当サイトを快適にご利用いただくには、ブラウザでJavaScriptを有効にしてください。杉浦健二リクルートキャリア社が「リクナビDMPフォロー」サービスにおいて、いわゆる「内定辞退率」データを採用企業に提供していた件が連日のように報道されています。LAWYERS)今回は「リクナビDMPフォロー」をめぐる法的論点を網羅的に確認するとともに、上記の記事では触れられなかったプロファイリングの法的問題について取り上げてみます。リクナビ問題をめぐる法的論点を、網羅的に確認する本稿作成時点(2019年8月26日)で報道された事実関係をもとに、リクナビDMPフォローをめぐる法的論点をひととおり挙げたうえで簡潔にコメントします。細かいので、興味がない方は読み飛ばしてください。おいて、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい」「なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない」と記載されている(GL通則編P26)。・利用目的は本人に通知又は公表されていたか(個情法18条1項)→学生のうち7983名については、「リクナビDMPフォロー」に関する表記漏れがあるプライバシーポリシーが表示されていた(R社8月5日付プレスリリース)。・「偽りその他不正の手段」による個人情報の取得にあたらないか(個情法17条1項)→GL通則編は「意図的に虚偽の情報を示して、本人から個人情報を取得する場合」を不正の手段による個人情報を取得している事例として挙げる(GL通則編P32事例3)。・目的外利用にあたらないか(個情法16条1項)→内定辞退率データの提供は、利用目的の達成に必要な範囲内の取扱いといえるか?・適法な個人データの第三者提供といえるか(個情法23条)→学生のうち7983名については同意取得がなされていなかった(R社8月5日付プレスリリース)。その他の学生からは同意を取得していたといえるか?プライバシーポリシーは明確であったといえるか、同意取得フローに問題はなかったか。条第1項の規定に基づく勧告等について」)。・利用目的の特定はされていたか(個情法15条1項)・利用目的は本人に通知又は公表されていたか(個情法18条1項)・不正な手段による取得にあたらないか(個情法17条1項)・目的外利用にあたらないか(個情法16条1項)→採用企業は応募学生に対して、各学生の個人データが第三者(本件ではR社)に提供されることを、利用目的において特定していたか。(「個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない」(GL通則編P26))・適法な委託に基づく第三者提供といえるか(個情法23条5項1号)→「利用目的の達成に必要な範囲内」の委託といえるか。複数の委託元から提供を受けた各個人データを委託先において突合処理することは原則として委託の範囲外(「『個人情報の保護に関する法律についてのガイドライン(通則編)』の改正案に関する意見募集の結果について」No6参照)となることからすれば、R社が委託によらずに自ら取得していたリクナビ2020ユーザーの行動履歴等と、採用企業が委託に基づきR社に提供した個人データを突合処理することは委託の範囲外となる可能性有。一方で、採用企業がR社に対して個人データの「取得の委託」まで行っており、この委託に基づきR社がリクナビ2020ユーザーから個人データを取得していたといえる場合は、適法な委託となる余地は残る。)→消費者が他のサービスに乗り換えるのが難しい場合や、サービスを利用継続するために消費者が不当な扱いを受け入れざるを得ない場合などにおいて、個人データを本人の同意なく利用等すると、独占禁止法の「優越的地位の濫用」にあたる可能性が生じる旨の指針案が、公正取引委員会において検討されている(2019年7月16日付日経電子版)(2019年8月30日追記)2019年8月29日、公取委は「デジタル・プラットフォーマーと個人情報等を提供する消費者との取引における優越的地位の濫用に関する独占禁止法上の考え方(案)」を公表しました(公取委サイト)。公取委の同「考え方(案)」に対する考え方を公表しています(個人情報保護委サイト)。・EU一般データ保護規則(GDPR)に抵触する可能性はなかったか→EU域内に拠点のない管理者又は処理者による個人データの取扱いであっても、1EU域内にいるデータ主体に対する商品サービスの提供や2EU域内で起こるデータ主体の行動の監視にあたる場合はGDPRが適用される(GDPR3条2項)。以下ではこちらのトピックを取り上げます。プロファイリングとは何か「リクナビDMPフォロー」では、学生ユーザーのリクナビ2020等のウェブサイトにおける閲覧履歴をもとに「内定辞退率」データが生成されていた点も問題となりました。ウェブサイトの閲覧履歴や購買履歴等のパーソナルデータをコンピュータが分析し、その人の趣味嗜好や能力、健康状態や行動などを自動で予測することをプロファイリングといいます(※1)。プロファイリングは、本件のような採用活動だけでなく、個人向け融資の審査、マーケティング、さらに米国の一部の州では裁判官の量刑評価にも用いられています(※2)。社の構築した再犯リスク評価システムプロファイリングの問題点とは(内定辞退率の場合)プロファイリングは、AIなどのコンピュータが、個人の閲覧履歴等のパーソナルデータをもとに評価・判断するため、「AIがなぜそのように評価・判断したのか」という判断基準や判断過程が不透明である問題点があります。深層学習(ディープラーニング)では、データをどのような基準で評価するかの重み付けをAI自身が行うため、「なぜこの結論に至ったのか」という判断基準や判断過程が人間には分からない部分があります。内定辞退率の場合、AIが、当該学生のいかなるデータ(例えばどのサイトをどの程度閲覧していたかなど)を重視した結果、内定辞退率の高低を算出するに至ったのか、人間には分からない場合も考えられます。学生からすれば、根拠も不明確なまま「あなたの内定辞退率は〇%」とラベルを貼られれば、不安や不満を感じるのは当然ではないでしょうか(さらに本件では、内定辞退率とのラベルが貼られて採用企業に提供されていた事実すら伝えられていなかった)。「内定辞退率データは採用活動には用いられていない」とのことですが、学生がその企業に入社した後も、勤務先企業が自分の内定辞退率データを保持し続けているとすれば、どのように感じるでしょうか。企業が内定辞退率データをどのように利用するか(採用時のみならず、入社後の退職可能性の推認や昇給昇格の判断の参考にされる可能性を物理的に否定することは難しい)を学生側はコントロールできない以上、やはり本件は個人データ取得時に先だって、事前に学生に対して十分な説明がされたうえで、適切な同意を得て行われるべきビジネスモデルであったと感じます。個人情報保護法ではプロファイリングは明確に禁止されていないが・・このようなプロファイリングの問題点に鑑みて、GDPRでは、プロファイリングに対して異議を唱える権利や(GDPR21条)、自動処理のみに基づいて重要な決定をされない権利(GDPR22条)が定められています。一方で、日本の個人情報保護法には、プロファイリングの定義規定や、これを明確に禁止する規定はありません(※3)。ような事態を引き起こすリスクは、今後ますます増大していくものと考えられます。改正で盛り込まれる可能性はある。プロファイリングによる要配慮個人情報の予測は、要配慮個人情報の取得(個情法17条2項)に該当するとの見解もある(山本龍彦「プライバシーの権利を考える」(信山社)266頁)プロファイリングを行う際に望ましいと考える設計運用案ではプロファイリングを行う事業者としては、今後どのような点に留意すればよいでしょうか。以下は、今後プロファイリングを行う際に望ましいと考える設計や運用の提案です。・プライバシーポリシーの利用目的において、AIを用いたプロファイリングが行われることを記載しておく(個情法15条1項)。特定の程度としては、ガイドライン通則編(GL通則編P26)より一歩踏み込んで、プロファイリングを行うことに加え、プロファイリング結果にどのようなラベル(本件であれば「内定辞退率」)をつけて利用する予定かについても、可能な限り記載しておく。要は、後でユーザーや世間にビジネスモデルの全容が知られた場合でも炎上しない運用こそ、最大のリスクヘッジであると考える。・特定個人が識別されるかたちのプロファイリング結果は、その全体が個人情報となることを十分に理解しておく。・出力されるプロファイリング結果に要配慮個人情報(個情法2条3項。経歴等)が含まれる場合は、プロファイリングによる要配慮個人情報の予測が要配慮個人情報の取得にあたるとの見解(上記※3)があることにも鑑みて、本人の同意を得ておくことが無難な運用と考える。・AIプロファイリングの結果のみに基づいて意思決定をしない。AIプロファイリング結果は、あくまで人間による判断をサポートするものとして用いる(ケンタウルスモデル)。このような取り扱いは、GDPRにおいて自動処理のみに基づいて重要な決定をされない権利(GDPR22条)を明記していることにも沿う。・AIプロファイリングを拒否するユーザーに対して、サービスを使えないとするのではなく、サービスを利用継続できるような仕組み(AIプロファイリングを回避してもサービスを利用できる仕組み)を設計しておく(GDPR21条、22条参照)。・プロファイリングを実施することがユーザーの利益につながることを、あらかじめユーザーに理解してもらう(例えばユーザーが求める新たな商品やサービス、取引相手などユーザーによりマッチする選択肢を提案できる、無償や低廉な価格でのサービス提供が可能になるなど)。そのうえで納得を得たうえでサービスを利用してもらう。個人情報を尊重するサービス設計こそ、自社の強みとなる上記の設計運用案は、現在の個人情報保護法やガイドラインで求められている基準を、さらに一歩進めたものです。見据えれば、このような個人情報を尊重する設計や運用を法やガイドラインに先んじて行うことは、自社のサービス自体が評価される契機になるものと考えます。「法律に明確に違反してないからOK」ではなく、「ビジネスモデルが明るみになった場合にもユーザーの支持を得られるか」「ユーザーとクライアントに胸を張ってサービスの意義や正当性を説明できるか」という視点は、今後はより求められていくものと考えますし、このような「正直さ」「誠実さ」を自社の強みとできる企業こそが、今後はより求められていくものと考えます。(弁護士杉浦健二)・最新情報はツイッターやFBページでお届けしております。2019/08/26CtoCサービスに激震。reserved.お問い合わせ・ご。