データ・ブローカーとは、さまざまな情報源から消費者の個人情報を収集し、統合・分析したうえで他者に販売する業種である。日本における名簿屋を大規模化・近代化したイメージかもしれない。同報告書によれば、たとえば、データ・ブローカーの一つであるアクシオム社(Axiom)は、全世界で約7億人分の消費者のデータベースを保有し、米国の消費者については、そのほとんどを網羅している。*7により収集したり、他のデータ・ブローカーからデータを入手したりしている。FTCが調査したデータ・ブローカーの中には、消費者から直接データを収集していた業者は1社もいなかった。よって分類し、利用価値を高めている。いった分類は、効率的・効果的なマーケティング、あるいは取引にともなう事業者のリスク軽減に役立つ一方、集積した情報の分類や分析が社会的差別の原因になるおそれがある。差別除去の必要性データ・ブローカーが個人から直接データを収集していないためもあり、長年、データ・ブローカーの実態はあまり知られていなかった。FTCの上記報告書により、その一端が明らかになった。カナダと米国のプライバシー保護機関が揃って指摘するように、ビッグデータが活用される社会では、民族や収入レベル、教育レベルなどによって、個人が差別的取り扱いを受ける可能性がある。差別的取扱いを受けた本人は、差別されたことをそもそも認識できない場合がある。契約の申し込みを断られた本人は、自分の事例しか知らず他の事例との比較ができない。それゆえ、自分の申し込みが断られた理由として背後に差別があったのか否かを通常知ることができない。仮に何らかの理由により差別が原因と知った場合でも、自分に対する差別の問題をかえってクローズアップさせかねないため、自ら問題にすることを躊躇してしまう場合もある。このような状況は、社会的な議論がないままに差別を固定化し、さらに拡大させるおそれがある。本人に代わって、差別の原因となる不適切な利用をやめさせるための組織による対応が不可欠である。以上のとおり、パーソナルデータの適正な取扱いの監視・監督は、個人(本人)ではなく組織として対応する必要がある。現行の主務大臣制の下、そのような組織としてまず思い浮かぶのは各省庁かもしれない。総務省が開催した「パーソナルデータの利用・流通に関する研究会」の報告書が指摘するとおり、「パーソナルデータの保護は、分野横断的に統一的な見解を求められることが多く、さらに、主としてパーソナルデータの利活用が行われるICT分野は技術革新が激しく、事前の相談や事後の紛争解決などに当たり、迅速かつ柔軟な判断が求められる。いわゆる縦割り行政と言われる各省庁による対応は妥当でなく、専門機関による統一的対応が必要である。従来の主務大臣制はうまく機能していない。IV1(2)で後述するとおり、プライバシー保護機関の権限を強化する必要があるが、そのような権限強化は、各省庁ではなく、プライバシー保護に特化した機関に担わせるのが妥当である。これらに加え、IIIで後述する諸外国の法制度との調和という観点もある。先述した諸外国の第三者機関との連携も、各省庁がそれぞれ実施するのは困難である。諸外国の第三者機関と同様の立場にある一つのプライバシー保護機関を設置し、そこが担当してこそ連携もスムーズにいくであろう。以上のような理由から、組織的な対応は、各省庁ではなくプライバシー保護に特化した第三者機関が行うことが必要である。諸外国では、すでに、プライバシー保護機関を通じた個人情報保護の仕組みが進んでいる。ここでは、OECDとEUの仕組みを概観し、プライバシー・コミッショナー国際会議に簡単に触れる。*11により、各加盟国が、調査または執行手続の遂行権限を有する公的なプライバシー保護機関を設置すべきとする。持つべきとされる(同ガイドライン19c),1d))。*12では、プライバシー保護機関は、a)プライバシーを保護する法律違反を阻止し制裁する権限、b)法律違反の可能性がある場合、それに関連した情報へのアクセス権限を含めた効果的な調査能力、c)法律違反に従事したデータ管理者に対する是正措置、といった権限を持つべきであるとする(同勧告11)。同勧告は、各国のプライバシー保護機関が相互に協力し、プライバシーを保護する法律違反の可能性がある場合に関連情報を共有する仕組みの構築等を求めている(同勧告12)。*13では、プライバシー保護機関(監督機関)につき、おおむね次の規定を置いている。監督機関は、与えられた義務と権限を行使するにあたり完全な独立性と公平性を有するものとし、監督機関の構成員は誰からも指示を受けない(47条1項、2項)。監督機関は、付与された義務と権限を効率的に行使するために必要な、適切な人的、技術的及び財政的資源と施設、インフラを与えられなければならない(同5項)。監督機関は、監督機関の長が任命し、その指示を受ける独自の職員を有する(同6項)。独立性に影響を受けない形で財政的コントロールを受け、国の議会に対して説明責任を負う(同7項、7a項)。監督機関の構成員は、議会か政府が任命し、その人物の独立性に疑いがなく、パーソナルデータ保護の分野で卓越して義務を履行できる経験と能力を有する者でなければならない(48条1項、2項)。監督機関の義務としては、EU総合データ保護規則の適用状況を監視し、本人や団体からの苦情を受け付けて処理する。自ら率先し、あるいは苦情等を受けて調査を実施し、パーソナルデータの保護に影響がある限りにおいて、ITや商業慣行の進展をモニターする(52条)。調査権限としては、事業者の義務の履行に必要なすべてのパーソナルデータと情報にアクセスし、規則違反の活動が疑われる相当な事由がある場合、データ処理機器や手段を含む事業者の施設へアクセスできる(53条2項)。規則違反があった場合には、司法機関に告発し、法的手続に関与し(同3項)、行政罰として制裁を課すことができる(同4項)。行政的制裁として、一定の違反があった場合には、1億ユーロまたは企業の場合には、全世界における年間収入の5%の罰金のいずれか高い方を科すことができる(79条2a.c))。EU域外の第三国へのパーソナルデータの移転は、第三国において適切なレベルの保護を確保していることが要求されている。その判断にあたっては、独立した監督機関が存在し、十分な制裁権限を有していること、本人が権利行使をするにあたって本人を補助し、助言を与えること、EUや加盟国の監督機関と協力することを含め、効果的に機能しているか否かも要素として斟酌される(41条2(b))。各国のプライバシー保護機関が年1回集まる国際会議が1979年から行われており、2014年には第36回大会が開かれた。2012年現在で57か国のプライバシー保護機関がメンバーとして参加しているが、日本にはメンバーとして正式参加が認められている機関はない。同会議では、パーソナルデータに関する様々な課題について議論が行われ、決議が採択されている。冒頭述べたとおり、大綱はプライバシー保護機関の設置を提言した。指摘したとおり、ビッグデータ活用社会では、プライバシー保護機関に期待される役割は重大である。IIIで諸外国の制度の一部を概観したが、制度の国際的調和や他国のプライバシー保護機関との連携強化という観点からも、充実した制度を構築する必要がある。行えることとしている。OECDやEUの制度を踏まえて、プライバシー保護機関には十分な調査権限が与えられる必要がある。第一に、調査対象は、事業者の保有するパーソナルデータのみならず、すべての関連情報にアクセスできるようにする必要があろう。再識別化の技術も急速に進展するから、匿名化された情報のどこまでを調査対象にするのが妥当かは明確でなく、狭く解すると適切な調査に支障を生じるおそれがあるからである。第二に、立入検査は、事業者に対する影響が大きいため、上述したEUの規則等を参考に、行使する場面は限定されるべきである。検査を実施するとなった場合には、「データ処理機器や手段を含む事業者の施設へアクセス」ができるよう十分な権限を与えられる必要がある。大綱では、事業者による自主規制ルールをプライバシー保護機関に認定させることを想定している。そのような関与は、公正な自主規制ルールを普及させる意義を有する一方、プライバシー保護機関を当事者的立場に置きかねず、第三者的立場から事後的に監督する立場とは相いれない面がある。ことに、適切な匿名化措置の在り方が明確でなく、技術の進展によって急速に変わりつつある社会では、「あるべき自主規制ルール」の想定自体が容易でない。大綱では、個人情報保護法23条2項のオプトアウト規定を用いて第三者提供を行う場合、事業者は、第三者機関に届出をし、届出を受けた第三者機関は、届けられた事項を公表する仕組みを取り入れるとしている。現行の個人情報保護法は、直接収集の原則も同意取得の原則も採用していない。それゆえ、本人の知らないうちに他者が個人情報を利用している場合があることを想定しており、そもそも第三者提供を行う側の事業者に対する本人の信頼が存するわけではない。