政府の個人情報保護委員会は29日、破産者の氏名や住所などの個人情報を公開しているインターネット上の2サイトに対し、運営停止を命令した。本人の同意取得や利用目的の通知なしでサイトに情報を掲載し、誰でも見られるデータベースにしたことなどが個人情報保護法に違反すると判断した。同委員会が命令を出したのは初で、事実上の閉鎖命令となる。

問題のサイトは海外のサーバーを使い、運営者は現時点で特定されていない。委員会は運営者を「氏名不詳」のまま命令を出した。約1カ月以内に対応がない場合は警視庁に刑事告発する。

個人情報保護法は、個人情報をデータベース化して第三者に提供する事業者について、まず本人から同意を取るよう義務づけている(23条)。個人情報を取り扱う際は、利用目的を本人に通知することも義務づける(18条)。委員会は、サイト運営者がこの2つの義務に違反したと判断した。

問題のサイトに掲載された個人情報は、インターネットの「官報」で公開されたものをプログラムが自動収集したとみられる。破産者情報の公開は破産法が定める。手続きが始まると債権回収が制限され、多くの債権者を平等に扱う必要があり、破産の事実を広く知らせる必要があるからだ。

本来は誰でも見られる公開情報をまとめたサイトに運営停止を命じたことについて、同委員会の松本秀一参事官は29日の会見で、公開された個々の情報が一覧性あるデータベースとして簡単に検索できると、破産法の趣旨を超え「(プライバシーなど)権利侵害を生む恐れがある」とした。

委員会の判断には支持と同時に慎重意見もある。国立情報学研究所の佐藤一郎教授は「個人情報は本来保護されるべきで、著しい権利侵害への対応は必要だ」としつつ、「命令を全面的に肯定するつもりはなく、乱発すれば弊害もある。研究目的のデータ利用などが難しくなる可能性もあり、慎重な運用が必要だ」と指摘する。

個人情報保護法は、報道や学術研究を同意取得などの義務の例外とするが、判断は難しい。

フィンランドでは2003年、税務当局から得た120万人の氏名や所得などのデータを、そのままメールで配信した企業に対し、データ保護当局が禁止手続きを取った。どんな場合に報道目的にあたるかなどが論点となり、同国最高行政裁判所や欧州人権裁判所などで長期の裁判となった。

17年の欧州人権裁判決は、このサービスは報道目的と認められないとした。「何も分析を加えず、加工していない生データを一括で広げることに『公共の利益』が自動的に認められるわけではない」とした。ただ、どのような個人情報の利用が報道目的や研究目的に当たるかの線引きは、国ごとに事例の集積が必要な面がある。

東大の宍戸常寿教授は「報道や信用調査などで、破産者の情報が必要になるケースがあるのは理解できる。悪意の利用には制裁を設けた条件付き公開など、官の持つ情報の社会への公表のあり方を探るべきだ」と話す。

(デジタル政策エディター 八十島綾平、五艘志織)

個人情報の保護に関する法律に基づく行政上の対応について
https://www.ppc.go.jp/news/press/2020/200729kouhou/

個人情報保護委員会は、本日、違法に個人データをウェブサイトに掲載している2事業者に対し、個人情報の保護に関する法律(平成15年法律第57号)第42条第2項に基づき、当該ウェブサイトを直ちに停止等するよう命令を行いましたので、お知らせいたします。