個人情報保護委員会（第２７９回）議事概要
１

日時：令和６年４月３日（水）１３：３０～

２

場

所：個人情報保護委員会

３

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、

委員会室

加藤委員、梶田委員、髙村委員、小笠原委員、松元事務局長、三原事務局次長、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官
４

議事の概要

（１）議題１：いわゆる３年ごと見直し

有識者ヒアリング（AI・医療関係）について
個人情報保護委員会議事運営規程（以下「議事運営規程」という。）第９条の規定に基づき、一橋大学大学院法学研究科の生貝教授が会議に出席した。
生貝教授から、資料１－１に基づき説明があった。
加藤委員から「EU を中心にした御説明を伺ったが、AI の開発・利用等における個人情報関連のリスクについては、国や地域ごとによって随分違うと思われる。EU では AI 法案が GDPR の補完的な立ち位置だと御説明があったが、我が国ではどのような方向性で考えていくべきか」という旨の発言があった。
これに対し、生貝教授から「AI 規律に関するアプローチは国際的に議論が進んでいる段階。そういった中で、我が国が例えば現時点で完全に EU 法と同じアプローチをとるべきかについては、時間をかけて議論していくべき内容だと考える。ただ、やはり我が国の個情法の来歴及び様々な幅広い観点から、技術とその基本権との調和を検討して具体的な条文に落とし込んでいる欧州の AI 法案を含む規律というのは、特に重点を置いて参考にする価値があるのではないか。また、当然これからの十分性認定の在り方も、GDPR だけが問題ではなくなってくるだろう」という旨の回答があった。
清水委員から「資料１－１の 12 ページ、補論①の『法制多元化への対応』について、個人情報保護法が中心としてあった場合、日本として特にどういった分野で多元的に連携をとっていくべきとお考えか」という旨の発言があった。
これに対し、生貝教授から「非常に難しい質問で、資料でも例示することができていないが、例えば、デジタルプラットフォームに関する規制はデジタルサービス法を参考にした立法が今国会でも議論されるところだと認識しているし、デジタル市場法のような競争法制でも、内閣官房デジタル市場競争本部の中で非常に活発な検討がされている。そのようなプラットフォームが関わる分野はその一つとして考えられるのではないか。また、我が国で AI 法のような包括的な法制を作るかはさておいても、特に社会的影響力の大きい AI に対する規律、あるいはそれぞれの分野ごとの規律というのは今後活発に議論されていくのだろう。そうした中で、広く AI に関わる法制というもの全体が、個人の権利利益を保護できるのか、どう保護していくべきなのかが当面にわたって重要ではないか」という旨の回答があった。
小川委員から「御指摘にもあったとおり、個人の脆弱性を悪用したボットやディープフェイクなどに使われる生成 AI は、ネット社会の脆弱性を突いた社会的なリスクを作り出している。その一方で、良い方向の AI として、生成 AI の開発や利用等を進展させることも、ネット社会の健全な発展には大事な要素だと思う。先ほどの御回答の中でもあったが、昨年の G7 をはじめとして、責任ある AI の原則やガイドラインが議論されていると承知している。欧州の状況を鑑みるに、日本の個人情報関連の AI の利用と規制のバランスについて何か御示唆はあるか」という旨の発言があった。
これに対し、生貝教授から「AI の発展は、特にこの瞬間は将来が未知数である。その発展を止めるべきではない一方で、人々が安心できる技術を促していくべきである。最適なバランスが分からないのであれば、個人的な考えとしては、資料１－１の 16 ページ、補論⑤にも付けているとおり、そのバランスを機敏に調整することができる制度の枠組みが重要ではないか。
そうしたときに、私はずっと自主規制と政府規制を組み合わせた共同規制という方法論を研究の対象としてきたところ、我が国で言うと認定個人情報保護団体制度というのがその類型には含まれる。他方、欧州はバランスを柔軟に動かすことができる制度というのを非常に様々持っている。GDPR の行動規範制度、リスクベース規定、６条（f）の『正当な利益』など、そういったまさに新しい技術の急速な変化に対応できる枠組みをどのように設けるかといったことが重要ではないか」という旨の回答があった。
藤原委員長から「頂いた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」
旨の発言があった。
生貝教授が退席し、続いて、議事運営規程第９条の規定に基づき、ＮＴＴ社会情報研究所の高橋チーフ・セキュリティ・サイエンティストが会議に出席した。
高橋チーフ・セキュリティ・サイエンティストから、資料１－２に基づき説明があった。
小川委員から「当委員会で行った関係団体のヒアリングでは、生成 AI を含めた新しい技術については、ガイドライン等を含め規律を最小限にして欲しいという意見がある一方で、解釈の基準を明確化してほしいという意見もあった。この議論においては、必要最小限の規律及び解釈の基準というのが具体的なフレームワークになっていると思う。この点、御説明では『近年の技術革新による AI』をフレームワークにするのが良いという御提案だった。例えば、学習モデルは個人情報等をパラメータとして機械的・関数的に扱うモデルであり、更に出力した内容が個人情報となる場合、その出力を抑制する『ガードレール』と仰っていたが、そういった観点で解釈の基準等を検討することが望ましいという理解で良いか。また、もしそうであれば、個人情報保護法の見直しに当たって、個人的な見解で結構なので御見解を伺いたい」旨の発言があった。
これに対し、高橋チーフ・セキュリティ・サイエンティストから「私の説明をうまくまとめていただいた。最小限は皆が思っている話だが、最小限といっても規制しなければいけない部分は規制する必要がある。したがって、仮に最小限を考えるならば、個情法の立場で重要なものを考えることになる。
一方で、AI の規制は色々なコンテクストで行われることになるだろう。
個情法は非常に重要なオーソリティだが、個情法以外にも別の規制が入り、あちこちで規制がかかり、色々見なければいけないということは避けていただきたい。個人的な見解としては、最小限の規制となれば、情報源とアーキテクチャの二つで良いのではないか。情報源というのは、どういった学習データを使っているかを宣言させる。また、アーキテクチャはパラメータとして情報を扱う仕組みで、ニューラルネットワークを普通に使っているとなればあまりおかしいことにはならないのではないか。
ガードレールの質問も頂いたが、出力抑制を制度として過度に期待するのは難しい。ダメなことを一つ一つ規定して一つ一つ対応させるのは難しいし、AI 業界と規制との戦いになってしまうのではないか。
一方で、リスクベースの話は、看過できないリスクにははっきりと言っていただくべきであると思う。看過できないリスクを個情法でどう規定するかだが、私の考えとしてはプロファイリングの不適正な利用や特定個人の情報のみを学習して出力するようなものが該当し得るのではないか」という旨の回答があった。
清水委員から「資料１－２の９ページについて２点伺いたい。
『学習データの観点』で『インターネット上のオープンなデータを用いる場合』とあるが、やはりインターネット上のオープンなデータを用いなければならない状況になっているのか。使用する重要性はあるのか。また、『推論結果の観点』の『ガードレール』で、『個人情報相当を AI が一般的な知識の一環として出力することは起こりうる』とあるが、それに対する対策として、リスク要因に応じた安全管理措置を求めていくべきという理解でよろしいか」という旨の発言があった。
これに対し、高橋チーフ・セキュリティ・サイエンティストから「AI は学習させた情報の分だけ答えてくれるので、例えば図書館にある情報を全て学習させて人類が満足するのであれば、インターネットのデータは必要ない。インターネットの情報を使い出したのは色々な側面があると思うが、一つはインターネット上に膨大な情報があり、その入力が可能となるような技術革新が起こったから。もう一つは、インターネットの雑談まで必要かという話もあるが、蓄えられた知識を活用したいという世の中のニーズがあるからではないか。
また、ガードレールの話は、安全管理措置として規定することは制度設計上あり得るかもしれないが、あまり賛成はできない。世の中全体で AI 提供者に対してそういった動きを求めていくのは重要だろうが、逐一指摘して潰すというようなことが個情法上の目的として効果的かというと、少し疑問である」旨の回答があった。
藤原委員長から「個情法上何らかの例外を設ける場合は、何らかの要件を設ける必要がある。今日の御説明だと、情報源とアーキテクチャが大事ということで、インターネット上に公開されているデータの扱い方、ニューラルネットワークのようなことで、その中で不適切なプロファイリングといった利用は禁止されるべきだし、出力にしても不適正な利用は問題である。安
全管理措置をあまり逐一やるのはいかがなものか、というのが要点であると理解した。
頂いた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」旨の発言があった。
高橋チーフ・セキュリティ・サイエンティストが退席し、続いて、議事運営規程第９条の規定に基づき、東京大学の森田名誉教授が会議に出席した。
森田名誉教授から、資料１－３に基づき説明があった。
大島委員から「全国民のデータとなるとかなり大上段な言い方ではあるが、どの程度国民の理解を得ているものと認識されているか。また、３ページ目で電子カルテ・電子処方箋等の普及が遅れている旨の記載があったが、なぜ遅れているのかお教えいただきたい」旨の発言があった。
これに対し、森田名誉教授から「全国民のデータは、既に国民皆保険制度で全国民が何かしらの保険に入っているはずではあるので、レセプト・データは既に保有されていると言える。更に言えば、母子手帳や特定健診など、データはずっと取られている。それをつなげて使えるようにすることで、医療の質が高まるのではないか。また、より効率的なお金の使い方ができるのではないか。国民の理解が十分に進んでいるとは思っていないが、まずは既にあるものをつなげていき、さらに電子カルテ等の情報を共有化できるようにしていくことで、より大きな効果を得られるという説明で御理解頂けるのではないかと思う。もちろん、データをつなげることに対して危惧の念を持つ方の存在は承知しているが、それはマイナンバーの問題と同じ。

２番目に、電子カルテ等の普及が遅れているのは、医療機関は日本の場合多くが民間で、導入は各自の経営判断によるからである。導入による国民の恩恵は大きいものの、コストがかかること、どういう個人情報の扱いで漏えいの可能性があるかについて、医療関係者の方も含めて、十分御理解頂けていないというのもあるだろう。」という旨の回答があった。
髙村委員から「資料１－３の３ページに、運用におけるデータ取得・利用時の『同意』『匿名化』の偏重という記載があるが、取得時に同意を取る際のコスト、同意を取るのに困難なケースは具体的にどのような場合が考えられるか」という旨の発言があった。
これに対し、森田名誉教授から「最初の受診は同意を取って行うが、他の診療科を受診してもらう場合や救急の場合に患者が重篤でも同意を求めたり、高齢者の方にしっかりと説明をして同意してもらったりすることが、医療及び救急の現場で負担になっていると聞いている」という旨の回答があった。
髙村委員から「現行法でも、緊急の場合や意思能力がない場合は例外規定が適用されるだろうが、それでも困難ということか」という旨の発言があった。
これに対し、森田名誉教授から「現場から聞いているのは、その人に本当に意思能力があるのかを医師が容易に判断できない場合があり、明らかに同意が不要と判断できる場合もあるだろうが、同意を取るべきか否か判断が難しい領域が広く、医師としては判断を誤り、同意を取得できるのに取らなかった場合に責任を問われる可能性がある。そこで、しっかりと説明をして、説得して同意を取るための負担が発生する」という旨の回答があった。
髙村委員から「意思能力が不十分だと思われるケースの同意について、不十分な同意に依拠して個人情報を取り扱うよりも、安全管理の面で体制を整備した方が良いという話があったと理解しているが、それで良いか」という旨の発言があった。
これに対し、森田名誉教授から「意思能力が不十分と思われるケースだけでなく、同意取得の判断が難しくコストがかかるので、同意にこだわるよりも情報へのアクセスをしっかりと管理する体制を整備すべきであるという趣旨のことを申し上げた。既に北欧諸国の場合は受診をした時点で包括的な同意を取り、その都度の同意は得ないが、きちんと情報管理を行って、国民の信頼を得ているようだ」という旨の回答があった。
髙村委員から「そうなると、安全管理の面では現在の個情法の安全管理措置に加えて特別なものを追加していくというお考えか」という旨の発言があった。
これに対し、森田名誉教授から「特に二次利用に関しては、そうである。
EHDS でもかなり厳格な仕組みを作っていると理解している」という旨の回答があった。
髙村委員から「目的外利用や第三者提供の際も、同意を取ることの困難性が存在する具体例はあるか」という旨の発言があった。
これに対し、森田名誉教授から「特に二次利用の場合、同意を取る必要のある対象が多数に及び、目的外利用や第三者提供の都度、その全てから同意を取ることの負担は大きい。一次利用の場合、本人の治療のためであるため、その人の治療に従事する人のアクセスは、原則として逐一の同意は不要だと考える。二次利用に関しても、顕名データである必要はないので同意は不要と考える。ただ、EHDS でも問題になっているが、差別につながるような情報へのアクセスというのは同意が必要になるのかもしれない。その場合も本人の意思能力をどのように考えるかは課題になると思う」旨の回答があった。
髙村委員から「資料１－３の５ページで、お考えの特別法の制定について、公衆衛生例外の更に例外の場合として、特別法を設けた方が良いというお考えか。それとも、治療目的ということで、別立ての特別法を制定すべきというお考えか」という旨の発言があった。
これに対し、森田名誉教授から「特別法は個人情報の取扱いを定めるだけでなく、少なくとも医療情報の利活用に関して情報のハード面の制度基盤の在り方、標準化、管理の在り方、利用の形態、二次利用の場合の許可の仕組みといったものを含めて特別法にすべきである。その中に、個人情報の取扱いも、個情法の趣旨を明確化して規律しておくのが望ましいのではないか。したがって、後者と言えるが、個人情報保護に関して全く別の法制度を定めるということではない」という旨の回答があった。
清水委員から「医療データの一次利用に際して、過去の病歴や過去の診療科の治療経緯などが、同意がないため得られないということが現場で支障になるのか。
また、二次利用について、次世代医療基盤法の改正によって、匿名化への偏重の問題は解決されたのか。
加えて、一次利用の際のアクセスの管理の課題もやはり存在すると思うがいかがか」という旨の発言があった。
これに対し、森田名誉教授から「例えば、高齢者は診療の際、複数の診療科に受診する場合が多い。一つの病院の中の複数の診療科であれば、一つの電子カルテシステムの中で患者の最初の同意を基に、データを共有して利用できる。一方、他の医療機関に受診する場合は第三者提供として同意が必要になるのは不合理ではないか。また、処方箋情報もつなげることで、複数の診療科で処方される薬が併用禁忌でないかも確認が可能になる。それゆえ、いちいち同意を取ることなく、その人の治療に従事する人がきちんとデータを管理しつつ、そのデータにアクセスできるようにすることが、本人の治療にとって合理的ではないか。次世代医療基盤法の改正の効果は、改正法が一昨日からスタートしたので分からないが、現在の次世代医療基盤法は二次利用のみを目的とした法律である。広く二次利用の在り方については、厚労省の検討会の下部 WG で議論されている。なお、改正前の次世代医療基盤法は、施行から４年ほど経過した間に、同法に基づいた匿名加工による研究は約 30 件しかないそうだ。制度自体が制約の強い使いにくいものと言わざるを得ないのではないか。法改正を経ても、格段に利用が拡大するかは不明だが、関係者の意見を聞くと、必ずしも楽観できない。
あと、一次利用のアクセスの管理ももちろん重要である。アクセスログを取ることや守秘義務を課すこと等によって厳格に管理すべきである。これについては、EU で今後 EHDS の運用を予定しているため、その状況をウォッチすべきである」旨の回答があった。
小川委員から「ここ数年のコロナウイルスの流行にもあるように、未知の病気を早期に特定・発見する際に、事業者からのデータ提供が公衆衛生の観点から非常に重要だと認識しており、今回の御提案はそれにとても役に立つものだという印象を受けた。公衆衛生例外等について今回のいわゆる３年ごと見直しに関して何か御意見があれば伺いたい」旨の発言があった。
これに対し、森田名誉教授から「EU に EHDS の構想が生まれた経緯には、コロナウイルスの流行が大きく影響している。それまで、医療情報は国によってかなり管理のあり方が違った。パンデミックの際に、国境が地続きであるため、自国内で対策が完結しない EU においては、EU 全域において情報を共有する必要があるという切迫感が当制度を生み出したと理解している。
同様のことはイギリスの National Health Service(NHS)でも言え、感染拡大以後、NHS がかなり早い段階で有用な情報を提供していた。昨年、現地で聞いたところでは、緊急事態には、個人情報保護の規制を保健大臣の判断で緩和して対応し、情報を活用していた。日本でもパンデミックへの取組はあったと思うが、医療情報が充分に活用されたとはいえない。医療データの共有は感染状況の把握、病床などの医療資源の分配等に有用である。もちろんいつでも規制を緩和というわけにはいかないが、素地が無ければ緊急時の緩和も意味がないため、あらかじめ制度を作り情報を蓄積しておくことが、今後起こりうるリスクへの対処として重要ではないか」という旨の回答があった。
藤原委員長から「資料１－３の５ページに関して、『個情法の改正が必要な場合には』とあるが、法律ではなくガイドライン等の改正でも対処可能なものなのかどうか。また、同意については医学界で長らく言われてきたインフォームド・コンセントを、もう少し考え直した方が良いのではないかということでよろしいか」という旨の発言があった。
これに対し、森田名誉教授から「法解釈の専門家ではないので詳細に御回答するのは難しいが、いずれにせよ公衆衛生例外等について、形は別にしても、しっかりと記載することができればそれで対応できるかもしれない。ただ、法律上同意を前提としている以上、解釈や下位規範の改正で問題が解決できるのかは不明なものの、同意を前提としていることで実際に抵触が起きているということは指摘させていただきたい。
後半のインフォームド・コンセントについては、侵襲性のある治療や研究を行う場合、まずそれによって得られるメリットとリスクについて説明をしっかりと行い、次いで、患者等がその説明を充分に理解すること、そして、他者の影響を受けずに本人の意思で同意の判断をするという三つの手続を踏むのが厳密な考え方。この考え方を医療情報に当てはめると、まず医療情報の提供によってどのようなメリットとリスクがあるのかをデータ主体にしっかりと伝え、次いで、データ主体がそのメリットとリスクについて理解し、そして自身の意思で判断し同意するという手続を踏むことになる。デー
タ提供によって生じる情報漏えいや個人の特定、さらにはそれによる具体的な権利侵害の可能性がどれくらいあるかというリスクに関する研究もデータもほとんどなく、情報に関してのインフォームド・コンセントを厳密に行うとなれば、提供するリスク情報の作成を含め、その辺りの説明に大きな負担が予想され、医療におけるインフォームド・コンセントの考え方を適用するのは現実的ではないのではないか」という旨の回答があった。
藤原委員長から「頂いた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」
旨の発言があった。
森田名誉教授が退席し、続いて、議事運営規程第９条の規定に基づき、早稲田大学社会科学総合学術院社会科学部の横野准教授が会議に出席した。
横野准教授から、資料１－４に基づき説明があった。
清水委員から「資料１－４の 17 ページの『３.一次利用にかかる環境整備の重要性』の一次利用の問題点の具体例としては、４.以降の守秘義務の話と関係するという理解でよいか」という旨の発言があった。
これに対し、横野准教授から「一次利用に関する問題点は、現状、必ずしも個人が診療データにアクセスできる、あるいは診療目的で医療機関を超えたデータ連携が図られる状況を実現しているわけではないということ。
また、現状守秘義務は法文上の規定はあるものの、具体的な運用実態が明確になるようなルールがないことから、どういった場合に守秘義務違反になり処罰の対象になるのかなど、患者の視点から見た場合に透明性のあるルールが少なくとも守秘義務の観点からはない。医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンスが出て初めて、ある程度その辺りが明らかになったという状況である」旨の回答があった。
清水委員から「患者自身による自己のデータへのアクセスが十分ではな

い場合に、個情法上何か打つ手立てはあるのか」という旨の発言があった。
これに対し、横野准教授から「個情法上の問題というより、むしろインフラ上の課題である。漏えい等への心配が一番大きな課題であり、特に医療に関わるデータやゲノムデータの漏えいの場合の対策の強化が方策として考えられるのではないか」という旨の回答があった。
清水委員から「次世代医療基盤法の今般の改正で匿名化に加えて仮名化での利用も可能になったが、こういった改正でも解決されない不都合な点があるのか。また、ゲノムデータが個人識別符号として削除が必要であるというところが問題なのか」という旨の発言があった。
これに対し、横野准教授から「それが今回のヒアリングで一番お伝えしたかったところだが、それ以外にも、現状ではこのスキームに参加している医療機関等の数が非常に限られている。現状では、丁寧なオプトアウトを求めているので、医療機関等が参加する際の負担が大きいという指摘もある。利用できるデータが限られるというのは、法制上の問題というわけでは必ずしもないが、現状の一つ大きな問題である」旨の回答があった。
清水委員から「次世代医療基盤法上での取扱いとして、ゲノムデータを個人識別符号の例外とするというのもあり得るとお考えか」という旨の発言があった。
これに対し、横野准教授から「GDPR９条でも、ジェネティックデータを特別な種類の個人データとして取扱いを原則禁止しているが、例外として診療目的や本人の同意がある場合が規定されているので、それと同様の考え方はあり得るのではないか」という旨の回答があった。
藤原委員長から「倫理指針が個情法の上乗せになっているという御指摘があったが、実感としてそれが実務に与えている影響になっているのか。また、一般論として、学術研究例外等、公衆衛生例外以外にも例外規定は存在するが、今日のような話は医学系研究固有の問題とお考えか」という旨の発言があった。
これに対し、横野准教授から「実感としてはその理解である。また、研究の在り方そのものが医学系研究は他の分野と大きく異なる。倫理指針上の要請として、研究計画を立てて事前に審査を受け、倫理審査委員会による承認を受け、研究機関の長の許可を得なければ研究できない。また、研究計画の変更の場合も同じプロセスを踏む必要がある。よって、第三者による視点を入れて研究が厳格に管理されており、個人情報保護法に基づく指針の規定が遵守されているかどうかも個別ケースごとに審査されている。このよ
うな研究の管理は他の分野の研究ではほとんどない。また、倫理審査委員会等の審査も機関によって濃淡があり、厳格に判断する機関もある」旨の回答があった。
藤原委員長から「ゲノムデータについて、一次利用に関して具体的にどういう取組を個情委として期待するのか、何か御意見はあるか」という旨の発言があった。
これに対し、横野准教授から「一つは、ゲノム医療推進法でも現在検討されているゲノム情報の保護や差別の防止にも関連するが、特に個人情報保護の観点からは漏えい時のより手厚い対応等を御検討いただければと思う」
旨の回答があった。
清水委員から「資料１－４の 10 ページで、『医学研究において重要な役割を担う製薬企業や一般病院では学術例外規定を前提とした指針の規定が適用されないことが明らかとなり、大きな混乱が生じた』とあるが、これは今でも障害になっているのか」という旨の発言があった。
これに対し、横野准教授から「公衆衛生例外に関する Q&A が出たことで、現在はそれを活用してくださいという形になっているが、Q＆A は具体例に対しての考え方を示したもので、例と異なる場合に同様の扱いをしても良いのかということに議論がある。また、公衆衛生の向上に特に必要という要件を満たすためには研究結果の公表などにより社会に資することが求められると考えられるが、製薬会社等は研究の成果を直ちに公表することに対して消極的な場合もあり、同様の考え方で良いのかという疑問もある。加えて、Q&A は公衆衛生上のニーズが高いことを前提とする書き方であるので、現場においては厳格に解釈する傾向にある」旨の回答があった。
藤原委員長から「頂いた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」旨の発言があった。
（２）議題２：令和５年度施行状況調査（令和６年度実施）について事務局から、資料に基づき説明を行った。
原案のとおり、決定することとなった。
以上