失ったもの

pmark-anchor 2014年11月29日 土曜日

11月26日付でベネッセコーポレーションは
プライバシーマーク制度発足以来、2社目の取消事業者となった。
予想された結果だが、同社のウェブサイトには
「よくいただくご相談とその回答」として同日にアップされている。

 Q.プライバシーマークの取り消し措置とはどのようなものですか。
  また、どのように捉えているのでしょうか。

 回答

  この度のお客様情報の漏えいを受けて、一般財団法人日本情報経済社会推進
  協会(JIPDEC)プライバシーマーク推進センターより、「プライバシーマーク
  付与の取り消し措置」を決定した旨、通知がありました。
  この措置は、事故発生時の当社の管理状況に関する報告に基づくものです。
  弊社としては、既に提出が完了しております経済産業省への改善報告書に記載した
  情報セキュリティ対策を引き続き鋭意進めていくとともに、全グループをあげて
  再発防止に徹底して取り組み、信頼回復に努めてまいります。

JIPDECの「プライバシーマーク付与に関する規約」では
(プライバシーマーク付与の取消し)
 第15条 付与機関は、次のいずれかに該当するときは、付与事業者に対する
     プライバシーマーク付与の取消しを行うことができる。
   七 第12条の規定による調査に基づき、付与事業者が個人情報の取扱いにおいて
     発生させた事故等が、「プライバシーマーク制度における欠格事項及び判断
     基準」により付与の取消し相当と判断されたとき。

ベネッセの場合は、欠格事項の判断基準として
事故の類型は「漏えい」、事故原因としては運用の不備、委託先の監督責任が考えられる。
また、事故の影響はすでに報道の通り社会的な大問題となっている。
筆者が危惧するのはこれだけ大量の個人情報(就学児童含む)が漏えいした場合
実質的な収束はないということである。
同社の失った社会的信頼性と経済的損失も計り知れないが
真の被害者は漏えい事故に巻き込まれた多くの利用者であり
無限連鎖的に拡散してしまったと思われる個人情報は
今後もカタチを変え、名簿として販売され、利用される可能性は否めない。

ジャストシステムの場合は、10月10日付で「勧告措置」となった。
欠格レベルは10段階あり、取消しの場合はレベル10。
勧告の場合はレベル6~7となるため、同社はこれに該当する。
DMリストを販売したのは株式会社文献社という会社で
昭和30年設立の老舗のようであるがウェブサイトの情報には疑義がある。
 
 (情報リストの入手先)
  当社のリストの元になっている非公開情報は「住民基本台帳」の記録です。
  2006年(平成18年)10月までは、一定の条件の元で閲覧ができました。
  名前、住所、生年月日、性別といった情報をリストアップしていました。
  しかし、その後、「住民基本台帳法」の一部改正によって住民基本台帳の
  閲覧は「公開原則」ではなくりました。
  当社のリストは、全国各地の市町村役場で閲覧可能な時期に入手しました。
  そのため、情報の入手ルートや時期が明確です。100%自社が開発した
  独自のリストとなります。

と、今も書かれているが事実と異なる。

ジャストシステムは今年2月に東証一部に上場。
小学生向け通信教育「スマイルゼミ」という専用のタブレットで
インターネット接続して学ぶオンライン通信教育講座を展開中。
文献社より購入した257万3,068件のデータは
このサービス利用者の新規獲得を狙ったものと思われる。

7月12日に同社から送信されたお詫びメールには

 データベースを購入してダイレクトメールを発送する場合には、
 その外部事業者との間で当該個人情報は、適法かつ公正に入手
 したものであることを条件とした契約を締結しております。
 
 今回の文献社からの購入において、データの入手経路を確認しながら、
 最終的にはデータの出所が明らかになっていない状況で契約に至り、
 購入していたことが判明いたしました。

 当社は、文献社から取得したデータが、株式会社ベネッセコーポレーシ
 ョンから流出した情報であるか否かを確認する手段を有していないため、
 現時点においても、そのような事実を確認できているわけではありません。

と書かれおり、いろいろと思惑のある内容となっている。
結果的にはJIPDECの判断通り、出所が明らかでないリストを購入して
ダイレクトメールを送付することは目的外利用の可能性が高く
当然ながらJISQ15001に対する違反でもある。

今回の裁定はこうした事態に対する今後への警鐘の意味を含め妥当なものと思われる。
プライバシーマークについてよく聞かれた質問に
「認証取得すればどんなメリットがあるのか」というものがある。
メリットは享受するものではなく
メリットが出るようにマネジメントしていくことが重要であると筆者は思う。
選択する消費者の目はいつも厳しい。
企業コンプライアンスも中身が伴わなければ絵に描いた餅である。
両者が納得できる接点を同マーク制度が担ってきたことは事実であり
企業間取引においても“信頼の証”となるよう期待するものである。

情報セキュリティコンサルタント 岸本

個人識別可能情報

pmark-anchor 2014年10月27日 月曜日

筆者が初めて個人情報の保護という言葉を耳にし
「それはプライバシー保護のこと?」という素朴な疑問から始まった
個人情報保護への取り組みは18年目を迎えようとしている。
今から思えば非常識な時代でもあったが
当時は個人情報が企業の所有物として扱われていた。
つまり、本人の知らないところで個人情報は収集され、売買され
さまざまに利用され、個人情報の主体者である本人関与についても
極めて無関心な状況が横行していた。

プライバシーマーク制度が発足した時も
当時の通産省が民間企業向けにプライバシー保護のためのガイドラインを
策定する時代になったかと思ったりしたが、その中身は大きく異なっていた。
「個人情報の保護」とは何か。初めてその意味の重大さを知ることになる。
そして、今やこの分野の第一人者でもある弁護士を訪ね
その教えを請うことから今のビジネスが始まった。  

個人情報の保護はコンプライアンス経営にとって不可避であり
情報漏えい事件でも起こせばその存続さえも脅かす重要な企業命題でもある。
18年前はまだまだ紙媒体の占める割合が大きく
比較的コントロールし易い状況でもあったが
電子化され、集積され、ネットワーク化された現在では
個人情報を保護するために必要となる対策も飛躍的に難易度を増した。
一方で、個人情報の有用性に着目した
さまざまな技術やサービスが開発され個人情報の利活用が進んできた結果
利便性に潜むリスクが小さくないことに多くの消費者が直面している。
つまり消費者にも選択が求められるようになってきた。

ある程度のリスクは覚悟でサービスの享受を選択する人と
石橋を叩いても渡らない人。
当然多くの人は前者を選択するが
残念ながら“ある程度のリスク”というのは事業者に依存する部分が大きい。
10月17日に経済産業省が事業者向けに発表した
『消費者向けオンラインサービスにおける通知と. 同意・選択に関するガイドライン』では
 「近時はプライバシー意識の高い消費者が増加しており~」との説明があり
後手にならないよう、より具体的な手順が示されている。

このガイドラインの注釈には

 本ガイドラインは国際規格化を目指すものであり、国際規格の用語に従って、
 本ガイドラインでは「個人識別可能情報」という用語を使っています。
 個人識別可能情報とは、
 (1)当該情報に関連する特定の個人を識別するために使用できる、
 (2)直接的、間接的を問わず、特定の個人に関連し、または関連し得る情報をいいます。
 なお、本ガイドラインは、パーソナルデータを利活用する際に行う通知等に関しても
 参照可能なものです。

とあり、これまでのパーソナルデータが
「個人識別可能情報」という言葉に置き換えられている。
これはISO/IEC29100:2011に準拠した名称で
PII(Personally Identifiable Information)から来ている。
これまで保護対象となっていた個人情報は「個人特定可能情報」であり
個人は特定できないが識別可能な位置情報やID等は
個人識別可能情報としてカバーされているようだ。

それにしても個人情報を取り巻く状況は複雑化の一途を辿っている。
来年は保護法改正に向けた法案が出される予定だが
パーソナルデータの利活用によるメリットって何?と感じている
多くの消費者にとって納得のできる説明が追いついていないと感じるのは
筆者だけだろうか。

情報セキュリティコンサルタント 岸本

被害者と加害者

pmark-anchor 2014年9月22日 月曜日

ベネッセの“お詫び”の在り方について厳しい意見が多いようである。
筆者にもお詫びDMが届いたが
改めて文面を読んでみても違和感が残る。
詳細は「ベネッセお客様本部」サイトに掲載されているが
http://www.benesse.co.jp/customer/index.html
お詫びの品として、500円の金券が妥当かどうかは別として
新たに設立予定の「こども基金」について
お詫びの品で寄付を募るというのはどうだろうか。

記者会見において原田社長は
 「本来、やるべきことをやっていなかったことが原因で漏えい事故が
  起きたという意味では加害者である」
とコメントしており、同社に加害(過失)責任がある旨を表していた。
事件発覚当初、同社が被害者のような報道もあったが
真の被害者が顧客であることは言うまでもない。
これまでの漏えい事件でも同様の事象があり
まず経営者は被害者意識に囚われる傾向がある。
その後、時間の経過とともに真の被害者が誰かに気づき
どうすればこの窮地を挽回できるかということに思いが及ぶ。

こうした大規模漏えい事件について完全解決はない。
ひとたび流出すれば完全に回収又は削除することが不可能であることは
周知の事実であり、最終的には被害補償をどうするか…という問題に行き着く。
一方で、個人情報を流出された側にも「またか…」という
半ば諦めにも似た思いが過ぎるのも事実である。
しかし、今回は漏えいした個人情報の“質”と“量”が異なる。
今後も予想される2次被害について
因果関係を立証することは極めて困難になっていく。
結局、被害者自身が“自分で守る”しかないのである。

今回の場合は500円相当の金券となった。
漏えい件数を考えれば現実的な金額とも言えるが
同時にお詫びの品で「こども基金」の寄付を募るという
経営判断は賛同しかねるものがある。
極論すれば、加害者が被害者からお金を募るという構図である。
本来、「お詫び」と「こども基金」は別物であろう。
結果、お詫びになっていないという批判が巻き起こったのも
致し方ない面があると筆者も感じた。
危機管理は自社の事業継続ばかりに注意が払われるが
事業継続するためには“何が不可欠か?”
それは顧客からの信頼であり、再生への期待である。
今回は示唆に富んだ貴重な事案となることだけは確実なようである。

情報セキュリティコンサルタント 岸本

問題の本質

pmark-anchor 2014年8月22日 金曜日

内部不正による情報漏えいリスクについて
程度の差はあるが、事業者にとっては避けては通れない問題である。
ベネッセに限らず、これまでも多くの漏えい事件が発生したが
結果的には“他人事”として忘れ去られていった経緯がある。
法令改正による違法行為の明確化や罰則強化など
不正行為抑止に向けた取り組みは進められてきたが
残念ながら、この潜在的リスクがゼロになることはない。

とりわけ個人情報には換金性があること。
言い換えれば、不正行為の動機に直結していることが
こうした事件が後を絶たない大きな理由でもある。
すでに1億件近い個人情報データベースを保有する事業者も存在する。
名簿販売が目的ではないとしても
新たに取得した個人情報との突合・名寄せ、クレンジング等により
氏名、住所といった基本情報に紐付けられ
新たな価値を持ち得ることも事実である。

今回の事件でも数多くの名簿会社に転売されたことが確認されている。
情報の出所がどこかということよりも
名簿として仕入れるだけの価値があるかどうかが購入基準であり
就学児童を含む子供や親の情報には継続的な需要が見込まれたことは想像に難くない。
また名簿利用者にとってはターゲットを効率的に絞り込み
DM投下による費用対効果を考えれば名簿ビジネスの存在は好都合な一面もあるだろう。
個人情報保護法においては名簿販売というビジネスモデルの是非について
賛否両論さまざまな意見があったが、結果的にグレーゾーンを残しての施行となった。
9年経過した現在もその状況は変わっていない。

次に問題となっているのがUSBポートの利用制限である。
すでに多くの事業者においてUSBメモリの利用については
内部規程により制限、若しくは禁止されていると思われるが
USB接続デバイス(MTP接続等)については制限できていない状況もあるようだ。
導入実績の多い監視アプリでも、現時点で未対応のものもある。
今後、速やかに改修されると予想されるが
それまでの期間についてはリスクが残存することとなるため
早急に検討が必要と思われる。

また経済産業省は「経済産業省分野における個人情報保護法ガイドライン」について
9月中に改訂する旨を公表した。
主に委託先の監督や個人情報の適切な取得等について見直しがされるようだが
顧客情報の取扱いに関する再委託については制限される可能性もある。
今回の事件の影響もありパーソナルデータに関する報道が少なくなったが
CCCは2014年11月1日からの改訂内容を公表している。
従来の個人情報の利用形態について「共同利用」から「第三者提供」に変更すること。
個人情報の提供停止(オプトアウト)をTサイトで受け付ける予定とのことである。
いずれも保護法改正を見据えての取り組みだが
パーソナルデータの利活用について着々と準備が進められている。

情報セキュリティコンサルタント 岸本

データクレンジング

pmark-anchor 2014年7月22日 火曜日

ベネッセの顧客情報漏えい事件も犯人逮捕となって
事件の全容が明らかになってきたが
同社が失った信頼と経済的損失は計り知れない。
改めて情報漏えいリスクの大きさを実感する一方で
半年間も検知できなかった顛末には驚きを隠せない。

JIPDECのサイトには
ベネッセコーポレーション及びジャストシステムについて
問題点は異なるが厳正に対処すると書かれている。
いずれもプライバシーマーク制度における
企業信頼性の根幹に係わる事件であり
極めて残念な結果も予想される。

すでに事件詳細の多くは報道もされているので
筆者が感じる危惧について書き留めておきたい。
現法制化で名簿ビジネスが存在する限り
個人情報の不正取得及び売却という潜在リスクが消えることはない。
今回の場合はわかっているだけで複数の名簿会社に
転売されたと報道されているが
約半年の間にどれほど拡散したかを完全に追跡することは困難だろう。
過去の漏えい事件と同様に
これらの個人情報は他のデータベースに取り込まれ
新しいデータとして生まれ変わっている可能性がある。
マネーロンダリングならぬ、個人データロンダリングにより
精度の高い、価値ある個人情報としてクレンジングされた可能性もある。
結果的に長きに亘り不利益を被る可能性も否定できない。
最初の記者会見でお金に係わる機微な情報は含まれていないので
補償する考えはないとした社長のコメントは
結果的に認識の甘さを露呈する結果となった。
同社のサービスを利用している顧客のひとりとして
その程度の認識だったのかと失望したことも事実である。

さらに顧客データベースの管理をしていたシンフォームは
ISMSの認証組織であり審査機関のBSIが
今回の事件とマネジメントシステムの関連を調査中と公表している。
ファーストサーバの事故もそうだったが
認証するためにいくら厳格なルールを定めても
運用確認が甘ければ今回のような事件は避けられない。
USBポートのリスクについては今更感もあるが
不正接続についてモニタリングをしても
検知したログを発見できなければまったく意味がない。
さらに大量のコピーについては
正規のアクセス権限があったとしても
操作ログを厳格にチェックするルールが履行されていれば
もっと早い段階で検知できた可能性もあった。
いずれも情報セキュリティ対策においては
極めて基本的な事項である。
こうした事件を見るたびに感じるのは
“ルールの形骸化”が根本原因ではないかということである。

ルールは厳密に履行されてこそ有効性がある。
逆説的に考えれば、何故履行されなかったのかを検証すべきであろう。
情報資産に対する脅威レベルを冷静に判断すれば
顧客データベースこそ最大限に保護すべき対象である。
そのために運用ルールがあり、手順がある。
つまり、形骸化がミスや油断を誘発させ
不正行為を助長するというスパイラルダウンを引き起こす。
予見可能なリスクに対して
本来やるべきことをやっていなかったとなれば
まさに“加害者”である。

ジャストシステムについては
事件の報道後、ユーザのひとりである筆者にもメールが届いた。
主旨は、ベネッセの顧客情報とは知らなかったというものである。
この言い訳メールは論旨がずれている。
そもそも出所が明らかでない、若しくは確認が取れていない
個人情報を購入してDMを送付するということ自体が問題なのである。
正直な感想を言えば、こんなメールこそ不愉快である。

今回は不正競争防止法の営業秘密侵害容疑での逮捕となった。
事件の社会的影響を考えれば実刑の可能性もある。
犯人がこの法律を知っていれば
犯行が割に合わないことを事前に認識できたのではと思った次第である。

情報セキュリティコンサルタント 岸本

利活用に潜む影

pmark-anchor 2014年6月26日 木曜日

6月19日にパーソナルデータに関する検討会が取りまとめた
「パーソナルデータの利活用に関する制度改正大綱案」では
保護すべき個人情報の範囲や匿名化の手法については
民間の自主規制やマルチステークホルダー・プロセス(MSP)での検討に
委ねられることとなった。

内閣府のサイトによると
多種多様なステークホルダー(利害関係者)が対等な立場で参加し、
協働して課題解決にあたる合意形成の枠組みを、
“マルチステークホルダー・プロセス”と言います。
とあり、現時点では先行きは不透明である。

このような案に至った理由は急激な技術の進展や環境変化に対して
法規制だけでは対応が困難なため
法と自主規制の共同規制を選択したものと思われる。
結果的に、パーソナルデータの利活用における法改正は
枠組みの明確化は図られたが、各論としての定義や手法は先送りとなるようである。
自主規制やMSPにおいては、公平かつ客観的な検討が望まれる。

大綱案にも書かれているが
顔認識データ等の身体的特性に関する情報について
保護の対象となるものを明確化し、必要に応じて規律を定めるとある。
4月に話題となった万引き対策の顔認識情報の共有(第三者提供)を始め
顔認識システムの活用が広がりつつある。
これまでの防犯目的だけでなく
多くの人が集まる場所での情報収集により
今、その場所に、どんな年齢・性別の人が、どれぐらいいるのかを把握し
最適化された情報提供により販促効果やサービスの向上に
結びつけるというものらしいが
顔認識技術の進展には目を見張るものがある。
これまで録画データをトレースしながら探すという非効率な手法に比べ
ピンポイントでデータ検索が可能になることは
犯罪抑止や早期検挙という意味では従来の防犯カメラの比ではない。

筆者の個人的な関心事ではあるが
今後、こうしたシステムが急速に浸透し
あちこちで膨大な顔認識データが蓄積されていくという状況を想像すると
果たしてプライバシーは保護されるのかという不安が頭をよぎる。
この点に関しては早急にガイドラインや規律による規制を願うものである。

混迷

pmark-anchor 2014年6月10日 火曜日

6月9日に開催された
「第11回 パーソナルデータに関する検討会」の資料が公開された。
すでに、事務局大綱案について
“本人の同意がなくても提供可能に”といった報道もあるが
資料4の意見書にもあるように見直すべき点が少なくない。
これまで問題とされてきた「グレーゾーン」「利活用の壁」といった言葉が
この大綱案で解決したかと言えば
残念ながら結論を急ぎすぎている感が否めない。

 (事務局案より抜粋)
  1 基本的な制度の枠組みに関する規律
   (1) 保護対象の明確化及びその取扱い
     パーソナルデータの中には、現状では個人情報として保護の対象に
     含まれるか否かが事業者にとって明らかでないために「利活用の壁」
     となっているものがあるとの指摘がある。
     このため、個人の権利利益の保護と事業活動の実態に配慮しつつ、
     指紋認識データ、顔認識データ等個人の身体的特性に関するもの等
     のうち、保護の対象となるものを明確化し、必要に応じて規律を設
     けることとする。

これまでグレーゾーンとしてきた
パスポート番号、クレジットカード番号、メールアドレス、携帯端末ID等の
取り扱いについて全く触れられていないのは何故か…。
身体的特性に関する情報のうち、保護の対象となるものを明確化?
保護すべきパーソナルデータの定義が変わった?

そもそも今回の法改正にはビッグデータの利活用により
新しい産業を創出するという国家戦略が背景にある。
つまり事業者目線が主体となって検討が進んできた。
すでに膨大なパーソナルデータを保有する事業者にとって
あるいは今後提供を受ける事業者にとっても新たな可能性を拓く
大きなビジネスチャンスになる可能性はある。

が、一方で自分のプライバシーは厳として守りたいと考える人にとって
本人の同意なく第三者提供可能なパーソナルデータが存在することは
大きな脅威でもある。
筆者が感じる違和感は一度特定されれば取り返しがつかいないことである。
“とりあえずやってみる”は通用しない。
勿論、こうした可能性を大きな脅威と感じる人もいれば
企業ポイントサービスのように見返りがあれば問題ないと考える人もいるだろう。

パーソナルデータの利活用を促進することばかりが目につくが
果たしてその恩恵を受けるのは誰なのか。
「プライバシーは保護されるべき」を基点とするなら
利活用によるメリットがリスクに見合うことを明示すべきである。
その上で、本人が諾否を選択すべきであろう。

EU司法の判断

pmark-anchor 2014年5月19日 月曜日

「忘れられる権利」について
欧州司法裁判所が新たな基準を示した。
昨年11月19日に日経新聞で“消去できる権利”として
紹介されてから半年余りでEU司法の結論が出ることとなった。
グーグルの敗訴が確定したことによる影響は
筆者の想像を超える事態だが
個人情報の削除請求が権利として認められたことは
今後さまざまな波紋が予想される。

そもそも完全削除は可能なのか。
日々膨大な個人データがアップされ、リンクされ、複製されるインターネットにおいて
グーグルだけでなくオンラインパブリッシャーも無数に存在し
本人が認識できる情報にも限りがあり
特定のサイトで削除できたとしても氷山の一角に過ぎない。
必然的に影響力の大きいグーグルやフェイスブックが対象となる可能性が高いが
ユーザ数を考えると桁違いの規模になる。

そもそもの発端は税金未納のために自分の家が競売にかけられることを公示する
裁判所指令文へのリンクを削除するようグーグルに求めたものであったらしいが
判決のインパクトは世界規模となった。
データプライバシー保護で先行するEUの判断が
今後、日本の個人情報保護法制にも影響することは確実と思われる。
検討が進むパーソナルデータの取り扱いについても
こうした事態を考慮する必要があるのか。
知る権利と忘れられる権利をどう折り合いをつけるのか。
この問題は相当に根深いことだけは確かなようである。

ポイントサバイバル

pmark-anchor 2014年4月30日 水曜日
昨年10月に、このコラムで「ポイントプログラム」について
今後の動向を予想してみたが、早速大きな動きがあった。
三菱商事系のポイントサービスPontaと
リクルートホールディングスが共通ポイントを統合するというもので
実現すればPontaの利用者数は7000万人規模になるというものである。

(2013年10月コラムより)
  今更感はあるがポイントプログラムが急速に浸透した背景には
  優良顧客の囲い込み、値引きによる顧客満足アップ、新規顧客開拓、
  他社連携による相互送客など顧客争奪のサバイバル戦略から
  引き出された効果的な戦術のひとつであったが
  すでに飽和状態となっているのが実情ではないだろうか。
  消費税率のアップも考えると今後消耗戦に入ることは確実であり
  果たして勝ち残れる企業はどれぐらいになるのか。

企業のポイントサービスはすでに成熟期を迎えているため
新たな会員獲得という意味では“合従連衡”のほうが合理的という判断もあろう。
利用者にとっては利用機会が増えることでポイント還元のメリットも大きくなるため
規模のメリットは双方にとって歓迎されるというシナリオが成り立つ反面
特定の企業に膨大なパーソナルデータが蓄積されていくという先には
第三者提供によるビッグデータの利活用という展開が控えている。

昨年7月にはYahoo!ポイントとTポイントの連携が話題になったが
今回の統合は先行するTポイントを追撃するに十分な規模となるのか。
企業ポイントサービスというビジネスモデルは同じだが
個人情報の取り扱いについて
提携する事業者とは「第三者提供」、「共同利用」という異なる立場をとっている。
いずれもPマーク認証事業者ではあるが利用約款を見てもあまり違いがわからない。
パーソナルデータを取り巻く環境が変革期を迎える中
今回のような動きは続くと思われる。

個人情報に準ずる個人情報

pmark-anchor 2014年4月19日 土曜日

第7回パーソナルデータに関する検討会(4/16開催)で
 “「個人情報」等の定義と「個人情報取扱事業者」等の義務について”
という事務局案が提示された。
基本的な考え方としては、現行法における「個人情報」を維持し
これに加えて新たに「(仮称)準個人情報」を
保護されるパーソナルデータとして規律の対象にしてはどうかというものである。
http://www.kantei.go.jp/jp/singi/it2/pd/dai7/gijisidai.html

定義としては以下のように説明されている。

 「(仮称)準個人情報」の定義について
  個人情報に該当するものを除き、生存する個人に関する情報であって、
  次に例示するもの及びこれに類するものを含む情報について、新たに
  「(仮称)準個人情報」としてはどうか。
  ① パスポート番号、免許証番号、IPアドレス、携帯端末ID等の個人
    または個人の情報通信端末(携帯電話端末、PC端末等)等に付番され、
    継続して共用されるもの
  ② 顔認識データ、遺伝子情報、声紋並びに指紋等、個人の生体的・身体的
    特性に関する情報で、普遍性を有するもの
  ③ 移動履歴、購買履歴等の特徴的な行動の履歴

また「準個人情報」のみを取り扱うものとして
「(仮称)準個人情報取扱事業者」の新設や、「(仮称)準個人情報データベース」や
「(仮称)準個人データ」の定義も示された。
さらに「個人データ」または「(仮称)準個人データ」を加工して
個人が特定される可能性を低減したデータとして
「(仮称)個人特定性低減データ」を定義する案まで出ているようだ。
内容の可否は別として具体的な法改正の方向性が示されたことは前進である。

見直しにおける基本的な考え方としては

  法制定当時想定されなかったパーソナルデータの利活用に対応し、
  消費者のプライバシー意識の高まりと事業者の利活用ニーズに鑑み、
  個人情報及びプライバシーを保護しつつ、パーソナルデータの利活用を
  躊躇する要因となっているルールの曖昧さの解消等を行う。

とあるが、すでに当時から多くの事業者でパーソナルデータは活用されており
改正の主眼は第三者提供における法整備に重きが置かれていると考えられる。

パーソナルデータの第三者提供をスムーズに行える環境整備により
どの程度の事業者と一般消費者に恩恵があるのか。
制度として特定個人識別性の高低(容易性?)で区分し
取り扱うパーソナルデータの内容により法的義務の軽重を図ることは
合理的である反面、形式的な措置にならないかという不安もある。
今回は、あくまで事務局案として公表されたものであるが
前回の開催日から20日ほどしか経過していないことを考え合わせると
かなり前からこの方向での検討が進められてきたのではないかと思われる。