其田　その点も改正に盛り込んでおり、新たに「仮名加工情報」という制度を導入しました。改正法においては、イノベーションを促進する観点から、氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和するものです。つまり、内部分析に限定するという条件のもとに、開示請求や利用停止、消去などの請求からは適用除外とするもので、企業が情報を内部分析する場合の負担を軽くするものです。

　森信　従来は「匿名加工情報」という言葉ありましたが、今回の「仮名加工情報」とはどう違うのですか。

　其田　「匿名加工情報」は、個人情報を目的外でも使用してよい、当人の同意なく第三者に渡してよい、というものです。それに対し「仮名加工情報」は、例えば自分が持っている名簿と照合すれば情報の主体が誰か分かる、といった性質の情報です。

　つまり「匿名加工」は加工度が非常に高く、私達のレポートでもこのように加工してくださいと細目を記しているほど高度に加工していますので、照合しても個人を特定できません。しかし「仮名加工」は加工度が低く、照合すれば特定が可能という、加工のレベルがかなり違います。

　森信　一方で、「仮名加工」は、いわゆるビッグデータとして企業や業界が活用することが可能となるわけですね。

　其田　しかしそれは、内部分析に限って可能となります。もともとこれらデータの活用はある程度目的を特定していれば問題なかったのですが、個人からの請求に応えなくていい、という負担軽減を図ったことで、企業の分析が容易になることが期待されます。

　森信　そしてもちろん、渡した側も、それによって提供先が個人を特定できることを十分認識していたと。

　其田　そうです。その点が言わば〝ウリ〟というか商品サービスにあたる部分だったと思われます。

　森信　なるほど、実態としては限りなく違法・脱法に近い行為ですね。

　其田　ですので脱法的であること、安全管理措置が取られていないことで、委員会から勧告を行いました。

ＧＤＰＲとも遜色ない制度

　森信　日本の法律は欧州のＧＤＰＲ（ＥＵ一般データ保護規則）に比べると規制が緩いという指摘があります。

　其田　もともとＯＥＣＤプライバシーガイドラインというものがあり、それに沿ってＧＤＰＲも日本の個人情報保護法も組み立てられています。基本的にはＧＤＰＲも個人情報保護法も大きな柱は変わらないと思っており、情報の利用停止と消去についても改正によってかなり拡充しましたので、この点はＧＤＰＲとも遜色ないと捉えています。これまでは情報を扱う企業側に違法行為が無いと利用停止や消去ができませんでしたが、改正でこの基準を相当程度広げましたので、ＧＤＰＲと近い水準になったと思っています。

　また、日本と欧州の間では相互認証を結んでおり、欧州側からは日本に対して十分性認定を、日本からは欧州に対しても同等な国としての指定をお互いに行っています。つまり個人情報に関しては日欧とも同等な保護レベルにあるというのが両国の共通認識なのです。

地方公共団体との懇談会設置
　森信　国会などでは、個人情報をしっかり保護すべきという立場の人と、ビッグデータの時代なのでもっと使いやすくべきだという立場の人に分かれているように思われますがいかがでしょう。

　其田　国会の議論を聞く限り、今回の改正全体としては、保護を強化する項目も多くなっていますが、その点については、運用面をあまり規制しすぎないようにしてほしいという意見、どういう取り扱いがセーフでどれがアウトかガイドラインで明示してほしいという意見などが、広く示されました。そうした声に基づき、今後ガイドラインを作成していく予定です。

　森信　また、地方自治体ごとに制度が異なり、これを統一してほしいという声もあるようですが。

　其田　個人情報保護法制の一元化という意味では、行政機関、すなわち国の部分と地方の部分という二つのテーマがあります。民間企業を規律するのは個人情報保護法であり、私たち委員会が所管している範囲なのですが、それとは別に行政機関と独立行政法人等を規律するカテゴリーがあって、現在、内閣官房のチームで、当委員会も参加して、行政機関において統一を図るにはどうすべきか、来年の通常国会に法案を提出すべく検討を始めています。一方、今ご指摘のあった地方公共団体については調和を求める声が多く、そのため私たち委員会と地方公共団体の代表者とが集まって懇談会をつくりました。実務的にどう対応していくべきかというテーマで対話を始めているところです。

　森信　そうすると、これまで地方でまちまちだった運用基準もやがては簡素化、集約化する方向へは向かうと考えてよさそうですね。

　其田　はい。何らかのソリューションを見出していきたいと思います。

　森信　各分野の学者も、いろいろな情報を活用する場合に、個人情報保護法制がバラバラであることがネックになるという声が少なくありません。

　其田　そうした声に対しても、検討によって少し整理されていければ、と考えています。

ヒューマンエラーはゼロにはならない

　森信　マイナンバーとの関連について伺いたいと思います。今回のコロナ問題で国民に10万円の特別定額給付金が支給されることとなりましたが、富裕層を含めて一括配布にはやはり疑問の声も多く、例えば年収７００～１０００万円くらいを目途に線引きすべきではないかとの意見があります。しかし、線引きすると給付対象の絞り込みが困難で時間がかかるので番号を使えば所得情報も含めて地方自治体でデータを管理していますから、地方でも線引きに伴う制度をつくれば円滑な支給が可能だと思われます。現に米国や英国でもそうなっています。

　しかし、こうした所得制限に基づく支給構想は、少なくとも今回のコロナ対応では間に合わない、しかもむしろマイナポータルの使い方が悪いとか、そもそも個人の銀行口座と番号がひも付いていないから給付が滞るのだ、という批判が生じました。

　そこで自民党のＰＴで、議員立法案が議論されています。その内容は二段階あり、当面はまず今回の特別定額給付金給付で集まった口座情報を事後的にマイナポータルに結び付けていくプランと、それよりも抜本的に来年の通常国会で口座番号をマイナンバーに付番する法制度を案として提出する、それにあたって付番を本人の同意を得る任意なのか一律義務付けるかどうかは今後の議論だと聞きました。

　しかし、口座番号をマイナンバーにひも付けるのはプライバシーの観点から従来から国民の反対が根強いのが現状です。これについては個人情報保護委員会において、マイナンバーの年間漏洩件数などが公表されており、現実にこうした違反事案があるのに、増してや口座などと結び付けたら大変な被害が発生するなどとマスコミでは指摘されています。

　とはいえ、そもそも個人情報保護委員会で発表しているマイナンバーの漏洩事案というのは、それほど大それた話ではないのではないかと考えています。マイナンバー上の情報が少し漏れ出た程度ではないかと。実際に、マイナンバーから個人情報が流出して実害が発生した事案などが相当数あるものなのでしょうか。

　其田　先生がおっしゃるように、漏洩事案のほとんどがヒューマンエラーです。

　森信　それは絶対にゼロにすることはできませんね。

　其田　はい、現実的には不可能です。特定個人情報の漏洩事案等の報告受付数はこれまで、２１７件を数えます。これを多いと見るか少ないと見るか、議論の分かれるところではあろうかと思います。

　森信　現実的に件数が抑制されているのに、これがゼロであるべきとの極端な論調がありますね。どうも日本社会は、ことプライバシーが関わるとある種異常とも言うべき完全性を求めるところがあるような気がします。私はマイナンバーができる前に制度設計に携わりまして、その時プライバシーの懸念に直面したのですが、それに対してはジャストアドレス、つまり番号は住所と変わらないと主張してきました。他人に自分の番号を知られたからといって何ら問題は生じません。年金番号を知ったからと言って本人になり替わって不正受給できるシステムになっていないのと同じです。