マイナンバー法案、Tカードとデータプライバシー保護

鈴木 正朝 @suzukimasatomo

日経コンピュータ「マイナンバー法案の修正ポイント明らかに　政府CIOの初仕事は関連システムの調達」　http://t.co/9vvJ8Ogw

鈴木 正朝 @suzukimasatomo

鈴木正朝「ライフログ時代における法規制のあり方　識別子となる「番号」の法的性質」64-68頁、ビジネスロー・ジャーナル2012.10　国家権力による公的個人番号（マイナンバー）と社会的権力による民間個人番号（Tカード、Googleアカウント、ケータイ・スマホのID等）は同じ。

鈴木 正朝 @suzukimasatomo

公的個人番号（マイナンバー）は法律によって規律され、第三者機関による監視下におかれるが、民間個人番号（Tカード、Googleアカウント、ケータイ・スマホID等）については第三者機関の監視もなく、調査権が十分に及ばない。

鈴木 正朝 @suzukimasatomo

法規制が必要な番号、すなわちプライバシー侵害リスクの高い怖い番号とは何か。悉皆性と唯一無二性の程度が高い性質を有する番号（識別子）であって、当該識別子の利用期間が長期に及び、かつ利用範囲が広範（分野横断的）であるものがそれである。

鈴木 正朝 @suzukimasatomo

①「利用期間の長期性」は識別子に紐ついて蓄積されるデータ量に関係し、②「利用範囲の広範性」（事業者及び分野横断性）は、そのデータの種類の多様性に関係する。

鈴木 正朝 @suzukimasatomo

悉皆性と唯一無二性がある番号（識別子）を付番することで名寄せの機能が担保され、かつ、それに紐ついて蓄積されるデータ量が多く、かつ多様であることによって、データマイニングの精度が向上するという点において、プライバシー侵害リスクが高まると一般に評価することができる。

鈴木 正朝 @suzukimasatomo

政府CIOを法律の根拠を有する強い組織にして電子政府化による行政のイノベーションのアクセル役に、個人番号情報保護委員会を日本版インフォメーション・コミッショナーにして官民の一定の情報の取扱いを監視するブレーキ役（人権保障機能）に、全体のガバナンスが効く体制に強化していくべき。

鈴木 正朝 @suzukimasatomo

少子高齢人口減少社会に向けた、より効率的な行政と政策の実現を図る組織体制を早期に確立すること。番号は所詮番号。顧客番号制度を取り入れたからといって社内の変革が達成できるわけではないように出発点にたっただけ。どのような意味あるユースケースを実現するか、濫用をどうやって抑えるか。

鈴木 正朝 @suzukimasatomo

というか、いつマイナンバー法案の審議をはじめるのか。国会終わっちゃうんですが・・・。

鈴木 正朝 @suzukimasatomo

Tカード問題は、CCCという個別企業を叩くことを目的としているのではなく、民間個人番号の規律をどうすべきかという大きな問題提起を含めて一つの題材として取り上げている。目についたということもあるが、類似の他社ポイント制度と比較しプライバシー保護に欠ける問題性にも着目した。

鈴木 正朝 @suzukimasatomo

Tカード問題を、約款を見てない消費者も悪い的な視野狭窄な議論にしないことが重要。

鈴木 正朝 @suzukimasatomo

ケータイID問題やGoogleポリシー問題に続く同じ文脈でTカードをとりあげているのであって問題意識は一貫している。そしてそれぞれにとりあげる社会的意義があり、CCCはそれに応える社会的責任を有している。個別企業の経営の自由に閉じた問題という認識は間違っている。

鈴木 正朝 @suzukimasatomo

正直でわかりやすい告知、正しい法律構成にあるかという点を問題にしている。消費者のうっかりを誘発するような欺瞞性は法的に評価していかなければならない。共同利用の実態もないのに第三者提供制限を緩めるような法的構成は許しがたい。約款ベタ張りの告知方法も問題。医薬品名の取扱いも不当。

鈴木 正朝 @suzukimasatomo

マイナンバーの持つ性質がそれほど危険であるという認識にあるなら、それと同種の性質を有し、数千万人という規模で民間個人番号として存在する識別子を法的規律の外に置くということはどう考えるのか。国家権力とは異なるかもしれないがそれに比肩する社会的権力ともいえるのではないか。

鈴木 正朝 @suzukimasatomo

現行法において手ぬるい方向での解釈に寄せていこうとする態度は極めて不見識というほかない。保護と利用のバランスという「裸の利益衡量」で理論的基礎もなく、ただいきあたりばったりの裸の価値判断をそのまま出してくるあたりは、すでに法解釈とはいえず単なる希望を述べている作文にすぎない。

鈴木 正朝 @suzukimasatomo

Tカード問題はまずは法解釈の問題であるが、次に立法政策の問題に移行する。CCC擁護な実質的価値判断を許容した場合、それはEU基準、米国基準、韓国・台湾等アジア主要各国の基準に照らし消費者保護的観点から同一水準にあるといえるか。わが国の現状の法制度のまま越境データ交渉が可能か。

鈴木 正朝 @suzukimasatomo

禁じ手を明らかにすることに成功するならば、禁じ手以外のことは原則自由となる。刑法しかり、不法行為法しかり。本分野は国際水準に合致した規制の明確化が必要、それが越境データ問題解決の前提ともなり、ビジネス基盤の整備となる。現状のCCCを擁護する先にネットビジネスの未来はない。

鈴木 正朝 @suzukimasatomo

CCC型ビジネスはGoogleのようなネット社会に貢献するような何かをもたらしているのか。あれとこれの区別の判断基準もなく目先の利益の向上だけでエクセレントと持ち上げるビジネス誌の見識を問わなければならない。

鈴木 正朝 @suzukimasatomo

第三者提供、委託、共同利用を、ビジネスの実態とは無関係に自由に選択し法律構成できるというのはおかしい。A社からB社に個人データを移行するにあたって、それが第三者提供か、委託か、共同利用かは、その事実関係に基づいて決定される。もちろん法的構成に実態をあわせることも可能であろう。

鈴木 正朝 @suzukimasatomo

CCCはDBの共同利用の実態がなく共同利用構成を採用している。流用といっていい。それによって、最低限本人に留保されるべきオプトアウトの機会を回避する結果を許している。これでは個人の権利利益の保護（1条）も個人の尊重（3条）の理念も個別条項の解釈に反映されていないことになる。

鈴木 正朝 @suzukimasatomo

本件は共同利用のコンセプトを明確にしてこなかったガイドライン側にも問題があるのかもしれない。しかし、A社からｎ社に個人データを提供することの適法性を得るために共同利用とする構成を安易に許すならば第三者提供の制限（23条1項と2項）を誰もが容易に潜脱することができることになる。

鈴木 正朝 @suzukimasatomo

共同利用も委託も同意とオプトアウトを回避できる点では同じであるが、後者は個人データを預けるのであってその回収・消去を含めて厳格な安全管理措置義務の下にある（22条）。また委託の性質上、利用目的は無論のこと委託事業者は自由にそれを利活用することはできない。しかし、共同利用は・・

鈴木 正朝 @suzukimasatomo

しかし、共同利用は、同意とオプトアウトを回避し第三者提供と同様に共同利用者に個人データを引き渡してしまうことが可能となるという点で、もっとも本人の権利利益に穴があいてしまう構成である。そのビジネスの実態において共同利用としての必然性、実質が求められるのは当然であろう。

鈴木 正朝 @suzukimasatomo

具体的には、「共同利用者の範囲」であるが、これは法案起草当時は内々であるが個別列挙方式が行政の第一次的判断であった。しかし全銀協をはじめとして産業界がそれでは使えないということで「全銀協会員」的な範囲指定方式をもってよしとするところに落ち着いたという経緯がある。

鈴木 正朝 @suzukimasatomo

経済産業分野ガイドライン45頁「必ずしも個別列挙が必要でない場合もある」という持って回った言い方はかかる経緯を踏まえた表現である。本来は個別企業名列挙がベストだと言っている。ぎりぎり緩めてそれに準じる全銀協会員のような固定的メンバで本人が容易にリストで社名確認できるものとした。