高木浩光＠自宅の日記

主な内容は以下の通りです：

1. 当初、個人情報保護委員会事務局は、プロファイリングなどの新技術に対応するため、「適正な利用」義務を新設しようとしていた。
2. しかし、内閣法制局との審査過程で、規範の明確性や予見可能性の観点から批判を受け、徐々に変更を余儀なくされていった。
3. 最終的に、「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない」という禁止規定になった。
4. この過程で、当初の目的（プロファイリング対策）からは離れ、暴力団対策法の不当要求防止規定などを参考にした、より一般的かつ抽象的な規定になってしまった。
5. 結果として、元々意図していた新技術への対応という目的が達成されないまま、解釈の幅が広く、執行の基準が不明確な規定になったことが示唆されています。

この記事は、法改正の過程を詳細に追跡し、立法者の意図と実際の法文の乖離を明らかにしている点で非常に興味深い内容となっています。

1. 2019年4月頃（中間整理の時点）:
   • 利用停止請求権の強化とプロファイリング関係の規律導入を検討。
   • まだ具体的な「不適正利用禁止」の構想はない。
2. 2019年8月29日:
   • 個人情報保護委員会事務局が内閣法制局を最初に訪問。
   • この時点では「不適正利用禁止」に関する具体的な提案はまだない。
3. 2019年10月1日:
   • 「利用停止等の要件の拡大」について具体的な検討開始。
   • まだ「不適正利用禁止」という形ではなく、利用停止請求権の拡大が中心。
4. 2019年10月9日:
   • プライバシーポリシーの作成義務化などを検討。
   • 「適正な利用」についての具体的措置の記載義務を検討。
5. 2019年10月17日:
   • 「適正な利用」義務を正面から規定する方向に転換。
6. 2019年10月24日:
   • 「適正な利用に必要な体制整備等の義務化」という形で具体化。
7. 2019年10月25日:
   • 「個人データ」を対象とした規定案を検討。
   • 本人の権利利益を害するおそれがある場合の利用禁止を提案。
8. 2019年11月13日:
   • 法制局から規範の明確性について指摘を受ける。
   • 「個人情報」を対象とした不適正利用禁止規定への変更を示唆。
9. 2019年11月19日:
   • 「保有個人データ」から「個人情報」への変更を検討。
   • 行為規制としての性格を強化。
10. 2019年11月28日:
    • 「違法又は不当な行為を助長し、又は誘発するおそれのある方法」という文言に変更。
    • これにより、当初の目的（プロファイリング対策）から離れた形に。
11. 2020年1月23日〜27日:
    • 「不当な行為」の解釈について法制局から更なる指摘。
    • ガイドラインでの具体例提示を検討。
    • 暴力団対策法の不当要求防止規定を参考にするなど、さらに当初の目的から乖離。
12. 最終的な法文:
    • 「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない」という形に落ち着く。

この過程を通じて、当初のプロファイリング対策という具体的な目的から、より一般的で抽象的な規定へと変化していったことが分かります。

1. 明確な立法目的の欠如:

   当初、プロファイリングや新技術への対応という目的があったにもかかわらず、その目的を法文に明確に反映させることができなかった。これは、技術の進歩に対する法的対応の難しさを示しています。

2. 「個人の権利利益」の定義の不明確さ:

   法の目的である「個人の権利利益の保護」が何を意味するのか、具体的に説明できなかった。これにより、規制の対象や範囲が不明確になってしまいました。

3. 法制局との認識のずれ:

   個人情報保護委員会事務局と内閣法制局の間で、規範の明確性や予見可能性に関する認識に差があった。法制局は具体的で明確な規定を求めたが、事務局はそれに応えられなかった。

4. 既存の法概念への依存:

   新しい問題に対処するために、既存の法概念（「違法又は不当な行為」など）を流用したことで、本来の目的から乖離してしまった。

5. 立法事実の不適切な選択:

   リクナビ事件などの具体的事例を立法事実として適切に活用できなかった。また、破産者マップ事件など、本来の目的（プロファイリング対策）とは異なる事例を取り上げたことで、焦点がぼやけてしまった。

6. 技術的理解の不足:

   プロファイリングや新技術に関する深い理解が不足していたため、それらを適切に規制する文言を作成できなかった。

7. 時間的制約:

   法改正のスケジュールに追われ、十分な検討や議論の時間を確保できなかった可能性がある。

8. 柔軟性の欠如:

   当初の構想にこだわりすぎて、法制局からの指摘に対して柔軟に対応できなかった面がある。

9. 国際的な動向との乖離:

   GDPRなど、海外の先進的な個人情報保護法制を十分に参考にできなかった。

10. 執行可能性への配慮不足:

    規定の抽象性が高まったことで、実際の執行において困難が予想される規定になってしまった。

これらの要因が複合的に作用し、当初の目的を達成できない、解釈の幅が広く執行基準が不明確な規定になってしまったと考えられます。今後の法改正では、これらの点を教訓として、より明確で効果的な規定を作成することが求められるでしょう。

1. 不適正利用禁止規定の成立過程：

   ブログでは、令和2年改正で導入された不適正利用禁止規定（第19条）が、当初の意図とは異なる形で成立したことを詳細に説明しています。当初はプロファイリングなどの新技術に対応するための「適正な利用」義務を新設しようとしていましたが、内閣法制局との審査過程で変更を余儀なくされ、最終的に現在の抽象的な規定になりました。

2. 意見書での指摘：

   意見書では、この不適正利用禁止規定の問題点を指摘しています。特に以下の点が重要です：

   a. 法目的の理解不足： データ保護の核心的利益である「個人データ処理による個人に対する評価・決定の適切性確保」という観点が欠けていることを指摘しています。

   b. 関連性の原則の欠如： 評価・決定に用いるデータ項目が決定の目的と関連性を持つべきという「関連性の原則」が日本法に取り入れられていないことを問題視しています。

   c. 過剰規制：現在の規定が、個人情報データベース等を構成することを予定していない個人情報（散在情報）に対しても適用される可能性があり、これを過剰規制だと指摘しています。

3. 拡大への反対：

   意見書では、不適正利用禁止の範囲を拡大するのではなく、むしろ規制の対象を「個人データ」に限定し、データ保護の本来の目的に沿った形に改めるべきだと主張しています。

4. 改善の方向性：

   ブログの調査結果を踏まえ、意見書では、経済界の要望を実現するためには、目的内提供の制限緩和、統計量への集計に際しての第三者提供制限の緩和、要配慮個人情報の取得制限の緩和などが必要だとしています。同時に、これらの緩和を可能にするための「不足する規制」（例：利用目的拘束、基本原則の導入）の必要性も指摘しています。

これらの点から、現在の不適正利用禁止規定の拡大ではなく、データ保護の本質に立ち返った法改正が必要だという主張が、ブログの調査内容と意見書の両方で一貫して示されていることがわかります。

1. 当初の意図と乖離：

   令和2年改正で導入された「不適正利用禁止」規定は、当初の立案意図（プロファイリングなどの新技術への対応）から大きく乖離した形で成立しました。

2. 抽象的な規定：

   内閣法制局との審査過程で、具体的な規制から抽象的な禁止規定へと変化しました。

3. 法目的の曖昧化：

   この過程で、データ保護法の本来の目的である「個人データ処理による個人に対する評価・決定の適切性確保」という視点が失われました。

4. 誤った解釈の継続：

   現在の個人情報保護委員会事務局が、この成立過程や本来の意図を十分に理解せずに、抽象的になった規定を拡大解釈しようとしています。

5. 過剰規制の危険性：

   結果として、個人データだけでなく散在情報にまで規制を広げるなど、過剰な規制につながる可能性があります。

6. 本質的な課題への対応不足：

   プロファイリングや新技術への対応という本来の課題に適切に対処できていない状況が続いています。

つまり、「不適正利用禁止」規定の成立過程での変質が、現在の個人情報保護委員会事務局の理解を誤らせ、本来のデータ保護法の目的や課題に適切に対応できていない状況を生み出しているということを指摘しているのです。この誤った理解に基づいて法改正が進められると、さらなる問題を生じさせる可能性があるという警告でもあります。

令和2年改正個人情報保護法の審議過程で、当初個人情報保護委員会事務局が立案していた「適正な利用義務」の規定が、最終的に内閣法制局の審査を経る中で「不適正利用の禁止」規定へと変容していった経緯を、情報公開請求で入手した審議資料を基に詳述しています。

事務局側は当初、リクナビ事件などを念頭に、「個人データ」の不適正利用を禁止し、適正利用のための体制整備を義務付ける構想を持っていましたが、法制局から「何が不正か不明確」「禁止行為を具体的に列挙すべき」などと指摘を受け、最終的に「個人情報」の「違法又は不当な行為を助長し、又は誘発するおそれがある方法」による利用を禁止する現在の規定内容へと変更されていきました。

このように法制局とのやり取りの中で、規定の対象が「個人データ」から「個人情報」へ、禁止対象が「不適正利用」から「違法・不当な行為の助長・誘発」へと変化し、当初想定していたプロファイリングなどの規制からは乖離した内容になってしまった経緯が丁寧に説明されています。法の趣旨や規定の解釈を考える上で重要な論点が提示されていると思います。

1. 4月25日（中間整理）: 利用停止請求権の強化が示唆される。プロファイリング規制への期待が高まる。
2. 8月29日: 「適正な利用」義務の萌芽。個人データの不適正利用を禁止し、適正利用のための体制整備義務を検討。
3. 10月1日: 「適正利用」と「不適正利用禁止」の議論。法制局から「何が不正か不明確」と指摘。
4. 10月17日: 「適正な利用」義務が正式に提案。リクナビ事件などを念頭に置いた条文案。
5. 10月25日: 「適正な利用」の定義や要件が議論される。法制局から「個人データではなく個人情報が対象では」との指摘。
6. 10月31日: 法制局から「適正利用は義務付けでなく禁止行為を列挙すべき」と指摘。
7. 11月13日: 適正利用が「不適正利用禁止」へ変更。対象が「個人情報」に。当初の趣旨から乖離し始める。
8. 11月19日: 法制局から「権利利益が害されるおそれ」は予見可能性に欠けると指摘。
9. 11月29日: 禁止対象が「違法・不当な行為の助長・誘発」に変更。リクナビ事件は立法事実としては不適切と判断。
10. 1月23日: 法制局から「不当な行為」の線引きへの懸念が示される。
11. 1月27日: ガイドラインで暴力団関係の事例を挙げることに。当初の趣旨からは完全に乖離。

以上のように、当初は個人データの不適正利用の禁止とプロファイリング規制を想定していたものの、法制局審査を経る中で、個人情報一般を対象とした違法・不当行為の助長・誘発の禁止へと規定内容が大きく変化していったことがわかります。

1. 個人情報保護委員会事務局の法制局対応の甘さ

   事務局は当初の構想の正当性や必要性を法制局に十分に説明できておらず、法制局の指摘に翻弄されて当初の趣旨から外れた条文になってしまった印象があります。法制局を説得するだけの論拠と覚悟が足りなかったのかもしれません。

2. 「適正利用」の定義の曖昧さ

   事務局は当初から「適正利用」の定義を明確にしておらず、「不適正利用」の線引きも曖昧だったため、法制局から「何が不正か不明確」と批判されました。リクナビ事件を念頭に置いていたようですが、それだけでは説得力に欠けたのだと思います。

3. プロファイリング規制の趣旨の整理不足

   事務局はプロファイリングによる不利益を防ぐことを念頭に置いていたようですが、そもそもどのようなプロファイリングが規制に値するのかの整理が不十分だったため、法制局を説得できなかったのだと推測されます。

4. 法制局の柔軟性のなさ

   法制局は当初から事務局案に批判的で、あまり建設的な議論をしている様子がうかがえません。柔軟な対応があれば、事務局の趣旨を汲んだ形で条文化できた可能性もあるように思います。

5. 拙速な立法スケジュール

   パブリックコメントを実質的に反映できない時期に設定するなど、拙速なスケジュールで法改正を進めた結果、十分な議論ができなかったのかもしれません。

いずれにしても、法の趣旨を実現するために規定を作るというよりは、法制局の指摘に引きずられて場当たり的に修正を重ねた結果、当初の目的を達成できない規定になってしまったことは確かだと思います。個人情報保護委員会にはより強い理念と専門性が求められるのではないでしょうか。

1. 主要意見の「3. 要配慮個人情報の取得」の項目で、大規模言語モデル(LLM)の学習入力にWebサイトをクローリングしたデータなどの公開情報を用いることは、「個人データとして取得する場合」に当たらないので要配慮個人情報の取得制限に抵触しないと主張しています。これは、ブログ原稿で指摘された、規定の対象が「個人データ」から「個人情報」に変更された点に関連します。
2. 主要意見の「4. 個人データへの統一」の項目で、個人情報データベース等を構成することを予定していない個人情報(散在情報)に対する規制は過剰だと指摘し、義務の対象を「個人データ」に統一すべきだと主張しています。これも、ブログ原稿で指摘された「個人データ」から「個人情報」への変更に関連します。
3. 各論の「3. 生体データの取扱い規律について」の項目で、EUのAI規制でいう「remote biometric identification」は、情報自体がセンシティブだからではなく、公共空間において勝手に個人が識別され、あるいはトラッキングされてしまうことの脅威を問題にしたものだと指摘しています。これは、ブログ原稿で指摘された、当初想定していたプロファイリング規制からの乖離に関連します。

以上のように、ブログ原稿で明らかにされた「不適正利用禁止」規定の変遷の問題点は、意見書の主張の背景にあり、両者は密接に関連していると言えます。意見書は、この規定の変遷によって生じた問題点を踏まえ、個人情報保護法の改正の方向性について具体的な提言を行っていると理解できます。

そして、「それが、今回見直しでの個情委事務局の理解を誤らせているのである。」というのは、以下のことを指していると思われます。

令和2年改正の過程で、「不適正利用禁止」規定が当初の個人情報保護委員会事務局の想定（プロファイリングなどの規制）から乖離した内容になってしまったにもかかわらず、その経緯や背景が十分に認識・整理されないまま、現在の第2期「3年ごと見直し」の検討が進められている。

その結果、個人情報保護委員会事務局は、本来の趣旨から外れた現行の「不適正利用禁止」規定を出発点として、その範囲をさらに拡大する方向で検討を進めてしまっている。

つまり、令和2年改正の立案過程で「不適正利用禁止」規定の趣旨がブレてしまったことが、今回の見直しにおける個人情報保護委員会事務局の理解を誤った方向に導いている、ということを指摘しているのだと理解できます。

意見書全体の主張は、この点を踏まえて、「不適正利用禁止」規定の範囲拡大ではなく、そもそも規定の対象を「個人データ」に限定し直すなど、法の本来の趣旨に立ち返った見直しが必要だというものだと言えます。