なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:LINE

Screenshot_20250118-201323
(日本生命のLINE公式アカウント)

1.LINEヤフーが日本生命に「結婚予兆セグメント」のプロファイリングの個人データを販売
2025年1月13日のニュースイッチに「保険の成約率10倍以上に…日本生命、顧客開拓にLINE活用」日刊工業新聞2025年1月10日という興味深い記事が掲載されていました。

この記事によると、日本生命保険はLINEのLINE公式アカウントで友達登録したユーザーのうち、結婚する予兆のある層にピンポイントで保険を提案したところ、成約率がLINEを使わない提案手法に比べなんと10倍以上になったとのことです。「LINEヤフーはショッピングサイトの購買履歴などから傾向をつかみ、ユーザー・消費者をさまざまなセグメントに分類する。日本生命は自社のLINE公式アカウントの友達のうち、LINEヤフーが「結婚予兆セグメント」に分類した層にアプローチ」して、従来の10倍以上の保険契約の成約を達成したとのことです。

概要図
また、本記事によると、日本生命は同様に「転職活動の検討セグメント」の個人データもLINEヤフーから第三者提供を受けて採用活動に利用しているとのことで、さらに第一生命保険やT&Dグループも日本生命と同様にLINE公式アカウントを利用して保険の営業等を行っているとのことです。

たしかに保険の営業成績が10倍以上に伸びるということは大変なことであり、LINEヤフーや日本生命などのパートナー企業にとっては非常に素晴らしい話ですが、「結婚予兆セグメント」、「転職活動の検討セグメント」等の生々しいプロファイリングの第三者提供の話が出てくるとLINEのユーザー・消費者としては少し怖い気もします。(アメリカの大手スーパー・ターゲット社が顧客の購買履歴から妊娠をプロファイリングし該当する女性にベビー用品を販売した事件や、2019年のリクナビ事件などを連想する人も少なくないのではないかと思われます。*なお、ITメディアニュースの記事によると、NTTドコモもプロファイリング結果の第三者提供ビジネスを行っているそうです。

このようなLINEヤフーや日本生命などのパートナー企業のビジネスは、個人情報保護法などの関係からどのように考えられるのでしょうか。

2.プロファイリングについて
EUのGDPR22条などがプロファイリングについて法規制を行っている一方で、日本の個人情報保護法は真正面からはプロファイリングの法規制を行っていません。(プロファイリングの法規制については現在、個人情報保護委員会などで個情法改正に関連して検討が行われています。)

しかし、個情法17条1項は、事業者は「個人情報を取り扱うに当たっては、その利用の目的(以下「利用目的」という。)をできる限り特定しなければならない。」と利用目的の特定について規定し、個情委の個人情報保護法ガイドライン(通則編)の3-1-1(利用目的の特定(法第17条第1項関係))の「(※1)」はつぎのように規定しています。

【個人情報保護法ガイドライン(通則編)3-1-1】
(※1)「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。 本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。

例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。

【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例1)「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例2)「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」
個情法ガイドライン3-1-1
(個人情報保護法ガイドライン(通則編)3-1-1(※1))

このように、個情法17条1項をうけた個人情報保護法ガイドライン(通則編)3-1-1は、事業者がプロファイリングを行う場合には、その旨をプライバシーポリシー等の利用目的の部分に特定しておかないといけないと規定しています。

この点、LINEヤフーのプライバシーポリシーをみると、「4.d.当社サービスのお客様への最適化の具体例」の部分に、「たとえば、以下のような場合、当社は、お客様に最適化されたコンテンツを提供するためにパーソナルデータを利用します。・お客様の性別、ご購入履歴などから、おすすめ商品やニュース記事のご紹介など、お客様におすすめの情報をお届けする・配信した広告の効果を測定する」と規定されており、ユーザー本人の個人データからプロファイリングを行う旨が一応説明されています。そのため、LINEヤフーはプロファイリングに関しては個情法および同ガイドラインをクリアしているように思われます。

LINEヤフープラポリ4d
(LINEヤフー・プライバシーポリシー「4.d.当社サービスのお客様への最適化の具体例」)

3.プロファイリングした個人データの第三者提供について
つぎに、LINEヤフーがユーザーの個人データをプロファイリングして得た「結婚予兆セグメント」などの個人データを日本生命などのパートナー企業に第三者提供するためには、これは個人データの第三者提供ですので、ユーザー本人の同意かオプトアウトが必要となります(個情法27条1項、2項)。

そして、この点について個人情報保護法ガイドライン(通則編)3-6-1のなお書きは、「なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない(3-1-1(利用目的の特定)参照)。」と規定しています。

個情法ガイドライン3-6-1
(個人情報保護法ガイドライン(通則編)3-6-1のなお書き)

つまり、事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならないのであり、同意の取得に当たっては、その同意を実効あるものにするために、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む。)等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならないのであって、あらかじめ個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならないのです。

この点、LINEヤフーのプライバシーポリシーの「4.d.当社サービスのお客様への最適化の具体例」の下のほうの「また、一部の国または地域(*3)においては、お客様に最適化された広告などのおすすめのコンテンツを配信する目的でパーソナルデータを利用します。これには以下のような例が含まれます。」の部分には、「パートナーから取得したお客様に関する識別子(内部識別子、広告識別子など)、ハッシュ化した電話番号やメールアドレス、属性情報、購入履歴や視聴履歴を含むお客様に関する行動履歴などの情報を当社が保有するお客様に関する識別子(内部識別子、広告識別子など)、ハッシュ化した電話番号やメールアドレス、属性情報、広告接触履歴を含むサービス利用状況などのパーソナルデータと紐づけ、組み合わせるなどして、統計情報を作成し、当該統計情報をパートナーに対して提供する。」との記述があります。

LINEヤフープラポリ4dの下のほう
(LINEヤフーのプライバシーポリシーの「4.d.当社サービスのお客様への最適化の具体例」下部)

つまり属性情報、購入履歴や視聴履歴などの行動履歴、Cookie、広告接触履歴など様々なユーザーの個人データを集めて突合しプロファイリングを行い、「結婚予兆セグメント」などの「統計情報」を作成し、ユーザーの識別符号などとセットで当該統計情報をLINE公式アカウントのパートナー企業などに第三者提供していると説明されています。

そのため、LINEヤフーはプロファイリングの結果のパートナー企業等への第三者提供に関しては個情法および同ガイドラインをクリアしているように思われます。

(ただし、LINEヤフーのプライバシーポリシーにリンクが貼られた「属性によるサービスの最適化について」の「サービスの最適化において実施しないこと」の部分をみると、「健康状態や政治的信条、宗教など、お客様の機微な属性を推定・分類する行為」は実施しないとなっているのですが、「結婚予兆セグメント」、「転職活動の検討セグメント」等のプロファイリングはユーザー・消費者にとって「機微な属性」を推定・分類することのように思われ、疑問が残ります。)

4.まとめ
LINEヤフーがユーザーの様々な個人データを収集・突合してプロファイリングを行い、その結果をLINE公式アカウントなどのパートナー企業に第三者提供していることは、現行の個人情報保護法および同ガイドラインを一応はクリアしているように思われます。

しかし、LINEを利用している一般のユーザーは、自分がLINEを利用することによって自分の機微・センシティブな「結婚予兆セグメント」、「転職活動の検討セグメント」等がプロファイリングされ、しかもそのプロファイリング結果が第三者提供されているとはあまり自覚していないように思われます。

この点に関しては、LINEヤフーはプライバシーポリシー全体への同意取得で済ませるのではなく、セグメント等のプロファイリングを行うこと、そのプロファイリング結果をパートナー企業に第三者提供すること、等について個別の同意を取得する仕組みを用意するなど、より丁寧な対応がユーザーの「個人の人格尊重」(個情法3条)の観点からのぞましいように思われます。

■追記:プロファイリング結果の第三者提供
なお、『AIプロファイリングの法律問題』353頁以下(坂田晃祐・福岡真之介執筆部分)は、プロファイリング結果の第三者提供は、①本人はプロファイリング結果の内容を把握できないことが多いのであるから第三者提供時点でその影響を判断することができないリスクがあること、②本人はプロファイリング結果が第三者提供先でどのような利用目的で利用されるか予測できず、思わぬ不利益を受けるリスクがあること、③プロファイリング結果の内容によっては、本人が自己の欲しない他者に対し秘匿したいと考える事項が明らかになる場合、プライバシー権の侵害が発生するリスク(民法709条、憲法13条)が生じること、等から通常の個人データの第三者提供とは別に考える必要があると指摘しています。

そのため同書は、プロファイリング結果の第三者提供については、①第三者提供先の事業者の利用目的につき本人に情報提供または通知・公表を行うこと、②一定の範囲のプロファイリング結果(本人に軽微でない不利益を生じさせる可能性のあるプロファイリング結果)についてはオプトアウトによる第三者提供を禁止すべきこと、という通常の個人データとは異なる法規制を導入すべきであると提言しています。

この点、本ブログ記事で取り上げたLINEヤフーと日本生命などの事例の「結婚予兆セグメント」「転職活動の準備セグメント」などのプロファイリング結果は、上のリスクのなかの「③プロファイリング結果の内容によっては、本人が自己の欲しない他者に対し秘匿したいと考える事項が明らかになる場合、プライバシー権の侵害が発生するリスク(民法709条、憲法13条)」が発生する可能性が一定程度存在するものであると思われます。

そのため、LINEヤフーは包括的な同意でなく個別の同意を取得するだけでなく、どのようなプロファイリング結果を生成するのか、どのようなパートナー企業等にプロファイリング結果を第三者提供し、当該企業等の利用目的はどのようなものなのか等をユーザー本人にあらかじめ情報提供や通知・公表する必要があるように思われます。また、現行の個情法19条があいまいとは言え不適正利用の禁止を規定しているのですから、ユーザー本人に軽微でない不利益を発生させるおそれのあるプロファイリング結果については、そもそもプロファイリング自体を社内で禁止する等の対応も必要なように思われます。

■参考文献
・福岡真之介・杉浦健二・田中浩之・坂田晃祐ほか『AIプロファイリングの法律問題』42頁、353頁
・岡村久道『個人情報保護法 第4版』208頁

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

b97693cb

10月1日からLINEとヤフーが統合して一つの会社としてのLINEヤフーになるため、新会社のプライバシーポリシー等がネット上で公表されています。

・ヤフー株式会社とLINE株式会社のプライバシーポリシー統合のご案内|ヤフー
・LINEヤフープライバシーポリシー(案)

そこでこの新しいプライバシーポリシー(案)などをざっと読んでみたのですが、一番気になるのは、LINEヤフーの保有する個人データの保管場所でした。

つまり、2022年3月の朝日新聞による、LINEが日本のユーザーの個人情報を中国や韓国などで保管するなど不適切に取扱っているとのスクープ報道によりLINE社は炎上しました。国・自治体は一旦LINEを利用したサービスを停止するなどの事態に発展し、個人情報保護委員会と総務省はLINE社に対して行政指導を実施しました。このような事態を受けてLINE社は謝罪の記者会見を行い、「韓国にある日本ユーザーの個人情報はすみやかに日本のデータセンターに移転し保管する」趣旨の発表を行ったはずです。(また、この事件を受けて国は経済安全保障に関する政策を実施するようになりました。)

(関連する記事)
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた

ところが、今回公表されたLINEヤフープライバシーポリシー(案)の「6.b.パーソナルデータの保管場所」によると、なぜか「当社は日本のお客様のパーソナルデータを日本、アメリカおよび韓国のデータセンターで保管しています。」と説明されています。これは2022年の同社の謝罪の記者会見の公約と矛盾するのではないでしょうか?

ヤフープラポリ2
(LINEヤフープライバシーポリシー(案)より)

X(Twitter)上などネット上をみているとLINEやヤフーの関係者と思われる方々が統合のお祭りムードに包まれていますが、日本ユーザーの個人情報保護もしっかりと実施していただきたいと思います。これは経済安全保障にかかわる問題でもあります。(アメリカ、韓国に保管されている個人データはLINEではなくヤフーに係る個人データであるかもしれませんが、いずれにしてもLINEヤフーは日本ユーザーに説明を行うべきだと思われます。)

このブログ記事が面白かったらシェアやブックマークをお願いします!

人気ブログランキング

PR




このエントリーをはてなブックマークに追加 mixiチェック

LINEポケットマネーTOP

1.消費者金融の主戦場がスマートフォンに
最近の日経新聞の記事(「消費者金融、スマホ申し込み9割 LINEはペイ借り入れも」)によると、消費者金融の主戦場が店舗からスマートフォンに移行しているそうです。同記事はLINE子会社の消費者金融「LINEクレジット」の「LINEポケットマネー」とその前提となる信用スコアリングの「LINEスコア」について解説しています。

ところで同記事によると、LINEスコアではAI分析により、LINEの利用において「1か月前より友だち(連絡先)が減少した場合には、延滞や貸し倒れの確率(リスク)が2倍になった」等の分析結果を割り出し信用スコアリングを行っていることに、ネット上では「LINEの「友だち」が減ると信用スコアが減ってしまうのか!?」等と驚きや困惑の声が広がっています。

LINEクレジットの与信判断の例
(LINEクレジットの与信判断の例。「消費者金融、スマホ申し込み9割 LINEはペイ借り入れも」日経新聞記事より)

2.プロファイリングと差別の問題
2022年4月に公表された、商事法務の「パーソナルデータ+α研究会」の「プロファイリングに関する最終提言」4頁によると、AI等によるプロファイリングとは「パーソナルデータとアルゴリズムを用いて、特定の個人の趣味嗜好、能力、信用力、知性、振る舞いなどを分析・予測すること」と定義されています。そしてプロファイリングの具体例は「融資の場面におけるAIを用いた個人の信用力の測定」などであるとされています。つまりLINEポケットマネーおよびLINEスコアはAIによるプロファイリングの問題といえます。

そしてプロファイリングにおいては差別のおそれが重要なリスクです。つまり、AIに学習させた個人データのデータセットに、もし人種や性別などの個人の属性に関するバイアス(偏り)が存在していた場合、そのバイアスが含まれた評価結果が生成され、結果として審査等の対象となる個人が不当な差別を受けるおそれがあります。

例えば2018年に米アマゾンがAIを用いた人事採用システムを導入した後、女性の評価が不当に低い欠陥が発覚し当該システムの利用を取りやめた事例は注目を集めました。このように不当な差別が意図せず生じてしまうことに、AIによるプロファイリングの恐ろしさがあります。また、AIを活用した機械的な審査では、対象者のスキルや実績などを十分に評価できず、特定の属性を持つ者に対して不当に厳しい条件が出力されてしまうおそれもあり、人間による判断が介在しないことは危険であると考えられます(久保田真悟「プロファイリングのリスクと実務上の留意点」『銀行法務21』890号(2022年10月号)45頁、47頁)。

この点、LINEポケットマネー・LINEスコアの「1か月前より友だち(連絡先)が減少した場合には、延滞や貸し倒れの確立(リスク)が2倍になった」等のAIの機械学習による評価結果には本当に不当な差別を招くバイアスが含まれていないかには疑問が残ります。(なおLINEポケットマネーのサイトを読むと「10分で融資可能か審査します」等と記載されており、人間の判断が介在していないのではと思われます。)

3.プロファイリングにおける要配慮個人情報の推知と取得の問題
プロファイリングによる個人データの生成行為(あるいは推知)が要配慮個人情報の「取得」に該当するかについては重要な解釈問題として議論されています(宇賀克也『新・個人情報保護法の逐条解説』215頁)。

しかしプライバシー権(憲法13条)との関係上、プロファイリングは要配慮個人情報やセンシティブ情報について、直接これらの情報を取得せずとも高い確率でこれらの情報を推知可能です。つまりプロファイリングによる要配慮個人情報の推知は取得とほぼ異ならないため、実務上は要配慮個人情報やセンシティブ情報の推知を取得とみなして業務対応を行うべきとの指摘がなされています(久保田・前掲46頁)。

この点、要配慮個人情報の取得については「本人の同意」が必要であるところ(個人情報保護法20条2項)、LINEポケットマネー(同クレジット)およびLINEスコアのプライバシーポリシーを読むと、「与信・融資の審査のために要配慮個人情報を取得・利用する」等との明示はなされておらず、本人の同意は十分に取得されていないのではないかとの疑問が残ります。(「本人の同意」については後述。)

(なお、LINE社のプレスリリース「【LINE】「LINE」、スペインの登録ユーザー数がヨーロッパ圏で初めて1,000万人を突破」などによると、LINEのスペインのユーザーは1000万人を超えているそうです。欧州のGDPR(一般データ保護規則)22条1項は、コンピュータやAIによる個人データの自動処理の結果のみをもって法的決定や重要な決定を下されない権利を規定し、同条2項はそのような処理のためには本人の明確な同意が必要であると規定しています。そのため、もしLINEポケットマネーのサービスがスペイン等の欧州のユーザーに提供されていた場合、LINEはGDPR22条2項違反のおそれがあります。)

4.「本人の同意」の方式をLINEは満たしているか?
個人情報保護法は上でみた法20条2項だけでなく、法18条(利用目的の制限)、法27条(第三者提供の制限)、法28条(外国にある第三者への提供の制限)および法31条(個人関連情報の提供の制限)などの場面で本人の同意の取得を事業者に義務付けています。この本人の同意の方法については、「事業の性質および個人情報の取得状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法」によらなければならないと解されています(岡村久道『個人情報保護法 第4版』119頁)。

そして金融業や信用業務に関しては一般の事業よりもデリケートな個人情報を扱うため、それぞれの分野の個人情報保護に関するガイドラインが制定されています。「金融分野における個人情報保護に関するガイドライン」3条は、金融機関に対して、本人の同意を得る場合には、原則として書面(電磁的記録を含む)によるとした上で、事業者が事前に作成した同意書面を用いる場合には、文字の大きさ及び文書の表現を変える等の措置を講じることが望ましいとしています。

また「信用分野における個人情報保護に関するガイドライン」Ⅱ.1.(3)は、与信事業者は本人の同意を得る場合には、原則として書面(電磁的記録を含む)によることとし、文字の大きさ、文章の表現その他の消費者の理解に影響する事項について消費者の理解を容易にするための講じることを義務付けています。債権管理回収業ガイドラインもほぼ同様の規定を置いています(岡村・前掲121頁)。

この点、LINEポケットマネーのユーザーの申込み画面をみると、つぎの画像のように、LINEクレジット(LINEポケットマネー)やLINEスコアの利用規約やプライバシーポリシーへのリンク一覧が貼られ、そのリンク横にチェックを入れる画面があるだけで「次へ」と進むボタンがあるだけとなっています。

LINEポケットマネー同意画面
(LINEポケットマネーの申込みの際の同意画面)

それぞれのプライバシーポリシーを個別に見ても、プロファイリングや要配慮個人情報を取得(または推知)することを明示した条項はありません。(LINEポケットマネーのプライバシーポリシーの「3.機微(センシティブ情報の取扱い)」には、「(7)保険業その他金融分野の事業のため」との条項があるが、「与信」、「融資」または「信用」などの明示はなく、文字の大きさや文章の表現などの工夫もなされていない。)

したがってLINEポケットマネーのサービスは、「文字の大きさ、文章の表現その他の消費者の理解に影響する事項について消費者の理解を容易にするための講じる」等の信用分野個人情報保護ガイドラインⅡ.1.(3)などの規定への違反があるといえます。

また、LINEポケットマネーのプライバシーポリシーを見ると、韓国の関連会社(決済・バンキングシステムのLINE Biz Plus等)に業務委託を行っているとありますが、外国にある第三者(韓国の関連会社)への業務委託があるにもかかわらず、上でみたようにユーザーの本人の同意を明確に得ていないことは、これも個人情報保護法28条や信用分野個人情報保護ガイドラインⅡ.1.(3)などの規定への違反であると思われます。(法28条(外国にある第三者への提供の制限)の「提供」には、「委託」や「共同利用」なども含むため。)

5.まとめ
このように、LINEポケットマネーおよびLINEスコアのサービスは、プロファイリングについて不当な差別のおそれがあり、また特に要配慮個人情報の推知・取得について個人情報保護法20条2項などの違反の可能性があり、さらにユーザーの本人の同意の取得について法28条や信用分野個人情報保護ガイドラインⅡ.1.(3)等の違反の可能性があると思われます。

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考文献
・宇賀克也『新・個人情報保護法の逐条解説』215頁
・岡村久道『個人情報保護法 第4版』119頁、121頁
・山本龍彦「AIと個人の尊重、プライバシー」『AIと憲法』59頁
・久保田真悟「プロファイリングのリスクと実務上の留意点」『銀行法務21』890号(2022年10月号)44頁
・ヤフーの信用スコアはなぜ知恵袋スコアになってしまったのか|高木浩光@自宅の日記
・「消費者金融、スマホ申し込み9割 LINEはペイ借り入れも」|日本経済新聞
・「プロファイリングに関する最終提言」|商事法務「パーソナルデータ+α研究会」

■関連する記事
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた(追記あり)
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・LINEの改正プライバシーポリシーがいろいろとひどいー委託の「混ぜるな危険」の問題・外国にある第三者
・ヤフーのYahoo!スコアは個人情報保護法的に大丈夫なのか?



[広告]








このエントリーをはてなブックマークに追加 mixiチェック

ラインのアイコン
1.LINE社のLINE通知メッセージ
ネット上でLINEの「LINE通知メッセージ」は個人情報保護法的に大丈夫なのか?という声があがっています。

「LINE通知メッセージ」とは、郵便局(日本郵便)の「郵便局eお届け通知」などのメッセージが、郵便局等のアカウントを友だち追加していなくても勝手に突然届くサービスのことです。LINE社の説明サイト「LINE通知メッセージを受信する方法」などによると、本サービスは郵便局などの提携事業者から電話番号とメッセージを、委託されたLINE社が自社が保有する顧客個人データの電話番号と突合し、該当するユーザーに当該メッセージを送信するものであるそうです。またLINE社は該当するユーザーのユーザー識別符号を郵便局などの提携事業者に第三者提供するそうです。そしてユーザー本人はLINEの設定画面からこのユーザー識別符号の提供をオプトアウト手続きで停止することができるとされています。

結論を先取りしてしまうと、この「LINE通知メッセージ」は、①いわゆる委託の「混ぜるな危険」の問題(個人情報保護法27条5項1号)の違反②提携企業にユーザー識別符号をオプトアウト方式で提供するとなっていること等がプライバシーポリシーに明記がなく法27条2項違反、の2点で違法なのではないかと思われます。

2.委託の「混ぜるな危険」の問題
個人情報保護委員会(PPC)の個人情報保護法ガイドラインQA7-41は、委託に伴って委託元から提供された個人データを委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできないとしています。

これは「委託」(個人情報保護法27条5項1号)とは、PCへのデータ入力など委託元ができる業務を委託先に委託するスキームであり、委託元ができないことを委託先に行わせることは「委託」のスキームを超えるものであるからです。これはいわゆる「委託の「混ぜるな危険」の問題」と呼ばれるものです(岡村久道『個人情報保護法 第4版』327頁、田中浩之・北山昇「個人データ取扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号29頁)。

個人情報保護法ガイドラインQA7-41
(個人情報保護法ガイドラインQA7-41。個人情報保護委員会サイトより)

この点、LINE社の「LINE通知サービス」は日本郵便などの委託元から提供された電話番号という個人データを委託先であるLINE社が独自に収集して保有するユーザーの電話番号等の個人データと突合し、該当するユーザーに提供されたメッセージ等を表示するものであり、個人情報保護法の「委託」のスキームを踏み越えており違法なものです(法27条5項1号、個人情報保護法ガイドラインQA7-41)。(もしLINE社がこのような業務を行うためには、第三者提供の原則に戻って、ユーザー本人のあらかじめの本人の同意が必要となります(法27条1項)。)

3.「LINE通知サービス」のオプトアウト手続き
つぎに、個人情報保護法27条2項はオプトアウト方式による第三者提供のためには、第三者に個人データをオプトアウト方式で提供することをプライバシーポリシーなどの利用目的に明示すること(法27条2項2号)や、本人はオプトアウトできること(同6号)等の事項をあらかじめプライバシーポリシー等に表示しなければならないと規定していますが、LINE社のLINEのプライバシーポリシーにはその明示がありません。 パーソナルデータの利用目的
(LINEの「パーソナルデータの利用目的」。LINE社のLINEプライバシーポリシーより)

そして、LINEプライバシーポリシーの「4.d.お客様に最適化されたコンテンツの提供」と、Google検索などでようやく出てくる「LINE通知メッセージを受信する方法」サイトやLINEの設定画面などを読んでようやく「LINE通知サービス」の概要とオプトアウト方法が分かるのは、個人情報保護法27条2項違反と言わざるを得ないのではないでしょうか。 お客様に最適化されたコンテンツの提供
(LINEプライバシーポリシーの「4.d.お客様に最適化されたコンテンツの提供」より)

LINE通知メッセージを受信する方法
(LINE社サイト「LINE通知メッセージを受信する方法」より)

LINE通知メッセージの設定画面
(LINEアプリの設定画面の「LINE通知メッセージの設定画面」より)

4.個人情報・個人関連情報
なお、LINE社はユーザー識別符号や電話番号は個人情報ではないと反論するかもしれません。しかし、提供元のLINE社内の顧客情報DB等を照合して、「個人に関する情報」であって「あの人、この人」と「個人を識別できるもの」は個人情報です(法2条1項1号)。

PSX_20220610_102905
(鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』20頁より)

また、万一、これらのユーザー識別符号や電話番号が個人情報でないとしても個人関連情報に該当するので、第三者提供にはやはり本人の同意が必要です(法31条1項1号)。

5.まとめ
このように、「LINE通知メッセージ」は、①いわゆる委託の「混ぜるな危険」の問題(個人情報保護法27条5項1号)の違反②提携企業にユーザー識別符号をオプトアウト方式で提供するとなっていること等がプライバシーポリシーに明記がなく法27条2項違反、の2点で違法なのではないかと思われます。

LINE社のLINEは2021年3月に、峯村健司氏などの朝日新聞のスクープ報道により個人情報の杜撰な取扱いが発覚し、大きな社会問題となり、個人情報保護委員会と総務省から行政指導を受けました。また内閣官房・個人情報保護委員会・金融庁などは、行政機関・自治体のLINE利用のガイドラインを制定する等しました。Zホールディングスが設置した有識者委員会の最終報告書は、LINE社内の情報セキュリティ部門などが繰り返し問題点を経営陣に伝えていたのに、出澤剛社長ら経営陣はそれらの問題の解決を放置していたことなど、LINE社の経営陣はコンプライアンスやガバナンスの意識が欠落していたことを指摘していました。出澤社長を始めとするLINE社は、コンプライアンスとガバナンスの徹底を記者会見などで誓ったはずですが、この「LINE通知メッセージ」の個人情報保護法違反の問題には、LINE社の姿勢に大きな疑問が残ります。

このブログ記事が面白かったらブックマークやシェアをお願いします!

■関連する記事
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・LINEの改正プライバシーポリシーがいろいろとひどいー委託の「混ぜるな危険」の問題・外国にある第三者
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・CCCがトレジャーデータと提携しTポイントの個人データを販売することで炎上中なことを考えたー委託の「混ぜるな危険」の問題

■参考文献
・岡村久道『個人情報保護法 第4版』319頁
・田中浩之・北山昇「個人データ取扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号29頁
・鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』20頁













このエントリーをはてなブックマークに追加 mixiチェック

ラインのアイコン

1.LINEがプライバシーポリシーを改正
LINE社が3月31日付でLINEのプライバシーポリシーを改正するようです。その内容は、①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用、②統計情報の作成・提供、③越境移転に関する情報の追加、の3点となっています。

このなかで①②はどちらも他社データをLINEの保有する個人データに突合・名寄せをして該当するユーザーに広告やメッセージ等を表示する等となっておりますが、これは委託の「混ぜるな危険の問題」に該当し、本年4月施行の個人情報保護委員会(PPC)の個人情報保護法ガイドラインQA7-41、42、43から違法の可能性があると思われます。また、この改正がLINEのプライバシーポリシー本体に記載されていないこと、昨年3月に炎上した「外国にある第三者」の外国の個人情報保護の制度等の情報の部分が「準備中」となっていることも個人情報保護法上問題であると思われます。

・プライバシーポリシー改定のお知らせ|LINE
・LINEプライバシーポリシー|LINE

2.①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用
LINE社の「LINEプライバシーポリシー変更のご案内」によると、「①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用」は、「ユーザーの皆さまへ提携事業者が「公式アカウントメッセージ送信」や「広告配信」などを行う際、当該提携事業者から取得した情報(ユーザーの皆さまを識別するIDなど)をLINEが保有する情報と組み合わせて実施することがあります。」と説明されています。

ラインプライバシーポリシー変更のご案内2
(LINE社の「LINEプライバシーポリシー変更のご案内」より)

そして、この点を詳しく説明した「LINEプライバシーポリシー改正のご案内」は①についてつぎのように説明しています。

情報の流れ
1.A社(提携事業者)が、商品の購入履歴のあるユーザー情報(ユーザーに関する識別子、ハッシュ化されたメールアドレス、電話番号、IPアドレス、OS情報など)を加工してLINEに伝える
   ↓
2.LINEが、A社から受け取ったユーザー情報の中からLINEのユーザー情報だけを抽出する
   ↓
3.抽出されたユーザーに対して、A社の保有するLINE公式アカウントからのメッセージ送信や、広告の配信を実施する
ライン1
ライン2
(LINE社の「LINEプライバシーポリシー変更のご案内」より)

この「情報の流れ」によると、LINE社の提携事業者A社は、ユーザーを識別するためのハッシュ化されたメールアドレス、電話番号、IPアドレスなどのユーザー情報をLINE社に提供し、当該ユーザー情報をLINE社は同社が保有する個人データ(個人情報データベース)と突合・名寄せし(=混ぜる)、LINEのユーザー情報だけを抽出し、当該抽出されたユーザーに対して、A社の保有するLINE公式アカウントからのメッセージ送信や、広告の配信を実施するとなっています。

3.委託の「混ぜるな危険」の問題
しかしこのプロセス中の、「提携事業者A社は、ユーザーを識別するためのユーザー情報をLINE社に提供し、当該ユーザー情報をLINE社は同社が保有する個人データ(個人情報データベース)と突合・名寄せし、LINEのユーザー情報だけを抽出する」というプロセスは、いわゆる委託の「混ぜるな危険の問題」そのものです。

この点、PPCの「個人情報保護法ガイドライン(通則編)」(2022年4月1日施行版)3-6-3(1)は、委託の「委託先は、委託された業務の範囲内でのみ本人との関係において委託元である個人情報取扱事業者と一体のものと取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない」と規定しています(個人情報保護法ガイドライン(通則編)3-6-3 第三者に該当しない場合(法第27条第5項・第6項関係)(1)委託(法第27条第5項第1号関係))。

そして改正前のPPCの個人情報保護法ガイドラインQA5-26-2は、「委託先が委託元から提供された個人データを他社の個人データと区別せずに混ぜて取り扱う場合(いわゆる「混ぜるな危険」の問題)について、委託として許されない」としています(田中浩之・北山昇「個人データ取扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号29頁)。

すなわち、委託(改正個人情報保護法27条5項1号・改正前法23条第5項第1号)とは、コンピュータへの個人情報のデータ入力業務などのアウトソーシング(外部委託)のことですが、委託元がすることができる業務を委託先に委託できるにとどまるものであることから、委託においては、委託元の個人データを委託先の保有する個人データと突合・名寄せなどして「混ぜて」、利用・加工などすることは委託を超えるものとして許されないとされているのです。

そして、2022年4月1日施行の改正版のPPCの個人情報保護法ガイドラインQA7-41はこの点を次のように明確化しています。
Q7-41
委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできますか。

A7-41
個人データの取扱いの委託(法第23条第5項第1号)において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。

事例1)既存顧客のメールアドレスを含む個人データを委託に伴ってSNS運営事業者に提供し、当該SNS運営事業者において提供を受けたメールアドレスを当該SNS運営事業者が保有するユーザーのメールアドレスと突合し、両者が一致した場合に当該ユーザーに対し当該SNS上で広告を表示すること

事例2)既存顧客のリストを委託に伴ってポイントサービス運営事業者等の外部事業者に提供し、当該外部事業者において提供を受けた既存顧客のリストをポイント会員のリストと突合して既存顧客を除外した上で、ポイント会員にダイレクトメールを送付すること

これらの取扱いをする場合には、①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要があります。(令和3年9月追加)

QA7-41
(個人情報保護法ガイドラインQA7-41より)

したがって、委託先であるLINE社が委託元の提携事業者A社から商品の購入履歴のあるユーザー情報を受け取り、LINE社が自社が保有する個人データと当該A社の他社データを突合・名寄せしてユーザーを抽出し、当該ユーザーに広告やダイレクトメールを送信するなどの行為は、PPCの個人情報保護法ガイドラインQA7ー41の事例1、事例2にあてはまる行為であるため許されません。

この点、PPCの個人情報保護法ガイドラインQA7ー41はこの委託の「混ぜるな危険」の問題をクリアするためには、「①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要がある」としています。

そのため、LINE社が第三者提供としての本人の同意を取得しないと、今回のLINE社のプライバシーポリシーの改正の①の部分は違法となります。

4.「本人の同意」について
なおこの場合は、法27条5項1号の「委託」に該当しないことになり、原則に戻るため、法27条1項の本人の同意が必要となるため、法27条2項のオプトアウト方式による本人の同意では足りないことになります(岡村久道『個人情報保護法 第3版』263頁)。

また、個人情報保護法ガイドライン(通則編)3-4-1は、本人の同意の「同意」について、「同意取得の際には、事業の規模、性質、個人データの取扱状況等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなくてはならない」と規定しています。

しかし、LINE社のスマホアプリ版のLINEを確認すると、冒頭でみたように、①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用、②統計情報の作成・提供、③越境移転に関する情報の追加、の3点が簡単に表示されているだけで、①②が委託の「混ぜるな危険の問題」に関するものであることの明示もなく、プライバシーポリシーの改正への「同意」ボタンしか用意されていません。これではPPCのガイドラインの要求する「本人の同意」に関する十分な説明がなされていないのではないかと大いに疑問です。

5.プライバシーポリシーに記載がない?
さらに気になるのは、LINE社の改正版のプライバシーポリシーをみると、上の①②に関する事項が「パーソナルデータの提供」の部分にまったく記載されていないようなことです。さすがにこれはひどいのではないでしょうか。たしかに「LINEプライバシーポリシー変更のご案内」には最低限の記載は存在し、これやプライバシーポリシーを両方とも一体のものとして読めばいいのかもしれませんが、これで通常の判断能力を持つ一般人のユーザーは合理的にLINEのプライバシーポリシーの改正を理解できるのでしょうか?

パーソナルデータの提供
(LINEプライバシーポリシーより)

LINE社の経営陣や法務部、情報システム部などは、昨年、情報管理の問題が国・自治体を巻き込んで大炎上したにもかかわらず、あまりにも情報管理を軽視しすぎなのではないでしょうか。

6.「②統計情報の作成・提供」について
LINE社のプライバシーポリシーの改正点の2つ目の「②統計情報の作成・提供」は、「LINEプライバシーポリシー変更のご案内」によると、広告主等の提携事業者から情報(ユーザーの皆さまを識別するIDや購買履歴など)を受領し、LINEが保有する情報と組み合わせて統計情報を作成することがあります。提携事業者には統計情報のみを提供し、ユーザーの皆さまを特定可能な情報は提供しません。」と説明されています。

ライン3
ライン4
(「LINEプライバシーポリシー変更のご案内」より)

つまり、「②統計情報の作成・提供」も①と同様に広告主などの提携事業者の他社データをLINE社が自社の個人データと突合・名寄せして、ユーザーの行動傾向や趣味・指向などを分析・作成等するものであるようです。LINE社は分析・作成した成果物は統計情報であるとしていますが、4月1日施行のPPCの個人情報保護法ガイドラインQA7ー38は、成果物が統計情報であったとしても、委託元の利用目的を超えて委託先が当該統計情報を利用等することはできないと規定しており、同時に同QA7ー43も、統計情報を作成するためであったとしても、委託の「混ぜるな危険の問題」を回避することはできないと規定しています。したがって、②の場合についても、第三者提供として本人の同意を取得しない限りは、同取扱いは違法となります。

7.「外国にある第三者」の外国の個人情報保護の制度等の情報の部分が「準備中」?
さらに、今回のLINE社のプライバシーポリシー改正の三番目の「③越境移転に関する情報の追加」の部分については、プライバシーポリシーの該当部分の「外国のパーソナルデータ保護の制度等の情報はこちら」の部分をクリックして開いても、「ただいま準備中てす」との文言しか表示されませんでした(2022年3月28日現在)。この「外国にある第三者」に係る外国の個人情報保護の制度等の情報については、あらかじめ本人に提供しなければならないと改正個人情報保護法28条2項が明記しているのにです。PPCや総務省からみて、LINE社のこのような仕事ぶりが許容されるのか大いに疑問です。

(なお、プライバシーポリシーも民法の定型約款の一種ですが、民法548条の2第2号の規定から、事業者は契約締結や契約が改正された場合はあらかじめ約款の表示が必要と解されています。PPCサイトにはすでに事業者が参考になる外国の制度等の情報が掲載されていることも考えると、3月下旬ごろからプライバシーポリシー改正の本人同意の取得をはじめているLINE社のプライバシーポリシーの一部が未完成なのは、民法や消費者保護の観点からもやはり大問題です。)

ただいま準備中です
(LINE社のプライバシーポリシーより)

8.まとめ
このように、今回、LINE社がプライバシーポリシーを改正した①②は、委託の「混ぜるな危険」の問題に関するものであり、LINE社は第三者提供の本人の同意を取得しなければ違法となります。この「本人の同意」について、PPCの個人情報保護法ガイドライン(通則編)は、「本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示す」ことが必要としているにもかかわらず、LINE社の説明はオブラートにくるんだようなものであり、これで通常の一般人のユーザーがプライバシーポリシーの改正内容を十分理解をした上で「本人の同意」をできるのか非常に疑問です。とくに今回の改正内容がプライバシーポリシー本体に盛り込まれていないことは非常に問題なのではないでしょうか。

また、「外国にある第三者」の外国の個人情報保護法制などの制度の情報に関する部分が「準備中」となっているのも、昨年3月にこの部分が大炎上したことに鑑みても非常に問題です。

LINEの日本のユーザー数は約8900万人(2021年11月現在)であり、日本では最大級のSNSであり、またLINE社は2021年3月に朝日新聞の峰村健司氏などのスクープ記事により、個人情報の杜撰な管理が大炎上したのに、LINE社の経営陣や法務部門、情報システム部門、リスク管理部門などの管理部門は、社内の情報管理をあいかわらず非常に軽視しているのではないでしょうか。大いに疑問です。

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考文献
・宇賀克也『新・個人情報保護法の逐条解説』245頁、277頁
・岡村久道『個人情報保護法 第3版』246頁、125頁
・佐脇紀代志『一問一答令和2年改正個人情報保護法』52頁、54頁
・田中浩之・北山昇「個人データ取扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号29頁
・児玉隆晴・伊藤元『改正民法(債権法)の要点解説』108頁

■関連する記事
・2022年の改正職業安定法・改正個人情報保護法とネット系人材紹介会社や就活生のSNS「裏アカ」調査会社等について考えるープロファイリング
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・個人情報保護法改正対応の日経新聞の日経IDプライバシーポリシーの改正版がいろいろとひどい
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・ドイツ・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権について
・スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?-プロファイリング拒否権・デジタル荘園・「デジタル・ファシズム」
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか?
・CCCがトレジャーデータと提携しTポイントの個人データを販売することで炎上中なことを考えたー委託の「混ぜるな危険」の問題



このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ