砂糖の甘い付箋

日本の個人情報保護と米国のプライバシー尊重の違い

　デジタルフォレンジック研究会という団体が発行するメールマガジンのコラムを輪番で寄稿しており、「割れ窓理論（Broken Windows Theory）の引用可能版」という記事を書く予定でした。しかし、それの執筆中に興味深い時事話題が出たので、その話題に触れて「日本の個人情報保護と米国のプライバシー尊重の違い」という記事に変えることにしました。その記事を以下に紹介します。

　日本のテレビ局が、米国で活躍している日本人野球選手の自宅を本人から事前許可を得ず外観や空撮を撮影し近隣住民にインタビューするなどして紹介する映像を放映したことがありました。このことが問題となり、選手の所属球団がこのテレビ局のメディア取材パスをはく奪しました。この選手への取材のみならず、球団への取材についても、いわゆる出入り禁止にしました。

　これの何が問題だったのかについて、あまり正しく説明されていないようです。

　日本人的には、住居の外観や空撮による撮影と近隣住民のインタビューとを比べると、前者の方がより問題視されたのだろうと思われていることが多いかもしれません。しかし、米国においては、これはほぼ逆の問題意識だということが認識されていないようです。さらに、よくある説明では、例として、自宅の場所を特定できるようにすると本人や家族が強盗などの危険にさらされるからではないかというものです。しかし、これが直接的な問題であるとすれば、著名人は自宅の場所を秘密にして、近隣の住人からも顔を見られないような生活をするしかなくなります。実際には、著名人の住所は薄々知られているし、近隣の住人は知っている状態だと考えるのが現実的です。
　今回の件でも、選手の自宅の場所についての情報をテレビ局が明らかに違法な手段で入手したのなら、日本のテレビ局といえども放映することはなかったと思います。その意味では、どういう手段だったかについて知りませんし、その手段がグレーであったかもしれませんが、明らかな違法ではなく入手したはずだと思います。自宅の場所についての情報とは、住所のことです。住所は、個人情報なので、選手の個人情報を何らかの違法ではない手段で入手した上で、取材活動をしたことになります。
　そこで、この問題を個人情報保護の観点で整理してみます。

　この問題はプライバシーの侵害であるとされたことから、近隣住民にインタビューすることが、近隣住民が迷惑に思うというプライバシー侵害なのではないかと思うかもしれません。（実際に、そういう説明がされていることがあります。）しかし、それは住民にとっては迷惑行為ですが、プライバシーの侵害ではありません。そうではなく、米国においては選手本人へのプライバシー侵害と認識されるのです。近隣住民へのインタビューが、選手のプライバシー侵害？と思うかもしれないので、その説明を本稿でします。

　本人が、自分の個人情報である住所を、自分の意に反した使い方をされたらプライバシーが侵害されたことになります。住所が無断で取り扱われることが直ちにプライバシーの侵害になるわけではなく、その使い方によってプライバシーを侵害したか否かが問われるのです。
　これは当然のことです。そうでないと、近隣の住民がその住所のことを話題にするだけ（＝住所を無断で取り扱っただけ）で、プライバシーの侵害になってしまうわけで、そんなことはありません。　
　では、なぜそれがプライバシーの侵害となったのでしょうか？

　住所が、インタビューする地域の特定に使われ、その近隣に住んでいる人にインタビューするために使われたことになります。すなわち、住所が、近隣住民のインタビューのために使われたということになります。
　これをプライバシー侵害の有無の観点でみると、自分の住所が近隣住民のインタビューのために使われることは、本人の意に反したかどうかということになるのです。そのように考えると、どのような手段で住所を入手したのかは定かではありませんが、それが近隣住民へのインタビューを目的としていたとは考えにくく、よって、意に反したであろうことは明らかとなります。
　つまり、選手の自宅の近隣住民へのインタビューは、選手のプライバシーを侵害したと米国では認識されるのです。
　あえて、日本の個人情報保護法的表現をするならば、選手の住所の利用目的に違反したということです。

　ここで説明したことは、日本の個人情報保護と米国のプライバシー尊重の違いとして見ることができます。個人情報については保護という言い方をしますが、米国ではプライバシーを保護する（protect）という言い方は限定的で、プライバシーを尊重する（respect）と表現します。プライバシーを尊重するための手段として、プライバシー保護という言い方がされることはあります。
　尊重と保護の違いですが、別の話しだと少し直感的にわかるかもしれません。個人の意見を尊重するという表現はしますが、個人の意見を保護するという表現はしないことに似ています。個人の意見を尊重するために、その意見に関する情報の一部を保護することはあるかもしれません。それと同様に、プライバシーを尊重する手段において、プライバシーに係る情報を保護することはありますが、プライバシーは保護されるものではなく尊重されるものです。

　冒頭で、予定の記事の内容を変えたと書きましたが、実は、このプライバシー侵害の話しは、割れ窓理論につながります。

　近隣住民へのインタビューを放置すると、自宅への強盗や家族の誘拐につながるかもしれないのです。
　割れ窓理論は、軽微な犯罪を放置すると、犯罪行為全般への「共同体の障壁」が低下し、甚大な犯罪につながるというものであり、よって、軽微な犯罪を放置しないことが、結果的に甚大な犯罪の予防になるという理論です。
　割れ窓理論では、街の落書きを放置すると、その街で違法なこと又はマナーに反することの共同体障壁が薄れ、やがて、強盗殺人などの重要犯罪につながるとしています。一見すると、落書きを放置すると殺人事件が起きる？と思うかもしれませんが、これは、犯罪は原因論に加えて機会論でも考えるべきという割れ窓理論の本質になるのですが、今回は、その説明をしないことにしたので、それはまたいつかの「機会」に紹介します。
　話しを戻すと、住所の不当使用という軽微なものがインタビューで、甚大なものが選手やその家族への強盗や誘拐なのです。そのため、近隣住民へのインタビューを選手本人の意に反して行うプライバシー侵害を放置することは、それが強盗や誘拐につながる連鎖を断ち切るためには、容認してもらえないのです。このことが、日本のテレビ局ばかりではなく、おそらくほとんどの日本人にはあまり認識されていません。

　本稿の前半で「選手の住所の利用目的に違反した。」と書きましたが、日本法ではこれに違反しない可能性が実はひとつだけあります。それは、利用目的が第三者への提供であった場合です。しかし、これを利用目的とした上で個人情報を入手した場合に、その第三者の利用目的に制限がなくなるという解釈がされるのは、米国に限らず世界中で日本だけの解釈であることはあまり知られていません。米国では、プライバシー侵害は、個人情報の使われ方が問題視されるため、その第三者による使われ方も継承して問題となります。したがって、第三者が第三者提供を目的として個人情報を入手したからと言って、その使われ方の制約から免れないと解釈されているのです。

　昨今の個人情報に関係する先進技術のひとつにはAI処理がありますが、上記の背景により、日本以外の海外においては、個人情報の利用目的の制約から本人が切り離されることはありません。一方で、日本では本人がひとたび「第三者への提供」を拒否しないと、本人の意は切り離されてしまうのです。本人がそれを拒否しないことがうかつであると言ってしまえばそれまでですが、海外では、個人によるその非があったとしても、プライバシーの尊重はそれに勝って尊重されるべきものとされているのです。なぜなら、それは人権として位置付けられているからです。
　これが人権なのか、あるひとつの権利なのかの違いです。仮に自殺を欲していると思われるような言動や選択をしてしまった人を、殺してよいのか悪いのかという違いだと思うとわかりやすいかもしれません。
　この個人情報保護の制度解釈（実際の制度意図がどうであるかより、一般にどう解釈されているか）は、AI開発の拠点として有益であるとされています。端的に言えば、プライバシー尊重が人権ではない日本で開発すれば、プライバシーを尊重することは、第三者提供を利用目的とすることで回避できると思われている面があるからです。個人情報の1次的取得者は海外と同程度に利用目的制限がありますが、1次的取得者が第三者提供を利用目的として同意を取りさえすれば、２次以後の取得者は弱い制約で利用することがグレーではあるけれど明らかな違法とはならないのは、日本だけなのです。

　第三者への提供を利用目的とできる日本の個人情報保護法について、どう思われたでしょうか？これを読んでいる人は、必ずふたつの側面を持っています。それは個人情報の本人としての立場と、個人情報を使って企業活動などをする利用者としての立場です。後者の立場としては、第三者への提供を利用目的にすることができる日本の仕組みは魅力的で甘い誘惑しかありませんが、一方で、本人としての立場でも見て、さらにはあなたのお子さんや大切な人の立場でも見て、それを安易に使うことの是非について考える機会に本稿がなれば幸いです。

---

　なお、本稿では、選手名、球団名、テレビ局名について触れませんでした。「割れ窓理論」はとても有名な理論であるにもかかわらず、その原典である論文への引用を目にした人や、論文原書を読んだ人は、あまりいないのではないでしょうか？それはその論文が、あまりに人種差別やその他の差別的表現が多かったからと推察しています。しかも、仮に「罪を犯しやすい人、たとえば、○○人」という書き方であれば、○○人という例示だけを省いてギリギリ引用ができるのですが、単に「○○人」と書いている箇所もあるために、直接引用すると「○○人は、罪を犯しやすい人」と引用者が解釈したことになるという欠陥があるからです。

　その欠陥を払拭するために、ぼくがその解釈をしたことにして、割れ窓理論の差別表現の悪役を引き受けることで「引用可能版」を用意しようとしました。ちなみに、欧米人がこれをすると解釈は個人の責任にしかなりませんが、日本では文脈で内容を解釈するという日本語ならではの特質があるので、ぼくが解釈したわけではなく、文脈として推定しただけと言い訳できるのは日本人だけです。しかし、本稿の時事話題がタイムリーだと思ったので、差し替えました。
　決して、悪役になることに二の足を踏んだのではありません・・・

国際規格ISO/IEC 27701プライバシー情報マネジメントシステムのJIS化

プライバシー対策に関わる国際規格であるISO/IEC 27701が、JIS化されて発行されますので紹介します。

日本語対訳書が2020年3月に出版されていましたが、このたび、JIS規格として国内規格になることになりました。

草稿はできあがり最終的な出版の準備が進められています。（2023年3月現在）

ISO/IEC 27701とは

ISO/IEC 27701は、ISMS（情報セキュリティマネジメントシステム）の要求事項を規定したISO/IEC 27001及びISMSを実施するための規範をまとめたISO/IEC 27002に、プライバシー対策に関する要求事項及び規範を拡張することにより、組織によるPIMS（プライバシー情報マネジメントシステム）の構築を支援することを目的とした国際規格です。

27701の開発経緯は、ブログ「ISO/IEC 27701「プライバシー情報マネジメントのためのISO/IEC 27001及びISO/IEC 27002への拡張」の解説」で紹介しています。

27701と国内規格や個人情報保護法との違いなどは、ブログ「国際規格ISO/IEC 27701プライバシー情報マネジメントシステムと国内規格や個人情報保護法との違い」で紹介しています。

国際規格の27701は、ISO/IEC 27002規格が構成変更になったことを反映するための改訂を終えて、出版の最終準備段階にあります。（2023年3月現在）

そのため、JIS 27701が出版されるときには、国際規格の27701が改訂されていることになりますが、国際規格の改訂は現状の考え方や内容が大きく変わるものではなく、27002の構成変更に対応するための改訂なので実質的な問題はないと言えます。

ISO/IEC 27701の対訳書の課題

話しをJIS 27701に戻すと、もともと対訳書がある国際規格がJIS化される場合には、基本的には対訳書を大きく変えることはありません。

しかし、国際規格の27701は、通常の単語の使われ方とは異なる定義語がいくつかあります。定義した単語なので、定義語だと割り切って、その単語の元の意味にこだわらずに読めばよいのですが、誤解しやすい規格文になっています。

それらを概ね直訳した対訳書をそのままJIS規格にすると、日本語でも同様に、誤解しやすい規格文になってしまいます。

ISO/IEC 27701のJIS化での用語の見直し

そこで、今回のJIS 27701では、定義されている内容に見合うように定義語を書き換えました。

たとえば、国際規格の「customer」を対訳書では「顧客」と訳してありますが、JIS規格では「取引先」と訳すことに変えました。
この単語の訳だけを見ると、「customer」の訳が「取引先」って日本語訳がおかしいと思うかもしれませんが、国際規格での「customer」の定義内容を読むと、それが必ずしも「顧客」だけの意味ではないことがわかります。

たとえば、「customer」の定義の中に委託先が含まれています。
規格として委託先を含むと定義しているので、委託先を「顧客」と呼ぶことは規格として間違えではありません。
しかし、規格文を読むときに頭の中で、「顧客には委託先も含まれている」 と言い聞かせながら読まなければならなくなります。

そこで、JIS規格では「取引先」と訳しました。顧客のことを「取引先」と呼ぶことに違和感があるかもしれませんが、委託先を「顧客」と呼ぶことの違和感よりは、比べればましなのではないかということで、そのようにしました。

他にもあります。対訳書では「partner」を「取引相手」と訳していますが、JIS規格では「相手方」としました。
規格では、取引のある相手のことだけではなく、遵守事項を守らせる契約をしただけの相手のことも「partner」としています。
取引があれば「取引相手」で違和感はないのですが、単に守秘義務の誓約書を交わすだけの対象を「取引相手」と呼ぶよりは、単に「相手方」と呼ぶ方が、取引の有無とは関係ないということについて読みやすくなるために書き換えました。

これらは、私が27701規格の対訳書を理解するためのコンサルティングで、「規格文に書いてある顧客を取引先のこと、取引相手を単に相手方と読み替えるとわかりやすくなりますよ。」と説明していたものが採用されました。後から思ったのは、コンサルティングのネタの１つがなくなってしまうので、ちょっと惜しいことをしたかなと後悔していたりもします。（笑)

コンサルティングで説明していることには、他にもあります。 

この規格では、いわゆる個人情報のことをPII（Personally identifiable information）と呼びますが、これに付随した用語で難解とされているものに、PII管理者とPII処理者があります。

用語だけからすると、PIIを管理する人がPII管理者で、PIIを処理する人がPII処理者と思ってしまいそうですが、そうではありません。

定義では、PII管理者はPIIの利用目的を決定する人で、PII処理者はPII管理者の指示に従ってPIIを処理する人となっています。そのため、PII管理者とPII処理者は、両者ともそれぞれの役割にそってPIIを管理し処理もします。

これらの用語を単語の意味合いからの誤解を避けて直感的に読めるようにするには、たとえば、PII利用目的決定者と、PII委託処理者などとすれば、管理と処理という単語にまどわされずに、わかりやすくなるかもしれません。

しかし、PII管理者とPII処理者という用語は、既に出版されているJIS X 9250(ISO/IEC 29100)で定義されているものなので、JIS 277071でも変えずに直訳したままにしました。（決して、コンサルティングのネタが惜しくなって、わかりにくいまま残したのではありません。笑）

 

以上のような背景で、JIS 27701規格の用語のいくつかを、あえて英単語とは異なる日本語にしましたので、規格を読むときの参考にしてください。

米国データプライバシー及び保護法の討議草案

米国データプライバシー及び保護法の討議草案が2022年6月3日に公表されました。

HOUSE AND SENATE LEADERS RELEASE BIPARTISAN DISCUSSION DRAFT OF COMPREHENSIVE DATA PRIVACY BILL
上記のページに草案について法条文と各章解説文が公開されています。

米国における同法の最初の草案が出されたのは2010年なので、かれこれ12年は出ては消え、出ては消えしている法案です。
第1案については、我輩は連邦プライバシー法である。まだ名は無い・・・
第2案については、米国連邦プライバシー法-第２案

の各記事で紹介してあります。

その後しばらく間が開いて、今回のものは通算で第4案となります。

この第4案については、上記法案の修正案（AMENDMENT IN THE NATURE OF A SUBSTITUTE TO H.R. 8152）が2022年7月20日の下院エネルギー・商業委員会にて、賛成53対反対2で賛成され、下院本会議での審議に進めることが決まりました。
法案が下院本会議で採決がはかられることになるところまで進んだのは第4案が初めてのことになります。

いまの時期に検討されているのは、2023年1月に施行されるCPRA(California Privacy Rights Act)の施行が関係していると思います。CPRAはGDPRより厳しい事項も含む規制となっており、ご興味あれば、こちらから記事を参照できます。

事業者にとっては、カリフォルニア州の市民だけを区別して事業をするのは現実的ではなく、州法が乱立するよりは、むしろ連邦法による規制の方が対応しやすいと考える事業者も多くいることになります。

では、本題の今回公開された草案の話しに戻ります。

草案の法条文と各章解説文について邦訳をしておきました。
米国データプライバシー及び保護法案（2022年版）邦訳

どちらも、DeepLによる機械翻訳をもとにしていますが、各章解説文については査読して手直ししてあります。法条文については、対象データの定義文などのごく一部だけ手直ししてありますが、ほとんどの部分は機械翻訳のままです。
ここでは邦訳した内容をもとに紹介したいと思います。

まず、法案名ですが、American data privacy and protection actなので、データプライバシー及び保護法となります。プライバシーの保護ではなく、プライバシー及び保護となっているので、意味としては、データプライバシー及びデータ保護に関する法律ということになります。
データ保護は日本法における安全管理措置に相当します。そのデータ保護をデータプライバシーの一部とするのではなく、法律名に列挙していることになります。

法律名にはデータとありますが、本法で対象とするデータは、対象データ（Covered data）として定義されています。

まずは、討議草案を紹介し、その後に下院委員会での修正案を紹介します。

「対象データ」という用語は、個人または一人以上の個人を識別する、リンクされる、もしくは合理的にリンク可能なデバイスを、識別する、リンクされる、または合理的にリンク可能な情報を意味し、派生データおよび固有の識別子を含む。ただし、以下を含まない。非識別加工されたデータ、従業員データ、または公開されている情報。 原文 (A) IN GENERAL.— The term "covered data" means information that identifies or is linked or reasonably linkable to an individual or a device that identifies or is linked or reasonably linkable to 1 or more individuals, including derived data and unique identifiers. (B) EXCLUSIONS.— The term “covered data” does not include— (i) de-identified data; (ii) employee data; or (iii) publicly available information.

前段の部分の包含関係がわかりにくいので「」を付けてくくってみます。

「対象データ」という用語は、「個人」または「一人以上の個人を識別する、リンクされる、もしくは合理的にリンク可能なデバイス」を、識別する、リンクされる、または合理的にリンク可能な情報を意味し、派生データおよび固有の識別子を含む。

となります。“識別する、リンクされる、または合理的にリンク可能な”を“識別等する”として置き換えて、列記した形式に言い換えると、以下のようにまとめることができます。

「対象データ」という用語は、 (1)個人を識別等する情報、または、(2)一人以上の個人を識別等するデバイスを識別等する情報 を意味し、派生データおよび固有の識別子を含む。

これが、以下のとおり下院委員会で修正されました。

「対象データ」という用語は、単独又は他の情報と組み合わせて、個人または個人を識別する、個人にリンクされる、もしくは合理的にリンク可能なデバイスを、識別する、リンクされる、または合理的にリンク可能な情報をいい、派生データおよび固有の持続的識別子を含み得る。ただし、以下を含まない。非識別加工されたデータ、従業員データ、公開されている情報、または複数の、独立しており、個人に関するセンシティブな対象データを明らかにしない、公開されている情報源だけから作成された推察。 原文 (8) COVERED DATA.— (A) IN GENERAL.— The term "covered data" means information that identifies or is linked or reasonably linkable, alone or in combination with other information, to an individual or a device that identifies or is linked or reasonably linkable to an individual, and may include derived data and unique persistent identifiers. (B) EXCLUSIONS.— The term "covered data" does not include— (i) de-identified data; (ii) employee data; (iii) publicly available information; or (iv) inferences made exclusively from multiple independent sources of publicly available information that do not reveal sensitive covered data with respect to an individual.

討議草案と同様の手順で以下のようにまとめることができます。討議草案からの修正箇所を赤色文字で示します。

「対象データ」という用語は、単独又は他の情報と組み合わせて、 (1)個人を識別等する情報、または、(2)一人以上の個人を識別等するデバイスを識別等する情報 を意味し、派生データおよび固有の持続的識別子を含み得る。

対象データの除外事項として、従業員データがあります。
これも法案で定義がされていますが、端的に言うと、事業者が雇用のために必要最小限なことを除外してあります。これによって、ほとんどの事業者は、従業員のデータについて個別に利用目的などを作文する必要がなくなります。逆に言うと、雇用のための最小限ではない利用をする事業者だけが、それを対象データとして取り扱う必要があり、従業者にとっては、そのような利用の存在があった場合に認識しやすくなります。

対象データの除外事項については、討議草案に対して修正案で以下のものが追加されています。

複数の、独立しており、個人に関するセンシティブな対象データを明らかにしない、公開されている情報源だけから作成された推察

法案で特徴的な概念としては、「affirmative express consent」があります。機械翻訳では、「積極的な明示的同意」と訳されましたが、各章解説文の邦訳では、あえて「アファーマティブ・エクスプレス・コンセント」とカタカナにして目立たせておきました。

expressは従来でいうexplicitに相当しており、明示的な同意を求めるものです。いわゆる、デフォルト・オンの禁止＝デフォルトでは同意をオフにしておきなさいというものです。これは、同意したつもりがないのに同意したとみなされることがあってはならないということです。とはいえ、デフォルトがオフ（不同意）であっても、書いてあることを読まずに本人がオン（同意）を選択してしまうことは、従来から起こりえます。そのため本当に同意していたのかを形式的に判断することには限界がありました。

一方で、内容をちゃんと確認した上で、不本意ではあるけれど同意するしかないという課題があります。
たとえば、何かのサービスを利用するにあたって、個人情報の利用目的に対して納得はいかないけれど、そのサービスを利用するには、同意するしかないから、同意の選択をせざるを得ないという場合です。この問題は、明示的同意では解決されません。
それに対処するためのものが、affirmative（積極的な）同意というものです。端的に言うと、不同意を選択できる状況での同意を求めるものです。
先の例でいれば、同意しないのならサービスを利用できないとした状況で得る同意はaffirmative同意を得たことにならないことになります。なんらかの利用目的に不同意をしてもサービスが利用できるようになっていれば、affirmative同意を得たことになります。

アファーマティブ・エクスプレス・コンセントは従来よりも厳しい条件となりますが、法案において、すべての同意についてそれを求めてはおらず、重要な同意が必要なときに限っての条件としています。
しかし、この同意条件が明文化されたことにより、重要でない同意ならばアファーマティブではなくてもよいのか？とう議論が始まるかもしれません。なぜなら、アファーマティブではないということは、不本意な同意ということですから、それはそもそも同意なのか？という議論になるかもしれません。

明示的な同意については、それが明示的なものかを外形的に判断できるのに対して、アファーマティブについては、同意内容の書き方によって抜け道はありそうです。これについては、本法がFTC法（連邦取引委員会法）に建てつけられることから、書き方でごまかそうとした場合には、従来からあるFTC法第5条における欺瞞的行為として罰することで抑止するのだと思います。

いずれにしても、今回の法案が４度目の正直で制定されるのかどうかに注目したいと思います。

 

米国データプライバシー及び保護法案（2022年版）邦訳

米国データプライバシー保護法の討議草案が公表されましたね。
HOUSE AND SENATE LEADERS RELEASE BIPARTISAN DISCUSSION DRAFT OF COMPREHENSIVE DATA PRIVACY BILL

とりあえず、日本語に翻訳しておきましたので、Googleドライブからダウンロードしてお使いください。

実際には、American data privacy and protection actなので、「データプライバシー及び保護」ではなく、日本語としては「データプライバシー及びデータ保護」ですが、長くなるので米国データプライバシー及び保護法としてあります。

翻訳に修正が必要な箇所があれば随時更新しますので、こちらのコメントに書いていただけると幸いです。

2022年7月22日追記：
本法案の修正案（AMENDMENT IN THE NATURE OF A SUBSTITUTE TO H.R. 8152）が、7月20日の下院エネルギー・商業委員会にて、賛成53対反対2で賛成され、下院本会議での審議に進めることが決まりました。

国際規格ISO/IEC 27701プライバシー情報マネジメントシステムと国内規格や個人情報保護法との違い

 

　プライバシー対策に関わる国際規格としてISO/IEC 27701が、2019年8月に国際標準として発行されました。この規格について紹介します。

ISO/IEC 27701とは

　これは、ISMS（情報セキュリティマネジメントシステム）の要求事項を規定したISO/IEC 27001及びISMSを実施するための規範をまとめたISO/IEC 27002に、プライバシー対策に関する要求事項及び規範を拡張することにより、組織によるPIMS（プライバシー情報マネジメントシステム）の構築を支援することを目的とした国際規格です。27701は、日本工業規格化はされていませんが、日本語対訳書が2020年3月に出版されています。

　27701は、PIMSを構築するためのものですが、独立したマネジメントシステムではなく、ISMSによるマネジメントシステムの拡張として規定されています。

　また、27701を基にしてISMSの審査及び認証を行う機関に対する要求事項の開発が2019年12月に開始され、2021年2月にISO/IEC 27006（情報セキュリティマネジメントシステムの審査及び認証を行う機関に対する要求事項）のPart 2（PIMS）が技術標準として発行され、現在対訳書が準備中です。27006-2については、さらに内容を充実させるための国際標準化の審議が継続されています。

　国内では、27701を基にしたISMS-PIMS認証が2020年12月から開始されており、既に認証を取得した組織もあります。

27701と15001の位置付け

　日本では、個人情報保護マネジメントシステムとしての日本工業規格として、JIS Q 15001が1999年に発行されています。こちらは、27701とは異なり、独立したマネジメントシステムとして規定されています。15001を基にした個人情報保護マネジメントシステムの認証としては、JIPDEC（一般財団法人日本情報経済社会推進協会）によるプライバシーマーク制度や、JAPiCO（一般社団法人日本個人情報管理協会）によるJAPiCOマーク制度などが普及しています。

　27701と15001は、将来どちらか１つに統合されるものではなく、異なる２つのマネジメントシステムを構築するためにそれぞれ利用することができるものです。

　15001の最新の改正は2017年に改正されましたが、この改正により、マネジメントシステムの要求事項は、ISMSの27001とほとんど同じになりました。異なるのは、管理目的と管理策の包括的なリストである附属書の内容と、それらを実施するための規範の内容になります。

　27701の管理目的、管理策及び規範は、国際標準であるISO/IEC 29100（プライバシーフレームワーク）に基づいています。29100は、対応する日本工業規格が2017年にJIS X 9250として発行されています。

　15001の管理目的、管理策及び規範は、日本の個人情報保護法に基づいており、それに利用目的の事前同意取得（オプトイン）を求めるなどの要求事項を追加した内容になっています。

 国際標準と国内法の違い

　国際標準が国内法と異なる点はいくつかありますが、その一つは、保護の考え方です。国内法では、その名のとおり個人情報を保護しようとします。たとえば、電話番号については、どういう状況なら電話番号が個人情報になるのかを考え、それに該当するなら保護します。他方、欧米では、電話番号は疑いなく個人情報とした上で、個人情報の利用を保護しようとします。たとえば、夜間に電話できる時間帯を制限したり、職場に個人の投資信託のセールス電話をかけたりすることは、プライバシーを侵害することとして保護します。しかし、職場の電話番号に職場で必要な事務用品のセールス電話をかけることはプライバシーの侵害としません。つまり、電話番号が何かではなく、電話番号を使って何をするかに制限をかけようとします。 これについて詳しくは、以下のコラムで紹介しています。

• デジタル・フォレンジック研究会 第596号コラム「個人情報保護法改正に向けて」

　プライバシー対策を個人情報保護対策と訳して考えてしまうと、それらに違いがあることにとまどうかもしれませんが、上記の前者を個人情報保護対策、後者をプライバシー対策と区別して考えれば、わかりやすくなると思います。実際にも、個人情報保護を英訳すれば、protection of personal informationあるいはpersonal information protectionであり、privacy protectionではありません。そのため、プライバシーを保護するという表現はあまりされず、プライバシーの尊重(respect for privacy)という表現をします。プライバシーを尊重するために、個人情報を保護するという建付けを欧米ではしており、国際標準はその考え方に基づいています。

　国際標準と国内法の異なる点としては、PII管理者とPII処理者を区別することもあります。（PII:Personally Identifiable Information）これについては、以下のコラムで紹介しています。

• デジタル・フォレンジック研究会 第559号コラム「クラウド時代の情報管理：情報の管理者と処理者を区別することの重要性」

　その他にも、異なる点がありますが、27701の規格文書の構成については、解説動画としてまとめてあります。

• YouTube 「[15分でわかる] ISO/IEC 27701 PIMS概要」

　規格の開発経緯は、以下の記事で紹介しています。

• ブログ「ISO/IEC 27701「プライバシー情報マネジメントのためのISO/IEC 27001及びISO/IEC 27002への拡張」の解説」

 27701と15001の使い分け

　以上のように、組織が構築するマネジメントシステムで国際標準に合わせたいなら27701を、国内法に合わせたいなら15001を利用するという使い分けをすることができます。

ＰＩＡ（プライバシー影響評価）という名のエゴ

個人情報保護の関連用語にＰＩＡというものがある。Privacy Impact Assessmentの略で、直訳するとプライバシー影響評価となる。

ＰＩＡについて意見を述べる前に、より身近な環境影響評価というのをまず紹介する。

街の中で大きな施設を建築するときなどに、環境影響評価をすることがある。
たとえば、工事中の騒音が近隣の生活に悪影響を与えないかとか、地面を大きく採掘して地下に構造物を作ることが地下水脈に悪影響を与えないかといったことを調査することで、環境への悪影響がないことを事前に評価して、環境を保護しようとするのである。
それによって、環境破壊が未然に防がれることになる。

そのように保護対象への影響を事前に評価することで、未然に保護違反を防ぐことは意義がある。
事前評価であることから、予測が前提の手法であり、事後の計測とは無関係という印象があるかもしれない。
しかし、過去の類似事例の計測結果と、それが与えた影響という先例を参考にすることで、影響を予測することができるのであるから、どのような計測を想定するかは予測には欠かせないことだ。

そのため、環境影響評価においては、たとえば騒音であれば音量を計測することができ、水脈への影響も水流量を計測することができる。
それによって過去の事例で計測された定量値とそれが与えた影響に基づいて、今回予想される定量値が害のある悪影響をもたらすのか、許容できる範囲内の影響にとどまるのかを評価することができる。

ＰＩＡは、環境影響評価が環境保護を目的とする手段であるのに対して、プライバシー保護を目的としているものと考えることができる。
実際には、個人情報を取り扱う仕組みやシステムを構築する際に、それがプライバシーに与える影響を評価するということになろう。

このとき、ＰＩＡが保護するプライバシーについて、何を計測すれば、それがプライバシーへの影響を予測できるのだろうか。
そもそもプライバシーとは何か？というお題はあるが、ここではその議論は避けて、ここでは、個人が邪魔をされないことでプライバシーが保護されるという範囲にする。
英語では、Leave me aloneと言われるが、それがプラバシーであるということではなく、本稿ではその範囲でＰＩＡを考えることにするということである。

そうすると、個人が邪魔をされない程度の影響にとどまっているかの評価がＰＩＡということになる。
それができれば、環境破壊を未然に防ぐことができるのと同様に、個人が邪魔をされなくなるはずである。

しかし、個人が邪魔をされたかは、個人それぞれの主観によるところが大きい。
たとえば、企業が商品紹介の広告を電子メールで送る際に、メール受信者がどの程度の頻度なら許せて、どの頻度なら邪魔だと思うかは、人それぞれである。
環境保護の場合の騒音も実は同じはずだが、そちらは、測定値に対して、どれ以上の音量であれば悪影響のある騒音とするかの基準値が定められている。
本来は、その基準値を許容できる人もいれば、むしろ、基準値をもっと下げるべきだと思っている人もいるかもしれないが、ある意味勝手に定められている。
これに相当することを、広告メールの送信頻度が個人を邪魔する影響の予測に適用することは適当なのだろうか？
そうではなく、本人が邪魔だと思うのがどの程度かを、本人に選択してもらうという、選択肢を提供する方が適当なのではないだろうか。
そのような機能の有無を評価するだけなら、影響の評価などという回りくどい言い方をする必要はない。

ＰＩＡから得られる語感は、「あなたのプライバシーに与える影響を評価して対策してます。」という印象だ。

しかし、まさかとは思うが、ＰＩＡが、本人のプライバシーに与える影響の評価ではなく、誰かのプライバシーを侵害した場合に自社が受ける損害に関する影響の評価になっていたりはしないだろうか。
それでは、実際には自分への影響を評価しているエゴを、あたかも、よそ様への影響を評価してあげているふりをしているだけということになる。
ＰＩＡの影響を自社の損害金額に換算しようとしていれば、エゴ型ＰＩＡそのものだ。

今年から始まるマイナンバー制度では、ＰＩＡに相当していたはずのことを、個人情報保護評価と称した。
個人情報保護評価には、プライバシーという用語も、影響という用語もない。
したがって、個人情報保護評価がＰＩＡに相当しているという文脈には、違和感がある。
ＰＩＡはやめて、個人情報保護評価にしたということであれば、違和感はない。

そのように、自社が受ける悪影響を回避するための取り組みを実施することや、その実施内容に異議はない。
それによって、間接的によそ様への悪影響の軽減にも役立つだろうから、実施した方がよいだろう。
しかし、その取り組みを、あたかも、よそ様への影響を直接評価しているかのように呼ぶことには違和感がある。

さて、それでもなお、ＰＩＡを実施するという人には問いたい。
保護するプライバシーとは何か？
その影響は誰にとっての何の影響なのか？
影響を予測するために想定する測定は何なのか？と。

それに答えることもできず、特に誰にとっての影響かをあいまいにしたままで、実際にはプライバシーを侵害した場合に自社が受ける影響の評価をＰＩＡと呼んでいるならば・・・
それは、ＰＩＡという名のエゴでしかない。

 

（この記事は、IDFコラムとして2015年1月26日に寄稿した記事を再掲したものです。）

 

米国の Privacy Bill of Rights Act 法案

今回で３回目となる法案が公表されました。

Privacy Bill of Rights Act
https://www.markey.senate.gov/imo/media/doc/Privacy Bill of Rights Act.pdf

例によって、見づらいファイル形式なので、インデントを揃えて文脈を読みやすくしましたので、ご自由にお使いください。

 

ダウンロード

　MS Word: PrivacyBillofRightsAct201904.docx (72KB)

　PDF: PrivacyBillofRightsAct201904.pdf (255KB)

米国法案特有の用語などについては、これまでの以下の記事を参考にしてください。

1. 「我輩は連邦プライバシー法である。まだ名は無い・・・」(2010年5月20日)
2. 「米国連邦プライバシー法-第２案」(2010年7月22日)
3. 「米国消費者プライバシー権法検討素案におけるパーソナルデータの定義」(2015年3月2日)

いよいよ、３度目の正直になるのでしょうか・・・

匿名加工情報に「仮ID」という用語を使うことに違和感がある

国立情報学研究所が「匿名加工情報の適正な加工の方法に関する報告書」を公表した。

匿名加工情報の適正な加工の方法に関する報告書を公表／NII「匿名加工情報に関する技術検討ワーキンググループ」

この報告書を読んだところ、内容はよく整理されていており有益であるにもかかわらず、文章を読むときに違和感を覚えた。
この違和感は、なんだろうと考えたところ、それは、この報告書そのものではなく、改正個人情報保護法のために個人情報保護委員会が作成したガイドラインのひとつである「個人情報の保護に関する法律についてのガイドライン （匿名加工情報編）」によるものであることに気づいた。

個人情報保護委員会「改正法の施行準備について」

このガイドラインの内容について気にしていたものの、用語については、これまであまり気にしていなかった。
しかし、改めて用語を気にして読んでみると、「仮ID」という用語に違和感がある。むしろ、誤用ではないかと思えたので、その違和感について紹介してみる。

「個人情報の保護に関する法律についてのガイドライン （匿名加工情報編）」には、IDを含む用語が「ID」「会員ID」「管理用ID」「仮ID」の４つある。
これら４つを、どう使い分けているのかを整理してみる。

「ID」について特に説明はないが、

 

個人情報取扱事業者が個人情報を取り扱う上で、例えば、安全管理の観点から取得した個人情報を分散管理等しようとするために、当該個人情報を分割あるいは全部又は一部を複製等した上で、当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号としてID等を付していることがある。このようなIDは、個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり、特定の個人の識別又は元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。 個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち、「現に個人情報取扱事業者において取り扱う情報（※1）を相互に連結する符号」がここでの加工対象となる。具体的には、ここで対象となる符号は、匿名加工情報を作成しようとする時点において、実際に取り扱う情報を相互に連結するように利用されているものが該当する。例えば、分散管理のためのIDとして実際に使われているものであれば、管理用に附番されたIDあるいは電話番号等もこれに該当する。 なお、他の符号に置き換える場合は、元の符号を復元できる規則性を有しない方法でなければならない。   【想定される加工の事例】 事例1）サービス会員の情報について、氏名等の基本的な情報と購買履歴を分散管理し、それらを管理用IDを付すことにより連結している場合、その管理用IDを削除する。 事例2）委託先へ個人情報の一部を提供する際に利用するために、管理用IDを付すことにより元の個人情報と提供用に作成した情報を連結している場合、当該管理用IDを仮ID（※2）に置き換える。

 

という文章の中に、「当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号としてID等を付していることがある」という表現があることから、「ID」は、「当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号」としているようである。

 

「会員ID」についても、特に説明はないが、

 

会員ID、氏名、住所、電話番号が含まれる個人情報を・・・

 

という文脈で登場することから、暗に「氏名、住所、電話番号と共に保存されているID」を指しているようである。

「管理用ID」についても、説明はない。

 

事例1）サービス会員の情報について、氏名等の基本的な情報と購買履歴を分散管理し、それらを管理用IDを付すことにより連結している場合

という文脈で登場することから、「氏名等の基本的な情報と購買履歴を分散管理し、それらを連結しているID」のことのようである。

 

で、本題の「仮ID」であるが、

 

仮IDを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。

 

という注記として、このガイドラインの中では最初に登場することになる。

このような書き方は、法令等の条文によく見られるのだが、実務現場で誤解を生じやすい。
この文体は、実は、２つのことを一つの文で兼ねさせているのである。
例えば、これが規格文書であれば、以下のような２文で記述することになる。

 

(1)IDを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。 (2)元の記述を復元することのできる規則性を有しない方法で付されたIDのことを、仮IDと言う。

 

(1)は、行為の要件を規定しており、(2)は用語を定義している。
実務現場で誤解を生じやすいと書いたが、ようは、法律を勉強したことのない一般の人からすると、後者の２つに分けた文章の方がわかりやすいということだ。

どういう誤解が生じるかというと、

 

仮IDを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。

 

という文章を読んだときに、一般の人は、語尾が「しなければならない」であることから、この文章は遵守事項の文だと考える。
このときに、文中に用語定義が内包されているというふうには読みにくい。
そのため、

IDを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。

 

というようなつもりで読む。
しかし実際の文章は、「仮IDを付す場合には、」で始まっているために、
「仮IDには、元の記述を復元することのできる規則性を有するものと、有しないものの２種類がある」という誤解を生じやすい。
よくよく読むと、一般の人でも、

仮IDを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。

 

には、

元の記述を復元することのできる規則性を有しない方法で付されたIDのことを、仮IDと言う。

 

という意味合いが含まれていることに気づけるが、そのように読むことに慣れてはいない。

その結果、現場では、「仮IDには、元の記述を復元することのできる規則性を有するものと、有しないものの２種類があり、有しないようにしなければならない」として、「仮ID」という用語が使われ始めてしまう。
これは、用語が不正確だが、「元の記述を復元することのできる規則性を有しない」ことが必要であることは伝わっているので、一見すると問題ないように思えるかもしれない。
しかし、問題なのは、「元の記述を復元することのできる規則性を有するもの」も「仮ID」と呼ばれてしまいかねないということである。

 

要件を満たしていることを期待している人が「これ、仮IDになってる？」と確認したときに、
要件を満たしていないことをしている人が「うん。それは仮IDだよ」という仮性対話が発生してしまいかねないということだ。

 

そのことを踏まえれば、法条文に読み慣れていない人が読むことも想定されるガイドラインで、わざわざ、わかりにくい文章にする必要はない。
わかりやすさを優先して、素直に、

 

IDを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。 元の記述を復元することのできる規則性を有しない方法で付されたIDのことを、仮IDと言う。

 

と２文で書けばよいだけのことだ。

この誤解と懸念は、文章構成によるもので、この「仮ID」に限ったことではないのだが、ここで「仮ID」には大きな罠がさらにある。

 

それは、以上を踏まえた上で、「仮ID」という用語に違和感はないだろうか？
繰り返すが、

 

元の記述を復元することのできる規則性を有しない方法で付されたIDのことを、仮IDと言う。

 

となるわけである。
普通に考えて、そのような要件を満たすものに「仮」という日本語を使うことに違和感はないだろうか？
日常生活で「仮」といったら、いずれ「本物」になるものとかの意味ではないだろうか。
今回の使い方は、むしろ、逆で、本物に相当するものがあった上で、後から付されるIDなのである。

本物IDがあって、それを加工するなら、「代替ID」などが自然だろう。
しかし、もともとのものにIDがなく、新たにIDを付す場合もあるので、そうなると「代替」というのも不自然である。
「一時的ID」か？というと、永続的に使うこともあり得るので、「一時的」でもない。

 

そこで、この用語の定義に戻ってみると、

 

元の記述を復元することのできる規則性を有しない方法で付されたIDのことを、ＸＸと言う。

 

のＸＸ部分の用語を決めようとしているのであるから、そこに端を発すれば、たとえば「規則的復元不可能ID」などにすれば、直感的にわかりやすい。
一方で、そもそも、「元の記述を復元することのできる規則性を有しない」ことの目的は、「特定の個人を識別できない」ようにすることなわけだから、「特定個人非識別ID」と言うこともできる。
その意味では、「特定の個人を識別しないが、ある個人を識別している」ことを、「個人識別非特定」と整理した時期もあった。
それに習うなら、「個人識別非特定ID」と呼べそうである。
その場合、IDとは、Identifierのことで識別符号であるから、「個人識別非特定」の内の識別の意味はIDという用語に元からあるため、「個人非特定ID」と呼んでも、表現としては足りそうである。

 

あるいは、匿名加工情報の中で使うのだから、「匿名加工ID」などでも、「仮ID」よりはましだろう。「匿名加工」を単独で使うと、それが非識別非特定なのか、識別非特定なのかの区別がつかないものの、「匿名加工ID」や「匿名用ID」、「匿名ID」であれば、先に説明したように、IDそのものに識別の意味があるので、それが識別非特定であることは自明とも言える。

いずれにしても、現場では、「これ、ＸＸになってる？」という会話で、誤解なく伝わるようにすることに配慮することが重要であろう。
このとき、
「これ、仮IDになってる？」というのと、
「これ、個人非特定IDになってる？」というのと、どちらが誤解なく伝わるかということだ。

 

以上のようなことを気にしてみると、「仮ID」という用語を使うのは、日本語の使い方として乱暴すぎると思う。

 

同様の懸念は、「管理用ID」という用語にもあるが、長文になったので、説明を省いて結論だけ書くと、同様の理由で、ガイドラインにある「管理用ID」は「個人特定ID」などと呼ぶことにした方が、わかりやすい。
そのようになれば、ガイドラインにある

 

管理用IDを仮IDに置き換える

 

という文章は、

個人特定IDを個人非特定IDに置き換える

 

という文章にできるのである。

個人特定IDと、個人非特定IDというのは、あくまで、例示だ。
ガイドラインでは、「連結」という表現をたびたびしているので、連結IDと非連結IDなども考えられる。さらには、先に紹介したとおり、「仮ID」については、「匿名用ID」でもよいかもしれない。そもそも、なんとかIDという呼び方にこだわらなければ、現状のガイドラインの内容からすると「仮名」でよく、それなら、英語でも「pseudonym」に訳せるようになる。

 

いずれにせよ、管理用IDと仮IDよりは、余程わかりやすいと思う。

 

そのような、わかりやすさに配慮して、用語を慎重に決めることが重要だと思う。

 

このままだと、匿名加工情報における適切なIDが、「仮ID」という呼び名で世の中に広まることには語感としての違和感があるし、何より誤解されやすいと思う。

 

個人情報保護法の個人情報保護委員会ガイドライン参考資料

個人情報保護委員会「改正法の施行準備について」
http://www.ppc.go.jp/personal/preparation
・公表版：「ガイドラインについて」に掲載されています
・意見募集案版：委員会における検討経過「個人情報保護法ガイドライン（案）について」に掲載されています

意見募集結果
http://search.e-gov.go.jp/servlet/Public?CLASSNAME=PCMMSTDETAIL&id=240000025&Mode=2

上記参考サイトの資料を元に意見募集案版と意見募集後の公表版との修正箇所を示した資料を作成しました。
zipファイルを解凍するとMS Wordファイルになりますので、アンチウイルスソフトでご確認の上で自由にお使いください。　

　「pipa-ppc-guideline-20161130.zip」をダウンロード

上記からダウンロードできない場合は、こちらをお試しください。

　http://yosihiro.com/doc/pipa-ppc-guideline-20161130/index.html

ＥＵデータ保護対応で日本企業にとって十分性認定はＳＣＣより有利か？

日本企業がＥＵの個人情報をＥＵ域外に持ち出して取り扱う場合の制約について、日本企業にとって、十分性認定がＳＣＣ（標準契約条項）より無条件に優れているかについては、ちょっと立ち止まって考えてみたい。

日本企業がＥＵで消費者向け事業を直接するというＢ２Ｃの場合には、ＳＣＣを使うことができないが、それ以外のＢ２Ｂの場合、たとえば、日本のクラウドサービス事業者がＥＵ企業にも自社の国内クラウドセンターを使ってもらうという場合を想定して考えてみる。

※十分性認定とＢＣＲ，ＳＣＣの違いについては、日経ITproの「［第2回］「十分性認定」のない日本企業」がわかりやすい。

十分制認定が取れていれば、企業が個別に手間がかからなくてよいという利点があるのは確かだが、そのためには、本来は内政である国内の個人情報保護基準をＥＵに合わせることになる。
たとえば、日本の個人情報保護法は現行法でも改正法でも、個人情報を取得する際に利用目的を通知するだけで、同意を得る必要はない。しかし、十分性認定を取るためには、同意を得る必要がある。
個人的には、同意を得るのがよいだろうと思っているが、それは日本がその是非を判断して決めることであって、その是非をＥＵに強制されるということには疑問がある。
国内基準は海外基準も視野に入れて決めないといけないのだから、最初から海外基準を採用すればいいではないかという考え方があるかもしれないが、それは海外基準を無条件に採用することとは異なる。当該海外基準の内容を見て、それが国内でも適当であるから海外基準を文書をそのまま使うと判断することと、内容の判断なく基準をそのまま受け入れるということとは異なる。

本来の最善策は、米国ＥＵセーフハーバーのように、国内基準は自分で決め、ＥＵと取引したい企業は自らの選択として、ＥＵ基準に合わせるというのが最善ではあろう。しかし、セーフハーバー締結はいろいろな駆け引きがあり、現状の日本政府がそれをできないのであれば、十分性認定を次善とするより、ＳＣＣが次善策なのではないだろうか。

また、ＳＣＣの欠点は手間がかかることであるが、その手間には以下の３点ある。
１．データ受理者（日本企業）がＥＵの求める管理体制の整備をしないといけないこと
２．データ送出者（ＥＵ企業）がＥＵの求める管理体制の整備をしないといけないこと
３．それらについてＥＵのＤＰＡから認定を受けること

１については、本来しなければならないことが求められているのであって、いずれにしてもすることになる。すなわち、十分性認定を国が取るとしたら、全国内企業はそれを常に求められるている。したがって、これはＳＣＣとしての欠点にはならない。
先に３については、国内規制であれば日本語だけでよいが、英語で書面などを準備しなければならないという手間が増える。しかし、そもそも、やりたいことは、ＥＵ企業相手の事業なのであれば、認定を受けるという手続きの手間は増えるが、英語での整備については、追加として増えることではないのではないか。
そして２についてであるが、十分性認定があれば、事業のお客様となるＥＵ企業にこれを求め、それについて３を求めることが、事業で不利になるということが指摘されている。
手間の観点では確かにそうだが、リスク・マネジメントの観点も加味した方がよい。
たとえば、個人情報の流出が複数の関係者、すなわち複数の企業間で起きた場合だが、機密情報が流出した場合に比べると、流出源を外部状況から観察して特定するのは比較的困難になる。そのとき、企業間の関係が対等ではなく受発注関係であると、通常は、発注者が受注者からの流出を疑い、それがなかったことの説明を求められる。しかし、仮に、発注者からの流出だった場合に、受注者側からそれを言い出すことはやりにくいだろう。
ここで当然なのは、発注者も十分な管理をしていなければならないが、それを受発注間の契約で言及することは通常は行われない。しかし、この点は、実は受注者側の残存リスクである。受注者の無実を証明しない限り責任を取らされる可能性があり、それが受注者側だけの片務でかかっているというのが、通常の機密保持契約書だ。
ＳＣＣを締結するにあたっては、上記２により、これを求めることができ、さらに３によってＤＰＡが認定するということによって、契約書外でリスク・マネジメントできる利点があると捉えることはできないだろうか。

ＥＵ企業のお客様に対して、ＳＣＣ締結を求めなければならないということは、ビジネスの不利な条件ではあるが、その場合の競合相手の他国の企業とは、サービス内容や価格で、その手間を圧しても有益であるという差別化ができればよい。
もちろん、サービス内容や価格が同等の場合には、不利ではあるが、ＳＣＣ認定を容易に取得できないＥＵ企業と取引することのリスクもまた考えてもよいのではないだろうか。
特に、日本国内での委託先での個人情報流出事案では、流出源の調査には発注元も協力して解決に当たっているし、発注元は自身への被害を最小化することで委託先への損害賠償額も抑止される。しかし、ＥＵ企業の場合には、はたして、同様になされるだろうか？まずは、受注者が無実の証明を一方的に求められないか？さらに国内では実費相当の損害賠償が基本となるのに対して、ＥＵでは高額な制裁金も課されるだろう。
ＳＣＣを締結すると、その原因調査や責任分担が明確になるとは、もちろん言えないが、ＳＣＣ締結に難色を示すＥＵ企業は、要注意だと考えることもできないだろうか。

そんなことも考えながら、日本は、十分性認定を取ることが次善なのかを決めることが大切だと思う。
ただ、いずれにせよ、最善なのは、日本ＥＵセーフハーバーではないかと考えている。

EUが発行したGDPRの英文に苦言を呈してみる（笑

基準書や規格書などを作成していると、文章の平仄（ひょうそく）に敏感になります。
で、前から気になっていますがEUが出す規制文書の平仄は実はあまりよくないという印象を持っています。
個人情報保護に関するGDPRも相変わらずのようです。
　European Commission - Protection of personal data
　http://ec.europa.eu/justice/data-protection/

GDPRでは、本人からの同意の取得方法について、明示的な方法での取得が明記されました。これをexplicit consentと呼んでいます。
この用語は今回の目玉のひとつと言ってよいと思います。
それなのに、それとは関係ない文章でもexplictという単語を使ってしまっています。

EUに、お前の英語は酷いと言っても直さないでしょうから（笑）、和訳でこの酷さを解消するのがよいだろう。ということで、以下のように意訳しました。

5条1項(b)
collected for specified, explicit and legitimate purposes
特定され明確でありかつ適法な目的のために収集されなければならず

9条2項(a)
has given explicit consent
明示的に同意を与えた

21条4項
shall be explicitly brought to
明確にデータ主体の注意がもたらされ

22条2項(c)
the data subject's explicit consent
データ主体の明示的な同意

49条1項(a)
the data subject has explicitly consented to the proposed transfer
データ主体が提案された移転に明示的に同意した

つまり、原文のexplicit/explicitlyについて、consentに係る場合には「明示的」と和訳し、それ以外については「明確」と訳してみました。
逆に言うと、明確にと和訳した箇所は、平仄からすると、そもそも英文でexplicitを使うのは好ましくないと言えます。
その意味であれば、clearly, expressly や clarifyなど同義の別の単語をこの文書では使うべきでしょう。
つまり、
5条1項(b)では、claered and clarified
21条4項では、expressly
などの単語を使うべきで、
さらに、49条1項(a)は、explicitly consentedとはせずに、explicit consentで作文すべきでしょう。
そのためには、9条2項(a)と平仄を揃えて、has given explicit consentとすればよいでしょう。

ちなみに、明示的同意については10年前くらいから紹介してきたものと同じです。

　アメリカ企業におけるCPO業務の実際：https://youtu.be/RviU18iIGOI

明示的同意取得についての説明は、６分くらいから３分間くらい
↑
ＵＲＬで再生開始時間を指定してありますがスマフォで開くと、最初から再生されるようです。
リンクをブラウザで開くと該当箇所から再生されます。

ということで、全文の和訳は某所からじきに公開されるとのことです。
公開されましたら、この場とtwitterでもご案内いたします。
　https://twitter.com/4416sato

お楽しみにｖ

（追記）
ということで、仮訳全文が公開されましたので、ご参照ください。

　JIPDEC：EU一般データ保護規則（仮訳）について

報道機関の失策から学ぶ，個人情報の保護と利活用のバランスから両立への転換

個人情報の保護と利活用について、バランスを取るという表現をかつてしていたが、最近は、バランスではなく両立という表現にすべきだろうと思っている。それについて、失策とも思える事例から学ぶことができた。

2016年2月10日に新聞協会主催で「個人情報保護改正と報道の自由～国民の知る権利は脅かされるのか」という公開シンポジウムが開催されたので聴講してきた。

パネルディスカッション形式で、記者、大学教員、個人情報保護委員会事務局が発表と意見交換をした。

パネルディスカッションの内容は、順不同だが、記者の主張は、おおまかに言うと、現行法において個人情報の第三者提供同意取得について、報道機関は義務を除外されているのに、取材先がそのことを知らないので、情報提供を拒否され取材に支障がある。ということだ。

それについて、個人情報保護委員会は以下の法条文を示して、報道機関はちゃんと除外されているのだから、その誤解をなくすようにしていきたいと協力姿勢を示した。

（適用除外） 個人情報取扱事業者等のうち次の各号に掲げる者については、その個人情報等を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、第４章の規定は適用しない。 一　放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。）報道の用に供する目的 二～五（略） ２　前項第１号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。 ３　第１項各号に掲げる個人情報取扱事業者等は、個人データ又は匿名加工情報の安全管理のために必要かつ適切な措置、個人情報等の取扱いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するように努めなければならない。

さらに、個人情報保護委員会の権限の行使の制限でも除外されていることを紹介した。

（個人情報保護委員会の権限の行使の制限） 第43条　個人情報保護委員会は、前三条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。 ２　前項の規定の趣旨に照らし、個人情報保護委員会は、個人情報取扱事業者等が第76条第１項各号に掲げる者（それぞれ当該各号に定める目的で個人情報等を取り扱う場合に限る。）に対して個人情報等を提供する行為については、その権限を行使しないものとする。

記者からの発表では、個人情報に関係する情報の提供を受けても、それについてプライバシーを侵害するような報道内容にならないようにした事例が紹介された。それについて細心の注意を払っているのだから問題なく、このような情報が提供されないことで有益な報道に支障があることは問題だと主張した。

このやりとりには少し違和感を感じた。

それは、義務を除外されているから情報を提供するよう頼むのではなく、もらった情報の取り扱いに細心の注意を払うことを相手にちゃんと説明して、情報を提供してもらえばよいのではないか？と。

このパネルディスカッションに登壇するような記者は、報道する際に、個人情報の保護にも留意し、プライバシーの侵害がないような報道をこころがけているに違いない。しかし、すべての記者が全員そうだと言い切れるのだろうか。

パネルディスカッションの中では、もうひとつ興味深いやりとりがあった。

大学教員が、自分の講座の受講生に学外合宿の案内をメールで送りたいので、大学の教務課に学生のメールアドレスをもらいにいったら、個人情報保護の観点で渡せない。と言われ呆れたという話しを披露していた。

これに対して、個人情報保護委員会からのパネリストは、「それは法律を誤解している。教務課が教員に大学業務のために情報を渡すことに規制はない。教務課に一言物を申し上げたいくらいです。」と返して、場内の笑いを取っていた。

これには完全な違和感があった。この教員は、教務課からメールアドレスの入手を試みるのではなく、学外合宿の案内文を作成し、教務課にそれを学生に送信してもらうように依頼するべきだろう。それをまずしたのか？を問うのが、個人情報保護委員会が確認するべきことだろう。

ほとんどの場合、個人情報の入手は、何らかの目的を遂行するための手段でしかない。その目的遂行のために、個人情報の移転が極力生じない手段を考えることが重要だ。安易に、個人情報を入手しようとする人は、個人情報を軽率に扱おうとしている傾向にあると思う。

教務課は、そんな意識のこの教員にだからこそ、「個人情報保護の観点で渡せない。」と対応したのかもしれないとさえ思えた。実際には、上記のような別の手段を思いつかなかっただけで、意識が低いということはないだろうとは思うが。。。

これらの問題で共通することは、法律上、個人情報の第三者提供を本人同意なくできるとしても、情報の保有者が、嫌だと思えば、提供はされない。すなわち、本人同意なく第三者提供できるのであって、提供しなければならなくなるわけではない。

どういうときに、嫌だと思うかといえば、安心できない場合だろう。こいつに提供したら、後から本人からの苦情がくるようなことになりそうだと思えば、安心できない。そうなれば、提供できるが提供しないと判断することになる。

記者は、情報の提供を個人情報保護法の制約を理由に断られており、その制約から報道機関が除外されていることを国はちゃんと周知してくれないと困るという苦言を示したが、提供者に、「情報を提供したいのは、やまやまだけれども・・」と前置きされたのだろうか。そうでないとすれば、「あんたのことは信用できないから嫌だ」と言う代わりに、手っ取り早く、制約を理由にされているということはないだろうか。

安心してもらうには、ちゃんと保護することを信じてもらうことが必要だ。ちゃんと保護することで提供してもらうことができ、利活用することができるようになる。

つまり、保護するから利活用ができるのであって、保護されなくすることで利活用しようとする発想は根本的に間違っている。個人情報の保護と利活用は、バランスさせるのではなく両立させるように取り組まなければならないのである。

その観点において、個人情報保護法改正で報道機関は不幸なことになってしまったかもしれない。パネルディスカッションで記者が発表したような注意を払っているならば、それを怠っていないことについては、個人情報保護委員会に対して胸をはって報告をし、必要なら正々堂々と立ち入り検査も受け入れればよかったはずだ。報道機関がプライバシー侵害を抑えることについては、自己宣言だけではなく、第三者機関からも監視されており問題があれば指導もされると言えば、安心を得やすかっただろう。

しかし、委員会のそれらの権限行使から除外されるところに身を置いてしまうと、情報の提供者に安心感を与えることは、むしろ難しくなってしまったのではないだろうか。

もしも、このような除外を報道機関が、自ら求めたのであれば失策と言えるのではないだろうか。

報道機関ではない民間事業者は、このことから学ぶべきことはなんだろうか。

民間における個人情報利活用に必要なのは、保護の義務を低減してもらうことではない。そのような低減を求めるのではなく、個人情報を適切に保護し、その利用においてプライバシーを十分尊重していることをわかりやすく説明し、それらの実施について第三者機関から検査されても遜色ない状況にあることを理解してもらうことで、安心してもらうことができるようになってこそ、利活用ができるようになると考えて取り組むべきだろう。

だから、保護と利活用は、バランスではなく両立させると明確に宣言するのがよいと思う。

米国NISTの考えるプライバシーリスクマネジメントはよい方向

米国NISTが「Privacy Risk Management for Federal Information Systems」という文書のドラフト版の意見募集をしています。
意見募集の告知：http://csrc.nist.gov/publications/PubsDrafts.html#NIST-IR-8062

 

ドラフト版文書：http://csrc.nist.gov/publications/drafts/nistir-8062/nistir_8062_draft.pdf

 

これまでの同類の文書でありがちだったのは、「ＰＩＡ（プライバシー影響評価）という名のエゴ」で紹介したようなことでしたが、上記の文書は、これまでに比べて、以下のとおり相当まともです。

 

内容としては、まずリスクマネジメントの説明をしていますが、これは従来からの一般的な内容と変わりはありません。

 

特徴的なのは、Privacy Engineering Objectivesとして以下の３つをあげていることです。

 

　・Predictability（予見性）
　・Manageability（管理性）
　・Disassociability（非関連性）

 

従来の、プライバシーリスクマネジメントは、本来は直接の観点ではないデータ・セキュリティのことになってしまっているところ、この文書は、データ・セキュリティは基礎的な要素として踏まえることとして、この文書の観点から除外して上記３つについてを説明しています。

 

日本語に翻訳するのが難しい用語ばかりを使われてしまいました（笑）が、これら３つによる整理はよくできていると思います。
ただ、これら３つに網羅性や体系性が十分であるかが気になるところですが、基本３要素的には、申し分ない要素だと思います。

 

追記：

その後、上記文書は、2017年に
NIST IR 8062 An Introduction to Privacy Engineering and Risk Management in Federal Systems
として発行され、その概要を示す
ITL Bulletin - Building the Bridge Between Privacy and Cybersecurity for Federal Systems
が公開されています。

地方自治体によるマイナンバー保護評価における第三者点検に必要な５つのステップ

今年度からいよいよ国民に通知されて利用が始まるマイナンバー制度。

３月末には新聞全国各紙に折り込み広告として、広報紙も配布されました。
その中で「安心・安全な仕組みづくり」として以下の７項目が紹介されています。

個人情報は分散管理 一元管理しないことで、芋づる式の情報漏えいを防ぎます。 成りすまし防止 行政手続などで、マイナンバーのみの本人確認は行いません。 システムへの接続制限 各機関で情報連携を行う際は、接続できる人を制限。通信の暗号化も行います。 マイナンバー保護評価 各機関がマイナンバーのシステム開発や改修を行う前に、実施します。 アクセス記録の確認 自宅のパソコンで、自分の個人情報にアクセスした行政機関を確認できます。 第三者機関の新設 制度の運用を厳しく監視する、特定個人情報保護委員会を設置しました。 罰則の強化 マイナンバーの漏えいや目的外の収集には刑事罰が科せられる場合があります。

この中で「マイナンバー保護評価」以外については、内容がだいたい推定できる見出しになっており、さらに、それら見出しの下に、内容の説明が書いてあって、細かなことはわからなくても、なんとなくわかるようになっています。
ところが「マイナンバー保護評価」については、見出しの語感からは何のことかわからない上に、その下の文は
　「各機関がマイナンバーのシステム開発や改修を行う前に、実施します」
と書いてあるだけで、説明になっていません（苦笑）。

そんなマイナンバー保護評価ですが、それを地方自治体で実施するときに注意した方がよいことを紹介します。

最初に紹介した広報は国から届いたものを紹介しましたが、マイナンバー保護評価は、マイナンバーを取り扱う機関、たとえば住んでいるところの市や区といった地方自治体でも実施されます。

広報誌では「マイナンバー保護評価」と書かれていますが、正式名称は「特定個人情報保護評価」で、それをキーワードにしてネット検索などをすると関連情報を見つけることができます。
自分の住んでる自治体が、すでにその評価をしているかは、自治体のホームページや、特定個人情報保護評価書検索サイトで検索できます。

特定個人情報保護評価書検索 http://www.ppc.go.jp/mynumber/evaluationSearch/

評価をすることは、マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）第２６条及び第２７条で以下のとおり定められています。

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号） 第五章　特定個人情報の保護 第一節　特定個人情報保護評価 （特定個人情報ファイルを保有しようとする者に対する指針） 第二十六条 　特定個人情報保護委員会は、特定個人情報の適正な取扱いを確保するため、特定個人情報ファイルを保有しようとする者が、特定個人情報の漏えいその他の事態の発生の危険性及び影響に関する評価（以下「特定個人情報保護評価」という。）を自ら実施し、これらの事態の発生を抑止することその他特定個人情報を適切に管理するために講ずべき措置を定めた指針（次項及び次条第三項において単に「指針」という。）を作成し、公表するものとする。 ２ 　特定個人情報保護委員会は、個人情報の保護に関する技術の進歩及び国際的動向を踏まえ、少なくとも三年ごとに指針について再検討を加え、必要があると認めるときは、これを変更するものとする。 （特定個人情報保護評価） 第二十七条 　行政機関の長等は、特定個人情報ファイル（専ら当該行政機関の長等の職員又は職員であった者の人事、給与又は福利厚生に関する事項を記録するものその他の特定個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）を保有しようとするときは、当該特定個人情報ファイルを保有する前に、特定個人情報保護委員会規則で定めるところにより、次に掲げる事項を評価した結果を記載した書面（以下この条において「評価書」という。）を公示し、広く国民の意見を求めるものとする。当該特定個人情報ファイルについて、特定個人情報保護委員会規則で定める重要な変更を加えようとするときも、同様とする。 　一 　特定個人情報ファイルを取り扱う事務に従事する者の数 　二 　特定個人情報ファイルに記録されることとなる特定個人情報の量 　三 　行政機関の長等における過去の個人情報ファイルの取扱いの状況 　四 　特定個人情報ファイルを取り扱う事務の概要 　五 　特定個人情報ファイルを取り扱うために使用する電子情報処理組織の仕組み及び電子計算機処理等（電子計算機処理（電子計算機を使用して行われる情報の入力、蓄積、編集、加工、修正、更新、検索、消去、出力又はこれらに類する処理をいう。）その他これに伴う政令で定める措置をいう。）の方式 　六 　特定個人情報ファイルに記録された特定個人情報を保護するための措置 　七 　前各号に掲げるもののほか、特定個人情報保護委員会規則で定める事項 ２ 　前項前段の場合において、行政機関の長等は、特定個人情報保護委員会規則で定めるところにより、同項前段の規定により得られた意見を十分考慮した上で評価書に必要な見直しを行った後に、当該評価書に記載された特定個人情報ファイルの取扱いについて特定個人情報保護委員会の承認を受けるものとする。当該特定個人情報ファイルについて、特定個人情報保護委員会規則で定める重要な変更を加えようとするときも、同様とする。 ３ 　特定個人情報保護委員会は、評価書の内容、第五十二条第一項の規定により得た情報その他の情報から判断して、当該評価書に記載された特定個人情報ファイルの取扱いが指針に適合していると認められる場合でなければ、前項の承認をしてはならない。 ４ 　行政機関の長等は、第二項の規定により評価書について承認を受けたときは、速やかに当該評価書を公表するものとする。 ５ 　前項の規定により評価書が公表されたときは、第二十九条第一項の規定により読み替えて適用する行政機関個人情報保護法第十条第一項の規定による通知があったものとみなす。 ６ 　行政機関の長等は、評価書の公表を行っていない特定個人情報ファイルに記録された情報を第十九条第七号の規定により提供し、又は当該特定個人情報ファイルに記録されることとなる情報の提供を同号の規定により求めてはならない。

それが、なぜ、国の広報紙にある「安心・安全な仕組みづくり」になるのかというと、
(a) 評価項目について行政機関自らが評価した結果を公示し、(法第２７条１項）
(b) 広く国民の意見を求め、(法第２７条１項）
(c) 得られた意見を十分考慮して見直しを行った後、(法第２７条２項）
(d) 特定個人情報保護委員会が評価書の内容等について指針に適合していることを承認し(法第２７条２項及び第３項）
(e) 承認を受けた評価書を公表する(法第２７条４項）
ということにより、マイナンバーの取り扱いを行う役所自身が作成する評価書について、国民からの意見を聞き、その意見の反映内容について第三者が承認することで、「安心・安全な仕組みづくり」を目指したということです。

評価で何をするかというと、特定個人情報保護評価に関する規則にしたがって評価をしており、一連のことは、特定個人情報保護委員会のホームページに掲載されています。

特定個人情報保護評価 http://www.ppc.go.jp/enforcement/assessment/

上記ページに用意されている評価書の最後の部分は、
(1) 役所自身が記入する「基礎項目評価」という欄に続けて、
(2) 「国民・住民等からの意見の聴取」という欄に、意見聴取の結果とそれの反映を記入しなければならず、
(3) それを受けて「第三者点検」という欄に、第三者が点検結果を記入し、
(4) 「特定個人情報保護委員会の承認」として同委員会による審査結果が記入され承認される
という様式になっています。

評価書の作成に際しては、(1)と(2)については、マイナンバーの行政事務を実施する側が、上記ページ内の規則や指針などに従って、様式として用意されている計画管理書や評価書に必要事項を記入しながら作業します。
そこまでは、役所における従来の他の事務と同様のものとなります。
従来より厳格になっているのは、(3)と(4)ということになるので、重要なことは、第三者の立場として点検や承認する「第三者点検」と「特定個人情報保護委員会の承認」が何をするのか？ということになります。

この評価書様式の記入欄に「第三者点検」という名称が出てきます。

これについては、特定個人情報保護評価に関する規則（http://www.ppc.go.jp/files/pdf/kisoku.pdf）第７条及び第８条

特定個人情報保護評価に関する規則 （地方公共団体等による評価） 第七条 地方公共団体等は、特定個人情報ファイル（第四条第一号から第九号までのいずれかに該当するものを除く。）を保有しようとするときは、当該特定個人情報ファイルを保有する前に、法第二十七条第一項に規定する評価書を公示し、広く住民その他の者の意見を求めるものとする。当該特定個人情報ファイルについて、第十一条に規定する重要な変更を加えようとするときも、同様とする。 ２ 第十四条第三項の規定により準用する同条第二項の規定により地方公共団体等が公表した基礎項目評価書に係る特定個人情報ファイルが、第四条第八号イ若しくはロ又は前条第一項第一号若しくは第二号のいずれにも該当しないとき（当該特定個人情報ファイルが、第十四条第三項の規定により準用する同条第一項の規定による修正前においては、第四条第八号イ若しくはロ又は前条第一項第一号若しくは第二号に該当していた場合に限る。）は、地方公共団体等は、法第二十七条第一項に規定する評価書を公示し、広く住民その他の者の意見を求めるものとする。 ３ 前二項の規定による評価書の公示については、第十条第一項及び第二項の規定を準用する。 ４ 第一項前段及び第二項の場合において、地方公共団体等は、これらの規定により得られた意見を十分考慮した上で当該評価書に必要な見直しを行った後に、当該評価書に記載された特定個人情報ファイルの取扱いについて、個人情報の保護に関する学識経験のある者を含む者で構成される合議制の機関、当該地方公共団体等の職員以外の者で個人情報の保護に関する学識経験のある者その他指針に照らして適当と認められる者の意見を聴くものとする。当該特定個人情報ファイルについて、第十一条に規定する重要な変更を加えようとするときも、同様とする。 ５ 地方公共団体等は、前項の規定により意見を聴いた後に、当該評価書を特定個人情報保護委員会に提出するものとする。 ６ 地方公共団体等は、前項の規定により法第二十七条第一項に規定する評価書を提出したときは、速やかに当該評価書を公表するものとする。この場合においては、第十条第一項及び第二項の規定を準用する。 （行政機関等による評価） 第八条 第十四条第三項の規定により準用する同条第二項の規定により行政機関の長等（地方公共団体等を除く。以下この条において同じ。）が公表した基礎項目評価書に係る特定個人情報ファイル（当該特定個人情報ファイルが、第十四条第三項の規定により準用する同条第一項の規定による修正前においては、第四条第八号イ若しくはロ又は第六条第一項第一号若しくは第二号に該当していた場合に限る。）が、第四条第八号イ若しくはロ又は第六条第一項第一号若しくは第二号のいずれにも該当しないときは、行政機関の長等は、法第二十七条第一項前段、第二項前段及び第三項に規定する手続を経て、同条第四項に規定する公表を行うものとする。この場合においては、第十条第一項及び第二項の規定を準用する。

で、行政機関等を地方公共団体等とそれ以外に２分しており、地方自治体等による評価を規定した上記規則第７条の中の第４項を改めて抜粋すると、

特定個人情報保護評価に関する規則 （地方公共団体等による評価） 第七条 ４ 第一項前段及び第二項の場合において、地方公共団体等は、これらの規定により得られた意見を十分考慮した上で当該評価書に必要な見直しを行った後に、当該評価書に記載された特定個人情報ファイルの取扱いについて、個人情報の保護に関する学識経験のある者を含む者で構成される合議制の機関、当該地方公共団体等の職員以外の者で個人情報の保護に関する学識経験のある者その他指針に照らして適当と認められる者の意見を聴くものとする。当該特定個人情報ファイルについて、第十一条に規定する重要な変更を加えようとするときも、同様とする。

と規定されており、この文中の
「当該地方公共団体等の職員以外の者」が「第三者」に、
「意見を聴く」が「点検」に置き換えられて組み合わされて、
「第三者点検」になったものと考えられます。

第三者点検は地方公共団体等による評価に規定されており、行政機関等には規定されておらず、特定個人情報保護評価指針の解説（http://www.ppc.go.jp/files/pdf/explanation.pdf）の別添５にさらに別添があり、その187ページ注釈に「任意で第三者点検を受けた場合は、記載することができます。」と書いてあります。

つまり、第三者点検について、地方公共団体等は必須で、地方公共団体等以外の行政機関等は任意ということです。

「特定個人情報保護委員会の承認」における審査については、特定個人情報保護評価指針（http://www.ppc.go.jp/files/pdf/shishin.pdf）第１０の１「特定個人情報保護委員会の承認」の（２）「審査の観点」があり説明されています。
さらに、特定個人情報保護評価指針の解説（http://www.ppc.go.jp/files/pdf/explanation.pdf）
に別添５「特定個人情報保護評価指針第１０の１（２）に定める「審査の観点における主な考慮事項」（PDFの189ページから）があって、審査作業の詳細が解説されています。

しかし、それらに相当するような詳細について、地方自治体等における第三者点検についての説明は国の資料としては見当たりません。
これは、「第三者点検」は地方自治体等が主として実施するものであり、地方自治体等が第三者に依頼して点検する内容を、国が一意に定めたり方向づけたりすると、地方自治の独立性を損なうと批判されかねないことへの配慮だったからかもしれません。
いずれにせよ、結果として、地方自治体がマイナンバー保護評価を実施する際に、その中の第三者点検の点検作業内容については、すぐに参照できるような解説書がありません。
そもそも、国は、第三者を誰にするかについてを、特定個人情報保護委員会として厳格に設置しているわけですが、地方自治体は、それを誰にするかから始めないとなりません。
ところが、それについてだけ、特定個人情報保護評価指針（http://www.ppc.go.jp/files/pdf/shishin.pdf）第５の３（３）（イ）（紙面の9ページ）の中盤から

特定個人情報保護評価指針第５の３（３）（イ）（紙面の9ページ）の中盤から 「第三者点検の方法は、原則として、条例等に基づき地方公共団体が設置する個人情報保護審議会又は個人情報保護審査会による点検を受けるものとするが、これらの組織に個人情報保護や情報システムに知見を有する専門家がいないなど、個人情報保護審議会又は個人情報保護審査会による点検が困難な場合には、その他の方法によることができる。ただし、その他の方法による場合であっても、専門性を有する外部の第三者によるものとする。」

と書いています。
この内容は、点検の方法というよりも、点検の実施者のことになっています。
文章としては、実施者の条件として、文末のただし書きにある「専門性を有する外部の第三者によるものとする。」を主にして、その例として「個人情報保護審議会又は個人情報保護審査会」を示すべきところを、なぜか、そちらの方に「原則として」と書いたために、多くの自治体が、既設の個人情報保護審議会等に第三者点検を依頼してしまったようです。

依頼された側としては、詳細な説明や解説などなく、最終的に依頼された結果を記入する様式である評価書には「第三者点検」という言葉だけがある状態になってしまいました。
本来は、規則第７条第４項の表現は「意見を聴く」ですから、「第三者意見」でもよかったのでしょうが、依頼された側からすれば、「点検をしないといけない」と受け止めてしまいそうです。
そうなると、意見するのと、点検するのでは、語感としては結果に対する責任の認識が変わり、身構え方も変わってしまいます。
つまり、マイナンバーの取り扱いという作業実施に対して、意見を述べるのであれば、その作業実施の結果責任は実施者に主としてありそうですが、点検するとなると、作業の結果責任について点検者にも、ある程度の責任がありそうなので、「第三者点検」を重責だと受け止めてしまうかもしれません。
すると、従来の個人情報保護審議会による審議とは異質のものだという混乱が起こりかねません。

地方自治体によるマイナンバー保護評価における第三者点検は、
本来は、既設の個人情報保護審議会が第三者点検をすることは原則ではないはずですが、仮に同審議会が担うならば、
次のようなステップで審議を進行させるのがよいものと思います。

地方自治体によるマイナンバー保護評価における 第三者点検の準備に必要な５つのステップ ステップ　１． 特定個人情報保護評価に関する規則（http://www.ppc.go.jp/files/pdf/kisoku.pdf）の第７条と第８条の差を紹介し、 特定個人情報保護評価書の「第三者点検」の記入欄を示しながら、 地方自治体では第三者点検を、国などは特定個人情報保護委員会の承認を記入するという流れであることを説明します。 ステップ　２． この第三者点検が、個人情報保護審議会に托された理由について、特定個人情報保護評価指針（http://www.ppc.go.jp/files/pdf/shishin.pdf）第５の３（３）（イ）（9ページ）の中盤から 　「第三者点検の方法は、原則として、条例等に基づき地方公共団体が設置する個人情報保護審議会又は個人情報保護審査会による点検を受けるものとするが、これらの組織に個人情報保護や情報システムに知見を有する専門家がいないなど、個人情報保護審議会又は個人情報保護審査会による点検が困難な場合には、その他の方法によることができる。ただし、その他の方法による場合であっても、専門性を有する外部の第三者によるものとする。」 と書かれていることを紹介し、まずは審議会で審議するが、それ以外の方法を検討することもできることを説明します。 ステップ　３． 「第三者点検」ですべきことは、呼び方が「点検」と「審査」で異なっているが、 (1) 「特定個人情報保護委員会の承認」のうちの一部である「特定個人情報保護委員会による審査」に相当する作業であることを説明し、 (2) かつ「点検」という呼び方であるが、規則第７条は「意見を聴く」という表現なので、 「点検」という言葉の印象だけで作業内容を考えなくてもよいことを説明します。 ステップ　４． 本来は、第三者点検として作業内容をどうするかを審議会として考えないとならないが、その参考として、国が実施する特定個人情報保護委員会による審査について、 (1) 特定個人情報保護評価指針（http://www.ppc.go.jp/files/pdf/shishin.pdf）第１０の１の（２） (2) 及び特定個人情報保護評価指針の解説（http://www.ppc.go.jp/files/pdf/explanation.pdf）別添５「特定個人情報保護評価指針第１０の１（２）に定める「審査の観点における主な考慮事項」 の内容に目を通すことを促します。（審議会の席上でするよりも、次回までに読んで来てもらうことを依頼するという方法が現実的かもしれません） ステップ　５． 国が実施する審査内容をまずは知識として踏まえた上で、本審議会が実施する第三者点検内容を、国と異なる内容に変更する必要があるかどうかから審議を開始します。 仮に、国と異なる内容にすべきという意見があった場合には、仮にそうするとして、少なくとも国がやることを下回ってもよいかを審議します。 下回るという変え方でないならば、まずは、国と同等の作業をすることについてを決め、その範囲から作業を開始しつつ、追加事項の審議を継続するという進め方が考えられます。 逆に、下回ってもよい、すなわち、国がやることほどやらなくてもよいということであれば、白紙から考える覚悟を決めることになります。

以上の前振りをしないで、「第三者点検」をどうしましょうか？と切り出してしまうと、先に述べたような混乱が起きてしまうかもしれません。

上記のように進行させると、実際には、ステップ４で、リスク評価についての専門性がある程度求められていることを知ることになり、結局は、個人情報保護審議会による従来の審議とは異質のものであると感じることになるかもしれません。

この点は、規則第７条が「学識経験のある者」と書いてあるのに、指針では、それをさらっと、「専門性を有する（者）」に言い換えていることと関係しています。

しかし、上記のステップ１～５の流れを作っておけば、ステップ５のところで、審議会委員以外に誰かに協力をもらうべきなのではないか？という、ステップ２で紹介した指針に書いてある
　「これらの組織に個人情報保護や情報システムに知見を有する専門家がいないなど、個人情報保護審議会又は個人情報保護審査会による点検が困難な場合には、その他の方法によることができる。」
に、自然につなぐことができそうです。

米国消費者プライバシー権法検討素案におけるパーソナルデータの定義

これまで、米国の連邦プライバシー法については、２つの案を見てきました。
　１．「我輩は連邦プライバシー法である。まだ名は無い・・・」
　２．「米国連邦プライバシー法-第２案」

それから随分時間がかかりましたが、先週いよいよホワイトハウスから公式な素案が示されました。
　・ADMINISTRATION DISCUSSION DRAFT: CONSUMER PRIVACY BILL OF RIGHTS ACT

パーソナルデータの定義について興味深い点があるので、関連箇所の和訳とともに見ていきます。

まずは、条文の和訳はこちら：
　・ADMINISTRATION DISCUSSION DRAFT: CONSUMER PRIVACY BILL OF RIGHTS ACT（一部邦訳 Ver0.1）

翻訳については、まずは定義を見ていきたかったので、or/andの接続詞の関係についてを、日本語の又は/若しくは, 及び/並びにを丁寧に訳したつもりです。（作業時間の関係で正確かは定かではありませんが、丁寧にしました（笑））

パーソナルデータの定義は以下のとおり
英文：
“Personal data” means any data that are under the control of a covered entity, not otherwise generally available to the public through lawful means, and are linked, or as a practical matter linkable by the covered entity, to a specific individual, or linked to a device that is associated with or routinely used by an individual.

和文：
“パーソナルデータ”とは、対象エンティティの管理下（under the control）にあり、合法的手段（lawful means）において公に対して一般に存在（generally available to the public）しておらず、特定の個人に連結された（linked）若しくは対象エンティティによって実際上連結可能（as a practical matter linkable）である又はある個人に関連付けられているか恒常的に使用されている端末（device）に連結された（linked）データをいう。

「対象エンティティ（covered entity）」というのは、日本の「個人情報取扱事業者」に相当するもののことです。
パーソナルデータについては非公開情報に限定した上で、その後の接続詞が分かりにくいですが、以下のように２つのものをパーソナルデータとしています。

特定の個人に連結された（linked）若しくは対象エンティティによって実際上連結可能（as a practical matter linkable）であるデータ
又は
ある個人に関連付けられているか恒常的に使用されている端末（device）に連結された（linked）データ

上記の文章を主要なところだけに抜粋すると、以下のようになります。

特定の個人に連結された若しくは連結可能であるデータ
又は
ある個人の端末に連結されたデータ

一方の特定の個人については、既に連結されている状態に加えて、連結可能性があるものを対象としています。
他方の端末データについては、連結可能性を対象とせず、連結されているものにしています。ただし、こちらは特定の個人に限っていないので、特定をしていなくても識別をしていれば対象です。

このように特定性と連結性を組み合わせた素案から議論を始めるようです。

今後も、今後の議論と改訂内容を引き続き見ていくことにしたいと思います。

facebookが2015年に導入した「プライバシーベーシック」について

facebookが、2014年末に全利用者に対して、2015年1月1日から「弊社は利用規約とポリシーを改定し、Privacy Basics(プライバシーベーシック)を導入します。」と通知していました。
その中で、紹介されたプライバシーベーシックのトップページがこちらです。

https://www.facebook.com/about/basics
※この記事で紹介するfacebookの各ページのアドレスは、2015/1/2時点のものです。変更されている場合には、facebookページなどからたどってご確認ください。

今回の利用規約の変更について、facebookが利用者に事前に許可を得ずに、利用目的を拡大変更したとか、収集する情報の範囲を拡大したという指摘をする人がいますが、少なくとも、正確な表現ではないと思います。

上記ページから、すべてのことを参照できますが、個人的にポイントを3点まとめてみました。
（私個人の感想であり、ポイント選びには個人差がありますｗ）

1.利用規約の変更内容
https://www.facebook.com/about/privacy/update/

内容としては、facebookが収集する情報について詳細が書いてあり、一見すると、そんな詳細まで今後は取られちゃうの？とショックを受けるかもしれません。
しかし、これは従来は「facebookに送信するすべてのデータ」という大雑把な表現だったものを、具体的に列記したもので、従来と比べてより多く収集することになったわけではなく、これまで同様に継続して収集する内容を明記したということです。

2.全データのダウンロード機能
https://www.facebook.com/settings

上記の1を知って、収集されるのが嫌だからfacebookをやめたい。でも、これまでアップしたデータを簡単に移行できず削除されてしまうと困るので仕方ないから利用し続けるしかない。ということだと、利用者に事実上の選択肢がありません。しかし、これまでfacebookにアップロードしたデータを一括してダウンロードする機能に、今回わかりやすくアクセスできるようになりました。
ウェブブラウザ版facebook（ウェブブラウザでhttps://www.facebook.com/にアクセスすること）の画面右上の▼アイコンをクリックして、設定/一般を開くと画面最下部に「Facebookデータをダウンロード」があって、これを使って全データのダウンロードができます。
利用者は、これまでアップロードしたデータを人質に取られて、利用を事実上解約できないということについて配慮されています。

3.特定の広告が表示される理由の確認機能
https://www.facebook.com/about/basics/what-you-see/ads/

上記の1の利用規約の中で、facebookは情報収集の目的のうち利用者の便益として、利用者個人ごとに最適で有益な広告を表示するためだとしています。
各広告について、それをfacebookがなぜ選んだのかという理由を利用者本人が確認できるようになりました。また、その種の広告表示を本人が望まなければ今後表示されないようにすることができます。それでもマス広告として表示される広告のうち特定企業の広告表示を止めたい場合は、個別に非表示にすることもできます。

以上の1から3は、今回の変更に関係して個人的に気になったことだけ抜粋しましたが、プライバシーベーシックについては、一通り全部見てもそんなに時間はかからないので、一度見るとよいと思います。
これら1から3については、以下の観点で、よい改善だと思います。
1は、個人情報という抽象的な示し方ではなく、個人情報のどういう項目のデータを取得し利用しているかを具体的に示すことで、利用者が何について同意するかの判断材料を提供しています。
2は、保存しているデータを利用者が簡易にダウンロードできることで、利用解約時の不利益を軽減して、利用者が不同意を選択する機会を提供しています。
3は、データの利用がどのように反映されたかについて確認できるようにすることで、利用者が趣向を選択できるようにしてます。

利用規約の内容は、従来と比べて何かが変更されたというよりも、内容が具体的になったのが主です。
これまでも気にしてない人は読み返さなくても、従来との違いという点での不利益はないものと思います。
規約内容について興味ある人にとっては、これまでページが分散されていて全体像を知るのが面倒でしたが、１つのページに集約されて確認しやすくなったと思います。ただし、その結果として１ページ内で長文になっています。わかりやすくなったかというと、難易度はこれまでと変わらず、一般の人にとっては難解なままですが、１ページだけ参照すればよくなったという点で確認しやすくなりました。

ここでは、今回の変更点についてだけポイントを示しました。
しかし、facebookを利用していて投稿やアップロードしたデータの公開範囲について、設定内容を今までにちゃんと確認したことがない人は、以下の手順で一度ちゃんと確認するとよいと思います。
ウェブブラウザ版facebookで画面右上の鍵アイコンをクリックして「共有範囲を確認」から「1.投稿、2.アプリ、3.プロフィール」を画面指示に従って、順番に確認する。
特にアプリのところでは、表示されるアプリを一つずつ全部みるために、ちゃんとスクロールして、各アプリの提供会社にどういう情報の提供を自分が許可しているかを確認しましょう。これはfacebook利用中にアプリをクリックしたときに画面表示されて自分で事前に許可した内容です。アプリにアクセスするときには、内容をよく見ないでクリックしているかもしれませんが、改めて確認するとよいと思います。
なお、スマフォなどのアプリ版facebookでも設定のプライバシーとアプリの設定から同様のことができますが、操作がわかりにくいので、ウェブブラウザ版facebookから設定する方が、ミスがなくてよいと思います。

なぜ、法第２３条第１項適用除外情報と名付けたのか

ＩＴ総合戦略本部パーソナルデータに関する検討会は、第６回会合（平成26年3月27日開催）で、「（仮称）匿名化データ」という新しいデータ類型の名称を提案した。

　検討会の開催日程と議事資料

これは、同検討会の下に設置された技術検討ワーキンググループが、パーソナルデータの利活用のために、個人に関する情報のうち本人の同意なく第三者に提供できる情報という類型を作ることを提案したことを受けたものである。しかし、それを「（仮称）法第２３条第１項適用除外情報」としたが、なぜ、そのように名付けたのかについて経緯を理解しておく必要がある。

それを理解せずに、それを「匿名化データ」などに差し替えてはならないことに注意しなければならない。

情報の呼称についての話しになるため、提案された類型の情報をここでは「新カテゴリー情報」と呼ぶことにする。

その理由を端的に言えば、新カテゴリー情報が「匿名化情報」と呼ばれることで誤解を生じることを防ぐためだ。
つまり、たとえば、「政府は匿名化情報について、本人の同意なく第三者に提供できることにする方針」などという表現を避けるためだ。
なぜ、これを避けようとしたかというと、ワーキンググループは、個人情報の匿名化について「本人の同意なく第三者に提供しても安全になるような匿名化の加工方法や匿名性の水準の判定方法を汎用的に決めることはできない」とした。
つまり、匿名化の条件を一意に定められないとしたことに依っている。情報が匿名化されているかを一意に判断できないにもかかわらず、「匿名化情報」と称してしまえば、それが匿名化情報であるか否かは、事業者が自分で考えた匿名化加工方法と加工結果の匿名性の検証方法で判断してしまい、いわば、オレ様基準になってしまうのである。

そのため、新カテゴリー情報を「匿名化情報」と呼んだり、「匿名性を高めた情報」と呼んだり、それを逆の見方で「個人が特定される可能性を低減した情報」や「個人特定性低減情報」と呼んだりすることは、ワーキンググループが示唆した「匿名性を高めることや特定性を低減することについては、安全な水準を満たす加工方法も判定方法も汎用的には定められない」ということからすると、誤解を生じるだけの名称となるため、使うべきではない。

ワーキンググループは、従来使われていた「匿名化情報」という名称を否定したので、それに代わる名称を検討することにした。
そこでのポイントは、「匿名化情報」を否定したことからも、新カテゴリー情報の性質や状態を表す表現ではない名づけ方を探さないといけないということだ。

一方で、ワーキンググループは、新カテゴリー情報に対する要件としての検討材料として、以下の３つを参考として報告した。
(1)提供者が個人を特定できる可能性を低減した加工をしてから提供すること。
(2)提供者は受領者に個人を特定することを禁止して提供すること。
(3)受領者は個人を特定しないことを公に約束すること。
そして、加工条件である(1)の要件よりもむしろ、管理条件である(2)や(3)が新たに必要であることを示した。

これを使って、新カテゴリー情報を「個人再特定化禁止情報」などのように管理条件で表すことが考えられたが、どのような要件にするのかが決まっていない、すなわち、上記の(1)～(3)の要件で十分なのかが決まっていない時点で、それを名称にすることは時制として無理があるということになった。
（なお、この議論において禁止されるのは、再特定化だけではなく、特定化もあるのではないかという観点もあったが、いずれの名称も採用しなかったので、その観点の紹介は別の機会にすることにして、ここでは割愛する。）

最後に落ち着いたのは、新カテゴリー情報がどのように取り扱うことができるかということを表す名称である。
それであれば、そもそも、それが新カテゴリー情報を類型化する目的であるため、時制としての問題は生じない。

そこで、「（仮称）法第２３条第１項適用除外情報」としたのである。
（個人情報保護法第２３条第１項が、個人データを第三者に提供する場合に事前に本人からの同意を得ることを義務付けている）
なぜ、このように長くて法条文を見ないとわからない名称にしたかというと、そもそも「匿名化情報」という言葉が独り歩きして、事業者に誤解を与えたという反省に立って、この検討が始まったわけであり、このわかりにくい名称であれば、マスコミなどが、言葉だけを独り歩きさせにくい効果もあるだろうということで決めたものである。
また、普通は名称の先頭に「（仮称）」を付けるのは、最終的にそれを単にはずして、引き続く名称にすることを想定するものだが、この場合は、要件が定まるまでは名称が決まらないはずであるという意味での「（仮称）」なのである。

そのため、法改正での検討であれば、条文番号は未定であることから、より直接的な表現として、「（仮称）第三者提供時本人同意取得義務適用除外情報」などとすることが考えられ、検討が終了して、この新カテゴリー情報に対する要件が定まれば、たとえば「個人再特定化禁止情報」などのように、要件を表す名称にすることも考えられる。

まちがっても、検討段階で、たとえ仮称であっても「匿名化情報」などのように、加工条件だけを連想させてしまう名称を使ってはならない。
それでは「匿名化情報」が用語として独り歩きをして、勝手な又は安易な解釈をされて誤解を生じたことの反省を水泡に帰することになるからである。

なお、政府提案は「匿名化データ」で、ここでの説明は「匿名化情報」としたが、政府が「データ」としたのは、ここで問題となっている法第２３条の第三者提供事前同意取得義務の対象が法律上は「個人情報」ではなく「個人データ」であるため、それに合わせたものと思う。
ここでの論点の意味合いとしては、それらに違いはない。

米国連邦プライバシー法-第２案

「我輩は連邦プライバシー法である。まだ名は無い・・・」でご紹介した、米国の連邦プライバシー法の立法ですが、今週進展がありますね。

先の検討ドラフトに対抗する第２案、その名も「BEST PRACTICES Act」が公開され、これらについての、民間ヒアリングが今週開催されます。

前回に続き相変わらず、米国での立法過程の透明性にまずは感心するわけですが・・・

このヒアリングについては、以下のサイトで紹介されています。

Subcommittee on Commerce, Trade, and Consumer Protection Legislative Hearing

ヒアリングは、現地時間で7月22日午後2時（日本時間で23日午前3時)に開催されます。
委員会の様子は普段はライブ配信されていますが、委員ではなく民間からのヒアリングのため、そのまま配信されるかはわからないようです。
ライブ配信は、ほぼリアルタイムにキャプション（英語字幕）が付くので、わかりやすいです。（笑）

ドキュメントは３つ公開されており、

Briefing Memo ： 今回のヒアリングの趣旨
Text of H.R. 5777, the BEST PRACTICES Act ： 今回新たに示された第２案
Text of H.R. ___, a bill to require notice to and consent of an individual prior to the collection and disclosure of certain personal information relating to that individual. ：　前回の検討ドラフト

上記２つ目が、今回名前付きで出された、連邦プライバシー法案の第２案である BEST PRACTICES Act です。

例によって、読みづらいので、成形しておきました。

ダウンロード HR5777_BEST-PRACTICE-Act_ORIGINAL.pdf (142.2K)

とりあえず、逐条のコメントは後日ということで・・・

ライブ配信されるかわかりませんが、もしも、その時間にアクセスしてみようという方がいれば、お互いに寝落ちしないためにツイッターでもできればと思いますので、以下までお知らせください。。（笑）

http://tweetvite.com/event/uz14

技術者以外にもわかる「ＤＰＩ技術のマーケティング利用議論」入門

総務省が『「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」第二次提言』の中で、DPI に触れたため、DPI の議論がちょっとホットになってきた。

でも、「DPIって何？」「小文字の dpi なら、dots per inch でプリンタの印刷精度だよね」というのは、文系に限らず、IT系の人にとっても、あっても不思議ではない。
文脈を踏まえないと、唐突な３文字略語だからだ。（３文字程度では、他のものと同じ略語になってもしかたない。）

DPI (Deep Packet Inspector) 技術のマーケティング利用を議論するときに、そもそも、DPI ってどこから登場したのか？を知っておくと、議論に参加しやすいかもしれない。

クラウドコンピューティングというバズワード(Buz Word: Business word)のもとに、
一部の ASP(アプリケーション・サービス・プロバイダー) が自らを SaaS ベンダーと名乗ってみたり、
一部のサーバホスティング会社が、自らを HaaS ベンダーと名乗ってみたり、
と同様に、DPI という用語は技術的には範囲があいまいで、「自称」でしかないということを踏まえないと、最後に大切なことを取りこぼしてしまうかもしれない。

もともと、DPI は、IDS (Intrusion Detection System：侵入検出装置) メーカーがパケットのヘッダ部分（送信元ＩＰ＆ポート、送信先ＩＰ＆ポート）だけではなく、パケット本体の中味も検査するようになったときに、ヘッダ部分しか検査しない IDS との機能差別化を狙って作った、バズワードだ。

それを差別化しようとした背景には、その頃、登場した後発の IDS メーカーが、IPS (Intrusion Prevention System) という機能を設けて、「侵入（intrusion）を検出（detection）するだけでは意味がなく、阻止（prevention）しないと対策として役立たない」というもっともらしいことを主張したからだ。

これを「もっともらしい」と表現するのは、老舗IDSはヘッダ部分だけの頃からやっていて、その時代にはファイヤーウォールとIDSは一組で使うもので、ファイヤウォールが侵入を阻止して、その取りこぼしを IDS が監視するという役割分担があったため、検出に特化していればよかった。
なので、「意味がなく」というのは、誹謗であって、「意味もあり、役割も果たしていた」のが正しいはずだ。
ところが、パケット本体を IDS が検査するようになると、処理性能の問題から、それをリアルタイムでファイヤーウォールが通過制御するというのは困難なため、パケット本体の検査を備えた IDS が、ファイヤウォールと連動して、IPS を実現するということが期待されるようになった。
つまり、ファイヤーウォールは、従来どおりパケットヘッダ検査による通過制御を行い、それと同時に IDS がパケット本体検査をして、不適切なパケットを検出したら、それをファイヤウォールなどに通知して、そのパケットを中断させることで、不適切なパケットが通信を完遂できないようにして、結果として、IPS として「阻止」をするというわけだ。
近年は処理性能が向上したため、このような「ちょっと遅れた阻止」ではなく、リアルタイムに阻止できるようになっているが、当初はそのような、IDS の機能差別化によって始まった。

技術の経緯はまどろっこしいが、ビジネスの背景としては単純だ。
IDS の技術は成熟していたが、ファイヤウォールなどと連動するなどして IPS を実現するという部分は、後発メーカーとしては、先行メーカーと競合するときの売りになるということで、IPS に着目させるため、「侵入を検出するだけでは意味がなく、阻止しないと対策として役立たない」として IDS の土俵を仕切りなおすという、売り文句ができた。

この経緯において、パケットのヘッダだけ処理するファイヤーウォールや IDS と、パケット本体を検査するものを区別するために、後者について、DPI (Deep Packet Inspection) という用語を用いた。

そして、当初の DPI は単純な（静的な）パターンマッチングだったが、DPI を掻い潜ろうとする不正パケット側が動的に変化するパターンを用いたため、DPI 側もそれを検出するべく、動的パターンにもマッチングできるように進化していった。

したがって、DPI は侵入検出又は阻止を目的として進化を遂げた技術が出発点だ。

ところが、パケット本体内部の動的パターンのマッチングができるようになると、それは、利用者のアクセス嗜好解析など侵入阻止以外の目的にも使えることになるというパンドラの箱になったことを意味する。

DPI のマーケット利用の是非の議論は、このパンドラの箱のフタを開けることの是非の議論だ。

そして、いったんフタが開いてしまうと、リアルタイム検出していただけだったのが、ゲートウェイサーバ（中継サーバ）のように配置して、もとのパケットにない「印」をパケットに挿入してから中継することなどの機能も出始めた。その印としては、たとえば、cookie などを挿入することが考えられる。
そのように、他にない機能を盛り込みつつ、その機能があるのが、真の DPI だという製品差別化が行われた。

街中の別の物に置き換えて考えてみるとわかりやすい。

駅や商店街などに、防犯のために、監視カメラが設置されている。
この監視カメラを使って、利用客の行動分析や嗜好分析をできないか。
たとえば、食堂から出てきた人が、次にコンビニエンスストアに入ったなら、その人には、おにぎりを勧めるよりも、雑誌などを勧める方がよいということに使うということである。
このとき、そのようなサービスを有難いと思うか、監視カメラの先でそんなことを分析されるのは気持ち悪いと思うかは、その人次第なので、本人の希望次第でよいのではないかという考え方もある。
あるいは、監視カメラは、その名のとおり、監視が目的なのだから、それ以外のことに使うのは絶対禁止という考え方もある。

上記の例は、DPI のマーケット利用に否定的と取れる例を出してしまったかもしれないが、この記事では、その是非の結論を出すつもりはない。

ここで明確にしておきたかったことは、DPI のマーケティング利用の是非という議論が始まっているが、「DPI」という用語に限定するとおかしなことになる。
なぜなら、DPI という用語は、IDS や IPS という製品を売っていた人が、自らのビジネスや技術の差別化のために用意したバズワードであって、はっきりとした技術領域ではない。
つまり、「DPI の D はどういう意味で deep なの？」とか「DPI の I は検出や阻止、あるいは解析と inspection は何が異なるの？」というのは不毛で、「Deep Packed Inspection」という表現がビジネスインパクトのある語感だったというだけのことだろうからだ。
議論の過程を単純化するために、「DPI」という用語を使っておいてもよいが、それで結論が出たら、最後に、その用語の部分を「パケット本体の分析」に置き換えないと、本質的な問題を取りこぼしてしまうことになる。
すなわち、仮に「DPI のマーケット利用禁止」という結論が出たら、その表現のままでは、製品カテゴリーを DPI 以外に変更されたら逃れられてしまう。
それを正しく表現するには、「パケット本体分析のマーケット利用禁止」として、逃げ道を塞ぐ必要がある。
そうしないと、そもそも、自分達の都合で自ら名乗ったカテゴリーなのだから、それが不利な名称なら自分達で勝手に変えられてしまう。

また、議論が DPI を ISP に設置する文脈でなされているのか否かで、逆に技術制約の範囲を不必要に拡大してしまうことになる点にも併せて注意が必要だ。
たとえば、オンラインショッピングサイト自身が、自社の利用者の行動分析に、自社サイト内に DPI 技術を用いた装置を設置することは、ISP に設置してその分析結果を ISP 以外が利用することとは意味が異なることに注意が必要だ。
なぜなら、DPI を「パケット本体分析」とするなら、ショッピングサイトが自サイトの利用者行動分析をすることは、通常の cookie や web beacon などでも行っていることで、それを DPI 装置に高速に処理させるということは、ISP が第三者に利用させたり、第三者が ISP に設置することとは意味合いが異なる。

このように、DPI の議論は、その文脈で暗黙の範囲や条件が設定されていることを踏まえて、それを確認した上で議論に参加しなければ意見がかみ合わなくなる。
そして確認して議論したならば、議論の最後で、それら暗黙のことを明示的に示してから、議論に参加していなかった人達に示さないと、議論の意図が伝わらないことが考えられる。

DPI という用語だけを使って、逃げ道を作られないようにしつつ、
逃げ道をふさぐ用語（たとえば、「パケット本体分析」など）に適切な条件を付けずに否定して、無用の反発を受けないように議論する必要がある。

我輩は連邦プライバシー法である。まだ名は無い・・・

日本が天気に恵まれたゴールデンウィークを楽しんでいる最中、
米国で検討が始まった連邦プライバシー法(Omnibus Federal Privacy Law)の検討ドラフトがリリースされましたね。

僕は法律家ではないので最初に驚いたのは、内容以前にこの立法過程の透明性。
検討ペーパーの段階から資料公開するのはすごいですね。

Rick Boucher 下院議員のウェブに資料があります。

BOUCHER, STEARNS RELEASE DISCUSSION DRAFT OF PRIVACY LEGISLATION

そして、ここまで公開するのに、なんでこんなに見難い体裁なのだろうと思ってみると・・・
XMLで書いてるのですね。
確かに検討段階だと用語とかが二転三転することはよくあることで、
審議が進むに連れて文書を更新してると古い用語とかがごちゃ混ぜになりやすいですが、
XMLを使うとそういう不整合を防ぎやすそうです。

本題の検討状況ですが、Staff Discussion Draft の全文はページ下のリンクで見ることができます。

Privacy_Draft_5-10.pdf

とはいえ、XML の直出力があまりにも見難いので、インデントを付けて成形しました。

ダウンロード Privacy_Draft_5-10_ORIGINAL.pdf (92.8K)

さて、本題。
気になるところを行間に書き込んでみました。

ダウンロード Privacy_Draft_5-10comment.pdf (181.4K)

以下に表示されているのと同じ内容のファイル版です

全体を通してだと、既に法律を持っている国の法律なども調べて準備している様子。
日本にいたっては、国内個人情報保護法の改正ネタにしてよいようなことまで見受けられます。

---

以下の文中の書式： lang=EN-US style='font-family:"Courier New"'>

style='mso-ascii-font-family:"Courier New";color:blue'>青色文字 style='mso-ascii-font-family:"Courier New"'>：見出し style='font-family:"Courier New"'>

style='mso-bidi-font-style:normal'>斜体文字 style='mso-ascii-font-family:"Courier New"'>：定義用語 style='font-family:"Courier New"'>

style='mso-ascii-font-family:"Courier New";color:red'>赤色文字 style='mso-ascii-font-family:"Courier New"'>：佐藤のコメント（主として、国内法との差異） lang=EN-US style='font-family:"Courier New"'>

style='mso-ascii-font-family:"Courier New";background:yellow;mso-highlight:
yellow'>黄色マーカ：佐藤のコメント（本法に対する意見） lang=EN-US style='font-family:"Courier New"'>

 

[STAFF
DISCUSSION DRAFT]

 

MAY 3,
2010

 

To
require notice to and consent of an individual prior to the style='mso-ascii-font-family:"Courier New"'>　 style='font-family:"Courier New"'> collection　and
disclosure of certain personal information relating to that individual.

 

A BILL

 

 

To
require notice to and consent of an individual prior to the collection and
disclosure of certain personal information relating to that individual.

 

Be it
enacted by the Senate and House of Representatives of the w:st="on">United States of America
in Congress assembled,

 

style='font-family:"Courier New";color:blue'>SECTION 1. SHORT TITLE.

 

This
Act may be cited as [To be provided].

→まだ、名は無い。（笑）

 

style='font-family:"Courier New";color:blue'>SEC. 2. DEFINITIONS.

 

In
this Act the following definitions apply:

(1)
ADVERTISEMENT NETWORK. - The term ‘”advertisement network” means an entity that
provides advertisements to participating websites on the basis of individuals’
activity across some or all of those websites.

→SEC.3.(e)(3)で使われる

(2)
AGGREGATE INFORMATION. - The term “aggregate information” means data that
relates to a group or category of services or individuals, from which all
information identifying an individual has been removed.

→SEC.5.の除外範囲の特定に使われる

(3)
COMMISSION. - The term “Commission” means the Federal Trade Commission.

(4)
COVERED ENTITY. - The term “covered entity” -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> means a person engaged in
interstate commerce that collects data containing covered information; and

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> does not include -

lang=EN-US style='font-family:"Courier New";color:blue'>(i) lang=EN-US style='font-family:"Courier New"'> a government agency; or

lang=EN-US style='font-family:"Courier New";color:blue'>(ii) lang=EN-US style='font-family:"Courier New"'> any person that collects style='mso-bidi-font-style:normal'>covered information from fewer than
5,000 individuals in any 12-month period and does not collect style='mso-bidi-font-style:normal'>sensitive information.

style='mso-ascii-font-family:"Courier New";color:red'>→５０００人分未満の取得なら除外・・・どこかで見たことある数字ですね（笑） lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>ただし、過去１２ヶ月という期間を明記している点は改善です lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>あと、センシティブ情報を、この人数下限から除いています lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>確かに国内法はセンシティブ情報でも少数取得なら対象から漏れるのはおかしいですね・・・ lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>一方で国内法は「保有数」なのにこちらは、「 lang=EN-US style='font-family:"Courier New";color:red'>collect style='mso-ascii-font-family:"Courier New";color:red'>」という書き方 lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>これ以外の箇所では「collect style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>」を状態ではなく行為としての文脈で使っているので、「保有」に相当する用語の方が適当では？ lang=EN-US style='font-family:"Courier New";color:blue'>

(5)
COVERED INFORMATION. - The term “covered information” means, with respect to an
individual, any of the following:

→「covered information（対象情報）」として定義するのはよいですね

国内法のように「個人情報」のような一般名詞を法条文で定義をすると、社内教育をする際に定義語としての個人情報と、いわゆる個人情報が混同されて誤解を生じやすいです lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> The first name or initial and
last name.

style='mso-ascii-font-family:"Courier New";color:red'>→ファーストネームをイニシャルにしてもラストネームがあると対象ですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>日本で言えば、姓名のうち姓だけでも対象ということになるのかな lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> A postal address.

lang=EN-US style='font-family:"Courier New";color:blue'>(C) lang=EN-US style='font-family:"Courier New"'> A telephone or fax number.

lang=EN-US style='font-family:"Courier New";color:blue'>(D) lang=EN-US style='font-family:"Courier New"'> An email address.

style='mso-ascii-font-family:"Courier New";color:red'>→メールアドレスが無条件に対象ですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>国内は氏名がわかるような表記なら該当するという解釈がありますが、無条件とはすごい lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(E) lang=EN-US style='font-family:"Courier New"'> Unique biometric data, including
a fingerprint or retina scan.

lang=EN-US style='font-family:"Courier New";color:blue'>(F) lang=EN-US style='font-family:"Courier New"'> A Social Security number, tax
identification number, passport number, driver’s license number, or any other
government-issued identification number.

lang=EN-US style='font-family:"Courier New";color:blue'>(G) lang=EN-US style='font-family:"Courier New"'> A Financial account number, or
credit or debit card number, and any required security code, access code, or
password that is necessary to permit access to an individual’s financial account.

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>financial account style='mso-ascii-font-family:"Courier New";color:red'>へのアクセスに用いるものに限るとはいえ、パスワードも一緒に対象に含めていますね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>個人情報云々という視点だとおかしいですが、実務の安全対策では当然に保護すべきなので現実的ですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>言われてみると、国内法だと、たとえば、金融機関に登録した個人情報に該当しないメールアドレスとパスワードのペアは保護対象ではないですね・・・ lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>こちらは、「個人情報」ではなくて「 lang=EN-US style='font-family:"Courier New";color:red'>covered information style='mso-ascii-font-family:"Courier New";color:red'>」として定めるため、いわゆる個人情報の範囲にとらわれずに定義できるのでよいのですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>ただし、これを含める趣旨からすると、後半の「 style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>any required security code, access code, or password style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>」をfinancial account style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>に限るよりも、それらを独立した項目にした上で style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>sensitive informationに係るものにした方がよいかもしれませんね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(H) lang=EN-US style='font-family:"Courier New"'> Any unique persistent identifier,
such as a customer number, unique pseudonym or user alias, Internet Protocol
address, or other unique identifier, where such identifier is used to collect,
store, or identify information about a specific individual or a computer,
device, or

lang=EN-US style='font-family:"Courier New"'>software application owned or used
by a particular user or that is otherwise associated with a particular user.

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>IPアドレスその他の固有番号を含めていますね style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>直接的な人の特定以外に、人が使用している機器やソフトウェアなら対象ですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'> style='mso-spacerun:yes'> (I) style='font-family:"Courier New"'> A preference
profile.

style='mso-ascii-font-family:"Courier New";color:red'>→「 lang=EN-US style='font-family:"Courier New";color:red'>preference profile style='mso-ascii-font-family:"Courier New";color:red'>」を対象に含めた上で、それを lang=EN-US style='font-family:"Courier New";color:red'>(8) style='mso-ascii-font-family:"Courier New";color:red'>で定義しています lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(J) lang=EN-US style='font-family:"Courier New"'> Any other information that is
collected, stored, used, or disclosed in connection with any style='mso-bidi-font-style:normal'>covered information described in
subparagraphs  (A) through (I).

style='mso-ascii-font-family:"Courier New";color:red'>→これまで lang=EN-US style='font-family:"Courier New";color:red'>linkable style='mso-ascii-font-family:"Courier New";color:red'>とか言われてきたものでしょうか lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>だとすると"in connection
with"という表現なので、 style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>linkableではなく、より範囲の狭い lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>linkedに限定しているのでしょうかね lang=EN-US style='font-family:"Courier New";color:red'>

(6) FIRST
PARTY TRANSACTION. - The term “first party transaction” means an interaction be
tween an entity that collects covered information when an individual visits that entity’s website
or place of business and the individual from whom covered information is collected.

→一次とそれ以降を分けて定義してくれるのはいいですね

弊社内でも国内法人では一次取得と二次取得という社内用語を定義して社内トレーニングしてます style='font-family:"Courier New";color:red'>

いま気づいたけど、二次取得という表現は正確じゃなかったかな・・・三次以降も含むから style='font-family:"Courier New";color:red'>

社内資料を修正しないといけないな（苦笑）

(7)
OPERATIONAL PURPOSE. -

→国内法だと第１８条４項の「適用除外」に相当するかんじですね style='font-family:"Courier New";color:red'>

こちらの方が国内法より具体的になっているのと、利用目的の文脈だけではなく利用の形態として定義してくれるのは実務的に大変助かります lang=EN-US style='font-family:"Courier New";color:red'>

この用語はSEC.3 (a)(5)の対象範囲に使われることになります

以下のように(A)で対象を(B)で対象外を明記してくれているのは、とても扱いやすいです

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> IN GENERAL - The term “operational
purpose” means a purpose reasonably necessary for the operation of the style='mso-bidi-font-style:normal'>covered entity, including –

style='mso-ascii-font-family:"Courier New";color:red'>→国内法第１８条４項４号の「取得の状況からみて利用目的が明らかであると認められる場合」に相当する表現で総じた上で、以下のように列記しています lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(i) lang=EN-US style='font-family:"Courier New"'> providing, operating, or
improving a product or service used, requested, or authorized by an individual;

lang=EN-US style='font-family:"Courier New";color:blue'>(ii) lang=EN-US style='font-family:"Courier New"'> detecting, preventing, or acting
against actual or reasonably suspected threats to the covered entity’s product or service, including security attacks,
unauthorized transactions, and fraud;

lang=EN-US style='font-family:"Courier New";color:blue'>(iii) lang=EN-US style='font-family:"Courier New"'> analyzing data related to use of
the product or service for purposes of optimizing or improving the style='mso-bidi-font-style:normal'>covered entity’s products, services, or
operations;

lang=EN-US style='font-family:"Courier New";color:blue'>(iv) lang=EN-US style='font-family:"Courier New"'> carrying out an employment relationship
with an individual;

lang=EN-US style='font-family:"Courier New";color:blue'>(v) lang=EN-US style='font-family:"Courier New"'> disclosing covered information based on a good faith belief that such
disclosure is necessary to comply with a Federal, State, or local law, rule, or
other applicable legal requirement, including disclosures pursuant to a court
order, subpoena, summons, or other properly executed compulsory process; and

lang=EN-US style='font-family:"Courier New";color:blue'>(vi) lang=EN-US style='font-family:"Courier New"'> disclosing covered information to a parent company of, controlled subsidiary
of, or affiliate of the covered entity,
or other covered entity under common
control with the covered entity where
the parent, subsidiary, affiliate, or other covered
entity operates under a common or substantially similar set of internal
policies and procedures as the covered
entity, and the policies and procedures include adherence to the style='mso-bidi-font-style:normal'>covered entity’s privacy policies as set
forth in its privacy notice.

style='mso-ascii-font-family:"Courier New";color:red'>→この lang=EN-US style='font-family:"Courier New";color:red'>(vi) style='mso-ascii-font-family:"Courier New";color:red'>もよいですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>国内法では委託先を考慮していますが、こちらは親子関係会社（ lang=EN-US style='font-family:"Courier New";color:red'>parent style='mso-ascii-font-family:"Courier New";color:red'>と style='font-family:"Courier New";color:red'>controlled subsidiary style='mso-ascii-font-family:"Courier New";color:red'>）と関連会社（ lang=EN-US style='font-family:"Courier New";color:red'>affiliate style='mso-ascii-font-family:"Courier New";color:red'>）を含めています lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>国内法も共同利用で運用できますが、このように lang=EN-US style='font-family:"Courier New";color:red'> Operational Purpose style='mso-ascii-font-family:"Courier New";color:red'>の文脈に入れてくれると実務しやすそうな気がします lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>その上で共通の管理下（ lang=EN-US style='font-family:"Courier New";color:red'>under common control / under
a common or substantially similar set of internal policies and procedures style='mso-ascii-font-family:"Courier New";color:red'>）にあるところを含めています。 lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>国内法では委託先ならよいことにして委託管理をするというものですが、このように「管理が共通」であることが要件として必要だと思います lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>国内はこれを明記しないので、委託先が実施するリスクマネージメントシステムの管理下に入ってしまう lang=EN-US style='font-family:"Courier New";color:red'>ISMS style='mso-ascii-font-family:"Courier New";color:red'>や style='font-family:"Courier New";color:red'>Pマーク取得を、委託元が盲目的に要求するということが起きますね style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>ただ、これらの総称を用語定義していないのが残念です style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>残念な理由は、この後の「(13)
UNAFFILIATED PARTY」の定義で後述します lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> EXCLUSION - Such term shall not
include the use of covered information
for marketing, advertising, or sales purposes, or any use of or disclosure of style='mso-bidi-font-style:normal'>covered information to an style='mso-bidi-font-style:normal'>unaffiliated party for such purposes.

(8)
PREFERENCE PROFILE. - The term “preference profile” means a list of
information, categories of information, or preferences associated with a
specific individual or a computer or device owned or used by a particular user
that is maintained by or relied upon by a covered
entity.

→直接的なopt-in/out状況だけではなく、Cookie やウェブビーコンも該当することになりそうですね

(9)
RENDER ANONYMOUS. - The term “render anonymous” means to remove or obscure style='mso-bidi-font-style:normal'>covered information such that the
remaining information does not identify, and there is no reasonable basis to believe
that the information can be used to identify -

→以下で(A)と(B)をちゃんと区別するのは(5)(H)と同じモデルでの定義ですね

このように解釈論に任せずに明記してくれると、正しく解釈してる事業者が馬鹿を見て、解釈を正しくしないで無視する事業者が得をすることが防げてよいと思います lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> the specific individual to whom
such covered information relates; or

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> a computer or device owned or
used by a particular user.

(10)
SENSITIVE INFORMATION. - The term “sensitive information” means any information
that is associated with covered
information of an individual and relates to that individual’s -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> medical records, including medical
history, mental or physical condition, or medical treatment or diagnosis by a
health care professional;

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> race or ethnicity;

lang=EN-US style='font-family:"Courier New";color:blue'>(C) lang=EN-US style='font-family:"Courier New"'> religious beliefs;

lang=EN-US style='font-family:"Courier New";color:blue'>(D) lang=EN-US style='font-family:"Courier New"'> sexual orientation;

lang=EN-US style='font-family:"Courier New";color:blue'>(E) lang=EN-US style='font-family:"Courier New"'> financial records and other
financial information associated with a financial account, including balances
and other financial information; or

lang=EN-US style='font-family:"Courier New";color:blue'>(F) lang=EN-US style='font-family:"Courier New"'> precise geolocation
information.

style='mso-ascii-font-family:"Courier New";color:red'>→この lang=EN-US style='font-family:"Courier New";color:red'>(F) style='mso-ascii-font-family:"Courier New";color:red'>が新しいでしょうか？・・・ lang=EN-US style='font-family:"Courier New";color:red'>

(11)
SERVICE PROVIDER. - The term “service provider” means an entity that collects,
maintains, processes, stores, or otherwise handles covered information on behalf of a covered entity, including, for the purposes of serving as a data
processing center, providing customer support, serving advertisements to the
website of the covered entity,
maintaining the covered entity’s records,
or performing other administrative support functions for the style='mso-bidi-font-style:normal'>covered entity.

→欧州の定義への配慮をちゃんとしてますね・・・米国にとっては重要なことですね style='font-family:"Courier New";color:red'>

(12)
TRANSACTIONAL PURPOSE. - The term “transactional purpose” means a purpose
necessary for effecting, administering, or enforcing a transaction between a style='mso-bidi-font-style:normal'>covered entity and an individual.

→これも弊社内の定義用語として、第１８条４項４号に関連して「業務連絡」と社内独自定義してトレーニング説明を簡潔にしていましたが、用語が法律上も明確になり助かります lang=EN-US style='font-family:"Courier New";color:red'>

この用語はSEC.3 (a)(5)の対象範囲に使われることになります

(13)
UNAFFILIATED PARTY. - The term “unaffiliated party” means any entity that is
not related by common ownership or affiliated by corporate control with a style='mso-bidi-font-style:normal'>covered entity.

→(7)(A)(vi)以外のことを指すことになるのでしょうね

その場合、 style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>(7)(A)(vi)は、 style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>parent company + controlled subsidiary + affiliate + other covered
entity under common controlという集合なので、ここで、集合の１要素である lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'> affiliated の補集合である lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>unaffiliatedを使うと誤解を生じやすそうです lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>

したがって、 lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>(7)(A)(vi)の集合を、たとえば「 lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>controlled entity」などの用語定義をして、これについては、その補集合となる「 lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>uncontrolled entity又は lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>party」などとするのが、用語がより直感的になってよいかもしれませんね lang=EN-US style='font-family:"Courier New";color:red'>

 

style='font-family:"Courier New";color:blue'>SEC. 3. NOTICE AND CONSENT
REQUIREMENTS FOR THE COLLECTION, USE, AND DISCLOSURE OF COVERED INFORMATION.

 

(a)
NOTICE AND CONSENT PRIOR TO COLLECTION AND USE OF COVERED INFORMATION. -

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> IN GENERAL. - A style='mso-bidi-font-style:normal'>covered entity shall not collect, use,
or disclose covered information from
or about an individual for any purpose unless such covered entity -

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>shall not style='mso-ascii-font-family:"Courier New";color:red'>いいですねぇ（笑） lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>国内法が「個人情報を取得した場合は、～～しなければならない」というのに対して、こちらは「～～をしなければ如何なる目的であっても対象情報を取得・利用・開示してはならない」となっており、趣旨は同じですが、後者の方が社内教育などでそのまま引用できそうですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> makes available to such
individual the privacy notice described in paragraph (2) prior to the
collection of any covered information;
and

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>prior to style='mso-ascii-font-family:"Courier New";color:red'>ですから、国内法の「速やかに」ではなく style='font-family:"Courier New";color:red'> 「事前」に限定していますね

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> obtains the consent of the
individual to such collection as set forth in paragraph (3).

style='mso-ascii-font-family:"Courier New";color:red'>→オプトイン方式ですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> NOTICE REQUIREMENTS. -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> NATURE OF NOTICE. -

lang=EN-US style='font-family:"Courier New";color:blue'>(i) lang=EN-US style='font-family:"Courier New"'> COLLECTION OF INFORMATION THROUGH
THE INTERNET - If the covered

lang=EN-US style='font-family:"Courier New"'>entity collects style='mso-bidi-font-style:normal'>covered information through the
Internet, the privacy notice required by this section shall be.

lang=EN-US style='font-family:"Courier New";color:blue'>(I) lang=EN-US style='font-family:"Courier New"'> posted clearly and conspicuously
on the website of such covered entity
through which the covered information
is collected; and

style='mso-ascii-font-family:"Courier New";color:red'>→国内法で言う通知（ lang=EN-US style='font-family:"Courier New";color:red'>posted clearly style='mso-ascii-font-family:"Courier New";color:red'>）と公表（ lang=EN-US style='font-family:"Courier New";color:red'>conspicuously on the
website）が「又は」ではなく「及び」で両方義務付けられています lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(II) lang=EN-US style='font-family:"Courier New"'> accessible through a direct link
from the Internet homepage of the covered
entity.

style='mso-ascii-font-family:"Courier New";color:red'>→ホームページからワンクリックということで要件が明確です lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(ii) lang=EN-US style='font-family:"Courier New"'> MANUAL COLLECTION OF INFORMATION
BY MEANS OTHER THAN THROUGH THE INTERNET. - If the covered entity collects covered
information by any means that does not utilize the Internet, the privacy
notice required by this section shall be made available to an individual in
writing before the covered entity
collects any covered information from
that individual.

style='mso-ascii-font-family:"Courier New";color:red'>→こちらも lang=EN-US style='font-family:"Courier New";color:red'> before style='mso-ascii-font-family:"Courier New";color:red'>で、「事前」に限定していますね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> REQUIRED INFORMATION. - The privacy
notice required under paragraph (1) shall include the following information:

style='mso-ascii-font-family:"Courier New";color:red'>→以下のとおり、具体的に決めています lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(i) lang=EN-US style='font-family:"Courier New"'> The identity of the style='mso-bidi-font-style:normal'>covered entity collecting the style='mso-bidi-font-style:normal'>covered information.

lang=EN-US style='font-family:"Courier New";color:blue'>(ii) lang=EN-US style='font-family:"Courier New"'> A description of any style='mso-bidi-font-style:normal'>covered information collected by the style='mso-bidi-font-style:normal'>covered entity.

lang=EN-US style='font-family:"Courier New";color:blue'>(iii) lang=EN-US style='font-family:"Courier New"'> How the covered entity collects covered
information.

lang=EN-US style='font-family:"Courier New";color:blue'>(iv) lang=EN-US style='font-family:"Courier New"'> The specific purposes for which
the covered entity collects and uses style='mso-bidi-font-style:normal'>covered information.

lang=EN-US style='font-family:"Courier New";color:blue'>(v) lang=EN-US style='font-family:"Courier New"'> How the covered entity stores covered
information.

style='mso-ascii-font-family:"Courier New";color:red'>→保管方法 lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(vi) lang=EN-US style='font-family:"Courier New"'> How the covered entity may merge, link, or combine covered information collected about the individual with other
information about the individual that the covered
entity may acquire from unaffiliated
parties.

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>unaffiliated parties style='mso-ascii-font-family:"Courier New";color:red'>から獲得する情報とどのように併合（ lang=EN-US style='font-family:"Courier New";color:red'>merge style='mso-ascii-font-family:"Courier New";color:red'>）、関連付け（ lang=EN-US style='font-family:"Courier New";color:red'>link style='mso-ascii-font-family:"Courier New";color:red'>）、連結（ lang=EN-US style='font-family:"Courier New";color:red'>combine style='mso-ascii-font-family:"Courier New";color:red'>）するのか・・・確かに重要ですが企業にとってはこれを予め明記するのは大変そうです lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>でも、大変ですがやらないといけないことですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(vii) lang=EN-US style='font-family:"Courier New"'> How long the covered entity retains covered
information in identifiable form.

style='mso-ascii-font-family:"Courier New";color:red'>→保管期間 lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(viii) lang=EN-US style='font-family:"Courier New"'> How the covered entity disposes of or renders
anonymous covered information
after the expiration of the retention period.

style='mso-ascii-font-family:"Courier New";color:red'>→廃棄又は匿名化方法 lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(ix) lang=EN-US style='font-family:"Courier New"'> The purposes for which style='mso-bidi-font-style:normal'>covered information may be disclosed,
and the categories of unaffiliated
parties who may receive such information for each such purpose.

style='mso-ascii-font-family:"Courier New";color:red'>→開示する場合の目的と、目的ごとにどのような lang=EN-US style='font-family:"Courier New";color:red'>unaffiliated parties style='mso-ascii-font-family:"Courier New";color:red'>に出すのかですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:red'>unaffiliated parties style='mso-ascii-font-family:"Courier New";color:red'>を業種にとどめているのは現実的でよいです lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>会社名を予め特定するのは非現実的ですからね lang=EN-US style='font-family:"Courier New";color:blue'>

lang=EN-US style='font-family:"Courier New";color:blue'>(x) lang=EN-US style='font-family:"Courier New"'> The choice and means the style='mso-bidi-font-style:normal'>covered entity offers individuals to
limit or prohibit the collection and disclosure of covered information, in accordance with this section.

style='mso-ascii-font-family:"Courier New";color:red'>→国内法でいうところの第三者提供の禁止ですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>制限として、他段階に指定できるようにしているのは現実的ですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(xi) lang=EN-US style='font-family:"Courier New"'> The means by and the extent to
which individuals may obtain access to covered
information that has been collected by the covered entity in accordance with this section.

style='mso-ascii-font-family:"Courier New";color:red'>→国内法の開示の手続きに相当しますかね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(xii) lang=EN-US style='font-family:"Courier New"'> A means by which an individual
may contact the covered entity with
any inquiries or complaints regarding the covered
entity’s handling of covered
information.

style='mso-ascii-font-family:"Courier New";color:red'>→国内法の苦情処理に相当しますね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(xiii) lang=EN-US style='font-family:"Courier New"'> The process by which the style='mso-bidi-font-style:normal'>covered entity notifies individuals of
material changes to its privacy notice in accordance with paragraph (4).

style='mso-ascii-font-family:"Courier New";color:red'>→変更の通知方法ですが、実際には lang=EN-US style='font-family:"Courier New";color:red'>(4) style='mso-ascii-font-family:"Courier New";color:red'>でオプトインを求めているので、オプトインの方法ということになりますね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(xiv) lang=EN-US style='font-family:"Courier New"'> A hyperlink to or a listing of
the Commission’s online consumer
complaint form or the toll-free telephone number for the Commission’s Consumer
Response Center.

style='mso-ascii-font-family:"Courier New";color:red'>→問い合わせ先の記載ですが、無償で連絡できる方法に限定していますね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>そうしないと、無関係のフリーダイヤルや電子メールの受付に連絡がくるので、意外と実務上重要なポイントだと思います lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(xv) lang=EN-US style='font-family:"Courier New"'> The effective date of the privacy
notice.

lang=EN-US style='font-family:"Courier New";color:blue'>(3) lang=EN-US style='font-family:"Courier New"'> OPT-OUT CONSENT REQUIREMENTS. -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> OPT-OUT NATURE OF CONSENT. - A style='mso-bidi-font-style:normal'>covered entity shall be considered to
have the consent of an individual for the collection and use of style='mso-bidi-font-style:normal'>covered information relating to that
individual if -

lang=EN-US style='font-family:"Courier New";color:blue'>(i) lang=EN-US style='font-family:"Courier New"'> the covered entity has provided to the individual a clear statement
containing the information required under paragraph style='mso-spacerun:yes'> (2)(B) and informing the individual that
he or she has the right to decline consent to such collection and use; and

lang=EN-US style='font-family:"Courier New";color:blue'>(ii) lang=EN-US style='font-family:"Courier New"'> the individual either
affirmatively grants consent for such collection and use or does not decline
consent at the time such statement is presented to the individual. If an
individual declines consent at any time subsequent to the initial collection of
covered information, the style='mso-bidi-font-style:normal'>covered entity may not collect style='mso-bidi-font-style:normal'>covered information from the individual
or use covered information previously
collected.

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> ADDITIONAL OPTIONS AVAILABLE. - A
covered entity may comply with this
subsection by enabling an individual to decline consent for the collection and
use only of particular covered
information, provided the individual has been given the opportunity to
decline consent for the collection and use of all covered information.

style='mso-ascii-font-family:"Courier New";color:red'>→ん？ここはちょっと意味がよくわからないな・・・ lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(4) lang=EN-US style='font-family:"Courier New"'> NOTICE AND CONSENT TO MATERIAL
CHANGE IN PRIVACY POLICIES. - A covered
entity shall provide the privacy notice required by paragraph (2) and
obtain the express affirmative consent of the individual prior to –

style='mso-ascii-font-family:"Courier New";color:red'>→変更時は「事前の」オプトインですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>ただ、変更の程度に応じた同意取得でないと、なんでもを事前に同意を取るのは結構大変な気がします lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> making a material change in
privacy practices governing previously collected covered information from that individual; or

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> disclosing covered information for a purpose not previously disclosed to the
individual and which the individual, acting reasonably under the circumstances,
would not expect based on the covered
entity’s prior privacy notice.

lang=EN-US style='font-family:"Courier New";color:blue'>(5) lang=EN-US style='font-family:"Courier New"'> EXEMPTION FOR A style='mso-bidi-font-style:normal'>TRANSACTIONAL PURPOSE OR AN style='mso-bidi-font-style:normal'>OPERATIONAL PURPOSE. -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> EXEMPTION FROM NOTICE REQUIREMENTS.
- The notice requirements in this sub-section shall not apply to style='mso-bidi-font-style:normal'>covered information that –

style='mso-ascii-font-family:"Courier New";color:red'>→利用目的通知の適用除外について定めています lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(i) lang=EN-US style='font-family:"Courier New"'> is collected by any means that
does not utilize the Internet, as described in paragraph (2)(A)(ii); and

lang=EN-US style='font-family:"Courier New";color:blue'>(ii)

lang=EN-US style='font-family:"Courier New";color:blue'>(I) lang=EN-US style='font-family:"Courier New"'> is collected for a style='mso-bidi-font-style:normal'>transactional purpose or an style='mso-bidi-font-style:normal'>operational purpose; or

lang=EN-US style='font-family:"Courier New";color:blue'>(II) lang=EN-US style='font-family:"Courier New"'> consists solely of information described
in subparagraphs (A) through (D) of section 2(5) and is part of a style='mso-bidi-font-style:normal'>first party transaction.

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> EXEMPTION FROM CONSENT REQUIREMENTS.
- The consent requirements of this subsection shall not apply to the
collection, use, or disclosure of covered
information for a transactional
purpose or an operational purpose,
but shall apply to the collection by a covered
entity of covered information for
marketing, advertising, or selling, or any use of or disclosure of style='mso-bidi-font-style:normal'>covered information to an style='mso-bidi-font-style:normal'>unaffiliated party for such purposes.

style='mso-ascii-font-family:"Courier New";color:red'>→オプトインの適用除外について定めています lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>当然のことながら、 lang=EN-US style='font-family:"Courier New";color:red'>marketing, advertising,
or selling, or disclosure of covered information to an unaffiliated party for
such purposesはオプトインの適用対象です

(b)
EXPRESS CONSENT REQUIRED FOR DISCLOSURE OF COVERED
INFORMATION TO UNAFFILIATED PARTIES.
–

→国内法の第三者提供時のオプトインに相当しますね

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> IN GENERAL. - A style='mso-bidi-font-style:normal'>covered entity may not sell, share, or
otherwise disclose covered information
to an unaffiliated party without
first obtaining the express affirmative consent of the individual to whom the style='mso-bidi-font-style:normal'>covered information relates.

style='mso-ascii-font-family:"Courier New";color:red'>→ぱっと見ると、当然のことが書いてありますが、最後の「 lang=EN-US style='font-family:"Courier New";color:red'>relates style='mso-ascii-font-family:"Courier New";color:red'>」の範囲があいまいですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:red'>SEC.2.(8) style='mso-ascii-font-family:"Courier New";color:red'>で定義された lang=EN-US style='font-family:"Courier New";color:red'> preference profile style='mso-ascii-font-family:"Courier New";color:red'>も入るとすると、 lang=EN-US style='font-family:"Courier New";color:red'>cookie style='mso-ascii-font-family:"Courier New";color:red'>や style='font-family:"Courier New";color:red'>web beacon style='mso-ascii-font-family:"Courier New";color:red'>も対象となり、 lang=EN-US style='font-family:"Courier New";color:red'>unaffiliated party style='mso-ascii-font-family:"Courier New";color:red'>のことまで管理するのは結構大変そうです lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>あと、文中の「first obtaining style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>」については、定義した「first party
transaction」をうまく使えるといいですね style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> WITHDRAWAL OF CONSENT. - A style='mso-bidi-font-style:normal'>covered entity that has obtained express
affirmative consent from an individual must provide the individual with the
opportunity, without charge, to withdraw such consent at any time thereafter.

style='mso-ascii-font-family:"Courier New";color:red'>→「 lang=EN-US style='font-family:"Courier New";color:red'>without charge style='mso-ascii-font-family:"Courier New";color:red'>」で無償を明記していますね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>文中に、「express affirmative consent style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>」という表現が出てきますが、このように style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>consentの前に style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>expressが付く場合と付かない場合、同様に lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>affirmativeの有無の違いは定義されるべきですね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(3) lang=EN-US style='font-family:"Courier New"'> EXEMPTION FOR CERTAIN INFORMATION
SHARING WITH SERVICE PROVIDERS. - The
consent requirements of this subsection shall not apply to the disclosure of style='mso-bidi-font-style:normal'>covered information by a style='mso-bidi-font-style:normal'>covered entity to a service provider for purposes of executing a first party transaction if –

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>→「controlled entity style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>」を定義すると、こういうところで使えるようになります style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> the covered entity has obtained consent for the collection of style='mso-bidi-font-style:normal'>covered information pursuant to
subsection (a); and

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> the service provider agrees to use such covered information solely for the purpose of providing an
agreed-upon service to a covered entity
and not to disclose the covered
information to any other person.

(c)
EXPRESS CONSENT FOR COLLECTION OR DISCLOSURE OF SENSITIVE INFORMATION. - A covered
entity shall not collect or disclose sensitive
information from or about an individual for any purpose unless such style='mso-bidi-font-style:normal'>covered entity –

→センシティブ情報については、他と区別したオプトインを明記しています style='font-family:"Courier New";color:red'>

この区別がされて、続く(d)でonline activityのオプトインも要求することから、オンラインでセンシティブ情報を扱う場合には、ダブル・オプトインが必要になりますね lang=EN-US style='font-family:"Courier New";color:red'>

内容を見ると、欧州の要求に配慮しているのですね

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> makes available to such
individual the privacy notice described in subsection (a)(2) prior to the
collection of any sensitive information;
and

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> obtains the express affirmative
consent of the individual to whom the sensitive
information relates prior to collecting or disclosing such style='mso-bidi-font-style:normal'>sensitive information.

(d)
EXPRESS CONSENT FOR COLLECTION OR DISCLOSURE OF ALL OR SUBSTANTIALLY ALL OF AN
INDIVIDUAL’S ONLINE ACTIVITY. - A covered
entity shall not collect or disclose covered
information about all or substantially all of an individual’s online
activity, including across websites, for any purpose unless such style='mso-bidi-font-style:normal'>covered entity -

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> makes available to such
individual the privacy notice described in subsection (a)(2) prior to the
collection of the covered information
about all or substantially all of the individual’s online activity; and

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> obtains the express affirmative
consent of the individual to whom the covered
information relates prior to collecting or disclosing such style='mso-bidi-font-style:normal'>covered information.

(e)
EXCEPTION FOR INDIVIDUAL MANAGED PREFERENCE
PROFILES. - Notwithstanding subsection (b), a covered entity may collect, use, and disclose covered information if –

→「notwithstanding」って法律系ではよく使うのだろうか・・・、初めて見た、発音は区切っていいのだろうか style='font-family:"Courier New";color:red'>(笑)

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> the covered entity provides individuals with the ability to opt out of
the collection, use, and disclosure of covered
information by the covered entity
using a readily accessible opt-out mechanism whereby, the opt-out choice of the
individual is preserved and protected from incidental or accidental deletion,
including by -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> website interactions on the style='mso-bidi-font-style:normal'>covered entity’s website or a website
where the preference profile is being
used;

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> a toll-free phone number; or

lang=EN-US style='font-family:"Courier New";color:blue'>(C) lang=EN-US style='font-family:"Courier New"'> letter to an address provided by
the covered entity;

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> the covered entity deletes or renders
anonymous any covered information
not later than 18 months after the date the covered
information is first collected;

style='mso-ascii-font-family:"Courier New";color:red'>→１８ヶ月以内となっており、国内法と文脈は異なりますが保有個人データの６ヶ月未満より長期間ですね lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>ただし、 lang=EN-US style='font-family:"Courier New";color:red'>(1) style='mso-ascii-font-family:"Courier New";color:red'>から lang=EN-US style='font-family:"Courier New";color:red'>(4) style='mso-ascii-font-family:"Courier New";color:red'>までは lang=EN-US style='font-family:"Courier New";color:red'>AND style='mso-ascii-font-family:"Courier New";color:red'>条件なので、それなりに限定されています lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(3) lang=EN-US style='font-family:"Courier New"'> the covered entity includes the placement of a symbol or seal in a
prominent location on the website of the covered
entity and on or near any advertisements delivered by the style='mso-bidi-font-style:normal'>covered entity based on the style='mso-bidi-font-style:normal'>preference profile of an individual that
enables an individual to connect to additional information that –

style='mso-ascii-font-family:"Courier New";color:red'>→「 lang=EN-US style='font-family:"Courier New";color:red'>symbol style='mso-ascii-font-family:"Courier New";color:red'>又は lang=EN-US style='font-family:"Courier New";color:red'>seal style='mso-ascii-font-family:"Courier New";color:red'>」とあるのは、第三者機関による認証取得のことでしょうかね・・・ lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>そうであれば、それが明確にわかるような表現か定義が必要ですね style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> describes the practices used by
the covered entity or by an style='mso-bidi-font-style:normal'>advertisement network in which the style='mso-bidi-font-style:normal'>covered entity participates to create a style='mso-bidi-font-style:normal'>preference profile and that led to the
delivery of the advertisement using an individual’s preference profile, including the information, categories of
information, or list of preferences associated with the individual that may
have led to the delivery of the advertisement to that individual; and

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>preference profile style='mso-ascii-font-family:"Courier New";color:red'>を使って管理し、かつ lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> allows individuals to review and
modify, or completely opt out of having, a preference
profile created and maintained by a covered
entity or by an advertisement network
in which the covered entity
participates; and

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>preference profile style='mso-ascii-font-family:"Courier New";color:red'>を本人が参照・更新などできることが求められますね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(4) lang=EN-US style='font-family:"Courier New"'> an advertisement network to which a covered entity discloses covered
information under this subsection does not disclose such style='mso-bidi-font-style:normal'>covered information to any other entity
without the express affirmative consent of the individual to whom the style='mso-bidi-font-style:normal'>covered information relates.

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 4. ACCURACY AND SECURITY OF style='mso-bidi-font-style:normal'>COVERED INFORMATION AND CONSUMER
EDUCATION CAMPAIGN.

style='font-family:"Courier New";color:blue'>

 

→このセクションは、これから肉付けするのかな？

たとえば、データ流出など事故発生時の本人通知などについて触れてない style='font-family:"Courier New";color:red'>

少なくともセクションタイトルは、 lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>CONSUMER EDUCATION CAMPAINとは分けてもよさそう lang=EN-US style='font-family:"Courier New";color:red'>

以下の本文も、 lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>securityと style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>integrityと style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>confidentialityを並べたり、 lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>securityと style='font-family:"Courier New";color:red;background:yellow;mso-highlight:
yellow'>integrityだけを並べたり、 lang=EN-US style='font-family:"Courier New";color:red;background:yellow;
mso-highlight:yellow'>protecting informationと表現してみたり、ここは、これから仕上げていくのでしょうね lang=EN-US style='font-family:"Courier New";color:red'>

(a)
ACCURACY. - Each covered entity shall
establish reasonable procedures to assure the accuracy of the style='mso-bidi-font-style:normal'>covered information it collects.

(b) SECURITY
OF COVERED INFORMATION. -

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> IN GENERAL. - A style='mso-bidi-font-style:normal'>covered entity or service provider that collects covered
information about an individual for any purpose must establish, implement,
and maintain appropriate administrative, technical, and physical safeguards
that the Commission determines are
necessary to –

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> ensure the security, integrity,
and confidentiality of such information;

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> protect against anticipated
threats or hazards to the security or integrity of such information;

lang=EN-US style='font-family:"Courier New";color:blue'>(C) lang=EN-US style='font-family:"Courier New"'> protect against unauthorized
access to and loss, misuse, alteration, or destruction of, such information;
and

lang=EN-US style='font-family:"Courier New";color:blue'>(D) lang=EN-US style='font-family:"Courier New"'> in the event of a security
breach, determine the scope of the breach, make every reasonable attempt to
prevent further unauthorized access to the affected covered information, and restore reasonable integrity to the
affected covered information.

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> FACTORS FOR APPROPRIATE SAFEGUARDS.
- In developing standards to carry out this section, the Commission shall consider the size and complexity of a style='mso-bidi-font-style:normal'>covered entity, the nature and scope of
the activities of a covered entity,
the sensitivity of the covered
information, the current state of the art in administrative, technical, and
physical safeguards for protecting information, and the cost of implementing
such safeguards.

(c)
CONSUMER EDUCATION. - The Commission
shall conduct a consumer education campaign to educate the public regarding
opt-out and opt-in consent rights afforded by this Act.

 

style='font-family:"Courier New";color:blue'>SEC. 5. USE OF style='mso-bidi-font-style:normal'>AGGREGATE OR ANONYMOUS INFORMATION.

 

Nothing
in this Act shall prohibit a covered
entity from collecting or disclosing aggregate
information or covered information
that has been rendered anonymous.

→統計情報と匿名化情報を除外することを明記しています

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 6. USE OF LOCATION-BASED
INFORMATION.

 

→国内だと、どれに相当することになるのでしょうかね

(a) IN
GENERAL. - Except as provided in section 222(d) of the Communications Act of
1934 (47 U.S.C. 222(d)), any provider of a product or service that uses
location-based information shall not disclose such location-based information
concerning the user of such product or service without that user’s express
opt-in consent. A user’s express opt-in consent to an application provider that
relies on a platform offered by a commercial mobile service provider shall satisfy the requirements of this subsection.

(b)
AMENDMENT. - Section 222(h) of the Communications Act of 1934 (47 U.S.C.
222(h)) is amended by adding at the end the following: “(8) CALL LOCATION
INFORMATION - The term ‘call location information’ means any location-based
information.”

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 7. FEDERAL COMMUNICATIONS
COMMISSION REPORT.

 

Not
later than 1 year after the date of enactment of this Act, the Federal
Communications Commission shall transmit a report to the Committee on Energy
and Commerce of the House of Representatives and the Committee on Commerce,
Science, and Transportation of the Senate describing -

(1) all
provisions of United States
communications law, including provisions in the Communications Act of 1934,
that address subscriber privacy; and

(2) how
those provisions may be harmonized with the provisions of this Act to create a
consistent regulatory regime for covered
entities and individuals.

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 8. ENFORCEMENT.

 

(a)
ENFORCEMENT BY THE FEDERAL TRADE COMMISSION. -

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> UNFAIR OR DECEPTIVE ACTS OR PRACTICES.
- A violation of this Act shall be treated as an unfair and deceptive act or
practice in violation of a regulation under section 18(a)(1)(B) of the Federal
Trade Commission Act (15 U.S.C. 57a(a)(1)(B)) regarding unfair or deceptive
acts or practices.

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>FTCのこれまでの監督体制を使いつつ・・・（以下につづく） style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> POWERS OF COMMISSION. - The Commission
shall enforce this Act in the same manner, by the same means, and with the same
jurisdiction, powers, and duties as though all applicable terms and provisions
of the Federal Trade Commission Act style='mso-spacerun:yes'> (15 U.S.C. 41 et seq.) were incorporated
into and made a part of this Act. Any person who violates such regulations
shall be subject to the penalties and entitled to the privileges and immunities
provided in that Act. Notwithstanding any provision of the Federal Trade
Commission Act or any other provision of law and solely for purposes of this
Act, common carriers subject to the Communications Act of 1934 (47 U.S.C. 151
et seq.) and any amendment thereto shall be subject to the jurisdiction of the style='mso-bidi-font-style:normal'>Commission.

lang=EN-US style='font-family:"Courier New";color:blue'>(3) lang=EN-US style='font-family:"Courier New"'> RULEMAKING AUTHORITY AND LIMITATION.
- The Commission may, in accordance
with section 553 of title 5, United States Code, issue such regulations it
determines to be necessary to carry out this Act. In promulgating rules under
this Act, the Commission shall not
require the deployment or use of any specific products or technologies,
including any specific computer software or hardware.

style='mso-ascii-font-family:"Courier New";color:red'>→ style='font-family:"Courier New";color:red'>FTCが本法のために、新たなルールを設ける可能性を示唆していますね style='font-family:"Courier New";color:red;background:aqua;mso-highlight:aqua'>

(b) ENFORCEMENT
BY STATE ATTORNEYS GENERAL. -

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> CIVIL ACTION. - In any case in
which the attorney general of a State, or agency of a State having consumer
protection responsibilities, has reason to believe that an interest of the residents
of that State has been or is threatened or adversely affected by any person who
violates this Act, the attorney general or such agency of the State, as class=SpellE>parens patriae, may bring a civil
action on behalf of the residents of the State in a district court of the
United States of appropriate jurisdiction to –

style='mso-ascii-font-family:"Courier New";color:red'>→被害者に代わって州政府が事業者に民事措置をしたり、 lang=EN-US style='font-family:"Courier New";color:red'>FTC style='mso-ascii-font-family:"Courier New";color:red'>が調停をしたりできます lang=EN-US style='font-family:"Courier New";color:red'>

style='mso-ascii-font-family:"Courier New";color:red'>日本からすると厳しい内容ですが、これは米国で消費者保護を目的とする法律でよく見られるものなので、米国内では特段に厳しいということはないのでしょうね lang=EN-US style='font-family:"Courier New";color:red'>

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> enjoin further violation of such
section by the defendant;

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> compel compliance with such
section;

lang=EN-US style='font-family:"Courier New";color:blue'>(C) lang=EN-US style='font-family:"Courier New"'> obtain damage, restitution, or
other compensation on behalf of residents of the State; or

lang=EN-US style='font-family:"Courier New";color:blue'>(D) lang=EN-US style='font-family:"Courier New"'> obtain such other relief as the
court may consider appropriate.

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> INTERVENTION BY THE FTC. -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> NOTICE AND INTERVENTION. - The State
shall provide prior written notice of any action under paragraph (1) to the style='mso-bidi-font-style:normal'>Commission and provide the style='mso-bidi-font-style:normal'>Commission with a copy of its complaint,
except in any case in which such prior notice is not feasible, in which case
the State shall serve such notice immediately upon instituting such action. The
Commission shall have the right -

lang=EN-US style='font-family:"Courier New";color:blue'>(i) lang=EN-US style='font-family:"Courier New"'> to intervene in the action;

lang=EN-US style='font-family:"Courier New";color:blue'>(ii) lang=EN-US style='font-family:"Courier New"'> upon so intervening, to be heard
on all matters arising therein; and

lang=EN-US style='font-family:"Courier New";color:blue'>(iii) lang=EN-US style='font-family:"Courier New"'> to file petitions for appeal.

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> LIMITATION ON STATE ACTION WHILE
FEDERAL ACTION IS PENDING. - If the Commission
has instituted a civil action for violation of this Act, no State attorney
general or agency of a State may bring an action under this subsection during
the pendency of that action against any defendant named in the complaint of the
Commission for any violation of this
Act alleged in the complaint.

lang=EN-US style='font-family:"Courier New";color:blue'>(3) lang=EN-US style='font-family:"Courier New"'> CONSTRUCTION. - For purposes of
bringing any civil action under paragraph (1), nothing in this Act shall be
construed to prevent an attorney general of a State from exercising the powers
conferred on the attorney general by the laws of that State to -

lang=EN-US style='font-family:"Courier New";color:blue'>(A) lang=EN-US style='font-family:"Courier New"'> conduct investigations;

lang=EN-US style='font-family:"Courier New";color:blue'>(B) lang=EN-US style='font-family:"Courier New"'> administer oaths or affirmations;
or

lang=EN-US style='font-family:"Courier New";color:blue'>(C) lang=EN-US style='font-family:"Courier New"'> compel the attendance of
witnesses or the production of documentary and other evidence.

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 9. NO PRIVATE RIGHT OF
ACTION.

 

This
Act may not be considered or construed to provide any private right of action.
No private civil action relating to any act or practice governed under this Act
may be commenced or maintained in any State court or under State law (including
a pendent State claim to an action under Federal law).

→private rightに係るものではないと明記

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 10. PREEMPTION.

 

This
Act supersedes any provision of a statute, regulation, or rule of a State or
political subdivision of a State, that includes requirements for the
collection, use, or disclosure of covered
information.

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 11. EFFECT ON OTHER LAWS.

 

(a)
APPLICATION OF OTHER FEDERAL PRIVACY LAWS. - Except as provided expressly in
this Act, this Act shall have no effect on activities covered by the following:

lang=EN-US style='font-family:"Courier New";color:blue'>(1) lang=EN-US style='font-family:"Courier New"'> Title V of the Gramm-Leach-Bliley
Act (15 U.S.C. 6801 et seq.).

lang=EN-US style='font-family:"Courier New";color:blue'>(2) lang=EN-US style='font-family:"Courier New"'> The Fair Credit Reporting Act (15
U.S.C. 1681 et seq.).

lang=EN-US style='font-family:"Courier New";color:blue'>(3) lang=EN-US style='font-family:"Courier New"'> The Health Insurance Portability
and Accountability Act of 1996 (Public Law 104-191).

lang=EN-US style='font-family:"Courier New";color:blue'>(4) lang=EN-US style='font-family:"Courier New"'> Part C of title XI of the Social
Security Act  (42 U.S.C. 1320d et
seq.).

lang=EN-US style='font-family:"Courier New";color:blue'>(5) lang=EN-US style='font-family:"Courier New"'> The Communications Act of 1934
(47 U.S.C. 151 et seq.).

lang=EN-US style='font-family:"Courier New";color:blue'>(6) lang=EN-US style='font-family:"Courier New"'> The Children’s Online w:st="on">Privacy Protection Act of 1998 (15 U.S.C. 6501 et
seq.).

lang=EN-US style='font-family:"Courier New";color:blue'>(7) lang=EN-US style='font-family:"Courier New"'> The CAN-SPAM Act of 2003 (15 U.S.C.
7701 et seq.).

(b) style='mso-bidi-font-style:normal'>COMMISSION AUTHORITY. - Nothing
contained in this Act shall be construed to limit authority provided to the style='mso-bidi-font-style:normal'>Commission under any other law.

style='font-family:"Courier New";color:blue'>

 

style='font-family:"Courier New";color:blue'>SEC. 12. EFFECTIVE DATE.

 

Unless
otherwise specified, this Act shall apply to the collection, use, or disclosure
of, and other actions with respect to, covered
information that occurs on or after the date that is one year after the
date of enactment of this Act.

→施行までの猶予は１年間ですね

 

米国の連邦プライバシー法の立法検討 - Omnibus Federal Privacy Law

日本が天気に恵まれたゴールデンウィークを楽しんでいる最中、
米国で検討が始まった連邦プライバシー法(Omnibus Federal Privacy Law)の検討ドラフトがリリースされましたね。

記事をこちらに差し替えました。

電子メールのオプトイン規制開始

特定電子メール法の平成２０年改正により、日本も、いよいよ電子メールについては、オプトイン方式導入ですね。
改正の概要は、以下のとおりです。
http://www.soumu.go.jp/joho_tsusin/d_syohi/h20kaisei.html
～～～～～以下、転載～～～～～
１　オプトイン方式による規制の導入

　　（１）　広告宣伝メールの規制に関し、取引関係にある者への送信など一定の場合を除き、あらかじめ送信に同意した者に対してのみ送信を認める方式（いわゆる「オプトイン方式」）を導入する。
　　（２）　あらかじめ送信に同意した者等から広告宣伝メールの受信拒否の通知を受けたときは以後の送信をしてはならないこととする。
　　（３）　広告宣伝メールを送信するに当たり、送信者の氏名・名称や受信拒否の連絡先となる電子メールアドレス・ＵＲＬ等を表示することとする。
　　（４）　同意を証する記録の保存に関する規定を設ける。

２　法の実効性の強化

　　（１）　送信者情報を偽った電子メールの送信に対し電気通信事業者が電子メール通信の役務の提供を拒否できることとする。
　　（２）　電子メールアドレス等の契約者情報を保有する者（プロバイダ等）に対し情報提供を求めることができることとする。
　　（３）　報告徴収及び立入検査の対象に送信委託者を含め、不適正な送信に責任がある送信委託者に対し、必要な措置を命ずることができることとする。
　　（４）　法人に対する罰金額を１００万円以下から３０００万円以下に引き上げるなど罰則を強化する。

３　その他

　　（１）　迷惑メール対策を行う外国執行当局に対し、その職務に必要な情報の提供を行うことをできることとする。
　　（２）　海外発国内着の電子メールが法の規律の対象となることを明確化する。
～～～～～転載ここまで～～～～～

これに伴い、「特定電子メールの送信等に関するガイドライン」が総務省から公表され、オプトイン規制の内容が具体的に定められました。

http://www.soumu.go.jp/joho_tsusin/d_syohi/m_mail.html

これに準じるように、2008年12月1日からオプトイン規制が施行されますので、ガイドラインの内容をまとめてみました。

当初、気になっていたのは、以下のようなことです。

＞　１．（２）　あらかじめ送信に同意した者等から広告宣伝メールの受信拒否の通知を受けたときは以後の送信をしてはならないこととする。

については、海外の CAN-SPAM 法などのように、送信停止までの日数に期限が定められるかを確認する必要があります。

＞ １．（４）　同意を証する記録の保存に関する規定を設ける。

については、具体的な要件を確認しないといけませんね。

あと、これらを実施するには、個人情報削除とは相反する場合があるため、それについてガイドラインで明確にしてもらえるといいなぁと思っていました。

ということで、公表されたガイドラインをまとめてみると以下のような内容でした。

～～～～～～～～～～　ここから　～～～～～～～～～～
オプトイン規制の対象は特定電子メール。
特定電子メールの定義は、ガイドラインの記載を参照。

●オプトインの同意取得方法

オプトイン取得時について以下の事項を特定する必要あり。
1) 送信者の氏名・名称
2) 広告・宣伝メールの送信をすること

2)について、オプトインは送信の可否のみ同意取得するだけで可。コンテンツについての特定は必須ではない。（逆にオプトアウト時にコンテンツ個別や一定期間のオプトアウトを受信者が希望した場合には送信を停止しなければならないが、条件以外のコンテンツなどの送信の義務は負わない。＝一括オプトアウト処理しても可）

同意取得方式としてデフォルト・オフを推奨はするが、デフォルト・オンでも可。
ただし、デフォルト・オンの場合は、チェックのはずし方と、はずさないときに同意とみなす旨の記載を推奨。

同意取得・確認のために送信する電子メールも特定電子メールに該当する点に注意。
すなわち、電子メールアドレスの取得時に、オプトインを同意取得しておかないと、後から電子メールによるオプトインはできない。

なりすまし登録やアドレス記入ミスによる誤登録を防ぐため、ダブル・オプトインを推奨するが必須ではない。しかし同様に、ダブル・オプトイン用の最初のメールに広告があると、それ自身が特定電子メールとなるので注意が必要。

１つのメールアドレスを複数の者が使用している場合には、いずれかひとりが同意すればオプトインとみなすことが可能。（オプトアウト時についてガイドラインに記載はないが、逆にオプトアウトも同様と考えられる。）

第３者を通じての同意取得の際には、実際の送信者が特定されるようにする必要あり。
（たとえば共催イベントなどで主催者がまとめて同意取得するなどの）複数の送信者分をまとめて同意取得する場合には、各送信者が特定されるように表示する必要あり。
なお、複数の送信者分を一括してオプトイン同意取得した場合のオプトアウトは、一括取得した者が一括オプトアウト処理できることを推奨しているが、必須としてはいない。

●同意取得を証する記録の保存

同意を証明する記録は１ヶ月間の保存を義務付け。
（ただし、措置命令を受けた者は、命令日から１年間）
保存内容は以下のいずれか。
・同意取得の時期・方法等の状況の記録
・送信先アドレスを特定した上であれば、書面、電子メール、ウェブによる同意取得の定型的内容
受信者との同意取得有無のトラブルに備えて、上記以外の記録も説明のために保持しておくことを推奨。

●規制の例外

名刺交換や取引関係などは「電子メールアドレスの通知」として扱い、それで知ったアドレスへの送信はオプトイン規制の例外（＝オプトイン不要）となる。
詳細はガイドラインを参照する必要あり。
たとえば、契約申込書に記入したアドレスやフリーメールを申し込んだ場合に、広告が付随的に行われることもオプトイン規制の例外となるなど←「付随的に」がポイントなのでガイドラインを参照するとよい。
また、ウェブでメールアドレスを公表している場合も例外が適用される。ただし、アドレスの公表箇所に「受信拒否」の意思表示をしている場合は、例外に該当しない（＝オプトイン必要）。そのため、ロボットでアドレスだけ単純に集めて使うのはＮＧ。

なお、オプトイン規制の例外による場合も、受信者はオプトアウトはできる。
オプトアウトされた以後は、オプトアウトした者には広告を付随してはならないことになるが、「社会的に相当なものとして認容される場合」は、オプトアウトの例外として、本来目的に支障がないように送信をできる。「～場合」については、具体的な場合を施行規則及びガイドラインに明記されているので参照のこと。

●送信メールの表示義務

実際の送信メールでは以下の事項を表示する必要あり。
a) 送信責任者の氏名・名称
b) オプトアウト手順（連絡先メールアドレスやウェブページのURLなど）
c) オプトアウトができることの説明
d) 送信責任者の住所
e) 問い合わせ先（電話番号、メールアドレスなど何らか）

a～cについては、メール本文内。dとeについては、リンク先を示すのでも可。
リンク先はすぐに内容がわかる程度のURLである必要あり。（トップページだけ示して、該当ページを探すのが困難ではダメ）

※注意：ここでとりまとめた上記以外にも、社名変更や合併時の事項などもガイドラインにあるので、具体的にはガイドラインを参照する必要があります。
～～～～～～～～～～　ここまで　～～～～～～～～～～

当初、確認しようとしていた点については：

・オプトアウト時の送信停止までの期間についてはふれられていませんでした。
・オプトインの証拠保存は、内容がいまいち具体的に示されてはいませんが、１ヶ月間保存とのこと。
・個人情報削除との関係もふれられていませんでした。

という結果でしたが、自然な処理をしていればよさそうなかんじのガイドラインになっています。
・・・ただ、その結果、無料サービスに対しては結構甘いかんじになってます。

あと、電子メールに「住所の記載」も徹底しないといけませんね。
これは、今年の法改正以前からそのようになっていたようです・・・ね。

唯一、欧米のオプトインと比べると厳しいかもしれないのは、オプトイン取得のためだけの最初の電子メールコンタクトをＮＧにしている点ですね。
電子メール取得時に、オプトインを得ないと、電子メールが使えない点には注意が必要そうです。

個人情報保護の解説音源

Y's Station（わいズすてぇしょん）に、個人情報保護の解説音源をアップしました。

鳥取県人権施策セミナー で講演した内容をアップしました。

・すぐに始められる個人情報保護

個人情報の利用目的通知とデータ管理方法

１週間前に掲載されていたのに、こちらでの紹介は今頃になってしまいました・・・

ThinkIT の連載の最終回は、利用目的の通知とデータ管理としてまとめました。

記事は以下に掲載しています。

第６回：利用目的の通知とデータ管理

個人情報保護法の肝とも言えるのは、取得時における利用目的の通知です。
その方法について紹介しました。
また、通知した利用目的の範囲で利用するためには、個人情報のデータ管理と組み合わせておかなければなりません。
そのため、利用目的の通知とデータ管理は両方を見据えながら検討する必要があります。
オプトインを取るよりも取らない方が、取得時の工数も減り、その後の利用範囲が広いように思われ、オプトインは取らないに越したことことはない。と考えがちです。
しかし、必ずしもそうとは限らないことについて紹介しましたので、参考にしてください。

連載記事のバックナンバーは以下のとおりです。

第１回：データが語る個人情報保護法の実態
第２回：企業における対応方針と成功の秘訣
第３回：個人情報の分別
第４回：社内ガイドラインの作成
第５回：コストをかけずにできるセキュリティ対策

法律から始めない個人情報保護対策

企業における個人情報保護対策は、個人情報保護法の施行がきっかけになったところが多いと思います。
きっかけは、法律だったとしても、対策の検討を、法律から考えるのはナンセンスです。

というようなことを、とりあえず、いつも話しているわけですが、このたび「企業における個人情報保護対策の実際」ということで文章にしてみました。

普段ぼくと接していただいている方にとって、真新しい内容ではありませんが参考にしてください。

「企業における個人情報保護対策の実際」というテーマで、科学技術振興機構が発行及びＷｅｂ掲載している「情報管理」という媒体の2006年8月号 (VOL.49 NO.5) に寄稿しました。

コストをかけないモバイルＰＣセキュリティ対策

ThinkIT の連載の第５回は、コストをかけないモバイルＰＣセキュリティ対策としてまとめました。

記事は以下に掲載しています。

第５回：コストをかけずにできるセキュリティ対策

ＰＣのセキュリティ対策は、お金をかけなくてもできることが結構あります。
セキュリティ屋からセキュリティ対策を教わると、そういうことが逆におろそかになり、金のかかることばかりを勧められたりするので注意しましょう。

上記の記事では、ＴＰＭについては、簡単にしか触れていませんが、ＴＰＭもコストをかけずにできる強力なセキュリティ機能です。
そちらについては、以下のブログで紹介しているので、ご興味ある方は参照してください。

• TPMガイドライン
  
  

連載記事のバックナンバーは以下のとおりです。

第１回：データが語る個人情報保護法の実態
第２回：企業における対応方針と成功の秘訣
第３回：個人情報の分別
第４回：社内ガイドラインの作成

常識として知っておきたい個人情報保護法（３）

ThinkIT の連載の第３回です。

第３回：個人情報の分別

バックナンバー

第１回：データが語る個人情報保護法の実態

第２回：企業における対応方針と成功の秘訣

常識として知っておきたい個人情報保護法（２）

ThinkIT の連載の第２回です。

第２回：企業における対応方針と成功の秘訣

バックナンバー

第１回：データが語る個人情報保護法の実態

常識として知っておきたい個人情報保護法（１）

ThinkIT で連載を始めました。

今さら、また個人情報保護法ですか・・・と思われるかもしれませんね。
さらに・・・
「常識として知っておきたい個人情報保護法」という高飛車なタイトルですが、
これは編集の方が付けてくれたもので、ぼくは、こういう高飛車なもの言いはしません。

もっと性質は悪くて、高所からものを言うというよりも、一刀両断させていただこうと思います。

そんなことで、第１回目が掲載されました。

第１回目は「データが語る個人情報保護法の実態」です。

ちゃんと登録していただくと、「個人情報保護バブルの功罪」として
「餌食になったコンプライアンス」「無責任の連鎖」
といったシュールなところを読んでいただけます。

これから毎週月曜掲載でがんばります。。。ハァ

RSA Conference での採点集計

この記事は、RSA Conference 2006 での講演にて、採点表を提出していただいた皆様への連絡のためのものです。

RSA Conference にて採点表を提出していただいた皆様へ、

集計が完了いたしましたので、集計ファイルについては、講演にてご紹介した手順でダウンロードしていただければと存じます。

ご意見、ご質問があれば、この記事へのコメントにて記入してください。
お名前や連絡先は、匿名で構いません。（差し支えがなければ、採点表に記入していただいた UserID をご記入ください）

以下は、集計ファイルからの抜粋です。

●従業員数別平均

従業員数の多い企業の方が概ね高得点になっている様子。
サンプル数が少ないものの、100人未満の企業が高得点を示しているが、今回の採点項目は遵守する人数が少ない方が徹底しやすいこと及びRSAコンファレンス受講等により意識の高い企業であることによって、高得点になっているという仮説を考えることができる。
1000人～9999人に得点の低下のように見える部分がある。これもサンプル数が少ないため、はっきりしないが、1000人未満では全社員への徹底がある程度容易なのに対し、1000人を超えると困難となるためかもしれない。それが10000人以上になると、大規模企業であるために、対策に相当の手間をかけられるため得点があがるという仮説を考えることができる。
どちらも、より多いサンプル数で検証してみたい仮説ではある。

●役割別平均

個人情報保護の担当者と、そうではない社員の認識度の違いを見ようとしたが、特段の傾向を見ることはでいなかった。
機会があれば、こちらについても、より多いサンプル数で検証してみたい。

●総評

今回は、サンプル数が少なかったため、あえて業種を調査しなかったが、業態について調査しておいても興味深い集計ができたかもしれない。

ビジネスの“攻め”に活かす「個人情報保護法対策」

鈴木正朝先生と対談をしました。

当社の e-mail マガジンである HP Technology at Work の特集で対談内容を紹介しています。

対談では鈴木節(rompalぶし)を、久しぶりに聞くことができて楽しかったです。

ビジネスの“攻め”に活かす「個人情報保護法対策」

でご堪能ください。

アメリカのDNC(Do Not Call)

以前、「オーストラリアのDNC(Do Not Call)」という法規制を紹介した。
アメリカでも、もちろんそれと同様のことが自主規制として行なわれている。

意外にも、そのことを知らない人が多いようなので簡単に紹介しておこうと思う。

アメリカでは、もともと、Direct Marketing Association （ダイレクト・マーケティング協会)による

　State Do-Not-Call Lists

が運用されていたが、2003年から FTC(Federal Trade Commission) による

　National Do Not Call List

の運用が始まり、より充実している。

企業からすると、州ごとに運用されると、データのチェックが大変なので、国全体で集約してくれることが、効率的に対策を実施できることになる。

日本では、個人情報保護の矛先が、漏洩防止にばかりいってしまったので、こういう対策が調べられることすら少ないのは残念なことだと思う。
これらのことについては、RSA Conference 2006 にて、個人情報保護対策第二幕として紹介していこうと思う。

個人情報保護対策が裏目

たまたま見かけたブログで紹介されていましたが、商品のリコールが発生したときに、個人情報保護対策が裏目に出てしまうことがあるのですね。

「零細企業のなんでも屋ＯＬのつぶやき」というブログにて
「個人情報の保有期間ってむずかし～」という記事がありました。

その中で、「顧客名簿処分が裏目に出た松下電器温風機リコール事件」を紹介しています。

個人情報の漏洩防止を偏重してしまい、そもそも、その情報をなぜ保有しているのかを確認することの重要性を再認識させられる内容です。
個人情報を必要以上に破棄したり、最初に通知する利用目的を必要以上に狭くするのはよくないだろうという認識はしていましたが、リコール時の連絡にまで気を配ることができていたかといえば確かではありません。
この場合において、リコールが起きることまでを予期することは困難だったかもしれませんが、これを知ってしまった以上は、これを教訓にして、商品のお客様登録情報についての利用目的を果たせるようにする必要があります。
知ったからには、「予期できなかった」はもう許されないと思って、取り組まなければなりませんね。

あ！ぼくだけではないですよ。これを読んでしまった、”あなた”もそうなります。
北斗の拳が実写版映画になるようですが、、、「おまえはもう知ってしまった・・・」というところでしょうか。（笑）

あ・た・た・たた～

自分と関係なさそうな事件や事故の教訓から、自分も学ばないといけません。ということで、「バカな行政、バカな報道、バカな国民では再発は防げない」の教訓として、この件も付け加えておこうと思います。

ひ・で・ぶ・・・

JIS Q 15001 改定のパブコメ募集

プライバシーマークとして知られている JIS Q 15001 の改定のパブコメが募集されていますね。
今回の改定の主題は、もちろん、個人情報保護法対応ということになります。

JIS Q 15001 の改定に関する意見募集要領
より抜粋して転載。

日本工業規格「個人情報保護に関するコンプライアンス・プログラムの要求事項」（JIS Q 15001）の改定に関する意見募集要領

日本工業規格「個人情報保護に関するコンプライアンス・プログラムの要求事項」（JIS Q 15001）につきまして、個人情報保護法施行等に伴う改定を検討しております。現在の試案について御意見の募集をいたしますので、以下の要領に従いご提出ください。

１．意見募集対象

日本工業規格「個人情報保護に関するコンプライアンス・プログラムの要求事項」（JIS Q 15001）の改定試案（PDF形式：76KB）
＊現行の規定（JIS Q 15001：1999）については、日本工業標準調査会のページ
（http://www.jisc.go.jp/）にてご参照ください。
　
２．意見募集期間

平成１７年１２月１３日（火）から平成１８年１月１０日（火）まで

今年のお正月は、こたつでみかんを食べながら、パブコメを書きましょう。ということですね・・・

社内個人情報保護ガイドラインを無償公開

日本ＨＰの社内で使用している個人情報保護ガイドラインを無償配布させていただくことにしました。

以前、以下のような調査をさせていただきました。

【IT media】
中堅・中小企業で対策の苦慮目立つ――日本HPの個人情報保護法対策進展調査

その結果、中堅・中小企業では、個人情報保護の社内ガイドラインの具体例があると役立つのかなぁ・・・とおもっていたところ、、

政府が、政府の内部基準を公開してくれたのだから・・・
それに感謝して、企業は、企業の社内ガイドラインを公開して世の中の役に立てられたらいいよね。

ということで無償配布させていただくことにしました。

無償配布については、以下を参照ください。

日本ＨＰのプレスリリース

関連記事：

【日本経済新聞】 2005年12月13日(火)朝刊
個人情報保護ガイドライン - 日本ＨＰ、無償で公開

【IT media】 2005年12月13日(火)
「たたき台」としての活用を――日本HPが個人情報保護ガイドラインを無償提供

【Enterprise Watch】 2005年12月13日(火)
日本HP、自社の個人情報保護ガイドラインを無償提供、「策定のたたき台に」

【電波新聞】 2005年12月14日（水）
日本ＨＰ　個人情報保護ガイドラインを無償で提供開始 - 具体的な対策事例示す

【Web BCN】 2005年12月14日(水)
日本HP、社内で実際に使用している「個人情報保護ガイドライン」を無償配布

個人情報保護法対策の進展調査

個人情報保護法対策の進展調査というのを実施させていただき、調査結果について公表させていただきました。

大企業での状況と、中小・中堅企業との差を意識して調査をしてみました。

調査報告については、以下のWebを参照してください。

日本ＨＰのプレスリリース：
日本HP「個人情報保護法対策の進展調査」を実施

調査内容としては、今まで気づかなかったようなことを発見するようなものではなく、これまでなんとなくはわかっていても、実際のところはどうなんだろうかという素朴な疑問を投げかけたような調査です。
調査結果をまとめてありますが、所見などというものも書かせていただきましたので、上記のリンクからご参照ください。

うちでできる調査は、さすがに民間のことでしたが、行政機関については、総務省が実施するようですね。

まるちゃんの情報セキュリティ気まぐれ日記

そちらの調査が終わったら結果を見比べてみたりできるとおもしろいかもしれません。

オーストラリアのDNC(Do Not Call)

オーストラリアでは、日本でいうところの個人情報保護施策のひとつとして、DNC register というのが始まりますね。

夜中のワン切り電話とかが野放しの日本からすると、とても現実的な制度です。

オーストラリア政府の
DCITA (Department of Communications, Information Technology and the Arts)
の発表によると、DNC register という規制の検討を開始しています。

Australian Do Not Call register

内容としては、テレマーケティング（電話によるセールス活動）に関しての規制になります。
オーストラリアは、もともと、テレマーケティングには神経質な国です。

特徴としては、
・電話が欲しくない（＝DNC:Do Not Call）という申し出を受理してテレマーケティングをしないこと。
・平日の午後８時以後、休日の午後５時以後の電話禁止
・国内はもとより、海外からの電話にも適用
・違反の罰金は最高でAUD$220,000-

検討中の事項としては、
・本人以外のDNC登録を認めた場合の課題
・登録から３０日以内に、DNC を徹底することの課題
・登録期間を永久にした場合の課題（転居した場合の前居住者の登録残など）
・市場調査や満足度調査などもDNCの対象にした場合の課題
・直接面識のある担当者からの電話連絡が対象となる場合の課題
などがあるようです。

こういうのは、どこぞの国の個人情報保護法での議論よりも、何やら建設的な議論のようにも思いますね。

個人情報保護法の英訳

個人情報保護法とその政令の英語の仮訳が、内閣府の以下のページに出ました。

http://www5.cao.go.jp/seikatsu/kojin/index.html

2005 Most Trusted Companies for Privacy Study

TRUST-e が 2005 年の
Most Trusted Companies for Privacy Study
を発表しました。

結果はともあれ、その評価方法は大いに参考にすることができそうです。

詳細については、
TRUSTe/ Ponemon Institute Most Trusted Company for Privacy Survey & Award
として公表されていますので、そちらを参照してください。

日本にも同様の活動があると、個人情報保護対策の励みになるのかもしれませんね。

経済産業省個人情報保護ガイドラインＱ＆Ａ

経済産業省の個人情報保護のページが見やすくなってました。
いつからだろ。気づかなかった。

経済産業省の個人情報保護のページ

いくつかおもしろいものが載ってるので紹介しときます。

たとえば、

●個人情報保護における効果的・効率的な取組事例の募集（平成17年9月30日まで）

とか

●啓発ビデオのストリーミング放送

など。
それに、

●個人情報保護ガイドライン等に関するQ＆Ａ　（平成１７年 ７月２８日現在 ）

ということでＱ＆Ａが改訂されてました。

まるちゃんは気づいてたのかな・・・と思ったら、昨日のうちに、ちゃんと気づいてました。さすがｗ

一応、ぼくもこの検討委員会の委員ですので、ひとつくらいポイントを書いておきます。

22番（１．（１０）「本人の同意」（ガイドライン１１頁～））
Ｑ：
当初はダイレクトメールを送付する目的で個人情報を利用することになっていなかったため、本人に郵便を送付し、一定期間回答がなければ、ダイレクトメールを送付する目的で利用することに同意したものとみなすようにしたいのですが、このような方法は本人同意を得たことになりますか。
Ａ：
本人が同意にかかる判断を行うために必要と考えられる合理的かつ適切な方法によらなければなりませんので、単に一定期間回答がなかっただけでは、一般的には本人の同意を得たとすることはできません。

この部分はさりげないですが、本人同意について、いわゆる「みなし同意」を認めないといっています。
Ｑの文章は、法第１６条第１項のことをさしていますが、Ｑ＆Ａにおいて、ガイドラインの１１頁を示したということは、法第２３条第１項の本人同意についても同様と解釈することになります。

みなし同意方式を採用している事業者は、見直しが必要となるので注意しなければなりません。

その他にも今回のＱ＆Ａ改訂では、注意しなければならないことが多くあります。
そのうちまた紹介することにします。

機密保持の誓約書強要

これは奥の深いテーマなので、後で考察しようということで、とりあえずメモ。

東京新聞５月１９日夕刊
機密保持の誓約書強要

というか、この件で、日弁連の個人情報保護法研修会のパネリストをすることになっているので、後でちゃんと整理しないといけませんよ＞自分。

情報セキュリティと情報活用のバランスをふまえた企業情報管理戦略

ヒューレット・パッカードの自社事例として、「情報セキュリティと情報活用のバランスをふまえた企業情報管理戦略」と題して当社のプライベートイベントである HP World 2005 にて講演をすることになっています。

http://www.hpworld.jp/2005/

情報管理戦略の中でも、個人情報のＩＬＭについてを中心に紹介します。
今週号の AERA にて少しふれられていますが、ある条件下では、社内の誰も顧客の個人情報にアクセスしなくてもビジネスを遂行することができます。アクセスしなければ漏えいすることはありません。

AERA 2005年5月16日号

ただ、ここで紹介する内容は、ＨＰにとっては、１９９６年に計画し２００１年に完成する予定だったＩＴ戦略です。
その後、Agilent Technologies との分社や Compaq との合併などにより、当初計画から２年遅れて２００３年に一部運用を開始したものです。
１９９６年当時は、この計画のセキュリティアーキテクトとして参加し、その後分社や合併で進捗がなかったため半ば忘れていたものでしたが、いまとなっては、その運用の責任者になるとは思っていませんでした。
今回の講演のために、９６年当時に自分で作成した資料などを復習したりしています。
これらのことは国内社外でも講演しているものですので、不思議なかんじです。
約９年前に設計したアーキテクチャを、最新の対策として紹介するわけですから・・・

実際に９０年代後半には、国内日本企業にコンサルティングも実施しており、当社の当初線表どおりに２００１年に実現した日本企業もあります。
しかし、ＩＴ戦略というものは、外見からは実は見えにくいものです。
この講演内容を聞いて、どれだけの人が、このＩＴ戦略に基づいたＩＴを実装している日本企業を言い当てることができるのかが実は楽しみです。
そして、そのことがＩＴアーキテクトの重要性に気づき、関心を持ってもらえるようになればいいなと思っています。

日本のＩＴ構築の多くは、欧米企業の「外見」だけをまねているように思えて、嘆かわしいからです。
ＩＴはビジネスを向上するための方策であって、目的ではないということが当たり前のことですが、とても重要なことなのです。

経済産業省 個人情報保護法ガイドラインQ&A検討会

経済産業省 個人情報保護法ガイドラインのQ&A
http://www.meti.go.jp/policy/it_policy/privacy/privacy_qa.pdf
がありますが、このQ&Aを強化するための検討会が発足しました。

委員としてお声がけをいただいたので、会合に参加しました。

詳細はこちら：
https://yoshihiro.cocolog-nifty.com/security/2005/04/post_de29.html

公益通報者保護法

公益通報者保護法の施行が決まりましたね。

・・・トラックバックという機能を使ってみたかったので、あえて、まるちゃん日記を引用してみました。法条文などはそちらからアクセスしてください。
http://maruyama-mitsuhiko.cocolog-nifty.com/security/2005/04/post_4.html

公益通報者保護法とは、いわゆる内部告発者を保護する法律です。

公益通報者保護が議論された頃に、とても気になったものですが、国会が別の議題であふれたりして、ずっと先送りになってしまい、個人的には残念でした。
なんで興味を示したかを書いておきます。

個人情報保護であれば、個人情報保護法に照らせば、軽微な事故は多くの企業で発生していることが推定されます。
たとえば、「名刺がみあたらない」＝「個人情報の紛失」ということなわけです。
これらのことについて、会社としては、「軽微なので相手に知らせないし公表もしない」と決めても、関係者の誰かが、「会社はそう決めたけれど、公表すべきではないか」と思えば、そのアクションを起こしやすくなります。
これは正社員に限らず、委託先や派遣、アルバイトなど広範に、その事実を知っているすべての関係者に言えることです。

企業としては、公益通報者保護法が施行された場合には、企業内の事故を隠蔽することは非常に高いリスクを負うことになるのでしょう。
いくら社員に退社後の機密保持契約を締結しても、条件を満たせば、公益通報者保護法が優先することになるわけですから、いままでのように、「会社の決定」を強いることはできなくなります。

事故発生の事後対応についての企業での整備は、この法律の施行日までに完了しなければならなくなると予想しています。

新憲法での個人情報保護

自民党の新憲法起草委員会がまとめた要綱では、以下の新しい権利を盛り込むとのこと。

・知る権利
・個人情報を守る権利
・犯罪被害者の権利
・環境権
・知的財産権
・司法への国民参加

「個人情報を守る権利」では、「個人情報」の定義をどうするのであろうか。
「個人情報保護法」と同じ定義では、失策を繰り返すように思う。

「プライバシーを守る」と「個人情報を守る」との違いがちゃんと整理されることを祈ります・・・

JEITA 個人情報保護対策アセスメント

JEITA(電子情報技術産業協会)の
企業向け 個人情報保護対策・実践アセスメントガイド

http://it.jeita.or.jp/infosys/committee/SOL/050323assessment_guide/

企業タイプを
　(1) タイプA：個人情報取得保有企業向け
　(2) タイプB：個人情報預託請負企業向け
　(3) タイプC：個人情報一時取り扱い企業向け
に分けて、タイプＣのセルフアセスメントガイドだけを公開し、ＡとＢでビジネスをするという手法はなかなかおもしろい。

施行まであと3日、個人情報保護法の直前対策

ご紹介いただいた記事です。

http://enterprise.watch.impress.co.jp/cda/topic/2005/03/29/4936.html