はじめに

前回は、個人データの適正な利活用と保護の難しさの理由について触れてから、帰納的なアプローチで事例からの知見をえていくことが有効、というお話をしました。
そこで、今回からは、第2回のⅡで挙げていた事例の一部から、具体的な事例を見ていきたいと思います。

事例から得られる知見

大規模ターミナル駅顔認証実験（2014年）

（1） 事例の概要

この事例は、大規模災害時の人命保護に資することを目的とし、大規模施設における避難誘導等の安全対策に活用できる“人の流れ”に関する情報を、最先端のICT技術によって取得することができるか否かを検証するため、JR大阪駅を中心とした大阪ステーションシティにカメラを多数設置して通行人を対象とした映像解析を行い、その通行人を追跡して人流統計情報を作成するという実証実験を行おうとしていたものです。
本件の詳細については、公表されている調査報告書^注1が詳しいため、詳細に関心のある方はそちらをご覧いただければと思いますが、結論としては、「独立行政法人等個人情報保護法違反はなく、プライバシー権侵害についても違法と評価されるものではない」とされています^注2。しかし、この件は、強い中止要請などが相次ぎ、結局実証実験は中止されました。

（2） 得られる知見

本件は何が問題だったのでしょうか。これについても上記報告書が一定の方向性を示してくれています。報告書では、実証実験の実施にあたり、実施者側は以下のような対応をとるべきであると提案しています。

・　実験手順や実施状況等を定期的に確認し、公表する。

・　個人識別リスクを市民に対して事前に説明する。

・　撮影回避手段を設ける。

・　映像センサーの存在と稼働の有無を利用者に一目瞭然にする。

・　本件に関して適切な広報を行う。

・　人流統計情報の提供に際しては委託契約または共同研究契約を締結する。

・　安全管理措置を徹底する。

もう少しまとめると、

①　説明責任を果たし、実証実験の理解を得るなど、利用者の不安軽減策を講じる。

②　実証実験開始後も実験手順や実施状況等が適切に行われているかのモニタリングを行い、その結果を公表する。

③　撮影を拒否する者に対する選択肢を残す配慮を行う。

④　適切な情報セキュリティ対策を実施する。

ことが必要であるといえるでしょう。

ポイントカード利用履歴の捜査機関への開示問題（2019年）

（1） 事例の概要

さまざまな報道によると、この事例は、ポイントカードの会員登録の際に登録する「氏名･性別･生年月日･住所･電話番号･メールアドレス」といった会員基本情報と、ポイントカードの利用履歴である「いつ･どこで･何を･いくらで購入等したか」という情報を蓄積しているポイントカード運営会社（以下「運営会社」といいます）が、特にプライバシーポリシー等で公表することなく、捜査機関からの捜査関係事項照会に応じて開示していたというものです。

前提知識として、この“捜査関係事項照会”というのは、刑事訴訟法197条2項が「公務所又は公私の団体に照会して必要な事項の報告を求めることができる」と規定していることに対して実施されているものであり、令状主義が妥当する強制処分ではなく、任意処分として行われるものです。
個人情報保護法は「法令に基づく場合」には、あらかじめ本人の同意を得ることなく個人データを第三者に提供することを認めています（個人情報保護法27条1項1号）。そのため、刑事訴訟法197条2項に基づく捜査関係事項照会に応じて個人データを開示することは、個人情報保護法上は“一応適法”であると考えられています。しかし、本件も、報道をきっかけとして非難が高まり、運営会社は対応に追われることになりました。

（2） 得られる知見

本件の問題はどこにあるでしょうか。まず、すぐに思い付きそうなものは、さまざまな購買等情報が紐づいていることから、「会員の思想･信条の推知が可能となる」ということでしょうか。たとえば、「どういう書籍を購入しているのか」「どういう映画を見ているのか」といった単体データ、あるいは、単体ではわからなくても名寄せされた状態で引き出せば、そのような推知は難しくないでしょう。また、購買等情報から「病歴や妊娠の有無」といったことが推知可能な場合もあるでしょう。

捜査関係事項照会に対する実際の運用がどのようなものであったかは判然としませんが、運営会社が捜査機関の求めに応じて広範に情報を開示していたとすれば、センシティブ情報（やセンシティブ情報の推知につながる情報）が流通していたことになります。特に、結果として捜査対象となっている犯罪と関係のなかった会員についてのこのような情報の流通は、問題が大きそうです。
ただ、そのようなセンシティブ情報（やセンシティブ情報の推知につながる情報）の提供に限らず、人には「他人に知られたくない」と考える情報があるものです。本件では、運営会社は捜査関係事項照会に応じて情報を開示している実態を会員に公表していませんでしたので、報道がなければ、会員はこの事実を半永久的に知ることはなかったかもしれません。提供された情報がセンシティブ情報ではなかったとしても、少なくとも、運営会社は「このような情報開示が行われている」ということを、会員にきちんと届く形で公表する必要がありました。

また、いみじくもこの運営会社が話していたように、社会的情報インフラとしての価値が高いデータベースを保有する企業だという自覚があったのならば、情報の開示がもたらす影響を正しく認識･評価し、運用ルールを定めるとともに、これも会員に届く形で公表する必要があったといえます。捜査機関が捜査の過程で取得したさまざまな情報の取扱いの規律が法律レベルで存在しない日本においては、なおさらそうであったように思われます^注3。
そのようなルールの考え方として“比例原則”（達成すべき目的に対して、そのための手段としての権利や利益の制約は相当（妥当）な程度のものでなければならないとする原則）の考え方は有用でしょう。上記(1)で、「捜査関係事項照会は任意処分である」と述べました。任意処分として行われる捜査は、その“すべて”が適法なわけではなく、捜査の正当な目的達成のために必要性があり、その必要性や目的達成との関係で正当と認められる限度の方法でなければ違法となります^注4。
捜査関係事項照会への対応についても、この比例原則を転じさせて、照会の目的や必要性の程度を検討し、その必要性に対して相当な範囲でのみ個人データを提供するというルールと運用が必要でしょう^注5。この点は、ポイントカードに限らず、カメラ映像の提供などの場合でも同じです。

＊　　　　＊

次回以降も、事例から得られる知見をみていきたいと思います。

→この連載を「まとめて読む」

1. 映像センサー使用大規模実証実験検討委員会「調査報告書」（2014年10月20日）。[↩]
2. 調査報告書では、これ以外にも、「違法な肖像権侵害ともいえない」と分析されています。[↩]
3. 極端な言い方をすれば、取得後の情報が捜査機関によってどのように保存され、取り扱われ、削除されているのかは判然としません。話が逸れていくため本稿ではこれ以上取り扱いませんが、たとえば、山本龍彦「警察による情報保管･データベース化の「法律」的統制について」同『プライバシーの権利を考える』（信山社、2017年）229頁以下などをご参照ください。[↩]
4. 最決昭和51年3月16日刑集30巻2号187頁。[↩]
5. 比例原則は、法的な検討のさまざまな場面で参考になる考え方ですので、知っておいて損はありません。[↩]