なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:パブコメ

display_monitor_computer
調布市議会が「(仮称)調布市議会の個人情報の保護に関する条例(案)の概要について」のパブリック・コメントを11月1日まで実施していたので、意見を書いて提出しました。

・「(仮称)調布市議会の個人情報の保護に関する条例(案)の概要について」へのご意見をお寄せください

1.「(仮称)調布市議会の個人情報の保護に関する条例(案)の概要について」「2 主な制定内容」「(2) 定義」
(1)死者の個人情報について
調布市個人情報保護条例の「個人情報」の定義をみると「死者の個人情報」を含むのか否か不明であるが、もし調布市または調布市議会のこれまでの実務取扱いで、個人情報に死者の個人情報も含めて保護していたのであれば、地方自治・団体自治の観点から(憲法92条、94条)、新しい条例においても死者の個人情報を含めて保護するように個人情報を定義すべきではないか。

(2)条例要配慮個人情報について
これまでの調布市議会または調布市の実務取扱いとして、センシティブ情報(機微情報)に、個人情報保護法の定める要配慮個人情報に含まれない情報をも保護の対象にしてきたのであれば、それを今後も条例要配慮個人情報と定義し保護すべきではないか。(例えば本籍地、金融資産情報、図書館の貸出履歴、性的指向、労働組合の加入の有無など。)

2.同「(7) 調布市個人情報保護審査会への諮問」について
調布市議会または調布市が調布市個人情報保護審査会への諮問制度を存置することに賛成です。

3.匿名加工情報・仮名加工情報について
仮名加工情報は原則として第三者提供が禁止されているため(個人情報保護法41条6項)、仮名加工情報を調布市議会が第三者提供を受けることはあり得ないと思われ、仮名加工情報に関する規定は不要ではないでしょうか。

また、少し前までパブリック・コメントを実施中であった調布市個人情報保護条例案は匿名加工情報の規定の設置を見送るとしていたこととのバランスを取るためにも、調布市議会の条例も匿名加工情報の規定は不要とすべきではないでしょうか。

地方自治・団体自治(憲法92条、94条)の観点から、調布市議会および調布市が国の「個人情報の利活用」という政策に安易に迎合する必要はないと考えます。「個人の権利利益の保護」と「個人の人格尊重」をこそ重視すべきであると考えます(個人情報保護法1条、3条、憲法13条)。

4.その他
2021年11月に発覚した調布市つつじが丘のNEXCO東日本による陥没事故の被害者住民の情報公開請求に係る個人情報の調布市による漏洩事件を踏まえ、このような個人情報の重大インシデント発生時に、調布市議会または調布市個人情報保護審査会に調布市への報告徴求や立入検査、助言・指導・処分などを行うための根拠条文を新しい条例に設けるべきではないでしょうか。

■参考文献
・斎藤裕「令和3年改正個人情報保護法と個人情報保護条例の効力」『判例時報』2510号97頁
・冨安泰一郎『一問一答令和3年改正個人情報保護法』61頁

■関連する記事
・「調布市個人情報保護法施行条例(案)の概要」のパブコメに意見を送ってみた
・東京都の「令和5年度以降の東京都における個人情報保護制度に関する条例整備の考え方について(意見募集)」にパブコメ意見を書いてみた



[広告]










このエントリーをはてなブックマークに追加 mixiチェック

building_tokyo_tochou
東京都がパブコメ「令和5年度以降の東京都における個人情報保護制度に関する条例整備の考え方について(意見募集)」を2022年10月31日まで実施していたので、次のようなパブコメ意見を書いて提出してみました。

・令和5年度以降の東京都における個人情報保護制度に関する条例整備の考え方について(意見募集)|東京都

1.該当箇所(御意見の内容に該当する箇所)と御意見
(1)該当箇所
「8 個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるときは、東京都情報公開・個人情報保護審議会(情報公開条例第 39条)に諮問します。」について

(2)意見
「個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるとき」に限定されず、従来どおり東京都または東京都議会等は東京都情報公開・個人情報保護審議会に幅広く諮問を行うべきである。

2.御意見の理由
個人情報保護法129条は「個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるとき」は、審議会などの機関に諮問することができると規定しているため、地方自治体は「特に必要であると認める場合」に限り審議会などに諮問することができるのかが問題となり、同法129条の趣旨・目的が問題となる。

この点、同法129条の趣旨について、令和3年5月11日の参議院内閣委員会において政府参考人(冨安泰一郎・内閣官房内閣審議官)は「個別の個人情報の取扱いの判断については、国が策定するガイドラインも作られ、個人情報保護委員会の助言等もあるので、そういったものを参照することで解決される場合が多いと考えられる。したがって地方公共団体が個別の個人情報の取扱いの判断について審議会に諮問する必要性は減少するものと考えている」と述べている(https://kokkai.ndl.go.jp/txt/120414889X01720210511/66)。

つまり、個人情報保護法においては、個人情報保護委員会が地方自治体における個人情報の取扱いについて監督することになり、地方自治体の審議会などが審議する必要がある場合が減少するため同法129条を設けたものと解される。そのため、地方自治体の審議会等が幅広く審議を行うことによる弊害の防止が立法趣旨となっているわけではない。

したがって、同法129条はあくまで例示規定であり、特に必要と認める場合以外に審議会等に諮問を行うことが法律により禁止されるわけではないと解される。そのように考えても個人情報保護法の全体的な趣旨・目的である「個人情報の有用性に配慮」と「個人の権利利益の保護」および「個人の人格尊重の理念を尊重」が阻害されるわけではない(個人情報保護法1条、3条)。地方自治や団体自治(権力分立)により国民・住民の個人情報、プライバシー権および人格権など(憲法13条)を保護しようという憲法92条、94条の趣旨からもそのように解すべきである。

そのため、東京都情報公開・個人情報保護審議会への諮問については、「個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるとき」に限定せず、従来どおりに東京都または東京都議会等は幅広く諮問を行うべきである。(斎藤裕「令和3年改正個人情報保護法と個人情報保護条例の効力」『判例時報』2510号97頁参照。)

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考文献
・斎藤裕「令和3年改正個人情報保護法と個人情報保護条例の効力」『判例時報』2510号97頁
・冨安泰一郎『一問一答令和3年改正個人情報保護法』61頁

■関連する記事
・「調布市個人情報保護法施行条例(案)の概要」のパブコメに意見を送ってみた
・調布市の陥没事故の被害者住民の情報公開請求に係る個人情報の漏洩事件について考えた(追記あり)
・マイナポータル利用規約と河野太郎・デジタル庁大臣の主張がひどい件
・保険証の廃止によるマイナンバーカードの事実上の強制を考えたーマイナンバー法16条の2(追記あり)
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか?



[広告]








このエントリーをはてなブックマークに追加 mixiチェック

tatemono_yuubinkyoku
総務省が「郵便局データの活用とプライバシー保護の在り方に関する検討会」報告書(案)等」に関するパブコメを7月15日まで実施していたので、つぎのような意見を提出しました。

1.地方公共団体や地図会社等に日本郵便が収集した公道の街路データ・外観データ・空き家情報やデジタル地図などの情報を販売・第三者提供するとのことについて(報告書(案)13頁4.(2)アなど)
(1)地方公共団体や地図会社等に日本郵便が収集した公道の街路データ・外観データ・空き家情報やデジタル地図などの情報を販売・第三者提供するとのことであるが、2022年4月に施行された個人情報保護法は「二重オプトアウトの禁止」を明示している(個人情報保護法27条2項ただし書き、佐脇紀代志『一問一答令和2年改正個人情報保護法』48頁参照)。

この点、表札等や人物等が映り込んでいない街頭データ・外観データ・空き家情報であっても、日本郵便が保有する配達原簿システムなどの国民・住民の居宅の住所データベースを照会すれば、街頭データに居住する特定の個人を容易に照合できるのであるから、個人の居宅などが写っている街頭データも個人情報・個人データである(個人情報保護法2条1項1号、16条3項)。

また、一般の地図会社はオプトアウト方式で本人同意をとり地図を作製していることを考えると、日本郵政グループも同様にオプトアウト方式により街頭データ・外観データ・空き家情報や「デジタル地図」等を収集・作成すると思われ、日本郵政がオプトアウト方式で作成した街頭データやデジタル地図等の個人データを地図会社が購入などすることは、個人情報の第三者提供のオプトアウトに該当し、「二重オプトアウト」(個人情報保護法23条2項ただし書き)に該当してしまうので、地図会社などは日本郵政のデジタル地図の個人データを購入することは違法となる。

そのため、本報告書13頁が提言している、日本郵政が郵便配達員などの目視やバイク、ドローンなどに設置されたカメラ・センサーなどの情報から居住者情報などの個人データの添付されたデジタル地図や街頭データ等を収集・作製し、地方自治体や地図会社などに販売・第三者提供しようというスキームは個人情報保護法との関係で違法であり許容されない(なお本報告書案は本スキームを「委託」と整理しているようであるが、「委託」とは委託元の事業者が保有する個人情報をIT企業にPCにデータ入力させるような、委託元ができる範囲の事柄を委託するスキームを指すのであり、街頭データの提供やデジタル地図のデータの提供などは委託ではなく第三者提供であると考えられる。)。

さらに、GPS捜査事件判決(最高裁平成29年3月15日判決)は、公道上の情報であっても継続的・網羅的に収集される場合にはプライバシー権の侵害となるとしていることから、郵便局の配達車やバイクなどの車載カメラやドローン、配達員の目視などによる継続的・網羅的な住民・国民の居宅の居住データやデジタル地図の収集・作成はプライバシー権との関係で違法の危険性があり慎重な検討がなされるべきである(民法709条、憲法13条、憲法35条)。

(2)地方公共団体や地図会社等に日本郵便が収集した公道上の街頭データ・街路データ・外観データ・空き家情報やデジタル地図などの情報を販売・第三者提供するとのことであるが、郵便法8条および憲法21条2項の定める「通信の秘密」・「信書の秘密」との関係で違法・違憲であり許容されないと考えられる。

なぜなら「通信の秘密」とは通信内容・信書の内容そのものだけでなく、通信の送信者・受信者、宛先、電話番号、住所、通信の個数や通信日時、通信の有無などの「通信の外形的事項」も含まれると解されている(曽我部真裕・林秀弥・栗田昌裕『情報法概説 第2版』53頁、大阪高裁昭和41年2月26日判決、賽原隆志『新・判例ハンドブック情報法』(宍戸常寿編)140頁)。郵便配達車やバイク等の車載カメラやドローン、郵便配達員などにより収集される街頭データやデジタル地図にはそれら通信の外形的事項も混入されざるを得ないから、それらの通信の秘密や信書の秘密に関する情報・データを地方自治体や地図業者などに第三者提供・販売等することは郵便法8条・憲法21条2項との関係で違法・違憲であり許容されない。

(3)地方公共団体や地図会社等に日本郵便が収集した公道上の街頭データ・街路データ・外観データ・空き家情報やデジタル地図などの情報を販売・第三者提供するとのことであるが、かりに地方自治体などと日本郵便との関係を個人情報保護法における「委託」(法27条5項1号)と整理した場合、いわゆる「委託の「混ぜるな危険」の問題」の規制があるため(令和2年改正の個人情報保護法ガイドラインQA15-18(2022年4月より施行)、田中浩之・北山昇「個人データ取扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号29頁、田中浩之・北山昇『令和2年改正個人情報保護法Q&A』182頁)、日本郵便は地方自治体等の委託元から委託された範囲の個人データを収集・利用できるにとどまる。そのため、日本郵便は委託元ごとに街頭データやデジタル地図等を分別管理する必要があり、それらの複数のデータを「混ぜて」利用することは違法であり許容されない(法27条5項1号)。

また同様に日本郵便が、委託元から預かった個人データを自社が保有する個人データと名寄せ・突合して分析や加工などをした個人データを委託元に渡すなどの業務を行うことも違法であり許容されない。(「委託の「混ぜるな危険」の問題」を回避するためには、原則に戻り、日本の全国民のオプトイン方式による事前の個別の同意が必要である(法27条1項))。

2.カメラ画像の利用について(郵便局データの活用とプライバシー保護の在り方に関する検討会報告書(案)15頁ア)
総務省・経産省の「カメラ画像利活用ガイドブックver3.0」の遵守が提言されているが、カメラ画像の利用に関する事柄であり、郵便局のカメラは商用カメラだけではなく防犯カメラも存在するため、個人情報保護委員会で現在審議中の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会」の作成する報告書やガイドライン等も遵守すべき旨を追記すべきである。

3.情報銀行について(郵便局データの活用とプライバシー保護の在り方に関する検討会報告書(案)24頁の「情報銀行」の部分)
郵便局の配達員などが配達業務に関連して目視や配送バイクに設置されたカメラ、ドローンのカメラなどで収集された顧客の個人情報・個人データを顧客本人の同意なく情報銀行や「デジタル地図」などに利用することは(あるいはオプトアウト方式の本人同意により利用することは)、本人同意なしに個人情報の目的外利用を禁止し、また第三者提供を禁止する個人情報保護法に抵触する違法なものであるだけでなく(法19条、27条1項)、郵便法8条や憲法21条2項の規定する「信書の秘密」「通信の秘密」や国民のプライバシー権(民法709条、憲法13条)をも侵害する違法・違憲のおそれがあり、許容されないのではないか。

また、日本郵政グループのかんぽ生命は生命保険の引き受けの告知や保険金・給付金支払い業務のために、国民の被保険者の医療データ・傷病データ・職業データ等を収集・保存しており、ゆうちょ銀行は国民・顧客の金融資産情報を保有しているが、それらのセンシティブな要配慮個人情報や機微な情報を「情報銀行」に利活用することは、金融庁の「金融分野の個人情報保護に関するガイドライン」第5条(機微(センシティブ)情報)が「機微(センシティブ)情報」という。)については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないことと」と利用目的を限定列挙している規定に違反し許されないのではないか。

さらに、日本郵政グループが保有するセンシティブ情報・要配慮個人情報・金融資産などに関する機微情報を情報銀行に利活用することは、本人の明確な同意がないままに銀行など金融機関が保有するセンシティブ情報を保険営業に利用することを禁止する、保険業法や銀行法が定める「銀行窓販規制」に抵触し許容されないのではないか(保険業法300条1項9号、同施行規則212条3項1号等、中原健夫・山本啓太・関秀忠・岡本大毅『保険業務のコンプライアンス 第4版』260頁、経済法令研究会『保険コンプライアンスの実務』227頁)。

4.郵便局データなどの「データビジネスの段階的な展開」について(報告書(案)24頁の「データビジネスの段階的な展開」の部分)
日本郵政グループが情報銀行など、郵便局データなどの「データビジネスの段階的な展開」を実施することは、日本郵便が個人情報保護法上の個人情報取扱事業者(法16条2項)となることである。

すなわち、郵便局・日本郵便に信書や郵便物などの配達を委託する全国の中小企業を含む法人(個人情報取扱事業者)は、日本郵便に対して安全管理措置に関する「委託先の監督」(法25条)を実施することが法的に要求され、郵便物の配達の委託に際して日本郵便が十分な安全管理措置を講じているか事前のチェックや年1回の立入検査の実施、業務委託契約書の締結、秘密保持契約書の締結などが法的に要求されることになるが、これは現実的ではない。

日本郵便は「データビジネスの段階的な展開」を実施するとの計画は撤回し、郵便事業に専念すべきである。(産業技術総合研究所サイバーフィジカルセキュリティ研究センター主任研究員の高木浩光氏の「郵便事業がコモンキャリアを逸脱すれば郵便物を差し出す事業者が個人情報保護法に抵触する」『高木浩光@自宅の日記』参照。)

日本郵便が本業たる郵便事業だけでは経営が成り立たず、「データビジネス」という「副業」を行う必要があるということは、「郵政民営化」は失敗したということであり、国民の信書の自由(憲法21条2項)の基本的人権のための郵便局・日本郵便の事業は再び国が運営すべきである。

5.スマートシティについて(郵便局データの活用とプライバシー保護の在り方に関する検討会報告書(案)21頁の「スマートシティ」の部分)
「スマートシティ」(「デジタル田園都市構想」)は、当該地域の行政、商業施設、学校、医療機関などの個人データを収集し、住民の「共通ID」を基にそれらの個人データを突合・名寄せ・分析・加工し、行政・民間・病院・学校などがそれらの個人データを共有するスキームであるが、これは個人情報保護法17条(利用目的の特定)やOECD8原則の「1.目的明確化の原則 (Purpose Specification Principle)」の背景となっている「個人データの必要最低限度の原則」に反しており、許容されない。

海外の例をみても、中国など国家主義諸国においては一定の実績があるものの、国民の個人の尊重と基本的人権を重視する西側自由主義諸国では失敗している。そのため、公的機関である日本郵便や日本郵政がスマートシティ構想に参加することは控えるべきである。

■関連する記事
・日本郵政がデジタル地図事業や情報銀行等に参入することを個人情報保護法などから考えた
・情報銀行ビジネス開始を発表した三菱UFJ信託銀行の個人情報保護法の理解が心配な件
・スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?



[広告]












このエントリーをはてなブックマークに追加 mixiチェック

健康医療戦略本部トップ画面
(政府の健康・医療戦略推進本部サイトより)

1.「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」から個人情報保護委員会へのパブコメ意見!?
このブログで少し前に、個人情報保護委員会(PPC)の、本年5月から6月にかけて実施された、令和2年改正の個人情報保護法ガイドラインのパブコメの結果について取り上げました。
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング

・「個人情報の保護に関する法律についてのガイドライン(通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編)の一部を改正する告示」等に関する意見募集の結果について|個人情報保護委員会・e-GOV

このブログ記事の最後にも追記したのですが、このこのパブコメ結果でひときわ異様なのは、法人・個人や各種団体などからの意見にまじって、「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」からのパブコメ意見が大量に提出されていることです。PDFファイル上で検索するとなんと31件もあるようです。

しかも、他の個人・法人のほとんどが、PPCのパブコメ要綱を遵守して「意見」・「理由」を分けて丁寧な文言で意見や質問などを提出しているのに、この内閣府健康・医療戦略推進事務局の担当者は、意見・理由を分けずに、上から目線のあまり上品でないだらだらとした言葉使いで31件もの意見を提出しています。

さらにパブコメ結果を読んで驚くことは、この内閣府健康・医療戦略推進事務局の担当者は、個人情報保護法の法律の条文の文言上の理解すらまともにできておらず、おそらく個人情報の取扱を実務上も経験したことがないような、官僚というよりまるで大学の法学部1年生か何かのような素人質問をPPCに対して、まるで顧客が企業の無料ヘルプデスクに電話で質問するかのように、カジュアルに投げつけていることです。
内閣府5
ガイドライン(通則編)のパブコメ結果275。内閣府の担当者は法23条2項のオプトアウトによる第三者提供に関して「いちいち事業者が本人に対して通知を行わねばならないことは面倒である」という趣旨の意見を述べていますが、PPCも回答しているように、法23条2項は「通知または公表」と規定しており、事業者に「通知」を義務付けていません。)

内閣府1
ガイドライン(通則編)のパブコメ結果15。内閣府の担当者は、「6か月未満で消去する情報は個人情報でないのに、ガイドライン案が個人情報としているのは何故か?」との趣旨の質問をしていますが、これは令和2年の個人情報保護法の改正法の条文をまったく読まずに個情法ガイドラインのパブコメ意見を書いているとしか思えません。こんないいかげんな仕事ぶりでも内閣府の官僚は務まるのでしょうか?)

加えて一番驚くべきことは、この内閣府の担当者の質問の多くが、「現場の負担の軽減のために」などを理由に、ひたすらに個人情報取扱事業者サイドに立って、事業者側の義務の削減を要求する内容であることです。
内閣府4
ガイドライン(通則編)のパブコメ結果260個人情報漏洩が発生・発覚した場合の事業者の本人への通知(=漏洩の事実の報告や謝罪など)について、内閣府の担当者は、「現場の負担の軽減のため」として、事業者側に金銭的余裕がない場合などは、本人への通知をしなくてよいようにせよ等と驚くべき要求をしています。事業者が本人から個人情報を収集しておきならが漏洩事故を発生させたのに、「現場の負担の軽減のため」に、被害を受けた本人に漏洩した事実の報告や謝罪などをしなくてもよいようにせよとは、内閣府は国民を国・大企業のために個人情報を生成する家畜か何かだと思っているのでしょうか?

そもそも次世代医療基盤法とは、国民個人のカルテや処方箋、各種検査結果などのセンシティブな個人情報である医療データを国が一元的に収集し、当該医療データをIT企業(NTTデータ等)や製薬企業などに第三者提供し、AI分析などで研究開発等を行わせて、日本の経済発展の起爆剤にしようという内容の法律です。(なお、次世代医療基盤法は、センシティブ情報である患者の医療データの収集や第三者提供を行うものなのに、患者本人の同意は「黙示の同意」でよいとしているなど、さまざまな問題をはらんでいます。)

次世代医療基盤法の全体像2
(次世代医療基盤法の概要図、内閣府サイトより)

■関連する記事
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた

しかし、国民個人のセンシティブな個人情報である医療データを利活用する以上、個人情報の取扱に関しては厳格なスタンスが要求されるはずですが、その監督部署である内閣府健康・医療戦略推進事務局次世代医療基盤法担当の担当者が個人情報保護法の素人レベルで、かつ非常にIT企業や製薬会社などの事業者寄りの姿勢丸出しであることは、本当に大丈夫なのでしょうか?

このようないい加減な国の体制で、次世代医療基盤法などへの国民・患者の信頼は確保できるのでしょうか?大いに心配です。

2.内閣府が個人情報保護委員会のパブコメにカジュアルに意見を提出してよいのか?
また、そもそも内閣府がPPCのパブコメにカジュアルに意見を提出してよいのだろうか?とも疑問になります。

この点、国など行政機関のパブコメ制度(意見公募手続の制度)について規定する行政手続法39条1項は、規則案などに対して、広く一般の意見を求めなければならない」と規定しており、この「広く一般の意見」とは、「意見を提出できるのは、国民一般に限らず、外国人や外国政府なども含まれる」(櫻井敬子・橋本博之『行政法 第6版』209頁)とされており、法律上は内閣府などが意見を提出することも許されるようです。

しかし、首相直下の大きな権力を握る内閣府が大量に意見を提出することは、パブコメを行う官庁への不当な介入となってしまい、当該パブコメの公平性・中立性が阻害されるのではないでしょうか。それはひいては、国の個人情報保護行政や、デジタル行政などの公平性・中立性を害するのではないでしょうか。

3.法治主義・「法律による行政の原則」
現にこのパブコメ結果を見ると、内閣府の担当者は個人情報取扱事業者ばかりに有利になるような質問・意見を大量に寄せていますが、これは個人情報に関して、個人の権利利益・人権保障と利用する事業者とのバランスを取ろうとする個人情報保護法の趣旨・目的(法1条、3条)に反しているばかりでなく、事業者の利益だけでなく国民個人の権利利益や人権保障をも重視しなければならないという、内閣府などの国・行政・公務員の中立性・公平性(国家公務員法96条1項、憲法15条2項「公務員は全体の奉仕者であり一部の奉仕者ではない」)が損なわれている憲法・法令上、危険な状態なのではないでしょうか?

このように、この令和2年改正の個人情報保護法ガイドラインのパブコメ結果にあるような、内閣府健康・医療戦略推進事務局次世代医療基盤法担当の行動は、憲法や、国家公務員法などの行政法の趣旨を不当に軽視するものであり、法治主義や「法律による行政の原則」(憲法41条、65条など)などの観点から非常に危ういものであり、大いに疑問です。

7月上旬には新型コロナ対応に関連して、西村康稔経済担当大臣酒類販売事業者や金融機関などに対して特措法などの法令を逸脱した無茶苦茶な要請を行い、「法の支配」法治主義「法律による行政の原則」(憲法41条、65条など)などの近代民主主義国家の大原則を軽視するものだと大きな社会的批判を浴び、西村大臣ら政府は要請の撤回に追い込まれたばかりです。(また最近、菅首相らは、コロナ患者の入院制限の方針を公表しましたが、これも国民の生存権の保障や公衆衛生などを国の任務とする、憲法25条や厚労省設置法、特措法などに抵触する違法・不当なものであり、法治主義の原則に反すると思われます。)

同様に、内閣府の担当者達も、自分達は国家権力の中枢にいるのだから、憲法や法律はどうとでもできるといった、戦前の日本やドイツなどのような、国家主義・全体主義的な形式的法治主義・外見的法治主義の考えに陥ってしまっているのではないでしょうか。第二次世界大戦が招いた国内外の甚大な犠牲をみるように、政府の中枢がそのような状態に陥っていることは、国民や国家にとって非常に危険な状態です。

■追記(2021年8月27日)
本ブログ記事で取り上げた、個人情報保護委員会の令和2年個人情報保護法ガイドライン改正のパブコメへの「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」から大量のパブコメ意見が提出されている件については、8月27日午後に、私より内閣府健康・医療戦略推進事務局に電話で照会し、同事務局より、「内閣府健康・医療戦略推進事務局次世代医療基盤法担当より個人情報保護委員会のパブコメに意見を提出したことは間違いない」との回答を得ています。

■関連する記事
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング
・「法の支配」と「法治主義」-ぱうぜ先生と池田信夫先生の論争(?)について考えた
・西村大臣の酒類販売事業者や金融機関に酒類提供を続ける飲食店との取引停止を求める方針を憲法・法律的に考えた
・コロナ対策のために患者の入院制限を行う菅内閣の新方針について考えた
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた!?
・2020年の個人情報保護法改正に関するガイドライン改正に関するパブコメについて意見を書いてみた-FLoC・プロファイリング・貸出履歴・推知情報・データによる人の選別
・CCCがT会員規約やプライバシーポリシーを改定-他社データと組み合わせた個人情報の利用・「混ぜるな危険の問題」
ドイツで警察が国民のPC等をマルウェア等で監視するためにIT企業に協力させる法案が準備中-欧州の情報自己決定権と日米の自己情報コントロール権















このエントリーをはてなブックマークに追加 mixiチェック

PPCトップ画面
1.令和2年改正個人情報保護法ガイドラインのパブコメ結果が公表
8月2日に個人情報保護委員会(PPC)が令和2年改正個人情報保護法ガイドラインのパブコメ結果を公表していたので、気になる部分をざっと見てみました。

・「個人情報の保護に関する法律についてのガイドライン(通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編)の一部を改正する告示」等に関する意見募集の結果について|個人情報保護委員会

2.個人関連情報(改正法26条の2第1項)とGoogleのFLoC
令和2年改正の個人情報保護法26条の2第1項は、「生存する個人に関する情報であって、個人情報、仮名加工情報および匿名加工情報のいずれにも該当しないもの」を「個人関連情報」と定義し、事業者が個人関連情報を第三者提供し、提供先においてそれが個人データとして利用されることが想定される場合には、本人の同意が必要であるとしています。

これは2019年の就活生の内定辞退予測データの販売を行っていたリクナビ事件を踏まえて、個人情報保護法を潜脱して、本人関与のない個人情報の収集方法が広まることを防止するためのものです(佐脇紀代志『一問一答令和2年改正個人情報保護法』60頁)。

この個人関連情報は、具体的には、氏名などと結びついていないインタネットの閲覧履歴、位置情報、Cookieなどが該当するとされています(佐脇・前掲62頁)。

この点、今回の改正個人情報保護法ガイドライン(通則編)の個人関連情報に関するパブコメ結果308は、「Cookieなどだけでなく、Googleが最近、Cookieに代わり導入を開始したFLoCなどの新しい収集方法で取得されたデータについても個人関連情報に含まれることを明記すべきではないか」との意見(不肖な私の意見なのですが)に対して、PPCは「個人関連情報の定義にあてはまるものは個人関連情報に該当する。個別の判断になるが、収集の方法によって判断がかわるものではない。」と回答しています。

GoogleのFLoCなど

GoogleなどのIT事業者が、個人情報保護法を潜脱するためにFLoCなどの新しい手法を導入することは、個人関連情報の新設の趣旨に反するので、このPPCの回答は国民個人の権利利益の保護・人権保障の観点(法1条、3条、憲法13条)から、非常にグッジョブ!!であると考えられます。

今後、GoogleなどのIT企業がCookieやFLoCなどに代わるさらに新しいデータの収集方法を開始したとしても、それで収集されるデータが「生存する個人に関する情報であって、個人情報、仮名加工情報および匿名加工情報のいずれにも該当しないもの」にあたるのであれば、個人関連情報に該当し、第三者提供の際に本人の同意が必要になるとPPCは考えていると思われます。

3.個人関連情報と図書館の貸出履歴など
また、改正個人情報保護法ガイドライン(通則編)の個人関連情報に関するパブコメ結果315は、「ある個人の図書館の貸出履歴・利用履歴(利用事実)も個人関連情報や個人情報に該当しうることを明記すべきではないか」との意見(不肖・私の意見ですが)に対して、PPCは「個別の事案ごとに判断することになるが、図書館の利用履歴について、特定の個人を識別することができる場合(他の情報と容易に照合して特定の個人を識別できる場合を含む)には個人情報(法2条1項)に該当し、個人情報に該当しない場合には、「ある個人に関する情報」である限り、個人関連情報に該当する」と明快に回答しています。これもPPC超グッジョブ!!と言わざるをえません。

図書館の貸出履歴1
図書館の貸出履歴2


この点、現在の、平成27年(2015年)改正の個人情報保護法ガイドライン(通則編)は、要配慮個人情報(法2条3項)に関する2-3(要配慮個人情報)の部分のなお書きとして、「なお、次に掲げる情報(=要配慮個人情報))を「推知させる情報」にすぎないもの(例:宗教に関する書籍の購買や貸出しに係る情報等)は、要配慮個人情報には含まない。」との記述を置いており、宗教に関する書籍の購買や貸出しに係る情報等などのような要配慮個人情報を「推知させる情報」は重要でないどうでもよい情報・データであるとの誤解が社会に広まってしまったような気がします(一種の「個人情報保護法による過剰反応」。なお令和2年改正の個人情報保護法ガイドラインにおいても、このなお書き自体は残っている。)。

しかし今回のこの個人情報保護法ガイドライン(通則編)パブコメ結果315は、図書館の貸出履歴・利用履歴なども個人情報に該当し、個人情報に該当しなくても、「ある個人に関する情報」である場合は個人関連情報に該当すると明確に回答していることは非常に重要な意味があると思われます。

貸出履歴・閲覧履歴などの個人情報・個人関連情報の該当性の図2

つまり、図書館の貸出履歴データ・利用履歴データをさまざまな用途に利活用しようとしてる法政大学、国会図書館などや、ツタヤ図書館などを運営するCCCなどのデータマーケティング企業やIT企業、さらに警察からの令状によらない照会に安易に応じ回答を行っている図書館、学校図書館の貸出履歴データ・利用履歴データなど図書館の利用以外に転用している学校・教育委員会・国などは、それらの業務が個人情報保護法など法令に違反してないか再検討が必要であると思われます。

■関連する記事
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた!?

同時に、今回のパブコメ結果を踏まえたPPCの令和2年改正個人情報保護法ガイドライン(通則編)の2-3-1-1(個人関連情報)の部分は、つぎのとおり、「Cookieなどで収集されたある個人のウェブサイトの閲覧履歴」、「メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等」、「個人の商品購買履歴・サービス利用履歴事例」、「ある個人の位置情報事例」、「ある個人の興味・関心を示す情報」などのデータ・情報も、それが連続して蓄積された場合には個人情報に該当し、個人情報に該当しない場合は個人関連情報に該当すると明記しています。

個人関連情報に該当する事例
(令和2年改正個人情報保護法ガイドライン(通則編)の2-3-1-1(個人関連情報)の部分より)

そのため、ヤフージャパン、LINEなどのIT企業、ターゲティング広告などの広告事業者、共通ポイントなどを運営するCCCや楽天などのデータマーケティング事業者、通信事業者・プロバイダ(ISP)やSuicaなどを運営するJR各社などの鉄道事業者・運輸事業者、コネクテッドカー・プラットフォームを運営する自動車メーカー、ネット上の通販を行うAmazonや楽天、メルカリや、ネットバンクや電子マネーやQRコード決済などの電子決済を行う金融関係の事業者、銀行・保険・証券、信用スコアや情報銀行などの業務を行う金融機関、テレビの閲覧履歴などを利用しているテレビ局、電気・ガス・水道などの利用履歴・ライフログなどを利用しているインフラ事業者、ネット閲覧履歴や移動履歴・購買履歴などを利用しているリクルート・LAPRASなどの人材企業やHRテックの事業者、タブレット端末などの操作履歴などを利用してEdTechやGIGAスクール構想などを推進しているベネッセや学校・教育委員会、文科省などは、今一度、自らの業務が個人情報保護法などの法令に違反していないか、再検討が必要であると思われます。この個人関連情報の新設は、影響範囲が非常に大きいと思われます。

4.AIやコンピュータによるプロファイリングについて
さらに、前述のリクナビ事件の問題や、2018年に施行されたEUのGDPR(EU一般データ保護規則)22条が「プロファイリング拒否権」(コンピュータやAIの個人データの自動処理のみによる法的決定・重要な決定の拒否権)を規定していることや、本年4月にEUがAI規制法案を公表したことなどから、AIやコンピュータによる人間のプロファイリングの危険(データによる人の選別の危険)に関する関心が日本社会でも高まっています。(最近の一部の情報法の学者の先生方は、個人データ保護法制の本当の立法目的は、プロファイリング拒否権であるとのご見解を示しておられるようです。)

この点、個人情報保護法ガイドライン(通則編)のパブコメ結果57は、「プロファイリングによる個人データの収集・利用などが個人の権利・利益を侵害するおそれがあるような場合については、これが個人情報の不適正利用の禁止条項(法16条の2)に該当し違法なものとなることを明記すべきではないか」との質問(不肖・私の質問ですが)に対して、PPCは「「プロファイリングの目的や得られたデータの利用方法など個別の判断が必要であるが、プロファイリングに関わる個人情報の取扱が「違法または不当な行為を助長、または誘発するおそれ」がある場合は、不適正利用に該当する場合があり得る。」と回答しています。

プロファイリング2

このように、AIやコンピュータによるプロファイリングの法規制に関して、PPCはEUやアメリカの一部の州などの個人データ保護法の先進国・地域と異なり、慎重な姿勢を示しています。

しかし少なくとも、リクナビ事件のような、就活生などの求職者のネット閲覧履歴などのデータを収集し、AIで内定辞退予測データなどの就活生などに大きな不利益をもたらすおそれのあるデータを生成し、求人を行っているトヨタなどの企業にそのデータを販売・第三者提供するような行為は、「プロファイリングに関わる個人情報の取扱が「違法または不当な行為を助長、または誘発するおそれ」がある場合に該当し、不適正利用であり違法であるとPPCに判断される可能性があると思われます。

そのため、AIを求職者の採用活動などに利用している雇用分野やHRtechの企業・人材会社・事業会社の人事部門や、AIを教育に利用している教育業界や学校・教育委員会・文科省、AIや顔認証システムを搭載した防犯カメラ・監視カメラ・商用カメラなどを利用や開発・販売している警備業界・警察・小売業・電気メーカーや、AIを信用スコアやローンの審査・保険の引受審査・保険金支払査定などに利用している銀行・保険などの金融機関、出入国管理など行政上の審査にAIを利用している行政庁などは、自らの業務が令和2年改正の個人情報保護法に抵触しないか、今一度再検討が必要であると思われます。

■関連する記事
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた(追記あり)
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた-個人情報・プライバシー・労働法・GDPR

5.その他・委託の「まぜるな危険」の問題、「内閣府健康・医療戦略推進事務局次世代医療基盤法担当のパブコメ意見!?
(1)委託の「まぜるな危険」の問題
その他にも、この令和2年改正個人情報保護法ガイドラインパブコメ結果は、通則編のパブコメ結果351に、経営法友会からの「委託の「まぜるな危険の問題」」の質問へのPPCの回答が載っているなど、個人情報保護法や情報セキュリティなどに関係する人にとって見どころが満載です。(委託の「まぜるは危険の問題」がPPCの公式文書に掲載されたのは、これがおそらく初めてではないでしょうか。)

委託のまぜるな危険の問題

(2)「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」のパブコメ意見!?
また、このパブコメ結果で異様なのは、法人・個人や各種団体などからの意見にまじって、「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」からのパブコメ意見が大量に提出されていることです。PDFファイル上で検索するとなんと31件もあるようです。しかも、他の個人・法人のほとんどが、PPCのパブコメ要綱を遵守して「意見」・「理由」を分けて丁寧な文言で意見や質問などを提出しているのに、この内閣府の担当者は意見・理由を分けずに、上から目線のあまり上品でないだらだらとした言葉使いで31件もの意見を書いています。

さらにパブコメ結果を読んでいて驚くことは、この内閣府健康・医療戦略推進事務局の担当者は、個人情報保護法の条文の文言上の理解すらできておらず、おそらく実務上も個人情報の取扱を経験したことがないような、官僚というよりまるで大学法学部の1年生かのような素人質問をPPCに対して、まるで顧客が企業のコールセンターに電話で質問するかのように、カジュアルに投げつけていることです。
内閣府5
(ガイドライン(通則編)のパブコメ結果275。内閣府の担当者は法23条2項のオプトアウトによる第三者提供に関して「いちいち事業者が本人に対して通知を行わねばならないことは面倒である」という趣旨の意見を述べていますが、PPCも回答しているように、法23条2項は「通知または公表」と規定しており、事業者に「通知」を義務付けていません。)

「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」は、国民のカルテや処方箋データなどのセンシティブな個人情報である医療データを国が一元的に収集し、IT企業や製薬会社などに利活用させる次世代医療基盤法などの担当所管のはずですが、個人情報保護法の素人のような人間が担当者で本当に大丈夫なのでしょうか?   国民としては非常に心配です。

くわえて、この内閣府健康・医療戦略推進事務局次世代医療基盤法担当の担当者の意見は、個人情報取扱事業者の法的義務を削減することを要求する内容のものが多く含まれています。この点は、内閣府や個人情報保護委員会の行政の公平性・中立性(国家公務員法96条1項、憲法15条2項など)が損なわれるおそれがあるだけでなく、国の個人情報保護行政デジタル行政などがゆがめられてしまうおそれがあるのではないでしょうか。

■関連する記事
・「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」のPPC・令和2年改正個人情報保護法ガイドラインへのパブコメ意見がいろいろとひどい件
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた!?
・2020年の個人情報保護法改正に関するガイドライン改正に関するパブコメについて意見を書いてみた-FLoC・プロファイリング・貸出履歴・推知情報・データによる人の選別
・CCCがT会員規約やプライバシーポリシーを改定-他社データと組み合わせた個人情報の利用・「混ぜるな危険の問題」
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた-個人情報・プライバシー・労働法・GDPR
ドイツで警察が国民のPC等をマルウェア等で監視するためにIT企業に協力させる法案が準備中-欧州の情報自己決定権と日米の自己情報コントロール権















このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ