公益財団法人日弁連法務研究財団

主催「犯罪対策の課題と未来」第5回

犯罪収益の追跡、没収のための情報共有とプライバシー保護の調整：国際協力義務を中心に
2022年3月24日 石井由梨佳（防衛大学校准教授, EUREKA@NDA.AC.JP）自己紹介¡ 防衛大学校 人文社会科学群国際関係学科・准教授¡ 専門は国際公法、国際・越境刑事法、海洋法、国際組織法等¡ 『越境犯罪の国際的規制』（有斐閣、2017年）¡

多様な越境犯罪の規制がどのような経緯で作られてきたのかを示すとともに、刑事捜査において、国がどの範囲で他国にある情報を収集し証拠を取得できるのか、国はどこまで他国に協力しなくてはならないのか、規制の対象となる私人の権利がどこまで保障されるのかを、国際法の観点から分析。

¡

AML/CFT規制は多くの越境犯罪規制の基盤。

¡ 「デジタル貿易諸協定における個人情報保護法制とデータ・ガバナ

ンス」（経済産業研究所、2022年、https://www.rieti.go.jp/jp/publications/nts/22j004.html ）本報告のアウトライン
問題の所在• AML/CFT法制における金融機関、事業者の情報共有• 事業者（金融機関）におけるデータ・プーリ
ング• FATF指針、提言の紹介

実践例• 日本法の課題• 米国• 愛国者法314(b)• AML法• EU• AML5• 規則案

今後の課題• プライバシー保障• データ・ガバナンス• クロス・ボーダーの情報共有• データの越境移転規制• 国際協力の試み

問題の所在はじめに：問題の所在¡ 犯罪収益を効果的に追跡するためには、国家及び事業者間の情報共有が必要不可欠である。資金洗浄・反テロ法制（AML/CFT法制）について加盟国の権利義務を定める麻薬新条約、組織犯罪防止条約、
FATF勧告において、政府間（G2G）の情報共有義務と、事業者から政府に対する届出（B2G）については義務付けがされている。
¡ FATFは金融機関間においてマネロン対策のために顧客データ（顧客特定情報、実質的支配者情報、口座情報、取引情報）を共有する必要があると提言している。具体的には、企業グループ外での金融機関が共同してデータベースを構築し、疑わしい取引を検出することを含む。
¡

例えば、取引が多数の金融機関、事業者、管轄区域を跨いで行われている場合に、その全体像を明らかにすることができる。また、顧客の活動をより包括的かつ正確に把握し、デューディリジェンスや取引モニタリングにおいてより的確な意思決定を行うことができる。

¡ 既に金融機関によるビッグデータの活用は進んでいる。FATFもAML/CFT目的におけるデジタル化を推奨している。
FATFはAML/CFT法制実施のために、多層的な情報共有を行うことを勧告している。

はじめに：問題の所在¡ しかし、このような情報共有を拡大すると、それが関係国のデータ保護とプライバシー（DPP）法制に抵触する可能性がある。一国内でも、AML/CFT法制とDPP法制は必ずしも調整されていない。また
AML/CFT法制は他国の事業者や金融機関についても及ぶ場合がある。
¡ 仮に適用される法制がなかったとしても、憲法上保障されるべき、個人のプライバシーを制約するリスクがある。例えば、顧客の情報に対する自己コントロールが及ばなくなることが懸念される。

↓¡ 本報告では、事業者（特に金融機関）間の情報共有に関して、FATFと主要国がAML/CFT法制とDPP法制をどのように調整しているかを中心に検討し、規範的にどのように調整するべきかについても考察する。
¡ 主要国・地域が国際法上の協力義務とプライバシーとの調整をどのように図っているのかについても検討する。

AML/CFT法制における金融機関、事業者の情報共有
政府間の情報提供・交換（G2G）＝ 国際協力

麻薬新条約（1988年）、組織犯罪防止条約（2003年）等
安保理決議1373等〔金融不拡散〕（国連憲章25条）
二国間捜査共助条約（MLAT）
FATF勧告 → 国内法制の調和化
税務当局間の情報共有 → 捜査当局と税務当局との情報共有

顧客の身元確認＋疑わしい取引の届出（KYC/STR）
事業者から政府への情報提供（B2G） 警察からの捜査照会、税務調査、通信事業者からの
＝法令実施
情報取得
政府から事業者への情報提供(G2B)

制裁者情報、反社情報等

事業者間の情報提供(B2B)

取引者間、事業者グループ内、グループを超えたセクター間の情報共有

FATF (2016-2017), Consolidated FATF
Standards on Information Sharing,www.fatfgafi.org/publications/fatfrecommendatio
ns/documents/consolidated-fatfstandard-information-sharing.html

特定事業者
犯収法上、事業者に確認が義務付けられている情報（4条1）• 本人特定事項• 取引を行う目的• 自然人である場合にあっては職業、当該顧客等が法人である
場合にあっては事業の内容• 法人である場合において、その事業経営を実質的に支配することが可能となる関係にあるものとして主務省令で定める者があるときにあっては、その者の本人特定事項
•
•
•
•

取引情報
ATM、モバイル決済などの利用状況、音声・映像情報
コールセンター、チャットボットなどの利用状況
SNSの利用状況、ネット上の動向

利用者の同意に基づき得られる情報• 他業種のサービスの利用状況、購買行動、位置情報、ヘルス
状況等
外部情報：経済データ、政治状況、天候・・・

多層的な
データの収
集 → ビッグ
データの活用

既存の仕組み：コルレス間における情報共有
FATFは、電信送金の際に、送金電文に顧客情報を含めることを勧告している（勧告16）。
※ クロスボーダー決済の際、銀行法、データ保護法、プライバ
シー法が壁になり情報共有ができない場合があるという。

FATF, Cross-Border Payments: Survey Results on Implemntation of FATF Standards (2021),
https://www.fatf-gafi.org/media/fatf/documents/recommendations/pdfs/Cross-Border-PaymentsSurvey-Results.pdf, paras. 87-88

日本・犯収法10条1項：特定事業者は、顧客と本邦から外国へ向けた支払に係る為替取引を行う場合において、当該支払を他の特定事業者又は外国所在為替取引業者に委託するときは、当該顧客に係る本人特定事項その他の事項で主
務省令で定めるものを通知して行わなければならない。

既存の仕組み：クレジットカード決済機関間の情報共有¡ クレジットカード・ブランドのルールにおいて、取引時にイシュアからアクワイアラに対して、顧客についての情報伝達（顧客・取引スク
リーニング）を義務付けている。
¡ ただし、提供するべき情報項目はブランドが策定。適切に犯罪検知ができるかが課題。
（← この限界について指摘するものとして、 http://www.nakasaki-law.com/wpcontent/CBDC.pdf参照。）

https://www.meti.go.jp/committee/kenkyukai/shoryu/credit_carddata/pdf/001_03_00.pdf

https://usa.visa.com/partner-with-us/info-for-partners/info-forsuppliers/visa-anti-money-laundering-anti-terrorist-financing-sanctionspolicy.html

データ・プーリング¡ データのプーリングには、集中型（データプー

リング：データを1箇所に集約して分析）または分散型（コラボレーティブ・アナリティクス：
それぞれのセクターが分析ツールを用いてデータ分析）がある。プーリングによって、金融機
関は大量の構造化および非構造化データをより効率的に分析し、パターンや傾向をより効果的に特定することができる（FATF, Stocktake on
Data Pooling, Collaborative Analytics and Data
Protection, 2021） 。

これを可能にするために実用化されつつある技術として：• 暗号化技術• Privacy Enhancing Cryptography：データの所有者がその基礎データを開示することなく計算を行うことを可能にする暗号技術。
• 高度分析技術
• ネットワーク分析、自然言語の加工• データの加工と移転のインフラ• 信頼された実施環境（trusted
enforcement environment）、分散台帳技術

人工知能を用いたAML対策
機械学習をさせて不正な収益の流れを検知するモデルを実証した例。
United Overseas Bank, Tookitaki, Deloitteが不正検知のためのモデルを開発。不正の検知、名前のスクリー
ニング、全体の効率性において、ポジティブな結果を得た。
→ 機械学習のためには大量のデータが必要。

https://www2.deloitte.com/mm/en/pages/financial-advisory/articles/the-case-for-artificialintelligence-in-combating-money-laundering-and-terrorist-financing.html

実証例：日本：AML／CFT業務の共同化に関する実証実験¡

全銀協「 AML／CFT態勢高度化研究会」（2018年）→ 「 AML／CFT業務共同化に関するタスクフォース」（2021年）¡

2020年、金融庁と新エネルギー・産業技術総合開発機構の後援により、日本の金融機関（一般社団法人 全国銀行協会、有限責任 あずさ監査法人）が参加する独自の概念実証（POC）プロジェクトを展開。

https://www.fsa.go.jp/singi/singi_kinyu/shikinkessai_wg/shiryou/20211013/siryou5.pdf

日本：令和4年 資金決済法改正案：為替取引分析の共同化

顧客と取引
の双方につ
いて分析、
警告。

• 預金取扱金融機関等と同様の個人情報保護規制。
• 預金取扱金融機関等から共同機関に提供される個人情報は、分別管理し、他の預金取扱金融機関等と共有しないことを想定。
• パラメータについては共有して分析に活用。
上：https://www.fsa.go.jp/common/diet/208/03/gaiyou.pdf
左2図：https://www.fsa.go.jp/common/diet/208/03/setsumei.pdf
参考：中崎・佐藤法律事務所ニュースレター2022 年3月（https://nakasakilaw.com/wp-content/220313/news220313.pdf）

他国の実証例¡ 英国：TriBank Pilot (2019-)／TechSprint (2019-) など、複数の枠組みでの実証実験を展開。詐欺や不正に対抗するための新しいソリューションや商品を開発しようとしている革新的な企業に、
銀行取引の合成データセットへのアクセスなど
一定の支援を提供。
https://www.digitalsandboxpilot.co.uk¡ オランダ：取引監視（Transaction MonitoringNL）。オランダの5つの銀行が共同で、決済取引を一括して監視し、MLやテロ資金供与（TF）
を示す可能性のあるシグナルを特定するための取り組み。

¡ 中国：中国人民銀行AML局の指導・監督のもと、複数の中国金融機関において、ブロックチェーン、デジタルID、信頼できるプライバ
シー向上技術を統合したAMLリスク情報共有プ
ラットフォームの試行運用が行われている。
¡ 参加金融機関は、デジタルID番号（DID）や金融機関が特定したリスクラベルなどの高リスクの顧客情報を暗号化し、ブロックチェーンに
アップロードすることができる。

中国の2021年AML法については後述。

FATF勧告、指針等の紹介

FATF プライベート・セクター間の情報共有指針（2017年11月）¡ FATF Guidance, Private Sector Information Sharing, https://www.fatf-

gafi.org/media/fatf/documents/recommendations/Private-Sector-InformationSharing.pdf¡ 金融機関のグループ内、そして、同じグループに属していない金融機関

間で、情報共有する時の、主要な課題を整理し、指針を示したもの。
¡ 共有するべきデータとしては次のものがある。
¡ 顧客リスクの兆候：顧客情報、取引情報、疑わしい取引の有無、その他の懸念事項（red flag）¡ コルレス銀行関係にある金融機関のリスク評価

AML/CFT目的でのデータの活用
目的

プールしたデータの活用方法

制度的なリスク評価

自社内のML/TFリスクを把握、評価

顧客についてのリスク評価

自然人または法人が、過去に金融グループ内外の別の機関にフラグや懸念を提起したことがあるかを調査

取引の監視

顧客の取引パターンを調査して財務状況を評価し、レイヤリングを検出。
金融機関間で検出された異常な活動をフォローアップ。疑わしい取引のより効率的な検知。

取引関係のリスク管理

継続的な顧客情報の更新、複数の金融機関にまたがる同一顧客のグローバ
ルリスク露出の特定〔KYC〕、新しい情報や顧客行動の変化を反映した動的なリスク管理。

受益者の特定複数の機関にわたって同一の受益権者を特定。シェルカンパニーの検出を強化。受益権者情報の記録管理をより効率的に実施。

犯罪類型の特定

新たに出現した犯罪の類型をより迅速かつ正確に特定

FATF プライベート・セクター間の情報共有指針（2017年11月）
主要な法的問題として（1）各国のDPP法制と（2）金融機関の秘密保持義務が挙げられている。
¡ 各国のDPP法制が異なるため、民間セクターが情報を共有する際に、実施上の課題が生じる可能性 がある。国によっては、情報共有の指針がなかったり、一貫性のないアプローチが取られていたりすることもある 。
¡ AML/CFTとDPPの目的との間に矛盾があると考えられる場合、管轄当局間の十分な調整がなされていない場合などがある。
¡ 情報共有が許されていたとしてもそれぞれの異なるDPP法制の アプローチが複雑であって、 情報の入手、アクセス、処理、共有が難しくなっていることもある。
→ データ保護当局が、民間部門がAML/CFT目的で行う、国境を越えたデータ移転が、DPP規制上、どのような要件の下で許容されるのか、 解釈や指針を出せば、複数の法域で業務を行う金融機関にとって有益である。

FATF プライベート・セクター間の情報共有指針（2017年11月）

DPP法制における障壁例として、次のものが挙げられている。
n グループ内での情報共有：

グループ内の、外国子会社や支店との、個人データを含む情報の共有を、
外部第三者との共有と同じものとして扱う場合。→グループ内の情報共有ができない場合がある。
n 対応：データ最小化（minimization）：実際に処理する必要のある個人データのみを処理すること。

n 法域によっては、個人データの処理には、関係する情報の種類に応じて、顧客の具体的かつ明示的な同意が必要。第三国への個人データの移転に制限がかかることもある。
n 実質的支配者（BO）の情報を持つ金融機関が別の法域（jurisdiction）にある場合、金融機関が、個人情報の収集、処理、または共有について、BOの同意を得られないこともある。

FATF プライベート・セクター間の情報共有指針（2017年11月）¡ 政治的に重要な地位を有する者（PEP）：¡ データ保護の原則と両立する方法で、PEPsの家族及び近親者に追加的な措置を取ることは容易ではない。例えば、政治的意見や性的指向は、要配慮個人情報。
¡ 金融機関が顧客から直接または公的な情報源を通じてそのような情報を取得することはできる。
¡ データ削除の権利¡ FATF勧告10では、顧客と取引記録は5年間保管することになっている。しかしDPP法制において、それより短い保存期間を定めている場合がある。
¡ AML/CFT上の保管義務と忘れられる権利／匿名性の権利との整合性についても、明確ではないことがある。

FATF プライベート・セクター間の情報共有指針（2017年11月）¡ 金融機関の守秘義務規定が各国によって異なるため、情報共有ができない場合がある。
¡ 「銀行秘密法」（bank secrecy laws）を情報交換の拒否事由にしてはならない義務は、組織犯罪防止条約等で明記されている。また、FATF勧告4は「各国は、金融機関の秘密保持義務に関する法令がFATF 勧告の実施を阻害しないようにすべきである」としている（勧告36(d), 40も参照）。
¡ しかし、正当な利益があったり、安全保障上の懸念があったりする場合には、守秘が正当化されることがある。

FATF データ・プーリング、協働的な分析とデータ保護についての評
価書（2021年）¡ FATF, Stocktake on Data Pooling, Collaborative Analytics and Data Protection,

https://www.fatf-gafi.org/publications/digitaltransformation/documents/datapooling-collaborative-analytics-data-protection.html¡ 趣旨：勧告では、顧客デューデリジェンス（CDD）目的およびML/TFリ

スク管理のために、金融グループ内での情報共有を求めている。また
STR実施のために、異常と思われる取引や活動の情報や分析をすることも求められる。
¡ 本評価書の目的：規制対象機関内の高度なAML/CFT分析や金融機関間の共同分析を促進する商業的に利用可能な技術や新しい技術を調査し、DPP国内外フレームワークと整合的にAML/CFTコンプライアンスを強化するために、これらの技術を活用できるよう、課題と潜在的解決法を特定すること。

FATF データ・プーリング、協働的な分析とデータ保護についての評
価書（2021年）¡ 評価書（stocktake）の背景： FATFはAML/CFTデ

ジタルトランスフォーメーションを促進しようとしている。評価書の公表はその一環。
¡ このプロジェクトの目的は、規制対象機関内の高度なAML/CFT分析や金融機関間の共同分析を促進する商業的に利用可能な技術や新興の技術を調査し、DPP国内外フレームワークと整合的にAML/CFTコンプライアンスを強化するためにこの技術を十分に活用できるように課題と潜在的解決法を特定することである。

¡ 金融機関間のAML/CFT情報共有のための新技術の利用における主な課題例¡ データプライバシー保護規制(新しい技術についての説明責任、透明性)¡ データ品質、費用等¡ 新技術の複雑さ¡ 規制のサンドボックスの欠如¡ データローカライゼーション義務¡ 商業的利益

FATF データ・プーリング、協働的な分析とデータ保護についての評
価書（2021年）¡ セキュリティ：データをプールして処理する新しい技術の導入は、サイバー犯罪者がセキュリティの脆弱性を特定し悪用する余地をも生じさせることになる。
¡ データプールの構築によって国家安全保障上の懸念だけでなく、深刻なサイバーセキュリティ上の脆弱性も生じる。（データ漏洩の可能性を含む。）¡ データ・ストレージのセキュリティを監視する責任者は誰か、障害やサイバー攻撃に対して誰が責任を負うのかについても政策的に決める必要がある。
¡ 人工知能を用いることで生じるバイアス：FATFの報告書では、そのような可能性については短く指摘があるのみで、詳述はされていない。

〔参考〕FATF 積極的かつ責任あるイノベーションを求めるサンホセ
原則（ SAN JOSE PRINCIPLE, 2017年）の抜粋¡ AML/CFT の有効性を高めるための責任ある技術革新を、政府と民間の双方が可能にする環境を整備すること。
¡ 新しい AML/CFT ソリューションの適切なセーフガードと機能は、プロセスと結果の説明可能性と透明性；人間によるモニタリング；プライバシーとデータ保護の尊重；強力なサイバーセキュリ
ティ；グローバル、国内、技術標準とベストプラクティスとの整合性を確保することを含む。
¡ 新しい技術を導入する際に、プライバシーとデータ保護を確保すること。
¡ 新しい技術を導入する際に、個人データの処理についての法的根拠があることを確認する。
¡ プライバシーを保護しつつ、強固なAML/CFT情報の共有と分析を可能にする革新的なプライバシー

保護技術の責任ある開発と採用を支援する

FATFのフィンテックへの取組については → https://www.fatf-gafi.org/fintech-regtech/fatfonfintechregtech/;https://www.fatf-gafi.org/media/fatf/documents/reports/Suggested-actions-New-Technologies-AML-CFT.pdf 参照。

〔参考〕FATF 積極的かつ責任あるイノベーションを求めるサンホセ
原則（ SAN JOSE PRINCIPLE, 2017年）の抜粋¡ 金融包摂（financial inclusion）をデザインで支えるAML/CFTイノベーションの推進¡ 革新的なソリューションの開発と実施を通じて、金融包摂への障害を軽減。
¡ 柔軟性があり、技術的に中立で、成果主義的で、リスクベースのアプローチに沿ったイノベーションのための政策と規制アプローチを開発。
¡ 新技術の影響を、それに伴う構造的・組織的変化、予期せぬ結果、AML/CFTの有効性及び金融包摂に対する全体的影響という文脈で、総合的に考慮。
¡ 情報提供に基づく監視の実施¡ 特定のAML/CFTコンプライアンス目的を含む、その使用に関する情報に基づいた規制と監督を可能にするために、新しい技術に関する専門知識を構築¡ 協力の推進と円滑化¡ 人権、グローバルなAML/CFT、サイバーセキュリティ、データプライバシーおよび保護対策の実施の改善、ならびに関連する技術基準および信頼の枠組みとの整合性を確保するために、AML/CFTにおける新しい技術の使用を管理するグローバル原則を開発する国際的な取り組みに参加。

実践例

日本・金融庁「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」（令和3年2月19日）

pp.19-20

金融庁「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」（令和3年2月19日）（https://www.fsa.go.jp/common/law/amlcft/2021_amlcft_guidel
ines.pdf）

データ・プーリングについての具体的な言及はなし。

日本・金融庁「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」（令和3年2月19日）

p. 21

p.27

日本・金融庁「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」（令和3年2月19日）

p. 28

日本法制の概要：• 企業グループ内での情報共有については（クロス・ボーダーで行う場合も含めて）ガイドラインで明記。
• 企業グループを超えた情報共有は明記はない。ただし、銀行が業務の一部を、共同機関などに委託することについての法的制約はない。→資金決済法改正案。
〔課題〕（本研究会第1回・中崎隆先生報告*）• マイナンバーを用いた顧客の名寄せができない。
• グループ内共有義務が犯収法に規定されていない（＝第三者提供が正当事由として法定されていない）。
• プライバシー保障への対応を含め、現行の法制度がDX時代に適合していない。
* https://www.nakasaki-law.com/wp-content/犯罪対策の課題と未来_発表資料.pdf

米国：愛国者法（THE PATRIOT ACT）SECTION 314(B)SEC. 314. COOPERATIVE EFFORTS TO DETER MONEY
LAUNDERING

FinCEN, Section 314(b) Fact Sheet,
http://www.fincen.gov/sites/default/files/shared/314bfactsheet.pdf.
Sec 314(b): 金融機関（FI）間の自発的な情報共有を許容。
• 提供元、提供先の金融機関が、FinCENが確立した情報共有プログ
ラムに参加して、関連情報を提供する。
• 目的外の利用禁止。また、受領した情報については、適切な安全管理をする。
→ 実施についてはFinCEN Regulation
が詳細を規定。

米国：愛国者法（THE PATRIOT ACT）SECTION 314(B)

左：https://www.fincen.gov/sites/default/files/shared/314bInfographic.pdf
右：https://www.fincen.gov/sites/default/files/shared/314bparticipationinfo.pdf

米国：THE ANTI-MONEY LAUNDERING ACT OF 2020

¡ 2020年法 (Pub. L. 116-283, 134 Stat. 3388) ：実質的支配者情報の統一化、リスクに基づいたアプローチの採用を含む、1970年銀
行秘密法と2001年愛国者法下でのAML/CFT法制を大幅に改める
内容（https://www.fincen.gov/anti-money-laundering-act-2020）。
¡ 情報共有に関して、事業者の他のグループ間、またクロスボー

ダーの情報共有を許容する。
¡

財務省は、金融機関がその外国支店、子会社、関連会社と疑わしい取引に関連する情報を共有できるようにする3年間のパイロットプ
ログラムを確立予定。

https://www.federalregister.gov/documents/20
22/01/25/2022-01331/pilot-program-onsharing-of-suspicious-activity-reports-andrelated-information-with-foreign

EU：第5AML指令¡ EUレベルでのAML/CFT対策（https://ec.europa.eu/info/businesseconomy-euro/banking-and¡ 情報共有は、EU法（特にデータ保護法と基本権憲章）に沿って行われなくてはならない（前文43項）。
finance/financial-supervision-and-riskmanagement/anti-money-laundering¡ 信用機関、金融機関の間、またはそれらの機関と第三国に所在
and-countering-financingする支店や子会社（過半数所有）の間の情報の開示は妨げられ
terrorism_en）
ない（39条3項）。ただし、グループ内のポリシーと手続に従うことを必要とする（45条1項）。
¡ 2015年、第5AML指令を採択（Directive (EU) 2015/849）。→¡ 加盟国は、グループ内で情報共有がなされることを確保する義グループ間の情報共有（クロス
務を負う（45条8項）
ボーダー含む）について規律。

EU： AML/CFT法案¡ 2021年、欧州委員会が包括的なAML/CFT法案パッケージを提出。
¡ ← 2020年5月に、欧州委が行動計画を公表したのに対して、同年12月に欧州データ保護会議（EDPB）

が声明を公表し、初期の段階でEDPBが関与することを求めている（https://edpb.europa.eu/sites/default/files/files/file1/edpb_statement_20201215_aml_actionplan_en.pdf）。
¡ 行動計画で提案されたAML措置は金融事業者らに、顧客を特定し身元確認し、そのサービス利用にあたり取られた取引を監視し、いかなる疑いのある取引をも報告する非常に広い義務を課す。そのデータ保管期間も長期にわたる。
¡ このようなAML枠組みの改正はAMLとプライバシーとデータ保護との関係を審査を経ずに行われてはならない。もっとも重要なのは収集されたデータの関連性と正確性である。
¡ AML措置はEU基本権憲章7、8条が定めるプライバシー権とデータ保護に対する権利、民主的社会における必要性に沿うものであり相当なものであること、CJEUの判例法に適合するものなくてはならない。

https://ec.europa.eu/info/
sites/default/files/diagram_aml_2018.07_ok.pdf

EU：PROPOSAL FOR A REGULATION (COM/2021/420 FINAL)¡ 規則案：https://eur-lex.europa.eu/legalcontent/EN/TXT/?uri=CELE
X%3A52021PC0420¡ 事業者間（private-to-

private）の情報共有について、変更はないものの、要件等を明確化。

¡ 規則第2章で、AML/CFTリスクを低減するための内部ポリシーに関して、詳細な規則が置かれている。
¡ 親会社は、子会社、支店においてそれらのポリシーが適用されていることを確保しなければならない（13条1項）。
¡ グループ内の情報共有は、特に、顧客、その受益者、または顧客が行動する代理人の身元と特徴、ビジネス関係の性質と目的、資金が犯罪活動の収益であるかまたはテロ資金に関連しているという疑いについて行われる（13条2項）。

EU：PROPOSAL FOR A REGULATION (COM/2021/420 FINAL)¡ 第三国における支店および子会社（14条）•

名宛人（obliged entities）の支店または子会社が、AML/CFTの最小限の要件がこの規則に定めるものより
緩やかな第三国に所在する場合、当該名宛人は、当該支店または子会社が、データ保護に関する要件を含むこの規則に定める要件、または同等の要件を遵守することを確保する。

•

第三国の法律がこの規則に定める要件の遵守を許さない場合、名宛人は、当該第三国の支店および子会社がAML/CFTのリスクに効果的に対処するための追加措置をとるものとし、自国の加盟国の監督機関に
通知する。

•

加盟国の監督期間は、追加措置が十分でないと考える場合、グループにいかなる取引関係も構築しな
い、既存の関係を解消する、取引を行わない、第三国での事業を閉鎖することを要求するなど、追加の監督上の措置を行使しなければならない。

中国：反洗钱法改正案¡ 2006年・反洗钱法について、2021年に改正案公表（http://www.gov.cn/xinwen/2021-

06/01/content_5614828.htm）。
¡ 他のユニット（「単位」）に対する、顧客識別データ、取引情報及びAML義務に従って取得した調査情報の提供を、法律に基づいて行うことが定められている（6条）。
¡ AML監視分析センター（「反洗钱监测分析中心」）は、集中的かつ統一的な国家AML情報データベースを管理し、AML情報の安全を維持するために必要な措置を講じる責任を負う（14条）。
¡ 国務院資金洗浄防止担当行政部門は、関係国家機関、部門及び機関から必要な情報を得ることができ、関係国家機関、部門及び機関は、法律に従って当該情報を提供しなければならない（15条）。
¡ 企業、企業およびその他の市場主体は、市場監督管理部門の関連情報システムを通じて、受益者情報を報告しなければならない（17条）。
¡ 金融機関が第三者を通じて顧客を識別する場合には、当該第三者のCDD管理能力を調査して行う（29条）。その他、第3章で顧客情報の取り扱いについて詳細な規則あり。
＋ 国務院は、中国に設立された金融機関及びその外国支店に対する監督及び管理を行うことができる（24条）。

中国：金融机构反洗钱和反恐怖融资监督管理办法¡ 2021年に金融機関AML/CFT法（金融机构反洗钱和反恐怖融资监督管理办法）制定（http://www.gov.cn/gongbao/content/2021/content_5616160.htm）。
¡ 対象となる機関を大幅に拡大。
¡ 金融機関等の情報の共有・活用について、法令に基づき情報提供を行うことを定める（12条）。
¡ 外国子会社、支店については、現地法の方が厳しければ現地法に従う。それによって同法の実施が制限または禁止される場合には、本社はAML対策のための適切な補完措置を取り、中国人民銀行に報告する義務を負う（13条）。
反洗钱法改正案との整合性？

プライバシー保障

DPP法制の意義：プライバシーに関するOECD原則¡

原則1 「収集制限の原則」 個人データを収集する際には、法律にのっとり、また公正な手段によって、個人データの主体（本人）に通知または同意を得て収集するべきである。

¡

原則2 「データ内容の原則」 個人データの内容は、利用の目的に沿ったものであり、かつ正確、完全、最新であるべきである。

¡

原則3 「目的明確化の原則」 個人データを収集する目的を明確にし、データを利用する際は収集したときの目的に合致している
べきである。

¡

原則4 「利用制限の原則」 個人データの主体（本人）の同意がある場合、もしくは法律の規定がある場合を除いては、収集したデータをその目的以外のために利用してはならない。

¡

原則5 「安全保護の原則」 合理的な安全保護の措置によって、紛失や破壊、使用、改ざん、漏えいなどから保護すべきである。

¡

原則6 「公開の原則」 個人データの収集を実施する方針などを公開し、データの存在やその利用目的、管理者などを明確に示すべきである。

¡

原則7 「個人参加の原則」 個人データの主体が、自分に関するデータの所在やその内容を確認できるとともに、異議を申し立てることを保証すべきである。

¡

原則8 「責任の原則」 個人データの管理者は、これらの諸原則を実施する上での責任を有するべきである。

https://privacymark.jp/wakaru/kouza/theme5_02.html

各国の個人情報保護法／DPP法制

日本・個人情報保護委員会ホームページ
で情報提供有。
https://www.ppc.go.jp/personalinfo/legal/kaiseih
ogohou/#gaikoku

https://unctad.org/topic/ecommerce-and-digitaleconomy/ecommerce-law-reform/summary-adoptione-commerce-legislation-worldwide

金融プライバシー（FINANCIAL PRIVACY）¡ データ・プーリングによるAML/CFT規制が惹起¡ 金融機関の取引情報には、個人情報として保護する個人の権利保障上の問題

されない情報も含まれている。そのような情報の保護についても利用者の権利を認めようとするのが「金融プライバシー」。ただし、この概念自体多義的である。

¡ 複数の事業者が情報を提供し、取引情報とそ¡ 2001年同時多発テロ事件以降、米国がテロ金融¡ プロファイリングがなされる結果、自律的決制裁を強化する過程で、特に米国とEUの金融プ
ライバシーに対するアプローチの相違が顕在化した。その後の法制定によって、実際上の問題は小さくなったと言える。

れ以外の情報と組み合わさることによって、金融機関や事業者に同意した範囲を超えて提供した情報が用いられる可能性がある。
定への制約が生じたり、社会的差別が助長される可能性がある。
→ これらは、データ・ドリブンな技術に通底するものであるが、AML/CFTの文脈では大きく議論されていない。

データ・ガバナンスの課題

参考：日本・内閣府「人間中心の AI 社会原則 」

参考：OECD AI PRINCIPLES

https://oecd.ai/en/ai-principles

EU: 人工知能に関する調和化された規則案（2021年）¡ Proposal for a Regulation Of The European

Parliament And Of The Council Laying Down
Harmonised Rules On Artificial Intelligence (Artificial
Intelligence Act) And Amending Certain Union
Legislative Acts（https://eur-lex.europa.eu/legalcontent/EN/TXT/?uri=CELEX%3A52021PC0206）（2021年4月提出）¡ AIを（1）禁止されるAI（Title II）、（2）高リス

クAI（Title III）、（3）透明性義務を伴うAI（Title IV）に分類。これに該当しないものは、
最小限リスクあるいはリスクなしとされる。

¡ 禁止されるAIの中に「公当局によって、あるいはそのために、自然人の信用性を評価あるいは分類することで、データが本来生成あるいは収集された文脈とは関係のない社会的文脈において、特定の自然人あるいはそのグループを不利益に取り扱うもの」が含まれる（5条1項c）。
¡ ハイリスクAIの中に自然人の評価分類、法執行、司法当局による事実の調査において、AIを使用することが含まれる（6条1項、付属書III）。

https://www.keidanren.or.jp/policy/2021/069.html

クロス・ボーダーでの情報共有データの越境移転規制

同じグループ間であってもクロス・ボーダーでの情報
共有は、データの越境移転規制に抵触する可能性がある。

https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/h29/html/nc123120.htm
lデータの越境移転規制

個人情報保護• 事業者の潜脱防止• 国内外の事業者の平等確保• 利用者の同意の形骸化→実質的要件を定める傾向。
両者の区別はカテゴリカ
ルなものではない。目的、様態などから実質的に判断する必要有。

データ保護法制• 個人情報以外のデータも対象。
• 産業振興、安全保障目的など• データの国内保管義務、他国における保管の禁止、国外への持ち出し禁止まで、幅がある。

他国法との抵触可能性①：プライバシー法制 例：GDPR¡

概要：管理者もしくは処理者（controller orprocessor）が欧州経済領域（EEA）内で行う個人
データの処理を規律。
¡

個人データ = 氏名、識別番号、所在地データ、
オンライン識別子（IPアドレス、クッキー）等。

¡

GDPRの適用：①管理者又は処理者がEEA内に拠点（establishment）を有する場合。②拠点を有さない
場合でも、EEAのデータ主体に対し商品又はサービスを提供する場合、もしくはEEAのデータ主体の行動を監視する場合。

¡

移転先のデータ保護が適切であると認められない
限り、域外あるいは国際機関へのデータ移転（transfer）を禁止（44-50条）。

他国法との抵触可能性①：プライバシー法制 例：GDPR
GDPR適用対象である事業者がその情報を第3者と共有する場合、• 透明性• データセキュリティ• 説明責任、ガバナンス• プライバシー権利保障などに関する諸規則を遵守する義務を負う。
GDPRの適用がある場合、情報共有ができない場合がある。

© EY Japan athttps://www.eyjapan.jp/services/advisory/colu
mn/2017-10-20.html

EDPB, Guidelines 3/2018 on the
territorial scope of the GDPR
(Article 3)

他国法との抵触可能性②：データの国外持ち出し禁止© Albright Stonebridge Group, Data
Localization (2015)

個人情報保護法制についての国際的調和：OECDプライバシー保護指針¡ 背景：1980年以来の米・EU間の対立。

OECD
Recommendation of
the Council
concerning
Guidelines governing
the Protection ofPrivacy andTransborder Flows of
Personal Data (2013),
C(80)58/FINAL, 11
July 2013, C(2013)79¡ OECD指針についての理事会勧告¡ 加盟国は、他国がOECDプライバシー指針を実質的に遵守している場合、あるいは他に十分な保護措置が取られている場合には、流通の制限を控えるべき。
¡ 流通に対する制限はリスクに比例した制限でなければならない。加盟国は、データの機微性、処理の目的等を考慮しなければならない。
→ ソフトローに止まる、中国は入っていないな
どの限界がある。

個人情報保護法制についての国際的調和：欧州評議会108号条約¡ 1981年採択、2018年に改正。14条が越境移転について詳しく定めを置く。
¡ 締約国は、個人データの保護のみを目的として、当該データが条約の他の締約国の管轄下にある受領者に移転されることを禁止し、又は移転のために特別な承認を受けることを条件とすることはできない。
¡ → 例外として、「正当な利益、特に重要な公共の利益が法律で規定されており、その移転が民主主義社会における必要かつ適切な措置である場合」には移転が認められている。

https://rm.coe.int/16808ade9d

結語¡ AML /CFT（グループ内外での情報共有）とデータ保護（クロスボーダーでの共有、AIの利用等）については国内レベルでも必ずしも整合性が取られているわけではない。規範的な調整が必要。
¡ 実践においては米国のパイロットプログラムと、EUのAML規則案の展開が重要。
¡ 個人情報保護とデータの越境移転規制の国際的調和化は直ちには見込めない。しかし、108号条約を例にしつつ、国際協力を進めることが望ましい。
¡ 日本については、犯収法の限界を踏まえ（中崎隆『詳説犯罪収益移転防止法』2020年、中央経済社等参照）、個人情報保護のみならず利用者情報の保護を視野に入れた法制のあり方が検討されるべき。