個人情報保護法の来年の改正に向けて、制度改正大綱づくりが最終局面を迎えている。ポイントの1つがいわゆるクッキー規制だ。リクナビを巡る不正が社会問題化するなか、なぜデジタルマーケティング分野が“狙い撃ち”にされたのか。本人同意はどこまで必要なのか。現時点での課題を追った。

　「リクナビ問題より前、今年春ごろにいくつかあったんですよ、似たような問題が。クッキー情報を第三者提供するにあたって、『（御社の）ウェブ会員組織とひも付ければより付加価値の高いデータとして活用できます』といったことをうたい文句に売る事業者がいて、またそれを買う大手企業もいるとの情報が入っていた」

　政府の個人情報保護委員会の幹部はこう明かす。

個人情報保護法は来年、3年ぶりに改正される（写真／Shutterstock）

［画像のクリックで拡大表示］

取材拒否する会社が出るほど業界は揺れている

　クッキーは、ウェブサイトの閲覧情報をブラウザに一時的に保存する機能である。クッキー自体は個人名や住所などを含まず、現行法では保護されるべき「個人情報」には該当しない。第三者へ提供する際も、基本的に個人情報としては扱われない。だが今後は、クッキーの第三者に当たっては本人同意が必要になることがあるとのメディア報道が11月末に相次いだ。外部のクッキー情報を使って広告配信をするパブリックDMP（データ・マネジメント・プラットフォーム）事業者で取材拒否をする会社が出るほど、クッキー問題に業界は揺れている。

　法改正に向けた途上ではあるが、現時点での情報を整理したい。

　個人情報保護法は3年ごとに見直すルールになっており、2020年が改正年にあたる。それに向けた「個人情報保護法　いわゆる3年ごと見直し　制度改正大綱（骨子）」が11月29日に公表された。12月15日ごろをメドに大綱としてまとまり、パブリックコメントを経て法案が取りまとめられ、来年2020年2月ごろに通常国会へ上程される見通しだ。

本人同意が必要なのは2つのケース

　その大綱（骨子）にこうある。

　「個人に関する情報の活用手法が多様化する中にあって、（中略）、提供元では個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する」

個人情報保護委員会がまとめた制度改正大綱（骨子）の抜粋

［画像のクリックで拡大表示］

　クッキーIDを集めると、確かに、ある人が日ごろどんなサイトをよく見て、何をどれくらいの頻度で買うのかといった情報に基づく人物像が浮かび上がる。そこからどうやれば個人とひも付けることができるのだろう──。