○的井総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員、宮井委員が御欠席です。
それでは、以後の委員会会議の進行につきましては、嶋田委員長にお願いいたします。
○嶋田委員長それでは、ただいまから、第105回個人情報保護委員会を開催いたします。

本日の議題は、１つです。
議題１、個人情報保護法

いわゆる３年ごと見直しに係る有識者ヒアリングについて、御説明いたします。
第86回委員会におきまして、御了承いただいたとおり、３年ごと見直しに関連して、幅広いステークホルダーのヒアリングを行うこととしております。
本日は、有識者の皆様へのヒアリングを行いたいと思います。
ひかり総合法律事務所弁護士の板倉様、亜細亜大学法学部教授の加藤様、日本大学危機管理学部教授の小向様、慶應義塾大学総合政策学部教授の新保様、新潟大学教授の鈴木様、
産業技術総合研究所主任研究員の高木様、以上６名の皆様方に会議に出席していただきま
すけれども、よろしいでしょうか。
（「異議なし」と声あり）○嶋田委員長それでは、出席を認めます。

有識者の皆様におかれましては、御多忙の中、御出席を賜りまして、誠にありがとうございます。
大変短い時間ですけれども、これから順番に、各10分程度御説明をいただきまして、最後にまとめて、質疑の時間にしたいと考えております。
それでは、板倉様からよろしくお願いいたします。
○板倉氏

おはようございます。弁護士の板倉でございます。よろしくお願いいたします。

お手元に資料１として配付していただいております、私のパワーポイントに従ってコメントさせていただきたいと思います。
題名は「『個人情報保護法

いわゆる３年ごと見直しに係る検討の中間整理』へのコメント等」ということで、パブリックコメントにかけていただいている中間整理へのコメン
トとそれ以外の項目という形で構成しています。
前半が中間整理に存在しない項目で、後半が中間整理の項目のうち、コメントしようと思ったところについて、順番に書いている次第です。

最初は、中間整理に存在しない項目でありますが、是非とも委員会に公的部門についても監督していただきたい。もちろん段階はあると思いますが、２つに分けております。１
段階目は、今の法律はそのままだとしても、公的部門への監督を入れていただきたいという話です。十分性認定は、大変な御尽力で、１月に相互認定を取り決めたわけですが、御存じのとおり、その範囲は、個人情報保護法が適用される範囲となっております。公的部
門から、国全体として十分性認定を得るためには、委員会が公的部門を含めて全体を所管
1

することは必須ということです。テロ対策でも必要ですし、公的な研究機関の研究についても、十分性認定がないということですと、こちらは適用除外になっているがために、私的な研究機関であっても、研究目的で移転する場合は、範囲外になっていたり、医療機関の連携等様々な支障がある。これは抽象的に支障があるというよりは、私が弁護士として、業務をしている中で、いろいろなところから何とかなりませんかと相談を受けますが、私が何とかできるような話ではなく、最低限この委員会の公的部門への監督が必要であると、いつも説明している次第です。
経済界からも資料が出ておりまして、「公的部門における個人情報の適正な取扱いの確保を図ることとすべき」と書いてあるのは、彼らも具体的に支障が出ているということだと思います。独立行政法人等と一緒に何らかの研究・開発等をするといった場合、独立行
政法人は十分性認定に基づく移転ができませんので、結局、民間部門でいろいろ世話をしてあげるといったら恐縮ですが、独立行政法人でなかなか手当ができないと、そちらのコ
ストは民間にもかかってきているところがあります。
公的部門に関して、日本学術会議等に私も呼ばれましたが、学術界がどうやって対応するかというのは、かなり盛況なシンポジウムを開いたりしております。
２段階目は、いわゆる2000個問題の解消ですので、規範自体をなるべく集めていったらどうかという話です。特に条例についてですが、個人情報保護制度が行政機関法等において改正されると、条例も改正することとなります。それから、マイナンバー法、番号利用法が改正されると、これは必須でありますが、ハネ改正をしないといけない。この法制執務を年間何回も対応しているわけです。これが、いくら何でも全部自治体に業務の負担等がかかってくるのは、不適切ではないかというところもあります。
小規模自治体から、私が総務省の地域情報化アドバイザーとして呼ばれまして、どういうスキームを組んだらいいのでしょうかというアドバイスをすることもありますが、結局、自分たちで制定して、自分たちで解釈しなければいけない条例について、全く手に余している。自分たちで解釈もできない状態だというのが、おそらく実情だと思います。ヒアリ
ング等では、東京都や横浜市が呼ばれたりしますが、そういうところは、十分メンバーもそろっていますし、自分たちでできますが、小規模自治体は、自分たちでなかなか声も上げられませんし、正直、自分たちで運用解釈もできないという状況でありますので、最小限の部分は統一して解釈を固める。それを委員会がアドバイスできるという態勢は、必須だと思っております。
１枚めくっていただいて、次はプロファイリングの話ですが、いわゆるプロファイリン
グの部分については、制度改正大綱の段階で宿題になっているのは、御存じのとおりであります。
ＡＩネットワーク社会推進会議の開発ガイドライン案の中でも、関連するような部分は、
例えば「倫理の原則」として存在する。
次の年に出ております、利活用原則案のところでも、「尊厳・自律の原則」であるとか、2

「公平性の原則」というのは、個人情報保護制度に引き直せば、いわゆるプロファイリン
グです。単なる推知ではなくて、それによって差別が生じたりといった部分について、関わってくるところですが、今までの資料を拝見する限り、あまり積極的に議論されていな
いように思われましたので、こちらは正面からもう少し取り上げて、議論していただいてはどうかと思います。中間整理におきましても、あまり項目がないように見えましたので、このように取り上げさせていただきました。
次のページは、いわゆる補完的ルールについて、できる限り法令レベルに取り込んではどうかという話であります。ＥＵ域内から十分性認定に伴って移転されるデータに関しても、いわゆる補完的ルールが告示という形で義務付けられておりますが、そもそも欧州市
民のデータに関してのみ上乗せの義務を行うことと平等原則との関係はどうなのか。それから、ガイドラインと同様の告示レベルでありますので、ＥＵとの関係では、それは違う取扱いだという説明もなされているように認識していますが、どうやって執行を担保するのかというのは、最終的に争われると難しいのではないかと思っています。
具体的な項目については、下に記載しましたが、要配慮個人情報に性的指向等を入れるとか、利用目的を提供元より広げてはいけないといったあたりは、法令レベルで入れても良いのではないかと思います。特に利用目的が広がらないというのは、本人の予測可能性からして、当然だというところがあります。
保有個人データの６か月要件をいきなりなくすというのは、多少のハレーションがあるかもしれませんが、例外規定の検討等を伴って可能ではないかと思います。
外国にある第三者への提供の制限の部分は、再移転でＣＢＰＲが使えないという内容でありますが、こちらは最後の方にも入れておきましたが、委員会でも検討されているＣＢ
ＰＲプラスアルファの検討を進めていただければ、いいのではないかと思います。
匿名加工情報については、仮ＩＤの利用を基本的には許さないという内容ですが、これはこれ自体の検討を伴いますので、直ちにとは申し上げませんが、検討しても良いのではないかということです。
次以降は、中間整理の項目について、一言ずつコメントしているような形になります。
個人情報に関する権利の在り方ですが、開示請求については、経済界からの要望もあり、
原則、紙ではなくて、デジタル対応だというお話です。これは比較的積極的に書いてあると認識しております。
御認識のとおり、ＧＤＰＲでは、更に「構造化されて、一般的に利用され、機械可読性のある形式」だと書いてあります。これはデジタルで返ってくるとしても、いわゆる「神Ｅｘｃｅｌ」で返ってきて、これでデジタルだと言われても、結局、ユーザーは再利用することができません。義務付けると、またいろいろな問題もありますし、ＥＵでも、今のところ、そこまで積極的に義務付けているとは思いませんが、標準的なフォーマットで返すといった形を、何らかの形で入れてはどうかということがあります。
これは実務をやっていて、たまに聞かれることですが、個人情報取扱事業者であるにも3かかわらず、開示請求に全く対応しないといった、特に中間的な団体ではそのような話も聞こえてきます。これは本人から民事請求すれば良いのですが、個人情報保護法全体の建付けとして、履行確保は、原則、行政的な指導・執行によることだと認識していますので、開示請求に対応しないといって、委員会から指導等があるといった話は聞きませんが、これは積極的に法執行していただきたいと思っております。
個人の権利の在り方の続きですが、利用停止等請求については、報道等でも比較的積極的に検討されるという形で受けておりますが、全く条件なしで利用停止を認めることにな
りますと、事業者のほうは、なかなか対応できないのではないかと思います。ＧＤＰＲの各種請求権は、第６条の適法化根拠にあわせて丁寧に立法されておりますので、少なくとも論点として、日本法においては、同意ベースであれば同意の撤回の整理をすべきではな
いかと思います。さらに、契約に基づく適法化根拠、正当な利益は留保されるかもしれま
せんが、契約は、事業者の立場だと、是非入れてほしいだろうと思います。
その後は、名簿屋対策ですので、これは是非積極的に執行してくださいという話です。
漏えい報告につきましては、シンプルに申し上げれば、番号利用法は法令レベルと告示レベルに分けておりますので、こちらを御参照いただきたいと思います。
もう一つは、せっかくデジタルフォーマットで報告を受けるようにしていただいておりますので、認定個人情報保護団体や委任先省庁等についても、デジタルで受けて、分析して、いろいろ使っていただきたい。ＮＩＳＣ等とも連携すると、いろいろ見えてくるのではないかと思います。
認定個人情報保護団体ですが、共同規制の在り方自体は、あまり論点になっていないと思いますが、パーソナルデータに関する検討会の段階では、もう少し強制力があるというか、共同規制に近いものが検討されていたと認識しておりますので、こちらをもう一度考えていただいても良いのではないかと思います。
ＤＰＯの設置、ＰＩＡは、やりましょうとただ言っても、コストがかかってできません
が、法令で義務付けても、ドイツの様に人が全く足りないということになりますので、何らかのインセンティブ等と一緒に検討していただきたいということでございます。
利活用の話ですが、『日経新聞』の調査で、匿名加工情報は、上場企業の３割程度使っているということなので、それぐらいだとは思いますが、とにかくこれをできる人材とい
うのは、プライバシー保護データマイニングという、少し特殊な分野の人材ですので、Ａ
Ｉ戦略等々も伴って、人材育成と併せて検討いただきたいということです。
統計利用の方にニーズがあるというのは、私が接する範囲ではかなり聞こえてくる話であります。基本的には、匿名加工情報や非識別加工情報が個票の形で作成されるわけですが、それより正確な統計データが欲しいであるとか、個別データは要らないというニーズがもしあるのであれば、そういう利用については、使える方向で御検討いただきたい。その際には、他の会議にも出てきている技術でありますが、秘密計算技術というものが有用ですということをお伝えしております。
4

ペナルティーの在り方です。まず課徴金の導入の前提として、今まで行政命令が出ていないというところで、大丈夫なのかということがございます。
ほとんどの外国事業者は日本で登記されておらず法的には日本にいないことになっています。会社法上は、代表者登記などをしなければいけないのですが、これに従っていない。
これはＧＤＰＲ等では代理人の設置義務がありますが、日本でも国税通則法上は納税管理人の設置義務がございますので、このようなものを参考に、少なくとも行政執行及び民事訴訟の対応が義務付けられるようにしていただきたいということを記載しております。
万が一、課徴金を入れる場合は、ＧＤＰＲの条文のように、考慮要素を入れていただきたいということです。
次のページは②だけ見ていただくと、十分性認定はこれからレビューがありますので、これを維持するのは大変で、御尽力いただくのだと思いますが、他にもいろいろな移転事
由がありますので、各国データ保護機関と綿密にやっていただいて、認証であるとか、行
動規範についても、日本から積極的に議論をしていくべきではないかと思います。
委員会のペーパーにありました、ＣＢＰＲプラスアルファについても、是非御検討いた
だきたいと思います。
最後に、呼んでいただいて、申し上げるのも何ですが、３年ごと見直しの検討の回だけでも、公開で個人情報保護委員会をやっていただけると、いろいろな議論が起こされて、より良い改正の議論ができるのではないかと思いますので、是非御検討ください。
以上です。ありがとうございます。
○嶋田委員長ありがとうございました。

続きまして、加藤様、よろしくお願いいたします。
○加藤氏

おはようございます。亜細亜大学の加藤です。よろしくお願いします。

私は専ら関心のあるところだけを取り上げまして、意見を述べさせていただきたいと思いまして、整理しました。
１～４まで４つなのですけれども、基本的に４つ目は個人情報保護委員会の所管を超える問題も含むものだと思いますので、主に、「１外適用・執行について」「３課徴金制度の導入について」「２域

個人情報保護条例について」の３つに絞って、お話をした

いと思っています。
１つ目、課徴金制度なのですけれども、現在、議論が進められていると伺っております
が、個人的には反対です。これは導入すべきではないと思っています。
ＧＤＰＲの課徴金制度について、いろいろ調べておりますが、これは、理論上も、制度上も、運用上も、非常に多くの問題がありまして、制度として耐え得るものではないと、個人的には思っています。
実質的に考えましても、個人情報の誤用によって、既に個人情報取扱事業者は、刑事罰、損害賠償、顧客からの信用喪失など、十分に制裁を受けているわけです。なおかつ制裁金を課すということは、権利の重要性に鑑みて、明らかに均衡を失していると思っています。
5

ＧＤＰＲのような制度を導入すれば、たった１つの漏えい事故によって、企業を壊滅的に破壊させることも不可能ではないわけです。ベネッセのケースでも200億円払って、さらに裁判で争われている。こういった企業にさらに制裁金を課すとすれば、理論上は可能になるわけですから、企業への萎縮効果というのは、甚大なものになるのではないかと思っています。
公正取引委員会による課徴金制度をざっくりと調べてみますと、通説的には、必ずしも不当な利益の纂奪が目的とされているわけではないようですが、この目的を完全に欠落させた場合、行政による課徴金制度というのが、あらゆる分野で広がる可能性があるように思われます。
私は専門が憲法ですので、憲法の観点から考えた場合、他にも多くの重要な権利があるのです。他に多くの重要な権利があるにもかかわらず、その分野では、課徴金というお話は全く出てこない。この分野に限って、そういう話が出てくるというのは、理屈としては、もたないのではないかと思っています。
最後に、プライバシー権が人権であるということについては、先進国では共通の認識があります。けれども、個人情報保護が人権であると明記しているのは、ＥＵ基本権憲章しかないのです。私はドイツ法が専門ではないので、読んだ限りですけれども、ドイツだけ、
憲法判例で、個人データに関する権利を認めているとは言われていますが、憲法典の中できちんと明記したものは、現在のところ、おそらくないのではないかと思っています。もちろん個人情報の分野でも大きい問題があるのは十分に承知しておりますけれども、必ずしも課徴金を導入しなければならないということには、ならないのではないかと思います。
ＧＤＰＲ制裁金の制度上、運用上、多くの問題があるという点についてなのですけれども、１つ、私が申し上げているのは、簡単に申し上げますと、参考資料の５ページ目です。
規定上から見た場合の話だけであったとしても、５ページの２の（ａ）（ｂ）（ｃ）です。
１行目に書いてあります。対象が広範すぎるのです。ＥＵが採用している制度は、日本の課徴金とは違うのではないかという意味で、制裁金という名称を付しています。制裁金の方が、行政法上は広い意味で使われていますので、日本の課徴金とは違うのではないかということで、制裁金と言っているのですけれども、まず広範で、中身が非常に曖昧なのです。その上で、高額な金額が課される。
ＧＤＰＲが課される前から、スペインとか、イギリスなどでは、国内で制裁金制度を設けています。しかし、その運用というのは、一貫性が全くないと言われているのです。スペインは、最初、高額な制裁金を課していたのですけれども、近年は制裁金を課さない。
企業側とある程度対話してやっていくという形にシフトしている。結局、各国が政策的に使う道具になってきてしまっていますので、制度として、そういう裁量の余地が広い制度を設けるというのは、反対です。
以上が課徴金の制度についてです。
２番目に域外適用・執行についてです。１ページに戻りまして、政府レベルで域外適用
6

を執行するということは、不可能ではないと思いますけれども、民間での取組というか、そういったものを促進する方が、戦略的には得策のように感じます。もちろん政府レベルで行うということを、やめるべきという意味では全くありません。同時進行で構わないと思うのですけれども、実際データが世界中に行き渡るという話をしつつも、結局、対ＥＵとか、そういったところとの話しか進められないわけです。
また、自分の国の法律を相手国に執行してもらうというのは、現実問題として難しいと思っています。
ＧＤＰＲのように、域外適用の規定を設けることは、理論的にはもちろん可能だと思います。理論上は可能ですけれども、その法執行というのは、相手国の協力がないとできません。データは、世界中に行くわけです。相手国に協力を求めなければいけないので、各国の人員や予算の状況、言語などの観点で、円滑な協力が得られるか疑問がありますし、さらに相手国の法律で域外適用の規定がない場合には、一方的にこちらがお願いするだけです。そのときに、先方は本当に受け入れてくれるのだろうかという疑問があります。
例としては、完全にパラレルではないですけれども、国外で罪を犯した場合、いわゆる国外犯に対しては、犯罪人引渡し条約等で日本に引っ張ってくるわけです。現在日本において、アメリカと韓国の２つしか、犯罪人引渡し条約はありません。もちろんこの場合、人を引っ張ってくるわけですから、ものすごく大変なのはわかります。でも、自分の国の個人情報保護法を第三国で執行してもらうというのは、かなり難しくて、相当時間がかかりますし、世界中にデータをばらまいているのですから、世界中の国と協力しなければい
けない。それを実現するには、100年、200年と時間が楽にかかることですし、この点に力を入れても、限られたリソースであることに鑑みると、実現が困難であると思います。
そこで、個人のデータの越境的な問題についてのアプローチとしては、アカウンタビリ
ティの考えを基礎として、ＡＰＥＣとか、ＯＥＣＤの枠組みを利用して、世界的な標準を設けるように促進すべきではないかと思っています。
このような枠組みの下では、どうなるかと言いますと、各国の法律が全事業者を一律に規制するわけではなくて、越境移転を行う事業者のうち、積極的に同標準を遵守しようという事業者に対してルールを提供する。つまり守りたい企業が明らかになれば良いのです。
データを世界的にちゃんと守りますという企業を消費者に明らかにしていくという仕組みを作っていく、そこに標準を合わせてやっていけば良いのではないかと思います。
３番目なのですけれども、これは板倉先生もおっしゃっていましたが、個人情報保護条
例は二重行政だと思っていまして、法律により一本化すべきだと思います。現在、地方公
共団体は、およそ1750あります。そのうち全ての地方公共団体が、個人情報保護条例を制定しているかは、私は存じ上げておりません。かつ審議会が恒常的に開催、運用されているところは、ある程度の規模の自治体に限られるので、そういった意味で、実際に運用されているのは、1000を切るのかもしれないとは思うのですけれども、それでも日本全体での行政コストというのは、かなり大きいと思いますので、これは法律で一本化したほうが7良いのではないかと思います。
最後は、個人情報保護法プロパーの問題からちょっと外れてきますが、他人の個人情報を利用したインターネット上のとりわけ収益行為に対しては、場合によっては、もう少し厳しい規制があっても良い部分があるのではないかと思っています。
例えばリベンジポルノ法というのは、典型的な名誉毀損、プライバシー侵害なので、厳しく規制されているわけです。
しかし、それ以外に、卑近な例で申しわけないのですけれども、２つ目の黒ポツのところなのですが、例えば学生が各教員の授業に意見を持つのは良いのですが、それが「みんなのキャンパス」というサイトで勝手に書かれるのです。私は大学の教員ですので、こういうことは、やめていただきたい。それに加えて、それで収益を上げているというのは、
いかがなものかと思います。学生の彼ら自身で、仲間内で共有するのは、皆さん、意見を持つのは自由ですから、良いのですけれども、みんなにさらされるというのは、勘弁していただきたいと思います。
以上です。ありがとうございました。
○嶋田委員長ありがとうございました。

続きまして、小向様、よろしくお願いいたします。
○小向氏

日本大学の小向と申します。

本日は、機会をいただきまして、ありがとうございます。
それでは、お手元の資料３に従って、私が特に関心を持っている事項について、３つに絞ってお話しさせていただきます。
１ページ目に３つ挙げておりますが、１つ目は、「中間整理」にも書かれている、利用停止等について。
２つ目は、前回の改正で導入された匿名加工情報における匿名加工と一般的な匿名化について、意見を申し上げさせていただきたいと思います。
３つ目は、既に意見が出ておりますが、域外適用について。特に条文の作りについて、お話をさせていただければと思っております。
２ページ目から、利用停止等についてです。
３ページ目、先ほど板倉先生のお話にもありましたが、ＥＵのＧＤＰＲは、個人情報の取扱いを行う際には、全て何らかの適法化根拠を求めています。私はこの適法化根拠を定めている第６条がＧＤＰＲの一番重要な条文だと思っています。これが全ての根源になっていて、個人情報を扱うには、これをクリアした上で扱わなければいけない。
それに対しまして、日本の個人情報保護法は、取得・利用するときに、原則として、こういった根拠は求められていません。利用目的の特定、通知又は公表を行って、その他、
不適切な取得等をしなければ、本人の同意やその他の正当化事由は不要だということになっています。これは個人情報保護法制定時に、現在行われている利用を制限しないという趣旨で、このような法律の構造にしたと説明されております。まずは個人情報保護法を導8

入しようということが、優先されたのだと理解しています。
ただ、その代わりといっては何ですけれども、個人情報を取得した後に、利用目的を変更したり、第三者提供をするときには、原則として、本人の同意が必要だということになっております。例外規定も非常に厳格に定められています。はっきり言うと、これがアンバランスだと思います。
企業の側から、個人情報の定義、匿名加工情報の議論や要望がなぜ多く出てきたかというと、通常の取扱いに比べて第三者提供や利用目的変更の場合のハードルが高過ぎるということから出てきているわけです。その背景には、そもそも何でも自由に使えるものだったのに、何でその場面だけ、そんなに厳しいのかというのが、正直な感想としてあるのだと思っています。本当は元々の取扱いの条件が緩すぎるのですけれども、そういう意見が出てくるのは、やむを得ないことだと思っております。
５ページ目、６ページ目に、ＧＤＰＲの第６条に基づいて、例えば適法化根拠としての本人の同意というのは、かなり厳格なものであるということを、ガイドラインから抜粋して、一覧にしております。日本で同意と認められているものの多くは同意とは認められない。かなりハードルの高い同意が必要です。その上で、全ての取扱いに、先ほど言ったよ
うな適法化根拠を求めています。
３ページの真ん中に（ａ）本人の同意、（ｂ）契約等の履行への必要性、（ｃ）法的義
務、（ｄ）生命に関する利益、（ｅ）公共の利益・公的権限の遂行、（ｆ）正当な利益の目的とあります。このうち、（ａ）～（ｅ）までは、かなり厳しい根拠だと思います。これだけですと、多分これは制度として機能しないのです。なので、入っているのが（ｆ）の正当な利益の目的のための利用です。この条文だけは、例外規定のなかの一般規定として、バランステストが含まれている。
バランステストを含むというのは、どういうことかというと、ある利用が正当な利益のための目的だと認められるかどうかというのは、利用によって得られる利益と本人の基本権を比較して評価するということです。これについては、ＥＵの第29条作業部会のオピニオンにも、1995年指令の時代には、結構いい加減に適正な利益を認めていた事例があると、書いてあります。適正だったらいいだろうということで、割と緩く使われていました。ただ、それではいけないということで、厳正にバランステストをやろうということが、ＥＵの共通認識になっている。
バランステストにおける評価項目については、６ページ目を御覧いただきたいのですけ
れども、ここで注目していただきたいのは、本人の基本権や安全対策を総合的に考慮して、「適法な利益」、委員会の翻訳だと「正当な利益の目的」原文は「legitimate interests」
を認めるかどうかを判断するとしている点です。ここで重要な要素の１つに、匿名化ということが挙がっていることも、注目する必要があるだろう。つまり利用目的と本人への影
響、どういう安全対策がとられているかということを考慮して、使って良いか、使っていけないかを判断する。このような一般規定があるから、ＧＤＰＲにしろ、1995年指令にし9ろ、機能しているわけです。そうでなければ、そんなに厳しい規制が本当に機能するかど
うかは、かなり疑問だと思います。
７ページに行っていただきたいのですが、本人の意思の反映の仕組みというのは、これから利用が多様化して、本人の意思の反映の必要性とか、弊害を起こす可能性のある利用というのが広まっていく中で、取得段階から必要だと思っています。そういう意味で、第一歩として、利用停止の権利を認めるというのは、良い取組だと思うのですけれども、本当のことを言えば、利用全般にきちんとした意思反映や正当化事由を求める仕組みを確保することを、もう少し積極的に検討する必要があるのではないかと思っています。
３つ目の○で、一方で、現在の個人情報保護法では、事後的に第三者提供や利用目的変更を行うための条件は、厳格だと思っています。例えば、ＥＵのＧＤＰＲの前文に明記してあるような、情報セキュリティ目的での利用というのは、利用できない、第三者提供等ができない可能性が高いのです。そういう場合が結構あるのだろうと思っています。
前文に書いてあるものを８ページに挙げておきました。これを読み上げると長くなりますので、御覧いただければと思いますが、ＣＳＩＲＴなどで情報共有することは、正当な利益の目的になると、ＧＤＰＲには明記されています。日本の個人情報保護法の第23条の規定で、どのぐらい情報共有ができるのかというと、かなり疑問だと思っております。そういう意味で、第三者提供や利用目的変更が認められる場合として、適正な利益の目的のような一般規定を入れることも検討すべきではないか。一方で、個人情報の取扱い全般に本人の意思反映や正当化事由を求めるとともに、それ以外の第三者提供や利用目的変更についても、実質的な判断ができるような根拠を置くべきではないかと考えております。
次は、関係しますけれども、匿名加工について、９ページ目から書かせていただいております。
10ページ目、日本の匿名加工情報とＧＤＰＲの解釈で示されている匿名化というのは異なるものだと思っています。
ＧＤＰＲの匿名化は、10ページの下の注に書かせていただきましたが、おそらくそれぞれの情報が１人の個人と実質的に対応している限り、困難なハードルを設けているものだと理解しております。だからこそ、十分性認定の補完的ルールで匿名加工情報と認められるのは、完全に識別不能化にしたものに限るという、補完的な規定が設けられているのだと理解しております。ですので、匿名加工情報と匿名化というのは、言葉は近いですけれども、似て非なるものだと思います。
匿名加工情報が利用されているという御意見もありますけれども、11ページを見ていた
だきたいのですが、日本の匿名化とか、匿名加工の議論は、個人情報該当性に集中しています。個人情報に該当するか、しないかということだけが関心事なのです。安全管理措置にも書いてあると言われるかもしれないですけれども、主な論点は個人情報になるか、ならないか。これはなぜかというと、事後的な利用目的変更や第三者提供をするためには、
個人情報該当性をなくさないと実質的にできないからだと思います。
10

これに対して、ＥＵの規定を見ると、バランスよく、例えばlegitimate interestsもそうですし、安全管理措置として十分か、データ保護バイデザインを果たしているかどうかの条文であるとか、消去や利用停止に準ずるものとして認めるとか、割と多面的に匿名化技術というものが捉えられていることが分かります。これを余りにフォーカスしているのは、ちょっと問題なのではないか。むしろ個人情報でなくすというのは、技術的にハードルが高いのです。ですので、匿名加工情報もかなり難しい限定的なものにならざるを得ない。
そう考えると、12ページに詳しめに書いてありますけれども、バランステストを伴う一
般規定を導入して個人情報であっても、適法な利益と認められるような利用目的については、十分な安全措置（匿名化技術の利用を含む）が施されることによって、本人の権利への配慮がなされていれば、現在は匿名加工と言われている技術などを活用することで、利用の範囲を広げることを許容する。そうした制度の方が、現実的なのではないかと思っております。
先ほどの１つ目の項目で申し上げたこととセットで、中間整理では、仮名化も検討するかもしれないということが書かれていますけれども、そういうものを増やしていくよりは、
匿名化技術を活用できる場面を広げていく必要があるのではないか。
域外適用、13ページ以下は、簡単に説明いたします。
14ページに条文を書いておりますけれども、日本の個人情報保護法は、公権力の執行に当たり得る行為については、丁寧に域外適用の規定から除外しています。非常に丁寧に除外しています。ＧＤＰＲとか、米国のＦＴＣ法は、そんなことは全く書かれていません。
域内のものでは適用があるし、域内に拠点がなくても、ＥＵ市民等を対象にして、ビジネス等を行って、それに関して取得した情報には、ＧＤＰＲの適用がある。そういう場合は、代理人を置いて、代理人に対しても課徴金を課すことも考えたいということがガイドラインに書いてあります。
このような状況中で、少なくとも個人情報保護法の規定上、例えば命令であるとか、罰則について、適用を除外する作りにする必要は全くないと思います。執行するかどうかとは別問題なので、今後、必要が出てきたときに、執行について、自ら最初から手足を縛る
必要は全くないと思っています。規定を置くことが、主権の侵害だということであれば、他国の条文はどのような考え方なのか確認すれば良い話であって、これを置いたからといって、国際問題になることは、100％ないと思っております。
そういうことで、ちょっと長くなりましたが、以上でございます。
○嶋田委員長ありがとうございました。

続きまして、鈴木様、よろしくお願いいたします。
○鈴木氏

新潟大学の鈴木と申します。

冒頭にテーマとして書かせていただきましたが、個人情報保護法は何を守るものかということと、一体どこに向かっているのかというところは、完全に見失っているという感じ
11

がしておりました。
ポイントに書かせていただきましたけれども、平成27年改正法は、平成15年法から質的な大きな転換があったのだろうと思っております。主務大臣制から独立行政委員会制になぜ変わったのか、マイナンバーが先でしたが、住基ネット違憲訴訟が20件近くも立ち上がりまして、そのように強力なマイナンバー導入だということになると、それ以上の違憲訴
訟にぶち当たるだろうということで、社会保障･税番号大綱を作るときには、横に最高裁の合憲判決を置いて、骨格が基礎付けされたはずです。
判決理由中に６項目ぐらいのいろんな注文がつきまして、確かに合憲判決でしたが、違憲訴訟の結果、クレバーな戦い方をしたので、きっちりくさびが打ち込まれていた。それを前提に、行政官が基礎作業を事実上するわけですけれども、それを踏まえて設計されていた。その中で、公的部門の暴走についての懸念をして、第三者機関が必要だということ
で、独立行政委員会までぐっとグレードが上がっていく過程を傍らで見せていただきました。憲法がしっかりと機能していると実感して、極めて麗しいと思って見ておりました。
主務大臣制の頃は、行政の取締規定として、広い行政裁量の中で、ガイドラインで塩梅良く調整して、企業行動を緩やかに規律していくということなので、弊害が見えてきたら、その都度、ガイドラインで調整すれば良いという感覚でおりました。ところが、平成27年
改正で直罰規定が入った。刑法の飛び地が明確に入った。今までそういった曖昧な規律の中で、直罰規定が入るような素地はなかったところに、今回は入れたということであります。
それから、開示の求めについては、裁判上の請求権あり、なしと割れましたけれども、今回は明確に創設した。または、確認したということになりましょうが、民事規定が明確に入った。要するに行政の取締規定から、司法法というか、裁判規範としての精緻な理論的な基礎が必要とされる状況に入ってきた。しかも、単なる主務大臣ではなく、公正取引委員会のように、準司法的、準立法的な権限を持ち得る、報告徴収権限だけではなく、立入検査権限まで持ち得る独立行政委員会としての個人情報保護委員会が立ち上がった。これをして、質的な転換があるのだろうと申し上げました。
それから、十分性認定をとれるとは思わなかった。これだけ手足を縛られた中で、担当官がこれをクリアできるとは、諸条件から見て、到底無理だろうと思ったのですが、無理やりとっていただいた。これは感謝というか、すごいと感心しているわけですが、告示による拘束性とはどういうことだろうか。行政目的として課されたことを一つ一つクリアされていくというのは、それはそれで麗しいのですが、法律による行政の原理からいってどうなのか、法治主義は揺らいでいないのかということは、言わざるを得ない。
リスボン条約とＧＤＰＲ、基本権又は人権と法律という構えのある中で、十分性認定をとったということになりますと、ＥＵ側には憲法、刑法、民法、いろんなものを総動員して説得されたと承知しておりますけれども、日本も憲法と個人情報保護法の接合をより強化する、憲法の具体化法としての設計を裏側の気持ちとして持つかどうかが、ポイントに12なるのではないか。
何より平成27年改正で、私が一番気に入っているのは、３年ごと見直し条項です。３年ごと、永続的に改善を続けるということを、法律自体にビルトインしたということは、作りっ放しが多い中で、国内における極めて良い宣伝になるだろう。後任の担当官が苦労していく中で、３年ごと見直しというのは、お仕事は大変ですけれども、様々なハーモナイ
ゼーションを図っていく上では、不可避的な状況に置かれているので、大変良い条項が置かれたと思っています。
それゆえに、どこに向かっていくのか。船はこぎ出したが、行く先を誰も知らない。何のために守っているか、実は分からない。１件でも漏えいとおっしゃいましたけれども、そんなものを規律する法律だったのか。制裁金の是非を考えるときも、考えていただきたいのですが、民主主義が壊れるようなことをもし大手プラットフォーマーがやっていたら、制裁金どころではなく、解散命令を出したいぐらいでしょう。ですから、そういった民主主義を壊すことが嫌なのか、ナチがユダヤ人狩りするために名寄せしたということ、差別をするということを見たときに、個人情報保護委員会は、強制的に入っていく道具が欲しくなるのではないか。法目的が本当は何なのかということが、欠落していたということが、個々の政策を検討するときに問題になる、結局、ここに帰着するので、そこをしっかりと今回考えていくのはどうかということだと思います。
１ページ、総論だけ、いくつか書いてまいりました。
法目的の曖昧さです。第１条ですから、テンプレートに従って、毎度、起案していきま
すけれども、床の間の飾りではなくて、各論において個々に立ち返るときに、個人の権利利益の保護は、抽象的に過ぎます。個人の尊重の原理の下でいろいろ作られる全法律は、国家的法益であれ、社会的法益であれ、最終的に個人の権利利益の保護に帰着するものだ
ろう。そういう意味では、あらゆる法律に通底する目的を個人情報保護法に書いたということもあろうかと思います。そうなりますと、個人情報固有の法目的というのは、何なのだろうかということになる。
歴史を振り返ってみると、２ページに書いてきましたが、行政管理庁の解説本がありました。現在の総務省行政管理局の御先祖だと思うのですけれども、その中に４点書いてありました。①人間疎外、②政治的、社会的権力の集中、③基本的人権の侵害、④個人の具体的な権利、利益の侵害と書かれていました。①②③が欠落する中で、④の表現だけが残ってきた。①②③あっての④だったのです。高木浩光氏等が某所で、情報公開請求を使って、過去のさまざまな議事録等を集めておりますが、過去の担当官はよく知っていた。人間疎外が起きる、政治的、社会的権力の集中が起きる、これは個人情報保護委員会を作って、マイナンバーをきっかけに、官の不適切な取り扱い方を他の省庁から独立したところが、目的を限定して監視する。それに関しては、他の主務大臣といえども、委員会の監視下に置かせていただくというあたりの建て付けで、政治的、社会的権力の集中に対しての対応の考えは、ある程度応えてきた。ところが、人間疎外ですとか、人権侵害については、
13

むしろ及び腰になってきたような気がします。
一つ一つの漏えいなどのために、中央官庁がいちいち細かいことまで、目配りができる
わけがない。本当にやらなければならない仕事は何なのかということを考えていった場合、人権問題をベースに考えていくべきだろう。
欧州の場合を振り返っても、ナチスは、ＩＢＭのパンチカードを使って、ユダヤ人を定義して、反政府主義者を定義して、それを教会やいろんなところの情報を収集して名寄せして、リスト化していくわけです。それによって差別するわけです。最終的にはガス室に送られます。
戦後、アメリカでは、マッカーシズムでも、やはりリスト化していくのです。民主主義の国で、戦後でも起きているわけです。図書館の履歴になぜ手を触れてはならないのか。
こういったところが、本来的な法目的の中核にあるとするならば、具体的な権利義務をプ
ロファイリング等自動処理による人権侵害規定が実は本丸の規定ではないのかということになるわけです。行政法的に手続的な規律として作った結果、利用目的を通知、公表、明示しなさいといった外郭的な規定を作っていくのですが、肝心な中核的な権利・義務の認識に欠けていたのではないか。それは法目的を具体的に書けなかったことに起因しているということではないか。本法は何を保護するものなのかということを、明確にしなければならないのだろうと思います。加えて、欧州は、戦後のコンピュータ産業育成に負けました。政府も補助金を出したのですが、北米資本に圧倒されてしまうわけです。今日の日本のＧＡＦＡ対策と似ています。日本は半世紀遅れて、欧州と同じようになってしまった。
欧州がなぜ保護主義的なのか、なぜ大手事業者に対して権力的に立ち向かうのかということは、歴史的にはナチスの原体験と、産業政策的にはコンピュータメーカーがなくなって、
国内のデータを全て国外の事業者にお任せせざるを得ない状況になったということと関係した問題であります。
マイナンバーを入れたのも、社会保障制度を維持して、セーフティーネットを維持するためでありました。そのためには、情報の利活用の問題も併せて見ていくのは当然でありまして、企業を活性化させて、外貨を稼いでもらう、法人税を払ってもらう、雇用を維持してもらうことが必要です。人権保障だから、企業が劣後して、経済活動が萎縮するという関係には全くない。個人情報保護委員会は、そこを調整するために、でき上がったのではなかったのかという気がいたします。
保護と利活用のバランス論も、言葉に逃げていると思います。バランスと言ったら、極めて麗しいですけれども、どうバランスをとるのか、どこに調整法理が働くのか、どこで判例が形成されるのか、構造を作っていないとだめです。
また、民間側は、自由にしてくれ、規制緩和だと言う割に、いざとなるとどうか。規制緩和と言っておいて、十分性認定を取れと言ったわけです。規制緩和と言ったら、各企業が自律的に欧州と対峙して、企業単位で克服すべきだった。政府は放っておいてくれと言ったのです。そう言っておいて、直前になったら、駆け込んで、何とかしてくれと泣きつ
14

く。これは一体何なのかという話であります。政府が悪いのではなくて、規制緩和と言ったならば、自由主義的に最後まで押し通せと、自らやれという話であります。もう少し見通しを持って意見を言わなければならないと思います。
企業側の意見は、自らして欲しいことを言語化できていません。その真意を推し量っていかなければならないというところがあります。本当に自律しているのかということは、
最後の６番に書かせていただきました。法規制の在り方として、立法の構え方として、どうすべきか。自律的な事業者を前提に設計していくべきか、それともパターナリスティッ
クに、官民一体モデルの時代のように、護送船団のときのように、政府が振り付けなければならないのか。今回もまた規制緩和と言っているわけですから、企業の自律に任せるという強い気持ちで立法していくべきなのだろうと思います。
時間なので、あとは無理だと思って、文章にしてまいりました。ナショナルセキュリテ
ィの視点を書いています。東京五輪、大阪万博と続きますから、テロ情報がうまく流れてくる、国内に入ってくる状況を作っていかなければならない。諜報の問題は企業側から出てこない意見でありますから加えておきました。そこの問題を解決していくためにも、立憲主義思想が社会に根付くことが必要です。
それから、個人情報保護委員会には、最高裁の判決をどう導くか、司法との連携、緊張関係も考えた運用が必要だろうと思います。
補完的ルールは、政治目的を解決するための方便でしたから、歴史的に見れば、必要性は分かりますが、次の改正でこれを引き取らなかったら、汚点として残るのではないかと思います。釈迦に説法ですが、告示で法律を乗り越えるということの先例を残してはならないと思います。後で振り返ったときに、これがどう評価されるかということも含めて、今回の状況と経緯はみんな分かっておりますから、速やかに法律で是非引き取っていただ
きたいということであります。
時間になりましたので、各種残しておりますが、最後に６ページのことだけ言います。
高木浩光氏のアイデアで気付かされたが、①マニュアル散在情報、②デジタル散在情報、③マニュアル処理情報、④コンピューター処理情報という区分であります。法律は処理情報か、散在情報かをビルトインしておりますけれども、デジタルか、アナログかということは、法律には書かれておりません。我々文系はデジタル化が脅威だと思っていましたが、処理情報、体系性が極めて重要だったというのは、『情報法制研究』の高木論文で分かったところであります。
あとは、高木さんにお任せしますが、処理情報によるというところを意識しなければ、これから請求権をいろいろ作っていくかもしれませんが、請求権が企業のプラクティスに落ちていかない、データベースだからこそ、引き出して、ポータビリティーができる。データベースにおさまっているから消せる。体系性を持ったデータベースにおさまっているから、様々なことが機動的に動くし、自動処理、プロファイリング等も行われる。すなわ
ち検索することができるように体系的に構成されたデータがポイントであった。ビッグデ
15

ータで何も起きませんでした。データクレンジングをして、体系的に構成して、質的情報に政策誘導しないと、何も起きないでしょう。それが要するに個人情報保護法では、処理情報というキーワードで教えてくれていたことに対して、我々は無自覚にすぎた。仮名データを導入するというのは、その意味でも賛成であります。
そういうことで、ちょっと中途半端ではありますが、私らからの問題提起は、以上とさせていただきます。どうもありがとうございました。
○嶋田委員長ありがとうございました。

続きまして、高木様、お願いいたします。
○高木氏

本日は、このように、意見を述べさせていただく機会をいただきまして、ありがとうございます。
産総研の高木浩光と申します。
最初に目次を用意させていただきましたが、前半で見直しの方向性として、中間整理に
は抽象的にしか書かれておりませんが、４月に『日経新聞』の報道がありましたので、これをベースに、私の推測するところで、利用停止請求の話と仮名化データの件を中心にコメントしたいと思います。それに加えまして、ここにありますように、匿名加工情報、ターゲティング広告、個人識別符号、名簿屋の問題について、簡単にコメントしまして、最後に中間整理の中で問題があると思われる２点について、苦言を呈したいと思います。
早速、次のページですけれども、若干自己紹介を用意しましたが、今、鈴木先生からも御紹介いただいたように、情報公開請求をして、個人情報保護法の立案過程の分析をしております。法制局審査資料の議事メモを全て読んでみますと、今まで皆さんが疑問に思っていたことは、既に過去に議論されていたものがたくさん見つかりました。そういったものを論文にまとめる作業しているところでありまして、これを背景に、今日の意見も構成しております。
次をおめくりいただいて、結論から言いますと、利活用と保護を両立するために、統計量への集計は問題としないということを、この際、明確にするべきだと思います。これは既にＱ＆Ａにちらっと書かれておりますが、ガイドラインにも記載がなく、逐条解説書にも何も説明されておらず、結局、理由、なぜそうなのかということが示されていません。
これを明らかにするためには、先ほど来出ていますように、法目的を具体的に明確化していないから、説明がつかないと思うわけです。
私から提案したいことは、今、忘れられている本来の法目的とは何か。ここに書きまし
たけれども、「個人データに基づいて、本人に対して、何らかの影響を及ぼすようなことが問題」だ。これはＥＵの言い方で言えば、プロファイリングに基づく自動決定などがそれに当たると思いますが、個人の選別、選別といっても、軽いものから差別のように重いものまで多々あると思いますが、重い、軽いを除いて、個人を選別することが、日本法における法目的として欠落しているように思います。
ただ、過去の立案資料を見てみますと、昭和63年法のときこそ、そういったことを議論
16

していましたし、行政機関法の全部改正の際にも、「何のために開示・訂正請求権を設けるのか」の議論の中で、行政機関が持っている個人情報を基に本人に対して何か処分する可能性がある場合でなければ、特に必要ないのではないかという議論がなされている。それというのは、言い換えれば、本人を選別するということが、法目的として頭の中にあったからではないかと思うわけです。
そういうことは、本来、組み込まれていたものが忘れられているだけですから、この際、民間部門の個人情報保護に対しても、そこを明確にするべきではないか。逆にそれをしていないがゆえに起きていることとして、「個人情報保護法はできたけれども、自分の情報が勝手に金もうけに使われるのは損」だという感覚が生まれてきて、これは本来の法目的ではないと思うのですが、そういった権利感覚が生じてしまって、「ビッグデータを勝手に利活用するのは許せない」という声が出てしまっているが、そういう趣旨ではない。あくまでも統計量への集計は問題ないということを、この際、明らかにするべきだと思うわ
けであります。
めくっていただきまして、次のページですけれども、これは『日経新聞』の報道から、
あくまでも私の理解ですが、利用停止請求権、今、条件付きになっているものを無条件にする。無条件といっても、先ほど小向先生から御指摘があったように、正当な利益若しくは契約に基づくものはちゃんと除くようにしないと、理屈が合わないとは思いますが、それは置いておきまして、利用停止を無条件に請求可能にするというのは、私の理解では、
事実上のプロファイリングの権利に関しての一部対応に当たるのではないかと理解しました。すなわち、新聞にもありましたけれども、「ダイレクトメールを送るのは認めるけれ
ども、自分をプロファイリングすることは認めない」ということが書かれていたのは、いわばプロファイリングされないということを請求できると理解しました。
仮名化データの新設というのも、「第三者提供は制限するが、利用は緩和する」とあって、一見よく分からない感じがしますが、要するに統計利用のためにデータを温存できるという意味だと理解しました。
次のページに、その件について、少し詳しく書いておりますが、これは良い提案だと思います。現行法でも統計量への集計は、本来、目的外に利用可能であるはずですが、利用停止請求権を設けるということは、そういった利用も停止できるようになってしまうとこ
ろを、データを仮名化しておけば、使える、温存できるというアイデアだと理解しました。
加えて、開示・訂正請求権からも除外されるというのは、新たな規制緩和になると思いますが、これも大変良いアイデアだと思いまして、その理由というのは、次のページに書
いておりますが、医学系研究倫理指針の改定の際に、助言をいくつかしておりましたけれ
ども、現場からの声として、「研究用データというのは、仮名化してあるにもかかわらず
個人データだと言われるとなると、開示請求に対応しなくてはいけなくなって、現場が大変だ」という声があります。「そもそも本人にアプローチするデータではなくて、最終的に統計量に集計されるだけの扱いをしているのに、なぜ開示や訂正の求めに応じなければ17

いけないのか」という、疑問の声が出ておりました。これが今回『日経新聞』の報道レベルですが、そういったものが実現されると、これを解決するものと言えるのではないかと思いました。
次のページにまいりまして、開示請求権というのは、そもそも何のためにあるのかということをよく確認しておく必要があると思うのですが、誤用した考え方が広がって、誤解も広まっているように思います。
私が耳にしたところでは、１つは、例えば、「自分の情報を備忘録がわりに請求して思い出す」ということが行われている。他にも、「遺族が本人が死亡したので、不明になってしまった情報を得るために、開示請求している」という例があるようで、今回の中間整理の中にも、「家族への提供に応じないことに関する不満」が挙げられていることから、それを手当することを検討されているとは思いますが、本来の開示請求権の目的は、訂正を請求する前段階として、自分の情報が間違っていないかどうか確認するためとされてきたことからすると、こういう用途というのは、誤用に基づく希望ではないか。そこに対応してしまいますと、制度趣旨が混乱してしまいますので、この点は慎重に検討していただ
きたいと思います。
ここに述べておきましたが、過去の立案時には、法制局でこの辺は詳しく議論されていますので、そういった点を踏まえるべきだと思います。
次にまいりまして、プロファイリングについてです。先ほど述べましたように、利用停止請求権を無条件にできるようにするというのは、事実上のプロファイリングへの対応だと言えると思いますが、ただ、利用停止を請求するにしても、利用目的の通知・公表の中で、自分の情報がプロファイリングに使われていると書かれていなければ、利用停止を請求することもできませんので、事業者側はその旨を書くべきでありますが、現行法では、そこの考え方の区別を求めていないので、このままでは分からないままになってしまうだ
ろうと思います。これをやるのであれば、利用目的の書き方として、プロファイリング的なものの記載の指導をしていかないといけないように思います。
用語について書きましたが、プロファイリングという言葉は、誤解が非常に多いので、別の言葉を考えたほうが良いように思います。宍戸先生とか山本先生などは、推知すること自体をプロファイリングと捉えて発言されていたことが、過去にありましたけれども、ＥＵでは推知の結果を用いて、個人を自動処理で選別することを問題としているので、む
しろ選別という部分がニュアンスとして出るような用語を作ったほうがいいのではないか。
実際、今回の『日経新聞』の報道も、夕方に差し替えられていましたが、朝の記事では、
推定するようなマーケティングには利用しないでほしいという文章になっていましたが、このまま読みますと、統計利用も認めないと聞こえてしまって、誤解させている。こういう誤解がないような用語を考えていただきたいと思います。
次に、簡単になりますが、中間整理に書いてあったことについて、触れます。
ターゲティング広告に関しては、通常、端末を識別して蓄積される個人に関する情報を18

基に行われていて、現行法上、個人情報でないということがずっと言われてきたわけでありますが、先ほど来述べています法目的を、「個人を選別すること」を中心に捉えていきますと、たとえ端末で識別される個人であっても、個人を選別する目的で集めているのであれば、それは個人データと言って良いのではないかと思います。
同様の考え方は、第29条作業部会の「concept of personal data」のオピニオンの中にも書かれておりますので、是非御確認いただきたいと思いますし、昭和63年法でも、自動車登録ファイルの場合には、自動車のナンバーを基に識別される個人という考え方で、対象に入れるという議論がずっと行われていました。この辺も思い返していただきたいと思います。
その点は、次のページにありますように、中間整理では、「提供先で照合可能な情報が、特定の個人を識別できるような情報になるかもしれない」という考え方が示されていますが、前回改正のときに、この考え方で匿名加工情報に取り組んで、結局うまくいかなかったという経緯を考えますと、また同じ轍を踏むと思いまして、そういう問題ではないということを述べたいところです。
そういう問題でないというのは、先ほど述べましたように、個人を選別するために端末で識別しているものを個人データとすれば、このような、「個人が誰であるか」、あるいは「氏名到達性」といった観点で、今までやってきたような考え方は不要であるはずで、そこの転換をしない限り、ＥＵと同じような考え方にはならないと思います。そのためには、事業者がどのような目的で扱っているかによって、個人データ該当性が決まることになるかと思いますが、これが客観的に判断できるかという論点もあるかと思います。これはハードルの高い提案だとは承知しておりますので、次の改正でできることだとは思っておりませんが、少なくともこれとは違う他の方向に行ってしまわないように、お願いしたいという意見でございます。
次のページは、これと関係しますが、個人識別符号を拡充することによって、クッキーを入れるといったことについて、一定の検討はなされておりますが、先ほどのように整理しますと、「ＩＤが何か」という問題ではなくて、「何をしようとしているか」という問題でありますので、下手に個人識別符号の拡充で手当てしないほうがいいと思っています。
次のページにまいりまして、名簿屋対応については、つい最近、「破産者マップ」というサービスが問題となり、国会でも取り上げられていたと思いますが、現行法ですと、正常なオプトアウト方式で届け出されてしまいますと、あのようなものを止めることはできない。しかし、国民世論としては、あれは止めなくてはいけないということでしたので、一部に関しては、オプトアウト方式による第三者提供を見直してはどうか。それは個別具
体的なプライバシーなのでしょうけれども、法益の侵害レベルを委員会で判断するという道があるかもしれない。簡単ですが、そのような提案をいたします。
最後に２点、苦言と申しましたが、中間整理でいくつか問題がある記述があると思いました。
19１つ目は、先ほど鈴木先生からも指摘がありましたが、個人情報と個人データの区別について、個人データでそろえていくべきではないかということに関してですけれども、今回の資料には、「段階的に後者が前者に包含される関係で規律が上乗せされている構造となっている」と書かれております。
次のページに図を載せておきました。３月20日の委員会資料に、こういった３段階の図が載っておりますが、これまでこういった図は示さないように、皆さん、気をつけてこられたはずです。実際、委員会のパンフレットも、こういう記載はされておりませんでした。
むしろ外野の識者がこういった図を載せていたために、こういう考え方が広まってしまったと思うのですが、もともと平成15年法ができたときの園部編逐条解説書の図を御覧いた
だいても、第16条から第27条の義務は、個人情報データベース等に対して適用されるのだという図だけが、あえて載せられています。現在、このような原因を開示資料で分析中でありますけれども、条文上、どう読んでも、３段階の構造になっていると読めるのですが、本当はそういうつもりではなかったのではないか。
当時の藤井審議官は、次の資料にも載せておりますが、「あくまでもこの法律は、個人情報データベース等を対象とするものだ」ということを書かれています。この辺を確認する必要があります。条文を直す必要があると思いますが、ハードルが高いのは重々承知しておりますが、ここも違う方向に行ってしまわないように、注意していただきたいと思います。
最後の１枚ですけれども、先ほども少し出ておりましたが、法目的から外れるような活動が一部あるのではないか。個人情報保護というのは、住所氏名保護のようにとられてしまいますと、「ＳＮＳに住所を載せないようにしましょう」といった、子供の教育啓発ということになりがちですけれども、本来の法目的がデータの分析による本人への影響ということからすると、それは法目的とは関係のないことで、むしろ警察庁とか、総務省の消費者行政課などがやっていることであって、個人情報保護委員会でやることではないのではないかと思います。
こういうふうにどうしても啓発活動が流れていってしまうのは、本来の法目的を今まではっきりさせてこなかったからこそ、こちらに行ってしまい、また、国民も何のための個
人情報保護なのかということがずれていってしまっているように思います。教育啓発をするとすれば、最後に書きましたように、事業者に対して、どういう警戒の目を持つべきであるか。それは事業者が信用できるかということと、もう一つは、自動処理によって、個人選別されることに踊らされないということについては、是非啓発していただきたいと思います。
以上でございます。
○嶋田委員長ありがとうございました。

最後となりましたけれども、新保様、よろしくお願いします。
○新保氏

慶應義塾大学の新保です。
20

私からは、まず総論的な事項としては、官民双方を対象とする法の建て付け、公正な法
執行、個人の権利利益を確実に保護する、国際的な個人情報保護への取組の促進です。
３年ごとの検討となっておりますので、３年後ではないということから、今回も含めて、今後、引き続き、継続的に検討を行うに当たって、とりわけＡＩの普及は、今後、個人情報の取扱いの環境を大きく変化させることから、それを見据えた、長い目で見た制度変革が必要であろうと思います。
その上で、３つ、意見を述べさせていただきます。委員会の権限拡充、国際的対応、個人情報取扱事業者の義務が主になります。
１点目の委員会の権限拡充につきましては、まず官民双方を執行の対象とすることは、前提であろう。民間部門との不均衡が生じないよう、公平な執行体制を整備することは不可欠ですし、現に番号法に基づく執行対象は、官民双方となっております。匿名加工情報などについても、官民では、異なる定義によっているため、官民データ活用推進のためには、定義の統一化を図っていいだろう。
委員会の権限拡充につきましては、法執行、制裁措置の実効性の確保という観点から、漏えいのみが制裁の対象ではないことが注意点であります。漏えいについては、社会的制
裁がかなり広く及んでいることは、周知のとおりでありますけれども、漏えいについては、
むしろ後半、後ほど申し上げる漏えいについての報告の義務、本人に通知するということについて、救済を行うことが非常に重要な論点でありますので、必ずしも漏えいに対する制裁をさらに強化することは、必要ではないと考えています。
一方で、個人情報保護方針は、現行では、基本方針において、あくまで明示するとなっておりますけれども、法令上の義務ではございません。国外では、例えば連邦取引委員会
法の第５条では、不公正、または欺瞞的取引ということについて、「言っていることとやっていることが違う」ということは、消費者にとって、非常に不利益を及ぼすという観点から、法執行がなされております。
こういったことから、今後は、言っていることとやっていることが違うことについて、消費者としては、ある意味でだまされた形で、個人情報が取り扱われることとなりますので、個人情報保護方針の法決定なども検討が必要だろう。
次のページでありますけれども、自主的な取組の促進が重要ではありますが、自主的な取組の推進と、さらに日常的にデータが越境して流通しているという観点からいたしますと、個人情報保護法を根拠に、新たに認証制度を用いた制度を構築しても良いのではないか。
その理由としては、世界で最も成功しているプライバシーマークという制度がございますけれども、１万５千社以上の事業者が既に認定を受けておりまして、非常に成功しています。明らかに世界で最も成功したマーク制度であると言えます。
一方で、Ｐマークは、ＪＩＳ規格に基づく産業標準化法を根拠とする制度でありまして、
個人情報保護法を根拠とするものではございません。したがいまして、従来から我が国の21

法制度において、基準としている、ＯＥＣＤプライバシーガイドラインも、プライバシー・
マネジメント・プログラムを整備することを示しておりますから、そちらの制度に基づいて検討してはどうかといった観点です。
さらにＧＤＰＲは、非常に高度な取組を行っておりますけれども、ＧＤＰＲにおいても、認証制度がございますので、そういったところとの相互認証を行う。それによって、プラ
イバシー／データ保護影響評価を実施することは、可能ではないかと思います。
２つ目の国際的な対応につきましては、域内適用について、外国事業者に対する執行を
きちんと実施できるような、実効性を確保することが必要であろう。そのために、データの流通と保護のバランスをきちんと国際的な枠組みの中で図っていく。とりわけデータローカライゼーションという動きがございますので、これに対抗するためには、自由なデー
タ流通確保が不可欠であると考えられます。
そのためには、現状、ＡＰＥＣのＣＰＥＡという取組がございますけれども、ＯＥＣＤ
では、例えばＣＰＥＡ、越境執行についての取組についてのガイドラインはございますが、越境プライバシールール、つまり自由なデータ流通を目的としたルールについては、特にそれだけを目的としたものはございませんので、こういったところについて、越境執行協
力と自由なデータ流通、さらに認証という取組を国際的な枠組みで我が国から提案して、図っていけるのではないか。国際的な相互認証の構築も、先ほどの個人情報保護委員会が、個人情報保護法を根拠とした認証制度を構築すれば、各国との協調、相互認証も可能であると考えられます。
なお、参考までに、ＩＳＯというものがございますけれども、今回、個人情報保護法の改正とともに、ＪＩＳ

Ｑ 15001という産業標準化法に基づくマネジメントシステム規格も改定を行っております。もともとＪＩＳ

Ｑ 15001は、ＥＵの制度を参考にした非常に高いレベルでの個人情報保護を目的とした仕組みでございます。既にＩＳＯと同じ構造に変更済みでありますので、これを国際標準として提案するということは可能であろう。
最後に、個人情報取扱事業者の義務の見直しについては、個人の権利利益の意識の高まりによって、現状では、不正取得、目的外利用、第三者への無断提供という手続違反がある場合に限定してのみ、請求権の行使が可能となっております。一方で、これを無条件に認めるとなりますと、いわゆるクレーマー的に適法な取扱いも制限されるという懸念がございます。
そのために、既に他の有識者からの意見もあったとおり、適法化という問題もございますけれども、我が国は、オプトインを前提とする法制度とはなっておりません。今後もオプトイン前提を求めることは、事業者の過重な負担になると考えられます。したがいまして、手続違反による場合に限定しない請求権の行使とともに、適用除外を明確にすることによって、個人の権利利益保護をより高める取組が必要ではないか。
なお、その際に、先ほどのＪＩＳ

Ｑ15001などについては、６か月といったような要件はございませんので、それによって、保有期間にかかわらず対応することも可能でありま22

しょうし、さらに最近では、情報銀行などの取組によって、いわゆるデータポータビリテ
ィーを確保するための素地が整いつつありますので、そういった観点からの取組も、個人の権利の保障、請求権の在り方として考えるべきではないか。
最後に、漏えい報告につきましては、個人の権利を保護するという上で、漏えいが発生して、どのような問題が発生するのかという消費者個人の不安が高まります。一方で、漏えい報告は、事業者にとっては非常に大きな負担となります。報告を要しない場合については、既に平成29年の個人情報保護委員会規則で定められておりますので、それを法的な義務として踏襲をするとともに、本人への通知義務の範囲、本人がどのような場合に、通知をしてもらうと、逆に不利益が及ぶのかといったことも含めて明確化することが必要ではないか。例えばがん登録制度のときには、がん患者の方にがんであることを告知していないのにもかかわらず、がん登録のデータベースからのデータが漏えいしたということを通知する、告知を受けていない患者の方に、がんであることを通知してしまうといった支障があるという問題が既にございます。
また、漏えいについては、報告を行うことについて義務付けることが必要である一方で、報告を正直にすると、逆にペナルティを受けるという不公平感が生じる可能性がございます。報告に対する罰則を重くすることによって、報告をしないことによって、結果的に事後的に消費者被害などが発生させた場合には、かなり重い制裁があることを前提に、報告義務を課すべきではないかと思います。
以上であります。
○嶋田委員長ありがとうございました。様々な角度から、非常に貴重な御意見をいただ

くことができました。
私から、４点ほど、既に御意見を頂戴している分野がありますが、お尋ねしたい点を示しまして、ご発言いただきたいと思います。
１番目は、あるべき法の姿ということで、特に鈴木様と高木様から、いろいろな御提案をいただいておりますけれども、実際、今後のあるべき法の姿として、端的にどういった目的を軸に据えるべきであるとお考えかというところにつきまして、他の先生方からも御意見を伺えたらと思っております。
２番目は、利活用についてなのですけれども、今後の見直しについては、保護と利活用のバランスが重要であると、私どもも申し上げてきました。各方面の御提案は、全般的に保護すべきであるという形をいただくことが多かったのですけれども、今日も何点かございましたが、利活用を促す観点から、さらにいただける御意見はありますでしょうかという、利活用の問題です。
３番目は、既に皆様から御意見を頂戴していますが、外国事業者に対する法執行です。
これは御存じのとおり、外国事業者に対する法執行については、様々な状況から、内外無差別を主張する意見があるのですけれども、主権との関係もあって、難しい面もあります。
今日は、ほとんど全員の先生方から、法執行については、意見を頂戴していると思います23けれども、さらに追加して、何かありますという方は、是非御意見をいただきたいと思います。
４番目に、将来の課題、リスクで、ＡＩといった指摘も、さらにマスコミでもされているわけですけれども、今、ある程度将来を見据えて、対処すべき課題、リスクについて、更にこれが重要だという御意見がありましたら、是非いただきたいと思います。
挙手をいただきまして、御意見を頂戴できればと思っております。
新保先生、どうぞ。
○新保氏

簡単に一言ずつですけれども、法目的は、プライバシーの権利保障という観点から、今後、考えます。特に基本理念においては、プライバシーの権利は明記されておりませんので、今後、いかにプライバシーの権利の観点から考えていくのか。
利活用については、先ほどの委員会を中心とした認証制度などの構築によって、高いレ
ベルでの保護を行う事業者は、より積極的に利用を認めても良いのではないか。
３点目の外国事業者との関係については、執行協力は既にできますので、より積極的な執行協力を行うことによって、例えば先ほどの個人情報保護方針の決定など、適正な取扱いを行っている事業者がいる一方で、言っていることとやっていることが違うということについては、執行協力をより充実していくことが良いのではないか。
以上、３つであります。
○嶋田委員長ありがとうございます。

他にいかがでしょうか。どうぞ。
○小向氏

簡単にお話しします。まず利活用についてですけれども、報告の中でも申し上げましたように、日本の個人情報保護制度に関する議論では、個人情報ではなくしてほしいという意見がものすごく強いのですけれども、これは無理筋だと思っています。個人情報の対象は、むしろ広くすべきであって、規律がかかった上で、正当な利用が許されるというものを広げていくべきです。現在のように、個人情報の取得や利用の自由度が高くて、本人の意思反映等の仕組みがない一方で、第三者提供や、利用目的の変更を禁止的に決めている制度は、改める必要があるだろう。
トータルで、バランス良く利用の正当性を考えることが望ましいのであって、先ほど申し忘れたが、一般規定やバランステストというのは、規制機関が裁量を持って、責任を持って判断しないと、機能しない制度ですので、導入に当たっては、個人情報保護委員会の権限の拡充とそういった明確化は、必要になるだろうと思います。
長くなりましたけれども、以上にしたいと思います。
○嶋田委員長○板倉氏

ありがとうございました。どうぞ。

順番に一言ずつ申し上げると、加藤先生からあったように、個人情報保護自体が人権だというところまで、あまり書いていないことを申し上げます。
あるべき法の姿の点ですが、アメリカなどは、公民権法をかなり使って、個人情報の争
いもあります。日本は、人権擁護法を出しても通りませんが、この点、要配慮個人情報の24定義には、差別が生じないようにすることがありますので、プライバシーを明記するという話は先ほどありましたが、加えて差別禁止というのは、言っていいだろうと思います。
欧州評議会の第108号条約は、まだ日本は入る検討をしていないと思いますが、両方とも
おそらく第108号条約には組み込まれていますので、加盟の検討も含めて、あるべき法の姿は、検討していただければと思います。
２番目の利活用については、企業から統計で使いたいという話がありますし、高木さん
からもありましたように、統計については、どちらかというと、要するに個人情報の利用ではないということを明確に出してほしいともありましたが、さらに内容を通じての統計化がどれぐらい受け入れられるのか。これは秘密計算が得意なところではありますし、今のところは、おそらく法解釈としては、第三者提供に当たってしまうということですが、この方向は、更に検討していただきたいと思います。
３番目の外国事業者については、まずあの人たちは、会社法に違反していますから、法務省と十分やっていただいて、今の登記をする義務を果たしていないというのは、是非正面からやっていただいた上で、代理人の設置義務であるとか、小向先生がおっしゃったよ
うな、別に抜かなくてもいいのではないか、法律上は、行政処分も入れておくという方向がよろしいのではないかと思います。
当然越境執行協力については、日本はあまり表立ってやっていなくて、出していないだ
けで、やっているのかもしれませんが、例えばカナダとオランダでやりましたとか、外国の執行機関はやっていると思いますので、これは積極的に参加していただければと思います。
将来の課題、リスクは、先ほどの差別禁止とも絡みますが、プロファイリングのあたり
は、必ず問題になってきますので、是非正面から取り組んでいただくことと、私がよく御相談で受けて、みんな対応できていないのは、ある人に対するサービスに巻き込まれるという問題です。
非常に単純な例ですけれども、スマートテレビとか、チャネルを変える人が他の人だったりすると、それがスマートテレビかどうかも分からないまま、個人情報の問題になります。スマートスピーカーもそうですけれども、スマートスピーカーのGoogle Homeなどは、
あれは誰かの声が入ってしまったりするのですが、グーグルは、どうやって対処しているのかと思って、規約を見ると、来客があるときは、心配だったら、電源を切ってくださいと書いてあるのです。グーグルですら、それしかできないのかと思うのですけれども、この巻き込まれる系の個人データの話は、本人に対する通知、公表もできませんし、かなり難しい問題で技術でも全く解決できないのですが、今後も増えていくと思いますので、是
非御検討ください。
○嶋田委員長○加藤氏

ありがとうございました。どうぞ。

大変申し訳ないのですけれども、新保先生と板倉先生と反対の意見でして、法の目的は、現在のままで問題はないと思っています。
25

プライバシーと個人情報は違うものですから、この法律は、あくまでも個人情報を守るという目的で良いと思います。私は、プライバシーの観点から、いろんな形で精査したほうが良い部分はあるとは思っていますけれども、目的としては、個人情報とプライバシーは別のものと考えております。これはかえって入れないほうが良いのではないかと思っています。
もう一つ、差別の問題ですが、これを取り込むことも反対です。というのは、大企業がプロファイリングするということは問題があるのかもしれませんけれども、法がかなり幅
広くいろんな人をターゲットにしていますので、民間に適用されることを前提としています。国が差別することは問題がありますから、鈴木先生の御懸念は、私も理解できます。
それは行政機関が保有する個人情報保護法では、大分必要なことかもしれませんが、個
人情報保護法で入れた場合、要するにみんながすべからく平等に行動しなくてはいけないと、憲法上、民間レベルで言えるのか。憲法上の権利は、あくまでも国に対する権利ですが、例えば我々は日常的に友達を好き嫌いで選んでいたり、差別は日常的にするのです。
実際問題、そういったことまで、法の目的に入れてしまうということについては、行き過ぎな感じがしています。民間レベルでは、我々は、差別と自由というのは、衝突しかねません。これが法の目的の部分です。
３番目、法執行ですけれども、外国に対する法執行は、どの段階を考えていらっしゃるのか、よく分からなかったのですけれども、ＧＤＰＲは、ほとんど政治的に使われている部分がありますので、例えばアイルランドは、制裁金制度が存在しないのです。これはどうしてかというと、企業に来てほしいからです。他方、フランスは、今年１月でしたか、
板倉先生もコメントをされていましたけれども、62億円の制裁金を課しているという、とんでもなく恐ろしいことをやるわけです。
このように、自分のところでお金を取り込もうということで、結局、国の政策的道具になりつつあると思うのです。フランスは、制裁金を課して、62億円を取ります。でも、アイルランドは、こういった執行はしないで、企業になるべく来ていただいて、税金という形で納めていただく。何となく政治的なものになりつつあるところがありまして、日本が本当にどうしたいのかというところを考える必要はあるのではないかと思うのです。感想
めいた形で申し訳ないのですけれども、そういうふうに思っています。
以上です。
○嶋田委員長○高木氏

他にございますか。どうぞ。

お尋ねいただいた４点のうち、外国への法執行については、専門外であります

ので、発言は控えさせていただきますと、残り３点については、幸い先の私のプレゼンで既にお答えしたと思います。今、ちょうど面白い議論になっているところだと思いまして、私としては、小向先生、加藤先生、新保先生にも反対であります。それを述べたいと思います。
小向先生は、利用目的変更をもう少し緩和するべき、第三者提供の制限は厳し過ぎる。
26

これはまさに前回改正の際に挙げられた観点で、ぎりぎりなところで整理し終えた、既に解決済みの問題であると思っています。どのように解決されたかは、先ほど述べましたよ
うに、統計量への集計は、もともと問題ではないような、つまりビックデータ利用は、通常統計量に集計して使うことだという整理です。
残るのは、統計量ではないものというと、結局、何なのかと言えば、本人に何かしら影響を及ぼすものであり、公的部門だと処分、民間だとターゲティングということになりますが、そこだけが残るという整理でした。そこは、今日、述べましたような形で、次の改正で取り組まれると良いのではないかと述べたところです。
加藤先生のおっしゃるポイント、差別に関するものを規定に入れるのは反対ということ
で、私も別に差別について入れるべきとは思っておりませんけれども、もっと緩やかに本人の選別ということについて、本人が拒否できる程度でまずは良いのではないかと思っておりますが、加藤先生の御指摘は、個人が他人を差別したりするのは、日常的に自由であるはず、これは私も同意するところではあります。
このように加藤先生がおっしゃる背景には、加藤先生のプレゼンテーションにもありましたように、最後のところに書かれていた「個人情報」は、個人データではなくデータベース化されていない裸の情報の扱いを個人情報保護法が対象としているという前提でおっしゃっているのだと思いましたが、先ほど述べましたように、本来の個人情報保護法の対象は、データベース化されている、一人一人がリスト化されている中で、機械的に一人一人を選別するようなことを問題の中心として捉えているので、御懸念されているような、
仮に差別を禁止規程に入れたとしても、データによる自動処理に対してであるはずなので、個人の日常的な差別行為という、自由なものとされているものについては、法の目的は及ばないものだと、反対意見を述べたいと思います。
新保先生に対する反対は、法目的にプライバシーを明確にするべきという点についてです。これはかつてからずっと言われていることですが、法制局審査資料を精査していきま
すと、どのようにかつて整理されてきたかが分かりました。実際、いろいろな観点からの法目的がある。そこには、先ほどのような個人の選別というのは、意識はされていたようですが、それを具体的に明文化するのは、最初、特に公的部門を中心に法制化されました
ので、公的部門にそれは要らないのではないかという意見もあって、入らなかった。その結果、忘れられてしまったと思いますが、民間部門は、何をやるか分かりませんので、それも本当はやるべきだったと思うのです。
それをプライバシーと呼ぶこともできると思うのですが、プライバシーと言ってしまい
ますと、隠している情報が暴露されることであるとか、他人に対して知られることといったことを想起してしまいますが、法目的はそちらではなくて、データによる処理であることを考えると、プライバシーを中心に置いてしまうと、誤解を招くのではないか。そうい
うこともあったので、「個人の権利利益」という形でごまかしてきているのが、これまでの歴史だと思いますので、注意して明確にしていただきたいと思います。
27

以上です。
○嶋田委員長○鈴木氏

ありがとうございました。どうぞ。

すなわち、今の状況がプライバシーか、個人情報か、目的は違う、プライバシーを権利にすべきだという状況自体、法目的を見失っている証左です。中核的義務が何かということについても、法目的が曖昧なゆえに、こういう迷走になっている。まさに今までの過去を、ここでも繰り返したようなもので、「学」のほうが理論的な基礎の論文をしっかり出してこなかったということの反省が必要なのかもしれません。
例えばアイデアとしては、５原則を撤廃しました、15年法の迷走の前に、一度、廃案になって、あるいはメディアから、５原則があると、不法行為法にはねて報道が萎縮するという、これも変な理屈だと思いましたけれども、これから請求権をいくつか設計しなければならない状況が見えているときに、一個一個独立に、ばらばらに入れていきますと、データを出せとか、まさに「行為請求」されていきますので、「やめてくれ」という権利だ
ったら、比較的弊害は少ないのですが、相手に何かをさせるというと、必ず調整が必要になります。これを第一義的に個人情報保護委員会が裁定するのかもしれませんが、法の設計の仕方は、それを必ず裁判所の判断に持っていけるような設計をしなければ、そこに調整の法理が育たないわけなのです。
そうなると、請求権が何から発生していくのか。まさに裸の請求権で、請求権の効果だ
け設計してやっていくと、ますます何のための法律かが分からない。何か困ったら請求権を付けていく、欧州から圧力があれば付けていく、これだとまさに自分を見失っていきま
すので、本来の法目的は何かといったときに、「right to privacy」だと、歴史的経緯、多義性という、従来から言われたことを引っ張っていくので、ワーディングとして不適切
かもしれません。多義的だという批判は、ずっとつきまとうと思います。
個人の尊重の原理という憲法のワーディングで、それを個人情報保護レベルで、それを具体化させるためにブレイクしたのが、８原則であり、５原則であるという原則を確認し、その原則をベースに、若しくは「個人データ管理権」という造語をしてもいいのかもしれませんが、まずは実体的権利、利益、価値、のように、法目的と連動する価値を確認し、そこから請求権が導かれていく。所有権があって、物件的請求権があるように、民法的な感覚で言うと、真ん中に何らかの権利、５原則に代えることも１つの方策かもしれません
が、そうしますと、開示の求めを使って、開示させて、それをデータポータビリティすれば良いみたいな、それぞれに主旨が違うのに、流用みたいなことが起きることも、何のためかの根幹が揺れているからでしょう。これで相手に何かをさせるという請求権を設計したら、都度、対立と混乱が起きるだろう。そこは最終的に判例に委ねられるような設計、
これが行政の取締り規定から、行政法から私法的な、刑事法、民事法としての精緻なつくりが必要とされるところだろうというのが１点です。
最後に、私、理化学研究所でＡＩをやらせていただいていますので、ＡＩについての質問については、光と影の両方に対応しなければならないと思っております。その影は、個28

人情報のレベルで、ＡＩの影に対応するとしたら、ＡＩの道具性を考えて、人間がコントロールしていくところの建て付けのために、自動処理されて、不利益的な取扱いを勝手に機械にされる、プログラムにされるということに対して、あくまでも本人に解除させるところを、個人情報の観点からも釘を刺しておく必要があります。
次に光への対応ですが、ＡＩの利活用は、国策ですから、ここをどうするかというと、仮名データを定義することです。匿名加工はだめです。意外とやってみたら、経済成長イ
ンパクトがそんなに起きなかった、やれる企業が限られていた。ですから、これはこれとして、アイテムとしてあっては良いけれども、起爆剤にはならなかった。
これからの日本の必要な分野は、医療と防災が極めて重要ですので、医療でＡＩを考えていきますと、臓器写真や脳のスキャンデータ、レントゲンの映像データを匿名加工してモザイクをかけると、無意味になってしまうのです。これはどこまでいっても、カルテ情報と紐づく、かつて連結可能、匿名化といった、要するに仮名データのままなので、仮名データを個人情報として、安全管理措置の一環として位置付けて、仮名データをどう取り扱うかということの端緒を作るという意味では、本改正で仮名データの定義を入れることは、極めて重要です。
仮名データとして、安全性を確保する中で、他の義務規定を例えば医療の特別法で設計していくためにも、一般法に仮名データの概念をつけておくというのは、極めて後の発展に重要で、仮名データを利用することが容易になるなら、まさにカルテの影を発見するよ
うな人間の名医にしかできないスキルを、名医に代わってＡＩが名医100万人分提供できるなら、これこそＡＩの利活用の一局面ではないか。これを個人情報保護法でその端緒を作っておくというのは、光の部分です。影はプロファイリングと自動決定です。これを禁止することが本来の中核的な義務だということを、もう一度、再検討していただければと思っております。
○嶋田委員長ありがとうございました。

まだまだお伺いしたいところでございますけれども、これにて終了いたしたいと思います。
本日は、本当に貴重な、多様な御意見をいただき、大変感謝申し上げます。
私どもも、様々なステークホルダーの方々に個人情報保護法に関する意見を伺いながら、さらに課題の整理、審議を深めてまいりたいと思っております。
それでは、先生方、本当にありがとうございました。どうぞ、御退席ください。
（有識者退室）○嶋田委員長

本日の議題は、以上です。

本日の会議の資料につきましては、準備が整い次第、委員会のホームページで公表してよろしいですか。
（「異議なし」と声あり）○嶋田委員長それでは、そのように取り扱います。
29

本日の会議は、これにて閉会といたします。
事務局から、今後の予定について、御説明をお願いします。
○的井総務課長

次回の委員会は、５月21日の火曜日の９時45分から行う予定でございます。
本日の資料は、ただいまの決定どおりに取り扱います。
本日は、誠にありがとうございました。

30