プライバシーデータ活用における課題とは

Slide 1

Slide 1 text

プライバシーデータ活⽤における課題とは？ 2022/09/07 インハウスハブ東京法律事務所弁護⼠世古修平 1

Slide 2

Slide 2 text

講師紹介世古修平（せこしゅうへい） • インハウスハブ東京法律事務所弁護⼠ • インターネットサービス企業 Privacy Counsel • IPA 独⽴⾏政法⼈情報処理推進機構試験委員 • 経済産業省電⼦商取引及び情報財取引等に関する準則研究会委員 • 総合系のコンサルティングファーム2社を経て現職 • セキュリティ、プライバシー領域の案件を中⼼に活動中 • CISSP, CIPM, CIPP/E 2

Slide 3

Slide 3 text

Acompany社からいただいた本⽇のお題 3

Slide 4

Slide 4 text

Acompany社からいただいた本⽇のお題 4 “プライバシーデータ活⽤における課題とは AutoPrivacy Assessmentアドバイザーの世古弁護⼠が徹底解説！”

Slide 5

Slide 5 text

”徹底解説！” 5 “プライバシーデータ活⽤における課題とは AutoPrivacy Assessmentアドバイザーの世古弁護⼠が徹底解説！”

Slide 6

Slide 6 text

とはいえ思いつく「課題」は多種多様 6 炎上対策？⼤規模なデータ収集？正しい法律知識？⾼度な分析技術？法務事業事業技術 “プライバシーデータ活⽤における課題とは AutoPrivacy Assessmentアドバイザーの世古弁護⼠が徹底解説！”

Slide 7

Slide 7 text

【本⽇の結論】課題は事業・技術・法務の相互理解である 7 法務事業技術

Slide 8

Slide 8 text

【理由の説明1/5】これらの課題は確かにどれも重要 8 炎上対策？⼤規模なデータ収集？正しい法律知識？⾼度な分析技術？法務事業事業技術

Slide 9

Slide 9 text

【理由の説明2/5】現実問題全てを兼ね備えた⼈は⽤意できない 9 事業技術法務事業技術法務 n リーダーに多い印象のスキルセット

Slide 10

Slide 10 text

【理由の説明3/5】各担当者が協業して解決していくしかない 10 法務事業技術

Slide 11

Slide 11 text

【理由の説明4/5】他⼈の専⾨分野に⾶び込むのは正直怖い 11 投影のみ

Slide 12

Slide 12 text

【理由の説明5/5】越境の前提として相互理解が必要なのでは 12 【課題①】 q 法務を理解してもらう努⼒ Ø 法務を事業・技術⽂脈で議論できる環境構築【課題②】 q 事業・技術を理解してもらう努⼒ Ø 事業・技術を法務⽂脈で議論できる環境構築法務事業、技術

Slide 13

Slide 13 text

【本⽇の結論】課題は事業・技術・法務の相互理解である 13 法務事業技術

Slide 14

Slide 14 text

14 1.結論 2.課題①（法務 → 事業、技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 15

Slide 15 text

15 1.結論 2.課題①（法務 → 事業、技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 16

Slide 16 text

16 1.結論 2.課題①（法務 → 事業、技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 17

Slide 17 text

個⼈情報の定義はまだまだ誤解が多い⽒名は削除したので「匿名化」されています公開情報なので個⼈情報には該当しないのでは toBの担当者情報なので個⼈情報なんて⼤袈裟なものではないかとよく聞く⾔葉 17

Slide 18

Slide 18 text

⼀⽅で法務も説明を徹底できていない 18 これって個⼈情報に該当します？法務⾃⾝が間違っているケース⽒名が含まれていないのでこれは個⼈情報ではありません事業法務法務が誤解を放置しているケースデータの分析を委託しますが委託する情報には個⼈情報は含まれていません …了解です技術法務

Slide 19

Slide 19 text

どこまでが個⼈情報？ q ⽇常⽤語では、⽒名・性別・住所・電話番号などが個⼈情報の具体例として思い浮かびます q 法律では、どこからどこまでが個⼈情報とされているのでしょうか？⽒名性別住所電話番号 19

Slide 20

Slide 20 text

法律に定義があります q 読みにくい条⽂ですが、今⽇は⼀緒に読んでみましょう q 「1号本⽂」「1号かっこがき」に分解して読んでみます【個⼈情報保護法】（定義）第⼆条この法律において「個⼈情報」とは、⽣存する個⼈に関する情報であって、次の各号のいずれかに該当するものをいう。⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（略）により特定の個⼈を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）⼆（略）⼀号かっこがき⼀号本⽂ 20

Slide 21

Slide 21 text

1号本⽂を読んでみよう⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの⼀号本⽂⼀号かっこがき 21 申込フォーム⽒名 XXX ⽣年⽉⽇ XXX メール XXX 会社名 XXX 部⾨ XXX

Slide 22

Slide 22 text

1号本⽂を読んでみよう⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの⼀号本⽂⼀号かっこがき 22 当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等申込フォーム⽒名 XXX ⽣年⽉⽇ XXX メール XXX 会社名 XXX 部⾨ XXX

Slide 23

Slide 23 text

1号本⽂を読んでみよう⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの⼀号本⽂⼀号かっこがき 23 当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等申込フォーム⽒名 XXX ⽣年⽉⽇ XXX メール XXX 会社名 XXX 部⾨ XXX

Slide 24

Slide 24 text

1号本⽂を読んでみよう⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの⼀号本⽂⼀号かっこがき 24 当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等により特定の個⼈を識別することができるもの申込フォーム⽒名 XXX ⽣年⽉⽇ XXX メール XXX 会社名 XXX 部⾨ XXX

Slide 25

Slide 25 text

応⽤編① ⼀号本⽂⼀号かっこがき申込フォーム⽒名 XXX ⽣年⽉⽇ XXX メール XXX Q1 利⽤したことがある Q2 ウ【基礎情報】【アンケート】会社名 XXX 部⾨ XXX 25 ⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの

Slide 26

Slide 26 text

応⽤編① ⼀号本⽂⼀号かっこがき申込フォーム⽒名 XXX ⽣年⽉⽇ XXX メール XXX Q1 利⽤したことがある Q2 ウ【基礎情報】【アンケート】会社名 XXX 部⾨ XXX 26 ⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等により特定の個⼈を識別することができるもの

Slide 27

Slide 27 text

応⽤編② 顧客ID ⽒名⽣年⽉⽇メール会社名部門 Q1 Q2 00001 00002 00003 テーブルA ⼀号本⽂⼀号かっこがき 27 申込フォーム⽒名 XXX ⽣年⽉⽇ XXX メール XXX Q1 利⽤したことがある Q2 ウ【基礎情報】【アンケート】会社名 XXX 部⾨ XXX ⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの

Slide 28

Slide 28 text

応⽤編③ 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 ⼀号本⽂⼀号かっこがきテーブルB テーブルA 28 顧客ID ⽒名⽣年⽉⽇メール会社名部門 Q1 Q2 00001 00002 00003 ⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの

Slide 29

Slide 29 text

応⽤編③ 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 ⼀号本⽂⼀号かっこがきテーブルB テーブルA 29 顧客ID ⽒名⽣年⽉⽇メール会社名部門 Q1 Q2 00001 00002 00003 ⼀当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（中略）により特定の個⼈を識別することができるもの

Slide 30

Slide 30 text

⼀号かっこがきを読んでみよう（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）⼀号本⽂⼀号かっこがき 30 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB テーブルA 顧客ID ⽒名⽣年⽉⽇メール会社名部門 Q1 Q2 00001 00002 00003

Slide 31

Slide 31 text

⼀号かっこがきを読んでみよう（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）⼀号本⽂⼀号かっこがき 31 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB テーブルA 顧客ID ⽒名⽣年⽉⽇メール会社名部門 Q1 Q2 00001 00002 00003

Slide 32

Slide 32 text

⼀号かっこがきを読んでみよう（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）⼀号本⽂⼀号かっこがき他の情報と容易に照合それにより特定の個⼈を識別 2 1 32 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB テーブルA 顧客ID ⽒名⽣年⽉⽇メール会社名部門 Q1 Q2 00001 00002 00003

Slide 33

Slide 33 text

33 1.結論 2.課題①（法務 → 事業, 技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 34

Slide 34 text

分析に複数企業が関与することは⼀般的 34 データを豊富に持つ企業分析技術に⻑けた企業個⼈データの提供分析結果の提供

Slide 35

Slide 35 text

個⼈データの提供には原則同意が必要 35 第⼆⼗七条個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、個⼈データを第三者に提供してはならない。データを豊富に持つ企業分析技術に⻑けた企業個⼈データの提供分析結果の提供

Slide 36

Slide 36 text

委託として整理できる場合には同意不要 36 第⼆⼗七条個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、個⼈データを第三者に提供してはならない。５次に掲げる場合において、当該個⼈データの提供を受ける者は、前各項の規定の適⽤については、第三者に該当しないものとする。⼀個⼈情報取扱事業者が利⽤⽬的の達成に必要な範囲内において個⼈データの取扱いの全部⼜は⼀部を委託することに伴って当該個⼈データが提供される場合データを豊富に持つ企業分析技術に⻑けた企業個⼈データの提供分析結果の提供

Slide 37

Slide 37 text

⽤語の説明を端折りがち 37 それって同意（）取ってます？それとも委託（）です？第⼆⼗七条個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、個⼈データを第三者に提供してはならない。５次に掲げる場合において、当該個⼈データの提供を受ける者は、前各項の規定の適⽤については、第三者に該当しないものとする。⼀個⼈情報取扱事業者が利⽤⽬的の達成に必要な範囲内において個⼈データの取扱いの全部⼜は⼀部を委託することに伴って当該個⼈データが提供される場合ありがちな会話 …えーっと（同意は取ってないし多分）委託です法務事業 1 2 1 2

Slide 38

Slide 38 text

【契約】業務委託契約、SaaS利⽤契約、フランチャイズ契約「委託」は多義的に⽤いられている 38 【個⼈情報の保護に関する法律についてのガイドライン（通則編）】「個⼈データの取扱いの委託」とは、契約の形態・種類を問わず、個⼈情報取扱事業者が他の者に個⼈データの取扱いを⾏わせることをいう。具体的には、個⼈データの⼊⼒（本⼈からの取得を含む。）、編集、分析、出⼒等の処理を⾏うことを委託すること等が想定される。【個⼈情報保護法上の評価】個⼈データの取り扱いの委託提供元提供先 *https://www.ppc.go.jp/files/pdf/211116_guidelines01.pdf

Slide 39

Slide 39 text

39 1.結論 2.課題①（法務 → 事業, 技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 40

Slide 40 text

テーブルBだけを委託するケースを想定委託 X社（提供元） Y社（提供先）顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB 顧客ID お名前電話番号メール会社名部門 Q1 Q2 00001 00002 00003 テーブルA 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB 利⽤履歴データ（テーブルB）だけを委託先に渡して分析させたい。委託先に渡すデータには「お名前」が含まれていませんし、個⼈情報（個⼈データ）として扱わなくて良いですよね？ 40

Slide 41

Slide 41 text

提供先基準と提供元基準 41 提供先基準提供元基準提供先のY社にとって、テーブルBは個⼈データでない ↓ X社からY社へのデータの提供⾏為は、個⼈データの委託ではない（＝⾮個⼈データの提供である）委託 X社（提供元）顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB 顧客ID お名前電話番号メール会社名部門 Q1 Q2 00001 00002 00003 テーブルA 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB Y社（提供先）提供元のX社にとって、テーブルBは個⼈データである ↓ X社からY社へのデータの提供⾏為は、個⼈データの委託である委託 X社（提供元）顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB 顧客ID お名前電話番号メール会社名部門 Q1 Q2 00001 00002 00003 テーブルA 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB Y社（提供先）

Slide 42

Slide 42 text

実務では提供元基準が採⽤されている出所：「個⼈情報の保護に関する法律についてのガイドライン（通則編）（案）」に関する意⾒募集結果（ https://www.ppc.go.jp/files/pdf/2811_bessi2-1.pdf ）委託提供先（委託先）顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB 顧客ID お名前電話番号メール会社名部門 Q1 Q2 00001 00002 00003 テーブルA 顧客ID アクセス履歴利用履歴A 利用履歴B 00001 00002 00003 テーブルB ある情報を第三者に提供する場合、当該情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなる」かどうかは、当該情報の提供元である事業者において「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなる」かどうかで判断します。 42 提供元（委託元）

Slide 43

Slide 43 text

【まとめ】事業, 技術⾃ら法律を活⽤できる状態が理想 43 法務事業技術

Slide 44

Slide 44 text

44 1.結論 2.課題①（法務 → 事業, 技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 45

Slide 45 text

45 1.結論 2.課題①（法務 → 事業, 技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 46

Slide 46 text

要求事項を実装するには技術知識が不可⽋ 46 出所：https://www.ppc.go.jp/files/pdf/report_office_zirei2205.pdf https://www.ppc.go.jp/files/pdf/211029_guidelines04.pdf 技術的安全管理措置仮名加⼯情報匿名加⼯情報

Slide 47

Slide 47 text

⼀⽅で技術部⾨との会話に悩む法務は多い 47 （わからなきゃ質問してくるだろ）それってXXXをYYYすれば良いってことですか？ありがちな会話1 （単語の意味分からないけどプロが提案してるんだし良いだろ）はい、それで⼤丈夫です技術法務ありがちな会話2 （どうせ詳細話してもわからんだろ）わかりました、要件踏まえて対応しておきます。（ほっ）ありがとうございます技術法務

Slide 48

Slide 48 text

理解度に応じたコミュニケーションを 48 法務の理解度が低い場合法務の理解度が⾼い場合 XXXという要件を満たすためには YYYが必要だと考えられるのですが YYYってご存知です？技術 YYYで対応しておきます技術

Slide 49

Slide 49 text

勿論法務が最低限の知識を得ることも重要 49 出所： https://bookplus.nikkei.com/atcl/catalog/07/P83110/ https://www.shoeisha.co.jp/book/detail/9784798144450, ネットワークデータベース

Slide 50

Slide 50 text

【まとめ】実装まで⾒届けるためには両⽅の知識が必要 50 法務事業技術

Slide 51

Slide 51 text

51 1.結論 2.課題①（法務 → 事業, 技術） (1)個⼈情報の定義 (2)委託 (3)提供元基準 3.課題② (1)法律上の要求事項の実装（技術 → 法務） (2)レピュテーションリスク（事業 → 法務）

Slide 52

Slide 52 text

炎上は適法だが不適切な取組みでも起こる 52 ⼝頭説明のみ

Slide 53

Slide 53 text

アンチパターンとしてのダークパターン 53 出所：https://www.shoeisha.co.jp/book/detail/9784798177892 n “ダークパターンとは、ユーザーを騙して何かを購⼊させたり、登録させたりするなど、意図しないことを実⾏させる、Webサイトやアプリで使われているトリックのこと” n ダークパターンを使うことによって⽣じ得る損失やリスク Ø カスタマーサポートへの負担増 Ø 返品率の増加 Ø SNSでの悪評の拡散・ネガティブレビュー（レピュテーションリスク） Ø 客のライフタイムバリューの低下 Ø 新規顧客獲得コストの増加 Ø 従業員の離職率・⼈材の採⽤コストの増加 Ø 消費者トラブルへの発展（紛争・訴訟のリスク） Ø 法律違反・罰則リスク Ø 業界全体の信頼が損なわれる

Slide 54

Slide 54 text

議論の成熟につれ法的義務に変化することも 54 出所：https://edpb.europa.eu/system/files/2022-03/edpb_03-2022_guidelines_on_dark_patterns_in_social_media_platform_interfaces_en.pdf

Slide 55

Slide 55 text

実際これを単独部⾨で解決するのは無理では 55 出所：https://www.ppc.go.jp/files/pdf/211116_guidelines01.pdf

Slide 56

Slide 56 text

【まとめ】リスクは事業, 法務単独では拾えない 56 法務事業技術

Slide 57

Slide 57 text

【本⽇の結論】課題は事業・技術・法務の相互理解である 57 “プライバシーデータ活⽤における課題とは AutoPrivacy Assessmentアドバイザーの世古弁護⼠が徹底解説！” 事業・技術・法務の相互理解

Slide 58

Slide 58 text

ご清聴ありがとうございましたインハウスハブ東京法律事務所世古修平（せこしゅうへい） Website ：https://www.seko-law.info/ Twitter ：@seko_law Mail ：shuhei.seko@inhousehub.tokyo 58