ベネッセの情報漏洩事案では、委託先の派遣社員が犯行を認める供述をしているようだ。最初から情報を盗む目的でベネッセに潜入したのか、ベネッセでのDB管理業務に携わり始めた後から犯行を持ちかけられたのかなど、今後明らかにすべきことは多いが、実行犯が自供したことで、今週からはフェーズが変わって、1.再発防止策、2.原状回復・補償、3.制度の見直しについて議論が始まるのではないだろうか。
ＳＥのＩＤで顧客情報がコピーされており、任意の事情聴取に「名簿がお金になると思った」と、持ち出したことを認めたという。
ベネッセ関係者によると、ＤＢの保守・管理を担当するグループのＩＴ関連会社「シンフォーム」（岡山市）の東京支社（東京都多摩市）で昨年末、ＳＥのＩＤが使われ、顧客情報が複数回コピーされた痕跡がパソコン（ＰＣ）に残っていた。ＳＥが支社に出入りした記録もあった。
1については具体的な持ち出しの手口や犯人像が明らかになる中で、業務委託のあり方、雇用の不安定な契約社員に倫理を求めることが現実的なのか、データベース管理やシステム監査のあり方なども論点となるだろう。
最初から個人情報を狙っての悪意あるエンジニアの潜入を防ぐには、突き詰めて考えるとエンジニアの回転率を下げる必要があり、派遣社員を活用する範囲や、これまで日本ではタブーだったが米国などでは当たり前のように行われている採用時のバックグラウンドチェックにも論点が及び得る。スキルの標準化が進んでいるDB管理者はベネッセに限らず多くの企業で外部委託や派遣・契約社員の活用が進んでいる現状を考えるとIT業界全体に与える影響は大きい。
わたしの知る限りベネッセは他の会社と比べて経営陣の意識が高く、十分な経営資源で個人情報保護の重要性に対する理解や取り組みが進んでいたことから、ここでの再発防止策は他の組織での個人情報の管理や政府のガイドラインにも影響を与えるのではないかと予想している。気の早いプライバシー責任者はベネッセ・ジャストシステム双方の立場に立って再発防止のための論点を洗い出し、自社の対策が十分かどうかの再点検を始めているようだ。
2の原状回復は突き詰めて考えると、現行法の下では不可能と考えられる。今回ベネッセから流出した名簿は住民票の閲覧制限が徹底されてから入手が難しくなった子どもとその保護者の名簿だ。ジャストシステムが捜査協力後にデータを破棄したとしても、転売で既に多くの名簿業者の手に渡ってしまっている。SEに対価を渡すなど直接手を汚した業者を除けば、転売を通じてベネッセのデータを入手した名簿業者は善意の第三者とするのが現行法の一般的な解釈らしい。情報漏洩の被害企業に故意や重過失がないのであれば、補償ではなく再発防止のために経営資源を投入することが重要だ。データの転売を目的とした詐取は社会に対する脅威であり、他の組織でも同様のことが起こり得ることを考えると、第三者委員会を組織して背景や原因を究明し、セキュリティーなどの問題がない範囲で公開してはどうだろうか。その知見は今後の個人情報保護ガイドラインやマネジメントシステムの標準化に対する貴重な貢献となり得る。そして今回流出した名簿の利用を抑制するためには3の制度見直しが必要となるだろう。
例えば、本人の同意を取れていない情報の利用を制限することは欧州の制度とも整合するし、論理的には可能ではある。とはいえ世の中で転売されてきた殆どの名簿が使えなくなるので、例えば電話回線の設備設置負担金を廃止した際に総務省が電話金融から訴えられた時のように、名簿業者による行政訴訟が懸念される。
法の不遡及や物権・財産権の尊重を踏まえると、名簿の所有ではなく利用に対して規制をかけることが現実的ではあるが、名簿の財産的価値は利用価値にあることから、個人情報を自由に活用できない名簿はただの重石になってしまう。折衷案としてはオプトアウトを実質的に機能させる方法を考えることだが、仮に今後の名簿売買に対してトレーサビリティーを担保するにしても、既に漏れてしまった名簿に対して事後的に追跡することは極めて困難だ。
パーソナルデータ検討会では「本人が、オプトアウト規定を用いて個人データの提供を行っている事業者を容易に調べられることを可能とするための環境整備を行う」との方法が提案されたが、全ての名簿業者が第三者委員会に名簿を預け、第三者機関が一元的にオプトアウトの仕組みを提供することになると、実質的に第三者機関が名簿業者の胴元みたいなかたちになるため、その名簿管理は極めて難しい。第三者機関から個人情報が漏洩してしまったら誰がそれを監督するのかまで考えると、もうちょっと別の建て付けを考える必要がある。
頭の体操としては例えば警察が名簿業者の取引している名簿を全て管理し、それを第三者機関が監督するのであれば、振り込め詐欺被害者や高額通販の顧客名簿など犯罪に悪用されやすい名簿の流通を抑止でき、名簿が犯罪に悪用された場合の捜査にも活用できそうではあるが、警察が膨大な個人情報を保有することに対して社会的な理解が得られるのか疑問も残る。また名簿の一括オプトアウトの窓口が警察というのもピンとこない。
そもそも名簿の個人情報を集中しない方がリスクを軽減できるので、発想を変えて郵便事業者に対して無断ダイレクトメール送付のオプトアウトを登録する方法も考えられるその場合、オプトアウトしている者が受け取りに合意している郵便物について、本人同意を取っている旨を識別する方法を確立する必要があるだろう。また、最近は直接投函や宅配業者のメール便のように郵便とは別のダイレクトメール送付手段があることにも留意する必要がある。
いずれにしても今回の事件を教訓に各企業が個人情報保護のための取り組みを再点検するだけでは、情報漏洩の再発や漏洩した情報が転売されることによる二次被害を防ぐことは難しい。情報漏洩を助長する名簿転売のエコシステムを撲滅し、漏洩してしまった情報の活用を抑止するためにも毅然とした制度の見直しが必要だ。