デジタル時代に必要な行政手続法とは個人情報保護法第5章のことに他ならないのではないか

個人情報保護

「AIによる行政手続法の潜脱」というフレーズを聞いて、デジタル時代に必要な行政手続法ってなんだろうと考えたところ、それは個人情報保護法第5章（旧行個法）なんじゃないかと思ったので、それについて書いていきます。

「情報公開と個人情報保護は車の両輪」は適切ではないことが指摘されていますが（高木インタビュー16節「情報公開と個人情報保護は車の両輪ではない」）、これからは「行政手続法と個情法5章は車の両輪」と言ってもらえればと思います。

 

行政手続法について（前提1）

  • 行政手続法は、行政処分の事前手続を定めている。
    • 申請による処分について、審査基準の設定・公表義務、標準処理期間の設定の努力義務・公表義務、審査・応答義務、理由提示義務等を課している。
    • 職権で行う不利益処分については、処分基準の設定・公表の努力義務、意見陳述手続を取る義務、理由提示義務を課している。
      • 意見陳述手続は、不利益処分の内容・根拠法令、原因事実等を記載した通知によって開始し、一定の重大な処分であれば主宰者（行政審判官のようなもの）の下で口頭審理が行われ（「聴聞」）、それ以外の処分であれば処分庁（≒いわゆる原課）自身により、書面で行われる（「弁明の機会の付与」）。前者では被通知者は行政庁が保有する文書（≒証拠）を閲覧できるが、後者ではできない。
  • これらの手続は、行政処分の公正性と透明性を確保することにより、私人の権利利益を保護することを目的としている（行政手続法1条1項）。

 

個人情報保護法（前提2）

  • 個人情報保護法は、不適正な個人データ処理（個情法上は「個人情報の取扱い」）による個人の権利侵害の防止を目的としているが（個情法1条参照）、その中心は、個人に対する評価・決定の適切性の確保であることが指摘されている（高木浩光「個人情報保護法3年ごと見直し令和6年に対する意見」2頁及び同注5に引用された高木浩光「個人情報保護から個人データ保護へ（6）――法目的に基づく制度見直しの検討」の関係箇所）。プライバシー侵害（センシティブな情報の第三者への開示・漏洩）の防止は、副次的な目的にすぎない。政府も、電算機個情法（昭和63年）の制定時に、同法の目的を、①個人の秘密が公開されないこと、②誤った情報・不完全な情報により誤った判断がなされないこと、③自己の情報を知ることだと説明している（昭和63年10月13日第113回国会衆議院内閣委員会第7号）。
    • なお、ここでいう個人に対する決定とは、かなり広い概念であり、個人データを利用して一人ひとりに異なる対応をすることは、ここにいう決定に当たる（高木インタビュー11節「データ保護の意思決定指向利益モデル」）。したがって、契約締結や行政処分を行うかどうかの判断をすることはもちろん、「プッシュ型行政サービス」は必然的に決定を伴うし、教育データを用いた「個別最適な教育」を提供することも決定を伴う。個人データ利用、特に個人に対する決定を伴う利用は、このように得られるものも大きい一方で、そうであるからこそリスクを伴っており、このリスクをコントロールするのが（本来の）個人情報保護である。
  • 決定の適正化の上では、個人データの品質とそれを用いた処理のロジックの適切さが重要である。
    • 個人データの品質について。
    • 処理のロジックの適切さについて。
      • GDPRは、法的効果を生じさせ、またはこれに類する重大な影響をもたらす自動化された決定について、上乗せ規制を課しているところ、その1つとして、そのような決定が行われている場合には、関係するロジックに関する意味のある情報と、処理の重大性・生じうる結果に関する情報提供義務が課されている（13条2項(f), 14条2項(g)）。
      • さらに、AI規則では、ハイリスクAIシステムは、一定の品質基準を満たすデータセットに基づいて訓練・検証・テストすべきことが定められている（10条1項）。品質基準とは、例えば、使用目的に適したデータガバナンス・管理プラクティスに従うこと（同条2項）、関連性、代表性、正確性、完全性（completeness）（同条3項）、使用される状況に固有の特性・要素の考慮（同条4項）などである。機械学習においては、推論の適切さは学習用データセットの品質に依存するところが大きく、正確性が担保されていないデータセットを使用した場合や、偏ったデータセットを使用した場合には、不適切な推論がなされるリスクが上がることから、このような義務が課された。
      • このような処理のロジックの適切さに関する規制は、OECDガイドラインには存在しなかった。これは、昔は個人データ処理といっても単純（説明可能という意味で）なものが多く、個人データ（インプットデータ）の適切さを確保すれば十分であったが、近年機械学習が普及するにつれて、そうとはいえなくなってきたという経緯を反映しているものと思われる。
      • これらの規律は日本法には存在しない。直ちに法によってそれらを強制すべきとまでは思われないが（現在生じている事案の多くはむしろ個人データ側の問題である）、何らかの形でロジックの適切さが確保されるようにしていく必要はある。

 

デジタル時代の行政手続法としての個人情報保護法第5章

  • ところで、行政機関によるAI活用の文脈で、従来行政処分によっていた決定をAIが代替することで、行政手続法が適用されなくなり、十分な手続保障が与えられなくなるのではないかという議論がされることがある。これに対する（個人的かつ暫定的な）答えは、個情法第5章がそのような決定に対する「手続保障」である、ということである。
  • 実は行政処分が違法となる場合と、個人データを用いた決定が個人データ処理の原則に反することとなる場合は、類似している。（裁量的）行政処分が違法とされるのは、①重要な事実の基礎を欠くか、②社会通念に照らして著しく妥当性を欠く場合であり、後者は、(a)他事考慮（考慮すべきでないことを考慮した場合）、(b)考慮不尽（考慮すべきことを考慮しなかった場合）、(c)事実の過大評価・過小評価（考慮した事実は適切だったが、その評価が妥当性を欠く場合）の場合に認められる（ただしこれらに限られない。なお、(a)(b)は考慮要素の選択、(c)はその重みづけともいいうる。前者はデジタルな判断であり、後者はアナログな判断である）。個人情報保護の言葉で表現すれば、①は個人データの正確性の欠如、②(a)は個人データの関連性の欠如、(b)は個人データの完全性（completeness. GDPRでいえば十分性adequacy）の欠如、(c)は処理のロジックの適切性の欠如である。「他事」考慮かどうか、考慮「不尽」かどうか、「過大」評価・「過小」評価かどうかは、処分要件の趣旨に照らして判断されるが、これは、個人データの関連性etcが利用目的（決定の目的）に照らして判断されるのとパラレルである。
  • 上記の行政処分の違法性判断基準は、主として裁判という事後的な救済手続の中で発展してきたものである。しかしながら、裁判は行政機関と当事者の双方に大きなコストを生じさせ、時間もかかる（しかも当事者から見れば、処分の効果は通知の瞬間から生じ、取消判決が確定するまで消えないのが原則である）。事前に違法な処分を防止できればそれに越したことはない。このような考えから、平成5年に行政手続法が制定された。同法は、基準の設定・公表、文書閲覧、告知・聴聞、理由提示を通じて、行政処分の適正さを確保し、違法な行政処分（≒事実を誤認、他事考慮、考慮不尽、事実の過大評価・過小評価に基づく処分）による私人の権利侵害を防止しようとするものである。
  • これと対比すると、個情法第5章は、個人データ処理（AIを使用した処理を含む）について、様々な義務規定や、データ対象者の権利行使、独立保護機関の監督を通じて、個人データ処理（特に決定を伴うそれ）の適正さを確保し、不適正な個人データ処理による個人の権利侵害を防止するものであって、デジタル時代の行政手続法はここにあると言える（ただ、その内容は先に述べたとおり不十分である）。

 

なお、以上は行手法と個情法5章の構造的な類似性を指摘するものにすぎず、従前手動で行っていた処分のうちどれをどの程度自動化するのか、それに伴って行手法を除外するのか、する場合（個情法をベースラインとして）追加的なセーフガードを敷くのか、敷くとすればどのようなセーフガードかといった事柄は、個別の処分の性質とそこで参照（考慮）すべきデータの性質に応じて個別的に検討される必要がある。「AIによる行政」が議論されているが、現時点までにAGIは出現しておらず、生成AIは行政決定にはあまり使いようがないので、当面の自動化は税務や社会保障の、しかもルールベースの（つまり機械学習ではない）決定から、ということになるのだと思われる。（11/16追記）