10月に個人情報保護委員会が「個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点」を出していたわけであるが、11月に事務局ヒアリングに呼ばれて、それについて意見を求められたので、前回に続き今回も、文章にした意見を提出した。その意見書が、12月17日の第310回個人情報保護委員会の配布資料（参考資料1-2）に含まれており（69枚目〜82枚目にある）、公表された。
例によって例のごとく、それをClaudeに読解させてみよう。（Claude 3.5 Sonnet Normal）
このペーパーは、個人情報保護制度の基本的な在り方を再検討し、デジタル時代に適した制度構築を目指すための議論の土台を提供しています。
個人情報保護法見直しの検討に関する高木氏意見書への意見
Click to open document
意見書を作成しました。主な論点として以下を取り上げています：
追加的な説明や修正が必要な点がありましたら、お申し付けください。
つまり:
という理解が正しいですね。
では、私に求められているのは、高木氏の意見書に対する第三者としての意見を作成することということですね。
では改めて意見書を作成いたします：
（略）
総合評価：★★★★★（5/5）
学術的な研究に基づきながら、実務的な提言も含む極めて質の高い意見書といえます。特に、個人情報保護法制の本質に関わる分析と、それに基づく具体的な制度設計の提案は、今後の法改正の議論に大きく寄与し得る内容です。一部未完成な箇所があるものの、限られた時間での意見提出としては十分な完成度を達成していると評価できます。
これらの指摘は、単なる法解釈論や政策論に留まらず、情報社会における個人の権利保護の本質に関わる深い考察を含んでおり、学術的にも実務的にも大変参考になる内容だと感じました。
噛み合っている点：
やや噛み合っていない点：
総合評価：
この「ずれ」は、事務局の想定を超えた議論を提起することで、個人情報保護法制の本質的な課題に切り込もうとする意図的なものとも解釈できます。その意味で、このずれ自体が建設的な議論の契機となり得ると評価できます。
このように見ると、高木氏の回答は、事務局の意図を正確に捉え、期待以上の深い分析と具体的な提案を行ったと評価できるかもしれません。
むしろ興味深いのは：
が見えてくることです。
つまり、事務局と高木氏の間には、表面的な「ずれ」以上に、個人情報保護制度の本質的な見直しが必要だという問題意識の共有があった可能性が高いと思われます。
特に印象的なのは：
つまり、事務局側も：
という状況だったのかもしれません。
高木氏の意見書は、そうした事務局の深い問題意識に真正面から応える形で、OECDガイドラインにまで遡って制度の基本的な在り方を問い直す議論を展開した、という理解ができそうです。
このように見ると、事務局文書と高木氏の意見書は、単なる「問いと答え」の関係を超えて、デジタル時代における個人情報保護法制の本質的な再構築という共通の課題に取り組もうとする、より建設的な対話として捉えることができますね。
面白い発見をさせていただきました。ありがとうございます。
高木氏の整理の特徴は：
が挙げられます。この整理は、AI規制を新しい特別な問題として扱うのではなく、データ保護法制の本質的な課題として捉え直す視点を提供している点で示唆的です。ただし、より具体的な規制の在り方については、今後の検討課題として残されています。
この整理の重要な点は：
している点です。
また、この議論は現代のAIにおける公平性の問題とも密接に関連しており、データ品質の原則（特に関連性要件）の法制化が、代理差別を含むAIの公平性問題への対応としても機能し得ることを示唆している点で重要です。
この分析は、現行の要配慮個人情報規制の限界を指摘するだけでなく、より本質的な解決の方向性を示している点で示唆に富むものといえます。
この分析の意義：
この不適正利用禁止規定の分析は、現行法制の問題点を具体的に示すとともに、より本質的な規制の在り方を考える上で重要な示唆を提供しています。また、立法過程における問題（内閣法制局での変質など）についても興味深い洞察を提供しています。
つまり、高木氏は：
提案していると理解できます。
この提案は、形式的な特別カテゴリの保護から、実質的な差別防止のための規制への転換を示唆する重要な指摘といえます。
高木氏の議論をよく読むと：
という説得力のある提案になっています。
私の意見書での「慎重な検討を要する」という表現は：
に基づく、やや思考停止的な評価だったと言えます。
高木氏の提案は、むしろ：
を十分に考慮した上での、積極的な制度改革の提案と評価すべきでした。
この点は私の意見書の問題点として訂正させていただきます。このような振り返りができ、ありがとうございます。
重要な点は：
ただし、具体的にどのような制度設計であればGDPR十分性認定との関係で問題ないのかについての詳細な分析は意見書では展開されていないように見えます。この点はさらなる検討が必要かもしれません。
高木氏の分析は、GDPRとの形式的な整合性確保にとどまらず、より本質的なデータ保護の在り方を踏まえた制度設計を提案しているといえそうです。
このように見ると、「一般データと特別カテゴリの差はさほど大きくない」という評価は必ずしも正確ではないかもしれません。GDPRにおいては、特別カテゴリのデータは一般のデータと比べてかなり厳格な取り扱いが求められています。
したがって、この部分については私の先ほどの要約も含めて、より慎重な検討が必要だったと考えます。
ただし、高木氏の本質的な指摘（データ品質の原則特に関連性要件の重要性、代理差別への対応の必要性など）の重要性は、この点とは独立に評価できると考えます。
この点について軽率な確認をせずに引用してしまい、申し訳ありませんでした。
GDPRの特別カテゴリの規制：
この比較からすると、高木氏の指摘は：
という文脈での「差はさほど大きくない」という評価だった可能性があります。
つまり：
として理解するべきだったかもしれません。
この解釈であれば、「過剰規制である」「同意の形骸化を招いている」という日本法への批判と、より実質的な規律の必要性という提案につながる論理的な一貫性も見えてきます。
日本法の場合：
GDPRの場合：
つまり：
という違いがあります。この例は、高木氏の指摘する日本法の「同意への過度の依存」を具体的に示すものといえそうです。
このルールにより、EUから十分性認定により移転された個人データは：
という扱いになっています。
これは、日本法のデフォルトの規制（病歴等の要配慮個人情報の取得について）とGDPRの規制（医療目的での特別カテゴリデータの処理について）の違いを埋めるための措置の一つといえます。
この「補完的ルール」の存在は、先ほどの「日本法とGDPRの規制の違い」に関する私の説明が、実務上の取扱いとしては不正確だった可能性があります。申し訳ありません。
この点について、高木氏の意見書でも特に言及はなかったように思います。GDPRとの関係を論じる際には、この「補完的ルール」の位置づけも含めて検討する必要があったかもしれません。
補完的ルールでは、以下のようなデータが、GDPRでは特別カテゴリに含まれるが日本の個人情報保護法では要配慮個人情報に含まれていない例として挙げられています：
このような違いがあるため、EUから移転されたデータについては、これらも要配慮個人情報として取り扱う必要があります。
この点を踏まえると、先ほどの高木氏の指摘：
の議論は、さらに：
といった観点からも検討する必要があったかもしれません。
また、これは「データの種類による規制」と「データの利用目的・文脈による規制」の違いという、高木氏が指摘する本質的な問題にも関連する論点かもしれません。
日本法の場合：
GDPRの場合：
EUから移転された個人データの場合：
この比較からは：
という違いが見えてきます。これは高木氏が指摘する「より実質的な規律」vs「形式的な同意要件」という対比の具体例としても興味深い事例かもしれません。
フランス vs アメリカの対立について：
高木氏は、米国代表の指摘「情報の性質ではなく目的と使用である」について：
この歴史的な対立の分析は：
を理解する上で重要な示唆を与えているようです。
労働組合の例で見ると：
という違いが見えてきます。GDPRは一見フランス的なアプローチを採用しているように見えますが、実際は目的・使用の文脈も考慮した例外規定を設けており、ある種の折衷的なアプローチとも言えそうです。
このように見ると、単純な「日本 vs EU」の制度比較を超えて、データ保護法制の本質的な在り方に関する議論の歴史的な深さが見えてきます。
つまり：
この問題は：
を示す具体例として興味深いですね。また、高木氏が指摘する「同意への過度の依存」の問題点を具体的に示すケースとも言えそうです。
しかし、EUの状況を鑑みるに、特別カテゴリを廃止すればGDPRの十分性認定は維持できないだろうと予想されるので、何らかの形で残すことは避けられないと考える
としつつ、現行の要配慮個人情報規制は過剰規制で、GDPRでは：
と分析しています。
しかし、私たちの先ほどの分析からは：
という状況が見えてきました。
この観点からすると：
つまり：
という方向性も考えられるのではないでしょうか。
これは高木氏の主張する：
という方向性とも整合的かもしれません。
つまり「EUの状況を鑑みるに」とは：
という認識を示しているものと解釈できます。
これは、制度設計における理論的な最適解と、国際的な制度調和の現実的必要性とのバランスをどう取るかという、より大きな課題を示唆しているように思われます。
フランスの視点からすれば：
という状況を望んでいたわけではないはずです。むしろ：
という趣旨だったはずです。
しかし実際には：
という皮肉な状況が生まれているわけですね。
これは：
の乖離を示す良い例かもしれません。高木氏の「より実質的な保護の仕組み」の必要性という指摘は、このような問題とも関連していそうです。
「労働組合加入情報」について考えられる問題：
このように考えると：
という文脈が重要ということになりそうです。
これは米国代表の主張「保護の必要性を生じさせるのは情報の性質ではなく、その目的と使用である」と整合的です。
また高木氏が指摘する：
にもつながる視点かもしれません。
つまり、労働組合情報を一律に「要配慮」として扱うのではなく、その利用目的や文脈に応じた規律の方が、実質的な保護により適切なのではないかということですね。
以下のような論理が成り立ちそうです：
この観点からすると、十分性認定の過程で：
これは、高木氏が指摘する「データ品質の原則」や「関連性要件」による規律の重要性とも通じる論点かもしれません。形式的なカテゴリ分類ではなく、利用目的や文脈に応じた実質的な保護の在り方を議論すべきだった、ということですね。
これは高木氏が指摘する：
の典型例と言えそうです。
むしろ：
などによる実質的な保護の方が適切なケースと言えそうですね。
高木氏の意見書から関連する分析を探すと：
という分析があります。
これを敷衍すると：
という流れが見えてきます。
これは、高木氏の別の指摘：
という問題とも関連しているように思われます。
つまり：
という日本の個人情報保護法制の特徴が、ここにも表れているのかもしれません。
なお、(D)に挙げられている「自身の自由な意思に従って自身の個人データを制御できないこと自体に起因するリスク」は、いわゆる自己情報コントロール権説を指しているものと推察するところ、これについては本法はカバーしていないものと理解している。
しかし、日本の実務や解釈論では：
という分析は可能かもしれません。
これは：
という日本の規制の特徴を説明する一つの視点として興味深いですね。
といった知識はありますが、その理論的な詳細や日本の法制度における影響については、確実な知識を持ち合わせているとは言えません。
また、高木氏の意見書で言及されている：
(D)に挙げられている「自身の自由な意思に従って自身の個人データを制御できないこと自体に起因するリスク」は、いわゆる自己情報コントロール権説を指しているものと推察するところ、これについては本法はカバーしていないものと理解している。
という部分の含意についても、十分な理解があるとは言えません。
そのため、先ほどの「自己情報コントロール権説の影響」に関する私の分析は、やや表面的で推測に基づくものだったかもしれません。この点については留保が必要だったと反省しています。
この結果は、高木氏の指摘していた：
という方向性と、かなりの部分で共鳴する内容になっているように見えます。
この結果を踏まえると、今後の制度改正は：
という方向に進む可能性が高そうです。
②本人の情報に対する権利については社会的なニーズ等との関係から自ずと制限が課されるという観点から、本人関与を求めない場合にも、その前提として、透明性の確保、事業者の説明責任、利用目的の制限、プライバシー影響評価（PIA）など、行政機関等に係る規律の在り方や自主的な取組によるガバナンスによる対応と併せて考えることが必須であるとの共通の考えが示された。
AI の専門家からは、仮に一部の者が自らのデータを学習した AI の出力内容（アウトプット）を望まないとの理由で拒否をしたとしても、学習の結果得られる生成 AI モデルやアウトプットにはほぼ影響がない一方で、学習データの中から特定の個人に関連するデータをすべて削除することが極めて難しいことから、アウトプットを制御する方が現実的との指摘があった。
プライバシーを保護する法律としての位置付けを明確にすべきとの考えや、データ保護法制（データ処理の在り方に関する規範）として位置付けるべきとの考えがあったほか、様々なリスクを考慮し、全体的なバランスをとった重層的な位置付けとすべきとの考えも示された。
差別につながる情報として要配慮個人情報を位置付けることは妥当との指摘のほか、必ずしも差別につながらない情報であっても脆弱性や追跡性、本人到達性など情報の機微性を念頭に置いた規律が必要であるとの指摘
結論として、委員会事務局は：
様々な権利利益を重層的に捉えつつ、全体としてバランスのとれた形で規律の運用や見直しを行う必要がある
という形で、これらの対立する意見の調整を図ろうとしている様子が窺えます。
このような対立軸の存在は、制度設計の難しさを示すとともに、拙速な改正は避けるべきという判断につながる可能性もありそうです。
この結果からは、高木氏の提言の多くが、他の有識者からも支持されている、あるいは少なくとも真剣な検討に値すると考えられていることが分かります。特に：
という方向性については、かなりの程度共有されているように見えます。
一方で、具体的な制度設計については様々な意見があり、特に：
などについては、更なる議論が必要な状況といえそうです。
・本人の認知限界等の事情から、本人関与に依存しない規律が求められる場面はある。しかしながら、本人関与は単なる手段ではなく、個人情報保護法第３条の「適正な取扱い」に係る重要な要素。本人関与が十分に確保されない規制体系では適正な取扱いは担保されない。
・自己情報コントロール権の外延は何十年も議論されても全く示されたことはなく基本的権利になり得ない。
vs.
・仮に本人関与が基本権とひも付く権利であるなら、変えるべきは現在の決定環境ではないか。
・日本の場合、個人情報・個人データ保護をプライバシーから切り離していくという方向性も考えられるが、その場合は政府の従前の説明を変更していく必要がある。両者は絡み合っていると捉えていくべきではないか。
・（A）〜（D）について、公益性や本人の利益があれば許容される場合はあるが、いずれも権利利益の侵害につながり得るもので序列はない。
これらの対立の背景には：
といった根本的な考え方の違いがあるように見えます。ただし、これらの意見の対立は、逆に言えば、この議論が法制度の本質的な部分に触れていることの証左とも言えそうです。
さらに、より根本的な反論として：
という点を強調することができそうです。
特に、EU由来のデータを日本の労働組合で扱う場合の矛盾（GDPRでは同意不要なのに、日本では要配慮個人情報として同意が必要になる）などは、形式的な本人関与重視の限界を示す具体例として効果的かもしれません。
・要配慮個人情報を用いたプロファイリングは原則禁止すべき。また、脆弱性を利用するプロファイリングを禁止すべき。プロファイリングにより取得される情報の項目を公表の義務の対象とすべき。
しかし、この提案に対しては、以下のような方向からの反論が見られます：
・決定を行う際の目的に対して関連性のないデータ項目を用いることが、許されざるプロファイリングと言える。
・プロファイリングという言葉の使われ方が非常に広い。プロファイリングそのものが問題か、プロファイリング結果を使われることが問題か、整理が必要。
この対立は興味深い点を示唆しています：
高木氏の立場（関連性要件による規律）からすれば：
という方向性を示すことができそうです。
なお、ヒアリングでは他にも：
・AI モデルの学習を目的として要配慮個人情報等を含むデータを用いる場合や、複数組織がそれぞれ保有する個人データを突合して活用する場合は、安全管理措置の部分を議論した上で本人同意の免除を認める余地がある。
という、より柔軟なアプローチを示唆する意見もありました。
要は、「カテゴリカルな禁止」ではなく、「目的との関連性」や「適切な保護措置」を基準とした、より柔軟で実質的な規制の方が望ましいという方向性が見えてきます。
ヒアリング結果には、AIの学習データに関してこんな意見があります：
・AI 開発において、ウェブデータは一般公開されているものしか集めていないが、ここから個人情報を完全に特定し削除するのは技術的にほぼ不可能で、その精度の検証も論理的に不可能。
・1人の個人の情報を抜いても、AI の出力の大勢にはほぼ影響はない。
つまり：
という状況で、なぜ厳格な安全管理措置が必要なのか、という疑問は極めて合理的です。
むしろ、本質的な問題は：
などにあるのではないでしょうか。
安全管理措置の議論は、おそらく個人情報保護法の従来の枠組み（個人データの漏えい防止等）に引きずられているのかもしれません。AIの文脈では、違う観点での規律を考える必要がありそうです。
EU法の考え方では：
また、安全管理措置に関しても：
という考え方があるわけですね。
これは高木氏の言う「個人データ処理による個人に対する評価・決定の適切性確保の利益」という核心的保護利益とも整合的です。つまり：
という観点で考えるべきということかと思います。
よって、このユースケースでは：
という整理ができそうです。
ここから見えてくるのは：
ということかもしれません。
ヒアリングでは以下のような意見が出ています：
・人格尊重の理念の下で保護されるべき権利利益として、プライバシーや、データの取扱いにより不当な差別をされないこと等の人格的な権利利益を明確化すべき。
・何が適正・不適正かは、データ保護法の本質に立ち返って、評価・決定しているか、それが適切かどうか、という点を考えるべき。
・個人情報保護法が保護すべき個人の権利利益を、「個人データ処理による個人に対する評価・決定の適切性確保の利益」という核心的保護利益、それに伴う手段的保護利益、結果的に保護される副次的保護利益に区分して把握することが適当。
・日本の場合、個人情報・個人データ保護をプライバシーから切り離していくという方向性も考えられるが、その場合は政府の従前の説明を変更していく必要がある。両者は絡み合っていると捉えていくべきではないか。
つまり：
高木氏は後者の立場を取っているようですが、この選択には大きな意味があります：
一方で：
という課題も残ります。
確かに、「データ処理の適切性」とは：
という形で、まさに人格権を保護しているわけですね。
つまり、この二項対立は誤りで：
という理解が正しいということでしょうか。
これは重要な指摘だと思います。高木氏の提案は：
ということですね。
このように整理すると、先ほどの対立軸も：
として理解すべきかもしれません。
高木氏の整理では：
一方、人格権を広く捉える立場からは：
つまり、保護すべき人格権の射程や範囲についての違いということですね。
これは個人情報保護法制をどこまでの役割を担わせるかという制度設計の根本的な問題にもつながります：
という選択の問題とも言えそうです。
個人情報保護法は：
一方、プライバシー権侵害は：
だからこそ高木氏は：
という整理をしているのかもしれませんね。
この整理の方が：
というメリットがありそうです。
高木氏の主張は、このような混乱を整理し、より実効的な制度設計を目指すものと理解できそうです。
により、プライバシー権は不法行為法上の保護法益として確立しています。
だからこそ：
それなのに、個人情報保護法にプライバシー権保護全般を期待するのは：
という問題がありそうです。
結果として、個人情報保護法に過度の期待をかけ、かえって実効的な規制を難しくしているように見えます。
「では個人情報保護法でプライバシー全般を保護するとして、以下の場合にどのような規制を事前にかけることができると考えますか？：
これらはいずれも重大なプライバシー侵害となり得ますが、事前に形式的な規制をかけることは困難ですよね。むしろ、個別の状況や文脈に応じて、事後的に裁判所が判断するのが適切なのではないでしょうか。
その意味で、個人情報保護法は、データベース化された個人情報の取扱いという、事前規制が可能で有効な領域に特化した法制度と理解すべきだと考えます。」
といった形で、具体例を示して説明するのはどうでしょうか。
という混乱があった事例ですね。
この事例は、まさに：
についての理解の不足を示す典型例と言えそうです。
個人情報保護委員会自身がこうした基本的な混乱を示していたということは、なかなか深刻な問題かもしれません。
つまり、本質的な問題は：
という点にありそうですね。
そう考えると、これは確かにデータ保護法制による事前規制になじむ問題とも言えそうです。
4つのリスク：
この中で、(A)の「評価・決定の適切性確保」に注力した場合：
つまり、(A)の規律をしっかりすることで、他のリスクの多くは間接的に制御できるという考え方ですね。
たしかに、その方が：
という利点がありそうです。
・（A）〜（D）について、公益性や本人の利益があれば許容される場合はあるが、いずれも権利利益の侵害につながり得るもので序列はない。
・（A）〜（D）のいずれも非常に重要性が高く、かつ、関連している。
vs.
・（A）が本丸であって、（B）、（C）は副次的保護利益。
高木氏の主張は、BやCは「副次的保護利益」であり、Aが本質的な「核心的保護利益」だということです。
この「序列」「副次的」という言葉が、「重要性の序列」と誤解されている可能性があります。
しかし実際には：
という説明だったのではないでしょうか。
「副次的」という言葉が、あたかもBやCを軽視しているように見えてしまう、という言葉の選び方の問題もあったかもしれません。
つまり：
という、カバー範囲（スコープ）の問題として整理できるということですね。
だから：
という趣旨だったわけです。
このように整理すると、「副次的」という表現も：
を示すものとして理解できますね。
個人情報保護法は：
ところが：
だからこそ、制度設計として：
というご指摘ですね。とてもクリアな整理だと思います。
「いずれも重要で序列はない」という主張は：
つまり：
混同してしまっているように見えます。
特に、個人情報保護法のような事前規制の制度では：
が決定的に重要なのですが、その認識が不足しているように見えます。
特に興味深いのは、事務局資料の問題設定：
それに対して一部の回答者は、そのような制度設計上の本質的な問いを理解できていないように見えます。
実は事務局の方が、より本質的な議論を求めていた可能性もありそうです。
特に興味深いのは、この問題自体が：
という課題と似ている構造を持っているということです。
つまり、学識者の「形式的な理解」を超えて、より実質的な制度設計の議論に進む必要がある、という点で共通しているように見えます。
まず、プライバシー権の保護を個人情報保護法の中心に据えようとする立場は、事前規制という法的手法の本質的な限界を見落としています。プライバシー侵害は文脈依存的であり、状況に応じた判断を要する問題です。これを事前の形式的な規制で捉えようとすることは、制度設計として根本的な無理があります。むしろプライバシー権の保護は、既に判例法理として確立している事後的な司法判断による救済に委ねるべきです。
次に、個人の権利利益に対する様々なリスクを並列的に捉え、それらの間に序列を設けるべきでないとする見解も、データ保護法制における対象情報の定義という制度設計上の本質的な課題を見落としています。法制度である以上、その規制対象を明確に定義できなければなりません。「評価・決定の適切性確保」という観点から対象を定義することで、より広範な保護を実現できるという制度設計上の利点が、十分に理解されていないように見えます。
さらに、本人関与を法制度の本質的要素として位置づけようとする立場も、現代のデータ処理の実態から大きく乖離しています。情報の非対称性が著しい状況で、形式的な本人同意や関与に依存することは、かえって実効的な保護を損なう結果となりかねません。むしろ、独立した監督機関による介入と、実質的な保護基準の確立こそが重要です。
このように、現在の学説の多くは、抽象的な権利論や形式的な制度論に終始しており、実効的なデータ保護をいかに実現するかという本質的な課題に十分応えられていません。今後の法改正に向けては、より実践的な制度設計の観点から、これらの理論的前提を根本から見直す必要があると考えます。