個人情報保護委員会（第１０６回）議事概要
１
２
３

日時：令和元年５月２１日（火）９：４５～１１：４５
場所：個人情報保護委員会 委員会室
出席者：嶋田委員長、熊澤委員、丹野委員、小川委員、中村委員、
加藤委員、大滝委員、宮井委員、藤原委員
其田事務局長、福浦事務局次長、的井総務課長、佐脇参事官、
山﨑参事官、松本参事官
４ 議事の概要（１）議題１：社会保険診療報酬支払基金の全項目評価書について
事務局から、社会保険診療報酬支払基金による医療保険者等向け中間サーバー等における資格履歴管理、情報提供ネットワークシステムを通じた情報照会・提供及び本人確認に関する事務についての全項目評価書について、特定個人情報保護評価指針に定める「審査の観点」及び「審査の観点における主な考慮事項」に基づき、適合性及び妥当性の審査結果について説明を行った。
本評価書は承認され、社会保険診療報酬支払基金に対し、評価書が承認された旨及び承認後に評価書に記載すべき委員会の審査結果等を通知することとなった。
（２）議題２：個人情報保護法いわゆる３年ごと見直しに係る有識者ヒアリングについて
中央大学国際情報学部教授・石井夏生利氏、国立情報学研究所教授／所長
補佐・佐藤一郎氏、東京大学大学院法学政治学研究科教授・宍戸常寿氏、京都大学大学院法学研究科教授・曽我部真裕氏、英知法律事務所弁護士・森亮
二氏、慶應義塾大学大学院法務研究科教授・山本龍彦氏からヒアリングを実施した。
英知法律事務所弁護士・岡村久道氏から都合により意見陳述に代えて、書面の提出があった。
石井氏から、資料に沿って次の説明が行われた。
「最初に自己紹介を兼ねてお話をさせていただくと、私はプライバシーと個人情報保護法の研究をさせていただいている。過去の検討を踏まえて具体的な論点に触れていきたい。
まず、個人情報保護委員会の権限の範囲について、歴史的に見ると1960年
代頃に官民双方における大量のコンピュータ処理による監視問題に対応することから発展してきた経緯がある。監督機関を設置することで中立・公正な個人情報保護制度の運用、高度な専門知識に基づく法の運用が可能になり、かつ公的部門も監督することにより、官民一体的な議論にも資することが可能と考えている。他方で現状の個人情報保護委員会の権限は、個人情報保護に関する法律に加えて、行政機関に対してはマイナンバー法があるが、それ以外の分野に関しては以前から課題として残り続けている。先日、日本がヨーロッパから認定されたいわゆる十分性認定に対してもpartialであることを踏まえると、監督機関の権限範囲の拡大については、検討事項になろうかと考えている。
次に基本原則の制定についてである。基本原則については諸外国の動向を見てみると軒並み定めているという状況が見られる。個人情報保護法の運用というのは国際関係とは切り離せないという点を踏まえると、国外から見てより理解しやすい法制度を一層目指していく必要がある。国内的にも2003年制定時の個人情報保護法では、当初の法案に基本原則が入っていたこともあり、第３条の基本理念よりも突っ込んだ形で基本原則を立法の中で書き込むことが望ましいのではないかと考えている。その上で、データを取り扱うための適法性に関する要件を具体化していくことが、保護と利活用のバランスの観点からも望ましいと考えている。具体的な事柄に入っていくが、特にヨーロッパとの関係で意識しておくべき論点に、同意と契約の問題が挙げられる。中間整理の中にも随所に同意に関する説明が見られるところであり、日本では同意を取得することが適法化を担保するよりどころとなっている。その内容に踏み込んだ議論を行う時期に来ているのではないかと認識している。「通知・選択アプローチ」という考え方があり、本人に通知を行い、本人が通知を受けた事項を理解した上で同意をする。このアプローチがＩｏＴやＡＩの普及するこの時代でも今後も機能していくのかどうか、機能しない場合に代替措置としては保護措置を組み込むプラ
イバシー・バイ・デザインであるとか、信頼できる誰かに任せるといったト
ラストの仕組みについても論点になるかと考えている。同意自体の概念に関しては、ＥＵのＧＤＰＲが同意の要件を厳格に定めており、契約すなわち
合意とは一線を画しているという点も、特に民事法の観点から日本の解釈と大きく異なる。ついては、日本でも同意の定義、有効な同意の要件、同意の撤回可能性についても法律で明らかにしていく必要性を検討していくことが求められるのではないかと提案させていただく。また、国内法的にも様々な法の中でも同意概念が登場しているので、それらの違いを整理した上で、個人情報保護法による適法な同意の条件を定め、また意思表示の合致である合意と、ある種の法益を放棄する同意の違いにも目を向ける必要がある。同意の有効期限についても踏み込んだ検討が求められるようになる
可能性がある。
中間整理はＧＤＰＲをかなり意識したものと捉えているが、一方で柔軟な利用方法を模索する必要があるのではないかと思う。それが公益性についてである。日本では民法で古くから公益法人に関する定めがあり、様々な公益的な活動が実際に行われている。その一部に対しては、例えば個人情報保護法の中で公衆衛生の向上であるとか、保有個人データから除かれる情報などの場面で現行の個人情報保護法制の中でも取り入れられている。他
方ＧＤＰＲを全体的に見てみると、公益的活動を行う場合の例外規定が多数見られ、取扱いの適法な根拠の中にも公益性が登場する。ここで、公益性というものが一体どういったものかを分析し、公益的活動を行う場合に、柔軟な個人情報の利用を認める余地はないのか、といった点を検討してみる価値があるのではないかと考えている。
次に利用停止等に関してである。中間整理の中では利用停止等に関して個人の権利範囲を広げる方向について検討するという記載がある。その観点では、プロファイリングといわゆる「忘れられる権利」があると理解している。まず利用停止の範囲を広げる場合には、予想外の結果をもたらす推知行為に対して、本人が異議ないし苦情を述べられるというのが、プロファイリング対応の一部をカバーすることになると考えられる。プロファイリン
グがもたらす差別に関しては、差別を禁止するということが、純粋なプライ
バシーの利益を超える部分を伴うので、個人情報保護法が一体何を保護する法律なのかといった点からの精査が改めて必要なのだろうと考えている。
十分性認定の中でも、日本法とＥＵ法との違いとして、プロファイリングが指摘されているところであるので、何かしらの立法的な対応が必要と考える。次に「忘れられる権利」に関して、中間整理がいわゆる「忘れられる権利」を想定しているかははっきりしないが、個人情報保護法の中では、消去請求が考えられる。ただしその場合、中間整理に書かれた問題点のみならず、
検索結果の削除請求との関係を整理する必要があると考えている。ＥＵのＧＤＰＲは管理者という法の名宛人の概念に検索事業者を含めてＧＤＰＲ
で全てカバーできるようにしている。他方、日本の場合、人格権に基づく削除請求が争われてきた経緯があり、それに対する最高裁判決も出ている。立法側から検討するのであれば、検索エンジン事業者が個人情報取扱事業者に該当し得る場合があるのかどうか、表現の自由との調整をどうするのか、
プライバシーと個人情報保護の観点をよく整理しないと立法化に踏み切るのはやや心配な点がある。
次にペナルティの在り方についてである。ＥＵ側の機関からは罰金がかなり低いという指摘もあるようで、ペナルティの在り方について論点になると認識している。ペナルティの種類を増やす場合には課徴金を導入するという方法、レベルを上げる場合には罰則の厳格化を図る方法がある。ＧＤ
ＰＲでは行政上の制裁金が絶対必要だとまでは述べていないため、制裁金と同等の効果であると説明できるのであれば、罰則の厳格化という方法もあるだろうと考えている。一方、課徴金については、趣旨を確認する必要がある。独禁法の課徴金が争われた最高裁判決では不当な利得を事業者の元に残さないという趣旨よりは、禁止の実効性を確保する、すなわち違反行為の摘発に伴う不利益を増大させ、経済的利得を小さくして、違反行為の予防効果を強化するといったことに主眼が置かれているようである。そうであるならば、個人情報保護法の中にも課徴金を含めるということが、必ずしも課徴金の趣旨に反するわけではない。計算方法についても、違反行為の予防効果を強化する趣旨に鑑みると、売上額や購入額を算定する必要もなくなる。ただし、課徴金に関しては、導入するとかなり波及効果が大きいものになってくるので、仮に入れるとするならば裁量型の課徴金制度とし、減免制
度を相当広くとる必要があるだろう。その場合に監督権限の行使がかなり緩やかに行われてきた実情がある中で、課徴金制度を減免とセットで入れたとしても事業者側に遵守を促すことができるのか、立法の必要性があると言えるのかという議論は残される。ＧＤＰＲでは制裁金を科す際に相当多くの考慮事項を挙げており、これは中間整理の中でも触れられている。日本で課徴金を入れるとしても、過剰規制とならないようにする必要がある。
様々な考慮事項を法の中に入れた場合、個人情報保護委員会が裁量権を行使する場面が増えてくる。適切な専門性を持って裁量権を行使するといった個人情報保護委員会としての対応が求められる。外国で行われた価格カ
ルテルにおいて、独禁法の国外適用の最高裁判決が出ていることもある。日本で同様の制度を入れると同じ点が問題になると思われるので、域外適用の問題にも配慮し、国外の行為が日本に実質的に同様の効果を及ぼすと言えるのかどうかを明らかにするとともに、検討しておく必要がある。
最後に、個人情報保護条例のいわゆる2000個問題に関しては、同様に情報の開示制度や管理について定めている情報公開条例や公文書管理条例、規則等を含め、地方公共団体横断的な制度の必要性を一体的に議論する必要がある。本来、個人情報保護法は官民一体の統一的な個人情報保護制度が望ましいという面はある。
その他、先日日本が認定を受けることができた十分性認定の関係で申し上げると、執行力を持たせるためには立法上の根拠が必要になることから、補完的ルールの立法化が望ましい。ポータビリティに関しては、ＧＤＰＲの中でもかなり要件が限定されていること、入れたとしても競争環境の適正化をもたらすかどうか必ずしも保障できないこと、競争法の議論からもそう簡単にデータ移転を強制して良いのかという論点がある。プラットフォーマー規制の絡みで、公正取引委員会等での検討が行われているところであり、個人情報保護法での立法は慎重に行うべきというのが私の意見である。
中間整理で２点気になった点があったので述べさせていただく。中間整
理14頁のところに、プロファイリングの説明がある。
「人が介在すればプロ
ファイリングに関しては権利の対象外となる」旨の記載があるが、「プロファイリングの例外が適用される場合に人の介在を必要とする」という規定になっているかと思うので確認されたい。次に同じく34頁の仮名化の説明の中に、ＧＤＰＲ第11条第２項の説明が入っているが、これは権利行使の際の本人確認の規定かと思われるので、仮名化のところに入れて大丈夫かという点が気になった。」
続いて、佐藤氏から、資料に沿って次の説明が行われた。
「自己紹介をさせていただくが、専門的にはＯＳやミドルウェアのシステ
ムソフトウェアを専門にしている。ただ諸般の事情で、平成27年の改正個人情報保護法の議論をした、内閣官房のパーソナルデータ検討会と技術ワー
キングの構成員と技術検討ワーキンググループの主査、いわゆる行政機関
個人情報保護法の改正と地方公共団体の保護条例の策定に関わる議論に加わっている。３つの法、条例の委員会して共通でメンバーになっているのは
おそらく私だけという状態であることから、こういう場に呼ばれたと理解をしている。
では、お手元の資料の１番について、法執行の一元化を挙げた。地方公共団体に、非識別加工情報の導入というものを議論している。情報は地方公共団体が保有するものであるが、非識別加工情報への加工は民間組織が行うという流れが議論されている。つまり、民間事業者が非識別加工情報を扱うことになっているが、その作成機関の所掌というのは現在の議論では、総務省の方で行うという形になっている。当然のことながら、民間事業者は個人情報保護委員会が所掌することとなっているため、段階によって監督機関が異なることとなる。ここで何が問題かというと、非識別加工情報に関わらず、個人情報というのは情報であるため様々な事業者に点々と移転したり、加工されたりということがあるが、何か問題が起きた時に責任分界点がとれなくなるということである。その観点から言うと、法執行に関しては極力一元化された方が、何か問題が起きた時に非常に迅速かつ的確な対策ができるべきであり、ぜひ御検討いただきたい。なお、法と条例そのものの統一や官民との関係については、法律家の方に御意見、御議論をいただければと思う。
次に２番目、プロファイリングである。改正個人情報保護法を議論するパーソナルデータ検討会で、ある意味やり残した案件である。プロファイリン
グは今、非常に多くの事業者が何らかの顧客なり、ユーザーのプロファイリ
ングをしているところであり、プロファイリングにより、例えばサービスの質、提供されるサービスの内容が変わり得るものであり、場合によっては個人の権利利益に非常に密接に関わるともいえる。一方で、断片的な情報で個
人の生活であったり、思想や嗜好が推定するため、間違いが多いなど決して精度が高いとは言わない。また多くの場合、過去に過激な言動がＳＮＳでなされているとそれに依ってしまうところもある。そういった意味で、非常に要注意な情報といえる。ただ現状は、本人が、自分がどのようにプロファイ
リングをされているかという内容もさることながら、そもそもプロファイ
リングをされているかどうかということに関しても、個人は知らないことが多い。その観点から、何らかの法的な裏付けを持って、本人がプロファイリングされていることを知る、またはその中身を知るというのは制度的に必要ではないかというように考えている。
３点目は、匿名加工情報に関して。匿名加工情報に関しては、その前身となる法第23条の適用除外情報に関する提言ペーパーのとりまとめをさせていただいたことがあり、技術ワーキング主査という立場としては、ある意味
でこの制度について関わってきた。まず、匿名加工情報の現状については、いくつかの企業に導入されているところだが、世界的に見ても、かなり先駆的な制度である。現状なかなか普及が進まないと指摘を受けるところだが、
そもそもこの制度は提供側に依ったものであることも踏まえ、引き続き、個人情報保護委員会の方には、制度の普及に向けて匿名加工情報を受け取って利用する側に対しても、啓蒙活動などをしていただきたい。
それから、当初我々はこの制度を作った時には、どうしても同意が取れな
かった時の、例外的な措置としてやっていくというふうにしていた。なので、あくまで例外という形を作ってしまったために使い勝手の悪いところがあった。もう一つ、その技術ワーキングでは、例外であるので、どういうように匿名加工情報が流通しているのかというトレーサビリティを、個人情報保護委員会が把握することについて想定していた。把握するというのは中々、企業の方には抵抗があることではあるが、把握できれば加工を緩くすることができる。加工をする時に、弱い加工をして情報の利活用がしやすい形にしたとして、トレーサビリティがあれば何か問題があっても、個人情報保護委員会の方で監視監督できるだろうという形にしていたが、残念ながらそうならなかったために、やや中途半端な制度になった。
もう一つ、その観点で言うと、私の所属組織も含め、こういった学術研究を行う国立大学法人を含む独立行政法人の場合、大学であれば入試のような業務の関わる個人情報以外に、学術研究のために収集した個人情報があり、これを、匿名加工情報なり、非識別加工情報へ利用しやすいような制度設計を御検討いただければと思う。もちろん、これはむしろ、総務省行政管理局の方に申し上げることかもしれないが、民間からの提案ベースになっていることから、結局機関としての自発的なデータ提供がやりにくいというのが実情である。
もう一つ、細かすぎたので資料に載せなかったが、匿名加工情報の加工基準であるいわゆる個人情報保護委員会規則第19条第５項の取扱いが非常に難しいので、この点については今後ご検討いただければと思う。
次に、あとはかなり細かい話だが、仮名化に関しては、ＧＤＰＲにあって日本にないからというロジックは避けたいところだが、仮名化に需要があれば導入していただければと思う。ただ、技術的な議論は当然必要になってくるだろう。
次に、ターゲティング広告に関しても、中間整理の方にもあるが、クッキーの取扱いをどうするか。これもパーソナルデータ検討会の時も結論が出ずに、報告書をまとめた有識者は私だが、クッキーが個人情報かどうか判断がつかないという結論が書いてある。今回の中間整理はそれに準じた形で書かれているところだが、そもそもこの見解というのは、クッキーが個人情報なのか、プライバシーに係るものなのかの観点から見ているもので、個人情報の観点から結論が出ないが、プライバシーを守る観点から見るところと考えている。その観点で言うと、個人情報保護委員会は個人情報を守る形の組織であるため、あとは認定個人情報保護団体の側の方に個人情報だけではなく、プライバシーの観点から見る形にしていただいて、補完していただくのが実際的と思う。
最後に、パーソナルデータの検討会の方で後日議論することを想定していたのだが、個人情報、個人データ、保有個人データという名称が、ＩＴ業界の用語と必ずしも一致しない。ＩＴ技術者の考えている個人データ、デー
タベースという概念と法律用語は、ずれがあるのは仕方ないが、ずれがあまりにも大きいと誤解または間違った運用の原因になるため、用語については適宜、整理いただければ良いと思う。」
続いて、宍戸氏から、資料に沿って次の説明が行われた。

「私は憲法の研究者であり、前回あるいは今回のヒアリングの対象になっている先生方とは違って、個人情報保護法を専門とはしていないが、先ほどから会議の名称が出ている、パーソナルデータ検討会に若干関わった。その時には、個人情報保護委員会を設置することが、憲法上、独立行政委員会として許されるか、といった観点から私が呼ばれたのだろうと思うが、それ以降、若干、データの保護と利活用のバランスということについて考える機会をいただいており、本日はその観点からお手元の資料に沿って、若干の意見を申し上げたい。また、その意見の内容については、既に委員会においてお示しになっている中間整理に必ずしも指摘されていない点を中心に、意見を申し上げたい。また、制度整備について、必ずしも法律事項ではない、規則やガイドラインの案件かもしれないことについても発言させていただく
ことをご容赦いただきたい。ほぼ全文、資料に書いてあるが、順番に申し上げたい。
１番目は、先ほどの佐藤先生のご発言にも関わるが、私自身は、個人情報保護委員会はプライバシーコミッショナーとしてプライバシーの保護を任務とする機関であるべきであり、また、個人情報保護法もそうであるべきではないかと思う。そのため、個人情報保護法の目的規定において、プライバ
シーないし個人の人格尊重の理念という本法第３条に既にある規定との関を明確にすべきだと考えているところ。その理由は、改正法の解釈・適用において、個別的な事情を踏まえた比較衡量や実質的な判断が必要であることは、実務上も、あるいは判例上も明らかになってきているだろうと思われるが、比較衡量の背景にはプライバシーないし人格尊重といった憲法上の価値理念があるということを明示することは、実務上も、また、先般のＥＵの十分性認定の前提となっている、基本権レベルでのデータ保護に関する権利の保障に日本がコミットしていることを明確にする上でも、重要ではないかと考えるからである。
次に２番目は、石井先生から同意の有効性についてお話があったこと、あるいは佐藤先生の資料にも忘れられる権利について触れられていることと関連するが、データ内容の正確性の確保等について、個人情報取扱事象者に対して、適切かつ合理的な個人データの保存期間の設定を義務付けるべきではないかと考えている。そのような設定は、本人を起点とするパーソナル
データの流通・利活用の促進をする上で、データの正確性を確保する、いつまでも古いデータに依存しないということであると同時に、長期にわたる
個人データの保有・利用によって本人の予期しないリスクが生じるのを防ぐために有益だろうと考えている。また、そのことは本人のコントローラビ
リティを高めることに資するものである。中間整理を拝見する限り、利用停止請求権、いわゆる使わせない権利についても委員会でご検討いただいているものと承知しているが、客観的な、あらかじめのデータ保存期間を定めないまま、個別の利用者からの主観的な利用停止・消去請求権の行使に対して個別対応することは、事業者側のコストも大きくなるだろうと私は考えている。
次に３点目、個人データの共同取得、あるいは共同利用に関して、個人情報取扱事業者の義務を明示する形での法改正を検討すべきではないかと思う。現行法においては、例えば、個人データの共同利用は、個人データの第三者提供の例外という形で、いわば裏側から規定されているに過ぎないものであり、本人のコントローラビリティの確保、透明性の保証が必ずしも十分ではないと思う。むしろ、明確に義務規定を置くことによって、個人情報の取得ないし利用に複数の事業者が関わっている場合、これは本人から見れば１つの取得、１つの利用であるので、本人が誰に苦情を申し立てることができるのかといったこと、あるいは事業者側の役割分担をはっきりさせることに資するのではないかと考えている。
次に４点目、個人情報取扱事業者が、捜査関係事項照会等、公的機関による個人情報の提供の要請に応じるということが、現行法ではあたかも、当然法令に基づくものとして許されるかのような理解があるが、むしろ実質的な比較衡量によるものであることを明確化すべきであると考える。この点に、ＥＵの十分性認定決議において強い関心が払われたことは、委員の皆様においても御承知かと思う。また、やや細かい点ではあるが、そのような公的機関から民間の個人情報取扱事業者に対してパブリックアクセスがあった場合、そのことについての情報は、保有個人データに該当しないとされている。したがって、本人から民間事業者に対して、例えば警察から私の情報にアクセスがあったかの開示請求があっても、あるか無いか自体答えられないということになっているわけだが、これは全体としての透明性に欠くものと思う。もちろん、常に捜査関係事項照会書を開示すべきだということになると、捜査の実効性に色々支障があろうかと思うが、濫用的な照会に対する抑止の観点からも、開示請求権の行使に応じるべき場合があるとすべきように私は考えている。また、アメリカのCloud 法のように、外国、ある
いは国際機関から日本の個人情報取扱事業者に対してパブリックアクセスがあった場合に、それに対して個人情報取扱事業者が個人情報を開示するということが許されるのかについても国際的な調和を目指した検討が必要ではないかと思う。また、ＥＵの十分性認定決議に書かれているとおり、全ての事業者ということは厳しいとは思うが、大量の個人データ、あるいは様々な内容、性質、文脈における個人データを取り扱う事業者に、透明性レポートの公表を促すべきではないかという風に考えている。
この点に関連して５点目、これも既に石井先生、佐藤先生からご指摘のあった点だが、公的部門における個人情報の取扱いについて、個人情報保護委
員会に何らかの権限を認めるべきではないかと考えている。これは、ＥＵとの国際的な調和、ないし官民データの利活用を促進する上で、個人情報保護委員会による保護を確保する点で、必要不可欠であろうと考えている。この点は、先の個人情報保護法の改正の際、パーソナルデータ大綱において積み残しとなっていた論点で、この論点は、議論の優先度が極めて高いものであると私は考えている。その際、やり方はいくつかあり、一番わかりやすいのは提出資料Ｐ２の①のように、委員会において、マイナンバーと同様、行政機関等へも直接的な監視権限を認めるというやり方である。それ以外にも、②個人情報保護法以外の法令、条例の運用に関する苦情の受付、それを受けて助言・勧告する権限を認めるという、もう少しソフトな方法もあろうかと思うし、また③、本日ご出席の藤原委員が座長を務められた、総務省の、行政機関等が保有するパーソナルデータに関する研究会における整理のように、委員会から総務省、そして、総務省から各機関に対して権限行使をする。
総務省から委員会に対して権限行使を求めるといったやり方も考え得るのではないかと思う。
それから提出資料Ｐ３の、御指摘のある、課徴金制度については、海外事業者も含めてエンフォースメントを強化する、とりわけ補完的ルールの規
律内容を遵守させるという観点からも、私は課徴金制度の導入が必要ではないかと考えている。この制度については様々なご懸念もあるところだろうが、2017年４月の独占禁止法研究会報告書において、比例原則、適正手続
ないしは実効的な司法統制を満たした上で、裁量的な課徴金制度を導入す
ることは憲法上問題ないという整理がなされているところで、現在、改正法案が国会に提出されているところでもある。このような議論を参考にした上で、例えば、海外執行当局により事業者が既に課徴金を命じられていることを金額算定に考慮するといった方法もあるかと思う。むしろ、プライバシ
ー・バイ・デザインに事業者を誘導するような形での課徴金の権限行使に関するガイドラインを規定するといったやり方も考えられるのではないかと思う。
残り３点は簡潔に申し上げる。７番目は、補完的ルールについては、法令上の根拠をより明確にすることが、法治主義の観点から望ましいものと考えている。
８番目は、認定個人情報保護団体について、今後、事業者と消費者本人との間の、いわば適切な紛争解決や、通知・同意の具体的な方法や保存期間の設定において、より適切な役割を果たし得るよう、体制強化のための施策を検討すべきだと考えている。
９番目は、制度事項ではないかもしれないが、貴委員会において専門的知見を有する機関として年次報告に加えて、日本社会全体における個人情報・
プライバシーの取扱いの透明性を国内外に向けて高めていただけるよう、
例えば、プライバシー白書のようなものを公表してはいかがかと考えている。」
続いて、曽我部氏から、資料に沿って次の説明が行われた。
「私も、宍戸先生と同様に憲法を専門にしている。このため、個人情報保護法については必ずしも専門ではないし、本日いらっしゃる先生方のように政府の個人情報保護法制に関する検討にも関与したこともないため、外野の立場としてコメントさせていただく。
まずは、Ｐ３の①の故人情報、亡くなった方の情報についてである。中間整理には、本人でなくとも開示できる場合、開示請求権者の拡大という言及があったが、これに関連する最高裁判例が最近出たところ。この判例に私は若干関わっており、御紹介する。具体例は、Ｐ４でお示ししているが、亡くなった人の銀行口座に関する「印鑑届書」を、その方の子供であり法定相続人の方が開示請求した事例について、下級審の判断は分かれていたが、結局、最高裁は開示請求を認めなかった。その理由については、資料にあるとおり
で、その理由は特段変わったことを言っているわけではないが、「ある情報が特定の個人に関するものとして法２条１項にいう「個人に関する情報」に当たるか否かは、当該情報の内容と当該個人との関係を個別に検討して判断すべきものである」、として、本件については、故人の銀行口座に関する「印鑑届書」が「個人に関する情報」には該当しないとして、開示請求を認めなかった。これについては、Ｐ３に戻るが、この判決自体に異論はないところと考えているものの、現行法に亡くなった方の情報に対する規律がほとんど存在しないことによるものであり、しばしば問題になっている。別文
脈ではあるが、ＳＮＳ上のアカウントを亡くなった後どうするかという議論も出ており、今回の個人情報保護法の３年ごと見直しの射程に含まれるかははっきりしないが、今後何らかの規律が求められることになるのではないかと思った次第である。
②のペナルティについては、Ｐ５に記載。中間整理においては、違法状態が委員会の指導等により是正されているため、特段ペナルティを強化する
必要性がないのではないか、というニュアンスが読み取れる。本日の課徴金制度に関する議論においても、拝聴する限りは消極的なように感じるが、果たしてそうなのか。あえて疑問を感じるとすると、Ｐ６にあるとおり、２点疑問がある。まず１点目、指導等で違法状態が是正されているのが実態かということについて、私がかつてフランスにいたということもあり、日本の個人情報保護委員会に相当する、フランスのＣＮＩＬの例を取り上げたい。このＣＮＩＬにおいては、2018年度の年次報告書によると、フランスと日本では、そもそも法律の義務の強さが異なるため、違反の有無や執行状況も違う
ものの、フランスでは、立入検査204件、指導等が48件でこのうち９件について課徴金が課されている。このように、フランス国内においては、立入検査に限らず、非常に強い権限行使が行われている。もちろん、事案によって権限の強さに差異はあるが、このような執行状況についても留意する必要があると思う。次に、２点目に、ペナルティの強化という意見はＧＤＰＲに基づくものと思われるが、やはりＧＤＰＲは世界売上高の４％等に相当する課徴金を課す、というような書きぶりで、グローバル企業に対する執行を含めたものであるといえる。したがって、課徴金制度というエンフォースメ
ント強化の議論については、域外適用の問題と関連付けて議論を行うべきでないかと思う。現在のように、基本的には強制的なサンクションは国内事業者に限る、ということであれば、指導等により是正されているという現状も再認識すべきと考える。それから、Ｐ７では、ケースローの必要性を指摘している。通常、ケースローとは、裁判所の裁判例・判例を意味するが、ここではもう少し広く、委員会の個別事案に対する判断の積み重ねも含めている。こういうものが解釈の明確化・法体系の発展については必要。法の解釈の明確化についてはガイドラインが出されているが、やはりこれらは一般論にとどまり、あまり具体性がない。また、行政機関がそもそも見解を示すべきかについても裁量があり、場合によってはいつまでも決着しないこともあり得る。個人情報保護法に関する裁判所の裁判例も少なく、先ほど御紹介した「印鑑届書」に関する最高裁判例もレアケースで、なぜ最高裁まで争われたの疑問に思うところもある。他方、ＣＮＩＬでは、個別事案においてかなり詳細な部分にまで踏み込んで判断している模様。Ｐ７の事案は、とあるＮＰＯに対して警告を行った決定書であり、これは４頁だが、多額の課徴金を課すような事案では、20頁から30頁にのぼることもあり、公表されるかは別途判断されるが、重要な事案については詳細な理由を付すこともある。このようなことを通じて、解釈の明確化を図っている。Ｐ８では、個人情報の範囲に触れている。これは、個人情報の範囲として議論するのか、それとも個人情報を利用した結果特定の利用方法により不利益が生じたのかというふうに利用の仕方に着目して規制するのか、多様な切り口があるのではないか。Ｐ９では、その他の論点に触れている。プロファイリング規制

については、問題意識は非常によく分かるところではあるが、現状では、若干時期尚早なのではないか。その他、利用停止等については、ＧＤＰＲとは
全体の立て付けが異なることに留意が必要である。Ｐ10だが、域外適用について、事業者の本国によっては、当該国に委ねられない場合もあるのではな
いかという点で、現状のやり方では不十分ではないかと考える。
最後になるが、いわゆる2000個問題や「官民を通じた個人情報の取扱いに関する論点」についても、他の先生方と同様に重要な問題であると認識。」
続いて、森氏から、資料に沿って次の説明が行われた。
「私は弁護士として、事業者、クライアントに対して個人情報保護法の義
務規定のアドバイス等をしている。本日は配布資料に沿って説明をさせていただく。まずＰ２の目次、３節がなくて７節までとなっているが、これは中間整理の項目で、少し省略したような言い方になっており、それぞれについて申し上げたいことを■で項目を挙げている。
初めに、第１節、個人情報に関する権利の在り方で、ここでは取得についての透明性の確保ということを申し上げたいと思う。資料には点線囲みで６頁、８頁と書いているが、これは中間整理のコピーアンドペーストである。
中間整理において個人情報保護法の現在の課題を的確にまとめていただいているというように思っており、そこから出発したいという趣旨でこのように中間整理から引っぱってくるという形にしている。まずＯＥＣＤ８原則と個人情報取扱事業者の義務規定の対応というところに収集制限の原則、中身としては「適法・公正な手段により、かつ情報主体に通知又は同意を得て収集されるべき」という原則に対応して、現在の個人情報保護法では、偽りその他不正の手段により取得してはならない、という法第17条で適正取得が規定されている。中間整理において、「要望等としては、事業者が個人情報を取得又は利用する際に本人の関与を求める意見等が寄せられている」、ということなので、取得についての透明性を確保するということで、
法第17条の偽りその他不正な手段により取得してはならないということは、どちらかというと裏から書かれているわけだが、正面から透明な取得をするような考え方をすべきではないかと思う。ただ、条文をどうするかという具体的な提案ができなかったので、ここは省略させていただく。
Ｐ６だが、やはり第１節、利用停止、消去、第三者提供の停止の拡大に賛成するということであるが、中間整理から引用をしており、「事業者に対す
る不満等のうち、事業者が削除・利用停止に応じないことに関する不満等が最も多く寄せられている。要望等としては、削除・利用停止の義務化を求める意見や、削除・利用停止手続に伴い事業者が取得する個人情報の範囲等について規制を求める意見等が寄せられている。」（Ｐ９）ということで消費者側からはこれを拡大してくれ、という要望があるのだろう、というように思う。他方で、Ｐ12からの抜粋だが、「ＪＩＳ Ｑ １５００１においては、本人の保有個人データの利用停止、消去又は第三者提供の停止の請求を受けた場合は、原則として応じる義務がある」ということで、プライバシーマー
ク取得企業はこれをやっているということである。
Ｐ７、現行法では、保有個人データの利用停止、消去の請求には、法令違反が条件になるということで、第三者提供停止も同じである。御案内のとおりだが、プライバシーマークについては、法令違反が条件となっていない、
無条件で請求に応じている、ということでこれをプライバシーマークＪＩＳ Ｑにそろえてはどうか、ということであろうと思う。私はこれに賛成である。懸念として、「事業者によっては、安全管理上の理由等から、個人情報データベース等を部門ごとに別々に管理している場合もあり、このような場合に全部門の個人データを容易に名寄せし、利用停止等ができるような体制になっているかという論点もある。」（Ｐ18）とある。これについては、
ごもっともであるが、保有個人データの開示請求のときに、「名寄せが困難なので開示しない」というように言えない解釈になっているということと、若干不均衡ではないかという気がしている。
Ｐ８、ＪＩＳ Ｑにそろえる場合、ＪＩＳ Ｑも例外がないわけではなく、
もちろん何でもかんでも請求に応じるというわけではなくて、一定の例外を設けている。ワーディングはＪＩＳ Ｑのワーディングではなく個人情報保護法にそろえてあるが、法第28条の開示請求と同じような例外がある。生命、身体、財産その他の権利利益を害する恐れがある、そういった制限があるということ。
次は第２節、Ｐ10の漏えい報告の在り方ということで、漏えい報告を法令上明記し、義務化すべきではないか、というように考えている。最初の■、明確な義務化がなされていないことから、漏えいの対応が遅れることにより権利利益の侵害のおそれが高まる、という面がある。二つ目の■、他方で、判明した事実の報告であれば、事業者の負担は大きくない。報告の内容をあまり厳しくしなければ、事業者の負担はそんなに大きくないのではないかと思う。むしろ適切なアドバイスを受けることができて、プライバシー侵害による損害賠償請求を回避することができる可能性もあるのではないかというように考えている。
少し省略し、Ｐ11以降、データ利活用に関する施策の在り方である。仮名化データの規制緩和は不適当ということで、仮名化データについて規制緩和すべきではないというように書いてきてしまった。どちらかというと、不適当というか、趣旨が分からなかったということもあり、おそらく石井先生
が先ほどおっしゃったようなことをくどくど言っている感じになると思う。
中間整理の34頁に「ＧＤＰＲの仮名化については、個人データよりも負荷の軽い規律となっており、第11条（2）には、データ主体が、自己の権利の行使の目的のために、自身の識別ができるようにする付加的な情報を提供する場合を除き、第15条から第20条までの規定は適用されないとされている。」とあるが、第15条から第20条まで後ろに書いてあるが、本人から請求してくる場合、訂正してくれるか、消去してくれるか、本人から言ってくる場合、これを適用しない、ということであると思う。さらに中間整理の40頁、「仮名化の検討 ＥＵにおいては、個人情報としての取扱いを前提としつつ、若干緩やかな取扱いを認める「仮名化」が規定され、国際的にもその活用が進みつつある。我が国においても、「仮名化」のような個人情報と匿名加工情報の中間的規律の必要性については、従前から経済界からの要望もあるところである」とある。このあとＧＤＰＲ第11条第２項を引いているので、第11条第１項と合わせて見たいと思い、このように引用している。第11条１項の方だが、「管理者は、本規則を遵守するという目的のみのために、データ主体を識別するための付加的な情報を維持管理し、取得し、又は、取り扱うことを義務付けられない。」ということで、第11条第１項には、ＧＤＰＲを遵守するために、例えば本人からの消去の請求に応じるために、仮名化して、つまり氏名等を切り飛ばして、誰のものか分からなくなってしまった後で、削除してください、と言われた時に「仮名化データはあるんですが、お客様のものかどうか分からないんです」というようなことを回避するために事業者が氏名を位置付けようという考え方をしなくていい、ということが第１項に書いてある。第２項、「本条第１項に定める場合において、管理者がデータ主体を識別する立場にないことを証明できるときは、データ主体が、それらの条項に基づく自己の権利の行使の目的のために、自身の識別ができるようにする付加的な情報を提供する場合を除き、第15条から第20条は、適用されない。」という規定になっている。１項と２項と合わせるとこんな感じである。その後２枚のスライドは、ＧＤＰＲの関連規定、データミニマ
イゼーションに関する規定なので、省略させていただく。Ｐ17、そもそもＧ
ＤＰＲにおいて、仮名化データの規律が個人データよりも負荷の軽い規律になっている、とは言えないのではないか。これは、見方というか考え方の問題かとは思うが、そういうところもあるのではないか。ＧＤＰＲ第11条第１項は、ＧＤＰＲの義務を果たす目的のためだけに、本人を識別できる情報を持つ必要はないという趣旨であり、ＧＤＰＲ第11条２項は、本人から事業者に対して、本人の個人データに関する請求があった場合に、本人が識別できる情報を持たない事業者は、これに対応しなくていい、ただし、本人が識別情報を提供する場合には、対応すべき、という趣旨であるということである。
「お客様の情報かどうか分からなくなってしまいました」といったことに対し、「いやいや私はどこの店舗で何を買ったかというレシートを全部持っている、これを見よ」と言われれば、「それならば３枚くらいあれば、どの情報か分かります」ということで対応できる場合には対応せよということ。３つ目の■、日本法だが、本人が識別できなくなっている場合、もう元
データもありません、誰か分からなくなってしまいました、一人一人の履歴は分かるが、どなたのものか分かりません、というような状況では、これは原則として個人情報ではないのではないかと思うので、そもそも個人情報に係る義務を負っていないのではないかというように思う。Ｐ18、仮名化データについて、何らかの規制緩和を提供するということになると、安全な仮
名化とはどういうものかとか、仮名化データについて何らかの義務を課す
べきではないか、というようなことになると思うが、これは匿名加工情報の在り方の議論とほぼ重複するのではないかと思う。匿名加工情報は、一意のデータを許容し、何だったらデータべースの中全部一意のレコードでも良い、規則第19条の第１号から第５号の加工はしなければならないが、それを満たしていれば、一意のデータであっても良いわけである。その場合、安全な仮名化というものは、匿名加工情報というものと非常に近づくのではな
いかと思う。
その次にスコアリングについて、これは非常に深く知見をお持ちの山本先生の話があると思うので、省略させていただく。
ターゲティング広告と個人識別符号の拡大ということで、中間整理41頁、「ターゲティング広告のベースとなるウェブ技術は進化が著しく、本来、イ
ノベーションを阻害することを避ける観点からも、まずは、自主ルール等による適切な運用が重要である。自主ルール等については、強制力や自主ルール等に参加していない者の存在など、一定の限界があるのも事実であるが、」とあり、どちらかというと自主ルールで対応すべきという考え方だと思われる。二番目に、「クッキー等について、例えば、一定の要件に該当するものについて個人情報保護法上の個人識別符号とするなど、その位置付けを明確化することも考えられるが、クッキー等自体は、「識別子」としてセッ
ション管理を含め広範に用いられる技術であり、これこれであるから、個別に規律する必要性含め、慎重に検討する必要がある。
」というようになっている。Ｐ22、やはり、識別子を使って多くの情報が突合されるということの危険性がプライバシーのリスクとして認識されているのではないかと思う。
３番目の■だが、平成27年改正の際に個人が特定されなくても個人が特定されるおそれを招くものとして、たくさんの情報を突合する識別子を規制対象とすることが検討された。これは、パーソナルデータ検討会技術検討ワーキンググループで、佐藤先生が主査をされていたが、そのときに一定の識別子を保護の対象とすることを検討すべきではないかということが議論され、Ｐ23、これは若干姿を変えて、平成27年改正の個人識別符号の導入、ということになったのではないかと思う。当時の平成27年改正の際の問題意識というのを今般の問題意識、先ほどの中間整理の中に、位置情報なども併せて突合する、平成27年当時よりもさらに多量の情報が突合できる状態になっているかと思うので、ターゲティング広告などに用いられる識別子のうち一定のものを個人識別符号として定義する、ということには意味があるのではないかと思っている。その際には、政令に入れる際の基準としては、本人との密接関連性、一意性、共有性（複数の事業者が同じものを持っているということ）、不変性、本人到達性などが考えられるのではないか。具体的には、メールアドレス、携帯電話番号、ＭＡＣアドレス、スマートフォンの広告ＩＤ等が当たるのではないか。クッキーは若干ハードルが高いかと思うが、そのように書いている。
Ｐ24、第５節ペナルティの、課徴金のところ、これは先生方の意見に賛成である。特に、曽我部先生が御指摘された域外適用とセットで考えるべきではないかということについて、全くそのとおりと思う。国内の事業者に対して十分な法執行をしなくても運用できるのだから、課徴金は要らないのではないかとあるが、事業者はそのレピュテーションリスクを恐れて、無理なことをしないという状況にある。ところが、海外の事業者はレピュテーショ
ンリスクはあまりない、そもそもあまり叩かれたりしない、やはりグローバ
ルな観点からいうと、さほどレピュテーションリスクを恐れていないということかと思うが、そことのセットで考えたいということである。
次の域外適用等というところだが、やはりこの域外適用が私としては重要だと思っており、Ｐ28で引用した、中間整理でも53頁で、「域外適用については、現行法の域外適用の範囲や、執行手法について、各国主権との関係整理の視点も含めて、引き続き検討する必要がある。他の国内法の状況も勘案して検討する必要がある。」とあり、他の国内法の状況というのが重要なところであると思う。第75条の条文を下に引っ張っており、第15条から始まって、第36条のところまでが義務規定、それから第41条から第43条及び次条というところが処分と行政指導ということになっており、これを適用するということである。Ｐ29、域外適用を定める第75条は明文上は書いてないが、本人からの直接取得を要件としている。そのため、本人からの直接取得のな
い、第26条の確認記録義務は、第75条の域外適用の範囲外となっている。その下は参考である。Ｐ30、本人からの直接取得を要件にするのは、わが国と十分な関係性のない外国事業者の取扱いに対する域外適用を認めることが主権侵害のおそれがあるから、ということである。しかし、本人からの直接取得の有無によって「わが国との十分な関係性」があるかどうかを直接取得の基準とするのは必ずしも適当と言えないのではないかと考えている。むしろ、わが国との関係性の有無の判断基準は、「国内にある者に対する物品又は役務の提供に関連してその者を本人とする個人情報を取得した」か否か、これで判断できるのではないかというように思うので、直接取得要件を不要にして、第26条等の義務規定を第75条に追記すべきではないかというように思う。Ｐ31にＧＤＰＲが書いてあり、ＧＤＰＲには直接取得要件がな
いということが書いてある。先ほどのＰ28の第75条の条文に戻っていただ
き、第36条までのところが義務規定で、それ以降が処分と行政指導ということだが、今前半の義務規定の方のことを申し上げた。第41条以下については、
本当はこちらについても行政指導はできるが処分はできないというのはおかしいのではないかと思っているが、これは上のところの「他の国内法の状況も勘案して」、他の法律も概ねそうであるから、ということでなかなか個
人情報保護法だけの論点にしにくいのではないかという趣旨かと思うが、そういう意味では個人的には他の法令がおかしいのではないかと思っており、最近ルールのハーモナイゼーションということが言われており、国際的にさほど凸凹のない法律が良いのであるということを言われる。個人的には、法律はその国その国のものだろうと思っており、ハーモナイゼーションにはさほど賛成ではない。ただ、外国の主権を侵害するかどうかということについては、やはりほぼ同じであるべきではないかと思っており、ＧＤＰＲ
が日本の主権を侵害しているというような話がほとんどない中で、日本のデータ保護法が外国の主権を侵害することばかり問題にするのは不均衡ではないかというように思う。
最後に、「その他」のところであるが、条例の統一化、委員会の所管の拡
大は、他の先生方のご指摘のとおりである。石井先生、宍戸先生のおっしゃったとおりである。その後は解釈論なので、省略したい。」
続いて、山本氏から、以下のとおり口頭で説明が行われた。
「本日は、憲法的な観点から個人情報保護法に関する意見を述べさせていただく。貴重な機会を設けていただき感謝申し上げる。意見は、大きく分けて３つある。１つ目は、プロファイリングについて。２つ目は、法第 38 条の識別行為の禁止について。３つ目は、基本的な方向性と課題について述べることとする。

１つ目のプロファイリングについては、様々な問題の核心であると考えている。プロファイリングは、プライバシー上のリスク、ケンブリッジアナ
リティカ事件について考えると民主主義へのリスク、消費者保護上のリス
ク、といった様々なリスクの根源になっている。他方で、ターゲティング広
告等では、ビジネスの基本となっている部分もあるため、保護と利活用のバ
ランスをどのように図っていくかは、難しい問題であると認識している。ただ、何も検討しなくて良いということではない。法第 17 条第２項は、要配慮個人情報の取得には本人同意が必要である旨を定めた規定である。しかし、プロファイリングを通じて要配慮個人情報を「取得」または推知することについては、具体的な規定がない状況である。それによって、ある種のダブルスタンダード、つまり要配慮個人情報の取得には本人同意が必要であるのに、プロファイリングを通じて要配慮個人情報を「取得」・推知するにはそれが不要であることをどのように考えるかが問題になろうかと思う。
また、ＡＩが使われ、プロファイリング技術が高度化していくにつれて、「取得」という行為と「推知」という行為の境界が曖昧になってくる。ここで、両者を区別しておく必要があるのか、それとも相対的・一体的に捉えていく必要があるのかという点は、非常に重要な課題である。
ちなみに、医療分野において、ＤＮＡサンプルを解析して、そこからゲノ
ム情報を取得することについては、法第 17 条第２項に該当すると考えられているようだ。ＤＮＡサンプルの解析行為が、要配慮個人情報の取得に当たるとすると、本人同意無くサンプルを「解析」することを禁止しているということになり、プロファイリングという「解析」行為をどのように位置付け
るのかということに示唆を与えると考えている。
こういったプロファイリングへの対応として、３つの考え方がある。１つは、現行の個人情報保護法を改正せずに解釈や運用によって対応する考え方である。例えば、法第 15 条、第 18 条において通知・公表が求められる利用目的の中に、要配慮個人情報をプロファイリングするということを含めるという方法である。こう考えると、こういったプロファイリングを利用目的として、通知・公表せずに実施した場合は、目的外利用になり利用停止の対象となってくるという解釈が可能になってくる。ある種のオプトアウト
が現行法においても解釈上可能になるということである。政治的信条をプ
ロファイリングする場合も、利用目的として掲げるべきと考えることによって、ケンブリッジアナリティカのような事件に一定の歯止めがかかると考えている。ただ、この考え方には、２つ課題がある。１つは、個人情報の提供先である第三者がプロファイリングにより要配慮個人情報を自動予測する場合である。第三者提供がなされる時点では、情報が相手に渡るまでは通常の個人情報であることから、オプトアウトで抜けてしまうことになり、提供先でプロファイリングを行い、要配慮個人情報を自動予測することについて有効な歯止めにならない可能性がある。もう１つは、プロファイリン
グ自体が「利用目的」ではないのではないか、という点である。つまり、プ
ロファイリングは、現実には、マーケティングという目的の「手段」であり、これを利用「目的」と解することは、やや無理があるかもしれないということである。また、法第 17 条第１項は、個人情報の適正な取得を求めているが、例えばＳＮＳの公開情報をクローリング等の技術を使って網羅的に収集して、そこで集積した情報から要配慮個人情報をプロファイリングする
場合、不正な手段による情報取得として捉えるという考え方があり得る。
元々、法制定時に法第 17 条が想定していた取得と、クローリング技術等を使った網羅的取得には、「ずれ」がある。こうした技術を使って網羅的・自動的に情報を収集し、これをプロファイリング目的で利用することについて、法第 17 条の適正取得という観点から統制していくアプローチである。
ただ、この方法では、目的を要件化することになるので難しいかもしれない。
次に、法第 17 条第２項の要配慮個人情報の「取得」の中にプロファイリン
グを含めるという考え方である。ただ、自動予測、推知、取得といった概念を同視できるのかという問題と、要配慮個人情報に当たらない事項のプロ
ファイリングはコントロールできないという問題もある。最後に、今後いく
つかの事業者が利活用するであろう「信用スコア」について触れておく。このスコア等については、要配慮個人情報に含めるという考え方があろうかと思う。信用スコアは差別や偏見をもたらす可能性があるためである。こう考えると、信用スコアを第三者提供する場合はオプトインでなければならないことになるため、信用スコアについて、ある程度本人のコントローラビ
リティを高めることができる。以上が、現行法の解釈・運用による対応になる。
２つ目として、個人情報保護法の改正による対応もあると思う。例えば、
プロファイリングや自動予測について定義規定を設けて、通知・公表を求め、利用停止の対象とすることで、ＧＤＰＲと同じようなオプトアウトの手続を整備することができる。この改正による対応のメリットは、先に述べた、現行法の解釈による対応の困難性を回避できることにある。また、プロファ
イリング等の明確な定義を設けることによって、利用停止の範囲を過剰に拡張しないというメリットもある。例えば、マーケティング目的での利用は一般に許容できるが、プロファイリングを用いたマーケティングはされた
くないという細かなニーズに対応することができる。したがって、プロファ
イリングという情報処理の一段階を法律上明確にするということは意味のあることだと思う。
３つ目として、他の法制度による対応ということが挙げられる。プロファ
イリング自体が実害を引き起こすのではなく、プロファイリングの結果の利用の仕方が問題になるという考え方に立つと、消費者保護法制による対応や、政治的信条をプロファイリングする場合に選挙や国民投票等に影響が及ぶことを踏まえ、選挙法制による対応が考えられる。こういった対応をとる場合には、個人情報保護委員会と他の機関との緊密な連携が重要になってくると思う。
ただし、こうした３つの対応策を講じたとしても、更なる課題として匿名
や仮名の状態でのプロファイリングが行われる場合について、有効な対応ができないという問題がある。私は、匿名等され、特定個人識別性がロンダリングされた世界を「集合界」と呼んでいるが、この集合界でもプロファイ
リングはなされる。しかし、この場合はあくまでも集合界の範疇でありプラ
イバシーリスクが低減されているとすると、プロファイリング結果の使い方の問題として他の法制度に問題解決を委ねるという方法もあろうかと思う。ここでも、他の法制度との連動が重要になってくる。
２つ目として、識別行為の禁止の実効性を強化すべきであると考えている。今後、「Data free flow 」というコンセプトのようにデータをどんどん回していく世界、集合界、と個人の関与を高めていく世界、個人界の両者を同時進行させていかなければならない。そこで重要になってくるのが、個人界と集合界との切り分けである。両世界の峻別を担保するために、制度上重要になるのが法第 38 条の識別行為の禁止である。この識別行為の禁止が実効的でないと、両世界が混濁していく可能性があるので、識別行為についても制裁を厳しくするなど、漏えいと同様、非難可能性を高める必要があると思う。自由に利活用するならば、「個人を特定しない」というけじめが重要だと考える。
３つ目の全体の感想と課題についてであるが、中間整理は本人関与への期待の高まりを意識したまとめになっており、方向性については高く評価できるのではないかと思う。ただ、基本的人権との繋がりが希薄であると感じられる。３年ごとの見直しと関連して、個人情報保護法が憲法上の基本的人権の具体化法であることを法律上明確にするか、あるいはそれ以外の方法で明確にすべきと考えている。なぜ、こういったことを考えるのかというと、現在日本でのプラットフォーム規制は、まずは主に競争政策としての観点から議論されている。最終的には、競争政策や経済の調和的発展という観点と、個人の権利という観点の両方がプラットフォームの規制を考える上で重要である。現在は、競争政策の議論が先行しているが、個人の権利という観点を重要視して両輪で進めていくためには、個人情報保護法の位置付けは重要になってくると思う。
今後は、信用スコア等のデータ上の評価が個人の人生にとって重要な意
味をもってくる。実存する個人よりもデータ上再構成される自分の「分身」の方が重視される。こう考えると、自らのデータに対する関与を基本権として位置付けていくという姿勢はより重要となってくると思う。
もう１つは、今後の議論の在り方についてである。例えば、法第 17 条第１項における不正な手段による取得と、独禁法における優越的地位の濫用による取得とがどのような関係に立つのかなど諸制度間の整合性の検討や連携が重要になると考えている。独禁法の領域では、事業者が優越的地位を濫用して消費者に対して事実上、同意を強制し、情報を取得することを独禁法上の違法と構成できないかという議論が進んでいると聞く。こうした取得は、同時に個人情報保護法上の不正な取得に当たるのかという点について、議論をしていく必要があるのではないか。今後は、競争政策の観点だけ
でなく、データの海外移転については安全保障の観点も重要になってくるのではないかと思われる。個人情報保護法の見直しに当たっては、他の法制度とのハーモナイゼーションや全体的視点からの検討が必要であると思う。
最後に、完全自動意思決定の規律を個人情報保護法の中に入れるのかどうかという点について一言触れておく。要配慮個人情報の定義に差別や偏見といった言葉が含まれていることから、個人情報保護法は差別されない利益についても配慮しており、差別や偏見をもたらしうる完全自動意思決定について、個人情報保護法の中で議論することが必ずしも妨げられているわけではないのではないかと考えている。」
嶋田委員長の進行により、質疑応答が行われた。
嶋田委員長から、「皆様非常に熱心にお話いただけたと思う。折角のこの機会に、私から４点ほど御質問させていただく。それらについて、全部でも構わないし、その御関心事項を中心にお答えいただいても構わない。既に御意見を頂戴している分野もあるが、再度整理する形で御意見を伺えたらと思う。
まず一番目は、今後のあるべき法の姿として、端的に、どういった目的を軸に据えるべきであるとお考えか、ということについて御意見を伺いたい。
二番目が利活用について、今回の見直しについては、保護と利活用のバランスが重要であると言われてきている。各方面のご提案は全般的に保護するべきとのご意見が多かったが、利活用を促す観点から、さらに頂ける御意見はあるか。

三番目が、外国事業者に対する法執行については、様々な状況から内外無差別を主張する意見が他のヒアリングを含めて多くあるが、主権との関係もあって難しい面もある。既に御意見を頂戴しているが、更に追加して何かあるという方は是非御意見いただきたいと思う。
四番目に将来の課題・リスクで、今、ある程度将来を見据えて対処すべき
課題、リスクについて、更に何か御意見がある場合には是非お話いただければと思う」旨の発言があった。
嶋田委員長の発言に対し、石井氏から、「まず一点目のあるべき法の姿に関しては、既に宍戸教授からご指摘があったように、基本権としてのプライ
バシー権を目的規定にきちんと入れた上で、官民双方の一体的な立法をして、監督機関がそれに対しきちんとした執行権限を持つべきと考える。官民双方一体的な立法を行うというのは、歴史的な経緯から見ても望ましい。また、個人情報保護法は何を保護しようとしているのかを憲法との結びつきを踏まえて立法上明らかにするという点を考えると、プライバシー権をきちんと基本権として第１条に定めることが望ましいと考える。
個人情報の利活用に関しては、私の報告の中でも若干触れたが、公益性のある利活用を幅広く認める余地はないかという点が、特にＧＤＰＲとの関係で気になっている。ＧＤＰＲの中でも様々な文脈の中で「公共の利益」という文言が用いられており、これが利活用を認める余地につながっていく。
また、認証の仕組み、行動規範の仕組みがＧＤＰＲの中に入っていて、例えば制裁金の軽減要素等に含まれているが、必ずしもヨーロッパの議論は進んでいないようである。ただし、もしかしたら認証の仕組みがうまく使える
可能性が今後出てくるかもしれない。
外国事業者への法執行に関しては、外国で行われた価格カルテルについて日本の独占禁止法の域外適用を認める最高裁判決が出ており、域外適用の要件を整理することによって法執行を行う余地があるのではないか。まだ考えはまとまっていないが、独占禁止法の最高裁判決等を参考にしつつ検討をすることになると考える。
将来の課題に関しては、現状では、ヨーロッパのＧＤＰＲが国際的な場面で存在感を発揮していて、日本もそれに引っ張られているような状況がある。３年ごとの見直しを行う度に必ずＧＤＰＲの規定が参考にされると思うが、日本の実情とあまり乖離し過ぎないように注意が必要である。ＥＵから十分性認定を受けた時期であるから仕方ないところだが、少し引いた目でヨーロッパの状況を見る視点が必要である。」旨の発言があった。

佐藤氏から、「一番目について、個人情報保護法にプライバシー保護の観点を取り入れることが重要ではないか。
二番目について、匿名加工情報制度を考える際に、加工をどの程度行うかという点と、委員会がどこまでエンフォースできるかという点は相関がある。トレーサビリティの確保も含め、委員会による監視監督機能を高めることができるならば、加工に係る規制を緩和してバランスをとることも考えられるのではないか。
また、匿名加工情報以外の利活用促進の方策として、個人情報を取り扱う
際に本人から同意を取得しやすくすることが考えられるが、そのためには、
情報提供先の事業者に対する本人の信頼感を高めることが重要。本人が事業者を信頼できるように委員会が事業者を適切に監視監督することが、利活用の促進につながるのではないか。
四番目について、プロファイリングやターゲティング広告等、この分野は情報技術の進展が早い。内閣官房のパーソナルデータに関する検討会で議論していた時点から状況が変化しているので、委員会は技術的な視点からも状況をフォローし、先回りは難しいとしても、新しい策を検討することが必要ではないかと思う」旨の発言があった。
宍戸氏から、「それぞれについて簡潔にお答えしたい。まず、１つ目のあるべき法の姿は、先ほど来、プライバシーや個人の人格尊重の理念についてということで申し上げたが、基本的には、一言でいえば、データへの自由を実現する法律であるということになっていくのではないかと思う。当然これはデータが利活用されることによって、本人ないし社会の利益が生まれていくという、いわばデータによる自由との調整が同時にこの法体系の中では必要である。その点では先ほど、曽我部先生がご指摘になったように、
いわばケースロー的な、事前規制でガチガチに決めてあるというよりは、遊びの部分を残して、紛争とか苦情を解決する。あるいは先ほど申し上げた課徴金によってひどい場合には制裁をくらわすという中で、ルールメイキン
グをしていくといった法体系へと転換が求められるのではないかと思う。
２点目、保護と利活用のバランス、とりわけ利活用ということだが、現在、私や森先生、山本先生は情報銀行の検討にも関わっている。今回中間整理にまとめていただいたように、こういった本人のコントローラビリティを高める、それと同時に事業者の側でプライバシー・バイ・デザインや、ＰＩＡのように、やるべきことをやって、自由に、ある程度データを活用する、あるいは、佐藤先生がおっしゃったように、そのための技術開発をしていくのであれば、何かあった時の責任を免除するような、いわば事業者とか技術、

あるいは本人のコントローラビリティを引き出していくことが、利活用の関係で、個人情報保護法制には求められるのではないかと考えている。
３点目、海外事業者に対する法執行について、本日御欠席の岡村先生からペーパーが出ているが、そのうちの４番目について、いわばデータ代理人のような日本国内連絡機関の設置を、例えば大規模事業者に義務付けてはどうかというようなご提案があった。 そのような機関として、事業者として何を指定するかということは問題になり、現在、総務省においては、通信の秘密の域外適用について議論しており、私も関わっている。そこにおいては、
本来守るべき日本国民の法益は適用する、その実施の在り方については、ある種、フリンジ部分については共同規制的なものを考えているところ。委員会においても主要な事業者において、日本社会の構成員についてのデータ
プライバシーを多く扱う事業者との関係で、ある種のアグリーメントを結ぶような形で、真に国民にとってデータによる自由とデータへの自由を調和させるような方向を促していくということも求められるのではないかと考えている。
４点目、将来の課題だが、今後、先ほどお話のあった、社会的スコアリングの問題やＡＩの問題を考えると、先ほど私は、プライバシー白書ということを申し上げたが、社会全体の透明性を確保していただく、その司令塔として個人情報保護委員会の皆様には活動していただく。フェイスブックのいいねボタンがそうだったかと思うが、問題を早期に発見して手を打つ、広く国民に発信していただく取組をしていただくことが必要かと思う。さらにその先として、データへの自由、データによる自由ということを申し上げたが、根源的な人権としてはデータからの自由、個人が最終的に自由にデータ化されない、拒否するという、根源的な人権が、データ主導型の社会に残り続けるのかと思う。この点については私もよく考えていきたいと思っている」旨の発言があった。
曽我部氏から、「まず、あるべき法の姿については、憲法の基本権との関係性を明確にするということは既に御指摘のあったとおりで、強く賛同したい。また、やはり法律でしっかり定めるべきは定めることが重要。法治主義という考え方が、この間いろんなところで問題提起されていたところだが、この原則は、改めてしっかり考えていくべきと感じている。
二番目に、利活用については、今まで御発言があったとおりで異論はない
が、もっと単純な話で申し上げると、人材の育成というか、既に利活用の制
度は様々ある。匿名加工情報を含めて、これから情報銀行も立ち上がっていく中で、かなり利活用のための手法、制度は用意されているわけで、それをしっかり、どう活用していくかというところで、個人情報保護法制に詳しい
人材、個人情報に関わる技術に詳しい人材、それから個人情報に関わるビジネスに詳しい人材をどういうように広げていくのか、ということが重要ではないかと思っている。その中で個人情報保護委員会に何かできることがあるのかどうか、いま具体的な提案はないが、こういう角度も必要だと感じた次第である。
それから、外国政府について、私も岡村先生の御提案がオーソドックスな提案かと思う。これ以上、具体的な提案というほどのものはない。
最後の、将来的な課題・リスクについて、構えの問題として、対処としては漸進的にやっていくしかない。すなわち、抽象的なリスクを課題に挙げてイノベーションを阻害することは不適当である。そういう意味では漸進的に行くしかない。しかし、適時な対応は当然必要なわけで、委員会においては、それぞれ色々な専門家、企業等の動向、あるいはコミュニケーションを密にしていただき、いち早く問題点を発見されて、幅広く議論をしていくよ
うな、いわゆるプラットフォーム的な役割が求められるのではないかと感じた」旨の発言があった。
森氏から、「最初の「あるべき法の姿」については、先生方の御指摘のとおりであり、プライバシー保護法にするということ、そして、公的部門に対して個人情報保護委員会の所管が及ぶようにするということかと思う。また、様々なルールを一元化するということも重要であると思う。
二番目の「利活用」について、利活用の要諦はグレーゾーン解消をおいてないと考えている。実際に事業者から相談を受けている立場からすると、どこかに書いてあれば、「Ｑ＆Ａのここに書いてあります」というように教えてあげられるが、そうでない部分について非常に苦労をしている。先ほど山本先生が仰っていたこととも深く関わるが、本日のスライドの後ろにも事業者が悩んでいることを書いている。事業者としては、活用するなら活用する、できないならできないということで諦めるのだと思う。ＪＲ東日本の乗降履歴の件も、グレーゾーンの中で発生したことだったのではないか。事業者としては、ルールに違反しているのではないかと言われ、バッシングを受けることを非常に恐れている。そのようなことが起こらないよう、ルールを細かいところまではっきりさせるということは、一面では、事業者が叩かれるかもしれないリスクを個人情報保護委員会で引き受けてもらうことになるが、そこは、踏み込んで細かいところまで判断を示していただくのが良いのではないか。
他方で、規制緩和ができる条項はないかとの点については、なかなか難し

いのではないか。一方ではＧＤＰＲの十分性認定を維持するとの観点があり、補完的ルールで対応しているが、補完的ルールも法制化した方が良いのではないかとの意見もあるところ、全くそのとおりだと思う。その際、内国民と外国人の違いがあることをどう考えるのかというような問題も出てくる。個々の条項を規制緩和するには難しい部分があり、グレーゾーンの解消をすることが「利活用」の答えではないかと思う。
三番目の「外国事業者に対する法執行」については、既に話したため、申し上げない。
四番目の「将来の課題・リスク」について、先程は省略したが、スコアリ
ングについてスライドに記載している。これからデータ利活用が進むと、色々な形で社会に影響を与える部分があるかと思う。例えば、よく言われることとしては、スコアリングで一般的に利用されるような指標に個人が迎合し、それを獲得しようとして努力することにより、指標と信用力の相関性が更に強化されることとなるなど、社会が変わっていく面もあると思う。もちろん、本人は、同意の上、「良いスコアをもっているので使ってもらいた
い」ということになるが、ある意味では、本人の権利ではなく、社会がどうなっていくかということについて、個人情報保護法や個人情報保護委員会として介入するのか否かという点が課題になってくるのではないかと思う」
旨の発言があった。
山本氏から、「一番目について、憲法上の基本権との関係性を明記すべきと考える。ＥＵのＧＤＰＲは、ＥＵの憲法とも言われている基本権憲章第８条を具体化したものと考えられている。データを守るということがどのような意義を持っているのかということを明確化することが重要なのではないか。
二番目については、個人の世界とアセットの世界、すなわち集合の世界との切分けが必要になると考える。アセットの世界は自由な利活用のために開かれることが重要だが、識別行為の禁止や、安全性・セキュリティが担保されてはじめて自由になるのではないかと考える。
三番目は他の先生方の御指摘のとおりで、四番目については、いわゆるスコアリングの問題を懸念している。ロースコアを付けられた人が、就職等、その後の人生をどう生きていくこととなるのかについて検討していく必要があると考える。例えば中国では、スコアが融資場面を超えて広く用いられているようだが、スコアが低い人は、自律的な社会生活を妨げられる恐れがある。逆に、森先生も御指摘のように、ハイスコアの人はスコアを使いたいと考えることとなり、スコアを使わない人はスコアが低い人と同視されてしまう。この点で、本人のコントローラビリティをどこまで認めるかという問題が出てくる。当面、このような情報も要配慮個人情報として位置付けていくこととなるのではないか。さらに、民主主義との関係で、ケンブリッジ
アナティリカ事件も然り、スマートフォンから得られる情報から自分の属性がプロファイリングされて、一定の情報だけが送られてくることで、考え方の偏りにつながる可能性がある。このように、民主主義の観点等総合的に見ていく必要があり、この点で他機関との連携・協議も不可欠であると考える」旨の発言があった。
嶋田委員長から「多岐に渡った非常に多くの御示唆を含んだ御意見を頂戴し、感謝。また、当初ヒアリングをお願いしていた弁護士の岡村久道先生から、出席は困難であったが意見書を提出したいとの御申出があったた
め、本日は資料として配付した。引き続き、私どもも様々なステークホル
ダーの方々に個人情報保護をめぐる意見を聴きながら、課題を整理し、審議をさらに深めてまいりたい」旨の発言があった。
以上