なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:GDPR

クラブハウス
スイスの情報セキュリティ研究者のMarc Ruef氏(@mruef)などのTwitterの7月24日の投稿によると、音声SNSのClubhouseの日本を含む38億件電話番号データベースがダークウェブのオークションで売りに出されている可能性があるそうです。(【追記】Clubhouse側や他の研究者たちはこの情報漏洩を否定していることを記事末に追記しました。)

クラブハウス情報販売
(Marc Ruef氏(@mruef)のTwitterより)
https://twitter.com/mruef/status/1418693478574346242

Clubhouseのアプリは、自動的にスマホユーザーのアドレス帳に登録されたすべての電話番号を収集するので、自分自身はClubhouseを利用していなくても、自分の電話番号を知っている人間がClubhouseを利用していれば、電話番号等の個人情報が流出している可能性があるとのことです。

これがもし本当にClubhouseを運営するAlpha Exploration(AE)社の保有する個人情報データベースから何らかの方法で出された電話番号データベースであるのなら、日本の個人情報保護法上、電話番号のみのでも「個人情報データベース等」(法2条4項)のデータの一部に該当し、つまり「個人データ」(法2条6項)に該当し、つまりそれは「個人情報」(法2条1項1号)に該当することになります。

個人データの第三者提供には原則、本人の同意が必要であり(法23条1項)、また第三者提供には個人情報が提供された際のトレーサビリティ(追跡可能性)の確保のために、記録作成義務記録確認義務が課されます(法24条、法25条)。(そのため、こういう個人データが大っぴらに転売されることは難しいように思われます。)

AE社は米企業のようですが、もし日本であれば、2014年のベネッセ個人情報漏洩事件のような個人情報漏洩事故なので、安全管理措置(法20条)の懈怠の問題としてAE社は個人情報保護委員会から行政指導等を受けたり(法41条、42条)、ユーザーなどから損害賠償請求訴訟を提起されるリスクがあります。販売等の目的などで個人データを持ち出した人間・法人は罰則も科されます(法84条)。

もしClubhouseがEU圏のユーザーも利用してるなら、AE社はGDPR(EU一般データ保護規則)最高2000万ユーロまたは前会計年度の全世界年間売上高の4%のいずれか大きい額の制裁金が科されるリスクもあります(GDPR83条)。また同様に、もしClubhouseがEU圏のユーザーも利用してるなら、GDPR33条は事業者等が自社の個人情報の漏洩を知った場合、72時間以内の所轄のデータ保護当局への報告という厳しいタイムアタックを要求しているので、AE社はこの義務を履行しなければなりません。

(なお、2022年4月施行予定の日本の令和2年改正の個人情報保護法22条の2は、個人情報漏洩が発覚した場合、原則として、事業者は速やかに個人情報保護委員会に速報を報告し、30日以内に報告書を提出しなければならないことになるので、日本の事業者も個人情報漏洩があった場合には迅速な対応が要求されることになります。)

聞くところによると、一時期大きな注目を浴びたClubhouseも、最近はめっきり利用者が減少しているそうですが、AE社の保有する個人データの取扱や管理の在り方が、いろいろと気になるところです。

■追記(2021年7月26日2:00)
情報セキュリティの専門家の高梨陣平氏(@jingbay)より、この件に関しては、つぎの記事のように、Clubhouse側や他の研究者たちが電話番号の情報漏洩を否定しているとのご教示をいただきました。高梨様、ありがとうございました。
・Clubhouse denies data breach, experts debunk claims of leaked phone numbers|TechZimo
















このエントリーをはてなブックマークに追加 mixiチェック

display_monitor_computer
1.はじめに
情報セキュリティや情報法などの専門家で海外の動向に詳しい 高梨陣平氏(@jingbay)が、6月8日にTwitter上でつぎのように投稿しておられるのを見かけました。

『ドイツで警察が任意の端末にマルウェアを入れることが許可され、ISPやテック業界はそれを手助けを強制される法案が準備中。ドイツはこれでバックドアが不必要になると考えている。これに対し著名なハッカーグループ、Chaos Computer Clubやプライバシについて評判の悪いGoogle、Facebookまで反対とw』
ドイツ警察マルウェア
https://twitter.com/jingbay/status/1402037879191265282
・Google, Facebook, Chaos Computer Club join forces to oppose German state spyware|TheRegister

つまり、ドイツでは、警察などが国民のPCなどの端末をマルウェアで監視するするために通信事業者やIT企業などに協力を法的に強制する法案が準備中であり、著名なハッカーグループや、Google、Facebookなどもこの法案に反対しているとのことです。

ドイツ
では、アメリカの2001年の同時多発テロを受けて、ある州が法改正を行い、州当局がマルウェアなどによる国民のPC等のオンラインによる監視を可能にする法改正を行ったところ、2008年に連邦憲法裁判所が、いわゆる「コンピュータ基本権」という新しい基本権(人権)を示してこの法改正を違憲とした判決があったはずだと思い、資料を読み直してみました。

このブログ記事では、ドイツ「コンピュータ基本権」オンライン監視事件とともに、②最近一部で議論となっている、個人データ保護法制の立法目的に関連して、日米の自己情報コントロール権と欧州の情報自己決定権との同じ点・違う点などについてみてみたいと思います。

2.オンライン監視事件-コンピュータ基本権(2008年2月27日連邦裁判所第一法定判決 連邦憲法裁判所判例集120巻274頁以下 BVerfGE 120.274.Urteil v.27.2.2008)
(1)事案の概要
ドイツでは「自由で民主的な基本秩序または連邦もしくは州(ラント)の存立もしくは安全の保障」を守るために、1950年に連邦憲法擁護法が制定され、連邦憲法擁護庁、16の州(ラント)の憲法擁護庁軍事諜報局(MAD)連邦情報庁(BND)などの憲法擁護機関(憲法保障機関)が分担して諜報活動などの業務を行っている(武市周作「憲法保障機関の正統性―連邦憲法擁護庁を中心に」『東洋法学』61巻3号49頁)。(いわゆる「闘う民主主義」。)

2001年9月11日のアメリカの同時多発テロを受け、世界的にテロ対策への取組が強化されるなか、ドイツノルトライン・ヴェストファーレン州(NRW州)では、2006年12月に州の憲法擁護法が改正された。このNRW州憲法擁護法改正は、「警察トロイの木馬」「Govware」と呼ばれる州当局のマルウェア(スパイウェア)をインターネット経由で州の住民の家庭や事務所などのPC・コンピュータなどに送り込み、PCの記憶領域に蓄積された情報・データを監視することができる「オンラインによる監視」を可能とするものであった(NRW州憲法擁護法5条2項11号)。

ドイツ・ノルトライン・ヴェストファーレン州憲法擁護法
第5条(権限)
第2項 憲法擁護庁は、情報収集活動を行うための7条の役割に応じて、情報収集活動として以下の措置を実行することができる。
 第11号 インターネットへの秘密裡になされる観察及び、とくにコミュニケーション装置への隠密な関わり、またはこうした装置への捜索のようなインターネットへの偵察並びに技術的手段を用いた情報技術システムへの秘密裡になされる侵入。信書、郵便そして電信電話の秘密への関与が、この措置によってなされる場合、この措置は基本法10条が定める法律の諸条件の下でのみ認められる。

このNRW州憲法擁護法改正に対して、NRW州のジャーナリストや弁護士、政治家などが、NRW州憲法擁護法は自分達の基本権10条(通信の秘密)、13条(住居の不可侵)などの基本的人権を侵害するものであるとしてドイツ連邦憲法裁判所に本件訴訟を提起した。

これに対してドイツ連邦憲法裁判所は2008年2月27日に、NRW州憲法擁護法5条2項は、ドイツ基本法に違反しているとの違憲判決を出した。(BVerfGE 120.274.Urteil v.27.2.2008)

(2)判旨
(a)「情報技術システムに秘密裡に関与することを定めた、憲法擁護法5条2項11号の第1文の後半部分は、機密性を保障し情報技術システムの不可侵性を保障する権利という、特別な表現をもって表される一般的人格権に違反する。これを新しい基本権であるとするのは、それが基本法10条(通信の秘密)、13条(住居の不可侵)、さらに情報自己決定権のそれぞれに関連するが、その内容から直接導かれるものではないからである。

コンピュータには、システムに組み込まれたデータ保存機能があり、そのメモリに保存されたデータにまで10条の保障は及ぶものではない。インターネット通信によって、本人が意図しないデータが無意識の内に自己のデータとして蓄積された場合、その内容まで10条では保障しきれないからである。

基本権13条(住居の不可侵)1項は住居の不可侵を規定するが、この不可侵性も、同条2項から7項までの理由があれば国家機関の侵入は認められている。しかし基本法13条1項は、システムへの侵入によって、住居にある情報技術システムのハードディスクないしメモリに蓄積されたデータの取得からの防御を保護しているわけではない。

さらに、一般的人格権から導かれる私的領域の保障情報自己決定権は、情報技術システムの利用者の特別に十分な保護を意味することにはならない。なぜならば、情報技術システムの利用者が求める保障内容は、その利用者の私的領域にあるデータだけに留まるものではないからである。

そこで、基本法1条1項と関連する2条1項に基づく新たな基本権が、私的な領域を国家による情報技術システムへのアクセスから守るために求められる。それが、「情報技術システムにおける不可侵性と機密性を保障する基本権」である。この基本権を保護することを明確に規定する規範があってはじめて、憲法擁護機関は情報システムに関わりうることになるので、その定め方を以下検証しなければならない。

(b) 当該規定(憲法擁護法5条2項)は、規範の明確性の命題を満たしていない。なにより、同条が基本権10条と関係する法律への指示を十分に行っていないからである。

さらに、当該規定は広義の意味での比例原則を満たしていない。比例原則が求められるのは、必要性の命題を満たすときであるが、基本権への侵害が正当化された目的にあり、さらにこうした目的に見合った手段としてなされ、適合的なものであること(が求められる)。

ところが、改正法の内容は明確でもなく、テロ対策に組織的に対応することが限定化されたわけでもない。

当該規定がさらに狭義の比例原則に一致しないのは、高い程度に及ぶ基本権侵害を引き起こすからであり、それは、複雑な情報技術システムを用いての国家による調査が、該当者の人格をえぐり出すことになるからである。さらに、第三者への通信をも監視することによって、一般市民の自由にも影響がでてくる。

もしも情報技術システムへの秘密裡での関与が許されるとすれば、以下の条件があった場合ということになる。つまり、ある事実がとくに高い重要性を有する法に対して個別に引き起こされる危険を示唆する場合であり、たとえその危険がすでに近い将来に訪れるという十分な蓋然性をもって確定できない場合であってもそうである。さらに、こうした関与の権限を認めることになる法律は、該当者に対して適切な手続規定をもって、その基本法保護を確保しなければならない。ここに示されたとくに重要な法益とは、まず、人の身体・生命・自由であり、さらに、国家の基礎や構造ないし人間の存在の基礎にかかわる公共の財産である。また、具体的な危険を表す3つの指標とは、個別性、危険が被害を引き起こす逼迫性、そして起因者としての個人的関連性である。

立法者は、適切な措置によって、私的な生活の中心に位置するデータに関わるような場合は、侵害が最小に抑えられ、該当者の人格への関わりが最小限に抑えられるようにしなければならない。

(c)以上の観点から判断すると、憲法擁護法5条2項11号に示された手段は、情報技術システムが有する機密性や不可侵性の保障に示された一般的人格権への侵害を構成しており、この規定は無効となる。

3.検討
(1)日米の自己情報コントロール権と欧州の情報自己決定権
プライバシー権と個人情報保護法(個人データ保護法)との関係については、アメリカで「ひとりで放っておいてもらう権利」として生まれた従来からの古典的なプライバシー権を包含する形で、自己情報コントロール権として一体的に説明することが日本においては通説的な見解とされています。

つまり、個人の私的領域に他者を無断で立ち入らせないという自由権的なプライバシー権は、情報化社会の進展に伴い、「自己に関する情報をコントロールする権利」(自己情報コントロール権としてとらえられ、自由権的側面だけでなく、プライバシーの保護を公権力に対して積極的に要求してゆく側面が重視されるようになってきているとされています。すなわち、個人に関する情報(個人情報)が行政機関などに集中的に管理されるようになった現代社会においては、個人が自己に関する情報を自らコントロールし、自己に関する情報についての閲覧・訂正ないし抹消請求を求めることが必要であると考えられています(芦部信喜・高橋和之補訂『憲法 第7版』123頁)。

日本の憲法13条は「すべて国民は、個人として尊重される。 生命、自由及び幸福追求に対する国民の権利については、公共の福祉に反しない限り、立法その他の国政の上で、最大の尊重を必要とする。」と規定していますが、この憲法13条の 生命、自由及び幸福追求に対する国民の権利」つまり幸福追求権から、プライバシー権と自己情報コントロール権は導き出されるとされています。

一方、ドイツでは1983年の国勢調査判決において連邦憲法裁判所が「情報自己決定権」という新しい基本権(人権)を示し、古典的プライバシー権と情報自己決定権の二本立てで考える構成がヨーロッパでは広く共有されているとされています(小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁。

日米の自己情報コントロール権と欧州の情報自己決定権のイメージ2
(日米の自己情報コントロール権と欧州の情報自己決定権・プライバシー権のイメージ。小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁をもとに筆者作成。)

1983年の国勢調査判決においてドイツ連邦憲法裁判所は、情報自己決定権「自己の個人データの放棄および使用について、原則として自ら決定する権限」定義し、その制約については、①優越した一般的利益、②規範の明確性の要請を満たした法律上の根拠、③比例原則、④人格権侵害を予防するための組織的・手続的予防措置を要求しました。また、⑤統計目的のデータ取得については、統計目的で取得したデータを法執行目的で利用する場合には、限定的で具体的な利用目的による拘束が不可欠であり、規範の明確性の要請が特に重要であるとしました。

ドイツ憲法裁判所は国勢調査判決において、個人情報・個人データについて「(公権力からの)申告の性質だけに照準を合わせることはできない。決定的であるのは、(個人情報・個人データの)その有用性利用可能性である。これらは、一方における取得の目的、他方における情報技術に固有処理可能性および結合可能性に左右される。それにより、それだけを見れば些末な情報が、新たな位置・価値を取得する。その限りで、自動化されたデータ処理という前提のもとでは、「些末な」情報はもはや存在しない。」と述べ、情報自己決定権の必要性を説明しています(小山・前掲)。

日米の自己情報コントロール権とヨーロッパの情報自己決定権との違いは、情報自己決定権に対する公権力などからの制約には、上の①から⑤までの要件・歯止めがある一方で、自己情報コントロール権にはそのような公権力からの制約に関する要件・歯止めが不十分であることにあるとされています。

例えば、警察のNシステムによる自動車のナンバープレート情報や、公道に設置された防犯カメラ・監視カメラによる人の容貌や顔などの情報など、それ自体は外部に公開されている情報の、法的強制を伴わない取得・保存・利用において顕著に表れるとされています。

Nシステムについて2009年の日本の裁判例(東京高裁平成21年1月29日判決)は、「わが国においては警察法2条1項の規定により任意の捜査は許容されており、公道上の何人でも確認し得る車両データを収集・利用することは適法」としています。

一方、ドイツ連邦裁判所は「自動車ナンバープレートの自動記録に関する法律は、法律による授権の特定性および明確性という法治国家の要請を充足しなければならない。」「不特定の広範さゆえに、この法律の規定は憲法上の比例原則の要請も満たしていない」として違憲としています(2008年3月11日ドイツ連邦憲法裁判所第一法廷判決・BVerfGE 120.378[407.427]、小山・前掲)。

このドイツをはじめとするヨーロッパの情報自己決定権は、アメリカの自己情報コントロール権に影響されてドイツ等で生み出されたものとされています(藤原静雄「「西ドイツの国勢調査判決における「情報の自己決定権」」一橋論叢94巻5号138頁)。

(2)コンピュータ基本権
情報自己決定権という新しい基本権が生み出されてから約25年後の2008年にドイツ憲法裁判所がいわゆる「コンピュータ基本権」という新しい基本権を示したことは、内外の大きな注目を集めました。

この2008年の本判決は、「情報技術システムの機密性や不可侵性を保障する権利」(コンピュータ基本権を、基本法1条(人間の尊厳、基本権による国家権力の拘束)1項の「人間の尊厳は不可侵である。これを尊重し、および保護することは、すべての国家権力の義務である」と関連する2条(人格の自由、人身の自由)1項の「何人も、他人の権利を侵害せず、かつ憲法的秩序または道徳律に違反しない限り、自らの人格の自由な発展を求める権利を有する」に関わる基本権としています(石村修「コンピュータ基本権-オンライン監視事件」『ドイツの憲法判例Ⅳ』50頁)。

本判決が出された直後のドイツの学界は、情報自己決定権ではなく、このコンピュータ基本権を提示しなければならない理由が不明確であること、示された判断基準が従来の判例と異なること、さらに、技術的な発展に対して新たな基本権が提唱されるのは、それが完全に入れ替えが必要となった場合であり、オンラインによる監視は、いまだ従来の国家機関がとってきた手法の延長にあること、等の批判が本判決のコンピュータ基本権に対してはなされたとされています。

一方、本事件において申立人らが主張した基本権10条、13条などからはオンラインの監視を取扱うことは困難であること、また、オンラインの監視は個人のデータ保護を超えて、情報技術システムの保護の必要性や、システムへの介入は監視される本人だけでなく、第三者や一般市民にまでその被害がおよぶことなどの理由から、本判決がコンピュータ基本権を提示したのではないかとの指摘もされています(石村・前掲)。

なお、本判決を受けて、ドイツの連邦法レベルでは、2008年11月に連邦検事庁法が改正され、同法20k条は、情報技術システムへの関与について、本判決が示した要件を明記したとされています。また、NRW州も州憲法擁護法5条2項について、本判決の示した要件を明記する法改正を行ったとされています。

4.まとめ
2018年にはEUGDPR(EU一般データ保護規則)が施行されました。GDPRは22条がいわゆるプロファイリング拒否権を規定していることが注目されています。そして、本年4月にはEUはAI規制法案を公表しました。日本でも2021年にデジタル関連法の制定や個人情報保護法改正などが行われ、国会などでは、個人情報保護法の立法目的に自己情報コントロール権を明記すべきかどうかが論点の一つとなりました。その一方で、最近は一部の情報法の学者の先生方からは、自己情報コントロール権を批判する主張もなされています。

日本の情報法・個人情報保護法制の学者・研究者などの関係者の方々、企業や官庁などの実務担当者の方々などは、プライバシー権と個人データ保護法制の在り方や、個人データ保護法制の法目的などについて検討するにあたっては、日米の自己情報コントロール権だけでなく、GDPRの根底にある欧州の情報自己決定権・コンピュータ基本権などについて、また日米と欧州の憲法の基本構造の違い(近代憲法とポスト近代憲法の違い)などについても目配りが必要であると思われます。

なお、本ブログ記事を書くにあたっては、憲法学者の石村修・専修大学名誉教授より貴重なご教示をいただきました。石村先生、誠にありがとうございました。

■参考文献
・石村修「コンピュータ基本権-オンライン監視事件」『ドイツの憲法判例Ⅳ』50頁
・小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁
・武市周作「憲法保障機関の正統性―連邦憲法擁護庁を中心に」『東洋法学』61巻3号49頁
・藤原静雄「西ドイツの国勢調査判決における「情報の自己決定権」」一橋論叢94巻5号138頁
・芦部信喜・高橋和之補訂『憲法 第7版』123頁

















このエントリーをはてなブックマークに追加 mixiチェック

ITmediaニュースによると、三菱UFJ信託銀行情報銀行事業を開始することを発表したそうです。

・三菱UFJ信託が情報銀行事業開始 Dprimeで「お金の代わりに個人情報を預かる」|ITmediaニュース
・情報銀行サービス「Dprime」ブランドアンバサダー・中田英寿氏の就任について|三菱UFJ信託銀行

記事によると、三菱UFJ信託銀行は、本人の同意のもとに、個人の氏名、住所などの情報とともに、趣味嗜好、位置情報・行動履歴、資産情報などを収集・保管して、本人が選択した企業に対して、本人の同意のもとにこれらの個人情報・個人データを第三者提供し、本人は当該企業から割引などの対価を受けるとのことです。

三菱信託銀行の情報銀行ビジネス
(ITmediaニュースより)

ところで、記事を読むと、「氏名、住所の詳細、メールアドレス等、個人が特定される法的に個人情報に該当するものは企業に第三者提供しない」と三菱UFJ信託銀行の方が記者会見で発表したとの点が個人的には非常に気になります。

三菱信託銀行法的に個人情報に該当する情報は第三者提供しない
(ITmediaニュースより)

この、「氏名、住所さえ消去すれば個人情報ではない」的な、まるで石器時代のような個人情報保護法の基本的な部分の誤解を前提にしたような発言は、本当に天下の三菱グループの、かつ金融機関の三菱UFJ信託銀行の方が発表したものなのでしょうか?そしてそれをIT系メディア大手のITmediaニュースの記者もツッコミを入れることなく報道してしまったのでしょうか?

記事によると、この三菱信託の情報銀行ビジネスのアンバサダーにはサッカーの中田英寿氏が就任したそうで、中田氏は「企業による個人データの利活用の重要性」を記者会見で力説したそうであり、この情報銀行ビジネスのアレな感じがさらに強調されているような気がします。

言うまでもなく、個人情報保護法2条1項1号は、「個人に関する情報」であって、かつ、「特定の個人を識別できるもの」は個人情報に該当すると定義しています。そのため、趣味嗜好、位置情報・行動履歴、資産情報などの情報・データも、この個人情報の定義に該当するものはやはり個人情報です(鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』20頁)。

個人情報の定義『ニッポンの個人情報』
鈴木正朝・高木浩光・山本一郎「「個人を特定する情報が個人情報である」と信じているすべての方へ―第1回プライバシーフリーク・カフェ(前編)」EnterpriseZineより

また、本年5月にパブコメで公表された、令和2年改正の個人情報保護法に対応する「個人情報保護法ガイドライン(通則編)」も、「行動履歴、閲覧履歴、位置情報・移動履歴、サービス利用履歴等も連続的蓄積されて特定の個人が識別できれば個人情報に該当すること」と、趣味・嗜好個人関連情報に該当すること」を明確化しています。

・「個人情報の保護に関する法律についてのガイドライン(通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編)の一部を改正する告示」等に関する意見募集について|e-GOV

■詳しくはこちら
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた!?

そのため、行動履歴、資産情報等のデータの多くはおおむね個人情報に該当すると思われますが、「法的に個人情報に該当するものは提供しない」との三菱UFJ信託銀行は、この情報銀行ビジネスにおいて、相手方の企業に対して一体何を第三者提供するつもりなのか非常に疑問です。

情報銀行ビジネスを開始すると経営判断した三菱UFJ信託銀行の経営陣の判断能力も心配ですし、同行の法務部は、この情報銀行業を事前にしっかりリーガルチェックしたのだろうかと非常に心配です。(ITmediaニュースの記者の方の個人情報保護法の理解も。)

三菱UFJ信託銀行の情報銀行ビジネスは、個人情報保護法の基本的な理解が間違っていて、開始前からグダグダな予感がします。日本は、EUのGDPRやAI規制法案など、西側自由主義・民主主義諸国の個人データ保護法の流れからますます離れてゆくガラパゴスだと思わざるを得ません。

■関連する記事
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた!?
・ヤフーのYahoo!スコアは個人情報保護法的に大丈夫なのか?
・みずほ銀行のみずほマイレージクラブの改正を考える-J.Score・信用スコア・個人情報
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた













このエントリーをはてなブックマークに追加 mixiチェック


サーバー群

1.図書館の貸出履歴なども連続的に蓄積されて特定の個人を識別できる場合は個人情報になる
(1)令和2年個人情報保護法ガイドライン改正パブコメ
令和2年個人情報保護法ガイドライン改正パブコメが6月18日まで実施されていました。
・「個人情報の保護に関する法律についてのガイドライン(通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編)の一部を改正する告示」等に関する意見募集について|e-GOV

ここで個人情報保護委員会(PPC)が示した個人情報保護法ガイドラインの案を読んで、個人的にPPCの一番のファインプレーだと思ったのは、個人情報保護法ガイドライン(通則編)90頁の、「3-7-1-1個人関連情報」(個人情報保護法26条の2)のところの注意書きに、次のようにと明示し、"図書館貸出履歴等「連続的に蓄積」されて特定の個人を識別できる場合は個人情報に該当し、さらにそれがある個人の思想・信条などに該当する場合は要配慮個人情報に該当すること"を明確化したことではないかと思われます。

個人情報に該当する場合は個人関連情報には該当しないことになる。例えば、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的蓄積される等して特定の個人を識別することができる場合には、個人情報該当」する(個人情報保護委員会「個人情報保護法ガイドライン(通則編)」90頁「3-7-1-1個人関連情報」(個人情報保護法26条の2)注意書き)。
つまり、例えば、図書館等の貸出履歴や書店での本・DVD・CD等の購入履歴等が「連続的に蓄積」されて「特定の個人を識別できる場合」(=実名等がわからなくても「あの人、この人」と識別できる場合)には当該情報・データは「個人情報」に該当し、さらにそれが個人の「思想・信条」「病歴」などに該当すれば「要配慮個人情報」に該当するとPPCは考えていると思われます。

貸出履歴・閲覧履歴などの個人情報・個人関連情報の該当性の図2

すなわち、図書館の連続的に蓄積されて特定の個人を識別できる貸出履歴・利用履歴等は個人情報であり、それが思想・信条等に該当する場合には要配慮個人情報であると個人情報保護委員会が認めたことになります。

(2)これまでの個人情報保護委員会の「要配慮個人情報を推知させる情報」の考え方
もちろん、個人情報保護法2条1項の個人情報の定義は、「個人に関する情報」であって、電磁的記録などを含むさまざまな情報・記述などで「特定の個人を識別できるもの」は個人情報に該当するとしているので、この個人情報保護委員会の考え方は当然といえば当然です(鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』20頁)。
個人情報の定義『ニッポンの個人情報』
鈴木正朝・高木浩光・山本一郎「「個人を特定する情報が個人情報である」と信じているすべての方へ―第1回プライバシーフリーク・カフェ(前編)」EnterpriseZineより

しかし、2017年法改正を受けたこれまでの個人情報保護法ガイドライン(通則編)の「2-3 要配慮個人情報」は、「なお、次に掲げる情報(=要配慮個人情報)を推知させる情報にすぎないもの(例:宗教に関する書籍購買貸出しに係る情報等)は、要配慮個人情報には含まない」という塩対応な注意書きを明示していました(岡村久道『個人情報保護法 第3版』87頁)。

そのため、「本人の思想・信条などの内心を推知させる情報も要配慮個人情報に含めて扱うべき」と、宮下紘・中大教授(憲法・情報法)などの学者の方々から批判されてきたところです(宮下紘「図書館と個人情報保護」『時の法令』平成28年1月15日号50頁)。

(3)図書館の貸出履歴などの情報の利活用の推進派は、個人情報保護法などの再検討が必要となる
もし、図書館の貸出履歴・利用履歴などが個人関連情報でしかないとすると、第三者提供の際の本人同意が必要なだけにとどまりますが(法26条の2)、個人情報であるとなると、利用目的の特定(法15条)や、本人同意のない目的外利用の禁止(法16条)、不適正な収集の禁止(法17条)、安全管理措置(法20条~22条)、第三者提供の本人同意(法23条1項)、開示・訂正・利用停止等の請求への対応(法28条~34条)などの各義務が事業者に要求されることになります。

そしてさらに図書館の貸出履歴・利用履歴などが要配慮個人情報に該当するとなると、原則として収集の際に事前の本人の同意が必要(法17条2項)となり、また、オプトアウト方式による第三者提供も禁止(法23条2項かっこ書き)されることになり、さらに事業者の義務が重くなります。

また、個人情報、要配慮個人情報、その他個人に関する情報を事業者などが不適正に取り扱った場合、個人情報保護法とは別に、事業者などが当該個人からプライバシー権侵害などを主張され、不法行為に基づく損害賠償責任を負う可能性もあります(民法709条、憲法13条)。

この点、最近も、法政大学の大学図書館の貸出履歴などを保存する方針に対して教職員、有識者などから反対の声が上がっていることが話題となっています。
・広がる図書館の履歴保存 脅かされる秘密、懸念の声も|朝日新聞

2021年4月から学長の廣瀬克哉総長は、同大学の学部横断型科目の学生の履修データなどの教育データ「見える化」を推進するなど、「大学のDX(デジタル・トランスフォーメーション)」の推進に熱心な学長のようです。

もし廣瀬氏などが、大学図書館の貸出履歴・利用履歴などのデータもDX化し、教育データの一つとしてさまざまな用途に利用・分析・加工・第三者提供などをすることを考えているとしたら、法令や日本図書館協会の「図書館の自由に関する宣言」などに基づいて、今一度慎重な再検討が必要であると思われます。

同様に、全国の自治体の公立図書館国立国会図書館などにおいても、貸出履歴・利用履歴などのデータを保存する図書館が増えているようですが、そのような図書館・自治体なども、同様に個人情報保護法・行政機関個人情報保護法・独法個人情報保護法・自治体の個人情報保護条例などや「図書館の自由に関する宣言」などに基づいて慎重な再検討が必要になるものと思われます。

*追記
なお、2017年の個人情報保護法改正では、いわゆる2号個人識別符号として、スマホの端末ID、携帯電話番号、IPアドレス、会員証番号なども個人識別符号(法2条2項2号)として個人情報に含まれることが明確化されようとしました。これは当時の政府のパーソナルデータ保護に関する検討会議の委員の森亮二弁護士や、産業技術総合研究所の高木浩光氏などが主張していたものです。しかしこれは楽天やヤフージャパンなどの経済界、経産省や与党などの強い圧力により頓挫してしまいました。
・携帯電話・スマホ等のIDやIPアドレスは個人情報に含まれない?/個人情報保護法改正法案
・【プレゼン】2月4日、自民党で、三木谷代表理事が 個人情報保護法改正案について意見を述べました|新経済連盟
・個人情報定義は新経連の意向で米国定義から乖離しガラパゴスへ(パーソナルデータ保護法制の行方 その16)|高木浩光@自宅の日記
o0800055513265690722
(新経済連盟サイトより)

とはいえ、今回、個人情報保護委員会がガイドラインで貸出履歴・閲覧履歴・購入履歴・位置情報・移動履歴なども一定の場合、個人情報に含まれると明確化したことは、2017年改正のこの2号個人識別符号の考え方の事実上の復活であり、国民の個人情報の保護つまり個人の尊重個人の権利利益の保護(個人情報保護法1条、3条、憲法13条)の観点からは画期的です。

2.「ある個人の興味・関心を示す情報」も個人関連情報となる
(1)「ある個人の興味・関心を示す情報」
また、令和2年個人情報保護法ガイドライン改正パブコメで、ガイドライン(通則編)89頁の個人関連情報の具体例に、閲覧履歴・購買履歴・位置情報とともに「ある個人の興味・関心を示す情報」も明示している点も、個人情報保護委員会のファインプレーでないかと思われます。

個人情報保護法ガイドライン個人関連情報の具体例
つまり、2019年のリクナビ事件における就活生・求職者等の、「どの企業に入社したいか/どのような企業には入社したくないかなどに関する情報」や、内定辞退予測データなども、「ある個人の興味・関心を示す情報」なので、個人に紐付かない、特定の個人を識別できるものでない状態であったとしても、それらの情報は個人関連情報に該当することが個人情報保護委員会により明確化されたのです。

したがって、リクナビなどの人材紹介会社などは、個人情報保護法の法の網をかいくぐるような個人情報・個人データなどの脱法的な利用が今回の法改正で新設された、不適正利用の禁止条項(法16条の2)で規制されるだけでなく、取り扱う情報が「ある個人の興味・関心を示す情報」に該当する場合には個人関連情報に該当するので、第三者提供する際のあらかじめの本人同意の取得の法規制がここでもかかることになります。「PPC、グッジョブ!」としか言いようがありません。

(2)CCCなどのデータマーケティング企業など
同様に、TSUTAYAや武雄市図書館等のツタヤ図書館などを運営し、また共通ポイントのTポイントの運営で約7000万件の国民の個人情報と年間50億件のトランザクション・データを保有するCCCカルチュア・コンビニエンス・クラブ株式会社などのデータマーケティング企業などは、自社のビジネスモデルが個人情報保護法などを遵守しているか、今一度、慎重な再検討が必要なのではないでしょうか。

(3)ネット系人材紹介会社など
また、SNSやGithubなどからさまざまな情報をコンピュータで網羅的に収集し、AIによる分析・加工などを行っているLAPRASHackerBase Jobsなどのネット系人材紹介会社や、それらの人材会社を就活生や転職者などの採用選考に利用しているトヨタ、日産、サイバーエージェント、GMOなどの企業なども、自社のビジネスモデルや人事労務の業務が個人情報保護法制や職業安定法や関連する厚労省通達・指針などの労働法制に抵触していないか、今一度慎重な再検討が必要がなのではないでしょうか。

LAPRASを採用している企業
(LAPRASを利用している企業。LAPRAS社サイトより)

2019年のリクナビ事件では、個人情報保護委員会と厚労省は、リクルートキャリアだけでなく、トヨタなどの企業についても、「社内で個人情報保護法などを十分に検討していなかった」ことは安全管理措置(法20条)違反であると認定し、行政指導・行政処分を実施しています。
・個人情報の保護に関する法律第 42 条第1項の規定に基づく勧告等について(PDF)|個人情報保護委員会

3.まとめ
このように、個人情報保護委員会は令和2年個人情報保護法改正対応の個人情報保護法ガイドライン改正で、図書館の貸出履歴なども一定の場合に個人情報または要配慮個人情報保護法に該当することを明確化し、「興味・関心」も個人関連情報に該当することを明確化しました。

採用選考・人事評価、PCや監視カメラ・スマホ・センサーなどによる従業員のモニタリングなどの労働分野、GIGAスクール構想や「教育の個別最適化」が推進されている教育分野、信用スコア事業、融資や保険引受審査などに関する金融・保険業、ターゲティング広告などの広告事業、顔認証システムや防犯カメラなどによる防犯事業、SNSのAI分析システムを導入しようとしている警察などは、業務を法的に再検討する必要があると思われます。

■関連する記事
・2020年の個人情報保護法改正に関するガイドライン改正に関するパブコメについて意見を書いてみた-FLoC・プロファイリング・貸出履歴・推知情報・データによる人の選別
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた-個人情報・プライバシー・労働法・GDPR
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた
・警察庁のSNSをAI解析して人物相関図を作成する捜査システムを法的に考えた-プライバシー・表現の自由・GPS捜査・データによる人の選別
・Github利用規約や厚労省通達などからSNSなどをAI分析するネット系人材紹介会社を考えた















このエントリーをはてなブックマークに追加 mixiチェック

ai_pet_family
1.Githubの利用規約とネット系人材紹介会社
ある方が、Twitter上で「「Githubをみてメールしました」との人材紹介会社からのメールが来るけれど、これはGithubの利用規約違反ではないか?」という趣旨の投稿をされているのを見かけました。

以前より、私もGithubやSNSなどネット上で個人情報を収集している最近のネット系人材紹介会社(LAPRASHackerBase Jobsなど)に関心があったので、Githubの利用規約をみてみました。

すると、Github利用規約「5.情報利用の制限」はつぎのように規定しており、たしかに、ユーザーの個人情報を、人事採用担当者、ヘッドハンター、求人掲示板など販売することなどの目的で、Githubのサービスから取得して利用することはできないとはっきり禁止規定が存在します。

Github利用規約
5.情報利用の制限
「ユーザ個人情報」を、ユーザに対して未承諾メールを送信する、人事採用担当者ヘッドハンター求人掲示板など販売するといった目的を含め、スパム目的で本「サービス」から取得 (スクレイピング、APIを介した情報収集、その他の手段による取得) した情報利用することはできません。


github利用規約5情報の利用制限
(Githubより)

・Github利用規約

また、Github企業向け利用規約「3.プライバシー」も次のように規定し、企業(「お客様」)はGithubから「外部ユーザー」(=当該企業の顧客には未だなっていないユーザー)個人情報を収集して使用するには、当該ユーザー「利用目的」への「承認」が必要であると明記しています。

つまり、ここでも企業がユーザーの個人情報を取得し利用するためには、ユーザー本人の同意が必要であると明記されています。

「お客様がGitHubから「ユーザ個人情報」を収集した場合、お客様は「外部ユーザ」承認した目的にのみその個人情報を使用するものとします。


github企業向け利用規約
(Githubより)

このようにみてみると、人材紹介会社が、Github上のユーザーの本人の同意なしに、ユーザーの個人情報を収集し、分析、加工するなどして求人を行っている企業の人事部やヘッドハンターなどに第三者提供することは、Githubの利用規約に違反していることになります。

もし、Github上のユーザーの個人情報の企業などによる違法・不当な収集・利用があった場合、「GitHubはGitHubまたは「外部ユーザ」からの苦情、削除要請、および連絡拒否の要請速やかに対応する」と規定されており(Github企業向け利用規約「5.情報利用の制限」)、また、企業などは「当社やその他ユーザからの苦情、削除要請、および連絡拒否の要請速やかに対応する」(Github利用規約「6.プライバシー」)ことが義務付けられています。

2.ネット系人材紹介会社と職業安定法5条の4・2019年の厚労省通達
また、2019年に就活生のネット閲覧履歴などのAI分析に基づく内定辞退予測データの販売が大きな社会的問題となったリクナビ事件を受けて、厚労省職業安定局は2019年9月6日付で「募集情報等提供事業者等の適正な運営について」(職発0906第3号令和元年9月6日)との通達を発出しています。

・厚労省職業安定局「募集情報等提供事業者等の適正な運営について」(職発0906第3号令和元年9月6日)|厚労省(PDF)

厚労省通達職発0906第3号

この2019年の通達では、人材紹介会社や求人企業などは、求職者の個人情報を収集する際には、「本人から直接収集」するか、あるいは「本人の同意」の下に収集をしなければならないと明記されており、職業安定法5条の4および指針通達平成11年第141号第4「法5条の4に関する求職者等の個人情報の取扱い」の規定が再確認されています。(なお、本人同意は形式的なものであってはならないこと、人材会社等のサービスを利用するために本人の同意を条件とするなど同意を事実上強制してはならないこと等も明記されていることも注目されます。)

また、この2019年の通達では、「人材会社などの事業者の判断により求職者の個人情報選別または加工を行うことの禁止」を明記していることも大いに注目されます。(これは、EUのGDPR22条や、2000年の労働省「労働者の個人情報保護に関する行動指針」第2、6(6)などの「コンピュータによる個人データの自動処理のみによる法的決定・重要な決定の拒否権」と同じ趣旨の考え方であると思われ注目されます。平成28年の個人情報保護委員会の「個人情報保護法ガイドライン(通則編)」制定後は、日本の官庁はこの自動処理拒否権を無視・否定しているかに見えたのですが、この考え方は現在も日本で有効であるようです。すなわち、現在の日本政府は、AIやコンピュータによる個人情報の無制限な利活用を許容していないことになります。

ネット系人材会社LAPRASなどは、サイトの説明によると、転職を希望している「転職顕在層」だけでなく、「転職潜在層」のGithubなどネット上の個人データを収集・加工して求人企業の人事部などに提供を行うビジネスを業務を行っているようです。また、同社サイトはオプトアウト手続きのための入力フォームを現在も設置しており、やはり本人の同意を得ていない個人の個人データをネット上で収集し加工するビジネスを現在も行っているようです。

LAPRAS宣伝
(LAPRAS社サイトより)

そのため、LAPRASなどネット系人材紹介会社の業務は、(LAPRASの場合は「転職潜在層」に関して)個人の個人情報について、「本人から直接取得」あるいは「本人の同意」を得て収集しておらず、また、それらの個人情報・個人データを事業者の判断で選別・加工して、その個人データを求人企業などに提供しているようです。

したがって、Githubなどネットで個人情報を収集してるネット系人材会社のLAPRASなどのビジネスモデルは、やはり、Githubの利用規約に違反してると共に、職安法5条の4や厚労省の通達平成11年第141号、2019年の厚労省通達職発0906第3号などに違反しているのではないかと思われます。

■参考文献
・菅野和夫『労働法 第12版』69頁、262頁
・小向太郎・石井夏生利『概説GDPR』93頁
・山本龍彦『AIと憲法』101頁

■関連する記事
・AI人材紹介会社LAPRAS(ラプラス)の個人情報の収集等について法的に考える
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた-個人情報・プライバシー・労働法・GDPR
・人事労務分野のAIと従業員に関する厚労省の労働政策審議会の報告書を読んでみた
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件-個人情報・公務の民間化
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた











このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ