欧州司法裁判所AGがGoogleを巡るEUデータ保護指令(95/46/EC)等の解釈につきスペイン裁判所に意見書(その２)

3. 「データ主体による削除請求権」に関するENISAの技術面からの問題指摘報告書
　筆者は2012年3月26日のブログ「プライバシー－経済と実務慣行の間にゆれる基本的な人権問題－EU規制機関の取り組み」の前書きにおいて「欧州ネットワーク 情報セキュリティ機関(European Network and Information Security Agency：ENISA)」は、2つの新たな研究成果すなわち、(1)EU域内におけるプライバシーの経済効果および(2)個人情報の収集と保持にかかるオンライン実務に関するケース・スタディ報告書となる推奨的性格を持つレポートを発表したこと。(中略)ENISAの２つの研究報告はあくまで欧州委員会が2012年1月25日に提案した規則草案について、ある意味でフィージビリティ・スタディとなりうる内容を持つものであり、今回のブログはその意義とこれらをめぐるENISAの動向につき最新情報を提供するものである」と解説した。

　その意味で、今回のENISA報告書も関係する2つのレポートの内容もIT技術の急速な進展の中で揺れ動く人権擁護の法規制の今後を見通すうえで極めて重要な課題と認識すべきと考え、ここで併せて要旨のみ紹介する。

(1)ENISA報告書「忘れられる権利―期待と実務(The right to be forgotten - between expectations and practice )」の要旨
　忘れられるべき権利(データ主体の削除要求権)は、2012年1月に欧州委員会によって発表された総合個人情報保護規制案に含まれている。同規則は、施行を待つべく欧州議会や欧州連合理事会(司法部会)で審議・採択手続途上にある。(筆者注12)
　(報告書全文の前書きおよびリリース文要旨の仮訳)なお、ここでは「忘れられるべき権利」という訳語をあえて使う。

・忘れられるべき(消去またはまさしく忘却させる)権利の異なる法律面については異なった文脈で討論されているが、本報告書はこの範囲を超えている。 この報告において、ENISAは、忘れられるべき権利の他の一面の言及することを目指す。 すなわちENISAは情報システムでその権利を実施できるか、またはそのことを支持するための技術手段に焦点を合わせた。本報告で明らかなとおり、この実現には技術的な限界があり、そしてさらに法的に明確な定義化が必要である。

　本報告の主要な推奨事項は以下の通りである。

・各国の政策立案者とデータ保護機関は、忘れられるべき権利(誰が共有された個人的なデータにつきいかなる事情等の下で削除を求めることができるかなどの明確化)の実現を促進するために「その定義の明確化」のために共同して機能すべきである。
　さらに、そのような定義の明確化に関し、関連して生じるコストをも考慮する必要がある。

・オープン・システムであるインターネットにおいて、この権利を実施する純粋に技術的な解決策は不可能である。すなわち異なる事業・研究分野相互間協同的なアプローチが必要であり、政策立案者はこの事実を知っておくべきである。

・この権利の実現に向け支援し、かつ実践的なアプローチを行うためには、Google等サーチ・エンジン・オペレータに求めるべきであり、EU領域の内外面に格納された「忘れられるべき」情報の参照に関しフィルターにかけることを求めるべきである。
・これらに関し、破棄されたり、オフラインの記憶装置にある格納された個人情報の削除については、特別な注意を払わなければならない。

(2)Study on data storage and collection
　本報告は2012年3月23日に発表された。次の2つの報告書からなる(本リリースから報告全文にリンク可)。

(A)2012年2月28日公表「Study on monetising privacy：An economic model for pricing personal information」(全76頁)
　何人かの個人は、彼らのプライバシーに係る個人情報をよりよく保護するオンライン・サービス・プロバイダーに高いコストを支払うことができるくらい評価するか? これはいかなる意味で「ITサービスの個人化(personalisation of services)」 (筆者注13)とどのように関連するか?
　本研究は「プライバシーの貨幣価値化(monetisation of privacy)」 (筆者注14)問題を分析する。貨幣価値化は、購買取引と関連して消費者による個人データの公開または非公開の決定に依存する。このレポートの第一目的はITサービスの個人化、プライバシー面の懸念問題、およびオンライン・サービス・プロバイダー間の競争の相互作用についてより良い理解を可能にすることである。 消費者は、一方では製品の個人化の利益を得るが、他方で１つのサービスに閉じ込められるかもしれない。さらに、個人化はすなわちいったんサービス・プロバイダーにプライバシー面で侵害されるとデータの扱いで妥協せざるを得ないというプライバシー面の危険を冒す。
　プライバシーは人権である。プライバシーの経済学的側面について考える場合、この基本的事実は変わらない。このレポートの作者は、個人的なデータに関して私たちの人間の意思決定の理解を改良する上で、プライバシーの経済分析が法的分析を補足すると考える。

(B) 2012年2月23日公表 「Study on data collection and storage in the EU」(全60頁)
　この研究の目的は、一方では設計原理におけるプライバシーの重要性と他方では、多くのオンライン・サービス・プロバイダーの実践における手ぬるい情報保護の現実の間に明確なコントラストを与え、かつ最小量の公開の原則にかかるEU加盟国の関連する法的枠組みと個人情報の保管にかかる最小の保持時間の分析を提示することである。
　本研究は、情報保護立法の法的な複雑な問題の詳細について深く論じることを意図しない。むしろ限られた数の関連使用されるケースの焦点を合わせて、前述の原則がこれらのケースに適合する具体的な法的規定または規制規定においてどのように表現すべきか、またそれらが実際にはどのように遵守されるかを見ようとするものである。

(3) 2012年11月14日公表「Paper on the privacy implications of online behavioural tracking　」(全33頁)
　本報告の要旨部分を仮訳する。

　インターネット・ユーザーは、ますますアクセス内容を追跡され、かつプロファイルを描かれており、そして、彼らの個人的なデータは利用サービスと引き換えに通貨として手広く使用される。もし、我々がプライバシーへの権利を支援して尊重するなら、私たちが尊重することができるつもりであるなら、この新しい現実がすべての利害関係者によって理解されることが重要である。 本研究は、プライバシーとデータ保護分野におけるENISAのこれまでおよび現在に仕事を補完するものである。ENISAは、運用環境における挑戦すべきテーマを特定して、最も良い実務慣行を開発し、プライバシー概念と技術を促進するために様々な利害関係者の間の対話を支援している。

　ENISAによって発表された最近の研究では、我々は、すなわち個人データ保護のための法的必要条件すなわち、個人情報保管の最小量の開示原則と最小の保持時間とオンライン環境における実務慣行の間にギャップがあることを見出した。 プライバシーを高める技術の理解力は低い。 ユーザーには、プライバシーに優しいサービスでいくつかのビジネス利益をもたらすことができたとしても、消費者の小さい、しかし、わずかな割合でプライバシーに優しいサービスに代価を払っても構わないと思うときさえ、実際に彼らにとって多くの選択肢はない

　欧州委員会が法的展望をもってこれらの挑戦を記述する目的で取りまとめた新保護規則案は、意図的にプライバシー保護を強化し、その不履行に対する制裁は含む。本研究は、消費者の行動追跡時の技術的展望を提供する。以下のような質問に答えて、それは包括的な見解を提示する。(1)ユーザーはなぜアクセス行動等を追跡されるのか? (2) どのような技術が使用されているのか? (3) 我々は今日、どんな範囲まで追跡されているのか? (4) その具体的傾向はどのようなものか? (5)リスクとは何か? (6)主体の保護のためいかなる制裁処分が存在するか? (7)保護監視機関は、ユーザー・プライバシーを改善するのをどのような支援策を実行できるか?

　追跡メカニズムに関連するプライバシーの危険性を記述する学際的アプローチによる多くの仕事が必要とされる。 本研究の推薦内容は、EU各国の監視機関、政策利害関係者、研究者、および開発者に向けて記述するものである。具体的には以下のとおりである。

①追跡防止イニシアチブ・システムの開発とモバイル・アプリケーションのための対処プログラムの開発； ほとんどの追跡防止イニシアチブはモバイル機器に焦点を合わせていないため、モバイル機器のユーザーはさらにプライバシー面のリスクに晒される。

②ユーザーにとって透明性とコントロール向上のための使い易いツールの開発； 気づきは重要であるが、ユーザーが、自身の個人データがどのように収集され、管理され、移動されるかを知りうるよう透明性ツールを機能アップする必要がある。

③ 法執行対策として、ふらちな事をするプレーヤーの行動を阻止し、個人データ保護に関する規則等への遵守を強制するために配備されるべきである； そのメカニズムは規則違反の捜査やそのモニタリングに関するもので、規制監督機関によって定義されるべきである。

④ 意図的にプライバシー保護は促進されるべきである。規制規則等は、重要な役割が、プライバシーを保存する解決策の適合を上げる重要な役割すなわち規則等を実行して、完全かつ準拠性を持ち確固たる有意義なプライバシー・ポリシーの存在を確実にすることである。 

********************************************************************************************

(筆者注11) 「COMMISSION DIRECTIVE 2005/58/EC　of 21 September 2005」は、反応性物質としてbifenazate(殺虫剤「ビフェナゼート(bifeazate)」はヒドラジン骨格を有する殺虫剤、ハダニやサビダニに対し速効的な効果を示す)とmilbemectin(殺虫剤　ミルベメクチン6 員環マクロライド骨格を有する殺虫剤。本剤は、ダニ、昆虫及び線虫の神経-筋接合部位の塩素イオンチャンネルに作用し、殺虫活性を示す。韓国、ニュージーランド、ブラジル等で農薬登録されている。日本では、1990 年11 月に茶を対象に初めて登録されており、原体ベースで年間3.7 トン（平成15 農薬年度）生産されている)を含む理事会指令(Council Directive91/414/EEC)を修正したもの。

(筆者注12) 欧州議会、欧州連合理事会(Council of European Union)における立法手続きを概観する。

１．EU法の種類
　EU法は第一次法と第二次法に分類される。第一次法はEUを基礎付ける条約、第二次法は、条約に法的根拠をもち、そこから派生する法である。EU法あるいは派生法と呼ばれる。第二次法（以下、EU法）は適用範囲と法的拘束力の強弱によって、（1）規則（Regulation）、（2）指令（Directive）、（3）決定（Decision）、（4）勧告・意見（Recommendation/Opinion）の4種類が存在する。

（1）規則（Regulation）：すべての加盟国を拘束し、直接適用性（採択されると加盟国内の批准手続を経ずに、そのまま国内法体系の一部となる）を有する。

（2）指令（Directive）：指令の中で命じられた結果についてのみ、加盟国を拘束し、それを達成するための手段と方法は加盟国に任される。指令の国内法制化は、既存の法律がない場合には、新たに国内法を制定、追加、修正することでなされる。一方、加盟国の法の範囲内で、指令内容を達成できる場合には、措置を執る必要はない。加盟国の既存の法体系に適合した法制定が可能になる反面、規則に比べて履行確保が複雑・困難になる。

(3) 決定（Decision）：特定の加盟国、企業、個人に対象を限定し、限定された対象に対しては直接に効力を有する。一般的法規というよりは、個別的かつ具体的内容を有する。

(4) 勧告・意見（Recommendation/Opinion）：EU理事会及び欧州議会が行う見解表明で、通常は欧州委員会が原案を提案するもので、（1）～（3）とは異なり法的拘束力を持たない。

２．EU法の立法過程における決定手続
・通常、立法手続は次のような過程をとる。欧州委員会が欧州議会と欧州連合理事会に提案を提出する。その後、欧州議会で第一読会が開かれる。欧州議会の意見を受け、欧州連合理事会は欧州議会の意見を承認するか、しないかを決定する。
・承認しない場合は、欧州連合理事会は「共通の立場」を採択し、それを欧州議会に伝える。欧州議会では第二読会が開かれ、そこで承認、否決、修正が行われる。
・修正の場合は再度欧州連合理事会に伝えられ、そこで承認ないしは否決が行われる
(総務省世界情報通信事情：国別に見る「EU」から一部抜粋。なお、同資料では“Council of the European Union”を「EU理事会」と訳しているがこれは明らかに誤訳であり、本ブログでは修正した。立法機関たる欧州連合理事会のHPの解説で正確なところを確認されたい。また保護規則案に関するEUの立法審議専門サイトを読んでほしい。そこでは欧州理事会(European Council)は何等法案につき審議していない)

(筆者注13) “personalisation of services” とプライバシー侵害問題につき、次のような説明が分かりやすかろう。
「情報推薦などの個人化サービスを受けるためにユーザは個人情報を開示する必要がある。多くの個人情報を開示することで，さらに個人化されたサービスを受けることができる可能性があるが，一方で情報漏洩や情報流用などによりプライバシーが侵害される危険性も秘めている。(宮本 崇弘、竹内 亨、奥田剛、春本 要、有吉勇介、下條 真司「GrIP:プライバシとサービス品質のトレードオフを考慮した個人情報制御機構」日本データベース学会 Letters Vol.4, No.1　9から一部抜粋。

(筆者注14) 欧米におけるプライバシー問題の強い関心や規制・保護が論じられる中で基本となる「プライバシーの貨幣価値化」論文は極めて少ないし、書かれたレポートに対する意見も少ない。その中でCISO　blogが興味深いレポート「The Monetization of Privacy – Birth of a “Trust Economy」を取り上げている。その内容の中からユーザー情報につき貨幣価値化できる企業は何をなすべきかに関する8項目を仮訳する。個人情報を取扱う事業者であれば極めて当然といえる内容であるが、このレベルでさえ遵守できない事業者が規模の大小を問わず多いことも内外では事実である。なお、2011年からSOLOMOがマーケテング手法として注目されているがこの問題についてはなおプライバシー面からの課題が残されている点を筆者として補足する。

①透明性を確保するー正直に消費者に向け自社は実際どのような事業を行っているかを正確に説明する。

②誰も全部読まない長くて冗長な利用規約(T&Cs)で本質的・重要な点を覆い隠さない。

③　以下　略す

*************************************************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.