ベネッセ顧客情報漏洩からパーソナルデータ大綱における名簿屋規制を考える

 投稿日時
2014/07/16 11:55:25
 最終更新日時
2014/07/16 11:55:25

ベネッセから760万人以上の顧客情報が漏洩

進研ゼミなどを運営する、通信教育大手であるベネッセからの流出が連日ネットを騒がせています。本日(07/16)の報道では、ベネッセ子会社社員のSEが情報を持ち出し名簿業者に売却したことを認め、警視庁が正競争防止法違反の疑いで近く立件予定と報じられています。
MSN産経ニュースによれば、「素人のSEが業者に持ち込んでも門前払いにされるのが普通で、警察に通報される可能性もある」と語る業者もおり、どのような流通ルートを通って拡散していったのか今後も究明されていくでしょう。
その中で、流通に携わった名簿業者の責任も問われることがあるかも知れません。

この事件は重大なものなのか

さてこの事件ですが、ネット上では「そんなに重要なのか?」という声があるのも事実です。多かれ少なかれ、日常の中で個人情報の漏洩がある中、この事件だけを特筆して語るのは何故か、ということです。
私はこの事件を非常に重大なものと考えていますが、その理由は二点あります。

  1. 760万人という過去最大級の漏洩事件であること。(未確認のものも含めれば2070万件。)ここに含まれるのは子どもだけと思われるが、総務省統計局発表の「日本の統計2014」によれば平成24年の0から14歳の人口は1654万7000人。つまり子ども20人のうち9人の情報が漏れた可能性がある
  2. 「パーソナルデータの利活用に関する制度改正大綱」に関するパブリックコメントが募集中(2014/07/24まで)だが、その中で名簿屋規制について触れられていること。

この記事では、主に後者について考えてみたいと思います。
かつてパーソナルデータ利活用ということが言われ始めたとき、ちょうど誰もが注目するようなタイミングでSuica問題が発生しました。あれは「オプトアウト手続きも周知されておらず」「個人を特定されることが容易なデータで」「販売するということで利用者が気持ち悪さを感じた」という、問題点を一通りさらってくれた事例であったと思います。 今回の事案についても、「これだけ大規模のデータが名簿屋に流れたかどうなるのか、多くの人が知ることができた」という点で、非常に悪質な事件ながらも、発覚するのは良いタイミングだったと思います。(もちろん、事前に防げるのが最良であったことは言うまでもありません。)

Twitterでも触れましたが、その時に問題になっている事柄がぴったりな形で事件化すると、何か見えざる手が動いているのではないかという気になってきます。

パーソナルデータ大綱での名簿屋の扱いについて見てみる

というわけで、ここではパーソナルデータ大綱の中で、名簿屋についてどのように触れられているのか見ていきたいと思います。
必要な資料については、「パーソナルデータの利活用に関する制度改正大綱」に対する意見募集についてから手に入れることが可能ですので、そちらをご覧ください。

大綱と、検討会における議事要旨から委員の発言を抜き出す形で紹介したいと思います。以下はあくまで私が見つけたものを引用しているだけですので、興味がある方は資料も含めてご確認いただくことをおすすめします。

パーソナルデータの利活用に関する制度改正大綱

P.17 Ⅶ 継続的な検討課題 4 いわゆる名簿屋

個人情報を販売することを業としている事業者(いわゆる名簿屋)等により販売された個人情報が、詐欺等の犯罪行為に利用されていること、不適切な勧誘等による消費者被害を助長するなどしていること及びプライバシー侵害につながり得ることが、社会問題として指摘されている。
このような犯罪行為や消費者被害の発生と被害の拡大を防止するためにとり得る措置等については、継続して検討すべき課題とする。

パーソナルデータに関する検討会 第07回 議事要旨

P.12 長田委員

「…その上で、御提案いただいたこの資料等をずっと見ていると、今まで現行法の定義のもとで各事業者が情報の取り扱いも行っていることを配慮した上で、今の個人情報のところはそのままでいくと読めるわけなのであるが、そうすると、私ども消費者団体などでとても問題だと思っているのが、名簿屋にいろいろ出回っている名簿をもとに、振り込め詐欺やその他さまざまな勧誘が行われていて、それで被害が起きている。
普通に勧誘の電話がかかってきたときにも、私の名前をどうやってお知りになったのかというと、名簿業者から買いましたと言われることもある。それがもっとひどい名簿の中でちょっといろいろ見たら、アダルトDVDの購入者の名簿2万人分とか、そこには携帯電話の番号も書いてあるというものや、何か事件のところで押収された名簿にも入っていたと聞いている。夢見る老人、夢見る高齢者データというもので18万件数分とか、また別のデータでは12万件分というものが実際に売られている。
そして、それを売っている会社のホームページを見ると、ちゃんと個人情報保護方針が書いてあり、オプトアウトの場所が用意されている。現行法だとオプトアウトが用意されているので、それはいいということになってしまっているのだと思う。
こういうような現状は、今回の法改正でも対処しなくてよいものなのか。名簿といってもいろいろなものがあると思うが、現状そういう大きな被害を起こしているようなものについて、このままの規制と考えているのかどうか、確認させていただきたい。」
「ほかの方にも補足していただきたいが、現状でもそうやってオプトアウトを置いてあるからいいという、非常に大きな問題があることがわかっていて、それでそのまま同じ条件で、今回なかなか法改正は大変だと思うが、そこを何も手当てをしないというので本当にいいのかと声を大きくして申し上げたいと思う。」

パーソナルデータに関する検討会 第08回 議事要旨

P.13 新保委員

「1点目は、利用停止または第三者提供の停止について、現状の手続では、目的外利用、不正取得、第三者への無断提供に該当する場合、つまり個人情報取扱事業者による個人情報の取り扱いについて、手続違反がある場合に限って利用停止等に応ずる義務が課されている。つまり、手続違反がなければ利用停止に応ずる義務はない。
したがって、例えば皆様も御経験があると思うが、電話勧誘販売があり、適法に利用しているデータについては、例えば特商法に基づく再勧誘の禁止などに抵触しない限り、電話があったとしても利用者としてはどこでその名簿を調べたのかと聞いても、入手先を回答する義務がないだけでなく適法に利用、取得しているデータについては、不正取得でもなく、利用目的は電話勧誘販売を目的とする適法な利用であると言われてしまうと、利用停止等の請求は一切できないということになっている。この点について、利用停止等に応ずる義務が限定されている点について、現行の利用停止等に応ずる義務のままでよいかということについて疑問を呈したいと思っている。」

パーソナルデータに関する検討会 第10回 議事要旨

P.4 長田委員

「以前の会合にて、この名簿屋の問題については問題提起をさせていただいた。
今回のご提案は、そういう名簿を使った詐欺などの対応についてということかと思う。もう一つの視点の問題点から言えば、例えばアダルトグッズを購入した人の名簿というものが既に名簿屋で販売されており、そこにまさか自分の名が載っているとは全く気づくこともできない人たちが普通に暮らしている。もし、第三者機関にこういう届出がされ、その名簿屋の事業者の名前が載っていたとしても、まさかそこに自分が載っているということを気づかないままにプライバシー侵害されているというところについての解決策がまだとられていないと思う。
いろいろ課題があるということだとは思うが、論点というか、課題の整理としては、やはりそこも一応書いていただき、その上で何ができるのかという検討はすべきではないかと思っている。
基本的にその名簿の種類ということで、プライバシーに属性情報が載っている、載ってないとか、そういう区別の中で、特にそういうプライバシー保護をしなければいけないものについてはオプトインという選択もあるのではないかと考えており、そこは整理をしていただきたいと思う。」

P.6 宍戸委員

「3ページの「(3)対応方針案」のオプトアウト規定の見直しの検討で、事務局より、個人情報取扱事業者にオプトアウト規定による情報の提供に関して第三者機関への届出を義務づける、あるいは、第三者機関が公表するというご提案があった。私も、そこに書かれている名簿屋による苦情相談等の現状という問題を考えると、こういうことはあってもしかるべきではないかと考える。
その際、第三者機関へダイレクトに届出を義務づけるのは一つの選択肢だろうと思う。ただ、いつも同じことを繰り返して申し訳ないが、認定個人情報保護団体あるいは自主規制機関に届出をし、そこで一覧性を持った形で開示させ、利用者の方をそちらに誘導するという選択肢もあっていいのではないか。それは必ずしも排除されていないのかという質問と、私はそれでもいいのではないかという意見である。」

P.6 鈴木委員

「同じく、オプトアウトの資料2-1の2ページ。名簿屋規制については、私も賛成であるが、その理由づけでは、確かに不当な勧誘や犯罪行為等があり、犯罪幇助などで何とか対応しつつ、かなり限界に直面しているんだろうと理解している。やはり、今回の個人情報保護法の切り口で申し上げると、先ほど長田委員からご指摘があったように名簿自体に非常に不適切な名簿がある。
例えば、事例としてアダルトグッズの販売名簿などを挙げられたように、その名簿販売により当人の重大なプライバシー侵害が発生している。これがまさに個人情報保護法の切り口からの規制の必要性の基礎事実であろうと思っている。この点は、ぜひ明記していただいたほうがよろしいのではないかという意見である。」

P.7 安岡委員

「資料の2-1の件、あくまでも感想であるが、名簿屋は確かに悪徳のところももちろんあるが、それ以外の一般の既存の事業に影響しないようにしてもらいたいということ。あとは、学校、自治会として書かれているが、過剰な抑止になってしまわないこと。アダルトグッズとかだけをとらえると全然違う方向であるので、ここで明記していただいていることではあるが、一般の事業や社会もちゃんと考えた上で実際に決めた方が良いと再度思っている。」

パーソナルデータに関する検討会 第11回 議事要旨

P.12 堀部特定個人情報保護委員会委員長

「また、個人情報取扱事業者のオプトアウトの第三者機関への届出も検討が必要である。前に名簿業者などのオプトアウトについて触れられていたが、名簿業者の扱いについては1980年代から議論があり非常に難しい問題である。個人情報保護法成立時にも、個人的に直接・間接に相談を受けた場合の対応として、名簿が既に作成されていることからオプトアウトが一つの方法であり、これは地図情報会社も同様であるといった議論をした。オプトアウトのために第三者機関に届出する、あるいは、事業者に対してオプトアウトを要請する、という手法があると思うが、オプトアウトの届出は量が非常に多く、相当大変なことになるのではないかと思われるので、届出方式がいいのか、別の方式がいいのか、いろいろ議論させていただきたいと思う。」

P.19 森委員

「11ページの(3)の「個人情報の取扱いに関する見直し」の③でオプトアウトによる提供である。先ほどから低減データで激論が交わされているが、これも同意なく第三者提供するということで、そのプライバシー侵害の原則的形態だと思うが、第三者機関に対して届け出をするということで、これは名簿業者の規制という観点で非常に大きな前進だと思う。」

P.19 長田委員

「今のところについて、前回申し上げましたのは森委員がおっしゃったところに通じるが、全然意図もしないうちに自分のプライバシーの属性のある情報が名簿として販売されている。
でも、そのことを本人は全く知らない状況だということが本当に許されていいのかというところで、現在いろいろな名簿というか、そういうものをきちんと適切に使っていらっしゃる事業者さんと、この間、私が申し上げたようなアダルトグッズ購入者名簿みたいな関連の、ああいう名簿等の事業者さんをきちんと区別する形でルールを変えていただきたいということを申し上げたつもりだった。今回全くそれが反映されていないのではないかと思う。
先ほどから政治的とか、何か御事情があるのかもしれないが、申し上げていることがなぜ通らないのか、ちょっと理解できないところもあり、何か工夫ができるのではないかと思っているので、再度検討していただきたいと思う。」

P.20 宍戸委員

「第3点に、先ほどからお話のある③のオプトアウト規定を用いた第三者提供を行う場合ということについては、やはり今、鈴木委員からもお話があったように、悪質な事業者、あるいは、名簿屋対策も必要だということからすると、私は第三者機関のご負担はできるだけ小さくしていかなければいけないと繰り返し申し上げてきたが、むしろここはしっかり法執行する必要がある。悪質な事業者をしっかり取り締まるために第三者機関がいることが必要だと思うので、届出等の手続規定等はしっかり整備していただいた方がよろしいのではないかと思う。」

こうして眺めてみると、長田委員は名簿業者に対して感情的にはならず、なおかつ問題点を的確に挙げていらっしゃるように思えます。どういった立場の方なのか確認したら、大綱に関するプレスリリースが秀逸であると評判になった全国地域婦人団体連絡協議会の方だったんですね。
また、個人情報保護法成立時からこの問題に取り組まれてきた堀部委員長の「難しい問題である」という言葉は重い一言です。

名簿屋規制はどうあるべきなのか

この大綱は「パーソナルデータの利活用に関する」ものであり、今このタイミングで名簿屋についてばかり考えるのは、良くないことかも知れません。ですが今までメスが入ってこなかっただけで、異常な状態を放置していいという理屈にはなりません。
この話題をすると、「でも昔は住民票をアルバイトが手写ししてたしね」と仰る方もいますが、何故今は出来なくなっているのでしょうか。「昔よりマシになっているからいい」で思考停止してしまっては、本来の目的を見失うでしょう。

私も今回のパブリックコメントについては意見を申し上げるつもりですが、名簿屋については入手先を明かす義務などをつけてはどうだろう、と考えています。
応募期間も残り短くなってきましたが、皆さんもご意見を投じてみてはいかがでしょうか。