＜議事録＞（未定稿）

○大門実紀史君　日本共産党の大門実紀史です。
　今回の改正案では、統計作成などのために病歴などを含む要配慮個人情報が本人同意なしに第三者に提供することが可能になるということでございます。
　実は、病歴で思い出したのが、内閣委員会で各野党が取り上げましたけれども、岐阜県警大垣警察署であった市民監視事件でございます。
　御存じのない方いらっしゃると思うので、事件の概要を言いますと、二〇〇五年頃から岐阜県の大垣市で巨大な風力発電施設の建設計画が進められておりまして、地元の住民の方々が、環境破壊、風力発電による、低周波ですかね、健康被害などについて不安を感じて、勉強会を行っていたと。そうしたら、大垣警察署が、勉強会を開いていた地元住民の人たちの氏名、学歴、職歴だけでなく、病歴の個人情報を中部電力とか事業者側に提供していたという事件でございまして、これは、二〇二四年に高裁判決で、警察の人権侵害、違法性が認定されたんですね。
　実は、今回のこの法案でこのことを、この事件のことを思い出して、当時不思議だったのは、警察はどうやって病歴の情報まで入手したのかと。氏名、学歴などは、今、シギントというんですかね、ネットとかいろんな通信情報で集めることは可能だと思うんですけれど、病歴というのは、病院にも守秘義務がありますので、どうやって警察は病歴まで収集したのかなと思ったんですけれども、ちょっと改めて警察庁聞きますけれど、この病歴ですね、つまり今回でいえば要配慮個人情報なんですけれども、大垣警察署はどこからどうやって集めたんでしょうか。

○政府参考人（鈴木敏夫君）　お答え申し上げます。
　お尋ねの令和六年九月十三日の名古屋高裁判決におきましては、民間企業が作成した議事録に直接記載されている原告の方々の個人情報につきまして岐阜県警察が収集していたと認定したものと承知をしております。
　本件の原審及び控訴審におきましては、警察の情報収集活動という事柄の性質上、岐阜県警察からその目的、態様などを明らかにすることができなかったところでありまして、個別の情報収集活動について御説明することは困難であることを御理解いただきたく存じます。
　一般論といたしまして、警察の情報収集活動は、公共の安全と秩序の維持という責務を果たす上で必要な範囲で行われるべきものであると考えてございます。

○大門実紀史君　答えられないだろうと思っておりましたけれども。
　民間の病院というのは守秘義務がありますよね。ましてや、犯罪者でもないのに病歴を警察に教えることはあり得ないと思いますよね。恐らく、市町村国保とか健康保険関係機関から病歴の情報を入手したんではないかというふうに思うんですけれど。
　個人情報保護委員会に聞きます。
　一般論で結構なんですけれども、現行法において、ある行政機関が持っている要配慮個人情報ですね、病歴を含む、これをほかの行政機関に対して提供できるというのは、これ一般論で結構なんですが、どういうケースになりますか。

○政府参考人（佐脇紀代志君）　現行の規律、行政機関にも適用されてございます。
　元々行政機関が提供することを本来の目的にする場合には当然提供できますし、あるいは目的外でございましても公益性を理由とする提供はできることになってございますが、その場合には、行政機関が自らの所掌、任務に照らし、合理性のある説明をすることが求められることになろうと思います。

○大門実紀史君　あれですね、個人情報保護法の六十九条の辺りに行政機関が提供できるケースが書いてございます。もうそこに既に統計の作成、目的とする場合は提供できるともありますよね。
　もう一つは、今おっしゃったように、それなりの目的があればということなんですけれども、今回警察は、警察法第二条、たった短いフレーズなんですが、公共の安全と秩序の維持、これを理由にいろんなことやってきているわけなんですけど、これ以外何もないらしいんですよね。それ、そう言われたら、ある行政機関は要配慮個人情報も本人の同意なしに提供をしたんだろうというふうに思うんですけれども、それが裁判で違法だというふうに判定されたわけですね。
　したがって、ここのところはもう少し厳格に、個人情報保護法の例外ですね、提供できる場合の、きちっとしておくべきではないかと、これは指摘だけしておきます。
　といいますのも、この前参議院で国家情報会議局設置法案が通りましたけれども、率直に言って、各省庁から、国家情報局が要請すれば、もう割と自由に個人情報集められるというふうな流れになっておりますので、このこともきちっと、個人情報保護法もきちっとしておかないと、後々裁判で違法だと言われるような情報提供が起こるのではないかという点で、これは指摘しておきたいというふうに思います。
　法案についてお聞きをいたしますけれども、今日もございましたが、本法案の最大の焦点は、問題点は、既にございましたけど、ＡＩ開発との関係だと思います。ＡＩ開発のためならば、統計作成等を行う目的であれば、要配慮個人情報も本人の同意なしに、第三者、企業だけとは限りませんよね、ほかの行政機関も含めて提供できるということなんですね。
　経済界の要望も、検討会の資料とか見てみましたら、要するに、このＡＩ活用したいと、データを、そのためにはデータがたくさん必要だということで、本人同意なしのデータ利用を認めてほしいということが強い経済界の要望だったわけですね。それは全て、ＡＩ開発、ＡＩで分析したいということなんですね。
　問題はその中身でございまして、今、ＡＩ開発というのはどういうことになるかというと、ＡＩ、ビッグデータの時代でございますので、大量の個人情報、たくさんあればあるほどいいわけですね。それを解析すると。その中から情報の関連性や相関関係を発見すると。ＡＩに見付けてもらって、ファイリング、プロファイリング、分類すると。これによって個人の行動とか特性の分析を行うと。その分析、ファイリングをある決定に使うということなんですね。
　企業はそれをマーケティングに使って、ある商品を売るときに、こういう人たちというターゲットを発見してそれに合うように売る、あるいは企業が人を採用するときにそれを使って、本人の履歴書に書いてない部分もあるわけですね、例えばその親の収入や親の学歴なども、本人に何の関係もないことまで含めて全部統計化されて活用すると。これがいろいろ問題になっておりますけど。
　あるいは、国は、先ほど「一九八四」の話ありましたけれど、何だかんだ国家による市民監視に、ずっと言っておりますよね、そういうものに使っていくというようなことで、もう要するに何が問題になっているかというと、そのＡＩで分析した結果の使い方なんですね、なんですね。
　そこに、更に要配慮個人情報、人種や信条、思想信条、社会的身分、犯罪歴、被害者になったことあるかどうか、病歴、障害の有無まで加わって、これはビッグデータに、ＡＩでビッグデータで処理されてファイリングされて、これが具体的にアメリカでも世界でも問題を起こしているのが、採用差別とか取引からの排除とか、お金が借りられなくなるとか、あるいは人事上の差別ですね、そういう差別につながるということが問題になっているので、ＡＩ活用というのは相当慎重に気を付けるべきではないかということがあるわけですね。
　したがって、このＡＩ開発というのは、人を選別とか、ターゲットを絞る方にとっては大変便利で効率的なんですけれど、選別される方の個人にとっては、差別や具体的な損害が生じるということが問題になっています。
　例えばアメリカでは、大企業のワークデイが、採用希望者をもうＡＩ分析して自動的に拒否していたと。人種とか年齢とか、あるいは障害がどの程度あるかということで、もう応募しただけで自動的に、自動的に拒否の不採用の通知を出していたということがあって、これは集団訴訟ということになっております。
　実はこういう問題があるので、この個人情報がＡＩに分析に使われることが非常に危惧されているというのが今の状況だと思うんですね。
　ヨーロッパはどうなっているかということなんですが、先ほど司さんからの資料の七枚目ですかね、もっと司さんの話聞きたかったですけど、ＥＨＤＳですね、の資料がございます。これ、ヨーロピアン・ヘルス・データ・スペースですかね、ですよね。要するに、欧州の健康データ空間、直訳すると。ＧＤＰＲってございますよね。それを補完する医療データを活用するときの規制、指針ですよね。
　このＥＨＤＳは、実は診療履歴を二次利用して、活用して、統計で分析をして、新しい医学的知見につなげるというふうなことで、何も活用しちゃいけないということではないんですよね。ただし、分類、分析、先ほど言ったようなファイリング、個人の分類の決定に使うべきではないというところはきちっとしているわけですね。ＧＤＰＲも同じように、別に個人データを活用することに否定的ではないんですよね、目的外利用だというふうにしないわけですね、二次利用について。
　ただし、ＧＤＰＲも同じように、その分類、分析を、個人の、さっき言ったようなファイリングとか、個人が差別されるとかそういうことに使ってはいけないというところはきちっとしているわけなんですね。
　で、申し上げたいこと、質問は、今回のこの法改正は、こういうＡＩ分析、ＡＩ活用、開発のもちろん利点がありますよね、いろいろ便利になるというのがありますが、一方で、そういう危惧があるということについて、ＥＨＤＳやＧＤＰＲのような、個人を、個人の分類、ファイリングに使わないというようなことがどこで担保されているのか、今回の法改正あるいは個人情報保護法の現状でプロファイリングはどのように規制されているのか、ちょっと教えてくれますか。

○政府参考人（佐脇紀代志君）　お答え申し上げます。
　今回の統計作成等がＡＩに関連するという意味では関係してございますが、基本的な規制のための根拠は現行法上既にございまして、不適正利用の禁止というものがございます。事業者が違法又は不当な行為を助長し、又は誘発するおそれのある方法により個人情報を利用することの禁止でございます。
　これを、ＡＩに関連し、開発と利用の二つの局面でどういったものが禁止になるのかを御紹介いたしますが、まず、ＡＩモデルの開発につきましては、違法な差別が誘発されるおそれがあるＡＩモデルをわざわざ作って、そういったものが予見されるにもかかわらずそれを公開すること、あるいは、ＡＩモデルの利用の局面では、性別、国籍等により、正当な理由なく本人に対する違法な差別的取扱いを行うために個人情報をＡＩモデルに入力して使うといったときには、先ほど御紹介いたしました不適正利用の禁止という条項に抵触いたしますので、私どもはこれに基づきまして法執行を行うということになります。
　それによりまして、御懸念の相当部分の悪質なプロファイリングを用いた個人を選別するという行為につきましては、一定の規律を課せるものというふうに認識してございます。

○大門実紀史君　見てみたら、あれですね、ガイドラインにも一定そういうことが書いてございまして、本人から得られた情報から本人に関する行動、関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測、想定できる程度に利用目的を特定しなければならないとか、あるいは今おっしゃられたようにありますよね。
　だったらば、先ほどから危惧されているような、欧米でも、アメリカでも問題になってきたような、そういう何か悪用されるという意味ではなくて、そういうファイリングそのものが今問題になっているんですね。そういうことをもう一歩踏み込んで規制していく必要があるんではないかと。今もう一定ありますよというところなんですが、もっとそれを超していろんな個人の人権侵害みたいなことは実際起きているわけですから、もっと踏み込むべきではないかと思います。
　あと、個人情報保護法の十九条の不適正利用の禁止のところで、これこれこういう場合は不適正利用というようにおっしゃいましたけれども、今や、そういうプロファイリングそのものが個人の、何といいますか、不利益を生むと、本人の責任のないところで生むという事例が余りにも多いんでなってきているわけですから、この十九条の不適正利用の禁止そのもの、不適正利用そのものにですね、このプロファイリングというものも、ＧＤＰＲやＥＨＤＳのような位置付けで不適正利用の中にプロファイリングというものをもう入れていくべきときに来ていると思うんですが、いかがですか。

○政府参考人（佐脇紀代志君）　お答え申し上げます。
　プロファイリング、直感的には様々なところで使われておりますので、人それぞれ意味、内容の理解があろうかと思いますが、法制的に範囲を特定し、かつ社会として排除すべき外縁がどこにあるのかということにつきましては、様々な形でプロファイリングということが使われているものですから、今回、先ほど申しましたように、そのうち明らかに違法、不当ということで整理できるものを、前回、令和二年の改正かと記憶しておりますけれども、不適正利用という条項に表現したというところでございまして、委員御指摘のような社会実態が更にどんな形で深刻化するのかということを見定めて、必要があれば随時の見直しの中で検討する対象にはなろうかと思いますが、現状におきましてはこういった理解であることを申し述べたいと思います。

○大門実紀史君　最後に大臣に伺います。
　世界の流れは、そういうふうに勝手にいろんな情報を集められて勝手に分析されて、ある人を選別するとかいろんなことをやられて、いろんな人権問題も起きてきている中で、例えば、何度も取り上げますが、ＧＤＰＲは、プロファイリングについての独立の規定といいますか、ちゃんとあるわけですね。日本は、今おっしゃったように、ちょっと薄っぺら、薄くちりばめているんですけれども、きちっとしたこのプロファイリングに関する、何もかも規制しろという意味ではないですよ。やっぱりヨーロッパ並みの、ＧＤＰＲ並みの、あるいはＥＨＤＳ並みのちゃんとした規定を独立して設けていくという方向は、やっぱりここまで踏み込んで規制緩和といいますか、データの規制緩和するわけですから、本当は同時に打ち出すべきじゃなかったかなと私は思うんですけれど、急いで考えるべきだと思うんですが、いかがでしょうか。

○国務大臣（松本尚君）　我々の国の中で個人情報の適正な利用と保護というものをバランスよく考えていく上で、委員おっしゃったように、ＧＤＰＲとかＥＨＤＳとか、そういったものを参考にすることは極めて有効なことだというふうにも私も思っております。
　その上で、今回は、入口のハードルを落として出口を若干上げていくというようなところで、しっかりと個人と切り離された利用をすることを厳しく出口の部分で求めているという内容になっていると思っております。
　日本とＥＵの間の話をすれば、互いのデータ保護を同等と認める相互認証というのをもう既に枠組みとして構築をしておりまして、既に我々の個人情報保護法というのは、現時点では十分な保護水準を持っているということで、向こうからも認証をいただいているわけです。
　今のプロファイリング等々、これは時代がどんどん変わりますから、彼らがどんなふうな規制を掛けていくかということも判断をしながら、ガイドライン等々で、その出口の部分でしっかりとウォッチをしていかなきゃいけないと思います。
　ちなみに私、外務大臣政務官として、昨年、ＡＩサミットに行ってまいりましたけれども、やはり、あのときは明らかに、フランスのマクロン大統領の話を聞くと、これまでよりもＥＵは規制の緩和に動いているということに関しては、会場全体が、ああ、そうなのかというような雰囲気でございました。
　ただ、だからといって我々がゆるゆるにするというつもりはありませんので、委員の今御指摘踏まえて、しっかり対応していきたいと思っております。

○大門実紀史君　終わります。ありがとうございました。