なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

カテゴリ: 憲法

共産党サイト
(日本共産党サイトより)

1.日本共産党の「非実在児童ポルノ」に関する選挙公約
日本共産党の2021年衆議院選挙の各政策の「7、女性とジェンダー」「非実在児童ポルノ」に関する記述を読みました。
・「7、女性とジェンダー」|日本共産党

私はマンガ・アニメ・ゲームなどの表現規制に反対の立場であるので、「非実在児童ポルノ」の法規制のために「社会的合意」を作ってゆくという日本共産党のこの政策に反対であり、この政策の撤回を求めます。

日本共産党の2021年衆議院選挙の各政策の「7、女性とジェンダー」の「非実在児童ポルノ」に関する政策はつぎのように記述しています。

現行法は、漫画やアニメ、ゲームなどのいわゆる「非実在児童ポルノ」については規制の対象としていませんが、日本は、極端に暴力的な子どもポルノを描いた漫画やアニメ、CG、ビデオ、オンライン・ゲーム等の主要な制作国として国際的にも名指しされており、これらを適切に規制するためのより踏み込んだ対策を国連人権理事会の特別報告者などから勧告されています(2016年)。

非実在児童ポルノは、現実・生身の子どもを誰も害していないとしても、子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念を広め、子どもの尊厳を傷つけることにつながります。「表現の自由」やプライバシー権を守りながら、子どもを性虐待・性的搾取の対象とすることを許さない社会的な合意をつくっていくために、幅広い関係者と力をあわせて取り組みます。

この政策を読むと、「日本は、極端に暴力的な子どもポルノを描いた漫画やアニメ、CG、ビデオ、オンライン・ゲーム等の主要な制作国として国際的にも名指しされており」、国連人権理事会からも勧告を受けているとした上で、「非実在児童ポルノは、現実・生身の子どもを誰も害していないとしても、子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念を広め、子どもの尊厳を傷つけることにつながります。」とし、「子どもを性虐待・性的搾取の対象とすることを許さない社会的な合意をつくっていく」としています。

この記述を素直に読むと、「子どもポルノを描いた漫画やアニメ、CG、ビデオ、オンライン・ゲーム等」の「非実在児童ポルト」は「子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念を広め、子どもの尊厳を傷つける」ので、「非実在児童ポルノ」を法規制するための「社会的合意」を作ってゆく、つまり、日本共産党は、マンガ・アニメ・ゲームなどにおける「非実在児童ポルノ」法規制するために「社会的合意」を作ってゆくとなっています。

2.日本共産党の10月18日付の釈明文書
この点、ネット上で日本共産党が「非実在児童ポルノ」の法規制、つまり表現の自由の規制推進に舵を切ったとの大きな批判を受け、日本共産党は10月18日付で「「共産党は表現規制の容認に舵を切ったのですか」とのご質問に答えて」との釈明文書を公表しました。
・「共産党は表現規制の容認に舵を切ったのですか」とのご質問に答えて|日本共産党

しかしこの釈明文書も、「日本の現状への国際的な指摘があることを踏まえ、幅広い関係者で大いに議論し、子どもを性虐待・性的搾取の対象とすることを許さないための社会的な合意をつくっていくことを呼びかけたものです。」と記しているとおり、「子どもポルノを描いた漫画やアニメ、CG、ビデオ、オンライン・ゲーム等」の「非実在児童ポルト」は「子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念を広め、子どもの尊厳を傷つける」ので、「非実在児童ポルノ」を法規制するための「社会的合意」を「呼びかけてゆく」と書かれているので、つまり、「「非実在児童ポルト」は「子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念を広め、子どもの尊厳を傷つける」ので、法規制するための「社会的合意」を作ってゆくとされており、結局、日本共産党が「非実在児童ポルノ」を法規制するための「社会的合意」を形成する方針、つまり日本共産党は表現規制推進派に舵を切ったことに変わりはありません。

私はマンガ・アニメ・ゲームなどの表現規制に反対の立場であるので、「非実在児童ポルノ」の法規制のために「社会的合意」を作ってゆくという日本共産党のこの政策に反対です。

2.表現の自由について憲法から考える
言うまでもないことながら、18世紀のフランス革命やアメリカ独立戦争以降の西側近代社会においては、表現の自由は、国民が自らの表現行為を行うことにより自らの人格を成長させるという自己実現の価値があるとともに、国民がさまざまな意見や見解を授受して議論を行い、民主政治に参加するための前提の人権という民主主義の価値という二つの価値があります。そして特に後者の民主主義の価値のため、民主主義国家においては表現の自由はとりわけ重要な基本的人権です(芦部信喜・高橋和之補訂『憲法 第7版』180頁)。

そのため、かりに表現規制をするとしてもできるだけ表現内容には踏み込まず、時・場所などの面から規制するのが憲法学の基本的な考え方です。

にもかかわらず、ネット上でのある方の日本共産党への電話での問い合わせによると、日本共産党は「手塚治虫は法規制しない」等と回答しているとのことで、自分達の好き嫌いや恣意的な判断でマンガ・アニメなどを表現規制する意図を隠そうともしていないとのことであり、これは2010年に「非実在青少年」なる概念を掲げてマンガ・アニメなどの表現規制を行おうとした東京都自民党などと何ら変わるところはありません。
共産党手塚治虫は法規制しない
(松田未来氏のTwitterより)

3.憲法の基本構造から考える
また、日本共産党は国連人権委員会の意見を錦の御旗のように掲げていますが、戦後の欧州がナチズムへの反省から、自由主義・民主主義に反する者には表現の自由や集会の自由などの基本的人権を与えないと憲法に明記し(ドイツ基本法18条など)、特別刑法で民衆扇動罪などを準備する「闘う民主主義」という「国家による人権保障」「ポスト近代憲法」のスタンスをとるのに対して、アメリカの憲法や、アメリカの憲法をもとに現行憲法を制定した日本は、戦前の言論弾圧・表現弾圧・思想弾圧が戦争を招いた反省を踏まえ、「さまざまな意見を自由に発言させて議論させれば、よりよい結論を得られるだろう」という「思想の自由市場論」を基本とする、表現の自由などの国民の精神的自由に関して「国家からの自由」を重視する、伝統的な「近代憲法」の国です。

国連人権委員会は、「国家による人権保障」を重視する欧州型の「ポスト近代憲法」のスタンスに立って「非実在児童ポルノの禁止」を日本に要求していますが、そもそも日本は思想の自由市場論や「国家からの自由」を重視する伝統的な「近代憲法」を基軸とする国なので、憲法的な基盤の異なる国連人権委員会の主張を唯々諾々と受け入れる日本共産党の姿勢は憲法学的に間違っています。日本共産党はフェミニストや社会学者、反差別活動家などに乗っ取られ、憲法学や法律学に詳しい人材がいなくなってしまったのでしょうか?

4.思想・良心の自由
さらに、日本共産党は、「非実在児童ポルノ」は「子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念を広める」と主張していますが、それは日本共産党の高齢の女性幹部達の恣意的な思想や判断、決めつけの国民への押し付けなのではないでしょうか。

「非実在児童ポルノ」を見た国民が「「子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念」を持つということについて、日本共産党は何らかの科学的・心理学的なエビデンスを持っているのでしょうか?

日本共産党の高齢の女性幹部の方々が、「こういうわいせつなアニメ・マンガ・ゲームを見たら、日本の若い男性は、子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念を持つ」と考えたとしても、現実の日本の若い国民がそう思わないことのほうが多いように思われます。

例えば、本年9月には、日本共産党や社民党の女性政治家達の全国フェミニスト議員連盟が、千葉県警の交通安全を啓発するための動画に千葉県松戸市の女性VTuber「戸定梨香」氏を起用したところ、戸定梨香氏の3Dのキャラクターが「女性を性的に搾取している」と、全国フェミニスト議連が千葉県警に当該交通安全啓発の動画を削除させた事件が起こりました。

vtuberアベマニュース
(ABEMA NEWSより)
・「女性の権利や社会進出を訴えたいという思いは同じだと思う」松戸市のVTuber「戸定梨香」の動画削除で、運営会社社長が全国フェミニスト議員連盟に呼びかけ|ABEMA TIMES

この事件で問題となった戸定梨香氏の3Dキャラクターを私も見ましたが、ごく普通のキャラクターでした。日本共産党などの全国フェミニスト議員連盟は、単に「自分達、高齢女性にはよく分からない表現で何だか気にくわないから、「性的搾取」という理由で弾圧してやれ」と思っているとしか思えませんでした。全国フェミニスト議員連盟のやっていることは、「焚書」や、中国の文化大革命などと同様の文化・文明を破壊する表現や思想を弾圧する蛮行であると思われます。

同様に、今回の「非実在児童ポルノ」についても、日本共産党の幹部達は、「自分達にはよく理解できない表現だから若者がそういう表現を好むことはけしからん、このような表現は「子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念」を招くとして法規制のための「社会的合意」を形成しようと考えていると思われます。

それは、国家が国民の言論を監視・検閲し、国民に特定の思想を強制し、国家が特定の思想や表現を弾圧する中国北朝鮮ジョージ・オーウェルの「1984」のようなファシズム国家、監視国家などと同じです。

さらに、そもそも国民が心のなかで何を思うか、どのような思想や良心を持つか自体は、憲法が思想・信条や良心、内心の自由として絶対的に保障しているところです(憲法19条)。個人の思想や良心がその個人の内心にとどまっている限りは、他人の人権と衝突しないので、それは絶対的に保障されます。政治政党として公権力の一部である日本共産党が、国民の思想や良心に介入することは憲法19条に違反する違法・違憲な行為です。

日本国憲法

第19条 思想及び良心の自由は、これを侵してはならない。

第21条 集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。
 検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。

にもかかわらず、日本共産党が「子どもを性欲や暴力の対象、はけ口としても良いのだとする誤った社会的観念」を招くから「非実在児童ポルノ」を「社会的合意」のもとに法規制を行おうとすることは、自民党が2012年に公表した憲法改正草案で示したような、「経済を発展させ国を成長させる義務」「家族助け合い義務」などの特定の価値観や考え方、思想などを公権力が国民に強制するものと同様の行為であり、内心の自由を定める憲法19条違反であるとともに、国民の自由意思を重んじる、個人の尊重と基本的人権の確立を国家の目的とする近代憲法である日本国憲法の趣旨・目的(憲法11条、97条)そのものに反しています。

このように、日本共産党の「非実在児童ポルノ」に関する政策は、表現の自由(憲法21条1項)に関する基本的理解を誤っており、また、日本共産党という政治政党が「社会的合意」により法改正などにより国民の表現の自由を規制し、また、国民に政治政党である日本共産党が立法などを通じて自分達の好む思想を国民に強制しようとしている点で、国民の内心の自由(憲法19条)を侵害し、国民の自由意思に基づく自由な民主主義という日本の憲法の趣旨そのものに違反しています(憲法11条、13条、97条)。

日本共産党の国会議員や地方議員達は、政府・与党の議員や官僚などと同様に、憲法尊重擁護義務(憲法99条)を負っていますが、日本共産党はそのことを忘れているのではないでしょうか?

5.「ジェンダー平等」
たしかに男女平等という平等原則も重要な基本的人権(憲法14条1項)であり、私も「女性の権利の向上」には賛成です。しかし平等原則も人権である以上無制限に認められるものではなく、他の人権と衝突した場合にはその調整が必要となります(「公共の福祉」・憲法12条、13条、22条、29条)。

女性の平等権を侵害する表現等があった場合は、上でみたように表現の自由の重要性に鑑み、そのような表現行為は、現在そうであるように、名誉棄損やわいせつ罪などの観点から裁判所で判断され事後的に救済されるべきです(最高裁昭和44年6月25日判決など)。

そのため、近年、日本共産党をはじめとする野党各党やフェミニスト、社会学者などは、「女性の権利の向上」「ジェンダー平等」などの主張を錦の御旗のように掲げ、それと異なる主張や価値観を激しく攻撃していますが、それは「フェミニズム・ファシズム」あるいは「女性至上主義」とでも呼ぶべきものであり、男女の平等を定める憲法14条1項違反であって、憲法学・法律学の観点から明らかに間違っています。

6.まとめ-日本共産党は「非実在児童ポルノ」政策の撤回を
戦前、特高警察に拷問で殺されたプロレタリア文学者の小林多喜二が党員であった日本共産党は、公権力の表現規制と闘うことがアイデンティティの政党だと思っていたのですが、表現規制推進に転換したことは信じられません。

戦前の日本は軍国主義・ファシズムが台頭し、その考え方の「社会的合意」に基づいて議会で治安維持法、翼賛体制などが立法化され、滝川事件などの学問弾圧や思想弾圧公立図書館などにおける「思想善導」などが行われ、第二次世界大戦に突入してしまいました。このような公権力による思想や価値観の強制や、表現の自由規制などがいかに間違ったものであるかは、第二次世界大戦の歴史上の無残な結果を見れば明らかです。

表現の自由や内心の自由は民主主義の基盤であり、自民党などと同様に、表現規制推進派、つまりファシズムや国家主義、検閲を是とする監視国家的価値観に転換した日本共産党は、自由な民主主義や表現の自由、内心の自由を掲げる日本国憲法について、「憲法を守れ」と主張する資格や、自民党等を全体主義・国家主義と批判する資格はもはやありません。

このような理由から、私は日本共産党の2021年衆議院選挙の各政策の「7、女性とジェンダー」の「非実在児童ポルノ」の政策に反対であり、この政策の撤回を求めます。

(なお、「あらゆる批判・差別を禁止するために「人権機関」を創設する」という立憲民主党の選挙公約も、日本共産党の「非実在児童ポルノ」政策と同様に、国民の表現行為などを国が監視・検閲し、特定の表現行為や思想を弾圧し、立憲などが好む表現や思想を国民に強制する点で、中国や北朝鮮などのファシズム国家・監視国家と同様の、民主主義や日本国憲法の趣旨・目的に反する考え方であり、私は反対であり撤回を求めます。)

面白かったらブックマークなどをお願いします!















このエントリーをはてなブックマークに追加 mixiチェック

1634668211929

1.LINEの個人情報・通信の秘密に関する不祥事が発覚
2021年10月18日に、LINEの個人情報の事件に関するZホールディングスの有識者委員会の最終報告書が公表されました。

・「グローバルなデータガバナンスに関する特別委員会」最終報告書受領および今後のグループガバナンス強化について|Zホールディングス

朝日新聞の編集委員の峰村健司氏などによる2021年3月17日付のスクープ報道により、通信アプリ大手LINE(国内の月間利用者約8900万人・2021年9月現在)を運営するLINE社が、中国の関連会社にシステム開発やユーザーから通報を受けた投稿等に問題がないかどうかのチェックなどの業務を委託し、中国関連会社の技術者らが日本のLINEのサーバーの個人情報にアクセスすることができる状態にあったことや、日本のユーザーの画像データ、動画データなどのすべての個人データがLINE社の韓国の関連会社のサーバーに保存されていることが発覚し、LINE社とその親会社のZホールディングス社には大きな社会的非難が起きました。
・【独自】LINEの個人情報管理に不備 中国の委託先が接続可能|朝日新聞

■参考
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた

このLINEの事件に関しては、日本の約8900万人の個人データが中国の関連会社からアクセス可能であったことや、日本のユーザーの膨大な個人データが韓国の関連会社のサーバーに保管されていたこと等が、国民の個人情報保護やプライバシー保護の問題だけでなく、政府与党の要人や大企業の経営陣などの挙動が海外に密かに知られてしまうリスクや、国家の機密や大企業などの営業秘密などが海外に漏洩してしまうリスクとして、「経済安全保障」という新しいリスクとして社会的な大きな注目を集めました。

このLINEの事件を受けて総務省など国の官庁や多くの自治体は、LINEを利用した行政サービスを中止する事態となりました。

このLINE事件に関しては4月23日付で個人情報保護委員会がLINE社に対して行政指導を実施し、4月26日付で総務省がLINE社に行政指導を実施しました。また、個人情報保護委員会・総務省・金融庁・内閣官房は4月30日付で、「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」を制定・公表しました。しかし個人情報保護委員会はプレスリリースで、現在もLINE社に対する調査は続行中であることを公表していました。
・個人情報の保護に関する法律に基づく行政上の対応について(LINE株式会社・令和3年4月23日)|個人情報保護委員会
・LINE株式会社に対する指導|総務省
・「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」の公表について|金融庁

これに対してZホールディングス社はLINEの問題に関する有識者による調査委員会(「グローバルなデータガバナンスに関する特別委員会」、座長・宍戸常寿・東大教授(憲法・情報法))を設置し、調査を開始し、6月11日付で第一次報告書を公表しました。
・LINEの個人情報事件に関する有識者委員会の第一次報告書をZホールディンクスが公表

2.最終報告書
その後、2021年10月18日付でZホールディングス社の有識者委員会はLINEの事件に関する最終報告書を公表し、また同日、有識者委員会は座長の宍戸教授と川口洋委員(株式会社川口設計代表取締役)が記者会見を行いました。

・「グローバルなデータガバナンスに関する特別委員会」最終報告|Zホールディングス

このブログでは、LINEの個人情報などに関する不祥事について何回か取り上げてきましたが、本ブログ記事では、この最終報告書を簡単にみてみたいと思います。

3.中国の関連会社について
本最終報告書20頁以下を読むと、LINE社の情報セキュリティ部門は、外部の法律事務所に委託して中国のリーガルリスクの検討を行っていたが、2015年頃に中国向けアプリサービスを中止したことを受け、法律事務所に委託して中国のリーガルリスクを検討することが中断したとされています。そのため、「中国の国民や法人は中国政府の情報活動に協力する法的義務がある」(中国国家情報法7条)との規定がある2017年に中国で制定された中国国家情報法のリーガルチェックがLINE社において会社組織として漏れていたとされています(本最終報告書20頁)。

ライン2
(Zホールディングス社サイトより)

また、本最終報告書によると、有識者委員会の技術部会がログなどから調査を行ったところ、中国の関連会社の職員によるシステムの保守・開発や通報を受けたメッセージや画像などの確認のために、日本のサーバーにアクセスした件数は、2021年3月23日にLINE社が行った個人情報保護委員会及び総務省への報告においては、LINEアプリのトークに関して通報されたメッセージに係る情報を閲覧し得る権限によるアクセスについては132件、そのうちLINEアプリのトークに関して通報されたメッセージの内容を直接閲覧できるURLへのアクセスは32件としていたところ、その後の調査で、LINE社は、LINEアプリのトークに関して通報されたメッセージに係る情報を閲覧し得る権限によるアクセスについては132件から139件に、LINEアプリのトークに関して通報されたメッセージの内容を直接閲覧できるページ(URL)へのアクセスについては32件から35件が確認されたとしています(本最終報告書24頁注18)。

ただし、ログは一部しか保管がされていなかったことや、ページ(URL)へのアクセスのログはあっても、そのアクセスで具体的にどのような操作を行ったかのログは残っていないこと等も、本最終報告書には記載されており(本最終報告書24頁)、これらのアクセスの数字がどこまで正確なのか不明であり、また中国関連会社の職員等が具体的にアクセスしたメッセージに対して中国当局の諜報活動に協力する等のために当該メッセージをコピー等して別の端末などに保存した等の行為があったか否かについては不明のままです。

また、法律事務所などによる詳細なリーガルチェックは中断していたものの、その期間中もLINE社の情報セキュリティ部門は、「中国に関するサイバーセキュリティリスクとして、例えば、Huaweiに代表される中国企業の製品利用に関わるリスクや、中国のハッカー集団による攻撃リスク等、中国企業や政府に絡んだサイバー攻撃のリスクを認識し、分析・対応」しており、中国にはサイバーセキュリティリスクがある旨を経営陣に報告していたが、経営陣はそのような中国のセキュリティリスクを経営上の課題として適切に取り上げ、対応をしていなかったと本報告書は記述しています(本最終報告書24頁)。

ところが、本最終報告書は、技術部会によるログのチェックなどから、「これらは、開発及び保守プロセスにおける正規の作業であるということが確認された。このことから、技術検証部会におけるこれらの調査による限り、調査対象期間(2020年3月19日から2021年3月19日)において、LINE China社から外部の組織に対して、LMPに関する情報の漏えいは認められなかった。」(本最終報告書24頁)との、「情報漏洩は発生していない」との結論を導き出していますが、これは不祥事に対する有識者委員会の報告書としてあまり正しくないのではないでしょうか。

ライン24
(Zホールディングス社サイトより)

ただし、情報セキュリティ部門からの中国のセキュリティ上のリスクの報告があったにもかかわらず経営陣が適切な対応をとらなかったことに関して、本最終報告書は「このように経営陣がLINE社に求められるガバメントアクセスのリスクの検討やそれへの対応を怠ったと考えられ、結果、通信内容である送受信されたテキスト、画像、動画及びファイル(PDFなど)のうち、ユーザーから通報されたものについて、個人情報保護法制が著しく異なる中国の委託先企業からの継続的なアクセスを許容していたことは、極めて不適切であったと、本委員会は判断する。」(本最終報告書26頁)としていることは正当な評価であると思われます。

この点、中国の国家情報法については、制定された2017年前後においては、日本のマスメディアなどもこれを大きく取り上げ、同法7条により中国の個人・法人が中国当局の諜報活動・情報活動に協力する義務があることは国・大企業の役職員などにおいて公知の事柄であったにもかかわらず、かつ、社内の情報セキュリティ部門からの報告・進言があったにもかかわらず、LINE社の経営陣がLINEのシステムの保守・開発や通報のあったメッセージなどの監視・モニタリングなどの業務の委託を中国関連会社に漫然と継続し、中国関連会社からの日本のサーバーへのアクセス権の見直しなどの対応を実施していなかったことは、LINE社の個人情報取扱事業者としての安全管理措置(個人情報保護法20条)や、委託先の監督(同法22条)の明確な違反であると思われます。

個人情報保護法

(安全管理措置)
第20条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

(委託先の監督)
第22条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

つまり、個人情報保護委員会の「個人情報保護法ガイドライン(通則編)」「8(別添)講ずべき安全管理措置の内容」「8-3 組織的安全管理措置」は、「(5)取扱状況の把握及び安全管理措置の見直し」として「個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。」と規定しています。

83組織的安全管理措置
(個人情報保護委員会「個人情報保護法ガイドライン(通則編)8-3 組織的安全管理措置」より)

また、同ガイドラインの「8-6 技術的安全管理措置」「(1)アクセス制御」として「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない。」と規定しており、LINE社の経営陣はこれらの安全管理措置を完全に怠っているからです。

84技術的安全管理措置
(個人情報保護委員会「個人情報保護法ガイドライン(通則編)8-6 技術的的安全管理措置」より)

4.韓国の関連会社について
また有識者委員会の第一次報告書でも、LINE社は日本の国・自治体に対して、「LINEの個人情報を扱う主要なサーバーは日本国内にある」との虚偽の説明を2013年、2015年、2018年の3回実施していたことを公表しましたが、今回の最終報告書も同様の記述をしています。

LINE社の公共政策・政策渉外部門の担当者達「「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』旨の説明を国・自治体にしていたとされています。

しかしその理由について、本最終報告書は「本委員会による調査の範囲においては、公共政策・政策渉外部門の役職者が、上記の説明に反して、LINEアプリの画像や動画、ファイル(PDFなど)が韓国に保管されている事実を認識していたことを示す事実は確認されなかった」という不可解な結論を本文で示しています(本最終報告書46頁)。

しかし本最終報告書は同時に、脚注部分で、「公共政策・政策渉外部門の役職者のみが韓国サーバーに個人データが保存されていることを知らなかったとは考え難い」との委員の反対意見を付記しています(本最終報告書46頁注35)。

また、有識者委員会は、公共政策・政策渉外部門の役職者達「「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』」旨の説明を国・自治体にしていたことの理由をLINE社の経営陣にヒアリングしたところ、出澤代表取締役社長CEO(ChiefExecutiveOfficer)をはじめとするLINE社の経営陣(取締役)は、いずれも画像、動画及びファイル(PDFなど)は韓国で保管されていると認識していた一方、このような説明が行われていた事実を認識していなかったと説明した。このほか、本委員会による調査の範囲においては、LINE社の経営陣が公共政策・政策渉外部門の役職員が当該説明を行っていたことについて関与した事実は認められなかった。と本文では結論づけられてしまっています(本最終報告書47頁)。

しかしこの点に関しても、本最終報告者は脚注部分で、「本委員会では、本文の結論に対し、以下のとおり反対意見があった。公共政策・政策渉外部門の役職員による「日本に閉じている」との説明は、本文記載のとおり、地方公共団体、中央省庁、政党等の公的機関に対し繰り返してなされたものであり、本委員会の委員の中にも直接これを耳にしたことがある者が複数名存在した。「日本に閉じている」という説明は、まさに公然と繰り返されていたと評価しうるのである。それにもかかわらず、LINE社の上級役員らがこの説明のことを知らなかったとは、およそ信じがたいところである。むしろ、上級役員らはこの説明を知っており、上級役員らの「韓国色を隠す」という意向・方針に沿ってこのような説明が繰り返されたと考えるのが自然である。との委員からの反対意見を付加しています(本最終報告書47頁注37)。

ライン47
(本最終報告書47頁注37より)

これは、ここ最近の10年、20年の日韓関係が冷え込んでいる状況から、LINE社が、LINEがもともと韓国のものであるという「韓国色」を明確にすると、日本の利用者・ユーザーからの不評を買い、LINEサービス利用の低下などの風評リスクが発生することを恐れたLINE社の経営陣や役職員達が、「韓国色隠し」を全社的に行っていた結果、日本の国・自治体や一般国民や企業などへの説明も、「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』」という趣旨の虚偽のものになってしまったと考えるのが自然なのではないでしょうか。

本最終報告書がこのように切り込み不足・踏み込み不足で、結果としてLINE社やZホールディングス社に有利となるような結論ばかりが目につくのは、この報告書のための調査や作成を行った委員会は外部の弁護士などによる第三者委員会ではなく、あくまでも有識者委員会であることの限界なのではないでしょうか。

現に、本有識者委員会の座長の宍戸常寿教授は、LINE社の傘下団体である一般財団法人 情報法制研究所(JILIS)参与であり、この有識者委員会の報告書は自然とLINE社やZホールディングスに忖度した内容となってしまっているのではないでしょうか。
・メンバー紹介|情報法制研究所

(なお、このように特定のIT企業と関係の深い情報法制研究所に、日本の著名な情報法や情報セキュリティの学者・研究者の先生方のほとんどが所属しておられる状況は、日本の情報法学の健全な発展や学問の自由(憲法23条)を阻害しないのか懸念が残ります。)

いずれにせよ、上でみた、中国の国家情報法によるセキュリティ上のリスクへの対応を漫然と放置していたことや、日本の国・自治体や国民・法人・ユーザーに対して「韓国色隠し」の虚偽の説明を行っていたこと等について、LINE社の出澤剛社長をはじめとする経営陣は今後、取締役の善管注意義務・忠実義務などの法的責任経営責任について、株主代表訴訟なども含めて、会社や株主、ユーザー・利用者、監督官庁・国民などから厳しく責任を追及されるのは必至であろうと思われます。(会社法355条、423条、429条、847条、民法644条など、江頭憲治郎『株式会社法 第7版』434頁、469頁)。

会社法
(忠実義務)
第355条 取締役は、法令及び定款並びに株主総会の決議を遵守し、株式会社のため忠実にその職務を行わなければならない。

(役員等の株式会社に対する損害賠償責任)
第423条 取締役、会計参与、監査役、執行役又は会計監査人(以下この章において「役員等」という。)は、その任務を怠ったときは、株式会社に対し、これによって生じた損害を賠償する責任を負う。

民法
(受任者の注意義務)
第644条 受任者は、委任の本旨に従い、善良な管理者の注意をもって、委任事務を処理する義務を負う。

5.LINEpayの問題
さらに、LINEpayについては、LINE社は資金決済法39条に基づき、資金移動業を行うための申請書類として、商号及び住所、資本金の額、「資金移動業の一部を第三者に委託する場合にあっては、当該委託に係る業務の内容並びにその委託先の氏名又は商号若しくは名称及び住所」(同法38条1項9号)などを金融庁・財務局に申請し、金融庁・財務局は登録簿(資金移動業者登録簿)に登録する必要があるところ、LINE社は韓国、台湾及びタイの子会社にも資金移動業を委託していたにもかかわらずその申請を怠っており、金融庁の登録簿と現実に齟齬が発生していたことが本最終報告書では明らかにされています(本最終報告書70頁)。

キャッシュレス決済の資金移動業という金融機関の業務に関する申請書類において、金融庁への申請漏れがあったということは、金融業としては重大なミスであり、金融庁・財務局はヒアリングや報告徴求立入検査などを実施し(資金決済法54条)、業務改善命令(同55条)などの行政処分をLINE社に対して発出すべき事態ではないでしょうか(堀天子『実務解説 資金決済法 第3版』160頁、167頁、177頁)。

こういったところにも、LINE社がベンチャー企業として急成長した企業にありがちなように、利益の追求や業務の拡大には熱心な一方で、コンプライアンスガバナンスなどをおろそかにしている傾向がみられます。

6.LINEヘルスケア・LINEドクターなどの問題
本年3月には、LINE社は韓国の関連会社のサーバーに保管されている日本のユーザーの画像データ・動画データなどの個人データを日本のサーバーに移動させる方針を発表しました。この点に関して、本最終報告書はおおむね予定通り進んでいるとしています(本最終報告書27頁)。

しかし、LINEヘルスケア・LINEドクターに関して本最終報告書を読んでみると、LINEヘルスケア・LINEドクター等に関連する決済関係の情報(医療機関名称、所在地、担当者氏名、決済情報等)が、現在でも、韓国のLINEグループの財務情報システムに保存されており、このデータに関しては日本に移転するか否か検討中となっています(本最終報告書71頁、72頁)。

ライン72
(Zホールディングス社サイトより)

医療に関連するデータがまだ韓国の関連会社のサーバーに残っていて、しかもLINE社は当該データを日本に移転させるか否か検討中としている点については、医療データはセンシティブな個人情報であることに鑑み、厚労省や個人情報保護委員会は、これらのデータも日本に移転させるように行政指導などを実施すべきではないでしょうか。

欧州のGDPR(EU一般データ保護規則)などでは、医療データ・健康データや生体データなど「特別カテゴリーの個人データ」(GDPR9条)として厳格な取扱いが要求され、クレジットカードなどの金融関連のデータ個人データの取扱の安全性を規定するGDPR32条により厳格な取扱いが要求されます。

これに対して日本は、平成27年の個人情報保護法の改正で思想・信条や病歴、犯罪歴などに関する「要配慮個人情報」(法2条3項)という用語を新設しました。しかし、最近のJR東日本の防犯カメラ・顔認証技術による犯罪歴のある人物や不審者などの監視の問題などに見れれるように、日本は医療データや金融データなどのセンシティブな個人データの企業などによる取扱に関して中央官庁の対応が非常に甘すぎるのではないかと強く懸念されます。

7.虚偽の報告の罰則の可能性?
今回の最終報告書では、中国などの委託先企業からのアクセス件数がこれまでの報告書よりさらに増加したことや、LINE社の出澤社長ら経営陣が「日本の個人データは日本にある」との国・自治体や国民・法人への3回の虚偽の説明に関して「関与していない」等と主張してる件などについて、個人情報保護法85条は、個人情報保護委員会が報告徴求や立入検査をした場合(法40条)に事業者が虚偽の報告や検査忌避などをした場合の罰則を規定しているところ、この罰則が発動されるのか個人的には気になるところです。

LINE社内のコンプライアンスやガバナンスが極めて低いレベルであることから、個人情報保護委員会による追加の報告徴求・立入検査や、追加の行政指導等は必至と思われますし、金融庁や厚労省等も少しは行政指導・行政処分を実施すべきではないかと一般国民としては考えます。

8.「通信の秘密」について
なお、本最終報告書も個人情報保護法や情報セキュリティに関する検討がほとんどで、憲法21条2項が明記し、電気通信事業法4条や同179条が罰則付きで明示する「通信の秘密」に関して、有識者委員会がほとんど検討を行っていないことが気になります。座長の宍戸教授などをはじめ、憲法・情報法の専門家の先生方が委員を務めておられるにもかかわらずです。

日本国憲法
第21条 集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。
 検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。

電気通信事業法
(秘密の保護)
第4条 電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。
 電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。

【追記】 LINE社は、総務省に届出を行い通信事業を行っている電気通信事業者です(届出番号A-20-9913)。そのためLINE社は電気通信事業法が定める「通信の秘密」(法4条)などを遵守する義務を負っています。)

電気通信事業法4条の「通信の秘密」には、通信の内容や本文が保護対象となるのは当然として、宛先や差出人、通信をした年月日、通信の有無、電子メールやネットなどの場合にはヘッダー情報、メタデータなどの通信の外形的な事項も含まれるとされています。そして「通信の秘密」については、「緊急避難」、「正当業務行為」あるいは利用者の「本人の同意」などがあった場合には、通信の秘密侵害は例外的に許容されるとされています(曽我部真裕・林秀弥・栗田昌裕『情報法概説 第2版』53頁、大阪高裁昭和41年2月26日判決、實原隆志『新・判例ハンドブック 情報法』(宍戸常寿編)140頁)。

しかし、今回のLINEの事件については、中国の関連会社が日本のサーバーにアクセス可能であったことや、日本のユーザーの画像データ・動画データなどのすべてが韓国のサーバーに保存されていたこと等は、緊急避難、正当業務行為、本人の同意、のいずれにも該当せず、やはりLINE社の日本のユーザーの情報の雑然とした取扱いは、個人情報保護法上問題となるだけでなく、電気通信事業法の観点からも違法となり罰則などが適用されるべき状況なのではないでしょうか。

ところが、総務省が2021年4月26日付で行ったLINE社に対する行政指導においては、個人情報保護法上の安全管理措置や情報セキュリティなどに関する指導が行われている一方で、「通信の秘密」に関しては何故かほとんどスルーされています。
・LINEの通信の秘密の問題に対して総務省が行政指導を実施

総務省は、2021年9月30日にはインターネットイニシアティブ(IIJ)に対しては、通信の秘密侵害があったとして行政指導を実施していますが、LINE社に対しては通信の秘密侵害について行政指導等を実施しないことは、行政の公平性・中立性(憲法15条2項、国家公務員法96条1項)が害される不公平な状況なのではないでしょうか。
・株式会社インターネットイニシアティブに対する通信の秘密の保護及び個人情報の適正な管理に係る措置(指導)|総務省

(なお、本最終報告書はその他にも、警察等からの照会へのLINE社の対応や、LINE社と情報法制研究所(JILIS)との関係などについても調査・検討しているのは興味深いものがあります。)

面白かったらブックマークなどをお願いします!

■参考文献
・岡村久道『個人情報保護法 第3版』87頁、218頁、220頁、227頁
・曽我部真裕・林秀弥・栗田昌裕『情報法概説 第2版』53頁
・實原隆志『新・判例ハンドブック 情報法』(宍戸常寿編)140頁
・小向太郎・石井夏生利『概説GDPR』64頁、105頁
・江頭憲治郎『株式会社法 第7版』434頁、469頁
・堀天子『実務解説 資金決済法 第3版』160頁、167頁、177頁

■関連する記事
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・LINEの個人情報事件に関する有識者委員会の第一次報告書をZホールディンクスが公表
・LINEの通信の秘密の問題に対して総務省が行政指導を実施
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・「幸福追求権は基本的人権ではない」/香川県ゲーム規制条例訴訟の香川県側の主張が憲法的にひどいことを考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」





























このエントリーをはてなブックマークに追加 mixiチェック

xidトップ画面2

このブログ記事の概要
渋谷区などは施設予約システムなどにxID社のxIDを導入を計画しているとのことです。加賀市、兵庫県三田市、町田市などもこのxIDを電子申請システムなどに既に導入しているとのことです。

しかしxID社サイトの説明によると、xIDとは利用者からスマホアプリxIDにマイナンバー(個人番号)を入力させ、同アプリで当該マイナンバーからデジタルIDであるxIDを生成するものであるとのことですが、マイナンバー法を所管する個人情報保護委員会のマイナンバー法のガイドライン(事業者編)Q&A9-2は、個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。」としており、xID社のxIDマイナンバー法2条8項かっこ書きによりマイナンバーと法的に同等のもの(「広義の個人番号」・裏個人番号・裏マイナンバー)です。

そして、マイナンバー法9条と別表一(法9条関係)は、国民のマイナンバーを含む個人情報(特定個人情報)の漏洩の危険の防止、国民のプライバシー権侵害の防止、マイナンバーによる国家や大企業による国民の個人情報の一元管理など監視社会・監視国家の危険の防止や、民間企業や行政機関などによる脱法的なマイナンバーの収集・利用等の防止などのために、マイナンバーの利用目的税関係・社会保障関係・災害時の対応の3つに限定し、利用可能な機関・事業者を限定的に規定しているところ、xIDの目的である「官民のあらゆる場面で自由に利用できる、国民一人一つの共通ID」とのxID(=マイナンバー)の利用目的やそれを運用・利用する事業者・機関(= xID社や渋谷区など)については、法9条と別表一は利用目的や利用機関・事業者として認めていません。

また、法9条および別表一の法定する以外の利用目的や利用機関などに対して、本人や事業者・行政機関などがマイナンバーを提供することも禁止されています(法19条)。

したがって、xID社のxIDはマイナンバー法9条、19条および2条8項かっこ書き違反であり、自治体や官庁などの行政機関、民間企業などがxIDを電子申請システムなどに利用することも同様に法9条、19条および2条8項かっこ書き違反となります。

そのため、xIDの導入を計画中の渋谷区や、すでに導入済の加賀市、兵庫県三田市、町田市などはマイナンバー法違反を回避するために、施設予約システムや電子申請システムなどにxIDを利用する業務や計画を直ちに中止すべきです。

同時に、マイナンバー法の監督官庁である個人情報保護委員会は、xID社や、同社と業務提携を行っている企業や自治体などに対して行政指導・行政処分などを実施すべきではないでしょうか。

■追記(2021年10月22日)
個人情報保護委員会は、10月22日に『個人番号(マイナンバー)を非可逆的に変換しているものであっても、個人番号の唯一無二性・悉皆性の特性ににより個人の特定に用いる場合は、個人番号に該当し、マイナンバー法9条に定めのない利用は違法』とのプレスリリースを出しました。したがって、マイナンバーからスマホアプリでxIDを生成し、個人を特定する共通IDとしてxIDを利用しているxID社のスキームはマイナンバー法違反です。(詳しくは本記事下部の追記をご参照ください。)

1.官民の様々なサイトの本人確認のためにマイナンバーカードをスマホアプリ化するxIDが大炎上中
官民の様々なサイトの本人確認のためにマイナンバーカードをスマホアプリ化するxID社の「xID」について、情報セキュリティや情報法の専門家の産業技術総合研究所主任研究員で情報法制研究所理事の高木浩光先生(@HiromitsuTakagi)などがマイナンバー法との関係で違法であると9月23日頃よりTwitter上で指摘し、Twitter上でxIDが炎上中です。
ひろみつ先生1
(高木浩光先生のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1441238596539727886

2.xID
xID社サイトによると、xIDとは、官民のさまざまなサイトやデジタル上のサービスで、いちいちIDやパスワードなどを入力しなくても済むように、マイナンバーカードの公的個人認証サービスを利用して、マイナンバーカードと連携した独自のID(xID)を生成しするというデジタルIDおよびそのためのスマホアプリであるようです。

この点、2020年10月2日経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」)」には、Society 5.0の社会においては、「パーソナルデータ(個人情報)を活用した個人最適なサービスの提供などを実現するにはデジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物である。と特定すること=”ユーザーの同一性・一意性担保”が重要です。利便性・信頼性と透明性を担保しながら利用できるデジタルIDがあれば、ユーザー同意に基づくパーソナルデータの活用が実現できます。」と説明されています。
経産省資料1
(経産省「第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」より)
・「第5回インフラ海外展開懇談会 資料3 xID 日下様 ご提供資料 日本で唯一の次世代デジタルIDアプリ「xID」」(2020年10月2日)|経産省

そして、同資料でxID社は「「事業者や行政におけるデータの管理は、各事業者や自治体によって個別にデータ管理されるよりも、UXPとxIDを用いたデータ連携基盤を用いたデータ管理をするほうが、各事業者・行政・市民にとって利便性が高くなる」と考えています。」と説明しています。

つまり、xID社はxIDの趣旨・目的を「民間事業者や行政における個人データの管理は、各事業者や自治体ごとに個別に個人データ管理するよりも、あらゆるサービスを利用する個人がどのサービスにおいても同一の人物であると特定できる、同一性・一意性が担保できるデジタルIDであるxIDを用いた個人データ管理をするほうが、個人データの活用が実現できて、利便性が高くなる」と説明しています。
経産省資料2
(経産省「第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」より)

つまり、xIDとは「民間企業や各自治体、各官庁などがばらばらに保有している国民の個人データを、本人の同一性・一意性が担保できるデジタルIDであるxIDにより、官民のさまざまなサービスを利用する個人の個人データを一元管理・集中管理して国民の個人データの活用を実現するもの」です。

すなわち、xIDとは一言で言うならば、「さまざまな行政機関・自治体やさまざまな民間企業がばらばらに保有する国民の個人データを、国・大企業が一元管理・集中管理して、国・大企業が自由な用途に利用できる「民間版マイナンバー」」(=裏個人番号・裏マイナンバー・「広義の個人番号」)と言えるでしょう(詳しくは後述)。

しかし、後述するとおり、さまざまな行政機関や各自治体、さまざまな民間企業が保有する国民の個人データを、民間企業のxID社が作成した「民間版マイナンバー」であるxIDで名寄せ・突合して国や大企業が一元管理・集中管理を可能にして、自由な用途に国・大企業が利活用することは、国・大企業による国民のプロファイリングを容易にし、また国・大企業による国民の監視・追跡・モニタリングなどを容易にしてしまうものであり、国民の個人の尊重や、国民の個人情報保護、国民のプライバシー・人格権などの国民の基本的人権を大きく侵害する危険があり、マイナンバー法はこのような「民間版マイナンバー」(裏個人番号・裏マイナンバー・「広義の個人番号」禁止しています(法9条、19条など)。

3.なぜマイナンバーを入力させるのか?
xIDはたしかに一見、便利そうなサービスではありますが、しかしこのxIDが、マイナンバーカードの公的個人認証サービスに関するICチップの部分の利用だけであれば問題がないところ、なぜかxIDの生成のために本人にマイナンバー(個人番号)を入力させ、そのマイナンバーをもとにスマホアプリのプログラムで非可逆的なxIDを生成していることに対してネット上ではマイナンバー法違反であると大きな批判が起きています。

マイナンバーの収集保管はしません
(xID社サイトより)

つまり、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。』・『非可逆的な方法で生成するのでxIDからマイナンバーを検出することはできません』とはっきりと記述しています。
なぜマイナンバーを入力するのですか?

すなわち、xID社サイトが上のように説明しているとおり、xID社は、xIDというデジタルIDの生成について、xID社がCCCのTポイントなどのような共通ポイント運営会社のように自社独自の会員番号・ユーザー番号をIDとして作成すれば特に問題がないのに、なぜかわざわざユーザー本人にマイナンバーをアプリに入力させ、当該マイナンバーをアプリのアルゴリズムで変換してxIDというユーザーIDを生成しているのです。

また、渋谷区の施設予約システムなどへのxIDの利用に関する資料を読むと、xIDを施設予約システムのデジタルIDとして利用することが明記されています。
渋谷区の施設予約システムの概要図
(渋谷区サイトより)
[別紙1] 令和 3 年度 施設予約システム再構築に係る 設計・開発業務委託|渋谷区

しかし、マイナンバー法9条および「別表第一(法9条関係)」にマイナンバーの取扱が許された事業者・機関として法定されていないxID社が、マイナンバー法9条および別表が法的する利用目的以外の目的でマイナンバーを収集・利用などすることは、マイナンバー法違反です。

また本人や行政機関、事業者なども、マイナンバー法が法定する事業者や国・自治体の機関以外に、マイナンバー法の規定する利用目的以外のためにマイナンバーを提供することは禁止されています(法19条)。

そして、マイナンバー法(番号法)2条8号は、つぎのように規定しています。

マイナンバー法

2条8項

この法律において「特定個人情報」とは、個人番号個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第7条第1項及び第2項、第8条並びに第48条並びに附則第3条第1項から第3項まで及び第5項を除き、以下同じ。)をその内容に含む個人情報をいう。

つまりマイナンバー法2条8項の個人番号(マイナンバー)の後ろについているかっこ書きが示すとおり、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」は、マイナンバー法上、原則としてマイナンバー(個人番号)と同等のものして扱われます。

すなわち、マイナンバー法の法案の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁はつぎのように解説しています。

『番号法(=マイナンバー法)は、特定個人情報(=マイナンバーを含む個人情報)の取扱いが安全かつ適正におこなれれるようにするための法律です。番号法で狭義の個人番号(=マイナンバー)に対してのみ規制しても、個人番号を脱法的に変換した番号などを個人番号の代わりに悪用されてしまっては、番号法の目的を達成することはできません。そこで個人番号の代替物と考えられるような番号・符号については、広義の個人番号として、番号法の各種規制をおよぼせるようにしています(法2条8項)(略)すなわち、広義の個人番号に該当するものは、個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するものをいいます。(水町雅子『Q&A番号法』56頁)』

この点、個人情報保護委員会特定個人情報ガイドラインQ&A(事業者編)9-2もつぎのように解説しています。

特定個人情報ガイドラインQ&A(事業者編)9-2

Q9-2 個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよいですか。

A9-2 個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。(平成27年4月追加)

PPCのQA9-2
(個人情報保護委員会サイトより)

このように、「暗号化等によって秘匿化されたものについても、それは個人番号を(プログラム等により)一定の法則に従って変換したもの」であるので、マイナンバー法2条8項が規定するとおりマイナンバー(個人番号)に該当するのです。

この点、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、『マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。非可逆な形で生成していますので、IDをもとにマイナンバーを検出することはできません。また、xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。』と回答しています。

なぜマイナンバーを入力するのですか?
(xID社サイトのヘルプより)

しかし、上でマイナンバー法2条8項の条文で確認したとおり、そもそも「マイナンバーをもとに一意のIDを生成する」こと自体が「広義の個人番号」(裏個人番号・裏マイナンバー)の生成であり、マイナンバー法上の大問題です。「非可逆な形で生成」したとしても、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」はマイナンバーとして法的に扱われるので、マイナンバーをもとにxIDを生成しているのですから、xID社は「非可逆な形で生成」しているからとマイナンバー法の適応除外となるわけではありません。(この点は後述。)

また、「xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。」とありますが、マイナンバーから別のIDを生成することについては、それが事業者のサーバー上で行われるか利用者のスマホ上のアプリで行われるかはマイナンバー法上は関係のないことであり、また、xID社は利用者のマイナンバーをアプリで生成したxIDというマイナンバーと法的に同等のもの(広義の個人番号)を同社のサーバー等で保存・利用・提供などするわけですから、やはりマイナンバーをもとにアプリでxIDを生成するというxID社のスキームは、マイナンバー法上、完全に違法です(マイナンバー法9条・別表一(法9条関係)、法19条、法2条8項かっこ書き)。

■追記(10月7日)
産業技術総合研究所主任研究員の高木浩光先生が、マイナンバー法の「裏個人番号」についてブログ記事を書かれています。
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

4.なぜマイナンバー法はマイナンバーの厳格な取扱いを要求するのか?
(1)国民の個人データの名寄せ・突合を可能とする究極のマスターキーとしてのマイナンバー
このようにマイナンバー法がマイナンバー(個人番号)について厳格な取扱いを要求するのは理由があります。つまりマイナンバー法に基づき、国家(が法で委託したJ-LIS(地方公共団体情報システム機構))が国民すべてに悉皆性)、国民一人に一つの個人番号(マイナンバー)を割り当てることにより(唯一無二性)、マイナンバーを国民の個人情報・個人データのマスターキーとして利用して、国・自治体など行政のさまざまな部門の持つ国民の個人情報・個人データのデータマッチングを行うことにより、従来、紙と人間の手によって行ってきた様々な行政上の事務を効率化し、行政のコストダウンなどを行うのがマイナンバー制度です(宇賀克也『番号法の逐条解説』14頁)。

しかしマイナンバーは国・自治体などのあらゆる分野の国民の個人情報・個人データを名寄せ・突合できてしまう非常に高度な識別機能を持つ究極のマスターキーであるため、もしマイナンバーが漏洩したり、行政において悪用や恣意的な利用がなされた場合、国のそれぞれの官庁などのさまざまな部門が分散して保有する個人情報・個人データが国民の意思に反して勝手に名寄せ・突合などが行われ、国民がコンピュータやAIによりそれらの突合された個人データの分析(自動処理)により勝手に評価・分析されてしまうなどのプロファイリングの危険や、国民の追跡・トレーシングや監視・モニタリングなどの危険、個人情報漏洩の危険、国民の個人情報・個人データが国や大企業・IT企業などに一元管理・集中管理されてしまう危険(監視社会・監視国家の危険)などのおそれがあります。

このような危険の防止のために、マイナンバー制度はマイナンバー(個人番号)という識別機能の極めて高い、究極のマスターキーを国家が法律に基づき作成し、国民に割り当てるものの、行政各部門が保有する国民の個人データに関しては一元管理、集中管理するのではなく、従来どおり行政の各部門が分散管理して個人データを保管することとしています。

マイナンバー制度の概要図
(内閣府サイトより)
・マイナンバー制度について|内閣府

またマイナンバー法の規定でマイナンバーの利用についても利用目的を、税関係・社会保障関係・災害時の対応の3つの分野のみに限定し、マイナンバーの提供を受けたり利用ができる機関・事業者を法律に限定的に規定し、それ以外の事業者や国・自治体の機関は利用禁止にするなどの対応を行い(法9条・別表第一(法9条関係)、19条など)、マイナンバーによる国民のプロファイリング、国民の個人情報の漏洩、国家や大企業などによる国民の個人情報の一元管理などのリスクを防止しようとしているのです。

つまり、マイナンバー法は行政の効率化を目指しつつ、同時に、国民の個人情報やプライバシー権、人格権(憲法13条)などの国民の個人の尊重と基本的人権を大きく侵害しかねない重大なリスクを防止するために、マイナンバー(個人番号)の厳格な取扱を要求するために個人情報保護法などの特別法として立法化されたものです(マイナンバー法1条、個人情報保護法1条、同法3条、憲法13条)。

にもかかわらず、マイナンバーからプログラムなどで変換されたマイナンバーと一対一の関係にある「当該個人番号に代わって用いられる番号、記号その他の符号(法2条8号かっこ書き)」(=今回の事件におけるxID)とセットで個人情報が漏洩などしてしてしまった場合(=特定個人情報の漏洩)、それを入手した名簿屋などが、「当該個人番号に代わって用いられる番号、記号その他の符号」とセットで漏洩した他の個人情報などとさらに別のところから入手した個人データなどを名寄せ・突合し、どんどんより多くの項目のそろった国民の個人データのデータベースを勝手に作成し、それらを勝手に他の事業者や外国に販売・転売するであるとか、あるいはそれらのより多く項目の国民の個人データのそろったデータベースで、本人に勝手にプロファイリングやトラッキング・トレーシングなどを行い、そのプロファイリングやトラッキングの結果を違法・不当に国民の信用スコアリングや身元調査、信用調査などに利用するであるとか、そのプロファイリング等の結果を他の事業者や外国に販売・転売するなどのリスクがより発生しやすくなってしまいます。

つまり、マイナンバー法は、マイナンバー(個人番号)による違法・不当な国民のプロファイリングのリスクトラッキングのリスク、個人情報・個人データの情報漏洩のリスク国家や大企業・IT企業などによる国民の個人情報・個人データの一元管理などのリスク(監視社会・監視国家のリスク)などの国民の個人の尊重や基本的人権などを大きく侵害しかねない重大なリスクを防止するために、マイナンバー(個人番号)の厳格な取扱を要求しています。

そして同様に、これらのマイナンバー(個人番号)がもたらすおそれのある国民の個人の尊重や基本的人権を侵害しかねない重大リスクを防止するために、マイナンバー法は、マイナンバー(個人番号)と同じように利用できてしまう唯一無二性・悉皆性を有する番号・記号・符号などである、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」(法2条8項かっこ書き・「広義の個人番号」・いわゆる「裏個人番号」・「裏マイナンバー」)をも、事業者や行政機関などが勝手に作成して利用・提供などすることを法律で禁止しているのです。

(2)ハッシュ化の問題
そのため、マイナンバー(個人番号)をプログラムで例えばハッシュ化するなどして生成されたハッシュ値などの番号・記号・符号なども、それが非可逆性という性質を有しているとしても、マイナンバー法上はマイナンバー(個人番号)と同等のものであると評価され、マイナンバー法上の法規制に服することになると思われます(法2条8項かっこ書き)。

この点、産業技術総合研究所主任研究員の高木浩光先生は、9月28日のTwitterで『水町本にハッシュへの言及があるわけではないですが、「性質上個人番号と同等と考えられるもの」(水町逐条85頁)という説明。その性質が「悉皆性、唯一無二性」であることは続く頁に書かれています。書かれてはいるがもっと直接的にはっきり記述した方がよかった。』と投稿しておられます。
ひろみつ先生ハッシュ化
(高木浩光先生のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1442292375011823621

マイナンバー法の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁も上でみたとおり、「個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するもの」は「広義の個人番号」(=裏個人番号・裏マイナンバー)に該当し、マイナンバー法の個人番号への法規制の対象になるとしており、マイナンバーをハッシュ化による非可逆化の処理をして番号・符号などを生成した場合は、当該番号・符号などは「広義の個人番号」(裏個人番号・裏マイナンバー)から除外されるとはしていません。

したがって、マイナンバーをスマホアプリでハッシュ化による非可逆的な番号のxIDにしたとしても、xIDはやはりマイナンバーと法的に同等のものである「広義の個人番号」(裏個人番号・裏マイナンバー)であり(法2条8項かっこ書き)、マイナンバー法のマイナンバーに関する各種の法規制を受けるので、法9条と別表一の規定する税・社会保障・災害時の対応の利用目的以外に利用・提供などすることは法9条違反となり、またxID社などの民間企業や自治体・国などの行政機関や本人が、法9条と別表一が定める以外の行政機関や事業者などにxIDを提供することは、法19条違反となります。

(3)GovTech企業としてのxID社
ところで、xID社は、同社サイトにおいて、『xID株式会社は「信用コストの低いデジタル社会を実現する」をミッションとして掲げ、マイナンバーカードを活用したデジタルIDソリューション「xID」を中心に、次世代の事業モデルをパートナーと共に創出するGovTech企業です。』と同社の概要を説明しています。

xID社について
(xID社サイトより)

しかし「マイナンバーカードを利用したデジタルIDソリューション」を行う「GovTech企業」であるにもかかわらず、xID社は、上でみたようなマイナンバー法やマイナンバー制度の趣旨・目的を理解せず、「マイナンバーをアプリで変換して生成したxIDはマイナンバーではない」という初歩的な誤解に基づきマイナンバーに関連する事業を行っているとは、xID社の経営陣や法務部門、情報システム部門などは法律や情報システムや情報セキュリティのド素人の人間しかいないのでしょうか?

xID社サイトによると、同社の代表取締役CEOの日下光氏は、石川県加賀市のDXアドバイザー、静岡県浜松市フェロー、2021年度総務省地域情報化アドバイザー、東京大学近未来金融システム創造プログラム講師などを歴任しているようです。また、同社の金融・不動産領域アドバイザーの赤井厚雄氏は、早稲田大学研究院客員教授、内閣府都市再生の推進に係る有識者ボード委員、内閣府未来技術社会実装有識者会議委員、国土審議会部会委員等を歴任しているとのことです。

このようなマイナンバー法や個人情報保護法制、情報システムや情報セキュリティなどの素人の人物を諮問委員としている内閣府未来技術社会実装有識者会議、内閣府都市再生の推進に係る有識者ボード、総務省地域情報化部門、国土審議会部会、石川県加賀市、静岡県浜松市などは本当に大丈夫なのでしょうか?

同様にこのような素人の人物達を教員・研究者にしている東京大学近未来金融システム創造プログラム部門、早稲田大学研究院なども大丈夫なのでしょうか?

同社サイトによると、xID社は楽天などの新経済連盟に加入し、Fintech協会スマートシティ・インスティテュートなどの業界団体にも加入しているようです。これらの団体の業務品質やガバナンス・コンプライアンスも大いに気になるところです。

5.xIDの導入・運用
(1)従業員のメンタルヘルスに関する情報システム・コロナワクチン予約システムへの導入
xID社のxIDは、今回問題となっている渋谷区だけでなく、加賀市などでも導入予定となっているそうです。また、同じく導入予定となっている「ラフールサーベイ」という企業は、企業の人事部門が従業員のメンタルヘルスを管理することを支援する企業であるそうですが、マイナンバーと法的に同じものであるxIDに、従業員のメンタルヘルスに関するセンシティブな医療・健康データを連結させてしまって大丈夫なのかと気になります。
ID導入予定
(xID社サイトより)

また、本年7月のxID社のプレスリリース「xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。」によると、東京都日野市などの自治体で、コロナワクチン予約システムにおいて、利用者・住民のIDとしてxIDを利用する実証実験が行われているそうです。
・xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。|xID

コロナワクチン接種の事実、いつだれが接種をどこで受けたか等は個人情報保護法が規定するセンシティブな個人情報である要配慮個人情報(個人情報保護法2条3項)「病歴」などの医療データには直接は該当しません。しかし、医師・看護師の問診を受けてワクチン接種を受けることは医療行為に該当するものであり、ワクチン接種を受けた本人のプライバシー権や、ワクチン接種を受ける受けないという医療に関する自己決定権(憲法13条)、ワクチン接種を受ける受けないという内心の自由(19条)に関連する、要配慮個人情報に準じる、センシティブな個人情報・個人データです。

そのため、自治体がコロナワクチン予約システムに法的にマイナンバーと同等のもの(広義の個人番号・裏個人番号・裏マイナンバー)であるxIDを導入し、xIDに要配慮個人情報に準じるセンシティブな個人情報であるワクチン接種の予約などに関する個人情報・個人データを連結させることは、これも上でみたように、マイナンバー法9条、19条、2条8項かっこ書きに違反するおそれがあるのではないでしょうか。

(2)自治体の電子申請システム「LoGoフォーム電子申請」への導入
さらに、本年7月のxID社のプレスリリース「【トラストバンク・xID】マイナンバーカードを活用した電子申請サービス「LoGoフォーム電子申請」が、25自治体で導入」によると、2020年7月より導入が開始された、xIDを利用した電子申請サービス「LoGoフォーム電子申請」が、石川県加賀市、兵庫県三田市など25自治体に広がったとされています。電子申請サービス「LoGoフォーム電子申請」とは、自治体職員が担当部署や上司などに各種の申請を行うための電子申請サービスであるそうです。

国の機関や地方自治体は公的機関であり、民間企業以上に高度な法令遵守・コンプライアンスが要求される機関ですが(国家公務員法98条1項、地方公務員法32条、憲法99条・憲法尊重擁護義務)、石川県加賀市、兵庫県三田市などはマイナンバー法や個人情報保護法制などを十分に理解し、この「LoGoフォーム電子申請」やxIDなどをしっかりと検討した上で導入したのか大いに気になるところです。
・「【トラストバンク・xID】マイナンバーカードを活用した電子申請サービス「LoGoフォーム電子申請」が、25自治体で導入」|xID

(3)金融機関や議員等の情報発信基盤などへの導入
xID社はセブン銀行LayerX富士ソフトVOTE FORなどとも業務提携しているそうですが、これらの企業も、法務部や情報システム部門などがマイナンバー法や個人情報保護法などの業務に関連する法律をしっかりと理解しているのか気になります。

(2019年の就活生の内定辞退予測データの販売が問題となったいわゆる「リクナビ事件」においては、個人情報保護委員会は、リクルートキャリアやトヨタなどに対して、「新しい業務を行う際に、社内で組織的に個人情報保護法などの法令を十分に検討していなかった」ことを理由の一つとして行政指導を行っています(個人情報保護委員会「株式会社リクルートキャリアに対する勧告等について」(令和元年12月4日))。)
xID提携企業
(xID社サイトより)

セブン銀行の属するセブン&アイ・ホールディングスセブンイレブン7payのシステムがあまりにもお粗末で、2019年夏にリリースされた後、社会的批判を受けてあっという間にサービス終了となったことが記憶に新しいものがあります。そのなかで同グループのセブン銀行は金融業だけあって比較的手堅く業務を行っているイメージがあったのですが、やはりセブン&アイ・ホールディングスのグループ会社といういうことなのでしょうか。

また、特にLayerXは、ITや個人情報保護法制の専門家集団の企業のはずですが、この点どうなのでしょうか。また、xID社と業務提携してる、VOTE FORという企業は国会議員・地方議員・行政機関の職員などの「情報発信を支援」する企業だそうですが、もし万が一、国会議員・地方議員や行政機関の職員などが個人番号と法的に同等のものであるxIDに簡単にアクセスなどができるとしたらこれもマイナンバー法9条、19条、2条8項かっこ書きとの関係で大問題の予感がします。

(4)富士ソフトのデータ連携基盤「UXP」と政府のスーパーシティ構想・スマートシティ構想
富士ソフトは法人向けシステム開発とともに、「筆ぐるめ」の企業であるようですが、もし筆ぐるめの住所録機能にxIDを入力する項目などがあったら大問題であると思われます。

また、富士ソフトは上でみた経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」)の「「UXP × xIDで実現するパーソナルデータの連携」に登場する「UXP(Unified eXchange Platform)」を開発しxID社と業務提携しているとのことです。

この「UXP(Unified eXchange Platform)」とは、富士ソフトのプレスリリースなどによると、「エストニア政府でも採用されているX-Roadを商用化した製品」であり、「暗号化技術を活用することで、複数のデータベース間のデータ連携を安全に共有することを可能」とする「分散型のシステム」であり、「機微・機密データ」の連携に強い、「複数のシステムやデータベース、そのデータレイアウトを変更することなく連携・利活用することが可能」な「分散型」の「データ連携基盤」であるそうです。
・富士ソフトとxID、データ連携基盤「UXP」と次世代デジタルID「xID」の共同提供の検討における基本合意書を締結(2020年9月1日)|富士ソフト

富士ソフトは同社サイトによると、このxID社と提携したデータ連携基盤「UXP」を、近年、政府が推進している未来都市創生プロジェクト「スーパーシティ構想」(スマートシティ)に提供したい方針のようです。
富士ソフトスーパーシティ構想
(富士ソフトウェブサイトより)
・富士ソフトの連携基盤UXP×Fiware|富士ソフト

この富士ソフトのスーパーシティ構想におけるxIDと連携した「UXP」の概要図をみると、病院、介護施設、保育園などの患者や児童、入居者や保育士、介護士などのバイタルデータ・ストレスデータなどの個人の心身のセンシティブな医療データ・健康データやレセプトのデータや検査結果などの医療データをデータ連携基盤UXPでxIDを個人データのマスターキーとして収集し名寄せ・突合を行い、一元管理・集中管理し、これら国民・住民のセンシティブな個人データを研究機関やIT企業や製薬会社などに提供するようです。

しかし、富士ソフトやxID社、内閣府など政府のこのようなスーパーシティ構想・スマートシティ構想は、広義の個人番号・裏個人番号・裏マイナンバーという、マイナンバーと法的に同等のものであるxIDに国民・住民のセンシティブな医療データやバイタルデータ・ストレスデータなど(要配慮個人情報など)を連結させる点で、マイナンバー法9条の定めるマイナンバーの税・社会保障・災害対応という利用目的からはずれており違法です。

また、国民・住民のさまざまな個人データやライフログ、医療データ・健康データなどの要配慮個人情報をxIDとUXPにより名寄せ・突合して集中管理・一元管理して研究機関や製薬会社、IT企業などに提供してそれらの国民・住民の個人データを利活用することは、国・自治体や大企業による国民・住民のあらゆる個人データの監視・追跡・モニタリングであり、国・大企業の前で国民が丸裸のごとき状態(監視社会・監視国家・国民総背番号制度)をもたらしてしまうものであり、国・大企業による国民のあらゆる種類の個人データによるプロファイリングやスコアリングなどが行われてしまう危険が非常に高いのではないでしょうか。

日本のマイナンバー制度は、上でもみたとおり、行政の効率化などの目的のために、国の各行政機関や各自治体が保有する国民の個人データを名寄せ・突合できるマスターキーとしてのマイナンバー(個人番号)を作成するものの、行政機関の保有する国民の個人データは従来どおり分散管理し、またマイナンバーの利用目的も税・社会保障・災害対応の3分野に法律で限定し、利用できる行政機関・事業者も法律で限定して、国や大企業などによるマイナンバーの濫用による国民の個人の尊重や基本的人権の侵害に歯止めをかけています。

にもかかわらず、国民・住民のオープンデータや病院・介護施設・保育園・学校などのあらゆる個人データ・医療データなどの要配慮個人情報、ライフログなどをxIDやUXPなどにより名寄せ・突合できるようにして、一元管理・集中管理されたこのような官民の保有する国民のあらゆる個人データを利活用しようという、xID社や富士ソフト、あるいは内閣府などの政府が推進しようとしているスーパーシティ構想・スマートシティ構想などは、官民による広義の個人番号・裏個人番号・裏マイナンバーの利用による国民の個人情報の利活用というマイナンバー法や個人情報保護法制の潜脱行為であり、行政の効率化と国民の人権保障の調和を図ろうとするマイナンバー法やマイナンバー制度、そしてマイナンバー法の一般法である個人情報保護法などの趣旨・目的そのものに反し、国民の個人の尊重や個人情報、プライバシー権、人格権や自己情報コントロール権の侵害(憲法13条)であり、もし裁判所で争われた場合、違法・違憲との判断が出される可能性があるのではないでしょうか。

(5)自治体への導入
一方、石川県加賀市、兵庫県三田市、町田市などxID社と提携しているその他の自治体も、マイナンバー法やそれぞれの自治体の個人情報保護条例・個人情報保護法などを十分に理解した上で業務を実施しているのか気になります。
xid提携自治体1
xid提携自治体2
(xID社サイトより)

(6)スマホアプリxIDのインストール件数
加えて、Googleのandroidスマホのplayストアをみると、android版スマホアプリのxID既に約1000件以上ダウンロードされて利用されているようです。日本はiPhoneなどのapple製品のシェアのほうがずっと高いので、xIDアプリの実際の利用者はこの数倍となるのではないでしょうか。つまり、xID社によるマイナンバーの違法な収集・利用が少なくとも1000件(実際にはその数倍)、すでに行われていることは間違いないようです。
FAJLlV6VQAsiW5q

6.マイナンバー法上の個人情報漏洩等の重大事故があった場合の個人情報保護委員会への報告
この点、マイナンバー法29条の4は、「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態が生じたとき」には、事業者や地方公共団体などは個人情報保護委員会に対して速やかに報告をしなければならないと、報告法的義務としています。

また個人情報保護委員会の「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態の報告に関する規則」は、「100人以上」の特定個人情報の漏洩等を「重大事故」(重大インシデント)と定義して、重大事故が発覚したときは、事業者や地方自治体などは「直ちに」、個人情報保護委員会に対して「第一報」(速報)を行わなければならないとしています。同規則2条2項ロは、「法第9条の規定に反して利用された個人番号を含む特定個人情報」が「100人を超える場合」をも「重大事故」であると定義し、個人情報保護委員会へ直ちに報告することを義務付けています。

重大事故の報告
(個人情報保護委員会サイトより)
・特定個人情報の漏えい事案等が発生した場合の対応について|個人情報保護委員会

この点、xID社はネット上の炎上を受けて9月24日付で「ソーシャルメディア等で頂いているxIDアプリに関するご意見について」とのプレスリリースを公表しています。

お詫びのリリース
(xID社サイトより)
・ソーシャルメディア等で頂いているxIDアプリに関するご意見について|xID

しかしこのプレスリリースを読むと、「関係官庁や顧問弁護士と法律面の確認はしてきた」と、xIDがマイナンバーの入力を要求し、入力されたマイナンバーからアプリでxIDを生成していることの違法性を否定しています。(この関係官庁が具体的にどの官庁で、また顧問弁護士が具体的に何という弁護士なのか大いに気になりますが。)

そして、「多くのご意見を頂いております個人番号の入力につきまして、かねてより当社も利用者様の不安を招く可能性を認識しており、そのため、現在開発中で年内リリース予定の次期バージョンでは個人番号入力を伴う手順を廃止するよう進めております。」としています。

つまりxID社はマイナンバーからxIDを生成することは違法と認識しておらず、ただ「利用者の不安」を払拭する目的のために「現在開発中で年内リリース予定の次期バージョンでは個人番号入力を伴う手順を廃止」するとしていますが、既に同社がマイナンバーから生成済のxIDのデータを直ちに削除・廃棄するであるとか、マイナンバーからxIDを生成するスキーム自体を中止する等とは一言も述べていません。当然、個人情報保護委員会へ報告を行うなどとも書かれておらず、マイナンバー法が規定するマイナンバーの重大インシデントが発生中であるにもかかわらず、状況は深刻です。

7.マイナンバー法上の個人情報保護委員会の権限・罰則
(1)報告徴求・立入検査など
マイナンバー法は、このような場合、個人情報保護委員会は、行政機関や自治体、事業者などに対して報告徴求を行い、立入検査などを実施することができると規定しています(法35条)。そしてこの報告徴求に対して虚偽の報告をしたり、立入検査に対して検査を妨害などした場合には、一年以下の懲役又は五十万円以下の罰金の刑罰が科されます(法54条)。

また、個人情報保護委員会は、マイナンバーの安全管理などのために、総務省やその他の官庁、行政機関などに対して「必要な措置」の実施を要求することができます(法37条)。

(2)罰則
さらに、「人を欺き」、「個人番号を取得した者」は、三年以下の懲役又は百五十万円以下の罰金に処する」と罰則が規定されています(法51条1項)。

ここでいう「個人番号」には、個人番号からプログラムで生成された「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」(法2条8項)も含まれると解されています(宇賀・前掲234頁)。

また、法51条2項は、「前項の規定は、刑法(明治四十年法律第四十五号)その他の罰則の適用を妨げない。と規定しているので、刑法詐欺罪窃盗罪組織犯罪処罰法(組織的な犯罪の処罰及び犯罪収益の規制等に関する法律)の定める犯罪収益等の没収・追徴なども可能と解されています(宇賀・前掲237頁、(組織犯罪処罰法2条2項1号ロ、別表第二(第二条関係)37号はマイナンバー法51条1項に該当する罪の収益には組織犯罪処罰法が適用されると規定しているため))。

そのため、マイナンバー法9条および別表に定める利用目的および機関・事業者に該当しないにもかかわらず、利用者・ユーザーにマイナンバーの提供(入力)を要求して当該マイナンバーからxIDを生成して利用・管理・提供しているxID社の業務はこの「人を欺き」、「個人番号を取得」に該当するとして、法51条1項の三年以下の懲役又は百五十万円以下の罰金の罰則が科される可能性があるのではないでしょうか。

同時に、法51条2項の規定により、xID社には刑法上の詐欺罪、窃盗罪などが適用される可能性もあり、さらに組織犯罪処罰法に基づき、同社がxIDの業務により得ていた収益も、「犯罪収益」に該当するとして、没収・追徴が行われる可能性があります。

加えて、偽りその他不正の手段により個人番号カードの交付を受けた者」に対しては、六月以下の懲役又は五十万円以下の罰金の刑罰が科されます(法55条)。例えば、行政機関の担当者を買収したり、甘言を弄したり、懇願するなどしてマイナンバーカードの交付を受けるなどの行為は、「不正」に他人のマイナンバーカードの交付を受けることに該当し、この法55条の罰則が適用されるされています(宇賀・前掲246頁)。

8.まとめ
渋谷区では民間のITベンチャー企業と連携した、LINEによる住民票の写しの申請が違法であり許されないと総務省からダメ出しが出されたばかりであり、今回の渋谷区とxID社の件は「またか」との感があります。

一方、国においても、国・自治体のデジタル化やマイナンバー制度の推進などを任務とするデジタル庁が9月から正式発足しましたが、同庁幹部の向井治紀氏がNTTから違法不当な接待を何度も受けていたことが発覚し、また事務方トップのデジタル監に、アメリカの性犯罪者の富豪から巨額の寄付を受けた不祥事でMITメディアラボを辞任したばかりの伊藤穣一氏をあてる人事が大きな社会的批判を浴びて撤回されたものの、代わってデジタル監に就任した石倉洋子・一橋大学名誉教授が自身のウェブサイトで画像素材サイトの画像を無断で対価を支払わずに多数利用していたという著作権法違反の事件が発覚しました。

さらに平井卓也・デジタル庁大臣も、違法不当な接待をIT企業から受けていた問題や、特定企業との癒着や脱税、NECを「徹底的に干せ」「脅せ」などと発言したことなどが社会的批判を浴びています。加えてデジタル庁自体も、民間IT企業の職員を数百人規模で中途採用して職員にするなど、利益相反や特定企業との癒着の危険性、憲法15条2項や国家公務員法96条1項などが要求する行政の公平性・中立性が保たれるのかなどの憲法レベルのさまざまな問題をはらんでいます。

近年のわが国の政府や経済界は、新自由主義的思想のもとに、露悪趣味的な、「自分達の考えた政策や事業の実現のためには法律やモラルなどどうでもよい」という雰囲気が漂い、日本社会は法治主義や「法の支配」ではなく、政治力や経済力、腕力・発言力などの強い人間が社会を支配する「人の支配」が横行する社会となってしまい、日本社会全体が大きく低迷・迷走しています。

日本のマイナンバー制度などを含む個人情報保護に関する行政やデジタル行政に対する国民からの信頼確保のためには、個人情報保護委員会や総務省などは、xID社や提携企業、xIDなどを導入や導入を検討している渋谷区、石川県加賀市、兵庫県三田市、町田市などに対して報告徴求や立入検査などを実施し、状況を分析した上で行政指導を行い罰則を科すなどの厳格な対応を早急に実施すべきではないでしょうか。

同時に、日本のITベンチャー企業や、デジタル化を推進している行政官庁や全国の自治体も、マイナンバー法や個人情報保護法制など憲法・法律やモラルなどを遵守することが、国民からの日本のIT業界や国・自治体のデジタル行政や個人情報保護行政への信頼を保つため、そして低迷する日本社会を再び活力ある社会、主権者たる国民の人権保障が重視され、法治主義・「法の支配」が貫徹される社会にするために重要なのではないでしょうか。

■追記(9月28日)
「7.マイナンバー法上の個人情報保護委員会の権限・罰則」にマイナンバー法51条に関する説明を追加するなどしました。

■追記(9月29日)
9月28日に、渋谷区議会議員の須田賢氏(@sudaken_shibuya)よりつぎのようなコメントをTwitterにて頂戴しました。

『渋谷区で現在公募している施設予約リニューアルのシステムで引用RTの記事のように問題が指摘されているxIDについて、法令上の問題の有無について提供しているxID社及び所管する総務省に確認をするよう渋谷区の所管部門に要請しました。今後の渋谷区の対応についてフォローしていきます。』

須田賢渋谷区議のツイート
(須田賢氏のTwitterより)
https://twitter.com/sudaken_shibuya/status/1442741641370955776

そのため、私の方からは、須田区議に対し、「マイナンバー法の所管の官庁は個人情報保護委員会であるので、総務省だけでなく個人情報保護委員会にも渋谷区から照会していただきたい」旨をTwitterで返信させていただきました。

個人情報保護委員会および総務省の渋谷区やxID社などへの回答や対応が待たれます。

■追記(9月30日)
加賀市9月29日付のプレスリリース「xIDを利用しているサービスの一時利用停止について」によると、ネット上の炎上を受けて、xID社は現在、個人情報保護委員会に対してxIDがマイナンバー法違反であるかどうかについて照会を行っているとのことであり、また、それを受けて加賀市はxIDを利用している同市の電子申請サービスなどの一時停止を決定したとのことです。
・【プレスリリース】xIDを利用しているサービスの一時利用停止について|加賀市

加賀市プレスリリース
(加賀市サイトより)

今後の展開が注目されます。

■追記(10月4日)
愛媛県官民共創デジタルプラットフォーム「エールラボえひめ」が10月1日のプレスリリースにおいて、xIDを利用した新規会員登録とログイン認証の一時停止を発表しています。
・xIDアプリと連携した新規会員登録及びログイン認証の一時停止について|エールラボえひめ
エールラボえひめ

■追記(10月6日)
富士ソフトのデータ連携基盤「UXP」と政府のスーパーシティ構想・スマートシティ構想等について追記しました。

■追記(10月7日)
xID社が10月6日付で新たなプレスリリースを公表しました。このリリースによると、同社は9月29日に個人情報保護委員会に対して、xIDアプリの詳細仕様及びこれまでの経緯に関する事実説明を行ったとのことです。個人情報保護委員会の判断や対応が待たれます。
・個人情報保護委員会への当社xIDアプリの個人番号入力に関する説明について|xID
xIDプレスリリース2
(xID社サイトより)

また、高木浩光先生が10月6日付で「裏個人番号」に関するブログ記事を公開されています。
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

■追記(10月12日)
読売新聞が10月12日付の記事でxIDのマイナンバー法違反の件を報道しています。
・行政手続きアプリに「違法」指摘、利用停止の動き広がる…自治体側は問題に気づかず|読売新聞

この読売新聞の記事は高木浩光先生のつぎコメントも掲載されています。

『マイナンバーの収集が制限されているのは、唯一の番号に国民の様々な情報が紐付けられるのを避けるため。デジタル化で多様な情報が集約される流れにあり、自治体は法の趣旨を忘れてはならない。』(「行政手続きアプリに「違法」指摘、利用停止の動き広がる…自治体側は問題に気づかず」読売新聞2021年10月12日夕刊より)

■追記(2021年10月22日)
個人情報保護委員会は、10月22日に『個人番号(マイナンバー)を非可逆的に変換しているものであっても、個人番号の唯一無二性・悉皆性の特性により個人の特定に用いるものは、個人番号に該当し(マイナンバー法2条8項かっこ書き)、同法9条に定めのない利用は違法』との趣旨のプレスリリースを出しました。
・「行政手続における特定の個人を識別するための番号の利用等に関する法律」第2条第8項に定義される個人番号の範囲について(周知)|個人情報保護委員会

マイナンバー法第2条第8項において、個人番号(マイナンバー)とは、第5項に定義される番号そのものだけでなく「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」こととされています。また、その該当性については、その生成の由来から個人番号に対応するものと評価できるか否か及び個人番号に代わって用いられることを本来の目的としているか否かの観点を総合的に勘案して判断されます。

したがって、例えば個人番号(マイナンバー)の一部のみを用いたものや、不可逆に変換したものであっても、個人番号(マイナンバー)の唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号(マイナンバー)に該当するものと判断されることがあり、その場合、マイナンバー法第9条に定めのない目的に利用していたり、保管していたりすると、マイナンバー法に抵触するおそれがありますのでご留意ください。』(2021年10月22日・個人情報保護委員会「行政手続における特定の個人を識別するための番号の利用等に関する法律」第2条第8項に定義される個人番号の範囲について(周知)」より)

PPCxIDプレスリリース


したがって、やはり、マイナンバーからスマホアプリで非可逆的なxIDを生成し、その唯一無二性・悉皆性の性質を利用して個人を特定するための共通IDとしてxIDを利用しているxID社のスキームは、それが非可逆的なものであっても、マイナンバー法9違反です。

この点、マイナンバー法2条8項かっこ書きの「裏個人番号」・「広義の個人番号」の規定について、宇賀克也先生「脱法的に個人番号を変換したもので可逆的に個人番号を識別できるものを含む」(宇賀克也『番号法の逐条解説』24頁)とし、「可逆的に個人番号を識別できないもの」は「裏個人番号」に含まれないとしていますがこれは正しくありません。

上でみた高木浩光先生や水町雅子先生のように、やはり、マイナンバーを非可逆的に変換した番号などであっても、唯一無二性・悉皆性を備え、個人の特定に使われる番号・符号などは「裏個人番号」・「広義の個人番号」に該当し、つまり法的にマイナンバーと同等のものであると考えるのが正しいことになります。

そのため、xIDをマイナンバー法9条が規定する税・社会保障・災害対応以外の目的の共通IDやデジタルIDなどに利用することはマイナンバー法9条違反となります。

そのため、xID社や、同社のxIDを共通ID・デジタルIDとして個人の特定に利用している加賀市、三田市、町田市や導入を計画中の渋谷区などの各自治体や、同社と業務提携して業務を行っている富士ソフト、LayerX、セブン銀行などは、直ちにxIDの利用や利用の計画を中止する必要があります。また、同様に、xIDやxIDと同等の共通IDをスーパーシティ構想などに利用しようと計画している国・自治体や事業者なども、xIDなどを共通ID・デジタルIDとして利用することはマイナンバー法9条違反となるので、計画などの再検討が必要です。

■参考文献
・宇賀克也『番号法の逐条解説』14頁、24頁、234頁、237頁
・水町雅子『Q&A番号法』56頁
・特定個人情報の漏えい事案等が発生した場合の対応について|個人情報保護委員会
・マイナンバー制度について|内閣府
・「株式会社リクルートキャリアに対する勧告等について」(令和元年12月4日)|個人情報保護委員会
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

■関連する記事
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・デジタル庁の事務方トップに伊藤穣一氏との人事を考えた(追記あり)
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・河野太郎大臣がTwitterで批判的なユーザーをブロックすることをトランプ氏の裁判例や憲法から考えたー表現の自由・全国民の代表(追記あり)
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた



































このエントリーをはてなブックマークに追加 mixiチェック

読売新聞記事
(読売新聞サイトより)

1.JR東日本が駅構内等で防犯カメラと顔認識システムを利用して、刑務所からの出所者や不審者を監視する防犯対策を実施しているとの読売新聞のスクープ記事
読売新聞の9月21日付の午前の記事で、「JR東日本が7月から、防犯カメラと顔認識システムを利用して、刑務所からの出所者と仮出所者や、不審者を駅構内などで検知する防犯対策を実施していることがわかった」とする記事がネット上で大きな注目を集めています。具体的には、①過去にJR東の駅構内などで重大犯罪を犯し服役した人(出所者や仮出所者)、②指名手配中の容疑者、③うろつくなどの不審な行動をとった人、を防犯カメラ・顔認証システムで監視し、必要に応じて警察と連携した対応を行うとしています。
・【独自】駅の防犯対策、顔認識カメラで登録者を検知…出所者の一部も対象に|読売新聞

JR東日本の2021年7月6日付のプレスリリース「東京2020オリンピック・パラリンピック競技大会に向けた鉄道セキュリティ向上の取り組み について」や、国土交通省のプレスリリース「鉄道の警戒警備の強化に関するお知らせ」によると、JR東日本は、東京オリンピック・パラリンピックの開催に合わせて、不審者、不審物などを監視するセキュリティの強化のために、新幹線や在来線の約110駅に約5800台の防犯カメラを設置し、変電所や車両基地などに約8350台の防犯カメラなどを設置し、さらに駅員にウェアラブル端末式の防犯カメラを装着させるなどして、収集したデータをセキュリティセンターで集中管理して監視を行うとされています。また、JR東日本のプレスリリースには「顔認証技術の導入に当たっては、個人情報保護委員会にも相談の上、法令に則った措置を講じています。」と書かれていることも気になる点です。
・東京2020オリンピック・パラリンピック競技大会に向けた鉄道セキュリティ向上の取り組み について|JR東日本
・鉄道の警戒警備の強化に関するお知らせ|国土交通省

ところが、この読売新聞のスクープ記事が報道された同日の夜には、新聞各社の報道によると、JR東日本は「顔認証システムで刑務所の出所者・仮出所者を監視する取組は撤回する」と発表したとのことです。
・駅で出所者の「顔」検知、JR東が取りやめ…「社会の合意不十分」と方針転換|読売新聞

JR東日本は、監督官庁である国土交通省や個人情報保護委員会などと調整した上で、この鉄道セキュリティ対策を企画・立案し実施したはずなのに、読売新聞のスクープ報道を受けてたった1日でその一部を撤回したのは不可解な話です。本ブログ記事では、このJR東日本の防犯カメラ・顔認証システムによる駅構内などにおける刑務所の出所者や不審者などの監視を、個人情報保護法などから問題点を検討してみたいと思います。

2.防犯カメラ・顔認証システム
顔認証システム(顔認証カメラ)とは、防犯カメラが収集した個人の顔の画像から、目、鼻、口といった顔の特徴をシステム的に数値化し、その「特徴点のデータ」(=「顔データ」、「顔認証データ」・「テンプレート」等と呼ばれる)を作成しデータベース(DB)に登録し、DB登録されている顔データとカメラで撮影し抽出した顔データを照合することで、特定の個人を識別するシステムのことをいいます。顔認証システムは、自動的に特定の個人を識別できることが、従来のただの画像という「生データ」しか取得しない従来の防犯カメラと大きく異なる点です。

そして、顔認証システムは特定の個人を識別するための「一対一の本人確認」のみならず、不特定多数の人間から特定の個人を識別する「一対nの識別」にも利用ができるため、警察や、今回話題となったJR東日本などのように民間企業でも利用が広がっています。

このような顔認証システムは、警察や民間企業などにとって有用性が高い一方で、撮影された個人の容貌の保護の問題(肖像権)、撮影方法や撮影画像の利用方法の問題(プライバシー権)、撮影された画像および顔データの保護の問題(個人情報の適切な取扱い)などについてさまざまな法的問題が発生します(新保史生「監視・追跡技術の利用と公法的側面における課題」『プライバシー・個人情報保護の新課題』(堀部政男編)201頁)。

3.個人情報保護法
(1)個人情報・個人データ
防犯カメラが撮影した生データとしての個人の顔や容貌などは、「個人に関する情報」であって、電磁的記録などを含むさまざまな情報・記述などにより、「あの人、この人」と「特定の個人を識別できるもの」は個人情報保護法上の「個人情報」に該当します(法2条1項1号)。そして民間企業などがコンピュータで体系的に処理する個人情報は「個人データ」に該当します(法2条6項)。

なお、従来、6か月以内に消去されるデータは個人データに該当しないと規定されていましたが、この規定は令和2年の個人情報保護法改正で改正され、改正法が施行される2022年4月以降は、6か月以内に消去されるデータも個人データに該当します(改正法2条7項)。

(2)顔データ・個人識別符号
今回問題となっている顔認証システムによる顔データ(顔認証データ)や遺伝子データ、声帯認証データ、歩行認証データ、指紋・掌紋認証データなどは、「個人に関する情報」であって「特定の個人を識別できるもの」である限り個人情報・個人データですが、平成27年の個人情報保護法改正で、これが個人情報・個人データに該当することを明確化するために、「個人識別符号」(いわゆる1号個人識別符号)という名称で、個人情報・個人データに該当することが条文上、明示されました(法2条2項1号、法2条1項2号)。

顔認証システムによる顔データは、個人情報保護法施行令1条1項ロの「顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌」に該当し、法2条2項1号の「特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの」である「個人識別符号」に該当するので、やはり個人情報・個人データに該当することになり、民間企業などは個人情報保護法第4章の規定する個人情報取扱事業者の義務を負うことになります。

(3)犯罪歴・要配慮個人情報
EUが1995年に制定したEUデータ保護指令は、病歴、犯罪歴、思想・信条、人種など社会的差別の原因になるおそれのある情報をセンシティブ情報(機微情報)として、個人情報のなかでも特に厳格な取扱いが必要であるとしました。しかし2003年に成立した日本の個人情報保護法は経済界の個人情報の利活用を重視するいわゆる「ザル法」であるため、このセンシティブ情報に関する規定はなく、金融庁などの個人情報保護ガイドラインなどにセンシティブ情報の規定が存在するにとどまっていました。しかし平成27年の法改正で日本の個人情報保護法にも、このセンシティブ情報は「要配慮個人情報」という名称でようやく取り入れられました(法2条3項)。

今回のJR東日本の防犯カメラ・顔認証システムで問題となる刑務所から出所や仮出所した人々を監視するということは、個人の犯罪歴に関わる情報の取扱ですので、この要配慮個人情報の取扱の問題となります。

要配慮個人情報について、個人情報保護法は、その収集には原則として本人の同意が必要であると規定し(法17条2項)、また要配慮個人情報の第三者提供については、オプトアウト方式による第三者提供を禁止しています(法23条2項かっこ書き)。

4.JR東日本の犯罪歴などの要配慮個人情報の取扱に法的問題はないのか?
このように、社会的差別をまねくおそれがあるために、犯罪歴、病歴、思想・信条、人種などの要配慮個人情報を民間企業などが収集するためには、原則として本人の同意が必要とされていますが、法はいくつかの例外を設けています。その一つが「法令に基づく場合」です。

個人情報保護法

(適正な取得)

第17条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
 法令に基づく場合
(略)
 当該要配慮個人情報が、本人、国の機関、地方公共団体、第76条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
(後略)

読売新聞の記事によると、JR東日本は、「事件の被害者や目撃者、現場管理者らに加害者の出所や仮出所を知らせる「被害者等通知制度」に基づき、従来より検察庁から情報提供を受けている。出所者や仮出所者については情報が提供された際、JR東や乗客が被害者となるなどした重大犯罪に限って氏名や罪名、逮捕時に報道されるなどした顔写真をデータベースに登録する。」という取扱いを行うとされています。

つまり、"刑務所からの出所者、仮出所者などの情報は犯罪歴であり要配慮個人情報(法2条3項)に該当するが、「被害者等通知制度」という「法令に基づく場合」(法17条2項1号)の例外規定に該当するので、JR東日本が出所者などの個人の犯罪歴や氏名・住所などの要配慮個人情報や個人情報を本人の同意なしに収集することは合法である"とJR東日本は考えているようです。

(そして、この「被害者等通知制度」により法務省・検察庁から出所者等の氏名・住所・犯罪歴などの情報を収集し、その情報をもとにテレビや新聞などの報道機関の報道から出所者等の顔写真などの情報を収集することは、法17条2項5号の「当該要配慮個人情報が、…第76条第1項各号に掲げる者…により公開されている場合」の例外規定に該当し合法であるとJR東日本は考えていると思われます。)

しかし、このようなJR東日本の考え方は法的に正しくないと思われます。

JR東日本が出所者等の犯罪歴や氏名・住所などの情報を収集するための「被害者等通知制度」は、内閣府男女共同参画局や法務省のウェブサイトなどで調べると、法務省の制定した「平成28年5月27日法務省刑総第741号 被害者等通知制度実施要領」を根拠として運用されていると解説されています。

犯罪被害者通知制度
(法務省サイトより)
・被害者等通知制度実施要領|法務省

このような国会でなく、官庁の制定した「実施要領」(=通達)が、個人情報保護法17条2項が要配慮個人情報の本人の同意なしに例外的に収集を許す「法令」に該当するか否かが問題となります。

この点、個人情報保護法は、要配慮個人情報の収集、個人情報の目的外利用、個人情報の第三者提供の3つの場面においては、本人の承知しないところで本人の個人情報が不当に利用、保存、突合、連結、分析などが行われ勝手にプロファイリングに利用されてしまうリスクや、本人の承知しないまま本人の個人情報がある事業者から別の事業者へと転々と流通するなどのリスクを防止するため、本人に自らの個人情報をコントロールできるように、原則として本人の同意が必要であるとしています。

しかしこの三か所の場面には、例外として本人の同意が不要な場合として「法令に基づく場合」が規定されています(法17条2項1号、法16条3項1号、法23条1項1号)。

この「法令に基づく場合」が例外として許されている趣旨は、それぞれの法令は国会審議において、当該個人情報の収集等の必要性が立法意思として明らかにされ、当該法令により保護されるべき権利利益が明確であって、当該法令に照らして合理的範囲に限り取り扱われるものであることから適用除外とされていると解説されています(岡村久道『個人情報保護法 第3版』183頁、園部逸夫『個人情報保護法の解説(改正版)』124頁)。

つまり侵害されるおそれのある国民本人の基本的人権や権利利益の侵害の可否やその程度、それに対する法令の個人情報の収集の必要性などが、国民の信託を受けた国会議員による国会で十分審議された上で立法化される(はずな)ので、「法令に基づく場合」は例外として本人の同意が不要とされるのです。

そのため、この3つの場面の「法令に基づく場合」の「法令」とは、国会や地方自治体の議会の定める法律や条例、法律に基づいて制定される政令、府省令は含まれますが、官庁や自治体など行政機関が制定する訓令・通達含まれないとされています(個人情報保護法ガイドラインQ&A1-59、岡村・前掲183頁、園部・前掲124頁)。

この点、上でみたように、法務省・検察庁の「被害者等通知制度」は、国会などが立法した刑事訴訟法などの法律に根拠がある制度ではなく、行政機関である法務省の制定した「平成28年5月27日法務省刑総第741号 被害者等通知制度実施要領」という通達(要綱通達)を根拠として運用されているものであり、個人情報保護法17条2項1号の定める「法令に基づく場合」には該当しません。

したがって、法務省・検察庁の「被害者等通知制度」により出所者等の犯罪歴などの要配慮個人情報を収集することは個人情報保護法17条2項1号の「法令に基づく場合」に該当するので合法であるとするJR東日本の説明は法的に正しくありません。このようなJR東日本の犯罪歴などの要配慮個人情報の収集は違法といえます(法17条2項1号)。

5.プライバシー権や肖像権侵害による不法行為に基づく損害賠償責任の法的リスク
なお、上でも触れたとおり、事業者などがある個人の個人情報を違法・不当に取り扱った場合、個人情報保護法上違法となるだけでなく、当該個人の肖像権やプライバシー権の侵害であるとして不法行為に基づく損害賠償責任を負う法的リスクも発生することになります(民法709条、憲法13条)。

この点、ある自治体が弁護士会からの弁護士会照会(弁護士法23条の2)に対して、ある個人の前科を漫然と回答した事件に関して、1981年の最高裁は、当該自治体に対して不法行為に基づく損害賠償責任を認めています(前科照会事件・最高裁昭和56年4月14日判決)。

また、JR東日本の経営陣や法務・コンプライアンス部門などは、このような個人情報保護法など法令を十分に社内で検討せずに顔認証システム等の運用の企画・実施を行ったことを反省する必要があります。2019年の就活生の内定辞退予測データの販売が行われた、いわゆる「リクナビ事件」においては、個人情報保護委員会は、リクルートやトヨタなどに対して、「社内で個人情報保護法など法律を十分に検討せぬままに新しい業務を行ったこと」を理由として行政処分を行っているからです。
・個人情報の保護に関する法律に基づく行政上の対応について|個人情報保護委員会

同様に、監督官庁である国土交通省や個人情報保護委員会なども、JR東日本と事前にどのようなやり取りや法的判断を行ったのか等が問われる状況ではないでしょうか。

6.挙動不審者への対応について
しかしJR東日本は、出所者・仮出所者に関する対応は撤回した一方で、「うろつくなどの不審な行動をとった人」を防犯カメラ・顔認証システムで監視する取扱いは継続する方針であるそうです。

防犯カメラ・顔認証システムに関しては、従来、個人情報保護委員会などは個人情報保護法18条4項4号の「取得の状況からみて利用目的が明らかであると認められる場合」に該当するので、防犯カメラや顔認証システムを店舗などに設置している民間企業などは、個人情報の収集にあたって利用目的を通知・公表しなければならない(法18条1項)とする原則は適用されないと、極めて消極的な立場をとっていました。

しかし、2013年には独立行政法人情報通信研究機構がJR西日本の大阪駅構内に約90台の防犯カメラ・顔認証システムを設置して災害時の安全対策などの実証実験などを実施する計画を公表したところ、大きな社会的批判を受けた事件や、2016年にジュンク堂書店などにおける防犯カメラ・顔認証システムの利用が社会的に大きな賛否両論の議論を巻き起こしたことなどを受けて、平成27年の個人情報保護法改正に伴い、個人情報保護委員会は個人情報保護法ガイドラインQ&Aに規定を置きました。

すなわち、「防犯カメラが作動中であることを店舗の入口に掲示する等、本人に対して自身の個人情報が取得されていることを認識させるための措置を講ずることが望ましいと考えられます。また、カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。」などの個人情報保護法ガイドラインQ&Aを追加するなどの対応を行っています(個人情報保護法ガイドラインQ&A1-11)。

また、民間企業などが防犯カメラではなく、店舗にカメラを設置して顧客の行動をモニタリング・監視してマーケティング活動など商用目的でカメラや顔認証システムを利用することについても、経産省と総務省が2018年3月に『カメラ画像利活用ガイドブックver2.0』を作成し公表しています。
・「カメラ画像利活用ガイドブックver2.0」の公表|総務省

このカメラ画像利活用ガイドブックは、個人情報保護法を遵守した上で、商用カメラの付近や店舗などの入り口などに、個人情報の利用目的や商用カメラの実施運用主体の名称及び連絡先などを記載した書面などを掲示することなどを求めています。

さらに、個人情報保護委員会は本年9月令和2年個人情報保護法改正に対応した同ガイドラインQ&Aを公表しましたが、同Q&Aにおいても、防犯カメラ・顔認証システムに関するQAがさらに追加されています。

とくに、同ガイドラインQ&A((令和2年改正法関係)の7-50は、防犯カメラ・顔認証システムにより収集された顔データの共同利用に関するものですが、次のように、①共同利用する顔データなどは防犯の利用目的のために「真に必要な範囲に限定」し、②「データベースへの登録条件を整備し、犯罪行為などに関係ない者の情報を登録しないこと」、③「個人データの開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの開示、訂正、利用停止等の対応に、管理責任者を明確に定めて必要な対応を行うこと」などを事業者側に要求し、防犯カメラ・顔認証システムに関して事業者側に厳格な運用を行うことを求めています。

個人情報保護法ガイドラインQ&A(令和2年改正法関係)7-50

(前略)『防犯目的のために取得したカメラ画像・顔認証データを共同利用しようとする場合には、共同利用されるカメラ画像・顔認証データ、共同利用する者の範囲を目的の達成に照らして真に必要な範囲に限定することが適切であると考えられます。』
(中略)
『例えば共同利用するデータベースへの登録条件を整備して犯罪行為や迷惑行為に関わらない者の情報については登録・共有しないことが必要です。』
(中略)
『さらに、個人データの開示等の請求及び苦情を受け付けその処理に尽力するとともに個人データの内容等について開示、訂正、利用停止等の権限を有し安全管理等個人データの管理について責任を有する管理責任者を明確に定めて、必要な対応を行うことが求められます。』

PPC個人情報QA7-50
・個人情報保護法ガイドラインQ&A(令和2年改正法関係)|個人情報保護委員会

このように個人情報保護委員会が事業者に対して防犯カメラ・顔認証システムの厳格な運用を求めるのは、近年、防犯カメラ・顔認証システムの警察や民間企業などによる利用が増加するに伴い、店舗の従業員などのミスや悪意、あるいは恣意的な運用などで、本当は万引きなどをしていないのに、「万引き犯人」として事業者の万引き犯人のブラックリストのデータベースに誤登録されてしまい、その情報が他の店舗や他の事業者などと共有化され、当該万引き犯人と誤登録された人が、誤登録された店舗だけでなく、他の店舗や他の業種・業界の店舗でも「万引き犯」や「万引き犯予備軍」などとして違法・不当な取扱いを受け、多くの小売店で買い物をすることが事実上できなくなってしまう等の、いわゆる「万引き犯罪の冤罪被害者の問題」が存在します。

もちろんスーパー、コンビニ、書店、ドラッグストアなどの小売業において万引き犯罪は死活問題であり、犯罪である万引き犯罪は撲滅されるべきですが、しかしそのための防犯カメラ・顔認証システムの運用において、一般の国民に「万引き犯の冤罪被害者」が発生してしまうことは、これも当該被害者の方々の平穏な生活を営むなどの基本的人権を侵害する重大な問題です。

■関連する記事
・防犯カメラ・顔認証システムと改正個人情報保護法/日置巴美弁護士の論文を読んで|なか2656のブログ
(万引き犯罪の冤罪被害者の方々が取りうる対処方法については、このブログ記事の「4.顔認証データの共有」の部分をご参照ください。)

このように防犯カメラ・顔認証システムは「もろ刃の剣」であるため、それを運用する事業者は、上でみた新しい個人情報保護法ガイドラインQ&A7-50が説明するとおり、①顔データなどは防犯の利用目的のために「真に必要な範囲に限定」し、②「データベースへの登録条件を整備し、犯罪行為などに関係ない者の情報を登録しないこと」、③開示・訂正・利用停止請求や苦情の申出などには真摯に対応すること、などが要求されます。

また、個人情報保護法15条は事業者は「個人情報の利用目的をできるだけ特定」することを要求していますが、これは事業者に個人情報の利用目的をできるだけ特定させることにより、事業者が個人から収集する個人情報を利用目的の達成のために必要最低限にさせる趣旨であるとされています(宇賀克也『個人情報保護法の逐条解説 第6版』131頁)。

この点、JR東日本は21日夜に、「うろつくなどの不審な行動をとった人」に対しては防犯カメラ・顔認証システムによる監視・モニタリングを継続する方針を公表したとのことですが、新しい個人情報保護法ガイドラインQ&A7-50などが説明するとおり、「うろつくなどの不審な行動をとった人」について、「データベースへの登録条件を整備」「関係のない者の情報を登録しないこと」を徹底すること、開示・訂正・利用停止等の請求や苦情申出などに対して誠実に対応することなどが求められます。

ところが、JR東日本のウェブサイトを見る限り、同社は防犯カメラ・顔認証システムの運営基準・規則などを制定し公表していないようです。「うろつくなどの不審な行動をとった人」という文言だけでは非常に不明確であり、JR東日本の従業員などによるミスや恣意的な運用などが行われる危険性があります。また個人情報保護法15条が事業者が収集することが許される個人情報は、利用目的の達成のために必要最低限のものに限られ、漫然と広範な個人情報を収集することは許さない趣旨であることを考えると、同社は早急に防犯カメラ・顔認証システムの運営基準・規則などを制定し公表すべきではないでしょうか。

また、万引き犯罪と防犯カメラ・顔認証システムに関しては、「特定非営利法人 全国万引犯罪防止機構」が本年2月に個人情報保護委員会より、個人情報保護法47条に基づく認定個人情報保護団体に認定されました。
・万防機構が『認定個人情報保護団体』になりました|全国万引犯罪防止機構

認定個人情報保護団体とは、主に業界・業種ごとに設置され、当該業界・業種の事業者の個人情報の適正な取扱いの確保や苦情対応などのために、当該業界・業種の事業者が遵守すべき「個人情報保護指針」などを制定し、当該業界などの事業者に当該個人情報保護指針などを遵守させなければならないと規定されています(法53条)。

ところが全国万引犯罪防止機構のウェブサイトを見る限り、同機構は万引き犯罪と防犯カメラ・顔認証システムに関する個人情報保護指針などを制定・公表していないようです。同機構も小売業界などの防犯カメラなどの運用などに関する個人情報保護指針などを早急に制定・公表することが望まれます。

7.学者の先生方の見解
なお、冒頭でみた9月21日午前の読売新聞のスクープ記事は複数の有識者の方のコメントを掲載していますが、警察官僚OBの刑事政策学者の方や情報システムの専門家と思われる方のコメントは、「安全・安心な社会のためには出所者などを監視するシステムも必要」などの一面的な残念な内容となっているようです。

そのなかで刑事訴訟法の神奈川大教授の白取祐司先生『出所後も監視対象とし、行動を制限しようとすることは差別にあたる。刑期を終えた人の更生を支えるという我が国の刑事政策の基本理念にも反するのではないか』とのご見解がまさに正論であるように思われます。犯罪を侵した人も、刑事裁判を受け、刑務所で刑期を終えれば刑罰は終了するのであり、刑期が終わった後も防犯カメラなどで監視せよとすることは、少なくとも現在の刑法や刑事訴訟法などの法律が予定する事態ではありません。

またこの点、読売新聞が肝心の個人情報保護法など情報法の学者の先生方に取材していないことは疑問です。1960年代からのコンピュータの発達は、とくに西側の自由主義諸国でコンピュータの発達が人間の個人の尊厳や基本的人権を侵害するのではないかという問題意識を発生させ、1974年の国連事務総長報告書『科学の発展と人権』は、コンピュータの発達により個人のプライバシーが侵害される危険や、国家権力の前で国民が丸裸のごとき状態にされる危険(監視社会・監視国家の危険)、国家が個人情報を収集・保管・分析などを行うことにより国民が行動や表現行為に委縮効果が発生する危険、そして本人の承知しないうちにさまざまな個人情報が国や大企業などにより収集、突合、結合、分析され、勝手に本人がコンピュータにより「個人データによる人間の選別」(プロファイリング)が行われてしまう危険などが示されています(奥平康弘・戸松秀典「国連事務総長報告書(抄)人権と科学技術の開発」『ジュリスト』589号105頁、高木浩光「個人情報保護から個人データ保護へ―民間部門と公的部門の規定統合に向けた検討」『情報法制研究』2巻75頁)。

上でみた「万引き犯罪の冤罪被害者」の問題のように、現代急速に普及しているコンピュータやAIによる防犯カメラ・顔認証システムは、まさに人間がAIやコンピュータによって勝手に「個人データによる人間の選別・差別」が行われてしまう危険をはらんでいます。

この「個人データによる人間の選別」(プロファイリング)への拒否権(プロファイリング拒否権)はその後、プライバシー権、情報自己決定権、自己情報コントロール権などの考え方とともに、西側自由主義諸国の個人データ保護法の趣旨・目的の一つとなってきました。

この考え方は、1996年のILO「労働者の労働者の個人情報保護に関する行動準則」などに受け継がれ、EUにおいては1995年のEUデータ保護指令15条から2018年のGDPR22条となり、さらに本年4月に公表されたEUのAI規制法案に受け継がれています(高野一彦「従業者の監視とプライバシー保護」『プライバシー・個人情報保護の新課題』(堀部政男編)163頁)。

このEUのAI規制法案は、AIの人間の生命や基本的人権などへの危険をもとに、AIがもたらすリスクを①原則禁止、②高リスク、③限定的なリスク、④最小限のリスク、という4段階に分類したしています。

そしてこのAI規制法案においては、警察などが公共の場所・空間で顔認証の技術を使い、市民を「常時監視」することを一番上の類型の「原則禁止」に分類しています。

ところが、日本においては防犯カメラ・顔認証システムに関しては警察など公的機関による利用を規制するための国会の制定した法律は存在せず、警察の内規(要綱通達)で運用が行われています。また、民間企業などによる防犯カメラ・顔認証システムの運用も、「杉並区防犯カメラの設置及び利用に関する条例」など一部の自治体の条例以外には、個人情報保護法ガイドラインQ&Aや経産省等の「カメラ画像利活用ガイドブック」などの行政機関の通達レベルの規定があるにとどまり、これも歯止めをかけるための国会の制定した法律が存在しません(石村修「コンビニ店舗内で撮影されたビデオ記録の警察への提供とプライバシー」『専修ロージャーナル』3号19頁)。(これは2017年に違憲判決(最高裁平成29年3月15日判決)の出された警察のGPS捜査なども同様です。)

この点、憲法・情報法の山本龍彦・慶応大学教授は、本年8月の朝日新聞社の公開講座「世界発・デジタル化社会は民主主義を壊すか」において、『警察による防犯カメラ・顔認証技術の運用には国会の立法が必要である。民間企業などによる顔認証技術等の運用は、防犯目的だけでなく商用目的など利用目的が複数存在するので一律の法規制は難しいが、少なくとも事業者や業界団体などが制定した自主ルールの個人情報保護方針を事業者などに遵守させるための枠組み立法は必要であろう。』との趣旨のご見解を述べておられます。

今回明らかとなったJR東日本の防犯カメラ・顔認証システムによる駅構内の出所者や不審者などの監視・モニタリングの問題や、警察や民間企業による防犯カメラ・顔認証システムの野放しともいえる利用に歯止めをかけ、国民の権利利益の保護や個人の人格権の尊重、国民の個人の尊重や基本的人権の確立(個人情報保護法1条、3条、憲法13条)などを守るために、国会は防犯カメラ・顔認証に関する立法を早急に行うべきであると思われます。

■追記(10月8日)日本における「プロファイリング拒否権」や「AI・コンピュータのデータによる人間の選別・差別」の考え方について
日本においても労働分野・雇用分野では、EUのGDPR22条1項などのような「プロファイリング拒否権」の考え方が、2000年の労働省「労働者の個人情報保護の行動指針」の「第2 個人情報の処理に関する原則」の6(6)や、2019年6月の厚労省『労政審基本部会報告書~働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために~』9頁、10頁に示されており、国会の制定した法律レベルではないものの、「プロファイリング拒否権」や「AI・コンピュータのデータによる人間の選別・差別」への問題意識は日本においても存在します。詳しくは次のブログ記事をご参照ください。
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング

■追記(10月9日)個人情報保護委員会のJR東日本への対応が非常に杜撰だったことが発覚
10月8日付の朝日新聞の(社説)顔認識データ 明確なルール作り急げは、『ところが今回、その委員会(=個人情報保護委員会)が、とりわけ慎重な扱いが求められる出所者情報の利用を、詳細な検討をせずに認めていたことがわかった。法の不備があるとはいえ、委員会の認識が甘かったのは明らかだ。』と報道しています。
(社説)顔認識データ 明確なルール作り急げ|朝日新聞

この報道が本当なら大問題です。現在、9月に正式発足したデジタル庁が「国民の個人情報やマイナンバーを国・大企業がますます利活用して日本の経済成長を!そのためには法律や国民の人権保障などどうでもいい!」とアクセル全開で業務を開始していますが、それに対するブレーキ役の、個人情報保護法やマイナンバー法の所轄の官庁である個人情報保護委員会が、個人情報保護法や行政法などの基本的理解が欠落しているということでは、政府のデジタル行政や個人情報保護行政は、国・大企業の個人情報の利活用ばかりがますます推進され、国民の人権保障がますます軽視されることになりかねません。

(2016年に個人情報保護委員会が設置された頃から、同委員会に自分達の被害を申出て、問題解決のための対応を請願し続けてきた「万引き犯罪の冤罪被害者」の方々は、今回の同委員会の杜撰な対応をどう考えているでしょうか。)

もし日本社会が今後も官民あげて国民の個人情報保護を軽視し続ける状況が継続すると、国民の人権保障を重視するEUが、GDPR(EU一般データ保護規則)の日本に対する十分性認定を取消すなどという事態にも発展しかねません。

個人情報保護委員会は、今回のJR東日本への一連の対応の不祥事について、有識者による第三者委員会を設置して調査を行い、再発防止策の策定や関係者の懲戒処分などを行い、一連の経緯を国民に公表すべきではないでしょうか。なあなあに事を済ませては、国民の政府の個人情報保護行政やデジタル行政への信頼感はますます低下するばかりであると思われます。

■関連する記事
・防犯カメラ・顔認証システムと改正個人情報保護法/日置巴美弁護士の論文を読んで
・ジュンク堂書店が防犯カメラで来店者の顔認証データを撮っていることについて
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた(追記あり)
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求を労働法・個人情報保護法から考えた
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)

■参考文献
・新保史生「監視・追跡技術の利用と公法的側面における課題」『プライバシー・個人情報保護の新課題』(堀部政男編)201頁
・岡村久道『個人情報保護法 第3版』183頁
・園部逸夫『個人情報保護法の解説(改正版)』124頁
・宇賀克也『個人情報保護法の逐条解説 第6版』131頁
・日置巴美「「顔」情報の活用と個人情報保護」『ビジネス法務』2017年4月号87頁
・奥平康弘・戸松秀典「国連事務総長報告書(抄)人権と科学技術の開発」『ジュリスト』589号105頁
・高野一彦「従業者の監視とプライバシー保護」『プライバシー・個人情報保護の新課題』(堀部政男編)163頁
・石村修「コンビニ店舗内で撮影されたビデオ記録の警察への提供とプライバシー」『専修ロージャーナル』3号19頁
・高木浩光「個人情報保護から個人データ保護へ―民間部門と公的部門の規定統合に向けた検討」『情報法制研究』2巻75頁
・EUのAI規制案、リスク4段階に分類 産業界は負担増警戒|日経新聞
・加藤尚徳「あまりにも未熟な日本の「顔」画像利用の議論」|一般社団法人次世代基盤政策研究所

































このエントリーをはてなブックマークに追加 mixiチェック

CCC委託の混ぜるな危険の問題1
(CCCサイトより)

1.個人情報保護委員会が令和2年改正に対応した個人情報保護法ガイドラインQ&Aを公表
個人情報保護委員会(PPC)が、2021年9月10日に令和2年改正に対応した個人情報保護法ガイドラインQ&Aをサイトで公表しました。
・「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A(令和2年改正法関係)|個人情報保護委員会

今回公表された令和2年改正対応の個人情報保護法ガイドラインQ&Aをみると、QA7-38からQA7-43までの5つのQAが、個人情報の第三者提供の「委託」(法23条5項1号)に関するものであり、とくにいわゆる「委託の混ぜるな危険の問題」について詳しく解説を行っていることが注目されます。

このブログでは、以前、2021年1月15日にTポイントを運営するCCC カルチュア・コンビニエンス・クラブがT会員規約の一部を改正し、「他社データと組み合わせた個人情報の利用の明確化」を行ったところ(T会員規約4条6項)、その明確化された「他社データと組み合わせた個人情報の利用」が、個人情報の第三者提供の委託の「混ぜるな危険の問題」に抵触する違法なものであることを取り上げました(法23条5項1号違反、改正前の個人情報保護法ガイドラインQ&A5-26-2の事例(2)違反)。
・CCCがT会員規約やプライバシーポリシーを改定-他社データと組み合わせた個人情報の利用・「混ぜるな危険の問題」-なか2656のblog

今回の本ブログ記事では、9月10日にPPCが公表した令和2年法改正に対応した個人情報保護法ガイドラインQ&Aの個人情報の第三者提供の委託に関する解説をみて、CCCの1月15日のT会員規約4条6項の「他社データと組み合わせた個人情報の利用の明確化」がやはり「委託の混ぜるな危険の問題」に抵触し違法であることを確認してみてみたいと思います。

2.委託の「混ぜるな危険の問題」
(1)個人情報保護法の本人の同意の必要な第三者提供の例外としての「委託」
1970年代以降のコンピュータやAIなどの発達により、個人情報・個人データが本人の同意なしに無制限にある事業者から第三者へ提供された場合、本人に関する他の種類のさまざまな個人データとの突合・結合・加工が容易に行われ、第三者提供後に当該個人データがどのように利用され、流通するかなどが不明の状態におかれ、個人データの主体である本人のプライバシーが侵害されるおそれや、本人がそれらの個人データで勝手にプロファイリング(=コンピュータ・AIによる個人データの自動処理により法的決定や重要な決定が行われること)されるおそれなど、本人に不測の権利利益の侵害や個人の尊重や基本的人権の侵害が行われる危険が増大しています。

そこで個人情報保護法は、事業者が保有する個人データを第三者提供することを特に注意すべき行為と位置づけ、本人が自らの個人データの流通をコントロールすることができるように、個人データの第三者提供には原則として本人の同意が必要であるとする規制を設けています(個人情報保護法23条1項、岡村久道『個人情報保護法 第3版』241頁)。

一方、近年は企業などの業務の外部委託(アウトソーシング)が普及しており、例えばある企業におけるPCへの紙データの入力作業などの情報処理関係の業務を外部の事業者に委託する場面が増えています。このような「委託」については、個人データの提供先の事業者は提供元の事業者とは別の主体として形式的には第三者に該当するものの、委託のたびに本人の同意を取得することは煩雑であるなど、委託先の事業者を個人データの主体の本人との関係において委託元の事業者と一体のものとして取り扱うことに合理性があるため、第三者提供における「第三者」に該当しないものと個人情報保護法はしています。

そのため、個人情報保護法は、事業者が「利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴って当該個人データが提供される場合」、つまり「委託」の場合には第三者提供に該当しないので本人の同意やオプトアウト手続きは不要であるとしています(法23条5項1号、岡村・前掲262頁)。

(2)委託の混ぜるな危険の問題
しかし、「委託」とは上のように委託元の「利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託すること」であるため、「委託された業務以外に当該個人データを取扱う」ことは「委託」に該当せず、これを本人の同意やオプトアウト手続きなしに行うことは原則に戻って本人の同意のない第三者提供として違法となります(法23条1項)。またこれは本人の同意のない個人データの目的外利用としても違法であり(法16条)、さらに委託元の事業者は個人データの安全管理措置に関する委託先の監督の義務違反にもなります(法22条)。

この違法となる「委託された業務以外に当該個人データを取扱うこと」の具体例として、個人情報保護法ガイドラインQ&A7-37の事例2(=旧ガイドラインQ&AQ&A5-26-2の事例(2))は、「複数の個人情報取扱事業者から個人データの取扱いの委託を受けている者が、各個人情報取扱事業者から提供された個人データを区別せずに混ぜて取り扱っている場合」をあげていますが、これがデータセンターなどにおける、いわゆる「委託の混ぜるな危険の問題」と呼ばれる事例です。

この「委託の混ぜるな危険の問題」が違法となるのは、そもそも個人情報保護法における個人データの「委託」とは、契約の種類・形態を問わず、委託元の個人情報取扱事業者が自らの個人データの取扱の業務を委託先に行わせることであるから、委託元が自らやろうと思えばできるはずのことを委託先に依頼することであり、したがって、委託元は自らが持っている個人データを委託先に渡すなどのことはできても、委託先が委託の前にすでに保有していた個人データや、委託先が他の委託元から受け取った個人データと本人ごとに突合させることはできないからであると解されています。そしてこれは、突合の結果、作成されるのが匿名加工情報等であっても同様であるとされています(田中浩之・北山昇「個人データ取り扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号30頁)。

3.CCCのT会員規約の改正による「他社データと組み合わせた個人情報の利用の明確化」
この点、2021年1月15日付でTポイントを運営するCCC カルチュア・コンビニエンス・クラブはT会員規約の一部を改正し、「他社データと組み合わせた個人情報の利用の明確化」を行いました(T会員規約4条6項)。

T会員規約4条
6.他社データと組み合わせた個人情報の利用
当社は、提携先を含む他社から、他社が保有するデータ(以下「他社データ」といいます)を、他社が当該規約等で定める利用目的の範囲内でお預かりした上で、本条第2項で定める会員の個人情報の一部と組み合わせるために一時的に提供を受け、本条第 3 項で定める利用目的の範囲内で、統計情報等の個人に関する情報に該当しない情報に加工する利用および当社の個人情報と他社データのそれぞれに会員が含まれているかどうかを確認した上での会員の興味・関心・生活属性または志向性に応じた会員への情報提供(以下あわせて「本件利用」といいます)を行う場合があります。 なお、当社は、本件利用のための他社データを明確に特定して分別管理し、本件利用後に他社データを破棄するものとし、本件利用のための、前述、当該他社から当社への一時的な提供を除いては、それぞれの利用目的を超えて利用することも、当該他社その他第三者に対して会員の個人情報の一部または全部を提供することもありません。

CCC会員規約4条6項
(CCCサイトより)
・T会員規約等、各種規約の改訂について|CCC
・T会員規約 新旧比較表|CCC

つまり、CCCが2021年1月に規約改正を行って新設した、T会員規約4条6項は、①後段の「当社の個人情報と他社データのそれぞれに会員が含まれているかどうかを確認した上での会員の興味・関心・生活属性または志向性に応じた会員への情報提供」と、②前段の「提携先を含む他社から、他社が保有するデータ(「他社データ」)を、他社からお預かりした上で、会員の個人情報の一部と組み合わせるために一時的に提供を受け、統計情報等の個人に関する情報に該当しない情報に加工する利用」の2つを行うことを明確化する内容となっています。

4.CCCのT利用規約4条6項後段の「当社の個人情報と他社データのそれぞれに会員が含まれているかどうかを確認した上での会員の興味・関心・生活属性または志向性に応じた会員への情報提供」(旅行代理店Bの事例)について
(1)CCCのT利用規約4条6項後段・「旅行代理店Bの事例」
このT利用規約4条6項後段の「当社の個人情報と他社データのそれぞれに会員が含まれているかどうかを確認した上での会員の興味・関心・生活属性または志向性に応じた会員への情報提供」について、CCCのプレスリリースはつぎのような具体例と図で説明しています。

CCC旅行代理店の事例
(CCCのプレスリリースより)

このT会員規約4条6項後段「旅行代理店Bの事例」は、旅行代理店Bが、「まだハワイに旅行していない人にハワイ旅行を販売促進したい」という意図で、旅行代理店Bが、「自社の保有するハワイに旅行したことのある人の顧客リスト」(B社の他社データ)をCCCに預け(委託、個人情報保護法23条5項1号)、CCCは「B社の他社データである顧客リストと、CCCの保有するT会員の個人データを突合し、「旅行代理店Bを利用してハワイ旅行をした人の趣味・嗜好・社会的属性などの特徴を分析」し、「ハワイ旅行に興味がありそうな人」を把握し、T会員の個人データの個人から、旅行代理店Bの顧客リストのハワイ旅行に行ったことのある人を除外し、その除外されたハワイ旅行に興味がありそうなT会員の個人(見込み客)に対して、ダイレクトメールなどでハワイ旅行の販売促進を行うという内容になっています。

(2)個人情報保護法ガイドラインQ&A7-41
しかしこの点、令和3年9月追加として、個人情報保護委員会が9月10日に公開した、令和2年改正法関係の個人情報保護法ガイドラインQ&A7-41はこのような「委託の混ぜるな危険の問題」について、つぎのように解説しています。

Q7-41 委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできますか。

A7-41 個人データの取扱いの委託(法第23条第5項第1号)において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。

事例1)既存顧客のメールアドレスを含む個人データを委託に伴ってSNS運営事業者に提供し、当該SNS運営事業者において提供を受けたメールアドレスを当該SNS運営事業者が保有するユーザーのメールアドレスと突合し、両者が一致した場合に当該ユーザーに対し当該SNS上で広告を表示すること

事例2)既存顧客のリストを委託に伴ってポイントサービス運営事業者等の外部事業者に提供し、当該外部事業者において提供を受けた既存顧客のリストをポイント会員のリストと突合して既存顧客を除外した上で、ポイント会員にダイレクトメールを送付すること

これらの取扱いをする場合には、①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要があります。(令和3年9月追加)

PPC個人情報ガイドラインQA7-41
(個人情報保護委員会サイトより)
・個人情報保護法ガイドラインQ&A(令和2年改正法関係)|個人情報保護委員会

つまり、個人情報保護法ガイドラインQ&A7-41が解説するとおり、CCCなど共通ポイント制度により複数の委託元の企業から個人データの管理などの委託を受けている事業者や、複数の委託元から個人データの管理などの委託を受けているデータセンターなど、独自に収集した個人データを保有している事業者は、「個人データの取扱いの委託(法第23条第5項第1号)において、委託先(=CCCなど)は、委託に伴って委託元(=旅行代理店Bなど)から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはでき」ないのです。

そして、同Q&A7-41の事例2は、「委託」として行うことができない具体例として、「既存顧客のリストを委託に伴ってポイントサービス運営事業者等の外部事業者に提供し、当該外部事業者において提供を受けた既存顧客のリストをポイント会員のリストと突合して既存顧客を除外した上で、ポイント会員にダイレクトメールを送付すること」と、CCCのT会員規約4条6項後段の旅行代理店Bのそっくりそのままの事例をあげています。

したがって、このCCCの旅行代理店Bの事例、つまりT利用規約4条6項後段の「当社の個人情報と他社データのそれぞれに会員が含まれているかどうかを確認した上での会員の興味・関心・生活属性または志向性に応じた会員への情報提供」は個人データの「委託」として行うことは違法であり、許されないことになります(法23条5項1号・法23条1項・法22条・法16条の違反)。

そのため、CCCや旅行代理店Bは、この違法状態を回避するためには、個人情報保護法ガイドラインQ&A7-41が解説するとおり、「①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要」があることになります。

(3)CCCマーケティングの「ハワイ州観光局」の事例
この点、CCCカルチュア・コンビニエンス・クラブ株式会社の子会社であるCCCマーケティング株式会社のサイトの「事例」をみると、CCCマーケティングがデータビジネスとして実施した「ハワイ州観光局」の事例が掲載されています。
・事例 ハワイ州観光局 CCCグループアセットの結集が実現する「五感に訴える観光地マーケティング」|CCCマーケティング

CCCマーケティングハワイ州観光局
(CCCマーケティング社サイトより)

このハワイ州観光局の事例は、上のT利用規約4条6項後段の「当社の個人情報と他社データのそれぞれに会員が含まれているかどうかを確認した上での会員の興味・関心・生活属性または志向性に応じた会員への情報提供」つまり「旅行代理店B」の事例と非常によく似ており、CCCはこの事例を念頭にT会員規約4条6号後段を新設したのであろうと思われます。

このCCCマーケティングのハワイ州観光局の事例の解説を読むと、「ハワイ州観光局では、ハワイ諸島のひとつであるハワイ島の渡航者数増加のために、2019年11月~12月にかけ、CCCマーケティングをパートナーとしてキャンペーンを実施した」とあります。

同サイトの解説によると、ハワイ州観光局の担当者は、「今回の施策では、リーチするべきターゲットを『海外旅行には行くが、ハワイには行ったことがない』、『ハワイには行ったことがあるが、ハワイ島には行ったことがない』というお客さまと設定したのですが、課題となったのが、アプローチするべきターゲットの顧客データでした」。「私たちでも、CRMや会員制公式ポータルサイト『allhawaii(オールハワイ)』、さらにソーシャルメディアなどで保有しているデータは、数十万件あります。ただ、その多くは、すでにハワイのファンとなっている顧客のデータであり、今回のキャンペーンのターゲットとは異なります。

そのため、ハワイ州観光局は、同局が保有する「すでにハワイのファンとなっている顧客のデータ」などの数十万件の個人データをCCCマーケティングに委託し、CCCはその他社データをCCCの保有するT会員の個人データと突合し分析を行い、ハワイ旅行に行きそうな見込み客の趣味・嗜好・社会的属性などの特徴を分析し、その特徴に合致する個人データを持つT会員から、すでにハワイ旅行に行ったことのあるT会員の個人データを除外し、残りの見込み客のT会員に対してDMを送信したり、蔦屋書店でハワイ旅行のキャンペーンを実施するなどの販売促進を、ハワイ州観光局とともに実施したようです。

このCCCマーケティングのハワイ州観光局の事例は、上でみた個人情報保護法ガイドラインQ&A7-41の事例2に該当するので、これをCCCが「委託」のスキームで行った場合は、それはガイドラインQ&A7-41などが施行となる2022年4月以降は完全に違法となります。

CCCおよびハワイ州観光局は違法状態を回避するためには、同ガイドラインQ&A7-41が解説するように「①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要」があることになります。

5.CCCのT利用規約4条6項前段の「提携先を含む他社から、他社が保有するデータ(「他社データ」)を、他社からお預かりした上で、会員の個人情報の一部と組み合わせるために一時的に提供を受け、統計情報等の個人に関する情報に該当しない情報に加工する利用」(健康飲料メーカーAの事例)について
(1)健康飲料メーカーAの自社の顧客の趣味・嗜好や社会的属性などを分析するための委託
T利用規約4条6項前段の「提携先を含む他社から、他社が保有するデータ(「他社データ」)を、他社からお預かりした上で、会員の個人情報の一部と組み合わせるために一時的に提供を受け、統計情報等の個人に関する情報に該当しない情報に加工する利用」(健康飲料メーカーAの事例)について、CCCのプレスリリースはつぎのような具体例と図で説明しています。
CCC健康飲料メーカーの事例
(CCCのプレスリリースより)

つまり、「自社の青汁を飲んでくれている顧客はどんな人々なのだろう?」と顧客の趣味嗜好や社会的属性などを知りたい健康飲料メーカーAが、自社の青汁を飲んでくれる顧客の個人データ(他社データ)をCCCに委託し、CCCはCCCの保有するT会員の個人データと健康飲料メーカーAの他社データを突合し、A社の青汁を飲んでいるT会員の個人データを分析し、その趣味・嗜好や社会的属性などを割り出し、それを統計データなどにした上でA社に戻し、A社は自社商品のマーケティングなどに当該データを利用すると説明されています。

(2)個人情報保護法ガイドラインQ&A7-42
しかしこの点、令和3年9月追加として、個人情報保護委員会が9月10日に公開した、令和2年改正法関係の個人情報保護法ガイドラインQ&A7-42はこのような「委託の混ぜるな危険の問題」について、つぎのように解説しています。

Q7-42 委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合し、新たな項目を付加して又は内容を修正して委託元に戻すことはできますか。

A7-42 個人データの取扱いの委託(法第23条第5項第1号)において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。

事例1) (略)
事例2) 顧客情報をデータ・マネジメント・プラットフォーム等の外部事業者に委託に伴って提供し、当該外部事業者において、提供を受けた顧客情報に、当該外部事業者が独自に取得したウェブサイトの閲覧履歴等の個人関連情報を付加し、当該顧客情報を委託元に戻すこと

これらの取扱いをする場合には、委託先において本人の同意を取得する等、付加・修正する情報を委託元に適法に提供するための対応を行う必要があります。(後略)(令和3年9月追加)

PPC個人情報QA7-42の1
PPC個人情報QA7-42の2
(個人情報保護委員会サイトより)

このように、個人情報保護法ガイドラインQ&A7-42は、「個人データの取扱いの委託(法第23条第5項第1号)において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。」としています。

そしてその具体例として、事例2は、「顧客情報をデータ・マネジメント・プラットフォーム等の外部事業者に委託に伴って提供し、当該外部事業者において、提供を受けた顧客情報に、当該外部事業者が独自に取得したウェブサイトの閲覧履歴等の個人関連情報を付加し、当該顧客情報を委託元に戻すこと」をあげています。

したがって、CCCのT会員規約6条の4前段の「「提携先を含む他社から、他社が保有するデータ(「他社データ」)を、他社からお預かりした上で、会員の個人情報の一部と組み合わせるために一時的に提供を受け、統計情報等の個人に関する情報に該当しない情報に加工する利用」つまり健康飲料メーカーAの事例も、健康飲料メーカーAが自社の顧客情報をCCCに委託に伴い提供し、CCCが自社の保有するT会員の個人データと突合し、CCCにおいてA社の青汁の顧客の趣味・嗜好や社会的属性などを分析し、それらの新たな項目を付加したデータをA社に戻しているので、個人情報保護法ガイドラインQ&A7-42の事例2と同様のことを行っているので、この健康飲料メーカーAの事例も個人情報の委託として違法です(法23条5項1号・法23条1項・法22条・法16条の違反)。

そのため、この健康飲料メーカーAの事例も、CCCおよび健康飲料メーカーAが違法状態を回避するためには、CCCにおいて本人の同意を取得することなどが必要となります。

(3)CCCマーケティングの「タケシダ醤油」の事例
この点、CCCマーケティング株式会社のサイトの「事例」をみると、CCCマーケティングがデータビジネスとして実施した「タケシゲ醤油」の事例が掲載されています。

CCCマーケティングタケシゲ醤油
(CCCマーケティング社サイトより)
・事例 タケシゲ醤油 購買データの分析でヒット商品のさらなる価値向上を実現|CCCマーケティング

CCCマーケティング社サイトの解説によると、タケシゲ醤油はもともと食品会社など法人向けに製造販売していた「博多ニワカそうす」という調味料を一般消費者向けにも販売を行ったところ売上が好調であったため、「博多ニワカそうす」を購入する一般消費者の趣味嗜好や社会的属性などを分析してマーケティングを行いたいと、CCCに委託を行い、CCCは自社のT会員の個人データで「博多ニワカそうす」の顧客の個人データの突合を行い、同商品の顧客の趣味嗜好や社会的属性、人物像などを分析し、CCCはその分析データをタケシゲ醤油に戻し、そのデータをもとにタケシゲ醤油は「博多ニワカそうす」のレシピ本を作成するなどして、さらに同商品の売り上げの増加を行ったとされています。

博多ニワカそうすの顧客の人物像
(CCCマーケティング社サイトより)

しかしこのタケシゲ醤油の事例も、タケシゲ醤油の「博多ニワカそうす」の顧客の個人データをCCCに委託に伴い提供し、CCCが自社の保有するT会員の個人データと突合し、CCCにおいて「博多ニワカそうす」の顧客の趣味・嗜好や社会的属性、モデルとなる人物像などを分析し、それらの新たな項目を付加したデータをタケシゲ醤油に戻しているので、個人情報保護法ガイドラインQ&A7-42の事例2と同様のことを行っているので、このタケシゲ醤油の事例も個人情報の委託として違法であると思われます(法23条5項1号・法23条1項・法22条・法16条の違反)。

(4)CCCマーケティングの「チューリッヒ保険」の事例
また、CCCマーケティングのサイトの「事例」をみると、通販型の傷害保険などの損害保険会社のチューリッヒ保険の事例も掲載されています。
・事例 チューリッヒ保険 ユニークデータと徹底分析で実現する長期・安定的な顧客獲得|CCCマーケティング

CCCマーケティングチューリッヒ保険
(CCCマーケティング社サイトより)

このチューリッヒ保険の事例は、サイトの解説によると、チューリッヒ保険がもつ優良な見込み客のセグメント(集団)などの情報・データの改善のための分析をCCCに委託し、CCCはその見込み客のセグメントのデータをCCCのT会員の個人データで分析・加工し、CCCはよりよい見込み客のセグメントのデータを作成し、チューリッヒ保険に戻しているようです。このチューリッヒ保険の事例も、もしその過程でチューリッヒ保険が保有する既存顧客の個人データをCCCに委託などしてCCCがT会員の個人データと突合などをしていた場合は、個人情報保護法ガイドラインQ&A7-42などに抵触する違法な「委託」スキームの利用である可能性があります。

6.まとめ
本年1月15日にCCCカルチュア・コンビニエンス・クラブがT会員規約の一部を改正し、「他社データと組み合わせた個人情報の利用の明確化」を行ったところ(T会員規約4条6項)、その明確化された「他社データと組み合わせた個人情報の利用」が、個人情報の委託の「混ぜるな危険の問題」に抵触する違法(法23条5項1号違反、改正前の個人情報保護法ガイドラインQ&A5-26-2の事例(2)違反)なものであることは、本ブログで取り上げただけでなく、ネット上でも大きな社会的注目を受けました。

・CCCがT会員規約等を改訂→改訂後規約が想定する事例の違法性及び問題点が指摘される。|togetter

そして本年9月10日に個人情報保護委員会が公表した、令和2年法改正対応の個人情報保護法ガイドラインQ&A7-41、7-42など追加された個人情報の「委託」に関する解説は、上でみたように、CCCのT会員規約6条4項の「他社データと組み合わせた個人情報の利用」が個人情報の「委託」スキームとしてやはり違法であることを明確に示しています。

今回公表された、令和2年法改正対応の個人情報保護法ガイドラインQ&Aは2022年4月から施行予定であるそうなので、CCCやCCCと個人データのやり取りを行っている事業会社などは、それまでに自社のデータビジネスが個人情報保護法などの法令に抵触していないか、今一度再検討が必要であると思われます。

また、今回公表された、令和2年法改正対応の個人情報保護法ガイドラインQ&Aの「委託」に関する解説は、ネットやSNSにおける行動ターゲティング広告やDMP(Data Management Platform)などの事業に与える影響も大きいと思われます。これらの業務を行う企業の実務担当者の方々も、自社のビジネスモデルが個人情報保護法など法令に抵触していないか、今一度再検討が必要であると思われます。

■関連する記事
・CCCがT会員規約やプライバシーポリシーを改定-他社データと組み合わせた個人情報の利用・「混ぜるな危険の問題」
・河野太郎大臣がTwitterで批判的なユーザーをブロックすることをトランプ氏の裁判例や憲法から考えたー表現の自由・全国民の代表(追記あり)
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権

■参考文献
・岡村久道『個人情報保護法 第3版』241頁、262頁
・田中浩之・北山昇「個人データ取り扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号30頁
・「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A(令和2年改正法関係)|個人情報保護委員会





















このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ