ずんだもん Lab - ニュース速報α -

>>1の続き

■適切な説明がなければ同意そのものが無効に

　個人情報保護法は、利用目的をできる限り特定し(17条1項)、本人に通知等することを求めている(21条1項)が、
利用目的と、個人情報の項目を対比させて示すことを求めていない。
そもそも、取得する個人情報の項目を示すことは法律上の義務ではない
(オプトアウト(27条2項)や共同利用(27条5項3号)では「個人データの項目」が通知等すべき内容に含まれる)。

　わざわざ取得する個人情報の項目を示すのであれば、利用目的別に記載するのが適切ではあるが、
取得しようとする情報の項目が極めて幅広く、利用目的が多様であるというだけで問題があるわけではない。
つまり、万博PPは、不適切であるとはいえるが、それ自体違法とまではいえない。

　他方で、万博PPは、これへの同意によって、要配慮個人情報の取得や、
個人データの第三者提供の同意を得ようとする。第三者提供先は、先にみたように、
外国政府や、特定されていない事業者が含まれている。
しかも、オンラインでチケットを購入するための「万博ID」の
「ご利用には『万博ID利用規約』と『個人情報保護方針』への同意が必要です」とされ、
万博IDの取得には、万博PPに同意するしかない。選択の余地がないのである。

　そもそも、要配慮個人情報の取得(20条2項)や、個人データの第三者提供(27条1項)に必要な
「本人の同意」は、個人情報保護委員会の公表しているガイドライン(通則編)において、
「事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために
必要と考えられる合理的かつ適切な方法によらなければならない」(2-16)とされている。
形式的に同意を得ればいいのではなく、きちんとリスクを説明して、本人が判断できなければならない。
そのような説明は万博PPには全くない。万博PPに同意しても、障がい者認定の有無等の
要配慮個人情報の取得や、クレジットカード番号等の個人データを第三者提供することにつき
同意したことにはならない。

　また、個人情報保護法は、外国にある第三者への個人データの第三者提供につき特別な規定を置いている(28条)。
協会は提供先の外国にある第三者の外国を特定しておらず、その場合、
外国の名称が特定できない旨及びその理由(施行規則17条3項1号)等の情報を提供しなければ、同意が取得できない(28条2項)。
このような情報は万博PPにおいて提供されておらず、外国第三者提供の同意にもならない。

　さらに、仮にリスクの説明等がなされたとしても、
万博ID取得のために選択の余地なく同意するような場合には、同意自体が無効ではないかという問題がある。

■「国家的に重要」なのに全く模範にならない

　このように、万博PPでは、協会は、要配慮個人情報の取得および、個人データの第三者提供の
同意を得られていないが、では、協会が違法行為を行っているのかというと、現時点では、
万博IDを作成する際に求められる情報は、希望する万博ID、パスワード、氏名、電話番号、
メールアドレス、生年月日、居住国・地域(日本の場合都道府県も)といった、ありふれたものにすぎず、
要配慮個人情報を取得しようとはしてこない。また、個人データの第三者提供も、
政府の答弁書(第217回国会(常会)答弁書内閣参質217第17号(令和7年2月14日)において、
少なくとも「『外国政府』に対して『個人情報』を提供することについては、現時点において、
個別具体的に予定しているものはないと承知しており」とされており、
現時点で個人データの第三者提供がされているかは不明である。

　要するに、万博PPへの同意がある前提で協会が要配慮個人情報を取得したり、
個人データの第三者提供を行ったりすれば、違法行為を犯すことになるが、現時点では、
具体的な違法行為まで行っているかは不明、というところになる。

続く