個人情報保護法改正案が火曜日に閣議決定されて公開されています[1]。
これに関して、いくつか問題点が指摘されています。今日は、そのうちの
1. 匿名加工情報の規制対象範囲が適切に設定されていない件
2. 第三者提供の記録義務がかかる範囲が適切に設定されていない件
2点を取り上げます。
1. 匿名加工情報の規制範囲が適切に設定されていない件
匿名加工情報についての問題点を、高木先生が自宅の日記「匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）」で指摘されておられます[2]。一言で言えば、
(1) 匿名加工化は一部情報削除、仮名化を含む極めて広い概念（第２条９）
(2) これをデータベース化して事業に用いているものを匿名加工情報取扱事業者と呼ぶ （第２条10）←ほとんど誰でもになることに注意
(3) 匿名加工情報DBを作るときには、
(a) 個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。(第36条1)
(b) 匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。（第36条3)
となっていて、企業で自社内で個人情報を分析につかったりなど極めて幅広い使い方に対して「個人情報保護委員会規則に定める方式」でやらなければならないことになってしまっているというものです[3]。これは単なるバグだと思われるので、当然直されるんだと思います。ですよね！あと、こういうバグを生む原因のプロセスもわりと明らかなので、そちらもちゃんと直していただきたいものです。
[1] http://www.cas.go.jp/jp/houan/189.html
[2] http://takagi-hiromitsu.jp/diary/20150310.html#p01
[3] これ、某所で高木先生に指摘されて初めて気付いた。見る目が無いので、個人情報保護委員会とかで働くのには私は失格ですな。