個人情報保護委員会事務局審議官

お答えをさせていただきます。委員から御質問がありましたＧＤＰＲとの整合性についてお答えをさせていただきます。 　ＥＵの一般データ保護規則、ＧＤＰＲでございますけれども、そちらにおきましては、医療情報などの機微情報でございますけれども、特別な種類の個人データとしておりまして、原則としてその取扱いが禁止された上で、本人の同意がある場合やそのほか一定の例外的な場合につきましては第三者への提供を含む取扱いが許容されているわけでございまして、その例外的な場合の一つとして統計の目的のために取扱いが必要となる場合というのが規定されているわけでございます。 　この例外に依拠する場合でございますけれども、一定の保護措置を講じること等が求められておりますけれども、本規則上、一律に匿名化とか仮名化とかという、そういう措置が求められているものではないものというふうに承知しておりまして、この点でもこの本法案の統

はい、御指摘のとおりでございます。

お答えをさせていただきます。 　統計作成等特例に基づく医療データの提供方法についての御質問でございますけれども、一般の第三者提供の場合と同様に、法律上一律の制限はございません。例えば、データを外部記憶媒体に保存してこれを物理的に提供する方法、メール等を用いてデータを送信する方法、ウェブサイト上でデータをダウンロードさせる方法、データベースへのアクセス権限を付与する方法など、様々な方法があり得ます。 　個人情報取扱事業者は、個人データの漏えい等の防止その他の安全管理のために必要かつ適切な措置を講じることが義務付けられておりまして、提供するデータの性質や量などに応じまして個別事案ごとに適切な方法を選択し、安全性を確保した上で提供することが求められております。

お答えをさせていただきます。 　外部事業者を介在させデータを提供する場合の責任の所在についての御質問でございました。 　まずは、データの提供元の事業者が、提供する個人データの安全管理が図られますように、データの性質や量に応じまして、当該外部事業者に対しまして必要かつ適切な監督を行う必要がございます。また、提供先の事業者におきましても、提供を受けた後ですね、当該個人データについて必要かつ適切な安全管理措置を講じる必要がございます。例えば、外部事業者のサーバー上でデータを受け取り、そこで保存する、提供先の事業者が保存する場合でございますけれども、そういう場合には、提供先の事業者におきましても、データの性質や量に応じまして、当該外部事業者に対しまして必要かつ適切な監督を行う必要がございます。

はい、御指摘のとおりでございます。

お答えをさせていただきます。 　現在、国会において御審議いただいている個人情報保護法の改正案は、デジタル技術の進展や国際的動向を踏まえ、個人情報を含むデータの新たな利活用ニーズに対応するための規律の見直しを行うとともに、顕在化するリスクに対応するため、実体的ルールを整備することに加え、個人情報保護委員会の監督機能強化を図るものです。 　一方、現在の個人情報保護法においても、公益性を理由とする例外規定に該当する場合には、インテリジェンス機関は本人同意なく民間事業者から要配慮個人情報を取得することが可能でございまして、今般の個人情報保護法の改正法が当該取得に影響を与えるものではございません。

お答えをさせていただきます。 　現在の個人情報保護法の第二十七条の第一項第四号でございまして、国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力をする必要があって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときについては、あらかじめ本人の同意を得ないで個人データを提供することが可能という形になっております。

お答えさせていただきます。 　改正法の御質問だと認識しておりますけれども、改正法におきましては、ＡＩ開発を含む統計作成等のみを目的とする場合における事業者による第三者提供等について、委員御指摘のとおり、本人同意を不要とする特例を新たに創設するということとしております。 　行政機関でございますけれども、現行法におきましても、この六十九条の第二項の第四号でございますけれども、専ら統計の作成を目的とする場合には、本来の利用目的外での提供が可能であるというふうにされております。 　今回の改正においては、この本特例の創設と併せまして、統計作成であると整理できるＡＩ開発を含む専ら統計作成等を目的とする場合は、同様に、本来の利用目的以外での提供を可能とするという形になっております。

お答えをさせていただきます。 　個別具体的な事案につきましては回答を差し控えさせていただきます。 　一般論として申し上げますと、個人情報保護法において、個人情報取扱事業者が十分な判断能力を有していない子供の個人データの第三者提供などを行う際には、法定代理人などの同意を必要とすることなどを通じまして子供の個人情報の保護を図っているところでございます。 　具体的には、個人情報の保護に関する法律についてのガイドライン及びＱアンドＡに基づきまして、法定代理人等から同意を得る必要がある子供の具体的な年齢につきましては、対象となる個人情報の項目や事業の性質によって個別具体的に判断されるべきですけれども、一般的には十二歳から十五歳までの年齢以下の子供について法定代理人等から同意を得る必要があるとの解釈が示されておりまして、これに基づく運用が行われております。

お答えをさせていただきます。 　ＡＩ開発を行う事業者におきまして、開発するＡＩの精度を高める観点から、大量のデータを円滑に収集することへのニーズが特に高いものと認識しております。 　この点、ＡＩ開発は、大量のデータを用いて基本的に個人との対応関係が排斥された形でデータが加工されるという点におきまして、従来の個人情報保護法が規制する対象として想定していたデータの使い方とは大きく異なるものと認識しております。 　こうした差異も踏まえ、先日国会に提出された個人情報保護法の改正案においては、統計作成やＡＩ開発に用いるための個人情報を含むデータの収集を容易にするための特例を創設することとしております。 　本特例において、ＡＩ開発の促進と個人の権利利益の保護を両立する観点から、本特例の適用対象となる統計作成等を、「個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの