衆議院

御質問ありがとうございます。お答えいたします。 　まさにおっしゃられるとおり、匿名で、例えば氏名を黒塗りにしたとしても、その後、ほかのデータを組み合わせることで本人を特定するということは技術的には可能だというふうに考えております。 　そのために、それを特定されないように、先ほど御紹介したようなＰＥＴｓなどの技術を用いて、ほかのデータをわざと混ぜることにより匿名が保たれるような、そういった技術というのを担保するということが非常に重要ではないかと思っております。 　また、技術の観点で申し上げますと、絶対に漏えいをしないとか絶対に特定ができないということを証明することは難しいことでございますので、数学的に、個人が特定できないような、そういう技術というのを用いながらも、最終的に、もし特定をされてしまった場合に、どのような形で最終的な出口のところでガードレールを持つのかというところと併せた形で

丁寧な御答弁ありがとうございます。 　ＰＥＴｓのことをおっしゃっていただきました。それは守る方ではありますけれども、例えばそういったもの、それを打ち破ってまた技術を取る、そういった技術も恐らくは日進月歩で進んでしまっているかなと思うんですが、その辺りに関してはちょっと、私、存じ上げませんので、そのＰＥＴｓにいわゆる対抗するようなものに関して何か御存じであれば教えていただければと思います。

ありがとうございます。お答えいたします。 　おっしゃられるように、技術というのは、こちら側が持っている以上に対抗する悪意を持った人が持っていると、それを打ち破られてしまうという危険性がございます。 　そのためには二点必要なものがあると思っておりまして、まず一点目は、やはり最新の技術というのをしっかりと業者、個人情報を取り扱う業者というものにしっかり持っていただくということをきちんと推奨するということ。そして、二点目は、個人情報を持つ、取り扱う事業者に対して、どのようにそれを取り扱っているのか、ガバナンスしているのかということ、透明性を高くしていただくということ。この二点が重要ではないかというふうに考えております。 　以上でございます。

ありがとうございます。 　続けて、森参考人にお伺いいたします。 　ＥＵの一般データ保護規則、いわゆるＧＤＰＲでは、匿名化データについて再識別が合理的に不可能であるということが重視されていると理解しております。日本でも、本人同意なく行政データを提供する場合には、国民の権利利益を害するおそれがないという抽象的な基準にとどめず、再識別が合理的に不可能と言えるような厳格な基準を設けるべきではないかと思っておるんですが、その辺り、御見解をお伺いいたします。

御質問ありがとうございます。 　今の御質問は全く先生のおっしゃるとおりだと思っておりまして、私としましては、やはり統計を作るときに、それは、様々なデータと突合し、あるいはＡＩを使えば再識別できてしまうというような統計ではそもそも駄目ではないかと思っておりまして、先ほども申し上げましたけれども、公的統計と同じような安全性があるということ、同じ属性を持っている人がかなりの人数確保されている、どこまでいっても一人にならない、もし一人になってしまうようなものがあれば、その部分については行を削除するというようなことをして、安全性を確保して、いろいろな技術を使っても再識別されないようなものがここでいうところの統計ということではないかと思っております。 　以上です。

ありがとうございます。 　そして、更に森参考人にお伺いいたします。 　個情法の改正のことに関してなんですけれども、課徴金に関して、先ほどいただいた資料の中にも書いておられましたが、こちらの中でも、算定方法が違法行為によって得られた額になっているということでありますから、課徴金に本来期待される抑止力がないという点、これは私も非常に問題だと思っております。 　こういったことによって得られた利益だけを吐き出せば済むというのであれば違法行為を思いとどまらせる効果は極めて低いというべきだ、私も全く同じ認識でございまして、例えば、この辺り、海外では売上高連動の制裁とかそういったことがあるかと思うんですが、これに関してどういう認識でありましょうか。課徴金に関しても、どの程度のものに設定をした方がいいとか、そういった御意見がありましたら、いただけたらと思います。

御質問ありがとうございます。 　まさにこの点も御指摘のとおりでございまして、違法行為で得られた額というのは、それはちょっと論外ではないかとは思っておりまして、ＥＵのように、ＧＤＰＲだけではありませんけれども、全世界の売上高の何％とか、そういった当該違法行為とは切り離した金額、絶対的な金額を決めていたり、売上高連動で幾ら幾らいずれか高い方とか、そういった方法が合理的だと思います。 　また、日本の法令でも、そういったものを使っているものというのはないわけではありませんので、これはそういったアプローチも十分可能なのではないかと思います。 　ただ、今回、私も、それは全くおっしゃるとおりだと思いますけれども、長年の課題であった課徴金が入ってきたというのは、これは非常に大きな課題のクリアであると思いますし、そこは評価したいと思いますので、金額の問題というのは、これは今後の立法的課題であるというこ

ありがとうございます。 　続けて、森参考人に伺わせてください。 　今の個人情報保護法の方では、三十四条、報告徴収、そして第四十条が違反に対する罰則だということで、罰則が三十万以下のものだとかそういったものがあったり、課徴金に関しても、今そういったことで、一歩前進したということでありますが、国等データの方ですね、ですから、デジ行法と情促法の方には、そういった罰則に関することは一切書かれていない、見受けられないわけでございまして。 　例えば、こちらの方は、認定事業者の認定を取り消すとか、そういうことはあるんですけれども、罰則に関しては何もないわけですね。この辺りに関してどう思われるかという御見解をお伺いしたいんですが。

ありがとうございます。 　私、デジ行法の方の専門性がありませんので、ちょっとお答えしていいのかどうかはばかられますけれども。 　やはり、デジ行法で想定されているところのデータへのアクセスみたいなことについて、非違行為といいますか、想定されているのと違う用いられ方をして、それによって個人の権利利益が侵害されるということになれば、それは罰則なり制裁金なりがあるべきであろうかなとは思います。

ありがとうございます。 　森参考人に伺います。 　今回の法案の検討過程では、違反行為の迅速な差止めや被害回復を個人に代わって消費者団体などが行える団体訴訟制度というのが検討されていたと承知をしています。しかし、今回の法案では見送られたということ。 　個人情報が漏えいしたり不適切に利用されたりした場合、個人が一人で違法性を把握し、事業者と争い、差止めや損害回復を求めるのは非常に困難かと考えています。ビッグデータを扱う以上、事故が起きれば多くの国民に影響が及びかねないというわけです。この分野においても団体訴訟制度が必要ではないかと考えますが、御見解を伺います。