2025年10月に岡山で開催されたComputer Security Symposium (CSS 2025)において、Privacy Work Shop (PWS)の企画セッション2「個人情報保護法の改正議論における統計目的第三者提供とPETs」が開催された。 本セッションでは、個人情報保護法の改正議論におけるプライバシー保護技術(PETs: Privacy Enhancing Technologies)の役割について、法律、技術、実務の各観点から議論が行われた。
なお、本報告はセッションでの議論概要を記載しているものです。セッションでの議論や結論は、学会を代表する意見ではありません。また、各登壇者の意見は所属団体を代表する意見ではなく個人の意見です。
個人情報保護法の「いわゆる3年ごと見直し」において、統計情報等の目的であれば本人同意なく個人データ等を第三者提供することを認める方針（「個人情報保護法の制度的課題に対する考え方について」の第1.1.(1)）が示され、議論が進んでいる。 この方針について、個人情報の安全な活用を実現するためには、技術的なガバナンスも重要となる。 本セッションでは、PWSで過去から議論してきた経緯も踏まえ、望ましいプライバシー保護技術や制度について、様々な視点から議論が行われた。
※学会プログラムでの掲載順
竹之内氏からは、セッションの背景説明が行われた。今回の法改正の方針として示されている内容は、過去のPWSで議論してきたユースケースとして、特に複数組織での個人データ突合分析に関するものである。2年前の2023年のPWS企画セッションでも、このようなユースケースを想定した議論を行ったことを説明した。
また、PETsには複数の技術が存在し、組み合わせて活用されることも有効であることを説明した。特にTEE(Trusted Execution Environment)の事例が紹介された。
（説明資料はこちら）
寺田氏からは、秘匿クロス統計技術の開発・実証経験や、経済安全保障重要技術育成プログラム (K Program) の研究課題に基づく Project SDC4Society での検討から、複数組織を跨がって安全に統計情報を作成するにあたっては以下の2つの安全性要件を満たす必要があることが説明された。
また、これらの要件は、PSI-CA (Private Set Intersection Cardinality)や差分プライバシーなどの要素技術を適切に組み合わせることにより実現可能であるが、この技術さえ導入すればOK、という「銀の弾丸」のようなものがあるわけではないことや、さらなる要素技術の発展が望まれることなどが述べられた。
（説明資料はこちら）
板倉氏からは、個人情報保護法等の法律の観点から、主に以下の点について解説があった。
（説明資料はこちら）
美馬氏からは、リスク評価について解説があった。特に、本セッションで議論対象となっている、複数の組織がもつ個人データを突合して統計的な分析を行うユースケースについて、データのライフサイクルの各段階で発生すると考えられるリスクを整理したDANIEL J. SOLOVEのモデルを参考としたリスク評価が紹介された。
そして、一定のリスクが有ることが示され、技術的、制度的なガバナンスが期待されることが説明された。
なお、DANIEL J. SOLOVEのリスク評価については、経済産業省「DX時代における企業のプライバシーガバナンスガイドブック」が参考になると言及があった。
高橋氏からは、2013年頃からの匿名加工情報制度が検討された際の経緯が、今回のいわゆる3年ごと見直しの議論の参考になる可能性があるとして、以下のパーソナルデータ検討会技術検討ワーキンググループドキュメントが紹介された。
また、英国ICO(Information Commissioner’s Office)が発行している、以下のPETs関係のドキュメントについて紹介があった。
上記のような各登壇者からのプレゼンを踏まえ、「法改正方針における技術への期待」をテーマにディスカッションが行われた。
例えば以下のような様々な観点での議論が行われた。
本セッションでのプレゼンテーションとディスカッションを踏まえると、以下のようにまとめられると考える。
今後も安全なデータ活用が進むよう、法制度、技術開発、実務運用の各側面から継続的な議論と取り組みが期待される。