第221回国会の発言まとめ

沖縄の風の伊波洋一です。 　今回の参考人の皆さん、本当にありがとうございます。 　私、個人情報保護に関する法律等の改正案について主に質疑をしていきたいと思います。 　私は、今回の個人情報保護法案というのは、保護をする法律じゃなくて保護を緩める法律のような改正案であろうと思いまして、一昨日の質疑でも、要するに統計等という名の下で、要配慮情報も含む個人情報を売り買いできるという仕組みで、この売り買いは民間の当事者の話であって、政府は関与しないというような趣旨で説明を受けておりますので、いわゆる、これが示すものは、本来ならば個人情報保護されなきゃいけないそういうデータの問題について、売り買いができる世界がそこに生まれるということなんですよね。その目的がいつできるかというのは、もうこれはその買う人の予定であって、必ずしもこのチェックする仕組みもどこにもないかのような、そういう仕組みなので、私

御質問ありがとうございます。 　幾つかＧＤＰＲに関する御質問をいただいたかと思いますので、回答させていただきます。 　まず、ＧＤＰＲの下で要件が細かいかということに関しては、むしろ私はそうではないと思っていまして、ＧＤＰＲはプリンシプルベース、原則ベースで大きなところを書いております。例えば、技術的な安全管理措置をどうあるべきか、ＡＩの保護措置をどうするべきかということについては、法律の中身にはほとんど何も書いていなくて、前文と呼ばれるところに例示が幾つかあるといったようなことであったり、さらに、その後のガイドライン等でより詳細に書かれるといったような形になっていますので、要件が細かいということではないのかなと思います。 　ガイドラインが五百を超えて存在するというのは、ちょっと数を数えたことはないんですが、段ボールが確かに三箱ぐらい私のデスクの後ろにありますので、それなりにあるんだと

ヨーロッパのこの規制、いわゆるそのＧＤＰＲというのは、当然、日本企業にも適用されているわけですね。

適用されています。 　もちろん、欧州に展開している日系企業は当然適用されますし、日本企業も域外適用という形で、ヨーロッパに向けて商品サービスを提供する、あるいはヨーロッパ域内にいる個人のモニタリングを含む行為を伴うとＧＤＰＲの域外適用があるという形になっています。

そうすると、我が国が今つくろうとしている概念あるいはその既成概念のレベルの問題が、もしヨーロッパのＧＤＰＲに即さない、そこまでいかないものになってしまって、それが当たり前の慣行になってしまうとしたら、ここでこの企業を展開している我が国の企業が、ヨーロッパとか世界で、例えばアメリカとかで何らかの商活動をしたりするときに支障になるということはあり得ませんか。

御質問ありがとうございます。 　まさに、おっしゃったような点が問題になり得ます。日本では規制が厳しくない、ＧＤＰＲでは規制が厳しいということになりますと、日本と同じプラクティスで欧州に行く、欧州向けのビジネスをやるということになると規制に引っかかるということが起こり得ます。 　ただ、日本の個人情報保護法は、これまでの二回の改正を通じて欧州の水準にまで、全く同じ法律ではありませんので比較はなかなか難しいんですけれども、少なくとも欧州委員会からかなり厳しい審査を受けて十分性認定というものを、勝ち取ったというのがあれなのかはちょっと表現はありますけれども、十分性認定を獲得していますし、その後のレビューによってもそれが維持されているという現状に照らすと、ヨーロッパの水準と比較して日本の個人情報保護法のレベルが低いといったようなことは私はないのかなと思っております。

今日の議論でもありましたけれども、石川参考人もお話をしておりましたが、そういう統計という手法を通して本人同意を取らない仕組みをつくっていく、つまり、そういう道を広げていくということを今、日本がやろうとしていることに対して、それは一つの方向だと。 　でも、それが、いわゆるＥＵとかあるいはアメリカとか、その世界に、そこはもう法律はできていますので、すぐ直せば施行される。そうすると、そういう世界が日本で始まっていく。そうすると、その日本に始まっているビジネスがそういうところではまだ認められていないという状況が結局起こってしまうという可能性はありませんか。

理論的には起こり得るというふうに思いますけれども、何かＡＩをモデル開発することがＥＵで禁じられているということではないんですね。これはそういうことではありませんので、何か統計特例によって作ったモデルを作ることがＥＵの規制に直ちに違反するといったようなことは当たらないのかなというふうに私は思います。

一般の全国民、市民、国民の個人情報保護というのとＡＩ開発が何かてんびんに掛けられているような委員会になってしまっておりまして、今議論はですね。でも、それは掛けていいものかどうかと。そもそも個人情報保護を万全にしたままＡＩ開発をしていくという手法、これは当然、先ほどの黒田参考人からもあったように、そういう道は当然あり得る。今ＥＵはそれをやっているというふうに理解しているんですけれども、そういう道はあると思いませんか。

非常に重要な問題提起だというふうに思います。 　まず、大前提、これは絶対に私としては間違ってはいけないと思っていることは、今回のＡＩ特例は、個人の権利利益を侵害しても、それでもＡＩ開発をしてもよいというものにはなっていません。個人の権利利益を害するおそれがない開発に限られるということなので、まず、てんびんの議論ではないというのが大前提です。ここがそもそもずれてしまうと、てんびんなんだ、だから駄目だということになるとちょっと議論がずれてしまうので、そこはまず大前提かなというふうに思います。 　その上で、じゃ、本当にその個人の権利利益を害するおそれがないということがどのように担保されるんだということでいいますと、私、先ほど黒田先生がおっしゃった、安全管理措置とミニマイゼーションが担保されるんだったらあり得るんじゃないかというコメントがあったと思いますけれど、安全管理措置についてはハードロー