３．位置情報利用の規制

それでは、「個人の位置情報」の法的な位置づけを整理していきます。

＜2003年個人情報保護法で位置情報は対象外＞

2003年、個人情報保護法（正式名称：個人情報の保護に関する法律）が成立し、2005年に施行されました。
ここで「個人情報」は、「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの」で、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」と定義されました。

しかし、「個人の位置情報」に関して具体的な記述はなく、法の対象外の扱いでした。

＜パーソナルデータという概念が登場＞
2013年6月、プライバシー保護に配慮したパーソナルデータの利用促進等を検討する目的で発足した総務省「パーソナルデータの利用・流通に関する研究会」が報告書を発表しました。

ここで提示された「パーソナルデータ」という概念は、2020年の個人情報保護法改正までの間、企業活動の重要な指針になりました。先述した「Suica問題」や「ドコモ地図ナビ問題」は、この報告書公表の直後に起こっており、時代を先取りするものでもありました。

この報告書では、パーソナルデータを「個人情報を含む個人に関する情報」として、個人情報保護法では対象外となっているものの、保護されるべきデータと位置づけています。

そして、パーソナルデータを利用する際の課題として、「パーソナルデータの利活用のルールが明確でないため、企業にとっては、どのような利活用であれば適正といえるかを判断することが困難」であり、「消費者にとっては、自己のパーソナルデータが適正に取り扱われ、プライバシー等が適切に保護されているかが不明確」として、企業側、消費者側双方の問題をあげています。

その上で、パーソナルデータをプライバシー性の高低によって３種類に区分しました。
「個人の位置情報」は、「② 慎重な取扱いが求められるパーソナルデータ」と位置づけられました。

＜2015年個人情報保護法改正＞

2015年、個人情報保護法が初めて改正されました（2017年施行）。2015年改正法では、「個人情報」と別に「匿名加工情報」が新設されました。

「匿名加工情報」とは、特定の個人を識別することができないように個人情報を加工し、当該個人情報を復元できないようにした情報です。個人情報の利用推進を目的に、匿名加工という取扱いがルール化されました。

背景には、「Suica問題」や「ドコモ地図ナビ問題」をはじめとしたプライバシー侵害の社会問題化があります。そして、「匿名加工」という形で個人情報の取扱いルールが明確になったことは、企業にとっても、利用者にとっても画期的なことでした。

なお、この時点で「個人の位置情報」は、個人情報として扱われておらず、もちろん匿名加工情報にも該当しません。
2017年版「情報通信白書」では「『個人情報』とは法律で明確に定義されている情報を指し、『パーソナルデータ』とは、個人情報に加え、個人情報との境界が曖昧なものを含む、個人と関係性が見出される広範囲の情報を指す」とされており、「個人の位置情報」はパーソナルデータであって、個人情報でないという扱いでした。

＜2020年個人情報保護法改正＞

「個人の位置情報」が法的に定義されたのは、個人情報保護法の２回目の法改正となった2020年改正法（2022年施行）です。ここで「個人関連情報」が新設され、「個人の位置情報」が「個人関連情報」に位置づけられました。

「個人関連情報」とは、生存する個人に関する情報であって、「個人情報」「仮名加工情報」「匿名加工情報」のいずれにも該当しないものをいいます。
この個人関連情報は、「Cookie規制」といわれます。Cookieは、他の情報と容易に照合できるので個人情報となりうるのですが、それをターゲティング広告業界では、個人を特定しない形で実施することが慣行になっていました。個人関連情報の新設は、こうした抜け道を潰す狙いがあります。

なお、同じく2020年改正法で新設された「仮名加工情報」は、個人情報の一層の利用促進を狙いとしたものです。仮名加工情報とは、他の情報と照合しない限り特定の個人を識別できないように、個人情報を加工して得られた個人に関する情報をいいます。
匿名加工情報が元の個人情報へ復元できないのに対して、仮名加工情報は復元が可能という点に両者の違いがあります。

仮名加工情報の第一の特徴は、仮名加工情報とすることで個人情報よりも規制が緩和される点です。第二は、本人識別目的の照合行為禁止や、第三者提供原則禁止など匿名加工情報に比べ制限が多い点です。第三に、仮名加工情報には、個人情報に該当するものとそうでないものがあり、元の個人情報との容易照合性の有無が判断基準となります。

＜2020年改正法における位置情報の位置づけ＞

このように、2020年改正法では、個人情報の周辺にまで対象範囲を広げ、関連する情報の再定義を行っています。

同改正法の解説書「個人情報の保護に関する法律についてのガイドライン（通則編）」において、「個人の位置情報」は、Cookieなどとあわせて「個人関連情報」となりました。
しばらくの間「個人の位置情報」は「パーソナルデータ」として扱われてきましたが、ようやくここで「個人情報保護法」の対象となりました。

個人関連情報としての「個人の位置情報」の取扱いは、利用目的の特定をはじめとして個人情報に関するルールは適用されません。
しかし、第三者に情報提供する際、提供先が個人データとして取得することが想定されるときは、本人の同意を確認し、確認記録を作成・保存しなければなりません。

また、同ガイドラインでは、「個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当」するとして、「位置情報」は「個人情報」となり得ることが記されています。
「個人の位置情報」が個人情報となるということは、「仮名加工情報」「匿名加工情報」にもなりうるということです。

しかし実際は、個人関連情報である「個人の位置情報」を蓄積したり、分析したりして、苦労して作り出した個人情報について、仮名加工や匿名加工することは現実的ではないように思えます。

ここまで、「個人の位置情報」の法的な位置づけの経緯をみてきました。
次回は、まとめとして、現状の問題点と今後の方向性を整理したいと思います。

（後藤 博則、森 健、丸田 一如）