個人情報と機密

貼ってよいのかどうか、その場で迷う

顧客からの問い合わせメールを貼り付けて返信案を作らせたい。手が止まるのは、判断の順番を持っていないからです。この回では、何を先に見て、何を後で見るのかという順番を作ります。

似ている用語を先に切り分ける

個人情報保護法まわりの用語は似ていて紛らわしく、そこを狙って出題されます。最低限、次の区別を持っておきます。

要配慮個人情報は、原則としてあらかじめ本人の同意を得ずに取得できないと説明されています。他の個人情報より扱いが厳しい点として狙われます。仮名加工情報と匿名加工情報は、復元できるかどうかで切り分けます。

入力という行為が引っかかるところ

個人情報を扱う事業者には、利用目的をできる限り特定してその範囲を超えて取り扱わないこと、本人の同意なく個人データを第三者に提供しないことが求められると説明されています。この2つが、生成AIの利用と正面からぶつかります。

第一に目的外利用です。契約の履行のために取得した顧客情報を、AIサービスに投げて分析させるという使い方は、当初特定した利用目的に含まれていない可能性があります。

第二に第三者提供です。外部のクラウド型サービスに個人データを入力する行為は、事業者の外へデータを渡す行為にあたりうると議論されています。委託として整理できる場合もありますが、その場合は委託先の監督責任が生じますし、サーバーが国外にあれば外国にある第三者への提供という別の論点も加わります。

第三に、入力したデータが学習に使われるかどうかです。これは法律ではなく契約の話で、同じ事業者のサービスでも無償の個人向けプランと法人向けプランで扱いが違うことがあります。規約を読まないまま「このサービスは学習しないはずだ」と思い込むのが最も危険です。

もう一本、個人情報とは別の軸として営業秘密があります。不正競争防止法で保護される営業秘密には、秘密として管理されていること、事業活動に有用な情報であること、公然と知られていないことという要件があると説明されています。ここで効くのが秘密管理性で、社外のサービスに誰でも自由に貼れる状態を放置していると、秘密として管理されていたと言えるかが揺らぎます。未公開の財務情報や開発中の製品仕様は、個人情報でなくても貼ってよい情報ではありません。

判断の順番は、個人情報か、要配慮個人情報か、会社の秘密か、契約上その入力が許されているか、です。この4つを順に見て、どれかで引っかかったら止めます。線引きは組織ごとの規程にも左右されるので、迷ったら法務部門や弁護士に確認してください。

試験ではこう問われる

• 「入力してよい情報として最も適切なものはどれか」という事例選択が典型です。公開済みの情報や、識別性を落とした情報が正解になります
• 病歴、信条、犯罪の経歴が選択肢に混ざっていたら要配慮個人情報の問題です。本人の同意なく取得できない、が判断の軸になります
• 「匿名化すれば何をしてもよい」は誤りです。氏名を消しただけでは他の情報と照合して個人を識別できる場合があります
• 「入力したデータが学習に使われるかは事業者の規約とプランによる」が正解になります。一律に使われる、一律に使われない、というどちらの断定も誤りです
• 営業秘密の問題では、秘密管理性が要件に含まれる点が問われます。個人情報保護法の話とすり替えた選択肢に注意します