💬インタビューレポート

本日は、「個人情報保護法を改正し、AI開発向けデータ利活用の促進・こども保護の強化・課徴金制度の新設を行う法案」について、ご意見を伺います。率直なお考えをぜひお聞かせください。 この法案にどういう立場で関わっていますか。

ありがとうございます。ご自身の個人データの使われ方が気になる立場なのですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。

ありがとうございます。概要はご存知なのですね。 今回の法改正について、全体としてどのように評価していますか。

受け止めとしては「どちらかといえば良くない」なのですね。 今回の法改正で、あなたが特に気になっている点はどれですか。

ありがとうございます。一定の条件のもとで「同意なく個人データが使われるようになること」が特に気になっているのですね。 その点が気になるのは、どのような背景やきっかけからですか。

抵抗感がかなり強いのですね。「同意なく、自分以外の人が個人が特定できる情報を使う」という点に、感覚的にも受け入れにくさがあるのだと理解しました。 ここで確認なのですが、あなたが特に引っかかっている「同意なく使われる情報」は、どんな種類の個人データを想像していますか。

病歴や職歴のような、かなりセンシティブな情報を想像されているのですね。 補足すると、この法案の「統計作成・AI開発目的の特例」では、病歴などの要配慮個人情報については「ネット上などで公開されているもの」を取得する場合に限って、一定条件のもとで同意不要になり得る、という整理です（誰かが保有している病院の診療データを同意なしで集めてよい、という話ではありません）。 この点を踏まえたうえで、公開情報であっても病歴のような情報が同意なしに集められてAI開発等に使われることについて、どんな点が特に心配ですか。

おっしゃるとおりで、「公開＝誰でも好きに再利用してよい」ではなく、本人には公開した文脈や意図がある、という感覚なのですね。 その前提で伺いたいのですが、もしこの法案で「公開されている要配慮個人情報を取得して統計・AI開発に使う」ことを認めるなら、どんな条件が最低限必要だと感じますか。

問題意識として、「要配慮個人情報まで取って何をしたいのか」「個人を特定しない形では代替できないのか」をまず明らかにしてほしい、ということですね。 では、その“やりたいこと（AI開発・統計作成の目的）”について、どの程度まで具体的に公表されるべきだと思いますか。

おっしゃる通り、個人の権利に関わる以上「できる限り具体的に公表して、国民の理解を得るべき」というスタンスなのですね。 この法案について、制度を設計する人に伝えるとしたら、どういう形での公表や説明を義務として入れてほしいですか。

強い抵抗感があるのですね。「知らず知らずに進められている」こと自体が、プライバシー権に関わる話として納得しづらい、ということだと受け止めました。 ここで一点だけ伺いたいのですが、もし制度側が「個人を特定しない形で進める方法を原則にする」とした場合、あなたの中で“個人を特定しない形”の最低条件はどのあたりだと思いますか。

その感覚は自然だと思います。最低条件をすぐ言語化できなくても、「権利に関わるから慎重であるべき」「納得できる説明がないまま進むのは嫌だ」という立場は成り立ちますよね。 最後に一点だけ確認させてください。あなたが「同意なく」の取り扱いについて、制度として特に避けてほしいのはどんな状態ですか。

承知しました。では例を一つ挙げます。 「SNSやブログに本人が公開した体験談（病歴など）を収集してAI開発に使い、そこから作られたモデルや分析結果が、別の場面で“個人に向けた推測”（例：この人は○○の病気の可能性が高い、など）に使われ得る状態」について、あなたとしては避けてほしいと感じますか。

条件次第で許容できるのですね。完全にゼロか100かではなく、「ここを満たすなら」という線があると。 その場合、まず最初の条件として挙げるなら、どんな条件がいちばん近いですか。

お時間を割いてお話しいただき、ありがとうございました。ここまでの内容をもとにレポート案をまとめました。ご確認のうえ、事実関係やニュアンスの違いがあればご指摘ください。

ご指摘ありがとうございます。途中で区切ってしまい失礼しました。 インタビューを続けましょう。 先ほどの例（公開した病歴などの体験談が収集され、別の場面で個人向け推測に使われ得る）について、「条件次第で許容できる」とのことでしたが、まず最初の条件としていちばん近いのはどんなものですか？（例：目的の具体的な公表、本人への通知、収集対象の限定、推測利用の禁止など）

了解しました。イメージが掴みにくいのですね。 では確認したいのですが、あなたが懸念している「同意なく使われる」状況としては、“公開された体験談などが収集されること”自体が問題だと感じますか。

ありがとうございます。収集されること自体に抵抗感があるのですね。 その場合、どんな形の「収集」なら、同意がなくても許容できそうだと感じますか。

なるほど、「個人が特定されない形」なら許容できそう、ということですね。 ここで伺いたいのですが、あなたの感覚で「個人が特定されない」と言えるためには、収集の時点で“氏名やアカウント名が消えている”だけでも足りますか。

具体的にありがとうございます。氏名やアカウント名だけでなく、通っている病院名や居住エリアも、特定につながる要素として消えていてほしい、という感覚なのですね（居住エリアは都道府県レベルなら許容）。 その条件が満たされたとしても、本文の書きぶりや出来事の組み合わせで「この人かも」と推測できてしまう場合がありますが、そうした“文脈からの特定可能性”については、どの程度まで避けるべきだと思いますか。

避けたい、ということですね。かなり徹底して「個人につながる可能性」を落としてほしい、という感覚だと理解しました。 では、その徹底を制度として担保するうえで、「誰が」その匿名化・特定困難化の水準をチェックするのがよいと思いますか。

分からない、というのは自然だと思います。逆に言うと「事業者が自己判断だけで“十分に特定されない”と言って進める」のは不安になりやすい論点ですよね。 そこで一点だけ伺います。あなたの感覚では、匿名化の水準のチェックは「企業など当事者の自己チェック」だけで足りると思いますか。

そうですよね、自己チェックだけだと不安が残る、という感覚なのですね。 では、そのチェックの仕組みとしては、「第三者によるチェック」が入るなら許容しやすいですか。

懸念がとても具体的ですね。悪意ある事業者がいる現実を前提にすると、「第三者チェック」だけではなく、そもそも“収集してはいけないもの”を明確化して、破ったら罰則がかかる水準にしてほしい、ということですね。 一点だけ伺います。あなたが「収集してはいけない」と考えるものは、どういう種類の情報ですか。

かなり明確な線引きをお持ちですね。単体の項目というより、「組み合わせで個人が特定できる状態」を最大の問題として見ていて、名前・電話番号・住所・具体年齢・家族構成・職場・通院先などは、組み合わさると特定に直結しやすい、という整理だと理解しました。 ここで一点だけ伺います。あなたのイメージでは、その「特定できる組み合わせ」に当たるかどうかは、誰がどう判断できる形だと良いと思いますか。

ありがとうございます。おっしゃるとおり「特定できる組み合わせ」は現場判断に寄りやすいので、中央が明確な基準を作って展開するのが理想、ということですね。 その場合、その“中央の明確な基準”は、どれくらい具体的に書かれているのが良いと思いますか。

求めているのは、事業者の担当者が読んでも解釈のブレが出にくいレベルまで具体化された基準で、加えて「違反を見つけられる仕組み」と「罰則」で実効性を担保してほしい、ということですね。 ここで一点だけ伺います。あなたが想定する「違反があった時にそれに気づく仕組み」として、いちばん現実的だと思うのはどんな仕組みですか。

承知しました。ここはすぐ案が出にくいところですよね。 では一点だけ、方向性として伺います。違反を見つける仕組みは、「行政（個人情報保護委員会など）が監査・立入できる」ような形があると安心感は上がりますか。

ありがとうございます。行政が監査・立入できる形があると、安心感は上がるのですね。 では一点だけ伺います。その監査・立入の対象は、「同意なしでデータを集めてAI開発等に使う事業者」全般に広くかけるべきだと感じますか。

お話の軸がとてもはっきりしてきました。データ活用自体を全否定というより、「個人の権利を守ることに比重を置いた設計・運用・監督」を強めてほしい、ということですね。一方で今の議論は利活用側に強く傾いて見える、という違和感もあると。 ここまでを踏まえて最後に一点だけ伺います。あなたが「権利保護に比重が置かれている」と感じられるのは、制度にどんな要素が入っているときですか。

率直に言うと、「同意なし」という言葉が入っている時点で、権利保護に比重が置かれているとは感じにくい、ということですね。 一点だけ伺います。「同意なし」を残すとしても、言葉として（制度として）どんな置き換え・条件付けになっていれば、少しは受け止めが変わりそうですか。

承知しました。「同意なし」は残してほしくないし、そこは譲れない、という強い立場なのですね。 最後に一点だけ確認させてください。この法案の中でも特に、統計作成・AI開発目的でのデータ利活用については、本人同意を原則にした上で、同意が取れない場合はその取り組み自体を見送ってでも良い、というお考えに近いですか。

ありがとうございます。白か黒かではなく、「同意が取れない場合でも取得してよい情報のラインを決める」という方向が現実的、ということですね。 その「取得していい情報のライン」は、あなたの感覚では“どんな性質の情報”なら同意なしでも許容できそうですか。

ありがとうございます。「組み合わせで特定できないならOK」という原則なのですね。 ここで一点だけ伺います。そのラインを制度として決めるときに、あなたとしては「特定できない＝匿名加工情報のように、事業者も元の個人に戻せない状態」まで求めたいですか。

承知しました。そこはまだ考え途中なのですね。 では一点だけ、考える材料として伺います。もし「事業者は元の個人に戻せない状態」までは求めない場合でも、せめて「事業者が元の個人に戻すことを制度上禁止し、違反には罰則をかける」形なら受け入れやすくなりますか。

おっしゃる懸念はよく分かります。罰則や禁止規定があっても、利益が上回れば破る事業者が出るし、現に名簿業者が存在している以上「ルールがあるだけ」では安心できない、ということですね。 一点だけ伺います。あなたの感覚では、その“破っても割に合わない”状態を作るには、罰則は「違反で得た利益を確実に上回る水準」である必要があると思いますか。

ありがとうございます。違反が「割に合わない」ようにするには、少なくとも“違反で得た利益を確実に上回る水準”の制裁が必要、というお考えなのですね。 ここで一点だけ伺います。あなたがイメージする「利益を確実に上回る水準」の制裁は、課徴金（不正で得た利益の没収に近いもの）でも足りると思いますか。

承知しました。ここでインタビューはいったん終了にします。 これまでのお話では、①「同意なく」個人データ（特に病歴などセンシティブ情報を含む）が収集・利用され得る点に強い抵抗感がある、②公開情報であっても本人の意図や文脈があり二次利用を想定していない、③許容の軸は「組み合わせで個人が特定できないこと」で、氏名・連絡先・住所・具体年齢・家族構成・職場・通院先など特定につながる要素は排除されるべき、④事業者の自己判断では不十分で、中央が解釈の余地が小さい基準を作り、行政監査など実効性ある監督が望ましい、⑤悪意ある事業者がいる前提なので“破っても割に合わない”制裁（少なくとも利益を上回る水準）が必要、という示唆がありました。 この内容でレポートにまとめてよろしいでしょうか。補足・修正したい点があれば一言だけでも教えてください。

お時間を割いてお話しいただき、ありがとうございました。ここまでの会話内容をもとに、インタビューのレポート案を作成しました。ご確認ください。