なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:プロファイリング

Screenshot_20250118-201323
(日本生命のLINE公式アカウント)

1.LINEヤフーが日本生命に「結婚予兆セグメント」のプロファイリングの個人データを販売
2025年1月13日のニュースイッチに「保険の成約率10倍以上に…日本生命、顧客開拓にLINE活用」日刊工業新聞2025年1月10日という興味深い記事が掲載されていました。

この記事によると、日本生命保険はLINEのLINE公式アカウントで友達登録したユーザーのうち、結婚する予兆のある層にピンポイントで保険を提案したところ、成約率がLINEを使わない提案手法に比べなんと10倍以上になったとのことです。「LINEヤフーはショッピングサイトの購買履歴などから傾向をつかみ、ユーザー・消費者をさまざまなセグメントに分類する。日本生命は自社のLINE公式アカウントの友達のうち、LINEヤフーが「結婚予兆セグメント」に分類した層にアプローチ」して、従来の10倍以上の保険契約の成約を達成したとのことです。

概要図
また、本記事によると、日本生命は同様に「転職活動の検討セグメント」の個人データもLINEヤフーから第三者提供を受けて採用活動に利用しているとのことで、さらに第一生命保険やT&Dグループも日本生命と同様にLINE公式アカウントを利用して保険の営業等を行っているとのことです。

たしかに保険の営業成績が10倍以上に伸びるということは大変なことであり、LINEヤフーや日本生命などのパートナー企業にとっては非常に素晴らしい話ですが、「結婚予兆セグメント」、「転職活動の検討セグメント」等の生々しいプロファイリングの第三者提供の話が出てくるとLINEのユーザー・消費者としては少し怖い気もします。(アメリカの大手スーパー・ターゲット社が顧客の購買履歴から妊娠をプロファイリングし該当する女性にベビー用品を販売した事件や、2019年のリクナビ事件などを連想する人も少なくないのではないかと思われます。*なお、ITメディアニュースの記事によると、NTTドコモもプロファイリング結果の第三者提供ビジネスを行っているそうです。

このようなLINEヤフーや日本生命などのパートナー企業のビジネスは、個人情報保護法などの関係からどのように考えられるのでしょうか。

2.プロファイリングについて
EUのGDPR22条などがプロファイリングについて法規制を行っている一方で、日本の個人情報保護法は真正面からはプロファイリングの法規制を行っていません。(プロファイリングの法規制については現在、個人情報保護委員会などで個情法改正に関連して検討が行われています。)

しかし、個情法17条1項は、事業者は「個人情報を取り扱うに当たっては、その利用の目的(以下「利用目的」という。)をできる限り特定しなければならない。」と利用目的の特定について規定し、個情委の個人情報保護法ガイドライン(通則編)の3-1-1(利用目的の特定(法第17条第1項関係))の「(※1)」はつぎのように規定しています。

【個人情報保護法ガイドライン(通則編)3-1-1】
(※1)「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。 本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。

例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。

【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例1)「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例2)「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」
個情法ガイドライン3-1-1
(個人情報保護法ガイドライン(通則編)3-1-1(※1))

このように、個情法17条1項をうけた個人情報保護法ガイドライン(通則編)3-1-1は、事業者がプロファイリングを行う場合には、その旨をプライバシーポリシー等の利用目的の部分に特定しておかないといけないと規定しています。

この点、LINEヤフーのプライバシーポリシーをみると、「4.d.当社サービスのお客様への最適化の具体例」の部分に、「たとえば、以下のような場合、当社は、お客様に最適化されたコンテンツを提供するためにパーソナルデータを利用します。・お客様の性別、ご購入履歴などから、おすすめ商品やニュース記事のご紹介など、お客様におすすめの情報をお届けする・配信した広告の効果を測定する」と規定されており、ユーザー本人の個人データからプロファイリングを行う旨が一応説明されています。そのため、LINEヤフーはプロファイリングに関しては個情法および同ガイドラインをクリアしているように思われます。

LINEヤフープラポリ4d
(LINEヤフー・プライバシーポリシー「4.d.当社サービスのお客様への最適化の具体例」)

3.プロファイリングした個人データの第三者提供について
つぎに、LINEヤフーがユーザーの個人データをプロファイリングして得た「結婚予兆セグメント」などの個人データを日本生命などのパートナー企業に第三者提供するためには、これは個人データの第三者提供ですので、ユーザー本人の同意かオプトアウトが必要となります(個情法27条1項、2項)。

そして、この点について個人情報保護法ガイドライン(通則編)3-6-1のなお書きは、「なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない(3-1-1(利用目的の特定)参照)。」と規定しています。

個情法ガイドライン3-6-1
(個人情報保護法ガイドライン(通則編)3-6-1のなお書き)

つまり、事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならないのであり、同意の取得に当たっては、その同意を実効あるものにするために、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む。)等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならないのであって、あらかじめ個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならないのです。

この点、LINEヤフーのプライバシーポリシーの「4.d.当社サービスのお客様への最適化の具体例」の下のほうの「また、一部の国または地域(*3)においては、お客様に最適化された広告などのおすすめのコンテンツを配信する目的でパーソナルデータを利用します。これには以下のような例が含まれます。」の部分には、「パートナーから取得したお客様に関する識別子(内部識別子、広告識別子など)、ハッシュ化した電話番号やメールアドレス、属性情報、購入履歴や視聴履歴を含むお客様に関する行動履歴などの情報を当社が保有するお客様に関する識別子(内部識別子、広告識別子など)、ハッシュ化した電話番号やメールアドレス、属性情報、広告接触履歴を含むサービス利用状況などのパーソナルデータと紐づけ、組み合わせるなどして、統計情報を作成し、当該統計情報をパートナーに対して提供する。」との記述があります。

LINEヤフープラポリ4dの下のほう
(LINEヤフーのプライバシーポリシーの「4.d.当社サービスのお客様への最適化の具体例」下部)

つまり属性情報、購入履歴や視聴履歴などの行動履歴、Cookie、広告接触履歴など様々なユーザーの個人データを集めて突合しプロファイリングを行い、「結婚予兆セグメント」などの「統計情報」を作成し、ユーザーの識別符号などとセットで当該統計情報をLINE公式アカウントのパートナー企業などに第三者提供していると説明されています。

そのため、LINEヤフーはプロファイリングの結果のパートナー企業等への第三者提供に関しては個情法および同ガイドラインをクリアしているように思われます。

(ただし、LINEヤフーのプライバシーポリシーにリンクが貼られた「属性によるサービスの最適化について」の「サービスの最適化において実施しないこと」の部分をみると、「健康状態や政治的信条、宗教など、お客様の機微な属性を推定・分類する行為」は実施しないとなっているのですが、「結婚予兆セグメント」、「転職活動の検討セグメント」等のプロファイリングはユーザー・消費者にとって「機微な属性」を推定・分類することのように思われ、疑問が残ります。)

4.まとめ
LINEヤフーがユーザーの様々な個人データを収集・突合してプロファイリングを行い、その結果をLINE公式アカウントなどのパートナー企業に第三者提供していることは、現行の個人情報保護法および同ガイドラインを一応はクリアしているように思われます。

しかし、LINEを利用している一般のユーザーは、自分がLINEを利用することによって自分の機微・センシティブな「結婚予兆セグメント」、「転職活動の検討セグメント」等がプロファイリングされ、しかもそのプロファイリング結果が第三者提供されているとはあまり自覚していないように思われます。

この点に関しては、LINEヤフーはプライバシーポリシー全体への同意取得で済ませるのではなく、セグメント等のプロファイリングを行うこと、そのプロファイリング結果をパートナー企業に第三者提供すること、等について個別の同意を取得する仕組みを用意するなど、より丁寧な対応がユーザーの「個人の人格尊重」(個情法3条)の観点からのぞましいように思われます。

■追記:プロファイリング結果の第三者提供
なお、『AIプロファイリングの法律問題』353頁以下(坂田晃祐・福岡真之介執筆部分)は、プロファイリング結果の第三者提供は、①本人はプロファイリング結果の内容を把握できないことが多いのであるから第三者提供時点でその影響を判断することができないリスクがあること、②本人はプロファイリング結果が第三者提供先でどのような利用目的で利用されるか予測できず、思わぬ不利益を受けるリスクがあること、③プロファイリング結果の内容によっては、本人が自己の欲しない他者に対し秘匿したいと考える事項が明らかになる場合、プライバシー権の侵害が発生するリスク(民法709条、憲法13条)が生じること、等から通常の個人データの第三者提供とは別に考える必要があると指摘しています。

そのため同書は、プロファイリング結果の第三者提供については、①第三者提供先の事業者の利用目的につき本人に情報提供または通知・公表を行うこと、②一定の範囲のプロファイリング結果(本人に軽微でない不利益を生じさせる可能性のあるプロファイリング結果)についてはオプトアウトによる第三者提供を禁止すべきこと、という通常の個人データとは異なる法規制を導入すべきであると提言しています。

この点、本ブログ記事で取り上げたLINEヤフーと日本生命などの事例の「結婚予兆セグメント」「転職活動の準備セグメント」などのプロファイリング結果は、上のリスクのなかの「③プロファイリング結果の内容によっては、本人が自己の欲しない他者に対し秘匿したいと考える事項が明らかになる場合、プライバシー権の侵害が発生するリスク(民法709条、憲法13条)」が発生する可能性が一定程度存在するものであると思われます。

そのため、LINEヤフーは包括的な同意でなく個別の同意を取得するだけでなく、どのようなプロファイリング結果を生成するのか、どのようなパートナー企業等にプロファイリング結果を第三者提供し、当該企業等の利用目的はどのようなものなのか等をユーザー本人にあらかじめ情報提供や通知・公表する必要があるように思われます。また、現行の個情法19条があいまいとは言え不適正利用の禁止を規定しているのですから、ユーザー本人に軽微でない不利益を発生させるおそれのあるプロファイリング結果については、そもそもプロファイリング自体を社内で禁止する等の対応も必要なように思われます。

■参考文献
・福岡真之介・杉浦健二・田中浩之・坂田晃祐ほか『AIプロファイリングの法律問題』42頁、353頁
・岡村久道『個人情報保護法 第4版』208頁

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

mensetsu_business_ai
1.はじめに
ITmediaの2024年10月16日の記事「キリン、新卒採用に“AI面接官”を試験導入 生成AI利用で「人間の約6倍多角的に評価できる」」によると、キリンホールディングスは、2026年卒の新卒採用から、生成AIにより面接の質疑や候補者の評価を行うサービス「AI面接官」を試験導入する方針とのことです。エントリーシートの読み込みから一次面接までをAI面接官が担当するとのことです。

「導入するのは、AI面接官を提供するVARIETAS(東京都世田谷区)のサービス。同社によると、AI面接官は、経済産業省が2006年に提唱した「社会人基礎力」をもとにした30項目によって候補者を評価する。人間が1時間の面接で評価できるのは5~6項目であり、その約6倍多角的に評価できるという。」

「なお採用プロセスについて、AI面接官の評価をもとに採用担当者が最終的に1次面接の通過者を確定。その後、2次選考以降の採用活動を行うとしている。」
(ITmediaの2024年10月16日の記事「キリン、新卒採用に“AI面接官”を試験導入 生成AI利用で「人間の約6倍多角的に評価できる」」より)
このようなAIによる面接や求職者の評価・選別等は、個人情報保護法などとの関係で問題はないのでしょうか?

2.答責性・透明性・説明可能性の問題
(1)プロファイリング結果の根拠を説明できない?
AIは大量のデータを分析し、複雑な予測モデルを構築しますが、それが複雑すぎて人間がそれを理解できず説明もできないという問題が生じます(答責性・透明性・説明可能性の問題)。そのため、上でみた「AI面接官」サービスでは、もし就活生等からキリン等にプロファイリング結果の根拠の説明を求められてもキリン等の求人企業が回答ができないという問題が発生するおそれがあります。この問題は法的に、あるいは倫理的にはどのように考えられるのでしょうか。

(2)法律上の問題点
この点、会社側には採用基準等を開示する法的義務はないので、AIを用いているかにかかわらず、採用時にどのような選考をしているか説明しなくても、あるいは選考の根拠を求人企業自身が理解できていなくても、それ自体は違法とはなりません(東京高判昭和50.12.22判時815・88)。

また、三菱樹脂事件判決(最大判昭和48.12.12民集27・11・1536)は、企業には広い範囲での雇入れの自由があり、企業が労働者の思想・信条を理由としてその採用を拒否しても違法とはならないとしています。この判例によると、AIによる分析等が誤っている場合や、AIによる分析の手法を求人企業が理解しないで利用していた場合などであっても、AIによる採否の決定などが違法とはならないと考えられます。

(3)倫理上の問題点
しかし、経産省、個人情報保護委員会、経団連、情報処理学会などにより組織された、パーソナルデータ+α研究会の「プロファイリングに関する最終提言」(2022年4月)は、「答責性、説明可能性、解釈可能性、透明性などに配慮し、プロファイリングに利用したインプットデータを特定しておくことや、解釈可能なモデルの導入を検討すること」を推奨しています(16頁、18頁)。

そのため、AIによるプロファイリングの結果が選考においてどの程度の比重を占めているのか、どのような情報をプロファイリングの基礎としているか、人間の判断の介在有無などについて説明できるだけの用意をあらかじめしておくことが、有事の際のダメージコントロールの観点からは有益であると考えられます。

3.AIによる差別・公平性の問題
(1)AIによる差別
AIがプロファイリングの基礎としたデータセットに差別を助長するような情報が含まれており、公平性を欠く差別的なプロファイリングがなされていた場合、法的にあるいは倫理的にはどのように考えられるでしょうか。

(2)職業安定法・職安法指針
求人企業は誰を採用するかについて選択の自由があり、また調査の自由があると判例上されています(三菱樹脂事件判決・最大判昭和48.12.12民集27・11・1536)。これは、採用段階における求職者からの情報取得についても広範な裁量を認めているものと理解されていました。しかし近時はこのような判例の射程範囲を限定しようとする考え方が有力となっており、少なくとも求職者の人格的尊厳やプライバシー保護の必要性などにより制約を受けると考えられています。そして調査事項についても、企業が質問や調査を行えるのは、求職者の職業上の能力・技量や適格性に関した事項に限られると考えられています(職安法5条の5、職安法指針(平成11年労働省告示第141号)5・1、厚労省「公正な採用選考の基本」)。

公正な採用選考の基本
(厚労省「公正な採用選考の基本」より)

(3)AIのプロファイリングと不適正利用の禁止
個情法19条は個人情報の不適正利用を禁止していますが、個情法ガイドライン(通則編)3-2は、19条違反となる事例として、「事例5)採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合」をあげています。そのため、AIによるプロファイリングも、その過程や態様次第では、不適正利用禁止違反になり得ると考えられます。

この点、令和3年8月の個情法ガイドライン(通則編)改正の際のパブリックコメントの回答において、個人情報保護委員会は、「プロファイリングに関連する個人情報の取扱いについても、それが「違法又は不当な行為を助長し、又は誘発するおそれがある方法」による個人情報の利用にあたる場合には、不適正利用に該当する可能性がありますが、プロファイリングの目的や得られた結果の利用方法等を踏まえて個別の事案ごとに判断する必要があると考えられます」としています。つまり、個人情報保護委員会としても、個情法の不適正利用禁止規定は一定のAIプロファイリングにおよぶことが明らかになっています。

4.人間関与原則の重要性
EUのGDPR22条1項は、「データ主体は、当該データ主体に関する法的効果をもたらすか又は当該データ主体に同様の重大な影響をもたらすプロファイリングなどの自動化された取扱いのみに基づいた決定に服さない権利を持つ」と規定していますが、これは人生に重要な影響を与える決定には原則として人間が関与しなければならないという「人間関与原則」を定めたものとされています。この考え方の背景には、自動化された決定が「個人の尊重」や「個人の尊厳」(憲法13条)を脅かすおそれがあるとの認識があります。このようにAIの決定に対して人間が関与することは個人の基本的人権の観点から重要ですが、企業のレピュテーションリスクやコンプライアンスの観点からも必須であると考えられます。

(この点、冒頭の記事によると、キリンおよびVARIETASの事例は、AIのプロファイリングについて最終的には人間が関与する仕組みとなっているようであり、人間関与原則の問題はクリアしているものと思われます。)

■参考文献
・末啓一郎・安藤広人『Q&A IT化社会における企業の情報労務管理の実務』61頁
・山本龍彦・大島義則『人事データ保護法入門』48頁

■関連するブログ記事
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)
・2022年の改正職業安定法・改正個人情報保護法とネット系人材会社や就活生のSNS「裏アカ」調査会社等について考えるープロファイリング

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

ai_pet_family

個人情報保護委員会が『個人情報保護法いわゆる3年ごと見直しに係る検討の中間整理』のパブコメを2024年7月29日まで実施しているので、つぎのとおり意見を書いて送ってみました。

1.生体データについて
(該当箇所)
「要保護性の高い個人情報の取扱いについて(生体データ)」(中間整理3頁~4頁)
(意見)
生体データも要配慮個人情報に含め、その取得には本人同意を必要とすべきである。
(理由)
個人情報のなかでも生体データの要保護性は高いと考えられるから、自己情報コントロール権(情報自己決定権、憲法13条)の観点からは、生体データについても要配慮個人情報(個情法2条3項)に含め、その取得には本人同意を必要とするべきである。かりにそれができない場合には、柔軟なオプトアウト制度の導入など、本人関与の仕組みを強化すべきである。

2.従業員の生体データのモニタリング
(該当箇所)
「不適正な利用の禁止」「適正な取得」の規律の明確化(「中間整理」4頁~6頁)
(意見)
使用者がパソコンやプログラム等を利用して従業員の生体データや集中度などを監視・モニタリングすることは個情法19条、20条違反であることを明確化すべきである。
(理由)
近年、使用者がパソコンやプログラム等を利用して従業員の脳波や集中度などを監視・モニタリングしている事例が増えているが(「東急不動産の新本社、従業員は脳波センサー装着」日本経済新聞2019年10月1日付、日立の「ハピネス」事業など参照)、このような従業員の監視・モニタリングは労働安全衛生法104条違反であるだけでなく、これがもしEUであればGDPR22条違反であり、さらに従業員の「自らの自律的な意思により選択をすることが期待できない場合」に該当するので、個情法19条、20条に抵触して違法であることをガイドライン等で明確化すべきである。

3.生徒・子どもの生体データのモニタリング
(該当箇所)
「不適正な利用の禁止」「適正な取得」の規律の明確化(「中間整理」4頁~6頁)
(意見)
学校・教育委員会等がパソコン・タブレットやウェアラブル端末等を利用して生徒・子どもの生体データや集中度などを監視・モニタリングすることは個情法19条、20条違反であることを明確化すべきである。
(理由)
近年、学校・教育委員会等がタブレット・パソコンやウェアラブル端末等を利用して生徒・子どもの生体データ等から集中度などを監視・モニタリングしている事例が増えているが(「「聞いてるふり」は通じない? 集中しない生徒をリアルタイムで把握 教員からは期待、「管理強化」に懸念も」共同通信2023年6月21日付、デジタル庁「教育データ利活用ロードマップ」など参照)、このような生徒・子どもの生体データの監視・モニタリングは、これがもしEUであればGDPR22条違反であり、さらに生徒・子どもの「自らの自律的な意思により選択をすることが期待できない場合」に該当するので、個情法19条、20条に抵触して違法であることをガイドライン等で明確化すべきである。

4.電話番号、メールアドレス、Cookieなどの個人関連情報について
(該当箇所)
「不適正な利用の禁止」「適正な取得」の規律の明確化(「中間整理」4頁~6頁)
(意見)
電話番号、メールアドレス、Cookieなどの情報も個人関連情報とするのではなく、個人情報に該当するとすべきである。
(理由)
電話番号、メールアドレス、Cookieなどの情報も、多くの場合、特定の個人を追跡可能であり、ターゲティング広告等により当該個人の自由な意思決定に影響を及ぼし得るのであるから、電話番号、メールアドレス、Cookieなどの情報も個人関連情報とするのではなく、個人情報に該当するとすべきである。

5.プロファイリングと不適正利用
(該当箇所)
「不適正な利用の禁止」「適正な取得」の規律の明確化(「中間整理」4頁~6頁)
(意見)
不適正利用の禁止(法19条)に関する個人情報保護法ガイドライン(通則編)の「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に、「AI・コンピュータの個人データ等のプロファイリングの行為のうち、個人の権利利益の侵害につながるもの」を明示すべきである。
(理由)
本人の認識や同意なく、ネット閲覧履歴、購買履歴、位置情報・移動履歴やSNSやネット上の書き込みなどの情報をAI・コンピュータにより収集・分析・加工・選別等を行うことは、2019年のいわゆるリクナビ事件等のように、本人が予想もしない不利益を被る危険性がある。このような不利益は、差別を助長するようなデータベースや、違法な事業者に個人情報を第三者提供するような行為の不利益と実質的に同等であると考えられる。
また、日本が十分性認定を受けているEUのDGPR22条1項は、「コンピュータによる自動処理のみによる法的決定・重要な決定の拒否権」を定め、さらにEUで成立したAI法も、雇用分野の人事評価や採用のAI利用、教育分野におけるAI利用、信用スコアなどに関するAI利用、出入国管理などの行政へのAI利用などへの法規制を定めている。
この点、厚労省の令和元年6月27日労働政策審議会労働政策基本部会報告書「~働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために~」9頁・10頁および、いわゆるリクナビ事件に関する厚労省の通達(職発0906第3号令和元年9月6日「募集情報等提供事業等の適正な運営について」)等も、電子機器による個人のモニタリング・監視に対する法規制や、AI・コンピュータのプロファイリングに対する法規制およびその必要性を規定している。
日本が今後もEUのGDPRの十分性認定を維持し、「自由で開かれた国際データ流通圏」政策を推進するためには、国民の個人の尊重やプライバシー、人格権(憲法13条)などの個人の権利利益を保護するため(個情法1条、3条)、AI・コンピュータによるプロファイリングに法規制を行うことは不可欠である。
したがって、「AI・コンピュータの個人データ等のプロファイリングの行為のうち、個人の権利利益の侵害につながるもの」を「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に明示すべきである(「不適正利用の禁止義務への対応」『ビジネス法務』2020年8月号25頁、『AIプロファイリングの法律問題』(2023年)50頁参照)。

6.こどもの個人情報等に関する規律の新設
(該当箇所)
こどもの個人情報等に関する規律の在り方(中間整理8頁~11頁)
(意見)
こどもの個人情報等に関する規律を新設することに賛成します。
(理由)
こどもは大人に比べて脆弱性・敏感性及びこれらに基づく要保護性があるにもかかわらず、近年、学校・教育委員会などが、生徒・子どもにウェアラブル端末をつけさせて生体データを収集し集中力や「ひきこもり」の予兆などを監視・モニタリングする事例などが野放しで増加しているが、このような学校等による生徒・子どもの監視・モニタリングは子どもの内心の自由やプライバシー、人格権を侵害しかねないものであり、子どもの権利利益を侵害している(個情法1条、3条、憲法13条、19条)。
したがって16歳未満の子どもの個人情報については収集等に法定代理人の同意を必要とし、また厳格な安全管理措置を要求するなどの法規制を新設することに賛成します。

7.課徴金制度・団体訴訟制度
(該当箇所)
課徴金、勧告・命令等の行政上の監視・監督手段の在り方(中間整理11頁)および団体による差止請求制度及び被害回復制度の導入(中間整理12頁)
(意見)
課徴金制度の導入などおよび団体請求制度の導入等に賛成します。
(理由)
国民・消費者の個人の権利利益のさらなる保護のため(個情法1条、3条)に賛成します。経済界は団体による差止請求にも反対しているようであるが、差止請求は違法な行為にしかなされないところ、経済界は違法行為がしたいのだろうかと疑問である。

8.漏えい等報告・本人通知の在り方
(該当箇所)
漏えい等報告・本人通知の在り方(中間整理18頁)
(意見)
現行の漏えい等報告・本人通知の在り方を緩和することに反対。
(理由)
二次被害・類似事案の防止が漏えい等報告及び本人通知の趣旨・目的なのであるから、たとえば事業者がセキュリティインシデントに対応中でマルウェア等の犯人を泳がせて調査しているような場合は別として、原則として個人情報漏えい事故が発生した場合は、迅速に漏えい等報告・本人通知を事業者に行わせるべきである。現行の漏えい等報告・本人通知の在り方を緩和することには反対。 また、漏えい等に関する義務が生じる「おそれ」要件についても、「おそれ」が発生している以上は安全管理措置義務違反が発生していることは事実なのであるから、事業者は違法であるのであって、「おそれ」要件を緩和することには反対である。

9.医療データの収集・目的外利用・第三者提供の規制緩和
(該当箇所)
社会のニーズ及び公益性を踏まえた例外規定の新設並びに明確化(中間整理23頁)
(意見)
医療データにつき例外規定を設け、取得や目的外利用、第三者提供等に本人同意やオプトアウトを不要とする議論に反対。
(理由)
現在の情報法・憲法の学説上、個人情報保護法(個人データ保護法)の趣旨・目的は自己情報コントロール権説(情報自己決定権説)が通説であり、ドイツやEUなど多くの西側自由諸国でも同様である(曽我部真裕・林秀弥・栗田昌裕『情報法概説第2版』209頁、渡辺康行・宍戸常寿・松本和彦・工藤達朗『憲法Ⅰ基本権』121頁、山本龍彦『個人データ保護のグローバル・マップ』247頁、359頁等参照)。
そして自己情報コントロール権説からは、個人情報保護法が目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合において、事業者や行政機関等が患者などの本人の同意を取得することが必要と規定されていることは当然のことと考えられる。
そのため、この目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合に本人の同意の取得を不要とする有識者ヒアリング等における森田朗名誉教授や鈴木正朝教授、高木浩光氏などの主張は自己情報コントロール権説に反し、つまり個人情報保護法(個人データ保護法)の趣旨・目的に反している。
また、法律論を離れても、たとえば4月3日の個人情報保護委員会の有識者ヒアリングでは、横野恵准教授の「医療・医学系研究における個人情報の保護と利活用」との資料13頁の「ゲノムデータの利活用と信頼」においては、一般大衆の考えとして、ゲノムデータの利活用に関する「信頼の醸成に寄与する要素」の2番目に「オプトアウト制度」が上がっている。
したがって、医療データの利用等に関して、患者の本人の同意やオプトアウト制度などの本人関与を廃止する考え方は、一般国民の支持を得られないと思われる。
また、森田名誉教授や鈴木正朝教授、高木浩光氏など、医療データの製薬会社やIT企業などによる利活用を推進する立場の人々は、「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」との考え方を前提としているように思われる。
たしかに患者が医療に貢献することは一般論としては「善」である。しかし、日本は個人の自由意思を原則とする自由主義・民主主義国である(憲法1条、13条)。患者個人が医療や社会に貢献すべきか否かは個人のモラルにゆだねるべき問題であり、ことさら法律で強制する問題ではない。すなわち、患者の医療への貢献などは、自由主義社会においては自由な討論・議論によって検討されるべきものであり、最終的には個人の内心や自己決定にゆだねられるべきものである(憲法19条、13条)。
「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」「そのような考え方を個人情報保護法の改正や新法を制定し、国民に強制すべきだ」「そのような考え方に反対する国民は非国民、反日だ」との考え方は、中国やロシアなど全体主義・国家主義国家の考え方であり、自由主義・民主主義国家の日本にはなじまないものである。
さらに、患者の疾病・傷害にはさまざまなものがある。風邪などの軽い疾病のデータについては、製薬会社などに提供することを拒む国民は少ないであろう。しかし、がんやHIVなど社会的差別のおそれのある疾病や、精神疾患など患者個人の内心(憲法19条)にもかかわる疾病など、疾病・傷害にはさまざまな種類がある。それらをすべて統一的に本人同意を不要とする政府の議論は乱暴である。
したがって、憲法の立憲主義に係る基本的な考え方からも、医療データの一時利用・二次利用について患者の本人の同意を原則として不要とする議論は、個人情報保護法(個人データ保護法)の趣旨・目的に反しているだけでなく、わが国の憲法の趣旨にも反している。以上のような理由から、私は医療データの一時利用・二次利用について患者の本人の同意やオプトアウト等の本人関与の仕組みを原則として不要とする個人情報保護委員会や政府の議論に反対である。

10.その他:プロファイリング・AI法
(該当箇所)
その他(中間整理26頁)
(意見)
プロファイリングによる要配慮個人情報の「推知」を要配慮個人情報の「取得」として法規制すべきである。本人同意または本人関与の仕組みを導入すべきである。また、日本も早期にEUのようなAI法を制定すべきである。
(理由)
2016年のケンブリッジ・アナリティカ事件、最近のイスラエルの軍事AI「ラベンダー」など、プロファイリングの問題は個人情報保護の本丸である。個人情報保護法20条2項は要配慮個人情報の取得については本人同意を必要としているが、プロファイリングによる要配慮個人情報の「推知」、すなわち要配慮個人情報の迂回的取得は法規制が存在しない。これでは本人同意は面倒だと、事業者はプロファイリングによる推知を利用してしまう。
この点、世界的には、EUのGDPR21条はプロファイリングに異議を述べる権利を定め、同22条は完全自動意思決定に服さない権利を規定している。またアメリカのいくつかの州も同様の法規制を置いている。
このように世界的な法規制の動向をみると、日本もプロファイリングによる要配慮個人情報の「推知」を要配慮個人情報の「取得」として法規制すべきである。すなわち、本人同意または本人関与の仕組みを導入すべきである。
また、日本も早期にEUのようなAI法を制定すべきである。

11.顔識別機能付き防犯カメラ(1)
(該当箇所)
「要保護性の高い個人情報の取扱いについて(生体データ)」(中間整理3頁~4頁)
(意見)
生体データに関連し、個人情報保護法16条4項や施行令5条の法改正を行い、顔データは保有個人データであると改正すべきである。
(理由)
生体データに関連し、顔識別機能付き防犯カメラシステムによる誤登録の問題に関して、現行法上、顔識別機能付き防犯カメラシステムによる顔データは、個人情報保護法施行令5条のいずれかの号に該当し、当該顔データは保有個人データではないということになり(個人情報保護法16条4項)、結局、顔識別機能付き防犯カメラを運用する個人情報取扱事業者は個人情報保護法を守る必要がないということになってしまうが、そのような結論は誤登録の被害者の権利利益の保護(法1条、3条、憲法13条)との関係で妥当とは思えない。
そのため個人情報保護法16条4項や施行令5条の法改正を行い、顔データは保有個人データであると改正すべきである。

12.顔識別機能付き防犯カメラ(2)
(該当箇所)
「要保護性の高い個人情報の取扱いについて(生体データ)」(中間整理3頁~4頁)
(意見)
生体データの問題に関連し、顔識別機能付きカメラシステムによる顔データの共同利用については、全国レベルや複数の県をまたがる等の広域利用を行う場合には、個人情報保護委員会に事前に相談を求めることを個情法上に明記すべきではないか。そのために個人情報保護法の法改正等を行うべきでないか。
(理由)
「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会第6回」の議事録5頁に、「そういった観点から、一つ地域というのがメルクマールになると理解している。広域利用に関しては相当の必要性がなければできないとしつつ、個人情報保護委員会に相談があったような場合に対応していくのが1つの落としどころかと感じた。」等との議論がなされているから。 また、宇賀克也『新・個人情報保護法の逐条解説』275頁、園部逸夫・藤原静雄『個人情報保護法の解説 第二次改訂版』187頁などにおいても、共同利用が許される外延・限界は「一つの業界内」、「一つの地域内」などと解説されており、全国レベルの共同利用や県をまたぐ広域利用、業界をまたぐ共同利用などは個人情報保護法が予定しておらず、本人が自分の個人情報がどこまで共同利用されるのか合理的に判断できないと思われるから。

13.顔識別機能付き防犯カメラ(3)
(該当箇所)
「要保護性の高い個人情報の取扱いについて(生体データ)」(中間整理3頁~4頁)
(意見)
開示・訂正等請求を求める一般人(顔識別機能付き防犯カメラの誤登録の被害者等)が個人情報保護法などにおいて取りうる法的手段(例えば個人情報取扱事業者のウェブサイト上のプライバシーポリシー上の開示・訂正等請求の手続きに従って請求を行う、民事訴訟を提起する等)に関して、個人情報法保護法ガイドライン(通則編)や「個人情報の保護に関する法律についてのガイドラインに関するQ&A」等に一般人にもわかりやすい解説を用意するべきではないか。
(理由)
生体データの問題に関連し、顔識別機能付きカメラシステムの誤登録の被害者が個人情報取扱事業者に顔データの削除などを請求しても事業者から拒否される場合が多い。また誤登録の被害者等は法律のプロではないことが一般的である。
そのため、開示・訂正等請求を求める一般人(防犯カメラの誤登録の被害者等)が個人情報保護法などにおいて取りうる法的手段(例えば個人情報取扱事業者のウェブサイト上のプライバシーポリシー上の開示・訂正等請求の手続きに従って請求を行う、開示・訂正等請求の民事訴訟を提起する等)に関して、個人情報法保護法ガイドライン(通則編)や「個人情報の保護に関する法律についてのガイドラインに関するQ&A」等に一般人にもわかりやすい解説を用意するべきではないか。あるいは一般人向けに開示・訂正等手続きについて解説した「自治会・同窓会等向け会員名簿をつくるときの注意事項ハンドブック」のようなパンフレットを作成すべきではないか。

以上

■関連するブログ記事
・MyData Japan 2024の「George's Bar ~個人情報保護法3年ごと見直しに向けて~」の聴講メモ
・個情委の「3年ごと見直し」における医療データの取扱いに本人同意を不要とする議論に反対する

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

OIG2
(Microsoftのdesignerで生成)

1.はじめに

つぎの個人情報保護法改正にむけて、個人情報保護委員会が2024年3月6日付で「個人情報保護法いわゆる3年ごと見直し規定に基づく検討(個人の権利利益のより実質的な保護の在り方①)」(以下「本資料」)を公表しているので、個人的に興味深いと思った部分をまとめてみたいと思います。

本資料は大きく分けて、①生体データの取扱いに係る規律の在り方、②代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方、③不適正取得・不適正利用に係る規律の在り方、④個人関連情報の適正な取扱いに係る規律の在り方、の4つの部分に分かれています。

2.生体データの取扱いに係る規律の在り方

(1)犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について
本資料ではまず、犯罪予防や安全確保のための顔識別機能付きカメラシステム(防犯カメラ)について大きく取り上げられています。

PPC2頁
(本資料2頁)

つまり、個情委は「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会」(以下「本検討会」)を開催し、2023年3月に報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」(以下「本報告書」)を公表し、個人情報保護法ガイドラインQAの一部改正を行ったとして、同報告書や個情法ガイドラインQAの改正部分について簡単にまとめています。

■関連するブログ記事


本報告書の柱の一つは、"顔識別機能付きカメラシステムはそれだけでは個人が顔識別が行われていると合理的に判断できないため、事業者は店舗等につぎのような「顔識別機能付きカメラシステム作動中」などの掲示等が望ましい"ということだったと思います。

防犯カメラ作動中の掲示
(個人情報保護委員会「個人情報保護法いわゆる3年ごと見直し規定に基づく検討(個人の権利利益のより実質的な保護の在り方①)」3頁より)

しかし、JRや私鉄のホームや列車内などをみても、このような「顔識別機能付きカメラシステム作動中」との掲示は見たことがありません。やはり、個情法ガイドラインQAなどで「のぞましい」と書くレベルでは不十分であり、個情委は個人情報保護法や同施行規則などに根拠規定をおいて、掲示を事業者に義務付ける必要があるのではないでしょうか。

また、本検討会では顔識別機能付きカメラシステムの「誤登録」の問題(いわゆる「防犯カメラの万引き冤罪被害者の問題」)について、ごくわずかながら触れられていたのですが、それが本報告書にはほとんど盛り込まれていないことは問題だと思います。

そもそもこのような万引き犯DBなどのブラックリストについては、一律で個人情報保護法施行令5条が保有個人データの対象外としてしまっているわけですが(個情法16条4項参照)、そのような法令の規定のあり方は、誤登録された人々の権利利益の保護の観点から大きな問題であり、つぎの個人情報保護法改正の機会に見直しを行ってほしいと思われます。(また、個情法ガイドラインQAにも誤登録の問題に関するQAを追加する等の対応が必要と思われます。)

さらに、本検討会では、万引き犯などに関するブラックリストの個人データを小売業などが全国レベルでデータの共同利用(個情法27条5項3号)を行うことはさすがに共同利用の趣旨目的から行き過ぎであり、そのような共同利用を行うためには事前に個人情報保護委員会への相談を必要とするべきとの議論もなされていたところです。

しかし、本報告書ではそのような記載はなくなってしまっています。この点は、共同利用制度を不当に拡大解釈するものであり、次の個人情報保護法改正で、法令に法的根拠を置いた上で、全国レベルなどの共同利用について個人情報保護委員会への事前申請制度などを新設すべきだと思われます。

(2)生体データの取扱いに関する外国制度等
つぎに本資料では、生体データにかかわる、EUのGDPRやAI規制法などの規定ぶりや、データ保護当局による執行事例が紹介されています。韓国におけるFacebookによる本人同意のない顔識別テンプレートの収集などの事例が掲載されています(9頁)。

(3)生体データの取扱いに関する社会的反響の大きかった事例等
本資料が興味深いのは、「社会的反響の大きかった事例」についても掲載しているところだと思います。生体データに関しては、①2014年のJR大阪駅のカメラ事件、②2021年のJR東日本が駅構内に顔識別機能付き防犯カメラを設置し刑務所からの出所者や不審者等を監視しようとした事件、③渋谷100台AIカメラ設置プロジェクト事件、の3つが掲載されています(本資料10頁)。

ppc3年ごと見直し資料10頁
(本資料10頁)

■関連するブログ記事


3.代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方

(1)国内の他法令等における主な規律
本資料11頁以下では、「代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方」について取り上げられています。まず本資料11頁では、①独禁法2条9項5号ロや公取委「「デジタル・プラットフォーム事業者と個人情報等を提供する消費者との取引における優越的地位の濫用に関する独占禁止法上の考え方」、②金融分野の個人情報保護ガイドラインの与信業務に関する部分、とともに、③職業安定法5条の5および平成11年労働省告示141号、④労働安全衛生法104条、が取り上げられているのが興味深いです。

PPC11頁
(本資料11頁より)

とくに労安法104条が、事業者に対して、「労働者の健康の確保に必要な範囲を超えて、労働者の心身の状態に関する情報を収集・保管・使用すること」を原則禁止していることは注目されます。

最近、新型コロナの流行などによりリモートワークが広まっていますが、それと同時に企業側がPCなどにより従業者の集中度合いなどをモニタリングする事例が増えていますが、そのような事例はこの労安法104条との関係で違法とされる可能性があるのではないでしょうか。企業の人事・労務部門や法務部門の方々は今一度確認が必要なように思われます。

■関連するブログ記事


また、本資料12頁は裁判例が掲載されており、①企業が外回りの営業担当者にGPSシステムをつけさせたことが違法とされた事例(東京地判平24.5.31)、②受刑者を7か月にわたり天井に監視カメラのある独房に入れたことが違法とされた熊本刑務所の事例(福岡高判平31.2.21)、の概要が載っています。

さらに、本資料13頁は、①市営住宅の自治会の役員を決めるにあたり、知的障害者の方に自分の病状などを詳細に紙に書かせる等したことが違法とされた裁判例(大阪高判令4.9.2)、②会社の元役員を告訴しようとした従業員に対して人事担当者がその詳細を問いただしたことが違法とされた裁判例(東京地判令5.4.10)、の2つの裁判例が「代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方」に関する裁判例として掲載されていることが興味深いです。このような事例は、これまではあまり個人情報法制に関する問題とは考えられてこなかったと思われますが、個情委は個人情報保護に関する問題ととらえていることがうかがわれます。

本資料に先立つ、令和6年2月21日付の個情委の「個人情報保護法いわゆる3年ごと見直し規定に基づく検討項目」3頁では、個情委の委員の意見の一つに「本人同意があれば何でもよいということではなく、当事者の従属関係等も考慮して、実体的な権利利益保護の在り方を検討すべき」との意見が掲載されていますが、本資料の「代替困難な個人情報取扱事業者による個人情報の取扱いに係る規律の在り方」の部分は、このような個情委の問題意識を反映したものと考えられます。

PPCこれまでの主な意見
(個情委2024年2月21日付「個人情報保護法いわゆる3年ごと見直し規定に基づく検討項目」3頁より)

現状の日本の個人情報保護法においては、本人の同意さえあれば個人情報の目的外利用や第三者提供、要配慮個人情報の収集や第三者提供等が合法となっており、さらに「同意」についても口頭でもよく、さらに医療分野においては「黙示の同意」も許されるなどと非常にゆるい規律がなされているわけですが、次の個人情報保護法改正では、個人の権利利益保護のため、これらの部分の規律が強まるのかもしれません。

(2)代替困難と評価し得る者による個人情報の取扱いに関する海外における主な執行事例等
この部分においては、GoogleやFacebookなどの、本人同意のない個人データのターゲティング広告などへの利用などに対する各国のデータ保護当局による執行事例などが掲載されています(本資料14頁、15頁)。

(3)代替困難と評価し得る者による個人情報の取扱いに関連する個人情報保護法に基づくこれまでの行政上の対応
この部分については1ページを丸々使って2019年の就活生の内定辞退予測データに関するリクナビ事件を取り上げています。まさにAIとプロファイリング、そして個人関連情報や個人情報の不適正利用に関する重要な事件といえます(本資料16頁)。

PPC資料リクナビ事件
(本資料16頁)

■関連するブログ記事


4.不適正取得・不適正利用に係る規律の在り方

(1)不適正取得・不適正利用に係る個人情報保護法に基づくこれまでの行政上の対応
この部分においては、①破産者マップ事件、②名簿屋への個人情報の第三者提供に関する有限会社ビジネスプランニング事件、などが掲載されています(19頁)。

(2)個人情報の取扱いの適正性に関連する国内の主な他法令の規律(概要)
この部分については、①公益通報者保護法11条2項、②障害者差別解消法8条1項、③特定商取引法7条1項5号、などが掲載されています(20頁)。ただ、③についてはいわゆる適合性原則に関するものなので、金融商品取引法40条なども掲載したほうがよかったのではと思いました。

(3)個人情報の取扱いの適正性に関連する主な裁判例
この部分においては、①トランスジェンダーの方が経営する会社が会員制ゴルフクラブに入会しようとしたところ入会を拒否されたことは違法であるとされた裁判例(東京地判平27.7.1)、②東京医大など医学部不正入試事件(東京高判5.5.30)、などが掲載されています(21頁、22頁)。

これらの事件は、従来はあまり個人情報保護法制上の論点とはされていなかったと思われますが、「データによる個人の選別・差別」の問題ということはできます。近年、「関連性のないデータによる個人の選別・差別」が個人情報保護法(個人データ保護法)の趣旨・目的であるとする情報法制研究所の高木浩光氏などの学説が影響しているのかもしれません。

なお、本資料24頁には、アメリカ・イギリスにおける選挙・民主政との関係で大きな問題となった、ケンブリッジ・アナリティカ事件も掲載されています。

いずれにせよ、現状の不適正利用禁止の条文は抽象的で個情委としても執行しにくいと思われますが、つぎの個人情報保護法改正では、不適正利用禁止の条文をより具体化し、AIやプロファイリングの問題などに対して発動しやすくしていただきたいと思います。

5.個人関連情報の適正な取扱いに係る規律の在り方

「個人関連情報の取扱いに起因する個人の権利利益の侵害に関連する主な裁判例」(本資料27頁)の部分では、さいたま市の公立学校の体罰事故報告書の開示請求に関する裁判例(東京高判令4.9.15)などが掲載されています。報告書のなかの自己の状況などが非開示情報となるか否かが争点となっています。

PPC資料27頁
(本資料27頁)

個人関連情報の話とはややずれますが、この東京高判令4.9.15については、「「特定の個人を識別することはできないが、公にすることにより、なお個人の権利利益を害するおそれがあるもの」とは、本人の財産権等の正当な権利利益が害されるおそれのあるものや、個人の人格と密接に関連しており、当該個人がその流通をコントロールすることが可能であるべきであり、本人の同意なしに第三者に流通されることが適切でないものなどの社会通念上秘匿性の高い法的保護に値する情報をいう」と判示しているところ、下線部分が日本の憲法上のプライバシーの趣旨・目的の通説的立場である自己情報コントロール権的である点が興味深いと思いました。

■このブログ記事が面白かったらシェアやブックマークをお願いします!

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

めぶくpay概要
(前橋市サイトより)

1.はじめに

最近、Twitter(現X)でawakoyot様(@awakoyot)から、”前橋市が地域電子通貨「めぶくpay」の決済データを市政や民間ビジネスに利活用するとのことだが、このようなことは個人情報保護法等から大丈夫なのだろうか?”との趣旨のツイートとともに、東京新聞の記事(「「めぶくPAY」前橋市で始動 決済データを市政やビジネスに活用」(2024年1月13日))やめぶくpay等の利用規約・プライバシーポリシーなどを紹介いただいたので、興味深く読んでみました。

めぶくpay等の利用規約やプライバシーポリシーには「決済データを市政や民間ビジネスなどに利活用する」等とは明記されていませんが、めぶくpay等による決済データを市政や民間ビジネスなどに利活用することは個人情報保護法などから大丈夫なのでしょうか?

2.めぶくpay・めぶくID等の概要・利用規約・プライバシーポリシー

(1)上の東京新聞の記事などによると、前橋市の地域電子通貨「めぶくpay」は、同市と民間企業が共同出資した株式会社めぶくグラウンドが手掛ける共通ID「めぶくID」を利用した「めぶくアプリ」というデータ連携基盤を利用しているものであるそうです。めぶくIDは、マイナンバーカードによる本人確認を実施した上でスマートフォン上に実装されるデジタルIDであるそうです。そして同記事においては、「めぶくpayの決済データはめぶくグラウンド社という地域に残る前橋市独自の仕組みであり、このめぶくpayの決済データを統計処理して、同市の行政サービスや市内の民間ビジネスなどに利活用することができる」ことが強調されています。

そして、めぶくID・めぶくアプリというデータ連携基盤は、めぶくグラウンド社の「助け合い掲示板」「グッドグロウまえばし」「メブクラスまえばし」「my Allergy alert」という各種サービスとデータ連携しており、また今回のmy FinTech株式会社の運営する、めぶくpay等とデータ連携しているとのことです。このデータ連携基盤と各種サービスとの間においては、利用者が自分自身の個人データをどのサービス・事業者に提供・連携するか選択できるようになっているとのことです。

めぶくpay・めぶくIDなどの概要図

(2)この点、めぶくグラウンド社の利用規約およびプライバシーポリシーをみると、たしかに「当社は…本サービス中においてデータ連携サービスを提供しています。お客様はご自身の判断で個人情報を提供するか否かを決定することができます」等と規定されています(めぶくグラウンド社利用規約6条2項、同社プライバシーポリシー5条1項など)。また、個人情報の各種サービスへの第三者提供にあたっては、「当社が本サービス上等でお客様に事前通知する情報のみを提供し」ますと規定されています(同社利用規約6条5項)。さらにこのめぶくアプリ等によるデータ連携基盤と各種サービスとの個人データの提供は、委託や共同利用ではなく第三者提供であることが明記されています(同社プライバシーポリシー6条)。

めぶくID
(前橋市サイトより)

(3)つまり利用規約・プライバシーポリシーによると、めぶくアプリ・めぶくID・めぶくpayなどにおける個人データの取扱いはあくまでも利用者本人の同意に基づく個人データのやり取りであり、個人データの官民による利用等に関しては、原則として本人同意した利用者が責任を負うというスキームになっています。委託におけるいわゆる「委託の「混ぜるな危険」の問題」などの規制は適用されないことになります。

3.めぶくpayの決済データを市政や民間ビジネスに利活用することについて

(1)さらに、個人情報を元に作成された統計情報・統計データはそもそも個人情報に該当しないため(個情法2条1項1号、個人情報保護法ガイドラインQA1-17)、前橋市やめぶくグラウンド社およびmy FinTech社などが市政や民間ビジネスなどに、めぶくpayの決済データを「統計情報・統計データ」として利用する限りにおいては、少なくとも現状のゆるい日本の個人情報保護法上は違法ではなく、加えて統計情報・統計データを市政や民間ビジネスに利用する場合にはプライバシーポリシー等に記載して通知・公表することも不要ということになりそうです(個人情報保護法ガイドラインQA2-5)。

(2)しかし、いくら日本のゆるゆるな個人情報保護法がそのような取扱いを許容するとしても、前橋市などの地方自治体や同自治体が出資する準公的団体がそのような個人情報の取扱いを行うことは、道義的あるいは政治的に許容されるのでしょうか?

この点、前橋市の未来創造部未来政策課の担当者の方に私が電話にて質問したところ、

「めぶくpayの決済データを市政や民間ビジネスに利用することについては、技術的には可能だがまだ検討中の段階である。めぶくpayやめぶくアプリなどで取得された個人データを第三者提供することや、同データをプロファイリングすることについても技術的には可能だがまだ検討中の段階である。」


との趣旨のご回答をいただきました。

このご回答がもし正しければ、上であげた東京新聞の記事はやや「飛ばし記事」であるように思われます。

(3)なお、これがもし、めぶくグラウンド社・my FinTech社等が統計情報・統計データではなく、個人データとしての決済データをAIによるプロファイリングなどを行って、その結果を前橋市の市政や民間ビジネス等に利活用する場合には、「プロファイリングを実施してその結果を市政に利用している」等の事項をプライバシーポリシーの利用目的に記載する等して利用目的を特定し、通知・公表を行うことが必要です(個情法17条1項、21条1項、個情法ガイドライン通則編3-3-1※1、田中浩之ほか『AIプロファイリングの法律問題』43頁)。

4.まとめ

このように検討してみると、もしめぶくグラウンド社などがめぶくpayの決済データ等を統計データの形で市政や民間ビジネスなどに利用するのであれば、それはゆるいわが国の個人情報保護法や、めぶくグラウンド社などの利用規約・プライバシーポリシーなどとの関係では違法ではないという結論になりそうです。しかしこれも上述したとおり、前橋市の担当部署の担当者の方は、そのような取組みは「可能ではあるがまだ検討中」と回答しています。これが本当であれば、冒頭の東京新聞の記事はやや飛ばし記事なのではないかと思われます。

このブログ記事が面白かったらシェアやブックマークをお願いします!

■参考文献
・「めぶくPAY」前橋市で始動 決済データを市政やビジネスに活用|東京新聞
・安心・安全なデジタルID「めぶくID」を是非ご活用ください!|前橋市
・めぶくグラウンド社利用規約
・めぶくグラウンド社プライバシーポリシー
・my FinTech社プライバシーポリシー
・田中浩之ほか『AIプロファイリングの法律問題』43頁

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ