Footprints

弁護士・伊藤雅浩による仕事・趣味・その他雑多なことを綴るブログ(2005年3月開設)

個人情報・パーソナルデータに関すること(7)検索エンジンと個人情報データベース

大綱のことをもっと勉強してきちんと書こうと思いつつも,毎回,テーマが一貫せず,ふらふらとしているが,今回は,題記のようなテーマでまとめる。

問題の所在

個人情報保護法というのは,主に個人情報取扱事業者が守るべき義務を定めた法律であって,事業者としては,自社が「個人情報取扱事業者」に該当するかどうかが法令上の義務の存否に関わるため,非常に重要である。定義は2条3項に書かれているが,その定義条項に,「個人情報データベース等」(2条2項)が含まれていて,個人情報データベース等の定義条項には,「個人情報」が含まれているので,結局のところ,個人情報とは何か,ということを理解するのが重要になる。


冒頭のテーマは,検索エンジン事業者が集めて体系的に整理している情報は「個人情報データベース等」にあたるのか,という論点である。クローラーが集めてきた情報は検索エンジン事業者において整理して格納されるし,その中には氏名その他個人に関する情報も当然含まれるから,これが「個人情報データベース等」にあたるとすれば,その構成要素である「個人データ」の取扱いについて,安全管理措置を講じる義務が生じるし(20条),第三者提供の制限が生じる(23条)などの義務が生じる。


なお,個人情報データベース等の定義は次のとおり(2条2項)。

この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
一  特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 (略)

要は,一号の「特定の個人情報を電子計算機を用いて検索することができるように体系的に構成」したといえるかが問題となる。


このテーマは個人情報保護法制定時においても議論になっていて,特に新しいトピックでもないので,このエントリでは,基本的に過去の議論,文献をなぞるだけである。

文献

既存の文献を見る限り,「個人情報データベース等」ではないというのが通説のようである。


宇賀克也「個人情報保護法の逐条解説【第三版】」35頁では,

インターネット上の検索エンジンの場合は,一般的には検索用のソフトに体系的に個人情報としての索引がふされているわけではなく,キーワードと同一の文字列であれば個人情報であるか否かに関わりなく法人名や地名等も含めて検索する仕組みになっているので,「個人情報データベース等」には含まれない。

とする。岡村久道「個人情報保護法【新訂版】」87頁では,

Googleに代表されるインターネットの検索エンジンについて,政府見解と通説は該当性を原則的に否定する。

としつつ,その後の注釈に詳細な検討を行っている。否定説であっても,「当該検索エンジンが個人情報としての索引を付してデータベース化されているような場合」には,例外的に該当するなどとしている。

検討

上記岡村88頁においても,否定説の根拠について疑問が呈されている。例えば,個人情報以外の情報と混在していることや,地名その他の情報でも検索できることなどは,2条2項1号にあてはめても,「特定の個人・・を検索できる」を否定する根拠にはならない。


岡村89頁では,形式的に「個人情報データベース等」に該当するとしつつ,検索エンジンを業務で利用しているだけの場合に,当該利用者が個人情報取扱事業者に該当しないよう,別途政令で除外するなどの措置があったのではないか,と指摘している。


私も,法文上の定義と,検索エンジンの仕組み(どこまで理解しているか疑問だけれど)から照らすと,2条2項の該当性を否定することはむしろ困難であるように思えるが,それを利用するだけの事業者は「個人情報データベース等を事業の用に供している」とは必ずしも言い切れないから個人情報取扱事業者の該当性を否定し得るし,政策的に政令にて除外するなどの手当てが適切だと思う。

仮に個人情報データベース等に該当するとした場合

2014年5月に欧州司法裁判所が「検索エンジンは、個人情報を含むWebページへのリンクを検索結果から削除する義務がある」という判断を示して話題となった。また,8月7日には京都地裁で過去の犯罪に関する情報を検索結果から表示中止等を求める判決も出た(請求は棄却)。

http://mainichi.jp/select/news/20140807k0000e040264000c.html


今後もこの種の紛争,請求は増えてくることが予想される。


仮に,検索エンジンの有するデータベースが個人情報データベース等であるとすると,(オリジナルではなく,貯めている情報について)開示,訂正,削除,消去等の権限を有すると考えられるから,その情報は「保有個人データ」(2条5項)に該当することになり,24条から27条の義務が生じる。


27条は,個人情報取扱事業者が,本人から16条違反(利用目的制限),17条違反(適正取得)があったとの理由で利用停止を求められた場合には,一定の条件のもとに応じなければならないとする。現行法の解釈では,この利用停止等請求は,民事上の請求権ではないというのが実務である*1が,パーソナルデータに関する検討会の大綱15頁では,

現行法の開示,訂正等及び利用停止等(以下「開示等」という。)の本人からの求めについて,裁判上の行使が可能であることを明らかにするよう開示等の請求権に関する起立を定めることとする。

としており,裁判上の行使が可能になる見込みである。そうすると,この段落の冒頭で述べたような「表示から外せ」「消せ」といった請求が,これまでは一般不法行為(民709条)に基づいて行われていたところ,本条(27条)に基づいて行われる可能性が出てくるかもしれない(もっとも,現行法の限りでは,単に「古い情報だから」「名誉棄損に該当する情報だから」という理由では利用停止請求権は生じず,目的外取扱いや不正手段取得であることを主張立証しなければならないないが。)。

*1:25条の開示請求について,宇賀136頁では,「本人には開示請求権が認められているといっても誤りではない」とするが,東京地判平19.6.27判時1978-27は,「法25条1項が本人に保有個人データの開示請求権を付与した規定であると解することは困難であ」る,としている。