パーソナルデータ保護の課題と国際情勢2013

パーソナルデータ保護の課題と国際情勢 2013

EU, USA, と日本

Gohsuke Takama / 高間剛典, Meta Associates, 2013年10月

Ver1.0b

Gohsuke Takama

http://www.slideshare.net/gohsuket

1

about…

✴ Gohsuke Takama / 高間剛典, Meta Associates http://www.meta-associates.com/✴代表, ITセキュリティ・データプライバシー・コンサルタント

✴国際プロジェクトコーディネート, 国際調査研究✴ セキュリティ国際会議/セミナーの日本側制作運営: Black Hat Japan, PacSec

✴ 海外専門家招聘によるセキュリティ監査運営 (ネット企業, エネルギーインフラ企業, 等)

✴ 緊急事態シミュレーション・テーブルトップ演習等の企画・実施運営 (電機メーカー等)

✴ 国際調査訪問: DHS, NIST, NERC, EPRI, Stanford Research, Sandia研, Bell研, ISAC Council, John Arquilla(NPS米海軍大学院), Richard Clarke, John Tritak, Paul Kurtz (Good Harbor Consulting)

✴ 調査報告書: 総務省「電子政府・電子自治体のプライバシーに関する調査研究報告書」「住民のプライバシーの保護に関する新しい考え方と電子自治体におけるそのシステム的な担保の仕組みについての研究会報告書」, エネルギーインフラ企業, テレコム企業, 他

✴ 海外セキュリティ企業の日本窓口: Patch Advisor(セキュリティ監査), SecWest (セミナー)

✴ ITセキュリティ, データプライバシーに関する戦略分析・ディレクション(電機メーカー等)

✴ レクチャー: CodeGate2008 (韓国), 日本弁護士連合会人権シンポジウム (2002, 2010), 他✴ セキュリティメディアでの執筆: http://blog.f-secure.jp/ http://scan.netsecurity.ne.jp/

✴ Privacy International, London, UK アドバイザリー役員 http://www.privacyinternational.org/

Gohsuke Takama

2


EU, USA, と日本

✴ 「パーソナルデータ」とは何か✴ 「個人情報」とは、どのように違うのか

✴ EUデータ保護指令とは何か✴ EUデータ保護指令の改正案「総合データ保護

規則」はどのようになるのか✴プライバシーコミッショナー制度とは何か

✴EUパーソナルデータの越境問題とは何か✴「メタデータ」とは何か

✴サーベイランス問題とデータ越境の関係はGohsuke Takama

3

Gohsuke Takama

http://itpro.nikkeibp.co.jp/article/COLUMN/20130827/500450/


Suicaデータ販売問題

4

EU vs. USA& Japan

Data PrivacyデータプライバシーでのEUとUSA

...そして日本

Gohsuke Takama

Ver0.8

5

データプライバシーでのEUとアメリカ...そして日本

✴ 2012年1月25日: EU General Data Protection Regulation(EU総合データ保護規則)へ改正案発表

✴ 2012年2月23日: Consumer Privacy Bill of Rights (消費者プライバシー権利章典)をオバマ政権が発表

✴ 2012年3月19日: EUとUSAが協議、Safe Harbor合意継続の方向で共同声明

✴ 2013年5月31日: EU GDPR法案の修正案発表✴ 2013年10月21日: EU LIBE委員会での投票で可決✴ 2013年10月: European Councilとの合意目指し、

2014年EU議員選挙前にEU議会で可決目指す✴ 2013年10月25日: EUサミットで英首相が2015年

へ延期説得したが...Gohsuke Takama

Ver0.8

6


Gohsuke Takama

Ver0.8

EUデータ保護指令95/46/EC(10-24-1995)

EU総合データ保護

規則案(1-25-2012)

USA消費者プライバシー

権利章典(2-23-2012)

Japan個人情報保護法

7


2000199019801970 2012

USA消費者プライバシー権利章典

(2-23-2012)

•メインフレーム•ターミナル

•PC•スーパーコンピューター

•PC•インターネット•データセンター

•モバイル•ソーシャルメディア

Gohsuke Takama

Ver0.8

OECDプライバシーガイドライン

EUデータ保護指令95/46/EC(10-24-1995)


規則案(1-25-2012)

EUプライバシーと電子通信指令2002/58/EC

Japan個人情報保護法

•クラウド•ビッグデータ•メタデータ

8


2000199019801970 2012


EUデータ保護指令95/46/EC(10-24-1995) Japan

個人情報保護法





USAプライバシー法情報公開法

USA健康保険可搬性責任法(HIPAA)

USA児童オンラインプライバシー

保護法

USA電子通信プライバシー法

USA電話消費者保護法

とはいえUSAは、包括的なプライバシー保護法制は無いが、個別法はたくさん作って来た

Gohsuke Takama


規則案(1-25-2012)


(2-23-2012)

Ver0.8



9


2000199019801970 2012


EUデータ保護指令95/46/EC(10-24-1995) Japan







USAプライバシー法情報公開法

USA健康保険可搬性責任法(HIPAA)

USA児童オンラインプライバシー

保護法

USA電子通信プライバシー法

USA電話消費者保護法

Gohsuke Takama


規則案(1-25-2012)


(2-23-2012)

Ver0.8

•Personal Data•WEF•Personal Data: The New Oil

•Personal Data•http://www.oecd.org/internet/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonaldata.htm


•Personally Identifiable Information (PII)•個人を特定可能な情報

•Personal Data

•パーソナルデータ個人情報

•Meta Data

10

EUのプライバシー保護法制 vs USAのプライバシー保護法制

"どこが違うのか?""何が求められているのか?"

"日本はどうするのか?"

Gohsuke Takama

Ver0.8

11


Gohsuke Takama

EUデータ保護指令(EUDPD) 95/46/EC

各国法

各国法

各国法

各国法

各国法

EU USA

基本法制?

個別法

個別法

個別法

個別法

個別法

•EUのプライバシーの権利の考え方は、欧州人権条約(ECHR)を基礎にしている•なのでプライバシーは人権•EU加盟国ごとのデータ保護法が少しずつ違っているので、国間の相互運用に食い違いが起きる

•USAのプライバシーの権利の考え方は、合衆国憲法の修正4条、修正1条、修正5条などを基礎にしている•なので、どちらかというと個人の自衛権の視点強し•実務的には消費者保護の観点

Ver0.8

12


Gohsuke Takama


各国法

各国法

各国法

各国法

各国法

EU USA

基本法制?

個別法

個別法

個別法

個別法

個別法

•Federal Trade Commission Act 1914•Fair Credit Reporting Act 1970•Privacy Act 1974•Family Educational Rights & Privacy Act 1974•Freedom of Information Act 1974•Foreign Intelligence Surveillance Act 1978•Right to Financial Privacy Act 1978•Privacy Protection Act 1980•Cable Communications Policy Act 1984•Electronic Communications Privacy Act 1984•Video Privacy Protection Act 1988•Employee Polygraph Protection Act 1988•Telephone Consumer Protection Act 1991•Driver's Privacy Protection Act 1994•Telecommunications Act 1996•Children's Online Privacy Protection Act 1998•Financial Modernization Services Act (GLB) 1999•Health Insurance Portability & Accountability Act 2002 (1996)

•USAは、包括的なプライバシー保護基本法制は無いが、個別法はたくさん作って来た•USAには、州ごとのプライバシー保護法もある

Ver0.8

13


Gohsuke Takama


各国法

各国法

各国法

各国法

各国法

EU USA

基本法制?

個別法

個別法

個別法

個別法

個別法

Safe Harbor合意 FTCによる消費者プライバシー保護活動

DPA DPA DPA DPA DPA

DPA = Data Protection Authority (プライバシー)データ保護監督機関

EUデータ保護指令とUSAのプライバシー法制は整合しないが、Safe Harbor合意ができたことで、EU市民のデータのUSAへの移動を認めた

Ver0.8

USAは、DPAは置かないが、FTCに訴訟という武器を使った取締力を持たせている→それによりEUとのSafe Harbor合意を取り付けた

14


と日本

Gohsuke Takama

個別法

個別法


省庁ガイドライン

Japan

自治体条例

自治体条例

自治体条例


各国法

各国法

各国法

各国法

各国法

EU USA

基本法制?

個別法

個別法

個別法

個別法

個別法

DPA DPA DPA DPA DPA



•日本にはDPA(プライバシーデータ保護監督機関)もFTCに相当する機関も無い•個人情報保護法は、プライバシー保護法ではない•日本ではプライバシーの権利は規定されていない (→憲法13条を基礎にする説が一般的[暗黙の前提なので通常論じられない] / 憲法25条も視野の説もある)

FTCによる消費者プライバシー保護活動

←OECDプライバシーガイドラインに揃えたという

Ver0.8

Safe Harbor合意

←各省庁プライバシーガイドラインと、2000以上の自治体の個人情報保護条例はそれぞれ微妙に違い、整合が取れていない

↓EUデータ保護指令から見て日本の個人情報保護法は不充分なため、EUは日本をEU市民のデータを移動して良い国と認めていない

15


Gohsuke Takama

EU総合データ保護規則(EU GDPR)(1-25-2012)

加盟国DPA

加盟国DPA

加盟国DPA

加盟国DPA

加盟国DPA

EU USA

包括法?

個別法

個別法

個別法

個別法

個別法

消費者プライバシー権利章典(CPBoR)(2-23-2012)

EUデータ保護役員会(EDPB)

新しいEUデータ保護規則は、EUデータ保護指令よりも強い執行力を持つ

http://www.whitehouse.gov/sites/default/files/privacy-final.pdfhttp://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_en.pdf

FTCによる消費者プライバシー保護活動

Safe Harbor合意Safe Harborは継続の方向へ (3-19-2012)ただしUSAが章典から法制化へが前提しかしNSA監視暴露によりEUは態度硬化

Ver0.8

16


SWIFT 事件

Gohsuke Takama

Ver0.8

http://www.nytimes.com/2006/06/23/washington/23intel.html?pagewanted=all&_r=017


SWIFT 事件

Gohsuke Takama

Ver0.8

http://europa.eu/rapid/press-release_MEMO-07-266_en.htm18


NSAのSWIFTハッキング事件

Gohsuke Takama

Ver0.8

http://www.theregister.co.uk/2013/10/24/european_parliament_votes_to_suspend_datasharing_with_us/

19

パーソナルデータとは何か?パーソナルデータ ≠ 個人情報

Gohsuke Takama

Ver0.8

何が「パーソナルデータ (プライバシーデータ)」にあたるのか？

→EUもUSAも個人を特定できることに関するデータをすべて対象にしている

→「パーソナルデータ」と、日本の個人情報保護法でいう「個人情報」は定義の範囲が違っている

USA消費者プライバシー権利章典→

EU総合データ保護規則→

→日本の個人情報保護法ではEUとUSAのパーソナルデータ保護に対応できない

→そのため本人自身が登録したデータ、管理用のデータ、演繹生成のメタデータを全て含みうる

20

EU Data Protection DirectiveEUデータ保護指令

Gohsuke Takama

Ver0.8

http://ec.europa.eu/justice/policies/privacy/docs/95-46-ce/dir1995-46_part1_en.pdf21


立場の定義

Gohsuke Takama

Ver0.8

Data Subjectデータ主体

Data Controllerデータ管理者

Data Processorデータ処理者

パーソナルデータデータ主体の

パーソナルデータ

コンセント

Personal Data Filing Systemパーソナルデータファイリングシステム

Processing of Personal Dataパーソナルデータの処理

自身のデータへの

アクセス権

22


パーソナルデータのEU域外第三国への移動の制限

Gohsuke Takama

Ver0.8

EU市民パーソナルデータ

Safe Harbor合意

23


Data Protection Supervisory Authority データ保護監督局(プライバシーコミッショナー)

Gohsuke Takama

Ver0.8


Data Protection Authorityデータ保護監督局


政府　　　　　企業クレーム提起

Personal Data Filing Systemパーソナルデータファイリングシステム

データ主体のパーソナルデータ

コンセント

自身のデータへのアクセス権

調査権限・運用監視権限・介入権限・法的手続きへの関与

データ主体とデータ管理者との紛争解決

EU域外第三国へのパーソナルデータ移動許可(ドイツ, GDPR)

24


Data Protection Supervisory Authority データ保護監督局(プライバシーコミッショナー)

Gohsuke Takama

Ver0.8

http://www.nhk.or.jp/wisdom/index.html25

USA Consumer Privacy Bill of RightsUSA 消費者プライバシー権利章典

Gohsuke Takama

Ver0.8

http://www.whitehouse.gov/sites/default/files/privacy-final.pdf26

USA Consumer Privacy Bill of RightsUSA 消費者プライバシー権利章典

• FTCによる消費者プライバシー保護の強化

• 個人のパーソナルデータのコントロール権

• 透明性: プライバシーとセキュリティ順守状況

• コンテキストを尊重した収集・利用・開示

• パーソナルデータ取扱のセキュリティ希求権

• 自身のパーソナルデータへのアクセス, 修正権

• 事業者が収集するデータの適切な範囲の限定

• 事業者の説明責任

• マルチステイクホルダーに基づく運用

Ver0.8

Gohsuke Takama

27

EU General Data Protection RegulationEU 総合データ保護規則

Gohsuke Takama

http://www.janalbrecht.eu/fileadmin/material/Dokumente/DPR-Regulation-inofficial-consolidated-LIBE.pdf

Ver0.8

28


• データ保護適用テリトリーのEU外への拡大

• EU加盟国間でのデータ保護レベルの均一化

• Pseudonymous Data(仮名化データ), 暗号化データ, 遺伝子データ, バイオメトリックデータ, Re-Identify(再特定化)などを定義

• データ主体との明確(Un-ambiguous)なコンセント

• 自身のデータの消去を求める権利の設定

• プロファイリングの制限

• 規則違反への罰金: €1億か全世界売上の5%

Ver0.8

Gohsuke Takama

29


• EU域外へのデータ移動は監督局の許可が必要

• Data Protection Seal(データ保護標章)の用意

• Binding Corporate Rules(拘束的企業ルール)によるデータ保護ポリシー設置

• Data Protection by Design設計によるデータ保護

• 事前のデータ保護影響評価(DPIA)と2年に1度以上の運用レビュー

• 12ヶ月間5千人超扱うデータ処理事業に監督者

• EU Data Protection Board (EUデータ保護役員会)の設置

Ver0.8

Gohsuke Takama

30


なぜいま改正するのか?

Gohsuke Takama

http://www3.weforum.org/docs/WEF_ITTC_PersonalDataNewAsset_Report_2011.pdf

Ver0.8

31

ソーシャルメディアの台頭Ver0.8

32

"real world vs. social data world"現実世界とソーシャル・パーソナルデータ世界

現実世界ソーシャル・パーソナルデータ世界

Ver0.8

Gohsuke Takama

33

"real world vs. social data world"現実世界とソーシャル・パーソナルデータ世界 Ver0.8

34

Gohsuke Takama

http://www.youtube.com/watch?v=F7pYHN9iC9I


ビッグデータ解析とパーソナルデータ保護の衝突Ver0.8

35

"real world vs. social data world"現実世界とソーシャル・パーソナルデータ世界 Ver0.8

36

Gohsuke Takama

https://www.recordedfuture.com/rf/s/2z0Cm4


ビッグデータ解析とパーソナルデータ保護の衝突Ver0.8

37

"Identity" Lost in Translationアイデンティティと個人の特定性本人確認、本人証明、認証とは何か?

技術者法律家

政策立案者一般の人々

"はたして同じ理解をしているのか?"

Gohsuke Takama

Ver0.8

38

identity, entity, relationship

me{Attributes}

me = entity

me = data subject

"Identity"アイデンティティと個人の特定性

自分{属性}

自分 = 存在するもの、実体

アイデンティティ、存在するもの、関係性

自分 = データ主体

Ver0.8

Gohsuke Takama

39


• Identity = 本人性、自己同一性(心理学)、身元

• Identify = 本人確認、特定する、名乗る、識別

• Identifier = 特定子、識別子、鑑定者

• Identification = 本人証明、同一性証明、身分証

• Authentication = 認証、証明、真正性検証

• Authorization = 権限付与、許可、認可

• Authority = 権力、職務権限、権威、権力者

• Validation = 有効性検証、妥当性検証

• Credential = 信用証明書、信任状、資格証明書

Ver0.8

Gohsuke Takama

40


• Identity = 本人性、自己同一性(心理学)、身元

• Identify = 本人確認、特定する、名乗る、識別

• Un-identify = 本人非確認, 非特定, 名伏し,非識別

• De-identify = 本人性除去? 脱特定? 脱識別?

• Re-identify = 本人性再現? 再特定? 再識別?

• Anonymity = 無名性? 匿名性?

• Pseudonymity = 仮名性? 疑名性?

• Nymity = 名前性?

• Meta Data = 上位データ? 派生データ?

Ver0.8

Gohsuke Takama

41

Identification & Authentication本人確認、本人証明、認証とは何か?

IdentificationCredential{Identifier}

本人証明のクレデンシャル(識別子も含む)

Authentication認証

プレスリリース

Identityアイデンティティ

パスワード

認可

検証

me{Attributes}

me = entity自分{属性}

自分 = 存在するもの

User ProfileDataBase

Validation有効性検証プロセス

Authority権力

Authorization許可・権限付与

me = data subject自分 = データ主体

data controllerデータコントローラー

データ主体の属性情報データ主体の識別子情報データペースシステム

Ver0.8

Gohsuke Takama

42

Identification & Authentication本人確認、本人証明、認証とは何か?

プレスリリース

パスワード

User ProfileDataBase

認可

検証

ユーザー側が自己申請

申請主義　


Validation有効性検証プロセス

Authentication認証

Authorization許可・権限付与

データ主体の属性情報データ主体の識別子情報データペースシステム

me{Attributes}

me = entity

IdentificationCredential{Identifier}

本人証明のクレデンシャル(識別子も含む)

自分{属性}

自分 = 存在するもの

Authority権力

Identity Registration 登録Accept 受理

Identification Issuance 発行 {識別子発行を含む}

Approve 認可

システム側が識別子発行

検証主義システムへ検証もしない

手続主義

me = data subject自分 = データ主体

data controllerデータコントローラー

Ver0.8

Gohsuke Takama

43

sovereign identity vs.

administrative identity


アイデンティティとパーソナルデータ

管理上のアイデンティティ

主権アイデンティティ

http://blogs.law.harvard.edu/doc/2013/10/14/iiw-challenge-1-sovereign-identity-in-the-great-silo-forest/

Ver0.8

Gohsuke Takama

44

sovereign identity vs.

administrative identity

data subjectvs.

data controller



管理上のアイデンティティ

主権アイデンティティ

データ主体

データコントローラー

Ver0.8

Gohsuke Takama

45



Gohsuke Takama



政府　　　企業

Personal Data パーソナルデータ

Administrative Identity管理上のアイデンティティ

Sovereign Identithy主権アイデンティティ

データ管理者が割当てるデータ

データ主体が提供するデータ


移動

コンセント

Ver0.8

46



Gohsuke Takama





システムが自動生成・割当するデータ





Personal Data パーソナルデータ移動

コンセント

Ver0.8

47



Gohsuke Takama





システムが自動生成・割当するデータ




GPS, Cookie, #tag, 他アプリ種別, 証明書ルーティング情報, 通信時刻, 取引時刻送受信IPアドレス, MACアドレス, IMEI,



コンセント

Ver0.8

48



Gohsuke Takama







Meta Dataメタデータ



Identityアイデンティティシステムが自動生成・割当するデータ


コンセント

Ver0.8

49



Gohsuke Takama







Meta Dataメタデータ



Identityアイデンティティシステムが自動生成・割当するデータ

Data Processor?データ処理者?


コンセント

コンセント？

Ver0.8

50


Gohsuke Takama

(by Peter Hope-Tindall, 2002)

http://www.soumu.go.jp/denshijiti/pdf/jyumin_p_s2.pdf > P128

「住民のプライバシーの保護に関する新しい考え方と電子自治体におけるそのシステム的な担保の仕組みについての研究会」報告書

Ver0.8

51

Gohsuke Takama

53

パーソナルデータ保護の課題と国際情勢2013

Documents