“アカウンタビリティの欠如“が日本企業を炎上に導く--プライバシー保護はフレームワークを使って考える

EnterpriseZine / 2014年5月27日 0時0分

▲図表2:ISO/IEC 29100プライバシーフレームワークの11原則

 定型的な取り扱い義務の定められている個人情報と違って、プライバシーは、相手との関係や背景や状況などの“コンテキスト”によって、対応を考える必要がある。このとき、プライバシー保護の基本に立ち返って、原則やフレームワークを活 用してバランスよく取り組むことが有効である。今回は、最も基本となる原則「OECDプライバシー8原則」と、ビッグデータビジネスを考慮する上で重要な「ISO/IEC 29100:プライバシーフレームワーク」を中心に解説する。

■世界のデファクト「OECD8原則」とは?

 プライバシー保護の原則として、世界的な共通認識となっているのが、経済協力開発機構(OECD)が1980年に採択した「プライバシー保護と個人データの国際流通についてのガイドラインに関するOECD理事会勧告」(OECDプライバシーガイドライン)である*1。当時の欧米におけるプライバシー保護に関する法律を参照して、最大公約数を抽出し、ある程度の幅のある柔軟な内容となっている*2。

 このガイドラインの中で、通称「OECD8原則」と呼ばれるプライバシー保護の8つの基本原則(目的明確化の原則、利用制限の原則、収集制限の原則、データ内容の原則、安全保護の原則、公開の原則、個人参加の原則、責任の原則)が定められている。日本の個人情報保護法もOECD8原則を尊重して策定されており、事業者の義務規定との対応関係も整理されている(図表1)。

 従来型の個人情報保護で重視されているセキュリティは、「安全保護の原則」として含まれているが、8つある原則のうちの一つにすぎない。プライバシー保護は、セキュリティ保護よりも広い概念であることがわかる。

 また、「個人参加の原則」では、個人はデータ管理者が自己に関するデータを保有しているかどうか照会でき、さらに内容について照会し、内容に不服があれば消去、訂正させる等の権利を有するということを示している。自己情報コントロール権と関連する原則であるが、日本の個人情報保護法では、訂正や利用停止などは適用除外できる規定が盛り込まれている。

 OECD8原則は、インターネットやモバイルが未だ台頭するよりもずっと前の時代に策定されたのにもかかわらず、驚くほど現在でも通用する重要な考え方である。基本的な原則は、技術の進展があっても多く変わらないという証左であろう。事実、2013年にOECDプライバシーガイドラインが改正された際に、第三者機関や越境移転などの新たな勧告はあったものの、8原則そのものは変更されることはなかった*3。

小林 慎太郎[著]

EnterpriseZine

トピックスRSS

ランキング