icon-angleicon-facebookicon-hatebuicon-instagramicon-lineicon-linked_inicon-pinteresticon-twittericon-youtubelogo-not
People 弁護士等紹介

多岐にわたる分野の専門的知識と実績を持つ弁護士が機動的にチームを組み、質の高いアドバイスや実務的サポートを行っています。

Publications 著書/論文

当事務所の弁護士等が執筆したニュースレター、論文・記事、書籍等のご紹介です。多様化・複雑化する法律や法改正の最新動向に関して、実務的な知識・経験や専門性を活かした情報発信を行っています。

Seminars 講演/セミナー

当事務所では、オンライン配信を含め、様々な形態でのセミナーの開催や講演活動を積極的に行っています。多岐にわたる分野・テーマの最新の企業法務の実務について解説しています。

Who We Are 事務所紹介

長島・大野・常松法律事務所は、国内外での豊富な経験・実績を有する日本有数の総合法律事務所です。 企業が直面する様々な法律問題に対処するため、複数の弁護士が協力して質の高いサービスを提供することを基本理念としています。

SCROLL
TOP
Featured Topics 特集
特集

データ利活用と個人情報保護-AI・機械学習と「仮名加工情報」の可能性(1)


対談者

パートナー

殿村 桂司

TMT(Technology, Media and Telecoms)分野を中心に、M&A・戦略的提携、ライセンス・共同開発その他の知財関連取引、テクノロジー関連法務、ベンチャー投資・スタートアップ法務、デジタルメディア・エンタテインメント、ゲーム、テレコム、宇宙、個人情報・データプロテクション、ガバナンスなど企業法務全般に関するアドバイスを提供している。

アソシエイト

関口 朋宏

2014年東京大学法学部卒業。2015年長島・大野・常松法律事務所入所。コーポレート/M&A及び個人情報保護に関する業務を中心として、国内外のクライアントに対するアドバイスに従事。2020年6月から2021年12月まで個人情報保護委員会事務局に出向し、令和2年改正法を中心に、現行法の法令解釈等を担当。2022年長島・大野・常松法律事務所復帰。

【はじめに】

近年、ビジネスや社会の様々な場面で個人情報を含むデータの利活用が進む中、個人情報・プライバシー保護の必要性も高まっています。個人情報保護法は、平成15年に成立して以来、3度(平成27年、令和2年、令和3年)大きな改正がなされ、改正の度に事業者に求められる義務の内容も複雑化しており、個人情報を含むデータの利活用にあたって、実務上悩ましい論点に直面することも増えています。
本対談「データ利活用と個人情報保護」では、個人情報・データ関連の案件に多く携わる弁護士が、いよいよ2022年4月1日に施行される改正個人情報保護法(令和2年・令和3年改正法)の内容も踏まえつつ、対談形式で議論します。

CHAPTER
01

個人情報保護委員会事務局での経験

殿村

本日は、関口朋宏弁護士と、AI・機械学習と「仮名加工情報」の可能性について対談していきたいと思います。関口さんは、2022年1月に個人情報保護委員会への出向から事務所に復帰されたばかりですが、出向中はどのような業務をされていたのですか。

関口

令和2年改正法が成立した直後の2020年6月から2021年12月までの約1年半、個人情報保護委員会事務局の個人情報保護制度担当室に出向しておりました。個人情報保護委員会事務局では、令和2年改正法(政令・規則・ガイドライン・Q&A等の改正・周知等)を中心に、現行法の法令解釈、令和2年改正法に基づく個人データの外国第三者提供時の情報提供義務を踏まえた外国制度の調査等、幅広い業務を担当させていただきました。また、国会対応等の霞ヶ関ならではの業務にも関与させていただき、とても貴重な経験となりました。

殿村

まさに令和2年改正法のガイドライン・Q&A等を作成されていた「中の人」ということですね。個人情報の利活用と個人情報の保護は、一見すると相容れない関係にあるようにも思えますが、個人情報保護委員会は、個人情報の利活用について、どのようなスタンスをとっているのでしょうか。

関口

個人情報保護委員会について、個人情報保護法を所管する「規制官庁」という印象を持たれる方も多いかもしれません。もっとも、同委員会は、「個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」という法目的(法1条)※1を踏まえて、適正かつ効果的な個人情報の活用の促進にも取り組んでいます。例えば、個人情報を取り扱う新たなビジネスモデルにおける個人情報保護法上の留意事項等について相談できる「PPCビジネスサポートデスク」を設けています。

殿村

PPCというのは、個人情報保護委員会(Personal Information Protection Commission)の略称ですね。PPCビジネスサポートデスクは、たしか、関口さんが出向に行く直前の2020年4月に開設されたと思いますが、実際にはどの程度活用されているのでしょうか。

関口

個人情報保護委員会の活動報告によると、開設初年度の令和2年度(令和2年4月~令和3年3月)に42件、令和3年度の上半期(令和3年4月~9月)に30件の相談があったとされています。実際、出向期間中、私もサポートデスクの業務に一部関与していましたが、特に令和3年になってからは改正法関係の相談もあり、相談の件数もかなり増えてきた印象があります。サポートデスクの業務に当たっては、相談者が想定しているビジネスモデルや事実関係を丁寧にお伺いした上で、法の趣旨を踏まえつつも、個人情報を含むデータの有効な利活用に向けた助言ができるよう、心がけていました。
CHAPTER
02

機械学習と「利用目的」による制限

殿村

それでは今日の本題に入っていきたいと思います。個人情報を含むデータをAI開発において利用する上で、個人情報保護法における「利用目的」による制限と「第三者提供」の制限を巡って実務上悩ましい問題がいくつかあります。
まず「利用目的」による制限ですが、例えば、事業者が自社サービスの提供等の過程で取得した個人情報や、医療機関が患者の診断等の過程で取得した個人情報を、機械学習における学習用データセットとして活用してAIの学習済みモデルを開発する場合に、そのような個人情報の利用が「利用目的」による制限に抵触しないかという問題があります。

関口

個人情報保護法上、個人情報を取り扱うに当たっては、個人情報の利用目的をできる限り特定し、本人に対して通知・公表することが求められます(法17条1項、21条)。その上で、事業者は、原則としてあらかじめ特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱うことはできないとされています(利用目的による制限)(法18条1項)。利用目的による制限に違反した場合は、本人からの利用停止・消去の請求の対象となるほか、個人情報保護委員会による監督等の対象になるので、違反時の影響も大きいと言えます。

殿村

個人情報を学習用データセットとして「利用」しているので、利用目的による制限が適用されるようにも思われます。そうすると、多くの事業者は、「AI開発」、「機械学習」、「学習用データセット」等において利用することを明示的に利用目的に含んでいないと思いますので、すでに通知・公表している利用目的に、これらの利用が「含まれている」と解釈できないかということを検討することになります。例えば、「自社サービスの改善のため」、「新規サービスの開発のため」といった利用目的を記載している事業者は少なくないと思いますが、そのような利用目的の中に、機械学習における学習用データセットとしての利用が含まれていると考えられないかという話です。

関口

そのような解釈ができるかは、ケース毎に個別の事情を踏まえて判断する必要があります。利用目的は、「できる限り」特定する必要がありますが、令和2年改正法を踏まえて改訂されたガイドライン(通則編)において、「本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない」という点が明確化されている点には留意が必要です。

殿村

個人情報の取扱い方法によっては、通知・公表されている利用目的に抽象的に含まれうるというだけでは不十分である可能性があるということですね。利用目的から合理的に予測・想定できると言えるかは、実務上悩ましい事例も多いです。
CHAPTER
03

機械学習と「利用目的」による制限の例外

殿村

利用目的による制限が及ばないと考える余地はないでしょうか。

関口

学術研究目的の場合は、一定の要件を満たせば、利用目的による制限の適用がありません(法18条3項5号、6号)。よって、例えば、「学術研究機関等」に該当する大学病院等が患者の診断等の過程で取得した個人情報を、学術研究目的で、学習用データセットとして利用する場合には、利用目的による制限が及ばない可能性があります。

殿村

他には、取得の状況からみて利用目的が明らかであると認められる場合は、利用目的の通知・公表は不要とされていますね(法21条4項4号)。AI開発に利用されることが「明らか」な場合というのは、かなり限られると思いますが。

関口

はい。典型的には、例えば、防犯カメラで取得したカメラ画像を防犯目的で利用する場合が該当します。もっとも、あくまで通知・公表義務が免除されるだけで、特定された利用目的の達成に必要な範囲を超えて取り扱うことはできません。よって、防犯カメラで取得したカメラ画像を、商業目的で学習用データセットとして利用することが想定される場合には、あらかじめ利用目的においてその旨特定しておく必要があります(Q&A1-12、1-13)※2
CHAPTER
04

統計データへの加工と「利用目的」による制限

関口

関連しうる事項として、個人情報保護委員会が公表しているQ&A(Q&A2-5)では、統計データへの加工を行うこと自体を利用目的とする必要はないとされています。

殿村

利用目的に「統計データの作成」と記載していなくても、個人情報を加工して統計データを作成することはできるということですね。なぜでしょうか。

関口

統計データは「個人に関する情報」ではないので、個人情報に該当しない。よって、統計データに関しては、利用目的を特定しなくてもよいという説明がなされています。

殿村

機械学習によって生成された学習済みパラメーターも、それ自体は原則として個人情報ではないと考えられています(Q&A1-8)。そこで、個人情報を学習用データセットとして利用して学習済みパラメーターを生成する行為についても、利用目的として特定する必要はないという見解もあります。この点に関しては、現時点で、個人情報保護委員会から公表された見解はなく、統計データへの加工と同様に考えてよいか、実務上の対応としては悩ましいところです。
CHAPTER
05

「仮名加工情報」を活用する可能性

殿村

通知・公表している利用目的に含まれないのであれば、利用目的を変更して、AI開発における利用を明示的に利用目的に含めることも考えられます。

関口

はい、利用目的を変更することも可能です。もっとも、利用目的を「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超えて変更した上で個人情報を利用するためには、原則として本人の同意が必要となります(法17条2項、18条1項)。

殿村

関連性の有無の判断も悩ましいですね。

関口

そこで、令和2年改正法により導入される「仮名加工情報」を活用することが考えられると思います。

殿村

「仮名加工情報」とはどのようなものですか。

関口

「仮名加工情報」は、イノベーションを促進する観点から創設された、「個人情報」と「匿名加工情報」の中間的な制度であり、他の情報と照合しない限り特定の個人を識別できないように個人情報を加工して得られた個人に関する情報です(法2条5項)。

殿村

イメージとしては、個人情報に含まれる氏名等を削除又はID等に置き換えたものですね。個人情報を仮名加工情報に加工することで、どのようなメリットが得られるのでしょうか。

関口

仮名加工情報については、本人を識別しない形での事業者内部における分析・利用が条件ですが、当初の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更が可能とされている等、一定の義務の緩和がなされています(法41条9項)。

殿村

通知・公表している利用目的と全く関係ない利用目的に変更することもできるということですね。

関口

はい。そのため、当初の個人情報の利用目的に、「AIの学習済みモデルを開発するための学習用データセットとして利用すること」という目的が含まれていなかった場合でも、仮名加工情報に加工することで、本人の同意なく利用目的を変更し、変更後の利用目的で利用することができます。個人情報保護委員会の公表資料※3においても、仮名加工情報のユースケースとして、「不正検知等の機械学習モデルの学習用データセットとして用いるケース等」が挙げられています。

殿村

まさに学習用データセットとして利用することも想定されている制度ということですね。

関口

仮名加工情報を変更後の利用目的で利用することと並行して、コピーして残しておいた加工前の元の個人情報を引き続き当初の利用目的の範囲内で利用することも可能なので、元の個人情報の活用にも大きな悪影響はないと考えられます。

殿村

実務上は、AI開発における利用が利用目的に含まれない場合だけでなく、利用目的に含まれるか否かがはっきりしない場合にも、仮名加工情報を活用することで、利用目的の制限に違反しないことを明確にした上で、個人情報を含むデータをAI開発に利用することができるというのは大きなポイントだと思います。

関口

個人的にも思い入れのある制度なので、実務上、積極的に活用されることを期待しています。

※1
2022年4月1日施行後の個人情報保護法の条文番号。以下同じ。

※2
2022年4月1日から施行される「個人情報の保護に関する法律についてのガイドラインに関するQ&A」の番号。以下同じ。

※3
個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案について」(令和2年3月11日)
内閣府規制改革推進本部第7回成長戦略ワーキング・グループ資料
https://www8.cao.go.jp/kisei-kaikaku/kisei/meeting/wg/seicho/20200311/200311seicho02.pdf

本対談は、各位のご参考のために一般的な情報を簡潔に提供することを目的としたものであり、当事務所の法的アドバイスを構成するものではありません。また見解に亘る部分は執筆者の個人的見解であり当事務所の見解ではありません。一般的情報としての性質上、法令の条文や出典の引用を意図的に省略している場合があります。個別具体的事案に係る問題については、必ず弁護士にご相談ください。