～そのビッグデータ利用、法律的にどうなの？～ IT法務弁護士と考える(前編)

フリーランスライター　吉田育代

先日、Suica履歴のビッグデータ分析がネット上で大きな話題となった。これはSuica利用履歴を分析し、それをエリアマーケティングサービスに活用していくというものだったのだが、ネットユーザーから批判の声が上がったのだ。当事者企業はただちに対応したが、ビッグデータ利用を検討している企業にとっては他人事ではない“騒動”だった。一体、何が問題だったのか。今後この分野の活動を進めていくときにはどうすればいいのか。

今回は、法律的な観点から課題と対策を探ってみる。

ビッグデータ活用気運に冷や水を浴びせたSuica履歴騒動

それは株式会社日立製作所(以下、日立)の突然の発表から始まった。2013年6月27日、同社から「交通系ICカードのビッグデータ利活用による駅エリアマーケティング情報提供サービスを開始」と題したニュースがリリースされた。交通系ICカードとは東日本旅客鉄道株式会社(以下、JR東日本)が発行しているSuicaのことだ。Suicaが利用されることによって生じた履歴情報を、日立がJR東日本から提供を受け、ビッグデータ解析技術により分析、首都圏における駅エリアマーケティング情報としてレポート化し、情報サービスとして一般企業に提供するというものだった。そして、そのサービスは2013年7月1日からスタートするとされていた。

“個人情報を含まない交通系ICカード Suicaの履歴情報”とニュースリリースに書かれていたが、このニュースに触れた複数のネットユーザーからは即座に「気持ち悪い」と批判が上がった。批判の内容を見てみると、この「気持ち悪い」という言葉には3つの意味が含まれているように思われる。

1つは「個人情報ではないといっているが、Suicaの履歴情報は個人情報ではないのか」、もう1つは「なぜSuica履歴情報を取得したJR東日本ではなく、外部の企業である日立が発表して日立が行うのか」、最後の1つは「なぜJR東日本はSuica利用者に断りもなくSuica履歴情報を外部に提供するのか」というものだ。

JRが国鉄時代から日立とシステム開発で親しい関係にあることは一部にはよく知られていることだが、組織上はまったくの別企業である。このような反応が出るのも無理はない。筆者自身もSuica利用者だが、履歴情報のオーナーはそもそも自分だという認識を持っている。JR東日本が自社のマーケティングのために利用するならともかく、なぜ日立が、さらに第三者に向けて販売するのに勝手に使われなくてはいけないのかという疑問を持った。

これらの批判を受けて、2013年7月25日、JR東日本は謝罪のプレスリリースを発表する。“Suica履歴情報の提供に関しては、法令の趣旨にのっとり、プライバシーに配慮して厳正に取り扱っているが、事前に知らせなかったのは説明不十分だった”という内容だ。そして、要望するSuicaユーザーについてはその履歴情報を提供対象から除くとし、7月26日から9月25日まで要望を受け付け、再度マスターデータを作成し直した上で、あらためて日立に対して開始する、としていた。

近年IT業界ではビッグデータが最大の話題となっており、今後その利活用が本格的に進むと思われるが、そうした中で耳目を集めた一件となった。

Suica履歴騒動が内在していた2つの問題点

今回の騒動に関して、IT法務に詳しい弁護士法人 内田・鮫島法律事務所 パートナー弁護士 伊藤雅浩氏は、2つの点で当事者に問題があったと指摘する。

「1つは、Suicaの履歴情報はほんとうに個人情報ではないのか、という点です。氏名や連絡先や個人を識別できる識別番号などは含まれていないから個人を特定できない、個人情報ではないとのことですが、ほんとうにそうか。少し個人情報の定義を狭く解釈しすぎているのではないでしょうか。SuicaID番号を他の識別番号に変換したとしても、履歴が詳細に記されていれば誰か特定できる可能性があります。
また、他の情報と照合することで個人を特定できる情報も個人情報となるので、この点からも十分な精査が必要です」

たとえば、“1番の人は7月20日の10時20分に田端駅を出発して品川駅へ行き、新幹線の改札を通った”という情報が第三者の手に渡れば、見る人によっては誰のことだとわかるというわけだ。そのため、氏名や連絡先といったわかりやすいものだけを個人情報と考えるのではなく、対象とする情報が潜在的に持っている“個人情報性”を幅広く検討する必要があるようだ。

「もう1つは、仮に個人情報の保護に関する法律(以下、個人情報保護法)でいう個人情報じゃないとしても、プライバシー侵害にあたる可能性があります。明確な法律はないものの、個人情報保護法制定以前からプライバシー侵害は違法とする判例は数多く出ており、これに抵触するかどうかといった観点からの配慮も求められます」(伊藤氏)

これからビッグデータ活用を始めようと考えている企業は、今一度個人情報保護法の条文を読み返し、足元を固めておいた方がよさそうだ。

後編では、具体的にどう動けばいいかを解説する。

吉田育代　(よしだ　いくよ）

企業情報システムや学生プログラミングコンテストなど、主にIT分野で活動を行っているライター。

著書に「日本オラクル伝」(ソフトバンクパブ リッシング)、「データベース 新たな選択肢―リレーショナルがすべてじゃない」(共著、英治出版)などがある。翔泳社「DB Magazine」の企画でOracle Master GoldやLinux+を取得したことがある。技術評論社「SoftwareDesign」2012年2月第一特集「技術力＋α IT市場の転換期を生き抜く」を担当。全国高等専門学校プログラミングコンテスト審査員。趣味は語学。英語と韓国語をそこそここなし、現在、カンボジア語 も学習中。