12/8に御茶ノ水、三井住友海上にて個人情報保護対策セミナーを見てきましたのでレポートします。
実は私は某大の理工学部だったので、中に入ったことはありませんがデカイビルだなと思いながら三井住友の付近はいつもうろうろしていました。というわけでここは懐かしい場所なのです。
約2時間のセミナーだったのですが、トーマツ環境品質研究所の前田寛之さんが最初っから最後まで一人でしゃべっていました。けれど、飽きずにだれずになかなか良いセミナーでした。
100人程度の会場は満員。セミナー中、”個人情報法対策をはじめている方”という質問に半分ぐらい手を上げていました。これは多いのか少ないのか？
トーマツ環境品質研究所はホームページを見ていただければわかると思いますが、ISOやPマークなどの取得支援やコンサルティングをしている会社です。規模は大きくないようですが、これで飯が食っていける時代になったんですね。
法律の内容については会場のみなさんはだいたい知っているという前提で話していました。まずは個人情報漏洩に関する事故がどれぐらいあって、どんな被害が出たという話。個人情報が漏洩したときの被害額としては、ローソンが最初に顧客に払った賠償額、一人あたり500円が基準になっているそうです。裁判が起こった場合の賠償額としては、一件1万5千円という判例があって基準となっています。だから、被害額は通常500円＊人数で計算するようです。
個人情報保護法のガイドラインも既に発表されていますが、さて本当にこれを守るのか？と思っている会社も多いことでしょう。実現するのは難しい、と悩んでる会社もあるでしょうが、最初っから完璧を目指さず、できるところから順番にやっていけばいい、と前田さん。
まず、最低限やらなければいけないこととして次の３つをあげていました。１）執務室への入退室管理。２）サーバーは鍵のかかった部屋かラックに入れる。３）ウイルスチェックソフトを入れる。この３つを少なくとも2005年4月までにやっておく。個人情報を委託先に預けている場合は4つ目として、契約書をつくっておく。契約書の内容は、機密保持契約、授受の責任分担、再委託に関しての規定、情報の返却と廃棄について、必要であれば、事故の報告や情報加工の禁止の項目などを入れる。個人情報はいろいろあるが、一番重要な顧客データの保護対策を第一に考える。
もちろんガイドラインにはこれ以上のことがたくさん書いてありますが、お役所としてもこれを一般企業にいきなりやらせるのは無理だろう、と考えているのでしょう。実際この基準で監査したらほとんどの会社はアウトです(^^; だから、トーマツのような会社が”最初からがんばんなくてもいいよ！”というメッセージを出しているのでしょう。
という話をした後、何事も目標とモチベーションが必要で、単に法律をクリアするというのでは漠然としていて達成感がない。プライバシーマークは個人情報保護法の必要条件ではないが、十分条件である。この際、プライバシーマーク取得を目標にがんばってみるのはどうでしょうか！という提案がありました。そのときはトーマツがお助けします！とまでは言いませんでしたが、なかなか上手なセールストークです。
ちなみにプライバシーマークは現在大人気で審査する機関(JIPDECなど4団体ある)がいっぱいいっぱいで、審査依頼しても半年以上待ちになるそうです。つまり現状申し込んでも4月には間に合いません(^^; この講演の時点で970社がプライバシーマークを取得していて、そのうち500社は直近の1年で取得したのだそうな。これはつまり、個人情報保護法が成立したからってことなんですかね。
そのプライバシーマークの審査料金ですが、最近値上がりしました。会社の規模によって違うのですが、100人以上のＳＩ企業は大企業にカテゴライズされるらしく(^^; 新規で120万円。更新料金（2年に一回）はなんと90万円もかかります。いい商売ですね(^^;
プライバシーマーク以外にも情報セキュリティ関係の規格はあります。よく知られているものとしてISMSがあります。プライバシーマークが個人情報に限定されるのに対し、ISMSは企業情報も対象とされています。２つの規格は重なる部分も多いのですが、対象範囲が異なる部分もありISMSをとればプライバシーマークが含まれるということはありません。詳しくはここには書きませんので、興味ある方は調べてみてください。
情報セキュリティの国際規格ISO17799というのも現在策定中でもうしばらくすると、ISO17799をとらなきゃ！と騒ぐことになるのかもしれません。ISO17799はISMSと重なる部分が多いようで、ISMSとっていればISO17799もとれるという感じのようではありますが。
では、そのプライバシーマークをとるには何をしたらいいのかというのが次の話。簡単にあげてみると、まず個人情報を特定し、リスクを分析する。個人情報取扱いの内部規定をつくる。責任者をつくり、苦情窓口もつくる。また内部監査の責任者もつくる。教育は全社員に対して行う。外に対しては苦情受付の窓口がわかるようにする。とこんなところ。それらをチェックするチェックシートをトーマツさんは持っていて、回覧はしてくれましたが、持ち帰ってはいけませんとのことでした。正にこのシートこそメシのタネなんでしょうからね。
まあ、とにかく自分たちで体制つくって書類そろえてチェックしてというのは大変でしょうから、どうぞ私どもにお任せください。そうすれば絶対にとれます！ということなのです。また、審査基準は年々厳しくなってるから早めに取っちゃう方が楽ですよ！とも言ってました。最近、特に印刷業界でプライバシーマークを持ってることが入札条件になったりすることが多くなっているそうです。こんなマークより信頼関係の方が大事だと思いますがね....。
このセミナーは三井住友海上で行われましたが、なぜここでこんなセミナーやってるかと言えば、三井住友海上で情報漏洩の損保”個人情報プロテクター”を発売したからなのです。しかし、この商品についての説明は全く無く、カタログも配られませんでした。どうせなら宣伝すればいいのになんでもったいぶってんでしょうかね。
○トーマツ環境品質研究所
http://www.teri.tohmatsu.co.jp/
○JIPDEC
http://www.jipdec.jp/
○三井住友海上 個人情報プロテクター
http://rmnavi.ms-ins.com/product/pd_protector.html
20 JAN 2005 wrote