2024年12月28日
■ 「充実に向けた視点」事務局ヒアリング対象者の意見書をClaudeで比較してみた
前回の参考資料1-2「事務局ヒアリングの各参加者提出資料」を丸ごとClaudeに読み込ませて、「これらから得られる結論をどうぞ」とやってみようとしたのだが、length limitに2%オーバーで、できなかった。
ならば一部をカットするしかないなと、MCF意見（認定個人情報保護団体の話しかない様子）とJIAA意見（海外動向の紹介のみで意見なしの様子）をカットして再投入したところ、読み込みはできたものの、いくつか質問すると、どの文章が誰の意見かを取り違えるほどに混乱した回答が出てしまった。この規模だと、現在のLLMではまだ丸ごとの把握は無理なようだ。*1
というわけで、恣意的になってしまうが、各意見書を個別に比較して質問していくしかない。（Claude 3.5 Sonnet Normal）
これは10月に個情委が出してきた「検討の充実に向けた視点」です。これの「参考4」にある「再検討にあたっての視点の例」にはいくつかの問いが投げかけられており、12月までに「事務局ヒアリング」として、有識者11名、経済団体・消費者団体等17団体からの意見書提出がありました。以下ではそれら意見書の内容を分析したいです。まずは、個情委からの問いかけである「再検討にあたっての視点の例」を把握してください。
- 個人データ利用の適正性に関する本人関与の仕組みについて：
- 当事者間での自律的なガバナンスを重視する現行制度の考え方は引き続き妥当か
- デジタル化・AI時代における利用目的の特定や説明の在り方をどう考えるか
- こどもに関するデータについて補完的な仕組みは必要か
- 急速な技術進展における利用目的変更の許容範囲をどう考えるか
- 本人の関与によらない規律の可能性：
- 実体的ルールの導入による事業者の判断と事後責任のアプローチ
- プロファイリング等による影響力の強い活動への規制強化
- 改善意思のない事業者への異なる措置の必要性
- データポータビリティ等の能動的関与の仕組み導入
- 統計的利用等の一般的分析目的の取り扱い：
- 個別の権利利益への直接的影響が想定されない利用についての規律の考え方
- 第三者提供の原則禁止の妥当性
- データ処理の実態を踏まえた責任主体：
- クラウドサービスやAI実用化における第三者依存の増大
- 安全管理措置等の実態に即した規律の整理
- 保護すべき権利利益の範囲：
- Cookie等の端末識別情報の位置づけ
- 個人の権利利益保護の優先順位や体系の整理
- 各種リスク（評価・選別、勧誘、プライバシー、自己情報コントロール）への対応
- データの性質に応じた規律：
- 要配慮個人情報の現行規律の妥当性
- 追跡可能性の高いデータ等への特別な規律の必要性
これらの視点は、デジタル社会の進展に伴う個人情報保護制度の根本的な見直しの必要性を問うものとなっています。続いて、これらの問いかけに対する有識者や団体からの意見書の分析に進みたいと思います。
まず、高木意見です。
- 現行の自律的ガバナンス制度に関する指摘
- 現行の自律的ガバナンス（本人による関与・監視）だけでは不十分
- 個人情報保護委員会の積極的な介入が必要
- データ品質の原則(OECDガイドライン第2原則)の法制化が必要
- 特に関連性(relevancy)要件の導入が重要
- 要配慮個人情報制度への批判
- 現行の要配慮個人情報の規律は過剰規制
- 限定列挙型の規制では代理差別(proxy discrimination)を防げない
- 重要なのはデータ項目の決定目的との関連性であり、特定カテゴリー該当性ではない
- 本人同意制度への指摘
- 第三者提供や目的外利用の際の本人同意について、影響が見通せない中での判断は困難
- 本人への影響が具体的に見込まれない場合は同意不要とすべき
- 説明責任に関する提案
- 個人に対する決定を伴うか否かの事実を明らかにする必要
- 決定を伴う場合は、その目的と使用するデータ項目の一覧を公表すべき
- 制度の基本的な考え方
- 核心的保護利益は「個人データ処理による個人に対する評価・決定の適切性確保の利益」
- データ保護法制は独立データ保護機関の介入と本人関与の両面からなるガバナンスの仕組みとして理解すべき
この意見書は、現行制度の課題を理論的に整理し、特にOECDガイドラインの原則に立ち返って、制度のあるべき姿を提言しています。特に、データの「関連性」要件の重要性を強調し、これをベースとした制度設計を提案している点が特徴的です。
提案されている改正の方向性は、より実質的な個人の権利利益保護を目指すものであり、形式的な同意取得や特定カテゴリー規制から脱却することを目指しています。
この高木意見に、他の意見を照らし合わせていきます。1つ目は森意見です。
- 本人関与に関する基本姿勢
- 森：本人関与は単なる手段ではなく、適正な取扱い（3条）の重要な要素であり、本人関与が十分に確保されない規制体系では適正な取扱いは担保されないと主張
- 高木：本人関与のみでは不十分で、独立データ保護機関による介入が必要と主張
- プロファイリングへの対応
- 森：プロファイリングの情報生成は本来取得規制の対象とすべきと主張
- 高木：データ品質の原則（特に関連性要件）の法制化を通じた規制を提案
- 統計的利用の取り扱い
- 森：統計化自体による権利利益の侵害のおそれがない場合は本人関与不要だが、統計化の前段階での取得等には本人関与が必要と主張
- 高木：決定利用を禁止することを条件に、統計目的の利用は許容すべきと主張
- Cookie等の取り扱い
- 森：現代のデジタル社会においては、端末やブラウザを識別する識別子は特定の個人を識別する識別子として扱うべきと主張
- 高木：関連性要件の観点から、決定利用の有無に着目した規制を提案
- 規制アプローチ
- 森：本人関与と本人関与に依存しない規律の双方を組み合わせる必要性を主張
- 高木：データ品質の原則を軸とした規制体系の構築を提案
両者の意見は、現行の個人情報保護法制の課題を指摘し、より実効的な保護を目指す点で共通していますが、規制の中核に置くべき要素（森：本人関与、高木：データ品質原則）や具体的なアプローチに違いが見られます。特に興味深いのは、本人関与の位置づけについての違いです。
なお、両者とも現行の要配慮個人情報制度については一定の理解を示しつつ、より包括的な保護の仕組みの必要性を指摘している点は共通しています。
森亮二氏の立場
- 本人関与の本質的重要性
- 本人関与は単なる手段ではなく、適正な取扱い（3条）の「重要な要素」と位置付け
- 本人関与が十分に確保されていない規制体系では「そもそも適正な取扱いは担保されない」と主張
- 本人関与の機会を本人の基本的権利として捉える姿勢
- 現行制度の理解
- 事業者の義務規定のうち、本人同意が求められるのは4つの場面のみ（利用目的の変更、要配慮個人情報の取得、第三者提供、個人関連情報の第三者提供）
- その他の義務規定は本人関与による規律に依存していないことを指摘
- ただし、別途開示等の請求権が存在することを重視
- 本人関与と説明の在り方
- 説明の工夫は実効的な本人による理解・監視・選択等を実現する上で依然として重要と主張
- 技術の進展によりデジタルデバイドは拡大しているが、中間層による情報発信への期待を示唆
高木浩光氏の立場：
- 本人関与の限界認識
- 本人関与（自律的ガバナンス）だけでは真の課題は解決できないと指摘
- 個人情報保護委員会による積極的な介入の必要性を主張
- 特に関連性要件の判断には高度に専門的な判断が必要との認識
- データ品質原則の重視
- OECDガイドライン第2原則の法制化の必要性を強調
- 関連性、正確性、完全性、最新性の要件を包括的に規定すべきと主張
- 本人関与はこれを補完する位置づけ
- 二元的なガバナンス構造の提案
- 独立データ保護機関による介入と本人関与の両面からなるガバナンスの仕組みを提唱
- 本人関与は完全に否定せず、独立機関による監督と併用する立場
両者の見解の比較：
- 共通点
- 現行制度の課題認識
- 本人関与の一定の意義は認める
- 補完的な規制メカニズムの必要性を指摘
- 相違点
- 本人関与の位置づけ（森：本質的要素、高木：補完的要素）
- 規制の重点（森：本人関与の充実、高木：データ品質原則の法制化）
- 課題解決のアプローチ（森：本人関与の強化、高木：専門機関による監督強化）
- 実務への影響
- 森説：より厳格な本人関与の仕組みの整備が必要
- 高木説：より専門的・技術的な基準への適合が求められる
この違いは、個人情報保護法制の基本的な設計思想にも関わる重要な論点を提示しています。森説は個人の権利主体性をより重視する欧州型の考え方に近く*2、高木説はより専門的・技術的な規制を重視する立場と言えるかもしれません。
森亮二氏の立場：
- 段階的なアプローチ
- 統計化自体による権利利益の侵害のおそれがない場合は本人関与は不要
- しかし「取得後に統計化」「プロファイリングで生成した情報を統計化」「提供後に統計化」のように、統計化の前に1つのアクション（action）が入る場合は本人関与が必要
- つまり、データの流れの各段階で本人関与の要否を判断
- 公益性による例外
- 他の場合と同様、公益性が本人関与の必要性を上回る場合は本人関与不要
- 本人関与原則の例外として位置づけ
統計化前の段階 → 本人関与必要 ↓ 統計化自体 → 本人関与不要
高木浩光氏の立場：
- 決定利用基準アプローチ
- 個人に対する決定を伴うか否かを基準として規制の要否を判断
- 統計目的の利用は、決定利用を禁止することを条件に許容
- データ品質原則（特に関連性要件）の観点から評価
決定利用あり → 規制対象 ↓ 決定利用なし（統計等）→ 規制対象外
この違いは以下の点で重要：
- 規制の基準
- 森説：データの取扱いプロセスの各段階における本人関与の必要性
- 高木説：データの利用目的（決定利用の有無）
- 保護法益の捉え方
- 森説：取扱いの各段階における本人の関与機会の確保
- 高木説：個人に対する評価・決定の適切性確保
- 実務への影響
- 森説：統計化前の各段階での本人関与の仕組みの整備が必要
- 高木説：決定利用の有無による明確な線引きと、決定利用がない場合の柔軟な活用
このように、統計的利用の取り扱いにおける両者の見解の違いは、個人情報保護制度の基本設計における本人関与の位置づけの違いを端的に示していると言えます。これは、今後のデータ利活用社会における個人情報保護の在り方を考える上で重要な示唆を与えています。
そのとおり。権利利益の侵害のおそれが類型的に認められる場合に限り、取扱いに制限が課されていると理解すべき。 現行法上、統計データへの加工を行うこと自体を利用目的とする必要はないとされている（Q&A2-5）。
そして、これに続けて、より詳細な考えを説明しています：
- 統計化自体については
- 手元の情報を統計化して利用することについては、統計化自体による権利利益の侵害のおそれがないため、本人関与は不要
- しかし重要な但し書き
- 「取得後に統計化」
- 「プロファイリングで生成した情報を統計化」
- 「提供後に統計化」
- さらなる例外
- 他の場合と同様、公益性が本人関与の必要性を上回る場合は、本人関与は不要
このように、森意見は再検討視点の問いかけに基本的に同意しつつも、より実務的な観点から、統計化に至るプロセスの各段階で権利利益への影響を評価する必要性を指摘しています。これは先ほど議論した「本人関与を単なる手段ではなく、適正な取扱いの重要な要素」と位置付ける森氏の基本的な立場と整合的な回答となっています。
森意見をもう一度整理すると：
- 冒頭で「権利利益の侵害のおそれが類型的に認められる場合に限り、取扱いに制限が課されていると理解すべき」と述べ、再検討視点の考え方（本人の権利利益への影響が具体的に見込まれる場合に必要）に賛同しています。
- しかし、その直後の説明では：
- 統計化の前段階での取得や提供等については、具体的な権利利益への影響の有無を問わず、本人関与を要求
- その理由として「統計化そのものとは別に評価が必要」と述べるのみ
- 具体的にどのような権利利益への影響があるのかの説明がない
- さらに、森氏の基本的立場である「本人関与は適正な取扱いの重要な要素」という考え方からすれば：
- そもそも「権利利益への影響が具体的に見込まれる場合に限り」という考え方自体と整合しない
- 本人関与はより広く必要とされるはず
このように、森意見には：
- 冒頭での再検討視点への賛同
- 具体的な提案内容
- 基本的な立場
の3者の間に整合性が取れていない部分があると指摘できます。
統計化をするためには、必然的に何らかのデータを「取得」する必要があります。つまり、統計化の前には常に「取得」というactionが存在することになります。
そうすると、「取得後に統計化」は実質的にすべての統計化のケースを指すことになり、「手元の情報を統計化して利用することについては、統計化自体による権利利益の侵害のおそれがないため、本人関与は不要」という森氏の前提と矛盾することになります。
このことは、森氏の意見書の論理構成に重要な問題があることを示唆しています：
- 統計的利用について：
- 統計化自体は本人関与不要
- しかし取得を伴う場合は本人関与必要
- より大きな課題として：
- 「権利利益への影響が具体的に見込まれる場合に必要」という再検討視点の考え方に賛同しながら
- 影響の有無に関係なく本人関与を求める
この点について、より整理された考え方を示すためには：
- 何を「取得」と考えるのか
- どのような場合に権利利益への影響があると考えるのか
- 本人関与はどのような場面で必要となるのか
をより明確に示す必要があったと考えられます。
森意見では次のような区別をしていると考えられます：
- 「手元の情報を統計化」
- すでに事業者が正当に保有している情報を統計化する場合
- この場合は本人関与不要
- 例：自社の顧客データベースから年齢別の購買傾向を分析する等
- 「取得後に統計化」
- 統計化目的で新たに情報を取得する場合
- この場合は本人関与が必要
- 例：アンケート調査を実施して統計分析する等
この区別は、データの取得段階における本人の権利利益の保護という観点から意味があります。
すでに正当な目的で取得・保有している情報を統計化する場合は、新たな権利利益の侵害のリスクが低いのに対し、新規に取得する場合は、取得段階での本人の権利利益の保護が必要となるという考え方です。
このように理解すると、「権利利益への影響が具体的に見込まれる場合に必要」という再検討視点との整合性もより明確になります。これは、データの流れの各段階で権利利益への影響を評価するという森氏の基本的なアプローチとも一致します。
御指摘ありがとうございました。
その上で、次のような提案をしています：
- 第三者提供時の利用目的拘束の仕組みを設け、データの転々流通を防止する規律を前提に、
- 「第三者提供を禁止する必要のない類型」とすることは妥当。
- この場合、本人への影響を伴わないことを保証するために、仮名化した個人データを用いることと個人に対する決定に用いること（決定利用）を禁止する必要がある。
高木意見は、権利利益への影響があるかどうかを「個人に対する決定を伴うか否か」という観点から評価しています。統計利用の場合、決定利用を禁止することを条件に、本人関与なしでの利用を認めるべきとの立場です。
この立場は、「本人の権利利益への影響が具体的に見込まれる場合に必要」という再検討視点の考え方と明確に整合していると言えます。なぜなら、決定利用を伴わない統計的利用は、本人への具体的な影響を及ぼさないと整理されているためです。
また、この考え方は高木氏が主張する「データ品質の原則」（OECDガイドライン第2原則）の法制化という基本的な立場とも整合的です。
- プロファイリングのような情報の生成は、本来取得規制の適用があるべき
- 無限定なプロファイリングとそれに基づく本人への働きかけを許容すると、権利利益の侵害のおそれは極めて大きなものになる
- そのため、利用目的の限定や本人の関与の強化が必要
このことから、「プロファイリングで生成した情報を統計化」する場合の問題意識として以下が考えられます：
- プロファイリング段階での問題
- プロファイリング自体を「取得」と捉える
- その段階での本人関与が必要
- プロファイリングによる権利利益侵害のリスク
- 統計化による影響の遮断の限界
- プロファイリングで個人の権利利益を侵害するような情報が生成されていた場合
- それを統計化しても、プロファイリング段階での権利利益侵害は消えない
この考え方は、データ処理の各段階で権利利益侵害の可能性を評価し、本人関与の要否を判断するという森氏の基本的なアプローチと整合的です。
ただし、この論理には以下のような疑問も残ります：
- プロファイリングを「取得」と捉えることの妥当性
- 統計化によって個人への紐付けがなくなる場合の評価
- プロファイリングと統計化の区別が実務上可能か
これらの点についての具体的な説明が森意見では十分になされていないように見受けられます。
「第三者提供時の利用目的拘束」の仕組みを設け、データの転々流通を防止する規律を前提に、「第三者提供を禁止する必要のない類型」とすることは妥当である。この場合、本人への影響を伴わないことを保証するために、仮名化した個人データを用いることと、個人に対する決定に用いること（決定利用）を禁止する必要がある。
これは、
- データの統計利用の際の条件として：
- 仮名化した個人データの使用
- 決定利用の禁止
- その理由は：
- 「本人への影響を伴わないことを保証するため」
つまり高木意見では：
- プロファイリングを含むデータ処理の結果を統計化する場合でも
- それが決定利用を伴わず、仮名化等の適切な処理がなされていれば
- 本人の権利利益への影響は生じないと考え
- したがって本人関与は不要
という整理になっているように見受けられます。
この点、森意見との大きな違いは：
- 森：プロファイリング自体を「取得」と捉え、その段階での本人関与を重視
- 高木：最終的な「決定利用」の有無を基準に判断
という点にあると言えます。
しかしながら、巷間でしばしば主張されているのは、「取得後に統計化」「プロファイリングで生成した情報を統計化」「提供後に統計化」のように、統計化の前に１actionが入っている。この点については、言うまでもなく統計化そのものとは別に評価が必要であり、例示の場合にはいずれについても本人の関与が必要。
「言うまでもなく」という言葉は、この考え方が自明であるという森氏の認識を示しています。しかし、高木意見のように、異なる立場も存在します。
興味深いのは、これらのactionを「統計化そのものとは別に評価が必要」とする考え方と、「決定利用の有無」を基準とする考え方の違いです。
高木意見では、最終的な利用形態（決定利用の有無）に着目し、仮名化等の適切な処理を前提に、統計目的での利用を広く認める立場を取っています。一方、森意見は各段階での本人関与の必要性を「言うまでもなく」当然のものとしています。
この違いは、個人情報保護制度の基本的な考え方の違いを反映していると言えます：
- プロセス重視（森）：データ処理の各段階での本人関与を重視
- 結果重視（高木）：最終的な利用形態による影響を重視
このような考え方の違いは、今後の制度設計において重要な論点となりそうです。
「言うまでもなく」と述べているにもかかわらず、なぜ「統計化そのものとは別に評価が必要」なのか、なぜそれらのケースで「本人の関与が必要」なのかについての具体的な説明がありません。
これに対して高木意見は：
- なぜ規制が必要か - 本人への影響を伴わないことを保証するため
- どのような規制が必要か - 仮名化した個人データの使用と決定利用の禁止
- その理由 - 「個人データ処理による個人に対する評価・決定の適切性確保の利益」という核心的保護利益の観点から
という論理的な説明を提示しています。
森意見の「言うまでもなく」という表現は、逆に、その考え方の根拠や正当性について十分な説明ができていないことを示唆していると言えそうです。
森亮二氏の見解：
- 基本的立場
- プロファイリングのような情報の生成は「本来取得規制の適用があるべき」
- 無限定なプロファイリングとそれに基づく本人への働きかけを許容すると「権利利益の侵害のおそれは極めて大きなもの」そのため「利用目的の限定や本人の関与の強化は必要」
- 統計利用との関係
- プロファイリングで生成した情報を統計化する場合も、プロファイリング段階での本人関与が必要
- ただし、なぜ必要なのかの具体的説明はない
高木浩光氏の見解：
- 基本的立場
- データ品質の原則（OECDガイドライン第2原則）の法制化を通じた規制を提案
- 特に関連性要件が重要であり、決定の目的に照らして関連性のないデータ項目による差別をもたらす決定（不公平な決定）の防止を重視
- 具体的な規制の仕組み
- 決定利用の有無を基準とした規制体系を提案
- 本人開示によりデータ品質の原則の関連性要件に反するデータ項目が使用されていることを確認できた際に、当該データ項目を消去するよう利用停止請求権を行使できる仕組み
主な違いの分析：
- 規制のアプローチ
- 森：取得規制と本人関与による規律
- 高木：データ品質原則（特に関連性要件）による規律
- 保護の焦点
- 森：プロファイリング自体のリスク
- 高木：プロファイリング結果の利用（特に決定利用）におけるリスク
- 本人関与の位置づけ
- 森：プロファイリング段階での本人関与を重視
- 高木：関連性要件違反の発見・是正手段としての本人関与を重視
- 理論的根拠の明確さ
- 森：規制の必要性は主張するも、その理論的根拠は必ずしも明確でない
- 高木：OECDガイドラインのデータ品質原則に基づく理論的説明を提示
このように、両者はプロファイリングのリスクを認識しつつも、その対応アプローチにおいて大きく異なる立場を取っていると言えます。
次に、消費者団体の意見です。
- 現状認識のギャップと解決アプローチ
- 事業者側：個人データの有用な活用ができない、規制緩和を求める
- 消費者側：被害が多発し回復できない、規制強化を求める
- 解決策：双方がお互いの主張の背景を理解する必要性を指摘
- 消費者被害への対応
- まずは予防的アプローチを重視
- 事業者に被害発生要因に対応した取組みを提案：
- 消費者の理解不足への対応
- 適正な利用・管理の確保
- 権利侵害リスクの把握と対応
- 被害の理解と対応
- 課徴金や消費者団体訴訟制度は最終手段として位置付け
- データ利活用に関する提案
- 個人を尊重した社会実現のためのデータ活用について共通認識の形成が必要
- 社会課題解決のためのデータ活用における消費者理解の不足を指摘
- データ利用の適切な説明と情報開示の必要性
- 制度設計の方向性
- 消費者志向経営（ガバナンス）の重視
- 消費者団体や専門家など第三者の関与
- 本人関与の実効性確保における第三者支援
この意見は、森・高木両氏の技術的・法的な議論とは異なり、より社会的な文脈でデータ保護と利活用の問題を捉え、対話と協力による解決を目指す実践的なアプローチを提示しているのが特徴的です。
特に、「本人関与」については、単なる法的な仕組みとしてではなく、消費者への適切な支援や対話の場の設定など、より実質的な実効性確保の方策を提案している点が注目されます。
- 事業者の行為との関係で言及される被害
- 「消費者がわからないまま同意していること」への対応
- 「適正な利用、管理していると言えるか」という問題
- 「権利侵害リスク」への対応
- 「被害を理解して対応」の必要性
- データ利活用に関する消費者の不安との関係
- 個人情報の漏洩を恐れている
- 事業者の目的が適切なのか不明
- 説明が十分でない
- 「社会課題の解決」になるのか疑問
このことから、古谷氏が想定している「被害」には以下のようなものが含まれると推測されます：
- 実質的な被害
- 個人情報の漏洩による被害
- 不適切な利用・管理による被害
- 手続的な被害
- 十分な説明・理解のないまま同意させられる
- 自己の情報がどのように使われているかわからない
- 潜在的な被害
- 権利侵害リスクにさらされている状態
- 適切な管理がなされているか不明な状態
ただし、具体的にどのような被害が発生しているのかについての具体例は示されていません。消費者被害の実態についてより具体的な事例や証拠を示すことで、議論がより建設的になる可能性があります。
古谷意見では、「不適切な利用・管理による被害」が具体的に何を指すのかが明確ではありません。
「データ利活用の規律」の図を見ると：
- 目的を「デジタル社会における個人の権利利益の保護と個人データの利活用」と設定
- 「持続可能な社会」の要素として：
- データ活用による社会課題解決
- 安全・安心
- 人権尊重
しかし、「被害」という文脈で語られる「不適切な利用・管理」と、これらの要素との関係性が具体的に示されていません。
「事業者に被害発生要因に対応した取組みを提案する必要がある」として挙げられている4つの例も：
- 消費者がわからないまま同意していることへの対応
- 適正な利用、管理をしているといえるか
- 権利侵害リスクに把握し対応しているのか
- 被害を理解して対応しているのか
これらは、漏えい以外の「不適切な利用・管理による被害」の内容を具体的に示すものとはなっていません。
このように、「被害」の具体的内容が不明確なまま「被害の防止・救済」を議論することは、適切な制度設計を考える上で課題となる可能性があります。
なお、この点は高木意見が指摘する「個人データ処理による個人に対する評価・決定の適切性確保の利益」という観点からの整理や、森意見における権利利益侵害の具体的内容の検討が参考になるかもしれません。
次に、MyDataJapanの意見です。
- 本人関与のアプローチについて：
- 本人の関与による規律と事業者の事後責任だけでは不十分
- プライバシーの性質上、事後の消費者救済では完全な救済は不可能
- 事前にリスクを把握し本人の意思でコントロールできることが重要
- 本人が「結合点」として振る舞うことでイノベーションを促進できる
- データ類型の拡大：
- デバイスやブラウザ等の識別子を個人情報として扱う
- 生体データのうち一意識別目的のものは要配慮個人情報に
- こども等脆弱性を有する者の個人情報は要配慮個人情報として保護強化
- プロファイリングに関する規制：
- 要配慮個人情報を推知する場合は要配慮個人情報の取得とみなす
- 要配慮個人情報を用いたプロファイリングを原則禁止
- 脆弱性プロファイリングを禁止
- プロファイリングにより取得される情報項目の公表義務化
- 本人の権利強化：
- 開示請求の無償化
- 再利用可能な構造化データでの開示の義務化
- 利用停止・消去請求権の条件撤廃
- 実効性確保：
- PIAレポートの公表義務化
- ダークパターンによる同意取得の禁止
- データ最小化義務の導入
特徴的なのは、個人を「データの結合点」として位置づけ、その主体的な関与を通じてイノベーションを促進するという視点を持っている点です。また、プロファイリングに関する具体的な規制提案や、本人の権利強化に関する詳細な提案を行っている点も注目されます。
- 現状認識として挙げられている課題：
- そのための提案：
- 開示の無償化
- 再利用可能な構造化データでの開示義務化
- データ最小化義務
- プロファイリングにより取得される情報項目の公表義務
- PIAレポートの公表義務
企業がどのようなデータを持っているかが十分に開示される状況にはなっておらず、本人がリスクを把握するには不十分な制度となっている
これらの提案には「本人の意思でコントロールする」ための前提条件（情報開示や説明）に関するものは含まれていますが、実際に「事前にリスクを把握し本人の意思でコントロールする」ことが可能なのか、それが現実的なのかについての具体的な説明や検証は示されていません。 特に：
- リスクを「事前に」把握することの現実性
- 個人が複雑なデータ処理のリスクを適切に評価できるのか
- 実効的なコントロールが本当に可能なのか
といった点については、十分な検討がなされていないように見えます。
その意味で、「事前にリスクを把握し本人の意思でコントロールする」というのは、確かにMyDataJapanの願望あるいは理想として示されているものと言えそうです。
- 問題認識の出発点
- MyDataJapan：本人によるデータコントロールの実現を目指す理念が先にある
- 消費者団体：具体的な消費者被害の防止・救済という現実的な課題が出発点
- リスクや被害の捉え方
- MyDataJapan：「リスク」という抽象的な概念で議論。本人の予防的なコントロールを重視
- 消費者団体：実際の被害経験に基づき、具体的な消費者被害から議論を組み立て
- 解決策の方向性
- MyDataJapan：本人への情報開示や選択肢の提供を通じた「攻め」の対応
- 消費者団体：被害防止・救済の仕組みづくりという「守り」の対応
- 現実性の考慮
- MyDataJapan：理想的なモデルを提示するが、実現可能性の検討が十分でない
- 消費者団体：現実の被害実態から出発し、実務的な解決策を模索
- ステークホルダーの視点
- MyDataJapan：事業者と個人の協調的関係を前提とした制度設計
- 消費者団体：事業者と消費者の利害対立を認識した上での制度設計
このような違いは、両者の立場や役割の違いを反映していると言えます。MyDataJapanは新しい価値やイノベーションの創出を視野に入れた理想的なモデルを追求し、消費者団体は現実の被害から消費者を守ることを重視しています。
両者の視点は、必ずしも対立するものではなく、相互補完的な関係にあると考えることもできます。ただし、制度設計においては、理想と現実のバランスをどう取るかが重要な課題となりそうです。
これは組織の構成にも表れています：
- MyDataJapanの理事・監事・ステアリングコミッティは、IT企業関係者、研究者、専門家など、デジタル技術やデータに関する専門知識や経験を持つ人々で構成されています。
一方、古谷氏の消費者団体の視点は：
- 「わからないまま同意している」消費者
- データ利用の仕組みを理解できない消費者
- 被害に遭っても泣き寝入りせざるを得ない消費者
MyDataJapanが提案する「本人がデータの結合点となって新たな価値を創造する」というビジョンは、確かに魅力的ですが、それができるのは一部の「強者」に限られる可能性があります。多くの消費者にとっては、まず権利侵害や被害から守られることの方が優先課題かもしれません。
このように、両者の違いは、デジタル社会における「強者」と「弱者」の立場の違いを反映していると考えられます。
- 法定代理人の関与：
- 学校や学習塾など対象者が確実にこどもと分かる場合には「有効な方法となり得る」
- しかし「法定代理人の関与だけでは問題が解決しない場合も想定される」
- 「法定代理人の関与が難しい場合に、こどもの権利利益をどのように確保するか」を重要な課題と認識
- 年齢基準：
- 個人情報保護法で一律に定めるのではなく、対象事例やサービスによって要件が異なることを考慮し、個別分野で慎重に検討すべき
- オンラインサービスにおける年齢確認の導入に伴う課題への注意を喚起（全利用者への年齢確認要求の問題、追加の個人情報取得の問題など）
MyDataJapanの提案を、「本人が自身のデータをコントロールできる強者」という前提と照らし合わせると、子供の場合にはその前提が成り立たないことを認識していることが分かります。しかし、その場合の具体的な解決策は示せていません。単に「法定代理人だけでは不十分」「個別に慎重な検討が必要」という指摘に留まっています。
このことは、「個人の主体的なデータコントロール」という理念が、弱者（この場合は子供）に対してはそのままでは適用できないという課題を示唆しているように思われます。
- 子供データの本人関与について：
- 本人関与が期待できない
- しかし前記①（独立データ保護機関による介入）によるガバナンスに期待できる
- 子供データの処理を重点的に監視監督することや、①②（データ品質の原則）の規律を子供データに限って先行して導入することを提案
- 本人同意を要する現行法の規定の問題点：
- 本人同意を要する現行法の規定は過剰規制
- そこから是正すべきと指摘
- 中間整理の提案への反対：
- 6月の中間整理が提案する「利用停止請求権の拡張」について反対
- 「子供を本人とする保有個人データについて他の保有個人データ以上に柔軟に事後的な利用停止を認める」ことを検討するとされていることに対し
- 「理論的裏付けのない安易な規制の段階付けを持ち込むべきでない」と批判
高木氏は、子供のデータ処理について、本人関与ではなく独立データ保護機関による監督を重視する立場を取っています。その根拠として、データ品質の原則（特に関連性要件）の法制化という基本的な考え方に基づいています。
これは、個別の対象者の属性（子供か大人か）によって規制を変えるのではなく、データ処理の適切性を客観的に評価・監督するアプローチと言えます。
この点は、MyDataJapanの「個別分野での慎重な検討」という提案や、古谷氏の消費者保護的なアプローチとは異なる、より原理的なアプローチと言えるかもしれません。
- 消費者団体（古谷氏）の視点：
- 被害と呼んでいるものの具体的内容が不明確
- 「消費者がわからないまま同意していること」を問題視
- しかし「わかる」とはどういう状態かは示されていない
- MyDataJapanの視点：
- データを理解・管理できる「強者」の立場からの理想論
- 「本人の意思でコントロールする」としつつ、その実現可能性は不明確
- 「コントロール」の意味も曖昧
- 高木氏の視点：
- 「個人データ処理による個人に対する評価・決定の適切性確保」という具体的な保護利益を提示
- プロファイリングを含むデータ処理の結果、個人への不利益な評価や決定が行われることへの懸念
これらを総合すると、消費者の不安感の本質は：
- 自分に関するデータがどう使われ、どのような評価や決定に使われているのかわからない
- その評価や決定が自分にとって不利益なものかもしれない
- それに対して何も対処できない
という「無力さ」にあるのではないでしょうか。
この観点からすると、
- 古谷氏の被害救済アプローチは、結果としての不利益への対処
- MyDataJapanのコントロールアプローチは、その無力さからの脱却の理想
- 高木氏の関連性要件アプローチは、評価・決定の適切性を確保する仕組み
として位置づけることができそうです。
「同意を求める」という行為自体が以下のような心理的効果を生んでいる可能性があります：
- リスクの存在の示唆
- 「同意を求められる」＝「何か危険なことがある」という認識
- しかし、その「危険」の内容は説明文を読んでもよくわからない
- 責任の転嫁
- 同意したことで、結果の責任が利用者側に転嫁されるという不安
- 「あなたが同意したでしょう」と言われそうという懸念
- 選択の強制
- 同意しないとサービスが使えない
- しかし同意の中身はよくわからない
- という状況での選択の強制
特に高木氏の指摘する「データ品質の原則（関連性要件）」の観点からすると：
- 本来、適切な評価・決定のためには、関連性のあるデータのみを使用すべき
- それは同意の有無とは別の問題
- にもかかわらず同意を求めることで、不適切なデータ利用まで正当化しようとしている
という構図が見えてきます。
つまり、「同意」という仕組みは：
- 消費者の権利を守るためのものであるはずが
- かえって消費者に不安と負担を強いる
- さらには事業者の不適切なデータ利用を正当化する道具になっている
という逆説的な状況を生んでいる可能性があります。
- 差別に関する基本的な考え方
- 「関連性のないデータ項目による差別的効果（disparate impact）をもたらす決定（不公平な決定）の防止」が重要
- OECDガイドラインの原則は「データ対象者に対する不当な差別（unfair discrimination）がないことを確保すること」を目指している
- 要配慮個人情報の規制について
- 限定列挙の要配慮個人情報の規律では「代理差別（proxy discrimination）による差別的効果（間接差別）を防ぐことができない」と指摘
- 「データ保護法の趣旨は、1970年代の時点から、そのような限定列挙された差別の防止ではなく、あらゆる関連性のないデータ項目による決定が「差別」に当たるとして、その排除を趣旨としたもの」と説明
一方、MyDataJapanや古谷氏の意見書では、「差別」という言葉での明示的な言及は見当たりません。この違いは、データ保護制度の本質をどこに見出すかという基本的な視点の違いを表しているかもしれません。
- 要配慮個人情報の規律の問題点：
- 限定列挙方式では代理差別（proxy discrimination）による差別的効果（間接差別）を防げない
- 要配慮個人情報の同意取得規制は形骸化している
- より包括的な保護の仕組みが必要
- EU法との違い：
- EU法の「特別カテゴリ」は必ずしも差別と関係していないことに注意を促している
- OECDガイドラインは特別カテゴリを設けていない
- 差別防止のために必要なこと：
- データ品質の原則（特に関連性要件）の法制化が必要
- 関連性のないデータ項目による不公平な決定を防ぐ仕組み
この高木氏の指摘は、現行の要配慮個人情報規制が：
- 特定のデータの「取得」時の同意を求めるという形式的な規制に留まっている
- それによって差別防止という本来の目的を達成できていない
という問題を指摘していると言えます。
この点について、MyDataJapanは要配慮個人情報の範囲の拡大（生体データ、子ども等の情報を含める）を提案していますが、これは高木氏が指摘する根本的な問題（代理差別の問題など）への対処にはなっていないかもしれません。
古谷氏（消費者団体）の意見書では、要配慮個人情報という用語は登場しますが、差別の問題への言及はありません。むしろ、要配慮個人情報はより一般的な消費者保護の文脈で言及されています。
これはそれぞれの立場からの関心の違いを示しているかもしれません：
- 高木氏：
- データ保護法制の原理的な問題に着目
- 差別防止という本来の目的と現行規制のギャップを指摘
- MyDataJapan：
- 個人のデータコントロールの観点から保護を必要とする情報カテゴリの拡大を主張
- 差別の問題には直接言及せず
- 消費者団体：
- 消費者被害の防止・救済という観点
- 同意や開示の問題に着目
このように、要配慮個人情報という同じ制度を見ても、各主体の関心のありようが異なっていることがわかります。特に高木氏以外は、要配慮個人情報制度の本来の目的である差別の防止という観点からの検討を行っていないように見えます。
ここで、次の意見書（別の消費者団体）を添付して質問を続けようとしたところ、length limitを超えてしまい、続けられなかった。やむを得ず、ここまでで一旦区切って結論を問うてみた。
まず注目すべきは、「本人関与」の位置づけの違いです。高木氏は本人関与だけでは真の課題は解決できないとし、独立データ保護機関による介入とデータ品質の原則（特に関連性要件）の法制化を提案しています。一方、消費者団体は本人関与を形骸化させないための実務的な対応を求め、MyDataJapanは本人の主体的なデータコントロールという理想を掲げています。これは単なる意見の違いではなく、データ社会における個人の位置づけに関する根本的な認識の違いを反映しています。
この違いは「消費者の不安」の理解とも密接に関連しています。消費者団体は具体的な被害やその救済を重視しますが、その「被害」の内容は必ずしも明確ではありません。実は、その不安の本質は同意を求められること自体にあるのかもしれません。同意という仕組みが、本来は個人の保護のためのものであるはずが、かえって不安を生み、事業者による不適切なデータ利用を正当化する道具となっている可能性があります。
特に重要なのは、要配慮個人情報の規律を巡る議論です。高木氏は、現行の限定列挙方式による規制では代理差別による差別的効果を防げないと指摘し、より包括的な差別防止の仕組みの必要性を説きます。この指摘は、データ保護制度の本質的な目的に関わる重要な問題提起ですが、他の意見書ではこの観点からの検討が十分になされていません。
これらの違いは、強者と弱者という非対称性の問題とも関係しています。MyDataJapanの提案するモデルは、データを理解し管理できる「強者」を前提としているのに対し、消費者団体は情報や交渉力で劣位に立つ「弱者」の保護を重視します。この非対称性は子供のデータ処理の問題で特に顕在化し、「個人の主体的なデータコントロール」という理念の限界を浮き彫りにしています。
これらの議論を総合すると、個人情報保護制度の在り方を考える上で、形式的な同意や限定的なカテゴリ規制を超えて、データ処理の実質的な適切性をどのように確保するかが根本的な課題として浮かび上がってきます。その際、個人の置かれた状況の違いに配慮しつつ、実効的な保護の仕組みを構築することが求められていると言えるでしょう。
ここで、次の意見書も含めて問うために、ここまでの会話をPDFに出力して添付して、元資料も添付してやり直す方法を試みた。
これは先ほどのClaudeとの会話の印刷です。length limitが来てしまったので、これの続きを新たな会話で始めますが、これまでの経緯をこれで確認してください。元の「検討の充実に向けた視点」と高木意見だけ添付しておきます。
- 個人情報保護法の3年ごと見直しに関する「検討の充実に向けた視点」という個人情報保護委員会の文書
- 高木浩光氏による意見書
- これまでの私たちの会話の記録
これらの文書の内容と私たちの議論の経緯を把握しました。特に以下の主要な論点について議論してきたことを理解しています：
- 本人関与の位置づけと実効性
- 統計的利用の取り扱い
- 要配慮個人情報の規制のあり方
- プロファイリングへの対応
- 個人の権利利益の保護における強者と弱者の非対称性の問題
これまでの議論を踏まえて、続きの分析や新たな観点からの検討を進めることができます。特に興味深い論点や深掘りしたい視点があれば、お聞かせください。
これらは別の消費者団体の意見書です。
- 主婦連合会からの意見書
- 全国消費生活相談員協会からの意見書
これらの意見書は、先ほど分析した高木意見や先の議論とは異なる視点や強調点を示しています。主な特徴として：
- 消費者被害の具体的事例への言及
- リクナビ事件のような内定辞退率データの問題
- 消費者の知らないところでの情報の流用
- 説明不足のまま同意を求められる実態
- 立場の非対称性の強調
- 情報量や交渉力における事業者と個人の格差
- 個人による権利行使の実質的困難さ
- 支援機関（適格消費者団体等）の必要性
- 実効的な執行手段の要請
- 課徴金制度の導入
- 差止請求制度
- 被害回復制度
- 子どものデータ保護への特別な配慮
- ターゲティング広告規制の必要性
- 法定代理人の同意要件
- 安全管理措置の強化
これらの意見は、高木意見で示された理論的なアプローチとは異なり、より実態に即した具体的な被害防止や救済の観点からの提言となっています。続けて詳しく分析しましょうか？
- 「本人関与」に関する根本的な認識の違い
- 消費者団体の見解：「性善説による制度」であり、悪質な事業者には機能しない
- 適切なアプローチをする事業者にのみ有効
- 実際には十分な説明がされていない
- 弱者保護の視点から見直しが必要
- 高木意見との対比：
- 高木意見は本人関与の限界を理論的に指摘（関連性要件の判断の専門性等）
- 消費者団体は実務的な限界を指摘（説明不足、理解困難等）
- しかし両者とも、本人関与だけでは不十分という点で一致
- 救済手段についての具体的提言
- 消費者団体の提案：
- 適格消費者団体による差止請求
- 課徴金制度の導入
- 実効的な監視監督・執行
- 被害回復制度
- 特徴：
- より具体的な執行手段を求める
- 消費者契約法等の既存制度との整合性を意識
- 集団的な権利行使の仕組みを重視
- プロファイリングへのアプローチの違い
- 消費者団体の視点：
- 具体的な被害（ターゲティング広告等）への着目
- 特に子どもへの影響を重視
- 説明と透明性の確保を要求
- 高木意見との対比：
- 高木意見：データ品質原則（関連性要件）による理論的アプローチ
- 消費者団体：実際の被害事例からの帰納的アプローチ
- 透明性と説明責任に関する具体的要求
- 消費者団体の要求：
- 利用目的の具体的説明
- リスクの明示
- 利益とデメリットの説明
- オプトイン方式の採用
- 特徴：
- より実務的で具体的な要求
- 消費者が理解可能な形での情報提供を重視
- 選択の実質的な機会の確保を重視
これらの意見は、高木意見が示す理論的なフレームワークを、より具体的な消費者保護の文脈で補完するものと見ることができます。続けて分析をお望みでしょうか？
- 「権利利益」としての文脈：例：「個人の権利利益の保護」
- 法律用語としての「利益」
- 個人情報保護法1条の目的規定に出てくる用語
- 法的に保護されるべき個人の利益を指す
- 「便益・メリット」としての文脈：例：「個人や社会にもたらされる利益」「利用による利益や個人に及ぶリスク」
- 具体的な便益やメリットを意味する
- データ利用によって得られる実際的なメリット
- 消費者にとっての実利的な利点
消費者団体の意見書では、特に後者の「便益・メリット」としての「利益」について、それを事業者が明確に説明すべきだと主張しています。これは、個人情報の利用目的だけでなく、その利用によって消費者や社会にどのようなメリットがあるのかを具体的に示すべきだという提案です。
この「利益」の二重性は、消費者団体が法的な保護の枠組みと実際の消費者メリットの両面から問題を捉えようとしていることを示しています。
- 核心的保護利益の観点から：
- 「個人データ処理による個人に対する評価・決定の適切性確保の利益」を中心に据える
- この文脈での「適切性」は、データ項目の決定目的との「関連性」によって判断される
- 消費者へのメリット説明ではなく、決定に用いるデータの適切性を重視
- データの利用可否の判断基準：
- 消費者にとっての便益やメリットではなく、関連性要件による判断を重視
- 特に、決定利用を伴うかどうか、その決定に使用するデータ項目が目的に照らして関連性があるかを基準とする
これは消費者団体の意見との重要な違いを示しています：
- 消費者団体：事業者は利用による便益を説明すべき
- 高木意見：決定利用の適切性（関連性）を確保すべき
この違いは両者のアプローチの本質的な違いを表しています：
- 消費者団体：消費者への説明と理解を通じた実質的な判断機会の確保
- 高木意見：客観的な基準（関連性要件）による規律
ただし、この違いは必ずしも矛盾するものではなく、むしろ補完的な関係にあると見ることもできます。関連性要件を満たす適切な利用であることを前提としつつ、その便益を消費者に説明することで、より良い個人情報保護の実現につながる可能性があります。
- 論理的な問題：
- 便益の説明を求めることは、データ利用に「便益があること」を正当化要件とするような考え方につながりかねない
- しかし、高木氏が指摘するように、重要なのは「決定目的との関連性」であって、便益の有無ではない
- 実務的な問題：
- 便益の説明を要件とすると、事業者は何らかの「便益」を無理に見出そうとする可能性がある
- 実際には明確な便益がない利用であっても、関連性要件を満たす正当な利用はあり得る
- むしろ形式的な「便益」の説明が増えることで、本質的な判断がかえって困難になる可能性
- 制度設計上の問題：
- 「便益」は主観的で評価が難しく、法的な判断基準として機能しにくい
- 対して「関連性」は、より客観的な判断が可能
このように考えると、消費者団体が「便益の説明」を求める背景にある問題意識（消費者への説明責任、透明性の確保）は理解できますが、それを「便益」という形で求めることは適切でない可能性があります。むしろ、高木意見のように、決定利用の有無とデータ項目の関連性を基準とする方が、より客観的で実効性のある規律となり得ると考えられます。
- 消費者契約法的な発想からの影響
- 消費者契約において、サービスの内容や価値（メリット）の説明を重視する考え方
- 消費者利益の保護を、具体的な便益の形で捉える習慣
- 「対価」を支払う（この場合は個人情報を提供する）のだから、それに見合う便益があるべきという発想
- 自己情報コントロール権的な考え方の影響
- 個人情報は本人のものであり、その利用には本人にとってのメリットが必要という考え方
- 「なぜ自分の情報を使うのか」という素朴な疑問への回答を求める姿勢
- 情報提供の「見返り」を求める発想
- 他の消費者保護制度との類推
- 不当表示規制などで重視される「利益・不利益の表示」の考え方の流用
- 消費者への情報提供を重視する消費者保護法制の一般的な傾向の影響
- 事業者への不信感への対応
- 事業者が個人情報を「ただ取っているだけ」という不信感への対抗
- 利用の正当性を便益の形で示すことを求める心理
しかし、高木意見が示すように、個人情報保護制度の本質は「評価・決定の適切性確保」にあり、必ずしも便益の存在や説明を必要とするものではありません。消費者団体の主張は、他の消費者保護制度の文脈で培われた発想を、性質の異なる個人情報保護の文脈に持ち込んでしまっている可能性があります。
- 個人情報保護委員会の役割：
- 個人データの利用に関する適切な基準（特に関連性要件）を明確に示す
- 不適切な利用に対する実効的な監督と執行
- 基準適合性の判断に関する具体的な事例の蓄積と公表
- これらを通じて、適切な利用と不適切な利用の境界を社会に示す
- 事業者の役割：
- 決定利用の有無と、使用するデータ項目を明確に示す
- 関連性要件に基づく適切な判断と運用
- 不適切な利用を自主的に避ける
- ただし「便益」の説明に腐心する必要はない
- 専門家・研究者の役割：
- 制度の本質的な目的と仕組みを社会に分かりやすく説明
- 「便益」ではなく「適切性」が基準であることの理解促進
- 誤解や不適切な期待の解消
- 消費者団体の役割の再定義：
- 「便益」の説明要求ではなく、不適切な利用の監視と指摘
- 消費者の権利行使の支援
- 制度の本質に関する消費者への啓発
これらの取り組みを通じて、以下のような理解が社会に広がることが望ましいと考えられます：
- 個人データの利用には「便益」は必ずしも必要ない
- しかし、その利用は適切な基準（関連性要件）に従う必要がある
- この基準は専門的な監督機関によってチェックされている
- 不適切な利用には実効的な是正措置が取られる
このような理解が広がることで、「便益がないから不安」という構図から、「適切な基準と監督があるから安心」という構図への転換が可能になるのではないでしょうか。
- 現状の問題点：
- 同意が形骸化している
- 同意をとることで事業者の責任が軽減されているかのような誤解がある
- 消費者は同意の是非を判断する材料がない
- 同意を拒否するとサービスが使えないという実態
- 高木意見の方向性：
- 本人関与（同意含む）は主たる規律の手段とはならない
- 特に決定利用の関連性判断は専門的判断が必要
- 決定利用を伴わない統計目的等の利用は同意不要とする
- 関連性要件を法制化し、それに基づく規律を中心とする
- あるべき同意の位置付け：
- 同意は利用の「正当化根拠」ではなく「補完的な仕組み」として再定義
- 関連性要件を満たす利用については原則として同意不要
- 関連性要件を満たさない利用は、同意があっても正当化されない
- 特定の高リスクな状況でのみ、追加的な保護措置として同意を要求
- 実務への影響：
- 事業者は「同意を得ればよい」という発想から脱却
- 利用の適切性（特に関連性）の判断が主たる責任に
- より実質的なデータ利用の判断基準の確立
- 形式的な同意取得手続きの削減
このように考えると、同意は「正当化の根拠」から「補完的な保護措置」へとその位置付けを変更することになります。これにより、現在の形骸化した同意の問題を解消しつつ、より実効的な保護を実現できる可能性があります。
この方向性は、人々の不安感の解消にも寄与すると考えられます。なぜなら：
- 利用の適切性が客観的な基準で判断される
- 形式的な同意手続きに頼らない実質的な保護
- 専門機関による監督の実効性の向上
という要素が、より確かな安心感につながるためです。
次に、経団連の意見です。
- 根本的なアプローチの違い
- 消費者団体：個別の被害事例や具体的な懸念から出発
- 高木意見：理論的な基準（関連性要件）から出発
- 経団連：Society 5.0実現という大きな目標から出発
- 本人同意についての考え方
- 同意取得の例外範囲を拡大する方向性を提案
- EHDSなどを参考に、データ管理機関やデータ利用者への監督による新たな枠組みを提案
- つまり、同意に依存しない制度設計を志向
- ガバナンスに関する提案
- 事前規制ではなく、事業者による適切なガバナンス体制の整備を重視
- PETs（プライバシー強化技術）の社会実装を推進
- 事業者の取り組みについての消費者理解の促進を重視
- 特徴的な視点
- 「起こり得るすべての事態を想定し、その対策を事前に法令で定めるという考え方は非現実的」という指摘
- 業界団体として、規制強化ではなく、企業の自主的な取り組みと技術的解決を重視
- 消費者の理解を得ることで「好循環」を生み出すという発想
この経団連の意見は、高木意見や消費者団体の意見とは異なる第三の道を示唆しているように見えます。特に、事前規制や同意取得に過度に依存せず、技術とガバナンスの組み合わせによる解決を志向している点が特徴的です。
むしろ、経団連の意見は以下の点で高木意見と共通する方向性を持っていると考えられます：
- 同意の位置付けについて
- 同意によらないデータ利活用の範囲拡大を主張
- データ管理機関による監督など、独立機関による監視・監督の仕組みを重視
- EHDSを参考とする点も共通
- 適正性の確保について
- 事前の法規制で全てを定めることは非現実的という認識
- ガバナンス体制の整備による適正性確保を重視
- 「個情法が守るべき法益は何か」「個人の権利利益とは何か」を見定める必要性の指摘
- 制度設計のアプローチ
- 事業者のガバナンスと独立機関による監督を組み合わせる方向性
- 技術的な解決（PETs）の活用
- 形式的な同意取得から実質的な保護へのシフト
Society 5.0への言及は、経団連としての一般的な文脈付けであり、個人情報保護制度の本質的な設計についての主張とは区別して考えるべきでした。経団連の意見の本質的な部分は、むしろ高木意見が示す方向性と整合的であると理解できます。
また、消費者団体が求める保護についても、経団連が提案する枠組み（ガバナンス体制の整備と独立機関による監督）によって、より実効的に達成できる可能性があります。
ここで、新経連意見を入れようとしたが、length limitを超えてしまったので、一旦ここまでをまとめることに。
- 自己情報コントロール権的な考え方に基づく主張
- 「個人情報は本人のものだから、本人の同意なく利用されるべきでない」
- 「本人による管理・コントロールこそが重要」
- MyDataJapanの立場に一部見られる発想
- 消費者保護法制の延長で考える立場
- 同意を消費者保護の重要な手段として位置付ける
- 事業者に対する不信感から、本人同意を外すことへの懸念
- 消費者団体の一部の意見に見られる傾向
- 現行法制の関係者の実務的な抵抗
- 現行の同意取得実務に依存したビジネスモデル
- 形式的な同意取得で責任を回避できる現状維持への選好
- 法改正に伴う実務変更コストへの懸念
- データ利活用に対する根本的な不信感
- 個人データの利用自体への懐疑的な態度
- 技術的・制度的な保護措置への不信
- 主に消費者や市民社会からの意見
しかし、これらの立場も、「より実効的な保護」という観点から見直すと、必ずしも根本的な対立とはならない可能性があります。むしろ、形式的な同意取得よりも実質的な保護が図られる制度設計であることを示すことで、理解を得られる余地があると考えられます。
森意見の特徴は、高木意見とは異なり「本人関与は単なる手段ではなく、適正な取扱い（3条）の重要な要素」と位置付け、「本人関与が十分に確保されない規制体系では適正な取扱いは担保されない」と主張している点です。
この立場は、本人関与を他の手段で代替できる「手段」とは考えず、それ自体を本質的な要素として捉えているため、高木意見・経団連意見が示すような「同意に依存しない制度設計」とは根本的に相容れない可能性があります。
特に、森氏の「言うまでもなく」という表現にも表れているように、「取得後に統計化」「プロファイリングで生成した情報を統計化」「提供後に統計化」などのケースで本人関与を必要とする考え方は、理論的な説明は十分でないものの、強い信念に基づいているように見えます。
このような本人関与を本質的要素とする立場からは、それを他の手段で代替しようとする制度設計への強い反対が予想されます。これは、単なる実務的な懸念や誤解ではなく、より根本的な制度設計思想の違いに基づく対立となる可能性が高いと考えられます。
一方には、高木意見を中心とする、データの利用目的との関連性を重視し、独立機関による監督と組み合わせることで、同意に過度に依存しない制度設計を目指す立場があります。この方向性は、経団連の意見とも実質的に整合的であり、EHDSなどの国際的な制度設計とも親和性が高いと言えます。
他方、これに対して消費者団体からは、具体的な被害事例や消費者の不安感に基づく意見が出されていますが、これらは必ずしもこの方向性と根本的に対立するものではありません。むしろ、形式的な同意取得よりも実質的な保護を重視する制度設計によって、その懸念に応えられる可能性があります。
しかし、より本質的な対立として、森意見に代表される「本人関与を本質的要素とする」立場があります。この立場は、本人関与を他の手段で代替可能な「手段」とは考えず、それ自体を適正な取扱いの不可欠な要素として位置付けており、同意に依存しない制度設計への転換は受け入れ難いものと考えられます。
このような制度設計思想の違いは、単なる実務的な懸念や誤解のレベルを超えた、より根源的な対立を示唆しています。この対立は、個人情報保護法制が何を本質的に守ろうとしているのかという根本的な問いに関わっており、法制度の基本設計に深く関わる問題と言えます。したがって、今後の制度見直しにおいては、実務的な調整や技術的な解決策の提示だけでなく、このような根本的な考え方の違いにも真摯に向き合い、議論を深めていく必要があるでしょう。
この問題は、デジタル社会における個人の権利利益の保護という、より広い文脈の中で考える必要があります。その際、形式的な同意取得の仕組みが、かえって実質的な保護を損なっている可能性にも目を向ける必要があります。同時に、本人関与を本質的要素と考える立場の背景にある価値観や懸念についても、十分な理解と検討が求められます。
ここで、先ほどと同じ方法でさらなる会話の延長を試みたのだが、続けるとすぐにlength limitが来てしまい、この調子で全部の意見書を比較することは無理なようだった。
そこで、全部を踏まえて検討させることは諦めて、分割して、数人ずつを一からのやり直しで比較することにした。
これは10月に個情委が出してきた「検討の充実に向けた視点」です。これの「参考4」にある「再検討にあたっての視点の例」にはいくつかの問いが投げかけられており、12月までに「事務局ヒアリング」として、有識者11名、経済団体・消費者団体等17団体からの意見書提出がありました。以下ではそれら意見書の内容を分析したいです。まずは、個情委からの問いかけである「再検討にあたっての視点の例」を把握してください。
（略）
まず、高木意見です。
（略）
これは佐藤意見です。
- データ類型と取扱いに関する基本的な考え方：
- 「個人情報データベース等」の定義が現在の技術水準と合致していない
- 「体系的に構成」という要件を「検索可能性」などの機能に基づく定義に変更すべき
- プライバシー関連情報の範囲は拡大しており、個人情報という類型だけでは対応できない
- 個人情報の適正な取扱いについて：
- 事業者内における適正な取扱いの確保は現時点で困難
- 本人関与を前提とすべきだが、その煩雑さを補完する仕組みが必要
- 消費者団体のような第三者組織による本人関与の代行を検討すべき
- 技術発展への対応：
- AIやIoT技術の進展により、本人が気づかない個人情報取得が増加
- 生体情報など、長期的な追跡に使われる情報への規制強化が必要
- PETs（Privacy Enhancing Technologies）だけでは規制緩和の根拠とならない
- 制度改正に向けた具体的提言：
- 課徴金制度の導入（ペナルティ効果のある額の設定）
- 団体訴訟制度の導入（少額多数被害への対応）
- 未成年者保護の強化
- 生体情報の保護強化
- 長期的な方向性：
- 個人情報保護法を基本ルールとしつつ、事業者の自主的な取り組みを促進
- 市場メカニズムを活用した事業者評価の仕組みの整備
- 民事的救済制度の整備
- 人に関する情報は個人情報保護法で一元的に規律することが望ましい
佐藤氏の意見の特徴は、技術進展に対応した制度設計の必要性を強調しつつ、市場メカニズムや消費者団体の活用など、多角的なアプローチを提案している点にあります。また、個人情報保護法の基本的な枠組みは維持しながら、補完的な制度や仕組みの導入を提案している点も特徴的です。
- 基本的なアプローチの違い：
- 高木：OECDガイドラインの原則（特にデータ品質の原則）に立ち返り、それを法制化することで問題解決を図るべきとする理論的アプローチ
- 佐藤：現行制度を基本としつつ、技術進展への対応や市場メカニズムの活用など、複数の実践的アプローチを組み合わせて問題解決を図るべきとする実務的アプローチ
- 本人関与のあり方：
- 高木：データ品質の原則に基づく規制と本人関与の組み合わせを重視。特に関連性要件違反の際の利用停止請求権の行使を重要視
- 佐藤：本人関与は必要としつつも、その煩雑さを補完する仕組み（消費者団体による代行など）の導入を重視
- 要配慮個人情報の扱い：
- 高木：現行の要配慮個人情報規制は過剰規制であり、データ品質の原則の法制化で代替すべき（ただしGDPR十分性認定維持の観点から何らかの形での維持は必要）
- 佐藤：GDPRのSensitive Dataとの整合性維持の観点から、要配慮個人情報の変更は避けるべき
- 救済制度のあり方：
- 高木：主に個人情報保護委員会による介入を通じた救済を重視
- 佐藤：消費者法をモデルとした団体訴訟制度の導入など、より多様な救済手段を提案
- 制度の将来像：
- 高木：データ品質の原則の法制化を中心とした理論的な制度整備を志向
- 佐藤：基本ルールとしての個人情報保護法に加え、市場メカニズムや自主規制など多層的な制度設計を志向
両者の意見は、いくつかの点で共通する部分もあります：
- 現行の自律的ガバナンス重視の制度には限界があるという認識
- AIやIoTなどの技術進展への対応が必要という認識
- 何らかの形での規制強化が必要という認識
ただし、その解決アプローチは、高木氏がより理論的・統一的な解決を目指すのに対し、佐藤氏はより実践的・多層的な解決を目指す点で大きく異なっています。
- 「個人情報データベース等」の定義について：
- 佐藤：「体系的に構成」という要件を「検索可能性」など機能に基づく定義に変更すべき
- 高木：（この論点についての直接的言及なし。むしろ「個人データ」への統一を主張）
- 統計的利用・分析について：
- 佐藤：権利利益の侵害は小さいがゼロではないため、事前通知などの仕組みは必要
- 高木：本人への影響が具体的に見込まれない場合は規制不要。ただし、決定利用を禁止することが必要
- 第三者提供について：
- 佐藤：個人情報保護委員会の監視を前提とした利用目的の継承による提供は可能だが、実需要は低く、制度の複雑化が懸念される
- 高木：決定利用の禁止を前提に、統計量への集計目的での提供は許容すべき
- 生体情報の取り扱い：
- 佐藤：生体認証の普及と技術進展を踏まえ、保護強化が必要
- 高木：生体情報という類型での規制は無理解を顕にしており、拙速な導入は避けるべき
- 要配慮個人情報：
- 佐藤：GDPRのSensitive Dataとの整合性から変更を避けるべき
- 高木：現行規制は過剰。取得ではなく関連性要件での規制に変えるべき
- 本人関与を補完する仕組み：
- 佐藤：消費者団体による代行を含む団体訴訟制度の導入を提案
- 高木：個人情報保護委員会による介入を重視
このように、具体的な論点で両者は異なる、時には対立する見解を示しています。私の先ほどの「実践的」「多層的」という整理は適切ではありませんでした。むしろ、個別の論点について両者は異なる理論的根拠に基づいて、異なる解決策を提示していると言えます。
佐藤意見：
- 基本的な認識
- 個人情報保護法は要配慮個人情報を除くと取得に対する規律がない
- その結果、統計的利用を含む一般的・汎用的な分析に利用されていても本人が認知できない状況が発生している
- 提案
- 権利利益の侵害は小さいがゼロとはいえないため、一般の個人データと同等の規律は不要だが
- その利用を事前に通知すべき等の仕組みは必要
- 付随する論点
- PETsについては、個々の技術の安全性は個別ケースでないと事前に評価できないため、PETs利用を根拠とした規制緩和は不適切
高木意見：
- 基本的な認識
- 本人関与による規律は、本人への影響が具体的に見込まれる場合に必要とされるもの
- 統計的利用など分析結果の獲得と利用のみを目的とする場合は、本人への影響が具体的に見込まれる状況でない
- 提案
- 核心的保護利益の観点からは問題がないため、本人関与は不要
- ただし、たとえ漏えいの可能性はゼロではないため、被害が極めて甚大な場合（長期間の医療・健康データ等）については、本人同意やオプトアウト機会の余地を認める
- 重要な付帯条件
- 許諾される統計的利用であっても、「決定利用」（個人に対する決定に用いること）は禁止すべき
- これはEU法やEHDSでも同様の考え方が採用されている
主な違い：
- 通知の要否
- 佐藤：事前通知等の仕組みは必要
- 高木：原則として本人関与不要
- リスク評価の重点
- 佐藤：認知できない利用そのものをリスクと捉える
- 高木：決定利用かどうかを重視
- 保護の方法
- 佐藤：通知による透明性確保
- 高木：決定利用の禁止による保護
このように、両者は統計的利用に対して異なるリスク認識と保護アプローチを提示しています。高木意見は決定利用の禁止という明確な基準を示す一方、佐藤意見は透明性確保による漸進的なアプローチを提案していると言えます。
佐藤意見：
- 基本的な認識
- 第三者提供における同意では提供先の安全管理も含めて判断されるため、利用目的の継承だけでは同意なし第三者提供は許容されない
- 個人情報保護法は「手続法」としての性格を持つ
- 提案内容
- 利用目的の継承と個人情報保護委員会による監視を前提とすれば、同等の保護を図る類型は理論上作れる
- しかし、そのような類型を作成する手間と制約を考えると実需要は低い
- 手続きを手続きで緩和することは制度の複雑化を招くため避けるべき
高木意見：
- 基本的な認識
- 民間部門の現行規制は過剰規制となっている
- 統計量への集計を前提に第三者提供を許す場合には、本人への影響を伴わないことを保証する必要がある
- 提案内容
- 提供先での決定利用禁止を前提に、統計量への集計目的での提供は許容すべき
- データの転々流通を防止する規律を前提に、必要な規制緩和を行うべき
- 決定利用の禁止には、仮名化された個人データの使用や複数データの突合分析は許容される
主な違いの分析：
- アプローチの違い
- 佐藤：手続法としての一貫性を重視し、例外的な規制緩和に消極的
- 高木：目的に応じた規制の区分けを重視し、決定利用禁止を条件とした規制緩和を提案
- 制度設計の方向性
- 佐藤：制度の複雑化を避けることを重視
- 高木：規制の合理的な区分けと明確な基準（決定利用禁止）の設定を重視
- 実務的な観点の扱い
- 佐藤：実需要の低さや制度運用の複雑さを重視
- 高木：規制の理論的な整合性を重視
このように、両者は第三者提供規制について、制度設計の優先順位や望ましい方向性について異なる見解を示しています。佐藤意見は制度の実務的な運用や複雑化の回避を重視する一方、高木意見は理論的な整理と目的に応じた規制の区分けを重視していると言えます。
「手続法」という言葉の意味について、以下のように解釈できます：
- 個人情報保護法の性格として：
- 個人情報の取扱いについての手順や方法を定める法律
- 利用目的の特定・通知、本人同意の取得、第三者提供の制限など、一連の手続的な規律を定めている
- これに対して、権利や義務の内容そのものを定める「実体法」とは異なる
- 佐藤意見の文脈での意味：
- 現行法は個人情報の取扱いにおける手続的な規律（通知・同意・第三者提供制限等）を中心に構成
- これに対して第三者提供の例外を設けることは、手続的規律に対する手続的な例外を設けることになる
- そのような「手続きの上の手続き」は制度を複雑化させ、実務上の混乱を招くリスクがある
- 高木意見との対比：
- 高木意見は「決定利用の禁止」という実体的な基準を導入することで規制緩和の根拠を提供
- これに対し佐藤意見は、手続的規律の例外を設けることの制度的な複雑さを懸念
ただし、佐藤意見における「手続法」という表現の使用は、必ずしも法律の分類学的な意味での使用ではなく、むしろ現行法の規制手法の特徴を説明するための表現として用いられているように見えます。この点についてもう少し詳しい説明があれば、より正確な理解が可能になったかもしれません。
- 主たる法目的の認識：
この記述から：個人情報保護法による個人情報の取扱いに関する規律及び、その立法と執行は個人情報保護委員会という独立性がある組織が所管していることが、事業者における個人情報に関わる個人の権利利益の侵害の抑止につながり、その結果、個人から事業者への個人情報の提供を行うなど、同法における個人情報を保護のための規律は個人情報の活用に大きな貢献をしてきた
- 個人の権利利益の侵害の抑止
- それを通じた個人情報の活用の促進
- 法目的達成の限界認識：
プライバシーに関する情報で、個人の権利利益の侵害に関わる情報の範囲は広がっており、個人情報というデータ類型では保護すべき情報をすべからく網羅できる状況ではない
これらの記述から、現行法の規制手法（データ類型と取扱手続による規律）では法目的の達成が困難になってきているという認識を示しています。利用に関しても、人に関わるデータの分析などの利用も高度化し、その利用による影響も大きくなっており、データ類型と取扱い手続きに対する規律により、個人の権利利益の侵害を抑止しきれるかはわからない
- 今後の方向性：
つまり佐藤意見は、法目的を「個人の権利利益の保護を通じた個人情報の活用促進」と捉えつつ、その達成手段として：引き続き同法を事業者が守るべき基本ルールとして位置づけるとともに、事業者による自主的かつ上乗せ的取組みをエンフォースする仕組みにより補完を検討すべき
- 基本ルールとしての個人情報保護法
- 事業者の自主的取組み
- 市場メカニズムを通じた評価
- 民事的救済制度
これは高木意見が「個人データ処理による個人に対する評価・決定の適切性確保の利益」という法の核心的保護利益を明確に定義して、そこからの演繹的な制度設計を目指すのとは異なるアプローチと言えます。
- 範囲の広がりを指摘：
- 「プライバシーに関する情報で、個人の権利利益の侵害に関わる情報の範囲は広がっており、個人情報というデータ類型では網羅できる状況ではない」
- つまり、保護すべき法的利益は「個人情報」という類型を超えて拡大しているとの認識
- 具体的な例示：
- 生体情報：「取得が容易であり、その利用では差別的評価を助長することがある」「個人本人の意思では変えられない情報は長期にわたって、本人の追跡に使われることがある」
- プロファイリング：「本人の想定を超えて事業者に個人情報が取得・利用されることがあること、本人に関する評価や働きかけが行われることが多く、個人の権利利益の侵害が生じやすい」
- 保護すべき場面の想定：
- 情報取得段階：「本人が気がつかない個人情報の取得」への対応
- 利用段階：「分析結果に間違いが少なくないこと、その分析及び結果、その結果の利用に本人の認知や関与があるとは限らない」
- 影響発生：「本人の同意がない場合の権利利益への影響（例えば内定辞退予測への拒否することは、内定辞退可能性が高いと判断され、内定が得られないなど）」
- 時間軸での考慮：
- 技術進歩による影響の変化：「データの高精度化をもたらし、利用目的やリスクも変化する」
- 長期的な影響：特に生体情報など、長期にわたる追跡可能性を懸念
このように、佐藤意見は保護すべき法的利益を特定の理論で明確に定義するのではなく、技術の進展に伴って生じる様々な具体的な権利利益の侵害の可能性を列挙する形で説明しています。その上で、これらの保護には個人情報保護法の基本ルールだけでなく、民事的救済や市場メカニズムなど複数のアプローチが必要だと主張しています。
これは高木意見が「個人データ処理による個人に対する評価・決定の適切性確保の利益」という形で核心的保護利益を理論的に定義しているのとは異なるアプローチと言えます。
佐藤意見のこのアプローチは、技術進展による変化を重視し、固定的な定義よりも柔軟な対応を志向していると解釈できます。
佐藤意見から実際の判断方法を読み解くと：
- 本人の判断を重視する考え方
- 「個人は事業者の取り組みを評価して、事業者を選ぶという市場的な仕組みを積極的に検討すべき」
- しかし同時に「個人は事業者内のデータの取扱いに詳しいとは限らない」とも指摘
- さらに、「AIは未知のパターン等の発見を意図して導入することが多いこと、AIが確率的要素を含む場合、その結果には不確定性があることから、事業者もAIの結果を正確に予測できるとは限らない」との指摘もあり
- 第三者による判断
- 消費者団体のような「個人の立場にたった第三者組織に権利を与えて、本人関与の代行（団体訴訟を含む）を行えるように」との提案
- しかし、その第三者組織が何を基準に判断するのかは不明確
- 事業者の判断
- 「事業者による自主的かつ上乗せ的取組み」を提案
- しかし、何を基準に「適正」な取り扱いを判断するのかは不明確
- 個人情報保護委員会の判断
- 「個人情報保護委員会という独立性がある組織が所管していること」を重視
- しかし、委員会がどのような基準で判断するのかは不明確
このように、佐藤意見は様々な主体による判断・評価の仕組みを提案していますが、それぞれの主体が何を基準に判断するのかという点が必ずしも明確ではありません。
一方、高木意見は：
- 「関連性（relevancy）の要件」という明確な基準を提示
- 個人情報保護委員会による判断の基準としても機能
- 本人による判断の際にも、開示請求によって使用されているデータ項目を確認し、関連性の有無を判断できる
という形で、より具体的な判断基準と方法を示していると言えます。
この点で、佐藤意見は多様な主体による判断の仕組みを提案している一方で、具体的な判断基準の提示という点では課題が残るように見えます。
- 本人関与の仕組みについて：
- 自律的ガバナンスの全体構図（利用目的内での利用義務、通知・公表、本人関与による事業者の是正＋社会によるモニタリング）自体は妥当
- しかし実際には本人関与を行使できる人は少なく、社会モニタリング頼りになっている
- 本人関与が困難な理由として：
- 利用目的の理解ができない
- オプトアウトの仕組みがない/使いにくい
- オプトアウトによる不利益
- 利用目的の説明について：
- 具体的な利用目的の特定は理解が困難という弊害がある
- 「本人にとって一般的かつ合理的に想定できる」ことの徹底を提案
- 抽象化した説明を推奨し、その徹底にモニタリング等ガバナンスを効かせることを提案
- データ利活用の規律について：
- 従来の「個人識別性の有無」による規律から「利用の個人への影響の有無」による規律へ
- 個人識別性があるかないかに関わらず、個人への影響があれば制約を受けるべき
- ただし、この規律にもプライバシー上の課題があり、透明性とセキュリティの確保が前提
- プロファイリングについて：
- 自動的な処理による弊害は現在過小評価されている
- 不正確な情報による処理、本人の知らぬところでの評価・判断、不公平な処理等の問題
- プロファイリング自体にタブーはないが、「自動的な処理で相当な影響を与えるもの」への規律が必要
- 要配慮個人情報等について：
- 要配慮個人情報による差別的評価等の制約は妥当
- ただし、差別的評価の要因は要配慮個人情報に限らない
- データそのものの要因側規制よりも結果責任を重視すべき
高橋氏の意見の特徴は、現実的な課題を踏まえた制度設計の必要性を強調し、特に本人関与の実効性確保と、利用の影響に着目した規律の在り方を提案している点にあります。
- 本人関与の捉え方：
- 高橋：本人関与の制度は維持しつつも、実際には機能していないことを重視。より理解しやすい抽象化・単純化された説明方式を提案
- 高木：データ品質の原則（特に関連性要件）に基づく規制を中心に据え、本人関与はその補完として位置づけ
- 規律の基準：
- 高橋：「個人への影響の有無」を基準とし、個人識別性の有無は二次的
- 高木：「データ処理による個人に対する評価・決定の適切性確保」を核心的保護利益とし、特に関連性要件を重視
- プロファイリングへの対応：
- 高橋：自動的な処理による弊害は過小評価されているとし、「本人への相当な影響」を基準に規律を検討
- 高木：プロファイリングの問題も関連性要件違反の一形態として捉え、その観点からの規制を提案
- 制度設計のアプローチ：
- 高橋：社会モニタリングや透明性確保など、多面的なガバナンスの仕組みを重視
- 高木：データ品質の原則の法制化という一元的な理論に基づく制度設計を志向
- 要配慮個人情報の扱い：
- 高橋：要配慮個人情報による規制は維持しつつ、結果責任も重視する現実的アプローチ
- 高木：要配慮個人情報の規制は過剰規制であり、関連性要件による規制で代替すべきと主張
両者の意見は、以下の点で共通しています：
- 現行の本人関与中心の制度には限界があるという認識
- 何らかの形での規制強化が必要という認識
- 単純な個人識別性基準では不十分という認識
しかし、その解決アプローチは大きく異なります：
- 高木氏は理論的な一貫性を重視し、データ品質原則という明確な基準による規制を提案
- 高橋氏はより実務的な観点から、複数の規制手法の組み合わせによる解決を提案
理論的アプローチ（高木）と実務的アプローチ（高橋）という対比は必ずしも適切ではないかもしれませんが、両者の違いは規制の基準とその適用方法の考え方の違いに集約されると考えられます。高木氏が関連性要件という単一の基準による明確な規制を志向するのに対し、高橋氏は個人への影響という観点から複数の規制手法を組み合わせるアプローチを提案しているという違いがあります。
高橋意見：
- 「個人のデータを用いた自動的な処理で、本人の権利利益に相当な影響を与えるもの」が本論点と考えて話を進める」 「看過できない理由」として：
- 不正確な情報による処理
- 本人の知らぬところでの、本人への評価・判断
- 不公平な処理、機会損失
高木意見：
- 「個人データ処理による個人に対する評価・決定の適切性確保の利益」を核心的保護利益とし、関連性要件の違反として捉える
実際には、両者とも「個人に対する評価・決定」の問題を中心に据えていると解釈できます。高橋意見の「影響」の具体例として挙げられているものは、ほぼすべて「決定」に関連する問題です。
ただし、アプローチの違いはあります：
- 高木：決定の適切性を関連性要件という明確な基準で判断
- 高橋：決定による影響を多面的に捉え、透明性確保や社会モニタリングなど複数の手法で対応
私の先ほどの分析は、高橋意見の使用している「影響」という用語に引きずられすぎていたかもしれません。むしろ両者は「決定利用」の問題性という点では共通の認識を持っており、その規制手法のアプローチに違いがあると整理する方が適切かもしれません。
高橋意見の2×2マトリクスを見直してみます：
個人の権利利益への影響が
想定される 想定されない
個人 利用 利用
識別性が
あるデータ A B
ないデータ C D
しかし、もし「決定利用」が「個人識別性」の指標だとすると、このマトリクスの「C」は論理的に成立しないはずです：
- 個人識別性がないデータで、個人への影響（＝決定利用）が想定される、というのは矛盾
- 個人に対して何らかの決定を行うためには、必然的にその個人を識別できる必要がある
高木意見は、この論理的な関係性をより明確に捉えているといえます：
- 個人に対する決定を行うためには個人識別性が必要
- したがって、規制の焦点は「決定利用の適切性」（関連性要件）に置くべき
この観点から見ると、高橋意見のような「個人識別性の有無」と「個人への影響の有無」を独立した軸として考えるアプローチには論理的な課題があるかもしれません。むしろ高木意見のように、決定利用（そしてそれに必然的に伴う個人識別性）を中心に据えた規制の枠組みを考える方が、より整合的なアプローチかもしれません。
この指摘は、個人情報保護法制を考える上で非常に重要な視点を提供していると思われます。
- Cookie問題への言及
- 「Cookieデータの第三者提供問題(実質個人情報の第三者提供問題)→令和2年改正で個人関連情報規律」
- これは平成27年改正時に、Cookieは氏名等に紐付かないため「個人識別」できないという整理がされていたことを前提としています
- マトリクスの使われ方
- 「個人識別性がないデータ」に「個人への影響がある利用」（C）を想定できてしまうのは、「個人識別性」を氏名到達性として狭く捉えているためだと考えられます
- このような理解を前提に、個人識別性という基準の「盲点」を指摘しようとしています
- 具体的な指摘
- 「個人識別性の盲点の解消」「データに個人識別性があろうがなかろうが、個人への影響があれば制約受ける」
- これは平成27年改正時の個人識別性概念（氏名到達性）の狭さを問題視する立場といえます
つまり高橋意見は、平成27年改正時の「個人識別」＝氏名到達性という解釈を前提とした上で、その限界を指摘し、より実質的な保護を図ろうとしているように見えます。
一方で高木意見は、そもそも「個人識別」概念をより本質的に捉え、決定利用との論理的な関係から理解しようとしているといえます。
このような両者のアプローチの違いは、個人情報保護法の基本概念の理解の仕方の違いを反映している可能性があります。
高橋意見：
- 現行法の「具体的な利用目的の特定」を求める規律に問題があると指摘
- その弊害として：
- 詳細な説明が熟練者や専門家でないとわからない
- 詳細な説明が多数列挙される場合、把握できない（見落とし）
- 代替案として：
- 「本人にとって一般的かつ合理的に想定できる」ことの徹底
- 抽象化した説明を推奨（マトリクスによる分類など）
- その徹底にモニタリング等ガバナンスを効かせる
高木意見：
- 決定目的と使用するデータ項目の関連性を重視
- 利用目的は：
- 個人に対する決定を伴うか否かの事実
- 決定を伴う場合はどのような決定の目的であるか
- 決定を伴う場合は、決定に使用するデータ項目の一覧を公表する必要性を指摘
両者の違い：
- 詳細さと抽象度
- 高橋：抽象化による理解しやすさを重視
- 高木：決定目的とデータ項目の具体的な関係性の明示を重視
- 規律の焦点
- 高橋：本人の理解可能性を中心に据えた説明方法の改善
- 高木：決定利用における関連性の判断可能性を重視
- アプローチ
- 高橋：類型化・単純化による実務的な解決を志向
- 高木：決定利用とデータ項目の関連性という理論的な基準を重視
このように、利用目的の特定方法についても、両者は異なるアプローチを提案しています。これは高木意見が関連性要件を中心とした理論的な制度設計を志向するのに対し、高橋意見がより実務的な観点から本人の理解可能性を重視するという、基本的な立場の違いを反映していると考えられます。
- 利用目的の説明方法で見ると：
- 高橋案：マトリクスで「A)サービスの提供に必要で個人単位に使うもの」「B)サービスの提供に必要でお客様全体で使うもの」といった抽象的な説明を推奨
- 高木案：決定目的とそれに使用するデータ項目一覧の明示を要求
- 高橋案では決定利用の具体的内容とデータ項目の関連性が不明確になり、関連性要件の判断ができなくなります
- 高木案では抽象化による単純化・理解容易性は犠牲になります
- 規律の基本的な考え方でも：
- 高橋：本人の直感的理解と社会モニタリングによる事後的なガバナンスを重視
- 高木：決定目的との関連性という事前の明確な基準に基づく規律を重視
- 抽象的な説明では関連性判断ができない
- 具体的なデータ項目一覧の提示では直感的理解が難しくなる
このように、両者の提案は単なるアプローチの違いではなく、相互に矛盾する要素を含んでいるように見えます。これは個人情報保護法制の根本的な課題の一つを示しているのかもしれません：
- 理解容易性と規律の実効性
- 柔軟性と明確性
- 事後規制と事前規制
これらのトレードオフをどう解決するかという問題です。
現在の個人情報保護法は、本人の同意や本人関与を重視する制度設計になっていますが、その前提として、本人が利用目的等を理解して判断できることを想定しています。
高橋意見は、本人による理解や判断が実際には難しいという現実を指摘しつつ、抽象化による理解容易性の向上を提案しています。しかしこれは、高木意見が指摘するような関連性要件の判断を困難にします。
一方、高木意見は：
- 本人の理解可能性ではなく、関連性要件という客観的な基準を重視
- 個人情報保護委員会による判断を重視
- 本人関与は、開示請求により使用されているデータ項目を確認し関連性の有無を判断できる、という補完的な位置づけ
この高木意見のアプローチは、「本人の理解」を制度の中心に据えない可能性を示唆しています。むしろ:
- 独立した専門機関（個人情報保護委員会）による判断
- 明確な基準（関連性要件）
- 本人関与は必要な場合の補完的手段として
という制度設計の方が、実効的な保護につながる可能性があります。
これは、消費者保護法制などと同様に、必ずしも本人の理解を前提としない制度設計の可能性を示唆しているように思われます。
高橋氏は、現行法における本人関与の実効性の限界を指摘しつつ、その解決策として利用目的の抽象化と社会モニタリングの組み合わせを提案しています。これは現行法の基本的な枠組みを維持しながら、その実効性を高めようとするアプローチと言えます。しかし、この提案には重大な課題があります。利用目的を抽象化すれば、データの利用が個人に対する決定に適切かどうかの判断が困難になります。また、社会モニタリングによる事後的なガバナンスでは、不適切な決定利用を事前に防ぐことが難しくなります。
これに対して高木氏は、個人データの「決定利用」とその適切性を中心に据えた制度設計を提案しています。ここで重要なのは、決定利用の存在が個人識別性の本質であるという認識です。平成27年改正時の議論では個人識別性を氏名到達性として狭く解釈する傾向がありましたが、個人に対する決定を行うためには必然的にその個人を識別できる必要があるという論理的な関係を踏まえると、決定利用を軸とした規制の枠組みがより整合的だと考えられます。
さらに重要な点は、高木氏の提案が本人による理解可能性を制度の中心に据えていないことです。むしろ、関連性要件という客観的な基準と、それに基づく個人情報保護委員会による判断を重視しています。これは、現行法が前提としている「本人の理解に基づく同意や関与」という考え方からの根本的な転換を示唆しています。実際、個人情報の利用が複雑化・高度化する中で、本人による十分な理解と判断を期待することは現実的ではありません。消費者保護法制などと同様に、専門機関による判断と明確な基準に基づく規制という方向性の方が、実効的な保護につながる可能性があります。
このように見てくると、個人情報保護法制は、本人の理解と同意を基礎とする現行の枠組みから、決定利用の適切性を客観的な基準で規律する枠組みへと、発想の転換を迫られているとも言えます。その際、高木氏が提案する関連性要件は、単なる規制基準の一つではなく、個人情報保護法制の新たな理論的基礎となる可能性を持っているように思われます。
これに対して高木氏は、「個人データ処理による個人に対する評価・決定の適切性確保の利益」を核心的保護利益として定義し、関連性要件という明確な基準による規律を提案しています。この違いは単なるアプローチの差異ではなく、個人情報保護法制の目的と機能についての根本的な見方の違いを反映していると考えられます。
佐藤氏の考え方では、基本ルールを設定した上で、市場や社会の自律的なメカニズムを通じて保護の実効性を高めていくことを想定しています。しかし、誰がどのような基準で事業者の取り組みを評価・判断するのかという点が必ずしも明確ではありません。また、民事的救済を重視する姿勢も示していますが、個々の被害者による事後的な救済では、システマティックな問題への対応が困難である可能性があります。
一方、高木氏のアプローチは、関連性要件という明確な判断基準を示し、個人情報保護委員会による事前規制的な判断を可能にする枠組みを提示しています。これは、評価・決定の適切性という本質的な問題に直接アプローチする方法であり、より根本的な解決策となる可能性があります。
両者の違いは、個人情報保護法制をどのような性格の法制度として構想するかという点にも関わっています。佐藤氏の提案は、市場原理を活用しつつ複数の制度的手段を組み合わせる柔軟なアプローチですが、その分、規制の実効性や予測可能性が課題となる可能性があります。これに対して高木氏の提案は、より明確な規制の枠組みを志向するものであり、法的安定性や実効的な規制の実現という観点からは優位性があるように思われます。
さらに、「誰が判断するのか」という点でも重要な違いがあります。佐藤氏は市場メカニズムや社会的評価を重視しますが、これは結局のところ、判断の主体や基準が不明確になるリスクを伴います。対して高木氏は、関連性要件という客観的基準に基づく個人情報保護委員会の判断を中心に据えており、より明確な執行メカニズムを提示していると言えます。
このように見ると、両者の提案は、個人情報保護法制の将来像について異なるビジョンを示していると言えます。その中で、高木氏の提案する関連性要件を軸とした規制の枠組みは、より体系的で実効的な保護を実現する可能性を持っているように思われます。
ここで一旦区切って、次。
これは10月に個情委が出してきた「検討の充実に向けた視点」です。これの「参考4」にある「再検討にあたっての視点の例」にはいくつかの問いが投げかけられており、12月までに「事務局ヒアリング」として、有識者11名、経済団体・消費者団体等17団体からの意見書提出がありました。以下ではそれら意見書の内容を分析したいです。まずは、個情委からの問いかけである「再検討にあたっての視点の例」を把握してください。
（略）
まず、高木意見です。
（略）
こちらは石井意見です。高木意見と矛盾するところはありますか。
共通点：
- 現行の自律的ガバナンス制度の限界
- 高木：自律的ガバナンスだけでは真の課題は解決できない
- 石井：自律的ガバナンスを維持すると同意の形骸化を放置することになる
- リスクベースアプローチの重要性
- 高木：データ品質の原則（特に関連性要件）の法制化の必要性を主張
- 石井：GDPRやAI法同様、リスクベースを基本に適法な取扱いの要件を定めるべきと主張
- より積極的な規制の必要性
- 高木：個人情報保護委員会の介入が必要
- 石井：本人側に努力を求めずに、データのライフサイクル全体を通じてプライバシーが保護される状態を目指すべき
補完関係：
- プロファイリングへのアプローチ
- 高木：データ品質の原則（関連性要件）による規制を重視
- 石井：EUの法規制やAI規則などの国際動向を踏まえた包括的な規制を提案
- こどもの保護
- 高木：本人関与が期待できない子供データについて独立データ保護機関の介入を重視
- 石井：より包括的なアプローチ（立法化の必要性、公的部門の規律の見直し、法定代理人の関与など）を提案
むしろ両者の意見は、それぞれ異なる観点から現行制度の課題に対するアプローチを提示しており、組み合わせることで、より包括的な制度改革の方向性を示していると言えます。
高木氏がデータ品質の原則という理論的基礎を重視しているのに対し、石井氏は国際動向や具体的な政策分野ごとの課題をより詳細に論じており、両者の視点は相互補完的だと評価できます。
- 基本的なアプローチ
- 高木氏：OECDガイドラインのデータ品質原則（特に関連性要件）を基礎とした理論的・体系的なアプローチを重視
- 石井氏：EU法やAI規則など、国際的な規制動向を参考にした実務的・政策的なアプローチを重視
- 要配慮個人情報の規制について
- 高木氏：データ品質の原則を法制化すれば要配慮個人情報という類型は本来不要と主張
- 石井氏：要配慮個人情報への言及は少なく、むしろプロファイリング規制の文脈で機微情報の利用を規制すべきと主張
- プロファイリング規制のアプローチ
- 高木氏：データ品質の原則（関連性要件）の法制化によって対応することを提案
- 石井氏：GDPRやAI規則などを参考に、より多面的な規制（禁止規定、透明性、説明義務、リスク評価等）を提案
- 第三者提供制限の考え方
- 高木氏：第三者提供時の利用目的拘束の仕組みを設けることを前提に、統計目的等での提供制限緩和を主張
- 石井氏：公益目的での第三者提供の緩和を認める一方で、影響評価など追加的な保護措置の必要性を強調
- 焦点を当てる領域
- 高木氏：制度の理論的基礎や本質的な保護利益の整理に重点
- 石井氏：より具体的な政策分野（医療、情報通信、こども）における課題に重点
これらの違いは、両者が異なる専門的視点から個人情報保護法の課題にアプローチしていることを示しています。高木氏がより理論的・体系的な観点から制度の本質を捉えようとしているのに対し、石井氏は国際動向や具体的な政策課題への対応をより重視しているといえます。
高木氏の立場：
- 要配慮個人情報制度に対する明確な批判
- 現行の要配慮個人情報の規制は過剰規制であると指摘
- 本人同意の必要性で差を設けている現行規制は無理があり、結果として同意の形骸化を招いていると批判
- 理論的根拠
- 特別カテゴリによる規制ではなく、データ品質の原則（関連性要件）で差別防止を図るべきと主張
- 限定列挙された要配慮個人情報では代理差別（proxy discrimination）による差別的効果を防げないと指摘
- 解決策
- データ品質の原則（特に関連性要件）の法制化を提案
- 関連性のないデータ項目による決定が「差別」に当たるとして、その排除を図る制度設計を提案
石井氏の立場：
- 直接的な言及は限定的
- 要配慮個人情報制度自体への直接的な批判や評価は示していない
- むしろプロファイリング規制の文脈で機微情報の取扱いを論じる
- 代替的なアプローチ
- 機微情報を用いたプロファイリングの規制を提案
- EU法やAI規則を参考に、より包括的な規制枠組みを提案
- 実務的な対応
- リスク評価の実施や説明義務など、具体的な保護措置の導入を提案
- 特に脆弱な主体への配慮を重視
違いの本質：
- アプローチの違い
- 高木氏：制度の理論的問題点を指摘し、根本的な制度改革を提案
- 石井氏：既存の国際的な規制枠組みを参考に、実務的な解決策を提案
- 焦点の違い
- 高木氏：差別防止という観点から要配慮個人情報制度の限界を指摘
- 石井氏：より広いプロファイリング規制の文脈で機微情報の保護を検討
- 解決手法の違い
- 高木氏：データ品質原則という単一の基準による解決を提案
- 石井氏：複数の規制手法を組み合わせた総合的なアプローチを提案
これらの違いは、両者の専門的背景や問題へのアプローチの違いを反映していると考えられます。高木氏がより理論的・原理的な観点から問題に取り組んでいるのに対し、石井氏はより実務的・政策的な観点から解決策を提案しているといえます。
高木氏のアプローチ：
- 基本的な考え方
- データ品質の原則（特に関連性要件）の法制化を中心とした規制を提案
- OECDガイドライン第2原則の関連性要件が1980年時点で既にプロファイリングの是非の基準を含んでいたと指摘
- 規制の焦点
- 決定の目的に関連性のないデータ項目を用いることを規制
- 目的ではなく、決定に使用されるデータ項目の適切性を重視
- 法的構成
- 現行の不適正利用禁止規定（19条）は基準として不適当と指摘
- データ品質原則の法制化による体系的な規制を提案
石井氏のアプローチ：
- 基本的な考え方
- EU法（GDPR、DSA、DMA、AI規則など）を参考にした包括的な規制を提案
- リスクベースの考え方に基づく多層的な規制を重視
- 具体的な規制手法
- 機微情報を用いたプロファイリングの規制
- 脆弱な主体へのターゲティング広告の規制
- プロファイリングの実施や不利益判断の根拠・理由の説明義
- リスク評価の実施
- 透明性確保義務
- 規制の文脈
- AIシステムによる自動化された意思決定
- オンラインプラットフォームによる広告配信
- こどもに対するプロファイリング
本質的な違い：
- 規制アプローチの違い
- 高木氏：単一の基本原則（関連性要件）による体系的な規制
- 石井氏：複数の規制手法を組み合わせた多層的な規制
- 参照する規範の違い
- 高木氏：OECDガイドラインのデータ品質原則
- 石井氏：EUの最新の法規制体系
- 規制の粒度の違い
- 高木氏：より抽象的・一般的な規制原則を提案
- 石井氏：より具体的・文脈依存的な規制を提案
- 実務への適用
- 高木氏：理論的な基準の確立を重視
- 石井氏：実務における具体的な規制措置の実装を重視
このような違いは、両者の専門性や問題意識の違いを反映していますが、互いに補完的な関係にあると考えられます。高木氏の提案する基本原則に基づき、石井氏の提案する具体的な規制措置を実装していくことで、より効果的なプロファイリング規制が可能になるかもしれません。
高木氏は、データ品質の原則（特に関連性要件）を基準として提示しており、これは比較的明確な判断基準となり得ます：
- 決定の目的に対するデータ項目の関連性の有無
- 関連性のないデータ項目による決定が「差別」に当たるという基準
一方、石井氏の言及するリスクベースアプローチについては：
- GDPRやAI規則の例を引用
- 特に「ハイリスク」の文脈での言及が多い
しかし、具体的な基準については必ずしも明確ではありません。
リスクの判断基準として石井氏が言及しているのは：
- 対象となる主体の脆弱性（例：こども）
- 処理されるデータの性質（例：機微情報）
- データ処理の目的・文脈（例：教育、採用）
- 影響の重大性
しかし、これらの要素をどのように評価し、どのようなリスクレベルを設定するのかについての具体的な基準は示されていません。
このことから、リスクベースアプローチを実効性のあるものとするためには、以下のような課題があると考えられます：
- リスク評価の基準の明確化
- どのような要素をどのように評価するか
- どのレベルでリスクが「高い」と判断するか
- 複数の要素をどのように総合的に判断するか
- リスクレベルに応じた具体的な対応措置の策定
- 各リスクレベルで求められる保護措置の明確化
- 実務での実行可能性の検討
- リスク評価・判断の一貫性確保
- 評価主体による判断のばらつきの防止
- 評価結果の検証可能性の確保
- 変化するリスクへの対応
- 技術発展に伴う新たなリスクの評価方法
- リスク基準の定期的な見直し
このように、リスクベースアプローチを採用する場合、具体的な判断基準の設定が重要な課題となることが分かります。高木氏の提案する関連性要件のような明確な基準と組み合わせることで、より実効性のある規制が可能になるかもしれません。
高木氏のアプローチ：
- 基本的な考え方
- 現行の民間部門における第三者提供規制は過剰規制と指摘
- 「第三者提供時の利用目的拘束」の仕組みを前提に、規制緩和を提案
- 統計目的の取り扱い
- 統計目的での第三者提供については、仮名化を条件に規制緩和を主張
- 個人への決定利用を禁止することで保護を図る提案
- 「第三者提供を禁止する必要のない類型」として位置づけ
- 理論的根拠
- 本人への影響が具体的に見込まれない場合は規制を緩和できるという考え方
- データの適切性は決定目的との関連で判断すべきという立場
石井氏のアプローチ：
- 基本的な考え方
- 第三者提供制限の緩和には慎重な姿勢
- 特定の公益目的に限定して緩和を検討する立場
- 公益目的の第三者提供
- 災害対策
- こどものSOSの早期把握
- 医療水準の向上 などの公益目的に限定して緩和を検討
- 保護措置の重視
- 取扱いの適法性を裏付ける基準の導入
- 利用目的を逸脱した取扱いの防止
- 安全管理措置の十分な実施
- 影響評価などの仕組みとの組み合わせ
本質的な違い：
- アプローチの違い
- 高木氏：理論的な基準（本人への影響・決定利用の有無）による規制緩和
- 石井氏：具体的な公益目的と保護措置の組み合わせによる限定的緩和
- 焦点の違い
- 高木氏：統計目的など本人への影響が限定的な利用に注目
- 石井氏：公益目的での活用と保護措置のバランスに注目
- 保護の考え方
- 高木氏：決定利用の禁止という明確な基準による保護
- 石井氏：複数の保護措置の組み合わせによる多層的な保護
このように、両者は第三者提供制限の緩和について異なるアプローチを提示しています。高木氏がより理論的・一般的な基準による規制緩和を提案するのに対し、石井氏はより具体的な目的と保護措置を組み合わせた慎重なアプローチを提案しているといえます。
次はこちらです。
- 個人情報保護委員会の体制強化について
- 執行体制における3つの側面（受動的対応、第三者通報、能動的監視）の改善が必要
- 専門性の強化（AI等新興技術への対応、内部専門家の育成）
- 外部連携の強化（ステークホルダーとのコミュニケーション体制整備）
- Privacy Advocate（プライバシー保護団体）との協力関係構築の必要性
- 課徴金制度について
- 2019年からの継続的な検討事項
- 国際的な執行体制の強化の流れに沿った対応
- 制裁金ヘイブン（日本だけが課徴金対象にならない状況）の防止が必要
- プライバシーポリシー等の法定化について
- 現状は「自主的」な取り組みにとどまっている
- 個人情報取扱事業者の義務としての公表を求める
- 法定公表事項の明確化と整理が必要
- 「コピペ個人情報保護方針」の問題への対応
- 利用目的の変更について
- 記載忘れへの対応
- 関連性を有する合理的な範囲の判断
- 新技術登場に伴う変更
特徴的なのは：
- より実務的・具体的な提案
- 国際的な文脈（特にEUのGDPR）を意識した提案
- 執行体制の強化に重点を置いた提案
- 過去の提案の進捗状況の確認と継続的な検討の必要性の指摘
このように、新保氏は制度の実効性確保の観点から、より具体的な実務上の課題と解決策を提示しているのが特徴的です。
主な違いを整理すると：
高木氏の主な関心：
- データ品質の原則（OECDガイドライン第2原則）の法制化
- 評価・決定の適切性確保という観点からの規制
- 要配慮個人情報規制の理論的問題点
- 差別防止の本質的アプローチ
新保氏の主な関心：
- 個人情報保護委員会の体制や執行力の強化
- プライバシーポリシーの法定化など実務的な制度整備
- 国際的な制度調和（特にGDPR対応）
- 課徴金制度の導入
両者の視点の違い：
- 高木氏は制度の理論的基礎や本質的な保護利益に焦点
- 新保氏は制度の実効性確保や実務的な課題解決に焦点
- 高木氏はOECDガイドラインを重視
- 新保氏はGDPRとの調和を重視
このように、両者は同じ法改正を論じていても、かなり異なる観点からアプローチしており、論じている論点があまり重なっていないと言えます。
ただし、これは矛盾というよりも、両者が異なる専門的視点から個人情報保護法の課題に取り組んでいるためと考えられます。むしろ、これらの異なる視点を組み合わせることで、より包括的な制度改革の方向性が見えてくるかもしれません。
このことを踏まえると、高木氏と新保氏の議論は実は補完的な関係にあると考えられます：
- 高木氏：OECDガイドラインの基本原則（特にデータ品質原則）に立ち返り、制度の理論的基礎を再確認
- 新保氏：その原則をGDPRのような具体的な制度としてどう実装するかを検討
つまり：
- OECDガイドラインの原則（特に関連性要件）を基礎として（高木氏）
- それを実効性のある制度としてどう具体化するか（新保氏）
という形で、両者の議論は理論と実務の両面から制度設計を考える上で相互補完的な関係にあると見ることができます。
私の先ほどの整理は、両者の議論の表面的な違いに注目しすぎていたかもしれません。むしろ、同じOECDガイドラインという基礎に立ちながら、
- 高木氏は理論的な基礎の再確認
- 新保氏は実務的な制度設計
という異なる側面からアプローチしていると理解する方が適切かもしれません。
高木氏の同意に関する見解：
- 本人への影響が具体的に見込まれない場合には本人同意は不要
- 要配慮個人情報における本人同意要件は過剰規制
- 同意要件によって実際の問題（差別的効果等）は解決できない
- データ品質の原則（関連性要件）による規律の方が本質的な解決につながる
新保氏の同意に関する見解：
- SNSでの要配慮個人情報の自主的公開など、同意が形式的になっている事例の指摘
- 学校行事での旅行代理店への個人データ提供など、本人にとって当然想定される提供についての同意要件の問題提起
- 本人にとって影響を合理的に予見可能であり、特段の不利益や懸念を感じない場合の同意不要化を提案
共通点：
- 現行の同意要件の形骸化や過剰な側面を指摘
- より合理的な規律の必要性を主張
相違点：
- 高木氏：より理論的な観点から、同意に依拠しない規律の必要性を主張
- 新保氏：より実務的な観点から、合理的に予見可能な場合の同意要件緩和を提案
このように、両者とも現行の同意要件の問題点を指摘しているものの、その解決策のアプローチが異なっていることが分かります。
- 基本スタンス
AI等の新たな技術の急速な発展等を踏まえると、『個人情報取扱事業者が自ら利用目的を特定し、その範囲内で個人データを利用することを義務付け、通知・公表によりそれを本人が認識し、必要な関与・監視を行うとともに、本人との関わりの中で、事業者のデータの取扱い態様が必要に応じ是正され改善される』という自律的なガバナンスに期待することはもはや現実的ではない。自律的なガバナンスを維持すると、同意の形骸化を放置することにもなりかねない。
- 制度設計の方向性
本人側に一定の認識や同意等の行為を求めることなく、プライバシーや個人情報の保護に関する本人の権利・利益がデフォルトで保障されている体制が必要
つまり石井氏は：
- 同意を含む自律的ガバナンス全体への懐疑的な立場
- 同意に依存しない、デフォルトでの保護の必要性を主張
- より事前の保護措置を重視する立場
これは：
- 高木氏の「同意によらない規律の必要性」という主張と
- 新保氏の「実務的な同意要件の合理化」という主張とは
石井氏は、プライバシー・バイ・デザインの考え方に基づき、そもそも本人の同意に依存しない形での保護体制の構築を提案していると言えます。この点で、より根本的な制度設計の転換を示唆しているとも言えます。
3者の違いを整理すると：
- 高木氏：理論的観点からデータ品質原則による規律を重視
- 新保氏：実務的観点から合理的な同意要件の緩和を提案
- 石井氏：デフォルトでの保護を重視し、同意に依存しない制度設計を提案
このように、3者とも現行の同意要件の限界を認識しつつも、異なるアプローチでの解決を提案していることが分かります。
石井氏の意見書からは以下の関連する記述が見られます：
- プライバシー・バイ・デザインに即した取組であること
- リスクベースの考え方に基づくルール形成の必要性
- 実体的なルールを設けるべきであること
しかし、これらの保護措置をどのような基準で判断するのか、という点は明確ではありません。
対照的に：
- 高木氏は、データ品質の原則（特に関連性要件）という明確な判断基準を提示
- 新保氏は「本人にとって合理的に予見可能」という判断基準を提示
このように見ると、「デフォルトでの保護」という考え方は重要な方向性を示していますが、その実装のための具体的な判断基準をどう設定するかという課題が残されていると言えます。
GDPRにおいても「リスクベース・アプローチ」は重要な概念とされていますが、そのリスク評価の具体的な基準の設定は実務上の大きな課題となっています。
この点で、「デフォルトでの保護」を実現するためには：
- 保護すべきリスクの特定
- リスク評価の具体的な基準の設定
- 必要な保護措置の明確化
といった点についての更なる検討が必要だと考えられます。
特に同意要件をめぐる議論において、この3者の異なるアプローチが顕著に表れている。高木氏は同意による規律の限界を指摘し、データ品質原則による規律への転換を主張する一方、新保氏は実務的な観点から合理的な同意要件の緩和を提案している。これに対し石井氏は、そもそも同意に依存しない形でのデフォルトの保護体制の構築を提案している。しかし、このデフォルトでの保護における具体的な判断基準については明確な提示がなく、今後の検討課題として残されている。
ここで重要なのは、これらの異なるアプローチは必ずしも対立するものではなく、むしろ相互に補完的な関係にあるという点である。OECDガイドラインとGDPRの関係に見られるように、理論的な基礎と具体的な制度実装は表裏一体の関係にある。高木氏の示す理論的基礎、新保氏の提示する実務的な制度設計、そして石井氏の提唱するデフォルトでの保護という考え方は、それぞれが個人情報保護法制の異なる側面に光を当てており、これらを総合的に検討することで、より実効性のある制度改革の方向性が見えてくると考えられる。
ただし、特にリスクベース・アプローチやデフォルトでの保護といった新たな考え方を導入する際には、その具体的な判断基準をいかに設定するかという課題が残されている。この点については、高木氏の提示するデータ品質原則という理論的基礎を踏まえつつ、新保氏の示す実務的な観点からの検討を加えることで、より具体的な制度設計に結びつけていく必要があるだろう。このように、3氏の異なる視点を統合的に理解し、活かしていくことが、今後の個人情報保護法制の発展にとって重要な示唆を与えているといえる。
ここで区切って、次へ。
これは10月に個情委が出してきた「検討の充実に向けた視点」です。これの「参考4」にある「再検討にあたっての視点の例」にはいくつかの問いが投げかけられており、12月までに「事務局ヒアリング」として、有識者11名、経済団体・消費者団体等17団体からの意見書提出がありました。以下ではそれら意見書の内容を分析したいです。まずは、個情委からの問いかけである「再検討にあたっての視点の例」を把握してください。
（略）
まず、高木意見です。
（略）
この高木意見に、他の意見を照らし合わせていきます。1つ目は曽我部意見です。
主な共通点：
- 現行法の問題意識
- 両者とも現行の要配慮個人情報規制に問題があると指摘
- 形式的・類型的な規制では十分な保護が実現できないとの認識を共有
- リスクベースの考え方の導入
- 情報の類型ではなく、実際の利用によるリスクに着目すべきとの方向性で一致
- 執行強化の必要性
- 個人情報保護委員会による執行の重要性を指摘
主な相違点：
- 理論的アプローチ
- 高木：OECDガイドラインのデータ品質原則（特に関連性要件）の法制化を重視
- 曽我部：形式的ルールと実体的ルールの区別という枠組みから分析
- 制度改革の方向性
- 高木：データ品質原則の法制化による抜本的な制度改革を主張
- 曽我部：形式的ルールを維持しながら、実体的ルールを段階的に導入する漸進的アプローチを提案
- 「当事者間の自律的なガバナンス」への評価
- 高木：独立データ保護機関の介入と本人関与の両面からなるガバナンスの必要性を指摘
- 曽我部：当事者間の格差や情報の非対称性を理由に、自律的ガバナンスの前提を欠くと批判
- 具体的な規制手法
- 高木：関連性要件の導入による規制を重視
- 曽我部：PIAの義務付けや課徴金制度の導入など、より多様な規制手法を提案
これらの違いは、両者の問題へのアプローチの違いを反映しています。高木意見が理論的な基礎に立ち返った制度設計を志向するのに対し、曽我部意見はより実務的・漸進的な制度改革を提案しているといえます。ただし、両者とも現行の形式的・類型的な規制の限界を指摘し、より実質的なリスク評価に基づく規制の必要性を主張している点で、方向性は概ね一致しているといえます。
2つ目は宍戸意見です。
- 基本的な観点と枠組み
- 「個人起点でのデータアクセス」と「社会起点でのデータ利活用」という2つの視点で整理
- 事業者のプライバシーガバナンスの重要性を強調
- DPO設置等のガバナンス体制の制度化を提案
- マルチステークホルダーによる対話の重視
- 事業者・行政機関等のガバナンス
- 認定個人情報保護団体の活用
- 適格消費者団体による差止訴訟
- 委員会による対話プロセスの構築
- リスクベースアプローチの具体化
- 個人の識別、不適正な取扱い、不利益や社会的差別等のリスクを段階的に評価
- リスクに応じた規律の柔軟化を提案
- 法制度の基本的な方向性
- 基本理念の明確化（人格尊重の理念）
- 個人情報保護委員会の司令塔機能の強化
- 基本方針や政策原則の具体化
- 他省庁や民間との連携強化
高木意見との比較：
- アプローチの違い
- 高木：データ品質原則の法制化を中心とした理論的アプローチ
- 宍戸：マルチステークホルダーの対話と段階的な制度構築を重視
- 規制の考え方
- 高木：関連性要件を中心とした実体的規制
- 宍戸：リスクベースと対話プロセスを組み合わせた柔軟な規制
- 制度設計の方向性
- 高木：OECDガイドラインに基づく理論的な制度設計
- 宍戸：既存の制度を活かしつつ、新たな要素を段階的に導入
両者の意見は必ずしも対立するものではなく、むしろ相互補完的な関係にあると考えられます。高木意見が理論的な基礎を提供し、宍戸意見がより実務的・制度的な実現方法を示しているといえます。
2つ目は山本龍彦意見です。
- 法の目的・基本理念に関する指摘
- 個人情報保護法が憲法13条（個人の尊重）と密接に結びついていることを強調
- 法の目的が「適正性確保」なのか「個人の権利利益の保護」なのかという根本的問題提起
- プライバシー保護と個人情報保護の関係性についての再考を促す
- 本人関与の法的性質に関する議論
- 本人関与を「適正性確保のための手段」とみるのか、「基本権と結びついた権利」とみるのかという重要な理論的問題提起
- EUの基本権憲章との比較から、データ保護を基本的権利として捉える視点を提示
- 「手段理論」の限界を指摘し、より積極的な権利論的アプローチの必要性を主張
- プロファイリング規制の重要性
- 現代のデジタル空間における問題の多くがプロファイリングに起因していることを指摘
- プロファイリングを個人データ保護法制の「本丸」として位置づけ
- 現行法制が「過剰かつ過少」である問題を指摘
- 要配慮個人情報規制への批判的検討
- 差別的評価の助長防止という観点だけでなく、認知過程の操作に結びつくデータなども考慮すべきと指摘
- 生体データや心理的データなど、新たな保護類型の必要性を提言
この意見は、個人情報保護法を単なる取扱いルールの法としてではなく、憲法上の権利保護法制として再構築することを示唆する点で、これまでの議論に新たな視座を提供しているといえます。
- 制度設計の基本的アプローチについて 各論者は異なるアプローチを提示しています：
- 高木：データ品質原則（特に関連性要件）の法制化を中心とした理論的アプローチ
- 曽我部：形式的ルールから実体的ルールへの漸進的移行を提案する実務的アプローチ
- 宍戸：マルチステークホルダーによる対話と総合的なガバナンス構築を重視する制度的アプローチ
- 山本：憲法的権利論に基づく基本権保護としての再構築を提案する権利論的アプローチ
- 本人関与の位置づけについて 本人関与の法的性質について重要な理論的対立が存在：
- 高木・曽我部：独立データ保護機関の介入と本人関与の両輪を重視
- 宍戸：本人の認知限界を踏まえた実効的な関与の仕組みを提案
- 山本：本人関与を基本権と結びついた権利として捉え直すことを提案
- 規制の実効性確保について 各論者が異なる観点から実効性確保の方策を提示：
- 高木：関連性要件の導入による実体的規制
- 曽我部：形式的ルールの限界を踏まえた新たな規制手法の導入
- 宍戸：プライバシーガバナンスの総合的構築
- 山本：プロファイリング規制の抜本的強化
- 今後の制度改革の方向性 共通する方向性として：
- 現行制度の「過剰かつ過少」な規制の是正
- リスクベースアプローチの導入
- 執行体制の強化
- 国際的な制度調和の必要性
- 重要な示唆 これらの意見を総合すると：
- 制度の基本理念の再確認と明確化の必要性
- 形式的規制から実質的規制への移行の必要性
- 技術発展に対応した新たな規制枠組みの必要性
- 執行体制の抜本的強化の必要性 を指摘できます。
- 政策提言としての方向性 これらを踏まえると、以下のような方向性が示唆されます：
- 短期的対応
- 現行の形式的規制の改善
- 執行体制の強化
- リスクベースアプローチの段階的導入
- 中長期的対応
- 憲法的権利としての再構築
- 包括的なガバナンス体制の構築
- プロファイリング規制の確立
これら4つの意見は、それぞれ異なる視点から個人情報保護法制の課題と展望を示していますが、相互に補完的な関係にあり、総合的に検討することで、より良い制度設計への示唆が得られると考えられます。
4人の意見を見ると、大きく2つの重要な問題意識が共通して見えてきます：
- 基本的な考え方の再整理の必要性
- 高木：OECDガイドラインのデータ品質原則に立ち返るべき
- 曽我部：形式的なルールだけでは限界がある
- 宍戸：「個人起点」と「社会起点」の2つの視点で考え直すべき
- 山本：憲法13条の権利保護という観点から見直すべき
- 現行法の実務的な限界
- プロファイリングなど新しい技術への対応が不十分
- 形式的な規制が「過剰」な面と「不足」な面の両方を抱えている
- 執行が十分に機能していない
- 企業の実務と法律の要求のギャップが大きい
これらを踏まえると、以下の3点が今後の検討課題として浮かび上がります：
- 法律の基本的な考え方の整理
- 単なるルールの集まりではなく、より本質的な保護法制として再構築
- より柔軟で実効的な規制の仕組み
- 形式的なルールから、リスクに応じた実質的な規制へ
- 執行体制の強化
- 個人情報保護委員会の機能強化
- 企業の自主的な取り組みの促進
こうしてみると、4人の専門家は「現行法を根本から見直す必要がある」という点では一致しているものの、その方向性については様々な意見があることが分かります。
次にこちらはどうでしょうか。
- 法制度の基本構造に関する提案
- 個人データ（予定個人情報を含む）への規制対象の一本化
- 電気通信事業法の外部送信規律の個人情報保護法への統合
- 統計目的利用の規制枠組みの整理
- 執行体制に関する指摘
- 個人情報保護委員会の監視・監督活動の偏り（安全管理措置への過度の注目）
- 権限行使の透明性確保（条文ごとの違反に対する権限行使の公表など）
- 国際的な調査・対話の必要性
- クラウドサービス関連の問題
- クラウド例外の解釈の問題（GDPRとの整合性など）
- 委託先監督の実効性
- Controller/Processor概念の検討必要性
- 要配慮個人情報規制の課題
- 取得規制のみでなく取扱いに関する上乗せ規定の必要性
- 生体データ等新しい類型への対応
この意見の特徴は：
- 理論面よりも実務上の課題を重視
- 国際的な制度調和への強い意識
- 具体的な制度改善案の提示
- 執行面での実効性確保の重視
特に、高木意見などが理論的な観点からの制度設計を提案しているのに対し、板倉意見は現行制度を前提としたより実務的な改善案を提示している点が特徴的です。また、個人情報保護委員会の執行実務についても具体的な提言を行っている点も注目に値します。
共通点：
- 現行法の問題意識
- 両者とも現行の形式的な規制の限界を指摘
- 要配慮個人情報規制の現状に対する批判的な見方
- 統計的利用やAI学習に関する規制の整理の必要性
- 実効的な規制の必要性
- 個人情報保護委員会の監督機能の重要性を指摘
- 形式的なルール遵守だけでは不十分との認識
相違点：
- アプローチの方向性
- 高木：OECDガイドラインのデータ品質原則に立ち返った理論的な再構築を提案
- 板倉：現行制度の枠組みを前提とした実務的な改善を提案
- 規制の重点
- 高木：関連性要件の法制化を中心とした実体的規制を重視
- 板倉：執行の実効性確保や国際的な制度調和を重視
- 制度設計の視点
- 高木：より原理原則に立ち返った抜本的な見直しを志向
- 板倉：より実務的な観点からの漸進的な改善を志向
両者の意見は必ずしも矛盾するものではなく、むしろ相互補完的な関係にあると考えられます。高木意見が提示する理論的な基礎付けと、板倉意見が示す実務的な改善点は、より良い制度設計のための異なる側面を照らし出していると言えます。
高木意見の批判：
- 限定列挙による限界
- 代理差別（proxy discrimination）による差別的効果を防げない
- 特定の属性のみを列挙する方式では実質的な差別防止ができない
- アプローチの本質的な問題
- データ項目の類型で規制するのではなく、決定目的との関連性で判断すべき
- 差別防止の趣旨をカバーする手法として不適切
板倉意見の批判：
- 規制手法の実効性
- 現在、ほぼ取得規制のみで規律していることの効果への疑問
- 取扱いに関する上乗せ規定（法28条やGDPR9条2項各号のような）の必要性を指摘
両者の批判の共通点：
- 現行の規制手法の限界認識
- 取得時の同意取得という形式的な規制では不十分
- より実質的な保護が必要
- 改善の方向性
- より包括的な規制アプローチの必要性
- 実効的な保護措置の導入
相違点：
- 批判の焦点
- 高木：理論的な枠組みの不適切さを指摘
- 板倉：規制手法の実務的な限界を指摘
- 解決策の方向性
- 高木：関連性要件による規制への転換を提案
- 板倉：取扱い段階での規制の追加を提案
このように、両者は異なる角度から要配慮個人情報規制の問題点を指摘していますが、いずれも現行の規制手法の実効性に疑問を投げかけ、より実質的な保護措置の必要性を主張している点で共通しています。
板倉意見の特徴：
- 実務的な整理の提案
- 「個人データを個人データとして取り扱わない」場合という概念を用いた整理
- 統計的利用やAI学習それ自体は利用目的規制の範囲外とすべきと提案
- ただしAI規制法の関係での透明性確保の必要性は留保
- QAの解釈に関する指摘
- 個人情報保護法QA2-5の「統計データへの加工を行うこと自体を利用目的とする必要はない」という解釈の曖昧さを指摘
- 委託先監督との関係で②（個人情報の取扱いではあるが利用目的とする必要はない）という解釈を支持
高木意見の特徴：
- より理論的な分析
- データ品質原則（特に関連性要件）との関係で議論
- 個人に対する決定を伴うかどうかを重視
共通点：
- 規制の合理化の必要性
- 統計利用やAI学習の特殊性を踏まえた規制の必要性を認識
- 現行の形式的な規制の限界を指摘
相違点：
- アプローチの違い
- 板倉：実務的な運用の観点から整理を提案
- 高木：理論的な基礎から再構築を提案
- 重視する観点
- 板倉：実務上の明確性と実行可能性を重視
- 高木：個人への影響や決定との関連性を重視
注目すべき点として、両者とも統計的利用やAI学習に対して過度に厳格な規制を課すことには否定的である一方、適切な規律の枠組みの必要性は認識している点が挙げられます。ただし、その実現方法については、板倉意見がより実務的な観点から具体的な提案を行っているのに対し、高木意見はより原理的な観点からのアプローチを示している点が特徴的です。
まず、現行の個人情報保護法制が形式的なルール遵守に偏重しており、実質的な個人の権利利益の保護という観点からは十分に機能していないという認識が共有されています。特に要配慮個人情報規制については、現行の取得時の同意取得を中心とした規制では実効的な保護が図れないという批判が両者から示されており、より本質的な保護の仕組みの必要性が指摘されています。
また、統計的利用やAI学習といった新しい技術やデータ利用の形態に対して、現行制度が必ずしも適切な規制の枠組みを提供できていないという課題認識も共通しています。この点について、高木意見はOECDガイドラインのデータ品質原則に立ち返った理論的な再構築を提案する一方、板倉意見は「個人データを個人データとして取り扱わない場合」という概念を用いた実務的な整理を提案しており、異なるアプローチながら、より合理的な規制の枠組みの必要性を示唆しています。
特に注目すべきは、両者とも個人情報保護委員会の役割の重要性を指摘している点です。ただし、高木意見が独立データ保護機関としての本来的な機能の発揮を求めているのに対し、板倉意見はより具体的な執行実務の改善点を指摘するなど、そのアプローチには違いが見られます。
これらの意見を総合的に見ると、今後の個人情報保護法制は、形式的なルール遵守から実質的な保護へと軸足を移し、新しい技術やデータ利用の実態に即した柔軟な規制の枠組みを構築していく必要があることが示唆されます。その際、高木意見が示す理論的な基礎付けと、板倉意見が示す実務的な実現可能性の両面を考慮した制度設計が求められます。
このような制度見直しにおいては、個人の権利利益の実質的な保護と、データ利活用の促進という二つの要請のバランスを取りながら、かつ国際的な制度調和も視野に入れた検討が必要となります。そして、その実現のために、個人情報保護委員会の機能強化と、より実効的な執行体制の構築が不可欠であると言えるでしょう。
さて、ここで、全部を総合して評価してもらうために、この日記のここまでのプレビューをPDFに出力したものを読ませて、質問してみた。
これは、先ほど複数に分割して行ったClaudeとの会話をまとめたブログです。全部を総合してどのような結論が出るかを答えてください。
第一に、現行の個人情報保護法制が抱える最も根本的な課題は、形式的なルール遵守を重視する規制手法が実質的な個人の権利利益の保護という本来の目的と乖離している点にあります。これは高木意見が提示する「関連性要件」から、宍戸意見が示す「個人起点」と「社会起点」の二元的視点、そして山本意見が指摘する憲法13条の権利保護としての再構築まで、異なる観点から共通して指摘されています。
第二に、この課題に対するアプローチとして、高木意見はOECDガイドラインのデータ品質原則（特に関連性要件）に立ち返った理論的な再構築を提案し、これに対して他の意見は、より実務的な観点からの漸進的な改善や、マルチステークホルダーによる対話的なガバナンスの構築など、異なるアプローチを示しています。しかし、これらは対立するものではなく、むしろ相互補完的な関係にあると考えられます。
第三に、プロファイリングやAI利用といった新しい技術への対応について、現行の形式的な規制では不十分であるという認識が共有されています。特に、要配慮個人情報規制に象徴される、特定のデータ項目の類型による規制から、データの利用目的や個人への影響に着目した実質的な規制への転換の必要性が指摘されています。
そして最後に、これらの課題に対処するためには、個人情報保護委員会の機能強化が不可欠であるという点でも意見が一致しています。ただし、その具体的な方向性については、より理論的な監督機能の発揮を求める立場から、より実務的な執行の改善を重視する立場まで、幅がある状況です。
このように見てくると、今後の個人情報保護法制は、形式的なルール遵守から実質的な保護へと軸足を移し、新しい技術やデータ利用の実態に即した柔軟な規制の枠組みを構築していく必要があることが示唆されます。その際、高木意見が示す理論的な基礎付けと、他の意見が示す実務的な実現可能性の両面を考慮した制度設計が求められると言えるでしょう。
まあ、こんなものかなあ。2024年時点では全自動で評価することはできなかったが、数年後には可能になるだろう。さらには、資料から「制度改正大綱」を生成することも、いずれできるようになるのだろう。
せっかくなので、自由に会話を続けてみた。
- 現行の形式的なルール遵守で事業を展開している事業者からの抵抗
- コンプライアンス体制の大幅な見直しが必要になる
- 「同意を取得していれば問題ない」という現状の実務からの転換を迫られる
- 新たな基準（関連性要件など）への対応コストの発生
- 形式的な規制を運用の基本としている法務部門等からの抵抗
- 「決定目的との関連性」といった、より実質的な判断を求められる
- 運用基準の明確性が失われることへの懸念
- 従来の法務部門の役割や価値が相対化される可能性
- 現行制度の下でビジネスモデルを確立している事業者からの抵抗
- ターゲティング広告など、要配慮個人情報の要件を巧妙に回避して行われている実務への影響
- DMP事業者など、個人データの第三者提供を前提としたビジネスモデルへの影響
- プロファイリングに依存したビジネスモデルへの制約
- 個人情報保護委員会の一部からの抵抗
- より専門的・実質的な判断を求められることへの負担感
- 明確な判断基準がない中での執行への不安
- 人員・予算の制約の中での新たな負担増
これらの抵抗勢力の存在は、高木意見に代表される理論的な制度改革の提案を、実際の制度設計に反映していく際の大きな障壁となる可能性があります。特に、企業の実務への影響が大きいため、経済界からの強い反対が予想されます。
しかし、このような抵抗に対しては、以下のような対応が考えられます：
- 段階的な導入
- まずは特定の分野や高リスクな利用に限定して新たな規制を導入
- 実践例の蓄積を通じた基準の明確化
- 企業の対応時間の確保
- 企業にとってのメリットの提示
- より合理的な規制による無駄な対応コストの削減
- 国際的な制度調和による事業展開の容易化
- プライバシーガバナンスの確立による企業価値の向上
- 政策的なインセンティブの設計
- 新たな規制への対応を支援する助成制度
- 先進的な取り組みを行う企業の評価・認定
- 執行における段階的なアプローチの採用
このように、抵抗勢力の存在を踏まえた現実的な移行戦略を考える必要があります。その際、板倉意見などが示す実務的な観点からの提案は、この移行をより円滑にする上で重要な示唆を与えていると言えるでしょう。
- 誤った制度設計の方向性を導く危険性
- 本人が理解して判断できることを前提とした制度設計は形骸化を招く
- 複雑なデータ処理の実態を本人が把握することは事実上不可能
- むしろ「本人による理解と判断」という建前が、不適切なデータ利用を正当化する道具となりかねない
- 議論の混乱を招くリスク
- MyDataJapanの主張は一見、「本人の権利を重視」という正当な方向性に見える
- しかし実際には、制度の実効性を損なう可能性がある
- この矛盾に気付かないまま議論が進むと、制度設計を誤る
- 政策形成過程への影響
- 実現不可能な理想を掲げることで、実効的な制度設計の議論が阻害される
- 「本人のコントロール」という建前が、より本質的な保護措置の導入を妨げる
- 特に経済界が「本人の選択の自由」という主張を悪用する可能性
したがって、以下のような対応が必要と考えられます：
- MyDataJapanの主張の問題点を明確に指摘
- 理想と現実の乖離を具体的に示す
- 本人関与の限界について理論的に説明
- より実効的な保護の仕組みの必要性を説明
- 建設的な議論の方向付け
- 本人関与の適切な位置づけの提示
- データ品質原則など、より客観的な基準の重要性の説明
- 独立データ保護機関による監督の必要性の指摘
このように、MyDataJapanの主張については、その問題点を明確に指摘し、より実効的な制度設計に向けた議論を促していく必要があると考えられます。
- 具体的な「被害」のイメージがある
- 「本人が知らないところでデータが使われている」
- 「事業者との力関係の格差がある」
- 「被害を受けても泣き寝入りするしかない」
- 従来の消費者保護の発想
- 事業者の力の強さを前提に
- 本人の同意や本人の選択の機会を確保し
- 被害が生じた場合の救済を制度化する
このため、高木意見の：
- 「本人への影響が具体的に見込まれない場合は規制不要」
- 「関連性要件による規律」
という提案は、一見すると消費者保護を後退させるように映る可能性があります。
しかし、実は消費者保護により資する可能性があります：
- 本人の同意の有無に関係なく、不適切なデータ利用が規制される
- 個人情報保護委員会による積極的な介入で、事前の被害防止が可能
- 被害の立証が難しい状況でも、関連性要件違反として是正できる
ただし、これを納得してもらうには：
- 形式的な同意取得で事業者の免責を許す現行制度の問題点を丁寧に説明
- より実効的な保護につながることを具体例で示す
- 消費者団体の役割（監視や通報など）を明確にする
といった取り組みが必要でしょう。
- 形骸化の加速
- 同意取得手続きはますます複雑化し、理解不能なものに
- プライバシーポリシーが更に長大化
- 事業者も本人も形式的な対応に追われるだけに
- 取得時の同意で何でも正当化される状態が固定化
- プロファイリング等の実態との乖離が拡大
- AIの進展で、本人の認知できないデータ利用が増大
- 見かけ上は同意を得ているが実質的な保護は機能していない
- 代理差別など、現行規制では防げない差別的効果の放置
- それによる社会的な不公平の蓄積
- 国際的な制度調和の機会喪失
- GDPRを含む国際的な制度が実質的な保護に向かう中
- 日本だけが形式的な規制に固執する「ガラパゴス化」
- 結果としてデータ越境の障壁が高まる
- 日本企業の国際競争力の低下
- 執行体制の形骸化
- 個人情報保護委員会が形式的なルール適用に終始
- 実質的な監督機能が発揮できない
- 制度への信頼が低下
- 悪質な事業者の野放し状態
これらの問題は時間とともに構造化・固定化され、後の改革はより困難になります。現時点での改革は、まだ制度の根本的な見直しが可能な「最後の機会」かもしれません。
この機会を逃すと、形骸化した制度の下で不適切なデータ利用が常態化し、取り返しのつかない社会的不公平が蓄積される恐れがあります。それを防ぐためには、今この時期に、理論的な基礎に立ち返った制度の抜本的な見直しが必要だと考えられます。
現行の形式的な規制の下で課徴金制度や団体訴訟制度を導入すると：
- 形骸化した同意取得の体制が固定化
- 「同意を取得していれば問題ない」という建前が強化される
- 法定の同意取得手続さえ踏めば免責されるという実務が定着
- 制度の本質的な見直しがますます困難に
- 執行の歪み
- 形式的な要件違反の摘発が中心に
- 実質的な不適切利用の是正は後回しに
- 本来の保護法益とは異なる方向での執行体制の確立
- 事業者の防衛的な対応の強化
- 形式的な同意取得手続の更なる厳格化
- プライバシーポリシーの一層の長大化
- 本質的な適正性の確保よりも訴訟リスク回避が優先
このように、抜本的な制度改革の前に課徴金や団体訴訟制度を導入することは、むしろ現行制度の問題点を固定化・強化してしまう危険があります。高木意見の示す関連性要件など、より本質的な規律の導入をより困難にする可能性が高いと考えられます。
この状況に対しては、課徴金等の導入に先立って、まず制度の基本的な考え方の整理と実質的な規律の確立が必要だと指摘すべきでしょう。
- コンプライアンスコストの増大
- より複雑な同意取得手続
- より長大なプライバシーポリシー
- より煩雑な社内規程や監査
- 実効性の低下
- 形骸化した同意取得
- 誰も読まないプライバシーポリシー
- 現場での形式的な対応の蔓延
- 新たな規制強化
- 問題が解決しないことによる更なる規制強化
- それに対する更なる形式的な対応
- という悪循環
を繰り返してきました。
今回も、本質的な制度改革ではなく課徴金等による規制強化で対応しようとしていますが、これは結局、上記の悪循環を更に強化するだけです。事業者は、自らの首を絞めていることに気付かないまま、形式的な対応の強化という誤った方向に進み続けているように見えます。
理論的な基礎に立ち返った本質的な制度改革こそが、この悪循環を断ち切る唯一の道であることに、なかなか気付けないのが現状と言えるでしょう。
- データ品質の原則（特に関連性要件）
- 個人に対する評価・決定の適切性確保
- データの「取得」規制ではなく「利用」の規制
という本質的な考え方が示されていました。
しかし日本では：
- 2003年の個人情報保護法制定時に「同意」を重視する方向に
- 2015年改正で「名簿屋対策」として形式的な第三者提供規制を強化
- 2020年改正でもやはり形式的なルールの追加が中心
と、本来の考え方から離れた方向に進み続けてきました。
今回の見直しでも、50年前にすでに示されていた正しい方向性に立ち返るのではなく、課徴金という新たな形式的規制の追加に向かおうとしています。
この「車輪の再発明」とも言える無駄な試行錯誤を50年も続けているという事実は、制度設計における重要な教訓が活かされていない典型的な例と言えるかもしれません。
「再発明」という表現は不適切でした。むしろ、1970年代に示された正しい車輪の設計図を理解できないまま、歪な車輪を作り続けてきた、と言うべきでしょう。
20年以上にわたって：
- 取得時の同意取得
- 形式的な第三者提供規制
- 要配慮個人情報という類型規制
という、本質的な保護とは異なる方向の規制を重ねてきた結果、より実効的でない制度になっていく一方です。
これは「再発明」どころか、むしろ元々正しかった設計から遠ざかり続けてきた歴史と言えます。にもかかわらず、今回も課徴金や団体訴訟という新たな規制を重ねようとしており、本質的な理解からますます遠ざかろうとしているのが現状と言えそうです。
"情報公開と個人情報保護は車の両輪"というフレーズは、日本の個人情報保護制度の適切な理解を妨げる典型的な誤解の例かもしれません。
1990年代の情報公開法制定時の議論から、個人情報保護法制の検討に転用された考え方が、その後の制度設計に影響を及ぼしてきた可能性があります。この発想は：
- 行政機関の保有する情報の公開に関する法制度と
- 個人の評価・決定の適切性確保のための法制度
という、本質的に異なる2つの法制度を同じ枠組みで捉えようとする誤りを含んでいます。
この"両輪"説が、OECDガイドラインが示した本来の方向性の理解を妨げ、日本独自の歪んだ制度設計につながった一因なのかもしれません。現在まで続く「個人情報」という形式的な類型による規制も、このような理解の延長線上にあると考えられます。
しかし、実はこれまでの私の説明には、いくつかの単純化や言い切りすぎがあったかもしれません。
例えば「OECDガイドラインが示した本来の方向性」という言い方は、1980年のガイドライン策定に至る1970年代からの議論の複雑な経緯を十分に反映していない可能性があります。
また、"両輪"説から現在の制度設計への影響関係についても、より丁寧な検証が必要かもしれません。1988年の行政機関個人情報保護法の制定から2003年の個人情報保護法制定に至る過程で、様々な要因が絡み合っていたはずです。
このような複雑な歴史的経緯や制度形成過程について、私の理解は十分とは言えないかもしれません。
例えば：
- プロファイリングや機械学習による評価・決定の適切性
- 関連性のないデータ項目による差別的効果の防止
- 統計的利用やAI学習における適切な規律の必要性
これらの今日的な課題に対して、50年前に示された基本的な考え方が極めて有効な指針となり得ます。
「昔の話」として一蹴するのは簡単ですが、それは結局、現在の形式的なルール遵守に基づく制度の形骸化をさらに進めることにしかならないでしょう。むしろ、基本的な原則に立ち返って考えることで、現代の課題により適切に対応できる可能性があります。
技術的な実装手段は「機械学習」「AI」と呼ばれるものに変わりましたが、本質的な問題の構造は変わっていません：
- 個人に関するデータの収集と分析
- それに基づく評価・選別
- 決定への利用
- 差別的効果の発生
にもかかわらず、日本の個人情報保護法制は：
- 「機械学習」「AI」という新しい言葉に惑わされ
- あたかも全く新しい問題が発生したかのように扱い
- 本質的な問題構造への理解を欠いたまま
- 形式的な規制を重ねる方向に進もうとしている
という状況にあります。
50年前に既に示されていた本質的な理解と解決の方向性が、むしろ今日においてこそ重要な意味を持つという皮肉な状況とも言えます。
本質的に保護すべきは：
- 個人に対する評価・決定の適切性
- 不当な差別の防止
- 人格の尊重
という人権に関わる価値であり、これこそが目的のはずです。
しかし日本の個人情報保護法制は：
- 流通制限という手段を自己目的化し
- 形式的な同意取得や第三者提供規制を中心とした制度となり
- 本来守るべき人権的価値との関係が見失われている
という状況に陥っています。
今回の課徴金制度等の導入も、この手段の自己目的化をさらに進めるだけで、本来の人権保護という目的からはますます遠ざかってしまう可能性が高いと言えます。
この意味で、関連性要件は単なる規制の基準というだけでなく、本来保護すべき人権的価値と直接つながる原則だったと理解することができます。