本日，一橋講堂にて行われた題記のシンポに参加した。旬なテーマであるだけに，約300人の参加者があった（主催者発表）。
http://www.dekyo.or.jp/kenkyukai/
板倉陽一郎弁護士による個人情報保護法改正案の説明は，とても濃い詰め込み型の説明だったが，すでに改正法に関する質問，相談を受けている身としては，非常に助かる。以下は板倉弁護士の解説と，パネルディスカッションの議論を紹介しつつ，自分の意見，感想を随所に混ぜる。
個人情報の定義
個人情報の定義は，大綱の段階では「拡張」されるとされていたが，結局「明確化」にとどまった。新2条2項2号の「個人識別符号」の定義として，ID等が追加されたと思いきや，「特定の・・者を識別できることができるもの」と，「特定の」が挿入されたことにより，従来の2条1項の定義と変わらないではないかという指摘がされている*1。
ID，番号など単独で，特定個人識別性を有するものは，相当限られるはずであって，2条2項2号は空集合になるのではないか，との疑問も呈された。また，特定個人識別性の判断は，誰を基準に行うものなのかということも今後の解釈上の論点になり得る*2。
匿名加工情報はまだ洗練される必要がある
匿名加工情報（新2条9項）については，今後もまだまだいろいろな議論を呼ぶだろう。そもそも定義の段階において，(1)個人を特定する情報を削除する，ことに加えて，(2)復元することができないことが必要とされるが，具体的にどのような処理を施せば「復元することができない」ようになるのかは，現時点では明らかではない。
また，前回のエントリでも挙げたが*3，匿名加工情報かつ，個人情報という情報は存在するのか，両者は互いに疎なのかという問題もある。重複するものがあるとなると，第三者提供に関する義務が併存してしまうことになり，不都合が生じる。この点については，立法担当者の委員会における答弁では，立法担当者としては，互いに疎であるという意思のようだが，いまだはっきりしないという指摘もあり*4，少なくとも今後はしっかりそこを詰めておかないとまずいように思う。
さらには，匿名加工情報は，第三者提供する場面だけにおいてのみ，一定の義務が発生すると思われていたが，すでに本日の報道にもあるように*5，第三者に提供するのではなく，社内利用目的の段階においても，義務が生じるようであり*6，これではかえって利用を阻害するのではないかという指摘が挙がっている。
外国へのデータ提供とトレーサビリティは意外に実務上のインパクト大きい
事業者の方（一部の大規模事業者は別として）からはあまり注目されていないようだが，外国にある事業者への提供にも規制がかかるようになる（新24条）。これはEUで導入されている十分性認定を受けた国に対してのみ提供できるという制度と類似する制度を導入するようだが*7，果たして米国，中国が「同等の水準にあると認められる」国であるという運用がなされるのか，注目だろう。この規制は，委託というスキームによって回避することができない。海外のクラウド事業者にデータを保存することができなくなるという可能性があることを示している。
ベネッセ事件を受けて盛り込まれたトレーサビリティの規制も，事業者にとっては大きな負担になり得る。つまり，個人データを第三者提供した場合には，記録義務が生じることになり（しかも，それが外国事業者であった場合には委託スキームの場合であっても），ちゃんとした体制を作らなくてはならなくなる。
利用目的の変更はどうなった？
昨年末の骨子案の段階では大きく騒がれた利用目的変更に関しては，利用目的の変更範囲は「相当の関連性を有すると合理的に認められる範囲」という現行法の規定（15条2項）から，「相当の」の文言が削除されることで落ち着いた。これによって，どの程度まで利用目的変更が可能になるかは未知数である。
今，キャッチアップしておかないと大変
今回の改正附則12条3項には，「3年ごと」に見直すこととされている。「3年後」に見直すといった規定がされることはよくあるが，3年「ごと」というのは珍しい（とのこと）。今後も継続的な議論，改正が行われることが期待される。
それにしても，今回の改正法は，匿名加工情報の扱いを中心に，これまでの議論を踏まえていないと，理解することが難しい。その上，今後は3年ごとに見直しされるとなると，これから個人情報保護法制を理解し続けるのはどんどん大変になる。とはいえ，会社法や金商法ほどのボリュームもなく，幸いにして，この分野は重鎮もまだ少ないので，若い人には新たな得意分野として取り組むチャンスだと思う。
今後は，改正法が最終的にどのような形になるのかが興味深いが，それに加えて政令（特に個人情報の定義に関するもの）や，個人情報保護委員会規則の内容が議論されるだろう。今回の法改正は，コンシューマ企業，IT企業の多くが影響を受けると思う。施行は公布から2年以内とされているが，残された時間は意外に長くない。
シンポの一コマ
シンポの中で一瞬盛り上がったのは，パネルディスカッション中の一質問者と高木先生の対決（？）だろう。いつか該質問者にはパネラーとして登場していただき，議論を一層盛り上げていただくことを期待したい。
*1:この点については，「ガラパゴス化しないように」定義の拡大防止を求めた新経連の意見を取り入れた形になっているが，かえってガラパゴス化した定義になっているとの指摘については，高木浩光先生のブログ（https://takagi-hiromitsu.jp/diary/20150315.html）と，本日の発表で詳しく説明されている。
*2:後半のパネルディスカッションにおける板倉弁護士の発言。一般人基準だと考えるのが自然だが，容易照合性と同様に提供元基準ということもあり得なくはない。特許法で使われる「当業者」によるという考え方もあり得るのではないか。
*3:http://d.hatena.ne.jp/redips/20150316/1426509422
*4:パネルディスカッションにおける高木先生のプレゼン
*5:「個人情報保護法改正案、匿名加工情報は社内利用にも適用 」 http://www.nikkei.com/article/DGXMZO84939550X20C15A3000000/
*6:バグではないかと思われていたが，そうでもなさそうである。
*7:条文の文言から，板倉弁護士は「同等性」と呼んでいた。
