なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:宍戸常寿

20240717_163729
1.はじめに
2024年7月17日に一橋講堂で開催された、MyData Japan 2024の「George's Bar ~個人情報保護法3年ごと見直しに向けて~」を聴講したので、備忘録のメモをまとめたいと思います。(なお、間違いや漏れなどがありましたら私の責任です。)

2.加藤絵美先生(一般社団法人Consumer Rights Japan 理事長)の発表
・もともと個人情報保護法制は消費者庁の管轄であったが、消費者契約法2条3項が「消費者契約」の定義を置いているように、消費者団体の活動は、主に有償契約を念頭において行われており、個人情報保護への取組みは遅れている面があった。
・個人情報保護法の3年ごと見直しについて、経済界から課徴金と団体訴訟について「経済活動を萎縮させる」との批判が出ていることについては疑問に考えている。厳しい法律を守る企業が企業価値を高めて消費者から信頼されて成長できるのであるから、「萎縮」させるとの批判は当たらないと考えている。
・「プロ」の企業に対して消費者は「もっとも典型的な素人」である。

3.森亮二先生(英知法律事務所・弁護士)の発表
・個人情報保護法の3年ごと見直しの中間整理が発表されたので、それについていくつか述べたい。
・生体データの保護については概ね賛同。要配慮個人情報として取得には本人同意を必要とすべきである。
・Cookie、端末IDなどの個人関連情報については、個人データに含まれるものとして、安全管理措置等により保護がなされるべきである。
・団体訴訟について産業界から大きな批判が出ているが、団体訴訟による損害賠償は結果責任ではなく安全管理措置を尽くしていなかったという過失責任なのであるから、産業界が大きく批判することは当たらないと考える。
・また団体訴訟の差止については、違法行為が差止の対象となるだけなのであるから「萎縮」は問題とならない。それとも企業側は違法行為をやりたいと考えているのであろうか。
・課徴金制度については、破産者マップ事件などのように刑事司法がうまく機能していない事例があり、そのような事例へのよい対策となるのではないか。
・日本はプロファイリングへの法規制が少ない「プロファイリング天国」であり、プロファイリングへの法規制がなされるべき。プロファイリングによる要配慮個人情報の推知も、要配慮個人情報の取得として本人同意が必要とされるべき。中間整理ではプロファイリングが「その他」の部分に「引き続き検討」という趣旨で書かれているのは残念。

4.山本龍彦先生(慶応義塾大学教授)の発表
本年6月3日の個人情報保護委員会の有識者ヒアリングの際の資料をもとに発表したい。
・2016年のケンブリッジ・アナリティカ事件、最近のイスラエルの軍事AI「ラベンダー」など、プロファイリングの問題は個人情報保護の本丸である。
・個人情報保護法20条2項は要配慮個人情報の取得については本人同意を必要としているが、プロファイリングによる要配慮個人情報の「推知」、すなわち要配慮個人情報の迂回的取得は法規制が存在しない。これでは本人同意は面倒だと、事業者はプロファイリングによる推知を利用してしまう。
・世界的には、EUのGDPR21条等はプロファイリングに異議を述べる権利を定め、同22条は完全自動意思決定に服さない権利を規定している。またアメリカのいくつかの州も同様の法規制を置いている。
・このように世界的な法規制の動向をみると、日本もプロファイリングの要配慮個人情報の「推知」を要配慮個人情報の「取得」として法規制すべきである。すなわち、本人同意または本人関与の仕組みを導入すべきである。
・ダークパターンについても、個人の自由な意思決定を阻害しており、法規制を行うべきである。
・Cookie、端末情報などの個人関連情報も、本人の意思決定に働きかけることができるのであるから、本人同意または本人関与の仕組みが必要である。
・生体データについても、本人同意または本人関与の仕組みが必要である。
・なお、3年ごと見直しについては経済界から「経済活動が萎縮する」との強い批判がなされているが、法律を守らないならトラストが築かれず、むしろ消費者の側に萎縮が発生し、それはビジネスに不利に働くのではないだろうか。
・最後に、個人情報保護法3条について。政府の「個人情報の保護に関する基本方針」は「個人の人格を尊重」の部分について憲法13条およびプライバシーに言及している。つまり、個人情報保護法は憲法具体化法である。

5.司会の宍戸常寿先生(東京大学教授)と3先生でディスカッション
宍戸先生)今回の講演会にあたり、①個情法と消費者法、②AI時代の個情法、③企業から見た個情法の規制強化、④3年ごと見直しの在り方・言語、の4つのテーマがあるのではないかと思っている。まず、①について加藤先生からコメントをいただけないだろうか。
加藤先生)個情法はもともと消費者庁の管轄だった。しかし消費者団体は個人情報保護の問題にあまりうまく対応できていない。個人情報保護の問題は、事業者と消費者の非対称性、格差の問題が大きな問題であると考えている。個人情報保護について、消費者のエンパワーメントが必要であるが、しかしパターナリズムに陥ってはまずいと思っている。
宍戸先生)話が少しずれるが、消費者法と個情法の問題と同時に、労働者と個情法の問題も非常に重要であると思っている。最近、日本を代表する企業で個人情報の漏えいが起きているが、従業員の個人情報が漏えい等することも非常に大きな問題である。労働者は企業のなかで個人情報について自由に意思決定できない。そのため、企業がそのかわりに決めてやるというパターナリズムな状況が生まれている。最近、山本健人先生などが「デジタル立憲主義」すなわり、立憲主義を企業にもおよぼそうという考え方を論じておられるが、示唆に富むと考えている。

宍戸先生)つぎに②の「AI時代の個情法」について、山本先生からコメントをいただきたい。
山本先生)最近、私は「個人界」・「集合界」という考え方を唱えているが、生成AIは基本的には集合界に属する問題であると考えている。ただし、EUのAI法5条にあるような、「精神的・身体的な害を生じさせる態様で対象者などの行動を実質的に歪めるため、対象者の意識を超えたサブリミナルな技法を展開する」などの生成AIについては個人界に関する問題であるとして、法規制が必要であると考えている。

宍戸先生)つぎに③の「企業から見た個情法の規制強化」について、森先生からコメントをいただきたい。
森先生)経済界は団体訴訟などに強く反対しているが、かりに規制緩和で個情法を緩和する、あるいは個情法やPPCを廃止したとしても、日本から司法を廃止することは不可能なので、裁判によって差止や損害賠償を命じられることは無くならない。その点を経済界はよく考えるべきなのではないか。
山本先生)こういった場なので比喩的に言うと、企業は遊びたい、勉強したくないとだだをこねている小さな子どものように思える。たしかに親としては短期的に考えれば子どもがうるさくないので遊ばせたほうがいいのかもしれない、しかし長期的に考えればそれでいいのか。同様に、個人情報保護を遵守したくない、もう勉強したくないと言っている経済界に対して、政治家や行政はどう対応すべきなのか。長期的に考えれば、遊ばせる、勉強させないではない方向が必要なのではないか。

なお、この講演会の最後は観客席からの質問・意見の時間であり、明治大学の横田明美先生や、情報法制研究所の高木浩光先生などから質問・意見が出されましたが割愛します。

■関連するブログ記事

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

dai_byouin2

1.4月3日の個人情報保護委員会の議論

個人情報保護委員会では現在、個人情報保護法の「いわゆる3年ごと見直し規定に基づく検討」、つまり次の個人情報保護法改正に向けた検討が行われています。そして2024年4月3日の同委員会では、AIと医療関係に関する有識者ヒアリングが行われたそうです。

・第279回個人情報保護委員会|個人情報保護委員会

そして同委員会では、医療データの取扱いについて患者の本人の同意を原則不要とする方向の議論が行われたようですが、私個人はこの方向性に反対です。

すなわち、4月3日の個人情報保護委員会の有識者ヒアリングにおける森田朗・名誉教授の資料「医療情報の利活用の促進と個人情報保護」には、医療関係において一時利用(=治療)の場合の患者の本人の同意を不要とし、二次利用(=製薬会社やIT企業などによる二次利用)の場合にも本人の同意を不要とする(ただしオプトアウトについては要検討)となっています。

森田氏資料の図
(4月3日の個人情報保護委員会資料より)

現行の個人情報保護法は目的外利用の場合、第三者提供の場合、要配慮個人情報の取得の場合、には本人の同意が必要と規定しています(法18条、20条2項、27条1項)。また、厚労省・個人情報保護委員会の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」も、これらの場合には患者の「黙示の同意」が必要であるとしています。そのため、現在、個情委など政府で議論されていることは、仮に実現した場合、従来の個人情報保護法制の基本的なルールの大きな転換をもたらすものです。

2.プライバシーや個人情報保護法(個人データ保護法)の趣旨・目的

憲法・情報法学上、学説や下級審判例においては、プライバシーや個人情報保護法(個人データ保護法)の趣旨・目的を「個人の私生活上の事項の秘匿の権利を超えて、より積極的に公権力による個人情報の管理システムに対して、個人に開示請求、修正・削除請求、利用停止請求といった権利行使が認められるべきである」とする自己情報コントロール権(情報自己決定権)説が学説上の通説とされています。

近年、曽我部真裕教授、音無知展教授などによる「自己の情報を適切に取扱われる権利」説が有力に唱えられ、また情報技術者の高木浩光氏の「関連性のないデータによる個人の選別を防止する権利」説なども主張されていますが、現状では自己情報コントロール権(情報自己決定権)説が学説上の通説であると思われます(渡辺康行・宍戸常寿・松本和彦・工藤達朗『憲法Ⅰ基本権』120頁、曽我部真裕など『情報法概説 第2版』209頁、宍戸常寿等『憲法学読本』93頁、村上康二郎「情報プライバシー権の類型化に向けた一考察」(2023年12月)など)。

「自己の情報を適切に取扱われる権利」説からは、個人の個人情報・個人データが官民の情報システムで「適切」に取扱われている限りは、個人の側は官民の情報システムの管理者・運営者に対して何も言えないことになってしまいますが、自己情報コントロール権説からは、個人の人格的自律や自己決定権の観点から情報システムの管理者に対して自己の情報に対して申出ができることになります。日本が個人の人格的自律を基本とする自由主義・民主主義国家(憲法1条、13条)である以上、現状では自己情報コントロール権説(または自己情報コントロール権と「自己の情報を適切に取扱われる権利」との折衷説(村上康二郎))が現状では妥当であるように思われます。

そして自己情報コントロール権説からは、個人情報保護法が目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合において、事業者や行政機関等が患者などの本人の同意を取得することが必要と規定されていることは当然のことと考えられます。

そのため、この目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合に本人の同意の取得を不要とする森田朗名誉教授などの主張は自己情報コントロール権説に反し、つまり個人情報保護法(個人データ保護法)の趣旨・目的に反していることになります。

また、法律論を離れても、たとえば4月3日の個人情報保護委員会の有識者ヒアリングでは、横野恵准教授の「医療・医学系研究における個人情報の保護と利活用」との資料13頁の「ゲノムデータの利活用と信頼」においては、一般大衆の考えとして、ゲノムデータの利活用に関する「信頼の醸成に寄与する要素」の2番目に「オプトアウト制度」があがっています(“Public Attitudes for Genomic Policy Brief: Trust and Trustworthiness.” )。

横田氏資料
(4月3日の個人情報保護委員会資料より)

したがって、医療データの利用等に関して、患者の本人の同意やオプトアウト制度を廃止する考え方は、一般国民の支持を得られないのではないでしょうか。

3.すべての国民個人は医療に貢献すべきなのか?

森田名誉教授など、医療データの製薬会社やIT企業などによる利活用を推進する立場の人々は、「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」との考え方を前提としているように思われます。

たしかに患者が医療に貢献することは一般論としては「善」かもしれません。しかし上でも見たように、日本は個人の自由意思を原則とする自由主義・民主主義国です(憲法1条、13条)。患者個人が医療や社会に貢献すべきか否かは個人のモラルにゆだねるべき問題であり、ことさら法律で強制する問題ではないはずです。すなわち、患者の医療への貢献などは、自由主義社会においては自由な討論・議論によって検討されるべきものであり、最終的には個人の内心や自己決定にゆだねられるべきものです(憲法19条、13条)。

「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」「そのような考え方を個人情報保護法の改正や新法を制定し、国民に強制すべきだ」との考え方は、中国やロシアなど全体主義・国家主義国家の考え方であり、自由主義・民主主義国家の日本にはなじまないものではないでしょうか。

また、患者の疾病・傷害にはさまざまなものがあります。風邪などの軽い疾病のデータについては、製薬会社などに提供することを拒む国民は少ないかもしれません。しかし、がんやHIVなど社会的差別のおそれのある疾病や、精神疾患など患者個人の内心にもかかわる疾病など、疾病・傷害にはさまざまな種類があります。それをすべて統一的に本人同意を不要とする政府の議論は乱暴なのではないでしょうか。

4.まとめ

したがって、憲法の立憲主義に係る基本的な考え方からも、医療データの一時利用・二次利用について患者の本人の同意を原則として不要とする議論は、個人情報保護法の趣旨・目的に反しているだけでなく、わが国の憲法の趣旨にも反しているのではないでしょうか。以上のような理由から、私は医療データの一時利用・二次利用について患者の本人の同意を原則として不要とする個人情報保護委員会や政府の議論には反対です。

このブログ記事が面白かったらシェアやブックマークをお願いします!

■関連するブログ記事
・政府の検討会議で健康・医療データについて患者の本人同意なしに二次利用を認める方向で検討がなされていることに反対する

■参考文献
・渡辺康行・宍戸常寿・松本和彦・工藤達朗『憲法Ⅰ基本権』120頁
・宍戸常寿など『憲法学読本』93頁
・曽我部真裕など『情報法概説 第2版』209頁
・駒村圭吾『Liberty2.0』187頁(成原慧執筆)
・村上康二郎「情報プライバシー権の類型化に向けた一考察」(2023年12月)

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

1634668211929

1.LINEの個人情報・通信の秘密に関する不祥事が発覚
2021年10月18日に、LINEの個人情報の事件に関するZホールディングスの有識者委員会の最終報告書が公表されました。

・「グローバルなデータガバナンスに関する特別委員会」最終報告書受領および今後のグループガバナンス強化について|Zホールディングス

朝日新聞の編集委員の峰村健司氏などによる2021年3月17日付のスクープ報道により、通信アプリ大手LINE(国内の月間利用者約8900万人・2021年9月現在)を運営するLINE社が、中国の関連会社にシステム開発やユーザーから通報を受けた投稿等に問題がないかどうかのチェックなどの業務を委託し、中国関連会社の技術者らが日本のLINEのサーバーの個人情報にアクセスすることができる状態にあったことや、日本のユーザーの画像データ、動画データなどのすべての個人データがLINE社の韓国の関連会社のサーバーに保存されていることが発覚し、LINE社とその親会社のZホールディングス社には大きな社会的非難が起きました。
・【独自】LINEの個人情報管理に不備 中国の委託先が接続可能|朝日新聞

■参考
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた

このLINEの事件に関しては、日本の約8900万人の個人データが中国の関連会社からアクセス可能であったことや、日本のユーザーの膨大な個人データが韓国の関連会社のサーバーに保管されていたこと等が、国民の個人情報保護やプライバシー保護の問題だけでなく、政府与党の要人や大企業の経営陣などの挙動が海外に密かに知られてしまうリスクや、国家の機密や大企業などの営業秘密などが海外に漏洩してしまうリスクとして、「経済安全保障」という新しいリスクとして社会的な大きな注目を集めました。

このLINEの事件を受けて総務省など国の官庁や多くの自治体は、LINEを利用した行政サービスを中止する事態となりました。

このLINE事件に関しては4月23日付で個人情報保護委員会がLINE社に対して行政指導を実施し、4月26日付で総務省がLINE社に行政指導を実施しました。また、個人情報保護委員会・総務省・金融庁・内閣官房は4月30日付で、「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」を制定・公表しました。しかし個人情報保護委員会はプレスリリースで、現在もLINE社に対する調査は続行中であることを公表していました。
・個人情報の保護に関する法律に基づく行政上の対応について(LINE株式会社・令和3年4月23日)|個人情報保護委員会
・LINE株式会社に対する指導|総務省
・「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」の公表について|金融庁

これに対してZホールディングス社はLINEの問題に関する有識者による調査委員会(「グローバルなデータガバナンスに関する特別委員会」、座長・宍戸常寿・東大教授(憲法・情報法))を設置し、調査を開始し、6月11日付で第一次報告書を公表しました。
・LINEの個人情報事件に関する有識者委員会の第一次報告書をZホールディンクスが公表

2.最終報告書
その後、2021年10月18日付でZホールディングス社の有識者委員会はLINEの事件に関する最終報告書を公表し、また同日、有識者委員会は座長の宍戸教授と川口洋委員(株式会社川口設計代表取締役)が記者会見を行いました。

・「グローバルなデータガバナンスに関する特別委員会」最終報告|Zホールディングス

このブログでは、LINEの個人情報などに関する不祥事について何回か取り上げてきましたが、本ブログ記事では、この最終報告書を簡単にみてみたいと思います。

3.中国の関連会社について
本最終報告書20頁以下を読むと、LINE社の情報セキュリティ部門は、外部の法律事務所に委託して中国のリーガルリスクの検討を行っていたが、2015年頃に中国向けアプリサービスを中止したことを受け、法律事務所に委託して中国のリーガルリスクを検討することが中断したとされています。そのため、「中国の国民や法人は中国政府の情報活動に協力する法的義務がある」(中国国家情報法7条)との規定がある2017年に中国で制定された中国国家情報法のリーガルチェックがLINE社において会社組織として漏れていたとされています(本最終報告書20頁)。

ライン2
(Zホールディングス社サイトより)

また、本最終報告書によると、有識者委員会の技術部会がログなどから調査を行ったところ、中国の関連会社の職員によるシステムの保守・開発や通報を受けたメッセージや画像などの確認のために、日本のサーバーにアクセスした件数は、2021年3月23日にLINE社が行った個人情報保護委員会及び総務省への報告においては、LINEアプリのトークに関して通報されたメッセージに係る情報を閲覧し得る権限によるアクセスについては132件、そのうちLINEアプリのトークに関して通報されたメッセージの内容を直接閲覧できるURLへのアクセスは32件としていたところ、その後の調査で、LINE社は、LINEアプリのトークに関して通報されたメッセージに係る情報を閲覧し得る権限によるアクセスについては132件から139件に、LINEアプリのトークに関して通報されたメッセージの内容を直接閲覧できるページ(URL)へのアクセスについては32件から35件が確認されたとしています(本最終報告書24頁注18)。

ただし、ログは一部しか保管がされていなかったことや、ページ(URL)へのアクセスのログはあっても、そのアクセスで具体的にどのような操作を行ったかのログは残っていないこと等も、本最終報告書には記載されており(本最終報告書24頁)、これらのアクセスの数字がどこまで正確なのか不明であり、また中国関連会社の職員等が具体的にアクセスしたメッセージに対して中国当局の諜報活動に協力する等のために当該メッセージをコピー等して別の端末などに保存した等の行為があったか否かについては不明のままです。

また、法律事務所などによる詳細なリーガルチェックは中断していたものの、その期間中もLINE社の情報セキュリティ部門は、「中国に関するサイバーセキュリティリスクとして、例えば、Huaweiに代表される中国企業の製品利用に関わるリスクや、中国のハッカー集団による攻撃リスク等、中国企業や政府に絡んだサイバー攻撃のリスクを認識し、分析・対応」しており、中国にはサイバーセキュリティリスクがある旨を経営陣に報告していたが、経営陣はそのような中国のセキュリティリスクを経営上の課題として適切に取り上げ、対応をしていなかったと本報告書は記述しています(本最終報告書24頁)。

ところが、本最終報告書は、技術部会によるログのチェックなどから、「これらは、開発及び保守プロセスにおける正規の作業であるということが確認された。このことから、技術検証部会におけるこれらの調査による限り、調査対象期間(2020年3月19日から2021年3月19日)において、LINE China社から外部の組織に対して、LMPに関する情報の漏えいは認められなかった。」(本最終報告書24頁)との、「情報漏洩は発生していない」との結論を導き出していますが、これは不祥事に対する有識者委員会の報告書としてあまり正しくないのではないでしょうか。

ライン24
(Zホールディングス社サイトより)

ただし、情報セキュリティ部門からの中国のセキュリティ上のリスクの報告があったにもかかわらず経営陣が適切な対応をとらなかったことに関して、本最終報告書は「このように経営陣がLINE社に求められるガバメントアクセスのリスクの検討やそれへの対応を怠ったと考えられ、結果、通信内容である送受信されたテキスト、画像、動画及びファイル(PDFなど)のうち、ユーザーから通報されたものについて、個人情報保護法制が著しく異なる中国の委託先企業からの継続的なアクセスを許容していたことは、極めて不適切であったと、本委員会は判断する。」(本最終報告書26頁)としていることは正当な評価であると思われます。

この点、中国の国家情報法については、制定された2017年前後においては、日本のマスメディアなどもこれを大きく取り上げ、同法7条により中国の個人・法人が中国当局の諜報活動・情報活動に協力する義務があることは国・大企業の役職員などにおいて公知の事柄であったにもかかわらず、かつ、社内の情報セキュリティ部門からの報告・進言があったにもかかわらず、LINE社の経営陣がLINEのシステムの保守・開発や通報のあったメッセージなどの監視・モニタリングなどの業務の委託を中国関連会社に漫然と継続し、中国関連会社からの日本のサーバーへのアクセス権の見直しなどの対応を実施していなかったことは、LINE社の個人情報取扱事業者としての安全管理措置(個人情報保護法20条)や、委託先の監督(同法22条)の明確な違反であると思われます。

個人情報保護法

(安全管理措置)
第20条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

(委託先の監督)
第22条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

つまり、個人情報保護委員会の「個人情報保護法ガイドライン(通則編)」「8(別添)講ずべき安全管理措置の内容」「8-3 組織的安全管理措置」は、「(5)取扱状況の把握及び安全管理措置の見直し」として「個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。」と規定しています。

83組織的安全管理措置
(個人情報保護委員会「個人情報保護法ガイドライン(通則編)8-3 組織的安全管理措置」より)

また、同ガイドラインの「8-6 技術的安全管理措置」「(1)アクセス制御」として「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない。」と規定しており、LINE社の経営陣はこれらの安全管理措置を完全に怠っているからです。

84技術的安全管理措置
(個人情報保護委員会「個人情報保護法ガイドライン(通則編)8-6 技術的的安全管理措置」より)

4.韓国の関連会社について
また有識者委員会の第一次報告書でも、LINE社は日本の国・自治体に対して、「LINEの個人情報を扱う主要なサーバーは日本国内にある」との虚偽の説明を2013年、2015年、2018年の3回実施していたことを公表しましたが、今回の最終報告書も同様の記述をしています。

LINE社の公共政策・政策渉外部門の担当者達「「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』旨の説明を国・自治体にしていたとされています。

しかしその理由について、本最終報告書は「本委員会による調査の範囲においては、公共政策・政策渉外部門の役職者が、上記の説明に反して、LINEアプリの画像や動画、ファイル(PDFなど)が韓国に保管されている事実を認識していたことを示す事実は確認されなかった」という不可解な結論を本文で示しています(本最終報告書46頁)。

しかし本最終報告書は同時に、脚注部分で、「公共政策・政策渉外部門の役職者のみが韓国サーバーに個人データが保存されていることを知らなかったとは考え難い」との委員の反対意見を付記しています(本最終報告書46頁注35)。

また、有識者委員会は、公共政策・政策渉外部門の役職者達「「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』」旨の説明を国・自治体にしていたことの理由をLINE社の経営陣にヒアリングしたところ、出澤代表取締役社長CEO(ChiefExecutiveOfficer)をはじめとするLINE社の経営陣(取締役)は、いずれも画像、動画及びファイル(PDFなど)は韓国で保管されていると認識していた一方、このような説明が行われていた事実を認識していなかったと説明した。このほか、本委員会による調査の範囲においては、LINE社の経営陣が公共政策・政策渉外部門の役職員が当該説明を行っていたことについて関与した事実は認められなかった。と本文では結論づけられてしまっています(本最終報告書47頁)。

しかしこの点に関しても、本最終報告者は脚注部分で、「本委員会では、本文の結論に対し、以下のとおり反対意見があった。公共政策・政策渉外部門の役職員による「日本に閉じている」との説明は、本文記載のとおり、地方公共団体、中央省庁、政党等の公的機関に対し繰り返してなされたものであり、本委員会の委員の中にも直接これを耳にしたことがある者が複数名存在した。「日本に閉じている」という説明は、まさに公然と繰り返されていたと評価しうるのである。それにもかかわらず、LINE社の上級役員らがこの説明のことを知らなかったとは、およそ信じがたいところである。むしろ、上級役員らはこの説明を知っており、上級役員らの「韓国色を隠す」という意向・方針に沿ってこのような説明が繰り返されたと考えるのが自然である。との委員からの反対意見を付加しています(本最終報告書47頁注37)。

ライン47
(本最終報告書47頁注37より)

これは、ここ最近の10年、20年の日韓関係が冷え込んでいる状況から、LINE社が、LINEがもともと韓国のものであるという「韓国色」を明確にすると、日本の利用者・ユーザーからの不評を買い、LINEサービス利用の低下などの風評リスクが発生することを恐れたLINE社の経営陣や役職員達が、「韓国色隠し」を全社的に行っていた結果、日本の国・自治体や一般国民や企業などへの説明も、「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』」という趣旨の虚偽のものになってしまったと考えるのが自然なのではないでしょうか。

本最終報告書がこのように切り込み不足・踏み込み不足で、結果としてLINE社やZホールディングス社に有利となるような結論ばかりが目につくのは、この報告書のための調査や作成を行った委員会は外部の弁護士などによる第三者委員会ではなく、あくまでも有識者委員会であることの限界なのではないでしょうか。

現に、本有識者委員会の座長の宍戸常寿教授は、LINE社の傘下団体である一般財団法人 情報法制研究所(JILIS)参与であり、この有識者委員会の報告書は自然とLINE社やZホールディングスに忖度した内容となってしまっているのではないでしょうか。
・メンバー紹介|情報法制研究所

(なお、このように特定のIT企業と関係の深い情報法制研究所に、日本の著名な情報法や情報セキュリティの学者・研究者の先生方のほとんどが所属しておられる状況は、日本の情報法学の健全な発展や学問の自由(憲法23条)を阻害しないのか懸念が残ります。)

いずれにせよ、上でみた、中国の国家情報法によるセキュリティ上のリスクへの対応を漫然と放置していたことや、日本の国・自治体や国民・法人・ユーザーに対して「韓国色隠し」の虚偽の説明を行っていたこと等について、LINE社の出澤剛社長をはじめとする経営陣は今後、取締役の善管注意義務・忠実義務などの法的責任経営責任について、株主代表訴訟なども含めて、会社や株主、ユーザー・利用者、監督官庁・国民などから厳しく責任を追及されるのは必至であろうと思われます。(会社法355条、423条、429条、847条、民法644条など、江頭憲治郎『株式会社法 第7版』434頁、469頁)。

会社法
(忠実義務)
第355条 取締役は、法令及び定款並びに株主総会の決議を遵守し、株式会社のため忠実にその職務を行わなければならない。

(役員等の株式会社に対する損害賠償責任)
第423条 取締役、会計参与、監査役、執行役又は会計監査人(以下この章において「役員等」という。)は、その任務を怠ったときは、株式会社に対し、これによって生じた損害を賠償する責任を負う。

民法
(受任者の注意義務)
第644条 受任者は、委任の本旨に従い、善良な管理者の注意をもって、委任事務を処理する義務を負う。

5.LINEpayの問題
さらに、LINEpayについては、LINE社は資金決済法39条に基づき、資金移動業を行うための申請書類として、商号及び住所、資本金の額、「資金移動業の一部を第三者に委託する場合にあっては、当該委託に係る業務の内容並びにその委託先の氏名又は商号若しくは名称及び住所」(同法38条1項9号)などを金融庁・財務局に申請し、金融庁・財務局は登録簿(資金移動業者登録簿)に登録する必要があるところ、LINE社は韓国、台湾及びタイの子会社にも資金移動業を委託していたにもかかわらずその申請を怠っており、金融庁の登録簿と現実に齟齬が発生していたことが本最終報告書では明らかにされています(本最終報告書70頁)。

キャッシュレス決済の資金移動業という金融機関の業務に関する申請書類において、金融庁への申請漏れがあったということは、金融業としては重大なミスであり、金融庁・財務局はヒアリングや報告徴求立入検査などを実施し(資金決済法54条)、業務改善命令(同55条)などの行政処分をLINE社に対して発出すべき事態ではないでしょうか(堀天子『実務解説 資金決済法 第3版』160頁、167頁、177頁)。

こういったところにも、LINE社がベンチャー企業として急成長した企業にありがちなように、利益の追求や業務の拡大には熱心な一方で、コンプライアンスガバナンスなどをおろそかにしている傾向がみられます。

6.LINEヘルスケア・LINEドクターなどの問題
本年3月には、LINE社は韓国の関連会社のサーバーに保管されている日本のユーザーの画像データ・動画データなどの個人データを日本のサーバーに移動させる方針を発表しました。この点に関して、本最終報告書はおおむね予定通り進んでいるとしています(本最終報告書27頁)。

しかし、LINEヘルスケア・LINEドクターに関して本最終報告書を読んでみると、LINEヘルスケア・LINEドクター等に関連する決済関係の情報(医療機関名称、所在地、担当者氏名、決済情報等)が、現在でも、韓国のLINEグループの財務情報システムに保存されており、このデータに関しては日本に移転するか否か検討中となっています(本最終報告書71頁、72頁)。

ライン72
(Zホールディングス社サイトより)

医療に関連するデータがまだ韓国の関連会社のサーバーに残っていて、しかもLINE社は当該データを日本に移転させるか否か検討中としている点については、医療データはセンシティブな個人情報であることに鑑み、厚労省や個人情報保護委員会は、これらのデータも日本に移転させるように行政指導などを実施すべきではないでしょうか。

欧州のGDPR(EU一般データ保護規則)などでは、医療データ・健康データや生体データなど「特別カテゴリーの個人データ」(GDPR9条)として厳格な取扱いが要求され、クレジットカードなどの金融関連のデータ個人データの取扱の安全性を規定するGDPR32条により厳格な取扱いが要求されます。

これに対して日本は、平成27年の個人情報保護法の改正で思想・信条や病歴、犯罪歴などに関する「要配慮個人情報」(法2条3項)という用語を新設しました。しかし、最近のJR東日本の防犯カメラ・顔認証技術による犯罪歴のある人物や不審者などの監視の問題などに見れれるように、日本は医療データや金融データなどのセンシティブな個人データの企業などによる取扱に関して中央官庁の対応が非常に甘すぎるのではないかと強く懸念されます。

7.虚偽の報告の罰則の可能性?
今回の最終報告書では、中国などの委託先企業からのアクセス件数がこれまでの報告書よりさらに増加したことや、LINE社の出澤社長ら経営陣が「日本の個人データは日本にある」との国・自治体や国民・法人への3回の虚偽の説明に関して「関与していない」等と主張してる件などについて、個人情報保護法85条は、個人情報保護委員会が報告徴求や立入検査をした場合(法40条)に事業者が虚偽の報告や検査忌避などをした場合の罰則を規定しているところ、この罰則が発動されるのか個人的には気になるところです。

LINE社内のコンプライアンスやガバナンスが極めて低いレベルであることから、個人情報保護委員会による追加の報告徴求・立入検査や、追加の行政指導等は必至と思われますし、金融庁や厚労省等も少しは行政指導・行政処分を実施すべきではないかと一般国民としては考えます。

8.「通信の秘密」について
なお、本最終報告書も個人情報保護法や情報セキュリティに関する検討がほとんどで、憲法21条2項が明記し、電気通信事業法4条や同179条が罰則付きで明示する「通信の秘密」に関して、有識者委員会がほとんど検討を行っていないことが気になります。座長の宍戸教授などをはじめ、憲法・情報法の専門家の先生方が委員を務めておられるにもかかわらずです。

日本国憲法
第21条 集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。
 検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。

電気通信事業法
(秘密の保護)
第4条 電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。
 電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。

【追記】 LINE社は、総務省に届出を行い通信事業を行っている電気通信事業者です(届出番号A-20-9913)。そのためLINE社は電気通信事業法が定める「通信の秘密」(法4条)などを遵守する義務を負っています。)

電気通信事業法4条の「通信の秘密」には、通信の内容や本文が保護対象となるのは当然として、宛先や差出人、通信をした年月日、通信の有無、電子メールやネットなどの場合にはヘッダー情報、メタデータなどの通信の外形的な事項も含まれるとされています。そして「通信の秘密」については、「緊急避難」、「正当業務行為」あるいは利用者の「本人の同意」などがあった場合には、通信の秘密侵害は例外的に許容されるとされています(曽我部真裕・林秀弥・栗田昌裕『情報法概説 第2版』53頁、大阪高裁昭和41年2月26日判決、實原隆志『新・判例ハンドブック 情報法』(宍戸常寿編)140頁)。

しかし、今回のLINEの事件については、中国の関連会社が日本のサーバーにアクセス可能であったことや、日本のユーザーの画像データ・動画データなどのすべてが韓国のサーバーに保存されていたこと等は、緊急避難、正当業務行為、本人の同意、のいずれにも該当せず、やはりLINE社の日本のユーザーの情報の雑然とした取扱いは、個人情報保護法上問題となるだけでなく、電気通信事業法の観点からも違法となり罰則などが適用されるべき状況なのではないでしょうか。

ところが、総務省が2021年4月26日付で行ったLINE社に対する行政指導においては、個人情報保護法上の安全管理措置や情報セキュリティなどに関する指導が行われている一方で、「通信の秘密」に関しては何故かほとんどスルーされています。
・LINEの通信の秘密の問題に対して総務省が行政指導を実施

総務省は、2021年9月30日にはインターネットイニシアティブ(IIJ)に対しては、通信の秘密侵害があったとして行政指導を実施していますが、LINE社に対しては通信の秘密侵害について行政指導等を実施しないことは、行政の公平性・中立性(憲法15条2項、国家公務員法96条1項)が害される不公平な状況なのではないでしょうか。
・株式会社インターネットイニシアティブに対する通信の秘密の保護及び個人情報の適正な管理に係る措置(指導)|総務省

(なお、本最終報告書はその他にも、警察等からの照会へのLINE社の対応や、LINE社と情報法制研究所(JILIS)との関係などについても調査・検討しているのは興味深いものがあります。)

面白かったらブックマークなどをお願いします!

■参考文献
・岡村久道『個人情報保護法 第3版』87頁、218頁、220頁、227頁
・曽我部真裕・林秀弥・栗田昌裕『情報法概説 第2版』53頁
・實原隆志『新・判例ハンドブック 情報法』(宍戸常寿編)140頁
・小向太郎・石井夏生利『概説GDPR』64頁、105頁
・江頭憲治郎『株式会社法 第7版』434頁、469頁
・堀天子『実務解説 資金決済法 第3版』160頁、167頁、177頁

■関連する記事
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・LINEの個人情報事件に関する有識者委員会の第一次報告書をZホールディンクスが公表
・LINEの通信の秘密の問題に対して総務省が行政指導を実施
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・「幸福追求権は基本的人権ではない」/香川県ゲーム規制条例訴訟の香川県側の主張が憲法的にひどいことを考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」

































このエントリーをはてなブックマークに追加 mixiチェック

LINE
6月11日、ZホールディングスLINEの個人情報事件に関する有識者委員会(座長・宍戸常寿教授)第一次報告書の概要をサイトで公表しました。

・「グローバルなデータガバナンスに関する特別委員会」第一次報告受領について|Zホールディングス

この報告書の概要を大まかにみると、まず、「LINEの主要な個人情報は主に日本のサーバーに保管されている」とLINE社2013年、2015年、2018年の3回、日本の国・自治体関係者に説明していた点が報告書にありますが、これはやはり、非常に不適切だと思われます。

なおこの点、個人情報保護法40条は、個人情報保護委員会は事業者に対して報告を求め、また立入検査をすることができると規定していますが、この報告に虚偽があった場合や検査忌避があった場合などは罰則(両罰規定)が科されると規定されています(法85条)。

また、個人情報保護委員会だけでなく、総務省もLINE社に対して報告徴求などを実施していますが、電気通信事業法169条も虚偽の報告などに対して罰則規定を置いています。さらに金融庁もLINE社に報告徴求などを実施していますが、例えばQRコード決済などに関する資金決済法も、報告徴求に対する事業者の虚偽の報告などに対して罰則規定をおいています(法112条7号、8号)。

これらの罰則規定が今後、LINE社などに対して適用されるのか、大いに気になるところです。

また、LINE社の話を鵜呑みにしていた国・自治体側も、個人情報保護法制や、国の安全保障あるいは経済安全保障の観点から非常に問題があるのではないでしょうか。

LINE報告書01

この点、例えば行政機関個人情報保護法6条は、行政機関は「保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の適切な管理のために必要な措置を講じなければならない」と規定しています(安全確保措置)。

また、これも例えば総務省の「総務省の保有する個人情報等の適切な管理のための措置に関する訓令 」(総務省訓令第54号)38条は、業務委託について、適切な安全確保措置が実施できる事業者を書面などを求めて選定すること(1項)、目的外利用の禁止や秘密保持条項、再委託の制限、個人情報漏洩事故があった場合の対応などを盛り込んだ契約書による業務委託契約を締結すること(2項)、少なくとも年1回の委託先への実地検査を実施すること(3項)等などを規定しています。

しかし、LINEを情報提供サービスなどのために利用していた総務省や、各自治体は、LINE社としっかり業務委託契約書を締結し、年1回以上のLINE社への実地検査などを法令に基づいて実施していたのでしょうか?大いに疑問です。

つぎに、3月の朝日新聞等の報道を受けて、LINE社はプレスリリースを公表し、2021年6月までに韓国サーバーに保管されている画像・動画などの個人データを日本のサーバーに移動させる等と発表しました。

しかし、この点についても、さまざまな個人データの日本への移動が、LINE社のリリースに示されたスケジュールに対して遅延していることが明らかにされています。この点を、本報告書は「ユーザーファーストの意識が欠けている」と指摘しています。
LINE報告書02

この点は、新興のIT企業であるLINE社およびZホールディングスは、「ユーザー・顧客との約束を守ろうという意識」、ユーザー・顧客への説明責任や、>ガバナンスコンプライアンスの意識が企業として極めて低いのではないでしょうか。Yahoo!Japan社も、2004年の450万人分の個人情報漏洩を起こしたYahoo!BB個人情報漏洩事件など、3年から5年おきに不祥事を起こしている印象があります。

さらに、朝日新聞の峯村健司氏のスクープ報道のとおり、やはりLINE社の委託先の中国子会社の日本サーバーへのアクセスログ等は、中国等の開発者が具体的にどんな個人データにアクセスしたか等の記録が残っていないとのことです。アクセスログも保存されていても、1年間しか保存されていないとのことです。さらに中国等の開発者PC等は外部ネットに接続可能な状態であり、当該PC等の挙動のログなども残っていないと報告書は指摘しています。これはLINE社の安全管理措置が非常に不十分であったと言わざるを得ません。
LINE報告書03

加えて、報告書は、2016年ごろより、中国の国家情報法に関する議論が日本国内で高まっていたのに、LINE社がシステムの開発・保守などを中国で継続していた点も指摘しています。
LINE報告書04

この点も、わが国の国民約8600万人のアクティブ・ユーザーを持ち、国・自治体の情報発信業務や国民・市民からの相談業務、多数の日本企業の情報発信業務などを担っているLINE社は、日本の国民の個人情報保護や国・自治体や多くの企業の機密情報の保護に対する大きな責任を負っていること、日本の安全保障および経済安全保障に大きな責任を負っていることに対して、企業市民としてあまりにも無頓着だったのではないでしょうか。

なお、本報告書の概要をざっとみる限り、本事件で個人情報とともに問題となった、電気通信事業法4条憲法21条2項の定めるユーザーの「通信の秘密」に関しては、有識者委員会であまり議論がなされていないようですが、大丈夫なのでしょうか。

4月の総務省のLINE社に対する行政指導のプレスリリースも、個人情報に関しては問題視していますが、「通信の秘密」に関しては、まるでなかったかのようにしているわけですが。この点を、情報法の大御所である宍戸教授などの有識者委員会に大いに議論していただきたいと、一般の国民としては思っていたのですが。
LINE報告書03

また、本日のZ社のプレスリリースでは、有識者委員会の第一次報告書は概要のみが公表されており、報告書本文は公表されていないことも、やや不可思議な対応であると思われます。

■関連する記事
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・LINEの通信の秘密の問題に対して総務省が行政指導を実施
・LINEの個人情報の問題に対して個人情報保護委員会が行政指導を実施











このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ