ビッグデータと個人情報

ビッグデータのやり取りは、個人情報保護法に基づく第三者提供規制により制限されるのではないか。

⇒その前提として、そもそもビッグデータは「個人情報」に該当するのか。

（個人情報保護法との関係では、厳密には「個人データ」という用語の方が適切ですが、分かりやすさを重視して「個人情報」という用語を使います。）

（2）　第三者提供規制とは

個人情報保護法では、個人情報取扱事業者が個人情報を第三者に提供することについては、原則として当該個人情報の本人の同意が必要とされています（個人情報保護法第23条）。

つまり、仮に、ビッグデータを構成するデータが「個人情報」に該当すると考えた場合、ビッグデータを第三者に提供するためには、原則として、ビッグデータの基となったデータの本人からデータを第三者に提供することについての同意を得なければなりません。

本人から容易に同意を得ることができるのであれば、特に問題はないかもしれませんが、現実的には、多数存在する本人達から個別に同意を取得するということはかなり難しいと考えられ、その場合、ビッグデータの提供自体ができないということになります。

（3）　個人情報に該当？

では、ビッグデータは「個人情報」に該当するのでしょうか？

個人情報保護法上、個人情報は以下の通り定義されています。

⇒生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

ビッグデータで扱われるデータは、通常は匿名化された情報のはずであり、匿名化されているのであれば、特定の個人の識別はできないはずですから、「個人情報」に該当しないのではないかとも考えられます。

しかし、「個人情報」は、それ自体では特定の個人を識別できない情報であっても、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。」とされています。

つまり、ビッグデータ自体は匿名化された情報であって、それのみでは特定の個人の識別ができない場合であっても、他の情報と組み合わせることにより特定の個人との識別が可能となる場合は、ビッグデータが「個人情報」に該当する可能性があるということになります。特に、インターネットの発達により多様な情報が公表・提供等され、また、情報を照合するための技術の進化もあり、最近では、複数の情報を照合することが比較的容易に行うことができ、特定の個人を識別できる可能性が高まっています。その結果、匿名化された情報であっても「個人情報」に該当する可能性が高まる傾向にあるといえます。

「パーソナルデータに関する検討会」での資料によれば、米国で以下の事例があるようです。

事例1　マサチューセッツ州が公開した医療情報から州知事の医療情報として特定

米国マサチューセッツ州が、医療情報から氏名等を削除して公開。公開された情報には性別、生年月日、郵便番号が含まれていたところ、別に公開されていた投票者名簿との照合により、州知事と同じ生年月日の者が6名存在し、そのうち3名が男性、郵便番号から1人に特定された。

事例2　インターネットサービス企業が検索履歴の公表中止

米国のインターネットサービス企業が、サーチエンジンにおける65万人のユーザーの3ヶ月間の検索履歴のリスト2,000万件を公表。ユーザーネームとIPアドレスを匿名化していたところ（ユーザーネームは番号に変換）、新聞記者が、あるユーザーネームの番号の検索履歴やその他の情報から当該ユーザーが識別されたと報道した。翌週、同企業は公表を中止し、謝罪した。

事例3　映画レンタル・サービス企業が映画推薦アルゴリズムコンテストを中止

米国の映画レンタル・サービス企業が、顧客の嗜好に合った映画を勧めるアルゴリズムのコンテストを開催し、匿名化したユーザーの視聴履歴データ（特定のユーザーの識別子、ユーザーの映画評価、評価日時のデータベース）をコンテスト参加者に提供した。ある大学のグループが、当該データと他の映画情報サイトで公開されているユーザーレビューを照合し、一部の個人を特定した。

また、上記の事例の他にも、同資料によれば、電車の乗降履歴であっても、経路利用の態様によっては1人しか特定の経路を使用しないケースもありえ、その場合は匿名のデータであっても個人の識別が可能な場合があるとされています。また、購買履歴や視聴履歴についても、インターネット等に公開されている外部情報と合わせることで特定可能な場合があるとされています。

このように、匿名化された情報であっても「個人情報」に該当する可能性があり、その結果、個人情報保護法の適用を受ける場合があるということになります。

したがって、匿名化さえすれば、個人情報ではないのだから自由に第三者提供できる（＝個人情報保護法は気にしなくてよい）というものではありませんので、ビッグデータの第三者提供には十分な注意が必要です。

2　個人情報保護法改正の方向性

さて、ビッグデータについては、上記のような個人情報保護法との関係での問題点があることから、「パーソナルデータに関する検討会」ではこれに対応する形で個人情報保護法の改正の方向性が議論されています。

詳細は法案を待つ必要がありますが、「パーソナルデータに関する検討会」では、個人情報の利用・流通の促進という観点と個人情報及びプライバシーの保護への配慮という観点から、以下の方向性が制度見直し方針（案）で示されています。

・個人情報の利用・流通の促進

⇒個人が特定される可能性を低減した個人情報について、第三者提供における本人同意原則の「例外」として新たな類型を創設

・個人情報及びプライバシーへの保護への配慮

⇒上記の新たな類型に属するデータを取り扱う事業者（データの提供者と受領者）が負う義務等を法定

上記は同方針（案）で示されている方向性の一部ですが、これを含め、今後、どのような法改正が行われることになるのか、注目です。