💬インタビューレポート

本日は「個人情報の使い方にルールを追加し、悪質な違反には課徴金を科せるようにする法案」について、感じていることや評価を丁寧に伺えればと思います。率直なお話で大丈夫です。 この法案にどういう立場で関わっていますか。

ありがとうございます。AI開発・データ分析に関わる立場から見て、今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。

承知しました。では、ひとつ前の質問に戻しますね。 AI開発・データ分析のご関与について、差し支えなければ、具体的にはどんな形で関わっていますか。

失礼しました。こちらで選択肢をお出ししますね。 この法案にどういう立場で関わっていますか。次のうちどれに近いですか？

失礼しました。こちらの表示の不具合かもしれないので、選択肢なしで伺いますね。 この法案には、どんな立場で関心・関わりがありますか。

ありがとうございます。一般の立場・IT従事者・保護者として関心をお持ちなのですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。

承知しました。把握できていない状態でも全く問題ありません。 今回の改正は大きく言うと、(1)AI開発・統計目的なら一定条件で同意なしにデータ提供ができる場面を広げる、(2)16歳未満の子どもの情報は保護者同意や利用停止請求を強める、(3)顔データは利用目的の公表や利用停止請求を新設、(4)悪質な大規模違反（被害1,000人超など）には利益相当の課徴金、という柱があります。 この改正を全体として、今はどのように評価していますか。

ご質問ありがとうございます。いまの時点だと、気になっているのは「同意なしで使える“一定条件”」のほうが大きいですか？

承知しました。 この法案でいう「一定条件」は、ざっくり言うと **“統計情報の作成やAI開発のためだけに使う場合”** で、そうした目的に限って本人同意なしでも、個人データを他の事業者に提供できるようにする、という方向です（目的外利用は禁止されます）。 この「統計作成・AI開発のためだけ」という条件を聞いて、どんなデータや場面が頭に浮かんで不安（または懸念）を感じましたか。

ご懸念のポイント、よく分かりました。 補足させていただくと、この法案の説明としては「統計情報の作成やAI開発のためだけにデータを使う場合、本人の同意なしでも“個人データ”を第三者（他の事業者）に提供できるようにする」という建て付けです。つまり、一般論として「個人を特定できる情報（氏名・住所など）を含みうるデータ」も“個人データ”に入るので、制度上はその可能性をゼロとは言い切れません。 そのうえで確認したいのですが、もし「氏名や住所が入ったまま他社に渡りうる」運用になってしまうとしたら、どんなリスク（例：漏えい、目的外利用、再識別、詐欺転用など）が特に現実的だと感じますか？

なるほど。デジタルならアクセスログ等で追える一方、写真撮影や転記のようなアナログ手段だと抑止・検知が難しくなる、という懸念なのですね。 その前提で伺いたいのですが、実務的には「最低限ここまで義務化されていれば、アナログ経路のリスクも現実的に下げられる」と感じる対策は何でしょうか。

おっしゃる方向性、とても具体的ですね。 「生データの参照をできなくする」について伺いたいのですが、どのレベルまで参照不可にするイメージですか（例：氏名・住所などの直接識別子だけを外す／環境を分けて限られた人だけが復号できる／そもそも個票へのアクセス自体を禁止して集計・学習用の形だけにする）。

理想は個票アクセス禁止、そのうえで乱数ID化や住所の粒度制限（市町村レベルなど）といった“使える形に加工してから使う”制約が欲しい、ということですね。現実的な落としどころとしても筋が通っていると感じました。 ここで一点だけ伺いたいのですが、法案の「一定条件」を制度として設計する側に求めるなら、いま挙げていただいた制約のうち「これは最低限、法やガイドラインで必須にしてほしい」と思うものはどれでしょうか。

ありがとうございます。本名・住所が“利用者側で悪用できない”状態を最低限の必須条件にしてほしい、ということですね。 その制約をルールに落とすとしたら、「本名・住所を第三者提供の対象データから外す（提供しない）」のが近いですか、それとも「提供はされるが、閲覧・持ち出しができない環境でのみ扱わせる」のが近いですか。

了解しました。「提供はされても、利用者は本名・住所を閲覧できない（マスキングしてほしい）」という方向性なのですね。 その場合、マスキングは“どの段階”で行われているのが望ましいですか。

ありがとうございます。利用者への提供前に、本名・住所はマスキングされているべき、ということですね。 その前処理（マスキング）を「誰が責任を持って行う」のが一番現実的だと感じますか。

承知しました。補足すると、この法案で想定されている「データを他の事業者に渡せるようになる」場面の“渡す側”は、基本的に個人情報を保有している民間企業・医療機関・研究機関などの事業者です（行政機関だけに限った話ではありません）。 この前提を踏まえて伺いますが、利用者に渡す前のマスキング（本名・住所などの加工）は、どの主体が責任を持つ設計が現実的だと感じますか。

ありがとうございます。提供者側が責任を持ってマスキングしたうえで提供すべき、というお考えなのですね。 その場合、提供者がマスキングを確実にやれているかを担保する手段として、どんな仕組みがあるとよいと思いますか。

具体案まで出ているのがとても参考になります。デジ庁等が標準のマスキングツールや提供プラットフォームを用意し、そこを通すことで一定の担保をかける、という発想ですね。 その「提供プラットフォーム」がもし整備されるとしたら、どんな機能が最低限入っていてほしいですか。

ありがとうございます。登録制でアクセス主体（企業・団体）とユーザーを絞り、一定のコンプライアンス知識を条件にする、さらに提供者と利用者のマッチングまで、というイメージですね。 その「一定コンプライアンス知識がある人のみアクセス可能」を制度として運用する場合、知識があることをどうやって確認するのが現実的だと思いますか。

ありがとうございます。認証制度＋本人確認書類の提出を必須にして、アクセスする人の身元と一定の理解を担保したい、ということですね。 その「認証制度」について、どんな形式だと実務的に回ると思いますか（例：講習＋テスト／民間資格の活用／年次更新など）？

ありがとうございます。講習＋テストに加えて更新制も、ということですね。 その認証（講習＋テスト＋更新）を受けた人がルール違反をした場合、どんなペナルティ設計だと抑止力が出ると思いますか。

ありがとうございます。権利剥奪・一定期間の利用停止・違約金（課徴金）という多層のペナルティが必要、というお考えですね。 この法案について、制度を設計する人に伝えるとしたら、いま挙げていただいた中で「特にここを制度に書き込んでほしい」というメッセージはどんな内容になりますか。

ありがとうございます。漏えい防止策が弱いと、国民の理解が得られず反発が起きて、結果として利活用も進まなくなる、というご懸念なのですね。 その「個人情報漏洩防止策」について、制度に明記してほしい内容としては、どの施策がいちばん効果が高いと感じますか。

ありがとうございます。「利用者の制限」を制度に明記すべき、ということですね。 ここでいう「利用者の制限」は、どの単位で制限するイメージが近いですか。

ありがとうございます。企業・団体の単位でも、実際に触る個人の単位でも二重に制限する、というイメージなのですね。 その二重の制限を運用するうえで、「個人」に対してはどんな条件を満たした人だけが扱えるようにするのが現実的だと思いますか。

承知しました。講習＋テストの認証と更新、本人確認の必須化、違反時の権利剥奪など、先ほどの枠組みですね。 最後に一点だけ伺います。今回の法改正の中で、あなたが特に気になっている点はどれですか。

ありがとうございます。罰則や救済の仕組みが気になっているのですね。 その点が気になる背景として、どんな場面（実体験でも、想像でも）を思い浮かべていますか。

おっしゃる通りで、漏えいの内容次第では取り返しがつかず、社会的立場や信用の喪失につながり得るという不安がありますよね。 その「社会的立場の喪失」につながる漏えいとして、どんな種類の情報を特に想像されていますか。

とても切実な懸念だと思います。病歴や、すでに償いを終えた犯歴のような情報が個人情報とひもづくと、本人の努力では戻せない不利益が起き得ますよね。 その前提で伺いたいのですが、そうした情報が漏えい・拡散してしまった場合に、被害者側の「救済」として制度に用意してほしい手段はどんなものですか。

ありがとうございます。金銭的な賠償に加えて、雇用の確保のように生活を立て直す支援まで含めた救済が必要、ということですね。 その「雇用先の確保」について、制度として実現するなら、どんな形（例：再就職支援の仕組み、企業への受け入れインセンティブ、公的機関の関与など）が現実的だと感じますか。

ありがとうございます。企業側へのインセンティブと、公的機関の関与が現実的、ということですね。 ここで伺いたいのですが、公的機関が関与するとしたら、どの段階での関与がいちばん効果的だと思いますか。

ありがとうございます。漏えいが判明した時点で公的機関が入り、継続的にフォローの要否をヒアリングしていくのが効果的、ということですね。 その「公的機関のフォロー」で、最初に確認してほしい項目は何だと思いますか。

ご指摘ありがとうございます。いま伺っている意図は、「被害者救済のしくみ」を法案の制度として具体化する際に、公的機関が“何をトリガーに・何を確認し・どんな支援につなぐか”を要件として書き起こすためです（例：漏えい判明時の初動支援、継続フォローの義務づけ、支援メニューの条件分岐など）。 この前提で一点だけ伺います。漏えい判明時点で、公的機関が最初に確認すべきだと思うのは「漏えいした情報の種類」ですか。

ありがとうございます。まずは漏えいした情報の種類から確認すべき、ということですね。 その「種類」を分類するなら、公的機関のチェック項目としてはどの区分が入っているのが望ましいですか。

承知しました。ここまでお話しいただき、ありがとうございました。 これまでの内容をまとめ、レポートを作成します。

お時間を割いてお話しいただき、ありがとうございました。以下、ここまでの内容を要約したレポート案です。ご確認ください。

ご確認ありがとうございます。ご指摘の「デジ庁主導のプラットフォーム化」の点を反映して、要約レポート案を修正しました。

ご確認ありがとうございます。ご指摘のとおり、「利用者と登録者（提供者・利用者）のマッチング機能によって、情報提供関係を可視化しつつ効率化する」点も、プラットフォームに求める要素としてレポートに反映した修正版です。