💬インタビューレポート
法務担当者
顧客の個人情報を取り扱うクラウドサービスを提供する企業の法務担当者として、顧客企業との契約交渉やデータ利用範囲の明示・整合といった実務観点から本改正を見ている。
💬主な意見
🎤すべての会話ログ
本日は、「個人情報保護法を改正し、AI開発向けデータ利活用の促進・こども保護の強化・課徴金制度の新設を行う法案」について、お考えや気になる点をうかがいます。差し支えなければ、まずこの法案にどういう立場で関わっていますか。
顧客の個人情報を取り扱うクラウドサービスを提供する企業の法務担当者
ありがとうございます。クラウドサービス提供側の法務担当として関わっていらっしゃるのですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。
概要は知っている
承知しました、概要は押さえていらっしゃるのですね。 今回の法改正について、全体としてどのように評価していますか。
どちらともいえない
「どちらともいえない」と感じていらっしゃるのですね。全体評価がそのようになるにあたって、良い面・懸念面の両方があると思うのですが、まず“良いと思う面”としては、どのあたりがプラスだと感じますか。
障壁となっていた制限が緩和され、企業によるAI開発活動が促進されることが期待される
AI開発の障壁が下がって、企業の開発活動が進む点を期待されているのですね。 その「障壁となっていた制限」というのは、実務上はどのあたり（たとえば第三者提供の同意、要配慮情報の扱い、目的外利用の縛り等）で効いていた感覚がありますか。
目的外利用の縛りが感覚として近い。BtoBサービスということもあるが、特に大企業に見られる傾向としてベンダーによる顧客データ、顧客が取得した個人情報をAI開発に使用することについて拒否したり、強い懸念を示す企業が多いため、契約交渉が難航するケースが多い。ただ、サービスを利用する側としては当然の反応ではあると思う。
目的外利用の縛りが、契約交渉の難しさとして表に出てきているのですね。BtoBで大企業ほど慎重、という肌感もよく分かります。 その「契約交渉が難航する」とき、相手企業が特に強く気にしているのはどんな点ですか。
相手企業の秘密情報（業務データ等）や、相手企業の顧客の個人情報がAI学習に使われるのではないかという点。どちらかといえば後者について強く懸念を示されることが多い。 予想として、自社の情報がAI学習に使われ、その学習されたモデルが他企業の便益につながるというところに引っかかるというのはあると思う。（個社向けのファインチューニングであればまた違った反応ではあると思う） あとは、相手企業が自社の顧客から個人情報を取得する時の同意内容（取得する目的）には当然ベンダーにおけるAI学習というのは入っていないし、汎用モデルとして学習させるのであれば個人情報の漏洩も懸念されるので、その辺りはかなりセンシティブになっている思う。世の中的にもAIが普及したことで、AIサービスによる情報の漏洩リスクというのが広く認知されてきた結果と思う。 上記のような事情以外にも理由はあるが、当社としては思ったようなデータの活用（AI開発）が進められていない。
懸念が「顧客の顧客」の個人情報に集中していて、同意取得の範囲外になりやすいことや、汎用モデル学習だと“他社の便益につながる”こと、さらに漏えいリスク認知の高まりが交渉を難しくしているのですね。 一点だけ確認させてください。今回の法案の「統計作成・AI開発目的なら、一定の担保措置のもとで同意なしの第三者提供を認める特例」がもし導入された場合でも、相手企業のその懸念は“どの程度”和らぐ見立てですか。
相手企業の契約内容（利用規約の規定など）が、改正法で許容される範囲であれば、ある程度和らぐとは考えている。なので、ベンダーとしては契約において顧客の情報の利用範囲を明示しておくことがまず重要になると思う。情報の利用の実態を契約内容と整合させることも当然必要になってくると思う。
ある程度は和らぐ見立てで、その前提として「契約で利用範囲を明示すること」と「実態を契約と整合させること」が重要、ということですね。 では、その“ある程度和らぐ”の中でも、なお相手企業側が残しそうな懸念はどんな点だと思いますか。
どこまで明示するかによると思うが、自分の予想としては、契約上でベンダーによる情報の利用の具体的な内容、詳細を全て詳にすることは現実的ではないと考えるので、「契約上は問題ないけど実態としてはどうなのか？」といった懸念は残るかもしれない。あとは、クラウドサービス自体、そのシステム構成が複雑（ユーザーが認知できない部分で細部サービスが組み込まれていたり）であったり、個人情報保護法自体も複雑（ガイドラインはあるものの、それに則って全て法的整理がつく、統一的な判断ができるというわけではない、微妙なケースは残る）
「契約上OKでも、実態はどう担保されるのか」という不信感が残りうる点と、クラウドの構成や個情法の解釈が複雑で“グレーが残る”点がハードル、ということですね。 その「実態としてはどうなのか？」という懸念に対して、顧客側が納得しやすいのは、どんな“見える化”や担保措置だと感じますか。
アメリカのSaaSでよく見られるような補足文書・ドキュメントを充実させたり、フロントに立つ営業担当者への教育（顧客にきちんと説明できるようにする）など、地道な対応が必要なのではないかと思うが、個人情報保護委員会がどこまで踏み込んで規則やガイドラインを制定してくれるかによると思う。個人的には踏み込んだ内容を期待している。
補足文書やドキュメントの充実、営業担当者がきちんと説明できる体制づくりといった「見える化」が鍵で、あわせて個人情報保護委員会の規則・ガイドラインがどこまで踏み込むかが重要、ということですね。 今回の法改正で、あなたが特に気になっている点はどれですか。
一定の条件のもとに、同意なく個人データが使われるようになること
ありがとうございます。「一定の条件のもとに、同意なく個人データが使われるようになること」が特に気になっているのですね。 その点が気になるのは、どんな背景やご経験からでしょうか。
次の質問に進む
承知しました。では最後に伺います。 この法案について、制度を設計する人に伝えるとしたら何ですか。
個人情報が不正に取り扱われる事例、事件が増えてきている中、個人情報を取り扱う側の制限を緩和することに否定的な声があるのは当然の反応だと思うし。他方、AIが急速に発展し、浸透してきている現状を見ると、あまり事業者を縛り過ぎると国際的な競争力が失われるのではないかという懸念が個人的にある。難しい判断が求められると思うが、
お話を伺うと、「不正利用が増える中で緩和に反発が出るのは自然」という感覚と、「一方で縛りすぎると国際競争力を落としかねない」という危機感の、両方を強く持っていらっしゃるのですね。 ここまででインタビューの主要な質問は一通り伺えました。これまでの内容をまとめ、レポートを作成します。
お時間をいただきありがとうございました。ここまでの内容をもとに、インタビューのレポート案を作成しました。ご確認ください。
すみません、途中で送信してしまいました。改めて伝えたいことを記載します。 個人情報が不正に取り扱われる事例、事件が増えてきている中、個人情報を取り扱う側の制限を緩和することに否定的な声があるのは当然の反応だと思うし、個人的にも抜け穴だらけの法改正になってしまうと怖いと思う。他方、AIが急速に発展し、浸透してきている現状を見ると、あまり事業者を縛り過ぎると国際的な競争力が失われるのではないかという懸念が個人的にある。難しい判断が求められると思うが、多様な立場の声を丁寧にヒアリングしつつ、萎縮せずに、現実的な落とし所を見つけてほしいと思う。
追記ありがとうございます。いただいた内容も反映したレポート案です。ご確認をお願いします。
問題を報告する