💬インタビューレポート
一般市民
自分の個人データがどう使われるか気になる一般の立場。改正案の概要は知っているが、同意なし提供の拡大や企業の実務運用の緩さによる漏えいリスクを懸念している。
💬主な意見
同意なし提供は名目化され、漏えいが増える不安
“「統計作成やAI開発」は建前にでき、下請け・海外企業にも広がり得る。一般企業は実務が緩く順守意識も低く、医療機関外に出ると漏えいリスクが跳ね上がると思う。
カルテがそのままAI用途で提出されることが怖い
“AIに読み込ませる目的でカルテ情報がそのまま提出され、本人だけでなく家族や職場など周辺の情報まで漏れる可能性が高いと感じている。
処分は1名から、保持は3か月以内・査察で確認
“本人同意は目的に限らず必要だと思う。違反は1名から処分対象にし、必要以上の保持（取得から3か月超）も対象に。例外は完全匿名化のみで、第三者機関が削除と送信先を確認してほしい。
🎤すべての会話ログ
本日は、「個人情報の使い方にルールを追加し、悪質な違反には課徴金を科せるようにする法案（個人情報保護法改正案）」について、お考えや気になる点を伺います。差し支えない範囲で結構ですので、率直にお話しください。 この法案にどういう立場で関わっていますか。
自分の個人データがどう使われるか気になる一般の立場
ありがとうございます。一般の立場で「自分の個人データがどう使われるか」が気になる、ということですね。 今回の個人情報保護法の改正について、現時点でどの程度ご存知ですか。
概要は知っている
ありがとうございます。概要は把握されているのですね。 今回の法改正について、全体としてどのように評価していますか。
良くない
率直にありがとうございます。「良くない」と感じていらっしゃるのですね。 その評価につながった点として、具体的にはどのあたりが気になっていますか。
精神障害や犯罪被害、その他知られたくない情報が医療機関以外の第三者に同意なく提供される点。
ご不安なお気持ち、よく分かりました。精神障害や犯罪被害のような「知られたくない情報」が、同意なく第三者に渡るのは抵抗が大きいですよね。 一点だけ補足すると、今回の改正案で「同意なしで他の事業者に渡せる」とされているのは、統計作成やAI開発などの目的に限る、という建て付けになっています（目的外利用は不可）。ただ、実際にどこまでがその目的に当たるのか、本人から見えにくいという懸念は残りうると思います。 この点について、あなたが特に心配しているのは「どんな相手（業種・組織）に渡ること」ですか。
「統計作成やAI開発の目的」は建前にすることが可能。さらにシステム開発や統計情報整理などで下請けや海外企業に情報を出すことが考えられる。一般企業の情報保護などは上辺だけ取り繕っており実務上非常に緩く、従業員の順守意識も非常に低い。これにより医療機関にのみ許されていた個人情報の漏洩リスクが何百倍レベルには上がると思われる。
懸念がとても具体的ですね。「目的は建前にできる」「下請けや海外企業まで広がる」「現場の順守意識が低く、実務が緩い」ことで、医療機関の外に出た瞬間に漏えいリスクが跳ね上がる、という見立てですね。 そのイメージだと、いちばん怖いのは情報が“どんな形で”外に出てしまうことですか。
AIに読み込ませる目的でカルテ情報などがそのまま提出されることがあると考えられる。精神障害や犯罪被害などは（カウンセリングが含まれるものは特に）患者本人以外にも家族や職場の情報などもそのまま漏れる可能性が高い。
おっしゃる怖さ、伝わってきました。カルテがそのまま外部に渡ると、本人だけでなく家族や職場など“周辺の人”の情報まで一緒に出てしまう、という点が特に深刻ですよね。 今お話の前提について一点だけ確認のために補足すると、この法案のポイントは「統計作成やAI開発“だけ”を目的とする場合に、本人同意なしで他事業者へ提供し得る」という枠組みで、目的外利用は禁止、という設計です。ただし、実務で“そのまま出ていく”懸念がある、というのが今のお話だと理解しました。 その懸念を踏まえて伺いたいのですが、同意なし提供が許されるとしても、「これだけは法案や運用ルールで必須にしてほしい」と思う条件はどんなものですか。
まず、目的はいくらでも偽装可能な上に後程変更できるしその過程で情報を知った人間が目的だけに沿った仕様をするとも限らないため、本人同意は目的に限らず必要。また、罰則に関しても1000名からでなく1名からとすべき。
条件がとても明確ですね。ご趣旨としては、 - 「目的限定」では実務上コントロールできないので、同意は原則必須にしてほしい - 被害規模が小さくても重大なので、課徴金などの対象を「1,000人超」に限らず1人からにしてほしい ということですね。 このうち後者について伺います。もし「1名から課徴金対象」にするとした場合、どんな種類の違反をまず対象にすべきだと思いますか。
意図的な譲渡などは当然として、情報を漏洩した場合、漏洩していなくても必要以上に保持した場合にも適用すべき。
ありがとうございます。意図的な譲渡だけでなく、漏えいそのもの、さらに「漏えいしていなくても必要以上に保持した」場合にも対象に、というご意見ですね。 ここで一点だけ補足すると、今回の改正案の課徴金は「不正な取得・提供などで利益を得た悪質な違反」を中心に設計されていて、情報漏えいは原則として課徴金の対象外になっています（加えて、被害者が1,000人超の大規模違反に限定）。そのため、いまおっしゃった方向は、法案の枠組み自体を広げる提案に近いと思います。 その上で伺いたいのですが、「必要以上に保持」を課徴金の対象にする場合、どのくらいの期間や状態からを想定していますか。
取得から3か月以内。必要でなくなった時点を起点にするとバックアップ目的などでいつまでも延長されかねないため。
具体的な線引きまでありがとうございます。「取得から3か月以内」という期限を切ることで、バックアップ等を口実に無期限化するのを防ぎたい、という考え方ですね。 この『3か月以内に削除』を現実に運用するうえで、例外を認めるとしたら、どんな場合なら許容できそうですか。
完全に匿名化されている状態であり、逆引きなども不可能な状態に加工されている場合。ただし、AIに学習させた場合は個人情報が完全に匿名化されていることが担保できないため不可とする。
ありがとうございます。例外を認めるのは「完全に匿名化され、逆引きも不可能な状態に加工されている場合」に限る、一方で「AIに学習させた場合は匿名化が担保できないので不可」という線引きですね。 この場合、あなたが「逆引きも不可能な状態」と判断するために、事業者に最低限示してほしいものは何ですか。
公の第三者機関による査察。
ありがとうございます。「公の第三者機関による査察」が最低限必要、ということですね。 その査察は、どのくらいの頻度で行われるのが現実的だと感じますか。
取得し３か月たった後できるだけ早く。
ありがとうございます。運用としては「取得から3か月経過した後、できるだけ早いタイミングで査察」というイメージなのですね。 その査察で、第三者機関が最低限チェックすべき項目は何だと思いますか。
情報を消したことの確認及び、外部送信先の確認。
ありがとうございます。ポイントは「削除できていることの確認」と「外部送信先がどこかの確認」ですね。 ここまでのお話を踏まえて伺います。この法案について、制度を設計する人に伝えるとしたら、どんな内容になりますか。
同意なしでの提供は不可とする。違反は1名から処分される。課徴金は利益ではなく売り上げ分とする。
ご意見ありがとうございます。要点が非常にクリアで、 - 同意なし提供は不可（目的限定でも不可） - 違反は被害者1名から処分対象 - 課徴金は「違反で得た利益」ではなく「売上ベース」に というご提案ですね。 ここで一点だけ伺います。「課徴金を売上ベース」にする場合、売上の“どの範囲”を基準にするイメージですか。
それにかかわったもの全部。
ありがとうございます。「その違反に関わったもの全部の売上」を基準に、ということですね。 ここまでで主要な論点は一通り伺えたと思いますので、これまでの内容をまとめ、レポートを作成します。
お時間を割いて詳しくお話しくださり、ありがとうございました。ここまでの内容をもとに、インタビューのレポート案をまとめました。ご確認のうえ、事実関係やニュアンスの違いがあれば教えてください。
一般企業の実務上の扱いのいい加減さと順守意識の低さも入れて。
お時間を割いての補足、ありがとうございます。ご指摘の「一般企業の実務上の扱いのいい加減さ・順守意識の低さ」を、懸念点としてレポート案に反映しました。内容をご確認ください。
問題を報告する