- 報告の徴収・助言
- 勧告
- 命令
- 6箇月以下の懲役または30万円以下の罰金
という段階を踏む*1。よって、実際に懲役または罰金の刑事責任を負うのはまれで、実際はどんなに大きな情報漏えい事故を起こしても役所に呼ばれて注意を受ける程度*2だとされている。あとは、500円の金券を渡すなり、1週間営業自粛すればよい・・・と。
しかし、三菱自動車*3に続いてJR西日本の失態を見て、わたしは「刑事罰なんてあっという間だ」と確信するに至った。
大きな組織は、隙が多く、大きい。スキャンダルが漏れるのは当然と思った方がよい。朝日新聞をWebで見ていると、たくさん出ていることに驚かされる。
- 事故車両に乗り合わせた運転士が、救助作業に加わらなかった。
- 運転士から連絡を受けた上司は、救助作業に加わるように指示しなかった。
- 事故当日にボーリング大会をした (天王寺)
- ボーリング大会後、飲み会までやった (同)
- ダイヤの変更を忘れて列車が遅れた (金沢)
- 点呼をした人間もダイヤの変更に気づかなかった (金沢)
- オーバーランした (里庄)
- 編成数を勘違いして50m手前で止まった (新下関)
マスコミは「組織の体質」の問題にしたがるから、今回の一連の不祥事では、上司の対応などの管理体制の不備と一体になって報じられている場合が多いことに気づく。1つの出来事が2つの過ちとして報じられる。
この中で「手前で止まった」については、責めてはかわいそうな気がする。16両止まれるホームで、6両編成の新幹線が2両分手前で止まっても安全上は全く問題ない*4。社内規則には違反しているかもしれないが、たいしたミスではない。
しかし、たたかれているときはこのような小事故まで報道の餌食になってしまうのである。
「管理体勢の不備」「小事故まで報道の餌食」 ・・・まさに個人情報保護と同じ構造。
もし社長を失脚させたいとか、競合他社をおとしめたいと思っている人がいれば、上の事例をちょっとアレンジすればいいのである。
- 駅に機密情報を扱うパソコン入りの鞄を置き忘れた
- 会社では、パソコンの情報保護について何にも指導が行われていなかった
- 機密書類をシュレッダーにかけずに路上のごみ置き場に放置した
- 事務所では、機密書類の廃棄方法について何にも規定がなかった
- 怪しげな業者が個人情報の買い取りを求める恐喝をしてきた
- 管理職は恐喝の警察に届けず、社内調査も行わず放置した
- 重要な取引を終えたばかりの社員が、預かった個人情報を持ったまま宴会に参加し、その様子を治めた盗撮ビデオがテレビで報じられた
- 宴会の参加にあたり、上司は、個人情報の預託があることを知りながら、会社に寄って預託データを機密保管せずにすぐに来いとの命令し、社員は断れなかった
謝るだけで済んでいるJR西日本の案件を、トップの逮捕にまで至った三菱自動車にまでおとしめるには、JRのようにいっぺんに出さずに、プレス・リリースや記者会見で再発防止を誓ってから1週間から1箇月、あるいは場合によっては半年1年経ってゆっくりと次の話題を公表することである。三菱自動車のように、人が死ぬような事件を起こすことはない。名前と電話番号を表にして駅に置き忘れればいいのだ。最近ではそれでは話題性に欠けるというなら、マスコミ各社にFAXするのでもよい。犯罪者はあまり心を痛めないかもしれない。それでも威力は同じで、順調に
助言→勧告→命令→逮捕
と進むだろう。新製品発表もタイミングが命だが
不祥事発覚もまたタイミングが命。
マスコミ関係者と結託するのもよし、ブログの住民や2ちゃんねるを活用するもよし。今どき噂の眞相のようなゴシップ・ジャーナリズムははやらないが、インターネットが十分その代替機能を果たしている。ライブドアががんばらならくても、すでにゴシップの世界では市民記者が大活躍している。その市民記者が内部告発者や情報漏えいの被害者であれば十分増幅能力がある。
それでも最初は信用力があるとされるマスコミを使うべきだろう。2ちゃんねるねたでは、いくらたくさん言われていてもまだ表の世界での信用力がない。だから、表の報道機関を動かすほどの中規模ほどの不祥事を仕掛けておく。
ただし、不祥事の材料はたくさん用意しておく必要はない。オーバーランや手前停止も、脱線事故に合わせてあらかじめ打ち合わせて行っているわけではないし、腐っている組織ならばありふれているミスである。ちょっと表のマスコミや内部ゴシップ記者が本気になればいくらでも不祥事の発掘は続くのである。要はマスコミを本気にさせるだけでいい。
上記は冗談です。
さて、内閣府や国会がなぜ「助言→勧告→命令→刑事罰」などという段階を踏むようにしたのかが謎です。三振制ならぬフォー・ストライクまで猶予を与えています*5。しかし、実際の個人情報インシデントでは、きちんとやっている組織はいくら内部に悪者がいても1ストライク程度で済むしょう。しかし内部統制がなっていない組織は、2ストライクの後ボールが4つ来てファーボールということはありません。1ストライクがカウントされたら、その後10ストライクも100ストライクも来るでしょう。JR西日本なんて、1日で4ストライクくらいカウントされています*6。365日でいくつになるのでしょう。
勧告や命令のような、処分書を授与する儀式を行うのではなくて、検査機関みたいなものを作って個人情報保護体制の強制検査を行うとか、もっと実行力のある制度にすべきかと思います。強制検査の受診手数料を受診組織の負担とし、検査を受けるにあたっての準備費用が金額となって知れ渡れば、みんなまじめにセキュリティー対策をやると思うのですが。
*1:http://www5.cao.go.jp/seikatsu/kojin/kaisetsu/pdfs/tanpo.pdf
*2:例えば、NTTドコモは勧告処分を受けている。http://k-tai.impress.co.jp/cda/article/news_toppage/23707.html http://www.soumu.go.jp/s-news/2005/050428_2.html
*3:リコール隠し事件。http://d.hatena.ne.jp/o1y/20040815#p2
*4:そのまま車掌がドアを開けなければなおさら危険はない
*5:緊急性が高い場合は勧告は省略されますが、それでも最初は助言からなのだそうです。もちろん、例えば金融のような規制産業では日頃から検査が行われていますからもう少し猶予段階が少ないかもしれません
*6:念のため言っておきますが、個人情報保護事案ではありません
