ニュースレターNo.56/2014年3月発行

パーソナルデータに関する制度と技術の動向

成長戦略とパーソナルデータの利活用および保護の議論

情報通信技術による成長戦略の中で、ビッグデータの利活用は日本の成長戦略に欠かせないものと見なされていますが、これらの説明は2013年6月に閣議決定された「世界最先端 IT 国家創造宣言」や、政府の規制改革会議により策定された「規制改革実施計画」に見ることができます。

世界最先端 IT 国家創造宣言では、パーソナルデータの利活用に関して

「IT・データの利活用は、グローバルな競争を勝ち抜く鍵であり、その戦略的な利活用により、新たな付加価値を創造するサービスや革新的な新産業・サービスの創出と全産業の成長を促進する社会を実現するものとされていることから、個人情報及びプライバシーの保護を前提としつつ、パーソナルデータの利活用により民間の力を最大限引き出し、新ビジネスや新サービスの創出、既存産業の活性化を促進するとともに公益利用にも資する環境を整備する」

と記述されています。そして、パーソナルデータの利活用のための課題解決として

「事業者の負担に配慮しつつ、国際的に見て遜色のないパーソナルデータの利活用ルールの明確化と制度の見直しを早急に進めることが必要である」

としています。

また、規制改革会議の規制改革実施計画等に基づき議論が行われている、規制改革会議の「創業等ワーキンググループの報告書」では、「ビッグデータの利用を阻害する理由の一つとして個人情報保護法に起因する問題」を指摘した上で「どの程度データの加工等を実施すれば個人情報に当たらず、個人情報保護法の制限を受けることがなくなるのかを明確化するためのガイドライン」の策定を求めています。

このような背景の下、政府のIT総合戦略本部に「パーソナルデータに関する検討会」と、この検討会の下に「匿名化されたパーソナルデータの扱い」について検討するための技術検討ワーキンググループが設置されました。その検討結果として「パーソナルデータの利活用に関する制度見直し方針」が作成され、2013年12月20日(金)にIT総合戦略本部により承認されました。この制度見直し方針では、個人情報保護法の改正への示唆とそのロードマップが示されています。

次に、この「制度見直し方針」の概要について説明します。

パーソナルデータの利活用に関する制度見直し方針

「パーソナルデータの利活用に関する制度見直し方針」は、パーソナルデータに関する検討会で行われた議論の報告書と言えます。制度見直し方針では、現行の個人情報保護法に対して「時代の変化に合った制度の見直し、改善が求められている」としており、そのための見直すべき方向性としては、「パーソナルデータの利活用ルールの明確化」であり、そのやり方が、個人情報保護法改正の示唆になります。

以下に、「制度見直し方針」の構成を示します。

「パーソナルデータに関する検討会」において議論されたこと、すなわち制度見直し方針で示された個人情報保護法改正への示唆になりますが、その具体的な内容としては「パーソナルデータの保護と利活用の枠組み」「第三者機関の整備」「グローバル化への対応」に要約されます。

パーソナルデータの保護と利活用の枠組みに関して、特に中心的に議論されたのは、規制改革会議等が求める「同意を不要とする匿名化データに関する利活用ルールの明確化」になります。ただし、制度見直し方針では、「同意を不要とする匿名化データ」を必ずしも全面的に肯定しているわけではないことに注意する必要があります。

制度見直し方針では、「匿名化データ」とは表現せずに「個人データを加工して個人が特定される可能性を低減したデータ」といった表現で記述されています。この「個人が特定される可能性を低減したデータ」は、プライバシー・リスクが残存するデータを意味します。このプライバシー・リスクが残存するデータは、利活用に適したデータだとも言えることが重要です。

この利活用に適したデータでありプライバシー・リスクが残存するデータを第三者提供しようとした場合、規制改革会議が求める現行の個人情報保護法に対するガイドライン等での対応は難しいとしており、新たな制度的な枠組み、すなわち個人情報保護法の改正を示唆することになったと言えます。

この第三者提供に関して、制度見直し方針では、「第三者提供における本人の同意を要しない類型、当該類型に属するデータを取り扱う事業者(提供者及び受領者)が負うべき義務等について、所要の法的措置を講ずる」と表現しています。

この制度見直し方針で示された第三者提供の考え方に大きな影響を与えたものに、技術検討ワーキンググループが取りまとめた「技術検討ワーキンググループ報告書」があります。

次に、この「技術検討ワーキンググループ報告書」の概要について説明します。

技術検討ワーキンググループ報告書

技術検討ワーキンググループ報告書は、パーソナルデータに関する検討会の下に「匿名化されたパーソナルデータの扱い」について検討するために設置され、技術検討ワーキンググループの議論の成果として作成され公表されています。

この報告書は、検討会の成果物である制度見直し方針に大きな影響を与えただけではなく、今後のパーソナルデータに関する技術の方向性や、ビジネスとの関係等を考える上でも、非常に重要な議論の土台となるものを提供しています。

報告書の中心的なテーマは、第三者提供において、パーソナルデータの主体者による同意を不要とする「匿名化(技術)」になります。この匿名化は、検討会以前での規制改革会議等の要求では、同意を不要とする「完全な匿名化」だったのかもしれません。それは、現行法において同意を不要とする第三者提供を可能とするには、「(完全)匿名化して非個人情報にするしかない」といった発想からによるものかと思います。

こうした要求に対して、報告書では「情報の利活用における有用性を全く失うことなく、いかなる個人情報をも対象にした汎用的な匿名化手法はない」と結論づけており、否定的とも言える立場を取っています。また、データに完全な匿名化を施すと、そのデータの(汎用的な)有用性も失われ利活用に適さないことを示唆しています。こうした指摘は、制度見直し方針において個人情報保護法の改正を示唆する、一つの大きな要因になっています。

報告書の内容で、もう一つ重要なことに用語の定義があります。現在の個人情報保護法で、常に議論が収束しない原因の一つは、個人情報保護法における個人情報の範囲であり、その範囲を定義している用語(例えば「容易照合性」など)の曖昧さにあります。報告書では、この個人情報の範囲について明確に示しているわけではないのですが、基本的な用語の理解は、今後の議論の上でも非常に重要なものになるでしょう。

次の表は、報告書で定義された用語と、その用語についての説明です。

No.	用語	用語の説明
1	識別特定情報	個人が(識別されかつ)特定される状態の情報 (それが誰か一人の情報であることがわかり、さらに、その一人が誰であるかがわかる情報)
2	識別非特定情報	一人ひとりは識別されるが、個人が特定されない状態の情報 (それが誰か一人の情報であることがわかるが、その一人が誰であるかまではわからない情報)
3	非識別非特定情報	一人ひとりが識別されない(かつ個人が特定されない)状態の情報 (それが誰の情報であるかがわからず、さらに、それが誰か一人の情報であることが分からない情報)

次に、人によりさまざまに理解され曖昧に使われている「匿名化」に代わるデータの加工の用語について、報告書にある図を図1として示します。

技術検討ワーキンググループ報告書は、前述のような基本的な用語の定義を基礎として、技術と組み合わせる制度的な枠組みに関しては、米国連邦取引委員会(Federal Trade Commission; FTC)が公表したFTCスタッフレポート「急速な変化の時代における消費者プライバシーの保護」にある匿名化に関する3要件を念頭に「制度見直し方針」よりも踏み込んだ議論を展開しています。しかし、読むほどに今後議論すべきことは非常に多く、議論はまだ始まったばかりということに気が付くのではないでしょうか。

パーソナルデータに関する制度と技術に興味があるのであれば、今後のこれらのあり方を正しく理解するために、報告書を一読されることをお薦めします。

インターネットコミュニティにとってのパーソナルデータ

インターネットサービス事業者の多くは、個人情報ないしパーソナルデータを扱う事業者であり、法制度の動向に関わらずビジネスを考える上でも、事業者としての責任を果たす上でも、パーソナルデータの利活用と保護に関して、しっかりとした考えを持つ必要があります。

制度見直し方針で示唆された法改正の方向性等は、今後、パーソナルデータの利活用を躊躇する要因となっているルールの曖昧さを解消し、その他にも同意の取り方の標準化など、ビジネスが進め易い環境が整備されていく可能性もあります。

その一方、個人情報保護法の改正等により、個人情報の範囲が広がる可能性も高く、場合によっては、サービスの現場にとっては負担が増える可能性もあります。この負担に関しては、実際のインターネットサービスを行っている現場からの意見も非常に重要であり、事業者にとって何が負担であるか等も、制度設計などの関係者に正確に理解される必要があります。過度な負担は、日本のインターネットビジネスの競争力を削ぐ結果ともなりかねません。

この個人情報の範囲に関連しては、技術検討ワーキンググループの報告書において「何が個人情報に該当するのかの判断は、技術の進歩や社会環境の変化に応じてなされることが重要であると考えられる」としています。こうした指摘は、インターネットコミュニティ自体が、より理解しているはずのことでもあり、利害関係を越えて意見を発していく必要があるでしょう。

制度見直し方針で示された法改正の示唆は、最終的には日本の成長戦略に寄与する必要があります。そもそものパーソナルデータに関する検討会が設置された理由は、「世界最先端 IT 国家創造宣言」に記述されている「パーソナルデータの利活用により民間の力を最大限引き出し、新ビジネスや新サービスの創出」にあります。インターネットコミュニティは、こうしたことに対応するため、日本のインターネットビジネスの競争力を念頭におき、そのビジネスモデルのあり方を提案していくべきでしょう。

インターネットサービスの、今後の潮流であり日本の成長戦略に組み込まれていくであろうIoT(Internet of Things)、M2M(Machine-to-Machine)、CPS(Cyber Physical System)も、パーソナルデータの利活用と保護に無関係ではないはずです。これらは、直接的には個人情報を扱わないかもしれませんが、その多くは間接的にパーソナルデータを扱うと考えらます。また、パーソナルデータを積極的に取り込む発想自体が、少子高齢時代に突入する日本の成長戦略に結びつくことになるのではないでしょうか。

最後に、今後のインターネットでのサービスシステムは、プライバシー・バイ・デザインを念頭に“再”設計される必要があるかもしれません。これは、サービス事業者にとって負担と見る向きもあるかもしれませんが、プライバシー・バイ・デザインが組み込まれたサービスシステムが、世界との競争力になると考えるべきでしょう。

おわりに

インターネットコミュニティがパーソナルデータに関して理解するべきことと、果たすべき役割を念頭においた上で「パーソナルデータの利活用に関する制度見直し方針」と「技術検討ワーキンググループ報告書」を中心に、現在の議論の方向性を概説しました。

インターネットは、過去においても今後においても、日本の成長戦略に寄与していくべきですが、そのためには、パーソナルデータに関する制度と技術の動向に関する的確な把握は欠かせません。本稿が、こうした動向を理解する一助となれば幸いです。

(セコム株式会社IS研究所 松本泰)