地域・こども・デジタル特別委員会

横串を通す中、ハザードといったようなものは感じてきたとの旨、大臣も先日述べられましたが、巨大なデータ需要が押し寄せる今、データ流通の機微を把握した各省庁への総合調整、統括、管理がますます重要になってくると思います。

今回の新たな権限を通じ、どの領域にどのようなデータ需要があるかの把握できるのはデジタル庁です。

この情報の入り口を突破口にいかに関係省庁への働きかけを主導していかれるのか。

はじめに松本大臣の御所見をお伺いいたします。

もちろん一方でしっかりとした情報の管理というのは、重要なことを言うまでもなく申し添えておきたいと思いますけれども、その上でデジタル庁としては、このデータを利活用する取組を、司令塔の機能を持つ関係省庁として進めていきたいというふうに思っています。

横串のお話がありましたが、それぞれの分野において関係大臣がいらっしゃいますから、その大臣とは連携を密にしなきゃいけませんが、そのいくつかいる担当の人たちの真ん中にデジタル庁が立って、その司令塔機能を進めていくということが必要だろうというふうに思っております。

統計作成等の特例につきましては、医療分野のように機密性の高い情報を扱う場合、研究や政策に資する一方で、国民から見れば、氏名、住所等がどの段階で整理され、不要な情報がどう削除されるかがわかりにくい不安があり、他方で、提供前の加工を一律に過度に求めれば、データの有効性を失い、研究の目を曇らせるジレンマもあり。

本特例の活用に不可欠と思われる、氏名等が削除されず、利用され続けるのではという懸念への明確な対応方針を改めてお答えください。

特にリスクの高い医療分野をはじめ、分野別でガイドラインを策定し、提供元でのデータ整理、提供先での不要なデータ削除、PETsの導入推奨など上乗せ措置についても検討すべきと考えますが、政府の見解をお伺いいたします。

それから大量のデータに含まれます個々の項目が提供先が行おうとする、そういった統計作成等との関係で、提供の際に必要か否かについて判断することが困難な場合も想定されますものですから、今特例におきましては、提供に際して特定の項目を一律に削除するといった要件は設けていないわけでございますが、とは言いましても、特例を活用する事業者におきまして、データの提供時点において、氏名や詳細な住所などの明らかに不要なデータが提供元によりいたずらに提供されたり、あるいはデータの提供後において、不要なデータが提供先よりいたずらに保持され続けられたりする事態を防止するためのリスクに応じた対応が求められますので、御説明を続けさせていただきます。

その場合には提供先がAI開発との目的で取り扱う必要がある場合というのが特例を満たすための条件でございますので、提供先において漏洩した場合のリスクなどが高いデータを提供する場合でございますとか、行う統計作成等の内容に照らしまして氏名などが明らかに不要で容易に削除できるとそういったものをそのまま提供するということになりますと、この必要がある場合という要件を満たさないということになります。

このため提供元が適法にデータ提供を実施する観点からは、提供時点におきましても明らかに不要なこれらの項目においてはしっかり削除としてリスク対応を行うことがこの法律によって求められるというふうに解釈されるかと思います。

また提供先におきましては、統計作成等によって定義上、個人の権利利益を害する恐れが少ないものとして、個人情報保護委員会規則で定めるものということに限定してございますので、法案をお認めいただいた場合には、この規則におきまして提供先に対し不要なデータ項目を随時削除するために必要な措置を講じるよう求めていきたいというふうに思っております。

このため漏えいした場合のリスク等に応じまして、必要のないデータ項目について次第なく削除するための適切な体制を整備・維持することなく、このAI開発等を行う統計作成、こういった開発を行う行為は、ここで特例を設けました統計作成等に該当しないことになりますので、その違反は課徴金の対象ということにしたいと思いますし、安全管理措置に係る違反その他の適用も想定してございます。

あらゆる分野を対象とする一般法でございますので、そのような臨機応変な対応をしっかり措置する予定でございまして、医療分野につきましては、その趣旨に鑑み、現在も医療介護関係事業者におけるガイドライン、ガイダンスというものがございますので、それをしっかり活用しながら対処してまいりたいとお考えでございます。

同時に中小企業の製造現場の熟練技能や、損保のデータを活用した自動運転への応用など、AI競争の本質は現場への実装密度で決まると言われるように、少子高齢化と人手不足の現場で動作するフィジカルAIやバーティカルAIこそ、課題先進国と言われている日本の勝ち筋であります。

AIは地方の現場産業の生産性を押し上げ、そして中小企業経営者のマインドとの相性が良いとも言われる中、無秩序な開放では大企業だけが利益を得て、地域社会が置いていかれる懸念というのもあります。

繰り返しとなりますが、公的基盤の整備を推進し、地方の現場産業を後押ししていただきたいと思いますが、この点についての政府の考えをお伺いしたいと思います。

御指摘がありましたように、大企業だけでなく、地方の中小企業のデータ利活用の促進というのは、我が国にとって重要な課題であるという認識でございます。

デジタル行政推進法等改正案におきましては、このような地方におけるデータの整備の促進という観点も踏まえまして、例えばですが、国や地方公共団体が保有するデータについて、両者が共同して行う整備・改善を推進するための措置、あるいは国とデータ活用事業に関する認定制度におきまして、認定を受けました事業者は、国の状況性機関等の保有するデータの提供を求めることができるほか、地方公共団体に対してもデータの提供等の協力を求めることができることとしておりまして、さらに複数事業者での計画も可能としているなど、地方の中小企業の取組につながる規定を盛り込んでいるところでございます。

これらの取組を通じまして、地方公共団体を含めたデータの整備及び中小企業を含む様々な主体におけるデータの利活用の推進を図ってまいりたいと思います。

そういった点で、今現在、国内のあらゆるところにいわゆるAIの燃料といわれるデータというのは埋蔵されている状況でございまして、これを最大限起動していくためにどうするかというところですが、地域を支える自治体や中小企業にはやはり専門人材というのは不足しているわけであります。

そういった意味で、今回新たにIPAに追加される役割を通じて、専門的知見を持たない中小企業が認定事業者として安全にデータ開発に参加できたり、また国と異なり、今回立て付けみましても提供任意となっております自治体についても、円滑にデータの提供ができるように、この双方向に伴走型の技術支援を行うべきではないかと考えますが、方針をお伺いしたいと思います。

内閣官房参事官、本法案の施行におきましては、国等データ活用事業の実施及び事業計画の認定に際しまして、御指摘のように技術的な事項、特にデータの安全管理等に関する専門的な知見が必要になりますことから。

そうした意味で、まずは国や自治体が持つさまざまなデータの利活用の意義について、政府としてどのように認識しているかについてお話を伺っていきたいというふうに思います。

その上で、現代社会において、新たな産業の創出、そして産業の効率化、高付加価値化、こういったことを生み出すためには、何といってもデータの利活用が必要になるというふうに思います。

データをそのまま直接的に業務に活用するというケースもあれば、技術開発のためにデータを活用するというケース、あるいはデータをしっかりと分析して消費者が好むようなより付加価値の高い商品開発をするというようなケース、さまざまなケースがあるというふうに思いますけれども、いずれにせよデータの利活用は産業の育成にとって必要不可欠なものでございまして、国や自治体が所有するさまざまなデータを現在活用できていない、活用しないという状況を放置するのは、私はとてももったいないことだというふうに思います。

政府としてもこうした問題意識を共有していただいているからこそ、今般の法改正につながったというふうに認識しておりますけれども、政府としてデータの利活用の意義、そして重要性をどのように認識されているのか、川崎政務官に伺いたいと思います。

西野委員、ご指摘のとおりデータは現在の社会的資源としてその有用性が広く認知されており、データの連携利活用、中でも組織を超えた社会全体でのデータ利活用の促進は、新たな産業を育成し、我が国の競争力強化につながる取組として非常に重要であると認識しております。

特に近年では、国力を左右するものとして各国でAIの開発活用の取組が強化されておりますが、まさにこのAIの性能向上にはデータの学習が不可欠となっております。

ここで取組例を一つ紹介させていただきますと、データを重要な経営資源として捉え、企業価値を高めるためのデータの適切な統治、すなわちデータガバナンスの重要性等、これを実践する要点をまとめたデータガバナンスガイドラインを政府が策定しており、企業におけるデータ利活用の促進を図っているところです。

そのため、今般この高まるデータの重要性に対してこれを適切に捉えつつ、分野横断的なデータ利活用を促進する措置を講じるために、まさにこの委員会でご議論いただいている今般のデジタル行政推進法の改正を行う、こうした議論を今皆様にしていただいているところでございます。

その中で、近年、我が国の産業を育てるという観点から、特に注目されているのが、特定の分野、特定の領域に特化したAI、いわゆるバーティカルAIと言われるものでございます。

今後、戦略上の重要分野として、こうしたバーティカルAIを位置づけて開発、実装、加速していく必要があるというふうに考えております。

国際的な競争が激化する中にあって、日本におけるバーティカルAIの可能性について、政府としてどう認識されているのか。

国内産業の育成、効率化という観点のみならず、国際競争に勝てるのかという観点からも、政府に伺いたいと思います。

大規模言語モデルなどの汎用AIの性能が急速に向上している中で、多くの産業などの現場では、より使い勝手が良く現場の課題解決を可能とするAIが求められておりまして、こうした観点から領域に特化することで、正確性と専門性を高めた、いわゆるバーティカルAIの開発活用が今後拡大すると見込まれてございます。

こうしたバーティカルAIの開発には、現場データの活用が鍵でございまして、暗黙知を含めた現場データを豊富に有する日本は、この分野で世界をリードできる可能性は十分にあると考えてございます。

すなわち、国内のみならず、世界各国の現場の課題解決にも有効なものを開発することで、その輸出も期待できるところでございます。

こうしたことを踏まえまして、バーティカルAIは日本の勝ち筋の一つであると考えておりまして、日本成長戦略の議論の中で、まさにこの分野の官民投資ロードマップを検討し整理しているところでございます。

今後、この官民投資ロードマップに基づきまして、バーティカルAIの開発実装を強力に推進してまいります。

自動運転技術の開発に関しましては、走行データをはじめ大量のデータの収集・蓄積を行って、AIに学習をさせる、これが重要でありまして、そうした中で今回の法改正は、国や自治体が保有するデータ等を活用することで、自動運転開発を加速させるものだというふうに、加速させることができるというふうに認識しておりますけれども、この自動運転走行の開発におけるデータの利活用の重要性についてどう認識されているのでしょうか。

また、自動運転走行の開発に当たりまして、国が所有するどのようなデータを活用することになるのか、どのようなデータの利活用が開発につながるのか、わかりやすく具体的に教えていただければと思います。

委員御指摘のとおり、自動運転の技術開発においてデータ利活用はこれ大変重要でございます。

特に近年では自動運転においてAIの活用が進んでおることから、質の高いAIの学習データを多く集めることが重要です。

具体的なデータとしては、例えば周辺の環境認識に必要なカメラやライダーなどのセンサーから取得した画像動画などのデータ、車両の位置情報の推定に必要な高精度三次元地図データ、優秀なドライバーがどのように運転するかの走行データなどが必要であると認識しております。

国が保有するデータの活用についても御指摘ございましたが、今の現時点では事業者の方について確認したところ、特段利用を想定してもありませんでしたけれども、今回の法改正の内容を見ながら事業者と連携してきていきたいと思います。

そんな中で、やはりこの自動運転走行の技術開発、アメリカ、中国に随分遅れをとってきたという印象があります。

その背景には、我が国においてデータの利活用がなかなか進んでこなかったという事情があるというふうに考えています。

それほど利活用をすることがそんなに困難ではない状況かなというふうに思いますので、そうした意味で日本の利活用が進んでこなかったという課題があるというふうに認識しておりますけれども、政府としてこういったことについてどのような課題意識、問題意識を持っていらっしゃるのかについて伺えればと思います。

我が国におけるデータ利活用に関する課題でございますけれども、さまざまなものがあると考えられますけれども、私どもが本法案の検討過程で設けました検討会においてヒアリングをさせていただいた事業者から、例えばということでご紹介させていただきますと、データガバナンスの確立を含めた安心してデータが提供できる環境の必要性、データの標準化の必要性、個人情報を含むデータに係る同意取得を含めた制度上の実務。

まず、統計作成等の特例における要配慮個人情報についてお伺いをいたします。

今回の改正では、統計作成やAI開発等を目的とする場合、一定条件の下で本人同意なしに個人情報を取得利用できる特例が設けられております。

本人同意なしで取得・利用・第三者提供が可能となる点への強い懸念が示されました。

特に病歴や健康診断情報などは極めてプライベート性が高く、一度漏洩すれば本人に重大な不利益を与えかねない情報であります。

さらに匿名化・仮名化されたデータであっても、AI技術の進展や他データとの突合によって再識別されるリスクも指摘をされております。

制度に対する国民の信頼を確保するためには、どこまで許され、どこからが許されないのかを明確化し、恣意的な運用や過度な拡大解釈を防ぐことが不可欠であると思います。

氏名付き病歴情報が本人同意なしで一旦提供され得ること、そして名前や住所など統計作成に不要な情報は利用側が削除するということ。

また提供後の削除が法律ではなく事業者判断に委ねられていることなど、つまり本人の同意また本人の関与がないまま極めてプライベートな情報が取り扱われることに強い不安を感じているところでございます。

そこで医療情報や病歴等について、氏名等を除去した仮名化を原則とし、個人特定リスクを極力低減することが必要であると考えますが、大臣の見解をお伺いいたします。

仮名化についてのお話ですけれども、AIの開発等においては、大量の文書を学習する場合など、個人情報が氏名や住所等の項目ごとに整理されていない、いわゆる構造化されていないデータというのもかなりあるわけでございます。

それから、そもそも提供先が行おうとするAI開発の関係で、そういった情報が必要かどうかということを提供元が判断するということは、困難な場合も想定されるということで、今回は事前に仮名化するとか削除することを要件としていないんですが、そもそもAI開発の目的でこういったことを取り扱う必要があるっていうのを要件としてですね、まずリスク等が極めて高いデータを提供する場合において、氏名等が不要なのにそれが明確に分かっているのにその削除が、そしてその削除も容易にできるのにそれをやってないよね、そのまま提供しているよねということになりますと、このAI開発の目的の要件を満たさないということになりますので、そういう意味においては、この細かい個人情報というのが利用されるということを、そこで一回歯止めにかけているということです。

それからもう一つは、提供元が適法に医療情報の提供を実施する観点からは、提供する元が提供する時点において、明らかに不要な項目がないということを適切な方法で特例要件を一つ一つ確認をした上で提供することが重要だということもガイドラインに明記する予定をしておりますので、そういった点において委員の懸念を払拭できるのではないかと考えております。

取り扱う事業者の観点ということも非常に重要であると思います。

この要配慮個人情報を取り扱う事業者について、今大臣から御答弁がありましたけれども、そうしたいわゆる安全管理、こうした義務をしっかりとやれる、できるのか、その事業者自体が信頼できる事業者なのかということを担保していただきたいと思います。

公表事項などのルールや、不適切処理などの能力が果たしてあるのか。

また提供する側も、この確認の責任を負うなど、安全性を担保する仕組みづくりが必要であるというふうに思います。

そこで、要配慮個人情報を扱う事業者に対する認定制度とか、第三者のチェックなど、安全管理の強化が必要であると考えますけれども、大臣の見解を伺います。

データの取扱業者を事前に審査認定する制度というのは今回設けておりませんが、デジタル行政推進法においてはどういうものを認定するかという制度は今回作りますから、そういったものを利用しつつ、おかしなデータの利用をする業者というのを極力排斥する、排除するということは可能だろうと思っています。

それから本特例においては、安全管理にとったための必要かつ適切な措置を講じることも求められ、また目的外利用が禁止され、違反すれば課徴金の対象になるというようなことを踏まえれば、この情報、個人との対応関係が排斥された統計情報の作成のみに利用されるということが担保されるというふうに考えております。

こういった規律をしっかり遵守しているかどうかも、本委員会がしっかりとモニタリングをするということで、二重、三重に懸念を払拭するような立て付けになっているということでございます。

次にAI学習に伴う再識別リスクについて伺います。

生成AIの急速な普及に伴い、学習データに含まれていた個人情報や機密情報が、AIの出力を通じて漏洩するリスクが国際的にも問題視されております。

海外では、会話型AIが学習データの中の氏名、住所、電話番号等を出力した事例や、企業内部情報が生成AI経由で外部流出した事例も報告をされております。

また、位置情報や購買履歴など、一見匿名化されたデータであっても、他の公開情報と突合することで、個人が再識別されたケースも海外で問題となりました。

さらにAIは膨大なデータを横断的に分析するため、現在は安全と考えられている匿名化技術であっても、将来的な技術進歩によって再識別される可能性は否定ができません。

先般の参考人質疑の中においても、AIモデルから個人情報が復元される可能性や、学習済AIから情報漏洩が起こり得ることなどへの懸念も示されました。

同じく参考人質疑の中で、わざとノイズを加える差分プライバシーや秘密計算、連合学習など、いわゆるPETs等のプライバシーを強化する技術が示されました。

単なる規制強化だけでなくて、こうした技術の社会実装を進め、安全性と利活用を両立させていくことが必要ではないかと考えます。

そこで、このAI学習に伴う再識別リスクや情報漏洩リスクに対し、匿名化、仮名化、差分プライバシー等を含め、どのような安全管理措置を求めていくのか。

また、PETsなどプライバシー強化技術については、政府として技術開発や社会実装を進めていくことが必要であると思いますが、大臣にお伺いをいたします。

統計作成等の特例につきましては、大量の個人情報を個人に関する情報に当たらない状態にまで加工するということが求められています。

ですから今、委員の方からお話がありました、仮名加工情報とか匿名加工情報というのは、基本的には個々人の区分を残した情報でございますから、そういう情報で使うということは認められていませんので、これについてはそこでしっかりと線が引かれるかなと。

故に本特例に基づいて作成されるAIのモデルにつきましては、再識別や漏洩のリスクというのは極めて低いものというふうに認識をしております。

また個人の権利利益を害する恐れが少ないものであることがこの特例が適用される要件になっておりますから、本特例を活用してAIを活用する事業者に対しては、個人情報等が復元されることを防止するために必要かつ適切な措置を求めていくということになっています。

それから委員が今ご指摘のありましたペッツの利用についてはですね、これはペッツについては私もその具体的なテクニカルなところは詳細は分からないというか、よく分かっていないんですけれども、いろいろと情報を集めますと、我が国はこのペッツの技術においては他国を凌駕するぐらいのレベルを持っているということでございますから、今後、政府においても、この技術の有効性、あるいはどうやって導入すればいいかというようなことを調査等を行って、ペッツの実態・ニーズ把握に努めながら、事業者にその導入を促す方策というものを、これから検討していきたいと思っております。

次に子どもの個人情報保護についても伺います。

子どもの個人情報保護については、子どもの最善の利益を最優先に考える視点が極めて重要であります。

現在、SNSや動画配信サービスでは、子どもの行動履歴や興味・関心が日々データとして蓄積され、ターゲティング広告や推薦アルゴリズムが活用されております。

子どもは大人と比べ判断能力や自制能力、リスク認識能力が十分ではなく、過度な広告誘導や長時間利用、依存的利用などの影響を受けやすいと思います。

さらに現在の年齢確認や保護者同意についても、私は18歳以上ですというところをクリックするだけで通過できるなど、形式的な運用にとどまっているというふうにも思います。

EUでは未成年へのターゲティング広告規制や、高プライバシー設定のデフォルト化など、国際的にも保護強化が進んでおります。

実効的な保護水準とは、単なる保護者同意にとどまらず、子どもへのターゲティング広告制限、推薦アルゴリズムの透明化、子どもへのプロファイリング制限、高プライバシー設定のデフォルト化なども含めたことを考える必要があると思います。

そこで、この子どもの年齢確認や保護者同意について、形式的な確認にとどまらない実効性ある仕組みをどのように構築をするのか。

またターゲティング広告推薦アルゴリズムなどから子どもを実効的に守るため、我が国としてどのような保護水準を目指していくのか、大臣にお伺いします。

その件で年齢確認や法定代理人からの同意取得をどのように実施すべきかというのは、今後委員会の定めるガイドライン等について、今後明確にしていかなければならないと思います。

その際には子どもの権利利益を保護できるよう適切にこの補助委員会の中で議論をしてまとめていきたいと思っております。

子どもを実効的に守るための保護水準の方針についてお話がございましたが、ターゲティング広告等に関わるご懸念だと思いますが、本法案によって事業者はターゲティング広告等に際して個人情報を第三者に提供する場合に法定代理人の同意を取得する、あるいは法定代理人からターゲティング広告等への子どもの個人情報の利用を停止するよう請求された場合、これに応じるという対応が求められることになります。

これによって子どもを実効的に守る一つの保護水準の方針となっております。

また、未成年者の最善の利益を優先して考慮しなければならない旨の責務規定を設けることとしておりますので、事業者においては、この責務規定に基づいて措置をとることを期待しております。

例えば、減量のための商品にかかる広告の配信のために子どもの個人情報を利用することは当然ながら控えていただくというようなことになりますので、こういった例を挙げながら、しっかりと事業者に対して周知をしていただけなければならないわけでございます。

さらに第三者から未成年者への販売等が法律により禁止されている商品、例えばタバコの販売はそうだと思いますが、そういった広告配信を依頼され、そのために個人情報を利用するというのは、もう既に現行法上の禁止規定になっておりますから、こういったことも違法になるものと考えております。

いずれにしましても、子どもさんの権利利益が侵害されることを防止すべく、今述べた規律を適切に運用していきたいと思っております。

次に顔特徴データについてお伺いをいたします。

この顔認証技術については、今、空港や駅などでの本人確認、また商業施設での顧客分析、防犯カメラなど、急速に社会実装が進んでおります。

顔特徴データはパスワードやIDとは異なり、一度漏えいしても変更が困難であり、行動履歴等と結びつけることで、継続的な追跡や詳細なプロファイリングが可能となる、極めてセンシティブな情報であります。

私が今心配しておりますのは、例えば今、日本でも防犯カメラ自体は防犯や事故防止の観点から社会には一定程度定着をしております。

しかし、今回問題となっているのは、単に映像を記録することだけにとどまらず、AIを用いて顔を識別・分析するということであります。

さまざまな属性推定に利用されるケースもあるのではないでしょうか。

本人が顔を認識されている、分析・追跡されること自体、気づかないまま利用される可能性もあります。

私は重要だと思っていますのは、やはり本人の関与、利用目的の限定、高い透明性の確保、さらには何かあったときの利用停止請求など、実効性あるルールを構築することであると思います。

そこで、今回の顔データ等に関する規律は、どのような問題意識に基づき導入されるのか。

また、本人が知らないままの収集、分析、追跡や属性推定、プロファイリング、誤認識による不利益などの懸念に対し、本人関与、利用目的の限定、透明性確保をどのように担保していくのか。

さらに、これは周知義務だけでなく、実効的な本人関与が確保できると考えているのか。

国民への周知啓発や利用停止請求の実効性の確保も含め、政府の見解をお伺いいたします。

委員ご指摘のとおり、顔識別技術をはじめとするバイオメトリック技術の利用を拡大してございますが、顔特徴データはその他の生体データに比べましても、その取扱いが本人のプライバシー等の侵害につながりやすいという特徴を有しております。

ですので、本法案におきましては、プライバシー等の侵害を防止するとともに、顔特徴データの適正な利活用を促すために、顔特徴データの取扱いについて、透明性を確保した上で、本人の関与を強化する仕組みを導入しているわけでございます。

具体的には、顔特徴データにつきまして、その取扱いに関する一定の事項の周知を義務づけ、違法行為の有無等を問うことなく、利用停止等請求を本人が行えることとするとともに、いわゆるオプトアウトと申しますが、事後的に撤回することを条件に第三者提供を認める制度がございますが、その適用も認めないということにしてございます。

それから、周知義務を徹底することにしてございまして、事業者の名称など、それから顔特徴データの利用目的、そしてポイントは利用停止等の請求が実効性あるものになるように、それをしっかり周知するということを重視していきたいと思います。

周知の具体的な方法は、十分な透明性の確保が大事でございますので、今後、委員会規則におきまして、カメラを設置する施設の入り口にしっかり周知事項を掲示するなど、原則として本人がそこに訪れる際に分かるように明示していただきたいと思います。

また、しっかり利用停止を利用いただくためには、国民への周知啓発が重要でございます。

本人が実効的に関与できるように、そういったものにつきましては事業者、さらには個人の双方に対して周知啓発をしっかりしていきたいというふうに思ってございます。

また、当委員会におきましては、個人情報の取扱いに関しましてこれを受け付け、さらには事業者との間の中を取り持つと申しますが、あっせんをミッションとしてになっておりますので、そういったことにも尽力し、実効性を持った形で法の運用を進めていきたいと、そのふうに考えてございます。

課徴金についてであります。

課徴金が低いのではないかという質疑が、これまで幾度かありました。

海外事業者に対してのこの規制ということも、私は非常に重要であると思います。

海外事業者からして、日本の課徴金制度がEUと比べて低い水準であれば、日本は規制が甘い、違反リスクが低いと受け止められ、結果として国民の個人情報が海外から山崎議員、また日本が規制の甘い国と見られないために、海外事業者への執行監督や個人情報保護委員会の国際対応能力強化をどのように進めていくのか、大臣にお伺いいたします。

どうしてもこの国の法律のありようとして、緩いところからだんだん問題があれば厳しくしていくというようなプロセスを、この法律に限らずやっていくわけで、そういう意味ではこの本法案の附則にあります附則第14条の3年ごとの見直し。

これを有効に使いながら、本過料金制度の抑止効果がどれぐらいあるのかということをちゃんと見極めながら、過料金額の水準とか対象要件の見直しは適切に進めていくということは明確に申し上げられると思います。

その上で、海外の事業者の執行については、この個人情報保護委員会の方の人員の拡充や育成確保にかかりつながら、あるいは海外事業者に対する違反行為については、外国当局との執行協力をしっかりと進めながら、この法律を実行していく必要があるというふうに思っております。

統計と個人情報保護委員会の解説資料によれば、統計作成等であると整理できるAI基盤モデルやアプリケーションの開発等も含まれるとされています。

しかし、統計とAI学習は本質的には異なるというふうに考えます。

統計処理では個人情報が集計の結果として消えますが、AI基盤モデルでは個人情報がパラメータの中に分散して潜在保持され、メンバーシップ推論攻撃等によって情報が漏えいするというふうに考えます。

この要件を委員会規則に委ねるだけでなく、特定の個人を識別できず、かつ復元できないことが保障されることを法律本文の要件として明記すべきではないかと考えますが、政府の認識をお伺いします。

委員御指摘のように、個人情報を特定の個人を識別することができず、復元することもできない程度に加工したものは匿名加工情報と申します。

森参考人のおっしゃったのは、この匿名加工情報のことを指しているんだと思いますが、正直として申し上げると、匿名加工情報はほとんど使い物にならないぐらいもう、山崎議員。

今回の個人情報保護法の本改正によって、日本初、世界初で統計作成等の目的であるならば、AI開発も含まれますが、今までとは違って公開されていない、名前入り、実名入り、住所入り、そうした病歴のデータが、本人の同意なく、国、行政、それからいわゆる民間の企業に渡すことができるというふうになるものではないかと思うわけなんですけれども、これについて日本初、世界初という認識でよろしいでしょうか。

では、今大臣、各国の状況わからないとおっしゃいましたが、これを見て、そしてまた、それでもあえてこの名前を削るということを特例で認められるその立法事実は何でしょうか。

各国の状況というのは、いちいちどういう状況かということは承知をしておりませんけれども、今回の改定については各国を横並びではない、どちらかというと利活用を推進する方向でこの法律が出来上がっている。

同時に繰り返しになりますけど、個人情報の保護は十分配慮しながら作られているものというふうに承知をしております。

今御資料を拝見しましたけれども、基本的にこのEUの一般データ保護規則GDPRというのは、特別な種類の個人データとして、原則としてその扱いが禁止された上で、一定の例外の場合には第三者の提供を含む取扱いが許容されているということになっています。

表にするとただし氏名や住所等の情報は削除して利用されるということになりますが、そういった例外があるということで、この例外の場合として統計の目的のための取扱いが必要となる場合というのが規定されております。

本則の第89条に規定する保護措置を講じること等も求められておりますけれども、本規定上、一律に匿名化または仮名化の措置が求められているものではないと承知をしております。

個人情報の見直しを検討する中で、AIが急速に普及すると、今のデジタルの高度化に伴って、事業者が持つデータを共有し、特定の分野に限らず、利活用を進めていかなければならない状況だというのはご承知のおきのとおりだと思います。

その上で、それらを踏まえて本特例においては統計情報等の作成のために提供されるデータについて、一律に個人情報の削除を求めるのではなく、提供元提出を先に漏洩等を生じた場合のリスク等に応じて適切に対応することで、個人の権益の保護を図る制度設計としております。

その中で、ただ単にゆるゆるなルールを作るのではなくて、個人情報をちゃんと保護しつつ作っているということですから、どこに立法事実があるかといえば、利活用が進んでいない立法事実と、それからこれまでも利活用を進めることによって何かしら個人情報が漏れた不都合がもしあったとすれば、それを排除するために同時に個人情報の保護ができるようなルールをちゃんと作っていくというバランスを取りながらやっているということが、そもそもの立法事実だと思います。

だけれども、じゃあこの名前があったらできないのかということなんです。

生データがないと本当にAI活用が進まないのかということです。

でもその後の話でどういうふうになったかわからないけれども、こういうことが実際に起こっているから、私たちは懸念をしていて、そのリスクをせめて抑えるために、穴だらけにならないためには、医療情報に関しては、病歴に関しては、この生データでなくしていただけないかということで、この質疑をさせていただいています。

もう一度お答えください。

それから立法事実の件ですけれども、1点追加をさせていただきますと、氏名や住所等のデータをAI開発における学習データとして活用するニーズ。

これは医療に関する例ではないんですけれども、個人情報が削除されたデータのみからでは、個人の名誉やその既往についてAIが学習することが難しくなる。

AIに学習させる内容としても、こういう個人情報は個人の名誉を既往するんですよということを学習させるためにも、こういった情報が必要になる場合がある。

誹謗中傷等を認識できないようなAIを作っているとするとですね、かえってSNSに誹謗中傷が投稿された場合の対策としてAIを用いることも難しくなるというようなことが一例、いわゆるサンプルとしてですね、そういう問題があるということは、一つこういった立法事実にはなり得るかと思います。

しかもまたこの一番の機微情報である医療情報ですから、これ仮名加工化したものにすべきではないかと思います。

だからそうした方法もあるんですから、ぜひここは規則で検討していただきたい。

それについては検討を規則に入れるということも踏まえて、検討していただきたいと思いますが、大臣いかがでしょうか。

仮名化というか分からないようにする方法というのは、このハッシュ化も含めていろいろあるというふうには思います。

先ほどから再三お話をしているとおり、この提供側、もとですね、提供元としては個人情報を抽出するということが非常に大変ですから、ハッシュ化するのもそもそもきれいな構造的なデータの方がやりやすいし、バラバラのデータは非常に厳しいし、それから提供元が一体どういう情報を必要としているかどうかということは、提供元としてはなかなか判断することが難しいですから、現在そういったことを踏まえれば、特定の項目を委員ご指摘のハッシュ化の方法により仮名化するということは、今要件とはしていないところでございます。

再三お話をしているとおり、提供元においても、特に医療情報に関しては、明らかにこれはいらないなというデータはあるわけですから、そういったものは事前にちゃんと削除するということは、これは求めていかなければなりませんし、目的外使用した提供先の方も、これは罰則の対象になるということですから、そういった縛りをかけることによって利活用を推進していこうというのは、この法律の趣旨でございますので、そこは御理解いただきたいと思います。

そうしますと、今のお話ですと、提供元が名前を削除することもあり得るということですね。

判断して、契約、提供先と第三者、企業とするわけでしょうけれども、そこであり得るんですね。

私はあり得ると思っています。

これはまた質問があるのかもしれませんけれども、いわゆる医師の守秘義務の問題にも関わってきますから、今回の法律は一般論としての特例を認めようという法律ですから、医療に関してあえて細かく突っ込んで言うことは、できれば控えたいところですけれども、医師として言えば、守秘義務のところで何か問題が起こるとすれば、それを回避するために必要な情報、必要というか利用目的に対して不要な情報で、なおかつ個人情報の漏洩に関わるようなことが疑われる場合であれば、それは医療機関の方の判断で、そういった今、委員がおっしゃったようなこともあり得るかと思います。

これを見つけたときに、私はやはり、いくら統計にしても、それからAI開発にしても、こういうことはやめてほしいと申請をして、これを止められることができるのか。

これぜひ規則で検討していただきたい。

私はでも、それでも統計であっても使われたくないというのは国民の一人ひとりの情報、自分の情報ですから、そういうことがオプトアウトできないというのはやはりおかしいのではないでしょうか。

今回は、ただ見つけただけでは、提供元に対して自分の情報を使うなということは拒否はできません。

違法性があった場合、あるいは本人に損害が及んでいる状態ではそれはできませんが、そもそも自分の情報が統計の処理の作業からは切り離されて使われているわけですから、今言ったように、自分の情報が一人一人、誰さんがこういう情報だということを使っているのではなくて、全体のマスとしてどういう性質とかどういう傾向があるかということをAIに学習されるのであって、誰が何だというようなことは切り離されているということは再三お話をしているとおりなので、そういった個人の私の情報がどうなって、そこが外に漏れるのかといったらそうではないということは明確に申し上げておきたいと思います。

でも、場合によってはできるって今一つ答弁をいただきましたから、それはわかりましたけれども、そうじゃないときに、じゃあ認定事業者を入れたらいいんじゃないですか。

医療の場合は、次世代医療基盤法に基づいて、これを拡大するような形でやるべきではないでしょうか。

早稲田ゆき君私が申し上げたのは、提供先がそういう加工をするのは大変だからということであれば、基盤法にあるような認定事業者を入れてそこでやってもらうということ、それから提供先に渡すということも考えられるのではないかという意味で、規則に入れていただけないかとご検討いただけないかとお聞きをしておりますが、その点はいかがですか。

今の事業者に対して今回の特例で認定を設けろというと特例にならないんですね。

利活用を進めるために、医療に限ることなくあらゆる分野において利活用を進めるために、個人情報の保護に十分に配慮しながらこの特例を設けているということですから、そこに特別にまた特例の特例の認定を設けるということは、本来のこの法律の改定の趣旨には合わないというふうに思います。

ただ委員のおっしゃるということはよく理解ができていて、AI統計処理、AIの開発等に関わる統計の作成以外の部分においては次世代医療基盤法が主座というか、主宣上になりますから、全部が生データをそのまま誰かに渡すんだ、みたいなことにはなっていないということは、ここからをちゃんと切り分けて、ご理解いただきたいと思います。

その上で私は、この第三者提供、本人同意を得ないで第三者提供できるという特例規定から、要配慮情報、特に病歴、医療情報を削除するべきではないか。

これはもともと根幹に関わる問題でありますけれども、そういうふうに思いますので、もう一度お答えください。

医療情報だけ削除してしまいますと、その他にも、じゃあ他のこんな情報はどうなんだ、こんな情報はどうなんだということにもなりかねませんから、それだと今回の法律の改正の趣旨からどんどん外れていくということになります。

医療情報が機微な重要な情報であるということは、守秘義務を負っている医師の私としても十分に理解をしているところですけれども、今回はあくまでも目的がかなり限定された上での本人同意なしの特例でございますので、医療情報だけをここから削除するということはあまり適当ではないなというふうに思います。

厳格な規律をもって分野独自の事情を踏まえた追加的なガイドラインを作成します。

それから分野ごとの解釈とか、あるいは判断基準等を具体的に示した上で、執行基準として監督権限を行使するということで、この個人情報保護というのは運用されてきたところですから、今回この法案が通過したときには、厚労省をはじめとする関係省庁とも連携しながら、今委員がおっしゃるように医療分野を対象としたガイドライン、それから分野独自のリスクに応じて必要な具体的な対応策、こういったものを明確にしていきたいというふうに思っています。

この改正案における統計作成等の特例と、大臣が少しおっしゃいましたが、医師の守秘義務違反について、これは長妻議員の方から厚労省に照会をかけておりますが、そのことについては、違法性が阻却できる、100%阻却できるということかどうか。

厚労省政務官からお答えいただきたいと思います。

また、刑法に医師一般を対象とした規定がございまして、いずれも正当な理由がない場合に違反となります。

この正当な理由に関しては、個別の事案において、手段の相当性等の諸般の事情に照らして判断されるものでございます。

前回の質問の際に行政データにアクセスできる認定事業者の中に外国の情報機関とつながりのある事業者が巧みに入り込んでしまった場合、法的に正当な手続きでインテリジェンス活動を許してしまうリスクを指摘させていただきました。

そのときには他の分野を所掌する政府内の府省との十分な連携を図って、当該事業者の資本構成や事業内容、関連する外国事業者などについても丁寧な審査を行って、我が国の国益を害する活動を行うようなインテリジェンス機関へのデータ提供の排除を図っていくというような前向きな御答弁をいただきました。

しかし一方で、先日の参考人質疑の中で、個人情報保護法においても誰でも手を挙げられるような状況について、経済安全保障の観点から懸念が指摘されました。

統計等特例において、外国事業者に関しては、日本の法律を守れるような体制を整備しているという条件はついておりますけれども、これはあくまでもガバナンスのリソース、能力についてのものなので、能力さえあれば、悪意ある外国事業者も手を挙げることができてしまうというような懸念の御指摘がございました。

そこで丁寧な審査を行っていく上で、外国エージェントの活動、この様相というものを可視化する必要があるかと考えます。

つまりは、外国の意図を持ってロビー活動をするエージェントを透明化する外国代理人登録法、日本版ファーラーの整備が必要な状況になっているかと考えます。

外国代理人登録法の必要について政府はどのように認識されているのか見解を伺いたいと思います。

委員が御指摘された制度でございますけれども、外国政府等の指示や依頼により政策誘導や世論形成等のため政府や議会に働きかけを行ったり、情報活動や宣伝活動を行ったりする人物、または団体に対し、その透明性確保の観点から、届出や登録を義務付けるものでございまして、米国や英国など諸外国において整備されているというふうに承知しているところでございます。

我が国の政策決定や世論形成が外国勢力によって不当に歪められることがあってはならないというふうに考えておりまして、ただいま申し上げたような外国による不当な干渉を防止する制度について、さまざまな方から御意見を賜りながら、丁寧に検討してまいりたいというふうに考えているところでございます。

子どもの権利を守る統計データの利活用について伺いたいと思います。

今回の改正においては、例えば親の所得によって子どもの虫歯の数や学業成績が変わることが議論され、それによって親の所得が本人の就職に悪影響が与えるようになるというようなことのリスクを指摘する声もあります。

しかしその一方で、歯の悪い子どもたちをどうやって助けていくのかという政策に用いることは、子どもを守ることになると、そういった意見もございます。

このような状況におきまして、受け手側がAIは万能ではなく、メリット・デメリット双方あるんだということをきちんと理解することや、そこにはらんでいるリスクを正しく認識すること、こういったことが重要であるかと考えております。

個人情報の取扱いも含め、このようなリテラシー向上のための教育や啓発を年代を問わずにしっかりと施していくことが必要だと考えておりますけれども、この点どのように取り組んでいくべきだとお考えなのか、大臣に伺いたいと思います。

松本洋平（文部科学大臣）お子さんの権利利益を保護するということは、子どもの個人情報の重要性ということを、保護者やあるいは学校関係者、それから子ども自身に対しても、しっかりと啓発することが必要だと思っています。

AIに限らず、やっぱり情報のやり取りについての利活用と保護、メリット・デメリットというところもあるんだと思いますが、そういったバランスよくリテラシーを教育していかないと、一方ばっかりのところに偏ってしまって、分断を煽るようなことにもなってしまってはいけないと思います。

このバランスが大事なので、こういったことをしっかりと教育コンテンツを作成・公表したり、出前授業を行ったりすることによって、子ども自身、それから親御さん、学校関係者にしっかりと広げていかなきゃいけないと思っています。

政府見解ということですので、そういったことを政府としてはしっかりと取り組んでまいりたいと思っています。

まず16歳未満の者が本人である場合、個人データの利用停止などの請求の要件緩和や同意取得、通知などについて、本人の法定代理人とすることを明文化するとともに、未成年者の個人情報などの取扱いなどについて、本人の最善の利益を優先して考慮すべきとされております。

民法では18歳をもって成年とし、未成年と成年を明確に区別して、未成年を保護しております。

利用停止請求の要件緩和なども16歳未満ではなく、未成年が本人である場合にした方が合理性があると考えられますけれども、なぜ16歳未満とされたのか、理由を伺います。

民法は財産法的見地から18歳未満の者を未成年者としております。

一方で、例えば民事訴訟法におきまして、証人として宣誓させることができる年齢は16歳以上とされております。

このことから推察されますように、18歳未満以外の年齢基準を採用している国内法令も少なくない状況でございます。

これを前提に、本法案におきましては、子どもは心身が発達段階にあるため、その判断能力が不十分であり、個人情報の不適切な取扱いに伴う悪影響を受けやすいということから、子どもの判断能力を補完する仕組みとして法定代理人の関与に関する規定を設けているということでございます。

したがいまして、個人情報の取扱いに関し、同意したことによって生じる結果や利用目的などを判断する能力が備わっているかどうかというものを重要な基準にして検討したところ、16歳以上のものであれば、通常義務教育の教育課程におきまして、情報モラルについて学習しているということ、それからしばしば言及されます世界的なスタンダードになりつつある子どもの権利を守るためにさまざまな議論があるところでございます。

今回の法改正では未成年者の最善の利益を優先して考慮しなければならないという未成年者の個人情報等の取扱いに関する責務規定が設けられております。

子どものことを最優先で考える形でデータを保護して利活用を進めるという規定が作られることは評価すべき点だと考えられます。

しかし一方で、違反しても罰則がない努力義務でありますので、子どもの権利を守るためには、罰則を含めた厳格な規制が必要だという意見もその一方でございます。

今回、努力義務とされたのはなぜなのか、その理由、目的をお伺いしたいと思います。

責務規定につきましては、努力義務というのは御指摘のとおりでございますが、その前に、より具体的な義務におきまして、今回の規律により守られているということを御説明したいと思います。

具体的には、子どもの個人情報の取得に際して、その利用目的を法定代理人に通知する、あるいは、子どもの個人データの第三者提供などに関して、法定代理人の同意を取得するということにつきましては、その他にもございますが、いずれも事業者の直接的な義務でございまして、それに違反している場合には、今勧告命令の対象となり、その命令に違反した場合には刑事罰の対象となりますので、この法律案におきましては、そういった規定を通じまして、子どもの権利利益を保護するということを意図しているわけでございますが、ご指摘のありました責務規定につきましては、これに加えまして、追加的に子どもにとって最も良いことは何かを大事に考えた事業者の実質的な取組を促進することを意図したものでございまして、基本的な理念を示したものであることの性格に鑑みまして努力義務に課すということでございますが、いずれにしましても具体的な義務規定はしっかりありまして、私どもを監督することを通じて徹底してまいりたいと思います。

急速な技術の進歩によって子どもたちが晒されているリスクというのは、ここ近年急速に高まっていると思われます。

例えば私の子どもの頃の顔の写真で49歳の今の私の顔が検索できてしまうというようなことが簡単にできてしまいますので、子どもが今この瞬間に撮られた写真が将来どのような使われ方をするかがわからないといったところのリスクですね。

その中で、やはり子どもの権利を守っていくんだという観点から、一度許可した個人情報であっても遡って個人情報の削除を要請できるようにすべきだという意見もございますけれども、この点どのように考えていらっしゃるのかを伺います。

ご指摘のとおり、子どもの心身が発達段階にあるなどを背景に、今回の改正提案におきましては、子どもの個人情報につきましては、通常の場合には違法行為などが要件になっているところ、それを緩和いたしまして、利用停止等請求を行えるということにしてございます。

ただ、事業者の予見可能性を確保する観点から、いくつかの例外規定を設けておりまして、事業者があらかじめ法定代理人の同意を得て、子どもの個人情報を取得した場合などについては、例外として、代理人の明示的な同意が得られているということから請求を認めていないことにしてございます。

この場合におきましても、これは今回というよりは既にある仕組みでございますが、子どもの個人情報が法定代理人に通知された後に利用目的達成のために必要な範囲を超えて取り扱える場合でございますとか、そういった子ども本人の権利または正当な利益が害される恐れの場合におきましては、現行制度にも基づいております利用停止請求がしっかりできることになりますので、その行使を通じて、しっかり子どもの利益を守っていくということになろうかと思いますし、法案が国会でお認めいただいた場合には、そういった利用停止の請求の仕方を、わかりやすく丁寧に説明してまいりたいと思います。

次に、今回の改正における統計作成等の定義において、統計作成等であると整理されれば、AI開発も含まれるとされております。

一般の感覚では、開発されたAIが統計作成等であると整理されるには、そのAIによって特定の個人情報を推測・復元できないことが必要条件であるとの指摘がございます。

そこで統計作成等にAI開発を含むのであれば、特定の個人の情報を推測・復元できないことが要件であるということを、仮名加工情報や匿名加工情報と同様に法で明確に定めるべきとの意見がございますけれども、なぜ今回規定されていないのか、その理由を伺います。

今回の法律案におきまして、統計作成等を定義してございまして、大量の情報の傾向または性質に係る情報で個人に関する情報に該当しないものを作成する行為であって、個人の権利利益を害する恐れが少ないものとして、個人情報保護委員会規則で定めるものということで定義しているわけでございます。

従いまして、大量の個人情報を個人に関する情報に当たらない状態まで加工することまで求められておりまして、仮名加工情報や匿名加工の情報のように、個人の区分を残した情報とすることすら認められませんでした。

さらに一般化を求められるということでございます。

その上で、さらに個人の権利益を害する恐れが少ないものに限定する観点から、委員会規則において、具体的に個人情報等が復元されることを防止するために、必要かつ適切な措置を講ずることなどの要件を明示することとしてございますし、そのほか、統計情報等に対して不正な攻撃を行い、その作成に用いられた個人情報を復元する行為につきましては、現行法、不正取得に該当するなど、しっかりとした禁止措置を講じ、適切に過徴金を課すなどのことによりまして、対処できているものと承知しております。

次に統計作成等を目的とする場合の特例によって、本人同意を得ずに個人情報を取扱事業者が個人関連情報を取得できるようにするのであれば、法違反を問わず利用停止、消去の請求を可能とすべきとの意見がございますけれども、なぜこれも今回規定されていないのか、その理由をお伺いいたします。

まず御理解いただきたいのは、統計作成等の特例、今回の提案につきましては、提供先において個人の権利を害する恐れが少ない場合、ごく限定された統計作成等という取扱いに限定される場合、それに限って個人情報の提供に際しての本人の関与を、一律に現行の同様な形で求めることは、リスクとの関係で必須ではないということを具体化した制度でございますので、本人に対して無条件に利用停止等請求を付与するということは、この制度の趣旨との関係ではある種矛盾することになりますので、そういったことを制度化することは困難だというふうに理解してございます。

ただ、先ほど子どもの件で御答弁いたしましたように、それでもなお利用停止等請求権の発動は当然できますので、それによって適切にさらなる個人の権利利益の保護ということは保障されるものというふうに理解しております。

統計作成等の内容等の事項は一定期間継続して公表しなければならないものとするとございますけれども、いちいちが全ての個人情報取扱事業者や行政機関の長などが公表した事項を把握することは困難であるということは容易に想像できるところであります。

そこで一元的に確認できるような仕組みの構築も必要だと考えられますけれども、何か具体的な方策を考えていらっしゃるのか、お聞きしたいと思います。

公表に際してのその事実を一覧性、全てを網羅的に一括ということになりますと、特定のものに報告させるその他の仕組みが別途必要になりますので、そういったことは困難でございますが、先ほどご説明しておりますとおり、統計作成等を行う提供元と提供先のそれぞれにおきまして、名称などを公表することが義務づけられております。

本人においてはいずれか一方の公表を把握できれば、特例の有無ということが確認できる状況でございますし、その具体的な公表方法につきましては、先ほど来、大臣からも他の質疑者に対して御答弁いただいておりますけれども、透明性、検索性の高い公表の方法をしっかり検討しまして、具体的な方法を委員会規則で定めてまいりたいと思います。

次に、AI開発の基盤モデルの学習プロセスは、匿名化のプロセスではなく、学習用データが個人情報の場合、自動的に個人情報でなくなるというものではございません。

ですので、AIが学習した個人情報の個人を特定できたり、個人情報を復元できたりするリスクを否定できない中で、AI開発を含む統計作成等を行う目的で、個人情報をそのまま取得、提供できるようにすることには問題があるとの指摘がございます。

そこでEU一般データ保護規則を参考に提供元での特定の個人を識別できないよう仮名化すべきとの意見がありますが、これまでの質問で何度も出ておりますけれども、今一度政府の見解をお伺いしたいと思います。

AI開発の実態、現場の実情を把握する限り、一律に統計作成等の特例におきまして仮名化や特定の項目の削除ということは要件にすることは困難でございますが、当然ながら提供先がAI開発の目的で取り扱う必要がある場合に限って提供できることになりますので、必要があるかどうかということが明らかにわかる場合、そのようなデータも含めた提供元からの提供というのはこの特例の対象にならないということかと思います。

その点につきましてしっかり法律文言解釈上そういうふうに説明できるものの、さらに具体的な事案に即したガイドラインを示すことによって対応を徹底してまいりたいというふうに思います。

この指摘に対してもう一点、同じような角度になってしまうんですけれども、行政に対する国民の信頼を確保するために、行政機関等が提供する個人情報は匿名化すべきだという意見もございました。

この点についての見解も併せて伺いたいと思います。

この統計作成等の範囲につきましては、特定の個人との対応関係が排斥された統計情報やAIモデルを作成する行為のうち、個人の権利利益を害する恐れが少ないものとして、委員会規則で定めるものに限定することとしてございます。

繰り返しになりますけれども、大量の文書を学習させる場合など、個人情報が氏名、住所等の項目ごとに整理されていない、その結果、個人情報を抽出することが困難な場合も想定されること、それから大量のデータに含まれる個々の項目が提供先が行おうとするAI開発等との関係で必要か否かについて提供元が判断することが困難な場合も想定されるのでありますので、民間事業者などと同様、行政機関等につきましても、仮名化や特定の項目を削除することを一律の要件としては認めてございませんが、現行法におきましても、行政機関等につきましては、本人または第三者の権利利益を不当に害する恐れがあると認めるときには、目的外提供が禁止されておりますし、目的外提供の提供先に対しましては、利用目的または方法を統計作成等にのみ制限するなどの措置要求をすることが規定されておりますので、これらの規律は今回の特例にも適用されますので、これらを相まって適切に保護してまいりたい、保護がかかられるものと承知しております。

次に、個人情報取扱事業者が本人の同意を得て、自ら取得した個人情報だけでなく、他の個人情報取扱事業者などが取得した個人情報や個人関連情報を大量に取得してAI開発を行うことで、個人の権利利益が侵害される恐れが高まる懸念が指摘されております。

先ほどお伺いした際の親の所得と虫歯の数の例のようなことなんですけれども、先ほどは受け手側のリテラシー向上の観点で伺いましたが、特定の属性とネガティブな結果を結びつける推論も多数生成される可能性がある中で、本人にも自覚されにくい行動特性、属性を有する人を多少なりとも差別的不利益に扱うことは、結果的に大きな権利利益の侵害につながる恐れがあるので、EUのAI規則のように個人の特定や分析の禁止、特定の個人やグループの社会的経済的脆弱性などに付け込むことや評価や分類を目的とすることなどを禁止される行為とするなど、厳格な規制が必要だという意見がございますけれども、今回の改正でそこまで踏み込まれていないのはどういう理由なのか伺います。

委員がご指摘された懸念点、さらにはEUのAI規制で言及された観点につきましては、どちらかと言いますとAIの利用の局面かと思います。

今回の特例は、AIの開発を含みます統計作成等と整理できるところでございますので、こういった利用には特例とは必ずしも直接関係することはございませんが、利用に関連する個人情報保護法の規律ということでございますと、AIの開発利用にも適用されるわけでございます。

事業者が違法または不当な行為を助長し、または誘発する恐れがある方法により個人情報を利用することは禁止されておりますので、AIの開発そして利用における個人情報もそのような形態の場合にはこの規定が適用され、勧告、命令、命令違反は刑事罰ということになります。

例えば開発について言いますと、違法な差別が誘発される恐れがあるAIモデルを、そのような恐れを予見しつつ、個人情報を用いて作成し公開すること。

また利用について言いますと、性別、国籍等により正当な理由なく、本人に対する違法な差別的取扱いを行うために、個人情報をAIモデルに入力することというものは、今申しました規定違反ということになり得ると考えてございますので、それによって適切に運用していきたいというふうに思います。

次に、人の生命などの保護のために必要がある場合及び公衆衛生の向上などのために特に必要がある場合は、本人の同意を得ることが困難であるときに加え、本人の同意を得ないことについて相当な理由があるときは、本人の同意を得ずに利用目的の達成に必要な範囲を超えて個人情報を取り扱い、要は要配慮個人情報を取得し、または個人データを第三者に提供することができるものとされております。

この相当な理由が恣意的に判断され、そして乱用されることがないように、相当の理由の判断要素やその程度を法に明確に定めるべきだという意見がございますけれども、今回規定されていないのはどのような理由なのかお伺いいたします。

今回の相当の理由があるときということを追加するもともとの規定に、既にもともと第三者提供等の例外を適用される前提としまして、まず生命・身体・財産の保護や公衆衛生の向上のために特に必要がある場合など、もともとは公益上の必要が認められることが大前提になってございます。

それに加えまして法案により追加します「本人の同意を得ないことについて相当の理由があるとき」の要件に該当するためには、例えば事前に氏名を削除した上で、守秘義務を契約した、守秘義務契約を締結した事業者に提供するなど、本人の権利利益の侵害などを防止するための必要かつ適切な措置を講じられているか、そういった諸般の事情を総合的に勘案し、公益上の必要性が本人の不利益を上回っていることが必要となるわけでございます。

そのような本人の同意を得ないことについて相当な理由があるときという要件につきましては、今述べましたように総合勘案が必要なわけでございますが、個人情報保護法はあらゆる分野を対象とする一般法でありますので、デジタル技術の急速な進展もさらに踏まえる必要がありまして、全てのケースをあらかじめ想定し、考慮要素を法律の条文に網羅するということは困難でございます。

ましてまた個別の事例における適切かつ柔軟な判断に支障を及ぼすという判断でございます。

またこの相当の理由という表現自体につきましては、現在の法律におきましても同様の用法を使いながら同種の規律をしてございまして、それを参照しながら、またそれの既存法の運用の実態もございますので、それと整合させることによって不安ない運用ができようかと思ってございますし、さらに具体的な解釈の内容につきましてはガイドラインなどで引き続き明確化に努めてまいりたいとそのように思ってございます。

デジタル行政推進法と個人情報保護法の改正が、医療のデジタル化や医療領域の研究開発に与える影響、特にこれはという良い影響について教えてください。

本改正がどんな影響があるか、これはもうメリットを少しお話をしなきゃいけないかなと思いますけれども、データを多く利活用できるようになるとすればですよ。

もちろん慎重な議論もありますから、個人情報の方が重要だということを改めて付記しますが、その上で、例えばこのAIを使った手術みたいなのが、これからできる可能性はかなりあると思います。

いわゆる世の中、「神の手」と言われている外科医はいるんですけれども、彼らの技術というものをAIに教え込ませることによって、この先、後世にまでその技術を残すことができる。

それはそこにしか行かなければ受けられなかった手術を、遠隔を使えば、もっと離れたところでもできるようになるかもしれない。

もっと言えば、問診から検査をして診断に至るまで、コモンディジーズであれば全てAIがやれるような、そういうクリニックなり病院なりができるかもしれない。

それは多分日本の技術を使っていけば外に向かって出していけるかもしれない。

僕は成長戦略の中ではそういった話を再三しているわけですけれども、そういったような夢のある広がりというものもあるということは、単なるAIの開発だけではなくて、そこに広がる可能性があるということは言えるかなと思っています。

次にデジタル行政推進法におけるデータの提供の仕方についてお聞きします。

本改正法案に、認定国等データ活用事業者は、主務大臣に対し、認定国等データ活用事業を実施するために必要なデータであって、国の行政機関等の保有するものの提供を求めることができる。

そして必要性に該当するものであれば、遅滞なく当該データを当該求めをした認定国等データ活用事業者に提供するものとあります。

現在、厚生労働大臣が保有する公的データベースの仮名化情報の利用に当たっては、クラウドの情報連携基盤上で解析等を行い、データ自体を提供しないことが基本とされています。

医療に限らず全ての分野なのですが、データをクラウド上で使わせてもらうことと、データ自体をもらえることは大きく違います。

本法に基づく提供はデータ自体を提供するものなのか教えてください。

デジタル行政推進法案改正法に基づく国の保有するデータの提供に当たりましては、他の法令に違反する場合や公益を害する場合などは、データ提供をしないこととされているものと承知しております。

データ活用事業者から厚生労働大臣等が保有する公的データベースの情報について提供の求めがあった場合にも、その都度この考え方に基づき提供の可否を判断することになります。

その際、御質問の仮名化等の加工していないデータの提供については、この公的データベースが病歴等の機微な情報を含んでいるということも踏まえまして、提供の可否について慎重な検討や判断が必要と考えているところでございます。

次に本改正法案に基づいた申請から認定までの期間について教えてください。

例えば、現代、すべてのことに相当されることにスピードが求められると思います。

当然、何か研究の種を思いついたら、できる限り早く進めないと競争に負けることになりかねません。

そんな中、今、厚生労働省のホームページです。

匿名医療保険等関連情報データベースの利用に関するホームページには、お申出を検討なさる方へのお願いとして、こう書かれています。

「2026年3月現在、非常に多くの方からお申出をいただいておりますため、新規の提供申出から特別抽出データや集計表をご提供するまで、長期間、300日以上を要することがございます」と書かれております。

本改正法案に基づいた申請から認定まで、どの程度の期間を要する見込みでいらっしゃるか教えてください。

委員御指摘のように、申請者の事業開始の見通しや事業の円滑な実施に影響を及ぼさないよう、認定までのプロセスが可能な限り速やかに進められるということが肝要であると考えてございます。

ただ、他方で法案の審議の中でも様々ご指摘いただいておりますけれども、様々なリスクを生じさせないよう、認定に当たって関係府省とともに的確な審査を行うということも、これもまた欠かせない課題でございます。

迅速性と正確性のバランスをどのように図っていくかということが重要なポイントでございまして、法案成立後、具体的な手続や運用を定める中で、審査期間の目処もつけるようにしていきたいと考えてございますけれども、いずれにいたしましても、データ利活用の促進という本制度の趣旨から外れないよう、十分に留意してまいりたいと考えてございます。

少し質問の順番が前後して申し訳ありませんが、次に次世代医療基盤法との関係についてお聞きします。

医療情報を医療分野での研究開発に活用することを後押しする法律として、すでに次世代医療基盤法があります。

こちらは主に民間の協力医療機関等からその持つ医療情報を、仮名加工医療情報を作成提供する事業者を国が認定して、その認定事業者が作成したデータを利用する事業者も認定するものです。

デジタル行政推進法においては、国の行政機関等が保有するデータを利用する事業者を認定するものです。

この2つの法律で認定を受ける事業者と事業目的は、間違いなく一定程度重なってくるはずです。

このあたりは行政に詳しくない現場の研究者は分かっていなくて、この法改正の結果をどのように研究に活かせばいいのか分からない研究者がいっぱいいると思うんですよね。

デジタル行政推進法改正の医療分野における意味合いと、次世代医療基盤法との関係、違いについて教えてください。

特に今までできなかったけれどできるようになること、便利になることがあれば教えてください。

このデジタル行政推進法に基づく認定制度がありますけれども、次世代医療基盤法の規律はこれは前提としているんですが、データの取扱いの適法性や適切性というのを事前に確認できる点でメリットがあるというふうに思います。

すなわち、認定して、これが個人情報保護法に何か問題、抵触するような問題がないかどうかということを、個人情報保護委員会の方に問い合わせて、それを事前に確認してもらう。

それによって、自分のやろうとしている認定された事業が、安心して事業を安定して前に進めることができるというところは、これは事業者にとっても大きなメリットがあるというふうに思っています。

最後5分ですが、今日一番したかった質問、救急医として松本先生に、個人情報保護と個人の命を救うための情報共有についてお考えをお聞かせいただきたいです。

松本先生も私も身に染みてわかるように、医療、特に初診の患者さんが多くて過去の情報が極端に少ない救急医療においては、いかに患者の医療情報を早く手に入れるか、これが早く正確な診断と治療に直結します。

私自身も、本当はこの薬を飲んでいる人にはこの薬を使っちゃいけないはずなんだけれど、それも使ってしまった後にこの薬を飲んでいたと気づく、大変なことを一回じゃない、何度も経験しております。

例えば、道で意識がない状態で倒れていた患者さんが搬送されてくると、もうスタッフは服を脱がせて持ち物を探って、携帯電話が見つかればその中で家族の連絡先がないか調べるんですが、もう大体往々にしてロックがかかっていて開けないことが多いんですが、家族の電話番号をせっかく分かっていても家族がつながらない。

あと財布を開けて中身を確認すると、だいたいかかりつけの診察券とかあるんですけど、そこの先生に電話しても休日や夜間は当然つながらない。

もうとにかく患者さんの情報を得ることがものすごく難しいです。

それがもしもっと早く、もっと多くの情報が得られれば、確実に正確な診断や治療につながって、国民の利益につながると確信しております。

先生が理想と考えられる医療現場、特に救急医療現場における理想的な患者情報共有のあり方、方法のお考えを教えてください。

もしそれに個人情報保護の観点で問題となることがございましたら、どのようにクリアできるか教えてください。

患者さんの情報が十分に入っているところから治療をスタートできれば、100メートル走で行けば20メートルぐらい先からスタートできるというようなメリットがあると思います。

現状、今、デジタル庁ではマイナ救急というのを進めていて、このマイナ保険証を患者さんが持っていてくれさえすれば、それを通して救急隊員が医療情報を取り出して、現状今それを電話で伝えているんですが、それをまたデジタルのデータとして各病院先に連絡ができるとか、いわゆる医療情報共有ネットワークがちゃんとつながっていくとですね、これは救急現場のいわゆる救急隊員のところから情報の共有が一気に広がるというような世界観があります。

これを今進めようと思っていまして、実は広島県では実証事業というのをやっていて、かなりうまくいっていますので、今デジタル庁としてはこれを早急に全国に横展開するようにということで、私が指示をしているところです。

今準備を始めておりますので、やがてそういった世界観。

市長がちゃんと実現できるものというふうに思っています。

個人情報保護との関係、あるいは今回の法律の関係で言えば、当然必要なものは保護されるんですけれども、医療従事者からしたら、それは守秘義務の中で知り得る状態であれば、これは特段最初から保護されても困りますから、そのあたりのところは医療者であれば十分に理解はできるものではないかなというふうに思います。

ちょっとさらと言いで申し訳ない、参考人の方でも大丈夫なのですが、マイナ救急で得られる情報だけ確認させてください。

受診歴、薬剤情報、検診結果、このあたり以外でほかに入る予定の情報ってありますでしょうか。

処方情報と、あと電カル共有サービスに乗る3文書6情報でございます。

まず、認定を受けた事業計画の公表について伺います。

本制度では、国等データを活用しようとする事業者が事業計画を作成し、デジタル庁の認定を受けた上で、その事業計画に基づいてデータを提供する仕組みだと承知をしています。

そこで大臣に伺います。

事業計画が認定された場合、認定事業者の名称だけでなく、データの利用目的、実施期間、国等データを提供する行政機関、そしてどのような国等データが認定事業者に対して提供されるのかといった事業計画の内容は公表されるのでしょうか。

データの利活用に関して、国民の皆さんに透明性を高めて安心感を持っていただくということは、これは大事なことだと思います。

その観点から、今おっしゃった事業計画について、多くの内容を公表するということは望ましかろうと思います。

他方で、事業によっては、その内容を過度につまびらかにすることによって、事業のノウハウなどが流出するのは、これは競争をする上では、あまり適当ではない場合もあると思います。

これはここまでもビジネスでやるということもありますから、そういった場合には、事業者にとっては不利益になることまでも、必ず公表しなさいということはなかなか言えないというふうに思います。

従って、公表を通じて国民の皆さんに信頼感を与えるということは大事なんですけれども、公表の事項やその粒度、要は中身ですな、それについては認定事業の円滑な実施のバランスに鑑みて、個別に対応せざるを得ない、していかなければならないというふうに思います。

委員御指摘のように、日本人のデータがいろんなところに散逸してしまうのではないかというのは、当然我々としても注意しなきゃいけないと思いますが、それはもう個別に何の事業をどの程度データを集めて何に使うかといったところは十分に個別に判断して、このデータの保護をしていくということになろうかと思います。

透明性高くですね、情報を発信すべきだろうというお考えお話しいただけてよかったと思います。

例えばですが、その事業の厳しい競合相手に全部情報が流れてしまうのはよくないということについておっしゃっていただきましたが、それでしたら、例えば認定事業者の名称や実施機関など、ほかの事業者との競合にならないと思われるものは、大臣としては透明性を担保する上で積極的に公表していただくというお考えでよろしいのかお伺いしたいです。

松本大臣。

事業の内容はいろいろありますから、この場においてこれはこう、これはこうと私の口から申し上げることは控えたいと思います。

認定制度とデータ提供義務の制度設計について伺います。

今回の法案では、認定されたデータ活用事業については、国は法案第29条第2項各号に掲げる場合を除き、データを提供するものとするという立て付けになっています。

しかし国等データは、国民と国民の信託を受けた行政の負担によって整備された重要な資産であります。

そして提供されるデータの性質や社会情勢の変化、経済安全保障上の懸念などは、認定段階だけでは全て見通せるとは限らないと思っています。

そこで大臣に伺います。

データ活用事業については認定制ではなく、より厳格な許可制を検討すべきではないでしょうか。

また、「提供するものとする」ではなく、「提供することができる」とするなど、認定後のデータ提供段階においても、国の裁量を明確に残す制度設計にすべきではないでしょうか。

さらには、認定後のデータ提供について、国が提供を拒否した場合や、その理由が不十分であった場合、認定事業者側から不服申立てや国家賠償請求の対象となるリスクは生じ得るのでしょうか。

併せて2点お伺いいたします。

松本大臣。

国等が保有するデータについては、保護と利活用のバランスを図りながら進めていかなければいけないがゆえに、認定制を作っております。

データを提供する際には、他の法令に違反する場合や公益を害する場合などにはデータを提供しないことにしております。

その場合に理由について明らかにしなければなりません。

これは法律で定められていますから、理由なしに提供しないということはございません。

したがって理由が明確に明示されているのであれば、委員御指摘の不服申立てや国家賠償請求等につながらないようになっていますから、それについては運用に当たって丁寧に対応するということでございます。

大事なところは、公益を害する場合などにはデータを提供しないことができますので、そのあたりは認定について十分に吟味をして判断することになろうと思います。

次に、国が費用や業務負担を理由にデータ提供を拒否できる場合の要件について伺います。

データを提供するのに莫大な費用や過分な業務負担を要する場合、一旦認定を受けた事業者に対しても、国は法案第29条第2項第3号を根拠に、データの提供を拒否することができるのでしょうか。

また拒否が可能な場合、拒否をするには具体的にどの程度の費用負担、業務負担が必要なのでしょうか。

お答えを申し上げます。

先生も引用されました改正後のデジタル行政推進法第29条第2項第3号におきましては、認定国等データ活用事業者からデータ提供の求めを受けた際に、公益を害し、または、ここからは関係するとかと思いますが、その所掌事務の遂行に支障を及ぼす恐れがある場合には、求めを受けた主務大臣はデータ提供を行わないことというふうに規定されてございます。

その上で、委員お示しのデータ提供に莫大な費用や過分な業務負担を要する場合ということについてでございますけれども、先ほど申し上げました公益を害する場合の後ですね、またはその所掌事務の遂行に支障を及ぼす恐れに該当してデータを提供を行わない場合というのはあり得ると考えてございます。

具体的な判断はその求めになったデータの内容とか形式、それから国の行政機関等による保有状況等の個別の状況、個別具体の状況等を総合的に勘案してなされるというふうに考えてございます。

次に、AI学習に使われたデータの扱いについて伺います。

国等データがAIモデルの学習に使われた場合、そのデータは単なるファイルとして残るのみではなく、その影響は学習済みモデルのパラメータや出力傾向に残る可能性があります。

そこで伺います。

国産データがAIモデルの学習に用いられた場合、後に認定取消しや違法認定がなされたとしても、学習済みモデルから当該データの影響を完全に除去することは可能なのでしょうか。

まずはこの点についてお伺いします。

内閣官房山崎審議官。

お答え申し上げます。

端的に可能かどうかということでございますけれども、事後的な完全な除去が可能かどうかはAIモデルの学習利用方法によりますものですから、一概には申し上げられないと思っています。

また、今、恐らく困難である可能性もあるというふうに私は認識をするんですが、それが困難である場合、国はその当該モデルの利用停止や再学習、または廃棄を命じることができるのでしょうか。

その上で、万が一認定時の計画に反する実態が見受けられた場合には、速やかに認定取消しを行った上で、さらに取消しを受けた事業者に対してまずはデータの消去等の履行を求め、従わない場合には指導を行い、さらに従わない、行わない場合には司法上の措置も追及するなどしましてデータの消去等の徹底を図ってまいります。

その上で事後的な完全な除去かどうかは先ほど申し上げましたように一概には申し上げられませんけれども、そもそも認定時に提供するデータの性質などに鑑み、万が一計画に反する行為が行われた場合の影響が甚大であると、その結果公益を害する懸念がある場合には、その点も考慮して、そもそも認定時にそういう判断を行うのと、丁寧に審査を行ってまいりたいと考えてございます。

諸外国における同様の制度について伺います。

5月12日の質疑において、EU、米国、中国など主要国において、政府保有の要配慮個人情報を含む個人情報を民間事業者のAI開発や統計作成等のために本人同意なく提供する制度がどの程度存在するのかと、そういった質問を私はいたしました。

これに対して政府参考人からは、EUのデータガバナンス法は例に、域外事業者を含む事業者が公的データにアクセスする制度が一部存在するとの答弁がございました。

しかし、EUに一定の制度が存在することと、世界の主要国において政府保有のデータを民間事業者に広く提供する制度が一般化していることとは別の問題であります。

そこで改めて確認します。

EU圏以外の主要国、例えば米国、中国、英国などにおいて、日本の今回の制度と同様に政府保有のデータや同意を得ていない要配慮個人情報を民間事業者のAI開発や統計作成等のために提供する制度は存在するのでしょうか。

前回の御審議の際に御答弁にさせていただきましたEUの例にのみならず、その他の主要国、例えば英国、米国、中国におきましても、一定の要件のもと、一定の要件とはもちろん日本とぴったり一緒かどうかという問題がありますけれども、一定の要件のもと公的データを利用することができる制度が存在するというふうに承知してございます。

また、要配慮個人情報に相当するいわゆるセンシティブデータにつきましては、例えば英国一般データ保護規則におきまして、医療情報等は特別な種類の個人データとして原則としてその取扱いが禁止された上で、本人の同意がある場合や、その他一定の例外的場合には、第三者への提供を含む取扱いが許容されておりますが、その例外的な場合の一つとして、統計の目的のために取扱いが必要となる場合というのが規定されていると承知しております。

今、英国の事例をお出しいただきましたが、例えば今、私が挙げた中国に関しては、そういったもの、おありか、情報をお持ちでしょうか。

お教えいただければと思います。

データ全般につきましては、先ほども御答弁いたしましたが、一定の要件のもと公的データを利用することができるという制度がございます。

具体的には中国の、中国サイバーセキュリティ法、データセキュリティ法、個人情報保護法等の関連法規に従って基準を定める公共データ資源の認可運用に関する実施ガイドラインというものが、その根拠になっていると承知してございます。

次に、相互主義の観点からも改めて伺います。

主要国では、中国のように、自国データの管理や国外移転を厳しく制限している国はもちろん、EUのようにデータガバナンス法を有する地域であっても、GDPRなどに基づく監督や制裁の仕組みは日本より厳格であり、日本企業が同じ条件で公的データを利用できるとは限りません。

したがって、単に類似制度の有無を見るだけではなく、日本企業にも同等のアクセスが認められているのかという実質的な相互性を確認する必要があります。

そこで大臣に伺います。

日本企業に同等のアクセスを認めていない国や地域の企業に対し、国とデータの提供を制限する規定を法案または指針に設ける考えはないのでしょうか。

本法案に基づく国とデータ活用の認定基準による、これらを満たす事業者のみが我が国の政府が保有するデータの提供を受けられることになります。

ご指摘の相互主義の観点については、現時点では想定していませんけれども、この安全管理措置の遵守を通じて、ノーハウなどのデータの海外流出というのは、防いでいかなければならないと思っています。

その点においてはですね、ほしいままに我々のデータが他国に出ていくということは、一定程度の歯止めをかけなければいけませんから、そういう意味では、この安全管理措置を講じるという点において、それを歯止めをかけていこうという考えというのは、あるということでございます。

そこの中国のデータをつかみに行くとかそういうことをすべきではないという御答弁だったかと思うんですが、ちょっとそこのところ詳しくお聞かせいただけますでしょうか。

特定の国についてあれこれ申すことは控えたいと思いますけれども、いずれにおいてもこのグローバルな社会において、例えばEUであるとかASEANであるとか、そういった我が国の価値観を共有するような同盟国、同志国等々とは一緒になってAIを開発していかなければ、今米中がリードしているこのAIの世界において、我々がそれをちゃんとやらなければ植民地化してしまう。

AI植民地ということもありますけれども、そういった状態になるのはやはり政府としてはできれば避けなければならないと思っています。

したがってそういうようなこともちゃんと踏まえながら、このデータの活用を他国と共有していくということは一定程度は必要だろうと思っていますし、一方ではほしいままに何でも我々のデータを海外に撒き散らすようなことはしませんということでございます。

最後に、デジタル主権と国内AI産業の保護育成について伺います。

国が保有する医療、教育、交通、産業などのデータは、日本社会の実情に即したAIを開発する上で極めて重要であり、我が国の安全保障や経済的繁栄にも関わる戦略的な情報です。

しかし、日本のAI産業が十分に育つ前に、こうした国とデータを国内外の大企業に広く開放すれば、資金力、技術力、データ基盤で既に優位にある外資系企業が学習、分析、サービス化を進め、日本企業が自国データを活用したAI開発競争においても遅れをとる恐れがあります。

日本は既にクラウド、ソフトウェア、広告・AIサービス等の分野で海外企業への支払いが増え、2024年のデジタル赤字は約6.7兆円に達しています。

そこで大臣に伺います。

政府は、国や自治体が保有するデータを日本のAI産業を育成するための戦略資産であると位置づけているでしょうか。

また、本法案がデジタル赤字やデジタル主権に与える影響、この2点、これをどう評価しているか、2点お伺いします。

今後、一定程度のちゃんとした条件をつけながら、国産のクラウドの開発が進んでいく、そしてその利用が進んでいくということは、積極的にやりたいと思います。

一定の国産だから、日本の国の企業だからといってそれをことさら可愛がるというつもりはなくて、ちゃんと競争の中で出てくる、来てくれるということは当然期待をしなければいけないと思っています。

そういったところも育てていく。

今回の法律はそういう国産のAIなどを開発していくゆえにおいては、非常に大きなメリットがあると。

というふうに思いますし、御党は日本のデータを守れ守れといったようなことをたくさんおっしゃいますけれども、その通りなんですけれども、我が国のAIやクラウドが進めていく以上は、我が国だけで物事ができるわけではありませんから、そういうふうに全部を国際にしなければならない、データは外に出してはいけないというような主張には全く同調できません。

日本のAIを進めるにあたっては、日本だけで何かできるような時代ではないので、そこはバランスよくいくということが必要だと思っております。

本改正案の施行後、個人情報保護委員会規則やガイドラインによる具体化が予定される事項について、その作成に当たって関係者からの意見聴取、これをどのように進めることになると考えればよいでしょうか。

その際、EUの一般データ保護規則などの海外の制度動向との整合性をどのように担保するか、政府の見解をお聞かせください。

本法案を国会でお認めいただいた場合には、円滑な施行に向けまして、委員御指摘の事業者、研究機関、さらには個人など様々な方々から、幅広く意見を伺いながら、個人情報委員会規則ガイドラインの内容の検討を進める所存でございますが、何分まだ法案の御審議をいただいている段階でございますので、その具体的な方法を決定する段にはいたっておりませんが、個人情報委員会での議論の資料などを速やかに公表して、事業者や個人に対して透明性を確保すると同時に、意見公募手続き、いわゆるパブリックコメントを丁寧に実施して、幅広く意見を募る。

そういった取組を徹底してまいりたいというふうに思います。

事業者にとってもGDPRの対応ということは非常に力をかけてやっておられるところが多いと思いますので、その比較において海外より厳格な規律となる場合には、なぜそういった厳しさが必要なのかということの必要性について、しっかり合理的な説明であるとか、比較ですね、いろいろな形でしっかり周知いただきたいと思います。

そのような周知をしていただけるという考え方でよろしいでしょうか。

もとよりデータ保護法制は各国歴史文化に根ざした固有の特徴もありますものですから、必ずしも地区一の規則につきまして、完全に一致することはないわけでございまして、何故差があるか、何故緩和されているか、強化されているかなどにつきましては、つまびらかにしっかり説明をしながら理解を求めていきたいと思います。

続いて、統計作成等を目的とする要配慮個人情報の取扱いについて伺います。

今回、統計情報等の作成にのみ利用される場合、個人データ等の第三者提供について、本人同意取得を不要とする特例が整備されます。

一方で、先ほどまでの質疑でもございましたが、医療分野においては、既に次世代医療基盤法なども存在し、認定特命加工医療情報作成事業者制度の下で、より慎重な手続を経たデータの利活用スキームの運用というものも存在すると承知をしております。

そこでお伺いいたします。

本改正案における統計作成等を目的とする要配慮個人情報の取扱い等、次世代医療基盤法等の既存のデータ利活用に関する制度との関係、特に規律のバランスについてどのように整理をされているか、改めて政府の見解をお聞かせください。

まず前提のようなお話でございますが、議員ご指摘の次世代医療基盤法でございますが、個人情報保護法の特別法という位置づけでございまして、医療分野の個人情報の特定の取扱いに関し、その取扱いの特徴などを踏まえた利活用のための仕組みを整備する法律であるというふうに承知しております。

そのような仕組みのもとでの全体感のある規律の体系になっているものですから、その個々の規律につきましては、仕組み全体を適切に構成する観点から設けられておりますので、その全体から切り離して、個々の規律と今般の統計作成等の特例における規律との差異のみに着目して、適否を論じることは適切ではないというふうに考えております。

一方で、個人の権利利益の保護の観点から必要な規律を整備するという意味では、両者に相違がないものでございますので、遜色がないという観点についての補足をしたいと思いますが、まず本特例の対象となります統計情報の作成、それからAIの開発につきましては、基本的に個人との対応関係が排斥された形でのデータが加工されるという点において、従来の個人情報保護法が規制対象として想定していたデータベースの構築を前提としたデータの使い方とは大きく異なっておりまして、これらの目的にのみ個人情報等を利用する場合であれば、個人の権利利益が侵害される恐れは少ないと考えております。

また特例の利用に当たりましては、権利利益保護のため、一定の事項の公表、目的外利用及び不当な第三者提供の禁止、漏洩防止、その他の安全管理のための必要かつ適切な措置を講ずるべき義務を規定することとしてございます。

さらには、これは提供先でございますけれども、本特例の適用対象となる統計作成等につきましては、個人の権利利益を害する恐れが少ないものとして、個人情報保護委員会規則で定めるものということで限定をつけております。

規則におきましては、取得した個人情報等につきまして、目的外利用及び第三者提供を防止するために必要かつ適切な措置、それから漏洩の防止その他の安全管理のために必要かつ適切な措置、そしてAIモデル等から出力または復元されることを防止するために必要かつ適切な措置を講ずるよう求めることとしてございます。

また提供元につきましても、AI開発等の目的で取り扱う必要がある場合ということを要件にしてございますので、その必要がないものについてまで、容易にそれらを削除できる場合についてまで提供するとなりますと、要件を満たさないということになろうかと思ってございます。

そのような規定を踏まえますと、本特例につきましては、次世代医療基盤法など既存のデータ利活用に関する制度との比較において、十分な権利保護の仕組みを構築しているというふうに考えております。

次に課徴金制度について伺います。

今回、悪質な違反行為に対する新たな課徴金制度が設けられるわけですが、その対象として不適正利用や違法な第三者提供など、4類型が挙げられていることと承知しています。

まず、この限定の根拠につきまして、これまでの是正措置命令、緊急命令の対象となってきた事案の状況であったりとか、今回の改正で新たに設けられる特例の内容を踏まえた設計と理解してよいでしょうか。

この点まず確認をさせてください。

その上で執行の実効性に関して、特に海外の事業者など日本国外の事業者に対して、実際に課徴金をどのように徴収をするのか。

域外適用は現行法でも一定整理があるというふうに承知をしておりますが、国内拠点の有無などで対応が分かれることも踏まえ、実際に課徴金を徴収する仕組みがどのように設計をされているのか、ぜひ国民に分かる形で説明をいただきたいというふうに思います。

以上2点、個人情報保護委員会の見解を伺います。

前半の部分でございますが、課徴金制度と申しますのは、事業者が違法に得た収益を強制的に剥奪する制度でございますし、事業者に与える不利益の程度が大きいものですから、今回、補助法をはじめて導入することもございますので、違反行為の抑止の必要性がより高い事案に対しまして、迅速、機動的な対応を確保する観点から絞り込んだという次第でございます。

委員のご指摘がございましたとおり、現行法上の緊急命令の端緒となっている重要な規律違反に係る行為類型のうちに、委員会によって勧告命令の実績のある規範の規律違反に関する行為類型を対象とした次第でございます。

また、今回申請されます統計作成等につきましても、事後的なガバナンスを徹底すると、違法行為を行う抑止力を高めることが肝要でございますので、課徴金機能を対象にしている次第でございます。

それから2点目の国外事業者に対する課徴金納付の命令の実効性ということでございます。

域外適用につきましては、委員のご指摘のとおり、既に補助法におきましては、その旨の規定を置いておりますので、国外の事業者に対しまして、しっかり課徴金命令を発出するということになるわけでございますが、まず納付命令書につきましては、国内の支店、営業拠点がなく、国内の代理人にも選任していない場合には、いわゆる領事送達といたしまして、当該外国に駐在する日本の領事などに嘱託をして、当該事業者に送達すると。

この抑止力として機能するかどうかというのは、結局現場でちゃんと徴収できるかどうかにかかっているというふうに思います。

特に海外の事業者で国内に拠点であったりとか、あるいは財産を有していないそういったケースでも、今海外からでも日本のユーザーに対してサービスを提供するであるとか、あるいは日本国民のデータを扱うそういったケースは十分あるわけですから、しっかりとそういったケースにおいてもこの課徴金制度がしっかり抑止力として機能するように、具体的な検討、今後ともよろしくお願いいたします。

福田委員、当該財産に対して民事執行法等に従い執行することが可能でございます。

このため国外の事業者に執行する必要がある場合には、国内に財産を有しているかどうか調査をまず行うことになりますが、一切有していない場合には、確かに執行上の事実上のハードルが高いというのは事実でございます。

しかし、これは本法案に限らず、国外事業者に対する金銭的執行が必要となる場面全般に共通するものでございますし、私どもも先行して導入されております他の法律における実務運用なども参考にしながら、しっかり実効性のある方法を探っていくということかと思っております。

今回の個人情報保護法、デジタル行政推進法の改正は、個人情報を含むデータの利活用に対する需要、また、社会的意義の高まりを踏まえたものであるというふうに捉えております。

これまでの質疑でもございましたとおり、もちろん個人の権利利益をどのように守るか、これに関する議論や検証の重要性は言うまでもありませんが、同時に実際にデータの利活用がどれだけ進んだか、これは医療分野も含めて公共にするようなAI活用がどれだけ進んだかもしっかりと客観的に検証されなければならないというふうに考えます。

懸念があった事柄で実際どのようなリスクが生じたのか、そして十分にデータ利活用は進んだのか、データ利活用と個人の権利利益保護のバランスは今後さらに重要な政策テーマになってくるというふうに私考えております。

そのときリスクとベネフィットのことを印象論で語るのではなく、そのバランスはしっかりとデータで検証されなければならないというふうに思います。

本改正案の施行後の検証として、データ利活用の実態及び個人の権利利益保護の実態について、定量的な評価を継続的に行い、その結果に基づいて必要な見直しがあれば、それを行う考えがあるのか、大臣の見解をお聞かせください。

ある意味EBPMと同じ考え方だろうと思います。

数字にして定量的に評価をしていくことは大事だと思います。

委員ご指摘のように、この法律の施行後も、例えば統計作成等の特例に基づいて、公表件数とか、あるいは、個人情報保護委員会による指導勧告命令等権限行使の件数とか、いくつかパラメータを出して、この法律の改正した法律そのものがうまく機能しているかどうかということは。