森亮二の発言 （地域活性化・こども政策・デジタル社会形成に関する特別委員会）

○森参考人　弁護士の森でございます。
　本日は、お招きいただきましてありがとうございました。
　私は、個人情報保護法の改正法案の方について御説明をさせていただきます。
　課題と留意点というタイトルになっておりますが、まず、改正法案全体の評価ということでございますけれども、本改正は、保護と利活用双方にわたる多くの新しい制度を導入する大改正でございます。これまで懸案となっていた課徴金、それから生体情報の保護等を盛り込んだ点で、高く評価できると考えます。
　もっとも、本改正には課題や留意点も多く存在いたしまして、これらについては、下位法令やガイドラインによって手当てをし、又は今後の立法的課題として認識されるべきものであろうかと思います。
　まず最初に、統計等の特例についてお話をいたします。
　次のスライドですけれども、本改正の目玉として、統計等の特例、利活用の条項が入っておりますが、現行法では、目的外利用をする、要配慮個人情報を取得する、第三者提供をするといった場合に、いずれも本人の同意が必要となっております。これについて、統計やそれと同視できるようなＡＩ開発に利用されることが決まっている場合には、これらの同意を不要とする、そのような提案でございます。
　そして、この適用の対象となる統計作成等の行為は、安全なものとして委員会規則で定めるものに限るということになっております。
　さらに、特例の適用の条件として一定のガバナンスについても規定されておりまして、プレーヤーが一定事項を公表すること、それから、収集したデータの目的外利用、第三者提供を禁止するということになっております。
　次のスライドは条文の御紹介ですけれども、統計作成とはと赤いところになっておりまして、これこれの行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものをいうとなっておりますので、要は、この規則が重要、規則をどういうふうにするかということが重要であるということです。
　そんなことでお話をしていきますけれども、おめくりいただきますと、統計作成等の内容、まず統計の方でございますが、これは、公的統計と同程度の安全性があるもの、再識別が不能であるものにすべきではないかと考えます。
　次に、ＡＩ開発の方ですけれども、ここで御注意をいただきたいのは、基盤モデルの学習プロセスというのは匿名化のプロセスではないということでございます。学習用データが個人情報の場合、これを学習させると、モデルの方は個人情報で自動的にはなくなる、そのようなものではないということに御注意をいただきたいと思います。
　したがいまして、統計と同等の安全性を確保する、そのためには学習用データ自体の匿名化が必要でございます。具体的には、提供の場合、提供して、統計等作成者が、モデルの開発者が受ける場合には、提供元での適切な匿名化、取得の場合には取得直後の適切な匿名化が必要ではないでしょうか。
　もちろん、匿名化ということになりますと、手間はかかるわけですけれども、手間よりも安全性の方が重要ではないかと思いますし、また、手間をかけずにやる方法というのもあるのではないかと思っております。
　次のスライドでございますが、特例適用の際のガバナンスのことでございますが、一定の事項を公表させる、それから目的外利用、第三者提供を禁止するということだけで十分かということについては疑問がございます。
　特に、義務を課すということなんですけれども、義務だけあってもこれは駄目でございまして、やはり義務を守れるリソース、能力、そういったものがなければいけない、そういうもののある事業者にやっていただきたいということです。誰でも手を挙げることができるのは危険ということでございます。
　そのような観点から、委員会規則で定める公表事項は、その公表事項から、統計を作成する、ＡＩを開発する人のガバナンスが推測できるような工夫がなされるべきでありまして、例えば、統計等作成者の組織体制、それから統計等作成に係る内部ルール、知見を有する人員がどうなっているか、また統計の安全性、秘匿処理とかそういったことに関する事項、こういったものを広く公表してもらうのがいいのではないかと思います。
　次のスライドですけれども、そして、そのような広い公表を前提といたしまして、提供元、その人にそのデータを提供する人は、それらの情報を見た上で、統計等作成者として適切なガバナンスを有していると合理的に判断できる場合に初めてデータ提供をする、そのような義務づけをすべきではないかと思います。ああ、この人は間違いない人だなというふうに公表事項から判断できれば提供してよい、そうでなければ提供してはいけませんよとしていただくのがいいのではないかと思っております。
　また、提供元のガバナンスとして、提供に先立って、本人にオプトアウトの機会を提供するということが考えられます。特に要配慮個人情報の提供については、これは受容性も余り高くないということが考えられますので、オプトアウトの機会提供を義務とすべきではないかと思います。
　次のスライドですけれども、若干違うお話になるわけでございますが、統計等の特例につきましては、集団的なプライバシーということを考える必要があるのではないかと思っております。この特例によって様々な統計を作ることができる、有用な情報を作ることができると思いますけれども、その結果として、特定の属性とネガティブな結果を結びつける推論も多数生成される可能性があります。
　例えば、一番、深夜にコンビニを利用する、二番、特定のサイトを毎日閲覧する、三番、週三日以上、深夜二時以降に飲酒する人は支払い遅延率が高いということですね。このようなもの、このような推論、これはでたらめですけれども、私は大体これに当てはまっておりますが、住宅ローンをちゃんと契約どおりお支払いしておりますけれども、こういうもの。
　このような、顕著とは言えず、本人にも自覚されにくい行動特性、属性を有する人を多少なりとも差別的、不利益に扱うことは、結果的には大きな権利利益の侵害につながる、そのおそれがあるということでございます。
　したがいまして、本特例により作成した統計結果を個人に当てはめることは禁止すべきではないかと思います。
　実のところ、おめくりいただきまして、このような一定の統計的な推論を個人に当てはめる、これは日常的に行われていることでございます。例えば、三十代の未婚女性で料理に関する動画をよく見る人は旅行好きという、そのような統計的推論がありますと、この当てはめる人に対して旅行の広告を出す、これは普通に行われていることでございます。
　しかしながら、本特例によって本人の同意なく収集される膨大なデータに基づいてＡＩが作り出す様々な推論については、やはり本人の不利益になり得るものも多く含まれるおそれがあります。その結果として、複数の属性、特性から成る非伝統的な被差別的集団を大量につくり出す可能性がございます。
　他方で、現行法は不利益プロファイリング、差別的プロファイリングに対する規制が十分ではなく、また、それについての議論も十分とは言えません。このような状況の下では、一旦、本特例による推論の個人への当てはめを禁止しておくことに合理性があるのではないかと思います。
　次に、連絡可能個人関連情報についてお話をいたします。
　個人関連情報、これは、個人情報ではないわけですけれども、代表選手はクッキーにひもづくウェブの閲覧履歴、そのようなものをイメージしていただけばいいかと思います。これは大量に収集されまして、その人はどんなものを買いそうかという広告に利用されているわけですけれども、どんなものを買いそうかではなくて、もっと悪用されてしまうケースというのが出てきております。
　例えば、我が国ではリクナビ事件、これは内定辞退率のプロファイリングをした事件ですけれども、米国ではケンブリッジ・アナリティカ事件、これはマインドハッキングに対する脆弱性のプロファイリングをした事件ですけれども、このような悪用された大きな事件がありまして、個人関連情報は、現行法では個人情報ではないものと整理をされておりまして、第三者提供されて個人情報になるという場面で初めて制限がかかるということになっておりました。つまり、悪用への対処はなされていなかったということですね。
　そこで、今般この改正で、悪用される可能性がある場合、つまり、本人に連絡可能である場合について、新たに適正利用義務それから適正取得義務を課そうとする、誠にごもっともな提案であるわけでございます。
　おめくりいただきまして、これは現行法の義務のまとめですけれども、この五番のところに個人関連情報に関する義務がありまして、第三者提供の一定の制限があったわけで、これだけだったわけですけれども、今回の提案で、この１の利用目的の三ポツの適正利用、２の適正取得の一ポツの不適正な手段で取得しない、これをかけていこうということでございます。
　次のスライドは、ちょっと、条文の紹介ですけれども、省略をさせていただきまして、次も省略をさせていただきまして、十八枚目ですけれども、では、この個人関連情報のうち連絡可能なものということですけれども、例えば郵便が配達可能な住所、何丁目何番地何号が含まれるものが連絡可能個人関連情報とされておりますが、そもそも、このような何丁目何番地何号というのは、これは個人関連情報ではなく個人情報ではないでしょうかという疑問があります。
　実のところ、これまで、このような住所も電話番号もメールアドレスもクッキーも、それ自体個人情報ではないというふうに整理されてきておりますが、これが果たして現代社会の状況に合致しているかということは大きな問題です。
　このようなものは個人関連情報ではなく個人情報として整理した上で、適正利用義務、適正取得義務以外の個人情報に関する義務、例えば漏えいしないような措置をするとか、そういったものを課していくことが喫緊の立法的課題ではないかと思います。また、諸外国も多くの国でそのようになっております。こういった連絡可能個人情報は、個人情報として整理して、規制の対象にするということになっております。
　次に、課徴金についてお話をいたします。
　課徴金の導入は長らく懸案の課題でございまして、本法の令和二年改正のときにも、参議院の附帯決議で引き続き検討を行うこととされておりました。これを実現した本改正は高く評価されるべきものでありますが、他方で以下のような問題がございます。
　まず、対象の範囲が狭過ぎるということですね。義務の範囲ですけれども、特に、要配慮個人情報の取得制限、それから目的外利用を対象外にするのは問題ではないでしょうか。これらの違反につきましては、重大な権利利益の侵害ということが生じる可能性のあるパターンです。
　それから、おめくりいただきまして、ちょっと前半は省略いたしますが、後半の算定方法。これが違法行為によって得られた額となっているため、課徴金に本来期待される抑止力がないのではないかということでございます。ちょっと、これは利益と書いてしまいましたが、正確には額です、得られた額。仮に違法行為が発覚しても、課徴金を課せられたとしても、得られた額を吐き出せば済むということであれば、これはやはり違法行為を思いとどまる効果というのは低いと言わざるを得ないと思います。
　特に、違法行為を防ぐ、権利利益の侵害を防ぐという観点からもこれは重要なんですけれども、同時に、違法行為で収益を上げようとするブラックな事業者と、行為の適法性に留意して事業展開を行う真っ当な事業者の間の公正競争という観点からも問題ではないかと思います。
　最後に、団体訴訟についてお話をさせていただきます。
　団体訴訟、今回の見直しについては見送ることとなりました。
　しかしながら、今回の見直しの検討をいたしました検討会の報告書では、以下のように書かれていたわけでございます。委員会の体制面や人的資源、委員会は個人情報保護委員会ですね、体制面や人的資源にも限界はあり、必ずしも全ての違反行為に迅速かつ網羅的に対応できるとは限らない、こうした限界を踏まえると、より確実に救済を受けられる環境を整える、救済を受ける手段を多様化することが重要であると考えられるということでございます。
　ここに書かれていますように、救済手段の多様化、確実に救済を受けられる環境を整えていくことは非常に重要なことは言うまでもないことでございますので、団体訴訟の導入は立法的課題であるということが改めて確認されるべきではないかと思います。
　私の話は以上です。御清聴ありがとうございました。（拍手）