拒否権ゼロ！病歴からSNSまで同意不要で企業へ…あなたの個人情報を奪う「最悪の法改正」
病歴もSNSも…同意不要の恐怖
診療記録や処方歴、ネットショップの購買履歴、SNSの投稿……。個人のプライバシーに関わるこれらの情報が、本人に知らされないまま企業に提供されることになる。
７月10日に参議院本会議で可決、成立し、17日に公布された「改正個人情報保護法」。今回の改正には、統計作成やAI開発への活用に限り、個人情報を本人の同意なく第三者に提供できる「統計作成等の特例（統計特例）」が盛り込まれた。その中身に対して、情報セキュリティの専門家や医療関係者、消費者団体などから「個人の権利利益を脅かす」と批判の声が上がっている。
’15年から有識者会議のメンバーとして個人情報保護法の整備に関わってきた国立情報学研究所の佐藤一郎教授は「統計特例は個人情報の活用拡大を促す内容」とし、こう指摘する。
「個人情報保護法では原則として、個人データの第三者提供や目的外利用には本人の同意が必要でした。それが統計特例のもとでは、個人情報を受け取る『取得先』の企業が統計の作成やAIモデルの学習を目的とする限りは、本人の同意が不要になります。データを渡す『提供元』の企業に対しても、匿名化や仮名化といった加工義務を課しません。
病歴や犯罪歴、思想信条や信仰などの『要配慮個人情報』は差別や不利益につながるため、第三者提供には本人の同意が必須です。しかし今回、氏名や住所を含んだ加工されていない元のデータの提供も同意不要になったことで、要配慮個人情報を十分に保護できない可能性が高まりました」
しかも、個人情報の取得先企業に対するハードルが極めて低い。国による許認可や事前審査などはなく、事業者の規模や国籍による制限もない。個人事業主や海外企業、さらには捜査機関も個人情報の取得先になり得るのだ。
「本来、これほど大きな変更であれば、有識者検討会でしっかり議論するなり、パブリックコメントを募るなりして、改正案の中身をオープンにするべきです。ところが、この統計特例はいきなり降って湧いたように浮上し、国民に全体像が示されないまま成立した。私はそんな印象を持っています」（以下、佐藤教授）
狙いは「名寄せ」？ 個人が丸裸に…
政府が今回の改正で特例を設けた狙いは、個人情報活用の規制を緩和し、国産AIの開発を促進することにあるとされる。本当にそれが目的なのか。AIの学習や純粋な統計作成に活用するのであれば、氏名などの個人識別用情報は不要なはず。
「政府の目的は個人情報の規制緩和ですが、データを活用したい企業側の狙いは『名寄せ』にあるのではないでしょうか。
個人情報の取得先企業では、氏名などをキーにして複数のデータを紐づける『名寄せ』ができるようになります。たとえば、病院から『診療記録』、学校から『成績』、ECサイトから『購買履歴』、SNS事業者から『氏名つきの投稿履歴』を集める。これらのデータを名寄せすれば、１人の個人に対して膨大なプロファイリングデータ、すなわち詳細な人物像が出来上がるわけです」
名寄せによって、さらに個人の特定も可能になるという。
「一般に『生年月日』『性別』『郵便番号』の３つの情報が揃うだけで、名寄せはできます。同じ郵便番号のエリア内で、生年月日と性別まで一致する人は極めて少ないからです。
特定の郵便番号エリアを主な商圏とする地元商店が、生年月日と性別のみ記入する無記名アンケートを行ったとしましょう。お店側が氏名や生年月日を含む地域住民のデータを持っていれば、名寄せするだけで容易に個人を特定できてしまいます」
「個人情報の保護を図るため」の法律でありながら、なぜ氏名の削除や匿名化の義務が見送られたのか。
「匿名加工義務の免除を望んだ企業がそれだけ多かったからです。今回はそのための規制緩和であり、経済団体が規制緩和を強く求めて政治家に働きかけたのでしょう。結果的に、経済界の要望を丸呑みした法改正になってしまった。そう言わざるを得ません」
取得先企業に万が一、名寄せによって一個人の詳細なプライベートデータを集約された場合、どのような不利益が生じるのだろうか。
「たとえば、大学３、４年生のSNS投稿履歴を買い取り、内容を分析して採用の選考から外す。病気に関する書籍の購入履歴から再発や重症化のリスクが高い疾患の可能性を推定し、保険の加入を拒否する。企業の個人情報の活用次第で、不利益を被る人が出てきます。
また、データが悪用されるおそれもある。悪質な業者や犯罪グループへのデータ流出です。
要配慮個人情報には、過去の犯罪歴だけでなく犯罪の被害情報も含まれます。詐欺に騙されやすい人が名寄せによって抽出され、トクリュウなど特殊詐欺グループの手に渡るようなことが起きれば、オレオレ詐欺が増えるかもしれません」
激甘な罰則で国民は「泣き寝入り」
改正法の条文では、特例の対象は「個人の権利利益を害するおそれが少ないもの」とされている。だが、佐藤教授が示す通り、特例の懸念材料は少なくない。
「取得先企業のデータ利用が個人の権利利益を害さないか監視、監督する役割を担うのは、個人情報保護法を所管する個人情報保護委員会です。委員は学術経験者や企業の元役員など、事務局は主に各省庁の役人で構成されていますが、この組織に監視、監督の能力があるかどうかは疑わしい。
個人情報保護委員会が行政指導をしたケースのほとんどは、メディアで報道された後か内部告発があって初めて動き出しています。自分たちで問題を見つけることができない組織に、監視の役割が果たせるでしょうか」
その個人情報保護委員会は今後、具体的な規則やガイドラインを策定することになる。
「規則やガイドラインは、国会で制定された法律の枠組みを超えることができません。たとえば『取得先事業者を許認可制にする』『オプトアウトを可能にする』などの規定をガイドラインに盛り込むことは、改正法の構成から考えて無理でしょう。
さらに、改正法の国会審議で政府側が『統計特例では提供元が持つデータをそのまま渡すことを許容する』と答弁したため、事前の加工を前提とする規則やガイドラインを作ることも難しくなった。国会答弁によって、安全策が講じにくくなってしまった形です」
提供元、取得先の企業に対する罰則も甘い。金銭的ペナルティとして「課徴金制度」が導入されたものの、経済界の猛反発を受け（佐藤教授）、対象は悪質性が高く具体的な侵害があり、被害者が1000人以上の事案に限定された。
「課徴金額も、悪質な行為によって得た利益に相当する額に抑えられました。経済的なペナルティ効果は乏しいでしょうね」
国が認定した消費者団体が個人に代わって差し止めなどを行う団体訴訟制度の導入も見送られた。
「団体訴訟は個人の被害救済のために必要な制度ですが、経済界はこれにも反対しました。結果的に、被害に遭った個人が泣き寝入りを強いられる構図が確定してしまった。
今後、個人の泣き寝入りを前提に、権利利益を侵害するようなデータ利用に及ぶ事業者が増える可能性があります」
拒否権はゼロ！ 迫る監視社会の闇
法律による歯止めはなく、オプトアウト（本人が自身の個人情報の第三者提供を停止・拒否できる仕組み）という最低限の拒否権すら与えられない。国民が自らの個人情報を守る手立ては絶たれたに等しいと言っていいだろう。
「個人が情報の提供を拒否できないだけでなく、情報提供を求められた企業が拒否しにくい状況も想定されます。
たとえば、SNS事業者が捜査機関から『統計目的』を理由に全会員の投稿履歴、氏名、メールアドレスの提供を求められた場合、事業者はこれを拒否する法的根拠を持ちません。したがって、SNSの投稿も街の監視カメラやスマートグラスの映像も、捜査機関に提供されるポテンシャルを秘めていると思ったほうがいいでしょう」
佐藤教授がさらに危惧するのが、スマートグラスの普及がもたらす、市民同士が監視し合う社会の到来だ。
「スマートグラスは顔を向けるだけで周囲の映像や音を記録できるため、好奇心や恨みからネットに晒す人が現れると思います。そうすると、『誰かに撮影されているのではないか』と疑心暗鬼になり、萎縮して行動を自ら制限する人も出てくるでしょう。統計特例が社会に与える影響は決して小さくないと考えます」
結局は海外IT企業の一人勝ちか
今回の改正法には与党と経済界の意向が強く反映されている。が、目先のデータ利活用を優先するあまり、その対極にあるリスクを検証していないとすれば……。結果として「当の企業側の足元が揺らぐことになる」と、佐藤教授は警鐘を鳴らす。
「ユーザーがサービスを利用する際、同意するか否かの決め手となるのは『企業に対する信頼』です。
しかし、今回の法改正で制度を一律に緩くしたことで、逆にユーザーの不信感を招き、真面目な企業の信頼まで失墜させるかもしれません。これまで丁寧に信頼を築いてきた企業にしてみれば、迷惑な話でしょうね」
経済界にとっては由々しき事態だ。だが、誤算は国内企業の信頼失墜に留まらない。国内事業者への不信感から、国民が自衛のために「海外企業へシフトする」という皮肉な結果も予想される。
「統計特例の対象外である海外企業のほうがむしろ、第三者提供の際に正当な同意を求めてくるため安全と言えます。結局、一番得をするのは、日本のデータを容易に入手できる海外IT大手かもしれません。
政財界の思惑で強行された特例ですが、あまりに筋が悪すぎます」
▼佐藤一郎（さとう・いちろう）国立情報学研究所・情報社会相関研究系教授、工学博士。1996年、慶應義塾大学大学院博士課程修了。お茶の水女子大学大学院助手、同大助教授、国立情報学研究所ソフトウェア研究系助教授を経て、’06年から現職。デジタル庁「政策評価有識者会議」座長などを歴任。
取材・文：斉藤さゆり
