政府は3月31日、IT大手や携帯電話事業者に対し、新型コロナウイルス感染症の感染拡大防止に資する統計データ等の提供を要請した。具体的な統計データとして位置情報や検索履歴などを挙げている。
これらのデータを活用して、外出自粛要請やクラスター対策などの実効性の検証などを行い、より効果的な感染拡大防止策につなげたいようだ。
提供を要請するデータは、法令上の個人情報には該当しない統計情報等のデータに限るとしているが、位置情報や検索履歴などはサービス利用者のプライバシーに関わる情報だ。
政府の要請に応じて、事業者がプライバシーに関連する情報を提供することに法的な問題はないのだろうか。板倉陽一郎弁護士に聞いた。
●位置情報や検索履歴は「個人情報」
ーー政府は、位置情報や検索履歴に関するデータの提供を要請しています。そもそも位置情報や検索履歴は「個人情報」に該当するのでしょうか
「通常、位置情報や検索履歴は特定の個人を識別することができる記述等に付随して保存されていますので、個人情報保護法上の『個人情報』（2条1項1号）に該当します。
今回の事案でいえば、IT大手や携帯電話事業者のサービスは回線契約をしたり会員登録をして使うことが通常ですので、当然に個人情報の一部になっています。
例外的に、検索エンジンを会員登録しないで使う場合には、ただちには個別の位置情報や検索履歴とひもづく、特定の個人を識別することができる記述等を有していないこともあるかもしれません」
ーー今回は、位置情報や検索履歴などを匿名化して集めた統計データの提供を要請しているようです
「通常、統計データないし統計情報といった場合、特定の個人との対応関係が排斥されている『個人に関する情報』にも該当しない情報を指しますので、個人情報保護法上の『個人情報』には該当しません」
ーー仮に、匿名化をせずに個人情報をそのまま提供する場合はどうでしょうか
「各社の規約で、個人情報（個人データ）を本人の同意なく第三者提供しないことは、通常定められていると思います。
もっとも、今回の事案のようなケースでは、本人の同意なく国に提供したとしても、以下に該当するので法令上の例外となります。目的外利用も同様の条項で許されます。
『国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき』（個人情報保護法23条1項4号）
また、具体的な施策が確定しているのであれば、『公衆衛生の向上』のためという条項を用いることができる場合もあると思います。目的外利用が同様の条項で許されるのも4号と同じです。
『公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき』（個人情報保護法23条1項3号）」
ーーサービス利用者（本人）としては、自分の情報がどう扱われるのか気になります。データ提供にあたって、事業者は個人情報に該当しないデータに必ず加工してくれるのでしょうか
「法令上の例外に該当すれば、生データのまま提供しても違法にはならないので、サービス利用者（本人）との関係で『個人情報に該当しないデータ』として提供されるかについては、何も担保はありません。
もっとも、法令上の例外に該当して生データを出してよいとしても、不必要に生データを提供することは、安全管理措置（個人情報保護法20条）との関係で問題であるとも考えられます」
●遭難時には位置情報などの提供をしている
ーー国の機関が事業者に位置情報などの提供を求める事例は過去にあるのでしょうか
「遭難等の場合に、消防等の関係で行うことがあります。
電気通信事業における個人情報保護に関するガイドラインが『救助を要する者を捜索し、救助を行う警察、海上保安庁又は消防その他これに準ずる機関からの要請により救助を要する者の位置情報の取得を求められた場合』について定めています（35条5項）。
『生命又は身体に対する重大な危険が切迫しており、かつ、その者を早期に発見するために当該位置情報を取得することが不可欠であると認められる場合』に限り、電気通信事業者が当該位置情報を取得することができるとしており、この規定はそのような事案に対応するためのものです」
●任意によるデータ提供以外の方法は困難
ーー今回の要請では事業者の任意による協力を求めているようですが、仮に政府がどうしてもデータを取得したいという場合、強制的に取得する方法はあるのでしょうか
「感染症法には罰則（72条6号）を伴う『報告徴収』の規定（56条の30）がありますが、以下のように対象が限定されていますので、使えません。
『厚生労働大臣又は都道府県公安委員会は、この章の規定（都道府県公安委員会にあっては、56条の27第2項の規定）の施行に必要な限度で、特定病原体等所持者、三種病原体等を輸入した者、四種病原体等を輸入した者、一種滅菌譲渡義務者及び二種滅菌譲渡義務者に対し、報告をさせることができる』
これ以外に、感染症法15条2項が以下のように定めています。
『厚生労働大臣は、感染症の発生を予防し、又はそのまん延を防止するため緊急の必要があると認めるときは、当該職員に一類感染症、二類感染症、三類感染症、四類感染症、五類感染症若しくは新型インフルエンザ等感染症の患者、疑似症患者若しくは無症状病原体保有者、新感染症の所見がある者又は感染症を人に感染させるおそれがある動物若しくはその死体の所有者若しくは管理者その他の関係者に質問させ、又は必要な調査をさせることができる』
しかし、今回の相手方事業者が『その他の関係者』に該当するか疑問ですし、『感染症の発生を予防し、又はそのまん延を防止するため緊急の必要があると認めるとき』というのは切迫した場面を想定しています。また、罰則等はありません。
さらに、新型インフル特措法では、『政府は、政府行動計画を定めるため必要があると認めるときは、地方公共団体の長その他の執行機関、指定公共機関その他の関係者に対し、資料又は情報の提供、意見の陳述その他必要な協力を求めることができる』としています（6条7項）。
こちらの『その他の関係者』は、感染症法15条2項より範囲が広いと思います。仮に相手方事業者が『その他の関係者』に該当するとすれば、『資料又は情報の提供』を求めることができますが、『政府行動計画を定めるため必要がある』範囲に限定されますし、やはり罰則等はありません」
●「事前の判断基準を議論しておくことが重要」
ーー個人情報に関連するデータの提供は、プライバシー等の個人の権利との関係で、しばしば議論となります。今回のようなケースでは、どういったルール・運用で行うべきでしょうか
「これまで述べたとおり、政府（国の機関）への協力は個人情報保護法の例外になっているわけですが、どのような政府の施策にどれくらい必要か、ということとの関係で最小限のデータをやり取りするのが基本です（比例原則）。
今回、総務省は『単にデータだけもらっても政府で分析するのは難しい。データをどう使うか企業に提案してもらい、施策に生かしたい』（毎日新聞2020年4月1日朝刊）といっているようで、要するに何も具体的な施策を思いついていないわけですから、その段階で個人の権利利益が侵害されるとすれば比例原則に反します。
だからこそ、統計情報（個人に関する情報ではない情報）のみを要請しているとすれば、矛盾はないですが、今後、個人情報（個人データ）のまま提供を求めることがあり得るとすれば、法律上の除外事由の判断を、事前に詰めておく必要があると思います。
データ保護とコロナウイルスの関係について、すでに海外のデータ保護機関では意見等が出されています。
例えば、欧州のデータ保護機関の集まりである欧州データ保護ボード（EDPB）は、2020年3月20日付で『Statement on the processing of personal data in the context of the COVID-19 outbreak』という意見を公表しています。
日本の個人情報保護委員会は公的機関の監督権限を有しませんが、要請されてデータを提供する事業者への監督権限はあるので、日本でも個人情報保護委員会を中心に、
（1）どのような施策のどのような判断のためにどのような分析を行うのか
（2）そのためにはどのような個人データの項目が必要か
（3）提供する場合にどの程度の安全管理措置を施しても実用に耐えるか
などの観点から、事前の判断基準を議論しておくことが重要かと思います」
