デジタル社会の形成及び人工知能の活用等に関する特別委員会 参議院

ただいまから、デジタル社会の形成及び人工知能の活用等に関する特別委員会を開会いたします。委員の異動についてご報告いたします。 昨日までに石垣のりこくんが委員を辞任され、その補欠として郡山りょうくんが選任されました。情報通信技術を活用した行政の推進等に関する法律及び 情報処理の促進に関する法律の一部を改正する法律案及び個人情報の保護に関する法律等の一部を 改正する法律案の両案を一括して議題といたします。本日は、両案の審議のため、4名の参考人からご意見を伺います。 ご出席いただいております参考人は、京都大学大学院法科研究科教授 稲谷達彦くん 西村あさひ法律事務所外国法共同事業パートナー弁護士 石川憲明くん一般社団法人 全国消費者

祥子くんはい。及び 京都大学医学部附属病院医療情報企画部教授、 黒田智大くんでございます。 この際、参考人の皆様に一言ご挨拶申し上げます。本日はご多忙のところ、ご出席いただき、誠にありがとうございます。 皆様から忌憚のないご意見を賜りまして、今後の審査の参考にしたいと存じますのでよろしくお願い申し上げます。 つぎに、議事の進め方について申し上げます。まず、

ただいまご紹介にあずかりました、京都大学大学院法学法学研究科で教授をしております稲谷と申します。本日はこのような機会を賜り、誠にありがとうございます。私は研究者として特に企業に対する制裁制度を含む刑事司法制度と、 デジタルガバナンス及び科学技術と法に関する領域を専門としております。 またデータ利活用の観点からは、デジタル行財政改革会議事務局におけるデータ利活用制度システム検討会に参画し、さらにいわゆるTFT信頼性のある自由なデータ流通に関する複数の検討会にも所属し、 特にデータセキュリティを扱うワーキンググループにおいては座長も務めさせていただいております。本日は現在ご審議中の法案に関連し、 データ利活用の推進に関する規律を検討する際に重要と考えられる視点として、第1に、幸福追求権の実質化、第2にコンプライアンスコストの合理的低減 第3に制度技術運用の統合を通じたリスクの合理的低減、第4にアジャイルな対応の必要性、この4点について意見を申し上げたく存じます。 第1に幸福追求権の実質化の観点でございます。私はデータ利活用を進めていく基礎となる法規範について、憲法13条の幸福追求権を中心に考えていくべきではないかと考えてございます。 幸福追求権の具体的な内実については曖昧な部分もございますが、後の本来の意味からいって、 個人が自身のウェルビーイングの実現を追求する権利であるということに疑いはないように存じます。これまで幸福追求権は特に個人データとの関係では、当該データと関連付けられる主体 いわゆるデータ主体に不利益を及ぼすような不適切な管理利用や濫用悪用等のモラルハザードを抑止するという観点から中心に語られてきました。しかし近年では海外でも日本でも むしろデータの連携利活用が、個人のウェルビーイングの向上に不可欠となる場面も様々存在することが明確になってきており、 それが幸福追求権の理解にも関係し始めているということが重要であると考えてございます。例えば医療金融教育のような公共準公共分野においては、 社会内に分散するデータを統合して解析することで、初めて個人に最適化した形でのサービスの提供が可能になる場合もあります。 データを連携利活用することで、個人最適化されたサービスを一部の人だけではなく、広く一般に利用できるようにするということは、全ての人に対して公平に幸福追求権の保障を実質化するということになるのだと考えます。 またデータを利活用し、AIなどの先端科学技術を適切に用いることで、安全性の確保が必要な労働分野や防災分野など 人の生命身体財産というウェルビーイングの基盤となる法益が関わる分野においても、高い法益保護効果を売ることが期待できると考えられます。 もちろん冒頭申し上げました通り、データの乱用等によるデータ主体の不利益の問題は依然として残ります。しかし1人1人のウェルビーイングを実現するためには、 こうしたデータで、データ連携や利活用にて生じる費用を合理的に低減しつつ、便益をもたらすデータ利活用を促進するというリスクベースのアプローチが デジタル社会における幸福追求権の実質化という法規範的な観点からの要請を満たす上で重要だと考えます。データの連携と利活用によってどのようにベネフィットを最大化できるかという視点を正面から据え、 幸福追求権を単なる保護の規範にとどまらず、個人のウェルビーイングの実現に直結する法規範として、データ利活用に関する議論全体を導く役割を果たす指導理念として、 考えていくべきであると、このように考えます。第2にコンプライアンスコストの合理的軽減の問題でございます。近年EUのGDPR、 一般データ保護規則を一つの単著として、域外適用を伴う強力な規制が各国に広がり、企業に対して極めて重いコンプライアンスコストを課す傾向が見られます。 しかしながら、このような過大なコスト負担は、結果として反競争的な効果を持つ可能性があるとの指摘が国際的にもなされております。 すなわち、高いコンプライアンスコストに耐えられるのは、現実には資本力や人材を有する大企業に限られ、中小企業やスタートアップの参入を困難にし、経済的集中を強める恐れがあるというものでございます。 このような状況は、イノベーションの促進という観点からも、健全な競争環境の維持という観点からも望ましいものではありません。 またこうした規制の結果として、データ利活用自体が停滞する可能性も否定できません。したがいまして、データに関するガバナンスの在り方を検討するに当たっては、ユースケースなどの解像度を高め、 リスクベースアプローチの精度を向上させることで、ソフト老なども活用しつつ、できる限り合理的で、関係するステークホルダーにとっても納得度の高いものにしていく必要があると、このように考えます。 第3に制度技術運用の統合を通じたリスクの合理的低減でございます。この点は先ほどのコンプライアンスコストの問題とも密接に関連いたします。 データですか。利活用に関する規律は、抽象的な法制度の設計のみによって達成されるものではなく、 具体的なユースケースを前提として、分野横断的に検討される必要があります。そして法制度とテクノロジーアーキテクチャを統合的に設計し、運用していく視点が不可欠であると考えます。特にデータセキュリティの分野におきましては、 法的な義務や運用上のルールに加え、暗号化やアクセス制御秘密計算といった技術的措置を適切に組み合わせることで、データ保護の実効性を高めると同時に、 純少し遵守コストの低減を図ることが可能かつ必要となると考えます。すなわち制度技術運用という三つの要素を一体として設計運用することで、 法執行及び法遵守の両面において、効率的かつ実効的なガバナンスを実現することが重要でございます。 この点は個人情報保護法の今後の在り方とも関わる論点であるとこのように認識をしております。最後に第4としてアジャイルな対応の必要性についてでございます。 近時EUにおいて、生成AIといいAI悪党を巡る混乱が起きてございますように、技術革新の速度が速い中で、 法律において全てを先見的に定めようとする戦略が適切とは言い難い領域も生じてきております。こうした領域では、むしろ国民1人1人のウェルビーイングを実現するために、先端的なテクノロジーを積極的に活用しながら、 それがもたらすこそメリットを踏まえ、制度を継続的かつ柔軟に見直していく、見直し改善していく考え方いわゆるアジャイルガバナンスの考え方が不可欠となると考えます。 全てを一度に整合的な体系として設計することを目指すのではなく、関係者間で合意可能な領域から実務的に取り組み、その過程で構造を明確化し、 段階的に制度を精緻化していくアプローチアプローチでないと、一切実効性のない制度に陥ってしまう可能性もあると考えます。例えば特定の分野のデータ利活用に当たって、 利活用が認められる資格要件を考える場合に、法律のようなハードルで全ていきなり決め切ってしまうのではなく、専門家が策定したデータガバナンスコードのようなソフトなどを用いて、 各主体が求められる行動を具体化し実現させていくなど、ハードソフト老難い構造と柔らかい構造を適切に組み合わせることにより、実効性と柔軟性の両立を図り、 全体の法体系を今求められているものに組み替え続けていく、こういった努力が求められるかと思われます。 くわえて制度技術運用の三位一体の在り方というものを不断に見直し続ける。この点でも、必ずステークホルダーを巻き巻き込みながら、アジャイルガバナンスの仕組みで対応していくことが重要であると、このように考えてございます。 今般の法案は、データ利活用の基本的枠組みを整備しつつ、具体的な運用については指針等のソフトロールを含む体系に委ねる構造となっており、 技術や社会の変化に対して、アジャイルに対応できるものと評価をしてございます。今後は本法案に基づく枠組みのもとで制度技術運用が一体となって、 この法案の仕組みが現場や実務において使い勝手のよいものとなり、国民1人1人のウェルビーイングが向上していくことを強く期待しております。私の意見は以上となります。ご清聴ありがとうございました。 はい、ありがとうございました。つぎに、石川参考人にお願いします。石川さん工認

弁護士の石川紀恵と申します。この度は意見を述べる貴重な機会をいただき、誠にありがとうございます。私は、国内外の企業等に対し、 個人情報保護法やEUのGDPRを始めとする各国の個人情報保護法について助言しております。 特にEUのデータ戦略が公表された2020、2020年からはドイツに拠点を構えて約6年活動しております。 また、この2年はですね、大学院において、EUのデータ法等を題材に日本のデータ利活用法制の在り方について研究しております。本日はお手元にお配りしている1枚の紙の記載の3点について意見を申し述べます。 まず最初に強調されるべき点はですね、IoT製品等を通じて、 膨大なデータを収集し、その分析結果に基づいてサービス提供を行う。データ駆動型社会のもとでは個人情報保護法が 従前の形式主義、事前規制から実質主義、事後規制と移行していく必要がある。 今般の改正は、それを実現するものとなっているということです。 データ処理が複雑化する中で、1人1人がプライバシーポリシーを読み、理解した上で判断するというのはあらゆる場合ということになりますとなかなか現実的ではなく、むしろ、 同意の有無に関わらず、データを取り扱う事業者において適切に個人データを取扱うことが重要となっております。 近時、同意疲れという問題も指摘されています。これは同意の負担が大きいので、同意を不要にすべき こういうことではなく、同意を原則とするのでは、権利を、実質的にはほぼできないのではないかとこういう問題意識から捉えるべきだというふうに考えております。 もちろんこのような問題意識が生まれてから、各国の法令に反映されるまでにはタイムラグがありますけれども、 欧米ではこのような考え方が何年も前から有力に提唱され、GDPRの実務のもとで採用されています。 したがって、いわゆるブリュッセル効果のもとで、GDPRを参照して作られた各国の個人情報保護法のもとでも、 同様の考え方が浸透していくことが見込まれますし、日本にとってもこれが目指すべき方向性であるというふうに考えています。 そして、データを取り扱う事業者において適切に個人データを扱う。 このことを担保するためには情報提供を行い、本人の同意を取得すれば、個人データを第三者に提供できる。このような形ではなく、個人データの扱いが きちんと適切にできるそれがもしできなければですね、課徴金と貸しそして事後的に是正する。 こういった事後規制に徐々に移行していくということが求められると考えています。 このような理由で今般の改正は本人同意に重きを置く形式主義から実質的な個人の権利利益の保護を目指すべき目指すという実施し、実質主義への移行と課徴金の導入により、 このような意向を制度的に担保するための事後規制への移行を含む点で、データ駆動型社会における適切なデータの扱いを目指すものとして、 高く評価すべきと考えております。 2点目は今回の改正は、全体として実質的な個人の権利利益の保護の実現のために検討がなされているということです。幅広いステークホルダーから意見をくみ上げた結果として、 データの利活用保護のそれぞれの観点から、前回の改正以降のニーズがおおむね適切に反映されており、 未成年者の個人情報の取り扱い個人関連情報のルール 生体データ等の取り扱いについては、世界の主要な法制の動向に合わせる形で、適切に個人の権利利益の保護が図られていると言えます。 議論のある統計作成等の特例との関係では多くの国の個人情報保護法制のもとで、データのスクレイピングや AIモデルの学習のための個人データの利用の整理が課題と成っております。 昨年11月に公表されたEUのデジタルオムニバス法案によるGDPRの改正提案においても、まさに議論がなされています。 日本の法制への示唆としては、こういった海外での議論の動向も参考にしながら、丁寧に会規則やガイドラインを策定していく必要があると考えています。 そして、もし、今般統計作成等特例が導入されれば、 これまで、GDPRを追いかけてきた日本の個人情報保護法がGDPRよりも先行してこの課題に答えを出す。この点は非常に象徴的であるというふうに考えています。 他方で、国際的に最先端であるから導入すべきと申し上げるものではございません。 現在の個人情報の保護水準の切り下げが許されるということでは決してなく、会規則やガイドラインの制定、提供先との契約等 そして公表情報のモニタリングを通じて個人の権利利益を害するおそれがないということを実効的に確保する必要があります。 このうち提供先との契約については市場原理のみに委ねた場合では、質や規律というものが十分に確保されない恐れもありますので、 そのようにならないように、官民協働して契約のフォーマットを用意する、あるいは内容を十分に検討するといったようなことが今後検討に値すると思います。 また様々な議論を議論がなされておりますが、この統計作成等の特例を特例の要件を充足できる。AIモデルの開発の場面というのは、割と限られるという理解でおります。 ただ懸念にあるような不適切な事業者が参入しないよう、所定のAI開発等の水準、これを充足している事業者がわかるようにですね、 業界としても工夫ができると良いのではないかというふうに考えております。3点目として、今後への期待を少し幅広に述べたいと思います。 まず個人情報保護法の実質主義と事後規制の移行の流れこれ自体は避けられず、 今回の改正点は、通過通過点に過ぎないように考えています。 実務では、適用開始から20年余りが経過し、経過しておりましてそもそも全体を抜本的に見直すべきといったような意見もしばしばありますし、今回導入される事後規制との関係でも 課徴金の範囲と金額の拡大団体訴訟の導入というものは引き続き論点になるべきと考えております。 この点、GDPRのもとでの制裁金は、参考資料の5ページから6ページのグラフにしてあるように、実は日本で一般に想起されるような 高額事案に限られるものではございません。また、高額の事案についても、3年から5年後にですね、 裁判等を通じて実際には90%程度の棒引きがなされるような事案も相次いでおります。 ただそれでも事後規制の抑止力としては十分に意味がありますし、加盟国ごとに当局があるということを考慮しても相当数の執行事例が積み重ねられている。 こういったことは重要であり、政府としては学会等と共同して、今回見送った理由の一つとされる。 法理論面での整理、こういったものを継続するとともに執行の経験というものを積むということが重要であると考えられます。 また、専門化の進む情報法制の分野において、消費者や市民社会がより実効的に参加できるよう、人的物的資源の支援を含め、方策を尽くすことも重要です。 そして、団体訴訟の枠組みがあれば、より実効的な被害救済に繋がりえた事案。これを都度指摘し、 積み上げていくということが重要であると考えます。最後に、 データ法制との関係でも驚異的な能力を誇る汎用AIミュトスの登場や、そのアクセス遮断により、我が国におけるAI主権の確立の必要性が突きつけられているということは指摘せざるを得ません。 この点は、AI法で対応する部分もあるかもしれませんが、AI主権を実現するために必要なデータを いかに国内で流通させ、囲い込み集積するかという観点からも、世界動向を踏まえつつ、早急に検討することが重要であると考えます。 愛知県との関係では非常に簡単なものではございますが、参考資料の11ページに、今月の6日に欧州委員会より公表された。技術主権パッケージ いや、クラウド&AIディベロップメントアクト案にあるようなデータ法を補う仕組みが検討されていることが重要です。 今般改正の対象となっているデジタル手続き法は、主に公的機関の保有するデータの価値を開放する施策であり、これ自体非常に大きな意義を有しますが、 民間事業者の保有するデータの価値を開放するとともに、いかに国内でデータを集積するか。 という問題意識を踏まえた包括的なデータ法制のぐらいのグランドデザインについても検討を本格化させることが望まれると考えます。 デザインの在り方は様々あり得るかと思いますが、どうか議論が継続し、発展するよう、立法府におかれましても引き続きご検討いただくことを期待いたします。 以上の説明が今後の議論、そして公正で豊かな社会の実現の一助となることを期待して終わりたいと思います。ありがとうございました。はい、ありがとうございました。つぎに、 5の参考人にお願いいたします。5の参考人はい。

本日は、デジタル社会の形成及び人工知能の活用等に関する特別委員会におきまして、発言の機会をいただき誠にありがとうございます。全国消費者団体連絡会事務局長の郷野でございます。 私ども全国消団連は1956年に結成された消費者団体の全国的な連絡組織です。 全国の消費者団体が連携し、消費者の権利の実現と暮らしの向上、消費者団体活動の活性化と 消費者運動の発展に寄与することを目的として活動しています。本日は、消費者の立場から個人情報保護制度の在り方について意見を申し述べます。どうぞよろしくお願いいたします。 2026年1月9日に公表された個人情報保護法制度改正方針 重要課題が存在します。本日は個人情報保護法3年見直し検討会報告書で示された論点と比較しながら、 制度設計上の問題点を整理し、今後必要となる改善法、改善方向を述べたいと思います。 まず総論として、令和8年方針と改正法案は、令和6年報告書が示したデジタル社会における個人の権利保障という基本方向から大きく後退しています。 課徴金制度、差し止め請求制度 集団的救済制度という権利保護の基盤的仕組みが弱体化または消滅し、本人同意制度や要配慮個人情報の扱いにおいても緩和が進んでいます。 AIプロファイリングに関連する現代的な権利侵害への対応も不十分であり、制度全体の実効性に強い懸念がございます。第1に、 課徴金制度の後退です。令和6年報告書では、課徴金の役割を不当利得の剥奪と位置づけ、 悪質性ではなく、利得の有無で判断するべきと明確に整理していました。 安全管理措置義務違反についても、本来投資するべきコストを回避している点で利得が生じる。ため対象としうると分析されていました。 しかし、令和8年方針と改正法案では、課徴金対象が悪質な事業者に限定され、安全管理措置義務違反は対象外となりました。 漏えいの多くはずさんな安全管理に起因するため、この交代は大規模漏えいへの抑止力を大きく弱める結果となっています。第2に、 差し止め請求制度の削除です。令和6年報告書では、不特定かつ多数の消費者の個人情報が不適正に利用される場合など 適格消費者団体による差し止め請求制度が不可欠と整理されていました。 違法なデータ利用を迅速に停止する仕組みは、被害拡大を防ぐ上で重要な役割を果たします。しかし、令和8年方針と改正法案では、制度案が完全に削除され、導入見送りの記述となっています。 これでは、現行制度で最も脆弱脆弱な領域が放置されることになります。第3に、 被害回復制度、集団的救済が消滅しています。個人情報被害の多くは少額多数であり、 被害者本人が訴訟に踏み切ることは現実的ではありません。令和6年報告書では、この点を踏まえ、集団的救済制度が不可欠であると整理されました。 しかし、令和8年方針と改正法案では、制度化の方向性が示されず、被害者が救済されない構造が続く危険があります。 第4に、データの利活用に関する本人同意の原則が弱体化しています。令和6年報告書では、同意の形骸化を防ぎ、 本人会議を強化する必要性が指摘されました。しかし、令和8年方針と改正法案では、AI開発 統計作成や権利利益を害するおそれが少ない場合など幅広い名目で同意不要例外が拡大されています。 要配慮個人情報についても同意不要とされうる点は、本人の知らないところでセンシティブ情報が扱われる危険がを高めると考えます。 第5に、漏えい通知義務の緩和です。 令和8年方針と改正法案では、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知不要となっています。漏えいの早期把握は2次被害防止の基盤であり、 通知不要範囲の広がりは、制度目的と整合しません。第6に、AIプロファイリングアルゴリズムによる 差別的取り扱いや不利益誘導に関する規制が欠落しています。令和6年報告書では、属性推定やスコアリングなどが新たな権利侵害を生むとして、 対策の必要性が整理されていましたが、令和8年方針と改正法案では、対応が限定的であり、 現代的リスクへの対策が不十分です。第7に、子供の個人情報保護の不十分さが挙げられます。 個人情報保護法3年見直し検討会ではあまり議論されず、令和6年報告書では、子供の保護について検討を進めるとまとめられ、令和7年の 個人情報保護法の制度的課題に対する考え方についてにおいては、子供の個人情報は、 最善の利益を最優先的に考慮すべきとされました。令和8年方針と改正法案では、16歳未満の個人情報について、法定代理人会議を明文化し、 最善の利益を考慮すべき責務規定を新設することを盛り込みましたが、成人年齢と対比して16歳未満を対象としたことや、 法定代理人の選定について論議が不十分ではなかったかと考えます。第8に、 要配慮個人情報の扱いが緩和されている点も問題です。本来最も慎重に保護するべき情報であるにも関わらず、AI 統計名目で同意不要扱いとされる内容となっています。差別的利用を防止する観点からも再検討が必要です。第9に、 私達に寄せられた消費者からの異議申し立てについて述べますスーパーマーケットのセルフレジに顔モニターが設置されているにも関わらず、顔データの取得有無を 利用者に尋ねても回答を拒否されたというものです。来店者がモニターの前に立つだけで顔が映り込み 目的同意とみなされうる状況に不安を感じたこと顔データは銀行口座認証などに利用される極めて機密性の高い情報であり、 一度取得されると、利用の実態が把握できないということを非常に懸念される声でした。 改正法案では、顔特徴データ等の取り扱いについての規定を設けますが、この問題は、本人同意の透明性の欠如、要配慮個人情報としての 生体情報保護の不足、AIプロファイリングへの規制欠如 差し止め請求制度の不存在など複数の制度的課題に関わっています。よって、個人情報保護法を改正するのであれば、 即時破棄の場合も含めて取得の有無を回答する義務生体情報の厳格な規律、AI利用時の説明義務、差し止め請求制度の導入などが不可欠です。 以上の通り、令和8年方針と改正法案は、個人情報保護法の目的である。個人の権利利益の保護と整合しているとは言えず、 制度の抜本的見直しが求められます。今後の改正に向けて、課徴金制度の再構築、差し止め請求制度の創設 集団的救済制度の導入、同意不要例外の厳格化よう配慮情報、子供情報の保護強化 AIプロファイリング規制の整備漏えい通知義務の強化など現代的リスクに対応した制度への転換が必要です。 個人情報保護委員会は、個人情報保護法3年見直し検討会で初めて消費者団体を論議の場に加えましたが、 最終的な改正法案の確定に向けては、消費者団体の声を求めませんでした。これからの個人情報保護法改正検討の場では 個人データ利活用の直接的な恩恵を受ける側だけではなく、必ず消費者団体の参加を位置づけ、その声を生かすことが重要であると考えます。以上です。 ありがとうございました。つぎに、黒田参考人にお願いいたします。

窪田さん工認京都大学の黒田でございます今日はこのようなご意見を聞いていただける場を設けていただきましてありがとうございます。 私はデータサイエンス研究AI開発を自分で行う研究者ではありませんが4半世紀にわたって病院主に京大病院の医療データ基盤整備に力を尽くしてまいりました。長年この仕事に携わってまいりますいろんなことを経験いたします。 例えば、ある研究所の方が京大病院の医療情報を自由に使って新しい産業を創出しますと発表をどこかでなさったんだそうです。 これを聞いた患者さんが自分の個人情報を使って企業に儲けさせるという線という電話を京都大学におかけになりましてそれがきっかけで2年かけて2次利用のデータを作るという体験をいたしました。このように、 たった一つの無邪気な発言が、データ利活用をしばらく停滞させるというのは、医療機関でデータ利活用に関わっているものは必ず体験するものです。資料1をご覧ください。 次世代法ができた直後国際医療情報学会緑色ごめんなさい2017です2017で なぜ日本は民間事業者に勝手に医療データ売るだ売り渡させるような仕組みを作ったのだ。どうせ認証を失うというふうに研究者の方々が迫られました。 私はお手元の資料の1の左スライドの左下のところにあります赤い矢印を書き加えまして、残念ながら日本というのは政府に対する信頼度が多いほど高くない国なので、政府は自分でやるよりもチェックに回った方が制度の信頼性が上がるんですよと いうご説明をして納得をしてもらったという経験をしました。欧州というルールに厳しくて、学術分野でも資料にお示ししてます通り、 学術例外の範囲を狭めて研究者にデータの安全管理義務を負わせるように改正することによりやっと日本投手がデータ交換を行う学術研究できるようになったという経緯がございます。 欧州というのは特に医療情報分野では学者と官僚の距離は極めて近い地域ですので、このとき私が説明に失敗したら何が起こったんだろうというのを非常に心躍っとする思いです。 資料の3をご覧ください。認定作成事業者L D Iの理事を私はしてございますが、こことここの立場では資料3にお示しする情報漏えい事案を経験いたしました。 次世代法では認定作成事業者が通知済み患者のデータの収集作業、医療機関から受託しているのが普通です。 ですがLDこのとき注水プログラムにバグを持ちまして約10万人分のデータを誤って抽出するという事故を起こしました。ただし、次世代医療基盤法では匿名加工情報した情報しか提供できませんので、 幸い個人情報が市町に漏えいするということはございませんでした。 とはいえ、委託先から認定事業者の個人情報の漏えいでございますので、個人情報漏えいさせたと名前を公表された医療機関の中には、こんなレピュテーションリスクがあるんであればも辞さない方がいい出したいというお話をたくさんいただきまして、内閣府の方々と一緒に日本中を飛び回るということを経験しました。 これらの経験から言えることは、病院にも患者さんにも自分に危害が及ばないように守られていると感じてもらえる。 シンプルでわかりやすい仕組みを整えることが大切だということです。ですので、私は資料4にお示ししているように、国が安全性を認めた期間だけがデータを集め、 1ヶ所で全ての利活用提案が審査されて、その結果が公表される欧州HTS型の医療情報基盤をつくるべきだと考えています。今回の交通法改正においては、 決してデータの安全性を確保する手段にならない道に頼ることをやめ、リスクベースアプローチで考えるというのは画期的なアプローチだと思います。一方で、 同意と安全装置を取り除くというのであれば、守ってもらえているというか感じてもらえる安全装置を立て付ける必要があります。 最も効果的な安全装置は違反者からあらゆるデータに触る権利を剥奪することです。これはデータを扱う者にとっては死刑宣告に等しい宣告ですから高い抑止効果が期待できます。 実際資料5に示しております通り、厚生労働省が運用してNPBでは2020年に データを目的外利用した研究者の名前を公表して、情報提供の無期限停止措置をとっています。こういった効果を最大化するためには例外なく全ての利活用を一括で審査するということが必要になります。HTSはそうなってます。例外はありません。 方向各国ではオプトアウト率がこぐ国とオプトアウト率が国民の制度に対する信頼度を表すパラメータなのだというふうに言います。 今方向各国のオプトアウト実は0.5%を切っています。次世代医療基盤法の事業者であるL D Iのオプトアウト率は0コンマ00コンマ2%です。さて、 逆に、丁寧な制度設計をすることなく理科調整の利便を優先した制度を引いたために、国民の制度を失ったという例は枚挙にいとまがございません。資料6を御覧ください。 左上にございます欧州豪州のMy Health Recordの場合、国民の10%近くがオプトアウトしました。英国NHLの事例もよく知られています。 下にありますけれども国では最近でも特定の企業にデータを提供したという疑いが飛び出しまして、もっとwith My NHスレーターみんなでオプトアウトしようと いう反対運動が起きておりまして、この6月3日にナショナルデーたガーディアンが声明を出すなど、政府は対応に追われています。データ利活用制度の整備においては、 確実に生てはことを仕損じるんです。さて、資料7の上段におさを示しているのはK0が定める今回の第30条の2第5項の条文です。 本質的に条文の意味を変えない紫の部分を取り除いて、下線部分を予約しつつ条件戻したそして外に出して残った分を繋ぎ合わせると下のようになります。 医療情報取り扱い事業者は、第三者が個人情報時計作成も目的で扱う必要がある場合、 当該個人情報を本人の同意を得ないで当該第三者に提供することができる。これだけです。下段に各校の参照関係を示しましたが、 スクレイピングを定めている柱書きは第5項を参照しています。ですが大黒帆帆子さんの他を参考して参照していませんこれ独立して存在しています。ですのでタコの影響はございません。 第6項ではこの第三者を特定個人情報受領者と名付けておりますが、データ管理に関する特段の安全管理措置が求められていませんし、受け取るデータの範囲に関する制限も設けられていません。 資料8をご覧ください。GDPRにも陶芸例外に該当する条文がございますそれがGDPR第89条です。 資料8は女医さんの同乗者役資料9が原案です。下線は私が引いています。 第89条2項では、科学調査もしくは歴史調査の目的または統計の目的で取り扱われる場合EU法または加盟国の国内法は、オプトアウトを受け付けない法律を作ってもよいと書かれています。 ただし、第1項で書かれているデータの最小化の原則の尊重が条件です。 そのレベル感は、仮名化を含むことができる目includeです。GDPR89条と改正情報の鬼頭圭が言ってる間ではこのデータの考え方に対して全く平仄がとられておりません。 一方、次世代法は、今度は資料中ですけども、中にありますようにとなる医療機関のデータを名寄して分析医療データを作るためにできました。 ある人の一生分のデータを管理する認定作成事業者は主に情報セキュリティ面の審査を毎年受けねばなりません。 同様に、仮名加工医療情報を手元に保存する事業者1型手元にデータを置かないけれども仮名加工情報に触る事業者も2型認定利用事業者として、 認定を受けることが求められています。ここで統計例外と次世代法のデータの流れを下の方にまとめてみました。 複数医療機関の医療データを繋ぎ合わせて、安全性確保のために仮名化処理を施し、AIの学習データとして適用するという三つの丸がそこにございます。ご覧いただいてわかるようにできることは全く同じです。 特定個人情報受領者は、特定作成事業者と特定利用事業者の両方の役割を果たします。 しかし、特定個人情報受領者には認定事業者に求められているような安全管理措置すら義務付けられていません。二つの法律の要素が全くとられていないわけです。平仄をとるならば大臣認定を受ける必要がございます。 最低限、特定個人情報受領際に安全管理や出力物の確認義務を法で求めておかなければ最も楽な方法が最も安全な方法ではなくなります。 そうすると、日本のデータ利活用システム全体が壊れます。ソフト老であるガイドラインで定めるべきだというご意見もあるのは理解しておりますけれども ソフト老は達成すべき目標をドローで示したときにのみ効力を発揮します。ですのでソフトウェアだけ書けばいいというものではございません。資料上1をご覧ください。 資料11は厚生労働課研木村版の資料です。この研究では中段に示しておりますように、開発中のAIを認定作成事業者に預けて、 しばらく学習した後引き上げてかごの中に残った学習のAIパラメータを、個人情報が入ってないなと確認してお渡しをするとそうすとやパラメータ統計情報ですから 認定を取らなくても明日受け取ります。このアプローチを使えば実はゲノムを対象としたAIですら手続きを取らずに作れます。 しかし一般的なAI開発では、生涯にわたるデータであったりゲノム情報や個人情報を必要とすることは稀です。名寄を必要としないのであれば、 現行情報の仮名加工情報の共同利用の枠組みを使えば十分です。資料12をご覧ください。資料12の上段にはQ&Aがありますが、統計外と今回の陶芸例会と同様に、 必要な事項を開示して共同利用の契約を結べばよいということが書かれています。仮名加工にもちろん鉄などの製品を使うことも可能でしょうし、 仮名加工そのものをAI開発企業に委託することもできます。無論、受託時には、款8項情報にしたがって安全管理措置が盛り込まれることになります。 経理以外のようにあらゆる個人情報特段の安全管理義務を課されずに受け取れるという状況にはなっていません。以上お話してまいりましたように、統計例外を導入することによって初めて実現する。 できることって実は何もないんです。全く何もありません。なのに、 こうやって特定苦情個人情報受領者というものが出来上がることによって、安全しかもそれに安全管理措置が法で義務付けられていないということであれば、現行制度よりも確実なんですが下がります。 次世代はGDPRとの平仄も取れません。そうすると十分性認定の喪失の可能性すらあります。 何よりもデータを提供してくださる国民の皆様や、データの収集提供主体である医療機関さらには共同研究開発の相手先になるべき諸外国の不信感を招きかねません。 私は病院の各責任者でございますけどもこの制度でただし、これっぽっちも思いません。怖くてできないです。結果として我が国の医療データ利活用を停滞し、 AI開発等の点でかえって諸外国に大きく後れを取ってしまう結果になるだろうということが予想されます。セーターことを仕損じるんです。 折しも、医療等情報の利活用の推進に関する検討会が内閣府で進められて、この夏に結論をまとめるべき急ピッチで進められているところです。 丁寧な議論を経て病院にも患者さんにも自分の意見が及ばないで守られていると感じてもらえる制度をつくるというのに私もいち構成員の立場で力を尽くしているところです。ですので政府や国会議員の皆様には性急に 必要のない例外なのは分けることは避けていただきたいと心からお願いを申し上げます。私の話は以上です。ありがとうございました。ありがとうございました。以上で参考人のご意見の陳述は終わりました。 これより参考人に対する質疑を行います。なお、質疑及び答弁は、着席のままで結構でございます。質疑のある方は順次ご発言願います。

若井敦子くんはい。自由民主党の若井敦子でございます参考人の皆様には専門的知見から貴重なお話を伺いました。ありがとうございました。 一昨日の委員会の質疑、また今日先生方のお話をお伺いさせていただいて、 かつて、我が国が経験をした。 鎖国から開国へという大きな歴史的転換を思い浮かべました。かつて日本は長く国を閉ざすことで、一定の秩序を維持して、 決まったわけですしかしながら、世界の産業の儀産業や技術、この情報の流れが大きく変化をする中で、 そのままでは国力を維持し、発展させていくことが厳しくなり、近代国家として新たな歩みを始めるために国を開き、 世界と繋がるという大きな決断を行ったわけであります。もちろん、 データ利活用やAIを巡る議論と、歴史上の出来事を単純に重ねることはできませんけれども、現代社会において変化する技術や社会環境に合わせて、 制度を進化させていくということの重要性という点では、どこか共通をするものがあるのではないかと感じているわけでございます。現在、 国や地方自治体、民間企業にも価値のあるデータは数多く存在しています。しかしながらそれらが組織ごと 制度ごと、分野ごと、これらに分断され、 十分に活用されないままであれば、AIという新しい技術の可能性を引き出すことは難しくなるわけでございます。私はこうした状況は、現在のデータ鎖国とも 言える状況ではないかと感じております。今、世界ではAIを巡る開発競争が急速に進んでいます。 AIの性能向上や社会課題の解決、新たな産業の創出に繋げていくためには、質の高いデータを安全かつ適切に活用できる。 環境の整備が重要であり、データを囲い込んでいるだけでは、我が国はこの大きな潮流に対応していくことが、 厳しくなると考えております。今こそ国民の権利 利益をしっかりと守ることをもちろん大前提といたしまして、必要なデータ連携と利活用を進めていくという。 データ開国の視点が求められているのではないかと思っております。さかのぼれば、10年前の2016年には、こうした変化を見据えて、議員立法により、 官民データ活用推進基本法、いわゆる管理法が制定をされました。 この法律は、デジタル技術の進展や人口減少、少子高齢化といった社会構造の変化に対応するため、官民が保有するデータの 円滑な流通と積極的な活用を通じて、国民生活の利便性向上や 新たなビジネス創出を図るという基本理念が掲げられております。しかしながら、制定から10年が経過した現在において、我が国が官民データを 有効的に活用できているか、活用できる環境を実現できているかといえば疑問に思うわけでございます。 本格的なAI時代の到来を踏まえれば、データ利活用の制度設計を 改めて見直していくことは急務であると考えております。そのような中で今回、デジタル行政推進法改正において、管理法の理念を踏まえて、 行政が保有するデータについて、一定のルールのもとで 民間事業者による利活用を可能とする仕組みを整備することは、AI時代における重要な一歩であると考えております。データは孤立をしていれば十分な価値を 発揮することができません。行政と民間、あるいは組織や分野の壁を越えて、 安全性と信頼性を確保しながら、適切に連携されることによって、AI技術の発展、新たなサービスの創出 行政の高度化、さらには、我が国の国際競争力の強化に繋がる。新たな価値が生み出されるのではないでしょうか？ だからこそ、個人情報保護法を初め、個人情報保護委員会規則やガイドライン、医療分野などの個別法制を含めた 適切な制度設計が制度整備ですね、が必要でありまた、今回の法案で新設される。 国の指針や事業計画の認定認定といった仕組みが重要な役割を果たすものだと考えております。 これらはデータ利活用を妨げるものではなく、国民のプライバシーという。基本的人権を守るとともに、データの適正な管理や 安全性の確保を図りながら、安心してデータを活用していくための信頼の基盤であると考えております。 信頼できるルールがあるからこそ、国民1人1人が新しい技術を安心して受け入れ、 社会全体としてAI時代の恩恵を享受することができるのであると考えております。データの利活用の推進という攻めの取り組みと、 個人情報保護法という守りの制度設計は、決して対立するものではなくむしろ、AI時代においてともに、 実現していかなければならないものであり、まさに車の両輪であると考えております。 この両輪をバランスよく機能させながら、信頼できるデータ流通と利活用の基盤を築いていくことは、我が国がAI時代到来において目指すべき未来ではないかと考えております。 そこでまず、稲谷参考人にお伺いをさせていただきたいと思っております。 稲谷参考人は政府のデータ利活用制度システム検討会の委員を務められ、先ほどお話を頂戴いたしましたけれども、アジャイルガバナンスの専門家で、いらっしゃるわけでございます。 かねてよりビッグデータが社会を動かすこの時代において、個人の自律的意思事前通りに 頼る法制度には限界があるとのお立場からご指摘をされておられると私は認識をしております。イノベーションのスピードが速いデジタル社会において、 いまだ硬直的な事前規制にこだわることが、我が国のデータ利活用AI産業にどれほどの ダメージをもたらすのかについて、是非この機会にお考えをお聞かせいただきたいと思います。よろしくお願いいたします。

若井敦子くんご示唆に富んだ。 お話ありがとうございました。続きまして石川さん後任にお伺いさせていただきたいと思います。 先ほど来からお話がありましたように、もう世界のデータ保護法制の動向に精通されておられる方でいらっしゃいます。今回の個人情報保護法改正案には、AI学習や 統計作成等の目的に限り、一定の事項の公表を前提といたしまして個人本人の同意を不要とする特例が盛り込まれております。 この特例措置につきましては、個人の権利や利益の侵害に繋がるものだと慎重なお立場の方々がおられるのも、 事実であります。これに対して先ほど来からお話が出ております、いわゆるG D 適切なガバナンスが前提にある。同意が不要で柔軟な利活用に グローバルな法制度の最前線に立っておられる石川さん公認のお考えをお伺いさせてください。石川さん工認 ご質問ありがとうございます。 同意に基づいて提供して、その後どうなっているのかわからないというよりも、やはり適切なデータ法がなされることを確認してガバナンス等の措置が講じられた上で、監督等すると いうこういう枠組みの方が個人の権利利益の保護が確保されるという場合がデジタル駆動型主データ駆動型社会においては多くなっているということだと思いますこの点は 規制の水準を緩めるという発想ではなく、データ駆動型社会のもとで、個人情報の保護の方法が変化したと この牛、このように思っていただくというのが良いと思います。今回の特例措置は、今後の様々なガイドライン等を通じてですね、 適切なデータガバナンスの仕組みが確保される限りにおいて、法制度の進化する方向としては十分にバランスが取れているとそして、 現在世界中で議論がされているという状況にありますので、確立された国際標準というものは、ありませんけれども、 少なくとも国際的に議論がされている幅といいますか、その中には十分に収まっているというふうに言って良いのではないかというふうに考えています。 もちろん悪質業者等が薄入り込むリスクというものはあるかもしれませんがそのあたりについては、適切な執行と 良い業者を見極めることができる業界での周知の在り方などによって対処すべき課題であるというふうに考えております。以上です。ありがとうございました。 若井さん若井さんて排除 若井敦子くんはい申し訳ございませんごめんなさい申し訳ございません号の参考人と黒田参考人にも専門的な知見からのお話を 是非お伺いさせていただきたいと思っておりましたけれども時間がなくなってしまいましたので、大変申し訳ございません。いずれにいたしましても国民の信頼を得るための努力を惜しまず、透明性を保って 丁寧な性説明を重ねることが最も重要でありますので、 国民の信頼に足る安心で是安全なデジタル社会の実現を願いまして、私からの質疑を終わらせていただきます。ありがとうございました。

岸真紀子くん立憲民主・無所属会派の岸真紀子です4人の参考人の皆さん、本当に様々な見識からのご意見大変ありがとうございました。 早速質疑に入ります。稲谷参考人に最初にお伺いいたします。 先ほど稲谷参考人はアジャイルガバナンスを見直していけばよいというようなご意見もいただいたところではあるんですが、今回の個人情報保護法改正案では、AI開発事業者を国が指定をしたり、認定したりするものではなく、 あくまでも企業と企業といったように、事業者の選定がある意味無制限と言えます。 そうその状態で悪意がなかったとしても、要配慮個人情報も含めた全ての個人情報が流出してしまった場合も考える必要があると私は考えます。 そこでお伺いするのは、AI利用のリスク評価は誰が行うべきと考えているのか企業の人 自主判断だけで十分なのかどうかといったことをお伺いいたします。井上さんはい。

岸真紀子くん。はい。ありがとうございます。こちらもですね 認定の事業者に対して、それが認められているとか例えば統計特例を使おうとしている。 AI開発事業者が国が例えば認定してたり、誰かがチェックしてればいいんですが残念ながら民間と民間同士の話し合いになってしまって、いかなる 事業者ももしかしたら契約に基づいてデータが行き渡ってしまうかもしれないという恐れがあると私は考えているところであります。 ですが、そもそもがやはりこの本人の権利利益を害するおそれのないことが前提であるというのは、それ 法律ではそうなっているんですが、なかなか見抜くことができないのではないかというところに今ちょっと疑問を感じているというのが私の考えるところです。つぎに時間がない中で次が次へと行きますが、5の参考人にお伺いをいたします。 あの時間があればまた戻っていきます今回の法改正の時、準備段階では消費者がもっと 戦いやすくていったらいいんでしょうかね。要は参考人からもお話があった差し止め請求権団体訴訟制度が検討されていたんですが、残念ながら本改正案では消えてしまっています。 差し止め請求権がないことそしてさらには課徴金が限定されていることへの懸念、先ほどもお話があったと思うんですが、 消費者と関わってる段階でもう少し具体的にお話をいただけるでしょうか？ はい。5の参考人。はい。ご質問ありがとうございます。まず、 一点目課徴金制度についてお答えいたします課徴金制度の見直しが重要である理由としましては、しましては、単に違反を罰するだけではなくて、不適切な個人情報の取り扱いによって得られる経済的利益を剥奪して違反を抑止する。 制度的基盤であるためです。まず個人情報の漏洩事故の多くは必ずしも意図的な悪質行為ではなく、 対策や人員配置を行わないことでコスト削減という利得が発生している場合があり、 その意味では経済合理性に基づく意思決定の結果とも言えます。このため課徴金制度の趣旨は、本来、悪質性の有無ではなく、違反によって、 不当に得た利益を回収することにおかれるべきと考えております。しかし改正案では課徴金の対象が悪質な事業者に限定され、安全管理措置義務違反などは対象外とされています。 この結果実際に多くの漏えいの原因となっている領域が制度の射程から外れてしまうという問題が考えられます。 その場合、企業側から見ると安全対策にコストをかけるよりも、 万一漏えいが起きても、課徴金の対象にならないのであれば、安全対策にコストをかけるよりも、失礼いたしました。慣れであれば、結果としてリスクを許容する。 誘因に入院が生じかね、生じかねず制度としての抑止効果が十分に働かないと考えます。 したがって課徴金制度は悪質性ではなく、不当利得の有無を基準として安全管理措置義務違反も含めて対象とすることで、企業のインセンティブ構造そのものを是正し、未然防止を促す仕組みとして機能させることが不可欠です。 もう一点、すみません差し止め請求制度についてですが差し止め請求制度が必要である理由は個人情報の問題が持つ特性として、被害の未然防止 が極めて重要であり事後的な救済では対応しきれないという点にあります。 まず個人情報は一度漏洩不適切利益利用がなされると、インターネット等を通じて瞬時に拡散し、回収や利用停止が実質的に不可能になる場合が多いという性質がございます。 その結果被害は長期にわたり継続し、なりすましや不利益なプロファイリングなど2次的3次的な被害を引き起こす恐れもあります。 またこうした被害は必ずしも明確な金銭的損害として現れるものばかりではなく、プライバシー侵害や不安 不審といった形で芦原現れることも多く、事後的な損害賠償によって十分に救済できないという課題がございます。 さらに個人情報の不適正利用は、特定の個人に限定されるのではなく、不特定多数の消費者に平が広がる構造を持っています。しかし個々の消費者が自ら 違法利用を認識して、事業者に対して利用停止を求めたり、訴訟を提起したりすることは、時間、費用、情報面の制約から現実 実績ではありません。このため差し止め請求制度は必要だと考えております。以上です 牧野くんありがとうございます。 つぎに黒田参考人にお伺いをします医療データの活用は重要であるものと理解をしておりますが、一方で今既に次世代、医療、 基盤法がある中で、今回の改正案ということになっています。 今回のこの個人情報改正案によって、一般の患者や国民の生活への影響を久保参考人が長らく今まで携わってきた中で、その別に 別なものがあるのに、このことによって影響がどのようになっていくかっていうところ、ちょっとわかりにくいかもしれませんが、お伺いをします。 はい。

岸真紀子くんもう1年も1本窪田さん港にお伺いします。 国民の信頼を損なわずにこのデータ利活用を進めるためには、政府とか事業者に対してどんなものを求めるべきだと考えるか、お伺いします。

岸真紀子くん つぎに、持ち戻りまして神門参考人にお伺いをします日頃から消費者相談に携わる中で海外の事業者への対応も苦慮しているのではないかと推察をします。 今回は海外のAI事業者も入ってくる可能性が高く、 海外にもしもその個人情報が万が一大地大丈夫だったらいいんですが流出することも懸念されるんですが、あの消費者を守る観点からどのようにこういったことについてお考えかお伺いをします。5の参考人はい。 お答えします消費者として最も懸念しているのは、個人情報が国内の管理から切り離され、海外でどのように利用拡散 されているかが見えにくいな、見えにくくなるという点です実際に顔データのような生体情報についても取得の有無すら事業者が明確に説明しない事例があり、 消費者は艶強い不安を抱いております。 とりわけ海外流出の場合、一度流出すれば、本人が追跡訂正削除を求めることは極めて困難です。また、AIやプロファイリングに利用されることで不利益な扱いや差別的な影響が生じる懸念もございます。 したがって消費者の立場からは、海外への個人情報の提供の有無や提供先の透明性を徹底すること 法人会員本人関与を確保できる制度へ説明、同意利用停止等を強化すること 被害が生じた場合の救済手段の整備することが不可欠であり、安心してデータ社会に参加できる環境の整備が必要だと考えます。以上です。 岸真紀子くん はい。つぎに石川さん後任にお伺いをします先ほど河野参考人にも聞いた団体訴訟の観点です。 今後への期待ということで石川さん工認からもお話があったと思うんですが、この団体訴訟の導入が今回は見送られたことについてどのようにお考えかもう少し詳しく教えていただけますか。 石川さん工認はい、ご質問ありがとうございます。やはり法理論的な整理が結構難しかったんじゃないかなというふうに私は思っています。 消費者という概念と、個人情報保護の文脈でいう個人というのは必ずしもイコールではないんですね。 消費者関係にない場合であっても個人が被害を受けるという場合がありましてここの整合性がなかなか難しい。 これは欧州でも同じような問題がありましてGDPRのもとで被害を受けた個人について、消費者保護団体が訴えの権利を持つのかと いうことですねこれがまさに争われまして最後欧州司法裁判所がある意味法律を作るような形で消費者保護団体がGDPR上の権利を 訴えていくことができるというような形で解決がなされているこういうような、結構すごく法理論的な議論のあるところなんですね。 今回はその点がなかなか難しかったのかもしれませんが次回の改正までにそのあたりの論点を整理して法理論的なところの 整理ができると、検討ができるのかなと思います。以上です。 岸真紀子くん、吉井さん新留さんありがとうございます質疑を終えます。

平戸航太くん。はい。国民民主党・新緑風会の平戸航太です。4人の参考人の皆様、それぞれの立場からご説明をいただきまして誠にありがとうございました。 私達国民民主党新しいAI開発競争を勝ち抜くためにですね、データの利活用これは推進していかなければいけないと いう基本的な考え方を持っておりますと同時にですね国民の権利利益の保護、信頼の確保 この点に関して、今疑問、懸念が残っているというふうに考えておりまして今回の法改正についてはこのバランスをどう取っていくのかというところが鍵になると 考えておりますその上で4人の参考人の皆様に質問をさせていただきます。まず稲谷参考人にお聞きいたします。 データ利活用の推進は行政の効率化、経済の成長に不可欠でありその方向性には賛成しております。 と同時にですね行政機関等が保有する要配慮個人情報を含む機微なデータを利活用する際に、AI技術の高度化により推測復元が可能となるリスクを強く懸念しております。 先ほども個人との関連性を排除したとこまで加工するというお話がございました。また一方で先ほどの冒頭の説明においてですね、法整備 法制度と技術そして運用掛け合わせて対応していくというお話その重要性を指摘されておりました。 本改正案の実装段階においてはまさにその視点が問われると考えております。特にですね弱い個人情報を扱う場合にはぺっつ。 プライバシー強化技術の導入やかメーカー匿名化といった再識別防止装置を努力義務にとどめずですね。 行政や事業者に対して義務として位置づけるべきではないかと考えております。この点についてですね国民の信頼を確保しつつ、データ利活用を進めるために、 どうするべきかというところで稲谷参考人の考えをお聞きしたいと思います。はい。

平戸航太くん。はい、ありがとうございました。法整備と テクノロジー技術として運用というものを掛け合わせた上で、どう実効性を高めていくかという議論をですねこれからも続けていきたいと思いますありがとうございます。 続きまして石川さん仁尾にお聞きしたいと思います先ほどのご説明の方でですね、データ駆動型社会においては自己規制の移行の流れは、 かけられないというご指摘がございました私も多そうなのかなというふうに感じておりますその中で、我が国がAI開発を後押しするための ルール整備これは喫緊の課題だと考えておりますし、イノベーションを阻害しない制度設計が重要であると十分理解しております。 と同時にですね他の不適切利用などを行う悪質悪質な事業者に対しては、 明確な抑止力を働かせる仕組みが必要かと思いますまさに課徴金制度がこれに当たると思います。そして、先ほどの事前のご説明の中でですね課徴金制度範囲 金額、そして団体訴訟の導入ということは今後の論点になるというふうにご説明をいただきました。 私もそうなのかなとは思っているんですが、この現時点の今の改正案の中の課徴金制度の内容について、どのように 実効性があるものなのか、それともまだまだ足りていないと石川さん後任としてどうお考えなのかということをお聞きしたいと思います。 石川さん江委員ご質問ありがとうございます。現在の課徴金制度の実行力というところについてのご質問だというふうに理解をいたしました。 まず課徴金で開始課徴金を課したときに利得を吐き出させると いうことができるということになっておりますけれどもこの利得というのは利益ではなくて実際にデータを悪用したことによる売り上げといいますか、それ自体なんですね。 ですから課徴金が課されると利得の部分 利益の部分だけが取られるということではなく売り上げ全体が取られるということになりますので事業者にとっては明らかにマイナスになるという意味で抑止力はあるというふうに考えております。 ただの範囲がどうしても狭いといったことであったりとか、欧州型の売上高基準であったりそういった重大性であったりとかそういったことを総合考慮しての 制裁金のたてつけにはなっていませんので、その点で少し諸外国と比べると見劣りがすると いうことはそれは事実なのかなというふうに思います。ただこの制裁課徴金の問題もなかなか難しくてですね。 この法的性質論というものが従前からかなり議論されてきたところであります原則はやっぱり徳の吐き出しというのが、まずは入口といったようなところがございまして、 私はですね、今回この課徴金制度が入ったこと、それ自体というのが結構この個人情報保護法における大きな一歩だと思うんですね。 なので今後更なる議論はあるんだと思うんですが、現状としては、これがベストでベストといいますか、良い結論なのかなというふうに考えております。 平戸航太くんありがとうございます私自身も買った長期の導入という点は大きな一歩だと思っておりますその点についてはさ、先週の本会議でも触れさせて いただきました引き続きですね、課徴金の在り方については私自身も考えていきたいと思いますありがとうございます。 続きまして5の参考人にお聞きします。差し止め請求制度の削除、要配慮個人情報の特例拡大によって個人の権利利益が失礼しました権利保護が 後退しかねないという点について私も危機感を抱いております仮にですね本法案が現行のまま成立するとなれば、国民の 不安を少しでも和らげ潜在的な被害を未然に防ぐための実効的な手当が不可欠かと考えております。その際に、今後策定されるガイドライン 事業者に求められるガバナンスの在り方について国会として政府に対し最低限これだけは守らせるべきという基準が あればですねご参考人のご意見をいただきたいと思います。5の参考人 はい。ご質問ありがとうございました。先ほど岸先生からのご質問のところでも5回回答させていただいたところですが、差し止め請求制度というのは、個人情報の太 不適正利用が消費者に広がる構造を持っているということと広く消費者に広がるという構造を持っているということと、事前に 未然に防ぐということが大切ということで必要だということを申し上げました。 先ほどの回答の中でちょっと不足していた部分を補足させていただきますとこの制度は被害が発生する前、あるいは拡大する前に、違法不適正なデータ利用を迅速に止める。 仕組みとして不可欠だというふうに考えております先ほど、差し止め請求権請求制度はまさにこの役割を担うところでありまして、 特に適格消費者団体が主体となって請求を行うことで、 この消費者の負担を軽減しつつ、社会全体の利益の観点から違法行為を是正するという機能を果たしている果たすことが期待されます。 しかし今回の改正案ではこの差し止め請求制度が導入されておりませんので現行制度においても、違法なデータ利用を早期に止める。 仕組みが十分に整備されているとは言えない中、この問題のあるデータ利用が長期長期間継続して被害が拡大するおそれが残されていると考えています。 したがって個人情報保護の実効性を高めるためには、被害の未然防止不特定多数への影響への対応、実効的な権利 保護という観点から差し止め請求制度の整備が不可欠であると考えております。 平戸航太くん、ありがとうございました。すいません残り時間がですねだいぶ少なくなっておりますので続いて黒田参考人におき 聞きしたいと思います。先ほどの冒頭のですねご説明の中で特例の乱発は国民のトラストを失う。 最悪の案であるという期間ですね。私も極めて重要に重く受け止めております。 データ利活用前に進めたいからこそ、国民の信頼を行えば制度そのものが立ち行かなくなり、本末転倒かと考えております黒田参考人が提唱される一元的に審査を行う。 出口制御への転換こそ、理想的な姿だと私自身も理解しております。そして まず一つ確認なんですけど、配布していただいた資料の中で、次世代医療基盤法と今回の改正案の特例 を比較した図があったかと思いますそしてその中で今回の特例において特段その変わることはないんだというご説明があったかと思いますこれはまず、 次世代医療基盤法がある医療分野においてのみ、その理解でよいかという確認がまず一つ。もう一つは、 ですね私どうしても名前が必要なAI開発っていうのが想像できないんです。昨日もですね、 個人情報保護委員会の方には聞いたんです。そして先日の委員会でも大臣が言ってたのはその名寄のために名前が必要だと言うんですけど ているんですけどその点に関する確認と、その点に解体する意見をよろしくお願いいたします。

司隆史くん、はい公明党の司隆史です。

嫁の参考人の皆さん本当にありがとうございます大変勉強に勉強させていただいております。 今回ですね、これまでも議論がありました30条の2の5統計作成の本人確認、本人同意なしの第三者提供、要配慮個人情報という点でございます。 私自身も医療情報の研究をしてきた立場もありまして、利活用を進めていきたいという思いでございますもうずっと議論になっております保護と利活用のこのバランスということに関して、 昨日も見せてもいいですかね。かなり線を引きまくりましてですね皆さんのあの資料をいっぱい読んだんですけれどもかなりあの、そのそ 参考人の皆さんが、あの俯瞰を指定してですね。どう利活用を進める。 ためにどうすればいいのかっていうのをあらゆる視点でお話をされてるなということで本当に勉強になっております。私自身その中で感じているのはですね、本人確認を不要とする。 その先にある利活用で国民の皆さんお1人お1人がその恩恵を受ける幸福の権利を受ける。 いかに説明をし伝えていくかということの重要性であるんですが、 一方で信頼を担保する技術で在り方が必要ということも感じているところなんですけれども一番入口のところの本人確認をなしにした上で、普通はですよ。 普通はまず第一歩なのでホップステップジャンプでいうと、まずホップなので、いわゆるガバナンス透明性は最低限 安心できるところからスタートしていくべきではないかと思っております。 稲谷参考人の後ろも読ませていただいたときに、最低限第三者の認証を受けるような事業者の取り組みをしっかり見ること、また先ほどありましたベッツいうようなことも入れながら、 やるべきではないかというようなお話もありまして大賛成なんですけれども、これこのまま もうホップステップジャンプまで行くとですね、どうぞどうぞ、どうぞどうぞ言ってしまうとですね。技術の担保よりも 利用する人がどうかというところに委ねてしまっている事業者の皆さんにですね、言われてしまっているということがあって、ちょっと皆さんのこの参考人の皆さんの特にすいません。名前が 山谷さん購入の視点で言うと、丁寧にやりませんかっていうふうに僕はこの文章を読んですごく伝わっております。 そういった意味で、今回のこの統計特例について、理想のあるべきステップというのはどのようにお考えでしょうか？キャッシュで、はい。

司隆史くん 利用をする統計目的として利用するという一貫の流れでいくと、開発をする事業者の目線でいけば、 もっとできてもいいんじゃないか、もっと踏み込んでもいいんじゃないか僕同じ意見なんですね。ただ、今回の要配慮個人情報が、 民間の事業者の方にも広がっていくというこのリスク、漏えいリスク含めたところの対策があればですね。国民の皆さんにも堂々と説明効果の説明安心の説明を 載せできるんじゃないかなっていうのも思うところがありまして、ここのステップを丁寧にできたらいいかなというふうに私はあの感じているところです。ありがとうございます。 続きまして、国際的な信頼というところで、石川さん購入と黒田参考人にお伺いをしたいと思っております。 GDPRヨーロッパの取り組みということで、これも読ませていただきました日本の文化とヨーロッパの文化の差があって、 日本はヨーロッパにぱっとデータ出せばあとは大丈夫でしょうと。でもヨーロッパはデータを預かった後に、いかに丁寧に扱うかっていうことのその文化の違いが すごいあるということで、読ませていただきました。今回の統計特例に対しての本人同意なしで認定がない。目的によっては、 生のデータも行ってしまうというところのそのガバナンスの在り方は、そのGDPR。としてですね。 全体の位置づけというのは齟齬はないんでしょうか？しかもそこにいかがでしょうか？石川さん工認ご質問ありがとうございます。 GDPRのもとでもまさに今議論がなされているところで、AIモデルというのが、 そもそも個人データなのか、個人データではない状態に本当になるのかといったようなところから議論がございます。 そして、日本とGDPRとの違いでいうと、いわゆるその統計の例外先ほど黒田先生の資料にあの89条の話がありましたけれども、統計の枠組みを使って 要配慮個人情報と呼ばれるような特別カテゴリーのデータを使えるんじゃないかという議論もある一方で、いやそうではないという議論もあり、まさに議論がなされていると いうそういう文脈になります。その中で日本としてはこの統計と統計特例という枠組みを使ってある意味個人の権利利益を害するおそれが ないAI開発モデルに限るということになるわけですね。ですので、そこが別に何かGDPRと そこに照らして何か全然日本のあれが違うということでは全くないと思います。 もう一つ今の御議論を聞いていて申し上げておかなければいけないなと思ったことなんですけれども そもそもですねAI開発において要配慮個人情報がいく可能性があるというのは、今も同じでありますというのは、このAI開発モデルAIのモデルの開発のために要配慮個人情報をある意味、委託に基づいて預けて開発モデルを使う。 るということはあり得るわけです現在は 委託の契約を締結して、あらゆる生データを提供することがあり得てそれに基づいてモデルが作られるこれが起こりうると今回の統計作成と例外の場面においては、 このモデルというのは、モデルから個人データが出ることはもうない状態にしなければいけないということが基本的には想定されて米まして、 そのつくるモデルのスコープというものがかなり限定がかかっているというところが大きいそして契約はもちろん締結するということになりますので現在の委託に基づくその 情報提供によるモデル開発と比較してもモデルの開発の部分の制限と契約の部分の制限と両方があると いうことで、何ら遜色のないものであるというふうに私は考えています。

司隆史くん、はい、ありがとうございます。

司隆史くん ありがとうございます。そういった面で国際的な信頼がもし損なうようなことがあれば、まさに目的としている国際競争力、AIの取り組みというものがですね、失う恐れがあるわけでございまして やっぱり慎重に議論をする必要があると思います最後に、改めて工藤参考にお伺いしたいのは、前回の委員会の質疑の中で、例えばスタートアップ 攻めに転じだなとAI開発日本で攻めていくぞということで、大きく三角押していただくべきいいぐらいのですね。 攻めた法案であるというふうに私はそれでこそあってしかるべきだと思うんですが久保参考人はとても使えないと いうことをおっしゃったわけでございます。これまでの制度の扱いもそうですし、企業課徴金の対象になるのかどうか。 どういうところが責任が問われるのかいろんなところがその不明確でこれから規則ガイドラインということもあるんですけれども、改めてそういったスタートアップ またあの企業の皆さんが本当にこの法律が通ったときに、遺産で利用するような ものになっていくべきだと思うんですがそうではないというふうにおっしゃるわけでございまして、その辺の実感ベースのところ教えていただけませんでしょうか？

司隆史くん、ありがとうございました。今手元にですね昨日、個人情報保護委員会に 提出がされました。一般社団法人日本医療情報学会、また一般社団法人日本医学学会連合の方から緊急の 意見書というものが提出されたというふうに聞いております今回の30条2-5の統計についてですけれども、今皆さんからいただきましたように、 ともかく、 今までの内容と齟齬があって医療の方については加盟かまた認定をしかるべきではないかという内容になっておりますし、またスタートアップ含めた皆さんが不安の中で、今回の特例を使えないんじゃないかと そもそもこれでしかできないことは何なのかということを突き詰めれば突き詰めるほどですね。 何のための法案かというところも感じるところでございます引き続き議論を進めてまいりたいと思います。ありがとうございました。 新実彰平くん

日本維新の会の新実彰平と申します本日は誠にありがとうございますお忙しい中お越しの先生方ですねなるべく数多く知見を賜れればというふうに思います。まず稲谷参考人に伺わせていただきます。 統計特例を念頭に置いての質問ですけれども、今おっしゃったように幸福追求権もまた同時に、個人情報の保護も追求をしつつ、小規模スタートアップ等の参入障壁も同時に下げようと思ったときにですね、 黒田さんにもご提案ですけれども例えばEUのように公のプラットフォームが匿名かメーカーを担うとかですねあるいは、実際医療基盤法のように民間の認定事業者が担うという在り方も一つの 考え方かなというふうには思うんですがいかがでしょうか？

新実彰平くん ありがとうございますこれも私あの統計特例でしかも医療機関というのを念頭に置いたので今のような質問になりましたが確かに広く見ればおっしゃる通りなのかなというふうにも思いました。 くわえて消費者裁判特例法は慰謝料請求についてはできないというたてつけになっているということですので単に情報が漏えいしただけでは残念ながら団体訴訟は有効と ならないとつまり一定の実害が生じても一定の意味を持つというふうに考えてよろしいでしょうか？石川さん工認現状はそうです。 新実彰平くんでは今の質疑踏まえて5の参考に伺わせていただきたいと思うんですけれども。 現行の消費者裁判特例法の不十分な点とか一定程度その改正が必要な点というものがもしあるというふうにお考えでしたら特にこの いわゆる情報漏えいについて対応する際にということですけれども、いかがでしょうか？5の参考に はい。今回の改正案の総論といいますか、全体としてどう評価するかというところでよろしいでしょうか？はい。個人情報保護法の基本目的である個人県 個人の権利利益の保護という観点から見ると、やっぱり権利保障の仕組みが後退しているという点が多く制度全体の実効性に強い懸念がございます。 やはり先ほどから申し上げてます通り課徴金差し止め請求、集団的救済という基盤的制度が弱められているというところを 問題だと考えております。新実彰平建 ちょっと質問ギュッと焦点絞ってもう1回ご参考に伺わせていただきますけれども、先ほど石川さん工認からあったようにまずその消費者と事業者という関係性が明確なときにしかちょっと効力を持ち得ない可能性があるというご指摘 私の方から申し上げた慰謝料請求が、残念ながら範疇に入っていないということでたとえ情報が漏えいしても一定の実害が 生じない限りなかなか団体訴訟が機能しない可能性というのも指摘をされていると思うんですがその辺踏まえて、消費者裁判特例法の改正等が必要だと思われる部分があれば教えてください。 5の参考人、はい。ご質問ありがとうございます。まず消費者と事業者の境目といいますか違いというところなんですけども やはりグレーじゃないですけれどもなかなかさ、境界線は難しいと思います。 現行法では抜け穴があるといいますか、やはり対応しきれない部分があると思いますので今回の個人情報保護 制度の改正案において、やはり消費者個人の権利利得がきちんと保障されるような担保されるような制度改正を求めるというところでございます。お答えしますでしょうか？ 新実彰平くん。はい、ありがとうございます。では黒田さんに伺わせていただきます。 あの、

新実彰平くん つまり、ChatGPT Geminiやミュトスに今から日本が張り合うということではなくって分野特化型のしかも目的特化型のAIで勝負するということを考えれば、多少のタイムラグは気にせず、安全性安心を優先すべきではないかとそういう立場ということで、

岩本麻奈くん。はい。 参政党の岩本麻奈です。今日は貴重なお話どうもありがとうございました。ちょっと時間が短く私の頭がついていかないところもありましてでも特に黒田先生のやはり 国民の信頼が一番であるっていうのがすごく刺さっております。 私はこれからのAI時代において本当に価値を持つのは、実はAIモデルそのものではなく、データそのものではないかと考えております。今、検索拡張先生や AIエージェントがどんどん発達していくとモデルの性能差というよりも、どんなデータベースに繋がっているのかの方が重要になるのではないかなと素人ながら思ってます。 そこでやはり日本にはすごい世界に誇るべき資産があって私はやっぱり医療従事者なのでやっぱり医療データだと思っております。レセプト検診データ介護データそして町高齢化社会に向けてのいろんなデータが宝のようにあるわけですね。 だからこそ私はデータ活用そのものには全然反対はしておりませんむしろ推進してこれを国民のためにただしこれは最初は絶対に国益で国交易 国民のために返したいなと思っているんですね特に医療法情報については健康に関わるものですから、そのように思っております。 そこでですね、稲谷先生と黒田黒田先生にちょっと最初にお伺いします。 ね企業がやっぱり先に走っていろいろモデルを作ったり、統計を作ったりしてしまうとですね、実際にネガティブな結果が出たときにそれを出さなくなるというか。あまり公表公表しない。そういうようなことが起こるんじゃないかなと実は思っております。 前大臣もちょっとお伺いして企業大臣は国益にはどういうふうに国の国民には戻って報酬戻ってくるんですかって私がお聞きしたら、 企業に儲けてもらってそれで税で国の国民に返すみたいなお話をちょっとあったので これって外資の場合はどうなんだろうとか思ったんですけどそもそもそのネガティブ事業なんかではやはり自分のところのものが売れたりいろいろ利用できなかったら、行けないですけどそういうときには 例えばそれを出さないとか、 だからそういうときにこれは堂々な道なんなってしまうのかということと、あと逆に、本当にそれが出てないかという監査する力っていうのが今の日本にあるのかなとか、そのあたりがちょっと心配ですので、その点についてお話ください。

岩本麻奈くん ありがとうございます。次石川先生にお伺いしたいんですけれども、欧州に長くいらっしゃるということで、やはり 性善説と性悪説みたいなこと私考えるんです文化の違いとか、宗教の違いとかいろいろあると思うんですが、やっぱりヨーロッパの方が、先ほどもいろいろいろんな面で厳しい厳しいというか、細かい日本の方ではちょっとざっくりしてると そういったベースが違うというのはあるにしてもですね課徴金の話で先生は課長、課徴金が今回整備されたことはすごく それはいいことというか、もちろんそうなんですけれども桁が違う。やっぱり2000万ユーロとかそうそう。 37億円とか、あと便売り上げの4パーとかですよね先生そういった中でやはりね日本のは、これ抑止力になる ちょっと桁が違うのかなと思うのと、あとやはり今回、外資にも間口を広げているというところで、 もうそうなるとこれは日本のはもうやりたい放題ってあれですけど大したことないと他に比べてっていうので、なんかちょっとガツガツきそうかなとか、この辺についてちょっとご意見あったらお願いします。 石川さん工認はいご質問ありがとうございます。まず欧州の方が細かくて、日本の方がざっくりしていると いうことについては、むしろ法制としては逆ではないかなというふうに思ってます。それは、 EUのGDPRというのはプリンシプルベース、原則ベースで非常にシンプルな内容になっています。他方で、日本の法律は例外を全部 個別に列挙するしかないので、そうすると30条の2に括弧が何個あるのかっていうことを見てもらえればわかるように、非常に複雑な縫製になっているというところで、 少しの違いがあるのかなというふうに思っています。課徴金の点に関してはですね、 確かに金額として2000万ユーロまたは全世界売上高の前事業年度の4%これが最高金額になっているということではあるんですがお配りした資料にも少しグラフで載せてありますように、 実際に課されている金額というのは、数千ユーロ、数万ユーロを数十万ユーロ ぐらいのものがほとんどであります。もちろんすごく厳しいものについては日本円でいうと数百億円みたいなものも 決定として出ることはあるんですが、通常はその後裁判で争われていて、まだ結論がでていないものも相当程度あります。 その意味で言うと、GDPRの制裁金見た目は非常に大きく重ねているように見えるんですけれども実務としては 今私が申し上げたような金額感のものがほとんどではありましてそうすると例えば数万ユーロとか、もうちょっとぐらいの金額で言うと、日本の 制裁金で貸したときの利得とそんなに変わらないということも十分起こりうるわけではありましてその意味では、この GDPRの最大額を大もとに議論するというのは少しちょっと大げさかなというふうに思っております。そして、会社の企業の受け止めなんですけれども 確かについ最近課徴金がある方が嫌だということはあるかもしれませんけれども日本のマーケットのことをよく知っている事業者 それは外資の事業者でも非常にレピュテーションを気にします。ですから、指導講評 これだけでも非常に甚大なダメージがあり得るわけでそういった意味でも既存の指導勧告の文脈もですね、十分に抑止力として機能しているところはあるのかなというふうに思っています。 以上です。 岩本麻奈くん。はい。ありがとうございます。つぎに黒田先生もお伺いしたいんですけれどもやはりゲノム情報、先ほども先生 1DSMだ特別な配慮が必要だとされている0なんですが、やはり本人、血縁関係だけではなく子孫とかにもいくものであり特命が非常に難しいというと一生変わらないしタスクバーどのようにいかないと この辺について今回これで進んでいってしまった場合にどういう防波堤というか懸念とか、どうでしょうか先生

岩本麻奈くん、はい。 ありがとうございます。ちょっと今度は4人の先生方皆さんにお聞きしたいんですけれども私自身は本当にAI活用とかもデータ活用にも実は賛成ではあるんですけれども これからの時代というのは、試験だけではなくやはりそのデータ視点先ほど一番最初冒頭言いましたがすごく重要になると思うんですね。であの先生方は日本が最低限守るべきデータ試験用スレーターソブリンTですかねソブリン というものは何だと考えお考えか、一言ずつお答えいただけると大変嬉しいです。うん。稲谷参考人からですね。はい稲谷さん5人 ありがとうございます井本先生ありがとうございます。データ主権として最低限守るべきものというのがですねどどこなのかというのを私はですねちょっと安全保障等の専門ではないので 明確にお答えするのが難しいところはあるのでございますけれども、ただ一般論として申し上げることができるとするのであれば、 やはり経済安全保障でありますとか安全保障に関する機微な情報といったものは当然共有の範囲から守れるというふうに考えるべきだと思いますし 海外との関係では必要な必要もないのにそういったことをですね拡散するということは当然ないというふうに考えますしまた今回の法律におきましても、 関係機関と協議の上で認可するかどうかを決めるすいません認可するかどうか決めたりとか。 あるいはその方針というものを決めるということになってございますのでそういった点についてはあの配慮がされているというふうに理解して良いんではないかというふうに思っています。すいません答えになってるかわかりませんが恐縮ですが以上になります。石川さん工認はい。ご質問ありがとうございます。 私も似たような回答になるかもしれませんけれどもやはり海外に出すことが適切ではない一定のデータというものは安全保障上あり得るんだと思うんですね。 そういったデータについてはある意味、認定の際に慎重に、いい判断をする場合によっては出さないと いったようなことは議論されてしかるべきだと思いますしそういったことができる現在のデジタル行政推進法ですね。には改正法としてはなっているかなと思います。以上です。

岩本麻奈くん。はい。お時間来ましたのでこれをまた参考に質疑を頑張っていきたいと思いますどうもありがとうございました。 大門実紀史くん、はい。

大門です本日はありがとうございますお忙しい中、もういろいろお話ありましたが、 稲谷参考人と石川参考人にその基本的なお考えたと聞きたいと思うんですけど私 消費者問題に長く関わっておりまして、経済活動と規制とか罰則とか、が 常に議論になりましてですね。いかにも対立物のように議論されて、 特に今回もそうですし消費者問題もそうなんですけど、この新経済連盟の方々は、中長期にしろ何にしろ、経済活動を萎縮させろっていうのはね、議論が来るわけですよね。 ずっとやってきて本当にそうなんだろうかっていうのをちょっと思いまして 例えばGDPRもアメリカのFTCですかね。例えば制裁金でありますよね。でも自由に自由にとか、活発な データ活動やってますよね。個人情報保護がしっかり知っている方がきちっとしてる方が、かえってですね。 この消費者の不安を払拭して、データの利活用なども進むのではないかと 決してその経済活動と、一定の消費者保護とか個人情報というのは対立するものはないんではないかというふうに思うんですよね。 それが基本に考えないと、何か対立でどっちが見てだろうと思うんですけどその基本的なお考えをお2人の参考にお聞きしたいと思います。

大門実紀史くん 今回の法案はそのバランスといいますかね、あまりにも個人情報保護の方が小穴が開いてるんじゃないかっていう議論がずっとあって 不安と懸念が質疑が続いてるんですけれども、A5の参考人に伺います。 被害回復ずっとやってきましたねこの問題ですね。消費者問題でも、これはまた当初の案 ですよね令和6年の検討会報告令和7年の3月ですかね考え方等々からすると、 だから今回ね前向きにね事務局も前向きな提案をしてやっと何か入るのかなともう少し入るのかなと思ったらですね。結局ご指摘あった通り課徴金も狭い。 あるいは差し止め請求や被害回復はもう嘘捨てられちゃうとこれもずっと見ていてさっきの話に通じるんですけれども なぜ消費者の立場のいろんな提案とかがですね、ずっといつもいつも最後になると交代させられると 私の検討会の議事録全部読みましたけれど、誰が反対して 誰が強いか、声出されてる方は見ればわかるんですけれども5-3率直に、他の消費者問題も関わるもちろん、中心になっておられて、 どうしてこの消費者の要望というのはですね、いつも交代させられるのかとどのように全体として見ておられますか。5の参考人 はい。ご質問ありがとうございます。 まずステークホルダーの中に消費者団体とか消費者という概念が今まではあまり重視されてこなかったというところがあるかと思います。 今回の検討にあたって消費者団体何団体か参画させていただきましたけれどもそれは大きな前進であったかなというふうに捉えております。ただ一方でやっぱ やはりといいますか経済優先のような構造がまだあるのかなというのはちょっと検討会に参加する中でも感じたところではございます。 先ほど、やはり課徴金とか差し止め請求につきましては詳しく述べさせていただいたんですけれども、一番大事なのは集団的主救済制度の 子供とても重要と考えておりますなぜかというとやはり個人情報被害の多くの場合が少額 多数であるというところで、個別の救済に委ねられるだけでは実効的な権利保護が実現しないという構造があると感じております。そういう意味でも集団的救済制度が是非 制度の中に設計していただければと思っているところです。 大門実紀史くん、私も課徴金だけじゃなくって、差し止め 被害回復、これ色の他の分野もそうですけどね大変大事になっているのに、一向に実現していかないと 率直に申し上げたような、ずっとやってますこれテーマみたいなものでございまして事務方が頑張ってくれてもですね、結局与党の部会ですかね。 部会で通らないと法案にならないという事務方そこのところでだけをして、なんかこうね、いつも ここだけを消費者問題が後に置かれるとつまりただ世の中には消費者問題に熱心な方もいらっしゃるし、経済界の いうようなところでいつもこういう問題でね、実現しないのかと思うんですけどそういう点では消費者団体の声をですね、もっと上げていっていただきたいと いうふうに思います。私達も頑張らなきゃと思います。コロナ先生は 私の勉強会にもちょっと顔出させてもらってアサヒのね怒りの記事も読ましてもらいましたけれども今日もいろいろやり取りしていましたが、 要するに黒田先生は今回の法案というのは、なんですかね。立法事実がないというか。 必要ないということを結局おっしゃりたいのかなと思うんですけど例えば私詳しくないんですけど医療なんかの分野もですね、 今の個人情報保護法のもとでも、仮名加工情報の共同利用等々であればですね、十分AI開発 とかで、新たなね、治療の知見とか生み出すことができるというようなことをおっしゃっております。つまり 今回のこの法改正は、少なくとも英雄の分野では、降らないというご意見でしょうか？ 黒田参考人はいおっしゃる通りだというふうに考えてます。 大門実紀史くん ありがとうございます。もう一つこの前ちょっと委員会で私申し上げたんですけれども、 AI開発に個人データ大量に活用するという点での不安というのが二つありまして一つは生の個人データがですね、不正使用されないかとか、 漏れないかとかいうことともう一つはですね、統計 とか研究に使われるだけじゃなくって、ファイリングされて分析されてAIビッグデータでそれがいろんな企業とか、 行政とかいろんなところがですね、国民の選別とか差別に使うと、 実際受けてますいろんな事件がそういう世界ですね。そういうファイリングプロファイリングのところに、使われるんじゃないかと。それが差別や 塀を生むんではないかという例えば就職のサブとありましてですね、リクナビとかですね。 採用差別、入学試験あるいはあの毛毛結婚の何か相談のそういうところに使われるとかですねプロファイリングからですね。 こういうものは実は今世界でも問題になっていてプロファイリングの使い方制限というのがですね、TPRとか、 誘致率なんかはHTSなんかは先ほどおっしゃった通り全体にあのね積極的活用ということで決して厳しい厳しいじゃないんですけど プロファイリングに関して言えば、結構注意をして、歯止めをかけなきゃって議論があったり一定のものを作ってきてると思うんですよね。 そういう点でこれすいません言いたいことはH DSのことなんでこれが参考にお聞きしますけど HTSつまりヨーロッパのヘルスデータベースですかね。において、このプロファイリングってのは今どういうふうな ちょっとノブ本で読むと制限いろいろかけてるときある見たんですけれどもし詳しくご存知でしたら教えていただけますか。

伊波洋一くん、はい。沖縄の風の伊波洋一です。今回本、今回の参考の皆さん本当にありがとうございます。

私個人情報保護に関する法律等の改正案について主に質疑をしていきたいと思います。私は今回の個人情報保護法案というのは、 保護する法律じゃなくて保護を緩める法律のような改正案であろうと思います先日、一昨日の質疑でも、 要するに統計という名のもとで次要配慮情報も含む個人情報を理解できるという仕組みで、 この理解は民間の当事者の話であって、政府は関与しないというような趣旨で説明を受けておりますので、いわゆるこれが新示すものは、 いわゆる本来ならば個人情報保護されなきゃいけない、そういうデータの問題について、理解ができる世界がそこに思われると いうことなんですよね。その目的はいつできるかっていうのはもうこれは、その買う人の予定であって必ずしもこのチェックする仕組みを、どこにもないかのような そういう仕組みなので、私の方から言ってんはとにかく、自助、多くの個人は、そういう自分に関する様々な情報が 繰り返される世界が生まれてくることに対して嫌悪感を持っていると思うんですね。持つと思うんですね。 そのことが許される状況と、実はそのEUの世界、欧州デジタル規則 頭の世界はちょっと違うんじゃないかなというふうに思いますので、せっかく専門の石川石川さん個人には、今ドイツ人もいらっしゃるということだし、 ヨーロッパのことをよく知ってると思います。お伺いさせていただきますが私の理解ではいろいろ参考人の資料3、私達のこの委員会の資料を読みまして 日本はガイドライン中心のソフト老の方で、企業の自主規制を重視していると欧州は 要件が細かくきき規定したしていて、罰金も高額の子たちになっていると そのそういう意味でまた現実にいくつもの国がありますから、対応する法令や、あるいはガイドラインも500を超えて、もうここに存在するとそういう意味ではですね、 要するにこの一般データ保護規則、GDPRが適用されているということと、それから2025年には、 いう自身がデータ保有データ法は個人データの保護を確保しながら、データ利用を促進をするということについて、 を目的に作られてきているという。そこでですねそのその一番の基本としては、 GDPRでは、個人が自分のデータを完全にコントロールできるよう、強力な法的権利を保障しているとその中身はですね、 企業が所有する個人データについて、一番目にアクセス権それから2番目に消去件3番目にデータポータビリティ件つまりそのデータがどういうものであるかを もらう権利、それから4番目にAIによる自動化されたプロファイリングを拒否する権利がなどがあると これはその事実でしょうかそしてまた、それは現に有効に動いているんでしょうか？石川さん工認ご質問ありがとうございます。 いくつか、GDPRに関するご質問をいただいたかと思いますので回答させていただきます。まずGDPRのもとで要件が細かいかということに関しては、 むしろ私はそうではないと思ってましてGDPRはプリンシプルベース、原則ベースで大きなところを書いております。 例えば、技術的な安全管理措置をどうあるべきか、AIのAIの保護措置をどうするべきかということについては法律の中身にはほとんど何も書いていなくて 前文と呼ばれるところに例示がいくつかあるといったようなことであったり、さらにその後のガイドライン等でより詳細に書かれると 言ったような形になっていますので要件が細かいということではないのかなと思います。 ガイドラインが500を超えて存在するというのはちょっと数を数えたことはないんですが確かにダンボールが確かに3箱ぐらい私のデスクの後ろにありますんで、それなりにあるんだとは思うんですけれどもただあのGDPRのガイドラインというのはですね、 論点ごとに作るんですね。日本は論点ごとに作るわけではなくて、通則編 外国の第三者提供編といった形で大きな形で作りますので、そもそもちょっとガイドラインの数で比べると、 いうことでは必ずしもないのかなと。日本のガイドラインもGDPRと遜色のないような形で実務に実務の運用に至るような内容が書かれていますしガイドラインを策定する際の パブリックコメントについては非常に丁寧な回答がなされてそれが業務実務の運営指針になっているそしてQ&Aなどもありますので、 その意味では何かガイドラインが足りないと言ってることはないのかなと思います。 プロファイリングであったり権利の話についてお話がございました。それは今おっしゃったアクセス権て政権そしてポータビリティ件でプロファイリングの権利があるそれはその通り でございます。プロファイリングの問題はですね統計作成特例の問題 とは切り離して考えるべきだというふうに私は考えています。つまり、統計作成の特例があるか否かに関わらず、プロファイリングについての問題は別途ありえましてそれは 今のを作られているAIモデルの中でもですね既にある問題ということであります。 日本の個人情報保護法は、この点については令和2年の改正において利用停止請求権というものを認めて、それによって一定の対応はなされたと いうような形で一旦解決したのかなというふうに理解はしておりますけれども、ただその後もやはりこのAIの活用が進むにつれて、よりリスクが高まっている。 個人の決定がAIによってなされることについて、もう少し言えるべきことがあるんじゃないかと 言ったようなご懸念は私もあるというふうに理解しておりまして、今後さらにプロファイリングについての議論が深まることを期待しています。以上です。 伊波洋一くんこの ヨーロッパのこの規制いわゆるそのGDPRというのは当然日本企業にも適用されているわけですね。

吉井くんそうするとですねその枠組みが今その作ろうとしているが概念あるいはその 既成概念のレベルの問題がもしヨーロッパのGDPRに足さない、そこまでいかないものになってしまって それが当たり前の慣行になってしまうと。そしたら、ここでこの企業を展開している我が国の企業が、あのヨーロッパとか世界で アメリカ例えばアメリカとかでですね、何か何らかのショー活動をしたりするときに、あの師匠になるということはあり得ませんか？石川さん工認 ご質問ありがとうございますまさにおっしゃったような点が問題になりえます。日本では規制が厳しくない、GDPRや規制が厳しいということになりますと、 日本と同じプラクティスで欧州に行く、欧州向けのビジネスをやるということになると規制に引っかかるということが起こり得ます。 ただ日本の個人情報保護法はこれまでの2回の改正を通じて欧州の水準にまで全く同じ法律ではありませんので比較はなかなか難しいんですけれども 少なくとも欧州委員会からかなり厳しい審査を受けて十分性認定というものを 勝ち取ったというのがあれなのかがちょっと表現はありますけれども、十分に十分性認定を獲得していますし、その後のレビューによってもですねそれが維持されているという現状に照らすと、ヨーロッパの水準と比較して日本の 個人情報保護法のレベルが低いといったようなことは私はないのかなと思っております。 伊波洋一くん 今日の議論でもありましたけれども、石川さんくんにも話をしておりましたが、そういう統計という手法として、そういう本人同意を取らない仕組みを作っていく。 つまりそういう道を広げていくということを今日本がやろうとしていることに対して、それは一つの方向だと。でもそれがいわゆるそのEUとかですね。 あれ、アメリカとかですね、その世界にそこはもう法律はできてますのですぐ直せば、施行される。 そうすると、そういう世界が日本で始まっていく。そうするとその日本に始まってるビジネスが、そういうところでは、まだ認められてないという状況が 結局起こってしまうという可能性はありませんか。石川さん工認理論的には起こりうるというふうに思いますけれども 何かAIをモデル開発することがEUで禁じられているということではないんですね。 これはそういうことではありませんので何か統計特例によって作ったモデルを作ることがEUの規制に直ちに違反するという。 言ったようなことは当たらないのかなというふうに私は思います。 伊波洋一くん、あの一般の全国民ですね市民税、国民の個人情報保護というのと、 そのAI開発が何か天秤にかけられてるような、あの委員会になってしまっておりまして議論はですね、でもそれはかけていいものかどうかとそもそも そ、個人情報保護を万全にししました開発をしていくという手法これは当然先ほどの黒田参考人からもあったように、 そういう道は当然あり得る。米はそれをやっているというふうに理解しているんですけども、そういう道はあると思いませんか？ 石川さん工認はい。非常に重要な問題提起だというふうに思います。 まず大前提これは絶対に私としては間違ってはいけないと思っていることはですね、今回のAI特例は、 個人の権利利益を侵害しても、それでもAI開発をしても良いというものには成っていません。個人の権利利益を害するおそれがない開発に 限られるということなので、まず天秤の議論ではないというのが大前提ですここがそもそもずれてしまうとてんびんなんだだから駄目だということになると、ちょっと議論がずれて しまうので、そこはまず大前提かなというふうに思います。 その上でですね本当にその個人の権利利益を害するおそれがないということがどのように担保されるんだということで言いますと私先ほどの黒田先生がおっしゃった安全管理措置と見舞い税ションが 担保されるんだったらあり得るんじゃないかというコメントがあったと思いますけれど、安全管理措置についてはですね、ドローで規定があります。 ハードルというのは、現在の現行の個人情報保護法上、このAI開発をする事業者は、安全管理措置義務がかかります。 その安全管理措置義務をより具体化した方が良いということであれば、それはガイドラインなり何なりに書き込んでいくべきだと思いますし日本のガイドラインは、 なければならないと書かれている規定については、法律違反として行政処分の対象になるというそういう形になっておりますので、ドローンに準じた形でですね、 かなり厳しくなっていると 他方で、見舞い税ションの御議論に関しては少し弱い面があるというのはご指摘の通りかなというふうに思います。ただ私の考えとしてはですね、 セクター別の法令と一般法令はやっぱり分けて議論をすべきだと思っていましてセクター別はセクターごとのご事情があります。それはデータの持ち方であったり、 先ほどハッシュ化の議論がありましたけども、ハッシュ化して、それを突合できるかどうなのかは、データの持ち方によってこれは異なります。 ですからセクター別の議論はもちろん、セクター別非常に重要で医療、医療関係のですねデータについてはもちろん、それは重要だと思うんですけれども だから、一般法のところをいじっていくということになりますと、それは非常に波及効果が大きいですので、そこはちょっと分けて考えるべきかなというふうに思っております。以上です。 伊波洋一くん 今回の法令はですね、一般法が本来ならば、要配慮補情報を 個人を特定させるものとは一緒にしてはならないというものだったのが、それはいいと統計を目的としていいという。 統計目的は一体どういうものかということについての概念も必ずしもないね。そういう中でですね、まさにそういうところに大きな不安と不信が生まれていると思うんですよね。 だからそのことも含めてですね私達はもうこの間先ほどからの議論であるんですけどもこれもAI開発のために必要であるということでは必ずしもないのではないかと 最後に工藤先生のお伺いしますが、やはりもっと今のその医療の立場からもね、やはりそういう今の法律のたてつけ、 のもとでは、やはり不安がある、不安が起きるんじゃないかという、私思うんですがそのことについてどう思いますか。

安野貴博くん、はいチームみらいの安野貴博でございます参考人の皆様本当に貴重なお話を 聞かせていただきまして誠にありがとうございますいくつか順番に質問させていただければと思います。まず稲谷参考人にお伺いしたいのが、 アジリティが重要であるというご指摘をいただいてたと思っておりまして制度と技術と運用の山一帯で運用していくことが重要であろうと という中においてあの近年、やはりですねAI開発かなり加速しているところもありましてこの三つの中で技術の進むスピードだけがものすごい高まっているんじゃないかという状況があると思います。 こういった状況の中でどのようにですねアジリティのか。 していくためにこの運用を進めていくべきなのかもしアイディアお考えがあればいただきたいと思います。

安野貴博くんはいありがとうございますそうしっかり意識していきながらというところ大変よく理解できました。 続きまして石川さん後任とあと黒田さん後任に是非お伺いしたいところでございまして見にいずれションのあの原則非常に重要なんじゃないかと いうお話もいただいていた中で今回の統計特例でデータの提供元と提供先のどちらにがどういうふうに責任分担するのかという問題があると考えております。 つまりですねデータの提供を行うのは提供元でが行うという今までの政府答弁を聞いていると一時的にはやはり提供元が データの提供責任を負うと いうような話もあるというふうに認識しておりますが一方で、あのデータどこまでが最小と捉えるのかみたいな話は実はデータの提供先じゃないとわからないことも多々あるのではないかと思っておりまして ここの言うべき定期データの提供のに関する責任分担みたいなものをどう考えるかお2人にお伺いしたいと思います。石川さん工認ご質問ありがとうございます。 まずこの必要最小限度の原則、欧州ではどう考えられているかというと、目的との関係で判断するということになっております。 ですから生データ氏名住所がそもそも突合することもない、必要ないという場合にそれを そのまま出してしまうと、それは必要最小限度の原則の違反ということになります。もしそれが突合に必要なんだと いうことになれば、それは提供することもできるということになりますけれど、じゃあ今度それをAIの開発モデルに入れるときに、別に氏名と住所は モデルの教育のために必要ありませんよねっていうことになると、それを入れるのは、必要最小限度のルールの違反と いうことんなりますので目的との関係で議論する必要があるということになります。で、この目的との関係で議論するというのは、 このセクター別にやっぱり事情がかなり異なるんですよね。ですから、もう常に仮名化されたもので回るようなビジネスが形成されているセクターにおいては、 いやそれは亀亀全部仮名加工すればいいじゃないですかという話になるんですけれども、ただそうではない文脈でいきますと、なかなか仮名加工が難しいと 言ったようなことがありますしか目がもしやれなくはないけれども、やろうと思っても例えば、漢字が名前とかで言うと漢字の 文字が微妙に何て言うんすかね、あの書き方が違ったりすると、ハッシュ化後のもちろん数列も全部変わりますので、 そういった意味ではそういったことができるデータの持ち方そうではない持ち方、そういったものがあったりするということになります。以上です。

安野貴博くん、ありがとうございます非常によくわかりました。その上で先ほどいただいた石川さん後任に追加でお伺いしたいのがセクターごとに決めるべきだセクターごとの事情を勘案した上で、ルール作りをしていくべきなんじゃないかというお話があったと思っておりまして 今回個人情報保護法一般法としてありそれとは別のところで例えば次世代医療基盤法であると か、あるいは生命科学医学系研究に関する倫理指針みたいなまた別のせある種セクターごとのルールみたいなものもあると思います。 が、こちらどういうふうな役割分担していくべきかっていうところももう少しだけお伺いしたくてですね。例えば今の個人情報保護法のこの議論の中において個別のセクターの事情というものを もししばれるより制約を強めるものがあるのであればそれは別にセクターごとでやればいいよねと 話なのか、いやその中でもこの部分に関してはしっかりとこのセクター固有の話かもしれないけど入れるべきものもあるよねという話なのかな。ここのもう少し抑え教えていただけますか。石川さん工認 はいご質問ありがとうございます。基本的にはセクター別の事情はセクター別でやるべきだなと思っておりますし、現在のガイドラインの 作り方としては、結構そのセクター別のガイドラインで厳しい。上乗せの内容を定めていることが多くなってます。 例えば外国にあのデータクラウドを使うことはできますけれども、機微な情報については、外国のクラウドを使うべきで は、ないであったりより慎重に判断せよといったようなことでなっているガイドラインみたいなものもございますし、 そういった意味では一般法の部分については何て言うんですかね。厳しく縛る、縛りすぎないっていうんですかね。 というような形がベストかなというふうには思っています。ただ必要最小限度の原則が完全に無視されていいということでは ないと思うんですけれどもただ、日本の個人情報保護法のそもそもの枠組みとして必要最小限度の原則っていうのは、明確にはないんですよね。 それが根本原因だっていうことであれば、それはそもそもその原則を明記しようって話なんですけれどもちょっとそれは一旦置いておくと、そもそもないんですよね。 それを前提にこの医療、医療、医療に限らずこのAI特例の文脈においてのみ、その必要最小限度の原則みたいなものを明文で書き込む。書き込むことが適切なのかっていったような議論もありますし ただ、そうは言っても、なかなかやっぱり不安が払拭できないということであれば、そこについてはガイドラインなどで 必要もないのに生データをそのまま出すようなことについては控えるべきだみたいなことをですね、しっかりと示すとそういうふうに示されるように立法府としても訴えかけていく方法というのはあるかと思っておりましてそういった形での解決もあるかなと思います。 安野貴博くん、ありがとうございます。 こちらですねもしこういった取り扱いに関する規制があると消費者としては安心できるのではないかであると とかそういったもしアイディアやるべきだと考えられることがあればお聞きしたいなと思います。はい。5の参考に。はい。質問ありがとうございます。 AIに関する規制が十分でないと考える点はデータの利用が個人にどのような影響を及ぼすか。 という観点の制度整備が不十分であったという点にあります現在AIで収集されたデータをもとに属性推定とかスコアリングを行って、その結果が広告の表示 とかサービスの提供状況条件審査などに反映されるケースが増えているということは承知しております。 こうした処理の内容は基本的には本人にとってすごく見えにくい部分で知らない間に評価であったりとか区別が行われる恐れがあると考えております。 この結果、特定の属性に基づく差別的取り扱い不利益条件の提示とかが 誘導される可能性があると考えますのでこうした改正案の中ではAIプロファイリング特有のリスクに対する規律というのが、 限定的であったためにそこをきちんと聞き規律広げて、 的ではなくて日きちんと対応していただきたいのとあとは説明責任ですとか、適切な関与の仕組みを含めたルール整備を今後のところでは検討していただきたいと思っているところです。 安野貴博くん ありがとうございます。あともう一点後の参考にお伺いしたいと思ってます今のところともちょっと関連するところではございます。 が本人同意の原則が弱体化しているんじゃないかと いうご指摘もいただいていたと思います。一方でここかなり見解もわかれていると思っておりまして、強い知識勾配のもとでその本人同意があったとしても、別に安全性って担保されないんじゃないかという意見もあると思っておるんですけどもこちらの指摘に関してはいかがお考えでしょうか？ 5の参考人、はい。 利活用の必要性自体は否定するものではございません。とりわけAI開発や統計利用において一定のデータ活用が必要であるということは理解してございます。ただ、不利益が生じる恐れがあるという点で、 どういう不要とされる。例外は真に限定的な場合に限って欲しい絞って欲しいということと少なくとも本人が関与できる仕組み 説明を求めるだとか、異議申し立てをする。 ということを確保することが必要であって、利活用と権利保護のバランスを実効的に担保する制度設計を求めたいと考えております。 安野貴博くんはいありがとうございます。 続きまして石川さん仁菜谷参考人にお伺いしたいなと思っております。 こちらもですね意見わかれているところとして今立法の必要性、特例佐藤啓特例に関する必要性として、現行のもとでも仮名加工情報の共同利用の枠組みを使うと、 ほとんどの場合、対応できるのではないかという意見もあったと承知しておりますが今回、 この統計特例をあえて設けることの意義を感じるところがあればですねこの仮名加工情報の共同利用の枠組みだと難しいという点あればし、お聞きしたいと思ってます。

安野貴博くん。はい、ありがとうございました時間ですので終わります。以上をもちまして参考人に対する質疑は終了いたしました。 参考人の皆様に一度御礼申し上げます参考人の皆様におかれましては、 長時間にわたり貴重なご意見を賜りまして誠にありがとうございました。委員会を代表して厚く御礼申し上げますありがとうございました。 本日はこれにて散会いたします。