1．個人情報保護法とは
個人情報保護法（※1）は2003年に制定され、2005年に施行されました。その後も2015年、2020年、と頻繁に改定が行われました。2020年の改定では、革新が速く、新たなプライバシーリスクが次々と発生する背景を踏まえ、3年ごとに法律の見直しが行われることとなり、現在（2024年11月時点）も次期改定に向けた議論（※2）が行なわれています。
大企業を中心に個人情報保護法に関する理解、対応は進んでいると思われますが、法改正ごとに必要となる再教育、対策などを負担に感じている企業は少なくないでしょう。
2．個人情報保護法の目的
個人情報保護法について、解釈に悩む点はあるかもしれませんが、なすべきことは法律に記載されており、さまざまな解説（※3）もされているため、守るべきルールは比較的明確です。多くの企業では研修などで個人情報保護法の遵守について学ぶ機会を提供しているのではないでしょうか。特に個人情報を扱うサービスを提供する企業においては、必要な対応についても理解が進んでいることと思います。
ですが、なぜこの法律とルールがあるのでしょうか。なぜ個人情報保護法は個人情報の収集の際に利用目的の明示を求め、目的外の利用を禁止し、第三者提供を制限しているのでしょうか。そして、これらの制約および大きな負担を伴う責務を守ることによって得られる利益は、その負担を上回っているのでしょうか―これらの質問に自信をもって答えられる方は少ないと私は考えています。
だからこそ、個人情報にかかわる問題が繰り返され、それを防ぐための法改正が行われ、企業はその対応に追われるといったことが起きているのではないかと私は危惧しています。
まず、個人情報保護法の目的について考えてみます。多くの方は、その名前が示す通り、「個人情報」を保護するための法律であると理解されていると思います。しかし、個人情報保護法の第一条（図1）において、個人情報保護法の目的は、「個人の権利利益を保護する」ことと明記されています。つまり、個人情報ではなく、個人（多くの場合は自社顧客であることが多いでしょう）を保護することがこの法律の目的であり、そのために個人情報の適切な取り扱い方法を定めているのです（図2）。
図1：個人情報保護法 第一条
図2：個人情報保護法の目的
では、個人情報の適切ではない取り扱い、そしてそれによりもたらされる個人の権利利益の侵害とは何なのでしょうか。これは、3つに分類可能と考えられます（図3）
図3：個人情報の扱いに関する権利利益の侵害
（1）犯罪被害にあう
ID／パスワード、指紋情報などが漏えいすることで不正アクセス被害にあう。クレジットカード番号とセキュリティコードが漏えいすることで、カードが不正利用されるなどの被害が考えられます。
（2）プライバシーが侵害される
メッセージのやりとり、撮影した写真などが漏えいすることで、秘密な情報が公にされる。商品の購入履歴、ビデオ、音楽、ホームページなどの閲覧履歴などが漏えいすることで、自らの趣味嗜好が意図せず知られるなどの被害にあうことが考えられます。
（3）不適切な選別（≒差別）にあう
利用者が理解しない状態で、不適切な個人情報が収集され、処理が行われることで、不利益な選別にあうことが考えられます。例えば、入学／入社試験、昇進の判断、ローン、賃貸物件における審査などが考えられます。近年ではAI・アルゴリズムによる自動的な判断がさまざまな場面で導入されています。これらの自動判断は、その判断基準が不透明であったり、学習データに含まれる偏りが新たな差別を生んだりするリスクも指摘されています。
これらのうち「犯罪被害にあう」「プライバシーが侵害される」については一定の理解がされていると思われます。これらの侵害を防ぐためだけであれば、情報が漏えいしないように適切に管理し、第三者提供を制限すれば十分でしょう。しかし、そうであるならば、なぜ利用目的の特定と提示、目的外利用の禁止などが必要とされるのでしょうか。そこで本稿では、これらを必要とする「不適切な選別にあう」について説明します。
私たちは日常さまざまなシーンで選別をされています。入社試験、入学試験は典型例です。それ以外にもローンや賃貸物件借り入れにおける審査、クレジットカード発行、特定のコミュニティへの参加が認められるか否かなどです。そのほか、商品の購入、サービスを受ける際に特典を受けられるか否かです。さらに近年では、SNSでの情報表示順序、広告配信、商品のレコメンド、カスタマーサポートの優先順位付けなど、AI・アルゴリズムによる自動的な判断が私たちの生活に広く浸透しています。
そして多くの場合、これらの選別は個人情報とその処理（収入が支払いに対して十分か、入社、入学に必要な知識、スキルを有しているかなど）に基づいて行われます。特にAI・アルゴリズムによる判断では、大量のデータから導き出されたパターンに基づく予測が行われるため、個人の実態と異なる判断や、社会的偏見を助長する判断がなされるリスクがあります。したがって、利用される個人情報が適切でない、不正確な場合、そしてそれら個人情報の処理の方法が不適正な場合、私たちは不適切な選別にあいます。言い換えれば、これは一種の差別となり得るでしょう。
そして多くの場合、私たちはどのような理由で選別をされているかすら知らされていません。特にAI・アルゴリズムによる判断は、その仕組みが複雑で説明が困難なことも多く（いわゆるブラックボックス問題）、判断の適切性を検証することが難しい状況にあります。個人情報保護において、個人情報の不適切な利用による不適切な選別が存在する場合に個人が受ける権利利益の侵害は非常に大きいと言えるでしょう。（※4）
実際に不適切な個人情報の取得と処理により、不適切な選別がなされた事例を2つ紹介しましょう。
就職情報サイトにおける辞退率提供事例
1つ目は、ある就職活動支援サービスが応募者の内定辞退率を算出し、当該サイトを利用する企業に販売した事例です。本サービスは大きな非難を受け、即座にサービスを停止しました。本件に関してサービス提供事業者は個人情報保護法と職業安定法に関して、一部の利用者から個人情報収集について同意を取得していないと監督官庁から指導を受けました。しかし、仮にすべての利用者から同意を取得していたとしても本サービスが受ける非難の大きさは変わらなかったと思われます。
医科系大学におけるテスト結果の操作事例
2つ目は、ある医科大学の入学試験において性別や浪人の年数によってテスト結果が一律減点されていた事例です。この大学は大きな非難を受け、その後の調査により、多数の医科大学でも同様の操作が行われていることがわかりました。本件に関しては、性別により合否判断をゆがめることが、憲法第14条が保証する法の下の平等に反すると言う訴訟がなされ、地裁で勝訴、和解が成立しました。
3．企業に求められること
これらの事例に共通しているのは3つです。（図4）
図4：個人情報保護法への対応ポイント
（1）個人情報の利用目的が不適切であること
1つ目の事例に関しては、内定の辞退率を計算して、求人企業に対して提供するという利用目的が、2つ目の事例に関しては、性別や浪人回数によりテスト結果を操作するという利用目的が一般利用者の期待、予想と大きく乖離していることが問題です。これらを明らかに差別だと感じる人も多いでしょうし、まさか自分がこのような形で評価されているとは思わなかった、という感触を持つ人も多いでしょう。現在の個人情報保護法では第十九条において個人情報の不適正な利用を禁止しています。現在の法律では「違法又は不当な行為を助長し、又は誘発するおそれがある方法」という記載にとどまっていますが、本事例のような問題が頻発すると、適正な利用はより厳格に判断されるようになるでしょう。
（2）目的に照らし合わせて、個人情報の処理方法が不正確であること
次の問題は目的に対して、情報が正確に処理されているかということです。詳細は不明ですが、1つ目の事例において、取得可能な情報の範囲で内定の辞退率がどの程度正確に予測できていたかは疑問です。2つ目の事例においても、入学資格の有無を判断するという目的に照らしたうえで、それが性別や浪人回数との関係があるのか、特定の属性を持つ人から一律点数を減点するという処理方法が適切なのか、正確な結果が得られるのかは十分に説明もされておらず、大いに疑問が残ります。特にAI・アルゴリズムを用いた処理はさまざまな課題があります。導入にあたっては個人に与える権利利益の侵害に関する考慮が必須です。
（3）利用者が利用目的と処理方法を理解していないこと
さらに重要な問題は、個人情報の取得時に、その利用目的と処理方法が、利用者に十分に理解されていたかどうかという点です。たとえこれらが利用目的に記載されていたとしても、非常に長い利用規約の中でごくわずかに記載されているのであれば、その同意に意味があるかどうかは疑問が大きいです。特に、通常では予想されない目的で利用される場合にこそ、確実に利用者にその利用目的と処理方法を丁寧に説明することが必要です。
これらの問題は、現時点での個人情報保護法上はすぐに違法とはいえない場合が多いでしょう。しかし、こういったサービスは世の中から厳しい評価を受けることが予想され、現時点で適法であったとしても、将来いずれかの時点で違法となるリスクが高まっていくと考えられます。これらを意識してサービスを構築することで、より安定的に利用者からの信頼を得ることができるのではないでしょうか。
