インターネット上でのパーソナルデータ流通におけるダメージのコントロールに関する基礎的研究
代表研究者 橋本誠 志

徳島文理大学総合政策学部

1 はじめに2015 年 9 月 3 日に成立した個人情報保護法改正では，① 個人情報保護委員会の新設に伴う権限の一元化，②個人情報の第三者提供に関するトレーサビリティの確保，③不正な利益を図る目的での個人情報データベース等提供罪の新設，④国境を越えた適用に関する規定の整備等が盛り込まれた．次に問題となるのは実際に発生したダメージのコントロールである．本研究では，インターネット上で流通するパーソナルデータへの攻撃発生やデータ流出インシデントが発生した際に消費者/企業が受けるダメー
ジのミクロレベルにおけるコントロールを行う上でデータの流通速度と手続のスピードに圧倒的差異があることに鑑み，手続実施中の情報の二次流通による被害を軽減するために紛争解決制度が果たすべき役割と機関設置例として電子債権記録機関のケースを検討する．

2 ダメージ・コントロールにおける紛争解決制度の役割
2-1 ダメージ・コントロールの概念

ダメージ・コントロールは一般的には物理的攻撃・衝撃を受けた際に発生した被害を必要最小限に抑えるための事後処置のことを指す．軍事分野では「応急防御」とも呼ばれ「戦闘によりあるいは不慮の災害に際会して船体に被害を生じた場合，即応して当面の修復を行い，艦艇の戦闘力を持続し，その発揮を期する業務を謂い，防火，防水，破壊物処理などを為す行為」（雨倉 2015, 9-10 ページ)と説明される．また，医療, 特に救急医学の分野では救命を目的とした外傷治療戦略を指し，①蘇生を目的とした初回手術，②全身の安定化を図るための集中治療，そして③修復・再建手術の 3 要素からなる(救急医学会)．このようにダメージ・コントロールでは生じたインシデントが原因となる損害の本格的な復旧（回復）の前段階として被った損害の拡大を防ぎ，状況の鎮静化を目的とすることがわかる．また，ダメージ・コントロールの原理的理解としての目的をシステム上の技術的予算制約の状況下でのシステムの効率性と安全性のバランスを最適化することに求める考え方も示されている(市丸)．
今日，企業等の組織におけるダメージ・コントロールでは不祥事の発生や e ディスカバリに伴う訴訟リスクに対してその意識が向けられている（寺本・青柳 2013）(BLJ2013,15-40 ページ)．また，今日の情報化社会において企業等の組織から個人情報等の重要情報が流出する事例は日常的に発生している．今日の情報流出事案の特徴の一つに流出する情報量の大量化がある．自然とそれらのインシデントが企業等の組織にもたらす影響はインシデントが発生した当該企業そのもののみならずデータ主体，従業員，取引先そして株主のようなステークホルダーに対しても広範囲にかつ長期にわたって及ぶものとなる．このようなことからダメージ・コントロールは 2014 年度の第 18 回「サイバー犯罪に関する白浜シンポジウム」においてもその全体テーマとして取り上げられた（白浜 2014）（佐藤 2014）．
今日，サイバー攻撃は取得したい情報にアクセス権を有する者（担当者）を狙うことが一般的となっている．そこで各企業単位では，ダメージ・コントロールを速やかに行う準備として①第三者の自社情報システムに対する侵入の早期発見，②人間が触れるデバイスやネットワーク機器の監視（特にログの監視），そして取得した異常に関する情報の相関分析をその軸として位置づける．このような手法はSIEM(Security Information and Event Management)と呼ばれ，SOC(Security Operation Center)の構築や MSS(Managed Security Service)の活用も並行する。第三者による自社情報システムへの侵入を発見した後は CSIRT(Computer Security Incident Response Team)により専門的に行われることが多い 1（デロイトトーマツ）．また，災害時の光ネットワークの通信要求に対するレジリエンシーによるダメージ・コントロールの実現を志向する技術も研究されている(NICT)．
上述のようにダメージ・コントロールは医療分野における症例，軍事分野，そして組織分野におけるインシデント対応における場合のように社会において今日，広く行われるようになっている．そこでは，社会を構成する各活動主体に個別に発生するダメージの抑制がその視野に置かれている．一方で情報流出に関するインシデント対応におけるダメージのコントロールは紛争解決制度との関連性が深くなっ

1（公財）電気通信普及財団 研究調査助成報告書 No.31 2016

ている 2．
2-2 ダメージ・コントロールと紛争解決制度
個人データ流出発生のインシデントに限定した場合，裁判所で行われる司法手続としての紛争解決制
度だけでなく，ADR やシール・プログラム，保険商品，上述した CSIRT のような企業の取組み，そしてこれらに携わる人材育成を担う教育機関の存在等インシデント収拾に資する民間部門が提供する諸制度も含めるとそれらの相互関係は図 1 のように整理される．つまり，もっとも強制力の強い紛争解決制度である司法手続はその実現に長時間がかかる．その一方でこれを補完する多様な制度が相互に断絶しておりその連携が十分とは言い難い状況であった．

図1 わが国の個人情報保護関連各制度の時系列別・部門別分類（出所：橋本誠志『電子的個人データ保護の方法』信山社,2007 年,109 ページ)
前述した訴訟手続の長期化に関する最新動向として例えば，2014 年 7 月に発覚したベネッセ・コーポレーションで発生した個人情報流出事件における民事提訴では 2015 年 1 月 29 日に被害者の会が第 1次提訴を行い，2015 年 9 月現在で第 5 次訴訟までが東京地裁に提訴され，2015 年 5 月 7 日に第 1 次～第 3 次訴訟が訴訟併合されている 3．ベネッセ個人情報漏洩事件被害者の会 HP では，参加原告数が多数にのぼることが想定されること，そしてこれにより訴訟手続に時間を要することが述べられている 4（ベネッセ）．
データ流出事案に限ったことではないが，公害問題等も含め被害者が多数にのぼる訴訟では被害の追加発覚が長期間において見られ，これを解決する訴訟手続は追加提訴と併合が続くことから，手続終結に要する期間はかなりの長期化が見られることになる．2015 年 5 月 28 日には日本年金機構に対するウィルスメールによる不正アクセスに伴う個人情報流出が判明（日本年金機構）した．データ流出事案におけるダメージのコントロールは個々のインシデントや組織単位のみならず，社会全体にもたらす影響が大きくなっている．これに対応するためにはデータ流出の発生直後から司法手続が終結するまでの間の複次被害発生を抑制し，司法手続を補完する言わばマクロ的視点から見たダメージ・コントロールに資する制度が必要となる（橋本 2007) ．そこで，本論ではダメージ・コントロールについてデータ保護に関する法執行に着目する．

3 データ流出におけるマクロ的ダメージ・コントロールの実現と実施体制の設計に向けて
3-1 データ保護をめぐる法執行の態度

法は一般的に地域性を持った規範であり，その国の立地や土地の特性，人々の置かれた自然環境，宗教等の多くの要素の影響を受けて各国で内容を異にする．プライバシー保護のための立法も同様である．
プライバシー保護のあり方をめぐってアメリカとヨーロッパとではその考え方が根本的に異なり，この差異が衝突を起こしている．つまり，アメリカはこれまで個別分野規制を重視した個別立法とオプト・アウトを好み，ヨーロッパでは包括型立法とオプトインが好まれてきた．法違反に対する制裁のあり方についても，アメリカでは自主規制が重視されるアメリカでは FTC による提訴が好んで用いられ，ヨーロッパでは法違反の責任をより直接的に問うことが好まれてきた．宮下はこの差異について優劣の問題ではなく，アメリカとヨーロッパが持つプライバシーに関する文化が法制度に影響していると指摘している（宮下 2015,113 ページ）
．つまり，個人の自由を重視するアメリカではプライバシー権の価値も政府からの個人の自由と考えるため，ヨーロッパ型の包括的な規制は政府が規制に失敗したためにこれが個人の自由を侵害するパターナリスティックな規制と捉える(宮下 2015,115 ページ)5．

2（公財）電気通信普及財団 研究調査助成報告書 No.31 2016

本論は紛争解決制度をその主たる考察対象とするため，特にその法執行について注目するとプライバ
シー保護をめぐる法執行について見てみるとアメリカでは禁止事項を消極的義務として列挙して，事後的に個別に司法手続を用いて違反事案を処理する法執行が好まれてきたとされる．この方式はアメリカが個人情報流通を自由なプロセスの中に置くことを重視してきたことと技術進歩がプライバシーにもたらす脅威に対して柔軟に提供することが目的とされる(宮下 2015,115 ページ)．その一方で，個別事案の解決を重視するアメリカ型のプライバシー保護制度は法執行の技量が属人性に頼らざるを得ない不安定なものとなりがちであるという特性がある．この点を補充してきたのが FTC の存在であるとされる．ポリシーによる自主規制を FTC が監視し，積極的に司法手続を活用してきたことで FTC による提訴とそれに対する判断基準がコモン・ローとして成長をしてきたことが指摘されている（宮下2015,118-119 ページ）．
一方でデータ保護を人権として扱ってきたヨーロッパでの法執行は一般の行政権から独立した権限を有する監督機関が積極的義務を行政や事業者に課すことで安定的な制度として定着してきたとされる．特に独立性が求められた理由として①データ保護分野では侵害が可視化されにくく，②侵害の対応自体に専門技術的知識が必要となる点，③民事訴訟等の既存の法執行方法では救済を求める主張者が情報の非対称性により立証に必要な資料が入手しにくくなり，権利が実行されない結果となってしまう点，④侵害防止に関するデータ保護の法規範形成に長期間を要する点，そして⑤事業分野別のセクトラルな規律がデータ保護の権利としての予測可能性保障が不十分である点等が強調される（宮下2015,122-123 ページ）
．しかし，独立権限を有する監督者による法執行方式もコミッショナーの置かれた政治的状況とそれに基づく判断，さらには財政事情によりその法執行が影響を受けることが指摘されている（宮下 2015,124 ページ）．
データ保護をめぐるアメリカとヨーロッパの上記のような法執行をめぐる概念の差について実際に発生したダメージについて，司法解決がなされるまでの抑制という観点から見た場合，やはりこれも優劣が存在するものではなく，ヨーロッパ型の厳格な制裁による法執行によってもインシデントの発生をゼロにすることはできない．その意味では技術進歩がプライバシーにもたらす脅威に柔軟に対応できる体制を考えることは意味あることであろう．
3-2 個人情報保護法改正による対応
上記の点につき，2015 年 9 月 3 日に成立 6した「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律」では個人情報保護委員会の新設に伴う権限の一元化の他に本稿の問題意識であるマクロ的視点からのダメージ・コントロールの観点からは(1)個人情報の第三者提供に関するトレーサビリティの確保，(2)不正な利益を図る目的での個人情報データベース等提供罪の新設，(3)国境を越えた適用に関する規定の整備等が盛り込まれた（個人情報保護法改正）．特に個人情報保護委員会はこれまでわが国に存在しなかった一般の行政庁から独立した権限を持つ監督機関である．所掌事務としては①基本方針の策定と推進，②個人情報及び匿名加工情報の取り扱いに関する監督並びに苦情の申し出についての必要なあっせん及びその処理を行う事業者への協力，③認定個人情報保護団体に関する業務，④特定個人情報の取り扱いに関する監督並びに苦情の申し出についての必要なあっせん及びその処理を行う事業者への協力，⑤特定個人情報保護
評価，⑥個人情報の保護及び適正かつ効果的な活用についての広報及び啓発，⑦調査・研究，⑧国際協力，⑨その他である．
その前身で 2014 年に設置された特定個人情報保護委員会は内閣府外局の第三者機関として位置付けられてきた．寺田らは特定個人情報保護委員会について，その行政委員会としての法的位置付けと展望について分析している（寺田・板倉 2015a）．行政委員会はその特徴として，①職権行使の独立性を有し，②上位組織の存在に関わらず，具体的な職権行使について当該上位機関の指揮監督を受けず，③委員の身分保障があり，そして④準司法的機能と準立法的機能を有することが挙げられる（寺田・板倉
2015a,1 ページ）
．寺田らによれば，歴史的に行政委員会は現憲法下での民主化の一環として導入されてきたもののその独立性と行政上の組織効率性，そして事務局による専制への懸念と言った問題の間でその位置付けが模索されてきたとされる（寺田・板倉 2015a,1 ページ）
．特定個人情報保護委員会の役割としては，以下が謳われている（特定個人情報保護委員会）．
①国民の信頼を得るための特定個人情報保護評価，② 特定個人情報の適正な取扱いを確保するための監視・監督③ 多様な観点からの検討と分かりやすい情報発信④ 国際的な動向を視野に入れた取組⑤ 高い専門性を維持するための多様な人材の活用と育成

3（公財）電気通信普及財団 研究調査助成報告書 No.31 2016

特に上記のうち，④については「経済・社会活動のグローバル化に対応するため、国際協力関係の構築を視野に海外の個人情報保護機関との情報共有に努め」，「また，諸外国の制度・執行に関する調査・研究に取り組」むことが強調されている．更に⑤については「職務の遂行に当たって、職員の多様な専門性や知見を活用するとともに、法制度・執行・国際連携等各分野の専門性を高めるための人材の育成に取り組」むとされている．特定個人情報委員会は内閣府設置法 49 条を根拠とし，その大きな特徴の一つとして寺田らは特定個人情報保護委員会が通常の行政組織の新設原則である「スクラップ・アンド・ビルド」の例外として他の行政組織を減ずることなく新設された点を指摘している（寺田・板倉2015a，3 ページ）
．特定個人情報保護委員会から個人情報委員会への改組に際し，2014 年 6 月のパーソナルデータに関する検討会による「制度改正大綱」での第三者機関性については以下の点が盛り込まれた．
①国際的な整合性確保②パーソナルデータの保護と利活用のバランスの調和③現行個人情報保護法での主務大臣が有する機能・権限と立ち入り検査等の機能・権限を併せ持ち，民間部門の自主規制ルールの認定とパーソナルデータの越境移転対応（特に相手国のプライバシー保護水準の適合性認証）④事業者による法令違反に際して，開示等の求めについての請求権に関する規律の制定
2014 年 12 月の個人情報保護法改正骨子案では特定個人情報保護委員会の改組として個人情報保護委員会の設置と個人情報保護委員会の権限として現行の主務大臣が有する報告徴収，命令，認定個人情報保護団体認定権限に加え、立入検査権限が盛り込まれた．更に個人情報保護委員会が個人情報保護指針の作成に関与するものとして，認定個人情報保護団体による個人情報保護指針作成時に個人情報保護委員会への届け出と委員会による当該指針の公表の義務付けが盛り込まれた．また，個人情報保護委員会が当該指針の変更等を命じることができるとしている．個人情報保護法改正法は 2016 年 1 月 1 日に改正法 1 条が施行される予定でこの時点では個人情報保護委員会の権限は①基本指針策定や広報啓発活動に限定される．監督権限の移行は個人情報保護法改正法 2 条の施行（公布から 2 年以内・附則 1 条柱書）とされる．
寺田らは個人情報保護委員会の今後について，争訟の処理は裁判所の担当とする方向であることについて独立性の強い行政委員会としての位置付けである以上、不服申立て等の処理権限を付与する必要性を指摘する（寺田・板倉 2015a,6 ページ）．
本委員会の新設によりこれまでの主務官庁制では業界毎に監督権限が分散していたところが，本委員会の新設により監督権限 7が一元化することが期待されている．また，前述したようにこれまでのわが国の個人情報保護関連制度は制度間の連携という意識が十分ではなかったように思われる．この点につき，本改正により人材育成を含めた制度間の連携という意識が生まれることが期待される．
3-3 データ流出におけるマクロ的ダメージ・コントロールの実施体制と参考制度―電子債権記録機関に着目して－筆者はこれまでの研究においてネットワーク上で自動的に執行できる被害拡散を防止する初動的措置を盛り込んだ電子的自力執行アプローチによる被害拡散防止型の個人データ保護制度について構想してきた(橋本 2007)．これは国家権力による正式な被害救済手続である司法手続の発動までのダメージ・コントロールを重視した制度スキームである．本提案では個人データの流通状況と電子的自力救済の実行状況を同時に管理する公的機関の設置による個人データ流通管理機構を提案した．データ流出のように瞬時に大量の被害者が発生し，特定の技術水準に依拠した解決手法では司法手続がその役割を十分に果たしえないような事案において司法手続を補完するマクロ的視点から見たダメージ・コントロー
ルに資する制度に期待される役割は大きい．ヨーロッパで独立権限を持つ監督機関が必要とされる理由の一つに侵害の可視化への対応と専門技術的知識の存在が指摘されている点は上述の通りである．それと同時にこのような制度を実現する上では法学・技術双方のバックボーンを持つ人材をバランス良く確保し，公正な判断による手続的正義が確保されなければならない（夏井 2005,49-51 ページ)8．
個人情報保護委員会の設置が決定した状況で個人情報保護委員会に司法手続が発動するまでの時間帯のダメージを抑制するための機能まで持たせるべきかについては，個人情報保護委員会の有するリソースにも配慮しなければならない．例えば（宮下 2015, 124 ページ)ではアイルランドではリソース（マンパワー並びに予算）不足でコミッショナーがその調査権限を十分に行使できなかったことが紹介されている．個人情報保護委員会の構成は委員長と委員 8 名で構成されるものとされ，その他に専門事項調査のための専門委員を置くことができるとされている（個人情報保護法改正）．しかし，データ流出は4（公財）電気通信普及財団 研究調査助成報告書 No.31 2016

一度のインシデントで影響を受ける被害者数が膨大になる．そのダメージ・コントロールのすべてを個人情報委員会に委ねることも現実的ではないと思われる．
(橋本 2007）は，個人データの流通状況と電子的自力救済の実行状況を同時に管理する公的機関の設置による個人データ流通管理機構の設計を提言している．この機関のあり方について，(橋本 2007)では，裁判所にその監督権限を持たせることとしているが，個人情報保護委員会の設置に際してその準司法的機能と準立法的機能への期待を強調する方向に進めば，その有する専門技術的知識からは当該機関の監督権限を個人情報保護委員会に持たせることはその実効性の観点から評価されるとも考えられる．その際，日々大量に流通し，権利性を有する情報について，その流通状況を管理する機能を持った公的機関とその監督をめぐるスキームとしては現在，電子債権記録機関が実際に運用されており，参考イメージとなりうる．一般社団法人全国銀行協会が設立した電子債権記録機関は「でんさいネット」と呼ばれる．
「でんさいネット」では，主務官庁の監督を受けた電子債権記録機関（でんさいネット）が，記録原簿を備え，利用者の請求にもとづき電子記録や債権内容の開示を行なうこととなっている．
電子記録債権法では電子債権記録機関は株式会社であることを要求（電子記録債権法 51 条 1 号）し，その監督は主務大臣制を採用している．電子債権記録機関の監督について以下の点が整備されている（法務省)9．また，電子債権記録機関の清算,破産，再生，更生，承認援助手続時に主務大臣に対し意見を求め，又は検査若しくは調査を依頼することができ(同法 85 条 1 項）
，主務大臣は必要があると認めるときは，裁判所に対して意見を述べることができる(同法 85 条 2 項）．
①電子債権記録機関の安定的・継続的な業務運営等を図るため，主務大臣が申請を受け，財産的基盤や適切な業務遂行能力を有する株式会社を，電子債権記録業を行う者として指定 (電子記録債権法 51条，52 条）②電子債権記録機関の公正性・中立性の確保や，他の事業からのリスクの遮断等の観点から，電子債権記録機関の兼業を禁止（同法 57 条）③業務の適切かつ確実な遂行を図るための報告徴求，立入検査，業務改善命令や，電子債権記録機関が破綻した場合の業務移転命令など，所要の検査・監督規定を整備（同法 67 条 76 条，78 条 82 条）
電子債権記録機関は，当該電子債権記録機関を利用する者の保護に欠けることのないように業務を営まなければならないとされる（同法 60 条）．また，特定の者に対する不当な差別的取扱が禁止されている（同法 61 条）．更に電子債権記録機関の民事責任については，同法 11 条，14 条において，以下によって第三者に損害が生じた場合には電子記録債権機関は無過失を証明しなければ損害賠償責任を負うこととされる．
①虚偽の電子記録を行った②無権代理人や他人になりすました者の請求に基いて電子記録を行った
2013 年 7 月 31 日現在で電子債権記録機関は 4 機関存在している（金融庁 2013)．ダメージ・コント
ロール機能を備えたパーソナル・データ流通制度を構想する上でダメージ・コントロール機能を担う機関を 1 機関のみとするのか複数機関を認めるのかについては，実際のデータ流通状況のチェックを担う機関が 1 機関のみとしてしまうと所謂ビッグ・ブラザーの懸念が生じる．これを回避するためには複数の機関の設置に視野が広がると思われる．その際，大量の情報のトレース管理を担う電子債権記録機関の監督枠組みは参考になると思われる．

4

おわりに
本稿では，データ流出のような瞬時に大量の被害者が発生しうる事案において司法手続を補完するマクロ的視点から見たダメージ・コントロール型制度の必要性を指摘した．そして，個人情報保護法改正により独立権限を有する個人情報保護委員会が設置されることになったことを受け，情報流出インシデントが発生した際の応急措置を担う機関形態の設計について，電子債権記録機関の制度スキームに着目した．筆者は総合的なダメージ・コントロール型の情報保護政策パッケージを研究・構想している．今後の検討課題としてはダメージ・コントロールを強調した総合的政策パッケージとするためには司法機関から民間部門まで幅広い主体により実施されている紛争解決制度をダメージ・コントロールの視点でどのように連携させるかについて本助成終了後も更に分析を進めたい．

【参考文献】(雨倉 2015)雨倉孝之『海軍ダメージ・コントロール物語』潮書房光人社,2015 年
5（公財）電気通信普及財団 研究調査助成報告書 No.31 2016

(板倉・寺田 2015a) 板倉陽一郎・寺田麻佑「再考：個人情報保護法における「開示等の求め」の裁判上の請求権性」『情報処理学会研究報告』(情報処理学会)Vol.2015-EIP-67,No.2,2015 年,1-6 ページ(板倉・寺田 2015b）板倉陽一郎・寺田麻佑「個人情報保護法改正案及び民法（債権法）改正案の利用規約およびプライバシーポリシーにおける個人情報取扱条項への影響」『情報処理学会研究報告』(情報処理学会)Vol.2015-EIP-68,No.14,2015 年,1-6 ページ(市丸)市丸博之「東日本大震災とダメージコントロール論～続「「はやぶさの帰還」あるいは「ダメージコ ン ト ロ ー ル 」」」『 InfoCOM ニ ュ ー ズ レ タ ー 』 No.268( 情 報 通 信 総 合 研 究 所 ,2011)
http://www.icr.co.jp/newsletter/report_tands/2011/s2011TS268_4.html (2016.6.19 確認）(伊東 2012)伊東 寛『「第 5 の戦場」サイバー戦の脅威』翔伝社,2012 年(伊東 2015)伊東 寛『サイバーインテリジェンス』翔伝社,2015 年(佐藤他 2015)佐藤慶浩，高崎晴夫，中村 徹，村田 潔，折田明子「プライバシーフレンドリーな社会に向けて（座談会）」『情報処理学会デジタルプラクティス』（情報処理学会）Vol.6,No.1,2015 年,43-52
ページ(寺田・板倉 2015a)寺田麻佑・板倉陽一郎「行政委員会としての特定個人情報保護委員会－その法的位置付けと展望－」『情報処理学会研究報告』（情報処理学会）Vol.2015-EIP-68,No.8,2015 年,1-7 ページ(寺田・板倉 2015b) 寺田麻佑・板倉陽一郎「行政委員会としての特定個人情報保護委員会－各国における 同 種 機 関 と の 比 較 を 中 心 に － 」『 情 報 処 理 学 会 研 究 報 告 』（ 情 報 処 理 学 会 ）Vol.2015-EIP-69,No.8,2015 年,1-7 ページ(寺本・青柳 2013)寺本正宏著，青柳まさみ編『日本企業のディスカバリ対策 世界と対等に戦うためのe ディスカバリの正しい手順 ~カルテル・PL 訴訟・特許訴訟・米国民事訴訟・国際訴訟~ 』グローバ
ルトライ,2013 年(中村他 2015)中村 徹,渡辺 龍，清本晋作，高崎晴夫，三宅 優「Privacy-First の実践に向けて－
PPM(Privacy Policy Manager)の開発と実証－」『情報処理学会デジタルプラクティス』（情報処理学会）Vol.6,No.1,2015 年,13-20 ページ(夏井 2005）夏井高人「手続的正義―情報社会における社会構造の変化と正義の維持―」『法とコンピュータ』（法とコンピュータ学会）No.23,2005 年,49-51 ページ(NICT) 耐災害 ICT 研究センター「光ネットワークのレジリエンシー向上に向けた取組」情報通信研究
機 構 『 平 成 26 年 度 情 報 通 信 研 究 機 構 年 報 』 ( 情 報 通 信 研 究 機 構 ,2014)pp.99-100
http://www.nict.go.jp/publication/shuppan/nenpou/nenpou_26/03-11-01.pdf (2016.6.19 確認）(橋本 2007)橋本誠志『電子的個人データ保護の方法』信山社,2007 年(宮下 2015)宮下 紘『プライバシー権の復権－自由と尊厳の衝突』中央大学出版部,2015 年(BLJ2013)「特集 不祥事発生後のダメージ・コントロール」『BUSINESS LAW JOUNAL』(レクシスネクシス）No.68,2013 年,15-40 ページ(救急医学会)
日本救急医学会HP
http://www.jaam.jp/html/dictionary/dictionary/word/1119.htm(2015.8.26 確認)(金融庁 2013)金融庁「電子債権記録機関一覧」http://www.fsa.go.jp/menkyo/menkyoj/denshisaiken.pdf（2015.9.2 確認)( 金 融 庁 2015) 金 融 庁 「 事 務 ガ イ ド ラ イ ン 第 三 分 冊 金 融 会 社 関 係 」
http://www.fsa.go.jp/common/law/guide/kaisya/index.html （2015.9.2 確認)(個人情報保護法改正)内閣官房「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番 号の利用等に関す る法律の一部を改 正する法律案」の 概要
http://www.cas.go.jp/jp/houan/150310/siryou1.pdf (2015.8.30 確認)(特定個人情報保護委員会)特定個人情報保護委員会「特定個人情報保護委員会の組織理念 ～マイナンバーの適正な取扱いのために～」http://www.ppc.go.jp/files/pdf/soshikirinen.pdf （2017.8.31 確認)(日本年金機構)日本年金機構『不正アクセスによる情報流出事案に関する調査結果報告』日本年金機
構,2015 年 http://www.nenkin.go.jp/n/data/info/kuUK4cuR6MEN2.pdf (2015.9.9 確認)(法務省）法務省「電子記録債権法の概要」http://www.moj.go.jp/MINJI/minji07_00115.html(2015.9.2 確認)

6（公財）電気通信普及財団 研究調査助成報告書 No.31 2016

(佐藤 2014)佐藤慶浩「ダメージコントロールにおいて SIEM が担うべき役割の重要性」（第 18 回サイバ ー 犯 罪 に 関 す る 白 浜 シ ン ポ ジ ウ ム 講 演 資 料 ）http://yosihiro.com/speech/presenter/2014-05-24/data/resources/2014-05-24.pdf (2015.8.31 確認)(白浜 2014)第 18 回サイバー犯罪に関する白浜シンポジウム http://www.riis.or.jp/symposium18/(2015.8.31 確認）( ベ ネ ッ セ )ベ ネ ッ セ 個 人 情 報 漏 洩 事 件 被 害 者 の 会 http://www.benesse-saiban.com/pc/index.html(2015.9.1 確認)(デロイトトーマツ)森島直人「被害後のダメージコントロールの切り札，3 つの分類で理解する CSIRT
構 築 の 方 法 － サ イ バ ー セ キ ュ リ テ ィ セ ミ ナ ー レ ポ ー ト 」
http://www2.deloitte.com/content/dam/Deloitte/jp/Documents/technology/cyb/jp-cyb-ar-csirt.pdf(2015.8.31 確認)（でんさいネット)https://www.densai.net/ （2015.9.1 確認)（注）
1. プライバシー侵害のリスクを低減するためにシステム開発時点で事前にプライバシー対策を組み込み、企画から保守に至るシステムライフサイクル全体でプライバシーを考慮するアプローチは”Privacy by Design”と呼ばれる．その中でも特にプライバシー権の尊重を第一とする”Privacy First”のアプローチによりパーソナ
ルデータ流通基盤を開発した近時の取組みとして例えば(中村他 2015)等を参照．
2. サイバー攻撃のインテリジェンスの観点からの対応については（伊東 2012），（伊東 2015）等を参照。
3. 本訴訟では原告 1 人あたりの請求額を 55,000 円とし，本稿執筆時点までに公表されている第 1 次～第 4次提訴までの請求額総額は第 1 次提訴 98,395,000 円（原告数 1789 名），第 2 次提訴 96,305，000 円（原告数 1751 名），第 3 次提訴 275,000,000 円（原告数 5000 名），第 4 次提訴 56,045,000 円（原告数 1019 名）である（ベネッセ）．
4. （ベネッセ）によれば，2015 年 7 月の 1 次訴訟第 2 回口頭弁論では被告らは、原告らが本件被害者であることの判断のため、ID 番号記載の通知書の提出を求める求釈明の申立を行い，原告らは、提出可能な ID 番号につき，これを提示し、被告らが保有する被害者情報との照合を行うことになった．
5. プライバシーのパターナリスティックな保護をめぐる日本人の態度について高崎は海外では権利を自ら勝ち取る意識が強い一方、日本人はパターナリズムな保護を好むとして，日本独自の文化を考慮したアプローチの必要性を指摘する（佐藤他 2015,46-47 ページ)．
6. 個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律案」は 2015 年 3 月 10 日に国会に提出され，2015 年 5 月 21 日に衆議院本会議で可決された．このうち，個人情報保護法改正案部分は 2015 年 8 月 28 日に参議院で可決された．一方で行政手続における特定の個人を識別するための番号の利用等に関する法律の改正案部分は 2015 年
8 月 28 日に参議院で修正を受けたため，2015 年 9 月 3 日に修正部分について衆議院で可決されたことをもって成立した．
7. 特定個人情報保護委員会の機能と役割につき，イギリス、アメリカ、フランス、ドイツの各国の同種機関との比較を行った本稿執筆時点での直近のものとして（寺田・板倉 2015b)等を参照．
8. この点，特に技術面でのフォローアップについて，例えば(伊東 2012,226-228 ページ)ではトレースバック技術の研究の可能性に言及している．同著ではトレースバック技術そのものを実装するためには法制上（主としてウィルス作成罪や憲法との整合性）の課題が存在すると伊東は指摘する．
9. 電子債権記録機関の監督上の評価項目については(金融庁 2015)を参照．

〈発題名「インターネット上でのパーソナルデータ流通におけるダメージのコントロールに関する基礎的研究－実施機関の関係性を中心に－」表資料〉

掲載誌・学会名等
同志社政策科学研究 20 周年記念特別号

発表年月2016 年 2 月

7（公財）電気通信普及財団 研究調査助成報告書 No.31 2016