はじめてのデータ倫理 ～AI時代の新たな視点！EUのGDPR／AI法を参考に、個人データ保護を競争力にする4時間半コース

まず、現代のビジネスにおけるデータ利用の実態とその危険性について考えます。私たちがの予想以上にデータは使われており、予想以上の精度で私たちの生活について追跡をしています。まずは「データビジネス」を消費者の視点から考えましょう。

さらに、ビッグデータになってきたときにそれがもはや私たちが想像していないような使われ方をするという事例を見ていきましょう。特にAIの普及に伴い、プロファイリングという処理をされることでビッグデータは私たちの認知にも影響を及ぼすようになっています。データ倫理という観点から、現代的な課題を考えましょう。

ここでデータ倫理とは何か、なぜ必要となってきているかを考えます。もともとは情報倫理という言葉が主流であったところに、なぜデータ倫理という言葉が登場したのか、その現代的な意味合いを押さえましょう。

最近の具体的事例として破産者マップ事件、性犯罪者マップ事件を考えます。国によって対応の仕方が異なるからこそ、私たち自身の倫理観、社会がどうあるべきかというのが問われています。

本コースでは、個人データの保護を企業の新しい提供価値になり得るものとしてとらえています。そこで、その意味で先端的な取り組みとなっているEUのGDPRを参考にしながら全体の制度設計を考えていきます。データ倫理といってしまうと具体的に何をすればよいのか分かりませんが、GDPRという一つの制度を参照することで、より具体的に企業がどこで何をすればよいかについて示唆があると考えます。

第1章の最後、補足として、日本における情報全般の取り扱いスタンスについて触れておきます。情報というもの自体は民主主義における議論の前提になるものであり、その取得を制限することは「検閲」につながる危険なものでもあります。今後のEUの議論との対比の上でも重要になりますので、ここで日本の大前提について知っておきましょう。

ここから具体的に個人データの取り扱いについて考えていきます。まずはどのような情報が個人データに当たるのか、そして個人データに当たるとどうなるのかについて確認しておきます。特に日本においてはWebの閲覧情報や位置データなどが個人情報に当たるのかが大きな問題になってきた経緯があります。また一方で、匿名化されたSuicaの乗降データのように、個人データに当たらなくとも売買されることに気味悪さが残るものもあるでしょう。まずは個人データの定義から見ていきます。

GDPRにおける個人データ（Personal Data）の定義を見ていきます。ナチスの反省を踏まえ、どのような要件になるのか、実質的な理解を深めましょう。日本の個人情報保護法との比較も行っていきます。

ここでは具体的な事例を用いて個人データに当たるかどうかのクイズを行います。一般論としてではなく、「誰の個人データ」なのかが重要ですので、その観点から考えてみましょう。

クイズの回答です。なぜ個人データとして保護する必要性があるのかも含めて考えましょう。個人データについては想像力が必要です。

個人情報に当たるかどうかで実務上重要になるのは匿名化という操作です。個人の再識別リスクがないような処理であれば匿名化といってよいですが、何らかの別の情報と組み合わせることで再識別できてしまうケースというのも意外とあるものです。具体的事例も踏まえながらリスクを考えましょう。

次に注意すべき個人データのカテゴリーとして、近年世界的に重視されている児童のデータについて触れます。この点、日本では児童データについての保護は明記されていないので注意が必要です。

注意すべき個人データのカテゴリーとして機微情報について考えます。これはGDPR上では特別類型（special category）と呼ばれるものですが、日本では用配慮個人情報と呼ばれています。どのような個人データが差別や偏見につながるのかは国によって異なり、ここでも日本とEUには差があるところです。各企業でどのようなカテゴリーを特に保護するかを議論しても良いでしょう。

機微データをうまく使ってビジネスにしている事例、また機微データについて問題になっている事例を紹介します。例えば遺伝子データなどは遺伝するだけに自分だけの問題に留まらない（家族や親せきにも影響するデータ）ことを意識しましょう。

次に、個人データというものをそもそも持ってよいのかについて考えていきます。第1章の補足部分で日本においては情報は原則取得自由ということを伝えていますが、EUにおいては、個人データ保護の観点から企業による個人データ取得は原則禁止となっています。この辺りの違いは大変大きいものがありますので、必ず押さえるようにしてください。

GDPR上、原則取得禁止の個人データですが、一定の要件を満たせば取得することが許されます。その一番目が「個人の同意」ですが、同意に関する考え方も日本とEUでは大きく異なります。ここではダークパターンや近年のCookie規制など、主要なテーマを扱いながら同意について考えます。

次にデータ取得の適法性要件として「企業の正当な利益」について考えます。例えば監視カメラなどは企業の正当な利益に当たるのでしょうか。それはどの範囲で認められるのでしょうか。判例の積み重ねがある領域ですので、是非具体的なイメージを持ちましょう。

その他の適法性事由である「契約締結」、「法的義務の履行」、「不可欠な利益保護」、「公共の利益・公務の行使」について解説します。これらは極めて限定的に認められるものであり、なかなか使えないことに注意しましょう。

ここで処理の適法性という観点から、イタリアにおけるChatGPT利用禁止について考えます。なぜイタリアはChatGPTを当初禁止したのか、EUならではの思想がよく分かる事例ですので、理由をしっかり押さえましょう。

データを取得して良いとなった場合で、どのように処理されるべきかについて考えます。ここでも基本原則を押さえながら、どのような点に注意しなければいけないか、企業としての主体的な取り組み姿勢を考えましょう。

ドイツ語でDatenspasamkeit（データの節約）という考え方がありますが、EUではデータ最小限化の原則というものがあります。なるべく少ないデータで効果を出すことが望ましいということですが、データを取りすぎること自体にネガティブであるというスタンスは日本の「データは多ければ多いほど良い」という見方とだいぶ違うものです。データ倫理という観点から、日本企業にも示唆が多いと思われます。

データの処理・利用という観点では日本もEUも同様の規定を持っています。一方、それをどの程度厳格に執行しているかというと彼我の差は大きく、EUの執行事例を見ることは日本企業にとって参考になるでしょう。どこまで厳格に規制すべきかも含めて議論・検討してほしいと思います。

ここではこれまでの事例研究として、最近のフランス国鉄のチケット販売の事案を考えます。日本でいえばSuicaなどを購入するときに性別の記入を求めることは許されるかどうか？ということですが、是非皆さんも考えてみてほしいと思います。

フランスの事例に対するEU裁判所の判断を紹介します。

次に個人データを扱うことに対して企業側が備えるべき体制について考えましょう。まず、そもそも個人データは誰のものか？という理解からはじめます。日本では企業のものという認識も多いかもしれませんが、そこをまず深掘りしたいと思います。

顧客への向き合い方として、どのような権利を認めるのかということを考えます。まずは個人データへのアクセス権ですが、GDPRでは「アクセス」、一方日本の個人情報保護法では「情報開示」（disclosure）です。このあたりの考え方やスタンスの違いも是非感じてください。

次にいわゆる「忘れられる権利」（削除権）を扱います。これはインターネット上から個人データを削除する権利を指しますが、それは認められるのでしょうか？米国の考え方、日本の考え方と比較しながらデータ倫理上どうあるべきかを考えてみましょう。また同時に、それは顧客データをどこまで持っておくべきなのかという点からも重要です。是非自社でどう考えるかを整理してみてください。

GDPRで認められた新しい権利としてデータポータビリティがあります。これは単純に個人データに対する権利というだけでなく、競争法上の問題解消措置としても重要なものであり、二つの法分野が重なるところでもあります。同時に、データを持ち運べるということは、それだけの社会共通の基盤がなければ不可能なわけですから、そういった複合的な観点から理解してほしいと思います。

次に、昨今のAI関連で問題となる異議申立権について触れます。これはプロファイリングの対象とされない権利、あるいはプロファイリングの禁止ということもできますが、具体的にはダイレクトマーケティング目的の処理などの対象にされないことを意味します。これまでに見た同意の原則などとも絡めて理解しましょう。

次に企業側の管理体制に入ります。ここからは企業における具体的な処理体制の整備にかかわる部分ですので、直接皆さんの業務にも影響するでしょう。まず、データの処理体制として、管理者・処理者・共同管理者という枠組みを押さえましょう。日本の委託などと大きく異なりますので注意が必要です。

企業側の管理体制として、どのような組織データ保護の組織構造を持つべきかを考えます。ここでは代理人の設置やDPO（Data Protection Officer）の設置など、どのような位置づけになっているのかを押さえましょう。

DPOについて、独立性はどこまでのものを指すのでしょうか。日本の個人情報保護法のガイドラインと見比べながら考えてみましょう。

企業の管理体制として、実務上の処理のプロセス管理をどうするかについて考えます。どのようなフォーマットで何を記録していく必要があるのか、保管などはどうするのか、日常業務に直結する部分ですので、具体的に考えましょう。

管理体制の一つとしてデータ保護バイ・デザインという考え方があります。これはプライバシー・バイ・デザインからきているもので、そもそもの商品・サービスの設計段階からデータ保護の考え方を入れようというものです。ここでも米国の考え方と比較しながらデータ倫理としてのあり方を検討してみてください。

リスクが大きいデータ処理に関しては事前にデータ保護評価や事前相談を行う必要性が出てきます。どのような基準・フローでこのような手続きが必要になるのかをしっかり押さえましょう。

GDPRはEU基本権憲章上、個人データ保護における独立監督機関が要求されています。この独立監督機関がどのように作られているのか、またここでも「独立性」の程度はどこまで厳格なのか考えます。この独立監督機関の要請が日本における個人情報保護委員会の設立にもつながっており、日本への影響も大きいところです。

参考までに、日本における個人データ保護の歴史・沿革と個人情報保護委員会の設立、官民一元化について振り返ります。これまで日本ではどのような仕組であったのかを知ることによって今の仕組みがより一層理解できるはずです。

次に、国境を超えた個人データの移転について考えます。まず、現代のビジネスにおいて2国間でのデータ移転に留まるというケースは少なく、多くの場合は複数の国でデータが行き来しているという実態を押さえましょう。そうすると、どのように第三国移転を認めていくかはより複雑な問題になっていくはずで、日本だけで完結する問題でもないことが分かるはずです。

GDPRにおける個人データ移転の枠組みを押さえましょう。基本的には原則禁止、ただし十分性決定をとっている国については移転を認めるという大きな枠組みを押さえます。

次に、十分性決定がない場合のいくつかのオプションを検討します。それぞれパターンがありますが、使われているもの／使われていないものがありますので、内容も確認してください。もし日本がEUからの十分性決定を失うと、各企業はこの部分のオプションを検討する必要が出てきます。

EUと米国との間では2000年以降、セーフハーバー協定という枠組みで個人データの移転を認められてきましたが、GDPRの中でEU司法裁判所はこのセーフハーバー協定が無効であると判断しました。シュレムス氏による個人データ保護の取り組みについてみていきましょう。

シュレムスⅠ判決を受けて、EUと米国は新たにプライバシーシールドという枠組みを用意し、個人データの移転を行っていきましたが、これもシュレムス氏による攻撃を受けることになり、シュレムスⅡ判決へとつながります。EUの価値観と米国との間の鋭い対立を感じてください。

シュレムスⅡ判決以降の取り組みについて解説します。

補足として、米国ではどのようにプライバシー法制が考えられているのかに触れておきましょう。表現の自由を大きな価値として認める米国の価値観について、是非皆さんも考察してほしいと思います。

日本の個人データ保護の現状とEUの十分性決定について、実際のところを解説します。日本はかなり政治判断含みで十分性決定を受けている面があり、今後シュレムス判決のようなもので十分性決定が取り消されるということも起こりえます。どういう点がすり合っていないのか、課題は何かについて理解しましょう。

ここで参考までに、GDPRの和訳やEDPBのガドライン和訳について紹介します。

ここからは昨今話題のAIについて規制をどうするか考えていきます。特にAIにおける個人データ処理はプロファイリングなどの問題をはらんでおり、使われ方では大きな人権侵害につながります。まずは具体例を見ながら、臨場感を持ちましょう。

EUは世界で初めて包括的なAI規制を設けた地域です。これは生成AIの登場前から議論されていた内容ではありますが、生成AIの登場で世界の向き合い方が大きく変わってしまったのも事実です。まずはEU-AI法の全体像を押さえながら、ご自身がAI規制を作るのであればどのような形でつくるのかを考えながら検討してみましょう。

EUにおける禁止AIシステムの説明です。ここにはEUの価値観が色濃く表れている点に注意しましょう。

次に最も条文数が多いハイリスクAIシステムですが、こちらは禁止AIシステムとは全く違う様相を呈しています。もともと製造物責任法的な在り方を模索されたということもあり、かなり細かい規定になっている点に注意してください。

AI製品やシステムを作る際、データ倫理はどのように関係するのでしょうか。ここで改めて「人間の介在」という価値についてあり方を考えましょう。どのような介在のあり方を模索するかが、企業ごとの哲学となっていくでしょう。

最後に、EUにおけるデータ保護を含む規制のあり方について揺り戻しの動きがあることに触れておきます。それはEUにおいてイノベーションを阻害しているのが規制ではないかという指摘があり、競争力と基本的価値観の間で悩むEUの姿が見られるということです。しかし、EU的価値観があるからこそEUはEUであるともいえ、ここをどのように乗り切るかがEUの今後の大きな課題と言えるでしょう。

日本でもAI新法が衆参両院を通過し、成立しています。日本におけるAI法の構造はどうなっているのでしょうか。EUと比較して考察しましょう。

これまでの考察を踏まえ、データ保護やAI規制に対して日本企業はどう備えたらよいかを考えます。本コースを受講される皆さんとしては、単なる技術的な競争力だけでなく、データ倫理という観点からも顧客にアピールする方法をぜひ考えてほしいと思います。

大変お疲れ様でした。全体のまとめを行います。本コースでは個人データ保護を基本権として扱っているという点から、EUのGDPRをベンチマークとして日本法や米国と比較して考察してきました。しかし、個人データをどのように考えるかは当然各国の文化的背景によって異なり、それぞれの国民や企業が考えていくべきことです。「きっと迷いの中に倫理がある」と最後の言葉に書きましたが、正解がない世界の中で、より良い社会を築いていけるよう、各企業、そして私たち自身が模索を続けていきましょう！