Comments
Description
Transcript
諸外国等における個人情報保護 制度の実態調査に関する
資料５ 諸外国等における個人情報保護 制度の実態調査に関する 検討委員会･報告書概要 平成21年6月29日 内閣府国民生活局 委員名簿・執筆分担 石井 夏生利 情報セキュリティ大学院大学専任講師 イギリスについて執筆 佐藤 信行 中央大学法科大学院教授 カナダについて執筆 下井 康史 新潟大学大学院実務法学研究科教授 フランスについて執筆 新保 史生 筑波大学大学院図書館情報メディア研究科准教授 オーストラリアについて執筆 ○藤原 靜雄 筑波大学法科大学院教授 ドイツについて執筆 ※堀部 政男 一橋大学名誉教授 イギリスについて執筆、及び全編について査読 牧山 嘉道 ＴＭＩ総合法律事務所弁護士・弁理士 米国について執筆 宮下 紘 駿河台大学法学部専任講師 国際的な取組について執筆 （○は委員長、※は顧問。） １ 全体の構成 Ⅰ．諸外国における個人情報保護法制 の概要 Ⅱ．主要各国における個人情報保護法制と 第三者機関の実態 Ⅲ．OECD・APEC・EU等の個人情報保護の 国際的な取組 • • • 各国の状況 国際機関の 取組 「Ⅰ．諸外国における個人情報保護法制の概要」では、各国の個人情報保護法制の状況について、簡潔に、おおよそ各 国１ページ程度で説明。本報告書では、網羅的なものとはいえないが、今後、徐々に対象国を増やしていく方向。 「Ⅱ．主要各国における個人情報保護法制と第三者機関の実態」では、主要国の個人情報保護法制の状況について、 おおよそ３０∼４０ページ程度で検討。 「Ⅲ．OECD・APEC・EU等の個人情報保護の国際的な取組」では、それぞれの国際機関の取組及びデータコミッショ ナー会議について記述。 ２ Ⅰ．諸外国における個人情報保護法制の 概要 ⅰ．欧州（４ヶ国） ⅱ．北米（２ヶ国） イギリス、ドイツ、フランス、イタリア アメリカ、カナダ ⅲ．中南米（８ヶ国） ⅳ．アジア（11エコノミー） ブラジル、パラグアイ、ペルー、 アルゼンチン、コロンビア、コスタ･リカ、 チリ、メキシコ 韓国、香港、台湾、フィリピン、 シンガポール、マレーシア、タイ、 中国、インド、マカオ、モンゴル ⅴ．オセアニア（２ヶ国） オーストラリア、ニュージーランド ＊個人情報保護に関する情報が比較的入手しやすい国々を調査対象とした。 ３ Ⅱ．主要各国における個人情報保護法制と 第三者機関の実態 （１）検討対象国 ＊ EUは、厳格な基準を定め、これをEU域外にも要求しており、日本との衝突が懸念されるため、このEU基 準を反映させているイギリス、フランス、ドイツを選択。また、アメリカ、カナダは、日本に近い、セクトラル 又はセグメント方式による法制度を採用していることから選択。オーストラリアは、EU基準と衝突した経 緯を有しているため選択。 ⅰ.イギリス（EU加盟国、 OECD加盟国） ⅱ.フランス（EU加盟国、OECD加盟国） ⅲ.ドイツ（EU加盟国、 OECD加盟国） ⅳ.アメリカ（OECD加盟国、APEC加盟国） ⅴ.カナダ（OECD加盟国、 APEC加盟国） ⅵ.オーストラリア（OECD加盟国、APEC加盟国） 6ヶ国 ４ （２）具体的な検討項目 １．個人情報保護法制について 以下の事項については、検討対象国共通 （１）個人情報保護法制 の概要 ①法律名 ②目的 ③適用範囲 ④規制･権利の内容 ⑤監督･登録制度 ⑥主な適用除外 ⑦主な自主規制 ⑧その他 （２）個別の検討課題 ①いわゆる「過剰反応」（誤解）に対応した 第三者提供制限の例外事由 ②自治会や同窓会等の取扱い ③「個人情報」の定義 ④センシティブ情報に関する規定 ⑤小規模事業者の取扱い ⑥マスメディアへの対応に関する規定とその内容 ⑦個人情報の目的外利用の防止措置 ⑧市販の名簿の管理 ⑨個人情報の取得元の開示に関する措置 ⑩個人情報の利用停止･消去に関する措置 ⑪国際的な情報移転に関する措置 ⑫ＥＵデータ保護指令に対する対応状況 ⑬死者に関する個人情報の保護 ⑭直接処罰等の実効性担保の措置 ⑮その他、特に留意すべき重要措置 ５ （２）具体的な検討項目 ２．第三者機関について 以下の事項については、検討対象国共通 （１）第三者機関の実態 ①制度の概要 ②オフィスの実態 ③リソース確保に関する現状と問題点 ④広報の実態 （２）第三者機関の活動状況 ①第三者機関の国内での活動状況 ②第三者機関の国際的な活動状況 ③教育･啓蒙、普及･広報活動等の現状 ④第三者期間と外部機関等との関係 （３）苦情・紛争処理の実態 ①苦情･紛争処理の概況 ②具体的ケース ６ （２）具体的な検討項目 ３．その他の動向 検討項目は、各国で異なる ⅰ.イギリス ⅱ.フランス （１）新たな課題への取組 ①RFID ②バイオメトリクス ③ゲノム ④監視カメラ ⑤公共の安全（テロリズム）への対応 （２）プライバシー保護団体や世論の動向について ①プライバシー保護団体の動向や見解 ②プライバシー関連諸問題についての世論の動向 （１）新たな課題への取組 ①RFID ②バイオメトリクス ③監視カメラ （２）警察情報の利用について （３）CNIL年次報告書について （４）プライバシー保護団体や世論の動向について ⅳ.アメリカ ⅲ.ドイツ （１）新たな課題への取組 ①RFID ②監視カメラ ③生体認証 （２）公共の安全（テロリズム）への対応 （３）プライバシー保護団体や世論の動向について ①プライバシー保護団体の動向や見解 ②プライバシー関連諸問題についての世論の動向 ７ （１）新たな課題への取組 ①9.11のプライバシーへの影響 ②IDカードシステム ③インターネットとプライバシー ④その他の動向 （２）2008年FTC報告書（消費者･競争への力） ①データ･セキュリティに対する執行 ②携帯メール ③スパイウェア･アドウェア ④CAN-SPAM ⑤児童のプライバシー･セキュリティ ⑥Do Not Call執行 ⅴ.カナダ ⅵ.オーストラリア （１）新たな課題への取組 ①概要 ②10の短期的課題 ③コミッショナーの掲げる戦略的優先課題 ④ガイドライン ⑤研究助成 （２）プライバシー保護団体や世論の動向につい て （１）新たな課題への取組 ①新たな技術への対応 ②公共の安全（テロリズム）への対応 （２）プライバシー保護団体や世論の動向について ①プライバシー保護団体の動向や見解 ②プライバシー関連諸問題についての世論の 動向 （用語説明） (a)RFID＝Radio Frequency Identificationの略。電波や電磁波をつかい、非接触で情報を読み書きしたり、自動認識し たりするシステムのこと。 (b)バイオメトリクス＝顔つき、指紋、DNA配列、タイピングの癖などのデータを個人識別に使う手法をいう。 (c)ゲノム＝遺伝子のこと。 (d)スパイウェア･アドウェア＝消費者の認知･同意なしに、消費者のコンピュータにインストールされ、当該コンピュータの モニタリングや管理、毀損又は無秩序な大量広告を送付するためのプログラムのこと。 (e) CAN-SPAM＝商業的電子メールにおける詐欺的送信等を禁じ、消費者に商業メールに対するオプトアウトの権利を付 与している法律。 (f) Do Not Call執行＝電話販売のルールを定めた法律。 Do Not Call登録簿に電話番号を掲載している消費者に対して、 ほとんどの商業的テレマーケティングを行うことを禁ずるなどの定めがある。 ＊ バイオメトリクスは、「誰」なのかを決定するものであり、RFIDは、「動き」を追いかけるものである。監視カメラは、その 両者ということになる。 ８ Ⅱ．OECD・APEC・EU等の個人情報 保護の国際的な取組 （１）国際的な取組の概要 日本が加盟し主体的に参加 日本が受動的に対応 OECD EU 「1980年OECDプライバシーガイドライン」 「2007年プライバシー保護法の執行に 係る越境協力に関するOECD勧告」 「EUデータ保護指令」 ＊第三国条項 十分性の審査 コミッショナー会議 APEC 「APECプライバシーフレームワーク」 「パスファインダープロジェクト」 ９ EUなどコミッショナー制度を 採用する国々を中心とした プライバシーに関する世界最大 の会議 （２）具体的な検討項目 以下の事項については、検討対象国際機関に共通 ２．個人情報保護の施行状況 １．個人情報保護制度の概要 ①制度名 ②目的 ③適用範囲（規制の対象、対象国及び拘束の程度を含む） ④「個人情報」の定義 ⑤センシティブ情報に関する規定 ⑥個人情報の目的外利用防止に関する規定 ⑦個人情報の取得元の開示に関する規定 ⑧規制･権利の内容（いわゆるOECD８原則） ⑨小規模事業者の取扱い ⑩個人情報の利用停止･消去に関する規定 ⑪国際的な情報移転に関する規定 ⑫第三者機関に関する規定 ⑬死者に関する個人情報の保護 ⑭直接処罰等の実効性担保に関する規定 10 ３．個人情報保護の越境執行協力 ①制度名 ②目的 ③適用範囲 ④勧告内容 ⑤対象 ⑥具体的な措置 ４．越境的な個人情報保護に係る検討 の経緯 １．OECD プライバシー保護と個人データの国際流通についてのガイドライン に関するOECD理事会勧告 （OECDプライバシー・ガイドライン、1980年９月23日採択） 概要 ・目的：加盟国間の情報の自由な流通を促進すること、及び、加盟国間の経済的社会的関係の発展 に対する不当な障害の創設を回避すること。 ・対象：OECD加盟国（30か国） ・拘束の程度：OECD加盟国は、OECD理事会からガイドラインに準じた対応を採ることが勧告されるが、 その遵守を義務付けられてはない。 ・越境執行協力の体制：プライバシー保護法の執行に係る越境協力に関するOECD勧告 （2007年６月12日採択） 内容： ①他国の執行機関と協力できるようにするため、プライバシー保護法を執行するための国内の枠組みを 改善すること ②国境を越えたプライバシー保護法の執行協力を容易にするために有効な国際的な仕組みを開発すること ③通知、苦情付託、調査支援及び情報共有を通して行うことを含む相互支援を提供すること ④プライバシー保護法の執行協力の促進を目的とした議論及び活動に関連する利害関係者を参加させる こと 11 ２．APEC APECプライバシー・フレームワーク（APECフレームワーク、2004年10月29日 採択、国際的実施の部分は2005年11月16日承認） 概要 ・目的：APEC加盟エコノミーにおける整合性のある個人情報保護への取組を促進し、情報流通に対する 不要な障害を取り除くこと。 ・対象国：APEC加盟エコノミー（21エコノミー） ・拘束の程度：APEC加盟エコノミーに対して適用を推奨。適用に際しては、加盟エコノミーにおける個別事 情を考慮すべきであるとされている。 ・越境執行協力の体制：APECデータ・プライバシー・パスファインダー・プロジェクト（APECパスファイン ダー・プロジェクト）（2007年９月2-3日採択） 越境プライバシー・ルールの内容 ①自己査定 ②適合性審査 ③認証・受入 ④紛争解決・執行 12 ３．EU 個人データの取扱いに係る個人の保護及び当該データの自由な移動に関 する欧州議会及び理事会の指令（EUデータ保護指令、1995年10月24日 指令） 概要 ・目的：個人データの取扱いに対する自然人の基本的権利及び自由、特にプライバシー権の保護。 ・対象：EU構成国（27か国）。ただし、第三国への個人データの移転を規制する、いわゆる第三国条項を通じ て、EU構成国以外の国にも大きな影響を与える。 ・拘束の程度：EU構成国は、指令を国内法化する義務を負う。 ・越境執行協力の体制：EU指令に基づく第29条作業部会を設置し、同作業部会がデータ保護に関する様々な 議論を行い、決議や意見を表明し、越境執行協力の体制を築いている。 ・最近の取組：2008年５月現在、EUから十分な保護水準を確保していると認められた国・地域は、スイス、カナ ダ、アルゼンチン、ガンジー島、マン島、ジャージー島の６つである。なお、カナダは、連邦政府部門対象 の法律、民間部門対象の法律、州政府対象の州法等、複数の法律を組み合わせることにより、ほぼすべ ての機関を対象とした法的枠組みを形成し、十分性を認められた。 ※アメリカ、オーストラリアのEUデータ保護指令への対応状況 ①アメリカ：包括法がないため、特定の認証基準を設け、その認証を受けた企業ごとに十分性を付与す るセーフ・ハーバー協定を2000年にEUと締結。 ②オーストラリア：包括法である「プライバシー修正法」を2000年に施行したが、ｱ)小規模事業者が規制 対象外、ｲ)一般に利用可能なデータが規制対象外、ｳ)データの第三国移転が規制対象外等の理由によ り、保護水準が不十分とされた。 13 ４．コミッショナー会議 概要 ・各国・地域のデータ保護機関から構成されるデータ保護及びプライバシーに関する国際会議である。 ・データ保護プライバシー・コミッショナーとは、法令に基づく公的機関で、自主性・独立性を保障され、調査権 等の権限を有する監督機関であり、欧州諸国で設けられるようになった。 ・1979年以降、毎年１回開催されている。 ・出席者は、データ保護機関、政府機関関係者、学者、民間の専門家等である（近年の会議における ・出席者は600名程度である）。登録出席者の出席が認められる公開セッションと、認可を受けたデータ ・保護機関の関係者のみの出席が認められる非公開セッションがある。 過去５年間 の会議 開催国・地域 会議テーマ 主な決議等 第30回 2008年 フランス・ドイツ ストラスブール 国境なき世界における プライバシー保護 児童のオンライン・プライバシーに関する決議、国際プライバシー・ データ保護の日又は週間の設定検討に関する決議、プライバシー及 び個人データ保護に関する国際基準の設立に関する共同決議、ソー シャル・ネットワーク・サービスにおけるプライバシー保護に関する決 議、国際組織の会合における代表に係る検討部会の設置に関する決 議、ウェブサイトの作業部会に関する決議 第29回 2007年 カナダ モントリオール プライバシーの地平： 未開拓の領域 乗客データ保護の国際基準の緊急の必要性に関する決議、国際標準 規格開発に関する決議、国際協力に関する決議 第28回 2006年 イギリス ロンドン 監視社会 ロンドン・イニシアチブ、会議運営の取決めに関する決議、プライバ シー保護とサーチ・エンジンに関する決議 第27回 2005年 スイス モントルー データ保護及びプライ バシーの普遍的な権利 の承認に向けて モントルー宣言、パスポート及びIDカード等におけるバイオメトリクスの 利用に関する決議、政治的コミュニケーションのための個人情報の利 用に関する決議 第26回 2004年 ポーランド ヴロツワフ プライバシーの権利− 尊厳への権利 プライバシー枠組みの国際標準規格草案に関する決議 14