ＬＳ：ベネッセ顧客情報漏えい事件。（Ⅲ） 容疑者逮捕。ベネッセの管理責任は、問われるか。

迅速な逮捕（容疑者）になった。
だが、この問題は、これで解決したわけではない。


１）　毎日新聞　の記事より＿

ベネッセホールディングスの、情報漏えいの容疑者が、逮捕された。

『通信教育大手ベネッセホールディングス（岡山市）から約７６０万件の顧客情報が漏えいした問題で、警視庁は１７日、顧客データベース（ＤＢ）を管理する外部業者のシステムエンジニア（ＳＥ）、松崎正臣容疑者（３９）＝東京都在住＝が関与した疑いが強まったとして、不正競争防止法違反（営業秘密の複製）容疑で逮捕した。

松崎容疑者は警視庁の任意聴取に「持ち出した顧客情報は名簿業者１社に売却した」と供述しており、同庁は情報を不正に開示した容疑でも追及する。

捜査関係者によると、松崎容疑者は今年６月、ＤＢの操作端末があるベネッセのグループ企業「シンフォーム」（岡山市）の東京支社（東京都多摩市）で、自分のＩＤを使ってＤＢに接続。貸与のパソコンを使って顧客情報をダウンロードし、私物の記憶媒体にコピーした疑いが持たれている。

松崎容疑者は外部業者から派遣されてシンフォーム東京支社に常駐。ＤＢのシステム構築などを担当し、他のＳＥの指導的立場にあった。

松崎容疑者にはＤＢに接続するためのＩＤが付与され、システムが正常に作動するかを確認する作業も業務の一部だった。その際に、営業秘密として管理されていた顧客情報をダウンロードできたとみられる。』

（毎日新聞　7/17）

http://mainichi.jp/select/news/20140717k0000e040252000c.html

これで、取り調べが始まり、立件となり、裁判へという事になるだろう。

だが、これで、問題が解決したわけではない。

２）　ベネッセによる顧客への賠償

直接に不正にかかわったとされるものが、＿まだ、裁判も始まっていないし、立件もされてはいないが＿処罰されるのは、当然のことである。

次は、ベネッセによる顧客への賠償という話が残っている。

これも、「ぎくしゃく」する事はあっても、いずれ、落ち着くべきところに落ち着くことであろう。

当然に、が、顧客に対し、誠心誠意対応すべきであることは、論を待たない。

どれだけの顧客情報が、外部に出たのかは、数量も、その内容も、はっきりとは分からない。

だが、いづれにしても、将来ある子供らの情報が、無防備の状態にさらされることになった訳である。

いい加減は対応は、許されない事は、明白である。

３）根本的な原因は、ベネッセの情報管理の杜撰さ

この事件の主犯が逮捕され、関係した企業が、法令よって処罰され、ベネッセが、顧客への賠償をする、という事は、もちろんの事である。

だが、これで終わりではない。

さらに、まだ問題が残っている。

ベネッセの情報管理の事である。

この漏えい事件の根本的な原因は、ベネッセの情報管理の杜撰さにある。

ベネッセが、グループ企業の「シンフォーム」に委託し、それを、さらに外部業者に委託したこと、そのこと事自体には、＿全然問題がない、という事ではないであろうが＿違法性はない。

問題は、委託した委託先を、しっかりと監理監督しなかったことにある。

だが、現在の不正競争防止法では、ベネッセを裁くことは出来ない。　

しかし、ベネッセが　「顧客への賠償に応じる」ということだけで、ベネッセを、「無罪放免」にしてはならない、と思う。

４）ベネッセを「個人情報の保護に関する法律」を適用して罰すべき

もし、この事件をもって、ベネッセを処罰するとすれば、「個人情報の保護に関する法律」の適用が考えられる。

ところが、この法律では、罰則規定が、「六月以下の懲役又は三十万円以下」と言う程度の甘いものである。

このような罰則規定の緩やかさが、ベネッセに見られるような、情報漏えいが、後を絶たないことの、根本原因であろう。

この際、政府は、この法律の見直しを行い、企業における情報管理が、厳正に行われるよう、法的措置を見直すべきであろう。

　≪関連サイト案内≫

　　　

* ”顧客情報１０００万件不正取得・・・”　時事ドットコム

http://www.jiji.com/jc/c?g=eco&k=2014071700495

* "ベネッセが情報流出の顧客へ補償金200億円準備"＝ tv asahi
http://news.tv-asahi.co.jp/news_economy/articles/000030866.html
＊”ベネッセ流出２２６０万件に　新たに通販サイトからも”＝朝日新聞
http://www.asahi.com/articles/ASG7Q0154G7PUTIL01Y.html

≪参考≫

”個人情報の保護に関する法律”

第十六条 　個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

第十七条 　個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

３ 　個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

（安全管理措置）

第二十条 　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

第二十一条 　個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

第二十二条 　個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない

第二十三条 　個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

一 　法令に基づく場合

二 　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（2014/7/17）