AZXブログ

ビッグデータと個人情報

 

弁護士の池田です。

実は、私、昨年子供が産まれまして、最近はついつい子供情報に目が行きがちな日々を過ごしています。先日も、子供の教育のためにビッグデータが利用されているという特集をテレビでやっていたので、じっくり見てしまいました(妻からは、早すぎると笑われましたが。)。ということで、今回はこのビッグデータをテーマにしてみます。

近年、ビッグデータという言葉が急速に広まり、実際にビッグデータをビジネスに使っている企業も増えています。政府もビッグデータには注目していて、総務省から出されている情報通信白書でも言及があるところです。

しかし、このビッグデータは、個人情報の保護に関する法律(個人情報保護法)との関係で取扱いには注意が必要です。

実際に、2013年には、官邸の高度情報通信ネットワーク社会推進戦略本部(IT総合戦略本部)で開催された「パーソナルデータに関する検討会」で、いわゆるビッグデータとの関係での個人情報の取扱い等が議論され、昨年末にまとめられた同検討会の制度見直し方針(案)では、個人情報の保護に関する法律(個人情報保護法)の改正を含む制度の見直しがうたわれています。

そこで、今回は、このビッグデータと個人情報保護法の関係について、説明したいと思います。

1 個人情報保護法との関係

(1)  問題点

ビッグデータを構成する個人情報については、その取得、分析、アウトプットの提供、開示等の各段階で個人情報保護法その他の法令との関係が問題となります。

この中でも、個人情報保護法との関係で特に議論されている問題点は、ビッグデータをアウトプットとして提供することの可否です。これをざっくりまとめると、以下の通りです。

ビッグデータのやり取りは、個人情報保護法に基づく第三者提供規制により制限されるのではないか。

⇒その前提として、そもそもビッグデータは「個人情報」に該当するのか。

(個人情報保護法との関係では、厳密には「個人データ」という用語の方が適切ですが、分かりやすさを重視して「個人情報」という用語を使います。)

(2) 第三者提供規制とは

個人情報保護法では、個人情報取扱事業者が個人情報を第三者に提供することについては、原則として当該個人情報の本人の同意が必要とされています(個人情報保護法第23条)。

つまり、仮に、ビッグデータを構成するデータが「個人情報」に該当すると考えた場合、ビッグデータを第三者に提供するためには、原則として、ビッグデータの基となったデータの本人からデータを第三者に提供することについての同意を得なければなりません。

IN図

本人から容易に同意を得ることができるのであれば、特に問題はないかもしれませんが、現実的には、多数存在する本人達から個別に同意を取得するということはかなり難しいと考えられ、その場合、ビッグデータの提供自体ができないということになります。

(3) 個人情報に該当?

では、ビッグデータは「個人情報」に該当するのでしょうか?

個人情報保護法上、個人情報は以下の通り定義されています。

⇒生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)

ビッグデータで扱われるデータは、通常は匿名化された情報のはずであり、匿名化されているのであれば、特定の個人の識別はできないはずですから、「個人情報」に該当しないのではないかとも考えられます。

しかし、「個人情報」は、それ自体では特定の個人を識別できない情報であっても、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。」とされています。

つまり、ビッグデータ自体は匿名化された情報であって、それのみでは特定の個人の識別ができない場合であっても、他の情報と組み合わせることにより特定の個人との識別が可能となる場合は、ビッグデータが「個人情報」に該当する可能性があるということになります。特に、インターネットの発達により多様な情報が公表・提供等され、また、情報を照合するための技術の進化もあり、最近では、複数の情報を照合することが比較的容易に行うことができ、特定の個人を識別できる可能性が高まっています。その結果、匿名化された情報であっても「個人情報」に該当する可能性が高まる傾向にあるといえます。

「パーソナルデータに関する検討会」での資料によれば、米国で以下の事例があるようです。

事例1 マサチューセッツ州が公開した医療情報から州知事の医療情報として特定

米国マサチューセッツ州が、医療情報から氏名等を削除して公開。公開された情報には性別、生年月日、郵便番号が含まれていたところ、別に公開されていた投票者名簿との照合により、州知事と同じ生年月日の者が6名存在し、そのうち3名が男性、郵便番号から1人に特定された。

事例2 インターネットサービス企業が検索履歴の公表中止

米国のインターネットサービス企業が、サーチエンジンにおける65万人のユーザーの3ヶ月間の検索履歴のリスト2,000万件を公表。ユーザーネームとIPアドレスを匿名化していたところ(ユーザーネームは番号に変換)、新聞記者が、あるユーザーネームの番号の検索履歴やその他の情報から当該ユーザーが識別されたと報道した。翌週、同企業は公表を中止し、謝罪した。

事例3 映画レンタル・サービス企業が映画推薦アルゴリズムコンテストを中止

米国の映画レンタル・サービス企業が、顧客の嗜好に合った映画を勧めるアルゴリズムのコンテストを開催し、匿名化したユーザーの視聴履歴データ(特定のユーザーの識別子、ユーザーの映画評価、評価日時のデータベース)をコンテスト参加者に提供した。ある大学のグループが、当該データと他の映画情報サイトで公開されているユーザーレビューを照合し、一部の個人を特定した。

また、上記の事例の他にも、同資料によれば、電車の乗降履歴であっても、経路利用の態様によっては1人しか特定の経路を使用しないケースもありえ、その場合は匿名のデータであっても個人の識別が可能な場合があるとされています。また、購買履歴や視聴履歴についても、インターネット等に公開されている外部情報と合わせることで特定可能な場合があるとされています。

このように、匿名化された情報であっても「個人情報」に該当する可能性があり、その結果、個人情報保護法の適用を受ける場合があるということになります。

したがって、匿名化さえすれば、個人情報ではないのだから自由に第三者提供できる(=個人情報保護法は気にしなくてよい)というものではありませんので、ビッグデータの第三者提供には十分な注意が必要です。

2 個人情報保護法改正の方向性

さて、ビッグデータについては、上記のような個人情報保護法との関係での問題点があることから、「パーソナルデータに関する検討会」ではこれに対応する形で個人情報保護法の改正の方向性が議論されています。

詳細は法案を待つ必要がありますが、「パーソナルデータに関する検討会」では、個人情報の利用・流通の促進という観点と個人情報及びプライバシーの保護への配慮という観点から、以下の方向性が制度見直し方針(案)で示されています。

・個人情報の利用・流通の促進

⇒個人が特定される可能性を低減した個人情報について、第三者提供における本人同意原則の「例外」として新たな類型を創設

・個人情報及びプライバシーへの保護への配慮

⇒上記の新たな類型に属するデータを取り扱う事業者(データの提供者と受領者)が負う義務等を法定

上記は同方針(案)で示されている方向性の一部ですが、これを含め、今後、どのような法改正が行われることになるのか、注目です。

 

 
執筆者
AZX Professionals Group
弁護士 パートナー
池田 宣大
Ikeda, Nobuhiro

ビッグデータと個人情報保護法の関係について、アウトプットとしての提供の面に関し、できるだけ分かりやすく整理しました。

いまや多くの企業がビッグデータを利用していますが、ビッグデータの提供に関しては今回説明した第三者提供の問題に加え、プライバシーとの関係で一般消費者を刺激して炎上するケースもあり、その取扱いは必ずしも単純なものではありません。

個人情報保護法の改正により、ビッグデータを取り扱う企業はもちろん、ビッグデータを構成するデータの本人(一般消費者)にとっても安心できる制度が策定されることが期待されます。

そのほかの執筆者
AZX Professionals Group
弁護士 パートナー
渡部 峻輔
Watanabe, Shunsuke
AZX Professionals Group
弁護士 パートナー
貝原 怜太
Kaihara, Ryota
執筆者一覧