Pマークの審査と「取消し」について

鈴木 正朝 @suzukimasatomo

ファーストサーバ社のPマーク問題は、処分をした当事者なのでtwitter上で本件にふれるところは不適切という意見もあろうかと思いますが、twitter等ネット上の多々意見が寄せられているので、守秘義務に反しない、可能な範囲でコメントしておきたいと思います。

鈴木 正朝 @suzukimasatomo

まず、批判自体はとても健全なことですので、日本データ通信協会のページに公開された情報と確認できた事実を基礎に思うところをどんどん述べていただきたいと思います。今回は、広く議論いただく上で押さえていただきたいポイントのいくつかを述べておきたいと思います。

鈴木 正朝 @suzukimasatomo

一つは、Pマーク制度は当然ながら、法律に基づき行政庁が処分をするスキームとは異なり、市民間の契約関係を基礎として組み立てられています。制度の主宰者でありPマークの商権者であるJIPDECが審査合格事業者との間でPマーク（商標権）のライセンス（使用許諾）契約を締結するものです。

鈴木 正朝 @suzukimasatomo

したがって、Pマークの「取消し」は、ライセンサーであるJIPDECがライセンシーである事業者の契約を「解除」するという形で行われます。契約を解除するためには、解除事由が必要です。それは取消し等不利益措置の基準として本来は契約当事者に示されておくべきものです。

鈴木 正朝 @suzukimasatomo

その基準はどこに開示または公開されているのでしょうか？基準（規範）があり、そこに立証された事実をあてはめて結論を導くための大前提をどこに見出せばいいのでしょう。明白な違反である。したがって取消しであるというアバウトな論法で足りるのか。自らが当該事業者である場合はどうでしょう？

MAEDA Katsuyuki @keikuma

@suzukimasatomo PMK510 プライバシーマーク制度における 欠格事項及び判断基準 あたりがそうなのでしょうか。 http://t.co/Dpl9DxJ4

鈴木 正朝 @suzukimasatomo

そうです。これが解除事由としてどこまで機能するか、議論いただきたいところです。 RT @keikuma PMK510 ..欠格事項及び判断基準 あたりがそうなのでしょうか。 http://t.co/jGZLJlxm …

鈴木 正朝 @suzukimasatomo

それからJIS Q 15001及びPマーク制度は個人情報保護法制と独立しているという理解の人がいますがそうでしょうか。これはそもそもコンプライアンス・プログラムの要求事項として標準化されました。マネジメントシステムと用語を変えましたがこれは遵法のためのマネジメントシステムです。

鈴木 正朝 @suzukimasatomo

プライバシーマーク制度における審査は、本来（１）適法性審査と（２）JIS適合性審査に分けて行うべきです。原則として（１）には審査員の裁量は入らない。違法である状態にPマークは付与できないからです。現場では行政の第一次的判断（ガイドライン）を尊重した法解釈をなすべきところです。

鈴木 正朝 @suzukimasatomo

（２）の適法であるがJIS不適合である部分については、各事業者の例外的対応を認める必要があります。全ての業務がJISに適合できるとは限りませんから。その原則と例外の判断基準と経営判断に至る手順を含めて、大きな意味でJIS適合性を評価するところがPマーク審査の肝であるべきです。

鈴木 正朝 @suzukimasatomo

その意味でPマーク制度は、個人情報保護法を基礎としてそれに上乗せ、横出しをした基準に基づくものであり、法制度を補完する制度として、法と認証制度の整合をとらなければならないものです。

鈴木 正朝 @suzukimasatomo

Pマーク制度における取消しは、基本的に行政の取締規定に違反する、または、プライバシー侵害など不法行為を構成するという重大な違反を基礎として、契約の解除というかたちで行われるべきものだと思います。

鈴木 正朝 @suzukimasatomo

その意味で、本件に対する主務大臣の評価も重要な判断材料とするところはあります。

鈴木 正朝 @suzukimasatomo

また、契約上明確な取消等不利益措置の基準があると仮定して、次に重要なのは違反の事実を確定するところです。そのためには契約上十分な調査の権利が定められていなければなりません。公開されているサービス仕様だけで断定していいのか、現に個人情報がどう取り扱われていたかの立証まで要するか。

鈴木 正朝 @suzukimasatomo

自由に立入り調査できるならともかく、事故報告と報告の要請と回答、顧客側からの調査などの任意のインタビュー等、立証できた事実の下で判断しなければなりません。明白である。当然である。というアバウトな事実認識で足りるのかどうか。

鈴木 正朝 @suzukimasatomo

Pマーク制度をとりまく論点は、実は、詳細にみると（１）個人情報保護法上の問題、（２）JIS Q 15001の問題、（３）Pマーク制度（JIPDEC）上の問題、（４）審査機関の運用上の問題に分類することができます。それぞれに解決すべき主体が異なります。

鈴木 正朝 @suzukimasatomo

このあたりを踏まえて、さらに本件の処分はどこに問題があったか、審査機関、審査会、審査会会長の職責を含めて、さらに建設的に議論して、批判すべきは大いに批判していただければと思います。

鈴木 正朝 @suzukimasatomo

欠格事由というのは、本来、審査を受ける資格の話しであって、それがライセンスを維持する事由でもあるのかもしれませんが、その後の取消等不利益措置の事由と同じであるのか、同じなら用語としても疑問がありますが、考え方の整理ができているのか。点数制含めて議論頂きたいところです。

鈴木 正朝 @suzukimasatomo

個別事案の処分の当否については自由に批判いただいて結構ですが、個別事案については回答できません。twitter上では、制度全般についてコメントするに止めたいと思います。

鈴木 正朝 @suzukimasatomo

本件については某先生らが論文にとりまとめる予定とのことですのでいずれ研究会等で意見交換できればと思います。できればいつものようにオープンに、またはUSTなどできればと思っています。いずれにせよ私は本件については当事者なので関与の仕方は守秘義務など限界もあろうかと思いますが。

鈴木 正朝 @suzukimasatomo

それから最後に「注意」処分でありながら「公表」している件ですが、「公表」は「取消し」とともにPマーク制度上はサンクションの一つです。約款に根拠のないことを突然一方的に行うことはできません。これは相手方の同意を得て行ったものです。「公表」のあり方も議論いただきたいところです。

鈴木 正朝 @suzukimasatomo

話は変わりますが、Pマーク制度に閉じて議論するだけではなく、全体の制度設計の中でどうPマーク制度を位置づけるか、法制度の補完機能として、何を受け持ってもらうべきかを議論して、役所とともに法制度及び標準化政策とセットで議論していくことが建設的で発展的かもしれません。

鈴木 正朝 @suzukimasatomo

JISの定義とルールは法制度に合致させ、規格はむしろその遵守のしくみにシフトしていくか、その法令の遵守のあり方の標準化を志向すべきようにも思います。

鈴木 正朝 @suzukimasatomo

一つのアイデアとしては、法律上、法定公表事項等の表示系の義務付けを強化することを前提に、その表示の内容とあり方を認証する制度、消費者保護的観点から、約款に不当条項がないかの確認をすることも一案でしょうか。

鈴木 正朝 @suzukimasatomo

さらに、プライバシーバイデザインを具体化するところの審査が可能かどうかを研究することも重要だろうと思います。日本工業規格としては、むしろ技術とその運用にシフトする方がいいでしょうし、それが本来的役割なのかもしれません。