新規事業シェア「情報銀行とは何か?」では、情報銀行は企業中心のデータ利活用と個人中心のデータ利活用の中間に位置づけられる仕組みであると述べた。2019年6月に「情報信託機能の認定スキームの在り方に関する検討会のとりまとめ案」と「情報信託機能の認定に係る指針V2.0」(案)(文献1)が公開され、V2.0の指針案では「実効的な本人関与(コントローラビリティ)を高めてパーソナルデータの流通・活用を促進する」という目的が明示された。同意方式も個別同意と包括同意が併記されたほか、「情報銀行の透明性を確保し情報銀行の選択に資する情報(例えば個人への便益とデータポータビリティの有無等)を公表する」と記述されるなど、V1.0よりも「個人中心のデータ利活用に近い形態」にシフトしている印象がある。このような動きを踏まえると、情報銀行は、本人関与を高めてパーソナルデータの流通・活用を促進する仕組みのうち、「個人から委託されたパーソナルデータを事業者が代行管理し、個人の指示のもとでパーソナルデータの流通・活用の支援を行う仕組み」、と整理することができる。「本人の関与のもとパーソナルデータの流通・活用を促進する仕組み」は情報銀行だけではない。:一般データ保護規則)などで先行する欧米では、このような目的を実現するために様々な仕組みが提案・実装されている。System)という言葉がある。Data”と記述されている。上記意見書では、PIMSがEUのデータ保護原則に基づき実現すべき機能として、以下の10項目を挙げている。62)などを欧州委員会に提案している。提案されているPIMSはパーソナルデータがどこにあるか(所在)によって、以下のように分類できる。Store)は、個人がインストールするアプリケーションにより個人が設定する空間(ローカルストレージやGoogleドライブのようなパブリッククラウド)でパーソナルデータを管理し活用する仕組みである。Model)ここで「分散」は”distributed”ではなく”decentralized”(中央レス)であり、事業者がサービスとしてPDS機能を提供する集中型(centralized)と対比される。分散型は個人が設定する空間で暗号化されて管理されるため大規模なデータ漏洩や事業者による不正利用が発生しにくく安全性が高いとされる(文献3)。半面、ITリテラシーの高くない利用者による設定やメンテナンス、鍵の紛失や盗難への対応などが課題となる。(文献4)や英国のDigi.me(文献5)などが知られている。DataWallet(文献6)はブロックチェーン技術を活用した分散PDSで、データ販売を主たる目的としている。自らはPDSという呼称は使っていないがAppleのHealthKit(文献7)は様々な健康デバイスからのデータをiCloud上で暗号化して管理し、このデータを利用するアプリケーションを個人が設定・制御できるという面で健康系に特化した分散PDSの代表例とも言える。Model)第二の類型は、「集中型」でPIMSの機能を事業者がサービスとして提供するものである。日本の情報銀行は集中型の一例である。この類型ではパーソナルデータは事業者が設定する空間に格納され、利用者の設定や指示に基づいて様々な事業者に提供(または必要な最低限の情報を開示)される。利用者との契約に基づいてPIMS事業者から様々なサービスが提供される。提供するサービスとしては、既存事業者からのデータの獲得やデータの見える化、相互運用可能な形式への変換(整形)、アグリゲーションサービス、情報信託(代理活用)サービス、証明サービス、スコアリングサービスなどがある。On)機能と決済機能を提供する場合もあるだろう。データ利用事業者にとっては、サービスの提供に必要なパーソナルデータを個別に収集・管理するのではなく、PIMSをパーソナルデータの集中・管理のSaaSとして利用することも考えられる。これにより事業者でのパーソナルデータの管理コストを低減しGDPRなどの法令対応も容易になる。利用事業者は簡単なステップで新規顧客を獲得し、サービスを開始することが可能になり、認証機能の活用も含めて低コストでサービスを開始できるという利点がある。Model)代表的な例として日本の情報銀行やフランスのCozy.io(文献8)がある。Platform’と称しているがアイデンティティの共有とSSOを主たる便益とした集中型PIMSの1つと言える。Forward(文献10)や米国のMint(文献11)のような金融アグリゲーションサービスも集中型PIMSの類型と言える。Model)第三の類型は、パーソナルデータを様々な既存のサービス事業者の空間に置いたまま、他の事業者やアプリケーションによるデータ利活用を可能にするものである。Model)この方式ではパーソナルデータは既存の事業者空間に存在するのでPIMSとして新規に大規模なストレージを確保する必要がなく、また事業者サイドにある最新のデータを活用することができるというメリットがある。一方で認証・認可制御に必要なアイデンティティ情報(ID/PWを含む)やデータの所在を示す情報、データの利用証跡(同意記録を含む)などの情報(これらもパーソナルデータ)は個別事業者から独立した利用者空間に置く必要がある。住所や氏名、クレジットカード番号などは、事業者ごとにバラバラに管理するよりも個人空間で一括管理する方が効率的で常に最新のデータが利用できる。このため、この類型では利用者が管理するミニPDS機能が必要である。このように、このモデルは分散PDS型や集中型と排他的なものではなく、相互に連携して実現すべきものである。代表的なものにエストニアのX-Road(文献12)やフィンランドのSITRAが推進しているIHANプロジェクト(文献13)などがある。Manager)もこの類型といえる。Project)(文献15)はこの類型を実現するための規格(プロトコル)の代表例と言える。このモデルは、アイデンティティ情報などを管理するミニPDS機能を持った認証・認可機構を提供する事業者の信頼性と事業継続のための収益確保が課題となる。本機構へ事業者のシステムを接続するためのアダプター(インターオペラブルな形式へのデータ変換を含む)を誰のコスト負担で実装するかも課題であろう。第四の類型が、単一の事業者(グループ)内のパーソナルデータを対象にPIMS機能をその事業者がサービスとして提供するものである。Model)このモデルは、事業者(もしくは事業者グループ)内の統合パーソナルデータ管理機構に自己情報コントロール機構と外部事業者(第三者)からのアクセス制御機構を追加して実装したものと言える。Takeoutのサービスが挙げられる。Project)はこの形態での外部事業者のデータ利用(第三者アクセス)を実現する仕組みと言うこともできる。海外ではGDPR(文献17)やCCPAなどの法規制への対応が義務づけられていることから、このような仕組みは今後様々な企業が実装していくと予想される。On)機能の提供や獲得済のデータを新しいサービスで活用するときの同意獲得など、自社グループのサービスのユーザー体験の向上やサービス拡大という積極的な側面があることにも注目すべきである。した機能を相互にデータのやり取りが可能な第三者アクセス機構により外部事業者に提供すれば、自社データだけでなく連携する他社データも活用可能になる(初期データを自社データとした集中型PIMSへの発展)。この結果、自社グループのアカウントを活用したSSOにより多様な他社サービスが利用可能になり、結果的に自社サービスに対する利用者のロイヤリティが向上するという効果も期待できる。3.PIMSの普及に向けて前章で述べたとおり、海外では情報銀行だけでなく様々な形態のPIMSが登場している。削除権、データポータビリティ)などが義務づけられており、これらの責務に対応しようと思うときに有効な方法の1つがPIMSを活用することである。自社グループのサービスが拡大する中で事業者内でのパーソナルデータの統合管理の必要性も高まっており、今後はコンプライアンスへの対応と自社サービスの機能・UXの向上を目的に海外では第四類型の単一事業者型PIMSが数多く登場するのではないかと予想している。国内では個人情報保護法の3年ごとの見直しの議論が始まっているが、企業側に対応できる準備ができていない、小規模な事業者にとって対応の余力がないといった意見も寄せられており、GDPRレベルの規定が次回の改正で盛り込まれるかは不明確である。GDPRやCCPAだけでなく中国のサイバーセキュリティ法などプライバシー保護の強化はもはや国際的な潮流(文献18)であり、十分性認定の維持のために国内でも今後徐々に強化される方向となることは確実と思われる。1970年にマスキー法が登場し、排気ガス規制が世界的な動向になったとき、日本は世界最高レベルの規制を取り入れ、これに対応する形で確固たる国際競争力を手に入れた。PIMSとは」で記述したとおり、EDPS(欧州個人データ保護監督機関)はPIMSの普及に関連し、欧州委員会などに対して電子政府系サービスでのPIMSの活用を提言している。日本でも個人情報保護法の3年ごとの改正の議論の中で、いわゆる2000個問題の解消を目指して個人情報保護法の公共部門への適用が検討されているが(注2)、小規模な自治体や公共機関が国際基準のプライバシー保護対応を独力で実装するのは困難であろう。Service)に任せ、必要に応じてデータを活用するという形態に移行するのが望ましいでのはないだろうか?繰り返しになるが、EDPSのPIMSの意見書には本人が関与しない形態でのビジネスモデルと情報アーキが主流を占める市場にPIMSが参入し普及するのは容易ではないと述べている。日本では情報銀行は官民が連携する形で推進されているが、他のPIMSについてはこれといった推進施策は存在していない。カリフォルニア州が規定した保護規制。2018年6月成立、2020年から施行。オプトアウト型だがGDPRと同じように個人による情報コントロール機能を義務づけている。(注2)現在の日本の個人情報保護法の対象は民間部門だけであり、自治体を含む公共部門は地域ごとに個別に制定された条例に基づいている。個人情報保護法の対象を公共部門に拡大する(いわゆる2000個問題の解消)も今回の改正議論のポイントの1つ。き文字認識、ヒューマンインタフェース、人間中心設計、ソーシャルイノベーションなどの研究に従事。近年は少子高齢化に対応する新しい社会システムとして個人中心のデータ流通(PDS/情報銀行)のビジネス推進、社会実装をテーマとする。コンサルティングのご相談・ご依頼はこちらお問い合わせフォーム当社はセキュリティ保護の観点からSSL技術を使用しております。入力フォーム当社はセキュリティ保護の観点からSSL技術を使用しております。