タグ：個人情報保護委員会

2023年08月24日

【鉄則】ChatGPTなどの生成AIには個人情報を入力しないこと

皆さんこんにちは。
プライバシーザムライ中康二です。

ChatGPTをはじめとする生成AIの登場は、私たち人類社会にとって、
まさに彗星が落ちてきたようなインパクトを持ち、
社会の在り方を一変する可能性まで秘めているのではないかと考えられています。

その変革のさなかにいる私たちとして、
最も気を付けるべきことが一つあります。

------------------------------------------------------------
それは「生成AIには個人情報を入力しない」ということです。
------------------------------------------------------------

実は生成AIは、日々日々私たちが使うたびに、
そのやり取りでの成功と失敗を記録し、学習データとして
それ以降のやり取りに活かすようになっています。

ですから、「山田太郎さん（仮名）は、カレーライスが好きだ」
という情報を生成AIに入力すると、それを学習する可能性がありますし、
その情報を他の人とのチャットにおいて、出力する可能性があるのです。

現在のChatGPTは、個人情報を出力しないように
プログラミングされているようです。

しかし、学習してしまう可能性は否めないのです。

このことについては、
日本のPPC（個人情報保護委員会）をはじめとする
世界のプライバシー当局が注目しており、
ChatGPTを運営するOpenAI社に対して
「個人情報を学習しないように」と指導しているという実態もあります。

ですから、とにかく私たちとしては、生成AIを使う際には
個人情報を入力しないようにしましょう。

また、当然のことですが、機密情報も同じように
入力しないようにしましょう。

このことさえ徹底すれば、生成AIは私たちの仕事や生活を
大いに改善してくれる可能性がありますから、
どんどん活用してよいと思います。

（補足）大企業や自治体など、公式に生成AIを導入している場合の多くは、
有料の特別な契約を結んだり、自前のシステムを用意したりすることで、
上記のリスクを抑えている場合も多いようです。（それでも安心はできないです）

東京都の文章生成AI利活用ガイドライン
https://www.digitalservice.metro.tokyo.lg.jp/ict/pdf/ai_guideline.pdf

（過去の記事）
個人情報保護委員会がChatGPTに関する注意喚起を公表
https://www.pmarknews.info/privacy/52172923.html

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2023年07月26日

社労士向けクラウド「社労夢」が不正アクセスに関する調査結果を正式発表

（画像は同社のWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

社労士向けクラウドサービス「社労夢」が不正アクセスを受け、サービスが停止していた件に関して、同システムを運営しているエムケイシステム（本社：大阪市）は、7月19日付で、これまでの調査で明確になった事実を取りまとめて正式に発表しました。

結果的には「一切の情報漏えいは確認できなかった」ということになりました。特にマイナンバーは別管理をしていたから漏えいの可能性は一切ないという発表です。

以下、同社の公表内容を要約します。

6月5日　同社の複数のサーバー上のデータが暗号され、システムが停止
　　　（ユーザー数3400）
　　　　ランサムウェアによる被害と判明、ネットワークを遮断して対処
　　　　外部の情報セキュリティ専門会社に対応要請
6月6日　大阪府警に連絡
　　　　Webサイトに情報を掲載①
6月8日　個人情報保護委員会へ速報
6月9日　Webサイトに情報を掲載②
6月21日　Webサイトに情報を掲載③
6月30日　一部サービスを再開
7月19日　個人情報保護委員会へ確報
　　　　Webサイトに情報を掲載④

外部の第三者による侵入経路、不正アクセスの影響を受けたサーバー機器、侵害状況と漏えいの恐れのある情報範囲については、いずれも調査の結果判明しているとのことですが、「今後のことを考慮して」非公表としています。

また、情報が外部に漏えいした可能性は完全には否定できないものの、これまでの調査の結果では漏えいの痕跡は確認できておらず、またダークウェブなどにも掲載されていないとのことです。

エムケイシステム社
「当社サーバへの不正アクセスに関する調査結果のご報告（第３報）」
https://contents.xj-storage.jp/xcontents/AS97180/813d570f/5138/4bc7/a113/f4837598df38/140120230719524126.pdf

（以前の記事）
6月13日付　社労士向けクラウド「社労夢」が不正アクセスを受けサービス全面障害～1000万人マイナンバーは無事か？～
6月20日付　社労士向けクラウド「社労夢」不正アクセス事件の続報～1000万人マイナンバーは無事と弁明～
7月6日付　社労士向けクラウド「社労夢」がサービス再開～情報流出はなかったらしい～

（私のコメント）
「1000万人マイナンバーが危機にさらされているのかも知れない」と、大きな危惧を持ってこの事件に注目してきましたが、一応の収束を得ました。情報漏えいはなかった、特にマイナンバーに関しては漏えいは確実になかったとのことで、ホッとしました。（侵入してデータ暗号化までしておいて、持ち出さなかったとは、攻撃者が初心者でミスしたのかもしれません）

そして、同社は事件発覚から1か月半で、個人情報保護委員会への確報までたどり着いていて、振り返ってみると意外と短い期間で収束させたということになります。しかし、その過程において、今回の事件ほど混乱と不透明性が伴ったことはないという感想を持ちました。これは何だったのでしょうか？

それは同社の広報体制が「最低限のことしか公表しない」「報道機関の取材にも協力しない」というスタンスであったことにあると思います。

「これは事件であり、捜査にも影響するから今は言えません」「マイナンバーは別システムで管理しており、今のところ攻撃された痕跡は確認されていません」というようなことだけでも対外的にきちんと説明していれば、もう少し不安は解消されたと思います。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

2023年07月14日

トヨタ自動車の漏洩事案に関して、PPCが個人情報保護法に基づく指導を実施～何が個人情報だったのか？～

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会（PPC）は、今年5月に発覚したトヨタ自動車株式会社（愛知県豊田市）での個人情報漏洩事案に関して、個人情報保護法第147条に基づく指導を行ったと7月12日付で発表しました。

今回の事件は、トヨタ自動車の利用者向けサービスである「T-Connect」「G-Link」に関するもので、約10年間にわたり、合計230万人分の下記の情報がインターネット上から閲覧できる状態にあったとのことです。

T-Connect　車載機ID、車台番号、車両の位置情報、時刻
G-Link　　　車載機ID、更新用地図データ、更新用地図データの作成年月日等に関する情報

また、この業務は関連会社のトヨタコネクティッド株式会社に委託されていたとのことです。

PPCが指摘したポイントは下記の３点です。
①これらの情報が個人情報であるとの認識がされていなかったこと
②サーバーの設定に不備があり、意図せずインターネット上に公開されていたこと
③委託先の監督が不十分であったために、事態が放置されていたこと

PPCは、トヨタ自動車に対して再発防止策を立案し、実行することを指導しました。

https://www.ppc.go.jp/news/press/2023/230712_01/

（私のコメント）

今回の事案は「名前」が含まれていない個人情報の漏洩事案であり、少し珍しい事態です。どこが個人情報と認識され、PPCが指導したのでしょうか？

ここでもう一度、個人情報の定義に立ち返ってみたいと思います。個人情報の定義は、「生存する個人に関する情報であって、特定の個人を識別できるもの」です。これには「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」とされます。では今回、漏洩したとされる情報のどこが個人情報なのでしょうか？

それは「車台番号」に秘密があるように思います。車台番号というのはメーカーが自動車を製造した際に発行される通し番号だそうです。車台番号は車検証に記載されているほか、クルマの室内の見えにくいところに刻印されており、所有者でない限り容易には見れないようになっています。ただし、この車台番号をメーカーのWebサイトなどに入力すれば、どの車種のどのグレードなのかなどが容易に分かるようになっているとのことです。

では、今回漏洩したと言われる情報を使って、どのように本人を特定できるのか、シミュレーションをしてみたいと思います。

自分が探偵であり、ある特定のターゲットの動向を追いかけているとします。その人は高級なトヨタ車に乗っており、「T-Connect」サービスに加入しています。そうすると、今回漏洩していたデータからその地域にいるクルマをざっと検索し、車台番号から車種とグレードを調べることで、ターゲットは数台に絞り込まれます。しばらくそのクルマの移動を追いかけて、絞り込んだ数台の位置情報と照合すれば、いつかはそのクルマの車台番号を特定することができるでしょう。そして、いったん車台番号を特定してしまえば、そのあとはそのクルマが「いつ」「どこ」を走っていたのかをいくらでもインターネット上で知ることができるようになります。

これが「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」に含まれるのかどうかは、個人的には少し疑問があります。しかし、今回のPPCの指導からひも解くとすれば、この解釈くらいしかないのではないかなと思いました。

今回のPPCの指導の裏側にある事情は私は知りません。海外ではダイレクトに個人情報が漏洩していた事案も発生していたようです。今やトヨタ自動車といえば、日本経済を支える最大の企業グループですから、しっかりしてほしいという考えもあるのかもしれません。同社が再発防止を行い、このような事案を起こさない体制を作られることを私も望みます。

（参考記事）
【用語集】個人情報の定義は何ですか？どこまで含まれるのですか？
https://www.optima-solutions.co.jp/dictionary/kojin_joho/

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2023年07月06日

社労士向けクラウド「社労夢」がサービス再開～情報流出はなかったらしい～

（画像は同社のWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

社労士向けクラウドサービス「社労夢」が不正アクセスを受け、サービスが停止していた件に関して、同システムを運営しているエムケイシステム（本社：大阪市）は、サービス停止から約1か月の7月3日付で、一部サービスを再開すると発表しました。

このサービスは、国内の勤労者800万人以上（とその家族）の個人情報、給与支給情報、マイナンバーなどを管理する、国内有数の規模であり、その動向が心配されていました。

同社では、最低限の情報しか公表していないため、依然として全容がつかめていませんが、同社としては
・従来の環境ではなく、AWS（Amazonクラウド）上でシステムを構築した。
・サービス再開にあたり、セキュリティ面の強化を実施した。
・個人情報流出の痕跡は発見されていない。
・マイナンバーは、他の社労夢製品とは切り離した別環境で完全に暗号化されている。
と説明しており、情報流出はなかった模様です。

エムケイシステム社リリース
https://www.mks.jp/company/topics/20220703a

（以前の記事）
https://www.pmarknews.info/accident/52173171.html
https://www.pmarknews.info/accident/52173440.html

（私のコメント）
当初「1000万人マイナンバーが危機にさらされているのかも知れない」と、大きな危惧を持って注目手してきたこの事件ですが、今のところ収束に向かって動いているようです。ただし、同社の情報公開が不十分であることは変わりなく、同社にはどこかのタイミングでしっかりと外部に説明していただきたいと思います。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

2023年06月20日

社労士向けクラウド「社労夢」不正アクセス事件の続報～1000万人マイナンバーは無事と弁明～

（画像は同社のWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

6月5日に、社労士向けクラウドサービス「社労夢」が不正アクセスを受け、サービスが停止してから既に2週間が経過しました。このサービスは、国内の勤労者800万人以上（とその家族）の個人情報、給与支給情報、マイナンバーなどを管理する、国内有数の規模を誇っていました。

しかし、本サービスを運営しているエムケイシステム（本社：大阪市）は、6月9日を最後に、Webサイト上で事件に関する情報を公開していません。

2023-06-20_14h13_01

顧客である社労士に対してはもう少し詳細な事情説明を行っているようで、Twitterなどではそれらの情報がちらほら見えますが、我々部外者には分からないことです。

驚いたことには、日経新聞の6月13日の記事によると、同社は記者の取材要請に対して「サイバー攻撃に関する問い合わせは受けない」と回答したそうです。

また、東京新聞が6月15日に「マイナンバー800万人分を扱う社労士支援システムにサイバー攻撃…情報集約とひも付けのリスクを考える」とのタイトルの記事で本事件に触れたことに対して、同社は「東京新聞に掲載された記事について」とのリリースをWebサイトに掲載。その中で「同記事は事実に基づかない全くの憶測にすぎず、（中略）東京新聞の発行元に抗議し、事実と異なる点につきまして訂正するように要請すべく、弁護士に相談している」と反発する姿勢を見せています。

ただし、その同じリリース文において、同社はようやく正式にマイナンバーの取扱いについて弁明を行いました。それによると「当社がお客様からお預かりしているマイナンバーは、他の社労夢製品とは切り離した環境で完全に暗号化されており、流用や悪用はできない仕組みとなっております。（中略）現時点では情報流出の事実は確認しておりません」としています。

同社の強硬な態度を見ると、マイナンバーの流出はないのかなあと推測できます。
（今のところはそういう風に理解するしかないのではないかと思います）

日経新聞の記事
https://www.nikkei.com/article/DGXZQOUF134VE0T10C23A6000000/

東京新聞の記事
https://www.tokyo-np.co.jp/article/256708

エムケイシステムの反論リリース
https://www.mks.jp/company/topics/20230616
（相変わらずWebサイトは重いままです）

（以前の記事）
https://www.pmarknews.info/accident/52173171.html

（私のコメント）
同社のWebサイトによると、「社労夢」は全国2754か所の社労士事務所で採用されており、約57万の顧問先事業所の826万人分のデータを取り扱っているとのことです。これを基に、家族分を含めれば、およそ1,000万人分以上のマイナンバーが含まれているのではないかと私は推測しています。

しかし、これまでのところ、エムケイシステムの対応は遅く、情報開示も十分にはされていないため、憶測が憶測を呼び、混乱を招いていると言わざるを得ません。
「もしかして1000万人分のマイナンバーが流出しているから何も言えないのかなあ」
「6月22日に株主総会があるからそれまでは公表しないのかなあ」
「国会のマイナンバー審議に影響があるから黙っているのかなあ」
「岸田首相はこの事実を知っているから解散しないと言い出したのかなあ」など、
もちろんこれらはどれも憶測に過ぎませんが、情報を隠すからこそ、このような状況になるのだと思います。

また、全国の社労士事務所、そしてその顧問先に与える影響は私の予想を超えるものだと思います。社会保険関係の手続きが急に紙ベースに戻り、標準報酬月額の見直しと労働保険の申告という年に一度のイベントを乗り切れるのか、不安に感じている関係者も多いことでしょう。

さらに、PPCへの事故報告やプライバシーマーク審査機関への事故報告をどうするのか、事故報告したくても情報がないため詳細不明のまま出すしかないというような状況も生じています。私たちの会社でも、複数のお客様から問い合わせを受けて対応しています。

私自身、過去18年間にわたり、国内の個人情報流出事件を綿密に追ってきましたが、これほど混乱と不透明性が伴う事件は初めてです。情報開示が極めて少なく、対応が不十分であると感じています。

とにかく、同社からの続報を待つことにしたいです。

繰り返しになりますが、私としては、大事件に発展せず、早急に解決されることを願っております。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

2023年06月13日

社労士向けクラウド「社労夢」が不正アクセスを受けサービス全面障害～1000万人マイナンバーは無事か？～

社労士向けクラウド「社労夢」が不正アクセスを受けサービス全面停止～1000万人マイナンバーは無事か？～

（画像は同社のWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

社労士向けクラウドサービス「社労夢」などを展開する株式会社エムケイシステム（本社：大阪市）は、同社が利用しているサーバーに不正アクセスがあり、サーバー上のデータが暗号化され、サーバーが動作を停止したと6月6日に発表しました。

今回、被害が発生したのは、
　・社労夢V3.4
　・社労夢V5.0
　・社労夢Company Edition
　・ネットde顧問
　・MYNABOX
　・MYNABOX CL
　・ネットde事務組合
　・DirectHR
であり、同社の主要サービスがほぼ全面停止したと言ってよいのではないかと思われます。

その後、同社が公表した内容によると、
6月5日早朝　データセンター上のサーバーがダウン
　　　　　　外部専門家の協力の上、調査を開始
　　　　　　インターネット回線を切断
　　　　　　対策本部を設置
　　　　　　警察への通報を実施
6月8日　　　個人情報保護委員会への報告（速報）
と、緊急対応を続けているようです。

同社ではバックアップしていたデータを復旧させることにより、一部のサービスの復旧を進めているとのことですが、6月12日現在、主要サービスの全面復旧には至っていないようです。

https://www.mks.jp/company/

（私のコメント）

同社のWebサイトによると、「社労夢」は全国2754か所の社労士事務所で採用されており、約57万の顧問先事業所の826万人分のデータを取り扱っているとしています。家族分を含めれば、およそ1,000万人分以上のマイナンバーが含まれている可能性があります。情報漏えいの可能性は現時点では確認されていないとのことですが、万が一の場合、被害は甚大となることが懸念されます。

なお、今回の事態については、現段階では詳細は不明ではありながらも、不正アクセスによる被害とされていますので、個人情報保護委員会（PPC）への「報告対象事態」に当たる可能性が高いと思われます。そのため、多くの社労士事務所ならびに顧問先事業所が、PPCへの事故報告を行ったか、またはその準備をしているものと思われます。

ただし、一件の事件に関して、全国2754か所の社労士事務所と、57万社の顧問先事業所から個別に報告が行われたとしても、PPCがすべてに対応することは困難であり、かえって混乱を招く恐れもあると思います。今回は大元のエムケイシステム社がすでに報告していることもあり、各事業者からのPPCへの報告は現段階では見送ってもいいのではないかと思います（これはあくまでも私の個人的意見です）。ただし、それとは別に本人通知は行う必要があると思います。

とにかく、もう少し詳細が明らかになれば、PPCへの報告ならびに本人通知の必要性や内容の検討などを行えるようになると思います。同社からの続報を待ちたいと思います。

私としては、大事件に発展せず、早急に解決されることを願っております。

（6月17日追記）
同社は東京新聞への抗議のリリースの中で、マイナンバーの流出の可能性はないと公表しました。もっと早く教えて欲しいですね。

https://www.mks.jp/company/topics/20230616

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

2023年06月06日

個人情報保護委員会がChatGPTに関する注意喚起を公表

皆さんこんにちは。
プライバシーザムライ中康二です。

昨年末、人工知能チャットボット「ChatGPT」が、彗星のように現れ、
またたく間に1億人のユーザーを獲得しました。

その登場は大いなる衝撃をもたらし、
私たちの生活を一変させる可能性を秘めています。

しかし、ChatGPTは地球最大規模のデータベースであり、
あたかも巨大な一つの人格のように機能します。

ChatGPTに情報を学習させた場合に、それがどのように利用され、
保存され、公表されるかなど、多くの不明な点が存在します。

悪意を持った人が不正確な情報をChatGPTに学習させたり、
私的な情報を公開させると、あたかも大規模なゴシップのデータベースに
変わる危険性もあります。

このような背景を考慮し、日本の個人情報保護委員会（PPC）は、
ChatGPTを利用する日本の個人情報取扱事業者、行政機関、利用者、
そして、ChatGPTの開発元である米国のOpenAI社に対して、
個人情報保護法の趣旨に基づいた注意喚起を公表しました。

注意喚起の主要なポイントを以下に要約します。

（１）個人情報取扱事業者と行政機関への注意喚起

生成 AI サービスへの個人情報の入力は必要最小限に抑え、
その利用が特定目的の範囲内であることを確認すること。

本人の同意無しに個人情報を入力し、それが他の目的で利用される場合、
個人情報保護法違反に問われる可能性があること。

そのような場合には、その個人情報を生成 AI サービス事業者が
機械学習に使用しないことを十分に確認すること。

（２）一般の利用者への注意喚起

生成 AI サービスは、入力された個人情報が保存されて機械学習に
利用されることがあり、それが正確または不正確な形で出力される
リスクがあることを認識して利用すること。

一見正しいように見えて、不正確な個人情報を出力するリスク
があることを認識して利用すること

サービス提供者の利用規約やプライバシーポリシーを確認し、
情報入力とサービス利用の判断を行うべきであること。

（３）OpenAI社への注意喚起

本人の同意を得ずに、利用者または利用者以外の配慮個人情報を取得しないこと。
-機械学習に使用する場合には、要配慮個人情報を収集しないように、
または収集した場合でも学習用データセットにそれに含まれないように取り組むこと。
-機械学習に使用しない場合でも、要配慮個人情報は正当な理由なく取り扱わないこと。

個人情報の利用目的について、日本語で通知または公表すること

https://www.ppc.go.jp/news/press/2023/230602kouhou/

（私のコメント）

ChatGPTは世界各国のプライバシー当局が注目しており、
日本のPPCも迅速に対応しています。

皆さんもこれを参考に、ChatGPTをより安全に、
そして有意義に利用していただければと思います。

（なお、この記事も私が書き下ろした後、ChatGPTに推敲させました）

この内容が皆さんにとって何かの参考になればと思います。

また、何か情報が入りましたら、皆様にシェアいたしますね。

2023年04月11日

PPCが顔識別機能付き監視カメラの運用に関する文書を発表

（画像は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

先日、個人情報保護委員会（PPC）が
顔識別機能付き監視カメラの利用に関する文書を発表しました。

この文書は、近年の顔識別技術の進化に伴って普及している
防犯目的の顔識別機能付き監視カメラのシステムについて、
個人情報保護法の観点から対応すべきポイントを明らかにするものです。

この文書は民間の個人情報取扱事業者を対象としており、
行政機関や警察組織による同様のシステム、
また商用目的のマーケティングシステムは対象外となっています。

この文書には、「しなければならない（違法となる）」こと、
「努めなければならない（法律上の努力義務）」こと、
そして「望ましい（違法とまではならない）」ことが記されています。

ここでは、「しなければならない」ことをいくつか紹介します。

利用目的の特定（犯罪予防、行方不明者捜索、テロ防止、万引き防止など）

利用目的の通知・公表（Webサイトへの掲載など）

カメラでの撮影が容易に認識可能とするための措置（隠し撮りは不正取得になる）

利用目的の達成に必要な範囲内での識別

人の生命、身体又は財産の保護などの目的のため、本人の同意を得ることなく第三者に提供する場合の判断基準

保有個人データの開示等の求めへの対応（原則は開示対応。開示しない場合には一定の基準に基づく判断が必要）

個人データの漏えい等が生じた場合の個人情報保護委員会への報告

顔識別機能を使用することで、
カメラ映像が単なる個人情報から個人データに変わるため、
これまでよりも一段上の対応が必要になるということです。

犯罪予防や安全確保のための
顔識別機能付きカメラシステムの利用について
（個人情報保護委員会）
https://www.ppc.go.jp/files/pdf/kaoshikibetsu_camera_system.pdf

「カメラ画像利活用ガイドブックver3.0」を策定しました
（経済産業省・商用目的に適用）
https://www.meti.go.jp/press/2021/03/20220330001/20220330001.html

（私のコメント）
今や、コンビニエンスストアなどで、万引き前歴がある人を登録し、
同じ系列のどの店舗に入ってもすぐに識別できるようなシステムを
構築することが可能となっています（実際にやっているかどうかは未確認です）。

今回の文書が指針となり、顔認証カメラシステムの適切な利用が
進むことは望ましいことだと考えます。

皆さんにも、何かの参考になる情報があれば幸いです。

今後も新しい情報が入り次第、皆さんにお知らせいたします。
どうぞお楽しみに。

2023年01月12日

【続々報】破産者情報公開サイトに対し、個人情報保護委員会が刑事告発

（画像は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会（PPC）は、官報などに掲載された破産者の個人情報を、地図上にマッピングして一覧できるようにしているWebサイトに対して、個人情報保護法違反が認められるとして、サービス提供の即時停止に関する「勧告」「命令」を行ったものの、それが実行されていないとして、刑事告発を行ったと1月11日に発表しました。

PPCによる「勧告」「命令」とは、個人情報保護法第145条に基づく行為であり、個人情報取扱事業者に対して、特定の内容を行うことを指示する段階的な行為です。これに対して、居所不詳の運営者は一切対応せず、Webサイトの運営を続けたことから、個人情報保護法の罰則規定に基づいてPPCが刑事告発したということのようです。

このWebサイトを運営しているサイトには、「このウェブサイトの運営は海外で行われており、現地の法律が適用されます」などと記載されていますが、改正個人情報保護法第166条では、日本に住んでいる人の情報を取り扱う場合には、外国において取り扱ったとしても日本の個人情報保護法を適用するとの域外適用の規定があり、そのような言い訳は通用しないと考えるべきです。

https://www.ppc.go.jp/news/press/2023/230111/

「勧告」時の記事
https://www.pmarknews.info/kojin_joho_hogo_ho/52161055.html

「命令」時の記事
https://www.pmarknews.info/kojin_joho_hogo_ho/52164899.html

（私のコメント）
インターネットが登場して以来、
「海外のWebサーバーを利用しているから違法ではない」
「匿名ネットワークを介しているから発信者はばれない」
「ビットコインで決済するから匿名で換金できる」
というようなことがまかり通ってきたのは事実です。

今回のPPCの取り組みは、そういうインターネットの負の側面に光を当てる結果となるのかどうか、今後も注目してきたいです。

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

2022年11月04日

【続報】破産者情報公開サイトに対し、個人情報保護委員会が提供停止の命令～刑事告発の段階へ～

（画像は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会（PPC）は、官報などに掲載された破産者の個人情報を、地図上にマッピングして一覧できるようにしているWebサイトに対して、個人情報保護法違反が認められるとして、サービス提供の即時停止を「勧告」したところ、勧告が実施されていないため、次の段階である「命令」を行ったと、11月2日に発表しました。

個人情報保護委員会による「命令」とは、個人情報保護法第145条2項に基づく行為であり、個人情報取扱事業者に対して、特定の内容を行うように命令する行為です。個人情報取扱事業者が一つ前の段階の「勧告」に従わず、個人の重大な権利利益の侵害が切迫していると認識されたため「命令」が行われたようです。

このまま命令にも従われなかった場合には、第173条の罰則規定に基づき、1年以下の懲役または100万円以下の罰金の対象となり、個人情報保護委員会は、刑事告発の準備を進めているとしています。

なお、このWebサイトを運営しているサイトには、「このウェブサイトの運営は海外で行われており、現地の法律が適用されます」などと記載されていますが、改正個人情報保護法第166条では、日本に住んでいる人の情報を取り扱う場合には、外国において取り扱ったとしても日本の個人情報保護法を適用するとの域外適用の規定があり、今回の個人情報保護委員会の対応はこの規定を適用したものと思われます。

https://www.ppc.go.jp/news/press/2022/221102-1/

「勧告」時の記事
https://www.pmarknews.info/kojin_joho_hogo_ho/52161055.html

（私のコメント）
社会的に許されないと考えられる行為が発生し、当初はそれに対応した法律がなく、放置されている。それに対応するべく法律が改正され、それに基づく規制が当局によって適用されていく。

もちろん、こういうことは社会の様々な局面で過去からずっと続いてきていると思いますが、個人情報保護法は新しい法律でもあり、そういう状況をリアルタイムでウォッチでき、興味深いなあと思っております。

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

2022年07月22日

破産者情報公開サイトに対し、個人情報保護委員会が提供停止の勧告～第19条初適用か～

（画像は個人情報保護委員会Webサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

個人情報保護委員会（PPC）は、官報などに掲載された破産者の個人情報を、地図上にマッピングして一覧できるようにしているWebサイトに対して、個人情報保護法違反が認められるとして、7月20日に、サービス提供の即時停止を勧告しました。

個人情報保護委員会による「勧告」とは、個人情報保護法第145条に基づく行為であり、個人情報取扱事業者に対して、特定の内容を行うように強く指示することです。個人情報取扱事業者が勧告に従わなかった場合には、次の段階の「命令」を行うことになります。命令にも従わなかった場合には、第173条の罰則規定に基づき、1年以下の懲役または100万円以下の罰金の対象となります（刑事罰となりますので、当局による取り調べ、逮捕拘留などののち、裁判にかけられることになると思われます）

今回、適法性が問われているのは
個人情報保護法第19条（不適正な利用の禁止）
個人情報保護法第21条1項（取得に際しての利用目的の通知等）
個人情報保護法第21条1項（第三者提供の制限）
とのことです。

特に、第19条の不適正な利用の禁止は、2022年4月施行の改正法で追加された内容で、今回が初の適用事例にあたるのではないかと思われます。

（不適正な利用の禁止）
第十九条　個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

「違法又は不当な行為」とは、「個人情報保護法やその他の法令に違反する行為だけではなく、直ちに違法とはいえないものの、個人情報保護法やその他の法令の制度趣旨又は公序良俗に反するなど、社会通念上適正とは認められない行為をいう」とされ、今回の第19条は細かな規定によるのではなく、ざっくりと網をかけるように「不適正な利用」を禁止する内容となっています。

さらに、個人情報保護法ガイドライン通則編では、不適正な利用の例として、今回のような方法で個人情報を公開することを例示し、その違法性を直接的に説明しています。

【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例2）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合

それにも関わらず、今回また同じような方法により破産者の情報を公開するWebサイトが現れたことに対して、個人情報保護委員会としては、厳しく対応する方針のようです。

なお、今回のWebサイトには海外のサーバーを利用していると記載されており、運営者も海外にいる、または運営者の居住地が分からないのではないかと思われます。そのため、個人情報保護法第160条に新設された「公示送達」の規定を利用したとのことです。

https://www.ppc.go.jp/news/press/2022/220720/

（私のコメント）
2019年ごろから、官報に掲載された破産者情報を地図上にマッピングして一覧できるようにするWebサイトが作成され、そのたびにネットユーザーの非難にあって炎上したり、個人情報保護委員会が指導したりして停止に追い込まれるということを繰り返してきています。

今回問題となっているサイトは、過去10年以上の自己破産者（数百万人程度と思われます）の情報を掲載し、削除希望する場合には、6万円分のビットコインを送金するようにと記載しています。一種の「恐喝」に近い方法で運営されており、社会的に見ても全く許されない行為だと思います。

サイトには「このウェブサイトの運営は海外で行われており、現地の法律が適用されます」などと記載されていますが、改正個人情報保護法第166条では、日本に住んでいる人の情報を取り扱う場合には、外国において取り扱ったとしても日本の個人情報保護法を適用するとの域外適用の規定があります。今のようなことは許される行為ではなく、このままいくと運営者は処罰を免れないと考えられます。

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

2022年06月24日

昨年度の個人情報漏えいの報告件数は5,846件で増加傾向～個人情報保護委員会・年次報告まとまる～

皆さんこんにちは。
プライバシーザムライ中康二です。
（オプティマ・ソリューションズ株式会社・代表取締役）　

日本の個人情報保護の総元締めである個人情報保護委員会（PPC）が、6月10日に昨年度の年次報告を公開しました。

その内容によると、昨年度の一年間で国内の民間事業者が起こした個人情報の漏えい事件の報告件数が5,846件となり、一年前の4,141件から増加したとのことです。

このうち、委員会に直接報告されたのが1,042件、監督官庁を経由しての報告が2,386件、認定個人情報保護団体を経由しての報告が2,418件とのこと。

これに対して、報告の徴収を実施したのが329件、立ち入り検査を行ったのが4件。

その結果として、指導及び助言を行ったのが217件、法的に強制力を持つ勧告を行ったのが3件、さらに厳しい命令を行ったのが1件となっています。この命令の1件は官報に掲載された破産者のデータを集約してインターネット上で公開していたWebサイトに対するもので、勧告を行ったのに従われなかったために実施したものとのことです。

年次報告
https://www.ppc.go.jp/aboutus/report/

実施した命令の詳細
https://www.ppc.go.jp/files/pdf/220323_houdou.pdf

個人情報の漏えい等の報告フォーム
https://www.ppc.go.jp/personalinfo/legal/leakAction/

（私のコメント）
個人情報の漏えいに関する報告は、4月1日の改正法の施行により、全ての民間事業者の義務となりました。ですから、今後はさらに数字が増えていくものと思われます。また、認定個人情報保護団体を経由しての報告は廃止されますので、皆様ご注意ください。

しかし、年間予算39億円で、よくここまでの活動が継続されているものだと思います。本当に政策の運営というのはお金の問題ではないのだと思います。今後も個人情報保護委員会のリーダーシップの下、私も日本の個人情報保護の取り組みに協力していきたいと考えています。

皆さんにとってこの情報が参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

↑このページのトップヘ