日時：令和６年６月３日（月）15：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○事務局

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員、小笠原委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第287回個人情報保護委員会を開会いたします。

本日の議題は一つです。
議題１「いわゆる３年ごと見直し

有識者ヒアリング」について、前回のヒアリングに引き続き、本日も有識者へのヒアリングを実施したいと思います。
個人情報保護委員会議事運営規程第９条の規定に基づき、京都大学大学院法学研究科曽我部教授、慶應義塾大学大学院法務研究科山本教授、英知法律事務所森弁護士、東京大学
大学院法学政治学研究科宍戸教授に御出席いただきたいと思いますが、よろしいでしょうか。
（異議なし）○藤原委員長ありがとうございます。それでは、出席を認めます。

初めに、京都大学大学院法学研究科曽我部教授に出席いただきます。
（曽我部教授入室）○藤原委員長曽我部教授におかれましては、御多忙の中、御出席いただきありがとうございます。
それでは、早速ですが御説明をお願いいたします。
○曽我部教授京都大学の曽我部でございます。本日は貴重な機会をいただきまして、ありがとうございます。
10分程度とのことですので、早速始めさせていただきます。
まず２ページ目でございますけれども、これは個情法の基本的な建て付けといいますか、
性格についてまず確認しようということで、この項目を立てております。
形式的ルールか実体的ルールかというところで、個人情報保護法は、基本的には形式的なル ー ルだ と 理解 し て おり ま して 、 これ の ２ ポツ 目 です け れど も 、 これ に 対し て GDPRほか、各国の個人情報保護ルールは実体的ルールであろうと理解しております。
すなわち、これは１ポツ目ですけれども、日本の個人情報保護法は「利用目的を定め、その範囲で利用する」という、これが根本的なルールでございますが、やや極端に申し上げているのですけれども、例えば利用目的が定められてさえすればそれでよいと。目的の正当性は必ずしも求められていないですし、利用目的の範囲内ということも、どの程度必1要なのかということは、必ずしも厳格に問われないというところで、形式的なルール、手続的なルールとしての側面が強いと理解しております。
こ れ に対 し てGDPRは 、個 人 情報 を 取り 扱 う に当 た って は 正当 な 根 拠が 必 要だ と いう ことになっており、かつ、どの範囲の情報をどの程度利用するのかということについても比例原則というもので判断をするということになっていくということをもって実体的ルール
であ る と申 し 上げ て お りま す 。で す から 、 個 人情 報 保護 法 とGDPRは 、基 本 的な 建 て付 けが違うということを、私は従前から強調させていただいているところです。
次に行っていただいて、３ページ目ですけれども、個情法にも部分的には実体的ルールの側面はあります。特に重要なのは４ポツ目です。先般、令和２年改正において、不適正利用の禁止が入りまして、これはかなり個情法の性格を変える契機になったのではないかということで、実体的なルールの側面を導入するものだと捉えております。
ただし、最後のポツですけれども、部分的には実体的ルールの側面が導入されているということではありますが、フラットな比較衡量ではないと。あらかじめ重み付けられたものと。例えば第三者提供における特に必要な場合ということで、フラットに天秤にかけて、可能であれば提供できるというのではなくて、「特に」ということで、原則的には提供できないということになっている点で、限定的な実体的ルールの導入になっていると理解しております。
次のページをお願いします。
形式的ルールなのか実体的ルールなのかと。利害得失のことをこちらに書いてございま
すけれども、形式的ルールは、明確性や予測可能性において優れますが、利益衡量は条文に固定化・定式化されるので硬直的になると。結果、過剰保護・過少保護が生じがちであるということです。
１ポツ目ですが、現行法はその対応のため、きめ細かさを求めて個人に関する情報の類型を増加させている。個人情報ほか、匿名加工情報、仮名加工情報、個人関連情報とどん
どん増えてきている。これは、利益衡量を定式化、類型化するという配慮なのですけれども、あまりに複雑になっていると。そういう批判もあるところです。
他方で、経済団体はルールの明確化を求めているという部分もあって、この点にかなりジレンマが存在するのだろうと思われます。
次ですけれども、５ページ目でございますが、dのところ、個人情報の範疇の外に目を向けますと、不法行為プライバシーというのがございまして、不法行為プライバシーとい
うのはまさに実体的ルールの世界ですので、結局、事業者としては、実体的判断から逃れられないということになるわけです。そうだとすると、個情法自体も実体的ルールの体系に移行するということは、それほど考えられないことではないのではないかと思われます。
それが書いてあるのが、dのところの２ポツ目、第三者提供規律をよりフラットな比例原則に服させることも考えられないかとしているのは、今のような発想に基づくものです。
その下の細かい字のポツですけれども、日本の個情法では、第三者提供規律がかなり厳
2

格、例外がかなり限定的に認められている反面で、同意の範囲を柔軟に解するという形で、一定の柔軟性を確保していると理解しておりますし、その類の実務家の指摘もあるところですが、そういう意味では、同意の解釈と実体的ルール、形式的ルールの問題というのは相関するところだと思われますので、この辺りとの議論の連動性というものにも留意が必要だろうと思われます。
次に６ページですけれども、今回の見直しの柱の一つであります「個人の権利利益のより実質的な保護の在り方」について、幾つか気づいたことを申し上げます。
まず、こどもに関しては、１ポツ目にありますとおり、国際的な規律の整合性の観点からも、こどもに対する保護の強化は必要ではないかと思われます。ただ例えば、一部で指摘 さ れ て い る よ う な こ ど も に 関 す る 情 報 を 要 配 慮 個 人 情 報 に し て し ま う と い う こ と には様々な不具合が生じ得るのではないかということで、別な形でこどもに対する保護を実質的に強めていくというアプローチが妥当ではないかと思われます。
これは一例で、ほんの思いつきで恐縮ですけれども、不適正利用の枠内で、こどもや高齢者など、その他脆弱性ある集団の特殊性を考慮するということにするとか、そういったことがあり得るかなと思います。
それから、下のところは、各論的な話ですけれども、あるところで議論していて話題にな った と い う こと で 書 い てご ざ い ま すけ れ ど も 、第 21 条 第 ２項 の 、 本 人に 対 し て 利用 目
的を明示すべき場合について、こども本人に示すのか法定代理人に示すのかということが実務上迷いの生じる事案だという話がありましたので、備忘録的に書かせていただきました。
次に７ページ目ですが、名簿屋対策に関しては、様々言われておりますけれども、私が思った観点としては、第三者提供記録の開示請求が現在できるわけですけれども、これをもう少し活用するということが考えられないかということです。
こちらは現在、本人が開示請求できるということになっておりますが、その開示請求の請求権者をもう少し広げる。例えば適格消費者団体にも開示請求を認めるというようなことや個情委への相談事例で、営業電話に対して「どこから入手したのか」と聞いても答えてくれないとのことですので、例えば口頭での開示請求を認めることなどがあり得ないか
どうかということは感じたところです。
次の８ページ目ですけれども「実効性のある監視・監督の在り方」につきましても、これも幾つか気づいたことを申し上げます。
一つ目、まず「a）漏えい等中心の執行でよいのか」と書いてございますが、これは最近の報道でも拝見しましたけれども、直近で漏えい事案が非常に増えているということですので、やや間の悪い感じの指摘になっておるわけですが、「年次報告等を見る限り監視監督については、漏えい等への対応が中心になっているように見える」、これはもしかす
ると的外れかもしれませんが御容赦いただければと思います。
た だ 次の ポ ツで 、 フ ラン ス のCNILの 例 を少 し調 べ てみ た ので す が 、こ れ は事 業 者に 対3

する権利行使ですね。開示請求や利用停止請求というようなもので、事業者に対する権利行使 へ の対 応 がな か っ た場 合 に、 CNIL に 対す る申 立 てを 認 めて い る と。 こ れが 年 々増 え
てい る と。 そ れが CNIL の監 督 措置 の 端緒 に な って い ると い うこ と で 、御 覧 のよ う な数 字にな っ てお り 、少 な く とも CNIL に おい て は、 漏え い 等中 心 の執 行 に は必 ず しも な って いないということでありまして、一つ参考になるかなということで申し上げております。
それから９ページ目、bの課徴金制度です。
中川先生、林先生の資料なども拝見したところで申し上げますと、これは基本的には同感でありまして、早期導入が望まれるだろうと思われます。これは国際的な規律の動向を見ても、そういったことが言えるのではないかと思います。
一つの法的な論点としては、法的性質論というのが問題となっておりまして、課徴金というのは、本来、利益の吐き出しなのだということが古典的理解だったと承知しておりますが、近年の課徴金に関する学説などを見ると、そうではないのだと。もう少し広い意味
で課徴金の概念が捉えられているというところで、個情法のようなものに課徴金を導入す
ることについては理論的なハードルは小さいのだと。障壁はないんだということが、これは既に中川先生や林先生からもあったとおりでありまして、そういう意味では、理論的にはハードルはなかろうということです。
それから実効性です。実質論としても、中川先生の御議論は、極悪層とか遵法層、中間層と非常に分かりやすい整理をされていますが、ターゲットごとに執行のやり方も考えられるだろうという中で、課徴金に関しては極悪層への対処として有効ではないかというよ
うなことかなと思いますが、こういう御指摘には同感でありまして、そういう意味では、
いろいろ批判論もあると承知しておりますけれども、課徴金制度については早期導入が望まれるのではないかと思っております。
それから最後、10ページ目ですけれども、団体訴訟です。
こちらについては、被害の回復と差止めと二つの局面があると承知しておりますけれど
も、差止訴訟については、個情委の執行リソースの限界を補完するものとして導入する価値があるのではないかということです。
それから２ポツ目で、その他前述の第三者提供記録の開示請求権や、事業者・認定個人情報保護団体への苦情申出資格など、適格消費者団体に団体訴訟以外の一定の権限を付与することも考えられるのではないかと考えております。
このように申し上げる前提というのは、一つは大きな課題として、委員会の執行リソー
スの限界を補うというのが課題かなと思っておりまして、その一助として適格消費者団体
等の力を借りるということがあり得るのではないかということがあります。
事業者としても、損害賠償とか被害回復に関してはかなり抵抗感もあるかと思うのです
けれども、差止訴訟ということは、結局、差止訴訟そのものをどんどんすべきだということではなくて、差止訴訟の背景に訴訟に至らない段階で消費者団体にしっかり対応してもらうと。その対応が得られなければ訴訟にもなり得るという背景として、こういう制度が4あると。つまり、消費者団体のある種の交渉力を裏付けるような制度として差止訴訟が場合によってできるのだということを位置付けることができるのではないかということです。
それから２ポツ目に書いてございます、苦情申出資格などについても、同様でありましてこういうことで一定の裏付けをもって、消費者団体が、事業者あるいは事業者団体に開示することができるような手立てを付与することが一定の意味があるのではないかということを考えて、書いているということであります。
それから「d）第三者命令」について、こちらは中川先生がいろいろ御研究されているというところで、現在、個人情報の拡散した先への対処ということが必要になる場合もあり得るという御指摘があったかと思いますが、確かにそういう場面もあるだろうということで、これは様々な課題がまだあるかと思いますので、一つの論点として今後検討が必要ではないかと。その点については賛成したいということでございます。
そういうことで、簡単な説明、まずは以上とさせていただきます。ありがとうございます。
○藤原委員長ありがとうございました。

ただいまの説明について、御質問・御意見があればどうぞお願いいたします。
では、清水委員。
○清水委員

委員の清水です。御説明ありがとうございました。

私のほうから３点、質問させていただきたいと思います。
１ 点 目は 、 ８ペ ー ジ にCNILの 例 を挙 げ てい ただ き まし た けれ ど も 、こ れ は現 在 、我 が国の個情委では漏えい等に関して指導するのが中心になっているのに対して、事業者への対応、これは事業者が開示請求に応じなかったりした場合かと思うのですが、そういうものが柱になっているという御説明だったと思います。先生のお考えとしましては、漏えい等に関する指導よりも事業者への対応の方へ移っていくべきなのか、あるいはバランスを取っていくべきものなのか、どのようにお考えでしょうか。まずそれを１点お願いしたいと思います。
○曽我部教授ありがとうございます。

今おっしゃったことで言うと、もちろん後者であって、不具合等報告、漏えい等への対処が重要な課題であること自体を否定するものではないのですけれども、ほかのものも当然重要ですので、バランスを持って執行することが必要ではないかということです。ただ、執行リソースの総量というのがあるかと思いますので、そういった中での配分、ウェイトの置き方の問題と御理解いただければと存じます。
○清水委員

ありがとうございました。

２点 目 な の です け れ ど も、 10 ペ ー ジ目 の 団 体 訴訟 の こ と につ い て 確 認さ せ て い ただ きたいのですが、差止訴訟につきましては導入の価値がある旨の御意見を頂いたと理解しておりますけれども、被害回復制度については、やはり導入のハードルが高いと考えておられると理解してよろしいでしょうか。その理由についても御教授いただけましたらと思い5

ます。
○曽我部教授ありがとうございます。

こちらについては、私個人の考えとしては、一つは、被害回復、損害賠償の方が事業者の反対も強かろうというところで、それを一つ考慮するということと、団体訴訟の導入の私なりの意義としては、先ほど申し上げたとおり、消費者団体への交渉力の付与という視点がありましたものですから、それからすると、差止訴訟であったり、その他のものがまずあれば、現状よりは改善するのではないかと。そういう発想の下に先ほどのようなことを申し上げた次第です。
○清水委員

ありがとうございます。了解いたしました。

最後 な の で すけ れ ど も 、最 後 の ペ ージ 、 10 ペ ージ の 第 三 者命 令 に 関 して で す が 、こ ちらは中川先生の研究されている課題について検討する価値があるのではないかとおっしゃっていただいたと理解しましたけれども、例えば実質的に個人情報取扱事業者自身の取扱
いと同視できるようなもの、あるいは取り扱うための手段を提供しているようなもの、例
えばプロバイダーとかデジタルプラットフォーマー、そういったものに対象を限定するということが考えられるのではないかという形でこちらの方で検討しているところですが、課題もあるとおっしゃいました。
例えば検索サービス事業者等を対象とする場合には、表現の自由の関係との問題も発生するのかなと思うのですが、先生のお考えでは、課題としてはどういうところにあるとお考えでしょうか、お聞かせいただけますか。
○曽我部教授ありがとうございます。

まず、今委員がおっしゃったとおり、どういう形で事業者を限定していくのかということは重要な課題だと思います。
それから、表現の自由との関係というのもあるところではありますが、そこは例えば検索結果などに関して申しますと、検索結果を表示するという行為が、表現の自由との関係
で どう い っ た 位置 付 け に なる の か と いう こ と に つい て は 、 もち ろ ん 平 成29 年 の 最 高裁 決
定もございまして、あれなどを見ると、表現行為としての側面を有するということで、通常のいわゆる発信者が発信するときの表現の自由とは少し位置付けが違う。表現行為としての側面を有するということは、つまりフルスペックの保障ではないのではないかということを示唆しているところもあり、そういった点も踏まえて、当然、委員御指摘のとおり、表現の自由との調整をもちろん考慮する必要があるのですが、他方では、今申し上げたよ
うな、検索事業者の行為の憲法的性質というものも踏まえて議論していく必要があるのかなとは思います。
○清水委員○藤原委員長ありがとうございました。
ほかにはいかがでしょうか。

私 か らも 少 しお 伺 い した い ので す けれ ど も 、ま ず は課 徴 金で す が 、CNILの 例 、フ ラン
ス法に非常に造詣が深いと存じていますけれども、課徴金制度の導入について、比較法的
6

な観 点 から 、 CNIL 、フ ラン ス 法等 を 研究 さ れ てお 感 じに な られ て い る我 が 国と の 差で すね。先生のほうで何かあれば御教授いただければ有り難いなと。
○曽我部教授ありがとうございます。

恐らく課徴金制度を導入したときの一つの課題としては、実際どのように運用していくのかというところで、例えば国内で申しますと、証券インサイダー取引に関する課徴金の制度があって、こちらが比較的活発に課徴金が課されていると承知しておりますが、それの前提としては、例えば一定の会社の企業の役員が株取引をしたときには届出をする義務があるとか、あるいは東京証券取引所等で、常にその売買の動向をウォッチしていて、疑わしい取引があれば報告するというような、要するに、情報を収集する仕組みがかなり出来上がっているということが、円滑な制度の運営につながっているのではないかと思っておりまして、個人情報保護法において課徴金の制度を導入した場合には、まずその点が問題になるのではないかと思われます。
例 え ばCNILに 関 して は、 今 回の ス ライ ド で 御紹 介 した と おり 、 申 立て の 仕組 み がご ざ
いま し て、 １ 万6000件 の申 立 てが あ った と い うよ う なと こ ろで あ っ て、 情 報収 集 の端 緒があります。個人情報保護委員会におかれましても様々な相談を受けておられるとは思いまして、情報収集の能力であったり、そのための制度・仕組み作りというのが、課徴金導入後の課題としては出てくるのかなと思われます。あと、その上で情報収集を経て、整理、検査等を行うという、そのリソースの問題が、私が理解するところの一つの課題だと思います。
○藤原委員長ありがとうございます。

それから、ややテクニカルなお話になるのですけれども、こどもの個人情報について、幾つか資料に書いていただいているのですけれども、まず６ページで、要配慮個人情報と位置付ける同意というのは、形式的ルールのままであれば、やや硬直的なのではないかということなのですけれども、そうしますと、別の考え方として、要配慮個人情報と位置付けることが不適当だとすると、代案というわけではないですけれども、保有個人データの利用停止等の請求権の要件の方を緩和するといったようなアプローチもあるのかなと思うのですが、このような点についてはいかがでしょうか。
○曽我部教授ありがとうございます。

そういったことは当然考えられるところだと思うのですけれども、私が御提案したのは、不適正利用のところで受け止めるということなのですが、委員長御指摘の点も含めて、実質的に重要なのは、いかなる利用がこどもとの関係でリスクの高いものなのかということを特定した上で、その上で利用停止であったり、あるいは不適正利用だと認定していくということになるかと思いますので、いかなる利用、こどもに関する個人情報の利用の仕方に問題があるのかということを議論しないといけないのかなとは思っております。
○藤原委員長ありがとうございます。

そ れ か ら 、 こ ど も に 関 し て で す け れ ど も 、 第 21 条 第 ２ 項 に 触 れ て い た だ い て い て 、
7

「あらかじめ本人に対して利用目的を明示すべき場合について、こども本人に示すのか法
定代理人に示すのかを明確にする必要」と記載していただいていまして、これは第１項の本人通知義務の方もあるのですけれども、この通知義務についても、通知先は明確にしろというお考えですか。
○曽我部教授そうなります。おっしゃるとおりです。

○藤原委員長ありがとうございます。

これで最後なのですけれども、今日の議論は、実態的に比例原則ということを中心に添えていただいているのですけれども、５ページ、「第三者提供規律をよりフラットな比例原則に服させることも考えられないか。」と記載をいただいているわけですが、この場合、業界団体の方からも、同意取得の例外が認められる場合は見直しなさいと。契約履行とか正当な利益を目的とした場合など、本人同意によらない方法での第三者提供とか利活用の在り方も検討すべきという御意見も頂いているのですが、まず細かいことですけれども、本人同意によらなくて第三者提供や利活用の在り方を検討ということになると、例えば第三者提供の例外で正当な利益というのを出すと。それがフラットな比例原則であって、それに服するということは、他方で、第三者提供の根拠として認められる同意の範囲は、より厳格になるということでよろしいでしょうか。
○曽我部教授おっしゃるとおりで、そのような転換を図るとすれば、同意について厳格に判断するということになるかなと思います。
○藤原委員長比例原則ですけれども、我が国の法は目的拘束で、レジュメに書いていた

だい て いる と おり な の です が 、GDPRの よ うに 、も う 少し 実 体的 に 明 文の 形 で比 例 原則 が出てきた方がよくて、抽象的な一般原則的に解釈の方に置いておくよりは、やはり実体法
化しろという御主張というお考えですか。
○曽我部教授そこは転換すべきだということまで申し上げてよいのか、私個人は迷っているところなので、ただ選択問題であると。日本法の特徴は、こういったところにあるという こ とは ま ず広 く 認 識を す る必 要 があ る と いう こ とで す 。そ こ を 明確 に して 、 GDPRとはそもそも基本的な建て付けが違うものですので、単純な比較はできないのではないかと、
そういう認識を広くお持ちいただきたいということで、まずこれを申し上げているところです。
その上で、比例原則、実体的ルールへの転換ということについては、迷うところでありますが、私個人はその方がよいのではないかなとは思っているところですが、ただそれは個情法のかなり基本的な政策の転換になりますので、現実的かどうかというのは、なかな
か軽々には申し上げられないところかと思います。
今のところは、形式的ルールで、例えば第三者提供で申し上げますと、例外がかなり限定的なところを、同意を非常に柔軟に考えることで、結果の妥当性を図っているということですけれども、これがちょっと強い言葉で申し上げると、健全かどうかというのはやや疑問があるところで、やはり同意というのは、同意の実体がある必要があって、一定厳格
8に捉える必要があるというのが、まず、ある意味での筋論なのかなと思っております。
○藤原委員長ありがとうございます。

貴重な御指摘、御示唆ありがとうございました。
それでは、ほかにございませんか。
では頂いた御意見も含め、個人情報保護法をめぐる様々な状況について、更に各方面から意見を聞きながら課題を整理、審議していきたいと考えています。曽我部教授、本日は本当にありがとうございました。
○曽我部教授どうもありがとうございました。

○藤原委員長どうぞ御退室ください。
（曽我部教授退室）○藤原委員長続いて、慶應義塾大学大学院法務研究科山本教授に御出席いただきます。
（山本教授入室）○藤原委員長

山本教授におかれましては、御多忙の中、御出席いただきありがとうございます。
それでは、早速ですが御説明をお願いいたします。
○山本教授

今、御紹介いただきました慶應大学の山本でございます。本日はどうぞよろしくお願いいたします。
10分 ほ ど と いう こ と で すの で 、 早 速中 身 に 入 りた い と 思 いま す 。 よ ろし く お 願 いい たします。
まず「全体の問題意識」をお話しさせていただこうと思っております。私は数年前から個人情報保護の「本丸」はプロファイリングにあるのではないかなと考えてまいりました。
あらゆる問題の根源がプロファイリングにあるというのは言い過ぎかもしれませんけれども、今様々な問題が起きているものの多くは、プロファイリングを起点にしているのかなと思っています。
ケンブリッジアナリティカ事件、リクナビ事件、近年ではイスラエル軍がハマスの戦闘員 かど う か をAI で プ ロ フ ァイ リ ン グ して そ れ を 予測 し 、 ス コア が つ い たら 、 こ れ はハ マスの戦闘員だということで殺害するということが社会問題になっております。これらは、
スコアリング、プロファイリングが引き起こしている問題なのだろうと。
個人レベルでは、例えば精緻な心理的な状況、認知的な傾向ですとか、これはケンブリ
ッジアナリティカ事件で心理的なプロファイリングと呼ばれるようなものが行われたわけ
ですけれども、そういうものがなされれば、それを踏まえた非常に効果的なマイクロター
ゲティングが可能になってくる。それによって意思形成の操作も可能になってくるのではないか。あるいは社会的信用力、融資の判断のときに使うような社会的スコアリングも、差別の引き金になってくる可能性があるのではないか。プロファイリングやスコアリング
とい うの は 、先 般成 立 した EUの AI 法で も、 本 丸と いい ま すか 、中 心 的な 課題 と して 捉えられていると認識しておりますし、デジタルサービス法でも、同様にプロファイリングに9

関する規律がこの資料にもつけましたけれども、幾つか入っているところかなと思います。
これは個人情報保護法の目的が何かというところと関連しますが、このプロファイリン
グは、社会的、政治的な分断であるとか、フィルターバブル、エコーチェンバーと呼ばれるような問題とか、そういうものも引き起こすわけで、民主主義の基盤も揺るがしかねな
いのではないかと思っております。
そ うい う 意味 では 、 19行 目 にあ りま す よう に 、デ ジタ ル 社会 、 AI 社 会の 様々 な 課題 の
多 くは 、 個 人 デー タ を 用 いた 、 あ る いは AI を 用 いた プ ロ フ ァイ リ ン グ とか ス コ ア リン グと関連しているのではないかと思っております。
個人 情 報 保 護問 題 に 引 きつ け て 考 えま す と 、 同法 の 第 20 条第 ２ 項 は 、要 配 慮 個 人情 報についての取得に事前同意を求めておるわけであります。ところが、今はプロファイリン
グができますので、要配慮個人情報的なものは、プロファイリングによって高精度に予測すること、あるいは生成することが可能になっているということになります。
そうすると、賢い事業者は、要配慮個人情報を正面から取得するのには事前同意が要るので面倒だけれども、一般の個人情報を集めてきて、これは取得について同意が要らない
わけですので、一般の個人情報を集めて、そこからプロファイリングをすれば、結局正面から要配慮個人情報を取得するのと同じような結果を得ることができるということになる。
このまま行きますと、要配慮個人情報の事前取得の規定が骨抜きになってしまうということが考えられるのではないかと思います。
この点、現最高裁裁判官の宇賀先生の書かれたものを見ても、本人の同意なしにプロファイリングによって要配慮個人情報を新たに生み出すことは、要配慮個人情報の取得に当たると解するべきかという重要な解釈問題が存在すると述べておられます。私の書いたものを引用していただいて、このような議論をなさっている。
プ ロ ファ イ リン グ に つき ま して は 、GDPRで も異 議 を述 べ る権 利 と いう も のを 、 この 下に 書い て あ る 第21 条 で 認 めて い る と いう こ と が ござ い ま す 。次 の ２ ペ ージ 目 ５ 行 目に ある、第６条第１項「管理者によって、又は第三者によって求められる正当な利益の目的のために取扱いが必要となる場合」というのは適法性根拠の一つですけれども、この「正当な 利益 の 目 的 のた め に 」 デー タ が 処 理さ れ た と きに 、 第 21 条に 基 づ い て異 議 を 申 し立 てることが、プロファイリングの場合にもできるということになっているわけであります。
それ か ら 第22 条 は 、 こ れは 言 う ま でも な い と ころ で 、 完 全に 自 動 化 され た 意 思 決定 に服さない権利というものを個人に認めている。
さら に 14 行 目に あ り ま すよ う に 、 米国 に お き まし て も 幾 つか の 州 で 、こ う い っ た完 全
自動意思決定からオプトアウトする権利を認めているところでございます。
次の３ページ目にございますように、デジタルサービス法だけではなくて、例えばデジ
タ ル市 場 法 で も、 10 行 目 以下 の と こ ろで す が 、 「消 費 者 の プロ フ ァ イ リン グ 技 術 につ いて、独自に監査した説明を欧州委員会に提出しなければならない。」といったような形で、プロファイリングに対するチェックを求めているわけでございます。
10

AI法 の 関 連 規定 を 、 ３ ペー ジ の 下 から ４ ペ ー ジの 上 に か けて 挙 げ て おり ま す 。 先ほ ど
か ら申 し 上 げ てい る と お り、 AI 法 で もプ ロ フ ァ イリ ン グ や スコ ア リ ン グが 、 非 常 に重 要な問題として位置付けられているのではないかということでございます。
まと め ま す と、 26 行 目 にあ り ま す よう に 、 プ ロフ ァ イ リ ング と い う のは 、 個 人 情報 保護の「本丸」ではないか。それは個人の尊重や個人の人格的な自律に対して、実質的な影響を与えるものではないかと考えておりまして、個人情報保護法においても、さらに具体的な規律が必要になってくるのではないかと考えております。
具 体的 に どの よう に 考え るべ き かと いう と 、32 行目 で すけ れど も 、私 見で は AI等 の高度な情報技術を用い、要配慮個人情報に当たるようなものを生成する場合には、ここでは「要配慮プロファイリング」と便宜上名付けましたけれども、要配慮個人情報に当たるもの を引 き 出 す 、プ ロ フ ァ イリ ン グ で 引き 出 す よ うな 場 合 に は、 個 人 情 報保 護 法 第20 条 第２項の「取得」に当たるという解釈があり得るのではないかと思っております。
もしこれが難しい場合には、少なくとも以下の規律が必要なのではないかと思います。
次ページの上ですけれども、これは立法の手当が必要となりますが、要配慮プロファイリ
ングについては、利用目的にその旨を明記し、個人の関与、利用停止等を認めるような制度的対応が考えられるのではないかと思っているところです。
次にダークパターンというのも、御承知のとおり世界的に大きな問題として認識され始めており、米国やEUではその規制も入ってきているところでございます。
私もサブスクリプション契約ができても、解約するにはどこのボタン、どこに行けばよ
いのかと迷うことがあり、大変苦労するわけです。同意するかしないかというところでも、
同意ボタンしかないとか、結局クッキーの設定が実際にはできないとか、いわゆるダーク
パターンのようなものが非常に多く見受けられるように感じております。これについて、EU、そして米国では規制が入り始めていると。
CPRAはCalifornia Privacy Rights Act、CPAはColorado Privacy Actの略ですけれ
ど も、 ５ ペ ー ジ目 の 10 行 目の よ う な 定義 が ダ ー クパ タ ー ン につ い て な され て お り 、こ う
いったダークパターンによって得られた同意は同意とはみなされないというような考え方がとられています。
まん

こういうダ ークパタ ーンはいろい ろあると 思いますが、 欺 瞞 的 なも のについては 、やは り個 人 情 報 保護 法 の 第 20条 第 １ 項 の不 正 な 手 段に よ る 個 人情 報 の 取 得と 解 す べ きな のまんではないかと 考えてお ります。立法 上、それ を明示するた めに、「不正」又は「 欺 瞞 的な」という文言を入れるということもあり得るかと思います。
それから「３．保護すべき情報の整理と保護の度合い」ということですけれども、やはり、クッキー情報等の識別情報というのは、現状においてはそれ自体、個人情報には該当しないという整理がなされているところでございますが、プロファイリングの問題を考え
ますと、これは個人に対して実質的な影響を与えるものだろうと考えているところでございます。
11

私は「山本龍彦」ですが、「山本龍彦」であるかどうかということは分からないとしても、ある別の人とは区別される、この「私」に対して、マイクロターゲティングを行う、その人の意思形成に一定の影響を与える。そのような意味では、クッキー等の識別情報は、
やはり個人に対して実質的な影響を与えるものではないかと思うわけです。
もっとも、次の６ページの７行目辺りですけれども、識別情報、クッキー情報等の中にも、個人に戻るものと個人に戻らないものがあります。前者はやはり個人の世界の中の話ですが、後者は集合の世界にとどまるものだと思います。前者、つまり個人の意思決定に働きかけられるようなものについては、正面から個人情報として扱うべきなのではないかと。「個人回帰型識別情報」と便宜上書きましたが、こういうものは個人情報として取り扱うべきではないかと思っております。こうした方法が難しい場合には、少なくとも第三者提供等について透明性規律を設けた上で、本人の関与を認めるべきではないかと考えております。
それから６ページの上の上記bをご覧いただければと思います。メタバースなどの普及と生体情報の取得の容易性は、やはり同時並行的に考えなければいけないのではないか。
デバイスから脳波に関する情報ですとか、視線の追跡ですね。メタバースの普及によって、
いわゆるアイトラッキングも容易になってくる。こういった生体情報から個人の内心が手に取るように分かってくる可能性もあると思われます。
そう い う 意 味で は 、 13 行 目に あ り ま すよ う に 従 来か ら 顔 特 徴量 デ ー タ の要 配 慮 性 が指摘されてきたことに加え、脳神経と関連したような情報が内心の自由に対する侵害可能性を持つことを踏まえれば、生体情報を要配慮個人情報として取り扱う方向も検討すべきなのではないか。こうした方法が困難である場合でも、少なくともその取扱いについて透明
性規律を設けた上で、本人関与を認めるべきではないかと考えております。
４番目は、経団連等の経済団体から個人情報保護法の３年ごと見直しに関する意見が提出されておりますが、これを拝見しまして幾つかコメントをと思っております。
GDPRで は 、仮 に 同意 がな い 場合 で も、 正 当 な利 益 がデ ー タを 処 理 する 適 合性 根 拠に なると。データ処理できるとなっておるわけです。ただその場合でも、先ほどの異議申立ての権利のように、事後に本人が関与する権利とセットでこれを導入しないと、やはりバランスが 悪い とい うこ と になっ てき ます ので 、 正当な 利益 を導 入す る 場合に も、 GDPR 第21条のような本人の関与がないと、これはまずいのではないかと考えております。
それから「同意疲れ」の問題もスライドには書いてありましたが、「同意疲れ」の問題はダークパターンとも関係しています。ダークパターンがそれなりに存在している状況を前提に、「同意疲れ」を指摘し、同意の問題性や無意味さを主張するということが理論上許されるのかどうか。「同意疲れ」が出てくるのであれば、それを解消するためのユーザ
ーインターフェース等を積極的にデザインする方向で議論をする必要があるのではないか。
ダークパターンこそが問題になっている、ということになろうかと思います。
７ページの上ですけれども、「ビジネスにとって何がプラスなのか？」という点につい12

て、２点ほどお話をさせていただきたいと思います。
１点は、今回の３年ごとの見直しは、グローバルスタンダードに近づくという意味合いを持ったものだと私は認識しております。しかし、今回の経済団体からの提言というのは、私から見るとグローバルスタンダードから乖離するような方向性を含んでいるのではないかと。そういう方向性というのは、ビジネスにとって中長期的に本当にプラスになるのかという疑問が１点ございます。
それから２点目ですけれども、日本のデジタル化が進まない、「デジタル敗戦」などという言葉も使われるぐらいですが、この原因というのは果たして個人情報保護法なのかどうか。個人情報保護法が厳格だからデジタル化が進まないのかというと、私はそうでもな
いの で はな い かと 。 日 本の 個 人情 報 保護 法 は 、GDPRや 米 国の 一 部の 州法 の よう な 厳格 さを有していないわけで、その意味で「緩い」立法なわけですけれども、それにもかかわらずデジタル化が進んでこなかったということを考えますと、より一層緩くすることでデジタル化が進む保証というのは必ずしもないのではないか。むしろ、さらに緩くなることで、デジタル化に対するユーザー側の不安が増大し、デジタル化あるいは個人情報の利活用に対するトラストが形成されず、かえってビジネスがやりにくくなる、あるいはイノベーシ
ョンが進まなくなるという側面もあるのではないかと思っております。
最後に、私は憲法学が専門ですが、個人情報保護法の第３条には「個人の人格尊重の理
念 の下 に 」 と いう 言 葉 、 基本 理 念 が 掲げ ら れ て いま す 。 こ の第 ３ 条 は 、憲 法 第 13 条の 個
人の尊重理念と結びついたものだということが「基本方針」の中で繰り返し指摘されているところでございます。
最後のところですけれども、個人情報保護法は、第３条の存在からもわかるように、言わば憲法具体化法としての側面を有するものである。プロファイリングは、個人の自律的な意思決定等に影響を与えるもので、第３条の人格尊重の理念に密接に結びついているので はな い か と 。AI 時 代 に この 第 ３ 条 の趣 旨 を 踏 まえ た ３ 年 ごと 見 直 し であ る べ き なの ではないかと思っております。
以上で私からの報告は終わりにさせていただきます。ありがとうございます。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について、御質問・御意見をお願いいたします。
では、清水委員。
○清水委員

委員の清水です。御説明どうもありがとうございました。

私の方は、後半のことについての質問をさせていただきたいと思います。
６ページの下の方ですけれども、課徴金制度、それから団体訴訟制度の導入については積極的に検討すべきと書いていただいています。しかしながら、業界団体からは、これらは企業の萎縮効果を招くということで強く反対というご意見を頂いているところであります。これらの制度がデータ利活用に対する萎縮効果を生む可能性があり得るのかどうかという点につきましては、最後の方で、緩いのが必ずしもデジタル化が進む保証はないとお13

っしゃっていただきましたけれども、この点につきまして、お考えをお聞かせいただければと思います。よろしくお願いします。
○山本教授

御質問、ありがとうございました。

先ほど申し上げたとおりでございますが、今委員からもお話があったように、現状、個人情報保護法に、私から見ると一定の「緩さ」と言っていいかどうか分かりませんけれども、あるだろうと。それがかえって、消費者側の萎縮効果、つまりデータを出さない方がよいんじゃないか、信用しないほうがよいんじゃないかという萎縮につながっているようにも思います。そうなりますと、個人情報保護法がしっかりとしたものになって、しっか
りとエンフォースされていけば、ユーザー側の萎縮効果がなくなり、むしろデータが提供されるという側面があるかもしれない。そうなれば、企業側も萎縮効果なく、むしろデー
タを、自信を持って使っていけるわけで、日本でもこうしたサイクルを回していく必要があるのではないかと思っています。ですので、必ずしもこの批判というのは当たらないのではないかと認識しております。
その上で、課徴金についてはいろいろな問題があるということも私自身は認識しておりますけれども、現状の命令とか刑罰の仕組みというのでは、個人情報保護法が事業者によって、ある種軽んじられてしまうところがあるのではないかと。刑罰は、それを執行していくためには相当の手続を踏まなければいけない。特に海外事業者にとってはなめられてしまうという言い方は不適切かもしれませんが、そういう側面があるのではないかと思っておりますので、この点で課徴金というのが有効な手段になり得るのではないかと思っております。
団体訴訟については、世界の個人情報保護法、個人データ保護法を見ても、やはり特定の行政組織だけでエンフォースしていくというのは、マンパワー的にも無理があって、いろいろなところに監視の目を張っておく、そういった団体が訴えを提起することによって、より広く、よりよく個人情報保護法が執行されるというところもあるのではないかということを思っております。団体訴訟というのも、私は必要な仕組みなのではないかと思っておるところです。ありがとうございます。
○清水委員

ありがとうございます。

消費者側の萎縮効果ということについては、私たちはあまり議論してこなかったので、大変貴重な御示唆を頂いたなと思います。ありがとうございました。
もう１点、エンフォースメント関係で、レジュメにはなかったのですが、お伺いしたい点がございます。それは漏えい等報告についてです。基本的に漏えい等が発生した場合には報告を求めるという運用にしておるわけですが、特に業界団体からは過度な負担が生じているという御意見を寄せられているところでございます。
報告義務の緩和ということが考えられるのかどうかという点について示唆を頂きたいのですが、例えば現状、漏えいした人数が１人の事案が大体大半を占めている状況でございますが、こうした事案について、報告義務を緩和するということも考えられるとお考えで14しょうか。この点についてお伺いしたいと思います。
○山本教授

ありがとうございます。

私自身思うに、現行法上報告義務が課されているものというのは、権利利益を害するおそれが大きい場合ということだと認識しております。そうなると、これは人数の問題ではなくて、１人であっても、それは権利利益の侵害のリスクが「大きい」ということですので、報告義務をそこで免除するというのは理論的には無理があるのではないかと思っているところでございます。
私自身はいわゆる自己情報コントロール権なり情報自己決定権の立場に組している者ですが、漏えいが起きるというのは自分のコントロールから離れてしまうということを意味するわけでして、本人としては、むしろそれを知る権利と申しますか、コントローラビリ
ティを回復するため必要な情報ということになりますので、私は個人の権利の保障の一環として報告及び本人への通知というのは必要なものなのではないかと理解しております。
そうなりますと、いろいろな事業者様のお考えはあるのでしょうけれども、やはり緩和するべきではないのではないか。むしろ誠実に報告することによってどういうインセンテ
ィブを設計できるかということに着目をした方がよいのではないかと。つまり、正直者が馬鹿を見るような世界ではあってはならないわけで、報告義務を緩和するというよりも、報告した事業者が、どういうインセンティブを得られるのかという方向で議論をした方がよいのではないかと思っているところです。
以上です。
○清水委員
○藤原委員長ありがとうございました。
ほかにはいかがでしょうか。

小川委員、どうぞ。
○小川委員

御説明ありがとうございました。委員の小川です。

先ほどの清水委員の質疑応答にも関係するのですけれども、７ページの５行目で、日本の個 人情 報 保護 法は GDPRに 比 べて 緩い と いう こ とで 、デ ー タ利 用に 対 する 不安 は 増大 し、ビジネスに対するトラストは形成されてこなかったという興味深い御指摘がありました。
そこ で 質 問 なの で す け れど も 、 御 説明 で は 「 プロ フ ァ イ リン グ 」 、 「AI 」 、 「 ダー クパターン」など様々なキーワードが出てきましたが、この日本のデジタル化を進めるという観点に立つと、個人情報保護法の見直しに際して、どのような点を厳格にして、どのよ
うな点を緩い規制にすればよいかということに関して、もし先生のお考えがあればお聞かせ願えないでしょうか。よろしくお願いします。
○山本教授

御質問ありがとうございます。

やはりトラストの形成というのは重要なのだと思います。まさにData Free Flow with
Trustではないですが、トラストを形成していくということが必要。この点、問題だと思
うのは、やはりプロファイリングとかスコアリングで、実際自分のどんな情報がどこに行っていて、何をプロファイリングされてセグメンテーションされているのかということが15

分からない、ブラックボックス化してしまっているというのは、ユーザーないしは消費者から見ると非常に不安で、それがトラストの形成を妨げているところがあるのではないかと思います。
EUや 米 国 で はプ ロ フ ァ イリ ン グ と いう の を デ ータ 処 理 の 一つ の 独 立 した ス テ ー ジと して議論しているわけなので、そこに１個ためができるというか、それ自体を議論することができるわけです。透明性等々の観点から見ても、一定程度捕捉可能性があるのではないかと。そこに対して異議申立てなど、本人の関与も認められているわけですよね。透明性があって本人の関与も認められているということが、トラストを形成する一つのポイントになってきているのではないかと。今日何度か申し上げているように、私自身は、プロファイリング、スコアリングのところが本丸になってくると考えている。透明性をどう維持して、それに対する本人関与をどう認めていけるのかということがポイントになろうかと思います。
最近、動画系プラットフォームのどこを選ぶかという調査結果を見ていたら、その選ぶ
理由の２番目が「解約のしやすさ」ということなのです。つまりダークパターンの反対ではないですけれども、解約しやすいと入りやすい。キャンセルできるかどうか、コントローラビリティがある種のトラストにつながっているわけですよね。自分の個人情報について、自分が主体性を持つということが、安心していただける、提供するということにつな
がってくるのかなと思います。それが分からなくなってしまうから、最初から出したくないという萎縮効果につながるということかなと思うのです。そういう観点から、透明性等を高めていくということが、方向性としては重要かなと思っております。
○小川委員○藤原委員長ありがとうございます。
ほかにはいかがでしょうか。

それでは、最後に私からも１点だけ。
今日の御説明の中で、同意の話が出てきまして、本人同意を要しない第三者提供、利活用の在り方に関して慎重に検討すべきという御意見だったと思うのですけれども、他方、契約履行とか正当な利益といったような、同意によらない方法での第三者提供や利活用の在り方を検討すべきという御意見も業界団体の方からは頂いているわけです。今日の先生の御趣旨を確認させていただくと、仮に個情法の中で、こういった例外規定を追加するのなら ば 、GDPRも そ うで すけ れ ども 、 本人 の 関 与の 強 化と セ ット で あ るべ き であ る と。 そういう御趣旨と理解してよろしいでしょうか。
○山本教授○藤原委員長はい。全くそのとおりでございます。
ありがとうございました。

ほかにはよろしいでしょうか。
ありがとうございました。
それでは、頂いた御意見も含め、個人情報保護をめぐる様々な状況について、更に各方面から意見を伺いながら、課題を整理、審議してまいりたいと思います。山本教授、本日
16

は誠にありがとうございました。
○山本教授

どうもありがとうございました。

○藤原委員長どうぞ御退室ください。
（山本教授退室）○藤原委員長それでは続いて、英知法律事務所の森弁護士に出席いただきます。
（森弁護士入室）○藤原委員長森弁護士におかれましては、御多忙の中、御出席いただきありがとうございます。
それでは、早速ですが御説明をお願いいたします。
○森弁護士

どうも今日はお招きをいただきまして、ありがとうございます。

それでは、資料に基づいて御説明をさせていただきたいと思います。３年ごと見直しヒ
アリング、弁護士の森でございます。よろしくお願いします。
１枚おめくりいただきまして「あるべき改正の方向性」ということで、４点書かせていただきました。
①

デジタル対応②グローバルスタンダードへの接近③

プライバシーの重視④

医療情報、災害時は特別法でいずれも当然のことかと思いますので、③だけ御説明をさせていただきますが、本法第１条、目的のところに「個人の権利利益を保護することを目的とする」と書かれています。
「権利利益」の中心はプライバシーであって、本法の目的の一つがプライバシー侵害の防止であることは争いがないと思います。裁判所の長年の判断の積み重ねと離れて「権利利益」を考えるということは、独善に陥るおそれがあります。
その下ですが、特に不適正利用の禁止、適正取得義務の解釈の際に、裁判所の判断は不可欠な要素として参照されるべきではないかと思います。これはカメラのガイドラインにも書いていただいていますけれども、そのように思っております。
その下には基本方針にもこのように書かれておりますということを、念のために書いております。
１枚おめくりください。
そのような観点を中心に九つ提案させていただきます。
順番に説明しようと思いますので、まずはおめくりいただきまして、１番からお話をさせていただきます。
１番、個人情報の概念の拡大、それから、本法の個人情報、個人データ等の概念の整理、二つ併せてここで御説明をさせていただきます。
１ポツですが、個人情報の概念を拡大し、端末やブラウザの識別子、スマホの電話番号、
メールアドレスなどを単体で個人情報とすべきです。
17

２ポツですけれども、デジタル対応、グローバルスタンダードの観点から強く要請されると考えます。
その他の概念整理との関係では、この改正によって個人関連情報の概念をなくすことができます。
４ポツですが、個人関連情報はどうしても一時しのぎという面があったのではないかと思います。
最後 で す け れど も 、 特 に広 告 ID や スマ ホ の 電 話番 号 の よ うな 一 意 性 、共 用 性 、 本人 到
達性のある情報に紐付いたデータにつきましては、一般の義務ですね。不適正利用の禁止
とか安全管理措置とか、そのような義務の対象にすべきことは明白ではないかと思っております。
おめくりいただきまして「その他の概念整理」ということですけれども、事業者団体から要望が出ていますが、仮名加工情報とか匿名加工情報は、利活用のための概念ですので、あったほうがよいのではないかということです。
保有個人データにつきましては、定義をざっくり言うと、個人情報取扱事業者が、開示、訂正、利用停止等の権限を有する個人データとなっておりますので、三つの権限ということなのですけれども、そうはいっても、開示できても訂正ができないというようなことは起こり得ることでございますので、保有個人データという概念を使わずに、義務規定のほうを、例えば「個人データの開示を行う権限を有する場合には」、「○○の権限を有する場合には」と書くことによって、「個人データで○○の権限を有する場合」と書き換えていくことは可能ではないかと思っております。
おめくりください。
次に「課徴金の導入」でございますが、こちらも、グローバルスタンダード、プライバ
シーの重視の観点から強く要請されていると考えます。特に様々な理由があると思います
けれども、私が一番問題といいますか、一番立法事実として重要だと考えておりますのは、
２ポツのところですが、悪質な事案について罰金・刑罰だけですと、法執行が個人情報保護委員会で完結せず「刑事司法任せ」という形になってしまう問題があるのではないかと思います。刑事司法側では事案の重大性とか悪質性が十分に理解できないことがあり得るのではないでしょうか。
それから、これとの関係で、導入すると「萎縮」が生じるのではないかというお話があったかと思いまして、それを参考に書いておりますけれども、課徴金は、重大事案、悪質事案を想定したものですから、私は「萎縮」は問題にならないのではないかと思っております。事業者は、最低でも自身の利活用が重大事案、悪質事案に該当しないように注意すべきである。そのような最低限の慎重さをもって振る舞うべきことは、「萎縮」ではなく「常識的な節度ある行動の期待」でありまして、事業者に当然求められる社会的責任なのではないかと思います。
おめくりください。「団体訴訟制度の導入」について書いております。
18

こちらも、グローバルスタンダード、プライバシーの重視の観点から強く要請されると思っています。
個人情報の取扱いに関して生じた権利利益の侵害に対する損害賠償請求は、典型的な少額大量被害事案となっております。これは、漏えいだけではないということに御注意をいただきたいと思います。
２ポツですが、消費者裁判手続特例法の令和４年改正によって、御案内のとおり団体訴
訟に慰謝料が含まれるということになりましたが、どういうわけか「財産的請求と併せて請求されるもの」又は「事業者の故意によって生じたもののいずれか」という制限がついておりまして、権利利益の侵害による損害の回復として、現行法は十分な制度にはなっていないと考えます。
また、個人情報保護委員会による勧告・命令が先行するケースが多いと予想されるところ、当該案件について、個人情報保護委員会がお持ちの情報に、原告となる特定適格消費者団体のアクセスが確保されるということは非常に有用であって、これも立法事実になっていると思います。
おめくりください。
こちらも「萎縮」が生じるのではないかということが言われておりますが、そんなことはないのではないでしょうかと思っておりますので、以下のように書いております。
損害賠償請求との関係ですが、当然のことながら、団体訴訟は結果責任を問うものではありませんので、例えば漏えいが生じたことの一事をもって責任を問われるというものではありません。安全管理措置に関して過失がある場合に責任を問われることになるわけですけれども、事業者は過失なく適切に安全管理措置を実施することを求められていますので、そのように行動しなければならないということは「萎縮」とは言えないのではないかと思います。
また、差止請求につきましては、そもそも問題にならないと思っておりまして、差止めを受けるのは違法行為ですので、事業者に違法行為を行う自由が認められない以上「萎縮」が問題となる余地はないのではないかと思います。
おめくりください。
「生体情報、子どものデータに関する規制」というのも検討されていると承知しておりますけれども、こちらも、デジタル対応、グローバルスタンダード、プライバシーの重視の先ほどの観点三つのところから積極的に改正を検討すべき事項であると考えております。
おめくりください。
「取得規制の適正化」について、特にプロファイリングとの関係で申し上げようと思いますけれども、デジタル対応、プライバシーの重視の観点から強く要請されるのではないかと考えております。生成は「取得」に当たらないとされていて、現状ではプロファイリ
ングに取得規制がかかっていないという状況にあります。
信条などの要配慮個人情報をプロファイリングによって生成することはできてしまうわ19

け です け れ ど も、 要 配 慮 個人 情 報 の 取得 に 関 す る第 20 条 第 ２項 の 適 用 がな い こ と にな ります。
さらに取得に対しての利用目的の通知・公表も不要となっている。これはプロファイリ
ング自体を利用目的として特定することが求められているわけですが、プロファイリング
によって生成された個人情報の利用目的について、通知・公表が求められないということになってしまうのではないでしょうかということでございます。そのため「プロファイリ
ング天国」となっている状態ですので、これはそうではないようにしていただきたい。
最後のところですけれども、取得規制がいろいろ設けられているのは、事業者が個人情報を入手することによって一定の権利利益の侵害のおそれが生じ得ることから設けられたわけですので、生成が取得に当たらないと考える合理的根拠がないのではないかと思います。
おめくりください。
次に「利用停止・消去請求権の拡大」ということを書いておりまして、プライバシーの重視（自己情報コントロール）の観点から強く要請されるのではないかと思います。
内容的にはJISQ15001にそろえていただくことが適切ですし、十分可能ではないでしょうかということです。
おめくりください。
「補完的ルールの解消」ということについて申し上げたいと思います。
グローバルスタンダード、プライバシーの重視の観点から強く要請されるのではないかと思っておりまして、やはりこれは法律をつくってもつくらなくても、法の下の平等、憲法 第14 条 に 違 反す る お そ れが あ る の では な い か と思 っ て お りま す の で 、所 要 の 改 正が 求められると考えております。
おめくりください。
８番、「委託先の利用目的とサービス改善のための利用」としております。
委託先の利用目的というのは、委託元の利用目的に限定されているというルールがありますので、それとの関係で、その委託先によるサービス提供に伴って委託元が個人データを委託提供している場合に、委託先のサービスの改善に個人データを使ってよいかという問題があるということでございます。
これに関連して、現在のQ&A7-39が、一番関係性があるのではないかと思ったのですけ
れども、どのように書かれているかといいますと、Q7-39「委託に伴って提供された個人データを、委託業務を処理するための一環として、委託先が自社の分析技術の改善のために利用することができますか。」。
アンサーが「個別の事例ごとに判断することになりますが、委託先は委託元の利用目的の達成に必要な範囲内である限りにおいて、委託元から提供された個人データを、自社の分析技術の改善のために利用することができます。」と書かれています。
個別判断はもちろんそうだと思いますけれども、もう少し具体的に踏み込めないかと思20

っておりまして、まずこのアンサーの中に「委託元の利用目的の達成に必要な範囲内である限り」と条件がつけられておりますけれども、そういう条件があるのであれば、これは分析技術を改善しなければ委託の目的が達成できないので、当然許容されるということになるかと思います。
おめくりください。
むしろ問題になるのは、委託先のサービス提供に伴って個人データの取扱いの委託がなされる場合に、委託を受けた個人データがサービス内容の改善に使われることが一般的に許容されるかということではないかと思います。
この場合、委託元Ａから委託を受けた個人データを利用してサービス内容を改善しますと、その改善されたサービスを委託元Ｂ、委託元Ｃ、他の委託元にも提供することができるようになってしまうために疑問が生じているのではないかと思います。
この場合、委託元Ａとしても、ＢとＣに使われてしまうわけですけれども、サービス内容の改善によって利益を受けるという立場におりますので、通常はサービス内容の改善を希望しているはずであり、委託元Ａの当初の利用目的には、サービスの改善による受益が黙示的に含まれていると言えるのではないかとしております。
といっても、もちろん、サービスのいかんによって権利利益の侵害のおそれが生じるような場合には、委託元がそのようなことを希望するということは考えられないので、サービス内容の改善が黙示的に委託元の利用目的に含まれているとは言えないということにな
ろうかと思います。
おめくりください。
そのような観点から、Q7-39を、拙い文章ながら変えてみたということでございます。
Q7-39改ですが「サービスの提供を受けるために委託元が提供した個人データを、委託先（サービス提供者）が当該サービスの改善のために利用することができますか。」。
アンサー改「個別の事例ごとに判断することになりますが、委託先が提供している当該サービスの改善によって、委託元にも利益がある場合であって本人の権利利益の侵害のおそれが生じない場合には、当該サービスの改善のために利用することができます。」。先ほど申し上げましたようなことを、このようにまとめてみました。
なお、下に記載しておりますが、これは「まぜるな危険」みたいな、ほかのルールに違反する場合はもちろん駄目ということですので、個別の事例ごとに判断するという留保を残しているということでございます。
おめくりください。
特に 、 昨 今 問題 と な る のは 、 AI を 利用 す る サ ービ ス の 提 供の 場 合 な ので す け れ ども 、そのようなサービスの提供に伴って、委託先が個人データの委託提供を受ける場合、委託先 が、 そ の 個 人デ ー タ を AIの モ デ ル の学 習 用 デ ータ と す る こと は 、 各 委託 元 と 合 意さ れていれば、異なる委託元から提供された個人データを順次学習させてモデルの機能向上を行ってサービスの改善を図ることが、原則として許容されるのではないかとしております。
21

その下には、第279回個人情報保護委員会のヒアリングで、高橋克巳さんが提出された資料から引用しております。これはモデルの御説明として引用させていただいているものです。
おめくりください。
「連絡先情報の提供制限の緩和」を書いておりますけれども、こちらについては御説明を省略させていただきます。
以上です。御清聴ありがとうございました。
○藤原委員長ありがとうございました。

それでは、ただいまの御説明について、御意見、御質問がある方はどうぞ。
小川委員、どうぞ。
○小川委員

御説明ありがとうございました。委員の小川です。

最後に説明された15ページのガイドラインのQ&Aですけれども、複数の委託元からの個
人データを学習データとして提供サービス改善のために利用できるという御指摘は、クラウ ドサ ー ビ ス とか AI 技 術 が当 た り 前 にな っ て い る現 在 の デ ジタ ル 社 会 では 大 事 な 論点 か
なと思います。この御提案は、個人データの利活用に関して、事業者の自主性、自主的な取組を促進する上で重要な御指摘だと思いました。御提案の内容について、今問題になっていること、あるいは、要望など具体的な事例を御存じであれば教えていただけないでしょうか。よろしくお願いします。
○森弁護士

ありがとうございます。

仕事柄、あまり具体的なお話ができないということがございますが、特にここに書かせていただきました各委託元のＡ、Ｂ、Ｃのデータを学習データとして使ってよいかということに関しましては、これは難しい問題であると思うのですけれども、実務的には結構皆様頻繫に使っておられて、委託元ごとに違う学習モデルを使うということになっていないというのが現状でございます。
つまりグレーゾーンを黒い方に倒して動かしているのが、ある意味現状であるということになっておりまして、そういう意味でも整理をしませんと真面目な人たちはできないけ
れども、そうでない人たちはどんどんやって、どんどんモデルを洗練させてしまうという状況に現在なっておりますので、交通整理をして、私が書きましたように、もし原則としてよければよいということですし、駄目ということであれば、法執行していただいて、今そのようになっているのだけれども、みんな駄目なものは駄目なんだよとしていただくのがよいのではないかと考えております。
○小川委員

詳しい内容はよいのですけれども、そういうものが現状として問題としてあるということでよろしいですね。
○森弁護士

もちろんです。違う委託元から委託提供を受けたデータを学習用に使うということが横行しているということでございます。
○小川委員

それはいろいろな分野というか、分野に限定されずそういう要望や問題があ
22

ると。
○森弁護士

はい。私が承知しているのは３分野ぐらいですけれども、全然違う分野です

ので、恐らくは全く分野を問わずそうなっていると思います。
○小川委員○藤原委員長どうもありがとうございます。
よろしいですか。

ほかにはいかがでしょうか。
清水委員。
○清水委員

委員の清水です。どうも御説明をありがとうございました。

２点伺いたいと思うのですが、最後に「連絡先情報の提供制限の緩和」というのがございましたけれども、例えばここで書いてありますような、名刺とか所属企業のウェブサイトで公表されている場合は、これは本人の同意が得られているとみなすことができるという意味で、提供ができると理解してよろしいのでしょうか。
○森弁護士

いや、本人の同意があればもちろんよいと思うのですけれども、実際には同意されていないことは多々あるのではないかと思っておりまして、例えば私ももちろん名刺 を 皆 さ ん に お 配 り し て 、 あ る と き ク ラ イ ア ン ト の 法 務 部 長 の 方 か ら 電 話 を い た だ いて
「森先生、個人情報に詳しい弁護士を探している人がいたから紹介しておいてあげたよ。
しっかり商売して頂戴ね。」みたいな。「ありがとうございます。」と申しますけれども、これは同意なき第三者提供であることは明らかでして、ビジネス連絡先として使われているものに関しては、特に特別な事情、例えば本人が転職されてもそのままになっているとか、昔のものが残っていると。本当は消してもらいたいとか、そういう事情がなければ、具体的な同意がなくてもよいということにできないかと。他方で、同意を緩めて推定的同意があったとか、そういうことはせずに法令で措置できないかという趣旨で書かせていただきました。
○清水委員

同意ではなく法令でということですね。

○森弁護士

そうです。同意があれば同意の方で。柱書で吸収できると思うのです。

○清水委員

ありがとうございます。

業界団体からのヒアリングにおいて、同意取得の例外が認められる範囲を見直して、契約履行だとか正当な利益を目的とした場合などの本人同意によらない方法での第三者提供
や利 活 用の 在 り方 を 検 討す べ きと い う御 意 見 も頂 い てい る わけ な の です け れど も 、GDPR
では正当な利益等の適法化要件があるけれども、一方で、本人同意についての厳格な要件が求められていると理解しております。これを踏まえれば、仮に個情法によって業界団体が求めるような例外規定を追加する場合、同意の範囲を厳格に判断する必要があると考えるのですが、この点について御意見がありましたらお伺いしたいと思います。
○森弁護士

ありがとうございます。

誠にごもっともな御指摘かと思いますけれども、まず同意の判断を厳格に行うべきことは、 こ れは GDPR と は無 関係 に 求め ら れて い る と思 っ てお り ます 。 「 同意 疲 れ」 の よう な
23

問題が指摘されていまして、これ自体はリアルで深刻な問題ですけれども、それに対する唯一の解決策は、同意の有効性を厳しく判断し、「みせかけの同意」みたいなものを無効にするということに尽きているのではないかと思います。
もちろんその先に、利用規約の見せ方を工夫して「みせかけの同意」を防ぐみたいなことはありますけれども、まずは同意の有効性判断を厳しくするということに尽きているはずですけれども、実際世の中の議論はそうなっておりませんで、「同意疲れ」で同意には限界があるから、同意無しに利活用できるようにしようというような話になっている。もう其処此処でなっているわけなのです。
しかし、これはごまかしが入っていまして、同意が機能しないならそれは同意として認められない、それ以上には行かない。「みせかけの同意」には効力はない。それ以上には本来何も出てこないはずですけれども、どうして同意無しに利活用できるようにしようということが出てくるのかと言いますと、第二段階がありまして、第二段階で「みせかけの同意」を除く真の同意を求められると、利活用できる情報の量が減るから同意無しに利活用できるようにしてほしいと、解釈するとそういうことだと思うのです。その部分が省略され て いる 。 しか し 、 その 部 分は 論 理的 に は 必要 で して 、 これ に 対 して GDPR が 対応 しているのか。先ほど御指摘のありました、契約履行や正当な利益がそれに対応するものなのかというと、さらに言うと、日本法が同意偏重になっているのかというと、そんなことはないと私は思います。
まず 、契 約履行 も正 当目的 も同 意も、 御指 摘のと おり GDPR第 ６条 のa から fまで あっ たと思いますが、適法化事由の中の一つということです。これらは、データ処理、我々で言うところの取扱いの全ての場面で求められているわけでございます。取得、記録、編集、保存、修正若しくは変更、提供、利用、消去、いろいろと書いてありますけれども、これに対して日本法がどうなっているかといいますと、日本法は同意が求められるのは３場面、利用目的の変更、要配慮個人情報の取得、第三者提供です。これは権利侵害のおそれが比較的大きいということでそうなっているわけですけれども、日本は、その三つについても同意例外として、法令の規定がある場合、生命、身体、財産、公衆衛生また児童の健全育
成、国・自治体の公共事務、学術研究目的という例外を持っています。
こ れ は同 意 例外 と 言 って い ます け れど も 、 基本 的 には GDPR 第 ６条 の適 法 化事 由 と同 じものですよね。全く同じ。重複しているものもありまして、例えばGDPRのcの法的義務とか、 d の 自然 人 の重 大 な 利益 、 e の公 的 権限 ・ 公 共の 利 益な ど はか ぶ っ てい る と思 い ます 。
GDPRにあ って日 本にな いのが契 約履行 と正当 な利益で す。日 本法に あって GDPRにな いよ
うに 見 える も のも あ り ます け れど も 、基 本 的 には GDPR の 適法 化 事由 に含 ま れて い るか 、ほかのところに規定されているかということだと思います。
要する に、 GDPRと日 本法の最 大の違 いは、 GDPRは あらゆ る取扱 いの 場面につ いて、 六
つの適法化事由、同意等の適法化事由を選択的に求めているのに対して、個情法は利用目的変更、要配慮の取得、第三者提供の３場面についてのみ適法化事由を選択的に求めてい24

ます。
確 か に適 法 化事 由 の メニ ュ ーは GDPR が 二つ 多い わ けで す けれ ど も 、こ れ は適 法 化事 由が求められる場面が多いということに起因している面もあると思うのです。我々は３場面だけ 。 GDPR はあ り とあ らゆ る 場面 で すか ら 、 適法 化 事由 が 増え て し まう の は仕 方 ない というか、ある意味自然なのではないかと思います。
ですので、もしも３場面に契約履行と正当な利益を追加してくれとおっしゃるのであれ
ば、全部の場面について適法化事由を求めることとさせてもらって、その代わり適法化事
由の メ ニュ ー を増 や し まし ょ うと い うの が 、 正し い GDPR への 接 近で あっ て 、つ ま り正 しいグローバルスタンダードへの接近であって、３場面についてだけ適法化事由の選択肢を増やせというのは、GDPRのつまみ食いであると思います。
以上です。
○清水委員

ありがとうございます。

もう１点よろしいでしょうか。
本日の報告にはなかったのですが、漏えい等報告についてお伺いしたいと思います。
こちらにつきまして、業界団体からは過度な負担が生じているという御意見が寄せられているところでありますが、実際にいろいろ御相談に乗られることも多いかと思うのです
けれども、２点御教授いただきたいと思います。
まず、漏えい等報告の負担の大きさ、これについてどのようにお考えかということについて御教授いただければと思います。
二つ目としまして、もし報告義務を緩和するとした場合、どういう事案であれば緩和が考えられるか。例えば漏えいしている人数が１人しかいないというケースが多いわけですが、こういった案件を緩和することが考えられるかどうか。もし緩和が考えられるとすれば、どういう場面が考えられるか。
この２点についてお伺いしたいと思います。
○森弁護士

ありがとうございます。

こちらからお尋ねして申し訳ないですが、１人が多いということなのですけれども、今は報告義務のある場面は四つに限定されていると思うのですが、それは、報告義務はない
けれども、1,000人以上になっているけれども、１人で報告してくるということでしょうか。それとも、ほかの三つのどれかに該当するからでしょうか。
○清水委員「該当する」です。

○森弁護士

分かりました。ありがとうございます。

それでは、まず、実務経験上、どのように感じているかということについてお答えした
いと思います。
私、相当数やらせていただいておりまして、書いてくれとか直してくれとか、そういう御相談に応じているわけですけれども、数十件お手伝いしましたが、厳しいと感じたことはないです。それはどうしてかといいますと、速報も確報も書式ができていて、記入する
25

だけですし、分からなければメールでお尋ねすれば教えていただけるということだからでございます。
速報についても確報についても、私の経験では、委員会から後ほどお叱りとか御注文を受けるということがこれまでなかった。それはたまたまかもしれません。逆に言うと、私、
報道されているような大事件、大漏えい事件についてお手伝いをしたことは一回もないということでございます。しかしながら、大規模事案、重大事案に関しては、お叱り・御注文があって当然だと思いますので、経験はしていませんけれども、そういう大規模な重大事案で、お叱りや御注文があって、それで過酷だというのは当たらないかなと。そして、自分の経験した範囲では、軽微事案ですけれども、軽微事案といってもそこそこの数だったりするわけですが、面倒だなとか大変だなとか思ったことは基本的にはないわけでございます。
何か緩和できるところがあるかということですけれども、現在の基準は、リスクベース
でうまく設定されているような気がしますので、アイデアとしては、誠に申し訳ありませんがないという ことで す。1,000人を 3,000 人 にするとか、そ れがち ょっとどうなの か。
しかも、ほかの類型について、一定の類型で人数を加重するというのもちょっとどうなのかなという気もいたします。
もしかすると、お尋ねのこととは関係ないのかもしれませんけど、おそれだけでやるか
ら大変みたいなことが、第４類型といいますか、サイバー攻撃と不正の目的の場面では議論されているのかもしれませんけれども、それも報告通知義務の主たる目的は、権利利益の侵害防止にあるわけですから、第三者に入手されて悪用されている可能性があるという段階から報告・通知をしていただかないと、その目的が達せられないのではないかと思います。第三者が入手したことが確定してから報告・通知するのはいいが、それまでしたくないという発想が分からない。私のように、あまり負担を実務的に感じたことがない者にとっては分からないということでございます。
以上です。
○清水委員

どうもありがとうございました。

○藤原委員長ほかにはいかがでしょうか。

よろしいですか。
それでは、１点だけ私からお伺いいたします。
こどものことですけれども、今、こどもが本人となる場合の規律の在り方について、論点としては、本人同意あるいは利用目的の通知などの場面で、法定代理人の関与をどうするのかとか、こどもの個人情報の取扱いについて、取得とかプロファイリング、利用停止等請求権、安全管理措置等について上乗せの規律をするのかとか、そういったことをするとしたら要件はどうかといったような議論をしているのですけれども、実務に携わってた
くさんの御経験がある森先生から見た場合、こどものデータに関する規制で、積極的に規制するというか、具体的にどんな規律あると、具体的にこの場合で規律があるとよいので
26

はないかということがもしございましたら教えていただけるとありがたいです。
○森弁護士

ありがとうございます。

実務経験としてとはなかなかあれなのですが、やはり非常に強く思いますのは２点ございまして、こどもの判断能力の不十分性ということは、至る所で問題になっていまして、
それこそ親に内緒で課金してどうとか、そういうものはもちろん我々も伺いますし、そういう意味では、法定代理人を同意の際に関与させることを義務付けるということは、極めて合理的であると思っております。
それからもう一つは、こどもの可塑性ということを考えますと、プロファイリングの禁止も理由があるのではないかと思います。可塑性によって、今日はあれに夢中になっていたけれども、翌日は違うことにみたいなことがありますので、やはりそこでプロファイリ
ングすると、それは正確性に欠けた情報となってしまって、場合によっては不当な決めつけとなる可能性があるということですので、プロファイリングの禁止も合理的ではないかと思っています。
それ以外に、例えば取得制限とか利用停止請求のようなことにつきましては、御議論はごもっともだと思うのですけれども、私は、取得制限とか利用停止請求については、大人も含めた全体について拡大されるべきであると思っておりますので、こどもに特化したものとしては考えておりませんでした。
以上です。
○藤原委員長ありがとうございました。

ほかにはよろしいですか。
それでは、頂きました御意見を含め、個人情報保護をめぐる様々な状況について、更に御意見を伺いながら課題を整理、審議してまいりたいと思います。森先生、本日は本当にありがとうございました。どうぞ御退室ください。
○森弁護士

こちらの方こそどうもありがとうございました。失礼します。
（森弁護士退室）○藤原委員長それでは続いて、東京大学大学院法学政治学研究科宍戸教授に出席いただきます。
（宍戸教授入室）○藤原委員長

宍戸教授におかれましては、御多忙の中、御出席いただきありがとうございます。
それでは、早速ですが御説明をお願いいたします。
○宍戸教授

御紹介いただきました、東京大学の宍戸でございます。

大体 10 分 程 度と の こ と です の で 、 お手 元 の 資 料「 個 人 情 報保 護 法 の いわ ゆ る ３ 年ご と見直しに関する意見」の要点をかいつまんで申し上げたいと思います。その後、委員ある
いは事務局の皆様からいろいろ御指導いただければと思っております。
大きく話の柱は四つございます。
27

まず第１に、思い返しますと、５年前に、令和２年改正法につながります３年ごと見直しの機会でも、このように呼んでいただきまして意見を申し上げる機会を頂戴したところ
でございます。
資料１－４－２は貴委員会のホームページに載っているものでございますけれども、そのときのことを振り返ってみますと、例えば法目的・人格尊重の理念においてプライバシ
ー保護を明確化してはどうかと申しました。かねて個人情報保護法制について言われる論点でございますけれども、これについては、必ずしも法改正はなされなかったわけでござ
いますけれども、令和２年改正による不適正利用規制の導入や、貴委員会のお手伝いをさせていただいた「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」の議論の中で、一定程度プライバシーと個人情報保護法制の関係が整備されてきた
ところがあるかなと思っております。また、何よりも「⑤公的部門の規律」につきましては、令和３年改正が実現をしたところでございます。
他方、それ以外私の方で申し上げた点は、法制的に対応が非常に難しい論点をいろいろ
好き勝手に言っている部分がございますので、これらについては引き続き同じ考えであるということだけ申し上げまして、本日はもう少し違う角度から３年ごと見直しに関連する意見を申し上げたいということでございます。
２番目の項目、「個人情報保護法制の現状と課題」を御覧いただきたいと思います。
マクロに見てみますと、基本的には個人情報保護法制、特に民間部門の規制は行政規制であること。それから、個人情報に該当する、匿名加工情報に該当する、個人関連情報に該当する、仮名加工情報に該当するという、何らかの定義に当たった場合には一定の行為規律が発生すること。それから、データ、情報の取扱いの前に、こうでなければいけないという規制がかかるという、事前規制としての性格が基本的に強い法制ではないかと考えております。
こ の よ うな 法 制 の下 で、 デ ー タの 保 護 と利 活用 の バ ラン ス を 取る ため 、 平 成27 年 改 正、
それから、令和２年改正、いずれにおいても非常に大きな取組もなされてきたわけでございまして、一方ではデータ駆動型社会に対応するための利活用を適正な規律の下で拡大しており、令和２年改正の仮名加工情報制度はまさにその例であると思っております。また、
プライバシー保護の側面を強化するための取組としては、要配慮個人情報概念あるいは不適正利用規制の導入などが、その例であるかと思います。
このように、アクセルとブレーキを両方踏んできたところがあり、これは大変な御苦労があるものと思っておりますが、他方で個人情報保護法が一般法であることとの関係で、
例えば医療分野、公的分野、電気通信分野等各種のドメインにおけるデータ利活用あるいは技術・社会の変化に伴う新たなリスクの到来による調整を個人情報保護法という一般法制が一手にやっていかなければいけないという部分がある。これが個人情報保護法制にとって大変厳しいところであり、この法制を適正に運用していくために、貴委員会の体制の強化が常に求められると同時に、３年ごと見直しを健全に繰り返していくことによって、28

ファインチューニングをしていく、必要な法を強化する、あるいは必要な利活用のための取組を進めていくことが常に求められるものと考えております。
とり わ け 近 時に お き ま して は 、 プ ラッ ト フ ォ ーム 規 制 やAI 規 制 を め ぐる 議 論 の 中で 、有り体に申しますと、各行政機関がそれぞれの所掌との関係で、言わば縦割りの規制をそれぞれ追求される、言わば部分最適を求める結果として、全体最適が実現されているのかということがしばしば問題になり、とりわけ個人情報保護法制に対してそのような観点からの批判が出てきやすい状況にあるということがございます。
この３年ごと見直しの場面で、公的部門について議論するのは射程の範囲内なのか範囲
外な の か不 明 です が 、 例え ば EBPM を進 め ると いう 、 現在 デ ジタ ル 行 財政 改 革会 議 など で進めている施策におきましても、公的部門が保有する貴重なデータ、とりわけ個人に関連するデータについて、公的部門の内製で利用や分析がしきれればいいわけですが、そうであれ ば EBPM がも っ と進 んで い るわ け でご ざ い ます 。 そこ で 、例 え ば 外部 の アカ デ ミア と連携をしてデータを提供し、分析をしてもらってそれを公的な政策立案に生かすといった取組をしようと思った場合でも、最後、個人情報保護法が出てきてしまっているというのが現状ではないかと思っております。
こうした状況の中で、個人情報保護委員会は大変御苦労されているかと思いますけれど
も、話の３といたしまして、参照軸としてのアジャイルガバナンスの議論をさせていただ
き、必ずしも完全に乗っかる必要はないと思いますが、これと照らし合わせて見たときに、個人情報保護法制の３年ごとの見直しにどのような示唆が得られるかということについて申し上げたいと思います。
ア ジ ャイ ル ガバ ナ ン スの 原 則は 、 2021 年の 政府 の 「構 造 改革 の た めの デ ジタ ル 原則 」の２番目にも取り入れられていますが、基本的には経済産業省の検討会で議論されてきたものでございます。要は、業法の規制を行為ベースの規制からゴールベースの規制に見直していくべきである。事業者のインセンティブ設計に配慮した、それによってゴールを達成しやすい法制度を導入すべきであると。
それから、これについては、まだ検討会での検討の成果が必ずしも公表されていないところですけれども、インセンティブ設計に働きかけるものとして、規制・制裁・責任の一
体的な見直しをいろいろな場面で行っていくべきである。当然、政府も、今までの監視・監督の在り方とは違って、より深いレベルで、マイクロマネジメントに陥らないようなモ
ニタリング能力の向上が求められる。そして何よりも、このような議論は規制緩和ではな
くて規制改革であり、よりよい規制を生み出していくためのものであるという観点から見ますと、政府、民間事業者だけではなくて市民社会の参画を様々なレイヤーで強化していくべきだ、ということが提言の柱でございます。
これを先ほど申し上げました個人情報保護法制に引きつけて申しますと、事前規制の最たるものとしての「同意偏重」と呼ばれる、あるいは、理解されている事態を解消していくということが、やはり一つ重要な論点ではないかと思います。
29

次のページにお移りいただきたいと思います。
逆に、プライバシー等の人格的利益に対するリスクを、個別の法の規定の適用以前の問題として、こういう場合にはこういうリスクがあるといったことを、委員会において具体化、明確化される。そして、そのことを踏まえて、個人データ、個人情報を取り扱われる様々な主体が適正なガバナンスをしていただくという方向へ誘導する。それがなされている、なされていないという在り方を踏まえた法執行であったり、あるいは、委員会におかれましては解釈・ガイドラインを提示されたり、そして、例えば３年ごと見直しのように、必要な法制面を見直されたり、その情報発信を一体的、戦略的に行っていかれることが、何よりも大事なのではないかと考えられるところでございます。
とりわけ、インセンティブ設計の観点から、具体的な法律事項といたしましては、主体のガバナンスがしっかり構築されているということ、あるいは市民参画が様々なレイヤー
で行われることともセットで、例えば、よく議論があります漏えい時の報告・通知の在り方の見直しや課徴金制度の導入の検討を進められてはいかがかと考えております。
４について、必ずしも法律事項に限られない意見についても若干申し上げさせていただ
きたいと思います。
第１は、独立行政委員会としての貴委員会の法執行については、これまでもそうであったかと思いますが、より一層の手続の適正や透明性・説明責任の履行が求められるだろうと考えております。これは個別事案についてもそうですけれども、何よりも年次報告、活動方針、執行、年次報告といったサイクルを見据えて、適正に行っていただき、「さすが個人情報保護委員会。我々の個人情報・プライバシーはこうやって守られているんだ。」と、あるいはこういう取組がなされて、こういう法執行がなされてくるのだという理解を、社会全体として形成していく。そしてその中で、課題として挙がったことについて、「個人情報の保護の基本方針」の見直しに結びつけていただくことが、委員会に法律上与えられている権限との関係でもふさわしいものと考えております。
第２は、独立性・中立性を確保しつつ、民間、これは企業、市民社会両方でございます
が、民間との対話を通じた情報収集・発信、専門的形成能力の強化が、先ほど申し上げましたプ ラッ トフ ォー ム 規制、 AI規 定、 EBPM 等 々、様 々な 課題 があ り 、また 事業 者が 個人
情報保護の遵守以外の様々なリスクに直面して、それらを一体的なものとして、注意していかなければいけないという状況に目を見据えて、より賢明な法執行をしていただく、あるいは政策形成をしていただく上で有用ではないかと考えております。
そういったことも含めまして、ポツの３点目でございますけれども、例えば前回申し上げましたように、「プライバシー白書」を編集・発行されるプロセスの中で、自治体や企業、市民、アカデミア、法曹等の連携等も図っていかれるということがよろしいのではないかと考えております。
１個 飛 ば し まし て 、 先 ほど AI 、 プ ラッ ト フ ォ ーム 等 申 し 上げ ま し た けれ ど も 、 デジ タル化に関連する施策は様々あり、いろいろな局面で個人情報保護法あるいは法制、委員会
30

の解釈と、例えば医療分野におけるデータの二次利用の議論がぶつかるとか、調整の場面
はいろいろあるわけでございます。個別の調整は、いろいろな局面であるわけでございますけれども、今後もう少し中二階のレベルで、医療分野について一般にこうだよねという考え方を、例えば委員会と所管官庁と関係業界であったり市民であったりの間で一定の合意を形成し、またそれを踏まえて、先ほど申し上げた二次利用の検討会等いろいろな場面で議論して、また戻ってきてという対話を繰り返していくことが、政策形成の透明性という点でも有用ではないかと思っております。
貴委員会は「個人情報等の適正な取扱いに関係する政策の基本原則」という、大変格調の高い文書を出されております。今後、ますますこれを活用していただき、様々な分野で、個人情報に関わるデジタル政策が議論される際に、これに準拠して人々が議論をし、合理的な政策形成をする。また、委員会も御解釈を示されるといったことが有用なのではないかと思っているところでございます。
私からの説明は以上でございます。御清聴ありがとうございます。
○藤原委員長ありがとうございました。

それでは、ただいまの御説明について、御質問・御意見があればどうぞ。
清水委員。
○清水委員

委員の清水です。どうも御説明ありがとうございました。

３点ほどお伺いしたいと思いますが、１点目は資料の３の最後のところで書いていただ
いておりますが、漏えい時の報告・通知の在り方の見直しについてはどのようにお考えで
しょうか。
○宍戸教授

ありがとうございます。

漏えい時の御報告自体は、もちろん委員会にしていただくのが出発点だと思いますけれ
ども、本人通知が必要な場合はもう少し限定してもよろしいのではないか、リスクベースで考えてよろしいのではないかと思います。
また、漏えい時の報告それ自体につきましても、事業者の取組の体制に応じて、必要な取組が事業者の中でなされるのであれば、初発の報告はさっとやっていただく必要はあるのだろうと思うのですけれども、その後、繰り返し状況を報告してもらうよりは、定時の報告にとどめてはどうか。また、事業者の側で漏えいの状況を把握し、今後の被害の拡大を防ぐための伴走支援を、委員会の法執行においてより可能とするような法的な手当があるとよいのではないかと思っております。
以上でございます。
○清水委員

ありがとうございます。

事業者の体制を整備する方向に支援していくという御趣旨でございますか。
○宍戸教授

はい。事業者にとって、そういうインセンティブを与えるということです。

○清水委員

本人通知に関しては、それほど害がないのであれば不要ではないかと、そういうお話でしたでしょうか。
31

○宍戸教授はい。そういうことでございます。

○清水委員

ありがとうございます。

２点目で、その後の課徴金制度の検討と書いていただいておりますが、これは前回の令和元年のヒアリングで御説明いただいたところだと思います。前回お話しいただいたとこ
ろは、考えはお変わりないとお伺いしましたので、再度御確認させていただきたいのですが、仮に課徴金制度を導入する場合、具体的制度設計あるいは留意点としてどのようなものが考えられますでしょうか。現時点でお考えがあればお聞かせいただきたいと思います。
○宍戸教授

ありがとうございます。

私自身、研究者といたしましては、個人情報保護法の違反行為に対する制裁として課徴金制度の導入の最右翼である自信がございます。これはぜひ導入していただきたいということ は 、前 回 のヒ ア リ ング で も申 し 上げ ま し たし 、 今回 に つき ま し ては 、 LINE ヤフ ーの件等を含めまして、立法事実も十分蓄積されていると考えております。
しばしば課徴金制度の導入につきましては、不当利得の吐き出し以上のことは認められ
びゅうない等の 謬 説がございますけれども、これは最高裁判例にしても採っていない見解でございますし、独占禁止法の改正においても、そのような考え方は既に捨てられたところでございまして、ただ法の達成する目的を執行するために、必要かつ合理的であるのであれ
ば課徴金制度を導入すればよい。そして、現状の制裁手段が足りていないということで、導入すれば足りるものと考えております。
他方で、ただ重たい制裁を加えるためではなくて、先ほど私が申し上げましたように、事業者のインセンティブを引き出すためである。自分たちがきちんとした取組をしていたにもかかわらず非常に偶発的な事態が起きた等の場合には、課徴金を減免するとか、逆に、事業者が、消費者・社会に対して、「やっています」と口では言っていたけれども実はやまんっていなかった 、欺 瞞 的 な説明をしてい た場合 には、課徴金を ばっち りかけるといっ た、
めりはりのついた法執行を可能にする法制が望ましいものと考えております。
○清水委員

ありがとうございました。

最後に３点目なのですけれども、本日の御説明には直接出てこなかったのですが、団体訴訟制度についてお伺いしたいと思います。
消費者団体からは、個人情報保護法違反を根拠に差止請求を可能とすべきという意見を頂いているところですが、業界団体からは、これは、逆にデータの利活用を萎縮させるおそれがあるということで強く反対という反対意見を頂いているところでございます。仮に差止請求の対象行為を違法行為のみに限定する場合にも、事業者による違法行為を差し止めること自体がデータ利活用に対する萎縮効果につながるかという点についてはどのようにお考えでしょうか。お聞かせいただければと思います。
○宍戸教授

ありがとうございます。

私も、個人情報保護法制の司法化は不可避であると思いますし、望ましいと考えております。その観点から、差止訴訟、団体訴訟を認めることには、原則論として賛成でござい32

ます。他方で、事業者・業界の方々の御懸念も同時に分かるところでもございます。
したがいまして、先ほど申し上げましたリスクベースの法制を導入し、違法で重大なリスクをもたらすおそれがあるような行為について、司法の力を借りて差止めをするという法制化は望ましいものと考えておりますが、そのリスクを具体的にどこまで明確にできるか。また、消費者の方に対する被害をどのように救済するのに差止めが適切か、ADRとか
ODRとかも併せて検討していく必要があるのではないかなと思っておりますけれども、その中で総合的に検討されるべきかなと思っております。
私自身、今の段階で、団体訴訟を考えるのであれば、こういう点が問題だということは幾つか思いつくのですが、その上で、これについて賛成か反対かというと、まだそこまで定見がないというのが正直なところでございます。
○清水委員○藤原委員長ありがとうございました。
ほかにはいかがでしょうか。

小川委員。
○小川委員

小川です。よろしくお願いします。

今の質問にも関係があるのですけれども、先ほどのインセンティブ設計のところで「社会全体の市民参画の取組とのセット」と書かれているのですけれども、この取組について
は、どのような形が考えられるのか。行う場合の具体的な枠組みとか方法で、もしお考えがあれば御教授願いたいと思います。よろしくお願いします。
○宍戸教授

ありがとうございます。

一つは、非常にミクロなレベルで申しますと、例えば事業者において、実効的な市民なり消費者の参画を可能にするような仕組みを、例えば自前で用意しているかだと考えます。
プライバシーに関するアドバイザリーボードを作るということも一つでしょうし、もっと分かりやすい例を挙げれば、個々のユーザーに自らのデータがどのように取り扱われているかということについての透明性の高いダッシュボードを作り、またプロアクティブに通知を行って、その結果等を公表しているという団体、事業者などについては、一定程度市民の参画は認められるだろうと思います。
あるいは、認定個人情報保護団体制度におけるマルチステークホルダー・プロセスの活
用 は、 平 成 27 年改 正 に お きま し て も 、一 定 程 度 パー ソ ナ ル デー タ 検 討 会で 議 論 し たと ころでございますけれども、実際には匿名加工情報制度を活用する際、団体が作る認定指針の基準の策定の部分で、市民参画が導入されたというレベルでございました。
これは法律事項になるか、そぐうかそぐわないか分からないのですけれども、市民がプ
ライバシー・個人情報保護法制について理解し、参画していくための取組や協力をエンカレッジすることが、事業者や団体にとってメリットがあるような、そういった取組をさせる方向へ誘導することが大事なのではないか。非常に抽象的なお答えで恐縮でございます
が、今のところそのように考えております。
○小川委員

事業者とか認定団体以外に、一番大事な私たち委員会の取組として、広報活33

動はやっておりますけれども、何かその点についてお考えがあれば教えていただければと
思います。
○宍戸教授

ありがとうございます。

委員会の御活動の中で、もちろん特定の事業者に関する法執行に係る部分などは、事柄の性質上、公開できず、議事についても詳細は説明できないことはあると思うのですけれども、例えば一般的な政策について議論する場あるいは先ほど私が申し上げたような、ドメインごとの、例えば医療分野における個人情報保護法制とデータの利活用とリスクに関する一般的な事業者、関係省庁、委員の皆様の協議や情報交換の場は、比較的公開に馴染むのではないかと思っております。
そういったところに市民の代表の方をお招きする、あるいは市民の方に見ていただき、市民の方の議論を喚起する。もちろん、委員会本体の会合よりは、懇談会や部会的なものなど、いろいろなやり方があると思うのですけれども、積極的に情報発信をし、できるだけ市民団体を作っていく、育てていく、取り込んでいくような取組を戦略的に是非お進めいただければと考えております。
○小川委員

どうもありがとうございました。

○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。
よろしいですか。
では、最後に私から一つだけお伺いします。
本日の御説明の中で、委員会としてのあるべき方向性について触れていただいて、今、お話に出ました市民や企業との対話も重要であると。それから、先ほど、三条機関として独立性・中立性ということとともに、デジタル化に関連しては様々な施策が出てくる。個
人情報保護法制との調整も要ると。そういう適切な調整、牽制などの模索もしなければならない。あるいは、さらに、ほかの行政機関との関係も出てくると。総合調整と委員会の関係もあるだろうと。それについて、宍戸教授のイメージとしては、市民との対話、企業との対話があると。逆に、そこに、行政機関等の入った、あるいはレベルの違う、施策ごとに専門の行政機関等との意見交換もある。いろいろやり方はあると思うのですけれども、
どういうイメージがあるかということで、ちょっとお聞かせいただければと思います。
○宍戸教授

ありがとうございます。

私のイメージとしては、複層的にあり得るだろうと思っております。本日、時間の関係もありまして、最後のポイントを申し上げておりませんでしたけれども、内閣全体がデジタル政策について議論をするという際に、個人情報保護委員会が個人情報保護法を所管し、独立・専門の立場から検討する一方、政府全体の施策との関係でどのように調整していく
かという、三条委員会と内閣の大きな政策全体の調整は、国家行政組織法上難しい課題であろうと思います。
その際に、一つ参考になり得ると私が思っておりますのが経済財政諮問会議と日本銀行
34の関係でありまして、あのような形で、マクロな政府のデジタル政策と個人情報保護委員会の所管する領域との調整を図るというのは当然一つあり得るのではないか、これが一番大きなレベルでございます。
本来、内閣はもともと総合調整機能を有しており、それは三条委員会においてもそうであると考えれば、改めてそのようなものは必要がないという考え方もあると思いますが、逆にこれをやり過ぎますと、内閣の中でブラックボックスになって、透明性のない形で大きなデジタル政策の決定がなされて、委員会があたかもそれに従っているだけのような見え方になってしまいます。これは個人情報保護委員会の独立性・専門性といった観点からも望ましくないことであるだろうと思いますし、十分性認定等にもはね返ってくる事態だ
ろうと思いますので、今のようなやり方が一つ、公式の政策決定のプロセスとしてあるだ
ろう、そこにどういう方を入れるかは、政府全体でお考えになる問題だろうと思います。
あと、委員長がおっしゃったように、委員会として個人情報保護法を運用される、ある
いは個人情報保護法の運用に当たって各政策領域と対話をするときに、行政機関の方とまずお話をされるのは、当然に私はあることだと思っています。現に事務局レベルでいろいろあるものだと思いますけれども、そこについて、例えばそれぞれの所管官庁を代表されるような方が、この委員会においでになって、自分たちの政策について委員の皆様と御議論されて、委員会において一定の見解を示されるといったやり方もあるだろうと思います。
これは国・行政機関の政策を基本的に念頭に置いているわけですが、同時に個人情報保護法は社会全体で官民挙げて取り組む、あるいは民間のニーズに応じて政府がこのような問題に取り組むもので、当然国・地方の問題も絡んでくるわけでございます。そういった場面におきましては、委員会におかれまして、関係省庁と連携をしていろいろな方を入れた議論の場を用意し、そこで議論した上で一定の方向性を示されるということがあろうかと思います。
大変口幅ったい言い方で恐縮ですけれども、私が委員会から御指示を受けまして司会をさせていただきました「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会」は、その一つのパイロットケースであったかなと思います。それがうまくいったかいっていないかは、私は委員会や社会の評価を受ける立場でございますが、その経験を生かしていただき、そのような研究会レベル、検討会レベルで、委員の方々数人と関係省庁の方の間でのジョイントの会合をセットするなど、いろいろやり方があるのではないかと思っております。
最終的には、委員会が、この独立行政委員会として合議によって決定されるべきというのは当然留保した上でのプロセスのお話と御理解いただければと思います。
以上でございます。
○藤原委員長ありがとうございました。

ほかにはよろしいですか。
それでは、頂いた御意見も含め、個人情報保護をめぐる様々な状況について、これから
35

も各方面の意見を聞きながら課題を整理、審議してまいりたいと存じております。宍戸教
授、本日は本当にありがとうございました。どうぞ御退室ください。
○宍戸教授

ありがとうございました。
（宍戸教授退室）○藤原委員長それでは、本日の議題の資料、議事録及び議事概要の取扱いについてお諮

りいたします。
本議題の資料、議事録及び議事概要については、公表することとしてよろしいでしょうか。
御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上です。それでは、本日の会議は閉会といたします。ありがとうございました。

36