新型コロナウイルス対抗のためのIT技術の利用-中国ヘルスコード

ヘルスコード(中国)とは、個人が地域を出入りする際の電子バウチャーの役割を果たすコードであって、ウィーチャットと、アリペイ を通して発行される。

例えば、日本語の記事としては、「地下鉄利用にもスマホで健康証明、経路記録 中国式デジタル追跡」があります。

中国語での一般的な説明はBaiduのこちら「健康码」

(日本語だと健康碼(けんこうば もしくは、けんこうま)-なお、漢字はこちら

2020年2月11日、浙江省杭州市が主導して健康コードモデルを立ち上げ、実施したそうです。

3色のコードは、これ。

赤色のコードは14日間隔離/黄色のコードは7日以内に隔離/緑色のコードは杭州に直接入ることができます

健康コード

重要人物の動的制御リストなどの関連データベースに接続され、人々が宣言した情報と背景データとの間の検証と比較結果に基づいて「健康コード」を発行

健康情報を記入した後、14日以内に新たに診断された患者や疑いのある患者と接触したかどうか、審査後にカラーコードが生成されます。

  • 緑色のコードを受け取る人はコードを通過
  • 赤色のコードと黄色のコードを受け取る人は規定に従って隔離され、カードをパンチする必要があります
  • 条件が満たされたときに緑色のコードに変換。

Alipayでは多くの復職者が健康コードを申請し、オンライン化初日には訪問数が1,000万件に達したという。

浙江省は2020年2月24日午後、流行防止・制圧業務の記者会見で、この日の12時現在、浙江省は合計5,047万件の健康コードを発行したと発表しました。

その後、2020年2月28日、山西省はヘルスコードを開始しました。

これまでのところ、国内200以上の都市がアリペイでヘルスコードを申請できるようになっています。そのうち、浙江省、四川省、海南省、重慶市、上海市、雲南省、山西省、湖北省などの省・市がフルカバーを達成している。アリペイは、秩序ある再開需要の高まりに伴い、都市の健康コードの適用範囲がさらに拡大し、適用範囲も拡大を続けていることを明らかにした。

技術的な資料としては「防疫通行码参考架构和技术指南」において説明があります。3月5日に深圳市政务服务数据管理局とテンセントとともに標準ドラフトを発表しました。

現時点では、「个人健康信息码」(個人健康情報コード)は、

  1. 《个人健康信息码参考模型》(参考モデル)(GB/T 38961-2020)
  2. 《个人健康信息码数据格式》(データフォーマット)(GB/T 38962-2020)
  3. 《个人健康信息码应用接口》(インターフェース)(GB/T 38963-2020)

からなりたつ標準となっているみたいです

外出行動のスコアリングモデルというとらえ方もできるかもしれません。独裁国家だからというのは、簡単ですが、1月で標準ドラフトをまとめて実施に移すというダイナミズムは、感嘆するばかりです。

 

 

 

 

 

コロナウイルス(Covid-19)とGDPR (29) 事業場と新型コロナウイルス(3)

前のエントリで、一般的なおさらいをしたところで個別の質問に移行します。

ここで、個別の質問というのは、既に紹介しているBird & Birdの質問を前提とします。

以下は、従業員等の健康情報と関係で問題になる事例といえるでしょう。なので、まず、健康情報のお勉強。

「事業場における労働者の健康情報等の取扱規程を策定するための手引取扱規程を策定するための手引き」 https://www.mhlw.go.jp/content/000497966.pdf

かでています。

基本的には、健康情報等については

  • 事業者が必ず取り扱わなければならない健康情報等
  • 労働者本人の同意を得ずに収集することが可能であるが、事業場ごとの取扱規程により事業者等の内部における適正な取扱いを定めて運用することが適当である健康情報等
  • 事業者が直接取り扱うことについて規定されていないため、あらかじめ労働者本人の同意を得ることが必要であり、事業場ごとの取扱規程により事業者等の内部における適正な取扱いを定めて運用することが必要である健康情報等

の3種があることは頭の片隅においておきましょう。

従業員/訪問者/ギグワーカー(以下、同じ)に症状があるかどうかを聞いてもいいのでしょうか?

というのが、質問になります。B&Bでは、これを従業員/訪問者/ギグワーカーの場合とにわけて聞いています。

もっとも、あまり違いはなさそうなので、便宜的に、以下、従業員についてまとめてみます。

イギリス

是。ICOは、従業員に症状があるかどうかを尋ねることは合理的であると述べています。データの最小化の原則が鍵となります – 必要以上の情報を収集せず、適切な保護措置を講じて処理することを確認してください。

フランス

否。CNILはそのガイドラインの中で、雇用主は、組織的かつ一般化された方法で、あるいは従業員やその親族に関する個別の要求やアンケートを介して、考えられる症状の検索に関連する情報を収集てはならないとしています。

ドイツ

是。DPAからの具体的なガイドラインはまだありません。しかし、従業員が特定のCOVID-19の症状を持っているかどうかを尋ねることは正当であると考えています(これはリストアップすることができます)。イエス/ノーの回答で十分である。

また、従業員の個人データは、感染が検出された場合(すなわち、従業員が陽性と判定された場合)や、感染が証明された人と接触した場合、またはリスクのある場所に滞在した場合にも、収集・取り扱われる可能性があります。

日本では、どうなの、ということになると、理屈としては、前にふれた雇用主の義務と個人の個人情報保護とのバランスということになるのかと思います。

この点について明確にふれたものはないのですが、「事業者・職場における新型インフルエンザ対策ガイドライン 」というドキュメントにおいては、

発熱などの症状のある人の入室を防ぐ方法を検討する。例えば、従業員や訪問者等の中に感染した可能性がある者が、直ぐに発見・報告される仕組みを構築する(例:従業員や訪問者等の体温測定等)。

という記述があります。なので、質問は、当然で、体温測定まで、特に、法の趣旨に反するものとまでは考えられていないというように認識します。

従業員等の旅行歴について尋ねることはできますか?

これも、各国をみていきましょう。

イギリス

ICOは、必要に応じて従業員から追加データを収集することは適切であるとしています。しかし、データの最小化の原則が重要であり、必要以上の情報を収集せず、適切な保護措置を講じて処理することを確認してください。

フランス

いいえ。雇用主は、従業員の私生活の範囲内での個人的な旅行に関する情報の開示を従業員に求めることはできませんが、出張を禁止することはできます。

ドイツ

はい、可能ですが、制限があります。DPAによると、雇用主は従業員に一般的な渡航歴を尋ねることはできません。ただし、ロバート・コッホ・インスティテュート(RKI)によって「リスク地域」に分類された地域に滞在していたかどうかは、雇用主が尋ねることができます。

となっています。同じGDPRのもとでも、お国柄がでているような気がします。

日本は、上と同様なので、パス。

従業員等の体温を測定することを義務づけることは可能ですか?
イギリス

厳密に必要であれば可能です。ICOガイダンスでは、従業員の体温を収集して記録することを禁止していません。しかし、これは厳密に必要な場合、すなわち代替手段(リモートワークなど)が不可能な場合にのみ考慮されるべきです。

フランス

否。厳格な禁止項目としてあげられています。

ドイツ

はい、可能ですが、制限があります。DPAからの具体的なガイドラインはまだありません。一般的な意見では、温度測定の結果が従業員の職場への出入りに関する意思決定にのみ使用される場合には、温度測定は認められるとされています。

このような判断はイエス/ノーの判断でなければならず、測定値自体を記録してはいけません。

これは、なかなか微妙な問題があるのですが、現実の問題としては、許容されるだろうというのが私の感覚でもありますね。

この点について、より広めの感じですが「従業員に対して、体温測定等により従業員またはその同居の家族に風邪症状がないかを把握するように促す」ということを認める解説があります(NBL1166 五三智仁)

従業員等の家庭に陽性者がいるか、もしくは症状を有している者があるかということについて質問することはできますか?
イギリス

はい、ICOは、必要に応じて、従業員からの追加データの収集は比例する可能性があると述べています。しかし、データ最小化の原則が鍵となります – 必要以上の情報を収集せず、適切なセーフガードで処理されることを確認してください。例えば、各世帯のメンバーに関する特定の症状に関する情報を収集しないことを推奨します。

フランス

いいえ。CNILはそのガイドラインの中で、雇用主は、可能性のある症状の検索に関連した情報を体系的かつ一般化した方法で収集することや、従業員やその親族に関する個別の要求やアンケートを介して収集することを控えなければならないとしています。

ドイツ

はい、ただし制限があります。DPAからの具体的なガイドラインはまだありません。ただし、考えられる症状についての一般的な質問は、関連性のある範囲でしか質問できません。

となります。

従業員等が、新型コロナウイルス感染症で陽性であると診断された場合、通知を求めることはできますか?

これは、さすがに、伝えなければならないというのは、どの国でも同一ですね。ただ、やっぱりフランスは、厳格ですね。

イギリス

はい、この健康データは、雇用および社会保護法の義務(すなわち健康と安全)を遵守するために、第9条(2)(b) GDPRおよび第1項、Sch.1 DPA 2018の下で、または公衆衛生の分野における公益上の理由から必要な場合には、第9条(2)(i) GDPRおよび第3項、Sch.1 DPA 2018の下で処理されます。

フランス

はい、できますが、制限があります。雇用主は、従業員に対して、会社または管轄の保健当局に、ウイルスへの曝露の可能性に関連して、従業員に関する情報を個別にフィードバックするように求めることができます。また、雇用主は従業員に産業医に連絡するように促すこともできます。

しかし、CNILのガイドラインによると、従業員が感染の可能性を雇用主に伝えた場合、雇用主は以下の情報のみを記録することができます。

ドイツ

雇用者と被雇用者の忠誠心と注意義務に基づき、被雇用者はコロナウイルスの感染の存在を雇用者に知らせる義務があります

これは、日本でも当然でしょうね。でも、法的根拠としては、どうなんでしょ。雇用主の義務を実現させるために信義則上、当然に求められるような根拠でしょうか。考えておきます。

オフィスが開いていても、従業員等に在宅勤務を要求することはできますか?

質問の作成時期とかで、ちょっと趣旨が異なっている感じですね。リモートワーク第一で、各国の回答でもそうなっていますね。

ということで、コロナウイルスとGDPRの洗い出しは、とりあえず一段落。

コロナウイルス(Covid-19)とGDPR (28) 事業場と新型コロナウイルス(2)

前のエントリで、事業場とGDPRの関係をみてみました。

ところで、わが国で検討する際に、前提となる事項を、(順序が逆ですが)押さえておきたいと思います。

雇用主の義務

これについては、労働契約法5条

 使用者は、労働契約に伴い、労働者がその生命、身体等の安全を確保しつつ労働することができるよう、必要な配慮をするものとする。

が根本的な定めになります。(なお、NBL1166 五三智仁 論文において、この部分が強調されています)

労働安全衛生法第22条も、

事業者は、次の健康障害を防止するため必要な措置を講じなければならない。
一 原材料、ガス、蒸気、粉じん、酸素欠乏空気、病原体等による健康障害

とさだめていますので、雇用主の義務として、新型コロナウイルスが事業場で蔓延したり、濃厚接触者が増えることを防止しなくてはならないというのが法的な義務であるということになるのは、当然ですね。

感染症に対する法的枠組

「感染症の予防及び感染症の患者に対する医療に関する法律」(以下、感染症法といいます)の12条

第十二条 医師は、次に掲げる者を診断したときは、厚生労働省令で定める場合を除き、第一号に掲げる者については直ちにその者の氏名、年齢、性別その他厚生労働省令で定める事項を、第二号に掲げる者については七日以内にその者の年齢、性別その他厚生労働省令で定める事項を最寄りの保健所長を経由して都道府県知事に届け出なければならない。

(略)

は、陽性患者の情報がどのような位置づけになるのかという観点から覚えておくべき情報ですね。

また、同法15条

(感染症の発生の状況、動向及び原因の調査)
第十五条 都道府県知事は、感染症の発生を予防し、又は感染症の発生の状況、動向及び原因を明らかにするため必要があると認めるときは、当該職員に一類感染症、二類感染症、三類感染症、四類感染症、五類感染症若しくは新型インフルエンザ等感染症の患者、疑似症患者若しくは無症状病原体保有者、新感染症の所見がある者又は感染症を人に感染させるおそれがある動物若しくはその死体の所有者若しくは管理者その他の関係者に質問させ、又は必要な調査をさせることができる。

となっているのもマストな条文です。これによって保険所の調査が、法的な根拠をもった調査ということになります。前のエントリでは、これによって「国の機関等からの情報提供の要請のある場合」となるので、「公衆衛生の目的のために当局と健康データを共有することができますか?」という質問に対して、「Yes」となるわけですね。

あと、新型コロナウイルスの法的な位置づけです。これについては、新型コロナウイルス感染症を指定感染症として定める等の政令(令和2年政令第11号) などによって 疑似症患者への適用 無症状病原体保有者への適用 診断、死亡したときの医師による届出、積極的疫学調査の実施、健康診断受診の勧告・実施 就業制限、入院の勧告・措置 検体の収去・採取等 汚染された場所の消毒、物件の廃棄等、死体の移動制限 などの適用かなされることになりました。

これらの情報をもとに、個別の質問について考えていきましょう。

Bird&Bird のチャートでは、個別の質問として

  • 従業員/訪問者/ギグワーカー(以下、同じ)に症状があるかどうかを聞いてもいいのでしょうか?
  • 従業員等の旅行歴について尋ねることはできますか?
  • 従業員等の体温を測定することを義務づけることは可能ですか?
  • 従業員等の家庭に陽性者がいるか、もしくは症状を有している者があるかということについて質問することはできますか?
  • 従業員等が、新型コロナウイルス感染症で陽性であると診断された場合、通知を求めることはできますか?
  • オフィスが開いていても、従業員等に在宅勤務を要求することはできますか?

という質問がなされています。

これらの質問について、どのように考えていくのか、というのは、次のエントリでみていきましょう。

コロナウイルス(Covid-19)とGDPR (27) 事業場と新型コロナウイルス(1)

とりあえず、コンタクトトレーシングを離れることにします。

私としても、自分の考え方を整理することができましたし、また、個人情報保護委員会から、「考え方」が出てきたりして、一応の論点は、明らかなったかと思います。

なので、本業的な論点(?)にもどるべき時期かと思います。

このシリーズでは、最初に、GDPRが、新型コロナウイルス対応をしなければならない日常の企業活動において、どのように解されるのか、をBird&Bird(B&Bといいます)などの報告書をみながらまとめていきましょうというのが本来の流れでした。

B&Bの報告書では、一般的な質問と回答としては、以下のような感じになります。イギリス、フランス、ドイツをまとめましょう。

まずは、
イギリス
  イギリス
データ保護当局のガイダンス https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/03/COVID-19-general-data-protection-advice-for-data-controllers/
l  雇用主はどのような医療検査をどのような条件で実施することができますか? 従業員をテストするための通常の原則が適用されます。 雇用主は、テストを実施する理由がなければなりません(実際には、安全衛生上の理由でのみ正当化される可能性が高いです)。 一般的に、検査の押しつけがましい性質を考えると、DPIAの実施が必要となる可能性が高いと考えられます。
l  雇用主は、何らかの措置を講じる前に、労働協議会や労働組合に相談する必要がありますか? 雇用者がそのような事項について労働協議会や労働組合と協議することに同意していない限り(英国では稀です)、協議は必要ありません。 ただし、解雇の提案が含まれている場合は別。
l  雇用主は、感染していると診断されたスタッフの記録を残すことができますか? はい。 特に、データの最小化と目的の限定が重要になります。
l  雇用主は他のスタッフに通知することができますか? はい。 一般的に、個人の身元を開示する必要はなく、必要以上の情報を提供すべきではありません。従業員には注意義務があり、従業員の健康と安全を確保す る義務があることに注意してください。ICOは、データ保護がこれらの義務の遵守を妨げるものではないと述べています。
l  雇用主は、従業員が感染したことを顧客や訪問者に通知することはできますか? はい、可能です。 モバイルワーカーを含む、顧客と接する役割を持つスタッフに関連する場合、必要に応じて顧客に通知することができます。特定の個人に関する情報を 開示する必要はないでしょう。 ただし、特定が不可能な場合は、公衆衛生の分野における公共の利益のために必要な理由がある場合には、健康関連の個人データの処理をGDPR第9 条(2)(i)およびDPA 2018の第3項、Sch.1 DPA2018に基づいて実施することができます。 特定の個人に関する情報が必要になることはほとんどありませんが、必要な場合には、データ保護法がこれを妨げることはありません。
l  私は公衆衛生の目的のために当局と健康データを共有することができますか? 特定の個人に関する情報が必要になることはほとんどありませんが、もし必要になったとしても、データ保護法がそれを妨げることはありません。

となっています。

フランス

  フランス
データ保護当局のガイダンス
 
https://www.cnil.fr/fr/coronavirus-COVID-19-les-rappels-de-la-cnil-sur-la-collecte-de-donnees-personnelles
  雇用主はどのような医療検査をどのような条件で実施することができますか? 医学的検査は、使用者ではなく、産業医、または医療専門家によってのみ実施することができます。
雇用主は、何らかの措置を講じる前に、労働協議会や労働組合に相談する必要がありますか? 従業員数が 50人を超える企業では、会社の組織、経営、一般的な運営、特に労働時間や雇用条件、業務、職業訓練、安全衛生や労働条件を変更するような重大な進展があった場合には、CSE(社会経済委員会) に情報を提供し、相談に乗らなければならない。
雇用主は、感染していると診断されたスタッフの記録を残すことができますか? はい、しかし制限があります。従業員が雇用主に自分の状態を報告した場合、雇用主は以下のことを記録することしかできません。- 感染したと疑われる人の日付と身元 – 組織的な措置(封じ込め、遠隔勤務、産業医との接触の事実)。
雇用主は他のスタッフに通知することができますか? はい、可能ですが、制限があります。影響を受けたスタッフの身元は秘密にしなければなりません。雇用者は、問題がその注意にもたらされた後、従業員の健康状態に関して配慮すべき義務を持っています。
雇用主は、従業員が感染したことを顧客や訪問者に通知することはできますか? はい、可能ですが、制限があります。感染したスタッフの身元は秘密にしなければなりません。雇用主は、問題が注意を喚起された後の従業員の健康状態について、配慮すべき義務があります。
私は公衆衛生の目的のために当局と健康データを共有することができますか? 雇用者は、要求に応じて、上記の記録された情報を保健当局に伝達します。

ドイツ

  ドイツ
データ保護当局のガイダンス https://www.bfdi.bund.de/DE/Datenschutz/Themen/Gesundheit_Soziales/GesundheitSozialesArtikel/Datenschutz-in-Corona-Pandemie.html?nn=5217154
 雇用主はどのような医療検査をどのような条件で実施することができますか? DPAからの具体的なガイドラインはまだありません。関連する質問をしたり、体温を測定したりすることは、そのデータが職場に出入りする個人についての意思決定にのみ使用される場合には、認められると考えられます。そのような決定はイエス/ノーの決定でなければならず、測定値自体は保存されるべきではありません。これはケースバイケースで慎重に検討する必要がある。
雇用主は、何らかの措置を講じる前に、労働協議会や労働組合に相談する必要がありますか? はい、しかし、タイミングを考慮してください。DPAからの具体的なガイドラインはまだありません。  
雇用主は、感染していると診断されたスタッフの記録を残すことができますか? 特に、データの最小化と目的の限定が重要になります。
l  雇用主は他のスタッフに通知することができますか?
はい。DPAによると、雇用主は、明らかに感染している者、または感染の疑いがある者の個人情報(身元情報)を、従業員間のウイルスの拡散を防止または抑制するために必要な場合に限り、従業員と接触した他の者に開示することができます。これはグレーゾーンであり、今後数週間のうちに当局がより寛容になる可能性があることを認識しています。
雇用主は、従業員が感染したことを顧客や訪問者に通知することはできますか?
はい、できますが、制限があります。DPAsによると、雇用主は、明らかに感染している者、または感染の疑いがある者の個人情報(身元情報)を、従業員間でのウイルスの拡散を防止または抑制するために必要な場合に限り、従業員と接触した他の個人に開示することができるとされています。 これはグレーゾーンであり、今後数週間のうちに当局がより寛容になる可能性があることを認識しています。
私は公衆衛生の目的のために当局と健康データを共有することができますか? これはケースバイケースで評価されなければなりません。地元の保健当局に通知する(法的)義務がある場合は、雇用者はそうすることができます。当局が情報を要求する場合、企業はこれらの要求を満たすことができますが、以下のいずれかの処理を確実にしなければなりません。

では、上の質問について、日本だとするとどうなるのでしょうか。

まず日本においては、個人情報保護委員会が、「新型コロナウイルス感染症の感染拡大防止を目的とした 個人データの取扱について 」というガイダンスを公表しています。

このガイダンスの内容は、

保有する個人データについて、原則として、本人に通知等している利用目的とは異なる目的で利用し、又は、本人の同意なく第三者に提供することは禁じられています。しかしながら、以下に該当する場合には、例外として、本人の同意を得ることなく、目的外利用や第三者への提供が許され、今般の新型コロナウイルス感染症の感染拡大防止に当たっては、これらの例外の適用も含めて対応することが可能です。

として、国の機関等からの情報提供の要請のある場合や、人の生命、身体又は財産の保護のために必要がある場合や、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難である場合に第三者提供の禁止の例外があることを示しています。

さらにQ&Aが公開されていて、参考になります。

社員に新型コロナウイルス感染者と濃厚接触者が出た。社内公表する場
合の注意点は何か。

という質問に対して同一事業者内においては、第三者提供に該当しないという解釈が示されています。

また、

仮にそれが当初特定した利用目的の範囲を超えていたとしても、当該
事業者内での2次感染防止や事業活動の継続のために必要がある場合には、本人の同意を得る必要はありません。

とされていて、公衆衛生のためには、第三者提供の例外となるとされています(なお、本人の同意を得ることが困難であるときという要件との関係は不明です-すごく柔軟に解されているみたいです)

また、質問2では

社員が新型コロナウイルスに感染し、当該社員が接触したと考えられる
取引先にその旨情報提供することを考えている。社員本人の同意を取る
ことが困難なのだが、提供することはできるか。

という質問に対して、

取引先での2次感染防止や事業活動の継続のため、また公衆衛生の向上のため必要がある場合には、本人の同意は必要ありません。

とされています。本人が同意しない場合でも、大丈夫そうですね。

では、B&Bの質問に対しては、どうか、というと

労働安全衛生法 22条で

第二十二条 事業者は、次の健康障害を防止するため必要な措置を講じなければならない。
一 原材料、ガス、蒸気、粉じん、酸素欠乏空気、病原体等による健康障害

となっています。あと、

公立学校の教員に関し、学校保健法に基づく健康診断が教職員の保健のみならず児童生徒の保健にも大きな影響を与えること、その一内容である結核予防法(2007 年廃止)によるエックス線検査が教職員個人の保護に加えて学校における結核の防衛をも目的としていることを根拠に、同法(7 条 1 項)および労働安全衛生法(66 条 5 項)上の同検査の受診義務を認め、学校長がその受診を職務上の命令として命じうると判断した判例がある(愛知県教委事件-最一小判平 13・4・26 労判 804 号 15 頁)。

というのも参考になりますね。

ということで、すべてYesという回答でいいように思います。ただし、検査については、理論的に可であっても、実際に何をするのかという問題はありますが。