本人情報転送要求制度の開始を前に、スクレイピングによる情報取得が一律に遮断されるとの見方が広がり、フィンテック業界などで懸念が強まっている。これに対し個人情報保護委員会は、制度の趣旨はスクレイピングの全面禁止ではなく、事前協議を前提に段階的にAPI方式へ移行することにあると説明している。

同制度は2025年6月に立法予告され、2026年2月に施行が公表された後、6カ月超の猶予期間を経て導入を迎える。

個人情報保護法の改正により、一定規模以上の個人情報処理機関は、本人の求めに応じて本人情報を本人または代理人に送信する義務を負う。制度開始を控え、これまで認められてきたスクレイピング方式での送信ができなくなるとの受け止めが広がり、関連業界で議論が活発化していた。

こうした中、大法院が20日から、金融機関などによる法院サーバーへの無断スクレイピングを全面的に遮断すると告知したことで、論争はさらに拡大した。その後、法院はこの措置を一時猶予するとしている。

スクレイピングは、プログラムを使ってWebサイトや他のシステムから必要なデータを自動で抽出・収集する技術だ。人手によるコピー・アンド・ペーストを介さず、大量の情報を迅速に取得できるため、幅広い分野で活用されてきた。

一方で、利用者のIDやパスワード、認証情報などを使って代理人が相手機関のシステムに接続し情報を取得する仕組みであるため、認証情報を第三者に預けることになるほか、必要な範囲を超えて個人情報にアクセスするおそれもある。利便性や開発のしやすさがある半面、セキュリティ上のリスクは以前から指摘されてきた。

個人情報保護委員会によると、本人情報転送要求制度はスクレイピングそのものを一律に封じる制度ではない。スクレイピングを用いる場合には、情報を送る側との事前協議を求めた上で、中長期的にはより安全なAPI方式へ移行することを重視しているという。

具体的には、スクレイピングで利用者情報を取得するサービス事業者は、公的機関については8月20日から、民間企業については2027年2月20日から、それぞれ情報保有機関と事前協議を行う必要がある。個人情報保護委員会は、公的機関でAPIを直ちに整備するのは難しい現実を踏まえ、事前協議を経たケースでは、既存のスクレイピング方式も合意の下で当面認め得るとしている。

同委員会は、制度の核心はスクレイピングの一律禁止ではなく、個人情報が移転する過程をより安全な形へ改めることにあると説明する。公的機関や民間企業に対して、利用者に代わって本人情報の送信を求める際にスクレイピングなどの自動化ツールを使う場合は、事前協議で定めた方式に従って送信するよう求める趣旨であり、スクレイピング自体を全面的に遮断するものではないとしている。

事前協議では、送信項目の範囲、代理人確認の方法、自動化ツールのアクセス方式と認証水準、代理人の保護措置などを確認する。

個人情報保護委員会は、事前協議を前提とするスクレイピングを、本人情報転送要求制度の第1段階と位置付けている。市場の混乱を抑えながら、長期的にはスクレイピングに依存しないAPI基盤へ移行し、安全な本人情報転送の環境を整備する考えだ。無制限なスクレイピング慣行は、過剰な情報収集による漏えいや不正利用のリスクを高めるため、最終的な代替手段はAPIになるとの見方を示している。

制度の考え方について、同委員会はマンション管理に例えて説明している。本人情報転送は、マンション管理事務所が各住戸内の物品の保安・保護責任を負うことを前提に、マンションに保管された物品を宅配業者である代理人を通じて届ける過程に似ているという。

従来のスクレイピングは、宅配業者が世帯主から渡された住戸の暗証番号を使って住戸に直接入り、発送する荷物を持ち出すのに近い。故意やミスで別の物品を持ち出すおそれがあり、第三者に暗証番号が漏れるリスクもある。管理事務所が、誰が何の目的で訪れ、何を持ち出したのか把握しにくい点もセキュリティ上の弱点だとしている。

これに対し、事前協議に基づく「合意されたスクレイピング」は、マンションごとの事情に応じて管理事務所が管理する方式に当たる。宅配業者の身元を確認した上で住戸への出入りを認めたり、特定の共用区域を指定して物品の一時保管を支援したりするケースがこれに当たる。

APIは、各世帯が利用する宅配ロッカーを設け、管理事務所はその設備の維持・管理に注力する形に例えられるという。

個人情報保護委員会は、立法予告の前後約1年にわたり、無秩序に行われてきたスクレイピング慣行を是正するため、公的機関との事前協議が必要だと繰り返し周知してきたとしている。全業種の企業・機関を対象とした公開説明会、分野別・業態別の懇談会、個別面談などを通じ、代理人による転送要求の方法や手続きも案内してきた。6月には、全分野のマイデータ本人情報転送要求制度に関する案内書も配布した。

また、企業が公的機関と個別に事前協議を進める際の参入障壁を考慮し、6月25日から7月末まで、公的機関と代理人の事前協議を支援するプログラムを2回試行運用した。第1回は約70機関から約150件、第2回は約550件の申請があった。事前協議を申請した機関には、協議が完了するまで現行方式を維持できる猶予を適用する。

一方、スクレイピングで公的機関から利用者情報を取得してきた企業の中には、なお事前協議を終えていないところも少なくないという。制度変更は周知してきたものの、内容を把握できておらず対応が遅れたケースも相当数あったとしている。

こうした状況の中、20日に公的機関向けの本人情報転送要求制度の施行が迫る一方、法院によるスクレイピング遮断の告知も重なり、事業者の間で混乱が広がった。個人情報保護委員会はこれを受け、11日から31日まで、本人情報転送要求の代理人に関する事前協議支援の第3回申請を受け付ける。

本人情報転送要求制度はいま過渡期にある。個人情報保護委員会が最終目標に据えるAPIによる転送が定着するまでには、なお時間を要する見通しだ。公的機関にとってAPI構築は義務ではないため、需要が確認できなければ整備に慎重な姿勢を取る可能性もある。同委員会は、事前協議を通じて本人情報転送の需要が大きいと判断されれば、APIシステムの構築に踏み切る公的機関が増えるとみている。