プロファイリングに関する質問主意書

二〇一七年五月三十日施行の個人情報保護法改正法（以下、「改正法」という）において、「要配慮個人情報」とは、「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう」（改正法第二条第三項）と定義されている。要配慮個人情報については、「あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない」（改正法第十七条第二項）とされる。

一方、個人情報保護委員会による「個人情報の保護に関する法律についてのガイドライン（通則編）平成二十九年三月一部改正版」においては、同ガイドライン上において列挙されている情報（人種、信条、社会的身分、病歴等）を「推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない」としている。また、個人情報保護委員会は『「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆Ａ』（平成二十九年五月三十日更新版）の「要配慮個人情報の取得」のＡ三−九において、「当該情報が推知情報にとどまる場合は、要配慮個人情報には該当しない」との見解を示している。

ところで現在、自然人の評価を「パーソナルデータ」（定義は総務省が公表した「平成二十九年版　情報通信白書」五十三頁に従う）を用いた自動処理で行うプロファイリングがマーケティング分野において盛んに行われている。プロファイリングの概念は日本において必ずしも確立されていないが、ここでは、プロファイリングとは、予測や評価、カテゴリへの分類を目的に、個人（または集団）に関する情報を収集し、その特徴や行動パターンを分析することを意味するものとする。

プロファイリングにより、本人の人種、信条、病歴など、不当な差別、偏見その他の不利益の要因となる情報である要配慮個人情報が推知あるいは実質的には生成され、それがマーケティングに活用される可能性が生じている。例えば、通販事業者が持つ購入履歴と交通事業者の持つ行動履歴等が掛け合わされ、プロファイリングされた人がどのような病気を患っているのかが、かなり高いレベルで推知でき、それを基にした広告等の表示がなされるなどといった事例が生じている。このような事例は、改正法の下において、匿名加工情報、個人識別性のない購買履歴・行動履歴等のパーソナルデータの利活用が進むことで、今後増大していくものと予想される。

しかし、改正法の中に、プロファイリングに関する具体的な規定は存在しない。また、「放送受信者等の個人情報保護に関するガイドライン」（平成二十九年四月二十七日　総務省告示第百五十九号。以下、「放送分野ガイドライン」という）は、その第三十四条において「受信者情報取扱事業者は、視聴履歴を取り扱うに当たっては、要配慮個人情報を推知し、又は第三者に推知させることのないよう注意しなければならない」と規定し、プロファイリングにより試聴履歴から要配慮個人情報を推知することを制限しているが、放送分野以外を含む一般的なプロファイリングについてのガイドライン等は存在しない。

以上を前提に以下質問する。

一　先述した個人情報保護委員会のガイドライン等を参照する限り、個人情報保護委員会は、ある情報が要配慮個人情報について推知させるものであっても、推知情報にとどまる限り、あらかじめの本人の同意なく当該情報を取得・利用することは改正法第十七条第二項との関係で問題がないという整理をしていると思われるが、そのような理解でよいか。

二　スマート製品の普及をはじめとして、今やパーソナルデータがモニタリングされる機会は身近にあふれており、情報処理技術の高度化も相まって、プロファイリングにより推知される情報の精度は日増しに高まっている。こうした中にあって、要配慮個人情報の推知については、一定の場合には推知された情報が要配慮個人情報に準ずるものとして、単なる推知情報とは取り扱いを分けることが必要ではないかと考えるが、政府の見解はどうか。

三　推知される情報が、推知のレベルを超えて、ある個人の要配慮個人情報と実質的に同等と評価できる場合、それは要配慮個人情報にあたると整理し、利用するにはあらかじめの本人の同意が必要とすべきではないかと考えるが、政府の見解はどうか。

四　プロファイリングの精度の向上により、要配慮個人情報の推知のレベルが高まっている現状からすれば、個人情報保護の観点から、放送分野に限らない一般的なプロファイリングのガイドラインを作成することが必要であると考えるが、政府の見解はどうか。また、さらに踏み込み、プロファイリングについて法令上も規定を設けることも十分検討に値すると考えるが、政府の見解はどうか。

右質問する。

一について

個人情報の保護に関する法律についてのガイドライン（通則編）（平成二十八年個人情報保護委員会告示第六号。以下「ガイドライン」という。）２―３においては、ガイドライン２―３（１）から（１１）までに掲げる情報を推知させる情報にすぎないものについては、個人情報の保護に関する法律（平成十五年法律第五十七号）第二条第三項に規定する要配慮個人情報には含まないこととされており、同条第五項に規定する個人情報取扱事業者がガイドライン２―３（１）から（１１）までに掲げる情報を推知させる情報にすぎないものを取得することについては、同法第十七条第二項の規定により制限されるものではない。

二及び三について

お尋ねの「一定の場合には推知された情報が要配慮個人情報に準ずる」こと及び「推知される情報が、推知のレベルを超えて、ある個人の要配慮個人情報と実質的に同等と評価できる場合」の意味するところが明らかではないため、お答えすることは困難である。

四について

お尋ねについては、個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成二十七年法律第六十五号）附則第十二条第三項において、「政府は、前項に定める事項のほか、この法律の施行後三年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとする」と規定されていることを踏まえ、適切に対応してまいりたい。