💬インタビューレポート

本日はお時間ありがとうございます。「個人情報の使い方にルールを追加し、悪質な違反には課徴金を科せるようにする法案」について、率直なお考えを伺えればと思います。 この法案にどういう立場で関わっていますか。

ありがとうございます。一般の立場でご自身のデータの使われ方が気になるのですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。

ありがとうございます。概要は把握されているのですね。 今回の法改正について、全体としてどのように評価していますか。

承知しました。「良くない」と感じていらっしゃるのですね。 その評価につながったポイントとして、どんな点が特に引っかかっていますか。

とても強い恐怖感があるのですね。医療や購買の履歴のような“生活や評価に直結する情報”が、本人の知らないところで企業に渡るのは不安だと思います。 一点だけ補足すると、この法案で「統計作成やAI開発“だけ”が目的」の場合に、本人同意なしで事業者間提供をしやすくする方向が含まれています（ただし目的外利用は禁止、などの建て付けです）。一方で、ご懸念のように“本人が把握できないまま広がるのでは”という不安が論点になっています。 その上で伺いたいのですが、今おっしゃった不安は、どの場面で起きるのが一番現実的だと感じますか。

たしかに、いまでも漏えい事故が頻繁に起きている中で、取り扱う企業や人が増える方向の制度変更だと、怖さが増すのは自然だと思います。特に「悪意のある持ち出し」と「うっかりのミス」の両方が現実に起き得ますよね。 その前提で伺いたいのですが、今回の法案の中だと「どんな種類の漏えい」がいちばん心配ですか。

そこが一番の懸念なのですね。社員による持ち出しや売買は、本人からすると防ぎようがなく、裏で拡散していく怖さがありますよね。 今回の法案には「闇名簿対策として名簿の転売ルールを厳しくする（提供先の身元や利用目的の事前確認義務）」や、「悪質な違反で利益を得た事業者に課徴金（※被害者1,000人超など一定の要件）」といった抑止策も入っています。 そのうえで伺いたいのですが、社員の持ち出し・売買を抑えるために、法律として事業者に“最低限ここまでは義務化してほしい”と思う対策はどんなものですか。

おっしゃる通りで、「ルールを厳しくした」と言われても、実際には破る人が出るし、そこで被害が起きたら元に戻らない、という感覚ですよね。加えて、課徴金が大規模（被害者1,000人超など）に限られる点は、“それ未満だと痛くないのでは”という疑念につながりやすいと思います。 そのうえで伺いたいのですが、課徴金の対象要件（被害者1,000人超など）については、どの方向に見直すのが望ましいと感じますか。

ありがとうございます。では選択肢ではなく自由に伺いますね。 課徴金の対象要件（被害者1,000人超など）について、どういう基準に変えるのが望ましいと感じますか。

厳罰で強い抑止力を持たせたい、ということですね。1件でも重大で、取り返しがつかないという感覚が背景にあるのだと思います。 いま挙げてくださった「1件でも一律で1億円」や「懲役10年級」の方向性だと、実際に運用する場面で「どういうケースを“持ち出し”として同じ重さで扱うか」が論点になりそうです。 あなたのイメージだと、課徴金や刑事罰の対象にするのは、どんな行為までを想定していますか。

ありがとうございます。「持ち出し」だけでなく「口外」も含めて、個人データが外に出た時点で厳しく扱うべき、というイメージなのですね。 では確認ですが、あなたが想定している「口外」には、家族や知人に話してしまうようなケースも含みますか。

承知しました。家族や知人に話すレベルでも、個人データが外部に出た時点で同様に重大だ、という感覚なのですね。 その前提で伺いたいのですが、厳罰の対象になるのは「誰が口外した場合」までを想定していますか。

考え方、よく分かりました。「誰がやったかではなく、個人データを外に出した時点でアウトにしてほしい」という厳格さを求めていらっしゃるのですね。 ここまでのご意見を踏まえると、この法案について制度を設計する人に伝えたいことは、どんな内容になりますか。

強い危機感を持っておられるのですね。ご自身の「知られたくない情報」が、本人の同意なしに流通しうる設計自体が受け入れられない、という点が核心だと理解しました。 一点だけ確認させてください。法案には「統計情報の作成やAI開発“だけ”が目的の場合」に、本人同意なしで事業者間提供を可能にする方向が含まれています（目的外利用は禁止）。 この「AI開発・統計目的に限るなら同意なし提供を認める」という部分についても、やはり一切認められない、というお考えでしょうか。

認められない、というお立場がはっきりしていますね。本人の同意がないデータ利用は、目的がAI開発や統計に限られていても受け入れられない、ということだと理解しました。 その上で伺いたいのですが、もし「同意なしで使う」のではなく「本人がいつでも拒否（オプトアウト）できる」仕組みだったとしても、やはり認められないと感じますか。

認められないという点、理解しました。特に「拒否できる仕組み」と言われても、現実には手続きが曖昧だったり形骸化して、結局データが取られてしまうのでは、という不信感が大きいのですね。 では確認させてください。あなたが「これなら拒否が実効的だ」と感じられるのは、拒否の手続きがどんな状態になっているときですか。

ありがとうございます。現実の運用はケースバイケースで、100%確実な拒否手続きは作れない、という感覚なのですね。そうなると「同意なしで使える余地」を制度として残すこと自体が危険、という整理だと理解しました。 ここまで伺った内容をまとめ、レポートを作成します。

お時間をいただきありがとうございました。ここまでの会話内容をもとに、インタビューのレポート案を作成しました。ご確認ください。