Ｅ

ツ. 情 報 サービス 業 (ポータル) ツ 社 事 業 概 要 ポータルサイトを 通 じたインターネット 広 告 事 業 イーコマース 事 業 会 員 サービス 事 業 従 業 員 数 約 3,600 人 プライバシーマーク 取 得 なし 保 有 個 人 データ 件 数 多 数 1. 個 人 情 報 保 護 に 関 する 概 要 (1) 保 有 する 個 人 情 報 の 件 数 種 類 利 用 目 的 個 人 情 報 の 種 類 :サービスによって 異 なるが 住 所 氏 名 電 話 クレジット 番 号 引 き 落 とし 銀 行 口 座 などがある PC メールアドレスは 個 人 情 報 ではないと 認 識 している IP アドレスについても 個 人 情 報 は 結 び 付 けていないため 個 人 情 報 と 認 識 していない また メールアドレス 作 成 時 に 入 力 した 情 報 はとくにデータベース 化 していない ブラウザクッキーは ID と 結 びついていない (2) 個 人 情 報 保 護 担 当 部 署 個 人 情 報 の 管 理 は 技 術 的 観 点 からは 情 報 セキュリティ 部 が 社 内 教 育 および 事 故 対 応 は 法 務 部 コンプライアンス 部 が 行 っている 個 人 情 報 に 関 わる 事 項 はセキュリティ 委 員 会 で 議 論 をおこなう セキュリティ 委 員 会 は 各 部 門 の 管 理 職 より 上 の 役 職 の 現 場 セキュリティ 担 当 者 から 構 成 されており ル ール 制 定 と 審 査 をおこなっている 個 人 情 報 はサービス 単 位 で 部 署 がデータを 保 有 している 同 社 はサービス 単 位 で 約 款 を 持 っている 全 ての 約 款 は 法 務 部 によるレビューを 受 ける 決 済 サービスに 関 するビジネスは 個 人 向 けサービスに 限 り 料 金 サービス 部 が 一 括 して 料 金 の 請 求 をしている (3) 個 人 情 報 保 護 管 理 者 の 有 無 位 置 づけ チーフプライバシーオフィサー(CPO)を 設 置 している 現 在 CPO は チーフコンプ ライアンスオフィサー(CCO)が 兼 務 している チーフセキュリティオフィサー(CSO)は 別 の 役 員 が 担 当 している CSO は 技 術 者 よ りの 責 任 者 である 472

(4) 認 証 取 得 の 有 無 ( 時 期 ) 認 証 の 種 類 その 認 証 を 取 得 した 理 由 効 果 全 社 レベルで ISMS を 取 得 している 取 得 に 関 しては PDCA をまわすことが 出 来 て いるかがポイントであり 作 業 的 な 負 担 時 間 はかるものの 取 得 はそれほど 困 難 で はなかった 現 状 ではプライバシーマークを 取 得 する 意 向 はない プライバシーマークとは 考 え 方 が 異 なる 同 社 ほどの 規 模 の 企 業 において 細 かい 事 故 を 含 めると 漏 えいを 皆 無 に するのは 不 可 能 に 近 い プライバシーマークの 取 得 時 に 過 去 に 漏 えいがなかったか と 聞 かれても 無 かったとはいえない (5) 個 人 情 報 保 護 に 向 けた 取 組 経 緯 電 子 掲 示 板 サービスを 開 始 した 1997 年 から 個 人 情 報 保 護 の 取 組 を 開 始 した オークションサービス 電 子 決 済 サービスを 始 めた 2001 年 から 個 人 情 報 保 護 の 取 組 を 強 化 した 個 人 情 報 保 護 法 は 特 に 契 機 とはならなかった 電 子 決 済 サービスを 開 始 以 前 は 純 粋 な 広 告 モデルのサービスしかおこなっておらず また マス 広 告 であったため 氏 名 住 所 などの 個 人 情 報 は 保 有 せず 年 代 性 別 程 度 の 情 報 のみしか 保 有 していなかった しかし 決 済 サービスは 債 務 者 の 情 報 氏 名 住 所 が 必 要 となり 保 護 体 制 の 強 化 が 必 要 となった 2. 個 人 情 報 の 適 切 な 保 護 のための 取 組 について (1) 準 備 ( 規 程 体 制 づくり) 参 考 となるポータル 事 業 者 の 日 本 版 の 規 定 はなかったため 米 国 のポータル 事 業 者 の 規 約 を 参 考 にした (2) 個 人 情 報 の 取 得 ( 不 要 な 情 報 は 収 集 しない できる 限 り 機 微 度 を 下 げて 情 報 を 取 得 ) 取 得 を 検 討 している 個 人 情 報 は 本 当 にその 情 報 量 のレベルが 必 要 か ひとつひとつ 審 議 をおこなう 例 えば 生 年 月 日 の 取 得 を 検 討 している 際 は 年 齢 で 代 替 す ることはできないか など 出 来 る 限 り 情 報 量 のレベルを 落 とし 漏 えいした 場 合 の リスクを 低 減 するよう 努 力 している 担 当 者 が 説 明 できない 場 合 は 再 検 討 するよう セキュリティ 委 員 会 から 指 導 される この 仕 組 みには 定 型 の 回 答 フォーマットはなく 個 人 情 報 取 得 の 申 請 書 を 書 く 担 当 者 が 前 例 を 参 考 にしながら 検 討 する 前 例 はセキュリティ 情 報 とともに イントラネ ット 上 に 掲 載 されている 473

( 情 報 のセキュリティレベルを 三 段 階 に 区 分 セキュリティレベルにあわせてシステム 開 発 にかかる 要 求 事 項 も 多 くなる ) 管 理 する 情 報 を 個 人 情 報 を 含 んでいないもの 個 人 情 報 を 含 んでいるもの 決 済 情 報 を 含 んでいるもの の 三 段 階 に 分 け それぞれデータセンターにおける 区 画 を 分 け て 保 存 するようにしている 管 理 する 情 報 のセキュリティレベルが 高 ければ 高 いほど 開 発 するシステムへの 要 求 事 項 も 多 くなり サービス 開 始 まで 時 間 がかかる そのため 現 場 の 企 画 担 当 者 は 自 ずと 取 得 する 情 報 に 個 人 情 報 を 含 まないようにする 等 セキュリティレベルを 下 げて 申 請 してくる 仕 組 みになっている (3) 個 人 情 報 の 利 用 ( 第 三 者 提 供 を 含 む) グループでの 共 同 利 用 はおこなっていない 責 任 の 所 在 が 不 明 確 になるのが 理 由 であ る ポータルサイトを 通 じて 提 供 するオンラインショッピングサービスにおいて 消 費 者 が 購 買 時 に 提 供 する 必 要 のある 個 人 情 報 は 店 子 と 同 社 の 双 方 が 直 接 取 得 することに している 消 費 者 に 対 して 個 人 情 報 が 店 子 と 同 社 の 双 方 へ 情 報 提 供 されることを 盛 り 込 んだ 約 款 を 提 示 して 同 意 を 受 けている 第 三 者 提 供 クッキーなど 自 社 で 取 得 した 以 外 の 情 報 は 使 用 していない 年 代 性 別 IP アドレスレベルは 個 人 情 報 ではないと 認 識 しており ターゲティング 広 告 を 実 施 する 際 に 活 用 している (4) 個 人 情 報 の 管 理 1 情 報 の 管 理 体 制 ( 社 員 が 使 用 している PC を 専 門 チームにより 常 時 監 視 ) 教 育 以 外 に 社 員 が 使 っている PC を 監 視 下 に 置 き どの URL を 見 ているか ネット 上 にどういう 情 報 を 流 しているかを 把 握 している 法 務 コンプライアンス 部 に 監 視 チームがあり 3~4 人 で 監 視 している 情 報 が 漏 えい した 形 跡 があれば 社 員 は 上 長 派 遣 社 員 は 派 遣 会 社 委 託 先 は 業 務 委 託 先 にヒア リングをおこなう ( 退 職 予 定 者 は 特 に 厳 しく 監 視 管 理 ) 退 職 が 予 定 されている 社 員 に 対 しては 情 報 の 持 ち 出 しが 起 きないように 厳 しく 監 視 している 退 職 日 の 手 続 きに 工 夫 をしており 出 社 最 終 日 は 人 事 部 への 手 続 きのみをおこない 自 席 に 戻 ることができない 仕 組 みとなっている また できるだけ 早 く 本 人 の 社 員 ア カウントを 停 止 するようにしている 474

社 員 が 退 職 する 際 は 秘 密 保 持 に 関 する 誓 約 書 を 取 っている 誓 約 書 は 入 社 時 新 た な 役 職 に 就 く 際 も 取 っている 同 誓 約 書 の 有 効 期 限 は 特 に 設 けていない 自 宅 作 業 は 原 則 禁 止 としている ただし 技 術 者 は VPN を 活 用 して 社 内 ネットワーク に 接 続 して 作 業 することが 認 められている 外 部 から 社 内 LAN へアクセスする 場 合 は アクセス 可 能 な 領 域 は 限 られている また VPN 接 続 する 際 のワンタイムパスワード は 所 定 の 申 請 をおこない CSO から 許 可 が 出 ない 限 り 発 行 されない (データセンター 内 をセキュリティレベルに 応 じて 区 分 し 区 分 ごとに 色 分 けしたベスト を 職 員 に 着 用 させている ) 顧 客 情 報 は 特 定 のデータセンターに 保 管 されており 同 センターには 警 備 員 が 配 置 さ れ 金 属 探 知 機 が 設 置 されている セキュリティレベルに 応 じて 施 設 内 の 保 管 場 所 を 区 分 している 職 員 は 入 場 時 に 保 管 場 所 の 区 分 ごとに 指 定 された 色 のベストの 着 用 が 義 務 付 けられており 区 分 を 誤 って 入 場 している 者 がいないかを 容 易 に 判 別 できるようにしている 施 設 内 には 電 話 も 印 刷 機 も 設 置 していない 顧 客 情 報 を 一 覧 で 表 示 できるようなツー ルや 表 は 作 成 していない 2002 年 から 内 部 告 発 制 度 を 設 けている 内 部 だけでは 対 処 の 難 しい 部 分 もあるため 外 部 の 法 律 事 務 所 を 活 用 している これまで 何 件 か 報 告 はあったが ノイズ 程 度 のも のしかなかった 内 部 告 発 制 度 は 制 度 の 性 質 上 フィードバックの 効 果 結 果 を 広 めることができず 結 果 として 利 用 実 態 が 分 かりにくい という 難 点 がある 今 後 は ノイズ 程 度 でも 構 わないので 報 告 障 壁 をさげるべく 努 力 していく 方 針 である 2 従 業 員 従 業 者 への 教 育 方 法 試 験 付 きの e ラーニングを 全 社 員 対 象 に 四 半 期 に 一 度 ずつ 年 四 回 おこなっている 試 験 結 果 は 非 公 開 にし 管 理 職 へのフィードバックはしていない 個 人 情 報 に 関 しては 年 に 一 度 e ラーニング 後 に 全 社 員 対 象 にして 個 人 情 報 保 護 に 関 する 誓 約 書 を 締 結 している 誓 約 書 の 文 面 は 毎 年 大 きな 変 化 を 加 えてはいないが 全 文 熟 読 を 指 導 している 書 類 は 人 事 部 に 提 出 させており 契 約 の 有 効 期 限 は 特 に 設 け てはいない 誓 約 書 は 文 面 を 変 え 派 遣 社 員 業 務 委 託 先 企 業 とも 締 結 している 475

3 盗 難 対 策 特 徴 的 な 取 組 はなし 4ノート PC の 安 全 対 策 営 業 部 門 の 職 員 は 会 社 が 貸 与 するノート PC を 使 用 している 貸 与 するノート PC は 半 年 に 一 度 検 疫 を 行 っている 5 外 部 委 託 先 管 理 (4)2 従 業 員 従 業 者 への 教 育 方 法 を 参 照 (6) 個 人 情 報 の 監 査 を 参 照 外 部 委 託 先 には 選 定 基 準 を 設 けている 基 準 として ISMS やプライバシーマークの 取 得 を 必 須 の 要 件 とはしていない 契 約 時 に 個 人 情 報 保 護 に 関 する 覚 書 を 取 り 付 けている 6 日 常 点 検 確 認 の 方 策 特 徴 的 な 取 組 はなし 7 初 歩 的 ミスの 防 止 策 特 徴 的 な 取 組 はなし (5) 個 人 情 報 の 消 去 破 棄 保 存 期 限 はサービス 毎 に 異 なる 後 日 問 い 合 わせがある 場 合 もあるため サービス 終 了 にあわせて 削 除 することはしない 税 務 関 係 書 類 は 法 定 年 限 にあわせて 保 存 している 顧 客 との 契 約 にもよるが 紙 面 での 保 存 は 基 本 的 にはおこなっていない (6) 個 人 情 報 の 監 査 監 視 システムは 半 分 は 自 社 開 発 のものを 半 分 は 他 社 の 汎 用 製 品 を 使 用 している 内 部 監 査 は 業 務 監 査 室 がおこなっている 監 査 においては 規 定 の 遵 守 項 目 が 設 置 されている 委 託 先 の 監 査 は 委 託 した 業 務 内 容 に 精 通 していないと 監 査 できないため 同 社 の 現 場 社 員 が 立 ち 入 り 監 査 をおこない コンプライアンス 部 門 が 監 査 をすることはない (7) 苦 情 処 理 顧 客 対 応 顧 客 対 応 は 基 本 的 にメールで 行 っている 個 人 情 報 漏 えい 防 止 のため 顧 客 情 報 を 見 ることができる 人 の 近 くに 電 話 は 置 いていない 476

(8) 事 故 発 生 時 の 対 応 事 故 はリンク 切 れなど 小 規 模 のものも 含 めて 報 告 させている 事 故 の 規 模 に 関 わらず 報 告 は 全 て 管 理 職 にメール 送 信 される 事 故 報 告 のなかに 個 人 情 報 漏 えいがあった 際 は 事 故 把 握 応 急 処 置 事 故 対 策 を 現 場 でおこない 法 務 部 と 広 報 部 に 伝 達 される 仕 組 みとなっている 事 故 報 告 システムは 業 務 監 査 室 が 管 理 しており 事 故 のレビューをおこなっているが 実 際 に 事 故 のクライテリア 付 けなどをおこなうのは 法 務 部 である 監 督 官 庁 である 経 済 産 業 省 と 総 務 省 の 両 方 に 対 して 報 告 する 以 上 477