個人情報保護法は何を守り、どこに向かっていくのか？
〜理論的基礎を固めた法の設計の必要性
新潟大学 教授

鈴木 正朝1

ポイント〇平成 27 年改正法〜平成 15 年法からの質的な転換・主務大臣制から独立行政委員会制へ
・何人にも適用される直罰規定の新設（刑事規定）
・裁判上の開示等請求権の創設（民事規定）〇十分性認定による影響
・３年ごとの見直し（永続的改善）と GDPR
・告示による拘束性？弥縫策の限界（法治主義との関係）
・リスボン条約―GDPR という基本権の具体化法との対等性
総論
１．法目的の明確化
第一に、情報を提供する個人の、自らの情報の取扱いに対する関心や、関与への期待が高まっており、個人情報保護法第１条の目的に掲げている「個人の権利利益を保護」するために必要十分な措置を整備することに配意しながら制度を見直すことが必要である。

（１）法目的の曖昧さ
個人の権利利益の保護は、日本国憲法の下にあるすべての法律に通底する目的ともいえ、必ずしも個人情報保護法固有の目的を端的に示すものとはなっていない。個人情報保護法は何を守るための法律か、歴史を振り返りながら、あらためて確認し、明確に示す必要がある。
（２）歴史をふりかえる（日本の場合）
昭和 57 年に発行された行政管理庁行政管理局監修による『世界のプライバシー法1

新潟大学 大学院現代社会文化研究科・法学部 教授、及び理化学研究所 革新知能統合研究センター（AIP）情報法制チームリーダー、一般財団法人情報法制研究所（JILIS）理事長 兼務

1

（改訂版）』（ぎょうせい）によれば、その１頁で問題の輪郭として次の４点をあげる。
① 人間疎外「電子計算機へ入力可能な、数量化された情報への過度の依存、人間と人間との直接の接触の喪失、機械による人間の制禦･･･」② 政治的、社会的権力の集中③ 基本的人権（特に政治、信条、思想等の自由）の侵害④ 個人の具体的な権利、利益の侵害「多くは、①、②、③と結びつけて論ぜられるものではあるが、個人の具体的な権利や利益の侵害それ自体を問題とするものである。
」
要するに、①、②、③の視点を欠落した、いわば裸の「個人の権利利益の保護」になっている点が問題である。
①は、電子計算機、機械（過去においてはパンチカードシステム、今日ではＡＩ）への過度の依存と人間の制御に関する脅威から保護する視点が欠落した。この点に対応する本法の中核となるべき個人情報取扱事業者の義務が規定されていない。すなわち、プロファイリング等自動処理の規律を欠いている。
②は、まさに独立行政委員会としての個人情報保護委員会創設に関係する。マイナンバーによる政府の一元的集中的管理の脅威に応えるかたちで、公的部門の監督機能を有するに至った。（このことは「番号法大綱」中に住基ネット違憲訴訟最高裁合憲判決との関係にも示されている。）マイナンバー以外の自治体を含む公的部門の一般個人情報が委員会の監督下から外れている現状は、この点の趣旨が徹底されておらず課題として残っている（いわゆる個人情報保護法制 2000 個問題における権限問題）。
③は、難解なプライバシーの権利との関係を十分に咀嚼し立法に反映できず、本法では憲法の具体化法として構成できずにいる。むしろ意図的に切断し、行政の取締規定として、個人情報の取扱いにおける手続法中心にいわば逃げ腰の立法となっている。
リスボン条約―ＧＤＰＲという基本権（人権）を基礎とするＥＵ個人情報保護法制との十分性認定を契機に、日本の個人情報保護法もまた憲法の具体化法として正面から捉えて再構成していくことが求められる転換期に入ったというべきであろう。
３条の個人の尊重の理念規定を１条の法目的に取り込むところで、さらには、個人の尊重の理念を個人情報保護法においてより明確にするために、例えば平成 15 年法制定の過程で廃案となった法案に戻って５原則の復活を再検討すべきであろう。特に、GDPR対応を念頭に各種請求権の創設が検討されているが、かかる請求権の理論的基礎が曖昧なままに安易に導入することはあってはならない。その意味でも憲法との接合は大きな課題となってくるはずである。

2

（３）歴史をふりかえる（欧州の場合）①欧州におけるナチの原体験
ナチは、何代にもわたる共同体、教会、及び政府などの膨大な記録を相互参照する作業を IBM のパンチカードとカード選別システム（コンピュータ処理の先駆となるマニュアル処理）によって、ユダヤ人を識別し、資産没収、ゲットーへの封じ込め、強制移送、そして最終的にはガス室に送り込んだ。これを半ば自動化させて行った。「情報の大規模な系統化という概念が、のちに社会統制の手段」となったのである。2
その後はまさにコンピュータがその機能と脅威を引き継ぎ強化させている。まさにコンピュータの人間疎外の脅威から個人を守ることが個人データ保護法の重要な使命ではなかったか。
今日は、自律学習型ソフトウェアプログラム、機械学習、深層学習というかたちでいわゆる AI がコンピュータの機能をさらに飛躍させようとしているところである。AI における人間中心主義的理念は人権保障として理解すべきであり、AI が主体性を持つことを禁止し道具性を堅持することが重要である。人間が制御できないものは社会実装しないという決意とともに、それを使いこなしていくことが求められる時代にさしかかっている。
自ら望むところなく、プロファイリング等自動処理の対象にならない権利を確立することは、かかる不幸な歴史に学んだ結果であり、欧州において個人データ保護が基本権となり3、GDPR によって具体的に規律されるに至った理由の一つにあるのではないのか。
②戦後のコンピュータ産業育成の失敗と北米メインフレーマーの席巻
ハードウェア及びソフトウェアとともにデータ処理まで外資（欧州域外）に依存するようになったことへの対応（立法政策）
GAFA 等に席巻される今日の日本より半世紀早くそうした脅威に直面していた。ある
種 GDPR の対外的に好戦的で保護主義的な性格と、域内の産業振興的な側面はこうした歴史に根ざすところがみてとれるのではないか。今日の日本の立法政策に示唆的であ2

エドウィン・ブラック『IBM とホロコースト』（柏書房、2001 年）15〜25 頁

3

欧州の運営方法に関する条約（欧州連合運営条約）第１６条（１）何人も、自己に関係する個人情報の保護に対する権利を有する。
（２）欧州議会法及び理事会は、連合法の適用範囲に含まれる行動の実施の枠内で、連合の機関、組織およびその他の部署ならびに加盟国によって処理される個人情報の、保護および自由な受け渡しに関する法規を、通常の法律制定手続きに従って制定する。この法規の遵守は、独立の官庁によって監視される。

3

る。

２．いかに保護と利用のバランスを図るか。

第二に、平成 27 年改正法で特に重視された保護と利用のバランスをとることの必要性は、引き続き重要であり、個人情報や個人に関連する情報を巡る技術革新の成果が、経済成長等と個人の権利利益の保護との両面で行き渡るような制度であることが必要である。

（１）実体法的規律と手続法的規律
法目的の曖昧さとも関係するが、本法は、実体法的な規律（権利の創設）を回避して、手続法的な規律中心に起草された法律となっている。4
例えば「データプライバシー権」、「個人データ管理権」といった実体的な権利を創設し、その意義、要件（発生・変更・消滅）について規律する（物権、債権、身分権などいわば民法的に構成する）こと、個人情報の取扱い（特に開示等）などの理論的基礎についての研究が成熟しておらず、立法実務上、権利の創設に踏み込むことは困難であっ5た（学の貢献の問題 ）。
保護利益とその対立利益が明確化せず比較衡量が困難となる理論的背景、要因の一つとなっている。
（２）例外条項の拡充とガイドラインの詳細化での調整はやめるべきである。
現状の法律の構造のまま、例外条項の拡充とガイドライン（告示）における具体例の詳細化を図るのは法目的と義務規定の立法趣旨に立ち戻る思考から離れ、単なる決めの問題としてただそれに従うだけの実務を助長する。暗愚の群れを作るところに個人の権利利益の保護はなく、ビジネスモデルの創出も期待できない。
どういう利益・価値とどういう利益・価値が対立するのかが明瞭となる構造を作り、比較考量の前提を形成し、必要に応じて道具概念を導入し、判例によって調整法理が形成され、それが機能する司法法（裁判規範）として設計すべき。

4「実体法」とは、権利義務の発生、変更、消滅の要件等の法律関係について規律する法。民法、商法、刑法等がこれに当たる。実体法の運用の手続を規律する手続法に対する。
「手続法」とは、権利、義務等の実現のために執るべき手続や方法を規律する法。技術的・手段的性格が顕著な規定が多い。･･･（有斐閣 『有斐閣法律用語辞典［第２版］』）
5

情報法制学会（代表：曽我部真裕京都大学教授）の発足、学会誌『情報法制研究』（有斐閣）（編集委員長：宍戸常寿東京大学教授）の発行につながる。

4３．国内外の円滑なデータ流通の確保

第三に、デジタル化された個人情報を用いる多様な利活用が、グローバルに、展開されており、国際的な制度調和や連携に配意しながら制度を見直すことが必要である。

（１）国際関係：ナショナルセキュリティの視点
・米中対立の時代背景（米ソ対立時の COCOM 違反事件とコンプライアンス・プログラムの導入）
・テロ対策等諜報機能の重要性（東京五輪、大阪万博等の国際イベント）
・その前提として立憲主義思想が社会に根付くことそれを支える強い司法（司法の健全化とそれを支えるＩＴ化、Legaltech）法治主義のゆらぎがない行政（告示が法律を上書きし、法律に基づかずに権力行政が行われようとする現状の是正）が必要である。
補完的ルールで必要なものは今改正で対応すべきである。

（２）国内関係：いわゆる個人情報保護法制 2000 個問題（ルールの統一）
主権国家を越えて、ＥＵ全域で個人データの取扱いルールを統合した GDPR と相互に十分性を認定した日本において、「地方公共団体の区域の特性」（5 条）を認めるところを維持していくのか。47 の都道府県、1700 を越える市区町村、その他広域連合等における区域の特性に応じた個人情報の取扱いを必須とする具体の事例はあるのか。かかる立法事実があるのかを今一度確認すべきであり、少なくとも「デジタル化された個人情報」（というより処理情報）については、まずはそのルールを国内で統一し、オープンデータ政策、ビッグデータ政策等に資するように国内のデータ流通の阻害要因を取り除くべきである。その意味でも５条6は見直すべきである。
そのためにも委員会が個人情報保護法を統一的に解釈していくとともに対外的な窓口として引き続き越境データ問題解決を主導すべきである。

6（地方公共団体の責務）第五条 地方公共団体は、この法律の趣旨にのっとり、その地方公共団体の区域の特性に応じて、個人情報の適正な取扱いを確保するために必要な施策を策定し、及びこれを実施する責務を有する。

5

４．個人データ（処理情報）中心の条文への転換（１）人権及び個人の権利利益への脅威
下記の②のデジタル化と③の処理情報で脅威が飛躍するのではないか。
①マニュアル散在情報②デジタル散財情報③マニュアル処理情報④コンピュータ処理情報

今日多くのデジタルデータがそのままでは大きな成果を生み出さないようにデータの体系性、検索性、標準化、データクレンジングなどデータのクオリティの重要性があらためて認識されつつある。
アナログかデジタルかという観点よりも、本法が採用している体系性と検索性を兼ね備える処理情報か否かという観点の方がより個人の権利利益への脅威を測る指標として優れているように思う。
デジタル化されずに放っておいてもらう権利（夏井説）も魅力的であるが、処理情報によってみだりに識別されることで、人権侵害及び個人の権利利益が侵害されることを防ぐ法制とすべきであろう。
すなわち、処理情報化（個人データ）に重点を置いた規律を強化しつつ、その利活用を促進することが、保護と利用の両面において合理的な政策となり得る。
このことは各種請求権に対応する事業者側のプラクティスにも影響する。個人情報データベース等として体系性検索性をもたぬものはその対応を著しく困難なものにするからである。自ら情報システムを構築できない中小企業を含めて政府がツール等の提供で助力できるかなど含めて法制化を検討すべきである。全事業者が規範に直面できるだけではなく、それに資金的にのスキル的にも遵守できる義務でなければならない。

（２）対象情報を個人情報・個人データ・保有個人データとして書き分けるのではなく、「個人情報データベース等」及び「個人データ」（処理情報）概念を中心とした設計とし、条文の文言も個人データ中心に書き改めるべきである。
入力帳票も個人データに含めるなど個人情報データベースに記録される情報を中心に法規制することで、過剰規制を回避するとともにデジタル散在情報の利活用の可能性を広げていくことが可能となる（自動走行車の各種センサーの評価など）
。

6

（３）
「仮名データ」の用語と定義の採用
個人データとしての安全管理上の措置という位置づけの下で「仮名データ」を定義し用語として採用すべきである。EU との法体系の違いを超えて、なお両者の整合を図るためには法目的に加えて基本概念の定義を揃えていくところが重要である。
また、仮名データの定義によって、個人情報の定義がさらに明確化するところに寄与し、Suica 履歴データ無断提供事件のような非個人情報化手法の是非の評価も明確化を図れ、匿名加工情報及び非識別加工情報における加工基準策定の一助ともなる。
さらには、今後、医療分野の特別法の制定・改正に際して、医療仮名データ導入の契機ともなる。特に医療分野における AI の活用においては、レントゲン、臓器写真、脳等のスキャンデータなど医療影像情報の深層学習等の成果が期待されるが、かかるデータは匿名加工情報にはなじまない。加工によって医療上無意味なデータとなるからである。
一方、個人情報のままでは、要配慮個人情報に該当したり、プライバシーの問題（不法行為法）やインフォームドコンセントといった医事法、医療倫理上の問題となって、本人同意が要請され、データの取得がままならないという問題がある。データ分析の障害を除いて医学研究と治療に資するところに取り組んでいかねばならない。
一般法における仮名データの採用と概念整理は特別法の立法の前提として極めて重要である。

５．個人情報保護法の法執行の強化

第四に、海外事業者によるサービスの利用や、個人情報を扱うビジネスの国境を越えたサプライチェーンの複雑化などが進み、個人が直面するリスクも変化しており、これに対応し得る制度へと見直すことが必要である。

社会のシステムや構造に埋没する個人において自衛手段には限界があることから、個人情報保護委員会による積極的な個人の権利利益保護に向けた行政的介入が必要となる場面が増えていく。そのための権限は強化していくべきであり、諸外国の例とともに国内の独占禁止法と公正取引委員会のあり方が先例となりえる。
（１）海外事業者への法執行の強化（２）課徴金など制裁の強化（３）司法との連携

7

６．法規制のあり方、立法の構え方（１）事業者規制型（行政法）から刑事法・民事法（司法法）へ
平成 15 年法は典型的な事業者規制型（行政法）であったが、何人にも適用される直罰規定の新設（刑事規定）と裁判上の開示等請求権の創設（民事規定）によって、裁判規範としての性質が際立ってきた。
法目的及び立法趣旨の明確化はその意味でも重要である。その曖昧さが今日コインハイブ事件やＪＳブラクラ事件など濫用的刑事規制を招いている。これは教訓とすべきであろう。
今後は、第一次的には、裁判官や弁護士が理解できる法曹向けにプロ仕様で設計されるべきである。保護と利用の調整は、一つに判例によってその準則があきらかになることによって達成されるべきだからである。
事業者の行為規制という性質を鑑みれば、事業者がわかりやすさを重視する姿勢も理解できるが、それは入門書やガイドラインの役割である。精緻な設計があって（２）立法の構え立法するにおいて、どのような事業者像と人間観をベースとすべきか。
事業者に対しては、自律した企業像か、官民一体型の支援を要する企業像か。
本人に対しては、神と対峙する信仰心ある自律した強い人間観か、か弱い存在としての人間観か。
規制緩和を主張しながら単独でＥＵとのビジネスに望まず、ＥＵに比べて踏み込み不十分な改正の止めるなど政府の手足をしばった上で、後日十分性認定を求める経済界の姿勢、規制緩和で自由を求めながら、詳細なガイドラインと事例で箸の上げ下ろしまで規律することを求める矛盾を面前にみながら、本法をどう設計すべきか産業界の本音と現実をどう見極めるべきかが問われることになる。
私は自律型企業像で厳しく起草されるべきだという意見である。

8

（参考）個人情報保護法制 2000 個問題
図表 医療分野における個人情報の取扱い主体と適用法・監督官庁の例
個人情報の取扱い主体
厚生労働省

適用法

監督官庁

行政機関個人情報保護法

総務省

独立行政法人等個人情報保護法

総務省

岩手県個人情報保護条例

岩手県

宮城県個人情報保護条例

宮城県

気仙沼市立病院

気仙沼市個人情報保護条例

気仙沼市

日本赤十字盛岡病院

個人情報保護法

個人情報保護委員会

財団医療法人○○会病院

個人情報保護法

個人情報保護委員会

個人医院（□□医院）

個人情報保護法

個人情報保護委員会

XX 広域連合立□□病院

XX 広域連合個人情報保護条例7

XX 広域連合

一部事務組合立△病院

一部事務組合△病院個人情報保護条例

一部事務組合△独立行政法人
国立病院機構岩手病院
岩手県立病院
地方独立行政法人
宮城県立病院機構【指定管理者募集要項、条例等に規定○○市立○○病院されている場合】

指定管理者：民間事業者○○市個人情報保護条例（医療福祉法人△△会）【規定されていない場合】

8

個人情報保護法○○衛生組合立△△地区休日急患診療所○○市

適用法なし10

9

個人情報委員会○○衛生組合（作成：鈴木正朝・湯淺墾道）7

隠岐広域連合個人情報保護条例の例がある。

8

指定管理者は民間事業者であり自治体の業務委託ではないが、個人情報保護法ではなく条例が適用される（総務省自治行政局長通知（通知平成 15 年 7 月 17 日総行行第 87 号）参照）。
9
実質的には市の管理責任が問われるが、指定管理者である民間事業者（個人情報取扱事業者）には、個人情報保護委員会の権限が及ぶと解することができる。また、医療情報という点において、厚生労働省の権限と責任のあり方も問われるべきであろう。
10
足柄上衛生組合立足柄上地区休日急患診療所の例がある。足柄上衛生組合は個人情報保護条例を持たず、構成地方公共団体である南足柄市個人情報保護条例にも、構成員となっている一部事務組合の個人情報の取り扱いに関する規定がない。こうした空白地帯が生じることのないよう個人情報保護委員会の監督権限が明確に及ぶよう法律の整備が求められる。

9