デジタル社会の形成及び人工知能の活用等に関する特別委員会まとめ2026-06-24

問い今回の個人情報保護法改正で、これまで収集できなかった情報を使い、命を守る分野を含めてどのようなAI開発が進むのか。

答え松本大臣:次世代医療基盤法の認定業者とつながっていない医療機関からもデータを集め、希少疾患の創薬や治療法の開発に結び付けることが有用な例になる。

問い統計特例について、規制手法の多様化と事後規制の強化を通じ、個人情報保護委員会がどう実効的に規制・監督するのか。

答え佐脇事務局長:提供元・提供先に事業者名や統計作成等の内容を検索しやすい形で公表させ、定期調査や報告徴収、立入検査を通じて遵守状況を監視する。

問いPETsなどの技術的措置や第三者による監査・保証を、安全管理や復元防止の規制に取り込み、推奨すべきではないか。

答え松本大臣:公表事項を透明性と説明責任を果たせる内容とするようガイドラインに書き込み、PETsも安全管理・復元防止の有効な手段として記載するよう個人情報保護委員会に指示している。

問い個人情報保護法は、個人情報の有用性に配慮しながら個人の権利や利益を守ることを目的としている、という理解でよいか。

答え松本大臣:その理解でよく、個人情報の利用高度化で生じるリスクに適切に対応することが重要。

問い統計作成等事業者を国が審査する認定制度を設けなかった理由は何か。認定制度がないことのリスクは高くないか。

答え松本大臣:要件を満たさない事業者の利用と違反時の対応遅れがリスク。目的外使用の禁止、公表義務、課徴金、検索性の高い公表と個人情報保護委員会の監督方針の公表で低減する。

問い何の情報がどの程度いつ提供されたかは、提供元・提供先の合意で決まり、本人が自分で調べなければ提供の有無を知れないのか。

答え松本大臣:提供元・提供先の名称や統計作成等の内容は公表義務があり、検索しやすい形にする。本人が探しに行く必要はあるが、個情委も事業をリスト化して監視する。

問い公表では住所、名前、生年月日など、どの情報を提供しているか分かるように示すのか。

答え佐脇事務局長:必要なデータを必要な限り提供していると説明するため、住所や名前が不要であることなどが分かる公表が法の趣旨に沿う。岸委員の指摘の趣旨に沿った内容にする。

問い提供先事業者からさらに第三者へ再提供することは禁止されているか。

答え佐脇事務局長:再提供は法律で禁止されている。

問い委託は可能だが、情報が漏れないよう契約の下で進めるのか。

答え佐脇事務局長:委託元が委託先を監督し、漏えいしないよう責任を持って対応する。

問い統計分析的な使い方が守られているか、国、デジタル庁、個人情報保護委員会、企業のどこが監視・監督するのか。

答え佐脇事務局長:個人情報保護法の規律に関する監視・監督は個人情報保護委員会が行う。

問い統計特例で問題が起きた後、個人情報保護委員会はどのように初動対応し、速やかに処理するのか。

答え佐脇事務局長:漏えい報告や相談窓口、ネット上の情報などから端緒を得て、必要に応じ報告徴収・立入検査を行い、原因や再発防止策を調べ、悪質性・重大性に応じた行政処分を行う。公表内容も手掛かりにモニタリングする。

問い統計目的なら氏名は不要ではないか。漏えいリスクを抑えるため、匿名加工や仮名加工を義務付けるべきではないか。

答え松本大臣:匿名・仮名加工は安心につながる一方、大量データの名寄せや氏名の完全削除には技術的困難がある。不要な氏名の提供は認めず、ガイドラインに削除を明記し、将来はAIによる削除も活用したい。

問い国や自治体が個人情報を提供する際、情報の最小化や匿名加工・仮名加工を前提にするのか。各機関に周知徹底するのか。

答え松本大臣:匿名化・仮名化を一律義務にはしないが、事業に不可欠な範囲に限定し、認定時に確認する。地方公共団体には国と同様の対応を依頼する。

問い自治体が情報を出すかどうかは自治体判断に委ね、国は介入しないのか。

答え松本大臣:最終判断は地方公共団体だが、国全体で整合的な提供が望ましいため、国が支援を定め、技術的助言や協力を通じて整合性を図る。

問い認定国等データ活用事業で個人情報が漏えいした場合、責任の所在をどう考えるか。

答え松本大臣:一義的には漏えいした事業者が責任を負う。主務大臣は報告要求や指導・助言、重大事態では調査や認定取消し等を行い、国等が法の範囲を超えて提供した場合は行政機関の問題となる。

問い個人情報保護法改正案の統計特例で個人情報が漏えいした場合、責任の所在はどうなるか。

答え松本大臣:事業者は自ら扱う個人データの漏えいを防ぐ安全管理措置義務を負う。提供後に提供先だけが扱うデータは通常、提供元はその義務を負わないが、外国の第三者への提供では提供元にも継続的な保護措置の確認責任がある。

問い統計処理前の個人情報や個人関連情報に、法違反がなくても利用停止・消去請求できるか。自己情報コントロール権を確立すべきではないか。

答え松本大臣:自己情報コントロール権は内容・範囲・法的性格に様々な見解があり、確立した概念に基づいて制度を決めることはできない。本人の関与だけでなく、適切な取扱いの規律、個情委のモニタリングと法執行で権利利益を保護する。

問いAIによるプロファイリングやアルゴリズムの課題をどう捉え、国として対策に取り組むのか。

答え松本大臣:違法・不当な行為を助長・誘発する個人情報利用は禁止され、差別的な結果を把握した後に放置することも許されない。AIにもガイドラインを適用すると明記し、周知する。

問い個人情報保護法の統計特例と、クラウドサービスなど民法上の契約はどう関係するのか。

答え佐脇事務局長:個人情報保護法は行政規制であり、民法上の合意に基づく契約を覆す効力はない。契約上の約束は維持され、特例がデータ授受の特別な権限を与えるものではない。

問い契約の小さな記載や途中変更を見落とす可能性があるため、消費者庁と連携して改正内容を周知するのか。

答え佐脇事務局長:消費者庁を含む関係省庁と連携し、個人・消費者の経済活動との関係に誤解が生じないよう周知啓発して施行準備を進める。

問い重大な違反行為とは具体的に何か。違反が明らかになった場合、速やかに対応できるか。

答え佐脇事務局長:対象は不当な差別的取扱いを想定する第三者への提供、違法な第三者提供、統計特例違反の目的外利用・第三者提供、不正取得情報の利用。違反やそのおそれを認識した場合、報告徴収や立入検査をちゅうちょなく行う。

問い意図しないサイバー攻撃による情報漏えいは課徴金の対象になるのか。

答え佐脇事務局長:安全管理措置義務違反に当たるが、悪意ある積極的行為とは異なり、不当な利益の算定にも精査が必要なため、今回は課徴金対象から見送った。

問い漏えいが多発する中、改正法の対応に向けて個人情報保護委員会の体制強化が必要ではないか。

答え松本大臣:執行体制と専門人材の育成・確保を進める。現在の定員内では足りないとの認識で、令和九年の定員要求を予定し、増員に努める。

問い消費者への被害拡大を防ぐため、団体による差止め請求と被害回復制度を速やかに導入すべきではないか。

答え佐脇事務局長:適格消費者団体が擁護する利益の範囲や、外部から個人情報の取扱いを把握しづらい課題から導入を見送った。消費者団体との連携や相談窓口の活用を進める。

問い十六歳未満の情報を要配慮個人情報にせず、法定代理人の関与等にとどめたのはなぜか。年齢基準を十八歳にしなかった理由は何か。

答え佐脇事務局長:子供の判断能力を補うため法定代理人が関与する。十六歳以上は一定の学習とリテラシーがあり、GDPRも十六歳を基準の一つとしているため採用した。責務規定では十六・十七歳にも配慮する。

問い要配慮個人情報の取扱いで本人同意を不要とする改正について、個別の立法事実は何か。

答え松本大臣:大量情報の処理が必要な中、ネット上の情報を集める際に一件ずつ同意を得るのは現実的でないとの指摘があり、日本人のデータを必要とするニーズもあるため、同意規制の例外が必要と考えた。

問い公開されている要配慮個人情報について、どのようなデータをどう扱うことを想定しているのか。

答え佐脇事務局長:ネット上の公開情報を大量収集し、学習用データに利用するAI開発がある。個人との対応関係を排斥したAI開発等に目的を限定する場合、公開情報に含まれる要配慮情報の取得に本人同意を不要とする。

問い非公開の要配慮個人情報は何をどう扱うのか。また、氏名や住所など個人を特定する情報が必要な理由は何か。

答え佐脇事務局長:高精度の名寄せでは氏名表記の揺れへの対応や属性照合が必要な場合がある。患者名が記載された画像は完全除去に大きなコストがかかる場合がある一方、データベース化され不要な氏名等は削除し、提供先でも不要データを保存しない。

問い医療データの利用に、個人情報を厳格に扱う次世代医療基盤法だけを使うのではなく、今回の特例も設ける理由は何か。

答え松本大臣:次世代医療基盤法で集まった医療情報は、今年の二月末時点で六百七万人分で、医療機関全体に比べ少ない。大量データが不要なら同法を選ぶこともでき、目的や保護の考え方に応じて選択できる。

問い欧州のように一般法と分野別の特別法を重ねる法体系を検討したか。今後どのような法体系を目指すのか。

答え松本大臣:日本には個人情報保護法のほか、次世代医療基盤法、マイナンバー法、統計法などがある。将来は重層的な法律をきれいな形で整えることが理想だが、今回は規律やガイドラインで対応しながら特例を設ける。

問い個人情報保護法の改正に伴い、次世代医療基盤法も見直すのか。

答え松本大臣:医療情報の利活用を円滑化する枠組みを内閣府の検討会で検討しており、本年夏を目途に整理する。新法制定や改正の可能性はあるが、今回の特例との関係で具体的な見解は控える。

問いガイドラインには何を定めるのか。関係者の意見聴取を含め、どのように決定するのか。

答え佐脇事務局長:必要な氏名等の提供事例、不要な提供が法違反となること、提供先の安全管理措置や必要情報の確認方法を明確化する。事業者、個人・消費者、有識者へのヒアリングとパブリックコメントを経る。

問いふさわしい事業者像をガイドラインに示すのか。事業者の管理監督はどう行うのか。

答え佐脇事務局長:高度な義務内容を具体的に示すことで、履行できる事業者像を示し、安心できる事業者の普及啓発につなげる。公表内容を手掛かりに適時モニタリングし、介入の端緒があれば執行手段を取る。

問い提供するデータの公表がサイバー攻撃のリスクを高めないか。提供データをどういうタイミングで削除するかも規定すべきではないか。

答え松本大臣:提供先を選ぶ際にサイバーセキュリティーが確保されていることを考慮するよう、ガイドラインに記載して歯止めを設けることはあり得る。

問い省庁ごとに管理されるマイナンバー連携データは、今回の特例で提供・ひも付けされるのか。

答え松本大臣:マイナンバーを含む個人情報には統計作成等の特例を適用しない。

問い抑止効果を踏まえ、課徴金の対象規模や金額をこのように定めた理由は何か。

答え松本大臣:今回は個人情報保護委員会の対応能力を踏まえて人数を区切った。課徴金の大小による抑止効果は三年ごとの見直しで見極める。

問い医療情報学会等が、仮名化や認定制度、PETsによる患者の安心確保を求める意見書を出したことをどう考えるか。

答え松本大臣:医療関係者の懸念は当然だが、データ最小化と仮名化は同じではない。不必要な氏名等の提供は禁止され、安全管理義務を設け、PETsの利用をガイドラインに記載する。

問い統計特例の利用者について、事業者や安全管理体制を事前に審査・確認することはあるのか。

答え松本大臣:事前審査ではなく、提供元が提供先の安全管理措置等を確認する仕組みとし、事後のモニタリングや権限行使で権利利益を守るのが基本骨格。

問い次世代医療基盤法の改正で医療情報を別の仕組みに整理する場合、統計特例から除外し特別法を優先することはあり得るか。

答え松本大臣:今後の法律や改正に道を付けることになりかねないため、予断を持った回答は控える。

問いガイドラインに従わないことは事実上の違法行為と解釈できるか。その場合、政府はどう対応できるか。

答え佐脇事務局長:「しなければならない」「してはならない」に反すれば法違反と判断される可能性があり、勧告、命令、命令違反への刑事告発があり得る。「努める」「望ましい」は直ちに法違反とはならないが、指導・助言を行うことがある。

問いガイドライン不履行のすべてに指導等を適用するのか。指導、勧告、命令をどう判断するのか。

答え佐脇事務局長:事案の原因や再発防止策、事業者の規模・取扱データの数や機微性などを総合判断する。再発防止策が十分なら、ガイドライン上不十分な点があっても指導しない場合がある。

問い統計特例における公表義務は何を目的としているのか。

答え佐脇事務局長:本人や社会が取扱いの是非を判断できる環境を整え、事業者の適正な取扱いを促すことと、個人情報保護委員会の監督に必要な情報を得ること。

問い規則やガイドラインで、公表方法をどのように定めるのか。

答え佐脇事務局長:委員会規則で公表項目を定め、単一のウェブページにクローリング防止措置をせずに掲載するなど、透明性と検索性の高い方法を定める。

問い各社の公表ページのURL末尾に共通の識別子を付け、プログラムで一覧化しやすくすることはできないか。

答え佐脇事務局長:技術的な実行可能性を検討し、制度の目的が達成されているかを確認しながら有効な手段を検討する。続く答弁では、現行法の趣旨に照らして導入可能で、法律違反にはならないとの理解を示した。

問いURLに識別子を付ける公表方法は、届出制を前提としない個人情報保護法と整合し、法的に可能か。

答え佐脇事務局長:社会的なモニタリングを効率化する仕組みとして現行法の発想とそごはなく、法律違反ではなく法の趣旨に照らして可能。

問い本人が医療情報にアクセスし、その利用状況を確認できる仕組みを整備する考えはあるか。

答え佐脇事務局長:本人は一定の要件の下、自らの個人情報や第三者提供記録を開示請求できる。特例では事業者名や統計作成等の内容を公表し、アクセスしやすい環境を検討する。

問い今回の制度で死者の情報も統計作成やAI開発の対象となるのか。生存者の情報と比べ、どのような保護やガバナンスがあるか。

答え佐脇事務局長:生存者に関する情報と評価される死者情報は個人情報保護法の規律対象となる。それ以外の死者情報について、同法は統計・AI開発での取扱いの適否を示していない。医療・介護事業者には、保存する死者情報にも個人情報と同等の安全管理措置を求めるガイダンスがある。

問い死亡情報を含む長期追跡データを企業研究だけでなく医療政策の検証等に利用できるか。政府は公益的なAI解析を進めるのか。

答え佐脇事務局長:生存者に関する情報である限り、死亡情報を含む長期追跡データも法の規制対象で、特例が必要なら適用対象となり得る。内閣府の検討会では医療情報の利活用枠組みを検討しており、医療政策の検証やAI開発にも資するものと承知している。

問い企業や行政に不利益な結果も、独立した立場で検証し必要な範囲で公表する仕組みがあるか。恣意的な取扱いをどう防ぐのか。

答え松本大臣:国主導の事業なら結果を公表する必要があると考えるが、企業や行政に不都合な結果を独立検証・公表する仕組みは、少なくとも制度としてはない。

問い個情委にAI監査を行える専門人材は何人いるか。監査のためのAI活用も検討しているか。

答え佐脇事務局長:現時点でAI監査を所管せず、そのための人材も確保していない。技術人材や専門委員、政府間連携で知見を集め、政府全体のAI活用にも対応しながら執行体制の準備を進める。

問いAIを社会基盤とした場合のデータアクセス権、監査権、責任の所在を含むデータ主権について、政府の基本方針は何か。

答え松本大臣:不適切なデータ利用で安全保障など国益が損なわれないよう扱う。提供元・提供先の合意を求め、認定時には資本構成、役員構成、所在地等を確認し、個人情報保護法の特例でも踏まえるようガイドラインに記す。

問い国益は税収増加だけか、それとも国内産業育成や国民への利益還元も含むのか。国民由来のデータの価値を還元する仕組みを整備するのか。

答え松本大臣:国益には税収だけでなく国内産業の育成と国民への利益還元も含む。データからできた価値は国民の利益になるとし、外国で生まれた価値を購入するデジタル赤字を避け、国産AIを作ることが重要と述べた。

問い消費者団体を三年見直しの検討会に加えた理由は何か。団体の意見は反映されたのか。

答え佐脇事務局長:今回の見直しでは検討内容の多様性を踏まえ、前回より多くの関係者からヒアリングした。消費者団体を含む参加者の意見を聴いて政府案をまとめた。

問い課徴金は、違反で得た経済的利益を剥奪して違反を抑止する仕組みという理解でよいか。

答え佐脇事務局長:課徴金の法的機能について、その理解と差異はない。

問い安全対策のコストを省いて利益を得た場合、悪質性がなくても課徴金対象とすべきではないか。

答え松本大臣:今回は悪質性の高い行為を先に対象とし、抑止効果が足りなければ広げる段階的な考え方。効果は三年ごとの見直しで確認する。佐脇事務局長:安全管理措置違反が課徴金になじまないとは判断していないが、義務の線引きやコスト算定に検討が必要で、今回は対象外とした。

問い個人情報保護や消費者保護を経済活動と対立するものとせず、団体訴訟制度の存在による企業の緊張感や説明向上も踏まえてどう考えるか。

答え松本大臣:個人情報保護と経済活動は対立項ではない。団体訴訟は法的整理等から今回は見送ったが、見直しの中で継続して議論する必要がある。

問い本人同意を得ない取得の例外に追加する「相当の理由」は、どのようなケースを想定しているか。

答え佐脇事務局長:公益上の必要性が本人の不利益を上回り、権利利益侵害の防止措置が講じられる場合を想定する。例として、感染症の従業員と接触した取引先に、感染拡大防止に必要最小限の情報を提供するケースを挙げた。

問い本人の同意を得られるのに、あえて同意を得ずに要配慮個人情報を取得する理由は何か。

答え佐脇事務局長:現行法にも本人同意を要件としない例外があり、学術研究の例では同意困難ではなく、権利利益を不当に侵害するおそれがないことを要件とする。今回の改正は公益と本人の不利益を踏まえ、実質的な判断を可能にし、形式的な同意取得を避ける環境を整えるもの。

問い行政等が相当な理由を判断して本人に知らせず要配慮情報を取得すると、本人の意図しない取得や差別的取扱いのリスクが高まらないか。

答え佐脇事務局長:例外規定が恣意的に解釈されないよう、客観的に生命保護等の必要があり、その必要性が本人の不利益を上回る場合という観点から、限定的な事例をガイドラインで示す。

問い本人同意を不要とすることは、自己情報のコントロール権を侵害し、個人情報保護の基本的方向と相いれないのではないか。

答え松本大臣:自己情報コントロール権の内容・範囲・法的性格には様々な見解があるため、それを基に改正を論じることは避ける。取扱い規律や個情委のモニタリング・法執行で法の目的を達成する。

問い課徴金額を違反による財産上の利益に相当する額とした理由は何か。

答え佐脇事務局長:この答弁で示されたのは、繰り返し違反には通常の1.5倍を加算することと、課徴金額に上限を設けていないこと。算定方法をこのようにした理由への答えは本文にない。

問い課徴金の対象行為や人数、権利侵害、事業者の主観などを限定し、証明を難しくした理由は何か。

答え佐脇事務局長:広く一律に課徴金を課すと、抑止の必要性が高い事案への迅速な監督に影響するおそれがあるため、違反類型、対象人数、権利侵害の度合い、主観的要素で対象を絞った。報告徴収や立入検査で情報収集できると判断している。

問い監視・監督室の人数と、主観的要件を調査・立証するための質問権などの権限はあるか。

答え佐脇事務局長:執行能力の具体的な人数は回答を差し控える。報告徴収や任意の質問などの実績があり、必要な体制を整えれば執行できると考えている。

問い団体による差止めや被害回復制度を導入しないのはなぜか。導入すべきではないか。

答え佐脇事務局長:適格消費者団体が擁護する利益と個人の権利利益の整理が不十分で、個人情報の取扱いは外部から把握しづらいとの懸念があり見送った。消費者団体との連携や相談受付、監督権限の行使で救済を図る。

問いデータ項目や必要性、再委託、個人との対応関係を絶つ方法、安全管理措置を共有し、提供元・提供先が記録することをガイドラインに明示するか。

答え佐脇事務局長:必要な情報だけを提供する確認が必要であり、安全管理措置や再委託の有無も含め、合意内容を双方が記録して事後確認できる仕組みが望ましい。ガイドラインで具体化を検討する。

問いAIモデルへの外部攻撃の種類と防御体制をガイドライン等で具体例とともに示すか。新しい攻撃手法を反映するため、資料をどう更新するのか。

答え松本大臣:想定される攻撃手法を踏まえたリスクや対策、技術的手法をガイドライン等で例示する。技術動向の変化に応じて適時見直し、情報発信する。

問い新設の罰則規定が想定する主な対象事例は何か。

答え佐脇事務局長:行政調査を装って情報をだまし取るかたり調査や、フィッシングで情報をだまし取る事例を想定する。

問い目的要件をどう解釈するのか。正当な取材・報道や公益目的の内部告発は罰則の対象外か。

答え佐脇事務局長:不正な利益は公序良俗・信義則に反する不当な利益、不当な損害は名誉毀損や信用失墜などを指す。正当な範囲の内部告発や取材は公益目的であり、目的要件に当たらず対象外。

問い統計特例の導入を踏まえ、研究活動を促進するため倫理指針も改定するのか。関係省庁とどう連携するのか。

答え松本大臣:法案成立後、文科省・厚労省・経産省などが倫理指針の改正を検討する。個情委も関係省庁と連携して助言し、利用者が迷わないよう対応する。

問い法案成立後、事業者が混乱しないよう倫理指針の改定を速やかに検討するか。

答え佐々木審議官:個人情報保護委員会が策定するガイドライン等も踏まえ、必要な見直しをできるだけ速やかに行う。

問いデータマネジメント人材の現在の育成策と、今後の増員方針は何か。

答え奥家審議官:情報処理技術者試験にデータマネジメント試験を新設し、二〇二七年度中の開始を目指す。マナビDXでも関連講座を提供し、人材の確保を進める。