個人情報の保護対策

最近、大きな話題になった個人情報漏洩事件があった。筆者の愚息が20年ぐらい前に通信教育を受けていた時の個人情報が漏洩したらしい。

企業からの発表が、その後誤っていることが後日判明すると、さらに大きな問題となる。そのため、発表に当たっては、慎重かつ誠実に対応することが必要となる。漏洩した個人情報の数だけでなく、氏名・住所以外にどのような情報が含まれていたかについて、できるかぎり正確に発表しなければならない。

このような事態に対応して、調査委員会を設置する会社も多い。これを設置するかどうかの判断は、事態の重要性や緊急性に基づいて判断することになる。

調査委員会を設置する場合は、外部の公正な立場の人材をメンバーに入れることが、必要条件と考えたほうがよい。社内メンバーによる委員会の調査結果は、マスコミや社会には信用されない可能性が高い。その後、社会部記者に探りを入れられ、新たな事実が発覚したら一大事となる。社内調査委員会の結論は、どうしても「井の中の蛙」的な考えに陥りる。外部の専門家や有識者の意見を反映することが不可欠である。

筆者は、このような調査委員会のメンバーとして参加したことが何度かある。社外の人間が知らない会社の実態ををどこまで調査できるか、については限界がある。しかし、まず、社外のメンバーが入っているだけで会社の姿勢が変わる。外部の目が入っているだけで、会社の社長や事務局担当者の姿勢が変わるのである。

さらに、調査委員から調査内容の指針が示され、調査結果の分析・判断が行われる。情報が不足する場合は、実際に、社外の調査委員自身が会社の実務担当者にインタビューを行う場合もある。調査委員としても、その後に新たな事実が発覚して、調査内容に疑義が生じることは、自らのリスクであるため、しっかり調査をやらざるを得なくなる。この結果、調査委員会の報告書は、公正かつ、品質の高いものとなる。

このような調査委員会の報告書をそのまま、社外に発表する会社もあれば、その報告書をいったん社長が受けて、調査委員会の指摘への会社側の対応だけを発表する場合もある。そのような報告書は、企業秘密にかかわる事実が記載されていることもあるため、必ずしも調査委員会報告をそのまま社外に公表すべきであるとも言えない。

本来、このような発覚後の対策ではなく、個人情報が漏洩しない予防策が必要であることは言うまでもない。そのためには「心・技・体」が重要になる。

個人情報保護は、コンプライアンスないしリスク・マネジメントの一環として取り組む。何かの特効薬があるわけではない。地道に取り組むしかないのである。さらに、一回やれば終わる作業でもない。持続的な改善を続けなければならない。一気に完全を求めると失敗する。

最初に手をつけなければならないのは、個人情報保護の必要性が会社の倫理綱領やコンプライアンス・マニュアルに含まれているかどうかの検討である。その精神を役員・社員の全員に浸透させる。これが「心」の部分。

ツールとして、倫理綱領やホットライン（内部通報）の電話番号が書かれたカードを使うのが、「技」の例である。教育や日常業務の自己点検に社内のイントラネットを利用するのも有効なツールと言える。

組織上の対応として、本社や各部門における個人情報保護責任者を設置したり、内部通報制度を構築し、さらに内部監査により実務の状況をモニタリングする体制が「体」となる。ここで、個人情報保護法でも求められている社外からの苦情対応の強化・充実は欠かせない。社外からの相談・苦情・通報に対して、丁寧に対応することが顧客や消費者による信頼を高める。そのような情報を社内体制改善の糸口として、積極的に活用することを忘れてはならない。

(季刊誌「企業リスク」リスクの視点　2004年1月号を一部修正)