日時：令和６年６月 13 日（木）10：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員、小笠原委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第290回個人情報保護委員会を開会いたします。

本日の議題は一つです。
議題の１「いわゆる３年ごと見直し

有識者ヒアリング」について、前回のヒアリングに引き続き、本日は２名の有識者へのヒアリングを実施したいと思います。
個人情報保護委員会議事運営規程第９条の規定に基づき、ひかり総合法律事務所板倉弁
護士、新潟大学大学院現代社会文化研究科／法学部鈴木教授に御出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）
ありがとうございます。それでは、出席を認めます。初めに、ひかり総合法律事務所板倉弁護士に出席いただきます。
（板倉弁護士入室）○藤原委員長板倉弁護士におかれましては、御多忙の中、御出席いただきありがとうございます。
それでは、早速ですが御説明をお願いいたします。
○板倉弁護士弁護士の板倉です。よろしくお願いします。

前回の３年ごと見直しでも呼んでいただきまして、２回目ということになります。ふだんは弁護士をしておりますが、データ保護及びその関連分野で９割ぐらいのプラクティス
を占めております。
早速、中身に入らせていただきます。
２ページは目次になっています。おおむね今回検討していただいている項目についてのコメントになっておりますが、４番の「その他」だけは、特段聞かれていないのに勝手に入れた項目ということになります。
早速、３ページに入っています。
個人の権利利益のより実質的な保護の在り方のうち、個人情報等の適正な取扱いに関する規律の在り方ということで、正面から現在取り上げられているわけではありませんが、そもそもの個人情報保護法の規律の客体をどうするのかというところについてのコメントをさせていただいております。
1

経済界からは、いろいろな概念が出てきて分からないので何とかしてくれという意見が出たと思います。経済界の要望に応えていろいろ入れてきているのではないのかとは思いますが、現場は非常に、何とか情報、何とかデータ、何とか情報データベース等々というのがたくさんあって、かなり業務が大変なのはそのとおりだと思います。
そもそもの話をすると、個人情報と個人データと保有個人データに規律をかけているわ
けでありますが、保有個人データについては、６か月制限がなくなりましたので、ほとん
ど個人データと同じです。委託先だけは関係ないというところがありますが、個人情報と個人データの規律の違いは、いまだ残存しているわけであります。
他方で、この間、漏えい等に関する一部の部分ではありますが「個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）」と規則を改正していただきました。
「個人データ予定個人情報」と勝手に私は呼んでいますが、個人データになる予定がある
個人情報という概念が入りました。こちらの理由は、２段目の１ポツ目です。Webスキミ
ングへの対応のためにこれを入れたということにはなっておりますが、そもそも、個人情報を今、個人情報保護法の民間部分の規律が規律しているのは、個人データになることが予定されているけれども、まだ個人データになっていないので、データベースになっていないので規律しているのだというのが従前からの説明であります。
藤 原 委 員長 も お 書き にな っ て いる 、 昔 はピ ンク 本 と 言っ て い まし たが 、 ( 株 ) ぎょ う せいから出ているコンメンタールで、いずれ個人データになるものであっても、取得段階だと個人データではないので個人情報に規律をかけるのだと。利用目的規制等はそうなっているわけでありますが、既に今の個人情報保護法制では、「個人データ予定個人情報」という概念を承認し、しかも、ガイドラインレベルでありますが、全て安全管理措置をかけるというところまで来ているわけであります。
「個人データ予定個人情報」を含む個人データというものが認められるのであれば、現状の個人情報全てに義務をかけているのは、これは過剰ではないかというところがあります。しかも、不適正利用禁止、これ自体は重要な規定だと思いますが、不適正利用禁止の対象は個人情報であって、個人データになることが予定されているものとかは現状では書いていないわけです。
これをカメラシステムの利用についての検討によると、ざっくり言えば、プライバシー
侵害とか肖像権侵害のような不法行為に該当するようなものは不適正利用禁止に当たるかもしれないよとされています。こういうところまで議論が来ているわけでありまして、そうすると、個人データになる予定が全然ない個人情報について、一般的に行政機関、一種の行政機関として規制をするのだということに、ここが組合せでなってしまっているわけですが、それは、個人情報保護法の民間部門の規律、これは個人情報データベース等を構成する個人データを規律の基本にするのだというところからは、いろいろなものの組合せの結果でありますが、やや過剰になっているのではないかなと思うわけであります。
2

GDPRは ど うな っ てい るか と いう と 、２ 条 １ 項で 、 どう い う範 囲 で 適用 す るか と いう 条文がありますが「intended to form part of a filing system」とされています。これは、要するに個人情報データベースのようなものになる予定のものを含むという言い方をしています。単体の個人データにかけるというよりは、これは、自動的なものは単体の個人データでもかけていますけれども、ファイリングシステム予定のものだという概念を入れて画しているわけでありまして、全体として、個人データ（「個人データ予定個人情報」を含む。）というものを規律の対象にすると、すっきりしてよろしいのではと思っています。
これで一部は広がるわけですが、一部は狭まるわけです。利用目的規制等は狭まるし、不適正利用禁止も狭まることになるわけですが、個人データを中心とする規律なのだという趣旨からすれば、私はそれでよいのではないかと思っています。
これを踏まえて、４ページ目に行っていただきますと、それぞれの規律について、適正取得・不適正利用については、今申し上げたとおりですが、単体の個人情報にかけて、それが一般的な不法行為に該当するようなものも全て当たるとは言っていませんが、加味するのだということになると、私は過剰ではないかと思っておりますので、これは、個人データ（「個人データ予定個人情報」を含む。）という範囲に絞ってよいのではと思っています。
ただ、事例を追加しないと、現時点では、今のところガイドラインに書いてある例は幾つか散発的に書いてあるだけですので、それは増やしていただくということは当然していただくとして、そのように考えております。
では、個人関連情報はどうするのだという話ですが、これはちょっとざっくり言い過ぎ
かもしれませんが、個人関連情報も個人情報に含むとしてしまってよいのではないかと思います。その代わり、個人情報を全て、つまり単品のというか、散在情報にかけるのではなくて、「個人データ予定個人情報」を含む個人データが規律範囲なのだということにす
れば、さほど問題が起きないのではないかと思います。概念が多過ぎるという経済界の要
望にも沿うことになります。
これとの関連でよく議論されるのはクッキー及び行動ターゲティング広告ですが、こちらはまたもう一つややこしい問題がありまして、電気通信事業法上、外部送信規律というのを入れて、サードパーティークッキーを主として規律している面があります。ただ、細かいところは除きますが、全ての事業者にかかっているわけではないですし、これと個人
データの規律を両方やるというのは、事業者はかなり限界であるように見えます。いろい
ろなところから相談を受けて対応しましたが、もう分からないと。委託に伴う提供の扱いなども実は結構違ったりして、ちゃんとできているところはあまりないのではと思います。
そうであれば、これは個人情報保護法のほうで引き取って、全事業者を守るということで、個人関連情報の範囲も、個人情報に含むけれども、そのクッキーの規律については、
外部送信規律を取り込んでこちらで処理するのだと。まとめて面倒見ますというほうが、
3

事業者にとっても消費者にとっても分かりやすいのではないかなと思っております。
生体データ等の取扱いについて検討されているように認識しております。これを全て要
配慮個人情報に入れるのかというのは、要配慮個人情報の同意なし取得との関係でいろい
ろ議論はあるかと思いますが、特に医療やゲノムを観念するとすれば、そちらはそちらで取りあえずは立法はされるべきであって、それを踏まえても、なお個人情報保護法のほうの概念を変えるべきかどうかというのを考えるという順番で検討してはどうかと思っております。
５ページをお願いいたします。
第三者提供規制は、我が国の個人情報保護法でも最も規制が厳しいところでありますので、 い ろい ろ 事業 者 か らも コ メン ト が出 て お りま す 。単 純 に考 え る と、 GDPR 上 の適 法化事由、これは6条1項の ( ａ)が同意、(ｂ)が 契約 、(ｆ)が適法な利益、 その他あるわけですが、このうちの適法な利益を使い勝手がよさそうだから入れてくれと割と単純に考える
わけですが、これはそのままは入れられないとは思います。日本法は、原則は適法になっておりまして、取得についても原則同意は要りませんし、それ以外の取扱い、間の取扱いにつ い ても 同 意等 を 要 求し て いる わ けで は あ りま せ んが 、 GDPR は取 り扱 う こと 自 体が 原則違法で、全ての取扱いについて何らかの適法化事由が要ると。こういう構成にしているわけであります。なので、表と裏から規律しているだけですので、書き方だけの問題かもしれませんが、単純に入れてくれというのはちょっと違うかなと思います。
と は いえ 、 契約 に 基 づく 取 扱い に つい て 、GDPR は 適法 化 事由 に し てお り ます が 、日 本
でも、契約に基づく提供というのは、契約の本来的な趣旨に必須の範囲で私は認めたほうがよいだろうなと思います。というのは、特に決済スキームとか送金スキームでは、実はいろいろなところに第三者提供されているわけですが、同意があるのかというと、ないだ
ろうと思います。現状のガイドラインのきちんとリスクを把握し、説明した上で同意を取りなさいということに従うと、クレジットカードにしても海外送金にしても、とても同意は取れていないと思います。
しかしながら、それを違法だと言う人はいないわけで、それは同意を緩めているのかというと、そういうわけではないと思います。適切な契約であって、しかも、決済スキームというのは大抵、行政規制がきちんと入っていますから、それを踏まえて、契約に基づいて結局はよいのだということであるとすれば、それは、同意がないのにあると言い張るのではなくて、適切な契約に基づいて、契約に必須の範囲であれば、それは個人情報の取扱
いが、個人データの提供も含めて認められるのだと入れるほうが、より実態に沿い、適正な規律もかけられると思います。
ただ、こういうことをやると、「契約に書けばよいのだろう」ということでいっぱい書
こうとしますから、「絶対にそれは駄目ですよ」ということは当然であります。本来的な契約に伴う範囲だけですと、こういう規律がよいのではないかと思っております。
それから、オプトアウトのところですが、実は二重オプトアウト禁止が令和２年改正で4入りまして、これは企業の情報データベース等には結構影響があって、御相談が個人的にも団体にも来たりしましたが、実は、何の解消もされていませんので、ここは企業情報データベースを作る際に、企業情報データベースから取ってきて、それを使うんだというのが、本当に全部、何の留保もなく、今違法なわけですけれども、違法でよいのかというのは、一旦聞いていただいたらよいのかなと思います。
二重オプトアウト禁止の議論をしたのは、名簿屋の対策がメインだったと思いますが、あまり普通の企業情報データベースの会社が議論に参加できていなかったようにも見えていますので、一度聞いていただいてもよいかなと思います。
他方で、オプトアウトを一つ一つの名簿屋さんに言っていくというのが、非現実的なのは続 い てお り ます が 、 そこ は 、新 し くア メ リ カの ほ うで 出 てい る 、APRA と いう も のの 草案では、FTCのほうで一元化されたメカニズムを用意するのだということを言っていまして、日本でも個人情報委員会のところで検索はできるようになっていますが、一斉オプト
アウトの連絡ができるようにするなどが効果的かなと思っております。
６ページに進みます。こどもの個人情報等に関する規律の在り方です。
こちらは、教育データ及びこどもデータが非常に注目を浴びていますので、重要なのはよく分かっております。ただ、今の個人情報保護委員会の定式化は、残念ながら意思能力と行為能力に相当するものが混同されていると思っております。何歳ぐらいという基準を示していて、では、法定代理人である親の同意を取ろうと書いてあるのですが、法定代理人という制度は行為能力の話でありまして、それは、意思能力の個別判断はしなくていいのだという前提でできております。民法の基本でありますが、そこが割と入り混じっており、では、困ったら親の同意も取りましょうみたいになっているのですけれども、これはほとんど意味がないと私は思います。
取りあえず親の同意を取る。高齢者で認知症が危なかったら取りあえず親族の同意を取る。この場合の親族などは法定代理人でもありませんから、何の同意を取っているかよく分からないわけですけれども、後で問題になると嫌だからとりあえず取るということになっていて、ここは実質化する必要がありますので、同意を含む取扱いについて代理を認めるのであれば、きちんと立法すべきだろうと思います。
代理制度そのものが基本的には財産権についての制度でありますので、個人情報保護法
もそれは分かっておりまして、開示については代理人について法定しているわけですが、ほかについてはないと。これは普通に読めば代理は認められないのではないかということになってしまいますが、今、一応、何となく運用で回している状態ですけれども、きちんと立法して、どこまでが代理の範囲なのかと、本人確認の手続はどうするのだと、親とこどもと両方に本人確認が必要だったりするわけですが、そのようなことも含めて考えていただければよいのではないかと思います。
他方で、こども、教育データについては、これは本当に個人情報保護法で全部引き取る
問題なのかというのは疑問に感じております。そもそも、個別分野が立案される際には、
5全部個人情報保護法で最初から負担をかけるというのはあまり正しくないと思っておりまして、そのために、委員会のほうから「個人情報等の適正な取扱いに関する政策の基本原則」も出されております。これは、個人情報が関係する様々な政策は、法令に基づく場合
で例外にはなるわけですが、その際に、個人情報等については適正に取り扱ってくださいということで出していただいている文書だと認識しておりますし、最近でも感染症法等はこれを踏まえて立法されていると思います。
恐らく、それぞれの分野で必須の取扱いについては、それぞれの分野の法律にきちんと書かれるべきだろうと思います。こどもであれば福祉関係の法律、教育であれば学校の教育 に関 す る 法 律で 、 そ こ で本 来 的 にDX 化 し て 、 何の 情 報 が 必要 で ど う やっ て 使 う かと い
うのは書いていただければ、個人情報保護法は後に引くわけですから、もちろん、こどもの同意といった根本的なところはこちらで考える必要があるかもしれませんが、個別の一次利用、本来的な利用については、それぞれの分野できちんと立法していただくというような役割分担が必要ではないかと思います。
本 当は AI もそ うで は ない かと 思 って おり ま す。 AIの 立 法は 、ま た 別に 大き い 問題 では
あ りま す が 、 著作 権 法 に おけ る 適 用 除外 規 定 は 、日 本 で AI の、 特 に 機 械学 習 を す るに 対
し て は 非 常 に 有 効 で あ り ま す が 、 こ れ と 平 仄 を 合 わ せ る よ う な 政 策 を 取 る の で あ れ ば、AI に関 す る 立 法の 中 で 、 個人 情 報 も その 範 囲 で 扱え る こ と を立 法 し て いた だ く の が筋 かなと思います。
７ページに参ります。
差止請求や損害賠償請求を消費者団体ができるようにしてはどうかというようなことが検討されていると思います。まず、利用停止請求は拡大されているのですが、私が実務でそれぞれのほうから御相談を受ける限りにおいては、あまり使われておりません。恐らく、企業の段階で利用停止請求というのは、別に来たら、その人のデータを使わなければよいだけなので、紛争まで至っていないのではないかなと思います。それは、何となく幸せなことのように思われるかもしれませんが、１人についてだけそうして、本当の不適正な取扱いというのが是正されないという問題はありますので、適格消費者団体が消費者契約法
や特商法等について持っている差止請求権、これは認める余地はあるのではないかと思います。
それから、集団的被害回復制度のほうは、令和４年の裁判手続特例法の改正で、実は、慰謝料についても請求できるようになっていますが、今のところ実施例がないように思いますので、これはもう少し待ってもよいのかなと思います。
ただ、適格消費者団体にせよ特定適格消費者団体にせよ、あまりデータやサイバーについて強いわけではありませんので、機能強化が財政支援等も含めて不可欠の前提にはなろうと思います。
次に参ります。８ページです。
課徴金の導入はかなり積極的に議論されているのではないかと思います。中川先生、林6

秀弥先生の資料も拝見しました。５年前は命令が１件も出ていない状態でしたので、まだ早いのではというような意見を述べましたが、現状では入れたほうがよいかなと思っています。
小さいポツ二つで書きましたが、一つは破産者マップ類似サイトのように、命令をかけて告発までしてもやめないという者が実際にいるということです。
それから、ビッグ・テックについては、やはり金銭的なペナルティが効果的だと思っております。登記をしなかったので、いろいろ私も働きかけをしましたが、日本で外国会社登記しないと、最後は過料の裁判まで行くのですけれども、過料の裁判がかけられると、
ビッグ・テックはみんな登記をしました。やはり、ちゃんと法律を守らないでフィナンシ
ャルダメージを食らうというのは本国に説明がつかないのではないかと思いますので、こ
こは、やはり効果的だなと思いました。
産業界は非常に嫌がりますが、宍戸先生はそれだけじゃないとおっしゃりますが、基本的には利益の吐き出しが主な目的ですから、一番嫌であろう過失による漏えい等には基本
的には課徴金というのはかからないのではないかと思います。
では、全く何もやらなくてよいのかというと、安全管理措置を全く行わなくて価格優位を実現して利益を得ていた場合まで行けば、それは課徴金の対象になるのかもしれません。
それは、かけてもよいのではないかと思います。
また、主観的要件を入れるというのもあります。これは景表法の課徴金では過失が必要だとなっていますので、これは入れるということであれば当然かなと思います。
全体としては、もちろん自分たちにダメージが来る話ですから産業界は反対しますが、では、現場はどうなのかと言うと、これは、ちゃんとやらないとダメージが来るので予算を配分してくださいと。コストをかけましょうよという意味では、ここは経営陣と担当部署の利害が対立していると思います。経団連の立場では入れないでくださいと言うに決まっているわけですが、担当部署としては、相応のリスクがあるのだというほうが理解を得られるのではないかなと思います。
公表については、規律が今のところないのですが、最近は公表について立法するようになっていますし、これは裁量だけで公表するのも適切ではないと思いますので、入れたほうがよいかなと思います。
その他、監視・監督手段として、破産者マップみたいな、もうどうしようもないところについては、この際に、命令等を検索エンジン事業者やドメイン事業者、CDN等にかけることや、課徴金も含めてかけて、完全に違法なサイトについては潰すというようなことはできるようにしたほうがよいので、入れるというのは賛成するというところであります。
９ページに参ります。
刑事罰ですが、先ほど申し上げた破産者マップの類似サイトについては、公表されている唯一の告発事例ですが、現在にあってもサイトは落ちておりません。これは、是非、データ保護機関のネットワークも含め、捜査機関等のネットワークも含め、国際的にも進め7ていただきたいなと思います。
破産者マップは命令違反ですが、個人情報データベース等提供罪は、あまり使われていないというのがあります。これは、私も告発等で相談を受けることがありますが、客体が個人情報データベース等なので、客観的に分からないです。当たり前ですが、中のデータ
ベースがどうなっているか分からないので、なかなか警察がそれで二の足を踏むというところがあります。ここの概念を変えるということではなく、個人情報データベース等の立証を告発段階であまり強く要求すると、あまり使えないということになりますので、ここは捜査機関の問題ではありますが、もうちょっと告発を受理して、きちんと捜査していた
だいてやっていただければなと思っているところです。
10ページに参ります。漏えい等の報告です。
これは私も事業者等と委員会に報告させていただいたことがありますが、一番つらいなと思っているのが「おそれ」です。「おそれ」というのは、調べれば調べるほど人数が増えていくわけであります。もしかしたら見られたかもしれないという範囲が、頑張って調
べると基本的には拡大していくわけですが、拡大すると、その人たちに報告する事項は基本通知しないといけませんので、通知のコストが上がります。この通知のコストが非常につらい。知らせるのが嫌だというよりは、今、郵便の料金も上がっていますので、馬鹿にならないというのがあって、これはインセンティブ構造としておかしいのではないかなと。
本人通知は、コストがかかるペナルティとするためにあるわけではなくて、本人が、それによって二次的な被害を受けたりしないようにということで存在しているはずですので、頑張って調べると、本人通知の範囲が広がってコストが上がるというのはちょっとおかし
いと思いますので、ここは本人通知の範囲を、下の漏えい元基準の話とも被りますが、場合によっては絞るというようなことがあってもよいと思います。
この漏えい元基準も様々なところで議論がされていて、基本はそうなのだろうと思いま
すが、個人データの一部であって、それ単体では全く意味がないものが漏えいしても、本人に通知しないといけないと。そういう通知もしたことがあるのですが、本人からは「何ですか。これは」という問合せだけが来て、別に、本人の権利利益の保護にあまり関係がないということがありますので、ここはリスクに応じた、漏えい元基準はそうだとして、漏えいしたものをリスクに応じた内容で組み替えていただけるとありがたいなということがあります。
他方で、これに乗じて提供元基準がおかしいみたいなコメントをされる方がいるのですが、それは違うと思います。第三者提供の場面は、事前にリスクを判断しないといけませんので、ここは提供元基準を死守していただければと思っております。
それから、みんな一生懸命、漏えいが起きるとつらい中、速報を出しますので、是非、
これは御活用いただきたい。速報が来たら、直ちに分析して、同じような被害が起きない
ようにアラートを出す等についても是非検討していただきたいと思います。そうすると、コストをかけて報告する事業者も報われるのかなと思います。
8漏えいの公表についても、これは前述したとおりですが、これは規定を設けて、基準を公表するとしたほうがよいのではと思っております。
それから、細かい論点でありますが、第三者提供というか、意図的に提供した場合は漏えい等に当たらないというのが現状の解釈でありますが、意図に基づいていても違法に提供していたら報告義務がないというのは不合理ではないかというのを論文で書いたことがあります。これは、今でもそうだと思っておりますので、是非御検討いただければなと思います。
11ページをお願いします。
「公益 」に基 づいて 一般的に 出した いとい うのがあ って、 先ほど のGDPR6条 (1) ｆの問
題で あ りま す が、 先 ほ ど申 し 上げ た よう に 、GDPR そ のも の を使 え る とは 思 って お りま せん 。既 に 、 日 本法 に は 27 条 １項 ２ 号 、 ３号 に お い て、 生 命 、 身体 、 財 産 の保 護 と か 公衆衛生の保護というのがありまして、どちらかというと実務をやっていると、後段の同意を得ることのほうが難しいなと思っております。なので、後段の規定を、「同意を得ることが困難である等、同意を得ないことについて相当の理由がある場合」と、例えばこのようにしてはどうかと思います。
また、公益、公益とおっしゃるところは、基本的には立法されるべきだなと思います。
その際に、委員会が出している個人情報の取扱いについての文書は参照されるべきであり
ますが、こども、教育、医療、災害等、これらは基本的には公益に資するから国会等で立法するわけですから、そちらで個別にやっていただければなと。基本的にはそう思います。
次に参ります。
12ページ ですが 、PIA、 DPO等の 設置に つい ては、適切 なイン セン ティブで補 助金と いうの が 考え ら れる わ け であ り ます が 、GDPRの 概念 に つい て 、英 国 法 が今 改 正を し てい ま
して 、 当然 ブ レグ ジ ッ トし た ので GDPR そ のも ので は なく な った わ け です 。 この 辺 につ いては、そのままではないというように改正案を出していますので、こちらも参考にしていただければなと思います。
13ページ以下です。
こちらは経済界から問題提起がありましたが、３年ごと見直し自体を私は死守すべきだと思っておりますが、前回入れたものについてどれぐらい効果があったのかという検証が必ずしも十分ではないという指摘はそうかなと思います。消費者基本計画などは、KPIを定めて直していくといったようなことがありまして、手間で大変だと思いますが、こういうことを入れて、効果を見せながら改正していくとよいのではないかと思っております。
14ページをお願いします。
これは声を大にしたいですが、３年ごとの「ごと」は非常によい発明というか呪いかもし れま せ ん が 、こ れ は な くす の は よ くな い と 思 いま す 。 私 は、 こ の 10 年 間放 置 し た ときの消費者庁の個人情報保護法の担当者でしたが、やはりやらないほうが楽なので、どうしてもやらなくなってしまいます。忙しいですし、人も足りないですし、国会も詰まってい9ますし。しかしながら、個人情報保護法案は、絶対に３年ごとには、「３年ごと」は実質５年ごとぐらいですけれども、技術革新があって、何かは議論するところがありますので、これは是非やっていただきたいと思います。
もちろん、法律、政令、規則、ガイドラインと直していると次の法改正が来てしまうと。
しかも、この間は令和２年、３年もやったので、もうすぐじゃないか言われればそうですが、これは技術の革新に法律が追いつくためにはしようがないとは思います。
それから、３年ごと見直しの回は、５年前も言いましたが、公表でやったほうが皆さんの理解を得られるのではないかと思っております。
最後です。
行政機関等については、今回、議論の対象になっていないと思いますが、行政機関等につ いて は 、 こ れは 長 く 放 置し て し ま って い る 現 実が あ り ま す。 平 成 27 年 のと き も 令 和２年 の と き も 、 基 本 的 に は ハ ネ 改 正 し か し て い ま せ ん 。 し か し な が ら 、 行 政 機 関 等 自 体のDX 化、 自 治 体 も含 め ま す が、 デ ジ タ ルプ ラ ッ ト フォ ー ム や スマ ー ト シ ティ を や る のだ というようなことを考えると、散在情報規制だけでよいのかとか、匿名加工情報は提案募集に限られるとか、仮名加工情報は自分で作ることを前提としていないとか、確認記録義務がないとか、全部開示前置だと、こういうのでよいのかというのは一旦考えていただければと思います。ただ、それをやると、３年ごと見直しの間でもう一回見直しがあって、また改正が多いから３年ごと見直しをやめてくれという議論になりがちだろうと思いますが、やっていただきたいと思います。
規律移行法人の範囲についても、金融機関や交通等は今のところ行政機関等の規律になっ てい ま す が 、実 質 、 こ れは 10 年 前 の規 律 で や って い る こ とに な り ま すの で 、 無 理が 来ているなと実務的には思いますので、是非、これは、金融や交通等は規律移行法人として入れていただいたほうがまだよいかなと思います。
以上です。ありがとうございます。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問・御意見があればお願いいたします。
清水委員。
○清水委員

委員の清水です。どうも御説明をありがとうございました。

私のほうは、７、８ページに関して御質問させていただきたいと思います。
課徴金や団体訴訟の差止請求の導入に対しましては、前向きな御意見を頂いていると理解しましたけれども、業界団体からは萎縮効果を懸念する御意見を多く寄せていただいております。これに関して、先生のほうでは経営陣と担当部署の間の経営資源の対立というところが発生するとおっしゃっていただいていますが、萎縮効果を生む可能性があり得るかどうかということについて、どのようにお考えかという点について教えていただければと思います。これが１点目でございます。
○板倉弁護士萎縮効果と申しましても、手続の問題であってルールが変わるわけではな
10

いですから、それは必要なビジネスであって、適法にやるのだということであれば、特段萎縮効果ということはないのではと思います。
また、差止請求のほうは、事前に、いきなり訴訟があるわけではなくて、必ず書面を送ってから訴訟ということになりますが、書面段階で解決するのであれば、それは後戻りす
る前に気づいてよかったねということにもなりますので、別にこれは皮肉で言っているわ
けでも何でもなく、適格消費者団体が事前に言ったことによって、その後、続いているビ
ジネスは幾らでもありますので、もちろん、私も経済団体の立場なら「萎縮効果があります」と言うのですけれども、そんなこともないのかなとは思っております。
○清水委員

ありがとうございます。

あと２点お願いしたいのですが、８ページで公表について書いていただいております。
実質的にはペナルティと同等の効果を持つため規律を定めるべきと書いていただいておりますけれども、例えば取引透明化法の第６条を挙げていただいていますが、基本的に権限行使した場合は全て公表するという方法もあるのかなと思いますが、どのようにお考えでしょうか。この点、お願いいたします。
○板倉弁護士それならそれでもよいと思います。それでもよいというのは、そういうものだということでルールが発生しますので、実は経産省が、それぞれの大臣でやったとき、経産省は全部公表していたのですが、それはそれです。結局、どれが公表されるか分からないということになると、公表されると損だなということになりますし、ルールもないのに公表されて何か嫌だなという声も聞こえますので、何らか決めて基準を定めていくということで、それに応じたリスク対応をしますので、全部公表なら、それはそれでどういう場合に指導等がされるのだというのが分かって、私は悪くないのではないかと思います。
産業界は嫌かもしれませんが。経産省のときはやっていましたので、別にそれですごく批判があったかというと、そういうものだということだったらそういうものだということで、ルールは動いてきております。
○清水委員

分かりました。

あと、全てを公表しない場合だとしましても、どういう場合にするかを明記、公表すべきだということでよろしいでしょうか。
○板倉弁護士○清水委員○板倉弁護士○清水委員

ある一定の基準はあるべきだろうと思います。
公表すべきということで。
公表は、必要があればすべきだと思いますし。
その基準を。

○板倉弁護士基準も公表されるべきだと思います。

○清水委員

了解いたしました。ありがとうございます。

最後なのですが、同じページの、命令の対象範囲の拡大についても、前向きな御意見を頂いていますけれども、検索サービス事業者等を措置命令の対象とする場合に、しばしば指摘されることが表現の自由との関係というのがありますが、こちらについてお考えがあ11

ればお伺いしたいと思います。
○板倉弁護士それは、民事でも検索結果削除がありますので、同じようなものであって、事前にというわけではないので、事前だとちょっと検閲っぽくなってきますが、既に出ているものについて、明らかに違法なものについては、検索からは出てこないようにしてくれというだけですので、それは民事でも認められているように、若干の緊張関係はもちろん あ り ま す し 、 最 高 裁 も あ り ま し た が （ 最 判 平 成 ２ ９ 年 １ 月 ３ １ 日 民 集 ７ １ 巻 １ 号 ６３頁）、できる範囲というのはあるかなと思います。
○清水委員

ありがとうございました。

以上です。
○藤原委員長ほかにはいかがでしょうか。

浅井委員、どうぞ。
○浅井委員

浅井でございます。御説明、どうもありがとうございました。

公表について、私も御質問させていただければと思います。
課徴金についての公表の規律化を提言されておりますが、これは実質的なペナルティとして、また、潜在的なリスクの抑止力としても効果が図れるのではないかと理解をいたしました。一方で、漏えい等のケースでは、現状では本人への通知が義務となっています。
技術的にはかなりのコストがかかるのが負担だというお話もございました。加えて、それの本人通知は、事業者のペナルティとして行われるべきではないとの御意見も伺いました。
この漏えい等の場合の公表の規律化の場合ですが、意義はどう捉えたらよろしいか、お考
えがあればお聞かせ願いたいと思います。
○板倉弁護士いずれも、ペナルティの面があることは否定しないので立法するという前提で、やはり漏えいの場合の公表というのは、他の人が同じような目に遭わないようにと。
それプラス、事業者に加えて、本人が権利利益侵害を避けられるようにという観点から基準を決めて公表するということが求められるかなと考えます。
○浅井委員

どうもありがとうございます。

○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
それでは、私のほうから幾つか最後にお伺いします。
こどもの個人情報ですけれども、今、同意を含め代理を認める場合の立法の必要性について御説明いただいてありがとうございました。具体的にお伺いしたいのですけれども、こどもの個人情報等に関する規律を設けると仮にした場合、具体的に規律が必要となる論点としては、例えば個人情報の取得とか、プロファイリングとか、利用停止等の請求権とか、安全管理措置等、要するに上乗せするのだという議論もあり得るのですけれども、こ
ういったことについてどのようにお考えになるかということと、ほかにも、こんな点もこどもの個人情報については規律が必要ではないかというのがあればまず教えていただきたいのですけれども。
12

○板倉弁護士

ありがとうございます。

私、６ページでは上乗せの部分は特段書いていないのですが、一番すぐ思いつくのは、
もちろんこどもの情報について、要配慮個人情報に入れるという話になってくるわけです
が、それは取得の段階の話というよりは、こどもの情報の取得は、ほぼ強制的に行われるものが多いでしょうから、そこを厳しくするというよりは、今、委員長がおっしゃったよ
うな、何らかのプロファイリング的な決定が行われる際には、よりダメージが大きいと。
つまり、これはこどものデータのところの議論でも当然行われるわけですが、小さい頃のいろいろな行動についての推測が、大人になってもついてきてしまって、何らかの不利益を得るというのは、大人が何らかやられるよりも非常にダメージが大きいし、それこ
そ、少年の可塑性等にも影響する話ですので、そこについて、より厳しくするのだというのは、こどもの一般の状況からしてあり得ると思っております。
もう一つは何でしたか。
○藤原委員長どこか抜けているところが、論点として、実務の観点からお気づきの点があればお願いします。
○板倉弁護士こどもについてですね。

基本的には、資料と引用した論文に書いたとおりなのですが、実務的にやはり難しいのは、どうやって確認するかでして、例えば、ゲームとかでしたら、お父さんもよいと言っていますぐらいでよいのかもしれませんが、もっとこどもの権利に係るような場合には、やはり、親子関係というか代理人のところもきちんと確認をして、両方から同意を取るというのをやらないといけないわけですが、そこについては必ず、これは個人情報保護委員会が全てやるのかというのか、デジタル庁もいろいろ本人確認のことをやっていますので、連携してやっていただくのかもしれませんが、そこが実務的にはかなり苦労しているとこ
ろで、２段目の２ポツ目の「必要に応じ本人確認の手続等も」と書いたのは、ここは、実は、かなり皆さん苦労しているところです。
全てにおいてわざわざ親本人を確認して、サインが要るかというと、そういうわけではないので、どういうサービスでこどもの権利利益侵害が起きやすくて、どういう場合は、
要するに、堅く、親の同意まで確認するのかというのも考えないといけませんし、ここに書いていないのは、親子で利益相反するパターンというのもありますので、そういうのは、親族相続の利益相反を丸ごと抱えるみたいで非常に難しいですが、それも議論していただ
くとよいのかなとは思います。
○藤原委員長ありがとうございます。

あと、もう１問だけお伺いしますと、今日、「おそれ」の場合の報告について、事業者のインセンティブ構造としておかしいという御意見を頂いたのですけれども、やはり、おっしゃったような点が、事業者が過度な負担を感じているという、その要因になっているという理解でよろしいですか。
○板倉弁護士

個人情報保護委員会に報告するのはフォームなので、それは一生懸命やる
13

のですが、本人通知の範囲が広がっていくというのは非常につらい。しかも、一生懸命外注してフォレンジックをすると、もしかしたらここもと。「もしかしたら」というのは「 おそ れ 」 で すか ら 、 ど んど ん 増 え てし ま っ て とい う の が あり ま す の で、 そ こ は 、10 ページ二つ目のポツの漏えい元基準のところに書いてあるのとの組合せで、リスクが低いものについては必ずしも本人通知は必要ではないと。もちろん、個人情報保護委員会への報告は、それはそれでしていただいたらよいので、経緯を見て、やはり通知したほうがよい
よということであれば、言っていただければよいと思いますが、ほぼ、今、自動的に「おそれ」で一生懸命調べると、通知しなくてはいけないということになって、「一生懸命調
べたのにな」、「つらいな」というのが私もかなり聞いている経済界のコメントです。
○藤原委員長ありがとうございます。

それから、それに関連してですけれども、実務でいろいろなクライアントから御相談を受けていると思うのですけれども、こういった類型で漏えい等の事案であれば、報告義務は緩和してよろしいのではないかというような御意見があれば教えていただきたい。
○板倉弁護士今、漏えいした部分自体のリスクというのはあまりカバーしていないわけですが、漏えいした部分では本人の権利利益侵害がほぼ起きないであろうというような事案については、報告するのはよいのですが、公表してもよいので本人通知は緩和してほしいなというのが非常に強いです。
それは件数というよりは、漏えいした部分の特定個人の識別性とか、そこの情報が単なる連絡先だというだけで緩和するのは議論があるとは思いますが、特に、漏えいした部分
では特定の個人は識別できないといったような場合には、本人通知は緩和してほしいなというのがあります。また、必ず、あるいはできる限り本人通知をしようということのために、不要だけれどもメールアドレスを取っておこうということをやってしまう事業者がいます。
つまり、住所・氏名しかないと、郵送で連絡しなくてはいけないのですけれども、メー
ルアドレスがあれば、万が一の場合は本人通知をメールでやればよいので、コストはほぼゼロに近いということで、取るところがあるのですが、それは個人データの本来的な在り方である最小化の原則と反しますので、そういう行動を取らせてしまっているのもよくな
いかなとは思います。
○藤原委員長ありがとうございました。

ほかにはよろしいですか。
それでは、頂いた御意見も含め、個人情報保護をめぐる様々な状況について、引き続き多様な意見を伺いながら、課題を整理・審議してまいりたいと思います。板倉先生、本日は本当にありがとうございました。
○板倉弁護士ありがとうございます。

○藤原委員長どうぞ御退室ください。
（板倉弁護士退室）14

○藤原委員長

それでは、続いて、新潟大学鈴木教授に出席いただきます。
（鈴木教授入室）○藤原委員長

鈴木教授におかれましては、御多忙の中、御出席いただきありがとうございます。
それでは、早速ですが、御説明をお願いいたします。
○鈴木教授

新潟大学の鈴木と申します。

それでは、報告させていただきます。
お手元の資料のとおりでございますが、私のほうからは「デジタル社会の個人情報保護法」と題しまして、なぜ、現行法でデジタル社会に十分に対応できないかということについてお話しさせていただきます。
まず、１ページ目の下段でございますが、例を三つ挙げてまいりました。
デジタル社会に対応できないというのはどういうことかというと、昨今の政治と財界のほうから、個情法に関しての報告・意見が出ているように、政界・財界のフラストレーションは多分ここにあるのではないかと思っております。
一つは、医療等分野の検査・調剤・健康データの分析です。
以前 、 森 田 先生 な ど が その 必 要 性 につ い て お 話し さ れ た と思 う の で すが 、 医 療AI の 開発や創 薬の ため の二 次 利用ル ール 、特 に EU の ほうで 、御 案内 のと お りEHDS とい う形 で二次利用ルールが既に成立目前になっているという状況もありまして、これが急務だということであります。
次のページで詳細を申し上げますけれども、統計量に集計して分析するだけなのに、なぜ本人同意が必要なのかという問題意識がございます。
いずれにせよ、同意なく１億人のデータを二次利用するための法案、その基礎理論が個
人情報保護法に問われているのだろうと思います。
それから、例２ですが、自動運転システムに映り込む人の映像の取扱い、それから、生成 AIの ク ロ ー リン グ 等 の 取扱 い 、 肖 像権 ベ ー ス で顔 写 真 も また 個 人 情 報だ と 言 っ てお り
ますと、病人等と推知される要配慮個人情報に該当するものが、いわゆる同意規制が入りまして、すなわちこういった映り込み、クローリングに際して、それぞれのプログラムに
要配慮個人情報の発見プログラムが先行して、しかも、同意手続を要求されるという、実装不可能なルールが押し寄せてくるという問題がございます。これについて、そもそも個
人情報の法目的の理解が違うのではないかと。処理対象としないのに本人拒否の機会が本当に必要なのか、何を守っているのかが問われています。
それから、例３は、デジタル庁、こども家庭庁等、こどもの見守りのために、いわゆる毒 親、 DV 、 ド メス テ ィ ッ クバ イ オ レ ンス を す る 親の プ ロ フ ァイ リ ン グ をす る 選 別 アル ゴ
リズムの適切性の確認を、実は、個情法がそのルールを作っていかなければならない。あとは 文 科省 の GIGA スク ール 、 それ か ら、 経 産 省の 未 来の 教 室、 総 務 省の ス マー ト スク ール構想など、教育データを使って個別最適化をしていくのだと。基本的には、画一教育よ15

りも皆大賛成なのでありますが、この個別最適化、アルゴリズムの適切性をどう評価する
か。PIAという言葉がありますけれども、具体的に、ここの、やってはならないことが明らかでない限り、社会実装が困難になる。他省庁の政策を漠然とした形で止めかねない。
この辺りが、多分、政治・財界のフラストレーションだろうと思います。
その結果、今何が起きているかというと、個情委から法案の起草権限を取り上げて、他省庁、また、別の組織に持っていったらどうかというような話すら出ているということなのです。ここに関しては、私はネガティブで、そもそもマイナンバー制度創設のときに第三者機関を作らなくてはならないというときに、やはり、公取モデルを考えておりました
ので、いろいろ組織法上の論点などもお話を伺いましたけれども、端的にまずいと思うのは 、や は り 役 人OB の 方 々 に聞 く と 、 法案 の 起 草 権限 を 失 っ た組 織 は 、 役所 の 役 人 のス キ
ルが著しく低下するということでした。これは確かにそうだと思いました。
タコ部屋に入って法制局とやり取りして、各省庁、関係団体、有識者とヒアリングをして、こういう訓練を経て法案、法律の理解が深まり、役人のスキルも上がっていくというときに、ここを取られるということは、今後の第三者機関の在り方として、弱体化の一途ではないかというような思いもいたします。
一方で、こういった、今挙げたデジタル社会に世の中が向かっているときに、個人情報保護法が日本のあるべき政策を止めていていいのかということ、これに適切に打ち返すというのが、多分、今回の３年ごと見直しの論点ではないかと思いました。
ページをおめくりいただきまして、医療です。
これ は 、 森 田先 生 は 、 必要 性 の 論 証は 、 毎 度 、方 々 で き っち り さ れ てい る 。 今 般も EUに調査に行かれて、必要性は誰しもが納得するところですが、我々の仕事は、それが法的に許容されるのかと、理論化できるのかというところが論点でありまして、必要だから何でも使ってよいというわけにはいかないだろうと。
二次利用法案における同意不要の理論的基礎を、体系的・理論的に明らかにしないと、場当たり的にやってしまうと。特にまずいと思っているのは、公益だからいいんだ、公衆衛生だからいいんだ、正当事由があるからいいんだということを、法目的が曖昧で、かつ、基本原則も曖昧な中で、単にプライバシー権という漠とした概念で物事を言いますと、多分大きな矛盾をはらむというか、司法裁量と行政裁量に丸投げする形になりまして、それぞれの権力行使の判断の枠組みすら提供しない、そういった法案になってしまってはかな
りまずいだろうと思います。
二次利用法案が欲しているものは何かと言いますと、健康診断の健康時のデータと、あとは、医療機器で検査した検査データの生データと、それから、実際に処方して、どういう薬を人体に打っているかという調剤データです。これを突合して、すなわち、識別利用する必要があるわけです。これを仮名加工医療情報という概念で捉えるわけですけれども、識別子付きの仮名加工なのです。
そうすると、ガイドラインばかり見て仕事されている方は、仮名加工は識別子除外しな16

いと駄目だろうという、非常に教条的なところに入るわけですが、仮名加工情報というのは非常に政策的概念でありますので、立法でこういうことを認めることは可能なのだろうと。ゆえに、仮名加工、医療情報と別概念になり得るのだと思いますが、複数のデータベースを突合する必要性があります。
そういうリッチな生データを、本人同意なく１億のオーダーで集めたいのは、医療は、
外れ値のほうに意味がむしろあるわけです。病気ですから、希少疾患や遺伝子疾患を含めます。本人同意やオプトアウトを認めると、自分のこども、血縁に影響を与えかねない遺伝疾患の人は同意しません。そうすると、科学的なデータが集まらない法制度になります。
それゆえに、同意不要の実質的な理由は、悉皆的にデータを集めるためであります。それと同時に、個人の権利利益の侵害があってはならないというこの二つの要件を満たす法制度を設計する必要があります。
それによって突合したデータを仮名加工し、オンサイト利用と安全管理を一般ルールよりも強化し、転々流通がないように統制し、資格ある分析者が視確し、罰則も強化するという、統制された中でこれを安全に行う必要があるのですが、セキュリティだけ強化しても、同意不要の理論にはならないわけです。
次の下の図を見ていただきたいのですが、それで、私は統計法に着目いたしました。特に医療統計です。一般文系ですと、統計は個人に関する情報に該当しない。なぜならば、円グラフとか棒グラフみたいなものを想像しているので、これでは本人の評価、決定ができないからだと思っていたわけです。さて、この図の①、②を見ていただきたいのですが、
医療カルテであれ検査、調剤データであれ、対象情報の法的性質に着目して、それで個人が識別できるのであれば、入力段階、取得段階で本人同意、若しくは利用目的の明示義務、
これは要配慮個人情報なので本人同意を求めてきたはずですが、統計も生データをデータベースに入れて処理するので、途中段階までは仮名加工、匿名加工、統計加工、ほとんど一緒です。しかも、オーダーメイドの統計をするので、逐一個票に帰って処理してアウトプットしているのです。
ところが、我々は、今まで統計は、個人情報から除外していたのは、アウトプットが統計化されているところを見ていたのです。いやいや、入力データの法的性質論で、個人情報保護法を適用していたのに、統計化といったときには、入力情報の途中までの処理もリ
スクも同じなのに、統計と言った途端に対象から外すのです。すなわち、先ほど申し上げ
た、統計量に出力するという使い方に限定するならば、統計法と同じように、出力データのところに着目して設計するならば同意不要とするロジックが出るのではないかというのが私の意見でございます。
次、シンポジウムで統計法の改正をした先生に、いろいろここの詳細を伺う予定でおりますけれども、やはり個人情報保護法とどう体系を分けてきたのか、その実質的な理由を、
次、いろいろ研究会で、起草担当官の、現在共著されている先生にお伺いしようと思って
おります。
17

現在の二次利用法案の非常に危惧すべき点を１点申し上げて、ここは終わりにしたいと思うのですが、不利益利用禁止条項のアイデアが入っておりました。これは、一見ごもっともなので、国会議員の方々、世間の方々は、当然このような危ないデータは、統計量に出力し、本人評価に使わない形で個人の権利利益の保護に資するように、個人の権利利益を侵害しないように設計してもらわなくては困る。不利益利用をするなという情報は、極めて麗しい規定だと思いがちなのですが、二次利用ルールにおける不利益利用禁止条項は、
実は利益利用を許容する反対解釈を含むようです。これは、極めて欺瞞的なので要注意です。
二次利用だから同意不要なのに、統計量に出力して本人評価をしないから個人の権利利益を侵害しないはずなのに、重病で、直ちに本人に通知せねば命に関わるという事態になったときに、仮名加工なのでたどれるのです。パターナリスティックに本人に伝えるべきかどうか。一次利用を二次利用法案に混入させてよいのかということです。
二次利用ルールにおける本人同意不要の基礎理論は、医療等データによって本人の診断、介入、評価、決定に用いないこと、非選別利用であること。
②の、当該医療データが転々流通したり、漏えいしたり、目的外利用されないこと、これを法的に統制されていることによって、個情法上の個人の権利利益の侵害リスクを最低限低下させているがゆえに同意不要とするロジックを私は推したいと思うのですが、しかし、一次利用といいますか、利益利用という名目で、命の問題だからという形で、いきな
り傍らから「○○病です。すぐ治療してください」という通知が来るとするならば、これは別の制度であります。絶対駄目ということではなくて、やはり、こういうことをするた
めには、通知をあらかじめ本人が求めるなど、登録しておくなど、別制度として制度設計しなければ論外だろうと私は思います。
これは、医事法上の原則であるインフォームド・コンセントに戻るのが理論的な立て付けとして正しい行動ではないか。このような通知制度を一概に否定するものではないですが、がん登録法のように、こういうことをやってよいでしょうかと。やはり、論点として社会に問いかける作業なしに、二次利用法案のどさくさの中に紛れ込む、これは個情委として相談を受けたならば、是が非とも釘を刺していただきたいところでございます。
次に、こどもの見守りと毒親推定プロファイリングですが、この判断基準がないのはな
ぜか、いわゆる、これはプロファイリング問題として、学会では新しい問題として捉えておりますけれども、先般の高木さんの報告に多分あったのではないかと思いますが、よくよく調べていくと、データ保護法制の本丸でございました。
自治体が保有する取得する各種履歴データ、住民税などを見て検討対象にするということは、児童相談所の人が立ち入ると、家が荒れていたり低所得者層であるという経験則は多分あるのだろうと思いますが、これは、かつて、フランスでも、半世紀前に汎用機の時代にやっておりまして、貧乏だと虐待するのかという命題が入ってくるわけですよね。この基準が入るということは。
18そうすると、虐待と入力データとの間に関連性があるのかどうかということの検証なしに進むということは、自動処理によって、この項目に引っかかる人は児童相談所、公権力の監視方に入れてよいという形で画一的に処理されてしまうのです。ゆえに自動処理というのは非常に欧州で危険視されてきたわけであります。コンピューター処理によって、実は、 13条 で はな く、 憲 法14 条の 問 題も 惹起 し てく るわ け であ りま す 。ま さに 、 デジ タル
社会において、個情委、個情法が注視すべきは、ここの基準を明確化して、構文の中に入れて、ここのチェックをすることだろうと私は思います。データによる評価決定、児童相
談所の監視対象人物に入れていくと。
医学部入試の合否判定も、まさに同じ構図であります。
合否判定のために用いるという利用目的の適正性はあるのですが、そのときに、教授会に示される点数のアルゴリズムの中に性別を、合否判定に実は性別は要らないのです。その他の入試手続には必要性はあるのですが、入試の判定ということに性別は要りません。
関連性のない性別を入れているということが項目の中にあるということは、関数、手順の中でそれを読みに行くということを意味しています。そうすると、性別を読んで、どういう係数なり処理があるのか。女性の点数を下げるというアルゴリズムがあったわけです。
PIAというのは、本来は、必要な項目があるか、それは最小限かというところを見る。
必要十分ではないと処理がおかしくなりますし、余計なものを入れてもおかしくなる。関連性がないものを入れても、このように差別につながる。統計的差別になる。個々のデータが正確でなければアウトプットは不正確になる。
アルゴリズムを確認し、性別を項目にフィールド名に持っているのであれば、これは何に使っているのかを確認しなければならない。これは、すなわち行政調査においても必要な こと で あ り ます 。 帳 簿 閲覧 権 を 行 使し た 時 代 では な い の で、 担 当 官 に聞 か れ て も、 AIを使ってのリクナビ事件のような問題が起きたときの行政調査の要員のスキルを上げなければならないわけですが、多分、昔のような現行公務員制度体制では無理なので、理研、産総 研 、NICTな ど のラ ボを 使 って 、 守秘 義 務 を課 し て、 行 政調 査 の 手助 け をし て もら う
ような制度設計をしなくて大丈夫かというのはやや懸念しているところであります。
結局は現場に行って報告の徴収に終わるだけならば、悪質事業者は、この主要の内容の詳細を語ることは、私はないと思います。この辺りも、デジタル社会における独立行政委
員会としてのスキルとして、組織の在り方、要員の配置の在り方として、一応、法令の根拠が必要であれば何らかの手当てが必要ではないか。この辺りも、３年ごと見直しに反映させていただきたいと思います。
調整法理なき保護と利用のバランス論で、私自身もそうでしたけれども、問題が進んでしまうと、保護と利用のバランスでといって逃げ口上で使ってまいりました。なぜ機能しないのか。個人の権利利益とは何かが不明なままではバランシングのしようがない。それから、両者をどう調整するのか、表現の自由とプライバシーの権利とのアナロジーで、何か黙っていれば判例で基準が見えてくるだろうという放り投げになっておりますが、これ19

は全く機能しないまま、逃げ口上で私自身もずっと使ってきてしまった。この辺りは、そろそろもうやめにしないとならない。
個人 の権 利利 益の 保 護とは 何か 。実 は、 63 年法に は、 1988 年の 旧 法の中 には 、逐 条解
説 につ い て は しっ か り 書 かれ て い た 。特 に ③ は 、文 書 管 理 法制 に 、 現 行法 、 平 成15 年 法で転換するときに、データベース固有の、データ保護法固有の法目的を落としてしまったのです。これが、今日のプロファイリング問題に機能しない現行法を作り出してしまったということだろうと思います。
資料は大部なのですけれども、言いたかったことは冒頭のほうに書いてまいりました。
あと、もう１点、最後に付け加えるとしたら、ケーススタディ１のところを見ていただ
きたいのですが、個人情報の定義の解釈が二つ併走しております。これに無自覚だというのも、法目的の曖昧さと相まって現行法の混乱を導いているところだろうと思います。
例え ば、 そこ に Q&Aが 今画面 に出 てお りま す が、こ の Q&A のう ち、２ 、３、 ４は 、全 国で顧問弁護士の回答が異なるところだと思っております。これに関して、一義的に基準を明確化しないと、実は、公民一元化して、２条１項に条文自体は一つになりましたけれど
も、市中に解釈はばらけています。
情報公開法の不開示事由における個人に関する情報の解釈と、データベースを中心とした 個人 情 報 保 護法 の 解 釈 は全 く 違 い ます 。 同 じ 文言 で 個 人 情報 保 護 法 にお い て も 、78 条
は情報公開法型で解釈する部分もありますので、法目的、制度趣旨ごとにおいて個人情報の解釈の基準が変わるというところを、もう少し自覚的に市中に分かっていただくということを整理しておかないと、個人情報の定義が統一されて、同じ解釈にあるという所与の下で各種制度設計と議論がなされておりますが、個人情報の定義の解釈は大きく二つあるのだと。この無自覚問題も、現在の混乱の原因の一端になっていると私は思っております。
以上です。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について、御質問・御意見があればお願いいたします。
清水委員、どうぞ。
○清水委員

委員の清水です。どうも、詳細な御説明をありがとうございました。

資料とは直接関係ないのですが、冒頭のほうでお話のありました法律に関して、起草権限を失った場合には、期待されている第三者機関としての力が低下してしまうという御説明がございましたけれども、それは、どうしてそういうことになるのか、お考えをお聞かせいただければと思います。
○鈴木教授

マイナンバー制度創設のときにいろいろな人と議論していたのですけれども、三権分立といいましても、ほとんどが行政権に集中しております。ですから、行政権自体も、ある程度、権力分立の形で行政組織法が出来上がるというのは麗しいだろうと思いました。第三者機関創設の論証をしなくてはならない時期だったので、いろいろ考えてきたわけですが、一つには、三権分立といっても、実質的には閣法が中心で、その法案の起草
20

権限は霞が関にある以上、語弊はありますけれども、実質的な立法権の一部は行政権にあるとも言えるわけです。
それと同時に、個情委が日々行われているように法執行という面があって、そうすると、
やはり立法的な仕事と法執行と、やはり、これを別組織に分けたほうがよいのではないかという、多分、金融庁の議論でもいろいろな試行錯誤があったように聞いております。そういったもののアナロジーで、昨今の個人情報保護委員会の在り方を、政界が財界の意見を受けて、このフラストレーションの解決策として考えるとしたら、その立法的権限を分けて、個情委は専ら法執行に充てたらどうかというような意見が出てくるのは、頭の体操として分からないでもないと。
しかし、法執行で現場を見て、矛盾を考えながら３年ごと見直しでフィードバックするという、手を動かしながら考える。学者は、ラストワンマイルが抜けて、詰めが甘くて放り投げたりしますけれども、役所は、社会実装して、個人を救済し、社会の病理現象を解決していく責任がありますので、最後まで詰めていかなくてはならないので、理念的に麗しくても、実装できるまで詰めが甘い学説は採用できないわけです。
そういったことの実感は、執行と法案を練る形の、この両方の担当をしながらスキルが磨かれていくので、権力分立の観点から分けるというロジックも、ある意味、仮に個情委が暴走した場合には、そういう手当てがあり得るのですが、今の段階では、個情委は、今日、例を三つ挙げましたけれども、これをどうやって解決すべきかという課題を突きつけられた時に、プライバシーというと茫漠とした多義的概念のまま答えを言った気になっている状況の人たちとの会話の中では、多分問題解決しないと。では、どうすればよいかということを緻密に考えるのは、むしろ、今は個情委のほうがいいのではないかと私は思っています。
引き離したら、多分、執行だけやるようになるので。ただ、分離したい人は、法執行に便利な道具を作ろうとするのではないかと猜疑心に駆られているということだと思います。
そうすると、強化一辺倒になると思われている方に対しては、この例の３に出した三つの例を、どう解決するか理論的な体系性を持って打ち返すということなくしては、この機運で押し込められると、全体の社会制度として不幸な方向に流れはしないかというのを懸念しております。
○清水委員

どうもありがとうございました。

以上です。
○藤原委員長ほかにはいかがでしょうか。

髙村委員、どうぞ。
○髙村委員

御説明、ありがとうございました。

スライドの５ページの（２）のところなのですけれども、このスライドの手前のところ
で、先生のほうから、本人同意がない状態でデータを提供する条件として、安全性だけでは不十分だと、そういう御指摘がありましたけれども、その安全性というのは、この（２）21

の②を意味していて、①が、安全性だけではない理由という理解でよろしいですか。
○鈴木教授

はい。

○髙村委員

その場合、①の「本人の診断、介入、評価、決定に用いないこと」というのは、診断、介入は別にしても、評価、決定について言うと、これは、本人にとって不利益な決定に用いないという意味なのでしょうか。それとも、利益、不利益を問わず、本人の評価、決定には用いないということが根拠になるのでしょうか。
○鈴木教授

そうです。利益、不利益関係なく、評価決定に使うがゆえに、個人情報保護法の適用が問題になるわけで、市中では個人情報に該当すると使えないという予断がありますから、いかに個人情報に該当せず、個人情報保護法の適用なく使うかというところに脳みそが動くのですが、単に個人情報に該当したとしても、義務規定の点検を経て使えという法律ですから、何ら問題ないわけです。ですから、利益、不利益に関係なく、評価、決定に使う場合に個人情報保護法が適用される。
逆に言うならば、利益、不利益に関係なく、評価、決定に使わない、統計量に出力される方向においては、個情法の適用はなく、統計法のように特別法で安全性の統制を担保するなどして、安全に使う道が開けるという意見であります。
○髙村委員

その御意見が、（１）の利益利用を許容する考え方に対して危惧されるということにつながるわけですか。
○鈴木教授

はい。利益利用であれ、不利益利用であれ、本人に介入、診断、評価、決定

するならば、医療分野の場合には、インフォームド・コンセントに戻るのが筋であります。
ですから、多様なデータで統計処理してくれて、何か自分に命や重病になる可能性があるのであれば、お知らせしてほしいという人であれば、事前登録をするなり、本人の意向を反映する別法制度で拾うべきだ、二次利用法案の話ではないという意見であります。
○髙村委員

それから、スライドの６ページのところですけれども、プロファイリング以外で、こういう、例えば親の所得を利用するということについてはどうお考えでしょうか。
○鈴木教授

これは、例えば課税処分するときには、常にそういったプライバシーに関わっても、適正な政策目的、利用目的に従って必要性や関連性のある情報を使うわけです。
戸籍制度であれ何であれそうです。
○髙村委員

そうすると、プロファイリングという手法を使わなくても、例えば親の所得を、児童虐待の可能性、あるいは評価に使う上では、その関連性がやはり問われるということですか。
○鈴木教授

はい。教育データもこどもの見守りも、政策目的は万人が賛成するのです。

ただし、手段において禁じ手が何かを個情法上明らかにしないと、やはり暴走が起きるわ
けです。そうすると、清貧な中で立派に子育てしている家庭が山のようにあるわけですから、そこで関連性のないものを使ってしまいますと、そういった人を、これをやるのは、
多分スコアリングがなされるのですよ。
全自治体の全住民のうち、中学生以下のこどもを持つ親全員に識別子を付けて、住民基
22本台帳から洗い出して、多分、点数を付けるのです。何点以上になると、これはちょっと危険な親なので、児童相談所の会議の場に乗っかって、いろいろな知見と合わせて、監視下に置くべき親に見落としがないかということに使うのだろうと思います。点数をつけるのです。
これは、監視社会を日弁連含めて全研究者が懸念していたところそのままではないですか。毒親というのは、要するに、こどもに対して暴行・傷害を加えるということも入っていますから、犯罪者予測と被るわけですよね。これを、何らのチェックもなしに、麗しい制度だからといって、そのまま手放しでやらせてよいかというと、そうではないと。そこの基準が個情法上からも出てくるはずだと。ここを明確化しないがゆえに、むしろ、政策遂行を妨げる結果になっている。やるべきかもしれない。やるべきなのだろうと思います。
ですから、より一層基準の明確化、最悪を回避するために、求めなければならない基準を
現行法の改正に導くというのが、今の３年ごと見直しで突きつけられている課題ではないかという意見であります。
○髙 村委 員現 行法 の 19条 の 不正 利用 の 禁止 と か、 63条 の 不正 利用 禁 止で は賄 え ない という御意見ですか。
○鈴木教授

はい。これはなぜかというと、散在情報に広がっているわけです。処理情報だけで本来やるから合理的な規制になるべきところ、データベースでやることの悪質さ、濫用を防ぐわけですが、これが散在情報に広がった結果、例えば顔写真も個人情報ですよと言うと、非常にモラル的な世界に入ってきまして、また、今、多分民事法の判例を整理されていると思うのですが、プライバシー侵害、プライバシーだと言った途端に、不適正利用だと言ったときにどんな作業が入るかというと、私たち自身も経験してきたことです
が、不適正利用の適正・不適正の基準を持ちたいと思うと、プライバシー権に行く。そうすると、不法行為法判例の中から、善悪の基準、実態の基準と曽我部先生がおっしゃっていましたが、実態的基準を探ろうとする。その場合、判例を手がかりに法律がどうしてもそうなってしまう。
そうすると、民事判例のプライバシー侵害を、データ以外のものも全て拾って、リステートメントを作るみたいに判例準則を洗い出そうとする。それを、行政規制に持っていけるのかということなのです。あそこでは故意、過失もありますし、何より損害の発生という事後救済で生成された判例ですから、そこから過失の有無、違法性の有無も全て捨象された判例準則を、ぽんと事前の行政規制に持っていくということが、過剰規制を生み出すのです。ここの構造に気づかないまま、ヒントになるだろうと思っている作業が、むしろ仇になって、けしからん警察のように、全てのプライバシー侵害を事前規制しようという世界に行って、これが産業界や政界のフラストレーションに構造上つながっていると思います。
悪といえば悪ですよねと。不法行為リスクを回避するために、事業者がやるのはいいのですが、行政庁が、これを規制の根拠又は見直しの理論的根拠にうかつに使い出すと過剰23

規制になる。ですから、不適正利用の中、どう改正するかというと、処理情報に今後寄っていかなければならないはずだと。改正の大きな道筋は。散在情報まで広げたがゆえに、いろいろな不可能な規制、そこに立ち入る個情委自身の首を絞める結果になっているのではないかと懸念しているところです。
○髙村委員

ありがとうございました。

以上です。
○藤原委員長ほかにはよろしいでしょうか。

よろしいですね。ありがとうございました。
頂いた御意見も含め、個人情報保護をめぐる様々な状況について、各方面の意見を伺いながら課題を整理、審議してまいりたいと思います。鈴木教授、本日はありがとうございました。どうぞ御退室ください。
（鈴木教授退室）○藤原委員長それでは、本議会の資料、議事録及び議事概要の取扱いについてお諮りいたします。本議題の資料、議事録及び議事概要については公表することとしてよろしいでしょうか。
ありがとうございます。
御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上です。それでは、本日の会議は閉会といたします。

24