ミュージシャンのASKAが逮捕前に乗ったタクシーでの車内録画映像が複数のテレビ局に提供されたことについて、関係するタクシー会社グループから状況報告の発表があり、国土交通省がこの事態を「誠に遺憾」として関係団体へ「適切な管理の徹底」を求め通知するという展開になった。
今般、タクシーに装備されたドライブレコーダーにより後部座席の乗客が撮影された映像がテレビ等で放映されるという事案が発生したことから、映像の適切な管理の徹底について関係団体あて通知しました。
公益社団法人日本バス協会会長殿
一般社団法人全国ハイヤー・タクシー連合会会長殿
一般社団法人全国個人タクシー協会会長殿（略）
今般、タクシーに装備されたドライブレコーダーにより後部座席の乗客が撮影された映像がテレビ等で放映されるという事案が発生した。
いうまでもなく、ドライブレコーダーの映像は、運転者に対する安全運転指導や事故調査・分析を効果的に行うなど事業用自動車の安全確保のために活用されるべきであるにもかかわらず、安全・安心な運送を提供するべ自動車運送事業者が、その趣旨に反し乗客のプライバシーに配慮することなくマスコミに映像を提供するという行為が行われたことは、誠に遺憾である。
このため、ドライブレコーダーの映像に関しては、乗客のプライバシーを十分に配慮した上で、社内規程の作成を含め適切な管理を徹底するよう、貴会傘下会員に対し改めて周知されたい。
さて、この事案、個人情報保護法の観点からはどうだろうか。国土交通省は「個人情報」の語を一度も使っていないのだが、朝日新聞では以下のように報じられ、個人情報保護法の観点が持ち出されている。
国土交通省は１日、タクシーやバスの業界団体に対し、乗客のプライバシーに配慮してドライブレコーダーの映像の管理を徹底するよう求める通知を出した。「乗客のプライバシーに配慮することなく、マスコミに映像を提供するという行為が行われたことは誠に遺憾」としている。国交省の担当者は「取材の妨害をする意図はなく、判断材料にしてほしい」と話した。
（略）
《鈴木秀美・慶応大教授（メディア法）の話》 映像に個人情報が含まれている場合も、報道目的であれば個人情報保護法の適用除外とされ、報道機関への提供は認められている。今回は芸能人が「公人」にあたるか、好奇心を満たす以上の意義があるかという点で、判断が難しい事例。自宅を特定されないなどの配慮は必要だが、薬物犯罪について理解を広げるためという観点からいえば、法的には許容されるのではないか。（略）
《西原博史・早稲田大教授（憲法学）の話》 個人情報保護法は報道機関への適用除外を認めているが、今回の映像は犯罪事実の立証にかかわる情報を含むとも思えず、「興味本位」を超える公共性はないのではないか。（略）
1人目の法学者は、個人情報保護法を正しく理解していない。この法が適用除外としているのは、報道機関が報道目的で取り扱うことについてであり、報道機関でないタクシー会社が、報道機関に報道目的で提供する行為は、適用除外（現行法66条）ではなく、（提供したものが「個人データ」に該当するならば）違法である。
ただし、報道機関に対して報道目的で提供する行為について主務大臣*1は「その権限を行使しないものとする」との規定がある（現行法35条）。この規定があるからといって、提供行為が違法でなくなるわけではなく、違法行為である。
この「違法だが権限行使せず」という制度*2に対して、新聞協会などマスコミ団体は、これも適用除外にするべきだと繰り返し主張してきているのに、この朝日新聞の識者コメントはそれを踏まえていないようだ。
ところで、その2日前、以下の報道もあった。国土交通省の担当者が「法律に違反するわけではない」とコメントしているのだが、これは正しいのだろうか。
国交省自動車局の担当者は「法律に違反するわけではないがモラルとして良くないことなので通知をした」と話した。
まず、監視カメラに顔が映り込んでいる場合は、その映像は個人情報に該当するとされている。先日公表されたばかりの、個人情報保護委員会のガイドラインにおいても以下の記述がある。
【個人情報に該当する事例】
事例3) 防犯カメラに記録された情報等本人が判別できる映像情報
個人情報の保護に関する法律についてのガイドライン（通則編）, 個人情報保護委員会, 2016年11月, p.5
しかし、単に録画されただけの映像は、「個人データ」（個人情報データベース等を構成する個人情報）には該当しない。したがって、個人データの本人同意なき提供を原則的に禁ずる23条の規定には違反しない。*3
問題は、本人同意なき目的外利用を禁じた16条の規定に違反するかどうかである。
16条ではこのように、客体が「個人データ」ではなく「個人情報」という語で指定されている。これをどのように解釈するのかが論点となる。第16条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
これについて、私は以前より、個人情報保護法の第4章の規定は、個人データ（及び個人データとなることが予定されている個人情報）に係る規律であって、そうでない個人情報（散在情報と呼ばれる）は（公的部門とは違って）民間部門では規律の対象外とするべきであり、また、元々そういう趣旨だったのではないかとの説を唱えている。
8月23日の日記「「法とコンピュータ」No.34に34頁に及ぶ論考を書いた」で紹介した論文「IoTに対応した個人データ保護制度のあり方」では、このことについて以下のように論じている。
4.4 制定時の立法の過誤
筆者は、このような、散在情報についてまで15条〜18条の義務がかかると解釈されるのは、2003年の個人情報保護法制定時の立法の過誤ではないかと考えている。
（略）
4.4.3 なぜ「個人データ」としなかったのか
（略）では、なぜ、15条〜18条を「個人データ」としなかったのか。このことについて、逐条解説書(18)は、15条と19条の解説部分で次のように説明している。
（15条）「なお、取り扱う対象を『個人情報』し『個人データ』としていないのは、いずれ個人情報データベースに記録され『個人データ』となるものであっても、取得段階では『個人情報』の状態であることによる。本条から第18条までの規定は、個人情報の取得段階を含む個人情報の取扱い全般を規律するものであることから、『個人データ』（第2条第4項）ではなく『個人情報』（第2条第1項）を規律の対象としている。」（117頁）
（19条）「本法第4章は、基本的に個人情報取扱事業者が事業の用に供する個人情報データベース等を対象としていることから、取得段階の規律は『個人情報』を対象としているが、その後の段階における個人情報の取扱いを規律する場合は『個人データ』が対象となる。」（135頁）
この説明は、解説書全体を通してこれだけしか書かれていないことに注意したい。15条のこの説明は、規制の趣旨を全く理由としておらず、「取得段階では『個人情報』の状態であることによる。」という説明は、法制技術上の都合でしかない。19条の説明に至っては、4章全体が基本的に「個人情報データベース等」を対象とするものだと言いながら、理由もなく「取得段階の規律は『個人情報』を対象としているが、」との文を挿入して、その後の段階は個人データが対象だなどと、不自然な説明で終わっている。
この法制技術上の都合とは、別の例で言えば次のことと同じである。行政機関個人情報保護法は「保有個人情報」が対象情報であるのに、3条の取得段階の規定では「個人情報を保有するに当たっては、」とか、「個人情報を保有してはならない。」といったように「個人情報」の語で規定しているが、その理由は、「保有する前の段階では未だ（保有個人情報ではない）個人情報の状態であるから。」である。こちらの場合は、「保有するに当たっては」と、保有個人情報となることを前提とした規定であるし、「保有してはならない」というのは、違反すれば保有個人情報となることを前提とした規定だから、これで問題とならない。
（略）
4.4.4 反対解釈がもたらした混乱
他方、識者らによる解説書では、15条〜18条と19条以降とで対象情報が異なる理由を、規制の強弱を付ける政策的意図によるものと位置付けるものがほとんどである。
例えば、宇賀(37)は、15条の解説において、「『個人データ』ではなく、『個人情報』全体について、利用目的の特定義務が及ぶ。本条1項にいう個人情報の取扱いは、取得段階も含んでおり、この段階においては、個人情報全般を規制する必要があるからである。」（78頁）としているが、立案担当者らは「規制する必要がある」とはどこにも記していない。
宇賀(37)は、19条（データ内容の正確性の確保）の解説で、「個人情報ではなく、個人データに範囲が限定されているのは、容易に検索しえない散在情報としての個人情報にまで正確性の確保を要求することは、個人情報取扱事業者に過度の負担を課すことになるからである。」（96頁）としている。その指摘自体はその通りに違いないが、そのことが、必ずしも、15条〜18条の義務を散在情報まで対象とする理由となるわけではない。
逐条解説書(18)においても、23条の解説部分に、「特に電子的に処理することが容易な個人データが本人の意思にかかわりなく第三者に提供されれば、本人の全く予期しないところで当該個人データが利用されたり、他のデータと結合・加工されるなどして、本人に不測の権利利益侵害を及ぼすおそれが高まることとなる。」（145頁）という記述があるが、これは、4章全体が「個人情報データベース等」を対象としている理由の一つを説明しているのであって、15条〜18条と違って23条が「個人データ」対象であることの理由を説明しているわけではないと読むことができる。それにもかかわらず、こうした記述が反対解釈を生み、15条〜18条についてはそれ以外に対しても義務を課すのが相当とされているのだと解されるようになったのではないか。
岡村(38)は、定義の総説部分で、「『個人情報』を対象に一定の義務を負うという構造を基本に、『個人情報』のうち『個人データ』に限定して義務の内容が加重され、『個人データ』のうち『保有個人データ』と呼ばれるものである場合には、さらにいっそう義務の内容が加重されるという、いわば『積み上げ構造』とでも呼ぶべき形式が採用されている。」（61頁）とし、「個人情報」と「個人データ」の義務の違いを積極的に区別しているが、立案担当者らはそのようには説明していない。
鈴木(39)は、図2に示す図を用い、「個人情報」と「個人データ」の区分と、義務の条番号とを矢印で結んで、これらの対応関係を積極的に扱った。
しかし、逐条解説書(18)はこのような図を載せていない。似た図として、「『個人情報』・『個人データ』・『保有個人データ』の関係」と題する図（64頁）で、これら定義語の情報の範囲の包含関係をベン図で示してはいるものの、義務との関係を明示していない。その代わりに、「対象となる個人情報、事業者の範囲等」と題する図（70頁）で、図3に示す図を掲載している。この図では、「個人情報データベース等」の枠が「第4章 個人情報取扱事業者の義務」の枠に矢印で直結されており、あたかも、16条、17条の義務が「個人情報データベース等」に対してかかるものであって、それを除いた「個人情報」にはかからないかのような図になっている。
もっとも、この図は、4章の義務がかかるのは「個人情報データベース等」を事業の用に供している者のみであることを言わんとしたものでもあるのだろう。それでも、「対象となる個人情報、事業者の範囲等」と題されているので、上記のようにも読める。この図の構成は、後に消費者庁が発行したパンフレット「よくわかる個人情報保護のしくみ」にも引き継がれており、そこでは、図2のような図が示されることはない(40)。
識者らの解説と政府の解説とでこのような微妙なずれが生じたとすれば、その原因として、識者らは、立案段階の旧法案の趣旨に引きずられたまま、新法案へ変更した立法者意思の趣旨を明確に知らされなかったことがあるのではないだろうか。
（略）
5. 次の改正に向けての提案
（略）また、民間部門で、散在情報を対象から完全に外すことが適切かを検討しなければならない。例えば、防犯カメラに録画される顔を含む映像（顔識別が行われていないならば「個人データ」に該当しない。）に個人情報保護法の規律が何ら及ばなくなる(46)ので、別の規律が必要となろう。
（略）
注釈
(37) 宇賀克也『個人情報保護法の逐条解説〈第4版〉』有斐閣、2013年（初版2004年）
(38) 岡村久道『新訂版 個人情報保護法』商事法務、2009年（初版2004年）
(40) 鈴木正朝『個人情報保護法とコンプライアンス・プログラム 個人情報保護法とJIS Q 15001:1999』商事法務、2004年(40) 消費者庁のパンフレットには、冒頭で「法の義務の対象となる個人情報は、主として「検索することができるように体系的に構成された個人情報（法律上「個人データ」（法第2条）と呼ばれる情報）です。」とも書かれている。とはいえ、その一方で、Q&Aのページには、「カメラで個人を勝手に撮影することは、個人情報保護法違反になりますか。」の問いに、個人情報取扱事業者には15条、16条、17条が適用されるとしており、個人情報データベース等を構成する予定すらない撮影に対しても個人情報保護法が適用されるとしている。
(46) 現行法においても、防犯カメラの録画映像は、15条〜18条の義務は適用され得るが、肝心の安全管理措置（20条）は適用されないのであり、防犯カメラを規律する法律というにはあまりに中途半端である。
高木浩光, “IoTに対応した個人データ保護制度のあり方”, 法とコンピュータ, No.34, pp.47-81（2016年7月）
注釈(40)で述べているように、消費者庁のパンフレットには、Q&Aのところに、監視カメラの録画映像について15条、16条、17条が適用されるとする記述があるが、注釈(46)で述べているように、個人情報保護法を防犯カメラの取り扱いを規律する法律とするには、肝心の安全管理措置義務がないなど、あまりに中途半端すぎる。
経産省ガイドライン（告示）では、ガイドライン本体には、前掲の個人情報保護委員会ガイドラインと同様に、「個人情報に該当する事例」のところに、「事例3）防犯カメラに記録された情報等本人が判別できる映像情報」との記述があるだけで、それ以上の説明は何もなかったが、そのQ&A（告示ではない）で、2005年という早い時期から次の回答がなされていた。
Q 146 店内等に防犯カメラを設置する場合、どのような点に注意が必要ですか。
A 防犯カメラの撮影により得られる容姿の映像により、特定の個人を識別することが可能な場合には、 原則として個人情報の利用目的を本人に通知又は公表しなければなりません。もっとも、「取得の状況からみて利用目的が明らかであると認められる場合」には、その利用目的を公表等する必要がないとされており（法第18条第4項第4号）、一般に、防犯目的のためにビデオカメラを設置し撮影する場合は、「取得の状況からみて利用目的が明らか」であると認められるものと解されます。しかし、防犯以外の目的で利用する場合には、「取得の状況からみて利用目的が明らか」とは認められない可能性が高いため、当該利用目的を公表等する必要があります。(2005.7.28)
これは結局、何もしなくてもよいと言っている。本来必要とされていると考えられる防犯カメラに対する何らかの規制が日本法にはない状況*4において、防犯カメラが広く普及し始めた時期にちょうど成立した個人情報保護法を、その場しのぎにテキトーに当てはめてお茶を濁した*5だけのように見える。*6
先日公表された個人情報保護委員会のガイドラインでは、監視カメラの録画映像に15条〜18条が適用されるとの記載はない。しかし、今後出てくるQ&Aに記載される可能性はあるだろう。
個人情報保護委員会には、安全管理措置義務がないのに利用目的関係義務だけ課すというこの半端さ加減に、疑問を持ってもらいたいものである。もっとも、その半端さを解消するために、安全管理措置義務を散在情報にまで広げるというのには大反対である。その理由は、前掲の論文にも書いているように、本来民間部門において保護の対象とするべきでない情報についてまで義務が課されてしまうのは、弊害が大きすぎるからである。
なお、顔識別カメラを用いて、顔ごとに検索できるよう体系的に構成している場合*7には、「個人データ」に該当し、個人情報保護法第4章の義務が全部かかるということでよい。顔識別をしない録画するだけの監視カメラについてだけ、どう規律すべきかが、お座なりになっているのである。
以上は私の主張にすぎないが、今回の国土交通省の対応は、どういう整理になっているのだろうか。
まず、今回のASKAの映像が「個人情報」に当たらないという見解はまずあり得ないだろう。しかし、自動車局の担当者は「法律に違反するわけではないがモラルとして良くないことなので通知をした」と朝日新聞の取材に答えている。前記のように、報道機関に報道目的で報道機関以外の者（この場合タクシー会社）が提供する行為は、個人情報保護法第4章の適用除外対象ではなく、（提供するものが「個人データ」に該当する場合は）違法である。もっとも、提供された映像は「個人データ」には該当しないので、23条違反ではない。ただ、目的外利用禁止（16条）違反という解釈もあり得るところ、これまでそこがはっきりとは整理されてこなかった。
そうすると、今回の国土交通省の対応は、散在情報である映像は個人情報保護法第4章の義務の対象外であると判断した（個人情報保護法に基づく主務大臣の判断として）ものではないだろうか。そのように理解しない限り、どこかで国土交通省は法解釈を間違えていることになる。*8
だとすれば、私の主張を裏付けるものとなって朗報、ということになる。
もっとも、国土交通省は、JR東日本のSuica乗降履歴提供事案について、未だ、個人データの提供であったという見解を公式に示していない*9ような組織であるから、個人情報保護法の考え方に疎く、単に無頓着なだけという可能性もありそうではある。
*1 来年に予定されている改正法の全面施行までは、この権限は、個人情報保護委員会ではなく、主務大臣にある。
*2 この点は、ちょうど今ホットなトピックとなっている、医学系研究において病院から学術研究機関への提供を適用除外とできるかの論点にも関係するところである。
*3 もしこれが、昨今実用化されつつある顔識別技術を用いて、個人識別符号で検索できるように体系的に構成している場合には、個人データに該当する。
*4 EU諸国においては、2004年の時点で、欧州委員会データ保護指令29条作業部会のWP89「Opinion 4/2004 on the Processing of Personal Data by means of Video Surveillance」で、加盟各国にも、監視カメラに係る特別の規制を設けている国があれば、そうではない国もあり、データ保護法制の中で明示的な規律を置いている国と、そうでない国もあり、まちまちであることが報告されている。
*5 もし、防犯カメラに対する規制が必要では？と政府に問いかければ、個人情報保護法のこの説明が出てきて、既に解決済みであるかのような印象を与える回答がなされて、お茶を濁されるだろう。
*6 このQ&Aにも、防犯カメラ録画映像の目的外利用が16条違反かどうかについては何も触れられていないが、当然のこととして書かれていないのかもしれない。
*7 実例として、読売新聞2015年12月28日朝刊, 「顔データ化 客は知らず 利用目的告知なし 法抵触も」参照。
*8 別の理解として、主務大臣は何も判断していないのであり、この自動車局の対応は、個人情報保護法とは別のところでこのような「通知」をしたにすぎないという見方ができるが、その場合でも、担当者が「法律に違反するわけではない」との見解を示したことは勇み足で、誤っているということになる。
*9 昨年の国会審議では、以下の答弁がなされただけであった。
○福島みずほ君 消費者の立場からすれば、自分のデータをビッグデータにしてそれを売買するということは予想していないと思うんですよ。そんなこと頼んでいないし、そんなこと同意していないよというのが消費者の立場ではないでしょうか。
ＪＲ東日本と日立製作所の連携による四千三百万枚のＳｕｉｃａ情報売買問題に関して、国土交通省はどのような注意、指導を行っているでしょうか。
○政府参考人（篠原康弘君） お答え申し上げます。
御指摘の平成二十五年六月のＪＲ東日本の事案でございますが、ＪＲ東日本によりますと、Ｓｕｉｃａの旅客流動に関するデータの中で、氏名、連絡先、Ｓｕｉｃａ番号等を削除して、個人が特定できないような加工をした上で日立製作所に提供したということでございましたが、国土交通省といたしましては、利用者の不安を惹起するおそれのあるデータの提供につきましては個人のプライバシーに配慮して慎重かつ丁寧な対応を行うことが望ましい旨の指摘を行ってございます。
○福島みずほ君 このＳｕｉｃａ情報売買は、現行法において、適法なんでしょうか違法なんでしょうか。
○政府参考人（二宮清治君） お答え申し上げます。
事案の発生当時、Ｓｕｉｃａに関するデータにつきましては、氏名、連絡先、Ｓｕｉｃａ番号等を除くことなどによりまして、個人が特定できないよう加工した上で日立製作所の方に提供されたものだというふうに承知をしているところでございます。
個人情報保護法上、個人情報とは、特定の個人を識別することができるものをいい、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含むというふうに規定をしているところでございます。
他の情報と容易に照合できるかどうかにつきましては、当該情報にアクセスできる者の範囲、アクセス制限の技術的な措置等を踏まえて総合判断をする必要がございまして、御指摘の事案につきましては直ちに違法性があるとまでは言えないということで、このような事案につきまして、ＪＲ東日本を始め、グレーゾーンとして対応が困難という意見があるところでございます。
したがいまして、現在、匿名加工情報という新たな類型を設けることといたしまして、法改正案を国会で御審議をいただいているところでございます。
参議院地方・消費者問題に関する特別委員会第5号, 平成27年6月10日
宇賀先生の大著「個人情報保護法の逐条解説」（有斐閣）の第5版が11月に出版され、その中で拙稿（ビジネス法務16巻11号の特集「改正 個人情報保護法への最新対応」中の「改正はデータ利活用を促進するか――匿名加工情報の制度概要と匿名加工基準の規則案」）についても参照して頂いている*1と聞き、早速読ませて頂いた。すると、参照して頂いた部分とは別に、いくつか重要な第4版からの変更点が見つかった。また、法改正に伴って加筆された匿名加工情報関係のところにも、重要な論点となる部分があったので、これらについて私の考えをここに書いておく*2ことにする。
2条1項の「当該情報に含まれる氏名、生年月日その他の記述等……により特定の個人を識別することができるもの」の解説部分（38頁）に、なんと、以下のように加筆された。
個人を識別できるとは、誰か1人の情報であることが分かることを意味し、特定の個人を識別できるとは、識別される個人が誰か分かることを意味する。特定を要件としているのは、名寄せが容易であり、個人との結びつきが明確であるため、その取扱いによっては本人の権利利益を侵害するおそれがあるからである。特定個人識別性の判断主体は事業者であるが、一般人の判断力・理解力により、当該情報を特定の個人に結びつけることが可能か否かが判断基準となる。個人識別情報を広く対象としており、要配慮個人情報（2条3項）のみを対象とするものではない。特定個人識別性のない情報であっても、知的所有権に係る情報のように、（略、以下変更なし）
宇賀克也, 個人情報保護法の逐条解説《第5版》, 有斐閣, 38頁
この部分は、これまでの第4版では以下のように書かれていた。
個人識別情報を広く対象としており、センシティブ情報のみを対象とするものではない。「氏名、生年月日その他の記述等」の「その他の記述等」とは、電話番号、会員番号等の番号も含まれる。また、映像、声、指紋、筆跡等により、本人を識別しうる場合も、「その他の記述等」に含まれる。個人識別性のない情報であっても、知的所有権に係る情報のように、（略、以下変更なし）
宇賀克也, 個人情報保護法の逐条解説《第4版》, 有斐閣, 28頁
このように、第4版までは「個人識別性」の語で書かれていたところが、第5版では「特定個人識別性」に書き換えられている。そして「識別非特定情報」の語も、後ろのページで以下のように使われている。
特定の匿名加工情報を容易に検索することができることが要件になっているので、識別性は存在するが、匿名加工情報であるので特定性はないいことになり、識別非特定情報を事業の用に供する者になる。
宇賀克也, 個人情報保護法の逐条解説《第5版》, 有斐閣, 77頁
これにはやや驚いた。「特定」と「識別」の区別は、正式な政府見解には至っていないと理解している。国会でもこの概念を用いた答弁はなかったと記憶している。宇賀先生は、パーソナルデータ検討会の技術検討WG報告書（2013年12月）が示した概念を採用されたようだ。
実は、私は、政府はこのような見解を公式にとるべきではないと考えている。私自身も、2013年4月の総務省のパブコメで、「特定個人識別性と不特定個人識別性を区別した上で両方を論点とするべき」とする意見*3を提出していたわけで*4、その通りになったとも言えるわけだが、3年半前に私がこのように主張したのは、世間では、個人情報保護法の「個人情報」該当性が、このような意味での「特定個人識別性」に限定されていて、「不特定個人識別性」（識別非特定情報）まで含めて捉えられてはいないという現実に直面していたからだった。一方、昭和63年法（行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律）のときの「個人情報」定義には、「特定の」の語は付されておらず、また、「個人別に付された番号、記号その他の符号により当該個人を識別できるもの」との条文もあったことから、もしかすると、最初の立法時点では、このような意味での「特定個人識別性」に限定されてはいなかったのではないか（民間部門で言う会員番号等に相当する符号も当初から含めていたのではないか）という考えもあった。
仮に昭和63年法からそうだったのだとしても、現に多くの人々がそうは考えていない状況では、これらをまず区別しなければ議論が深まらないわけで、だからこのような区別をしてきたのであり、技術検討WG報告書がこれを記した趣旨も、議論のための概念整理であって、現行法の解釈がそうだと指摘したものではなかったはずだ。だから、正式な政府見解には採用されていないし、国会答弁にも出てきていない。
法案が国会に提出される直前、個人識別符号の定義条文に、政府案にはなかった「特定」の文言が（新経済連盟の意向を汲んだ）与党提言によって挿入されたが、「特定」の文言の有無によって何が異なるのかの見解は明らかにされておらず、個人情報の範囲はこれまでと同じだという見解しか示されていない。つまり、「特定」の文言があろうがなかろうが、従前も政府解釈は「識別非特定情報」の一部を個人情報としてきた（昭和63年法の言う「個人別に付された番号、記号その他の符号により当該個人を識別できるもの」がこれに該当）という余地が残されているとも言える。
それを、こうのようにして、あたかも現行法の解釈として「特定」と「識別」が区別されていて、「特定個人識別性」のあるもののみが保護対象である*5かのように解説するのは、政府解釈と異なる可能性のある理解が広まってしまい、次の改正でEU法との整合性を図ることへの障害として作用する恐れがあると批判しておきたい。
続いて、「（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」の解説部分（39頁）に、以下の強調部が加筆された。
ある情報を他の情報と組み合わせることによって、不開示規定により守られるべき不開示情報が認識されるかを判断することをアメリカではモザイク・アプローチ（宇賀・情報公開209頁参照)、イギリスではジグソー・アプローチという。それで自体で特定の個人を識別できる場合のみならず、当該個人情報取扱事業者の内部において、他の情報と容易に照合することにより特定の個人を識別できる場合には、個人情報として保護することにより、個人の権利利益の侵害を未然に防止することとしている。
宇賀克也, 個人情報保護法の逐条解説《第5版》, 有斐閣, 39頁
この強調部は、第4版にはなかった記述である。平成15年法の立案担当者らによる逐条解説書にもこれに相当する記述はなかった。「当該個人情報取扱事業者の内部において、他の情報と容易に照合」と書かれたことから、いわゆる「提供元基準」が明確に言及されたことになる。
これは、昨年の法改正での国会審議で「提供元基準」が確認的に示されたところ*6であるが、それだけでなく、11月23日の日記「容易照合性が提供元基準でファイル単位なのは昭和61年からだった（パーソナルデータ温故知新 その4）」に書いたように、昭和63年法の原案を提案した行政管理局研究会のとりまとめで、「当該情報のみでは特定個人を識別できないが、当該機関が保有する他のファイル又は台帳等と照合することにより識別できるものは含む」と書かれていたことと付合するので、これでよいのだと思う。
ここで、「当該個人情報取扱事業者の内部において」照合できる場合を対象とすることが、なぜ、「個人の権利利益の侵害を未然に防止する」ことになるのかが重要であるところ、その説明はない。これについての私の考えは、「容易照合性が提供元基準でファイル単位なのは昭和61年からだった」の続きとしていずれ書く予定である。
ところで、ここの解説に、「不開示規定により守られるべき不開示情報が認識されるかを判断すること」云々が持ち出されている（これは第4版でも同じだった）ことについては、批判しなければならない。これは、情報公開法における「個人に関する情報であって……」（情報公開法5条1号）の概念について触れたものであろう。情報公開法の5条1号と個人情報保護法の個人情報は、条文こそよく似ているが、その趣旨は全く異なるものであった可能性がある（実際、「容易に」の有無の違いとして条文に現れている）にもかかわらず、その点を疑わずに同一視しているのは、容易照合性の解釈を本来趣旨から乖離させる原因となっている（どのように乖離しているかは上記の「続き」で書く予定）と私は考えるので、このような解説方法には問題があると指摘したい。
「Q14問題」とは、「パーソナルデータ保護法制の行方 その9」で書く予定だった（が未だ書いていない）もので、2月24日の日記「防衛庁情報公開請求者リスト事件は10年先行くSuica事案だった（パーソナルデータ温故知新 その2）」の「Q14問題の元凶がここに」で若干触れていた件である。
すなわち、2013年のSuica乗降履歴提供事案において、JR東日本が「個人データの提供に当たらない」とした理由の一つに、「自社内で別々のデータベースで管理しているから容易照合性がない」*7としたのに対し、少なくとも鈴木正朝先生を含む我々の見解は、一つの事業者内でそれらのデータベースが存在する以上は容易照合性があると解釈すべきというものであった。
「別々のデータベースで管理しているならば容易照合性がない」とする立場のことを「アクセス制御説」と我々は呼んでいるが、そのような解釈に立つと、個人データ保護の趣旨からして制度が根底から瓦解すると我々は考えているところ、その理由を一言で説明するのは容易でなく（「その9」を未だ書けていない）、そういう中で、宇賀本第4版に以下の記述があったことは、アクセス制御説をとる人たちにとって格好の根拠となっていて、我々にとっては障害となっていた。
本項における「容易に」のの要件をいかに解するかは解釈に委ねられることになるが、他の事業者に通常の業務では行っていない特別な照会をし、当該他の事業者において、相当な調査をして初めて回答が可能になるような場合、内部組織間でもシステムの差異のため技術的に照合が困難な場合、照合のため特別のソフトを購入してインストールする必要がある場合には、「容易に」の要件を満たさないであろう。
宇賀克也, 個人情報保護法の逐条解説《第4版》, 有斐閣, 29頁
これが、今回の第5版で、上記の強調部が削られ、以下のように変更された。
本項における「容易に」の要件をいかに解するかは解釈に委ねられることになるが、他の事業者に通常の業務では行っていない特別な照会をし、当該他の事業者において、相当な調査をして初めて回答が可能になるような場合や、照合のため特別のソフトを購入してインストールする必要がある場合には、「容易に」の要件を満たさないであろう。
宇賀克也, 個人情報保護法の逐条解説《第5版》, 有斐閣, 40頁
これにより、宇賀説は「アクセス制御説」を否定したものと考えられる。
ただ、それでもなお、「照合のため特別のソフトを購入してインストールする必要がある場合」が残っている*8点には、賛同できない。
もっともこのフレーズは、平成15年法の立案担当者らによる逐条解説書にもあった。
「他の情報と容易に照合することができ」とは、それ自体では個人識別性がない情報について、特別の調査を行なったり、特別のソフトを組み込むといった特別の費用や手間をかけることなく、すなわち、事業者において通常の業務における一般的な方法で、個人を識別する他の情報との照合が可能な状態である。これに該当しない場合としては、例えば、日常的に行われていない他の事業者への特別な紹介を要する場合、内部でもシステムが異なる等の事情により技術的に照合が困難な場合が考えられる（事業者または内部組織の間で組織的・経常的に相互に情報交換が行われれている場合等は、「容易に照合することができ」る場合に当たると考えられる。）。
園部逸夫編 個人情報保護法制研究会著, 個人情報保護法の解説《改訂版》, ぎょうせい, 2005年, 49頁
この逐条解説書は政府見解を探る上で大半は信頼に足るものであるが、唯一受け入れがたい、勇み足ではないかと疑われる記述が、この部分だった。宇賀説はこれの一部を否定したことになる。
なお、先月公表された、個人情報後委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」では、ここの解釈について、次のように説明している。
「他の情報と容易に照合することができ」るとは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
個人情報後委員会, 個人情報の保護に関する法律についてのガイドライン（通則編）
このようにガイドラインは、逐条解説書の解説を採用しておらず、「事業者の実態に即して個々の事例ごとに判断されるべきであるが」と一般論でお茶を濁している。これは、委員会においてもどのような解釈をとるべきか決めあぐねていて、解釈の確定を先送りしているものと私は理解している。
ここの解釈は、前記のように、提供元基準の趣旨（なぜその場合を対象とすることが本人の権利利益保護となるのかの理由）に立ち戻って整理する必要があると私は考えている。今後、誰もが納得できるような整理を示していきたい。
（中編・後編に続く）
*1 235頁で「このように、個人情報保護委員会規則では、いずれの事業者にも適用される一般的な必要最小限の加工方法を示すにとどめており（これについて、高木浩光……17頁以下参照）、具体的な加工方法は……」との文脈で参照頂いている。ただ、拙稿では「いずれの事業者にも適用される一般的な必要最小限の加工方法を示すにとどめている」と書いた記憶がない。それは個人情報保護委員会（と法改正をした内閣官房IT総合戦略室）がかねてより示していた見解であり、私がビジネス法務誌で書いたことは、匿名加工基準の委員会規則である施行規則19条をどう読むのかについてであった。おそらく、宇賀先生が参照してくださった趣旨は、施行規則19条をどう読むかについて参照せよということなのだと思う。
*2 いずれは論文や解説記事で書いていきたいが、取り急ぎ。
*3 この意見は、総務省情報流通行政局情報セキュリティ対策室による「パーソナルデータの利用・流通に関する研究会」報告書の公表とともに、「「パーソナルデータの利用・流通に関する研究会」論点整理に対する意見募集で寄せられたご意見について」として公表されており、以下の内容が掲載されている。この仮の用語の「不特定個人識別性」は当時評判がすこぶる悪く（不特定では意味がわからないと何人もの識者に言われた。）、後の技術検討WGでは「識別非特定」の語が編み出された。
平成25年4月17日
産業技術総合研究所 セキュアシステム研究部門 セキュアサービス研究グループ意見1 特定個人識別性と不特定個人識別性を区別した上で両方を論点とするべき
「論点整理」に書かれている「個人識別性」の言葉は意味が曖昧であり、二つの解釈があり得る。すなわち、個人情報保護法の「個人情報」定義が要件としている「特定の個人が識別される」場合（氏名住所等によりそれが実際に誰であるかまでが識別される場合、言い換えれば、個人が特定される場合）（以下、特定個人識別性という。）と、特定の個人は識別されない（個人は特定されない）が個人の識別は行われる（一人一人が区別・同定される）場合（以下、不特定個人識別性という。）である。後者の形態による個人に関する情報の収集・蓄積は、今日、一部の事業者により行われており、そこでは何らかの識別子を用いていわば仮名の状態で個人に関する情報が蓄積されている。
「論点整理」は、両者を明確に区別することなく「個人識別性」と表現しているため、後者を含む意味で書かれているのかが明らかでない。例えばp.2には「パーソナルデータの利活用が、プライバシー等の観点から問題となり得るのは、特定の個人と結びつきが強い場合である」との記述があるが、「特定の個人」とあることから、これは前者のみを指していて、後者を含めていないように読める。しかし、以下に示す意見2の通り、後者をも論点とするべきと考える。
したがって、まずは特定個人識別性と不特定個人識別性を区別した上で、両方についてを論点とするべきである。
*4 さらに遡ると、2010年の堀部政男情報法研究会の第3回シンポジウムで「インターネットにおけるID利用の現状とプライバシーの課題」と題して登壇させていただいたときに、「特定と識別」というスライド（5頁）を用いて、「識別して個人を特定する」と「識別するが個人を特定しない」とを対比させていた。
*5 ちなみに、「特定を要件としているのは、名寄せが容易であり、個人との結びつきが明確であるため、その取扱いによっては本人の権利利益を侵害するおそれがあるからである。」と書かれている文は、平成15年法の立案担当者らによる逐条解説書の以下の記述からの借用と思われる。
「個人に関する情報」のうち、特定の個人を識別できる情報は、コンピューター処理によって「名寄せ」が容易であることに加えて、当該情報と本人との結びつきが明確であることから、その取扱いによって本人に権利利益の侵害がもたらされる可能性がある。
園部逸夫編 個人情報保護法制研究会著, 個人情報保護法の解説《改訂版》, ぎょうせい, 2005年, 49頁
*6 国会で「提供元基準」に言及された部分として以下がある。
○政府参考人（向井治紀君） お答えいたします。
日本の個人情報の定義は、容易に照合できる、他のデータと合わせて個人が識別できるものというふうになっているところでございます。
その際に、情報を移転する際に、容易に照合するのは情報の移転元か移転先かという議論がございます。日本の場合、これは情報の移転元で容易照合性があるということで解釈が統一されておりまして、そういたしますと、一旦個人情報となりますと、その情報の一部を提供する場合でも、これは大抵の場合、提供元において容易照合性はありますので、個人情報になってしまうという、そういうことはございます。
第189回国会参議院内閣委員会第10号, 平成27年5月28日
*7 2013年7月25日付でJR東日本が発表した資料「Suicaに関するデータの社外への提供について」において、最終ページで、「情報ビジネスセンターでは、個人を特定できないデータを利用しています」、「情報ビジネスセンターと業務セクションとは厳格に分離※しています。※組織、作業環境、スタッフ（アクセス権限）、システム」として、2つのデータベース間にファイアウォールを置いている図を示していた。（2016年2月24日の日記脚注6再掲）
*8 ちなみに、今回の削除によって、この「照合のため特別のソフトを購入してインストールする」主体が誰なのかが、第4版と第5版とで違ってしまっているが、よいのだろうか。第4版では、「内部組織間でも」に続く文として読解され、インストールするのは当該事業者であったのが、第5版では、「他の事業者において」に続く文として読解され、インストールするのは他の事業者となってしまっている。