【個人情報保護法改正】第三者提供記録義務について【Part 2】

さて、3/12に指摘した第三者提供記録義務^[1]についてだが、その後４月１日に板倉弁護士にご紹介いただいた内閣官房IT室の方々にいろいろ教えていただいたのでそれを共有しておこうと思う。ちなみに、あくまで個人的に教えていただいたのであって、IT室の公式見解では無いので、あとでひっくり返るかもしれないことは十分有り得ることを念頭においてお読みいただきたい。

1. これは名簿屋対策で、本人同意がある場合は除外するはずではなかったか？

3/12の記事では、バグだろうと書いたが、どうもわたしが間違っていたようだ。お話を伺ったところ、本人同意がある場合が除外されていないのは意図的だそうだ。第三者提供全体にトレーサビリティが必要だと考えており、法案25条、26条の記録義務はこれを担保するためのものだから、同意がある場合も対象にすべく起草したとのことであった。

なので、やや驚きではあるが、バグではなかった。

2. だとすると、SNSの公開プロフィールページなども記録義務が提供元にかかるが、現実的ではないのではないか？

SNSの公開プロフィールページというのは、本人その他が書き込んだ情報を一旦データベースに記録して、そこから情報を抽出・加工してページを生成している。もちろん、表示事項は本人同意済みである。一旦検索可能な形でデータベースに記録したものを使っているので、表示されるものは個人データである。例として、筆者のGoogle+の公開ページのスクリーンキャプチャを図１に載せておく。

 

これを第三者が閲覧する形になる。閲覧者は第三者なので、提供元のSNSには提供記録の義務がか課せられる。これも先方に確認して、そうなるとのことであった。

これは諸外国では実施されていないたぐいの厳しい規制であり、産業抑制的に働くのではないかということでひとしきり検討した。

記録義務の項目は、新25条に定められているとおり、「当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項」である。

第二十五条　個人情報取扱事業者は、個人データを第三者（第二条第五項
　各号に掲げる者を除く。以下この条及び次条において同じ。）に提供し
　たときは、個人情報保護委員会規則で定めるところにより、当該個人デ
　ータを提供した年月日、当該第三者の氏名又は名称その他の個人情報保
　護委員会規則で定める事項に関する記録を作成しなければならない。た
　だし、当該個人データの提供が第二十三条第一項各号又は第五項各号の
　いずれか（前条の規定による個人データの提供にあっては、第二十三条
　第一項各号のいずれか）に該当する場合は、この限りでない。
 ２ 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個
　人情報保護委員会規則で定める期間保存しなければならない。

当日の論点は、氏名又は名称を取得することが現実的かということであった。先方は、普通にログを取っていれば良いとの考えで、ページを閲覧している人が誰かは記録を取っているだろうし「IPアドレスがあれば、参照者の氏名・名称もわかるだろう」とのお考えであったようだが、「公開プロフィールページやタイムラインの場合にはどのユーザかはわからないし、IPアドレスを見てもそれが誰のものか、どの社のものかわかるとは限らない。」と説明したところ、氏名や名称、住所などを記録することが現実的でないことはご理解いただけたようだ。

もっとも、当日はこの「氏名又は名称」というのが問題だと思っていたのだが、今日この記事を書くためによく読みなおしてみると「氏名又は名称その他の個人情報保護委員会規則で定める事項」であり、「氏名又は名称及びその他の個人情報保護委員会規則で定める事項」ではない。つまり、読み方としては「（氏名）又は（名称その他の個人情報保護委員会規則で定める事項）」であり、（名称その他の個人情報保護委員会規則で定める事項）が１単語である^[2]。であれば、（名称その他の個人情報保護委員会規則で定める事項）として、たとえばIPアドレス単体を定める事項とすれば、ログにあるIPアドレスでも良さそうだ。ただし、ログに記録されるページのアドレスが、どの個人データを含んでいるかわかるようなものにする必要はあって、システム改変が必要になる場合はそれなりにありそうだが。

[1] 崎村夏彦『[個人情報保護法改正] 匿名加工情報と第三者提供記録について』http://www.sakimura.org/2015/03/2924/2/ (2015/3/12)

[2] 吉田 利宏 『元法制局キャリアが教える 法律を読む技術・学ぶ技術［第2版］』 による。この解釈について板倉弁護士（産総研高木先生経由）と鈴木教授（直接）にも確認してみた。板倉弁護士の見解は「『氏名　OR　規則で定める事項（∋名称）』、『規則で定める事項（∋氏名　OR　名称）』双方あり得る。『A又はBその他の規則で定めるC』というときに、AやBは例示であって入らない場合もある」。これに対して鈴木教授の見解は、「理論的に例示列挙だとしても、典型例として条文冒頭に掲げておいて、省略していいゎという運用は、は？という感じでありえんだろうと。」とのことで、悩ましい。