西村あさひ法律事務所・外国法共同事業パートナー弁護士

弁護士の石川智也と申します。 　この度は、意見を述べる貴重な機会をいただき、誠にありがとうございます。 　私は、国内外の企業等に対し、個人情報保護法やＥＵのＧＤＰＲを始めとする各国の個人情報保護法について助言しております。特に、ＥＵのデータ戦略が公表された二〇二〇年からは、ドイツに拠点を構えて約六年活動しております。また、この二年は大学院において、ＥＵのデータ法等を題材に日本のデータ利活用法制の在り方について研究しております。 　本日は、お手元にお配りしている一枚の紙の記載の三点について意見を申し述べます。 　まず最初に強調されるべき点は、ＩｏＴ製品等を通じて膨大なデータを収集し、その分析結果に基づいてサービス提供を行うデータ駆動型社会の下では、個人情報保護法が従前の形式主義、事前規制から実質主義、事後規制へと移行していく必要がある、今般の改正はそれを実現するものとなっているという

御質問ありがとうございます。 　同意に基づいて提供して、その後どうなっているのか分からないというよりも、やはり、適切なデータ保護がなされることを確認して、ガバナンス等の措置が講じられた上で監督等をするという、こういう枠組みの方が個人の権利利益の保護が確保されるという場合がデータ駆動型社会においては多くなっているということだと思います。この点は、規制の水準を緩めるという発想ではなく、データ駆動型社会の下で個人情報の保護の方法が変化したと、このように思っていただくというのがよいと思います。 　今回の特例措置は、今後の様々なガイドライン等を通じて適切なデータガバナンスの仕組みが確保される限りにおいて、法制度の進化する方向としては十分にバランスが取れていると。そして、現在、世界中で議論がされているという状況にありますので、確立された国際標準というものはありませんけれども、少なくとも、国際的に議

御質問ありがとうございます。 　まず、今回の制度との関係では、個人の権利利益を害するおそれがないことというのがもう要件として課されております。ですから、社会全体の便益があるから特例を認める、こういうことではなくて、個人の権利利益を害するおそれがないＡＩ開発等の統計特例については認められるという構造になっていますので、その意味では、何か社会全体の利益が優先されるといったような考え方ではないというふうに私は考えております。

御質問ありがとうございます。 　やはり、法理論的な整理が結構難しかったんじゃないかなというふうに私は思っています。消費者という概念と、個人情報保護の文脈でいう個人というのは必ずしもイコールではないんですね。消費者関係にない場合であっても個人が被害を受けるという場合がありまして、ここの整合性がなかなか難しい。 　これは欧州でも同じような問題がありまして、ＧＤＰＲの下で被害を受けた個人について、消費者保護団体が訴えの権利を持つのかということですね、これがまさに争われまして、最後、欧州司法裁判所がある意味法律を作るような形で、消費者保護団体がＧＤＰＲ上の権利を訴えていくことができるというような形で解決がなされている。こういうような、結構、すごく法理論的な議論のあるところなんですね。 　今回はその点がなかなか難しかったのかもしれませんが、次回の改正までにその辺りの論点も整理して、法理論的なと

御質問ありがとうございます。 　現在の課徴金制度の実効力というところについての御質問だというふうに理解をいたしました。 　まず、課徴金を課したときに利得を吐き出させるということができるということになっておりますけれども、この利得というのは、利益ではなくて、実際にデータを悪用したことによる売上げといいますか、それ自体なんですね。ですから、課徴金が課されると、利得の部分、利益の部分だけが取られるということではなく、売上げ全体が取られるということになりますので、事業者にとっては明らかにマイナスになるという意味で抑止力はあるというふうに考えております。 　ただ、範囲がどうしても狭いといったことであったりとか、欧州型の売上高を基準であったり、そういった重大性であったりとか、そういったことを総合考慮しての制裁金の立て付けにはなっていませんので、その点で少し諸外国と比べると見劣りがするということは

御質問ありがとうございます。 　ＧＤＰＲの下でもまさに今議論がなされているところで、ＡＩモデルというのが、そもそも個人データなのか、個人データではない状態に本当になるのかといったようなところから議論がございます。 　そして、日本とＧＤＰＲとの違いでいうと、いわゆるその統計の例外、先ほど黒田先生の資料に八十九条の話がありましたけれども、統計の枠組みを使って要配慮個人情報と言われるような特別カテゴリーのデータを使えるんじゃないかという議論もある一方で、いや、そうではないという議論もあり、まさに議論がなされているという、そういう文脈になります。 　その中で、日本としては、この統計特例という枠組みを使って、ある意味、個人の権利利益を害するおそれがないＡＩ開発モデルに限るということになるわけですね。ですので、そこが別に何かＧＤＰＲに照らして、何か全然日本のあれが違うということでは全くないと思い

御質問ありがとうございます。 　確かに、契約関係がある場合においては消費者となり得る場面というのはあるということだとは思うんですけれども、データの漏えいとかの文脈が特に議論されてきましたが、何も契約関係がない場合であったりとか、あと従業員のデータ等が大量に漏えいするケースとか、およそちょっと消費者の概念では捉えられない場面というものが多くあります。そうすると、被害者としての個人、これを代表する団体というのはそもそも誰なんだろうかと、それを消費者団体に負わせてよいのだろうかといったようなところについて議論が必要だなというふうに考えております。 　以上です。

現状はそうです。

御質問ありがとうございます。 　まず、欧州の方が細かくて日本の方がざっくりしているということについては、むしろ法制としては逆ではないかなというふうに思っています。それは、ＥＵのＧＤＰＲというのはプリンシプルベース、原則ベースで非常にシンプルな内容になっています。他方で、日本の法律は例外を全部個別に列挙するしかないので、そうすると、三十条の二に括弧が何個あるのかということを見てもらえれば分かるように、非常に複雑な法制になっているというところで少し違いがあるのかなというふうに思っています。 　課徴金の点に関しては、確かに金額として二千万ユーロ又は全世界売上高の前事業年度の四％、これが最高金額になっているということではあるんですが、お配りした資料にも少しグラフで載せてありますように、実際に科されている金額というのは数千ユーロ、数万ユーロ、数十万ユーロぐらいのものがほとんどであります。もちろん

御質問ありがとうございます。 　私も似たような回答になるかもしれませんけれども、やはり海外に出すことが適切ではない一定のデータというものは安全保障上あり得るんだと思うんですね。そういったデータについては、ある意味、認定の際に慎重に判断をする、場合によっては出さないといったようなことは議論されてしかるべきだと思いますし、そういったことができる現在のデジタル行政推進法には、改正法としてはなっているかなと思います。 　以上です。