拒否権ゼロ！病歴からSNSまで同意不要で企業へ…あなたの個人情報を奪う「最悪の法改正」😲

７月10日に参議院本会議で可決、成立し、17日に公布された「改正個人情報保護法」。今回の改正には、統計作成やAI開発への活用に限り、個人情報を本人の同意なく第三者に提供できる「統計作成等の特例（統計特例）」が盛り込まれた。その中身に対して、情報セキュリティの専門家や医療関係者、消費者団体などから「個人の権利利益を脅かす」と批判の声が上がっている。

’15年から有識者会議のメンバーとして個人情報保護法の整備に関わってきた国立情報学研究所の佐藤一郎教授は「統計特例は個人情報の活用拡大を促す内容」とし、こう指摘する。

「個人情報保護法では原則として、個人データの第三者提供や目的外利用には本人の同意が必要でした。それが統計特例のもとでは、個人情報を受け取る『取得先』の企業が統計の作成やAIモデルの学習を目的とする限りは、本人の同意が不要になります。データを渡す『提供元』の企業に対しても、匿名化や仮名化といった加工義務を課しません。

病歴や犯罪歴、思想信条や信仰などの『要配慮個人情報』は差別や不利益につながるため、第三者提供には本人の同意が必須です。しかし今回、氏名や住所を含んだ加工されていない元のデータの提供も同意不要になったことで、要配慮個人情報を十分に保護できない可能性が高まりました」

「政府の目的は個人情報の規制緩和ですが、データを活用したい企業側の狙いは『名寄せ』にあるのではないでしょうか。

個人情報の取得先企業では、氏名などをキーにして複数のデータを紐づける『名寄せ』ができるようになります。たとえば、病院から『診療記録』、学校から『成績』、ECサイトから『購買履歴』、SNS事業者から『氏名つきの投稿履歴』を集める。これらのデータを名寄せすれば、１人の個人に対して膨大なプロファイリングデータ、すなわち詳細な人物像が出来上がるわけです」

名寄せによって、さらに個人の特定も可能になるという。

「一般に『生年月日』『性別』『郵便番号』の３つの情報が揃うだけで、名寄せはできます。同じ郵便番号のエリア内で、生年月日と性別まで一致する人は極めて少ないからです。

特定の郵便番号エリアを主な商圏とする地元商店が、生年月日と性別のみ記入する無記名アンケートを行ったとしましょう。お店側が氏名や生年月日を含む地域住民のデータを持っていれば、名寄せするだけで容易に個人を特定できてしまいます

「たとえば、大学３、４年生のSNS投稿履歴を買い取り、内容を分析して採用の選考から外す。病気に関する書籍の購入履歴から再発や重症化のリスクが高い疾患の可能性を推定し、保険の加入を拒否する。企業の個人情報の活用次第で、不利益を被る人が出てきます。

また、データが悪用されるおそれもある。悪質な業者や犯罪グループへのデータ流出です。

要配慮個人情報には、過去の犯罪歴だけでなく犯罪の被害情報も含まれます。詐欺に騙されやすい人が名寄せによって抽出され、トクリュウなど特殊詐欺グループの手に渡るようなことが起きれば、オレオレ詐欺が増えるかもしれません」https://news.livedoor.com/article/detail/32092529/