セキュリティの
学び場

今回の解説ニュース

水道管理図面に記載されている個人情報の取り扱いが不適切であったということです。個人情報と認識できず、不十分な取り扱いをしないために、注意すべきポイントについて説明します。

今回のインシデントは、水道施設の維持管理に必要な配水管や給水管に関する情報が記載された「水道管理図面」に、閲覧対象である給水管と近接して埋設されている給水管の「水栓番号」と「給水管の口径」の情報が閲覧できる状態だったということです。原因として、個人情報の取り扱いに関する認識が不十分であったことが挙げられています。

「水栓番号」は給水装置の設置場所それぞれに付番されるものであり、特定の個人を識別できる情報です。「給水管の口径」は給水装置に関する情報で、給水装置は給水装置の所有者の財産に関する情報となります。

再発防止策として、今後は個人情報が記載された図面を使用しないこと、やむを得ず必要となった場合は、閲覧申請者以外の第三者の個人情報部分をマスキングした図面を使用することを周知徹底するということです。

そもそも「個人情報」とは何を指すものなのか？

個人情報とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるものと、個人情報保護法で定義されています。条文のままだとわかりづらいので、例を挙げて説明します。

例えば、Aさんがレンタカーを借りるとします。申込書には住所、氏名、生年月日などを書く必要がありますね。これらは、Aさんという生存する個人に関する情報なので、Aさん個人を識別することができるレンタカーの申込書は個人情報に当たります。

また、個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定して、その利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならないとしています。つまり、レンタカー会社は預かったAさんの個人情報を何に利用するのか、Aさんへ事前に伝えた上で、それ以外の目的には利用してはならないことになります。

一見分かりにくい「番号」などを個人情報と判断する基準はあるのか

個人情報保護法の定義には、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。」というただし書きがあります。こちらも、条文のままだとわかりづらいので、例を挙げて説明します。

例えば、Aさんがレンタカーを借りた際に、会員証を発行してもらったとします。会員証には「店舗名」「会員番号」「有効期限」だけが書かれている場合、他人がこの会員証を見ても、Aさんの情報であることはわかりません。ただし、店舗の関係者であれば、会員データベースで会員番号を照合すれば、Aさんの会員証であることが特定できます。

このように、単独の情報では特定の個人を識別できないものも個人情報に該当します。今回のインシデントの場合、水栓番号だけでは特定の個人を識別することができないかもしれませんが、他の情報と容易に照合することができれば、水栓番号が記載された水道管理図面は、個人情報に該当すると考えられます。

今回は、個人情報と認識できず、不十分な取り扱いをしないために、注意すべきポイントについてお届けしました。個人情報保護法の全容をお届けするには少し時間が足りませんので、ご興味のある方は、少し難しいかもしれませんが、ぜひ原文も読んでみてください。