マイナンバー法案、Tカードとデータプライバシー保護

鈴木 正朝 @suzukimasatomo

共同利用者の範囲が「ポイント加盟企業」として１社からはじまり100社、1000社と順次拡大する企業リストでも可というほどゆるゆるにすることを想定していたわけではない。文言上読めてもそこは本条の趣旨から法解釈しなければならない。第三者提供制限の潜脱になっていないかということだ。

鈴木 正朝 @suzukimasatomo

適法であると見解を示した弁護士は、告示べったりの解釈でいいのか。法律に基づいて法目的（1条）と理念（3条）に照らして、さらには23条1項及び2項との関係で、共同利用（23条4項3号）をそのように形式的に解釈することが許容されるかという点をもっと吟味すべきだったのではないか。

鈴木 正朝 @suzukimasatomo

もし、これが放置され天下に適法であると宣言されるに等しい事態になれば、事業者は安心して共同利用構成を選択できることになる。CCCありがとうといいながら。まさに利活用の時代、ライフログの時代にぴったりじゃないか。ただし、ガラパゴスである。越境データ問題の解決は遠のくであろう。

鈴木 正朝 @suzukimasatomo

第三者提供と共同利用と委託のコンセプトの違いを今一度、確認することが必要だろう。ポイント制度も行動ターゲティング広告やその進化形もどんどん複雑になっている。金融工学の連中が金融村から広告村に流入して高度化したが、金融村のモラルハザードまで持ち込まれたら適わない。最初が肝心だ。

鈴木 正朝 @suzukimasatomo

悪貨は良貨を駆逐する。安易なところに事業者が寄ってくる。商品名ばりばりとって自由に加盟社に提供できる権利を留保できる共同利用方式がOKならばみな第三者提供構成からCCC方式に流れかねない。そしてそこにビジネス投資がはじまる。越境データ問題でルール変更があればどんでん返しだ。

鈴木 正朝 @suzukimasatomo

個人情報保護法制を取り巻く環境は激変している。ライフログ、ビッグデータの時代を前に最低限の法的環境整備をせずに立ち尽くしているのか。その事業者の自由放任は実質的に消費者の不自由主義の採用に等しい。個人情報保護法の法目的（行政目的）の放棄でもある。

鈴木 正朝 @suzukimasatomo

それから、共同利用の場合は法定事項を「本人の容易に知り得る状態に置かなければならない」としている。しかし、CCCは約款をホームページに直貼りじゃないか。情弱、法弱がデフォルトの世の中で、これでいいのかと、貼れば終わりかと。騙す気まんまんと揶揄されるのはその姿勢の評価である。

鈴木 正朝 @suzukimasatomo

また、ポイント制や行動ターゲティング広告が高度化し消費者がよく理解できない状況の中で、利用目的の特定（15条1項）も今のままでいいのか再考すべき。「ライフスタイルの分析」という表現で何をやるのか普通の人がわかるのか。15条１項が緩いと利用目的の制限（16条1項）は空文化する。

鈴木 正朝 @suzukimasatomo

過剰反応の原因を探ることができなかった。事実関係を理解できない時代遅れの有識者を権威的な惰性で集めすぎた。原因がわからなければ処方箋も書けず。落としどころがわからなければ法改正が必要という答申など出せるわけもない。某F先生は過剰反応自体がないといった。学者として不誠実にすぎる。

鈴木 正朝 @suzukimasatomo

審議会は肩書き中心の座りの良さでいいが、実質的なところは、うるさ型をタコ部屋に集めて、詳細に意見聴取し夜中まで朝生状態で議論すべきだった。こうした裏WGの美風はどこに逝ってしまったのか。行政の責任と矜持はどこへ逝ってしまったのか。

鈴木 正朝 @suzukimasatomo

課長補佐が逃げていれば終わりだ。現場の見識と胆力だろう。上司つきあげる下克上的雰囲気こそ活力。

鈴木 正朝 @suzukimasatomo

過剰反応対策で利活用に舵をきったはいいが、何を保護しているのかもわからない中で利活用もまた軸のないものであった。善良な事業者を想定してというか、多様な事業モデルの子細もわからず全般に安易に利用できる幅を広げてきたのも事実だ。私もそれを後押しする意見を言ってきた。

鈴木 正朝 @suzukimasatomo

現行の個人情報保護法という一般法において「個人情報取扱事業者」をさらに業種ごとに区分してどこまで特別なルールを告示で規定できるかは悩ましいところであるが、オンライン広告やポイント制について望ましい事項を明確化し助言を与えることは可能だろう。新たな状況を前に放置するのはダメだ。

鈴木 正朝 @suzukimasatomo

個人情報保護法制はマイナンバー法の登場で解釈に微妙な変容を迫られる。マイナンバー法案は個人情報としての番号（識別子）を規律する法律であり個人情報保護法の特別法である。行政機関等が番号を使うにあたってなぜ法律の根拠を要するのか。それはプライバシー権侵害リスクがあるからである。

鈴木 正朝 @suzukimasatomo

マイナンバー法は個人情報保護法制の衣を着ているが心はデータプライバシー保護法である。手続を遵守すれば実体（プライバシーインパクトの有無）は蚊帳の外の解釈があっていいはずがない。現行法も個人の権利利益の保護と個人の尊重の理念で拾うはずであった。そこが個別規定の解釈に生きていない。

鈴木 正朝 @suzukimasatomo

マイナンバー法案の基礎となった大綱を見てみればいい、そこでは住基ネット訴訟の合憲判決で示されたところの骨子が書かれている。これは個人の尊重の原理に関わるプライバシー権侵害に対しての判断である。ここを基礎に起草された法案の心にプライバシー権への配慮があるのは当然である。

鈴木 正朝 @suzukimasatomo

そして、来年の通常国会の提出を目指している医療等個人情報保護法案は、「医療等個人情報」のセンシティブ性という性質に着目して起草される。これも個人情報保護法の特別法である。やはりプライバシー権というかどうかは別として個人の尊重の原理と情報のセンシティブ性に依拠している。

鈴木 正朝 @suzukimasatomo

プライバシー保護法とは異なる個人情報保護法制であるが、今、特別法によって、プライバシー権（人格権）の保護という実質に着目する時代であることを教えられているわけだ。特定個人が識別されなければ自由利用でいいという形式判断が横行する安易な利活用の時代は終わらせなければならない。

鈴木 正朝 @suzukimasatomo

解釈の幅の中でできるだけ法目的に寄せていく。それでしのぎながら同時にその限界を見極めて立法論に移行すべきだ。その際はガラパゴス規制にならないように国際的水準を見据えビジネスを過度に萎縮させないように配慮しながらも最低限の消費者保護はしっかり実現させなければならない。

鈴木 正朝 @suzukimasatomo

それから、CCCは、開示の求め（25条1項）でも「事業の実施に著しい支障がある場合」を極度に事業者寄りに曲解して開示範囲を不当に狭めていた。「著しい」という文言が有する法的意味を軽視した解釈だ。このように全般的に法令遵守の取り組みが安易である。誰が法的アドバイスをしたのだ。

鈴木 正朝 @suzukimasatomo

Tカードの利用目的の特定と制限、個人データの提供と告知、開示等のあり方それら全般の対応を評価した場合、個人の人格的権利利益に関わるところに踏み込むライフログ系事業者として適法適正といえるのか。ミログ擁護系弁護士は倫理的な問題性を高らかに宣言し、でも「適法だ」と言うのだろう。

鈴木 正朝 @suzukimasatomo

こうした状況の中でCCCは医薬品名に手を出した。全てのデータをターゲットとし、まさにライフ全般のログを集める上で、データのセンシティブ性を問う姿勢は皆無であったといっていい。刑法が示す禁止規範、その法の趣旨にも極めて鈍感で、警察が動かぬ限り対応不要という構えなのであろうか。

鈴木 正朝 @suzukimasatomo

マイナンバーの民間利用を求める声がある。しかし、数千万という数を抱える民間個人番号がこの通り野放しである。規律の厳しい公的個人番号より、こちらを利用した方が類似の効果を容易に得ることができるだろう。マイナンバー法の趣旨をも潜脱できる。これがわが国大手事業者の行動である。

鈴木 正朝 @suzukimasatomo

さて、個人情報保護法の曖昧な規定ぶりを従前から厳しく批判してきた。この曖昧さは主務大臣の広い行政裁量を意味しているからである。法律による行政の原理の趣旨が徹底されない。経産省はそれを危惧し当初から告示に事例を入れ、努めて詳細に解説し毎年の見直しまで宣言していた。模範的対応だ。

鈴木 正朝 @suzukimasatomo

「経済産業分野個人情報保護ガイドライン」以前に条項形式を崩し、かつ事例まで入れた「告示」が存在していたのだろうか。経産省は個人情報保護法の曖昧さを危惧して、先例にとらわれずこうした形式を採用した。自ら見直し条項をいれPDCAサイクルを実践した。自らが自らを規律したわけだ。