💬インタビューレポート

本日は「個人情報の使い方にルールを追加し、悪質な違反には課徴金を科せるようにする法案」について、感じていることや懸念点を丁寧に伺いたいと思います。差し支えない範囲で結構ですので、まずお立場を教えてください。 この法案にどういう立場で関わっていますか。

ありがとうございます。AI開発・データ分析の立場から関わっていらっしゃるのですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。

承知しました。前提をそろえるために、ポイントだけ簡単にまとめると、①AI開発や統計目的なら一定条件のもとで本人同意なしにデータ提供が可能になる、②16歳未満は保護者同意や利用停止請求の仕組みを新設、③顔データは利用目的の公表や利用停止請求を可能に、④悪質で大規模（被害者1,000人超など）の違反には課徴金、という改正です。 この法改正について、全体としてどのように評価していますか。

ありがとうございます。「どちらともいえない」と感じていらっしゃるのですね。 現時点で、評価が決めきれない要因になっている点はどのあたりですか。

ご懸念が2つあるのですね。特に顔データは「特定性が高い」「ベクトルが複製できる」「気づかれにくい形で認証に転用されうる」という点で、法的な整理がもっと必要だという問題意識、と理解しました。 その「誰にもバレずに認証されうる」と感じるのは、どんな利用場面を想像されていますか。

なるほど、スマホカメラや監視カメラを起点に、本人の知らないところで特定・追跡につながる場面を想像されているのですね。 その場合、あなたが特に問題だと感じるのは「顔データを集めること」そのものですか、それとも「集めた顔データを別目的（追跡など）に使えること」のほうですか。

おっしゃる通りで、「AI開発には必要性がある」一方で、取り扱いのルールや技術的な担保が弱いと転用リスクが残る、というバランスの問題意識ですね。 ここで伺いたいのですが、顔データのルールについて、法案の方向性（利用目的の公表＋本人が理由を問わず利用停止を求められる）に“追加するとしたら”どんな仕組みが必要だと感じますか。

ありがとうございます。「現時点で確答は難しく、海外動向を見ながらアップデート前提で設計すべき」というスタンスなのですね。 その“アップデート前提の法案”にする場合、どのくらいの頻度で見直せる形だと現実的だと感じますか。

なるほど、技術の進展スピードと、社会・政治の理解の追いつき方次第で、固定の頻度は決めにくいということですね。 では、頻度を固定しない代わりに、「どういう状況になったら見直しを発動するか」という“トリガー条件”を置くとしたら、どんな条件があるとよいと思いますか。

了解しました。「トリガーを決めて待つのではなく、随時見直す」運用が現実的、というお考えなのですね。 その“随時見直す”を制度として担保するなら、見直しを主導するのはどの主体（例：個人情報保護委員会、国会、業界団体＋第三者委員会など）がよいと感じますか。

ありがとうございます。「今は主導できる組織が定まらないが、AIを理解して影響・危険度を判断できるなら主体はどこでもよい」という感覚なのですね。 その“AIの理解が高く、影響や危険を判断できる”主体だと信頼できる条件は、どんな要素だと思いますか。

承知しました。「AIを理解していて、解像度が高いこと」が信頼の条件なのですね。 その“解像度が高い”というのは、具体的にどんな能力や知識を指していますか。

ありがとうございます。仕組みの理解だけでなく、日常的な利用を通じて「活用」と「悪用」の両方を具体的に見立てられることが解像度、ということですね。 その「悪用ができる」と判断されるパターンとして、顔データに関しては具体的にどんな悪用を想定していますか。

なるほど、「本人の知らないところで使われる」うえに、「使われた事実を本人側が客観的に立証しにくい」という非対称性が一番の問題、ということですね。 この“証明できない”問題を減らすために、事業者側に最低限求めるとしたら、どんな記録（ログ）や証跡を残すのがよいと思いますか。

ありがとうございます。「ログや証跡で解決しようとしても、実務的には難しい／世界的に同じ課題なので注視」という感覚なのですね。 では確認ですが、今回の法案にある「顔データを扱う事業者は、その事実と利用目的を公表する」「本人は理由を問わず利用停止を求められる」という枠組み自体は、今の時点ではどの程度有効だと感じますか。

ご意見ありがとうございます。国内事業者だけに効くルールだと、海外事業者や越境利用が絡むと実効性が弱い、という懸念なのですね。 「国内サーバーにデータ保存を必須にする」案についてですが、どのデータ（例：生の顔画像、顔特徴ベクトル、照合用テンプレート等）まで国内保存の対象にすべきだとお考えですか。

ありがとうございます。顔画像とベクトルデータは国内保存の対象にして、テンプレート生成などのロジック自体は問わない、という整理なのですね。 その「国内サーバー保存を必須」にした場合、現実的に一番ハードルが高くなりそうなのはどの部分だと感じますか。

なるほど、利用者体験への影響は小さく、主に事業者側のアーキテクチャ設計の問題として吸収できる、という見立てなのですね。 では次に、もう一つ挙げてくださっていた論点で伺いたいのですが、「被害者数（1,000人超など）で課徴金の対象が決まる」点について、どんな形でリスクがあると感じていますか。

なるほど、課徴金の適用基準が「被害者1,000人超」だと、①国内では“1000人以内に抑える”インセンティブが働き得る、②一方で適用されにくい海外サービスが選ばれて国内の競争力が落ちる、という懸念なのですね。 この「1000人以内の事業者が増える」というのは、具体的に事業者がどんな意思決定（例：提供地域を絞る、機能提供を止める、ユーザー数の上限を設ける等）をすると想像されていますか。

ありがとうございます。「許容範囲のリスクに収まる規模・やり方でビジネスをする事業者が出てくる」というご懸念なのですね。 その場合、事業者が“許容範囲に収める”ために取りそうだと感じる行動は、どんなものですか。

承知しました。無理に伺いません。 この「被害者1,000人超などの大規模な違反に限って課徴金」という設計について、もし制度を設計する側に伝えるなら、どんな方向に直してほしいと感じますか。

ありがとうございます。課徴金の“人数しきい値”よりも、まず「守るべきデータ取扱いルール」を明確にして、そこに違反した事業者を悪質と扱えるようにする、という方向性ですね。同時に、ルールが重すぎると海外勢が有利になるので、特にデータの取り扱い（統制ポイント）に重点を置くべき、というお考えだと理解しました。 最後に確認させてください。この法案について、制度を設計する人に一つだけ伝えるとしたら何ですか。

ありがとうございます。「保存と活用の両立」を軸に、縛りすぎず、でも実効性のある線引きをできる人が立法に関わってほしい、というご要望なのですね。 ここまでで一通り重要な論点は伺えたので、これまでの内容をまとめ、レポートを作成します。

お時間をいただき、ありがとうございました。伺った内容をもとにレポート案をまとめました。内容に抜け漏れやニュアンス違いがないか、ご確認ください。