第１３回 パーソナルデータに関する検討会において、「個人情報の保護に関する法律の一部を改正する法律案（仮称）の骨子（案）（PDF)」が提出され、その中の「個人情報の利用目的変更の手続き（利用目的の変更をオプトアウト手続によって認める）」が注目されているようです。

 

骨子案の「個人情報の利用目的変更の手続き」については、確かに問題があり、制度化されれば悪用する業者も出てくるでしょう。

ちなみに、現在の個人情報保護法を前提とした、「文部科学省所管事業分野における個人情報保護に関するガイドライン（平成24年3月29日文部科学省告示第62号）」の第4 個人情報の利用目的に関する義務では、次のように説明されています。

• 関係事業者は、個人情報を取り扱うに当たり、その利用目的をできる限り具体的に特定しなければならない。
• 関係事業者は、特定した利用目的を変更する場合は、変更後の利用目的が、変更前の利用目的からみて、社会通念上、本人が想定できる範囲を超えてはならない。
• 変更された利用目的は、本人に通知し、又は公表しなければならない。
• 本人が想定できる範囲を超えて利用目的の変更を行う場合には、本人の同意を得なければならない。
• 関係事業者は、あらかじめ本人の同意を得ることなく、特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
• 本人の同意を得るに当たっては、当該本人に当該個人情報の利用目的を通知し、又は公表した上で、当該本人が口頭、書面等により当該個人情報の取扱いについて承諾する意思表示を行うようにすることが望ましい。

アメリカの動きにあるように、「企業が特定の目的で集めた個人情報は、別の目的のために悪用できないとする」方向性で行くのであれば、骨子案のオプトアウト方式について

・原則として、利用目的の大きな変更には本人の同意が必要としつつ
・その例外としてのオプトアウト方式について
・個人情報保護委員会への「届出制」ではなく「認可制」にする
・オプトアウト方式での変更が許されない利用目的を定めて例示する

などの修正が考えられるでしょう。

■「Suicaデータ販売問題」が与えた影響

個人的には、今回のような「個人情報の利用目的変更の手続き（利用目的の変更をオプトアウト手続によって認める）」が出てきたのは、「Suicaデータ販売問題」の影響が大きいのではないかと考えています。

関連＞＞Suicaのデータ販売中止騒動、個人特定不可なのになぜ問題？　ビッグデータの難点
http://biz-journal.jp/2013/08/post_2760.html
「Suica履歴販売」は何を誤ったのか パーソナルデータ利活用、6つの勘所
http://itpro.nikkeibp.co.jp/article/NC/20131010/510322/

「Suicaデータ販売問題」については、上記の記事に解説がありますが、最終的には、JR東日本が設置した有識者会議による「Suica に関するデータの社外への提供について（PDF)」を受けて、「サービスの中止（社外へのデータ提供は見合わせる）」となりました。

「Suicaデータ販売問題」は、「利用者の視点」や「こうするべきだった」といった視点で語られることが多いのですが、「徹底したビジネス側の視点」（それが正しいか間違っているかは別として）では、次のような見方もできます。

・一部の専門家が過剰に反応して消費者を煽り事態を大きくした
・裁判で違法性を認定されたわけでもないのに、違法であると責められた
・データ活用のビジネス機会を失った

重要なのは、「Suicaデータ販売問題」の様子を多くの企業が見ていたということです。

私の周囲でも、「Suicaデータ販売問題」については、上記のようなビジネス目線で「納得できない」と憤りを表す人も少なからずいました。それを見て、「Suicaデータ販売問題」の遺恨が、個人情報保護法の改正を困難にするのではないかと心配しました。

ネット上でフルボッコにされる大企業を見て、データ販売を考えている企業はどう思うでしょうか。考えられるパターンはいくつかありますが、

1 利用者とのコミュニケーションを重視した方法を模索する
2 ある程度の匿名処理を行った上で、守秘義務の伴う個別の契約によりデータ販売を行う
3 データ販売（の計画）を取りやめる・延期する

1を選択するのは一部の企業に限られ、多くの企業が2を選択し、評判リスクが高い大企業の多くは3を選ぶのではないでしょうか。

■二重三重の保険を求めた結果がオプトアウト方式

個人情報保護やプライバシーの専門家からすれば、骨子案にあるような「個人情報の利用目的変更の手続き（利用目的の変更をオプトアウト手続によって認める）」は暴挙に見えるかもしれません。

しかし、「徹底したビジネス側の視点」に立てば、それほどの「トンデモ案」ではないのです。繰り返しになりますが、それが「正しいか間違っているか」は別として、です。

骨子案にある「個人情報の利用目的変更の手続き（利用目的の変更をオプトアウト手続によって認める）」は、「適切な規律の下で個人情報等の有用性を確保するための規定の整備」における「(2)利用目的の制限の緩和」と位置づけられています。

つまり、「個人情報の利用目的変更の手続き」は、同じく「適切な規律の下で個人情報等の有用性を確保するための規定の整備」にある「(1) 匿名加工情報（仮称）に関する規定の整備」とセットで見る必要があるということです。

「(1) 匿名加工情報（仮称）に関する規定の整備」では、個人情報保護委員会規則で定める基準に従い匿名処理を行った上で、届出や公表等の手続を経て、データを第三者に提供できるとしたものです。「Suicaデータ販売問題」への対応と言えるでしょう。

しかし、「匿名加工情報（仮称）に関する規定」に従ったとしても、「匿名処理が十分じゃない」「気持ち悪いから私の情報は使わないで」「○○社に提供するのは許せない」と、ネット上で騒がれたらどうなるでしょう。まさに「Suicaデータ販売問題」の悪夢再来となります。

こうした適法行為に対する過剰反応への保険として、「個人情報の利用目的変更の手続き（利用目的の変更をオプトアウト手続によって認める）」があると考えると、それほどの「トンデモ案」とも言えないのですね。

「個人情報の利用目的変更の手続き（利用目的の変更をオプトアウト手続によって認める）」を見直したいのであれば、「(1) 匿名加工情報（仮称）に関する規定の整備」における過剰反応への対応をどうするか、について整理しておく必要があるでしょう。

 

個人情報やプライバシー保護の専門家による「こうすれば問題ない」というアドバイスを受けて始めたはずのサービスが、他の専門家からの指摘を受けて炎上するケースは、これからも起きるでしょう。

個人情報やプライバシー保護の改善を考える専門家の反応が、巡りに巡って、個人情報保護法の改正を困難にしている側面があることは、（フルボッコにされるかもしれませんが）指摘しておきたいと思います。