体温と個人情報の保護―欧州一般データ保護規則と行政裁判所

  • 2020.07.04 Saturday
  • 22:34

この間もたくさんコンセイユデタ(行政最高裁)の判決が出されていますが、こちらは学校や市役所に入る際に体温測定カメラで行われる体温測定の違法性が争われたものです。カメラの前を通ると、体温が色で表示されるよく見るような機械のようです。

 

違法性の内容は、こうしたカメラの利用による体温測定が、EUのデータ保護規則で2018年から施行されている、個人データの保護と利用に関するルールである欧州一般データ保護規則(GDPR, フランス語だとRGPD)に違反するかどうかという点にあります。

 

 

 

 

今回はコンセイユデタのHPもおしゃれな写真なし

 

https://www.conseil-etat.fr/ressources/decisions-contentieuses/dernieres-decisions-importantes/conseil-d-etat-26-juin-2020-cameras-thermiques-a-lisses

 

 

コンセイユデタは、2020年6月26日、Lissesという市により行われる機械を使った体温測定は、GDPRの要請を無視するものであり、法的根拠なく行っていることから、「基本的自由を侵害し著しく違法」だと判断しました。

 

まとめると、

 

ー 体温測定カメラによって人の体温を測定し、その体温と平均的な体温との差を機械で測定することは、目の前にいる人という特定可能な個人のデータを機械的に取り扱うことにより、GDPRの適用対象となる。

 

ー 体温は健康に関するデータであり、その取得は適切な立法あるいは個人の承諾が必要である。

 

ー しかし、立法はないし、体温を測らないと学校に入れないという条件の下で取得された同意は自由な同意でないから有効ではない。

 

ー しかも、カメラを導入する前にそれがどのように人の権利を侵害するかの影響評価も行っていない。

 

ー したがって、体温測定カメラによるこのような体温測定は基本的自由を侵害する著しい違法を有するから、その利用を市はとりやめなくてはならない、

 

というものです。

 

 

もとより、GDPRは個人データは、人々の尊厳や基本的人権の問題であると捉えています。

この部分がGDPRの長大な文書で冒頭に説明されています。

 

この点日本の個人情報保護法と大きく異なるところです。

ネットで簡単に見つかる範囲のGDPRの和訳ではこの序文の部分は省略されてしまっているので、データの取扱いの詳しいルールだけになっていて、残念です。本来はこの個人データと基本的権利の問題を読み込まないと、GDPRに関連する裁判例の意味も十分に読み込めないと思います。

 

この判決でもあくまでも、人権という観点からGDPRの求める個人データの適切な取り扱いがなされているか否かが判断され、体温測定器による体温測定は人の基本的自由を侵害するものであるとして、法律の根拠なく行政が行うことは違法と判断しました。

 

このような体温測定って日本で結構どこでも行われているし、例えば最近よく行く衆議院議員会館の入り口でも体温図られているんですが、たぶん体温図るのを拒否すると会館に入れてもらえない。そのことを考えると、以下の判決が示すフランスの基準に基づくと、議員会館側の扱いも裁判所から違法の判断を受けて、適切な立法をしない限り体温測定が差し止められるんだろうと思います。

 

コロナ対策とはいえ、国や行政が一方的に個人の健康状態に踏み込んではいけないこと、そのためにはきちんとした段取り(立法)を行う必要があるという考えに、法治国家の徹底を見ます。また、個人の尊厳(まさにGDPRが目指すもの)を、立法という形すら取らない国家意思よりも重視するという点において、裁判所が個人の権利の保護を徹底していることを感じ取ります。

 

【事案】

 

Lisses市の市役所に来る人の体温を測るための計測器を設置していたことに対して、人権同盟La ligue des droits de l’HommeというNGOが、体温測定器の設置は、GDPR上問題が生じるとして、コンセイユデタに対し、その撤去を求めた事例。

 

一審のヴェルサイユ行政裁判所はこの申立てを棄却したため、コンセイユデタに上告がされました。

 

これに対する上告審であるコンセイユデタの2020年6月26日の判決の内容は以下のとおりです。

 

 

【訴えの利益】

 

体温計測カメラが市民が利用する公共の施設に設置されているということ、またその利用はセンシティブ情報の利用に該当するとも考えられることから、この計測器の設置は人権同盟が擁護する利益を侵害する恐れがあるため、人権同盟による訴えの利益は認められる。

 

いつものことですが、訴えの利益がとても広く認められています。

 

 

【適用対象となる条項】

 

これは、この事案を審理するために、コンセイユデタが引用するGDPRの条項です。

ここでも引用しておきます。

 

GDPR2条

1.本規則は、その全部又は一部が自動的な手段による個人データの取扱いに対し、並びに、自動的な手段以外 の方法による個人データの取扱いであって、ファイリングシステムの一部を構成するもの、又は、ファイリン グシステムの一部として構成することが予定されているものに対し、適用される。

 

GDPR4条

1.「個人データ」とは、識別された自然人又は識別可能な自然人(「データ主体」)に関する情報を意味する。 識別可能な自然人とは、特に、氏名、識別番号、位置データ、オンライン識別子のような識別子を参照することによって、又は、当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的又は社会的な同一性を示す一つ又は複数の要素を参照することによって、直接的又は間接的に、識別されうる者をいう。

 

2.「取扱い」とは、自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正若しく は変更、検索、参照、使用、送信による開示、配布、又は、それら以外に利用可能なものとすること、整列若 しくは結合、制限、消去若しくは破壊のような、個人データ若しくは一群の個人データに実施される業務遂行 又は一群の業務遂行を意味する。

 

GDPR9条

1.人種的若しくは民族的な出自、政治的な意見、宗教上若しくは思想上の信条、又は、労働組合への加入を明 らかにする個人データの取扱い、並びに、遺伝子データ、自然人を一意に識別することを目的とする生体デー タ、健康に関するデータ、又は、自然人の性生活若しくは性的指向に関するデータの取扱いは、禁止される。

(a)データ主体が、一つ又は複数の特定された目的のためのその個人データの取扱いに関し、明確な同意を与えた場合

 

(g) 求められる目的と比例的であり、データ保護の権利の本質的部分を尊重し、また、データ主体の基本的な権利及び利益の安全性を確保するための適切かつ個別の措置を定めるEU 法又は加盟国の国内法に基 づき、重要な公共の利益を理由とする取扱いが必要となる場合。

 

(h) EU 法又は加盟国の国内法に基づき、又は、医療専門家との契約により、かつ、第3 項に定める条件及び保護措置に従い、予防医学若しくは産業医学の目的のために、労働者の業務遂行能力の評価、医療上の 診断、医療若しくは社会福祉又は治療の提供、又は、医療制度若しくは社会福祉制度及びそのサービス提 供の管理のために取扱いが必要となる場合。

 

GDPR7条

1. 取扱いが同意に基づく場合、管理者は、データ主体が自己の個人データの取扱いに同意していることを証明 きるようにしなければならない。

 

2. 別の事項とも関係する書面上の宣言の中でデータ主体の同意が与えられる場合、その同意の要求は、別の事 項と明確に区別でき、理解しやすく容易にアクセスできる方法で、明確かつ平易な文言を用いて、表示されな ければならない。そのような書面上の宣言中の本規則の違反行為を構成する部分は、いかなる部分についても 拘束力がない。

 

3. データ主体は、自己の同意を、いつでも、撤回する権利を有する。同意の撤回は、その撤回前の同意に基づく取扱いの適法性に影響を与えない。データ主体は、同意を与える前に、そのことについて情報提供を受ける ものとしなければならない。同意の撤回は、同意を与えるのと同じように、容易なものでなければならない。

 

4. 同意が自由に与えられたか否かを判断する場合、特に、サービスの提供を含め、当該契約の履行に必要のない個人データの取扱いの同意を契約の履行の条件としているか否かについて、最大限の考慮が払われなければ ならない。

 

GDPR35条

1.取扱いの性質、範囲、過程及び目的を考慮に入れた上で、特に新たな技術を用いるような種類の取扱いが、 自然人の権利及び自由に対する高いリスクを発生させるおそれがある場合、管理者は、その取扱いの開始前に、 予定している取扱業務の個人データの保護に対する影響についての評価を行わなければならない。類似の高度 のリスクを示す一連の類似する取扱業務は、単一の評価の対象とすることができる。

 

【体温測定器についての検討】

 

体温測定カメラが単に市民の利用に供されるだけで、技術者などの第三者の関与なく、その場で希望者に体温というデータを提供するだけであり、その利用の有無がその施設の利用の可否を決めるものではなく、また、その設置者も体温という情報にアクセスできない場合には、個人データの収集とはいえず、したがって、そのようなカメラはGDPRにいう情報の取扱いには該当しない。

 

これに対し、体温が登録されないとしても、その利用方法を決定する人により取得され、そのデータに基づいて何らかの対応をとることが決定される場合には、体温測定カメラはGDPR4条にいうデータの取扱い(情報の収集と利用)を行うものとなる。

 

このデータの取扱いは、GDPR第2条に定める定義に該当する場合には、GDPRの適用対象となる。また、その取扱いが自動化されている場合も同様である。したがって、単に機器を使って体温を測定することは、それが単に温度を測るということを目的にするだけでは、自動化された取扱いとはならない。しかし、もし計測した体温と平均体温との差を知らせることは、その前提として、測定された体温が平均値と比較されるという事実を踏まえるものであるから、これはGDPRの適用対象となる情報の取扱いの自動化に該当する。

そしてこの取扱いが、特定可能な個人を対象とし、かつ特定の疾患に関し一定の基準をもって健康状況を評価するものである以上は、健康情報に関するデータに関するものとなる。

 

体温というデータだけから個人の特定はできないとしても、体温を測るときにどの個人の体温を測るかがわかっている以上、GDPR26条の法意に鑑み、個人の特定可能な情報と考える。

 

さらにGDPR35条に照らして、情報がセンシティブなものであるか否か、またその私生活に対する影響という観点から検討すると、過去にあまり使用されていなかった機器を用い、その公衆衛生上の有用性に議論があることに鑑みて、このようなデータの取扱いは、実施の条件とリスクを明確にし、それがもたらす高いリスクに対する対策を決定することを可能とする影響評価を行った後でなければ実施することができないというべきである。

 

GDPR9条に基づき、このような健康状態に関する個人データの取扱いは、体温測定カメラにおいて行われる場合、その取扱いが公共の利益により正当化される法律であり、必要な保護を明確にしたものに基づいて行われる以外、あるいは法的根拠に基づき、法律上の守秘義務を有する医療従事者により行われる疾病予防政策の中で実施される場合以外禁止される。この後者の場合、当事者の同意は、GDPR7条に鑑みて、自由、明確、特定的、いつでも撤回可能そしてトレースできることである必要があり、また、対象者が未成年である場合には、GDPR8条に基づく保護の要件を満たす必要がある。

 

 

【本件に関する適用】

 

裁判所が、当事者の主張により判断をすると、

 

― 市による体温測定カメラの設置は、法により、体温測定カメラを使用することを規律し、その実施を必要とする公共の利益を明確にするというGDPR9条2gが求める条件を満たしていない。

 

同様に、9条2hにおいて求められる条件である、公衆衛生政策による取扱いの必要性及びその取扱いを実施するための公衆衛生政策を実施するための法的根拠もない。9条3項の条件である守秘義務を負う医療従事者による処理という要請も満たされていない。

 

― 市は、当事者の同意があると主張するが、その同意がGDPR7条及び8条の条件を満たしているとは言えない。

 

市は、各家庭に対し、子供たちが学校に戻るための条件として同意書の書式を配布しているというが、実際にその同意書上の同意が、情報の処理を実施する前に取得され、保存され、確認されたことの証明はない。

 

また、その同意は、体温に関する情報処理を特定して与えられたものではないし、同意書には、情報主体の情報へのアクセス権や修正権、異議の申立権や同意の撤回権の説明はない。

さらに、カメラで体温を測ることが学校に入ることの条件とされている時点において、その同意は自由に与えられたものであるといえない。

 

したがって、個人の健康状態に関する情報の処理による基本的自由の侵害は著しく違法である。事前に影響評価を行っていれば、体温測定カメラによる体温測定のリスクを認識することができたはずであり、したがって、そのような分析をしていない時点において、健康状態の情報の処理は違法なものとなる。

 

 

【判決主文】

 

1条:2020年5月22日のヴェルサイユ行政裁判所の決定を取り消す。

 

2条:Lisses市に対し、市の学校における体温測定器の使用の終了を命じる。

 

**

 

日本ではたかが体温ということで、携帯式の体温測定器での体温を測られることなどについて疑問を持つことはあまりないかも知れません。ただ、よくよく考えると、個人の権利という観点からは、フランスの裁判所のいうような論点があることもまた確実です。

 

たかが体温でもここまでの議論があり得るということからすると、ここで見てくるのは、目的が何であれ尊重されなければならない個人の自由と尊厳というものがあり、それを制約するためには、国は、大変でも立法を行わなくてはならないという責務を負っているということです。たかが体温でも、国が個人から情報を取得するには、どんなに手間でもきちんと法律を作って個人の権利が侵害されないようにしなくてはならないということを明らかに示します。

 

小さい事柄の積み重ねが、自由と制約の線引きを明確にするのでしょう。立法もなく健康状態を確認されてしまう曖昧な日本の状況も一度考えられるべきかも知れません。