Tポイントを運営するカルチュア・コンビニエンス・クラブ（CCC）が「DATA DEMOCRACY DAYS」（以下「DDD」とする）というコンテストを行うそうです。これは約6500万人の「Tカード」会員の購買データなどを活用した新たな事業やサービスを、一般の社会人や学生などに企画してもらい、その優劣を競うコンテストであるそうです。
・DATA DEMOCRACY DAYS｜CCCマーケティング
・「T会員」6500万人の購買データ使ってサービス企画 CCC「DATA DEMOCRACY DAYS」｜ITmedia
CCCはDDDサイトで、「本人を特定できる個人情報は提供しない」と主張していますが、ネット上では、「T会員の個人情報は大丈夫なのか？」「JR東のSuica事件の再来なのでは？」とちょっとした炎上状態となっています。
２．これらの購買データ等は個人情報・個人データではないのか？
上であげたITmediaの記事によると、このDDD参加者にCCCから提供される購買履歴等のデータはつぎのとおりです。
（「「T会員」6500万人の購買データ使ってサービス企画 CCC「DATA DEMOCRACY DAYS」」ITmediaより）
この図をみると、購買履歴等のデータベースである「ID－POSデータ」においては、暗号化されたT会員IDと、生データのままと思われる「購入した日時」、「提供先企業CD」、「店舗CD」、「商品CD」、「単価」、「数量」、「売上」の項目がならんでいます。
そして「ID－POSデータ」DBと連動している「商品マスタ」においては、「商品CD」から商品のカテゴリーや商品名などをみることができるようになっています。
さらに、「ID－POSデータ」DBと連動している「店舗マスタ」においては、「A社渋谷支店」など、店舗の具体的な地名が表示されてしまっています。
加えて、たしかに「会員マスタ」において、T会員IDは「暗号化」がなされ、氏名の項目は削除されているようです。しかし性別は残っており、住所も郵便番号の上３ケタが残ってしまっており、T会員の住所が市町村レベルで特定できてしまいます。また、会員の生年月日も、日はカットされていますが、年月はそのままになってしまっています。なにより、T会員IDは暗号化がなされているものの、「ID－POSデータ」DBの暗号化されたT会員IDと連動しているようです。（図には、「ID－POSデータ」DB上に「誰が、いつ、どこで、どのように、何を、どのくらい」と書かれ、「会員マスタ」にも「誰が」と書かれている等。）
このように、今回、DDDのコンテスト参加者に提供されるデータは、ほとんど生データであり、個人を容易に特定できる個人データ（個人情報）であるといえます。
平成27年改正個人情報保護法においても、個人情報とは「個人に関する情報であって」、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（略）（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」（２条１項１号）と定義されています。
たとえCCCが提供するデータにおいて、T会員IDを暗号化したり、氏名を削除する等しても、ある人物がいつ、どこで、どんな商品をどのくらい購入したかが明確にわかる以上、本人を容易に特定できるので、これらの提供されるデータはやはり個人情報（個人データ）です。
なお、平成27年改正個人情報保護法は、本人の同意がなくても第三者提供ができる匿名加工情報という制度を新設しました。これは提供元の事業者に情報が「特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにする」ことを義務付けています（個人情報保護法36条）。
そして、同施行規則や、個人情報保護委員会のガイドラインは、特定の個人が識別できないように、データに対して、「特異な記述等の削除」や、「項目削除等」・「一般化」・「トップコーディング」等の加工を行い「個人情報データベース等の性質を踏まえた措置」を行うことを提供元の事業者に義務付けています（施行規則19条４号、５号、「個人情報保護法ガイドライン（匿名加工情報編）」12頁、13頁）。
CCCが提供予定である個人データはほぼ生、あるいは半生の個人データであり、とても匿名加工情報とは考えられません。
３．個人情報の目的外利用に該当しないのか？
つぎに、個人情報保護法は、事業者に個人情報の利用目的をできるだけ特定するよう定め、個人情報の目的外利用を禁止しています（個人情報保護法15条、16条）。
この点、CCCのT会員規約における利用目的には、「ライフスタイル提案のための会員情報分析」というなんとでもとれる文言が入っています（４条３項３号）。
・T会員規約｜CCC
しかしDDDサイトを読むと、本コンテストの趣旨は、「データに接する機会を広くオープンにし、アプリなどの開発につながるようなコミュニケーションを通じて、あなたが幸せを感じたり、毎日の生活が楽しくなるような企画や事業、サービスを提案、創出いただける場を作る」等となっています。
この点を考えるに、「毎日の生活が楽しくなるような企画や事業、サービスを提案、創出」することは、CCCの大好きな「ライフスタイル提案」の利用目的に含まれるとも考えられますが、しかし、「データに接する機会を広くオープンにし、アプリなどの開発につながるようなコミュニケーション」を行うことは、CCCの顧客へのライフスタイル提案とは言えず、個人情報（個人データ）の目的外利用であり違法と考えられます（16条）。
規約等で定めた個人情報の利用目的を超えて個人情報を利用するためには、CCCはあらかじめT会員本人から同意を得なければ、当該個人情報をDDDに利用することはできません（16条１項）。
４．個人情報の第三者提供の例外である「委託」に該当するのか？
個人情報保護法は本人の同意のない第三者提供を原則として禁止しています（23条１項）。ただしその例外の一つに「委託」があります（23条５項１号）。
DDDサイトによると、CCCはコンテスト参加者との関係を「委託」としています。しかし委託は「利用目的の達成に必要な範囲内において」許されているにすぎません（23条５項１号）。３．で検討したように、本コンテストはCCCのT会員規約が定める利用目的を超えているので、コンテスト参加者への「委託」も違法です。
また事業者（委託元）が委託を行う際には、委託元は委託先が法20条の安全管理措置につき、委託元と同レベルの者を選定するための基準・指針を策定し、委託先となろうとする者の事業所等を立ち入り検査などしなければならないとされています（22条、「個人情報の保護に関する法律についてのガイドライン（通則編）」86頁以下）。
このDDDは、学生や一般人などから広くライトな感覚でコンテスト応募者を募ろうとしていますが、CCCが6500万名分の個人情報保護事業者として、十分な安全管理措置および委託先への安全管理措置を講じているのか、大いに疑問です。
５．個人情報保護委員会による監督等
法16条の利用目的による制限や、法20条から22条までの安全管理措置・委託先への安全管理措置などに違反があった場合、個人情報保護委員会は事業者に対して報告徴求・立入検査を行い（法40条）、指導・助言を行い（法41条）、勧告・命令・緊急命令を発することができます（法42条）。そしてこれらの指導や命令違反には罰則が科されます（法84条、85条）。
また、法16条違反があった場合、本人は事業者に対して当該情報の利用の停止を求めることができます（法30条）。さらに、もし万が一、このDDDにおいてCCCが保有する個人データの漏洩事故が発生した場合、CCCは情報漏洩の被害にあった本人から損害賠償請求の民事訴訟を提起されるリスクがあります（民法709条、715条）。
６．まとめ
以上をまとめると、DDDのコンテストにおいてCCCから提供されるデータはまぎれもなく個人情報（個人データ）であり、また、DDDという企画自体がT会員規約の利用目的を超える違法なものです。したがって、CCCはDDD参加者との関係を「委託」としているようですが、これも違法です。そのため、CCCはT会員一人一人から同意を得なければこのDDDを行うことはできません。
また、CCCが保有する大量の個人データについて十分な安全管理措置を講じているかどうか、委託先への十分な安全管理措置を講じているかについても疑問が残ります。
さらに、DDDを行うCCCには、個人情報保護委員会から何らかの処分を受ける行政上のリスクとともに、民事上のリスクもが発生するおそれがあります。加えて、このようなイベントを企画し公表した段階で、風評リスクもすでに発生しているものと思われます。
■追記
Ｔポイントに係る個人情報の第三者提供のオプトアウト手続きについてはつぎのサイトをご参照ください。
・個人情報提供の停止手続きガイド｜ＣＣＣ（←画面下の部分）
・カルチュア・コンビニエンス・クラブ株式会社への情報提供について｜Yahoo! JAPAN
・ ヤフー株式会社との特約に伴うヤフー株式会社に対する情報提供の停止や再開はどうすればよいですか？｜Ｔsite
■参考文献
・宇賀克也『個人情報保護法の逐条解説 第５版』33頁
・岡村久道『個人情報保護法 第３版』176頁、227頁、262頁
・鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』64頁
■参考になるサイト
・「個人情報」の意味、知ってますか？ Tカード、Suica、マイナンバーで考える「個人情報の危うさ」｜ITmedia
・CCCがDDD（データデモクラシーw）で個人データに接する機会を広くオープン！「データは人と世の中をより楽しく幸せにすることができるだろうか？」｜togetter
 |
 |
 |
