💬インタビューレポート
修理対応者
電子機器の修理対応に関わり、業務上ユーザーの氏名や機器の利用状況など個人情報に触れることがある。現場では活用よりも漏洩しないよう管理することが中心と述べている。
💬主な意見
同意不要は良いが担保措置が煩雑で萎縮しそう
“AI学習・統計目的に限って同意不要にする点は評価。ただ事後検証の仕組みが煩雑で、結局利用のハードルが下がらない懸念がある。仮名化処理の義務付けの方が筋がよいと感じる。
自己申告に依存すると真面目な業者ほど損をする
“公表義務・書面合意・目的外利用禁止・記録義務などが「事業者の自己申告に依存」しており、外部から発見しにくい。負担は増えるのに悪用業者にはザルになり得ると見ている。
子ども情報の法定代理人関与が分かりにくく手間増
“16歳未満の個人情報で「法定代理人の関与」が何を指すか、どう選定されるかが分からず不確実性が大きい。調査や相談のコストが増え、子ども向け開発の利活用意欲を削ぐと感じる。
🎤すべての会話ログ
本日は、「個人情報保護法を改正し、AI開発向けデータ利活用の促進・こども保護の強化・課徴金制度の新設を行う法案」について、感じていることや懸念点を丁寧に伺えればと思います。 まず、この法案にどういう立場で関わっていますか。
仕事で個人情報を扱っている（企業の担当者、行政職員など）
ありがとうございます。差し支えなければ、いまのお仕事では個人情報をどんな目的で扱うことが多いですか。
電子機器の修理対応でユーザーの氏名や機器の利用状況を知る場合がある。
なるほど、修理対応の中で氏名や利用状況に触れるのですね。 その業務の中で、「本人の同意を取る／取らない」の判断に迷う場面はありますか。
知る場合があるだけで、活用する場面はない。ただ漏洩せぬよう管理するのみなので特に同意をとることは無いが、受付担当は何か同意をとっているかもしれない。
ありがとうございます。いまのお話だと、現場としては「利用」よりも「安全に管理する」ことが中心なのですね。 その前提で伺いたいのですが、今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。
概要は知っている
ありがとうございます。 今回の法改正について、全体としてどのように評価していますか。
どちらかといえば良くない
受け止めを共有いただきありがとうございます。「どちらかといえば良くない」と感じる点として、まずどのあたりが気になっていますか。
AIを利用した医療機器開発のためのデータ収集では同意と個人情報保護が凄まじいコストになるので、AIの学習や統計目的の利用に限り同意不要になるとしている点は良いと思う。だが、事後的に検証可能にするための仕組みが煩雑で利用のハードルは下がらないのではないかと懸念している。仮名化処理を義務付ける方が筋がよさそうと思った。
なるほど、同意不要の方向性自体は評価しつつ、「実務として検証・公表・合意などの担保措置が煩雑で、結局ハードルが下がらないのでは」という懸念なのですね。 その懸念の中で、特に「ここが一番ボトルネックになりそう」と感じている担保措置はどれですか。
複雑であまり理解できていないかもしれないが、公表義務・書面合意・目的外利用禁止・記録義務という「事業者の自己申告に依存した」規律で本人保護を図る設計。
ありがとうございます。「本人保護が、事業者の自己申告に依存した設計に見える」という点が引っかかっているのですね。 その場合、制度としていちばん不安なのは「ルール違反が起きても外部から発見しにくいこと」ですか。
そう。コンプライアンス意識の高い真面目な業者の負担が増し、悪用する業者にはザルになる様に見えてしまう。
おっしゃる懸念、すごく筋が通っています。真面目な事業者ほど手続負担をきちんと背負い、悪用する側は形だけ整えて逃げられてしまう、という構図が見えているのですね。 その「悪用する業者にはザルになり得る」という点で、具体的にはどんな“抜け方”が起きそうだと想像されていますか。
記録を残さずに販売する。
ありがとうございます。記録を残さずに実質的に“販売”されてしまう、というのがいちばん現実的な抜け道として見えているのですね。 その場合、どんな経路（たとえば委託先や提携先、データブローカー等）で「記録なしの販売」が起きやすいと感じますか。
個人間、対面、現金での取引。
ありがとうございます。個人間・対面・現金のような“記録が残りにくい取引”が一番起きやすい、という見立てなのですね。 そのリスクに対して、今回の改正で新設される「課徴金制度（悪質で大規模な違反に、違反で得た利益相当額を納付させる）」は、抑止としてどの程度効きそうだと感じますか。
あまり効かないだろうけど、発覚もしないのでどの程度効いたかは分からず、あまり話題にもならないと思う。
ありがとうございます。発覚しにくい構造だと、課徴金があっても「効いているかどうか」自体が見えず、抑止として働きにくい、という感覚なのですね。 そうした前提で伺いますが、この法案について制度を設計する人に伝えるとしたら、どういった方向の手当て（例：監査の仕組み、第三者検証、技術的措置の義務化など）を求めたいですか。
次世代医療基盤法みたいに、認定業者を間に入れて仮名化（連結可能な匿名化）をして渡すことを義務化する方がよさそうな気がする。これも次世代医療基盤法を正しく理解できているか分からないけど。 いっそ認定業者ではなく、病歴など特定のデータは全てマイナポータルを介して移動させる仕組みにしてしまえば、データ所有者本人が出したくない情報や許可する相手を細かく設定できて良いかもしれない。
ありがとうございます。方向性として「手続の自己申告」よりも、間に第三者（認定業者等）を入れて仮名化してから流通させる、という技術・構造で担保したいということですね。 いま挙げていただいた案のうち、「認定業者を間に入れて仮名化を義務化する」方式について、どのあたりが一番よいと感じますか。
複数認定事業者間で仮名を統一しない代わりに限定的な連結IDを使ったり、技術的に工夫されているところ。両立解を目指している努力が見えるのは良い。
ありがとうございます。技術的な工夫で「利活用」と「保護」を両立させようとしている点が評価ポイントなのですね。 その「限定的な連結ID」のような仕組みが、この個人情報保護法改正（AI開発・統計目的の同意不要特例など）側にも入るとしたら、どんな要件が最低限必要だと思いますか。
『この情報は誰の情報なのか？』を分からない様にすることが、利便性と保護を両立する肝だと思う。 後から自分の情報を利用停止できる仕組みにすると、『この情報は誰の情報なのか？』を切り離せなくなるので悪手だと思う。情報のできるだけ上流で仮名化してしまう設計が良い。
ありがとうございます。「誰の情報か分からない状態を上流で作ること」が肝で、後から利用停止を個別に効かせようとすると再同定の“ひも”が必要になってしまう、という問題意識ですね。 その前提で伺いますが、今回の法改正であなたが特に気になっている点はどれですか。
子ども（16歳未満）の個人情報の取り扱い・法定代理人の関与義務化
ありがとうございます。 子ども（16歳未満）の個人情報について「法定代理人の関与が義務化される」点で、実務や社会の動きとして特に気になっているのはどのあたりですか。
分かりずらいのと、手間が増えそうなところ。
ありがとうございます。「分かりづらさ」と「手間が増えそう」という感覚が強いのですね。 その中でも特に、「ここが分かりづらい」と感じるのはどの部分ですか。
法定代理人の関与とはどんな関与か？法定代理人はどの様に選定されるのか？などなんも分からない。
ありがとうございます。確かに、そのあたりが曖昧だと実務で困りますよね。 その「法定代理人の関与」の運用について、いまの時点で特に心配しているのは「誰が法定代理人かを事業者が確認しきれないこと」ですか。
いや、複雑なことと分からないこと、何処にさらなる分からないことが潜んでいるかもわからないこと。手間暇かけて調べて専門家に相談して金と時間を掛けてまでそのデータを利活用したいとは思わないので、制度設計として悪手に見える。
ありがとうございます。「誰が代理人かの確認」以前に、制度全体が複雑で“未知の不確実性”が多く、結果として利活用の意欲を削いでしまう、という見え方なのですね。 最後に一点だけ伺います。この『複雑さで萎縮する』感覚は、どんな事業者・どんな規模の現場で特に強く出ると思いますか。
データを利活用して子供向けのサービスや機器を開発するメーカー全般
ありがとうございます。子ども向けのサービス・機器を作るメーカー全般で、複雑さがそのまま開発やデータ利活用の萎縮につながりそう、というご見立てですね。 ここまで伺った内容をまとめ、レポートを作成します。
お時間をいただき、ありがとうございました。ここまでの内容をもとにレポート案を作成しました。ご発言のニュアンスとズレがないか、ご確認をお願いします。
問題を報告する