G7データ保護・プライバシー機関ラウンドテーブル– コミュニケ –2022年9月8日

信頼性のある自由なデータ流通の促進及び国際データスペースの展望に関する知識の共有

1. 我々、G7メンバー国のデータ保護・プライバシー機関は、ドイツの連邦データ保護・情報自由コミッショナーであるウルリッヒ・ケルバーの議長の下、「信頼性のある自由なデータ流通（DFFT）」の文脈における現在の規制及び技術に関する課題及び動向について議論するとともに、国際データスペース（データスペースは、国内外を問わず、学術界、産業界及び公共部門におけるイノベーションを支援するため、組織及び部門を越えた、信頼できる自発的なデータ共有への新たなアプローチとみなすことができる。）の展望に関する知識を共有するため、2022年9月7日及び8日に会合した。本会合は、2022年G7ドイツ議長国のデジタル大臣G7デジタル・トラックの枠組みにおいて開催された。
2. 我々は、2022年5月11日の大臣宣言において、「イノベーションを支援し、民主的価値及び普遍的な人権の尊重を強化する、自由でグローバル、オープンで相互運用可能な、信頼性が高く、安全な一つのインターネットを維持する」とともに、我々の自由民主主義に沿ったデジタルトランスフォーメーションを形作るというG7デジタル担当大臣のコミットメントを歓迎する。また、我々は、2022年6月28日の首脳コミュニケにおいて、DFFTを促進するための我々の努力を強化し、引き続き機会を利用し、また、特にセキュリティ、プライバシー及びデータ保護に関連して提起される課題に対処するというG7首脳のコミットメントを歓迎する。
3. デジタル世界における民主主義の原則及び基本的人権の重要性は、「未来のインターネットに関する宣言」において、欧州連合、米国、全てのG7加盟国を含むその他多くの国により最近強調された。我々は、G7データ保護・プライバシー機関として、民主主義、法の支配及びプライバシー・データ保護の権利を含む基本的権利の原則を、DFFTの概念及びその更なる発展に関する指導原則とみなす。

データ保護・プライバシー機関ラウンドテーブルコミュニケ | Page 1

4. その上、民主主義的価値及び個人の基本的人権の遵守は、公的機関及び企業部門の義務である。このことは、人権に関して、国連の2011年ビジネス及び人権に関する指導原則において強調されている。事業者が、アプリ、ウェブサイト及び機器において、個人又は消費者の私的な行動を追跡及び監視するための侵入的かつ隠された方法に基づいて個人データを処理することにより法を犯した場合において、効果的、比例的、コンプライアンスを強化し、かつ独立した方法により法執行するのは、データ保護・プライバシー機関の責務である。
5. さらに、プライバシー、競争及び消費者保護の規制領域は、引き続き交差している。個
人データに関する濫用行為が、業界を超えて大きな市場支配力を行使する支配的な企業又はデータ駆動型企業によって行われている場合には、競争当局による執行がますます重要になっている。我々は、データ保護・プライバシー保護当局、競争当局及び消費者当局が国境及び規制領域を越えて協力する努力を歓迎するとともに、G7諸国に対し、好調なデジタル経済を支援しつつ、プライバシー権を総合的に保護し、意味のある規制横断的な連携を推進する努力を更に強化することを要請する。G7データ保護・プライバシー機関は、全てのG7のDPAsが加盟する世界プライバシー会議（GPA）及びOECDがこのような規制横断的な連携を提唱する取組みを行っていることを強調する。
6. 2022年のG7ドイツ議長国の下、2021年英国で採択されたDFFTに関する協力のためG7ロードマップが継続されることを歓迎する。2022年5月11日にデジタル大臣によって採択されたDFFT推進のためのG7行動計画は、将来の相互運用性を促進するため、標準契約条項など既存の規制上のアプローチ及び手段の間における共通性、補完性及び収斂の要素を特定する必要性を含む、信頼性のある国際データ流通に関連する重要な行動及び取組みを予見している。
7. 移転手段に関しては、我々は、世界の様々な地域における現行のいくつかのアプローチに関する議論の重要性を認識しており、それらは排他的ではなく包括的であるべきである。したがって、我々は、高い水準のデータ保護を達成し、信頼性のある自由なデータ流通を促進し、そして企業が自らのビジネス上のニーズに適した越境移転ツールを選ぶことのできる選択肢を創出するため、可能であれば将来の相互運用性を促進するためにこれらのツールの収斂の要素に向けた取組みを継続することにコミットする。その観点から、我々は、GPAのグローバルな枠組み及び基準に関する作業部会及び OECDが行っている越境移転メカニズムの比較に関する継続的な取組みを支持し、GPA内及びG7のDPAs間の双方において、この点に関する我々の経験及びベストプラクティスを交換することにコミットする。
8. 我々は、G7メンバー国間の十分性認定を、自由かつ信頼性のある個人データの流通を可能にする、高いデータ保護水準のツールとして認識するとともに、我々は、米国政府及び欧州委員会に対し、新しい強固な大西洋横断データプライバシー枠組みへの努力を強化することを奨励する。
9. 我々は、G7メンバー国のデータ保護・プライバシー機関として、政府に対し、効果的なデータ保護・プライバシー法を実施する取組みを継続するとともに、欧州評議会の108号条約＋、プライバシー保護と個人データの越境流通についてのOECDガイドライ

2

ン、並びにプライバシーを保護する法の執行における越境協力に関するOECD勧告など、既存の枠組み及びアプローチに基づいて行うよう要請する。
10. この文脈 1において、我々は、データに対するガバメント・アクセス、プライバシー及び法の支配に関する2021年GPA決議を称賛するとともに、同じセンシティブなテーマについてOECDによって行われている取組みを更に支援するというG7デジタル大臣によるコミットメントを歓迎する。その決議で述べられているとおり、我々は、データ保護・プライバシーの基本的権利を効果的に保護するためには、国家安全保障及び公共安全の目的のために民間が保有するデータにアクセスしうる範囲及び条件を規定する明確かつ正確なルールが適当な立法措置により制定されることが必要であり、これにより、民主主義社会において、干渉は厳格に必要かつ比例的なものに制限されることが確保されることを強調する。我々の見解では、重要なデータ保護・プライバシー原則の遵守を確保する多国間の手段により、国際的なレベルにおけるDFFTの文脈において、民主主義の原則及びガバメント・アクセスに対する法的制限を保証することができる方法についても検討し、探求することが極めて重要である。
11. 規制上の課題に加えて、我々は、国際的な移転の安全保護措置の技術的な側面についても議論した。G7の間で特に重視されるべきなのは、プライバシー強化技術（PETs）である。
12. 国際レベルにおけるデータ関連の課題に対するデータ保護・プライバシー機関の取組みの重要性を考慮し、我々は、G7政府に対し、定期的に早い段階から国際的な機関及びフォーラムにおけるデータ関連の取組みにおいて専門知識のあるデータ保護・プライバシー機関と協議することを強く奨励する。したがって、我々は、「G7政策担当者、データ監督当局及び／又はデータに関する他の権限ある当局との間の対話の継続を通じたものを含む」、DFFTに関する規制協力を促進するというG7デジタル大臣によるコミットメントを歓迎する。
13. この規制協力を実務的に実施するため、G7データ保護・プライバシー機関は、委員長級の年次会合と一体の常設グループとして、データ保護・プライバシー機関のラウンドテーブル会合を設立することに合意するとともに、実務レベルでの意見交換を継続した。
ラウンドテーブルは、他の国際会議の取組みを補完するとともに、G7メンバーの影響力を活かして他のネットワークの声を拡げるべきである。また、我々は、G7政府に対し、データ及びプライバシー関連の課題が論点となる場合、政策立案当局及び監督当局の対話がG7デジタルアジェンダの不可欠な一部となることを確保することを奨励する。
14. 今回のラウンドテーブル会合では、我々は、2021年の英国G7ラウンドテーブル会合で作成されたトピックを引き続き熟考した。我々は、我々の組織から対象分野の専門家を関与させ、2022年前半に実務者レベルの会合を開催し、人工知能（AI）、オンライントラッキング、パンデミックによる技術革新、国境を越えた執行協力、規制横断的な交差、救済の再設計、データへのガバメント・アクセスに関する動向を精査した。各作業部会の結果に基づき、我々は重要な課題についての更なる議論の必要性を認識し、G7デー

1 このパラグラフは米国連邦取引委員会の管轄外の問題に関連している。

3

タ保護・プライバシー機関の実務レベルでの関与を継続する。 これらの議論の要約は、本コミュニケの附属書のとおりである。
15. また、我々は、DFFTに関連する追加的なトピックに関する幅広い議論と、国際データスペースの展望についての知識の共有を開始している。これらのトピックは、企業認証メカニズムを含む国際データ移転ツール、プライバシー強化技術（PETs）、データ保護・プライバシー法における非識別化の標準及び非識別されたデータの位置付け、商業上の監視及び機会の文脈におけるデータ最小化に係る原則並びに目的及び利用の制限に係る原則、並びにAIガバナンスのための倫理的及び文化的モデルの設定及び推進におけるデータ保護・プライバシー機関の役割などである。議論の結果に基づき、DFFTの文脈における動向に関する議論を継続する。これらの議論の現状は、本コミュニケの附属書のとおりである。
16. 我々は、2023年に日本がG7議長国として「特にデータ保護及びプライバシー関連当局のラウンドテーブルでの議論を通じて」DFFTのための規制協力を促進する取組みを継続する意思があることをGデジタル大臣が称賛したことに留意する。この文脈において、我々は、2023年に日本の個人情報保護委員会（PPC）の議長の下、行動計画を作成すること及びラウンドテーブル会合を準備することを目的として、専門家レベルでの取組みを継続する。

4

附属書 – 議論したトピックの要約

2021年のG7 DPAラウンドテーブル及びコミュニケのフォローア
ップ

技術作業部会
17. 英国情報コミッショナー・オフィス（ICO）が主催した技術作業部会は、「人工知能」、「パンデミックによる技術革新」、「オンライントラッキングの未来形成」に関する技術に焦点を当てたプロボケーションのアップデートについて議論した。各DPAは、2021年9月以降に実施された取組みのアップデートを提供するとともに、議論においては本作業をさらに進展させる方法について検討した。G7のDPAsは、本作業部会が定期的に会合することを継続するべきであると合意した。

執行協力作業部会
18. 日本のPPCが主催したG7執行協力作業部会は、特に執行協力、プライバシーと競争の交差、救済の再設計、ガバメント・アクセスなど、いくつかの規制上の課題について議論するとともに、OECD、GPA及びGPEN（グローバル・プライバシー執行機関ネットワーク）など他の国際会議における取組み、並びに共同調査及び覚書の運用化に関するベストプラクティスを共有した。
19. 本作業部会の参加者は、G7のDPAs間の効果的な情報交換、競争当局及び消費者保護当局との協力強化、抑止措置に関する各国法制度の作成並びにガバメント・アクセスに関する他の国際機関における継続的な取組みの支援について、それらの必要性及び重要性を指摘した。

20. 我々は、共通する重要な課題に関する具体的な成果を出すため実務レベルの取組みを継続するとともに、2023年に向けてG7データ保護・プライバシー機関としてそれらの成果に価値を付加する方法を検討する。

5

信頼性のあるデータ流通（DFFT）及び国際データスペースの文
脈おいて議論された2022年のトピック認証を含む越境データ移転ツール
CNIL（仏）、BfDI（独）及びPPC（日）作成
21. G7データ保護・プライバシー機関は、越境データ流通の規制的側面を規定する合意された多国間ルールがない状況においては、データ移転ツールは、DFFTのための重要な手段であるとともに、国際データスペースの展望に関する知識の共有にも貢献しうるものであり、また、様々な国及び地域のデータ保護・プライバシーの枠組みの間において可能であれば将来の相互運用性を促進するために収斂の要素を促進しうるものであると強調した。
22. 我々は、この分野で進展があったことを認める。EUでは、例えば、移転ツールとしての認証及び行動規範に関するEDPBガイドラインが最近採択され、また、欧州委員会によって新たな標準契約条項が2021年に公表された。アジアでは、例えば、ASEANモデル契約条項が採択された。中南米では、例えば、イベロアメリカン・データ保護ネットワーク（RIPD）のモデル契約条項が公表された。アジア太平洋地域では、例えば、
APEC CBPR制度の展開としてグローバルCBPRフォーラムの取組みがあった。
23. 我々は、高い水準のデータ保護を達成し、信頼性のある自由なデータ流通を促進するため、可能であればこれらの移転ツールの将来の相互運用性を促進するために収斂の要素に向けた取組みを継続することにコミットする。この点に関し、我々は、越境移転メカニズムの比較に関するGPAのグローバルな枠組み及び基準に関する作業部会及びOECDが行っている継続中の取組みを支持し、GPA内及びG7のDPAs間の両方において、この点に関する我々の経験及びベストプラクティスを交換することにコミットする。我々は、企業が自らのビジネス上のニーズ及び個人の権利保護に係る義務に基づいて越境移転ツールを選ぶことができる環境を創出することが重要であると認識する。
また、我々は、立法者及びその他のステークホルダーに対し、可能であればこれらのツールの将来の相互運用性を促進するために収斂の要素を促進すること、並びに、異なる管轄における執行力のあるデータ主体の権利並びにデータ主体及び消費者に対する効果的な法的救済についての利用可能性を含む、相違点を調整することを目的として、これらのツールの開発を支援し、保護水準及び規制アプローチの相違点を分析することを奨励する。

6

プライバシー強化技術
ICO（英）作成
24. 2021年4月のG7デジタル・技術大臣の大臣宣言は、プライバシー、データ保護、知的財産権及びセキュリティに関する課題に継続的に対処しつつ、G7の経済及び社会におけるデータの力を引き出すことの重要性を強調した。
25. プライバシー強化技術（PETs）は、信頼できる研究環境、連合学習、差分プライバシー、ゼロ知識証明、秘密分散及び準同型暗号などであり、識別可能性を減少させるため個人データをマスキングし、又は変換する処理を通じて、組織がデータ保護デザインを実施し、又は改善するのを支援する。
26. PETsの利用により、他の方法では可能ではないと考えられうる、安全な、合法的かつ経済的に価値のあるデータ共有を促進することが可能となり、革新者、政府及びより広い国民に大きな利益をもたらすことになる。このような利益を認識し、我々は、G7
データ保護・プライバシー機関として、適切な技術的及び組織的対策による裏付けの下に、データ共有を促進するPETsの責任あるかつ革新的な利用を促進するよう努める。
27. 我々は、データ保護・プライバシー法の遵守においてPETsを利用する組織を支援するために自ら行動することと並行して、産業界に対し、責任を持ってPETsを利用して法律を遵守しているという信任を組織に与えるために必要な技術規格及び認証制度を開発することを要請する。
28. また、我々は、政府及び産業界に対し、この重要分野が継続的に発展して信頼性のある自由なデータ流通を支援するため、PETsの研究、開発及び利用に継続的に投資することを要請する。

データ保護・プライバシー法における非識別化の標準及び非識別されたデータの位置付け
OPC（加）作成
29. G7メンバー国のデータ保護・プライバシー機関は、特に人間の活動に関するデータの需要が増加し続けている今日のデータ駆動型の世界を踏まえ、DFFTを支援する手段として、非識別化は、歴史的及び将来的の双方においても、重要であることを強調する。
30. 非識別化ツールは、直接的か又は間接的かにかかわらず、情報から個人が特定される可能性が低くなるように、個人情報を修正するものである。法的及び技術的に、データの有用性を維持しつつ、個人情報をより個人的でない形に変換する、つまり非識別することがその狙いである。非識別化技術の例には、削除、一般化及びサブサンプリングが含まれる。

7

31. 我々は、非識別化の処理によりプライバシーとの関係で利益及びリスクの両方が生じることを強調する。非識別化によって個人情報が識別しにくくなる限りにおいては、プライバシーが強化される。しかし、再識別のリスクが常に存在するため、非識別化された情報が異なる規則に従う場合、プライバシーのリスクを引き起こす可能性がある。
32. 我々は、差分プライバシーなど新しい非識別化技術の開発及び合成データなど既存の非識別化技術の性能強化において、学術界及び産業界による進展を認める。
33. 我々は、DPAsとして、データ保護に関する十分性の水準を達成するため、これらのツールの利用に関して適当な法的及び技術的基準に関して情報及びアドバイスをステークホルダーに提供することに向けた作業を継続することを決意する。また、我々は、非識別化、匿名化、仮名化及び統計的開示管理などの重要な用語について、一貫した用語及び相互運用可能な定義の開発に向けた作業を継続することをコミットする。
34. 我々は、異なる文脈及び設定を超えた再識別のリスクを測定するための確固とした、かつ共通の指標の確立を視野に入れ、標準化団体及び実践コミュニティーに対し、非識別化枠組みの開発を継続的に支援することを奨励する。

商業的監視の課題に対応するためのデータ最小化に係る原則並びに目的及び利用の制限に係る原則の再活性化
FTC（米）作成
35. データ最小化、すなわち収集は必要かつ収集目的に応じて比例的であるべきという考
え方は、我々の機関が執行するデータ保護法の多くの基本的な原則である。これは、世界中の多くのデータ保護・プライバシーの枠組み及び法律における中核的な原則である。追加的なデータ利用及び目的の制限と一体として当該原則を強力に執行すれば、商業データのエコシステムを再構築し、広範かつ新たな害の多くに対処しうる可能性がある。
36. データ最小化に係る原則を効果的に執行することにより、商業データの収集及び利用の範囲を、ある製品に対する消費者の期待に理解できるレベルで応える範囲に適正化することができる。
37. また、データの収集及び利用に係る実質的な制限は、米国連邦議会で審議中の新法においても重要な役割を担っている。下院で審議中の米国データプライバシー保護法（ADPPA）及び上院で審議中の同様の法案は、データ最小化の枠組みを明示的に使用して、データの収集及び処理が、消費者が要求するサービスを提供するために必要かつ比例的なものに制限されることを確保している8

38. また、データ収集及び利用を最小化する明確な目的及び利用の制限により、市民権、経済的機会及び個人の自律性を危険にさらすと考えられるアルゴリズムによる害が軽減される可能性がある。
39. 米国連邦取引委員会は、データの不正利用に関する取引規制規則の発出の可能性について公開調査を開始するところ、我々は、これらの原則を法的に発効させて執行するに当たり、我々の同僚機関の経験から学び、それを基づいて行うことを期待する。

AIガバナンスのための倫理的及び文化的モデルの設定及び推進におけるプライバシー・データ保護機関の役割
Garante（伊）作成
40. 我々は、G7データ保護・プライバシー機関が、世界で最も卓越した7つの社会経済システムのデータ保護・プライバシーに責任を有する当局のグループとして、AIガバナンスのための際立った倫理的及び文化的モデルを提案することが必要であると考える。
41. 我々は、大量、多様かつ高速に個人データを収集し、分析し、及び相互参照することから始まって、個人の行動を管理し、操作することを明白な目的とした大規模監視方
法を結果的に招く、個人データに適用されるAIの無差別的な利用を拒否する。
42. データ保護・プライバシー機関の権限をAIガバナンスに関して明白かつ厳格なものにするためには、法の支配及び我々がみな言及する民主的政府に関する価値及び原則を考慮に入れた、公的機関によるAIの利用に対する高潔な代替手段の構築が必要である。
43. DFFTには、監視目的のための個人データの大規模なデジタル収集並びに市民の知性、精神、デジタル及び実生活にますます侵略的な形での侵入を結果的に招くAIの利用を拒絶するポジションが必要である。

2023年に向けた次のステップ
44. 2022年のラウンドテーブル会合並びに執行協力作業部会及び技術作業部会の結果に基づき、我々は、2023年に日本の個人情報保護委員会（PCC）の議長の下、行動計画を作成すること、及び、我々が具体的な成果を出す予定であるラウンドテーブル会合の準備することを目的として、実務者レベルの議論を行うことを継続する。

9