【本】『個人情報管理ハンドブック〔第３版〕』― 情報法に悩まされ続ける企業法務担当者にとっての精神安定剤

１か月以上前にTMI総合法律事務所のY先生からご恵贈いただいた、にもかかわらず、書評をアップし忘れておりまして大変失礼致しました…。正直な所、先ほど伊藤先生がブログにアップされた書評を見て、アッと思い出した次第です。

私自身は恥ずかしながら本書第１版・２版のユーザーではありませんでしたが、個人情報保護法以外の関連法（マイナ法・民法・プロ責法・不競法・刑法・不ア禁法・著作権法・会社法・金商法・サイセキュ法）を広くカバーし、かつ企業が知りたい実務的な各論も漏らさずに網羅した、こんなにも使いやすい概説書があったんだな、と驚きました。

個人情報管理ハンドブック〔第3版〕 [単行本]

商事法務

2016-08-10

TMI総合法律事務所さんについて、私は、頭ごなしに専門知識を振りかざす前に企業の困りごとにきちんと耳を傾けてくださる先生が多いという印象を持っています。本書の内容も、そういったTMIの先生方から受ける普段の印象通り、企業法務担当者に寄り添った読んでいて安心できるものになっています。

たとえば、その一例が、「自己情報コントロール権」についての記載についてです。本書のような情報法の概説書を評価する際、私は「自己情報コントロール権」に関する記載ぶりをチェックするようにしています。というのも、アメリカでの自己情報コントロール権説の隆盛や、日本の一部の下級審判例で示された自己情報コントロール権を認める見解などを必要以上に大きく取り上げて、企業の不安を煽る書籍も少なくないからです。この点、本書の記載はまさに100点満点と言うべき内容でした。

プライバシー権を「自己情報コントロール権」、すなわち自己に関する情報をコントロールすることができる権利と積極的に定義づける見解がある。これは、コンピュータの発達に伴い、大量の個人情報が公的機関、民間事業者問わず大量にデータ化され、その保護が重要になったことに伴い、支持されてきた見解である（たとえば佐藤幸治『憲法〔第3版〕』（青林書院、1995年）等）。この見解に基づいた場合、プライバシー権は自己の情報の開示・訂正・抹消請求権を含むものと解されている（なお、法的権利性については、第7章430頁以下参照）。
下級審判決の中には、マンション購入者名簿事件（東京地判平成2・8・29判時1382号92頁）やニフティ掲示板事件（神戸地判平成11・6・23判時1700号99頁）等自己情報コントロール権の考え方に影響を受けた判決例が現れ始めているが、これらの下級審判決においても結局は私事性、非公知性等「宴のあと」事件判決以降採用されてきた3要件に基づいた判断がなされており、その意味で正面からプライバシー権を「自己情報コントロール権」であるとまで認めているものではない。（P65）

民法学説上は、ほとんどの学説において、少なくともプライバシーの権利が民法上保護され得る１つの権利ないし利益であることが承認されているが、なお従来のプライバシーの権利概念を前提としており、これを自己情報コントロール権として理解するにはなお消極的のようである。民事法の見地からは、プライバシーの権利を自己情報コントロール権と定義づけることは相当でなく、自己に関する記録を閲覧する権利、本来収集されるべきでない情報や誤った情報の訂正・削除請求権は、原則的に肯定する方向で検討する価値があるが、これをプライバシーの権利に包括することはきわめて困難であるとする見解がある。（P432）

最高裁も、最判平成20・3・6民集62巻3号665頁は、プライバシー権に自己除法コントロール権が含まれていることを認めた大阪高判平成18・11・30判時1962号11頁を破棄し、「憲法13条は、国民の私生活上の事由が公権力の行使に対しても保護されるべきことを規定しているものであり、個人の私生活上の事由のひとつとして、何人も、個人に関する情報をみだりに第三者に開示又は向上されない自由を有するものと解される」と判示して、自己情報コントロール権が憲法上保障された人権と認められるか否かについては正面から判断しなかった。（P433）

また、情報法に関する企業法務パーソンの最近の悩みどころナンバーワンと言えば、日本の改正法だけでなく、多数国に渡る個人情報保護法制についてもキャッチアップが求められているという点でしょう。これについても、第10章の40頁ほどを割いて、
・欧州
・米国
・韓国
・シンガポール
・香港
・台湾
・中国
・インド
といった主要国の情報法制のポイントを概説してくださっています。

米国のCOPPAについては対応が悩ましい部分ではあるので、もう少し企業としてなすべきことはどこまでかといったレベルまで踏み込んで書いてくださっても良かったかな、と思うところもありましたが、これだけの国についてまずは確認すべき法令の存在を知らせてくれるだけでもありがたいというべきでしょう。


各章のトビラ部分には、経営者から企業法務担当者が聞かれがちな「つまりどういうこと？」「結局何を知っておけばいいの？」が端的にまとめられていて、こんなさりげないところにも本書執筆陣の配慮・サービス精神を感じました。

ということで、久しぶりに法律書マンダラ2016を更新しておすすめしたい本に出会うことができました。このようなすばらしい書籍をご恵贈いただいたにもかからずご紹介が遅れたこと、Y先生には重ねてお詫び申し上げます。
　

【本】パブリック ― ソーシャル・ネットワークのプライバシーを「自己責任」で片付けちゃだめだ

　
今、巷にあふれるインターネットとプライバシーに関する論争を友達同士の会話調に翻訳しなおすと、およそこんなパターンになっていると思います。

A：「Facebookとかtwitterって、気を付けないとプライバシーが脅かされる感じがして怖いよね」
B：「ならやめたらいいじゃん、別にやる義務があるわけじゃないんだし」
A：「だって、イマドキ学生やるにも就職するにもソーシャルネットワークぐらいやってないとさ・・・」
B：「なら、サーチされたりバラ撒かれる覚悟で、自己責任でアップするしかないんじゃない？」

ここ日本では、つい最近まで「プライバシー権とは自己情報をどこまでもコントロールできる権利である」「自分が第三者に開示した情報であっても、望まない相手には伝達されない／知られない権利がある」などというトンデモな風潮が（そしてそれを自己情報コントロール権と名付けて大まじめに唱える学説すら）あったわけですが、さすがにこれだけソーシャル・ネットワークが普及するような世の中になって、そういった論調も聞かれなくなりました（正確に言うと、そういう憲法系学者さんの教科書はまだ沢山存在します）。それに代わって急に台頭してきた感があるのが、上の会話のBさんの発言に見られるような「プライバシーはそもそも開示した自分の責任」説です。2009年にまさに同じようなことをエリック・シュミットが言っていたのも、記憶に新しいところです。

今日ご紹介する本書『パブリック』の著者ジェフ・ジャービスは、"情報主体がプライバシーをどこまでもコントロールできる”という考え方が過去の遺物となった一方で、代わりに台頭しつつある“すべては自己責任”的な考え方は、情報をシェアすることの価値を阻害してしまうという危機感を感じ、そこに一石を投じようと筆を取ったことがわかります。


パブリック―開かれたネットの価値を最大化せよ
著者：ジェフ・ジャービス
販売元：NHK出版
(2011-11-23)
販売元：Amazon.co.jp



そのことがよく伝わってくる一節が以下。

こうしたプライバシーの問題は、これまでも、そしてこれからも、人々がお互いにどう接するかという所に戻ってくる。僕らはそれを法律やルールやエチケットやテクノロジーに落とし込もうとする。でも、結局「プライバシー」という言葉にひとつの意味をあてはめるのは不可能ではないかと思うのだ。そのかわり僕は、プライバシーは「倫理」だと信じるようになった。僕はそこに僕なりの定義を見出した。

あなたが何かを打ち明けると、その相手がたとえ一人だったとしても、その情報はその範囲でパブリックなものになる。それがもっとパブリックになるかどうかは、あなたが打ち明けた人次第だ。スティーブが友人のボブに離婚することを打ち明ければ、その知識をどう使うか決めなければいけないのはボブになる。ボブがそれを他人に言ってもいいとスティーブが思っているかどうかを、ボブは確かめる必要がある。ボブは、なぜ自分がそれを他人に伝えるのか―うわさ話でスティーブを傷つけるためか、それともスティーブへの支援を集め、彼を助けるためか―と自分自身に問わなければならない。
反対に、パブリックにすることは、自分の情報を管理する倫理だ。もしサリーが乳癌にかかっているとしたら、彼女はその情報をシェアすることがみんなの役に立つかどうかを判断する必要がある。もしそれをシェアすれば、友人のジェーンが検査を受ける気になるだろうか？サリーの職場や地域で乳癌が急増しているようなら、彼女の新しいデータが問題の原因を突き止める助けにならないだろうか？サリーはシェアする必要はない。だがシェアしないことで、他者が影響をうけるかもしれない。その責任は彼女にある。
だから、プライバシーは誰かの情報を受け取る人の選択をつかさどる倫理だ。パブリックは情報を発信する自分自身の選択をつかさどる倫理と言える。もっと単純に言おう。
プライバシーは「知る」倫理だ。パブリックとは「シェアする」倫理だ。

ジェフ・ジャービス自身が、自己の情報を積極的に開示してメリットを受けてきた経験の持ち主であることから、「もっと積極的に、情報を出す側／受け取る側の双方が責任を果たそうという気概をもって、恐れずに情報をシェアしようぜ」と熱っぽく語るこの本。その姿勢に賛同する一方で、“倫理”というありきたりな言葉で片付けるにはいかにも勿体無い気がしてならないのは、私だけでしょうか。

本書の中で度々引用されるいくつかのプライバシーに関する専門書（ヘレン・ニッセンバウムの『PRIVACY IN CONTEXT（本ブログでは未紹介）』やダニエル・J・ソロブの『Understanding Privacy』など）の理解も、同書に影響を受けて止まない私の目には「著者はどこまで読み込んでこれを書いているのだろうか？」と首を傾げざるを得ない記述も多く見受けられましたし、レッシグの『CODE』を読んだことがある人にとっては「どこまでプライバシー侵害の危険に対してお気楽なんだこの著者は・・・」とびっくりされるぐらいの楽天的な論説が展開されています。彼自身はベンチャージャーナリズムが専門で法学が専門ではないということなので無理もありませんが、硬派なプライバシー法学論を期待すると拍子抜けするかも。

と、生意気にもやや辛口な批評を述べてしまいましたが、ニッセンバウムやソロブといったまだ一冊も邦訳されていないプライバシー研究者の著作を引き合いに出した点は、まだ彼らに馴染みのない日本のプライバシー研究者に少なからず影響を与えるでしょうし、一方通行にプライバシーを脅かすだけの「マス（メディア）」と双方向に意見や異議を述べる機会がある「パブリック」の違いに着目した上で、

僕はプライバシーをパブリックと競わせるつもりはない、なぜなら、何度も言うが、それらは相反するものではないからだ。プライバシーとパブリックは相互に作用するものだ。プライバシーを「パブリックでないこと」とは定義できないのだ

とするアプローチは、私の次なるプライバシー研究の着想としても大変参考になりました。総論で申し上げると、ネット上のプライバシーに興味・関心があるなら読んでおけ、ということになるでしょう（そうじゃなきゃこうしてブログで紹介なんかしませんし笑）。

ソーシャル・ネットワークブームも一段落した感のある今、一度本書を通じてご自分のネット上でのプライバシーのあり方について整理してみてはいかがでしょうか。
　

【本】プライバシー・個人情報保護の新課題 ― 個人情報保護法に振り回されない事業者でありたいのです

　
ハードカバー＋P340ほどあるボリュームで手を出すのを控えていたこの本を、一作日〜昨日にかけての小旅行の行き帰りのこの電車の中で読了。のどかな風景の中を走るローカル線に揺られながらの読書は、出張での飛行機・新幹線での読書とはまた違う、贅沢な時間でした。



タイトル通り、技術の進化と情報流通のグローバル化によって問題となりはじめた日本のプライバシー・個人情報法制に関わる新しい課題を９つ、論文集形式でまとめたもの。

『プライバシー・個人情報保護の新課題』


中でも見どころは、新潟大学大学院の鈴木正朝先生による第2章。「日本の個人情報保護法は、プライバシーを保護するための法律でも、自己情報をコントロールする権利を認めた法律でもない」という点を、法第25条1項に定められた「開示等の求め」の法的性質に注目して検討しています。

Twitter上でも時に舌鋒鋭い発言を連発される鈴木先生ですが、それに輪をかけて鬼気迫るものすら感じるこの論考。それもそのはず、情報ネットワーク法分野の実務家（弁護士）として著名な鶴巻先生が鈴木先生に依頼され、実際の事件の弁護に用いた意見書がベースとなっているとのこと。

個人情報を取り扱う事業に携わると、保護法の勝手な解釈を振りかざすクレームめいた悪質な要求に悩まされることも多いと思います。私がかねてより「個人情報保護法は自己情報コントロール権を認めたものではない」旨をこのブログで何度か発信しているのも、そういった過剰な権利意識を生む風潮を是正したいという思いから意識的に行っているわけですが、こうして書物に纏めていただけるのは、事業者の立場としても心強い限りです。
　

まだプライバシー権が「自己情報の流通を統制して社会の脅威から身を守る権利」だと思ってるの？

　

プライバシーには、古典的プライバシー権と積極的プライバシー権とがある。古典的プライバシー権とは、個人の私生活に関する事柄（私事）やそれが他から隠されており干渉されない状態を要求する権利をいう。また、現代の積極的プライバシー権とは、自己の情報を統制することができる権利をいう。

Wikipediaの「プライバシー」の項にもそんなことが書かれているように、プライバシー権＝自己情報コントロール権という考え方が定説化しつつあるこの頃。

でもこれからは、そんなことを言っているときっと時代遅れになるよということを、今日は少し力説してみたいと思います。


データ・ダブル＝情報化した分身は一人歩きする

私が、プライバシー権はもはや自己情報コントロール権ではなくなったのではないか、というエントリをシリーズで3連投したのが、2008年の10月。
▼【本】プライバシー権・肖像権の法律実務?プライバシー権とは“自己情報コントロール権”なのか？（１）
▼【本】情報化時代のプライバシー研究?プライバシー権とは“自己情報コントロール権”なのか？（２）
▼【本】個人データ保護?プライバシー権とは“自己情報コントロール権”なのか？（３）

その思いを確信に変えてくれたのが、今年の1月に刊行されたこの『ポスト・プライバシー 』という本です。

もともと個人のアイデンティティとは、それをもつ個人自身のものとされてきた。ところが電子リストは、個人の外部に、別のアイデンティティをつくりだす。いわば個人にとって分身のようなものである。データが生み出す分身（ダブル）であることから、しばしばこれは、データ・ダブルと呼ばれる。

そもそも個人のアイデンティティは、他人と直接かかわり、相互行為する中で形成されるものだった。そして個人は、それに関して完全とはいわないまでも、ある程度は把握出来ていた。個々人は自らのアイデンティティがつくられる現場の多くに立ち会っていたからだ。しかしデータ・ダブルは、当の個人の意識の直接性の外側でつくられていくのである。

自分のカラダが居ない所で「データ・ダブル」が自分の分身として働き、「データ・ダブル」だけを見た人が、勝手に「あの人はこんな人だ」という個人イメージを形成していく。
そこにおいては、自己情報をコントロールする権利など、及ぶべくもない・・・。

この「社会の中で一人歩きする個人イメージ（データ・ダブル）は、自分が情報（データ）を他人に差し出した以上、もはやコントロールできるものではない」という感覚は、人材サービスに携わっている私は、まさに肌で感じているところです。

求職者というひとりの人間が、キャリアコンサルタントという「個人の意識の直接性の外側」にいる存在によって「データ・ダブル」という分身に仕立てられ、キャリアコンサルタントの質・相性・面談で求職者から何が語られるかによって、求職者の分身たる「データ・ダブル」も変化し、その結果、求人企業に推薦した後の採用可否が左右されるという現実を、目の当たりにしているのですから。


ネットに情報を差し出すことは権利の放棄に等しい

さらに、最近のクラウド・コンピューティングにおけるプライバシーに関して、先日、情報ネットワーク法学会研究大会に参加されていた町村弁護士が、twitter上でこんな発言をされていました。

matimura: 夏井先生のクラウドコンピューティング論は、要するに、クラウド運営者側のルート権限とユーザのルート権限との抵触、というかユーザがコントロール権限を握ることは原理的にできないという点。

そこに私がこんな質問を被せたところ、

takujihashizume: 個人情報自己コントロール権説はもはや幻想ってことで宜しいでしょうか。

町村先生の答えがこちら。

matimura: 管理している情報を差し出すのだから、権利をいえた立場ではないですね

専門家の間でも、ネット社会で個人情報自己コントロール権を主張することが古い考え方になりつつあることをはっきりと目撃した、印象的な瞬間でした。


分身を自ら生産し、プロモートする継続的な努力を

プライバシーというものが、自分自身ではコントロールできないものになりつつあるというならば、いったい我々は増大する社会の脅威の中でどのように生きるべきなのか。

私は、つい先日のエントリを、こんなもったいぶった言い方で結んでいましたが、
▼プライバシーの絶対領域なんて幻想だとわかったら、なんだか逆に気が楽になってきた

この“アイデンティティ形成の場の変化にあわせてプライバシーの場も変化させていく”ということが、これからの新しいプライバシーの考え方であるという点については、またの機会に。

この問いに対する私なりの答えはこうです。：

社会の脅威であると同時に、新しいアイデンティティ形成の場でもあるネット・ＳＮＳという場において、他人にデータ・ダブルを勝手に作らせるのではなく、自分自身から積極的に・先んじてデータ・ダブルを「生産」し「上書き」し続けていくのが、新しいプライバシーのあり方なのではないか。

少なくとも私自身は、そんなことを考えながら、このblogやtwitterと向き合っています。
　

プライバシーの絶対領域なんて幻想だとわかったら、なんだか逆に気が楽になってきた

　
BtoCな事業に携わると、プライバシーの問題に否が応でもかかわることになり、ここ数ヶ月はプライバシー関連の研究ばかりしている私。

個人情報保護法と自己情報コントロール権への違和感については一区切りつけられたと思う一方、みんなが騒ぐプライバシーってじゃあ結局なんなのか、人間は何から何を本能的に守ろうとしているのか、守ることが果たしてできるのかについては、自分の中で言語化できていなかったのですが、

このテーマで何冊か本を読んだ中で、この本との出会いが、私の頭の中のプライバシー像をすっきりさせるきっかけとなりました。

『「プライバシー」の哲学』



・「プライバシー」という言葉の成り立ち
　（特に「プライベート」との違い）
・プライバシー権の法理
・プライバシーをめぐる政治・宗教的対立
を紐解きながら、プライバシーがインフレ―ションを起こし、敏感になりすぎているのでは？ということを主張する著者。

メディアといえばせいぜい新聞しかなかった時代にプライバシーという概念は生まれ、

ラジオやテレビといった電波により情報が１：nに広がるメディアが生まれたことでプライバシーのあり方が変容し、

インターネットによりプライバシー情報が劣化しないデジタルデータとしてn：nに無差別交換される状態にまで急激に「進歩」してしまった今。

確かに著者が主張するように、私たちは、メディアの進歩とプライバシーとのバランスの取り方に戸惑うばかりで、まだうまく付き合うことができているとは言えない状態。

なぜ戸惑うのか。
それは、私たちがプライバシーというものは守りきれるものなんだという幻想を抱いているから。

人間が自己意識を持つ存在であり、「他者」たちとの間で緊張感を保ちながら生きている以上、緊張度を可能な限り低く設定した「プライバシー空間」はあらゆる個人にとって何らかの形で必要だろう。ただし、それはあくまでも、緊張感が支配する「パブリックな空間」とのメリハリをつけるという意味での必要性であって、あらゆる面で外部との情報を遮断した完全な「プライバシー」というのはあり得ないし、そいう理想化されたものを求めるべきでもないだろう。

さまざまな影響を与え合っている以上、そこには何らかの利害関係があるはずであり、「何をやろうと他人に感知させない権利」という意味での絶対的な「プライバシー権」は、社会を構成する「人間」である限り何人も主張し得ない。

「私」が「プライバシー権」を主張すれば、「私」以外の誰かの行動の自由、特に「表現の自由」や「知る権利」などに制約を掛けることになる。逆に、公的領域における「指定されたプライバシー」を勝手に“放棄”すれば、他人が見たくないものを見せて不快にさせることもある。

結局のところ「プライバシー」というのは、社会の中で密接な繋がりをもちながら生きている人間たちが、お互いに干渉しすぎて疲れないですむようにするゆとりを持つために生み出した技法であって、それ自体に絶対的な価値がある訳ではないという当たり前のことを各人が再認識すべき、というあまり面白くない話にしかならないようである。

こういった地に足についた議論を読むと、一見捉えどころのないプライバシー権もああなんだそんなことかと理解できますし、事業者の立場としては困らされてばかりの個人情報保護法も恐るに足りず、という気分になれるから不思議です。

では、絶対的なプライバシーなどあり得ないとして、公とプライバシーのバランスの取り方について、私たちはどう考え、どう振る舞っていけばいいのか。

著者はそれに直接的に答えてはいないものの、そのことを分かった上でこんなヒントを与えてくれています。

社会の情報化に伴って、「プライバシー」感覚の重心が伝統的な意味での「家」から、情報ネットワークの中でのセキュリティ装置のようなものへと相対的にシフトしていることは間違いない。しかしそのことが、個人ベースでの「プライバシー」保護のニーズが急激に高まっていること、あるいはその逆に、各人が自ら進んで「プライバシー」を放棄して、「ビッグブラザー」の支配下に入りつつあるということのいずれかを単純に意味するわけではない。「私」のアイデンティティ形成の場が変化しているのと連動して「プライバシー」の場も変化しているのである。

この“アイデンティティ形成の場の変化にあわせてプライバシーの場も変化させていく”ということが、これからの新しいプライバシーの考え方であるという点については、またの機会に。

やっぱり日本の個人情報保護法は「自己情報コントロール権」を認めていないんですね

　

日本においては「情報主体が自己情報の全てをコントロールできる」という原則が前面に出すぎ、発信者のワガママな要求に情報受信者や個人情報取扱事業者が必要以上に振り回され、苦しめられているシーンがあまりに多い

半年ほど前にこんなことをボヤいていた私ですが、個人の権利意識が高まる中、各個人情報取扱事業者さんもこういったボヤきの回数は増える一方なのではないでしょうか。

そんな中、今月のNBL912号の特集に、個人情報保護の分野の第一人者であり、自己情報コントロール権の急先鋒である堀部政男先生・佐藤幸治先生らの講演録と質疑応答が掲載されていて、そこに注目すべき発言が。




義務の裏返しは権利、ではない

個人情報保護法第24条２項から30条に開示等の定めに関する規定がありますが、これらは、本人の個人情報取扱事業者に対する裁判上の請求権を定めたものと解することが出来るのでしょうか？

各国の立法例では、むしろ権利として民間にもアクセス権を認めています。そういう背景から、そうしてもいいのではないかという話になったのですが個人情報の保護に関する法律では第４章で個人情報取り扱い事業者の義務等と義務で規定したところもあり、また権利とすると裁判でいろいろ争われたりすることもあるのではないかということで結局義務にしたわけです。それが実際に裁判で争われた事例があって、裁判所は権利として認めていないから、これは認めないということになりました。

つまり、、個人情報保護法とは、個人情報取扱事業者の義務を定め、それに違反した事業者を罰する法律ではあるが、義務を守らない者に対して直接権利を主張するための根拠法とはならないということです。

回答にある「実際に裁判で争われた事例」とは、東京地裁平成19年6月27日判決のこと。これは、自己の診療記録の開示拒んだ医療法人に対しカルテの開示を求めた事件で、「法25条１項は，その標題が「開示」とされ，個人情報の開示を専ら個人情報取扱事業者の義務として規定し，本人が開示請求権を有することを規定していないことからすると，同項は，文言上も，行政機関（主務大臣）に対する義務として個人情報取扱事業者の開示義務を規定しているものであって，本人が開示請求権を有する旨を規定しているものではない」と裁判所が判示しています。
（ちなみにこの事件の代理人は、ブログでも有名なあの鶴巻暁弁護士です。）

ということで、裁判例はあったとはいえ不安視していたこの問題も、この分野の第一人者であるお二人の発言によって日本においては自己情報コントロール権は裁判上の権利としては認められていないことが確認されたということで。


対公権力と対民間事業者に分けて権利義務を整理した立法を

堀部先生も佐藤先生も自己情報コントロール権を提唱していらっしゃる立場であり、日本の人権意識の低さを嘆きながらのこのご発言だったわけで、私も個人情報保護法が人権上問題を残す立法であったことは理解しているつもりです。

しかしながら、公権力に対しては人権上の観点からコントロール権を認めることはありとしても、これを民間事業者に対する権利や義務として立法してしまおうとしたのは、いささか行き過ぎだったのだと思います（その結果義務だけが中途半端に設定されたわけですが）。

民間事業者に対しての義務の設定の仕方としては、前にも述べた利用対価請求権化と悪質な違法行為の厳罰化にとどめる位が丁度いいのではないでしょうか。


『個人情報保護法の理念と現代的課題―プライバシー権の歴史と国際的視点』

Facebookの利用規約変更騒ぎ―情報サービス利用者と個人情報取扱事業者の情報コントロール権について改めて考えてみた

　
Facebookが利用規約を変更したことが、ちょっとした騒ぎを呼んでいます。
▼Facebook reverts to old terms, promises to craft new TOS with user input（The Industry Standard）

日本でも以前、mixiで同じような利用規約変更騒ぎがありましたね。
▼mixi利用規約第18条問題と、附合契約の変更同意みなし規定の合理性（企業法務マンサバイバル）

今回の騒ぎについて、日本のマスメディアもネットメディアも「日本のSNSが犯した過ちをアメリカのSNSが繰り返し、同じように謝ってるよｗｗｗ」といった軽い感じの論調になっているわけなんですが･･･Facebookの対応は批判に屈し謝罪しておしまいというような、そんな低レベルな対応にはなってないないようで。


発信者の情報コントロール権の限界

▼On Facebook, People Own and Control Their Information （The Facebook Blog）

When a person shares something like a message with a friend, two copies of that information are created―one in the person's sent messages box and the other in their friend's inbox. Even if the person deactivates their account, their friend still has a copy of that message. We think this is the right way for Facebook to work, and it is consistent with how other services like email work. One of the reasons we updated our terms was to make this more clear.

In reality, we wouldn't share your information in a way you wouldn't want. The trust you place in us as a safe place to share information is the most important part of what makes Facebook work.

発信者が何か情報を発信すれば、受信者に到達した時点で受信者の占有下にもコピーが作られ、受信者の情報となる。発信者が退会しようとも、受信者はその情報を持ち続けたままだ。そして、その状態を維持することはFacebookとしては当然にやるべき仕事と考える。そのことを明確にしたのが今回の利用規約改訂の意図の一つだ。
あなたの情報をあなたの意に反して利用しようとするものではない。情報交換が安全にできる場であるという信頼の維持こそが、Facebookが成すべき仕事として最も重要なことなのだから。

発信者が情報交換の場を利用して情報を発信すれば、受信者となる者が必ず発生する。そして、受信された情報のコントロール権は、受信者にも、そして情報交換の場を構築し提供している事業者にも当然に発生する。

Facebookは規約変更については見直しに入ったものの、ここで述べている視点は、情報の共有をビジネスにする最先端の企業ならではの、情報コントロール権の本質をついた問題提起だと思います。


個人情報取扱事業者にも情報コントロール権はある

私が携わる人材ビジネスも、個人情報をたくさん取り扱っています。求人者と求職者の情報を預かり、マッチングし、スムースな交換を促しているという点においては、Facebook同様、情報コミュニティを構築しているとも言えるかもしれません。

一方で、こういった情報サービスを利用する顧客は、自己情報のコントロールに非常にナーバスです。サービスが終わった瞬間に、「私のデータを一つ残らず全て消去しろ」と要求される方も少なくありません。

もちろん、可能な限りご要望にはお答えすべきでしょうし、不要な情報は事業者の安全のためにも削除すべきでしょう。
とはいえ、個人情報取扱事業者が、そのサービスを運営していく上で、Facebookと同様に事業運営上の都合で消去に応じられない情報も存在します。

例えば人材サービスにおいては、求職者からお預かりしたキャリアに関する個人情報を受信者である求人企業にお渡しするわけですが、その求人企業にお渡しした個人情報は人材サービス事業者の力では削除はできません。また、その求職者が無事入社に至れば、サービス提供の履歴として、もしくは売上計上の会計記録として、削除は不可能になります。それでも、それを理解せず削除を頑なに要求する利用者が存在します。

日本においては「情報主体が自己情報の全てをコントロールできる」という原則が前面に出すぎ、発信者のワガママな要求に情報受信者や個人情報取扱事業者が必要以上に振り回され、苦しめられているシーンがあまりに多いのではないか。そんなことを改めて考えさせられました。

過去、同じような問題が発生した際に「著作物は俺たちにも自由に使わせてよ」というミエミエの下心を慌てて「海外サーバーへのコピーが自由にできるようにしただけで、ユーザーの権利を奪うものではないです。スミマセン･･･」と苦しい釈明・謝罪に終始したミクシィ。
Facebookの今回の対応とは、同様のサービスを提供する事業者でありながら、だいぶ“思考の深み”が違うようにも見えました。

【本】個人データ保護―プライバシー権とは“自己情報コントロール権”なのか？（３）

　
技術革新が進めばプライバシー権が強化され、プライバシー権が強化されればそれを破る技術革新が進んで･･･

この“矛と楯の衝突と強化”が過去どのように繰り広げられて来、そしてこれからどのように繰り返されていくのか。

技術者出身で法律を研究するという稀有な立場である著者の視点から、今を説き、未来を予測する本。



日本におけるプライバシー法理論はいまだ未成熟

個人情報をビジネスで扱っているビジネスパーソンなら、この本の中に自分のビジネスに関係するテーマが絶対にあるはず。

あとがきを読むと、その点についての著者の自信のほどが伺えます。

私は、すくなくとも目次については類書なし、と言い切れる本を書きたかった。なぜ、こんな目次になったのか。それはプライバシー保護について、元技術者である私が、あるいは元企業人である私が、おもしろいと思った事例を列挙したからである。この点、まず、読み物としても楽しんでいただけるはずである。つまり、この本は逐条解説でもなければ、マニュアルでもない。

ということで、目次を見ていただくのがこの本の魅力を推し量っていただく一番確実な手段です。
是非以下リンク先出版社ＨＰで確認していただければと思います。
▼個人データ保護―みすず書房

１点だけ、法務的観点から、目次では伝わらないこの本の特徴を一つ補足させていただくと、この本で取り上げられているネタは、アメリカでの技術進展と法理論との衝突（特に合衆国憲法修正４条の解釈論）を中心としていること。

日本法の解釈論を期待している方にはご満足いただけないかもしれません。
しかし、なぜこの本がそうなったかといえば、日本においてはまだプライバシー権と技術の衝突について、法理論の方が未成熟で追いついていないからに他ならないのではないか。

私はそう考えます。


「自己情報コントロール権」から「利用対価請求権」へ

日本のプライバシー権に対する法理論が未成熟な点について、この本からもう１点。

私は以前のエントリーで、プライバシー権を「自己情報コントロール権」と考えている日本の最高裁判例に否定的である旨、繰り返し見解を述べてきました。
▼【本】プライバシー権・肖像権の法律実務―プライバシー権とは“自己情報コントロール権”なのか？（１）
▼【本】情報化時代のプライバシー研究―プライバシー権とは“自己情報コントロール権”なのか？（２）

この点に関し、この本の著者である名和先生は、現代の技術が相互監視を可能としてきたことを前提に、私の問題提起に対してこのように明確に答えて下さっています。

第一世代のプライバシー保護を支える理念は「独りに置いてもらう権利」であった（１章）。第二世代のそれは「自己情報に関する流通制御権」であった（４章）。しからば第三世代の理念、つまり相互監視の環境下における理念は何か。ここではすでに自己データは相手に捕捉されている。とすれば、せいぜい可能なことは、現状の追認と咎められることを覚悟しなければならないが、その捕捉されたデータの濫用に歯止めをかけることしかない。そのための算段として、個人データの利用にコストをかける、つまり対価を支払わせる、という解があるだろう（14章）。こう考えると、第三世代のプライバシー保護理念は「自己データの利用に対価を求める権利」ということになる。

私が感じていた「自己情報コントロール権」への違和感について、その考え方がおかしいのではなく、技術革新に対して時代遅れなのだと一蹴した上で、プライバシー権は利用対価請求権に変わっていくだろう、と整理されているわけです。

この「利用対価請求権」という整理は、私が以前のエントリーで申し述べてきた違和感を解決しうる整理法であり、納得感のある理論と思います。


プライバシー権にもフェアユース？

この「“コントロール権”から“対価請求権”への移行」という整理って、どこかで同じようなこと考えたな、何かに似てるな･･･としばし黙考。

そして思い出しました。

つい最近のエントリで話題にした、「著作権とは対価報酬請求権なのでは？」という議論とまったく似ているなと。
▼【本】マルチメディアと著作権―DJ兼ビジネスブロガーな私が「創作者とユーザーが紙一重な時代」の著作権法を考えてみた
▼著作権を報酬請求権にすることは可能

そうなると、そのうちプライバシー権についても、著作権のようにフェアユースみたいな考え方がでてくるんですかね（笑）。

いや、笑い事じゃないかも･･･。

「企業と人との新しい結びつき」の実現を目指して頑張ります。ご支援いただける方はこちらをクリック！（ｂｌｏｇランキング）

【本】情報化時代のプライバシー研究―プライバシー権とは“自己情報コントロール権”なのか？（２）

人材ビジネスに携わる男が、求職者のプライバシー権について考えるシリーズ第２弾。

※第１弾はこちら。
▼【本】プライバシー権・肖像権の法律実務―プライバシー権とは“自己情報コントロール権”なのか？（１）

伊藤忠商事でNTTとの合弁会社の立ち上げにかかわられ、現在は中央大学学術博士、国際大学グローコムで客員教授を務められている青柳武彦さん。

今回の参考書は、なんと喜寿を超えられているという、まさにビジネスと人生の大先輩による日本のプライバシー権に関する考察と提言。



自己情報コントロール権説批判

プライバシー権は、人材サービス業に携わる私の業務の中で、最も関心の高い研究テーマになってきています。

その関係で、さまざまな文献を読みこんでいるのですが、この本の最大の特徴は、日本におけるプライバシー権の大前提となっている最高裁判決が採用する学説“自己情報コントロール権”説に対して批判的なスタンスを取っている点にあります。

著者が批判の根拠として挙げている５つのポイントのうち、なるほどなと思った点が、以下の不法行為の法理論との矛盾というポイントです。

自己情報コントロール権によれば、個人データが漏洩や盗難によって、本来の保管責任者の手から離れて放置されることは、情報主体者の自己情報コントロール権が侵されるわけだから、プライバシー権侵害となる。つまり、同説では動的なプライバシー権侵害行為がまだ存在していなくても、静的な侵害誘発状態に置かれるということ自体が、すでにプライバシー権侵害であるということになる。
ところが、民法第709条の一般不法行為が成立するための一般的要件は次の四つだ。
（１）加害者に故意、または過失があったこと
（２）違法な権利侵害が現実に発生したこと
（３）損害が現実に発生したこと
（４）権利侵害と損害発生の間に相当因果関係があること
少なくとも住基ネットが対象としているような基本的個人識別情報については、この不法行為理論と相容れない。この種の個人情報は、公知の事実であるからそれ自体にはプライバシー性はなく、秘匿したい事柄とアンカリング（投錨）されてはじめてプライバシー権侵害となる。つまり、個人情報が漏洩して静的な侵害誘発状態に置かれたということは、セキュリティ事故が起きたことを意味するだけだ。プライバシー権侵害行為も損害の発生もまだ起きていないのだから不法行為の要件に合致しない。

個人情報漏洩事件への対応スタンスを再考する

世の中では、個人情報漏洩事件が起こるたびに、お詫び金としてなけなしの金員・商品券が配られています。

あれはまさに、自己情報コントロール権を喪失させてしまった（コントロール不能な状態に置いてしまった）ことに対するお詫び行為にほかならないわけですが、あのお詫び金に違和感を感じる方は少なくないはず。

その違和感の原因は、侵害誘発状態におかれているだけなのに精神的賠償のように金銭が支払われているという点、すなわち、自己情報コントロール権を正面から認めてしまっている点にあるのだなと、この本を読んで納得させられました。

侵害誘発状態＝自己情報コントロール権が失われただけの状態では（謝罪はすれども）一切損害賠償はしない。その代わり、具体的な被害・損害が発生した段階では真摯に対応する。

これが個人情報漏洩という局面でのプライバシー権に関する私のスタンスです。


次回は、漏洩ではないシチュエーションでの本人のコントロール権と第三者による意図的な開示との衝突について述べてみたいと思います（いつになるかちょっと分かりませんが）。

「企業と人との新しい結びつき」の実現を目指して頑張ります。ご支援いただける方はこちらをクリック！（ｂｌｏｇランキング）