<前の日記(2015年03月08日) 次の日記(2015年03月15日)> 最新 編集

高木浩光@自宅の日記

目次 はじめに 連絡先:blog@takagi-hiromitsu.jp
訪問者数 本日: 1572   昨日: 2734

2015年03月10日

匿名加工情報の規定ぶりが生煮えでマズい事態に(パーソナルデータ保護法制の行方 その15)

個人情報保護法の改正を含む法案が、国会に提出されたとのことで、条文がWebに掲載された。

新旧対照表をパッと見てスッと気づくのは、「匿名加工情報」の取扱い義務の規定ぶりに重大な不具合がある点である。

まず「匿名加工情報」の定義を見てみると、次のようになっている。

第二条

9 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

一 第1項第一号に該当する個人情報  当該個人情報に含まれる記述等の一部を削除すること(当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む 。)。

二 第1項第二号に該当する個人情報  当該個人情報に含まれる個人識別符号の全部を削除すること( 当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えること を含む。)。

「次の各号に掲げる個人情報の区分」云々は、改正される「個人情報」定義の方を見る必要があるが、ここでの論点には影響しないので、その辺りを飛ばして理解すると、要するに、ざっくり言えば、「匿名加工情報」とは、個人情報の一部を削除したり他の記述に置き換えたりする加工をしたもので、当該個人情報を復元することができないようにしたものである。

この定義には、何のために作成したものかといった、その情報を取り扱う者の主観的要件は入っておらず、客体の該当性が客観的に決まるように定義されている。したがって、どんな状況であれ、どんな情報であれ、個人情報の一部を削除したり他の記述に置き換えたりする加工をすると、それが客観的に、元の個人情報を「復元することができないようにしたもの」と言えるものならば、いつでも「匿名加工情報」に該当する。

加工方法はほとんど限定されておらず、一部を削除したり他の記述に置き換える加工は、何ら特殊なものではないので、ごく普通に誰でも日頃から「匿名加工情報」を何の気なしに作成していることになる。

次に「匿名加工情報取扱事業者」の定義を見てみると、次のようになっている。

10 この法律において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの*1(第三十六条第一項において「匿名加工情報データベース等」という。)を事業の用に供している者をいう。ただし、第五項各号に掲げる者を除く。

「匿名加工情報データベース等」、つまり処理情報(「行方 その3」参照)に限定されていて、「事業の用に供している者」とあるので、義務がかかるのはそういう者に限られる。

ここで、「匿名加工情報」とはどういう趣旨のものだったか、12月の「骨子(案)」で確認してみると、図1のように書かれていた(強調部は筆者による)。つまり、いずれの義務も、「第三者提供するために作成された匿名加工情報」に関する規律であり、また、それを受領した者に対するその情報の取扱いについての規律である。

では、義務規定の条文はどうなっているだろうか。

第4章に新たな第2節「匿名加工情報取扱事業者等の義務」が挿入され、36条から39条に「匿名加工情報」の取扱いに関する規定が並んでいる。

第二節 匿名加工情報取扱事業者等の義務

(匿名加工情報の作成等)

第36条 個人情報取扱事業者は匿名加工情報(匿名加工情報データベース等を構成するものに限る。以下同じ。*2を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない

2 個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。

3 個人情報取扱事業者は匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない

4 個人情報取扱事業者は匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない

5 (略)

6 個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

これを見るとすぐにわかるように、「第三者提供するために」という限定は消散してしまっている。

4項では「匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは」とあるから、骨子案の(イ)の通りになっているが、1項、2項、3項、5項、6項はそうなっていない。

36条1項によれば、匿名加工情報を作成するときは、委員会規則で定められた基準に従わなければならないそうだ。委員会規則で定められた基準に従った加工をしたものが「匿名加工情報」なのではない。ほとんどどんな方法であれ加工をしたものは皆「匿名加工情報」に当たるのに、そういう加工をするときは、常に委員会規則で定められた基準に従わなければならないというのである。

つまり、委員会規則で定められた基準に従わない「匿名加工情報」の作成は法律で禁止されることになる。第三者提供するつもりがなくても、である。

これは大変マズい。これまでも、個人情報取扱事業者は、自社内で個人データを取り扱うときに、氏名を削除するなどの加工をして、その後に統計化するなどの処理を、ごく普通に当然の適法な行為と疑うことなく行ってきただろう。それが、この改正によって違法となってしまう。そんなバカなと思われるかもしれないが、条文上はそうなっている。

また、同条3項によれば、匿名加工情報を作成したら、その項目を公表しなければならないそうだ。いついかなる時もである。事業化する前の段階でテストとして試しにちょっと匿名加工情報を作ってみただけでも*3、公表しないでいると違法になってしまう。そんなご無体な。これじゃまるで危険物の取締りのようだ。

同様に、第三者提供するつもりがなくても、同条2項により、「行った加工の方法に関する情報の漏えいを防止するため」の安全管理措置義務を負うことになるし、同条6項により、苦情の処理も受け付ける努力が求められる。自社内でどんな匿名加工しようが勝手なのに。

どうしてこんなことになってしまったのだろうか。

36条5項を見ると興味深いことが書かれている。「匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては」とある。なんと、匿名加工情報を自社内で扱う場合についても個別に義務が規定されているのである。

5 個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。

この規定はいったい何のためにあるのだ? 第三者提供するために匿名加工情報を作成した場合であっても、提供元でそれを再識別して何が悪い*4というのだろう。元のデータを持っているのに。

ここで思い出すのが、昨年4月の事務局案である。次のように、「個人特定性低減データを内部において活用する場合について」が資料では検討されていた。図のように、本人同意なしに目的外利用できるようにする策として検討されている。

図2: 「「個人情報」等の定義と「個人情報取扱事業者」等の義務について(事務局案)」(2014年4月16日)より

この論点は検討会の席では全く議論されなかったと記憶している。6月の大綱でどう書かれていたかを確認してみると、「個人データの第三者提供や目的外利用に関して、本人の同意に基づく場合に加え、新たに「個人データ」を特定の個人が識別される可能性を低減したデータに加工したものについて」と、「目的外利用」が一応残っていたようである。

そのような措置は全く必要がない。その理由は、前回の日記の利用目的変更の件と同様で、統計化への入力は個人情報の利用に当たらない(経産省Q45)からである。統計化以外の利用というと、本人へのターゲティングやオーソドックスな連絡など、本人に対して何かする利用しか残らない*5。本人に対して何かするには、匿名加工情報から本人を再識別しなくてはならないのだから、匿名加工情報の基本ルールに違反するので、そのような用途は元々意味をなさない。

まさか、匿名加工情報にして、そのまま、統計化するのでもなく、第三者に提供するわけでもなく、本人に再識別化して何かするでもなく、ただただ匿名加工情報の状態で保管するという謎の「目的外利用」を合法化したいとでも言う話なのだろうか?*6

骨子案では完全に「第三者提供するために」と限定されていたので、安心していたのだが、こんなことになってしまうとは……orz。

不具合は他にもある。

先ほどから「第三者提供」「第三者に提供」という言葉を使っているが、これの意味は、現行法でも注意を要する言葉である。

委託・事業承継・共同利用の場合は、23条の制限から除外されているわけだが、これは、これらの相手先が(言葉の自然な意味として)「第三者ではない」からではなく、同条4項で「第三者に該当しないものとする」とあえて規定されていることによる。

4 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については第三者に該当しないものとする

一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

今回の改正案を見てみると、23条のこの規定は次のようになっている。(新4項が挿入されたため、5項にずれている。下線部は現行法から変更される部分を表す。)

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については第三者に該当しないものとする

一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

基本的に変わっていない*7。「前各項の規定の適用については」とあるので、改正後でも、委託・事業承継・共同利用での提供が第三者提供に当たらないのは、23条内に限られる。

ここで、匿名加工情報の提供に関する規定である、36条4項と37条を見てみると、次のようになっている。

第36条

4 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

第37条

匿名加工情報取扱事業者は、匿名加工情報(自ら個人情報を加工して作成したものを除く。以下この節において同じ。)を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

23条と同様の除外がない。ということは、委託・事業承継・共同利用の場合も、これらは適用されることになる。

これはマズい。これまでも、一般に、データ処理の委託のために、個人データを半生データに加工(氏名を削除するなど)して「匿名加工情報」の形で委託先にデータを預託することは、安全管理措置の一環として、ごく普通に行われている。これが、今回の改正で、委託元に「項目及びその提供の方法について公表する」義務が新たに課されることになる。

こうした加工をしないで生データのまま個人データを委託先に預託する場合は何ら義務がかからない(22条の委託先の監督義務はあるにせよ)のに、安全管理措置として良かれと思って半生データに加工すると、「項目及びその提供の方法について公表する」義務がかかることになる。これでは、余計な義務を嫌がって、生データのまま預託する事業者が続出するだろう。この改正によって、安全管理措置の一つが蔑ろにされ、社会全体のデータ漏洩の脅威が増大することになる。

それだけではない。匿名加工情報の加工方法は、36条1項により、委員会規則で定める基準に強制されるので、もし、その委員会規則の基準が、仮名化(氏名を削っただけ)では匿名加工として認めないレベルで制定された場合には、委託の際の安全管理措置として半生データを作成・提供することが、違法になってしまう。そのため、委託のときは生データで預託するしかない場合が続出しそう(k-匿名化したら用をなさないような委託ではそうするしかない)である。

これは意図した規定ぶりなのか? ミスではないのか。それとも、「第三者」の語は断らなくても、委託・事業承継・共同利用の場合は該当しないという前提なのか?

新25条(第三者提供に係る記録の作成等)を見ると、こちらにはちゃんと、「ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれか(前条の規定による個人データの提供にあっては、第二十三条第一項各号のいずれか)に該当する場合は、この限りでない。」との除外規定が入っている。ここでは意識されていたようだから、断らなくても該当しないという前提ではないだろう。

これを見てさらに気づいたが、個人データの提供では、23条1項各号の例外で、法令に基づく場合、人の生命、身体又は財産の保護のために云々、公衆衛生の向上又は児童の健全な育成の推進のため云々などの場合で、各義務や禁止が解除されるが、匿名加工情報を提供する場合には、これらの適用除外がない。

したがって、匿名加工情報を提供するときは、法令に基づく場合であっても、「第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する」義務が課される。これは、匿名加工情報取扱事業者に警察が捜査協力を求めるときに支障をきたすことにならないか。大丈夫か。

まあ、ここは、「個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する」なので、委員会規則で、法令に基づく場合は公表しなくてよいと規定することで、どうにかできるか。しかし、「個人情報保護委員会規則で定めるところにより」というのは、適切な公表のあり方を定めるものと普通は読むのだろうから、「公表しなくてよい」という「公表のあり方」を委員会規則が定めるというのは、アリなのだろうか?

不具合らしき点はさらにある。

この制度の趣旨は、匿名加工情報に加工すれば本人同意なく第三者提供できるとするのであるから、36条の次あたりに、「匿名加工情報は、23条の規定にかかわらず、第三者に提供することができるものとする。」といった規定が入るものだとばかり思っていたが、そういう規定がない。23条側にも、「匿名加工情報を除く」といった除外が入っていない。

ということは、もし、匿名加工の委員会規則の基準で、仮名化もアリだとされた場合を想定すると、個人データを仮名化しただけでは、提供元基準において、元データと照合することができる場合には、個人データの提供に当たるから、匿名加工情報に加工して提供しても、個人データの提供にも該当してしまって、23条により提供禁止になってしまう。

いや、もっと簡単に言うと、個人データの提供に当たらない匿名加工情報の提供しか認められないのだから、それって、現行法でも合法なのでは?と。匿名加工情報の制度を設けた意味がまるでなし!

はー。どうしてこうなった。

大綱から半年以上もあったのに、いったい何をやっていたのか。もっと早い段階から条文案を公開して皆で議論するなり、専門家に見せて意見を集めるなり、できないのだろうか。いや、条文は役人が作るものであって、外部で検討するのは骨子までだというのは、国のこれまでの慣習なのだろう。骨子さえ完成させれば、あとは内閣法制局が完全無欠の条文に落とし込んでくれるはずだと。

しかしこの体たらくは何だ。内閣法制局がいかに天才プロフェッショナル集団であろうとも、直せるのは条文上の形式的な綻びまでで、委託先に仮名化データを渡すのが普通といった、ビジネスの現場がどうなっているかまでは、察知できないということなのか。

奇しくも、今日、新経済連盟代表理事の三木谷浩史様から、ありがたいお言葉があった。

  • 改正個人情報保護法案に関する代表理事コメントを公表しました, 新経済連盟, 2015年3月10日

    改正個人情報保護法案に関するコメント

    新経済連盟代表理事

    三木谷 浩史

     本日、閣議決定された改正個人情報保護法案に関して以下のとおりコメントします。

    1.パーソナルデータの利活用は、日本の産業競争力強化の最も重要なファクターであり、ユーザビリティの向上としても重要な要素である。

    2.インターネットというグローバルネットワークにより、ビジネスは国境をまたぐ。わが国の行政執行が外国企業に対しては直接執行できないもとで、日本の事業者のみが規制強化となり競争力がそがれる事態になることは避けるべきである。

    3.保護と利活用のバランスを図っていくためには、第三者委員会での解釈運用に依存するので、第三者委員会(委員及び専門委員)と事務局のメンバー構成が重要である。民間のビジネス実態がわかるものがどちらでも半数以上を占めるようにすべきである。

    以上

まさに至言! ここはひとつ、民間のビジネス実態がわかる者の頂点に立つ、三木谷浩史様にこそ、この条文の不具合を直すよう、国会に働きかけていただきたくお願い奉ります。*8

第三者委員会の専門委員には、こうした不具合を直すクイズに正解できる者だけが、就任の資格を得られるよう、お取り計らいいただきたい。

*1 現行法の「個人情報データベース等」定義(2条2項)の一号と二号に並ぶものであろう。その類推から、後段の「その他政令で定めるもの」は、カルテのように紙媒体が整理されて並べられているものを想定していると思われる。

*2 この括弧書きは、「個人情報」に対して散在情報(「行方 その3」参照)を除外した「個人データ」が定義されているように、「匿名加工情報」に対して散在情報をを除外した「匿名加工データ」を定義するべきところ、そのような用語定義をしないで、義務規定内で直接、散在情報を除くよう限定をかけたものである。ちなみに、これが「散在情報 vs 処理情報」の論点(「行方 その3」参照)に関連して、大変興味深いのだが、それについては、「行方 その3」を書いてから、次回以降で。

*3 事業化する前なら、匿名加工情報データベース等を事業の用に供していないので、匿名加工情報取扱事業者に当たらないが、36条の名宛人は個人情報取扱事業者なので、事業化前でも該当してしまう。36条の対象情報は、1項の括弧書きで「匿名加工情報データベース等を構成するものに限る」とされているが、匿名加工情報データベース等は事業の用に供しているものに限られていないので、テストで作成しただけの事業化前であっても、やはり該当してしまう。

*4 プライバシー権(個人の権利利益)に対するインパクトなどありやしない。

*5 ここでは自社内利用の話をしているので、第三者提供は関係ないので。

*6 図2には、「事業者ヒアリングにおいて指摘された」とあるが、その事業者は具体的に何をしたかったのか? 抽象的にただ「目的外利用がしたい」とだけ言っていたのか?

*7 変更された下線部は、「個人データが提供される場合」に揃えただけの、法技術的修正にすぎないと思われる。

*8 というか、すでに条文をご覧になったのでは?お気づきにならなかったのかしら?

本日のTrackBacks(全1件) [TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20150310]
検索

<前の日記(2015年03月08日) 次の日記(2015年03月15日)> 最新 編集

最近のタイトル

2024年03月16日

2024年03月13日

2024年03月11日

2023年03月27日

2022年12月30日

2022年12月25日

2022年06月09日

2022年04月01日

2022年01月19日

2021年12月26日

2021年10月06日

2021年08月23日

2021年07月12日

2020年09月14日

2020年08月01日

2019年10月05日

2019年08月03日

2019年07月08日

2019年06月25日

2019年06月09日

2019年05月19日

2019年05月12日

2019年03月19日

2019年03月16日

2019年03月09日

2019年03月07日

2019年02月19日

2019年02月11日

2018年12月26日

2018年10月31日

2018年06月17日

2018年06月10日

2018年05月19日

2018年05月04日

2018年03月07日

2017年12月29日

2017年10月29日

2017年10月22日

2017年07月22日

2017年06月04日

2017年05月13日

2017年05月05日

2017年04月08日

2017年03月10日

2017年03月05日

2017年02月18日

2017年01月08日

2017年01月04日

2016年12月30日

2016年12月04日

2016年11月29日

2016年11月23日

2016年11月05日

2016年10月25日

2016年10月10日

2016年08月23日

2016年07月23日

2016年07月16日

2016年07月02日

2016年06月12日

2016年06月03日

2016年04月23日

2016年04月06日

2016年03月27日

2016年03月14日

2016年03月06日

2016年02月24日

2016年02月20日

2016年02月11日

2016年02月05日

2016年01月31日

2015年12月12日

2015年12月06日

2015年11月23日

2015年11月21日

2015年11月07日

2015年10月20日

2015年07月02日

2015年06月14日

2015年03月15日

2015年03月10日

2015年03月08日

2015年01月05日

2014年12月27日

2014年11月12日

2014年09月07日

2014年07月18日

2014年04月23日

2014年04月22日

2000|01|
2003|05|06|07|08|09|10|11|12|
2004|01|02|03|04|05|06|07|08|09|10|11|12|
2005|01|02|03|04|05|06|07|08|09|10|11|12|
2006|01|02|03|04|05|06|07|08|09|10|11|12|
2007|01|02|03|04|05|06|07|08|09|10|11|12|
2008|01|02|03|04|05|06|07|08|09|10|11|12|
2009|01|02|03|05|06|07|08|09|10|11|12|
2010|01|02|03|04|05|06|07|08|09|10|11|12|
2011|01|02|03|05|06|07|08|09|10|11|12|
2012|02|03|04|05|06|07|08|09|
2013|01|02|03|04|05|06|07|
2014|01|04|07|09|11|12|
2015|01|03|06|07|10|11|12|
2016|01|02|03|04|06|07|08|10|11|12|
2017|01|02|03|04|05|06|07|10|12|
2018|03|05|06|10|12|
2019|02|03|05|06|07|08|10|
2020|08|09|
2021|07|08|10|12|
2022|01|04|06|12|
2023|03|
2024|03|
<前の日記(2015年03月08日) 次の日記(2015年03月15日)> 最新 編集