森　亮二（もりりょうじ）
英知法律事務所、内閣官房「パーソナルデータに関する検討会」委員

「名簿屋」ではなく「データブローケージ」へ脱皮するには

──次に、どのようにすれば、「名簿屋」のビジネスとしてデータブローケージが成立するのか、すなわち法的に健全なデータの取引が実現するのかとについて、お聞きします。「名簿屋」が適法に個人情報を扱うためには、まずそれが適正に取得されたものなのかどうかが問題になります。また、第三者提供を行うならば、提供時に都度、同意を取ることも必要になるはずです。

森：そうですね。ちなみに、第三者提供に関しては、彼らは同意取得に代わるオプトアウト手続きを行っていると言うそうですが、実際にオプトアウト手続きをしているのか疑問です。

──第17条をクリアした形で、適正に取得され、商取引に基づく契約で買ったもので、第三者提供に関する本人同意も得ているなら、現行法の枠内でもデータブローケージは可能と言うことですね。

森：そうです。ただし、本人の同意ベースでのデータブローケージというのは、どこまでできるのか。日本の法改正の議論でも、匿名化した情報を本人の同意なく流通させることが利活用促進の目玉とされています。

===

法的に「データブローケージ」が認められる米国

──アメリカのデータブローカーは、主要の数社に集約されていて、その事業者に関してはFTCの監査も含めて、徹底的にガラス張りになっているようです。日本にはFTCの様な執行機関はありませんが、アメリカのようなスキームでオプトアウトベースの同意に基づいたデータブローケージは可能でしょうか。

森：検討はできると思います。問題は、現行法のオプトアウトの規定が十分なものではないことです。

現行法のオプトアウトでは、第三者提供によるプライバシー侵害を十分に防止することができません。制度改正大綱もオプトアウトの改善を提案していますが、最低でも実質的な選択の機会が本人に与えられることと、機会を与えられた後に初めて第三者提供できるようにすることの2点は必要です。

──本人によってオプトアウトされた場合、データブローカー自身が提供先に対して、オプトアウトされたデータの廃棄を指導し、かつそれを第三者機関等の執行機関が監査するというスキームが、目指すべき方向なのでしょうか。

森：誰が誰に義務を負い、何を監査すればうまくいくのかという点は、難しい問題です。
たとえば、FTCがスタッフレポート「急速な変化の時代における消費者プライバシーの保護」において、匿名化情報の流通に関して3つの要件を定めています。

1. 企業はデータの匿名化を確保する合理的な手段を講じなければならない。
2. 企業は、データを匿名化状態で管理・利用し、データの再識別化を試みないことを公的に約束しなければならない。
3. 企業がそのような匿名化データを他の会社等に提供する場合には、企業は、その提供先がデータの再識別化を試みることを、契約によって禁止すべきである。

これだと、提供先の義務は提供元に対する契約上の義務であり、監査のチェックポイントは、1.の匿名化の手段と3.の契約締結の事実でしょう。ところが、仮にきちんと提供元と提供先が契約し、提供先が提供元に契約上の義務を負うようになっていたとしても、その契約上の義務が履行されるのかという疑問が残ります。

──制度改正大綱には、執行体制や第三者機関の作り方も含めて、充実させていかなければいかないという留保があります。これから出てくる法案も含めて、特にデータブローケージに関して先送りされているので、まだまだ考えなければいけないことがありそうですね。

森：そう思います。

===

法改正に向けた骨子案での「名簿屋」対策

（※編集部注：本インタビュー実施後の2014年12月19日に「個人情報保護法改正に向けた骨子案」が公表され、「名簿屋」対策に関する規定が盛り込まれたため、その内容について森先生に改めてお話を伺いました。これ以降の文章は、骨子案公表を受けてのものです）

──骨子案が公表され、「名簿屋」対策となりうる規定を新設することが明らかになりました。どのようなものでしょうか。

森：前回お話しに出ていた、トレーサビリティの確保を図るものでした。個人情報データベース等の第三者提供があった場合、提供元には提供先などの情報を、提供先には提供元などの情報を記録しておく義務をそれぞれ課したものです。

──「名簿屋」対策として、どのような効果が期待できますか。

森：記録された情報は、記録した事業者が作成した情報ですから、原則としてその事業者の保有個人データとなるはずであり、そうすると第25条の本人による開示請求の対象となります。本人は、「自分の情報を誰からもらったのか」「自分の情報を誰に提供したのか」事業者に教えてもらう権利を得ることになるはずです。

名簿屋から得た個人情報が、テレマやDMに使われた場合に、開示請求をすれば、名簿屋を突き止めることができます。突き止めた名簿屋にさらに開示請求をすれば、名簿屋に持ち込んだ人が誰なのか分かります。このようにして透明化が図られるとなると、名簿屋を使って盗んだものを流すようなことは難しくなるでしょう。

──何か課題はありますか。

事業者の負担は考慮すべきです。ただ、第25条には開示請求の例外となる場合の規定もありますから、基本的にはこのままでいいのではないかと思います。

──骨子案の「名簿屋」対策を見て、前回のご意見に変更はありますか。名簿屋の顧客に対する第17条の適用を強調されていましたが。

森：変更はありません。効果が期待できそうな立法論の提案があったことはよいことですが、現行法の第17条の問題はそのまま残っていると思います。新設される提供元・提供先の記録義務に違反する事業者は必ずいるでしょうし、不適正な手段で取得した情報を「流す」ことも根絶はできないと思います。そのようにして漏えいが生じた場合、漏えい事業者の責任だけを強調するのは適当ではありません。それをすると、求められる安全管理措置のレベルが際限なく高くなります。本来、一番悪い盗取した者、そして、販路を提供した名簿屋とその顧客についても責任を課すことによって、初めて安全が守られます。簡単にいえば、盗んで流す方に縛りをかけないでおいて、守る方にひたすら守れというのは無理なのです。

──たしかに安全管理措置の要求水準がむやみに上がると、利活用に支障をきたしますね。骨子案ではその盗取した者に対する規定も提案されたと聞きました。

森：事業者の従業員などが利益を図る目的で名簿を盗んだりすると処罰されることが提案されました。

──どう評価しますか。不適正な取得を制限するお考えからは、いい提案だったのでは。

森：そのとおり、いい提案です。さらにいえば、間口はもっと広い方がいいし、重罰とすべきです。

現行法では、たとえば顧客名簿を盗まれた場合に、犯人の刑事責任を問おうとすると、基本的には不正競争防止法の営業秘密侵害罪によるしかありません。営業秘密侵害罪が成立するためには、社内において顧客名簿がきちんと秘密として管理されている必要があり、アクセス制限や「社外秘」など秘密であることの表示が要求されます。それが甘いために犯人に刑事責任を問えないというケースも多々あります。しかしこれは、漏えい企業からすれば脇が甘かったことによる自業自得なのかもしれませんが、個人情報を漏えいされた本人の立場からすれば納得のいかない話です。漏えいによって直接的な迷惑を受けるのは自分なのに、漏えい企業の管理の仕方によっては犯人がお咎めなしになったりするわけです。

そもそも顧客名簿には、企業の事業活動にとって重要な情報である側面と、本人のプライバシーに関する側面の2つがあります。営業秘密は、前者の方しか見ておらず、その結果として、「重要な情報ならばきちんと秘密管理しているはず」という要件がついているわけです。ただ、後者の方、本人のプライバシーの面は、企業にとって重要かどうかとはまったく独立の評価を受けるべきものです。

企業が管理する個人情報のデータベースを盗む行為は、企業に重大な不利益をもたらすと同時に本人のプライバシー侵害の恐れも生じるものですから、それを厳しく取り締まることは、個人情報の利活用の観点からも、プライバシーの保護の観点からも望ましいことです。

了