💬インタビューレポート
個人情報担当
仕事で個人情報を扱っており、日常的に個人情報の運用・実務対応をしている立場。改正の概要は把握している。
💬主な意見
目的外利用の抑止に業務停止などが必要
“目的外利用の禁止は罰則が限定的で形骸化しやすいと感じており、規模を問わず目的外利用が認められた場合に業務停止など罰金以外の措置が必要と述べた。
取得元の開示と本人通知で緊張感を作る
“データ取得プロセスを第三者提供できる形で保存・常時開示し、特に「取得元」の開示を必須にして、公開時や利用（取得・読み込み）時に本人へ通知が届く仕組みが重要だとした。
🎤すべての会話ログ
本日は、「個人情報保護法を改正し、AI開発向けデータ利活用の促進・こども保護の強化・課徴金制度の新設を行う法案」について、ご意見を伺います。率直なお考えを、わかる範囲で大丈夫です。 この法案にどういう立場で関わっていますか。
仕事で個人情報を扱っている（企業の担当者、行政職員など）
ありがとうございます。差し支えなければ、普段のお仕事では個人情報の取り扱いにどのくらい近い立場ですか？
日常的に運用・実務対応している
承知しました。日常的に運用・実務対応されている立場だと、今回の改正の影響も具体的にイメージしやすそうですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。
概要は知っている
承知しました。では次に、今回の法改正について、全体としてどのように評価していますか。
良くない
そう感じられているのですね。 全体として「良くない」と感じた点は、どのあたりが特に引っかかっていますか。
機微情報も同意なしに開示されること。開示された機微情報を匿名でのみ扱うなどのルールもないこと
懸念点、とてもよく分かりました。 今おっしゃった「機微情報も同意なしに開示されること」について、どんな種類の機微情報（例：病歴、犯罪歴、信条など）を特に想定されていますか。
休職歴や犯罪歴、信条など転職活動において企業と人材紹介会社が特定で取り扱えない情報全般
具体例ありがとうございます。転職の文脈だと、取り扱いの影響がかなり大きい領域ですよね。 確認なのですが、いま懸念されている「同意なしで開示される」というのは、転職サービスや人材紹介会社が、求職者の休職歴・犯罪歴・信条などを、本人に知らせずに企業へ渡せてしまうイメージでしょうか。
そのパターンもあり得るし、企業側が本人から開示されてない情報をAI開発という名目をもとに情報収集できる可能性を懸念している
イメージを具体にしていただきありがとうございます。不安の焦点は「AI開発という名目で、本人が出していない情報まで集められる余地がある」という点なのですね。 補足だけすると、法案の“同意不要”の特例は「統計情報等の作成（AI開発等を含む）に“のみ”利用されることが担保される場合」に限られていて、目的外利用や、個人向けの判断（採用選考など）に使うことは想定されていません。また、提供元・提供先・内容などの公表や、書面での合意、目的外利用・再提供の禁止といった担保措置が前提になります。 この前提を踏まえたうえで伺いたいのですが、いちばん現実的に「抜け穴になりそう」と感じるのは、どの部分ですか。
統計情報の作成にのみ利用されることを「担保される場合」とあるが、AI開発も統計作成も体を装うことはいくらでもできるのではないか。表立った目的は統計でも実際にデータを扱う際に二次利用される恐れがある。禁止してたとしても出来なくない状況は作り出してることが1番の抜け穴と考える
ご懸念、よく分かりました。「制度上は“統計・AI開発だけ”でも、実務としては二次利用を装えてしまうのでは」ということですね。 その前提で伺いたいのですが、いまの担保措置（公表、書面合意、目的外利用・再提供の禁止、など）の中で、特に実効性が弱い（形骸化しやすい）と感じるのはどれですか。
目的外利用の禁止は禁止を破った場合の罰則が限定的で形骸化しやすいと考える
なるほどです。ルール自体は置かれていても、「破ったときに割に合ってしまう」と実効性が出にくい、という感覚ですね。 この法案で新設される課徴金制度については、対象が「大規模（1,000人超）で悪質な一定類型」に限られる設計です。 そのうえで伺いたいのですが、目的外利用を抑止するには、どのくらいの強さの制裁（例：課徴金の対象拡大、罰金の引上げ、業務停止に近い措置など）が必要だと感じますか。
業務停止など罰金以外の措置が必要
おっしゃる趣旨、よく分かりました。罰金だけだと「コストとして織り込まれる」可能性があり、業務停止のような非金銭的な制裁が効く、という感覚なのですね。 では確認ですが、業務停止のような措置は、どんな違反のときに発動できる設計が適切だと感じますか。
本来の目的外の利用が認められた時(人数規模は限定する必要はない。禁止は禁止なので)
ありがとうございます。規模にかかわらず「目的外利用が認められた時点で止められる仕組みが必要」というご意見、とても明確です。 次に伺いたいのですが、目的外利用が疑われる場合に、外部からそれを検知・立証できるようにするためには、事業者にどんな記録や監査対応を義務づけるのが現実的だと感じますか。
実際にデータを集めてきた時のプロセスを第三者提供できる状態で保存しておく。保存したものを常に開示しておく
ありがとうございます。運用目線で「後から追える形でプロセス証跡を残し、外部に開示できる状態にする」という発想ですね。 ここで一点だけ伺いたいのですが、その「プロセス」を開示するとしたら、具体的にはどの段階（例：取得元、取得方法、同意有無の判断根拠、加工手順、アクセスログなど）までが最低限必要だと感じますか。
誰の情報を使って統計しているかの取得元の開示は必須。(それにより同意せずとも利用された場合に本人に通知がいく仕組みもあれば、利用側の情報を取り扱う緊張感も変わるはず)
ありがとうございます。取得元を明確にして、本人にも「自分のデータが使われた」ことが分かる状態にするのが重要、ということですね。 では、その「本人に通知がいく仕組み」について伺いたいのですが、通知はどのタイミングで届く設計が現実的だと感じますか。
統計の場合は公開されたタイミング、開発に利用されたタイミング(取得した時、情報を読み込んだ時)
ありがとうございます。公開時や利用（読み込み）時に本人へ通知が届く設計が現実的、ということですね。 ここまでのお話を踏まえて次に伺いたいのですが、今回の法改正の論点の中で、あなたが特に気になっている点はどれですか。
情報漏えいが起きたときに、本人へ通知しなくてよい場合が広がること
そこが気になるのですね。 「本人へ通知しなくてよい場合が広がること」について、どんなケースだと“本来は通知してほしい”と感じますか。
次の質問に進む
承知しました。では最後に、この法案について、制度を設計する人に伝えるとしたら、どういった点を伝えたいですか。
悪用されないための監視方法など・罰則の強化・漏洩が起きた際の情報元の個々人に危害が加えられない措置を十分に検討してルールに盛り込むことを優先して設計して欲しい
ありがとうございます。運用の実態として「抜け穴を作らない監視」「抑止力のある罰則」「漏えい時に本人に実害が及ばない設計」を優先してほしい、というご要望だと理解しました。 最後に一点だけ伺います。先ほど選ばれた「漏えい時に本人へ通知しなくてよい場合が広がること」について、どういう場面だと“通知を省略されるのは困る”と感じますか。
他に言いたいことがある
承知しました。では、その「他に言いたいこと」からぜひ伺いたいです。いま追加で伝えておきたい点は何でしょうか。
インタビューを終了する
承知しました。ここまでお話しいただき、ありがとうございました。 これまでの内容をまとめ、レポートを作成します。
お時間をいただき、ありがとうございました。ここまでの会話内容をもとにレポート案を作成しました。ご確認ください。
問題を報告する