パブコメ対応意見 個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理
対象書類
https://public-comment.e-gov.go.jp/servlet/PcmFileDownload?seqNo=0000276139
A. 提出した意見
１ 声や絵柄という生体データを個人情報として保護
該当箇所 第２ １(1)ア 生体データ
意見 人間の肖像、外観、声、絵柄、場合によっては筆跡などを生体データとして保護すべきです。
特に、事業者や個人によるスクレイピングを拒絶するオプトアウトや、事業者や個人が公開する内容（生成AI出力物を含む）を作成する際に参照した生体データについての透明性要件の義務化について、個人情報保護法制の範囲で検討し、他の法域との連携についても提言すべきです。
理由 人間の肖像、外観、顔の形状・色味や動き（表情やその変化）、声、歌声、絵柄、筆跡のデジタルデータで、個人を特定できる解像度や分量のデータは、生体データとして、または、生体データと同等な保護が求められます。
生成AIの発達により、デジタルデータの情報処理により個人を識別可能な生体データは、顔認証、虹彩や指紋だけではなくなりました。
また、生体データの使われ方として、特定の個人の追跡や自動決定だけでなく、なりすまし（ディープフェイク）の被害も拡大しています。ディープフェイクは、特定の個人と紐付けられることで被害が拡大し、深刻化するもので、個人を識別できるデジタルデータへのアクセスがあります。
ディープフェイクは、本人が望むように生活をし、活動することを妨害します。データ処理による自動決定と同様、ディープフェイクの拡散は、自らの努力で改善できないリスクがあり、個人情報保護による権利利益が侵害されています。
特に、子どもの肖像（写真）、声優の声やイラストレーターの絵柄など、ディープフェイク（なりすまし、ポルノ化）をもたらすスクレイピングや生成AI学習のためのアクセスについて、個人情報保護法の観点から規制すべき範囲について、短期、中期、長期の情報収集と検討をお願いします。
２ 「適正な取得」から「正当な利益」へ
該当箇所 第２ １(1)（イ） 「不適正な利用の禁止」「適正な取得」の規律の明確化
生貝先生の資料で紹介されているように、自動決定からの保護が重要であり、高木先生の意見にあるように、個人情報の利用が「正当な利益」である場合に対象者個人の同意を不要とすべきであり、その「正当性」に関する判断基準が求められる（高木先生の生成AIに関する意見には後述のように同意しない）。
つまり、「適正な取得」の段階ではなく、利用により事業者が得る利益を考慮したうえで、それが正当であるかどうかを判断できなければ、「個人の権利利益」は保護されません。
生貝先生資料
https://www.ppc.go.jp/files/pdf/240403_shiryou-1-1.pdf
高木先生資料
https://www.ppc.go.jp/files/pdf/240612_shiryou-1-2.pdf
３ 統計処理と情報解析
該当箇所 第２ １(1)（イ） 「不適正な利用の禁止」「適正な取得」の規律の明確化
意見 取得のみならず利用（出力）も含めた適正さ、正当さを評価できるようにし、正当なのかどうかについて、匿名化処理と著作権法の情報解析について共通性のある整理や立案をお願いします。
理由 類型化だけでなく、原則を打ち立てて欲しいです。そのために、「適正な取得」なのかだけでなく、その事業者による利用（出力）も検討したうえで、個人情報を使うことが適正なのか、正当なのかを評価できるようにして欲しいです。
個人情報は、統計処理をして個人を特定できないような統計データとすれば利用できる（正当な使い方である）という考え方があります。著作権法30条の4第2号では「情報解析」なら著作権が制限される（侵害にならない）と整理されています。
個人情報保護法で、統計処理後になお個人を特定できてしまうおそれがあれば、それは適正な個人情報の利用には該当しないように、著作権法でも、肖像、顔、声や絵柄などのデジタルデータを生成AIが学習する際、その出力物から肖像、顔、声や絵柄が残存し、個人を思い浮かべ、特定できるのであれば、それは情報解析にならないと考えられます。
どのような匿名化処理が正当であるのかと、著作権法の情報解析に該当する範囲について、相互に参考としあえるような整理や立案をお願いします。
４ 子どもの脆弱性について
該当部分 第２ １（３）こどもの個人情報等に関する規律の在り方
意見 子どもの脆弱性を前提とした保護のあり方を検討することに、賛成します。
理由 第9頁にあるように、子どもは脆弱であり、社会的な保護が求められます。国家による法制度、ガイドラインによる事業者の行動指針の明示、子どもとの関係に関する開示の強制または任意指針の策定などが考えられます。
子どもを対象とするビジネスは、顧客が固定しないことから、営業活動にコストがかかり、生年月日と名前と住所などの個人情報を活用する誘惑が大きいです。
また、子どもによる著作権違反に対しては社会が寛容であることから、著作権違反か否かの判断が難しい生成AI利用などを夏休みの課題などと称して小中学生向けに案内するような恥じずべき日本企業も出現しています。大手企業であれば著作権侵害の恐れのあるような生成AI利用を、子どもたちにさせようとしているのです。
子どもに生成AIを使わせるかどうかは個人情報保護との直接的関連性が薄い可能性がありますが、子どもの脆弱性にまつわる問題であり、個人情報保護法の観点から、子どもの脆弱性について考え方を整理することは、著作権法その他の法域においても大変に参考となります。
個人情報保護法の見直しに際して、子どもの脆弱性を前提に、生成AIを含むデジタル環境からどのように保護すべきか、個人情報保護の現行法の保護法益のみならず、「自動決定」からの保護をどのように図るべきか、ぜひとも深くご検討ください。
サステナビリティの観点から、事業者に対して、社会環境に不可逆なインパクトを与える行動については自ら開示し、社会と対話すべきという考え方やルールが生まれつつあります（欧州のCSRDやESRS、GRIガイドライン等）。
子どもの成長と子どもの脆弱性を前提として、激しく変化するデジタル環境との関係で、子どもの成長に不可逆な悪影響を与えないようにするには、どのような規律が必要で、また、事業者にどのような開示をさせる（透明性）のが良いか、賢い手法が求められます。
単に未成年者の同意をどうとるかという問題ではなく、同正当な利益との関係で個別評価できることが望ましいと考えます。
子どもが写った写真から、児童ポルノが生成されてしまう時代であり、子どもに関するプライバシーの保護はより重要となっており、迅速な対応が望まれます。
５ 生成AIを前提とした例外規定について
該当箇所 ３ データ利活用に向けた取組に対する支援等の在り方(1)本人同意を要しないデータ利活用等の在り方
意見 生成AIを念頭に、本人同意を要さないデータ利活用の例外規定を検討することに、反対します。
理由 第１に、生成AIを特記して個人情報保護を弱める例外規定を設けると、肖像、声、絵柄や筆跡などの個人を特定できるデジタルコンテンツを使用したディープフェイクに正当性を与えかねず、個人情報保護法の目的を達せません。変化の大きい分野であり、理由第３のように、原理原則による法制度が望まれます。
第２に、生成AIを特記した個人情報保護の例外規定は、子どもの保護を弱めます。クラスメイトの個人を特定できる肖像（例えば写真）を生成AIの機能を悪用してポルノ画像にして配布するような事例が諸外国で多数発生してます。
生成AIでポルノ画像を生成するような主体に、承諾なく写真撮影できるような根拠となる例外規定を法定してしまうことは、犯罪的行為の助長となります。慎重な対応が望まれます。
生成AIを特別なものとして取り出すのではなく、技術の一つにすぎない前提で、全体像を良く洞察してください。
第３に、生成AIを特記して例外規定を検討するのではなく、本来的に本人の同意を要さない正当な利益（本来的な目的のための個人情報の利用）が何なのか、自動決定の抑止も含めて検討すべきでです。
６ 生成AI出力の取り扱いについて
該当箇所 ３ データ利活用に向けた取組に対する支援等の在り方(1)本人同意を要しないデータ利活用等の在り方
意見 大規模言語モデル等を使用した生成AI出力に個人情報が含まれている場合、有償また無償のユーザーがその生成AIモデル（システム）にアクセスし、個人情報にアクセスできるため、その生成AIモデル（システム）は名称や仕組みにかかわらず、個人情報保護法の適用上、データの単純な格納やデータベースと同様の取り扱いをすべきである。
理由 この中間整理には、生成AIからの出力に個人情報が含まれている場合の考え方についての言及はないが、生成AI出力を特別扱いすべきではなく、個人情報をデータとして格納していると整理し、個人情報保護法を適用すべきである。
有識者意見では、例えば、生成AI出力に個人情報が含まれていても個人情報保護法の問題ではないという立場から、「著作権法の観点で生成AIへの学習入力が問題とされないことと類似している。」と指摘する意見もある（高木浩光先生が第289回個人情報保護委員会に提出なさった資料の第7頁）。
しかし、まさに、生成AIへの学習が個人の権利利益を損ねるとして国際的に問題になっており、国際的に孤立しているわが国著作権法第30条の4の規定に依拠した論理展開には国際的な妥当性はもちろん、国内の議論としても不足がある。
特に、LLMをベクトル空間でに展開したことで統計的処理なり情報解析がなされたかのような前提での技術論が展開されているが、NYT vs OpenAI & Microsoftの訴状資料から明らかなように、LLMのニューラルネットワークは学習した内容をベクトル空間で重ね合わせつつ学習したコンテンツそのものを再現可能に記憶している。圧縮しているだけである。
個人情報を含むテキストファイルをzipに圧縮し、zip自体のコード列から個人情報を読み取れないため、zipファイルを解凍したユーザーの責任であるというような議論であり、採用できない。
７ 消費者や創作者の立場にたった情報発信について
該当箇所 なし（FTCについては第16頁に言及がある）
意見 米国FTCのように、消費者保護や創作者保護の立場からの分析や情報発信もして欲しいです。
理由
米国FTCは、「やあ、アレクサ！私のデータで何をしているの？」というタイトルの記事で、AIとプライバシーは密接に連携して機能するべきだと述べています。
https://www.ftc.gov/business-guidance/blog/2023/06/hey-alexa-what-are-you-doing-my-data
事業者に対する注意喚起でもあり、消費者や保護者に自分たちの権利を思い起こさせる内容でもあり、印象的で効果的な情報発信です。法制の普及活動として良質と思われます。
また、次のブログ記事では、クリエーターによる創作のコントロールとの関係で、FTC法の適用可能性への言及があります。
https://www.ftc.gov/business-guidance/blog/2023/08/cant-lose-what-you-never-had-claims-about-digital-ownership-creation-age-generative-ai
抜粋の抄訳
自分の作品に対する創作コントロールについてはどうでしょうか？
「（上記の）レコード店の例では、購入者はそのレコードアルバムが本物であるとある程度は確信できました。しかし、（生成AI時代の）現在では、デジタル音楽や小説が生成AIによって生成され、実在のアーティストや作家の作品として（なりすまし）、とても容易に質の高い形で偽装されてしまいます。すでに、実在する音楽のアーティストによる偽の新曲や、人間が執筆したかのように販売されているが実際にはLLM出力を反映した新しい書籍の例を目にしています。このようなコンテンツを消費者を騙して販売している企業は、FTC法に違反しています。これらの行為は、アーティストや作家にも明らかに損害を与えています」
内容もわかりやすさも素晴らしく、自分たちの存在意義や描き手の専門性へのプライドを感じさせる普及活動です。
我が国の組織にも、このような情報発信を期待しています。そして、そのような情報発信を通じて、生成AIへの評価に関する国際的な現況への理解を深めていただきたく、お願いします。（３(1)本人同意を要しないデータ利活用等の在り方の書きぶりは、生成AIへの理解が足りないことを推認させます）
８ ディープフェイクと消極的表現の自由について
該当箇所 ３(1)本人同意を要しないデータ利活用等の在り方
意見 個人情報やプライバシーは、生成AI時代にあっては、自己の意図しない表現を強制されないという、憲法上の消極的表現の自由と密接に関連する考え方を視野に、国家機関として憲法を遵守するとともに、ディープフェイクを強制されないための個人情報保護およびプライバシー保護の在り方について、さらなる検討をお願いします。
つまり、生成AIによるディープフェイクが生じてしまう原因は個人情報が保護されなかった結果であり、ディープフェイクは憲法が保障する基本的人権を侵害します。ディープフェイクを抑止するための個人情報保護は、侵すことのできない永久の権利である基本的人権です。従って、私企業の経済的利益よりも保護法益があり、私企業の要請によって基本的人権を弱めるべきではありません。
私企業の利益のために通信の秘密を弱めないことと同様に、私企業の利益のために個人情報やプライバシーの保護を弱めることは憲法の要請に反します。つまり、「３(1)本人同意を要しないデータ利活用等の在り方」の考え方は、この基本的人権に連なる個人情報保護を弱めAIシステム企業の利益を保護しようという、法体系に反する整理となっています。
理由
大日方信春熊本大学教授は、著作者人格権の保護法益を「消極的表現の自由」と把握し「どの著者にも、自らの意図しない表現を強制されない自由、換言すると著作物の改変を拒む権利がありそうである。これは（略）著作者には原典とは違う表現物で評価されないという法益が保護されるべきであるといえそうである」と説示しています（大日方信春『表現の自由と知的財産権』第66頁）。
大日方教授の説示は著作者人格権と憲法の関係性であり、その射程がどこまでかは研究が必要ではあるが、「消極的表現の自由」は忘れてはいけない現代的な保護法益です。
つまり、憲法が保障する表現の自由には、自己の意図しない表現を強制されないという、消極的表現の自由が含まれます。これは、自らまたは子どもの個人情報である肖像の写真、動画や声のデジタルデータを無断で使用をしたディープフェイクという、「自己の意図しない表現」を強制されない自由であり、権利です。
つまり、個人情報保護やプライバシーの保護法制は、生成AI時代にあっては、ディープフェイクを強制されないという消極的表現の自由を立法したという側面があります。ディープフェイクに対する規制に諸外国が素早く取り組むのは、それが民主主義の骨幹だからでしょう。わが国も直接的な規律が検討されるのかもしれませんが、個人情報保護法の見直しに際しては、この消極的表現の自由とプライバシーの関係性についても整理をすべきです。
個人情報保護委員会は、消極的表現の自由という基本的人権を擁護する国家機関として、他の省庁の要請を忖度することなく、個人情報の保護のあるべき姿を追求して欲しいです。
B. noteで公開する際の補足事項
1. EDPB、AI法の枠組における個人データ保護当局の役割について
Statement 3/2024 on data protection authorities’ role in the Artificial Intelligence Act framework
生貝先生のつぶやきでこの資料の存在を知ることができた。感謝。AIとプライバシーや個人データ保護当局（日本では個人情報保護委員会）の関係性を検討する際に参考になる。
また、憲法とプライバシーとAIの関係性を考える際にも、励まされる内容であった。
2. The AI Act lays down harmonised rules on the placement on the market, putting into service and use of Artificial Intelligence (hereinafter “AI”) in line with the New Legislative Framework and requires market surveillance within the meaning of Regulation (EU) 2019/1020 2 . As stated in its Article 1(1), the AI Act aims to improve the functioning of the internal market and support innovation, whilst promoting the uptake of human-centric and trustworthy AI and ensuring health, safety and a high level of protection of the fundamental rights enshrined in the Charter of Fundamental Rights of the European Union (hereinafter the “Charter”), including as regards the fundamental rights to privacy and to the protection of personal data (respectively, Article 7 and 8 of the Charter).
後半を抄訳すると、第1条(1)にあるように、AI Actは、EU域内市場の機能を改善し、イノベーションを支援しながら、人間中心で信頼できるAIの普及を促進し、欧州連合基本権憲章に定められた基本的権利、特にプライバシーおよび個人データ保護に対する基本的権利（それぞれ憲章第7条および第8条）の健康、安全および高水準の保護を確保することを目的としている。
生成AIの未来について考える際に、大切にしたい考慮事項である「人間中心」が明記されている。AIからプライバシーおよび個人データを守ることは、EU憲章（憲法に相当）で定められている基本的権利を守ることであった。
日本ではプライバシーと憲法は整理されていないが、消極的表現の自由を通じて、AIを規制する際により上位にある基本的権利を参照できるのだという、思いを強くした。
プライバシーを長く扱っておられたITに詳しい人たちにとって、プライバシーとAIは無関係にみえるかもしれないが、EUをみると基本的権利に立ち返った議論がある。GDPRも基本的権利からの構想なのだろうか。
2. 米FTCの姿勢
https://www.jftc.go.jp/kokusai/kaigaiugoki/usa/2024usa/202403us.html
ペンギンさんのつぶやきでこの資料を知ることができた。感謝。公正取引委員会が米FTCの動向を日本語で紹介してくれているのは大変に有り難く、個人情報保護委員会もそのような活動に予算や人員を割り当て、内部の知見を増大させて欲しい。
この米FTCの姿勢で素晴らしいのは、次の文に表されている。
本スタッフレポートは、公開バーチャル会議で提起された懸念事項の多くはFTCの所掌範囲を超えるものであるものの、FTCが既存の権限を使って生成AI関連市場において的を絞った執行を行うことは、公正な競争を保護し、不公正又は欺瞞的な行為や慣行を防止するのに役立つと指摘している。
所掌範囲を超えるものであっても、社会の懸念事項を把握しようとし、かつ、公正な競争の保護や欺瞞的な行為や慣行を防止するという自分たちの役割との関係で、意気込みを示してくれている。使命感こそが、縦割りを超える哲学だろう。すばらしい。
3.無駄話
反AIというネットジャーゴンがある。個人情報保護法やプライバシーの議論に生成AIを関連させ、クリエーターの保護に繋がる規律を求めて、そのような意見を国に提出するのは、法制度への無知であり、官僚の負荷を高める迷惑な行為であるとか、そんな声を反AIというジャーゴンとともに短文SNSで見かけた。
そのような理解だと、EUも米FTCも反AIだろう。原理原則は、それぞれの組織や法制度の果たすべき役割を見直しながら実行していくことだ。個人情報保護法はその目指すべき姿との関係で生成AIやディープフェイクと向き合うことになろう。
私の今回の意見について、消極的表現の自由との関係は、若干距離があるなあと思いつつも整理してみたが、その後、上記「EDPB、AI法の枠組における個人データ保護当局の役割について」に触れて驚き、励まされた。
子どもの脆弱性については、AIからではなくプライバシーから考えていくのは、同意形成のプロセスとしてよりスムーズな可能性がある。期待したい。
正当な利益について、高木先生の意見に依拠しつつ、私なりに抜本的な見直しの必要性を訴えたかった。個人情報保護の統計処理と、著作権法の情報解析をパラレルに考えるのは今回初めてだったが、統計処理なり情報解析をした結果、個人を識別できる情報が残るのかどうかは、有用な境界線になりえる。
個人情報保護法の生体データに絵柄を関連付けようとするのは、見たことも聞いたこともない畢竟独自の見解であるが、消極的表現の自由のアプローチで、自分の名において自分が関与しない表現（パロディ、ディープフェイク）がなされることは、基本的人権に反する態様があるのだ、という整理ができるのであれば、肖像や筆跡や声と同様に、絵柄を含めることができるだろう。
今回、個人情報保護法について意見を書くということは、高木先生の意見書の一部に反論をして公開するということで、私としては気が重くパスする予定だったが、多くの人がパブコメ対応に努力しているのを短文SNSで知り、なんとか時間を捻出して対応することとした。いくつか興味深い発見をすることもでき、とても良い体験となった。
生成AIに悩まされ、意見を発し、社会をより良くしようとしている人たちを尊敬するとともに、私にとっては、自分が変化するきっかけを与えてくれている存在であり、感謝しております。