病気や犯罪歴などのセンシティブな個人情報も、AI開発や統計作成を目的とする場合、本人の同意なしで取得・利用できる場面が広がる──。
そんな内容を盛り込んだ改正個人情報保護法が7月10日、参院本会議で可決、成立した。
報道によると、改正法は、国産AIの開発を後押しする規制緩和と、違反業者への罰則強化を柱としているという。
改正法では、「統計作成等」（AI開発や統計作成など）を目的とする場合に限り、SNSなどで公開されている情報について、本人の同意を得ずに取得・他の事業者へ提供できる特例が新設された。
一方で、大規模な個人情報を不正取得・利用した事業者に対しては、得た利益の相当額の納付を命じる「課徴金制度」も導入された。
「自分の情報はどこまで利用されるのか」「プライバシーは守られるのか」と不安を抱く人も少なくない。
今回の改正をどう評価すべきなのか。個人情報保護法にくわしい板倉陽一郎弁護士にポイントと課題を聞いた。
●改正法案の前提議論でヒアリングに応じた
そもそも私は、近年ではPETs（プライバシー強化技術）と呼ばれる、秘密分散などの秘密計算を含む、個人データを安全に取り扱うための技術に適切なインセンティブを付与すべきという議論に長年携わってきた立場です。[1][2]
プライバシーテック協会[3]のアドバイザーもつとめており、今回の改正法案（「個人情報の保護に関する法律等の一部を改正する法律案」（第221回国会閣法54号）、以下「法案」）の前提の議論でも2度にわたりヒアリングに応じました。[4][5]
そのため、私は完全に中立な立場とも、まったくの部外者ともいえません。その点を踏まえて、改正法、特に「統計特例」（改正後2条13項、30条の2、31条の3、20条2項8号）の問題点について解説します。
●「統計特例」で何が変わるのか
まず、「統計特例」が可能にすることは大きく2つあります。
1つは、Webサイトのクローリングです（改正後30条の2第1項から第4項。以下、31条の3における条項は省略）。
もう1つは、名寄せによる統計の作成です（改正後30条の2第5項から第13項）。
この2つは、それぞれ対応しようとしている現行法の規制が異なります。
前者は、Webサイトをクローリングすると、必然的に要配慮個人情報の取得規制（「あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない」=20条2項）に違反することに対応するものです。
病歴や犯罪歴などを含む要配慮個人情報（2条3項）は、本人の同意なしに取得すると違法ですが、本人や報道機関が公開している場合には、例外になります（20条2項7号）。
しかし、たとえば、友人がSNSで「◯◯は今日風邪で休んでいた」と投稿した場合、その情報を本人の同意なく取得すると違法となります。
生成AIの学習のためにWebサイト全体をクローリングする際に、このような情報だけを完全に除外することは、いくらAIが発達しても困難です。
そのため、主として、生成AIの学習を適法におこなえるよう、要配慮個人情報の取得について新たな例外を設けようというのが、この制度です。
ちなみに、同様の問題は著作権法との関係でも生じますが、こちらは主に同法30条の4（非享受利用）によってすでに対応されています[6]。
つまり、個人情報保護法におけるクローリングへの対応は、著作権法の考え方と歩調を合わせたものといえます。
なお、要配慮個人情報については、取得に本人同意が必要であり、オプトアウトによる第三者提供は禁止（27条2項）されていますが、通常の第三者提供には上乗せ規制はありません。
行政機関についても、個人情報ファイルの事前通知事項、個人情報ファイル簿の公表事項に、要配慮個人情報の有無が含まれている（74条1項6号、75条1項）はありますが、それ以外の特別な取扱いに上乗せ規制はありません。
