「パーソナルデータの利活用に関する制度改正大綱」に関する意見
2014年7月15日
「パーソナルデータの利活用に関する制度改正大綱」に関する意見
消費者委員会
本年6月24日、政府は高度情報通信ネットワーク社会推進戦略本部で「パーソナルデータの利活用に関する制度改正大綱」（以下「大綱」という。）を決定した。大綱は、「パーソナルデータの利活用に関する制度見直し方針」（平成25年12月20日高度情報通信ネットワーク社会推進戦略本部決定）を踏まえた、パーソナルデータに関する検討会（以下「検討会」という。また、検討会に置かれた技術検討ワーキンググループを、以下「技術検討ＷＧ」という。）での検討に基づき、個人情報保護関係法令の改正等により具体的に措置する内容について、政府として方向性を示すものである。
制度改正の検討の背景は、次のようなものである。すなわち、個人情報の保護に関する法律（以下「現行法」という。）の制定から10余年が経過し、この間の情報通信技術の発展により、多種多様かつ膨大な、いわゆるビッグデータが収集・分析されるようになっているが、データの利活用に取り組む事業者が個人情報として取り扱うべき範囲の曖昧さのため利活用に躊躇し、ビッグデータのうち特に利用価値が高いとされている個人の行動・状態等に関するパーソナルデータの利活用が十分に行われていないとの主張がある一方で、多くの個人情報流出事故をはじめ、現行法による消費者の個人情報及びプライバシー（以下「個人情報等」という。）の保護が十分でないとの指摘があり、パーソナルデータの取扱いについて、消費者の個人情報等を保護し、消費者の安心感を生む制度の構築が望まれていることがある。このため、今般の制度改正は、個人の権利利益の侵害を未然に防止し個人情報等の保護を図りつつ、新産業・新サービスの創出と国民の安全・安心の向上等のための環境整備を行うことを目的としている。
大綱は、保護されるべきパーソナルデータの範囲を始めとして、とるべき措置の内容を具体的に示していない部分が多く、今後、こうした部分を含めて、制度設計の細部等を検討し法案化が進められる予定とされているにとどまるため、現時点において、当委員会として消費者の利益の擁護の観点から、大綱について以下のとおり意見を述べることとした。内閣官房における法案化に当たり、本意見に十分留意し、今回の制度改正による新たな枠組み・ルールによって、パーソナルデータが利活用される際に消費者の個人情報等が保護され、消費者の理解と安心の確保がもたらされることを期待する。
また、当委員会としても、法案の具体化を注視し、引き続き必要な意見を述べる所存である。
１ 第三者提供及び目的外利用
（1） 個人が特定される可能性を低減したデータの取扱い
個人データの第三者提供や目的外利用をする場合（以下「提供等」という。）、現行法では本人同意が原則として必要とされている1が、大綱では、本人の同意がなくてもデータの利活用を可能とする枠組みの導入として、個人データを「特定の個人が識別される可能性を低減したデータに加工したもの」（以下「個人特定性低減データ」という。）については、「特定の個人を識別することを禁止するなど適正な取扱いを定めることによって、本人の同意を得ずに提供等を行うことを可能とする」としている。
しかし、本人の同意を得ずに提供等されるデータについて、加工による特定個人識別可能性（以下「特定可能性」という。）の低減の程度や「適正な取扱い」の内容が明らかにされておらず、これらの点について、消費者の不安が払拭されるよう、明確にしていく必要がある。検討会及び技術検討ＷＧでは、特定可能性の低減に技術上の限界があるのみならず、特定可能性を低減させると情報の有用性も減じるため、特定可能性の低減に実際上の限界があることも明らかにされている2。したがって、事業者が個人特定性低減データの提供等を本人同意なしに行う際には、本人同意の取得に代わるだけの十分な透明性3を確保し、社会において適正性を監視できるようにすることが、再識別化の禁止等とともに、データの「適正な取扱い」の重要な内容でなければならない。さらに、問題が発見された場合に、本人及び第三者機関4が迅速に調査し対応できるようにしておくことも必要である。
具体的には、米国連邦取引委員会（以下「ＦＴＣ」という。）が、パーソナルデータとしての保護対象から除外するための条件として挙げた3要件5等を参考に、我が国の社会実態及び法体系のもとにおいてデータの提供等の透明性・適正性を実効的に確保できる制度を導入すべきである。例えば、技術検討ＷＧ平成26年5月報告書で述べられているように、データの加工及び提供等の適正性について、事業者に証拠保存を義務付けるほか、第三者機関が事業者から、提供等の事実及び特定可能性の低減方法の概要等に関する情報の提供を受けて公表する6、あるいは、第三者機関が認定した民間団体がデータ加工の適正性等を認証し公表する制度などを、さらに検討した上で設けることが考えられる。
また、特定可能性低減データの「適正な取扱い」の実効性を確保するため、「適正な取扱い」に違反する行為を刑事罰の対象とすべきである。
（2） 個人情報の範囲
大綱は、「指紋認識データ、顔認識データなど個人の身体的特性に関するもの等」から、個人情報として保護される対象を明確化することとしている。
この点において、技術検討ＷＧ平成26年5月報告書は、個人の身体的特性に関するものの他、「個人または個人の情報通信端末（携帯電話端末、ＰＣ端末等）等に付番され、継続して共用されるもの」及び（一律の判断は困難としつつ）移動履歴や購買履歴等も、「準個人情報」として保護すべき対象に含まれる可能性を認めていたところである7。個人情報の範囲は、情報技術の発展を反映して、ＥＵのデータ保護指令（1995年）や個人データ保護規則案（2014年）、米国の消費者プライバシー権利章典（2012年）でも、広くとらえられている8。
こうした技術面からの検討や国際動向を踏まえ、保護対象としての個人情報が過度に限定されることがないように、検討を進めるべきである。なお、このような検討は、現行法下で個人情報に当たるか否かが明確でない情報、いわば「グレーゾーン情報」が、情報技術の進展とともに拡大しているため、このようなグレーゾーンについての考え方を整理するものであり、新たな規制の導入を意味するものではないことを、念のため付言しておく。
（3） 利用目的の変更時の手続
大綱では、「利用目的を変更する際、本人が十分に認知できる手続を工夫しつつ、新たな利用目的による利活用を望まない場合に本人が申し出ることができる仕組みを設けて本人に知らせることで、利用目的の変更を拒まない者のパーソナルデータに限って変更後の利用目的を適用すること等が考えられるが、具体的な措置については、情報の性質等に留意しつつ、引き続き検討する」とされている。また、検討に当たっては、「本人が十分に認知できない方法で、個人情報を取得する際に特定した利用目的から大きく異なる利用目的に変更されることとならないよう、実効的な規律を導入する」とされている。
こうした提案に当たっては、現行法上オプトアウト9方式による個人データの第三者提供が認められていること10、及び、個人情報の取得時にあらかじめ利用目的を包括的に挙げておく例が見られることが、考慮されたものと推察される11。しかし、第三者提供に関するオプトアウト規定については、これまでも運用上の問題が指摘されており、大綱も、第三者機関への届出・第三者機関による公表等の措置を講じることとしている。また、個人情報の取得時については、本来のあり方として、取得の際の経緯（コンテキスト）に沿わない利用目的に関しては個別に同意を取得すべき旨の指摘がある12。
したがって、上記の考慮から、オプトアウト方式による利用目的の変更を安易に認めることは適当ではない。利用目的の変更については、本人同意を必要とする原則を重視すべきであり、仮に例外を認める場合にも、個人情報取得時の利用目的を大きく変更しない範囲に限定し、加えて、本人が利用目的の変更を十分に認知でき、オプトアウトを実際に行えるようにするための「具体的な措置」及び「実効的な規律」を、十分に検討すべきである。
利用目的変更時における本人への具体的な認知手続については、本人への個別通知を行うことも含め、消費者本人の理解をていねいに得る規律とする必要がある。その際、消費者には高齢者やパソコン・インターネット等の情報通信技術の利用に困難を抱えた情報弱者も含め多様な人々が含まれることを念頭に、消費者に分かりやすく負担の少ない手続とすることが必要である。
また、事業者が利用目的変更時の手続に煩わされないことを意図し、個人情報取得当初に通知又は公表する利用目的として、後の利用目的も含むものとなるよう、過度に抽象的又は包括的な利用目的を定めることがないようにする必要がある13。そのために、個人情報の取得時において、情報取得の経緯に沿わない利用目的については、事業者が本人に対していねいに告知をして個別に同意を得るように、事業者及び自主ルールを策定する民間団体が取り組むことを促進するべきである。
２ 民間主導による自主規制ルール策定・遵守の枠組みの創設
大綱は、パーソナルデータの取扱いについて、法律では大枠のみ定め、具体的な内容は政省令、規則及びガイドライン並びに民間の自主規制により対応するとし、「マルチステークホルダープロセス14の考え方を活かした民間主導による自主規制ルールの枠組みを創設」し、業界の特性に応じた具体的な運用ルールや法定されていない事項に関する業界独自のルールの策定を認め、「第三者機関は当該ルール又は民間団体の認定等を行うことができる」とし、認定等の実効性の確保に第三者機関が関与する枠組みを提言している。
この点、パーソナルデータの利活用の促進と個人情報等の保護を両立させるためには、自主規制ルール策定過程への消費者の実質的な参画により、消費者保護の観点を担保すべきである。その際、情報技術に関する事業者と消費者との間の情報格差を埋めるために、プライバシー保護の専門家を加えるべきである。また、行政機関である第三者機関が自主規制ルールの最低限の規律を示すガイドラインを定めるとともに、自主規制ルールではあらゆる分野を網羅することは不可能であることから、自主規制ルールがない分野にも同ガイドラインが適用される必要がある。
３ 第三者機関の体制整備等による実効性ある制度執行の確保
（1） 第三者機関の体制整備
大綱は、「専門的知見の集中化、分野横断的かつ迅速・適切な法執行の確保により、パーソナルデータの保護と利活用をバランスよく推進するため、独立した第三者機関を設置し、その体制整備を図る」とし、第三者機関は、「番号法に規定されている業務に加えて、パーソナルデータの取扱いに関する監視・監督、事前相談・苦情処理、基本方針の策定・推進、認定個人情報保護団体等の監視・監督、国際協力等の業務を行う」とされている。
この第三者機関は、個人情報取扱事業者に対して現行の主務大臣が有している機能・権限に加え、立入検査等の機能・権限を有し、民間の自主規制ルールの認定等を行うとされているが、これらの幅広い業務の推進に際し、第三者機関が適切に機能・役割を果たし実効的な執行及び効率的な運用がなされるよう、専門委員の積極的活用、事務局の強化等、十分な体制整備を図るとともに、第三者機関の体制にもマルチステークホルダープロセスの考え方を活かし、消費者保護の観点から関与する有識者が、第三者機関の方針決定過程に委員として参画することが望まれる。
なお、消費者庁及び消費者委員会は、個人情報の適正な取扱いの確保について、消費者の利益の擁護の観点から、今後も適切に関与していく必要がある。
（2） 苦情相談の受付体制
大綱では、第三者機関の行う業務の一つとして、事前相談・苦情処理を挙げているが、消費者が直接相談する窓口がどこであるかは明らかにされていない。
現在、個人情報等の保護に関する苦情相談については、消費生活センターでその相当部分が受け付けられており15、今回の制度改正による新たな枠組み・ルール導入により新たな相談窓口が整備されない場合は、苦情相談は消費生活センターに寄せられることが予想される。しかし、個人情報等の保護に関する相談は、消費生活相談員が日常接している消費者相談とは異なった知識が必要となる分野であり、また消費生活相談員には今後の法改正内容を踏まえた回答が求められることから、各消費生活センターでは相当な準備が必要となると思われる。この点については、第三者機関と地方公共団体（消費生活センター）との間で緊密な連携を図ることとともに、消費生活相談員への情報提供・研修の実施等が必要である。
（3） 違反是正のための勧告・命令の対象の制限
大綱は、「個人の権利利益を侵害するおそれが少ないと認められる一定の要件を満たす者については、義務違反行為が故意又は重過失によるものであるなどの事由がない場合には、勧告及び命令の対象としない」方針を示している。
しかし、そもそも、ここでいう「義務違反行為が故意又は重過失によるもの」でない場合とは、どのような状況を想定しているかが、必ずしも明らかでない。もし、ここでいう「義務違反行為が故意又は重過失によるもの」でない場合があり得ると理解すると、民事責任の問題は別としても、制度上、国が個人情報保護法違反行為を是正するための法的手段を採り得ないという問題が生じることになる。こうした問題は、該当する事業者が同法上の義務を遵守する注意を怠る誘因になりかねず、同法の実効性を低下させる懸念がある。大綱からは、従来同法の適用除外とされてきた事業者、すなわち、取り扱う個人情報によって識別される特定の個人の数が5,000以下である事業者に配慮する趣旨が窺われるが、そのような配慮は、事業者に対する技術上の助言・援助等、他の実務上の方策をとることによっても実現すると考えられる。
大綱が示すような制度を設けることは、趣旨が不明確で、脱法の可能性や法の実効性を低下させるおそれがあり、避けるべきである。
４ 「継続的な検討課題」とされている事項
（1） 紛争処理体制
大綱は、紛争処理体制の整備については、「苦情・相談件数の推移、勧告・命令権限の発動件数等の現状に照らし、今後発生する紛争の実態に応じて継続して検討すべき課題」としている。
しかし、（1）今回の制度改正によって個人特定性低減データの取扱いや民間主導による自主規制ルールの枠組みといった新しい制度が創設されること、（2）紛争処理機関の解決例は苦情処理においても解決指針となること、また、（3）消費者が創設された民事請求権を行使し、開示等を請求する16場合、訴訟によらなければならないとすると、消費者の負担は大きく、権利行使が事実上大きく制約されることから、紛争を簡易迅速かつ適正に解決するため、新制度の運営当初から専門的知見を持った紛争処理体制の整備が不可欠である。
紛争処理体制については、紛争処理がルールの一層の明確化・適正化のための契機となることを考えると、第三者機関が行政型ＡＤＲとして紛争処理を担うとともに、民間のＡＤＲの活用を検討する必要がある。
（2） 「いわゆる名簿屋」に関連する問題
大綱は、いわゆる名簿屋等により販売された個人情報が、「詐欺等の犯罪行為に利用されていること、不適切な勧誘等による消費者被害を助長するなどしていること及びプライバシー侵害につながり得ることが、社会問題として指摘されている」としつつ、「このような犯罪行為や消費者被害の発生と被害の拡大を防止するためにとり得る措置等については、継続して検討すべき課題とする」としている。
しかし、このような犯罪行為や消費者被害の発生と被害の拡大を防止するための削除請求権等の民事効を含む実効性ある措置は、新制度の創設と同時に実施されるべき喫緊の課題である。
大綱も、「いわゆる名簿屋」の問題に限定してはいないが、「個人データにより識別される本人が、前述のオプトアウト規定を用いて個人データの提供を行っている事業者を容易に確認できる環境を整えるため、個人情報取扱事業者がオプトアウト規定を用いて第三者提供を行う場合には、現行法の要件に加え、第三者機関に対し、法に定める本人通知事項等を届け出ることとするほか、第三者機関は届け出られた事項を公表するなど、必要な措置を講じる」としている。
しかし、最近発覚した大量個人情報流出事故に鑑みるに、大綱が示す対策だけでなく、さらに下記の視点から早急に実効的な対策の在り方を検討することが、消費者の安心感を確保しつつ円滑なパーソナルデータの利活用を可能とする環境整備のために必要であると考える。
- （1） 特定可能性が低減されていない個人情報の移転についての第三者機関等の関与
- （2） 名簿等の個人情報リストを入手・保有する事業者の責任の明確化
- （3） 情報のロンダリングを許さないトレーサビリティの確立
- （4） 不正の手段により流出した個人情報の削除
- （5） いわゆる名簿屋に対する規制
以上
- 1 現行法においては、あらかじめ本人の同意を得ないで、利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならないこととされている（第16条第１項）。また、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないことが原則とされているが、本人の求めに応じて第三者提供を停止することとしている場合で、第三者提供に係る事項についてあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときは、第三者に提供することができることとされている（第23条第１項及び第２項）
- 2 技術検討ＷＧ「技術検討ワーキンググループ報告書～『（仮称）準個人情報』及び『（仮称）個人特定性低減データ』に関する技術的観点からの考察について～」（平成26年5月。以下「技術検討ＷＧ平成26年5月報告書」という。）21頁以下。
- 3 「透明性」の考え方は、総務省「パーソナルデータの利用・流通に関する研究会報告書」（平成25年6月）も挙げている（22頁）ほか、米国の消費者プライバシー権利章典（2012年）でも挙げられている（同報告書参考資料7）。また、ＥＵのデータ保護規則案（2014年）の第11条や理由（46）等で言及されている。
- 4 本意見書の「３ 第三者機関の体制整備等による実効性ある制度執行の確保」参照。
- 5 技術検討ＷＧ「技術検討ワーキンググループ報告書」（2013年12月10日）によると、（1）企業はデータの匿名化を確保する合理的な手段を講じなければならず、（2）企業は、データを匿名化状態で管理・利用し、データの再識別化を試みないことを公式に約束しなければならず、（3）企業がそのような匿名化データを他の会社等に提供する場合には、それがサービスプロバイダであるか他の第三者であるかを問わず、企業は、その提供先がデータの再識別化を試みることを、契約によって禁止すべきである、とされている（7頁）。
- 6 技術検討ＷＧ平成26年5月報告書（前掲）25頁以下。第三者機関の関与については、第8回検討会資料１－２の10頁。
- 7 技術検討ＷＧ平成26年5月報告書（前掲）9頁以下。元は、第8回検討会資料１－２の5頁に「個人情報に該当するものを除き、生存する個人に関する情報であって、次に例示するもの及びこれに類するものを含む情報」として、（1）パスポート番号、免許証番号、ＩＰアドレス、携帯端末ＩＤ等の個人または個人の情報通信端末（携帯電話端末、ＰＣ端末等）等に付番され、継続して共用されるもの、（2）顔認識データ、遺伝子情報、声紋並びに指紋等、個人の生体的・身体的特性に関する情報で、普遍性を有するもの、（3）移動履歴、購買履歴等の特徴的な行動の履歴が示されていた。
- 8 第8回検討会資料１－２の4頁。さらに、ＦＴＣも、「特定の顧客、コンピュータその他のデバイスに、合理的に連結可能な」データを、保護対象としている（総務省「パーソナルデータの利用・流通に関する研究会報告書」（前掲）33頁脚注69）。
- 9 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
- 10 前掲脚注１に掲げた現行法第23条第２項。
- 11 利用目的の変更と第三者提供との関係については、個人特定性低減データに関してではあるが、第三者提供に関する制度案が利用目的の変更の場合にも拡張された経緯がある（第8回検討会資料１－２の11頁）。個人情報取得時における利用目的の提示と事後の利用目的の変更との関係については、第10回検討会参考資料６に示されている。
- 12 総務省「パーソナルデータの利用・流通に関する研究会報告書」（前掲）22頁、28頁及び参考資料12（米国消費者プライバシー権利章典）。また、第8回検討会資料４－２の5頁には、選択肢の１つとして挙げられている。
- 13 現行法においては、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならないこととされている（第15条第１項）。
- 14 国、事業者、消費者、有識者等の関係者が参画するオープンなプロセスでルール策定等を行う方法のこと。
- 15 消費者庁「平成24年度個人情報の保護に関する法律施行状況の概要」（平成25年9月）によると、平成24年度において、地方公共団体及び国民生活センターに寄せられた個人情報に関する苦情相談は、合計5,623件（うち消費生活センターが受け付けたものが5,283件（約94％））である一方、同年度に認定個人情報保護団体（計39団体）が現行法第42条に基づき行った苦情処理は613件となっている。
- 16 大綱は、「現行法の開示、訂正等及び利用停止等（以下「開示等」という。）の本人からの求めについて、裁判上の行使が可能であることを明らかにするよう開示等の請求権に関する規律を定める」としている。