高木浩光＠自宅の日記

■ 「法とコンピュータ」No.34に34頁に及ぶ論考を書いた

法とコンピュータ学会の学会誌「法とコンピュータ」の最新号（No.34 July 2016）に論考を書いた*1 。この学会では例年、11月ごろに開かれる研究会での依頼講演とパネル討論を各登壇者が後に文章にしたものが、翌年に学会誌として発刊されている*2。今回書いた論考も、30分の依頼講演で話したストーリーに沿って文章化した。

• 高木浩光, “IoTに対応した個人データ保護制度のあり方”, 法とコンピュータ, No.34, pp.47-81（2016年7月）
  

頁数に制限なしとのことだったので、講演スライドに沿って文章化していったところ、34頁もの長編になってしまった。前半の8頁は一般向けの導入部なので、これまで私の話を耳にしたことのある方には冗長に思われるかもしれない。9頁目からの「3.個人情報保護法の改正」と、14頁目からの「4.定義の拡張ができなかったのはなぜか」が今回の本題となっている。内容は見出しレベルでは以下の通り。

1. IoTと個人データ保護の関わり

2. 日本における制度的取り組みと技術的動向の推移

2.1 経済産業省のRFIDプライバシーガイドライン

2.2 総務省のモバイルコンテンツビジネス環境整備研究会

2.3 総務省の利用者視点ICTサービス諸問題研究会第二次提言

2.4 ガラケーからスマートフォンへ

2.5 総務省の「スマートフォン・プライバシー・イニシアティブ」

2.6 無断で人を識別する技術の進展

3. 個人情報保護法の改正

3.1 個人識別符号の導入

3.2 米国の連邦法草案との類似性

3.3 国会での審議

4. 定義の拡張ができなかったのはなぜか

4.1 目的を見失っている日本の個人情報保護

4.2 識別子のみで個人情報となることの不合理

4.3 散在情報の個人識別符号は保護対象か

4.4 制定時の立法の過誤

4.4.1 自動処理とファイリングシステム

4.4.2 旧法案が廃案となった経緯

4.4.3 なぜ「個人データ」としなかったのか

4.4.4 反対解釈がもたらした混乱

4.4.5 小括

4.5 誤解に基づいた規制緩和論

5. 次の改正に向けての提案

今回文章にするに当たり、腰を据えて外国文献を読んだことで、だいぶ分析が進んだ。原稿を書き終えた後も、その勢いが続き、特に、EU加盟各国のデータ保護法の違いを分析した報告書を読んで、EUの一般データ保護規則の理解が進んだこと、また、その過程で見つけたノルウェー法とスウェーデン法の改正経緯が、特に重要であることを知ったことが大きい。

ノルウェー法については前回の日記に書いた。スウェーデン法は、今回の論考が主張している「散在情報を対象から外す」という方向性が、EU法との比較において、十分性認定を受けられるようなものと言えるかとの論点について、展望を開くものであった。今回の論考でそこまで少しなりとも言及したかったところが惜しまれるが、スウェーデン法との比較については近々、別のところで発表していきたいと考えている。

その他、この論考では、例えば、昭和63年法の「処理情報」概念がどのようなものかについて詳しく書いていない。全体として、必要な考え方の方向性とその妥当性を伝えるために書いたものであるため、個々の概念の詳細については詳しく書いていない。その辺りも、別稿で出していきたいと思っている。まだ文章化していない考えが頭のなかにどっさりある。なんとか全てを吐き出して行かねばならない。