相当の注意を払っていればこの課徴金の対象にはならない可能性が高いのではないかというふうに認識いたしました。ありがとうございます。データの提供の萎縮を防ぐという観点では、こういった整理、非常に重要な話かなと思っております。
次に、データを利活用する側の責任について伺います。
事業者にとって最も判断が難しいのは、どこまでの再識別防止措置をとれば課徴金制度の対象にならないかといった点だと考えます。この懸念に関連して想定される二つのケースについてまとめて伺いたいと思います。
一つ目のケースは、入力したデータの性質と技術制約上、個人との対応関係を排斥し切れなかったという場合でございます。例えば、希少な属性の組合せや非構造化データに識別が困難な個人情報が埋もれていたといった事情が考えられます。本事案の場合、統計作成等の特例の対象外である一方、直ちに課徴金の対象になるわけでもないというふうに理解をしておりますが、その整理が正しいかどうか。そして、どういった要件をもって課徴金の審査が行われるか、できるだけ具体的な説明をお願いしたいと考えます。
次に、二つ目のケースといたしまして、データを利活用する事業者が一定の再識別防止措置を施して、そして個人との対応関係を排除する形での出力ができていたとします。できていたのですが、技術が進歩したことによって後から再識別が可能になってしまうという事案が想定されます。例えば、最近では、メンバーシップ攻撃と呼ばれるような、ある個人のデータがそのＡＩ学習のデータセットの中に含まれていたかどうかということをそのＡＩの内部出力のデータから判別するような、ＡＩに対する攻撃手法というものが生まれて問題視されていると認識しております。
こういった技術、攻撃の技術もどんどんこれから進歩していく中で、今現時点においては全く問題ないだろうという状況であっても、今後、そこからまた状況変わっていくことも考えられます。こういった場合には、課徴金の対象となる行為そのものには該当せず、安全管理措置義務などの観点から個人情報保護委員会の監督の対象となり得るという、そういった整理でよろしいでしょうか。
151
松本尚(自民)デジタル大臣・内閣府特命担当大臣（サイバー安全保障）
ありがとうございます。
統計作成等々を行う事業者においては、漏えいした場合のリスク等に応じた適切な安全管理措置を求めているわけで、今委員おっしゃったように、じゃ、彼らがそれをちゃんと措置ができるような、何というか、環境整備というのも当然我々はやっていかなきゃいけないというふうに思います。講じるべき安全措置の内容、技術的手法については、ガイドラインにしっかりと例示をしていきたいと思います。先ほどおっしゃったチェックリストなども非常に有効だと思いますので、これも採用していきたいというふうに思います。
その上で、そういった安全管理措置のための製品とかツール…
この発言のページ
152
安野貴博(みらい)
前向きな御方針を提示していただき、ありがとうございます。
個人情報保護委員会ですが、既に認定個人情報保護団体という制度がございまして、例えばその認定団体であるＪＩＰＤＥＣはプライバシーマークというものを運営しておりまして、事業者の個人情報保護体制の可視化に貢献しているというふうに認識しております。現時点で、大臣、直接そのツール等を個人情報保護委員会が認定するという考えはまだないというふうにおっしゃられましたが、例えばこのプライバシーマークのような形と同様に、認定団体を入れて運用するという可能性はあると思いますので、是非検討をいただければと思っております…
この発言のページ
153佐佐脇紀代志個人情報保護委員会事務局長
お答えいたします。
個別の事案ごとに厳密には判断することになろうかと思いますが、相当の注意を尽くした場合には、当然ながら提供元の責任というのは認められないことになると思います。
これらにつきましては、例えば、とても小さな事業者から物すごく大きな事業者に提供するといった事業規模の差でありますとか性質とか、対象になっている個人情報の量や性質なども踏まえまして、最終的には総合判断になると思いますが、相当の注意を尽くしていれば当然課徴金の対象外になる可能性は高うございますが、何と申しますか、書面による確認まで求めておりますものですから、さすがに単純にうのみを…
この発言のページ
- （上の発言）
154安野貴博(みらい)
相当の注意を払っていればこの課徴金の対象にはならない可能性が高いのではないかというふうに認識いたしました。ありがとうございます。データの提供の萎縮を防ぐという観点では、こういった整理、非常に重要な話かなと思っております。
次に、データを利活用する側の責任について伺います。
事業者にとって最も判断が難しいのは、どこまでの再識別防止措置をとれば課徴金制度の対象にならないかといった点だと考えます。この懸念に関連して想定される二つのケースについてまとめて伺いたいと思います。
一つ目のケースは、入力したデータの性質と技術制約上、個人との対応関係を排斥し切れなかったという場合でございます。例えば、希少な属性の組合せや非構造化データに識別が困難な個人情報が埋もれていたといった事情が考えられます。本事案の場合、統計作成等の特例の対象外である一方、直ちに課徴金の対象になるわけでもないというふうに理解をしておりますが、その整理が正しいかどうか。そして、どういった要件をもって課徴金の審査が行われるか、できるだけ具体的な説明をお願いしたいと考えます。
次に、二つ目のケースといたしまして、データを利活用する事業者が一定の再識別防止措置を施して、そして個人との対応関係を排除する形での出力ができていたとします。できていたのですが、技術が進歩したことによって後から再識別が可能になってしまうという事案が想定されます。例えば、最近では、メンバーシップ攻撃と呼ばれるような、ある個人のデータがそのＡＩ学習のデータセットの中に含まれていたかどうかということをそのＡＩの内部出力のデータから判別するような、ＡＩに対する攻撃手法というものが生まれて問題視されていると認識しております。
こういった技術、攻撃の技術もどんどんこれから進歩していく中で、今現時点においては全く問題ないだろうという状況であっても、今後、そこからまた状況変わっていくことも考えられます。こういった場合には、課徴金の対象となる行為そのものには該当せず、安全管理措置義務などの観点から個人情報保護委員会の監督の対象となり得るという、そういった整理でよろしいでしょうか。
155佐佐脇紀代志個人情報保護委員会事務局長
お答え申し上げます。
まず、本特例に基づき提供を受けたデータを統計情報の作成の目的で加工したものの、結果として排斥し切れなかった、個人との関係が排斥し切れなかった場合でございますけれども、その統計情報の作成等の目的にのみ利用することになってございますが、結果として個人との関係を排斥し切れなかった場合は、ある意味非常に確率に関わる問題でございますので、必要な措置、常識的に必要な加工措置をとっている場合には直ちには特例違反になりませんので課徴金の対象にならないというふうに考えてございますが、本特例の規則などに定めます適切な措置、規則上求められている措置を守…
この発言のページ
156安野貴博(みらい)
ありがとうございます。
こういった再識別可能とする攻撃があった場合には、それは元々の対策が講じられていれば直ちに課徴金の対象とならないということを理解いたしました。
続きまして、三問目の質問に参ります。
デジタル行政推進法の改正における行政データ活用事業認定制度について、内閣官房デジタル行財政に伺いたいと思います。
本認定制度は、事業者による行政データの利活用を後押しし、研究開発を促進し得るものとして評価をしてございます。
一方で、データの取得には、行政によるデータ整備などのコストを勘案した実費が手数料として事業者に請求されると認識しております…
この発言のページ
157山山澄克内閣官房デジタル行財政改革会議事務局審議官
お答え申し上げます。
本改正案におきましては、国の行政機関の長は、一般の利用に供することが適当であると認められるデータを認定国等データ活用事業者に提供する場合は、手数料を減額し、又は免除することができると規定してございます。
具体的な内容につきましては今後政令の検討の中で定めてまいりますんですが、現時点におきましては、本法案において、特定の類型の事業者に対してのみ提供する場合に手数料の減免を認めるという規定ぶりにはなっておりませんのですが、いずれにしろ、委員おっしゃるように幅広い事業者、スタートアップ事業者、中小も含めまして、幅広い事業者の活用には必…
この発言のページ