では、お答えします。
まず、法律に関しては石川先生ほど私は詳しくないので現場の肌感覚でしかないのですけれども、少なくともＧＤＰＲの中で、要配慮個人情報という、日本の個人情報保護法の要配慮個人情報という考え方自身がＧＤＰＲから元々きているものであると。つまり、特別扱いしなきゃいけないということはヨーロッパは既に認識をしたところからスタートをしているというのがまず重要なポイントだと思います。その上で、そのデータを受け取る主体をどうするかということで、データスペースを考えるときに、医療分野から行きましょうということでＥＨＤＳというパッケージができ上がっているわけです。
論点がずれているなとすごく思うのは、データが、その安全性が確保されるタイミングをＡＩのモデルができ上がったときに置いているのか、ＡＩを作る人に渡すときに置いているのかというところで論点が大きくずれていると思って見ています。
ＡＩが出ていくときに安全であるということについては、今資料をお示ししたとおりで、何も変わりません。それを作るためにどんなデータ渡すんだというところについてレギュレーションが掛かっていないというのが私たちが気にしているところですし、欧州の私の友達に聞いても、気持ち悪いねというふうに言われる状態なんです。そもそも、彼らはＡＩが統計に入るというのは考えられないというふうに、何人かの、政府関係者の友達が何人かいますので、彼ら、割と口々にそれを言うんですね。その状況の中で、これやっちゃって大丈夫かなというのはすごく感じる。
しかも、その先ほどの八十九条でお示ししているとおり、データを渡す段階でミニマイゼーション原則をちゃんと守れというふうに書いているわけです。で、その書き物は一切ないんですよ、今の、今回の統計特例に関しては。その状態では、全部渡してよいと法律上は書いてあるように見える。
ソフトローでもちろんメソッドは決めていくべきですけど、少なくともそうせよという、ハードローで記載がなければ、それが守られると考えられないというふうに私は思っています。
41稲稲谷龍彦京都大学大学院法学研究科教授
司先生、御質問ありがとうございます。
私は、実は、今回のその統計等の例外から始めたというのは、かなり慎重なアプローチではないかと実は思ってございます。
というのも、今回の個人情報保護法の改正の方向性というのは、石川参考人の方からも少しございましたし私もそのように理解していますけれども、リスクベースで適切な規制を掛けていく、同意というものを取ったとしても、結局、取った後きっちりしていなかったら一緒じゃないかということで、リスクをきちんと管理できる構図を具体化していくと、そういう意味でのリスクベースをやっていく、その最初の改正だと思うわけですね。
そう…
この発言のページ
42司司隆史(公明)
利用をする、統計目的として利用をするという一環の流れでいくと、開発をする事業者の目線でいけば、もっとできてもいいんじゃないか、もっと踏み込んでもいいんじゃないか、僕、同じ意見なんですね。ただ、今回の要配慮個人情報が民間の事業者の方にも広がっていくというこのリスク、漏えいリスク含めたところの対策があれば、国民の皆さんにも堂々と説明を、効果の説明や安心の説明をできるんじゃないかなというのも思うところがありまして、ここのステップを丁寧にできたらいいかなというふうに私は感じているところです。ありがとうございます。
続きまして、国際的な信頼というところで、石川参…
この発言のページ
43石石川智也西村あさひ法律事務所・外国法共同事業パートナー弁護士
御質問ありがとうございます。
ＧＤＰＲの下でもまさに今議論がなされているところで、ＡＩモデルというのが、そもそも個人データなのか、個人データではない状態に本当になるのかといったようなところから議論がございます。
そして、日本とＧＤＰＲとの違いでいうと、いわゆるその統計の例外、先ほど黒田先生の資料に八十九条の話がありましたけれども、統計の枠組みを使って要配慮個人情報と言われるような特別カテゴリーのデータを使えるんじゃないかという議論もある一方で、いや、そうではないという議論もあり、まさに議論がなされているという、そういう文脈になります。
その中で、日…
この発言のページ
- （上の発言）
44黒黒田知宏京都大学医学部附属病院医療情報企画部教授
では、お答えします。
まず、法律に関しては石川先生ほど私は詳しくないので現場の肌感覚でしかないのですけれども、少なくともＧＤＰＲの中で、要配慮個人情報という、日本の個人情報保護法の要配慮個人情報という考え方自身がＧＤＰＲから元々きているものであると。つまり、特別扱いしなきゃいけないということはヨーロッパは既に認識をしたところからスタートをしているというのがまず重要なポイントだと思います。その上で、そのデータを受け取る主体をどうするかということで、データスペースを考えるときに、医療分野から行きましょうということでＥＨＤＳというパッケージができ上がっているわけです。
論点がずれているなとすごく思うのは、データが、その安全性が確保されるタイミングをＡＩのモデルができ上がったときに置いているのか、ＡＩを作る人に渡すときに置いているのかというところで論点が大きくずれていると思って見ています。
ＡＩが出ていくときに安全であるということについては、今資料をお示ししたとおりで、何も変わりません。それを作るためにどんなデータ渡すんだというところについてレギュレーションが掛かっていないというのが私たちが気にしているところですし、欧州の私の友達に聞いても、気持ち悪いねというふうに言われる状態なんです。そもそも、彼らはＡＩが統計に入るというのは考えられないというふうに、何人かの、政府関係者の友達が何人かいますので、彼ら、割と口々にそれを言うんですね。その状況の中で、これやっちゃって大丈夫かなというのはすごく感じる。
しかも、その先ほどの八十九条でお示ししているとおり、データを渡す段階でミニマイゼーション原則をちゃんと守れというふうに書いているわけです。で、その書き物は一切ないんですよ、今の、今回の統計特例に関しては。その状態では、全部渡してよいと法律上は書いてあるように見える。
ソフトローでもちろんメソッドは決めていくべきですけど、少なくともそうせよという、ハードローで記載がなければ、それが守られると考えられないというふうに私は思っています。
45司司隆史(公明)
ありがとうございます。
黒田参考人、もう一問一答でお聞きしたいんですけれども、政府は、最小限の、ＧＤＰＲの読み方としては、最小限の形としては仮名化でも、つまり顕名でもいいんではないかというような答弁を毎回いただいておるわけですけれども、その辺の黒田参考人の捉え方としてはいかがでしょうか。
この発言のページ
46黒黒田知宏京都大学医学部附属病院医療情報企画部教授
お答えします。
資料の八の一をもう一度御覧ください。資料の八の一を御覧いただくと、アンダーラインが引いてある一番下の行ですが、それらの措置は、それらの目的がそのような様態で充足され得る限り仮名化を含むことができるです、日本語でも。その続きを読んでいただくと、データ主体の識別を許容しない又は許容することのない別の目的による取扱いによってそれらの目的が充足され得る場合、それらの目的は、その様態によって充足される、およそ人間が読めない日本語なんですけれども。
基本的には、満たされるんであればその形でやりなさいと書いてある。これって、要は、統計だったら統計で…
この発言のページ
47司司隆史(公明)
ありがとうございます。
そういった面で、国際的な信頼がもし損なうようなことがあれば、まさに目的としている国際競争力のＡＩの取組というものが失うおそれがあるわけでございまして、やっぱり慎重に議論をする必要があると思います。
最後に、改めて黒田参考人にお伺いしたいのは、前回の委員会の質疑の中で、例えば、スタートアップ、また大きな企業でも結構ですけれども、企業の皆さんが、今回の特例をもって、いよいよ政府も攻めに転じたなと、ＡＩ開発、日本で攻めていくぞということで、大きく参画をしていただくべきぐらいの攻めた法案であるというふうに、私はそれでこそあってしかるべ…
この発言のページ