貴久子この1年、過去の海外文献を調査していたという高木浩光さん。これまでの研究の一部は情報法制レポート創刊号の特集として掲載されましたが、高木さんに言わせると「あれはまだ序の口」とのこと。本日お伺いする内容は近々高木さん自身が論文にされる予定とのことですが、まだ時間がかかりそうということで、急ぎ、インタビューとしてお話しいただくことになりました。このインタビューは大変長くなっております。最後までお付き合いいただければと思いますが、時間のない方は、目次を参照していただき、気になるトピックからお読みください。今日は、高木さんがどうしても今すぐみなさんに伝えたいことがあるとのことで、インタビューでお話を聞くことになりました。はい、よろしくお願いします。話はとても長くなります。全部を説明しないと結論の理由にならないので、かなり大変ですが、全部を一気にお話ししましょう。どこから始めましょうか。個人情報保護法の改正の話からでしょうか。一昨年と昨年、立て続けに個人情報保護法の改正がありました。今年と来年に施行されるとのことですが、個人情報保護の法制度は今後どのように変化していくとお考えですか。ガイドラインで微修正されます。昨年の「令和3年改正」は「公民一元化」、つまり、これまで、行政機関と独立行政法人が対象の「公的部門」と、一般の事業者が対象の「民間部門」の法律が別々になっていたのを、一本化して、定義などを統一するという改正です。これも今年4月施行です。都道府県や市区町村など全国の地方公共団体は、それぞれ独自の個人情報保護条例が適用されていたのが、令和3年改正で、国の法律に一元化され、個人情報保護法が直接適用されるようになります。これが来年に施行されます。「3年ごと見直し」があるのは知っていましたが、それとは別の改正もあるのですね。平成27年改正の附則で検討事項とされていたもので、いつかはやるのだろう、今度の次の「3年ごと見直し」でやるのかな?と思っていたところ、急遽やることになった感があります。菅内閣発足で始まった「デジタル改革」と合わせて整備されましたが、実は、それより前、令和元年12月から立案が開始されていたもので、本当はデジタル改革はあまり関係ないと思います。実はデジタル改革とはあまり関係がない。公民一元化は何を目的にしているのでしょうか。ルールの内容は基本的にはほとんど変わりません。将来の改正でルールを変更するための下準備ができたといえるでしょう。これまでは、民間部門を改正すると、追って公的部門も同じように改正するか検討するというパターンになっていて、過去には、「公的部門には必要ない」などといって、チグハグな結果となることが多々ありました。そこに、さらに地方公共団体の条例もとなると、足並みが揃う見込みがありませんでした。公民一元化することで、将来の改正をスムーズにする下地を作ったというわけですね。これから必要となってくるのは、この法律の目的を明確にし、「保護」の中身は何なのか、その憲法上の位置付けを明らかにしていくことです。「法律の目的」が明確になっていないというのは衝撃的なのですが。「法律の目的」は個人情報を保護することではないのでしょうか。この法律の目的は、情報を保護することではないのです。第1条の目的規定は、「個人の権利利益を保護する」と書かれていて、「個人情報を保護する」とは書かれていません。EU(欧州連合)のGDPR(一般データ保護規則)でも、第1条で「個人データの処理に係る自然人の保護」がうたわれており、個人データを保護するとは言っていない。保護する対象は「人」なのです。保護するのは「情報」ではなく「人」。data」(個人データの保護)というフレーズも出てきますよね。data(個人データ)をprotect(保護)することではないのです。このフレーズは欧州の法律用語であり、ドイツ法の「Datenschutz」が起源で、それと共通の用語だと言われています。「Daten」はデータのことで、「schutz」は保護の意味です。protectionです。データを意味する「Daten」+保護を意味する「schutz」で「Datenschutz」。実はドイツでも、Datenschutzの語が登場した1970年代前半に、この用語は誤解を招くとの批判がありました。データの漏えい・滅失・毀損を防ぐ意味での「保護」と誤解させると。ドイツではDatensicherung(データ保護)あるいはDatensicherheit(データ保護)とDatenschutz(データ保護)は別概念だとされているのですが、字面ではそのことがわかりません。当時、別の言葉がいくつか提案されたようですが、いずれもイマイチだということで、結局このDatenschutzの語を使い続けることで落ち着いたそうで、その後は、Datenschutzは文字通りにデータを保護することではなく特別な意味を持つ法律用語だということになっています。Datenschutzは文字通りの意味ではないというところまでは理解しました。その「特別な意味」とは、どのような意味なのでしょうか。Datenverarbeitung)というものでした。misuse)から保護することによって、保護に値する当事者の利益の侵害を防止することが法の目的でした。ここで「濫用」とは何かが問題となるところですが、それは後にして、そのような濫用を間接的に防止するための個人データ処理についてのルールセットがDatenschutzだというわけです。具体的にはどのようなルールセットなのでしょうか。当初は簡単なものだったようですが、1980年のOECDガイドライン(プライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告)を経てドイツ法も改正され、1995年のEUデータ保護指令があり、現在はGDPRに準拠する形に変貌しています。日本の個人情報保護法も、OECDガイドラインの基本原則に準拠しているとされており、似たようなルールセットを持っています。請求に応じるという、お馴染みのルールセットですね。法律の題名は「個人情報の保護に関する法律」で、「個人情報の保護」とありますけど。protection、Datenschutz)と「個人情報を保護する」は同じじゃないのです。実は、このことは、昭和63年の「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」が立法される際の国会でも議論されていました。当時の国会会議録を見ると、野党から、第1条に「個人情報を保護する」と明記するよう修正を求める質問があったようです。この指摘に対し、政府側は修正を拒否しています。(略)私は、この点については日弁連の側の意見が正しいというふうに思っておるわけなんです。ここで私は総務庁に要求したいのは、立法の趣旨というものはやはり個人情報の保護にあるというふうにすべきだと思う。そのためにだれが見ても「目的」の項はそう読み取れるように書き直すべきだと思うのです。「個人情報を保護することにより、個人の尊厳を保持し、国民の基本的人権を擁護することを目的とする。」というふうな格好に書けば、これは極めて明確になる。(略)この「目的」のところをひとつ大臣、勇断を奮って書き直していただきたいと思うのです。6号昭和63年10月11日)(太字は引用時、以下同じ)そして昨年、令和3年改正の国会審議でも、同じような議論がありました。1条の目的に「個人情報を保護し」との文言を加えるというものでした。修正案の提出者はこう説明しています。(略)日本国憲法第13条で、自己の個人に関する情報の取扱いについて自ら決定できる権利も保障されているという考え方が多くの憲法学者によって支持されています。政府原案は、国や企業のデータの利活用ばかりに目が向いて、個人に関する情報の自己決定権を認めないばかりか、そもそも個人情報保護法の目的に、個人情報を保護することという文言すら入れておらず、個人の権利や利益の保護という観点が不十分であると言わざるを得ません。14号令和3年4月2日)このように、日本の個人情報保護法も、「個人情報を保護する」とは言っていないというのが、与野党と政府の共通した認識だとわかります。この修正案は否決されたのですが、その理由を、11月に出版された立案担当者解説が、次のように説明しています。改正後の個人情報保護法の目的にある「個人の権利利益」とは何ですか。今回の改正で「個人の権利利益を保護すること」の内容として、「個人情報を保護すること」を明記しなかったのは、どのような理由によるものですか。「個人の権利利益」には、プライバシー(他人に知られたくない自己の情報をみだりに開示・公表されないこと)や名誉のほか、生活の平穏を乱されないことや不当な差別を受けないことなど、個人の様々な権利利益が含まれます。個人情報保護法制は、このような様々な「個人の権利利益」を保護することを目的として、予防的に個人情報の取扱いに関する義務の遵守を求めるものであるため、「個人の権利利益を保護すること」の内容として「個人情報を保護すること」を例示することは適当ではありません。data」も同様であること、それらを理解してのことではないか。そのことは、昭和63年法の立案時から一貫して受け継いできたのではないかな、と私は思うのです。data)の処理によって影響を受ける「個人の権利利益」なのです。情報自体を保護すると書くと、意味するところが違うものになってきます。ドイツでいうDatensicherheitの方、つまり、セキュリティの方の意味での「保護」だと誤解させたり、さらに、個人情報の提供を制限するものだとの誤解も招きます。たしかに、日本の個人情報保護法は、民間部門では個人データの第三者提供を制限して、原則的に同意が必要としていますが、公的部門では目的内の提供は何ら制限していませんし、民間部門でも、委託や共同利用の場合には目的内の提供を制限していません。OECDガイドラインでも、目的外の提供を問題にしているだけです。おお、そうなんですか。巷にあるOECDガイドラインの日本語訳の中には、誤訳して、「本人の同意がある場合を除き、提供されてはならない。」などと書いているものもありますが、原文にそんなことは書かれていません。notと言っているだけなのです。本人同意は例外の位置付けです。厳しいと言われるGDPRでも、正当な場合にまで本人同意を求めているわけではありません。それは知りませんでした。日本では第三者提供が規制されているので、世界でもそういうものだと思っていたのですが、違うのですね。昭和の時代、日本でも欧米に倣って個人データ保護法を作ろうと検討していた時点では、目的外の利用と提供を論点としていました。「目的外の利用」と「提供」じゃないですよ、目的外の「利用と提供」です。実際、昭和63年法では目的外の「利用と提供」を制限するように規定されて、現在の公的部門に引き継がれているのですが、平成15年法で民間部門のルールが立案された際に、ほとんど議論なく、目的内の提供も制限することになったのです。たしかに、Suicaデータの提供は、提供先の会社が統計量に集計して利用・販売することを前提にしていましたので、それを前提にすれば、目的外の利用・提供にはあたりません。OECDガイドラインでもGDPRでも、統計量に集計する二次利用は、目的外とはみなさないことになっています。あの事案が問題だったのは、提供するデータが個人データに該当しない旨、主張された点にありました。提供されるデータは、匿名化されておらず、仮名化しているにすぎないものでした。当時、ちょうどGDPRが誕生しようとしている時期で、GDPRでも、仮名化を匿名化と区別して、仮名化しただけでは依然として個人データである旨、整理されていました。仮名化で非個人データになるとするSuica事件の主張を認めていたら、統計目的に限らず、どんな目的であっても、仮名化すれば目的外提供が許されることになってしまい、日本は世界から孤立するところでした。日本法でも、統計量への集計処理を業者に委託する形にすれば適法です。このことは、当時、我々は当初から言っていましたよ。JR東日本が自らの責任で、自ら統計量にして自ら販売するのであれば、問題ないのだと。今年になってようやくそういう話が、JR東日本が自ら販売するとの報道が出てきていますね。平成15年法の立案当時、つまり西暦2000年ごろですが、立法事実として問題にされていたのは、主に名簿屋の存在でした。名簿屋が「名簿販売」を利用目的に掲げてきたら、これが目的内提供だということになって何の制限もかからないのはまずい。いって、「名簿販売」という利用目的を許さないとすることもできず、民間部門の利用目的は自由とする代わりに、目的内の提供も規制することになったのです。EUでは、単に「データを販売します」というのでは利用目的を特定したことにはならないでしょう。販売したデータが販売先でどのように使われ、データの本人に影響し得るかまで特定した利用目的を掲げる必要がある。その点、日本法の利用目的特定義務はゆるいのです。平成15年法が立案された当時は、事業内容を掲げておけばOKのようなことを言っていたので、「名簿販売」を排除できなくなっていたわけです。目的内の第三者提供が厳くなっているのは、利用目的を自由にしてもらっている代わりのバーターなのですね。利用目的の特定がもっと厳密に求められる義務になっていれば、目的内の提供はもっとゆるい規制で足りるはずです。どのように利用目的を特定すれば正当と言えるのか、日本法は何も言っていません。その点、公的部門で目的内の提供が制限されていないのは、公的部門では利用目的の設定が自由ではないからです。そもそも「法令の定める所掌事務を遂行するため必要」なことしか利用目的にすることができないからです。回り道しましたが、話を戻して、何の話だったかというと、本来、本人同意のない提供それ自体を規制するのが法の趣旨ではないということです。問題とされる提供はあくまでも目的外の場合です。情報それ自体を保護する趣旨ではないからです。「個人情報を保護する」と書いちゃダメというのは、「本人同意のない提供それ自体を規制」する趣旨だとの誤解を招くからです。いや、その誤解はすでにかなり広まっているところであり、それを目的規定に書いてしまったら、後戻りできなくなってしまうということです。利用目的の特定をもっと厳密にやれば良いとのことですが、これは実現しそうなのでしょうか。実は、令和2年改正の検討段階では、民間部門も利用目的特定義務を厳密にしようとする動きはありました。検討の初期、2019年春の時点で、利用停止請求権の強化と合わせて、保有個人データの利用目的公表義務を厳密化することが考えられていたようです。絶妙なタイミングで立法事実となったのが、同年夏に発覚したリクナビ事件です。出した勧告は、リクナビが就活生の個人データを本人同意なく第三者提供していた点の違法を指摘するものでしたが、世論としては、本人同意があればやって良いことなのかが問題視されました。利用目的が、「あなたのWeb閲覧履歴から、あなたが内定を得た各求人企業について、あなたがその内定をどのくらい辞退する可能性があるかを算出し、その求人企業に提供します。」と明示されていたら、同意する就活生なんていませんよね。職業紹介事業等の本旨に立ち返り、このような事業を行わないようにすること。」と、業界団体に通達する展開になったのでした。第三者提供のところを捉えてしか違法を指摘できなかったところに、日本の個人情報保護法の欠陥が露わになったと言えます。この事案が、求人企業がリクナビに委託する形で整理されたら、日本法では合法ということになってしまいます。この事件を受けて、同年12月の「制度改正大綱」では、「適正な利用義務の明確化」が盛り込まれ、「適正とは認めがたい方法による、個人情報の利用を行ってはならない旨を明確化することとする。リクナビのような個人データ利用が禁止されるのかなと期待されたのでしたが、開けて悔しき玉手箱、最終的に出来上がった改正法は、そうはなりませんでした。令和2年改正で新設される「不適正利用の禁止」(改正後19条)は、「違法又は不当な行為を助長し、又は誘発するおそれがある方法」の利用を禁止しているだけです。ガイドライン通則編に記載された該当例は、暴力団員ガーとか、貸金業者ガーとか、違法薬物ガーとか、犯罪的な香りのするものばかりですし、「採用選考」の例もあるにはあるのですが、「性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために」となっていて、内定辞退予測は該当しないと判断した様子がうかがえます。ガイドライン通則編ではこう説明されています。認められない行為をいう。元から違法だった行為を、「助長・誘発するおそれがある方法」まで広げて事前抑止するだけなのですね。「制度趣旨に反する行為」も対象ですが、その「制度趣旨」が何なのかが不明なままです。こちらも残念な結果でした。「保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの」(現行27条1項4号)の公表事項に、「保有個人データの処理の方法」が追加されることになっていたのですが、開けて見たれば鳥の糞、追加されたのは「安全管理のために講じた措置」でした。これは何の意味もありませんね。それから、ガイドライン通則編に若干の追記があり、注の※1に、「本人から得た情報から、本人に関する行動・関心等の情報を分析する場合」の例が加えられたのですが、「どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない」と言っているだけで、何を要件にしているのかが不明です。ここの例示に、本来はリクナビ事案が入る予定だったようですが、なぜかボツになっています。ボツと言いますと?2020年10月時点の委員会の検討資料では、「履歴書や面接で得た情報のみならず、(本人が分析されることを想定していない)行動履歴等の情報を分析し、人事採用に活用するケース」の例を載せる予定があったようで、そこには、悪い公表の例として、「取得した情報を採否の検討・決定のために利用いたします」と書かれており、良い公表の例として、「履歴書や面接で得た情報に加え、行動履歴等の情報を分析して、当該分析結果を採否の検討・決定のために利用いたします。」と書かれていました。これが、パブコメにかけられたガイドライン改正案の時点で丸ごと消えていました。ボツになったのかは不明です。パブコメで理由を問えばよかったのですが、残念ながら見落としました。リクナビ事件を踏まえた対策はできなかったということですね。「適正な利用義務の明確化」を予定していたのに、できた改正法は「不適正利用の禁止」となり、反転されてしまいました。やる気あるように見えていたのですが、「不適正利用の禁止」が限定的なものに留まったのは、内閣法制局を通せなかったのではないですかね。示せなかったということでしょう。理由のはっきりしない規定を設けるわけにはいかないから、暴力団員ガーとか、違法薬物ガーとか、「違法又は不当な行為を助長し、又は誘発するおそれがある方法」などという、現行法令を追認するだけの規定に終わってしまう。「適正な利用義務」とは何かを示すことができなかったのでしょう。protection、Datenschutz)がいかなる意味なのかの理解が、法制局にも委員会にも共通認識になっていないからなんだろうと思うのです。法目的は何かという最初の話に戻るわけですね。データによる個人の選別から個人を保護することです。「データによる個人の選別」との表現は、3年ほど前から使い始めたもので、海外に同じフレーズがあるわけではありません。日本法の誤解され具合に合わせて、誤解を解くために編み出した端的な表現でした。その後の文献調査で、海外にも同様の整理があることがわかってきました。独自の見解というわけではないのですね。去年、まるまる1年かけて、1970〜80年代を中心に海外文献の原典をあたっていました。Privacy」ですか。そこからOECDガイドラインができたというのだけども、Westin(1968年)、Miller(1971年)からOECDガイドライン(1980年)までの間に何があったのか、そこの説明がいつもスポーンと抜けてるんですよねえ。確かに!OECDガイドラインまでに10年ありますね。ここが空白なんですか。それとも誰もフォローしていないだけ?高木:そこにずっと疑問を持っていたのです。いう趣旨でOECDガイドラインができたのかと。これを去年、やっと調べたのです。以前からずっと謎だったのは、OECDガイドラインが「file」概念に言及していないことでした。今回その経緯を示す文書が見つかったのです。Bingが、1984年の論文でその内幕を書き残していたのを見つけました。元々はfile概念を入れたかったのが、米国代表の意見で排除されたというのです。当時のOECDの内部文書が今では秘密解除されており、立案過程の議事概要を入手できました。この分析結果はJILISレポートに書くつもりですが、定義規定がどんどん削られて、シンプル化して行った様子が確認できます。シンプルになりすぎたせいで、肝心の前提が不明瞭なものになり、後の読者らに誤解を招いていったわけです。立案に携わった専門家部会の方々の頭の中には当然の前提になっていたことが、後世の読者にはわからなかったわけです。OECDの内部文書(1978年)この頃の日本語文献も調べましたが、この辺の経緯の話、当時も日本ではほぼ誰も紹介していなかったようです。OECDガイドラインの真意を日本の法学界が理解できなかったのは、1980年までの西側諸国の専門家コミュニティで日本は蚊帳の外だったからでしょうね。OECDの会合には日本代表も出席していて、発言も記録されているものの、通産省の出向者だったようで、その後の著作がありません。これは、日本法でも公的部門の「個人情報ファイル」として定義されているものに相当するのですが、当時の文献では、その真意はもっと詳しく説明されていました。そのルーツは例によってドイツ法にあり、ドイツ語の「Datei」がその言葉です。Dateiはコンピュータ用語として英語では「file」に訳される単語です。今日、Windowsでアイコンをドラッグする「ファイル」も同じ言葉ですが、ドイツ語の「Datei」にはもっと狭い意味が込められていました。この言葉は、当時、コンピュータの普及に伴って、Daten(データ)と「Kartei」からのアナロジーで誕生した造語で、そして「Kartei」とは、かつて図書館でよく見かけたこの(写真)カード式目録のことです。これは懐かしいですね。木と油と古い紙の匂いがしてきそうです。この木箱の全体がKarteiで、それがデータベースで言うテーブル(表)の1個に相当し、紙のカード(Karte)の各1枚がテーブルの行に相当するものです。この写真を見ながら、そう説明を受けると大変わかりやすいです。カードは統一された様式で書かれていますからね。これはDateiにも同じことが言え、要するにデータベースのテーブルのことなわけです。そのテーブルの各行が「Daten」ということです。Datenschutzの「Daten」は、このようなDateiにおけるDatenのこと、つまりテーブルの行を指しているのであり、一般的な意味での「データ」(コンピュータ上にあるbit列一般)のことではないのです。protection」の「data」もこれに同じです。file」がありますが、この「file」も「data」も、そのような意味での「Datei」「Daten」相当の意味なわけです。file」における「data」の意味だったのです。「data」という用語自体が日常語とは違う意味だということですか。「データと情報の違い」の話は耳にしますが。情報とデータの違いの話は、高校の教科「情報」の検定済教科書にも出てくるようですね。「データ」は生の記録であってそれに解釈を与えたのが「情報」である的な説明をしばしば耳にします。protectionの場面でもそれとは違っています。individual」と定義しているように、data(データ)はinformation(情報)から構成されるものとなっています。この場合の「情報」は「データに解釈を与えたもの」というわけではありませんね。先に情報があって、情報の集合物としてデータが構成されるのです。2382-1に「information」と「data」の定義がありました。対象物に関して知り得たことであって、概念を含み、一定の文脈中で特定の意味をもつもの。」とされ、「データ」とは「情報の表現であって、伝達、解釈又は処理に適するように形式化され、再度情報として解釈できるもの。注目は、データというのは「伝達、解釈又は処理に適するように形式化され」たものだという点です。これの意味するところは、単にコンピュータで扱えるように已む無く必要的にbit列化したものという意味ではなく、利用の目的のために誰かが「形式化」したものということですね。dataにも共通することです。controller」です。フォーマットが人為的に構成されるということです。内容が生の記録かもしれないにしてもですね。フォーマットというのはテーブル(表)の列の項目設計のことです。これは、利用の目的があって初めて設計できることですよね。データというのは電磁的記録のことをいうというわけでもないです。電磁的記録でないデータもあるわけです。0001にも「備考1」として、「データに対する処理は、人間が行ってもよいし、自動的手段で行ってもよい。」と注記されています。そのような処理ができるように準備されたものが「データ」であるわけです。紙のカードに書いたもの、さっきの「Kartei」のカードがそうですが、それを人間が処理するのもこの意味での「データ」です。data(個人データ)と言うときの「data」には、その言葉自体、このようなニュアンスが含意されているのです。information)と言い換えてしまうと、そのニュアンスが蒸発してしまいます。なく「個人データ保護」だとおっしゃっていましたが、そこなのですね。現行法の「個人データ」は、「個人情報データベース等」を構成する「個人情報」として定義されていますが、この法律が「個人情報データベース等」に対象を限っている理由を、巷の解説書は、大量の個人情報が漏洩すると被害が大きいからとか、それ以外も対象にすると事業者に酷だからみたいな説明で溢れていますけども、そういうことではないのです。OECDガイドラインが求めているのは、個人データの設計のあり方だからです。その点、現行法の前身である昭和63年法は、「処理情報」という用語を定義して使っていました。法律の題名にあった「電子計算機処理に係る個人情報」のフレーズは同じ意味でしょう。当時は法律に「データ」という外来語は避けたかったのでしょうかね。先行していた地方公共団体の条例が「電子計算機処理に係る個人情報」と呼んでいたのが影響したのかもしれません。10条1項5号)として残骸があるだけですが、昭和63年法の時点では、人為的に構成する設計としての「data」のニュアンスが含意されていたように見えます。行政管理局の役人さんですね。真意をわかっていたのか、そこはまだ、はっきりとした根拠資料を発掘できていません。当時の外国法の規定ぶりを忠実に真似たら結果的に「file」と「data」の概念が入っただけで、その趣旨まで理解していたのかは怪しいという感じもしますし、ちゃんと理解したからこそ、外国法の規定ぶりを忠実に真似たのだという感じもします。)」という内規がありました。その内容は、DatenschutzではなくDatensicherheitの方、つまり安全管理の規程なのですが、「データ」の語が定義なく使われていて、規定内容からして単にbit列のことを指していたようです。protectionの「data」の意味を踏まえるに至っていなかったわけです。protectionの「data」の意味を把握したからこそ、そのように規定した感じもします。昭和63年法で「データ」の語を避けたのは、古い準則の意味とは違うから誤解させないようにという配慮だった可能性も考えられますね。それから、当時の外国法を調査して日本語訳した本が、行政管理局から何度も出版されています。「はしがき」にこう書かれています。ら翻訳されたので、これも掲載する」と。この高鳥修総務庁長官は、昭和63年法の法案審議の国会答弁で、次のように述べているのですね。上程されております2法案につきまして、自由民主党を代表いたしまして質問をさせていただきたいと思います。そこでお尋ねしたいわけでありますが、一般にプライバシーと言われているものが個人においても国政上におきましても尊重されるべきものであるということは、当然のことだというふうに思います。一般にある利益を法的保護に値する利益、いわゆる権利とでも申しましょうか、保護するためには、明確な内容と限定性を備えていることが不可欠というふうに思うわけであります。プライバシーまたはプライバシー権というのですか、今日までいろいろな形で言われてき、また議論されてきておるところでありますけれども、その実態といいますかそのものは、抽象的でありますと同時に、多義的な概念であって、すべてを一つの法律で保護しようとすることは論理上無理ではなかろうかというふうに私は考えているわけであります。そこでお聞きしたいのでありますが、情報化社会におけるプライバシー保護対策はどう考えておるのか、また、その前提としてのプライバシーまたはプライバシーの権利と言われるものについてはどのように認識をしておるのか、この点について最初にお聞かせいただきたいと思います。(略)私どもは、今回御提案申し上げてまいりましたこの法律につきまして、どうも個人情報保護法案というふうに一般的に短縮をして申しておりますので、その結果として、これがいわゆるプライバシー保護法案ではないか、プライバシー保護法案だということになれば、中身がこれはまことに欠落部分が多いではないかというおしかりを各方面からいただいたところであります。弁護士会の御指摘でありますとかあるいはまた労働団体の御指摘でありますとか、私どもいろいろそうした各方面の御意見、あるいは先日11日に行われました各委員からの御質疑などにおきましても、プライバシー保護という面においては甚だごく一面しかとらえていないではないかという御指摘を数々いただいたところであります。短縮して申しておりますが、これはプライバシー保護法案ではなくてデータ保護法案である。個人のデータのうち国がコンピューター処理をしておるものについてこれを保護するというのが、この法律の趣旨でございます。したがって、プライバシー全般についてこれをカバーする機能はもともと持ち合わせていない、そういう性格のものであるということを御理解いただきたいわけであります。問題意識といたしましては、プライバシー全般に対する法的な考え方については、法務省などが中心になってさらにまとめていただかなければならないと思います。それからまた、民間部門における個人情報の処理についても、今後私どもといたしましても勉強してまいりたいと存じますし、関係各省庁におきましてさらに詰めていかなければならない、できるだけ早期にこれらの問題についても適切な対処をするように努力しなければならないと考えておりますが、当面少なくとも、先刻御指摘のあったような事情を踏まえて、政府が保有しております個人情報のうち、電算機処理されたものについて適切な管理体制を整える必要がある、このように考えて御提案した次第であります。7号昭和63年10月13日)「プライバシー保護法案ではなくてデータ保護法案である」との発言があります。これはDatenschutzの真髄を理解しているからこその答弁のようにも見えますね。続く部分を読むと、「当面少なくとも......電算機処理されたものについて」「適切な管理体制」とあって、Datensicherheitの方、つまり安全管理の話をしているかのようにも聞こえてしまいますね。その続きでは、プライバシー保護との関係を問われ、「保護すべき個人の権利利益、これは何であるか」「一般にプライバシーと言われているものとはどのように違うのか」との与党側からの質問があり、これに行政管理局長が答弁しています。先ほど長官から、この法案についてはプライバシー保護法ではなくして、むしろデータ保護法であるというふうなお話がありましたが、(略)そうなってまいりますと、プライバシーの保護との関係というのも重要な問題になってくるだろうと考えるわけであります。個人情報取り扱いの基本的な事項を定めることによりまして、行政の円滑かつ適正な運営を優先するものではなくて、それを図りつつも基本的な第一の目的をきちっと達成する、こういうことを考えておるところであります。確かに11日の議論でいろいろその辺が大きな問題になって、今の御答弁のように、本法案が個人の権利利益を保護すること、それが究極の目的であることだということは私も十分に理解できたわけであります。いうふうなことを踏まえまして、本法案で扱っておりますところのいわゆる記載されている保護すべき個人の権利利益、これは何であるか、そして、一般にプライバシーと言われているものとはどのように違うのか。これは本案の目的を示す非常に大事な問題であるというふうに私は思うわけであります。この法律で保護することを目的とする個人の権利利益、これは電算機処理に係る個人情報の取り扱いに伴って生じます侵害から守られるべき個人の権利利益ということでございまして、一つは、個人の秘密が公開されないこと。これは先ほど大臣の御答弁にもございましたが、私どももプライバシー問題の専門家ではございませんけれども、個人の秘密が公開されないということは、要するに他人に知られたくないことを公開されないという意味で、普通に言われているプライバシーの範疇に入るものではなかろうかと考えております。それから二番目に、誤った情報あるいは不完全な情報によりまして自分に関して誤った判断がなされないということについての権利利益。これは例えば、不完全な情報をもとに情報が集められた場合に、場合によっては虚像が形成されるというおそれもあるわけでございます。その場合には、あえて言えば人格権というものにかかわる、つまり、そういう意味でもプライバシーの範疇に該当するものではなかろうかというふうに考えておりますが、もう一つは、例えば誤った情報に基づいてある行政処分が行われた、その場合に財産上の損失をこうむった、これはどちらかといえばプライバシーの問題よりはむしろ財産権の侵害というようなことになろうかと思いますが、いずれにしても、そういった間違った情報で受ける不利益から守られる。それから三番目には、自己の情報を知る権利利益。大まかに申し上げますと、この法律で保護される権利利益というのはその三種類ぐらいに大別されるのではなかろうかと考えておるわけでございます。7号昭和63年10月13日)ここで「二番目」に注目です。「自分に関して誤った判断がなされないということについての権利利益」とありますね。これは、「データによる個人の選別」に近いところなのですが、データの話をしていないところが気がかりです。「自分に関して誤った判断がなされない」というだけですと、例えば、役所に電話をかけたら、電話に出た人がメモを取り、後日、担当者がメモを見て判断して折り返し電話が来なかったというときに、メモの内容が間違っていて「自分に関して誤った判断」がなされたという事案があったとしましょう。これは「データ」の話ではないんですよね。protectionは、このような、データと関係ない事案を問題とする趣旨ではないのです。この話はちょっと後にして、その前に、「プライバシー保護法案ではなくて」発言の方に着目しておきましょう。OECDガイドラインの名称は「プライバシー保護と個人データの......」だから、「プライバシー保護」と言っていますよね。WestinやMillerが1970年前後に問題提起したころ、ずっと「privacy」の語で語られていました。それが西側諸国に広がり、かなり広く知られることになりました。日本でも、学者以外の運動家に問題提起をする人々が現れ、やはり「プライバシー」の語を使って問題提起されていました。この種の課題は「プライバシー」というキャッチフレーズ抜きには語れなくなっていた事情があったと思われます。英国では、プライバシー権保護の法律を制定すべきとの世論に押されて、1970年、政府がプライバシーに関する諮問委員会を設置しました。Youngerの名からYounger委員会と呼ばれています。その使命は、「私人や組織、企業によるプライバシーへの侵入に対して、市民個人や商業・産業界の利益をさらに保護するための法律が必要かどうかを検討し、勧告を行うこと」というものでした。1972年に出版されたその報告書「Youngerレポート」は、「プライバシーは自由な社会に不可欠な価値観であり、社会全体の支持を必要とする」としつつも、「既存の英国法でプライバシーが既にかなりの範囲で保護されている」し、「プライバシーは人によって意味が大きく異なり、比較的短期間に大きく変化する概念である」から「定義の対象には適していない」こと、「情報の自由な流通に対する危険性」を挙げて、「このような不確実性を法律の新しい分野に拡大することは賢明でない」と結論づけました。コンピュータと、多岐にわたるもので、コンピュータの脅威については最後にチラッとあるだけでした。そこでは、「これまでに挙げられたプライバシー侵害の形態の中で、コンピュータの使用や誤用に関わるものは、具体的な裏付けが最も少ない」「端的に言えば、英国のプライバシーに関するコンピュータの問題は、不安と恐怖の問題であり、事実や数字の問題ではない」と述べていたのですね。information)への不正アクセスの新たな機会を与えることの3つである。Society、BCS)がコンピュータ技術者のプロフェッショナル行動規範として掲げた原則を、10の基本原則にまとめて紹介していました。Principles、1973年)や、欧州評議会の2つの決議(1973年と1974年)、OECDガイドラインの基本原則(1980年)、そして108号条約(1981年)の元になったと言われています。1972年ちょうどこのYounger委員会と並行するタイミングで、欧州評議会での検討と、OECDでの検討が始まりました。どちらも、プライバシー権一般を扱うのをやめて、コンピュータに特化した課題解決を目指したのです。当初はプライバシーの話から始まったけれど、そこから脱却して、コンピュータ処理に焦点を絞ったのです。この時点では「privacy」の語が題名に使われています。Data」となっていて、「privacy」の語はありません。本文には、第1条として、「この条約の目的は、各締約国の領域において、国籍または居住地の如何を問わず、すべての個人に対し、自己に関する個人データの自動的な処理に関して、自己の権利および基本的自由、特にプライバシーに関する権利の尊重を確保することである。protectionという。)」とあるように、「privacy」に言及しています。Hondiusが、後にこの取り組みを振り返って書き残した複数の論文で言及していまして、曰く、「親密な私生活」の意味で捉えられる「privacy」は、コンピュータの不正使用から保護されるべき重要な権利として考慮されるけれども、それを唯一の目的としているわけではないのだと。欧州の法律や条約のタイトルに「privacy」の語が入っていないことは重要だと言っています。それでも「privacy」の語が使われるのは、コンピュータ利用者や専門家がこの言葉を好んで使うようになったからだとも言っています。protectionは、個人的あるいは親密な情報を保護するという狭い意味での「privacy」を超えたものであることは明らかだと言っています。protection(データ保護)とprivacy保護は、重なるところはあるにしても、プライバシー保護全般をサポートするものではないし、プライバシー保護と関係ないところをカバーするものだということで、どちらかといえば「privacy」はあまり関係ないということなのです。それなのに「privacy」の語を使っていたのは、みんながprivacy言うてたからという事情が見えます。その後、1995年のデータ保護指令でも「privacy」の語は使われていましたが、2016年のGDPRでは、前文も含めて(注を除く)一切の「privacy」の語が排除されています。「privacy」に言及する限り法の趣旨の誤解が止まらないと、懸念したからではないでしょうか。前掲の、日本の1988年の国会で、「これはプライバシー保護法案ではなくてデータ保護法案である」と総務庁長官が答弁していたのも、こうした理解を共有していたからではないでしょうか。OECDガイドラインの時点では、その懸念はなかったのでしょうか。タイトルからして文字通り「プライバシー保護と個人データの......」ですけど。protectionを想定していたものだと思います。立案に関わっていた有識者らも同じ人たちです。OECDガイドラインの方には「file」概念がないため、そのことが見えにくくなっていますが、米国代表の拒否で省略されているだけで、趣旨は同じなんだと今では理解できます。すると、「privacy」の語を使うことで誤解を呼ぶことの危険性は、察知されていても不思議はないですね。それなのに題名を「プライバシー保護」としたのは、ここはまだ明確な根拠資料を発掘できていませんが、米国の意向が強かったのではないかと推測しています。アメリカに言われたら従うしかないんですか。1974」がありました。これは、「プライバシー法」と言っていますけど、内実は、公的部門のデータ保護法で、連邦政府機関が保有する「個人レコード」に関する公正情報実施規範(前掲のFIPPsに相当)を定めたものです。records」で、これは先ほど述べたドイツの「Datei」に相当し、「record」は「Daten」に相当するものと言ってよさそうです。「file」と「data」ですね。米国でも、対象範囲の画定方法について、当時の文献で詳しく論じられていました。その時点では米国も欧州と方向性を共有していた様子があります。Act」と呼ぶことに違和感がなかったのかもしれません。protectionの対象dataが、個人だけでなく法人にまで拡大することを、米国は阻止したかったのかもしれません。いうのも、1970年代の時点で既に、ノルウェーとオーストリアのデータ保護法が、個人データだけでなく法人データにまで対象を広げていました。一部の国では、自然人だけでなく法人にも人格権があるのが必然であるため、データ保護法を法人データにも適用するという流れがありました。108号条約も、3条2項bで、法人データに拡大できるとしています。OECDの議事概要を見ると、何度か法人データにも適用すべきではないかとする意見が出て、米国代表はそれを拒否していました。これについて、米国はprivacyを法人データに拡大するのは言葉の矛盾に近いと考えていたようだと、Bingは述べています。法人データにも適用する国があるのですね。protectionが保護する法的利益の中核は、不適切なデータに基づいて人が誤った判断をされない利益だからです。行政機関には、法人データもたくさんあるでしょう。誤ったデータに基づいて不利益処分を被るのは、法人にとっても避けたいことであり、自社のデータがどうなっているのか確認したり、誤りを訂正したいという要求はあるでしょう。このことは自然人にも法人にも共通することだからです。先ほど引用した、昭和63年法の国会審議でも、行政管理局長の答弁が、「誤った情報あるいは不完全な情報によりまして自分に関して誤った判断がなされないということについての権利利益」と言っていましたよね。たしかにそういう対処の需要はありそうですね。なると、だいぶ「プライバシー」とは違う角度の制度なのですね。昭和63年法に至る前の政府の検討文書を読むと、当初は、こういう法律を作るまでもなく行政では既に対処できているとする声が大きかった様子がわかります。安全管理は内部規程で対処できているし、目的外提供は公務員の守秘義務で対処できていると、そういう話は巷の本でも紹介されてたりしますが、それだけでなく、「誤った情報」の問題についても、不適切な行政処分に対して不服申し立てする術もあるし、個別の分野では誤りを訂正するための規定が設けられているところもあるから、そういう行政の対応というのはデータ保護法を作るまでもないという声があったようです。その点、たしかに、法人データについてなら、誤った行政処分をされた法人が行政に対抗するのは、強い法人だからこそできることでしょう。自然人である個人については、誰でもそこまでの対処ができるわけではなく、弱い個人だからこそ、個人データ保護法による対処が必要だという違いがあったのだろうと思います。「Datenschutz」概念を生んだドイツでは、1977年の連邦データ保護法(BDSG)の初期のコンメンタール(逐条解説書)を読むと、どの識者も口を揃えて次のようなことを言っていました。1960年代に「プライバシー」をきっかけに議論が始まった経緯があるけれども、コンピュータ処理に特有の法的に保護するに値する利益は何かと突き詰めて行ったところ、従前にはなかった新しい法領域があることに気づいたのだと。それがDatenschutzであり、それはもはや「プライバシー」とは別のものだったと。コンピュータの普及で危機感が出て議論が始まったけれども、よくよく考えてみれば、コンピュータ登場以前からあった問題であり、コンピュータによる自動処理だけでなく、人間が手作業で行うデータ処理だって同じ問題が昔からあったのだと。した説明に添えて出てくるのは、データによる個人の管理は、近代国家の誕生と共に既に始まっていたのだというエピソードです。そのようなデータパワーの存在こそが近代国家が成立し得るための要件だったのだと。それが科学技術の進歩に伴って強力になり過ぎたので、ついに法的対処が必要になったというのですね。今から50年前の話ですけども。——うっすらと把握しました。ここまでの話だと、単に行政データの管理の話で終わってしまいます。問題はそこじゃなく、ここからが本題です(笑)。