【疑問】個人情報保護法、利用目的・第三者提供・委託、事業者は何をせなあかん？【G検定】

お客さんのデータでAIを作りたい。個人情報保護法で、事業者に何が求められるん？

前提のおさらい。個人情報は、生きている個人に関する情報で特定の個人を識別できるもの。データベースを作っているものが個人データ、そのうち開示などの権限を持つものが保有個人データ。要配慮個人情報は特に扱いが厳しい

＞＞1
まず利用目的。個人情報を扱うときは、何に使うかをできる限り特定する（17条）
取得したら、あらかじめ公表していない限り、利用目的を本人に通知か公表する（21条）
特定した目的を超えて使うには、原則として本人の同意が要る（18条）

＞＞3
「サービス向上のため」って書いとけば、AIの学習にも使えるやろ

＞＞4
それは「できる限り特定」になってないと見られやすい。個人情報保護委員会のガイドラインでは、本人の行動や関心を分析する場合は、そういう分析をすることも含めて利用目的を特定するように求めてる
何のためにどう使うか、本人が見て分かる書き方にする

＞＞2
個人データを他の会社に渡すのが第三者提供。原則として、あらかじめ本人の同意が要る（27条1項）
例外は、法令に基づく場合、人の命や財産を守るために必要で同意を取るのが難しい場合、など

＞＞6
オプトアウトという方法もある。本人が求めたら提供を止める、と決めて、必要な事項を本人が分かる状態にして個人情報保護委員会に届け出れば、同意なしで提供できる（27条2項）
ただし要配慮個人情報は、この方法では提供できない

＞＞6
AIの開発会社にデータを渡して学習してもらうのも、第三者提供になるん？

＞＞8
利用目的の範囲内で、データの取扱いを任せる「委託」なら、受け取る側は第三者に当たらない（27条5項）。事業の承継や、決まった相手との共同利用も同じ扱い
そのかわり、任せた側は委託先をきちんと監督せなあかん（25条）

＞＞9
委託やからって何でもできるわけやない。委託先が、預かったデータを自分の会社の別のAIの学習に使い回したら、委託の範囲を超える。そうなると委託とは言えなくなる

ほかにもある
安全管理のための措置（23条）
外国にある第三者に渡すときの決まり（28条）
第三者に提供したときの記録（29条）