伊波洋一

従来から、主要ＩＴベンダーによるベンダーロックインとすみ分けにより、自治体ごとに情報システムが林立するような状況が生じていました。今回の標準化、ガバクラ移行は、これを温存したまま政府がデータ仕様を標準化して、標準化データに対応する多数の標準化システムを容認した形になっています。 　基幹二十業務のシステムが新たにつくられ、二十業務以外の従来の業務システムや複数のクラウドとネットワークが併存したまま、現場が苦労してデータ連携を図って、何とか自治体全体の情報システムを回しているのが実態です。自治体にとって、効率化や負担軽減とは懸け離れています。 　今後も、税制改正や頻繁な毎年度の変更が起こる国が主導する基幹二十業務については、大手ベンダーにでも、業務ごとあるいは幾つかのまとまりのある業務について標準システムの開発、変更を取り組ませて、地域の中小デリバリー業者にはそれをローカルでの最適化や実装

現状では、貴重なデジタル・ＡＩ人材、イノベーションのリソースを浪費しているように思えてなりません。自治体システムがいっぱいつくられました。結果、それを毎年度更新しなきゃならないんですけど、それを整理していかないと大変なことになります。 　ですから、日本全体のデジタル・ＡＩ産業の視点で見直すべきであるということを訴えまして、質問を終わります。

ハイサイ、沖縄の風の伊波洋一です。 　現行の個人情報保護法の第二十条第二項第二号と第三号では、本人の同意を得ないで要配慮個人情報を取得できる例外として、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。」と、「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。」を規定しています。 　いずれも本人の同意を得ることが困難であることが要件ですが、今回の法改正ではそれ以外に、その他本人の同意を得ないことについて相当の理由があるときを追加しようとしています。これらはどのようなケースを想定しているのですか。

要配慮個人情報の規定が設けられた目的は、本人の意図しないところで差別的取扱いの原因になる情報が取得されることを防止することです。そのためには、本人の同意なしの収集、提供は極力限定すべきです。 　本人の同意を得ようと思えば得ることができるのに、あえて同意を得ないで取得する理由は何ですか。

このような例外を認めることで心配されるのは、例えば児童の健全な育成のために行政が必要と考えた処遇と本人や保護者の希望する処遇が異なった場合に、本人や保護者を説得する材料を得るために行政が本人に知られないように要配慮個人情報を収集するようなことが起きかねないことです。 　人の生命、身体、財産の保護や公衆衛生の向上、児童の健全な育成では、本人と第三者の立場によって考え方が異なることがあります。このような場合、行政などの第三者が相当な理由があると判断して本人の知らないうちに要配慮個人情報を取得すれば、本人にとっては意図しない取得によって差別的取扱いを受けるリスクが高まるのではないですか。

政府は、本人のプライバシー等の侵害を防止するために必要かつ適切な措置が講じられているので、本人の権利利益が不当に侵害されるおそれがないから、本人の同意は必要ないと説明しています。 　しかし、仮にプライバシー侵害防止の措置が講じられるとしても、本人同意を不要とすることは、憲法に保障された基本的人権である自己情報のコントロール権を侵害するものであり、個人情報保護の基本的な方向と相入れないものです。大臣としてどのように考えているのですか。

ただいまの答弁を聞いても、本人の個人情報の保護よりも、むしろ政府や、あるいは事業者、その他第三者の利益を優先するということを整備する法になっているという意向があるようでありますが、前回の質疑を振り返っても、政府は、要配慮個人情報の取得、提供に本人の同意を不要とする場合を統計特例と呼んでいますが、個人情報のＡＩ開発目的での取得、提供が意図的に隠されているように思えてなりません。 　多くの国民が懸念しているのは、個人を識別しない統計作成ではなく、むしろ、ＡＩ開発目的で氏名、住所とひも付けられた要配慮個人情報が取得されたり第三者提供され、そして、それによってプロファイリングがなされ、最終的に国民一人一人が差別的な取扱いを受けるのではないかという点です。統計によって個人が識別されない数字に加工されるだけであれば、恐らくこれほど多くの国民からの反対の声は上がっていないと思います。 　結局、氏名、

これまでの質疑のように、私はやはり今のこの個人情報保護法の改正は、信頼されていない仕組みが導入されようとしているということに一つの問題があると思います。 　本委員会でも何度も取り上げられたＥＵの一般データ保護規則、ＧＤＰＲでは、匿名化や仮名化などの技術的なプライバシー保護措置を施した上で、違反行為について、全世界売上高の最大四％又は二千万ユーロ、約三十七億円という非常に厳しい制裁を加える構造になっています。 　政府は、ＡＩ開発のために本人同意なしで要配慮個人情報の生の個人データを渡す代わりに、課徴金制度を導入して悪質な企業には制裁するから、国民は安心して個人情報を提供してくださいと言うのですが、この課徴金制度には多くの課題があります。 　課徴金の算定方法は、違反によって得られた財産上の利益に相当する額にすぎません。ＧＤＰＲの制裁金と比べて著しく小粒で、事業者に優しい制度設計です。抑止

課徴金制度の課題はこれだけではありません。 　対象行為も、違法な行為又は不当な差別取扱いを行うことが想定される第三者への提供など、悪質なごく一部のケースに限定されます。この対象行為に加えて、事業者が対象行為を防止するための相当の注意を怠ったか否かという事業者の主観的要素も要件とされます。また、個人の権利利益の侵害があること、さらに、本人の数が一千人を超える大規模事案に当たるという、全ての要件が満たされて初めて課徴金命令の対象となります。 　課徴金制度には、極めて狭く、かつ証明が困難な要件が課されており、およそ実効的な抑止策とは言えません。なぜ課徴金制度はこのような極めて限定され、証明が困難な要件にされてしまっているのですか。

ただいまの答弁は、本当に多くのそういう違反が起こるであろうから、とてもじゃないけどそんな細かいことはできないというような意味にも聞こえますが。 　個人情報保護委員会は約二百四十名の組織ですが、勧告、命令のために違反行為を探知、調査し摘発するのは委員会の一部署である監視・監督室と聞いています。 　また、個人の権利利益の侵害や一千人を超える大規模事案の調査をするだけでなく、事業者が第三者が違反行為を行うと想定していたかや、あるいは事業が相当の注意を怠ったかといった主観的要素などの要件を調査し、立証するだけの権限、例えば事業者への質問権などが必要です。それがなければ、客観証拠のみで主観的要素を立証しなければなりません。 　現時点での監視・監督室の人数はどれくらいですか。事業者への質問権など、実質的な調査権限はありますか。