2021-06-03 第204回国会 参議院 厚生労働委員会 第22号
これは我が省ではございませんので、御承知のとおり、所管しているものではありませんけれども、ただ、今国会でデジタル改革関連法案、これ、これによって、改正後の個人情報保護法でありますけれども、ここにおいては、今いろいろ言われたとおりでありまして、現行法と同様に、本人による行政機関への個人情報の開示、訂正、さらには利用停止等を可能とする規定を設けておりますので、そういう意味では、EUの今言いましたようにGDPR
これは我が省ではございませんので、御承知のとおり、所管しているものではありませんけれども、ただ、今国会でデジタル改革関連法案、これ、これによって、改正後の個人情報保護法でありますけれども、ここにおいては、今いろいろ言われたとおりでありまして、現行法と同様に、本人による行政機関への個人情報の開示、訂正、さらには利用停止等を可能とする規定を設けておりますので、そういう意味では、EUの今言いましたようにGDPR
EUの先ほど紹介したGDPRですけれども、ここでは、個人の権利として、本人が同意を撤回した場合などのデータの消去権、いわゆる忘れられる権利が規定されております。取扱いを制限させる権利、ここまでだったらいいと、これ以上は使ってほしくない、これも権利。
そこで、EUの一般データ保護規則というGDPRというものがあります。ここでは、保障された権利ということで、アクセス権、そして訂正権、これ、いずれも規定しているんですね。個人情報、プライバシーを保護するために基本的な制度整備、これを同時に行う私は必要があるというふうに思うんですね。 自分の個人情報、データを提供する際、データ提供に今回なるわけですね。
EUのGDPR、一般データ保護規則は、そうならないようデジタル化に対応した個人情報保護の強化を図るために作られました。また、EUでは、自分のデータを自分で管理するデジタル民主主義の取組、個人起点のデータ流通システムが始まっています。こういう方向にこそ、監視社会ではなく、真に人々の暮らしのためにデジタル化を生かす道があるのではないでしょうか。このことを強く指摘をしたいと思います。
今後、GDPRで認められている消去権、データポータビリティー権等、個人情報保護法に規定し、本人の関与する権利の強化に向けて検討する考えはございませんでしょうか。
今回の法案改正では、EUのGDPRに基づく十分性認定、国際的な制度の調和、これを図るということが一つの立法事実として示されてきたわけでございます。
また、国の行政機関や地方公共団体における個人情報の取扱いについては、個人情報保護委員会が独立した立場から監督を行うようになることから、GDPR、EU一般データ保護規則を始めとする国際的な制度の調和を図ることができるようになります。
EUで、GDPR、一般データ保護規則の実効性を裏打ちしているのは、司法裁判所の判例が基本権憲章の保障する私生活の尊重の権利や個人情報の保護を求める権利に適合的に解釈を発展させてきたことにあります。日本でも、プライバシーを含むデジタル社会における人格権の保障について議論が深められるべきものと思います。
また、国際的なデータ流通が増大している中で、個人情報保護につきまして、GDPRを始めとする国際的な制度との調和を図る必要性というのも一層高まっているところでございまして、ただ、その一方で、今回の改正後におきましても、先ほど、今申し上げました背景を踏まえつつも、地域の特性に照らして必要がある場合には、地方公共団体は法律の範囲内で条例によりまして必要最小限の独自の保護措置を講ずることも可能としたところでございます
この意見書は、GDPRで規定されている欧州データ保護会議の職務の一つとして、欧州委員会が我が国に十分性認定を行う際に、当該十分性認定の決定文書案に関する意見を提供したものでございまして、委員御指摘のとおり、当該意見書では幾つかの懸念点や更なる明確化が必要となる点が示されていると承知をいたしております。
ただし、グローバルスタンダードの観点からは、例えばOECDプライバシーガイドラインが共通の考え方として示されておりまして、日本の個人情報保護法はEUのGDPRと同様に、このOECDのプライバシーガイドラインに準拠しているものであります。
その点で、前回、四月二十日の内閣委員会で我が党の田村智子議員の質疑のときに、平井大臣は、EUと、EUのGDPRと日本の個人情報保護法とは実質的に見て同等であるというふうにおっしゃいましたが、実質的に同等だと、私はこの発言を聞いて大変驚いたんですけど、どういう根拠でGDPRと日本の今の個人情報保護法制は同等だとおっしゃったんでしょうか。
一方、二〇一六年に制定されたEU一般データ保護規則、GDPRは、その前文の冒頭に、個人データの処理に関連する自然人の保護は基本的な権利の一つであると記しているんです。個人データの処理、ここに関係した人の方の人間の保護、基本的な権利の一つとしてこれを保護するんだということがまず明記されているんですよ。 これは歴史的な経緯があります。
GDPRは、データ削除権、私のデータを削除する権利、プロファイルを拒否する権利などを認めています。また、アメリカ・カリフォルニア州では住民投票によって、プロファイルを拒否する権利、自己情報決定権などを定めたプライバシー権法を制定した。また、フランスも自己情報コントロール権を明記したデジタル共和国法を制定しています。こういう国際的な動きが広がっているんですね。
GDPRにおいては、個人が自己のデータの取扱いに主体的に関与するための規定が個別に設けられており、いわゆるプロファイリングについても、専ら自動化された取扱いに基づいた決定の対象とされない権利が規定されていると承知しています。
今、漏れてしまった情報をどうやって回復するのかということについて、例えば、欧州連合、EUにおいては、一般データ保護規則、GDPRというような規則といいますか法律があって、個人が自分の個人情報を管理する権利、自己情報コントロール権というのが定められているわけですが、我が国の個人情報保護法には、そういう固有の権利としての自己情報コントロール権というのは明確には規定されていない。
EUの一般データ保護規則、いわゆるGDPRでは、忘れられる権利を含めた自己情報コントロール権が規定されています。また、衆議院の附帯決議においても、今後必要な措置を講ずる旨の内容が盛り込まれました。こうした状況を踏まえて、今後、この問題に政府としてどう対処する方針でしょうか。
なお、GDPR、EU一般データ保護規則も、自己情報コントロール権を具体的な権利として規定しているものではなく、個人が自己のデータの取扱いに主体的に関与するための規定を個別に設けているものと承知しております。 個人情報保護法の改正案についてのお尋ねがありました。
ただ、この先、どんどんどんどんグローバル化が進んでいって、情報の国際的なやり取りもどんどん進んでいく、GDPRとかもできていく中で、やはり、一定の方向性の共有、認識の共有というものは進めていった方が、国際的にも様々な意味でメリットがあるのかなというふうに思っていますし、もし、そういった方向に大きく向かっていくのであれば、是非日本が、そういった分野で、人権を守っていくんだという方向で主導権、イニシアチブ
だからこそ、EUにおいては、一般データ保護規則、GDPRの中で消去権、いわゆる忘れられる権利を規定しており、先日衆議院で可決したデジタル関連法案においても、自己情報コントロール権であったりデータの保護権について激論が行われたという背景があります。
EUのGDPR、一般データ保護原則では、あくまでも自己情報コントロール権ということがうたわれております。私どもの同僚議員もこの審議の中で自己情報コントロール権については随分と質疑があったと考えております。とても大事なことです。
もとより、利用目的を超えて金融機関が個人番号の利用を行う場合等には、預貯金者は個人情報保護法に基づいて登録した個人番号を取り消すことができるという、これは個人情報保護法の第三十条の一項ですが、こうした取扱い、トータルで見ると、EUのGDPRの規定に照らして遜色ないものではないかと考えております。
今改正案におきましては、学術研究分野を含めたGDPR十分性認定への対応を目指し、安全管理措置や保有個人データの開示等の義務については学術研究機関にも適用することといたしております。 加えまして……(発言する者あり)
○森山(浩)委員 他国の中で処理をする可能性がありますというのが同意というのであれば、それはヨーロッパのGDPR、これをちゃんとやっている国なのか、そうじゃないところなのか、若しくは、韓国あるいは中国というような形で、今問題、課題じゃないかと言われているところなのかというのは判断できませんから。小さい字で書いてあるからオーケーだというところにもひっかからないと思いますけれども。
○平井国務大臣 韓国はGDPRではありませんので、個人情報の取扱いに関して韓国とどのようになっているかということは、私、今時点では存じ上げませんが、CBPRとかそういう形で枠組みが今後広がっていくのかどうなのか、これはまたちょっと勉強させていただきたいと思っています。
ずっとこれは今日の議題にもなっていますが、中国は国家情報法があって何でも見れる、EUはGDPRがあって個人情報をしっかり保護されている、アメリカはGAFAがあってどちらかというと活用していこうと。
加えて、国際的なデータ流通が増えている中で、個人情報保護について、GDPRを始めとする国際的な制度との調和を図る必要も当然あるわけですね。そのときに、その前の状態というか、ここの二千個問題を解消しなければ、例えば十分性の認定ということにも問題になろうというふうに思います。
○三宅参考人 GDPRによって、日本企業もヨーロッパに支社を持っているところ、私にもよく相談があります。やはり、GDPRをまず確認して、現地の法律事務所にちゃんとチェックして、そこで対応しないと、課徴金を課せられるから気をつけろよということを言うのです。
EUではGDPR、米国はプラットフォーマーによる判断基準、中国は全体主義による国家統制が色濃く反映されていると思いますが、そこで、データプライバシーに係る国際ルール形成、できましたら、我が国で今議論をされている情報銀行に関しても御所見をお伺いできればと思います。
GDPRは、確かに個人データ保護の世界では最も先進的な法令ではあります。ただ、それ自体も批判はもちろんありますので、GDPRに沿うことが正しい在り方だというのは、ちょっと一面的な見方でしかないだろうというふうには思います。 そうはいっても、ヨーロッパは、越境データ移転規制の十分性認定の規定を持っている地域ですし、どうしても第三国としては沿っていかないといけない。
改正案では、学術研究分野を含めたGDPR十分性認定への対応を目指し、これは先生のおっしゃるとおり、三本あるということ自体が非常に問題であったわけで、安全管理措置や保有個人データの開示等の義務については、学術研究機関にも当然適用することになります。
個人情報保護の制度につきましては、文化、歴史の違いなどを背景に、国や地域によって様々でございまして、制度の比較は容易ではございませんけれども、その上で、グローバルスタンダードの観点からは、OECDプライバシーガイドラインが共通の考え方となってございまして、日本の個人情報保護法は、EUのGDPRと同様に、このガイドラインに準拠したものでございます。
○森山(浩)委員 国際的にどう見られているかという部分で、EUの一般データ保護規則、GDPR、これと我が国の個人情報保護の制度の関係ということで、補完的ルールを含めて御説明ください。
長年の課題であった、いわゆる二千個問題が解決され、個人情報保護とデータ流通の両立が期待されますし、GDPRへの十分性認定に関する対応など、国際的制度調和を図る上で非常に重要な改正だと思います。 加えて、データの利活用の在り方は、今後の国際秩序の在り方に大きな影響を与え得るものです。
他国の政策、規則の背景につきまして我が国として解釈する立場にはございませんけれども、委員御指摘のとおり、EUは個人データの保護に対する権利というのを基本的な権利として位置付けておりまして、この観点から、個人情報保護を目的として一般データ保護規則、GDPRを定めていると承知しております。
EU離脱で英国には一般データ保護規則、GDPRが及ばなくなるもとで、個人情報保護や中小企業の利益よりも、GAFAに代表される巨大プラットフォーマーの利益を優先し、ビッグデータを制約なくビジネスに活用させるものではありませんか。 英国は、昨年九月以来、日英自由貿易協定、FTAの意見聴取を実施し、交渉目的や影響試算も公表されてきました。
なお、英国政府は、個人情報保護については、EUの一般データ保護規則、GDPRの保護水準を維持した英国版GDPRの導入を発表しておりまして、これまでの個人情報の保護レベルは維持されるものと認識をしております。(拍手) ―――――――――――――