」
つまり、「本人が十分に認知できない方法で変更することととならないよう」は、オプトアウト方式で達成できているというのである。このオプトアウト方式の現行法との違い（23条2項の第三者提供のオプトアウト手続きとの違い）は、本人が容易に知り得る状態に置く方法を「個人情報保護委員会規則で定めるところにより」とした点と、個人情報保護委員会に届け出ることとし個人情報保護委員会が公表するとした点だけである。
また、長田委員は、取得時に「第三者提供しない」とされていたものが後に「第三者提供する」にオプトアウト方式で変更されてしまうことの問題（騙し討ち行為の横行）についても改めて指摘していたが、回答はなかった。
なぜこんなことになってしまったのか。
検討会の初回からの流れを振り返ってみると、第1回の「検討すべき論点」に、「利用目的の拡大、第三者提供におけるオプトアウトの可否」などどと軽く触れられており*5、今になって見返せば、当初から論点として予定されていたことが窺えるものの、当時にこれを読んだときは、「利用目的の拡大」と「第三者提供におけるオプトアウト」の可否をそれぞれ検討する話と読めたのか、まさか、利用目的変更をオプトアウトでOKとする案が出てくるとは予想だにしなかった。皆がそうだったのか、その後の回の議事要旨を確認すると、第4回で地婦連の長田委員が利用目的関係に触れるところ*6まで、誰も話題にしていない。
第4回で長田委員が触れた「見直し方針（事務局案）」の該当部分を見ると、以下の書きぶりになっている。
II パーソナルデータの利活用に関する制度見直しの方向性
1.ビッグデータ時代におけるパーソナルデータ利活用の実態に即した見直し・共同利用やオプトアウトなど第三者提供の例外措置の要件の明確化、利用目的の事後的な拡大を可能とするための手続きの整備等の検討を行う。
III パーソナルデータの利活用に関する制度見直し事項
4.プライバシー保護等に配慮した情報の利用・流通のために実現すべき事項
＜プライバシーに配慮したパーソナルデータの適正利用・流通のための手続き等の在り方＞
利用目的の拡大にあたって事業者が取るべき手続きや第三者提供における本人同意原則の例外規定（オプトアウト、共同利用等）の在り方について検討するとともに、パーソナルデータ取得時におけるルールの充実（同意取得手続きの標準化等）について検討する。【資料4】パーソナルデータの利活用に関する制度見直し方針（事務局案）, 第4回パーソナルデータに関する検討会, 2013年11月22日
これを見ると、「オプトアウト」は「第三者提供における本人同意原則の例外規定」の一つとして書かれているように読める（現行法23条のことを単に指しているように見える）わけで、まさかこれが、「利用目的の拡大にあたって事業者が取るべき手続き」として「オプトアウト」を検討するというふうには誰も読まなかっただろう。そのためか、誰もこれを警戒する人はいなかった。議事要旨を見ても、第10回に情報経済課が突然「参考資料」で提案を出してくるまで、誰もこの点に触れていない。
必要性のない緩和策を理由もなく進めている疑い
そもそも、どういう必要性があってこのような改正が進められているのか。第10回の情報経済課の提案資料を見ると、次のことが理由として示されている。
一方で、情報利活用に係る技術の進歩によって、大量の多種多様なデータの蓄積、分析等が可能になり、データそのものが持つ多角的な価値を、経済社会の発展に活かしていくことが求められるようになってきている。このような状況においては、取得時には予想もしなかったような目的によるデータの利活用により、新たな価値を創造していくような事業者の取組は、本人のプライバシー保護に配慮しつつ、制度的に後押ししていくことが望ましい。
実際、企業実態によっては、新たな価値を生み出すデータの中心が、多くの顧客から得た大量のデータになっていく中で、利用目的の変更に関し、本人に確認しようにも事後的に本人にアクセスすることが困難であったり、新たなサービスの成功可能性も不確かな中で、現状のサービスの継続すら困難になるほどに手続面でのコストがかかったりするために、せっかくのアイディアの具体化を断念せざるを得ないとの懸念がしばしば示される。
このような状況の下、新たな可能性を切り開こうとする事業者においては、現状の制度の枠組みを前提とすれば、取得時にできる限り包括的に利用目的を提示することへの強い動機をもつようになることは想像に難くない。少なからぬ事業者が、新たな発展の可能性を追求しようとすればするほどこういった動機を持たざるを得なくなっていくとしたならば、「自らのどのような情報が、どのように扱われるのか、本人が承知した上でサービス等の利用を開始できるようにすることで、予期しない本人の権利利益の侵害の発生を未然に防ぐ」という個人情報保護法の趣旨を危うくするものであり、本人のプライバシー保護の観点から望ましいものではない。
（参考資料6）利用目的変更時における本人意思確認手続の見直し（経済産業省提出資料）, 第10回パーソナルデータ検討会, 2014年5月29日
つまり、以下の3点だという。
- �．咼奪哀如璽浸�代では「取得時には予想もしなかったような目的によるデータの利活用」が必要とされるから。
- �∨椰容碓佞鯑世茲Δ砲癲嵋椰佑縫▲�セスすることが困難」又は「手続面でのコストがかかったりする」から。
- ��この規制のせいで事業者は取得時の利用目的を「包括的」な曖昧なものにしてしまうから。
しかしどうだろうか。これらは単に誤解に基づいて言われているだけのように思えてならない。次の4つの誤解があるように思う。
- 誤解1「統計化に使用することも利用目的として特定し通知又は公表しなくてはならない」という誤解
- 多くの事業者が、プライバシーポリシー等において、取得する個人情報の利用目的として、「統計化して新商品開発のための参考情報とする」といった項目を列記している実態があるが、もしこれが法的に必須であるとするならば、確かに、後からこうした目的を追加するのに本人同意が必要というのではビッグデータ利活用が著しく阻害される……という話は理解できる。
しかし、個人情報保護法の要請としては、統計化の入力としてデータを用いる処理は個人データの利用に当たらないことが、経産省ガイドラインQ&A（「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」等に関するQ&A」）のQ45で、以下のように明記されている。
Q45 A事業で取得した個人情報を、個人が特定できない情報に加工して、B事業の統計データとして利用する場合、B事業についても利用目的として特定する必要はありますか。
A 利用目的の特定は、個人情報を対象とするため、個人情報に該当しない統計データは対象となりません。また、最終的な利用目的を特定すれば足りますので、統計データへの加工の過程を利用目的とする必要はありません。(2007.3.30)
正直、私も1年半前まではこれを知らず、統計化への利用も利用目的とするものだと、その必要性を考えることなく漠然とそう思っていたが、言われてみれば、その必要性があるようには思えず、今ではこれに納得している。*7
ただ、本当にそうなのか？と、このことに違和感を持つ人は少なくないかもしれない。
一つには、今日、スマホのアプリで利用者情報を取得する際、取得する情報の種類を利用者に明示し、その利用目的も明示することが求められている*8ことからすれば、統計化に使うだけだからといって、利用目的を書かないで済ますことが許されるようには感じられないだろう。だが、これは、利用者情報の取得を、利用者が実行するコンピュータプログラムで自動的に行わせる場合であるため、刑法168条の2「不正指令電磁的記録に関する罪」が言うところの「不正指令電磁的記録の供用」に当たらないために必要とされている面もある*9からであり、必ずしも個人情報保護法制からの要請ではない。*10
もう一つには、統計化に使用することだけが目的でそれ以外の目的が存在しない場合には、プライバシーポリシー等で公表すべき利用目的が「無し」ということになるので、さすがにそれは変だと思える。だが、通常、特に取得する情報に氏名・連絡先情報が含まれる場合には、何かしら統計化以外の利用目的があるはずだから、それをプライバシーポリシー等で公表することになるので、そこに統計化に使うことを示さないとしても「変だ」ということにはならない。
つまり、本来の個人情報の利用目的がまずあって、そこに副次的な用途として統計化への使用があるとしても、本来の利用目的さえ通知又は公表していれば、副次的な統計化への使用は利用目的として特定し通知又は公表することをしない（省略する）というのは個人情報保護法上は適法だということであり*11、ビッグデータの統計情報としての利活用は、もともと現行法でも阻害されていないのである。
ただし、自社で統計化するのが前提である。最終的な成果物が統計情報だからといって、他の事業者で統計化するのに使えるよう個人データを提供するのは、提供元の事業者においては個人データの利用（第三者提供）であって、利用目的として特定し通知又は公表する義務がある。JR東日本がSuica乗車履歴を日立に提供して違法だと問題になった件は、まさにこれに当たる。このような場合は、委託（23条4項1号）の形で行えば適法であり*12、委託元が責任を持って実施するからには、自社で統計化するのと同然であり、統計化への入力を利用目的とする必要はない*13ことになる。
- 誤解2「POSデータの流用ができない」という誤解
- このような誤解をする人は少ないはずとは思うが、例えば、個人データとして蓄積された商品販売記録（POSデータ）があって、そこから取り出した、商品単位あるいは販売単位の記録データ（つまり、個人単位でリストになっていないバラバラのデータ）を第三者に提供することが、個人データの利用に当たるという誤解があるのではないか。これは、第7回のパーソナルデータ検討会で示された事務局資料からも窺える。
この図が表しているデータ分析は、「鮭弁とプリンは同時に購入される確率が高い（都内の40代男性で）」というものだから、同じ人物の継続した購入履歴を見ているわけではなく、単発の販売記録の集計で同時に何が購入されたかを数えているだけであるから、個人データの利用に当たらない。利用しているのは店舗側の販売記録であって、客個人のデータではない。ここに「都内40代男性」という情報が加わると個人データであるかのように感じる人もいるだろうが、これも、それ単体は個人データではない。
このようなデータ分析に用いるための、図中で「第三者提供」と書かれた部分のデータは、k-匿名性で評価して十分に匿名化されているデータと言える場合が多いだろう。特殊な商品を販売しないコンビニ等での記録では特にそうだ。その場合も、提供するデータが個人データに該当しないのであるから（2014年4月23日の日記「現行法の理解（パーソナルデータ保護法制の行方 その2）の「5. k-匿名性の法的位置付け」参照）、統計化への使用と同様、利用目的を特定し通知又は公表する個人情報保護法上の義務はない。
なお、ここで注意しておきたいのは、図中で「プリンをレコメンド」とある部分が、誰に向かってのレコメンドなのか。もしこれが、元の「購買履歴A」の「Aさん」のことを指していて、Aさんの履歴分析に基づいたターゲティングであるなら、話は別（次項のケースに該当する）であるが、この図では「都内40代男性群」に対してレコメンドしているだけであるから、それに当たらず、個人データの利用に当たらない。
つまり、このケースでもビッグデータ利活用は元々阻害されておらず、法改正は不要である。
この事実に違和感があるとすれば、事業内容によっては業法でこうした行為が禁止されているからではないか。昔でいう第1種の電気通信事業者においては、こうしたデータの流用も通信の秘密侵害となり得る（通信の中身を使うなど）*14だろうし、刑法134条の秘密漏示罪に当たり得る「医師、薬剤師、医薬品販売業者、助産師、弁護士、弁護人、公証人又はこれらの職にあった者がその業務上取り扱ったことについて知り得た人の秘密」を扱う場合にも、こうした流用が認められない可能性があるし、金融分野においてもそうなのかもしれない。そうした常識感が、一般的なビッグデータ利活用にも及ぶと誤解している人たちが、元々できることを「できない」と言っているだけではないか。
- 誤解3「過去の分も含む長期間に渡るデータが必要」という誤解
- 次に、前掲以外のケース、つまり最終目的が統計化ではないビッグデータ利活用にはどのようなものがあるか。それは、個人に対するターゲティングを前提としたものということになる。この場合は、利用目的を特定し通知又は公表する義務がある。
既に保有している個人データを用いてそうしたターゲティング利用を新たに開始しようとしても、15条2項で利用目的の変更が禁止されていること、また、OECDガイドラインでも取得の時点の利用目的から逸脱してはならないとされていることから、それはできないことになる。
しかし、一般的に、行動ターゲティング広告のためには、最新のデータさえあれば足りるのであって、何年も前のデータを必要としないはずであり、実際、米国の行動ターゲティング広告業界では、30日から90日程度の期限でデータを消去することを約束しているところが多い。
つまり、新たにターゲティング利用を開始したいならば、新しい利用目的を通知又は公表して、新たなデータが集まるまで何か月か待てばよいのである。過去に取得した個人データについてまで変更後の利用目的で利用できるよう無茶な法改正をする必要性はここにもない。
なお、過去の長期間に渡るデータを必要とするターゲティングの例として、自社の保有する個人データを自社で分析して統計化した情報（個人毎のデータではない）で得られる知見を元に、短期間の最新の履歴データに基づくターゲティングをするというケースが考えられるが、前半部分は統計化に用いているだけであるから前記「誤解1」の通り個人データの利用に当たらず、後半部分は何か月か待てばよいのであり、やはり法改正の必要はない。
- 誤解4「公表文書としての利用目的を本人同意なく変更してはならない」という誤解
- 最後は、そもそも「利用目的の変更」とは何を指すのかである。これはいささか難解な話となる。
実は「利用目的」の語が意味するところは2つある。オブジェクト指向パラダイムで言えば「クラスとしての利用目的」と「そのインスタンスとしての利用目的」があるというような話で、つまり、18条において事前に通知又は公表や明示することが義務付けられているところの「公表文書としての利用目的」と、それぞれの個人データをどう利用するかという利用時点における「実際の利用目的」という2つが存在するという話である。
そのような見解はこれまであまり耳にすることがなかったが、けっしてトンデモ説ではなく、起草者らが出版した逐条解説書（文献[園部2005]）と、行政機関個人情報保護法の立案時に作成された「行政機関等個人情報保護法制研究会」の報告書（文献[行個法制研2001]）の記述から読み取ることができる。
1「その利用の目的を……特定し」（第1項）
「利用目的」を「特定」するとは、ここの取扱いプロセスごとにその目的を特定することを求める趣旨ではなく、あくまで個人情報取扱事業者が一連の取扱いにより最終的に達成しようとする目的を特定することを求める趣旨である。したがって、利用目的は、個人情報取扱事業者ごとに、また、一連の個人情報の取扱いごとに存在することとなる。
園部逸夫編/個人情報保護法制研究会著, 個人情報保護法の解説《改訂版》, ぎょうせい, 2005年, 115頁
これは15条1項の解説部分であるが、利用目的が「個人情報取扱事業者ごとに」存在すると書かれている。このことの趣旨は、以下の24条1項2号の解説部分で説明されている。
(2)「保有個人データの利用目的」（第2号）
本号では「保有個人データの利用目的」としているが、第15条以下で用いられている個人情報に関する「利用目的」と変わらない。この場合の利用目的は、観念的には保有個人データごとに存在するが、実際は、民間部門においては、様々な保有個人データが一体的なデータベースにおいて管理される場合が少なく、（原文ママ*15）その場合は、そのデータベースとしてのすべての利用目的が本号でいう利用目的になる。
園部逸夫編/個人情報保護法制研究会著, 個人情報保護法の解説《改訂版》, ぎょうせい, 2005年, 159頁
「民間部門においては」として、利用目的が「個人情報データベース等」の単位で観念されることを言っている。このことの趣旨は、以下の行政機関法の立案段階の報告書が明確に言い表している。
(2) 個人情報ファイル簿等の作成及び公表について
基本法制*16においては、個人情報取扱事業者の負担を考慮して、個人データを利用目的ごとの個人情報データベース等に区分して保有することまで求めていないことから、第29条*17第1項に基づき公表等が行われるのは、保有個人データの全体としての利用目的等にとどまっている。これに対し、現行の行政機関法*18は、個人情報ファイルごとに個人情報ファイルの名称、保有目的、記録項目、記録されている者の範囲、経常的提供先等の事項を詳細に記載した個人情報ファイル簿を作成し、一般の閲覧に供することとされている。
個人情報を目的別の個人情報ファイルごとに管理し、公表する仕組みは、保有者にとって負担が大きいものの、利用目的による制限をより徹底するためには有効であり、また、個人情報ファイル単位で公表することにより、本人が自己に関する情報の利用の実態をより的確に認識することが可能となる。したがって、個人情報ファイルごとにその概要を公表する現行の仕組みは維持する必要がある。
行政機関等の保有する個人情報の保護に関する法制の充実強化について −電子政府の個人情報保護−, 行政機関等個人情報保護法制研究会, 2001年10月26日, 11頁
つまり、個人情報保護法が成立するより前にあった昭和63年法（行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律）では、処理情報（「行方その3」参照）は、利用目的別に整理された「個人情報ファイル」として管理しなければならないこととなっていたところ、現行の行政機関法もそれを引き継いだが、民間部門の義務規定においては、そのような管理を求めることは「保有者にとって負担が大きい」として「個人データを利用目的ごとの個人情報データベース等に区分して保有することまで求めていない」としているわけである。その結果、24条1項の「保有個人データに関する事項の公表」において公表すべき「利用目的」が、「保有個人データの全体としての利用目的」「そのデータベースとしてのすべての利用目的が本号でいう利用目的」となっているわけである。
ところが、民間部門の規定には、それとは別の「利用目的」概念がある。あまり知られていないことと思われる*19が、24条2項の「利用目的の通知」における「利用目的」はこれらとは異なるものである。条文上は、単なる「利用目的」ではなく、「当該本人が識別される保有個人データの利用目的」として区別されており、文献[園部2005]には次のように説明されている。
2 第2項関係
本項は、保有個人データに関し公表等の対象とされている事項のうち、特に利用目的について、本人からの求めに応じて通知する義務を課しているものである。
利用目的は、開示等の求め及びその実施に関する重要な情報である。個人情報取扱事業者によって利用目的が複数掲げられ、本人に係る保有個人データがそのうちのどの目的で利用されているのかわからない場合が想定されるため、本人からの求めに応じた個別の通知という本項の規定が設けられている。
園部逸夫編/個人情報保護法制研究会著, 個人情報保護法の解説《改訂版》, ぎょうせい, 2005年, 159頁
このことの意味は、これに相当する規定を設けなかった行政機関法の趣旨から明確になる。文献[行個法制研2001]はこのことについて以下のように書いている。
ウ 利用目的の通知制度について
基本法制第29条*20第1項第2号により経常的に公表される利用目的は、個人情報データベース等に関する保有個人データの全体としての利用目的であり、現行の行政機関法のようにファイル単位で公表することとされていない。このため、本人は、その個人情報の取得時に利用目的が通知されている場合を除き、自己に関する情報についての個別の利用目的を知ることができないことから、基本法制第29条第2項においては、同条第1項の公表制度を補完するものとして、本人からの求めに応じ個別の保有個人データについて利用目的を通知する制度を設けている。
これに対し、行政機関法制では、ファイル化されている保有個人情報については、個人情報ファイルごとに、利用目的、記録されている者の範囲等を公表していることから、公表制度を補完するためのものとしての利用目的の通知制度を別途整備する必要はない。
行政機関等の保有する個人情報の保護に関する法制の充実強化について −電子政府の個人情報保護−, 行政機関等個人情報保護法制研究会, 2001年10月26日, 15頁
つまり、「経常的に公表される利用目的」と「個別の保有個人データの利用目的」の2つの概念があるというわけである。
ここで問題となるのは、15条、16条、18条の「利用目的」がどちらの意味なのかである。条文上、24条2項のような「当該本人が識別される個人情報の」といった限定が付いていないから、必ずしも後者の意味とは限らず、前者の意味であろうということになる。ただ、後者の意味を排除しているわけでもないと考えられる。その点、文献[園部2005]の前掲の解説部分では、「利用目的は、個人情報取扱事業者ごとに、また、一連の個人情報の取扱いごとに存在する」とし、「個人情報取扱事業者ごと」だけでなく「一連の個人情報の取扱いごと」にも存在し得るとしている。このことをどう捉えるか。
そして、今回の法改正骨子案が穴あけしようとしている15条2項「利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない」の「利用目的」が、どちらの意味の「利用目的」なのかが問題の焦点である。
ここで、この15条2項の変更してはならないという「利用目的」が、24条1項の「利用目的」のこと、すなわち「当該個人情報取扱事業者の『個人情報データベース等』全体としての利用目的」のことであるとするなら、確かに、これの変更が禁止されていたのでは、事業者が新しいサービスを追加的に開始しようとしても、既存のすべての利用者の本人同意を得る必要があることとなって、情報経済課が言うように「現状のサービスの継続すら困難になるほどに手続面でのコストがかかったりする」というのは理解できる。具体的には、事業者が事業者で1つのプライバシーポリシー文書を「利用目的」として公表している場合に、プライバシーポリシーの変更が本人同意なくできないという状況である。
しかし、15条2項の「利用目的」はそのような意味のものだろうか。何人かの専門家の先生とこのことについて議論したが、まずはどなたも「えー、そんなわけがない」との反応だった。さすがに新しい事業を一切開始できなくなるようなことを法が求めているはずがないだろうというわけだ。利用目的変更の制限は、取得したデータごとに、取得時点の利用目的がその後の利用時点でも維持されることを求めているのだと、誰もが思っていた。つまり、OECDガイドラインの原則「収集される個人データの目的はその収集の時点以前に特定されるべきであり、その後の利用は、それらの目的及びその他それらの目的に矛盾せずかつ目的の変更が生じる毎に特定されたものの達成に限定されるべきである。」の通りの意味のはずだというわけである。
ところが、冒頭に示したように、日本の個人情報保護法は、15条の条文において、OECDガイドラインにはある「目的はその収集の時点以前に特定するべき」「その後の利用は」といった取得時点との時間的前後関係を示すニュアンスが落ちているため、必ずしもそのような意味とは限らないように思える。
改めて条文をそのまま読むと、「利用目的」は「当該個人情報取扱事業者の『個人情報データベース等』全体としての利用目的」のことを指すものとして「個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」と言っているように見えてくる。実際、そのような「利用目的」概念は前記の通り存在し、逐条解説書や報告書も言うように、民間部門では利用目的が「個人情報データベース等」の単位で観念されるとされ、24条1項ではまさにそのような「個人情報データベース等に関する保有個人データの全体としての利用目的」を「経常的に公表される利用目的」として公表せよと言っているのである。
これを「誤解」とするのか、それとも「誤解」ではなく現行法はまさにその意味であるとするのか。それによって法改正のあり方は違うものとなる。12月19日の検討会で長田委員が「端的にお答えください」とした質問に、事務局が明確に回答していれば、このどちらなのかが明確になるところ、回答はあやふやなものだった。
これを「誤解」とするのであれば、利用目的変更の穴あけ法改正は不要である。プライバシーポリシーの変更を禁じるものではない旨を、個人情報保護ガイドラインで明確化すればいいだけである。OECDガイドラインの原則と同じ趣旨であることを明確化すればいい。
結局のところ、「利用目的」を事業者全体の「個人情報データベース等」の単位で特定すれば足りる（18条と24条1項の公表義務においては）としたのは、「負担が大きい」と民間部門の営業の自由に配慮してのものだったのが、それがかえって「利用目的」を変更できないという硬直化をもたらし、仇となった形になっている。OECDガイドラインはそのようなことを求めてはいないのだから、個別のデータ毎に利用目的を管理すれば足りるのだが、それを義務にしてしまうのは「負担が大きい」というのが十数年前の立法時の判断だった。「利用目的」を事業者単位とするか個別のデータ単位とするのか、前者を選択すれば利用目的変更が硬直化し、後者を選択すれば利用目的管理の電算処理化が必要となり、あちらを立てればこちらが立たず、一長一短、原理的に両立し得ないものである。
実際、事業者によっては、現に、利用目的を、提供するサービスの単位で管理し、公表しているところもあるだろう。その形をとることにより、新しいサービスを開始するときは、利用目的の変更に当たらないとする（どちらの「利用目的」解釈においても）ことができる。一方で、今もあえて事業者単位で利用目的を特定したプライバシーポリシーを公表しているところもある。文献[園部2005]の前掲解説部分は「利用目的は、個人情報取扱事業者ごとに、また、一連の個人情報の取扱いごとに存在する」と、「個人情報取扱事業者ごと」だけでなく「一連の個人情報の取扱いごと」でもよいとしているのだから、現行法のままでも、事業者の都合に応じてどちらかを選択すれば良いのである。
以上が考えられる「誤解」であるが、それ以外にどういう場合があるというのだろうか。
12月19日の検討会では、鈴木委員が、「抽象的にこれを議論しても全く話にならないので、具体的に何をやりたいのかという事案の要望をしっかり出していただきたい。」「事業者団体のほうからも、立法事実をベースにきっちり議論しましょうということは再三言われてきた」と指摘していた。「本当に利用目的の変更以前のデータまで新利用目的で全部使い得る必要性がどこまであるのか」「具体的に皆で見ていかないと、やはり何をしても法律が許しても消費者は大きく騒ぐことになる。」と。
これまでに1年半も議論されてきたのに、事業者が具体的に何をしたいのかは明らかにされることはなかった。唯一出てきたのは、前掲「誤解2」の「鮭弁とプリンは同時に購入される確率が高い」という、無難な例（消費者たちの反感を買わない例）だけであった。
誤解1〜4に当てはまらないケースとしては、こういうものがあり得るだろう。「第三者提供は予定していない」として集めた何年分もの履歴データを、ある日突然「第三者提供します」という利用目的に変更して公表し、通知はせず、本人たちの大半に気づかせないまま、売却するというもの。そういうことを本当にしたいのなら、堂々と社名を出して言えばいい。なぜ言えないのか。顧客の不評を買うことが目に見えているからだろう。
そうした事実関係を隠したまま、このようなOECDガイドラインにも歯向かう法改正をするのは危険である。実際に妥当な必要性があって穴を開ける必要があるというのなら、上記の誤解1〜4のような分析、検討をするべきである。今行われようとしていることは、小さい穴のために巨大な穴を開けようというもの、それどころか、利用目的を特定する意義そのものが失われるのだから、壁の全部を取っ払おうとしているに等しいものであり、世界の笑いものとなるだろう。
どうすればよいか
（執筆中、1月8日追記予定）
参考文献
- [園部2005] 園部逸夫編/藤原静雄+個人情報保護法制研究会著, 個人情報保護法の解説《改訂版》, ぎょうせい, 2005年
- [行個法制研2001] 行政機関等の保有する個人情報の保護に関する法制の充実強化について −電子政府の個人情報保護−, 行政機関等個人情報保護法制研究会, 2001年
*1 新保委員の意見では、合併等による事業承継において生ずる利用目的変更においてのみこのような緩和策を認めてはどうかとする代替案が示されている。
*2 9項の日本語訳はここで私が訳したもの、10項の日本語訳はJIPDECによる。
*3 文献[園部2005]では117頁に以下の訳が掲載されている。「個人データの収集目的は、収集時よりも遅くない時点において明確化されなければならず、その後のデータ利用は、当該収集目的の達成又は当該収集目的に矛盾しないでかつ、目的の変更毎に明確化された他の目的の達成に限定されるべきである。」
*4 文献[園部2005]は、15条の解説において「本条は、第16条の利用目的による制限とあわせて、OECD 8原則のうち「目的明確化の原則」を具体化している。」としている（116頁）。
*5 第1回配布資料「【資料3-2】パーソナルデータの取扱いルール整備に向けて検討すべき論点」で、「パーソナルデータの利活用ルールの在り方＜検討の視点＞�‥�切なプライバシー保護を確保した上での事業者の手続きの簡素化」として、「パーソナルデータを含むビックデータの利活用を促進する観点から、適切なプライバシー保護を確保しつつ、個人情報の入手時の同意取得、入手後の利用目的の拡大や第三者提供、共同利用を行う際の事業者の手続きを簡素化することを検討すべきではないか。」と出てくるほか、続く「＜具体的な検討事項＞」のところに「利用目的の拡大、第三者提供におけるオプトアウト（略）の可否、共同利用における利用要件の明確化について」と書かれている。
*6 第4回の議事要旨で、「本来、社会的有用性のある利活用をするために、どういう情報を自分が提供するのかということを明確にして、同意を取って、そして、それが最終的に利用される段階でも、こういう同意のもとに集められたデータなのだということが、明確になっていたほうが、データの信憑性も高まると思う。どこかで取った情報ですといったあいまいなものより、どこで同意を取ったものなのか明確にしたほうがいいのではないかと思っており、基本的に同意が前提なのではないかと思う。その考え方からいくと、4ページの「プライバシーに配慮したパーソナルデータの適正利用・流通のための手続き等の在り方」のところも同じで、本来業務の中の利用目的が少しふえるということではなく、全く想定もしていないような利用目的の拡大もあり、共同利用者も異業種ということもある。そういうときには、明確な同意を取るべきだ。そのほうが、最終的にデータの信憑性も出てくると考えるので、ここは他の先生方の御意見も伺いながら、もうちょっと書き込んでいただきたい。」とある。
*7 条文解釈上はどのように考えるか。まず、暗号化、復号、仮名化という処理（行為）自体については、15条が特定せよとする「利用目的」には当たらないと言うべきで、特定すべきは、それら処理の生成物である暗号化データや仮名化データの利用目的である。この点には異論がない。それに対して、これに統計化を並べたとき、統計化という処理（行為）自体は同様に「利用目的」に当たらないが、先ほどと異なるのは、その処理の生成物は個人データでなくなってしまうため、15条の対象とならない。鈴木正朝先生からはそのように解説された。
*8 総務省消費者行政課の「スマートフォン・プライバシー・イニシアティブ」の取り組みなど。
*9 実際、個人情報に該当しないデータを取得する場合であっても、刑法の観点からは、何をどんな目的で取得するのかを利用者に伝えないと「人が電子計算機を利用するに際してその意図に反する動作をさせる不正なプログラム」となりかねない。
*10 スマホアプリ以外による取得手段でも同様のことは考えられる。例えば、街中や施設内に張り巡らせた顔識別機能付きカメラのネットワークを用いて、人々の顔を識別することによる個人の移動履歴を取得する場合は、何らかの説明責任が求められ、利用目的の公表で足りるものではないと考えられる。もっとも、日本の個人情報保護法は、取得について一切の本人関与規定を置いておらず（オプトインもオプトアウトも義務でなく、単に不正な手段での取得を禁止しているだけ）、このこと自体が現行法の不備だと言える。
*11 ただし、個人データの保有期間（データを消さずに保存する期間）との関係が問題となる。例えば、取得した個人データの本来の利用目的は短期間で終了するにも関わらず、統計化に使用する目的で長期間に渡り保有する場合は、安全管理措置との関係でリスクが存在する以上、長期保有中の利用目的を「無い」ものとして扱うのには問題がある。その点、今回の法改正骨子案には、「3.個人情報の保護を強化するための規定の整備」の(6)として、「個人情報取扱事業者は、個人データを利用する必要がなくなったときは、遅滞なく当該個人データを消去するよう努めなければならない」との努力規定が入ったので、これをうまく整理すれば、この問題も解消に向かわせることができそうではある。
*12 このことは、Suica事案の他にも、携帯電話の位置情報利活用の事案を通して、昨年までに明確になったところである。KDDIは、2013年10月、「観光動態調査レポート」の事業を開始するにあたり、データの統計化を株式会社コロプラに委託する形で実現した。
*13 もちろん、利用に当たらずとも、委託先の監督義務（22条）はある。
*14 なお、第1種電気通信事業者が、第1種電気通信事業としての電気通信役務を提供しつつ、同時にその事業者が、普通のWebサイトサービスを提供している場合に、そのWebサイトの履歴を利用することがこのような意味での通信の秘密侵害に当たるかについて、通信の秘密侵害に当たるという誤解も少なくないように思えるが、これは、通信の一方当事者であるからという理由で通信の秘密侵害に該当しないと言うべきである。ただし、このWebサイトでログに記録されるガラケーの契約者固有IDを、自社の電気通信事業の契約者として照合して利用することは、通信の秘密侵害に当たると言うべきだろう。
*15 文意からして、「少なくなく」の誤植と思われる。初版では「少なくない。この場合は」（151頁）と書かれている。
*16 個人情報保護法のこと。個人情報保護法は、冒頭部分が基本法の形をとっている。
*17 現行法でいう24条のこと。この報告書の書かれた時点の個人情報保護法の法案は旧法案であった（旧法案は廃案となり、4条から8条までの5原則を削除した新法案が成立して現行法となった経緯がある。）ため、条番号がずれている。
*18 行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律（昭和63年法）のこと。
*19 私はつい数か月前まで気づかなかった。気づく前は、18条や24条1項で公表せよとされている「利用目的」を、改めて本人が求めれば通知しなければならないとするものと思っていたので、「ここで公表しています」とプライバシーポリシーのURLを返信するだけで24条2項の「通知」を達成できる話だと思っていた。なぜそのような無駄なことをさせる規定があるのだろう？と疑問に感じていたが、なるほど、理解してみれば納得である。本人から通知を求められたら、事業者は、開示の求めと同様に当該本人の保有個人データを探して、そのデータについての利用目的を過不足なく回答する義務が規定されていたのだった。
*20 旧法案の29条。現行法の24条のこと。