公開シンポジウム「個人情報保護法改正と報道の自由 ――国民の知る権利は脅かされるのか」が、一般社団法人日本新聞協会の主催であるというので、どうせ改正法と関係ない話を延々とするのだろうと、見物に行ってきた。
新聞協会:「個人情報保護法改正と報道の自由」でシンポ https://t.co/7oFo7EOS8K
— 毎日新聞ニュース速報 (@mainichijpnews) 2016, 2月 10
【ニュース】＜個人情報保護法と報道でシンポ＞ 個人情報保護法をめぐって１０日夜、報道の自由をテーマにシンポジウムが開かれ、報道機関の取材活動への影響などについて意見が交わされました。個人情… https://t.co/1gEzOJh4W3 #nhk
— NHK@首都圏 (@nhk_shutoken) 2016, 2月 10
個人情報保護と報道の自由 シンポを開催 https://t.co/WjJehnN2Mh #日テレNEWS24 #ntv
— NTV NEWS24 (@news24ntv) 2016, 2月 10
会場に行ってみると、案の定、関係のない話がされていた。パネルディスカッションで最初にプレゼンした武蔵大社会学部の教授（元テレビ局政治部記者とのご経歴）は、ソーシャルメディアの話をされていたが、それが今回の改正とどう関係するのかについての言及はなかった。2番目は個人情報保護委員会事務局の山本参事官*1からの改正法の説明で、それはまあ無難に普通であるのだが、3番目の毎日新聞社会部の記者は、もう何度も聞いたことのある過剰反応問題の話をぬるーく話されていて時間の無駄すぎると苛立ってきたので、手元の配布資料を見たところ、月刊「新聞研究」の座談会記事（文献1、文献2）のコピーが添付されており、こちらはなかなか良いことが書いてあるようだった。
4番目のプレゼンは朝日新聞の奥山俊宏編集委員で、「私、個人情報保護法あんまり勉強してないのでよく知らないんですけども」というエクスキューズを何度もされるので、さすがに恥知らずも大概にせいよと思ったのだが、朝日新聞の奥山俊宏編集委員は、昨今、何でも名前を伏せて発表したり報道することが多くなっている風潮があり、個人情報保護法のせいだとおっしゃる。これにはまたばかなことを言っているなと思った。個人情報保護法第4章の民間部門の義務規定は、個人情報データベース等を構成する個人データに関する規律であって、そうでない散在情報*2の個人情報についてとやかく言う趣旨のものではない。
このことは、この法律ができたときの起草者らによる逐条解説書（文献3）において、1条の目的の解説部分で*3、はっきりと次のように書かれている。
（略）コンピュータの発達とネットワーク化により、大量の個人情報の蓄積、流通、高度な分析等が容易になる反面、不当な目的での利用・流通、大量漏えい等の危険性という新たな問題も生じている。すなわち、高度情報通信社会の進展は、個人情報の取扱いに伴うプライバシー等の個人の権利利益侵害の危険性を高めるとともに、処理プロセスの不透明性と相まって、個人情報の情報主体（本人）における不安感を増大させている。このような状況が本法の制定を必要とする前提といえる。
他方、例えば、他人のうわさ話をする行為、上司に同僚の告げ口をする行為等も、外形的には他人の個人情報を第三者に提供する行為といえ、中にはこれにより精神的苦痛を被り、名誉を毀損される等個人の権利利益が侵害される場合もあり得る。しかし、これらの行為は、従来からの個人のモラルに委ねられてきたところであり、その予防は社会全体の利益擁護の観点からの規範である法律で規律すべき問題ではない。
本法は、あくまで、高度情報通信社会が進展している現状において、個人情報のコンピュータ処理等に伴う個人の権利利益侵害の危険性、本人の不安等の社会問題に対応しようとするものである。個人情報の取扱いに伴って、現実にだれかの人権侵害等が発生した場合においては、民事事件における損害賠償の問題として、あるいは犯罪行為（名誉毀損等）を構成する場合は刑事事件の問題として、処理されるべきことはいうまでもない。
（略）
（略）すなわち、本法は、個人情報の取扱いに関連する私法上の権利利益の内容や範囲を直接画定しこれを保護しようとするものではなく、個人情報の適切な取扱いに関するルールを明確にし、それらを法律上の制度として整備し、その遵守を確保することにより個人の権利利益の侵害を未然に防止しようとするものである。
園部逸夫編, 個人情報保護法の解説《改訂版》, ぎょうせい, 41頁〜42頁
「他人のうわさ話をする行為（略）も、外形的には他人の個人情報を第三者に提供する行為」というのは、個人に関する報道もこれに同列に捉えられるだろう。そうした報道が規制対象でないのは、報道機関の報道目的が丸ごと4章の適用除外（改正前50条）となっているからという以前に、そもそも散在情報は初めから規律対象ではないのである。
つまり、私がこうして名指しで「朝日新聞の奥山俊宏編集委員は改正法のシンポジウムなのに元の法律のことすら勉強してこない恥知らずだ」と個人情報を用いて表現する行為（個人データは用いていない）は、何ら個人情報保護法と関係ないのである。これは、私が個人として書いているから許されているのではなく、例えば、個人情報取扱事業者である会社の役員が会社の公式ブログやIR等で「山本一郎がー」と名指しで書く行為も同じ理由で規制対象とならない。
このことは、この法律が成立する過程で既に論点となっていた。旧法案が2002年の臨時国会で一旦廃案となり、修正された新法案が2003年に成立したわけだが、旧法案では、散在情報に対する努力規定（名宛人は全ての人）があった（第2章の「基本原則」）ため、報道に自粛を求める意味になってしまうし、「他人のうわさ話をする行為」も控えよという意味になりかねないということで、ここは旧法案が廃案になった理由である。その努力規定を丸ごと削除した新法案で成立したのである。
つまり、朝日新聞の奥山俊宏編集委員が今頃言っている「氏名を使えなくなったのは個人情報保護法のせい」云々というのは、2002年に一度話題になった論点であり、法案差替えにより解決済みのものである。程度の低いマスコミ報道によくある、ひとたび問題視されて新聞の常用テーマになると、解決された後も念仏のように延々と言い続けるパターンが一般的に見られるが、この件でもそれに陥っている。
もっとも、旧法案の廃案で散在情報は民間部門で対象外となったはずだったのに、第4章をよくみると、15条から18条の規定は対象が（「個人データ」ではなく）「個人情報」と書かれているから、散在情報が対象になっているようにも見える。特に16条は目的外利用を禁止しているから、もし散在情報が対象なのなら「他人のうわさ話をする行為」も利用目的の特定と通知又は公表が義務というおかしなことになってしまう。そこは、名宛人が「個人情報取扱事業者」であり、「個人情報取扱事業者」とは「個人情報データベース等」を事業の用に供している者のことであるから、「他人のうわさ話をする行為」は事業の用に供する件ではないから対象外だと解釈するほかないのだが、そうは言っても、16条の条文は、「個人情報取扱事業者は、個人情報データベース等を事業の用に供するときは」と書かれているわけではなく、単に「個人情報取扱事業者は」となっているのだから、顧客情報や社員情報を事業の用に供する者が「他人のうわさ話をする行為」も16条の目的外利用禁止の義務がかかっているとしか読めないという条文の論理的綻び*4（立法時の条文作成の瑕疵）があると言わざるを得ないという話はある。
朝日新聞の奥山俊宏編集委員は、福島第一原子力発電所事故において東京電力が役員以外の社員の氏名や顔を隠した件について、東京電力が個人情報保護法を理由にしてきたことに不満を示し、個人情報保護法のせいだとしていたが、それは法解釈の誤りであり、法解釈をそのように誤る原因が、この条文の綻びだというのであれば、そう指摘したらいいし、次の改正に向けて直す必要があると報道してほしいところだ。*5
なお、奥山編集委員のプレゼンの半分は、行政機関（や地方公共団体）が氏名を出さなくなっていることの問題指摘であったが、こちらは、行政文書である散在情報を含む保有個人情報が規律の対象である行政機関個人情報保護法（や条例）の話であり、上の民間部門の話とは別の問題である。
そして、パネルに同席の個人情報保護委員会事務局は、行政機関個人情報保護法（や条例）の解釈や運用は所掌事務ではなく、口を出す立場にない。文句を言う相手は、総務省行政管理局であるし、自治体条例を一本化する立法措置（いわゆる「2000個問題」の解決）を提案すべき国会議員である。
今回の改正でも、背後では、公的部門に対する権限も個人情報保護委員会に集約するべきとする考え方があり、いろいろな人がそれに向けて動いたものの、行政管理局が頑として権限を手放さないため、実現できなかったところなのだから、新聞が報じるべきはそういったことだろうに、どこも報じていない*6。
そういうことを朝日新聞の奥山俊宏編集委員は何一つ勉強せずに、「個人情報保護法改正と報道の自由」とのテーマのところへ、のこのこと登壇してきて、「私、個人情報保護法あんまり勉強してないのでよく知らないんですけども」を連呼したわけだ。
結局、パネルディスカッションは最後まで、今回の改正に係る論点は論じられることはなかった。*7
個人情報保護委員会事務局のレジュメでは、報道に影響し得る改正のポイントとして、以下の3点が挙げられていた。
だが、報道に影響し得るのはこれだけだろうか？ 会場から質問しようと頭の中で質問を準備したが、質問コーナーはなく、残念ながら質問できなかったので、以下に書いておく。
第三者提供に係る確認記録義務（トレーサビリティー確保の措置）が、報道に致命的な影響を及ぼすのではないかと最近になって気づいた。
第三者提供に係る確認記録義務は改正後25条と26条に規定されており、25条は「個人情報取扱事業者は、個人データを第三者（略）に提供したときは（略）記録を作成しなければならない。（略）」としており、こちらは、報道機関が報道目的で提供する行為について前掲の76条により適用除外となる。
他方の26条は、1項で「個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次の事項の確認を行わなければならない。（略）」とし、3項で「個人情報取扱事業者は、第1項の規定による確認を行ったときは、（略）記録を作成しなければならない。」としている。こちらも、報道機関が報道目的で第三者から提供を受ける行為について前掲の76条により適用除外となる。
では、一般の個人情報取扱事業者が、報道機関の報道を閲覧することによって「個人データの提供を受ける」ときはどうか。
まず、報道が「個人データの提供」となる場合が想定されるか（散在情報の個人情報の提供ではなく）であるが、今回のシンポジウムではちらっとしか触れられなかった「データジャーナリズム」*9の一形態としてあり得る。すなわち、今回のパネルで奥山編集委員が紹介していた「ICIJ（国際調査報道ジャーナリスト連合）」が2013年に暴露した、タックスヘイブンに金融資産を置いている大金持ちのリストの件（参考解説、国会図書館によるまとめ）が、それに当たる。奥山編集委員によれば、朝日新聞社もICIJからこのデータを譲り受けた（「個人情報データベース等」として取得したはず）とのことなので、このデータベースから取り出したデータを新聞に書けば、（元のデータベースのレコードと照合が可能な程度に詳細な情報を残していれば、）個人データの第三者提供ということになる。（ただし、報道機関の報道目的なので、4章の義務は適用除外である。）
次に、報道を閲覧することが、26条の「個人データの提供を受けるに際して」に当たるかどうか。26条は、（受領者側が）「個人データとして取得するに際して」という規定ぶりではない。「個人データ」は提供元において「個人データ」であるものを指しているし、「個人データの提供」は提供元の行為を指しているので、提供元において「個人データの提供」に該当するものを「受ける」だけで、26条の規定に該当することになると解するべきであろう。したがって、報道を閲覧するだけで26条に該当することになる。*10
報道する側は、適用除外であるが、仮に適用除外でないとすると、新聞紙上やWeb記事に掲載する行為が個人データの第三者提供に当たり、25条に基づく記録が必要とということになるが、これについては、簡単な記録（アクセスログ等）で足りると委員会規則で定めることが国会答弁で約束されており、さほど困難はないということになっている。
問題は、報道を閲覧する側が、個人情報取扱事業者である場合に、26条1項の「確認」義務を果たせないであろうという点である。
26条1項の「確認」義務では、「次に掲げる事項の確認を行わなければならない」として、その2号として「当該第三者による当該個人データの取得の経緯」を必須の確認事項としている。「取得の経緯」というのは、「新聞から取得した」という経緯ではなく、「その新聞（当該第三者）がどのように取得したか」を確認せよというものである。
つまり、新聞が、データジャーナリズム報道をしたとき、その個人データをどこから入手したのかを記事に明記していないと、記事の読者である個人情報取扱事業者から26条1項に基づく確認の問い合わせが殺到することになる。問い合わせに対して回答を拒否するならば、読者は26条1項の義務を果たすことが不可能となり、個人情報保護法違反ということになってしまう。
25条と26条には「ただし、当該個人データの提供が第23条第1項各号又は第5項各号のいずれか（略）に該当する場合は、この限りでない」とのただし書きがあるが、23条1項各号は、�）［瓩亡陲鼎�場合、�⊃佑寮弧拭⊃搬遼瑤郎盪困諒欷遒里燭甕勝后↓８�衆衛生の向上又は児童の健全な育成の推進のため云々、�す颪竜ヾ惻磴靴�は地方公共団体又はその委託を受けた者が云々との規定であり、76条1項各号の適用除外に該当する場合という除外規定はない。76条1項の「第4章の規定は、適用しない。」という規定ぶりが、このようなケースについてまでの適用除外とならないことは、改正後43条（改正前35条）2項が存在することから明らか*11である*12。また、25条と26条には「第三者」について「第2条第5項各号に掲げる者を除く」との括弧書きがあり、�々颪竜ヾ悄↓�地方公共団体、�Ｆ販�行政法人等、�っ亙�独立行政法人の公的機関を除外しているにもかかわらず、76条1項の適用除外者を除外していない。*13
「取得の経緯」がどこまで求められるかについては、文献4が次のように解説している。
Q61 第26条第1項の「取得の経緯」の確認としては、具体的にどこまで遡って確認する必要がありますか。
A （略）この「取得の経緯」とは、提供者自身が提供に係る個人データをどのように取得したのかを意味するものであり、個人データが転々流通している事案において、提供者より前に取得した者の取得の経緯を全て確認することまで求められるものではありません。
瓜生和久編著, 一問一答 平成27年改正個人情報保護法, 商事法務, 95頁
したがって、前掲のタックスヘイブンの事案ならば、朝日新聞は「ICIJから提供を受けたもの」と記事に書いておけば、読者は26条1項の義務を果たすことができる。しかし、朝日新聞が独自に取得したデータベースである場合は、取材源の秘匿のため入手の経緯を記事に書けないことが多い*14であろう。
その場合は、個人情報取扱事業者はその記事を閲覧すると違法となる。つまりは、そういう報道は不可能となるのであり、今改正によって日本のデータジャーナリズムは生まれる前から死んだのである。*15
この問題は、改正法立案者が、25条、26条の条文構成に失敗したことが原因である。例えば、「提供を受けるに際して」ではなく、「個人データとして取得するときは」と規定していれば、こんなことにはならなかった。
文献2で、宍戸先生が次のように指摘されている。
報道への情報提供と記録義務
――――トレーサビリティーの規定が新設されました。個人データを報道側に情報提供した場合、取材源にそれを記録する義務があるのかどうか、それが情報提供自体に影響するのかどうか。いかがお考えですか。
宍戸 パーソナルデータ検討会の大綱では一つの検討課題として挙げられましたが、ベネッセの情報流出事件が起こって立法に盛り込まれた項目です。そのためか、急いで条文を作った感もあります。1日に何度もデータを更新するIT事業者がどうやって記録するのか分かりませんし、中小企業が対応できるかどうかも疑問があります。ガイドラインなどで一定の緩和措置を出さざるを得ないのではないでしょうか。「個人データ」でなく、「個人情報データベース」を提供した場合の義務とすることもあり得たのではないかと思います。
個人情報保護法改正と取材 ――報道現場への影響を考える, 新聞研究 2015年11月号 No.772, 日本新聞協会, 58頁
宍戸先生も指摘されているように、上記のケースに限らず、そもそも第三者提供時確認記録義務は失敗作である。国会でも衆議院で散々問題が指摘されていた。なのに、どの新聞もそれを報じなかった。
その件については、「第三者提供時確認記録義務はどう壊れているか・本編」で詳しく書く予定である。
*1 IT総合戦略本部で改正法の立案を取り仕切った瓜生氏の後任で、1月から委員会の設置とともにそちらへ異動された。
*2 「散在情報」とは何かについては、「パーソナルデータ保護法制の行方 その3 散在情報と処理情報 」で書く予定だったが、まだ書いていない。そろそろこれが議論の前提として欠かせなくなってきたので、いよいよ書かねばならない。
*3 これは本当はおかしくて、この解説部分は民間部門の規律の目的について述べているようだが、1条を含む第1章から第3章の規定は基本法部分であり、公的部門にもかかってくるはずの目的規定ではないのか。そうだとすると、行政機関法は散在情報を中心とした行政文書（保有個人情報）の保護についての規律なのだから、「個人情報のコンピュータ処理等に伴う個人の権利利益侵害」云々というのは当てはまらない。（2条も、基本法部分のはずなのに定義は民間部門用で、行政機関法は定義を全部上書きしているのと同じように、目的も全部上書きされていると読むのだろうか？）
*4 このような綻びは、この法律には他にも多々あって、今改正で修正された改正後2条4項の括弧書きの件（2015年12月6日の日記の脚注13参照）とよく似ている。
*5 パネルに登壇していた個人情報保護委員会事務局も、「個人データではありませんから法解釈の誤りです」と説明したらいいところだったと思うが、そういうことは今の段階では答えられないのだと思われる。これまでの消費者庁でもこの解釈は定まっていない様子で、これから解決していかなければならない問題である。
*6 他にも、自由民主党の2012年の日本国憲法改正草案が「（個人情報の不当取得の禁止等）第19条の2 何人も、個人に関する情報を不当に取得し、保有し、又は利用してはならない。」などと書いており、これは「個人データ」ではなく「個人情報」と、明確に散在情報を含むものであり、かつ、名宛人も「何人も」とされていることから、2002年に廃案になった旧法案の問題点が大復活するわけで、報道を殺す致命的なものとなるだろうという話がある。朝日新聞の奥山俊宏編集委員は、そういうところを指摘したらどうなのか。
*7 配布資料の文献1と文献2は、ちゃんと改正法との関係について論じられているので、シンポジウムよりこれを読んだ方がよかった。
*8 このことについては、文献1の座談会で、宍戸先生から、「改正案では、「要配慮個人情報」は一度報道されれば、その後は一般の個人情報と同じ扱いになるとされています（新17条2項5号）。報道に配慮した規定だとは思いますが、ニュースソース側にとっては「要配慮」の扱いを解く判断を報道機関に委ねることになるので、萎縮効果が出る恐れはあると思います。」との問題提起があり、新聞各社の方々と議論されている。ちなみに、宍戸先生の指摘は、「その後は一般の個人情報と同じ扱いになる」とのことであるが、それは17条2項の取得制限についてであり、23条2項のオプトアウト方式による第三者提供で「要配慮個人情報を除く」とされている点には及ばない。また、「報道に配慮した規定だとは思いますが」とのことだが、これは、意図せず取得してしまう場合が違法とならないようにしてほしいとする産業界からの意見に配慮して、公開情報を取得制限から除く趣旨であろう。
*9 文献2では、朝日新聞の平和博編集委員が、データジャーナリズムへの匿名加工情報規定の影響について的確な指摘をされている。曰く、「統計データは個人情報保護法とは関係なく、従来から自由に使うことができました。一方で、匿名加工情報の取り扱いには、事業者のさまざまな義務が定められています。データのきめ細かさという点で、匿名加工情報と統計データは区別できそうですが、具体的にどう線引きするのかという理解が十分に浸透していかないと、統計データですら「出せない」といった混乱が起きるかもしれません。」とのことで、これは前回の日記「匿名加工情報は何でないか・前編の2（保護法改正はどうなった その4）」の後半「十分に低減する加工をしたものは匿名加工情報に当たらない」と同趣旨である。
*10 17条2項の取得制限では、公開情報の取得にまで制限がかからないように同項5号の例外規定が設けられたのに、26条の確認記録義務にはこの例外がない。
*11 43条2項で、「個人情報保護委員会は、個人情報取扱事業者等が第76条第1項各号に掲げる者（それぞれ当該各号に定める目的で個人情報等を取り扱う場合に限る。）に対して個人情報等を提供する行為については、その権限を行使しないものとする。」との規定を置いているのは、一般の個人情報取扱事業者が報道機関に報道目的で個人データを第三者提供する行為が、76条の適用除外では適用除外されないからこそである。
*12 この点につき、43条1項は、「報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。」としているので、仮に、データジャーナリズム報道を個人情報取扱事業者が閲覧する行為が26条に違反するときに、この43条1項が適用されるようになっているのかが問題となる。仮に、表現の自由という理由で、これらの権限を行使しないとするのであれば、表現行為として公表されている個人データに対しては皆それに該当することになるのであり、このトレーサビリティ確保のための規定は結局のところほとんど機能しないものとなってしまう。
*13 提供側に記録義務がなくても提供を受ける側には確認記録義務があるという点は、文献4のQ58（89頁）とQ60（93頁）にも書かれている。そこには、提供する側が個人情報取扱事業者に当たらない個人である場合を例にして、その個人には25条の記録義務はかからないが、その個人からの提供を受ける個人情報取扱事業者には26条の義務がかかることが書かれている。その理由は、26条の「第三者」は個人情報取扱事業者に限定されていないからである。
*14 例えば、岡崎図書館事件の終盤で、三菱電機ISが全国各地の複数の図書館の個人情報データベース等を他の図書館に漏洩させていた件を、朝日新聞の神田記者が一部のデータベースを入手して報じた件は、26条1項2号の「取得の経緯」を明かすことのできない場合に当たるだろう。もっともこのときは、「個人データ」に該当しない程度まで丸めた統計値の情報しか記事には掲載されなかったと記憶しているので、個人データの提供に当たらず、読者に確認記録義務はかからないのであるが。
*15 データジャーナリズムといっても、個人データを統計値に集計して報道するタイプのものは、これに当たらない。