第221回国会の発言まとめ

執行機関の執行能力を具体的な数字でお示しすることは、それ自体、執行権限のありようを外部にさらすということになりますので、お答えを差し控えたいというふうに思いますが、必要な体制を整備した上で、今回の改正案もこなせるようにしっかりと対応していきたいというふうに思ってございますし、量もさることながら、技術的な知見その他の能力も含めまして、万全の体制をしきたいと思います。 　また、質問権という言葉をお使いになりましたけれども、法律に基づく報告徴収その他、あるいは任意の質問も含めましてこれまでも実績を重ねてまいっておりますので、私自身といたしましては問題なく執行できるというふうに思っております。

個人情報保護委員会が違反行為を探知し調査し摘発することは、組織的にも権能的にも不十分です。現状では、課徴金制度では個人情報の漏えい、売買の抑止力としては絵に描いた餅であり、悪質的な事業者のやった者勝ちになってしまいます。 　法案では、違反行為による個人への権利侵害を予防し、事後救済を図るため、団体による差止め請求や被害回復制度などが盛り込まれていません。個人情報の取得、提供の緩和とセットで団体訴訟等が導入、整備されなければ、個人情報を侵害された個人に被害回復に伴うリスクの全てを負わせるという、非常に偏った制度になります。 　団体訴訟やクラスアクションなどを導入しないのはなぜですか。これらを認めるべきではありませんか。

お答え申し上げます。 　まず、法的な整理でございまして、個人の権利利益を保護するものである一方、私どもが当初念頭に置きました適格消費者団体が利益を擁護できるのは消費者でございますので、その相違についての整理が不十分だったというふうに自覚してございます。 　また、消費者団体などからは、個人情報の取扱いの態様などが適格消費者団体が一義的に対象としております消費者契約と異なりまして外部から非常に把握しづらいということもありまして、実務上の課題に対する御懸念の声もあったのは事実でございまして、そういったことから見送ることにしてございますが、消費者団体との連携を引き続き強化するとともに、一般の個人からの相談の受付をしっかり行い、また、監視、監督の行使、監督権限の行使も迅速に行うことによって的確に個人の権利利益の救済を図ってまいりたいというふうに思ってございます。

申合せの時間が参っておりますが。

法案では、氏名、住所とひも付けられた要配慮個人情報が、匿名化などのデータ加工されることなく、生のままデータとしてＡＩ開発事業者に取得、提供されます。このような法案は、ＡＩ開発の目的のために個人情報保護を大きく後退させるものになりかねません。 　撤回することを求めて、質問を終わります。

チームみらいの安野貴博でございます。 　今回の統計作成等特例では、非公開の病歴やゲノム情報といった最も慎重に扱われるべき要配慮個人情報がＡＩ開発事業者に提供できるようになります。これは、データの利活用が進み、日本の成長に資する可能性がある一方で、制度としては極めて重い変更でございます。 　データの利活用は、データの先にいる個人の信頼の上にしか成り立ちません。そして、信頼は個人情報が本当に守られているかどうかという事実の積み重ねからしか生まれません。守りが甘いまま利活用だけを急げば、一たびの重大な漏えいや再識別事故で信頼が失われ、結局は利活用そのものが止まってしまうおそれもございます。 　そのため、チームみらいとして、個人情報保護の実効性が確保されるよう、政府に責任ある制度運用と実務対応を求めてまいりたいと思います。本日は、その具体的な方針についてこの場でしっかりと確認をしてまいります

お答え申し上げます。 　統計作成等の特例におきましては、条文上、提供先がＡＩ開発等の統計作成等目的で取り扱う必要がある場合ということに限定していることを要件としてございます。また、本法案におきましては、統計作成等につきまして、委員会規則において、安全管理のために必要かつ適切な措置を講じた上で行われるものに限定することを想定してございます。 　そのため、適法にデータ提供を実施する観点からは、提供する時点において、提供先がどのような安全管理措置を講じた上でどのようなＡＩモデルを開発するのか、そのためにどのような個人情報が必要となるのかなどについて提供先が十分提供元に説明するとともに、提供元においては、これを適切な方法で確認した上で、適切な体制を有する提供先に対して必要な個人情報のみを提供できるということが重要でございます。例えば医療情報につきましても、創薬研究等の場面においても原則として氏

御答弁いただき、ありがとうございます。 　前回の委員会から申し上げておりますが、ガイドラインを読めば事業者が何をすればよいか分かる状態になっているということが実質的な個人情報の保護につながると考えておりますので、是非、提供元と提供先の双方が保護に責任を持つ環境を整備いただくようお願いしたいと思います。 　続いて、ＡＩモデルに対する外部攻撃への備えについて伺います。 　統計作成等特例はＡＩ開発を対象に含んでおります。しかし、ＡＩモデルをめぐっては、急速な進化に伴い、新たな攻撃手法が次々と生まれております。例えば、前回の委員会で指摘させていただいたメンバーシップ推論もありますし、ＡＩの出力から逆算して学習データの中身を復元するモデル反転攻撃というものも最近は出てきております。 　このように、個人データをＡＩの学習に使うことには、この技術に特有の固有のリスクが伴います。だからこそ、最新の

委員会規則において、復元等のリスクに応じて技術的な見地から合理的、効果的な復元防止措置を確実に実装することが重要でございます。それがある意味、この特例の肝でもあるかと思いますので、今お話のあった想定されるＡＩモデルに対する攻撃手法等を踏まえたリスク、それに対して講じるべき措置等の内容や技術的な手法についてはガイドライン等でしっかりと例示をしてまいりたいと思います。 　また、特にこの技術動向の変化が非常に速いので、適時適切に必要に応じた見直しをしてまいりたいというふうに思って、確実に情報発信を進めるということはお約束します。

心強い御答弁、ありがとうございます。 　守りの技術を国が率先して示すということは安全性の向上につながると思いますので、是非継続的なモニタリングと情報発信をお願いいたします。 　次に、個人情報保護法で新たに設けられる第百八十条の罰則規定について、個人情報保護委員会にお伺いします。 　この規定は、個人情報を取得した時点での罰則を名宛て人を定めずに新たに設けるものです。条文を読む限り、対象となる取得行為がかなり広く解釈できるようにも見えます。 　そこで、まずは確認をさせてください。この罰則で政府として想定している主な対象事例とは具体的にどのようなものでしょうか。