個人情報保護法の改正で、企業を中心にビッグデータを活用した新事業や新サービスの開拓に乗り出せるという期待が高まっている。検討の過程で定義されたのが、「個人特定性低減データ」。プライバシーを保護しつつ、個人データを活用できるようにする。
個人情報保護法の改正に向けた大綱が2014年7月にも公表される。法改正への意見をまとめてきたのは、内閣官房のIT総合戦略本部が2013年9月に発足させた「パーソナルデータに関する検討会」。約10カ月の議論で見えてきた大綱のポイントは三つある。
まず一つは、政府が独立したプライバシー保護の専門機関を設置して、日本のプライバシー保護制度を国際的水準に合わせること。二つめは、企業の自主規制ルールを後押しして、技術進化に伴って拡大した“個人情報”のグレーゾーンの解消を目指すこと。三つめが、個人を特定しにくくしたデータを他社に渡して活用できるように規制を緩和することだ。政府は、個人に関わるデータでありながら、特定の個人を識別できないようにして、その権利や利益を侵害しないデータ（個人データ）を活用した新事業の創出を目指す。
法改正の目玉は、公正取引委員会や国家公安委員会と法的に並ぶ、政府の行政組織から独立したプライバシー保護のための第三者機関の誕生だ。行政手続番号法（マイナンバー制度）で個人情報の保護を目的に発足した特定個人情報保護委員会を改組する。
海外主要国には、プライバシー保護の公的専門機関が既にある。例えばEU（欧州連合）では、域外への個人に関わるデータの移転を制限しており、十分な保護水準にある国と認定されなければ自由にデータを持ち出せない。新たに発足する第三者機関は、国境を越えた情報流通を可能にする国際的な対外窓口となる。プライバシーを保護しながら、パーソナルデータの活用を推進する役割を担う。
JR東日本の事案が転機に
プライバシーの保護は、個人データを活用するビジネスを進めるには避けて通れない。プライバシーが守られない状態では、個人の自由が狭められ、ユーザーからの不信感を招く恐れがあるからだ。その結果、企業はデータを活用したくても正確な情報を集められなくなる可能性がある。
検討会が個人データをあえて「パーソナルデータ」と呼ぶのは、現行法の個人情報保護法の概念よりも、広くプライバシー保護の方法を議論するためだ。しかし、プライバシーの保護そのものを法律で規定するのは難しい。何がプライバシーに当たるかの判断は人によって異なり、基準を決められないからだ。
現行法では、データから個人が特定されるのを防ぐため、個人情報の範囲を定義していた。ところが、条文に書かれた例示が独り歩きしてしまい、「氏名や住所がなければ個人情報ではない」といった誤解が広がった。
一方で位置情報や顔認識データなど、個人識別につながるデータが使われるようになった。様々な情報を照合すれば個人を特定しやすくなり、企業からは何が個人情報か分かりにくいと指摘されるようになってきた（図1）。
個人情報のグレーゾーンが“炎上”を招いたのが、2013年夏のJR東日本による交通系ICカード「Suica」の乗降履歴販売の事案だ。
このときJR東日本は約2年にわたって秒単位で記録した乗降履歴をユーザーへの通知や公表もなく販売しようとした。その結果、実際に権利や利益の侵害がなくても「気持ち悪い」と感じたユーザーから反発を招いた。
パーソナルデータ検討会メンバーの新保史生・慶応義塾大学総合政策学部教授は、JR東日本は「まず乗降履歴が個人情報に該当するかを考えなければならなかった」と指摘する。個人情報となる恐れがあると気付けば、事前にユーザーにデータの活用について説明して、オプトアウト（利用停止）の手段を提供する手立てを講じられたという。
Suicaの事案は、検討会で法改正の機運を高める契機になった。グレーゾーンの解消に加えて、個人データを他社のデータと組み合わせて利用価値を高めるには、規制緩和が必要という認識が広がったためだ。
とはいえ、法律の定義だけでグレーゾーンを解消するのは難しい。個人を識別するデータが増え、扱い方も異なるからだ。そこで法改正の大綱では、法律だけで保護すべきデータを定めるのではなく、政省令や規則、ガイドラインのほか、民間の自主規制ルールを前提に、技術の進展やデータ活用の広がりに合わせた機動的な法制度を目指している。