データに関する法規・倫理 — 個人情報保護とデータ倫理

導入

「個人データの不正利用で行政指導を受けた」というニュースを目にするたびに、データの取り扱いには法的なリスクが伴うことを実感させられます。では、企業はどのようなルールを守る必要があるのでしょうか。ここでは主要な法規制とデータ倫理の基本を確認していきます。

くわしく知ろう

日本の個人情報保護法は、氏名・生年月日など特定の個人を識別できる情報（個人情報）の取得・利用・提供に関するルールを定めています。事業者は利用目的をあらかじめ特定・公表し、目的外の利用や第三者への無断提供は原則として禁止されています。2022年の改正では、漏えい時の本人通知・報告義務が強化され、Cookie等で取得したデータも「個人関連情報」として規制対象が広がりました。

一方、欧州連合が2018年に施行したGDPR（General Data Protection Regulation：一般データ保護規則）は、EU域内に居住する個人のデータを取り扱うすべての事業者に適用されます。これは日本企業でも「EU在住ユーザーを持つサービス」であれば対象になるため、域外適用として注意が必要です。GDPRの特徴的な権利として、本人がデータの削除を要求できる「忘れられる権利（削除権）」と、自分のデータを別のサービスに移せる「データポータビリティ権」があります。

日本の関連法規としては、マイナンバー法が個人番号の厳格な管理を義務付けており、不正競争防止法は秘密管理性・有用性・非公知性の三要件を満たす「営業秘密」を不正取得・開示から保護しています。

データ倫理とは、技術的な合法性を超えて「公平性・透明性・説明責任」の観点からデータを扱う姿勢のことを指します。AI開発では学習データに偏りがあると差別的な判定が生まれるリスクがあり、どのようにデータを収集・活用しているかを利用者に説明できる透明性が求められています。

具体例

ECサイトでの個人情報取り扱いの流れを例にすると、まず会員登録時に「利用目的（注文処理・マーケティング等）」への同意を取得します。次に取得した情報は目的の範囲内でのみ使用し、提携会社への提供は本人の同意なしには行えません。EU在住ユーザーがいる場合はさらにGDPRへの対応も必要になります。

まとめ・試験ポイント

• 個人情報保護法の重要3項目＝利用目的の特定・目的外利用の禁止・第三者提供の制限
• 2022年改正で漏えい報告義務と個人関連情報（Cookie等）の規制が強化
• GDPR＝EU発の規制、日本企業もEU居住者のデータを扱えば対象（域外適用）
• 忘れられる権利＝本人によるデータ削除要求権、データポータビリティ権＝別サービスへの移転権
• データ倫理の3要素＝公平性・透明性・説明責任
• 試験では「域外適用」「忘れられる権利」「利用目的の特定」が頻出