子どものプライバシー権を明示したEUの「GDPR」──対する日本の「個人情報保護法」はどうか
こうした「子どものデータ」を取り巻く国際的な法規制として、EUの「一般データ保護規則（GDPR）」が紹介された。GDPRでは、子どものデータについてプライバシー権、権利との関係が明確にされており、特にデータの管理・保護に関して厳格なルールを定めている。上位には「EU基本権憲章」があり、7条に私生活尊重の権利（日本でいう私生活秘匿権）、8条に個人データ保護の権利（日本でいう自己情報コントロール権）が定められている。
例えば、個人データの処理に関する「本人同意」については、「管理者がデータ主体の同意を証明できるようにすること」「データ主体が自己の同意をいつでも容易に撤回する権利を有すること」などの要件が詳細に規定されている。また、特別な種類の個人データ（いわゆるセンシティブデータ）を処理する場合や、プロファイリングを含む自動化された決定を行う場合など、特にプライバシーリスクが高い一定の処理については、「明示的な同意」が求められている。さらに、プロファイリングが正面から規制されており、プロファイリングに対する異議申立権や、法的効果または重大な影響を及ぼすプロファイリングを含む自動的決定の対象とされない権利が明記されている。
そのうえ、子どもに対しては特別な保護が与えられている。例えば、子どもの個人データを処理する場合には、「子どもが容易に理解することのできるような明確かつ平易な文言」によらなければならないとされている。また、法的効果または重大な影響を及ぼすプロファイリングを含む自動化された意思決定は、子どもに対しては原則として適用されるべきでないと規定されている。
そして、さらにAI固有の問題に対応するために2024年5月に制定された「AI法」では、制裁金は最大で3500万ユーロ、または世界総売上高の7％のいずれか高いほうとなっており、GAFAMなどの大手事業者も厳格に規制される。AI法は、リスクの高さに応じて規制の厳格度を変える「リスクベース・アプローチ」をとっており、例えば教育機関において自然人の感情を推測するAIを使用することは、「許容しえないリスク」があるとして禁止されているほか、成績評価のためにAIを使用することは「ハイリスク」であるとして厳格に規制されている。
一方、日本の個人情報保護法は、憲法上のプライバシー権との関係性が不明確な面がある。従来、個人情報保護法は意図的に憲法と切断され、プライバシー権とは切り離された法制度として運用されてきたと指摘されている。その後、EUでGDPRが成立し、日本が「十分性認定」を得る必要が生じたことにより、個人情報保護法はGDPRと同じくプライバシー権の具体化法であると主張されるようになった。だが、GDPRはその目的規定に「本規則は（中略）自然人の個人データの保護の権利を保護する」と明記されているのに対し、個人情報保護法の目的規定には「プライバシー権」が明示されていないことに象徴されるように、なおも個人情報保護法とプライバシー権との関係性には曖昧な点が多く残されている。
具体的な規律内容においても、個人情報保護法にはプライバシー権の具体化法として不十分な点が散見される。例えば、同意の定義や要件は規定されておらず、そのことが「とにかく形式的に同意をとればよい」という誤った実務を招き、時には同意を事実上強制されるような事態も生じている。また、プロファイリングを正面から規制する規定がなく、単純情報から要配慮個人情報をプロファイリングする場合に本人同意は不要とされている。さらに、子どもに対する「特別の保護」が規定されておらず、条文上は成人と同様の扱いを受けている。
