経済産業省の個人情報ガイドラインでプライバシーも考慮するためにどう考えたか。。。

　こんにちは、丸山満彦です。何かと評判があまり良くない日本の個人情報保護法。直感的にはプライバシー保護が重要だろうと思っているのに、条文を読みだすと個人情報の保護の話になってしまう。

　法律の第一条を読むと「個人の権利利益を保護」することが目的となっていて、その目的を達成するための手段の一つが「個人情報を取り扱う事業者の遵守すべき義務等を定めること」となっている。
　法律で規定されている「個人情報を取り扱う事業者の遵守すべき義務」を順守することにより、自動的に「個人の権利利益を保護」されるように法律がなっていれば問題はない。ところが、必ずしもすべてがそうとはなっていないから問題があるのだろう。
　個人情報の取得、第三者提供の場面での規制でもその影響はでるが、安全管理措置、すなわちセキュリティ規制でもその影響はでる。
　経済産業省のガイドラインを作る際にどう考えたか。。。

　
経済産業省のガイドラインは、行政機関が法に基づいた行政権の執行をする際のガイドラインとしている。なので、ガイドラインに違反すると行政機関から法律違反とみなさる可能性がある。
　当時の課長からは、誰にでもわかりやすい具体的なセキュリティ対策をガイドラインに規定するように要求された。
　しかし、一言に個人情報といっても医療情報のようなものから従業員の社員コードと氏名の一覧といったものまでプライバシーとの関係からみても幅広い情報がある。
　また、経済産業省の所管する企業は、売上高何兆円の企業から個人なりの小さな企業まで幅広くあり、かけられる費用を考えるとセキュリティ手段を特定するのは難しいと考えた。
　また、セキュリティの国際基準となっていたISO17799（ISO27001）と大きく異なってもいけないという思いもあった。
　そこで、基本的な考え方として
・何をすべきかは決めるが、どのようにすべきかは規定しない
・何をすべきかを決める際には、ISOを考慮する。
・項目の整理には、マネジメント、人、物理、技術の４つに整理する
ということにした。。。

　セキュリティ対策をどの程度するかは、基本的には企業側に委ねることにした。ただし、次のような条件をつけて、、、
＝＝＝＝＝
本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じ、必要かつ適切な措置を講じるものとする。
＝＝＝＝＝
　これが現行法のもとでのガイドラインを作るとした場合の限界ではないかと思っています。（もっと頭を使えば良いアイデアはあるかもしれませんが。。。）

　プライバシーの保護をもっと明確にするのであれば、個人情報の保護をすれば自動的にプライバシーの保護になるだろうというロジックではなく、明確にプライバシーの保護のために何をすべきかに向き合う必要があると思いますが、どうでしょうか。。。

●個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン
　
●個人情報の保護に関する法律
＝＝＝＝＝
（目的）
第一条 この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。
＝＝＝＝＝