個人情報保護委員会が『個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理』のパブコメを2024年7月29日まで実施しているので、つぎのとおり意見を書いて送ってみました。

１．生体データについて
（該当箇所）
「要保護性の高い個人情報の取扱いについて（生体データ）」（中間整理３頁～４頁）
（意見）
生体データも要配慮個人情報に含め、その取得には本人同意を必要とすべきである。
（理由）
個人情報のなかでも生体データの要保護性は高いと考えられるから、自己情報コントロール権（情報自己決定権、憲法13条）の観点からは、生体データについても要配慮個人情報（個情法２条３項）に含め、その取得には本人同意を必要とするべきである。かりにそれができない場合には、柔軟なオプトアウト制度の導入など、本人関与の仕組みを強化すべきである。

２．従業員の生体データのモニタリング
（該当箇所）
「不適正な利用の禁止」「適正な取得」の規律の明確化（「中間整理」４頁～６頁）
（意見）
使用者がパソコンやプログラム等を利用して従業員の生体データや集中度などを監視・モニタリングすることは個情法19条、20条違反であることを明確化すべきである。
（理由）
近年、使用者がパソコンやプログラム等を利用して従業員の脳波や集中度などを監視・モニタリングしている事例が増えているが（「東急不動産の新本社、従業員は脳波センサー装着」日本経済新聞2019年10月1日付、日立の「ハピネス」事業など参照）、このような従業員の監視・モニタリングは労働安全衛生法104条違反であるだけでなく、これがもしEUであればGDPR22条違反であり、さらに従業員の「自らの自律的な意思により選択をすることが期待できない場合」に該当するので、個情法19条、20条に抵触して違法であることをガイドライン等で明確化すべきである。

３．生徒・子どもの生体データのモニタリング
（該当箇所）
「不適正な利用の禁止」「適正な取得」の規律の明確化（「中間整理」４頁～６頁）
（意見）
学校・教育委員会等がパソコン・タブレットやウェアラブル端末等を利用して生徒・子どもの生体データや集中度などを監視・モニタリングすることは個情法19条、20条違反であることを明確化すべきである。
（理由）
近年、学校・教育委員会等がタブレット・パソコンやウェアラブル端末等を利用して生徒・子どもの生体データ等から集中度などを監視・モニタリングしている事例が増えているが（「「聞いてるふり」は通じない？　集中しない生徒をリアルタイムで把握　教員からは期待、「管理強化」に懸念も」共同通信2023年6月21日付、デジタル庁「教育データ利活用ロードマップ」など参照）、このような生徒・子どもの生体データの監視・モニタリングは、これがもしEUであればGDPR22条違反であり、さらに生徒・子どもの「自らの自律的な意思により選択をすることが期待できない場合」に該当するので、個情法19条、20条に抵触して違法であることをガイドライン等で明確化すべきである。

４．電話番号、メールアドレス、Cookieなどの個人関連情報について
（該当箇所）
「不適正な利用の禁止」「適正な取得」の規律の明確化（「中間整理」４頁～６頁）
（意見）
電話番号、メールアドレス、Cookieなどの情報も個人関連情報とするのではなく、個人情報に該当するとすべきである。
（理由）
電話番号、メールアドレス、Cookieなどの情報も、多くの場合、特定の個人を追跡可能であり、ターゲティング広告等により当該個人の自由な意思決定に影響を及ぼし得るのであるから、電話番号、メールアドレス、Cookieなどの情報も個人関連情報とするのではなく、個人情報に該当するとすべきである。

５．プロファイリングと不適正利用
（該当箇所）
「不適正な利用の禁止」「適正な取得」の規律の明確化（「中間整理」４頁～６頁）
（意見）
不適正利用の禁止（法19条）に関する個人情報保護法ガイドライン（通則編）の「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に、「AI・コンピュータの個人データ等のプロファイリングの行為のうち、個人の権利利益の侵害につながるもの」を明示すべきである。
（理由）
本人の認識や同意なく、ネット閲覧履歴、購買履歴、位置情報・移動履歴やSNSやネット上の書き込みなどの情報をAI・コンピュータにより収集・分析・加工・選別等を行うことは、2019年のいわゆるリクナビ事件等のように、本人が予想もしない不利益を被る危険性がある。このような不利益は、差別を助長するようなデータベースや、違法な事業者に個人情報を第三者提供するような行為の不利益と実質的に同等であると考えられる。
また、日本が十分性認定を受けているEUのDGPR22条１項は、「コンピュータによる自動処理のみによる法的決定・重要な決定の拒否権」を定め、さらにEUで成立したAI法も、雇用分野の人事評価や採用のAI利用、教育分野におけるAI利用、信用スコアなどに関するAI利用、出入国管理などの行政へのAI利用などへの法規制を定めている。
この点、厚労省の令和元年６月27日労働政策審議会労働政策基本部会報告書「～働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために～」９頁・10頁および、いわゆるリクナビ事件に関する厚労省の通達（職発0906第３号令和元年9月6日「募集情報等提供事業等の適正な運営について」）等も、電子機器による個人のモニタリング・監視に対する法規制や、AI・コンピュータのプロファイリングに対する法規制およびその必要性を規定している。
日本が今後もEUのGDPRの十分性認定を維持し、「自由で開かれた国際データ流通圏」政策を推進するためには、国民の個人の尊重やプライバシー、人格権（憲法13条）などの個人の権利利益を保護するため（個情法１条、３条）、AI・コンピュータによるプロファイリングに法規制を行うことは不可欠である。
したがって、「AI・コンピュータの個人データ等のプロファイリングの行為のうち、個人の権利利益の侵害につながるもの」を「【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】」に明示すべきである（「不適正利用の禁止義務への対応」『ビジネス法務』2020年8月号25頁、『AIプロファイリングの法律問題』（2023年）50頁参照）。

６．こどもの個人情報等に関する規律の新設
（該当箇所）
こどもの個人情報等に関する規律の在り方（中間整理8頁～11頁）
（意見）
こどもの個人情報等に関する規律を新設することに賛成します。
（理由）
こどもは大人に比べて脆弱性・敏感性及びこれらに基づく要保護性があるにもかかわらず、近年、学校・教育委員会などが、生徒・子どもにウェアラブル端末をつけさせて生体データを収集し集中力や「ひきこもり」の予兆などを監視・モニタリングする事例などが野放しで増加しているが、このような学校等による生徒・子どもの監視・モニタリングは子どもの内心の自由やプライバシー、人格権を侵害しかねないものであり、子どもの権利利益を侵害している（個情法１条、３条、憲法13条、19条）。
したがって16歳未満の子どもの個人情報については収集等に法定代理人の同意を必要とし、また厳格な安全管理措置を要求するなどの法規制を新設することに賛成します。

７．課徴金制度・団体訴訟制度
（該当箇所）
課徴金、勧告・命令等の行政上の監視・監督手段の在り方（中間整理11頁）および団体による差止請求制度及び被害回復制度の導入（中間整理12頁）
（意見）
課徴金制度の導入などおよび団体請求制度の導入等に賛成します。
（理由）
国民・消費者の個人の権利利益のさらなる保護のため（個情法１条、３条）に賛成します。経済界は団体による差止請求にも反対しているようであるが、差止請求は違法な行為にしかなされないところ、経済界は違法行為がしたいのだろうかと疑問である。

８．漏えい等報告・本人通知の在り方
（該当箇所）
漏えい等報告・本人通知の在り方（中間整理18頁）
（意見）
現行の漏えい等報告・本人通知の在り方を緩和することに反対。
（理由）
二次被害・類似事案の防止が漏えい等報告及び本人通知の趣旨・目的なのであるから、たとえば事業者がセキュリティインシデントに対応中でマルウェア等の犯人を泳がせて調査しているような場合は別として、原則として個人情報漏えい事故が発生した場合は、迅速に漏えい等報告・本人通知を事業者に行わせるべきである。現行の漏えい等報告・本人通知の在り方を緩和することには反対。 また、漏えい等に関する義務が生じる「おそれ」要件についても、「おそれ」が発生している以上は安全管理措置義務違反が発生していることは事実なのであるから、事業者は違法であるのであって、「おそれ」要件を緩和することには反対である。

９．医療データの収集・目的外利用・第三者提供の規制緩和
（該当箇所）
社会のニーズ及び公益性を踏まえた例外規定の新設並びに明確化（中間整理23頁）
（意見）
医療データにつき例外規定を設け、取得や目的外利用、第三者提供等に本人同意やオプトアウトを不要とする議論に反対。
（理由）
現在の情報法・憲法の学説上、個人情報保護法（個人データ保護法）の趣旨・目的は自己情報コントロール権説（情報自己決定権説）が通説であり、ドイツやEUなど多くの西側自由諸国でも同様である（曽我部真裕・林秀弥・栗田昌裕『情報法概説第２版』209頁、渡辺康行・宍戸常寿・松本和彦・工藤達朗『憲法Ⅰ基本権』121頁、山本龍彦『個人データ保護のグローバル・マップ』247頁、359頁等参照）。
そして自己情報コントロール権説からは、個人情報保護法が目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合において、事業者や行政機関等が患者などの本人の同意を取得することが必要と規定されていることは当然のことと考えられる。
そのため、この目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合に本人の同意の取得を不要とする有識者ヒアリング等における森田朗名誉教授や鈴木正朝教授、高木浩光氏などの主張は自己情報コントロール権説に反し、つまり個人情報保護法（個人データ保護法）の趣旨・目的に反している。
また、法律論を離れても、たとえば4月3日の個人情報保護委員会の有識者ヒアリングでは、横野恵准教授の「医療・医学系研究における個人情報の保護と利活用」との資料13頁の「ゲノムデータの利活用と信頼」においては、一般大衆の考えとして、ゲノムデータの利活用に関する「信頼の醸成に寄与する要素」の２番目に「オプトアウト制度」が上がっている。
したがって、医療データの利用等に関して、患者の本人の同意やオプトアウト制度などの本人関与を廃止する考え方は、一般国民の支持を得られないと思われる。
また、森田名誉教授や鈴木正朝教授、高木浩光氏など、医療データの製薬会社やIT企業などによる利活用を推進する立場の人々は、「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」との考え方を前提としているように思われる。
たしかに患者が医療に貢献することは一般論としては「善」である。しかし、日本は個人の自由意思を原則とする自由主義・民主主義国である（憲法１条、13条）。患者個人が医療や社会に貢献すべきか否かは個人のモラルにゆだねるべき問題であり、ことさら法律で強制する問題ではない。すなわち、患者の医療への貢献などは、自由主義社会においては自由な討論・議論によって検討されるべきものであり、最終的には個人の内心や自己決定にゆだねられるべきものである（憲法19条、13条）。
「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」「そのような考え方を個人情報保護法の改正や新法を制定し、国民に強制すべきだ」「そのような考え方に反対する国民は非国民、反日だ」との考え方は、中国やロシアなど全体主義・国家主義国家の考え方であり、自由主義・民主主義国家の日本にはなじまないものである。
さらに、患者の疾病・傷害にはさまざまなものがある。風邪などの軽い疾病のデータについては、製薬会社などに提供することを拒む国民は少ないであろう。しかし、がんやHIVなど社会的差別のおそれのある疾病や、精神疾患など患者個人の内心（憲法19条）にもかかわる疾病など、疾病・傷害にはさまざまな種類がある。それらをすべて統一的に本人同意を不要とする政府の議論は乱暴である。
したがって、憲法の立憲主義に係る基本的な考え方からも、医療データの一時利用・二次利用について患者の本人の同意を原則として不要とする議論は、個人情報保護法（個人データ保護法）の趣旨・目的に反しているだけでなく、わが国の憲法の趣旨にも反している。以上のような理由から、私は医療データの一時利用・二次利用について患者の本人の同意やオプトアウト等の本人関与の仕組みを原則として不要とする個人情報保護委員会や政府の議論に反対である。

10．その他：プロファイリング・AI法
（該当箇所）
その他（中間整理26頁）
（意見）
プロファイリングによる要配慮個人情報の「推知」を要配慮個人情報の「取得」として法規制すべきである。本人同意または本人関与の仕組みを導入すべきである。また、日本も早期にEUのようなAI法を制定すべきである。
（理由）
2016年のケンブリッジ・アナリティカ事件、最近のイスラエルの軍事AI「ラベンダー」など、プロファイリングの問題は個人情報保護の本丸である。個人情報保護法20条２項は要配慮個人情報の取得については本人同意を必要としているが、プロファイリングによる要配慮個人情報の「推知」、すなわち要配慮個人情報の迂回的取得は法規制が存在しない。これでは本人同意は面倒だと、事業者はプロファイリングによる推知を利用してしまう。
この点、世界的には、EUのGDPR21条はプロファイリングに異議を述べる権利を定め、同22条は完全自動意思決定に服さない権利を規定している。またアメリカのいくつかの州も同様の法規制を置いている。
このように世界的な法規制の動向をみると、日本もプロファイリングによる要配慮個人情報の「推知」を要配慮個人情報の「取得」として法規制すべきである。すなわち、本人同意または本人関与の仕組みを導入すべきである。
また、日本も早期にEUのようなAI法を制定すべきである。

11．顔識別機能付き防犯カメラ（１）
（該当箇所）
「要保護性の高い個人情報の取扱いについて（生体データ）」（中間整理３頁～４頁）
（意見）
生体データに関連し、個人情報保護法16条４項や施行令５条の法改正を行い、顔データは保有個人データであると改正すべきである。
（理由）
生体データに関連し、顔識別機能付き防犯カメラシステムによる誤登録の問題に関して、現行法上、顔識別機能付き防犯カメラシステムによる顔データは、個人情報保護法施行令５条のいずれかの号に該当し、当該顔データは保有個人データではないということになり（個人情報保護法16条４項）、結局、顔識別機能付き防犯カメラを運用する個人情報取扱事業者は個人情報保護法を守る必要がないということになってしまうが、そのような結論は誤登録の被害者の権利利益の保護（法１条、３条、憲法13条）との関係で妥当とは思えない。
そのため個人情報保護法16条４項や施行令５条の法改正を行い、顔データは保有個人データであると改正すべきである。

12．顔識別機能付き防犯カメラ（２）
（該当箇所）
「要保護性の高い個人情報の取扱いについて（生体データ）」（中間整理３頁～４頁）
（意見）
生体データの問題に関連し、顔識別機能付きカメラシステムによる顔データの共同利用については、全国レベルや複数の県をまたがる等の広域利用を行う場合には、個人情報保護委員会に事前に相談を求めることを個情法上に明記すべきではないか。そのために個人情報保護法の法改正等を行うべきでないか。
（理由）
「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会第６回」の議事録５頁に、「そういった観点から、一つ地域というのがメルクマールになると理解している。広域利用に関しては相当の必要性がなければできないとしつつ、個人情報保護委員会に相談があったような場合に対応していくのが１つの落としどころかと感じた。」等との議論がなされているから。 また、宇賀克也『新・個人情報保護法の逐条解説』275頁、園部逸夫・藤原静雄『個人情報保護法の解説 第二次改訂版』187頁などにおいても、共同利用が許される外延・限界は「一つの業界内」、「一つの地域内」などと解説されており、全国レベルの共同利用や県をまたぐ広域利用、業界をまたぐ共同利用などは個人情報保護法が予定しておらず、本人が自分の個人情報がどこまで共同利用されるのか合理的に判断できないと思われるから。

13．顔識別機能付き防犯カメラ（３）
（該当箇所）
「要保護性の高い個人情報の取扱いについて（生体データ）」（中間整理３頁～４頁）
（意見）
開示・訂正等請求を求める一般人（顔識別機能付き防犯カメラの誤登録の被害者等）が個人情報保護法などにおいて取りうる法的手段（例えば個人情報取扱事業者のウェブサイト上のプライバシーポリシー上の開示・訂正等請求の手続きに従って請求を行う、民事訴訟を提起する等）に関して、個人情報法保護法ガイドライン（通則編）や「個人情報の保護に関する法律についてのガイドラインに関するQ&A」等に一般人にもわかりやすい解説を用意するべきではないか。
（理由）
生体データの問題に関連し、顔識別機能付きカメラシステムの誤登録の被害者が個人情報取扱事業者に顔データの削除などを請求しても事業者から拒否される場合が多い。また誤登録の被害者等は法律のプロではないことが一般的である。
そのため、開示・訂正等請求を求める一般人（防犯カメラの誤登録の被害者等）が個人情報保護法などにおいて取りうる法的手段（例えば個人情報取扱事業者のウェブサイト上のプライバシーポリシー上の開示・訂正等請求の手続きに従って請求を行う、開示・訂正等請求の民事訴訟を提起する等）に関して、個人情報法保護法ガイドライン（通則編）や「個人情報の保護に関する法律についてのガイドラインに関するQ&A」等に一般人にもわかりやすい解説を用意するべきではないか。あるいは一般人向けに開示・訂正等手続きについて解説した「自治会・同窓会等向け会員名簿をつくるときの注意事項ハンドブック」のようなパンフレットを作成すべきではないか。

以上

■関連するブログ記事
・MyData Japan 2024の「George's Bar ～個人情報保護法3年ごと見直しに向けて～」の聴講メモ
・個情委の「３年ごと見直し」における医療データの取扱いに本人同意を不要とする議論に反対する



PR

タグ ：

#個人情報保護法いわゆる3年ごと見直しに係る検討の中間整理

#パブコメ

#個人情報保護委員会

#個人情報

#privacy

#プロファイリング

#こども

#医療データ

#防犯カメラ

#AI

１．はじめに

個人情報保護委員会が令和６年４月10日付で公表している「個人情報保護法いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方②）」の資料を読んでみました。今回の資料は、①子どもの個人情報、②消費者団体訴訟制度、の２点を取り上げています。

２．子どもの個人情報

本資料１頁は、まず「現行の個人情報保護法上、子どもの個人情報の取扱い等に係る明文の規定はない」とした上で、個人情報保護法ガイドライン（通則編）２－16および個人情報保護法ガイドラインQA1-62が、「「本人の同意」を得ることが求められる場面（目的外利用、要配慮個人情報の取得、第三者提供等）について、以下のとおり、「一般的には12歳から15歳までの年齢以下の子どもの場合には法定代理人等から同意を得る必要がある」とされている」と説明しています。



つぎに本資料は、児童の権利条約（1989年）やデジタル環境下のこどもに関するOECD勧告（2021年）が、子どものプライバシーやデータ保護が重要であると規定していると説明しています。

また、本資料３頁以下は、子どもの個人情報に関する外国制度として、EU、イギリス、アメリカ、中国、韓国、インド、インドネシア、ブラジル、カナダ等の法制度を概観しており、「子どもの個人情報等をセンシティブ情報又はセンシティブデータと分類した上で特別な規律の対象とするケース」や「子どもの個人情報に特有の規律を設けるケース」が多いと分析しています。





さらに本資料８頁以下は、子どもの個人情報に関する外国における主な執行事例として、InstagramやTikTok、YouTubeなどの事例をあげています。


加えて本資料10頁は、日本における子どもの個人情報に関する社会的反響の大きかった事例として、①全寮制の学校Aが、全生徒にウェアラブル端末を購入してもらい、心拍数、 血圧、睡眠時間等の個人データを収集しようとした事件（広島叡智学園事件（2018年））、②学校Bで、生徒の手首につけた端末で脈拍を計測し、授業中の集中度を測定する実証研究を行った事件（市立鷲宮中学校事件（2021年））の概要が紹介されています。

また、子どもの個人情報に関連して個人情報保護法に基づく行政上の対応が行われた事例として、四谷大塚事件（2024年2月）の概要が紹介されています。



なお本資料12頁は、「個人情報保護法相談ダイヤルにおける子どもの個人情報等に係る相談事例等」として、頻度の多い相談事例や、その他の相談事例等をあげていますが、とくに「事例C 事業者がパンフレットに児童の個人情報を掲載しているが、当該掲載について児童から口頭で同意をとったのみであり、親には何らの連絡もなかった」事例や、「事例D 未成年の娘あてに事業者からDMが届いた。発送先の事業者に確認したところ、名簿販売業者から娘の情報を取得したうえで営業をかけているようであった」という事例、「事例G 事業者が保有する児童の個人情報について、親が開示・削除等の請求をしているにもかかわらず、なかなか応じてくれない」事例、などを読むと、やはり子どもの個人情報の法規制は待ったなしだと思われます。

３．消費者団体訴訟制度

本資料15頁は、適格消費者団体は、「不当な勧誘」、「不当な契約条項」、「不当な表示」などの事業者の不当な行為をやめるよう求めることができるとし、「事業者が不特定かつ多数の消費者に対して消費者契約法等に違反する不当な行為を行っている、又は、行うおそれのあるとき」には差止請求を行うことができると説明しています。この「消費者契約法等」には消費者契約法のほか、景品表示法、特定商取引法、食品表示法が規定されていると説明されています。（個人情報保護法はまだ規定されていない。）

また本資料17頁は、団体訴訟の差止請求に関連し、「個人情報に係る本人が不特定かつ多数と評価しえる事例に係る個人情報保護法に基づくこれまでの主な行政上の対応」として、Facebook事件（平成30年10月）、JapanTaxi事件（平成30年11月、令和元年9月）、リクルート内定辞退率予測データ事件（2019年）、破産者マップ事件（令和４年）、ビジネスプランニング事件（令和６年１月）の概要をあげています。




さらに本資料21頁は、「不法行為の成否と個人情報保護法の関係」として、令和５年の顔識別機能付き防犯カメラ報告書からつぎのように一部を抜粋しています。

『「不法行為法と個人情報保護法はその目的や性格に異なる部分があることから、不法行為が成立する場合、同時に個人情報保護法違反となる場合もあり得るが、不法行為が成立したからといって必ずしも個人情報保護法違反となるわけではない。」
「不法行為の成否を評価するに当たり考慮される要素は、個人情報保護法上も不適正利用の禁止規定（法第19条）や適正取得規定（法第20条第１項）の解釈などにおいて、考慮すべきであると考えられる。」
（出典）「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」（令和５年３月）から引用。』

「不法行為の成立＝個人情報保護法違反ではない」としつつも、「不法行為の成否を評価するに当たり考慮される要素は、個人情報保護法上も不適正利用の禁止規定（法第19条）や適正取得規定（法第20条第１項）の解釈などにおいて、考慮すべきであると考えられる。」と個人情報保護委員会がしていることは、個情委が今後、不適性利用禁止条項を積極的に発動する可能性があるのではないでしょうか。個人的には個情委のこの取組みに期待したいです。

また本資料21頁は、個人情報の取扱いにおいて損害賠償責任が問題となった主な事例として、早大名簿提出事件（最高裁平成15年9月12日判決）とベネッセ個人情報漏洩事件（最高裁平成29年10月23日判決）をあげています。



ベネッセ個人情報漏洩事件はおよそ3500万件もの個人情報が漏洩した事件ですが、このように被害者が不特定かつ多数の個人情報漏洩事件について、消費者団体訴訟における損害賠償請求ができるようになることは、被害者救済の観点から重要であると思われます。また、団体訴訟制度の個人情報保護法への導入は、事業者の実務への影響は非常に大きいと思われます。

■関連するブログ記事
・PPCの「個人情報保護法いわゆる３年ごと見直し規定に基づく検討」(2023年11月)を読んでみた
・個情委の「個人情報保護法いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方①）」を読んでみた
・埼玉県の公立中学校の「集中しない生徒をリアルタイムで把握」するシステムを個人情報保護法や憲法から考えた
・戸田市の教育データを利用したAI「不登校予測モデル」構築実証事業を考えた－データによる個人の選別



PR

タグ ：

#子ども

#個人情報

#団体訴訟

#個人情報保護委員会

#privacy

#security

#3年ごと見直し

７月１日に日本データベース学会の「2023年度第1回DBSJセミナー「AI生成コンテンツ利用における法的課題や活用事例」」をオンラインで受講しました。弁護士の田中浩之先生の個人情報保護法に関する講義が大変勉強になったので、講義中にとったメモをまとめてみたいと思います。（メモのため、もし間違いがあった場合それは私の責任です。）

１．学習済みパラメータは、個人情報に当たるか？
個人情報保護法ガイドラインQA1-8によれば個人情報にあたらない。また同QA2-5によれば個人情報の取扱いではないのでプライバシーポリシーの利用目的に記載する必要はない。

２．生成AIと要配慮個人情報について
●個人情報をAIでプロファイリングして得られた推知情報が要配慮個人情報に該当するかについては、該当しないとするのが日本の個人情報保護法学界の多数説である。

●ネット上の個人データの収集（スクレイピング）自体については個人情報保護法はこれを規制していない。しかし要配慮個人情報の取得については原則として本人の同意が必要となる（法20条２項）。ただし法20条２項７号は「当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合」には本人同意が不要と規定しているので、本人がネット上の要配慮個人情報を公開している場合などはこの例外規定が適用される。

●ネット上の要配慮個人情報の収集（スクレイピング）については、個人情報保護委員会（PPC）が6月２日付で発出した「生成AIサービスの利用に関する注意喚起等について」の「【別添２】OpenAIに対する注意喚起の概要」の１．（１）（２）が参考になる。すなわちPPCはつぎのように整理している。


（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」「【別添２】OpenAIに対する注意喚起の概要」より）

３．生成AIと第三者提供
●個人情報をchatGPT等の生成AIに入力することはchatGPT（openAI社）等への第三者提供に該当するのか？
・個人情報保護法ガイドラインQA7-53、54はクラウトサービスに事業者が個人情報を預ける場合に関して、それがただ単に「倉庫として利用しているような場合」には第三者提供には該当しないとしているところ、chatGPT等の生成AIは処理や機械学習などを行っているので、これを「倉庫として利用しているような場合」と考えることはできず、原則として第三者提供に該当すると考えるべきであろう。

ただし、上述の個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等について」の「【別添１】生成AIサービスの利用に関する注意喚起等」は、生成AIが機械学習をしていないのであれば第三者提供に該当しないと読める。

なお、openAI社のchatGPTの利用規約などを読むと、openAI社は「入力された情報を30日間保存する」と規定している。しかしこの点については、個人情報保護法27条１項２号の「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。」に該当する場合であるとして、第三者提供にあたらないと考えることは可能であろう。

企業などがopenAI社とデータ処理契約（DPA）を締結してchatGPTを利用する場合には、契約内容にてこれらの点を問題ないように処理できるであろう。しかしopenAI社とデータ処理契約を締結できない個人の利用などの場合には、第三者提供の問題が起きることになるであろう。

４．生成AIと不適正利用禁止規定
●chatGPTなどの生成AIが勝手に個人情報に関する回答を行ったらどうなるか？
・このような場合については、chatGPTなどの生成AIは統計的な計算により回答を行っていることから第三者提供にはあたらないと考えることもありうる。とはいえ、chatGPTなどが嘘の前科を回答する事例は現実に発生しており、これは大問題といえる。

この点に関しては個人情報保護法19条の不適正利用の禁止の条文の適用も考えられるが、個人情報保護委員会はこの条項を伝家の宝刀としてこれまではあまり発動してこなかった。しかし、個人情報保護委員会が本年３月に公表した、「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会」の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書（令和５年３月）」20頁はつぎのように記述しており、個人情報保護法とプライバシーが重なり合う場面において、法19条の不適正利用禁止条項が法執行されることが今後はあるかもしれないと思われる。


（個人情報保護委員会「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書（令和５年３月）」20頁より）

このブログ記事が面白かったらシェアやブックマークをお願いします！

■関連するブログ記事
・chatGPT等の「生成AIサービスの利用に関する注意喚起等について」に関して個人情報保護委員会に質問してみた
・【備忘録】文化庁の著作権セミナー「AIと著作権」について
・個人情報保護委員会の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書（案）」に関するパブコメに意見を書いてみた



PR

タグ ：

#chatGPT

#openAI

#個人情報

#田中浩之

#日本データベース学会

#security

#privacy

#個人情報保護委員会

#AI