御質問ありがとうございます。
幾つかＧＤＰＲに関する御質問をいただいたかと思いますので、回答させていただきます。
まず、ＧＤＰＲの下で要件が細かいかということに関しては、むしろ私はそうではないと思っていまして、ＧＤＰＲはプリンシプルベース、原則ベースで大きなところを書いております。例えば、技術的な安全管理措置をどうあるべきか、ＡＩの保護措置をどうするべきかということについては、法律の中身にはほとんど何も書いていなくて、前文と呼ばれるところに例示が幾つかあるといったようなことであったり、さらに、その後のガイドライン等でより詳細に書かれるといったような形になっていますので、要件が細かいということではないのかなと思います。
ガイドラインが五百を超えて存在するというのは、ちょっと数を数えたことはないんですが、段ボールが確かに三箱ぐらい私のデスクの後ろにありますので、それなりにあるんだとは思うんですけれども、ただ、ＧＤＰＲのガイドラインというのは論点ごとに作るんですね。日本は論点ごとに作るわけではなくて、通則編、外国の第三者提供編といった形で大きな形で作りますので、そもそもちょっとガイドラインの数で比べるということでは必ずしもないのかなと。日本のガイドラインもＧＤＰＲと遜色のないような形で実務の運用に足るような内容が書かれていますし、ガイドラインを策定する際のパブリックコメントについては非常に丁寧な回答がなされて、それが業務、実務の運営指針になっている、そしてＱアンドＡなどもありますので、その意味では何かガイドラインが足りないといったようなことはないのかなと思います。
プロファイリングであったり権利の話についてお話がございました。
それは、今おっしゃったアクセス権、訂正権、そしてポータビリティー権、プロファイリングの権利がある、それはそのとおりでございます。
プロファイリングの問題は統計作成特例の問題とは切り離して考えるべきだというふうに私は考えています。つまり、統計作成の特例があるか否かにかかわらず、プロファイリングについての問題は別途あり得まして、それは今の作られているＡＩモデルの中でも既にある問題ということであります。
日本の個人情報保護法は、この点については、令和二年の改正において利用停止請求権というものを認めて、それによって一定の対応はなされたというような形で一旦解決したのかなというふうに理解はしておりますけれども、ただ、その後も、やはりこのＡＩの活用が進むにつれて、よりリスクが高まっている、個人の決定がＡＩによってなされることについてもう少し言えるべきことがあるんじゃないかといったような御懸念は私もあるというふうに理解しておりまして、今後、更にプロファイリングについての議論が深まることを期待しています。
以上です。
92黒黒田知宏京都大学医学部附属病院医療情報企画部教授
ありがとうございます。
事例まで知っているわけではございませんが、基本的に、そのデータを利用するときに、その利用目的に対して審査をするわけです、ＥＨＤＳというのは。ですので、利用目的の中に健康医療、国民、国民というか、社会の健康の増進に資するものであるということが最初に要件としてありますので、それに対応するものでなければ、基本的にはそこで利用は普通は止まるはずです、うそをついていない限り。それは、日本で行っている次世代医療基盤法も同じ枠組み。だから、利用者の審査が要るんです。
先ほど岩本先生が御質問になった件とも絡むんですけど、結局、そのデータどう使…
この発言のページ
93
大門実紀史(共産)
終わります。ありがとうございました。
この発言のページ
94
伊波洋一政府参考人など
沖縄の風の伊波洋一です。
今回の参考人の皆さん、本当にありがとうございます。
私、個人情報保護に関する法律等の改正案について主に質疑をしていきたいと思います。
私は、今回の個人情報保護法案というのは、保護をする法律じゃなくて保護を緩める法律のような改正案であろうと思いまして、一昨日の質疑でも、要するに統計等という名の下で、要配慮情報も含む個人情報を売り買いできるという仕組みで、この売り買いは民間の当事者の話であって、政府は関与しないというような趣旨で説明を受けておりますので、いわゆる、これが示すものは、本来ならば個人情報保護されなきゃいけないそうい…
この発言のページ
- （上の発言）
95石石川智也西村あさひ法律事務所・外国法共同事業パートナー弁護士
御質問ありがとうございます。
幾つかＧＤＰＲに関する御質問をいただいたかと思いますので、回答させていただきます。
まず、ＧＤＰＲの下で要件が細かいかということに関しては、むしろ私はそうではないと思っていまして、ＧＤＰＲはプリンシプルベース、原則ベースで大きなところを書いております。例えば、技術的な安全管理措置をどうあるべきか、ＡＩの保護措置をどうするべきかということについては、法律の中身にはほとんど何も書いていなくて、前文と呼ばれるところに例示が幾つかあるといったようなことであったり、さらに、その後のガイドライン等でより詳細に書かれるといったような形になっていますので、要件が細かいということではないのかなと思います。
ガイドラインが五百を超えて存在するというのは、ちょっと数を数えたことはないんですが、段ボールが確かに三箱ぐらい私のデスクの後ろにありますので、それなりにあるんだとは思うんですけれども、ただ、ＧＤＰＲのガイドラインというのは論点ごとに作るんですね。日本は論点ごとに作るわけではなくて、通則編、外国の第三者提供編といった形で大きな形で作りますので、そもそもちょっとガイドラインの数で比べるということでは必ずしもないのかなと。日本のガイドラインもＧＤＰＲと遜色のないような形で実務の運用に足るような内容が書かれていますし、ガイドラインを策定する際のパブリックコメントについては非常に丁寧な回答がなされて、それが業務、実務の運営指針になっている、そしてＱアンドＡなどもありますので、その意味では何かガイドラインが足りないといったようなことはないのかなと思います。
プロファイリングであったり権利の話についてお話がございました。
それは、今おっしゃったアクセス権、訂正権、そしてポータビリティー権、プロファイリングの権利がある、それはそのとおりでございます。
プロファイリングの問題は統計作成特例の問題とは切り離して考えるべきだというふうに私は考えています。つまり、統計作成の特例があるか否かにかかわらず、プロファイリングについての問題は別途あり得まして、それは今の作られているＡＩモデルの中でも既にある問題ということであります。
日本の個人情報保護法は、この点については、令和二年の改正において利用停止請求権というものを認めて、それによって一定の対応はなされたというような形で一旦解決したのかなというふうに理解はしておりますけれども、ただ、その後も、やはりこのＡＩの活用が進むにつれて、よりリスクが高まっている、個人の決定がＡＩによってなされることについてもう少し言えるべきことがあるんじゃないかといったような御懸念は私もあるというふうに理解しておりまして、今後、更にプロファイリングについての議論が深まることを期待しています。
以上です。
96伊波洋一政府参考人など
ヨーロッパのこの規制、いわゆるそのＧＤＰＲというのは、当然、日本企業にも適用されているわけですね。
この発言のページ
97石石川智也西村あさひ法律事務所・外国法共同事業パートナー弁護士
適用されています。
もちろん、欧州に展開している日系企業は当然適用されますし、日本企業も域外適用という形で、ヨーロッパに向けて商品サービスを提供する、あるいはヨーロッパ域内にいる個人のモニタリングを含む行為を伴うとＧＤＰＲの域外適用があるという形になっています。
この発言のページ
98伊波洋一政府参考人など
そうすると、我が国が今つくろうとしている概念あるいはその既成概念のレベルの問題が、もしヨーロッパのＧＤＰＲに即さない、そこまでいかないものになってしまって、それが当たり前の慣行になってしまうとしたら、ここでこの企業を展開している我が国の企業が、ヨーロッパとか世界で、例えばアメリカとかで何らかの商活動をしたりするときに支障になるということはあり得ませんか。
この発言のページ