世界情報通信サミット

セッション２

「電子商取引が切り開くネットワーク経済」

プライバシー保護２

From: 井上　和之

Subj: 【１１】プライバシー保護（日米比較）

【６】加藤幹之
しかし一方で、アメリカでは、例えば病院が患者の投薬情報を製薬会社に販売し、製薬会社はそれを利用してダイレクトメールで販売した、というような事件を聞くこともあります。まさに何でも商売にしてしまうアメリカならではの問題かもしれません。

別に米国に限らず、日本では、病院の関係者がもうすぐ亡くなる人の情報を（葬儀屋等に）売るのは公然の秘密のようです。（聞いた話ですから、嘘かも知れませんが、、）ご参考までに。

From:	関口　和一
Subj:	【１２】保護の主体となるべきは・・・

実は私も最近、ネット上のプライバシーというものがいかにいいかげんなものであるかということを実感する機会がありました。というのは、私も自分のドメインが欲しいと思い、ＮＳＩに７０ドル支払ってドメインを取得したのですが、その後、変な電子メールが来ること来ること。まず「検索エンジンへの登録代行をします」というメールに始まり、最後は赤面しそうな淫靡なところからもたくさんのメールを頂戴し、なるほどネット上のプライバシーは大事な問題だとと思ったわけです。

一番気持ちが悪いのは相手が自分の情報をどこまで知っているのかわからないということです。単にアドレスだけを盗み見したのか、詳細な情報を知っているのか、それによってこちらも対策を考えねばなりません。

先般申し上げた通産省のガイドラインに基づく「プライバシーマーク制度」についても、実際にどのくらいの企業がこのマークを採用したかというと昨年の９月からでわずか３０社強に過ぎません。どんな会社が採用したかは
http://www.jisa.or.jp/privacy/author_company.html
のアドレスにあるのですが、これを見る限り、皆、はじめからそうした問題は起こさないような由緒正しい企業ばかりであるわけです。問題はプライバシー意識が低くこうした制度にも関心を示さないようなゲリラ的業者をいかに監視できるかということだと思います。

私個人としては、がんじがらめの法規制は好ましくないというスタンスですので、ガイドラインというのは賢明な策だとは思いますが、最初からプライバシーを無視しようと思っている業者がこうしたマークをわざわざ採用するとは思えません。行政指導としては極めて立派な施策を作られたわけですが、実効性となるとはなはだ疑わしいものだといわざるを得ません。

自分のプライバシーは自分で守るため、最近は危ないサイトに自己の電子メールアドレスを提供する場合には、あえてフリーホスティングのアドレスを提供するようにし、間違っても「nikkei.co.jp」のアドレスは出さないようにしています。最終的にはそうした個人のプライバシー意識が極めて重要になるのではないかと思いますが、いかがでしょうか。

その意味では東大の須藤先生がご紹介されたドイツの法規制についてはなるほどと思う部分がありました。つまり

【８】須藤　修
③ユーザーは、事業者に対して自己に関する個人情報の開示請求権を有する。

という点です。日本のように政府や大企業が社会を仕切っている国ですと、こうした個人の要求は無視されがちです。もっともセキュリティーやプライバシー意識が低い国だっただけに、もともとそういうニーズがなかったのかもしれません。ただそれは日本の閉鎖経済社会における互いの甘えや暗黙の了解の上に成り立ったものであり、異なる背景を持った人たちが参加するサイバースペース社会では恐らく通じないものだと思います。

話が長くなり恐縮ですが、私としてはプライバシー保護というのは、国や大企業が与えるものでなく、個人が自分で取りにいくものだと思うのですが、いかがでしょう。

From:	岩村　充
Subj:	【１３】各国のプライバシー保護～法制度

プライバシーの話ですが、意見ではなく事実関係を少し書いておきます。と言うのは、プライバシー保護の実態ではなくて、法制度という点だけから言うと、米国や欧州の事情について多少の誤解がありはしないかと思うからです。

まず米国ですが、この国では商取引のプロセスで蓄積されてしまった情報については、人権や信仰などに関する情報（いわゆるセンシティブ情報）は州法で特に保護するが、それ以外の情報は開示されても良いと考える傾向があるように思います。例えば、この国では消費者報告機関により個人信用情報の収集や提供が行われていますが、それと同時に、消費者の飲酒癖や生活水準あるいは支持政党に関する情報を収集することも一般には禁止されていません。

連邦法として公正信用報告法という有名な法律がありますが、この法律では、与信業者が個人情報を利用することを禁止していないばかりでなく、故意に虚偽の情報が提供されたのでなければ、個人信用情報をレポートされた本人は、個人信用情報の提供者や利用者を、名誉毀損という理由でもプライバシー侵害という理由でも、提訴できないとしています。

一方、欧州では、このような個人信用情報という分野（つまり、米国では開示を当然とする傾向が強い分野です）ですら、法的な強い保護を与える傾向があります。例えば、フランスでは、負債残高のようないわゆるホワイト情報の交流は禁止され、延滞破産履歴のようないわゆるブラック情報についてもフランス銀行が一元管理しています。

そうした仕組みの下で、いわゆる多重債務問題については、「多重債務者の取り扱い及び防止に関する法律」により、県知事やフランス銀行員などを構成員として、多重債務者に関する返済期限の延期や利子減免などの和解策を提示する役割を担う「個人多重債務委員会」が設置されています。また、ドイツでは、公共信用セキュリティ協会という機間がブラック情報とホワイト情報の両方を管理して、個人信用情報提供に関する消費者の事前承認と、自己データへのアクセス権と誤情報訂正請求権とを保証しています。

私が注意しておきたいことは、プライバシーの問題は、法規制の建前と私たちの実感との間に相当の差異があるということです。今お話した個人信用情報の世界などでは、米国の法的状況は、あまりプライバシー保護的ではありません。むしろ公正開示を受忍せよという法体系です。しかし、にもかかわらず私たちの実感では、米国はプライバシー保護先進国だ、と感じるでしょう。それはなぜか、そうした観点から議論を深めてみるのも重要なことだと思います。

ネットワーク社会で情報の蓄積や連結が容易になれば、プライバシーがますます重要な問題になるのは明らかですが、それに対して、いわゆるプライバシー保護法を作ることで対処しようとする考え方があります。私は、プライバシー保護法の制定自体には強く賛成の立場なのですが、他方で、プライバシー問題の解決を法や行政（例のプライバシー保護マークのようなものも含めて、です）にのみ求めるのは難しいと常々思っています。私たちのフォーラムは、この分野に知見のある方々が多そうですので、もっと議論が深まると良いなと思うところです。

From:	加藤　幹之
Subj:	【１４】プライバシー保護（日米比較）

【６】加藤幹之
しかし一方で、アメリカでは、例えば病院が患者の投薬情報を製薬会社に販売し、製薬会社はそれを利用してダイレクトメールで販売した、というような事件を聞くこともあります。まさに何でも商売にしてしまうアメリカならではの問題かもしれません。

【１１】井上和之
別に米国に限らず、日本では、病院の関係者がもうすぐ亡くなる人の情報を（葬儀屋等に）売るのは公然の秘密のようです。（聞いた話ですから、嘘かも知れませんが、、）ご参考までに。

私がこちらで聞いた事件で、ある大手のドラッグストアのチエーンが医師の処方箋医薬情報を、外部に流したというものです。ご承知の通り、アメリカでは多くの薬が、医師の処方箋を必要としており、また、医師は自分のところで薬を出すのではなく、ドラッグストア宛に処方箋を書いて、そこから買わせることになっています。

こうした情報が他に流れていると噂されたドラッグストアのチエーンは必死で噂を否定、競合するドラッグストアのチエーンは、「我々なら大丈夫」と大宣伝をしていました。医師や医療機関の場合、連邦法での規制はなくとも、職業倫理規定、州の法や判例法がある場合が多くプライバシーの意識はかなり強いと思います。この処方箋の例でも権利意識が強いなと感じました。

もし情報が漏れていた場合、クラスアクションをおこしたらどうなるかについて、(詳しくは事例によると思いますが、)少なくとも漏洩行為の差し止めまで行けることが多いのではないでしょうか?

From:	加藤　幹之
Subj:	【１５】各国のプライバシー保護～法制度

【１３】岩村充
まず米国ですが、この国では商取引のプロセスで蓄積されてしまった情報については、人権や信仰などに関する情報（いわゆるセンシティブ情報）は州法で特に保護するが、それ以外の情報は開示されても良いと考える傾向があるように思います。例えば、この国では消費者報告機関により個人信用情報の収集や提供が行われていますが、それと同時に、消費者の飲酒癖や生活水準あるいは支持政党に関する情報を収集することも一般には禁止されていません。

連邦法として公正信用報告法という有名な法律がありますが、この法律では、与信業者が個人情報を利用することを禁止していないばかりでなく、故意に虚偽の情報が提供されたのでなければ、個人信用情報をレポートされた本人は、個人信用情報の提供者や利用者を、名誉毀損という理由でもプライバシー侵害という理由でも、提訴できないとしています。

米国と欧州の比較という意味で言うと、確かに最近の欧州の指令(ディレクティブ)案に対する米国の反応を見ても、欧州はプライバシーに敏感過ぎるが、米国はそれ程でも無いという印象があるかもしれません。しかし、米国の法制を見る時、知る権利、表現の自由(いわゆるFirst Amendment Right)との関係や、制度全体の問題もみる必要があると思います。

公正信用報告法というのは、Fair Credit Reporting Actのことかと思いますが、これには、現金は小額の支払い以外殆ど使われず、通常はクレジットカードと小切手による支払いを行っている米国では、信用情報が極めて重要という背景があると思います。信用情報を集める会社は、注意義務を負い、悪いクレジットレポートを受ける結果を出す場合は、それで影響を受ける個人に対して通知する義務を負います。

さらに個人は、自分についての情報をいつでも開示することを要求し、間違っていることを修正させる権利も持ちます。さらに信用情報を受けとる者(例えば金を貸す銀行)は、そこから得た情報をもとに情報の主(例えば金を借りたいという人)に不利な結果を出す場合、そのことを通知する義務があり、またクレジットレポートを騙して入手した者には刑事罰の規定もあります。

現実に、大手の有名な(そして大手の有名なものでないと利用されない)信用情報会社は、秘密保持には大変気を使っており、また情報収集にも注意を払っているように感じます。そうした前提で、情報収集を認められているのではないかという気がします。米国では、クレジットカードを使う毎に電話で(最近はレジスターとオンラインで)カードの信用情報をチェックしていますが、この制度がなくなるとおそらく米国経済は動かなくなると思います。

もしそれだけの注意を払っても間違った情報を与えてしまった場合、信用情報会社が責任を問われると、訴訟大国の米国では誰もそうした情報提供ができない、従ってある程度責任を限定するしかないというのが、制度のバランスの判断かなと思っています。信用情報の開示という問題は、米国では取引の安全の為の情報開示という考えがやはり強い分野かもしれません。この辺は、分野によってやはり規制の目的がいろいろあるということだと思います。

私が最近面白いと思っている議論をご紹介したいと思います。これは顧客の嗜好をどこまで集めたり、それを他に転売したりして良いのかという点です。

日本の社会では、横町の魚屋さんは、「ーーさん、今日は上手いマグロが入ったよ。」と言って、馴染みの客に喜ばれることが多いと思います。これは、客の嗜好を記憶して、「ーーさんは、マグロが好き」ということを知っている商売上手の魚屋さんの話であり、プライバシーの侵害という議論はおこらないのではないでしょうか? (ただし、他の多くの客の前で「今日も安いサンマが入ったよ。」と言われると、名誉棄損と考える奥様はいらっしゃるかもしれませんが。)

しかし、スーパーのレジの端末で、それぞれの客の購入内容を全て知れることから、スーパーの顧客カード(名前や住所を書いているもので、クレジットカードの場合もあり)とそれを連動すると、顧客の嗜好を分析することができる訳です。こうした情報を多く集めてダイレクトメールに利用したり、別の会社に売ったりするとどうなるか? 嗜好情報自体は、スーパーが持っている情報を二次的に分析しただけのものである訳ですが。。。。。

From:	種村　貴史
Subj:	【１６】データベースとプライバシー保護

米国のエレクトロニック・コマースシステムを議論するときに、完成されたシステムはユーザーのbehaviorをデータベースに蓄積し、ターゲティングやレコメンデーションをしていくのが理想とのことでした。このようなターゲティングやレコメンデーションをメディアが実施するために、データベースを作っていく発想はプライバシー保護とかかわりがあるのでしょうか。

From:	山村　幸広
Subj:	【１７】データベースとプライバシー保護

まさにインターネットのマーケティングは、行動をＤＢ化して利用する方向へ動いております。又、それがこのメディアの最大の特徴であるともいえます。この件についての意見は色々ありますが、私は総論で賛成です。但し、前に述べたように、ユーザーに確認を取るということ（データを利用する旨）とそのデータの取り扱いのルール作りが前提です。（転売不可等）

From:	飯坂譲二
Subj:	【１８】保護の主体となるべきは・・・

【１２】関口和一
一番気持ちが悪いのは相手が自分の情報をどこまで知っているのかわからないということです。単にアドレスだけを盗み見したのか、詳細な情報を知っているのか、それによってこちらも対策を考えねばなりません。問題はプライバシー意識が低くこうした制度にも関心を示さないようなゲリラ的業者をいかに監視できるかということだと思います。(中略）

私個人としては、がんじがらめの法規制は好ましくないというスタンスですので、ガイドラインというのは賢明な策だとは思いますが、最初からプライバシーを無視しようと思っている業者がこうしたマークをわざわざ採用するとは思えません。行政指導としては極めて立派な施策を作られたわけですが、実効性となるとはなはだ疑わしいものだといわざるを得ません。(中略）

最終的にはそうした個人のプライバシー意識が極めて重要になるのではないかと思いますが、いかがでしょうか。

全く同感です。

【８】須藤　修
③ユーザーは、事業者に対して自己に関する個人情報の開示請求権を有する。

法的な整備はこの程度まではして欲しいしと思います。個人情報の持ち主はやはりその個人であるという前提が守られていなければなりません。個人情報の開示は、その持ち主である個人が開示した方がいい、つまり開示した結果によりもたらされるメリットがバランスしていると思ったときに行われると思います。

医師や弁護士などと患者や依頼人との間では多くの個人情報が開示されており、医師、弁護士には秘密保持の義務があります。このはっきりした信頼関係があり、患者や依頼人は医師や弁護士から治療や弁護が得られるから開示するのです。診断している医者が裸の写真を横流ししないという信頼関係があるからこそ、患者は裸になれるのだと思います。ネット社会では、業務上得られた情報をプライバシーを保有者の許可なく、横流しすることも禁止すべきでしょう。

私はネット時代以前にも情報の横流しで不愉快な思いをした経験をもっています。日本で働いていたときですが、給料の自動振り込みを依頼していた銀行の外務員が、コンピュータのプリントアウトを見ながら、「来月、お宅はｘｘｘ円のボーナスが入ってくる筈だから・・・・・・。」

【１２】関口和一
ただそれは日本の閉鎖経済社会における互いの甘えや暗黙の了解の上に成り立ったものであり、異なる背景を持った人たちが参加するサイバースペース社会では恐らく通じないものだと思います。

日経経済図書文化賞を受賞した「信頼の構造」著者山岸俊男（東京大学出版会）という本を最近読みました。関口さんのいわれていることがまさに当てはまります。プライバシー問題も、電子取り引きも、インターネット社会における信頼関係の確立と救済方法があることが前提なのではないでしょうか。

【１２】関口和一
個人が自分で取りにいくものだと思うのですが、いかがでしょう。

結局、個の自立でしょう。

From:	関口　和一
Subj:	【１９】論点の提起

プライバシー保護については（１）どこまでをプライバシーととらえるのか、（２）どんな場合にプライバシー侵害となるのか、という点がそれぞれの国の歴史的背景もあり、混乱しているようです。それから３つめの問題としては、（３）電子商取引を推進するためには、どこまでプライバシー情報の流通が許されるか、また（４）プライバシー情報を流通させるためにはどういった条件が必要か、といった問題を検討する必要があるかと思われます。

まず、（１）については、早稲田・岩村教授の指摘【１３】によると、売り買いによって蓄積された情報は、米国的な考え方に従うとそれほどプライバシー情報とはいえないが、欧州ではそれもプライバシーの範囲になるということかと思われます。クレジットカードなど信用ビジネスが発達した米国では、金融システムを守る意味でもそういう帰結となるようです。

一方、日本はというと、どちらかとえば欧州に近く、かつてのグリーンカードの議論のように、個人のお金に関する情報はすべてプライバシーにかかわるということになるのかもしれません。しかし電子商取引、特にワン・トゥー・ワン・マーケティングなどＥＣの特徴を生かすためには、こうした購買情報などは一定範囲で公開しなければ、意味がないように私は思います。そうすると、まさに（２）（３）（４）の問題となるわけですが、国家の存在がかつてより薄れるサイバー社会では、つまるところ、「自己責任の原則」や「当事者間の契約関係」が重要視されるようになるかと思います。

つまりワン・トゥー・ワンのメリットを教授するなら、納得のうえで自己の購買情報を公開し、一方でベンダー側にも自分の情報をどこまで持っているのかを定期的に開示するよう求め、その権利を法律が保障するということです。逆に自己の個人情報を一切公開しない人はＥＣのメリットを十分に享受したいと思わないとみなされる、ということになるかと思います。

その点、

【３】山村幸広
１　ユーザーの行動を追いかける場合は、その行為をしている事をユーザーに明確にして、それをユーザーが拒否できる選択権を確保する。
２　第３者の監査法人に、年間２回の監査を受けており、ユーザーの情報等が完全に機密を守られているか監査を受けて、保証をする。

というのは、極めてまっとうな話かと思われます。

ただもう一つ、日本で難しいのは、村落共同体や長屋住居で培われた共同体意識との関係でしょうか。うちの家内はしょっちゅう、「日本はプライバシーがない」といって怒っていますが、従来の日本の慣行では、お互いを助けるために、一定限度のプライバシーはお互い共有するという考え方です。このあたりが電子商取引にどう反映されるのかは、私もよくわかりません。

From:	岩村　充
Subj:	【２０】保護の主体となるべきは・・・

私の理解では、あらゆる個人情報はプライバシーが主張できる何らかの要素を持っているが、本当にプライバシー権との関係で権利侵害になるかどうかは、情報の性質と集積度によるというところでしょう。

ところで、問題は社会の変化です。かつては、プライバシー上センシティブな情報かどうかは、専らその情報の発生段階で決まっていた（例えば病院やベッドルームの情報はセンシティブだが、商取引記録はセンシティブではない、とされてきた）のですが、いわゆる情報社会の特徴は広範囲に情報を集積分析したりすることによって、かつてはプライバシーに関係ないと思われていた情報についても、プライバシーについての考慮を必要とするような状況が発生しかねないということでしょう（例えば、ＰＯＳ情報を広範囲に収集して名寄せすれば個人生活やその嗜好あるいは身体や性に関する情報までアクセスできるはずですから）。

しかし、物流や生産の効率とか新しい商品の開発という観点からは、ＰＯＳ情報の分析をしたい人もいるし、そうした人がもたらす社会経済的なメリットを考えればＰＯＳ情報の集積や分析を一律にも禁止できないでしょう。

そうした、個人情報に関する二律背反要求を両立させるという見地もあってでしょうが、最近の法律家たちは、プライバシー権の内容を、以前の「一人で静かにしておいてくれと要求する権利」から、「自己に関する情報をコントロールする権利」というかたちに変えようとしています。プライバシー権をこのように定義変えすれば、関口さん【１９】の考えておられる「自己責任の原則」や「当事者間の契約関係」との接点も求めやすいことは確かでしょう。

と、ここまでは比較的多くの人が賛成して頂ける議論だと思います（最近の国際的な議論もこの方向と思います）。でも、私は、もう少し考えたいと思っています。というのは、プライバシーをこのように自己情報コントロール権と位置付けることは、要するに自己情報を開示して利益のある人はどんどん開示し、利益のない人は開示しないという社会的システムを推進するということです。米国の制度は、このような議論が暗黙の前提になっていると思います。

しかし、そうした社会的システムが隅々まで浸透したとき、今度は自分についての個人情報を開示をしないということが、何か隠すべき事実の存在を推定させることになりはしないでしょうか。そうした推定が一般的に行われるようになれば、自己情報に関するコントロール権を保証するはずであった制度が、必ずしも一定の人たち（やや感覚的な言葉を使えば「弱者」たち）の権利を保障しない制度へと変化してしまう可能性もあるでしょう。

私が前に書きました投稿で、米国の状況が法律の表面的な仕組みについての評価はさておき、実感的にはプライバシーへの配慮が大きいような気がするのではないですか、と問いかけたのは、プライバシー問題のこうした側面についても、考えたいなと思ったからです。

プライバシー保護１へ　プライバシー保護３へ

あなたのご意見をお寄せ下さい