第10回 法制の動向を見据え、社内で収集・蓄積されているデータの棚卸しを - 情報・セキュリティ分野（後編）

2020年は情報・セキュリティ関連分野において、「個人情報保護法の改正」や「デジタル・プラットフォーム事業者に対する規制に向けた動き」「海外の個人情報保護法制」といったトピックが見込まれています。同分野における2020年の企業法務に関わる展望を、牛島総合法律事務所の影島 広泰弁護士が解説します。

　本稿では、「デジタル・プラットフォーム事業者への規制」「改正サイバーセキュリティ基本法」「海外の個人情報保護法制」などに関する動向を解説しています。

デジタル・プラットフォーム事業者への規制

　データの取扱いについては、個人情報保護法だけではなく、独占禁止法を中心としたデジタル・プラットフォーマーに対する規制という側面からの規律が急速に進められています。対象となる企業は対応を進める必要があります。

個人情報等の取得・利用と独占禁止法

　公正取引委員会が、2019年12月17日に、「デジタル・プラットフォーム事業者と個人情報等を提供する消費者との取引における優越的地位の濫用に関する独占禁止法上の考え方」（以下、「考え方」）を公表しました。
　ここで規制されている「デジタル・プラットフォーム」とは、「情報通信技術やデータを活用して第三者にオンラインのサービスの「場」を提供し、そこに異なる複数の利用者層が存在する多面市場を形成し、いわゆる間接ネットワーク効果 ¹ が働くという特徴を有するものをいう」とされており、具体的には以下が「デジタル・プラットフォーム事業者（以下「PF事業者」といいます）」にあたるとされています。

　これらのサービスを提供している企業は、消費者（個人）の個人情報等を取得・利用する際に「考え方」を遵守する必要があります。

　独占禁止法2条9項5号は、「自己の取引上の地位が相手方に優越していることを利用して、正常な商慣習に照らして不当に」、「継続して取引する相手方」（同号イ及びロ）や「取引の相手方」（同号ハ）に対して、不利益を与える行為を優越的地位の濫用としています。

　そのうえで、「考え方」は、「消費者が、デジタル・プラットフォーム事業者が提供するサービスを利用する際に、その対価として自己の個人情報等を提供していると認められる場合」には、「消費者はデジタル・プラットフォーム事業者の『取引の相手方（取引する相手方）』に該当する」という解釈を示しています。
　したがって、PF事業者にあたる企業が、消費者から個人情報等を「対価として」取得して利用する際には、優越的地位の濫用にあたらないようにしなければなりません。
　なお、ここでいう「個人情報等」とは、「個人情報」および「個人情報以外の個人に関する情報」（消費者の属性、行動等、当該消費者個人と関係するすべての情報を含む）をいいます。

　また、優越的地位にあるとは、「消費者がデジタル・プラットフォーム事業者から不利益な取扱いを受けても、消費者が当該デジタル・プラットフォーム事業者の提供するサービスを利用するためにはこれを受け入れざるを得ないような場合である」とされており、具体的には以下のいずれかの場合には通常は取引上の地位が優越していると認められるとされています。

　報道では「GAFA規制」といわれ、巨大なPF事業者を想定しているようなイメージを持つ方も多いかもしれませんが、「考え方」が対象としているPF事業者はかなり広範囲におよびますので、留意が必要です。

　規制の詳細を述べることは本稿の趣旨に反すると思われますので、以下では、PF事業者に対する規制を簡単にまとめます。
　以下は、優越的地位の濫用として問題となり得ます。

　以上のPF規制は、該当する企業においては、2020年にただちに対応しなければならない喫緊の課題といえるでしょう。

特定デジタルプラットフォームの透明性及び公正性の向上に関する法律案

　2020年2月18日に、「特定デジタルプラットフォームの透明性及び公正性の向上に関する法律案（以下「特定PF法案」といいます）」が閣議決定され、国会に提出されました。この法案は、デジタル・プラットフォームのうち、「その事業の規模が当該デジタルプラットフォームにおける商品等の売上額の総額、利用者の数その他の当該事業の規模を示す指標により政令で定める規模以上であるものを提供するデジタルプラットフォーム提供者」（特定PF法案4条1項、特定デジタルプラットフォーム）を規制対象としたものです。影響がある企業の数は、「超大手」の数社であろうといわれていますが、該当する企業は動向に留意が必要です。

2020年以降の規制の方向性

　「個人情報の保護に関する法律等の一部を改正する法律案（以下、改正法案）」、優越的地位の濫用の「考え方」、「特定PF法案」を総合すると、2020年以降は、データの取扱いについて概ね以下の方向で規制されることになりそうです。企業は順次対応を進めていく必要があります。

• 個人情報

改正サイバーセキュリティ基本法

　2012年に開催されたロンドン・オリンピックにおいては、開催期間中に延べ2億件を上回るサイバー攻撃が行われたとされており ¹²、2016年のリオデジャネイロ・オリンピックでも大規模な攻撃が行われたとされています ¹³。今後開催される東京オリンピックにおいても、開催期間中に大規模なサイバー攻撃が行われる可能性があるとして、対策が進められています。
　その一環として、サイバーセキュリティ基本法が2018年に改正され、2019年4月1日に施行されました（一部は、2020年4月1日施行）。
　改正法では、「官」（国の行政機関と地方公共団体）、「民」（重要インフラ事業者とサイバー関連事業者）、「学」（研究教育機関）を横断する「サイバーセキュリティ協議会」が新設され、サイバーセキュリティについての情報共有と対策等の協議が行われるようになりました。
　サイバーセキュリティにおいては、最新・具体的な情報をいち早く収集する筋道を確保することが重要です。協議会では、構成員等から提供された情報やタスクフォースが収集した情報にもとづいて、構成員等に対して情報提供が行われます。

　協議会は、一般にも情報提供するとされていますが、「機微な情報は構成員限り（転送禁止）として共有することがある。」とされており、そのような情報は提供する情報全体の25%程度であるとされています（内閣サイバーセキュリティセンター（NISC）「サイバーセキュリティ協議会について」20頁（2020年3月、2020年3月24日最終閲覧）。

　サイバーセキュリティ協議会への次期加入申し込みは2020年3月10日〜27日を予定しているとのことですので、攻撃を受けるリスクが高い企業などは構成員 ¹⁴ となることを検討してもよいでしょう。

　なお、企業側としては、自らが情報提供すると社名が漏れることがないかが大きな問題となりますが、サイバーセキュリティ基本法では、協議会の事務に従事する者または従事していた者に対して守秘義務が課せられており（サイバーセキュリティ基本法17条4項、罰則はサイバーセキュリティ基本法38条）、秘密が守られることになっています。

海外の個人情報保護法制

タイ個人情報保護法

　タイの個人情報保護法（個人データ保護法、以下、「PDPA」（Personal Data Protection Act）は、2019年5月24日に制定され、法律全体は同月28日に施行されましたが、民間企業の義務を定めた条文については1年間の猶予があり、2020年5月27日に施行されます（PDPA 2条）。

　タイPDPAは、EU一般データ保護規則（GDPR）を参考に作成されていますが、本人の同意をより重視しているという特徴があります。すなわち、PDPAその他の法令が認めた場合を除き、本人の同意がなければ個人データを収集・利用・開示してはならず（PDPA 19条）、本人以外から個人データを取得した場合には30日以内に本人に通知して同意を得る必要があります（PDPA 25条）。本人の同意なく個人データを取得できる例外としては、データ主体を当事者とする契約を履行するため等に必要である場合、管理者または管理者以外の個人または法人の正当な利益のために必要である場合、法令を遵守するために必要である場合などが定められています（PDPA 24条）。

　タイPDPAの適用がある個人データを収集・利用・開示（第三者提供）している企業は、例外に該当しない限り、本人の同意を取得するフローを2020年5月27日までに構築しておく必要があります。

　情報管理、情報漏えい時の72時間以内の通知義務（PDPA 37条）や、収集した個人データ等の記録の保持（PDPA 39条）、処理者（委託先）との契約締結義務等の監督義務（PDPA 40条）、データ保護担当者（Data Protection Officer、DPO）の選任義務（PDPA 41条、42条）などの情報管理の体制も整える必要があります。また、本人からの削除請求・開示請求等への窓口の設置や業務フローの整備も必要となります。

　さらに、国外への移転については、受領国が十分性認定を受けていない場合には「本人の同意を得る」「個人データ保護委員会規則に従った個人データ保護ポリシーまたは適切な保護措置を講じる」などの対応が必要となります。タイの現地法人等から日本への個人データの移転をしている企業は、今後当局から公表される詳細を踏まえて、2020年5月27日までに対応する必要があります。

　また、国外適用についても、GDPRと同様の規定があります。すなわち、タイ国外に所在する管理者・処理者（たとえば日本法人）による個人データの収集・利用・開示であっても、①タイ国内のデータ主体に対して商品またはサービスの提供（offering）をしている場合、または②タイ国内のデータ主体の行動の監視をしている場合には、PDPAの適用があります。この場合には、タイ国内に代理人を置かなければなりませんので、注意が必要です。

　タイに進出していたり、タイと取引がある日本企業は多いと思われますので、2020年5月27日までに対応すべく、以下の実施を早急に行っていく必要があります。

カリフォルニア州消費者プライバシー法（CCPA）

　カリフォルニア州消費者プライバシー法（CCPA）が、2020年1月1日に施行されました。もっとも、規則（Regulation）にもとづくenforcementは2020年7月1日から行われることになりますので、遅くとも6月末までに対応を行うべく作業を進める必要があります（なお、消費者による集団訴訟は既に提起され始めていますので、留意が必要です¹⁵）。

　CCPAの概要については、「2018年6月成立、米国カリフォルニア州消費者プライバシー法の概要と日本企業に求められる対応」に記載したとおりです。
　「カリフォルニア州の居住者（resident）である自然人」の個人情報を取り扱う場合に、カリフォルニア州で事業を行っている者（do business in the State of California）であり以下のいずれかを満たす企業等に対してCCPAの適用があります。

　CCPAに関しては、2019年9月に、概ね以下のとおりの修正案が可決成立しています。

　これらの修正案から逆に明確になったのは、雇用関係の情報やB to Bの取引の文脈でもCCPAの適用があるということです。
　カリフォルニア州の居住者の個人データを取り扱っている企業は、CCPAの適用があるかどうかを早めに見極め、適用がある場合には2020年6月末までに対応を進める必要があります。

　なお、カリフォルニア州での情報セキュリティは、カリフォルニア州司法長官が 2016年2月に公表した「California Data Breach Report」に記載されている20個のCritical Security Control（NIST 800-53及びISO/IEC 27002:2013ベース）を実装するのが実務的であると思われます。

EUのeプライバシー規則案

　EUでは、2019年11月22日に、EU理事会の常任委員会（Permanent Representatives Committee of the Council of the European Union）がeプライバシー規則案を否決しました。eプライバシー規則は、EU一般データ保護規則（General Data Protection Regulation、GDPR）の特別法として、電子通信サービスの通信データの秘密や、クッキー（Cookie）の保存や読み出しを規制する規則です（「eプライバシー規則案が与える日本企業の実務への影響」参照）。当初は、2018年5月25日のGDPRの施行に合わせて施行されるといわれていましたが、いまだに案の修正作業が続いています。
報道によれば、ウェブサイトが定めるクッキーの取扱いに同意することを当該ウェブサイトを閲覧することの条件とすること（クッキー・ウォール（Cookie Walls）と呼ばれます）の扱いなどについて議論が行われており、今回の規則案は否決されたと伝えられています ¹⁶。2020年には、引き続きEU理事会での決議を目指した作業が行われる見込みです。

　クッキー等による情報の第三者への提供については、上述のとおり日本でも改正法案により提供先における同意の取得が必要とされることになりますが、さすがのEUでも議論が紛糾していることが伺われ、今後の動向に注目です。

2020年の企業法務

　情報の取扱いに関して、2020年の企業法務は、個人情報保護法の改正を中心に、データの取扱い（とりわけ閲覧履歴や位置情報によるプロファイリング）に対する規制が重要になってくるでしょう。法務が、社内でどのようなデータが収集・蓄積されているかを把握できていないケースが多いと思いますので、その棚卸しをする必要が出てくると思われます。

　また、地方公共団体がそれぞれ個人情報保護条例を制定していることから、各自治体で個人情報に関する規律が異なっている状態にあります（いわゆる「2000個問題」）。これは、企業との関係でいえば、たとえば、公立病院や健康保険等の医療データの利活用などのネックになってしまっています。これを解消するため、個人情報保護委員会が2019年12月2日から「地方公共団体の個人情報保護制度に関する懇談会」を開始しました。2000個問題を2020年中に解決することは難しいと思われますが、解消に向けた動きにも注目したいと思います。

　セキュリティ関連分野では、ますます大規模かつ巧妙になるサイバー攻撃への対処をどの程度まで行うべきか、法的な側面からのアセスメントが重要になってくると考えられます。
　たとえば、ダークウェブと呼ばれるネットワーク上では、メールとパスワードの組み合わせが約27億件流通しており、「.jp」ドメインのメールアドレスとパスワードの組み合わせも2,000万件が流通していると報道されています ¹⁷。

　こうした状況下、メールアドレスとパスワードのみを認証に使うサービスを立ち上げれば、悪意のあるハッカーがその組み合わせを入手してログインできてしまう可能性があります。そのようなサービスの仕様が、「当時の技術水準」を満たすものとして債務不履行にあたらないといえるのかは、法務とセキュリティ担当者が協同して判断する事項になります（「会社・取締役が法的義務を負っている情報セキュリティのレベルとは」参照）。

　2019年にQRコード決済のサービスがローンチ直後に中止に追い込まれた事件に象徴されるように、セキュリティはビジネスにとって死活問題になり始めています。サービスをローンチする際に、法務・総務としては、利用規約やプライバシーポリシーのレビューのみならず、それが重要な情報・財産を取り扱うサービスである場合にはセキュリティについての検討が適切に行われて実装されているかを確認することが求められるようになっていくでしょう。