10

個人情報保護と人権

本稿では、まず個人情報保護法の 2020（令和 2）年改正を振り返り、その概要を整理した上、官民一元化を図った 2023（令和 4）年改正以降の最新動向を確認する。それらを踏まえて、生成 AI と個人情報保護と人権をめぐる喫緊の課題などを検討し、かかる環境下、われわれ弁護士がどう行動すべきかについて論述することとしたい。

(1) 個人情報保護法の 20 年改正
ア

20 年改正の概要

2020（令和 2）年 6 月 5 日、個人情報保護法の改正法が可決・成立し、同月 12 日に公布、2022（令和 4）年 4 月 1 日に施行された。
近年の環境変化を踏まえ、2019（平成 31）年 4 月、委員会は、「個人情報保護法 いわゆる 3年ごと見直しに係る検討の中間整理」を、同（令和元）年 12 月には「制度改正大綱」を公表した。改正大綱では、①個人データに関する個人の権利の在り方、②事業者の守るべき責務の在り方、③事業者における自主的な取組を促す仕組みの在り方、④データ利活用に関する施策の在り方、⑤ペナルティの在り方、⑥法の域外適用・越境移転の在り方など、8 項目の個別的な検討事項が示されていた。
これらの項目のうち、特に実務的に注目すべきは、オプトアウトによる第三者提供の一部制限（法 27 条、前記①）、本人からの開示請求等の範囲拡大（同 16 条 4 項・32～35 条等、前記①）、個人情報の不適正な利用禁止（同 19 条、前記②）、漏えい報告・通知の義務化（同 26 条、前記②）、仮名加工情報の導入（同法 2 条 5 項・16 条 5 項・41 条・42 条、前記④）、罰金刑の強化（同 178 条・179 条、前記⑤）である。
イ

個人情報の不適正な利用禁止

個人情報保護法は、事業者が、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用することを禁止する（法 19 条）。
欧州の一般データ保護規則（General Data Protection Regulation：GDPR）では、個人データの利用停止を何時でも行うことできるが、我が国では、利用停止は不正取得時や目的外利用の場合に限って可能とされてきた（旧法 30 条）。そこで、破産者マップ事件等も踏まえて、個人情報の不適正な利用を禁止することにより、不適切な濫用を防止したものである。
ウ仮名加工情報

従前は、個人を認識できないように個人情報を加工した匿名加工情報が活用されてきたが（法2 条 6 項）、GDPR には、匿名化のほかに「仮名化」という仕組みがある。仮名化（ Pseudonymisation ）とは、個人のデータを仮名にして本人を直接特定できないようにすることをいう。たとえば、氏名・性別・年齢・住所からなる個人データについて、氏名と住所を記号に置き換え、当該個人を特定できないようにすれば、かかる「仮名情報」をデータの利用停止や開示請求の対象外とすることができる。
1

我が国においても、経済界を中心に仮名化の導入の要望があり、国際的な動向も踏まえて「仮名加工情報」という概念が追加された（法 2 条 5 項・16 条 5 項・41 条・42 条）。
エ漏えい報告の義務化

個人情報保護法は、個人データの漏えいなどが発生し、個人の権利利益が害されるおそれが大きい場合、事業者に委員会への報告と、本人への通知を義務づける（法 26 条）。
インターネットや SNS の普及により、個人情報漏えいが重大な事態に発展する傾向にあるし、
GDPR では漏えいから 72 時間以内の報告義務を課すなど、法的に報告を義務化している国も多い。
個人情報保護委員会によれば、個人の権利利益を害するおそれがあるときに該当する事態とは、①要配慮個人情報が含まれる、②財産的被害が生じるおそれがある、③不正の目的をもって行われた漏えい等が発生した、④1,000 人を超える漏えい等が発生した事態をいう。
オ

罰金の強化

GDPR では、2000 万ユーロまたは前年度の全世界総売上高の 4％のうち高い方を上限とする課徴金が定められており、我が国に比較して罰則が厳しいと指摘されてきた。かかる状況下、我が国のペナルティには実効性が乏しいとの意見もあり、措置命令・報告義務違反の罰則（措置命令違反：1 年以下の懲役または 100 万円以下の罰金、個人情報データベース等の不正流用：1 年以下の懲役または 50 万円以下の罰金、報告義務違反の罰則：50 万円以下の罰金）と法人に対する罰金刑（措置命令違反・個人情報データベース等の不正流用：1 億円以下の罰金、報告義務違反の罰則：50 万円の罰金）を引き上げている。

(2) 個人情報をめぐる最新動向
ア

23 年改正法

2022（令和 4）年 4 月 1 日からは、行政機関個人情報保護法と独立行政法人等個人情報保護法が民間企業と同様の個人情報保護法に統合され、翌 2023（令和 5）年 4 月 1 日からは地方公共団体等にも個人情報保護法が適用されることを決定した。これにより、地方公共団体の個人情報保護制度についても、統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化する等の措置を講じられることとなった。
このように、23 年改正法の施行によって、民間企業や国・独立行政法人、そして地方自治体にも共通の法律が適用されるが、民間事業者に対する規律に大きな変更は認められない。ただし、条文の番号が変わり、学術研究機関等に個人データを提供している事業者、国公立の病院や大学等と個人情報のやりとりを行っている事業者、国・地方自治体・独立行政法人等との間で個人情報のやりとりがある事業者の場合には、規律の一部が変更されるため、一応の注意が必要である。
イ改正後の動き
2023（令和 5）年以降、個人情報保護に関する環境にはいくつかの変化がみられる。

個人情報保護委員会は、同年 2 月、行政機関向けの研修資料を公開した。ここでは、個人情
2

報保護法の基礎や、行政機関が講じるべき安全管理措置、漏えい事案が発生した場合の対応法などがまとめられている。
同年 3 月には、委員会が「個人情報の保護に関する法律に係る EU 及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」の改正版、および「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表した。前者の改訂版では、EU または英国域内から十分性認定に基づき提供を受けた個人情報を加工して得られた仮名加工情報の取扱いについての規律が追加されている。また、後者においては、顔識別機能付きカメラシステムにおいて顔画像や顔特徴データが用いられる場合を念頭に置き、肖像権・プライバシー権に関する留意点や個人情報保護法上の留意点を検討するほか、事業者の自主的な取組みとして考えられる事項や施設内での掲示案等も示している。
同じく 3 月には、電子情報技術産業協会（JEITA）スマートホーム部会が「スマートホーム
IoT データプライバシーガイドライン」を策定・公開した。このガイドラインは、個人情報保護法の対象外となっている IoT データを含むプライバシー情報の扱いに関して指針を示したものである。
さらに、委員会と総務省は、同年 5 月、「電気通信事業における個人情報保護等の保護に関するガイドライン」改正版を公表している。
ウ直近の事件2023（令和 5）年 7 月、個人情報保護委員会は、トヨタ自動車に個人情報の保護に関する法律に基づく指導を行ったと発表した。
本件は、トヨタがユーザー向けサービスの個人情報の取扱いを子会社に委託していたが、そのクラウド環境の誤設定があり、アジア・オセアニア地区の約 230 万人分の個人データが約 10年間にわたり外部から閲覧可能な状態になっていたものである。委員会は「個人情報を保存するサーバのクラウド環境設定を行う従業員に対する研修内容が不十分だった」「車載器 ID、車台番号、位置情報を個人情報として認識していなかった」「トヨタがクラウド環境の監査・点検をせず、個人情報の取扱状況を適切に把握していなかった」などの問題点を挙げ、同社に対し、適切な従業員教育を行うこと、適切なアクセス制御を実施すること、委託先に対して適切な監督を行うことを求めた。
このように、消費者意識の高まりとともに個人情報をめぐる環境は激変し続けており、法規制面でも新たな対応が必要になっている。すなわち、個人情報やプライバシー保護に対する意識の高まり、技術革新を踏まえた保護と利用の均衡、個人情報が多様に利活用される時代の業者責任の在り方、さらには越境データの流通増大に伴う新たなリスクへの対応など、個人情報保護をめぐって解決すべき課題は多い。

(3) 今後の実務的な課題
ア

現代法制の問題点

2020（令和 2）年の「仮名加工情報」導入により、企業のコスト負担は軽減され、データ利活3

用も促進された。他方、杜撰な仮名化やプロファイリング（散在する個人情報の照合）によるプライバシー侵害の危険性も相対的に高まるであろうことは否定できない。
また、今後検討すべき項目として、「忘れられる権利」がある。忘れられる権利とは、個人が望まないデータの消去を事業者に請求できる（たとえば、サイト上に各種の個人情報が公開され、これが長年にわたって消えずに残っていることに対し、過去の個人にまつわる情報の抹消を請求する）権利をいう。個人情報を完全に消去すると、データ利用に関する情報も消去されてしまい、当該個人が再度サービスを利用する際には、企業側に相応のコストが生じ、利便性を欠くことから、委員会はその導入に消極的だとされている（東京高決平成 28 年 7 月 12 日「グーグル検索事件」では、忘れられる権利について「法的に定められたものではなく要件や効果が明確ではない」と判示した）。この点は、議論の推移を見守る必要があるだろう。
また、就職情報サイトを運営する事業者が就職活動中の学生の内定を辞退する確率を AI で予測して企業に販売していた、2018（平成 30）年のリクナビ事件を踏まえた個人関連情報（法2 条 7 項・16 条 7 項・31 条）にも実務的な課題は多い。
イ

生成 AI と個人情報保護

最近、わが国においても、生成 AI サービス（質問・作業指示等に応えて文章・画像等を生成する AI を利用したサービス）が急速に普及してきた。かかる生成 AI に関しては、個人情報の管理が喫緊の課題である。たとえば、膨大なデータを用いて学習し、それをもとにコンテンツを作成する AI は、書き込んだ利用者の個人情報を学習し、それを別の利用者への回答に反映してしまうなどのリスクも潜んでいるため、その利用や活用においては十分な注意をしなければならない。
そこで、2023（令和 5）年 6 月、個人情報保護委員会は、生成 AI サービスの利用に関する注意喚起を行った。この注意喚起文書では、OpenAI 社（ChatGPT を開発・提供）による機械学習のための情報収集に関して、あらかじめ本人の同意を得ないで、要配慮個人情報を取得しないとされており、要配慮個人情報の収集対策として 4 つのステップが示されている。このようにデータの取得に制約をかければ、取得されたデータの偏りが、出力される成果の質にも影響してくるという課題も残る点には留意が必要であろう。
ちなみに、米国 FTC（連邦取引委員会）では、AI を活用したサービスの消費者被害に対する注意喚起を精力的に行い、セキュリティや情報保護の観点から生成 AI やボイスアシスタントに対する調査も開始したと報じられている。
ウ

独禁法上の課題

公正取引委員会は、デジタル・プラットフォーマーと個人情報等を提供する消費者との取引における優越的地位の濫用規制の考え方を明確化するため、2019（令和元）年 12 月 17 日、「デジタル・プラットフォーマーと個人情報等を提供する消費者との取引における優越的地位の濫用に関する独占禁止法上の考え方」を公表した。また、2020（令和 2）年 5 月 27 日には、「特定デジタルプラットフォームの透明性及び公正性の向上に関する法律（デジタルプラットフォーマー透明化法）」が成立し、同年 6 月 3 日に公布されている。
4このように、デジタル取引では、個人情報保護法もひとつの重要な規律であり、引き続き独禁法上の規制の動向にも注目しなければならない。
エビッグデータとプライバシー

近年のスマートフォンや SNS の普及によって、ビッグデータのビジネス利用のプライバシー侵害や悪評などのリスクが顕在化しつつあり、ビックデータとプライバシーとの関係も重要な課題となっている。
この点、現代的なプライバシー侵害事案では、当該個人の感受性ではなく、「 一般人の感受性」を基準としている（最判平成 15 年 9 月 12 日判時 1837 号 3 頁「早稲田大学講演会名簿提出事件」）。また、受忍限度を超える場合にだけ、プライバシー侵害が認定される傾向にある（福岡高判平成 24 年 7 月 13 日判例集未登載「ストリートビュー事件」）。
したがって、事業者の側においても、受忍限度を引き上げるためには、できる限り情報の利用目的・使用状況・利便性等の説明をし、情報主体である本人の納得感を得るよう努力すべきであろう。本人の納得感を得られるならば、受忍の許容範囲も拡大するからである。

(4) われわれ弁護士はどう行動すべきか
ア

基本的な姿勢まずは、弁護士として、データに関する権利に関し、個人情報保護法のみならず、不正競争防止法や知的財産権法の内容を正確に理解しなければならない。
また、個人情報をめぐる状況や価値観の変化に応じ、情報リスクに対する目配りが一層重要となる。たとえば、昨今の情報漏えい事案を踏まえて、消費者・個人の側からは、個人データの不正利用を監視する要請が高まっている。また、「仮名加工情報」の利用によって、不適切な仮名化やプロファイリングによるプライバシー侵害の危険性も顕在化する。さらに、個人情報の不適正な利用禁止により、個人の意思でデータがどう利用されるかを指示できるようになったため、個々人が、各事業者に対して、どのような利用形態を望み、また望まないかを吟味・検討するようになるであろう。弁護士としては、こうした事例への対応に関する法律相談の件数・頻度は格段に増加するものと思われる。
他方、事業者の側では、不適正な利用禁止に関する具体策や、本人の意向確認が重要となるため、弁護士としても、そうした実務対応に配慮する必要がある。また、仮名加工情報の具体的な要件については、実務的に関心の高いところであろう。こうした問合せにも的確に対処しなければならない。個人情報漏えいの報告が義務化されたため、漏えい時の対応を再点検すべきである。さらには、罰金の強化を見据えて、不正行為の発生防止体制の整備に関する助言も求められるであろう。
イ

現代的な課題への対応

生成 AI 普及との関係では、われわれ弁護士としても、ChatGPT の社内利用などの日常業務（平時対応）と、国内外での生成 AI にまつわる情報漏洩など問題が発生した場合（有事対応）のそれぞれについて、具体的な実務対応を検討する必要がある。
5

また、巨大 IT 企業による個人データの利用に際しては、個人の同意を得ずに位置情報・購買履歴等のデータを利用すれば、「優越的地位の濫用」（独禁法 19 条・一般指定 14 号）に該当する可能性がある。具体的には、①利用目的を知らせない（法 21 条）、②利用目的の達成に必要な範囲を超えて個人情報を取得・利用する（法 19 条）、③適切な安全管理をしない（法 22 条）、④同意を得ずに第三者提供する（法 27 条）、⑤従前と同じサービスを提供しながら追加で個人情報を取得する、などが示されている。また、サイト上の長文規約を明示したのみで、その趣旨が利用者に伝わっているといえないような場合には、消費者の同意を得たとは解されない点なども指摘されている。
ウ海外法制への目配り

紙幅の関係で詳細には記述できないが、最近、欧州では、GDPR をめぐって欧州司法裁判所によるデータ関連判決が何件か出されている。
米国では 2020（令和 2）年 1 月にカリフォルニア州消費者プライバシー法（CCPR）が施行され、2023（令和 5）年以降は、フロリダ、テキサス、モンタナ、テネシー、インディアナの各州で包括的な個人情報保護法が成立した。
また、中国では、同年 6 月、個人情報越境標準契約弁法が施行され、シンガポール、タイ、ベトナム等、アジア各国における個人情報保護の法制化も急進している。特に中国の個人情報保護法では、他国法制ではみられない「死者の権利」も認められており、本人が死亡した場合に権利行使できるなど、注意すべき点が少なくない。
なお、生成 AI との関連では、同年 3 月に英国政府が AI に関する白書を公表し、6 月には、欧州議会が欧州規制修正案を採択したことなどが注目される。
我が国企業としても、こうした諸外国の個人情報保護法制の対応を推進していくことが重要かつ喫緊の課題である。
エまとめにかえて以上のとおり、個人情報をめぐる状況や価値観の変化に応じ、われわれ弁護士としても、情報リスクに対する目配りがますます重要となる。
そもそも個人情報保護法は、「個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする」（法 1 条）。この文理から、個人情報にまつわる個人の権利・利益・自由といったものを保護することが法の究極目的であることは明白であるが、事業者の立場からすれば、どのくらい有用性に配慮すべきなのか、あるいは配慮してもらえるのかが判然としない。こうした「有用性への配慮」に対する力説の強弱・濃淡が、法体系全体の解釈に大きな影響を及ぼすことを念頭に置いて、法の各条文の解釈に臨むべきである。この点、近年改正に至る経緯では、GDPR 等の海外法制の影響と相俟って、有用性の配慮を後退させてもなお、個人の権利利益をより強く保護する方向へと舵を切ったものと評価できる。
また、平成 30（2018）年にサイバーセキュリティ基本法が改正されたが、その後もサイバー攻撃事案は後を絶たない。この点、情報処理推進機構（IPA）が「情報セキュリティ白書 2023」によれば、2022 年中に警察庁に報告された国内のランサムウェアによる被害件数は 230 件で、6

前年比で 57.5%増加していることが記載されている。弁護士としては、こうしたトレンドに応じた安全管理措置にも目配りする必要がある。
なお、これらの問題とは別に、弁護士が自身の職務を行うにあたっての情報管理についても十分な留意が必要である。日弁連は、令和 4 年 6 月、弁護士情報セキュリティ規程を制定した。
弁護士はセンシティブ情報を取り扱う以上、個人情報以外の情報を含め、これらの取扱いには細心の注意が求められている。同規程が施行された後は、弁護士は自身の情報セキュリティの基準を設け、これを遵守しなければならない。
以7上