インタビューレポート

AI開発・データ分析の仕事や研究に関わっている

自分の個人データがどう使われるか気になる一般の立場

概要は知っている

どちらともいえない

AI活用などに関しては今後の事業発展にも影響があり、良いと思っている。一方で統計作成のためだけに本当に利用されるのか、第三者に提供される場合、そのまま生データで送られてしまうことで、悪用されることはないのか、などが気になっている。

第三者提供で生データが渡って悪用されること

たとえば、病歴、服薬履歴、メンタルヘルス相談履歴、位置情報、購買履歴、検索履歴、政治・宗教的関心などのデータが、統計作成目的として第三者に提供された後、十分に仮名化・匿名化されないまま扱われると、個人の再識別や目的外利用につながるおそれがあると考えています。 具体的には、医療・健康情報が保険加入、保険料、与信、採用、配置、昇進などの判断に使われること、政治的・宗教的傾向や思想信条に関する情報が広告配信、勧誘、監視、差別的取扱いに使われること、位置情報や行動履歴が個人の生活パターンの把握、ストーカー的利用、詐欺・営業リスト作成に使われることを懸念しています。 また、提供先企業の内部でアクセス権限が広すぎたり、さらに委託先・再委託先に渡ったり、AIモデルの学習に使われた結果として元データに近い情報が再出力されたりする場合、本人はその利用実態を知ることが難しいと思います。外部に統計結果だけが出る場合でも、内部で個人単位のデータがどう扱われたかは見えにくいため、悪用や漏えいが発覚しにくい点も不安です。

データの出どころとしては、医療機関、薬局、健保、健康アプリ、メンタルヘルス相談、教育サービス、位置情報アプリ、EC・決済・検索・SNSなどを想定しています。 提供先としては、AI開発会社、データ分析会社、広告会社、保険会社、金融・与信関連企業、人材・採用関連企業、製薬会社、調査会社などです。 こうした提供先が別のデータと突合できる場合、統計目的と言いながら個人の健康状態、生活パターン、思想信条、経済状況などを推測し、広告、勧誘、保険、採用、与信、価格差別などに使われるのではないかと不安です。

一定の条件のもとに、同意なく個人データが使われるようになること

背景としては、今回の制度では、本人同意を不要にする代わりの細かいルールがまだ十分に見えていないことがあります。特に、提供時の仮名化・匿名化、データ最小化、提供履歴の確認、個人情報保護委員会への届出、第三者監査、アクセスログ保存、AI学習後の再出力防止などが、どこまで義務づけられるのか不明確だと感じています。 また、現在は企業やサービスが持つデータ量が非常に多く、医療情報、位置情報、購買履歴、検索履歴、SNS上の情報などを突合すれば、統計目的であっても個人の属性や生活実態が推測される可能性があります。本人に個別通知がなく、公表中心の仕組みだと、自分のデータがどこでどう使われたかを把握しにくい点も不安です。 目的外利用や社内での不適切利用は、外部に統計結果だけが出る場合には発覚しにくいと思います。過去にも情報漏えいや委託先管理の不備、名簿流出のような問題は起きており、制度は善意の事業者だけでなく、悪用・ミス・内部不正が起きる前提で設計してほしいと考えています。

データ利活用やAI開発の必要性は理解しており、法改正の方向性すべてに反対ではありません。 ただ、本人同意なしで個人情報を第三者提供できるようにするなら、その代替となる安全策を明確に義務づけてほしいです。具体的には、提供時の仮名化・匿名化・データ最小化、提供元・提供先・データ類型・保存期間・AI学習利用の有無の公表、個人情報保護委員会への届出と一覧公開、本人が提供履歴を確認できる仕組み、アクセスログ保存や第三者監査を求めます。 統計作成等目的とされていても、社内での目的外利用や他データとの突合による再識別は外から見えにくいです。制度は事業者の善意だけでなく、悪用や内部不正も前提に設計してほしいです。

AI開発などのデータ活用には前向きだが、本人同意なしで第三者提供される場合、生データまたは生データに近い形で渡り、再識別・目的外利用・悪用につながることが不安。仮名化・匿名化、データ最小化、届出・一覧公開、本人による提供履歴確認、ログ保存、監査などの安全策を明確に義務化してほしい。 という感じでしょうか

同意なしで第三者に生データ、または生データに近いデータが渡り得ると に書き換えてください