クラウドセキュリティ・プライバシー研究会 2015年1月13日 個人情報保護法改正 骨子案の問題点について 産業技術総合研究所 セキュアシステム研究部門 高木 浩光 • 利用目的変更オプトアウト方式の導入 12月19日の骨子案 • 「個人情報取扱事業者は、個人情報を取得する際に本人に利用目的を 変更することがある旨を通知し、又は公表した場合において、次の事 項を、個人情報保護委員会規則で定めるところにより、あらかじめ本 人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情 報保護委員会に届け出たときは、利用目的の変更をすることができる こととする。」「この場合において、個人情報保護委員会は、その内 容を公表しなければならないこととする。※本人への通知方法や本人 • • • が容易に知りうる状態が不適切な場合には、勧告・命令。 」 これではOECDガイドラインに適合しなくなる 利用目的を特定することが意味をなさなくなる そもそも必要のない緩和策 • 何がしたくてこの規制緩和策を求めているのか不明 OECDガイドラインに適合しなくなる •Purpose Specification Principle • 9. The purposes for which personal data are collected should be specified not later than at the time of data collection and the subsequent use limited to the fulfillment of those purposes or such others as are not incompatible with those purposes and as are specified on each occasion of change of purpose. • [園部2005]訳「個人データの収集目的は、収集時よりも遅くない時点 において明確化されなければならず、その後のデータ利用は、当該収 集目的の達成又は当該収集目的に矛盾しないでかつ、目的の変更毎に 明確化された他の目的の達成に限定されるべきである。」 •日本法の15条16条はこれを忠実に具現化したもの • 利用目的を変更する場合には、変更前の利用目的と相当の関連性を 有すると合理的に認められる範囲を超えて行ってはならない。（15 条2項） • • 必要のない緩和策では？ 利用目的変更の必要性は何？ •• 経済界：ビッグデータの利用目的は後になって見つかるものだ 具体的に何をしたいかは明らかにされていない 誤解に基づく要求にすぎないのでは？ 1. 統計化は利用目的に掲げる必要がないのが知られていない？ 2. 個人データでないものまで個人データと誤解している？ • • 商品単位の販売記録（人にひも付けないPOSデータ）の提供等 「匿名加工データ」に該当してしまいかねない問題点が別にあり • 3. それら以外の用途は本人へのターゲティング • 仮に該当しても、利用目的変更せずに匿名加工データとして提供できる 本人へのターゲティングが目的なら目的変更から数か月待てばいい • 4. 事業者単位の利用目的を変更できないと誤解？ 元々新しいデータが必要とされているのだから • 統計化への入力は利用に当たらない 経済産業省ガイドラインQ&A Q45でそう書かれている • 「Q: Ａ事業で取得した個人情報を、個人が特定できない情報に加工し て、Ｂ事業の統計データとして利用する場合、Ｂ事業についても利用目 的として特定する必要はありますか。 A: 利用目的の特定は、個人情報を対象とするため、個人情報に該当し ない統計データは対象となりません。また、最終的な利用目的を特定 • • • すれば足りますので、統計データへの加工の過程を利用目的とする必 要はありません。（2007.3.30）」 ただし、このQ&Aは正式なものではない（告示ではない） し、他省のガイドラインにもこれに類する記載がない 自社で統計化する限り、利用目的変更は元々必要ない •• 他社に統計処理させたい（Suica事案）なら委託でやればいい ただし医療データは別（病院が主体的に統計化したいわけではない） そもそも「利用目的」とは？ 公表文書としての全体の利用目的と、個々のデータ毎の 実際の利用目的の2つの概念がある •• 24条にも、1項と2項とで異なる意味の「利用目的」がある • • 1項 保有個人データに関し、次に掲げる事項について、本人の知り得 る状態（…）に置かなければならない。 二 すべての保有個人データの利用目的（…） 2項 本人から、当該本人が識別される保有個人データの利用目的の通 知を求められたときは、本人に対し、遅滞なく、これを通知しなけれ ばならない。（…） 15条、16条、18条の「利用目的」はどの意味？ • 「利用目的は、個人情報取扱事業者ごとに、また、一連の個人 情報の取扱いごとに存在することとなる。」[園部2005] 利用目的の単位 事業者単位 事業者で一つの利用目的 （例：第三者提供しない） 事業者 サービス単位 （例：第三者提供しない） 新サービス 事業者 データ単位 取得 （例：第三者提供しない）目的変更（例：第三者提供する） 取得 取得 取得 事業者 解釈A （例：第三者提供する） 取得 法の狭い解釈 解釈Bの形態を認めない 目的変更 事業者で一つの利用目的 目的変更には同意が必要 特定された利用目的 実際のデータの取扱い 解釈B この形態を認める 通常はこちら 特定された利用目的 実際のデータの取扱い 新サービス 目的変更に当たらない OECDガイドラインに準拠 取得 改正骨子案の理解 目的変更予告 改正前 特定された利用目的 目的変更 新サービス 目的変更に当たらない 実際のデータの取扱い 改正後 目的変更 特定された利用目的 新サービス 遡及は認めない 実際のデータの取扱い • • OECDガイドラインに違反 どうすればよいか 統計化への入力が「利用」に当たらないことを明確化 • • ガイドラインで明確化、または 本来ガイドラインで対処できるところ、条文の修正で明確化 事業者単位の利用目的の変更を許す条文に修正 • データ毎の実際の利用目的を、取得時点の利用目的のまま取扱 うならば（OECDガイドラインの要件を満たせば）、約款上の 利用目的は変更できることを明確にする •• 事業者の言い分：利用目的管理が面倒 オプトアウト済み利用者を管理するのも同等では？
© Copyright 2024 ExpyDoc
