資料１−１

個⼈情報保護委員会「いわゆる３年ごと⾒直し」ヒアリング
2024年6⽉12⽇

国⽴情報学研究所
佐藤⼀郎

佐藤⼀郎（国⽴情報学研究所）

1

3年ごと⾒直しに向けて
n 3年ごと⾒直しにおいて検討すべきこと

n 課徴⾦、団体訴訟制度、未成年者の保護、⽣体情報の保護強化
n 仮名加⼯情報に関わる規律
n データ類型の再整理

n プロファイリング規制の明確化
n AIと個⼈情報保護法

n 体制及び３年ごと⾒直しに関して
n 企業の⾃主的取り組み

佐藤⼀郎（国⽴情報学研究所）

2

課徴⾦、団体訴訟制度他
n 課徴⾦は導⼊すべき

n 理由︓海外制度との整合性に加えて、悪質事案の対策。なお、悪質、重⼤事案が対象であれば「萎縮」を懸念することはないのではないか

n 団体訴訟制度は導⼊すべき

n 理由︓少額⼤量被害の場合、現状、訴訟は被害者に不利益であり、その緩和が必要ではないか

n 未成年者の保護は導⼊すべき

n 理由︓海外制度との整合性に加えて、ネット利⽤の拡⼤により、未成年者が個⼈情報に関わるトラブルに巻き込まれるリスクが⾼まっている

n ⽣体情報の保護強化は導⼊すべき

n 理由︓⽣体認証の普及により、⽣体情報の取得・利⽤機会が増えている。

また、今後、センサー及びカメラの性能向上により、本⼈が気がつかずに⽣体情報の取得利⽤が増えると予想される

佐藤⼀郎（国⽴情報学研究所）

3

仮名加⼯情報の規律の明確化(1/4)
n 法第41条(第9項)により、仮名加⼯情報は漏えい報告義務がない

n しかし、仮名加⼯情報の加⼯は限定的なため、例えば会員番号などの公知または他事業者と共有される識別⼦などは、仮名加⼯情報にそのまま残存することから、仮名加⼯情報が漏洩したときは、個⼈が特定される可能性が⾼く、さらにその仮名加⼯情報に含まれる情報から個⼈の権利利益の侵害が起きるリスクも⾼いn 従って、仮名加⼯情報にも漏洩報告義務を課すべきである
n 加えて、そもそも仮名加⼯情報はデータ分析を想定したデータ類型であること、前述の情報漏洩時のリスクを考慮すると、法41条５項の当該個⼈データ等を遅滞なく消去については努⼒規定から義務規定に変更することと、個々のデータ分析作業時に仮名加⼯情報を作成し、分析作業終了後に直ちに削除することも検討すべき
n 備考︓産業界からは、仮名加⼯情報以外を含めて個⼈情報の情報漏洩の報告について、「おそれ」の段階は報告義務から外す意⾒もあるようだが、情報漏洩時、その漏洩の影響は事業者であっても正確に把握・予測できるとは限らない
ことから、「おそれ」の段階であっても、漏洩報告を求めるべきである

佐藤⼀郎（国⽴情報学研究所）

4

仮名加⼯情報の規律の明確化(2/4)
法41条7項 仮名加⼯情報取扱事業者は、仮名加⼯情報を取り扱うに当たっては、当該仮名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別するために、当該仮名加⼯情報を他の情報と照合してはならない。
n 仮名加⼯情報は個⼈を識別する⽬的でなければ、他の情報と照合できることになるが、仮名加⼯情報に含まれる各個⼈に関する情報と、別の情報のその個⼈に関する情報を連結した情報は、各個⼈に関する情報が詳細かつ巨⼤化しやすい
n その連結して作られた情報は、個⼈の想像を超えて詳細かつ巨⼤化しやすい
n また漏洩時の権利利益の侵害リスクも⾼いn 多様な事業を⾏っている事業者は、それぞれの事業の利⽤⽬的のための個⼈データを仮名加⼯情報に加⼯して、それらを連結して、個⼈に関する詳細かつ巨⼤な情報を作り、それをさらに⽬的外に利⽤できる
n 個⼈情報の本⼈を識別する⽬的か否かは事業者の判断に依存しやすく、外部的観測も難しいことから、違反⾏為があっても個情委は指摘・摘発が難しいのではないか
n 従って、仮名加⼯情報と別の情報（仮名加⼯情報を含む）の照合には⼀定の制限が求められるべきn さらに事業者には仮名加⼯情報の照合範囲と照合により連結された情報に関する詳細な説明を公表する等の義務化を検討すべきである

佐藤⼀郎（国⽴情報学研究所）

5

仮名加⼯情報の規律の明確化(3/4)
n 利⽤⽬的の異なる複数の個⼈情報について、それらを連結した仮名加⼯情報の作成する⽅法として、
⽅法①利⽤⽬的が異なる個⼈データから仮名加⼯情報を作成し、その仮名加⼯情報同⼠を突合（個⼈ごとに情報を連結）する
⽅法②利⽤⽬的が異なる個⼈データを、個⼈データのまま突合し、その突合した個⼈データから仮名加⼯情報を作成する
n がありえるn ここで、⽅法②は各個⼈に関して膨⼤な個⼈情報が⽣成されることと、それが漏洩すると、元の個⼈情報以上に、個⼈の権利利益の侵害が⼤きくなるおそれがある。従って、
n 仮名加⼯情報の作成において、⽅法②を制限することを検討すべき

佐藤⼀郎（国⽴情報学研究所）

仮名加⼯情報の規律の明確化(4/4)と共同利⽤

6

n 仮名加⼯情報は第三者提供されない前提だが、ある共同利⽤に参加する事業者同⼠

は、ある事業者が作成した仮名加⼯情報を、他の事業者と共有することや、個⼈の識別を⽬的としなければ、他の事業者は共有された仮名加⼯情報と他の情報を照合・連結することも許容されてしまう（法第41条第6項、第27条第5項、９項他）
n しかし、共同利⽤においては、⼀定の説明があるにしても、仮名加⼯情報が個⼈の想定の範囲を超えて共有されうる、またその仮名加⼯情報の利⽤も個⼈から想定が難しいのではないか
n 従って、共同利⽤における、仮名加⼯情報の共有を禁⽌すべき

n 現状の条⽂及びガイドラインだと、ある事業者が複数の共同利⽤に参加しているとき、その事業者はある共同利⽤において他の事業者から共有した仮名加⼯情報を、それが参加する別の共同利⽤において共有することが許容されてしまうのではないか（共同利⽤から別の共同利⽤へ、仮名加⼯情報を数珠繋ぎ的に拡散できる）
n 加えて、複数共同利⽤を跨ぐ、仮名加⼯情報の共有も禁⽌すべきn なお、仮名加⼯情報に限らず、共同利⽤はそれが可能な客観的範囲が不明確であり、第三者提供の制限規制の潜脱に使われるおそれがあるため、共同利⽤可能な範囲を明確に制限すべきである
佐藤⼀郎（国⽴情報学研究所）

7

技術的議論の必要性
n 仮名加⼯情報が導⼊された2020年改正案ができる前となる、第106回 個⼈情報保護委員会(2019年5⽉21⽇）において下記の発⾔をしております

個⼈情報保護委員会︓第106回個⼈情報保護委員会議事録より
n 上記の発⾔はEU GDPRなどの仮名化を念頭に置いている。なお、GDPRの仮名化と仮名加⼯情報は相違しており、実際、EUの⼗分性認定においては個情法の仮名加⼯情報はEUから移転した個⼈に関するデータに適⽤できないのではないか
n 個情法の特性から、法律案及びガイドラインが決まる前に技術的議論が必要であり、それらが決まってからは、技術的な問題があっても対処が難しい
n 今後、AIやIoTの発展により、個⼈情報の取得技術、分析技術、利⽤は⾼度化すると予想される。そうした技術動向への対応には技術的議論が必要なはず

佐藤⼀郎（国⽴情報学研究所）

8

データ類型の再整理

n 個情法のデータ類型は現在の技術に適合しているのか

法第16条（第1項）この章及び第8章において「個⼈情報データベース等」とは、個⼈情報を含む情報の集合物であって、次に掲げるもの（利⽤⽅法からみて個⼈の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
(1) 特定の個⼈情報を電⼦計算機を⽤いて検索することができるように体系的に構成したもの(2) 前号に掲げるもののほか、特定の個⼈情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

n 現在、全⽂検索や画像判定技術の進歩により、「体系的に構成」されていないデー

タであっても、検索可能であることは多い
n テキスト中に散在的に含まれる個⼈情報も、現在の全⽂検索技術を⽤いれば検索可能
n 現代の画像認識技術は、⼀定の解像度を持つ顔映像を含む画像であれば、顔画像の抽出と識別を可能にし、これは検索と等価な結果をもたらす
n 「個⼈情報データベース等」は、検索可能か否かが個⼈に関する情報の保護で重要な区分であり、「体系的に構成」されたデータを検索可能とする要件と捉えているのであれば、現在の技術⽔準と合致していないといえる。従って
n 「個⼈情報データベース等」の定義を「体系的に構成」から検索可能性に基づくものに変更すべき
n なお、検索可能か否かとは別に、あるデータの利⽤が個⼈の権利利益に深刻な影響を与える場合かつ、事業者がデータに対して開⽰・修正・停⽌できない場合、そのデータの利⽤には⼀定の制限を検討すべき

佐藤⼀郎（国⽴情報学研究所）

9

プロファイリング規制の明確化

第287回個⼈情報保護委員会の⼭本⿓彦先⽣、森亮⼆先⽣の意⾒と重なる

n プロファイリングは、個⼈の想定を超える詳細化や、属性推定が⾏われ、さらに間違いも多く、個⼈からはそのプロファイリングが⾏われていることを含めて、その内容が⾒えないことから、個⼈の権利利益の侵害を⽣みやすい
n プロファイリングでは個⼈に関する情報の推知を広く⾏うが、個情委はQ&A4-9のように推知による情報は要配慮個⼈情報とは認めていないと解釈される
n

利⽤⽬的の特定（17条）、不適正利⽤の禁⽌（19条）、開⽰請求（33条）、利⽤停⽌・消去（35条）などの規律はあるがn これにより推知、さらにプロファイリングによる情報による個⼈の権利利益の侵害を防げないといえないか。これを是正するために
n 推知も法的に「取得」として扱うべき。これにより推知による情報が（要配慮）個⼈情報に相当する場合は（要配慮）個⼈情報として扱うべきn 要配慮個⼈情報の推知を含めて、個⼈への影響が⼤きい情報のプロファイリ
ングは、その影響の深刻度に応じて、その実施禁⽌や、事業者に詳細な説明義務や同意などを課すべき
n 個⼈がその説明に納得せず、かつ推知の情報やプロファイリングの影響が深刻な場合、対象個⼈が開⽰・利⽤停⽌・消去が⾏えるべき
具体的には、例えばGDPRにおけるプロファイリングに関する規制を参考に、特定のデータ利⽤⽬的の明⽰、同意、誤情報に基づくプロファイリングの是正⼿続きなどを導⼊することを検討すべきではないか

備考︓経済界からの19条の具体化の要望があるが、プロファイリングに関する規制を強化することは、その要望への実効的な解答となりえるはず佐藤⼀郎（国⽴情報学研究所）

10

AIへの対応 (1/2)
n AIによる⽣成や判定の問題は、プロファイリングと重なる⼀⽅、AIによる推測や評価はプロファイリングよりも詳細かつ広範囲となりがちで、個⼈の権利利益の侵害が深刻化しやすい
n 欧州のAI規制法は、個⼈のデータに関してはGDPRの規律を参照する構成n GDPRはプロファイリングを規制しており、AIによるプロファイリングも規制
n 国内でAI規制の議論が進⾏中であるが、規制対象となるAIの定義が不明確であるため、実効的な規制の実施が困難となるおそれがある
n その結果、事業者が実際にはAIを提供・利⽤しているにもかかわらず、これを否定する主張を⾏うことで規制を回避できる可能性があるのではないか
n 従って、今後、国内のAIの規制を強化する場合も、AIの提供・利⽤において、個⼈情報に関わる部分は個情法で規制すべき。⼀⽅、AIの規制における個⼈情報に関わる規律が含まれる場合、個情法に対する上乗せ規律となるべきである
n その観点でも個情法によるプロファイリングの規制は不可避ではないか
n AIの結果は、間違いや偏りが⼤きい。⼀⽅で学習モデルは事業者であっても開⽰・修正・削除は困難である。従って、n AIの間違った判断・⽣成による個⼈の権利利益の侵害については、個⼈に開⽰及び修正の⼿段は⽤意すべき。だが、それが困難としても、何らかの救済⼿段を設けることを検討すべき

佐藤⼀郎（国⽴情報学研究所）

11

AIへの対応 (2/2)

第279回個⼈情報保護委員会の⾼橋克⺒⽒の意⾒と重なる

n 機械学習における学習モデルは統計的データであり、さらに⼀般には学習モデルの元となった訓練データに復元できないことから、学習モデルを個⼈情報及び個⼈データとして扱うべきではない
n しかし、学習モデルの構築コストが⼤きいことから、学習モデルの第三者提供が広がる可能性が⾼い。このとき
n 学習モデルは複雑で、学習モデルに訓練データを復元する仕組みを含んでいたとしても、学習モデルから仕組み等の発⾒は困難、従って、
n 学習モデルは個⼈データではないと扱う場合、学習モデル全般ではなく、個⼈データを復元できない学習モデルに限定すべき

補⾜︓個⼈データを提供先がAIの学習モデル構築に利⽤する場合に限り、同意なしでの第三者提供を許容する考え⽅もありえるが、 AIの結果は個⼈の権利利益の侵害につながりやすいことを考慮すると、その考え⽅は下記を要件にすべき
n 学習モデルの構築後、直ちに個⼈データが削除されることに加えて、その学習モデルから個⼈データまたはその⼀部が復元されないことを担保すること
n さらに個⼈に対してその第三者提供に関する説明は求められる。加えて
n 個⼈の権利利益の侵害が想定される場合、個⼈は第三者提供及び提供先におけるその個⼈に関する情報の利⽤の停⽌・修正・削除ができること

佐藤⼀郎（国⽴情報学研究所）

12

AIとプライバシー
n 個情法は直接、プライバシーを保護するものではないが、AIを含む⾼度なデータ分析や⼤量かつ詳細データが増える状況を前提に、プライバシーの重視をすすめるべきである

n AIは⼈間が気がつかなかったような個⼈のプライバシーに関する情報を推知・評価する可能性がある、また⽣成AIなどは結果を予め予想できないことから
n 対象個⼈はもちろん、AIの提供・利⽤事業者もプライバシーに関わる影響（個⼈の権利利益の侵害を含む）を予め想定できるとは限らない
n 従って、その場合
n 事前（AIによる判定・評価・⽣成を⾏う前）には、AI提供・利⽤事業者であっても、「個⼈に対して適正な⾃⼰情報の取り扱い」を実現できるとは限らない
n 事後には、 AI提供・利⽤事業者はAIが推知・利⽤したプライバシーに関する情報及びそれによる影響を知りえることもあるが、対象個⼈はそのプライバシーに関する情報及びそれによる影響を知りえるとは限らないことから、 AI提供・利⽤事業者と対象個⼈では情報の⾮対称性が⽣じる
n 情報の⾮対称性を解消するためには、事業者は対象個⼈が⾃⼰の情報の利⽤の是⾮に関して判断できる程度の説明と、⾃⼰の情報をコントロールできる⼿段をその対象個⼈に提供することが求められるのではないか

佐藤⼀郎（国⽴情報学研究所）

13

独⽴性と３年ごと⾒直しn 独⽴⾏政委員会である個⼈情報保護委員会は、国の産業推進策やIT推進策とは独⽴に、個⼈情報に関わる規律の整備（⽴法を含む）やその執⾏を担うべきである

n ３年ごとの⾒直しは堅持すべきであり、その背景には以下の理由がある

n 2003年の個⼈情報保護法も制定の際、衆参両院は5年以内の⾒直しを付帯決議したが、2015年まで実施されなかった
n ITの進化についていく観点から、３年ごと⾒直しが求められたはずn なお、⽣成AIの普及は3年前には想定できなかったように、３年ごとのサイクルでも技術進化に対して遅いというべき
n ITの進化が次々と⽣み出す問題を、迅速に規律することが、個⼈が安⼼してITを利⽤できることになり、結果として産業界にとってもメリットが⼤きいはず
n ⼀部事業者団体からの「⾒直し時期を延ばすべき」という主張は、ITの進化に適応する意欲の⽋如と受け取られるのではないか
n 法案化を含めて結論が早々に出る⾒直しについては３年ごと⾒直しサイクルで⾒直すべき
n ⼀⽅、議論に時間がかかるものの⾒直し作業が遅れるのは仕⽅ないが、次の３年ごと⾒直しを待たず、早々に法案化を含めて、必要な⾒直しを⾏うべき
n 法改正が連続する場合、個情委の負担は理解するが、個情法の特性上、短期の⾒直しサイクルは避けられないのではないか

佐藤⼀郎（国⽴情報学研究所）

14プライバシーと個⼈情報保護
n 個⼈情報ではないが、プライバシーに関する情報の範囲が拡⼤している状況であり、本来、それにあわせて個⼈情報の範囲を拡⼤すべきであるが、個⼈情報の範囲は広がっているとはいえないn 個⼈情報とプライバシーに関する情報は同じではなく、個⼈情報保護法を順守していても、プライバシー侵害が⽣じえる
n さらに事業者は、プライバシー侵害によって裁判所で差⽌請求、損害賠償請求を受けると事業⽀障になることから
n 個⼈情報に該当しないプライバシー関連情報は、主に事業者の⾃主的な取り組みが期待される状況
n 事業者は個⼈情報保護法順守のためのガバナンスのみならず、プライバシー侵害を防⽌するガバナンスが求められる
n 個⼈情報保護委員会は、事業者の⾃主的なプライバシー保護活動に積極的に関与すべきではないか
n 例︓経産省・総務省「プライバシーガバナンスガイドブック」(2023)などの⺠間のプライバシー保護に関わる取り組みがある（6⽉3⽇のヒアリングで、宍⼾先⽣が⾔及）
n 経産省及び総務省の判断にもよるが、経産省・総務省・個情委の共管によるプライバシーガバナンスガイドブックの整備を検討する価値はあるのではないか
n 加えて、学術研究機関等が第59条に基づき⾃主規範を策定・公表する際の努⼒義務に対しても、個情委の啓蒙活動が期待される佐藤⼀郎（国⽴情報学研究所）

ご清聴ありがとうございます

国⽴情報学研究所
佐藤⼀郎

佐藤⼀郎（国⽴情報学研究所）