信用スコアリング事業を題材としたプロファイリングの法的課題 ― 個人情報保護、プライバシーの観点から

利用目的の特定

個人情報保護法では、個人情報の取得にあたり、当該個人情報の利用目的を「できる限り特定」（法15条1項）の上、「通知又は公表しなければならない」（法18条1項）とされます。このため、信用スコアリング事業においても、実務上、プライバシーポリシーなどによる、サービスやプロセスの具体的内容を踏まえた利用目的の公表が求められます。

利用目的の特定の程度としては、『個人情報の保護に関する法律についてのガイドライン（通則編）』*2（以下「通則ガイドライン」）26ページおよび27ページによれば、「最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい」とされ、「単に『事業活動』、『お客様のサービスの向上』等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならない」とされます。利用目的の特定の程度についての明確かつ画一的な基準はなく、各企業の判断に委ねられる面が大きいですが、実務上は、適法・違法のラインを探るのではなく、サービス利用者がよりよく理解できる内容を追求することが重要になります。

実際、適法であったとしても、サービスのリリース時にSNSなどにおいて批判的意見が寄せられた事例も出ており、消費者・利用者目線での積極的かつ明確・具体的な説明が求められるのが近時の傾向です。

第三者提供の同意取得

また、個人情報保護法上、個人データの第三者提供には原則として本人同意が必要とされます（法23条1項）が、近時、ある企業に対し、個人情報保護委員会の勧告が行われたことは記憶に新しいところです。個人情報保護委員会は、この企業の提供サービスに関し、（1）データ項目の提供先で特定個人を識別できることを知りながら、提供元では特定個人を識別しない方式で本人同意なく第三者提供を行った、および（2）ハッシュ化すれば個人情報に該当しないとの誤った認識のもと、提供元で特定個人を識別できる方式で本人同意なく第三者提供を行った、として勧告を行っています。

信用スコアリング事業は基本的に、その性質上、特定の個人を識別して個人データを取り扱うことが多いです。そのため、実務上、本人同意がない限り、信用スコアの第三者提供が行われない仕様とする必要があるものと考えられます。

なお、2020年6月12日に公布された改正個人情報保護法（以下「改正法」）においては、新たに「個人関連情報」（生存する個人に関する情報であって、「個人情報」「仮名加工情報」および「匿名加工情報」のいずれにも該当しないものを言う）の概念が設けられ、データ提供者は、提供先が個人関連情報を個人データとして取得することが想定される時は、本人同意が得られていることなどの確認義務を負うこととされました（改正法第26条の2）。このため、信用スコアリング事業者は、改正法施行後は、利用企業が信用スコアを既存の個人データと紐づけて利用することが想定される場合は、仮に自らが特定の個人を識別しない方式で信用スコアを作成していたとしても、利用企業側が適切な利用目的を示して本人同意を取得済であるかなどの確認を求められるものと考えられます^*3。

プロファイリングの実施とプライバシー保護

前述の通り、個人情報保護法ではプロファイリングの実施自体を規制する規定は存在せず、本人同意なく目的外利用されている場合または不正取得された場合などにおいて、保有個人データの利用停止など（法30条1項）を求める余地があるにとどまります。

しかしながら、利用者のプライバシー保護を念頭に置いた場合、実務上は、信用スコアリング事業においては、そもそも信用スコアの作成・利用に先立って（すなわち、信用スコアを提携先企業などへ第三者提供するタイミングではなく、それよりも前の段階で）、利用者本人から明示の同意を取得する運用が要求されるものと考えられます。