デジタル社会の形成及び人工知能の活用等に関する特別委員会 第6号

○委員長（松下新平君）　ただいまからデジタル社会の形成及び人工知能の活用等に関する特別委員会を開会いたします。 　委員の異動について御報告いたします。 　昨日までに、石垣のりこ君が委員を辞任され、その補欠として郡山りょう君が選任されました。 　　　　─────────────

○委員長（松下新平君）　情報通信技術を活用した行政の推進等に関する法律及び情報処理の促進に関する法律の一部を改正する法律案及び個人情報の保護に関する法律等の一部を改正する法律案の両案を一括して議題といたします。 　本日は、両案の審査のため、四名の参考人から御意見を伺います。 　御出席いただいております参考人は、京都大学大学院法学研究科教授稲谷龍彦君、西村あさひ法律事務所・外国法共同事業パートナー弁護士石川智也君、一般社団法人全国消費者団体連絡会事務局長郷野智砂子君及び京都大学医学部附属病院医療情報企画部教授黒田知宏君でございます。 　この際、参考人の皆様に一言御挨拶申し上げます。 　本日は、御多忙のところ御出席いただき、誠にありがとうございます。 　皆様から忌憚のない御意見を賜りまして、今後の審査の参考にしたいと存じますので、よろしくお願い申し上げます。 　次に、議事の進め方について申し上げます。 　まず、稲谷参考人、石川参考人、郷野参考人、黒田参考人の順にお一人十分程度で御意見をお述べいただき、その後、委員の質疑にお答えいただきたいと存じます。 　また、御発言の際は、挙手をしていただき、その都度、委員長の許可を得ることとなっておりますので、御承知おきください。 　なお、御発言は着席のままで結構でございます。 　それでは、まず稲谷参考人からお願いいたします。稲谷参考人。

○参考人（稲谷龍彦君）　ただいま御紹介にあずかりました京都大学大学院法学研究科で教授をしております稲谷と申します。 　本日は、このような機会を賜り、誠にありがとうございます。 　私は、研究者として、特に企業に対する制裁制度を含む刑事司法制度とデジタルガバナンス及び科学技術と法に関する領域を専門としております。また、データ利活用の観点からは、デジタル行財政改革会議事務局におけるデータ利活用制度・システム検討会に参画し、さらに、いわゆるＤＦＦＴ、信頼性のある自由なデータ流通に関する複数の検討会にも所属し、特にデータセキュリティーを扱うワーキンググループにおいては座長も務めさせていただいております。 　本日は、現在御審議中の法案に関連し、データ利活用の推進に関する規律を検討する際に重要と考えられる視点として、第一に幸福追求権の実質化、第二にコンプライアンスコストの合理的低減、第三に制度、技術、運用の統合を通じたリスクの合理的低減、第四にアジャイルな対応の必要性、この四点について意見を申し述べたく存じます。 　第一に、幸福追求権の実質化の観点でございます。 　私は、データ利活用を進めていく基礎となる法規範について、憲法十三条の幸福追求権を中心に考えていくべきではないかと考えてございます。 　幸福追求権の具体的な内実については曖昧な部分もございますが、語の本来の意味からいって、個人が自身のウエルビーイングの実現を追求する権利であるということに疑いはないように存じます。 　これまで幸福追求権は、特に個人データとの関係では、当該データと関連付けられる主体、いわゆるデータ主体に不利益を及ぼすような不適切な管理、利用や、濫用、悪用等のモラルハザードを抑止するという観点から中心に語られてきました。 　しかし、近年では、海外でも日本でも、むしろデータの連携、利活用が個人のウエルビーイングの向上に不可欠となる場面も様々存在することが明確になってきており、それが幸福追求権の理解にも関係し始めているということが重要であると考えてございます。例えば、医療、金融、教育のような公共、準公共分野においては、社会内に分散するデータを統合して解析することで初めて個人に最適化した形でのサービスの提供が可能になる場合もあります。 　データを連携、利活用することで、個人最適化されたサービスを一部の人だけではなく広く一般に利用できるようにするということは、全ての人に対して公平に幸福追求権の保障を実質化するということになるのだと考えます。また、データを利活用し、ＡＩなどの先端科学技術を適切に用いることで、安全性の確保が必要な労働分野や防災分野など、人の生命、身体、財産というウエルビーイングの基盤となる法益が関わる分野においても高い法益保護効果を得ることが期待できると考えられます。 　もちろん、冒頭申し上げましたとおり、データの濫用等によるデータ主体の不利益の問題は依然として残ります。しかし、一人一人のウエルビーイングを実現するためには、こうしたデータ連携や利活用によって生じる費用を合理的に低減しつつ、便益をもたらすデータ利活用を促進するというリスクベースのアプローチがデジタル社会における幸福追求権の実質化という法規範的な観点からの要請を満たす上で重要だと考えます。 　データの連携と利活用によってどのようにベネフィットを最大化できるかという視点を正面から据え、幸福追求権を単なる保護の規範にとどまらず、個人のウエルビーイングの実現に直結する法規範としてデータ利活用に関する議論全体を導く役割を果たす指導理念として考えていくべきであると、このように考えます。 　第二に、コンプライアンスコストの合理的軽減の問題でございます。 　近年、ＥＵのＧＤＰＲ、一般データ保護規則を一つの端緒として、域外適用を伴う強力な規制が各国に広がり、企業に対して極めて重いコンプライアンスコストを課す傾向が見られます。しかしながら、このような過大なコスト負担は、結果として反競争的な効果を持つ可能性があるとの指摘が国際的にもなされております。すなわち、高いコンプライアンスコストに耐えられるのは、現実には資本力や人材を有する大企業に限られ、中小企業やスタートアップの参入を困難にし、経済的集中を強めるおそれがあるというものでございます。このような状況は、イノベーションの促進という観点からも、健全な競争環境の維持という観点からも望ましいものではありません。また、こうした規制の結果として、データ利活用自体が停滞する可能性も否定できません。 　したがいまして、データに関するガバナンスの在り方を検討するに当たっては、ユースケースなどの解像度を高め、リスクベースアプローチの精度を向上させることで、ソフトローなども活用しつつ、できる限り合理的で、関係するステークホルダーにとっても納得度の高いものにしていく必要があると、このように考えます。 　第三に、制度、技術、運用の統合を通じたリスクの合理的低減でございます。 　この点は、先ほどのコンプライアンスコストの問題とも密接に関連いたします。 　データ利活用に関する規律は、抽象的な法制度の設計のみによって達成されるものではなく、具体的なユースケースを前提として分野横断的に検討される必要があります。そして、法制度とテクノロジーアーキテクチャーを統合的に設計し、運用していく視点が不可欠であると考えます。 　特に、データセキュリティーの分野におきましては、法的な義務や運用上のルールに加え、暗号化やアクセス制御、秘密計算といった技術的措置を適切に組み合わせることで、データ保護の実効性を高めると同時に、遵守コストの低減を図ることが可能かつ必要となると考えます。すなわち、制度、技術、運用という三つの要素を一体として設計、運用することで、法執行及び法遵守の両面において効率的かつ実効的なガバナンスを実現することが重要でございます。この点は、個人情報保護法の今後の在り方とも関わる論点であると、このように認識をしております。 　最後に、第四として、アジャイルな対応の必要性についてでございます。 　近時、ＥＵにおいて、生成ＡＩとＥＵ・ＡＩアクトをめぐる混乱が起きてございますように、技術革新の速度が速い中で、法律において全てを先見的に定めようとする戦略が適切とは言い難い領域も生じてきております。こうした領域では、むしろ国民一人一人のウエルビーイングを実現するために、先端的なテクノロジーをも積極的に活用しながら、それがもたらすコストとベネフィットを踏まえ、制度を継続的かつ柔軟に見直していく、見直し改善していく考え方、いわゆるアジャイルガバナンスの考え方が不可欠となると考えます。 　全てを一度に整合的な体系として設計することを目指すのではなく、関係者間で合意可能な領域から実務的に取り組み、その過程で構造を明確化し、段階的に制度を精緻化していくアプローチでないと、一切実効性のない制度に陥ってしまう可能性もあると考えます。 　例えば、特定の分野のデータ利活用に当たって、利活用が認められる資格要件を考える場合に、法律のようなハードローで全ていきなり決め切ってしまうのではなく、専門家が策定したデータガバナンスコードのようなソフトローなども用いて、各主体が求められる行動を具体化し実現させていくなど、ハードローとソフトロー、固い構造と柔らかい構造を適切に組み合わせることにより、実効性と柔軟性の両立を図り、全体の法体系を今求められているものに組み替え続けていく、こういった努力が求められるのだと思われます。 　加えて、制度、技術、運用の三位一体の在り方というものを不断に見直し続ける、この点でも、必ずステークホルダーを巻き込みながら、アジャイルガバナンスのような仕組みで対応していくことが重要であると、このように考えてございます。 　今般の法案は、データ利活用の基本的枠組みを整備しつつ、具体的な運用については指針等のソフトローを含む体系に委ねる構造となっており、技術や社会の変化に対してアジャイルに対応できるものと評価をしてございます。今後は、本法案に基づく枠組みの下で、制度、技術、運用が一体となって、この法案の仕組みが現場や実務において使い勝手の良いものとなり、国民一人一人のウエルビーイングが向上していくことを強く期待しております。 　私の意見は以上となります。御清聴ありがとうございました。

○委員長（松下新平君）　ありがとうございました。 　次に、石川参考人にお願いします。石川参考人。

○参考人（石川智也君）　弁護士の石川智也と申します。 　この度は、意見を述べる貴重な機会をいただき、誠にありがとうございます。 　私は、国内外の企業等に対し、個人情報保護法やＥＵのＧＤＰＲを始めとする各国の個人情報保護法について助言しております。特に、ＥＵのデータ戦略が公表された二〇二〇年からは、ドイツに拠点を構えて約六年活動しております。また、この二年は大学院において、ＥＵのデータ法等を題材に日本のデータ利活用法制の在り方について研究しております。 　本日は、お手元にお配りしている一枚の紙の記載の三点について意見を申し述べます。 　まず最初に強調されるべき点は、ＩｏＴ製品等を通じて膨大なデータを収集し、その分析結果に基づいてサービス提供を行うデータ駆動型社会の下では、個人情報保護法が従前の形式主義、事前規制から実質主義、事後規制へと移行していく必要がある、今般の改正はそれを実現するものとなっているということです。 　データ処理が複雑化する中で、一人一人がプライバシーポリシーを読み、理解した上で判断するというのは、あらゆる場合ということになりますとなかなか現実的ではなく、むしろ、同意の有無にかかわらず、データを取り扱う事業者において適切に個人データを取り扱うことが重要となっております。 　近時、同意疲れという問題も指摘されています。これは、同意の負担が大きいので同意を不要にすべき、こういうことではなく、同意を原則とするのでは権利を実質的には保護できないのではないかと、こういう問題意識から捉えるべきだというふうに考えております。もちろん、このような問題意識が生まれてから各国の法令に反映されるまでにはタイムラグがありますけれども、欧米ではこのような考え方が何年も前から有力に提唱され、ＧＤＰＲの実務の下で採用されています。したがって、いわゆるブリュッセル効果の下でＧＤＰＲを参照して作られた各国の個人情報保護法の下でも同様の考え方が浸透していくことが見込まれますし、日本にとってもこれが目指すべき方向性であるというふうに考えています。 　そして、データを取り扱う事業者において適切に個人データを扱う、このことを担保するためには、情報提供を行い、本人の同意を取得すれば個人データを第三者に提供できる、このような形ではなく、個人データの扱いがきちんと適切にできる、それがもしできなければ、課徴金等を課し、そして事後的に是正する、こういった事後規制に徐々に移行していくということが求められると考えています。 　このような理由で、今般の改正は、本人同意に重きを置く形式主義から実質的な個人の権利利益の保護を目指すという実質主義への移行と、課徴金の導入により、このような移行を制度的に担保するための事後規制への移行を含む点で、データ駆動型社会における適切なデータの扱いを目指すものとして高く評価すべきと考えております。 　二点目は、今回の改正は、全体として実質的な個人の権利利益の保護の実現のために検討がなされているということです。 　幅広いステークホルダーから意見をくみ上げた結果として、データの利活用、保護のそれぞれの観点から前回の改正以降のニーズがおおむね適切に反映されており、未成年者の個人情報の取扱い、個人関連情報のルール、生体データ等の取扱いについては、世界の主要な法制の動向に合わせる形で適切に個人の権利利益の保護が図られていると言えます。 　議論のある統計作成等の特例との関係では、多くの国の個人情報保護法制の下で、データのスクレーピングやＡＩモデルの学習のための個人データの利用の整理が課題となっております。昨年十一月に公表されたＥＵのデジタルオムニバス法案によるＧＤＰＲの改正提案においてもまさに議論がなされています。 　日本の法制への示唆としては、こういった海外での議論の動向も参考にしながら、丁寧に下位規則やガイドラインを策定していく必要があると考えています。そして、もし今般、統計作成等特例が導入されれば、これまでＧＤＰＲを追いかけてきた日本の個人情報保護法がＧＤＰＲよりも先行してこの課題に答えを出す、この点は非常に象徴的であるというふうに考えています。 　他方で、国際的に最先端であるから導入すべきと申し上げるものではございません。現在の個人情報の保護水準の切下げが許されるということでは決してなく、下位規則やガイドラインの制定、提供先との契約等、そして公表情報のモニタリングを通じて、個人の権利利益を害するおそれがないということを実効的に確保する必要があります。 　このうち提供先との契約については、市場原理のみに委ねた場合では質や規律というものが十分に確保されないおそれもありますので、そのようにならないように、官民協働して契約のフォーマットを用意する、あるいは内容を十分に検討するといったようなことが今後検討に値すると思います。 　また、様々な議論がなされておりますが、この統計作成等の特例の要件を充足できるＡＩモデルの開発の場面というのは割と限られるという理解でおります。ただ、懸念にあるような不適切な事業者が参入しないよう、所定のＡＩ開発等の水準、これを充足している事業者が分かるように業界としても工夫ができるとよいのではないかというふうに考えております。 　三点目として、今後への期待を少し幅広に述べたいと思います。 　まず、個人情報保護法の実質主義と事後規制への移行の流れ、これ自体は避けられず、今回の改正点は通過点にすぎないように考えています。実務では適用開始から二十年余りが経過しておりまして、そもそも全体を抜本的に見直すべきといったような意見もしばしば聞かれますし、今回導入される事後規制との関係でも、課徴金の範囲と金額の拡大、団体訴訟の導入というものは引き続き論点になるべきと考えております。 　この点、ＧＤＰＲの下での制裁金は、参考資料の五ページから六ページのグラフにしてあるように、実は日本で一般に想起されるような高額事案に限られるものではございません。また、高額の事案についても、三年から五年後に裁判等を通じて実際には九〇％程度の棒引きがなされるような事案も相次いでおります。 　ただ、それでも事後規制の抑止力としては十分に意味がありますし、加盟国ごとに当局があるということを考慮しても、相当数の執行事例が積み重ねられている、こういったことは重要であり、政府としては、学会等と協働して、今回見送った理由の一つとされる法理論面での整理、こういったものを継続するとともに、執行の経験というものを積むということが重要であると考えられます。また、専門化の進む情報法制の分野において、消費者や市民社会がより実効的に参加できるよう、人的、物的資源の支援を含め、方策を尽くすことも重要です。そして、団体訴訟の枠組みがあれば、より実効的な被害救済につながり得た事案、これを都度指摘し、積み上げていくということが重要であると考えます。 　最後に、データ法制との関係でも、驚異的な能力を誇る汎用ＡＩ、ミュトスの登場や、そのアクセス遮断により、我が国におけるＡＩ主権の確立の必要性が突き付けられているということは指摘せざるを得ません。この点は、ＡＩ法で対応する部分もあるかもしれませんが、ＡＩ主権を実現するために必要なデータをいかに国内で流通させ、囲い込み、集積するかという観点からも、世界動向を踏まえつつ、早急に検討することが重要であると考えます。 　ＡＩ主権との関係では、非常に簡単なものではございますが、参考資料の十一ページに、今月の六日に欧州委員会より公表された技術主権パッケージやクラウド・アンド・ＡＩディベロップメント・アクト案にあるようなデータ法を補う仕組みが検討されていることが重要です。 　今般改正の対象となっているデジタル手続法は、主に公的機関の保有するデータの価値を開放する施策であり、これ自体、非常に大きな意義を有しますが、民間事業者の保有するデータの価値を開放するとともに、いかに国内でデータを集積するかという問題意識をも踏まえた包括的なデータ法制のグランドデザインについても検討を本格化させることが望まれると考えます。 　デザインの在り方は様々あり得るかと思いますが、どうか議論が継続し発展するよう、立法府におかれましても引き続き御検討いただくことを期待いたします。 　以上の説明が、今後の議論、そして公正で豊かな社会の実現の一助となることを期待して、終わりたいと思います。ありがとうございました。

○委員長（松下新平君）　ありがとうございました。 　次に、郷野参考人にお願いいたします。郷野参考人。

○参考人（郷野智砂子君）　本日は、デジタル社会の形成及び人工知能の活用等に関する特別委員会におきまして発言の機会をいただき、誠にありがとうございます。全国消費者団体連絡会事務局長の郷野でございます。 　私ども全国消団連は、一九五六年に結成された消費者団体の全国的な連絡組織です。全国の消費者団体が連携し、消費者の権利の実現と暮らしの向上、消費者団体活動の活性化と消費者運動の発展に寄与することを目的として活動しています。 　本日は、消費者の立場から、個人情報保護制度の在り方について意見を申し述べます。どうぞよろしくお願いいたします。 　二〇二六年一月九日に公表された個人情報保護法制度改正方針は、四月七日に個人情報の保護に関する法律等の一部を改正する法律案として閣議決定されましたが、個人の権利利益保護の観点から多くの重要課題が存在します。 　本日は、個人情報保護法三年見直し検討会報告書で示された論点と比較しながら、制度設計上の問題点を整理し、今後必要となる改善方向を述べたいと思います。 　まず、総論として、令和八年方針と改正法案は、令和六年報告書が示したデジタル社会における個人の権利保障という基本方向から大きく後退しています。課徴金制度、差止め請求制度、集団的救済制度という権利保護の基盤的仕組みが弱体化又は消滅し、本人同意制度や要配慮個人情報の扱いにおいても緩和が進んでいます。ＡＩプロファイリングに関連する現代的な権利侵害への対応も不十分であり、制度全体の実効性に強い懸念がございます。 　第一に、課徴金制度の後退です。 　令和六年報告書では、課徴金の役割を不当利得の剥奪と位置付け、悪質性ではなく利得の有無で判断するべきと明確に整理していました。安全管理措置義務違反についても、本来投資するべきコストを回避している点で利得が生じるため対象とし得ると分析されていました。しかし、令和八年方針と改正法案では、課徴金対象が悪質な事業者に限定され、安全管理措置義務違反は対象外となりました。漏えいの多くはずさんな安全管理に起因するため、この後退は大規模漏えいへの抑止力を大きく弱める結果となっています。 　第二に、差止め請求制度の削除です。 　令和六年報告書では、不特定かつ多数の消費者の個人情報が不適正に利用される場合など、適格消費者団体による差止め請求制度が不可欠と整理されていました。違法なデータ利用を迅速に停止する仕組みは被害拡大を防ぐ上で重要な役割を果たします。しかし、令和八年方針と改正法案では、制度案が完全に削除され、導入見送りの記述となっています。これでは、現行制度で最も脆弱な領域が放置されることになります。 　第三に、被害回復制度、集団的救済が消滅しています。 　個人情報被害の多くは少額多数であり、被害者本人が訴訟に踏み切ることは現実的ではありません。令和六年報告書では、この点を踏まえ、集団的救済制度が不可欠であると整理されました。しかし、令和八年方針と改正法案では、制度化の方向性が示されず、被害者が救済されない構造が続く危険があります。 　第四に、データの利活用に関する本人同意の原則が弱体化しています。 　令和六年報告書では、同意の形骸化を防ぎ、本人関与を強化する必要性が指摘されました。しかし、令和八年方針と改正法案では、ＡＩ開発、統計作成や権利利益を害するおそれが少ない場合など、幅広い名目で同意不要例外が拡大されています。要配慮個人情報についても同意不要とされ得る点は、本人の知らないところでセンシティブ情報が扱われる危険を高めると考えます。 　第五に、漏えい通知義務の緩和です。 　令和八年方針と改正法案では、本人の権利利益の保護に欠けるおそれが少ない場合は本人への通知不要となっています。漏えいの早期把握は二次被害防止の基盤であり、通知不要範囲の広がりは制度目的と整合しません。 　第六に、ＡＩプロファイリングアルゴリズムによる差別的取扱いや不利益誘導に関する規制が欠落しています。 　令和六年報告書では、属性推定やスコアリングなどが新たな権利侵害を生むとして対策の必要性が整理されていましたが、令和八年方針と改正法案では対応が限定的であり、現代的リスクへの対策が不十分です。 　第七に、子供の個人情報保護の不十分さが挙げられます。 　個人情報保護法三年見直し検討会では余り議論されず、令和六年報告書では、子供の保護について検討を進めるとまとめられ、令和七年の個人情報保護法の制度的課題に対する考え方についてにおいては、子供の個人情報は最善の利益を優先的に考慮すべきとされました。令和八年方針と改正法案では、十六歳未満の個人情報について、法定代理人関与を明文化し、最善の利益を考慮すべき責務規定を新設することを盛り込みましたが、成人年齢と対比して十六歳未満を対象としたことや、法定代理人の選定について論議が不十分ではなかったかと考えます。 　第八に、要配慮個人情報の扱いが緩和されている点も問題です。 　本来最も慎重に保護するべき情報であるにもかかわらず、ＡＩ、統計名目で同意不要扱いとされる内容となっています。差別的利用を防止する観点からも再検討が必要です。 　第九に、私たちに寄せられた消費者からの異議申立てについて述べます。 　スーパーマーケットのセルフレジに顔モニターが設置されているにもかかわらず、顔データの取得有無を事業者に尋ねても回答を拒否されたというものです。来店者がモニターの前に立つだけで顔が映り込み、黙示的同意とみなされ得る状況に不安を感じたこと、顔データは銀行口座認証などに利用される極めて機密性の高い情報であり、一度取得されると利用の実態が把握できないということを非常に懸念される声でした。 　改正法案では、顔特徴データ等の取扱いについての規定を設けますが、この問題は、本人同意の透明性の欠如、要配慮個人情報としての生体情報保護の不足、ＡＩプロファイリングへの規制欠如、差止め請求制度の不存在など、複数の制度的課題に関わっています。よって、個人情報保護法を改正するのであれば、即時破棄の場合も含めて取得の有無を回答する義務、生体情報の厳格な規律、ＡＩ利用時の説明義務、差止め請求制度の導入などが不可欠です。 　以上のとおり、令和八年方針と改正法案は個人情報保護法の目的である個人の権利利益の保護と整合しているとは言えず、制度の抜本的見直しが求められます。今後の改正に向けて、課徴金制度の再構築、差止め請求制度の創設、集団的救済制度の導入、同意不要例外の厳格化、要配慮情報、子供情報の保護強化、ＡＩプロファイリング規制の整備、漏えい通知義務の強化など、現代的リスクに対応した制度への転換が必要です。 　個人情報保護委員会は、個人情報保護法三年見直し検討会で初めて消費者団体を論議の場に加えましたが、最終的な改正法案の確定に向けては消費者団体の声を求めませんでした。これからの個人情報保護法改正検討の場では、個人データ利活用の直接的な恩恵を受ける側だけではなく、必ず消費者団体の参加を位置付け、その声を生かすことが重要であると考えます。 　以上です。

○委員長（松下新平君）　ありがとうございました。 　次に、黒田参考人にお願いいたします。黒田参考人。

○参考人（黒田知宏君）　京都大学の黒田でございます。 　今日は、このような意見を聞いていただける場を設けていただきまして、ありがとうございます。 　私は、データサイエンス研究やＡＩ開発を自分で行う研究者ではありませんが、四半世紀にわたって、主に京大病院の医療データ基盤整備に微力を尽くしてまいりました。 　長年この仕事に携わってまいりますと、いろんなことを経験いたします。例えば、ある研究所の方が京大病院の医療情報を自由に使って新しい産業を創出しますと発表をどこかでなさったんだそうです。これを聞いた患者さんが、自分の個人情報を使って企業にもうけさせるなんて許せぬという電話を京都大学にお掛けになりまして、それがきっかけで、二年掛けて二次利用のデータを作るという体験をいたしました。このように、たった一つの無邪気な発言がデータ利活用をしばらく停滞させるというのは、医療機関でデータ利活用に関わっている者は必ず体験するものです。 　資料一を御覧ください。 　次世代法ができた直後、国際医療情報学会、ＭＥＤＩＮＦＯ、ごめんなさい、これ二〇一七です、二〇一七で、なぜ日本は民間事業者に勝手に医療データを売り渡させるような仕組みをつくったのだと、同一性認証を失うぞというふうに研究者の方々から迫られました。 　私は、お手元の資料の一のスライドの左下のところにあります赤い矢印を書き加えまして、残念ながら日本というのは政府に対する信頼が欧州ほど高くない国なので、政府が自分でやるよりもチェックに回った方が制度の信頼性が上がるんですよという御説明をして納得をしてもらったという経験をしました。 　欧州というのはルールに厳しくて、学術分野でも、資料二にお示ししていますとおり、学術例外の範囲を狭めて研究者にデータの安全管理義務を負わせるように改正することにより、やっと日本と欧州がデータ交換を行う学術研究ができるようになったという経緯がございます。欧州というのは特に医療情報分野では学者と官僚の距離が極めて近い地域ですので、このとき私が説明に失敗していたら何が起こったんだろうというのを非常にぞっとする思いです。 　資料の三を御覧ください。 　認定作成事業者、ＬＤＩの理事を私はしてございますが、ここの立場では、資料三にお示しする情報漏えい事案を経験いたしました。次世代法では、認定作成事業者が通知済み患者のデータの抽出作業を医療機関から受託しているのが普通です。ですが、ＬＤＩはこのとき抽出プログラムにバグを持ちまして、約十万人分のデータを誤って抽出するという事故を起こしました。ただし、次世代医療基盤法では匿名加工情報した情報しか提供できませんので、幸い個人情報が市中に漏えいするということはございませんでした。 　とはいえ、委託先から認定事業者への個人情報の漏えいでございますので、個人情報を漏えいさせたと名前を公表された医療機関の中には、こんなレピュテーションリスクがあるんであれば、もう次世代法から離脱したいというお話をたくさんいただきまして、内閣府の方々と一緒に日本中を飛び回るということを経験しました。 　これらの経験から言えることは、病院にも患者さんにも自分に危害が及ばないように守られていると感じてもらえる、シンプルで分かりやすい仕組みを整えることが大切だということです。ですので、私は、資料四にお示ししているように、国が安全性を認めた機関だけがデータを集め、一か所で全ての利活用提案が審査されて、その結果が公表される欧州ＥＨＤＳ型の医療情報基盤をつくるべきだと考えています。 　今回の個情法改正においては、決してデータの安全性を確保する手段にならない同意に頼ることをやめ、リスクベースアプローチで考えるというのは画期的なアプローチだと思います。一方で、同意という安全装置を取り除くというのであれば、守ってもらえているという、感じてもらえる安全装置を立て付ける必要があります。最も効果的な安全装置は、違反者からあらゆるデータに触る権利を剥奪することです。これはデータを扱う者にとっては死刑宣告に等しい宣告ですから、高い抑止効果が期待できます。 　実際、資料五に示しておりますとおり、厚生労働省が運用しているＮＤＢでは、二〇二〇年に、データを目的外利用した研究者の名前を公表して、情報提供の無期限停止措置をとっています。こういった抑止効果を最大化するためには、例外なく全ての利活用を一か所で審査するということが必要になります。ＥＨＤＳはそうなっています。例外はありません。 　北欧各国では、オプトアウト率が国民の制度に対する信頼度を表すパラメーターなのだというふうに言います。今、北欧各国のオプトアウト率は〇・五％を切っています。次世代医療基盤法の事業者であるＬＤＩのオプトアウト率は今〇・二％です。 　さて、逆に、丁寧な制度設計をすることなく利活用法制の理念を優先した制度を引いたために国民の制度を失ったという例は枚挙にいとまがございません。 　資料六を御覧ください。 　左上にございます豪州のマイ・ヘルス・レコードの場合、国民の一〇％近くがオプトアウトしました。英国ＮＨＳでの事例もよく知られています。下にありますけれども、英国では最近でも特定の企業にデータを提供したという疑いが飛び出しまして、ノット・ウイズ・マイ・ＮＨＳデータ、みんなでオプトアウトしようという反対運動が起きておりまして、この六月三日にナショナル・データ・ガーディアンが声明を出すなど、政府は対応に追われています。データ利活用制度の整備においては、確実に、せいては事をし損じるんです。 　さて、資料七の上段にお示ししているのは、統計例外を定めている今回の第三十条の二第五項の条文です。本質的に条文の意味を変えない紫の部分を取り除いて、下線部分を意訳しつつ条件として外に出して、残った文をつなぎ合わせると下のようになります。 　個人情報取扱事業者は、第三者が個人情報を統計作成等目的で扱う必要がある場合、当該個人情報を本人の同意を得ないで当該第三者に提供することができる、これだけです。下段に各項の参照関係を示しましたが、スクレーピングを定めている柱書きは第五項を参照しています。ですが、第五項はどこかを参照していませんので、これは独立して存在しています。ですので、他項の影響はございません。第六項では、この第三者を特例個人情報受領者と名付けておりますが、データ管理に関する特段の安全管理措置は求められていませんし、受け取るデータの範囲に関する制限も設けられていません。 　資料八を御覧ください。 　ＧＤＰＲにも統計例外に該当する条文がございます。それがＧＤＰＲ第八十九条です。資料八は、個情委さんの同条文の訳、資料九が原文です。下線は私が引いています。 　第八十九条二項では、科学調査若しくは歴史調査の目的又は統計の目的で取り扱われる場合、ＥＵ法又は加盟国の国内法はオプトアウトを受け付けない法律を作ってもよいと書かれています。ただし、第一項で書かれているデータの最小化の原則の尊重が条件です。そのレベル感は、仮名化を含むことができる、メイ・インクルードです。ＧＤＰＲ八十九条と改正個情法の統計例外との間では、このデータの考え方に対して全く平仄が取られておりません。 　一方、次世代法は、今度は資料十ですけれども、十にありますように、異なる医療機関のデータを名寄せして分析用医療データを作るためにできました。ある人の一生分のデータを管理する認定作成事業者は、主に情報セキュリティー面の審査を毎年受けねばなりません。同様に、仮名加工医療情報を手元に保存する事業者Ⅰ型、手元にデータを置かないけれども仮名加工医療情報に触る事業者もⅡ型認定利用事業者として認定を受けることが求められています。 　ここで、統計例外と次世代法のデータの流れを下の方にまとめてみました。複数医療機関の医療データをつなぎ合わせて、安全性確保のために仮名化処理を施し、ＡＩの学習データとして適用するという三つの丸がそこにございます。御覧いただいて分かるように、できることは全く同じです。特定個人情報受領者は、特定作成事業者と特定利用事業者の両方の役割を果たします。 　しかし、特定個人情報受領者には認定事業者に求められているような安全管理措置すら義務付けられていません。二つの法律の平仄が全く取られていないわけです。平仄を取るならば、大臣認定を入れる必要がございます。最低限、特定個人情報受領者に安全管理や出力物の確認義務を法で求めておかなければ、最も楽な方法が最も安全な方法ではなくなります。そうすると、日本のデータ利活用システム全体が壊れます。ソフトローであるガイドラインで定めるべきだという御意見もあるのは理解しておりますけれども、ソフトローは達成すべき目標をハードローで示したときにのみ効力を発揮します。ですので、ソフトローだけ書けばいいというものではございません。 　資料十一を御覧ください。 　資料十一は、厚生労働科研木村班の資料です。この研究では、中段に示しておりますように、開発中のＡＩを認定作成事業者に預けて学習してもらうというアプローチを取りました。ちょうどＡＩという籠をお預かりをして、個人情報の液の中に認定作成事業者がぽちゃんとつけるというイメージです。しばらく学習した後引き揚げて、籠の中に残った学習のＡＩパラメーターを個人情報が入っていないなと確認してお渡しをすると。そうすると、ＡＩパラメーターは統計情報ですから、認定を取らなくともＡＩ開発者は受け取れます。このアプローチを使えば、実はゲノムを対象としたＡＩですら手続を取らずに作れます。 　しかし、一般的なＡＩ開発では、生涯にわたるデータであったりゲノム情報のような個人情報を必要とすることはまれです。名寄せを必要としないのであれば、現行個情法の仮名加工情報の共同利用の枠組みを使えば十分です。 　資料十二を御覧ください。 　資料十二の上段にはＱアンドＡがありますが、今回の統計例外と同様に、必要な事項を開示して共同利用の契約を結べばよいということが書かれています。仮名加工にもちろんＰＥＴｓなどの製品を使うことも可能でしょうし、仮名加工そのものをＡＩ開発企業に委託することもできます。無論、受託時には、個情法に従って安全管理措置が盛り込まれることになります。統計例外のように、あらゆる個人情報を特段の安全管理義務を課されずに受け取れるという状況にはなっていません。 　以上、お話ししてまいりましたように、統計例外を導入することによって初めて実現できることというのは実は何にもないんです。全く何もありません。なのに、こうやって特定個人情報受領者というものができ上がることによって、しかもそれに安全管理措置が法で義務付けられていないということであれば、現行制度よりも確実に安全性は下がります。次世代法やＧＤＰＲとの平仄も取れません。そうすると、十分性認定の喪失の可能性すらあります。何よりも、データを提供してくださる国民の皆様やデータの収集、提供主体である医療機関、さらには共同研究開発の相手先になるべき諸外国の不信感を招きかねません。私は病院の責任者でございますけれども、この制度でデータ出したいとはこれっぽっちも思いません。怖くてできないです。 　結果として、我が国の医療データ利活用は停滞し、ＡＩ開発等の点でかえって諸外国に大きく後れを取ってしまう結果になるだろうということが予想されます。せいては事をし損じるんです。 　折しも、医療等情報の利活用の推進に関する検討会が内閣府で進められていて、この夏に結論をまとめるべく急ピッチで進められているところです。丁寧な議論を経て、病院にも患者さんにも自分に危害が及ばないように守られていると感じてもらえる制度をつくるというのに、私も一構成員の立場で微力を尽くしているところです。ですので、政府や国会議員の皆様には、性急に必要のない例外の穴を空けることは避けていただきたいと心からお願いを申し上げます。 　私の話は以上です。ありがとうございました。

○委員長（松下新平君）　ありがとうございました。 　以上で参考人の御意見の陳述は終わりました。 　これより参考人に対する質疑を行います。 　なお、質疑及び答弁は着席のままで結構でございます。 　質疑のある方は順次御発言願います。

○若井敦子君　自由民主党の若井敦子でございます。 　参考人の皆様には、専門的知見から貴重なお話を伺いました。ありがとうございました。 　一昨日の委員会の質疑、また、今日、先生方のお話をお伺いさせていただいて、かつて我が国が経験をした鎖国から開国へという大きな歴史的転換を思い浮かべました。かつて日本は、長く国を閉ざすことで一定の秩序を維持してきたわけです。しかしながら、世界の産業や技術、この情報の流れが大きく変化をする中で、そのままでは国力を維持し発展させていくことが厳しくなり、近代国家として新たな歩みを始めるために、国を開き、世界とつながるという大きな決断を行ったわけであります。 　もちろん、データ利活用やＡＩをめぐる議論と歴史上の出来事を単純に重ねることはできませんけれども、現代社会において変化する技術や社会環境に合わせて制度を進化させていくということの重要性という点では、どこか共通をするものがあるのではないかと感じているわけでございます。 　現在、国や地方自治体、民間企業にも価値のあるデータは数多く存在しています。しかしながら、それらが組織ごと、制度ごと、分野ごと、これらに分断され、十分に活用されないままであれば、ＡＩという新しい技術の可能性を引き出すことは難しくなるわけでございます。私は、こうした状況は現在のデータ鎖国とも言える状況ではないかと感じております。 　今、世界ではＡＩをめぐる開発競争が急速に進んでいます。ＡＩの性能向上や社会課題の解決、新たな産業の創出につなげていくためには、質の高いデータを安全かつ適切に活用できる環境の整備が重要であり、データを囲い込んでいるだけでは我が国はこの大きな潮流に対応していくことが厳しくなると考えております。今こそ、国民の権利利益をしっかりと守ることをもちろん大前提といたしまして、必要なデータ連携と利活用を進めていくというデータ開国の視点が求められているのではないかと思っております。 　遡れば、十年前の二〇一六年には、こうした変化を見据えて、議員立法により官民データ活用推進基本法、いわゆる官デ法が制定をされました。この法律は、デジタル技術の進展や人口減少、少子高齢化といった社会構造の変化に対応するため、官民が保有するデータの円滑な流通と積極的な活用を通じて、国民生活の利便性向上や新たなビジネス創出を図るという基本理念が掲げられております。 　しかしながら、制定から十年が経過した現在において、我が国が官民データを有効的に活用できているか、活用できる環境を実現できているかといえば疑問に思うわけでございます。本格的なＡＩ時代の到来を踏まえれば、データ利活用の制度設計を改めて見直していくことは急務であると考えております。 　そのような中で、今回、デジタル行政推進法改正において、官デ法の理念を踏まえて、行政が保有するデータについて一定のルールの下で民間事業者による利活用を可能とする仕組みを整備することは、ＡＩ時代における重要な一歩であると考えております。 　データは孤立をしていれば十分な価値を発揮することができません。行政と民間、あるいは組織や分野の壁を越えて、安全性と信頼性を確保しながら適切に連携されることによって、ＡＩ技術の発展、新たなサービスの創出、行政の高度化、さらには我が国の国際競争力の強化につながる新たな価値が生み出されるのではないでしょうか。 　だからこそ、個人情報保護法を始め、個人情報保護委員会規則やガイドライン、医療分野などの個別法制を含めた適切な制度整備が必要であり、また、今回の法案で新設される国の指針や事業計画の認定といった仕組みが重要な役割を果たすものだと考えております。これらは、データ利活用を妨げるものではなく、国民のプライバシーという基本的人権を守るとともに、データの適正な管理や安全性の確保を図りながら安心してデータを活用していくための信頼の基盤であると考えております。信頼できるルールがあるからこそ、国民一人一人が新しい技術を安心して受け入れ、社会全体としてＡＩ時代の恩恵を享受することができるのであると考えております。 　データの利活用の推進という攻めの取組と個人情報保護という守りの制度設計は、決して対立するものではなく、むしろＡＩ時代において共に実現していかなければならないものであり、まさに車の両輪であると考えております。この両輪をバランスよく機能させながら、信頼できるデータ流通と利活用の基盤を築いていくことは、我が国がＡＩ時代到来において目指すべき未来ではないかと考えております。 　そこで、まず稲谷参考人にお伺いをさせていただきたいと思っております。 　稲谷参考人は、政府のデータ利活用制度・システム検討会の委員を務められ、先ほどお話を頂戴いたしましたけれども、アジャイルガバナンスの専門家でいらっしゃるわけでございます。かねてより、ビッグデータが社会を動かすこの時代において、個人の自律的意思、事前同意に頼る法制度には限界があるとのお立場から御指摘をされておられると私は認識をしております。 　イノベーションのスピードが速いデジタル社会において、いまだ硬直的な事前規制にこだわることが我が国のデータ利活用、ＡＩ産業にどれほどのダメージをもたらすのかについて、是非この機会にお考えをお聞かせいただきたいと思います。よろしくお願いいたします。

○参考人（稲谷龍彦君）　若井先生、御質問いただき、ありがとうございます。 　御質問いただいたのは、関連する二つの点に関するものであると承りました。 　第一点目は、デジタル社会における個人の自律的意思や事前同意に頼る法制度の現代的な限界に関わる点、第二点目は、硬直的事前規制の現代的な課題について、イノベーションやＡＩ産業の育成といった観点からお尋ねになったというふうに承りました。 　まず、第二点目の方から端的にお答えいたしますと、硬直的な事前規制にこだわることは、イノベーションと法律のギャップを生みやすく、問題が大きいと考えます。 　私の目からは、ＥＵのＡＩアクトはまさにこの問題にはまってしまっているように思えます。ＡＩアクトの元々の議論の段階では、生成ＡＩやエージェンティックＡＩの社会実装といった事態は全く想定しておりませんでした。その結果として、例えば高リスクＡＩに関する人間による監視のような、解釈次第では認知的、技術的に相当無理のある規制が入ってしまっています。もちろん、技巧的な解釈を施すことでこうした規制を技術に適合させることも不可能ではありません。しかし、少なくとも、先走ってこうした規定を入れなければ生じなかったであろう技術開発に対する不要な萎縮効果を生んでしまっているということも事実だと思います。 　残念ながら、事実として我が国のデータ利活用は余り進んでおらず、ＡＩ産業も世界をリードする立場にはありません。にもかかわらず、データやＡＩは我々の社会においてますます基盤的な役割を果たしつつあるわけです。このような状況下において、硬直的な事前規制にこだわり、イノベーションの機会を失し続けますと、個々人にとっても社会全体にとっても致命的な問題を引き起こしかねないと、このように考えてございます。 　次に、第一点目の個人の自律的意思や事前同意に頼る法制度の限界についてでございます。 　こうした法制度は、物語としては大変美しいのですが、デジタル化が進んで情報があふれる現代社会においては、個人に対する認知的な負荷が非常に大きく、法益保護の観点からは逆効果になる可能性もずっと指摘されているところでございます。 　情報がデジタル化した現代においては、情報濫用等の現実的リスクは、どのような主体によって、どのような運用状況で、どのようなアーキテクチャーの下で情報が管理されるかに大きく左右されます。そして、これらの要素によるリスクの増減は、情報主体、データ主体の同意の有無とは直接的には関わりがありません。 　したがって、現代においてリスク管理の観点から決定的に重要なのは、法、運用、技術、制度、運用、技術の適切な組合せによって、情報処理を実際に行う主体の下での情報濫用等のリスクが適正にコントロールできるかという点であり、また、適正なリスク管理を合理的費用で実現するためには、先端科学技術を適時に用いることができるように法制度を設計しなければなりません。 　つまり、イノベーションの促進のみならず、法益保護、車の両輪とおっしゃられましたが、まさにそのとおりでございまして、法益保護、この観点からもアジャイルガバナンスのような方法論が求められていると、このように考えてございます。 　以上です。

○若井敦子君　御示唆に富んだお話、ありがとうございました。 　続きまして、石川参考人にお伺いさせていただきたいと思います。 　先ほど来からお話がありましたように、もう世界のデータ保護法制の動向に精通されておられる方でいらっしゃいます。 　今回の個人情報保護法改正案には、ＡＩ学習や統計作成等の目的に限り、一定の事項の公表を前提といたしまして、本人の同意を不要とする特例が盛り込まれております。この特例措置につきましては、個人の権利や利益の侵害につながるものだと慎重なお立場の方々がおられるのも事実であります。これに対して、先ほど来からお話が出ておりますいわゆるＧＤＰＲ、欧州一般データ保護規則や米国の先端ＡＩをめぐる議論を見ますと、技術革新のスピードに対応するには、硬直的な事前同意の原則よりも、適切なガバナンスが前提にある、同意が不要で柔軟な利活用に国際的潮流がシフトしているようにも思われるわけでございます。 　今回のこの特例措置というのは、方向性といたしましては国際基準に合致していると思われるのですけれども、グローバルな法制度の最前線に立っておられる石川参考人のお考えをお伺いさせてください。

○参考人（石川智也君）　御質問ありがとうございます。 　同意に基づいて提供して、その後どうなっているのか分からないというよりも、やはり、適切なデータ保護がなされることを確認して、ガバナンス等の措置が講じられた上で監督等をするという、こういう枠組みの方が個人の権利利益の保護が確保されるという場合がデータ駆動型社会においては多くなっているということだと思います。この点は、規制の水準を緩めるという発想ではなく、データ駆動型社会の下で個人情報の保護の方法が変化したと、このように思っていただくというのがよいと思います。 　今回の特例措置は、今後の様々なガイドライン等を通じて適切なデータガバナンスの仕組みが確保される限りにおいて、法制度の進化する方向としては十分にバランスが取れていると。そして、現在、世界中で議論がされているという状況にありますので、確立された国際標準というものはありませんけれども、少なくとも、国際的に議論がされている幅といいますか、その中には十分に収まっているというふうに言ってよいのではないかというふうに考えています。 　もちろん、悪質業者等が入り込むリスクというものはあるかもしれませんが、その辺りについては、適切な執行と良い業者を見極めることができる業界での周知の在り方などによって対処すべき課題であるというふうに考えております。 　以上です。

○若井敦子君　ごめんなさい、申し訳ございません、郷野参考人と黒田参考人にも専門的な知見からのお話を是非お伺いさせていただきたいと思っておりましたけれども、時間がなくなってしまいましたので、大変申し訳ございません。 　いずれにいたしましても、国民の信頼を得るための努力を惜しまず、透明性を保って、丁寧な説明を重ねることが最も重要でありますので、国民の信頼に足る安心で安全なデジタル社会の実現を願いまして、私からの質疑を終わらせていただきます。 　ありがとうございました。

○岸真紀子君　立憲民主・無所属会派の岸真紀子です。 　四人の参考人の皆さん、本当に様々な見識からの御意見、大変ありがとうございました。 　早速質疑に入ります。 　稲谷参考人に最初にお伺いいたします。 　先ほど稲谷参考人は、アジャイルガバナンスを見直していけばよいというような御意見もいただいたところではあるんですが、今回の個人情報保護法改正案では、ＡＩ開発事業者を国が指定をしたり認定したりするものではなく、あくまでも企業と企業といったように、事業者の選定がある意味無制限と言えます。その状態で、悪意がなかったとしても、要配慮個人情報も含めた全ての個人情報が流出してしまった場合も考える必要があると私は考えます。 　そこでお伺いするのは、ＡＩ利用のリスク評価は誰が行うべきと考えているのか、企業の自主判断だけで十分なのかどうかといったことをお伺いいたします。

○参考人（稲谷龍彦君）　岸先生、御質問ありがとうございます。 　ＡＩのリスク管理の評価主体をどのように考えるべきかという御質問、それが今回の個人情報保護法の統計等例外ですかね、に関してどうなのかという御質問であると承りました。 　私の理解する限りでございますが、今回のこの統計作成等の利用法というものは、個人データとならないようにきちんと、まずそもそも情報を加工するということが当然の前提となった利用法であるというふうに理解をしてございます。 　そういたしますと、このレベルまでまずリスクが下がっているかどうかということを、まさに法律が自ら指示をしているというふうにまず考えるというのが重要であると考えます。その上で、今回は、この統計等作成に至っているかどうかということを個人情報の保護委員会の規則で具体的に定めていくということになっておりますし、また、その規則に基づいてガイドライン等が発出される形で具体的にそのリスクのレベルに抑え込めるかどうかということが検討されるということになってございますので、今回の法律の立て付けに関して申し上げますと、企業が自分で何かをできるというわけではなく、基本的に、法律の趣旨にのっとって、また個人情報保護委員会がその趣旨にのっとった規則を具体化し、ガイドラインを具体化していくことによりましてリスクを低減していくということが求められているというふうに理解をしてございます。 　その上で少しだけ申し上げますと、このリスクの低減に関しましては、まさにこれまでの議論にも少し出ていましたように、技術的な措置等を活用することによって、まさに個人にもうひも付かない形にした上で、しかも処理する側においても個人の情報に触らないようにするといったような措置も考えることは技術的にはできますので、そういった様々な措置を、費用対効果いろいろありますので、何が最もいいのかということはまさにこれから専門的な御見地から議論されることと期待してございますが、そういった観点からコントロールするということになると理解をしてございます。 　以上でございます。

○岸真紀子君　ありがとうございます。 　大変残念ながら法律ではそこまで縛りを掛けていなくて、衆議院の委員会質疑でも、大臣からは、その匿名とか加工をしなくてもいいというような答弁まで出てしまっているので、なかなかこれに不安を残しているというのが今の実態です。 　次の質問、石川参考人に次はお尋ねをいたします。 　二本あるので分かりにくいんですが、行政データだけではなくて、民間と民間も実はデータの行き来ができるというような法律の立て付けに今回の個人情報保護法の改正はなっております。 　その中で、先ほどの稲谷参考人にもお伺いしたことと重なるかもしれませんが、ＡＩ開発のためのデータ利用に関して、本人の権利保護と社会全体の便益のバランスというのはどのように取るべきかというのを参考人の見解からお伺いします。

○参考人（石川智也君）　御質問ありがとうございます。 　まず、今回の制度との関係では、個人の権利利益を害するおそれがないことというのがもう要件として課されております。ですから、社会全体の便益があるから特例を認める、こういうことではなくて、個人の権利利益を害するおそれがないＡＩ開発等の統計特例については認められるという構造になっていますので、その意味では、何か社会全体の利益が優先されるといったような考え方ではないというふうに私は考えております。

○岸真紀子君　ありがとうございます。 　こちらも、認定の事業者に対してそれが認められているとか、例えば統計特例を使おうとしているＡＩ開発事業者が、国が例えば認定していたり、誰かがチェックしていればいいんですが、残念ながら民間と民間同士の話合いになってしまって、いかなる事業者も、もしかしたら契約に基づいてデータが行き渡ってしまうかもしれないというおそれがあると私は考えているところであります。 　ですが、そもそもがやはりこの本人の権利利益を害するおそれのないことが前提であるというのは、それ、法律ではそうなっているんですが、なかなか見抜くことができないのではないかというところに今ちょっと疑問を感じているというのが私の考えるところです。 　次に、時間がない中で次から次へと行きますが、郷野参考人にお伺いをいたします。時間があればまた戻ってきます。 　今回の法改正の準備段階では、消費者がもっと闘いやすくと言ったらいいんでしょうかね、要は、参考人からもお話があった差止め請求権、団体訴訟制度が検討されていたんですが、残念ながら本改正案では消えてしまっています。 　差止め請求権がないこと、そしてさらには課徴金が限定されていることへの懸念、先ほどもお話があったと思うんですが、消費者と関わっている段階で、もう少し具体的にお話をいただけるでしょうか。

○参考人（郷野智砂子君）　御質問ありがとうございます。 　まず一点目、課徴金制度についてお答えいたします。 　課徴金制度の見直しが重要である理由としましては、単に違反を罰するだけではなくて、不適切な個人情報の取扱いによって得られる経済的利益を剥奪して違反を抑止する制度的基盤であるためです。まず、個人情報の漏えい事故の多くは、必ずしも意図的な悪質行為ではなく、安全管理措置への投資不足やコスト回避といった構造的な問題から起こっていると考えます。企業にとっては、本来行うべきセキュリティー対策や人員配置を行わないことでコスト削減という利得が発生している場合があり、その意味では経済合理性に基づく意思決定の結果とも言えます。このため、課徴金制度の趣旨は、本来、悪質性の有無ではなく、違反によって不当に得た利益を回収することに置かれるべきと考えております。 　しかし、改正案では、課徴金の対象が悪質な事業者に限定され、安全管理措置義務違反などは対象外とされています。この結果、実際に多くの漏えいの原因となっている領域が制度の射程から外れてしまうという問題が考えられます。その場合、企業側から見ると、安全対策にコストを掛けるよりも、万一漏えいが起きても課徴金の対象にならないのであれば、安全対策にコストを掛けるよりも、失礼いたしました、であれば、結果としてリスクを許容する誘因が生じかねず、制度としての抑止効果が十分に働かないと考えます。したがって、課徴金制度は、悪質性ではなく、不当利得の有無を基準として、安全管理措置義務違反も含めて対象とすることで企業のインセンティブ構造そのものを是正し、未然防止を促す仕組みとして機能させることが不可欠です。 　もう一点、済みません、差止め請求制度についてですが、差止め請求制度が必要である理由は、個人情報の問題が持つ特性として、被害の未然防止が極めて重要であり、事後的な救済では対応し切れないという点にあります。 　まず、個人情報は、一度漏えい、不適切利用がなされると、インターネット等を通じて瞬時に拡散し、回収や利用停止が実質的に不可能になる場合が多いという性質がございます。その結果、被害は長期にわたり継続し、成り済ましや不利益なプロファイリングなど、二次的、三次的な被害を引き起こすおそれもあります。 　また、こうした被害は必ずしも明確な金銭的損害として表れるものばかりではなく、プライバシー侵害や不安、不信といった形で表れることも多く、事後的な損害賠償によって十分に救済できないという課題がございます。さらに、個人情報の不適正利用は特定の個人に限定されるのではなく、不特定多数の消費者に広がる構造を持っています。 　しかし、個々の消費者が自ら違法利用を認識して事業者に対して利用停止を求めたり訴訟を提起したりすることは、時間、費用、情報面の制約から現実的ではありません。このため、差止め請求制度は必要だと考えております。 　以上です。

○岸真紀子君　ありがとうございます。 　次に、黒田参考人にお伺いをします。 　医療データの活用は重要であるものと理解をしておりますが、一方で、今既に次世代医療基盤法がある中で、今回の改正案ということになっています。 　今回のこの個人情報改正案によって、一般の患者や国民の生活への影響を、黒田参考人が長らく今まで携わってきた中で、その別なものがあるのに、このことによって影響がどのようになっていくかというところ、ちょっと分かりにくいかもしれませんが、お伺いをします。

○参考人（黒田知宏君）　御質問にお答えします。 　端的に言えば、結局、患者さんから見たときに守ってもらえていないと感じられてしまうということが全てだと思っています。となると、じゃ、私たちのデータなんか使わせてやらないというふうに言われると。結果として、データ活用全体が止まるというのがもう簡単に想像できる未来だと思っています。

○岸真紀子君　じゃ、もう一問、黒田参考人にお伺いします。 　国民の信頼を損なわずにこのデータ利活用を進めるためには、政府とか事業者に対してどんなものを求めるべきだと考えるか、お伺いします。

○参考人（黒田知宏君）　先ほど申し上げましたとおり、いかにシンプルで分かりやすく安全が守られていると感じられる制度を提供すること、その一点に限られます。だとするならば、ここだけ見れば今何が起こっているか全部分かる、一か所で全てが理解できるという状況をつくることが重要で、だからこそ、ＥＨＤＳはヘルス・データ・アクセス・ボディーというところに審査の主体も集め、そこに全ての情報を公開し、そこを通してオプトアウトができるという作りをしているわけです。 　ですので、全てを一点に集約するということが重要で、例外をつくればつくるほど信頼は失われるというのが基本だと思っています。

○岸真紀子君　次に、もう一度戻りまして、郷野参考人にお伺いをします。 　日頃から消費者相談に携わる中で、海外の事業者への対応も苦慮しているのではないかと推察をします。今回は、海外のＡＩ事業者も入ってくる可能性が高く、海外にもしもその個人情報が、万が一、大丈夫だったらいいんですが、流出することも懸念されるんですが、消費者を守る観点から、どのようにこういったことについてお考えか、お伺いをします。

○参考人（郷野智砂子君）　お答えします。 　消費者として最も懸念しているのは、個人情報が国内の管理から切り離され、海外でどのように利用、拡散されているかが見えにくくなるという点です。実際に、顔データのような生体情報についても取得の有無すら事業者が明確に説明しない事例があり、消費者は強い不安を抱いております。とりわけ海外流出の場合、一度流出すれば、本人が追跡、訂正、削除を求めることは極めて困難です。また、ＡＩやプロファイリングに利用されることで不利益な扱いや差別的な影響が生じる懸念もございます。 　したがって、消費者の立場からは、海外への個人情報の提供の有無や提供先の透明性を徹底すること、本人関与を確保できる制度、説明、同意、利用停止等を強化すること、被害が生じた場合の救済手段の整備することが不可欠であり、安心してデータ社会に参加できる環境の整備が必要だと考えます。 　以上です。

○岸真紀子君　次に、石川参考人にお伺いをします。 　先ほど、郷野参考人にも聞いた団体訴訟の観点です。今後への期待ということで石川参考人からもお話があったと思うんですが、この団体訴訟の導入が今回は見送られたことについてどのようにお考えか、もう少し詳しく教えていただけますか。

○参考人（石川智也君）　御質問ありがとうございます。 　やはり、法理論的な整理が結構難しかったんじゃないかなというふうに私は思っています。消費者という概念と、個人情報保護の文脈でいう個人というのは必ずしもイコールではないんですね。消費者関係にない場合であっても個人が被害を受けるという場合がありまして、ここの整合性がなかなか難しい。 　これは欧州でも同じような問題がありまして、ＧＤＰＲの下で被害を受けた個人について、消費者保護団体が訴えの権利を持つのかということですね、これがまさに争われまして、最後、欧州司法裁判所がある意味法律を作るような形で、消費者保護団体がＧＤＰＲ上の権利を訴えていくことができるというような形で解決がなされている。こういうような、結構、すごく法理論的な議論のあるところなんですね。 　今回はその点がなかなか難しかったのかもしれませんが、次回の改正までにその辺りの論点も整理して、法理論的なところの整理ができると検討ができるのかなと思います。 　以上です。

○岸真紀子君　四人の参考人の皆さん、ありがとうございます。 　質疑を終えます。

○平戸航太君　国民民主党・新緑風会の平戸航太です。 　四人の参考人の皆様、それぞれの立場から御説明をいただきまして、誠にありがとうございました。 　私たち国民民主党は、新しいＡＩ開発競争を勝ち抜くために、データの利活用、これは推進していかなければいけないという基本的な考え方を持っております。と同時に、国民の権利利益の保護、信頼の確保、この点に関して今疑問、懸念が残っているというふうに考えておりまして、今回の法改正についてはこのバランスをどう取っていくのかというところが鍵になると考えております。 　その上で、四人の参考人の皆様に質問をさせていただきます。 　まず、稲谷参考人にお聞きいたします。 　データ利活用の推進は行政の効率化、経済の成長に不可欠であり、その方向性には賛成しております。と同時に、行政機関等が保有する要配慮個人情報を含む機微なデータを利活用する際に、ＡＩ技術の高度化により、推測、復元が可能となるリスクを強く懸念しております。 　先ほども、個人との関連性を排除したところまで加工するというお話はございました。また一方で、先ほどの冒頭の説明において、法整備、法制度と技術、そして運用を掛け合わせて対応していくというお話、その重要性を指摘されておりました。本改正案の実装段階においては、まさにその視点が問われると考えております。特に、要配慮個人情報を扱う場合には、ＰＥＴｓ、プライバシー強化技術の導入や仮名化、匿名化といった再識別防止装置を努力義務にとどめず、行政や事業者に対して義務として位置付けるべきではないかと考えております。 　この点について、国民の信頼を確保しつつデータ利活用を進めるためにどうするべきかというところで、稲谷参考人の考えをお聞きしたいと思います。

○参考人（稲谷龍彦君）　平戸先生、御質問ありがとうございます。 　御質問の趣旨といたしましては、いわゆるＰＥＴｓと呼ばれるデータ保護技術を今回のデータの利活用に関する法改正においてどのように位置付けていくべきであるかという御質問であると承りました。 　御承知のとおりだと思うんですけれども、一口にＰＥＴｓと申しましても、極めて多様な種類があるというのがまず率直なところでございまして、私もその点に関する技術的なすごい専門家というわけではありませんので、私が法学者として、あるいはこれまで共同研究をする中で理解している範囲で御説明をさせていただくということになりますが、ＰＥＴｓの中には、入力段階と出力段階のそれぞれにおきまして、先生が御懸念になられましたような要配慮個人情報を情報処理者において濫用されないように、見れないようにしながらＡＩを学習させるような方法というものもあれば、出力の段階でそういった、出力から元々の個人情報あるいは個人データに関するものを推論されないようにするという方法と両方ございます。 　それぞれに費用がやっぱりかなり変わってくるというところと、ここが非常に難しいんですが、出力を調整するＰＥＴｓの中にはＡＩの精度を下げてしまうというものも含まれてございまして、これらの諸要素を勘案しながら、何が該当しているデータ、あるいは共有しようとしているデータ主体、あるいはそのデータ主体が備えているガバナンスシステムとの関係でベストなのかということを、これは事前に法律で一義的に決めるということはかなり難しいということが率直なところかなと思います。 　ですので、今回アジャイルガバナンスという考え方を少し申し上げましたけれども、まさにこのソフトローですね、ハードローに今回バックアップをされてございますので、指針を定めるとはっきり書かれておったり、あるいは個人情報委員会の規則で定めると、個人情報の委員会の規則はこれはハードローに入るのかもしれませんが、いずれにしても、こういった技術的な措置に詳しい人たちがハードローのバックアップを受けながら詳細を決めることができる手続が用意されているというところが最も重要なポイントではないかというふうに考えてございます。 　したがいまして、専門的な知見に基づいて、状況に即した適切なＰＥＴｓを組み込んでいくということはこれは当然考えるべきですし、その過程においてソフトロー上の義務が発生してくるということはあり得ることかなというふうに考えてございます。 　以上でございます。

○平戸航太君　ありがとうございました。 　法整備とテクノロジー、技術、そして運用というものを掛け合わせた上で、どう実効性を高めていくかという議論をこれからも続けていきたいと思います。ありがとうございます。 　続きまして、石川参考人にお聞きしたいと思います。 　先ほどの御説明の方で、データ駆動型社会においては事後規制への移行の流れは避けられないという御指摘がございました。私もそうなのかなというふうに感じております。 　その中で、我が国がＡＩ開発を後押しするためのルール整備、これは喫緊の課題だと考えておりますし、イノベーションを阻害しない制度設計が重要であると十分理解しております。と同時に、データの不適切利用などを行う悪質な事業者に対しては明確な抑止力を働かせる仕組みが必要かと思います。まさに課徴金制度がこれに当たると思います。 　そして、先ほどの事前の御説明の中で、課徴金制度、範囲、金額、そして団体訴訟の導入ということは今後の論点になるというふうに御説明をいただきました。私もそうなのかなとは思っているんですが、この現時点の、今の改正案の中の課徴金制度の内容についてどのように、実効性があるものなのか、それともまだまだ足りていないと、石川参考人としてはどうお考えなのかということをお聞きしたいと思います。

○参考人（石川智也君）　御質問ありがとうございます。 　現在の課徴金制度の実効力というところについての御質問だというふうに理解をいたしました。 　まず、課徴金を課したときに利得を吐き出させるということができるということになっておりますけれども、この利得というのは、利益ではなくて、実際にデータを悪用したことによる売上げといいますか、それ自体なんですね。ですから、課徴金が課されると、利得の部分、利益の部分だけが取られるということではなく、売上げ全体が取られるということになりますので、事業者にとっては明らかにマイナスになるという意味で抑止力はあるというふうに考えております。 　ただ、範囲がどうしても狭いといったことであったりとか、欧州型の売上高を基準であったり、そういった重大性であったりとか、そういったことを総合考慮しての制裁金の立て付けにはなっていませんので、その点で少し諸外国と比べると見劣りがするということは、それは事実なのかなというふうに思います。 　ただ、この制裁、課徴金の問題もなかなか難しくて、この法的性質論というものが従前からかなり議論されてきたところであります。原則は、やっぱり利得の吐き出しというのがまずは入口といったようなところがございまして、私は、今回この課徴金制度が入ったこと、それ自体というのが結構この個人情報保護法における大きな一歩だと思うんですね。なので、今後更なる議論はあるんだと思うんですが、現状としてはこれがベストで、ベストといいますか、良い結論なのかなというふうに考えております。

○平戸航太君　ありがとうございます。 　私自身も、課徴金の導入という点は大きな一歩だと思っておりますし、その点については先週の本会議でも触れさせていただきました。引き続き、課徴金の在り方については私自身も考えていきたいと思います。ありがとうございます。 　続きまして、郷野参考人にお聞きします。 　差止め請求制度の削除、要配慮個人情報の特例拡大によって、個人の権利保護が後退しかねないという点について私も危機感を抱いております。 　仮に、本法案が現行のまま成立するとなれば、国民の不安を少しでも和らげ、潜在的な被害を未然に防ぐための実効的な手当てが不可欠かと考えております。その際に、今後策定されるガイドライン、事業者に求められるガバナンスの在り方について、国会として政府に対し最低限これだけは守らせるべきという基準があれば、郷野参考人の御意見をいただきたいと思います。

○参考人（郷野智砂子君）　御質問ありがとうございました。 　先ほど岸先生からの御質問のところでも回答させていただいたところですが、差止め請求制度というのは、個人情報の不適正利用が消費者に広がる構造を持っているということと、広く消費者に広がるという構造を持っているということと、事前に、未然に防ぐということが大切ということで必要だということを申し上げました。 　先ほどの回答の中でちょっと不足していた部分を補足させていただきますと、この制度は、被害が発生する前あるいは拡大する前に、違法、不適正なデータ利用を迅速に止める仕組みとして不可欠だというふうに考えております。差止め請求制度はまさにこの役割を担うところでありまして、特に適格消費者団体が主体となって請求を行うことで、個々の消費者の負担を軽減しつつ、社会全体の利益の観点から違法行為を是正するという機能を果たすことが期待されます。 　しかし、今回の改正案ではこの差止め請求制度が導入されておりませんので、現行制度においても違法なデータ利用を早期に止める仕組みが十分に整備されているとは言えない中、この問題のあるデータ利用が長期間継続して被害が拡大するおそれが残されていると考えています。 　したがって、個人情報保護の実効性を高めるためには、被害の未然防止、不特定多数への影響への対応、実効的な権利保護という観点から差止め請求制度の整備が不可欠であると考えております。

○平戸航太君　ありがとうございました。 　済みません、残り時間が大分少なくなっておりますので、続いて、黒田参考人にお聞きしたいと思います。 　先ほどの冒頭の御説明の中で、特例の乱発は国民のトラストを失う最悪の案であるという危機感、私も極めて重要に、重く受け止めております。データ利活用を前に進めたいからこそ、国民の信頼を損なえば制度そのものが立ち行かなくなり、本末転倒かと考えております。黒田参考人が提唱される、一元的に審査を行う出口制御への転換こそ理想的な姿だと私自身も理解しております。 　そして、まず一つ確認なんですけど、配付していただいた資料の中で、次世代医療基盤法と今回の改正案の特例を比較した図があったかと思います。そして、その中で、今回の特例において特段変わることはないんだという御説明があったかと思います。これはまず、次世代医療基盤法がある医療分野においてのみその理解でよいかという確認がまず一つと、もう一つは、私、どうしても名前が必要なＡＩ開発というのが想像できないんです。昨日も個人情報保護委員会の方には聞いたんです。そして、先日の委員会でも大臣が言っていたのは、名寄せのために名前が必要だというんですけど、名寄せのためだったら、生の名前というか、そのまま加工されていない名前って要らないと思っているんですけど、その点に関する確認と、その点に対する意見をよろしくお願いいたします。

○参考人（黒田知宏君）　お答えいたします。 　まず後者の方からですが、おっしゃるとおり、必要ないと思います。 　次世代医療基盤法の中で連結するときには、連結可能匿名加工医療情報という類型がございまして、それぞれの組織から国が与えられたハッシュ値を受け取って、それぞれを貼り付けて出すことで利用者の方でつなぎ合わせることができるという制度が既にございます。ですので、利用者に渡す段階で名前が渡るということは今ございません。それをしなければならない理由は、自分自身でその制度を使わずに接続をしなければならないからだけであって、そこさえ許容できれば全く必要ないはずだというふうに考えます。 　前者の方のお答えでございますが、おっしゃるとおり、基本的には、少なくとも医療分野においては全く差がないというか、この法律を作らなかったとしてもＡＩの開発が止まることは一切ありません。 　じゃ、医療分野以外がどうかというと、ポイントになるのは二つで、一つは、今おっしゃった、その名寄せが必要であるかどうか、もう一つは、本当に個人情報に当たるもの、例えばゲノムのような個人識別符号として類型されているもので仮名化が論理的に不可能なものは含まれているかと、この二点に集約されるというふうに考えます。で、ほとんどそのパターンってないと思うんですよ、実は。よほどのことがない限り、そういうパターンって起こり得ないので、であると考えるならば、基本的には、仮名加工の共同利用の範囲で基本的には全て遂行できるはずだというふうに考えます。

○平戸航太君　ありがとうございます。 　四人の参考人の皆様それぞれの立場からだったとは思いますが、今の現行の改正案の中身、不足している分というのはだんだん表に出てきているのかなと思いますので、またこの委員会の中でもしっかりと議論をできたらと思います。 　終わります。ありがとうございました。

○司隆史君　公明党の司隆史です。 　四名の参考人の皆さん、本当にありがとうございます。大変勉強させていただいております。 　今回、これまでも議論がありました三十条の二の五、統計作成の本人同意なしの第三者提供、要配慮個人情報という点でございます。私自身も、医療情報の研究をしてきた立場もありまして、利活用を進めていきたいという思いでございます。 　もうずっと議論になっております保護と利活用のこのバランスということに関して、昨日もかなり線を引きまくりまして皆さんの資料をいっぱい読んだんですけれども、かなり参考人の皆さんが俯瞰をして、どう利活用を進めるためにどうすればいいのかというのをあらゆる視点でお話をされているなということで、本当に勉強になっております。 　私自身、その中で感じているのは、本人確認を不要とする、その先にある利活用で、国民の皆さんお一人お一人がその恩恵を受ける、幸福の権利を受ける、それをいかに説明をし、伝えていくかということの重要性であるんですが、一方で、信頼を担保する技術であり、法が必要ということも感じているところなんですけれども、一番入口のところの本人確認をなしにした上で、普通はですよ、普通は、まず第一歩なので、ホップ・ステップ・ジャンプでいうとまずホップなので、いわゆるガバナンス、透明性は最低限安心できるところからスタートしていくべきではないかと思っております。 　稲谷参考人の資料も読ませていただいたときに、最低限、第三者の認証を受けるような事業者の取組をしっかり見ること、また先ほどありましたＰＥＴｓというようなことも入れながらやるべきではないかというようなお話もありまして、大賛成なんですけれども。これ、このままもうホップ・ステップ・ジャンプまで行ってしまうと、これ、技術の担保よりも利用する人がどうかというところに委ねてしまっている、事業者の皆さんに委ねてしまっているということがあって、ちょっと皆さんの、この参考人の皆さんの、特に、稲谷参考人の視点でいうと、丁寧にやりませんかというふうに僕はこの文章を読んですごく伝わっております。 　そういった意味で、今回のこの統計特例について、理想のあるべきステップというのはどのようにお考えでしょうか。

○参考人（稲谷龍彦君）　司先生、御質問ありがとうございます。 　私は、実は、今回のその統計等の例外から始めたというのは、かなり慎重なアプローチではないかと実は思ってございます。 　というのも、今回の個人情報保護法の改正の方向性というのは、石川参考人の方からも少しございましたし私もそのように理解していますけれども、リスクベースで適切な規制を掛けていく、同意というものを取ったとしても、結局、取った後きっちりしていなかったら一緒じゃないかということで、リスクをきちんと管理できる構図を具体化していくと、そういう意味でのリスクベースをやっていく、その最初の改正だと思うわけですね。 　そうすると、もうちょっとリスクが大きいもの入れてもいいんじゃないのという意見だってあってもおかしくないと思うんです。しかし、今回はやはりそこが発想の大転換を含んでいるというところがあるので、あえて、法律にも書かれていますように、個人の法益を侵害するおそれがない状態にするレベルからまず始めるということをやられているのは、私個人はかなり慎重な方法をやられたんではないかと思っていますし、また、その具体化に当たりまして、規則を作り、ガイドラインを作りという形で、相当丁寧に理解を得られるように進めようというふうにされているというふうに私個人としては理解をしているところでございます。 　以上です。

○司隆史君　利用をする、統計目的として利用をするという一環の流れでいくと、開発をする事業者の目線でいけば、もっとできてもいいんじゃないか、もっと踏み込んでもいいんじゃないか、僕、同じ意見なんですね。ただ、今回の要配慮個人情報が民間の事業者の方にも広がっていくというこのリスク、漏えいリスク含めたところの対策があれば、国民の皆さんにも堂々と説明を、効果の説明や安心の説明をできるんじゃないかなというのも思うところがありまして、ここのステップを丁寧にできたらいいかなというふうに私は感じているところです。ありがとうございます。 　続きまして、国際的な信頼というところで、石川参考人と黒田参考人にお伺いをしたいと思っております。 　ＧＤＰＲ、ヨーロッパの取組ということで、これも読ませていただきましたら、日本の文化とヨーロッパの文化の差があって、日本は、ヨーロッパにぱっとデータ出せばあとは大丈夫でしょうと。でも、ヨーロッパは、データを預かった後にいかに丁寧に扱うかということのその文化の違いがすごいあるということで読ませていただきました。 　今回の統計特例に対しての本人同意なし、で、認定がない、目的によっては生のデータも行ってしまうというところのそのガバナンスの在り方は、そのＧＤＰＲとして全体の位置付けというのはそごはないんでしょうか。石川参考人、いかがでしょうか。

○参考人（石川智也君）　御質問ありがとうございます。 　ＧＤＰＲの下でもまさに今議論がなされているところで、ＡＩモデルというのが、そもそも個人データなのか、個人データではない状態に本当になるのかといったようなところから議論がございます。 　そして、日本とＧＤＰＲとの違いでいうと、いわゆるその統計の例外、先ほど黒田先生の資料に八十九条の話がありましたけれども、統計の枠組みを使って要配慮個人情報と言われるような特別カテゴリーのデータを使えるんじゃないかという議論もある一方で、いや、そうではないという議論もあり、まさに議論がなされているという、そういう文脈になります。 　その中で、日本としては、この統計特例という枠組みを使って、ある意味、個人の権利利益を害するおそれがないＡＩ開発モデルに限るということになるわけですね。ですので、そこが別に何かＧＤＰＲに照らして、何か全然日本のあれが違うということでは全くないと思います。 　もう一つ、今の議論を聞いていて申し上げておかなければいけないなと思ったことなんですけれども、そもそもＡＩ開発において要配慮個人情報が行く可能性があるというのは今も同じであります。というのは、このＡＩ開発モデル、ＡＩのモデルの開発のために、要配慮個人情報をある意味委託に基づいて預けて開発モデルを作るということはあり得るわけです。現在は、委託の契約を締結してあらゆる生データを提供することがあり得て、それに基づいてモデルが作られる、これが起こり得ると。 　今回の統計作成等例外の場面においては、このモデルというのは、モデルから個人データが出ることはもうない状態にしなければいけないということが基本的には想定されてはいまして、その作るモデルのスコープというものがかなり限定が掛かっているというところが大きい。そして、契約はもちろん締結するということになりますので、現在の委託に基づくその情報提供によるモデル開発と比較しても、モデルの開発の部分の制限と契約の部分の制限と両方があるということで、何ら遜色のないものであるというふうに私は考えています。

○参考人（黒田知宏君）　では、お答えします。 　まず、法律に関しては石川先生ほど私は詳しくないので現場の肌感覚でしかないのですけれども、少なくともＧＤＰＲの中で、要配慮個人情報という、日本の個人情報保護法の要配慮個人情報という考え方自身がＧＤＰＲから元々きているものであると。つまり、特別扱いしなきゃいけないということはヨーロッパは既に認識をしたところからスタートをしているというのがまず重要なポイントだと思います。その上で、そのデータを受け取る主体をどうするかということで、データスペースを考えるときに、医療分野から行きましょうということでＥＨＤＳというパッケージができ上がっているわけです。 　論点がずれているなとすごく思うのは、データが、その安全性が確保されるタイミングをＡＩのモデルができ上がったときに置いているのか、ＡＩを作る人に渡すときに置いているのかというところで論点が大きくずれていると思って見ています。 　ＡＩが出ていくときに安全であるということについては、今資料をお示ししたとおりで、何も変わりません。それを作るためにどんなデータ渡すんだというところについてレギュレーションが掛かっていないというのが私たちが気にしているところですし、欧州の私の友達に聞いても、気持ち悪いねというふうに言われる状態なんです。そもそも、彼らはＡＩが統計に入るというのは考えられないというふうに、何人かの、政府関係者の友達が何人かいますので、彼ら、割と口々にそれを言うんですね。その状況の中で、これやっちゃって大丈夫かなというのはすごく感じる。 　しかも、その先ほどの八十九条でお示ししているとおり、データを渡す段階でミニマイゼーション原則をちゃんと守れというふうに書いているわけです。で、その書き物は一切ないんですよ、今の、今回の統計特例に関しては。その状態では、全部渡してよいと法律上は書いてあるように見える。 　ソフトローでもちろんメソッドは決めていくべきですけど、少なくともそうせよという、ハードローで記載がなければ、それが守られると考えられないというふうに私は思っています。

○司隆史君　ありがとうございます。 　黒田参考人、もう一問一答でお聞きしたいんですけれども、政府は、最小限の、ＧＤＰＲの読み方としては、最小限の形としては仮名化でも、つまり顕名でもいいんではないかというような答弁を毎回いただいておるわけですけれども、その辺の黒田参考人の捉え方としてはいかがでしょうか。

○参考人（黒田知宏君）　お答えします。 　資料の八の一をもう一度御覧ください。資料の八の一を御覧いただくと、アンダーラインが引いてある一番下の行ですが、それらの措置は、それらの目的がそのような様態で充足され得る限り仮名化を含むことができるです、日本語でも。その続きを読んでいただくと、データ主体の識別を許容しない又は許容することのない別の目的による取扱いによってそれらの目的が充足され得る場合、それらの目的は、その様態によって充足される、およそ人間が読めない日本語なんですけれども。 　基本的には、満たされるんであればその形でやりなさいと書いてある。これって、要は、統計だったら統計でもいいでしょうと書いてあるわけです。そのアッパーリミットが仮名化を含み得る、メイ・インクルードだというふうに私はこの文章を英語の方で読んでも理解しました。 　ですので、仮名化はたまたまパートとして入っていて、個人情報を含むんだという解釈は全く当たらないだろうというふうに私個人は理解をしています。

○司隆史君　ありがとうございます。 　そういった面で、国際的な信頼がもし損なうようなことがあれば、まさに目的としている国際競争力のＡＩの取組というものが失うおそれがあるわけでございまして、やっぱり慎重に議論をする必要があると思います。 　最後に、改めて黒田参考人にお伺いしたいのは、前回の委員会の質疑の中で、例えば、スタートアップ、また大きな企業でも結構ですけれども、企業の皆さんが、今回の特例をもって、いよいよ政府も攻めに転じたなと、ＡＩ開発、日本で攻めていくぞということで、大きく参画をしていただくべきぐらいの攻めた法案であるというふうに、私はそれでこそあってしかるべきだと思うんですが、黒田参考人はとても使えないということをおっしゃったわけでございます。 　これまでの制度の扱いもそうですし、企業、その課徴金の対象になるのかどうか、またどういうところが責任が問われるのか、いろんなところが不明確で、これから規則、ガイドラインということもあるんですけれども、改めて、そういったスタートアップ、また企業の皆さんが、本当に、この法律が通ったときに、勇んで利用するようなものになっていくべきだと思うんですが、そうではないというふうにおっしゃるわけでございまして、その辺の実感ベースのところを教えていただけませんでしょうか。

○参考人（黒田知宏君）　ありがとうございます。 　今回のその三十条の二において、三十条の二の柱書きに書かれているもの、つまりコネクテッドカーであったりスクレーピングであったりというふうなものを考えるものは、非常によく考えられた文章だろうというふうに思います。 　これは今まで想定されていなかったことですから、確かにこれができることで活用の範囲が広がるだろうと思われますが、三十条の二の五につきましては、先ほど御説明したように、少なくとも医療分野においては、これがなくても今ある仕組みで全部できる。逆に言うと、これができることによって、自分の責任でやらなきゃいけないプレーヤーが増えてしまう。今の仕組みでやるならば、認定事業者に、認定作成事業者に自分のＡＩ預けておけば、個人情報の管理であるとかという負担を一切負うことは必要ないわけです、もちろんお金は払わないといけないですけど。 　ですので、そう考えると、今の仕組みで十分できる、若しくはよくできるわけであって、改めてこの仕組みをつくって自己責任で、病院も自己責任でやりなさい、利用者も自己責任でやりなさいというやり方をすると、皆さんがかえって萎縮するのではないかなというふうに私は感じます。

○司隆史君　ありがとうございました。 　今、手元に、昨日、個人情報保護委員会に提出がされました一般社団法人日本医療情報学会、また一般社団法人日本医学連合の方から緊急の意見書というものが提出されたというふうに聞いております。今回の三十条二の五の統計についてですけれども、今、皆さんから今いただきましたように、ともかく、今までの内容とそごがあって、医療の方については仮名化、また認定をしかるべきではないかという内容になっておりますし、またスタートアップ含めた皆さんが不安の中で今回の特例を使えないんじゃないかと。 　そもそもこれでしかできないことは何なのかということを突き詰めれば突き詰めるほど、何のための法案かというところも感じるところでございます。引き続き議論を進めてまいりたいと思います。 　ありがとうございました。

○新実彰平君　日本維新の会の新実彰平と申します。 　本日は、誠にありがとうございます。お忙しい中、お越しの先生方ですので、なるべく数多く知見を賜れればというふうに思います。 　まず、稲谷参考人に伺わせていただきます。 　統計特例を念頭に置いての質問ですけれども、おっしゃったように、幸福追求権も、また同時に個人情報の保護も追求をしつつ、小規模スタートアップ等の参入障壁も同時に下げようと思ったときに、黒田参考人も御提案ですけれども、例えばＥＵのように公のプラットフォームが匿名化、仮名化を担うとか、あるいは、次世代医療基盤法のように民間の認定事業者が担うという在り方も一つの考え方かなというふうには思うんですが、いかがでしょうか。

○参考人（稲谷龍彦君）　新実先生、御質問いただき、ありがとうございます。 　私といたしましては、まず、今回の統計等の作成の法律の、何というか、適用範囲というものと、それから医療という分野に関する特別法とは分けて考えた方がよいのであろうというふうにまず考えてございます。 　もちろん、排他的な関係性には立ちませんので、それぞれの規律に従って参入される方がいらっしゃるということはこれは当然の前提になると思いますけれども、あくまで今回の改正というものは、一般的に統計等作成であればこういった条件で、つまり、個人の法益侵害等につながらない条件で利用できるんだよということにしていますので、より言ってみると広くスタートアップの人たちに入ってきてもらう仕組みになっているなというふうに解釈することは十分可能だと思うんですね。 　ですので、それぞれの取り扱う情報の性質に応じて、まさに個人情報保護委員会の結局規則とガイドライン等で適切な処理をされると私は理解してございますけれども、それぞれのデータの特性であるとかデータ主体の状況であるとか、そういったものに応じて適切な取扱いをすることによって、可能な限り参入できるようにしていこうという方向性が示されているというふうに理解をしてございます。 　以上です。

○新実彰平君　おっしゃるように、その入口と出口を混同して議論するとなかなか深まらないのかなということは今思わされましたけれども、まさにその出口がＡＩであることによって安全なんだというところに様々皆さん御意見があろうかと思いますので、また深めてまいりたいと思います。ありがとうございます。 　石川参考人には、団体訴訟についてちょっと改めて、岸委員からもありましたけれども、伺わせていただきます。 　団体訴訟についての改めて法的整理をちょっといただきたいんですけど、これもちょっと統計特例を例に取らせていただいて、また医療分野ということで前提にさせていただくと、まず医療機関にとって患者は消費者、債権者と言えるのかどうかということ、仮に言えるんだとすると、情報漏えいは、どのフェーズでそれが生じたかにもよるのかもしれませんけれども、医療機関による契約不履行とか債務不履行と言える場合もあるんではないかなと思うんですが、その辺り、いかがでしょうか。だとすると、多少なりとも団体訴訟も意味を成し得たんじゃないかなと思うんですが、いかがでしょうか。

○参考人（石川智也君）　御質問ありがとうございます。 　確かに、契約関係がある場合においては消費者となり得る場面というのはあるということだとは思うんですけれども、データの漏えいとかの文脈が特に議論されてきましたが、何も契約関係がない場合であったりとか、あと従業員のデータ等が大量に漏えいするケースとか、およそちょっと消費者の概念では捉えられない場面というものが多くあります。そうすると、被害者としての個人、これを代表する団体というのはそもそも誰なんだろうかと、それを消費者団体に負わせてよいのだろうかといったようなところについて議論が必要だなというふうに考えております。 　以上です。

○新実彰平君　ありがとうございます。 　これも私、統計特例で、しかも医療機関というのを念頭に置いたので今のような質問になりましたが、確かに広く見ればおっしゃるとおりなのかなというふうにも思いました。 　加えて、消費者裁判特例法は慰謝料請求についてはできないという立て付けになっているということですので、単に情報が漏えいしただけでは残念ながら団体訴訟は有効とならないと。つまり、一定の実害が生じてのみ一定の意味を持つというふうに考えてよろしいでしょうか。

○参考人（石川智也君）　現状はそうです。

○新実彰平君　では、今の質疑踏まえて郷野参考人に伺わせていただきたいと思うんですけれども、現行のその消費者裁判特例法の不十分な点とか、一定程度その改正が必要な点というものがもしあるというふうにお考えでしたら、特に、このいわゆる情報漏えいについて対応する際にということですけれども、いかがでしょうか。

○参考人（郷野智砂子君）　今回の改正案の総論といいますか、全体としてどう評価するかというところでよろしいでしょうか。個人情報保護法の基本目的である個人の権利利益の保護という観点から見ると、やっぱり権利保障の仕組みが後退しているという点が多く、制度全体の実効性に強い懸念がございます。 　やはり、先ほどから申し上げていますとおり、課徴金、差止め請求、集団的救済という基盤的制度が弱められているというところを問題だと考えております。

○新実彰平君　ちょっと質問、ぎゅっと焦点絞って、もう一回、郷野参考人に伺わせていただきますけれども、先ほど石川参考人からあったように、まず、その消費者と事業者という関係性が明確なときにしかちょっと効力を持ち得ない可能性があるという御指摘と、あとは、私の方から申し上げた、慰謝料請求が残念ながら範疇に入っていないということで、たとえ情報が漏えいしても、一定の実害が生じない限りなかなか団体訴訟が機能しない可能性というのも指摘をされていると思うんですが、その辺踏まえて、消費者裁判特例法の改正等が必要だと思われる部分があれば、教えてください。

○参考人（郷野智砂子君）　御質問ありがとうございます。 　まず、消費者と事業者の境目といいますか違いというところなんですけれども、やはり、グレーじゃないですけれども、なかなか境界線は難しいと思います。 　現行法では抜け穴があるといいますか、やはり対応し切れない部分があると思いますので、今回の個人情報保護制度の改正案において、やはり消費者個人の権利利得がきちんと保障されるような、担保されるような制度改正を求めるというところでございます。 　お答えになっていますでしょうか。

○新実彰平君　ありがとうございます。 　では、黒田参考人に伺わせていただきます。 　黒田参考人自身も認定作業事業者の一つを率いていらっしゃるということですけれども、現状、なかなか認定事業者数が増えていかない、あるいは医療情報提供数自体が増えていかないという、この辺はどこに背景事情があるのかというのを教えてください。

○参考人（黒田知宏君）　ありがとうございます。 　お恥ずかしい話、私たちの力不足なのかもしれませんが、基本的には、制度に対する理解を求めるためにいろんな病院を順番に回って歩くということをずっと今もしています。 　それをさせていただいて常に言われるのは、我々にとって不利益はないのですか、利益はあるのですかと、必ずこのお答えが返ってきます。で、残念ながら、私ども、一度やっちゃっていますので、そうすると、その話をしなければいけなくなります。そうすると、そういった可能性については担保しておいていただく必要がある、もうこれは正直にお話しするしかないわけです。そうすると、そのレピュテーションリスクがあるのであればちょっと考えさせてくれというお話になることは少なくなくて、やっぱりこういったところ、やっぱりある程度そのデータを出す側の負担若しくは責任の範囲を縮めてあげるということを制度的にしなければ、なかなか広がり切らないかもしれないなと今思っているところではございます。

○新実彰平君　となりますと、具体的には、医療機関がある程度、これまたネガティブなのかもしれませんが、強制力を持って情報を出していただくのか、あるいは出すことにポジティブなインセンティブを付けるのかと、この辺りが必要になるということでしょうか。

○参考人（黒田知宏君）　ありがとうございます。 　今ちょうど内閣府の検討会でそのお話はしているところですので、軽々に私個人の意見を申し上げるような場面ではないと思いますが、議論としてはその二者であろうという議論が行われていて、議事録見ていただければ分かるとおり、保険診療によって取られているデータについては、基本的に強制的に出すのが筋であろうという議論におおよそ議論がまとまりつつあるのかなというふうに思っています。 　そうなってくると、義務で出していらっしゃるわけですから、その後について責任を問われるということはあり得ないだろうという議論になるのかなと、ここから先は制度設計の問題ですけれども、というふうに個人としては想像してございます。

○新実彰平君　大変参考になる御意見、ありがとうございます。 　大前提ですけれども、黒田参考人は、その医療情報の利活用のまさに第一人者として、極めて前向きなお立場、そもそも利活用には前向きなお立場だというふうに思います。 　その中にあって、現状、なかなかその数が増えていかない、特に医療情報については、いうことになりますと、今おっしゃったような、民間の認定事業者がしっかりとワークする仕組みをつくっていくこと、あるいは、ちょっと時間掛かるかもしれませんが、ヘルス・データ・アクセス・ボディーのような公の仕組みをつくっていくのかということがこれから必要になってこようかと思いますが、それが整うまでには一定のタイムラグが当然ながら生じてしまうと。 　その期間のうちに、日本の企業なんかが国際競争力を場合によっては失っていくかもしれないというのが恐らく産業界の懸念だというふうに思いますが、まずその可能性があるのかどうか、つまりこの期間に、タイムラグの間に国際競争力が落ちてしまう可能性があるのかどうか、それはどのぐらい致命的なことなのか、たとえそうだとしても、今、統計特例のような形で急ぐべきではないと、こういうお立場でしょうか。

○参考人（黒田知宏君）　ありがとうございます。多分、そんなに差は付かぬやろうなと個人的には思っています。 　これ、根本的に何が理由かというと、ＡＩの開発において、ベースラインであるベース技術をつくる部分と、その応用をつくる部分とはっきりと分かれているからです、プレーヤーが。ＡＩ開発におけるベース部分については、国際競争からすると日本は少し立ち遅れていることは事実です。ですけれども、そのベース部分を、じゃ、今から同じようにつくる必要、国家的な予算を掛けてあるのかという議論が別途あるんだと思います。 　幾つかの国に、この間、厚生労働省の依頼があって聞いて回ったんですけれども、各国、考え方としては、国内でもうベースをつくるという考え方はしてございません。基本的には、応用の部分をどうやってつくって自分たちが特許、権利を確保していくかという議論をしているわけです。 　応用という視点で考えると、まだこれからですし、日本は、それこそ診療報酬制度にがちっと守られて、非常に質の高いデータを持っている国ですので、そのデータを正しく使うことさえできれば十分競争力は出てくるでしょうし、実際、私ども京都大学が作っている、会社が作っているものでも既に海外から引き合いがあるという状況でございますから、そういうふうにはもう簡単になっていくのだろうというふうに思います。

○新実彰平君　つまり、チャットＧＰＴやＧｅｍｉｎｉやミュトスに今から日本が張り合うということではなくて、分野特化型の、しかも目的特化型のＡＩで勝負するということを考えれば、多少のタイムラグは気にせず、安全性、安心を優先すべきではないかと、そういうお立場ということですね。

○参考人（黒田知宏君）　おっしゃるとおりでございます。

○新実彰平君　ありがとうございます。 　その上で、最後に伺わせていただきますけれども、先生御自身が法案自体を修正せねばならないというお立場であることは重々承知をしておりますが、その上で、あえて伺わせていただきますけれども、もし法改正が実現をするということになったときに、規則やガイドラインをどのように整えれば最大限個人の情報及び個人の権利が保全され得るとお考えか、じくじたる思いは十分理解をしつつ、是非とも御提案をいただけないでしょうか。

○参考人（黒田知宏君）　ありがとうございます。 　そこまで自己主張するつもりはございませんので。 　一番大事なことは、やっぱりデータ最小化の原則をいかにして確保するか、そこ一点、それと、利用者そのものの安全管理義務をどういうふうに押さえて、かつそれをどうやって担保するかだと思うんです。 　安全管理義務を自分自身の会社の責任に負わせてしまったときに、いいプレーヤーと悪いプレーヤーおられるわけですよね、稲谷先生がおっしゃったように。そうなってくると、悪いプレーヤーがもしも現れたときに、後からサポートして、じゃ、漏れたデータはどうするのという議論になりますから、いかにしてその悪いプレーヤーが入れないような素地をつくるのかというのを考えて制度設計をしなければならない。それがソフトローの範囲でどこまでできるのかというのは若干不安を感じているというところはございますが、その二つの点をちゃんと確保できるのであれば、議論としては十分あり得るだろうなとは思います。

○新実彰平君　ありがとうございます。 　四人の先生方、大変参考になる御意見を賜りました。ありがとうございました。

○岩本麻奈君　参政党の岩本麻奈です。 　今日は、貴重なお話、どうもありがとうございました。 　ちょっとお時間が短く、私の頭が付いていかないところもありまして、でも、特に黒田先生の、やはり国民の信頼が一番であるというのがすごく刺さっております。 　私は、これからのＡＩ時代において本当に価値を持つのは、実はＡＩモデルそのものではなく、データそのものではないかと考えております。今、検索拡張生成やＡＩエージェントがどんどん発達していくと、モデルの性能差というよりも、どんなデータベースにつながっているのかの方が重要になるのではないかなと素人ながら思っています。 　そこで、やはり日本にはすごい世界に誇るべき資産があって、私は医療従事者なので、やっぱり医療データだと思っております。レセプト、健診データ、介護データ、そして超高齢化社会に向けてのいろんなデータが宝のようにあるわけですね。だからこそ、私は、データ活用そのものには全然反対はしておりません。むしろ推進して、これを国民のために、ただし、これは最初は絶対に国益で、公益、国民のために返したいなと思っているんですね。特に、医療情報については健康に関わるものですから、そのように思っております。 　そこで、稲谷先生と黒田先生にちょっと最初にお伺いします。 　企業がやっぱり先に走って、いろいろモデルを作ったり統計を作ったりしてしまうと、実際にネガティブな結果が出たときに、それを出さなくなるというか、余り公表しない、そういうようなことが起こるんじゃないかなと実は思っております。 　この前、大臣にもちょっとお伺いして、大臣は国益にはどういうふうに、国の、国民には戻って、報酬戻ってくるんですかと私がお聞きしたら、企業にもうけてもらって、それで税で国民に返すみたいなお話をちょっとあったので、これって外資の場合はどうなんだろうとか思ったんですけど、そもそも、そのネガティブ、企業なんかでは、やはり自分のところのものが売れたり、いろいろ利用できなかったらいけないわけですが、そういうときには、例えばそれを出さないとか、だから、そういうときにこれはどうなってしまうのかということと、あと逆に、本当にそれが出ていないかという監査する力というのが今の日本にあるのかなとか、その辺りがちょっと心配ですので、その点についてお話しください。

○参考人（稲谷龍彦君）　岩本先生、御質問いただきまして、ありがとうございます。 　ネガティブな結果が出た場合に、隠蔽されてしまって誰が使ったのか分からない状態になってしまうのではないかという御趣旨なのかなというふうに承りました。 　まず、幾つかポイントがあると思っていまして、今回の法改正では、統計等、この特例を使う場合には必ず、何というか、公表しなければいけませんし、それから、データ利活用の方でも認定を得なければそもそも使うことができないという仕組みに一応なってございます。 　そういたしますと、こういった仕組みを潜脱しておかしな使い方をする者が出てくる可能性はゼロではないんですけれども、ただ、そういった、率直に申し上げると、非常に極めて悪質な事業者というのはどんな法制度であったとしても無視してやってしまうというところがあるわけでございまして、今回の法制度というのは、はっきり言うと、ちゃんと正面からそういった利活用をする人、利活用して公益に貢献したい、あるいは、私の言葉で言えば、個々人のウエルビーイングの増進に資するようなサービスを提供したいという事業者を後押しするための制度をつくっており、しかも、そこから外れる使い方をした場合には課徴金の対象になったり制裁の対象になったりする、更に言えば、元々入口のところでも規制がある程度掛かって、規制がしっかり掛かっているというようなところがありますので、私としては、先生がおっしゃられたようなリスクというものがこの法律によって増えるということは余りないのではないかというふうに理解をしているところでございます。

○参考人（黒田知宏君）　御質問ありがとうございました。 　先生は皮膚科医でいらっしゃるので多分お分かりになると思いますけど、皮膚科の世界なんか、特に製品とそのアウトカムの関係を自分の会社の製品に近づけようというふうなアクションが多いことは我々も広く知っておりまして、やっぱりそうなると倫理委員会などで検討するときにかなり議論になることが少なくございません、正直。片方で、それがネガティブデータだから出さないというふうな形にはなかなかなりにくいのかなと思っています。 　基本的には、投入されたデータに対しては一般的に公表義務がございますので、この制度の中で公表義務を実はうたっていないのですけれど、結果に対して、結果の公表義務をＮＤＢとかは全部持っていますので、公表義務全員持っていますが、この法律の中で、その結果の公表義務を現時点でうたっていないと理解していますので、そうなると、多分それは公表する必要はなくなるということは起こり得るのだろうという気がいたします。 　その上で、じゃ、それがその産業をとどめる結果になるかという点で考えると、確かにＩＲＢの動きが産業全体としてはマイナスに動くことはあるのですが、医療というのは難しくて、世の中に出したときに、それが社会に対して何がしかの悪影響を与えるようであれば、そもそも臨床研究法においても、宣伝に使えるような医療の取扱いについては極めてデータの取扱いを注意せねばならないといって、これ厚生労働大臣の承認がなければ研究すらできないという法制度になってございますので、その枠組みで考えたときに、ある程度の慎重さを持ってやったとしても、産業全体のブレーキになるほどのことがないと。 　なぜかというと、ほかのところでたくさんのリミッターが掛かっているので、もしそれで進んだとしても、例えば薬機法、例えば広告に関する法律とかであるところで止まるということになるでしょうから、結局、やりたい人もできないという結果に結果はなるんだろうと。であるならば、入口のところで止めておいて別に大きな悪影響が出るものではなかろうというふうに考えます。

○岩本麻奈君　ありがとうございます。 　次に、石川先生にお伺いしたいんですけれども、欧州に長くいらっしゃるということで、やはり性善説と性悪説みたいなことを私考えるんですね。文化の違いとか宗教の違いとかいろいろあると思うんですが、やっぱりヨーロッパの方が、先ほどもいろいろ、いろんな面で厳しいというか細かいと、日本の方がでもちょっとざっくりしていると。そういったベースが違うというものがあるにしても、課徴金のお話で、先生は、課徴金が今回整備されたことはすごくそれはいいこと、いいことというか、もちろんそうなんですけれども、桁が違う。ＥＵはやっぱり二千万ユーロとか、そうすると三十七億円とか、あと全売上げの四パーとかですよね、先生。 　そういった中で、やはり日本のはこれ抑止力になる、ちょっと桁が違うのかなと思うのと、あと、やはり今回、外資にも間口を広げているというところで、もうそうなると、これは日本のはもうやりたい放題と言っちゃあれですけど、大したことないと、ほかに比べてというので、何かちょっとがつがつ来そうかなとか、この辺についてちょっと御意見あったらお願いします。

○参考人（石川智也君）　御質問ありがとうございます。 　まず、欧州の方が細かくて日本の方がざっくりしているということについては、むしろ法制としては逆ではないかなというふうに思っています。それは、ＥＵのＧＤＰＲというのはプリンシプルベース、原則ベースで非常にシンプルな内容になっています。他方で、日本の法律は例外を全部個別に列挙するしかないので、そうすると、三十条の二に括弧が何個あるのかということを見てもらえれば分かるように、非常に複雑な法制になっているというところで少し違いがあるのかなというふうに思っています。 　課徴金の点に関しては、確かに金額として二千万ユーロ又は全世界売上高の前事業年度の四％、これが最高金額になっているということではあるんですが、お配りした資料にも少しグラフで載せてありますように、実際に科されている金額というのは数千ユーロ、数万ユーロ、数十万ユーロぐらいのものがほとんどであります。もちろん、すごく厳しいものについては日本円でいうと数百億円みたいなものも決定として出ることはあるんですが、通常はその後、裁判で争われていて、まだ結論が出ていないものも相当程度あります。 　その意味でいうと、ＧＤＰＲの制裁金、見た目は非常に大きく科されているように見えるんですけれども、実務としては今私が申し上げたような金額感のものがほとんどではありまして、そうすると、例えば数万ユーロとか、もうちょっとぐらいの金額でいうと、日本の制裁金で科したときの利得とそんなに変わらないということも十分起こり得るわけではありまして、その意味ではこのＧＤＰＲの最大額を基に議論するというのは少しちょっと大げさかなというふうに思っております。 　そして、外資の企業の受け止めなんですけれども、確かに制裁金、課徴金がある方が嫌だということはあるかもしれませんけれども、日本のマーケットのことをよく知っている事業者、これは外資の事業者でも非常にレピュテーションを気にします。ですから、指導、公表、これだけでも非常に甚大なダメージがあり得るわけで、そういった意味でも既存の指導、勧告の文脈も十分に抑止力として機能しているところはあるのかなというふうに思っています。 　以上です。

○岩本麻奈君　ありがとうございます。 　次に、黒田先生にまたお伺いしたいんですけれども、やはりゲノム情報、先ほども先生、ＥＨＤＳでも特別な配慮が必要だとされている、これなんですが、やはり本人、血縁関係だけではなく、子孫とかにも行くものであり、匿名が非常に難しいというと、一生変わらないし、パスマートのようにはいかないと。この辺について、今回これで進んでいってしまった場合に、どういう防波堤というか懸念とか、どうでしょうか、先生。

○参考人（黒田知宏君）　ありがとうございます。 　想像が付かないというのが正直なところです。結局、市民の方々がどう反応なさるかというのは今見えるわけではないのですけれど、それでゲノムを収集して二次利用して分析する会社ができました、そこがそれでＡＩを作ります、皆さんの個人情報くださいと言われたときにどんなふうに皆さんが反応するかなんだろうなと、それをまた医療機関に出せと言われたときに医療機関がどう反応するかだと思います。 　医療機関が通常の肌感覚なら、とてもじゃないけど出せないだろうと思うんですね。なぜかというと、もうそれだけで病院のレピュテーションリスクに直結しますので、それは基本的にできないんだろうという気がいたします。そうすると、多分そんなに実態として動き得るのかという意味では、ちょっと私は想像が付かないというふうな気がいたします。

○岩本麻奈君　ありがとうございます。 　ちょっと、今度は四人の先生方、皆さんにお聞きしたいんですけれども、私自身は、本当にＡＩ活用とか、もうデータ活用にも実は賛成ではあるんですけれども、これからの時代というのは、ＡＩ主権だけではなく、やはりそのデータ主権、先ほど一番最初、冒頭言いましたが、すごく重要になると思うんですね。先生方は、日本が最低限守るべきデータ主権、要するに、データソブリンティーですかね、ソブリンティーというものは何だとお考えか、一言ずつお答えいただけると大変うれしいです。

○参考人（稲谷龍彦君）　稲谷でございます。岩本先生、ありがとうございます。 　データ主権として最低限守るべきものというのがどこなのかというのは、私はちょっと安全保障等の専門ではないので明確にお答えするのが難しいところはあるのでございますけれども、ただ、一般論として申し上げることができるとするのであれば、やはり経済安全保障でありますとか安全保障に関する機微な情報といったものは当然共有の範囲からは守れるというふうに考えるべきだと思いますし、海外との関係では、必要もないのにそういったことを拡散するということは当然ないというふうに考えますし、また今回の法律におきましても、関係機関と協議の上で認可するかどうか決めたりとか、あるいはその方針というものを決めるということになってございますので、そういった点については配慮がされているというふうに理解してよいのではないかというふうに思っています。 　済みません、お答えになっているか分かりませんが、恐縮ですが、以上になります。

○参考人（石川智也君）　御質問ありがとうございます。 　私も似たような回答になるかもしれませんけれども、やはり海外に出すことが適切ではない一定のデータというものは安全保障上あり得るんだと思うんですね。そういったデータについては、ある意味、認定の際に慎重に判断をする、場合によっては出さないといったようなことは議論されてしかるべきだと思いますし、そういったことができる現在のデジタル行政推進法には、改正法としてはなっているかなと思います。 　以上です。

○参考人（郷野智砂子君）　御質問ありがとうございました。 　まず、個人データの利活用による影響を実際に受ける主体が消費者であるという点が重要だと思います。データ利活用は、利便性の向上をもたらす一方で、個人にとってはその利用の実態が見えにくく、不利益や不安が生じやすい分野でもございます。このため、制度設計においては、事業者や行政の視点だけではなく、実際に影響を受ける消費者の視点を継続的に反映させることが不可欠だと考えております。 　また、消費者団体では各地域の相談や現場の声を集約するという役割を担っておりますので、こうした現場の声が制度を補完する重要な役割を果たしますので、今後のところでは消費者の声も参考にしていただいて制度設計をしていただければと思います。

○参考人（黒田知宏君）　ありがとうございます。 　データ主権という視点で医療情報を語るのは難しいのですけれども、北欧の政策担当者と話をしたときによく出てくる言葉が、医療データプラットフォームを国として整備するのは、これはターゲティドウエポンをつくるプロセスなのだと物すごく強い言葉で言われるんですね。これ、ターゲットって誰というと、基本的には国際ファーマシーを意味しています。 　結局、そういったところと我々の、我が国の国民にあなた方の作った薬が効くのかどうか確認するのであれば、我が国の国民のデータを使わなければ確認できないであろうと。なので、そこで価格設定とかをするのであれば、まず私たちと話し合おうというスタンスを取るわけですよ。 　ですので、欧州各国の今のスタンスは、医療データを国として確保した上で、国家間でのデータの共通利用とかＡＩを作るようなプロセスにおいては、フェデレーテッドラーニング、若しくはＰＥＴｓを使うような、基本的に、いかにして暗号化した状態で個人情報そのものを流通させずに協調利用とか協調解析をするかという方向に振っていますし、現時点で欧州各国からそういう御相談いっぱいいただいています。 　これは別に欧州だけではなくてアジアでも同じでして、マレーシアなどはもう国家公務員でなければ医療データに触れないというレギュレーションを引いています。その上で、それを使った研究をしたいのであれば、国にちゃんと、医学研究であったり医療機器研究をするための主体、ＣＲＣの組織を持っていて、そこに対して申し込むことによって、研究を、じゃ、代わりに実施してあげるというアプローチを取るわけですよね。そういうアプローチが割と主流になりつつあるのかなというふうに思います。 　ですので、そういう意味では、ある程度出入口をちゃんと閉じて国家としてマネジメントできる形にしておくというのは、国家のデータ主権という意味で考えたときに、医療データによってもあり得る議論であろうとは思います。

○岩本麻奈君　お時間来ましたので、これをまた参考に質疑を頑張っていきたいと思います。 　どうもありがとうございました。

○大門実紀史君　大門です。本日はありがとうございます、お忙しい中。 　もういろいろお話ありましたが、稲谷参考人と石川参考人に基本的なお考えをちょっと聞きたいと思うんですけど、私、消費者問題に長く関わっておりまして、経済活動と規制とか罰則とかが常に議論になりまして、いかにも対立物のように議論されて、特に今回もそうですし、消費者問題もそうなんですけど、新経済連盟の方々は、例えば課徴金にしろ何にしろ、経済活動を萎縮させるというような議論が来るわけですよね。 　ずっとやってきて、本当にそうなんだろうかというのをちょっと思いまして、例えばＧＤＰＲも、アメリカのＦＴＣですかね、例えば制裁金ってありますよね。でも、自由に、自由にというか活発なデータ活用やっていますよね。 　個人情報保護がしっかりしている方が、きちっとしている方が、かえってこの消費者の不安を払拭してデータの利活用なども進むのではないかと、決してその経済活動と一定の消費者保護とか個人情報保護というのは対立するものではないんじゃないかというふうに思うんですよね。それが基本に考えないと、何か対立でどっちがみたいになると思うんですけど、その基本的なお考えをお二人の参考人にお聞きしたいと思います。

○参考人（稲谷龍彦君）　大門先生、御質問いただきまして、ありがとうございます。 　一般論としてということで申し上げたいと思います。 　ＤＦＦＴという考え方ございますけれども、これもトラストが付いてございまして、やはり信頼してデータを流通させることができる基盤がなければ、これはデータも流通しませんし、結果的にデータが利活用されず、今の文脈でいえばＡＩも開発されないといったような問題が起きる可能性があるということ自体はそのとおりであろうかと思います。 　ただ、このトラストをどのように設計するのかというところがやはり、何というか、肝と申しますかポイントとなると考えておりまして、私の御説明の中でも申し上げましたように、非常にコンプライアンスコストが高い規制というものをつくってしまいますと、結果的に大きな会社だけが得をすると。つまり、そこは大きな会社だから吸収して対応できるんだけれども、小さな会社はそこがなかなか対応できない、特に、新しい産業をこれから起こしていきたいとお考えになられている方が入ってこれないという問題が現実に起きてございまして、そういったことも考え合わせますと、完全に対立するというわけではないんですけれども、両方にとってベストなバランスをこのトラストの概念の中で探していくということが必要なのではないかというふうに考えてございます。 　以上です。

○参考人（石川智也君）　御質問ありがとうございます。 　私は、規制について、実体的な規制、ルールですね、今回でいうと、統計特例のまさにそのルールの話と制裁の話がある中で、制裁金、課徴金というものが萎縮効果をもたらすというふうには余り考えていません。他方で、実体規制は、規制がなされているとそもそもできなくなりますので、その意味では、事業者ができる業務の範囲を制限してしまうといった意味で具体的な影響があると思います。 　ただ他方で、規制って結構面白くて、規制を課せば課すほどイノベーションが促進するというような側面もあります。例えば、ＧＤＰＲとの関係でいうと、クッキーについては同意をしないといけないということで、同意のプラットフォームといいますか、同意管理のツールというものがどんどん進化しました。それは規制が厳しくなるにつれてどんどん進化していったということで、規制がイノベーションを生み出すという側面はあるんだと思うんですね。 　ただ、これ、イノベーションどんどん生み出していけるのはそれだけの体力のある企業ということになりまして、そうすると、ここが厳しいと、規制を課すことによってイノベーションが生み出されるということは、それはそのとおりなんですけれども、実際にそれに付いていくことができる企業というのが限られてしまうおそれがあるというような、そういう全体の関係にあるかなというふうに思っています。 　以上です。

○大門実紀史君　今回の法案は、そのバランスといいますかね、余りにも個人情報保護の方が穴が空いているんじゃないかという議論がずっとあって、不安と懸念の質疑が続いているんですけれども。 　郷野参考人に伺います。 　実際問題、今回の法改正で、先ほどもございましたけれども、消費者団体の、長年のというか、この問題だけではなくていろんな面で出されておりますが、課徴金とか差止め請求とか被害回復、ずっとやってきましたね、この問題は、消費者問題でも。これはまた、当初の案ですよね、令和六年の検討会報告、令和七年の三月ですかね、考え方等々からすると、だから今回前向きに、事務局も前向きな提案をして、やっと何か入るのかなと、もう少し入るのかなと思ったら、結局、御指摘あったとおり、課徴金も狭い、あるいは差止め請求や被害回復はもう捨てられちゃうと。 　これもずっと見ていて、さっきの話に通じるんですけれども、なぜ消費者の立場のいろんな提案とかがずっといつも、いつも最後になると後退させられると。私、検討会の議事録全部読みましたけれど、誰が反対して、誰が強い声出されているの、見れば分かるんですけれども。 　郷野さん、率直に、ほかの消費者問題ももちろん中心になっておられて、どうしてこの消費者の要望というのがいつも後退させられるのかと。どのように全体として見ておられますか。

○参考人（郷野智砂子君）　御質問ありがとうございます。 　まず、ステークホルダーの中に、消費者団体とか消費者という概念が今までは余り重視されてこなかったというところがあるかと思います。 　今回、検討に当たって、消費者団体何団体か参画させていただきましたけれども、それは大きな前進であったかなというふうに捉えております。ただ一方で、やはりといいますか、経済優先のような構造がまだあるのかなというのはちょっと検討会に参加する中でも感じたところではございます。 　先ほど、やはり課徴金とか差止め請求につきましては詳しく述べさせていただいたんですけれども、一番大事なのは、集団的救済制度のこともとても重要と考えております。なぜかというと、やはり個人情報被害の多くの場合が少額多数であるというところで、個別の救済に委ねられるだけでは実効的な権利保護が実現しないという構造があると感じております。 　そういう意味でも、集団的救済制度が是非制度の中に設計していただければと思っているところです。

○大門実紀史君　私も、課徴金だけじゃなくて、差止め、被害回復、これはほかの分野もそうですけど、大変大事になっているのに一向に実現していかないと。 　率直に申し上げて、ずっとやっていますと、これ永遠のテーマみたいなものでございまして、事務方が頑張ってくれても、結局、与党の部会ですかね、部会で通らないと法案にならないというので、事務方はそこのところで妥協して、何かこう、いつも妥協で消費者問題が後に置かれると。つまり、ただ、与党の中にも消費者問題に熱心な方もいらっしゃるし、経済界の声を重きにする人もいるということで、与党の中のそういうものがあるという、全部が経済界と言いませんが、そういう妥協の中で出てくるというようなところで、いつもこういう問題で実現しないのかと思うんですけど、そういう点では消費者団体の声をもっと上げていっていただきたいというふうに思います。私たちも頑張らなきゃと思います。 　黒田先生は、私、勉強会にもちょっと顔を出させてもらって、朝日の怒りの記事も読ませてもらいましたけれども、今日もいろいろやり取りありましたが、要するに黒田先生は、今回の法案というのは、何というんですかね、立法事実がないというか、必要ないということを結局おっしゃりたいのかなと思うんですけど、例えば、私詳しくないんですけど、医療なんかの分野も、今の個人情報保護法の下でも、仮名加工情報も共同利用等々をやれば、十分ＡＩ開発とかで新たな治療の知見とか生み出すことができるというようなこともおっしゃっております。 　つまり、今回のこの法改正は、少なくとも医療の分野では要らないという御意見でしょうか。

○参考人（黒田知宏君）　おっしゃるとおりだというふうに考えています。

○大門実紀史君　ありがとうございます。 　もう一つ、この前ちょっと委員会でも私申し上げたんですけれども、このＡＩ開発に個人データ大量に活用するという点での不安というのが二つありまして、一つは、その生の個人データが不正使用されないかとか漏れないかとかいうことと、もう一つは、統計とか研究に使われるだけではなくて、ファイリングされて分析されて、ＡＩ、ビッグデータで、それがいろんな、企業とか行政とかいろんなところが国民の選別とか差別に使うと。実際起きていますよね、いろんな事件が、世界でもですね。そういうファイリング、プロファイリングのところに使われるんじゃないかと、それが差別を生むんではないかと。例えば就職の差別ありましたですよね、リクナビとかですね。採用差別、入学試験、あるいは結婚の何か相談のそういうところに使われるとか、プロファイリングがですね。 　こういうものは実は今世界でも問題になっていて、プロファイリングの使い方、制限というのがですね、ＧＤＰＲとかＥＨＤＳなんかは、先ほどおっしゃったとおり、全体には積極的活用ということ、決して厳しい厳しいじゃないんですけど、プロファイリングに関して言えば、結構注意をして歯止めを掛けなきゃという議論があったり、一定のものをつくってきていると思うんですよね。 　そういう点で、これ、済みません、言いたいことはＥＨＤＳのことなんで、黒田参考人にお聞きしますけど、ＥＨＤＳですね、つまりヨーロッパのヘルスデータベースですかね、において、このプロファイリングというのは今どういうふうな、ちょっと本で読むと制限いろいろ掛けていると見たんですけれど、もし詳しく御存じでしたら教えていただけますか。

○参考人（黒田知宏君）　ありがとうございます。 　事例まで知っているわけではございませんが、基本的に、そのデータを利用するときに、その利用目的に対して審査をするわけです、ＥＨＤＳというのは。ですので、利用目的の中に健康医療、国民、国民というか、社会の健康の増進に資するものであるということが最初に要件としてありますので、それに対応するものでなければ、基本的にはそこで利用は普通は止まるはずです、うそをついていない限り。それは、日本で行っている次世代医療基盤法も同じ枠組み。だから、利用者の審査が要るんです。 　先ほど岩本先生が御質問になった件とも絡むんですけど、結局、そのデータどう使うのというのをちゃんと宣言していただいて、使う内容について正しいか、それは許される範囲なのかどうかと倫理的に判断をして、それを実行するというのは、これは倫理委員会でもなされてきましたし、臨床研究法の方の中でもやられてきましたし、次世代法でもやられてきたと。医療の分野においては、必ずその利用目的を明確に宣言をして、その宣言の下でデータを使うということは常識なんですよね。 　ですので、ＥＨＤＳにおいても当然そういう枠組みになっていますから、プロファイリングに使うというものは許されているわけではなかろうというふうに想像します。事例を全て知っているわけではございませんので、全くないかどうかということをちょっと言及する立場にはございません。

○大門実紀史君　終わります。ありがとうございました。

○伊波洋一君　沖縄の風の伊波洋一です。 　今回の参考人の皆さん、本当にありがとうございます。 　私、個人情報保護に関する法律等の改正案について主に質疑をしていきたいと思います。 　私は、今回の個人情報保護法案というのは、保護をする法律じゃなくて保護を緩める法律のような改正案であろうと思いまして、一昨日の質疑でも、要するに統計等という名の下で、要配慮情報も含む個人情報を売り買いできるという仕組みで、この売り買いは民間の当事者の話であって、政府は関与しないというような趣旨で説明を受けておりますので、いわゆる、これが示すものは、本来ならば個人情報保護されなきゃいけないそういうデータの問題について、売り買いができる世界がそこに生まれるということなんですよね。その目的がいつできるかというのは、もうこれはその買う人の予定であって、必ずしもこのチェックする仕組みもどこにもないかのような、そういう仕組みなので、私が言っているのは、とにかく、多くの個人は、そういう自分に関する様々な情報が売り買いされる世界が生まれてくることに対して嫌悪感を持っていると思うんですね、持つと思うんですね。そのことが許される状況と、実はＥＵの世界、欧州デジタル規則等の世界はちょっと違うんじゃないかなというふうに思いますので、せっかく専門の石川参考人には、今ドイツにもいらっしゃるということだし、ヨーロッパのことをよく知っていると思いますのでお伺いさせていただきますが、私の理解では、いろいろ参考人の、私たちのこの委員会の資料を読みまして、日本はガイドライン中心のソフトローの型で企業の自主規制を重視していると。欧州は要件が細かく規定していて罰金も高額の形になっていると。そういう意味で、また、現実に幾つもの国がありますから、対応する法令や、あるいはガイドラインも五百を超えてもう今日存在すると。 　そういう意味では、要するに、この一般データ保護規則、ＧＤＰＲが適用されているということと、それから、二〇二五年にはＥＵ自身が、ＥＵデータ法は個人データの保護を確保しながらデータ利用を促進をするということを目的に作られてきていると。そこで、その一番の基本としては、ＧＤＰＲでは、個人が自分のデータを完全にコントロールできるよう、強力な法的権利を保障していると。その中身は、企業が所有する個人データについて、一番目にアクセス権、それから二番目に消去権、三番目にデータポータビリティー権、つまりそのデータがどういうものであるかをもらう権利、それから四番目にＡＩによる自動化されたプロファイリングを拒否する権利などがあると。これは事実でしょうか。そしてまた、それは現に有効に動いているんでしょうか。

○参考人（石川智也君）　御質問ありがとうございます。 　幾つかＧＤＰＲに関する御質問をいただいたかと思いますので、回答させていただきます。 　まず、ＧＤＰＲの下で要件が細かいかということに関しては、むしろ私はそうではないと思っていまして、ＧＤＰＲはプリンシプルベース、原則ベースで大きなところを書いております。例えば、技術的な安全管理措置をどうあるべきか、ＡＩの保護措置をどうするべきかということについては、法律の中身にはほとんど何も書いていなくて、前文と呼ばれるところに例示が幾つかあるといったようなことであったり、さらに、その後のガイドライン等でより詳細に書かれるといったような形になっていますので、要件が細かいということではないのかなと思います。 　ガイドラインが五百を超えて存在するというのは、ちょっと数を数えたことはないんですが、段ボールが確かに三箱ぐらい私のデスクの後ろにありますので、それなりにあるんだとは思うんですけれども、ただ、ＧＤＰＲのガイドラインというのは論点ごとに作るんですね。日本は論点ごとに作るわけではなくて、通則編、外国の第三者提供編といった形で大きな形で作りますので、そもそもちょっとガイドラインの数で比べるということでは必ずしもないのかなと。日本のガイドラインもＧＤＰＲと遜色のないような形で実務の運用に足るような内容が書かれていますし、ガイドラインを策定する際のパブリックコメントについては非常に丁寧な回答がなされて、それが業務、実務の運営指針になっている、そしてＱアンドＡなどもありますので、その意味では何かガイドラインが足りないといったようなことはないのかなと思います。 　プロファイリングであったり権利の話についてお話がございました。 　それは、今おっしゃったアクセス権、訂正権、そしてポータビリティー権、プロファイリングの権利がある、それはそのとおりでございます。 　プロファイリングの問題は統計作成特例の問題とは切り離して考えるべきだというふうに私は考えています。つまり、統計作成の特例があるか否かにかかわらず、プロファイリングについての問題は別途あり得まして、それは今の作られているＡＩモデルの中でも既にある問題ということであります。 　日本の個人情報保護法は、この点については、令和二年の改正において利用停止請求権というものを認めて、それによって一定の対応はなされたというような形で一旦解決したのかなというふうに理解はしておりますけれども、ただ、その後も、やはりこのＡＩの活用が進むにつれて、よりリスクが高まっている、個人の決定がＡＩによってなされることについてもう少し言えるべきことがあるんじゃないかといったような御懸念は私もあるというふうに理解しておりまして、今後、更にプロファイリングについての議論が深まることを期待しています。 　以上です。

○伊波洋一君　ヨーロッパのこの規制、いわゆるそのＧＤＰＲというのは、当然、日本企業にも適用されているわけですね。

○参考人（石川智也君）　適用されています。 　もちろん、欧州に展開している日系企業は当然適用されますし、日本企業も域外適用という形で、ヨーロッパに向けて商品サービスを提供する、あるいはヨーロッパ域内にいる個人のモニタリングを含む行為を伴うとＧＤＰＲの域外適用があるという形になっています。

○伊波洋一君　そうすると、我が国が今つくろうとしている概念あるいはその既成概念のレベルの問題が、もしヨーロッパのＧＤＰＲに即さない、そこまでいかないものになってしまって、それが当たり前の慣行になってしまうとしたら、ここでこの企業を展開している我が国の企業が、ヨーロッパとか世界で、例えばアメリカとかで何らかの商活動をしたりするときに支障になるということはあり得ませんか。

○参考人（石川智也君）　御質問ありがとうございます。 　まさに、おっしゃったような点が問題になり得ます。日本では規制が厳しくない、ＧＤＰＲでは規制が厳しいということになりますと、日本と同じプラクティスで欧州に行く、欧州向けのビジネスをやるということになると規制に引っかかるということが起こり得ます。 　ただ、日本の個人情報保護法は、これまでの二回の改正を通じて欧州の水準にまで、全く同じ法律ではありませんので比較はなかなか難しいんですけれども、少なくとも欧州委員会からかなり厳しい審査を受けて十分性認定というものを、勝ち取ったというのがあれなのかはちょっと表現はありますけれども、十分性認定を獲得していますし、その後のレビューによってもそれが維持されているという現状に照らすと、ヨーロッパの水準と比較して日本の個人情報保護法のレベルが低いといったようなことは私はないのかなと思っております。

○伊波洋一君　今日の議論でもありましたけれども、石川参考人もお話をしておりましたが、そういう統計という手法を通して本人同意を取らない仕組みをつくっていく、つまり、そういう道を広げていくということを今、日本がやろうとしていることに対して、それは一つの方向だと。 　でも、それが、いわゆるＥＵとかあるいはアメリカとか、その世界に、そこはもう法律はできていますので、すぐ直せば施行される。そうすると、そういう世界が日本で始まっていく。そうすると、その日本に始まっているビジネスがそういうところではまだ認められていないという状況が結局起こってしまうという可能性はありませんか。

○参考人（石川智也君）　理論的には起こり得るというふうに思いますけれども、何かＡＩをモデル開発することがＥＵで禁じられているということではないんですね。これはそういうことではありませんので、何か統計特例によって作ったモデルを作ることがＥＵの規制に直ちに違反するといったようなことは当たらないのかなというふうに私は思います。

○伊波洋一君　一般の全国民、市民、国民の個人情報保護というのとＡＩ開発が何かてんびんに掛けられているような委員会になってしまっておりまして、今議論はですね。でも、それは掛けていいものかどうかと。そもそも個人情報保護を万全にしたままＡＩ開発をしていくという手法、これは当然、先ほどの黒田参考人からもあったように、そういう道は当然あり得る。今ＥＵはそれをやっているというふうに理解しているんですけれども、そういう道はあると思いませんか。

○参考人（石川智也君）　非常に重要な問題提起だというふうに思います。 　まず、大前提、これは絶対に私としては間違ってはいけないと思っていることは、今回のＡＩ特例は、個人の権利利益を侵害しても、それでもＡＩ開発をしてもよいというものにはなっていません。個人の権利利益を害するおそれがない開発に限られるということなので、まず、てんびんの議論ではないというのが大前提です。ここがそもそもずれてしまうと、てんびんなんだ、だから駄目だということになるとちょっと議論がずれてしまうので、そこはまず大前提かなというふうに思います。 　その上で、じゃ、本当にその個人の権利利益を害するおそれがないということがどのように担保されるんだということでいいますと、私、先ほど黒田先生がおっしゃった、安全管理措置とミニマイゼーションが担保されるんだったらあり得るんじゃないかというコメントがあったと思いますけれど、安全管理措置についてはハードローで規定があります。ハードローというのは、現在の現行の個人情報保護法上、このＡＩ開発をする事業者は安全管理措置義務が掛かります。その安全管理措置義務をより具体化した方がよいということであれば、それはガイドラインなりなんなりに書き込んでいくべきだと思いますし、日本のガイドラインは、なければならないと書かれている規定については法律違反として行政処分の対象になるという、そういう形になっておりますので、ハードローに準じた形でかなり厳しくなっていると。他方で、ミニマイゼーションの議論に関しては少し弱い面があるというのは御指摘のとおりかなというふうに思います。 　ただ、私の考えとしては、セクター別の法令と一般法令はやっぱり分けて議論をすべきだと思っていまして、セクター別はセクターごとの御事情があります。それは、データの持ち方であったり、先ほどハッシュ化の議論がありましたけれども、ハッシュ化してそれを突合できるかどうなのかは、データの持ち方によってこれは異なります。ですから、セクター別の議論は、もちろんセクター別、非常に重要で、医療関係のデータについてはもちろんそれは重要だと思うんですけれども、だから一般法のところをいじっていくということになりますと、それは非常に波及効果が大きいですので、そこはちょっと分けて考えるべきかなというふうに思っております。 　以上です。

○伊波洋一君　今回の法令は、一般法が本来ならば要配慮情報を個人を特定させるものとは一緒にしてはならないというものだったのが、それはいいと、統計等を目的としていいという。それで、統計等目的は一体どういうものかということについての概念も必ずしもない。そういう中で、まさにそういうところに大きな不安と不信が生まれていると思うんですよね。だから、そのことも含めて、私たちはもうこの間、先ほどからの議論であるんですけれども、もうＡＩ開発のために必要であるということでは必ずしもないのではないかと。 　最後に黒田先生にお伺いしますが、もっと、今のその医療の立場からも、やはりそういう今の法律の立て付けの下では不安が起きるんじゃないかという、私思うんですが、そのことについてどう思いますか。

○参考人（黒田知宏君）　ありがとうございます。 　みだりに不安をあおるものではないと思うのですけれど、ないと言ったらうそになるというのが正直なところだろうなというふうには思います。 　結局、そもそも、これまで、要配慮個人情報は突合できないから特別な法律を作り、突合するのであれば特別な認可を受けさせ、それによって全てを守るということをやってきたわけです、国家として。今回、それの大転換になっちゃっていると、少なくとも要配慮個人情報という領域についてはということは間違いなくて、それをどう受け止めるかという議論だと思うのですね。 　それを受け止めるときに不安だと思う人がもしもおられるのであれば、その方々はデータの提供を拒むという行動に移るだろうと。私は、データプラットフォームをマネージする立場の者として、それをやってしまうと日本全体のデータが流通しなくなる、結果として、ＡＩ開発と一生懸命言っているんですけど、そのためのデータはどこにあるのという会話になってしまうことが一番恐れていることです。そうならないためには、ちゃんと守ってもらっているとみんなが思って、だからデータ使っていても別にいいよ、別に同意なんて必要ないよというふうにするのが本来の在り方なんだろうというふうに思います。

○伊波洋一君　もう時間になりましたから終わりますけれども、やはりいろいろ問題があるということが今回明らかになったのではないかと思います。 　以上です。ありがとうございました。

○安野貴博君　チームみらいの安野貴博でございます。 　参考人の皆様、本当に貴重なお話を聞かせていただきまして、誠にありがとうございます。幾つか順番に質問させていただければと思います。 　まず、稲谷参考人にお伺いしたいのが、アジリティーが重要であるという御指摘をいただいていたと思っておりまして、制度と技術と運用の三位一体で運用していくことが重要であろうと。という中において、近年、やはりＡＩ開発、かなり加速しているところもありまして、この三つの中で技術の進むスピードだけが物すごい高まっているんじゃないかという状況があると思います。こういった状況の中で、どのようにアジリティーの確保をしていくためにこの運用を進めていくべきなのか、もしアイデアやお考えがあればいただきたいと思います。

○参考人（稲谷龍彦君）　ありがとうございます。 　まさに、おっしゃられた点は極めて重要な点であると存じております。まさに、技術の変化が極めて激しいというときに、まず技術のことをよく知っている人がそのルール形成に入っていないとそもそもスタートラインに立てないという問題がありますので、まずは、私はアジャイルガバナンスという考え方を提唱していますけど、その中で最も重視していることの一つは、マルチステークホルダーで進めていく、特に技術の現場がよく分かっている方とタッグを組みながら議論を進めていくということが極めて重要であろうというふうに考えてございます。 　また、このガバナンスを進めていく上では、当然、ハードローをいきなり変えるというのは極めて難しいことになりますので、基本骨格として必要な部分、それからクイックに変えていかなければいけない部分という層を意識しながら、それぞれに適切なステークホルダーをかませて運用していくということが最も重要になると、そのように考えてございます。

○安野貴博君　ありがとうございます。層をしっかり意識していきながらというところ、大変よく理解できました。 　続きまして、石川参考人と、あと黒田参考人に是非お伺いしたいところでございまして、ミニマイゼーションの原則、非常に重要なんじゃないかというお話もいただいていた中で、今回の統計特例でデータの提供元と提供先のどちらがどういうふうに責任分担するのかという問題があると考えております。つまり、データの提供を行うのは提供元が行うと。今までの政府答弁を聞いていると、一時的にはやはり提供元がデータの提供責任を負うというような話もあるというふうに認識しておりますが、一方で、データ、どこまでが最小と捉えるのかみたいな話は実はデータの提供先じゃないと分からないことも多々あるのではないかと思っておりまして、ここのあり得べきデータの提供に関する責任分担みたいなものをどう考えるか、お二人にお伺いしたいと思います。

○参考人（石川智也君）　御質問ありがとうございます。 　まず、この必要最小限度の原則、欧州ではどう考えられているかというと、目的との関係で判断するということになっております。ですから、生データ、氏名、住所が、そもそも突合することもない、必要ないという場合に、それをそのまま出してしまうと、それは必要最小限度の原則の違反ということになります。もしそれが突合に必要なんだということになれば、それは提供することもできるということになりますけれど、じゃ、今度、それをＡＩの開発モデルに入れるときに、別に氏名と住所はモデルの教育のために必要ありませんよねということになると、それを入れるのは必要最小限度のルールの違反ということになりますので、目的との関係で議論する必要があるということになります。 　この目的との関係で議論するというのは、セクター別にやっぱり事情がかなり異なるんですよね。ですから、もう常に仮名化されたもので回るようなビジネスが形成されているセクターにおいては、いや、それは全部仮名加工すればいいじゃないですかという話になるんですけれども、ただ、そうではない文脈でいきますと、なかなか仮名加工が難しいといったようなことがありますし、仮名加工をもし、やれなくはないけれどもやろうと思っても、例えば漢字が、名前とかでいうと、漢字の文字が微妙に、何というんですかね、書き方が違ったりするとハッシュ化後のもちろん数列も全部変わりますので、そういった意味では、そういったことができるデータの持ち方、そうではない持ち方、そういったものがあったりするということになります。 　以上です。

○参考人（黒田知宏君）　石川先生がおっしゃったとおり、目的によって定まるものだと思います。ですので、安野先生がおっしゃったとおり、利用者しか分からないという現実はあるのだと思います。 　私、医療のことしか分からないんですけど、医療分野においては、だから、利用者が目的とどんなデータが必要かは最初にディクレアするわけですよね。宣言して、これが必要だと言われて、それに対して、確かにその目的だったらそのデータだよねというのを審査した上で提供するというのがありとあらゆる場面で行われているわけですよ。審査をして出す責任を負うのは誰かというと、当然出す側です。それ以上のデータを出しているとすると、それはその人が悪いということになります。 　あとは技術論で、それを全ての医療機関が全部できるのかというと、そんな体力は多分普通にはなくて、そうすると誰かが仲介してあげないといけない。そのときにどうやってその受渡しが正しく行われたかを確認するのかという辺りを技術論で考えたときに、今既に、それをそのためにずっと何十年も掛けて仕組みをつくってきたわけですよね。つくってきた仕組みがある中で、あえて新しくもう一つのパスをつくって医療機関を悩ませる必要があるかというのが私の疑問の一番重要なところだと思っています。

○安野貴博君　ありがとうございます。非常によく分かりました。 　その上で、先ほどいただいた、石川参考人に追加でお伺いしたいのは、セクターごとに決めるべきだ、セクターごとの事情を勘案した上でルール作りしていくべきなんじゃないかというお話があったと思っておりまして、今回、個人情報保護法、一般法としてあり、それとは別のところで、例えば次世代医療基盤法であるとか、あるいは生命科学・医学系研究に関する倫理指針みたいなまた別の、ある種、セクターごとのルールみたいなものもあると思いますが、こちら、どういうふうな役割分担していくべきかというところももう少しだけお伺いしたくて、例えば、今の個人情報保護法のこの議論の中において、個別のセクターの事情というものをもし縛れる、より制約を強めるものがあるのであれば、それは別にセクターごとでやればいいよねという話なのか、いや、それの中でもこの部分に関してはしっかりと、このセクター固有の話かもしれないけど入れるべきものもあるよねという話なのか、ここの、もう少し詳細教えていただけますか。

○参考人（石川智也君）　御質問ありがとうございます。 　基本的には、セクター別の事情はセクター別でやるべきだなと思っておりますし、現在のガイドラインの作り方としては、結構そのセクター別のガイドラインで厳しい、上乗せの内容を定めていることが多くなっています。 　例えば、外国にデータクラウドを使うことはできますけれども、機微な情報については外国のクラウドを使うべきではないであったり、より慎重に判断せよといったようなことでなっているガイドラインみたいなものもございますし、そういった意味では、一般法の部分については、何というんですかね、厳しく縛る、縛り過ぎないというんですかね、というような形がベストかなというふうには思っています。 　ただ、必要最小限度の原則が完全に無視されていいということではないと思うんですけれども、ただ、日本の個人情報保護法のそもそもの枠組みとして、必要最小限度の原則というのは明確にはないんですよね。それが根本原因だということであれば、それはそもそもその原則を明記しろという話なんですけれども、ちょっとそれは一旦おいておくと、そもそもないんですよね。 　それを前提に、じゃ、この医療、医療に限らず、このＡＩ特例の文脈においてのみ、その必要最小限度の原則みたいなものを明文で書き込むことが適切なのかといったような議論はありますし、ただ、そうはいっても、なかなかやっぱり不安が払拭できないということであれば、そこについてはガイドラインなどで、必要もないのに生データをそのまま出すようなことについては控えるべきだみたいなことをしっかりと示すと、そういうふうに示されるように立法府としても訴えかけていく方法というのはあるかと思っておりまして、そういった形での解決もあるかなと思います。

○安野貴博君　ありがとうございます。 　次に、郷野参考人にお伺いしたいなと思っております。 　プロファイリングアルゴリズムによる差別的取扱い、不利益誘導に関する規制、欠落しているんではないかという御指摘あったかと思っておりまして、これ大変重要な指摘だと受け止めてございます。 　こちら、もしこういった取扱いに関する規制があると消費者としては安心できるのではないかであるとか、そういったもしアイデア、やるべきだと考えられることがあればお聞きしたいなと思います。

○参考人（郷野智砂子君）　質問ありがとうございます。 　ＡＩに関する規制が十分でないと考える点は、データの利用が個人にどのような影響を及ぼすかという観点の制度整備が不十分であったという点にあります。 　現在、ＡＩで収集されたデータを基に属性推定とかスコアリングを行って、その結果が広告の表示とかサービスの提供条件、審査などに反映されるケースが増えているということは承知しております。こうした処理の内容は、基本的には本人にとってすごく見えにくい部分で、知らない間に評価であったりとか区別が行われるおそれがあると考えております。 　この結果、特定の属性に基づく差別的取扱い、不利益条件の提示とかが誘導される可能性があると考えますので、こうした改正案の中では、ＡＩプロファイリング特有のリスクに対する規律というのが限定的であったために、そこをきちんと規律、限定的ではなくてきちんと対応していただきたいのと、あとは説明責任ですとか適切な関与の仕組みを含めたルール整備を今後のところでは検討していただきたいと思っているところです。

○安野貴博君　ありがとうございます。 　あともう一点、郷野参考人にお伺いしたいと思っていまして、今のところともちょっと関連するところではございますが、本人同意の原則が弱体化しているんじゃないかという御指摘もいただいていたと思います。一方で、ここ、かなり見解も分かれていると思っておりまして、強い知識勾配の下で本人同意があったとしても別に安全性って担保されないんじゃないかという意見もあると思っておるんですけれども、こちらの指摘に関してはいかがお考えでしょうか。

○参考人（郷野智砂子君）　利活用の必要性自体は否定するものではございません。とりわけ、ＡＩ開発や統計利用において一定のデータ活用が必要であるということは理解してございます。 　ただ、不利益が生じるおそれがあるという点で、同意不要とされる例外は真に限定的な場合に限ってほしい、絞ってほしいということと、少なくとも本人が関与できる仕組み、説明を求めるだとか異議申立てをするということを確保することが必要であって、利活用と権利保護のバランスを実効的に担保する制度設計を求めたいと考えております。

○安野貴博君　ありがとうございます。 　続きまして、石川参考人、稲谷参考人にお伺いしたいなと思っております。 　こちらも意見分かれているところとして、今、立法の必要性、統計特例に関する必要性として、現行の下でも、仮名加工情報の共同利用の枠組みを使うとほとんどの場合対応できるのではないかという意見もあったと承知しておりますが、今回、この統計特例をあえて設けることの意義、感じるところがあれば、この仮名加工情報の共同利用の枠組みだと難しいという点あれば、お聞きしたいと思っています。

○参考人（稲谷龍彦君）　安野先生、ありがとうございます。 　まず、第一点目といたしましては、このスクレーピングをどのようにしていくのかと、ここの規律をどう考えるのかという問題はまずそもそもあろうかというふうに思います。やっぱりインターネット上、スクロールしながらデータを集めていくという手法に関して、それについて一々出ている情報について同意を得るということは、これは現実的に極めて困難でございまして、ここがまさにＥＵデジタルオムニバス等でも論点となっているということは石川参考人の方からも御指摘がありましたが、この点をまずどのように考えるのかという点は一つ、この立法事実としてあるのではないかというふうに考えております。 　もう一つは、先ほど来、石川参考人からの御意見もありましたし、私自身も申し上げたつもりではあるんですけれども、やはり一般法として、法益保護のおそれがないという類型に限って統計を認める、統計的なこの情報処理を認めて、ＡＩの作成を認めていくということは、各セクターにおいて仮名等が簡単に利用できないという状況であったとしても、我々がまだ分かっていないニーズみたいなものが実はビジネス側には存在するということも十分にあり得るわけですね。イノベーションというのは往々にしてそういうところで起きてくるというところがありますので、まずはそういった法益侵害のリスクがほとんどないと考えられるところからやらせてあげる、広くやらせてあげる方法をつくっていくというのは、イノベーションを促進するという観点からは重要な意味があるのではないかというふうに考えているところです。 　以上です。

○参考人（石川智也君）　私、これ是非答えたかったので、質問していただいて本当にうれしいんですけれども、あると思っています。全部これで対応できるということではないです。 　一つ目が、これはまず突合の話です。仮名加工情報というのは、その仮名加工情報が誰のものなのかということについては追求してはいけないということになっております。ですから、ある仮名加工情報、全然違う人の仮名加工情報と全然違う人の仮名加工情報を、ＡとＢを足してＡとＢとしてこちらで分析をする、これは別にこれでできるんですけれども、Ａという人とＡという人がそれぞれ違うところでデータが存在して、それをそれぞれ仮名加工して持ってきたときに、それを突合するみたいなことが本当にできるのかといったところについては疑問がございます。 　あともう一つは、このデータの持ち方によって、そもそも仮名加工をしたときにうまく、何というんですかね、整理できるデータの持ち方とそうではない持ち方がありますので、常にこれでできるというわけではないということがございます。 　あともう一つ、これも結構重要な点で、こちらは実は現在の法解釈の下でも私は結構乗り越えられるんじゃないかなと思っておるんですけれども、開発した後のモデルを誰が使えるのかという論点ですね。 　これは、委託とか共同利用の枠組みでやったときには、割とデータを提供した人のみが使えるという考え方になりがちです。ただ他方で、今回の統計特例等の例外で、ある意味、第三者提供という形で提供してモデルを作っていくということになると、そのモデルの利用については、まさにモデルを作成した人が扱えるよねというふうに考えやすくなるんだと思います。 　そこは結構実務としては影響が大きいところで、この仮名加工情報の共同利用だけでは解決できない問題は法的には私はあるのではないかというふうに考えています。 　以上です。

○安野貴博君　ありがとうございました。 　時間ですので、終わります。

○委員長（松下新平君）　以上をもちまして参考人に対する質疑は終了いたしました。 　参考人の皆様に一言御礼申し上げます。 　参考人の皆様におかれましては、長時間にわたり貴重な御意見を賜りまして、誠にありがとうございました。委員会を代表して厚く御礼申し上げます。ありがとうございました。 　本日はこれにて散会いたします。 　　　午後四時六分散会