個人情報保護法施行から10年。個人情報をとりまく現状

「個人情報の保護に関する法律（通称：個人情報保護法）」が施行されてから、来年2015年で10年を迎えます。

その間、オンラインでの個人情報の取り扱いが浸透し、企業の個人情報取り扱いに関して消費者の目も厳しくなりました。個人情報漏えい事件を起こした企業の、信頼の失墜によるダメージは計りしれません。

つい最近では、通信教育大手企業の顧客情報が大量に流出するという事件がありました。この件については、官房長官が個人情報保護法の改正を検討すべきとの考えを示す（※このとき表明された「改正」の内容は、本記事で上げる見直しとは異なるものです）など、情報の取り扱いは日々センシティブなものになっているように感じます。

他方、情報技術の発展により、多種多様な膨大なデータ（ビッグデータ）を収集・分析することが可能になりました。昨年も、大手メーカーが鉄道会社から顧客の利用履歴データの提供を受け、それをもとにしたマーケティング情報提供サービスを提供すると発表したことが大きな波紋を呼びました（結果、鉄道会社はデータの社外利用の提供に関する説明のリリースを二度にわたって発表し、現在に至ってもメーカーへの情報提供は見合わせとなっています）。

この事案では一体なにが問題だったのでしょうか？
よくよく確認してみると、「個人情報を許諾なく第三者に提供しようとした」ことが問題ではないことがわかります。鉄道会社からメーカーに提供されるデータは「個人特定不可な情報」とされており、かつ、（実際にはできないとしつつも）提供先で他のデータと紐づけや、目的以外の利用ができないよう契約で厳格に禁止されていました。

鉄道会社から提供された履歴データは、当時の保護法においては厳密には「個人情報」ではありません（個人情報とは、「生存する個人に関する情報であって、特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）を言います（平成29年5月改訂前の法第2条より）」）。そのため、鉄道会社側は利用者の許諾は必要ないと考えました。

一方で、ユーザーは鉄道会社を信頼して（もしくはやむを得ず）渡していたデータが、別企業のマーケティング情報として利用されることに違和感を覚えたのではないでしょうか。この、問題を大きくした「企業側とユーザー側の個人情報に関する認識の相違」が、今回の改正の焦点でもある「グレーゾーン」に当たるのです。

また、携帯電話、特にスマートフォンなどのモバイルデバイスの発達と流通により、10年前と比べ物にならないほど個人と密接に結びつく情報を取得することが可能になりました。
このように、10年前とは「個人情報」をとりまく環境が変わってきています。

現行法改正の動き

その流れを受け、政府は「特に利用価値が高いとされているパーソナルデータについては、個人情報保護法制定当時には想定されていなかった利活用が行われるようになってきており、個人情報およびプライバシーに関する社会的な状況は大きく変化している。その中で、個人情報およびプライバシーという概念が広く認識され、消費者のプライバシー意識が高まってきている一方で、事業者が個人情報保護法上の義務を遵守していたとしても、プライバシーに係る社会的な批判を受けるケースも見受けられるところである。また、パーソナルデータの利活用ルールの曖昧さから、事業者がその利活用に躊躇するケースも多いとの意見もある。」（2013年12月20日：「パーソナルデータの利活用に関する制度見直し方針」）とし、さらに「自由な利活用が許容されるのかが不明確な「グレーゾーン」が発生・拡大し、パーソナルデータの利活用に当たって、保護すべき情報の範囲や事業者が遵守すべきルールが曖昧になりつつある」（2014年6月24日：パーソナルデータの利活用に関する制度改正大綱）として、パーソナルデータの利活用に関する制度見直し方針を決定しています。
※本記事を書いている現在、来年（2015年）国会での法案作成に向けて、現在大綱が発表されており、それに対してパブリックコメントを募集している段階です（7/24まで受付）。

まだ大綱の状態であり、これからパブリックコメントを受けて内容が多少変更されることがあるかもしれません。ですが、「事業者におけるデータ保有の現状や利活用の際の問題を踏まえつつ、これらの曖昧さを解消していく必要がある。」と明示されている以上、企業がパーソナルデータを取得しようとした場合、これまで以上にその目的や手段をきちんと明示し、ユーザーの許諾を得なければならないことは必至です。

その一方で、あまりにルールを厳密にしすぎると企業活動を縮小させてしまいます。
今回の改定では、企業側に個人情報の取得目的や手段の明確化を徹底することと同時に、「本人の同意がなくてもデータの利活用を可能とする枠組みの導入」を検討するなど、ユーザーと企業双方にとっていわゆる「利活用の壁」を取り払う内容となっているのが特徴と言えます。
※利活用の壁については前出の2014年6月24日発表の大綱のp.5に『特に個人の権利利益の侵害に係る問題を発生させていない事業者も、（中略）プライバシーに係る社会的な批判を懸念して、パーソナルデータの利活用に躊躇するという「利活用の壁」が出現しており、パーソナルデータの利活用が必ずしも十分に行われてきているとは言えない状況にある。』と記載されている。

大綱の概要から個人的に気になるところをまとめてみました。

153_sibata_02