ITをめぐる法律問題について考える

弁護士水町雅子のIT情報法ブログ

クロミちゃんのお洋服

f:id:cyberlawissues:20200403102838j:plain

家で着るように、クロミちゃんのお洋服を去年の秋冬ぐらいに買いましたが、写真をアップしていなかったので。

ピューロ着にしてもいいかなと思うけど、まあ家着かな。

 

そう、家着が、そこそこサンリオ服だったりするのです。恥ずかしいですね。

でも別に、家で着る服なんて、宅急便以外だれかに見せるわけでもないんだから、好きな服を着たいなと思って、冬以外はサンリオ服がそこそこの割合であります。冬は寒がりなので、超あったか服を着る必要があるので、サンリオではなく、機能性の高い服を着ています(笑)

そろそろあったかくなってきましたので、家着をこのクロミ服に変えようかな。

 

ピューロ着(ピューロランドに着ていく洋服)ですが、意外とピューロはサンリオ服着ている人が少なくて、結構おしゃれをしている女性が多いです。ただ、スパークルとかパレードは、床に直に座ってみるから、スカートだとよくないし、かつお洋服が汚れるので、私的にはあまりきれいな洋服を着る気になれず。女児は、時々サンリオ服を着ている人がいますね。でもそんなに多くない気が。

 

去年ぐらいに思ったのですが、無理してピューロ着を買うよりは、普通の服に、ピューロで売っているキャラクターのぬいぐるみブローチを付けた方が、サンリオ感が出て、かつ洋服としても無理がないような気もしています。ただ、つい習慣なのか、サンリオのアパレルを見るたびに「ピューロ着にいいかな?」とかって思ってしまうのです(笑)

 

しかし、ピューロも当分行かれなそうですね。ピューロは動画も公開してくれて、本当にありがたいです。応援しています。

ナノケアドライヤーがいい感じ

f:id:cyberlawissues:20200403102835j:plain

ドライヤーが壊れてしまいました。

前に、ダイソンのドライヤー、速乾らしいと聞いて買おうかと思ったけど、家に安いけどまだドライヤーがちゃんとあるのに、わざわざ高いお金出してまでダイソンのドライヤーにする必要あるかなとか思って、結局買いませんでした。

 

しかしドライヤーが壊れてしまったので、せっかくの機会ですから、ダイソンかPanasonicSharpのドライヤーを買おうかなと。ダイソンは強風すぎて、Panasonicの方が、いろいろ機能がありそうなので、Panasonicにしました。

なんとなく、髪がしっとりまとまりやすくなった気がします。

私的には、大満足のドライヤーでした!

ビッグデータ分析によるEBPM(エビデンスに基づく政策立案)

www3.nhk.or.jp

 

データ分析等をすることで、根拠に基づく政策立案(Evidence Based Policy Making(EBPM))が実現できるなどと言われていますが、

上記のNHKニュースの記事、まさに実データを分析して、「外出自粛」を要請した効果を検証していて、非常に良い例だと思います。

 

テレビ番組では、街中を取材にいって、どの程度人がいないか、来ている人へのインタビューなどを行っていますが、たしかにそういう映像もインパクトはあるかもしれませんが、すべての場所を網羅しているわけではありませんし、場所ごとの状態・遷移などは詳細にはわかりません。

また、渋谷スクランブル交差点の映像を、過去の人出と比較する映像・写真等もありますが、これも渋谷スクランブル交差点という一地点だけの状態・遷移でありますので、上記のNHKニュースの記事は、カバー範囲が広いので、23区でも、都心部と住宅地の比較ができるなどして、良いと思います。

 

プライバシーインパクトについては、携帯の位置情報データの時点で、どの程度匿名加工がなされているかは不明ではありますが、NHKが一般公開する際に、きちんと粒度の粗い統計情報にしているので、このニュースについては、プライバシー権への配慮とデータ活用が十分両立していて、非常に良い例だと思います。

 

 

※データ出典に「アグープ」とあるようです。検索したら、以下の企業が表示されましたが、この企業のデータを利用しているのでしょうか??

https://www.agoop.co.jp/

 

同社Webサイトを見ると、スマートフォンアプリの位置情報の提供に同意したユーザから、位置情報を取得しているように読めます。

位置情報を外部提供することが十分ユーザ側に説明できていて、真の同意を取得できているか論点となるかと思います。アプリ一覧を見ると、歩数計、ラーメン、Wi-fi検索とかなので、それらのアプリに必要な機能以外のために位置情報を取得・外部提供しているかがユーザから見てある程度容易にわかるかどうかがポイントかなと、ちょっと思いました。

あとは、取得した位置情報をどの程度の強度で匿名化できているのか。50メートルメッシュとか、From-Toをそのまま利用しちゃうと、匿名化とは言えない可能性もあるのではないか、ともちょっと思いました。

詳しくは知らないで、ただ同社Webサイトをちらっと見ただけなのですが。

 

アプリで同意取るっていっても、真の同意か、ユーザがどこに提供されるかを理解しているかっていう問題があるから、そういう意味では、ユーザに明確な明示がされた状態での情報銀行を使うか、又は、ユーザの同意なしに携帯キャリアから情報を取って公益目的に限った活用を公益的組織で行うか、それか完全な統計情報化して商業利用も可能とするかなどで、データ利活用を図るっていうのも、コンプライアンスの観点からはいいのかなと思いました。

 

あとは、同意を得たユーザからの位置情報分析ってなると、そのユーザに偏りがないのか、そのユーザのデータを分析することで一般分析をしているといえるのか、などの問題もあるのかなーとも。

個人情報保護法改正2020の重要ポイント解説(全体編)

個人情報保護法改正2020年のポイント・影響度・実務対応の解説スライドを作成しましたので、PDFにしてブログに張り付けておきます。以下など(https://cyberlawissues.hatenablog.com/entry/2020/03/25/093955)で、スライドを図にしてブログに貼りつけましたが、いちいち張り付けるのも面倒なので、PDFで公開します。追って、もっと詳しいバージョンも公開する予定です。

 

個人情報保護法改正2020年のポイント解説」
2020.1(2020.3改訂)
弁護士 水町 雅子
※令和2年個人情報保護法改正法案はまだ成立していないので、
本資料はあくまで現時点での当職個人の意見にとどまる点に、十分留意されたい

http://www.miyauchi-law.com/f/200325pii2020kaiseigaiyou.pdf

個人情報保護法改正2020の重要ポイント解説(外部提供規制編)

個人情報保護法改正2020年のポイント・影響度・実務対応の解説スライドを作成しましたので、ブログに張り付けておきます。追って、もっと詳しいバージョンをPDFで公開する予定です。

 

まずは、外部提供規制関連です。

 

 

(1)個人情報保護法改正2020(外部提供規制関連)のポイント まとめ

f:id:cyberlawissues:20200325093306p:plain

個人情報保護法改正2020 提供関連論点 ポイント解説

 

(2)個人情報保護法改正2020年 個人関連情報の提供規制 ポイント解説

f:id:cyberlawissues:20200325093422p:plain

個人情報保護法改正2020 個人関連情報の提供規制

f:id:cyberlawissues:20200325093444p:plain

個人情報保護法改正2020 個人関連情報の提供規制

(3)個人情報保護法改正2020年 Cookie等規制 ポイント解説

f:id:cyberlawissues:20200325093713p:plain

個人情報保護法改正2020 Cookie等規制 ポイント解説


(4)個人情報保護法改正2020年 外国提供規制強化 ポイント解説

f:id:cyberlawissues:20200325093739p:plain

個人情報保護法2020年改正 外国提供規制強化 ポイント解説

(5)個人情報保護法改正2020年 オプトアウト規制強化 ポイント解説

f:id:cyberlawissues:20200325093820p:plain

f:id:cyberlawissues:20200325093831p:plain

個人情報保護法2020年改正 オプトアウト規制強化 ポイント解説



(6)個人情報保護法改正2020年 第三者提供/受領時の記録・確認 ポイント解説

f:id:cyberlawissues:20200325093855p:plain

個人情報保護法2020年改正 第三者提供記録 ポイント解説



日本→EEAへの個人データ提供可

EEA→日本への個人データ提供は、日本が十分性認定を取得しているので、GDPR上問題ない。

日本→EEAについても、日本が適切と認めているので、日本の個人情報保護法上問題ない。

 

EEAなのかEUなのかがいまいちよくわかりません。

個人情報保護法ガイドラインには「EU」と書いてあります。

https://www.ppc.go.jp/files/pdf/190123_guidelines02.pdf

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国は、EU が該当する。ここでいう EU とは、「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」(平成 31 年個人情報保護委員会告示第1号)に定める国を指す。
なお、EU の指定は、日 EU 間で相互の円滑な個人データ移転を図るために、欧州委員会による日本への十分性認定(GDPR(※)第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定をいう。)に併せて行ったものである。
(※)個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに指令95/46/EC の廃止に関する欧州議会及び欧州理事会規則(一般データ保護規則)(REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the protectionof natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC(General Data Protection Regulation))

しかし、同告示1号を見ると、ノルウェーリヒテンシュタインアイスランドも入っているので、「EEA」だと思われます。

っていうか、お互いに認定しているから、EEA→日本はOKで、日本→EEA(EU除く)はダメとはできないですよね。ガイドラインで「EEA」って書いていないのには、きっと行政上のなんか理由があるんでしょうね。

https://www.ppc.go.jp/files/pdf/190123_h31iinkaikokuji01.pdf

次に掲げる平成三十一年一月二十三日時点における欧州経済領域協定に規定された国
アイスランドアイルランド、イタリア、英国、エストニアオーストリア、オランダ、キプロスギリシャクロアチアスウェーデン、スペイン、スロバキアスロベニアチェコデンマーク、ドイツ、ノルウェーハンガリーフィンランド、フランス、ブルガリア、ベルギー、ポーランドポルトガル、マルタ、ラトビアリトアニアリヒテンシュタインルーマニア及びルクセンブルク

 

十分性認定あるからよかった!って一見思われますが、そうはいっても、EEAデータを日本から第三国に移転するとかすると、SCCかBCRとかってなったりして、意外と、企業実務上は大変だったりする気がしていますが、グローバルな個人データ移転がある企業はみなさんどうしてるんでしょうか…。意外と、SCC漏れとかってある気がしてしまいますが、どうなんでしょうか。

 

ちなみに、いま個人情報保護法24条改正の資料作成をしていて、その前提として、規則で認められた国をまとめているところです(笑)