第221回国会の発言まとめ

公明党の司隆史です。 　四名の参考人の皆さん、本当にありがとうございます。大変勉強させていただいております。 　今回、これまでも議論がありました三十条の二の五、統計作成の本人同意なしの第三者提供、要配慮個人情報という点でございます。私自身も、医療情報の研究をしてきた立場もありまして、利活用を進めていきたいという思いでございます。 　もうずっと議論になっております保護と利活用のこのバランスということに関して、昨日もかなり線を引きまくりまして皆さんの資料をいっぱい読んだんですけれども、かなり参考人の皆さんが俯瞰をして、どう利活用を進めるためにどうすればいいのかというのをあらゆる視点でお話をされているなということで、本当に勉強になっております。 　私自身、その中で感じているのは、本人確認を不要とする、その先にある利活用で、国民の皆さんお一人お一人がその恩恵を受ける、幸福の権利を受ける、そ

司先生、御質問ありがとうございます。 　私は、実は、今回のその統計等の例外から始めたというのは、かなり慎重なアプローチではないかと実は思ってございます。 　というのも、今回の個人情報保護法の改正の方向性というのは、石川参考人の方からも少しございましたし私もそのように理解していますけれども、リスクベースで適切な規制を掛けていく、同意というものを取ったとしても、結局、取った後きっちりしていなかったら一緒じゃないかということで、リスクをきちんと管理できる構図を具体化していくと、そういう意味でのリスクベースをやっていく、その最初の改正だと思うわけですね。 　そうすると、もうちょっとリスクが大きいもの入れてもいいんじゃないのという意見だってあってもおかしくないと思うんです。しかし、今回はやはりそこが発想の大転換を含んでいるというところがあるので、あえて、法律にも書かれていますように、個人の法益

利用をする、統計目的として利用をするという一環の流れでいくと、開発をする事業者の目線でいけば、もっとできてもいいんじゃないか、もっと踏み込んでもいいんじゃないか、僕、同じ意見なんですね。ただ、今回の要配慮個人情報が民間の事業者の方にも広がっていくというこのリスク、漏えいリスク含めたところの対策があれば、国民の皆さんにも堂々と説明を、効果の説明や安心の説明をできるんじゃないかなというのも思うところがありまして、ここのステップを丁寧にできたらいいかなというふうに私は感じているところです。ありがとうございます。 　続きまして、国際的な信頼というところで、石川参考人と黒田参考人にお伺いをしたいと思っております。 　ＧＤＰＲ、ヨーロッパの取組ということで、これも読ませていただきましたら、日本の文化とヨーロッパの文化の差があって、日本は、ヨーロッパにぱっとデータ出せばあとは大丈夫でしょうと。でも、

御質問ありがとうございます。 　ＧＤＰＲの下でもまさに今議論がなされているところで、ＡＩモデルというのが、そもそも個人データなのか、個人データではない状態に本当になるのかといったようなところから議論がございます。 　そして、日本とＧＤＰＲとの違いでいうと、いわゆるその統計の例外、先ほど黒田先生の資料に八十九条の話がありましたけれども、統計の枠組みを使って要配慮個人情報と言われるような特別カテゴリーのデータを使えるんじゃないかという議論もある一方で、いや、そうではないという議論もあり、まさに議論がなされているという、そういう文脈になります。 　その中で、日本としては、この統計特例という枠組みを使って、ある意味、個人の権利利益を害するおそれがないＡＩ開発モデルに限るということになるわけですね。ですので、そこが別に何かＧＤＰＲに照らして、何か全然日本のあれが違うということでは全くないと思い

では、お答えします。 　まず、法律に関しては石川先生ほど私は詳しくないので現場の肌感覚でしかないのですけれども、少なくともＧＤＰＲの中で、要配慮個人情報という、日本の個人情報保護法の要配慮個人情報という考え方自身がＧＤＰＲから元々きているものであると。つまり、特別扱いしなきゃいけないということはヨーロッパは既に認識をしたところからスタートをしているというのがまず重要なポイントだと思います。その上で、そのデータを受け取る主体をどうするかということで、データスペースを考えるときに、医療分野から行きましょうということでＥＨＤＳというパッケージができ上がっているわけです。 　論点がずれているなとすごく思うのは、データが、その安全性が確保されるタイミングをＡＩのモデルができ上がったときに置いているのか、ＡＩを作る人に渡すときに置いているのかというところで論点が大きくずれていると思って見ています。

ありがとうございます。 　黒田参考人、もう一問一答でお聞きしたいんですけれども、政府は、最小限の、ＧＤＰＲの読み方としては、最小限の形としては仮名化でも、つまり顕名でもいいんではないかというような答弁を毎回いただいておるわけですけれども、その辺の黒田参考人の捉え方としてはいかがでしょうか。

お答えします。 　資料の八の一をもう一度御覧ください。資料の八の一を御覧いただくと、アンダーラインが引いてある一番下の行ですが、それらの措置は、それらの目的がそのような様態で充足され得る限り仮名化を含むことができるです、日本語でも。その続きを読んでいただくと、データ主体の識別を許容しない又は許容することのない別の目的による取扱いによってそれらの目的が充足され得る場合、それらの目的は、その様態によって充足される、およそ人間が読めない日本語なんですけれども。 　基本的には、満たされるんであればその形でやりなさいと書いてある。これって、要は、統計だったら統計でもいいでしょうと書いてあるわけです。そのアッパーリミットが仮名化を含み得る、メイ・インクルードだというふうに私はこの文章を英語の方で読んでも理解しました。 　ですので、仮名化はたまたまパートとして入っていて、個人情報を含むんだという解

ありがとうございます。 　そういった面で、国際的な信頼がもし損なうようなことがあれば、まさに目的としている国際競争力のＡＩの取組というものが失うおそれがあるわけでございまして、やっぱり慎重に議論をする必要があると思います。 　最後に、改めて黒田参考人にお伺いしたいのは、前回の委員会の質疑の中で、例えば、スタートアップ、また大きな企業でも結構ですけれども、企業の皆さんが、今回の特例をもって、いよいよ政府も攻めに転じたなと、ＡＩ開発、日本で攻めていくぞということで、大きく参画をしていただくべきぐらいの攻めた法案であるというふうに、私はそれでこそあってしかるべきだと思うんですが、黒田参考人はとても使えないということをおっしゃったわけでございます。 　これまでの制度の扱いもそうですし、企業、その課徴金の対象になるのかどうか、またどういうところが責任が問われるのか、いろんなところが不明確で、こ

ありがとうございます。 　今回のその三十条の二において、三十条の二の柱書きに書かれているもの、つまりコネクテッドカーであったりスクレーピングであったりというふうなものを考えるものは、非常によく考えられた文章だろうというふうに思います。 　これは今まで想定されていなかったことですから、確かにこれができることで活用の範囲が広がるだろうと思われますが、三十条の二の五につきましては、先ほど御説明したように、少なくとも医療分野においては、これがなくても今ある仕組みで全部できる。逆に言うと、これができることによって、自分の責任でやらなきゃいけないプレーヤーが増えてしまう。今の仕組みでやるならば、認定事業者に、認定作成事業者に自分のＡＩ預けておけば、個人情報の管理であるとかという負担を一切負うことは必要ないわけです、もちろんお金は払わないといけないですけど。 　ですので、そう考えると、今の仕組みで

ありがとうございました。 　今、手元に、昨日、個人情報保護委員会に提出がされました一般社団法人日本医療情報学会、また一般社団法人日本医学連合の方から緊急の意見書というものが提出されたというふうに聞いております。今回の三十条二の五の統計についてですけれども、今、皆さんから今いただきましたように、ともかく、今までの内容とそごがあって、医療の方については仮名化、また認定をしかるべきではないかという内容になっておりますし、またスタートアップ含めた皆さんが不安の中で今回の特例を使えないんじゃないかと。 　そもそもこれでしかできないことは何なのかということを突き詰めれば突き詰めるほど、何のための法案かというところも感じるところでございます。引き続き議論を進めてまいりたいと思います。 　ありがとうございました。