弁護士の石川智也と申します。
この度は、意見を述べる貴重な機会をいただき、誠にありがとうございます。
私は、国内外の企業等に対し、個人情報保護法やＥＵのＧＤＰＲを始めとする各国の個人情報保護法について助言しております。特に、ＥＵのデータ戦略が公表された二〇二〇年からは、ドイツに拠点を構えて約六年活動しております。また、この二年は大学院において、ＥＵのデータ法等を題材に日本のデータ利活用法制の在り方について研究しております。
本日は、お手元にお配りしている一枚の紙の記載の三点について意見を申し述べます。
まず最初に強調されるべき点は、ＩｏＴ製品等を通じて膨大なデータを収集し、その分析結果に基づいてサービス提供を行うデータ駆動型社会の下では、個人情報保護法が従前の形式主義、事前規制から実質主義、事後規制へと移行していく必要がある、今般の改正はそれを実現するものとなっているということです。
データ処理が複雑化する中で、一人一人がプライバシーポリシーを読み、理解した上で判断するというのは、あらゆる場合ということになりますとなかなか現実的ではなく、むしろ、同意の有無にかかわらず、データを取り扱う事業者において適切に個人データを取り扱うことが重要となっております。
近時、同意疲れという問題も指摘されています。これは、同意の負担が大きいので同意を不要にすべき、こういうことではなく、同意を原則とするのでは権利を実質的には保護できないのではないかと、こういう問題意識から捉えるべきだというふうに考えております。もちろん、このような問題意識が生まれてから各国の法令に反映されるまでにはタイムラグがありますけれども、欧米ではこのような考え方が何年も前から有力に提唱され、ＧＤＰＲの実務の下で採用されています。したがって、いわゆるブリュッセル効果の下でＧＤＰＲを参照して作られた各国の個人情報保護法の下でも同様の考え方が浸透していくことが見込まれますし、日本にとってもこれが目指すべき方向性であるというふうに考えています。
そして、データを取り扱う事業者において適切に個人データを扱う、このことを担保するためには、情報提供を行い、本人の同意を取得すれば個人データを第三者に提供できる、このような形ではなく、個人データの扱いがきちんと適切にできる、それがもしできなければ、課徴金等を課し、そして事後的に是正する、こういった事後規制に徐々に移行していくということが求められると考えています。
このような理由で、今般の改正は、本人同意に重きを置く形式主義から実質的な個人の権利利益の保護を目指すという実質主義への移行と、課徴金の導入により、このような移行を制度的に担保するための事後規制への移行を含む点で、データ駆動型社会における適切なデータの扱いを目指すものとして高く評価すべきと考えております。
二点目は、今回の改正は、全体として実質的な個人の権利利益の保護の実現のために検討がなされているということです。
幅広いステークホルダーから意見をくみ上げた結果として、データの利活用、保護のそれぞれの観点から前回の改正以降のニーズがおおむね適切に反映されており、未成年者の個人情報の取扱い、個人関連情報のルール、生体データ等の取扱いについては、世界の主要な法制の動向に合わせる形で適切に個人の権利利益の保護が図られていると言えます。
議論のある統計作成等の特例との関係では、多くの国の個人情報保護法制の下で、データのスクレーピングやＡＩモデルの学習のための個人データの利用の整理が課題となっております。昨年十一月に公表されたＥＵのデジタルオムニバス法案によるＧＤＰＲの改正提案においてもまさに議論がなされています。
日本の法制への示唆としては、こういった海外での議論の動向も参考にしながら、丁寧に下位規則やガイドラインを策定していく必要があると考えています。そして、もし今般、統計作成等特例が導入されれば、これまでＧＤＰＲを追いかけてきた日本の個人情報保護法がＧＤＰＲよりも先行してこの課題に答えを出す、この点は非常に象徴的であるというふうに考えています。
他方で、国際的に最先端であるから導入すべきと申し上げるものではございません。現在の個人情報の保護水準の切下げが許されるということでは決してなく、下位規則やガイドラインの制定、提供先との契約等、そして公表情報のモニタリングを通じて、個人の権利利益を害するおそれがないということを実効的に確保する必要があります。
このうち提供先との契約については、市場原理のみに委ねた場合では質や規律というものが十分に確保されないおそれもありますので、そのようにならないように、官民協働して契約のフォーマットを用意する、あるいは内容を十分に検討するといったようなことが今後検討に値すると思います。
また、様々な議論がなされておりますが、この統計作成等の特例の要件を充足できるＡＩモデルの開発の場面というのは割と限られるという理解でおります。ただ、懸念にあるような不適切な事業者が参入しないよう、所定のＡＩ開発等の水準、これを充足している事業者が分かるように業界としても工夫ができるとよいのではないかというふうに考えております。
三点目として、今後への期待を少し幅広に述べたいと思います。
まず、個人情報保護法の実質主義と事後規制への移行の流れ、これ自体は避けられず、今回の改正点は通過点にすぎないように考えています。実務では適用開始から二十年余りが経過しておりまして、そもそも全体を抜本的に見直すべきといったような意見もしばしば聞かれますし、今回導入される事後規制との関係でも、課徴金の範囲と金額の拡大、団体訴訟の導入というものは引き続き論点になるべきと考えております。
この点、ＧＤＰＲの下での制裁金は、参考資料の五ページから六ページのグラフにしてあるように、実は日本で一般に想起されるような高額事案に限られるものではございません。また、高額の事案についても、三年から五年後に裁判等を通じて実際には九〇％程度の棒引きがなされるような事案も相次いでおります。
ただ、それでも事後規制の抑止力としては十分に意味がありますし、加盟国ごとに当局があるということを考慮しても、相当数の執行事例が積み重ねられている、こういったことは重要であり、政府としては、学会等と協働して、今回見送った理由の一つとされる法理論面での整理、こういったものを継続するとともに、執行の経験というものを積むということが重要であると考えられます。また、専門化の進む情報法制の分野において、消費者や市民社会がより実効的に参加できるよう、人的、物的資源の支援を含め、方策を尽くすことも重要です。そして、団体訴訟の枠組みがあれば、より実効的な被害救済につながり得た事案、これを都度指摘し、積み上げていくということが重要であると考えます。
最後に、データ法制との関係でも、驚異的な能力を誇る汎用ＡＩ、ミュトスの登場や、そのアクセス遮断により、我が国におけるＡＩ主権の確立の必要性が突き付けられているということは指摘せざるを得ません。この点は、ＡＩ法で対応する部分もあるかもしれませんが、ＡＩ主権を実現するために必要なデータをいかに国内で流通させ、囲い込み、集積するかという観点からも、世界動向を踏まえつつ、早急に検討することが重要であると考えます。
ＡＩ主権との関係では、非常に簡単なものではございますが、参考資料の十一ページに、今月の六日に欧州委員会より公表された技術主権パッケージやクラウド・アンド・ＡＩディベロップメント・アクト案にあるようなデータ法を補う仕組みが検討されていることが重要です。
今般改正の対象となっているデジタル手続法は、主に公的機関の保有するデータの価値を開放する施策であり、これ自体、非常に大きな意義を有しますが、民間事業者の保有するデータの価値を開放するとともに、いかに国内でデータを集積するかという問題意識をも踏まえた包括的なデータ法制のグランドデザインについても検討を本格化させることが望まれると考えます。
デザインの在り方は様々あり得るかと思いますが、どうか議論が継続し発展するよう、立法府におかれましても引き続き御検討いただくことを期待いたします。
以上の説明が、今後の議論、そして公正で豊かな社会の実現の一助となることを期待して、終わりたいと思います。ありがとうございました。
2
松下新平(自民)
情報通信技術を活用した行政の推進等に関する法律及び情報処理の促進に関する法律の一部を改正する法律案及び個人情報の保護に関する法律等の一部を改正する法律案の両案を一括して議題といたします。
本日は、両案の審査のため、四名の参考人から御意見を伺います。
御出席いただいております参考人は、京都大学大学院法学研究科教授稲谷龍彦君、西村あさひ法律事務所・外国法共同事業パートナー弁護士石川智也君、一般社団法人全国消費者団体連絡会事務局長郷野智砂子君及び京都大学医学部附属病院医療情報企画部教授黒田知宏君でございます。
この際、参考人の皆様に一言御挨拶申し上げます…
この発言のページ
3稲稲谷龍彦京都大学大学院法学研究科教授
ただいま御紹介にあずかりました京都大学大学院法学研究科で教授をしております稲谷と申します。
本日は、このような機会を賜り、誠にありがとうございます。
私は、研究者として、特に企業に対する制裁制度を含む刑事司法制度とデジタルガバナンス及び科学技術と法に関する領域を専門としております。また、データ利活用の観点からは、デジタル行財政改革会議事務局におけるデータ利活用制度・システム検討会に参画し、さらに、いわゆるＤＦＦＴ、信頼性のある自由なデータ流通に関する複数の検討会にも所属し、特にデータセキュリティーを扱うワーキンググループにおいては座長も務めさせていた…
この発言のページ
4松下新平(自民)
ありがとうございました。
次に、石川参考人にお願いします。石川参考人。
この発言のページ
- （上の発言）
5石石川智也西村あさひ法律事務所・外国法共同事業パートナー弁護士
弁護士の石川智也と申します。
この度は、意見を述べる貴重な機会をいただき、誠にありがとうございます。
私は、国内外の企業等に対し、個人情報保護法やＥＵのＧＤＰＲを始めとする各国の個人情報保護法について助言しております。特に、ＥＵのデータ戦略が公表された二〇二〇年からは、ドイツに拠点を構えて約六年活動しております。また、この二年は大学院において、ＥＵのデータ法等を題材に日本のデータ利活用法制の在り方について研究しております。
本日は、お手元にお配りしている一枚の紙の記載の三点について意見を申し述べます。
まず最初に強調されるべき点は、ＩｏＴ製品等を通じて膨大なデータを収集し、その分析結果に基づいてサービス提供を行うデータ駆動型社会の下では、個人情報保護法が従前の形式主義、事前規制から実質主義、事後規制へと移行していく必要がある、今般の改正はそれを実現するものとなっているということです。
データ処理が複雑化する中で、一人一人がプライバシーポリシーを読み、理解した上で判断するというのは、あらゆる場合ということになりますとなかなか現実的ではなく、むしろ、同意の有無にかかわらず、データを取り扱う事業者において適切に個人データを取り扱うことが重要となっております。
近時、同意疲れという問題も指摘されています。これは、同意の負担が大きいので同意を不要にすべき、こういうことではなく、同意を原則とするのでは権利を実質的には保護できないのではないかと、こういう問題意識から捉えるべきだというふうに考えております。もちろん、このような問題意識が生まれてから各国の法令に反映されるまでにはタイムラグがありますけれども、欧米ではこのような考え方が何年も前から有力に提唱され、ＧＤＰＲの実務の下で採用されています。したがって、いわゆるブリュッセル効果の下でＧＤＰＲを参照して作られた各国の個人情報保護法の下でも同様の考え方が浸透していくことが見込まれますし、日本にとってもこれが目指すべき方向性であるというふうに考えています。
そして、データを取り扱う事業者において適切に個人データを扱う、このことを担保するためには、情報提供を行い、本人の同意を取得すれば個人データを第三者に提供できる、このような形ではなく、個人データの扱いがきちんと適切にできる、それがもしできなければ、課徴金等を課し、そして事後的に是正する、こういった事後規制に徐々に移行していくということが求められると考えています。
このような理由で、今般の改正は、本人同意に重きを置く形式主義から実質的な個人の権利利益の保護を目指すという実質主義への移行と、課徴金の導入により、このような移行を制度的に担保するための事後規制への移行を含む点で、データ駆動型社会における適切なデータの扱いを目指すものとして高く評価すべきと考えております。
二点目は、今回の改正は、全体として実質的な個人の権利利益の保護の実現のために検討がなされているということです。
幅広いステークホルダーから意見をくみ上げた結果として、データの利活用、保護のそれぞれの観点から前回の改正以降のニーズがおおむね適切に反映されており、未成年者の個人情報の取扱い、個人関連情報のルール、生体データ等の取扱いについては、世界の主要な法制の動向に合わせる形で適切に個人の権利利益の保護が図られていると言えます。
議論のある統計作成等の特例との関係では、多くの国の個人情報保護法制の下で、データのスクレーピングやＡＩモデルの学習のための個人データの利用の整理が課題となっております。昨年十一月に公表されたＥＵのデジタルオムニバス法案によるＧＤＰＲの改正提案においてもまさに議論がなされています。
日本の法制への示唆としては、こういった海外での議論の動向も参考にしながら、丁寧に下位規則やガイドラインを策定していく必要があると考えています。そして、もし今般、統計作成等特例が導入されれば、これまでＧＤＰＲを追いかけてきた日本の個人情報保護法がＧＤＰＲよりも先行してこの課題に答えを出す、この点は非常に象徴的であるというふうに考えています。
他方で、国際的に最先端であるから導入すべきと申し上げるものではございません。現在の個人情報の保護水準の切下げが許されるということでは決してなく、下位規則やガイドラインの制定、提供先との契約等、そして公表情報のモニタリングを通じて、個人の権利利益を害するおそれがないということを実効的に確保する必要があります。
このうち提供先との契約については、市場原理のみに委ねた場合では質や規律というものが十分に確保されないおそれもありますので、そのようにならないように、官民協働して契約のフォーマットを用意する、あるいは内容を十分に検討するといったようなことが今後検討に値すると思います。
また、様々な議論がなされておりますが、この統計作成等の特例の要件を充足できるＡＩモデルの開発の場面というのは割と限られるという理解でおります。ただ、懸念にあるような不適切な事業者が参入しないよう、所定のＡＩ開発等の水準、これを充足している事業者が分かるように業界としても工夫ができるとよいのではないかというふうに考えております。
三点目として、今後への期待を少し幅広に述べたいと思います。
まず、個人情報保護法の実質主義と事後規制への移行の流れ、これ自体は避けられず、今回の改正点は通過点にすぎないように考えています。実務では適用開始から二十年余りが経過しておりまして、そもそも全体を抜本的に見直すべきといったような意見もしばしば聞かれますし、今回導入される事後規制との関係でも、課徴金の範囲と金額の拡大、団体訴訟の導入というものは引き続き論点になるべきと考えております。
この点、ＧＤＰＲの下での制裁金は、参考資料の五ページから六ページのグラフにしてあるように、実は日本で一般に想起されるような高額事案に限られるものではございません。また、高額の事案についても、三年から五年後に裁判等を通じて実際には九〇％程度の棒引きがなされるような事案も相次いでおります。
ただ、それでも事後規制の抑止力としては十分に意味がありますし、加盟国ごとに当局があるということを考慮しても、相当数の執行事例が積み重ねられている、こういったことは重要であり、政府としては、学会等と協働して、今回見送った理由の一つとされる法理論面での整理、こういったものを継続するとともに、執行の経験というものを積むということが重要であると考えられます。また、専門化の進む情報法制の分野において、消費者や市民社会がより実効的に参加できるよう、人的、物的資源の支援を含め、方策を尽くすことも重要です。そして、団体訴訟の枠組みがあれば、より実効的な被害救済につながり得た事案、これを都度指摘し、積み上げていくということが重要であると考えます。
最後に、データ法制との関係でも、驚異的な能力を誇る汎用ＡＩ、ミュトスの登場や、そのアクセス遮断により、我が国におけるＡＩ主権の確立の必要性が突き付けられているということは指摘せざるを得ません。この点は、ＡＩ法で対応する部分もあるかもしれませんが、ＡＩ主権を実現するために必要なデータをいかに国内で流通させ、囲い込み、集積するかという観点からも、世界動向を踏まえつつ、早急に検討することが重要であると考えます。
ＡＩ主権との関係では、非常に簡単なものではございますが、参考資料の十一ページに、今月の六日に欧州委員会より公表された技術主権パッケージやクラウド・アンド・ＡＩディベロップメント・アクト案にあるようなデータ法を補う仕組みが検討されていることが重要です。
今般改正の対象となっているデジタル手続法は、主に公的機関の保有するデータの価値を開放する施策であり、これ自体、非常に大きな意義を有しますが、民間事業者の保有するデータの価値を開放するとともに、いかに国内でデータを集積するかという問題意識をも踏まえた包括的なデータ法制のグランドデザインについても検討を本格化させることが望まれると考えます。
デザインの在り方は様々あり得るかと思いますが、どうか議論が継続し発展するよう、立法府におかれましても引き続き御検討いただくことを期待いたします。
以上の説明が、今後の議論、そして公正で豊かな社会の実現の一助となることを期待して、終わりたいと思います。ありがとうございました。
6松下新平(自民)
ありがとうございました。
次に、郷野参考人にお願いいたします。郷野参考人。
この発言のページ
7郷郷野智砂子一般社団法人全国消費者団体連絡会事務局長
本日は、デジタル社会の形成及び人工知能の活用等に関する特別委員会におきまして発言の機会をいただき、誠にありがとうございます。全国消費者団体連絡会事務局長の郷野でございます。
私ども全国消団連は、一九五六年に結成された消費者団体の全国的な連絡組織です。全国の消費者団体が連携し、消費者の権利の実現と暮らしの向上、消費者団体活動の活性化と消費者運動の発展に寄与することを目的として活動しています。
本日は、消費者の立場から、個人情報保護制度の在り方について意見を申し述べます。どうぞよろしくお願いいたします。
二〇二六年一月九日に公表された個人情報保護法制度…
この発言のページ
8松下新平(自民)
ありがとうございました。
次に、黒田参考人にお願いいたします。黒田参考人。
この発言のページ