＜1＞個人情報保護はリスクマネジメント

　■外部委託では発注者責任が問われる

 　個人情報を扱うこと自体がリスクだ。個人情報保護法では自己情報開示請求権が認められており、住民が自分についての情報の取り扱いについて、窓口に問い合わせて来る事態も予想される。クレーマーも含めて、対応が求められている。

　個人情報を取り扱う業務を外部委託した場合、委託先が起こしたトラブルであっても、発注者としての責任が問われる。行政は、個人情報保護の体制を取っている業者を選ぶ責任と、委託発注後も適切に運用されているか監査する責任を負う。

　■単純な事務手続きの問題ではない

 　個人情報をめぐるトラブルは、委託先業者への「丸投げ」や、自衛官募集に関する自衛隊への情報提供などに見られる便宜供与、選挙人名簿のコピー容認など慣例化してきたものに起因している。住民基本台帳データの流出で住民1人当たり1万5千円の損害賠償が最高裁判決で確定した京都府宇治市の例のように、住民から賠償請求があると莫大な費用がかかる。

　個人情報の保護は、単純な事務手続きのひとつと考えがちだが、事務手続きが重要なのではなく、個人情報を扱うリスクを評価し、その結果をマネジメントに取り入れることが重要だ。

＜2＞ネットワークに潜む「落とし穴」

　個人情報をめぐるトラブルの多発は、ネットワークの発達と情報機器の発達が大きな背景となっている。かつては想像もつかなかったことが、ネットワーク社会では起き、その被害が予測を超えることもある。

　【事例1】データは一瞬で盗まれる

 　米国でクレジットカード約800万枚分のカード番号がハッカーによって盗まれた。カード更新の費用だけで被害総額は約160億円に上る。カードその物なら10トン積みのトラック4台分の大がかりな盗みだが、数十秒のデータ転送で終わる。

　【事例2】情報は金になる

 　郵便局員が顧客7人の貯金口座番号と残高を外部の者に教え、1件当たり1万5千円を受け取った。この情報は、さらに別の業者に1件当たり約3万円で転売されていた。（消費者の嗜好や生活環境が反映されるクレジットカードが、ブラックマーケットで狙われている）

　【事例3】パスワードは簡単に見破られる

 　ネットオークションにかけられた住宅を大学生が10億円で落札した。実際には、学生のＩＤからパスワードを推測した犯人が、学生になりすましての犯行だった。「手の届かない高価なものを落札してみたかった」のが動機。

　【事例4】情報はアッという間に広がる

 　偽装肉を売ったスーパーが購入者に返金することを告知したところ、「店に行けば、金をもらえると」聞いた若者らが殺到する大騒動に。インターネットと携帯電話を通じて、情報が一気に広がったことが混乱を大きくした。

　ネットワークの現状がいかに危うい設備であるか、情報流出を防ぐための絶対的な対策はないことを理解することが重要。最終的な防波堤は職員のモラルであり、観念論だけの教育や、防御設備を導入しただけでは足りない。

＜3＞セキュリティ配慮する風土を

　これまで自治体の窓口でのトラブルは起きていないが、個人情報保護法との関連で、次のような事例の発生が考えられる。

• 「自分の住民票を閲覧した人を知りたい」「役所から個人情報が流れているのではないか」といった問い合わせへの対応。開示請求権に基づいた請求に「NO」という根拠を示せるか
  
• 自治会長名簿のコピー、配布などの取り扱い
  
• 福祉委員など委員会、審議会委員らに関する情報の管理
  
• 住民からの損害賠償請求に対する対応

　こうした事態に対処して自治体が考えるべきコンプライアンス（行動規範）の基本は「説明責任を果たす」こと。そのためには次のような取り組みが必要となる。 

• 外部委託する業務と委託条件の明確化、委託業者の選定基準と選定手続の策定
  
• 庁内ネットワークのセキュリティの維持
  
• 職員向けの個人情報保護教育と情報セキュリティ教育
  
• 内部監査の実施

　【外部委託】

 　受託側の生産性・コストとリスクを考えれば、再委託禁止を原則とするよりは、再委託を認めた上で個人情報保護の対策を契約に盛り込む方が現実的な対応ではないか。委託先の選定基準については、資本金の規模を条件とするのではなく、プライバシーマークなどの認証取得や、コンプライアンス・プログラムの有無、情報セキュリティ監査実施の可否などが、重要な要件となってくる。

　【ネットワークのセキュリティ維持】

 　セキュリティ維持にはコストがかかる。しかし、ＩＴの推進は単に設備を増強することではないと同時に、個人認証のＩＣカードの導入や侵入監視システムを買うことがセキュリティ対策というわけではない。技術の導入よりも、人と組織の「立ち居振る舞い」や「動き方」が重要で、組織の人間がやってはいけないこと・やっておかなければならないことを合理的に判断するベースこそが求められている。

＜4＞監査システムは提案型で

　【職員向け個人情報保護・セキュリティ教育】

 　コンプライアンス・プログラムを実現し、個人情報の取り扱いを慣習によらずに判断し、記録を付けることが重要。そのためには、個人情報保護の基本的な考え方や重要性をきちんと理解させることが必要。ネットワークの「見える楽しさ」の裏には「見られてしまう危険性」が潜んでいる。ＩＴ推進・ＩＴリテラシーの向上とは、「ネットワーク社会の分別」を身につけることに他ならない。

　【内部監査の実施】

 　監視・査定する従来の監査よりも、当事者では気付きにくい情報セキュリティの欠陥などを指摘し、自らでは構築が難しい「情報セキュリティマネジメント」の確立につなげるような「助言型監査」が望ましい。内部監査の実施が、住民や取引の相手など第三者に対する信頼の獲得につながるような効果が期待される。

　【コンプライアンス・プログラムの策定】

 　自治体が自主的にコンプライアンス・プログラムの策定、実施を目指す場合、2名のチームなら次のようなスケジュールで1年程度で完成できる。積極的にチャレンジしてはどうか。 　 　・庁内の調査、分析（約3か月） 　・ルールの検討、決定（約2か月） 　・コンプライアンス・プログラムの作成（約3か月） 　・教育、試行運用（約5か月） 　・評価とコンプライアンス・プログラムの再構築（約1か月） 　・監査、監査報告、改善（約2か月）