💬インタビューレポート

本日は、「個人情報保護法を改正し、AI開発向けデータ利活用の促進・こども保護の強化・課徴金制度の新設を行う法案」について、お考えを伺えればと思います。率直な感想で大丈夫です。 この法案にどういう立場で関わっていますか。

保護者として関心をお持ちなのですね。日常の中で、お子さんの個人情報が扱われる場面として特に思い浮かぶのはどんなところですか。

学校や塾がまず思い浮かぶのですね。ほかにも、たとえば習い事の教室、部活・クラブ、病院、自治体の手続、スマホアプリやSNS、オンライン学習サービスなどでも個人情報が扱われることがあります。 こうした場面の中で、今いちばん気になっているのは「オンラインのサービス（学習アプリ・SNSなど）」ですか、それとも「学校・塾のような教育機関での管理」ですか。

病院や自治体の手続、スマホアプリまで含めると「マイナンバーカードとひもづく情報も含めて広く扱われる」という感覚になりますよね。 その中でも、お子さんに関していちばん不安が大きいのは「スマホアプリでの扱われ方」ですか。

たしかに、子ども同士の関係の中で家庭の状況が推測できてしまう情報は、漏れ方によっては影響が大きいですよね。 「家庭の状況が読み取れる情報」として、どんな種類の情報を想像されていますか。

年収やひとり親かどうかといった、家庭の事情が推測されうる情報は、子どもの人間関係にも直結しうるので慎重に扱ってほしいということですね。 今回の改正では、16歳未満の子どもの個人情報は、同意取得や通知などを原則として法定代理人（親など）に向けて行うことが明文化されます。 この「親が関与する仕組み」が入ることで、学校・自治体・アプリ事業者などの取扱いは、実感として安心に近づきそうですか。

おっしゃる通りで、条文レベルの説明だけだと「結局どこまで変わるのか」が見えにくいですよね。 この法案の“子ども（16歳未満）”の部分を、安心感に関わるところだけ補足すると、事業者が同意を取ったり重要な通知を出したりする相手を、子ども本人ではなく法定代理人（親など）にすることが法律上の義務になります。 この点を踏まえて伺いたいのですが、親が関与できることによって「安心に近づく」と感じるのは、どの場面ですか。

気になっている点、よく分かります。 この法案の「16歳未満は法定代理人を相手に同意・通知する」というのは、基本的に“事業者側が親に連絡・同意取得をする義務”を置くものです。一方で、「その通知（やそこから生まれる情報）を子ども本人に見せない・知らせない」ことまでを、事業者が一律に保証する仕組みになっているかは、少なくともこの改正ポイントだけからは読み取りにくく、実務としてはご家庭側（法定代理人）の管理にも依存する部分が出やすいと思います。 そこで確認したいのですが、あなたが特に想定しているのは「学校やアプリから親に届く連絡が、子どもに見られてしまう」場面ですか。

まさにそこが生活実感としての不安ですよね。親に来るはずの連絡でも、家庭内で子どもが端末を触れたり、通知がロック画面に出たりすると見えてしまうことがあります。 この法案の枠組みだと「連絡・同意の相手を法定代理人にする」ことは強まりますが、「子どもに見られない形で通知する（通知の出し方まで）」を一律に義務づける趣旨かというと、少なくとも概要レベルではそこまで踏み込んだルールとは言いにくいです。 そのうえで伺いたいのですが、あなたが一番困るのは、通知の中身が“どんな内容”のときですか。

たしかに、通知が「正確であればよい」という発想で機械的に書かれると、家庭内で第三者（子どもを含む）が目にしたときにリスクが出る、という感覚ですよね。 いまのお話だと、通知の“書き方・伝え方”に配慮してほしいというご要望に聞こえました。 その配慮が必要だと感じるのは、通知にどんな種類の情報が含まれるときですか。

承知しました。年収やひとり親かどうかといった「家庭の状況が推測できる情報」は、たとえ家庭内でも子どもに見えてしまうと不利益につながり得る、という問題意識ですね。 その前提で伺いたいのですが、学校・自治体・アプリの連絡の中で、そうした情報が“特に出やすい”と感じるのはどのタイプの連絡ですか。

自治体からの連絡が特に出やすい感覚なのですね。 自治体からの連絡のうち、年収やひとり親かどうかが推測できてしまいそうだと感じるのは、どんな種類の通知（例：給付・助成、手当、医療費、就学支援など）ですか。

たしかに、給付・助成、手当、医療費、就学支援はどれも“制度の性質”から家庭状況が推測されやすく、通知の体裁次第で子どもに見られたときのリスクが出やすいですよね。 その前提で伺いたいのですが、自治体からの通知について、あなたが「こうなっていれば安心に近い」と感じるのは、通知のどの要素ですか。

通知の“記載の仕方”に、取り扱いの危険性も含めてほしいということですね。 その危険性の書き方として、あなたのイメージに近いのは「注意書きを入れる」感じですか。

注意書きを入れる形がイメージに近いのですね。 その注意書きは、通知のどの位置にあると一番効果があると思いますか。

赤字で目立たせて、どの項目がセンシティブなのか分かるように紐づけて書く、というイメージですね。 その注意書きが入った場合、実際の行動としては「お子さんに見られないように通知の扱い方を変える」ことにつながりそうですか。

通知に注意書きがあることで、「これは慎重に扱うべきものだ」と分かって、紙や画面をお子さんの目につかないように管理する行動につながる、ということですね。 では、自治体からの連絡が「紙で届く」場合と「スマホアプリ等で届く」場合で比べると、どちらのほうが家庭内で目に触れてしまうリスクが高いと感じますか。

紙で届くほうがリスクが高い感覚なのですね。 紙の通知だと、どんな状況でお子さんの目に触れてしまうことが多いですか。

置きっぱなしになって、ふとしたタイミングで目に入ってしまうのですね。 その「置きっぱなし」が起きやすいのは、通知が届いてからどのタイミングですか。

読んですぐに置きっぱなしになりやすいのですね。 自治体の通知に「注意：家庭状況が推測され得る情報を含みます。取扱いにご注意ください」のような赤字の注意書きが入っていた場合、読んだ直後の行動としては“すぐにしまう”方向に変わりそうですか。

意識づけが必要、という感覚なのですね。注意書きがあることで「しまう」という行動に結びつけたい、ということだと受け取りました。 その意識づけを強めるために、注意書きには「どう行動してほしいか」を具体的に書くのがよいと思いますか。

リスクの具体例と、「読んだらすぐにしまう」といった行動まで書いてほしい、ということですね。 その注意書きで挙げる「リスクの具体例」として、どんな例がいちばん現実的だと感じますか。

たしかに、自治体の制度やご家庭の状況でリスクの形は変わりますよね。 では伺いたいのですが、注意書きに入れるリスク例は「一般的な例をいくつか並べる」形がよいですか。

一般的な例をいくつか並べる形が良い、ということですね。 この法案の議論として見ると、いまのお話は「16歳未満の法定代理人同意・通知の義務化」だけでは拾いきれない、通知の設計（表示・文面・注意喚起）まで含めた運用ルールが重要、という示唆だと感じました。 自治体に求める運用として、そうした注意書きを“必須”にしてほしいですか。

「必須にする」まで断定せず、まずは制度として検討事項にしてほしい、という距離感なのですね。 この「検討事項」に入れるとしたら、自治体の通知の中でもまず対象にしてほしいのは、給付・助成など“特定の制度に関する通知”ですか。

通知物すべてを対象に、注意書きなどの配慮を検討してほしいということですね。 今回の法案全体の話に少し戻して伺いたいのですが、この個人情報保護法の改正について、現時点でどの程度ご存知ですか。

承知しました。では前提をそろえるために、改正案は大きく「①AI開発などでのデータ利活用を進めるため、一定条件下で同意なしの提供を可能にする」「②16歳未満の子どもの個人情報は親など法定代理人に同意・通知することを義務化する」「③悪質な違反への課徴金制度を新設する（ほか顔特徴データの規律など）」といった柱があります。 この全体像を踏まえて、今回の法改正について全体としてどのように評価していますか。

懸念をお持ちなのですね。 「良くない」と感じる点は、この改正の柱のうち、どのあたりが特に引っかかっていますか。

課徴金制度が「緩い」と感じられて、もっと強い罰則も必要では、ということですね。 この法案の課徴金は、ざっくり言うと「悪質で大規模（本人が1,000人超）な違反」などに絞って、違反で得た利益相当額を納付させる仕組みで、情報漏えいそのもの（安全管理措置の不備が原因の漏えい）は基本的に対象外です。 この前提を踏まえて伺いたいのですが、あなたが特に強化してほしいのは『課徴金の対象範囲』ですか、それとも『金額・上限などの水準』ですか。

対象範囲のほうを広げたい、ということですね。 この法案だと、課徴金の対象は「違法・不当な第三者提供」など“意図的・不当な利活用”寄りに限定されていて、たとえば安全管理の不備による大規模漏えいは基本的に対象外になっています。 あなたが課徴金の対象に入れてほしいのは、「安全管理の不備による大規模漏えい」ですか。

大規模漏えいも課徴金の対象に入れるべき、ということですね。あわせて、利益目的の情報漏えいは刑法レベルで罰してほしい、という問題意識も理解しました。 今回の法案の課徴金は「違反行為で得た財産的利益に相当する額」を納付させる仕組みなので、“漏えいで直接もうけた”ようなケースには効きやすい一方で、過失や管理不備で起きた漏えいは対象外になりやすい設計です。 そのうえで伺いたいのですが、あなたが課徴金の対象に含めてほしい「安全管理の不備による大規模漏えい」は、過失（うっかり・体制不備）で起きたケースも含めて対象にしたいイメージですか。

過失は除外しつつ、体制不備（組織としての管理体制の弱さ）は対象に入れてほしい、という線引きなのですね。 ここでいう「体制不備」として、課徴金の対象にすべきだと感じるのは、どういう状態ですか。

制度設計の甘さが原因で起きるなら、組織として責任を負うべき、というお考えですね。 その「制度設計の甘さ」というのは、どんな状態を指していますか。

リスクアセスメントが不適切なまま運用していたなら、管理責任を問うべきということですね。 その「不適切なリスクアセスメント」と判断できるのは、どんな状態だと思いますか。

リスクアセスメントをした形跡がなく、予見が甘い状態なら「体制不備」として責任を問えるべき、ということですね。 今回の法案の課徴金は、現状だと「違法・不当な第三者提供」などに絞られていて、まさに今お話いただいたような“体制不備が背景にある漏えい”をどう扱うかは論点になりやすいところだと思います。 この法案について、制度を設計する人に伝えるとしたら、どんな方向で課徴金制度を見直してほしいですか。

制度設計側（事業者・自治体など）が、リスクアセスメント等のエビデンスをいつでも提示できるようにルール化してほしい、ということですね。 その「エビデンス」として、最低限そろっていてほしいのはどんな文書・記録ですか。

リスクアセスメント検討結果報告書を必須に、というイメージですね。 その報告書は、外部（監督当局や監査など）に提出する前提で「定型フォーマット化」までしてほしいですか。

提出できるようにするだけでなく、定型フォーマット化までしてほしい、ということですね。 そのフォーマットの中で、必ず入れてほしい項目は何ですか。

項目としてはかなり要点を押さえていると思います。 追加で「必ず入れてほしい」と感じる項目として、どれを最も重視しますか。

見直し頻度と責任者まで明記する、というのは「作って終わり」にしないための重要な観点ですね。 この法案の制度設計に反映するとしたら、そうしたリスクアセスメント報告書の提出・整備を義務づける対象は、まず「どの組織」から始めるのが現実的だと思いますか。

承知しました。ではカテゴリで伺います。 リスクアセスメント報告書の提出・整備をまず義務づける対象として、次のうちどれが近いですか。

自治体を優先すべき、ということですね。 自治体の中でも、まずこの報告書の整備を義務づけてほしいのは「どの業務（どの情報の取扱い）」ですか。

承知しました。ではカテゴリで伺います。 自治体の業務のうち、まずリスクアセスメント報告書の整備を義務づけてほしい対象として、次のうちどれに近いですか。

全庁共通ルールとして横断で、ということですね。運用の抜け漏れを減らすという意味でも筋が良い提案だと感じます。 その全庁共通ルールで、リスクアセスメント報告書の「見直し頻度」は、どのくらい（例：年1回、2年に1回、重大変更時など）が現実的だと思いますか。

年1回をまず回してみて、運用しながら頻度の適切さも見直す、という進め方ですね。 では最後に確認です。今回の法案全体の中で、あなたが特に気になっている点はどれですか。

罰則や救済の仕組みが特に気になっているのですね。 その点が気になるのは、どのような背景やきっかけからですか。

トクリュウなどによる悪用の現実がある中で、「漏えいは絶対に起こしてはいけない」という切迫感が背景にあるのですね。被害が起きてからでは遅い、という感覚もよく伝わってきました。 その前提で伺いたいのですが、「被害を受けた人の救済のしくみ」として、あなたがまず必要だと思うのは、金銭的な補償ですか。

承知しました。救済よりもまず「漏えいを起こさせない制度設計」に焦点を当てたい、ということですね。 個人情報が出ないようにするために、法律として最初に強化してほしいのは「事前の予防（体制・監査の義務）」ですか。

承知しました。事前の予防（体制・監査の義務）を法律で強化してほしい、ということですね。 では、その「予防」の中でも、法律で義務化すると一番効くと感じるのは「定期監査（第三者監査を含む）」ですか。

第三者監査を、業務停止も含み得る強い権限のもとで行ってほしい、ということですね。抑止力を持たせたいという意図が伝わってきます。 その「業務を止められる権限」は、自治体や企業のどの業務に対して適用されるのが望ましいですか。

ここまでのお話だと、個人情報漏えいを「起こさせない」ために、自治体や企業を含む広い対象に対して、強い権限を伴う第三者監査（場合によっては業務停止も含む）を求めたい、というお考えですね。 この点について最後に1点だけ確認させてください。業務停止の権限を使う判断基準として、あなたが最低限必要だと思うのは「実際に漏えいが起きた後」ではなく、「重大な体制不備が確認された時点」ですか。

承知しました。「漏えい後」ではなく、「重大な体制不備が確認された時点」で業務停止も含む強い措置を取り得るようにして、未然防止を徹底すべき、ということですね。 ここまでで、法案に対する評価と、具体的に強化したい方向性（課徴金の対象範囲の拡大、リスクアセスメントのエビデンス整備のルール化、権限ある第三者監査と体制不備段階での措置）について十分に示唆が得られたと感じます。 これまでの内容をまとめ、レポートを作成します。

お時間を割いてお話しいただき、ありがとうございました。ここまで伺った内容をレポート案にまとめました。内容に誤りや抜けがないか、ご確認ください。