💬インタビューレポート

本日はお時間ありがとうございます。「個人情報の使い方にルールを追加し、悪質な違反には課徴金を科せるようにする法案（個人情報保護法改正）」について、お話を伺います。 まず、この法案にどういう立場で関わっていますか。

AI開発・データ分析の立場から関わっていらっしゃるのですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。

よくご存知なんですね、心強いです。 今回の法改正について、全体としてどのように評価していますか。

懸念を持たれているのですね。 その「統計目的で同意なしに提供できる点」について、どんな種類のデータまで対象に含まれてしまうのが特に問題だと感じますか。

具体的なイメージありがとうございます。識別子をそのまま渡す必要はない、というご懸念ですね。 補足させていただくと、この法案は「統計情報の作成やAI開発“のためだけ”に使う」場合に、本人同意なしで他の事業者へ提供できるようにする一方、目的外利用は禁止という建て付けです（ただ、どの程度の加工・匿名化が必須かは運用の設計が効いてきます）。 この点を踏まえてお聞きしたいのですが、同意なし提供を認めるとしても“最低限ここまでは義務にしてほしい”と思う安全措置は、どのあたりですか。

多重下請けの実態を踏まえると、提供先のさらに外へ広がること自体が大きなリスク、という感覚なんですね。匿名化の義務付けも含めて、かなり現場感のあるご指摘だと思いました。 今のお話の前提で伺いたいのですが、「提供した先で提供元の会社の外に出さない」という義務は、具体的にはどの範囲までを“外”と考えていますか。

範囲感が明確で助かります。グループ会社でも別主体で、サーバーがその会社の責任範囲を出たら「外」という整理なんですね。 その前提でお聞きしますが、その「外に出さない」ルールに例外を作るとしたら、どんな条件のときなら許容できそうですか。

第三者の関与や認証制度で“例外を絞る”発想なんですね。現場としても恣意的に広がらない仕組みが重要、ということだと理解しました。 では最後に、この法案について制度を設計する人に伝えるとしたら、どんな点を優先して設計してほしいですか。

強い問題意識があるのですね。悪意ある事業者や海外事業者に機微情報が渡ることは、便益よりもリスクが上回るというお考えだと受け取りました。 今回の法改正で、あなたが特に気になっている点はどれですか。

ありがとうございます。 その「一定の条件のもとに、同意なく個人データが使われるようになること」が気になる背景として、これまでに見聞きした具体的なヒヤリとした事例（目的外利用が起きそうだった／下請け先で管理が甘かった等）はありますか。

具体例をありがとうございます。ルールはあっても現場の運用で抜け落ちてしまい、結果として海外サーバに置かれてしまう、という“起こり方”を何度も見てこられたのですね。不安が現実的だと感じます。 その経験を踏まえて伺いたいのですが、同意なしでのデータ提供を制度として認めるなら、提供元の企業にどんな「運用面の義務」（教育・監査・ログ・委託先管理など）が最低限必要だと思いますか。

ありがとうございます。抜き打ち監査と教育を“最低限”として、その実施を担保するために公的な認証・更新制度で足切りをする、という設計イメージなんですね。 その「公的機関の認証」を設計する場合、認証の合否を分ける基準として、どんな要件を重視すべきだと思いますか。

ありがとうございます。抜き打ち監査・教育を軸に、再委託（特に海外）を強く制限し、再委託先も認証済みに限定する、という要件像ですね。 ここまでの要件を前提にお聞きしたいのですが、「海外企業への再委託の禁止」を入れる場合、例外を設けるとしたらどんなケースなら許容できそうですか。

ご意見ありがとうございます。海外再委託は安全保障も含めてリスクが大きく、基本的に例外は設けない設計が望ましい、ということですね。 ここまで伺った内容を整理してレポートにまとめていきたいのですが、こちらで要約フェーズに進めてもよろしいですか。

お時間をいただき、ありがとうございました。ここまでの内容をもとにレポート案を作成しました。ご確認ください。