タグ：データによる人の選別

2024年04月08日

戸田市の教育データを利用したAI「不登校予測モデル」構築実証事業を考えた－データによる個人の選別

目次
１．戸田市の教育データを利用したAI「不登校予測モデル」構築実証事業
２．「「関連性」のないデータによる個人の選別・差別」の禁止
３．まとめ
４．補足：個人情報保護法の３年ごと見直し・自民党の「責任あるAI推進基本法（仮）」

１．戸田市の教育データを利用したAI「不登校予測モデル」構築実証事業

2024年4月４日付の日経クロステックの記事「不登校になりそうな児童生徒をAIが予測、戸田市の教育データ活用実証が示したこと」が、Twitter（現X）上で話題を呼んでいます。この実証実験は、「2023年12月から同市内の公立小学校12校、同中学校6校の計約1万2000人の児童生徒のデータを分析対象に、「不登校予測モデル」構築の実証をした。事業はこども家庭庁の「こどもデータ連携実証事業」として戸田市が受託し、内田洋行、PKSHA Technologyグループとともに進めたもの」であるそうです。

（内田洋行サイトより）

不登校予測モデルは、教育総合データベースのデータを利用してAIが機械学習し、予測モデルを構築してゆくそうです。モデルの構築に利用した特徴量は、出欠席情報、保健室の利用状況、いじめに関する記録、教育相談、健康診断データ、学校生活アンケート、戸田市が独自に実施している「授業がわかる調査」、県学力調査の学力データ、県学力調査の質問紙調査、RST受検結果、「心のアンケート」など多岐にわたるそうです。（なお本事業は保護者の同意を取得しているそうですが、学校や自治体と保護者の力関係を考えると、このような本人同意が有効な同意といえるのか疑問が残ります。）

ところで、この戸田市の事例で注目されるのは、本記事によると、予測モデルの構築に際して重要なのは「特徴量」であるところ、出欠情報、教育相談が上位にくるだけでなく、「健康診断の体重や歯科検診」、「健康診断の肥満」も特徴量重要度の上位にあがっていることだと思われます。

一見、生徒の不登校の予測とはあまり関係ないように思われる、体重、肥満、歯科検診、数学の点数などにより不登校を予測することは妥当なのでしょうか。

２．「「関連性」のないデータによる個人の選別・差別」の禁止

この点、最近、情報法制研究所副理事長の高木浩光先生は、個人情報保護法（個人データ保護法）の趣旨・目的は「関連性のないデータによる個人の選別・差別」を防止することであるとの学説をとなえておられます。高木先生はカフェJILISの鼎談記事「ニッポンの教育ログを考える（後編）」（2022年1月20日）でつぎのように述べています。

OECDガイドラインの2つ目の原則である「データ内容の原則」（Data Quality Principle）は、personal dataはその利用目的に対して「relevant」でなければならないと言っている。「Personal data should be relevant to the purposes for which they are to be used」ってなっているのです。（略）

今回の件について言いたいのは、この「Personal data should be relevant to the purposes for ……」という基本原則の意味は、データ分析をして本人を評価するに際しては、目的に関連しているデータしか使っちゃダメって言ってるんですね。「関係ないデータを使うな」って言ってるんですよ。

で、その「関係ない」っていうのはどういうことなのか。いくら言葉だけ見てても意味わからないわけですけど、立案にかかわった人の論文を見ると、具体的に説明されていて、例えば、政府が所得税額を計算するのにコンピューターを使う際に、収入額とかを基に個人データ処理するのは「目的に関連している」データを用いた評価なんだけども、そこに日頃の生活の素行みたいなデータを入れて税額を計算したら、それはおかしいだろうってことになる。そのような場合のことを「関係ないデータを使っている」と言ってるわけです。
（カフェJILIS「ニッポンの教育ログを考える（後編）」の高木浩光先生発言より。）

この高木先生の見解によると、生徒の不登校を予測するAIを機械学習させるためのデータとして、「出欠情報、教育相談、いじめの有無、心理検査、心理アンケート」などは「関連性がある」といえると思われますが、「体重、肥満、歯科検診結果、数学の点数」などは「関連性がない」ものとして、このような項目により機械学習させたAIの予測モデルは「関連性のないデータによる個人の選別・差別」に該当し、つまりOECD８原則の第二原則の「データ内容の原則」に抵触しているのではないでしょうか。

また、同じくカフェJILIS「ニッポンの教育ログを考える（後編）」では、弁護士の板倉陽一郎先生も、つぎのようにEUのAI規制法（2024年3月13日に欧州議会が最終案を可決）の観点から日本の教育データの利活用を批判されています。

最新の公的な文書としてはEUのAI規則案ですよ。EUのAI規則案で、4つの種類のAIだけは絶対禁止ってしてるんです（shall be prohibited，5条1項(a)-(d)）。（略）

4つの種類だけは絶対やめようっていう中に、（公的機関が）「最初に収集されたコンテキストとは関係ない社会的コンテキストで、特定の人とかグループに有害な取り扱いをする」scoringという類型があります（5条1項(c)）。コンテキストと関係がないっていうのが、今のrelevancyの現在地ですよ。そういうscoringはやめようっていうのが、そのAI規則案が4つだけ禁止している、絶対ダメなものひとつなんです。教育ログは、そこにちょっとね、一歩入りかけとるわけですよ。気をつけないといけない。

欧州が絶対ダメって言ってるんですからね。それをね、ニコニコして入れたらね。お前らバカなのかってなるじゃないですか。だから欧州に従えという話ではないですが，絶対禁止になっている4つのところぐらいは見ながらやっぱやらないとまずいですよね。だって他に禁止されてるのって、サブリミナルで自殺に追い込むAIとかそんなやつですよ？（5条1項(a)）。それと同等程度にダメだっていうふうに言ってるわけです。
（カフェJILIS「ニッポンの教育ログを考える（後編）」の板倉陽一郎先生発言より。）

（総務省「EUのAI規制法案の概要」11頁より、禁止カテゴリのAIの４類型）

すなわち、EUのAI規制法が禁止カテゴリとしている４つのAIの一つは「最初に収集されたコンテキストとは関係ない社会的コンテキストで、特定の人とかグループに有害な取り扱いをするスコアリング」であり、デジタル庁やこども家庭庁が推進しているAIによる教育データの利活用はそれに該当すると板倉先生は指摘しています。

また、上で高木先生が述べている「関連性のない」とは、EUのAI規制法では「最初に収集されたコンテキストとは関係ない社会的コンテキストで、特定の人とかグループに有害な取り扱いをする」ことであると板倉先生は指摘されています。

この点を戸田市の実証実験で考えると、学校における健康診断、歯科検診、学力テストにおける数学の試験などは、生徒の健康状態を測る目的や教科の学習度合いを測る目的に収集されたデータであり、それらのデータを生徒の不登校の予測の目的で利用することは「最初に収集されたコンテキストとは関係ない社会的コンテキスト」＝「関連性がない」と評価され、AI規制法5条1項(c)に抵触している可能性があるのではないでしょうか。（仮にもし日本にもEUのAI規制法が適用されるとするならば。）

３．まとめ

したがって、高木先生や板倉先生の考え方によれば、戸田市の生徒の不登校予測のためのAIモデルの実証実験や、デジタル庁やこども家庭庁等が推進している教育データの利活用政策は、OECD8原則の「データ内容の原則」およびEUのAI規制法5条1項(c)に抵触のおそれがあるのではないでしょか。このような施策をデジタル庁・こども家庭庁などの政府や戸田市などの自治体が推進していることは法的に大きな問題なのではないでしょうか。

４．補足：個人情報保護法の３年ごと見直し・自民党の「責任あるAI推進基本法（仮）」

なお、2023年11月より個人情報保護委員会（PPC）は、個人情報保護法のいわゆる「３年ごと見直し」のための検討を行っています。PPCの資料を読んでみると、AIやプロファイリング、子どもの個人情報保護などが議論の俎上にあがっています。また現行の不適正利用禁止規定（法19条）も条文の具体化が行われるのではないかと思われます。すると現在こども家庭庁などが推進している教育データの利活用政策などは見直しを余儀なくされる可能性もあるのではないでしょうか。（個人の予想ですが。）

（個人情報保護委員会サイトより）

また、2024年２月に自民党は「責任あるAI推進基本法（仮）」を公表しています。しかし同法案は、大手のAI開発事業者を国が指定し、当該事業者に７つの体制整備義務を課し、あとはAI開発事業者の自主ルールにゆだねる内容で、EUのAI規制法の禁止カテゴリ・ハイリスクカテゴリなどのような規定は存在せず、全体としてAIの研究開発の発展を強く推進する内容となっているようであり、日本社会のAIのリスクの防止に不安が残る内容となっています。

AIの研究開発の発展も重要ですが、国民個人の権利利益の保護、個人の基本的人権や個人の人格権の保護も重要なのではないでしょうか（個情法１条、３条）。

（自民党サイトより）

■このブログ記事が面白かったらシェアやブックマークをお願いします！

■参考文献
・「不登校になりそうな児童生徒をAIが予測、戸田市の教育データ活用実証が示したこと」2024年4月４日付日経クロステック
・教育総合データベース（デジタル庁実証事業）の検討状況｜戸田市
・内田洋行とPKSHAグループ、こども家庭庁の実証事業として埼玉県戸田市のこどもの不登校をAIで予測する取組みに参画｜内田洋行
・ニッポンの教育ログを考える——プライバシーフリーク・カフェ＃16（後編）｜カフェJILIS
・EUのAI規制法案の概要｜総務省

■関連するブログ記事
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた－AI・教育の平等・データによる人の選別
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか？
・PPCの「個人情報保護法いわゆる３年ごと見直し規定に基づく検討」(2023年11月)を読んでみた
・個情委の「個人情報保護法いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方①）」を読んでみた

タグ：: #AI; #戸田市; #不登校; #教育データ; #データによる人の選別; #個人情報; #高木浩光; #板倉陽一郎; #内田洋行; #責任あるAI推進基本法

2021年07月05日

ドイツ・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権について

１．はじめに
情報セキュリティや情報法などの専門家で海外の動向に詳しい高梨陣平氏（@jingbay）が、6月8日にTwitter上でつぎのように投稿しておられるのを見かけました。

『ドイツで警察が任意の端末にマルウェアを入れることが許可され、ISPやテック業界はそれを手助けを強制される法案が準備中。ドイツはこれでバックドアが不必要になると考えている。これに対し著名なハッカーグループ、Chaos Computer Clubやプライバシについて評判の悪いGoogle、Facebookまで反対とw』

https://twitter.com/jingbay/status/1402037879191265282
・Google, Facebook, Chaos Computer Club join forces to oppose German state spyware｜TheRegister

つまり、ドイツでは、警察などが国民のPCなどの端末をマルウェアで監視するするために通信事業者やIT企業などに協力を法的に強制する法案が準備中であり、著名なハッカーグループや、Google、Facebookなどもこの法案に反対しているとのことです。

ドイツでは、アメリカの2001年の同時多発テロを受けて、ある州が法改正を行い、州当局がマルウェアなどによる国民のPC等のオンラインによる監視を可能にする法改正を行ったところ、2008年に連邦憲法裁判所が、いわゆる「コンピュータ基本権」という新しい基本権（人権）を示してこの法改正を違憲とした判決があったはずだと思い、資料を読み直してみました。

このブログ記事では、①ドイツの「コンピュータ基本権」のオンライン監視事件とともに、②最近一部で議論となっている、個人データ保護法制の立法目的に関連して、日米の自己情報コントロール権と欧州の情報自己決定権との同じ点・違う点などについてみてみたいと思います。

２．オンライン監視事件－コンピュータ基本権（2008年２月27日連邦裁判所第一法定判決連邦憲法裁判所判例集120巻274頁以下 BVerfGE 120.274.Urteil v.27.2.2008）
（１）事案の概要
ドイツでは「自由で民主的な基本秩序または連邦もしくは州（ラント）の存立もしくは安全の保障」を守るために、1950年に連邦憲法擁護法が制定され、連邦憲法擁護庁、16の州（ラント）の憲法擁護庁、軍事諜報局（MAD）、連邦情報庁（BND）などの憲法擁護機関（憲法保障機関）が分担して諜報活動などの業務を行っている（武市周作「憲法保障機関の正統性―連邦憲法擁護庁を中心に」『東洋法学』61巻３号49頁）。（いわゆる「闘う民主主義」。）

2001年9月11日のアメリカの同時多発テロを受け、世界的にテロ対策への取組が強化されるなか、ドイツのノルトライン・ヴェストファーレン州（NRW州）では、2006年12月に州の憲法擁護法が改正された。このNRW州憲法擁護法改正は、「警察トロイの木馬」、「Govware」と呼ばれる州当局のマルウェア（スパイウェア）をインターネット経由で州の住民の家庭や事務所などのPC・コンピュータなどに送り込み、PCの記憶領域に蓄積された情報・データを監視することができる「オンラインによる監視」を可能とするものであった（NRW州憲法擁護法5条2項11号）。

ドイツ・ノルトライン・ヴェストファーレン州憲法擁護法
第５条（権限）
第２項　憲法擁護庁は、情報収集活動を行うための７条の役割に応じて、情報収集活動として以下の措置を実行することができる。
　第11号　インターネットへの秘密裡になされる観察及び、とくにコミュニケーション装置への隠密な関わり、またはこうした装置への捜索のようなインターネットへの偵察並びに技術的手段を用いた情報技術システムへの秘密裡になされる侵入。信書、郵便そして電信電話の秘密への関与が、この措置によってなされる場合、この措置は基本法10条が定める法律の諸条件の下でのみ認められる。

このNRW州憲法擁護法改正に対して、NRW州のジャーナリストや弁護士、政治家などが、NRW州憲法擁護法は自分達の基本権10条（通信の秘密）、13条（住居の不可侵）などの基本的人権を侵害するものであるとしてドイツ連邦憲法裁判所に本件訴訟を提起した。

これに対してドイツ連邦憲法裁判所は2008年2月27日に、NRW州憲法擁護法５条２項は、ドイツ基本法に違反しているとの違憲判決を出した。（BVerfGE 120.274.Urteil v.27.2.2008）

（２）判旨

（a）「情報技術システムに秘密裡に関与することを定めた、憲法擁護法５条２項11号の第１文の後半部分は、機密性を保障し情報技術システムの不可侵性を保障する権利という、特別な表現をもって表される一般的人格権に違反する。これを新しい基本権であるとするのは、それが基本法10条（通信の秘密）、13条（住居の不可侵）、さらに情報自己決定権のそれぞれに関連するが、その内容から直接導かれるものではないからである。

コンピュータには、システムに組み込まれたデータ保存機能があり、そのメモリに保存されたデータにまで10条の保障は及ぶものではない。インターネット通信によって、本人が意図しないデータが無意識の内に自己のデータとして蓄積された場合、その内容まで10条では保障しきれないからである。

基本権13条（住居の不可侵）１項は住居の不可侵を規定するが、この不可侵性も、同条２項から７項までの理由があれば国家機関の侵入は認められている。しかし基本法13条1項は、システムへの侵入によって、住居にある情報技術システムのハードディスクないしメモリに蓄積されたデータの取得からの防御を保護しているわけではない。

さらに、一般的人格権から導かれる私的領域の保障や情報自己決定権は、情報技術システムの利用者の特別に十分な保護を意味することにはならない。なぜならば、情報技術システムの利用者が求める保障内容は、その利用者の私的領域にあるデータだけに留まるものではないからである。

そこで、基本法１条１項と関連する２条１項に基づく新たな基本権が、私的な領域を国家による情報技術システムへのアクセスから守るために求められる。それが、「情報技術システムにおける不可侵性と機密性を保障する基本権」である。この基本権を保護することを明確に規定する規範があってはじめて、憲法擁護機関は情報システムに関わりうることになるので、その定め方を以下検証しなければならない。

（b）当該規定（憲法擁護法５条２項）は、規範の明確性の命題を満たしていない。なにより、同条が基本権10条と関係する法律への指示を十分に行っていないからである。

さらに、当該規定は広義の意味での比例原則を満たしていない。比例原則が求められるのは、必要性の命題を満たすときであるが、基本権への侵害が正当化された目的にあり、さらにこうした目的に見合った手段としてなされ、適合的なものであること（が求められる）。

ところが、改正法の内容は明確でもなく、テロ対策に組織的に対応することが限定化されたわけでもない。

当該規定がさらに狭義の比例原則に一致しないのは、高い程度に及ぶ基本権侵害を引き起こすからであり、それは、複雑な情報技術システムを用いての国家による調査が、該当者の人格をえぐり出すことになるからである。さらに、第三者への通信をも監視することによって、一般市民の自由にも影響がでてくる。

もしも情報技術システムへの秘密裡での関与が許されるとすれば、以下の条件があった場合ということになる。つまり、ある事実がとくに高い重要性を有する法に対して個別に引き起こされる危険を示唆する場合であり、たとえその危険がすでに近い将来に訪れるという十分な蓋然性をもって確定できない場合であってもそうである。さらに、こうした関与の権限を認めることになる法律は、該当者に対して適切な手続規定をもって、その基本法保護を確保しなければならない。ここに示されたとくに重要な法益とは、まず、人の身体・生命・自由であり、さらに、国家の基礎や構造ないし人間の存在の基礎にかかわる公共の財産である。また、具体的な危険を表す３つの指標とは、個別性、危険が被害を引き起こす逼迫性、そして起因者としての個人的関連性である。

立法者は、適切な措置によって、私的な生活の中心に位置するデータに関わるような場合は、侵害が最小に抑えられ、該当者の人格への関わりが最小限に抑えられるようにしなければならない。

（ｃ）以上の観点から判断すると、憲法擁護法５条２項11号に示された手段は、情報技術システムが有する機密性や不可侵性の保障に示された一般的人格権への侵害を構成しており、この規定は無効となる。

３．検討
（１）日米の自己情報コントロール権と欧州の情報自己決定権
プライバシー権と個人情報保護法（個人データ保護法）との関係については、アメリカで「ひとりで放っておいてもらう権利」として生まれた従来からの古典的なプライバシー権を包含する形で、自己情報コントロール権として一体的に説明することが日本においては通説的な見解とされています。

つまり、個人の私的領域に他者を無断で立ち入らせないという自由権的なプライバシー権は、情報化社会の進展に伴い、「自己に関する情報をコントロールする権利」（自己情報コントロール権）としてとらえられ、自由権的側面だけでなく、プライバシーの保護を公権力に対して積極的に要求してゆく側面が重視されるようになってきているとされています。すなわち、個人に関する情報（個人情報）が行政機関などに集中的に管理されるようになった現代社会においては、個人が自己に関する情報を自らコントロールし、自己に関する情報についての閲覧・訂正ないし抹消請求を求めることが必要であると考えられています（芦部信喜・高橋和之補訂『憲法第７版』123頁）。

日本の憲法13条は「すべて国民は、個人として尊重される。 生命、自由及び幸福追求に対する国民の権利については、公共の福祉に反しない限り、立法その他の国政の上で、最大の尊重を必要とする。」と規定していますが、この憲法13条の「 生命、自由及び幸福追求に対する国民の権利」つまり幸福追求権から、プライバシー権と自己情報コントロール権は導き出されるとされています。

一方、ドイツでは1983年の国勢調査判決において連邦憲法裁判所が「情報自己決定権」という新しい基本権（人権）を示し、古典的プライバシー権と情報自己決定権の二本立てで考える構成がヨーロッパでは広く共有されているとされています（小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁。

(日米の自己情報コントロール権と欧州の情報自己決定権・プライバシー権のイメージ。小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁をもとに筆者作成。）

1983年の国勢調査判決においてドイツ連邦憲法裁判所は、情報自己決定権を「自己の個人データの放棄および使用について、原則として自ら決定する権限」と定義し、その制約については、①優越した一般的利益、②規範の明確性の要請を満たした法律上の根拠、③比例原則、④人格権侵害を予防するための組織的・手続的予防措置を要求しました。また、⑤統計目的のデータ取得については、統計目的で取得したデータを法執行目的で利用する場合には、限定的で具体的な利用目的による拘束が不可欠であり、規範の明確性の要請が特に重要であるとしました。

ドイツ憲法裁判所は国勢調査判決において、個人情報・個人データについて「（公権力からの）申告の性質だけに照準を合わせることはできない。決定的であるのは、（個人情報・個人データの）その有用性や利用可能性である。これらは、一方における取得の目的、他方における情報技術に固有の処理可能性および結合可能性に左右される。それにより、それだけを見れば些末な情報が、新たな位置・価値を取得する。その限りで、自動化されたデータ処理という前提のもとでは、「些末な」情報はもはや存在しない。」と述べ、情報自己決定権の必要性を説明しています（小山・前掲）。

日米の自己情報コントロール権とヨーロッパの情報自己決定権との違いは、情報自己決定権に対する公権力などからの制約には、上の①から⑤までの要件・歯止めがある一方で、自己情報コントロール権にはそのような公権力からの制約に関する要件・歯止めが不十分であることにあるとされています。

例えば、警察のNシステムによる自動車のナンバープレート情報や、公道に設置された防犯カメラ・監視カメラによる人の容貌や顔などの情報など、それ自体は外部に公開されている情報の、法的強制を伴わない取得・保存・利用において顕著に表れるとされています。

Nシステムについて2009年の日本の裁判例（東京高裁平成21年1月29日判決）は、「わが国においては警察法２条１項の規定により任意の捜査は許容されており、公道上の何人でも確認し得る車両データを収集・利用することは適法」としています。

一方、ドイツ連邦裁判所は「自動車ナンバープレートの自動記録に関する法律は、法律による授権の特定性および明確性という法治国家の要請を充足しなければならない。」「不特定の広範さゆえに、この法律の規定は憲法上の比例原則の要請も満たしていない」として違憲としています（2008年3月11日ドイツ連邦憲法裁判所第一法廷判決・BVerfGE 120.378[407.427]、小山・前掲）。

このドイツをはじめとするヨーロッパの情報自己決定権は、アメリカの自己情報コントロール権に影響されてドイツ等で生み出されたものとされています（藤原静雄「「西ドイツの国勢調査判決における「情報の自己決定権」」一橋論叢94巻5号138頁）。

（２）コンピュータ基本権
情報自己決定権という新しい基本権が生み出されてから約25年後の2008年にドイツ憲法裁判所がいわゆる「コンピュータ基本権」という新しい基本権を示したことは、内外の大きな注目を集めました。

この2008年の本判決は、「情報技術システムの機密性や不可侵性を保障する権利」（コンピュータ基本権）を、基本法１条（人間の尊厳、基本権による国家権力の拘束）１項の「人間の尊厳は不可侵である。これを尊重し、および保護することは、すべての国家権力の義務である」と関連する２条（人格の自由、人身の自由）１項の「何人も、他人の権利を侵害せず、かつ憲法的秩序または道徳律に違反しない限り、自らの人格の自由な発展を求める権利を有する」に関わる基本権としています（石村修「コンピュータ基本権－オンライン監視事件」『ドイツの憲法判例Ⅳ』50頁）。

本判決が出された直後のドイツの学界は、情報自己決定権ではなく、このコンピュータ基本権を提示しなければならない理由が不明確であること、示された判断基準が従来の判例と異なること、さらに、技術的な発展に対して新たな基本権が提唱されるのは、それが完全に入れ替えが必要となった場合であり、オンラインによる監視は、いまだ従来の国家機関がとってきた手法の延長にあること、等の批判が本判決のコンピュータ基本権に対してはなされたとされています。

一方、本事件において申立人らが主張した基本権10条、13条などからはオンラインの監視を取扱うことは困難であること、また、オンラインの監視は個人のデータ保護を超えて、情報技術システムの保護の必要性や、システムへの介入は監視される本人だけでなく、第三者や一般市民にまでその被害がおよぶことなどの理由から、本判決がコンピュータ基本権を提示したのではないかとの指摘もされています（石村・前掲）。

なお、本判決を受けて、ドイツの連邦法レベルでは、2008年11月に連邦検事庁法が改正され、同法20ｋ条は、情報技術システムへの関与について、本判決が示した要件を明記したとされています。また、NRW州も州憲法擁護法５条２項について、本判決の示した要件を明記する法改正を行ったとされています。

４．まとめ
2018年にはEUでGDPR（EU一般データ保護規則）が施行されました。GDPRは22条がいわゆるプロファイリング拒否権を規定していることが注目されています。そして、本年４月にはEUはAI規制法案を公表しました。日本でも2021年にデジタル関連法の制定や個人情報保護法改正などが行われ、国会などでは、個人情報保護法の立法目的に自己情報コントロール権を明記すべきかどうかが論点の一つとなりました。その一方で、最近は一部の情報法の学者の先生方からは、自己情報コントロール権を批判する主張もなされています。

日本の情報法・個人情報保護法制の学者・研究者などの関係者の方々、企業や官庁などの実務担当者の方々などは、プライバシー権と個人データ保護法制の在り方や、個人データ保護法制の法目的などについて検討するにあたっては、日米の自己情報コントロール権だけでなく、GDPRの根底にある欧州の情報自己決定権・コンピュータ基本権などについて、また日米と欧州の憲法の基本構造の違い（近代憲法とポスト近代憲法の違い）などについても目配りが必要であると思われます。

なお、本ブログ記事を書くにあたっては、憲法学者の石村修・専修大学名誉教授より貴重なご教示をいただきました。石村先生、誠にありがとうございました。

■参考文献
・石村修「コンピュータ基本権－オンライン監視事件」『ドイツの憲法判例Ⅳ』50頁
・小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁
・武市周作「憲法保障機関の正統性―連邦憲法擁護庁を中心に」『東洋法学』61巻３号49頁
・藤原静雄「西ドイツの国勢調査判決における「情報の自己決定権」」一橋論叢94巻5号138頁
・芦部信喜・高橋和之補訂『憲法第７版』123頁

■追記（2022年3月18日）
2022年3月18日に、情報法制研究所の高木浩光先生のつぎのインタビュー記事に接しました。
・高木浩光さんに訊く、個人データ保護の真髄 ——いま解き明かされる半世紀の経緯と混乱｜Cafe JILIS

■関連する記事
ドイツの国勢調査事件判決と情報自己決定権についてーBVerfGE 65,1, Urteil v.15.12.1983
コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた（追記あり）－個人情報・プライバシー・労働法・GDPR・プロファイリング

タグ：: #ドイツ; #情報自己決定権; #自己情報コントロール権; #コンピュータ基本権; #個人情報; #プライバシー; #オンライン監視事件; #憲法擁護庁; #データによる人の選別; #GDPR

2021年07月01日

情報銀行ビジネス開始を発表した三菱UFJ信託銀行の個人情報保護法の理解が心配な件

ITmediaニュースによると、三菱UFJ信託銀行が情報銀行事業を開始することを発表したそうです。

・三菱UFJ信託が情報銀行事業開始　Dprimeで「お金の代わりに個人情報を預かる」｜ITmediaニュース
・情報銀行サービス「Dprime」ブランドアンバサダー・中田英寿氏の就任について｜三菱UFJ信託銀行

記事によると、三菱UFJ信託銀行は、本人の同意のもとに、個人の氏名、住所などの情報とともに、趣味嗜好、位置情報・行動履歴、資産情報などを収集・保管して、本人が選択した企業に対して、本人の同意のもとにこれらの個人情報・個人データを第三者提供し、本人は当該企業から割引などの対価を受けるとのことです。

（ITmediaニュースより）

ところで、記事を読むと、「氏名、住所の詳細、メールアドレス等、個人が特定される法的に個人情報に該当するものは企業に第三者提供しない」と三菱UFJ信託銀行の方が記者会見で発表したとの点が個人的には非常に気になります。

（ITmediaニュースより）

この、「氏名、住所さえ消去すれば個人情報ではない」的な、まるで石器時代のような個人情報保護法の基本的な部分の誤解を前提にしたような発言は、本当に天下の三菱グループの、かつ金融機関の三菱UFJ信託銀行の方が発表したものなのでしょうか？そしてそれをIT系メディア大手のITmediaニュースの記者もツッコミを入れることなく報道してしまったのでしょうか？

記事によると、この三菱信託の情報銀行ビジネスのアンバサダーにはサッカーの中田英寿氏が就任したそうで、中田氏は「企業による個人データの利活用の重要性」を記者会見で力説したそうであり、この情報銀行ビジネスのアレな感じがさらに強調されているような気がします。

言うまでもなく、個人情報保護法２条１項１号は、「個人に関する情報」であって、かつ、「特定の個人を識別できるもの」は個人情報に該当すると定義しています。そのため、趣味嗜好、位置情報・行動履歴、資産情報などの情報・データも、この個人情報の定義に該当するものはやはり個人情報です（鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』20頁）。

（鈴木正朝・高木浩光・山本一郎「「個人を特定する情報が個人情報である」と信じているすべての方へ―第1回プライバシーフリーク・カフェ（前編）」EnterpriseZineより）

また、本年5月にパブコメで公表された、令和２年改正の個人情報保護法に対応する「個人情報保護法ガイドライン（通則編）」も、「行動履歴、閲覧履歴、位置情報・移動履歴、サービス利用履歴等も連続的に蓄積されて特定の個人が識別できれば個人情報に該当すること」と、「趣味・嗜好も個人関連情報に該当すること」を明確化しています。

・「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）の一部を改正する告示」等に関する意見募集について｜e-GOV

■詳しくはこちら
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた！？

そのため、行動履歴、資産情報等のデータの多くはおおむね個人情報に該当すると思われますが、「法的に個人情報に該当するものは提供しない」との三菱UFJ信託銀行は、この情報銀行ビジネスにおいて、相手方の企業に対して一体何を第三者提供するつもりなのか非常に疑問です。

情報銀行ビジネスを開始すると経営判断した三菱UFJ信託銀行の経営陣の判断能力も心配ですし、同行の法務部は、この情報銀行業を事前にしっかりリーガルチェックしたのだろうかと非常に心配です。（ITmediaニュースの記者の方の個人情報保護法の理解も。）

三菱UFJ信託銀行の情報銀行ビジネスは、個人情報保護法の基本的な理解が間違っていて、開始前からグダグダな予感がします。日本は、EUのGDPRやAI規制法案など、西側自由主義・民主主義諸国の個人データ保護法の流れからますます離れてゆくガラパゴスだと思わざるを得ません。

■関連する記事
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた！？
・ヤフーのYahoo!スコアは個人情報保護法的に大丈夫なのか？
・みずほ銀行のみずほマイレージクラブの改正を考える－J.Score・信用スコア・個人情報
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた

タグ：: #三菱UFJ信託銀行; #情報銀行; #個人情報; #privaxy; #security; #これはひどい; #信用スコア; #GDPR; #データによる人の選別; #Dprime

2021年06月25日

個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた！？ーAI・プロファイリング・データによる人の選別

１．図書館の貸出履歴なども連続的に蓄積されて特定の個人を識別できる場合は個人情報になる
（１）令和２年個人情報保護法ガイドライン改正パブコメ
令和２年個人情報保護法ガイドライン改正パブコメが6月18日まで実施されていました。
・「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）の一部を改正する告示」等に関する意見募集について｜e-GOV

ここで個人情報保護委員会（PPC）が示した個人情報保護法ガイドラインの案を読んで、個人的にPPCの一番のファインプレーだと思ったのは、個人情報保護法ガイドライン（通則編）90頁の、「3-7-1-1個人関連情報」（個人情報保護法26条の２）のところの注意書きに、次のようにと明示し、"図書館の貸出履歴等も「連続的に蓄積」されて特定の個人を識別できる場合は個人情報に該当し、さらにそれがある個人の思想・信条などに該当する場合は要配慮個人情報に該当すること"を明確化したことではないかと思われます。

「個人情報に該当する場合は個人関連情報には該当しないことになる。例えば、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当」する（個人情報保護委員会「個人情報保護法ガイドライン（通則編）」90頁「3-7-1-1個人関連情報」（個人情報保護法26条の２）注意書き）。

つまり、例えば、図書館等の貸出履歴や書店での本・DVD・CD等の購入履歴等が「連続的に蓄積」されて「特定の個人を識別できる場合」（＝実名等がわからなくても「あの人、この人」と識別できる場合）には当該情報・データは「個人情報」に該当し、さらにそれが個人の「思想・信条」や「病歴」などに該当すれば「要配慮個人情報」に該当するとPPCは考えていると思われます。

すなわち、図書館の連続的に蓄積されて特定の個人を識別できる貸出履歴・利用履歴等は個人情報であり、それが思想・信条等に該当する場合には要配慮個人情報であると個人情報保護委員会が認めたことになります。

（２）これまでの個人情報保護委員会の「要配慮個人情報を推知させる情報」の考え方
もちろん、個人情報保護法２条１項の個人情報の定義は、「個人に関する情報」であって、電磁的記録などを含むさまざまな情報・記述などで「特定の個人を識別できるもの」は個人情報に該当するとしているので、この個人情報保護委員会の考え方は当然といえば当然です（鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』20頁）。

（鈴木正朝・高木浩光・山本一郎「「個人を特定する情報が個人情報である」と信じているすべての方へ―第1回プライバシーフリーク・カフェ（前編）」EnterpriseZineより）

しかし、2017年法改正を受けたこれまでの個人情報保護法ガイドライン（通則編）の「2-3 要配慮個人情報」は、「なお、次に掲げる情報（＝要配慮個人情報）を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。」という塩対応な注意書きを明示していました（岡村久道『個人情報保護法第３版』87頁）。

そのため、「本人の思想・信条などの内心を推知させる情報も要配慮個人情報に含めて扱うべき」と、宮下紘・中大教授（憲法・情報法）などの学者の方々から批判されてきたところです（宮下紘「図書館と個人情報保護」『時の法令』平成28年1月15日号50頁）。

（３）図書館の貸出履歴などの情報の利活用の推進派は、個人情報保護法などの再検討が必要となる
もし、図書館の貸出履歴・利用履歴などが個人関連情報でしかないとすると、第三者提供の際の本人同意が必要なだけにとどまりますが（法26条の２）、個人情報であるとなると、利用目的の特定（法15条）や、本人同意のない目的外利用の禁止（法16条）、不適正な収集の禁止（法17条）、安全管理措置（法20条～22条）、第三者提供の本人同意（法23条１項）、開示・訂正・利用停止等の請求への対応（法28条～34条）などの各義務が事業者に要求されることになります。

そしてさらに図書館の貸出履歴・利用履歴などが要配慮個人情報に該当するとなると、原則として収集の際に事前の本人の同意が必要（法17条２項）となり、また、オプトアウト方式による第三者提供も禁止（法23条２項かっこ書き）されることになり、さらに事業者の義務が重くなります。

また、個人情報、要配慮個人情報、その他個人に関する情報を事業者などが不適正に取り扱った場合、個人情報保護法とは別に、事業者などが当該個人からプライバシー権侵害などを主張され、不法行為に基づく損害賠償責任を負う可能性もあります（民法709条、憲法13条）。

この点、最近も、法政大学の大学図書館の貸出履歴などを保存する方針に対して教職員、有識者などから反対の声が上がっていることが話題となっています。
・広がる図書館の履歴保存　脅かされる秘密、懸念の声も｜朝日新聞

2021年4月から学長の廣瀬克哉総長は、同大学の学部横断型科目の学生の履修データなどの教育データの「見える化」を推進するなど、「大学のDX（デジタル・トランスフォーメーション）」の推進に熱心な学長のようです。

もし廣瀬氏などが、大学図書館の貸出履歴・利用履歴などのデータもDX化し、教育データの一つとしてさまざまな用途に利用・分析・加工・第三者提供などをすることを考えているとしたら、法令や日本図書館協会の「図書館の自由に関する宣言」などに基づいて、今一度慎重な再検討が必要であると思われます。

同様に、全国の自治体の公立図書館や国立国会図書館などにおいても、貸出履歴・利用履歴などのデータを保存する図書館が増えているようですが、そのような図書館・自治体なども、同様に個人情報保護法・行政機関個人情報保護法・独法個人情報保護法・自治体の個人情報保護条例などや「図書館の自由に関する宣言」などに基づいて慎重な再検討が必要になるものと思われます。

＊追記
なお、2017年の個人情報保護法改正では、いわゆる２号個人識別符号として、スマホの端末ID、携帯電話番号、IPアドレス、会員証番号なども個人識別符号（法２条２項２号）として個人情報に含まれることが明確化されようとしました。これは当時の政府のパーソナルデータ保護に関する検討会議の委員の森亮二弁護士や、産業技術総合研究所の高木浩光氏などが主張していたものです。しかしこれは楽天やヤフージャパンなどの経済界、経産省や与党などの強い圧力により頓挫してしまいました。
・携帯電話・スマホ等のＩＤやＩＰアドレスは個人情報に含まれない？／個人情報保護法改正法案
・【プレゼン】2月4日、自民党で、三木谷代表理事が個人情報保護法改正案について意見を述べました｜新経済連盟
・個人情報定義は新経連の意向で米国定義から乖離しガラパゴスへ（パーソナルデータ保護法制の行方その16）｜高木浩光@自宅の日記

（新経済連盟サイトより）

とはいえ、今回、個人情報保護委員会がガイドラインで貸出履歴・閲覧履歴・購入履歴・位置情報・移動履歴なども一定の場合、個人情報に含まれると明確化したことは、2017年改正のこの２号個人識別符号の考え方の事実上の復活であり、国民の個人情報の保護つまり個人の尊重や個人の権利利益の保護（個人情報保護法１条、３条、憲法13条）の観点からは画期的です。

２．「ある個人の興味・関心を示す情報」も個人関連情報となる
（１）「ある個人の興味・関心を示す情報」
また、令和２年個人情報保護法ガイドライン改正パブコメで、ガイドライン（通則編）89頁の個人関連情報の具体例に、閲覧履歴・購買履歴・位置情報とともに「ある個人の興味・関心を示す情報」も明示している点も、個人情報保護委員会のファインプレーでないかと思われます。

つまり、2019年のリクナビ事件における就活生・求職者等の、「どの企業に入社したいか／どのような企業には入社したくないかなどに関する情報」や、内定辞退予測データなども、「ある個人の興味・関心を示す情報」なので、個人に紐付かない、特定の個人を識別できるものでない状態であったとしても、それらの情報は個人関連情報に該当することが個人情報保護委員会により明確化されたのです。

したがって、リクナビなどの人材紹介会社などは、個人情報保護法の法の網をかいくぐるような個人情報・個人データなどの脱法的な利用が今回の法改正で新設された、不適正利用の禁止条項（法16条の２）で規制されるだけでなく、取り扱う情報が「ある個人の興味・関心を示す情報」に該当する場合には個人関連情報に該当するので、第三者提供する際のあらかじめの本人同意の取得の法規制がここでもかかることになります。「PPC、グッジョブ！」としか言いようがありません。

（２）CCCなどのデータマーケティング企業など
同様に、TSUTAYAや武雄市図書館等のツタヤ図書館などを運営し、また共通ポイントのTポイントの運営で約7000万件の国民の個人情報と年間50億件のトランザクション・データを保有するCCCカルチュア・コンビニエンス・クラブ株式会社などのデータマーケティング企業などは、自社のビジネスモデルが個人情報保護法などを遵守しているか、今一度、慎重な再検討が必要なのではないでしょうか。

（３）ネット系人材紹介会社など
また、SNSやGithubなどからさまざまな情報をコンピュータで網羅的に収集し、AIによる分析・加工などを行っているLAPRAS、HackerBase Jobsなどのネット系人材紹介会社や、それらの人材会社を就活生や転職者などの採用選考に利用しているトヨタ、日産、サイバーエージェント、GMOなどの企業なども、自社のビジネスモデルや人事労務の業務が個人情報保護法制や職業安定法や関連する厚労省通達・指針などの労働法制に抵触していないか、今一度慎重な再検討が必要がなのではないでしょうか。

（LAPRASを利用している企業。LAPRAS社サイトより）

2019年のリクナビ事件では、個人情報保護委員会と厚労省は、リクルートキャリアだけでなく、トヨタなどの企業についても、「社内で個人情報保護法などを十分に検討していなかった」ことは安全管理措置（法20条）違反であると認定し、行政指導・行政処分を実施しています。
・個人情報の保護に関する法律第 42 条第１項の規定に基づく勧告等について（PDF）｜個人情報保護委員会

３．まとめ
このように、個人情報保護委員会は令和２年個人情報保護法改正対応の個人情報保護法ガイドライン改正で、図書館の貸出履歴なども一定の場合に個人情報または要配慮個人情報保護法に該当することを明確化し、「興味・関心」も個人関連情報に該当することを明確化しました。

採用選考・人事評価、PCや監視カメラ・スマホ・センサーなどによる従業員のモニタリングなどの労働分野、GIGAスクール構想や「教育の個別最適化」が推進されている教育分野、信用スコア事業、融資や保険引受審査などに関する金融・保険業、ターゲティング広告などの広告事業、顔認証システムや防犯カメラなどによる防犯事業、SNSのAI分析システムを導入しようとしている警察などは、業務を法的に再検討する必要があると思われます。

■関連する記事
・2020年の個人情報保護法改正に関するガイドライン改正に関するパブコメについて意見を書いてみた－FLoC・プロファイリング・貸出履歴・推知情報・データによる人の選別
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた－個人情報・プライバシー・労働法・GDPR
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた－AI・教育の平等・データによる人の選別
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた
・警察庁のSNSをAI解析して人物相関図を作成する捜査システムを法的に考えた－プライバシー・表現の自由・GPS捜査・データによる人の選別
・Github利用規約や厚労省通達などからSNSなどをAI分析するネット系人材紹介会社を考えた

タグ：: #貸出履歴; #個人情報; #要配慮個人情報; #個人関連情報; #興味・関心; #CCC; #GIGAスクール構想; #データによる人の選別; #GDPR; #プロファイリング

2021年06月24日

2020年の個人情報保護法改正に関するガイドライン改正に関するパブコメについて意見を書いてみた－FLoC・プロファイリング・貸出履歴・推知情報・データによる人の選別

2020年（令和２年）の個人情報保護法改正に関するガイドライン改正に関するパブコメを、2021年6月18日まで個人情報保護委員会が実施していたため、意見を少しだけ書いて提出してみました。

■関連する記事
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた（追記あり）－貸出履歴・閲覧履歴・プロファイリング・内閣府の意見

・「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）の一部を改正する告示」等に関する意見募集について｜e-GOV

１．個人関連情報に関してGoogleの「FLoC」などについて
（該当箇所）
個人情報保護法ガイドライン（通則編）89頁

（意見）
「【個人関連情報に該当する事例】」の「事例1）Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴」に、最近、GoogleがCookieに代わり導入を開始した「FLoC」などの新しい手法により収集された、ある個人のウェブサイトの閲覧履歴等も含まれることを明記すべきである。

（理由）
個人情報保護法26条の２は、2019年のいわゆるリクナビ事件を受けて、個人情報保護法を潜脱するような、本人関与のない個人情報の収集方法が広まることを防止するために、ユーザーの閲覧履歴、属性履歴、移動履歴などのデータを第三者に提供する場合に、提供先で個人データとなることが想定される場合には、個人データの第三者提供に準じる規制を課すことにより、個人のプライバシーなどの権利利益を保護（法１条、３条）するものである。

そのため、個人情報保護法を潜脱するように、CookieでなくGoogleの「FLoC」などの新しい手法を利用することにより、本人関与のない個人情報の収集方法が広がることを防止し、国民の個人の尊重、個人のプライバシー、人格権（憲法13条）などの個人の権利利益を保護（法１条、３条）するために、Cookie等だけでなく、「FLoC」などの新しい手法も個人関連情報に該当することを、包括的に個人情報保護法ガイドライン等に明記すべきである。

２．不適正利用の禁止（法16条の２）とAI・コンピュータによるプロファイリングについて
（該当箇所）
個人情報保護法ガイドライン（通則編）30頁

（意見）
不適正利用の禁止（法16条の２）に関する個人情報保護法ガイドライン（通則編）30頁の「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に、「AI・コンピュータの個人データ等の自動処理（プロファイリング）の行為のうち、個人の権利利益の侵害につながるもの」を明示すべきである。

（理由）
本人の認識や同意なく、ネット閲覧履歴、購買履歴、位置情報・移動履歴やSNSやネット上の書き込みなどの情報をAI・コンピュータにより収集・分析・加工・選別等を行うことは、2019年のいわゆるリクナビ事件や、近年のAI人材会社を標ぼうするネット系人材紹介会社等の実務のように、本人が予想もしない不利益を被る危険性がある。このような不利益は、差別を助長するようなデータベースや、違法な事業者に個人情報を第三者提供するような行為の不利益と実質的に同等であると考えられる。

また、日本が十分性認定を受けているEUのDGPR22条１項は、「コンピュータによる自動処理のみによる法的決定・重要な決定の拒否権」を定め、EUが2021年4月に公表したAI規制法案も、雇用分野の人事評価や採用のAI利用、教育分野におけるAI利用、信用スコアなどに関するAI利用、出入国管理などの行政へのAI利用などへの法規制を定めている。

この点、日本の2000年労働省「労働者の個人情報保護の行動指針」第２、６（６）や厚労省の令和元年６月27日労働政策審議会労働政策基本部会報告書「～働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために～」９頁10頁および、いわゆるリクナビ事件に関する厚労省の通達（職発0906第３号令和元年9月6日「募集情報等提供事業等の適正な運営について」）等も、電子機器による個人のモニタリング・監視に対する法規制や、AI・コンピュータのプロファイリングに対する法規制およびその必要性を規定している。

日本が今後もEUのGDPRの十分性認定を維持し、「自由で開かれた国際データ流通圏」政策を推進するためには、国民の個人の尊重やプライバシー、人格権（憲法13条）などの個人の権利利益を保護するため、AI・コンピュータによるプロファイリングに法規制を行うことは不可欠である。

したがって、「AI・コンピュータの個人データ等の自動処理（プロファイリング）の行為のうち、個人の権利利益の侵害につながるもの」を「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に明示すべきである（「不適正利用の禁止義務への対応」『ビジネス法務』2020年8月号25頁参照）。

３．要配慮個人情報と図書館の図書の貸出履歴・本の購買履歴などの推知情報について
（該当箇所）
個人情報保護法ガイドライン（通則編）12頁

（意見）
「次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない」を、「次に掲げる情報を推知させる情報（例：宗教に関する書籍の購買や貸出しに係る情報等）も、要配慮個人情報に該当する」と変更すべきである。

（理由）
令和元年12月13日付個人情報保護委員会「個人情報保護法いわゆる３年ごと見直し制度改正大綱」16頁が「昨今の急速なデータ分析技術の向上等を背景に、潜在的に個人の権利利益の侵害につながることが懸念される個人情報の利用の携帯がみられ、個人の懸念が高まりつつある」と指摘するように、近年のAI・コンピュータ等によるプロフィリングの分析技術等の向上は、2019年のいわゆるリクナビ事件などにもみられるとおり、ネット閲覧履歴、購買履歴、位置情報・移動履歴などの「要配慮個人情報を推知させる情報」のデータを分析・加工することにより、本人の内定辞退予測データなど、個人の思想・信条などの要配慮個人情報や内心の自由（憲法19条）などに関する情報を取得することを可能にしており、国民の個人の尊重やプライバシー権の保護、人格権の保護（憲法13条）などの個人の権利利益の保護（個人情報保護法１条、３条）の観点から、「要配慮個人情報を推知させる情報」を法的に放置しておくべきではない（平成30年第196国会・衆議院『衆議院議員松平浩一君提出プロファイリングに関する質問に対する答弁書』参照）。

とくに図書館の図書等の貸出履歴や商品購入履歴・サービス利用履歴などについては、図書館や共通ポイント運営事業者などに対して、警察による捜査関係事項照会による提出要請などが広く行われており、個人の側の懸念が強まっている（2020年12月23日札幌弁護士会「捜査関係事項照会に対する公立図書館等の対応に関する意見」参照）。

したがって、国民の個人の権利利益の保護（法１条、３条）のために、「要配慮個人情報を推知させる情報」についても要配慮個人情報に含めるために、「次に掲げる情報を推知させる情報（例：宗教に関する書籍の購買や貸出しに係る情報等）も、要配慮個人情報に該当する」と変更すべきである。

４．個人関連情報と図書館の図書の貸出履歴・利用履歴などについて
（該当箇所）
個人情報保護法ガイドライン（通則編）90頁

（意見）
「個人関連情報に該当する事例」の「事例3）ある個人の商品購買履歴・サービス利用履歴」に、「ある個人の公共図書館、学校図書館、専門図書館および私設図書館などの図書館等の図書等の貸出履歴を含む図書館の利用履歴（利用事実）」も「個人関連情報に該当する事例」として明記すべきである。

（理由）
個人情報保護法26条の２は、2019年のいわゆるリクナビ事件を受けて、個人情報保護法を潜脱するような、本人関与のない個人情報の収集方法が広まることを防止するために、ユーザーの閲覧履歴、属性履歴、移動履歴などのデータを第三者に提供する場合に、提供先で個人データとなることが想定される場合には、個人データの第三者提供に準じる規制を課すことにより、個人のプライバシーなどの権利利益を保護（法１条、３条）するものである。

図書館の貸出履歴は、ある個人の思想・信条、趣味・嗜好、関心事など個人の内心に関する要配慮個人情報を推知させる重要な情報である。そのため、「商品購入履歴・サービス利用履歴」「位置情報」などとともに、個人関連情報に該当することをガイドライン等に明示すべきである。

図書館の図書等の貸出履歴等を含む利用履歴（利用事実）については、日本図書館協会の「図書館の自由に関する宣言」が「図書館は利用者の秘密を守る」として「憲法第３５条にもとづく令状」による照会以外の場合には照会への回答を拒否することを明示しているが、近年の新聞報道や札幌弁護士会の2020年12月23日「捜査関係事項照会に対する公立図書館等の対応に関する意見」等によると、近年、警察の捜査関係事項照会（刑事訴訟法197条２項）など令状によらない任意の照会が図書館に多く実施され、一部の図書館がそれに対して回答を実施しているとのことである。

また、共通ポイントのTポイントによる個人データのデータマーケティングビジネスを運営するCCCカルチュア・コンビニエンス・クラブ株式会社は、指定管理者として武雄市図書館などのいわゆるツタヤ図書館を運営しているが、このツタヤ図書館などにおいては、利用者の貸出履歴などの個人情報・個人データが個人情報保護法を潜脱してCCC社により同社のデータマーケティングビジネスに利用されているのではないかと疑われている。そしてCCC社など大量の国民の個人情報・個人データを保有する企業に対しても、警察が捜査関係事項照会などの令状によらない任意の方法で情報の提供を求めている実態がある（日経新聞2019年1月20日「Tカード情報令状なく提供　規約明記せず、会員6千万人超」参照）。

さらに最近、法政大学などの一部大学が、同大学の図書館の貸出履歴・利用履歴等のデータを、利用者の貸出等が終了した後も保存し、さまざまな用途に利活用する方針を発表し、教職員や学生などの関係者や有識者、国民から大きな批判を受けている。

この点、法26条の２は、個人情報保護法を潜脱するような、本人関与のない個人情報の収集方法が広まることを防止するために、ユーザーの閲覧履歴、属性履歴、移動履歴などを個人関連情報と定義し、個人データの第三者提供に準じる規制を課すことにより、個人の尊重・個人のプライバシー・人格権など（憲法13条）の個人の権利利益を保護（法１条、３条）するものである。

したがって、閲覧履歴、属性履歴、位置情報・移動履歴などと同様に、個人の思想・信条・内心などの要配慮個人情報や、個人のプライバシーのとりわけ重要な部分を推知させる情報である、図書館の図書等の貸出履歴を含む図書館の利用履歴（利用事実）も、個人の権利利益を保護するために「個人関連情報」に該当することを明示すべきである。

５．本人からの開示請求や利用停止等の請求への対応が難しいデータについて、仮名加工情報に加工するなど、個人情報保護法を潜脱する目的で仮名加工情報を取扱ってはならないことについて
（該当箇所）
個人情報保護法ガイドライン匿名加工情報編11頁・個人情報保護法ガイドライン（通則編）17頁

（意見）
ガイドライン匿名加工情報編11頁「仮名加工情報の取扱いに係る義務の考え方」の部分またはガイドライン通則編17頁の「2－10匿名加工情報」の部分などに、「本人からの開示請求や利用停止等の請求への対応が難しいデータについて、仮名加工情報に加工して保有・利用するなど、個人情報保護法を潜脱する目的で仮名加工情報を取扱ってはならない」と明示すべきである。

（理由）
一部の有識者の見解に、「仮名加工情報は、法15条２項、法27条から34条までの規定は適用されないため、本人からの開示請求や利用停止等の請求への対応が難しいデータについて、仮名加工情報に加工して保有・利用することが有力な解決策となる」と指南しているものが見られる（「本人による開示請求、利用停止・消去請求への対応」『ビジネス法務』2020年８月号34頁参照）。

このような仮名加工情報の取扱は、仮名加工情報の新設の趣旨を没却し、個人情報保護法を潜脱する脱法的なものであるから、このような行為を禁止する注意書きをガイドライン等に明示すべきである。

６．AI・コンピュータなどのプロファイリングにより取得したデータも個人情報に該当することについて
（該当箇所）
個人情報保護法ガイドライン（通則編）11頁

（意見）
「【個人情報に該当する事例】」の部分に、「AI・コンピュータなどのプロファイリングにより取得した情報・データも法２条１項の個人情報の定義に当てはまる場合は、個人情報に該当する」ことを明示すべきである。

（理由）
最近、「日本の個人情報保護法上、プロファイリングによって取得した情報は「個人情報」には該当しない」などの誤った見解が日本の公的機関の文書などに散見されるため（日銀ワーキングペーパー論文『プライバシーの経済学入門』（2021年6月3日）16頁など）。

■関連する記事
・個人情報保護委員会は図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた！？ーAI・プロファイリング・データによる人の選別
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた－個人情報・プライバシー・労働法・GDPR
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた－AI・教育の平等・データによる人の選別
・Github利用規約や厚労省通達などからSNSなどをAI分析するネット系人材紹介会社を考えた
・警察庁のSNSをAI解析して人物相関図を作成する捜査システムを法的に考えた－プライバシー・表現の自由・GPS捜査・データによる人の選別
・【デジタル関連法案】自治体の個人情報保護条例の国の個人情報保護法への統一化・看護師など国家資格保有者の個人情報の国の管理について考えた
・苫小牧市立中央図書館が警察の任意の要請により貸出履歴等を提供したことを考える
・Tポイントの個人情報がCCCから任意の照会で警察に提供されていたことを考える

■参考文献
・佐脇紀代志『一問一答令和２年改正個人情報保護法』34頁、62頁
・田中浩之・北山昇「不適正利用の禁止義務への対応」『ビジネス法務』2020年8月号25頁
・「本人による開示請求、利用停止・消去請求への対応」『ビジネス法務』2020年８月号34頁
・労働政策審議会労働政策基本部会　報告書　～働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために～｜厚労省
・厚労省通達・職発0906第３号令和元年9月6日「募集情報等提供事業等の適正な運営について」
・令和元年12月13日付個人情報保護委員会「個人情報保護法いわゆる３年ごと見直し制度改正大綱」16頁
・平成30年第196国会・衆議院『衆議院議員松平浩一君提出プロファイリングに関する質問に対する答弁書』｜衆議院
・札幌弁護士会「捜査関係事項照会に対する公立図書館等の対応に関する意見」
・日経新聞2019年1月20日「Tカード情報令状なく提供　規約明記せず、会員6千万人超」
・Googleが進める代替技術「FLoC」が問題視されている理由とは？｜マイナビニュース