岡田　たしかに、個人情報保護法は遵守していても炎上リスクが気になり、なかなか新たなデータ活用に踏み出せないと悩まれている企業の方のお話は多く聞きます。そういった企業の方へのメッセージとして、今回のガイドブックを読んでいただくと良さそうですね。

佐藤　このガイドブックは、書かれていることを守ればプライバシーが守れるというものではなく、ガイドブックを契機にして、企業が自社ビジネスの中でどのようなプライバシー情報を守る必要があるのかを考えてもらうためのものです。
　ガイドブックでは非常にシンプルに、その第一歩を踏み出すために「プライバシーガバナンスに係る姿勢の明文化」「責任者を決める」「プライバシー保護のためのリソースを割く」という点を挙げています。
　個人情報は、国が定めたルールを遵守して保護する、という側面がありますが、プライバシーを保護するためには各人・各社が自ら考えなければなりません。

岡田　佐藤先生も宍戸先生も、実際に企業が設置している有識者検討会に参加されて企業の生の声も聞かれていると思います。その中で、「ここがポイントだな」と思われる点はありますか？

佐藤　私が座長となっている企業のプライバシー検討会は、今回のガイドブックの実践的なことにも取り組んでもらっていて、第三者委員会的に数カ月に１回開催されています。そこでの経験から言うと、企業の中の人が見る視点と、外の人が見る視点は大きく異なっています。
　検討会では、いわゆる個人情報に関するプライバシーポリシーよりさらにメタな、プライバシーに対する企業姿勢の明文化にも取り組んでいますが、プライバシーに関しては「相手がどう感じるか」という部分が重要になるので、外部の目を入れた検討が本当に重要だと感じています。

岡田　やはり自社だけでなく、お客様の目、ガイドブックではステークホルダーという言い方をしていますが、いろいろな視点を入れることが大切だということですね。

宍戸　私がデータ利用に関する原則の策定等に参加している企業は共通して、消費者との向き合い方を考えたり、「何がやっても良くて、何がダメなのか」を探る際に、外部有識者や消費者代表の方と議論することにとてもメリットを感じているという印象を受けます。
　また、広範多岐にサービス展開していくと、企業としての全体を把握することが難しくなる場合も見られます。そういったときに事業部ごとの縦割りの視点だけでなく、外部の目で横串的に眺めたり、社会全般の動向等と照らし合わせることで、自社の全体を整理し直し、より明確に自社の方針を統一・修正することができるという面もあります。

岡田　ガイドブックでは、縦割りになりがちな組織内の情報収集・発信のハブとなるプライバシー保護組織設置の必要性も書かれていましたね。

佐藤　たとえば、これまでプライバシーには無縁と考えていたメーカー企業でも、製品販売からサービス提供へと業態が変化して、これまで接点のなかった個人の多様なデータを取り扱うようになったり、思わぬ製品がプライバシー情報を集めてしまったりといったことが起きています。さらに、相違な情報を組み合わせた結果、プライバシーに関わるケースもあり、従前のように事業部単位で管理・対応することは不可能なので、企業としての対応が必要です。そう考えると企業横断的にプライバシーを考える専門部署はきわめて重要になってきます。

宍戸　佐藤先生がご指摘のとおり、不測の形で利用者のプライバシー情報を持ってしまう可能性がある中では、全体を横断的に見る組織があった方が良いと思います。
　また、今後開発する製品やサービスは、設計段階から部署横断でさまざまな視点を入れ、プライバシーバイデザインで検討していくことが重要になると思います。
　さらに、ガイドブックでは企業全体としての価値向上とプライバシーの問題を取り上げています。消費者から見れば、一つのサービスで問題が発生しても「○○社が問題を起こした」となり、場合によってはグループ企業全体がダメージを受けることにもなりかねません。

岡田　今までは「同意を取っているから法律的にはクリア」と考えていた企業も少なくないと思われますが、お話を聞いていて、利用する方々に利用の目的や方法、取扱いを説明して、きちんと理解していただくことが重要だと改めて感じました。
　実際にガイドブックに書かれているような内容に取り組まれている企業もすでにあると思いますが、お二人から見て「これは良い」と思われた取組みはありますか？

宍戸　難しいのは、きちんと説明しようとすればするほどどうしても説明が細かくなってしまうということです。企業法務的に考えれば「書いてあること」が重要ではあるのですが、対消費者で考えれば「自分たちが何をして、何をしないのか」を明確にわかりやすく示すことが必要です。このため、漫画や動画で伝えたり、ユーザが自分自身のデータの状況を確認できるような仕組みを用意しているケース等は参考になると思います。

佐藤　ガイドブックでは、メタなポリシーを策定することを推奨しています。まずは大きく企業としての姿勢を理解してもらえるものを示し、必要があればさらに詳細なポリシーも参照できるような二段構えの発想が求められていると思います。

岡田　少し話は変わりますが、ガイドブック公表の1カ月ほど前に、宍戸先生が副座長を務められた「Society5.0における新たなガバナンスモデル検討会」の報告書「GOVERNANCE INNOVATION Society5.0の実現に向けた法とアーキテクチャのリ・デザイン」が公表されました。その中では、世の中の変化に合わせて法の在り方も変化させる必要がある、といったかなり上位概念的な内容が提示されていましたが、一方で今回のガイドブックとの間には距離があるように感じました。

宍戸　ガバナンス・イノベーションに関する報告書は、広範な規制改革のシナリオとして若手の研究者・実務家の方々の自由闊達な議論から生まれたものです。
　報告書のポイントの一つは、デジタル化が進む中で現在の法規制の在り方は限界を迎えているため、ゴールベースの規制に変えていくべきだという点です。
　報告書では、法規制がしばしば行為規制になっているため、「この行為さえ行えば（行わなければ）良い」となり、人権や公益の実現といった本来の目的達成が阻害されてしまう状況が見られるので、まずは抽象的なゴールを設定し、企業が自らゴールを具体化してそこに向かってより良い行動を取るよう、インセンティブや制裁金等を組み合わせて、よりイノベーティブな力を引き出す規制への見直しを求めていますが、これはガイドブックにも通ずる精神です。

佐藤　ガイドブックで求めている「プライバシーに対する姿勢の明文化」は、ある意味でゴールベースの一つの取組みと言えると思います。

岡田　ここまでお聞きして、改めての質問なのですが、お二人はプライバシーをどのようなものと捉えていらっしゃいますか？企業の方とお話をしていて、プライバシーの定義を聞かれることは多いのですが。

佐藤　プライバシーの外延を定義しようとする時点で、プライバシーを理解していないとしか言えないように思います。プライバシーは人によっても、また同じ人でもコンテキスト、たとえば会社にいるときと家では異なります。企業が取得するデータやその利用を鑑みながら、何がプライバシーとなり、個人の権利利益の侵害となるかを考えて、対策を考えることが重要です。

宍戸　プライバシーが、現代においてデータ保護を求める権利というEU基本的憲章8条に書かれているような側面を持つことは間違いないとは思います。そしてそれが、個人の主観的な権利を超えて、プライバシーコミッショナーのような客観的な組織や企業の内部的な仕組み・手続き等、全体的重層的な取組みによって担保されるという点が、プライバシーの実現に関して大きなポイントだと思います。
　他方、佐藤先生がおっしゃるようにプライバシーの本丸を定義することは非常に難しいのですが、私はプライバシーは１人のものとして捉えるのではなく、人間と人間の関係として捉えた方が良いように考えています。企業と消費者、家族、友人の間に生まれる関係は浅い一時的なものであったり、深く継続的なものであったりとそれぞれです。そして深く継続的な関係の中ではお互いにコミットし合うような絆も成り立たせるし、同時にそこからプライバシーも生まれてきます。だからこそ、それを壊してはいけない。企業で言えば、企業が消費者やステークホルダーとより良い関係を築こうと考えるのであれば、それは同時にプライバシーについても考えるということなのだと思います。

岡田　最後に、企業の中でプライバシーガバナンスに取り組んでいこうとされている方々にメッセージをお願いします。

佐藤　繰り返しになってしまいますが、プライバシー問題はどうしても後ろ向きの対応になりがちで、コストとして捉えられがちですが、ぜひマインドチェンジして、今後は、企業が信頼を得るための前向きな投資であり、サービス・商品の品質を上げるものだと捉えて取り組んでいただきたいと思います。プライバシーガバナンスガイドブックに関しては、まずは数多くの企業がプライバシー保護に取り組めるように、多様な企業が対応できるガイドブックになるように考慮しました。まずはガイドブックをお読みいただき、自社にとって保護すべきプライバシーをお考えいただき、その対応をしていただければ幸いです。

宍戸　企業で働く人は、同時に消費者でもあります。他社の提供するサービスを利用する際に、自分はどのように扱ってもらいたいか、どのような状況だと絆が結ばれ、どのような場合に絆が破壊されるかを考えていただき、それを反転させて自社の取組みに活かしていく必要があります。そういった点で、このガイドブックを企業人として読むだけでなく、ぜひ消費者の立場でも読んでみてもらいたいと思います。

岡田　今日は貴重なお話を伺い、とても勉強になりました。ありがとうございました。


参考資料
JIPDECセミナー講演レポート「DX時代における企業のプライバシーガバナンスガイドブックについて