監視を憎んで管理を憎まず 防災と個人情報保護に関する問題、防災週間によせて（2）
こんにちは。NFI理事の加藤です。
8月30日から9月5日は国によって防災週間と定められています。昭和57年5月11日 閣議了解では「政府、地方公共団体等防災関係諸機関をはじめ、広く国民が、台風、豪雨、豪雪、洪水、高潮、地震、津波等の災害についての認識を深めるとともに、これに対する備えを充実強化することにより、災害の未然防止と被害の軽減に資するため、「防災の日」及び「防災週間」を設ける。」とされています。ちなみに、防災の日は9月1日と定められています。この防災週間によせて、防災と個人情報保護に関する問題について考えてみたいと思います。
NFIでは、2021年3月11日に「災害時情報共有に向けたNFIからの5つの提言（案）」を公開しました。この提言の作成にあたっては、NFIの災害対策WGのメンバーによる議論が活かされています。第2回ではそのような議論の中から、2018年7月に発生した平成30年7月豪雨に関する調査から明らかになった名簿の問題を取り上げます。
改正個人情報保護法は「デジタル監視法」？
2021年5月12日に「デジタル社会の形成を図るための関係法律の整備に関する法律案」が参議院で可決、成立しました。この法律案には、個人情報の保護に関する法律について所要の整備を行うことが含まれています（以下「令和3年度改正」）。個人情報の保護に関する法律においては、個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の３本の法律を１本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化する等の措置を講ずるものとされています。
本法案の成立によって、医療・学術分野の規制の統一が図られ研究開発の土壌が整うことや、欧州の一般データ保護規則（GDPR）の十分性認定が現在は民間分野に限定をされているところ公的分野や地方自治体へも広がること、国・民間・地方で個人情報の定義が統一されることによってデータ利活用が広がること、等が期待できます。一方で、権限が一元化され、ルールが統一されることによって、地方自治体の条例が定めてきた保護水準が低下し、規制緩和につながってしまうという批判もあります。
例えば、この法案は「デジタル監視法」だという批判もされています。
「デジタル法案、衆院委で可決 個人情報保護、マイナ、人材確保で課題山積」（2021年4月2日・産経新聞）
はたして、この「監視」という指摘をどのように捉えれば良いのか。前回の「個人の保護」と「個人情報の保護」に個人情報に関する「監視」と「管理」について考えてみたいと思います。
真備の事例で明らかになった、さらなる名簿の問題
岡山県倉敷市真備地区は平成30年7月豪雨で大きな被害を受けました。小田川の堤防が決壊するなどして地区の4分の1が浸水。51人が亡くなるという大きな被害がありました。私は、高知県立大学の神原咲子教授から「災害の現場で個人情報に関して大変な問題が起こっている」と伺い、一緒に調査をしました。避難所の名簿に関するヒアリングを、現地で支援にあたったNPOやボランティア、被災者に行うかたちで調査しました。
倉敷市真備地区の場合は、避難所毎に2人体制で倉敷市役所の職員がいたそうです。これらの職員が避難所の受付において「避難所利用者登録票（以下、受付票）」を取得していました。これは前回ご紹介した避難所名簿に相当するものです。受付票には家族毎の氏名、住所や連絡先、自宅の状況、滞在を希望する場所、けがや病気・障がい・アレルギー・妊娠・言語・特に配慮が必要な事項、特技・免許、安否確認情報公開の是非等が収集されていました。
ところが、これらの名簿は市役所の職員が受付で保管するのみで、実際に避難所で支援等を行っていたNPOその他には提供がされませんでした。医療系の支援者にも名簿が提供されてなかったという証言も聞かれました（DMAT等では名簿の提供がなされたという声をもありましたが、なされなかったという声もありました）。受付票の提供が受けられなかったNPO等は独自に名簿を作成することになり、避難所の被災者のところを一人一人回って情報収集を行ったそうです。異なるNPO間での名簿の共有は個人情報保護の観点からも行えなかったので、それぞれのNPOがそれぞれに名簿を作成したということでした（一つの避難所に複数の名簿が存在した）。名簿の更新の問題もあり、昼間に復興作業等に従事する被災者が不在の際に名簿の作成や更新を行った場合、これらの被災者が抜け落ちるということもあったそうです。例えば、食料や衣服等の必要な物品の個数を調査する際に、これらの被災者が抜け落ち、物品が不足するということもあったそうです。また、実際の被災地では、在宅避難や避難所以外への自主避難を行う方もいたところ、こういった避難所以外へ避難する方のニーズが把握できないという問題もあったそうです。
避難所では住民の方が自主的に名簿を作成し掲示したところもありました。
さらに、避難所で提供される医療においても、この名簿がバラバラに管理されていることが悪影響を与えていたようです。例えば、避難所Aに避難していた鈴木さんが避難所でケアを受けたとします。この場合、避難所Aの鈴木さんというカルテが作成されることになります。医療ケアを提供する支援者は翌日もこの避難所Aに鈴木さんのカルテを持って支援に訪れます。ところが、その日の朝、鈴木さんは諸事情から避難所Bに移動をしてしまいました。鈴木さんは避難所Bでケアを受けました。この場合、避難所Bで鈴木さんのカルテがあらためて作成されることになります。多くの避難所では現在のところ、紙のカルテが作成されているため、本人が避難所Aでケアを受けていたことを申告したり、カルテを持ち帰ってデータ入力をする際に同一人物であることに気がつけた場合を除いて、二つのカルテがマージされることはないそうです。そもそも、そういった申告があったり、気づきがあったとしても、二つのカルテ上の人物が同一人物であるということの同一性を証明することは困難です。ですので、同じ支援者の中でも名簿が複数作成されてしまうということがあるわけです。
真備地区の例では、私がヒアリングをした範囲では、一人あたりおおよそ10個の名簿が作成されていたようです。つまり、被災者は10回もほぼ同じことを聞かれていたということになります。実際、ほぼ同じことを何度も聞かれることに腹を立てていた被災者も見られたそうです。なぜ、このような状況が生じてしまったのでしょうか。自治体が作成した受付票が支援者に提供されれば、そして支援者の支援結果が受付票に追加されていけば、このようなことにはならなかったはずです。どうして出来なかったのでしょうか。現場で聞こえたのは「個人情報保護」でした。個人情報保護の必要があるから、受付票を活用できないというのです。しかしながら本来もっと効率的に行える支援が、個人情報保護を理由として行えないというのは、個人の保護よりも個人情報の保護が優先されているように思えてなりませんでした。本末転倒です。
本当に怖いのは「管理」されないこと。監視を憎んで管理を憎まず。
しかも、作成された名簿は誰が管理しているのか、発災から一年後にヒアリングをしてみたところ、利用していた名簿の管理者が明確でなかったかもしれない、という意見も聞かれるようになりました。東日本大震災の際にも名簿が話題になりました。多くの行方不明者が出たことから、また、通信手段が限定的であったことから、Googleがパーソンファインダーというサービスを提供しました。また、Googleが同様に各避難所の名簿を投稿できるサイトを用意しました。これらのサービスは現在のところ停止されており、登録された情報を閲覧することは出来ません。ところが、2021年9月3日現在でも閲覧を出来る避難所の名簿があります。それはブログやTwitterなどで個人が善意から共有した画像等です。前者と後者の大きな違いは管理者が誰かと言うことです。Googleが提供したサービスでは、サービスの提供者であるGoogleが管理者となり、サービスが必要なくなった際に情報にアクセス出来ないようにしています。ところが個人が共有した情報は誰が管理者なのか不明確です。個人が管理者なのでしょうか、個人は名簿の作成者が管理者と思っているかもしれません。善意からの行為なので、管理という概念がないのかもしれません。
真備地区の事例では、統一的な名簿が作成されなかったことから、支援側がそれぞれ名簿を作成し、多数の名簿が管理者もあきらかでないまま利用されているという実態が明らかになりました。名簿が管理されないことによって、誰が、どのような目的で、いつまで、個人情報を利用するかが明確でないという状況があります。全体を通じてみると、個々の支援者が管理を徹底していけば良い、というような問題には私には思えません。被災地に必要な支援を全体として見通せる、見通さなければいけない主体が管理者となって管理する以外に方法はないでしょうか。この管理主体は自治体であり、広域災害の場合には国が担う以外にないでしょう。自治体や国が必要な管理を行っていくことは監視なのでしょうか。監視を恐れて管理を行わないことが、果たして個人の保護につながるのでしょうか。
もちろん、監視を防ぐことは重要です。監視によって国民の権利が侵害されることはあってはならないことです。しかしながら管理がされないことによって国民が守られないこともあってはなりません。ですので、監視を憎んで管理を憎まず、という考え方が必要なのではないでしょうか。