💬インタビューレポート

本日は「個人情報の使い方にルールを追加し、悪質な違反には課徴金を科せるようにする法案（個人情報保護法改正案）」について、感じていることを伺えればと思います。率直なお話で大丈夫です。 この法案にどういう立場で関わっていますか。

ありがとうございます。差し支えなければ、仕事の中で個人情報を扱うのは主にどんな業務ですか。

ありがとうございます。では今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。

ありがとうございます。 今回の法改正について、全体としてどのように評価していますか。

「どちらかといえば良い」と感じられているのですね。そう評価するにあたって、特に良いと思った点はどのあたりですか。

もちろんです。どの話題に戻りたいですか。

承知しました。では、全体としては「どちらかといえば良くない」というご評価なのですね。 そのように感じる点として、まずどのあたりが引っかかっていますか。

現場のコスト感や、AIを業務で使っている実感からすると「さらに罰則が重くなると中小は耐えられないのでは」というご不安があるのですね。 一点だけ補足すると、この法案の「課徴金」は、個人情報を不正に取得・提供して利益を得たような悪質な違反で、かつ被害者が1,000人超の大規模ケースに限って導入される仕組みで、一般的な漏えい事故そのものが直ちに課徴金の対象になる設計ではありません。 そのうえで伺いたいのですが、いまお話いただいた懸念の中では、いちばん現実に起こり得ると感じるのは「罰則（課徴金）で事業が立ち行かなくなる」ほうでしょうか、それとも「AI（ChatGPT/Claude等）を発送業務で使いにくくなる」ほうでしょうか。

ありがとうございます。「AIを発送業務で使いにくくなる」ことが一番の懸念なのですね。 その懸念は、発送業務のどの工程でAIを使うところに一番影響が出そうですか。

なるほど、いまは「顧客から預かった宛先などのデータをAIで整形・名寄せ・項目整理して、最後は人がチェックする」という使い方なのですね。 そのAIで加工するデータの中に、具体的にはどんな個人情報（例：氏名、住所、電話番号など）が含まれていますか。

承知しました。氏名・住所・電話番号など一通り含まれる前提でAIに整理をさせているのですね。 この法案が成立した場合を想像して、いまの運用で「ここが特にリスク扱いされそう／止められそう」と感じるポイントはどこですか。

ありがとうございます。業務でAIにデータを渡して加工させる行為全体が止められてしまうのでは、という感覚なのですね。 いまの運用では、そのAI（ChatGPT/Claudeなど）に渡しているデータは、外部のクラウド事業者のサーバーに送信する形になっていますか。

外部サーバーに送っているのですね。DPAも結んでいるとなると、現場としては「適切に管理しているのに一律にNGになるのでは」という不安になりますよね。 ここは前提のすり合わせだけ簡単に補足すると、この法案は「発送業務でAIに個人データを委託すること」を一律に禁止する内容ではありません。また、今回の改正の柱は①AI開発・統計目的での同意なし提供の枠組み、②16歳未満の情報、③顔特徴データ、④悪質違反への課徴金、⑤名簿転売対策で、業務委託（DPA等で管理してクラウドに処理させる）を全面的に塞ぐ趣旨ではないです。 そのうえで伺いたいのですが、もし「禁止ではない」とするとしても、成立後にいちばん困るのは、社内で“どの部分のルールが曖昧で判断できなくなる”点だと思いますか、それとも“監査・書面・説明責任が増えて運用コストが上がる”点だと思いますか。

ご指摘の感覚、とても自然だと思います。「AI」という言葉が同じなので、発送業務でAIに処理させることも、その“同意なし提供”の枠組みに入ってしまうのでは、と見えてしまいますよね。 補足すると、この法案の「同意なしで他の事業者に渡せる」枠組みは、**“統計作成やAI開発のためだけに使う”**という目的に限定された話です。いまお話の発送データ整理は、目的が**発送（業務委託の範囲での処理）**なので、通常はそこに乗せて「同意なしでAI開発に回す」類いのものとは別枠の整理になります。 そこで確認したいのですが、いまの懸念は「外部クラウドAIに送ったデータが、ベンダー側でAI開発目的にも使われてしまう（使われたと疑われる）こと」でしょうか。

整理の仕方としては、必ずしも「AがOKになった＝それ以外が新たにNGになる」という関係ではないです。 今回の改正で追加されるのは、主に**『統計作成・AI開発“だけ”が目的の提供』について、一定の条件のもとで“同意なしでも第三者提供できる例外ルール”を作る**、という方向です。もともと個人情報保護法には、目的内利用や委託（業務委託先での取扱い）など、同意なしで許容される枠組みが複数あります。 そのうえで伺いたいのですが、いま一番ひっかかっているのは「この改正で、業務委託としてのクラウドAI利用まで“第三者提供”扱いが広がって、同意が必要になりそう」という点でしょうか。

その懸念、現場からするとかなり重要だと思います。 この法案自体は「クラウドAIへの委託＝一律に第三者提供として同意必須にする」と明記しているものではありません。一方で、実務では“委託として整理できるか／第三者提供と見られるか”の線引きが不安材料になる、というお話ですよね。 そこで一点だけ伺いたいのですが、いまの業務フローだとクラウドAIは「御社の指示どおりにデータを加工する委託先」という位置づけで運用していますか。

なるほど、発送データの加工は「指示どおりに処理させる委託」だけれど、メール文面や顧客との関係管理のほうは、もう少し幅広い使い方になっていて委託と言い切りにくい、という感覚なのですね。 では確認ですが、この改正が進むことで特に線引きが難しくなりそうなのは、後者の「メールや顧客関係管理でAIに個人名などが入る使い方」のほうですか。

なるほど、「社内の分析・整理のために使っているのだから統計データに近いのでは」という感覚なのですね。 ここで伺いたいのですが、メールや顧客関係管理でAIを使う目的は、主に“社内の傾向把握（集計・分類・可視化）”に置いていますか。

ありがとうございます。傾向把握に加えて、AIに営業チャンスの「攻めどころ」を見つけてもらう用途もあるのですね。 その用途でAIに入れている情報は、個人（担当者）単位の履歴や属性をもとに提案させていますか。

イメージが掴めました。個人（担当者）単位の履歴も含めつつ、社内の広い情報を横断して提案してくれる“秘書”のようなAIを想定されているのですね。 この法案との関係でいうと、その秘書AIが扱う情報のうち、特に「ここは個人情報保護のルールが厳しくなると運用しにくそう」と感じるのはどの種類の情報ですか。

それはまさに現場だと困るところですよね。AI活用の実態が先に進んでいて、法案の言葉が自分たちの業務のどこに刺さるのか見えにくい、ということだと受け取りました。 では確認したいのですが、いま一番知りたいのは「御社のAI活用が“第三者提供”に当たるのか、それとも“委託”として整理できるのか」という切り分けですか。

ありがとうございます。まさにそこが実務の肝になりそうですね。 いま御社で使っているクラウドAIについて、社内のルールや契約の建て付けとしては「この事業者は委託先（再委託先）として扱う」という位置づけにしていますか。

承知しました。DPAを結んでいて、社内でも「委託先として扱っている」という整理なのですね。 では一点だけ確認させてください。もし今後、個人情報保護委員会などからガイドラインが出て「その形だと委託ではなく第三者提供に近い」と言われうるとしたら、御社として一番困るのはどの部分ですか。

おっしゃる通りで、後から解釈が変わって「委託ではなかった」とされると、積み上げたDXが全部やり直しになる不安が大きいのですね。 この不安を減らすために、制度を設計する人（国・個人情報保護委員会）に伝えるとしたら、どんなルールの出し方（例：委託と第三者提供の判断基準の明確化など）を求めたいですか。

切実なお話ですね。DPAを結んで、Pマークの運用の中で管理しているのに、後から「それは委託ではない」とされると現場が立ち行かない、というご懸念だと理解しました。 では最後に一点だけ伺います。制度側が「業務委託として扱える」と明確にする条件として、御社の感覚ではまず何が満たされている必要がありますか。

ありがとうございます。「預かった個人情報をもとに、受託処理を超えて新たな商売（自社目的の利用・二次利用）をしないこと」が最低条件、という感覚なのですね。 では確認ですが、その条件を制度として担保する方法としては、DPAのような契約での禁止条項が入っていれば足りる、というお考えに近いですか。

ありがとうございます。ここまでのお話を踏まえると、 - 御社の懸念の中心は「クラウドAI活用が委託として整理できるのか／第三者提供扱いになるのかが不明確」な点 - 現場としてはDPAを結び、Pマーク運用の中で管理しているのに、後から解釈で崩れるとDXが成立しない - 委託として扱える最低条件は「個人情報をもとにベンダーが新たな商売（自社目的の二次利用）をしないこと」で、これは契約（DPA）の禁止条項で担保できるのが望ましい …という整理になるかと思います。 ありがとうございます。これまでの内容をまとめ、レポートを作成します。

お時間をいただき、ありがとうございました。以下、インタビュー内容のレポート案です。ご確認ください。