１．デジタル庁のデジタル認証アプリのパブコメ結果が公開される
デジタル庁のデジタル認証アプリについてはこのブログで何回か取り上げていますが、そのパブコメ結果が公表されているので読んでみました。つぎのパブコメ意見13番は私が送った意見とその回答です。
・「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案」に係る意見募集の結果について｜e-Gov

パブコメ意見13番のデジタル庁の回答
デジタル認証アプリにおいては、個人情報を取り扱う場合、個人情報保護法に基づき適切に取り扱い対応します。シリアル電子証明書の発行番号をもとに、氏名等の４情報を照会することは、目的外利用に当たるため行うことができません。
また、デジタル庁がデジタル認証アプリを提供する際には、改正案の第29条第２項に基づき、セキュリティに関してプラットフォーム事業者と同等の基準を遵守する必要があります。
なお、デジタル庁を含む署名検証者については、電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律（以下「公的個人認証法」といいます。）第52条及び第53条において、シリアル番号を含む、地方公共団体情報システム機構から受領した電子証明書失効情報等について確認以外の目的での利用・提供が禁止されております。

２．「基本４情報は個人情報保護法上、目的外利用しない」
公的個人認証法の施行規則の一部改正で、デジタル庁が署名検証者になると個人の官民の各種サービスの利用履歴が一元管理され、国による名寄せやプロファイリング等の危険があるのでは？との趣旨の意見を私は送りました。しかし、デジタル庁の回答は「基本４情報は個人情報保護法上、目的外利用しない」だけです。

名寄せやプロファイリングの危険の対象は氏名・住所などの基本４情報というよりは官民の各種サービスの利用履歴であるわけですが、これら基本４情報以外の利用履歴等の情報の問題についてはデジタル庁は答えていないのは肩透かしであるように思えます。

３．公的個人認証法52条、53条の「電子証明書失効情報等」
また、パブコメ回答は公的個人認証法52条、53条が「電子証明書失効情報等」についても認証業務以外の利用が禁止されている旨を書いていますが、電子証明書失効情報等は同法の条文を読む限り、電子証明書が失効しているかどうかの情報であって、個人の官民の各種サービスの利用履歴の問題には関係ないように思われます。ここも肩透かしの回答のように思われます。

４．法律による行政の原則
さらに、デジタル庁が署名検証者になるという国民のプライバシーリスクのある今回の重大な制度改正について、国会による法律でなく施行規則（行政の内部規則）の一部改正だけで対応することは、「法律による行政の原則」（＝国会による行政の民主的コントロール、憲法 41 条、65 条、 76 条）に反するとも私はパブコメ意見を書きました。しかし、この点は完全にゼロ回答となっています。

この点に関しては、デジタル庁に憲法・行政法をわかっている職員の方がいないのだろうかと、やや心配です。（デジタル庁の役職員の方々は、自分達を行政ではなく民間IT企業と勘違いしているのではないかと心配になることがあります。）

５．デジタル認証アプリのプライバシーポリシー
なお、デジタル庁は「基本４情報は個人情報保護法上、目的外利用しない」と回答しているので、デジタル認証アプリの利用目的をみるためにデジタル認証アプリのプライバシーポリシーを見てみると、「2. 取得する情報の範囲及び利用目的」の２項が「デジタル認証アプリサービスは、行政機関等又は民間事業者の依頼を受け、マイナンバーカードの読み取り等又は検証等を行い、当該読み取り等又は当該検証等に係る情報を当該行政機関等又は当該民間事業者（以下「委託者」という。）に連携するに当たり、利用者証明用電子証明書のシリアル番号、委託者、依頼に係るサービス、検証等の結果又は検証等若しくは連携等の日時を記録します。保有する当該記録は、デジタル認証アプリサービスの運用のために必要がある場合のみ利用します。」と規定しています。


すなわち、「シリアル番号、委託者、依頼に係るサービス、検証等の結果又は検証等若しくは連携等の日時」などの利用履歴に関する情報については、「デジタル認証アプリサービスの運用のために必要がある場合のみ利用します。」と規定されています。

そのため、デジタル認証アプリによりデジタル庁のサーバーに蓄積・保存された国民個人のさまざまな官民のサービスの利用履歴を政府（デジタル庁）が不当に名寄せ・プロファイリングなどしてしまうのではないかとのプライバシーリスクの問題については、デジタル認証アプリのプライバシーポリシーで一応対応がなされているように思われます。（しかしこのような重大な問題を、法律でなくプライバシーポリシー・レベルで対応してよいのか？という問題は依然として残るように思われます。）

ただし、デジタル認証アプリのプライバシーポリシーの「3. 利用及び提供の制限」は、「デジタル庁は、法令に基づく場合を除き、デジタル認証アプリサービスにおいて保有する情報を前条の利用目的以外の目的のために自ら利用し、又は第三者に提供いたしません。」と規定しており、「法令に基づく場合」にはデジタル庁が保有する各種の利用履歴が政府の各部門に利用やされる余地が残されている点は、やや心配です。



PR

タグ ：

#デジタル認証アプリ

#デジタル庁

#パブコメ

#公的個人認証法

#マイナンバーカード

#マイナンバー

#個人情報

#法律による行政の原則

#security

#privacy

日本版DBS（こども性暴力防止法案）の導入の議論が国会で始まりました。この制度については刑法上の論点（刑法34条の２との整合性等）、憲法上の論点（職業選択の自由・営業の自由（憲法22条、29条）、プライバシー権（13条）等）などがありますが、このブログ記事では、個人情報保護法上の論点について見てみたいと思います。

まず犯罪歴は社会的な差別のおそれがあるため要配慮個人情報（個情法2条３項）の一つに分類されており、犯罪歴や前科などの情報の収集には原則として本人の同意が要求される等、厳格な取扱いが求められています（個情法20条２項）。

そして、個情法124条１項は行政機関等に対する本人からの個人情報の開示請求につき、犯罪歴等を対象外と規定しています。

個人情報保護法
（適用除外等）
第１２４条　第四節の規定は、刑事事件若しくは少年の保護事件に係る裁判、検察官、検察事務官若しくは司法警察職員が行う処分、刑若しくは保護処分の執行、更生緊急保護又は恩赦に係る保有個人情報（当該裁判、処分若しくは執行を受けた者、更生緊急保護の申出をした者又は恩赦の上申があった者に係るものに限る。）については、適用しない。

この条文は、雇用主が採用予定者の前科の有無等をチェックする目的で、本人に開示請求をさせる等の、本人の社会復帰や更生の阻害を避ける趣旨であるとされており、旧・行政機関個人情報保護法45条１項を承継するものです（岡村久道『個人情報保護法 第４版』554頁、宇賀克也『新・個人情報保護法の逐条解説』715頁）。つまり、個情法124条1項はまさに日本版DBS制度のようなことが行われることを防止している条文なのです。

このように、個人情報保護法には、犯罪歴等のある従業員等の更生のために、雇用主による従業員等の前科等のチェックが行われることを防止する条文が存在します（法124条１項）。その観点からも、政府や国会は、日本版DBSについて慎重な検討を行うべきです。

（なお、同様のことは、これも国会で法案が成立した、セキュリティ・クリアランス制度についても言えるのではないかと思われます。）

いうまでもなく子どもに対する性犯罪は許しがたい犯罪です。子どもに対する性犯罪の防止は重要です。しかし、政府が政策を実施するためには、日本が近代立憲主義の法治国家である以上、犯罪防止や被害者の権利利益の保護と、過去に性犯罪を犯した者の権利利益とのバランスが必要となります。

政府与党は「被害者がかわいそう」と感情的に思考停止するのではなく、日本版DBS制度が過去に性犯罪を犯した者の社会復帰や更生にどのような影響を与えるのか、その影響にどのような歯止めをかけるのか（比例原則に応じた犯罪歴の保存期間・照会可能期間の限定、犯罪歴を参照できる事業者等の制限、本人からの開示・訂正・削除請求など本人関与の仕組み、目的外利用の禁止、安全管理措置）等について、もう少し慎重に議論をすべきではないでしょうか。国会でもこの点を十分に議論してほしいと思います。情報法・行政法・憲法などの学者の先生方も社会に情報発信していただきたいと思います。

■参考文献
・高平奇恵「日本版DBSの課題と展望」『法学セミナー』2024年３月号52頁
・岡村久道『個人情報保護法 第４版』554頁
・宇賀克也『新・個人情報保護法の逐条解説』715頁
・「日本版DBS」についてぜひ考えてほしいこと｜園田寿



PR

タグ ：

#日本版DBS

#セキュリティ・クリアランス

#個人情報

#security

#privacy

#こども性暴力防止法案

１．4月3日の個人情報保護委員会の議論

個人情報保護委員会では現在、個人情報保護法の「いわゆる３年ごと見直し規定に基づく検討」、つまり次の個人情報保護法改正に向けた検討が行われています。そして2024年4月３日の同委員会では、AIと医療関係に関する有識者ヒアリングが行われたそうです。

・第279回個人情報保護委員会｜個人情報保護委員会

そして同委員会では、医療データの取扱いについて患者の本人の同意を原則不要とする方向の議論が行われたようですが、私個人はこの方向性に反対です。

すなわち、4月3日の個人情報保護委員会の有識者ヒアリングにおける森田朗・名誉教授の資料「医療情報の利活用の促進と個人情報保護」には、医療関係において一時利用（＝治療）の場合の患者の本人の同意を不要とし、二次利用（＝製薬会社やIT企業などによる二次利用）の場合にも本人の同意を不要とする（ただしオプトアウトについては要検討）となっています。


（4月3日の個人情報保護委員会資料より）

現行の個人情報保護法は目的外利用の場合、第三者提供の場合、要配慮個人情報の取得の場合、には本人の同意が必要と規定しています（法18条、20条２項、27条１項）。また、厚労省・個人情報保護委員会の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」も、これらの場合には患者の「黙示の同意」が必要であるとしています。そのため、現在、個情委など政府で議論されていることは、仮に実現した場合、従来の個人情報保護法制の基本的なルールの大きな転換をもたらすものです。

２．プライバシーや個人情報保護法（個人データ保護法）の趣旨・目的

憲法・情報法学上、学説や下級審判例においては、プライバシーや個人情報保護法（個人データ保護法）の趣旨・目的を「個人の私生活上の事項の秘匿の権利を超えて、より積極的に公権力による個人情報の管理システムに対して、個人に開示請求、修正・削除請求、利用停止請求といった権利行使が認められるべきである」とする自己情報コントロール権（情報自己決定権）説が学説上の通説とされています。

近年、曽我部真裕教授、音無知展教授などによる「自己の情報を適切に取扱われる権利」説が有力に唱えられ、また情報技術者の高木浩光氏の「関連性のないデータによる個人の選別を防止する権利」説なども主張されていますが、現状では自己情報コントロール権（情報自己決定権）説が学説上の通説であると思われます（渡辺康行・宍戸常寿・松本和彦・工藤達朗『憲法Ⅰ基本権』120頁、曽我部真裕など『情報法概説 第２版』209頁、宍戸常寿等『憲法学読本』93頁、村上康二郎「情報プライバシー権の類型化に向けた一考察」（2023年12月）など）。

「自己の情報を適切に取扱われる権利」説からは、個人の個人情報・個人データが官民の情報システムで「適切」に取扱われている限りは、個人の側は官民の情報システムの管理者・運営者に対して何も言えないことになってしまいますが、自己情報コントロール権説からは、個人の人格的自律や自己決定権の観点から情報システムの管理者に対して自己の情報に対して申出ができることになります。日本が個人の人格的自律を基本とする自由主義・民主主義国家（憲法１条、13条）である以上、現状では自己情報コントロール権説（または自己情報コントロール権と「自己の情報を適切に取扱われる権利」との折衷説（村上康二郎））が現状では妥当であるように思われます。

そして自己情報コントロール権説からは、個人情報保護法が目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合において、事業者や行政機関等が患者などの本人の同意を取得することが必要と規定されていることは当然のことと考えられます。

そのため、この目的外利用や第三者提供をする場合、医療データなどの要配慮個人情報を収集する場合に本人の同意の取得を不要とする森田朗名誉教授などの主張は自己情報コントロール権説に反し、つまり個人情報保護法（個人データ保護法）の趣旨・目的に反していることになります。

また、法律論を離れても、たとえば4月3日の個人情報保護委員会の有識者ヒアリングでは、横野恵准教授の「医療・医学系研究における個人情報の保護と利活用」との資料13頁の「ゲノムデータの利活用と信頼」においては、一般大衆の考えとして、ゲノムデータの利活用に関する「信頼の醸成に寄与する要素」の２番目に「オプトアウト制度」があがっています（“Public Attitudes for Genomic Policy Brief: Trust and Trustworthiness.” ）。


（4月3日の個人情報保護委員会資料より）

したがって、医療データの利用等に関して、患者の本人の同意やオプトアウト制度を廃止する考え方は、一般国民の支持を得られないのではないでしょうか。

３．すべての国民個人は医療に貢献すべきなのか？

森田名誉教授など、医療データの製薬会社やIT企業などによる利活用を推進する立場の人々は、「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」との考え方を前提としているように思われます。

たしかに患者が医療に貢献することは一般論としては「善」かもしれません。しかし上でも見たように、日本は個人の自由意思を原則とする自由主義・民主主義国です（憲法１条、13条）。患者個人が医療や社会に貢献すべきか否かは個人のモラルにゆだねるべき問題であり、ことさら法律で強制する問題ではないはずです。すなわち、患者の医療への貢献などは、自由主義社会においては自由な討論・議論によって検討されるべきものであり、最終的には個人の内心や自己決定にゆだねられるべきものです（憲法19条、13条）。

「日本国民はすべて医療データを製薬会社などに提供し、医療や社会に貢献すべきだ」「そのような考え方を個人情報保護法の改正や新法を制定し、国民に強制すべきだ」との考え方は、中国やロシアなど全体主義・国家主義国家の考え方であり、自由主義・民主主義国家の日本にはなじまないものではないでしょうか。

また、患者の疾病・傷害にはさまざまなものがあります。風邪などの軽い疾病のデータについては、製薬会社などに提供することを拒む国民は少ないかもしれません。しかし、がんやHIVなど社会的差別のおそれのある疾病や、精神疾患など患者個人の内心にもかかわる疾病など、疾病・傷害にはさまざまな種類があります。それをすべて統一的に本人同意を不要とする政府の議論は乱暴なのではないでしょうか。

４．まとめ

したがって、憲法の立憲主義に係る基本的な考え方からも、医療データの一時利用・二次利用について患者の本人の同意を原則として不要とする議論は、個人情報保護法の趣旨・目的に反しているだけでなく、わが国の憲法の趣旨にも反しているのではないでしょうか。以上のような理由から、私は医療データの一時利用・二次利用について患者の本人の同意を原則として不要とする個人情報保護委員会や政府の議論には反対です。

このブログ記事が面白かったらシェアやブックマークをお願いします！

■関連するブログ記事
・政府の検討会議で健康・医療データについて患者の本人同意なしに二次利用を認める方向で検討がなされていることに反対する

■参考文献
・渡辺康行・宍戸常寿・松本和彦・工藤達朗『憲法Ⅰ基本権』120頁
・宍戸常寿など『憲法学読本』93頁
・曽我部真裕など『情報法概説 第２版』209頁
・駒村圭吾『Liberty2.0』187頁（成原慧執筆）
・村上康二郎「情報プライバシー権の類型化に向けた一考察」（2023年12月）



PR

タグ ：

#医療データ

#本人の同意

#個人情報

#security

#privacy

#森田朗

#曾我部真裕

#高木浩光

#宍戸常寿

#自己情報コントロール権