国連の人権専門家は明確なメッセージを発した。紙の上のプライバシー法だけでは不十分だという。ジュネーブから発表された声明で専門家らは、データ保護機関の独立性と裁判所への実効的なアクセスが、特に強力なテクノロジー企業が関与する場合において、プライバシー権を守るために不可欠であると述べた。個人データが企業のデータベースに置かれている人々にとって、この点は実用的な意味を持つ。独立したデータ保護機関とプライバシー権は表裏一体であり、一方が弱ければ他方も損なわれる。

監視と司法について国連専門家が述べたこと

国連人権高等弁務官事務所（OHCHR）が発表したこの声明は、あるシンプルな原則を中心としている。専門家の言葉を借りれば、「プライバシー権は法律だけでは保護できない」。公表された声明の抜粋は短いため、本記事は専門家が直接述べた内容、すなわち監視機関は独立していなければならず、権利が侵害されたときに人々が裁判所に訴えることができなければならないという点に限定している。

これは連携して機能する二つの別個の保護措置である。データ保護機関は苦情を調査し、組織を監査し、制裁を課すことができる。裁判所は個人が救済を求め、企業や規制当局自身の決定に異議を唱えるための手段を提供する。いずれかの層が欠けているか損なわれていれば、データを悪用された人は有意義に頼れる場所を持たないかもしれない。

なぜ法律だけでは強力なテクノロジー企業に対抗できないのか

現在、ほとんどの国に何らかの形のデータ保護法制がある。しかし法律の強さは、それを執行する制度の強さに等しい。大手テクノロジー企業は膨大な量の個人情報を保持し、多大な法的・財政的資源を有している。そうした企業と向き合う個人ユーザーは不平等な立場に置かれる。

その不均衡こそが、専門家らが独立性と司法へのアクセスを強調した理由である。政治的または商業的圧力の下にある規制当局は、大手企業を追及することに消極的かもしれない。適切な権限や資源を持たない規制当局は、追及することができないかもしれない。そして裁判所が高コストすぎたり、遅すぎたり、アクセス不能であったりすれば、個人は法が自分たちの味方であっても権利の行使を単に諦めてしまうかもしれない。

実際には、これはプライバシー法の条文が物語の一部しか示していないことを意味する。誰が規制当局を任命するのか、どのように資金提供されるのか、企業だけでなく政府に対しても行動できるのか、そして人々がその決定を不服申し立てできるのか——これらすべてが、現実にどれだけの保護が存在するかを形作る。

規制当局が独立性を欠くとき：インドDPDP法の例

インドのデジタル個人データ保護法は、こうした懸念がなぜ重要かを示す有用な事例研究を提供している。2023年に同法が可決されたとき、世間の議論の多くは漏えい通知、制裁、企業に対する同意要件に集中した。同法が透明性規則とどのように関わるかにはあまり注意が払われなかった。インドDPDP法第44条(3)がRTI法に基づくアクセスにどう影響するかに関する私たちの解説記事は、一つの条項が国民の情報入手能力をいかに狭め、ひいてはデータの取り扱われ方に対する監視をいかに制限しうるかを検討している。

この教訓は国連専門家の警告に合致する。データ保護の枠組みは同意規則と制裁を含みながらも、免除規定が説明責任を弱めたり、監視が独立性を欠いたりすれば、依然として穴を残す可能性がある。どの国でも議論を追う読者は同じ問いを使える。規制当局は監督対象の機関から独立しているか。市民は決定に異議を唱えられるか。透明性を損なう除外規定はあるか。

あなたにとって何を意味するか

自国の規制当局の構造をあなたが左右することはできないかもしれないが、既存の保護措置を意味あるものにするための措置を取ることはできる。

  • 法的権利を行使する。 居住地によっては、企業が保持する自分のデータへのアクセスを求め、訂正や削除を要求し、特定の利用に異議を唱えることができる場合がある。こうした請求は、後に苦情を申し立てる必要が生じた際の記録にもなる。
  • 自分の規制当局を知る。 どのデータ保護機関が自分を管轄しているか、苦情をどのように申し立てるかを調べよう。苦情は規制当局が問題を把握する主要な手段の一つである。
  • 記録を保管する。 データが不適切に扱われたと考えるときは、プライバシー通知、通信文、スクリーンショットを保存しよう。紛争が規制当局や裁判所に届いた場合に役立つ。
  • 免除規定に注意を払う。 新しいプライバシー法が提案または可決されるときは、見出しの保護規定を超えて目を向けよう。免除規定と弱い執行規定がしばしばその実効性を左右する。
  • 防御を重ねる。 法的権利はデータが収集された後に機能する。技術的ツールはその前に機能する。暗号化、強力な固有のパスワード、二要素認証、そしてネットワークトラフィックが明かす情報を制限するVPNは、そもそも露出するデータの量を減らすことができる。VPNは法的保護の代わりにはならず、法的保護も適切なセキュリティ習慣の代わりにはならない。

要点

国連専門家の声明は、プライバシーが技術的課題であると同時に制度的課題でもあるということを思い起こさせる。独立したデータ保護機関とプライバシー権は互いに依存している。強い法律には圧力を受けずに行動できる規制当局が必要であり、個人には現実的に訴えられる裁判所が必要である。

読者にとって最も有用な対応は、アプローチを組み合わせることだ。アクセス、削除、苦情の権利を行使し、暗号化とプライバシーツールを使ってデータの露出を減らし、法律がどのように書かれ執行されるかに注意を払い続けよう。弱い監視と免除規定がプライバシーと透明性の両方を実際にいかに損ないうるかを知るには、インドのDPDP法とRTIアクセスへの影響に関する事例研究をお読みいただきたい。