文化施設や観光施設のコロナ対策と個人情報保護

先日の「美術館はコロナ感染リスクが低いのでは」
という記事に関連して、美術手帖のサイトで
各美術館の再開状況と感染防止対策を確かめて
みました（5月の記事なので少し古い）。

マスク着用義務化や検温の実施、入場制限など
ありますが、「連絡先の記入」をさせている
美術館がいくつかあることに気づきました。
氏名・住所・電話番号といった個人情報を
受付で書かせているようです。
これらの個人情報は客やスタッフの誰かが
感染したことが分かったときに連絡を取る
ために収集しているものと推測されます。
調べてみると、美術館だけでなく一部の
観光施設でも同じくコロナ対策を理由に
個人情報を収集し始めているようです。

ただ、気になるのは各施設で個人情報の
管理を適切に行っているかどうかです。
施設が個人情報を収集する際に何をしなければ
いけないか、個人情報保護委員会が発行する
「個人情報保護ハンドブック」で調べました。

①個人情報の利用目的をできる限り特定し、
　利用目的を公表または本人に通知する。
　※言わなくても利用目的が明らかなら
　　通知不要だが、ここではたぶん必要。

②取得した個人情報は利用目的の範囲内で
　利用し、目的外利用は本人の同意が必要。
　※コロナの場合は同意なき目的外利用や
　　第三者への提供も許されることがあるが
　　①を怠ってもよいというわけではない。

③取得した個人情報は、利用の必要が
　なくなったらすぐ消去するよう努める。
　※もし利用目的がコロナ感染者への連絡で
　　あれば、潜伏期間2週間＋検査に辿り着く
　　までの日数＋施設に陽性を連絡するまでの
　　日数＋施設から他利用者へ連絡する日数で
　　保持期間はせいぜい2ヶ月でよいのでは。
　　半年以内に消去なら開示請求対応も不要。

④取得した個人情報は漏洩等を起こさないよう
　安全管理のため必要かつ適切な措置を講じる。
　業者や委託先にも安全管理を徹底。
　例えば体制整備、個人情報取扱規則に従った
　運用と取扱状況の把握、従業員教育、
　盗難や不正アクセスの防止など。
　※小規模事業者は緩やかな対応で構わない
　　ようだが、上記の例程度は必要かと。

⑤本人の同意なく、取得した個人情報を
　第三者に提供してはならない。
　第三者提供時には提供日と提供相手、
　誰の何の情報であるかを記録して3年保存。

⑥個人情報の取扱いに関する苦情には
　適切・迅速に対応するよう努める。
　苦情申出先も公表するか、問合せがあった
　時にすぐ答えられるようにしておく。

⑦個人情報が漏洩したら「内部報告と被害
　拡大防止」「事実関係の調査と原因究明」
　「影響範囲の特定」「再発防止策の検討・
　実施」「本人への連絡等」「事実関係や
　再発防止策の公表」が必要。

なお、地方自治体の場合はそれぞれ個人情報
保護条例を定め、条例に沿って業務を行って
いるとのことです。住民の個人情報を使った
業務は多岐にわたると思うので①にある
利用目的の本人への通知などはいちいち
行わないでしょうが、漏洩禁止などは
条例で定めているものと思われます。
学術研究機関の学術研究目的だと適用除外に
なったりもしますが、学術研究機関が運営する
施設であっても展示公開は学術研究目的とは
言えないので除外にはならないでしょう。

さて、これらの個人情報保護のための対応を
しなければならないことを全ての施設が
把握し、適切に実施しているかどうか。
利用目的をきちんと客に知らせているか。
一定期間が過ぎた個人情報は適切に廃棄
しているか（シュレッダーにも掛けず
そのままゴミに出すのは勿論アウト）。
名簿を他の客や来訪者に見えるところに
放置したり、カギも掛けずに受付に
置いたまま席を外していないか。

勿論しっかりしてる施設もあるでしょうが、
中には個人情報保護に関する知識が不十分
にもかかわらず、コロナだからと深く考えず
個人情報を収集し、いい加減な取扱いを
している施設もありそうで心配です。
コロナ対策も大事ですが、コロナが理由なら
何をやってもいいわけではありませんし、
「知らない」で通るものでもありません。
もし個人情報を収集するのであれば
第三者に漏れないよう適切に保護すべき
だと思いますし、それができないなら
安易に収集しない方がいいと思います。
（収集していない施設も多くあり、
収集しなければ営業できないという
法律があるわけではありません）

マスク着用と入館時のアルコール消毒さえ
すれば感染リスクがほぼない施設の場合は
むしろ個人情報漏洩リスクの方が高いという
こともあるので、それであれば個人情報を
収集しない方がリスク回避になります。

美術館よりも観光施設の方が気になります。
美術館は研究者とのやり取りなど以前から
利用者の個人情報を収集する機会があった
はずですので、個人情報保護のための対応を
把握して措置を行ってきているところが
多いのではないかと思われます。
しかし、今まで利用客の個人情報をほとんど
扱ってこなかったような観光施設の場合、
個人情報保護という概念があることも
よく分かっておらず適切に管理できていない
という事例もあるかもしれません。

経験上、一番あり得そうなのが
名簿のずさんな管理かなと思います。
寺社に行くと記帳を受け付けていることが
あり、ノートみたいなもの（といっても
和風の冊子体）に住所や氏名を書きます。
観光施設でも行っていることがあり、私も
数年前に同様の記帳をしたことがあります。
宗教施設が宗教活動目的で個人情報を収集
するのは個人情報保護法適用外ですし、
寺社の場合は書きたい人だけ書けばいい
ケースがほとんどなので問題になりません。
しかし、同様の記帳方式で観光施設が客に
個人情報を提供させると問題があります。
前の客が書いた個人情報が次の客に見られる
＝第三者への個人情報漏洩になるからです。
名簿を複数の客で共有せず、客単位または
グループごとに記入票を提出させる方式で
あっても、1つのバインダーに綴じて
他の客が紙をめくって見ることができれば
やはり適切に保護されていないと言えます。

以前なら本当に悪意のある客がいなければ
トラブルに繋がりにくかったでしょうが、
コロナが絡むと義憤を暴走させるというか
近頃の「他県ナンバー狩り」問題のように
「自分では正義だと信じ込んで正しくない
行動をする人」がいることに注意です。
例えば、感染者数が多いと見られている
東京都新宿区に住んでいる人（感染者は
新宿区の勤務者が多くて居住者は少ないの
かもしれませんが印象として）が訪問して
もし正直に住所を書いたら、次に来た客が
前の客の住所を見て「新宿区民が観光に
来るなどけしからん」と個人情報を記憶し
ネットに晒すトラブルもあり得るのです。
晒した犯人を探すのは手間が掛かるので
被害者はまず個人情報を犯人に漏洩した
施設に苦情を言うでしょう。
最悪施設を訴えることも考えられますし、
施設が個人情報を漏洩したという失態は
犯人がネットに晒した時点で社会に知られ
対応を迫られたりマイナスイメージを
持たれたりしますので、個人情報を
適切に取り扱えないのに収集するのは
施設側にもリスクがあると思います。
（連絡するにしても電話でしょうけど
住所の収集は意味あるんでしょうか…
客以外でも従業員も晒そうと思えば
晒せるし、リスクしかないような…
それとも施設も他県狩りやるの？）

「個人情報を書かなきゃ施設入場を断る」
と言われたら、個人情報がずさんに管理
されているのを分かっていても客側も
個人情報の提供を拒否しづらいものです。
そうすると、客は自衛策として偽名など
不正確な情報を書くようになります。
連絡先が正しくないと、いざ必要が生じて
連絡しようという時に連絡が取れません。
つまり個人情報の利用目的を果たせなく
なり、収集する意味がなくなります。

もしコロナを機に安易に個人情報収集を
始めてしまった施設があったら、その
個人情報がないと本当に支障があるのか、
自分たちは個人情報を漏洩させることなく
適切に管理できるのかを一度再考すべき
だと思いますが、それでも必要があると
判断して個人情報を収集するのであれば、
客に対して個人情報を適切に管理している
ことを示した方が客側も安心できますし、
施設側も正しい連絡先を入手できて
お互いにとってよいと思うのです。

施設が客の個人情報を収集しなくても
感染情報を客側が取りに行ける仕組みが
できればいいと思うんですがねえ…。
施設が感染情報を公表してしまえば
手っ取り早いですが、全対象施設が
公表すると感染者の行動歴が丸分かりで
特定されやすくなる問題がありますかね。
とりあえずはCOCOA導入くらいですが、
これも不具合があるとか感染者が登録
しないとかしたくてもできなかったとか
問題が報告されてますし、ガラケーだと
そもそも利用不可なのでどうなんでしょう。