個人情報について調べてみた

はじめに

車もスマホ連携などで車外とつながる機会が増えて、個人情報の取り扱いに注意が必要となっている。

一般的に個人情報に関する法規制や定義を整理して、
そのなかでも特に車載ソフトにおける個人情報に対しては、どういう対処が必要なのか？などを整理する。
欧州で求められていることと、日本ではどうなのか？という観点で調査した内容を整理する。

出典

[0]EUの規則(Regulation)について

[1-1]EU域内の個人データ保護を規定する「GDPR（General Data Protection Regulation：一般データ保護規則）」の条文そのもの（第1条〜第99条）

[1-2] ガイドラインなど一覧

[1-3] (欧州データ保護会議)コネクテッドビークル及びモビリティ関連アプリケーションにおける個人データの取扱いに関するガイドライン01/2020

[2-1] (日本)個人情報の保護に関する法律

[2-2] (日本_個人情報保護委員会*_2016年)個人情報の保護に関する法律についてのガイドライン（通則編）
※国（内閣府）の行政機関であり、個人情報保護法の監督・執行を担う独立した権限を持つ機関が作った法令のガイドライン

[2-3] (日本_SIP*_2021年)(個人情報保護法＋モビリティデータガイドライン)モビリティ分野におけるデータ取り扱いに関するガイドライン(案)
※日本政府（内閣府＋経済産業省＋国土交通省など）が主導する戦略的イノベーション創造プログラム（SIP）作成

法規制

欧州

EU加盟国で効力を持つ、GDPR（General Data Protection Regulation：一般データ保護規則）という規則（Regulation）※に従う必要がある。
※規則（Regulation）とは、以下のような強制力を持つ。

• EU加盟国27カ国で直接効力を持つ（国内法化不要）
• GDPRに反する国内法を自由に制定できるわけではない
• 一方で、GDPRが加盟国法による具体化を認めている分野もある
• そのため、EU域内で個人データを扱う場合は、GDPRだけでなく関係する加盟国法も確認する必要がある

対象となる組織：

• EU域内に拠点がある組織（データ管理者・処理者）
• EU域外の組織でも、EU住民に商品・サービスを提供する場合（例：日本のECサイトがEU住民に販売）

違反した場合は、違反の類型に応じて、最大2,000万ユーロ、または前年の全世界年間売上高の4％のいずれか高い方を上限とする行政制裁金が科される可能性がある。
※[0] GDPR 第83条（Article 83）より

日本

法律（日本の国内法）である「個人情報保護法」で定められている。

日本国内の個人情報取扱事業者等に適用される。
個人情報取扱事業者とは、個人情報データベース等を事業で使っている業者のこと。
日本国外の事業者であっても、個別に確認が必要。

個人情報保護法には、委員会による命令への違反、個人情報の不正な提供・盗用、虚偽報告などに対する刑事罰が規定されている。
罰則の内容は違反行為や行為者の区分によって異なり、個人だけでなく法人が処罰対象となる場合もある。

例えば以下のような罰則（詳細は原文参照）：
　個人：1年以下の懲役又は100万円以下の罰金
　法人：1億円以下の罰金

個人情報関連の用語

日本の個人情報保護法とEUのGDPRでは、「個人情報」「個人データ」など、似た概念に異なる用語が使われているため、最初に整理しておく。

欧州定義（個人データ）

[1-1] GDPRの条文より

「個人データ」とは、識別された自然人又は識別可能な自然人(「データ主体」)に関する情報を意味する。 識別可能な自然人とは、特に、氏名、識別番号、位置データ、オンライン識別子のような識別子を参照することによって、又は、当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的又は社会的な同一性を示す一つ又は複数の要素を参照することによって、直接的又は間接的に、識別されうる者をいう

[1-3]欧州データ保護会議より

"39. The data subject is the natural person to whom the data covered by the processing relate. In the context of connected vehicles, it can, in particular, be the driver (main or occasional), the passenger, or the owner of the vehicle.
データ主体は、取扱いの対象となるデータが関係する自然人である。コネクテッドビークルの場合、当該自然人として、特に運転者(その車両を主に運転している者と臨時で運転する者)、同乗者、又は車両の所有者が考えられる。"

※自然人：
"自然人（しぜんじん）とは、権利能力が認められる社会的実在としての人間のことで[1]、法人と対比されている概念[1]。単に「人」とも言う[1]。"

つまり、識別可能な自然人に関する情報を「個人データ」と定義する。
氏名のような直接識別子だけでなく、位置データ、オンライン識別子、車両識別番号、走行履歴など、他の情報と組み合わせることで個人を識別できる情報も含まれ得る。

法人そのものに関する情報や、故人に関する情報は、原則としてGDPR上の個人データには該当しない。

日本の定義（個人情報、個人データ）

日本の個人情報保護法では、「個人情報」「個人データ」「保有個人データ」は、
同じ情報を別の言葉で呼んでいるわけではない。
個人情報は個人を識別できる情報、個人データはそのうち個人情報データベース等を構成するもの、
保有個人データはそのうち事業者が本人からの開示・訂正・削除等に対応できる権限を持つものである。

• 個人情報
  [2-1][2-2] 日本の法律（個人情報保護法）における「個人情報」の定義（概要）

その情報自体で生存する特定の個人を識別できるもの
　例：氏名、顔写真、住所、電話番号など
他の情報と容易に照合することで、特定の個人を識別できるもの
　例：生年月日＋住所、社員番号＋部署名など
個人識別符号が含まれるもの
　例：パスポート番号、運転免許証番号、マイナンバー、DNA 情報、顔認識データなど

[2-3] 日本の個人情報保護法＋モビリティデータガイドライン 「5. 個人情報の保護」章より

「氏名、生年月日その他の記述等により特定の個人を識別できる情報（他の情報と容易に照合できるものを含む）」または「個人識別符号が含まれるもの」

• 個人データ

[2-3] 日本の個人情報保護法＋モビリティデータガイドライン 「5. 個人情報の保護」章より

法第16条（第3項）
３　この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

• 保有個人データ

法第16条（第4項）
４　この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

• 仮名加工情報

法第2条（第5項）
５　この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。

• 匿名加工情報

法第2条（第6項）
６　この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

• 個人関連情報

法第2条（第7項）
７　この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

生存する個人に関する情報
│
├─ 個人情報
│  ├─ 個人情報データベース等を構成する
│  │  └─ 個人データ
│  │     └─ 事業者が開示・訂正・削除等の権限を持つ
│  │        └─ 保有個人データ
│  │
│  └─ 個人情報データベース等を構成しない個人情報
│
├─ 仮名加工情報
├─ 匿名加工情報
└─ 個人関連情報

求められる対策・要件

欧州

欧州のGDPRには、以下の原則と具体的措置が要求されている。

原則・具体的措置	概要	出典
データ保護バイデザイン・バイデフォルト	設計段階からプライバシー保護を組み込む	第25条
目的明確化・利用制限	収集目的を事前に明示し、それ以外の利用を禁止	第5条1項(b)
データ最小化	必要な最小限のデータのみ収集	第5条1項(c)
同意取得	位置データや生体データなどセンシティブなデータは事前の明示的同意が必要	第6条1項(a)＋第7条
セキュリティ対策	暗号化、アクセス制御、ログ記録、侵害検知体制	第5条1項(f)＋第32条
データ主体の権利保障	アクセス、修正、削除、携帯性、同意撤回の権利を実装	第12条〜第23条
第三者提供制限	本人同意または法的根拠なしに第三者提供禁止	第5条1項(a)＋第6条
域外移転制限	EU域外へのデータ移転には追加的保護措置が必要	第44条〜第50条
機密性担保	不正アクセス・漏洩防止	第5条1項(f)＋第32条

[1-3]車載向けガイドラインの2.7章には個人データのセキュリティについて以下のように記載されている。

• 最先端のアルゴリズムを利用して通信チャネルを暗号化すること。
• 車種毎ではなく、各車両毎に固有の暗号鍵管理システムを導入すること。
• 車外に保存する場合、最先端のアルゴリズムを使ってデータを暗号化すること。
• 暗号鍵を定期的に更新すること。
• 暗号鍵をいかなる開示からも保護すること。
• データ受信装置の認証システムを導入すること。
• (ハッシュ化などにより)データの完全性を確保すること。
• 個人データへのアクセスに、信頼性のある技法(パスワード、電子証明など)によるユーザー認証を設けること。
  特に自動車メーカーに関して、EDPBは、以下の安全管理措置を導入するよう勧告する。
  車両の運転上重要な機能を、情報通信機能に常時依存している(「インフォテインメント」などの)機能から分離すること。
• 自動車メーカーが車両の耐用期間全体にわたって安全管理上の脆弱性に迅速にパッチを当てることを可能にするような技術上の対策を導入すること。
• 車両の運転上重要な機能に関しては、特別に輸送用に設けられた安全な通信手段を利用することを極力優先させること。
• 車両のシステムが攻撃された場合にそのことを知らせる警報システムを装備すること。その際に車両のシステムをダウングレードしたモードで動作させることが可能なものとすること
• 潜在的な攻撃の原因に関して理解し、また障害の可能性を検出する目的で記録された情報を定期的に確認するために、例えば最長で6か月前まで遡り、車両の情報システムへのアクセスのログ履歴を保存すること
  上記一般勧告を、データ取扱い毎の特性及び目的を考慮した特定の要件により補完すべきである。

日本

[2-1] 個人情報保護法の第23条に、以下のように記載されている。

第23条（安全管理措置）: 「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」

また、[2-2]個人情報の保護に関する法律についてのガイドライン（通則編）の、別添10「講ずべき安全管理措置の内容」に具体的な措置の例などが記載されている。

項目	具体的な手段	出典
基本方針の策定	個人情報保護基本方針の文書化	ガイドライン通則編 別添10-1
個人データの取扱いに係る規律の整備	個人情報取扱規程の策定	ガイドライン通則編 別添10-2
組織的安全管理措置	責任者任命、規程運用、監査、事故対応体制	ガイドライン通則編 別添10-3
人的安全管理措置	従業者教育、守秘義務契約	ガイドライン通則編 別添10-4
物理的安全管理措置	区域管理、機器施錠、暗号化、廃棄	ガイドライン通則編 別添10-5
技術的安全管理措置	アクセス制御、認証、暗号化、ログ記録	ガイドライン通則編 別添10-6
外的環境の把握	委託先・第三者提供先の環境把握	ガイドライン通則編 別添10-7

情報ごとに何を遵守すべきなのかは以下にまとめられている。

「個人データ」は、「個人情報」よりも個人情報取扱事業者(通則ガイドライン2-5参照）の遵守すべき事項が多くなります。
「保有個人データ」は、「個人データ」よりも個人情報取扱事業者(通則ガイドライン2-5参照）の遵守すべき事項が多くなる。

また、「個人関連情報」は、提供元では個人を識別できない情報であっても、提供先で個人データになることが想定される場合には、第三者提供に関する規制が適用される。
車載データでは、車両ID、VIN、走行履歴、位置情報などを「氏名がないから対象外」と判断せず、
他の情報との照合可能性と、データベースでの管理状態を確認することが重要。