検索結果

企業活動のグローバル化や多様化に伴い、データの流通量が指数的に増加している。2016年の越境データ流通量は2001年の200倍弱、さらに世界のデータ流通量全体では、2021年には、2001年の約1、400倍になるという試算もある。このようななか、個人データの十分な保護を図りつつ、自由でグローバルな流通を確保していくことがますます求められている。

前月号の記事「行動ターゲティング広告と日米欧のプライバシー保護規制(上)」では、行動ターゲティング広告の仕組みと、行動ターゲティング広告に関連するEUのプライバシー保護規制について説明した。今回は、米国における規制について解説する。

今回より、第2回で紹介したデータプライバシー・コンプライアンス体制を構築する際に行う調査の項目に沿って、日本企業にとって重要と考えられる個人情報保護法制を紹介していく。今回は、本年5月27日に本格的に適用開始となるタイの個人情報保護法について解説する。タイの個人情報保護法は、多くの点でGDPRの内容を取り込んでおり、また、違反の態様によっては現地の責任者が身体拘束される可能性のある刑事罰まであるため、タイに進出している日本企業の関心は非常に高い。なお、本稿における条数は、すべてタイの個人情報保護法の条文番号を指す。

行動ターゲティング広告の出現と発展は、パブリッシャー、広告主、ユーザのいずれに対しても利益をもたらしてきた。しかしながら、その一方で、行動ターゲティング広告を可能とするための膨大なユーザデータの蓄積・利用について、ユーザのプライバシーの観点から、多くの問題が指摘されるようになり、世界的に規制を強化しようとする潮流がある。この論稿では、行動ターゲティング広告の仕組みを簡単に説明したあと、行動ターゲティング広告に影響を与えるEU、米国および日本におけるプライバシー規制の概要を、規制強化に向けた動向をふまえつつ解説する。

2018年５月、企業が活用する大量に蓄積された電子データを保護するための改正不正競争防止法（以下「不竸法」という）が成立した。データの保護は古くから議論がされてきたが今般ついに立法化に至ったものであり、今後のデータの不正利用をめぐる実務に大きな影響を与えるものと思われる。本稿ではこの限定提供データ侵害について、実務への影響や対応について概説する。

近時、個人情報の主体である個人の一定の関与のもとで個人情報を第三者に提供する「情報銀行」の仕組みが整いつつある。本稿では、情報銀行から個人情報の提供を受ける事業者（提供先事業者）の義務として留意すべきものを現時点で公表されている情報から整理した。

第１回では、各国での個人情報保護法制の厳格化・執行強化の動きと、そのような動きをふまえたグローバルでのデータプライバシー・コンプライアンス体制の構築の必要性について述べた。第２回では、実際にどのようにデータプライバシー・コンプライアンス体制を構築するかについて述べたうえで、体制構築のために必要な各国の個人情報保護法制の調査の視点について、若干のコメントを行う。

近時、各国の個人情報保護法制の厳格化・執行強化の動きが指摘され、グローバルでのデータプライバシー・コンプライアンス体制の構築を重要課題として掲げる日本企業が増えてきている。本連載では、その構築のための基礎知識と、日本企業が特に関心を有している法域における個人情報保護法制の概要について紹介する。

GAFAによる大量の個人情報等の取得・活用に対する懸念を背景に、個人情報・プライバシー保護の強化が世界的な潮流となっている。本稿では、欧州におけるGDPR違反に基づく執行事例、米国におけるCCPAの制定、そして日本における独占禁止法の新しい指針(案)の公表や個人情報保護法のいわゆる3年ごと見直しなど、個人情報の取扱いに関連する法規制の国内外の動向について概観する。

2020年1月に施行が迫ったCaCPAは、域外適用や親会社への適用ルールが設けられていることもあり、影響を受ける国内企業も少なくないにもかかわらず、その適用範囲については依然として明確になっていない。加えて、CaCPAの法文自体が、2019年10月まで改正手続きが進められていた。また、そのルールは、GDPRと似ているようで、適用範囲も対象も、権利行使に対して企業が求められる対応も異なっており、GDPRに対応済みであるからといって、決して安心できない状況にある。本稿では、CaCPAの立法の最新動向をまずは紹介したうえで、企業が求められるCaCPA対応のポイントを、GDPR・日本法との比較を交えて概説する。

わが国の個人情報保護法制の現行の枠組み作りは1999年に開始され、世紀をまたいで2003年に一応の完成をみた。

本稿では、個人情報保護委員会が2019年4月25日に公表した「個人情報保護法いわゆる3年ごと見直しに係る検討の中間整理」をふまえ、いわゆる「忘れられる権利」を中心に、欧州連合(EU)の議論動向に触れつつ、現行法の位置づけ、関連する裁判例、適用主体、適用条件、地理的範囲、表現の自由との調整等に触れつつ、立法化を巡る今後の方向性を論じる。中間整理が、利用停止等に関する個人の権利範囲拡大をいわゆる「忘れられる権利」に及ぼすことを仮に含意しているとしても、慎重かつ分析的な検討が求められる。

大手金融機関、大手ベンダーなどが手を挙げ、情報銀行の認定がなされビジネスが始まりつつある。2017年2月に内閣官房IT総合戦略室「データ流通環境整備検討会」より「AI、IoT時代におけるデータ活用ワーキンググループ中間とりまとめ」が公表され、情報銀行の認定スキーム構築に向けた土台となる議論がなされた。

平成31年1月23日付けで、欧州委員会の日本に対する「十分性認定」が発効するとともに、個人情報保護委員会の「補完的ルール」の施行が始まった。本稿においては、日本企業が、十分性認定以後にどのようにGDPRと個人情報保護法に対応することが求められるかについて解説する。

「AI・データの利用に関する契約ガイドライン」(以下「契約ガイドライン」という)においては、AI技術を利用したソフトウェアの開発契約とAI技術の利用契約の2類型が示されているところ、本稿では、前者の開発契約について、実務上一定の様式が定まりつつある従来のソフトウェア開発契約との比較を行いつつ、検討していく。Iでは従来のソフトウェア開発契約との相違点をふまえた一般論についての解説、IIではケーススタディに基づく一般論の具体化について述べる。

データは無体物であり、民法上、所有権や占有権等の対象とはならないため、所有権等の概念に基づきデータの権利の有無を定めることはできない。また、一定の要件を満たさない限り、特許権、著作権等の知的財産権が発生しないし、営業秘密や限定提供データとして不正競争防止法で保護されるものでもない。したがって、取引されるデータ一般につき保護を受けるためには、当事者間の債権債務として契約で規定する必要がある。そのうえで、さらに不正競争防止法の営業秘密や限定提供データとして、あるいは著作権や特許権等で契約以外に上乗せして保護されるか、と考えるのが素直だと思われる。

プライバシーポリシーについては、わが国の個人情報保護法に直接的な規定がないこともあり、その性質について詳らかでない面もあるが、一般的に、個人情報の取扱いに係る実務について、個人情報の主体に対して情報提供を行うための有力なツールであるということには、異論のないところと思われる。そのような性質を有するプライバシーポリシーは、法の規定内容に応じてその内容を見直すべきものであるという前提に立ち、プライバシーポリシーに関係する法制度の改正動向を概観する。

日本の個人情報保護法において、プライバシーポリシーの策定それ自体は義務づけられていないが、同法の義務を遵守するための合理的な手段として広く用いられている。近時、個人情報保護法の改正が行われたため、今一度自社のプライバシーポリシーが同法に対応しているか記載を見直す必要がある。本稿においては、個人情報保護法の平成27年改正をふまえ、同法に対応したプライバシーポリシーを作成するための基本的な考え方を解説する。

近時、日本企業においては、日本の個人情報保護法に対応することだけでなく、外国の個人情報保護法制にも対応することが求められている。外国の個人情報保護法制に対応する際には、企業とその取り扱う個人情報の主体との間の最初の接点となる「プライバシーポリシー」を、外国法をふまえて検討することが基本的な対応になる。本稿においては、プライバシーポリシーのGDPR対応を例として、外国の個人情報保護法制への実務対応を解説する。

本年6月に経済産業省が公表した「AI・データの利用に関する契約ガイドライン」(以下「契約ガイドライン」という)では、AI・データの契約実務に着目し、その集積が少ないことから想定外の問題を生じかねないとして、交渉時の検討事項や契約ひな形が示されている。AI・データの利用が企業活動において特別ではなくなった昨今、どの企業もこれらに関する契約に直面し得る。しかし、契約ガイドラインが前提とするとおり標準的契約がないことに加え、「AI」、「データ」という何やら新しいテーマが与える「従来の企業活動で取り扱ってきた契約と異なる特殊な取決めが必要なのではないか」という戸惑いも影響してか、契約の目的を達成し得るか疑わしい契約書にしばしば遭遇する。そこで、本号から3回にわたって、AI・データにまつわる契約実務について、初回となる本稿では契約ガイドラインを実務で活用するためのポイントを、第2回・第3回ではAI・データの利用に関する事例も交え、AI・データの利用に関する契約の勘所をお示しする。

本年6月に経済産業省が公表した「AI・データの利用に関する契約ガイドライン」(以下「契約ガイドライン」という)では、AI・データの契約実務に着目し、その集積が少ないことから想定外の問題を生じかねないとして、交渉時の検討事項や契約ひな形が示されている。AI・データの利用が企業活動において特別ではなくなった昨今、どの企業もこれらに関する契約に直面し得る。しかし、契約ガイドラインが前提とするとおり標準的契約がないことに加え、「AI」、「データ」という何やら新しいテーマが与える「従来の企業活動で取り扱ってきた契約と異なる特殊な取決めが必要なのではないか」という戸惑いも影響してか、契約の目的を達成し得るか疑わしい契約書にしばしば遭遇する。そこで、本号から3回にわたって、AI・データにまつわる契約実務について、初回となる本稿では契約ガイドラインを実務で活用するためのポイントを、第2回・第3回ではAI・データの利用に関する事例も交え、AI・データの利用に関する契約の勘所をお示しする。

データを活用する企業がユニコーン企業として注目され、GoogleがガーナのAI研究拠点開設予定を公表し(アフリカ進出)、また、三菱UFJ信託銀行が情報信託銀行の実証実験を行うなど、データ利用に関するニュースを見ない日はない。他方で、EU一般データ保護規則(GDPR)の施行や、Facebookのデータ流用への世間の反応にみられるように、データについて考えるとき、利用とともに保護の側面に光が当たる。データは、産業構造までも変革させ得る新たな資源となり得るが、データ主体が観念される個人情報、パーソナルデータ(以下「個人情報等」という)を利用するとき、保護の観点を忘れてはならない。

世界的に自動運転の開発競争は激しさを増しており、実証実験も国内・海外問わず多く行われている。他方で、ウーバー・テクノロジーズ社の実証実験中の事故を受けて、自動運転車の事故における責任についても関心が大きくなっている。このようななか、日本政府は、2018年3月20日に「自動運転における損害賠償責任に関する研究会」報告書を、4月17日に「自動運転に係る制度整備大綱」を公表するなど、制度整備に本格的に取り組み始めている。本稿では、自動運転に関する制度整備の最新動向と今後の方向性についてお伝えする。

いまや猫も杓子も街頭や電車内でスマホをいじくるなど、IT(情報技術)やICT(情報通信技術)の利活用が幅を利かせており、それらが絡んだ法律紛争も増加して当然だ。現に判例でも立法でも、その多くがIT・ICTに関連する。

機械学習・深層学習を利用したソフトウェア(以下「AIソフトウェア」という)の開発については、権利関係・責任関係についての確立した法解釈や契約慣行がないため、開発契約交渉が難航したり頓挫したりするケースなどがままある。本稿は、経済産業省が公表した「AI・データの利用に関する契約ガイドライン(AI編)」(案)(以下単に「ガイドライン」という)を題材に、AI開発契約実務の課題と解決の方向性について解説するものである。

平成29年5月26日付けで成立した銀行法の改正(以下「改正銀行法」という)が平成30年6月1日付けで施行された。同法の施行により、いわゆる「銀行によるオープンAPI」を利活用して金融サービスを提供する、「電子決済等代行業」という新たな業種が新設された。電子決済等代行業者は、各銀行にユーザーが開設した口座を介して、ユーザーからの委託を受け、後述の「決済等指図サービス」と「口座情報取得サービス」を行うことができる。同法の施行にあわせて、同日にて、改正銀行法に対応する銀行法施行令(以下「施行令」という)、銀行法施行規則(以下「規則」という)も施行され、これらに対するパブリックコメントの結果も公表された。

GDPR(EU一般データ保護規則)はEU各国に直接適用されるデータ保護法である。GDPRの義務に違反した場合、巨額の制裁金を科される可能性があるため、グローバルに事業を展開している日本企業においては、平成30年5月25日のGDPRの適用開始までに対応することが求められている。日本企業において特に検討すべきポイントとしては、1自社にGDPRが適用されるか否か、2自社がEUの個人データの第三国移転を受けるか否かという点であり、これらの点を把握したうえで対応を行うことになる。

HRテクノロジーとは、HumanResource(人事)に関するテクノロジーのことである。経済産業省によれば、「人事評価や採用、人材育成等へのAIの活用やIoTによる労務管理、ビッグデータを活用した人材運用など企業における人事機能の向上や、ウェアラブル等のデバイスを活用して働き方の進化を実現する」サービスとされる。すなわちIoT(インターネット・オブ・シングス)を利用してこれまで以上に求職者等や従業員の情報を収集したうえで、AI(人工知能)を導入・分析し、経営における人事面の判断に活かそうという動きである。本稿では、採用、人事評価、人材育成にHRテクノロジーを活用する際の法的課題について、特に個人情報・プライバシーとの関係を概観する。

FrontierTechとは、「Frontier」と「Technology」をかけあわせた造語であり、宇宙やドローン、VR等の新しい領域における最先端のビジネスを総称する単語として用いられている。SpaceX、BlueOrigin、OneWeb......世界では、政府機関を離れて、民間による宇宙ビジネスへの進出が本格化し、その生態系が確立しつつある。そんな中、昨今、日本でも、インターステラテクノロジズ、インフォステラ、アストロスケール、ispace......といったベンチャー企業による宇宙ビジネスへの進出が目立つようになってきている。もっとも、日本において宇宙に関する法整備はまだ始まったばかりであり、他の先進国に比べて、法的な対応は遅れている。そこで、本稿ではFrontierTechの中の宇宙に関するビジネスを取り上げ、日本の現状と問題点について、法律の観点から検討してみる。

個人情報の保護に関する法律(以下「個人情報保護法」または単に「法」という)は、個人情報保護に対する意識の高まり等を理由として、2003年に成立したが、情報通信技術の発達等の社会の変化に対応するとともに、パーソナルデータの利活用を促進するために、2017年5月に従来の内容を大幅に改正する改正法(以下「改正法」という)が施行された。以下では、個人情報保護法の大枠を説明したうえで、改正されたポイントの要点について概説する。

Auto Techとは、「Automotive」と「Technology」をかけ合わせた造語であり、 自動運転技術やライドシェアをはじめとするITやAIを活用した自動車産業の先進的な取組みをいう。自動車分野は、他の技術分野と比較して安全確保や責任の所在の明確化の要請が強く、技術の活用には法律論の検討も切り離せない。本稿では、自動運転とシェアリングエコノミーに関する法的整理を中心に、Auto Techについて概観する。

2020年１月に施行されたカリフォルニア州消費者プライバシー保護法は、アメリカ合衆国で初めての包括的な個人情報保護法である。同法は、カリフォルニア州の住民である「消費者」に対して、①開示請求権、②削除請求権、③個人情報の販売からのオプトアウト権、④権利行使による差別を受けない権利等を与え、事業者に対し、情報提供、権利行使への対応などの義務を課すものである。

カリフォルニア州消費者プライバシー法（California Consumer Privacy Act of2018、以下「CCPA」という）は、カリフォルニア州内の法人に限らず、カリフォルニア州内に拠点を持たずに事業活動を行っている日本企業や日本の親会社にも適用される可能性がある。すでにCCPAの適用を受けることを前提に対応を進めている日本企業も多くみられるが、その一方で、自社またはそのグループ企業においてCCPA対応を行う必要があるか判断に迷うケースも少なくないように思われる。本稿では、CCPA対応に関する検討の入り口である、適用範囲および適用除外について、実務上の留意点も交えつつ概説する。

CCPAの対象となる事業者には数多くの義務が課せられるため、組織全体にあるカリ フォルニア州住民の個人情報を把握したうえで対策を立て、必要な措置を講じていくこ とが重要である。

米国のカリフォルニア州消費者プライバシー法（CCPA）が2020年１月１日に施行を迎えた。最終規則のパブリックコメントの募集も終わり、カリフォルニア州司法長官によるCCPAの執行が可能となる2020年７月１日までのカウントダウンが始まっている。本稿では、楽天がEUの一般データ保護規則（GDPR）対応から学んだことも含め、CCPAにどのように対応を実施したのかを説明する。説明には実施した対応の背景にある考えにも焦点を当てた。所属する組織は違うとしても、同じくCCPA対応を進める方々、または進めようとしている方々にとって何か役立つ考えを共有できれば光栄である。

平成26年に、ベネッセコーポレーション(以下「ベネッセ」という)から、顧客情報2、989万件1が漏えいする事件が発生した。システム開発の再々委託先の従業員(以下「漏えい者」という)が、データベースから情報を複製し、名簿業者に売却したことによるものであった。

AIという用語は、「人工知能」という表記をしなくても一般に理解されるようになりつつあり、第3次AIブームではAIの進化が目に見えて急激に進みつつある。AIを利用したさまざまなサービスの実装、自動走行システムによる自動運転車の普及に向けた取組みをはじめとして、AIが搭載されたロボット、掃除機やAI搭載スマートスピーカーなどの家電製品、ソニーのaiboも復活するなど、日常生活でAIが利用される場面が増えつつある。音声認識ツールでは法律の専門用語であってもかなり正確に入力され、翻訳精度も飛躍的な向上が見られる。パソコンのキーボードを高速でブラインドタッチできる能力や語学力などは、AIを活用したさまざまな機能を活用することで将来的には不要になるのではないだろうか。

憲法の基本原理は、国家活動だけでなく、法律および裁判所による法律解釈を通じて私企業の経済活動をも拘束する(一般に憲法の私人間効力と言われる)。たとえば、企業の経済活動に適用される男女雇用機会均等法は、1条で、「この法律は、法の下の平等を保障する日本国憲法の理念にのっとり雇用の分野における男女の均等な機会及び待遇の確保を図る......」と規定する。企業は、同法を通じて憲法の平等原則を実現することが要請されていると言えよう。

本特集は「AI(人工知能)」を標題に掲げているが、AIは第4次産業革命ともいわれる今日の大変革の(重要ではあるが)一部に過ぎない。IoT(モノのインターネット)、3Dプリンタ、ロボット、ビッグデータ、クラウドソーシング、モバイルコミュニケーション、遠距離データ通信等々、膨大なバズワードが知的世界を飛び交っている。その中で近年世界中で注目を集めているのが、これらによって労働のあり方自体が大きく変わっていくのではないか、それに対して労働法制はどう対応していくべきなのか、という問題である。

社会に発生するさまざまな危険に対して、行政規制は業法、危険物規制、施設基準等を事業分野に応じて組み合わせることで安全を確保している。すでに生じつつある変化とAIの特質から、横断的課題を予想し、行政規制に期待される役割を検討しよう。

AIや、AIを搭載したロボットには、開発者でさえも予想できない動作をすることが避けられないという本質的な特徴(予測不能性)があると考えられている。民法の不法行為法は、過失責任の原則を取っており、ここにいう過失とは、予見可能性を前提とした結果回避義務違反である。そうすると、AIやロボットの想定外の動作により損害が生じた場合には、その利用者や開発者に予見可能性が認められず、結果的に被害者が誰に対しても不法行為責任を追及できない事態(「責任の空白」)が生じる可能性がある。

2016年5月に施行された欧州連合(以下「EU」という)の個人情報保護法であるGeneralDataProtectionRegulation(一般情報保護規則、以下「GDPR」という)は、本年5月25日から適用が開始された。筆者はこれまで100社近くの日系企業に対して、GDPRに関するさまざまなアドバイスを提供してきており、他のGDPRの"専門家"によるアドバイスに触れる機会が多々ある。当然、GDPRの内容を正しく理解している"本当の専門家"によるアドバイスもあるが、なかには、残念ながら"名前だけの専門家"によるアドバイスも多数見受けられる。GDPRの条文や関連するEUの判例・ガイドラインをきちんと読まずに、二次的なソースに頼っているからか、誤解や間違った解釈に基づいて行われているアドバイスが多い。本稿では、このようなGDPRの誤った解釈の例をいくつかあげ、それに関してGDPRと関連する判例・ガイドラインに基づいたより正確な情報を提供することで、日系企業が正しいGDPRのコンプライアンスを確立するための一助となればと考えている。

昨今のAIブームの火付け役となったのは、機械学習という方法の中の、深層学習(ディープラーニング)という手法が登場したことによる。深層学習を含む機械学習においては、いわゆるビッグデータを用いて、特定の機能を持たせることを目的として学習を行い、いわゆる「学習済みモデル」を生成する。この学習済みモデルに新たなデータや指示を入力することで、AIは「AI生成物」を出力する。

前々月号および前月号では、行動ターゲティング広告の仕組みと、行動ターゲティング広告に関連するEU、米国のプライバシー保護規制について説明した。今回は、日本における規制について解説する。

金融における財務分析による投資判断やリスク管理は、単純化していえば数字のパターン分析と呼べるものであり、人工知能(以下「AI」という)が話題になる以前から長年営まれてきた。そして、金融業において、人工知能が大きなインパクトを持つのは、ビッグデータの分析によって新たなパターンをより精緻に認識・予想することが可能になるからであると考えられる。

テクノロジーの進化が著しい昨今、既存ビジネスもテクノロジーにより進化しているが、このような新たなビジネスでは、既存ビジネスでは検討する必要がなかった法的論点にも気を配る必要がある。そこで、本号から6回に分けて、「6tech法務の新潮流」と題して、事業者が知っておくべき法的論点を紹介する。

自動運転車に関する刑事責任、特別刑法、サイボーグ刑法、自律型ロボット兵器に対する規制、ロボットやAIを責任主体とすべきか等さまざまな問題がある中で、本稿では紙幅の関係で、刑事手続法についてのみ検討する。

HealthTechとは「、Health」と「Technology」をかけあわせた造語であり、一般的には、医療現場のテクノロジーによる革新や、個人の健康管理を、それぞれの生活スタイルなどに応じてより個人の状況にフィットした形で行うことを目指すビジネス領域を総称したものをいうとされている。HealthTechとして我々にも馴染み深いのは、健康管理ツールであろう。歩数や摂取・消費カロリー、睡眠時間などがテクノロジーにより管理され、それが可視化されることにより、自身の健康状態を客観的に確認することができる。これにより、容易に健康管理を行うことができるようになった。しかし、HealthTechの潮流は、これにとどまらない。