M&P Legal Note 2021 No.4-2
中国ネットにおけるCookie（クッキー）追行による個人情報の取扱い
2021年4月27日
松田綜合法律事務所
中国弁護士 徐 瑞静
１、はじめに
多くのユーザーが体験したことがあると思いますが、インターネットで興味のあるコンテンツを検索した後に、他のサイトを開くと、トップページの広告欄に表示されているのは、直前に検索した内容に関する商品の紹介です。このような状況について、多くの人は、自分の情報が如何にして1つのウェブサイトから別のウェブサイトに伝わったのか、不可解な思いを抱くことでしょう。実は、この背景には、クッキーの技術が役割を果たしています。クッキーとは、ユーザーが何れかのウェブサイトを閲覧した際、当該ウェブサイトがユーザーのコンピュータに格納されるテキストファイルのことですが、このファイルは、ユーザーのIPアドレス、アカウント、パスワードなどのユーザー識別と、その操作、すなわち、閲覧したウェブページ、検索した内容、ショッピングカートに加入した商品などの操作情報を記録し、キャリアサーバとユーザーコンピュータとの間で情報を伝達しているのです。クッキーは、個人情報の識別が可能であるという特徴を備えており、直接的または間接的な識別により、それを具体的な情報本体に繋ぐことができます。このようなクッキーの技術がビッグデータプレシジョンマーケティング（精密マーケティング）分野において広範に応用されるに従い、消費者個人情報保護についても関心が高まっています。
クッキーは、ユーザーの個人情報を収集し、分析することにより、多様な消費者に対して、それぞれが興味を抱く広告コンテンツを提示し、広告の正確な配信を実現することを可能とします。インターネットのビッグデータ時代に、技術力によってユーザーのクッキーを分析することで、各人の潜在的な需要を正確に判断し、広告主のターゲットグループを位置づけ、広告の精確な投入を実現すること見返りとして、広告主から、可及的に高額な広告費を受け取ることになります。他方、個人消費者にとっても、大量の広告に煩わされることなく、より便利に自分の必要な情報を探し出すことができることになります。しかしながら、マーケティングの過程において、製品やサービス情報をユーザーに送る場合、ユーザーの携帯電話番号、マイクロ信号、携帯電話のハードウェア識別コード（IMEI）、ブラウザのクッキー情報などが必要となりますが、それらの情報は個人情報として認識されるものであることから、その是非、すなわち、クッキーの技術の応用により、消費者などの個人情報を侵害することに対する懸念があります。目下、中国において提起されている「クッキー案」は、まさに、この問題をめぐって論じられているのです。
２、発端の事件と裁判所の判断
先例として、バイドゥ（「百度」）に対する訴えを引用することができます。バイドゥは、中国において最大の検索エンジンなどのネットサービスのサプライヤーを提供する会社ですが、2014年初め、X氏が、インターネットで関連サイトを閲覧する過程で、バイドゥの検索エンジンを利用して関連キーワードを検索すると、バイドゥのインターネット連盟の特定のウェブサイトに、当該キーワードに関連する広告が表示されます。そこで、X氏は、バイドゥがネット技術を利用してX氏の検索キーワードを記録して追跡し、X氏の関心事の特徴などを関連ウェブサイトに表示し、記録したキーワードを利用して、X氏のウェブページに広告を提供していることに対し、X氏の個人情報を侵害したとして訴えを提起しました。
本件について、第一審は、個人情報は個人の活動と私有の領域を含むものと判断しています。すなわち、X氏が特定の語彙を利用してバイドゥのインターネット検索する行為は、インターネット空間に個人情報の軌跡を残しますが、この軌跡は、個人におけるインターネット利用の好みを示し、個人の趣味、需要などの個人情報を反映しており、それは、ある程度まで、個人の私生活の状況を識別し、個人情報の範囲に属するものであり、バイドゥが、クッキーの技術を使用しながら、X氏のオンライン活動の軌跡を収集し、この情報に基づき、提携サイトにX氏のインターネット情報と関連したプロモーションコンテンツを展示することは、そのビジネス活動であり、従って、個人情報の侵害になるとの判決が言い渡されました。
それに対して、第二審は、バイドゥが、個人に対する関連情報の提供において、ネットワーク技術を用いて収集し、利用しているのは、ネットワークユーザーである個人のアイデンティティを識別できないデータ情報であり、このデータ情報の匿名化の特徴は、「個人情報」の識別可能性の要求に合致していないため、侵害の成立要件を満たしていないと判示しました。けだし、検索エンジンによって形成された検索キーワード記録は、ネットワークユーザーのネットワーク活動の軌跡とインターネット上の好みを反映している点において、個人情報の属性を有していますが、このようなネットワーク活動の軌跡とインターネット上の好みは、一旦ネットユーザーの身分と分離したら、具体的な情報に関わる主体に属するか否かは確認できないことから、個人情報の領域には含まれず、したがって、バイドゥの追行行為はX氏の個人情報を侵害することにはならないとして、第一審判決を覆し、X氏の訴えを棄却しました。
３、判断基準としての個人情報の識別
上記第一審判決と第二審判決をめぐる論議は、プロバイダがクッキー技術を利用して収集したユーザーに関するクッキー情報が、個人情報の範疇に属すると認定され、そして、個人情報の侵害に該当するとされるためには、それが、「情報識別性」に適合しなければならないか、ということです。
同一の事実に対して、両審の裁判所は異なる判断を下し、司法実践において、クッキー行為の性質認定において、その認識に相違があることを明らかにしました。因みに、本件は、2017年に実施された「サイバーセキュリティ法」及び2017年の「最高法院、最高検察庁の公民個人情報を侵害する刑事事件の取り扱いに関する法律上の若干の問題に関する解釈」、2020年に実施されたGB/T35273-2020「情報セキュリティ技術－個人情報セキュリティ規範」などの法律、規範文書の発布ないし発効前に結審した案件であり、当時、バイドゥの追行行為は、個人情報の侵害に当たらないとの判断も許されうる状況にありました。しかし、現在、改めて、上記の数々の新法の規定に基づいて判断すれば、クッキーの技術によりユーザーのウェブサイト閲覧記録に対する追行行為は、個人情報の侵害として認定される可能性があるように思われます。
目下のところ、クッキーに対する特別な規定はありませんが、現行法の下においても、上記関連法において電子または他の方法で記録された特定の自然人の身分を単独または他の情報と結び付けて識別することができるか、または、特定の自然人の活動状況を反映する各種情報として、氏名、身分証明書番号、通信連絡先、住所、口座番号、財産状況、行方軌跡などが個人情報の範疇に入ります。そして、中国国家標準化管理委員会が発表したGB/T35273-2020「情報セキュリティ技術－個人情報セキュリティ規範」を見ても、国家推奨の基準であって、法的強制力はありませんが、個人のインターネット接続記録（インターネットログに保存されているユーザー操作記録、ウェブサイト閲覧記録、ソフトウェア使用記録、クリック記録などを含む）、個人の常用設備情報（ハードウェアシリアル番号、デバイスMACアドレス、ソフトウェアリストなど）は、いずれも個人情報の範囲に組み入れられています。
４、おわりに
現行法の規定によると個人情報を収集する際にユーザーの同意を得て、合法、正当、必要の原則に従い、収集、使用規則を公開し、情報を収集、使用する目的、方式及び範囲を明示しなければならず、また、収集した個人情報を漏洩、改ざん、毀損することは許されません。
そして、情報を収集された者の同意を得ない限り、他人に個人情報を提供してはならず、また、収集した個人情報の安全を確保し、情報の漏えい、毀損、紛失を防止する技術措置及びその他必要な措置を講じることが要請されることになります。中国において、クッキー追行が論議される社会的背景として認められるのは、個人情報の保護に対する意識が確実に高まっている事実にほかなりません。その意味において、やはり、中国も、国際社会の潮流に同調していることは明白であり、今後、IT関連の先進国として、その進展がより一層注目されるべきでしょう。
このリーガルノートに関連する法務
お問い合わせ
この記事に関するお問い合わせ、ご照会は以下の連絡先までご連絡ください。
松田綜合法律事務所
中国弁護士
徐 瑞静
info@jmatsuda-law.com
〒100-0004 東京都千代田区大手町二丁目1番1号 大手町野村ビル10階
電話：03-3272-0101 FAX：03-3272-0102
この記事に記載されている情報は、依頼者及び関係当事者のための一般的な情報として作成されたものであり、教養及び参考情報の提供のみを目的とします。いかなる場合も当該情報について法律アドバイスとして依拠し又はそのように解釈されないよう、また、個別な事実関係に基づく日本法または現地法弁護士の具体的な法律アドバイスなしに行為されないようご留意下さい。