＜はじめに＞
木村 個人情報保護条例の改正に向けたいくつかの課題について質問させていただく。類似テーマの一般質問がここ何回か自身の登壇の中で続いており、恐縮だが、この何年かが実際に国でも自治体でも電子自治体の構築、中でも個人情報保護制度をめぐる議論がさかんに行われてきた黎明期あるいは過渡期であった点、また国での個人情報保護関連五法の成立を受けて、我が区における条例改正のタイミングを考えると、今が、大きな制度改正前に余裕をもって意見を述べることのできる最後のチャンスであるという点、これら二つの事情を考慮し、ご理解いただきたい。
＜個人情報保護条例の改正に対する姿勢＞
木村 昨年成立した関連五法の施行がいよいよ来春に迫った（議会での質問時と区議会レポート発効時の時間差により、記述にズレが生じているが、法はすでに2005年４月１日より施行されている）。先進諸国の中でも、これまで個人情報保護の法整備が遅れてきたわが国はEU指令や住基ネットシステム稼動に伴う世論の高まりに押される形で、同法を成立させた。今まで多くの自治体が国に先んじて先進的内容を含んだ保護条例を制定する例が目についてきたが、同法の成立によって、形勢は逆転し、今は多くの自治体が保護法制に則った制度整備に追われている。我が区の場合も例外ではなく、情報公開及び個人情報保護審査会を中心に現行の保護条例の抱える課題について多くの検討がなされている。また、8月20日の広報においては「江戸川区個人情報保護条例の改正に向けての意見募集」も行われていた。
多くの自治体で保護条例の改正が進む中、良くも悪くも我が区の保護条例に対する注目度は決して低くはないと感じることがある。私自身、関心の高い分野であるため、個人情報保護制度関連の研修会や勉強会等にしばしば参加してきたが、参加者向けの資料やパネルなどには、宇治市に次いで我が区が二番目に多く取り上げられると言っても過言ではない。言うまでもなく、住民の個人情報の漏洩事件を起こしてしまった自治体の例として、である。今さら起こってしまった事件がどうのこうのということでは全くない。そうではなく、その後も進む一層の情報化の中で、辛酸をなめた自治体はいかに前輪の轍を踏まないための具体策づくりに取り組んできたかという意味での注目を浴びている、ということだ。保護条例の改正に向けた検討作業において、やはり一番大切なのは、この不名誉な経験を二度と起こさないための制度づくりという危機意識を持ち続けることだと思うが、いかがか。
さて、我が区の事件よりもその漏洩の規模という点あるいは最高裁まで争われたという点などにおいて特異な存在となった宇治市では、その苦い経験が確実に反面教師として作用し、平成15年3月、関連五法成立前としてはかなり斬新な内容を含んだ改正条例を成立させた。宇治市のスタンスにおいて最も特徴的なものは「二度と加害者にならないための条例改正」「データ保護からプライバシー保護へ」という理念であった。十分に耳を傾けるべき価値があると思われる。
現在、審査会でも検討されていると思うが、条例改正に向けてのスタンス、あるいは条例の目的に対する考え方というものによって、その規定内容は大きく方向づけられてくる。開示請求権や訂正請求権など、区民の自己情報に関する具体的権利性の保障がすでに現行の目的の中に盛り込まれているのだから、それはすなわちプライバシーの権利の積極的・請求権的側面と言われる「自己情報コントロール権の保障」を意味しているにほかならない。そうであるなら、「プライバシーの権利の保障」とまでは言わずとも、「自己情報コントロール権の保障」という文言を目的中に明記することに踏み込んだとしても、プライバシーの権利意識の高まりと電子化の急速な進展という今後も確実に続く時代の趨勢を考えれば、早晩必要な動きであり、得るものはあっても、失うものは何もないと思われる。この点、区長はどうお考えか。
区長 個人情報保護は、情報化を進める中で大変重要な問題だ。十年ほど前、江戸川区にとって不名誉な事件が起こった。ただし誤解なきよう付言すれば、区が医師会に委託している健康診断事業のデータを、医師会に勤務していた退職職員が漏洩したというものである。区が委託している健診事業であったため、江戸川区も大いにイメージダウンを受けたし、また問題意識も高まったと思う。セキュリティの問題は、今、情報化を進めていく中で一番重要な問題だと思う。
木村 例の事件が委託した先で起こったことだということは当然認識している。宇治市の場合も委託先の事件だ。しかし、管理者責任は自治体にあるのだ。
＜個人情報保護条例改正をめぐる具体的検討課題＞
木村 条例改正に伴ういくつかの具体的な検討課題について触れたい。
最初に、外部結合に伴う危険性への対応である。電子データのネットワーク化の流れは、住基ネットやLGWANあるいはインターネットとの結合を必然のものとした。当然、外部のネットワークには我が区の管理権限は及ばない。区の情報化推進本部がいくら万全のセキュリティを確立しても、結合する外部組織のセキュリティホールから事件が発生する可能性は排除できない。そのための制度的対策として、疑わしき事態の発生時には、区長に外部組織への調査及び報告の請求をすること、あるいは区長に調査及び報告の責務規定を課すことなどが検討されるべきであると考えるが、いかがか。
次に、個人情報の取り扱いに関する苦情・相談の窓口についてである。電子データ化の進展とプライバシー権に関する意識の高まりを考えれば、今後も自己情報の取り扱いをめぐる相談の問い合わせは増えることが考えられる。難しい制度や専門的なセキュリティ技術を感じさせない、区民にとってアクセスしやすく、また理解しやすい苦情・相談の窓口の整備は今後も必要と考えるが、いかがか。
続いて、罰則規定に関し、外部の受託者に対する規制と出資法人についても触れながら、お伺いしたい。まず、実施機関の職員に対する罰則規定である。行政機関個人情報保護法ではその五十三条において、行政機関の職員が正当な理由なく個人情報ファイルを提供したときには「二年以下の懲役又は百万円以下の罰金に処」されるという罰則規定が盛り込まれている。国・自治体の別を問わず、同様の規定は必要であろう。上乗せ条例とまでは言わないが、同程度の規定は条例中に今や不可欠だと思われるが、いかがか。
次に、受託者の規制について。アウトソーシングの利点や財政の効率化という観点からも、外部への業務委託をなくすということはありえない。いっぽう行政の現場では個人情報を取り扱う業務がほとんどであるから、私たちは事件発生の可能性を常に認識しながら制度をつくっていく必要がある。宇治市はもちろん、条例改正に取り組んでいる自治体では、その重責を考え、業務を委ねる受託者に対しても職員と同様の厳しい罰則を課すところが増えているが、この点についてはどのようにお考えか。似たような議論は出資法人の職員についても同様に成り立つ。制度的には別組織、別法人であったとしても、一般区民の目から見た出資法人への素朴な理解はやはり区の機関というのが平均的なものであると思われる。そうであれば、出資法人の職員についても、努力義務規定以上の、事件を防ぐために区民にきちんと説明がつき、抑止力も期待できる、条例と同程度の罰則規定が期待されてしかるべきかと思われる。指定管理者制度との調整が必要な部分があろうが、この出資法人の規制をめぐる問題についても何らかの工夫が必要であると思われる。
区長 今、審査会に条例改正についての考え方を検討してもらっている。外部結合の規制強化をはじめとし、6項目にわたる諸事項の指摘をいただいたが、これらはいずれも審査会において検討中の15項目の中に含まれている。いろいろ研究してもらっているので、審査会の意見を聞かなければならないと考えている。
この問題は条例改正の問題であるが、自治体の情報化に関するある大学の研究室（＊これは、2004年夏に行われた摂南大学の島田達巳教授らによる「電子自治体進展度調査」のこと）による調査報告によると、今、江戸川区で進めているLANをはじめとした情報化のレベルは高く、特にセキュリティ部門においては全国一と評価されている。総合評価では全国五位となっている。区はセキュリティ問題については大変力を入れてきたので、その結果が、こうした調査により検証されたというふうに考えている。もっとも、だからといって、これで終わりとは思わない。今後も条例改正を含め、この問題について十分に研究していきたい。
木村 審査会で検討中ということもあって細かい部分への発言はなかったが、区長から、大枠として前向きな答弁をいただいたと認識している。
セキュリティの話については、日本社会情報学会において大きく取り上げられたということを伺っている。
今後も総務課と情報政策課とがぜひ協力し合いながら、条例改正に向けて、積極的に取り組んでいってもらいたい。
一般質問について補足すると・・・
この時の一般質問においては、持ち時間が10分しかなかったため、十分なやりとりを行なうことができませんでした。不十分に感じた答弁部分に関しては再質問を行ないたかったのですが、それが叶いませんでした。ここに、自分の意見を含め、いくつかを補足しておきたいと思います。区長の答弁の中から2つ気づいた点がありました。批判的な点が1つと、所感が1つです。
批判点のほうから記します。それは、94年の江戸川区における個人情報漏洩事件について、委託事業者の仕業であるということを強調しているように感じられる点です。確かに、第一の責めを負うべきは委託事業者です。しかし、自治体における個人情報漏洩事件の多くが委託事業者による漏洩であり、宇治市の漏洩事件をめぐる最高裁判所判例からも明らかなように、最終的な管理者責任は自治体にあるとされ、自治体は損害賠償責任を課せられるという動かしようのない事実を忘れるべきではありません。ですから、ことさら委託事業者がやったことだと強調するよりも、区の管理者責任に目をつぶらずに認識するという姿勢こそ、今後の個人情報保護制度の改善には有効にはたらくと思われるのです。
もう一つは、所感です。私がこの一般質問を行った時は、本文中にもあるとおり、個人情報保護条例の改正について区の審査会でちょうど検討作業が進んでいる時でした。条例改正に向けた審議と検討を、区民や識者から構成される審査会に依頼していた区としては、その審査会の議論の頭を越して、あれこれ見解を述べることにはやはり遠慮があったようです。具体的な質問に対する区長の考えを引き出すことができなかったのは残念ですが、逆に言えば、審査会の答申を尊重するという姿勢の現われだと確信しました。
