最新 追記

高木浩光@自宅の日記

目次 はじめに 連絡先:blog@takagi-hiromitsu.jp
訪問者数 本日: 1364   昨日: 2734

2014年12月27日

情報経済課は恥を知って解散せよ(パーソナルデータ保護法制の行方 その12)

また同じ過ちが繰り返された。いったい何度繰り返せば学習するのか。

このプレスリリースは誰が流したものか。以下の画面のように冒頭に「経済産業省」と記載があり、これを見た人は経済産業省が流したものだと思うだろう。*1

申込先のリンクが http://kojinjohohogo-guideline.jp と書かれている。

情報の取得主体が経済産業省であるなら、「政府機関の情報セキュリティ対策のための統一基準」6.3.2項 遵守事項(1)「政府ドメイン名の使用」違反である。

6.3.2 アプリケーション・コンテンツ提供時の対策

目的・趣旨

府省庁では、情報の提供、行政手続及び意見募集等の行政サービスのためにウェブサイト等を用意し、国民等の利用に供している。これらのサービスは通常インターネットを介して利用するものであるため、国民等にとっては、そのサービスが実際の府省庁のものであると確認できることが重要である。また、政府機関になりすましたウェブサイトを放置しておくと、政府機関の信用を損なうだけでなく、国民等が不正サイトに誘導され、不正プログラムに感染するおそれがあるため、このような事態への対策を講ずる必要がある。

遵守事項

(1) 政府ドメイン名の使用
(a) 情報システムセキュリティ責任者は、府省庁外向けに提供するウェブサイト等が実際の府省庁提供のものであることを利用者が確認できるように、.go.jp で終わるドメイン名(以下「政府ドメイン名」という。)を情報システムにおいて使用するよう仕様に含めること。ただし、4.1.3項に掲げる場合を除く。
(b) 行政事務従事者は、府省庁外向けに提供するウェブサイト等の作成を外部委託する場合においては、前号と同様、政府ドメイン名を使用するよう調達仕様に含めること。

類似の事案として、5年前の「エコポイント申請画面が共用SSLサイト上にある件」(2009年8月26日の日記)の事案がある。このときは、結局何ら改善せず*2、運営主体を経済産業省ではなく、「株式会社電通、凸版印刷株式会社、株式会社JPメディアダイレクト、株式会社JP物流パートナーズ、株式会社ベルシステム24、トランスコスモス株式会社」のコンソーシアムとすることで責任を回避した*3という経緯がある。

他にも類似の事案として、「経済産業省 CHECK PC!」がある。「セキュリーナ」のキャラクターでお馴染みのこのキャンペーンは、現在は、http://www.net-anzen.go.jp/checkpc/ にあるが、当初は http://checkpc.jp/ にあり、「政府機関の情報セキュリティ対策のための統一基準」違反で問題となったと伝え聞いている。net-anzen.go.jp に移転したものの、ドメイン名を放棄してしまったため、checkpc.jp は得体の知れないブログにまんまと乗っ取られてしまった。

今回の「経済産業分野における個人情報保護ガイドライン説明会」はどうか。エコポイントの事案とは違い、単なる講演会の場合には、参加者名簿を経済産業省が受け取らないのならば、すべての運営を業者に任せるのはアリだろう。ただし、その場合は、情報の取得主体を明らかにしなくてはならない。

それなのに、この画面は何だ?

画面キャプチャ 画面キャプチャ

「経済産業省」のロゴがデカデカと貼られ、あたかも経済産業省が情報の取得主体であるかのようにデザインされ、フッターには「Copyright Ministry of Economy, Trade and Industry. All Rights Reserved.」と経済産業省のAll Rights Reservedだと書かれているが、運営主体らしき記載は「『経済産業分野における個人情報保護ガイドライン説明会』事務局」となっている。

しかも、メニューの「METI総合サイト」(という表記も笑えるが)の下にある「プライバシーポリシー」のリンク先はこんな画面になっている。

画面キャプチャ

プライバシーポリシーなのに「締め切りについて」とかが書かれているのは笑うところだが、「利用目的」「第三者提供について」「個人情報提供の任意性について」の書きぶりは、単なる講演会の運営というケースでは、まあ妥当なものだ。

しかし、肝心の情報の取得主体、つまり個人情報の取扱い主体が誰なのかということが、どこにも書いていない。あるのは、「『経済産業分野における個人情報保護ガイドライン説明会』事務局」とかいう巫山戯た名前だけ。世間では早くも嘲笑の声が漏れていた。

しかも電話番号は「070-」ときたもんだ。これでよく500人の定員が満席になるほど申し込んだものだ。個人情報保護ガイドラインの説明会なのに、だ。

申し込み画面に進むとこういう画面になる。

画面キャプチャ

ここでも情報の取得主体は記載されていない。しかも、「同意する」チェックボックスの上の「プライバシーポリシー」のところが、スクロールしないと見えない(同時に5行しか表示されない)という、初めから読ませない気満々の、経済産業省の「電子商取引及び情報財取引等に関する準則」でも「契約が不成立と判断される可能性のある例」として例示されているような、最もやってはいけないUIが使われている。

このような氏名・連絡先を入力させる画面は、個人情報保護法18条2項のいわゆる「直接書面取得」の場面であり、法は「その利用目的を明示しなければならない。」としている。

この18条2項が何を要求しているかは、「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」では次のように言っている。

画面キャプチャ 画面キャプチャ

なんと。明示しなければならないとされているのはあくまでも「利用目的」であって、誰が取得するのかを明示せよとは書かれていない。そんなバカな。

この点につき、個人情報保護法がご専門の弁護士先生に尋ねたところ、「いやいやいや、それは前提でしょう。「誰が」利用目的を表示してるのか分からなきゃどうにもならんのでw」と一蹴されていた。

では、JIS Q 15001:2006(個人情報保護マネジメントシステム―要求事項)ではどうなっているか。

画面キャプチャ

ちゃんと「a) 事業者の氏名又は名称」を明示せよと書かれている。当然だ。JISでは「管理者(若しくはその代理人)の氏名又は職名」まで求めているが、http://kojinjohohogo-guideline.jp/ のページには何ら表示はない。

これが、「経済産業分野における個人情報保護ガイドライン説明会」における個人情報取得の場面だというのだから、笑うしかない。お前らどの面下げて「個人情報保護ガイドライン」を申込者らに「説明」するのか。恥を知りたまえ。

ちなみに、説明会に申し込んだ人に送られてくるメールの文面は以下のものとなっているようで、ここでも、何者が情報を取得しているのかの説明はない。

画面キャプチャ

ここに書かれている電話番号に電話してみた(12月12日)ところ、以下のやりとりになった。


個: はい、個人情報ガイドライン事務局でございます。

私: もしもし、経済産業省ですか?

個: はい、あのー、ガイドラインの事務局になっております。セミナーのですね。

私: 経済産業省の、

個: はい。委託事業のセミナーの事務局でございます。

私: あなたは経済産業省ですか。

個: あなたは……、いえ、あのー、事業を委託を受けている業者の者なんですが。

私: どこの業者ですか。

個: えー、電通でございます。

私: 電通?

個: はい。

私: なんで電通って書いてないんですか。

個: あのー、経済産業省の事業委託の際の書式に則って、このように対応させていただいておるんですが。

私: 書式?

個: 事業委託の際の規定がございまして、ホームページにも書かせていただいているんですが、経済産業省の委託事業ということで、個人情報保護ガイドラインの説明会と、いうふうに国の指示、指示といいますか、こういった事業を委託する場合のルールに則って、このように対応させていただいているんですが。

私: 業者名を出さないようにっていう指示がされているんですか?

個: そうですね、とくにあのー、ま、国の受託事業はみなそうなんですが、委託先を明記するというルールはございませんので。

私: 個人情報を取り扱うんですよね?

個: はい。

私: この情報は誰が取得する情報ですか?

個: この情報とおっしゃられますと?

私: 個人情報、申し込むときの。取得する主体は誰ですか?

個: あの、ご応募いただいた皆様のということですか?

私: ええ。

個: ええ、ですから、そちらの、あのー、事業登録、事業の委託を受ける際の審査、手続きを踏みまして、あのー、私どもが受託を受けたんですけども。

私: 取得する主体は誰ですか? 誰が取得するんですか?

個: 誰が……。えーっと、申し訳ございません。どういったご用件でのお電話でございますか?

私: 個人情報の取扱いについてお尋ねしているんですよ。

個: そうですかー。大変恐縮なんですが、経済産業省本省の方におかけいただいて、私どもはあくまでこの委託を受けているセミナーの方の事業運営についてはご質問を受けることができるんですが。

私: あなた方が個人情報の取扱い主体じゃないんですか? 電通が。違うんですか。経産省にこの名簿は渡すんですか?

個: 名簿……。ええ、もちろん。あのー、何ていうんでしょう。名簿を渡す。うーん。そうですね、あのー、もちろん経産省の方には事業報告という形で、えー、リストというのは……。(ひそひそひそひそ。)経産省の方に報告っていうのはさせていただくんですけども。あくまでも私ども受託を受けているのみですので、あのー、その種のご質問については経済産業省本省の方にお問い合わせいただくようお願いしておるんですが。

私: でも個人情報の取扱いの責任が誰にあるかってのは大事なことなんですね。で、名簿は渡すんですか?

個: えーとそこ……。今ご質問いただいているところも含めまして、私どもの立場では答えることができかねますので、

私: これ、個人情報保護ガイドラインの説明会じゃないですか。

個: はい。

私: 個人情報の取扱いについて答えられないってのはどういうことなんですか?

個: うーん、申し訳ございません。あの、ちょっとそこの部分も含めてということにはなるんですがー。

私: 含めて、なんですか?

個: お答え、私どもは事務局でございますので、ご質問にはお答えできかねるんですが。

私: そうですか。

個: はい。

私: あのー、電話番号が 070 になってるんですが、携帯電話ですか?

個: いや、あのPHSになります。

私: 同じことでしょ?

個: はい。

私: なんでこんな番号なんですか?

個: あのー、私どもの方で、あのー、事務局を設定する際にこの電話番号がちょうど空きがございましたものですから、こちらを設定させていただいたという経緯なんですけども。

私: そうなんですか、なんか怪しい業者にしか見えないんですけども。

個: あーそうですか。ただ、あのー、経産省さんのこの事業に関わらず、委託された事業先の方でPHSの番号を設定するというケースはままあるんですけども。

私: これ、どうやったらこれ偽じゃないって確認できるんですか?

個: え?え? 何ではないですか?

私: 偽サイトではないという、フィッシングとか、詐欺とかでない可能性はどうやってこれで確認できるんですか。

個: うーん、そうですね、あのー今もう全国から様々なお問い合わせを、お申し込みをいただいてますんで、もしお客様の方で信用がおけないということでしたら、申し込みを頂かないっていう選択肢もあるかと思うんですけれども。

私: いやいや、この事業自体は存在するんでしょうけども、ここに出ている説明会のウェブサイトに申し込むわけでしょ? あるいはこの電話番号が書いてあったからその電話番号に電話して申し込むわけですよね。

個: ええ。

私: そのときにどうやってこれが本当の経済産業省のやってるやつだって確認できるんですか。

個: まあそういう……

私: phishingとかあなた知らないんですか。

個: ……はい。ただあの、経済産業省さんのホームページに、私どもの応募サイトも、リンクを張らさせていただいてますんでー

私: え?

個: あのー、リンクですね。

私: 誰が?

個: 経産省さんのホームページの中に、あのー、この募集サイトの掲示をさせていただいているんですね。

私: ええ。

個: そちらをご確認いただければとは思うんですがー。

私: そうですか。とにかくこの、情報の取得主体は経済産業省だっていうことですね?

個: あのー、申し訳ございません、その点についてもちょっと私どもの方であのー、お答えできるのはちょっと難しいんですけれどもー。あのー、本省の方にご確認いただければということなんですがー。

私: どちらに電話すればいいですか。

個: うーん、そうですね、経済産業省さん……に、お電話いただければと思うんですけども。

私: どこが担当ですか。

個: えーとですね、商務情報政策局さん、

私: ええ、

個: はい。

私: の、どこですか?

個: あ、あの、代表に電話していただいて

私: 局じゃつながんないんですよ。どこの課に電話すればいいですか。

個: あーそうですか。えーとじゃちょっとお待ちいただけますか、このまま。

私: はい。

(数十秒経過)

個: もしもしー

私: はい。

個: お待たせいたしました。情報経済課さんになります。

私: 情報経済課。

個: はい。

私: これは事務局としての公式な見解ということでよろしいですか、この一連の今日の電話のやりとりは。

個: あのーそのようには、申し訳ございません、申し上げてはないんですけどもー、あのー、お客様からのご質問については私どもの方ではちょっとあのー、受け答え、お答えできかねるものですからー。経済産業省様にお願いいたしますということで、あのー、お願いをしてるんですけども。

私: 個人情報の取扱いについてどうしろとかいう指示はないんですか? その、契約とかで。

個: そうですね、ちょっとそこのところについてもちょっと私どもの立場で踏み込んだ発言はできませんので、

私: なんでですか、あなた方が、だってやっているわけでしょ? その情報、だって委託……、個人情報を取得しているわけですよあなた方が。それが委託だとしてもですよ。

個: はい。

私: 会社としてどうなんですか。電通はプライバシーマークとか持っていないんですか?

個: あ、もちろんございますけれども。

私: それでこんなやり方が許されると思ってんの?

個: んー、そうですねー、あのー、ま、貴重なご意見ということで承わらせていただくんですがー

私: いやいや。プライバシーマーク持ってる電通がですよ? 個人情報の取扱いの委託を受けたときに、どうなってるんだって聞かれて答えられないってのは有り得ないでしょうが。

個: ……………。はーい。申し訳ございませんー。

私: で? どうなってるんですか? 個人情報の取扱いをどうするっていうことが経産省からの指示ではどうなってるんですか。

個: え、あのー、今ご質問されていることについてもですね、申し訳ないんですけども、本省の方にお問い合わせいただけるとありがたいんですがー。

私: あなた方に主体性はないんですか。

個: ……。あのー、私どもは一事業……事務局でございますのでー、

私: いやいやそうだけども、個人情報取扱事業者でしょ? 電通は。電通っておっしゃいましたけど、

個: はい。

私: なんていう会社ですか?

個: ………………。なんという会社……。

私: 電通っていろいろあるじゃないですか。子会社とか。電通hogehogeっていっぱいありますよねえ? そちらはどこですか?

個: ……。あのー、公表されてますんで、

私: ええ。それも答えられないんですか?

個: ……。

私: ああたやっぱ詐欺師でしょ。違うの? 電通ナニナニって会社名はないんですか。

個: …………………………………。ま、あのー(笑)、なんともお答のしようがない

私: え?答えられないってどういうことですか(笑)。電通本社ですか?

個: ………………………。

私: もしもし?

個: あのですね

私: なんで答えられないんですか。それが。

個: んー、というかですねー、経済産業省さんのホームページをご覧いただければ

私: いやいやいやいや、電通の、電通なんていう会社ですか?って聞いてるんですよ。なんで答えられないんですか。おかしいじゃないですか答えられないってのは。

個: うーん、申し訳ございません。あのちょっとあの何ともお答しようがないんですけども。

私: どうして?どうして?

個: ………………。あのー、もしこちらのセミナーへのご応募

私: いやあなた誰なんですか? 会社名は? どこの社員ですか。

個: ……………。あのー、この個人情報のセミナーにですね、ご応募されたいというお客様から、

私: いやいや、質問に答えてください。

個: …………。

私: プライバシーマークとってるんでしょ?

個: …………………。

私: あなたの会社はプライバシーマークとってるんですか?

個: ……………。

私: さっき「はい」っておっしゃいましたけども。

個: ……………。あの申し訳ないんですけども、あの、情報経済課さんの方にお願いできればと思うんですけれども、そうすればあの、私どものことも含めて

私: いやいやいやいや、

個: はずですけども

私: あーいやいや、そんなわけないじゃないですか。経産省はどっかの会社に委託してやってるだろうけども、あ・な・た・が偽かもしれないから聞いてるんですよ。

個: ……。まあ、あのー、ま、偽者というふうにお客様の方でご判断

私: なんで会社名を答えられないの?

個: それで結構なんですけども。

私: ええ、なんで会社名を答えられないんですか。

個: ………………………………………………。あの、経産省さんへのお問い合わせをお願いしたいんですけどれもー

私: 会社名は?

個: 日々やり取りさせていただいてますんでー

私: え?

個: あの、日々やり取りさせていただいてますんで。

私: 意味がわからない。

個: ………………………………………………。

私: どういうことですか。

個: ええ、あの、先ほどからですね、

私: 電通じゃないのでは。あなたは電通じゃないでしょ、本当は。

個: いえ、違いますよ。

私: じゃ何ですか。

個: んー、ただそれについても

私: なんで会社名が、……。「違いますよ」って(笑)どういうことですか? あなた電通の人じゃないでしょ。

個: うん。あの、そう思っていただくっていうことでしたら、あの、そういうことでもけっこうでございますんで、

私: いやいや、電通

個: このお電話を終わらせていただきたいんですがー。

私: ええ、電通だっていうんだったら電通なになにっていう会社名を言ってくださいよ。

個: …………………………。あの、何本かあのー、お話中にあのお問い合わせの番号が続いてますんでー、大変申し訳ないんですがこれでちょっと切らせていただきますんでー。

私: ……。

個: あの、経産省さんの情報経済課さんの方にぜひお願いいたしますー。

私: ………………。

個: それでは失礼いたしまーす。

(プー、プー、プー)


この後、今日までに15日が経過したが、サイトはなんら改善されていない。「貴重なご意見ということで承わらせていただく」はどこへ行ったのか?

経産省側がどうなっているかというと、情報経済課の「個人情報保護」のページには、以下のように掲示されているだけで、個人情報の取扱いについて何の記載もない。

画面キャプチャ

情報の取得主体が経済産業省であるなら、「政府機関の情報セキュリティ対策のための統一基準」に経済産業省が違反していることになるし、そうではなく、取得主体が説明会を運営する業者であるならば、その業者が個人情報保護法に「違反」しているのであり、情報経済課はこの業者を取り締まる立場にある。取扱い主体を明らかにするという最も基礎的な(当然すぎて法律にもいちいち明記されていない*4ほどの)ことすらできていないというのは、いったいどういうことなのか。

情報経済課の様子はここ数年ほど見てきたが、個人情報保護法の取締当局でありながら、同時に、ビッグデータ利活用推進の使命を負った部署であるせいか、執行するのは情報漏洩の事案ばかりで、それ以外の違反、つまり、利用目的関係の義務違反や、個人データ該当性の判断に関わる事案について、結局決断できないままやり過ごしてきた。

そんな情報経済課が、さらに今、個人情報保護法の改正案で、利用目的変更のオプトアウト方式を導入させようとしている。当局が自ら取締りを怠ってきたばかりか、法の根幹に大穴を開け、制度の意義そのものを瓦解させようとしている。

*1 だが、実際は、業者が流したものではないか。業者がこういう形で「経済産業省」の名称を使ってプレスリリースを流すことが許されるのだろうか?

*2 ドメイン名の変更をせず、共用SSLサイトの問題も解決しなかった。

*3 2009年12月時点でのエコポイントのプライバシーポリシー画面の記録より。

*4 ちなみに、取得主体が経済産業省ならば、行政機関個人情報保護法従うことになり、その4条で、直接書面取得時の利用目的明示義務が規定されているが、ここでも、取得主体を明示する義務は明文で規定されてはいない。

本日のリンク元 TrackBack(1)

最新 追記

最近のタイトル

2024年03月16日

2024年03月13日

2024年03月11日

2023年03月27日

2022年12月30日

2022年12月25日

2022年06月09日

2022年04月01日

2022年01月19日

2021年12月26日

2021年10月06日

2021年08月23日

2021年07月12日

2020年09月14日

2020年08月01日

2019年10月05日

2019年08月03日

2019年07月08日

2019年06月25日

2019年06月09日

2019年05月19日

2019年05月12日

2019年03月19日

2019年03月16日

2019年03月09日

2019年03月07日

2019年02月19日

2019年02月11日

2018年12月26日

2018年10月31日

2018年06月17日

2018年06月10日

2018年05月19日

2018年05月04日

2018年03月07日

2017年12月29日

2017年10月29日

2017年10月22日

2017年07月22日

2017年06月04日

2017年05月13日

2017年05月05日

2017年04月08日

2017年03月10日

2017年03月05日

2017年02月18日

2017年01月08日

2017年01月04日

2016年12月30日

2016年12月04日

2016年11月29日

2016年11月23日

2016年11月05日

2016年10月25日

2016年10月10日

2016年08月23日

2016年07月23日

2016年07月16日

2016年07月02日

2016年06月12日

2016年06月03日

2016年04月23日

2016年04月06日

2016年03月27日

2016年03月14日

2016年03月06日

2016年02月24日

2016年02月20日

2016年02月11日

2016年02月05日

2016年01月31日

2015年12月12日

2015年12月06日

2015年11月23日

2015年11月21日

2015年11月07日

2015年10月20日

2015年07月02日

2015年06月14日

2015年03月15日

2015年03月10日

2015年03月08日

2015年01月05日

2014年12月27日

2014年11月12日

2014年09月07日

2014年07月18日

2014年04月23日

2014年04月22日

2000|01|
2003|05|06|07|08|09|10|11|12|
2004|01|02|03|04|05|06|07|08|09|10|11|12|
2005|01|02|03|04|05|06|07|08|09|10|11|12|
2006|01|02|03|04|05|06|07|08|09|10|11|12|
2007|01|02|03|04|05|06|07|08|09|10|11|12|
2008|01|02|03|04|05|06|07|08|09|10|11|12|
2009|01|02|03|05|06|07|08|09|10|11|12|
2010|01|02|03|04|05|06|07|08|09|10|11|12|
2011|01|02|03|05|06|07|08|09|10|11|12|
2012|02|03|04|05|06|07|08|09|
2013|01|02|03|04|05|06|07|
2014|01|04|07|09|11|12|
2015|01|03|06|07|10|11|12|
2016|01|02|03|04|06|07|08|10|11|12|
2017|01|02|03|04|05|06|07|10|12|
2018|03|05|06|10|12|
2019|02|03|05|06|07|08|10|
2020|08|09|
2021|07|08|10|12|
2022|01|04|06|12|
2023|03|
2024|03|
最新 追記