デジタル社会の形成及び人工知能の活用等に関する特別委員会まとめ2026-06-19

問いデジタル社会で事前同意に頼る法制度にどんな限界があり、硬直的な事前規制がデータ利活用やAI産業にどんな影響をもたらすか。

答え稲谷教授:硬直的な事前規制はイノベーションと法律のギャップを生み、機会を失い続ければ個人と社会に深刻な問題を引き起こしかねない。事前同意は個人の認知的負荷が大きく、法益保護に逆効果となる可能性もあり、法益保護のためにもアジャイルガバナンスが求められる。

問いAI学習や統計作成で本人同意を不要とする特例は、国際的な法制度の方向性に合致しているか。

答え石川弁護士:適切なデータ保護やガバナンス、監督を行う枠組みの方が、同意後の扱いが分からない場合より個人の権利利益を保護できることがある。悪質業者のリスクには、適切な執行や業界での周知によって対処すべき。

問いAI利用のリスク評価は誰が行うべきか。企業の自主判断だけで十分か。

答え稲谷教授:技術的措置で個人にひも付かない形にし、処理側も個人情報に触れない方法が考えられる。費用対効果を含め、専門的な見地から適切な措置を議論し、リスクを管理することになる。

問い民間事業者間でデータを利用する場合、本人の権利保護と社会全体の便益のバランスをどう取るべきか。

答え石川弁護士:制度上、個人の権利利益を害するおそれがないことが要件であり、社会全体の便益を理由に特例を認める仕組みではない。

問い課徴金の対象が限定されることと、差止め請求制度がないことについて、消費者の立場から具体的な懸念は何か。

答え郷野事務局長:安全管理措置義務違反が課徴金の対象外だと、安全対策の費用を抑えてリスクを許容する誘因が生じ、抑止効果が不十分になりかねない。被害は金銭的損害に限られず、事後救済では不十分なこともあり、個人が利用停止を求めたり訴訟を起こしたりするのは現実的でないため、差止め請求制度が必要。

問い次世代医療基盤法がある中で、今回の改正案は患者や国民の生活にどのような影響を及ぼすか。

答え黒田教授:患者がデータを守ってもらえていないと感じれば、データを使わせないと言い、結果としてデータ活用全体が止まり得る。

問い国民の信頼を損なわずにデータ利活用を進めるため、政府や事業者に何を求めるか。

答え黒田教授:安全が守られていると分かる、シンプルな制度が必要。一か所で状況や情報を確認でき、そこからオプトアウトできる仕組みが重要で、例外が増えるほど信頼は失われる。

問い海外のAI事業者への個人情報流出が懸念される中、消費者を守るために何が必要か。

答え郷野事務局長:海外での利用や拡散が見えにくく、流出後の追跡、訂正、削除は極めて困難で、不利益や差別的影響も懸念される。提供の有無や提供先の透明性、本人の関与、説明・同意・利用停止、被害救済の仕組みが必要。

問い団体訴訟の導入が見送られたことをどう考えるか。

答え石川弁護士:被害を受けた個人の権利を消費者保護団体が訴える法理論上の整理は難しかったのではないか。次回改正までに論点を整理できれば、検討できる可能性がある。

問い要配慮個人情報を扱う際、PETsや仮名化・匿名化などの再識別防止策を義務化すべきではないか。信頼を保ちながら利活用を進めるにはどうすべきか。

答え稲谷教授:PETsには多様な種類があり、入力時に処理者が情報を見られないようにする方法や、出力から個人情報を推論されないようにする方法がある。専門的知見に基づき状況に合った技術を組み込み、その過程でソフトロー上の義務を設けることはあり得る。

問い改正案に盛り込まれた課徴金制度は実効性があるか。現状では不十分か。

答え石川弁護士:課徴金ではデータ悪用による売上げを吐き出させる。制度の導入自体が個人情報保護法の大きな一歩であり、今後の議論はあり得るが、現状ではよい結論だと考える。

問い改正案成立後に被害を未然に防ぎ、国民の不安を和らげるため、ガイドラインや事業者のガバナンスに最低限必要な基準は何か。

答え郷野事務局長:個人情報の不適正利用は広く消費者に及び、未然防止が重要。現行制度でも早期に止める仕組みは十分でなく、問題のある利用が続いて被害が拡大するおそれがあるため、差止め請求制度の整備が不可欠。

問い今回の特例で変わる点は医療分野に限られるのか。名寄せに、加工されていない名前が必要なのか。

答え黒田教授:医療以外では、名寄せの必要性と、ゲノムのように仮名化が論理的に不可能な個人識別符号を含むかがポイント。そうしたケースはほとんどなく、基本的には仮名加工情報の共同利用で遂行できるはず。

問い統計特例を導入する際、ガバナンスや透明性をどのような段階で整えるべきか。

答え稲谷教授:個人の法益を侵害するおそれがない状態から始めるのは慎重な方法だと考える。規則やガイドラインを作り、理解を得られるよう丁寧に進めると理解している。

問い本人同意がなく、認定を受けていない事業者が生のデータも扱い得る統計特例は、GDPRの枠組みと整合するか。

答え石川弁護士:統計の枠組みで要配慮個人情報を使えるかは、欧州でも議論が続いている。今回の特例では、個人データがモデルから出ないようにし、モデルの範囲を限定することと契約上の制限があるため、現行の委託によるモデル開発に劣らないと考える。黒田教授:安全性を確保する時点をデータ提供時と見るか、モデル完成時と見るかで論点が異なる。データを渡す段階で最小化原則を守る必要があり、ハードローに記載がなければ守られるとは考えられない。

問いGDPRの解釈上、仮名化に限らず顕名データも許容されるのか。

答え黒田教授:引用された文の英語を読むと、仮名化が上限に含まれ得るという意味であり、仮名化を個人情報も含むと解釈するのは当たらないと理解している。

問い改正案が成立した場合、企業は特例を積極的に利用するか。実感を聞きたい。

答え黒田教授:医療分野では、特例がなくても既存の仕組みで対応できる。新制度では病院や利用者が個人情報管理の責任を負うことになり、利用者がかえって萎縮する可能性がある。

問いスタートアップの参入障壁を下げ、個人の権利を保護するため、公的機関や認定事業者が匿名化・仮名化を担う仕組みはどうか。

答え稲谷教授:今回の改正は、個人の法益侵害につながらない条件で統計等を作成できる仕組みで、他の規律を排除しない。データの性質や本人の状況に応じ、規則やガイドラインで適切に処理し、幅広い参入を可能にする方向と理解している。

問い医療機関と患者に契約関係がある場合、情報漏えいは契約違反となり、団体訴訟が意味を持ち得るか。

答え石川弁護士:契約関係があれば患者が消費者となる場合はある。一方、契約関係のない漏えいや従業員データの大量漏えいなど、消費者の概念では捉えにくい場面も多く、被害者を代表する団体について議論が必要。

問い情報漏えいだけでは団体訴訟は使えず、一定の実害が生じた場合に限り意味を持つのか。

答え石川弁護士:現状はそう。

問い情報漏えいへの対応に関して、消費者裁判特例法の不十分な点や改正が必要な点はあるか。

答え郷野事務局長:個人の権利利益の保護の観点から、権利保障の仕組みが後退しており、課徴金、差止め請求、集団的救済の基盤が弱い。

問い消費者関係や実害の要件で団体訴訟が機能しにくい場合、消費者裁判特例法の改正が必要か。

答え郷野事務局長:消費者と事業者の境界は難しく、現行法では対応しきれない部分がある。個人の権利利益が保障される制度改正を求める。

問い認定事業者や医療情報の提供数が増えていない背景は何か。

答え黒田教授:データを出す側のレピュテーションリスクがあるため、提供を考え直すケースがある。データ提供側の負担や責任範囲を制度的に縮めないと、提供が広がりにくい可能性がある。

問い医療機関に情報提供を義務付けるか、提供へのインセンティブを設ける必要があるか。

答え黒田教授:検討会で議論中のため個人の意見を述べる場面ではないが、議論は義務化かインセンティブの二つ。保険診療のデータは基本的に義務で出す方向にまとまりつつあると認識しており、義務で提供するならその後の責任は問われないという制度設計も考えられる。

問い制度整備に時間がかかる間に日本企業の国際競争力が落ちる可能性はあるか。特例を急ぐべきか、安全性を優先すべきか。

答え黒田教授:医療データを正しく使えば日本には競争力があり、京都大学の会社が作るものにも海外から引き合いがある。安野教授の確認に「おっしゃるとおり」と答えた。

問い改正法が成立した場合、規則やガイドラインをどう整えれば個人情報や権利を保全できるか。

答え黒田教授:データ最小化の原則と、利用者の安全管理義務をどう押さえ、担保するかが重要。悪質な利用者が入らない制度設計が必要だが、ソフトローだけでどこまでできるか不安がある。

問い欧州と比べて金額が小さい日本の課徴金は抑止力になるか。海外事業者が日本で広く事業を行う懸念はあるか。

答え石川弁護士:EUでは高額な課徴金がある一方、実際の多くは数千から数十万ユーロ程度。指導や公表だけでも大きな影響があり、既存の指導・勧告も抑止力として機能している。

問い匿名化が難しく、本人や血縁者、子孫にも関わるゲノム情報を今回の改正で扱う場合、どんな懸念があるか。

答え黒田教授:市民や医療機関がどう反応するか想像が付かない。医療機関は病院の評判に直結するため、ゲノム情報を集めて二次利用する会社への提供は難しいだろう。

問い日本が最低限守るべきデータ主権とは何か。

答え稲谷教授:経済安全保障や安全保障に関わる機微な情報は共有の範囲から守るべきで、必要のない拡散は避けるべき。石川弁護士:海外提供が適切でないデータはあり得て、認定時に慎重に判断し、提供しないことも議論すべき。郷野事務局長:影響を受ける消費者の視点を制度設計に反映し、地域の相談や現場の声を参考にすべき。黒田教授:医療データを国として管理し、暗号化したまま個人情報そのものを流通させずに共同利用・解析する考え方があり得る。

問い個人情報保護を強化することで消費者の不安が和らぎ、データ利活用も進むのではないか。経済活動と保護は対立するのか。

答え稲谷教授:完全な対立ではないが、規制対応が難しい小規模企業が新産業に参入できない問題もあるため、信頼の中で双方にとって最適なバランスを探る必要がある。石川弁護士:課徴金が萎縮効果をもたらすとはあまり考えないが、規制への対応力がある企業に限られ、参入企業が限られるおそれがある。

問い課徴金、差止め請求、被害回復などの消費者側の提案が改正案で後退したことをどう見るか。

答え郷野事務局長:個人情報被害は少額多数で、個別救済だけでは実効的な権利保護が難しい。集団的救済制度を設けるべき。

問い医療分野では、現行法の仮名加工情報の共同利用でAI開発や新たな治療知見を得られるため、今回の法改正は不要という考えか。

答え黒田教授:そのとおりだと考える。

問いEHDSでは、個人データのプロファイリングはどのように制限されているか。

答え黒田教授:データの用途を宣言し、許される範囲かを倫理的に判断して実行する枠組みがある。EHDSでもその枠組みがあるため、プロファイリング利用は許されていないだろうと考えるが、事例を全て把握しているわけではない。

問いGDPRがアクセス権、消去権、データポータビリティー権、AIによる自動プロファイリングを拒否する権利を保障しているという理解は正しいか。それらは有効に機能しているか。

答え石川弁護士:アクセス権、訂正権、ポータビリティー権、プロファイリングに関する権利があるという理解は正しい。日本では令和二年改正で利用停止請求権を認めて一定の対応をしたが、AI活用に伴うリスクが高まっており、プロファイリングに関する議論の深化を期待する。

問いGDPRは日本企業にも適用されるか。

答え石川弁護士:欧州に展開する日系企業に適用されるほか、日本企業も欧州向けのサービス提供や域内個人のモニタリングを行えば域外適用される。

問い日本の個人情報保護制度がGDPRの水準に届かない慣行となった場合、日本企業の海外事業に支障が出るか。

答え石川弁護士:日本と同じ実務で欧州向け事業を行うと規制に抵触する可能性はある。一方、日本法は欧州委員会の審査を経て十分性認定を得ており、レビュー後も維持されているため、欧州より水準が低いとは考えていない。

問い日本で本人同意なしに作ったAIモデルが、EUや米国では認められない可能性があるか。

答え石川弁護士:理論上はあり得るが、EUでAIモデル開発自体が禁じられているわけではなく、統計特例で作ったモデルが直ちにEU規制違反になるとは考えない。

問い個人情報保護を十分に行いながらAI開発を進める方法はあるか。

答え石川弁護士:AI特例は個人の権利利益を侵害しても開発を認める制度ではない。安全管理措置はハードローに規定されており、医療などセクター別の問題と一般法の議論は分けて考えるべき。

問い今回の法案の仕組みは、医療分野でも国民の不安を生むのではないか。

答え黒田教授:制度への信頼が損なわれると、日本全体でデータが流通しなくなることを最も懸念する。データが守られていると皆が感じ、同意なしでも利用できると考えられる状態が本来の在り方。

問い技術だけが急速に進む状況で、制度・技術・運用の機動性をどう確保すべきか。

答え稲谷教授:技術に詳しい人がルール形成に参加し、技術現場と連携して進めることが重要。法律の基本骨格と速やかに変える部分を分け、それぞれに適切な関係者を関与させるべき。

問いデータの最小化を判断する責任は、提供元と提供先でどう分担すべきか。

答え石川弁護士:データの持ち方によって仮名加工で整理できる場合と難しい場合がある。黒田教授:最小化は目的で決まり、利用者しか分からない部分がある。医療では長年かけて作った受渡しの仕組みがあり、新たな経路を設けて医療機関を悩ませる必要があるか疑問。

問い個人情報保護法と医療分野などの個別ルールは、どのように役割を分担すべきか。

答え石川弁護士:特例に限って最小限度の原則を明文で置くべきかは議論がある。不安を払拭するため、必要もないのに生データをそのまま提供することは控えるべきだとガイドラインに示し、立法府から求める方法も考えられる。

問いプロファイリングによる差別的取扱いや不利益誘導に、どのような規制や対策が必要か。

答え郷野事務局長:処理の内容は本人に見えにくく、知らない間に評価や区別が行われ、不利益が生じるおそれがある。AIプロファイリングのリスクに対応する規律や、説明責任、本人の適切な関与を含むルール整備が必要。

問い本人同意があっても安全性が担保されないという意見がある中、同意不要の例外をどう考えるか。

答え郷野事務局長:利活用の必要性は理解するが、同意不要の例外は真に限定的な場合に絞るべき。本人が説明を求めたり異議を申し立てたりできる仕組みが必要。

問い仮名加工情報の共同利用では対応しにくく、今回あえて統計特例を設ける意義は何か。

答え稲谷教授:ネット上の情報を収集するスクレーピングでは、個々の同意を得るのは極めて困難であり、立法上の課題がある。また、個人の法益侵害リスクがほとんどない場合に統計的処理を認めれば、各分野で仮名情報を使いにくい状況でも、未知のニーズに応じたイノベーションを促せる。石川弁護士:仮名加工情報で突合する課題があり、データの持ち方によって加工後に整理しにくい場合もある。開発後のモデルを誰が使えるかという点も、共同利用だけでは解決できない法的問題になり得る。