高木浩光＠自宅の日記

■ 情報経済課は恥を知って解散せよ（パーソナルデータ保護法制の行方 その12）

また同じ過ちが繰り返された。いったい何度繰り返せば学習するのか。

経済産業省委託事業 「経済産業分野における個人情報保護ガイドライン」 説明会　参加者募集開始！ http://t.co/JRFplpoiWP #プレスリリース

— （株）共同通信社 (@Kyodonews_KK) 2014, 12月 2

このプレスリリースは誰が流したものか。以下の画面のように冒頭に「経済産業省」と記載があり、これを見た人は経済産業省が流したものだと思うだろう。*1

• 経済産業省委託事業 「経済産業分野における個人情報保護ガイドライン」 説明会　参加者募集開始！, 株式会社共同通信社
  

申込先のリンクが http://kojinjohohogo-guideline.jp と書かれている。

やるのはいいけど、.go .jpじゃないわ、Google Analytics使ってるわ……。サイト構築どこが請けたんだよ! / 平成26年12月改正 経済産業分野における個人情報保護ガイドライン説明会 http://t.co/XqpXD2piiB

— nilnil (@nilnil26) 2014, 12月 5

情報の取得主体が経済産業省であるなら、「政府機関の情報セキュリティ対策のための統一基準」6.3.2項 遵守事項(1)「政府ドメイン名の使用」違反である。

6.3.2 アプリケーション・コンテンツ提供時の対策

目的・趣旨

府省庁では、情報の提供、行政手続及び意見募集等の行政サービスのためにウェブサイト等を用意し、国民等の利用に供している。これらのサービスは通常インターネットを介して利用するものであるため、国民等にとっては、そのサービスが実際の府省庁のものであると確認できることが重要である。また、政府機関になりすましたウェブサイトを放置しておくと、政府機関の信用を損なうだけでなく、国民等が不正サイトに誘導され、不正プログラムに感染するおそれがあるため、このような事態への対策を講ずる必要がある。

遵守事項

(1) 政府ドメイン名の使用

(a) 情報システムセキュリティ責任者は、府省庁外向けに提供するウェブサイト等が実際の府省庁提供のものであることを利用者が確認できるように、.go.jp で終わるドメイン名（以下「政府ドメイン名」という。）を情報システムにおいて使用するよう仕様に含めること。ただし、4.1.3項に掲げる場合を除く。

(b) 行政事務従事者は、府省庁外向けに提供するウェブサイト等の作成を外部委託する場合においては、前号と同様、政府ドメイン名を使用するよう調達仕様に含めること。

類似の事案として、5年前の「エコポイント申請画面が共用SSLサイト上にある件」（2009年8月26日の日記）の事案がある。このときは、結局何ら改善せず*2、運営主体を経済産業省ではなく、「株式会社電通、凸版印刷株式会社、株式会社JPメディアダイレクト、株式会社JP物流パートナーズ、株式会社ベルシステム24、トランスコスモス株式会社」のコンソーシアムとすることで責任を回避した*3という経緯がある。

他にも類似の事案として、「経済産業省 CHECK PC!」がある。「セキュリーナ」のキャラクターでお馴染みのこのキャンペーンは、現在は、http://www.net-anzen.go.jp/checkpc/ にあるが、当初は http://checkpc.jp/ にあり、「政府機関の情報セキュリティ対策のための統一基準」違反で問題となったと伝え聞いている。net-anzen.go.jp に移転したものの、ドメイン名を放棄してしまったため、checkpc.jp は得体の知れないブログにまんまと乗っ取られてしまった。

今回の「経済産業分野における個人情報保護ガイドライン説明会」はどうか。エコポイントの事案とは違い、単なる講演会の場合には、参加者名簿を経済産業省が受け取らないのならば、すべての運営を業者に任せるのはアリだろう。ただし、その場合は、情報の取得主体を明らかにしなくてはならない。

それなのに、この画面は何だ？

「経済産業省」のロゴがデカデカと貼られ、あたかも経済産業省が情報の取得主体であるかのようにデザインされ、フッターには「Copyright Ministry of Economy, Trade and Industry. All Rights Reserved.」と経済産業省のAll Rights Reservedだと書かれているが、運営主体らしき記載は「『経済産業分野における個人情報保護ガイドライン説明会』事務局」となっている。

しかも、メニューの「METI総合サイト」（という表記も笑えるが）の下にある「プライバシーポリシー」のリンク先はこんな画面になっている。

プライバシーポリシーなのに「締め切りについて」とかが書かれているのは笑うところだが、「利用目的」「第三者提供について」「個人情報提供の任意性について」の書きぶりは、単なる講演会の運営というケースでは、まあ妥当なものだ。

しかし、肝心の情報の取得主体、つまり個人情報の取扱い主体が誰なのかということが、どこにも書いていない。あるのは、「『経済産業分野における個人情報保護ガイドライン説明会』事務局」とかいう巫山戯た名前だけ。世間では早くも嘲笑の声が漏れていた。

ようやくガイドライン説明会の案内が経産省 http://t.co/4zmpXayKsS からリンクされたが、リンク先のドメイン(not .go .jp)、連絡先電話番号(070-)、プライバシーポリシー(主体名明記無)、申込HTTPS証明書(CNとOU……)が酷過ぎる。

— nilnil (@nilnil26) 2014, 12月 9

しかも電話番号は「070-」ときたもんだ。これでよく500人の定員が満席になるほど申し込んだものだ。個人情報保護ガイドラインの説明会なのに、だ。

http://t.co/qD1Ny2rKlW が経産省のウェブサイトだって誰が保証してるんだろうね。

— めがあああ！めがァァァ！！！ (@mega2nd) 2014, 12月 6

経産省を騙った詐欺サイト? http://t.co/LvHt0hhgPR ※JPRSでドメイン検索すると、「株式会社エッセンティア」と出てくる上に、HP上の連絡先が経産省でないのでので、騙りの可能性がありますw ご注意下さいw

— Amoto Tomohiro (@slimeses) 2014, 12月 11

申し込み画面に進むとこういう画面になる。

ここでも情報の取得主体は記載されていない。しかも、「同意する」チェックボックスの上の「プライバシーポリシー」のところが、スクロールしないと見えない（同時に5行しか表示されない）という、初めから読ませない気満々の、経済産業省の「電子商取引及び情報財取引等に関する準則」でも「契約が不成立と判断される可能性のある例」として例示されているような、最もやってはいけないUIが使われている。

このような氏名・連絡先を入力させる画面は、個人情報保護法18条2項のいわゆる「直接書面取得」の場面であり、法は「その利用目的を明示しなければならない。」としている。

この18条2項が何を要求しているかは、「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」では次のように言っている。

なんと。明示しなければならないとされているのはあくまでも「利用目的」であって、誰が取得するのかを明示せよとは書かれていない。そんなバカな。

この点につき、個人情報保護法がご専門の弁護士先生に尋ねたところ、「いやいやいや、それは前提でしょう。「誰が」利用目的を表示してるのか分からなきゃどうにもならんのでｗ」と一蹴されていた。

では、JIS Q 15001:2006（個人情報保護マネジメントシステム―要求事項）ではどうなっているか。

ちゃんと「a) 事業者の氏名又は名称」を明示せよと書かれている。当然だ。JISでは「管理者（若しくはその代理人）の氏名又は職名」まで求めているが、http://kojinjohohogo-guideline.jp/ のページには何ら表示はない。

これが、「経済産業分野における個人情報保護ガイドライン説明会」における個人情報取得の場面だというのだから、笑うしかない。お前らどの面下げて「個人情報保護ガイドライン」を申込者らに「説明」するのか。恥を知りたまえ。

ちなみに、説明会に申し込んだ人に送られてくるメールの文面は以下のものとなっているようで、ここでも、何者が情報を取得しているのかの説明はない。

ここに書かれている電話番号に電話してみた（12月12日）ところ、以下のやりとりになった。

---

個： はい、個人情報ガイドライン事務局でございます。

私： もしもし、経済産業省ですか？

個： はい、あのー、ガイドラインの事務局になっております。セミナーのですね。

私： 経済産業省の、

個： はい。委託事業のセミナーの事務局でございます。

私： あなたは経済産業省ですか。

個： あなたは……、いえ、あのー、事業を委託を受けている業者の者なんですが。

私： どこの業者ですか。

個： えー、電通でございます。

私： 電通？

個： はい。

私： なんで電通って書いてないんですか。

個： あのー、経済産業省の事業委託の際の書式に則って、このように対応させていただいておるんですが。

私： 書式？

個： 事業委託の際の規定がございまして、ホームページにも書かせていただいているんですが、経済産業省の委託事業ということで、個人情報保護ガイドラインの説明会と、いうふうに国の指示、指示といいますか、こういった事業を委託する場合のルールに則って、このように対応させていただいているんですが。

私： 業者名を出さないようにっていう指示がされているんですか？

個： そうですね、とくにあのー、ま、国の受託事業はみなそうなんですが、委託先を明記するというルールはございませんので。

私： 個人情報を取り扱うんですよね？

個： はい。

私： この情報は誰が取得する情報ですか？

個： この情報とおっしゃられますと？

私： 個人情報、申し込むときの。取得する主体は誰ですか？

個： あの、ご応募いただいた皆様のということですか？

私： ええ。

個： ええ、ですから、そちらの、あのー、事業登録、事業の委託を受ける際の審査、手続きを踏みまして、あのー、私どもが受託を受けたんですけども。

私： 取得する主体は誰ですか？ 誰が取得するんですか？

個： 誰が……。えーっと、申し訳ございません。どういったご用件でのお電話でございますか？

私： 個人情報の取扱いについてお尋ねしているんですよ。

個： そうですかー。大変恐縮なんですが、経済産業省本省の方におかけいただいて、私どもはあくまでこの委託を受けているセミナーの方の事業運営についてはご質問を受けることができるんですが。

私： あなた方が個人情報の取扱い主体じゃないんですか？ 電通が。違うんですか。経産省にこの名簿は渡すんですか？

個： 名簿……。ええ、もちろん。あのー、何ていうんでしょう。名簿を渡す。うーん。そうですね、あのー、もちろん経産省の方には事業報告という形で、えー、リストというのは……。（ひそひそひそひそ。）経産省の方に報告っていうのはさせていただくんですけども。あくまでも私ども受託を受けているのみですので、あのー、その種のご質問については経済産業省本省の方にお問い合わせいただくようお願いしておるんですが。

私： でも個人情報の取扱いの責任が誰にあるかってのは大事なことなんですね。で、名簿は渡すんですか？

個： えーとそこ……。今ご質問いただいているところも含めまして、私どもの立場では答えることができかねますので、

私： これ、個人情報保護ガイドラインの説明会じゃないですか。

個： はい。

私： 個人情報の取扱いについて答えられないってのはどういうことなんですか？

個： うーん、申し訳ございません。あの、ちょっとそこの部分も含めてということにはなるんですがー。

私： 含めて、なんですか？

個： お答え、私どもは事務局でございますので、ご質問にはお答えできかねるんですが。

私： そうですか。

個： はい。

私： あのー、電話番号が 070 になってるんですが、携帯電話ですか？

個： いや、あのPHSになります。

私： 同じことでしょ？

個： はい。

私： なんでこんな番号なんですか？

個： あのー、私どもの方で、あのー、事務局を設定する際にこの電話番号がちょうど空きがございましたものですから、こちらを設定させていただいたという経緯なんですけども。

私： そうなんですか、なんか怪しい業者にしか見えないんですけども。

個： あーそうですか。ただ、あのー、経産省さんのこの事業に関わらず、委託された事業先の方でPHSの番号を設定するというケースはままあるんですけども。

私： これ、どうやったらこれ偽じゃないって確認できるんですか？

個： え？え？ 何ではないですか？

私： 偽サイトではないという、フィッシングとか、詐欺とかでない可能性はどうやってこれで確認できるんですか。

個： うーん、そうですね、あのー今もう全国から様々なお問い合わせを、お申し込みをいただいてますんで、もしお客様の方で信用がおけないということでしたら、申し込みを頂かないっていう選択肢もあるかと思うんですけれども。

私： いやいや、この事業自体は存在するんでしょうけども、ここに出ている説明会のウェブサイトに申し込むわけでしょ？ あるいはこの電話番号が書いてあったからその電話番号に電話して申し込むわけですよね。

個： ええ。

私： そのときにどうやってこれが本当の経済産業省のやってるやつだって確認できるんですか。

個： まあそういう……

私： phishingとかあなた知らないんですか。

個： ……はい。ただあの、経済産業省さんのホームページに、私どもの応募サイトも、リンクを張らさせていただいてますんでー

私： え？

個： あのー、リンクですね。

私： 誰が？

個： 経産省さんのホームページの中に、あのー、この募集サイトの掲示をさせていただいているんですね。

私： ええ。

個： そちらをご確認いただければとは思うんですがー。

私： そうですか。とにかくこの、情報の取得主体は経済産業省だっていうことですね？

個： あのー、申し訳ございません、その点についてもちょっと私どもの方であのー、お答えできるのはちょっと難しいんですけれどもー。あのー、本省の方にご確認いただければということなんですがー。

私： どちらに電話すればいいですか。

個： うーん、そうですね、経済産業省さん……に、お電話いただければと思うんですけども。

私： どこが担当ですか。

個： えーとですね、商務情報政策局さん、

私： ええ、

個： はい。

私： の、どこですか？

個： あ、あの、代表に電話していただいて

私： 局じゃつながんないんですよ。どこの課に電話すればいいですか。

個： あーそうですか。えーとじゃちょっとお待ちいただけますか、このまま。

私： はい。

（数十秒経過）

個： もしもしー

私： はい。

個： お待たせいたしました。情報経済課さんになります。

私： 情報経済課。

個： はい。

私： これは事務局としての公式な見解ということでよろしいですか、この一連の今日の電話のやりとりは。

個： あのーそのようには、申し訳ございません、申し上げてはないんですけどもー、あのー、お客様からのご質問については私どもの方ではちょっとあのー、受け答え、お答えできかねるものですからー。経済産業省様にお願いいたしますということで、あのー、お願いをしてるんですけども。

私： 個人情報の取扱いについてどうしろとかいう指示はないんですか？ その、契約とかで。

個： そうですね、ちょっとそこのところについてもちょっと私どもの立場で踏み込んだ発言はできませんので、

私： なんでですか、あなた方が、だってやっているわけでしょ？ その情報、だって委託……、個人情報を取得しているわけですよあなた方が。それが委託だとしてもですよ。

個： はい。

私： 会社としてどうなんですか。電通はプライバシーマークとか持っていないんですか？

個： あ、もちろんございますけれども。

私： それでこんなやり方が許されると思ってんの？

個： んー、そうですねー、あのー、ま、貴重なご意見ということで承わらせていただくんですがー

私： いやいや。プライバシーマーク持ってる電通がですよ？ 個人情報の取扱いの委託を受けたときに、どうなってるんだって聞かれて答えられないってのは有り得ないでしょうが。

個： ……………。はーい。申し訳ございませんー。

私： で？ どうなってるんですか？ 個人情報の取扱いをどうするっていうことが経産省からの指示ではどうなってるんですか。

個： え、あのー、今ご質問されていることについてもですね、申し訳ないんですけども、本省の方にお問い合わせいただけるとありがたいんですがー。

私： あなた方に主体性はないんですか。

個： ……。あのー、私どもは一事業……事務局でございますのでー、

私： いやいやそうだけども、個人情報取扱事業者でしょ？ 電通は。電通っておっしゃいましたけど、

個： はい。

私： なんていう会社ですか？

個： ………………。なんという会社……。

私： 電通っていろいろあるじゃないですか。子会社とか。電通hogehogeっていっぱいありますよねえ？ そちらはどこですか？

個： ……。あのー、公表されてますんで、

私： ええ。それも答えられないんですか？

個： ……。

私： ああたやっぱ詐欺師でしょ。違うの？ 電通ナニナニって会社名はないんですか。

個： …………………………………。ま、あのー（笑）、なんともお答のしようがない

私： え？答えられないってどういうことですか（笑）。電通本社ですか？

個： ………………………。

私： もしもし？

個： あのですね

私： なんで答えられないんですか。それが。

個： んー、というかですねー、経済産業省さんのホームページをご覧いただければ

私： いやいやいやいや、電通の、電通なんていう会社ですか？って聞いてるんですよ。なんで答えられないんですか。おかしいじゃないですか答えられないってのは。

個： うーん、申し訳ございません。あのちょっとあの何ともお答しようがないんですけども。

私： どうして？どうして？

個： ………………。あのー、もしこちらのセミナーへのご応募

私： いやあなた誰なんですか？ 会社名は？ どこの社員ですか。

個： ……………。あのー、この個人情報のセミナーにですね、ご応募されたいというお客様から、

私： いやいや、質問に答えてください。

個： …………。

私： プライバシーマークとってるんでしょ？

個： …………………。

私： あなたの会社はプライバシーマークとってるんですか？

個： ……………。

私： さっき「はい」っておっしゃいましたけども。

個： ……………。あの申し訳ないんですけども、あの、情報経済課さんの方にお願いできればと思うんですけれども、そうすればあの、私どものことも含めて

私： いやいやいやいや、

個： はずですけども

私： あーいやいや、そんなわけないじゃないですか。経産省はどっかの会社に委託してやってるだろうけども、あ・な・た・が偽かもしれないから聞いてるんですよ。

個： ……。まあ、あのー、ま、偽者というふうにお客様の方でご判断

私： なんで会社名を答えられないの？

個： それで結構なんですけども。

私： ええ、なんで会社名を答えられないんですか。

個： ………………………………………………。あの、経産省さんへのお問い合わせをお願いしたいんですけどれもー

私： 会社名は？

個： 日々やり取りさせていただいてますんでー

私： え？

個： あの、日々やり取りさせていただいてますんで。

私： 意味がわからない。

個： ………………………………………………。

私： どういうことですか。

個： ええ、あの、先ほどからですね、

私： 電通じゃないのでは。あなたは電通じゃないでしょ、本当は。

個： いえ、違いますよ。

私： じゃ何ですか。

個： んー、ただそれについても

私： なんで会社名が、……。「違いますよ」って（笑）どういうことですか？ あなた電通の人じゃないでしょ。

個： うん。あの、そう思っていただくっていうことでしたら、あの、そういうことでもけっこうでございますんで、

私： いやいや、電通

個： このお電話を終わらせていただきたいんですがー。

私： ええ、電通だっていうんだったら電通なになにっていう会社名を言ってくださいよ。

個： …………………………。あの、何本かあのー、お話中にあのお問い合わせの番号が続いてますんでー、大変申し訳ないんですがこれでちょっと切らせていただきますんでー。

私： ……。

個： あの、経産省さんの情報経済課さんの方にぜひお願いいたしますー。

私： ………………。

個： それでは失礼いたしまーす。

（プー、プー、プー）

---

この後、今日までに15日が経過したが、サイトはなんら改善されていない。「貴重なご意見ということで承わらせていただく」はどこへ行ったのか？

経産省側がどうなっているかというと、情報経済課の「個人情報保護」のページには、以下のように掲示されているだけで、個人情報の取扱いについて何の記載もない。

情報の取得主体が経済産業省であるなら、「政府機関の情報セキュリティ対策のための統一基準」に経済産業省が違反していることになるし、そうではなく、取得主体が説明会を運営する業者であるならば、その業者が個人情報保護法に「違反」しているのであり、情報経済課はこの業者を取り締まる立場にある。取扱い主体を明らかにするという最も基礎的な（当然すぎて法律にもいちいち明記されていない*4ほどの）ことすらできていないというのは、いったいどういうことなのか。

情報経済課の様子はここ数年ほど見てきたが、個人情報保護法の取締当局でありながら、同時に、ビッグデータ利活用推進の使命を負った部署であるせいか、執行するのは情報漏洩の事案ばかりで、それ以外の違反、つまり、利用目的関係の義務違反や、個人データ該当性の判断に関わる事案について、結局決断できないままやり過ごしてきた。

そんな情報経済課が、さらに今、個人情報保護法の改正案で、利用目的変更のオプトアウト方式を導入させようとしている。当局が自ら取締りを怠ってきたばかりか、法の根幹に大穴を開け、制度の意義そのものを瓦解させようとしている。