西村あさひ法律事務所・外国法共同事業パートナー弁護士

御質問ありがとうございます。 　私は、規制について、実体的な規制、ルールですね、今回でいうと、統計特例のまさにそのルールの話と制裁の話がある中で、制裁金、課徴金というものが萎縮効果をもたらすというふうには余り考えていません。他方で、実体規制は、規制がなされているとそもそもできなくなりますので、その意味では、事業者ができる業務の範囲を制限してしまうといった意味で具体的な影響があると思います。 　ただ他方で、規制って結構面白くて、規制を課せば課すほどイノベーションが促進するというような側面もあります。例えば、ＧＤＰＲとの関係でいうと、クッキーについては同意をしないといけないということで、同意のプラットフォームといいますか、同意管理のツールというものがどんどん進化しました。それは規制が厳しくなるにつれてどんどん進化していったということで、規制がイノベーションを生み出すという側面はあるんだと思

御質問ありがとうございます。 　幾つかＧＤＰＲに関する御質問をいただいたかと思いますので、回答させていただきます。 　まず、ＧＤＰＲの下で要件が細かいかということに関しては、むしろ私はそうではないと思っていまして、ＧＤＰＲはプリンシプルベース、原則ベースで大きなところを書いております。例えば、技術的な安全管理措置をどうあるべきか、ＡＩの保護措置をどうするべきかということについては、法律の中身にはほとんど何も書いていなくて、前文と呼ばれるところに例示が幾つかあるといったようなことであったり、さらに、その後のガイドライン等でより詳細に書かれるといったような形になっていますので、要件が細かいということではないのかなと思います。 　ガイドラインが五百を超えて存在するというのは、ちょっと数を数えたことはないんですが、段ボールが確かに三箱ぐらい私のデスクの後ろにありますので、それなりにあるんだと

適用されています。 　もちろん、欧州に展開している日系企業は当然適用されますし、日本企業も域外適用という形で、ヨーロッパに向けて商品サービスを提供する、あるいはヨーロッパ域内にいる個人のモニタリングを含む行為を伴うとＧＤＰＲの域外適用があるという形になっています。

御質問ありがとうございます。 　まさに、おっしゃったような点が問題になり得ます。日本では規制が厳しくない、ＧＤＰＲでは規制が厳しいということになりますと、日本と同じプラクティスで欧州に行く、欧州向けのビジネスをやるということになると規制に引っかかるということが起こり得ます。 　ただ、日本の個人情報保護法は、これまでの二回の改正を通じて欧州の水準にまで、全く同じ法律ではありませんので比較はなかなか難しいんですけれども、少なくとも欧州委員会からかなり厳しい審査を受けて十分性認定というものを、勝ち取ったというのがあれなのかはちょっと表現はありますけれども、十分性認定を獲得していますし、その後のレビューによってもそれが維持されているという現状に照らすと、ヨーロッパの水準と比較して日本の個人情報保護法のレベルが低いといったようなことは私はないのかなと思っております。

理論的には起こり得るというふうに思いますけれども、何かＡＩをモデル開発することがＥＵで禁じられているということではないんですね。これはそういうことではありませんので、何か統計特例によって作ったモデルを作ることがＥＵの規制に直ちに違反するといったようなことは当たらないのかなというふうに私は思います。

非常に重要な問題提起だというふうに思います。 　まず、大前提、これは絶対に私としては間違ってはいけないと思っていることは、今回のＡＩ特例は、個人の権利利益を侵害しても、それでもＡＩ開発をしてもよいというものにはなっていません。個人の権利利益を害するおそれがない開発に限られるということなので、まず、てんびんの議論ではないというのが大前提です。ここがそもそもずれてしまうと、てんびんなんだ、だから駄目だということになるとちょっと議論がずれてしまうので、そこはまず大前提かなというふうに思います。 　その上で、じゃ、本当にその個人の権利利益を害するおそれがないということがどのように担保されるんだということでいいますと、私、先ほど黒田先生がおっしゃった、安全管理措置とミニマイゼーションが担保されるんだったらあり得るんじゃないかというコメントがあったと思いますけれど、安全管理措置についてはハードロー

御質問ありがとうございます。 　まず、この必要最小限度の原則、欧州ではどう考えられているかというと、目的との関係で判断するということになっております。ですから、生データ、氏名、住所が、そもそも突合することもない、必要ないという場合に、それをそのまま出してしまうと、それは必要最小限度の原則の違反ということになります。もしそれが突合に必要なんだということになれば、それは提供することもできるということになりますけれど、じゃ、今度、それをＡＩの開発モデルに入れるときに、別に氏名と住所はモデルの教育のために必要ありませんよねということになると、それを入れるのは必要最小限度のルールの違反ということになりますので、目的との関係で議論する必要があるということになります。 　この目的との関係で議論するというのは、セクター別にやっぱり事情がかなり異なるんですよね。ですから、もう常に仮名化されたもので回るよ

御質問ありがとうございます。 　基本的には、セクター別の事情はセクター別でやるべきだなと思っておりますし、現在のガイドラインの作り方としては、結構そのセクター別のガイドラインで厳しい、上乗せの内容を定めていることが多くなっています。 　例えば、外国にデータクラウドを使うことはできますけれども、機微な情報については外国のクラウドを使うべきではないであったり、より慎重に判断せよといったようなことでなっているガイドラインみたいなものもございますし、そういった意味では、一般法の部分については、何というんですかね、厳しく縛る、縛り過ぎないというんですかね、というような形がベストかなというふうには思っています。 　ただ、必要最小限度の原則が完全に無視されていいということではないと思うんですけれども、ただ、日本の個人情報保護法のそもそもの枠組みとして、必要最小限度の原則というのは明確にはないんです

私、これ是非答えたかったので、質問していただいて本当にうれしいんですけれども、あると思っています。全部これで対応できるということではないです。 　一つ目が、これはまず突合の話です。仮名加工情報というのは、その仮名加工情報が誰のものなのかということについては追求してはいけないということになっております。ですから、ある仮名加工情報、全然違う人の仮名加工情報と全然違う人の仮名加工情報を、ＡとＢを足してＡとＢとしてこちらで分析をする、これは別にこれでできるんですけれども、Ａという人とＡという人がそれぞれ違うところでデータが存在して、それをそれぞれ仮名加工して持ってきたときに、それを突合するみたいなことが本当にできるのかといったところについては疑問がございます。 　あともう一つは、このデータの持ち方によって、そもそも仮名加工をしたときにうまく、何というんですかね、整理できるデータの持ち方とそうで