参議院選挙各分野政策
63、デジタル化問題、個人情報保護、マイナンバー
データ利活用、プライバシー権、自己情報コントロール権
2025年7月
個人情報保護
個人情報保護法を改正し、「自己情報コントロール権」を保障します
情報は集積されるほど利用価値が高まり攻撃されやすく、情報漏えいを100％防ぐ完全なシステム構築は不可能です。一度、漏れた情報は流通・売買され、取り返しがつきません。
とくに、現在のデジタル化社会では、集積された個人のデータが、本人の知らないところでやりとりされ、プロファイリング・スコアリングされ、本人に不利益な使い方をされる問題が噴出し、日本の法制度の不備があらわになっています。
2019年、リクルートキャリア社が、学生向け就職情報サイト「リクナビ」を利用する学生の閲覧履歴等をAIで分析し、内定を辞退する可能性を5段階のスコアにして、採用企業に販売していた事件が発覚しました。ビッグデータやAIを利用して、個人をレッテル貼りし、信用力を点数化してサービスや取引から排除するといったことも行われています。このようなプロファイリング・スコアリングが、個人の人生に大きな影響を与える事態を引き起こしているのです。
だからこそ、個人情報保護のルールを強化する必要があります。しかし、個人情報保護法の見直し（2020年）において、個人の権利利益が実質的に守られるものになっておらず、リクナビ事件のような事例は起きないと答弁できませんでした。
また、2021年、LINE社において利用者情報が中国の委託企業で閲覧できる状態であったことが発覚しました。LINEは政府・自治体の行政サービスでも利用されており、行政独自であるはずの個人情報もLINEで集積されています。政府の調査結果では、政府機関・自治体の多くが、LINEを業務上利用しており、機密性を要する情報や住民の個人情報を扱う業務もあったと報告しています。さらに、LINE社は、利用者のアプリ起動日時、滞在時間、検索結果、利用者間でどのような交流をしているか、クリックした情報、位置情報を送信許可していなくても推定した位置情報など、国内利用者9,600万人（2023年9月末）の膨大な個人情報を集めています。
現行の個人情報保護法の問題点
日本の個人情報保護法制は、情報を保有している側の行政や企業などに縛りをかけ、個人情報を守る仕組みになっていました。しかし、この間行われてきたのは、この縛りを緩めて利活用しやすくするもので、個人の権利を守るための規定は薄いものです。
個人情報保護法は、個人情報の第三者提供・海外移転にも本人同意を必要としていますが、この「本人同意」が問題です。細かい規約にまるごと同意しないとサービスを利用できず、サービス提供者の都合が優先されて「本人同意」が形式的なものになっています。自らの情報を消去してもらうにも、まずは何を収集しているのか知る必要がありますが、LINE社に開示請求を行う場合、連絡先の電話番号などは公開されておらず、全般的な問い合わせフォームがあるだけで、どうやって開示請求すればいいのか難しく、利用者に負担と困難を強いる仕組みになっています。
現行の個人情報保護法制は、プライバシーポリシーなど利用目的が公表されていれば本人に自覚がなくても同意したとみなされます。保護される「個人情報」の範囲は狭く閲覧履歴等など端末情報などが保護されていません。インターネット上に残る個人のデータの削除・消去や利用停止といった「忘れられる権利」、「プロファイリング」規程も明記されていません。
「自己情報コントロール権」を保障こそ
本来、個人に関する情報は、本人以外にむやみに知られることのないようにすべきものです。個人情報は、「個人の人格尊重の理念の下に慎重に取り扱われるべきもの」（法第3条）であり、プライバシーを守る権利は、憲法が保障する基本的人権です。個人情報保護法は、個人の権利を明確にし、プライバシー権を拡充する法改正が必要です。どんな自己情報が集められているかを知り、不当に使われないよう関与する権利（自己情報コントロール権、情報の自己決定権）を保障することが、いまこそ必要です。
個人情報保護委員会を真に「保護」する組織へ見直しを
個人情報保護のガイドライン策定や監視・監督などは、第三者機関の個人情報保護委員会が行っています。しかも、2021年のデジタル関連により、それまで自治体ごとに制定されていた個人情報保護条例は廃止され、個人情報保護委員会が一元的に個人情報保護法制の規律を解釈運用することになっています。しかし、個人情報保護委員会の対応は、利用者の立場に立った権利利益の保護とは言い難いものです。
プロファイリングが本人の不利益を被りかねない問題について、リクナビ事件をガイドラインに例示するとすら明言しませんでした。LINE社についても、個人情報保護委員会が行った行政指導は、外部委託先に対する監督体制に不備があったことへの指摘にとどまり、本人同意については、プライバシーポリシーに利用目的・業務委託先の外国の第三者へ提供することが明記されていることで不問に付しました。
個人情報保護委員会を、真に個人情報を「保護」する組織に見直すことも必要です。
3年ごとの法見直し
現在、個人情報保護委員会では、個人情報保護法の3年ごとの見直しに向けて、検討を進めています。2025年3月に個人情報保護委員会が公表した「個人情報保護法の制度的課題に対する考え方について」では、制度的な論点として、顔認証や指紋など「生体データ」や子どもの個人情報について本人から企業への削除要求をしやすくする項目が盛り込まれています。一方で、第三者の確認を受けること等を前提として企業の情報漏洩時の即時報告義務を免除することや、統計作成やそれに類するAIの開発、医療分野における研究活動などについて、本人同意なしに第三者提供など個人情報の利活用を可能とするといった項目も含まれています。さらに、悪質な違法行為について個情委が課徴金をかけられるようにする制度や、被害者に代わって消費者団体が損害賠償の請求などを行う団体訴訟制度の導入については、経済界の反対に押され、検討を継続するとしています。これでは、個人情報の「保護」に資する法見直しにはなりません。
しかも、自民党は、3年ごと見直しは「企業にとってデータ利活用への投資を控える要因にもなる」と否定し、個人情報保護委員会から政策機能を切り離し執行のみの組織にする検討や、さらなるデータ「利活用」のための制度にするよう提言しています。データ「利活用」で儲けたい企業の要望を優先し、国民の個人情報「保護」は邪魔者扱いです。このような姿勢は許されません。
行政による、本人同意なし・目的外流用・外部提供する匿名加工情報制度をやめさせます
現行の個人情報保護法制では、「個人情報」の取り扱いにあたって「利用目的をできる限り特定し」、第三者提供は「あらかじめ本人の同意を得る」ことを、原則としています。ですから、収集した個人情報を、本人の同意を得ずに、当初とは異なる目的のために流用したり、無断で第三者に提供したり、必要以上に大量の個人情報を収集したりすることは違法とされ、一定の規制が設けられています。
それを、第2次安倍政権以降、「オープンデータ・ビッグデータの活用の促進」を掲げ、データ利活用が進められてきました。2015年には、民間事業者を対象とした「個人情報保護法」を改定し、「特定の個人を容易に識別することができないものに加工している」という言い分で、本人同意を得ずに、販売も含んだ外部提供できる「匿名加工情報」制度を設けました。16年には、国の行政機関、国立大学・国立研究機関といった独立行政法人を対象とした「行政機関個人情報保護法」「独立行政法人等個人情報保護法」においても、特定の個人を識別できないように加工した「非識別加工情報」制度が設けられました。
この他にも、「官民データ活用推進基本法」（16年成立）で、データ利活用を促進する体制を構築。「匿名加工医療情報法（次世代医療基盤法）」（17年成立）によって、個人情報保護法では個人にかかわる機微な情報として厳格な扱いとなっている医療情報を、匿名加工し外部提供できる特例制度も設けています。20年には、個人情報保護法を改定し、「匿名加工情報」よりも加工水準が低い「仮名加工情報」制度も導入しています。
デジタル改革関連法の審議の中で、17年度から始まっている行政機関等の「非識別加工情報」制度の実態が明らかになりました。民間事業者から利用したい提案を募集する際、行政機関等がどのようなデータを持っているかという「個人情報ファイル」を公表します。「個人情報ファイル」の中に、横田基地騒音訴訟の原告情報や国立大学生の授業料免除に関する情報などが含まれています。全国の国立大学法人では、受験生の入試の点数や内申点等の情報、授業料免除に関する情報には、母子・父子家庭か、障害者のいる世帯か、生活保護世帯か、被爆者がいるか、長期療養者がいるかといった情報も、民間へ提供するメニューの中に含まれていました。実際に外部提供されたのは、住宅ローン「フラット35」を扱う住宅金融支援機構から、民間事業者の住信SBIネット銀行へ、住宅ローンのAI（人工知能）審査モデルの構築の目的で、約118万人分の情報が提供されていた例です。この情報には、性別、年齢、職業、勤続年数、年収、住宅取得以外の借入残高、郵便番号、家族構成など23項目が含まれていました。いくら匿名の加工がしてあるといっても、他の情報と組み合わせれば判別される可能性もあり、このような情報を企業の利益のために提供しているのです。
さらに、「非識別加工情報」制度では、情報提供の本人同意が必要ないばかりか、提供された事実を本人に通知もしません。自分の情報が「個人情報ファイル」に記載され提供対象となっていることを、ほとんどの国民が知らず、「私の情報は提供対象から外してほしい」と要求しても、「提案募集において、本人から自らの個人情報の利用の停止や削除について請求できる規定はない」と、当時の平井卓也デジタル改革担当大臣が認めています。
いくら、「特定の個人を識別できないように加工したものだ」と言い訳したところで、プライバシーにかかわる情報を、本人の知らぬ間に、行政から民間へ、データ提供するのが「非識別加工情報」制度です。この制度は、21年のデジタル改革関連法により、「行政機関等匿名加工情報」と衣替えしましたが、その問題点に変わりはありません。
デジタル改革関連法では、現行の匿名・非識別加工制度などでは、まだまだデータ利活用が進んでいないとして、データ流通・利活用に邪魔な規制を取り除き、データ流通・利活用をしやすくする仕組みを盛り込みました。自治体が独自に制定する個人情報保護条例も「いったんリセット」（当時の平井大臣の答弁）し、全国共通のルールを設定したうえで、法の範囲内で独自の保護措置を最小限で許容するとしました。今後の条例づくりに縛りがかけられることとなり、地方自治の侵害です。
条例リセットの最大の目的は、匿名加工情報制度（オープンデータ化）と情報連携（オンライン結合）を、自治体に行わせることです。教育、健康診断、介護サービス、子育て支援といった住民サービスに直結する個人情報の宝庫である自治体が保有する情報を、吐き出させようというのです。これまでの住民要望にこたえた自治体独自の個人情報保護策を崩し、後退させるものです。
自治体は匿名加工制度の創設によって管理リスクが増し、過重負担となる問題も引き起こします。民間への情報提供の際、匿名化の作業を外部委託することも可能であり、膨大で詳細な加工前の個人情報が、委託先の外部法人へ渡ることになります。実際に、NHKの委託先法人から契約者情報が詐欺グループに漏えいした例もあります。本人同意もないままに、外部に渡った情報が漏えいすれば、住民の行政への信頼を失いかねない問題です。
マイナンバー
各分野の政策「64、マイナンバーカード」をご覧ください。