衆議院法務委員会（2025-04-04）での発言

○指宿参考人　ありがとうございます。 　大規模なデータ取得について司法による令状審査でどこまで歯止めがかけられるかという問題が問われているのだろうというふうに思います。 　これは、いわゆる強制処分に対する事前規制というふうに学界では言われていますが、もはや事前規制ではコントロール、制御する、あるいは妥当な取得範囲を担保していくのは難しいのではないかということが共通の理解になっております。すなわち、これは事後的にチェックするしかない。 　具体的な例を一つだけ申し上げますと、令和三年二月、最高裁決定で、通称ＦＣ２事件という電気通信サービス事業者に関わる事案で、わいせつ物の提供があったということで、その者が利用している海外のサーバーから大量の顧客の個人情報が取得されています。数万人規模のそのサービス事業者を利用している個々人の、例えば氏名、住所、クレジットカード、誕生日等々の個人情報が取得されています。これについて最高裁は、これは捜査の必要上致し方なかったということで、違法判断はしておりません。ただ、被告人側は、これは余りにも大規模過ぎるのではないかということで、上告でも争っておりました。 　遡りますと、フロッピーディスクの時代に、最高裁は、フロッピーディスク一枚をデータを特定しないで押収しても、それは広範な情報取得に当たらないというふうに適法判断をしております。 　ただ、今般のクラウドからの数万人の顧客情報の大量取得が、事後的に、そのデータがどのようにデータ主体に告知され、あるいは廃棄した、消去したというような処分がなされたということは全く不明なままであります。 　私は同種の事件が多く発生しているのではないかというふうに想像しますけれども、これを正面切って争った被告人あるいは企業の方がそう多くはないために参照事例がないわけですけれども。議員御指摘の懸念は非常に正当なものであり、この問題を回避するといいますか、防止するには、やはり事後的な規制、押収したデータがきちんと保管、管理され、あるいは消去されているかということを担保するメカニズムが必要だと思います。 　これが、ＧＤＰＲの十分性認定に先立って、欧州委員会側からも、日本の捜査機関のデータ取得に対する透明性が欠如しているのではないかという指摘の前提にあったものと承知しています。 　以上です。