前回は，「過剰反応」対策の観点から，住基情報漏えい事件をめぐるその後の対応について取り上げた。今回は，第66回 で触れたことのある，公的な統計調査に対する「過剰反応」問題について考えてみたい。
顔写真入りの調査員証票は調査員への「過剰反応」対策
2007年7月13日，厚生労働省は「健康増進法施行規則の一部改正について（意見募集）」というパブリックコメントの募集案内を公示した。
厚生労働省では，国民の身体の状況などを明らかにするため，健康増進法に基づき，「国民健康・栄養調査」を実施している。毎年11月に，全国300地区の約5000世帯及びその世帯員（約15000名）に対して，各保健所が，栄養摂取状況を中心に，食事状況，生活習慣，体格，血液指標，運動量等を調査し，これらのデータを独立行政法人国立健康・栄養研究所が集約してデータベース化し，栄養素計算を行ってきた。
この調査の実施について必要な事項を規定したのが健康増進法施行規則である。同規則第4条で，国民健康・栄養調査員はその身分を示す証票を携行することとされているが，証票には，本人確認のための顔写真がなかった。
国勢調査など統計調査の回収率低下に悩む総務省では，個人情報保護への「過剰反応」対策として，調査員の身分証に顔写真を表記するよう他の府省に通知していた（「検査・調査等業務従事者の身分確認に関する調査＜調査結果に基づく通知＞」参照）。これを受けた厚生労働省が，国民健康・栄養調査員の証票の様式に顔写真を設ける方針を決定し，今回の施行規則改正の手続きに至ったのである。
第87回で取り上げたように，2008年4月1日より医療保険者（国民健保，企業健保など）に対し，メタボリックシンドロームの予防にターゲットを当てた健診および保健指導の事業実施が義務付けられることになっている。健診および保健指導の対象は，40歳以上の被保険者・被扶養者である。
このベースになったのが「国民健康・栄養調査」である。例えば，平成16年度の国民健康・栄養調査結果を見ると，メタボリックシンドローム（内臓脂肪症候群）の状況が掲載されている（「平成16年国民健康・栄養調査結果の概要について」参照）。これほど国民の生命に直結する重要な調査であっても，現場の調査員は個人情報への「過剰反応」に悩まされているのだ。
健康情報アウトソーシングは委託先との認識すり合わせが必要に
ところで，2008年4月から始まるメタボリックシンドローム予防事業では，特定健診・保健指導のアウトソーシングすなわち外部委託が想定されている。そこで処理される個人情報の中身は，写真入りの証票を持った国民健康・栄養調査員が取り扱う情報と変わらないはずだ。ここで委託元および委託先が認識しなければならないのが，健康に関わる個人情報の法務リスクの問題である。
第78回で東京ビューティーセンター（TBC）の顧客情報流出事件を取り上げた。この事件で，TBCには東京地方裁判所から1人当たり3万5000円という過去最高の賠償命令が出された。事件の概要は，個人情報保護法施行前の2002年5月26日，サーバー移設作業中に外部委託先が犯した初歩的なミスが原因で，約5万人分の個人情報がインターネット上に流出し，流出データによる二次被害が確認されたというものである。
そこで紹介した裁判所の判決に「本件情報は，保健医療そのものに該当するものではないが，住所，氏名等の基本的な識別情報のみの場合と比較して，一般人の感受性を基準にしても，秘匿されるべき必要性が高いことは否定できない」という一文がある。メタボリックシンドローム予防事業で取り扱う個人情報は「保健医療そのもの」だ。しかも，日本人の平均寿命を考えたら，40歳の健診開始から30年以上個人データを保存するケースが当たり前になってくる。
健康に関わる個人情報を取り扱う業務をアウトソーシングする場合，法務リスクに対する認識について，事前に委託元と委託先ですり合わせておく必要がある。その上で，委託先の情報管理プロセスにも，個人情報への「過剰反応」対策を組み込んでおく必要があるのではなかろうか。
思えば，1人当たり1万5000円の賠償命令が出た宇治市住民基本台帳データ大量漏えい事件でも，外部委託先に対する事業者の管理責任が問われていた。委託先の現場は「過剰反応」対策の要でもある。
次回も「過剰反応」問題について考えてみたい。
|
→「個人情報漏えい事件を斬る」の記事一覧へ |
|
■笹原 英司 (ささはら えいじ) 【略歴】 IDC Japan ITスペンディングリサーチマネージャー。中堅中小企業（SMB）から大企業，公共部門まで，国内のIT市場動向全般をテーマとして取り組んでいる。医薬学博士 【関連URL】 IDC JapanのWebサイトhttp://www.idcjapan.co.jp/ |
