個人情報漏洩に関する法制度の動向

1. デジタル・ネットワークと情報漏洩
1-1. デジタル・ネットワークと個人情報
1-2. 個人情報漏洩
1-3. 3つのアプローチ

2016.11.28.
小向 太郎 Taro KOMUKAI, Ph.D.
日本大学 危機管理学部 教授

2. 個人情報漏洩に関する法制度
2-1. 日本
2-2. 米国
2-3. EUと英国
3. 制度の比較と課題
3-1. 制度比較
3-2. 法的アプローチの位置付け
3-3. 情報漏洩に関する制度の課題
0

IFIP TC9 Human Choice and Computers Conference（2016）

http://hcc12.net
1

1. デジタル・ネットワークと情報漏洩

2

1-1. デジタル・ネットワークと個人情報

出典︓小向太郎『情報法入門（第3版）デジタル・ネットワークの法律』NTT出版（2015）3

1-2. 個人情報漏洩• ベネッセ‒ 業務委託先元社員が、約3,504万件分の情報を名簿業者3社へ売却‒ 名前、性別、生年月日、郵便番号、住所、電話番号、出産予定日、メールアドレス• 日本年金機構‒ 外部から送付された 不審メールに起因する不正アクセスにより、個人情報 (約 125 万件) が外部に流出‒ 基礎年金番号、氏名、生年月日、住所

4

ベネッセと日本年金機構
ベネッセ

日本年金機構セキュ 入退室管理、監視カメラ、ワイヤー オフラインの基幹系システムでのリティ ロックによる施錠、持ち出し 管理、メール・アクセスログの体制
禁止、認証IDパスワードの定期 採取
更新、端末設定の変更禁止、外部ストレージの制御等問題点 モニタリングとアラートの不足、2010年以降LANシステムに書き出し制御のバグ、きめ細かな コピー（アクセス制限のないデータ
アクセス権限管理の不足
約55万件）、モニタリング、対応指針、決定権者の不在
特記事 「具体的なリスクと想定した上 「情報セキュリティアドバイザ
項での、二重、三重の対策を講じる には、統括情報セキュリティ責任者といった徹底的な体制までは構築 が所属する部署内の、情報セキュできていなかった」「社内の人間 リティスペシャリスト等の資格をが悪意を持って大量の個人情報 有する職員1名が任命されていたを持ち出すことはあり得ないと が、この職員は役員や管理職などのいう意識を持っていた可能性が 判断件者に対して率直に進言できる高い」
ような職位にはなかった」
5

1-3. 3つのアプローチ

アプローチ

概要

①被害者救済• 損害賠償請求︓不法行為責任、法定の補償等②安全確保• 情報セキュリティ義務︓安全管理措置義務③被害把握• データ侵害通知︓監督機関、本人への通知

6

2. 個人情報漏洩に関する法制度7

2-1. 日本

情報漏洩に対する補償

不法行為責任（民法709条、710条、715条）

安全管理措置義務

個人情報取扱事業者の義務（個人情報保護法20条）

データ侵害通知

情報漏洩に関する報告の推奨（内閣︓個人情報の保護に関する基本方針）

8

我が国における係争事例
事件

宇治市住民票データ流出事件（最決平14.7.11）

事案概要
データの処理を委託していた事業者の再々委託先のアルバイトが、名簿業者に販売、インターネット上に流出問題とされた点

損害賠償再委託を安易に承認、再委託先との間で原告一人当たり秘密保持の取決めなし、慰謝料10,000円
作業が終了しなかったおよび弁護士費用だけで安易に社外での5,000円
作業を承諾し管理上（民法第715条）
特段の措置を取った形跡がない等情報（件数）

京都府宇治市の住民基本台帳データ（約21万件）

Yahoo!BB顧客情報流出事件（最決平19.12.14）

ISPの業務委託先から派遣されて顧客 リモートアクセスの危険性を考えれば、データベースのアクセス管理等のメンテナンスを企業として果たすべき行っていた者が、管理義務が十分業務終了後にリモートアクセスし、 果たされていない顧客情報を取得

原告一人あたり慰謝料5,000円
および弁護士費用1,000円（民法709条、710条）

ISPサービスの加入者の個人情報（合計約1,100万）

TBCアンケート
情報流出事件（東京高判平19.8.28）

サーバのメンテナンス
時に、インターネットに接続されている情報の性質からもサーバに、アクセス 精神的苦痛が大きい
制限のない状態で保存

慰謝料30,000円
および弁護士費用
5,000円（民法715条）

エステティックサロンのアンケート回答

出典︓小向太郎『情報法入門（第3版）デジタル・ネットワークの法律』NTT出版（2015）9法執行の動向
主務大臣による法執行の動向
Fiscal year
Reports
requiring(Article 32)
Advice(Article 33)
Recommendations(Article 34)20052006

2007

2008

2009

2010

2011

2012

2013

2014

8760

83

28

1815

168

2

300

1000

1

1001

400

200001（出典）消費者庁「「個人情報の保護に関する法律施行状況の概要」（平成17年〜26年）

10

情報漏洩に関する政府への報告「二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係等を公表することが重要（個人情報の保護に関する基本方針）」
年度
件数

2005 2006 2007 2008 2009 2010 2011 2012 2013 2014
1,556893 848 538 490 413 420 319 366 338
出典︓消費者庁「個人情報の保護に関する法律施行状況の概要」（平成17〜２６年年度）

11

2-2. 米国

情報漏洩に対する補償

不法行為責任（コモン・ロー）

安全管理措置義務

不公正または欺瞞的な行為または実務の禁止（FTC法5条）

データ侵害通知

司法長官への報告と情報の開示（各州法、最初の制定はカリフォルニア州）

12

米国におけるハッキングによる大規模漏洩
日時
April 27,2011

企業・団体名Sony PlayStation
Network (PSN),
Sony Online
Entertainment(SOE)

December13, 2013

TargetMay 21,2014

eBay

August 28,
2014

JP Morgan Chase

February 5, Anthem
2015

業種
ゲーム販売

漏洩した情報
漏洩件数
氏名、住所、性別、emailアドレス、 約10,160万件
生年月日、ログインネームとパス (1,200万件のワード、電話番号、オンラインID、 暗号化されない
購買履歴、請求先住所、秘密の質問、クレジット
クレジットカードおよび銀行の カード番号）
アカウント
流通
氏名、クレジット・デビットカード 約4,000万件番号、有効期限、セキュリティ(最大11,000
コード万件とも報じられる)
約14,500万件
ネット
emailアドレス、暗号化された
オークション パスワード、生年月日、住所（ファイナンシャルデータ、ペイパルのデータベースは漏洩していない）
金融保険
氏名、住所、電話番号、email
約7,600万件
アドレス、 (金融情報や銀行口座情報にはアクセスされていない）
金融保険

氏名、生年月日、医療ID、社会保障 約8,000万件
番号、住所、emailアドレス、雇用および収入の情報13

情報セキュリティに関するFTCの法執行例

1

対象者
日付
WyndhamWorldwide Corp.
06/26/2012

2

Cbr Systems, Inc.
05/03/2013

3

HTC America
07/02/2013

4

TENDnet02/07/2014

5

Fandango, LLC
Credit Karma
08/19/2014

6

GMR Transcription
Services, Inc.
08/21/2014

問題とされた行為

エンフォースメント

ホテルチェーンが、情報システムの違反行為の差止、被害者救済のための金銭的セキュリティ・ホールを放置したため、 賠償、訴訟費用の支払等（司法法的措置数百万ドルの詐欺による損失を生じた他、 →係争中）
ペイメントカード情報がロシアドメインのサイトに流出した
大手臍帯血バンクが、自社システムに包括的な情報セキュリティプログラムをおいて適切な情報セキュリティ対策を実施し、第三者によるセキュリティ・アセス取らなかったことで、SSNやクレジット メントを2年ごとに今後20年間行うこと等
カード、センシティブな健康情報等を（行政的措置）
危険にさらした
モバイル端末の脆弱性に対処せずに出荷 セキュリティパッチの開発・提供、セキュしたリティプログラムの実施、今後20年間の年次第三者評価実施等（行政的措置）
家庭用遠隔モニターカメラのシステムの セキュリティに関する事実隠蔽の禁止、セキュリティが不十分で、インターネット 顧客への情報提供の実施、包括的な情報上でモニタ画面が公開された
セキュリティプログラムの実施、第三者によるセキュリティ・アセスメント（2年毎20年間）等（行政的措置）提供するモバイルアプリが、保護手段を 包括的な情報セキュリティプログラムの講じずにクレジットカード情報やSSNを 実施、第三者によるセキュリティ・アセス晒していた送信しており、第三者に取得 メント（2年毎20年間）等（行政的措置）される危険に晒していた
医療情報のトランスクリプト会社が、消費者のセキュリティとプライバシーに委託先企業のセキュリティ対策が不十分 関する保護状況についての公表、包括的なだったために、顧客の医療履歴や検査情報セキュリティプログラムの実施、第三者結果等の情報がインターネット上に公開 によるセキュリティ・アセスメント（2年された毎20年間）等（行政的措置）

小向太郎「米国FTCの消費者プライバシーに関する法執行の動向」
堀部政男編著『情報通信法制の論点分析』商事法務別冊NBLNo.153(2015年)

14

データ侵害通知に対する評価• 2012年に167件の侵害（500人超）が報告• 具体的な犯罪を想定したペイメント・カード情報等への攻撃が過半• 被害を防ぐ事後対策の重要性を強調

出典︓Kamala D. Harris, California Data Breach Report 2014.
15

2-3. 英国

情報漏洩に対する補償補償を受ける権利（データ保護法13条）

安全管理措置義務

個人データは公正に適法に処理されなければならない（第１原則）
適切な技術的および組織的な方法が取られなければならない（第７原則）

刑事罰

個人データの不正な取得と提供は処罰および押収命令の対象

データ侵害通知監督機関と情報主体への通知（EU一般データ保護規則）
通信および医療分野におけるデータ侵害通知義務
16

データセキュリティに関するインシデントの動向（英国）

Source: ICO, Data security incident trends,
https://ico.org.uk/action-weve-taken/data-security-incident-trends/17

英国の情報漏洩事例
時期
2007
2008
2011

2012

企業・団体名HM Revenue& Customs
T-MobileSony
ComputerEntertainment Europe
LimitedThink W3
Limited

業種
政府機関

漏洩情報
児童手当の記録

電気通信

顧客情報

ゲーム会社

原因件数
CD-ROMの紛失 約2,500万件

営業員がデータブローカーに売却
氏名、住所、 email ハッキング
アドレス、生年月日、パスワード、ペイメントカード情報

数百万件
最大300万件

オンライン旅行 クレジットカード、 ハッキング
1,163,996件
代理店デビットカードの(SQLインジェク
記録ション攻撃)2014

Mumsnet

子育てネットワーク

ユーザ・アカウント ハッキング

2015

Moonpig

オンライン販売 顧客登録情報

ハッキング

約15０万件

約300万件This chart was made with information from the case list of the ICO,
https://ico.org.uk/action-weve-taken/enforcement/

18

3. 制度の比較と課題

19

3-1. 制度比較

種類

日本

米国

英国

①被害者への補償

不法行為責任︓
民法710、715
条等

不法行為責任︓
コモンロー（クラスアクションあり）

データ管理者の違反等への補償︓
データ保護法13条②データ
安全管理措置
セキュリティ 義務︓個人情報義務保護法20条等

不公正または欺瞞的な行為または実務の禁止︓
FTC法第5条

技術および組織上の安全管理措置義務︓第7原則

本人等への通知・公表、司法長官への報告の推奨(特別法、基本方針) 報告︓加州データ
侵害通知法等（監督機関、本人への通知︓EU一般データ保護規則案）③データ侵害通知

203-2. 法的アプローチの位置付け• データ侵害通知は二次被害の防止に一定の効果が認められる• 拡散防止や透明性確保にも有効かどうかを評価する必要がある

出典︓Kaori Ishii and Taro Komukai, Comparative Legal Study on Data Breach among Japan,
the U.S., and the U.K., 12th IFIP TC9 Human Choice and Computers Conference（2016）.

21

3-3. 情報漏洩に関する制度の課題• 二種類のリスク‒ 情報の流通による心理的または潜在的リスク︓英国、日本‒ 漏洩情報を利用した犯罪による現実的リスク︓米国• 被害を減らすために求められる取り組み‒ 個人情報を利用して行われる犯罪行為の防止における漏洩に関する情報の利用‒ 個人情報の取得・利用・提供に関する透明性の向上‒ データ侵害通知を促進させるような制度設計（過度な負担の回避、モチベーション等） 等

22