世界のデファクト「OECD８原則」とは？
プライバシー保護の原則として、世界的な共通認識となっているのが、経済協力開発機構（OECD）が1980年に採択した「プライバシー保護と個人データの国際流通についてのガイドラインに関するOECD理事会勧告」（OECDプライバシーガイドライン）である*1。当時の欧米におけるプライバシー保護に関する法律を参照して、最大公約数を抽出し、ある程度の幅のある柔軟な内容となっている*2。
このガイドラインの中で、通称「OECD8原則」と呼ばれるプライバシー保護の8つの基本原則（目的明確化の原則、利用制限の原則、収集制限の原則、データ内容の原則、安全保護の原則、公開の原則、個人参加の原則、責任の原則）が定められている。日本の個人情報保護法もOECD8原則を尊重して策定されており、事業者の義務規定との対応関係も整理されている（図表１）。
従来型の個人情報保護で重視されているセキュリティは、「安全保護の原則」として含まれているが、8つある原則のうちの一つにすぎない。プライバシー保護は、セキュリティ保護よりも広い概念であることがわかる。
また、「個人参加の原則」では、個人はデータ管理者が自己に関するデータを保有しているかどうか照会でき、さらに内容について照会し、内容に不服があれば消去、訂正させる等の権利を有するということを示している。自己情報コントロール権と関連する原則であるが、日本の個人情報保護法では、訂正や利用停止などは適用除外できる規定が盛り込まれている。
OECD8原則は、インターネットやモバイルが未だ台頭するよりもずっと前の時代に策定されたのにもかかわらず、驚くほど現在でも通用する重要な考え方である。基本的な原則は、技術の進展があっても多く変わらないという証左であろう。事実、2013年にOECDプライバシーガイドラインが改正された際に、第三者機関や越境移転などの新たな勧告はあったものの、8原則そのものは変更されることはなかった*3。
