個人情報保護法と情報漏洩の基礎知識

北海道斜里町で2006年3月下旬，住基ネットに関する情報が「ウィニー」を介してネット上に流出する事件がありました．流出したのは住基ネットの操作マニュアルや接続パスワードなどで，町職員がこれらの重要情報を自宅に持ち帰って作業した際に，ウイルスに感染したためとみられています．この職員は半年ほど前から自宅のパソコンで「ウィニー」を使っていました．

また，住基ネット関連の他にも，過去の水道料の未納者リストや，税の滞納者などの収納状況を確認した文書，自治会名簿などの個人情報が流出しました．

町幹部は当初，マスコミの取材に対し「住基ネットのパスワードが出たことがそれほど重要なこととは思わなかった」などと答え，情報管理に関する認識の足りなさは明白でした．この事件をきっかけに同町では職員が情報を持ち出すことを禁止し，「ウィニー」の使用も禁止しました．

警察ほど，流出の影響が深刻な個人情報を大量に保有しているところはないかもしれません．しかしインターネットを利用するパソコンにウィルス対策がされていないという，信じられないケースもあります．（以下３パラグラフは毎日新聞の記事より．

　愛媛県警の警部の私有パソコンから大量の個人情報を含む捜査資料がインターネット上に流出する事件がありましたが，流出元になった警部のパソコンにはウイルス対策ソフトがインストールされていませんでした．

　警部のパソコンは自宅のデスクトップ型のもので，捜査資料などを持ち帰り，自宅で作業していました．県警は職員の1400台の私有のパソコンに所属長の承認を条件に捜査資料作成などの公用に使うことを認めていますが，このパソコンは未承認で，県警の内規違反の可能性もある事件です．

　公用にパソコンを使う場合，ウイルス対策ソフトを自己負担で購入、インストールしたうえで、「（頻繁に）最新版に更新するように」という指示をしていただけで，ソフトの種類や更新の頻度などは事実上，職員任せ．あわてて全職員を対象に公用・私用の全パソコンについてウィニーがインストールされていないかのチェックを始めたとのことです．

これはかなり問題の多い状況です．ウィルス対策ソフトなしというのは，ウィニー以前の問題です．また，警察という特殊な仕事では勤務場所をいわゆる「職場」に限ることが難しいとは言え，私有パソコンを公用に利用することにあまりに無神経だったのではないかと思うほど，許可されたパソコンの数が膨大です．

さらに，ウィルスソフトは自費購入で何から何まで職員任せの上，事件後の「ウィニーがインストールされていないか」チェックするという対応も，事件の本質を理解していない場当たり的な対応のように思えます．

神奈川県警厚木署の交番に勤務する男性署員の私物パソコンから昨（2005）年末，空き巣被害者の名前など個人情報が含まれた複数の捜査資料がインターネットに流出したことが（１月）２４日に分かった。ファイル交換ソフトを通じて流出したとみられ，県警は名前が漏れた被害者に謝罪した．署員からも事情を聴いており，近く処分する．

流出したのは空き巣事件の実況見分調書やメモ類など．署員が自宅でインターネットに接続した際，ウイルスに感染したのが原因とみられる．県警は，私物パソコンを職務で使うには署長の許可が必要と内規で定めているが，署員は許可を得ていなかったという．
*（共同通信 1月24日配信記事より）

富山市内の民間病院で，1997年から2004年までに手術を受けた患者延べ約2800人の個人情報がインターネットに流出していました．（以下の２パラグラフはYOMIURI ONLINEより）

　流出したのは患者の氏名，性別，生年月日，手術の部位，方法などの情報で，手術データ管理を担当する男性職員が自宅で仕事をするため，私物パソコンに患者データを移していましたが，データを勝手に流出させるウイルスに感染したらしいとのことです．私物パソコンはウィニーを使用していました．

　流出は病院に寄せられた匿名の電子メールで発覚し，病院が職員に確認したところ，私物のパソコンでウィニーを使用していたことなどを認めました．

同病院では個人情報保護法施行後，患者データの持ち出しを禁止していますが，この例を見ても，病院の保有する個人データはプライバシーの度合いが非常に高く，特異なものであることがわかります．個人情報保護法以前にはこのように外部持ち出しが許されていた病院も少なくなかったとすれば，今さらながらかなり危惧すべき状況だったことになります．

大学入試の受験生の個人情報がウィニーを介して外部に漏れる事件がありました．
（以下２パラグラフはYOMIURI ONLINEより）

　北海道武蔵女子短期大学（札幌市）の2004年度入試の受験生約1000人の個人情報が外部に漏れていました．
　入試情報システムの開発を手がけた情報機器販売会社「大丸藤井」（札幌市）の社員の私有パソコンが，暴露ウルスに感染し，ウィニーを介して流出したと見られています．

　流出したのは，受験生の氏名，住所，試験の得点，合否結果などです．同社は2004年に入試データの提供を受け，担当社員が私有パソコンにデータを入れて自宅で仕事していました．同社は「個人宅に持ち帰らないなど，再発防止を図りたい」とコメントしています．

このケースは，個人情報を取り扱う業務を外部企業に委託し，委託先が不適正な取扱（個人の私有パソコンにデータを入れて作業）をしたために情報流出が起こったものです．同大学の「報告とお詫び」では，

　「原データを提供したことは配慮に欠けておりました」

と認めています．また，「今後の対応について」では，

　「業務委託に関わる個人情報の提供に際しては，機密情報保護に関する契約に基づき，情報保護の徹底を求めるとともに，本学としても定期的な点検を行うものといたします」

としています．この対応を具体化することが，個人情報取扱の業務を委託する場合の委託元の義務ということになります．

群馬県の小学校で，ハードディスクから児童や教職員など422分の個人情報がウィニーを通じてインターネット上に流出する事件がありました．（次の２パラグラフはasahi.com記事より編集．）

　群馬県沼田市教育委員会によると，流出したのは児童242人分と，教職員や保護者，地域の学校関係者らの情報で，生徒指導のデータや，児童と教師186人の氏名と住所の記録などが含まれていました．

　情報は記録用ハードディスクに格納されていて，ネットワークを通じてこの学校の職員室内のパソコンとつながる仕組みでした．故障のため昨年６月，学校が業者に持ち帰りの補修を許可しましたが，業者は私有パソコンに接続したまま作業に手間取り，その間にウイルスに感染したために情報が流出したということです．

　この事件は学校の教職員ではなく，ハードディスクの修理を依頼した業者が私有パソコンを使用したために起こりました．この学校の個人情報取扱方針や，教職員による日常の情報管理体制などは明らかではありませんが，個人情報の入ったハードディスクを，どのような環境で扱われるかわからない外部にそのまま持ち出させたことは，管理の誤りを指摘されることになるでしょう．

　個人情報は「持ちださない」が大原則です．

ファイル交換ソフトは，どれもウィニーと同じ危険を持っています．

ネット上で音楽ファイルなどを交換するファイル交換ソフトとしては，1999年にアメリカで「ナップスター」が登場し，音楽ファイルを無料で入手できるために大学生を中心に爆発的ひっととなりました．

日本で最初に普及したのは，画像ファイルも交換できる「WinMX」でした．しかし2001年に，高価な画像編集ソフトをWinMXで配布した利用者が著作権法違反で逮捕され，日本中の注目を集めることになりました．

ナップスターやWinMXは，ファイルを検索するためにホストとなる中央コンピューターがあり，そこに利用者の記録が残されていたことが利用者の逮捕につながりました．しかしウィニーは中央コンピューターを使わず，発信者を特定しにくい交換ソフトとして登場し，一気にWinMXを抜き去りました．

このように仕組みはちがっても，ファイル交換ソフトはどれもウィルスに感染すると，ウィニーと同じ情報漏洩を引き起こす危険をはらんでいます．これらの他に「Share」というソフトによるネットワークを経由してのウィルス感染が警告されたこともあります．

NPO 日本ネットワークセキュリティ協会が発表した調査結果によれば，2005年１年間に新聞やインターネッニュースに公開された個人情報漏えい事件・事故の情報から算出すると，
　１件あたりの平均想定損害賠償額は7 億868 万円
に上るとのことです．これを2002年の3 億4,404 円と比べると，わずか3年間で２倍以上になっていることがわかります．

（同協会による注記）想定損害賠償額は，個人情報を取り扱う組織の潜在的なリスクを数値として把握する目的で算定したもので，あくまでも「もし被害者全員が賠償請求したら」という“仮定”に基づくものです．実際に上記金額が支払われたものではないことにご注意ください．

NPO日本ネットワークセキュリティ協会の調査によれば，情報漏洩の約70%は盗難と紛失・置忘れが原因で発生しています．具体的な事例は「ノートPC や機密書類の入った鞄を盗まれるあるいは紛失する」というもので，「車上荒らし，電車の網棚への置き忘れ，飲食店での紛失」というケースが多く見られます（引用はいずれも同協会『2005 年度 個人情報漏えいインシデント調査結果』より．著作権は同協会に属します）．

これを見ると，情報漏洩の大半は，「盗まれる」以前にまず情報を「持ちだしている」，そして持ちだした情報の取扱いに「十分な注意を払っていない」ということが原因で起こっていることがわかります．情報管理の体制と人の意識によって，情報漏洩はかなり防止できるということです．

また，同じ調査によれば，情報漏洩の経路紙媒体とPC 経由が約67%を占めています．特に紙媒体は49.9%と約半数，また「PC経由」はPC本体の盗難・紛失によるもので，Winny事件などに見られるネット経由は6.4%，Ｅメール経由は6.4%と，世間で騒がれる度合いに比べてインターネットを経由した情報漏洩の件数は少数ということになります．

一連のウィニー事件でよく聞かれたのが「私有のパソコンを通じて」という事実です．つまり，会社で残業するかわりに家にファイル情報をＥメールで転送し，ウィニーをインストールした自宅のパソコンで会社の仕事をしたために，企業の持つ顧客データなどがウィニーを通じて流出してしまったということです．

このような事件が起きた後では「自宅に顧客情報を転送するなどもってのほか」という声が上がりますが，それまでは企業内でむしろ「便利になった」という声も多かったのが実態ではないでしょうか．社員は家で食事をしてから残務をこなし，会社は時間外労働が記録されないという，「一挙両得」でした．

とは言え，これはもちろんサービス残業という日本企業の悪い風習の上に成り立っていました．そして個人情報・機密情報の取扱に関する企業の希薄なセキュリティ認識によってそれが許されていたということです．その結果，大量の情報流出という取り返しのつかない事態を招いてしまいました．

ウィニーによる情報漏洩事件は，実は2003年ごろから発生していました．

ウィニーの作者である金子勇氏が配布を開始したのは2002年５月です．その後，ウィニーを利用して勝手にファイルをばらまいてしまうコンピューターウイルスが出現しました．2003年８月に発見された「アンティニー」です．

このため，病院患者のカルテや，一般企業が保有する顧客リストなどの流出が起こり始め，情報漏洩は一般の人が気づかないうちに加速していました．つまりウィニーによる情報流出事件というのは以前から存在していたのに，明るみに出ていなかっただけだということです．

2005年４月に個人情報保護法が施行されると，それまでは情報漏洩事件の公表を恐れていた企業が，むしろ早めに認めて謝罪するように姿勢を変えるようになりました．これは，公表しない間に被害が広がると責任が重くなる上，不誠実な企業としてのマイナスイメージを持たれることを嫌ったためです．

しかしこの程度の企業の意識の変化では，個人情報の流出を防ぐ効果がないのは言うまでもありません．

ウィニー自体はファイル交換ソフトで，情報漏洩のために作られたものではありません．情報漏洩が起きたのは，ウィニーの持つ機能を悪用するためのコンピュータウィルスが作られたためです．

ウィニーをインストールしたパソコンにファイルを公開すると，他の人はウィニーがあればそのファイルをダウンロードできるようになります．ウィニーをインストールしたパソコンがウィルスに感染すると，本来公開するつもりのない情報まで勝手に公開されてしまいます．

「アンティニー」に代表されるこうしたウィルスは，勝手に情報を流出するばかりでなく，自分（アンティニー）自身のコピーを公開する（＝「増殖する」）ので，それをウィニーの利用者がダウンロードして実行すると，情報流出はそこからまた広がります．

問題は，こうした悪意のあるウィルスに対するウィニーの防衛が遅れていることですが，１つの原因は作者の金子氏が逮捕・起訴されてしまい，新たなソフト発表ができないことにあります．金子氏自身はテレビ番組で「活動を止められなかったらこれほどの情報漏洩事件は十分防げた」と悔しそうに語っていました．

インターネットを通じてパソコンユーザー同士がファイルの交換をすることができるようにするソフトウェアを，ファイル交換ソフトと呼びます．不特定多数の個人間で直接情報のやり取りを行なうインターネットの利用形態をP2P（Pier to Pier ：ピア・ツー・ピア）と呼び，ウィニーはこれを行なうP2Pソフトとして爆発的に普及しました．

P2Pソフトには大きく分けて中央サーバ型と純粋型の2種類があります．ウィニーは純粋型で，接続しているユーザの情報やファイルのリストを管理する中央サーバが存在しないため，サーバのトラブルによるサービス停止という不便がないこともあって多くのユーザーに支持されました．

しかし一方で，違法なデータのやり取りを当局が監視したり規制したりすることが不可能になり，問題になった個人情報流出についても，政府は使用の停止を呼びかけるしか対策がありませんでした．

ファイル共有ソフト「ウィニー」による情報流出が相次ぎ，安倍官房長官（当時=現首相）が「最も確実な対策はパソコンでウィニーを使わないこと」と呼びかけるなど，社会問題になっています．

以前もウィニーが問題になり，作者が逮捕されるという事態に発展しましたが，この時はファイル交換を通じた著作権が問われました．しかし現在はウィニーの利用による個人情報の流出に焦点が移っています．（個人情報流出例が「Winny（ウィニー）個人情報流出まとめ」というサイトに次々と更新されています．）

流出のパターンとしては，業務で使っている端末でウィニーを使い，企業の持つ個人情報が流出する場合と，自宅のパソコンに業務上の個人データを転送して作業をしたために情報が流出する場合に大きく分けられます．

個人情報保護法を理由に学校が生徒の名前を教えなかったために，生徒同士のケンカが刑事事件に発展した事件が大阪府で起こったことがあります．（セキュリティ情報.comの引用記事より編集．）

☆事件：
　男子生徒が別のクラスの男子生徒に校門近くで殴られるなどの暴行を受け，顔などに約６週間のけがを負った．

☆学校の対応：
　被害生徒の両親が相手の氏名や連絡先を尋ねたところ，学校側は『個人情報』と拒否し，相手側から連絡させるとして被害生徒の連絡先を相手側に伝えました．

　しかし相手側から連絡がなかったため，被害生徒の家族が協力を求めると，『民事に介入しない』という理由で拒否しました．
　両親が容疑者不詳で警察に被害届を提出し，警察は傷害容疑で捜査を始めましたが，学校は警察に対しても情報提供を拒否．法で認められた捜査上の必要性を説明後，ようやく情報を伝えました．

☆学校側対応の問題点
　被害生徒の親は『相手から説明や謝罪があれば、刑事事件にするつもりはなかった』と言っています．大阪府教育委員会も『拒み続けるべきでなかったかもしれない』とのコメントを出していますが，傷害事件という重大な事態になっても警察に協力しないことを見ても，この学校の個人情報保護法に対する認識は決して十分ではなかったと言えるでしょう．

公務員試験や資格試験対策の専門学校運営で知られる学校法人立志舎は，全国の多くの学生の個人情報を扱っていますが，全国に設置した学校にある個人情報を，東京，大阪，仙台など地域ごとに拠点を定めて一括管理しています．

その上で，個人情報データベースへのアクセス権限を管理責任者に限定し，アクセスには指紋認証を導入するなど，部外者にはデータが読み書きできないシステムを徹底しています．

さらに，5人の「個人情報保護委員」を置き，学校の定める『個人情報保護規定』に基づいた管理，運営がなされているかを，個人情報の各保管場所で定期的にチェックするシステムとなっています．規定やシステムを作りっぱなしにするのではなく，常時その運営をチェックすることによって不足があれば補って行く姿勢が，変化の速い社会では重要なことでしょう．

ホームページ上にプライバシーポリシーを掲載し，資料請求者にも公表しています．

【注】この記事は，ドリコムアイ.net 2005年夏号に基づき作成しました．

学校法人玉川学園は，個人情報の適切な管理が行われている組織に対する社会的な認証である「プライバシーマーク」を，2005年9月に日本情報処理開発協会から付与されました．（玉川学園　個人情報保護方針）

玉川学園では，児童，生徒，学生及びその保護者，卒業生，教職員等の多くの個人情報を取り扱っていることを重視して個人情報の適切な使用と適切な管理体制の確立に取り組み，その結果プライバシーマークの認証を受けたものです．

上記ホームページ（個人情報保護方針）には，個人情報の定義に始まり，収集・利用の目的や，個人情報の安全な管理，個人情報を委託した場合の管理から相談窓口まで，方針と詳細な手続きが開示されています．

【注】この記事は，ドリコムアイ.net 2005年夏号に基づき作成しました．

【事例】
　Ａ高校では，図書館に卒業生の名簿とアルバムを備え付け，進路の参考にさせています．

【問題】
　卒業生の名簿やアルバムには個人情報が大量に含まれ，普通は個人を容易に特定できます．
　生徒だけでなく，部外者が不正にこれらを利用する可能性もあり，原則非開示にすべきです．
　必要があれば利用目的を明示した申請をさせた上で限定的に開示することは可能です．

【注】この記事は，ドリコムアイ.net 2005年夏号を参考にしました．

同窓会名簿は当事者には便利なものですが，住所・氏名，勤務先，結婚に関する情報（女性の旧姓との併記）といった個人情報が記載されています．同窓会名簿が個人情報の流出を起こしている例も時々話題になります．

特に，いわゆる名門校と言われる学校の同窓会名簿は，「名簿業者」にとって非常に価値高く，一般の目に触れないところで高額で売買されているのも事実です．

通常，同窓会は学校とは独立した組織であり，同窓会名簿から個人情報が流出しても学校が直接責任を問われることはありません．しかし個人情報取扱事業者として，同窓会も含めて一貫した方針の下での管理が行われるように，学校が協力することが望ましいでしょう．

【事例】
　生徒の進路希望調査アンケートを行なったところ，ある保護者から
　「内申書を見せていただけるなら回答します」
　という手紙が届きました．どう対応すればよいでしょうか．

【対応】
　まず，進路希望調査と内申書はまったく別のもので，交換条件の対象ではないことを説明します．
　進路希望調査は適切な進路指導のためという目的を明示して理解を得るようにします．
　一方，内申書の開示は学校の方針次第ですが，教育委員会が関与する場合もあり，確認が必要です．
　いずれにしても，開示・非開示のしくみをきちんと生徒や保護者に説明して対応すべきです．

【注】この記事は，ドリコムアイ.net 2005年夏号を参考にしました．

【事例】
　Ａ先生は，期末テストの採点が終わらないと，家に持ち帰って続けることがよくあります．
　テスト答案やレポートの持ち出しはしてもいいのでしょうか？

【ポイント】
　法律に照らせば原則として問題ありません．
　ただしその学校の規則で禁じている場合もあります．
　また，認められていてもデータを自宅のパソコンに収めるようなことは独断ではできません．
　当然の事ながら，持ちだす場合には紛失しないように細心の注意が必要です．

【事例】
　苦しい受験勉強が実って難関のＸ高校に入学したＡ君は，母校のクラブ活動の応援に行きました．
　その時先生から「高校でも頑張ってるそうだな．トップクラスの成績だって？」と言われました．

【ポイント】
　先生はどうしてＡ君の成績を知っていたのでしょうか．
　中学校が進路指導のためにＸ高校に問い合わせ，Ｘ高校がＡ君に無断で答えたとすると問題です．
　学習成績は個人情報であり，出身校に提供する時は本人の同意を得なければなりません．

学校が個人情報を扱う際には，個人情報が学生・生徒の人権と利益に関するものだという自覚を持つことが重要です．しかし個人情報保護法は，情報の扱いに過度な制限を求めてはいません．

例えば「個人名の入っている名簿や連絡網は廃止する」ということは，情報漏洩を恐れるあまり個人情報にカギをかけることです．これでは学校の運営に支障が生じ，生徒の利益が失われてしまいます．法律は個人情報の利用を禁じているわけではありません．

個人情報を集める場合に，利用目的を明らかにする，目的に沿った利用をする，目的外の利用をする時には本人の同意を得るということが守られるような仕組みを作ることが大切です．その上で，必要な場合には個人情報を利用できるようにというのが，この法律の理念です．

学校の保有する個人情報に挙げた，いわゆる公式の（個人情報保護方針に明記されるような）個人情報以外にも，同様に扱われるものがあります．

教室で生徒や児童が提出した試験の答案，作文や図画などの作品など，また生徒・児童やその父兄との個人面談記録，その他教師が作成した指導上のメモも含まれます．これらが学外に流出することを学校は防がなければなりません．現職の教職員はもちろん，退職後の教職員が万一こうした情報を保有している場合には，処分・返還を求めるなどの適切な対応をすべきです．

学校の保有する個人情報は次のようなものですが，全て個人情報保護法により適切な取扱いが求められます．

１．現在在籍する学生・生徒・児童に関する情報
　　（例）履修・成績，奨学金，クラブ活動
２．現在在籍する教職員に関する情報
３．卒業生に関する情報（就職関係のデータも含む）
４．退職した教職員に関する情報
５．在籍・卒業後の学生等の保護者・家族・保証人に関する情報
６．その学校を受験した生徒・児童及びその保護者に関する情報
７．その学校が開催する講座・講演などの受講者に関する情報
８．その学校の施設・設備を利用した人に関する情報

このように学校は，在籍学生・生徒や現職の教職員に関するもの以外にも，大量の個人情報を保有しています．

個人情報保護法が施行された2005年4月以降，学校に関連する個人情報の流出・漏洩事件はいくつも起きています．たとえば次のようなものがあります．

１．大学で，公開講座受講者や教職員の住所・氏名の保存されていた
　　パソコンの盗難．
２．高校で，生徒の成績や進路指導データが保存されていたパソコン
　　の盗難．
３．中学・高校生の成績等，個人情報を含むデータがハッキングによ
　　って漏洩．
４．地方自治体が廃棄したパソコンから，複数の小中学校の生徒の個
　　人情報が流出．

これらはほんの一例ですが，盗難のケースなど，以前なら学校は「被害者」の立場を主張したかもしれません．しかし個人情報保護法のもとでは，責任が問われる可能性があります．

私立の学校が，「過去6ヶ月間継続して5000人以上の個人情報を保有する」場合，個人情報保護法が適用される事業者にあたります．仮に現在個人情報の数が5000に達しない学校でも，いずれその水準に届くことになります．

一方，国立大学法人の付属学校や公立学校の場合は，「独立行政法人等の保有する個人情報の保護に関する法律」が適用され，さらに所在地の自治体が制定する個人情報保護条例が適用されることもあります．これらの趣旨は民間事業者に対する個人情報保護法と変わらないため，結局学校が私立か国公立かに関わらず，同じような対応を求められています．