チームみらいの安野貴博でございます。
今回の統計作成等特例では、非公開の病歴やゲノム情報といった最も慎重に扱われるべき要配慮個人情報がＡＩ開発事業者に提供できるようになります。これは、データの利活用が進み、日本の成長に資する可能性がある一方で、制度としては極めて重い変更でございます。
データの利活用は、データの先にいる個人の信頼の上にしか成り立ちません。そして、信頼は個人情報が本当に守られているかどうかという事実の積み重ねからしか生まれません。守りが甘いまま利活用だけを急げば、一たびの重大な漏えいや再識別事故で信頼が失われ、結局は利活用そのものが止まってしまうおそれもございます。
そのため、チームみらいとして、個人情報保護の実効性が確保されるよう、政府に責任ある制度運用と実務対応を求めてまいりたいと思います。本日は、その具体的な方針についてこの場でしっかりと確認をしてまいります。
また、本日は、統計作成等特例に関する質問だけではなく、新設される新百八十条についてもお伺いいたします。本規定の解釈を明らかにして、正当な報道や内部告発の萎縮を招く規定になっていないかどうかを見極めてまいりたいと考えます。
まず、統計作成等特例における個人情報保護を担保する仕組みについてです。
本特例では、要配慮個人情報を含むデータが本人の同意なくＡＩ開発事業者に提供されます。だからこそ、提供されたデータが特例の範囲でのみ使われ、保護が尽くされているか、この確認が制度の安全性を支える一つの要になると考えます。
そのために重要となるのが、データの受渡し段階での相互確認を仕組み化することだと思います。本当に必要なデータだけをやり取りしているか、提供後の個人情報の保護体制は万全か、これらをデータの提供元と提供先が文書で明確にして、互いに確認し合うことが透明性を高めると考えます。
例えば、ＥＵのＧＤＰＲでは、アカウンタビリティー原則の下、データの管理者だけでなく処理者も含めて処理活動を記録することを義務付けております。また、契約時には、データの種類や目的、安全管理措置、再委託の条件などを明示することを求めております。
日本でもＥＵと同様に、データ提供元と提供先が相互確認すべき事項を詳細に規定し、契約時に記録する旨を奨励すべきではないでしょうか。具体的な事項としては、提供するデータ項目と必要な理由だけではなく、データ提供後の再委託の有無や個人との対応関係を絶つ手法、そして外部攻撃への防御体制を含む安全管理措置まで踏み込むべきと考えます。
そこで、まず個人情報保護委員会にお伺いいたします。
これらの事項を提供元、提供先で共有し、双方が記録すべきである、この点をガイドラインの中で明示いただけますでしょうか。
163佐佐脇紀代志個人情報保護委員会事務局長
お答え申し上げます。
まず、法的な整理でございまして、個人の権利利益を保護するものである一方、私どもが当初念頭に置きました適格消費者団体が利益を擁護できるのは消費者でございますので、その相違についての整理が不十分だったというふうに自覚してございます。
また、消費者団体などからは、個人情報の取扱いの態様などが適格消費者団体が一義的に対象としております消費者契約と異なりまして外部から非常に把握しづらいということもありまして、実務上の課題に対する御懸念の声もあったのは事実でございまして、そういったことから見送ることにしてございますが、消費者団体との連携を引…
この発言のページ
164
松下新平(自民)
申合せの時間が参っておりますが。
この発言のページ
165
伊波洋一政府参考人など
法案では、氏名、住所とひも付けられた要配慮個人情報が、匿名化などのデータ加工されることなく、生のままデータとしてＡＩ開発事業者に取得、提供されます。このような法案は、ＡＩ開発の目的のために個人情報保護を大きく後退させるものになりかねません。
撤回することを求めて、質問を終わります。
この発言のページ
- （上の発言）
166
安野貴博(みらい)
チームみらいの安野貴博でございます。
今回の統計作成等特例では、非公開の病歴やゲノム情報といった最も慎重に扱われるべき要配慮個人情報がＡＩ開発事業者に提供できるようになります。これは、データの利活用が進み、日本の成長に資する可能性がある一方で、制度としては極めて重い変更でございます。
データの利活用は、データの先にいる個人の信頼の上にしか成り立ちません。そして、信頼は個人情報が本当に守られているかどうかという事実の積み重ねからしか生まれません。守りが甘いまま利活用だけを急げば、一たびの重大な漏えいや再識別事故で信頼が失われ、結局は利活用そのものが止まってしまうおそれもございます。
そのため、チームみらいとして、個人情報保護の実効性が確保されるよう、政府に責任ある制度運用と実務対応を求めてまいりたいと思います。本日は、その具体的な方針についてこの場でしっかりと確認をしてまいります。
また、本日は、統計作成等特例に関する質問だけではなく、新設される新百八十条についてもお伺いいたします。本規定の解釈を明らかにして、正当な報道や内部告発の萎縮を招く規定になっていないかどうかを見極めてまいりたいと考えます。
まず、統計作成等特例における個人情報保護を担保する仕組みについてです。
本特例では、要配慮個人情報を含むデータが本人の同意なくＡＩ開発事業者に提供されます。だからこそ、提供されたデータが特例の範囲でのみ使われ、保護が尽くされているか、この確認が制度の安全性を支える一つの要になると考えます。
そのために重要となるのが、データの受渡し段階での相互確認を仕組み化することだと思います。本当に必要なデータだけをやり取りしているか、提供後の個人情報の保護体制は万全か、これらをデータの提供元と提供先が文書で明確にして、互いに確認し合うことが透明性を高めると考えます。
例えば、ＥＵのＧＤＰＲでは、アカウンタビリティー原則の下、データの管理者だけでなく処理者も含めて処理活動を記録することを義務付けております。また、契約時には、データの種類や目的、安全管理措置、再委託の条件などを明示することを求めております。
日本でもＥＵと同様に、データ提供元と提供先が相互確認すべき事項を詳細に規定し、契約時に記録する旨を奨励すべきではないでしょうか。具体的な事項としては、提供するデータ項目と必要な理由だけではなく、データ提供後の再委託の有無や個人との対応関係を絶つ手法、そして外部攻撃への防御体制を含む安全管理措置まで踏み込むべきと考えます。
そこで、まず個人情報保護委員会にお伺いいたします。
これらの事項を提供元、提供先で共有し、双方が記録すべきである、この点をガイドラインの中で明示いただけますでしょうか。
167佐佐脇紀代志個人情報保護委員会事務局長
お答え申し上げます。
統計作成等の特例におきましては、条文上、提供先がＡＩ開発等の統計作成等目的で取り扱う必要がある場合ということに限定していることを要件としてございます。また、本法案におきましては、統計作成等につきまして、委員会規則において、安全管理のために必要かつ適切な措置を講じた上で行われるものに限定することを想定してございます。
そのため、適法にデータ提供を実施する観点からは、提供する時点において、提供先がどのような安全管理措置を講じた上でどのようなＡＩモデルを開発するのか、そのためにどのような個人情報が必要となるのかなどについて提供先が十分…
この発言のページ
168安野貴博(みらい)
御答弁いただき、ありがとうございます。
前回の委員会から申し上げておりますが、ガイドラインを読めば事業者が何をすればよいか分かる状態になっているということが実質的な個人情報の保護につながると考えておりますので、是非、提供元と提供先の双方が保護に責任を持つ環境を整備いただくようお願いしたいと思います。
続いて、ＡＩモデルに対する外部攻撃への備えについて伺います。
統計作成等特例はＡＩ開発を対象に含んでおります。しかし、ＡＩモデルをめぐっては、急速な進化に伴い、新たな攻撃手法が次々と生まれております。例えば、前回の委員会で指摘させていただいたメンバーシ…
この発言のページ
169
松本尚(自民)デジタル大臣・内閣府特命担当大臣（サイバー安全保障）
委員会規則において、復元等のリスクに応じて技術的な見地から合理的、効果的な復元防止措置を確実に実装することが重要でございます。それがある意味、この特例の肝でもあるかと思いますので、今お話のあった想定されるＡＩモデルに対する攻撃手法等を踏まえたリスク、それに対して講じるべき措置等の内容や技術的な手法についてはガイドライン等でしっかりと例示をしてまいりたいと思います。
また、特にこの技術動向の変化が非常に速いので、適時適切に必要に応じた見直しをしてまいりたいというふうに思って、確実に情報発信を進めるということはお約束します。
この発言のページ