ベネッセコーポレーションで発生した大量の個人情報流出とその後の度重なる同社に関する報道は、個人情報流出のリスク管理の重要性を改めて企業に認識させたことだろう。

　こうした中、もし漏えいすれば大問題に発展することが確実な“官製個人情報”への対応が企業を悩ませている。それが、平成28年１月にスタートする予定のマイナンバー制度における「個人番号」だ。

　マイナンバー制度とは、国民一人ひとりに独自の番号を割り振り、この番号と個人情報を紐付けることで、行政事務の効率化を図ろうというもの。批判を込めて“国民総背番号制”と呼ばれることもある。

　個人番号は、主に年金や健康保険といった社会保障分野や税分野で使われることになるが、現在企業が頭を悩ませているのが、上場株式配当の支払通知書への個人番号の記載。これは、マイナンバー制度の導入とともに税法で義務付けられることとなるため（改正租税特別措置法施行規則４条の４第１項１号）、企業にとって「記載しない」という選択肢はない。

　ただ、配当支払通知書は従来から普通郵便で郵送されており、ポストからの盗難、配送ミス、転居により新しい居住者の手に渡ってしまうなどにより、個人番号が漏えいするリスクは否定できない。特に都市部のマンションではポストに氏名を表示しないケースが多く、旧居住者の郵便物が投函されていることも珍しくない。

　名前や住所とあわせて個人番号が漏えいした場合、“なりすまし”による犯罪行為につながる恐れがあり、単なる個人情報の流出よりも大きな問題になる可能性がある。

　こうした中、一部企業は従来の普通郵便をやめ、書留で配当支払通知書を送付することも検討している。実際にそうすることになれば、株主の多い企業にとっては大幅なコスト増になるだろう。配当支払通知書への個人番号記載義務付けは、マイナンバー法の施行と同じ平成28年１月～が予定されているが、役員はそれまでに、「個人情報の漏えい防止」と「コストアップ」の狭間で難しい経営判断を迫られることになりそうだ。

　多くの企業がビッグデータの活用に動いているが、その障害となりかねないのが個人情報保護法だ。

　個人情報保護法では、個人情報を取り扱う際には「利用目的をできる限り特定とする」こととしたうえで（同法15条）、「本人の同意を得ることなく、その利用目的を超えて個人情報を取り扱うこと」を禁止している（同法16条）。ビッグデータを分析、解析したり、第三者に提供することがこれらの規定に抵触するかどうかは“グレーゾーン”と言える。

　ビッグデータの活用を考える企業にとって、個人情報保護法が求める「本人の同意」を得ることは負担感が大きい。このため、ビッグデータの活用に二の足を踏む企業も見られるが、この問題は来年には解消されることになりそうだ 。

　政府は現在、「本人の同意がなくてもデータの利活用を可能とする枠組み」の導入を検討している。具体的には、ビッグデータを「個人の特定性を低減したデータ」へと加工することで、「本人の同意を得ずに」第三者への提供等を可能にする新たな仕組みを法律に設けることとしている（内閣官房IT総合戦略室「パーソナルデータの利活用に関する制度改正大綱」参照）。

　ただし、“グレーゾーン”の内容や個人の権利・利益の侵害の可能性・度合いは、情報通信技術の進展や個人情報に対する個人の考え方によって変化することから、法律では大枠を定めるだけにとどめ、具体的な内容は政省令やガイドライン、民間の自主規制ルールによって柔軟に定める。

　ビッグデータの活用は政府が進める日本経済の成長戦略にも有効であることから、政府は来年の通常国会に個人情報保護法の改正案を提出し、早期の成立を目指す方向だ。

　改正により、企業がビッグデータを活用する時代が本格的に到来することになろう。それに伴い、日本で圧倒的に不足している「データ・サイエンティスト」や「データ・アナリスト」と呼ばれるビックデータを分析・解析できる専門家の争奪戦も起こることになりそうだ。

　ベネッセコーポレーションで発生した大規模な個人情報の漏えい事件は、企業に個人情報管理の難しさ、リスクを改めて認識させたことだろう。2003年における個人情報保護法の成立以降、企業は個人情報の取扱いには注意を払ってきたが、それでも、個人情報の流出が世間を賑わすケースは後を絶たない。

　折しも、昨年（2013年）秋の臨時国会では、集団訴訟を可能にする「消費者裁判手続特例法（通称「集団訴訟法」。特定適格消費者団体が個々の消費者に代わって損害賠償請求訴訟を提起する仕組み）が成立しているが、結論から言うと、個人情報の流出自体が同法の対象になることはまずないだろう。一般に、個人情報の流出では“精神的苦痛”を受けたことによる慰謝料の支払いが問題になるが、集団訴訟法では「精神上の苦痛を受けたことによる損害」は適用対象から除外されているためだ（同法３条２項６号）。ただし、個人情報の流出に伴って金銭的な被害が発生したとなれば（例えば、クレジットカード情報が流出し、不正に使用された場合）、同法の適用対象になる（なお、同法の施行は「2013年12月11日の公布日から３年以内」とされ、まだ施行に至っていないことに加え、同法は施行後に生じた事案にのみ適用されるため、今回のベネッセの情報漏えい事件は適用対象外となる）。

　ただ、訴訟を提起されるリスクがないわけではない。まず、被害者個人が慰謝料の支払いを求め、損害賠償請求訴訟を起こすことは十分あり得る。また、大型の消費者事件や公害事件、薬害事件などでみられる「弁護団方式（弁護士が被害者を支援する方式）」による集団訴訟による訴えが起こされる可能性もある。実際、弁護団方式による集団訴訟で、企業に慰謝料の支払いを企業に命じた裁判例も存在する。この裁判例はエステ業者が有する個人情報が流出したケースであるが、裁判所は、「住所や氏名の情報の流出はプライバシーの侵害に該当し、個人情報を取り扱う企業として安全対策を講ずる義務に違反した」ことを判決理由としている（東京地裁平成19年2月8日判決）。

　企業としては、個人情報流出には訴訟リスクが伴うと認識したうえで、外部のシステム会社を含む管理体制の見直しなどの予防策を改めて検討しておくべきだろう。