個人情報保護法制についての鈴木・山本対談記事を読んでの雑感

遅ればせながら、ＮＢＬ２０２０．１．１号の鈴木正朝教授と山本龍彦教授の対談記事「個人情報保護法制のゆくえー憲法と個人情報保護」を読みました。

個人情報保護法制はどのようにあるべきかについて深い議論がされており大変勉強になりました。

 以下、備忘も兼ねて、特に興味深かったところを挙げていきます。

Ｓｕｉｃａ問題とリクナビ問題の対比

パーソナルデータの不適切な使い方がされた事例として多くの文献でＳＵＩＣＡ問題（記名式Ｓｕｉｃａ履歴データ無断提供問題）が挙げられます。そして、昨年はリクナビの内定辞退予測販売問題が社会問題となりました。

対談で、山本教授は、Ｓｕｉｃａ問題とリクナビ問題は性質が大きく異なるものであることを強調します。

リクナビ問題は個人に戻ることが予定されている。しかも内定辞退予測率という、個人に不利益を与え得る属性がプロファイリングされています。他方で、Ｓｕｉｃａ問題は最終的に個人に戻していくという目的はなかった。そうすると、どちらも法的には問題なのだけれども、批判の強度やポイントは変えなくてはならないように思います（５２～５３頁）。

Ｓｕｉｃａ問題は、「集合の世界」が徹底されなかったことが問題だったのであり、直接には基本権の問題ではなかった。この点を踏まえないと、リクナビ問題との質的違いが意識されず、結局、実体的価値との関係で濃淡のない、フラットな形式主義を助長してしまうようにも思います（５３頁）。

パーソナルデータの不適切な取り扱いがあると、一律に批判されてしまいがちですが、個人にとって不利益を与える程度がどこまであるのかという観点で緻密に検討していく必要があることを改めて感じました。個人情報保護法に違反した事例について画一的に評価することはまさに山本教授が述べる「フラットな形式主義」に陥りかねないところは、よくよく注意しないといけないでしょうね。

入口・出口だけのケアでは不十分

個人情報保護法は、個人データの取得と第三者提供については規制がかけられています。しかし、山本教授は、現在のデータ処理の実態からすると、取得と開示という段階だけの規制では不十分と指摘します。

ささいな取得データから本人に不利益を与えるような要配慮的なデータが引き出される。内定辞退率がまさにそうですね。本人にとっては不意打ち的な要素が強くなってきます。そうすると、「取得」段階と「開示」段階、すなわち「入口」と「出口」だけケアしておけばよいということではなくなる。その「途中」・「過程」が重要になるわけで、入口と出口でデータの性質が変わらないことを前提としてきた従来の手続を形式的に遵守するだけでは不十分ということになります（５４頁）。

この指摘には深く共感しました。取得時のデータ単体は決して秘匿性や重要度が高くないとしても、それが大量に集積し分析されることで、データ主体の嗜好や性格、信条といったセンシティブな要素が丸裸になるリスクが既に現実化しています。そのため、データをどのように分析してどのような結果を得たかというまさに「過程」についても一定の規制を及ぼす必要があると思います。この点、個人情報保護法の制度改正大綱の「個人情報取扱事業者は、不適正な方法により個人情報を利用してはならない旨を明確化する」という部分は、このリスクに対応したものといえるでしょう(第３章第２節２))

この対談記事を読んで、個人情報保護法が問題となる際には、上位規範である憲法の観点から解釈・検討しなければならないと改めて感じました。

近時はＨＲテックも注目される等、パーソナルデータを大量に集めて処理・分析するという傾向は収まることはなく、むしろますます加速していくように思います。それに伴い、パーソナルデータを取り扱う企業側も、ユーザー側の懸念や不安を払拭できるような丁寧な説明や姿勢が求められます。

個人情報保護法の改正の動向については、引き続き注目していきたいと思います。