「欧州GDPRと新型コロナウイルスのインパクト」

　先月、「プライバシー、COVID-19、デジタルPF」というタイトルのウェビナーを聴講したばかりですが、今度は「欧州GDPRと新型コロナウイルスのインパクト」と題するウェビナーを聴講させていただきました。
　接触確認/追跡アプリの利用は、壮大な世界的社会実験の様相ですが、まだ、実効的に活用できている印象は薄く。。。アプリの性質も様々なら、受け止める国民性も様々。アプリ開発の目的は、①立入制限等に利用、②当局が感染者を把握、③濃厚接触者の自己状況把握の３つに大きく分かれ、日本は③を目的として運用されていますね。
　今回のウェビナーでは、ドイツの接触追跡アプリ「Corona-Warn-APP」が採用になるまでの経緯を興味深く聴かせていただきました。欧州GDPR に抵触しないための「データプライバシー」への配慮や、「自由意思による同意」の要件について考える、よい機会をいただきました。以下、自分用メモ。
・GDPRは目下、世界のGold Standard
・GDPRの適用範囲はEU域内とはいえ、3条により、EU域内在住者へのサービスをしていれば各国事業者は無視できない
・日本は十分性認定（Adequacy decision）を受けているが、BCR（Binding Corporate Rules）に則ることでデータの域外移転は可能
・GDPRにおける個人データの範囲は広く、原則、個人データの取り扱いは禁止で、例外を6条(1)に規定する形
・例外のa～fのうち、aが「データ主体の同意」。同意の有効要件は【主体的宣言/1又は複数の特定目的のため/いつでも同意撤回可能/同意が自由意思によること】
　→※雇用主による強制や、学校が生徒や保護者に要請することも、自由意思同意とはならない（厳格な同意要件、労働法の観点も）
・ドイツには16の州と、全体監督当局とで、17の目配りが必要
・ドイツの監督当局は、Skype、ZOOM、Teams、Google Meet等につき、GDPRを遵守しているとはいえないと指摘（温度差あり、柔軟な解釈対応）
・COVID-19に関するデータ活用では、労働法で罹患報告/公開を課すとか、科学研究のための利活用等、いくつかのソリューションが考えられる
・〔The German COVID-19 Tracing APP経緯〕
　2020/3月：厚生省が電気通信事業者に対し、国民全体の動静把握のため、匿名データの提供を求める
　2020/4月："Donate your Data"アプリで、GPSの位置情報や体温データ収集、ソースコード未公表で批判を受ける
　　　　　　　データスキャンダル発生：警察官保護の観点で、陽性者の名前や住所を警察に提供したことが、GDPR違反であるとして反発を受ける
　　　　　　　→位置情報・時刻等のログを5分ごとに中央サーバに保存する仕様（データ主体のプロファイリング可能）
　　　　　　　→仕様変更により、Bluetoothで距離把握し、暗号化のうえデバイス内のみ保存としたが、メッセージは中央サーバから
　　　　　　　→データ最小化原則に準拠していないとの批判を受け、分散型へ移行（2m以内に15分以上、旧式スマホ不可）
　　　　　　　　日本のCOCOA（分散型）や仏のSTOP COVID（集中型）は、1m以内に15分以上を「接触」として検知
　2020/6/16：アプリのダウンロード開始（国民の3分の2に当たる6000万ダウンロードが目標だった）
　●※ 同じ日に、競争法当局が、Appleに反トラスト法調査をかける、との報道！
　2020/7/14：1570万ダウンロード
・日本のCOCOAは7/15段階で706万ダウンロード
・EDPB recommendation（COVID-19アプリ開発におけるGDPR上の注意）
・個人情報保護委員会からの指針
・7月8日時点でのCOCOAへの感染者登録は3人！（自己感染の情報は発出したくない心理障壁）

　日本の法上の「同意」には厳格な定義がなく、包括同意も可能、期限や年齢も不明確で、解釈に委ねられる部分が多いのは、良いことなのか悪いことなのか。。。医療情報の利活用の際によく問題となる、未成年者や成年被後見人等の取り扱い同様、「自由意思による同意」の判断の難しさを感じます。
　今後、法的な検討のないまま、飲食店への立ち入りや、登校の際の条件として、COCOAのインストールが要請されたり義務付けられたりする場合が生じる可能性もなきにしもあらず。感染症の蔓延のような非常事態下にあっては、データプライバシーよりも、某国のような完全監視に近い形での追跡による実効性の確保を望んでしまう気持ちもあり。。。まさに、技術的にはできるのに法的にできないーーー著作物のネット配信とのアナロジーを感じて、頭を抱えてしまうのでした。