カテゴリ：個人情報漏えい事件

2021年04月14日

Facebook、5億人の個人情報流出は「スクレイピング」によるものだそうです

（画面は同社Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

Facebookの利用者の5億人分の個人情報が流出し、闇サイトで販売されているとの報道に対して、米国Facebook社は「スクレイピング」により抽出されたものだと発表しました。

スクレイピングとは、特定のプログラムを使用して公開されているWebサーバーにアクセスすることにより、データを自動的にダウンロードさせることであり、Googleなどの検索エンジンも使用している一般的な仕組みです。

Facebookには、スマートフォンの住所録をアップロードしてお友達を自動的に検索してレコメンドする機能があり、今回はこの機能が利用規約に反して悪用されたとのことです。

「スマートフォンの住所録をアップロードさせてお友達をレコメンドする」という機能は、Facebookだけではなく、LINEなどその他の多くのSNSでも利用されてるものですが、携帯電話番号やメールアドレスを入力するだけでその人のアカウント情報を知ることができるため、今回のようなことができることは理論上、誰にでも分かっていたと思います。

今回は、あたかも架空の電話番号（例えば00000000001から99999999999までの全ての数）を大量にスマートフォンに登録し、その住所録をFacebookにアップロードしたかのような挙動をするプログラムを作成して作動させ、Facebookのサーバーはまんまとそれを真面目に処理してしまったということのようです。

同社では、2019年9月にこの問題に気づき、現在は同様のことは起こらないようにしたとしていますが、それはあくまでも架空の電話番号を大量にアップロードした場合に拒否するように対応したということであり、この機能自体を廃止したわけではありません。

今回のような方法で自分のアカウント情報を公開されたくない場合には、Facebookのプライバシーの設定にある「メールアドレスであなたを検索できる人」「電話番号でああたを検索できる人」の設定を見直すことをオススメします。どちらも「自分だけ」にすれば、今回のルートを遮断できます。

https://www.facebook.com/settings?tab=privacy

Facebook社の公式発表
https://about.fb.com/ja/news/2021/04/facts-on-news-reports-about-facebook-data/

Wikipedia「ウェブスクレイピング」
https://ja.wikipedia.org/wiki/%E3%82%A6%E3%82%A7%E3%83%96%E3%82%B9%E3%82%AF%E3%83%AC%E3%82%A4%E3%83%94%E3%83%B3%E3%82%B0

Facebookで使用しない方がいいと思うひとつの機能(改訂版)（過去記事）
https://www.pmarknews.info/archives/51852736.html

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2021年04月01日

個人情報保護委員会がLINEに立ち入り検査を実施

（画像は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会は、LINE株式会社の個人情報の取り扱いについて、適法性が問われる事態になっていることに関して、現在の取組状況を公表しました。

公表された内容によると、3月19日に同社に対して報告の徴収を行い、同社から回答を得たとのことで、3月26日に上記の文書が発表されました。また、マスコミでの報道では、3月31日に同社に対する立ち入り検査も実施したとのことです。

今回、適法性が問われているのは
個人情報保護法第22条（委託先の監督）
個人情報保護法第24条（外国にある第三者への提供制限）
とのことです。

詳細は明らかにされてはいませんが、
（１）委託先である中国の開発会社からLINEの顧客データベースにアクセスできるようになっており、実際にアクセスされていたこと
（２）LINEのトークのやり取りのデータが韓国のデータセンターに収められていたこと
について、調査が行われていると思われます。

（私のコメント）
現在の個人情報保護法では、外国にある第三者へ個人情報の取り扱いを「委託」する場合には
①委託先がEUに所在すること
②委託先が日本の個人情報保護法の義務規定と同水準の体制を持っていること
③法令に基づく場合など例外の場合
④本人が同意していること
のいずれかを満たすことが求められます。

今回の場合は②または④が適用になります。同社が本当に委託先に日本と同水準の義務規定を満たさせていたのか、または本当に本人の同意を取っていたのか、そのあたりが焦点になるのではないかと思います。

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）
https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

2021年03月29日

今回のLINEの問題をきっかけに「長すぎるプライバシーポリシー」に警鐘を鳴らす！

（画像はLINEのプライバシーポリシーより）

皆さんこんにちは。
プライバシーザムライ中康二です。

LINEの個人情報の取り扱いが問題になっています。

主に今回取り上げられているのは
（１）委託先である中国の開発会社からLINEの顧客データベースにアクセスできるようになっており、実際にアクセスされていたこと
（２）LINEのトークのやり取りのデータが韓国のデータセンターに収められていたこと
です。

私もLINEのユーザーです。韓国NAVER社の日本法人であった同社が、東日本大震災のあと、人と人とつなげるインフラを作りたいとの考えからLINEを立ち上げたことや、分かりやすいUI／親しみやすいスタンプなどを武器に利用者を拡大し、世界中に利用が広がっていることなど、頼もしく感じています。今回の問題に関しても、極端に反応するべきではなく、経営統合されたヤフーのコンプライアンスの元でやるべきことをやっていけばいいと思っています。（よく考えるとこのページを更新しているlivedoor BlogもLINEの運営でした☺️）

ただし、私、個人情報保護と情報セキュリティを社会に啓発するプライバシーザムライとしては、ここで少し違う視点から問題を指摘したいと思います。

それは【長すぎるプライバシーポリシー】問題です。

同社のプライバシーポリシー（リンクを下に貼っておきます）はいかんせん長すぎて、何を書いているのか普通の人には理解しづらくなっています。私もすべてを理解したとは言えません。それが今回の問題の原因の一つになっているのではないかということです。

そもそも、日本の個人情報保護法では、下記の5項目をWebサイトなどで公表することとされています。

（１）個人情報の利用目的（第18条）
（２）個人情報を第三者に提供する場合はその旨（同意が必要）（第23条）
（３）個人情報を共同利用する場合はそれに関する項目（第23条5の3）
（４）外国にある第三者へ提供する場合はその旨（場合により同意が必要）（第24条）
（５）保有個人データに関する事項の公表（第27条）

これらの各点について、LINEのプライバシーポリシーではどのように記載しているのかを順番に見ていきたいと思います。

（１）個人情報の利用目的（第18条）

やはりいちばん重要なのは「個人情報の利用目的」です。（取り扱う個人情報の項目ではなく）取り扱う個人情報の利用目的を明確にして本人に分かるようにするのが、個人情報保護法の大原則です。

個人情報保護法第18条では「個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない」とされており、さらに個人情報保護委員会のガイドラインでは「利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい」「単に『事業活動』、『お客様のサービスの向上』等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される」とされています。

さて、LINEのプライバシーポリシーの中から、利用目的の部分を抜粋してみましょう。

（クリックすると拡大します）

どうですか？ひとことで言って長過ぎます。

冒頭の「当社サービスの提供・維持」は漠然としすぎています。「できる限り具体的に特定したことにはならない」の例にあたります。

次のレベルの「4.a. サービスの提供・維持」の中の「当社は、お客様から要請のあったサービスの提供や問い合わせ対応、キャンペーン応募のために必要な情報を利用します」は、ある程度できる限り具体的に特定している説明と言えましょう。

その次には「例えば、以下のような場合、当社はサービスの提供・維持のためにパーソナルデータを利用します」とあり、細かな利用目的が列記されていますが、これは無意味です。なぜなら法律では例示は求められていないからです。すべてを網羅する利用目的を最も簡潔に表現することが求められています。（「例えばA、B、Cです」といくら細かく説明しても、他にDの利用目的があるのならそれを本人が理解できなければ意味がない）

本来、この利用目的の部分は、下記のように簡潔に記載できると思います。

------------------------------------------------------------
当社の個人情報の利用目的は下記のとおりです。
１）お客様から要請のあったサービスの提供や問合せ対応、キャンペーン応募のため
２）当社サービスの開発と改善のため
３）セキュリティや不正利用対策を促進するため
４）お客様に広告を含むおすすめのコンテンツを提供するため
------------------------------------------------------------

これでいいのです。この5行のテキストによって利用者は利用目的を理解し、LINE社はその枠の中で自由に個人情報を利用できるのです。これが個人情報保護法の求めている「個人情報の有用性に配慮しつつ、個人の権利利益を保護する」というあるべき姿なのです。長々と不要なことを書く必要はありません。

（２）個人情報を第三者に提供する場合はその旨（同意が必要）（第23条）
（３）個人情報を共同利用する場合はそれに関する項目（第23条5の3）
（４）外国にある第三者へ提供する場合はその旨（場合により同意が必要）（第24条）

次に提供の部分を抜粋してみましょう。ここは上記の３つの項目が関係します。

（クリックすると拡大します）

これまた長々と書きすぎています。

冒頭の部分で、第三国への移転のことを記載していますが、同じことを何回も書いています。単に「お客様のお住いの国または地域と同等の個人データ保護法制を持たない第三国に個人情報を移転する場合があります」と簡潔に書けば足りるはずです。

また、共同利用については、共同利用の範囲を「グループ会社」とだけしており、明確になっていません。個人情報保護委員会のガイドラインでは「共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある」「当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない」とされています。LINEのグループ会社がどの事業者までなのかはこのプライバシーポリシーには明記されておらず、LINEのWebサイトのどこにも明記されていません。これでは「本人がどの事業者まで利用されるのか判断できる」とは言えないと思います。これだけ長々と書いているのに、肝心の必要な情報が抜けているのです。

また、下記は安全管理の項目には「主要なパーソナルデータの保管を、当社の所在する日本の安全なサーバーで行っています」と記載されています。今回の問題で「主要ではない情報が韓国のサーバーに保管されていた」ことが判明したわけですが、こういう「主要な」という曖昧な言葉をプライバシーポリシーの中で記載することは極めて不適切であると言えます。

（５）保有個人データに関する事項の公表（第27条）

保有個人データの開示請求に答えることは個人情報取扱事業者の義務であり、それに関する手続きの方法などを「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置く」こととされています。多くの場合では、プライバシーポリシーなどに明記することで本人に分かりやすく伝えるようにしています。こんなに長々と書くのであれば、その中にそれを記載するのは当然とも言えましょう。

さて、これに関する記載はここかな？

これまた長々と書いてありますが、よく読むとどこにも「保有個人データの開示の手続きの方法」は記載されておらず、「自分で更新できるようなシステムを用意しているから自分で権利を行使してください」ということを長々と書いてますね。

結論として、LINEは保有個人データに関する事項の公表は「本人の求めに応じて遅滞なく回答する」（＝問い合わせがあったら個別に対応する）こととしているようです。長々と書いている割には肝心のことは書いてないということが分かりました。

LINEプライバシーポリシー
https://line.me/ja/terms/policy/
個人情報保護法
https://elaws.e-gov.go.jp/document?lawid=415AC0000000057_20201212_502AC0000000044
個人情報保護委員会ガイドライン
https://www.ppc.go.jp/personalinfo/legal/2009_guidelines_tsusoku/

（私のコメント）

以上、現在物議を醸しているLINEのプライバシーポリシーを解読し、長々と何が書いてあるのかを解読し、本来はどうするべきなのかも少し書きました。

同社のプライバシーポリシーは、長いのにも関わらす、法律が求めている事項を抜かしていたり、とにかく褒められるべき内容ではありませんでした。

長すぎるプライバシーポリシーは、単に長くて難しいというだけではありません。それは利用者と事業者の関係をあいまいにする結果を生み出しています。利用者に読む気をなくさせ、結果として誤解を招き、事業者側に言い訳の余地を残すと思います。

LINE社員ですら、内容を理解できないんじゃないでしょうか。顧客の個人情報をどこまで扱ってよくて、どこからはダメなのか、社員も理解できていないから、今回のような問題が起こったのではないでしょうか？

同社が現在の長いプライバシーポリシーを見直し、必要なことだけを簡潔に記載した内容に変更することを強く求めたいと思います。

また、同様に長々としたプライバシーポリシーをWebサイトに掲載している事例は他社にもたくさんあると思います。日本のビジネス界ではプライバシーポリシーを定める際に他社事例を複数参照して、適当に合体させて自社のものにするということが以前からまかり通ってきました。ですから、このLINEのプライバシーポリシーも、それが放置されていると他社にも伝染していくことを私は面白くないと思っています。

このような長々したプライバシーポリシーを掲載することで、利用者を煙に巻くような姿勢は褒められることではありません。ましてや見本にするべきでもないですし、そんなことを個人情報保護法が求めているものでもないことをはっきりここに明記しておきます。

今回の問題の解決のために設立された専門家委員会の中には個人情報保護法の専門の方も複数いらっしゃると思います。今回を機会に、日本の「長すぎるプライバシーポリシー」問題が少しは見直されるように動いていただけることを期待いたします。

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

プライバシーザムライ　中康二
（オプティマ・ソリューションズ株式会社　代表取締役）

2021年03月27日

システム開発会社の社員が、証券会社の顧客情報を盗み出して2億円を着服した事件が発生

（画像は両社のWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

オンライン証券大手の松井証券株式会社から、システム開発業務を受託していたSCSK株式会社の社員(当時)が、業務上知りえた松井証券の顧客情報を利用して、松井証券のサービスに不正ログインし、2億円以上を着服していた事件が発生しました。

同社員は、松井証券の顧客データベースから本物の「ログインID」「パスワード」「取引暗証番号」などを盗み出して悪用し、顧客と同姓同名の銀行口座を不正に作成して現金の引き出しに利用していたとのことです。

この社員は電子計算機使用詐欺罪等の容疑で警視庁に逮捕され、また懲戒解雇されているとのことです。この事件は、実際に行われたのが2017年～2019年であり、発覚したのが2020年とのことですが、捜査に協力する必要性からこれまで公表が控えられていたとのことです。

松井証券のリリース
https://www.matsui.co.jp/parts/pdf-view/web/viewer.html?file=/company/ir/press/pdf/pr210324.pdf
SCSKのリリース
https://www.scsk.jp/news/2021/pdf/20210324.pdf

（私のコメント）
まあ恐ろしい事件ですね。ベネッセ事件でもそうでしたが、システム開発や運用を実際に行う人が悪意を持って動くとこういうことは起こりえると言えるのかもしれません。ただし、パスワードや取引暗証番号はハッシュ化（復号できないように変換すること）して、顧客本人以外には分からないようにするなど、出来心を許さないシステムにすることが重要なのだと思います。

また詳細は公表されておらず真相は不明ですが、同姓同名の銀行口座をどのように不正に作成したんでしょうね。特殊詐欺対策もあり、銀行口座を作る際のチェックは厳しくなっています。もしかして顧客が登録した本人確認書類を一部利用した可能性もあるのかなと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2021年03月05日

ドコモ口座事件の情報の出どころはソフトバンクだった～銀行の暗証番号数字4桁を他では使わないように～

（画像はドコモ口座公式Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

昨年、大きな話題となった「ドコモ口座事件」では、架空に作成されたドコモ口座に、実在の銀行口座が登録されて、口座の残高がどんどん吸い取られてしまいました。

ドコモ口座のセキュリティが甘かったのは事実です。
銀行口座の口座番号と4桁の暗証番号だけがあれば登録できました。
そのことで、ドコモは社会的に非難され、お詫び会見を開く事態に追い込まれました。

それでも、そもそも口座番号と暗証番号の組み合わせは
どこから入手したのだろうという疑問が残っていました。

過去にはゴルフクラブの貴重品ボックスから流出したことがありました。
その時はこんな方法でした。
------------------------------------------------------------
・ゴルフクラブの顧客が貴重品ボックスの暗証番号に銀行と同じ4桁を設定して財布を預ける
・貴重品ボックスには盗難対策として監視カメラがついていて、登録した数字4桁が読み取れるようになっていた
・顧客がゴルフプレイをしている間に、従業員が監視カメラの映像から数字4桁を読み取り、その数字4桁でロッカーを開け、財布の中の銀行カードをスキミングしてデータを複写
・複写したデータから銀行カードを複製し、記録しておいた4桁の暗証番号で預金を引き出す
------------------------------------------------------------
恐ろしいですよね。でもこれは実際に起った事件です。

最近の報道によると、今回のドコモ口座事件の流れはこういうことだったようです。
------------------------------------------------------------
・ソフトバンクの代理店の店頭で、顧客が自動引落で支払うために銀行の口座番号を記入する
・同時に顧客がソフトバンクのネットワーク暗証番号として銀行と同じ4桁を記入する
・代理店の店長が、氏名や連絡先と一緒に、口座番号と暗証番号をエクセルシートに保管する
・その情報を使用してドコモ口座に銀行口座の情報を登録する
・ドコモ口座を使って残高を不正に利用する
------------------------------------------------------------

これまた恐ろしい話ですね！

しかし、銀行の数字4桁の暗証番号をホイホイと関係のないソフトバンクの登録用紙に書いてしまったのがそもそもの原因なのです。

そういうことをしていない人は、ゴルフクラブの例でも、今回のドコモ口座の例でも、被害を免れているのです。

（今回の教訓）
金融機関の数字4文字を、関係のないところで使用しないこと
スマホの暗証番号なんかにも使っちゃだめですよ😅
これに尽きますね。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2020年10月30日

JIPDEC、株式会社JIMOS(福岡)に対するプライバシーマーク一時停止を発表

（画面はJIPDECのWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

プライバシーマーク制度を運営している一般財団法人日本情報経済社会推進協会（JIPDEC）プライバシーマーク推進センターは、株式会社JIMOS（福岡県福岡市）に対して、2020年10月23日から6か月間「プライバシーマーク一時停止」の措置をとると発表しました。

同社は、自社が運営しているECサイトから、有効期限やセキュリティコードも含むクレジットカード情報10万件以上を流出させる事故を昨年に起こしており、このことが欠格事項に当たるとされたようです。

プライバシーマーク・Webサイト
https://privacymark.jp/certification_info/rlist.html

JIMOS社による発表
https://www.jimos.co.jp/release/detail.php?type=3&pk=141
https://www.jimos.co.jp/release/detail.php?type=3&pk=122

プライバシーマーク制度における欠格事項及び判断基準
https://privacymark.jp/system/guideline/pmk_pdf/PMK510.pdf
プライバシーマーク欠格レベル決定の手順

（画面は上記文書より）

（コメント）
プライバシーマーク一時停止になるということは、欠格レベルが「8または9」ということです。これは事業者に重大な過失があったと判断されたということになります。しかも今回は6ヶ月です。事業者側の過失が非常に大きいと認識されたのだと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

2020年09月29日

サクソバンク証券が不正アクセスを受け、マイナンバー378件が流出。金融庁が業務改善命令を指示

（画像は同社Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

FX取引（外国為替証拠金取引）や海外株式取引サービスを国内で提供しているサクソバンク証券は、今年7月に発生した個人情報流出事件に関して、詳細な調査結果を公表しました。またあわせて金融庁から業務改善命令を受けたことも明らかになりました。

同社によると、今年7月に自社の顧客管理システムに不正アクセスがあり、マイナンバーを含む多数の個人情報が流出していたとのことです。

流出したのは、同社の顧客管理システムに登録されていた情報であり
（１）「ユーザーID」「氏名」「生年月日」「住所」「電話番号」「電子メールアドレス」など38,026名分
（２）本人確認書類の画像データ（運転免許証、保険証、パスポート、住民票、在留証明書、個人番号カード）750件。
このうちマイナンバーが含まれるものが378件
とのことです。

同社では、今回の不正アクセスは海外のハッカー集団による可能性があり、情報を公開するとの脅迫も行われているものの、悪意のある集団との対話や交渉は行う予定がないと態度を明らかにしていました。

なお、この事件を受けて、金融庁は、財務省関東財務局を通して、9月18日付で業務改善命令を出したとのことです。

同社によるリリース
https://www.home.saxo/ja-jp/about-us/security-incident/final-report-personal-information-leakage
https://www.home.saxo/ja-jp/about-us/security-incident/important-notice-about-personal-information-leakage-continued
金融庁による業務改善命令
https://www.fsa.go.jp/news/r2/shouken/20200918.html

（私のコメント）
マイナンバーが大量流出しており、注目いたしました。また、海外のハッカー集団から脅迫が行われているとのことでも、注目に値する事件です。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2020年09月11日

JIPDEC、システムズ・デザインに対するプライバシーマーク一時停止を発表

（画面はJIPDECのWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

プライバシーマーク制度を運営している一般財団法人日本情報経済社会推進協会（JIPDEC）プライバシーマーク推進センターは、東京国税局など委託元の承諾を取ることなくマイナンバーの取り扱いを別の会社に再委託していたシステムズ・デザイン株式会社（東京都杉並区）に対して、2020年8月24日から１か月間「プライバシーマーク一時停止」の措置をとると発表しました。

プライバシーマーク・Webサイト
https://privacymark.jp/certification_info/rlist.html

システムズ・デザインによる発表
https://www.sdcj.co.jp/dcms_media/other/news20181218.pdf

プライバシーマーク制度における欠格事項及び判断基準
https://privacymark.jp/system/guideline/pmk_pdf/PMK510.pdf

（画面は上記文書より）

（コメント）
プライバシーマーク一時停止になるということは、欠格レベルが「8または9」ということです。これは事業者に重大な過失があったと判断されたということになります。

しかし、今回の対応は少し遅いですね。
　2018年12月　事態が発覚
　2019年8月　個人情報保護委員会による指導
　2020年8月　プライバシーマーク一時停止
新型コロナによる遅れがあったとしても、もう少しタイムリーに対応していただきたいなと思いました。

た、新しい情報が入りましたら、皆様にシェアいたしますね。

2020年08月21日

GPS大手のガーミン社がサイバー攻撃を受けて多額の身代金を支払う

（画面はガーミン社Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

報道されている情報を総合しますと、GPS機器大手の米国ガーミン社に対して、7月末にサイバー攻撃がかけられ、同社の全ての業務が停止してしまったとのことです。

社内のパソコンやサーバーの内容が暗号化されたために、同社製品の利用者向けネットワークサービスが停止したのはもちろんのこと、社内業務から工場での生産までストップしたとのことです。一方で、同社には身代金支払いの要求があったとのことです。

このような場合に、どのように対応するべきでしょうか？

もちろん、このようなサイバー攻撃は、多くの国における違法行為です。国内法においても威力業務妨害罪や、不正アクセス禁止法違反などにあたる可能性が高いでしょう。ですから、司法当局によって取り締まられるべきなのです。

しかし、サイバー攻撃は国境をまたいで行われる場合がほとんどです。どこの国にいるのか分からない犯罪集団に対して、国際的な司法ネットワークと言っても無力である場合が多いのです。

どのような状況においても、企業としては、自社のビジネスを継続する必要があります。

今回のケースにおいて、同社は身代金を支払うことで、問題を解決したようです。

https://www.garmin.co.jp/
（同社からの公式の発表はありません）

このような被害は、いつ、どこの会社においても発生する可能性があります。情報セキュリティに対する取り組みの重要性を再認識させてくれる事件だと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2020年07月31日

官報の破産者情報を本人同意なく掲載しているWebサイトに対して、個人情報保護委員会が初の停止命令

（画面は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会は、官報に掲載された破産者の個人情報を無断でデータベース化して公開している2つのWebサイトに対して、個人情報保護法に基づく停止命令を出しました。個人情報保護委員会が個人情報保護法第42条第2項に基づく「命令」を出すのは初めてのようです。

今回の命令にあたっては、Webサイトの運営者が双方とも判明しておらず、命令を送付できないため、「公示送達」という方法を採用（裁判所等の掲示板に2週間掲示することにより意思表示するもの）するなど、かなり異例の対応が取られているようです。

個人情報保護委員会としては、対応期限の8月27日までに対応がなされない場合には、刑事告発を行うとしています。

https://www.ppc.go.jp/news/press/2020/200729kouhou/

（私のコメント）
以前にも同様のWebサイトが存在していたことがあり、その際には個人情報保護委員会が個人情報保護法第41条に基づく「指導」を行い、そのWebサイトは閉鎖されたようです。今回はどうなるでしょうか？

また、何か情報が入りましたら、皆様にシェアいたしますね。

2020年06月08日

愛知県が誤ってWebサイトに個人情報を掲載した新型コロナ感染者に、一人あたり4万円の賠償金を支払うと発表

（画像は愛知県Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

愛知県は、今回の新型コロナ対応を行う中で、誤ってWebサイトに個人情報を掲載してしまった感染者に対して、一人あたり最大4万円の賠償金を支払うと発表しました。

これは、5月5日の朝に、新型コロナ感染者の詳細な個人情報を操作ミスにより掲載してしまい、外部からの指摘を受けて45分後に取り下げたというものでした。

掲載されてしまった情報は、下記の項目で490名分とのことです。
　感染者の氏名、入院先医療機関、入院日、転院先医療機関、転院日、退院日、
　発生届提出保健所、クラスターの名称及び分類
（氏名が含まれていなかったものもあるようです）

これに対して、愛知県としては、下記の金額を賠償金として支払うとしています。
　氏名が掲載された人（396人）：一人当たり4万円
　氏名が掲載されていない人（94人）：一人当たり2万円

https://www.pref.aichi.jp/site/covid19-aichi/pressrelease-ncov200528.html

（私のコメント）
「賠償金額は過去の裁判例を参考に判断した」との説明がありますが、裁判も起こしていない段階で支払う金額としては史上最高額なのではないかと思います。正直言って、かなりの大盤振る舞いです。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2020年04月27日

個人情報流出事件を起こした前橋市が、NTT東日本に対して損害賠償求め提訴

（画像は前橋市Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

報道によりますと、前橋市は、2018年に発覚した特別支援学校の児童生徒の個人情報約5万件などが流出事件に関連し、ネットワークとシステムの運用管理を委託していたNTT東日本に対して、1億7千万円の損害賠償を請求する訴訟を提訴したとのことです。（前橋市Webサイトには本件は掲載されておりません）

1億7千万円の内訳については、システム復旧の際の対策費用を算出したもので、昨年よりNTT東日本に対して請求するべく交渉を続けてきたものの、同社がそれに応じないために提訴となったもののようです。

（私のコメント）
個人情報流出事件に関して、このような形でシステムを担当する会社が訴訟される事例は珍しいと思います。従来の個人による個人情報流出に関する訴訟は「精神的苦痛」に対する賠償が中心でしたが、今回のような被害を受けた団体からの訴訟は「復旧対策費用」という実額が算出されているものですので、全く性質が異なることに興味を持ちました。

また、何か情報が入りましたら、皆様にシェアいたしますね。

↑このページのトップヘ