高木浩光＠自宅の日記

■ 「相当の関連性」改正で糠喜びする人たち（保護法改正はどうなった その1）

個人情報保護法の改正が成立したので、結局どうなったのかを書いておこうと思いつつ、成立からはや2か月が過ぎてしまった。この間の関係者の方々の発言を見ていると、概ね認識に違いはないようで安堵している。ここではゆっくりと私の理解をまとめていくことにする。

シリーズ「その1」は、利用目的の変更を制限する15条2項にあった「相当の関連性を有する」との条文から「相当の」が削られて単に「関連性を有する」と変更された点*1について、一部で安直な理解が広まっていることに釘を刺す。

国会での審議が一時先送り*2で停滞していた時期の7月6日、日本総研の経営コラム・レポート「オピニオン」にこういう記事が出た。

• 段野孝一郎, 【ビッグデータが変える生活支援サービス�◆曠僉璽愁淵襯如璽燭亮茲螳靴い亡悗垢詼＿�正の動向, 日本総研, 2015年7月6日

  今回の制度改正において注目される点は、「1. 本人の同意がなくてもデータの利活用を可能とする枠組みの導入等」であろう。パーソナルデータの利活用を検討する際に、データの目的外利用や第三者提供に関して本人の同意を必要とする現行法の仕組みは、事業者にとって負担が大きかった点を改め、パーソナルデータの利活用を推し進めようというものである。具体的には、（略）

  （略）においては、現行の個人情報保護法第15条「利用目的の特定」第2項の改正として、検討が進められている。

  （略）

  2015年5月8日の内閣委員会の審議では、個人宅での電気使用量データの目的外利用について質疑が行われた。電気使用量データは、電力会社が電気使用量の計量ならびに電気料金の請求のために使うことが主目的であるが、例えば電気使用量の増減を分析することにより、在／不在の把握や安否確認に使える可能性がある。今回の個人情報保護法の改正によって、利用目的の特定性が低減*3されれば、電力のみならず、ガス、水道、通信等のパーソナルデータを活用した新たなサービス開発・サービス提供が可能になり得る。

  これまで、保険外サービスの一環として高齢者や要介護者の見守りを行う際は、専用のセンサーの購入・設置費用、センサー情報の送受信に必要なインターネット回線の開通・維持費用等、さまざまなコストが発生するために、民間のサービスとしての市場規模は限定的であった。しかし、今回の法改正により、個人宅に設置されている電力メーター、ガスメーター、インターネットルーター等の既存のインフラから収集できるデータを目的外に利用することが可能になれば、新たな設備投資が不要になるため、安価な見守りサービスが可能になる。その結果、所得が潤沢でない世帯においても、おのおののニーズに応じた見守りサービスの利用が可能になり得る。

  プライバシー保護との兼ね合いもあり、今般の個人情報保護法改正については賛否両論、さまざまな意見がある状況である。しかし今後、高齢者の大幅な増加することを考えた場合、既存インフラの有効活用を可能にする法改正は時宜にかなっていると言えるのではないだろうか。

まるで、電力会社の電気使用量やISPのデータ通信量を本人同意なく「見守りサービス」に使えるかのような口ぶりだが、このような喜びの声が出てくるのは、5月の朝日新聞の記事を真に受けたためと思われる。

• 個人情報保護法 改正案が衆院通過 同意なく利用 範囲拡大へ 「目的変更は自在に」法案検討委員会も懸念, 朝日新聞, 2015年5月22日朝刊（1面, 3面）

  （1面）

  個人情報保護法改正案が21日、衆院本会議で可決された。企業などが本人の同意なしに変えられる個人情報の使い道の範囲を、いまの条文の「相当の関連性がある範囲」から「相当の」を削る内容だ。今後、参院で審議されるが、大半の野党も賛成しているため、大きな変更なく成立する見通し。同意なく使える範囲が、大きく広がる可能性が高い。▼1面＝使い回し懸念

  （略）

  国会審議では、山口俊一IT担当相が、電力会社が省エネを促すサービスのために集めた家庭の電力使用状況は法改正後、社内の研究開発や安否確認サービスにも使える、と説明。山口氏は「自信をもって（使い道を変えることが）できる」と述べた。変更できる範囲は「本人が予期し得る限度内だ」ともいうが、さまざまなサービスで同じように使い道を変えられる可能性がある。

  改正案づくりの議論に参加した専門家らからは、省エネと研究開発や安否確認との「関連性」は、同じ情報を使う点以外はわかりづらいとして、「これなら目的変更は『なんでもあり』だ」との指摘が出ている。

  （3面）

  個人情報保護法改正案が成立すると、企業は個人情報を本人の同意なしにどこまで使えるようになるのか。政府や企業は、ビッグデータの分析で新たに思いつくサービスの提供や商品開発に生かしたいと考えるが、使われる側は自分の情報がいつ何に転用されるかわからない恐れもある。▼1面参照

  （略）

  省エネサービスから安否確認サービスなどに転用できる電力会社の事例を政府側が示したことに、法案の検討会委員も務めた新潟大の鈴木正朝教授（情報法）は「省エネと安否確認などに関連性があるというなら、目的変更は自由自在にできる」と懸念する。情報通信総合研究所の小向太郎主席研究員も「『相当の』の削除で変更範囲がそこまで広がるとは予想していなかった」と話す。

  個人情報の使い道を変えられる範囲は、来年1月に新設する第三者機関「個人情報保護委員会」が決めるものとされている。いまは各省庁が「相当の関連性」を厳しく見積もり、使い道をあとから変えることは「ほとんど認められないに等しい」（IT企業幹部）ため、「相当の」が削除されても、第三者機関が「すこし柔軟に変更を認める程度」と受け止める専門家は多かった。

  だが、衆院内閣委員会の審議では「目的が変わるのでも、同じ社内なら関連性がある」（野党議員）との解釈が飛び出した。これを否定する政府答弁はなく、こうした「拡大解釈」がそのまま通る恐れさえある。

  （略）

では、実際の国会審議ではどのようなやり取りだったか、確認してみると以下のようになっている。最初にこの論点が登場したのは、衆議院の5月8日の委員会だった。

• 個人情報保護法改正の国会審議 第189回国会会議録から抜粋（相当の関連性関係部分）

  平成27年5月8日衆議院内閣委員会第4号

  ○阿部委員　民主党の阿部知子です。

  （略）

  引き続いての質問ですが、今回、現行の十五条二項にありますいわゆる利活用の目的の、「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」という条文から、「相当の関連性」の「相当」を削ろうという改正であります。

  「相当の関連性」というのから「相当」を取ると、普通考えられるのは、これは緩めたということになりまして、私は、何でこれを取るのですかと担当の方にもいろいろ伺ったのですけれども、例えば、個人のお宅で電気の使用量などが上がってきます。これは、これから将来、いわゆる各家庭で使っている電気と、それを例えば再生可能エネルギーなどでどう配分していくかというような、そこにもビッグデータは活用されますけれども、同時に、例えば、そこで電気の使用が全くなかったら、安否確認の意味でも、何か異変があったのではないかなどのことに使えるはずであるが、まだ安否確認の研究ですね、それが現行法ではできないから「相当」を削るんだというお話でした。

  私は、それは関連性としては、生活をしていて電気を使っておられるわけですから、そういう情報を集積するのは関連性の一環であって、「相当」を削るというよりは、これは実は運用の方で今度個人情報保護委員会がきちんと考えていけばいいことであって、法案から削るのは逆さじゃないかな、運用できないから削っちゃうというのだったら、ちょっと法と行政の逆転が起こるように思いますが、大臣はいかがですか。

  ○山口国務大臣　これは、御指摘のとおり、現行法上、「利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」と規定をされております。

  「相当の関連性」、この文言につきまして、これまで厳格な解釈、運用が実はなされてきておるところでございまして、この「相当」に関しては相当な議論がございまして、双方の議論の中でこういうふうな形にさせていただいたわけであります。

  これは、情報通信技術の飛躍的な進展によりまして、お話しのビッグデータの収集とか分析が可能になっていきます。事業者の中には、取得をした個人情報を当初想定できなかった新事業あるいは新サービスで活用したいというふうなニーズも実はございますが、事業者は、これまでの余りに厳格な解釈、運用を踏まえて利用をちゅうちょしておるものというふうに聞いております。

  ですから、このために、今回の改正は、「相当」の部分を削除して、事業者が機動的に目的を変更することを解釈、運用上可能にするものでありまして、今回の措置につきましては、確かに、御指摘のように、法律の解釈、運用の見直しのみで対応するということも考えられたわけでありますが、法制定後十年が経過をしまして、現行法の解釈が余りにしっかりと定着をしておるというふうなことも踏まえて、法改正によって明確に対応することがむしろ適切というふうに判断をしたものでございます。

  ○阿部委員　「相当」については相当議論があったとおっしゃいましたが、やはりこれを法律の文面だけで見ると非常に緩和的に映りまして、それは、私はさっき申し上げましたが、一概に緩和だけが意味があるのではなくて、きちんと守られるべきものが守られているということの方がよりスムーズな運用となると思いますので、この点の指摘をさせていただきます。

これを見ると、最初にこの問題に切り込んだ阿部知子委員は、電気使用量を無条件に安否確認に利用できるようにする話として「担当の方にもいろいろ伺った」と述べている。ただ、阿部委員も何を言いたいのか、反対しているのか賛成しているのか、はっきりしない発言になっている。そのためか、これに応じた担当大臣は、「ご指摘の通り」として、抽象的な改正趣旨を一般論で答えて済ませており、挙げられた電気使用量の具体例について否定する発言をしていない。

このやりとりがきっかけとなり、先の朝日新聞の報道に至ったものと思われる。

これが22日に報じられると、続く参議院での委員会で繰り返し問い質されることになる。

• 個人情報保護法改正の国会審議 第189回国会会議録から抜粋（相当の関連性関係部分）

  平成27年5月26日 参議院内閣委員会第9号

  ○相原久美子君　民主党の相原久美子でございます。今日はよろしくお願いいたします。

  （略）

  あと、利用目的制限の緩和についてお伺いします。

  本改正案では、本人の同意がなくてもデータの利活用を可能とする枠組みの導入が消費者側の意見を踏まえて見送られました。しかし、第十五条の二項において、変更前の目的と相当の関連性を有するからこの「相当」の部分を削除することで利用目的制限が緩和されたとされています。衆議院通過後の報道では、同意なく使える範囲が大きく広がるのではないかという懸念が指摘されていました。

  何がどのように緩和されることになるのか、そして、際限なく広がるものではないのだというところを国民の皆さんに分かりやすくお示しいただければと思います。

  ○政府参考人（向井治紀君）　お答えいたします。

  現行法上、利用目的を変更する場合には、「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」と規定されているところでございます。

  今回、この「相当」という文言を落とすわけでございますが、現行法の運用に当たりましては、「相当の関連性」という文言についてかなり厳格な解釈運用がなされているところでございます。

  一方で、情報通信技術の飛躍的な進展によりまして、ビッグデータの収集、分析が可能となる中、事業者の中には、取得した個人情報を当初想定できなかった新事業、新サービスで活用したいとのニーズもあるものの、こういう解釈のために事業者が利用をちゅうちょしているものもかなりあるというふうに聞いてございます。

  このため、今回の改正は、「相当」の部分を削除し、事業者が機動的に目的変更することを解釈運用上可能とするものでございますが、変更できる利用目的の範囲については本人が通常予期し得る限度内であることを想定してございます。

  例えば、電力会社が顧客に省エネを促す目的で家庭内の機器ごとの電気使用状況を収集し、その使用量を分析して顧客に提示しているような、そういうサービスがございますが、このような情報を用いて、例えば家電制御技術の研究開発やこの顧客の安否確認サービスを行うぐらいは許容範囲かなというふうに考えているところでございます。

  ○相原久美子君　衆議院でもそういう例示を出していただきました。本当に様々な例示が出てくるだろうと思います。しっかりとそこの部分も注視していただきたいと思います。

このように、参議院で再び問われたときの政府参考人の答弁では、「使用量を分析して顧客に提示しているような、そういうサービスがございます」と、そういうサービスが既に利用者に提供されているとき（これは本人同意の下で利用されていると考えられる）という前提が加わっている。

つまり、全く何もないところから勝手に電力会社側で電力使用量を監視して安否確認に使うという話ではなく、電力使用量の分析を利用者に提示するサービスの中で、何の分析を提供するかという話をしていたわけだ。

確認してみると、実は、朝日新聞が報じる前、上に示した5月8日の衆議院内閣委員会でも、続く高井崇志委員の質問（こちらは緩和せよという主張となっているが）に対しての大臣答弁でも、そのように答えられていた。*4

• 個人情報保護法改正の国会審議 第189回国会会議録から抜粋（相当の関連性関係部分）

  平成27年5月8日 衆議院内閣委員会第4号

  ○高井委員　維新の党の高井崇志でございます。

  （略）

  それでは、ちょっとこれは大臣にお聞きしたいと思います。これも何度か質問に出ております、十五条二項の個人情報の利用目的の変更の文でございます。「相当の」という言葉でございます。

  個人情報の利用目的変更について、現行法では、相当の関連性を有する範囲でしか認められていない。相当苦労して、相当議論があったとおっしゃっていましたけれども、私の立場からすると、これは今相当限定的になっているんではないかと。例えば、経済産業省のガイドラインでは、新商品のお知らせをしますよという目的を、では、関連性を有する範囲というのは、新商品だけじゃなくて既存商品もいいですよというぐらいの範囲しか認めていないという書きぶりであります。

  しかし、ビッグデータ時代というのは、データを収集して分析してみて初めていろいろな利用目的というのが生まれてくるわけでありまして、そういったものを一つ一つ全部利用者の許諾をとっていたのでは、これはおよそ使い物にならないというのが実態だと思います。

  そういう意味で、今回、改正法で「相当の」という文言を削除したわけですけれども、利用目的の制限も緩和しているわけですが、具体的に、では、どの程度の変更が同意なく変更できるのかということについてお聞かせください。

  ○山口国務大臣　委員御指摘のとおりで、現行法上、「利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」というふうに規定をされておりまして、この「相当の関連性」という文言につきましては、お話しのとおり、大変厳格な解釈、運用がされておるところであります。

  一方、さまざまな情報通信技術の発達、あるいはビッグデータの収集、分析が可能になっていく中で、やはり、事業者の中には、取得をした個人情報、これを当初想定できなかった新事業とか新サービスで活用したいというニーズがあるわけでありますが、事業者がこれまでの厳格な解釈、運用を踏まえての利用をちゅうちょしておるものというふうに聞いております。

  このため、今回の改正では「相当の」の部分を削除して、事業者が機動的に目的変更することを解釈、運用上、可能とするものでありますけれども、この変更できる利用目的の範囲につきましては、本人が通常予期し得る限度内であるというふうなことも想定をしております。

  これによって、例えば電力会社が、顧客に省エネを促す目的で、家庭内の機器ごとの電気使用状況を収集して、その使用量等を分析して顧客に提示をしていた場合、あるいは、同じ情報を用いて家電制御技術の研究開発とか、その顧客の安否確認のサービスを行うということができるようにというふうなことが考えられるわけでございます。

  いずれにしても、変更前の利用目的と関連性を有すると合理的に認められる範囲、これにつきましては、その詳細とか具体例につきましては、ガイドライン等で明確化をしていく予定にいたしております。

  ○高井委員　利用者が予期できる範囲というのはなかなか難しい。これはやはりガイドラインにしっかり具体的に事例を書いていただいて、ただ、今申し上げましたとおり、やはりそこを広く、この「相当の」を削除したというところをしっかり趣旨を生かして、利活用が進むようにお願いしたいと思います。

  （略）

ただ、この大臣答弁中の「提示をしていた場合」というのが、本当に、利用目的を変更する前の時点でそうなっている場合という前提として述べているのか、ここだけを読んでもいまひとつはっきりしない。一般に大臣答弁は担当者からのレクを受けて話しており、本人の言葉で話していないことがあるため読解が難しい。ここでは、続く文が「あるいは」で接続されており、この「あるいは」を「もしくは」の接続詞の意味で捉えると、「していた場合」というのが言い間違いではないかとも解釈できてしまう。この「あるいは」を「ひょっとしたら」の副詞の意味で捉えれば、「していた場合」は前提として述べたものと読解できる。

こうした読解の難しさからか、あのような朝日新聞の記事となり、冒頭のような日本総研の記事が出てくることになったのだろう。

その点、5月28日の参議院内閣委員会の大臣答弁では、このような前提を置いたものであることが明確になっている。

• 個人情報保護法改正の国会審議 第189回国会会議録から抜粋（相当の関連性関係部分）

  平成27年5月28日 参議院内閣委員会第10号

  ○石橋通宏君　民主党・新緑風会の石橋通宏です。今日は久しぶりに内閣委員会で質問の機会をいただきまして、ありがとうございます。

  （略）

  時間の関係で最後になるかもしれません、まだ幾つかありましたが。第十五条の関係について是非確認をしておきたいので、利用目的の変更のところですね。

  おとといの審議で相原委員も質疑されて答弁をいただいておりまして、これは衆議院でも議論になって、衆議院でのこの法案成立のときに、かなり新聞報道でも、いや、こんな目的外利用が可能になるのかということで、結構何紙かが取り上げて心配の声が上がったわけです。実は、私も衆議院の方の質疑を聞いていて心配になった方なんです。

  これは、大臣も、おとといのところでは向井さんも、具体的に電力データの利用の例を挙げられましたね。電力会社が集めた電力使用状況のことを社内の研究開発や安否確認サービスにも使えると、これ例示で答弁されました。これ、本当にここまでの拡大が、今度、「相当の」というのを取ったことによって広がるという理解なんですか。

  これは、僕も心配なのは、例えば安否確認サービス、これよく言えば安否確認サービスですけれども、これ悪く言えば電力会社の方がそれぞれの御家庭を監視するということの心配が、まさに国民の皆さんからいうと、冒頭、大臣とやり取りさせていただいた、今回一体何のための目的でやるのかということにつながっちゃうんですね。それぞれの御家庭の暮らしの向上ならいいんだけれども、企業の利益の向上とか、国とか企業による監視の強化とかいうことになるのではないかという心配で、大臣たちがこの例を挙げられるものだから、こんなこと可能になるなら家庭の状況が監視されるじゃないかということにつながっちゃうと思うんです。

  これ、大臣、この事例は、本当にこんなこと可能にするんですか。

  ○国務大臣（山口俊一君）　例示でお示しをさせていただいた電力会社の見える化サービス、これで取得をした個人情報が安否確認サービス等に利用できると。これは、本人が通常予期し得る限度内であるというふうなことで判断をしたわけであります。

  今でも、例えば、実は私もついこの間経験をしたんですが、水道料金が前の月よりも倍ぐらい使っていますけど大丈夫ですかと水道の方から言われたんですね。そういった、ある意味でサービスというのは私は許されるんではないかなと。*5

  具体的な見える化サービスは、利用者に対してこれ省エネに関するアドバイスを行うものでありますけれども、これは事業者が把握をした個人の電気使用量の傾向、これを分析をすることによって提供されるものというふうなことなんですが、この点、安否確認サービスというのも個人の電気使用量の傾向、これを分析することによって提供されるものであるというふうなことで、通常本人が予期し得る範囲内であるというふうに考えたわけでございます。

  ですから、一部報道で指摘をされておりましたけれども、本人が到底予期し得ないような目的変更の事例とは若干違うんではないかなというふうに私は思っておりまして、同時に、本人との関係におきましては、利用目的を変更した場合にその変更した利用目的を通知又は公表しなくてはならないというふうなことに、これは改正後も変わらないわけでありますので、変更後の利用目的につきましては本人が知り得る状態というのは確保されておるというふうなことでありますので、利用目的を特定をするという趣旨が没却されておるものではないというふうな判断で申し上げさせていただきました。

このように、契約者のプライバシーに関わり得る消費動向の分析について同意を得たサービスがすでに提供されている前提ではさらに同様のプライバシーに関わる分析をすることも「関連性を有する」ものとして利用目的変更が認められ得るという話であることがちゃんと述べられていたのである。

もっとも、その程度の関連性では利用目的変更を認めるべきではないという意見もあろう。例が「安否確認サービス」であるがゆえに反対しづらい面がある。人の生命・身体・財産の保護のために必要だと言われたら*6「はいそうですね」と納得してしまう人もいるだろう*7。だが、ここで問われているのはそういう行為全体の正当性とは独立に、利用目的に関連性があるかどうかの基準である。

したがって、「この程度の関連性で認められるならば、不当な利用目的も許してしまう」とする問題提起は当然に出てくるわけで、朝日新聞の記事はそういうことを指摘していたと読むこともできる。記事を改めてよく見てみると、「IT担当相が、電力会社が省エネを促すサービスのために集めた家庭の電力使用状況は法改正後（略）安否確認サービスにも使える、と説明。」と書かれており、利用目的の変更前に「省エネを促すサービス」に利用者が加入していることを前提として書いていた様子もうかがえる。

しかし読者はそうはとらなかった。日本総研の記事はその前提をバッサリ落としており、「電気使用量データは、電力会社が電気使用量の計量ならびに電気料金の請求のために使うことが主目的であるが」から一足飛びに「今回の法改正により、個人宅に設置されている電力メーター、ガスメーター、インターネットルーター等の既存のインフラから収集できるデータを目的外に利用することが可能」と、前提なしに目的外利用できると書いてしまっている。

新聞はこういったときできるだけ問題を大きく書こうとする。それは若干の曲解を含むものであったりするかもしれない。しかしそれはそれで報道の役割であり、実際、今回のケースで、衆議院の審議では曖昧だったことから問題提起がなされ、参議院で答弁の趣旨が確認的に明確化されたわけである。だが、新聞記事を真に受けた読者は、指摘があったにもかかわらず修正されることなく法が成立したとなれば、新聞が書いた懸念が現実になる（妥当なものとして認められた）のだと受け取ってしまうわけだ。

こうした誤解の連鎖が広がることはたいへんマズいので、以上の通り釘を刺しておきたい。*8

なお、蛇足になるが、安否確認サービスの例を持ち出したのは例の選択が悪かったと言うべきだろう。起草担当者としては、できるだけ利活用派に褒められるような大胆な利用目的変更を許す例で、かつ、プライバシー保護派から叩かれないような妥当な例を挙げたかったのだろう。だが、この安否確認サービスの例は、一つには先に述べたように、人の生命・身体・財産の保護のためという、行為全体の正当性が入り込んでいて基準の議論に混乱を招くというのと、もう一つには、そもそも安否確認サービスを実現するには、誰に安否を伝えるのかの登録（通常は契約者本人以外となる）をしない限り実現不可能なわけで、契約者本人の同意を得て登録するサービス形態となるのが当然*9のものとして予想されるわけで、直感的に妥当な例に聞こえてしまう、耳障りのよい、ずるい例*10になっていた。

国会で問題にされたこともあってか、起草担当者の一人である日置巴美氏（内閣官房パーソナルデータ関連制度担当室参事官補佐）は、7月18日に開かれた日本弁護士連合会主催のセミナー「消費者の個人情報保護を考える〜どうなる、情報化社会の未来〜」の講演において法案を解説する際、この「相当な関連性」のところで、電力会社による電気使用量の例を用いず、フィットネスクラブの例を挙げて話されていた。

このフィットネスクラブの例は、後の10月10日に出版された日置補佐らの著書*11「平成27年改正個人情報保護法のしくみ」（商事法務）においても用いられており、次のように説明されている。

イ 利用目的変更要件の緩和

（ア）利用目的を変更できる範囲を拡大する

今回の改正は、「相当の」を削除することにより、変更できる利用目的の範囲を、本人が予期し得る限度で拡大することとし、利用目的を特定させる趣旨を損なわないようにしつつ、事業者の機動的な目的変更を可能となるような制度を目指している。（略）

例えば、フィットネスクラブが、体型維持・体質改善のためのプログラムを提供するサービスを行っていたとする。このプログラムの一環として、顧客の食事メニューの指導のために個人情報を取り扱っていたところ、これらの顧客に対して、新たにその食事メニューに関する食品の販売サービスを始めることが考えられる。既に行っているサービスは、顧客の生活パターンや、身長・体重・体組成に関する情報という個人情報を用いて最適な食事メニューを検討し、当該顧客に対して提示・その後の運動の等のプログラムが組まれるものである。この食事メニューを実践するために、実際に使用する食品を販売することは、既存のプログラムを補完し、当初の目的を達成するためにより効果的なサービスを提供するための利用目的であるといえる。したがって、このような変更については、「食事メニューの指導」に関連するものであるため、顧客が通常予期し得る範囲内であると考えられる。

なお、国会審議において政府が具体例として答弁したものに、「個人の電力使用量の傾向」を用いたサービスがある。電力会社は、顧客に省エネを促す目的で、家庭内の機器ごとの電力使用状況を収集し、電力使用量を数値化して顧客に提示することを通じて省エネに関するアドバイスを行うという「見える化」するサービスを行うことがある（「見える化」の具体的なサービスの内容は、オプションなどを含めて事業者によって様々である）。このサービスに加えて、同じ収集した電力使用状況を数値化したデータを分析し、その顧客の安否確認サービスや、家電制御技術の研究開発*12を行うことができるようにすることは利用目的変更の範囲内であるとされていた。これについては、変更前後の利用目的は、どちらも、事業者が把握した個人の電力使用量の傾向を分析し、その結果を何らかの形で顧客に提示・提供するという点が共通している。この範囲であれば、本人は見える化サービスを受けるにあたって利用の変更の幅として予想を裏切るものではないとの見解であったが、賛否に付き双方の意見が多くあった。

もともと、利用目的変更はほとんど使われてこなかったことから、「相当の」が削除されたことによる影響を、法解釈や今までの運用から推し量ることは困難である。法の全面施行に向け、個人情報保護委員会は、ガイドライン等において具体例を示す等し、事業者・本人の理解を得られるよう、混乱をきたさないようにする必要がある。

（イ）本人が想定できる利用目的の幅

（略）

日置巴美, 板倉陽一郎, 平成27年改正個人情報保護法のしくみ, 商事法務, pp.122-124

■ CCCはお気の毒と言わざるをえない

驚きのニュースが舞い込んできた。CCCがプライバシーマーク（Pマーク）を返上したというのである。日経コンピュータの取材によれば、CCC社の「管理本部法務部リーダー」と、「経営戦略本部リスク・コンプライアンス統括部情報管理Leader」と、「経営戦略本部法務部会員基盤Leader」の3氏もそろってこれを認めているという。

• CCC（ツタヤ）がプライバシーマーク返上で日本中のプライバシーフリークが騒然の事態(山本一郎) - Y!ニュース https://t.co/BKKhMTRyqX

  — やまもといちろう (@kirik) 2015, 11月 19

• 書きました。後編は来週掲載です。/ なぜCCCはプライバシーマークを返上し、T会員規約を改訂したのか（前編） https://t.co/mJFLHTEnvK

  — Naoki Asakawa / 浅川直輝 (@nasakawa) 2015, 11月 20

CCC社のPマークを巡っては、昨年の2月に有効期限が切れたまま更新手続き中となり、今年9月までその状態が続くという異常事態があった（スラドの記事「CCCのPマークが再び有効に、オプトアウト実装のため？」参照）が、このことについて、今回の日経コンピュータの記事によると、CCC社法務部は、「他の認定企業よりも遅れたのは確かですが、Pマーク認定団体と見解の違いがあったわけではなく、手続きの不備もありません。今回も、我々が自主的に返上したものです。」と答えているそうだが、それはどうだろうか。

時系列順に振り返るとこうだった。

2012年9月 T会員規約で個人データを「共同利用する」としている点に違法性が指摘される

当時のT会員規約では、会員の個人データをTポイント加盟企業と「共同利用」すると規定されており、たしかに個人情報保護法23条は「共同利用」を認めているものの、この共同利用の趣旨は本来、共同利用者の範囲が固まっている場合を想定したものであって、Tポイント加盟企業のように共同利用先が日々増加していくようなケースには適用できないものであり、この規約通りに実際に事業が行なわれているならば、個人情報保護法違反だとの指摘があった。（「Tカードは個人情報保護法違反に該当するのか？──津田大介の「メディアの現場」vol.44より」参照）

2012年11月 薬害オンブズパースン会議が「Ｔポイントサービスに関する要望書」を提出

Tポイント加盟店のドラッグストアが、医薬品の販売時に、購入者に告知することなくその販売事実をCCCに取得させているのは刑法134条の秘密漏示罪に当たり得るものであり、そのような仕組み自体がT会員に知らされていないと指摘する「Tポイントサービスに関する要望書」がCCC社ほかに突きつけられた。

2013年7月 Yahoo!ポイントがTポイントに統合、T-IDがYahoo! IDに統合される

TサイトなどのログインIDであった「T-ID」が廃止され、Yahoo! IDでのログインが強制された。この時点では、Yahoo!ポイントをTポイントに統合することが目的であり、「現時点ではショッピング履歴などの共有・統合は行われない」「商品・サービスの購入履歴などの情報は、CCCやYahoo! JAPAN、あるいは各提携サイトがそれぞれ保有。Yahoo! JAPANが保有するインターネット上の行動履歴などの情報も、CCC側に提供することは現時点で計画していないとYahoo! JAPANでは説明している。」とされていた。（INTERNET Watch「Yahoo!ポイントがTポイントへ、T-IDがYahoo! JAPAN IDへ、7月1日に統一」参照）

2013年9月 週刊東洋経済にTポイントの個人データ「共同利用」の違法性の指摘が掲載される

週刊東洋経済2013年9月7日号に「〔ポイントの落とし穴〕あなたの個人情報大丈夫？」として、T会員規約の共同利用規定について批判的に扱う記事が掲載され、「Tポイントにかぎらず，将来の事業拡大の可能性を見据えて，規約は幅広く解釈できるようにしておきたい，というのが個人情報を扱う企業の本音だろう。」といった皮肉が書かれた。

2013年10月 CCCがT会員規約を改定し共同利用の目的を明確化する

CCCは4日前の9月27日に「「顧客情報管理委員会」新設とT会員規約改訂についてのお知らせ」を公表し、個人データの共同利用範囲の見直しをしたと公表した。だが、規約の変更点は、共同利用先の範囲についてではなく、共同利用の目的の範囲を明確化しただけであった。

2014年1月 経産省ガイドライン改正の検討が始まる

2014年2月 CCC社のPマークの有効期限が切れる

2014年5月 経産省ガイドラインの改正案で「共同利用」制度の明確化が示された

経済産業省が「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」を改正するとして、改正案がパブリックコメントにかけられ公表された。その内容は、共同利用の（目的ではなく）範囲についての要件を明確化するものであった。具体的には、「共同して利用する者の範囲」について、「「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で当該個人データを共同して利用することである。したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。」*1などと明記するものであった。（この改正はその後、ベネッセ事件の発生により遅れ、2014年12月12日になって、この部分についてほぼ原案通りで改正された。）

2014年6月 個人情報保護法改正の大綱が決定される

保護法改正大綱の内容からして、その改正でCCCの共同利用形態が認められることになるわけではないことが明確になった。

2014年8月 CCCが個人データの利用方式を「共同利用」から「第三者提供」に変更すると予告

8月14日にCCCが「T会員規約改訂と個人情報取り扱いに関する規定の変更」と題して、「ポイントプログラム参加企業を含む提携先との個人情報の利用方式を「共同利用」から「第三者提供」に変更」すると予告、11月1日付で改定するT会員規約を公表した。また、第三者提供について提供の停止（オプトアウト）を11月1日から受け付けるようにすると予告した。このとき、「個人情報の第三者提供について」と題して、CCCがどのように履歴データを提供するのかが図解入りで説明された。

2014年10月 CCCが第三者提供停止のオプトアウト受付を前代未聞の方法で開始して炎上

CCCは新規約が発効する4日前の10月28日、オプトアウトの受付を開始した。ところが、提供先の事業者ごとにオプトアウトを指定するという前代未聞の方式で、将来に新たに提供先が追加されたらその都度オプトアウト手続きをしない限り、その事業者には第三者提供されてしまうというものであったため、炎上した。11月5日には「Tカード個人情報提供先新着bot」なるボットまで登場し、新たな提供先が追加されるたびにRTされてプチ炎上していた。また、そのオプトアウト画面に到達するにはヤフーとの相互履歴提供に同意することが必須になっているという問題もあった。

• T-CARDの個人情報提供先に No.77「株式会社Tメモ」が追加されました(2014/11/25付) http://t.co/YGnakEee0q

  — Tカード個人情報提供先新着bot (@ccc_privacy_bot) 2014, 11月 25

2014年11月 有志の問い合わせによりCCCのPマークは「更新審査の途上」であることが確認される

• JIPDECへの問い合わせで興味深いことが判明しました。 CCCのPマークは期限が切れておりますが現時点でも「更新審査の途上」とのことです。 また、JIS不適合に関しては当方の指摘通り「利用者の同意を得ていない状態」であり、CCCに改善を求めるとの回答でした。

  — 書肆ふろすてぃ（古本屋/JN4IFD） (@Alice_fst) 2014, 11月 26

2014年12月 個人情報保護法改正案の骨子案が公表される

2015年6月 個人情報保護法の改正内容がほぼ確定的となる

これにより、仮名化データを「匿名加工情報」として扱うこともできるようになるわけではないことが明らかになる。

2015年8月 CCCがオプトアウトを常識的な方法にひっそりと変更していたことが発見される

• T-CARDの個人情報提供先の設定ページ、いつの間にか「今後、追加される提供先も含め、すべての提供先への個人情報提供を停止する」って項目が出来てるのな。けど「停止するときはチェックを外せ」という少々わかりづらい仕様w

  — 星夜 輝 a.k.a イケダ/急速潜行中 (@hoshiyo) 2015, 8月 31

• おぉ、Tポイントの個人情報のやつ、いつのまにやら「今後、追加される提供先も含め、すべての提供先への個人情報提供を停止する」チェックが出来ておる。今後はもうわざわざ確認する必要がないな。

  — Arai Jun (@arai_j) 2015, 9月 1

• Tポイントカードの個人情報提供停止手続きを久しぶりにやったら「今後、追加される提供先も含め、すべての提供先への個人情報提供を停止する」のチェック項目が追加されてた。しかし、括弧書きの内容をどう解釈すれば良いのか悩むぞ！ pic.twitter.com/6Rsrmjfkxl

  — ＼(^o^)／ (@Twin_GN_Drive) 2015, 11月 7

2015年9月 CCCのPマークが復活し平成28年2月7日まで有効となっているのが発見される

スラドの9月17日記事「CCCのPマークが再び有効に、オプトアウト実装のため？」が、遅くとも9月13日までに、JIPDECのPマーク付与事業者一覧にCCCが掲載されて、有効期限が「28.2.7まで有効」と延長されていることを伝えた。

2015年10月 「ツタヤ図書館」批判が本格的に加速

週刊朝日が8月21日号から週刊ツタヤ図書館問題の連載を開始。9月から燻り始めていた種火が10月1日の海老名市立中央図書館のオープンでいっきに炸裂し炎上。楽しみにされていたCCC増田社長の宣伝番組「プロフェッショナル仕事の流儀」も悲惨な内容で放送されるに至った。週刊ダイヤモンド、週刊東洋経済と続々批判的に取り上げられ、増田社長の「なんでこんなにアゲンストやねん」との迷言が遺される。その火勢は11月に入っても衰えることがなかった。（「ツタヤ図書館関連メディア報道一覧」参照）

2015年11月17日 CCCがT会員規約を12月1日付で改定すると公表

公表された「委員会の活動報告 T会員規約改訂について」では、Pマーク返上について書かれていないが、現行の規約に書かれている安全管理措置に関する「経済産業省が告示した「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」はもとより、「プライバシーマーク」の要求事項や「情報セキュリティマネジメントシステム(ISMS)」の基準を取り入れ、」との記述が、改定後では削除されており、また、現行の規約にある「その他個人情報保護法及び、「JIS Q 15001」を遵守した上で」との記述が、改定後では「その他個人情報保護法を遵守した上で」と、「JIS Q 15001」の記述が削除されていた。「解説」には、「個人情報保護法（改正後の内容も含む）またはその関連法令を遵守することを大前提とした上で、日本工業規格のJIS Q 15001（個人情報保護マネジメントシステム ― 要求事項）や JIS Q 27001 （情報セキュリティマネジメントシステム）などのセキュリティ基準を参考に自社基準を策定し、時代の変化や急速に発展するIT技術に対応できるセキュリティ環境を作ってまいります。」と書かれていた。

2015年11月20日 日経コンピュータの取材にCCCはPマークを返上したと明言

日経コンピュータの記事によると、「今のPマークはまだ2016年2月7日まで期限が残っていましたが、我々は2015年11月16日にPマークを返上しました。」とのこと。

さて、以上のような経緯であるわけだが、私としては、この流れを傍観しながら、2014年8月のあたりから、CCCのことが気の毒に思えるようになっていった。

というのも、「共同利用」から「第三者提供」に切り替えたというのだけども、そもそもCCCは「第三者提供」をしていないはずだ（一部を除き）と思っていたし、それ以前でも「共同利用」もしていなかったはず（一部を除き）と思っていた。2012年9月の記事「Tカードは個人情報保護法違反に該当するのか？──津田大介の「メディアの現場」vol.44より」でも、鈴木正朝先生は「実際やっているかどうか、どこまでどのようにやっているかについては調査が必要なところですが、T会員規約（約款）上は、そうした権利をCCCが留保していて、いつでも行使できる状態になっていることを問題視しています。」と述べており、実際にはやっていないのではないか？としつつも、規約の規定ぶりに問題があると指摘されていたものだった。

Tポイントが何をやっているかについては、2012年9月23日の日記「Tポイントは本当は何をやっているのか」と、2013年6月27日の日記「Tポイントは何を改善しなかったか」で書いている。これが今も変わっていないのだとすると、やはり、第三者提供はしていない（一部を除き）と言うべきである。

当時、CCCの北村取締役がテレビに出るたび強調していたのは、「統計的に処理しているだけだ」「データの横流しはしない」というものだった（図1）。

図1: テレビ東京「たけしのニッポンのミカタ！」2012年8月17日放送より

そのような事業も行っていることはその通りなのだろう。その事業だけならば、加盟店からの委託によって、CCCがデータ収集と統計処理を受託しているという位置付けにすることができ、その場合は、第三者提供でもなければ共同利用でもない、ごく適法な事業だということになる。この場合の委託関係を図で表すと図2のようになる。

図2: 委託者と受託者 及び マーケティング分析サービス事業における委託関係

1つ目の絵は、個人データ処理の委託における委託元（委託者）と委託先（受託者）を模式化したもので、破線の矢印は委託する関係を表しており、実線の矢印は個人データの流れを表している。青が委託者で、EUデータ保護指令で言うところの「controller」（英国のData Protection Act 1998では「data controller」）、緑が受託者で、EUでは「processor」（英国では「data processor」）と呼ばれるものに当たる。

2つ目の絵は、Tポイントおける、図1で北村取締役が強調していた事業を、加盟店を data controller として、CCCを data processor として整理した場合の委託関係を表している。加盟店のコンビニやファミレスのチェーン本部は、CCCからTカード読み取り対応POS端末を借りるなどしてFC店に設置し、これにより、購買履歴データが直接 data processor であるCCCに送信され蓄積・管理される。加盟店のチェーン本部は、CCCが提供するASPサービスにアクセスすることにより、 自分のところのチェーンの売り上げデータを分析し、図1のテレビ画面でいうところの「マーケティング情報」（濃い青の丸印）を得ることになる。このとき、data processor は、複数の data controller から受託したデータを混ぜてはいけない（図では「個別DB」に格納するとしている*2）。図1のテレビ画面でいうところの灰色の「マーケティング情報」に赤いバツ印が付けられているのが、この「混ぜてはいけない」ということに対応している。

このような事業であれば、全く適法で、個人情報保護法もPマーク上も問題にはならない。

ところが、やっているのはそれだけじゃないだろ！というのが、「Tポイントは本当は何をやっているのか」で言いたかったことであり、実際には、複数の加盟店からの個人データを混ぜて、串刺しで分析をしてターゲティング広告（主にクーポンの本人への発行）をやっているわけである。

そうすると、「受託したデータを混ぜている！」ということになれば、違法だということになりかねないわけで、むしろ、「CCCは受託者ではない」という整理をしたほうがマシということになるだろう。

このことについて、私は、CCCのターゲティング広告（クーポン）事業は、CCCを data controller とし、加盟店を data processor とした、CCCから加盟店への「個人データ取得の委託」として整理するのがよいと考えるようになった*3。つまり、次の図3のような委託関係である。図2とは青と緑が逆転している。

図3: 串刺しプロファイリングによるターゲティング広告事業における委託関係

このモデルでは、CCCが、コンビニやファミレスのチェーン本部に委託して、そのFC店等にTカード読み取り対応POS端末を設置してもらう。CCCに直接送信される購買履歴データはCCCの「共通DB」に入れられて、CCCはT会員のデータを串刺しにプロファイリングすることができる。「Tポイントとはそのような事業である」としてT会員に十分に知られているならば、適法であり、加盟店は第三者提供していないし、CCCも加盟店への第三者提供をしていないことになる（クーポン発行時については脚注3参照）。ましてや、CCCと加盟店間の共同利用でもない。

このようなモデルは、現に広く行われている、保険契約における保険会社（委託者）と生命保険募集人（受託者）の関係や、携帯電話の新規回線契約における携帯電話会社（委託者）と代理店（受託者）の関係において、個人データの「取得の委託」として整理される*4ものであり、代理店や保険募集人が委託元に代行して個人データの取得を処理する形になっている。Tポイントの場合は、FC店から直接CCCに個人データが送信されるが、FC店の関与がなければその取得はできないのであり、FC店（及びその委託元のチェーン本部のTポイント加盟店）はCCCからの委託を受けているとみなすことができる。*5

このように整理すると、今度は、図2のテレビ画面にあった「マーケティング分析サービス」がどのような位置付けになるかが問題となる。加盟店が「共通DB」にアクセスすることを許し、その情報が加盟店に「マーケティング情報」として提供されることになれば、そこが第三者提供だということになるのかである。

加盟店に提供される情報が、北村取締役が主張していたように「統計的な処理」をしたものに限られるのであれば、非個人情報の提供であり、個人データの第三者提供ではないと整理することができ、何ら問題ない*6。ここで、もし、より詳細なデータを提供していて、（容易照合性によって）個人データに該当してしまいそうなレベルのもの（今日で言うところの「匿名加工情報」に当たるようなもの）を扱っているとなると、その場合はどうだろうか。

その場合も、次の図4のように整理すればよいのではないか。

図4: マーケティング分析サービス事業とターゲティング広告事業の同時実施

つまり、図2の事業と図3の事業を同時に営んでいるとすればよい。FC店から送信される購買履歴データは1つだけれども、加盟店チェーン本部が data controller となって委託によりCCCで管理されている「個別DB」と、CCCが自ら data controller となって管理している「共通DB」の両方に格納されるのだと。加盟店が自ら扱うデータは、自分のところの「個別DB」に格納されたものに限られ、CCCは「共通DB」しか自由には扱えない。加盟店の店舗も、CCCの事業であるクーポン発行に際しては受託者として守秘義務を負う。

これは決して脱法行為ではない。個人情報保護法が個人データの同意なき第三者提供を原則禁じているのは、data controller から data controller へのデータ移転を許せば、データが流々転々して本人の権利利益を害し得るとしたところにあり、data controller から data processor へのデータ移転は、その data controller の管理下にあるから制限する必要はない*7わけで、図で言えば、点線でつながったグラフが、根のみを青とした木（というか森）になっていてれば適法ということになる。各事業者には複数のグラフを重ねることができ、それらの間でデータが分離されていればよい。

ただ、CCCのTポイント事業においては、このように整理できるとしても、実際に契約がそのようになっていて、それぞれの責任が明確化されているかが問われるだろう。そうでなければ、実態として第三者提供はないと言えるにしても、それぞれの事業者が適切に利用目的の特定をしていないという点で違法となるし、委託先の監督義務違反ともなり得る。また、利用者から見ても、2つの事業が同時に行われているのならば、そのことがわかるような規約（というかプライバシーポリシー）と説明が求められるところで、それができていなければ、利用目的の通知又は公表の義務違反ということになる。2014年8月に、CCCが「共同利用」から「第三者提供」に変更することを発表した際に「個人情報の第三者提供について」と題してT会員向けに説明された図（以下に引用）からでは、そのような事業だとは一般の方々には読み取れないだろう。

図5: 2014年8月に示されたCCCによる解説より

なお、前記で「一部を除き」とした例外部分がある。それは、Yahoo! IDとの統合によりヤフーと相互に履歴提供をする部分と、CCCの関連会社である（株）Platform IDとの間で相互に履歴提供する部分である。これは、双方が data controller となる事業モデルのようであるから、個人データの第三者提供となる。しかしこれらも、ヤフーの件については、Yahoo ID!との統合を本人が行わない限り始まらないものであるから、ID統合の場面で本人の個別かつ明確な同意を取ることができる*8ので、利用者が「そういうサービスだ」と思って使っている限りにおいては、23条1項の規定に違反しないし、Platform IDについては、1社だけに限られるのならば、これこそ「共同利用」として位置付けることができたのではないか*9。

このように、ちゃんと事業モデルを整理すれば、第三者提供にならず、オプトアウト手続きを用意する必要もなかった。それなのに、それどころか、2014年10月には前代未聞の「なんちゃってオプトアウト」方式をやらかしてしまい、Pマークの審査に合格できなかったばかりか、人々の反感を買うことにもなった。

2015年8月にオプトアウト方式を常識的なものにした*10が、それでもなお、Pマークの審査要件であるJIS Q 15001には適合していない。JIS Q 15001は、元々、初版（JIS Q 15001:1999）ではオプトアウト方式による第三者提供は認めていなかった。後に個人情報保護法が施行されたときに改定された、JIS Q 15001:2006では、23条2項に対応するオプトアウト方式による第三者提供を認める規定が入ったが、個人情報保護法が「公表」で足りるとしているのとは異なり、「大量の個人情報を広く一般に提供するため、本人の同意を得ることが困難な場合であって、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又はそれに代わる同等の措置を講じているとき」（3.4.2.8 b)）*11に限って認められるとしている。CCCはこの要件を満たすことができないのだろう。

今回の規約改定に際して、CCCは、Pマークを放棄する替わりに、「JIS Q 15001（略）やJIS Q 27001（略）などのセキュリティ基準を参考に自社基準を策定し、時代の変化や急速に発展するIT技術に対応できるセキュリティ環境を作ってまいります。」としたが、これは安全管理措置についてしか言っていない。JIS Q 15001 は漏洩対策だけを求めているのではないことをそろそろいいかげんに理解するべきである。

奇しくもこのタイミングで、CCCは「ツタヤ図書館」問題で炎上中のところであり、海老名市や多賀城市に対して、そして、これからツタヤ館契約を結ぼうとしている市町村に対して、Pマーク放棄をどう説明するのか？が問われるところ、安全管理措置だけ基準に従うと宣言したのは、個人情報保護法やJIS Q 15001の趣旨すらろくに理解していないことを自ら暴露したオウンゴールであろう。

もっとも、そもそもツタヤ館を契約しようとするような自治体は見る目が節穴の無能団体であることが必然の前提であるために、それら自治体もまた、個人情報保護法及びJIS Q 15001の趣旨が漏洩対策にすぎないと勘違いしているという、同じ穴のムジナであることが期待できるのなら、CCCは救われるのであろう。

公共図書館の指定管理を受けるに際して、Pマークを保有していることの意義はいかほどのものか。CCCは、武雄市図書館や海老名市立中央図書館において、Tカードを図書館カードに用いてTポイント事業を図書館運営に絡めつつも、貸し出し履歴は取得していないとしてきた。では、履歴を結合することさえしなければ、Pマークを放棄するような事業者に運営を任せていいのか？

Pマークは、第三者提供の制限が個人情報保護法よりも厳しく設定されているため、いわゆる名簿屋はPマークを取得することができない。逆に言えば、Pマークを持っている事業者ならば、裏で名簿屋のようなことをやっていることはないと安心できる。そういうマークである。マークのロゴには「たいせつにしますプライバシー」と描かれている。そういう安心できる事業者ですよという証である。

少しググってみれば見つかるが、いわゆる名簿屋を営んでいる小規模事業者の他の事業内容を見ると、驚いたことに、個人データ入力や帳票印刷の受託事業も同時に行っているところが複数見つかる。当然、データ入力や帳票印刷で委託した個人データが、販売名簿に流用されることはあってはならないことだが、こういう名簿屋事業者にそれをやっていないと信じて発注する事業者が存在するその神経が信じられない。

その意味においてCCCも名簿屋と同列だということになる。いくら指定管理の業務でのデータを混ぜないと言っていたところで、Pマークすら放棄せざるをえないようなところを、誰が信用できるというのか。

しかし、上記で述べたように、実はCCCは（基本的に）第三者提供をしていない。ちゃんと事業モデルを整理すれば、Pマークを取得できることしかやっていないと推察される。どうしてこんなことになったのか。

すべての始まりは、2012年に「共同利用」は違法だよと指摘されたときからの対応にあった。共同利用で何が悪いんだとろくに指摘を聞き入れず、2013年には共同利用範囲の明確化と称して利用目的の方だけ明確化する頓珍漢な対応をした挙句、2014年には第三者提供していないのに第三者提供に変更するとこれまた明後日の方角への対応、そして2015年には「なんちゃってオプトアウト」で人々の怒りを買うという、オウンゴールの連続ではないか。誰のせいでいったいこんなことになっているのか。おそらく、法務部が頼りにしている弁護士に問題があるのではないか。個人情報保護法を専門とする弁護士なら、図4のような事業モデルを整理することこそが仕事だろう。

CCCはお気の毒と言わざるをえない。早く弁護士を変えた方がいいとアドバイスしたい。

■ ゲノム情報医療等実用化推進タスクフォースを傍聴してきた（パーソナルデータ保護法制の行方 その19）

先週、「ゲノム情報を用いた医療等の実用化推進タスクフォース」の第1回会合を傍聴してきた。予想を上回る興味深い議論となっていたので、そこで出た論点の概要と、私の見解を書き留めておく。

目次

• 傍聴録
• 議論の背景（連結不可能匿名化の個人識別性）
• 学術研究機関の適用除外
• 独立行政法人の適用除外
• 矛盾の解消に向けて

傍聴録

この会合では、改正個人情報保護法で新たに規定された「個人識別符号」（2条2項）の定義が、「次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。」となっていて、その政令を定めることが喫緊の課題となっていることから、その各号のうちの1号「特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの」に、遺伝子関係の情報を入れるべきか否かを検討することが目的となっている。

会合ではまず、資料1、資料2、資料3の説明が事務局（厚労省）よりあり、今後の進め方について委員から若干の質問を受けた後、資料4「個人情報保護法の改正概要」の説明が、IT総合戦略室の向井審議官からあった。

向井審議官の説明は流石のもので、一般的な役人さんがする資料説明（資料を朗読するだけなので皆聞かずに他ごとをしてしまう）とは異なり、ページ順ではなく重要な部分からメリハリのある説明がなされた。そこで特に強調されていたのは以下の点だった。

• 個人情報とは何かが意外と世の中で誤解されている。改正前も改正後も同じだが、氏名を特定するのではなく、個人の存在その個人であることを特定するものであるので、名前がなくても特定されると個人情報になる。AからBに情報が移転するとき、「他の情報と容易に照合することができ」がAにおいてなのかBにおいてなのかそれとも世の中一般においてなのか3つが考えられるが、これは消費者庁時代から確定した解釈として、出し手側の基準であるということになっている。出し手側が照合できれば個人情報であるということになっている。したがって、一旦個人情報になったものを少々分解しても、分解したものが元の出し手において照合して特定できるのであれば、これは個人情報になるということだ。名前を抜けば個人情報じゃなくなるんじゃないかと考えられる方がおられるが、決してそうではない。そのためJRのSuicaのような事例が出てくるのである。

• 匿名加工情報について（略）

• 個人識別符号を今回新たに設けた。これは、個人識別符号であれば個人情報になるというものだが、個人識別符号でなければ個人情報でないというものでは決してない。記号符号が個人識別符号に入らなくても、それ以外に住所氏名などが書いてあれば当然個人情報となる。個人識別符号はそれ単体で個人情報になるかならないかであって、実は、単体で個人情報になるかならないかということが問題となることはあまりない。たいていの場合は記号符号は、住所名とかと一緒に保管されているものであるので、それによって個人情報となるからだ。それなのに個人識別符号を定めるのは、米国やEUで、単体で個人情報となるものをいくつか指定しようとしているので、このような法律改正となったものだ。

• 遺伝情報というのは唯一無二、終生不変のものであるので、指紋等と同じく「特定の個人を識別することができるもの」であり、個人識別符号に該当すると通常は考えられると思う。ただし、それらが一部とか全部とかどのような遺伝情報で特定の個人を識別することができるものとなるかは、科学技術の発展とともに変わっていくものではないかと考えている。双子の場合は区別できないとかいう話もあるが、常識的に考えると、顔認証、指紋認証の情報もはいるなら遺伝情報も入るならば遺伝情報も入ると考えられる。

• 要配慮個人情報について（略）

• 適用除外規定について、学術研究の用に供する目的がある。これは改正前も改正後も同じであり、「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」については、「学術研究の用に供する目的であるならば、個人情報保護法の規制はそもそもかからないというふうになっている。

続いて、事務局から資料5と資料6の説明があり、これが終わるとそこから自由討議となった。

最初に質問したのは、別所直哉（特定非営利活動法人個人遺伝情報取扱協議会理事長）委員であった。別所委員は、次のような質問をされた。

別所：ここでの検討の範囲を明らかにする必要がある。向井審議官から説明があったが、今回の改正は個人情報定義の範囲を拡充するものではなく明確化しただけのものでるということは、向井審議会の国会答弁でも丁寧にあった。定義としての個人識別符号、現行法の枠の中で明確になっていなかったものについて、本来ならば含まれたものを、条文として符号という建てつけにしたので明確にするというものである。遺伝情報はどの程度明確になっているか、個人情報としての識別性があるかについて意見出しをする場だと理解しているが、それでよいか。

はいはい。そう来ますよねー。要するに、従来の定義で個人情報として扱われてこなかったものが、個人識別符号に入るわけがないよねー、という牽制である。「個人情報定義の範囲を拡充するものではない」というのは、まさに、今回の改正で、当初の政府案にはなかった「特定の」との文言が政治判断によって挿入された（「個人情報定義は新経連の意向で米国定義から乖離しガラパゴスへ」参照）ことによりそうなっているのである。

これに対して座長が「それでよろしいかと思いますが、何か事務局ございますか？」と事務局に向けると、事務局は何も語らず沈黙が数秒続いたので、座長が「よろしいですか」と次に行こうとすると、向井審議官が割って入り、「そういうふうに理解しております。」と和かに答えた。

続いて、再び別所委員が次の質問をされた。

別所：諸外国との比較があったが、みなさんにご注意いただきたいのは、各国で定義が違っているということだ。EUで定義に基づいて含まれるからといって、日本における現行の個人情報保護法に含まれるかどうかは別である点に注意してほしい。あくまでも日本の個人情報保護法の定義に照らして定義に含まれるかどうかが議論されるべきである。その理解でよいか。

座長：そのように理解しているが。

はいはいこれも牽制牽制と。

続いて、武藤香織（東京大学医科学研究所ヒトゲノム解析センター公共政策研究分野教授）委員より、次のような質問があった。

武藤：法改正の前に、パーソナルデータ検討会で、遺伝情報、ゲノムデータを入れるかという議論があったが、最終的に大綱の中に入らなかったと理解している。パブコメに入れなかったことについての批判的なコメントがあったのは承知している。それがこのような法律になったところで、遺伝情報が当然入るのではないかという前提で検討することになっているのには若干の驚きがある。パーソナルデータ検討会の議論では基本的に遺伝情報は想定されずに議論されたと理解してるが、違うのであれば経緯を教えて欲しい。

向井：検討会でゲノムについて明示的に議論したことはたしかにないが、身体的特徴という符号を入れている。身体的特徴は指紋や顔認証も入るので、議論の前提として遺伝子も当然入るが、遺伝子はそう簡単ではないなと皆思っていた。遺伝子が全部あれば当然個人を特定してしまうが、一部の場合はという話もあるし、個人をつながっていく、子孫につながっていく、個人で済まないという議論もあり、漠然と個人を識別するかといえば当然にするとしつつ、今後の議論ですねということになっていて、まあなんていいますか、最近では、検討会ではないが、ゲノム自体は特別法が将来必要でしょうと中ではしていた。

これに対し、別所委員と武藤委員はいちおう頷く様子で、再質問はなかった。

続いて、高田史男（北里大学大学院医療系研究科臨床遺伝医学教授）委員から、次の質問と意見表明があった。

高田：そもそも個人情報保護法が施行された時点で、学術研究機関による学術研究の目的が適用除外であるはずなのだが、この研究分野については3省指針があり、これは、そもそも適用除外であるにもかかわらず、指針が法律に合わせて改定されているのですね。個人情報保護法に合わせて縛りを付けている。法律の適用除外である範囲に対して法律に基づいたガイドラインが課せられているという矛盾がある。今回の改正際して、厚労省に適用除外のことについて強調してもらったにもかかわらず、この改正に対応してまたこの3省指針の改定が行われるであろうが、適用除外なのに適用除外でないという形がさらに続くことにしてしまいかねない。この段階で会議を進めるにあたりそこを考えるなりしていただかないと、ますます研究の首を絞めることになって、世界から遅れていく日本という、もっとわるい状況になていく。この段階で整理しないといけない。

文科省：現状の3省指針については、学術研究というのをどうとらえるかという問題と、IT総合戦略室の説明にあったように、主体によって法律のしばりがあるので設置主体によって取扱が違う。研究をしていく場合はいろんな研究主体が入ってデータの共有とかもある。そういうときに研究を円滑にできるようにするという趣旨で3省指針を作っている。

高田：それでは答えになっていない。（繰り返し同じ主張につき略）。要配慮情報も全部入ってしまうのか。

これは大変重要な指摘だ。「3省指針」とは「ヒトゲノム・遺伝子解析研究に関する倫理指針」のことである。今後の検討はここが肝となるぞと思った。この問いかけに座長は「本日は結論を出す目的ではないので、重要な視点であるので、次回以降で必ず検討したい。」とした。

続いて、高木利久（東京大学大学院理学系研究科生物化学専攻教授）委員から次の発言があった。

高木：どのようなゲノム情報であれば特定の個人を識別できるかの論点が挙げられているが、バイオインフォマティクス、ゲノム解析を専門にしている者からすると違和感を覚える。現在のゲノム解析では、ゲノムを一意に決めることはなかなか難しい。現在の技術レベルあるいは近い将来でも難しい。データベースもないので本人到達性もない。3要件を満たせていないのが現状なので、論点が違うのではないか。

これについては、私には反対意見がある。

一意に決まるかは、法律上は完全さを求めるものではなく、同姓同名の可能性のある氏名であっても識別性があるとされているし、双子云々の話は既に向井審議官からも説明が出ていた通りである。

また、全人類のゲノムデータベースが構築されているわけではないから本人到達性がない（といった主張は他でも耳にする）との指摘だが、一部の人についてのデータベースが構築されていれば、そのデータベースにおいてそのデータは個人情報（個人データ）とされるのが改正前からのこの法律の趣旨である。

今改正で新たに規定される個人識別符号について言えば、顔認証用の特徴量情報が個人識別符号に該当することとなるのは確実な情勢だが、顔認証データベースだって全人類のデータベースが構築されている事実がないのに個人識別符号にしようとしているわけだ。データベースに未登録の人について「本人到達性がない」からとの理由で個人識別符号に該当しないとするべきというのは間違いであり、ごく一部の人であってもその人たちを識別するために構築した顔認証データベースが存在すれば、そこで用いられる顔認証用特徴量情報は「本人到達性がある」のであって、そのような性質を持つ顔認証用特徴量情報は（そのデータベースに格納されていない段階から）個人識別符号であるということになると言うべきである。

続いて、辻省次（東京大学ゲノム医化学研究機構機構長）委員と、末松誠（国立研究開発法人日本医療研究開発機構理事長）委員から、それぞれ次のような発言があった。

辻：ゲノム医療、医療研究の現場にいて感じることを述べる。今回の改正法あるいは個人情報保護の法体系を見ても、ゲノム医療研究の現場を想定して設計されているとはとても思えない。配慮がされていない。強調したいのは、ゲノム研究はこれまでわからなかったような原因がわかるあるいは新しい治療ができるという、患者の医療に対する大きな貢献が期待できる。それを実現するためには、ゲノム研究は一研究室でできるものではなく、グローバルに世界の研究者が協力しあってデータを共有して協調しし合うことによって研究が進む。そこを理解いただきたい。これは研究者のエゴではない。貢献をするためにはグローバルの協力体制が絶対に必要であり、そのためには第三者提供やデータ共有が必須である。NIH（アメリカ国立衛生研究所）では一昨年、ポリシーを推進している。それに比べると、今の議論は、非常に現状とかなり乖離した議論になってしまっている。個人情報か否かという狭い議論をすると日本はグローバルに協調できないことになり、世界から取り残されることになり、国益を損なう。

末松：辻先生とほぼ同じだが、遺伝情報が個人識別符号に位置付けられると現場でどういうことが起こるのかを述べたい。遺伝情報を保護することが重要だというのは重々認識しているが、それを前提として、次世代医療のゲノム医療の実現のために遺伝情報の活用が是非とも必要である。バランスのとれた規制を実現していただきたい。具体的に困る例を2つ挙げる。1つは、ゲノムコホート研究を今まで大きなお金を使ってやってきており、日本の実績に対する世界の期待は大きい。50万人以上の方々から生体試料を収集して遺伝情報を得たり、遺伝情報以外のサンプル情報をいろいろ頂いている。もし今回、個人識別符号ということになると、こういった方々から、さらにインフォームドコンセントをとらなくてはならなくなり、これは現実的に非常に難しい。2つめは、データの共有について、希少疾患とか難病だけでなく、未診断疾患というものがある。こういう方達のゲノムを解析をしたら全部わかるのではなく、疾患遺伝子の候補が絞れてくる。国内の医療機関同士の情報共有、外国と直接情報をやりとりをして、同一の遺伝子上に異常があって、かつ複数の表現形が一致する例が2例以上ないと、確定診断にならないので、絶対に治療に結びつかない。こういうことができなくなるであろうと危惧している。内閣官房IT総合戦略室を始め関係府省におかれては、ゲノム医療で救われる人々がたくさんおされることを考えて是非、適切な規制にしていただきたい。

これらの指摘は、IT総合戦略室に対して不信感を露わにしたものように見えた。これに対して、小森貴（公益社団法人日本医師会常任理事）委員から次のようなフォローが入った。

小森：先生方と思いを共有するものではあるが、車が走るためには一定のルールが必要である。先生言われたようなバランスのある規制が重要である。米国にはGINA（遺伝子情報差別禁止法）があるが、日本にはそれがない。そのことを是非議論していただきたい。もう一つは、個人識別の話がでているが、血縁者と家族を同定する試料でもある。その点も議論してほしい。

続いて、斉藤加代子（東京女子医科大学付属遺伝子医療センター所長・教授）委員、堤正好（一般社団法人日本衛生検査所協会遺伝子検査受託倫理審査委員会副委員長）委員から次のような発言があった。

斎藤：患者さんの診断をして先進的な研究を治療にフィードバックしていくことをしているが、その面からやはり、ゲノム研究が進歩して行って、日本が立ち遅れながら、それをこれからどんどんリーダーシップをとっていくというときに、個人情報保護法改正で、ゲノム情報を個人情報として扱っていくと、研究で出てきたものを患者が知りたいと言い出したら開示しなくてはならない。現場では研究の進歩より患者への対応だけに忙殺されるという状況がでてきている。中には患者に知らせてはまずいものもあり、それを整理しないと混乱が生じる。新しい研究にはどうしても疾患のデータベースを構築していく必要がある。それが個人情報保護法でかなり縛られてしまうことが心配だ。

堤：武藤委員の質問ともからむが、研究でのゲノム情報の利用と、法律を改正するところの議論が、あまりにも接点がなさすぎたのではないか。今からでは遅すぎるのではないかと感じる。個人識別符号にあたるのかの議論は必要。向井審議官も触れられた、新しいゲノム法をどうするかを念頭に入れて議論すべきだ。。新しいゲノム法はゲノム医療を進めるためにどういう規制が必要なのか、先ほど出たような差別をどう防止するかとか、大きな枠組みの中で議論をするのがよい。

ここで向井審議官から手が上がり一言が出た。

向井：ちょっといろんなご意見の中にかなり誤解されてると思われるものがかなりありますので。ゲノムが個人識別符号に入るか入らないかにかかわらず、患者の氏名が入って、それにゲノムの情報が付いていれば、そもそも個人情報なので。今議論されているのいは、改正する前から個人情報だったのであって、まさに単体だけで個人情報かどうかを議論しているのであって、元々患者さんの氏名とゲノムが入っていればそれ自体は個人情報なので、そういう場面の話ではないということが一点。それから、今回の改正部分はすべて民間部門についてであり、かつ、研究機関はそもそも適用除外があるので、研究機関以外のゲノムの話にしかなり得ない。そこから先の問題というのは実は、国の機関の個人情報保護法をどう改正するかという検討になる。

続いて次のような発言となった。

座長：学術研究と実用化のところをクリアにしないといけない。学術研究も含めて萎縮してきてしまている。今後の議論でそこを詰めていきたい。

武藤：今クリアにしていただいた点だが、私立の研究機関は適用除外だがゲノム指針の縛りがあるという状態であって、独立行政法人個人情報保護法もこれから見直されていくのだと思うが、もともとそちらは学術研究の適用除外は明記されていないですよね？ なので今心配していることは、国立研究開発法人とか国立大学法人にどういう影響が出るか、先走って心配されているのだということをお伝えしておきたい。それから、治験で収集されるゲノムのデータは、治験依頼者である民間企業の製薬企業が、研究のために独自に集められているゲノムのデータは、ゲノム指針の対象から外されている。薬機法（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）（旧薬事法）の対象であり、わざわざ通知まで出してゲノム指針の対象じゃないとされていたので、それはちょっと何がどこへいっちゃったのかわからなくなる状況なので、ご検討いただきたい。

小森：基礎的研究は明確に適用除外だが、これから臨床研究が重要であり、臨床研究についてここでしっかり議論する必要がある。

これで閉会となった。

議論の背景（連結不可能匿名化の個人識別性）

さて、このような議論になっている背景だが、これは、「3省指針」と呼ばれている「ヒトゲノム・遺伝子解析研究に関する倫理指針」（ゲノム指針）が、よりによって、「第1 基本的考え方」の「3 保護すべき個人情報」の(2)において、「個人情報を連結不可能匿名化した情報は、個人情報に該当しない。」とズバリ言い切ってしまっていたところに問題の根源がある。

「連結不可能匿名化」とは、「第6 用語の定義」の(5)に規定されているように、「匿名化」のことを、「その個人情報から個人を識別する情報の全部又は一部を取り除き、代わりに当該提供者とかかわりのない符号又は番号を付すことをいう。」とした上で、「必要な場合に提供者を識別できるよう、当該提供者と新たに付された符号又は番号の対応表」を残さない方法によるものとされている。

つまり、いわゆる「仮名化」をして対応表を捨てただけのものが常に個人情報に当たらないと、ゲノム指針は明確に規定していたのである。

これに対して、向井審議官は、資料説明において最初に「個人情報とは何かが意外と世の中で誤解されている。」「名前を抜けば個人情報じゃなくなるんじゃないかと考えられる方がおられるが、決してそうではない。」と強調していた。ゲノム指針の規定を明示こそしなかったものの、その意を汲み取れば、ゲノム指針の規定ぶりは、個人情報保護法とは異なる個人情報定義を用いている*1と指摘したものであろう。

これに近い話は、2014年9月7日の日記「医学系研究倫理指針（案）パブコメ提出意見（パーソナルデータ保護法制の行方 その10）」で書いていた。

それを振り返ると、以下のとおりである。

まず、厚労省系のガイドラインはいずれも提供元基準ではなく提供先基準で書かれているとする主張[岡村2014]があった。そのうちの2つ、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」と「福祉関係事業者における個人情報の適正な取扱いのためのガイドライン」については、ちゃんと提供元基準での記述も書かれていることを2014年4月23日の日記で指摘した。

残る、文科省・厚労省の「疫学研究に関する倫理指針」では、前記2つとは異なり、提供元基準に沿っていると見られる記述はなく、「個人を特定する情報が個人情報である」とのよくある誤解に基づいて書かれているようにも見えるものであったが、2014年の全面改正で、厚労省の「臨床研究に関する倫理指針」と統合されて、新たに「人を対象とする医学系研究に関する倫理指針」に置き換えられたときに、個人情報保護法でいう「第三者提供の制限」に相当する規定が存在しないものとなった（後述）。この結果、連結可能匿名化や連結不可能匿名化をしたデータは、第三者提供が制限されていないことになり、仮に、これらが個人情報に該当するとみなされているとしても、矛盾しない規定となったのであった。この指針は、個人情報の定義は法の定義をそのまま引き写しているので、法と同じ解釈を想定しているとも読めるものであった。そして、この指針には、「連結不可能匿名化した情報は、個人情報に該当しない。」などといった記述はなかった。このため、これら3つの指針については、向井審議官が今回の会合で説明したことと矛盾のないものだった。

ところが、それらに比べて、ゲノム指針はというと、「個人情報を連結不可能匿名化した情報は、個人情報に該当しない。」とズバリ言い切ってしまっているため、政府解釈と異なってしまっている。ゲノム指針だけ独自の「個人情報」定義（解釈）で書かれているとみなすことも考えられるが、ゲノム指針は前文で、「民間企業、行政機関、独立行政法人等の区分に応じて適用される個人情報の保護に関する法律、行政機関の保有する個人情報の保護に関する法律（略）、独立行政法人等の保有する個人情報の保護に関する法律（略）及び（略）地方公共団体において制定される条例を遵守する必要があることに留意しなければならない。」と書かれているだけに、その解釈をとるのは若干無理がありそうではある。

こういう状況であるので、今回、複数の委員から、ゲノムが個人識別符号に入ると研究が立ち行かなくなるとする懸念が示されたのは、氏名等さえ削除すれば個人情報でなくなるという、ゲノム指針の独自定義（解釈）を念頭に話されていたからだろう。そのため、向井審議官が繰り返し、個人情報保護法の個人情報定義を正しくご理解されていないとする指摘をされていたわけである。

そうすると、これまでのゲノム指針に従ったゲノム研究で、連結不可能匿名化（仮名化）しただけのデータを第三者提供していた行為が、個人情報保護法違反だったのか？ということが問題となる。

学術研究機関の適用除外

ここで重要となってくるのが、前半で高田委員から出た適用除外に関する指摘である。

適用除外であれば、違法でないことになるが、しかしそれでいいのか？という疑問を持つ人が少なくないかもしれない。2014年9月7日の日記「医学系研究倫理指針（案）パブコメ提出意見」でも書いていたように、昨年改正の「人を対象とする医学系研究に関する倫理指針」では、第三者提供の制限に相当する規定が存在しないものとなっていた（前記の件）わけだが、「それでいいの？規定し忘れたんじゃないの？」と思う人もいるだろう。

この疑問を解く答えが、まさに高田委員から出た指摘の通りであり、「そもそも適用除外であるにもかかわらず、指針が法律に合わせて改定されている。」「法律の適用除外である範囲に対して法律に基づいたガイドラインが課せられているという矛盾がある。」ということなのだ。去年改正される前の「疫学研究に関する倫理指針」は、個人情報保護法ができる前からあった同指針に、個人情報保護法の規定をそのまま全部追加するような規定ぶりになっていた。それでは何のために適用除外したのだかわからない*2というのが高田委員の指摘であろう。改正後の医学系研究倫理指針が第三者提供制限の規定を入れなかったのは、その考え方に沿ったものではないか。

個人情報保護法の規制はすべてが絶対的なルールなわけではない。特に23条の第三者提供の制限は、民間事業者について、提供先に何のルールもない状況でそれを許せば、人々の個人データがどこに行ってしまうかわからなくなるため、まずは一律に規制することになっているものにすぎない。

実は、行政機関個人情報保護法（行政機関法）では、民間部門の個人情報保護法23条の第三者提供に相当する規定が存在しない。行政機関法8条は「利用及び提供の制限」として、「利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。」と規定しているが、これは、目的外利用の提供を禁止しているのであって、目的内の提供を禁止するものではない*3。対して、民間部門の第三者提供は、目的内であっても制限されている。民間は、様々な事業者がいて、悪質な事業者もいるだろうし、研究機関のような自主的な取り組みも期待できるとは限らないのだから、目的内利用であっても一律に第三者提供を制限しているということだろう。

提供先に一定のルールがあることを条件にこの制限を外す規制のあり方も考えられる。パーソナルデータ検討会で構想されていた「FTC3要件」はまさにそのようなものであった*4。

実際、ゲノム指針は、連結不可能匿名化されたものは個人情報に当たらないとしながらも、「3 保護すべき個人情報」の(3)で「個人情報に該当しない場合であっても、遺伝情報、診療情報等個人の特徴や体質を示す情報は、本指針に基づき適切に取り扱われなければならない。」としており、「6 研究を行う機関の長の責務」の(5)でも、「個人情報に該当しない匿名化された情報を取り扱う場合は、当該情報を適切に管理することの重要性の研究者等への周知徹底、当該情報の管理（事故等の対応を含む。）、責任の明確化、研究者等以外の者による当該情報の取扱いの防止等、適切な措置を講じなければならない。」とされている。ここで言う「個人情報」に当たらなくても保護する必要があることを踏まえた規定ぶりになっている。*5

一般の民間事業者とは異なる学術研究の場においては、一定の社会的信頼の置かれる者のみで構成されるサークル内で、倫理指針で定められたルールの下で取り扱うのを条件に、かつ、そのような利用に高度な公益性が認められるものであれば、個人情報保護法の義務とは異なる独自のルールで取り扱ってもかまわないとすることができる。それを可能とするための適用除外だったはずだ。

独立行政法人の適用除外

ところで、会合の最後で武藤委員から出た、独立行政法人等個人情報保護法（独法法）には適用除外がなく、国立研究開発法人や国立大学はどうなるのかとの質問について、会合では事務局からの回答がなかった。この点について以下で検討する。

まず、独法法は行政機関法とほぼ同じ（条番号が1番ずれていてややこしいので以下は行政機関法の条番号を用いる。）で、8条（利用及び提供の制限）で制限されている提供は目的外の提供だけなので、研究目的であれば、目的内の提供として元々規制されていないとみなすことができるかもしれない。

ただ、「研究目的」という大雑把な利用目的でよいのかが問題となり得る。より詳細に研究の内容まで特定しなければ、3条1項の「個人情報を保有するに当たっては、法令の定める所掌事務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならない。」に違反してしまうのかどうか。ある研究Aのために取得した試料を別の研究Bに利用するのが、やはり目的外利用ということになるのかどうか。

しかし、行政機関法（及び独法法）では、目的外の利用も許す規定がある。8条（利用及び提供の制限）の2項は、「前項の規定にかかわらず、（略）次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。」とし、その4号に、「専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由のあるとき。」が示されている。

このように行政機関法（及び独法法）はかなり利用・提供規制が緩いのだが、これは、3条で利用目的が「法令の定める所掌事務を遂行するため必要な場合に限り」（独法法では「法令の定める業務を遂行するため必要な場合に限り」）とされているからこそである。逆に、民間部門は、利用・提供規制が厳しい反面、利用目的をどう設定するかは、自ら決定できるものであり、目的の内容について全く自由で、なんらの規制もない。

また、行政機関法（及び独法法）は、前記の8条2項4号で目的外利用を認めているものの、続く9条（保有個人情報の提供を受ける者に対する措置要求）で、「前条第2項第3号又は第4号の規定に基づき、保有個人情報を提供する場合において、必要があると認めるときは、保有個人情報の提供を受ける者に対し、提供に係る個人情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。」となっていて、受領者に一定のルールの下での利用を義務付ける（義務というか「措置要求」となっているが）ことが想定されている。

というわけで、ゲノム指針の利用・提供に係る制限が個人情報保護法より緩いものとなっていても、行政機関及び独立行政法人についても、この8条と9条（独法法では9条と10条）があることによって、矛盾しないものとなっていると言える。民間部門では全部適用除外だったのと違い、受領者に一定のルールに従う措置を要求することになっているが、指針は、それに当たることを既に規定しているので、行政機関法及び独法法にちゃんと従っていると言うことができるだろう。*6

矛盾の解消に向けて

これらの関係を図示すると以下のようになる。

図1: 利用目的制限の緩厳と提供制限の緩厳

行政機関と独立行政法人については、指針のルール（緑）は保護法の枠（青）の中にすっぽり入る。民間の研究機関（私立大学等）は、保護法の枠（黄）から上にはみ出ていることになるが、適用除外となる機関である限り違反でない。（「金融信用情報」はご参考用。分野ごとに硬く規律されるところもある。）

このように、遺伝情報あるいはゲノムデータが個人情報に該当するのだとしても、ゲノム指針に従う研究は、ほぼほぼ違反していないということになる。

残る問題は、民間部門の研究機関の適用除外がいかほどの範囲を指しているのかであろう。

条文では、「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」については、個人情報を取り扱う目的の全部又は一部が「学術研究の用に供する目的 」であるときは適用しないとされている（改正前50条）。

「大学その他の学術研究を目的とする機関」が何を指すのかについて、文献[宇賀2013]は、「民間企業が研究所という名称を冠した組織を設立していても、もっぱら自社の製品開発を行っている場合には、「学術研究を目的とする機関」とはいえない。」（183頁）としている。この点、会合の最後で武藤委員から、製薬企業が収集しているゲノムデータについて、薬機法の対象であるからゲノム指針の対象から外されている件について発言されていた。その発言の趣旨が私にはわからなかったが、製薬企業の製品開発のための研究は、学術研究機関に当たらず、そのままでは適用除外とならない。

しかし、条文には「若しくは団体又はそれらに属する者」とあって、「団体」には学会が入る*7とされている。そして、起草者らによる逐条解説書[園部2005]によると、「「それらに属する者」とは、大学の教員、研究所の研究員、学会の会員等をいう。したがって、民間企業で活動する者であっても、学会の会員として研究成果を発表するなどの目的で個人情報を取り扱う場合には、本号の対象となる。本項各号中、本号のみ「それらに属する者」が規定されているのは、学術研究機関等における学術研究活動は、必ずしも当該機関・団体自身として行われるものではなく、それらに所属する個々人（大学に籍を置く研究者等）として行われる活動も含まれることによる。」となっている。

そうすると、製薬会社であっても所属する研究員が学会発表する目的であれば適用除外になるのか？ということになるが、その学会発表のために用いられる個人情報が、会社によって取得されたものであれば、会社にも個人情報取扱事業者としての管理義務があるはずなので、そちらの義務は適用除外にならないのでは？とも考えられる。となると、この「又はそれらに属する者」との規定はあまり使える場面がなく、ほとんど死文ではないか？という疑問がわくわけで、そもそもこのような場合をどう扱うつもりの規定だったのかが謎として残る。

以上から、これからどう解決していけばよいかが見えてくるだろう。

まず、ゲノム指針は、対象の研究が適用除外となることを前提とした、独自のルールだったということにする。個人情報定義のところも、独自の解釈だったが、政府解釈とは異なるものだったので、今後は法に合わせた解釈に変更していくことにする。

その上で、これまでの、連結不可能匿名化・連結可能匿名化したデータの取り扱いルールを、「個人情報であるが利用することができる」とか、「個人情報であるが提供することができる」とする規定を設けて、保護法違反とならないことを明確にする。

こうすることで、たとえ、今論点となっている、遺伝情報が個人識別符号に入ることになって個人情報に当たることとなっても、これまで通りの研究に支障がないようにすることができるのではないか。

ただ、それでもなお、微妙なところは残りそうである。

一つには、個人情報であると認めての自主ルールであるのだから、提供先をしっかりと限定する必要があるし、受領者にも適切なルールを課す必要がある。今のゲノム指針でそれが十分にできているのか確認する必要があるように思える。もう一つは、地方公共団体の個人情報保護条例が適用される場合。これを行政機関法と同様に、目的内提供として、あるいは、学術研究目的の例外として読めるような条例になっているのか、それぞれの自治体ごとに問われることになる。他にも、もし、ゲノム指針の対象であるのに学術研究に当たらない領域があるのであれば、そこは誤魔化し切れない。

そういった不都合が残る場合には、ゲノム法なり、医療系の特別法なりの立法措置によって解決することになるのではないか。まずは、近い将来の立法措置を見据えて、現状の整理をすればよいと思う。

参考文献

• [岡村2014] 岡村久道, パーソナルデータの利活用に関する制度見直しと検討課題（中）, NBL No.1020, pp.68-74
• [宇賀2013] 宇賀克也, 個人情報保護法の逐条解説第4版, 有斐閣
• [園部2005] 園部逸夫編, 個人情報保護法の解説《改訂版》, ぎょうせい

（12月2日訂正：「構成員」と書いていたものを「委員」に修正。配布資料に「構成員」と書かれていたのでそのようにしていたが、現場では「委員」とされているので修正。）