顧客をないがしろにした過剰な法律順守
個人情報保護法が今年4月に完全施行されて、ちょうど3カ月が経過した。役所、企業、学校、病院、商店など、あらゆる場所で対応が始まっている。ところが、その取り組みたるや、ややもすると形式主義に陥り、施行以前には想定していなかったような事態を引き起こしている。
例えば、JR西日本福知山線で起きた列車脱線事故で、負傷者が担ぎこまれた病院(28病院のうち10病院)が、安否を問い合わせた家族などに対し、負傷者の氏名の開示を拒否するという事態が起こった。これは法律で「個人情報取扱事業者(病院)は第三者に本人(負傷者)の同意なく個人データを提供してはならない」と定めているからで、これを理由に病院側は情報公開を拒絶したのである。
実は、同法23条の例外規定で「人の生命、身体または財産の保護のために必要であり、本人の同意を得ることが困難なときは、同意がなくても第三者に提供できる」とも記されている。一時の混乱が止んでそのことを知った病院側は、ようやく問い合わせに対応し始めた。しかし、家族からの安否確認に対する拒絶が起きた事実は、多くの専門家や関係者にショックを与えた。組織が法律を順守するあまり、顧客に不条理なまでの不便を強いるといった、本末転倒の構図を生み出している。
こうしたことが起きた背景には、「個人情報保護法」という行政が主導して作った法律が、いまだに現場で働く人たちに十分に理解されていない現実がある。法律が使用者責任、つまり経営者側の責任を重く課しているため、ともかく対応に漏れがあってはならないと、従業員に「建前だけ」「文字面だけ」──言い換えれば「形だけ」の教育をした結果ともいえる。
最近は、大手企業で社員に個人情報保護に関する「試験」を実施しているようだが、社員にはおおむね不評のようだ。多くの人が「試験が終われば内容はすっかり忘れる」と筆者の取材に答えている。
具体的な手続きの前に、個人情報保護法の立法趣旨があるはずだ。法律の精神をきちんと理解していれば、現場は柔軟に対応できるのだが、そうした教育が行われているところは、筆者が知る限りごく少数である。個人情報保護は一時の“詰め込み型教育”で解決する問題ではない。教育に数多くの工夫が必要なのである。
無防備のまま放置された情報漏えい対策
一方、むしろ過剰に、神経質に取り組まなければならないのに、職場で無防備のまま放置されている問題がある。それは「情報漏えい」の問題である。
個人情報保護法は、個人のデータの取り扱いに関して、情報漏えいを起こさないために、「安全管理措置」(第20条)、「従業員の監督」(第21条)、「委託先の監督」(第22条)を定めている。これらは各省庁のガイドラインで最も多くのページが割かれている部分だ。しかし実際に法律を読めば分かるが、条文は数行の記述にとどまっているにすぎない。あとは業界の慣行、会社の業務内容、社風に即して「現場」が自ら知恵を絞ってこの部分を補強する必要がある。
日常業務の中で起こりがちな過失や事故に対して「どうすれば防げるのか」を職場の中で議論し、積み上げていく。その繰り返しを通じて社員を次第に啓発していくような教育でなければ成果は上がらない。残念ながら「通り一遍の講師の話を聞いておしまい」という会社や団体が多いのが実情だ。
個人情報保護法の完全施行後も一向に減らない個人情報漏えい事件を見ても分かるとおり、情報漏えいが起こる原因は複雑化し、問題が多岐にわたっている。情報技術のめまぐるしい変化に呼応して、新たな情報犯罪の手口が続々と生まれている。情報漏えい対策の教育は、最新の事例に即して普遍的な教訓を抜き出し、会社の業務に照らし合わせながら自分たちで落とし込み方を考える作業が欠かせないのである。
日経BP社2005年7月4日
Link