第三者への提供解禁？個人情報保護法改正案とは

個人情報の利用という面で新しい制度が

先日、個人情報保護法の改正案が衆議院本会議で審議入りしました。改正案は「個人が特定できないよう加工すれば、個人情報を本人の同意なしで第三者への提供を認める」ことを柱としています。

報道によれば、大量の電子情報「ビックデータ」を企業が有効に活用するため、個人を特定できないよう加工すれば、本人の同意なしに第三者提供を認めることとしています。匿名加工情報を認める一方、第三者機関を設置して個人情報の適切な管理を監督、検査を行う規定が盛り込まれました。この改正案が認められれば、個人情報の利用という面で新しい制度ができることになります。

ホームページ上のクリックでも本人の同意に含む

もともと、個人情報保護法は、原則として「個人情報取扱事業者は、事前に本人の同意を得なければ個人データを第三者に提供することはできない」と規定しています（個人情報保護法第23条）。本人の知らないところで個人データが第三者に提供されてしまえば、本人の予期しない利用による不測の不利益が生じる恐れがあるためです。

第三者へ提供するための「本人の同意」については、「本人が承諾した事実」を個人情報取扱事業者が認識することを意味します。ただし、必ずしも文書などの書面による必要はなく、ホームページ上のクリックでも本人の同意に含みます。

なお、個人情報保護法23条第1項各号では、法令に基づく場合、人の生命、身体又は財産の保護に必要な場合、公衆衛生・児童の健全育成に特に必要な場合等、例外的に本人の同意なく第三者提供が許される場合も規定されています。

現行法では第三者提供をする場合、本人の同意を得ることが必須

第三者提供にあたるかどうかの判断は、同一事業者内で他部門へ個人データを提供する場合は第三者提供にあたりませんが、目的外利用にあたる場合、これに関する本人の同意を得る必要があります（個人情報保護法第16条）。

つまり、グループ企業やフランチャイズ組織間などでの個人情報の提供は第三者提供にあたるとされ、本人の同意を得る必要があるとされていました。このように、現行法では一定の例外を除き、個人情報について第三者提供をする場合、本人の同意を得ることを前提としています。

運用面を見越した十分な議論が必要

今回の改正案が現実のものとなれば、匿名加工された情報の利用を認められた場合、加工が不十分で個人が特定される危険が生じ、監視体制を強化する必要性や加工方法の検討などの問題が予想されます。また、匿名加工情報と個人情報の保有の区別管理の方法などの徹底も無視できないものとなります。

立法化にあたっては、このような懸念事項について担保できる制度にするよう、運用面を見越した十分な議論が必要と考えられます。

（大西 隆司／弁護士）