フリークス、コロナ接触確認アプリ適法性を精査する――プライバシーフリーク・カフェ（PFC）リモート大作戦！03 #イベントレポート #完全版：これ、個人データですよね（4/5 ページ）

特定個人の識別性にこだわり過ぎでは

鈴木　やはり皆さん、個人情報の定義において、特定個人の識別情報、PII（Personally Identifiable Information）という概念が不可欠だと思っている。それが普遍的な考え方だと思い込み過ぎている。

　法的な規律の対象となる情報をどう画定すべきかは、法目的に依存します。対象情報は、法目的を実現するためのいわば道具ですからね。なにも特定個人の識別性（PII）を絶対視する必要はないのですよ。データによって人が選別されて、どんなことが過去に起きてきたか。今後データ社会になるにおいて、最低限何を規律しておかなければならないか。真の法目的に立ち返って「個人の人格尊重の問題にどれだけ影響があるか」を実質的に考えるべきですよね。

　特定個人の識別性の有無という形式的な判断にこだわることで、むしろ本人保護に資することがない結果を招いたりもしている。ここは、真の法目的との関係で、対象情報をもう少し意味のある道具に変えていく解釈論と、それから立法論を議論していかないとならない時期になっていると思います。

　米国もPII不要説やPII再構成説など10年以上前から議論していますし、欧米共に形式的判断基準から離れているように思います。業務モデルやそれを支える情報システムの仕様、運用実態から事業者の意図を客観的に把握できる。「データで人を選別しているかどうか」「不当な利用実態がそこにないか」をしっかり押さえるべきではないかと思います。

高木　徐々にそうなってきているとは思うんですけどね。ただ、今まで、というか平成27年改正のときに、新経済連盟（新経連）の三木谷浩史さん（代表理事、楽天 代表取締役会長兼社長）とかの影響もあって、氏名到達性的な解釈が出ちゃっていますからね。

鈴木　産業界も、「個人情報」の定義から、携帯電話番号を外せとか、端末IDを外せとか、部分的に場当たり的に要望していましたから、理論は当然崩れて説明できなくなりますし、欧米とも乖離（かいり）していきますよね。自分で自分の首を絞めているわけですよ。

板倉　コミュニケーションとしてね、「個人情報ではないから安心です」というと、個人情報になった瞬間に「嫌だ」となるのはまあ当然ですよね。広く個人情報に入るけれど、こういうふうに取り扱うからお願いしますという話から逃げ続けてきた結果ですよね。

山本　政府が個人情報を持つ／持たないという論点は、どうしてもビビッドに反応する人が出てしまいます。気になるのも分かるんですけどね。そこら辺の議論を精緻に組み上げていく障害になったんだと思います。

鈴木　「誰が責任もって個人情報を保有すべきか」について理論的に詰められない、分からない、とどうなるかというと、「本人同意を取ったからいいんだ」という別のところに逃げ込むわけですよね。

国が主体になったいきさつ

プライバシーフリークの会 山本一郎

山本　誰がコントローラーなのか、実施主体なのかという話に移ります。

　今回のコンタクトトレーシングアプリは民間の取り組みであるべきだという議論が最初からずっとありました。2020年2月から3月の上旬までの間だと思いますが、その後もかなりの検討が加えられてきました。

　議論の経過からすると、民間主体であっても、結局、入手できる情報や機能の制限がいろいろあるとか、前半で話した電池の問題とか、クリアしづらい問題が出る中で、「どう周知してインストールしてもらうのか」で限界が来たのが現実ではないでしょうか。

高木　今回は厚労省が実施主体になることが明らかにされています。その背景にはいきさつがありまして、2020年4月にEDPB（欧州データ保護会議）の声明が発表されて、何項目かの要件が示されて、その一つが「国の公衆衛生当局がコントローラーとなるように設計されるべき」というものだったわけです。コントローラーという概念は後で議論しますが、「日本もそうしないとダメでしょ？」と言われてはいたわけです。先日のセミナーでも平井卓也議員が「これは厚労省がやるべきもの」と発言されていました。

　その後、「AppleとGoogleのOSレベルの対応、APIで提供」と出た際に、AppleもGoogleも「1国1アプリ」という要件と、「国の公衆衛生当局が主体となるものに限る」としたので、もうそれに従わざるを得なくなった。

山本　そうですね、そうならざるを得なかったですね。

鈴木　だらしないですよね。AppleやGoogleに言われたからそうなっちゃうのは。

山本　もやもやしますよね。すっきりしない方向になります。