１．CCCがT会員規約などを改定
Tポイントやツタヤ図書館などを運営するCCC（カルチュア・コンビニエンス・クラブ株式会社）の１月15日付のプレスリリースによると、同社はTポイントの個人情報・個人データの利用規約・プライバシーポリシーなどを一部変更したとのことです。
・Ｔ会員規約等、各種規約の改訂について｜CCC
２．「他社データと組み合わせた個人情報の利用」の明確化
そのプレスリリースでは、CCCが個人情報・個人データの利用方法として新たにプライバシーポリシーなどに明確化したという使い方が説明されています（T会員規約４条６項）。
・T会員規約 改訂前後比較表｜CCC
これは、おおざっぱにいうと、CCCが他社から他社の個人データを受け取り、CCCの持つ個人データと突合して分析・加工した個人データまたは統計データを生成して利用するというものですが、これは個人情報保護法上の委託スキームの、いわゆるデータセンター等における「混ぜるな危険の問題」に抵触してないでしょうか。
T会員規約４条６項
６．他社データと組み合わせた個人情報の利用
当社は、提携先を含む他社から、他社が保有するデータ（以下「他社データ」といいます）を、他社が当該規約等で定める利用目的の範囲内でお預かりした上で、本条第２項で定める会員の個人情報の一部と組み合わせるために一時的に提供を受け、本条第 3 項で定める利用目的の範囲内で、統計情報等の個人に関する情報に該当しない情報に加工する利用および当社の個人情報と他社データのそれぞれに会員が含まれているかどうかを確認した上での会員の興味・関心・生活属性または志向性に応じた会員への情報提供（以下あわせて「本件利用」といいます）を行う場合があります。
なお、当社は、本件利用のための他社データを明確に特定して分別管理し、本件利用後に他社データを破棄するものとし、本件利用のための、前述、当該他社から当社への一時的な提供を除いては、それぞれの利用目的を超えて利用することも、当該他社その他第三者に対して会員の個人情報の一部または全部を提供することもありません。
（CCCサイトより）
３．飲料メーカーA社の事例（統計データ）
CCCのプレスリリースは、このT会員規約４条６項について、「飲料メーカーA社の事例（統計データ）」と「旅行代理店B社の事例（個人データ）」の二つの図を用意しているので、この二つの図で考えてみます。
（CCCサイトより）
まず一つ目の、飲料メーカーA社の事例では、飲料メーカーA社（他社）の他社個人データAをCCCがデータの分析・加工のために受取り（「委託」、個人情報保護法23条５項１号）、その他社個人データAとCCCの個人データを突合し、CCCの個人データに該当する個人の属性・嗜好などを分析した統計データ等を作成し、A社に渡すとなっています。
しかし、この事例のような個人データの委託元A社と委託先のCCCの個人データを混ぜて取り扱うことは禁止されています。
これは、たとえば、A社の個人データAとCCCの個人データを個人個人で本人同士突合し分析などを行うことがそれに該当します。つまり、個人データAとCCCの個人データの突合は、例えばD社、E社等などからCCCが本人同意の基に第三者提供を受けた個人データÐ・Eなどの合成されたCCCの個人データとの突合ということになります。委託のスキームをとらない本来の場合であれば、A社はD社、E社などから本人同意に基づく第三者提供を受けた上で個人データの突合が許されるわけですが、委託というスキームは、この第三者提供における本人同意の取得の省略を許すものではありません。（田中浩之・北山昇「個人データ取り扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号30頁）
そもそも個人情報保護法における個人データの「委託」とは、契約の種類・形態を問わず、委託元の個人情報取扱事業者が自らの個人データの取扱の業務を委託先に行わせることであるから、委託元が自らやろうと思えばできるはずのことを委託先に依頼することです。したがって、委託元は自らが持っている個人データを委託先に渡すなどのことはできても、委託先が委託の前にすでに保有していた個人データや、委託先が他の委託元から受け取った個人データと本人ごとに突合させることはできないのです。そしてこれは、突合の結果、作成されるのが匿名加工情報等であっても同様であるとされています。（田中・北山・前掲『ビジネス法務』2020年8月号30頁）
この点は、個人情報保護委員会の個人情報保護法ガイドラインQ&A5-26-2の事例(2)にも明示されています。また、個人データを本人ごとに突合して作成するデータが匿名加工情報などであっても、これは同様であると同QA11-13-2に明記されています。
（個人情報保護委員会サイトより）
したがって、CCCの明確化した新しい個人情報の取扱である、T会員規約４条６項の「飲料メーカーA社の事例（統計データ）」については、個人情報保護法23条１項、個人情報保護法ガイドラインQ&A5-26-2・11-13-2に違反しており、許されないものであると思われます。また、このような個人データの取扱は、法16条の定める目的外利用の禁止に抵触するおそれもあります（岡村久道『個人情報保護法 第３版』262頁）。
４．旅行代理店Bの事例（個人データ）
つぎに、二つ目のT会員規約４条６項の「旅行代理店Bの事例（個人データ）」は、旅行代理店Bから受け取った個人データBをCCCの個人データと本人同士で突合し、加工した結果の「個人データ」を「CCC」が自社のマーケティングや販売促進等に利用するようです。
（CCCサイトより）
つまり、こちらも、上の飲料メーカーAの事例と同様に、突合してはいけない個人データBとCCCの個人データを本人同士で突合していますし、作成するのは統計データや匿名加工データ等ではなく、個人データのようであり、さらに当該個人データを販売促進などに利用するのはCCCのようです。
すなわち、個人データの委託というより、CCCの主導による他社の個人データの突合による個人データの利用のようです。したがって、これはそもそも個人情報保護法23条５項１号の委託のスキームを踏み越えているので、CCCは、原則に戻って、B社から本人同意に基づく第三者提供（法23条１項）によって個人データBを受け取っていない限り、この取り扱いは許されないことになると思われます。
５．まとめ
最近の世の中は、ビッグデータやAI、DX、官民のデジタル化という用語をニュースなどで聞かない日はないような状況ですが、CCCはデジタル化に少し浮かれ過ぎているのではないかと心配になります。
2019年の就活生の内定辞退予測データに関するリクナビ事件においては、リクナビだけでなくトヨタ等の採用企業側に対しても、個人情報保護委員会と厚労省から、「社内において個人情報保護法などの法令を十分に検討していない」として安全管理措置違反（法20条）があったとして行政処分・行政指導が出されたことを、個人情報取扱事業者の大手のCCCは失念しているのではないでしょうか（個人情報保護委員会・令和元年12月4日付「個人情報の保護に関する法律に基づく行政上の対応について」）。
CCCによるとTポイントの会員は約6900万人、提携企業数は188社、店舗数は1,052,092店舗（2019年3月現在）であるとのことであり、CCCの個人情報のデータベースには日本国民の50％を超える人間の個人データが集積されていることになります。そのような莫大な個人データを預かる企業市民としてのCCCの社会的責任、法的責任は重大であると思われます。
■関連するブログ記事
・CCCがT会員6千万人の購買履歴等を利用してDDDを行うことを個人情報保護法的に考える
・Ｔポイントのツタヤ（ＣＣＣ）がプライバシーマークを返上／個人情報保護法の安全管理措置
・海老名市立中央“ツタヤ”図書館に行ってみた／#公設ツタヤ問題
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
■参考文献
・田中浩之・北山昇「個人データ取り扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号30頁
・岡村久道『個人情報保護法 第３版』262頁
