消費者保護だ同意だ言ってれば歓迎されると思ってませんか。同意なんか求めて、その後どうするんですか。意味のないものになるのは明らかです。いや、かつて、ガラケー携帯電話の「契約者固有ID」の問題を提起していた私がこう言うのも何ですけど。私も10年前は3rdパーティcookieガーとか言ってましたが、そういう問題じゃないというところまで理解が追いついたのです。1stパーティか3rdパーティかで区別するのは周回遅れです。私は2013年以降それを言っていません。個人データ保護法制で対処すべきだと理解したからです。2010年のいわゆる「第二次提言」(利用者視点を踏まえたICTサービスに係る諸問題に関する研究会)で、「個人識別性を有しない」と書かれました。注44のところを見てください。今から思うにこれが迷走の始まりだったと思いますね。誰の指示だったんですかね。そもそも、2001年の時点では、総務省の研究会(次世代移動体通信システム上のビジネスモデルに関する研究会)が、契約者固有IDのことを「ユーザID」と呼んで、個人情報に該当するから、個人情報保護法が成立して施行されると違法になるから、なんとかしなくてはという議論がされていたのです。それがなぜか、2002年を最後にその議論がパッタリ途絶えているのですね。何があったんでしょうかね。それが今になって総務省が、「電気通信事業ガバナンス検討会報告書」で、「近年、特定の個人を識別することなく利用者を区別し電気通信サービスを提供するような形態も増えてきていることから、個人情報に該当しない利用者に関する情報についても......」として、電気通信事業法で規制しようとしている。あのですね、そもそも、「利用者を区別し」ているなら、それはまさしく個人を識別しているのであって、そのような状況にあるデータは当然に個人データに該当するものというべきですよ。誰が、氏名がなければ個人情報じゃないなんて言い出したんですか。昭和63年法の個人情報定義では、「当該情報に含まれる氏名、生年月日その他の記述又は個人別に付された番号、記号その他の符号により当該個人を識別できるもの」となっていて、氏名と並んで「個人別に付された番号」で識別される「個人に関する情報」も個人情報だったのです。平成15年法でこの「又は」以下が消えましたが、「等」に置き換わっていて、そこに含意されていたのです。このことは行政管理局の解説書に書いてあります。この前、公的部門ガイドラインのパブコメがあったので、今もその解釈が生きているかと質問したところ、ちゃんと、「改正後の法第2条第1項第1号に規定する「その他の記述等」には、個人別に付された番号その他の符号が含まれます。」との回答を得ました。平成27年改正で導入した「個人識別符号」は、実は要らない規定でした。この規定がなくても初めから元々「個人別に付された番号、記号その他の符号」により当該個人を識別できる「個人に関する情報」は個人情報だったのです。なければ個人情報にならないという誤解が蔓延して、顔識別カメラで個人を追いかける場合でさえ個人情報じゃないと主張した大阪駅顔実験事案とか、DNA配列でさえ個人情報じゃないと主張する向きもあったことから、個人識別符号の規定を設けることによって、それらは「個人を識別することとなる符号ですよ」と、確認的に規定されたのです。この辺りは、例によって内閣法制局でも混乱が生じていました。情報公開請求で開示された部内資料によると、立案当局(内閣官房IT室)は、当初は、「パーソナルデータ検討会」での検討結果に沿って、唯一無二性や悉皆性、不変性などの高い識別子に限って個人識別符号に入れるよう検討をしていたのですが、法制局の部長レベルでは、「パスポート番号なんて本人も覚えていないのになぜそれが個人情報になるのかわからない」的な横槍が入って右往左往し、最終的に、長官のどんでん返しでひっくり返るという事態が起きていました。個人識別符号の案に難色を示し、「登録した者において識別可能な状態で管理しているもの」は全部対象なのであって、一部の識別子だけ対象にするような「つまみ食いはダメ」だと指摘していたようです。この辺りの経緯は、情報法制研究2号79頁あたりに書いています。モデル」を前提にすれば、「登録した者において識別可能な状態で管理しているもの」が全部対象となるのは必然なわけです。この場合の「識別可能」というのは、個人に対して「決定」を及ぼせるということです。この「決定」の意味が広範であることは前半で述べたとおりで、画面に何を表示させるかを個人毎に変えることも「決定」です。protectionの趣旨を理解していたのではないでしょうか。1974での当時の「retrievability」の整理とそっくりです。「政令で定めるもの」は、如何なる状況でも個人を識別することとなるものとして限定的に捉えられ、最小限のものしか入っていません。2号個人識別符号のうち「個人に販売される商品の購入に関し割り当てられ」のところは、政令で該当なしとされており、空文化しています。結局、1号個人識別符号も、2号個人識別符号も、平成27年改正前から既に「個人に関する情報」に含まれれば個人情報となるものだったものということです。この改正で個人情報の範囲は変わっておらず、だから経過措置は設けられなかったわけです。スマートフォンを通じて「登録した者において識別可能な状態で管理しているもの」は元より全て個人データなのです。2010年「第二次提言」のせいで皆で間違えてきただけなのです。ヒアリングの席で、個人識別符号にcookieを入れる方向性には反対意見を述べたのです。配布資料と議事概要をご覧ください。平成27年改正の際に「パーソナルデータ検討会」の技術WGで整理された識別子の強弱論は、もはや関係ありません。あの議論はもう捨てるべきです。性質を捉えて、「強力すぎる識別子」の議論をしていたこともありました。それは、情報技術論として、そういう識別子を作ってはいけない、使ってはいけないという話をしていたものです。日本ではガラケーの「契約者固有ID」が問題となっていたからです。後には、スマホの端末IDも問題化しました。米国議会やFTCそしてAppleの対応によって端末IDの問題は解決していきましたし、ガラケーの「契約者固有ID」は目出度くもう廃止目前です。これは技術論の話であって、法制度の規制対象の話は別です。法制度の話としては、識別子の「強力さ」に関係なく、どんな識別子であろうとも、「登録した者において識別可能な状態で管理しているもの」は個人データなのです。私は2013年にそこの理解に到達しました。それから、その後のリクナビ事件の勃発で急遽導入されることとなった「個人関連情報」も、私の見解としては、新たに規定するまでもなくそれは個人データの提供だったのであり、令和2年改正の「個人関連情報」も確認的に規定されるものだと考えています。言っても、現に誰もそうは思ってないじゃないかという話があります。これは、法目的から理解する必要があるのです。モデルで法目的を考えているからです。情報公開系のモザイクアプローチだの言っている人々にも理解不能なのです。すると、どうやってそこを解決していくのでしょうか。法目的が明確になれば、「cookieに格納したID」もその処理形態によっては該当するのだと、解釈で示すことができる......と言いたいところですが、ここで障害となるのが、「個人情報」と「個人データ」の違いです。「個人データ」を直接定義する構想も考えたことがありました。2013年11月の法とコンピュータ学会第38回研究会でお話しした「パーソナルデータ保護法制に向けての提案」はそれでした。日本法ではまず「個人情報」の定義があって、それを用いて「個人データ」が定義されるので、その構造がある限りそうはいきません。述べたように、「情報」と「data」は異なるものです。protectionにおける「data」概念に沿って日本法も「個人データ」を解釈するようにし、かつ、法の規定から「個人情報」概念を排除する必要があります。その場合に、公的部門をどうするのかという問題がさらなる障害になってきます。ここのハードルが高いです。これをやらないことには解決しない。したものでしょうかね......。法目的を明確にすることがまず重要という、最初の話に戻りましたが、もう一つ、「憲法上の位置付けを明らかにしていく」という話がありました。これはどういうことでしょうか。data」(個人データの保護)を設けています。her.」(何人も、自己に関する個人データの保護の権利を有する。ここでまた誤訳に注意です。「個人データ」とすべきところを「個人情報」と訳したり、「個人データの保護」とすべきところを「個人データを保護」と訳すのは間違いですからね。これは今日最初から述べてきたことです。data」なるものがあることを前提としています。protection」のことです。protectionを基本権にする必要があると論じていました。protectionの法目的の前提が活かされているに違いありません。それに対して日本はどうでしょうか。自民党の憲法改正草案(2012年)は、こんなものを新設しようとしていました。何人も、個人に関する情報を不当に取得し、保有し、又は利用してはならない。平成24年4月27日決定)全くお話にならない。あらゆる意味でめちゃくちゃ。これでは人の噂話も憲法違反になりますよ。情けなくて涙がこぼれます。ついては、先ほど、ドイツでも誤解と拡大解釈の混乱があって強い批判がある旨を紹介しました。ドグマーティクレベルでは国際的にはほとんど受け入れられなかった」と指摘しています。protectionがあるので情報的自己決定権にどの程度将来があるかも不明だとも言っています。informationnelle」(情報的自己決定)を明記していました。これはやってしまいましたね。CNILが2016年の活動報告のパンフで、ドイツ由来の情報的自己決定権を明記しましたと宣伝していました。(比較法研究81号、2019年)によると、「ただし、2018年オルドナンスにより、個人情報の利用法を決定しコントロールする個人の権利は、GDPR、2016年4月27日指令(法執行・司法部門の情報保護指令)及び本法の枠内で行使される、という表現に再改正され、端的な権利宣言としての印象は薄まった。」(195頁)というのです。これは、フランスでもいささか混乱があるということではないでしょうか。この「GDPRの枠内で」との限定がかかる話は、直近の日本での自己情報コントロール権論議とも関係するところがあるように思えます。コントロール権をめぐって」(128頁以下)は、自己情報コントロール権説を今どう捉えるべきなのか、とてもわかりやすい論争として整理されているので、皆さんも是非ご覧になるとよいと思います。言うとどんな論争なのでしょうか。私の観点で要約しますと、まず、山本は冒頭、「憲法学では、プライバシー権の理解として自己情報コントロール権説が通説的な位置を占め」てきたとして、阪本説などの従来からの批判はあったとしながらも、「AI技術の発展やプラットフォームの台頭が著しいこの時代だからこそ、自己情報コントロール権を基本権として捉えることが一層重要になってくる」と主張します。これに対して曽我部はまず、「自己情報コントロール権に含まれる自己決定あるいは同意は、プライバシーあるいは個人情報保護の文脈では、手段的性格が強いのではないか」、「必ずしも本質的要素ではなく、個人情報の社会通念上不当な取扱い及びそれに起因する不利益を防止するのが目的であり、自己決定・同意の要素は基本的にそのための手段である」と指摘します。加えて、同意の有効性に疑問を呈し、さらに、「実定法における自己決定の不徹底」を指摘します。個人情報保護法のルールは実際そうなってないじゃないかという指摘ですね。GDPRだって同意以外の根拠に基づく個人データ処理を様々に認めていると。曽我部は、「本来は、あらゆる個人情報についてあらゆるコントロールを及ぼしうるようなことを想定しているわけではないはずですが、ネーミングが独り歩きをして、個人情報を取り扱う主体に対して過剰な負担となるなど混乱を生んでいる側面がないではない」と指摘します。「少なくともその名称においてミスリーディング」だと。いう方が実態に合っているし、誤解も少ない」と主張しつつ、佐藤説の自己情報コントロール権も、「その本質は、どこまでの情報を誰とシェアするかを選択する関係的な権利ですので、両者の互換的な使用は許される」と主張します。同意の有効性に対しても、山本は、「当然、何らかの正統な利益があれば、同意がなくても一定の情報処理は可能です。表現の自由なども、他の正統な利益と調整されるわけですから、絶対的なものではありません。権利というのは相対的にしか保証されないわけですね。実務の場面では、なぜか情報自己決定権は問答無用の切り札的な権利なのだと誤解」されると言います。これに対し曽我部は、「ではどのような自己情報のどのような取扱いに対してコントロールを求めるものなのか」と疑問を呈し、「プライバシー固有情報かどうかの区別等、大まかなものはありますが、全体としては不明確」と指摘します。「こうした名称を名乗る以上は、しかるべき範囲については同意が必要とするのが権利内容なのだと思われます。」とした上で、本人が情報提供を拒否できるかについて「結局は利益衡量によって拒否を認めないのであれば、自己情報コントロール権説をとる意義は減退するのではないでしょうか。」と畳み掛けています。ここで私の感想を述べますと、ネーミングが独り歩きしているのは日本だけでなく、ドイツでも、おそらくフランスでも混乱が生じているのではないかと思うのですが、山本が言う「誰とシェアするかを選択する」権利という理解も、すでに「独り歩き」した結果だと思うのですね。protectionの趣旨としては、「誰とシェアするかを選択する」一般的な権利を実現するものではない。そこは曽我部が指摘するとおり、実際GDPRがそうなっていない。山本は、他の利益と調整されるから絶対的ではないと言うけれども、そこの調整の原理は何なのでしょうか。「自己情報コントロール」からも「情報自己決定」からも、そこのヒントは何ら得られないと思うのですね。interestsというのは、事業者の「正当な利益」を理由とする適法化根拠ですけども、何をもって「正当」と言えるのか、「自己情報コントロール」や「情報自己決定」からでは何ら導き出されるものはありません。他方、この対談で曽我部は、自説として、「個人情報の保護を求める権利」と言った方が良いと提案しています。「EU基本権憲章8条1項の定式化を借りた」のだそうです。data」の権利を設けています。protection」の法学概念が50年をかけて既に確立しているからこそではないでしょうか。いう独り歩きするネーミングのキャッチフレーズを入れてしまっても、「GDPRの枠内で」解釈されることは揺るぎないわけですね。明後日の方角へ飛んで行ってしまうことになるでしょう。これらの言葉を安易に受け入れることは危険なのであって、政府が拒否し続けるのはそのためでしょう。曽我部の言うように、日本において「個人情報の保護を求める権利」と言うと、その「個人情報の保護」とは何のことを指すことになるのでしょうか。実定法たる個人情報保護法のルールセットのことを指すことになるでしょうか。曽我部はここで、音無知展の「自己情報の適正な取り扱いを求める権利」説を紹介して、この捉え方に「転換するべきではないか」と主張しています。令和2年改正で「適正な利用義務の明確化」を予定していたのに、法制局で「不適正利用の禁止」へと反転されてしまい、結局「適正な利用」とは何かを誰も説明できなかった様子が窺われるこの国で、「適正な取り扱いを求める権利」と言ったところで、トートロジーではないですか。今日述べてきたように、日本の個人情報保護法は明らかに何かが足りていません。その足りないものを埋める根拠を基本権に求めたいところなのに、その基本権が「個人情報の保護を求める権利」だというのであれば、何も決まりやしないではないですか。ただの現状追認にしかならない。ここにEUから50年遅れ続けたニッポンの「個人情報」の悲哀を感じざるを得ません。曽我部はこの対談で、「もっとも、『個人情報の保護を求める権利』、あるいは、『自己情報の適正な取り扱いを求める権利』であっても、重要な場面(この辺りの明確化は今後の課題です)では同意の必要性はあると思いますので......」と述べているのですね。「この辺りの明確化は今後の課題」とのことですが、私としては、そのような同意例外を使わざるを得ない「重要な場面」とは、relevantでないdataによる個人の選別が行われる場面のことだと思うのです。protectionを人格権の保護ととらえるならば、「relevantでないdataによる個人の選別」こそが人格権に関わるものだということではないか、そこの解明を日本の憲法学に期待したいです。これが今日の高木さんの結論ですね。モデル」で設計されていて、日本法もその系統にある、という事実の確認から始める必要があると思うのですね。protectionはそういうものだったのだという説です。当時は「エキスパートシステム」と呼ばれていて、機械学習による自動モデル生成は今ほど強力ではなかったでしょうが、モデルを適用して個人を選別することは50年前にとっくに始まっていたわけです。いう話であるわけです。以上でそろそろ終わりでしょうか。おなか一杯ではありますが、最後に何か一言ありますでしょうか。