最近制定された個人情報保護法に関連して、
個人情報保護について筆者の考えなどを述べています

ITの急速な発展は、両刃の剣として、個人情報を含めた情報セキュリティの問題を深刻化させた。今やインターネットで情報はワールドワイドかつ瞬時に伝わるために、コミュニケーションの手段として格段の速さと広がりがもたらされたが、その悪用、すなわちデマゴギーの伝播や機密情報の詐取、盗聴、情報の改ざん、捏造などの問題も、国民生活のあらゆる場面で直面することになった。
最近、国勢調査を装ったニセの調査員が個人情報を詐取するというニュースがあったばかりであるし、インターネットでも各種IDやパスワードの盗聴、フィッシング詐欺なども問題となっている。
個人情報は公知のものも、非公知の情報あるいは秘匿すべき情報のものは当然のこととして、取扱には十分注意されるべきであることは、間違いない。では、「個人情報保護」といっても、その範囲はどこからどこまでで、その保護するにあたって前提条件、実施要領はどのようなものかということも当然問題となってくる。
かつて我が国は、名簿などの情報が売り買いされ、悪質な業者による個人への執拗な電話勧誘や詐欺まがいの押し売り行為が野放しにされてきた。個人情報の重要性について、法制度の面から規定し、個人情報を保護し、尊重する法律も条令もなかった。その意味で、良くも悪くも、この2005年4月1日をもって、個人情報保護法が全面施行されたことは一歩前進なのであろう。
個人情報保護については、国際的にみても、種々の取り組みがされてきたが、各国の取り組みを整理する意味で、OECD （経済協力開発機構）は1980 年に「OECD プライバシーガイドライン８ 原則」として、指針を示した。「OECD プライバシーガイドライン８ 原則」とは、以下の通りである。

(1) 収集制限の原則…情報主体への通知または同意が必要なこと
(2) データ内容の原則…データが正確、完全、最新であること
(3) 目的明確化の原則…収集目的を明確にし、利用は目的と合致していること
(4) 利用制限の原則…目的外の利用は行わないこと
(5) 安全保護の原則…紛失、破壊、不正使用、改竄、漏洩から保護されること
(6) 公開の原則…データ収集実施方針の公開、データの存在、目的、管理者を明示すること
(7) 個人参加の原則…自己データの内容確認、異議申し立てを保証すること
(8) 責任の原則…管理者は諸原則実施の責任を有すること
その後、EU 諸国は官民を対象とする包括的な個人情報保護法を保有し、米国においても1974 年に成立した「プライバシー法」に加え、個別の法整備を行ってきた。
我が国においても、個人情報保護法が2003年5月30日に公布され、2005年4月1日に施行された。この個人情報保護法の目的は、「個人情報の適正な取り扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにする」ことと、「個人情報を取り扱う事業者の順守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」ということである。これは個人情報に関する悪用などについての不安解消という課題と、個人情報の有用性活用という二律背反的な課題を前提にしたものである。そこで、経済産業省によれば、「利用目的の公表」などによる「透明性の確保」と、「利用目的の内容は市場の判断に委ねる」という「市場メカニズムの尊重」という２ 大方針を基礎として据え、事業者への目的外利用を制限するとともに十分なセキュリティの確保を義務付ける事により「個人の権利利益の保護」を実現し、代わりに、利用目的自体に制限を加えることはせず、また取得時の本人の同意も不要とすることで「個人情報の有用性」にも配慮、「実効性を担保する仕組み」の枠組みを用意したという。
この個人情報保護法は、その理念通りになっているか、また実適用ベースでの問題点はないのであろうか。それについて、以下述べていくこととする。

この「個人情報保護」は、何を対象としているかといえば、言うまでもなく「個人情報」である。では「個人情報」とは何か。
個人情報保護法の第2条第１項では、「この法律において『個人情報』とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう」と定義している。これだけでは分かり難いが、経済産業省が2004年10月に発表した「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」によれば、事例も挙げており、この事例をみると具体的で分かりやすいであろう。
経済産業省の「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」では、「『個人に関する情報』は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報も含まれ、暗号化されているかどうかを問わない。
なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。」としている。
上記ガイドラインでは、前述の通り事例を挙げているが、それは以下の通り。
「【個人情報に該当する事例】
事例１）本人の氏名
事例２）生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例３）防犯カメラに記載された情報等本人が判別できる映像情報
事例４）特定の個人を識別できるメールアドレス情報
（keizai_ichiro@meti.go.jp等のようにメールアドレスだけの情報の場合であっても、日本の政府機関であるメールアドレスであることがわかるような場合等）
事例５）特定個人を識別できる情報が記述されていなくても、周知の情報を補って認識することにより特定の個人を識別できる情報
事例６）雇用管理情報（会社が従業員を評価した情報を含む。）
事例７）個人情報を取得後に当該情報に付加された個人に関する情報（以下略）
事例８）官報、電話帳、職員録等で公にされている情報（本人の氏名等）
【個人情報に該当しない事例】
事例１）企業の財務情報等、法人等の団体そのものに関する情報（団体情報）
事例２）記号や数字等の文字列だけから特定個人の情報であるか否かの区別がつかないメールアドレス情報（例えば、abc012345@ispisp.jp。ただし、他の情報と容易に照合することによって、特定の個人を識別できる場合は、個人情報となる。）
事例３）特定の個人を特定できない統計情報」
上記によれば、個人情報は例えば金融機関における口座番号や企業内で任意に発番され、使用される顧客や従業員の個人別コードも該当することになる。
銀行の口座番号自体は、数字の羅列にしか見えないが、銀行内の口座関連の属性データから預金者の氏名、住所、連絡先の電話番号などが分かり、また当然ながら口座の残高、日々の取引明細も検索できる。
また個人情報保護法第２条第４項において、「この法律において『個人データ』とは、個人情報データベース等を構成する個人情報をいう。」と規定され、「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報を意味している。後述するが、「保管個人データ」という言葉もあり、それは6ヶ月以上保管される「個人データ」のことである。

個人情報取扱事業者としての一企業、その他法人等で扱われる個人情報は、銀行、証券といった金融業、生損保、個人顧客を持っている電力・ガス会社やNTTその他通信会社、郵政公社、その他家電メーカー、流通・小売業の会社などにとって、殆ど個人情報＝顧客情報であり、個人情報は厳重に管理されねばならないが、上記ガイドラインによれば銀行の口座番号や企業内で任意に発番される顧客コードといったキー情報とその属性データ全てを漏洩することなく、管理しなければならないことになる。
個人顧客相手の金融業や電力ガス、流通・小売業などでなくとも、個人を顧客としてもたない業界、例えば鉄鋼業のような製造業であっても、個人情報として従業員や株主の情報を保有しており、上記ガイドラインによれば従業員の人事情報はもちろんのこと、出張旅費精算や教育履歴の情報、技術論文など、およそ従業員の氏名や個人コード（社員番号）が入っている情報はすべて個人情報ということになる。
個人情報保護法においては、第2条第１項で「この法律において『個人情報データベース等』とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
１．特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
２．前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの」と簡単に片付けているが、大企業の保有している個人を示すコードとその属性データは、様々なデータベース上に分散されており、それを関連づけて、「容易に検索」できるようにするのは容易ではない。「個人」という切り口で一覧性のあるデータとして保持することが、企業内で使用されるデータベースの目的ではない。「個人」といっても、個人顧客相手の会社では顧客コード＝個人を識別するコードであろうが、そうでない会社では、得意先（鉄鋼業では「需要家」という言い方をするが）または仕入先の属性データの一つに、各取引先企業の担当者の氏名や連絡先があるが、個人情報とはその取引先企業の担当者の情報であったり、自社の従業員などの情報であったりする。金融業では前述のように口座番号とそれに紐づく預金者氏名、住所等の属性データが含まれるであろう。また、従業員の情報といっても、従業員の給与情報のキー情報として、個人コード（社員番号）があったり、その個人コードは住宅融資に関する別のデータベースで、会社を通してどこかの銀行から借りた従業員の情報として保持されていたり、保有個人情報のあり方やそのデータの保持される形態は多岐に渡る。例えば、下図は実際に使われているシステムの顧客を示すエンティティ関連図であり、各テーブルの詳細は省略しているが、各テーブルに顧客の担当者やコンタクト方法、連絡先などの個人情報がちりばめられている。
つまり、この法律を作った側は、企業、特に大企業で保有されるデータベースの実態をあまり理解しておらず、個人情報データベースなるカードイメージのデータベース（AccessやExcelくらいのツールでできるような）をイメージしているらしい。これらを「容易に検索する」仕組みを新たに作ることは、体力のある企業であれば何ということもないかもしれないが、あきらかに企業のコスト負担を増加させることになる。

　　　　　　＜実際に使用されている顧客データベースのエンティティ関連図＞

また、個人情報取扱事業者はまず個人情報の利用目的を特定し（個人情報保護法第15条第1項、2項）、その当該個人本人に利用目的を通知または公表する、あるいは本人との間で契約を締結することに伴って、当該本人から個人情報を取得する際にはその利用目的を明示する責任を負うと、個人情報保護法はうたっている（個人情報保護法第18条第1項、2項）。
さらに、個人情報取扱事業者はこの利用目的について、当該個人本人からの同意を取り付けねばならないのである。
個人情報保護法第16条第1項では、「個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。」とし、さらに第23条第1項では「個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人情報を第三者に提供してはならない。
１　法令に基づく場合
２　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
３　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって本人の同意を得ることが困難であるとき
４　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより、当該事務の遂行に支障を及ぼす恐れのあるとき」と例外規定を設けているが、例外はやはり特別な場合であり、一般的には本人の同意が必要であることには変わりがない。
最近、NHKの受信料支払拒否が問題となっているが、受信料を拒否する人々が個人情報の保有や取扱に同意するとも思えない。電力、ガスでも同様で、その利用目的の通知をしても、せいぜいDMで送りつける程度で、DMを読まない人も大勢いるであろうし、読んだとしても同意する意思を表明する人がどれほどいるであろうか。
こうなると、いかに個人情報が大切とはいえ、個人情報取扱事業者たる企業等、特に広範な個人顧客の情報を扱うような企業等では、その利用目的の開示や本人の同意取り付けは、運用上非常に困難であると言わざるを得ない。

個人情報保護法第20条では、「個人情報取扱事業者は、その取り扱う個人データの漏えい、減失またはき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」としており、個人情報取扱事業者は個人データの取扱にあたって、漏えい、減失またはき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、技術的な措置を講じなければならないとされている。この安全管理措置という条文が、今回の個人情報保護法の実施上の要点になっていると思われる。
これは、大企業であれば、情報セキュリティの確保のための措置として講じている対策を、個人情報向けにすれば良いともいえるが、情報セキュリティの対策が十分でなかった企業は、これを契機に環境整備と具体的な施策をする良い機会となったかもしれない。
例えば、経済産業省の「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」では、「組織的安全管理措置として講じなければならない事項」として、
「�@個人データの安全管理措置を講じるための組織体制の整備
�A個人データの安全管理措置を定める規定等の整備と規定等に従った運用
�B個人データの取扱い状況を一覧できる手段の整備
�C個人データの安全管理措置の評価、見直しおよび改善
�D事故または違反への対処」としている。この個人データを機密データと読みかえれば、通常の機密データの保護について、一般的な企業等が行っている対策となんら変わらないであろう。しかし、多くの企業等は個人情報を機密情報並みに扱っていなかったであろうから、やはりその安全管理には新たな仕組み作りが必要になった向きが多いのではないか。特に「�B個人データの取扱い状況を一覧できる手段の整備」であるが、個人情報にあたるコード類や属性データが形作る個人データの生成、更新、参照のCRUD図のようなクロスリファレンスを持っている企業は少ないであろうし、それを新たに作るならば、それなりに労力がかかる。
さらに、個人情報保護法第21条では、個人情報取扱事業者の個人情報を取り扱う従業者に対する監督義務、さらに第22条では委託先の監督義務について定めている。
特に、個人情報の漏えい元が委託先であるケースが半数近くあるとのことで、委託先を必要かつ適切に監督することが重要である。では、具体的にどうするのか。従業員への監督については、組織として定めた規定などにしたがって、教育訓練を受けさせる、定期的に報告させるなど、分かりやすいが、個人情報の管理を委託した場合には、その受託者の監督といっても、外部監査のようなことをしなければ無理であろう。大企業はともかく、中小企業には無理かもしれない。また受託者は、一社だけでなく、数が多い場合、その受託者すべてに対する監督も難しい。また、委託先が再委託している場合、委託元と受託者との契約で個人情報の安全管理等が述べられていても、再委託先まで徹底できるであろうか。

個人情報保護法第23条の第1項「個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。＜以下略＞」（前出）ほかで、個人情報の第三者提供の原則禁止について述べ、第24条第1項で「個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
１ 当該個人情報取扱事業者の氏名又は名称
２ すべての保有個人データの利用目的（第１８ 条第４ 項第１ 号から第３ 号までに該当する場合を除く。）
３ 次項、次条第１ 項、第２６ 条第１ 項又は第２７ 条第１ 項若しくは第２ 項の規定による求めに応じる手続（第３０ 条第２ 項の規定により手数料の額を定めたときは、その手数料の額を含む。）
４ 前３ 号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの」、また第25条で「個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
１ 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
２ 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
３ 他の法令に違反することとなる場合」と保有個人データの公表・開示について定めている。
第三者提供を一部例外を除いて原則禁止していることはもっともであり、保有個人データ（前述したように6ヶ月以上保管される「個人データ」）の公表・開示も消費者、預金者の立場からは当然と思える。しかし、個人情報取扱事業者が、その名称や個人情報の利用目的は別として、その保有個人データを本人の求めに応じて出すのは、その氏名、住所といった個人情報、すなわち事実情報以外に、その個人に対するランク付け、評価（例えば従業員の人事考課情報）など、企業等が付加した情報、すなわち評価情報もあり、一応評価情報は開示する必要がないとされている。しかし、事実情報と評価情報のどちらかに分けづらい情報や、客観的な事実であっても、開示すべきでないセンシティブな情報など、どこまで公表・開示すべきか、微妙な問題もはらんでいる。その辺の有効なガイドラインは、まだ出ていないのが現状である。

以上、個人情報保護の最近の動向について述べてきたが、個人情報保護の潮流は、正当な個人の権利保護という面があり、その流れに逆らうのは歴史を逆回転させようとするのと同じであろう。しかし、実運用については、今まで述べてきたような問題がある。現在は、まさに個人情報取扱事業者たる企業等が過剰反応し、流通すべき個人情報も止めてしまうなどの弊害も出ているが、少なくとも方向性は定まったのであるから、現在の状況は一時的な過渡期の混乱かもしれない。