Innovation Nippon シンポジウム 2014 年度第 2 回
パーソナルデータ活用の運用ルールづくりに多様な知識をどう活かすか：
マルチステークホルダー・プロセスの設計と運用

開催概要
日時： 2014 年 6 月 24 日（火）19 時～21 時

会

場： 国際大学グローバル・コミュニケーション・センター（東京都港区六本木 6-15-21 ハークス六本木ビル 2F）

登壇者： 森亮二

橋本 岳（弁護士 英知法律事務所）（衆議院議員自民党）

生貝 直人（東京大学特任講師）
渡辺 智暁（モデレーター兼、国際大学 GLOCOM 研究部長）

開催主旨
IT 戦略本部下のパーソナルデータに関する検討会で制度改正大綱が固まり、データ活用にあたって鍵になる個人特定性低減の措置や取り扱いルールの詳細に関しては、自主規制と第三者機関が一定の役割を担う形となった。この「自主規制」部分は、マルチステークホルダー・プロセ
スとして過去数年議論されているもので、技術や商慣行、消費者の期待などを適切に反映する秩序形成の手段として期待できる半面、実効性は具体的な制度設計に大きく左右されることになる。
本シンポジウムではこの主題に関する Innovation Nippon 研究会（2013 年度実施）の成果も1

紹介しつつ、利害関係者が参加しながらルールを形成する制度の設計の課題や多様な利害関係者に期待される役割を検討し、利用促進と消費者保護の両立を図る方途を探る。

2

開会の挨拶
渡辺

智暁
今回は、パーソナルデータのルール作りに、政府以外の方々をどのように巻き込んで、その知恵をどう政策に生かしていくかということと、これからの事業者のリスク低減、消費者の信用担保をどう実現するのかについて議論したいと考えてシンポジウムを企画しました。6 月 19 日に発表されたパーソナルデータに関する検討会の大綱で示された制度設計の大枠を踏まえながら、その策定に実際に関わった森先生にも議論に加わって頂いて、これからどう進めていけばいいかを皆さんと考えていきたいと思いま
す。

問題提起
森

亮二

氏（弁護士 英知法律事務所）

現在、個人情報保護法の改正作業を行っていますが、これまでの経緯と、どうしてマルチステークホルダーの話が出てきたのかについて、かいつまんでご説明します。
まず、パーソナルデータ検討会の設置と活動ですが、個人情報保護法の改正方針を決めるということで平成 25 年 9 月より活動を行っており、12 月に IT 総合戦略本部が「パーソナルデータの利活用に関する制度見直し方針」を決定しました。
制度見直し方針は、1.背景・主旨、2.見直しの方向性、3.見直し事項、4.今後の進め方、という 4 部構成になっています。
1 から 3 は、正式には頭に「パーソナルデータの利活用に関する」がついております。利活用のためのものだということが繰り返し言われています。個人的には、利活用側、事業者側からすると「利活用」と繰り返して書くのではなく、「プライバシー保護のための」にした方が良いよ
うに思います。
背景ですが、これまで個人情報保護法を改正する話は方々で出ていましたが、改正作業に着手
できていませんでした。そういう意味では今回の検討会設置による作業開始は、長い間の懸案に着手したと言えると思います。
基本的な見直し方針の方向性は 2 つあります。１つ目はプライバシーの保護、2 つ目はルールの曖昧さの解消であると思います。具体的なアジェンダとしては、ビックデータ時代の利活用、プライバシー保護、グローバル化への対応が書かれています。
具体的な見直し事項としては、第三者機関の設置、「匿名化」データの取り扱い、国際的な調
和、プライバシー保護に配慮した情報の利用・流通です。
ロードマップを見ていただくと、平成 25 年 12 月までに制度見直し方針を決定し、それに基づいて大綱を作り、平成 26 年 6 月に大綱を決定・公表とあり、現在ここまで来ております。今後、3パブリックコメントを経て法案作成し、来年 1 月に通常国会に提出することとなっています。
見直し方針を昨年末に公表してから 6 か月かけて検討会で大綱を作成しました。本日のテーマはマルチステークホルダーですので、大綱の内容自体はごく簡単に説明します。
大綱の具体的な方針としては 5 つ挙げられると思っています。
1 つ目は、利活用を促進するための枠組みとして、特定性低減
データの流通、第三者提供の同意なくして特定性を低減したデータ、匿名化したデータを流通できるようにすることです。
2 つ目は、基本的な制度の枠組みとそれを補完する民間の自主的取り組みの活用です。この基本的な制度の枠組みには重要なことが入っております。個人情報の定義、個人情報の適用範囲を従来のものから拡大することでグレーゾーンを解消すること、機微情報の取り扱いを原則禁止す
ること、各義務規定の見直しです。それを補完する民間主導による自主規制の策定。ここが、本日のテーマである、自主規制の活用、マルチステークホルダーの活用です。
3 つ目には、改正の具体的な方針として第三者機関を作る、今の番号法の第三者機関を拡張して個人情報保護法を所管させ、法執行させるということが書かれています。
そして 4 つ目にグローバル化への対応、5 つ目にはその他の改正事項について書かれています。
問題のマルチステークホルダー・プロセスのところですが、定義は、大綱の脚注に「国、事業者、消費者、有識者等の関係者が参画するオープンなプロセスでルール策定等を行う方法のこと」と書かれています。
期待される機能は、例えば、技術の進展に応じた機動的な対応、情報の性質や市場構造等の業
界・分野ごとの特性を踏まえたルール策定などです。
マルチステークホルダー・プロセスは色々な場面で使いますが、個人情報の範囲を拡張するな
どの場面で使うことは考えられていません。
ここで使うと書かれているのは、特定性低減データの加工方法です。どのように匿名化したら、同意なく流通できるのかをマルチステークホルダー・プロセスで決めたらどうだろうということです。
また、他のものとしては、同意の取得方法です。個人情報保護法では、目的外利用の同意と第三者提供の同意の 2 か所で同意を求めています。どうやって同意を取得すれば有効かという問題が常にあり、この問題について、これを利用して決めようというものです。
あと書かれているのは法定されていない事項に関するルール策定です。
自主ルールの策定については、「認定」という問題が出てきています。第三者機関が民間団体
または自主規定ルールを「認定」することが出来るというものです。自主規制でマルチステーク
ホルダーが作ったルールを第三者機関が適切なものとして認定することができる、またはルールを作る団体を、適正なルールを作ることができる団体であると認定することができる、ということが書かれています。
以上が私のご説明となります。

4これまで日本では、大綱が提案するようなマルチステークホルダー・プロセスを利用してルール策定を行ったことはないので、果たしてできるのか、外国ではどのように実現されているのかということです。これに関して消費者からは警戒を示されていますし、事業者からも慎重にすべきであるという意見になっております。したがって、この点について先行の研究をこちらではされていますので、渡辺先生や生貝先生のお話を聞かせていただければと思っております。

渡辺

智暁（モデレーター兼、国際大学 GLOCOM 研究部長）

Innovation Nippon プロジェクトの一環として研究会を 4 本立
ち上げました。その一つで、パーソナルデータ分野にマルチステ
ークホルダー・プロセスをどうやって入れたらいいかについて、先行事例を研究し、検討してきました。
なぜ、マルチステークホルダー・プロセスが注目されているのか、どう定義すればよいのか、既存の政策形成過程との違い、導入するとどのような良いことがあるのか、あるいはどのような先行事例があるのか、制度設計はどのようなところが難しく、どういう工夫があるのか、それを受けて日本で導入するには何をすればよいのか、などを論じる報告書を取りまとめました。この内容は既にサイト (innovation-nippon.jp) で公開しております。
本日は、その中で米国プライバシー分野での先行事例と、日本で導入するにあたっての「制度設計案」に関して述べた内容をご紹介します。
１つめ、先行事例は、米国のモバイル分野のプライバシーに関する導入例です。きっかけはオ
バマ政権が「消費者プライバシー権利章典」といわれる声明を発表したことに端を発しています。
その時にマルチステークホルダー・プロセスを導入することを提案し、情報通信政策系の政策を司る政府機関の一つである NTIA が、実際にマルチステークホルダー・プロセスを実施してみました。
ここで当初とりあげた議題はモバイルアプリケーションにおけるパーソナルデータ収集について、どのように情報開示したらよいのか、限られたスクリーンサイズの中で、どのような工夫がありうるかを考えるというものでした。
その後、顔認証技術に話題を移してマルチステークホルダー・プロセスを実施しているということですが、昨年度の Innovation Nippon 研究会では最初の方、モバイル分野のプライバシーを扱うプロセスを対象に研究を行い、実際、それをファシリテートした方、参加した方から話を伺い、また公開情報を調査しながら、どの程度うまく行ったかを検討しました。
それを見ると公式なミーティングだけで 15 回行い、「行動規範」について合意するという形で第一フェーズを終えました。その後、これをインプリできるかという実証実験を行って検討する
フェーズに入ったということです。
この第 1 フェーズは、曲がりなりにもうまくいきました。だれでも参加できるようなプロセスとしてマルチステークホルダー・プロセスを作ろうとすると、資金力や動員をしやすい、リソースがある集団が大量に人を送り込み、その議論を自分たちに有利な方へ導こうとすることが考え5

られます。それを制限するためにメンバーシップを制限するのか、メンバーシップを制限するとしたら誰がメンバーシップの制限をするのかというのが、制度設計に関して誰でも考え付く難所だと思います。しかし、ふたを開けてみると、これはどこでも実施できるような工夫ではありませんが、同時にアメリカではここはうまく行ったのだと考えられるものでした。
では、どういう風に設計・運営してうまく行ったのでしょうか？

1 つには正式な投票手続きを取らなかったということです。ラフコンセンサスは測りますが、厳密な集計は行いませんでした。最終的な決定の場面でもそういう形で、意見調査（ポーリング、polling）だけを行いました。誰に投票権があるのかを決めず、来た人のラフコンセンサスを取って、それを基軸にどんどん議論を進めていきました。
ここで、政府はあくまでもファシリテータであるという位置づけに終始し、自らが特定の方向へ議論を導くことを行いませんでした。逆に参加者の中から、これらの議論を受けて自分たちが具体的なドラフトを作りたいというグループが現れた時にそれを容認し、その人たちが作業をするに任せました。任された自主作業グループは、ドラフトを発表したいということで、公式ではないミーティングを開催し、そこに政府が参加するという展開まであったということです。
このように民間の有志がプロセスをドライブするような形で進めた結果、必ずしも賛成ではな
い人も、意見調査をしたときには、「せっかく彼らがあるレベルの合意に達しているので、自分としても反対の表明をしてまで邪魔はしたくない」と、投票の棄権・意見答弁の差し控えをしました。その結果、ラフコンセンサスをとると、賛成が多数で反対はほとんどなく、また自分はこの件に関しては意見表明を差し控える人はいる、という形で成立するという土壌を作りました。
アメリカの政策プロセスでは、私は主に情報通信の中心の方をよく見るのですが、日本とは隔絶したような血で血を洗うような争いをしているという印象があるので、このマルチステークホ
ルダー・プロセスの展開は意外でした。つまり、かなり激しく利害が対立しやすい、どこまで利活用するか、どこまでしっかりインフォームド・コンセントをとるか、情報開示をしっかりしてしっかり同意を取るか、どこまで簡単にボタンを押してもらうだけで合意をとるか、等というのは温度差があり、利害が対立しやすいところだと思うのですが、そこで騙しあいや足の引っ張り合いというところに行かずに比較的建設的に進んだということがありました。話を聞きますと、その背景には、プライバシーに関わる人は、立場は違えどお互い知り合いであることが多いので、根本的な部分で信頼関係があり、不毛な足の引っ張り合いをしない風土があることを感じました。
こちらのスライドでは敬意という言葉を書きましたが、合意形成を積極的に推進した人に対して妨害をするのはよくないと、容認する方向で舵をきるということです。
もう一つプロセスのデザインと一緒に重要だと思ったのは議題の設定方法です。丁度幸いなことに、これからの日本の導入でもこういったことを期待できるのではないかと思って検討会案を見ていました。どのように白と黒の線引きをしようかとなると、事業者から見た場合、自分のやっていること、やることが白と言われるか黒といわれるかは非常にステークが高くなりますし、
消費者側もまったく同様なこととなり、綱引きの世界になりやすいと言えます。
ところがそれに対してアメリカでは、当初想定されていたのはいわゆるセーフハーバーと呼ば

6

れる、ここは明らかに白だということをはっきりさせるという議題の設定の仕方です。これは事業者側から見るとリスクを低減させてくれる効果があり、しかも、逆にその議論が進んだ結果何か自分がやっていたことが違法だと判定されることになるというようなリスクはありません。セーフハーバーの外、グレーゾーンの中でやっている分にはグレーのままなので、リスクプロファ
イルが悪くなるという心配がほとんどなく、議事を妨害するなど非建設的なことをするインセン
ティブが低くなります。
基本的にはこのセーフハーバー画定というのは、議題設定としては悪くないところだと思いま
すが、同時にこれをやろうとするとマルチステークホルダー・プロセスを通じて合意された形成について政府が何らかの形で認定を与えることが必要となります。
アメリカではその部分の法整備が追い付かなかったこともあ
り、（今回のモバイル分野のプライバシーをめぐるマルチステー
クホルダー・プロセスについては）当初からセーフハーバーの認定のようなことはできないという立てつけで始まり、その代わりに、行動規範というものが議題となりました。
行動規範というのは、この規範に従って行動していれば、それは良いプラクティスなので法律的な疑念が起こった場面では白だと解釈してもらえる可能性が高いということですが、同時に絶対の保証はありません。企業からするとなおさら自分たちのやっていることが違法になるということにはないですし、しかし、その分セーフハーバーと比べると確実に白だと言ってもらえることになることから来る利益も少ないということで、参加のインセンティブが弱くなると思ったのですが、積極的に参加した企業もたくさんいたので、それほど裏目には出なかったということだと思います。
議題設定をどうするかによって、どう参加したいか、どのぐらい建設的に参加できるかが変わってくるというのが、プロセスを設計・運用していくうえでは工夫のしどころではないかと思いました。
ここまででお話ししきれなかったことをも含めて、研究会として昨年の 12 月に出した提案は次の通りです。一つは制度設計をするうえで、基本的にはオープンにしておく方が良いということ。但し、消費者団体・市民団体の中にはボランティアに頼っている度合が高く、財政基盤が業
界団体や大手企業に比べて明らかに弱いので、情報提供・専門家の支援などがなければ、このよ
うなプロセスが増えても実際の参加が担保されないという事情があります。
このような事情を考慮して、カナダなどでは、実際に資金援助を行い、その資金が参加する人の人件費や交通費だけではなく、その団体が専門性を持った弁護士に相談を行い、自分たちのポジションを決めるところまでの弁護士の相談費用を含めるという例などがあります。日本としてもある程度政府が支援するということもあり得るのではないでしょうか。
また、マルチステークホルダー・プロセスの中には特にインターネットガバナンスの分野では、討議だけを行い特定の決定（合意形成）に行かないものがありますが、日本ではそのようなわけにはいかないので、決定をする方向に進みます。ただその場合、非建設的なスパイラルにならな

7

いような議題設定をするのが良いと考えました。
もう一つは日本ではあまり想定されてないかもしれませんが、妥協が出てこない場合、そのプ
ロセスが停滞して、結果として事業者からすると不確実性が減らない、消費者からすると不安が解消されないということが起こるわけですが、そういう場合、キーとなるようなステークホルダ
ーの人を仲介してプレッシャーをかけたり、裁定を下したりしてでも先に議論を進めたりすることが政府の役割としてありうると思います。
形成された合意がどのような法的効力を持つかについては、事前にこのプロセスにかけたら、確実に法的効力を持つということは言いにくいので、事後的に内容の判断も含めてそのルールの判断を最後に規制当局側がするプロセスがあるべきだと思います。
もう一つ、実際に日本ではここが大きいと思ったのですが、法律的な次元を超えて、社会的な次元でこういった合意内容に従うことが利益をもたらす仕組みにしたほうがよいのではないでしょうか。日本にはプライバシーマークというものがありますが、「民間のしかも消費者団体も含めて合意された結果の基準に従って我々はパーソナルデータの収集や取扱い、第三者提供を律しています」ということをマークを使って伝えられるといいのではないか。それによって、単に法律的に大丈夫・大丈夫でないという次元を超えて、「これはある程度信頼できる」という後ろ盾を持つような簡単なマークの仕組みがあるとマルチステークホルダー・プロセスの合意がより実効性を持ちやすい。また、企業としても法律に違反して罰金を取られてしまうというところだ
けではなく、「炎上」を防げるのではないかというもう一つのインセンティブがあって参加することも考えられるのではないかと思いました。
最後に、実現に向けての課題に向けてということで、提起したい点があります。日本でどうしたらよいか、解決法が考えにくいところですが、日本には、市民セクターの団体・組織が少ないです。アメリカは弁護士がたくさんいる国でもありますから、プライバシーや個人情報の分野でも専門性を持った方がたくさん参加できる土壌があるのですが、日本にはそういったところがまだまだ乏しい。また、企業を見ても日本企業は、積極性がなかったりするので、企業側のインセ
ンティブも考えて行かなければならないのではないかと思いました。

生貝直人

氏（東京大学特任講師）

私からは、主として共同規制の話をさせていただきます。今日
お見せしているプレゼン資料は 2013 年 3 月に総務省の「パーソナルデータの利用・流通に関する研究会」第 6 回会合で報告した資料そのままで、参考資料としてアップロードしている拙稿「イノベーションと共同規制」も同時期に公表したものですが、今回の大綱でも結果としてかなりの程度意識して頂けたのではないかと考えております。
まず森先生のお話を思い出してほしいのですが、今回の大綱は主として 3 つのことをいっています。1 つ目は、個人情報の定義を含めて法律の枠組みを変える、2 つ目は、細かいところは、
自主規制やマルチステークホルダー・プロセスで決める。3 つ目は、そうした自主規制やマルチ

8

ステークホルダー・プロセスをはじめとする民間の取組に対して新設される第三者機関がしっかり関与していくということです。
本日の主眼はこの 2 つ目になります。
その 2 つ目の内容はさらに二つに分けられ、一つは渡辺さんが言われていたマルチステークホ
ルダーをどのように動かしていくか。もう一つは第三者機関による自主規制ルールの認定で、これを私は「共同規制」と呼んでいます。
今回はこの共同規制の部分についてお話をさせていただきたいと思います。
全体的な背景として、情報通信分野は公的に詳細なルールが作りづらいから、できるだけ自主規制の方がよいという話はされてきました。しかし、純粋な自主規制でルール形成・執行を行ってみると、誰もルールを作らない、ルールを作っても守られない、そもそも民主的正統性・マル
チステークホルダー性がない等、いろいろなリスクが顕在化してくることになります。
このような状況から、自主規制のよいところと、直接規制のしっかりしたところを組み合わせたルール形成・遵守のためのプロセス作りを「共同規制」と呼んでいます。
これはもともとヨーロッパで広く言われていたものです。イギリスの Ofcom という情報通信分野の独立規制機関は、情報通信の規制の枠組みは、規制なし＞自主規制＞共同規制＞直接規制の4 類系で考えるべきだとしております。
日本では自主規制問題が解決できないのであれば、すぐに直接規制で縛ろうとしますが、その間には官と民が協力する領域があるはずですので、これを共同規制という形で作り、情報社会の多くの問題をこれで解決していくべきだと言っています。今回の大綱との関係で言いますと、今回の大綱にあるマルチステークホルダーにおける自主規制ルールの策定と公的な認定というのは、自主規制というよりも、「共同規制という新しい領域を作る」といった方が良いのではない
かなと考えております。
何故かといえば、企業の方々と話をしていると、自主規制に官が介入してくると思われてびっくりされる場合があります。従来の純粋な自主規制は今まで以上に尊重され、推進されるべきです。そこに官はできるだけ介入しません。しかし、もっとしっかりとした法的な裏付けを持った
自主規制ルールがほしいという企業のために、この共同規制という、不確実な法的環境の中でリスクを取るというよりも、法廷安定性や消費者の信頼を重視しようという企業のために新しい領域を作ろうとするものだと、それが今回の大綱に書いてあることだと確信しております。
共同規制について、欧米ではどう実行されているかについては、拙著『情報社会と共同規制：
インターネット政策の国際比較制度研究」にまとめていますのでこちらをお読みください。
具体的には、ビデオオンデマンドで表現の自由を尊重しながらどう実効的に規制しようかですとか、モバイルプラットフォームで共同規制で解決されている事例や、日本におけるソーシャル
ゲームの自主規制、これはまさに共同規制になる一歩手前で業界の努力によって自主規制ルールというのが作られ、共同規制になる手前で踏みとどまったという事例等があります。
何故、「共同規制」という新しい用語・概念を使う必要があるかというと、従来から日本のような先進国ではいわゆる「団体行政」として、非公式な「実質的」共同規制の関係で行っていた

9

部分もございますが、それを公式化してしっかりとそのテーブルにみんなに乗ってきてもらおうという考え方です。そしてその確固たる枠組みの中で、規制の「実験場」としていろいろな実験をしながら最適なルールというのはどのようなものか、それをその時の市場環境や技術状況を見ながら更新していく必要があるということです。
3 つ目として「中間的」規制手法としての共同規制です。
「政府」か「市場」かという、2 極対立的な構造はもうそろそろやめにした方が良いのではないかと思っています。ここが今回一番重要なところだと思っており、今回のパーソナルデータの法改正で、自主規制によるマルチステー
クホルダーのルール作り、そして政府が適切に介入しながら、ということが非常に重視されたということは、日本の情報政策ルール作り全体において、非常に重要なモーメントなのだと思っています。
今まで日本というのは、何か問題が出たら新しい法律を作って直接規制を行うか、立法事実が十分出なければ立法・法改正を行
わないという、典型的な市場と政府の二項対立が頭の中にあったと思います。そうではなく、安心・安全とイノベーションのバラ
ンスを取っていくために、こういった新しい中間的な方法を作っていくと大綱にしっかりと書かれたことは、まさに日本の制度設計プロセスの転換期になるのではないかと大きく期待しております。
自主規制に対する公的関与の仕方にはいろいろありますが、要するに共同規制の在り方というのは、この資料に書かれていることがすべてではなく、その時の状況とタイミングに合わせて組
み合わせていくべきなのであり、その具体的な実践分野の中でも、特に近年プライバシーの分野
で共同規制が世界的に注目されてきています。
その理由はシンプルで、「個人を識別しうる情報」は規制しなければならないということはど
この国でも決まっている。しかし、ID やクッキーの取り扱い、適正な同意、通知とはどのようなものか、最近では匿名化というのはどういうものか等、色々なリスクや状況によって違うので、一時的に確定することは不可能であり、望ましくないというときに、ではそれを共同規制で解決しようということです。
アメリカでは、プライバシー分野で自主規制を重視しており、自主規制ルールを作るように
FTC がプレッシャーをかけて、それを基に各企業がプライバシーポリシーを作り、それが破られたら FTC の罰則規定で叩くというまさに公的関与に基づく自主規制での対応を行ってきました。
これを日本で部分的に導入したのが、総務省の「配慮原則」です。業界団体に自主規制ルールを作ってもらい、その一般的な指針を総務省の側が作りました。しかし、日本には FTC の罰則規定、特に FTC 法 5 条にあたるものがないということが問題意識の一つとして挙がりました。
ただ、基になったアメリカの自主規制構造も、自主規制のルールの内容自体が適正に作られてない、自主規制ルールを作成してもエンフォースメントが機能していない、自主規制に参加しない企業が増えてきている等、非常に強い批判を浴びており、それに対する議論が数年前よりされています。ですから、アメリカでもプライバシーの法律を作っていこうという要請は非常に強く

10行われてきています。
その法律を作ろうという方針の集大成が、オバマ政権の「ネットワーク化された世界における消費者のデータ・プライバシー」、通常は権利章典文書と呼ばれているものです。これで一番重
要な点は、引き続き「自主規制重視・オプトアウト強化」で行くという基本姿勢を示したことです。しかし、文書の中で自主規制ルールを順守した企業には直接の法執行を免除するというまさにセーフハーバーの手法を提案していますが、そのルールはマルチステークホルダーで作らなければならないとしています。
一方で欧州委員会でも同じような動きがあり、2012 年に「データ保護規則」案が出されました。この中で一番重要なのは、引き続き「直接規制、オプトイン重視」ですが、「忘れられる権利」や「データ保護・バイ・デザイン」などの新しい概念を大量に入れるので、その具体化をどうしていくかということです。
日本で、レギュレートリーなシーンで EU のデータ保護指令を参照しますと、EU というのはガチガチに法律で決めており、そこからはみ出さずにやっていると思う人が多いと思いますが、それは間違っております。たとえば根本的な条文として、データ保護指令に 27 条というものがあります。この中には、加盟国及び委員会は民間から自主規制が出てくることを促さなければならないとしています。加盟国は国内法においては業界団体などによる行動規範の策定を促し、各国の政府がそれをチェックして大丈夫だと思ったら消費者団体の意見を求めるようになっています。日本ではアメリカ寄りの方法よりも、EU 寄りの「産業界の提案をまずは政府・第三者機関が徹底的に審査し、それで適切と判断されたときに消費者の意見を求める」というマルチステー
クホルダーの方法論の方が現実的なのではないかという気がしています。
27 条について各国で自主規制ルールが認定されていますが、各国レベルだけではなく、EU 全
体レベルでおこなう場合は、29 条作業部会というところで認定を行っています。しかし、EU レ
ベルで認定を受けようとするとすべての 28 カ国の国内法に適合しなければならず、それをクリアすることが極めて難しい状況となっています。このような EU レベルでのマルチステークホル
ダーと自主規制ルールへの公的認定というプロセスがあります。
現行の 27 条の国内運用の実態例を挙げますと、80 年代からオランダが積極的な共同規制の運用を行っており、プライバシー・コミッショナーに認定されれば、消費者への照会や司法判断な
どのプロセスを経て、最長で 5 年間はデータ保護法にほぼ代替する法的効力を有します。
また、EU では現在の 27 条のプロセスをより具体化するために、現在審議されているデータ保護規則案では、新 38 条に同規定は移動しています。これには、きちんとマルチステークホルダーを行うようにということが書かれています。そしてこの中で重要なのは、適切であれば「周知を促す」とされていたところが、当該行動規範が適正であれば、委員会は EU 域内での一般的有効性を持つことを決定する実施法令を採択することができると書いてあります。これはそのルールがマルチステークホルダーに基づいて策定され、内容が適切であれば、法的な根拠をもってEU レベルでの有効性を認定するというということです。
こうしてみてみると EU はかたくて、米国はゆるく見えるかもしれませんが、どちらも日本が11

これからやろうとしている公的認定に基づく自主規制、共同規制にかなりの程度近づいてきているので、実際のところそんなに違いはないように思います。
結局、米国でも EU でも行おうしている共同規制モデルは、政府がまず法律で枠組を作成し、それに基づき民間がマルチステークホルダーで自主規制ルールを策定、それをしっかりと審査して直接執行を免除するいわゆるセーフハーバーの要件を与えるという流れです。
しかし、そこに参加しない企業もあります。例えばしっかりとリスクを取って、冒険的にビジネスを進めていきたい企業などです。そのような企業も純粋な自主規制領域として尊重されるべきです。しかし、法や自主規制を破った場合は、不確実性の高い法解釈に基づいて直接執行が行われるという怖い面もあります。よって、多くの大企業などにとっては、マルチステークホルダ
ーによる自主規制ルールの策定に参加する大きなインセンティブになると思います。
日本でこれをやるとしたら、エンフォースメントを強化しないと自主規制ルールを作るインセ
ンティブがないこと、セーフハーバー条項によるしっかりとした認定手続きの担保、自主規制ルールを認定して監視しうる、十分なリソースと権限を持った第三者機関を作るというこの 3 つの問題が焦点になると思います。
では、日本でどうするかといえば、現行の認定個人情報保護団体を活用するなど色々な方法がありますが、今般の大綱の今後の法律化が今日お話ししたような形で進んでいただければ、法改
正はその舞台を民間と政府の間に移し、技術や市場の変化に合わせながらの継続的な法改正のプロセスが実現できると思います。

橋本岳氏（衆議院議員自民党）

これからの展開としては、制度改正大綱が 19 日に了承されました。大綱が出たということはこれから個人情報保護法の改正案
を IT 戦略本部などが作成して、来年の通常国会で発表できるよ
うに作業に入るかと思います。
そこでハードルがどこにあるのかについていくつかお話します。個人情報保護法はできて 10 年ほど経ち、今の時代にそぐわない部分がでてきたので、今の時代にあった法律に作り替えようという検討がされていますが、そもそも住基ネットができたときに個人情報を守ることを考えて作った法律であり、守ることしか考えていないため、かなり厳しいものとなっています。
守る側の意識が非常に強い法律に穴を明けるというのが今回の法律であると思っています。
かつ、私の知る限り、ルール作りそのものをマルチステークホルダー・プロセスに任せてしまう、もちろんそこには第三者機関ができてそこで認証することになっていますが、そもそもルー
ルは国会が作るのだという意識を持っている者が、あえてこの分野については法律ではなく第三者機関はあるけれどもマルチステークホルダーに任せてしまうというものですから、発想の 180
度転換ぐらいのインパクトがあるのではないかと思います。
オープンガバメントと言われますが、データがオープンになることだけでなく、ある意味でル12

ールもオープンになるということです。もちろん、特定分野の特定事項ではありますが、結構画期的なことだと思います。情報通信分野で色々なもののスピードが速いとか、クリアな線引きが難しい等の話もありますが、私自身としてはこのようなことをやっていくことで利用と保護を両立させるということについて賛成しています。
ただ、法律の整合については、内閣法制局などがこの法律や法律に基づいてできたルールについてどこまで絡むのかと思うところがあります。おそらくはこのような問題提起については、内閣側としては、第三者機関がチェックを行い、整合性の担保や法律としての妥当性をチェックするという説明になると思いますが、第三者機関はどのぐらいの組織になるのかということが問題になってくると思います。
また、大綱の中にも課題として書かれていますが、内容によっては省庁がまたがる場合があります。そういうものと第三者機関の権限調整をどうするのかという問題があります。
もう一つ言えば、新しい行政組織を作るということになると、公務員の定数管理の制限から、
どこか別の組織を削らなければいけなくなります。このことだけついていえば、きちんとした体制を作るべきだと僕は思っております。ただ、役所の人は何を削るか頭を悩ませることとなりま
すし、もしかすると第三者機関が第三者機関としてやるだけではなく、それぞれの所管官庁に協力を求めて同じような基準で同じような仕事をしてほしいというような運営形態にするということも考えられるかもしれません。その辺りの実現の仕方というのは行政内テクニカルなことを考えなければならないと思っています。
最後にマルチステークホルダー・プロセスが上手くいけばよいと思っておりますが、どんな分
野・問題でもかならず意見の対立というのがあり、その中で信頼関係を壊さずに合意形成をして、物事を一歩一歩前に進めていく知恵があるのかどうかということと、メディアがどうあつかうのかということが気になります。メディアに関しては、せっかくマルチステークホルダーで結論を出したことについて、メディアの表現の仕方によってはプロセスそのものや関わった人みんなをがっかりさせてしまわないか危惧するところがあります。
以上が、これまでのお話を聞いての感想となります。

13

パネルディスカッション渡辺氏：
橋本先生の指摘した、立法府でないところにルール作りを任せることの是非は、根本的な問題とも思えます。まずはこの件について、森先生、生貝先生にお伺いします。
法律的に立法権限を付与されているところではない、マルチステークホルダーでルール形成するということがどうして望ましいのでしょうか。

生貝氏：
これは大事なところだと思っております。今までの自主規制か
直接規制かの二者択一で行っていると、問題が起こった時に立法事実が十分に積み重なっていないと法律を作らないという選択になるということです。それは、本当は何らかの公的関与を行うべきであったところを完全に民間に委ねてしまう、ある種の立法の不作為ということも生じていたと思います。その間を埋める方法論が共同規制なのだと思います。
もう一つ申し上げますと、これを民間にどうやって作ってもらおうかという時に、今までとの審議会との本質の違いはどこにあるのかをよく考えることだと思います。
今までの審議会のように政府が事務局を行い、マルチステークホルダーを集めてきて議論してきたということは、これからも重要なマルチステークホルダーの一部であり続けるべきだと思います。しかし、そこにだれが座るべきかという問題、あるいは政府の側で作ろうとする以上、年度の縛りやどういうところに落とし込むのかという限界がありますので、政府だけでなく民間でもできるようにしておいた方が良いのではないか、その時政府は引き続き事務局として参加する、
あるいはオブザーバーとして参加するなどの様々な可能性があると思います。

森氏：

14

そもそもの前提として、政令委任であればよいが、例えば、第三者機関が承認するような自主規制ルールはいけないというような区別ができるのでしょうか。意地の悪い言い方になりますが、
例えば法律の整合性やルールとしての美しさとしては、現行の個人情報保護法でも結構穴があると思います。たとえば、19 条の義務など、これを個人データの義務としていれていて良いのか、あるいは保有個人データの定義の仕方は、果たしてよかったのか等、閣法できちんと手続きを踏んだから良い法律ができるというわけでもないと思いますし、それは時代の進展とともに難しくなっているわけですから、オープンガバメントの方が良いということが今後はあるのではないかと思います。

渡辺氏：
オープンガバメントの話が出たので、1 つだけ補足します。このマルチステークホルダー・プロセスの話は、政府が自分たちの中だけでやるには、動きが速い、現場・技術の知識、消費者のマ
インドに関する知識も必要だということで、そういった知識を持った当事者をどうやってプロセスに巻き込んでいくかという話だと思います。
アメリカでは、議会やロビイングを受けるような規制機関で実際に法案を書いているのは業界の雇われ弁護士で、それをたとえば献金を受け取っている議員さんが、ミーティングをしただけ
で内容も分からないまま議会に提出するというようなことがあると言われます。規制機関の文脈でこれは”Regulatory Capture”、「規制の捕捉」と言われる問題です。規制機関の方が業界団体の方や現場の方に比べて知識が少ないので、どうしても彼らが持ってくるロジックなどをひっくり返すことが難しくなってしまいます。そこでマルチステークホルダーのようなプロセスを入れる意味があります。利害関係が統一されていない色々な人達からここであれば落としどころにしてもよいという案がでてくれば、それは規制機関としてももう少し安心して受け入れられる、
特定の利益集団にとりこまれるリスクが低くなるのではないかと思われます。このような形でマルチステークホルダーというのはいろいろな人を混ぜることでリスクをヘッジできるということがあるのではないかと思います。
とはいえ、実際にルールを作るときに良いルールができるという話と、これが本当に今の制度として受け入れられるのか、立法府の権限は立法府にあるはずなのに、下り下って権限が委譲されるように見えるのかというところの整合性がつかないとすると非常に困ったことになります。
そもそも日本でこれを何故やろうとしているかと、パーソナルデータの活用が経済の活性成長に資することになり、これは日本の将来設計の重要なアジェンダになるからです。ですので、整合性を付ける方策というのを是非政治の方でも一緒に考えていただければと思います。

橋本氏：
今出た話を補足しますと、政令委任、審議会等、これまでの政策プロセスの違い、何故それな15

ら良いのかということですが、まず法律で政令委任をするということは一杯あります。但しその場合、民主的なプロセスを経てきた人たちが最終決定をするというプロセスである議会制民主主
義をどう担保をどうするのかという話です。政令委任の場合は、政令だったら閣議決定を行いす
べての大臣が合意を行います。省令以下であれば各省の大臣がサインをするということで効力を持ちますが、その各省の大臣なり、政府の人は政治家であるというところが、政令委任をしたときのひとつの民主主義的な正当性という点があります。
審議会による政策形成と、今回議題になっているものの違いというのは、建前上審議会は利害歓迎関係なく集めることになっておりますが、やはり役所が人選を行っているということもある
かもしれません。しかし、問題はそこではなく審議会が大綱などを作りそれに基づいて役所が法律を作り、それを国会が審議を行い、そのまま通すか修正をして通すかもしくは廃案にするという流れになりますが、審議会が前置されており、最終決定は国会であるということが担保されています。今回の場合は、逆に先に国会でここの部分はこの人たちに任せるという法律を作ってしまうということで、先に民主的正当性をどういう風に入れていくかということで、そこがこれまで的な立法の作り方と違うところなのだと思います。

生貝氏：
民主主義というのは、この問題を考えるうえで本質的に重要だと思います。まさに重要なのは民主主義です。民主主義についてあえてここで定義するとしたら、この社会に存在する規範のどのぐらいまでに民主的統制が及んでいるかということだと思います。
今回の場合、本来国が決めるルールを民間に投げるというように見えるかもしれません。しかし一方で、今まで本来民主主義で作らなければならない部分を完全に民間に任せてきたところも非常に多いと思います。先ほど申し上げた配慮原則等、民間に自主規制をしっかりとやってもらえるように政府がいろいろな働きかけを行って成果を上げてきておりますが、一方でそれを破られた時にどうするかというルール、罰則等、政府や議会、民主主義が入り込む余地というのには、
実は現行法では法律的根拠がないのではないかという問題があります。あくまで自主的なルールですので、政府が公式に是正を求めたりすることは難しいからです。それをしっかりと政府が自主規制に民主的な背景を基に介入することができる余地を作るというのが、今回の大綱における共同規制概念の導入の意義だと感じております。

橋本氏：
ルール作りに何故民主主義が咬まなければならないか、どこに線があるかというと、行政権力の行使が伴う場合は、民主的統制が必要だというところに線があるのだと思います。自主規制の中で話がまとまっていれば良いのですが、仮にそのルールが守られてない場合、行政機関が是正処置や勧告などの行政権力の行使が伴う場合、国会なり、政治なりが関与してないというのはよくないと思います。そこがどういっ

16

た罰則になるのか、だれが罰則を行使するのかという部分の設計がどうなるのかによるかと思い
ます。

渡辺氏：
ここで別の話題を振らせていただきたいと思います。それは人材の確保の問題です。
第三者機関がどのぐらい豊富な人材をここに充てることができるのかというのが、制度をどう設計するかと同じぐらい重要な肝になると思います。
一面では、非常にグレーゾーンが大きくて、かつイノベーションが盛んに起こる領域に政策的に手を入れようとすると、人手がかかります。しかも業界ごとに文脈が違う為一律な規制ができないという結論が出てしまうと、人手がかかわらざるを得ないと思います。これは共同規制の文脈では民間側にも官庁側にも言えます。問題認識としては、消費者の安全・安心観点や権利保護の観点、経済成長の観点からも重要なので、どうにかして手当てをして人手を充てるべきだということでよいでしょうか。

森氏：
パーソナルデータ検討会では、見直し方針を決める前にも、意見として第三者機関の人員が十分でなければいけないという意
見が多く出ておりました。大綱を決める最終回でも第三者機関のリソースの話が出てきてそこが非常に重要であるということを言われました。これは政府の人振りの話になりますが、重ねてではありますが、十分な人材を第三者機関に確保することが新しい個人情報保護法のキモであるということが議論されてきたところです。

橋本氏：
人材はかけるべきだと思います。一つだけ補足すると、内閣人事局というところができて、定数管理、ポストの管理を内閣がやることとなりました。その心は内閣主導で役所の人事や定数管理を行っていこうということで、逆に言えば、内閣が人材を投入したい機関へ人材を付けやすい体制になったということです。ぜひ、それがこの第三者機関に活かされることを祈っています。

生貝氏：
人材の問題は 4 つあると思います。官の側の問題、市場の人材の問題、消費者側の問題、学者側の問題があると思います。ここでは１と２について少しだけお話させていただきます。
共同規制、自主規制と言ったときに、一番クリティカルなのは、民間から出てくる自主規制です。産業界の側にルールを作れる人がいないとダメだと思います。ただ、この部分についてはある程度楽観視しており、１つは大企業の場合優秀な弁護士事務所に応援してもらいながら作っていってもらえるのではないかということです。もう一つは、少しセンシティブなところですが、17現在官民の間の人材交流というのが非常に盛んになってきており、少なくとも共同規制の文脈か
らはそれは大変望ましいことだと思います。人材交流は今までそれぞれのセクターの中に閉じていた知識を、いろいろなところにスピルオーバーする効果があると思います。
政府の人材不足の問題ですが、第三者機関では大きな問題で、その時に懸念されるのは第三者機関が自主規制ルールを認定する作業が果たして本当に可能かどうかということです。しかし、自分はこの問題に対して共同規制スキームというのは強くポジティブな方向に働くと思っております。
どういうことかといえば、第三者機関ができたら事前相談で大丈夫かどうかという判断をしてほしい、ノーアクションレターを出してほしいという産業界側からの要望が多くとなると思います。それを個別案件ごとに持ってこられると、第三者機関のキャパシティでは現実的に処理しきれないと思います。そういう時に共同規制で自主規制ルールを認定するということは、その産業を纏めて事前相談を受けるということになると思います。作り方によってはおそらく 1 万件ぐら
いが 1 回で済むことになると思います。ただ、メンテナンスは必要ですし、ルールが古くなったら変えなければいけません。よって、共同規制、マルチステークホルダーをうまく回していかな
いと、第三者機関というのはそもそも回らないのではないかと強く憂慮しております。

森氏：
消費者の方のリソース不足は検討会でも正式に意見が出ております。紹介しますと、基本的に情報格差があるということです。米国でマルチステークホルダー・プロセスが有効に作用するのは EFF などがあるからであり、その存在を無視して仕組みだけを日本に持ち込むのは欺瞞であるという意見も出ています。消費者側でのリソース不足を解消する案というのはなかなか出てこな
いのではないかと思います。

生貝氏：
今森先生に、自分が上げた問題の内の 3 と 4 について取り上げていただきました。このうち市民側のリソース不足の問題ですが、人材・資金含め、現状足りていないのは、自分もそういう活動を少なからず行ってきた関係からも、強く認識しています。この問題の解決・責任はどこにあるのかといえば、寄付税制の問題などいろいろありますが、本質的にやはり人材だと思います。
たとえば、アメリカには強力な市民団体がありますが、そのような団体の関係者のリストを見ると、有名大学の教授をはじめとして大変たくさんの有識者・技術者が関わっております。日本ではそのようなことができているかといえば、必ずしも大学側からの市民団体のサポートは十分にできていないのが現状です。要するに今のセクター中でこの問題が深刻だとすれば、それは少なからず我々学者の問題なのではないかと思います。

18

質疑応答
質問者 A：
最終的にこの大綱に従って新たな法律が出てきたときにマルチステークホルダーと規制の強化ということで、EU と米国の間を取った制度が出来上がると認識したのですが、各国からどう見られると思われますか。

渡辺氏：
アメリカでマルチステークホルダー・プロセスについて聞いたときに「FTC がデファクトコモ
ンローのようになってしまっている」という意見がありました。
FTC は規模の限られた組織ですから、少数の個別案件をとりあげることしかできず、一罰百戒的な結果になってしまいます。どこまで違法で、どこから合法かというのはよく分からないが、ここまでやると違法で、その時の是正措置はこうすればいいということになるので、ここだけは白だとわかって後は膨大なグレーゾーンが残ります。
これをマルチステークホルダー・プロセスにすることで、FTC が指を動かした時に初めてどこが黒でどこが白だとわかるという世界がなくなり、もう少し事業者としても安定した事業環境が出てくるので歓迎すべきだと事業者側でも言っている方がいました。ですから、アメリカから見るとこれは必ずしもきつすぎるとは見られないかと私は思いました。

生貝氏：
日本はアメリカや EU と違う方向に向かっているのではなく、むしろアメリカや EU が向かおうとしているところへ同時に向かっているという認識ですし、そう確信しております。どういうことかといえば、アメリカは自主規制だけでやっているように見えていますが、最近は FTC 法 5条のアンフェアやディセプティブのどちらの文言もかなり広く意味を取るようになってきており、合理的な期待を裏切るようなプライバシーの扱いをするとかなり叩かれるような運用になってきています。なので、アメリカも実は FTC 法 5 条に基づいて、実質的に相当程度の規範性のあるスタッフレポートが出され、それに基づいて自主規制ルールは作られていると認識しているので、実質的に共同規制だと言ってしまってよい部分が大きいと思っています。一方で EU についても、そんなに直接規制だけでやっているのではなく、27 条や新 38 条のようなところで自主的ルールをかなりの程度重視した運用を行っております。その他にも EU のデータ保護指令には実は日本で言うところの例外規定というところも大きく、レジティメイト・インタレスト、しかもデータコントローラのインタレストが例外となっていることを考えていただければと思います。
また、海外からどう見えるかということですが、今の大綱の書かれ方から見ると、セルフレギュレーションで色々なルールを決めると英語では訳されてしまいます。セルフレギュレーション
で個人情報の定義を決めると言っているのかと EU でもアメリカでも言われてしまうのではない

19

かと危惧しております。ですから、ここはもう「コレギュレーション」ですと言ってしまった方が国際的な通用性は良いのではないかと思います。国内的なところで新しい法概念を作ることは難しいと思いますが、国際的な説明文書中ではそのように記述いただければ、EU の適切第三国認定を得るなどの作業もうまく進むのではないかと思っています。

質問者 B
本日のタイトルの中には、制度設計と運用とありますが、運用のことは話されていません。また大綱も読んだのですが良く書けていると思ったのですが、具体的にどうしたらよいのか見えませんでした。どうするかということについては非常に大きな問題があるのではないかと思いました。先ほど生貝先生から共同でという話があり、私もそれについて大変良いと思いました。というのも P マークや ISMS などレギュレーションを第三者でやっていますがはっきり言って失敗だと思っています。私は ISMS の認証取得事業所の調査をやっていますが、8 割ほどダメではないかと思いっています。
そのような現状をわかっていてこのようなものを作るのかという部分で非常に大きな問題があるだろうというところと、さらに付け加えれば P マークなどを取っていた約 6 千社の中小企業等を対象に調査したところが何の罰則も日本では受けませんでした。また某大手企業が 1 億件のユーザーID などの漏えいがありましたが去年の 1 月にイギリスからは 25 万ポンド請求されてそれを飲んだとなっていますが、そういう部分をきちんとやっていかないと非常に大きな問題が出るのではないかと思います。
端的に言えば、k-匿名性ということを何名の方はしっているのかということを聞いてみたいです。また、k-匿名性に関しては、東大の中川先生が逆もあるということ言われていました。場合によると k-匿名性をやることで濡れ衣をきせられる可能性があるという話をしています。このところも含めてお話を伺いたいです。
また、学識経験者というところの話をしませんでしたが、実務経験がないものが学識経験者であると聞いています。実務経験がない人は役に立たないのではないかと考えたと方が良いのではないかと思いました。今回のようなものについては実務経験がないものを入れるのは問題があるのではないかと思いました。

渡辺氏：
色々論点の提起ありがとうございました。整理すると、一つはエンフォースメントやペナルテ
ィをどうして言ったらよいか、もう一つは匿名化の問題にあるような実務的な知識やテクニカルな知識を持っている人を確保するにはどうしたらよいかという 2 つでよいでしょうか。

（質問者同意）森氏：

20

前半の問題はまさにエンフォースメントの話で、例えば共同規制になりルールを第三者機関が認定したらそのルール違反というのは法律に違反した時と同じように法執行がなされるべきです。法執行の緩さというのは、今日のマルチステークホルダーの課題とは別の、大きな課題です。
前年度の個人情報保護法の法執行の結果は一番軽いものが 8 件あるだけです。私たちのところへ漏えい事業者から相談が来たとして、漏えい事業者に対して安全管理措置としてどのようなことをしているのかと聞けば、「安全管理措置とは何か」と聞き返されることがあります。法執行をどうするのかということは、これまでの体制であっても法執行はなかったし、それはよくなかったと言わざるをえません。そこが第三者機関に対する期待であり、第三者機関のリソースが重要であることの理由の一つだと思います。これが私が法執行について言えることです。
最後に学識経験者の話が出ておりましたが、実務一辺倒の私からしてみれば、検討会の席においてもこのような席においても実務家でない学識経験者の方からの得られる情報というのは非常に大きいですし、個人情報保護法の改正の原動力のほとんどの部分をそういった先生方の知見から得ていると実感しております。

生貝氏：
私は質問者の話にあった 2 つの観点については賛成です。エンフォースメントについては、ご指摘確かにその通りです。一方で森先生が言われていたようにこれは広くエンフォースメントの問題であり、直接規制でも自主規制でも同じだと思います。これは日本だけではなく世界的な問題で、例えばアメリカとＥＵの間で結ばれた「セーフハーバー協定」という自主規制ルールのプログラムがありますが、4 年ほど前にオーストラリアの会社が、同プログラムに登録されていた 4,000 件ほど調査を行ったところ、すべての要件を適切に満たしている会社は 300 件ほどしかありませんでしたし、一方で EU の方
ではしっかりエンフォースメントされているかといえば、2009 年の電子通信プライバシー指令の改正の後、クッキーはオプトインでなければいけないとなったのにもかかわらず、シンクタンクが調べた結果、政府の WEB サイトですら守っているところは 1 割以下しかないということがご
ざいました。このような状況を少しでも共同規制と言う方法で改善できる可能性があるのではな
いかというのが、私の立論です。
今回資料で 4 つの枠組みを示しましたが、規制なしで上手く行くこともありますし、直接規制
で上手く行くこともあります。これらはそれなりにうまくできていて、それと同じぐらいに自主規制や共同規制はだめです、でもそれと同じぐらい機能すると考えています。問題の性質によってこれらが機能する時は２５％ずつといったらだめですが、少なくとも全部の問題に対して 1か 0 かの解決策を適用するよりも、きっとエンフォースメント率は上がるのではないかと思います。このような期待のもとに、この 4 類型を入れていただきたいと思っています。
また、有識者の選定の件については、どちらかというと学識経験者は不要であるというか、不要である「べき」だと思っています。研究者の仕事というのは、基本的には論文を読んで論文を21

書いて、ときどきそれを本にまとめてそれをいろいろな方に読んでもらうことで、少しでも世の中をよくしていくことだと思っていますので、僕自身、このような実務の場で発言するのはいつも少し違和感を持ちながらやっているところがあります。ですが、今回の検討会には自分は完全に外部の有識者として関与しております。いささかなりとも影響を与えることができたかどうかは分かりませんが、2011 年には本を出して、2012 年には検討会で今回のスライドを発表する機会を得ることができ、それを基にした論文を書いてネットで公開し、関係者の方に読んで頂けるようにお渡ししました。私自身それが正しくできているかはわかりませんが、本来はそのような部分が、有識者、学者の役割なのではないかと思っています。

橋本氏：
有識者の選定の問題についての感じ方は人によると思います。エンフォースメントの問題が、みなさんからお話あったとおりだと思いますし、もしかしたら共同規制が改善の道になるかもしれないという気もします。ただ、ご指摘いただいたことは大変あたっており、大綱を読んでもそのあとどのような運用をするのかが書かれていません。私としてはご指摘を頂いた件は宿題として持ち帰り考えたいと思います。

質問者Ｂ：私の言った有識者の件は、明治時代よりある定義であることを申し加えます。ですから有識者が悪いのではなく有識者だけで構成しないような仕組みづくりを是非してほしいと思います。

質問者 C：
結局のところプライバシーを守っていくのは難しいということ、またグレーゾーンはかなり広くなるという話がありましたが、セーフハーバーをマルチステークホルダー・プロセスで作っていく、ＥＵとアメリカが進んでいく方向に日本も進んでいくしかないけれども、今の話を聞いただけでは、グレーゾーンを意識的についてくる企業に規制の枠をはめていくのかというのが浮かび上がってきませんでした。そういった人を規制するには実際どうすればよいのかもう少し具体的に教えてください。

生貝氏：
今回の設計で重要だと思うのは、この図でいうところの真ん中と左の設計だと思います。

きちんとやりたい人たちに対しては、セーフハーバーの共同規制の恩恵を受けられるようなイ
ンセンティブをしっかりと法の中に書き込んでいく、しかしそこに参加しない人たちついては、

22

悪質性がないところは尊重しつつ第三者機関がしっかりと対応していく。悪質なものに対しては、今回のマルチステークホルダーの枠組みの外側でしっかりとエンフォースメントをかけていくものだと理解しております。

橋本氏：
グレーゾーンを故意に突いてくる企業に対しては、突かれたことによりブラックだという話が出てくると思います。そういうケースが出てきたときに国会でもう一度法改正をするという手続きを取るよりも、それより今後できる仕組みの方がスムーズかつダイナミックにルールを変更しやすいというのが今回の法改正にマルチステークホルダー・プロセスを入れる意味だと思います。

生貝氏：
今の観点はとても大事で、情報社会では自主規制でも共同規制でも直接規制でも、重要なのは一度作ったルールが 3 年持つと思ってはいけないということです。アメリカでもヨーロッパでも順守率がひどいことになっているという話をしましたが、ヨーロッパに関してはインターネットができる前に作った法律を何とか今の WEB2.0 等に合わせて建替え建替えしながらやっているので、IT 関係者からすると謎の法律に見えているところがあります。ですから、羊皮紙に書かれている法律にならないように 3 年以下のスパンで頻繁にルールを見直していくには、マルチステ
ークホルダー、共同規制のような形でやっていくしかないのではないかと思っています。

森氏：
見直し方針にも大綱にもグレーゾーンの解消ということが書かれていますが、これは検討会としては額面通りで、本気で解消すべきと考えているのです。大きなグレーゾーンがあることがいろいろな問題の元凶で、そのために保護と利活用の境界が重ならず、保護も利活用も中途半端になってきました。グレーゾーンをついてくる人への対応も大事ですが、グレーゾーンそのものを減らすことが課題でありそれをこれから法制化していき、そのことが結果グレーゾーンを突いてくる人の問題の解消につながるのではないかと思います。

渡辺氏：
ありがとうございました。
本日議論してみると、レジティマシーの確保の問題、人材の問題やエンフォースメントなど
色々な課題が上がりましたが、今日の議論をきっかけにより良い経済発展と消費者保護との両立を目指せればと思います。

23