出遅れる日本のプライバシー保護

　2020年1月1日、カリフォルニア州プライバシー法（CCPA）が施行された（注1）。欧州連合（EU）域内では、2018 年5月25日から「一般データ保護規則」（GDPR）が施行されている（刑事データ以外の「一般」データを対象）。海外では、プライバシー規制が着々と整備されているが、日本では惨憺たる状況にある。「意識低い系」の人が多すぎるのだ。

（注1）CCPAは2020年1月1日に発効したが、その実際の執行は同年2月以降になって2020年7月1日に延期されることになった。

CCPAとGDPRの比較

　ここではまず、CCPAとGDPRとの比較をしてみよう。二つとも、消費者たるオンラインユーザーに対して事業者（GDPRではデータ管理者）やサービスプロバイダー（同データ処理者）が個人データを収集したり管理したりする権利を与える一方で、消費者の個人データ保護を義務づけようとしている。ともに消費者たるオンライン利用者にどんな情報が収集されたり、その個人情報がどのように使われたりしているかを知る権利を認めている。自分のデータ破棄を要求することもできるし、個人情報保護違反で訴えることもできる。

　ただし、事業者などの規制対象には違いがある。個人情報については、CCPAでは、ユーザー識別可能なクッキー（ユーザーのデータを保存するファイル）のようなものを含む情報を指すと広く定義している。

　さらに、CCPAはユーザー・データの会社によるアクセスを許諾したユーザーに割引を申し出るような差別を明確に禁止している。CCPAでは、ユーザーの個人情報を第三者に売却しないよう求める権利（オプトアウト）が認められており、データ売却している企業は、ユーザーが個人情報のオプトアウトを簡単にできるように、自社のホームページで、オプトアウトの権利行使可能なページにつながる「私の個人情報を売らないで」（Do Not Sell My Personal Information）というリンクをはる必要がある。

広がるプライバシー保護規制

　米国では、連邦レベルでも現在、包括的なプライバシー保護法制定の動きがある。たとえば、マリア・カントウェル上院議員の発案のもとに2019年11月、消費者オンライン・プライバシー権利法（COPRA）が提案された。加えて、1998年に制定され、2013年7月1日に修正強化された児童オンライン・プライバシー保護法（COPPA）の保護対象を13歳未満から16歳未満、すなわち12歳から15歳まで引き上げようとする改正の動きもある。

　インドでは、2019年12月11日、個人データ保護法案が下院に提出された。消費者の合意のもとにデータ取り扱いを認めたGDPRの原則に基づいたものとされている。ただし、中国のようにインターネットを当局が厳しく規制する部分もある。

日本における個人情報保護

　日本では、2015年に個人情報保護法が改正され、2017年5月に全面施行された。この日本法では開示請求権というかたちでGDPRの「アクセスの権利」が規定されている。訂正請求権、消去請求権、利用停止請求権がGDPRの「訂正の権利」、「忘れられる権利」、「取り扱いの制限を得る権利」に対応している。

　しかし、個人に認められている「データポータビリティの権利」（自己が管理者に対して提供した自己と関係する個人データを別の管理者に移行する権利）や「異議を述べる権利」がない。施行後3年ごとに「施行の状況についての検討」が加えられることになっているため、2020年に同法の再検討を迎える。すでに、経団連情報通信委員会は2019年3月、「個人情報保護法の3年ごと見直しに向けて」を公表し、過度のプライバシー保護を牽制している。

クッキー規制問題

　日本でも、サイトにアクセスすると、ホップアップでクッキー利用に同意が求められるケースが増えている。これは、EU域内での規制が域外におよんでいる結果と考えられる。

　欧州員会は2002年に「eプライバシー指令」を採択し、電子通信サービスにおけるプライバシー保護ルールを定めた。そのなかで、EU域内のユーザー向けのウェブサイトやモバイルアプリ上でクッキーなどを利用する場合、その目的を開示し、広告などに利用する場合には事前に利用者から同意を得ることが義務づけられている。

　GDPRではクッキーを含むすべての個人情報が適応対象となっているので、事前合意が必要になる。たとえEU域外の日本でも、EU所在のユーザーがアクセスし、サービス提供する場合、クッキー利用の合意がいる。　さらに、GDPRの特別法と位置づけられている、前記のeプライバシー指令をさらに厳格化した「eプライバシー規則」（「クッキー法」と呼ばれている）の制定が進んでいる。

　ところが、日本の個人情報保護法では、クッキーが個人情報であるかどうかが