個人情報保護委員会（第１０５回）議事概要
１

日時：令和元年５月１７日（金）１０：００～１１：４５

２

場所：個人情報保護委員会

３

出席者：嶋田委員長、熊澤委員、丹野委員、小川委員、中村委員、大滝委

委員会室

員、藤原委員其田事務局長、福浦事務局次長、的井総務課長、佐脇参事官、三原参事官、山﨑参事官、松本参事官
４

議事の概要

（１）議題１：いわゆる３年ごと見直し（ヒアリング）について
ひかり総合法律事務所弁護士・板倉陽一郎氏、亜細亜大学法学部教授・加藤隆之氏、日本大学危機管理学部教授・小向太郎氏、新潟大学教授・鈴木正朝氏、産業技術総合研究所主任研究員・高木浩光氏及び慶應義塾大学総合政策学部教授・新保史生氏からヒアリングを実施した。
板倉氏から、資料に沿って次の説明が行われた。
「資料については、前半が中間整理に存在しない項目について、後半が中間整理に記載のある項目について順番に記載した。
最初が、中間整理に存在しない項目であるが、委員会に是非とも、公的部
門についても監督していただきたい。もちろん段階はあると思うので、２つに分けている。１段階目は、今の法律はそのままだとしても公的部門の監督を入れていただきたいという話である。十分性認定は大変なご尽力で１月に相互認定を取り決めたが、その範囲は個人情報保護法が適用される範囲となっている。国全体として十分性認定を得るためには、委員会が公的部門を含めて全体を所管することが必須である。テロ対策でも必要。公的な研究
機関の研究に十分性認定がない。また、私的な研究機関であっても研究目的で移転する場合には実は範囲外になっていたり、医療機関との連携など
様々な支障がある。これは抽象的な支障というよりも、私が弁護士として業務をしている中で色々なところから何とかならないかと相談がある。私で何とかなる話でもなく、最低限、この委員会の法律上の監督が必要であると説明しているところ。
経済界からも資料が出ており、「公的部門における個人情報の適正な取扱いの確保を図ることとすべき」と書いてあるのは、やはり彼らも具体的に支障が出ているのだと思う。独立行政法人等と一緒に何らかの研究開発等をする場合に、独立行政法人は十分性認定に基づく移転ができないので、結局
民間部門の方で、世話をしてあげると言ったら恐縮であるが、そちらのコス
1

トが民間にもかかっているという事情がある。公的部門に関しては、日本学術会議等において、学術界がどうやって対応するかについて、かなり盛況なシンポジウムを開催したりしている。
２段階目は、いわゆる2000個問題の解消であり、規範自体をなるべく集めたらどうかという話である。これは特に条例について、個人情報保護制度が行政機関法等において改正されると条例も改正し、マイナンバー法が改正されるとハネ改正するなど、について年間何回も対応する必要があり、これがいくらなんでも全部自治体の業務にかかってくるのは不適切だと思う。
総務省の地域情報化アドバイザーとして私が呼ばれて、小規模自治体に関し、どういうスキームで組めばいいのか相談を受けてアドバイスすることがあるが、結局、自分たちで制定して自分たちで解釈しないといけない条例
を全く手に余している。自分たちで解釈もできない状態であるのが、恐らく実情である。ヒアリングでは東京都や横浜市が呼ばれたりするが、そういうところではメンバーもそろって自分たちでできるが、小規模自治体はなか
なか自分たちで声も上げられず、正直自分たちで運用解釈もできない。個人
情報保護制度について、最小限の部分は統一して解釈は固め、それを委員会
がアドバイスできる態勢とするのが必須だと思う。
次に、いわゆるプロファイリングの話については、制度改正大綱の段階から宿題になっているのは御存じのとおりである。ＡＩネットワーク社会推進会議の開発ガイドラインの中でも関連するような部分が、例えば「倫理の原則」として存在する。次の年に出ている利活用原則案でも、「尊厳・自律の原則」とか「公平性原則」というのがある。いわゆるプロファイリングについて、これは単なる推知でなくて、それによって差別が生じる等の場合もある。今までの資料を見る限り、あまり積極的に議論されていない様子なので、正面からもう少し取り上げて議論してはどうか。中間整理でもあまり項目がないように見えたのでこのように記載させていただいた。
次のページは、いわゆる補完的ルールをできる限り法令レベルに取り込
んだらどうかということである。ＥＵから移転される個人データのみについて、いわゆる補完的ルールが告示という形で義務付けられているが、そも
そも欧州市民のデータに関してのみ上乗せの義務が課せられるということと、平等原則との関係はどうなのかということ。更にガイドラインと同様の告示レベルであることについて、ＥＵとの関係ではそれは違う取扱いであると説明されていると認識しているが、どうやって執行を担保するかは、最終的に争われると難しいのではないかと思う。具体的項目については下に記載したが、要配慮個人情報に性的指向等を入れるとか、利用目的を提供先で広げてはいけないといったあたりは、これは法令レベルで入れたらよい
2

のではないか。特に利用目的が広がらないということは本人の予測可能性との関係で当然かと思う。保有個人データの６か月要件をいきなりなくすのは、ハレーションが多少大きいと思うが、例外規定の検討等で可能なのではないかと思う。外国にある第三者への提供の制限の部分は、結局は、再移転でＣＢＰＲが使えないという内容であるが、これは委員会の方でも検討されている、ＣＢＰＲプラスアルファの検討を進めていただけばよいのではないかと思う。
匿名加工情報については、仮ＩＤの利用を基本的には許さないという内容であるが、これ自体が検討を伴うので、直ちにとは申し上げないが検討いただきたいものである。
以降は「中間整理」の項目について、一つずつコメントしているような形になっている。
個人情報に関する権利の在り方について、開示請求については、経済界からの要望もあり、原則、紙ではなくデジタル対応だという話が、比較的積極的に書かれていると認識している。御認識のとおり、ＧＤＰＲでは「構造化され、一般的に利用され機械可読性のある形式」だと書かれている。これはデジタルで返ってくるとしても、いわゆる「神Ｅｘｃｅｌ」で返ってきてデジタルだと言われても、結局ユーザは再利用できないので、義務付けると色々と問題があり、ＥＵでも今のところ積極的に義務付けているとは思えないが、標準的なフォーマットで返す形を、何らかの形で入れてはどうかということがある。それから実務でたまに聞かれることであるが、開示請求の際に、特に中間的な団体では、事業者であるにもかかわらず全く対応しないという話も聞こえてくる。本人から民事請求すれば良いのだが、個人情報保護法全体の建付けとして、履行確保は原則、行政の指導、執行によるということだと認識しているので、あまり開示請求に対応しないといって委員会
から指導等があるという話は聞かないところ、これは積極的に執行していただきたい。
続いて、利用停止等の請求については、報道等でも比較的、積極的に検討されるという形で出ているが、全く条件なしで利用停止を認めるとなると、事業者はなかなか対応できないと思う。ＧＤＰＲの各種請求権は６条の適法化根拠に合わせて丁寧に立法されているので、少なくとも論点として、同意ベースであれば、同意の撤回の整理をすべきである。更に契約に基づく適法化根拠についても同様に、検討されたい。契約については、事業者としては入れてほしいだろうと思う。
その後は名簿屋対策なので、これは是非積極的に執行していただきたいという話である。
3

漏えい報告については、シンプルに申し上げれば、番号利用法が法令レベ
ルと告示レベルで分けているので、こちらを是非御参照いただきたい。それから、せっかくデジタルフォーマットで報告を受けるようにしてあるので、認定個人情報保護団体や委任先省庁等においても、デジタルで受けて分析等に使っていただけば良いのではないか。ＮＩＳＣ等と連携すると、いろいろと見えてくるのではないか。
それから、認定個人情報保護団体まわりについて、共同規制の在り方自体は、あまり論点になっていないと思うが、パーソナルデータに関する検討会の段階では、もう少し強制力のある共同規制に近いものが検討されていたと思うので、これはもう一度考えていただいてもよいのではないか。
それから、ＤＰＯの設置やＰＩＡについては、ただやりましょうとしても、なかなかコストがかかってできない。また、法令で義務付けてもドイツの様に人が全く足りないことになるので、何らかのインセンティブ等と一緒に検討していただきたい。
利活用の話であるが、匿名加工情報は、上場企業が日経新聞の調査で３割程度使っているということであれば、私はそれ位かと思うが、これができるのは、プライバシー保護データマイニングという、少し特殊な分野の人材であるので、ＡＩ戦略等も伴って、人材育成と併せて検討いただきたい。
それから、統計利用の方にニーズがあるという話題は、私が接する範囲ではかなり聞こえてくる話である。基本的には匿名加工情報や非識別加工情報は個票の形で作成されるが、それよりも正確な統計データが欲しいとか、
個別データは要らない、というニーズがもしあるのであれば、そういう利用に使える方向で検討いただきたい。その際には、他の会議でも出ていることであるが、秘密計算技術は有用だとお伝えしている。
ペナルティの在り方について、まず、課徴金の導入の前提として、行政命令が今まで出ていないというところで大丈夫なのか、というところがある。
それから、ほとんどの外国事業者は日本で登記されておらず法的には日本にいないことになっている。本当は、会社法上は代表者登記をしないといけないのに、これに従っていないということである。ＧＤＰＲでは代理人の設置義務があり、日本でも国税通則法では納税管理人の設置義務があるので、このようなものを参考に、少なくとも行政執行及び民事訴訟の対応が義務付けられるようにしていただきたいと記載した。万が一、課徴金を入れる場
合は、ＧＤＰＲの条文のように、考慮要素を是非入れていただきたいところである。
次のページの②のところを見ていただくと、十分性認定はこれからレビューがあるので、これを維持するのが大変と思うところ、他にもいろんな移4

転事由があるので、各国保護データ機関等とのイベントもやっていただき、
認証や行動規範についても積極的に日本から議論していくべきだと思う。
それから、委員会のペーパーにあった、ＣＢＰＲプラスアルファについても是非ご検討いただきたい。
最後に、呼んでいただいて申し上げるのも恐縮だが、３年ごと見直しの検討の回だけでも、公開で委員会を開催すべきではないか。その方がいろいろな議論が起こされ、より良い改正の議論ができるのではないかと思うので、是非ご検討いただきたい。」
続いて、加藤氏から、資料に沿って次の説明が行われた。
「主に課徴金制度の導入、域外適用・執行、個人情報保護条例の３つに絞って話したい。第一に、課徴金制度については、現在議論が進められていると伺っているが、私は個人的には反対である。ＧＤＰＲの課徴金制度についていろいろと調べているところであるが、これには制度上も運用上も非常に多くの問題があり、とても制度として耐えうるものではないと個人的には思っている。実質的に考えても、個人情報の誤用によって、既に個人情報取扱事業者は、刑事罰、損害賠償、顧客からの信用喪失等、十分な制裁を受けており、なおかつ制裁を課すというのは、権利の重要性に鑑みて明らかに均衡を失していると考えている。ＧＤＰＲのような制度を導入すれば、たったひとつの漏えい事故によって企業を壊滅的に破壊させることも不可能ではない。ベネッセのケースでは200億円払って、さらに裁判で争われている。
こういった企業に制裁金を課すとすれば、企業への萎縮効果が非常に甚大なものになるのではないかと思っている。公正取引委員会による課徴金制
度をざっくりと調べてみると、必ずしも不当な利得の簒奪が目的とされているわけではないようであるが、この目的を完全に欠落させた場合、行政による課徴金制度はあらゆる分野に広がる可能性がある。私は専門が憲法であるので、憲法の観点から考えた場合、他にも多くの重要な権利がある。それにもかかわらず、他の分野では課徴金という話は出てこない。この分野に限って課徴金の話がでてくるのは、ちょっと理屈としてはもたないと思っている。プライバシー権が人権であるということは、先進国では共通の認識がある。しかし、個人情報が人権であると明記しているのは、ＥＵ基本権憲章しかない。私はドイツ法が専門ではないので、読んだ限りであるが、ドイ
ツでは憲法判例で一応個人データに関する権利を認めているとは言われている。だが、憲法典の中できちんと明記したものは、現在のところ恐らく無いのではないか。ＧＤＰＲ制裁金の制度上・運用上の問題があるという点について、１つは、簡単に言うと、対象が広汎すぎる。私は日本でいう課徴金
5と、ＥＵが採用しているものは違うのではないかという意味で、制裁金という名称を付している。制裁金の方が行政法上広い意味で使われているので、日本の課徴金とは違うのではないかということで、ＥＵについては制裁金といっている。もう一つは、その中身が非常に曖昧である。その上で非常に高額な金額を課される。実は、ＧＤＰＲが課される前から、スペインやイギ
リスでは国内法で制裁金制度を設けている。しかし、その運用は全然一貫性がないと言われている。スペインは当初高額な制裁金を課していたが、近年は制裁金を課さない傾向にある。結局、制裁金制度は、企業側に敵対的に課したり、企業側と対話してやっていくという方向にシフトしたりと、各国が政策的に使う道具になってきてしまっている。制度としてそのような裁量の余地が広い制度を設けるのは反対である。
第二に域外適用・執行であるが、政府レベルで域外適用・執行するということは不可能ではないと思うが、まず民間での取組を促進する方が得策のように思える。もちろん政府レベルで行うことをやめるべきという意味では全くなく、同時進行で構わないと思うが、実際データが世界中に行き渡るという話をしつつも、例えば対ＥＵでの話とかしか進められない。だが、自分の国の法律を相手国に執行してもらうというのは難しい。それを進める
よりは、いわゆる民間レベルでの取り組みを後方支援する方が戦略的にはよいのではないかと考えている。ＧＤＰＲのような域外適用の条文を設けることは理論上可能であるが、法執行は相手国の協力がなければできない。
各国の予算や人員の状況からして円滑な協力が得られるか疑問があり、さらに相手国の法律で域外適用の規定がないという場合には一方的にこちらがお願いするだけである。そのときに先方が受け入れてくれるかという点については疑問がある。例として、完全にパラレルな議論ではないが、国外で罪を犯した場合、いわゆる国外犯に対しては、犯罪人引渡し条約等で日本に引っ張ってくるわけである。これは日本において、現在アメリカと韓国との間でしか締結されていない。やはり自分の国の法律を第三国で適用してもらうのは、よほどのことでない限りかなり難しく、相当時間がかかる。世界中にデータがあり、世界中の国と協力しなくてはいけない。それを実現す
るには100年、200年と時間がかかるのであり、それは非現実的なので、そこにあまり力をいれても限られたリソースであることに鑑みるともったいな
いのではないかと思う。個人のデータの越境的な問題については、アカウン
タビリティーの考え方を基礎として、ＡＰＥＣやＯＥＣＤの枠組みを利用して世界的な標準を設けるように促進すべきではないかと思っている。このような枠組みの下でどうなるかというと、各国の法律が全事業者を対象に一律に規制するということではなくて、越境移転を行う事業者のうち積6極的に同標準を遵守しようという事業者に対してルールを提供する。そして、データを世界的にちゃんと守りますという企業を消費者に明らかにしていくという仕組みを作ればよい。
第三に、個人情報保護条例は二重行政だと思っており、法律による一本化をすべきである。地方公共団体の数はおよそ1750であり、そのうち全ての地
方公共団体で個人情報保護条例を制定しているか私は存じ上げていない。
その中で審議会が恒常的に開催・運用されているところは、ある程度の規模の自治体に限られるので、そういった意味で実際に運用されている自治体
は1000を切るかもしれないと思う。しかし、それでも日本全体での行政コス
トはかなり大きいと思うので、法律で一本化したほうがよいのではないかと思う。
最後に、これは個人情報保護法プロパーの問題ではないが、他人の個人情報を利用したインターネット上の、とりわけ収益行為に対してはもう少し
厳しい規制があってもいいと思っている。例えばリベンジポルノ法は典型的な名誉毀損、プライバシー侵害であり、これは厳しく規制されている。だが、それ以外に、卑近な例で申し訳ないが、学生が大学の教員の授業に意見を持つことは自由であるが、それが例えば「みんなのキャンパス」というサイトに勝手に書かれるのはちょっとやめていただきたいなと。それで収益を上げているのはちょっといかがなものかと。仲間うちで共有する、意見を持つのはみなさん自由でいいが、みんなにさらされるのは勘弁していただ
きたいという人は多いのではないかと思う。」
続いて、小向氏から、資料に沿って次の説明が行われた。
「お手元の資料３に従ってお話しする。Ｐ１に３つ挙げているが、１つ目が「中間整理」にも書かれている利用停止等について。それから２つ目が前回の改正で導入された匿名加工情報における匿名加工と一般的な匿名化について、意見を申し上げさせていただきたい。３つ目は、既に意見が出ているが、域外適用について、特に条文の作りについて少しお話をさせていただ
く。
Ｐ２から利用停止等についてである。Ｐ３を御覧いただきたい。先ほど板倉先生のお話にもあったが、ＥＵのＧＤＰＲは、個人情報の取扱いを行う際には全て、何らかの適法化根拠（正当化事由）を求めている。私は、この適法化根拠を定めている第６条がＧＤＰＲで一番重要な条文であると思っている。これが全ての根源になっていて、個人情報を扱うにはこれをクリアした上で扱わなければならない。
それに対して、日本の個人情報保護法は、取得・利用するときに原則とし
7

てこういった根拠は求められていない。利用目的の特定と、通知又は公表を行って、その他の不適切な取得等をしなければ、本人の同意やその他の正当化事由は不要だということになっている。これは、個人情報保護法制定時に、現在行われている利用を制限しないという趣旨で、このような法律の構造にしたと説明されている。まずは個人情報保護法の導入が優先されたのだと理解している。
ただ、その代わりと言っては何だが、個人情報を取得した後に、利用目的の変更や第三者提供を行うときには、原則として本人の同意が必要だということになっている。例外規定も非常に厳格に定められている。これははっきり言うとアンバランスだと思う。
企業の側から、個人情報の定義や、匿名加工情報に関する議論や要望がなぜ多かったかというと、通常の取扱いに比べて第三者提供や利用目的変更の場合のハードルが高すぎるということがある。そもそも何でも自由に使えるものだったのに、なぜその場面だけそんなに厳しいのかというのが、正直な感想としてあるのだと私は思っている。それはむしろ、元々の取扱いの条件が緩すぎるのだが、そういう意見が出てくるのはやむを得ないと思う。
Ｐ５では、ＧＤＰＲ６条の適法化根拠としての本人の同意は、かなり厳格なものであるということを、ガイドラインから抜粋して一覧にしている。日本で同意と認められているものの多くは同意とは認められない。かなりハードルの高い同意が必要になる。そして、全ての取扱いについて、先ほど言ったような適法化根拠として、（a）本人の同意、（b）契約等の履行への必要性、（c）法的義務、(d)生命に関する利益、（e）公共の利益・公的権限の遂行、（f）正当な利益の目的のいずれかが必要になる。このうち、（a）から(e)まではかなり厳しいものだと思われ、これだけだと恐らく制度として機能しない。このため入っているのが、（f）正当な利益の目的のための利用である。この要件は例外規定の中でも、適用範囲の広い一般規定として位置付けられており、バランステストが含まれている。
バランステストとはどういうものかというと、ある利用が正当な利益のための目的と認められるかどうかというのは、利用によって得られる利益と本人の基本権を比較して評価するということである。これについて、ＥＵの29条作業部会の意見書に、95年指令の時代には、結構いい加減に適正な利益を認めていた例があると書かれてある。しかし、それではいけないということで、現在では、厳正にバランステストをやろうということがＥＵの共通認識になっている。
バランステストにおける評価項目については、Ｐ６を御覧いただきたい。
ここで注目していただきたいのが、本人の基本権や安全対策を総合的に考8慮して「適法な利益」、委員会の翻訳では「正当な利益の目的」、原文は「legitimate interest」を認めるかどうかを判断するとしているという点である。
そして、ここで重要な要素の１つに匿名化が挙がっているということも、注目する必要があると思う。つまり、利用目的と本人への影響、それから匿名化技術も含めてどういう安全対策が取られているかということを考慮して、使っていいか使っていけないかを判断するということ。こういう一般規定があるから、ＧＤＰＲも95年指令も機能している。そうでなければ、そん
なに厳しい規制が本当に機能するかどうかはとかなり疑問だと思う。
Ｐ７を御覧いただきたいが、私は、本人の意思の反映の仕組みというのは、これから利用が多様化して、本人の意思の反映の必要性とか、弊害を起こす可能性がある利用が広がっていく中で、取得段階から必要だと思っている。
そういう意味で、第一歩として、利用停止の権利を認めるというのは良い取組だと思うが、本当を言えば、利用全般にきちんとした意思反映や正当化事由を求める仕組みを確保することを、もう少し積極的に検討する必要があ
るのではないかと思う。
一方で、現在の個人情報保護法は、事後的に第三者提供や利用目的変更を行うための条件は厳格だと思っている。例えば、ＥＵのＧＤＰＲの前文に明記してあるような、情報セキュリティ目的での利用というのは、利用できな
い、第三者提供できない可能性が高い場合が結構あるのだろうと思う。前文に書いてあるものをＰ８に挙げておいたので、御覧いただければと思うが、
ＣＳＩＲＴなどで情報共有することは正当な利益のための目的になるとＧ
ＤＰＲでは明記されている。日本の個人情報保護法の第23条の規定で、どのくらい情報共有ができるのかというのは、かなり疑問だと私は思っている。
そういう意味で、第三者提供や利用目的変更が認められる場合として、適正な利益の目的のような一般規定を入れることも検討するべきなのではないか。
一方で、個人情報の取扱い全般に本人の意思反映や正当化事由を求めるとともに、それ以外の第三者提供や利用目的変更についても実質的な判断ができるような根拠を置くべきではないかと考えている。
次に、匿名加工についてＰ９から書かせていただいている。
Ｐ10で、日本の個人情報保護法の匿名加工情報とＧＤＰＲの解釈として示されている匿名化というのは、異なるものだと私は思っている。
ＧＤＰＲの匿名化は、恐らくそれぞれの情報が一人の個人と実質的に対応している限り、困難なハードルを設けているものだと理解している。
だからこそ、十分性認定の補完的ルールで、匿名加工情報と認められるの
9

は、完全に識別符号化したものに限るという補完的な規定が設けられているのだと、私は理解している。したがって、匿名加工情報と匿名化というのは、言葉は近いが、似て非なるものだと思う。
匿名加工情報が利用されているという御意見もあるが、Ｐ11に示しているように、日本の匿名加工や匿名化の議論は、個人情報該当性だけに集中している。個人情報に該当するかしないかということだけが関心事となっている。安全管理措置でも言及されていると言われるかもしれないが、主な論
点は個人情報になるかならないかになっている。これはなぜかと言うと、事後的な利用目的変更や第三者提供をするためには、個人情報でなくしてし
まわないと実質的にできないからだと思う。
これに対して、ＥＵの規定を見ると、例えばlegitimate interestを認めるか、安全管理措置として十分か、データ保護バイデザインを果たしているか、消去・利用停止に準ずるものとして認めるかなど、多面的に匿名化技術というものが捉えられていることが分かる。匿名化技術によって個人情報ではなくするというのは非常にハードルが高い。したがって、匿名加工情報
も、かなり難しい限定的なものとならざるを得ない。
そう考えるとむしろ、こういったバランステストを伴う一般規定を導入
して、個人情報であっても、適法な利益と認められるような利用目的については、十分な安全措置（匿名化技術の利用を含む）が施されることなどによって本人の権利への配慮がなされていれば、ある程度利用の範囲を広げる
ことを許容する。こうした制度の方が現実的なのではないかと思っている。
つまり、先ほど１つ目の項目を申し上げた論点とセットの議論になる。
「中間整理」では、仮名化も検討するかもしれないということが書かれているが、そういうものを増やしていくよりは、匿名化技術を活用できる場面を広げていく必要があるのではないか。
域外適用、Ｐ13以下については簡単に説明する。
Ｐ14に条文を書いているが、日本の個人情報保護法は、公権力の執行に当たりうる行為については、丁寧に域外適用の規定から除外している。ＧＤＰ
ＲやＦＴＣ法には全然そんなことは書いてない。域内では適用があるし、域内に拠点が無くても、ＥＵ市民等を対象としてビジネス等を行って、それに関して取得した情報には、ＧＤＰＲの適用がある。そういう場合には代理人を置いて、代理人に対しても課徴金を科すことも考えたいということがガイドラインに書いてある。
このような状況の中で、少なくとも個人情報保護法の規定上、例えば命令であるとか、罰則について、適用から除外する必要は、私は全くないと思う。
執行するかどうかは別問題として、自ら最初から手足を縛る必要は全くな
10

いと思っている。規定を置くことが主権の侵害だということであれば、他国の条文について、どのような考え方なのか確認すればよい。これを置いたからといって国際問題になることは100％ないと私は思っている。」
続いて、鈴木氏から、資料に沿って次の説明が行われた。
「冒頭、テーマとして書いたが、個人情報保護法は何を守るのかということと、いったいどこに向かっているのかを完全に皆で見失っているなと感じた。
ポイントに書いたが、まず平成27年改正法は、平成15年法から大きな質的な転換があったのだろうと思っている。主務大臣制から独立行政委員会制に変わったが、なぜ変わったのか。マイナンバーが先だったが、やはり住基
ネット違憲訴訟が20件近く立ち上がり、そのように強力なマイナンバーの導入ということになると、それ以上の違憲訴訟にぶち当たることになるだ
ろうということで、番号法大綱を作る際に横に最高裁の合憲判決を置いて骨格が基礎づけられたということと思う。違憲訴訟の判決理由中に確か６項目ほど注文がつき、確かに合憲判決だったが、クレバーな戦い方をしたた
めにしっかりと楔を差し込まれた形といえる。それを前提に行政官が基礎作業を事実上するわけだが、それを踏まえて設計されたと。その中でやはり公的部門の暴走についての懸念をして、第三者機関が必要だということで独立行政委員会までぐっとグレードが上がっていく過程を傍らで見せていただき、憲法がしっかりと機能していると実感できたという点で、極めて麗しく感じた。
主務大臣制の頃は、行政の取締規定として、広い行政裁量の中でガイドラ
インを塩梅よく調整して企業行動を緩やかに規律していくということで、弊害が見えてきたらその都度ガイドラインで調整すればいいんだという感覚でいたのではないか。ところが、27年改正で直罰規定が入った。刑法の飛び地が明確に入った。今まで曖昧な規律の中で直罰規定が入る素地がなかったわけだが、今回、これを入れた。それから、開示の求めについては、請求権、裁判上の請求権のありなしと割れたが、今回は明確に創設した。先生によっては確認したとされるかもしれないが、民事規定が明確に入った。要するに、取締規定から裁判所の裁判規範の精緻な理論的な基礎が必要とされる状況になった。しかも単なる主務大臣ではなく、公正取引委員会のように準司法的・準立法的権限を持ち得る、それから、報告徴収権限だけででな
く立入検査権限まで持ち得る、独立行政委員会としての個人情報保護委員会が立ち上がったということで、質的な転換が図られた。さらに加えて、十分性認定がとれるとは思わなかったけれど取れた。これだけ手足が縛られ11

た中で担当官がこれをクリアできるとは到底諸条件からみて思っていないが、無理やりとっていただいた。これは端的にすごいなと感心しているところ。これについては、告示による拘束性とはどういうことか。こうやって弥縫策の連続で、状況から行政目的として書かれたことを一つ一つクリアされていくことは麗しいが、やはり法律による行政の原理からしてどうなのか、法治主義は揺らいでいないのかということを鑑みると、やはりいかがな
ものかということは、言わざるを得ない。十分性認定、リスボン条約とＧＤ
ＰＲ、基本権、人権と法律という構えと、十分性認定をとったということからすると、ＥＵ側には憲法があることや、縷々刑法、民法、いろいろものを総動員して勝ち取ったのだろうが、やはり日本も、憲法と個人情報保護法の接合をより強化する、具体化法としての設計を裏側の気持ちとして持つかどうかが、結構ポイントになろうかと思う。何より私が27年改正法において気に入っているのが、３年ごと見直し条項である。
「３年ごと」、永続的に改善を続けるということを法自体にビルトインしたことが、極めて国内における良い宣伝になるだろう。作りっぱなしが多い中で、後任の担当官が苦労していく中で、様々なハーモナイゼーションを図っていくということは、やはり不可避的な状況に今置かれているので、大変良い条項が置かれたと思う。それ故に、どこに向かっていくのか、船は漕ぎ出したが行先は誰も知らないという状況ではないか。１件の漏えいのために中央官庁が動くのか、そんなものを規律する法律だったのかと思う。最近騒がしているプラットフ
ォーマーが民主主義を壊すようなことをしたら、課徴金どころか解散命令
だって出したいぐらいである。そのため、そういった民主主義を壊すことが嫌なのか、ナチがユダヤ人狩りをするために名寄せしたように、差別することを個人情報保護委員会は強制的に入っていくための道具がほしいのではないか。法目的が欠落した状態ということに、個々の政策を検討するときに結局行き着くことになると思う。
Ｐ１に総論だけ記載したが、法目的の曖昧さということで、法目的は１条のためテンプレートに従って毎度起案されるが、床の間の飾りではなくて、
やはり各論において個々に立ち返る際に、個人の権利利益の保護は、抽象的に過ぎる。個人の尊重の原理のもとで作られる全法律は、国家的法益であれ社会的法益であれ、最終的に個人の権利利益の保護に帰着するため、そういう意味ではあらゆる法律に通底する目的を個人情報保護法に記載しても、個人情報固有の法目的は、いったい何だろうということになる。
歴史を振り返ってみると、Ｐ２に記載したように総務省行政管理局の本に記載があり、その中に、①人間疎外、②政治的、社会的権力の集中、③基
本的人権の侵害、そして④個人の具体的な権利、利益の侵害と記載がある。
12

この①②③を欠落する中で最後の④のワーディングだけが残っている状況である。実は、この④は①②③があってのものだが、高木浩光氏等が情報公開請求により様々な過去の議事録等の資料を集めており、過去の方はよく知っていた。人間疎外が起きると精緻的社会的権力の集中が起きる。これは、個人情報保護委員会を作ってマイナンバーをきっかけに、官の不適切な取扱い方を、他の省庁から少し独立したところから監視する、目的を限定されてそれに関しては、他の主務大臣といえども、個人情報保護委員会の監視下に置かれるという建付けで政治的社会的権力の集中に対処すると記載されている。これに対して、むしろ及び腰になってきたのではないかと思う。中
央官庁が、１件１件の漏えい事案に対して、そんな細かいものまで目配りできるわけはなく、本当にやらなければならない仕事は何なのかということを考えた場合に、やはり人権問題をベースに考えていくべきであろうと考える。欧州の場合を振り返っても、ナチの、ＩＢＭパンチカードとカード選別システムによって、ユダヤ人を定義して教会等からの色々なところの情報から名寄せしてリスト化して差別していくわけである。そして最終的にはガス室に送り込んだ。それは戦後ではアメリカにおいてマッカーシズム
でやはりリスト化しているように、戦後に、民主主義の国でも起きている。
図書館の利用者情報になぜ手を触れてはならないのか、こういったところが本来的な保護目的の中核にあるとするならば、具体的な権利義務を、プロファイリング等の自動処理が本丸規定なのではないかと。行政的な手続規定に逃げた結果、利用目的を明示しなさい、そういった遠隔的な規定を作るにしても、完全な中核的な義務についての認識に欠けていたのではないか、
それは法目的を具体的に書かなかった、ということに起因しているのではないかと思う。何を保護するのかということを明確にすべきである。
それから、欧州は戦後のコンピュータ産業育成に負けて、国も補助金を出したが、ほとんど北米資本に圧倒されてしまっている。今の日本のＧＡＦＡ対策と同じではないかと思う。日本は半世紀遅れて欧州と同じようになってしまった。欧州がなぜ保護主義的なのか、なぜ大手事業者に対して非常に権力的に立ち向かうのかについては、やはり歴史的ナチの原体験、それから
産業政策的に電機メーカーがなくなり、国内データを全て国外企業に任せざるを得ない状況になった。それを踏まえてのもの。マイナンバーを導入したのも、社会主義制度を維持してセーフティネットを維持するためのものであった。そのためには法人税が必要だし雇用を維持しなればならない。そのためには、情報の利活用の問題も併せてみていくのは当然である。法人税を払ってもらうためには、経済を活性化させて雇用を維持してもらうことも含めて、人権保障だから当然に企業が劣後して経済活動が委縮するとい13

う関係には全くない。個人情報保護委員会は、そこを調整するためにできた組織ではなかったのか、そのような気がする。そして保護と利活用のバランス論についても、言葉に逃げているように思う。バランスといったら極めて麗しいが、どうバランスをとるのかは、どこに調整法理が働くのか、どこで判例が形成されるのか、構造を作る必要がある。ところが、民間側は自由だ、
規制緩和をしてほしいと主張しながら、十分性認定をとれ、と言っている。
規制緩和ならば、一企業が欧州と対峙して企業単位で克服すべきだったのではないか。政府は放っておいてくれと言ったはずである。さらに、直前になったら駆け込んでくる、泣きついてくるという様相である。これは何なんだという話である。政府が悪いのではなく規制緩和を謳ったならば、最後まで自由主義を押し通せ、自分らでやれ、という話である。もう少し見通しをもって意見を主張してもらえたらと思うし、企業は、自分達がやってほしい
ことを言語化できていない、文字化できていない。真意をみていかなければならないことと、本当に自立しているのかということは、最後の６番に書いた。
法規制の在り方として、立法の構え方として、どうすべきか。自律的な事
業観を前提に今後設計するか、パターナリスティックに官民一体の形で護送船団時代のように政府が振り付けなければならないのか、ここも、今回は規制緩和と言っているわけなので、企業の自立に任せる、強い企業観でいくのか。
また、現状はナショナルセキュリティの観点を欠いていると思う。やはり民主主義が壊れるとか、極めて差別的な処理がなされるだとかあるが、デー
タ流通をよくする目的の一つには、東京五輪、大阪万博と続くため、テロ情報がうまく流れていく、国内に入ってくるようにすべきと考える。諜報の問題については、企業からは入ってこないため、あらゆる問題を解決していくに当たって、立憲主義思想が社会に根付かせるためにも、強い司法が必要であると同時に、個人情報保護委員会は行政の中でも司法に近い存在である
ため、どう最高裁の判決を導き出すのか、司法との連携・緊張関係も考えた設計とすべきと思う。
補完的ルールはその場しのぎの政治目的を解決するための方便にすぎな
いため、歴史的にみれば必要なことは分かるが、次の改正で引き取らなければ、これは歴史上の汚点として残ることとなる。告示で法律を則れるという先例を、言葉的な粉飾で残してはならないと思う。後で振り返った時に、これがどう評価されるのかということも含めて、状況は歴史的経緯で皆分かるが、法律でぜひ引き取っていただきたいと思う。
最後のＰ６について、高木浩光氏のアイデアで気付かされたが、①マニュ
14

アル散財情報、②デジタル散財情報、③マニュアル処理情報、④コンピュー
タ処理情報、という区分である。法律は、処理情報か散財情報かをビルトインしているが、デジタルかアナログかということは法律にはかかっていな
いが、我々文系は、ついデジタルが脅威と感じてしまうが、実は処理情報の体系化が極めて重要ということは、高木氏の論文で明らかである。処理情報
による、というところがなければ、これから請求権を作っていくことになるかもしれないが、請求権が、企業のプラクティスに落ちていかない、データ
ベースだからこそ出せる、自動処理等のプロファイリングを行うことができる、すなわち、体系性をもったものであることがポイントである。すでに、デジタルではなく処理情報に依った法体系が作られていたことを、最近自覚した次第である。ビッグデータでは何も起こらなかったけれど、データをクレンジングして体系化するというように、政策誘導しないと何も起こらない。それが要するに個人情報保護法においては、処理情報というキーワー
ドで、実は教えてくれていたことについて、我々もちょっと無自覚に過ぎたように思う。仮名データを入れるというのも、非常に賛成である。」
続いて、高木氏から、資料に沿って次の説明が行われた。
「最初に目次を用意した。前半で、見直しの方向性として、中間整理には
抽象的な内容しか書かれていないが、４月にあった日本経済新聞の報道をベースに、私が推測するところで、利用停止請求と仮名化データの件を中心にコメントしたい。それに加え、匿名加工情報、ターゲティング広告、個人識別符号、名簿屋対策の問題について簡単にコメントし、最後に、中間整理の中で問題があると思う２点について苦言を呈したい。
まず、若干自己紹介を用意したが、鈴木先生からも紹介いただいたとおり、
情報公開請求をし、個人情報保護法の立案過程の分析を行っている。法制局
審査資料への議事メモをすべて読むと、今まで皆さんが疑問に思っていたことが、既に過去に議論されていたというものがたくさん見つかった。そのようなものを論文にまとめる作業をしているところであり、これを背景に
今日の意見も構成している。
次のページだが、結論から言うと、利活用と保護を両立するために、統計量への集計は問題としないことを明確にするべきである。これは、既にＱ＆Ａには書かれているが、ガイドラインや逐条解説書でも何も説明がされておらず、なぜそうなるのかという理由が示されていない。これについては、
法目的を具体的に明確化していないから説明がつかないのだと思う。
私から問題提起したい、今忘れられている本来の法目的とは何かということについては、記載したとおり、「個人データに基づき本人に何らかの影
15

響を及ぼすことが問題」であるということ。これは、ＥＵの言い方で言うと、プロファイリングに基づく自動決定などに当たるかと思うが、個人の選別（軽いものから重いものまで多々あると思うが、その軽重を除いて、とにかく個人を選別すること）が、日本法における法目的として欠落していると思う。ただ、過去の立案資料を見ると、むしろ昭和63年法のときこそ、そのような議論はしていたし、行政機関法の全部改正の際にも「何のために開示・訂正請求権を設けるのか」との議論の中で、行政機関が持っている個人情報を基に、本人に対して何か処分する可能性がある場合でなければ、特に必要ないのではないかとの議論がなされている。これを言い換えれば、本人を選別するということが法目的として頭の中にあったからではないかと思う。
そうであれば、元々組み込まれていたことが忘れられているだけであるので、この際、民間部門の個人情報保護法においても明確にすべきではないか。
逆に、それをしていないがゆえに、「個人情報保護法ができたから、自分のデータが金儲けに使われるのは損」というような感覚が生まれている。これは本来の法目的ではないと思うが、このような権利感覚が生まれてしまい、「ビッグデータを勝手に利活用するのは許せない」というような声が出てしまっている。そういう趣旨ではなく、あくまでも統計量への集計は問題ないということを明らかにするべきである。
次のページは、日経新聞の報道から推測した、あくまでも私の理解である。
利用停止請求権について、今条件付きになっているものを無条件にするとされている。無条件とは言っても、小向先生から指摘があったように、正当な利益や契約に基づくものは除くようにしなければ理屈が合わないとは思うが、それは置いておいて、利用停止を無条件に請求可能にするということは、事実上のプロファイリングの権利に対する一部対応に当たるのではな
いかと理解した。すなわち、日経新聞に「ダイレクトメールを送ることは認
めるが、自分をプロファイリングすることは認めないとすることができる」
旨が書かれていたのは、いわば、プロファイリングされないということを請求できるということだと理解した。仮名化データの新設については、「第三者提供は制限するが、利用ルールは緩和する」とあり、一見どういうことかわからない方も多かろうが、これは、統計利用のためにデータを温存できるという意味で緩和なのではないかと理解した。
次のページに詳しく書いているが、これは良い提案だと思う。現行法でも、統計量への集計は本来目的外に利用可能であるはずだが、利用停止請求権を設けるということは、そのような利用も停止できるようになってしまうというところ、データを仮名化しておけば、データを温存して使うことができるということと理解した。加えて、開示・訂正請求権からも除外されると16

いうことは新たな規制緩和になると思うが、これも大変良いアイデアであると思う。その理由については、次のページに書いている。
医学系研究倫理指針の改定の際にいくつか助言をしていたが、現場からの声として、「研究用データは仮名化してあるにも関わらず個人データであると言われると、開示請求に対応しなければならず大変である」との声や、「そもそも本人にアプローチするためのデータではなく、最終的に統計量に集計されるだけの扱いをしているのに、なぜ開示や訂正の求めに応じなければいけないのか」等の声が出ていた。日経新聞の報道レベルではあるが、実現されれば、これを解決するものといえるのではないか。
次のページであるが、開示請求権はそもそも何のためにあるのかということを確認しておく必要があるが、誤用や誤解が広まっているように思う。
私が耳にした中では、「自分の情報を備忘録代わりに請求して思い出す」、「遺族が本人死亡で不明になった情報を得るために開示請求している」という例があるようだ。今回の中間整理の中にも「家族等への提供に応じないことに関する不満」が挙げられていることから、これについて何らかの手当てをすることを検討しているのかと思うが、本来の開示請求権の目的は、訂正を請求する前段階として、自分の情報が間違っていないかを確認するためとされてきたことからすると、このような用途は誤用に基づく希望ではないか。これに対応してしまうと制度趣旨が混乱してしまうため、慎重に検討していただきたい。記載しているように、過去の立案時には、法制局でこの点は詳しく議論されているので、そのような議論を踏まえるべき。
次に、プロファイリングについて、先ほど述べたとおり、利用停止請求権を無条件にできるようにするということは、事実上のプロファイリングへの対応と言えると思う。ただし、利用停止を請求するとしても、利用目的の通知・公表の中で、自分の情報がプロファイリングに使われていると書かれていなければ、利用停止を請求できないため、事業者側はその旨を書くべきであると思うが、現行法では必ずしもこの点について区別を求めていない
ため、今のままでは分からないままになってしまうだろう。そうすると、これをやるのであれば、利用目的の書き方として、プロファイリングの記載をするよう指導していかなければならないと思う。
ただ、用語について書いたが、プロファイリングの語は誤解が多いので別の言葉を考えた方がよい。宍戸先生や山本先生は、推知すること自体がプロ
ファイリングと捉えて発言することがあったが、ＥＵでは推知の結果を用いて個人を自動処理で選別することを問題としているため、むしろ、選別という部分がニュアンスとして出るような用語を作った方がよいのではないか。実際、今回の日経新聞の報道も、夕方に差し替えられていたが、修正前
17の記事では、「推定するようなマーケティングには利用しないでほしいと請求できる」という文章になっていた。このまま読むと、統計利用も認めないとも聞こえてしまい、誤解させている。このような誤解のないような用語を考えていただきたい。
次に、中間整理に書いてあったことについて簡単に触れる。ターゲティン
グ広告に関しては、通常、氏名を持っていない、端末で識別して蓄積される個人に関する情報を基に行われており、現行法上は個人情報でないと言われてきたが、先ほどから述べているように、法目的を「個人を選別すること」
を中心に捉えると、たとえ端末で識別される個人であっても、個人を選別する目的で集めているのであれば、個人データと言ってしまってよいのではないかと思う。同様の考え方は29条作業部会の「concept of personal data」のオピニオンの中にも書かれているので、ぜひ確認いただきたい。また、昭和63年法でも、自動車登録ファイルの場合には、自動車のナンバーを基に識別される個人という考え方で、対象に入れるという議論が行われていたので、この辺りも思い返していただきたい。
その点、次のページにあるように、中間整理では、「提供先で照合可能な情報が特定の個人を識別できる情報になるかもしれない」との考え方が示されているが、前回改正時にも同じ考え方で匿名加工情報に取り組み、結局上手くいかなかったという経緯を考えると、また同じ轍を踏むと思うので、そういう問題ではないということを述べたい。つまり、個人を選別するために端末で識別している限りは個人データになるとすれば、「個人が誰である
か」あるいは「氏名到達性」という考え方は不要であるはず。その考え方を転換しない限り、ＥＵと同じ考え方にはならない。そのためには、事業者がどのような目的で取り扱っているかということによって個人データ該当性が決まると思うが、それを客観的に判断できるかという論点があるかと思うので、ハードルの高い提案とは承知しており、次の改正でできるとは思っていない。ただ、少なくとも、他の方向に行ってしまわないようにお願いしたい。
次のページは、個人識別符号を拡充することにより、クッキーを入れるということについて一定の検討がされているが、先程のように整理すると、「ＩＤが何か」ということより、「何をしようとしているか」という問題であると思うので、下手に個人識別符号の拡充で手当てをするべきではない。
次のページは、名簿屋対応についてだが、最近、「破産者マップ」というサービスが問題となり、国会でも取り上げられていたが、現行法では、正常なオプトアウト方式で届出がされた場合、あのようなものを止めることができない。しかし、国民世論としては、止めないといけないというものだっ18

た。そこで、一部に関しては、オプトアウト方式による第三者提供を見直してはどうか。これについては、個別具体的な法益の侵害レベルを委員会で判断するというような道があるかもしれない旨、簡単ではあるが、提案したい。
最後に２点、苦言と申したが、中間整理の記載にいくつか問題があると思う。一つ目は、鈴木先生からも指摘があったが、個人情報と個人データの区別について、個人データで揃えていくべきではないかということについて。
今回の中間整理では、「それぞれ後者が前者に包含される関係にあり、段階的に規律が上乗せされる構造となっている」と書かれている。次のページに図を載せておいたが、３月20日の委員会資料に３段階の図が載っているが、実は、これまでこういった図は示さないように気を付けてこられたはずである。実際、委員会のパンフレットにもこういった記載はされていなかった。
むしろ、外野の識者がこのような図を載せていたために、このような考え方が広まってしまったと思う。平成15年に個人情報保護法ができた際の園部編の逐条解説書の図をみても、16条から27条の各義務は個人情報データベース等に対して適用されるとの図のみがあえて載せられている。このようになっている原因について現在開示資料で分析中であるが、条文上はどのように読んでも３段階の構造になっていると読めるが、本当はそのようなつもりではなかったのではないか。当時の藤井審議官は、次のぺージにも載せているとおり、「あくまでもこの法律は個人情報データベース等を対象とするものだ」と書かれており、確認をする必要がある。条文を直す必要があると思うが、ハードルが高いのは承知している。この部分も、違う方向に行ってしまわないよう注意していただきたい。
二つ目に、法目的から外れるような活動が一部あるのではないか。個人情報保護を住所氏名保護のように捉えてしまうと、「ＳＮＳに住所を載せない
ようにしましょう」というような子どもへの教育啓発になりがちであるが、本来の法目的が、データの分析による本人への影響ということからすると、それらは法目的とは関係のないことであり、むしろ警察庁か総務省消費者行政課などがやることであって、個人情報保護委員会でやることではないのではないか。本来の法目的をはっきりさせてこなかったからこそ、啓発活
動がこうしたものに流れて行ってしまい、また、国民も何のための個人情報保護なのかという認識がずれていってしまっているように思う。本当に教
育啓発をするのであれば、最後に書いているとおり、事業者に対してどのように警戒の目をもっていくべきであるか、つまり、信用できる事業者か見極
めようということと、自動処理によって個人選別されることに踊らされないようにしようということについて、ぜひ啓発していっていただきたい。」

19続いて、新保氏から、資料に沿って次の説明が行われた。
「総論としては２つの観点がある。まず個人情報保護制度のあり方の観点として、官民双方における個人情報の適正な取扱い、公正な個人情報保護法の執行、個人の権利利益保護、国際的な個人情報保護への取組の促進、が挙げられる。次に、法改正の見直しの在り方の観点として、「３年ごとの検討」
として継続的に検討を行うにあたり、ＡＩの普及を前提とした個人情報の取扱環境の変化を見据えて制度変革を行うことが挙げられる。これらの総論の観点を踏まえ、委員会の権限拡充、国際的な対応、個人情報取扱事業者の義務という３つの各論について述べる。
まず、「１．個人情報保護委員会の権限及び所掌事務について」、官民双方を執行の対象とすることが前提であり、民間部門との不均衡が生じないよ
う公平な執行体制を整備することが不可欠。現に、個人情報保護委員会において、番号法に基づく特定個人情報の取扱いに係る執行は官民双方を対象としている。また、官民データ活用推進のため、匿名加工情報・非識別加工
情報をはじめとする定義の統一化等も必要である。
個人情報保護委員会の権限の拡充については、法執行、制裁措置の実効性確保という観点から、後述するが、個人データの漏えいのみが制裁強化の対象ではないということを注意点として述べたい。漏えいに対しては社会的制裁が広く及んでいることは周知のとおり。報告の義務や本人への通知によって被害の拡大防止や救済を行うことが重要な論点なのであり、漏えいに対する制裁を強化することは必ずしも必要ではないと考えている。
また、個人情報保護方針の策定は、現行では基本方針において示されているが、法令上の義務ではない。一方、国外ではＦＴＣ法の第５条に基づき、「言っていることとやっていることが異なる」ことが消費者に不利益を及ぼすことに対して、法執行がなされている。我が国でも、「消費者にとっては騙された形で個人情報が取り扱われている」ことに対して、個人情報保護指針の法定を検討し対応することが必要ではないか。
さらに、自主的な取組の促進に加えて、日常的にデータが越境流通している現状を踏まえると、個人情報保護法を根拠に、新たに認証制度を用いた制度を構築しても良いのではないか。
プライバシーマークは１万５千社以上の事業者が認定を受けており、世界で最も成功している認証制度であるが、ＪＩＳ規格に基づく産業標準化法を根拠とする制度であり、個人情報保護法を根拠とするものではない。
従来から我が国の法制度において基準としているＯＥＣＤプライバシー
ガイドラインでは、プライバシー・マネジメント・プログラムを整備することを示しており、このような観点から検討を進めてはどうか。また、ＧＤＰ20

Ｒに基づく高度な認証制度との相互認証も行い、これによりプライバシー／データ保護影響評価を実施することが可能ではないか。
「２

国際的な対応について」は、まず、域外適用は外国事業者に対する執行の実効性確保が必要。そのために、越境データ流通の保護とのバランスを国際的な枠組みの中で図っていくことになる。特に、データローカライゼ
ーションの動きに対抗するためには、自由なデータ流通の確保が不可欠。現状、ＡＰＥＣにはＣＢＰＲとＣＰＥＡの双方があり、一方、ＯＥＣＤには越境執行の取組についてガイドラインがあるが、越境プライバシーに関しては、それのみを目的としたものはない。このため、ＯＥＣＤの越境プライバ
シーに関するガイドラインを提案することにより越境執行協力体制、自由な越境データ流通、認証システムを国際的な枠組みで提案できるのではな
いか。
国際的な相互認証制度も、前述の個人情報保護法を根拠とする認証制度を構築すれば、各国との協調相互認証が可能であると考えられる。参考までに、個人情報保護法の改正に伴い、産業標準化法に基づくＪＩＳＱ

１５００１も改訂された。ＪＩＳ Ｑ １５００１は、ＥＵの制度を参考にした、非常に高いレベルの個人情報保護を目的とした仕組みであり、ＩＳＯの構成・構造に変更済であるため、これを国際標準として提案することが可能。
「３ 個人情報取扱事業者の義務の見直し」について、個人の権利利益の意識が高まっているが、現状では、不正取得、目的外利用、第三者への無断提供といった、手続違反による場合にのみ請求権の行使が可能となっている。一方、無条件に請求権を認めると、適法な取扱いも制限されるという懸念が存在する。我が国はオプトインを前提とする法制度とはなっておらず、
オプトインを前提とすることは事業者に過剰な負担となると考えられる。
手続違反に限定しない請求権の行使と共に、適用除外を明確にすることによって、個人の権利利益の保護の程度を高める取組が必要。なお、ＪＩＳ Ｑ
１５００１では６か月以上という要件はないため、保有期間に限定せず請求権に対応することが可能。
最近では情報銀行の取組により、いわゆるデータ・ポータビリティ確保の素地が整いつつあり、そのような観点からの取組も、個人の権利保障、請求権の在り方として考えるべき。
漏えい報告については、漏えいによりどのような問題が発生するのか、消費者の不安が強いところ。一方、漏えい報告は事業者にとって非常に大きな負担となる。報告を要しない場合は既に個人情報保護委員会規則で定められており、法的な義務として踏襲すると共に、本人への通知義務の範囲、本人に不利益が及ぶ場合の本人への通知義務の範囲を明確化することが必要。
21

本人への通知により本人に不利益が及ぶ場合とは、例えば、がん患者に、がんであることを告知していないにも関わらず、医療機関から漏えいした患者に関する病名などの情報が通知されるというような場合を指す。
また、報告の義務付けに加え、正直に漏えい報告をした者が逆に厳しく罰せられるという不公平を生まないため、報告をしないことによって消費者に被害をもたらす場合においてより重い制裁を科すことが重要。」
嶋田委員長の進行により、質疑応答が行われた。
嶋田委員長から、「様々な角度から非常に貴重な御意見をいただくことができた。私から４点ほど、既に御意見を頂戴している分野もあるが、ご意見を伺いたい。その中で特に関心のある点のみでも、４点全てについてでも構わないので、是非この場で御意見いただきたい。
まず一番目は、あるべき法の姿ということで、特に鈴木様、高木様から精緻なご提案をいただいているが、実際に今後のあるべき法の姿として、端的に、どういった目的を軸に据えるべきであるとお考えか、ということについて他の先生方からも御意見を伺えたらと思っている。
二番目が利活用について、今回の見直しについては、保護と利活用のバランスが重要であると私どもも申し上げてきた。また各方面のご提案は全般的に保護するべきとの御意見が多かったが、今日も何点かあったが、利活用を促す観点から、さらにいただけるご意見はあるか。
三番目が、もうすでに皆様から御意見を頂戴しているが、外国事業者に対する法執行については、様々な状況から内外無差別を主張する意見がある
が、主権との関係もあって難しい面もある。今日はほとんど全員の先生方から法執行については意見を頂戴していると思うが、更に追加して何かあるという方はぜひご意見いただきたいと思う。
四番目に将来の課題・リスクで、ＡＩといった指摘がさらにマスコミからもされているが、今、ある程度将来を見据えて対処すべき課題、リスクについて、更に何かこれは重要であるといったアドバイスがあったら是非いた
だきたいと思う」旨の発言があった。
嶋田委員長の発言に対し、新保氏から、「法目的はやはりプライバシーの権利保障という観点から今後考える必要があると思っている。特に基本理念においてはプライバシーの権利は明記されていないので、今後いかにプ
ライバシーの権利保障の観点から考えていくかが重要。
利活用については、先ほどの委員会を中心とした認証制度等の構築によって、高いレベルでの保護を行う事業者はより積極的に利用を認めてもよ22

いと考えている。
三点目の外国事業者との関係については執行協力が既に現行法でできるので、より積極的な執行協力を行うことによって、例えば先ほどの個人情報保護指針の法定など適正な取扱いを行っている事業者がいる一方で、言っている事とやっている事が違うということについては執行協力をより充実させる必要がある。」旨の発言があった。
小向氏から、「利活用の促進について、報告の中でも申し上げたように、日本の個人情報保護制度に関する議論では、個人情報ではなくして欲しいという要望がものすごく強い。しかし、これは無理筋だと私は思っている。
個人情報の対象は広くすべきであって、むしろ規律がかかった上で、正当な利用ができるようにしていくべきである。現在のように、個人情報の取得や利用の自由度が高くて、本人の意思反映等の仕組みがない一方で、事後的な第三者提供や、利用目的の変更を実質的に禁止する制度は改める必要があるだろう。トータルで、バランスよく利用の正当性を考えることが望ましい。
１つ先ほど申し忘れたが、一般規定やバランステストというのは、規制機関
が裁量をもって、責任をもって判断しないと機能しない制度である。導入に当たっては、個人情報保護委員会の権限の拡充と明確化は必要になるだろうと思う」旨の発言があった。
板倉氏から、「あるべき法の姿について、個人情報保護そのものが人権であることを明確化すべき。アメリカでは、公民権法の争いの中で議論されてきた。日本の場合、人権擁護法もなかなか成立しないが、要配慮個人情報は差別禁止をうたっている。欧州評議会第108号条約については、日本はオブザーバーにとどまっていると承知している。いずれにせよ、仮名化も含めてあるべき姿を議論するべき。
利活用について、企業からは統計で使いたいという声が多いため、統計目
的で使う際には個人情報の利用でないことの明確化が必要。観念的には名寄せを伴う秘密計算については、今は第三者提供にあたると認識しているが、これについても議論が必要。
外国事業者に対する法執行について、今はそもそも会社法違反の状況ではないか。登記義務を果たしていない可能性がある。したがって、先程述べたとおり代理人設置義務を設け、行政処分を科せるようにするべき。執行協
力については、日本の場合表立ってやっていないだけかもしれないが、例えばカナダとオランダのような事例もある。
将来の課題・リスクについて、いわゆるプロファイリングについては今後
23

必ず問題になるので、正面から議論するべき。また、ある人に対するサービスに巻き込まれるという問題にも留意が必要。スマートテレビ、スマートス
ピーカー等は本来は所有者向け。グーグルは、来客がある場合に、気になる
場合には電源を切れ、としているようだが、グーグルでもこの程度の対応になってしまっている。本来は本人に対する通知・公表が必要だが、実質的にそれが難しくなっている」旨の発言があった。
加藤氏から、「法の目的は現在のままで問題ないと思っている。
プライバシーと個人情報は違うものであるから、この法律はあくまでも個人情報を守るという意味でこのままで良いと思う。プライバシーの観点から色々な形で精査した方が良い部分があると思ってはいるが、目的としてはやはり個人情報とプライバシーは別のものである。また、差別を目的に取り込むことも反対である。大企業がプロファイリングをするのは問題があるかもしれないが、この法律がかなり幅広く色々な私人をターゲットにしており、民間に適用されることを前提としている。とすると、民間レベル
では我々日常的に当然差別と自由は衝突する。国が差別をすることは問題がある。鈴木先生のご懸念は私も理解できる。行政機関が保有する個人情報保護法ではかなり必要なことであると思うが、個人情報保護法で入れた場
合、皆がすべからく平等に行動しなければならないということになってしまう。憲法上の権利というのはあくまでも国に対する権利であり、我々私人は例えば日常的に友達を好き嫌いで選んでいたり、日常的に差別を行っている。実際問題そういったことまで法の目的に入れてしまうということについては、少々行き過ぎである感じがする。
外国に対する法執行については、論理的な話ではなくて、ＥＵのＧＤＰＲ
ではほとんど政治的に使われている部分がある。例えば、制裁金制度はアイルランドには存在しない。これはどうしてかというと、企業に来てほしいからである。他方、フランスは今年１月に、板倉先生もコメントされていたが、62億円の制裁金を課しているという、とてつもなく恐ろしいことをやっている。自分のところでお金を取り込もうという、結局国全体の道具になりつつあると思う。フランスは制裁金を課して62億円を取る。しかしアイルラン
ドは、そういった制度を取らないで、企業になるべく来ていただいて、進出してもらい、税金という形で納めていただく形をとっている。このように、制裁金制度は政治的な道具になりつつある。日本が本当にどうしたいのかと言うところを考える必要があると思う」旨の発言があった。
高木氏から、「お尋ね頂いた４点のうち、外国事業者に対する法執行につ24

いては専門外のため、発言は控えさせていただくが、その他の３点については幸い先の私のプレゼンで既にお答えした。今ちょうど面白い議論になっているので、私からは小向先生、加藤先生、新保先生にも反対である旨を述べたい。
小向先生は、利用目的の変更要件を緩和すべき、第三者提供の制限が厳しすぎるとの意見だが、これはまさに前回改正で挙げられた観点で、ぎりぎりのところで整理し終えた解決済の問題であると思っている。どのように解決されたかは、先程述べたように統計量への集計はもともと問題ではないということ。つまりビックデータの利用というのは通常、統計量に集計して使うものであるということ。残るのは、統計量ではないもの、それは何かと言えば、本人に何かしらの影響を及ぼすものであり、公的部門だと処分、民間だとターゲティングであり、そこだけが残るという整理だった。この点は先程述べたように、次の改正で取り組まれるとよいのではないかと考えている。
続いて加藤先生のおっしゃるポイント、私も差別に関する規定を入れるべきとまでは思っていないが、もっと緩やかに、本人の選別ということについて、本人が拒否できる程度の規定をまずは入れるのがよいと思う。加藤先生のご指摘、個人が他人を差別することは日常的行為で個人の自由である
こと、これは私も同意するところである。加藤先生がそうおっしゃる背景には、個人情報を、個人データでない個人情報、データベース化されていない
裸の情報の扱いを個人情報保護法が対象としている前提でおっしゃられていると思うが、先ほど述べたように、本来の個人情報保護法の対象は個人データ。データベース化されている、一人ひとりがリスト化されている中で、機械的に一人ひとりを選別するようなことを問題の中心として捉えているので、仮に差別することを禁止規定のように入れたとしても、それはデータによる自動処理に対してであり、ご懸念されているような個人の日常的な差別行為に対しては法の目的は及ばないと反対意見を述べたい。
新保先生の御意見に対する反対というのは、法の目的にプライバシーを明確にすべきとの点。これはかつてから言われていることであるが、法制局審査資料を精査すると、かつてどのように整理されていたかが分かった。
色々な観点からの目的があり、先ほどのような個人の選別のことも意識はされていたようだが、それを具体的に明文化するのは、公的部門を中心に最初法制化されたので、公的部門には要らないのではないかと意見もあり入らなかった。その結果その目的が忘れられてしまったと思うのだが、民間部
門は何をやるかは分かからないのでそれも本当はやるべきだった。そのことも含めて「プライバシー」と呼ぶのだとも言えるが、プライバシーと言っ25

てしまうと、隠している情報が暴露されることや他人に対して知られることを想起してしまう。法目的はそちらではなくて、データ処理であることを考えると、プライバシーを中心に置いてしまうと誤解を招くのではないか。
そういうこともあって「個人の権利利益」という形でごまかしてきた経緯があるので、そこは注意して法目的を明確にしていただきたい」旨の発言があった。
鈴木氏から、「今の状況がすなわち、法の目的がプライバシーか個人情報なのかを見失っている状況である。法の目的である中核的義務が何かという点が曖昧であるが故に、こういった迷走に陥っており、まさに今までの過去を繰り返している状況である。
「学」の方が理論的基礎である論文を出してこなかったことによる反省であるかもしれないが、例えば、アイデアとしては15年法の迷走の前に一度廃案となり５原則を撤廃した、あるいはメディアから５原則があると不法行
為法にはねて報道が萎縮するという変な理屈であるが、これから請求権をいくつか設定しなければいけない状況である中で、１個１個独立してバラバラに入れていくと「行為請求」される。
「やめて」という権利であれば比較的弊害は少ないと考えられるが、相手に何かをさせる時は、必ず対立し、調整が必要となり、これを個人情報保護委員会が行うと思うが、法の設計の仕方は、それを必ず裁判所の判断に持って行けるような設計にしなければ、そこに調整の法理が育たない。請求権が何から発生するのか、まさに裸の請求権で請求権の要件と効果だけ設定すると、ますます何のための法律か分からない。何か困ったら請求権を付ける、欧州から圧力があれば請求権を付ける、これだと自分を見失っていく。本来の法目的は何かといった時に、「right to privacy」だと歴史的経緯を引っ張ってきてしまうので、ワーデ
ィングとしては不適切かもしれない。多義的だ、という批判はずっと付きまとうことになる。個人の尊重の原理という憲法のワーディングで、それを個
人情報保護レベルで具体化させるためにブレイクしたのが、８原則や５原
則という原則を確認し、その原則をベースにする。もしくは「個人データ管理権」のような造語でも良いが、実体的権利・利益・価値のように法目的と連動する価値を確認し、そこから請求権が出てくるようにする。所有権があり物件的請求権があるように、民法的な感覚で言うと、真ん中に何らかの権利があり、これが５原則に代えることも１つの方策かもしれない。そうすると、開示の求めを使って開示をさせて、それをポータビリティすれば良いといったような、それぞれの主旨が違うのに流用みたいなことが起きるのは、
やはり何のためなのかという根幹が揺れているからである。これで、相手に26

何かをさせるという請求権を認めれば、都度、対立と混乱が起きるだろう。
そこは、最終的に判例に委ねられるような設計が行政法から私法的な刑事法・民事法としての精緻な作りが必要とされるところだろう。
ＡＩについては、「光と影」の両方に対応しなければならない。個人情報のレベルで「影」に対応するとすれば、ＡＩの道具性を考えて、人間がコントロールしていく必要がある。自動処理されて勝手に不利益な取扱いをプ
ログラムされるということに対して、あくまで本人に解除させるという点
を個人情報の観点からも釘を刺しておくことが必要。それから、ＡＩの利活用は国策であることから、仮名データを定義すること、匿名加工は実際に利用してみると経済成長インパクトが少なかったことから、利用する企業が限られていた。これはこれとして、あっても良いが起爆剤にはならなかった。
これからの日本の必要な分野は医療と防災が極めて重要な分野である。医療でＡＩを考えると、臓器写真やレントゲンなどのスキャンデータをぼや
かすと無意味になってしまう。それは、どこまでいってもカルテ情報と紐付
く、かつて連結可能匿名化といった仮名データのままであるため、仮名デー
タを個人情報として安全管理措置の一環として位置付けて、仮名データをどう取り扱うかということの端緒を作るという意味で、本改正で仮名デー
タの定義を入れることは重要である。仮名データとして安全性を確保する
中で、他の義務規定を、例えば医療の特別法で設定する場合でも、一般法に仮名データの概念を規定することは、後の発展に重要であり、仮名データを動かすということが重要である。まさにカルテの影を発見することは、人間の名医にしかできないが、ＡＩが名医百万人分の医療を提供できるのであれば、これこそＡＩの利活用の一局面ではないか。これを個人情報保護法でも何か端緒を作るということは、「光」の部分である。
「影」の部分は、プロファイリングと事後決定を本来の中核的義務であるかどうかをもう一度再検討していただければと思う」旨の発言があった。
嶋田委員長から「様々な貴重なご意見を頂戴し、感謝。今後も色々な角度からご意見をいただきたい。私どもも様々なステークホルダーの方々に
個人情報保護を巡る意見を聴きながら、課題を整理、審議を深めてまいりたい」旨の発言があった。

以上

27