企業法務2014年04月11日 ビッグデータ利活用におけるリスクマネジメント 執筆者：丸橋透

■バズワード（Buzzword）

　「クラウドコンピューティング」その他高度な情報システムから「マイニング」や加工されて生成される「ビッグデータ」の利活用をめぐって法制度の見直しが佳境に入っている。「個人データ」を拡張する「パーソナルデータ」、「オプトアウト」の手法や理念に関する「忘れてもらう権利」「追跡の拒否（DoNotTrack）」、ビッグデータの利用者側のリスクマネジメント手段としての「プライバシー・バイ・デザイン（”PbD”）」や「プライバシー影響評価（Privacy Impact Assessment; “PIA”）」「k-匿名化」なども専門家や行政機関の流行り言葉といってもよい。ICT関連企業ならまだしも、他業種がこれらの用語や概念にどれほどキャッチアップせねばならないのだろうか。
　到底ビッグとは言えないデータであっても、自前で分析せず他企業に提供したり、日本国外に持ち出そうとしたりした瞬間、これらバズワードに絡む法制度と消費者からの厳しい視線に向き合わねばならないのが現実である。

■Suica事件

2014年3月20日、JR東日本が2013年7月分のSuicaの利用情報を加工したデータを日立製作所に売却した事件について有識者会議の中間報告を公表した。「利用者に、自己のプライバシーが侵害されているのではないかという不安を与えた」ことに「利用者への配慮が欠け」「反省が必要」とし、「JR東日本が、現行法において合理的と考えられる範囲で法の解釈運用に努めていたことは認められる」が、「個人情報の定義における個人の識別性の論点については、専門家の間でも解釈に幅があり、また、現在、法改正が検討されていること等の状況」にあり、プライバシー保護技術も「今後、技術の進展に伴い、特定の個人が識別され新たな問題が生じる可能性も考えられる」ので、「法改正や技術の進展等の社会の動向を注視しながら、利用者が安心・納得できるようなデータ提供のあり方を、多角的な観点から検討すべき」とした。

※「Suicaに関するデータの社外への提供について　中間とりまとめ」
Suicaに関するデータの社外への提供についての有識者会議（2014年2月）
http://www.jreast.co.jp/chukantorimatome/20140320.pdf

■パーソナルデータの利活用に関する制度見直し

　IT総合戦略本部では、まるでSuica事件と呼応するかのように「パーソナルデータに関する検討会」を設置し、パーソナルデータの利活用に関する制度見直し方針（同本部2013年12月20日）を決定した。ビッグデータとしてのパーソナルデータの収集・分析を可能とする法制としては、
　「個人情報及びプライバシーの保護に配慮したパーソナルデータの利用・流通を促進するため、個人データを加工して個人が特定される可能性を低減したデータに関し、個人情報及びプライバシーの保護への影響並びに本人同意原則に留意しつつ、第三者提供における本人の同意を要しない類型、当該類型に属するデータを取り扱う事業者（提供者及び受領者）が負うべき義務等について」の法的措置、PIAの実施・公表等々が明記され、2014年6月に大綱決定、2015年通常国会に個人情報保護法改正を含めた法案が提出される予定である。

■グレーゾーンのリスクマネジメント

　Suica事件の有識者会議が示したとおり、法律上グレーゾーンの行為について消費者や社会の非難を受けず実行するためには、法、技術その他社会の動向を注視しながら多角的な観点からの検討が必要である。ビッグデータやパーソナルデータに関するプロジェクトや商品・サービスについては、技術や法的側面でのリスク回避手段を検討するだけではなく、PbD、PIA等に真剣に取り組んだ上で、広報やCSRも踏まえた総合戦略に知恵を絞るべき時代になったのである。もちろん「パーソナルデータの利活用に関する制度見直し」の結果、よりコストをかけずにリスクマネジメントができる法制度となるのが望ましいが、どんな制度になったとしても、事前の検討が足りずに事件を起こしてから有識者を招集して世間に釈明するような事態は避けたいものである。法務部員や顧問弁護士が「有識者」レベルになければ、足りない専門性を補う手段を確保しなければならない。

　※PbD、PIAを含む、最新のプライバシー保護の潮流については、パーソナルデータに関する検討会委員である新保史生教授の論考「プライバシーと個人情報保護」（岡村久道編著「インターネットの法律問題－理論と実務－」（新日本法規出版 (2013)）所収）が参考になる。

（２０１４年３月執筆）