PPOI أُعيد تغريده
実務論としては精緻なのですが、根本的問題は回避しているのかなぁ。
●評価できる点としては、
従来の「約款審査で足りる」論より一段精緻なところです。
∙ 「契約」と「監査」を概念的に分けている
∙ SOC2・ISO27001等の第三者認証を監査の代替手段として位置づける
∙ 市場メカニズム（選定圧力）による自律的規律を想定している
企業法務一般には納得感あるので、実務的には現時点で到達可能な最善解の一つとして機能しうるのだろうなぁと。
●しかし、根本的な問題は残る。
1. セルフアセスメントの構造的限界
SOC2レポートは事業者が委託した監査法人が作成するものですよね。
∙ 監査範囲はベンダが設定する
∙ 不都合な事実が範囲外に置かれるリスクがある
∙ ユーザはその範囲設定の妥当性を検証できない
「監査されている」という外観（形成）と、実質的な安全管理状態の間のギャップを見るに、先に指摘したSollen/Seinの問題が依然として、残ったままのような。
2. SOC2レポートをレビューできたとしても、インシデント発生時に是正を強制できるかという問題は別ではないか？
監督義務の本質は事後的な是正強制力を含むはずですが、この整理ではそこが空白のままかなぁと。
3. 市場メカニズムへの過信
「対応できないベンダは選定されない」という論理は、
∙ 市場に代替ベンダが存在することを前提とする
∙ しかしGAFAM級の事業者については事実上の寡占が存在する
∙ 「選定しない」という選択肢が現実にはとれない場面が多い
競争市場の前提が崩れているところに市場規律を持ち込む議論は、対応策の落とし込みとしては楽観的すぎるかなぁと。
●本質的には、この意見が精緻であればあるほど、逆説的に浮かび上がるのですが、
これだけの迂回路を要する監督義務の履行とは、そもそも何を守っているのか？という疑問です。
個人データの本人（自然人）保護という実質から見たとき、この構造は、
∙ 義務の形式的履行可能性を担保するための制度的フィクションとして機能しているのではないか。
実務を回すための法的安定性の確保としては意味があるが、本人保護の実質に貢献しているかどうかは、別に問われるような。
●これから、たぶんGAFAMにおいて、重大な問題が顕在化してくるように思います。このときに、この立論の虚構性が際立ってくると思うのですよね。まぁそのときは利用者全体の問題で、全員で赤信号渡っている状態になるので、個別企業が個々にお叱りを受けないという意味で、企業法務的にはセーフということになるのかもですが、そういう了見でいるとニッポンのデジタル社会の夜明けは永遠に見えてこないのかもしれません。
●誠実な対応としては、
この問題を正面から捉えて、
∙ 現行の委託概念・監督義務概念では、大規模AI事業者への個人データ提供を適切に規律できないと認めること
∙ controllerの実質に着目した新たな義務主体の概念が必要であること（立法論）
∙ それまでの間は、そのような提供行為自体の適法性に慎重であるべきこと
が誠実な議論の到達点ではないかと思います。
大井哲也弁護士｜プライバシー&セキュリティ@tetsuyaoi2tmi
ユーザとしては、ユーザ固有の能動的なベンダに対する監査は物理的に困難ですが、それがゆえに、ベンダのセルフアセスメント、SOC2レポートのレビューが、ユーザが現実的に実施可能な監査の一手法になるという整理をしています。すなわち、利用規約、SLA、セキュリティホワイトペーパーが「契約」であり、契約通りに履行されているかの「監査」が、セルフアセスメント、SOC2レポート、（270017なども）の定期レビューとなれば、ベンダとしての監督義務を果たしている、逆に言えば、これらに対応できてないベンダはユーザの監督義務の履行に応えられないので、ユーザから選定されないと。
日本語
