情報漏洩が止まらない理由

企業や行政が業務を外部に委託するとき、「専門の事業者に任せたのだから大丈夫」という安心感が生まれることがある。専門性を頼ることは必要だ。しかし、任せたという事実を、安全が確保されていることの証明にしてはいけない。

誰が情報に触れられるのか。何のために使うのか。別の事業者へ再委託されるのか。仕事が終わったあと、情報はどう扱われるのか。委託した側がその問いに答えられないなら、管理の実態をどこまで把握できているのだろう。

委託できるのは業務であって、責任ではない。ここでいう責任とは、委託先の仕事を何でも自分でやり直すことではない。預ける範囲を決め、実際の取扱いを確かめ、問題が起きれば情報の本人に向き合う。その役割を手放さないことである。

個人情報保護委員会の通則編ガイドラインは、個人情報取扱事業者が個人データの取扱いを委託する場合、委託先への必要かつ適切な監督を求めている。委託先の選定、契約、取扱状況の把握を通じて、情報の内容や事業の規模などに応じた管理を行うという考え方だ。[1]

行政機関等編のガイドラインでも、保有個人情報の安全管理措置について、委託先の選定基準や契約上の条項、監査などを通じた監督が示されている。委託元による監督が不適切な場合には、委託元の法違反と判断され得ることも説明されている。[2]

委託先自身の責任がなくなるわけではない。また、個別の事故について誰にどの法的責任があるかは、契約、実際の行為、監督の状況などを確かめなければ判断できない。委託元か委託先かという二者択一で、責任を片づけることはできない。

こうしたルールを踏まえて、私は改めて考える。契約書に条項があることと、現場で管理が続いていることは同じではない。任せたあとも確かめるという役割を、誰が、どのように担っているかが問われる。

名前、住所、連絡先、口座の情報、病歴、相談の内容。画面の上では、行と列に収まる文字列かもしれない。だが、その情報は、誰かの生活の一部である。人に知られたくない事情や、安全に暮らすために守っている秘密が含まれることもある。

もし、自分や家族の住所が、知られたくない相手に渡ったら。誰にも話していない病気や相談の内容が、意図しない場所で読まれたら。情報を漏らすということの重さは、流出したファイルの大きさだけでは測れない。

漏れた件数の多寡は、被害の全体像を知るうえで大切だ。それでも、一件だから軽いということにはならない。その一件の本人にとって、安心して眠れるか、いつもどおり働けるかに関わる問題かもしれないからだ。

情報リテラシーとは、情報を使う能力だけではない。情報の向こう側にいる人を想像し、扱い方を選ぶ力でもある。私は、その想像力を、情報を預かる仕事の出発点に置きたい。

「意識を高める」「注意を徹底する」。その言葉だけでは、明日の仕事は変わらない。気をつけるべきことを、一人の担当者の記憶や善意だけに背負わせるのも違うと思う。

何を集めるかを決める人、委託先を選ぶ人、予算や人員を決める人、実際にデータを扱う人。それぞれの役割に応じて、守るための時間と権限を用意する必要がある。問題に気づいた人が、仕事を止めたり、相談したりできることも大切だ。

情報を預かる責任を、日々の仕事で確かめるために、私は次の三つを問い続けたい。