2016 Fiscal Year Research-status Report

新しい個人情報保護法制とグローバル企業の情報法コンプライアンスの研究

Research Project

Project/Area Number	16K03455
Research Institution	Kansai University
Principal Investigator	高野一彦関西大学, 社会安全学部, 教授 (40553128)
Project Period (FY)	2016-04-01 – 2019-03-31
Keywords	個人情報保護法 / GDPR / 匿名加工情報 / 個人データ・コンプライアンス / 営業秘密 / 内容統制システム / コーポレートガバナンス
Outline of Annual Research Achievements	本研究は、企業における個人データのビッグデータとしての利用時の適法性判断基準、それを担保する制度の定立、及びグローバルな視点での企業のデータ・コンプライアンスの確立をテーマとしている。EUでは一般データ保護規則（GDPR)が理事会で可決成立し、2018年5月に施行予定である。GDPRでは、前文第23条に「anonymous data」の定義を置き、データ保護の原則を適用しないと規定しているが、具体的な方法論は示されていない。またアメリカでは、2012年3月のFTCレポートで「合理的に連結（reasonably linkable）できないデータ」は利用可能と記しているが、同様に具体的方法論に言及していない。そのような中、2016年1月に個人情報保護委員会が設立された。2017年5月の改正個人情報保護法の施行を前に、匿名加工情報等のガイドラインなどを示し、企業における利活用時の判断を示している。この委員会ガイドラインなどが、EU・アメリカとの国際的な整合が確認できれば、グローバル企業における個人データ・コンプライアンスの先駆的な指針となりえるのである。このような問題意識を持って、2016年10月15日～23日にはモロッコで開催されたプライバシーコミッショナー会議に参加し、各国のコミッショナーやデータ保護機関の関係者らと議論を行った。また、学会での研究報告を1回行い、論考1本を公表した。現在、単著『経営戦略としてのコンプライアンス（『情報法コンプライアンスと内部統制第2版』の執筆、および研究協力者とともに、共著『プライバシー・個人情報保護の将来像（仮題）』KDDI総研編『情報法研究私史―理論・実務融合化実践論（仮題）』の出版に向けて研究を継続している。
Current Status of Research Progress	Current Status of Research Progress 1: Research has progressed more than it was originally planned. Reason 2016年10月15日～23日、モロッコのマラケシュで開催されたプライバシーコミッショナー会議に参加し、企業における個人データのビッグデータとしての利用時の適法性判断基準、それを担保する制度の定立、及びグローバルな視点での企業のデータ・コンプライアンスについて、各国のデータ保護機関の関係者らと議論を行った。特にU.S Department of CommerceによるEU-U.S. Privacy Shieldについてのworkshopでの議論、NYMITYによるEU一般データ保護規則（General Data Protection Regulation : GDPR）への企業コンプライアンスに関する提案などが、わが国への示唆を与えてくれた。そのほか、日本経営倫理学会研究発表大会において「ビッグデータとしての個人情報の利用と保護に関する課題と提言ー個人情報保護委員会が担う役割を中心としてー」をテーマに研究報告を行い、また本研究テーマに関係する論文・論考を2本公表した。現在、単著『経営戦略としてのコンプライアンス（『情報法コンプライアンスと内部統制第2版』の執筆、および研究協力者とともに、共著『プライバシー・個人情報保護の将来像（仮題）』KDDI総研編『情報法研究私史―理論・実務融合化実践論（仮題）』の出版に向けて研究を継続している。
Strategy for Future Research Activity	わが国においては、2017年5月30日に改正個人情報保護法が施行され、2016年1月1日に設立された個人情報保護委員会が執行権限を持つこととなる。また、EUにおいては2018年5月25日に一般データ保護規則（GDPR)が施行される。わが国は、2013年6月14日に閣議決定された「世界最先端IT国家創造宣言」において、国際的に自由な情報流通を促進し、ビッグデータを介した新産業の創造を目標に掲げていることから、EUに対してデータ保護の十分制を申請することになると思われる。しかし、改正個人情報保護法はGDPRに対してデータ保護は十分と評価するのは困難であろう。今後、附則第12条に基づき、法改正議論が行われることとなろう。 2012年1月20日欧州委員会「ECプライバシー報告」における、ニューサウスウエールズ大学のグレアム・クリーンリーフ教授の調査結果「Country Studies B.5-Japan」では、わが国の企業が違法による罰則よりも風評が重要と考えている点をとらえて、データ保護の十分性を認められないと指摘している。本研究は「コンプライアンス」の視点からGDPRへのデータ保護の十分性を研究し、立法提案を行うとともに、企業への新たな個人データ・コンプライアンスを提言することとなる。今後は、EU・GDPRの施行と、これに伴うEU加盟各国の動き、特に企業向けのGDPRガイダンス、グローバル企業のコンプライアンス対体制の変更などの情報を収集し、①企業における個人データのビッグデータとしての利用時の適法性判断基準、②第三国への移転禁止条項の例外対応、③明確な同意取得の要求への具体的対応、④米国企業のEU-U.S. Privacy Shieldへの対応、などを研究する。 2017～8年にかけて、先進諸外国の法執行機関や研究者らと議論を行い、わが国へ示唆を研究する。
Causes of Carryover	2016年度は、改正不正競争防止法が施行され、また2017年5月30日には改正個人情報保護法の施行が施行される予定である。一方、EUでは一般データ保護規則（GDPR)が可決成立し、2018年5月24日に施行される予定である。このような状況において、本年度は各法の分析とガイドラインに基づくコンプライアンス・プログラムの検討に時間を費やした。具体的には、書籍やパソコンの購入、海外法情報の整理などの基礎的な研究活動に本助成を使用した。
Expenditure Plan for Carryover Budget	本助成の研究機関は残り2年（～2018年度）である。この間、国内では改正個人情報保護法が施行され、GDPRが施行されることから、情報法分野において大きな変革の時期を迎えることとなる。この期間は、海外の法執行機関を訪問し、その関係者や研究者との議論を行うとともに、わが国の個人情報保護委員会の関係者、国内の情報法研究者との意見交換を行い、わが国への立法提言と新たな個人データコンプライアンスの提言を行うとともに、著書として発刊し、研究成果の普及浸透に努める予定である。