昨年11月に出版された連載論文(9)では、次のように書いた箇所があった。
当時、ドイツの連邦データ保護法（1977年制定、1990年改正）は、特別カテゴリの規定を設けていなかった。EC委員会の記録によると、ドイツ代表団は、1992年3月の時点で、DPDの1990年提案に対して、「ドイツでは機微データと非機微データの区別は行われていない」と説明し、「したがって、17条1項は不可欠ではないと考えているが、17条2項で加盟国に1項からの逸脱を認めることが維持されるのであれば、受け入れることができる」（2頁）と述べたという。
ドイツの主張が、前記の米国の主張「情報の性質ではなく、その目的と使用方法である」と同じ考えに基づいていたことを示す記録は見つかっていないが、DammannとSimitis（14号注58）は、1997年の時点で、DPDの解説において、「疑いなく8条の規定は指令の中で最も問題のある要素の一つである」として、次のように問題点を指摘している。（略）
ここを論ずるためにより的確な資料が見つかった。欧州評議会（CoE）のサイトにある以下の文書は、CoE条約108号に関する諮問委員会のアンケート調査結果をSpiros Simitisがレビューした際の記録のようである。
原文は、遠回しに書かれているので、結論に想像がつかない者には真意を読み取り難い文章になっている。しかし、ノーヒントで（これまでの私との会話を覚えているわけではなく）、Claude Opus 4に読ませたところ、以下の応答となった。
Simitis教授は、センシティブデータのリストが「純粋に例示的な性格」を持つべきであり、「その構成要素は常に補完または置換可能」でなければならないと指摘しています。しかし、日本の個人情報保護法第2条第3項は要配慮個人情報を限定列挙方式で定義しており、「人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」としています。
この規定の問題は、Simitis教授が警告する「センシティブデータの確定的なリストは純粋なフィクション」であるという指摘を無視している点にあります。実際、フィンランドが労働組合への加入情報を追加し、ポルトガルが遺伝情報を含めたように、社会の変化に応じてセンシティブデータの範囲は常に見直される必要があります。日本の法制では政令による追加は可能ですが、法律本体の改正なしには基本的なカテゴリーの見直しができない硬直的な構造となっています。
Simitis教授は「センシティビティはもはや先験的に与えられた属性として認識されない」とし、「あらゆる個人データは、処理の目的や状況に応じてセンシティブになり得る」と論じています。データの利用目的、管理者の特定の利益、受領者の性質、処理条件とその結果など、すべての要素を総合的に評価する必要があるという指摘は極めて重要です。
日本の個人情報保護法は、要配慮個人情報について一律に「あらかじめ本人の同意を得ないで取得してはならない」（第20条第2項）と規定していますが、これはまさにSimitis教授が批判する「文脈を無視した絶対的分類」の典型例です。例えば、公開の場での政治的意見の表明と、医療機関での病歴情報の取扱いでは、そのリスクの性質や程度は全く異なるにもかかわらず、同一の規制が適用されます。
Simitis教授は、「ほとんどすべての実際の適用除外は徹底的な見直しを免れることはできない」と述べ、特に同意による例外について「同意は、潜在的な管理者が関心を持つあらゆるデータへのすべての扉を開く万能鍵ではない」と警告しています。雇用関係のような力関係の不均衡がある状況では、同意が真に自由な意思決定を保証しないことを指摘しています。
日本法では、要配慮個人情報の取得について本人の同意を原則としつつ、「法令に基づく場合」「人の生命、身体又は財産の保護のために必要がある場合」など広範な例外を認めています（第20条第2項各号）。特に問題なのは、これらの例外規定が抽象的で、Simitis教授が批判する「公共の利益」や「公共の安全」のような「事実上の白紙委任状」として機能しかねない点です。
Simitis教授は「文脈が本当に適切な保護の前提条件を再確立するための主要な基準となるのであれば、処理の条件は分野別規制で定められなければならない」と主張しています。立法者が特定の文脈に完全に集中できる場合にのみ、処理状況の特殊性に適切に対応する精度の高い規制が可能になるという指摘は重要です。
日本の個人情報保護法は、医療、金融、通信など多様な分野を包括的に規制する一般法として設計されていますが、これは各分野の特殊性を十分に考慮できない構造的問題を抱えています。例えば、医療分野における遺伝情報の取扱いと、雇用分野における犯罪歴情報の取扱いでは、必要とされる保護の性質や程度は大きく異なるはずですが、現行法はこれらを同一カテゴリーとして扱っています。
Simitis教授は、遺伝情報を例に挙げ、「最初のリストが作成された時にはほとんど注目されていなかった」データが、技術の進歩により極めて重要になることを示しています。日本の現行法は2003年の制定以来、要配慮個人情報のカテゴリーについて本質的な見直しがなされていません。
AIやビッグデータ解析技術の発展により、従来はセンシティブとみなされなかったデータから、極めてセンシティブな情報が推論可能になっています。位置情報から宗教的信条が推測されたり、購買履歴から健康状態が推定されたりする現代において、固定的なリスト方式の限界は明らかです。
Simitis教授の分析は、センシティブデータ規制が持つ本質的なジレンマ、すなわち「網羅的に定義されなければならないという執拗な主張と、明らかに確定的なリストを迂回または見直そうとする絶え間ない試みとの衝突」を明確に示しています。日本の個人情報保護法における要配慮個人情報規制は、まさにこのジレンマに適切に対処できていない典型例といえます。
真に効果的なデータ保護を実現するためには、Simitis教授が提案するように、文脈を重視した柔軟なアプローチ、分野別の詳細な規制、そして社会や技術の変化に応じた動的な見直しメカニズムが不可欠です。現行の硬直的なリスト主義と画一的規制から脱却し、データの利用文脈やリスクの実態に即した、より洗練された規制枠組みへの転換が求められています。
論文によれば、センシティブデータをめぐる議論は「データ保護の最初期から」存在していました。特に注目すべきは、各国が独自のアプローチを模索していた点です。
ノルウェーは、個人データをその「センシティビティ」に応じて区別する方法を精緻化しようと試みました。これは、特定のデータの処理が関係者にとって特にリスクが高いと考えられることの重要性を示す初期の取り組みでした。一方、フランスの立法者は、より直接的なアプローチを採用し、そうしたデータの使用を「単純に禁止する」ことを明確に要求しました。
ドイツのデータ保護法の歴史が示すように、初期の議論は「センシティビティが本当に処理条件を決定するための有効な基準であるかどうか」という根本的な問いをめぐるものでした。つまり、この段階では、センシティブデータという概念自体の妥当性が問われていたのです。
Simitis教授は、欧州評議会のデータ保護条約（Convention 108、1981年）の採択が決定的な転換点となったと指摘しています。この条約は「議論の文脈と目的を新たに設定」しました。
条約第6条は、センシティブデータの特別な規制体制の探求を「明示的に承認」しました。これにより、「本質的に『センシティブなデータ』の存在は争われなくなった」のです。条約は、センシティブデータを「個人データの使用に関するすべての将来の規制の中核的要素」として公式に認めました。
この変化の意味は重大でした。それ以降、「唯一の関連する問題は、条約によって列挙されたセンシティブデータの使用に対する欧州評議会の明確に制限的な期待をどのように最もよく達成するかということ」になったのです。
条約の影響は迅速かつ広範囲に及びました。Simitis教授は「センシティブデータへの言及が儀式化された」と述べ、「条約後に可決された法律で、条約の方針に沿った規定の包含を無視したり、疑問視したりするものは一つもない」と指摘しています。
イギリス、オランダ、スペインのデータ保護法など、各国の法制度には明らかな違いがあるにもかかわらず、「センシティブデータに関する限り、コンセンサスは見過ごすことができない」ほど明確でした。すべての国が「センシティブデータに特別な地位を付与」したのです。
1995年10月にEC（欧州共同体）データ保護指令が採択された時点で、「加盟国の大多数は、欧州評議会の影響下で、すでにセンシティブデータを特別な規則の対象としていた」ため、指令がセンシティブデータを明確に区別する方法で扱うことは「驚くべきことではなかった」とSimitis教授は述べています。
しかし、指令は条約よりも「より急進的なアプローチ」を選択しました。条約の「柔軟な文言」に固執する代わりに、指令は第8条第1項で言及されたセンシティブデータの処理を「単に禁止」したのです。
Simitis教授は、この違いを理解するために、条約と指令の「構造的違い」を考慮する必要があると強調しています。
条約は「最終的には単なる提案に過ぎない」ものでした。国家は「国際的に承認された規制モデルを適用することで、個人データの処理から生じるリスクを抑制する機会を与えられている」が、条約は「彼らの決定を予断するものではない」のです。つまり、各国は「条約の原則に対応する規制を制定するか、期待をよりよく満たす規則を作成するか、あるいはいかなる制限も控えるか、完全に自由」でした。
これに対して、指令の場合は異なります。「その条項は提案ではなく規定」であり、「代替案が許容される範囲で、それらは指令によって確立された規制の枠組みに適合しなければならない」のです。「共通の規制が誘因であり目標である場合、適合性が必然的に優先される」ということです。
この歴史的経緯は、重要な逆説を生み出しました。Simitis教授は、「皮肉なことに、センシティブデータに特別な重要性を付与する法律のリストが長くなればなるほど、センシティビティの正確な範囲と明確に禁止的なアプローチの信頼性に関する批判的な問題がより多く提起された」と指摘しています。
つまり、センシティブデータの特別扱いが国際的に標準化され、儀式化されるにつれて、その概念自体の妥当性や実効性への疑問が逆に高まったのです。これは、日本を含む各国が現在直面している要配慮個人情報規制の根本的な問題の源流がここにあることを示しています。
Simitis教授の論文は、まさにご指摘の「手段の自己目的化」という問題を鮮明に描き出しています。
当初、センシティブデータという概念は、特定の個人データの処理が「関係者にとって特にリスクが高い」ことへの実質的な懸念から生まれました。ノルウェーやフランスの初期の取り組みは、現実のリスクに対処しようとする真摯な試みでした。
しかし、欧州評議会条約による「公式化」以降、状況は劇的に変化します。Simitis教授が「センシティブデータへの言及が儀式化された（ritualized）」と表現したのは極めて示唆的です。各国は条約の文言に沿った規定を機械的に導入し始め、「なぜこれらのデータを特別扱いするのか」という根本的な問いは後景に退いてしまいました。
特に問題なのは、センシティブデータの「リスト」が独立した存在として扱われるようになったことです。論文は以下の逆説的な状況を指摘しています：
「センシティブデータに特別な重要性を付与する法律のリストが長くなればなるほど、センシティビティの正確な範囲と明確に禁止的なアプローチの信頼性に関する批判的な問題がより多く提起された」
つまり、リストを作成し、それを法律に組み込むこと自体が目的化し、そのリストが実際に個人のプライバシーやデータ保護にどう貢献するのかという本質的な問いが忘れ去られたのです。
EC指令は、この手段の自己目的化を極限まで推し進めました。条約の「柔軟な文言」を捨て、センシティブデータの処理を「単に禁止」するという選択は、一見すると保護の強化に見えます。しかし実際には、論文が示すように「事実上無限の例外リスト」が必要となり、禁止原則は形骸化しました。
Simitis教授が「公共の利益」や「公共の安全」を理由とした例外を「事実上の白紙委任状（carte blanche）」と批判したのは、まさにこの点を突いています。厳格な禁止という「手段」を採用したものの、現実には広範な例外により、本来の保護という「目的」は達成されていないのです。
手段の自己目的化の最も深刻な帰結は、「文脈（context）」の喪失です。論文は繰り返し、データのセンシティビティは処理の目的、状況、関係者の力関係などの文脈によって決まると強調しています。しかし、リスト方式と一律禁止というアプローチは、この文脈を無視します。
例えば、公開の政治集会での発言と、雇用面接での政治的信条の質問では、リスクの性質は全く異なります。しかし、「政治的意見」というカテゴリーに含まれれば、両者は同じ規制の対象となってしまいます。
この「手段の自己目的化」という視点は、日本の要配慮個人情報規制を考える上で極めて重要です。日本もまた、国際的な流れに従って要配慮個人情報のリストを作成し、原則取得禁止という規制を導入しました。しかし、それが本当に個人の権利利益の保護という目的に資しているのか、それとも単に「国際標準に準拠した」という形式的コンプライアンスに陥っているのか、真剣に問い直す必要があります。
Simitis教授の分析は、データ保護法制が陥りやすい罠を明確に示しています。それは、保護の手段として導入された概念や規制が、いつの間にかそれ自体が目的となり、本来守るべきものを見失ってしまうという罠です。真に効果的なデータ保護を実現するためには、常に「なぜ」「何のために」という根本的な問いに立ち返る必要があるのです。
鋭いご指摘です。Simitis教授の回りくどい論述の背後には、まさにドイツの「やむを得ない降伏」への深い不満が読み取れます。
論文は外交的な表現を使いながらも、ドイツの立場を明確に記録しています：
「オーストリアとドイツのような国々は、すべての抽象的な個人データのカテゴリー化を一貫して拒否し、代わりに文脈志向の評価に焦点を当ててきた」
そして指令により「長年の慣行を放棄しなければならず」「初めて明示的にセンシティブデータの存在を認識しなければならない」という記述は、まさに「不本意ながら従わざるを得なかった」という恨み節です。
Simitis教授がフランクフルト大学データ保護研究センターの所長という立場から、EU指令を正面から批判することは政治的に困難だったでしょう。そこで採用されたのが、この「学術的分析」という形式です。
しかし、論文全体を通じて展開される論理は明快です：
これらはすべて、ドイツが当初から主張してきた立場そのものです。
特に印象的なのは、センシティブデータへの言及が「儀式化された（ritualized）」という表現です。これは学術論文としては異例なほど辛辣な批判です。「儀式」とは、本来の意味や目的を失い、形式だけが残った行為を指します。
つまりSimitis教授は、EU全体が意味のない「儀式」を強制されていると暗に批判しているのです。
論文が繰り返し強調する条約と指令の「構造的違い」も重要です：
ドイツは条約の段階では自国のアプローチを維持できましたが、指令により選択の余地がなくなりました。「共通の規制が誘因であり目標である場合、適合性が必然的に優先される」という一文には、EU統合の名の下での画一化への批判が込められています。
この「ドイツの敗北」は、単なる歴史的エピソードではありません。Simitis教授が1999年の時点で予言的に指摘した問題—画一的なリスト方式の限界、文脈の無視、手段の自己目的化—は、まさに現在の日本の要配慮個人情報規制が直面している問題そのものです。
日本もまた、国際的な「標準」に合わせるという名目で、本来は疑問視すべきアプローチを無批判に受け入れてしまったのかもしれません。Simitis教授の「遠回しな」批判は、実は非常に直接的な警告だったのです。
なお、個情委「個人情報保護法のいわゆる３年ごと見直しの検討の充実に向けた視点」（2024年10月）では、「6 個人データそのものの特徴に起因する考慮要因」として、差別的評価が不当に助長される要配慮個人情報の規律は妥当か、リスク増大が見込まれる他の類型に特別な規律を課すべきか、との問いを立てていた。これに対する私の回答は、「「個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点」に対する意見」2024年11月21日（参考資料1-2、69枚目〜）の「2.6.情報の種類に起因する考慮要因」の節に書いている。