１．老人ホームなどで施設職員が入居者に「誕生日おめでとうございます」と声を掛けることは許されない？
5月20日付でYahoo!ニュースに、「「誕生日おめでとうございます」は禁止？　過剰な「高齢者の個人情報保護」がもたらすデメリット｜オトナンサー」という興味深い記事が掲載されていました。この記事によると、個人情報保護法を遵守する目的で、施設職員が入居者に「誕生日おめでとうございます」と声を掛けるのを禁じている高齢者住宅や高齢者施設があるとのことです。これはいわゆる「個人情報保護法の過剰反応」と呼ばれる問題ですが、これはなかなかまずい問題だなと思いました。

２．個人情報保護委員会・厚労省の個人情報保護法ガイドラインQA
この点、例えば個人情報保護委員会（PPC）の個人情報保護法ガイドラインQA1-35を見ると、「Ｑ１－35 障害福祉サービス事業者等において個人情報を取り扱う際に、留意すべきことはありますか。 」というQに対して、「施設利用者の特性に応じて、個人情報の取扱いについて分かりやすい説明を行うことが望ましい」等の趣旨のAが解説されているだけで、別に福祉施設等に対して一律に利用者本人の氏名・生年月日などを声にだすことを禁止する等のことは記載されていません。


（PPCの個人情報保護法ガイドラインQA１－３５より）

あるいは個人情報保護委員会・厚労省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」 に関するＱ＆Ａ（事例集）」の各論3-10は、「外来患者を氏名で呼び出したり、病室における入院患者の氏名を掲示したりする場合の留意点は何ですか。（後略）」というQに対して、「患者から、他の患者に聞こえるような氏名による呼び出しをやめて欲しい旨の要望があった場合には、医療機関は、誠実に対応する必要がある」とのAを解説していますが、一律に氏名で呼び出すことは禁止などとはしていません。


（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンスQA各論3-10より）

このように個人情報保護委員会や厚労省のQAを見てみると、やはり冒頭の記事にあった、施設職員が入居者に「誕生日おめでとうございます」と声を掛けるのを禁じている高齢者住宅や高齢者施設があるということは過剰な対応であり、望ましくないと思われます。

３．個人情報保護法の立法目的
なお、個人情報保護法の立法目的については日本の多数説的な見解は自己情報コントロール権としますが、その伝統的な見解は、その立法目的の核心部分は個人の思想・信条や内心などが保護されるべきものであると考えています。この考え方からは老人ホームなどの福祉施設や医療機関などで誕生日や氏名などを呼ぶことは一律禁止にすることは「個人情報保護法の過剰反応」であり的外れであると思われます。

あるいは、産業技術総合研究所主任研究員の高木浩光先生などは近年、個人情報保護法の立法目的はAIやコンピュータの「個人データによる人間の選別」の防止であるとの見解（つまり個人情報保護法が真に保護しようとしているのは「個人」であって、「氏名・住所・生年月日」などの個人情報ではない）を主張されておられますが、この見解にたてば、福祉施設や医療機関などで利用者本人の氏名や誕生日などを声に出すことを一律に禁止することなどは、これも完全に的外れになると思われます。

このブログ記事が面白かったらシェアやブックマークをお願いします！



PR

タグ ：

#security

#privacy

#個人情報

#個人情報保護法の過剰反応

#PPC

#厚労省

#福祉施設

#医療機関

#高木浩光

#これはひどい

2022年にはいってから、個人情報保護委員会（PPC）で「防犯予防や安全確保のためのカメラ画像利用に関する有識者検討会」が開催されています。そこで、PPCサイトで公表されている同検討会の資料を読み、気がついたところを簡単にまとめてみました。

・犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会（第１回）
・犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会（第２回）
・犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会（第３回）

Ⅰ．資料２「顔識別機能付き防犯カメラの利用に関する法的整理と検討課題」について
１．２頁の３．カメラ画像の提供の（３）共同利用について
（１）防犯カメラの個人データが際限なくどんどん広範囲に共同利用されてしまうおそれへの歯止めが必要ではないか。学者の先生方の教科書をみると、共同利用の限界は「書店業界」など「〇〇業界」のなかが限界（外延）であるように読めるが（園部逸夫・藤原静雄『個人情報保護法の解説 第二次改訂版』187頁）、もし防犯カメラの個人データが「日本の小売業全体」で共同利用されてしまったら、それは範囲が広すぎではないか。立法などで歯止めをかけるべきではないか。

（２）また第三者提供の例外である委託、事業承継、共同利用のなかで、共同利用は一番抽象的で事業者にいかようにも利用されてしまうリスクが高い。（例、TポイントのCCCの個人データの管理が当初、共同利用とされていたことなど）この点は、今後の個人情報保護法の改正などで明確化を図るべきではないか。

２．２頁の開示等請求について
（１）いわゆる「防犯カメラの冤罪被害者」の方々がスーパーや警備会社などに開示等請求をしても、一番多い対象は「うちはそういうことはやってない」「そういうデータは保存していない」と対応を断られることである。この場合、個人情報保護法上は開示等請求の民事訴訟を提起するしか対応方法がないが、これは一般市民にはハードルが高すぎる。例えば個人情報保護委員会（PPC）への相談、申告などの手続きを経て、PPCから事業者に対して助言・指導を行わせるなど、PPCが関与して紛争解決をするための手続きがあったほうがよいのではないか。

３．３頁の（１）利用目的の特定について
（１）PPCの個人情報保護法QA1-12は、ただの防犯カメラは個人情報保護法21条４項４号との関係で事業者は「防犯カメラ作動中」との掲示・表示さえすればよしとされているが、顔識別機能付き防犯カメラの場合は「防犯のために顔識別技術を用いた顔識別データの取扱が行われていること」を示す掲示・表示が必要としているが、現状ではほとんどの事業者が後者を遵守していない。遵守させるために、ガイドラインやQAだけでなく立法が必要なのではないか。

４．12頁のカメラ画像の提供の（３）共同利用、個人情報保護法ガイドラインQA7－50について
（１）共同利用する個人データは「真に必要な範囲に限定」、「データベースへの登録条件を整備」とあるが、特にいわゆる「防犯カメラの冤罪被害者」の人々が被る権利利益の侵害、個人の尊重と基本的人権（プライバシー権など）の侵害は重大であるため、この部分を事業者や認定個人情報保護団体のブラックボックスとさせないように、登録条件・基準や保存期間、開示等請求の手続き、問合せ窓口などを事業者に制定させ公開させ遵守を義務付けるための立法が必要なのではないか。ガイドラインやQAなどでは足りないのではないか。個人情報保護法は事業者による個人情報の利用と国民の権利利益の保護や人権保障のバランスをとる法律であることを考えると、PPCは国民の個人の尊重と基本的人権を守るための行政活動や立法活動がより必要なのではないか（個人情報保護法１条、３条）。

５．13頁の開示等請求の施行令５条各号について
（１）一般論としては、事業者側の対犯罪対応、反社対策、警察などの対テロ対応、安全保障対策のためにこのような除外規定があることは理解できるが、しかしいわゆる「防犯カメラの冤罪被害者」のように間違ってデータベースに登録された人々の権利救済のためには、施行令５条にも、本人が異議申し立てをできる場合を明記するような方向で、個人情報保護法を改正すべきではないか。施行令５条が事業者の免罪符になっている現状は問題である。（例えば施行令５条に該当する場合でも、冤罪被害のおそれが高い場合には、PPCや裁判所の関与のもとにインカメラ手続きなどを利用して本人の権利救済を図るなど。）


（個人情報保護法施行令５条。PPCの資料２より）

６．企業の特定分野を対象とする団体を認定する認定個人情報保護団体の創設について
（１）この法改正により、あまりにも広い範囲で個人データの共同利用がなされてしまった場合、本人の合理的な予測ができず、本人の権利利益の侵害となってしまうのではないか。（例えば業界をまたぐ個人データの共同利用などは認めるべきではないのでは。）認定個人情報保護団体や事業者の利便性とは別に、本人・国民の側の権利利益の保護も図られるべきではないか。

７．17頁の事業者の自主的な取り組みについて
（１）これらの事業者の自主的な取り組みを事業者に実施させるために、自主的な取り組みの制定・公表を事業者や認定個人情報保護団体に義務付け、遵守させるために、枠組み立法が必要なのではないか。

Ⅱ．資料３「顔識別機能付き防犯カメラの利用に関する国内外動向」について
（１）EUのGDPR22条だけでなく、同22条のプロファイリング拒否権やAI規制法案も検討すべきではないか。また、GDPR22条については、日本の2000年の旧労働省の「労働者の個人情報保護のための行動指針」第２第６（６）もプロファイリング拒否権を明記していたことをもっと注目すべきではないか。

（２）ドイツは憲法擁護庁など諜報機関の防犯カメラなどの統制のために「テロ対策データベース法」などを制定して諜報機関の防犯カメラなどの運用を第三者機関などがチェックしているそうなので、日本も同法を検討してはどうか（日弁連『監視社会をどうする』95頁以下に概要あり。）。また、米オレゴン州ポートランドは2020年9月に、民間企業も公共空間での防犯カメラの利用を禁止する法律を制定し、2020年8月にはアメリカの連邦裁判所が警察による防犯カメラの利用に違憲判決を出しているので、個人情報保護委員会は本検討会でこれらの法律や判決を検討すべきではないか。

Ⅲ．第１回議事録について
１．５頁開示請求について
（１）万引き犯などのブラックリストは施行令５条により保有個人データに該当しないとなると、事業者側は一切開示等請求に応じなくてよいことになってしまい、いわゆる防犯カメラの冤罪被害者の人権侵害を救済できない。施行令５条で一律に保有個人データに該当しないのではなく、ブラックリストに載せられた人を救済できるための何らかの手当が必要ではないか。

２．５頁GDPRについて
（１）DGPR9条だけでなく、同２２条やAI規制法案も検討すべき。また、例えばドイツの憲法擁護庁など諜報機関に関する対テロ法など、諜報機関の情報管理を第三者がチェックするための法律なども検討すべき。本検討会の射程に収まるかは別として、PPCはプロファイリング拒否権やAI規制法を日本にも導入するために検討をすべきではないか。また、欧米は2000年代に制定した遺伝子差別禁止法なども日本も早く立法化すべきではないか。

Ⅳ．第２回議事録について
１．２頁目の真ん中の〇の部分
（１）「制定当初の個人情報保護法は…個人情報の中に機微性における区別はなかった」は、事実誤認である。制定当初の個人情報保護法に基づいて制定された、金融庁の金融分野における個人情報保護ガイドラインなどは、センシティブ情報に関する規定を置いている。また、2000年の旧労働省の「労働者の個人情報保護の行動指針」もプロファイリング拒否権の条文を置いている。

（２）３頁目の３番目の〇の「立法者意思説でなく法律意思説でいくべき」について 賛成である。立法者の意思も重要であるが、現在の社会情勢や判例・学説の動向を勘案の上、機動的に個人情報保護（個人データ保護）、個人の尊重や基本的人権の確立のための行政活動・立法活動を行うべきである。

２．６頁の顔識別機能付きカメラについて
（１）顔識別機能付きカメラにより個人のプロファイリングがなされてしまうとの問題意識に賛成である。この点をさらに深堀りし、国民の個人の尊重と基本的人権を守る方向で議論をすすめていただきたい。

３．７頁目の「検討すべき事項」について
（１）経産省・総務省の商用カメラに関する「カメラ画像利活用ガイドブック」と個人情報保護法や同ガイドラインの防犯カメラに関する部分との統一化が必要ではないか。カメラを利用し個人の顔識別やプロファイリングなどを行う面では同じ問題なのであるから。また、国民の個人の尊重と基本的人権の保護のために、これらを規制する枠組み立法が必要である。

（２）８頁目の「カメラ画像の第三者提供や共同利用」を広げていく議論に関しては、慎重な議論が必要である。個人情報保護法17条（利用目的の特定）の背後にある、「必要最低限の原則」に180度反する可能性が高いので、慎重な議論が必要である。同様に、デジタル庁等が現在推進している、「学習データ利活用ロードマップ」や「行政の保有する子供の個人データの共有化」「スーパーシティ構想・デジタル田園都市構想」などの政策も、この「必要最低限の原則」に180度反しているので、PPCは個人情報保護法の所管官庁として、しかるべき対応をすべきではないか。

（３）その他、就活生のSNSの「裏アカウント」を採用企業や調査会社などが調査し分析している問題や、ネット系人材紹介会社が本人の承諾なしに勝手にSNSやGithubなどの個人データを収集・分析して人材紹介ビジネスを行っている問題など、労働法（職安法など）と個人情報保護法が交錯する分野についても、PPCは厚労省と共担でしかるべき対応を行うべきではないか。また、最近、警察庁が国民のSNSをAIで捜査するシステムを導入したとのことであるが、これらについてもPPCは個人情報保護法（個人データ保護法）の担当所管としてしかるべき対応をすべきではないか。

（参考）
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた（追記あり）
・防犯カメラ・顔認証システムと改正個人情報保護法／日置巴美弁護士の論文を読んで
・ジュンク堂書店が防犯カメラで来店者の顔認証データを撮っていることについて
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた（追記あり）－個人情報・プライバシー・労働法・GDPR・プロファイリング
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか？
・Github利用規約や労働法、個人情報保護法などからSNSなどをAI分析するネット系人材紹介会社を考えた
・警察庁のSNSをAI解析して人物相関図を作成する捜査システムを法的に考えた－プライバシー・表現の自由・GPS捜査・データによる人の選別
・遺伝子検査と個人情報・差別・生命保険／米遺伝子情報差別禁止法（GINA）
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた（追記あり）

タグ ：

#顔識別

#顔認証

#防犯カメラ

#PPC

#個人情報

#security

#privacy

#防犯カメラの冤罪被害者

#犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会

１．LINEがプライバシーポリシーを改正
LINE社が3月31日付でLINEのプライバシーポリシーを改正するようです。その内容は、①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用、②統計情報の作成・提供、③越境移転に関する情報の追加、の３点となっています。

このなかで①②はどちらも他社データをLINEの保有する個人データに突合・名寄せをして該当するユーザーに広告やメッセージ等を表示する等となっておりますが、これは委託の「混ぜるな危険の問題」に該当し、本年4月施行の個人情報保護委員会（PPC）の個人情報保護法ガイドラインQA7-41、42、43から違法の可能性があると思われます。また、この改正がLINEのプライバシーポリシー本体に記載されていないこと、昨年３月に炎上した「外国にある第三者」の外国の個人情報保護の制度等の情報の部分が「準備中」となっていることも個人情報保護法上問題であると思われます。

・プライバシーポリシー改定のお知らせ｜LINE
・LINEプライバシーポリシー｜LINE

２．①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用
LINE社の「LINEプライバシーポリシー変更のご案内」によると、「①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用」は、「ユーザーの皆さまへ提携事業者が「公式アカウントメッセージ送信」や「広告配信」などを行う際、当該提携事業者から取得した情報（ユーザーの皆さまを識別するIDなど）をLINEが保有する情報と組み合わせて実施することがあります。」と説明されています。


（LINE社の「LINEプライバシーポリシー変更のご案内」より）

そして、この点を詳しく説明した「LINEプライバシーポリシー改正のご案内」は①についてつぎのように説明しています。

情報の流れ
１．A社（提携事業者）が、商品の購入履歴のあるユーザー情報（ユーザーに関する識別子、ハッシュ化されたメールアドレス、電話番号、IPアドレス、OS情報など）を加工してLINEに伝える
　　　↓
２．LINEが、A社から受け取ったユーザー情報の中からLINEのユーザー情報だけを抽出する
　　　↓
３．抽出されたユーザーに対して、A社の保有するLINE公式アカウントからのメッセージ送信や、広告の配信を実施する

（LINE社の「LINEプライバシーポリシー変更のご案内」より）

この「情報の流れ」によると、LINE社の提携事業者A社は、ユーザーを識別するためのハッシュ化されたメールアドレス、電話番号、IPアドレスなどのユーザー情報をLINE社に提供し、当該ユーザー情報をLINE社は同社が保有する個人データ（個人情報データベース）と突合・名寄せし（＝混ぜる）、LINEのユーザー情報だけを抽出し、当該抽出されたユーザーに対して、A社の保有するLINE公式アカウントからのメッセージ送信や、広告の配信を実施するとなっています。

３．委託の「混ぜるな危険」の問題
しかしこのプロセス中の、「提携事業者A社は、ユーザーを識別するためのユーザー情報をLINE社に提供し、当該ユーザー情報をLINE社は同社が保有する個人データ（個人情報データベース）と突合・名寄せし、LINEのユーザー情報だけを抽出する」というプロセスは、いわゆる委託の「混ぜるな危険の問題」そのものです。

この点、PPCの「個人情報保護法ガイドライン（通則編）」（2022年4月1日施行版）3-6-3（１）は、委託の「委託先は、委託された業務の範囲内でのみ本人との関係において委託元である個人情報取扱事業者と一体のものと取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない」と規定しています（個人情報保護法ガイドライン（通則編）3-6-3 第三者に該当しない場合（法第27条第5項・第6項関係）（１）委託（法第27条第5項第1号関係））。

そして改正前のPPCの個人情報保護法ガイドラインQA5-26-2は、「委託先が委託元から提供された個人データを他社の個人データと区別せずに混ぜて取り扱う場合（いわゆる「混ぜるな危険」の問題）について、委託として許されない」としています（田中浩之・北山昇「個人データ取扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号29頁）。

すなわち、委託（改正個人情報保護法27条５項１号・改正前法23条第５項第１号）とは、コンピュータへの個人情報のデータ入力業務などのアウトソーシング（外部委託）のことですが、委託元がすることができる業務を委託先に委託できるにとどまるものであることから、委託においては、委託元の個人データを委託先の保有する個人データと突合・名寄せなどして「混ぜて」、利用・加工などすることは委託を超えるものとして許されないとされているのです。

そして、2022年4月1日施行の改正版のPPCの個人情報保護法ガイドラインQA7－41はこの点を次のように明確化しています。

Q７－41
委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできますか。

A7－41
個人データの取扱いの委託（法第23条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。

事例１）既存顧客のメールアドレスを含む個人データを委託に伴ってSNS運営事業者に提供し、当該SNS運営事業者において提供を受けたメールアドレスを当該SNS運営事業者が保有するユーザーのメールアドレスと突合し、両者が一致した場合に当該ユーザーに対し当該SNS上で広告を表示すること

事例２）既存顧客のリストを委託に伴ってポイントサービス運営事業者等の外部事業者に提供し、当該外部事業者において提供を受けた既存顧客のリストをポイント会員のリストと突合して既存顧客を除外した上で、ポイント会員にダイレクトメールを送付すること

これらの取扱いをする場合には、①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要があります。（令和３年９月追加）

（個人情報保護法ガイドラインQA7－41より）

したがって、委託先であるLINE社が委託元の提携事業者A社から商品の購入履歴のあるユーザー情報を受け取り、LINE社が自社が保有する個人データと当該A社の他社データを突合・名寄せしてユーザーを抽出し、当該ユーザーに広告やダイレクトメールを送信するなどの行為は、PPCの個人情報保護法ガイドラインQA７ー41の事例１、事例２にあてはまる行為であるため許されません。

この点、PPCの個人情報保護法ガイドラインQA７ー41はこの委託の「混ぜるな危険」の問題をクリアするためには、「①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要がある」としています。

そのため、LINE社が第三者提供としての本人の同意を取得しないと、今回のLINE社のプライバシーポリシーの改正の①の部分は違法となります。

４．「本人の同意」について
なおこの場合は、法27条５項１号の「委託」に該当しないことになり、原則に戻るため、法27条１項の本人の同意が必要となるため、法27条２項のオプトアウト方式による本人の同意では足りないことになります（岡村久道『個人情報保護法 第３版』263頁）。

また、個人情報保護法ガイドライン（通則編）3-4-1は、本人の同意の「同意」について、「同意取得の際には、事業の規模、性質、個人データの取扱状況等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなくてはならない」と規定しています。

しかし、LINE社のスマホアプリ版のLINEを確認すると、冒頭でみたように、①提携事業者からのメッセージ送信・広告配信などに利用する情報の取得・利用、②統計情報の作成・提供、③越境移転に関する情報の追加、の３点が簡単に表示されているだけで、①②が委託の「混ぜるな危険の問題」に関するものであることの明示もなく、プライバシーポリシーの改正への「同意」ボタンしか用意されていません。これではPPCのガイドラインの要求する「本人の同意」に関する十分な説明がなされていないのではないかと大いに疑問です。

５．プライバシーポリシーに記載がない？
さらに気になるのは、LINE社の改正版のプライバシーポリシーをみると、上の①②に関する事項が「パーソナルデータの提供」の部分にまったく記載されていないようなことです。さすがにこれはひどいのではないでしょうか。たしかに「LINEプライバシーポリシー変更のご案内」には最低限の記載は存在し、これやプライバシーポリシーを両方とも一体のものとして読めばいいのかもしれませんが、これで通常の判断能力を持つ一般人のユーザーは合理的にLINEのプライバシーポリシーの改正を理解できるのでしょうか？


（LINEプライバシーポリシーより）

LINE社の経営陣や法務部、情報システム部などは、昨年、情報管理の問題が国・自治体を巻き込んで大炎上したにもかかわらず、あまりにも情報管理を軽視しすぎなのではないでしょうか。

６．「②統計情報の作成・提供」について
LINE社のプライバシーポリシーの改正点の２つ目の「②統計情報の作成・提供」は、「LINEプライバシーポリシー変更のご案内」によると、広告主等の提携事業者から情報（ユーザーの皆さまを識別するIDや購買履歴など）を受領し、LINEが保有する情報と組み合わせて統計情報を作成することがあります。提携事業者には統計情報のみを提供し、ユーザーの皆さまを特定可能な情報は提供しません。」と説明されています。



（「LINEプライバシーポリシー変更のご案内」より）

つまり、「②統計情報の作成・提供」も①と同様に広告主などの提携事業者の他社データをLINE社が自社の個人データと突合・名寄せして、ユーザーの行動傾向や趣味・指向などを分析・作成等するものであるようです。LINE社は分析・作成した成果物は統計情報であるとしていますが、4月1日施行のPPCの個人情報保護法ガイドラインQA７ー38は、成果物が統計情報であったとしても、委託元の利用目的を超えて委託先が当該統計情報を利用等することはできないと規定しており、同時に同QA７ー43も、統計情報を作成するためであったとしても、委託の「混ぜるな危険の問題」を回避することはできないと規定しています。したがって、②の場合についても、第三者提供として本人の同意を取得しない限りは、同取扱いは違法となります。

７．「外国にある第三者」の外国の個人情報保護の制度等の情報の部分が「準備中」？
さらに、今回のLINE社のプライバシーポリシー改正の三番目の「③越境移転に関する情報の追加」の部分については、プライバシーポリシーの該当部分の「外国のパーソナルデータ保護の制度等の情報はこちら」の部分をクリックして開いても、「ただいま準備中てす」との文言しか表示されませんでした（2022年3月28日現在）。この「外国にある第三者」に係る外国の個人情報保護の制度等の情報については、あらかじめ本人に提供しなければならないと改正個人情報保護法28条２項が明記しているのにです。PPCや総務省からみて、LINE社のこのような仕事ぶりが許容されるのか大いに疑問です。

（なお、プライバシーポリシーも民法の定型約款の一種ですが、民法548条の2第2号の規定から、事業者は契約締結や契約が改正された場合はあらかじめ約款の表示が必要と解されています。PPCサイトにはすでに事業者が参考になる外国の制度等の情報が掲載されていることも考えると、３月下旬ごろからプライバシーポリシー改正の本人同意の取得をはじめているLINE社のプライバシーポリシーの一部が未完成なのは、民法や消費者保護の観点からもやはり大問題です。）


（LINE社のプライバシーポリシーより）

８．まとめ
このように、今回、LINE社がプライバシーポリシーを改正した①②は、委託の「混ぜるな危険」の問題に関するものであり、LINE社は第三者提供の本人の同意を取得しなければ違法となります。この「本人の同意」について、PPCの個人情報保護法ガイドライン（通則編）は、「本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示す」ことが必要としているにもかかわらず、LINE社の説明はオブラートにくるんだようなものであり、これで通常の一般人のユーザーがプライバシーポリシーの改正内容を十分理解をした上で「本人の同意」をできるのか非常に疑問です。とくに今回の改正内容がプライバシーポリシー本体に盛り込まれていないことは非常に問題なのではないでしょうか。

また、「外国にある第三者」の外国の個人情報保護法制などの制度の情報に関する部分が「準備中」となっているのも、昨年３月にこの部分が大炎上したことに鑑みても非常に問題です。

LINEの日本のユーザー数は約8900万人（2021年11月現在）であり、日本では最大級のSNSであり、またLINE社は2021年３月に朝日新聞の峰村健司氏などのスクープ記事により、個人情報の杜撰な管理が大炎上したのに、LINE社の経営陣や法務部門、情報システム部門、リスク管理部門などの管理部門は、社内の情報管理をあいかわらず非常に軽視しているのではないでしょうか。大いに疑問です。

このブログ記事が面白かったらブックマークやシェアをお願いします！

■参考文献
・宇賀克也『新・個人情報保護法の逐条解説』245頁、277頁
・岡村久道『個人情報保護法 第３版』246頁、125頁
・佐脇紀代志『一問一答令和２年改正個人情報保護法』52頁、54頁
・田中浩之・北山昇「個人データ取扱いにおける「委託」の範囲」『ビジネス法務』2020年8月号29頁
・児玉隆晴・伊藤元『改正民法（債権法）の要点解説』108頁

■関連する記事
・2022年の改正職業安定法・改正個人情報保護法とネット系人材紹介会社や就活生のSNS「裏アカ」調査会社等について考えるープロファイリング
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・個人情報保護法改正対応の日経新聞の日経IDプライバシーポリシーの改正版がいろいろとひどい
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・令和２年改正の個人情報保護法ガイドラインQ＆Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた－「委託の混ぜるな危険の問題」
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた（追記あり）－貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・ドイツ・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権について
・スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか？－プロファイリング拒否権・デジタル荘園・「デジタル・ファシズム」
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか？
・CCCがトレジャーデータと提携しTポイントの個人データを販売することで炎上中なことを考えたー委託の「混ぜるな危険」の問題

タグ ：

#LINE

#プライバシーポリシー

#混ぜるな危険

#個人情報

#security

#privacy

#個人情報保護法

#PPC

#これはひどい

#峰村砲