EDPB、コネクテッド・カーに関するガイドライン・ドラフトを公表


欧州データ保護会議(EDPB)、コネクテッド・カーに関するガイドライン・ドラフトを公表

EU加盟国の個人データ保護当局代表などから構成される欧州データ保護会議(EDPB)は、2月7日、コネクテッド・カーにおける個人データ処理に関するガイドラインのドラフトを公開した。3月20日まで意見が公募されている。重要なポイントは以下の通り。

1.個人データ該当性に関する見解
ガイドラインは、所有者である自然人を識別できる場合の他、氏名不詳であっても、ある自然人と結びつく車載情報を広く個人データとしてとらえる立場をとっている。

2.適用法令
コネクテッド・カーにおける個人データ処理については、EU一般データ保護規則(GDPR)のほか、車載装置をePrivacy指令が定義する端末装置とみなし、車載装置との通信によるこれらへの読み書きについては、ePrivacy指令の適用を受け、同指令5条(3)を実装する各国法に基づき、情報提供および同意取得の義務があることを指摘した。
ガイドラインは、併せて、コネクテッド・カーに関連する端末情報の読み書きについては、GDPRの適用についても、6条(1)(a)の同意が適法根拠となる可能性が高いだろうとし、たとえ同条項に定められた他の適法根拠(例えば、契約履行上の必要、法的義務履行の必要、正当な利益のために必要など)を援用できる場合であっても、これをもってePrivacy指令5条(3)の同意取得義務による保護を回避することはできないとする。
IIJ注:実際には、ECUの基本的なファームウェア・アップデートなどについては、車両販売契約において利用者の求めに応じて提供されるサービスとして位置づけられるなどにより、ePrivacy指令5条(3)が規定する同意取得義務の例外となり、併せて、GDPR適用上の適法根拠についても「契約履行上の必要」が援用できる場合があると考えられる。ガイドライン中にも、GDPR適用において、同意以外の適法根拠の成立を認める趣旨の記述もある。今後の意見募集では、この点を指摘する意見が提出されると思われる。

3.慎重に処理すべきデータ
ガイドラインは、ジオロケーション・データはプライバシー侵襲度が高いことを指摘し、処理目的に照らして必須な場合を除くほか、利用には特別な注意を払わなければならないとする。バイオメトリック・データについては、できるだけ車両内部で保持するとともに、データ主体に対して、バイオメトリック・データを利用しない選択肢を提供すべきとしている。

4.データ主体の権利行使について
複数の運転者がある車両を運転したり、車両所有者が変わる場合があることを前提に、車両には運転者プロファイル管理の機能を提供し、運転者ごとにプライバシー設定を変更できるようにすることを推奨する。

5.車両内部でのローカル処理の原則
ガイドラインは、サイバーセキュリティのリスクを考慮した場合、可能な限り、個人データは、車両内部で処理し、車両の外側に転送しないよう努めるべきと指摘する。

6.デザインとデフォルトによるデータ保護
提供するサービスを設計する段階から、個人データの処理を最小限にとどめることを考慮し、プライバシー保護に配慮したデフォルト設定を提供すべきとする。デフォルト状態で処理される個人データは、車両が機能するために厳格に必要なものに限定されるべきであるとする。

7.データ保護影響調査(DPIA)について
コネクテッド・カーにおける個人データ処理については、DPIAの実行をベストプラクティスとして推奨する。

8.セキュリティ対策の例示
コネクテッド・カーに関連する個人データ処理におけるセキュリティ対策として、以下が例示されている。
・ 通信の暗号化
・ モデルごとではなく個別車両ごとの暗号鍵管理
・ 遠隔地に保存されるデータの暗号化
・ 定期的な鍵更新
・ データを受信するデバイスの適切な認証
・ ハッシュの利用などによるデータ完全性の検証
・ データ主体によるデータアクセスの適切な認証

また、製造者に推奨するセキュリティ対策として下記が例示されている。

・ 自動車としての死活に関わる機能と、常時通信に依存するその他の機能(たとえばインフォテインメント)とを分離すること
・ セキュリティの脆弱性を緊急にパッチできるしくみを備えること
・ 自動車としての死活に関わる機能に関しては、専用の通信周波数帯を用いること
・ アタックを警報するシステム
・ 車載情報へのアクセス記録の保存

Guidelines 1/2020 on processing personal data in the context of connected vehicles and mobility related applications;
https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-12020-processing-personal-data-context_en

関連記事